校園一卡通系統(tǒng)的安全性分析與設(shè)計

文章出處：http:// 作者： 人氣： 發(fā)表時間：2011年09月09日

     隨著計算機(jī)技術(shù)、網(wǎng)絡(luò)技術(shù)及通訊技術(shù)的發(fā)展，數(shù)字化校園已經(jīng)在高校內(nèi)全面規(guī)劃和啟動。數(shù)字化校園建設(shè)將是學(xué)校管理部門通過信息化手段，實現(xiàn)對各種資源的有效集成、整合和優(yōu)化，實現(xiàn)資源的有效配置和充分利用，實現(xiàn)校務(wù)管理和服務(wù)過程的協(xié)調(diào)，實現(xiàn)教學(xué)、學(xué)習(xí)、生活過程的優(yōu)化，從而實現(xiàn)提高各種管理和服務(wù)工作的效率、效果和效益。

     校園一卡通系統(tǒng)作為整個數(shù)字化校園的核心應(yīng)用項目，設(shè)計上必須符合數(shù)字化校園的整體設(shè)計思想。該系統(tǒng)不僅僅是消費(fèi)系統(tǒng)，還要具備管理功能，要與學(xué)校管理信息系統(tǒng)緊密結(jié)合起來。因此，該系統(tǒng)具有消費(fèi)、身份識別、個人信息查詢、繳費(fèi)等主要功能。

     1 安全體系目標(biāo)和設(shè)計原則

     作為數(shù)字化校園建設(shè)的基礎(chǔ)和核心設(shè)施之一，校園一卡通系統(tǒng)涉及到大多數(shù)在校學(xué)習(xí)、工作和生活的人員，并為學(xué)校教學(xué)、管理、門禁、餐飲及其他公共服務(wù)提供身份證明和支付手段，所以對其安全性有非常高的要求，安全性是校園一卡通系統(tǒng)的生命線。在校園一卡通系統(tǒng)的設(shè)計和建設(shè)過程中，要把安全性放在首位，通過技術(shù)和管理手段，保證系統(tǒng)能夠高效、安全和可靠的運(yùn)行。

     系統(tǒng)的安全性設(shè)計應(yīng)充分考慮到各方面的因素，包括卡片、讀卡機(jī)具、應(yīng)用系統(tǒng)服務(wù)器、網(wǎng)絡(luò)數(shù)據(jù)傳輸、中心數(shù)據(jù)存儲、系統(tǒng)管理軟件、應(yīng)用系統(tǒng)軟件和運(yùn)行管理等。同時，應(yīng)將技術(shù)手段和管理手段相結(jié)合，通過加強(qiáng)安全管理來保證系統(tǒng)的安全性設(shè)計得以有效實行。另外，隨著技術(shù)的發(fā)展，需要不斷對系統(tǒng)進(jìn)行重新評估，采用新的安全技術(shù)，以滿足系統(tǒng)的安全需要。

     2 安全策略的分析與設(shè)計

     2．1 中心數(shù)據(jù)庫

     中心數(shù)據(jù)庫存儲了全部的身份信息和交易信息，是一卡通系統(tǒng)的中樞，其安全性對整個一卡通系統(tǒng)有決定性的影響。為保證中心數(shù)據(jù)庫安全、穩(wěn)定、可靠和高效的運(yùn)行，防范網(wǎng)絡(luò)攻擊、病毒、黑客人侵以及對數(shù)據(jù)庫的非法訪問、篡改和刪除，需要從硬件配置、操作系統(tǒng)和數(shù)據(jù)庫等三個層次上來采取措施。在硬件配置上，中心數(shù)據(jù)庫服務(wù)器需要采用雙機(jī)熱備份，并配備大容量的磁盤陣列、磁帶機(jī)和UPS。在操作系統(tǒng)方面，中心數(shù)據(jù)庫服務(wù)器一般安裝安全性較高的UNIX類操作系統(tǒng)，在安裝操作系統(tǒng)時采用較高的安全級別，關(guān)閉不用的網(wǎng)絡(luò)訪問服務(wù)，并設(shè)置科學(xué)合理的密碼管理機(jī)制。此外，采用專業(yè)的掃描軟件對整個系統(tǒng)進(jìn)行安全掃描，對找到的安全隱患和漏洞進(jìn)行排除。

