企業(yè)即時(shí)通信系統(tǒng)中的安全問(wèn)題分析

滕向宇

（大慶油田信息技術(shù)公司，黑龍江 大慶 163453）

企業(yè)即時(shí)通信系統(tǒng)中的安全問(wèn)題分析

滕向宇

（大慶油田信息技術(shù)公司，黑龍江 大慶 163453）

本文首先針對(duì)企業(yè)即時(shí)通信系統(tǒng)安全特征展開(kāi)必要的分析，而后進(jìn)一步在此基礎(chǔ)之上，就如何從3個(gè)主要方面切實(shí)提升企業(yè)及時(shí)通信系統(tǒng)安全水平加以分析，對(duì)于促進(jìn)EIM系統(tǒng)的成熟起到一定的作用。

EIM；企業(yè)；即時(shí)通信；安全

信息化已經(jīng)成為企業(yè)發(fā)展過(guò)程中的必然選擇。在企業(yè)信息化體系之下，數(shù)據(jù)的流動(dòng)，除了物聯(lián)網(wǎng)帶動(dòng)的各種數(shù)據(jù)采集外，工作人員之間的溝通仍然是企業(yè)信息流動(dòng)的重點(diǎn)驅(qū)動(dòng)力量。隨著數(shù)據(jù)實(shí)時(shí)性特征領(lǐng)域相關(guān)需求的不斷突出，企業(yè)環(huán)境內(nèi)部各種即時(shí)通信工具也開(kāi)始日漸盛行。

1　企業(yè)即時(shí)通信系統(tǒng)安全特征分析

企業(yè)即時(shí)通信系統(tǒng)（Enterprise Instant Messenger，EIM）是即時(shí)通信系統(tǒng)在企業(yè)環(huán)境中的深入應(yīng)用，通常以基礎(chǔ)腳本作為起點(diǎn)展開(kāi)面向企業(yè)環(huán)境的功能開(kāi)發(fā)，能夠支持文本、語(yǔ)音、視頻以及其他標(biāo)準(zhǔn)數(shù)據(jù)的傳輸支持。從應(yīng)用的角度看，在企業(yè)環(huán)境內(nèi)部中，EIM的出現(xiàn)對(duì)當(dāng)前社會(huì)上正在使用的其他IM通信工具有一定的替代作用，尤其是對(duì)于油田組織而言，這種替代作用尤其明顯。因?yàn)樵谶@樣的大型工業(yè)環(huán)境中，工作時(shí)涉及的信息溝通方，通常也是日常生活中的朋友，因此EIM對(duì)于這樣的群體而言，完全能夠取代社會(huì)化IM的地位。

當(dāng)前EIM系統(tǒng)的工作框架，如圖1所示。

圖1　EIM常見(jiàn)構(gòu)架示意圖

從圖1中可以看出，C/S模式仍然是當(dāng)前EIM中最為常用的架構(gòu)?？蛻舳送ㄟ^(guò)網(wǎng)絡(luò)環(huán)境實(shí)現(xiàn)數(shù)據(jù)的傳輸與交換，保持對(duì)服務(wù)器的使用狀態(tài)，而同時(shí)服務(wù)器通過(guò)公共數(shù)據(jù)網(wǎng)實(shí)現(xiàn)對(duì)于客戶端身份認(rèn)證，以及消息的過(guò)濾與轉(zhuǎn)發(fā)。

從安全的角度看，EIM主要面臨的問(wèn)題包括病毒的傳播和用戶身份授權(quán)管理不善。由于EIM的文件傳輸采取了P2P模式，它可以將文件作為附件通過(guò)點(diǎn)對(duì)點(diǎn)方式傳送，而繞過(guò)網(wǎng)絡(luò)周邊安全防御設(shè)備。這種工作方式本質(zhì)上無(wú)法對(duì)病毒實(shí)現(xiàn)有效地防范，造成病毒威脅。除此以外，緩沖區(qū)溢出、拒絕服務(wù)等攻擊方式也屢見(jiàn)不鮮。而在用戶身份管理方面，用戶賬號(hào)授權(quán)管理不善，移動(dòng)端丟失默認(rèn)登錄以及密碼被盜是主要存在的安全問(wèn)題。當(dāng)前IM開(kāi)發(fā)商對(duì)于系統(tǒng)的擴(kuò)展性傾注了過(guò)多關(guān)注，但對(duì)于認(rèn)證機(jī)制考慮不足，也會(huì)給攻擊者可乘之機(jī)。

