加密數(shù)據(jù)傳輸系統(tǒng)

加密數(shù)據(jù)傳輸系統(tǒng)是一款網(wǎng)絡(luò)數(shù)據(jù)通信的加密傳輸軟件，支持外網(wǎng)數(shù)據(jù)傳輸、需要進行端口映射或DMZ，數(shù)據(jù)傳輸使用多重循環(huán)對稱加密算法、相當安全、強于勒索病毒的加密算法、普通計算機無法破解。

數(shù)據(jù)傳輸加密技術(shù)分析

對于企業(yè)來說，企業(yè)的財政開支狀況、項目申請及研發(fā)文檔等都是非常機密的材料，一些不法的競爭者經(jīng)常通過技術(shù)手段竊取機密，使受害者遭受巨大的經(jīng)濟損失，因而，我們的網(wǎng)絡(luò)管理人員在做好網(wǎng)絡(luò)防護和管理的同時，應(yīng)該注意做好網(wǎng)絡(luò)保密工作。本文從數(shù)據(jù)傳輸保密、Http應(yīng)用數(shù)據(jù)保密等多個層面來介紹如何構(gòu)建高效的網(wǎng)絡(luò)保密環(huán)境。

SSH助力 企業(yè)數(shù)據(jù)傳輸保密

數(shù)據(jù)傳輸?shù)谋Ｃ苄允蔷W(wǎng)絡(luò)保密的一個重要內(nèi)容，在企業(yè)網(wǎng)絡(luò)信息系統(tǒng)中，我們可以采用SSH技術(shù)及其軟件來達到這個目的。

SSH的英文全稱是Secure Shell。通過使用SSH，用戶可以把所有傳輸?shù)臄?shù)據(jù)進行加密，這樣，“中間人”這種攻擊方式就不可能實現(xiàn)了，而且也能夠防止DNS和IP欺騙。還有一個額外的好處就是傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快傳輸?shù)乃俣�。SSH有很多功能，它既可以代替Telnet，又可以為FTP、POP，甚至PPP提供一個安全的“通道”。

SSH協(xié)議是建立在應(yīng)用層和傳輸層基礎(chǔ)上的安全協(xié)議，其主要由以下三部分組成，共同實現(xiàn)SSH的安全保密機制:

● 傳輸層協(xié)議。該協(xié)議提供諸如認證、信任和完整性檢驗等安全措施，此外還可以提供數(shù)據(jù)壓縮功能。通常情況下，這些傳輸層協(xié)議都建立在面向連接的TCP數(shù)據(jù)流之上。

● 用戶認證協(xié)議層。用來實現(xiàn)服務(wù)器與客戶端用戶之間的身份認證，運行在傳輸層協(xié)議之上。

● 連接協(xié)議層。分配多個加密通道至一些邏輯通道上，它運行在用戶認證層協(xié)議之上。

從客戶端來看，SSH提供兩種級別的安全驗證:

第一種級別是基于口令的安全驗證。只要用戶知道自己的賬號和口令，就可以登錄到遠程主機。所有傳輸?shù)臄?shù)據(jù)都會被加密，但是不能保證用戶正在連接的服務(wù)器就是用戶想連接的服務(wù)器�？赡軙�有別的服務(wù)器在冒充真正的服務(wù)器，也就是受到“中間人”這種方式的攻擊。

第二種級別是基于密鑰的安全驗證。需要依靠密鑰，也就是用戶必須為自己創(chuàng)建一對密鑰，并把公用密鑰放在需要訪問的服務(wù)器上。如果用戶連接到SSH服務(wù)器上，客戶端軟件就會向服務(wù)器發(fā)出請求，請求用用戶的密鑰進行安全驗證。服務(wù)器收到請求之后，在指定目錄下尋找用戶的公用密鑰，然后把它和用戶發(fā)送過來的公用密鑰進行比較。如果兩個密鑰一致，服務(wù)器就用公用密鑰加密“質(zhì)詢”(challenge)并把它發(fā)送給客戶端軟件�？蛻舳塑浖�收到“質(zhì)詢”之后就可以用用戶的私人密鑰解密再把它發(fā)送給服務(wù)器。

