經(jīng)過(guò)這幾年大投入、高效率的建設(shè)，我軍檔案館的信息化水平有了較大的提高。各館研制了相應(yīng)的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)，使得利用者在查詢(xún)檢索檔案材料的時(shí)候，絕大多數(shù)情況下不需要再翻閱檔案原件。查詢(xún)效率大大提高。在取得上述成績(jī)的同時(shí)，我們也應(yīng)當(dāng)看到當(dāng)前各檔案館的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)中存在的一個(gè)重要問(wèn)題，就是提供遠(yuǎn)程利用者通過(guò)網(wǎng)絡(luò)查詢(xún)檔案的安全問(wèn)題一直沒(méi)有很好的解決。

一、當(dāng)前檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)中存在的安全問(wèn)題

檔案信息往往具有一定的密級(jí)，其查閱時(shí)間、范圍、人員等方面都有嚴(yán)格的限制和規(guī)定。檔案信息數(shù)字化后，通過(guò)網(wǎng)絡(luò)傳遞可以極大地方便遠(yuǎn)程利用者異地查詢(xún)檔案，不但提高工作效率而且減少差旅費(fèi)用支出口但現(xiàn)實(shí)的情況是由于擔(dān)心網(wǎng)絡(luò)傳輸中的泄密可能，很多檔案館的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)查詢(xún)功能還僅提供在本館的局域網(wǎng)中進(jìn)行，這就大大降低了數(shù)字化檔案信息的服務(wù)范圍和服務(wù)水平，也使得檔案數(shù)字化信息化建設(shè)的巨額投入沒(méi)有最大限度地發(fā)揮應(yīng)有的效用。

檔案館對(duì)安全問(wèn)題的考慮是有道理的。由于目前我們使用的網(wǎng)絡(luò)環(huán)境基于TCP/IP協(xié)議，而這個(gè)協(xié)議的設(shè)計(jì)之初就沒(méi)有考慮安全保密，因此絕大多數(shù)情況下在網(wǎng)絡(luò)上傳遞的信息都是原始的明文信息，黑客或者其他別有用心的人很容易使用嗅探工具竊取網(wǎng)絡(luò)上傳遞的信息。正是由于這種現(xiàn)實(shí)的安全威脅存在，極大地限制了檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)的效能發(fā)揮。

二、加密技術(shù)及其在網(wǎng)絡(luò)中的應(yīng)用

隨著技術(shù)的發(fā)展，加密技術(shù)成為解決網(wǎng)絡(luò)通信安全的有效技術(shù)手段。加密技術(shù)可將數(shù)據(jù)打亂，防止竊密者了解信息的真實(shí)內(nèi)容，而只有授權(quán)者才能解密并讀懂?dāng)?shù)據(jù)內(nèi)容。當(dāng)原始數(shù)據(jù)（稱(chēng)為“明文”）與密鑰一起經(jīng)過(guò)數(shù)學(xué)函數(shù)處理后，數(shù)據(jù)就完成了加密。此過(guò)程使原始數(shù)據(jù)轉(zhuǎn)為不可讀形式，稱(chēng)為“密文”，為使此數(shù)據(jù)重新可讀，數(shù)據(jù)接收方需要使用相反的數(shù)學(xué)函數(shù)以及正確的密鑰將數(shù)據(jù)解密。加密類(lèi)型主要有兩種：對(duì)稱(chēng)加密和非對(duì)稱(chēng)加密。

對(duì)稱(chēng)加密使用相同的密鑰加密和解密數(shù)據(jù)口對(duì)稱(chēng)加密使用的算法比非對(duì)稱(chēng)加密使用的算法簡(jiǎn)單，加密的速度要快得多，因此適合大量數(shù)據(jù)的加密和解密。其主要缺點(diǎn)是使用相同的密鑰加密和解密數(shù)據(jù)，因此所有的數(shù)據(jù)發(fā)送方和接收方都必須知道加密密鑰。這使得在網(wǎng)絡(luò)環(huán)境下密鑰的安全管理成為很難解決的問(wèn)題。對(duì)稱(chēng)加密使用的加密算法主要有：RC2、3DES、AES等。

非對(duì)稱(chēng)加密使用兩個(gè)具有數(shù)學(xué)關(guān)系的不同密鑰加密和解密數(shù)據(jù)。這兩個(gè)密鑰分別稱(chēng)為私鑰和公鑰。由于非對(duì)稱(chēng)加密使用的算法比對(duì)稱(chēng)加密更復(fù)雜，其加密過(guò)程比對(duì)稱(chēng)加密慢很多。在非對(duì)稱(chēng)加密中，只有一方持有私鑰，所有其他各方都可以訪問(wèn)其公鑰。通過(guò)公鑰加密的數(shù)據(jù)只能通過(guò)私鑰解密。反之，通過(guò)私鑰加密的數(shù)據(jù)只能通過(guò)公鑰解密。因此，此種加密提供了保密和確認(rèn)（簽名）兩種功能。非對(duì)稱(chēng)加密算法主要有：Diffie-Hellman、RSA、DSA等。

