商用密碼技術在高速聯網收費系統(tǒng)的應用研究-蔡冠軍

第14卷第3期2023年6月Vol.14No.3Jun.2023第14卷第3期2023年6月Vol.14No.3Jun.2023CyberspaceSecurity(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.商用密碼技術在高速聯網收費系統(tǒng)的應用研究（江蘇寧宿徐高速公路有限公司，江蘇宿遷223800）[目的/意義]密碼是網絡信息安全的基礎和核心，是國家網絡信息建設的重要組成部分。高速聯網收費系統(tǒng)作為我國關鍵信息基礎設施重點應用之一，其信息系統(tǒng)數據敏感而且重要，系統(tǒng)運營者應當使用商用密碼對系統(tǒng)信息加密保護。[方法/過程]為了構建高速聯網收費系統(tǒng)自主、安全、可控的信息技術體系，基于商用密碼應用的安全性評估以及國家的相關法律法規(guī)文件的要求，針對業(yè)務密碼管理和密碼改造應用，從密碼動態(tài)管理、物理與環(huán)境安全、網絡與通信安全、設備與計算安全、應用與數據安全等層面提出改進措施。[結果/結論]分析了當前高速聯網收費系統(tǒng)在密碼應用過程中存在的問題和風險，通過商用密CaiGuanjunYangWengeng（JiangsuNingsuxuExpresswayCo.,Ltd.,JiangsuSuqian223800）Abstract:[Purpose/Significance]Passwordisthefoundationandcoreofnetworkinformationsecurityandanimportantpartofnationalnetworkinformationconstruction.AsoneoftheimportantindustriesofChina'scriticalinformationinfrastructure,thehigh-speednetworkchargingsystemhassensitiveandimportantinformationsystemdata,andsystemoperatorsshouldusecommercialpasswordstoencryptandprotectsysteminformation.[Method/Process]Inordertobuildanautonomous,secureandcontrollableinformationtechnologysystemforhigh-speednetworkchargingsystem,itisbasedonthesecurityassessmentofcommercialcryptographyapplicationsandtherequirementsofrelevantnationallawsandregulations.Forbusinesspasswordmanagementandpasswordtransformationapplications,improvementmeasuresareproposedfromseverallevels,suchaspassworddynamicmanagement,physicalandenvironmentalsecurity,networkandcommunicationsecurity,deviceandcomputingsecurity,applicationanddatasecurity.