用這種方式，必須知道自己密鑰的口令。但是，與第一種級別相比，第二種級別不需要在網(wǎng)絡(luò)上傳送口令。第二種級別由于加密所有傳送的數(shù)據(jù)，所以“中間人”這種攻擊方式是不可能的(因為他沒有用戶的私人密鑰)。

在用戶使用SSH的過程中，需要注意SSH是由客戶端和服務(wù)端的軟件組成的，有兩個不兼容的版本分別是: 1.x和2.x。用SSH 2.x的客戶程序不能連接到SSH 1.x的服務(wù)程序上。當前，SSH技術(shù)在Windows和Linux平臺互訪及數(shù)據(jù)交換時應(yīng)用非常普遍。一般情況是通過使用Linux下的SSH服務(wù)器，然后使用Putty、Secure Shell Client等Windows下的客戶端軟件來訪問。

PGP技術(shù) 保證數(shù)據(jù)傳輸安全

隨著網(wǎng)絡(luò)與計算機技術(shù)的發(fā)展，數(shù)據(jù)存儲與數(shù)據(jù)交換的安全性、完整性和一致性已經(jīng)變得越來越重要。網(wǎng)絡(luò)信息安全中核心的加密技術(shù)也被應(yīng)用于數(shù)據(jù)存儲和數(shù)據(jù)交換。同時，為了確保網(wǎng)絡(luò)數(shù)據(jù)交換時雙方身份的正確性以及不可抵賴性，簽證體系也已經(jīng)日趨成熟。如何保證在不安全的網(wǎng)絡(luò)上安全地傳輸數(shù)據(jù)是一個難題，而基于PGP(Pretty Good Privacy)機制的加密及簽名機制就可以極大地保證網(wǎng)絡(luò)用戶傳輸及使用數(shù)據(jù)的安全性。

PGP是一個基于RSA公鑰加密體系的郵件加密軟件。它不但可以對用戶的數(shù)據(jù)保密以防止非授權(quán)者閱讀，還能對郵件加上數(shù)字簽名從而使收信人確信郵件是所期望的人發(fā)出，讓我們可以安全地和從未見過面的人通信，而事先不需要任何保密的渠道用來傳遞密鑰。

PGP采用了審慎的密鑰管理——一種RSA和傳統(tǒng)加密的雜合算法，包括用于數(shù)字簽名的郵件文摘算法、加密前壓縮等。它功能強大，速度很快。PGP的創(chuàng)始人PhilZimmermann創(chuàng)造性地把RSA公鑰體系的方便和傳統(tǒng)加密體系的高速度結(jié)合起來，并且在數(shù)字簽名和密鑰認證管理機制上有非常巧妙的設(shè)計，從而使得PGP成為幾乎最流行的公鑰加密軟件包。其中，RSA(Rivest-Shamir-Adleman)算法是一種基于“大數(shù)不可能質(zhì)因數(shù)分解假設(shè)”的公鑰體系。簡單地說就是找兩個很大的質(zhì)數(shù)，一個公開給世界，一個不告訴任何人。分別稱為“公鑰”和“私鑰”。這兩個密鑰是互補的，就是說用公鑰加密的密文可以用私鑰解密，反過來也一樣。

由于PGP使用了IDEA專利算法，所以使用PGP會有許可證的麻煩。人們想出了一些變通方法，比如在Linux環(huán)境下人們使用GnuPG，由于GnuPG并沒有用到IDEA專利算法，所以對用戶來說使用GnuPG沒有任何限制，而在功能上它和PGP是一樣的。GnuPG使用非對稱加密算法，安全程度比較高。所謂非對稱加密算法，就是每一個用戶都擁有一對密鑰: 公鑰和私鑰。其中，密鑰由用戶保存，公鑰則由用戶盡可能地散發(fā)給其他人，以便用戶與其他人通信。

使用GnuPG其實非常簡單，Linux系統(tǒng)中已經(jīng)提供了很多命令來輔助用戶用該軟件來進行加解密以及數(shù)字簽名，包括生成公鑰/私鑰對、公鑰的導(dǎo)出、公鑰的導(dǎo)入、加密和解密、對文件進行簽名等命令。

在使用PGP的過程中，需要注意如下幾個問題:

