国密SSL在广西网络广播电视台中的应用

□郑冰

随着金融安全上升到国家安全高度，近年来国家有关机关和监管机构站在国家安全和长远战略的高度提出了推动国密算法应用实施、加强行业安全可控的要求。摆脱对国外技术和产品的过度依赖，建设行业网络安全环境，增强我国行业信息系统的“安全可控”能力显得尤为必要和迫切。

2017年6月1日正式实施的《网络安全法》，是我国第一部全面规范网络空间安全管理的基础性法律，可见网络安全保护已经上升为法律规定的强制义务。电子前沿基金会(EFF)的报告显示，50%的网络流量已启用加密。加密已成互联网大趋势，百度、淘宝、天猫、京东、亚马逊中国等国内网站流量之王，都陆续启用了全站加密。广西网络广播电视台作为负责任的新媒体，肩负着党和国家信息传播的重要使命，信息安全播出是我们工作的重中之重，必须保障发布信息的安全、准确。SSL数字认证加密就是用于保证信息安全的方法之一。

一、国密的意义与优势

（一）使用国密算法的意义

密码算法是保障信息安全的核心技术，尤其是最关键的银行业核心领域长期以来都是沿用3DES、SHA-1、RSA等国际通用的密码算法体系及相关标准。2010年底，国家密码管理局公布了我国自主研制的“椭圆曲线公钥密码算法”（SM2算法）。为保障重要经济系统密码应用安全，国家密码管理局于2011年发布了《关于做好公钥密码算法升级工作的通知》，要求“自2011年3月1日起，在建和拟建公钥密码基础设施电子认证系统和密钥管理系统应使用国密算法。自2011年7月1日起，投入运行并使用公钥密码的信息系统，应使用SM2算法”。

（二）国密优势

国密即国家密码局认定的国产密码算法，即商用密码。国密算法相对于国际通用算法具有一定的优势，如图1。

图1 国际算法与国密算法对比

SM2椭圆曲线公钥密码算法是我国自主设计的公钥密码算法，包括SM2-1椭圆曲线数字签名算法、SM2-2椭圆曲线密钥交换协议和SM2-3椭圆曲线公钥加密算法，分别用于实现数字签名密钥协商和数据加密等功能。与RSA算法不同的是，SM2算法是基于椭圆曲线上点群离散对数难题，相对于RSA算法，256位的SM2密码强度已经比2048位的RSA密码强度要高。

二、部署与开发

（一）服务器部署

国密服务器部署在业务系统服务端安全域中，配置相互独立的核心服务网络接口和WEB管理服务网络接口，区别于传统的证书应用中间件，数字签名验证服务器将安全组件、密码运算库统一封装在硬件平台内，分别用于签名验证服务和后台管理服务，可以有效避免外界攻击。（图2）

图2 服务器部署网络拓扑图

（二）系统特点

系统采用B/S技术开发架构，注重的主要是广西网络广播电视台的后台数据安全防护，具有良好的稳定性和较强的防黑客安全性。

1.基于B/S架构的SSL证书认证系统

传统的C/S（Client/Server）架构系统安全性虽然高，但只能在局域网中使用，正因为如此，随着用户移动办公需求的日渐增加，这个特性也成为了C/S的一大缺点，例如办公OA，用户不能随时随地进行查询、浏览等业务处理，B/S（Browser/Server）弥补了这个缺陷。用户可以不受时间与地点的限制，只要有网络，就可以随时随地工作。但是因为B/S架构是分布在外网的，任何人只需要知道网站的域名，就可以在任何地方访问到部署的系统，存在一定的安全隐患。SSL证书认证系统的产生，做到了数据安全性最大化，做到一人一KEY，人在KEY在，人走KEY走。个人证书和服务器证书做到一年一换，黑客破解的可能性几乎为零。

2.三重机制环环相扣，时时验证

系统使用三重防护机制，三重机制环环相扣，时时验证，只要有一重验证失败，将立即拒绝操作。使用数字证书的私钥对被签名数据的摘要值进行加密，在进行签名验证时，用数字证书（即公钥）来进行验证，用公钥解密数据，然后用相同的摘要算法对被签名数据做摘要运算，将结果进行比对，若相符，则验证通过，否则验证无效，如图3。

