商用密码技术在高速联网收费系统的应用研究-蔡冠军

第14卷第3期2023年6月Vol.14No.3Jun.2023第14卷第3期2023年6月Vol.14No.3Jun.2023CyberspaceSecurity(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.商用密码技术在高速联网收费系统的应用研究（江苏宁宿徐高速公路有限公司，江苏宿迁223800）[目的/意义]密码是网络信息安全的基础和核心，是国家网络信息建设的重要组成部分。高速联网收费系统作为我国关键信息基础设施重点应用之一，其信息系统数据敏感而且重要，系统运营者应当使用商用密码对系统信息加密保护。[方法/过程]为了构建高速联网收费系统自主、安全、可控的信息技术体系，基于商用密码应用的安全性评估以及国家的相关法律法规文件的要求，针对业务密码管理和密码改造应用，从密码动态管理、物理与环境安全、网络与通信安全、设备与计算安全、应用与数据安全等层面提出改进措施。[结果/结论]分析了当前高速联网收费系统在密码应用过程中存在的问题和风险，通过商用密CaiGuanjunYangWengeng（JiangsuNingsuxuExpresswayCo.,Ltd.,JiangsuSuqian223800）Abstract:[Purpose/Significance]Passwordisthefoundationandcoreofnetworkinformationsecurityandanimportantpartofnationalnetworkinformationconstruction.AsoneoftheimportantindustriesofChina'scriticalinformationinfrastructure,thehigh-speednetworkchargingsystemhassensitiveandimportantinformationsystemdata,andsystemoperatorsshouldusecommercialpasswordstoencryptandprotectsysteminformation.[Method/Process]Inordertobuildanautonomous,secureandcontrollableinformationtechnologysystemforhigh-speednetworkchargingsystem,itisbasedonthesecurityassessmentofcommercialcryptographyapplicationsandtherequirementsofrelevantnationallawsandregulations.Forbusinesspasswordmanagementandpasswordtransformationapplications,improvementmeasuresareproposedfromseverallevels,suchaspassworddynamicmanagement,physicalandenvironmentalsecurity,networkandcommunicationsecurity,deviceandcomputingsecurity,applicationanddatasecurity.[Results/Conclusion]Thispaperanalyzestheproblemsandrisksinthecurrenthigh-speednetworkchargingsystemintheprocessofcryptographicapplication,andensuresdatasecurity,networksecurity,privacysecurityandpasswordsecuritythroughcommercialcryptographytechnology.Buildasecuritysystemwithcryptographytechnologyasthecoreandasecureenvironmentsupportedbycryptographicinfrastructuretoprovidemorecompletesecurityservicesforbusinesssystems.Keywords:commercialcryptography;informationsecurity;datasecurity;networksecurity;passwordtransformation2023年第3期网络空间安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.