会计电算化系统信息安全集成解决方案

刘 鹏

(渤海大学 管理学院，辽宁 锦州 121013)

会计电算化系统信息安全集成解决方案

刘 鹏

(渤海大学 管理学院，辽宁 锦州 121013)

网络的开放性和共享性特征导致会计电算化系统存在着巨大的网络信息安全风险。结合会计电算化系统的特性，提出了数据信息安全集成解决方案，以方便会计电算化软件系统开发并同时保证企业财务会计信息安全。该方案运用网络安全技术和方法，基于USBKey的身份认证流程，通过客户端与服务器的信息交换实现了双重认证，基于字段级加密方式，给出了加密/解密流程以及AES高级加密标准算法和基于行为特征分析的木马监测模型及其阈值判别算法。实验结果表明，通过身份认证，阻止了非法用户进入系统；通过数据加密，解决了网络传输和存储过程中的泄密；通过木马监测，事先预防可能发生的盗取账号密码和数据。该方案可作为软件开发的依据和参考，有助于提高会计电算化系统的安全性并降低系统软件的开发成本。

会计电算化系统；信息安全；解决方案；身份认证；数据加密；木马监测

0 引 言

会计电算化是采用电子计算机替代手工记账、算账、报账以及对会计资料进行电子化分析和综合利用的现代记账手段，会计电算化系统在企业信息管理系统中占有非常重要的地位。随着会计业务与其他业务的结合与扩展，会计电算化已经从单纯的核算电算化向管理电算化和决策电算化迈进，利用会计电算化提供的信息辅助管理者制定科学的决策方案。财务会计信息是从会计视角所揭示企业的经济活动情况，包括财务状况、经营业绩和现金流量等，是企业的机密数据，决定着企业的命运[1-3]。随着企业信息系统的日益复杂，财务会计信息的共享程度越来越高，数据信息安全成为亟待解决的问题。

网络具有开放性和共享性的特征，财务会计信息存在严重的安全性威胁，除了软件设计的漏洞和缺陷、计算机硬件系统质量和内部监督管理不完善等原因外，还普遍存在未被授权的人员非法进入系统获取或篡改会计数据信息、数据在传输过程中受到黑客的攻击使得数据被盗取或泄露、计算机病毒入侵使系统运行出现异常造成数据被泄露或损坏、特洛伊木马病毒盗取数据或截取账号和密码随意登录系统等原因，这些情况一旦发生将会给企业造成不可估量的损失。为此，基于网络信息安全的研究成果，结合会计电算化系统的特性，提出了数据信息安全集成解决方案，以期便于会计电算化软件系统开发并有效保证企业财务会计信息安全。

1 身份认证

身份认证是进入信息系统的关口，通常使用的静态密码(用户名+密码)认证方式，方便简洁，但容易被窃取和重放攻击，是极度危险的身份认证手段，给管理和安全带来很大隐患。USBKey是一种USB接口的硬件设备，可以存储用户的私钥以及数字证书，内置的CPU可以实现加密/解密和数字签名的各种算法，具有成本低廉、性价比高等特点，便于携带和使用。同时，USB接口又具有通用性，是目前信息安全领域主要的认证方式[4]。所提出的方案使用基于USBKey的数字证书的身份认证方案，实现客户端与服务器端的相互认证，完成客户端与服务器端的双对话密钥分配。同时，USBKey采用双因子认证，必须同时具有USBKey和PIN密码才能登录，PIN密码即使被破解，只要USBKey不被盗用，也无法登录系统。USBKey身份认证流程如图1所示。

图1中，横向分为客户端和服务器两部分，纵向分为三个过程，通过客户端与服务器的信息交换实现双重认证[5]。过程1是服务器对客户端的身份认证，PIN密码如果输入正确，客户端读取USBKey的证书私钥，调用USBKey产生随机数R1，使用证书私钥对“随机数R1+服务器身份”生成签名信息Ma，将Ma和R1发送给服务器；过程2是客户端对服务器的身份认证，服务器接收到客户端发送的签名信息Ma后首先验证，如果正确，产生随机数R2，使用服务器端的证书私钥对“随机数R2+客户端身份”生成签名信息Mb，将Mb、R1和R2发送给客户端；过程3是实现身份认证过程的抗重放攻击，避免攻击者发送一个目的主机已接收过的包来欺骗系统。客户端接收到服务器发送的签名信息Mb后首先验证，如果正确，再比较发送的R1与接收的R1，如果相同，使用证书私钥对“随机数R2”生成签名信息Mc，将Mc和R2发送给服务器。服务器接收到客户端发送的签名信息Mc和R2后，比较发送的R2与接收的R2，如果相同，则通过身份认证。

图1 USBKey身份认证流程

Microsoft的加密应用程序接口(Cryptography API，CryptoAPI)提供了USBKey实现证书私钥的验证签名以及加密/解密等各种操作，通过一组函数完成数学计算，应用程序开发过程中可以直接调用，而不必考虑各种复杂的算法[6]。CryptoAPI应用模型如图2所示。

