基于商用密码技术的铁路行业统计调查系统安全研究

随着铁路行业监督管理部门履职工作的不断深入，运用信息化手段监测分析铁路运行情况，开展铁路行业统计工作，迫切需要掌握更加全面、及时、准确、科学的铁路行业总体情况，对相关统计数据的质量、数据统计能力、数据分析预测能力、更加多样化的数据展现和发布提出更高的要求。因此，铁路行业统计调查系统应运而生。同时，面对巨大的铁路行业统计信息量及严峻的信息安全形势，急需相应的信息安全技术来支撑行业监管部门深化履职，实现铁路监督核心业务一体化和网络化的管理 。

在铁路行业统计调查系统的建设实施过程中，数据安全风险和网络安全问题日益凸显，对用户重要信息的机密性保护和用户身份安全认证等方面的需求愈发迫切。基于商用密码技术的产品和服务是实现信息安全的重要手段，可以实现重要敏感信息的真实性、机密性、完整性和不可否认性等功能。为进一步提升铁路安全监管科技水平，实现铁路行业统计调查工作统一化、规范化、现代化，提高部门统计能力和工作水平，优化铁路统计信息共享和业务协同，提供有力的安全技术保障。

铁路行业统计调查系统是为了支撑铁路行业监督管理部门履行铁路行业统计的职责，运用信息化技术手段，实现政府部门以及铁路统计对象之间的统计调查数据互联互通和信息共享，支撑铁路行业统计调查核心业务的信息系统。      

1.1　系统体系架构

铁路行业统计调查系统框架上采用“五横两纵”的体系架构，结合国家政务信息化建设的要求，横向上考虑了信息服务逻辑层次的划分，纵向上考虑了该系统在管理保障体系和安全防护系统的需要，既保证了架构的安全性，又兼顾了应用功能的灵活扩展，系统总体架构如图 1 所示。通过基础设施层、数据层、应用支撑层、应用层、展现层的划分对系统进行运营维护管理。采用身份鉴别、数据备份、网络监控、病毒防范、入侵检测、漏洞扫描、访问控制、密码应用技术对系统进行网络安全防护。

图 1 系统总体架构

1.2　承载业务情况

铁路行业统计调查系统具备铁路行业安全、固定资产、能源消耗、设备制造、客货运量、运输设备等信息数据为基础的统计分析能力，包括安全统计调查、固定资产统计调查、能源消耗统计调查、客货运量(含电子商务)统计调查、运输企业财务统计调查、运输设备统计调查、统计数据分析等业务应用功能模块。

1.3　安全需求分析

按照铁路行业统计调查系统总体架构，结合承载业务情况，该系统不能只服务于铁路行业监督管理部门，还需要考虑其他政府机构、铁路行业企业、社会公众甚至国际合作获取信息的安全需求。在相关网络间进行数据交换，并且通过资源整合，形成铁路行业统计调查分析的数据仓库。运用大数据的理念挖掘数据的潜在价值，建立业务、信息、数据三者之间的关联，分析辨别可理解的信息模式，为监管业务和行业统计分析提供决策支持依据。

根据国家等级保护和信息系统密码应用基本要求，从物理和环境、网络和通信、设备和计算、应用和数据、安全管理等方面，采用商用密码技术及产品，构建密码保障体系，建立基于商用密码的信息系统，实现商用密码的实际应用，为有效提高铁路行业信息共享的安全性、完整性和不可否认性，提升铁路行业统计调查系统的信息安全奠定了坚实基础。

商用密码是指采用特定变换的方法对不属于国家秘密的信息等进行加密保护、安全认证的技术、产品和服务。商用密码技术是商用密码的核心，是信息化时代社会团体、组织、企事业单位和个人用于保护自身权益的重要工具。

2.1　数据加密原理

数据加密原理是利用密码技术对信息进行加密，实现信息隐蔽，从而起到保护信息安全的作用。目前，常用方法有以下 3 种。(1)数据加密。数据加密技术是保障计算机网络通信安全的重要技术手段和防护策略，利用数据加密技术可以有效地确保数据的完整性和保密性，提高信息的安全系数 。通过加密算法和密钥将明文转变为密文，而解密则是通过解密算法和密钥将密文恢复为明文。目前，此技术被广泛运用于网络通信、数据安全存储之中，成为当前对数据进行有效保护的重要手段之一。(2)数字签名。数字签名技术是公开密钥加密技术和杂凑函数相结合的产物。其原理是将要传送的明文通过杂凑函数运算转换成报文摘要，报文摘要加密后与明文一起传给接收方，接收方将接收的明文再次计算报文摘要，将其与发送方的数字签名解密结果进行比较，结果一致说明明文未改动，如果不一致则表示明文已被篡改。(3)密码杂凑算法。此算法也称为消息摘 要或哈希算法，是把任意长度的数据输入，通过散列算法变换成固定长度的输出，该输出就是消息摘要。这种转换是一种有损压缩，消息摘要的数据长度通常远小于输入的数据长度。

