基于SM4、MD5 密鑰及業(yè)務(wù)全流程加解密技術(shù)的流量批發(fā)、轉(zhuǎn)增解決方案

□王 琳 郝 琳

一、概述

(一)背景。河北聯(lián)通移動(dòng)互聯(lián)網(wǎng)渠道管理平臺(tái)是互動(dòng)營(yíng)銷平臺(tái)基礎(chǔ)上建設(shè)的子系統(tǒng)，從合作伙伴管理、信息安全、合理利用接入資源及用戶體驗(yàn)角度出發(fā)，渠道運(yùn)營(yíng)合作伙伴通過此平臺(tái)對(duì)接，進(jìn)行用戶消費(fèi)信息、產(chǎn)品訂購信息、產(chǎn)品互斥等信息查詢及用戶產(chǎn)品訂購，全面支撐渠道伙伴增值業(yè)務(wù)產(chǎn)品營(yíng)銷，實(shí)現(xiàn)增值產(chǎn)品的分銷、統(tǒng)一、高效、規(guī)范的渠道運(yùn)營(yíng)管理。從流量拉動(dòng)提升及用戶流量自由分配角度出發(fā)，擴(kuò)大流量銷售渠道，提供流量批發(fā)業(yè)務(wù)，實(shí)現(xiàn)用戶流量自由控制及使用將是目前重要發(fā)展方向。

(二)技術(shù)創(chuàng)新方向。

1．SM4 加/解密技術(shù)運(yùn)用。此算法是一個(gè)分組算法，用于無線局域網(wǎng)產(chǎn)品。該算法的分組長(zhǎng)度為128 比特，密鑰長(zhǎng)度為128 比特。加密算法與密鑰擴(kuò)展算法都采用32 輪非線性迭代結(jié)構(gòu)。解密算法與加密算法的結(jié)構(gòu)相同，只是輪密鑰的使用順序相反，解密輪密鑰是加密輪密鑰的逆序。此算法采用非線性迭代結(jié)構(gòu)，每次迭代由一個(gè)輪函數(shù)給出，其中輪函數(shù)由一個(gè)非線性變換和線性變換復(fù)合而成，非線性變換由S 盒所給出。與傳統(tǒng)的軟件加密方式相比，SM4 加解密算法具有以下特點(diǎn):

(1)計(jì)算速度快、效率高。虛擬卡平臺(tái)與加密平臺(tái)采用WebService 接口的方式進(jìn)行加解密處理，在處理比較大的訂單時(shí)(如百萬級(jí))，為了及時(shí)給虛擬卡平臺(tái)反饋加密結(jié)果，對(duì)加解密算法的執(zhí)行效率要求較高。SM4 加密算法可以在短時(shí)間內(nèi)對(duì)大批量的卡號(hào)進(jìn)行加密操作，正是由于SM4 加密算法計(jì)算速度快、效率高的特點(diǎn)，在虛擬卡密文安全的同時(shí)，提升了虛擬卡加解密的執(zhí)行效率。

(2)安全性高。SM4 算法是我國(guó)自主研制的分組密碼算法，由2006年國(guó)家密碼管理局公布至今，還未被攻破，目前仍然是安全的。并且SM4 算法密鑰長(zhǎng)度為128 位，若采用窮舉攻擊法，需要2，128 次運(yùn)算，遠(yuǎn)比DES 算法256 次運(yùn)算大得多，要想要用窮舉攻擊法破解需要相當(dāng)長(zhǎng)的時(shí)間，在目前看來是不現(xiàn)實(shí)的。

SM4 加/解密技術(shù)平臺(tái)應(yīng)用:渠道平臺(tái)與加密平臺(tái)之間使用WebService 接口進(jìn)行交互，渠道平臺(tái)將生成的虛擬卡號(hào)及訂單號(hào)發(fā)送到加密平臺(tái)后，由加密平臺(tái)對(duì)卡號(hào)進(jìn)行檢驗(yàn)、加密處理。

