基于虛擬專用網(wǎng)技術(shù)的一卡通網(wǎng)絡(luò)安全設(shè)計(jì)與實(shí)現(xiàn)

文章出處：http:// 作者：楊 明， 郭樹(shù)旭， 王 雋   人氣： 發(fā)表時(shí)間：2011年12月07日

    2008年北京奧運(yùn)會(huì)實(shí)現(xiàn)了“科技奧運(yùn)”的承諾，在奧運(yùn)會(huì)期間充分運(yùn)用現(xiàn)代信息技術(shù)，成功地支撐了奧運(yùn)會(huì)各項(xiàng)工作。某局?jǐn)?shù)字體育一卡通就是其中的實(shí)踐項(xiàng)目。在數(shù)字體育項(xiàng)目中，一卡通系統(tǒng)是數(shù)字體育的基礎(chǔ)工程和重要的組成部分，通過(guò)構(gòu)建各類體育信息庫(kù)和應(yīng)用系統(tǒng)，實(shí)現(xiàn)內(nèi)部管理、公眾服務(wù)、在線支付和通訊等功能。支付安全是一卡通系統(tǒng)實(shí)現(xiàn)的核心內(nèi)容，即防范交易數(shù)據(jù)在網(wǎng)上傳輸時(shí)，數(shù)據(jù)被監(jiān)聽(tīng)、篡改和偽造。本文介紹了虛擬專用網(wǎng)(VPN)在一卡通支付系統(tǒng)的應(yīng)用情況，通過(guò)不同類型虛擬專用網(wǎng)對(duì)比分析，改進(jìn)了傳統(tǒng)的一卡通安全機(jī)制和實(shí)現(xiàn)方式，較好地解決了網(wǎng)絡(luò)支付安全問(wèn)題。
 
    1 系統(tǒng)安全分析
 
    體育一卡通實(shí)現(xiàn)了對(duì)某局所有經(jīng)營(yíng)項(xiàng)目進(jìn)行收費(fèi)，除此之外，還要實(shí)時(shí)提供某局各個(gè)運(yùn)動(dòng)場(chǎng)館完整、準(zhǔn)確的票務(wù)數(shù)據(jù)，具有很高的安全性要求。未來(lái)還要實(shí)現(xiàn)電子商務(wù)、實(shí)時(shí)預(yù)定場(chǎng)館票務(wù)。這就要求在安全設(shè)計(jì)時(shí)既要滿足當(dāng)前的業(yè)務(wù)需要，又要兼顧系統(tǒng)日后的發(fā)展。
 
    傳統(tǒng)的一卡通系統(tǒng)一般遵從雙線工作的RS485標(biāo)準(zhǔn)，整個(gè)網(wǎng)絡(luò)以總線形式存在，所有POS機(jī)都“掛”在總線上，服務(wù)器端通過(guò)查詢方式定時(shí)讀取各POS機(jī)內(nèi)流水記錄。由于標(biāo)準(zhǔn)的RS485采用串聯(lián)方式，系統(tǒng)輪循在各個(gè)PC機(jī)或POS機(jī)采集數(shù)據(jù)，再上傳到中央服務(wù)器進(jìn)行處理。適合應(yīng)用于一般餐飲、門禁等非獨(dú)占資源系統(tǒng)。但是對(duì)于體育場(chǎng)館獨(dú)占資源的消費(fèi)模式就會(huì)出現(xiàn)像操作系統(tǒng)中進(jìn)程競(jìng)爭(zhēng)的現(xiàn)象，給系統(tǒng)安全帶來(lái)隱患。同時(shí)，由于調(diào)制解調(diào)過(guò)程以及傳輸距離的關(guān)系，所有設(shè)備要共享狹窄的傳輸帶寬,網(wǎng)絡(luò)傳輸速度較慢，RS485標(biāo)準(zhǔn)不適合大型分布式網(wǎng)絡(luò)模式。此外，通過(guò)Internet實(shí)時(shí)預(yù)訂場(chǎng)館票務(wù)時(shí)，要求票據(jù)、消費(fèi)金額等數(shù)據(jù)傳輸必須是安全的、保密的、不被篡改的。而傳統(tǒng)的一卡通系統(tǒng)安全性主要體現(xiàn)在獨(dú)立的局部網(wǎng)絡(luò)數(shù)據(jù)專網(wǎng)中，其靈活性、擴(kuò)展性受到制約。
 
    為了滿足政務(wù)、電子票務(wù)、財(cái)務(wù)等系統(tǒng)應(yīng)用的高效、安全及遠(yuǎn)程互連，必須對(duì)傳統(tǒng)的一卡通實(shí)現(xiàn)機(jī)制進(jìn)行改進(jìn)，并滿足以下要求：
 