文件交換過(guò)程中的弱加密甚至于不加密的狀態(tài)，同樣可能會(huì)導(dǎo)致信息截取問(wèn)題的發(fā)生。以及考慮到當(dāng)前主流的EIM 軟件都提供了腳本編寫功能，雖然方便了企業(yè)用戶實(shí)現(xiàn)EIM二次開(kāi)發(fā)，但是卻會(huì)進(jìn)一步加劇蠕蟲病毒等威脅。

2　加強(qiáng)EIM安全建設(shè)

考慮到當(dāng)前EIM對(duì)于企業(yè)工作正常展開(kāi)的重要價(jià)值，加強(qiáng)對(duì)其安全建設(shè)就顯得格外重要。結(jié)合目前該領(lǐng)域的發(fā)展，可以發(fā)現(xiàn)有如下幾個(gè)方面，可以作為提升EIM安全水平的工作重點(diǎn)。

2.1加強(qiáng)用戶身份管理

用戶登錄過(guò)程中可靠和嚴(yán)謹(jǐn)?shù)纳矸蒡?yàn)證，對(duì)提升EIM的整體安全有著毋庸置疑的積極作用。如果用戶在進(jìn)行注冊(cè)的時(shí)候，已經(jīng)將密碼摘要存入服務(wù)器，則可以考慮在SHA-1報(bào)文摘要算法的基礎(chǔ)上展開(kāi)對(duì)于登錄驗(yàn)證的優(yōu)化。首先在客戶端發(fā)起登錄請(qǐng)求的時(shí)候，服務(wù)器端生成一個(gè)隨機(jī)值，聯(lián)通登錄界面一同反饋給客戶端，而后在客戶端完成密碼輸入之后，采用SHA-1算法來(lái)生成報(bào)文摘要1，再和隨機(jī)值散列生成報(bào)文摘要2，并進(jìn)行提交。最后，服務(wù)器在接到相關(guān)數(shù)據(jù)之后，將兩個(gè)方面的報(bào)文摘要進(jìn)行對(duì)比，進(jìn)一步來(lái)確定是否授權(quán)登錄。

2.2加強(qiáng)信息交換安全建設(shè)

在EIM環(huán)境中，信息的傳輸和交換是主要的職能，同時(shí)也是安全隱患最為嚴(yán)重的環(huán)節(jié)。信息傳輸和交換的過(guò)程中，必須要保證信息內(nèi)容不被竊取或篡改，同時(shí)要考慮信息傳輸?shù)男蕟?wèn)題，尤其是在工業(yè)環(huán)境之下，很多數(shù)據(jù)都要求強(qiáng)實(shí)時(shí)性的情況下，實(shí)現(xiàn)安全和效率的平衡至關(guān)重要。實(shí)際工作中需要合理安排加密機(jī)制，例如：利用對(duì)稱密鑰算法IDEA加密明文，同時(shí)采用RSA機(jī)制對(duì)秘鑰進(jìn)行加密傳輸，確保信息機(jī)密。隨后用MD5生成信息摘要，并且用RSA為摘要簽名，提升簽名速度的基礎(chǔ)之上保證信息不可抵賴特征。諸如此類相關(guān)機(jī)制，共同構(gòu)建起完善的EIM安全環(huán)境。

2.3文件傳輸模塊設(shè)計(jì)安全

對(duì)于這一方面，主要是考慮在原有文件傳輸功能的基礎(chǔ)上，附加兩層安全防護(hù)技術(shù)來(lái)進(jìn)一步保證傳輸?shù)陌踩裕床《緬呙杓夹g(shù)和文件加密技術(shù)。其中前者能夠有效防止已經(jīng)受到病毒感染文件的進(jìn)一步傳輸，并且對(duì)其進(jìn)行隔離，保證系統(tǒng)安全。而后者則用于實(shí)現(xiàn)面向文件內(nèi)容的安全保證，使文件處于密文狀態(tài)發(fā)送，用來(lái)防止攻擊者竊取文件成功后直接得到文件的真實(shí)內(nèi)容。

3　結(jié) 語(yǔ)

EIM必然會(huì)隨著組織的發(fā)展不斷深入應(yīng)用，實(shí)際工作中必須對(duì)相關(guān)安全技術(shù)保持敏感，積極分析企業(yè)環(huán)境中的數(shù)據(jù)特征和安全需求，才能有效引入和設(shè)置安全技術(shù)，保證企業(yè)正常運(yùn)行。

主要參考文獻(xiàn)

［1］趙雙紅，劉壽強(qiáng)，潘春華.P2P通信網(wǎng)絡(luò)安全問(wèn)題探析［J］.計(jì)算機(jī)安全，2003（11）.

10.3969/j.issn.1673 - 0194.2016.16.035

TP393.08

A

1673-0194（2016）16-0055-01

2016-07-02