2．MD5 加密技術(shù)運(yùn)用。MD5 屬于單向加密算法，是不可逆的加密方式，也就是說，采用了MD5 加密方式加密之后，就不能對(duì)加密的結(jié)果進(jìn)行解密，得到原有的字符串，這是不可以的。MD5 是散列算法，將任意大小的數(shù)據(jù)映射到一個(gè)較小的、固定長(zhǎng)度的唯一值。加密性強(qiáng)的散列一定是不可逆的，這就意味著通過散列結(jié)果，無法推出任何部分的原始信息。任何輸入信息的變化，哪怕僅一位，都將導(dǎo)致散列結(jié)果的明顯變化，這稱之為雪崩效應(yīng)。散列還應(yīng)該是防沖突的，即找不出具有相同散列結(jié)果的兩條信息。具有這些特性的散列結(jié)果就可以用于驗(yàn)證信息是否被修改。MD5 就和人的指紋一樣，每個(gè)人的指紋都是唯一的，而文件的MD5 值也是唯一的。

MD5 算法特點(diǎn):一是壓縮性:任意長(zhǎng)度的數(shù)據(jù)，算出的MD5 值長(zhǎng)度都是固定的。二是容易計(jì)算:從原數(shù)據(jù)計(jì)算出MD5 值很容易。三是抗修改性:對(duì)原數(shù)據(jù)進(jìn)行任何改動(dòng)，哪怕只修改1 個(gè)字節(jié)，所得到的MD5 值都有很大區(qū)別。四是弱抗碰撞:已知原數(shù)據(jù)和其MD5 值，想找到一個(gè)具有相同MD5值的數(shù)據(jù)(即偽造數(shù)據(jù))是非常困難的。五是強(qiáng)抗碰撞:想找到兩個(gè)不同的數(shù)據(jù)，使它們具有相同的MD5 值，是非常困難的。

MD5 加密技術(shù)平臺(tái)應(yīng)用:第三方渠道與管理平臺(tái)做信息交互的時(shí)候，管理平臺(tái)從用戶名密碼鑒權(quán)、IP 鑒權(quán)、業(yè)務(wù)類型鑒權(quán)這三個(gè)方面做身份鑒權(quán)，所有鑒權(quán)通過后才能進(jìn)行業(yè)務(wù)流程申請(qǐng)。IP 鑒權(quán)依托DCN 網(wǎng)絡(luò)安全保護(hù)，業(yè)務(wù)類型鑒權(quán)依托計(jì)費(fèi)系統(tǒng)安全保護(hù)，此次加密工作是對(duì)用戶名密碼鑒權(quán)做的二次加密保障。

二、實(shí)施方案

(一)虛擬卡SM4 加/解密技術(shù)(全流程加密技術(shù))。

1．加密處理。渠道平臺(tái)與加密平臺(tái)之間使用WebService接口進(jìn)行交互，渠道平臺(tái)將生成的虛擬卡號(hào)及訂單號(hào)發(fā)送到加密平臺(tái)后，由加密平臺(tái)對(duì)卡號(hào)進(jìn)行檢驗(yàn)、加密處理，加密過程如下:一是渠道平臺(tái)批量發(fā)送卡號(hào)、訂單號(hào)到加密平臺(tái);二是加密平臺(tái)對(duì)收到的卡號(hào)、訂單號(hào)的有效性進(jìn)行檢驗(yàn)，若檢驗(yàn)失敗，則駁回加密請(qǐng)求。三是根據(jù)訂單號(hào)、時(shí)間截進(jìn)行MD5 加密，并生成加密密鑰;四是根據(jù)卡號(hào)、加密密鑰進(jìn)行SM4 加密，并將虛擬卡密文存儲(chǔ)到數(shù)據(jù)庫中;五是向渠道平臺(tái)應(yīng)答成功加密的卡號(hào)數(shù)量。

2．解密處理。渠道平臺(tái)在收到用戶短信上行的虛擬卡密文，并且密文的格式校驗(yàn)通后，由渠道平臺(tái)向加密平臺(tái)發(fā)起解密請(qǐng)求，對(duì)收到的虛擬卡密文進(jìn)行解密。解密過程如下:一是渠道平臺(tái)發(fā)送解密請(qǐng)求，將虛擬卡密文發(fā)送到加密平臺(tái);二是加密平臺(tái)在收到虛擬卡密文后，對(duì)該密文的有效性進(jìn)行校驗(yàn);三是校驗(yàn)通過后，根據(jù)訂單號(hào)、時(shí)間截進(jìn)行MD5加密，并生成解密密鑰;四是根據(jù)虛擬卡密文、解密密鑰，對(duì)虛擬卡密文進(jìn)行SM4 解密操作，并得到虛擬卡號(hào);五是向渠道平臺(tái)應(yīng)答解密后的虛擬卡號(hào)。