    (1) 采用技術(shù)手段保證通過(guò)Internet的連接是安全的、加密的。
 
    (2) 實(shí)現(xiàn)網(wǎng)絡(luò)的邊界安全，在網(wǎng)絡(luò)的出入口設(shè)置安全控制。
 
    (3) 實(shí)現(xiàn)內(nèi)部各機(jī)構(gòu)網(wǎng)絡(luò)接口的安全，控制內(nèi)外部訪問(wèn)的TCP/IP端口。
 
    (4) 實(shí)施安全保護(hù)后，系統(tǒng)性能不受影響，確保網(wǎng)絡(luò)服務(wù)的可用性。
 
    2 系統(tǒng)安全的設(shè)計(jì)與實(shí)現(xiàn)
 
    為了滿足一卡通系統(tǒng)高效互連，對(duì)傳統(tǒng)POS依靠RS485的安全機(jī)制進(jìn)行了改進(jìn)，開(kāi)發(fā)了新一代基于TCP/IP協(xié)議的POS機(jī)，保證數(shù)據(jù)即時(shí)處理和數(shù)據(jù)的一致性。POS直接連接到以太網(wǎng)信息點(diǎn)，通過(guò)路由器（安全網(wǎng)關(guān)）與中央數(shù)據(jù)庫(kù)通信。但是以TCP/IP協(xié)議為基礎(chǔ)的互聯(lián)網(wǎng)只注重網(wǎng)絡(luò)的連接性、開(kāi)放性和兼容性，而忽略了網(wǎng)絡(luò)的安全性。在這樣的網(wǎng)絡(luò)環(huán)境下，傳輸過(guò)程中的消費(fèi)信息完全可能被偽造、篡改或偷窺，信息的完整性、機(jī)密性、真實(shí)性和信息發(fā)送者的不可抵賴性得不到保證。
 
    為了滿足一卡通系統(tǒng)的安全性，采用基于IPSec（IP Security）協(xié)議的虛擬專用網(wǎng)技術(shù)[1]，為通過(guò)1個(gè)公用網(wǎng)絡(luò)建立1條臨時(shí)、安全、穩(wěn)定的隧道。采用加密、認(rèn)證等技術(shù)在公共互連網(wǎng)上構(gòu)建安全加密信息傳輸通道，解決基于互聯(lián)網(wǎng)傳輸信息的安全隱患，達(dá)到一卡通專用網(wǎng)絡(luò)的效果，方案中采用了3種實(shí)現(xiàn)方式[2-3]。
 
    2.1 虛擬專用撥號(hào)網(wǎng)絡(luò)
 
    對(duì)于公司內(nèi)部經(jīng)常有流動(dòng)人員遠(yuǎn)程辦公的情況，采用虛擬專用撥號(hào)網(wǎng)VDPN(Virtual Private Dial Network)方式，實(shí)現(xiàn)了安全地連接移動(dòng)用戶、遠(yuǎn)程工作者或分支機(jī)構(gòu)。通過(guò)一個(gè)擁有與專用網(wǎng)絡(luò)相同策略的共享基礎(chǔ)設(shè)施，提供用戶對(duì)企業(yè)內(nèi)部網(wǎng)資源隨時(shí)、隨地遠(yuǎn)程訪問(wèn)。用戶只要連接到當(dāng)?shù)氐腎SP服務(wù)提供商，通過(guò)因特網(wǎng)虛擬專用通道就可實(shí)現(xiàn)與企業(yè)網(wǎng)連接，減少用于相關(guān)的調(diào)制解調(diào)器和終端服務(wù)設(shè)備的資金及遠(yuǎn)距離通信的費(fèi)用。
 
    2.2 企業(yè)內(nèi)部虛擬網(wǎng)
 
    對(duì)于不同地域間的場(chǎng)館，采用了組建企業(yè)內(nèi)部虛擬網(wǎng)（Intranet VPN）方式實(shí)現(xiàn)各分支機(jī)構(gòu)網(wǎng)絡(luò)互連、實(shí)時(shí)計(jì)費(fèi)、內(nèi)部資源共享、文件傳遞等。利用Internet線路保證網(wǎng)絡(luò)的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個(gè)Intranet VPN上安全傳輸。企業(yè)擁有與專用網(wǎng)絡(luò)的相同政策(包括安全、服務(wù)質(zhì)量、可管理性和可靠性)，可節(jié)省租用專線所帶來(lái)的高額費(fèi)用。
 
