一种基于数字水印和信息内容的网络信息安全技术

1、 一种基于数字水印和信息内容的网络信息安全技术朱磊,沈焕生(解放军理工大学通信工程学院,江苏南京210007摘要:针对监控内部网络信息流动的合法性问题,采用了数字水印、信息内容分类处理和过滤网关等技术,通过对信息嵌入易碎性水印和鲁棒性水印,在网关处设计的信息内容识别和过滤,可以防止受控信息的非法篡改和伪造,并可对流出网关信息进行追查,解决了内部网络的信息传输授权与控制。根据此方案,设计并实现了一个基于数字水印和信息内容的内部网络信息内容过滤原型系统。通过实验验证,本系统可有效地防止内部信息的非法发布与接收。关键词:数字水印;基于内容的识别;过滤网关中图分类号:T P 393.08文献标识码:A

2、 文章编号:1009-3443(201001-0019-07Network information secu rity technique based on digital watermark andinformation contentZH U L ei ,SH EN H uan -sheng(Inst itute o f Co mmunicatio ns Eng ineering ,P L A U niv .Sci .&T ech .,N anjing 210007,China Abstract :T o superv ise the v alidity of m ilitary

3、intramural information flow ,techniques such as digital w aterm ar k,content-based info rmation recognizing and info rmation filtering gatew ay were adopted.They embeded fragile and robust w atermark in info rmation.Info rmation recog nizing and filter ing in g atew ay w as designed ,w ith could eff

4、ectiv ely prevent the inform ation content fr om illeg al jug gling and fabricating ,and trace the o utgo ing infor matio n effectively.It w as guaranteed that info rmation transmitting w as under co ntrolling.According to the solution,a dig ital watermark and information co ntent based militar y in

5、tram ural netw ork filtering pr ototype system w as put forw ard and im plemented.The test proves that the pr ototype system yields go od per for mance in pr eventing illeg al issuing and receiv ing intramural inform ation.Key words :digital w aterm ark;content-based recog nition;filter ing gatew ay

6、 收稿日期:2008-04-28.基金项目:中国博士后科学基金资助项目(20070411026第一作者:朱磊(1973-,男,博士生,副教授;研究方向:通信网管理、网络规划与优化、智能信息处理;E -m ail :zhulei -ice.尽管各单位的内部办公网络都已实现了与Internet 的物理隔离,并均已制定了严格的网络安全措施,但不断出现的各类失窃密事件表明网络安全形势依然严峻,内部网络信息非法外泄依然是网络信息安全面临的主要问题之一。经调研统计,内部网络主要存在着以下的安全漏洞:(1不同密级的信息内容混杂在同一个网络内:不同密级的信息往往都在同一个办公网络上进行传输和交互,潜在的安全威

7、胁是涉密信息传播范围的扩大化;(2内部网络与外部网络(如校园办公网与军事训练网互联:内部网络与公用网络的互通互联接口在方便网络信息交互的同时,也使得内部网络的受控信息存在着流传到公用网络的危险,从而有可能造成间接失密的情况;(3普遍缺乏网络信息外传的安全审计和事后追查手段:内部网络和外部网络之间的信息交互过程处于得不到有效控制和审计的状态,造成了潜在的失密隐患,且外传后信息缺乏追踪认证手段;(4各种信息窃取工具在内部网络大量存在:由于各种存储介质的引入,在内部网络中存在大量的信息窃取工具,在用户不知情的情况下将各类信息传送至外部网络,在没有安全审计和过滤的网络环境下,对内部网络的安全造成致命的

8、威胁。针对网络安全形势越来越严重的现状和以上存在的内部网络信息安全隐患,非常有必要采用一种可靠、高效、可信的安全审计和过滤技术手段对内部网络的出口网关进行安全加固。本文通过对数字水印技术和基于内容的信息识别、过滤技术进行深入研究,设计了基于数字水印和信息内容的内部网络信息内容过滤原型系统(以下简称原型系统,将数字水印嵌入到网络上需要传输的信息中,并在内部网络出口网关对外传网络信息的合法性、内容实施检测和过滤,从而起到了有效限制非法信息外泄和对外传信息追踪查证的目的。与国内外常见的网络信息内容过滤技术相比,本文提出了将数字水印技术、信息内容识别技术综合应用到过滤网关的方法,具有一定的创新性。1原