随着信息技术的不断发展和信息化建设的不断进步，信息系统在管理和运营中全面应用，系统管理和运维压力越来越大，越权访问、误操作、滥用和恶意破坏等情况时有发生，严重地影响到了信息系统等业务系统的经济运行效能，并对社会造成重大影响。如何提高系统运维管理水平，跟踪业务系统上用户的操作行为，保障系统运行安全，密码应用是不可或缺的基础和核心，已成为国家网络信息安全建设的重要组成部分。近年来，为确保国家信息安全、社会稳定、经济可持续发展，国家陆续出台了一系列安全法律法规。例如，《中华人民共和国电子签名法》《中华人民共和国密码法》《中华人民共和国网络安全法》《中华人民共和国电子商务法》《中华人民共和国个人信息保护法》法规，以及《网络安全等级保护条例》《信息安全技术网络安全等级保护基本要求（等保2.0）》《信息安全技术信息系统密码应用基本要求（GB/T39786-2021）》《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）等文件，对信息系统安全做出了规范和指引，目的就是要提高网络安全应用水平，通过密码技术确保数据安全、网络安全、隐私安全和密码安全[1-2]。从高速联网收费系统应用安全以及数据上报、存储、共享等过程的安全问题考虑，需有效防止假冒身份、篡改信息、篡改时间、越权操作以及否定责任等问题，因此采用可靠的密码应用技术，实现身份认证、可靠电子签名和时间戳等功能，以保证数据在生成、传输、存储、利用的全生命周期过程的真实、完整、准确，这既是国家政策要求，亦是高速联网收费系统的安全需求。高速联网收费系统一般采用传统的“用户名+密码”的身份认证方法，密码设置简单，无法实现定期修改，认证的安全强度较低，无法满足系统较高的安全需求。另外，对于某些关键岗位或关键操作，没有进行多因子认证和二次验证，也为应用系统的安全带来一定风险。面临主要需求有4点：一是对收费系统、监控系统网络设备、安全设备的密码统一管理，对具备修改权限的用户实现密码录入，自动生成新的密码，定期自动更新；二是对收费计算机、服务器、工控机操作系统等软件的密码管理，密码自动生成，自动更新；三是对监控编码器、NVR、摄像机、车牌识别等设备密码的管理，密码自动生成，自动更新。对于不支持RADIUS、AD、OTP、SNMP等协议的设备，由业主负责协调厂商优化；四是对收费员、管理人员、维护人员等用户的密码管理。为了响应国家和省密码局关于做好系统密评结果备案工作的要求，高速联网收费系统需进行密码应用安全性评估工作并进行备案，包括密码应用咨询、密码应用方案设计、密钥管理评估、安全管理评估、测评服务和成果展示等，探索研究收费系统的密码应用建设规范。高速联网收费系统由数据中心、密码管理子系的用户信息、用户身份、密码凭证、密码策略等数管理、密码凭证管理等密码管理功能[3]；密码安全管理子系统：实现多因素安全认证、风险动态密码管高速联网收费系统架构图如图1所示。根据收费业务管理需求，在办理不同类型事项的安全要求不同，用户可以使用用户名/口令、动蔡冠军，等：商用密码技术在高速联网收费系统的应用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.态口令等多种身份凭证进行身份认证和访问。满足收费员、运维人员、管理人员不同用户群体对系统的使用权限个性化需求，实现不同环境的身份密码凭证应用，支持多种不同凭证的应用和组合，支持对密码凭证的管理，适应移动终端和PC终端的多环境便携使用。因此，需要采取有效的技术和管理手段支持多凭证的签发和管理，支持用户的多凭证管理，如用户名密码口令凭证、数字证书凭证、动态令牌凭证等。对用户的密码凭证进行统一管理，管理内容包用户名密码是用户的身份凭证，密码策略为用户密码应遵行的一个规则，包括密码长度、密码规则、密码锁定用户、密码修改等密码相关的规则。密码策略作为安全策略的一部分，可以为不同层次的用户确定不同的安全级别，体现了用户的层次管理和系统安全的重要性原则。因此，需要采取能够设置用户密码复杂的安全策略、密码错误次数策略、首次登录必须修改密码、周期性修改密码等安全措施，同时需要密码策略全局共享，相应权限的管理员能够维护密码策略，支持设置用户密码的安全策略，平台提供认证多次失败后自动锁定能力，超过锁定时间将自动解锁，也可支持系统管理员进行手动解锁，其中密码失败次数、密码失败后锁定时间、密码锁定后邮件通知安全措施可通过参数配弱密码即容易破解的密码，多为简单的数字组合、账号相同的数字组合易于被他人破解，因此需要实现对弱密码的专门管理，包括提供统一的弱密码库并进行维护管理，采用注册、认证双重防护机制实现对弱密码的屏蔽。