图2 CryptoAPI应用模型

CryptoAPI使用加密服务提供者(Cryptographic Service Provider，CSP)完成加密/解密以及密钥存储管理等操作，使软件开发人员从繁琐的算法实现和对数字证书的底层操作中解脱出来。每个CSP是独立模块，使用多个CSP时，加密函数调用时需要指定具体的CSP。其中，最常用的三个CSP分别是：RSA base CSP，提供了基本的加密函数，所有CSP的通讯都是通过这些函数；ZF Smart Key CSP，提供了对USBKey的各种操作函数；Fortezza CSP，提供了对加密卡的各种操作函数。

2 数据加密

数据库中的数据信息面临着来自各方面的威胁，通常使用的防火墙、入侵检测、审计跟踪和访问控制等技术存在若干缺陷，数据加密是弥补这些缺陷和保证数据信息机密的有效方式。加密粒度是数据库加密的最小单位，按层次结构可分为数据库级、表级、记录级、字段级和数据项级。在此选择了字段级，即只对重要字段信息加密，方式灵活，也适合对数据库进行频繁的查询操作。但对索引字段、进行关系运算的字段和外键字段不能加密。数据信息由明文加密成密文后，读取数据信息时必须将密文解密成明文，因此，数据加密包含了加密和解密两个过程，其流程如图3所示[7]。由于不同字段使用不同密钥，加密过程中要从密钥库获取密钥，使用加密算法加密数据，然后更新加密字典。加密字典记录了加密信息，以便解密时获取该字段的密钥。

图3 加密/解密流程

加密算法包括对称密钥算法、非对称密钥算法和哈希算法。对称密钥算法具有计算量小和效率高的特点，选择对称密钥算法的高级加密标准(Advanced Encryption Standard，AES)，算法流程如图4所示。

AES算法基于排列和置换运算，解密过程是加密的逆操作，按照反的顺序进行解密即可恢复明文[8-9]。轮子密钥由种子密钥扩展而成，可以增强对算法攻击的复杂度，加密过程涉及4种操作：字节替代(SubBytes)，通过S盒完成一个字节到另外一个字节的映射；行移位变换(ShiftRows)，实现一个4×4矩阵内部字节之间的置换；列混淆变换(MixColumns)，用一个常矩阵乘以行移位变换后的矩阵，以达到矩阵中每个元素都是该元素原所在列所有元素的加权和；轮密钥加变换(AddRoundKey)，由种子密钥通过密钥编排算法得到轮密钥，状态与轮密钥异或相加。

图4 AES算法流程

3 木马监测

木马(Trojan)是目前比较流行的计算机病毒，隐藏在正常使用的计算机软件中，具有操控用户计算机、窃取用户信息、监视用户行为和主动发动攻击等破坏功能。随着木马窃密行为的广泛发生，木马检测已成为网络信息安全领域重要的研究内容[10-11]。通过植入木马病毒窃取财务数据的事件时有发生，会计电算化系统必须实时监控木马病毒。通常的基于木马特征代码检测技术滞后于木马出现，容易产生危险。启发式扫描技术在特征代码提取前，检测具有破坏作用的恶意软件，是一种事前预防行为。行为特征分析技术是一种启发式扫描技术，针对预先制定的规则判断是木马程序还是正常程序。基于行为特征分析的木马监测模型如图5所示[12-13]。

图5 行为特征分析的木马监测模型

如图5所示，木马监测模型主要由四部分构成：

(1)木马病毒规则库，根据已发现的木马特征码及特征行为建立，包括关键字特征库和行为字特征库；

(2)行为特征采集，采用数据挖掘和统计分析方法，针对系统进程、系统服务、启动项目、网络端口和文件操作等进行行为采集；

(3)行为特征分析，根据木马病毒规则库进行对比，如果匹配则确定为木马，否则采用阈值判别算法进一步分析；

(4)木马病毒处理，根据行为类别分为“危险”和“可疑”两种，“危险”的系统直接删除，“可疑”的交由人工处理，最后产生监测报告。

阈值判别算法是所提木马监测方案的关键技术，工作原理是：预先设定木马程序的阈值，对行为特征采集的数据与木马病毒规则库进行对比，对于不匹配的数据，计算比较值，通过与阈值比较确定是否为木马。设可疑行为出现的次数为n，可疑特征值为xi(i=1,2,…,n)，可疑特征值的权重值为ai(i=1,2,…,n)，计算过程分3步：

(1)计算权重值。对于随机时间序列，通常使用指数平均数指标法(Exponential Moving Average，EMA)，计算结果与样本值相关，通过推导分解，计算各样本值的权重[14]。样本数为n，平滑系数为2/(1-n)，设a=2/(1-n)，则截至当前样本数的平均值yn为：

yn=a×xn+(1-a)×yn-1

(1)

展开yn-1，得到：

yn=a×xn+(1-a)×a×xn-1+(1-a)2×yn-2

(2)