在復(fù)雜的網(wǎng)絡(luò)環(huán)境中，更多的時(shí)候是同時(shí)使用對(duì)稱(chēng)和非對(duì)稱(chēng)加密算法技術(shù)，稱(chēng)之為混合加密?；旌霞用芊椒ńY(jié)合了上述兩種加密方法的優(yōu)點(diǎn)，從而達(dá)到確保只有授權(quán)的接收方才能讀取數(shù)據(jù)的目的。在混合加密方案中，使用者將對(duì)稱(chēng)加密與一個(gè)隨機(jī)生成的密鑰結(jié)合使用來(lái)加密數(shù)據(jù)。此步驟利用了對(duì)稱(chēng)加密速度快的優(yōu)點(diǎn)．然后，通過(guò)使用非對(duì)稱(chēng)密鑰對(duì)的公鑰，將此對(duì)稱(chēng)加密密鑰加密。此步驟利用了非對(duì)稱(chēng)加密安全性更高的優(yōu)點(diǎn)。

經(jīng)過(guò)加密的數(shù)據(jù)與經(jīng)過(guò)加密的對(duì)稱(chēng)密鑰一起發(fā)送給數(shù)據(jù)接收方。要將數(shù)據(jù)解密，接收方首先需要使用非對(duì)稱(chēng)密鑰對(duì)的私鑰，將對(duì)稱(chēng)加密密鑰解密，然后再使用經(jīng)過(guò)解密的對(duì)稱(chēng)密鑰將數(shù)據(jù)解密。

現(xiàn)在密碼技術(shù)的發(fā)展使得經(jīng)過(guò)合理加密的數(shù)據(jù)變得牢不可破。以AES加密算法為例，這個(gè)算法在2000年最終被確定并形成標(biāo)準(zhǔn)。當(dāng)采用128位密鑰加密數(shù)據(jù)時(shí)，即使用當(dāng)前世界上最快的計(jì)算機(jī)運(yùn)算，也需要約1023年才能破解。對(duì)于極其保密的數(shù)據(jù)，還可以采用192位甚至256位的密鑰加密。因此，只要采用先進(jìn)的加密算法，正確的管理密鑰，就能夠保證網(wǎng)絡(luò)通信安全。

三、對(duì)檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全升級(jí)方案

由于各檔案館在研制檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)之初沒(méi)有進(jìn)行加密傳輸?shù)目紤]，因此很多應(yīng)用系統(tǒng)目前都無(wú)法保證檔案信息在網(wǎng)絡(luò)傳輸過(guò)程中的安全?？紤]到重新研制新的安全系統(tǒng)的時(shí)間、資金、人力成本問(wèn)題，對(duì)已有系統(tǒng)的安全升級(jí)改造是一個(gè)切實(shí)可行的方案。

近幾年開(kāi)發(fā)研制的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)多采用瀏覽器服務(wù)器(B/S)模式，利用者的計(jì)算機(jī)上不需要安裝特殊的客戶(hù)端程序，只需打開(kāi)上網(wǎng)的瀏覽器如Internet Exporler，填入檔案館提供的查詢(xún)網(wǎng)址即可查詢(xún)檢索檔案信息；而檔案館一端除了數(shù)據(jù)庫(kù)服務(wù)器外，還需配置www服務(wù)器，并且在服務(wù)器中編制相應(yīng)的程序。另一種是早期的客戶(hù)機(jī)/服務(wù)器(C，S)的模式，由于現(xiàn)在應(yīng)用
較少，本文不再討論。

對(duì)瀏覽器／服務(wù)器(B/S)模式的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行安全升級(jí)的步驟為：

首先，在客戶(hù)機(jī)端運(yùn)行一個(gè)網(wǎng)絡(luò)加密代理服務(wù)器程序，同時(shí)將利用者的瀏監(jiān)器Internet Exporler設(shè)置為通過(guò)此代理服務(wù)器訪問(wèn)網(wǎng)絡(luò)。該代理服務(wù)器將瀏覽器發(fā)來(lái)的網(wǎng)絡(luò)訪問(wèn)請(qǐng)求內(nèi)容加密，發(fā)送到服務(wù)器端的加密代理服務(wù)器上。

其次，在檔案館的服務(wù)器端運(yùn)行網(wǎng)絡(luò)加密代理服務(wù)器，接收客戶(hù)端加密代理服務(wù)器傳來(lái)的加密信息，解密后傳送給www服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行查詢(xún)。查詢(xún)結(jié)果經(jīng)過(guò)服務(wù)器端加密代理服務(wù)器加密返回客戶(hù)端加密代理，解密后傳送給瀏覽器顯示結(jié)果。