    2.3 企業(yè)擴(kuò)展虛擬網(wǎng)
 
    隨著信息時(shí)代的到來(lái)，各個(gè)企業(yè)之間的合作關(guān)系也越來(lái)越多，信息交換日益頻繁，利用VPN技術(shù)可以組建安全的企業(yè)擴(kuò)展虛擬網(wǎng)(Extranet VPN)。以某局為例，通過(guò)因特網(wǎng)共享基礎(chǔ)設(shè)施，將全球（美國(guó)體育集團(tuán)公司、巴西體育集團(tuán)公司）客戶、供應(yīng)商、合作伙伴或興趣群體連接到企業(yè)內(nèi)部網(wǎng)，企業(yè)擴(kuò)展虛擬網(wǎng)連接如圖1所示。 

    通過(guò)Extranet VPN能容易地對(duì)外部網(wǎng)進(jìn)行部署和管理，保證通過(guò)互聯(lián)網(wǎng)通信的安全性、機(jī)密性、可認(rèn)證性和完整性等安全性能。

    通過(guò)構(gòu)建基于VPN技術(shù)的一卡通系統(tǒng),實(shí)現(xiàn)了高效、安全的網(wǎng)絡(luò)支付應(yīng)用。這主要體現(xiàn)在以下方面：

    (1)安全保障。VPN保證了公用網(wǎng)絡(luò)平臺(tái)傳輸數(shù)據(jù)的專用性和安全性，即在公共互連網(wǎng)上建立一條邏輯的、點(diǎn)對(duì)點(diǎn)的連接隧道，保證了數(shù)據(jù)的私有性和安全性。

    (2)服務(wù)質(zhì)量保證QoS（Quality of Service）。VPN為企業(yè)數(shù)據(jù)提供不同等級(jí)的服務(wù)質(zhì)量保證，可以按照優(yōu)先級(jí)分配帶寬資源，預(yù)防阻塞的發(fā)生。

    (3)可擴(kuò)充性和靈活性。VPN支持通過(guò)設(shè)備增配滿足對(duì)高質(zhì)量數(shù)據(jù)傳輸以及帶寬增加的需求，符合網(wǎng)絡(luò)建設(shè)的可擴(kuò)展性和靈活性的原則。

    (4)可管理性。VPN可方便地進(jìn)行管理、維護(hù)，使得企業(yè)將其網(wǎng)絡(luò)管理功能從局域網(wǎng)無(wú)縫地延伸到公用網(wǎng)，實(shí)現(xiàn)對(duì)企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。

    (5)經(jīng)濟(jì)性。通過(guò)VPN構(gòu)建，企業(yè)不必租用長(zhǎng)途專線建設(shè)專網(wǎng)，不必投入大量的網(wǎng)絡(luò)維護(hù)人員和設(shè)備，符合網(wǎng)絡(luò)建設(shè)的經(jīng)濟(jì)合理性的原則。 

    3 系統(tǒng)安全的實(shí)施及測(cè)試 

    3.1系統(tǒng)的部署
 
    一卡通系統(tǒng)由結(jié)算中心和運(yùn)營(yíng)單位組成，結(jié)算中心負(fù)責(zé)一卡通系統(tǒng)的發(fā)卡管理、密鑰管理、清算管理、運(yùn)營(yíng)管理、設(shè)備管理；運(yùn)營(yíng)單位負(fù)責(zé)與一卡通結(jié)算管理中心及各種終端設(shè)備的網(wǎng)絡(luò)通信和數(shù)據(jù)交換。通過(guò)城市通信網(wǎng)將結(jié)算中心與各個(gè)運(yùn)營(yíng)單位的電子收費(fèi)系統(tǒng)聯(lián)網(wǎng)，當(dāng)在不安全的互聯(lián)網(wǎng)上流通時(shí),通過(guò)VPN網(wǎng)關(guān)的加密功能確保信息是密文形式。這樣,即便信息被截取，也無(wú)法偷窺或篡改其內(nèi)容，從而保證信息的安全性、機(jī)密性、可認(rèn)證性和完整性，有效地控制企業(yè)風(fēng)險(xiǎn)[4]。同時(shí)由于POS機(jī)接入交換機(jī)，可以使整個(gè)系統(tǒng)的安全性承擔(dān)到各個(gè)子系統(tǒng)中，即便某局部網(wǎng)絡(luò)出現(xiàn)故障，也不會(huì)影響整個(gè)系統(tǒng)運(yùn)行，具有良好的擴(kuò)展性、兼容性和先進(jìn)性。一卡通網(wǎng)絡(luò)與安全部署如圖2所示。
 