9、型系统设计1.1设计思想基于数字水印和信息内容的内容网络信息内容过滤原型系统的设计思想是:内部网络的信息向外部网络传输前需要嵌入有效的数字水印,在内部网络出口处设置内容过滤网关,对外传信息进行内容识别和数字水印检测。如果外传信息中没有合法的数字水印,该信息将被过滤不向外网转发,反之则对传输信息进行内容识别并区分信息类别,只有确认外传信息是可以外传的信息类别时,该信息才被转发至外网。在外部攻击非法窃取内部网络信息的情况下,由于被窃取信息中没有合法的数字水印,该信息将被内容过滤网关过滤,有效防止了机密信息被窃。在内部网络用户主动向外网发送信息的情况下,内容过滤网关会根据信息内容实施过滤,防止内部网

10、络用户未经授权向外网发送机密信息。同时,外传信息中嵌入的身份水印包含了信息发布的相关细节内容,可作为事后查证的线索。1.2原型系统体系结构原型系统如图1所示,包括数字水印嵌入和内容过滤网关两部分。其中,内部网络与外部网络通过内容过滤网关互联。内容过滤网关接收内部网络的外传信息后对所接收的信息进行合法性验证,通过合法性验证的信息由内容过滤网关转发至外部网络,未通过合法性验证的信息则被过滤不向外部网络转发。1.3原型系统工作流程原型系统的信息处理流程如下:(1内部网络用户主动向外部网络传输时在相应的信息中嵌入有效的数字水印;(2内容过滤网关接收外传信息并对所接收的信息进行合法性验证;(3内容过滤网

11、关根据合法性验证结果完成过滤操作。在原型系统中,信息的过滤和放行是通过内容过滤网关实现的,信息处理流程如下:(1如果外传信息中没有合法的数字水印(没有水印、水印被破坏、篡改或无法提取水印,该信息将被过滤不向外网转发,提交由人工进行后处理,进行信息内容的甄别 ;图1基于数字水印和信息内容的内部网络信息内容过滤原型系统Fig .1Dig it al w ater mar k and infor mation content based intr amur al netw or k filter ing pro to type system20解放军理工大学学报(自然科学版第11卷(2如果外传信息中

12、含有合法的数字水印(正常提取水印信息,并通过水印内容的合法性验证,该信息将被进行内容识别;(3对信息内容进行粗分类,如果分类结果是属于正常外流信息,则正常通过;反之则进行基于内容的特征匹配;(4对于基于内容的特征匹配结果,如可以确定属于正常外流信息,则正常通过,反之则提交由人工进行后处理,进行信息内容的甄别。2原型系统关键技术基于数字水印和信息内容的网络信息内容过滤原型系统主要涉及到数字水印技术、过滤网关技术和基于内容的文本信息识别技术等。图2基于数字水印的内部信息处理结构F ig.2D igital w ater mark based info rmat ion pr ocessingstr

13、 uct ur e2.1数字水印技术原型系统中,基于数字水印的内部信息处理结构如图2所示。该处理结构主要由数字指纹水印申请模块、数字水印管理中心DWM C (dig ital w aterm ar king m anag em ent center、数字指纹水印生成模块、信息密级水印嵌入模块、数字水印数据库、客户端指纹水印嵌入模块、网络关键节点处水印检测提取模块等部分组成。网络关键节点是指位于源地址和目的地址中间的关键网络设备,可以是防火墙系统、安全服务器、主干网的监控设备或路由器等。这里信息密级水印能够提供信息的机密等级信息,而数字指纹水印能够提供信息传输方的身份ID 与权限信息,它们属于主

