浅谈加密机在金融网络中的应用

《浅谈加密机在金融网络中的应用》由会员分享，可在线阅读，更多相关《浅谈加密机在金融网络中的应用（4页珍藏版）》请在装配图网上搜索。

1、 浅谈加密机在金融网络中的应用 余文峰 (中国人民银行武汉分行营业管理部科技处，湖北 武汉 430015) 【摘 要】金融机构目前大多采用同步数字序列(SDH)和异步转移模式(ATM)等数据网络提供固定(虚拟)线路来连接 需要通信的部门和分支机构。从内部网络流出的数据不加防范地在网际线路中穿行，给使用搭线窃听、电磁泄露等入 侵手段的不法黑客以可趁之机。因此，需要利用网络密码机提供访问控制、无连接完整性、数据源鉴别、载荷机密性 和有限流量机密等安全功能，弥补由于 TCP/IP 协议体系自身带来的安全漏洞。 【关键词】金融网络线路；网络密码机；数据加解密；数据安全性 【

2、中图分类号】TP393 【文献标识码】A 【文章编号】1009-8054(2009) 12-0096-03 Discussion on Encryptor Application in Banking Network System YU Wen -fe n g (O ffi ce of S cie nce an d Tech nol ogy, De pt. of Op era tion an d M ana gem ent , Wuhan Br anc h, Peop le's B ank of China , Wuha n Hube i 4300 15, Ch ina)

3、【Abstract】Nowadays, the financial organizations mostly employs SDH and ATM data network and provides fixed(virtual) circ uit fo r conn ection of var ious de partme nts an d branc hes. A nd dat a from intran et, wi thout a ny pro tection , is t ransfe rred o ve r t he i n te rn a ti on a l

4、ci r cu it , t hu s g iv in g t he ha ck e r a c ha nc e t o u se v a ri ou s i nt r us io n m ea su r es , s uc h a s in t er ce p ti ng , electromagnetic eavesdropping. Therefore, it is necessary to use network encryptor and provide various security functions, in clud ing acce ss c ontr

5、 ol, conn ecti onle ss i nteg rity , au then tica tion of data sou rce, loa d co nfid enti alit y, a nd c onfi dent iali ty of lim ite d tr affi c, thus re medy ing the sec uri ty l ooph ole s br oug ht a long by TCP /IP pro toco l s yste m. 【Key word s】ba nki ng ne two rk; ne two rk en cry pto r;

6、 dat a enc ryp tio n/d ec ryp tio n; dat a sec uri ty 据不加防范地在网际线路中穿行，给使用搭线窃听、电磁 泄露等入侵手段的不法黑客以可趁之机。为此，很多金融 机构使用网络加密机在这方面进行了一些尝试，文中结合 实践，主要阐述了加密机在实际应用中是如何配置，有哪 些数据保护措施，以及实际维护的一些经验[1]。 0 引言 随着金融电子化的不断发展，金融领域无论从资金业 务到办公自动化等信息业务都越来越依赖于计算机网络。 由于金融机构从横向到纵向、从时间到空间都在不断地延 伸，计算机网络的数据安全问题将是技术维护部门长期而 艰巨的任

7、务。金融机构大都比较重视加强内部网络的安全， 而暴露在各机构局域网间的广域网络就显得比较薄弱了。 金融机构目前大多采用同步数字序列(SDH)和异步转 移模式(ATM)等数据网络提供固定(虚拟)线路来连接需要通 信的部门和分支机构。用户目前对所谓的“专线”方式的 安全性没有太大质疑，因此，在这些线路中传递信息时没 有过多考虑数据安全。但也应该清醒地认识到，所有这些 基础架构的权限掌握在别人的手中。从内部网络流出的数 1 加密机配置于何处 加密机根据工作类型不同一般采用应用层加密、IP层 加密和链路层加密三种方式进行，应用层加密传输往往与 具体的业务系统软件紧密结合在一起，需要针对每种

8、应用 系统开发应用层加密系统；链路层加密是对链路层帧数据 进行加密，链路层加密对链路协议有严格的要求，每一种 不同协议的线路都要采用相应的链路加密设备，而且链路 层加密设备都是端到端加密设备，所以在大型复杂网络中 如果采用链路层加密方式，必须投入巨大的资金量。 IP加密方式是在IP层对网络数据进行加密，对链路层 协议透明，IP加密设备往往是一对多的方式运行，也可以 对每个IP地址或地址段采用不同的加密策略，既经济又灵 收稿日期：2009-11-10 作者简介：余文峰，1966 年生，男，工程师，中国人民银行 武汉分行营业管理部，从事信息化管理工作。 9 6 学术研究