[Results/Conclusion]Thispaperanalyzestheproblemsandrisksinthecurrenthigh-speednetworkchargingsystemintheprocessofcryptographicapplication,andensuresdatasecurity,networksecurity,privacysecurityandpasswordsecuritythroughcommercialcryptographytechnology.Buildasecuritysystemwithcryptographytechnologyasthecoreandasecureenvironmentsupportedbycryptographicinfrastructuretoprovidemorecompletesecurityservicesforbusinesssystems.Keywords:commercialcryptography;informationsecurity;datasecurity;networksecurity;passwordtransformation2023年第3期網絡空間安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.隨著信息技術的不斷發(fā)展和信息化建設的不斷進步，信息系統(tǒng)在管理和運營中全面應用，系統(tǒng)管理和運維壓力越來越大，越權訪問、誤操作、濫用和惡意破壞等情況時有發(fā)生，嚴重地影響到了信息系統(tǒng)等業(yè)務系統(tǒng)的經濟運行效能，并對社會造成重大影響。如何提高系統(tǒng)運維管理水平，跟蹤業(yè)務系統(tǒng)上用戶的操作行為，保障系統(tǒng)運行安全，密碼應用是不可或缺的基礎和核心，已成為國家網絡信息安全建設的重要組成部分。近年來，為確保國家信息安全、社會穩(wěn)定、經濟可持續(xù)發(fā)展，國家陸續(xù)出臺了一系列安全法律法規(guī)。例如，《中華人民共和國電子簽名法》《中華人民共和國密碼法》《中華人民共和國網絡安全法》《中華人民共和國電子商務法》《中華人民共和國個人信息保護法》法規(guī)，以及《網絡安全等級保護條例》《信息安全技術網絡安全等級保護基本要求（等保2.0）》《信息安全技術信息系統(tǒng)密碼應用基本要求（GB/T39786-2021）》《國家政務信息化項目建設管理辦法》（國辦發(fā)〔2019〕57號）等文件，對信息系統(tǒng)安全做出了規(guī)范和指引，目的就是要提高網絡安全應用水平，通過密碼技術確保數據安全、網絡安全、隱私安全和密碼安全[1-2]。從高速聯網收費系統(tǒng)應用安全以及數據上報、存儲、共享等過程的安全問題考慮，需有效防止假冒身份、篡改信息、篡改時間、越權操作以及否定責任等問題，因此采用可靠的密碼應用技術，實現身份認證、可靠電子簽名和時間戳等功能，以保證數據在生成、傳輸、存儲、利用的全生命周期過程的真實、完整、準確，這既是國家政策要求，亦是高速聯網收費系統(tǒng)的安全需求。高速聯網收費系統(tǒng)一般采用傳統(tǒng)的“用戶名+密碼”的身份認證方法，密碼設置簡單，無法實現定期修改，認證的安全強度較低，無法滿足系統(tǒng)較高的安全需求。另外，對于某些關鍵崗位或關鍵操作，沒有進行多因子認證和二次驗證，也為應用系統(tǒng)的安全帶來一定風險。面臨主要需求有4點：一是對收費系統(tǒng)、監(jiān)控系統(tǒng)網絡設備、安全設備的密碼統(tǒng)一管理，對具備修改權限的用戶實現密碼錄入，自動生成新的密碼，定期自動更新；二是對收費計算機、服務器、工控機操作系統(tǒng)等軟件的密碼管理，密碼自動生成，自動更新；三是對監(jiān)控編碼器、NVR、攝像機、車牌識別等設備密碼的管理，密碼自動生成，自動更新。對于不支持RADIUS、AD、OTP、SNMP等協議的設備，由業(yè)主負責協調廠商優(yōu)化；四是對收費員、管理人員、維護人員等用戶的密碼管理。為了響應國家和省密碼局關于做好系統(tǒng)密評結果備案工作的要求，高速聯網收費系統(tǒng)需進行密碼應用安全性評估工作并進行備案，包括密碼應用咨詢、密碼應用方案設計、密鑰管理評估、安全管理評估、測評服務和成果展示等，探索研究收費系統(tǒng)的密碼應用建設規(guī)范。高速聯網收費系統(tǒng)由數據中心、密碼管理子系的用戶信息、用戶身份、密碼憑證、密碼策略等數管理、密碼憑證管理等密碼管理功能[3]；密碼安全管理子系統(tǒng)：實現多因素安全認證、風險動態(tài)密碼管高速聯網收費系統(tǒng)架構圖如圖1所示。