基于SSL VPN的江西省高速公路互联网服务研究

陈钊正，何耀忠

(江西省高速公路联网管理中心， 南昌 330003)



基于SSL VPN的江西省高速公路互联网服务研究

陈钊正，何耀忠

(江西省高速公路联网管理中心， 南昌 330003)

高速公路互联网服务是当前技术发展和用户需求的重点发展方向，而互联网进入传统行业的风险也是目前需要重点探讨和防范的主要问题。依托江西省高速公路信息化建设，针对高速公路互联网服务的安全性进行研究，提出将SSL+证书模式作为互联网接入高速公路专网的安全保证。该模式不仅为互联网服务提供准入门槛和信息加密，同时还可保障系统的信息安全、用户的身份确认、各类信息的防篡改和防泄密。

高速公路；互联网；服务；SSL；信息安全

目前，随着全国14个省市ETC联网，与全国高速公路联网服务、联网管理相关的各类需求愈加强烈，而“互联网+”“物联网”这类跨平台、跨领域的技术融合和经济合作模式也得到进一步的探索和研究[1]，将互联网的平台、技术和思维融入传统高速公路运营和管理中也符合上述需求和发展。高速公路行业与其他行业一样，在将业务开放到互联网上时，必然涉及到数据、资金等方面的安全问题[2]。为此，本文基于高速公路安全方面的需求，研究了基于SSL VPN(基于安全套接层协议的远程安全访问虚拟专网通道技术)的江西省高速公路互联网服务，并对高速公路互联网服务进行了相关探索和研究。

1 相关问题

高速公路联网管理、服务是一个集信息查询、信息反馈、服务和决策管理于一体的综合管理服务平台[3]。该平台部署于Internet上，在享受互联网自由开放的同时必然也面临着其带来的相关问题和风险[4]。特别是涉及ETC相关服务时，该平台作为庞大高速公路通行费的载体，是非法入侵、恶意行为的重点攻击目标[5]，所以必须针对相关问题进行重点分析和研究。目前高速公路服务存在如下问题：

1) 身份认证。由于非法用户可以伪造、假冒业务用户的身份，导致登录到ETC云平台应用系统的用户无法知道其所登录的是不是可信的应用系统，应用系统也无法验证登录用户是不是经过认证的合法用户，而非法用户可以借机进行破坏。“用户名+口令”的传统认证方式安全性较弱，用户口令易被窃取而导致损失。

2) 信息的机密性。传输于客户端与应用系统服务器之间的敏感信息和交易数据，如用户帐号、密码等，有可能在传输过程中被非法用户截取。

3) 信息的完整性。敏感信息和交易数据在传输过程中有可能被恶意篡改。

4) 信息的不可抵赖性。网上在线交易行为一旦被进行交易的一方所否认，则另一方就没有已签名的记录来作为仲裁依据。

2 总体架构

本文结合江西省高速公路服务的具体需求，提出了在江西省高速公路双活数据中心的基础上，采用基于SSL VPN的SSL安全通道和数字签名作为系统的安全接入模式[6]，如图1所示。在现有双活数据中心的基础上，构建双活数据中心DMZ区域，采用SSL VPN技术，对敏感数据、特别是ETC充值、查询、写卡业务流进行数据加密和安全传输，并利用数字签名实现交互过程的不可抵赖性、不可修改性，且兼顾实现相关服务的优化和SSL卸载，提升总体处理性能。

图1 基于SSL VPN的江西省高速公路双活数据中心总体架构示意

SSL VPN安全模式针对非关键业务，如网络用户注册、接入、客户端下载、服务认证等，租用安全、可靠、成熟的商业云模式，并与DMZ区域之间采用专线连接。该安全模式规范非关键服务与高速公路DMZ区域之间的通信内容、数据格式，将最易遭到攻击的部分置于可靠性和安全性较好的商业互联网区，并将高危、敏感数据及服务置于DMZ区域和生产区域，通过规范标准化的安全通道和操作才能读取和修改相关数据和服务参数[7]。因此，该模式在物理上实现了数据和业务的最大分离，较大程度地保证了数据和服务的独立性和安全性。

3 安全模式

SSL VPN安全模式构建基于SSL VPN的CA(数字证书认证机构))认证源，为用户发放数字证书，提供证书管理(下载、更新、作废等)服务。在传统“用户名+密码”的基础上，该模式构建了基于数字证书的双因子认证，且结合客户端业务和关键业务服务器，为用户提供数字签名服务[8]，具体步骤如下。

3.1 用户申请证书

严格规范数字证书生成材料，将ETC用户卡卡号、车牌号、行驶证号、手机硬件号、手机号作为CA证书申请材料，实现ETC与用户、车辆的唯一性绑定。在完成唯一性判定后，交由CA认证源进行证书生成，并采用短信验证码再次确认，实现对证书申请人的2次确认并防止恶意申请。江西省高速公路用户向SSL VPN发起用户证书申请过程如图2所示。从图2可以看出，在证书申请过程中，需对申请信息进行提交、获取、验证，然后生成证书，并将生成的证书下发给用户等6个步骤。用户证书格式见表1。

