国土资源业务网络安全接入研究

2010-08-07陈苗

网络安全技术与应用 2010年3期

陈苗

1 湖南大学软件学院湖南 410006

2 长沙市土地信息中心湖南 410001

0 引言

通过实施金土工程建设，实现国家、省、市、县四级国土资源信息共享和交换。通过国土资源业务网络形成了上下联动、科学规范的网络化国土资源管理流程，促进了国土资源依法行政与政务公开；为全面、准确地掌握国土资源信息及动态变化有效参与宏观调控提供支持；全面提高国土资源信息为各级政府和社会服务的水平，充分发挥国土资源信息的基础性作用。如何确保国土资源业务网络接入安全, 成为我们面临的一个新课题。

目前国土资源信息系统的访问控制主要是通过对接入国土业务网的单位来做控制，即原有的网络系统通过路由来控制有访问权限的接入单位才能接入内部系统；但是这种方式只是保障了接入单位访问国土业务系统的传输安全这一块，而在接入安全和应用安全这一块则没有比较有效安全保障，主要面临以下问题：

(1) 用户接入安全这一块无法强化身份认证，目前接入单位所在局域网整网或者仅仅是通过 IP来控制访问国土资源业务系统，非法人员只要在接入单位局域网或者简单修改相关IP后即可访问我局内部系统。

(2) 应用层安全性不够，目前的电子政务网对国土局内部系统的访问控制一是没有划分相关权限匹配；二是没有相应的访问记录功能，前者可能造成的危险是接入人员和接入单位只要在经过身份认证接入国土局内部系统后，可以肆意访问内部所有的系统，而不是根据访问用户身份匹配相应的系统访问权限。

(3) 没有保留详细的访问日志，对于接入系统的用户访问国土内部系统没有相关的日志信息，对于一些可能存在的非法访问行为无法从日志里面做出判断。

1 国土资源业务网络安全接入解决方案

1.1 SSL VPN安全网络接入的特点

1.1.1 各接入人员使用SSL VPN接入，不需安装、容易部署

SSL VPN不需要安装客户端软件程序，下属单位和相关部门单位用户可以随时随地从任何浏览器上安全的接入到上级网络，安全地访问应用数据资源，无需安装或设定客户端软件，降低了维护成本。而且由于只使用443端口传输数据，避免了在上级机构的防火墙上作过多的部署。使用SSL协议和标准的浏览器可以轻易穿越防火墙，而且不管下属单位和相关部门单位的用户采用何种网络接入方式，都可以方便接入VPN网络，避免了网络兼容性的麻烦。

1.1.2 多种认证方式、高安全性

由于内网保存的数据重要，使得数据传输的安全性必须得到高度的重视。在双方的IPSec VPN通道建立前，除采用传统的预共享用户名／密码方式，可以根据相应的安全级别，对客户端组合几种认证方式，最大限度地保证了接入用户的合法性。同时，由于在隧道连接过程中，SSL VPN仅仅使用443端口传输数据，大大降低了病毒从远程客户端入侵VPN网络的可能。

1.1.3 适应广泛、完善的日志功能

SSL VPN不仅提供对Web系统的安全访问，还可以支持C/S的应用。不管是Windows还是Linux客户端，甚至是手持设备，只要有SSL浏览器就可以方便的使用SSL VPN安全地接入公司内网。SSL VPN网关提供了调试、信息、告警、错误四个级别的运行日志，帮助管理诊断系统。并提供了用户访问记录审计和报表来记录、跟踪用户行为。

因此，根据SSL VPN的特点我们可以看到，采用SSL的接入方式可以很好的解决上述国土资源业务网络接入中存在的问题。

1.2 SSL VPN安全网络接入的实施

1.2.1 SSL VPN 网关网络和系统结构

采用单路由模式将SSL VPN直接置于国土资源业务网络中，在各市国土资源局中心机房部署了两台千兆级 SSL VPN设备，为国土资源业务网络接入构建了安全高效的接入平台；同时考虑到线路稳定性、设备稳定性等因素，可采用双机热备的方式实现系统连接，保障即使一条线路出现故障也能实现相关用户接入；并且还引入相关身份认证方式，实现静态认证和动态认证的混合模式身份认证体系，这样保证了所有用户接入国土资源业务网时，可以做到完备的身份安全认证。