(1)虛擬卡生成。分銷商在運(yùn)營(yíng)商處購買虛擬卡并繳費(fèi)后，操作員根據(jù)批發(fā)商信息、購買資源信息(如:流量、短信等)創(chuàng)建虛擬卡訂單，并設(shè)置這批虛擬卡的有效時(shí)間、截止時(shí)間等信息。訂單提交后，需要由管理員進(jìn)行審核，訂單審核通過后，方可開通虛擬卡，并進(jìn)行卡號(hào)等信息的分配。

(2)虛擬卡加密。為保證虛擬卡信息的安全性，虛擬卡平臺(tái)采用卡密分離的方式進(jìn)行存儲(chǔ)。由虛擬卡平臺(tái)創(chuàng)建訂單，并生成虛擬卡，然后交由加密平臺(tái)對(duì)卡號(hào)進(jìn)行加密操作，并且卡密始終保存在加密平臺(tái)內(nèi)。整個(gè)交互過程中，虛擬卡平臺(tái)不會(huì)接觸到卡密信息。

(3)卡密導(dǎo)出。虛擬卡開通、加密完成后，分銷商通過登錄虛擬卡平臺(tái)將卡密信息進(jìn)行導(dǎo)出。虛擬卡平臺(tái)通過動(dòng)態(tài)短信驗(yàn)證碼方式進(jìn)行登錄，登錄前，分銷商需要填寫登錄賬號(hào)、訂單號(hào)、動(dòng)態(tài)短信密碼，所有信息必須驗(yàn)證通過后才可以登錄系統(tǒng)。為避免分銷商重復(fù)導(dǎo)出卡密信息，系統(tǒng)設(shè)置一次性導(dǎo)出，每個(gè)訂單只允許分銷商導(dǎo)出一次。導(dǎo)出卡密時(shí)，系統(tǒng)向分銷商發(fā)送一條動(dòng)態(tài)密碼短信，分銷商接收到密碼短信并驗(yàn)證成功后，再進(jìn)行卡密文件的下載。

(4)虛擬卡使用。分銷商獲取卡密以后，將卡密分發(fā)到用戶手中。用戶通過發(fā)送上行短信，將卡密發(fā)送到指定接入號(hào)。系統(tǒng)接收到上行卡密信息后，向加密平臺(tái)發(fā)送解密請(qǐng)求，并返回對(duì)應(yīng)的虛擬卡號(hào)，系統(tǒng)判斷該虛擬卡號(hào)是否有效，若有效，則對(duì)為該用戶添加相應(yīng)的資源，若無效，則短信通知用戶。

(二)第三方接口MD5 加密技術(shù)。傳統(tǒng)的客戶端訪問服務(wù)器各接口時(shí)，需要輸入賬號(hào)和密碼等信息，服務(wù)器接收用戶傳來的數(shù)據(jù)包，提取用戶的賬號(hào)信息和密碼信息，再查詢服務(wù)器的數(shù)據(jù)庫，最后反饋認(rèn)證成功或者失敗信息給用戶。這種身份認(rèn)證模式是目前最常用的一種遠(yuǎn)程認(rèn)證方式，然而卻存在請(qǐng)求數(shù)據(jù)包被竊取及數(shù)據(jù)庫密碼泄露的隱患。由于MD5 算法具有加密單向性和數(shù)字指紋性的特點(diǎn)，因此在遠(yuǎn)程身份認(rèn)證中引入MD5 算法就能彌補(bǔ)傳統(tǒng)模式的缺陷。MD5算法就是將任意長(zhǎng)度的輸入信息經(jīng)過復(fù)雜的線性變換成一個(gè)定長(zhǎng)為128 位(bits)且唯一的新數(shù)據(jù)，我們稱這個(gè)過程為產(chǎn)生數(shù)字指紋，通過MD5 加密的數(shù)據(jù)具有很高的可靠性。為了保證數(shù)據(jù)的安全性，在進(jìn)行身份鑒別的過程必須保證安全可靠。所以需要滿足的條件是鑒別過程中數(shù)據(jù)要具有保密性，同時(shí)為保證數(shù)據(jù)發(fā)送過程中不被修改，也要保證數(shù)據(jù)的完整性。在鑒別過程中需要使用報(bào)文鑒別技術(shù)來保證完整性，同時(shí)需要使用密碼算法技術(shù)來保證數(shù)據(jù)的安全性。那么在接口數(shù)據(jù)鑒權(quán)之前，需要將加密算法及密鑰告知各第三方渠道。

