太湖流域水环境数据资源中心的数据安全传输方案

许蓉 陈高

摘  要：随着我省太湖流域水环境管理数据资源中心的不断建设完善，数据资源中心数据传输愈加频繁，鉴于生态环境监测监控数据的敏感性，确保数据安全尤为重要。数据传输各个环节都面临着安全挑战，为兼顾基于大数据的通信的安全性和效率性，分析了数据传输过程中的安全风险，提出了一套包含身份认证的数据安全传输方案，对方案进行了安全性分析并提出安全建议。

关键词：水环境  数据资源中心  数据安全  身份认证  非对称密码

中图分类号：P208                               文献标识码：A                      文章编号：1674-098X（2020）08（b）-0129-03

Abstract： With the continuous construction and improvement of water environment management data resource center of Taihu Lake Basin in our province， the data transmission of data resource center is more and more frequent. In view of the sensitivity of ecological environment monitoring and monitoring data， it is particularly important to ensure data security. Each link of data transmission is faced with security challenges. In order to take into account the security and efficiency of communication based on big data， this paper analyzes the security risks in the process of data transmission， puts forward a set of data security transmission scheme including identity authentication， analyzes the security of the scheme and puts forward security suggestions.

Key Words： Water environment; Data resource center; Data security; Identity authentication; Asymmetric password

為实现太湖流域水生态环境智慧化监管，我省集成太湖流域水环境管理各类数据，构建了统一的太湖流域水环境管理数据资源中心。该数据资源中心构建了完善的数据整合、交换与共享体系，实现了多元异构数据的统一管理，为太湖流域水环境数据分析及智慧监管提供了数据支撑。

然而太湖流域水环境数据敏感复杂，对传输过程中的安全性有着较高的要求。本文从太湖流域水环境数据资源中心的平台架构出发，重点介绍了数据传输过程中面临的安全挑战，针对数据中心数据传输频繁、量大以及数据敏感等问题设计了基于密码的身份认证和加密传输方案。

1  太湖流域水环境数据资源中心建设现状

太湖流域水环境数据资源中心围绕太湖流域水生态管理需求，以摸清太湖流域水环境数据资源底数为目标，制定了太湖流域水环境管理统一的数据管理标准，建设了水环境资源目录;针对数据的多源异构特点，研究形成了一套多源异构数据清洗、融合与处理技术，构建了完整的数据整合、交换与共享体系，保障数据的及时性和准确性，实现了多源异构数据的统一管理。

太湖流域水环境数据资源中心基于基础设施平台，建设了采集交换、数据存储、数据管理、数据服务、数据应用等功能，实现数据资源化、资源标准化、服务共享化、报表智能化四个目标，集成传输了环境生态功能区划、环境与生态标准、流域水环境信息、水质目标管理、污染物总量控制、区域资源补偿、排污权交易、各类环境管理数据以及气象、工商、水利等涉太部门各类监测监管数据。总体功能架构如图1所示。

2  太湖流域水环境数据资源中心的安全挑战

在大数据环境下，鉴于生态环境监测监控数据的敏感性，因此数据从采集、存储到传输的每个环节都面临着安全挑战，尤其是数据传输环节[1]。太湖流域水环境数据资源中心面向各个不同的部门用户，从数据的上传到数据的下载使用，用户与中心之间存在大量的数据传输过程，然而明文传输过程面临着极大的数据泄露风险，一方面用户身份易遭冒用，二方面数据在传输过程中易被第三方明文截获，因此如何验证用户身份并确保数据传输过程的安全显得十分重要。

3  数据安全传输方案设计

在虚拟的互联网世界中，要想保证通信的可信和可靠，首先，必须正确识别通信双方的身份，这就要依赖于身份认证技术，目的在于识别用户的合法性，从而阻止非法用户访问系统[2]，其次，必须对会话数据进行加密，确保数据安全。现代密码学中的非对称密码算法通常可以用来解决实际的身份认证问题，主流的算法有RSA、DSA、ECC等。非对称密码算法采用一对密钥：一个公钥（Public Key）和一个私钥（Private Key），一对公私钥存在数学相关，并且互为解密密钥，私钥是身份凭证，必须保障安全，而公钥则可以公开[3]。但非对称密码运算代价高，加解密效率逊于对称密码算法，因此不适用于大数据量的加密传输。

为兼顾数据传输的安全性和高效性，通信双方在身份认证阶段采用非对称加密方式实现，而在会话阶段则采用对称加密方式实现。数据传输的安全通信流程如图2所示，为防止数据中心资源遭到非授权访问，首先需要由数据中心的自建CA（证书授权服务器）向用户签发身份凭证来完成对用户的访问授权，其中身份凭证即为CA认证的用户公钥证书;用户获取授权之后，每次访问数据中心需先完成身份认证才能获取数据资源。