9、 A c a d e m i c R e s e a r c h 活。IP 加密一般采用 IPsec 协议进行，IPsec 是 IETF 制定 的标准，其中包括一整套IP层安全协议集，用于在两个IP 网络设备之间实施所采用的加密和数字签名方法。IPSEC 提供了访问控制、无连接完整性、数据源鉴别、载荷机密 性和有限流量机密等安全服务，完全弥补了由于 TCP/IP 协议体系自身带来的安全漏洞[2]。 从性价比、可操作性以及网络扩展等因素考虑，金融 机构大多采用基于IP层加密的网络密码机，加密机可采用 透明模式接入，完全可以做到不影响原有网络结构。IP加 密系统组建网络安全平台

10、的思想是：将网络密码机部署在 网络的出口处，并将网络密码机置于密钥管理中心设置的 统一安全策略(包括密钥管理体系)的管理下，使各网络密码 机之间以及网络加密机相互对IP包进行加密处理，协调一 致地通信，从而在IP层上构建起网络安全传输信道，为网 络的连接安全和传输安全提供有效的保障。 由于IP加密系统通过在网络层对IP数据包进行相应的 安全处理来组建安全传输信道，故采用IP加密系统组建的 虚拟专用网络，无须考虑底层传输协议，具有极强的适应 性，能够有效地为网络的各级交换节点提供信息安全保障， 符合安全技术发展的方向，具有易于管理、易于适应网络 链路变化的特点。根据应用系统的特点，目前一般使用

11、以 下两种接入方式： ① 加密机部署于防火墙出口和对端交换机之间。如图 1左边，这种配置相当于点对点接入，要求防火墙与交换机 间接入网段留有足够的IP以便配置加密机，并使用这些IP 地址对其进行管理。防火墙以主从模式运行，加密机接入 网络后应该进行反复的主从线路切换，从实际效果来看，这 种接入方式没有影响原网络的运行，完全符合设计要求； ② 加密机部署于两组交换机之间。这种接入方式是为 了保持原来的本地局域网络结构，机构搬迁后可申请透明 线路更替原来的本地双绞线，两端接口配置 TRUNK 模式， 传输若干个 VLAN 。 如图 1 右边部分接入加密机，采用其中某个 VLAN 中 的

12、IP配置加密机，接下来进行热备线路切换，当断开经过 生成树协议确定的主线路后，备线没有按预定计划启用，整 个网络不通，经检测线路情况为连通，加密机之间连通，切 回主线路，整个网络仍然不通，关闭所有设备，重新启动， 网络恢复通信。经过互换线路和加密机组，都不能成功切 换。在后续的实验中，当断开主线，并对各位置的网络设 备进行分析时，网络竟然在中断 15 min 后，恢复了通信。 反复进行多次实验均可再现这种现象，无论是断开主线还 是恢复主线，均出现同样效果。在搭建的模拟测试环境中， 网络恢复的时间虽然不同，但也呈现了经过相对较长的、固 定的一段时间后，网络才能恢复通信的情况，而从网络中 拿掉加密

13、机，该现象消失，说明加密机的这种接入方式确 实对现有网络造成了影响。 经过对两种接入方式以及抓取模拟环境数据包的比较 和分析，最终确定，该种类型加密机不适合接入传输多 VLAN 的 TRUNK 网络中，因为它的操作系统处理带 TRUNK 标志的数据包有不完善的地方，而这种缺陷在第 一种接入方式中被单一的 VLAN 掩盖了。加密机经过提供 商定制的扩展版本升级，圆满地解决了切换问题。 接下来，应该在城市网的入口处接入了密管中心设备， 如图 1中“密管中心”位置，通过对网络各防火墙的配置， 使其能够管理分散在各处的加密机，定期为各加密机更换 密钥，达到了既方便管理又节约成本的良好效果。 经过

14、实践证明，IP加密系统在IP层保护了数据的安全， 并且与上层应用无关。随着加密机技术的不断发展，IP加 密系统已经能够实现 100 M 线速，支持 QoS 策略的实现， 对网络带宽资源占用小、时延小、易管理，能很好地满足 金融应用系统信息传输的“实时、保密、高速”的要求。 2 如何保护数据 在实际工作中，金融网络主要存在如下4方面的风险： ① 传输数据机密性破坏：攻击者通过非法手段窃取 金融系统网络内部的传输信息，或对信道数据进行破译分 析，使内联网传输内容泄露给未被授权的用户； ② 传输数据完整性破坏：攻击者篡改金融系统网络 线路上传输的数据内容，或数据传输中的错误、丢失或次 序