表1 用户证书格式

图2 用户证书申请过程

3.2 安全通道建立与业务安全

当互联网服务发生数据交互时，系统自动触发基于SSL VPN的安全模式，为数据交互提供认证、数据加密功能。安全通道建立过程如图3所示。从图3可以看出，客户端通过SSL VPN与DMZ区建立SSL安全通道，该通道仅用于数据查询和非关键数据交互。

图3 SSL安全通道建立示意

如图4所示，当ETC用户发起充值与写卡等关键性服务请求时，客户端会通过SSL安全通道将服务请求信息进行签名后，发送给江西省高速公路互联网服务端，互联网服务端将充值扣款指令通过商业云服务发送给支付平台以便对用户账户实施扣款操作。在得到支付平台成功扣款确认后，互联网服务端通过SSL安全通道向用户客户端提供写卡服务并对服务信息进行签名。

图4 ETC用户卡写卡过程

3.3 客户端安全检查

客户端安全检查从端点开始保障网络安全。如图5所示，用户通过计算机浏览器或移动终端登录业务界面时，SSL VPN会通过客户端安全扫描功能检查计算机系统是否打了补丁、是否安装有相应杀毒程序等，以确定客户端是否符合安全策略，保证SSL VPN接入安全，从而可避免客户端计算机的不安全因素通过SSL VPN传输到内部网络而产生安全隐患。

图5 SSL VPN客户端安全检查保证接入安全

4 应用案例

基于SSL VPN的安全模式可实现在线证书申请、认证、安全通道建立、数字签名等安全数据交互。SSL VPN与江西省高速公路互联网服务进行握手协议的数据包及交互过程如图6所示，在SSL安全通道中的密文通信数据包如图7所示。从图7可以看出，网络中可以获取相关服务的数据流，但只能获取密文，无法解析和破译。由此可知，SSL VPN安全模式可为ETC互联网服务提供安全的准入和加密服务，其不仅为江西省高速公路互联网服务提供了安全保障，而且还为我国高速公路系统网络安全的探索和研究提供了示范点和前瞻性研究。

图6 SSL VPN与江西省高速公路互联网服务握手过程

图7 相关服务密文流

5 结束语

基于SSL VPN的江西省高速公路ETC互联网安全模式的实际应用表明，将高速公路相关服务部署到互联网上其安全性是可以得到保证的。同时，依托于商业云和负载均衡设备可以较好地实现传统业务系统性能的有效拓展，保证系统的易用性。另外，本文在现有SSL VPN基础上将建立一套专有的证书发行、管理体系并将其与交通运输部公路科学研究院证书系统进行对接，以构建一套基于部-省2级的证书安全体系，进一步拓展安全保障能力和性能，为高速公路出行提供更快、更好、更安全的互联网服务。

[1] 王文博.基于VPN的交通观测系统研究[D].西安：长安大学，2009.

[2] 谢耀华，付建胜，祖 晖.云计算技术及其在交通领域中的应用[J].公路交通技术，2014(6)：231-232.

[3] 李晓春.高速公路电力自动化系统信息平台的研究与应用[J].公路交通技术，2008(11)：337-342.

[4] 周 洲，刘鸿伟，梅新明.浅析交通运输行业的信息安全问题[J].公路交通科技，2012，S1(29)：17-20.

[5] 杨中岳，陈钊正，陈启美.无线环境的OpenSSL办公安全平台实现[J].计算机工程与设计，2010，31(1)：22-29.

[6] 胡功宏，王小光，黄新民，等.基于行车稳定性的高速公路自由流状态下交通安全评价标准研究[J].公路交通技术，2007(4)：21-24.

[7] 王 春，王鸣宇，吕傲冰，等.基于iOS的交通事故预警系统设计与开发[J].公路交通技术，2015(1)：77-81.

[8] 雷荣富，唐 练.交通检测多特征量数据融合研究[J].公路交通技术，2015(1)：91-95.

Study on SSL/VPN-based Internet Service on Highways in Jiangxi Province

CHEN Zhaozheng, HE Yaozhong

Highway Internet service is the key orientation of technology development and satisfying customer demand, yet the risk of Internet in conventional industries is the major concern at present. Based on IT in highways of Jiangxi Province, this paper studies security of highway Internet service, and suggests using SSL+ License mode as security guarantee of connecting Internet into Highway Network. This model will not only set an authorization and information encryption for Internet service, but also protect system information security, user identification, all information tamper proof and anti-alternation or release proof.

highway; Internet; service; SSL; information safety

10.13607/j.cnki.gljt.2016.05.027

2016-02-29

陈钊正(1983-)，男，江西省鄱阳县人，博士，高工。

1009-6477(2016)05-0120-04

U412.36+6

A