根據收費業(yè)務管理需求，在辦理不同類型事項的安全要求不同，用戶可以使用用戶名/口令、動蔡冠軍，等：商用密碼技術在高速聯網收費系統(tǒng)的應用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.態(tài)口令等多種身份憑證進行身份認證和訪問。滿足收費員、運維人員、管理人員不同用戶群體對系統(tǒng)的使用權限個性化需求，實現不同環(huán)境的身份密碼憑證應用，支持多種不同憑證的應用和組合，支持對密碼憑證的管理，適應移動終端和PC終端的多環(huán)境便攜使用。因此，需要采取有效的技術和管理手段支持多憑證的簽發(fā)和管理，支持用戶的多憑證管理，如用戶名密碼口令憑證、數字證書憑證、動態(tài)令牌憑證等。對用戶的密碼憑證進行統(tǒng)一管理，管理內容包用戶名密碼是用戶的身份憑證，密碼策略為用戶密碼應遵行的一個規(guī)則，包括密碼長度、密碼規(guī)則、密碼鎖定用戶、密碼修改等密碼相關的規(guī)則。密碼策略作為安全策略的一部分，可以為不同層次的用戶確定不同的安全級別，體現了用戶的層次管理和系統(tǒng)安全的重要性原則。因此，需要采取能夠設置用戶密碼復雜的安全策略、密碼錯誤次數策略、首次登錄必須修改密碼、周期性修改密碼等安全措施，同時需要密碼策略全局共享，相應權限的管理員能夠維護密碼策略，支持設置用戶密碼的安全策略，平臺提供認證多次失敗后自動鎖定能力，超過鎖定時間將自動解鎖，也可支持系統(tǒng)管理員進行手動解鎖，其中密碼失敗次數、密碼失敗后鎖定時間、密碼鎖定后郵件通知安全措施可通過參數配弱密碼即容易破解的密碼，多為簡單的數字組合、賬號相同的數字組合易于被他人破解，因此需要實現對弱密碼的專門管理，包括提供統(tǒng)一的弱密碼庫并進行維護管理，采用注冊、認證雙重防護機制實現對弱密碼的屏蔽?；赗adius協議，提供設備的全生命周期管理，包括設備入庫、調整等過程中的設備賬號創(chuàng)建、設備變更、設備注銷等功能，能夠對臨時設備管理，設備憑證可以創(chuàng)建有效期，實現對網絡設備動態(tài)認證，包括用戶名密碼認證（靜態(tài)）、OTP令牌認證（動態(tài)）等，對設備密碼進行周期性維護，2023年第3期網絡空間安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.自定義維護提示周期和密碼修改周期。針對Linux操作系統(tǒng)，通過與Linux服務器中的認證模塊進行對接，基于Radius協議，在控制臺中進行登錄時包括用戶名密碼認證（靜態(tài)）、OTP令牌認證（動態(tài)）等認證方式，對設備密碼進行周期性維護，自定義維護提示周期和密碼修改周期。針對Windows操作系統(tǒng)，包括兩種方式，一是為若用戶自己本身有AD或LDAP，Windows系統(tǒng)將認證域設置為AD域，通過AD認證，實現對AD密碼進行管理；二是為通過客戶端軟件支持Window認證進行多因子認證，其中的密碼管理詳見“密碼策略管理”和“弱密碼管理”。由于應用資源安全重要程度不同，訪問應用資源的認證復雜度也不盡相同。針對訪問安全要求比較低的應用資源，采用傳統(tǒng)的用戶名密碼模式即可，但是對于安全要求比較高的應用資源，可提供更高安全的認證方式，包括數字證書、一次性口令、生物識別、動態(tài)令牌、第三方認證（支付寶、釘釘、微信等）等認證方式，支持身份認證源擴展。支持多因子認證，可自由組合兩種或多種認證方式，形成雙因子認證和多因子認證。對高速聯網收費系統(tǒng)中關鍵信息進行安全加密防護，包括用戶名密碼等信息，確保可信用戶庫的安全，實現用戶隱私信息的安全防護同時可支持數據存儲采用基于國產算法格式不變隱私保護加密，動態(tài)選擇加密。高速聯網收費系統(tǒng)通過加密、簽名和安全通道等方式，確保敏感信息在交互和存儲過程中的安全性，同時還具備安全的防護機制，例如防止XSS和SQL注入漏洞、DDoS攻擊和釣魚重定向等，以確保系統(tǒng)本身和業(yè)務系統(tǒng)的安全性。