基于虛擬專用網技術的一卡通網絡安全設計與實現
文章出處：http://www.jrzgy.com 作者：楊 明， 郭樹旭， 王 雋 人氣： 發表時間：2011年12月07日
2008年北京奧運會實現了“科技奧運”的承諾，在奧運會期間充分運用現代信息技術，成功地支撐了奧運會各項工作。某局數字體育一卡通就是其中的實踐項目。在數字體育項目中，一卡通系統是數字體育的基礎工程和重要的組成部分，通過構建各類體育信息庫和應用系統，實現內部管理、公眾服務、在線支付和通訊等功能。支付安全是一卡通系統實現的核心內容，即防范交易數據在網上傳輸時，數據被監聽、篡改和偽造。本文介紹了虛擬專用網(VPN)在一卡通支付系統的應用情況，通過不同類型虛擬專用網對比分析，改進了傳統的一卡通安全機制和實現方式，較好地解決了網絡支付安全問題。
1 系統安全分析
體育一卡通實現了對某局所有經營項目進行收費，除此之外，還要實時提供某局各個運動場館完整、準確的票務數據，具有很高的安全性要求。未來還要實現電子商務、實時預定場館票務。這就要求在安全設計時既要滿足當前的業務需要，又要兼顧系統日后的發展。
傳統的一卡通系統一般遵從雙線工作的RS485標準，整個網絡以總線形式存在，所有POS機都“掛”在總線上，服務器端通過查詢方式定時讀取各POS機內流水記錄。由于標準的RS485采用串聯方式，系統輪循在各個PC機或POS機采集數據，再上傳到中央服務器進行處理。適合應用于一般餐飲、門禁等非獨占資源系統。但是對于體育場館獨占資源的消費模式就會出現像操作系統中進程競爭的現象，給系統安全帶來隱患。同時，由于調制解調過程以及傳輸距離的關系，所有設備要共享狹窄的傳輸帶寬,網絡傳輸速度較慢，RS485標準不適合大型分布式網絡模式。此外，通過Internet實時預訂場館票務時，要求票據、消費金額等數據傳輸必須是安全的、保密的、不被篡改的。而傳統的一卡通系統安全性主要體現在獨立的局部網絡數據專網中，其靈活性、擴展性受到制約。
為了滿足政務、電子票務、財務等系統應用的高效、安全及遠程互連，必須對傳統的一卡通實現機制進行改進，并滿足以下要求：
(1) 采用技術手段保證通過Internet的連接是安全的、加密的。
(2) 實現網絡的邊界安全，在網絡的出入口設置安全控制。
(3) 實現內部各機構網絡接口的安全，控制內外部訪問的TCP/IP端口。
(4) 實施安全保護后，系統性能不受影響，確保網絡服務的可用性。
2 系統安全的設計與實現
為了滿足一卡通系統高效互連，對傳統POS依靠RS485的安全機制進行了改進，開發了新一代基于TCP/IP協議的POS機，保證數據即時處理和數據的一致性。POS直接連接到以太網信息點，通過路由器（安全網關）與中央數據庫通信。但是以TCP/IP協議為基礎的互聯網只注重網絡的連接性、開放性和兼容性，而忽略了網絡的安全性。在這樣的網絡環境下，傳輸過程中的消費信息完全可能被偽造、篡改或偷窺，信息的完整性、機密性、真實性和信息發送者的不可抵賴性得不到保證。
為了滿足一卡通系統的安全性，采用基于IPSec（IP Security）協議的虛擬專用網技術[1]，為通過1個公用網絡建立1條臨時、安全、穩定的隧道。采用加密、認證等技術在公共互連網上構建安全加密信息傳輸通道，解決基于互聯網傳輸信息的安全隱患，達到一卡通專用網絡的效果，方案中采用了3種實現方式[2-3]。
2.1 虛擬專用撥號網絡
對于公司內部經常有流動人員遠程辦公的情況，采用虛擬專用撥號網VDPN(Virtual Private Dial Network)方式，實現了安全地連接移動用戶、遠程工作者或分支機構。通過一個擁有與專用網絡相同策略的共享基礎設施，提供用戶對企業內部網資源隨時、隨地遠程訪問。用戶只要連接到當地的ISP服務提供商，通過因特網虛擬專用通道就可實現與企業網連接，減少用于相關的調制解調器和終端服務設備的資金及遠距離通信的費用。
2.2 企業內部虛擬網
對于不同地域間的場館，采用了組建企業內部虛擬網（Intranet VPN）方式實現各分支機構網絡互連、實時計費、內部資源共享、文件傳遞等。利用Internet線路保證網絡的互聯性，而利用隧道、加密等VPN特性可以保證信息在整個Intranet VPN上安全傳輸。企業擁有與專用網絡的相同政策(包括安全、服務質量、可管理性和可靠性)，可節省租用專線所帶來的高額費用。
2.3 企業擴展虛擬網