1.2.2 路由模式图

路由模式图如图1所示。

图1 路由模式图

1.2.3 网络拓扑图

网络拓扑图如图2所示。

图2 拓扑图

1.2.4 网络接入认证

下属单位和相关业务部门接入人员通过SSL VPN接入到国土局内网，访问内网资源，在部署的SSL安全网关上面配置可接入的远程用户和被访问资源，将用户和资源通过角色关联起来，接入用户无须安装任何客户端软件，即可通过浏览器登录，访问内部资源。针对内部需开放资源情况设定 SSL VPN安全网关内网服务设置，为各接入用户分配相应权限。对接入人员的网络访问行为进行详细的记录，以便日后审计。

通常SSL VPN的安全性包含三个层面上的含义：一是客户端接入的安全；二是数据传输安全；三是内部资源的访问安全。

SSL VPN采用标准的SSL协议加密建立安全的专用通道，使用标准浏览器内置的RC4(128 位)加密算法进行加密，并通过RSA(1024 位交换)非对称密钥进行签名，保证了数据在传输过程的安全性。为防止用户身份被盗用，国土资源业务网络中的SSL VPN除了使用用户名密码/证书的认证方式外，还可以使用DKEY(一种USB 的身份认证设备)进行双因素身份认证。接入方式如图3所示。

图3 客户端认证方式图

为防止用户在没有注销的情况下长时间离开，导致他人窥探到SSL VPN内的机密信息，VPN安全网关特别加入了不活动检测引擎。当检测到客户端在指定时间内没有任何访问内网资源的流量时，SSL VPN网关将自动弹出对话框，提示用户“SSL连接会在X秒内超时关闭，继续还是注销？”若用户在该时间内仍未选择相应动作，则 VPN安全网关将自动注销，中断会话并重新返回登录界面。

SSL VPN对每个用户的访问控制粒度精确到了URL级别。根据组织的构架，用户可以分组管理，而授权粒度则可以按照角色进行管理，可以为每个用户或每个组分配一个或多个角色。比如可以为某用户分配经理和财务的双重角色，这样他即可以访问经理的文档数据又可以使用财务系统。通过这种有特色的角色权限分配体系能满足各种现实世界中的权限设置要求。同时SSL VPN通过行为跟踪引擎，对每个远程接入用户的所有访问记录都留下了日志记录。

2 SSL VPN安全网络接入的效果

使用的SSL VPN技术，针对接入用户访问机构资源的权限控制方面，提供了细致到针对被访问资源的IP地址、端口、服务、URL地址和时间段的应用权限划分，以适合各种复杂的组织结构和权限划分需求。基于角色的访问限制为其提供了更强的安全性。通过行为跟踪引擎，管理员还可以查看远程接入用户的所有访问记录。可以实时地监控用户的接入情况，观察整个VPN系统的运行状况。

具体而言，对需要开放的资源，在各国土资源局 VPN内网服务设置，以便为各接入用户分配相应权限。针对应用资源来开放，不需要开放全部的所有TCP和UDP资源，保证了国土资源业务网安全访问的要求。对于接入点的远程办公人员，为防止其计算机被非法使用，利用DKEY、短信认证等便携设备的惟一ID号作为其使用SSL VPN的许可方式，使得只有指定人员使用指定账号及计算机才能接入总部访问指定资源，极大的提高了市局使用SSL VPN的整体安全性。

通过该套SSL VPN解决方案能解决国土资源业务网安全连接、管控的要求，使得用户操作简单便捷——通过浏览器内嵌的SSL协议工作，无需安装专用客户端软件，即可实现SSL VPN访问国土资源业务网。