基于虛擬專用網(wǎng)技術的一卡通網(wǎng)絡安全設計與實現(xiàn)

文章出處：http://www.fang1.net 作者：楊 明， 郭樹旭， 王 雋   人氣： 發(fā)表時間：2011年12月07日

    2008年北京奧運會實現(xiàn)了“科技奧運”的承諾，在奧運會期間充分運用現(xiàn)代信息技術，成功地支撐了奧運會各項工作。某局數(shù)字體育一卡通就是其中的實踐項目。在數(shù)字體育項目中，一卡通系統(tǒng)是數(shù)字體育的基礎工程和重要的組成部分，通過構建各類體育信息庫和應用系統(tǒng)，實現(xiàn)內(nèi)部管理、公眾服務、在線支付和通訊等功能。支付安全是一卡通系統(tǒng)實現(xiàn)的核心內(nèi)容，即防范交易數(shù)據(jù)在網(wǎng)上傳輸時，數(shù)據(jù)被監(jiān)聽、篡改和偽造。本文介紹了虛擬專用網(wǎng)(VPN)在一卡通支付系統(tǒng)的應用情況，通過不同類型虛擬專用網(wǎng)對比分析，改進了傳統(tǒng)的一卡通安全機制和實現(xiàn)方式，較好地解決了網(wǎng)絡支付安全問題。
 
    1 系統(tǒng)安全分析
 
    體育一卡通實現(xiàn)了對某局所有經(jīng)營項目進行收費，除此之外，還要實時提供某局各個運動場館完整、準確的票務數(shù)據(jù)，具有很高的安全性要求。未來還要實現(xiàn)電子商務、實時預定場館票務。這就要求在安全設計時既要滿足當前的業(yè)務需要，又要兼顧系統(tǒng)日后的發(fā)展。
 
    傳統(tǒng)的一卡通系統(tǒng)一般遵從雙線工作的RS485標準，整個網(wǎng)絡以總線形式存在，所有POS機都“掛”在總線上，服務器端通過查詢方式定時讀取各POS機內(nèi)流水記錄。由于標準的RS485采用串聯(lián)方式，系統(tǒng)輪循在各個PC機或POS機采集數(shù)據(jù)，再上傳到中央服務器進行處理。適合應用于一般餐飲、門禁等非獨占資源系統(tǒng)。但是對于體育場館獨占資源的消費模式就會出現(xiàn)像操作系統(tǒng)中進程競爭的現(xiàn)象，給系統(tǒng)安全帶來隱患。同時，由于調(diào)制解調(diào)過程以及傳輸距離的關系，所有設備要共享狹窄的傳輸帶寬,網(wǎng)絡傳輸速度較慢，RS485標準不適合大型分布式網(wǎng)絡模式。此外，通過Internet實時預訂場館票務時，要求票據(jù)、消費金額等數(shù)據(jù)傳輸必須是安全的、保密的、不被篡改的。而傳統(tǒng)的一卡通系統(tǒng)安全性主要體現(xiàn)在獨立的局部網(wǎng)絡數(shù)據(jù)專網(wǎng)中，其靈活性、擴展性受到制約。
 
    為了滿足政務、電子票務、財務等系統(tǒng)應用的高效、安全及遠程互連，必須對傳統(tǒng)的一卡通實現(xiàn)機制進行改進，并滿足以下要求：
 
    (1) 采用技術手段保證通過Internet的連接是安全的、加密的。
 
    (2) 實現(xiàn)網(wǎng)絡的邊界安全，在網(wǎng)絡的出入口設置安全控制。
 
    (3) 實現(xiàn)內(nèi)部各機構網(wǎng)絡接口的安全，控制內(nèi)外部訪問的TCP/IP端口。
 
    (4) 實施安全保護后，系統(tǒng)性能不受影響，確保網(wǎng)絡服務的可用性。
 
    2 系統(tǒng)安全的設計與實現(xiàn)
 
    為了滿足一卡通系統(tǒng)高效互連，對傳統(tǒng)POS依靠RS485的安全機制進行了改進，開發(fā)了新一代基于TCP/IP協(xié)議的POS機，保證數(shù)據(jù)即時處理和數(shù)據(jù)的一致性。POS直接連接到以太網(wǎng)信息點，通過路由器（安全網(wǎng)關）與中央數(shù)據(jù)庫通信。但是以TCP/IP協(xié)議為基礎的互聯(lián)網(wǎng)只注重網(wǎng)絡的連接性、開放性和兼容性，而忽略了網(wǎng)絡的安全性。在這樣的網(wǎng)絡環(huán)境下，傳輸過程中的消費信息完全可能被偽造、篡改或偷窺，信息的完整性、機密性、真實性和信息發(fā)送者的不可抵賴性得不到保證。
 