图3 未插入UKEY时访问后台无法登录的截图

通过验证进入网站后台管理员登录界面后，使用第二道双重加密技术。首先，使用MD5摘要算法对数据进行第一次加密，然后使用可逆式关键字加解密对管理员密码进行第二次加密，其中加解密过程中所使用的关键字可任意设定，系统将根据自行设定的关键字对数据进行解密并对比认证，如果对比失败，则拒绝用户继续访问。

经授权的管理员成功登录管理界面后，只能根据所分配的权限对后台内容进行编辑、更新等操作，使用该权限划分机制，可以灵活地为每一个管理员分配适当的管理权限，以保证内容的安全性。代码片段如图4。

图4

3.具有强抗抵赖性防身份伪造认证功能

数字签名技术是实现信息抗抵赖性的有效技术，系统利用数字签名技术，实现系统的信息抗抵赖性需求。证书的私钥只有数字证书的拥有者才拥有，其他人得不到拥有者的私钥。授权用户提交个人身份证书后，后台登录界面将自动获取用户登录名，用户无法进行更改。通过数字签名和签名验证，可以确定数据的确是数字证书的拥有者发送的，防止用户对提交的数据进行抵赖。此外，私钥和数字证书拥有者无法对预写入的信息摘要进行修改，也防止了身份伪造的发生。

4.具有管理员操作可复查性，做到管理员操作“有章可循，有据可查”

从被授权用户登录那一刻开始，系统将全程记录用户的所有操作轨迹，这些记录将用于超管对数据进行复查。

5.UKEY实时监控

该系统能够实时监控UKEY是否存在于操作电脑上，如果检测到UKEY已经被拔出，将在1秒钟内弹出提示“您的UKEY已经不在计算机上”，页面自动跳转到退出登录界面，并显示拒绝访问信息，这样保证了其他恶意者在用户离开电脑后擅自使用授权用户的帐号对后台进行更改，做到了人在KEY在，人走KEY走。

（三）存在的问题与解决

在实际开发对接中我们发现无法使用WindowsIIS的双向认证功能，会导致用户在不插UKEY的情况下仍可访问CMS的URL页面。经查找资料发现，虽然国密算法相对于国际通用算法更安全，更难以被破解，但并没有整合到Windows操作系统中，而国际算法的相关功能直接整合到了Windows操作系统，可以通过双向认证的方式，如发现用户没有插入UKEY会直接拒绝用户访问并提出警告，可见，国密算法还存在一定的安全隐患。使用用户登录状态认证和程序级别双向认证可以在一定程度上达到安全要求。用户在访问页面URL时，服务器实时到国密服务器获取一个随机值并进行签名，页面加载完成后，访问UKEY进行解密并且再次将解密的随机值进行二次签名返回给国密服务器进行比对，如发现UKEY被拔出或者数据比对不通过，则拒绝用户继续访问，并跳出到用户登录界面。代码片段如图5。

图5

至此，国密SSL加密部署开发完成。

三、结论

广西网络广播电视台作为广西电视台新媒体，广西最大的网络视频播出平台，在安全防护方面更加需要严格的访问安全控制机制。利用这套系统，广西网络广播电视台可以对进入后台操作的管理员实施严格的管理和监控，通过管理日志可以追踪管理员的每一步操作，同时，网站可以发展编外团队，把网站部分内容“承包”给外人维护，并保证一切都在掌控之内。在未来，利用该系统的UKEY可以内置更多的用户信息，例如用户兴趣、地址、资费等，开展网络购物和网络付费点播等各项业务。该系统使用以来，有效地保障了广西网络广播电视台数据的安全，使用期间没有发生安全事故。在网络时代，黑客与防黑客，破解与防破解的技术永远都是“道高一尺，魔高一丈”，互联网上没有永远不被攻破的“马其诺防线”和“特洛伊城”，国密算法也还存在着一些不足，在以后的开发和实践中，仍需继续对广西网络广播电视台的安全播出机制不断改进和完善。