| 出版日期：2004-08-30 总期号：1343 本年期号：64 |
|
 |
加密安全服务器及应用
众所周知，服务器是计算机网络中的核心设备，用户的所有信息都是通过服务器进行处理和存储，因此，服务器的信息安全问题是至关重要的。利用密码技术实现用户信息的密存，是解决服务器信息安全的手段之一。目前，解决密存的方法有两个，一是在应用层和数据库上实现密存，另一种方法是在操作系统层面实现加脱密。这两种方法均有利有弊，因此服务器的信息安全应该是一个系统的全面解决方案。由济南正鲁计算机网络有限公司研制的国内第一款刀片式加密型安全服务器SJY60，不仅解决了信息传输的安全，最重要的是解决了信息存储的安全，提出了一套完整的系统的信息安全解决方案。 SJY60加密服务器概述 SJY60加密服务器于2002年6月18日经国家密码管理委员会办公室批准立项（[2002]国密办133号文）并命名，2003年3月13日通过了由国家密办组织的安全性审查（国家密码管理委员会办公室49号文），2004年7月14日通过国家密码办组织的技术鉴定。 SJY60加密服务器是一种采用密码技术实现的安全服务器，它与传统服务器相比具有以下特点：一是它系统地解决了信息的安全问题；二是SJYS60加密服务器彻底解决了信息的分级管理；三是SJY60加密服务器不需要用户专门编写程序，大大方便了用户。 SJY60加密服务器的工作过程如图1。在图1中用户终端通过宽带网或拨号方式连到SJY60加密服务器，SJY60加密服务器通过100/1000M以太网口连接到网络磁盘阵列。SJY60加密服务器和磁盘阵列构成了安全信息平台。 用户在访问公用信息平台时，用户与服务器之间要利用数字签名、签名验证的方式进行身份认证，通过后建立SSL（安全套接层），以后用户与服务器的信息交换，均通过SSL进行。SSL用来保证Web应用的数据传输安全。SSH主要用来上传、下载文件和对SJY60加密服务器进行必要的管理（包括控制密钥的生成、更换密钥、重启机器、安装应用软件等）。在用户与服务器之间建立了安全通道（SSL）后，SJY60加密服务器即可根据用户指令自动对存储在盘阵上的文件数据进行加脱密处理。加脱密操作是在操作系统层进行，通过安全网络文件系统SNFS使得保存到磁盘阵列上的文件全是加密过的数据。 目前，SJY60加密服务器可分为刀片式和立式两种。立式是由传统的服务器改造而成的，通常情况下在传统服务器的基础上插上SJY60的加密卡，并装上相应的软件就构成了SJY60加密服务器。刀片式比较复杂，其基本结构见图2。 图2虚线表示了SJY加密服务器的功能图，它由硬件、软件两部分组成： 1.硬件部分包括以下功能模块： SJY60主板（集成有加密模块）：它通过背板接口插到背板和机架上，其主要功能通过ZL-Linux操作系统实现对系统、数据库和用户的管理，完成对用户的身份认证以及对数据的加脱密操作。主板CPU 为VIA EDEN ESP低功耗芯片，主频1GHz（也可以根据用户需求定制）。内存512M（可扩到1G）。 机架背板：每个机架背板可插16个SJY60主板，它主要功能是通过背板接口为SJY60主板提供电源、网络接口，通过看门狗提供状态信号。 电源：带热备的双路12V～19V直流电源。 2.软件部分有操作系统（ZL-Linux）、SSL、SSH ZL-Linux操作系统 ZL-Linux是在稳定的Linux2.4内核基础上开发的，在Linux内核源码的基础上实现了安全网络文件系统SNFS，增加了加脱密模块的API函数。在ZL-Linux 中，Web服务器和数据库应用在操作系统之上，因此ZL-Linux操作系统加脱密处理对数据库和Web应用是透明的。 操作系统在加载应用时利用RSA签名技术，保证加载到内存的应用都是合法应用，防止黑客和恶意破坏者的攻击，保证了系统的整体安全性。 操作系统只开放SSH和SSL端口，虽然系统中没有增加入侵检测等的软件，但是系统可以有效防范端口扫描的入侵，同时SSH和SSL都需要合法的证书身份才能进入，可以有效地保证整个系统的安全性。 SSL和SSH SSL主要用于Web应用，为一般普通用户访问服务器提供安全通道，SSL客户端采取代理的方式实现，可以将服务端的某个端口代理到本机的特定端口上，这样SSL就可以作为通用的安全传输通道，对应用程序透明，用户如果需要增加新的应用只需要选用SSL代理就能保证信息的安全认证和安全传输；SSH则专为系统管理员提供安全通道，主要用于授权的系统管理员对SJY60加密服务器进行上传下载、密钥管理、远端重启机器和备份文件等操作，由于SSH管理提供身份认证和安全传输，所以SSH客户端即可以通过Internet管理，也可以通过局域网进行管理。 与SJY加密服务器配套的还有：证书密钥写入组件。它单独使用，在对SJY60主板进行初始化时起接口转换和数据传递作用。 SJY60加密服务器为用户提供了一个基于安全证书的安全信息平台，该平台比较全面地解决了从信息传输到信息存储全过程的信息安全问题。 