15、差异等都可能导致数据的完整性被破坏； ③ 传输数据真实性破坏：攻击者通过伪造金融系统 网络数据进行欺骗； ④ 传输线路没有高强度隔离措施：攻击者通过中国 电信或中国网通公众网络以路由穿透、口令破译等攻击方 图1 网络结构 信息安全与通信保密·2 00 9.12 9 7 学术研究 A c a d e m i c R e s e a r c h 3 加密机运行维护 密钥管理是加密机日常管理的核心内容，而密钥管 式可以进入到金融系统网络中，获取内部网中的关键数据， 或者对内部网络进行破坏。 IP加密系统采用国家主管部门规定的高强度密码算法

16、 对数据进行加密处理，任何以明文方式对IP加密设备的访 问都会认为是非法访问而被拒绝，因此，即使攻击者通过 中国电信或中国联通等公司的公用网络以路由穿透方式登 录到内联网接入路由器上，也不能访问金融系统内部的网 络。另外，在金融系统总行和各下属分行、支行之间建立 IP虚拟专用通道，只有配置了IP密码设备的单位才能进行 加密通信，没有配置加密机的单位一般不能和配有IP密码 设备的单位互通。 IP加密系统可以让用户自行选择以下两种方式对传输 数据进行加密： ① 净荷加密方式：所谓净荷加密就是直接对数据包 中的上层净荷数据实施加密，不修改原数据包头，净荷加 密的特点是只对净荷数据实施加解密，不对

17、数据包头实施 任何修改和保护，对线路透明，不需要占用更多 IP 地址， 这种加密方式对 QoS 的适应性较好，便于数据的传输； ② IPsec 方式：IPsec 有传输模式(Transport Mode) 和隧道模式(Tunneling Mode)两种工作模式。传输模式的 工作原理是在IP包的包头与上层数据之间插入一个IPsec 头，并将上层数据进行加密，然后在公共网络上传输。这 种模式的特点是保留了原IP头信息，即信源/宿地址不变， 所有安全相关信息包括在IPsec头中，传输双方依此进行安 全封装传输和拆封还原。隧道模式的工作原理是先将IP数 据包整个进行加密后再加上 IPsec头和新的I

18、P头，这个新 的 IP 头中包含有隧道源 / 宿的地址，当通过 IPsec隧道的 数据包到达目的网关(即隧道的另一端)后，利用IPsec头中 的安全相关信息对加密过的原IP包进行安全处理，将已还 原的高层数据按原IP头标明的IP地址递交，以完成信源/ 信宿之间的安全传输[3]。 加密机还可以针对特定IP间传输信息进行加密，通过 配置主要的端对端通信IP，可以提高线路通信效率，将加 密机介入后对网络通信的影响降低到最小程度。数据加密 如图 2所示。 理的核心问题是保证密钥分配的安全。密钥管理主要包 括密钥的生成、存贮、保护、备份、分发、使用、归档、 销毁等。 密钥管理中心作为整个系统的

19、枢纽和核心，在其中保 存有整个系统所有网络密码机的密钥信息、网络参数(IP地 址、路由表、网关信息、网管信息)，以及安全规则设置(根 据 IP数据包的源地址、目的地址、源端口、目的端口、TCP 头的信息等参数来决定对数据包采取加密、允许、拒绝处 理)。这些信息的安全与否直接影响到网络密码机和密钥管 理中心自身的安全以及被保护网络的安全，因此，它们的 存放不能采用明文的方式，必须经过加密存放。同时，在 各地的网络密码机也都有密钥数据、访问控制规则、网络 参数等关键数据，对它们也需要实现加密存放。 加密设备硬件日常维护事项如下： ① 在工作过程中，请勿直接插拔设备，以免数据损坏 或丢失； ②

20、 设备运行过程中，应注意防震和防压，以免引起设 备工作不正常； ③ 请勿在带电状态下插拔该设备及外设； ④ 请勿将与该设备配套使用的IC卡插到其他IC卡设 备及系统中使用； ⑤ 如果较长时间不使用设备，请每隔6个月对设备进 行状态检查，并对该设备连续通电 8 h，进行充电； ⑥ 设备长期停放时，注意防潮、防虫、防腐蚀等。 以上是加密机日常维护所应该注意的事项。在实际操 作中，由于密管中心自动、定期对其所辖加密机进行维护， 人工操作极少，其稳定性获得用户好评。 另外，由于加密机配置于 SDH 专线两端，天然地成为 了测试专线连通性的工具。以第一种方式为例，因为防火 墙配置为主从模式，