    3.2系統(tǒng)安全的測(cè)試
 
    3.2.1性能測(cè)試
 
    （1）ping服務(wù)測(cè)試
 
    在工作環(huán)境中，采用ping測(cè)試的網(wǎng)絡(luò)服務(wù)，對(duì)該安全網(wǎng)關(guān)的數(shù)據(jù)包處理能力進(jìn)行測(cè)試，測(cè)試結(jié)果如表1所示。 

    通過(guò)數(shù)據(jù)分析，在應(yīng)用VPN(采用IPSec加密策略)后安全網(wǎng)關(guān)轉(zhuǎn)發(fā)數(shù)據(jù)包的速度明顯下降，這是因?yàn)椴捎肐PSec 的ESP 加密IP 數(shù)據(jù)包需要一定時(shí)間,并且性能與采用具體加密算法有關(guān)。

    (2) 應(yīng)用測(cè)試
 
    在工作環(huán)境中，網(wǎng)絡(luò)連接登錄時(shí)稍感延遲。但是連接網(wǎng)絡(luò)后，日常操作與平常無(wú)明顯異常。這是因?yàn)樵谑状尉W(wǎng)絡(luò)登錄連接過(guò)程中，IPSec要進(jìn)行一系列的安全協(xié)商。這也是表1中ping的最大時(shí)間較大，而平均時(shí)間較小的原因。通過(guò)測(cè)試可見(jiàn)，在系統(tǒng)的性能上，采用VNP安全措施是完全可行的。
 
    3.2.2 安全性測(cè)試
 
    未實(shí)施VPN安全保護(hù)環(huán)境之前，采用Sniffer軟件監(jiān)聽(tīng)網(wǎng)絡(luò)信息，不僅能監(jiān)控到用戶登錄名及密碼，而且會(huì)話協(xié)商內(nèi)容也一覽無(wú)遺，并且可以利用Sniffer工具對(duì)監(jiān)聽(tīng)到的信息進(jìn)行修改，對(duì)系統(tǒng)的正常運(yùn)行構(gòu)成了極大的安全隱患。圖3所示的陰影部分顯示出每次交易的信息。 

    在應(yīng)用了VPN安全策略后，再使用Sniffer 進(jìn)行監(jiān)控[5]，竊聽(tīng)結(jié)果就大不一樣，會(huì)話協(xié)商的內(nèi)容變成了一堆亂碼，如圖4所示。 

    利用VPN建立一個(gè)可選擇的安全通道保證了信息傳輸?shù)陌踩箷?huì)話協(xié)商的安全性得到了保證，消費(fèi)信息經(jīng)過(guò)加密處理和認(rèn)證處理，保證了數(shù)據(jù)的完整性、機(jī)密性和真實(shí)性。VPN保護(hù)是“透明性”的，系統(tǒng)提供的安全服務(wù)具有很強(qiáng)的靈活性和適應(yīng)性，一般用戶絲毫覺(jué)察不到安全網(wǎng)關(guān)的存在。
 
    體育一卡通是某局信息化工程的核心工程，同時(shí)響應(yīng)了數(shù)字北京、數(shù)字奧運(yùn)的要求，邁出了積極探索、創(chuàng)新“數(shù)字體育”的重要一步。在Internet連接和基于IP網(wǎng)絡(luò)錯(cuò)綜復(fù)雜的環(huán)境下，這些新的通信需求已經(jīng)超出了傳統(tǒng)一卡通網(wǎng)絡(luò)解決方案的處理能力。對(duì)比傳統(tǒng)一卡通系統(tǒng)實(shí)現(xiàn)方式，通過(guò)技術(shù)的分析，突出了VPN的優(yōu)勢(shì)?；贗P的虛擬專用網(wǎng)解決方案將數(shù)據(jù)流轉(zhuǎn)移到低成本的互聯(lián)網(wǎng)網(wǎng)絡(luò)上，可大幅度地減少用戶花費(fèi)在城域網(wǎng)和遠(yuǎn)程網(wǎng)絡(luò)連接上的費(fèi)用。同時(shí)，簡(jiǎn)化了網(wǎng)絡(luò)的設(shè)計(jì)和管理、方便了新用戶與網(wǎng)站的連接、增強(qiáng)了網(wǎng)絡(luò)安全。VPN技術(shù)已成為一種較為理想的一卡通系統(tǒng)遠(yuǎn)程互連及安全解決方案，對(duì)推動(dòng)一卡通金卡工程、電子商務(wù)、電子貿(mào)易將起到不可低估的作用。