信息共享平台安全解决方案

1、4.4铁路信息共享平台安全解决方案铁路信息共享平台是铁路业务信息系统间信息交换和共享的枢纽，铁路信息 数据安全的交换与共享是铁路信息共享平台安全稳定运行的基础，信息共享平台 需要在安全生产网、外部服务网、内部服务网以及其他专网进行数据交换，因此 就要解决各种网络互连的安全。虽然现有各信息系统已有完善的安全机制，但是 信息共享平台整合了各信息系统并且对外提供服务，因此，要统一考虑对外的访 问控制。此外，信息共享的同时带来信息本身的不安全，必须采取相关技术保证 信息的安全保密性。要保证铁路信息共享平台的安全，涉及到多方面的因素。本方案从平台的部 署以及平台的通信层安全、消息层安全和应用层安全来考虑

2、。4.4.1信息共享平台部署方案根据铁路其他业务信息系统纵向分层、分级建设的特点，信息共享平台采用 铁道部、铁路局（公司）、主要站段三层结构。为适应三层网络体系结构，铁道 部、路局和站段信息共享平台和其他业务系统通过专线方式或者现有网络进行信 息交换。铁道部、路局和站段三级平台之间通过现有2M的数据通道通信。信息共享平台部署在不同网段安全方案比较综合铁道部网络现状分析，铁路信息共享平台的部署有三种考虑：（1）信息共享平台部署在安全生产网内；部署示意图如图4-4-1。（2）信息共享平台部署在内部服务网内；部署示意图如图4-4-2。（3）信息共享平台部署在安全生产网和内部服务网之间（单独组网）。部

3、 署示意图如图4-4-3。图4-4-1信息共享平台部署在安全生产网示意图漏洞扫描安全审计安全管理服务系统病毒库升级补丁管理授权管理访问控制 服务器图4-4-2信息共享平台部署在内部服务网示意图内部服务网,安全生产网防火;系统核心交换机安全网关汇聚交换机访问控制 服务器信息共享平台专网安全管理服务系统病毒库升级补丁管理授权管理cfP数据交换 服务器安全管理中心安全管理平台漏洞扫描安全审计应用服务器图4-4-3信息共享平台单独组网示意图在以上三种部署方案中，部署在安全生产网和部署在内部服务网的结构相 似，但安全生产网本身对安全等级的要求更高，部署在安全生产网信息共享平台 要具备安全生产网对安全级别

4、的要求，其他业务系统要连接信息共享平台时也要 满足相应的安全要求。部署在内部服务网，安全级别要求较安全生产网低，不利 于信息共享安全。单独组网会增加和生产网以及内部服务网之间的边界防护设 备，需要增加投入。三种方案具体优缺点对比见下表：表4-4-1铁路信息共享平台部署网络对比网络部署方式安全性稳定性资金投入网络管理设置安全生产网高强低简单内部服务网一般一般低简单单独组网高强高复杂信息共享平台部署在安全生产网铁路信息共享平台若是部署在三网之外，必须单独对此网络实施安全措施， 而且要设置与其他网络的互访通道。综合利弊，铁路信息共享平台最佳方案是部 署在安全生产网内。信息共享平台内网的安全主要是保证

5、信息共享平台服务器、应用系统以及用 户终端的安全。因此，我们必须对内网终端主机进行集中的安全保护、监控、审 计和管理，可自动向终端计算机分发系统补丁，禁止重要信息通过外设和端口泄 露，防止终端计算机非法外联，防范非法设备接入内网，有效地管理终端。在图4-4-1中，首先在安全网关中设置访问控制，拒非法用户于门外。然后 对平台数据库以及服务器进行漏洞扫描和安全审计，同时，安全管理服务系统做 到及时对相应服务器和终端进行补丁升级以及病毒库升级。这样从全面角度进行 防护，使得信息共享平台可以稳定的运行。4.4.2通信层安全对铁路信息共享平台来说，系统之间通信的安全必须保证信息的安全保密 性，因此主要从

6、网络层和传输层两方面分析。网络层安全由于铁路信息共享平台涉及到一些保密信息，我们需要在整个通信过程中保 证机密性。铁路信息共享平台的部、路局(公司)、站段三层通信以及铁路合作 单位对平台的访问，在网络层必须防止数据包被窃听、篡改、伪造，目前比较成 熟的IPSec安全标准可以很好解决这一问题。IPSec有两种工作模式。传送模式通常用于对等通信，用以提供Intranet安全 性。数据包经过了加密处理，而IP头没有经过加密处理，因此任何标准设备或 软件都可查看和使用IP头。隧道模式用于远程访问和站点对站点安全性，其中包括虚拟专用网络。整个 数据包(数据头和负载)都已经过加密处理，且分配有新的ESP头