展开yn-2，得到：

yn=a×xn+(1-a)×a×xn-1+ (1-a)2×a×xn-2+(1-a)3×yn-3

(3)

依此类推，得到：

yn=a×xn+(1-a)×a×xn-1+(1-a)2×a× xn-2+(1-a)3×a×xn-3+…+(1-a)n-2× a×x2+(1-a)n-1×x1

(4)

样本均值yn由各可疑特征值乘以一个系统后求和得到，这个系数就是可疑特征值的权重，由式(4)可得权重的计算公式为：

ai=(1-a)n-1×a

(5)

当可疑特征值的样本数量较大时，很容易根据式(5)求出各特征值的权重。

(2)计算比较值。加权平均值的计算公式分别为：

(6)

标准偏差的计算公式为：

(7)

4 结束语

会计电算化是现代化社会大生产与新技术革命相结合的产物，减轻了财务会计人员的工作强度，加快了财务会计信息的处理和传递速度。会计电算化系统在发展过程中，存在巨大的网络信息安全风险，传统的单一解决方案只能解决某一方面的风险威胁。为此，提出了集成解决方案，以期从多角度、全方位解决会计电算化系统网络安全问题。文中提出的只是其中一种解决方案，实际开发过程中要根据实际需要，选择更加切实可行的技术，以提高系统的安全性，降低开发成本。

[1] 王素霞.网络会计信息系统安全问题研究[J].会计师,2015(17):70-71.

[2] 邹 颖.会计电算化系统的安全性问题分析[J].哈尔滨商业大学学报:自然科学版,2012,28(3):375-378.

[3] 赵晓玮.财务系统信息安全架构研究[J].网络安全技术与应用,2014(12):135-136.

[4] 骆 静,马潇潇.基于USBKEY的OA系统身份认证方案[J].南京工业职业技术学院学报,2014,14(2):48-50.

[5] 左志斌.一种基于数字证书的USBKey身份认证方案[J].河南科技,2015(9):11-13.

[6] 李 杰,张沛朋.基于CryptoAPI的文件安全交互系统设计[J].大庆师范学院学报,2016,36(3):25-29.

[7] 孟 凯.数据库加密系统的设计与实现[D].太原:太原理工大学,2012.

[8] 常见加密算法用途、原理以及比较[EB/OL].2016-08-05.http://blog.csdn.net/zuiyuezhou888/article/details/7557048.

[9] Kumar P, Rana S B. Development of modified AES algorithm for data security[J].International Journal for Light and Electron Optics,2016,127(4):2341-2345.

[10] Abualola H,Alhawai H,Kadadha M, et al. An Android-based Trojan Spyware to study the notification listener service vulnerability[J].Procedia Computer Science,2016,83(1):465-471.

[11] Yang X Q,Wei K J,Ma H Q,et al.Trojan horse attacks on counterfactual quantum key distribution[J].Physics Letters A,2016,380(18):1589-1592.

[12] 夏爱民,张宏志,杨伟锋.基于综合行为特征的木马检测技术研究[J].信息安全与通信保密,2014,36(6):109-113.

[13] 邹维福,张翼英,张素香,等.基于特征行为分析的木马病毒检测技术的研究[J].电信科学,2014,30(11):105-109.

[14] 余冬青.巧用指数移动平均函数EMA分析个股波段[J].佛山科学技术学院学报:自然科学版,2015,33(1):19-22.

Integrated Solutions on Information Security for Accounting Computerization System

LIU Peng

(School of Management,Bohai University,Jinzhou 121013,China)

The openness and sharing of the network lead to the huge network information security risk in the accounting computerization system.Combined with the characteristics of the accounting computerized system,the data information security integration solutions are presented,which is convenient for the system development of the accounting computerization software and ensures the security of the enterprise financial accounting information.It adopts network security technology and methods based on the USBKey identity authentication process,through the information exchange between the client and server for implementation of dual authentication.Based on the field level encryption mode,the encryption/decryption processes,AES advanced encryption standard algorithms,Trojan monitoring models and behavior characteristics analysis and threshold discriminant algorithms are proposed.The experimental results show that adopting identity authentication strategies prevents illegal users from entering the system and adopting data encryption strategies solves the leak in the process of network transmission and storage;adopting Trojan monitoring strategies makes prior preventions for stealing account passwords and data.Therefore the proposed scheme can act as the basis and reference for software development,which is helpful for improvement of the security of the accounting computerized system and reduction of the development cost of system software.

accounting computerization system;information security;integrated solutions;identity authentication;data encryption;Trojan monitoring

2016-08-10

2016-11-15 网络出版时间：2017-07-05

辽宁省教育科学研究计划项目(L2014248)

刘 鹏(1979-)，男，讲师，研究方向为法务会计及会计电算化。

http://kns.cnki.net/kcms/detail/61.1450.TP.20170705.1650.030.html

TP309

A

1673-629X(2017)08-0135-04

10.3969/j.issn.1673-629X.2017.08.028