身份认证协议采用RSA-2048非对称密码算法，会话数据加密采用AES-128对称密码算法，涉及的术语及符号如下：

S：太湖流域水环境数据资源中心（服务器端）

C：用戶（客户端）

Certs：服务器公钥证书

Kpbs：服务器公钥

Kpvs：服务器私钥

Certc：客户端公钥证书

Kpbc：客户端公钥

Kpvc：客户端私钥

K：会话密钥

Message：会话消息

身份认证协议如下：

（1）C→S：Certc。

客户端向服务器发送访问请求，消息包含客户端自己的公钥证书Certc。

公钥证书由可信任CA签发，具有有效期限制，在有效期内可由签发CA吊销，因此服务器端获得客户端公钥证书Certc后，可通过CA查询验证Certc的有效性。

（2）S→C：{Ns，Certs}Kpbc。

当服务器端获得客户端公钥证书Certc并验证通过后，提取Certc中的客户端公钥Kpbc和用户相关身份信息，并向客户端返回应答消息，消息包含随机数挑战Ns和自己公钥证书Certs，并采用客户端公钥Kpbc加密。

（3）C→S：{Ns，Nc}Kpbs。

客户端用私钥Kpvc解密收到的应答密文，获取服务器端的公钥证书Certs和随机数Ns，并提取Certs中的服务器端公钥Kpbs;客户端生成新的随机数挑战Nc，将Ns和Nc采用服务器端公钥Kpbs加密后，发送至服务器端。

（4）S→C：{Nc，K}Kpbc。

服务器端用私钥Kpvs解密收到的密文，获取Ns和Nc两段随机数挑战，并验证Ns与步骤（2）中所发送的Ns是否一致，如果一致，则确认客户端持有对应私钥，认证客户端身份合法;服务器端随机生成会话密钥K，将Nc和K采用客户端公钥Kpbs加密后，发送至客户端。

（5）C→S：{Message}K。

客户端用私钥Kpvc解密收到的密文，获取Nc和K，并验证Nc与步骤（3）中所发送的Nc是否一致，如果一致，则确认服务器端持有对应私钥，认证服务器端身份合法;客户端与服务器端后续会话采用对称密钥K进行加解密，且K仅有会话双方知晓。

4  安全性分析及建议

本文采用基于非对称密码的身份认证协议，身份认证过程中仅客户端公钥证书采用明文传输，其余消息均采用接收方公钥加密，因为只有私钥才能解密公钥加密数据，因此每条消息只有接收方可以用自己的私钥解密获取，即使消息被截获，第三方也会因没有对应私钥而无法解密，从而确保了数据的机密性。客户端和服务器端均向对方发送随机数挑战，若对方能正确返回所接收的随机数，则证明对方是公钥证书对应私钥的持有者，从而最终确认对方的身份合法。会话密钥由服务器端生成，采用客户端公钥加密，只有客户端能解密获悉，确保了会话密钥的机密性，从而加强了会话通信的安全。

非对称密码中公钥可以公开，而私钥必须严格保护，私钥如果泄露，盗取私钥者即可冒充私钥原持有者的身份，因此本文方案中用户和数据中心均须妥善保存自己的私钥才能确保数据访问传输的安全性。如果用户和数据中心发现私钥泄露，可重新生成新的公私钥对，并至CA完成新公钥的注册认证，CA则将旧公钥证书撤销。

5  结语

本文介绍了太湖流域水环境数据资源中心的建设现状，针对环境数据的敏感性特征设计了数据安全传输方案，提出了一个基于非对称加密算法RSA的身份认证协议，并选用对称加密算法AES实现会话数据的加密传输，兼顾了数据传输的安全性和效率性。

参考文献

[1] 陈红松，韩至，邓淑宁.智慧城市中大数据安全分析与研究[J].信息网络安全，2015（7）：1-6.

[2] 杨新欢.面向电网变电站导航安全服务系统[D].贵州：贵州大学，2019.

[3] 王开林，刘伯驹，崔鹏飞，等.基于非对称密码算法的身份认证技术研究与实现[J].警察技术，2015（6）：54-56.

[4] 尹卓超.基于属性加密的医疗物联网数据传输技术研究[D].上海：华东师范大学，2019.

[5] 韩孜怡.面向移动云计算的用户认证和安全传输研究[D].西安：西安电子科技大学，2018.

[6] 戴菲菲.面向云计算的车载网数据安全传输协议研究[D].上海：华东师范大学，2018.