1．平臺(tái)的安全管理。第三方渠道與管理平臺(tái)做信息交互的時(shí)候，管理平臺(tái)從用戶名密碼鑒權(quán)、IP 鑒權(quán)、業(yè)務(wù)類型鑒權(quán)這三個(gè)方面做身份鑒權(quán)，所有鑒權(quán)通過后才能進(jìn)行業(yè)務(wù)流程申請(qǐng)。IP 鑒權(quán)依托DCN 網(wǎng)絡(luò)安全保護(hù)，業(yè)務(wù)類型鑒權(quán)依托計(jì)費(fèi)系統(tǒng)安全保護(hù)，此次加密工作是對(duì)用戶名密碼鑒權(quán)做的二次加密保障。

2．業(yè)務(wù)描述。第三方渠道與渠道管理平臺(tái)交互，發(fā)送查詢及訂購業(yè)務(wù)請(qǐng)求，管理平臺(tái)收到后對(duì)信息報(bào)文判斷，判斷包頭字段的合法性及有效性(依據(jù)接口標(biāo)準(zhǔn)文檔)，判斷包體內(nèi)產(chǎn)品代碼、業(yè)務(wù)模式(依據(jù)接口文檔)、用戶鑒權(quán)(用戶名密碼判斷)、生成本平臺(tái)識(shí)別的訂單流水號(hào)，并加入到BSS 交互隊(duì)列里，BSS 返回記過后自動(dòng)匹配訂單流水號(hào)后分發(fā)給不同渠道方。

3．加密流程。第三方渠道在訪問管理平臺(tái)的時(shí)候，把平臺(tái)所分配給其的鑒權(quán)密碼加上動(dòng)態(tài)時(shí)間戳后自動(dòng)混合加密，生成32 位秘鑰隨信息報(bào)文一起發(fā)送到管理平臺(tái)，管理平臺(tái)收到全部的信息報(bào)文后，先根據(jù)用戶名解析出該用戶的鑒權(quán)密碼，再根據(jù)該用戶的發(fā)起時(shí)間自動(dòng)混合加密后，生成32 位秘鑰，與第三方渠道申請(qǐng)報(bào)文中的秘鑰進(jìn)行配匹判斷，判斷結(jié)果相同后再啟動(dòng)下一步業(yè)務(wù)流程。

三、系統(tǒng)實(shí)施效果

本項(xiàng)目始于2014年1月，2014年3月完成了功能模塊的開發(fā)，經(jīng)驗(yàn)收合格后投入上線運(yùn)營(yíng)。本項(xiàng)目中基于安全加密及話單采集處理技術(shù)的流量轉(zhuǎn)贈(zèng)、批發(fā)應(yīng)用為國(guó)內(nèi)首創(chuàng)，期間針對(duì)河北省移動(dòng)互聯(lián)網(wǎng)渠道的統(tǒng)一接入管理建設(shè)了移動(dòng)互聯(lián)網(wǎng)渠道管理平臺(tái)，通過建設(shè)統(tǒng)一接入接口，合作伙伴通過對(duì)接，進(jìn)行用戶消費(fèi)信息、產(chǎn)品訂購信息、產(chǎn)品互斥等信息查詢及用戶產(chǎn)品訂購，全面支撐渠道伙伴增值業(yè)務(wù)產(chǎn)品營(yíng)銷，實(shí)現(xiàn)增值產(chǎn)品的分銷、統(tǒng)一、高效、規(guī)范的渠道運(yùn)營(yíng)管理;2014年增收四百多萬元，取得了良好的社會(huì)效益和經(jīng)濟(jì)價(jià)值。