基于Radius协议，提供设备的全生命周期管理，包括设备入库、调整等过程中的设备账号创建、设备变更、设备注销等功能，能够对临时设备管理，设备凭证可以创建有效期，实现对网络设备动态认证，包括用户名密码认证（静态）、OTP令牌认证（动态）等，对设备密码进行周期性维护，2023年第3期网络空间安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.自定义维护提示周期和密码修改周期。针对Linux操作系统，通过与Linux服务器中的认证模块进行对接，基于Radius协议，在控制台中进行登录时包括用户名密码认证（静态）、OTP令牌认证（动态）等认证方式，对设备密码进行周期性维护，自定义维护提示周期和密码修改周期。针对Windows操作系统，包括两种方式，一是为若用户自己本身有AD或LDAP，Windows系统将认证域设置为AD域，通过AD认证，实现对AD密码进行管理；二是为通过客户端软件支持Window认证进行多因子认证，其中的密码管理详见“密码策略管理”和“弱密码管理”。由于应用资源安全重要程度不同，访问应用资源的认证复杂度也不尽相同。针对访问安全要求比较低的应用资源，采用传统的用户名密码模式即可，但是对于安全要求比较高的应用资源，可提供更高安全的认证方式，包括数字证书、一次性口令、生物识别、动态令牌、第三方认证（支付宝、钉钉、微信等）等认证方式，支持身份认证源扩展。支持多因子认证，可自由组合两种或多种认证方式，形成双因子认证和多因子认证。对高速联网收费系统中关键信息进行安全加密防护，包括用户名密码等信息，确保可信用户库的安全，实现用户隐私信息的安全防护同时可支持数据存储采用基于国产算法格式不变隐私保护加密，动态选择加密。高速联网收费系统通过加密、签名和安全通道等方式，确保敏感信息在交互和存储过程中的安全性，同时还具备安全的防护机制，例如防止XSS和SQL注入漏洞、DDoS攻击和钓鱼重定向等，以确保系统本身和业务系统的安全性。结合《信息安全技术信息系统密码应用基本要求》收费系统网络安全保护等级提出的密码应用要求，在满足总体性、完备性、经济性原则的基础上，部署安全认证网关、服务器密码机、签名验签服务器、国密浏览器、智能密码钥匙、数字证书、安全门禁系统等密码产品，正确部署配置以满足系统的密码应用需求。高速联网收费系统密码应用技术框架如图2所示。在高速联网收费系统机房部署符合《信息安全技术信息系统密码应用基本要求》第三级别要求的安全门禁系统。安全门禁系统由电子门禁系统、安全加密存储设备组成。电子门禁系统使用SM4算法进行密钥分散，实现门禁卡的“一卡一密”，并SM4算法对人员身份进行鉴别。安全加密存储设备实现机房进出人员的身份鉴别，对人员进出记录数据进行完整性保护[4]。部署符合满足GB35114-2017《公共安全视频监控联网信息安全技术要求》标准要求的视频监控存储系统，前端为网络摄像机，后端为系统视频服务系统（内置国密密码卡），全面符合国密标准，保证数据的安全性、真实性和完整性，实现重要区域频监控音像记录数据的存储完整性保护[6]。蔡冠军，等：商用密码技术在高速联网收费系统的应用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.针对于身份鉴别、通信过程中重要数据的机密性和完整性，部署符合GM/T0024-2014《SSLVPN服务器和数据库服务器采用SSH2.0以协议，对管理通道的信道加密，以保障堡垒机到应用服务器、数据库服务器远程管理通道的安全。要求》的国密IPSec/SSLVPN综合安全网关，配合国密浏览器，使用国密SSL技术建立安全的数据传输通道，实现客户端与高速营运和支撑管理平台应用服务器的通信信道、客户端与高速联网收费系统应用服务器的通信信道的身份鉴别真实性，同时实现数据在通信过程中的机密性和完整性。运维人员在进行堡垒机访问或管理设备时，使用内置个人数字证书的智能密码钥匙，通过通用浏览器或国密浏览器访问安全认证网关。安全认证网关基于证书体系进行验证，验证通过后运维人员再访问堡垒机，以确保运维人员身份的真实性。运维人员在通过安全认证网关的身份鉴别后进全认证网关到堡垒机的通道；二是堡垒机到应用服务器的通道；三是堡垒机到数据库服务器的通道。安全认证网关到堡垒机的通道采用堡垒机具有RSA2048位算法的SSL加密信道，以保障安全认证网关到堡垒机远程管理通道的安全。堡垒机到应用收费人员、信息管理员通过本人持有的智能密码钥匙（已经签发数字证书），插入个人电脑USB口，在高速联网收费系统的代码集成后，即可进行基于数字证书的身份鉴别登录OW密码技术应用技术流程如图3所示。具体操作流程涉及7个环节。（1）收费人员、信息管理员打开收费客户端登录界面，请求登录。（2）高速联网收费系统服务端接受到请求后，向签名验签服务器请求获取随机数、签名验签服务器生成随机数，通过使用设备中的签名私钥对随机数进行签名后返回随机数、签名值和签名验签服务器的签名证书。