7、、IP头和验 证尾，从而能够隐藏受保护站点的拓扑结构。在铁路信息共享平台的安全策略中，主要用于确保远程用户与企业系统之间 的通信安全，因此我们选用IPSec的隧道模式。具体实现方法也相对简单，在共 享网络设备或者主机和服务器上进行设置即可实现。传输层安全安全套接层(Secure Sockets Layer，SSL)及其新继任者传输层安全 (Transport Layer Security，TLS)提供保密安全信道的加密协议。SSL V3.0 是基于非对称密码体系，位于网络层和应用层之间，为应用层数据提供传输过程中的安全，它提供的连接安全有三个特点：（1）连接是保密的，对称加密用于加密数据；（2

8、）连接时可靠的，消息的传输采用MAC算法进行完整性检验。（3）对端实体的鉴别采用非对称密码体制进行认证。SSL协议提供的服务主要有：（1）认证用户和服务器，确保数据发送到正确的客户机和服务器；（2）加密数据，以防止数据中途被窃取；（3）数据完整性校验，确保数据在传输过程中不被改变。SSL握手协议用于在通信双方建立安全传输通道，具体实现以下功能:（1）在客户端验证服务器，SSL协议采用公钥方式进行身份认证；（2）在服务器端验证客户；（3）客户端和服务器之间协商双方都支持的加密算法和压缩算法；（4）产生对称加密算法的会话密钥；至此建立加密SSL连接。一般的握手过程如图4-4-4所示：客户端服务端C

9、lientHello 除 ServerHello阶段一Certificate ServerkeyExchange CertificateRequest QerverHelloDoneCertificate ClientkeyExchange CertificateVerify阶段二阶段三ChangeCipherSpec Finished .ChangeCipherSpecFinished阶段四图4-4-4 SSL协议握手过程HTTPS是以安全为目标的HTTP通道，即HTTP下加入SSL层，HTTPS的安全基础是SSL,因此在铁路信息共享平台上，我们使用HTTPS协议进行数据传输来 保障传输层安

10、全。4.4.3消息层安全在基于SOA的铁路信息共享平台上，服务共享主要是通过Web服务实现的， 下面给出基于Web服务的共享安全机制，如图4-4-5所示。SOAP安全XML加密XML数字签名图4-4-5基于Web服务的共享安全机制框架图Web服务身份验证系统权限验证系统安全日志系统安全系统目前SSL/TLS常被用来提供传输层的Web服务安全，但是SSL/TLS声称是点 对点的协议，在传输层外的服务器间路由的过程中，消息的安全性将受到威胁。 实现安全的Web调用，利用SOAP扩展为消息的交换提供一种端到端的安全性。在消息层，选择使用XML加密技术和XML数字签名技术。其做法是对SOAP 进行扩展

11、，在SOAP消息的头部加入安全数据实现加密和数字签名。最重要的Web服务安全规范WS-Security主要就是用于保护SOAP消息的， 它实际上是对SOAP协议的扩展，它解释如何将安全信息包含在SOAP消息中。 WS-Security规范包含三个部分：证书传送、消息完整性和消息机密性，它提供 了将安全令牌（X.509证书或Kerberos票据等）和SOAP消息关联起来的通用机 制，定义了如何利用 XML Encryption（XML 加密）和 XMLSignature（XML 签 名）来对SOAP消息进行加密和签名。下面给出SOAP消息交换的处理过程，如 图4-4-6所示。图4-4-6 SOA

12、P消息交换的处理流程图4.4.5应用层安全铁路信息共享平台是要将现有的各信息系统提供的功能，封装成服务的形式 在平台上发布，供其他系统或服务调用，从而实现资源、数据、业务的整合共享， 同时面临着这样一个问题，不同用户的权限不同，不仅要访问本业务系统，而且 要访问其他业务系统的服务，因此我们需要解决如下问题：（1）建立单点登录系统，不同业务系统的用户可以实现一次登录，即可访 问权限内所有的服务；（2）建立统一的角色映射关系，将不同系统原有的角色权限进行匹配，从 而实现对服务的有效访问；（3）建立访问控制中心，通过访问控制中心的认证，实现对服务的安全访 问。单点登录系统单点登录（Single Si

13、gn On，SSO），是目前比较流行的企业业务整合的解决 方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所 有相互信任的应用系统。单点登录的技术实现机制：当用户第一次访问应用系统的时候，因为还没有 登录，会被引导到认证系统中进行登录；根据用户提供的登录信息，认证系统进 行身份效验，如果通过效验，应该返回给用户一个认证的凭据ticket；用户再访 问别的业务系统时，就会将这个ticket作为自己认证的凭据，应用系统接受到请 求之后会把ticket送到认证系统进行效验，检查ticket的合法性。如果通过效验， 用户就可以在不用再次登录的情况下访问其他业务系统。登录流程如图4-4-7所示：失败图4-4-7单点登录流程示意图访问控制为了满足不同类型客户端对铁路信息共享平台上不同系统服务的访问控制， 我们在该平台上建立访问控制中心（Access Control Center， ACC），所有跨系 统的服务访问，都要首先经过访问控制中心的认证，以此机制实现服务的访问控 制。访问控制中心有三大功能：（1）身份验证验证客户端的身份，如果通过验证，则向客户端发放一张认证的凭据ticket， 证明当前客户端身份已经证实，可以进一步申请对服务的访问。（2