2.2　密码算法及比较

密钥是在明文转换为密文或将密文转换为明文的算法中输入的参数。根据密钥类型不同，现代密码技术分为对称密钥算法和公开密钥(非对称)密码算法。(1)对称加密算法。该算法加解密都采用 相同的密钥，信息传输双方需要获取该密钥进行加解密操作。此算法运算速度快，但是密钥的分发和管理非常复杂，且不能实现数字签名。(2)非对称密码算法。该算法加密(公钥)和解密(私钥)采用不同的密钥，可用于数字签名，打破了对称密码技术加解密必须使用相同密钥的限制，很好地解决了对称密码算法中存在的密钥管理难题，保障信息数据的完整性和不可否认性，但其密码运算速度却比对称密码算法慢。(3)混合加密算法。在实际应用中，结合上述密码算法各自的优点，用对称密码算法加密信息数据，用非对称密码算法加密所使用的对称密钥，此算法就是混合加密系统，如数字信封加密(Digital Envelope)技术。它既解决了密钥分发管理问题，也改善了运算速度。

通过对铁路行业统计调查系统的安全分析，运用密码应用技术，构建符合系统实际情况的密码安全保障架构。

3.1　安全风险分析

依据信息系统密码应用基本要求，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理等方面对铁路行业统计调查系统的密码安全进行风险分析。(1)物理和环境安全。该系统所在机房使用指纹和人脸识别等生物特征方式对进入机房的人员进行身份鉴别，但未使用密码技术。存 在非授权人员进入物理环境，对软硬件设备和 数据进行直接破坏的风险。(2)网络和通信安全。本系统与铁路行业企业用户的终端之间使用公共互联网进行数据传输，通信时通过超文本传输安全协议(Hyper Text Transfer Protocol over SecureSocket Layer，HTTPS)进行传输加密和身份认证，保证传输过程的安全性 。但未使用国产商用密码技术对 数据传输通道进行机密性和完整性保护，存在非法设备从外部接入内部网络，通信数据面临被非授权窃取、篡改的风险。(3)设备和计算安全。本系统应用服务器 中所有重要程序或文件在生成时，未使用密码技术进行完整性保护，在使用或读取这些程序和文件时，未对其进行完整性校验，存在重要程序或文件被非授权篡改、来源不可信的风险。(4)应用和数据安全。本系统应用日志记录明文存储在应用服务器中，未使用密码技术 进行完整性保护，存在应用日志记录被非授权 篡改的风险。同时，流转的统计调查数据均未使用密码技术进行操作不可否认性保护，存在数据发送者或接收者不承认发送或接收到的数据，或者否认所做的操作风险。(5)安全管理。本系统为已建试运行系统，在系统上线前和试运行期间，均未开展过密码应用安全性评估，未制定密码相关管理制度，没有充分发挥密码技术在信息系统安全中的基础支撑作用。

3.2　密码安全保障架构

根据铁路行业统计调查系统的部署方式和实现业务功能，在满足总体性、完备性、经济实用性的基础上，按统一规划分步实施的原则，结合铁路行业监督管理部门实际情况，设计密码安全保障架构。

依据国家标准 GB/T 39786—2021《 信息安全技术信息系统密码应用基本要求》，构建铁路行业统计调查系统的密码安全保障架构，系统密码应用技术架构如图 2 所示。

图 2 系统密码应用技术架构

通过部署服务器密码机、签名验签服务器、 USBKey、SSL VPN 安全网关等密码产品，并正确部署配置，以符合国家商用密码应用安全合规性要求。采用密码计算、身份认证、证书认证等密码服务技术，保障铁路企业用户和政务办公用户通过安全接入区访问应用系统，系统管理用户通过安全管理区对系统及密码功能进行管理维护。