第三，在客戶(hù)機(jī)上使用防火墻禁止除加密代理服務(wù)器外所有其他程序（包括瀏覽器）直接訪問(wèn)。網(wǎng)絡(luò)，對(duì)加密代理服務(wù)器也僅開(kāi)放訪問(wèn)服務(wù)器端加密代理服務(wù)器的專(zhuān)用端口。

第四，在服務(wù)器端同樣禁止除加密代理服務(wù)器外其他所有程序訪問(wèn)網(wǎng)絡(luò)，并只開(kāi)放與客戶(hù)端加密代理服務(wù)器的通信端口。

通過(guò)以上敘述我們可以看出，基于瀏覽器，服務(wù)器(B/S)模式的檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)的安全升級(jí)可以在完全不更改已經(jīng)存在的系統(tǒng)的前提下進(jìn)行，只需在客戶(hù)端計(jì)算機(jī)和檔案館端計(jì)算機(jī)上分別運(yùn)行兩個(gè)加密代理服務(wù)器，然后在客戶(hù)的瀏覽器中設(shè)定一下代理服務(wù)器即可。進(jìn)行上述安全升級(jí)在無(wú)論在技術(shù)上還是成本上都是可行的，也是必要的。

四、安全升級(jí)方案的具體實(shí)現(xiàn)

針對(duì)檔案信息網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)的安全升級(jí)，具體實(shí)現(xiàn)時(shí)有多種選擇，其主要區(qū)別在于采用何種加密代理。既可以由程序員全新編制，也可以采用現(xiàn)成的軟件。在這里，筆者認(rèn)為綜合考慮人力成本、資金成本和實(shí)際效能等相關(guān)因素，采用Stunnel+OpenSSL+ Privoxy建立加密網(wǎng)絡(luò)通道的方案最為可行。理由如下：

首先這三個(gè)軟件都是開(kāi)源軟件，其源代碼可以自由下載使用，以避免某些商業(yè)軟件中可能存在的不安全因素；其次是這三個(gè)軟件中提供實(shí)際加密功能的OpenSSL是一個(gè)健全的、可靠的加密工具包，實(shí)現(xiàn)了安全套接層協(xié)議和傳輸層安全協(xié)議；第三是這些軟件同時(shí)具有Windows、Linux等多種操作系統(tǒng)版本，能夠滿(mǎn)足不同平臺(tái)的需要：最后是這些軟件是由無(wú)數(shù)程序員積聚其思想精華
共同努力開(kāi)發(fā)和維護(hù)的。

具體實(shí)施安全升級(jí)的步驟如下：

1、建立檔案館服務(wù)器端的加密代理服務(wù)器

(1)下載Privoxy:下載EXE文件或者源文件然后自己編譯。

(2)修改配置文件config，txt中的選項(xiàng)后運(yùn)行：

listen·addressl Http Proxy的端口，默認(rèn)的是127.0.0.1:81118。

pcrmit-access、deny．a(chǎn)ccess：允許/拒絕的IP域名，建議只允許localhost。

(3)安裝Stunnel：下載Stunnel和OpenSSL庫(kù)，將所有文件放到同一個(gè)目錄下。

(4)創(chuàng)建服務(wù)器證書(shū)：

執(zhí)行opcnssl req-ncw-x509-days 365-nodels-conf18: openssl.cnf-out 8tunnel.pem-kcyout stunnel.pcm創(chuàng)建一個(gè)自己給自己簽名的證書(shū)。

(5)修改配置文件stunnel．conf后運(yùn)行：

keysstunnel.pem

[http2ssl]

accept= 443

connect=127.0.0.i:8118

(6)將Stunnel安裝成MS Brr服務(wù)方式：stunnel．exe-install。（可選）

2、建立客戶(hù)計(jì)算機(jī)端的加密代理服務(wù)器

(1)安裝Stunnel：下載Stunnel和OpenSSL，將所有文件放到同一個(gè)目錄下。

(2)修改配置文件stunnel．conf后運(yùn)行：

client=yes

[ss12http]

accept= 127.0.0.1:80。

只允許本機(jī)使用

conncct=192.168.0,1:443

檔案館服務(wù)器的地址和端口

直接運(yùn)行stunnel,exe，就可以啟動(dòng)Stunncl了。

(3)在瀏覽器設(shè)置Http代理服務(wù)器

在IE中設(shè)置127.0.0.1:80。

完成上述設(shè)置后，在利用者使用的客戶(hù)機(jī)到檔案館的服務(wù)器之間就建立了一個(gè)安全加密通道，所有在此通道中傳送的網(wǎng)絡(luò)數(shù)據(jù)都經(jīng)過(guò)高強(qiáng)度的加密處理，能夠保證在開(kāi)放復(fù)雜的網(wǎng)絡(luò)傳輸中的信息安全。

admin

收藏 海報(bào)分享