1. 需要根據(jù)實際的應(yīng)用來確定生成密鑰的算法、密鑰的長度以及密鑰的有效期限。

2.需要用戶通過交互移動鼠標、鍵盤來保證生成的密鑰對的隨機性，否則，極有可能被黑客破解。

3. 公鑰的安全是PGP安全的核心，一個成熟的加密體系必然要有一個成熟的密鑰管理機制配套。公鑰體制的提出就是為了解決傳統(tǒng)加密體系的密鑰分配難保密的缺點。但公鑰的發(fā)布中仍然存在安全性問題，例如公鑰被篡改，這可能是公鑰密碼體系中最大的漏洞，因為大多數(shù)新手不能很快發(fā)現(xiàn)這一點。使用者必須確信你拿到的公鑰屬于它看上去屬于的那個人。

4. 私鑰的保密也是決定性的。相對公匙而言，私鑰不存在被篡改的問題，但存在泄露的問題。PGP的辦法是讓用戶為隨機生成的RSA私鑰指定一個口令。只有給出口令才能將私鑰釋放出來使用，用口令加密私鑰的方法保密程度和PGP本身是一樣的，所以私鑰的安全性問題實際上首先是對用戶口令的保密。當然私鑰文件本身失密也很危險，因為破譯者所需要的只是用窮舉法試探出你的口令了，雖說很困難但畢竟損失了一層安全性。最需要注意的是，要像任何隱私一樣保藏你的私鑰，不要讓任何人有機會接觸到它。

5. 在實際的使用過程中，用戶可以將PGP軟件靈活地運用到網(wǎng)絡(luò)數(shù)據(jù)傳輸，包括電子郵件發(fā)送、FTP文件傳送等各個應(yīng)用領(lǐng)域。

SSL技術(shù) 保證HTTP應(yīng)用保密

Web通信通常是以非加密的形式在網(wǎng)絡(luò)上傳播的，這就有可能被非法竊聽到，尤其是用于認證的口令信息。為了避免這個安全漏洞，就必須對傳輸過程進行加密。對HTTP傳輸進行加密的協(xié)議為HTTP，它是通過SSL進行HTTP傳輸?shù)膮f(xié)議，不但可以通過公用密鑰的算法進行加密保證傳輸?shù)陌踩�性，而且還可以通過獲得認證證書CA，保證客戶連接的服務(wù)器沒有被假冒。SSL是一種國際標準的加密及身份認證通信協(xié)議，一般瀏覽器都支持此協(xié)議。

SSL(Secure Sockets Layer)最初是由美國Netscape公司研究出來的，后來成為了互聯(lián)網(wǎng)安全通信與交易的標準。SSL協(xié)議使用通信雙方的客戶證書以及CA根證書，允許客戶/服務(wù)器應(yīng)用以一種不能被偷聽的方式通信，在通信雙方間建立起了一條安全的、可信任的通信通道。它具備以下基本特征: 信息保密性、信息完整性、相互鑒定。該協(xié)議主要使用Hash編碼、加密技術(shù)，這里不再對這些技術(shù)進行介紹。

在SSL通信中，首先采用非對稱加密交換信息，使得服務(wù)器獲得瀏覽器端提供的對稱加密的密鑰，然后利用該密鑰進行通信過程中信息的加密和解密。為了保證消息在傳遞過程中沒有被篡改，可以加密Hash編碼來確保信息的完整性。

服務(wù)器數(shù)字證書主要頒發(fā)給Web站點或其他需要安全鑒別的服務(wù)器，以證明服務(wù)器的身份信息，同樣也可以頒發(fā)客戶端數(shù)字證書用于證明客戶端的身份。

使用公用密鑰的方式可以保證數(shù)據(jù)傳輸沒有問題，但如果瀏覽器客戶訪問的站點被假冒，這也是一個嚴重的安全問題。這個問題不屬于加密本身，而是要保證密鑰本身的正確性。要保證所獲得的其他站點公用密鑰為其正確的密鑰，而非假冒站點的密鑰，就必須通過一個認證機制，能對站點的密鑰進行認證。當然，即使沒有經(jīng)過認證，仍然可以保證信息傳輸?shù)陌踩�，只是客戶不能確信訪問的服務(wù)器沒有被假冒。如果不是為了提供電子商務(wù)等方面對安全性要求很高的服務(wù)，一般不需要如此嚴格的考慮。