（3）高速联网收费系统服务端收到随机数、签名值和签名验签服务器签名证书后发给高速联网收费系统客户端。（4）高速联网收费系统客户端在接受到数据之后要对服务端的身份进行鉴别，以确保客户端连接2023年第3期网络空间安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.（5）对随机数使用智能密码钥匙中的签名私钥进行签名，并将签名值、随机数、登录用户的签名证书，发送给高速联网收费系统服务端。（6）高速联网收费系统服务端在收到信息之后，调用签名验签服务器进行验证，以确保其使用的该会话没有被客户端改写而欺骗认证。验证签名值和签名证书，确保客户端用户身份的真实性，以及其有权限使用自己的智能密码钥匙。（7）在验证通过后，解析证书中的身份标识，高速联网收费系统中的访问控制信息是用户、角色、权限的关系数据，需要为每个用户的此类数据进行完成性保护。当创建用户、修改用户权限信息时，均需要进行基于HMAC-SM3的完整性保护[6]。日志记录存储于高速联网收费系统日志文件中，当一个日志文件写满时，对日志文件进行HMAC-SM3摘要计算，摘要值存储于日志文件中。高速联网收费系统访问控制信息完整性保护技术流程图如图5所示。访问控制信息系统日志记录完整性保护技术流程图如图5所示。访问控制信息完整性保护流程涉及5方面内容。（1）高速联网收费系统可以通过获取业务系统服务器的访问控制记录。（2）高速联网收费系统服务端调用服务器密码机接口，传入访问控制信息，请求完成HMCA-SM3计算。（3）服务器密码机对访问控制信息记录进行HMAC-SM3计算。（4）服务器密码机将会返回HMAC-SM3计算（5）高速联网收费系统接收HMAC-SM3结果，将访问控制记录对应HMAC-SM3结果安全存储至数据库中。日志记录完整性保护流程涉及5方面内容[7]。（1）高速联网收费系统获取日志记录文件。（2）高速联网收费系统服务端调用服务器密码机接口，传入日志文件，请求完成HMCA-SM3（3）服务器密码机对日志文件进行HMAC-SM3计算。（5）高速联网收费系统接收HMAC-SM3结蔡冠军，等：商用密码技术在高速联网收费系统的应用研究(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.果，将日志文件对应HMAC-SM3结果安全存储至在高速联网收费系统中没有重要信息资源安全标记，故无需进行密码应用改造。由于网络层对高速联网收费系统客户端与高速联网收费系统服务端进行了符合国密SM2算法的信2023年第3期网络空间安全CyberspaceSecurity2023年第3期(c)1994-2023chinaAcademicJournalElectronicpublishingHouse.道加密，可以沿用网络层的信道加密能力，从而保障重要数据在传输过程中的机密性和完整性。高速联网收费系统中将重要数据分类分级如图针对重要数据需要对其进行加密存储，从而保证重要数据存储的机密性。高速联网收费系统通过调用服务器密码的加密功能，使用密钥和加密接口对敏感数据进行SM4加密，并将加密结果存储在原文数据对应关联关系的位置。在数据应用时，服务器密码机的解密功能对密文数据进行解密，在获得原文后进行利用[8]。重要数据加密/解密技术应用流程如图6和图7重要数据加密/解密技术流程说明涉及6方面内（1）高速联网收费系统在存储前，准备待加密原文数据。（2）通过调用服务器密码机加密接口，对指定密钥对原文进行SM4加密。（3）在获取到加密结果密文后，高速联网收费（4）高速联网收费系统需要利用该数据时，从数据库或指定位置获取密文。（5）调用服务器密码机解密接口，指定密钥对密文进行SM4解密。（6）获取明问结果，高速联网收费系统对明针对重要数据需要对其进行摘要存储操作以保证重要数据存储的完整性。高速联网收费系统通过调用服务器密码的HMAC-SM3功能，使用密钥和HMAC-SM3接口对重要数据进行摘要，并将摘要值存储在原文数据对应关联关系位置，在数据应用时，使用服务器密码机的HMAC-SM3功能，对原文数据再次进行HMAC-SM3，获得摘要后与原存储的摘要值进行比对，如果一致则数据未被篡改，可进行利用。重要数据存储完整性流程说明：（1）高速联网收费系统准备待进行摘要操作的原文数据；（2）调用服务器密码机接口，指定密钥对原文进行HMAC-SM3摘要计算；（3）返回摘要结果，高速联网收费系统将摘要后的信息存储于数据库或指定位置；（4）高速联网收费系统需要验证该数据时，再次请求服务器密码机进行摘要计算；（5）调用服务器密码机接口，指定密钥对原文进行HMAC-SM3摘要计算；（6）返回摘要结果，并将结果与原存储的摘要值进行比对，如果结果一致为了推进国家政务信息系统密码应用