利用SJY60加密服务器可以实现以下功能：实现用户数据的密存（加密算法由国密办提供的SSP02-A芯片提供）；对访问SJY60加密服务器的用户进行身份认证（通过SSH、SSL身份认证机制）；对互联网上传输数据进行加密传输（通过SSH、SSL加密机制）；为用户提供了密钥、证书的管理功能；为用户提供了对SJY60加密服务器进行管理、维护的功能。 加密型安全服务器的应用 1.建立安全公用信息平台 目前，随着国家信息化建设的发展，企业信息化已经引起了企业管理者的高度重视，有条件的大型企业纷纷不惜投入重金建设企业信息中心，这种投入虽然是必要的，但大量的资金和人力投入也给企业带来了一定的负担,尤其对于大量的中小型企业确实有投不起和用不起的感觉。 当然，企业为了降低运营维护费用，可以向IDC（互连网数据中心）或ASP（Application Service Provider，ASP）托管自己的服务器、租用硬盘空间，这两种方式都可以将运营维护费用降到最低，但是企业又很不放心将涉及企业商业秘密的数据托管到IDC或ASP运营商。上述种种原因成为延缓中小企业实现电子商务以及信息化的因素之一。 企业要降低建网的成本，根本办法就是不自己建，而是托管给IDC或ASP租用其服务器空间。目前，电信、广电宽带网已经覆盖全国，实现了10M/100M到桌面，而且是包月制，价格非常低。宽带网打破了局域网的距离限制，使企业完全可以依托宽带网在全省甚至全国建立自己的内部管理系统。不难看出，宽带网给我们带来的不仅仅是上网速率问题，它将极大地改变我们建网的观念。在没有宽带网时，每个建网企业都要投入大量的人力物力建立自己的专网，宽带网普及后企业完全可以依托宽带网建立自己的虚拟专网，并利用宽带网上的公用信息平台建立企业的管理信息系统，这样就降低了企业的建网和维护费用。目前服务器托管费用每月500元左右，而租用500M的服务器空间每月也就100元左右。托管和租用时，用户服务器直接挂在主干网上，更加方便用户访问。但是，每一个企业都有自己的商业秘密，公用信息平台必须是安全的，这个安全不仅是指信息传输的安全，更重要的是指用户存在公用信息平台数据库上的信息，运营商（IDC或ASP）无法解读，只有用户自己能够自己解读。根据以上分析，企业能够接受的安全公用信息平台应该达到以下要求：信息传输的安全；信息存储的安全；存储的信息只能由用户在用户端解读；信息安全应遵守国家密码管理委员会的相应规定。 不难看出，在传统的服务器上插一块加密卡，也能实现信息存储的安全，但这种方法不能在公用信息平台上使用，因为不可能在公用服务器上为每一个用户插一块加密卡。为此，我们研制了在公用信息平台上使用的加密型刀片服务器系统。 该系统由加密型刀片服务器、改进的Linux操作系统、数据库和应用软件组成。该系统实现了以下功能： 基于SSL的密传；基于安全证书的密存；用户通过SSL和SSH安全通道在远端对系统进行管理；所有的算法均符合国家密码管理委员会的有关规定；密存对数据库及应用软件是透明的。 加密型刀片服务器系统有效地解决了公用信息平台上的信息安全问题，它的研制成功将改变人们的建网观念，由独立建网转变为租用建网，实现计算机网络的即租即用，也使企业分布式办公成为可能。 2.电子政务 目前，各级政府都在投入大量资金推行电子政务，这对提高政府机关工作效率、公开政务是一件非常好的事情，但是，是否每一级政府机关都要建立自己的电子政务系统？能否每个省建立一个集中的电子政务平台？答案是肯定的。一个统一的电子政务平台能够使现有的网络资源得到充分利用，为国家节约大量的资金。集中式电子政务的关键是信息的安全问题，具体将信息要实现分级管理，该谁看到的信息，就只能他看到，任何人包括系统管理人员也不能看到。为此，济南正鲁计算机网络有限公司利用SJY60加密服务器组建了安全政务平台。该系统工作时，首先由有关部门将涉密人员的安全证书写入服务器密钥区，没有写入服务器密钥区的人员是无法访问服务器的。当涉密人员发生变化时，有关部门可及时修改密钥区。 在每个用户终端上安装加密卡和IC卡读写器，加密卡用于与服务器建立SSL和SSH，IC卡读写器用于读写用户的安全证书和存放自己的密钥。用户上网后，首先与服务器互相进行身份认证，通过后由服务器产生该用户的密钥，然后将密钥用用户的公钥加密后传给用户，由用户存入自己的IC卡。当用户读写文件时，必须将密钥通过SSL传给服务器，由服务器利用该密钥对文件进行加脱密处理。用户退出时，服务器同时清除该密钥。由于密钥在用户手中，因此只有用户才能读写自己的数据。对于公开的信息可以不用加密，放到公开区让所有上网人员访问。 事实上，电子政务的应用模式完全可以用到部队、银行、证券等对敏感信息要求高的单位。 
图1 SJY60加密服务器网络应用拓扑图 
图2 SJY60加密服务器功能框图 |
||||||||||||||||||||||||