下面是使用SSL進行通信的過程:

1. 客戶端向服務(wù)器端發(fā)起對話，協(xié)商傳送加密算法。例如: 對稱加密算法有DES、RC5，密鑰交換算法有RSA和DH，摘要算法有MD5和SHA。

2. 服務(wù)器向客戶端發(fā)送服務(wù)器數(shù)字證書。比如: 使用DES-RSA-MD5這對組合進行通信�？蛻舳丝梢则炞C服務(wù)器的身份，決定是否需要建立通信。

3. 客戶端向服務(wù)器傳送本次對話的密鑰，再檢查服務(wù)器的數(shù)字證書是否正確通過CA機構(gòu)頒發(fā)的證書，驗證了服務(wù)器證書的真實有效性之后，客戶端生成利用服務(wù)器的公鑰加密的本次對話的密鑰發(fā)送給服務(wù)器。

4. 服務(wù)器用自己的私鑰解密獲取本次通信的密鑰。

5. 雙方的通信正式開始。

在一般情況下，當客戶端是保密信息的傳遞者時，他不需要數(shù)字證書驗證自己身份的真實性，如我們通常使用的網(wǎng)上銀行交易活動，客戶需要將自己的隱秘信息(如賬號和密碼)發(fā)送給銀行，因此銀行的服務(wù)器需要安裝數(shù)字證書來表明自己身份的有效性，否則將會使信息泄露。當然，對某些安全性要求很高的B2B應(yīng)用，服務(wù)器端也需要對客戶端的身份進行驗證，這時客戶端也需要安裝數(shù)字證書以保證通信時服務(wù)器可以辨別出客戶端的身份，驗證過程類似于服務(wù)器身份的驗證過程。而在通常情況下，瀏覽器都會通過交互的方式來完成上述的通信過程。

用戶口令保密

目前，密碼破解程序大多采用字典攻擊以及暴力攻擊手段，如果用戶密碼設(shè)定不當，極易受到字典攻擊的威脅。很多用戶喜歡用自己的英文名、生日或者賬戶等信息來設(shè)定密碼，這樣，黑客可能通過字典攻擊或者是社會工程的手段來破解密碼。所以建議用戶在設(shè)定密碼的過程中，應(yīng)盡量使用非字典中出現(xiàn)的組合字符，并且采用數(shù)字與字符相結(jié)合、大小寫相結(jié)合的密碼設(shè)置方式，增加密碼被黑客破解的難度。而且，也可以使用定期修改密碼、使密碼定期作廢的方式，來保護自己的登錄密碼。具體列出幾條設(shè)定安全密碼的參考原則如下:

● 口令長度至少為8個字符: 口令越長越好。若使用MD5口令，它應(yīng)該至少有15個字符。若使用DES口令，應(yīng)使用最長長度(8個字符)。

● 混和大小寫字母、混和字母和數(shù)字，包括字母和數(shù)字以外的字符(如&、$、和 > )等。

● 挑選一個你可以記住的口令。

其次，還有一些原則需要牢記:

● 不要只使用單詞或數(shù)字，不要使用現(xiàn)成詞匯，不要使用外語中的詞匯，也不要使用黑客術(shù)語以及個人信息。

● 不要倒轉(zhuǎn)現(xiàn)存詞匯: 優(yōu)秀的口令破譯者總是倒轉(zhuǎn)常用詞匯，因此倒轉(zhuǎn)薄弱口令并不會使它更安全。

● 不要筆錄你的口令，也不要在所有機器上都使用同樣的口令。

另外，我們還可以通過一些工具軟件，用于在已知密文的情況下嘗試破解出明文，從而驗證當前密碼的安全程度，如John the Ripper就是這樣一個軟件。

鏈接 網(wǎng)絡(luò)保密的相關(guān)原則

網(wǎng)絡(luò)管理人員在日常的工作中，應(yīng)該尤其注意如下幾方面的泄密途徑:

1. 電磁波輻射泄密: 計算機網(wǎng)絡(luò)在進行工作時是存在電磁波輻射的，只要有專門的接收裝置，就能接收到輻射信息從而造成泄密。它的輻射主要有四個環(huán)節(jié): 連接線路輻射，顯示器輻射，主機輻射，輸出設(shè)備輻射。有資料顯示，在開闊地100米左右，用監(jiān)聽設(shè)備就能收到輻射信號。

2. 網(wǎng)絡(luò)泄密: 計算機局域網(wǎng)的建立及其三級網(wǎng)、二級網(wǎng)、一級網(wǎng)的逐步建成運行，是當前網(wǎng)絡(luò)應(yīng)用發(fā)展的方向，這些網(wǎng)絡(luò)的應(yīng)用使分布在不同位置不同單位的計算機具有了信息傳遞的渠道，擴大了計算機的應(yīng)用范圍，大大提高了工作效率和降低了行政成本，使得每個用戶終端都可利用各個計算機中存儲的文件、數(shù)據(jù)。然而，在信息共享的同時，主機與用戶之間、用戶與用戶之間存在很多的漏洞，一些未經(jīng)授權(quán)的非法用戶或竊密分子通過冒名頂替、長期試探或其他辦法進入網(wǎng)絡(luò)系統(tǒng)進行竊密。另外，聯(lián)網(wǎng)后線路通道分支較多，輸送信息的區(qū)域也較廣，截取所送信息的條件就較便利，竊密者在網(wǎng)絡(luò)的任何一條分支線路上或某一個節(jié)點、終端進行截取，就能獲得整個網(wǎng)絡(luò)的輸送信息。

3. 操作人員泄密: 計算機操作人員的泄密是目前泄密的重災(zāi)區(qū)，操作人員有可能從以下幾個方面造成泄密。(1)因無知泄密: 如不知道存儲介質(zhì)有可提取還原的信息，將曾經(jīng)儲存過秘密信息的存儲介質(zhì)交流出去，造成泄密; (2)保密意識不強，違反規(guī)章制度泄密: 如計算機出現(xiàn)故障后不按規(guī)定程序修理，或者在不能處理秘密信息的計算機上處理秘密信息; 有的甚至交叉使用計算機等; (3)故意泄密，這是極少數(shù)人為了個人利益或者個人的其他目的的泄密。這屬于應(yīng)該受到紀律或法律追究的行為。

4. USB泄密: 工作人員將帶有機密信息、源代碼文件、設(shè)計圖紙等重要信息的移動存儲器連接在聯(lián)接互聯(lián)網(wǎng)的計算機上，不知不覺中可能就被間諜軟件竊取�，F(xiàn)在有一種隱蔽性極強的木馬病毒，不但傳染電腦，還傳染存儲盤。用戶的優(yōu)盤一旦在感染了這種程序的電腦上使用，就會感染上這種病毒。如果這個優(yōu)盤再用于你的辦公電腦，就會自動秘密地把你電腦上的信息復(fù)制到優(yōu)盤上。下次你再次將這個盤插入上網(wǎng)的電腦時，就會自動將盤上的信息發(fā)送到網(wǎng)上指定的地點。整個過程是秘密、自動完成的，用戶很難察覺。

根據(jù)這些主要泄密途徑，網(wǎng)絡(luò)管理人員可以與企業(yè)高層達成共識，采取相應(yīng)的手段來進行網(wǎng)絡(luò)保密工作，比方說采用物理網(wǎng)絡(luò)隔離或者GAP來對保密網(wǎng)絡(luò)和互聯(lián)網(wǎng)進行隔離，對操作人員進行培訓宣講和強調(diào)保密技術(shù)，對使用USB的安全問題進行分析和制定相關(guān)的規(guī)章進行約束等等。

另外，對于網(wǎng)管來說，保護系統(tǒng)安全還有一個最簡單有效的方法，那就是到系統(tǒng)發(fā)行商那里下載最新的安全補丁(這些補丁的發(fā)現(xiàn)極有可能是黑客的功勞，也許是他們發(fā)現(xiàn)了系統(tǒng)漏洞所在)。最后，要強調(diào)的是，要建立良好的安全意識，從最簡單的安全設(shè)置開始，合理利用安全工具。