     數(shù)據(jù)庫的安全是指保護(hù)數(shù)據(jù)庫，以防止非法使用所造成的數(shù)據(jù)泄漏、修改、損害。計算機(jī)系統(tǒng)中普遍存在安全性問題，特別當(dāng)擁有許多共享數(shù)據(jù)庫中的大量數(shù)據(jù)時，安全問題顯得尤為突出。在ORACLE多用戶數(shù)據(jù)庫系統(tǒng)中，安全機(jī)制完成以下任務(wù)：防止非授權(quán)的數(shù)據(jù)存取，防止非授權(quán)的模式對象存取，控制磁盤使用，控制系統(tǒng)資源的使用，審計用戶動作。數(shù)據(jù)庫安全可以分為數(shù)據(jù)庫系統(tǒng)安全和數(shù)據(jù)安全。系統(tǒng)安全包括在系統(tǒng)級別上，控制數(shù)據(jù)庫的存取和使用機(jī)制，如有效的用戶名／密碼組合，用戶模式對象的可用磁盤空間數(shù)量，用戶的資源限制。系統(tǒng)安全機(jī)制檢查用戶是否被授權(quán)連接數(shù)據(jù)庫，數(shù)據(jù)庫審計是否是活動的，用戶可以執(zhí)行哪個系統(tǒng)操作。數(shù)據(jù)安全包括在模式對象級別上，控制數(shù)據(jù)庫的存取和使用的機(jī)制。如哪個用戶有權(quán)存取指定的模式對象，在模式對象上允許每個用戶采取的動作，每個模式的審計動作等。

     ORACLE提供全面的自由選定存取控制，通過特權(quán)控制用戶對信息的訪問。特權(quán)是在規(guī)定方式下訪問命名對象的許可。適當(dāng)?shù)奶貦?quán)必須分配給用戶，使其可以訪問模式對象。擁有特權(quán)的用戶可以將特權(quán)授予其他用戶，這種類型的安全被稱為“自由選定”。ORACLE使用以下機(jī)制管理數(shù)據(jù)庫安全：數(shù)據(jù)庫用戶、特權(quán)、角色、存儲設(shè)置和限額、資源限制和審計等。

     2．2 軟件系統(tǒng)設(shè)計

     軟件系統(tǒng)既包括一卡通系統(tǒng)的系統(tǒng)軟件，也包括與一卡通系統(tǒng)相關(guān)的各個數(shù)字化校園的應(yīng)用系統(tǒng)軟件。一卡通系統(tǒng)的系統(tǒng)軟件可以從登錄控制、操作員權(quán)限控制、數(shù)據(jù)庫防篡改和登記操作日志等方面來考慮。從登錄控制的角度，通過對客戶機(jī)登錄采取控制，對非法的客戶機(jī)加以拒絕，防止非法的客戶機(jī)向服務(wù)器發(fā)送業(yè)務(wù)請求。在登錄控制的基礎(chǔ)上，采用對操作員進(jìn)行權(quán)限控制的方式來控制操作員對一卡通系統(tǒng)的訪問，使得不同的操作員只能在自己的權(quán)限范圍內(nèi)對系統(tǒng)進(jìn)行操作。為防止發(fā)生數(shù)據(jù)庫的合法用戶非法修改數(shù)據(jù)庫的重要數(shù)據(jù)的情況，可對數(shù)據(jù)庫的重要數(shù)據(jù)表加校驗。此外，系統(tǒng)將對所有的操作保存詳細(xì)的記錄，以便在發(fā)生問題后進(jìn)行追查。