結合《信息安全技術信息系統(tǒng)密碼應用基本要求》收費系統(tǒng)網絡安全保護等級提出的密碼應用要求，在滿足總體性、完備性、經濟性原則的基礎上，部署安全認證網關、服務器密碼機、簽名驗簽服務器、國密瀏覽器、智能密碼鑰匙、數字證書、安全門禁系統(tǒng)等密碼產品，正確部署配置以滿足系統(tǒng)的密碼應用需求。高速聯網收費系統(tǒng)密碼應用技術框架如圖2所示。在高速聯網收費系統(tǒng)機房部署符合《信息安全技術信息系統(tǒng)密碼應用基本要求》第三級別要求的安全門禁系統(tǒng)。安全門禁系統(tǒng)由電子門禁系統(tǒng)、安全加密存儲設備組成。電子門禁系統(tǒng)使用SM4算法進行密鑰分散，實現門禁卡的“一卡一密”，并SM4算法對人員身份進行鑒別。安全加密存儲設備實現機房進出人員的身份鑒別，對人員進出記錄數據進行完整性保護[4]。部署符合滿足GB35114-2017《公共安全視頻監(jiān)控聯網信息安全技術要求》標準要求的視頻監(jiān)控存儲系統(tǒng)，前端為網絡攝像機，后端為系統(tǒng)視頻服務系統(tǒng)（內置國密密碼卡），全面符合國密標準，保證數據的安全性、真實性和完整性，實現重要區(qū)域頻監(jiān)控音像記錄數據的存儲完整性保護[6]。蔡冠軍，等：商用密碼技術在高速聯網收費系統(tǒng)的應用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.針對于身份鑒別、通信過程中重要數據的機密性和完整性，部署符合GM/T0024-2014《SSLVPN服務器和數據庫服務器采用SSH2.0以協議，對管理通道的信道加密，以保障堡壘機到應用服務器、數據庫服務器遠程管理通道的安全。要求》的國密IPSec/SSLVPN綜合安全網關，配合國密瀏覽器，使用國密SSL技術建立安全的數據傳輸通道，實現客戶端與高速營運和支撐管理平臺應用服務器的通信信道、客戶端與高速聯網收費系統(tǒng)應用服務器的通信信道的身份鑒別真實性，同時實現數據在通信過程中的機密性和完整性。運維人員在進行堡壘機訪問或管理設備時，使用內置個人數字證書的智能密碼鑰匙，通過通用瀏覽器或國密瀏覽器訪問安全認證網關。安全認證網關基于證書體系進行驗證，驗證通過后運維人員再訪問堡壘機，以確保運維人員身份的真實性。運維人員在通過安全認證網關的身份鑒別后進全認證網關到堡壘機的通道；二是堡壘機到應用服務器的通道；三是堡壘機到數據庫服務器的通道。安全認證網關到堡壘機的通道采用堡壘機具有RSA2048位算法的SSL加密信道，以保障安全認證網關到堡壘機遠程管理通道的安全。堡壘機到應用收費人員、信息管理員通過本人持有的智能密碼鑰匙（已經簽發(fā)數字證書），插入個人電腦USB口，在高速聯網收費系統(tǒng)的代碼集成后，即可進行基于數字證書的身份鑒別登錄OW密碼技術應用技術流程如圖3所示。具體操作流程涉及7個環(huán)節(jié)。（1）收費人員、信息管理員打開收費客戶端登錄界面，請求登錄。（2）高速聯網收費系統(tǒng)服務端接受到請求后，向簽名驗簽服務器請求獲取隨機數、簽名驗簽服務器生成隨機數，通過使用設備中的簽名私鑰對隨機數進行簽名后返回隨機數、簽名值和簽名驗簽服務器的簽名證書。（3）高速聯網收費系統(tǒng)服務端收到隨機數、簽名值和簽名驗簽服務器簽名證書后發(fā)給高速聯網收費系統(tǒng)客戶端。（4）高速聯網收費系統(tǒng)客戶端在接受到數據之后要對服務端的身份進行鑒別，以確保客戶端連接2023年第3期網絡空間安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.（5）對隨機數使用智能密碼鑰匙中的簽名私鑰進行簽名，并將簽名值、隨機數、登錄用戶的簽名證書，發(fā)送給高速聯網收費系統(tǒng)服務端。（6）高速聯網收費系統(tǒng)服務端在收到信息之后，調用簽名驗簽服務器進行驗證，以確保其使用的該會話沒有被客戶端改寫而欺騙認證。驗證簽名值和簽名證書，確?？蛻舳擞脩羯矸莸恼鎸嵭裕约捌溆袡嘞奘褂米约旱闹悄苊艽a鑰匙。（7）在驗證通過后，解析證書中的身份標識，高速聯網收費系統(tǒng)中的訪問控制信息是用戶、角色、權限的關系數據，需要為每個用戶的此類數據進行完成性保護。