14、动式水印技术1,2。数字水印的处理工作流程可以分为以下几步:(1由数字水印管理中心(DWM C制定信息传输的合法条件,设计主动数字水印的标准与格式35。(2在内部网络中传输的信息,首先要提交到数字水印管理中心,然后由DWM C 鉴定其机密等级并嵌入信息密级水印。(3客户端向数字水印管理中心申请数字指纹水印,同时提供用户指纹信息(如身份ID 与手写签名图案、联络信息等。(4数字水印管理中心首先根据用户提供的信息确定该用户的身份与权限等级,然后由数字指纹水印生成模块生成该用户的数字指纹水印并在水印数据库中备份,最后数字水印管理中心将生成的数字指纹水印发回到客户端由该用户接收保存。(5在客户端,由用

15、户将申请到的数字指纹水印嵌入到信息中以进行传输。没有嵌入标准数字指纹水印的信息将无法在网络中传输。(6当信息通过网络传输时,网络关键节点监控系统决定是否传输。具体而言,网络关键节点检测提取主动数字水印6,数字水印管理中心根据水印信息进行判断、决策,确定其传输合法性,网络关键节点根据合法性决定继续传输或终止传输。本文设计的原型系统,采取的具体水印技术方案为:将易碎性水印嵌入流经网关的信息中,以实现信息流出前的内容审核;将包含审核人信息等有意义的鲁棒性水印信息嵌入,以利于信息流出网关后的追查;采用明文关键词过滤和水印快速盲检测技术,有效地防止内部信息的非法流出。2.2过滤网关技术过滤网关位于内网的

16、唯一出口上,负责监视所有的流入、流出信息,对违反安全要求的信息,采取不予通过、警告、存档等措施。过滤网关对内网的信息安全负有主要责任,因此主要针对流出的信息进行管理。过滤网关的安全策略执行严格的Permission list 策略,即除了允许的端口(目前只考虑80端口,预留配置接口开放外,其他端口一律关闭。过滤网关的工作流程如图3所示。原型系统的安全措施可以分为3类:信任域、限制访问和内容过滤711。信任域:内网的安全责任人将某个网址或链接的安全责任委托给某个部门安全管理员。可以认为信任域的内容都是可信的,可直接通过过滤网关。这种措施适用于不经常更新的网址。部门安全管理员向总安全管理员提交信任

17、域审核请求或由总安全管理员根据流量和服务特点直接请求设置信任域,在水印管理中心审核通过后设置信任域,网址内容更新后必须重新提请审核。信任域的配置由某级别的21第1期朱磊,等:一种基于数字水印和信息内容的网络信息安全技术 图3过滤网关的工作流程F ig.3Wo rk flow of filt ering gat eway安全员远程登录配置。限制访问:对于某些不希望在外网公开的网址或链接,可在过滤网关设置限制访问列表。这些链接的内容在网关处都会被拦截。内容过滤:对于经常更新的URL,需要采取内容过滤的措施。网页内容可以分为文本和资源两类。文本不仅包括网页内的明文,还包括文本框、按钮等控件内的文本。

18、资源包括图片和文档的链接。如果某个内容因为安全原因不能通过,可以用“本内容因安全原因不允许访问”之类的内容替换。因此对HT TP 连接内嵌套的资源,应该将获该资源的连接与父连接关联起来。每个连接的数据结构需要有一个指针指向其子连接的链表,而子连接需有一个指 针指向父连接。图4过滤网关的守护进程的操作流程F ig.4Pr ocessing of w atching pro cedure in filter ing gatew ay过滤网关的守护进程操作流程如图4所示。水印管理中心管理员可以通过配置程序远程登录过滤网关并进行配置。可配置的内容包括信任域和限制访问域的设置、敏感词汇(明文过滤使用设置

19、、指纹加卸载、端口管理、安全策略设置等。守护进程运行于过滤网关,接收配置程序的配置请求并动态加载。其中,过滤网关对每个流入网关的分组执行图5所示的操作。图5过滤网关对流入分组的操作流程Fig .5Pr ocessing inco ming packets in filtering gat eway过滤网关对每个流出分组执行如图6所示的操作。图6过滤网关对流出分组的操作流程Fig.6Pr ocessing o utgo ing packets in filter ing g atew ay2.3基于内容的文本信息识别技术对文本信息的内容识别,首先需要确定文本信息的目标表示方式与特征匹配方式,在对