     對于已有的與一卡通系統(tǒng)相關(guān)的數(shù)字化校園應(yīng)用系統(tǒng)，可以通過提供一整套應(yīng)用編程接口，使其經(jīng)過小范圍的改造，就能接人一卡通系統(tǒng)。由于應(yīng)用系統(tǒng)在接入一卡通系統(tǒng)時只能使用指定的接口，因而也只能完成許可范圍內(nèi)的操作，這樣就消除了其非法訪問一卡通系統(tǒng)中心數(shù)據(jù)庫的可能性。

     2．3 卡片及讀卡設(shè)備

     目前，一卡通系統(tǒng)中卡片大多數(shù)采用Mifare I非接觸式射頻IC卡，主要是考慮卡中信息在存儲及交易過程中的完整性、有效性和真實性，防止對卡片的偽造以及對卡中的信息進(jìn)行非法修改和非法使用。Mifare I卡通過天線感應(yīng)進(jìn)行讀寫操作，在出現(xiàn)電網(wǎng)干擾、感應(yīng)臨界點等情況下，可能出現(xiàn)讀寫信息出錯。為了降低讀寫信息出錯的概率，可以通過將頻繁寫的信息(如金額)和不常使用的信息(如姓名、學(xué)(工)號等)分別存放在不同的扇區(qū)來減少在頻繁使用的場合中讀寫信息的時間。通過對卡內(nèi)存儲的信息增加校驗算法，保證卡面只能被仿制，而卡內(nèi)信息不能被篡改。被篡改的卡由于卡內(nèi)信息不符合校驗算法，被使用時，通過上層軟件對這類異?？ńo予自動凍結(jié)。

     一卡通系統(tǒng)中讀卡設(shè)備的安全主要包括POS機(jī)的安全、圈存機(jī)的安全和系統(tǒng)黑白名單的管理。

     POS機(jī)是一卡通系統(tǒng)內(nèi)對卡片進(jìn)行讀寫操作的機(jī)具中裝備數(shù)量最大、使用頻率最高的設(shè)備，涉及校內(nèi)的食堂、餐廳、超市、圖書館、校醫(yī)院和體育場館等眾多的公共服務(wù)場所，且需要對卡內(nèi)的金額信息進(jìn)行讀寫操作，所以其穩(wěn)定運(yùn)行和存儲數(shù)據(jù)的安全可靠成為一卡通系統(tǒng)安全性重要的指標(biāo)之一。一方面，通過在讀寫電路上采取從電源穩(wěn)定到讀寫保護(hù)等一系列設(shè)計，可以降低出錯的概率；另～方面，采用在卡內(nèi)使用備份數(shù)據(jù)可以保證卡上的金額讀寫不出現(xiàn)差錯。

     圈存機(jī)的核心任務(wù)是將持卡人的銀行卡賬戶中的金額轉(zhuǎn)移到持卡人的校園卡賬戶和校園卡中。圈存操作的時間較長，為防止因持卡人在操作過程中從圈存機(jī)中取出校園卡，圈存機(jī)在感應(yīng)到校園卡被取出后立刻中止整個操作。也可通過設(shè)置吸人校園卡的機(jī)械裝置來確保在整個操作過程中校園卡不被取出。如果出現(xiàn)校園卡在圈存過程中被取出，造成的持卡人銀行卡金額已扣除但未寫人校園卡的情況，圈存機(jī)應(yīng)自動報警，并產(chǎn)生相應(yīng)的操作記錄，以便管理人員進(jìn)行處理。黑名單管理是各類讀卡機(jī)具都需要具備的一個重要功能。讀卡機(jī)具內(nèi)的數(shù)據(jù)存儲空間有限，而丟卡產(chǎn)生黑名單數(shù)量部是在增加，如果不采取措施控制，終有一天會出現(xiàn)讀卡機(jī)具數(shù)據(jù)存儲器寫滿、新掛失的卡片不能進(jìn)人黑名單的情況。而且，當(dāng)名單數(shù)量達(dá)到一定數(shù)量后，讀卡速度會受到影響，從而降低讀卡機(jī)具的處理速度。為控制黑名單的數(shù)量，一方面，采用設(shè)置卡片使用有效期的方法，在卡片開戶時寫有有效期。當(dāng)卡片超出有效期沒有重新注冊，讀卡機(jī)具會自動拒絕使用，系統(tǒng)會自動從讀卡機(jī)具內(nèi)清除這些黑名單。另一方面，采用批次的概念，將一屆學(xué)生設(shè)置為一個批次，當(dāng)該屆學(xué)生離校后，將該批次號掛失，同時從掛失庫中清除該批次卡號。