(1）服务器密码机。提供多种国产商用密码算法，为信息安全传输系统提供高性能的数据 加解密服务，作为主机数据安全存储系统、身份认证系统的主要密码设备和核心构件，保证信息数据的真实性、完整性、机密性和不可否认性。

(2）签名验签服务器。提供基于证书认证服务的数字签名、验证签名等运算功能，保证 用户身份的真实性、完整性和关键操作的不可否认性。

(3） USBKey。主要提供签名验签、杂凑等密码运算服务，对信息数据的完整性、真实性和不可否认性进行保护，同时提供一定的存储空间，用于存放数字证书等用户数据。身份鉴别Key中存放标识用户身份的数字证书，主要用于对用户身份真实性的鉴别。

(4）SSL VPN 安全网关。采用 SSL 协议来实现远程接入的 VPN 技术，通过对数据包的加 密和数据包目标地址的转换实现远程访问，进行加密通信。

通过运用各类符合国家标准的商用密码应用技术和产品，来确保铁路行业统计调查系统的信息安全，是行之有效的安全保障措施。

4.1　密码安全保障措施

依据信息系统密码应用基本要求，根据系统安全风险分析，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理等方面，降低或规避铁路行业统计调查系统的各类风险点。具体的商用密码应用技术和产品的部署位置如图 3 所示。通过在环境监控区、安全管理区、电子政务区、终端接入区部署服务器密码机、签名验签服务器、USBKey、 SSL VPN 安全网关等密码产品，建立系统密码安全保障体系，具体措施如下。(1)物理和环境安全。本系统所在机房电子门禁采用满足国家相关标准的产品，并须具有商用密码产品型号 ，基于SM4 算法实现进出人员一卡一密身份鉴别。同时，电子门禁后台管理系统人员进出记录及视频监控记录  采用哈希运算消息认证码(Hash-based Message  Authentication Code，HMAC)计算保护其完整性。(2)网络和通信安全。本系统使用的通信产品为基于商用密码的安全套接层（Secure Sockets Layer，SSL）传输协议类虚拟专用网络(Virtual Private Network，VPN)。同时，保障远程通信过程中数据和资源访问控制信息的完整性。(3)设备和计算安全。在本系统部署的应用服务器中，可实现对所有重要程序或文件、访问控制信息、敏感标记信息的完整性保护，即在使用合规的密码产品生成 HMAC 数据进行使用时，校验HMAC 值。(4)应用和数据安全。本系统应用服务使用通过检测认证的服务器密码机对关键日志记录进行完整性保护。用户终端使用核准的软件密码模块对重要数据的存储进行完整性保护服务器端使用核准的服务器密码机进行数据加密后存储于数据库中。(5)安全管理。建立独立的密码安全管理制度，在管理制度中明确密码人员相关岗位要求、岗位责任、培训制度、人员管理制度、考核制度等。

图 3 商用密码应用技术和产品部署

4.2　安全提升效果

采用商用密码技术对铁路行业统计调查系统进行安全保障，借助网络安全监控设备记录相同时间内系统产生的安全事件。以该系统一周内的安全事件统计数据为例，能够发现使用商用密码应用后系统中产生的安全事件显著减少，其中感染性病毒、非法下载均下降为 0 件，入侵漏洞扫描、服务器信息泄露分别减少至12件和6件，如表1所示。证明采用商用密码技术能够基本防止类似网络信息安全事件的发生，有效提升铁路行业统计调查系统的安全防御能力。

表 1 铁路行业统计调查系统安全事件统计情况

根据铁路行业统计调查系统的总体架构和 承载业务情况，详细分析系统的信息安全需求。依据信息系统密码应用基本要求，结合商用密码技术，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理等方面对铁路行业统计调查系统的密码安全进行风险分析。

根据铁路行业统计调查系统的部署方式和实现业务功能，在满足总体性、完备性、经济实用性的基础上，充分发挥密码在系统资源访问控制、数据存储、数据传输、访问控制、安全审计等方面的支撑作用，设计构建系统密码安全保障架构，提出对应的保障措施。

铁路行业统计调查系统经过商用密码国密算法、技术和产品的应用后，信息安全防护能力得到有效提升。下一步，我们将继续完善安全管理规定中密码应用管理制度，优化密码应用安全保障体系，确保系统的数据和信息安全。同时，也对铁路行业监督管理部门其他政务信息系统后续开展商用密码技术工作起到了示范作用。

原文来源：信息安全与通信保密杂志社