20、文本信息预处理基础上,对文本信息进行特征提取以及根据词条权值评价函数评估文本内容12,从而实现对文本的内容分类。典型的文本信息的内容识别流程框图,如图7所示。其中,涉及到的主要技术包括:22解放军理工大学学报(自然科学版第11卷图7典型的文本信息的内容识别流程框图F ig.7T y pical pro cessing flow of co ntent-basedreco gnition for tex t info rmat ion(1文本信息的预处理在对文本进行特征提取前,需要先进行文本信息的预处理,主要包括英文文档的Stemm ing处理和中文文档的词条切分13。从英文单词的多种形式中提取

21、出其基本词干的过程被称作Stemm ing。英文单词在具体使用时,根据相同的词干进行词频统计,实现Stem ming的一般方法是建立单词前缀、后缀表和特殊形式表,用匹配方式实现。中文同英文不同,句子中各词条间没有固有的分隔符(空格,进行中文文档的词频统计前,首先需要对中文文档进行分词处理。常用的分词算法主要有:最大匹配(包括前向、后向以及前后相结合、最短路径方法(切分出来的词数最少、全切分方法(列出所有可能的分词结果以及最大概率方法(训练一个一元的语言模型,通过计算得到一个概率最大的分词结果。分词系统能否达到实用性要求主要取决于2个因素:分词精度与分析速度,这两者之间相互制约,难以平衡。本文综

22、合考虑速度和性能的兼顾,提出了如下的中文词法分析策略:首先查询专用词典(用户词典:专用词典收录了人名、地名、专业词汇、专业术语和专业概念等信息,可以首先将属于专用词典的内容切分出来。将剩下的部分采取双向分词策略:如果前向最大匹配和后向最大匹配的切分结果相同,则说明没有歧义,直接输出分词结果;如果前向和后向最大匹配的切分结果不同,则以最短路径的那个结果为准;如果2种切分方式的路径长度也一样,则选择切分单词少的那一组切分结果;如果切分的单词数也相同,则直接 选择正向最大匹配的分词结果。(2特征提取目标表示中词条T及其权值的选取称为特征提取9,特征提取是检索目标共性与规则的提取过程,其采用策略的优劣

23、将直接影响到检索工具的效果。词、词组和短语是组成文档的基本元素,并且在不同内容的文档中,各词条出现的频率有一定规律性,因此可根据词条的频率特性进行目标特征提取。传统的特征提取采用的是词频统计法,如TF/ IDF(term fr equency/inverse docum ent fr equency算法。T F/IDF是经典的文本相似度计算公式,是一个特定条件下,关键词概率分布的交叉熵,描述了单个术语(term与特定文档(do cument的相关性。其中T F(term fr equency称为“词频”,表示了一个词或术语与某个文档的相关性。IDF(inverse docum ent freq

24、uency称为“逆文本频率指数”,表示了一个词在文档中的权重大小。传统的T F/IDF算法的描述如下:W i=F i(t,dlgND(t+0.01kF2t(t,dlg2ND(t+0.01,其中:W i是文本中术语i的权重;F(t,d表示术语t 在文本d中出现的频率;N表示总的文档数;D(t表示包含t的文档数。通常情况下,权重W i较高的词即可取为关键词。显然,该算法所确定的关键词并未考虑到该词在文本中的分布情况,故还需对所确定的关键词作全文评价。将所处理文档中所有词的权重W i从高到低排列,将权重较高的词作为全文可能的关键词,然后对可能的关键词作全文评价,从中抽取出全文关键词。全文关键词的权值

25、是词频与该词跨越段数的函数。由于词语跨越段落数与文献总段落数有关,可修正T F/IDF算法如下:定义W k=0.5+0.5(F k/(F avg+0.01×I k,其中:W k为全文关键词权重;F k为词在文档中的出现次数;F avg为该词在文档中的平均出现次数,F k= lg(N/D t(N是文档总段落量,D t是包含了该词的段落数;I k=lg(D s/D st(D s是该类别的文档集总数量,D st是包含了该词的该类别文档的总数。实验结果表明,按此定义所得到的全文关键词是比较可靠的,更能反映文献的主题和主要内容。全文关键词也是信息内容分类的重要依据和主要特征。(3特征匹配目标表