     2．4 交易數(shù)據(jù)

     為了確保交易數(shù)據(jù)存儲的安全，POS機(jī)內(nèi)包含大容量的非易失性存儲空間，以存儲足夠的脫機(jī)交易記錄和黑名單。在內(nèi)部的的數(shù)據(jù)存儲器空閑存儲空間不多時，POS機(jī)自動產(chǎn)生提示信息。在內(nèi)部的數(shù)據(jù)存儲器已經(jīng)滿時，POS機(jī)自動報警并拒絕消費(fèi)，保證已經(jīng)存儲的數(shù)據(jù)的安全可靠。存儲脫機(jī)交易流水信息時，在每條記錄中增加通過加密算法生成的校驗碼，以識別對數(shù)據(jù)存儲器的非法修改。為保證讀卡機(jī)具與中心數(shù)據(jù)庫服務(wù)器和應(yīng)用系統(tǒng)服務(wù)器之間的數(shù)據(jù)通信安全，讀卡機(jī)具在系統(tǒng)中進(jìn)行注冊，未注冊的機(jī)具卡片無法使用。為了應(yīng)對交易記錄從POS機(jī)到數(shù)據(jù)通訊網(wǎng)關(guān)的傳輸過程中被篡改而發(fā)生的交易記錄的安全問題，在普通的POS機(jī)中，每產(chǎn)生及上傳一筆交易記錄時，每筆記錄中均采用校驗，然后上傳至數(shù)據(jù)通訊網(wǎng)關(guān)。數(shù)據(jù)通訊網(wǎng)關(guān)通過驗證校驗碼，以確保采集到的校驗記錄的完整性和合法性。

     為應(yīng)對數(shù)據(jù)傳輸過程中因網(wǎng)絡(luò)故障而導(dǎo)致的數(shù)據(jù)丟失，在POS機(jī)的硬件設(shè)計中增加重復(fù)采集的功能。即在采集脫機(jī)交易流水信息時，只是移動指針，采集完畢后流水信息仍存在于POS機(jī)的數(shù)據(jù)存儲器內(nèi)，以便對全部或指定范圍的流水信息記錄重新采集。數(shù)據(jù)丟失往往是因為存儲 片中的數(shù)據(jù)指針丟失造成的，需要將數(shù)據(jù)指針保存在存儲器中的多處不同位置。只要有一處存在指針，即可確保數(shù)據(jù)讀取正確。

     2．5 網(wǎng)絡(luò)環(huán)境

     目前，一卡通系統(tǒng)大多依托校園網(wǎng)進(jìn)行建設(shè)。校園網(wǎng)中的網(wǎng)絡(luò)環(huán)境如路由器、交換機(jī)及網(wǎng)絡(luò)線路必須安全穩(wěn)定。為確保數(shù)據(jù)傳輸?shù)陌踩?，中心?shù)據(jù)庫服務(wù)器、圈存機(jī)、語音服務(wù)、銀校轉(zhuǎn)賬前置機(jī)等專用設(shè)備還應(yīng)鋪設(shè)有一定冗余的專網(wǎng)線路，專網(wǎng)線路和各業(yè)務(wù)部門采用虛擬專用網(wǎng)(VLAN)相連。對于無法實現(xiàn)專網(wǎng)線路的場所，在原有網(wǎng)絡(luò)環(huán)境的基礎(chǔ)上，通過VLAN手段和基于源IP地址和目的IP地址的訪問控制列表來完成對用戶對一卡系統(tǒng)中數(shù)據(jù)訪問限制。