    為了滿足一卡通系統(tǒng)的安全性，采用基于IPSec（IP Security）協(xié)議的虛擬專用網(wǎng)技術[1]，為通過1個公用網(wǎng)絡建立1條臨時、安全、穩(wěn)定的隧道。采用加密、認證等技術在公共互連網(wǎng)上構建安全加密信息傳輸通道，解決基于互聯(lián)網(wǎng)傳輸信息的安全隱患，達到一卡通專用網(wǎng)絡的效果，方案中采用了3種實現(xiàn)方式[2-3]。
 
    2.1 虛擬專用撥號網(wǎng)絡
 
    對于公司內(nèi)部經(jīng)常有流動人員遠程辦公的情況，采用虛擬專用撥號網(wǎng)VDPN(Virtual Private Dial Network)方式，實現(xiàn)了安全地連接移動用戶、遠程工作者或分支機構。通過一個擁有與專用網(wǎng)絡相同策略的共享基礎設施，提供用戶對企業(yè)內(nèi)部網(wǎng)資源隨時、隨地遠程訪問。用戶只要連接到當?shù)氐腎SP服務提供商，通過因特網(wǎng)虛擬專用通道就可實現(xiàn)與企業(yè)網(wǎng)連接，減少用于相關的調(diào)制解調(diào)器和終端服務設備的資金及遠距離通信的費用。
 
    2.2 企業(yè)內(nèi)部虛擬網(wǎng)
 
    對于不同地域間的場館，采用了組建企業(yè)內(nèi)部虛擬網(wǎng)（Intranet VPN）方式實現(xiàn)各分支機構網(wǎng)絡互連、實時計費、內(nèi)部資源共享、文件傳遞等。利用Internet線路保證網(wǎng)絡的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個Intranet VPN上安全傳輸。企業(yè)擁有與專用網(wǎng)絡的相同政策(包括安全、服務質(zhì)量、可管理性和可靠性)，可節(jié)省租用專線所帶來的高額費用。
 
    2.3 企業(yè)擴展虛擬網(wǎng)
 
    隨著信息時代的到來，各個企業(yè)之間的合作關系也越來越多，信息交換日益頻繁，利用VPN技術可以組建安全的企業(yè)擴展虛擬網(wǎng)(Extranet VPN)。以某局為例，通過因特網(wǎng)共享基礎設施，將全球（美國體育集團公司、巴西體育集團公司）客戶、供應商、合作伙伴或興趣群體連接到企業(yè)內(nèi)部網(wǎng)，企業(yè)擴展虛擬網(wǎng)連接如圖1所示。 

    通過Extranet VPN能容易地對外部網(wǎng)進行部署和管理，保證通過互聯(lián)網(wǎng)通信的安全性、機密性、可認證性和完整性等安全性能。

    通過構建基于VPN技術的一卡通系統(tǒng),實現(xiàn)了高效、安全的網(wǎng)絡支付應用。這主要體現(xiàn)在以下方面：

    (1)安全保障。VPN保證了公用網(wǎng)絡平臺傳輸數(shù)據(jù)的專用性和安全性，即在公共互連網(wǎng)上建立一條邏輯的、點對點的連接隧道，保證了數(shù)據(jù)的私有性和安全性。

    (2)服務質(zhì)量保證QoS（Quality of Service）。VPN為企業(yè)數(shù)據(jù)提供不同等級的服務質(zhì)量保證，可以按照優(yōu)先級分配帶寬資源，預防阻塞的發(fā)生。

    (3)可擴充性和靈活性。VPN支持通過設備增配滿足對高質(zhì)量數(shù)據(jù)傳輸以及帶寬增加的需求，符合網(wǎng)絡建設的可擴展性和靈活性的原則。

    (4)可管理性。VPN可方便地進行管理、維護，使得企業(yè)將其網(wǎng)絡管理功能從局域網(wǎng)無縫地延伸到公用網(wǎng)，實現(xiàn)對企業(yè)內(nèi)部網(wǎng)的擴展。

    (5)經(jīng)濟性。通過VPN構建，企業(yè)不必租用長途專線建設專網(wǎng)，不必投入大量的網(wǎng)絡維護人員和設備，符合網(wǎng)絡建設的經(jīng)濟合理性的原則。 