21、备用防火墙处于休眠状态，其状态无法 测知，连于其端口的备用线路也处于未知状态，一旦主线 故障，备线也可能在数天前就断了，则对重要业务的影响 将是灾难性的。现在可以在备线加密机上接入一台测试 PC，始终检测备线的连通性，预先测知备线状态，及时修 复线路故障，确保重要业务畅通。 4 线路加密机的未来 随着信息技术的不断发展，对线路加密机的要求也会 越来越高，线路加密机的分类会进一步细化，针对不同线 (下转第 101 页) 图2 数据加密示意图 9 8 学术研究 A c a d e m i c R e s e a r c h 25

22、o，分别采用 Toeplitz 算法、奇异值分解法(SVD)以及本 文提到的 TSVD 进行 DOA 估计，每一信噪比情况下独立实 验 100 次。从图 3 和图 4 中可以看出 TSVD 算法有极高的分 辨成功概率，当 RSN=-10 dB 时估计成功概率接近 100%，而 SVD 算法成功概率几乎为 0，Toeplitz也具有极好的成功概 率，但分辨误差极大。从实验中可以看出，文中所提出的 TSVD 具有极好的分辨能力和稳定性。 最后通过对奇异值分解法(SVD)、Toeplitz算法和文 中提出的方法进行性能上的比较，仿真和分析结果说明该 方法估计性能稳定，在低信噪比情况下有很高

23、的成功概率 和分辨能力，估计精度高，是一种高效的 DOA 算法。 参考文献 [1] Krim H，Viberg M. Two Decades of Array Signal Processing Research[J]. IEEE Signal Processing Magazine，1996(07)：67-94. [2] Williams R T，Prasad S，Mahalanabis A K，et al. An Improved Spatial Smoothing Technique for Bear- ing Estimation in A Multipath Envi

24、orment[J]. IEEE Trans on ASSP，1998，36(04)：425-432. [3] Tufts D W，Kot A C，Vacco R J. The Threshold Analysis of SVD-based Algorithms[C]//IEEE. Acoustics Speech，Signal Processing(ICASSP). [s.l.] ：IEEE Publication，1988：2416-2419. [4] Kung S Y，Lo C K，Foka R. A Toeplitz Approxi- mation Approach t

25、o Coherent Source Direction Finding [C]//IEEE. Acoustics，Speech and Signal Processing. [s.l.]：IEEE Publication，1986：193-196. [5] Kaneko，Kazumasa Sano，Akira. Music-like Itera- tive DOA Estimation in Multipath Environments [C]//IEEE. Sensor Array and Multichannel Sig- nal Processing Workshop. [

26、s.l.]：IEEE Plication， 2008：212-215. [6] 丁婷. 降低多径信号相关性的修正DOA估计方法[J]. 信 息安全与通信保密，2008(02)：59-61. 图3 估计偏差 图4 成功概率 4 结语 文中通过对解相干信号的 DOA 算法进行了大量的研 究，具体讨论了 SVD算法和 Toeplitz算法的主要思想，在 对这两种算法的研究基础上，提出了一种新的算法— TSVD 算法。该算法结合了两种经典算法的优点，有很优 异的性能。 (上接第 98 页) 路类型如电话、无线的加密机会相继推出。同时，线路加 密机未来在加密算法的强度、加密速

27、率方面都会不断提高。 并且，国家主管部门也正在大力推动装备我国自行研制算 法的加密机产品的发展，将来会有更多的行业使用加密机 来保护自己的信息安全[4]。 等方面进行多层次的数据安全保护。 参考文献 [1] 祁明. 电子商务安全与保密[M]. 北京：高等教育出版 社，2001. [2] 范红. 信息安全风险评估规范国家标准理解与实施[M]. 北京：中国标准出版社，2007. [3] 石治国，薛为民，江俐. 计算机网络安全教程[M]. 北 京：清华大学出版社，2004. [4] 王英梅，王胜开，陈国顺，等. 信息安全风险评估[M]. 北京：电子工业出版社，2007. [5] 谭彬，薛质，王轶骏. 网络支付体系的安全性分析与 研究[J]. 信息安全与通信保密，2007(11)：61-65. 5 结语 当今的网络环境下，由于金融业务已经和其他行业结 合得更加紧密，特别是电子商务的发展[5]，金融网络对数据 的安全性要求越来越高，加密机将会在金融业务中得到更 广泛的应用，在自身网络条件允许的情况下，根据金融业 务应用系统的本身特点，可以从链路层、网络层、应用层 信息安全与通信保密·2 00 9.12 1 0 1