     2．6 網(wǎng)絡(luò)數(shù)據(jù)傳輸

     在一卡通系統(tǒng)中，為了體現(xiàn)三層架構(gòu)的優(yōu)越性，許多基礎(chǔ)及核心功能用Web Service來實現(xiàn)，這大大增加了系統(tǒng)的可重用性和可伸縮性，使其易于擴(kuò)展和維護(hù)。但是，在利用Web Service帶來便利的同時，也帶來了安全上的隱患。這是因為Web Service是一種分布式的組件，發(fā)布在Internet上，對外提供統(tǒng)一的接口以及外部調(diào)用，在沒有安全措施的情況下，任何知曉接口屬性(可通過WSDL的接口描述獲得)的一方都可以使用Web Service提供的功能，這就帶來了安全的隱患。因此，為了保證一卡通系統(tǒng)的安全性，必須采取措施以保證Web Service的安全。在一卡通系統(tǒng)中，采用CA認(rèn)證方案，使用X．509數(shù)字證書來保證安全性。在CA認(rèn)證體系中，數(shù)字證書是一個經(jīng)證書認(rèn)證中心(CA)數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件，其遵循ITU的X．509 V3標(biāo)準(zhǔn)。

     另外，所有接人一卡通系統(tǒng)的應(yīng)用系統(tǒng)，都采用EKey加密卡完成身份認(rèn)證及數(shù)據(jù)安全傳輸和數(shù)據(jù)安全存儲。密鑰存儲在EKey中，由EKey加密卡內(nèi)置的加密算法實現(xiàn)敏感數(shù)據(jù)的硬加密。EKey應(yīng)是通過國家密碼管理委員會認(rèn)證的硬件加密產(chǎn)品，支持DES／3DES／MD5等加密算法，支持RAS1024bit、ECCl60bit／l92bit公鑰算法。

     2．7 網(wǎng)絡(luò)防病毒

     計算機(jī)病毒，特別是網(wǎng)絡(luò)病毒，已經(jīng)成了信息時代的公害。新一代病毒所運(yùn)用的技術(shù)使其傳播速度極快，偽裝更巧妙，破壞力更強(qiáng)，攻擊更加頻繁。在一卡通系統(tǒng)中，有些終端不可避免地聯(lián)接校園網(wǎng)，所以網(wǎng)絡(luò)防病毒也就成了系統(tǒng)不可或缺的一部分。要使用企業(yè)版網(wǎng)絡(luò)防病毒產(chǎn)品，提供穩(wěn)定集成的網(wǎng)絡(luò)防護(hù)。

     3 結(jié) 語

     作為數(shù)字化校園的基礎(chǔ)和核心系統(tǒng)------一卡通系統(tǒng)，從分析、設(shè)計到實現(xiàn)要充分體現(xiàn)安全性理念。在一卡通安全管理體制的監(jiān)督保障下，一卡通系統(tǒng)的建設(shè)對未來數(shù)字化校園的提升和完善起著非常重要的推動作用。(遼寧科技大學(xué)網(wǎng)絡(luò)信息中心，楊延朋)

     參考文獻(xiàn)： 
     [1]COMER D E．用TCP／IP進(jìn)行網(wǎng)際互聯(lián)：第一卷[M]．北京：電子工業(yè)出版社，2001：1．
     [2]李宏芳．一種高安全的校園一卡通設(shè)計[J]．計算機(jī)與現(xiàn)代化，2005，(2)：78—80．
     [3]衛(wèi)星．校園一卡通平臺設(shè)計[J]．四川師范大學(xué)學(xué)報：自然科學(xué)版，2003，26(3)：315—318．
     [4]王景中，徐小青．基于智能IC卡的網(wǎng)絡(luò)數(shù)據(jù)安全保密系統(tǒng)[J]．計算機(jī)應(yīng)用，2001，21(7)：53—55
     [5]戴紅．清華大學(xué)校園一卡通實施方案介紹[J]．金卡工程，2001，(11)：37—47．
     [6]遼寧科技大學(xué)一卡通系統(tǒng)設(shè)計方案[DB／OL]．http：／／wwW．newcap．com．cn．2008—02—03