隨著信息時代的到來，各個企業之間的合作關系也越來越多，信息交換日益頻繁，利用VPN技術可以組建安全的企業擴展虛擬網(Extranet VPN)。以某局為例，通過因特網共享基礎設施，將全球（美國體育集團公司、巴西體育集團公司）客戶、供應商、合作伙伴或興趣群體連接到企業內部網，企業擴展虛擬網連接如圖1所示。
通過Extranet VPN能容易地對外部網進行部署和管理，保證通過互聯網通信的安全性、機密性、可認證性和完整性等安全性能。
通過構建基于VPN技術的一卡通系統,實現了高效、安全的網絡支付應用。這主要體現在以下方面：
(1)安全保障。VPN保證了公用網絡平臺傳輸數據的專用性和安全性，即在公共互連網上建立一條邏輯的、點對點的連接隧道，保證了數據的私有性和安全性。
(2)服務質量保證QoS（Quality of Service）。VPN為企業數據提供不同等級的服務質量保證，可以按照優先級分配帶寬資源，預防阻塞的發生。
(3)可擴充性和靈活性。VPN支持通過設備增配滿足對高質量數據傳輸以及帶寬增加的需求，符合網絡建設的可擴展性和靈活性的原則。
(4)可管理性。VPN可方便地進行管理、維護，使得企業將其網絡管理功能從局域網無縫地延伸到公用網，實現對企業內部網的擴展。
(5)經濟性。通過VPN構建，企業不必租用長途專線建設專網，不必投入大量的網絡維護人員和設備，符合網絡建設的經濟合理性的原則。
3 系統安全的實施及測試
3.1系統的部署
一卡通系統由結算中心和運營單位組成，結算中心負責一卡通系統的發卡管理、密鑰管理、清算管理、運營管理、設備管理；運營單位負責與一卡通結算管理中心及各種終端設備的網絡通信和數據交換。通過城市通信網將結算中心與各個運營單位的電子收費系統聯網，當在不安全的互聯網上流通時,通過VPN網關的加密功能確保信息是密文形式。這樣,即便信息被截取，也無法偷窺或篡改其內容，從而保證信息的安全性、機密性、可認證性和完整性，有效地控制企業風險[4]。同時由于POS機接入交換機，可以使整個系統的安全性承擔到各個子系統中，即便某局部網絡出現故障，也不會影響整個系統運行，具有良好的擴展性、兼容性和先進性。一卡通網絡與安全部署如圖2所示。
3.2系統安全的測試
3.2.1性能測試
（1）ping服務測試
在工作環境中，采用ping測試的網絡服務，對該安全網關的數據包處理能力進行測試，測試結果如表1所示。
通過數據分析，在應用VPN(采用IPSec加密策略)后安全網關轉發數據包的速度明顯下降，這是因為采用IPSec 的ESP 加密IP 數據包需要一定時間,并且性能與采用具體加密算法有關。
(2) 應用測試
在工作環境中，網絡連接登錄時稍感延遲。但是連接網絡后，日常操作與平常無明顯異常。這是因為在首次網絡登錄連接過程中，IPSec要進行一系列的安全協商。這也是表1中ping的最大時間較大，而平均時間較小的原因。通過測試可見，在系統的性能上，采用VNP安全措施是完全可行的。
3.2.2 安全性測試
未實施VPN安全保護環境之前，采用Sniffer軟件監聽網絡信息，不僅能監控到用戶登錄名及密碼，而且會話協商內容也一覽無遺，并且可以利用Sniffer工具對監聽到的信息進行修改，對系統的正常運行構成了極大的安全隱患。圖3所示的陰影部分顯示出每次交易的信息。
在應用了VPN安全策略后，再使用Sniffer 進行監控[5]，竊聽結果就大不一樣，會話協商的內容變成了一堆亂碼，如圖4所示。
利用VPN建立一個可選擇的安全通道保證了信息傳輸的安全，使會話協商的安全性得到了保證，消費信息經過加密處理和認證處理，保證了數據的完整性、機密性和真實性。VPN保護是“透明性”的，系統提供的安全服務具有很強的靈活性和適應性，一般用戶絲毫覺察不到安全網關的存在。
體育一卡通是某局信息化工程的核心工程，同時響應了數字北京、數字奧運的要求，邁出了積極探索、創新“數字體育”的重要一步。在Internet連接和基于IP網絡錯綜復雜的環境下，這些新的通信需求已經超出了傳統一卡通網絡解決方案的處理能力。對比傳統一卡通系統實現方式，通過技術的分析，突出了VPN的優勢。基于IP的虛擬專用網解決方案將數據流轉移到低成本的互聯網網絡上，可大幅度地減少用戶花費在城域網和遠程網絡連接上的費用。同時，簡化了網絡的設計和管理、方便了新用戶與網站的連接、增強了網絡安全。VPN技術已成為一種較為理想的一卡通系統遠程互連及安全解決方案，對推動一卡通金卡工程、電子商務、電子貿易將起到不可低估的作用。