26、示是指以一定的特征项(如词条或描述来代表目标信息,在信息检索时用这些特征项来评价未知文档与用户目标的相关程度,目标表示的构23第1期朱磊,等:一种基于数字水印和信息内容的网络信息安全技术 24 解 放 军 理 工 大 学 学 报 ( 自 然 科 学 版 第 11 卷 造过程就是信息检索模型的构造过程。目标表示模 型有多种, 常用的有布尔逻辑型、 向量空间型、 概率 型等。近年来应用较多且效果较好的目标表示法是 向量空间模型 VSM ( vect or space model 法。 在VSM 中, 将文本文档看作是由一组词条( T1, T2 , , Tn 构成, 对于每一词条 T i , 都根据

27、其在文档 中的重要程度赋以一定的权值 W i 。将其看成一个 n 维坐标系, W 1, W 2, , W n 为对应的坐标值, 因此每 一篇文档都可映射为由一组词条矢量张成的向量空 间中的一个点。对于所有用户目标或未知文档都可 用词条特征矢量( T 1, W1 , T2 , W2 , , Tn, Wn 表示, 从 而将文档信息的匹配问题转化为向量空间中的向量 匹配问题。 将文本表示成向量后, 对文本信息以 Bay es 分 类器 进行粗分 类, 将文 本信息 归属为 不同的 信息 类别。 Bay es 分类器是常用于文本分类领域的概率分 类器, 它利用类别的先验概率和词的分布, 对于类别 的条

28、件概率来计算未知文本属于某一类别的概率。 在假设文本中词 的分布相互独立的模型中, Bayes 分类器的数学形式为: P ( C i P ( D j C i P( Ci D j = D i 图 8原型系统结构示意图 F ig . 8 Structur e of the pro tot ype system 表 1原型系统测试结果 Tab. 1Test result of the prototype system 非法文档检出过滤率/ % 合法文档错检率/ % 平均文档检测过滤时间( ms/ 篇 HT M L 过滤 93. 6 1. 2 300 Wo rd 过滤 90. 1 3. 4 2060

29、测 试网络 环境为 100 M 局 域网, 网 关配置 为 CP U: 酷 睿 双 核 2. 2 GHz, M emor y: 2G, 测 试 HT M L : 206 篇, 测试文档: 189 篇。 测试结果表明, 该原型系统能有效地限制内部 网络的重要信息向外部网络传输, 提高内部网络的 信息安全等级。 但原型系统在文档分词准确度、 处理 效率等方面还有待进一步提高。 在本文的最后, 将基于数字水印和信息内容的 内部网络信息内容过滤解决方案与传统的基于数字 签名技术的网络过滤方案进行比较: ( 1 数字签名的作用与本方案中脆弱性水印的 作用类似, 由于数字签名是有充分安全保证的技术, 且在

30、网关处的签名认证速度较快, 因此在本方案中 可以采用数字签名技术取代脆弱性水印。 ( 2 鲁棒性水印携带了信息发布人、 审核人等丰 富信息, 可用于事后的追查, 此功能是数字签名所不 具有的, 是本方案的特色。 P ( Dj = P( C i P ( W k Ci F( W k k= 1 P ( Dj , 其中: C i 为某一类别; D j 为未知类别文本; W k 为 D j 中出现的单词; F ( W k 为 W k 在 D j 中出现的次数; P ( C i 和 P ( W k C i 可以从训练集中估计。对于不同 的类别, 上式的分母不变, 故只要选择使得分子最大 的类别, 即认为是