當創(chuàng)建用戶、修改用戶權限信息時，均需要進行基于HMAC-SM3的完整性保護[6]。日志記錄存儲于高速聯網收費系統(tǒng)日志文件中，當一個日志文件寫滿時，對日志文件進行HMAC-SM3摘要計算，摘要值存儲于日志文件中。高速聯網收費系統(tǒng)訪問控制信息完整性保護技術流程圖如圖5所示。訪問控制信息系統(tǒng)日志記錄完整性保護技術流程圖如圖5所示。訪問控制信息完整性保護流程涉及5方面內容。（1）高速聯網收費系統(tǒng)可以通過獲取業(yè)務系統(tǒng)服務器的訪問控制記錄。（2）高速聯網收費系統(tǒng)服務端調用服務器密碼機接口，傳入訪問控制信息，請求完成HMCA-SM3計算。（3）服務器密碼機對訪問控制信息記錄進行HMAC-SM3計算。（4）服務器密碼機將會返回HMAC-SM3計算（5）高速聯網收費系統(tǒng)接收HMAC-SM3結果，將訪問控制記錄對應HMAC-SM3結果安全存儲至數據庫中。日志記錄完整性保護流程涉及5方面內容[7]。（1）高速聯網收費系統(tǒng)獲取日志記錄文件。（2）高速聯網收費系統(tǒng)服務端調用服務器密碼機接口，傳入日志文件，請求完成HMCA-SM3（3）服務器密碼機對日志文件進行HMAC-SM3計算。（5）高速聯網收費系統(tǒng)接收HMAC-SM3結蔡冠軍，等：商用密碼技術在高速聯網收費系統(tǒng)的應用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.果，將日志文件對應HMAC-SM3結果安全存儲至在高速聯網收費系統(tǒng)中沒有重要信息資源安全標記，故無需進行密碼應用改造。由于網絡層對高速聯網收費系統(tǒng)客戶端與高速聯網收費系統(tǒng)服務端進行了符合國密SM2算法的信2023年第3期網絡空間安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.道加密，可以沿用網絡層的信道加密能力，從而保障重要數據在傳輸過程中的機密性和完整性。高速聯網收費系統(tǒng)中將重要數據分類分級如圖針對重要數據需要對其進行加密存儲，從而保證重要數據存儲的機密性。高速聯網收費系統(tǒng)通過調用服務器密碼的加密功能，使用密鑰和加密接口對敏感數據進行SM4加密，并將加密結果存儲在原文數據對應關聯關系的位置。在數據應用時，服務器密碼機的解密功能對密文數據進行解密，在獲得原文后進行利用[8]。重要數據加密/解密技術應用流程如圖6和圖7重要數據加密/解密技術流程說明涉及6方面內（1）高速聯網收費系統(tǒng)在存儲前，準備待加密原文數據。（2）通過調用服務器密碼機加密接口，對指定密鑰對原文進行SM4加密。（3）在獲取到加密結果密文后，高速聯網收費（4）高速聯網收費系統(tǒng)需要利用該數據時，從數據庫或指定位置獲取密文。（5）調用服務器密碼機解密接口，指定密鑰對密文進行SM4解密。（6）獲取明問結果，高速聯網收費系統(tǒng)對明針對重要數據需要對其進行摘要存儲操作以保證重要數據存儲的完整性。高速聯網收費系統(tǒng)通過調用服務器密碼的HMAC-SM3功能，使用密鑰和HMAC-SM3接口對重要數據進行摘要，并將摘要值存儲在原文數據對應關聯關系位置，在數據應用時，使用服務器密碼機的HMAC-SM3功能，對原文數據再次進行HMAC-SM3，獲得摘要后與原存儲的摘要值進行比對，如果一致則數據未被篡改，可進行利用。重要數據存儲完整性流程說明：（1）高速聯網收費系統(tǒng)準備待進行摘要操作的原文數據；（2）調用服務器密碼機接口，指定密鑰對原文進行HMAC-SM3摘要計算；（3）返回摘要結果，高速聯網收費系統(tǒng)將摘要后的信息存儲于數據庫或指定位置；（4）高速聯網收費系統(tǒng)需要驗證該數據時，再次請求服務器密碼機進行摘要計算；（5）調用服務器密碼機接口，指定密鑰對原文進行HMAC-SM3摘要計算；（6）返回摘要結果，并將結果與原存儲的摘要值進行比對，如果結果一致為了推進國家政務信息系統(tǒng)密碼應用