    3 系統(tǒng)安全的實施及測試 

    3.1系統(tǒng)的部署
 
    一卡通系統(tǒng)由結算中心和運營單位組成，結算中心負責一卡通系統(tǒng)的發(fā)卡管理、密鑰管理、清算管理、運營管理、設備管理；運營單位負責與一卡通結算管理中心及各種終端設備的網(wǎng)絡通信和數(shù)據(jù)交換。通過城市通信網(wǎng)將結算中心與各個運營單位的電子收費系統(tǒng)聯(lián)網(wǎng)，當在不安全的互聯(lián)網(wǎng)上流通時,通過VPN網(wǎng)關的加密功能確保信息是密文形式。這樣,即便信息被截取，也無法偷窺或篡改其內(nèi)容，從而保證信息的安全性、機密性、可認證性和完整性，有效地控制企業(yè)風險[4]。同時由于POS機接入交換機，可以使整個系統(tǒng)的安全性承擔到各個子系統(tǒng)中，即便某局部網(wǎng)絡出現(xiàn)故障，也不會影響整個系統(tǒng)運行，具有良好的擴展性、兼容性和先進性。一卡通網(wǎng)絡與安全部署如圖2所示。
 

    3.2系統(tǒng)安全的測試
 
    3.2.1性能測試
 
    （1）ping服務測試
 
    在工作環(huán)境中，采用ping測試的網(wǎng)絡服務，對該安全網(wǎng)關的數(shù)據(jù)包處理能力進行測試，測試結果如表1所示。 

    通過數(shù)據(jù)分析，在應用VPN(采用IPSec加密策略)后安全網(wǎng)關轉(zhuǎn)發(fā)數(shù)據(jù)包的速度明顯下降，這是因為采用IPSec 的ESP 加密IP 數(shù)據(jù)包需要一定時間,并且性能與采用具體加密算法有關。

    (2) 應用測試
 
    在工作環(huán)境中，網(wǎng)絡連接登錄時稍感延遲。但是連接網(wǎng)絡后，日常操作與平常無明顯異常。這是因為在首次網(wǎng)絡登錄連接過程中，IPSec要進行一系列的安全協(xié)商。這也是表1中ping的最大時間較大，而平均時間較小的原因。通過測試可見，在系統(tǒng)的性能上，采用VNP安全措施是完全可行的。
 
    3.2.2 安全性測試
 
    未實施VPN安全保護環(huán)境之前，采用Sniffer軟件監(jiān)聽網(wǎng)絡信息，不僅能監(jiān)控到用戶登錄名及密碼，而且會話協(xié)商內(nèi)容也一覽無遺，并且可以利用Sniffer工具對監(jiān)聽到的信息進行修改，對系統(tǒng)的正常運行構成了極大的安全隱患。圖3所示的陰影部分顯示出每次交易的信息。 

    在應用了VPN安全策略后，再使用Sniffer 進行監(jiān)控[5]，竊聽結果就大不一樣，會話協(xié)商的內(nèi)容變成了一堆亂碼，如圖4所示。 

    利用VPN建立一個可選擇的安全通道保證了信息傳輸?shù)陌踩?，使會話協(xié)商的安全性得到了保證，消費信息經(jīng)過加密處理和認證處理，保證了數(shù)據(jù)的完整性、機密性和真實性。VPN保護是“透明性”的，系統(tǒng)提供的安全服務具有很強的靈活性和適應性，一般用戶絲毫覺察不到安全網(wǎng)關的存在。
 
    體育一卡通是某局信息化工程的核心工程，同時響應了數(shù)字北京、數(shù)字奧運的要求，邁出了積極探索、創(chuàng)新“數(shù)字體育”的重要一步。在Internet連接和基于IP網(wǎng)絡錯綜復雜的環(huán)境下，這些新的通信需求已經(jīng)超出了傳統(tǒng)一卡通網(wǎng)絡解決方案的處理能力。對比傳統(tǒng)一卡通系統(tǒng)實現(xiàn)方式，通過技術的分析，突出了VPN的優(yōu)勢。基于IP的虛擬專用網(wǎng)解決方案將數(shù)據(jù)流轉(zhuǎn)移到低成本的互聯(lián)網(wǎng)網(wǎng)絡上，可大幅度地減少用戶花費在城域網(wǎng)和遠程網(wǎng)絡連接上的費用。同時，簡化了網(wǎng)絡的設計和管理、方便了新用戶與網(wǎng)站的連接、增強了網(wǎng)絡安全。VPN技術已成為一種較為理想的一卡通系統(tǒng)遠程互連及安全解決方案，對推動一卡通金卡工程、電子商務、電子貿(mào)易將起到不可低估的作用。