31、待分类文本的类别。 在实际应用的 时候, Bay es 分类器一般都能取得相对较好的结果。 3基于数字水印和信息内容的内部网 络信息内容过滤技术的应用 根据上述研究成果, 本文设计实现了一个基于 数字水印和信息内容的内部网络信息内容过滤原型 系统, 其结构如图 8 所示。 利用该原型系统, 进行了实验测试。 在原型系统 中, 针对网页和 Wor d 文件, 采取了外网用户通过过 滤网关访问内部文档和内部用户主动通过过滤网关 向 外发 送 文档 两 种 测试 模 式。测 试 结 果如 表 1 所示。 4结语 本文提出的基于数字水印和信息内容的内部网 络信息内容过滤解决方案, 通过采用主动水印技术

32、 在媒体中嵌入密级水印, 利用数字指纹水印身份认 证机制和易碎水印内容认证机制, 不仅可以有效的 防止机密信息的非法传输与泄漏, 而且可以实现传 输方的身份认证与传输内容的完整性认证, 还可以 为追踪机密信息的泄漏提供证据与线索, 可有效阻 止主动或被动外泄内部网络信息的行为, 提高内部 网络的安全等级。 第 1 期 朱磊, 等: 一种基于数字水印和信息内容的网络信息安全技术 25 8 M A L L ET T D, EL DIN G J, N A SCIM EN T O M A . 参考文献: 1 CHEN T ao , W AN G Jing-chun , Z HO U Y ong - .

33、 lei Co mbined digital sig nature and digital w ater mar k scheme for imag e authent icatio n C . Beijing: Infot ech and Info- , 2001. net 2 W U Jin , XIA Bei-bei , L IU Jian , et al . A secur e image t ransmissio n scheme ba sed on dig ital w aterma rk and cr yptog r aphy C . HongK o ng : P ro ceed

34、ing s o f 2004 I nter natio nal Sy mpo sium on Intellig ent M ult imedia, V ideo a nd Speech Pr o cessing , 2004. 3 SU N Jia nde, L IU Ju. A no vel dig ital w ater mar k scheme based on imag e independent feature C . Changsha: China P ro ceeding s of the 2003 IEEE I nter natio nal Confer ence on Ro

35、bo tics, Sy stems and Sig nal P ro cessing , 2003. 4 李春, 黄继 武. 一种抗 JPEG 压 缩的 半脆弱 图像 水 印算法 J . 软件学报, 2006, 17( 2 : 315324. L I Chun, HU A N G Ji- u. A semi- gile image water w fra mar king r esisting to JPEG J . Journal of Soft war e, 2006, 17( 2 : 315324. ( in Chinese . 5 赵伟, 贾 振红. 基于 新型 A rnold 反 变

36、换 的彩 色数 字 图像水印 J . 计算机工程, 2007, 33( 13 : 171-172. Z HA O Wei, JIA Zhen- ng . Co lo r ho dig it al image w ater mar k based on new a nt i- r no ld tr ansfo r matio n A J . Co mput er Eng ineering, 2007, 33( 13 : 171-172( in Chinese . 6 孙丰, 陈 向东, 孙伟. 基于 位平面 随机性 测试的 隐 写 分析 算法 J . 解放 军理 工大 学学 报: 自然 科 学版

37、, 2006, 7( 6 : 548552. SU N Feng , CHEN Xiang dong , SU N W ei. Bit plane r ando mness tests ba sed steg analysis alg or ithm J , Jour nal o f PL A U niv ersity o f Science and T echnolog y ( N atur al Science Sditio n , 2006, 7 ( 6 : 548-552. ( in Chinese . 7 D OSHI B . A pr efix space par titionin

38、g appr oach to scalable peer g atew ay discover y in secur e v ir tual pr ivat e netw or ks C . A tlantic City : M ilitar y Co mmunicat - ns Co nfer ence, 2005. io Intellig ent Infor mationcontent based sentence ex tr actio n fo r tex t summ arizat ion C . L as v egas: P ro ceeding s of the Inter nat ional Co nfer ence on Infor matio n T echnolog y : Coding and Computing ( IT CC 2004 , 2004. 9 胡燕, 吴虎子 , 钟 珞, 中文文 本分类 中基于 词性的 特 征提 取方 法研究 J . 武汉理 工大 学学报, 2007, 29 ( 4 : 132-135. HU Y an , W U Hu - , ZHO N G G e, Research of feat ur e zi ex traction metho ds