基于虛擬專用網(wǎng)（VPN）技術的一卡通網(wǎng)絡安全設計與實現(xiàn)
文章出處：http://m.coolbang.cn 作者：楊明，郭樹旭，王雋 人氣： 發(fā)表時間：2010年07月21日
一卡通系統(tǒng)是數(shù)字體育的基礎工程和重要的組成部分，通過構建各類體育信息庫和應用系統(tǒng)，實現(xiàn)內部管理、公眾服務、在線支付和通訊等功能。支付安全是一卡通系統(tǒng)實現(xiàn)的核心內容，即防范交易數(shù)據(jù)在網(wǎng)上傳輸時，數(shù)據(jù)被監(jiān)聽、篡改和偽造。
本文介紹了虛擬專用網(wǎng)(VPN)在一卡通支付系統(tǒng)的應用情況，通過不同類型虛擬專用網(wǎng)對比分析，改進了傳統(tǒng)的一卡通安全機制和實現(xiàn)方式，較好地解決了網(wǎng)絡支付安全問題。
1 系統(tǒng)安全分析
體育一卡通實現(xiàn)了對某局所有經營項目進行收費，除此之外，還要實時提供某局各個運動場館完整、準確的票務數(shù)據(jù)，具有很高的安全性要求。未來還要實現(xiàn)電子商務、實時預定場館票務。這就要求在安全設計時既要滿足當前的業(yè)務需要，又要兼顧系統(tǒng)日后的發(fā)展。
傳統(tǒng)的一卡通系統(tǒng)一般遵從雙線工作的RS485標準，整個網(wǎng)絡以總線形式存在，所有POS機都“掛”在總線上，服務器端通過查詢方式定時讀取各POS機內流水記錄。由于標準的RS485采用串聯(lián)方式，系統(tǒng)輪循在各個PC機或POS機采集數(shù)據(jù)，再上傳到中央服務器進行處理。適合應用于一般餐飲、門禁等非獨占資源系統(tǒng)。但是對于體育場館獨占資源的消費模式就會出現(xiàn)像操作系統(tǒng)中進程競爭的現(xiàn)象，給系統(tǒng)安全帶來隱患。同時，由于調制解調過程以及傳輸距離的關系，所有設備要共享狹窄的傳輸帶寬,網(wǎng)絡傳輸速度較慢，RS485標準不適合大型分布式網(wǎng)絡模式。
此外，通過Internet實時預訂場館票務時，要求票據(jù)、消費金額等數(shù)據(jù)傳輸必須是安全的、保密的、不被篡改的。而傳統(tǒng)的一卡通系統(tǒng)安全性主要體現(xiàn)在獨立的局部網(wǎng)絡數(shù)據(jù)專網(wǎng)中，其靈活性、擴展性受到制約。
為了滿足政務、電子票務、財務等系統(tǒng)應用的高效、安全及遠程互連，必須對傳統(tǒng)的一卡通實現(xiàn)機制進行改進，并滿足以下要求：
(1) 采用技術手段保證通過Internet的連接是安全的、加密的。
(2) 實現(xiàn)網(wǎng)絡的邊界安全，在網(wǎng)絡的出入口設置安全控制。
(3) 實現(xiàn)內部各機構網(wǎng)絡接口的安全，控制內外部訪問的TCP/IP端口。
(4) 實施安全保護后，系統(tǒng)性能不受影響，確保網(wǎng)絡服務的可用性。
2 系統(tǒng)安全的設計與實現(xiàn)
為了滿足一卡通系統(tǒng)高效互連，對傳統(tǒng)POS依靠RS485的安全機制進行了改進，開發(fā)了新一代基于TCP/IP協(xié)議的POS機，保證數(shù)據(jù)即時處理和數(shù)據(jù)的一致性。POS直接連接到以太網(wǎng)信息點，通過路由器（安全網(wǎng)關）與中央數(shù)據(jù)庫通信。但是以TCP/IP協(xié)議為基礎的互聯(lián)網(wǎng)只注重網(wǎng)絡的連接性、開放性和兼容性，而忽略了網(wǎng)絡的安全性。在這樣的網(wǎng)絡環(huán)境下，傳輸過程中的消費信息完全可能被偽造、篡改或偷窺，信息的完整性、機密性、真實性和信息發(fā)送者的不可抵賴性得不到保證。
為了滿足一卡通系統(tǒng)的安全性，采用基于IPSec（IP Security）協(xié)議的虛擬專用網(wǎng)技術[1]，為通過1個公用網(wǎng)絡建立1條臨時、安全、穩(wěn)定的隧道。采用加密、認證等技術在公共互連網(wǎng)上構建安全加密信息傳輸通道，解決基于互聯(lián)網(wǎng)傳輸信息的安全隱患，達到一卡通專用網(wǎng)絡的效果，方案中采用了3種實現(xiàn)方式[2-3]。
2.1 虛擬專用撥號網(wǎng)絡
對于公司內部經常有流動人員遠程辦公的情況，采用虛擬專用撥號網(wǎng)VDPN(Virtual Private Dial Network)方式，實現(xiàn)了安全地連接移動用戶、遠程工作者或分支機構。通過一個擁有與專用網(wǎng)絡相同策略的共享基礎設施，提供用戶對企業(yè)內部網(wǎng)資源隨時、隨地遠程訪問。用戶只要連接到當?shù)氐腎SP服務提供商，通過因特網(wǎng)虛擬專用通道就可實現(xiàn)與企業(yè)網(wǎng)連接，減少用于相關的調制解調器和終端服務設備的資金及遠距離通信的費用。
2.2 企業(yè)內部虛擬網(wǎng)
對于不同地域間的場館，采用了組建企業(yè)內部虛擬網(wǎng)（Intranet VPN）方式實現(xiàn)各分支機構網(wǎng)絡互連、實時計費、內部資源共享、文件傳遞等。利用Internet線路保證網(wǎng)絡的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個Intranet VPN上安全傳輸。企業(yè)擁有與專用網(wǎng)絡的相同政策(包括安全、服務質量、可管理性和可靠性)，可節(jié)省租用專線所帶來的高額費用。
2.3 企業(yè)擴展虛擬網(wǎng)
隨著信息時代的到來，各個企業(yè)之間的合作關系也越來越多，信息交換日益頻繁，利用VPN技術可以組建安全的企業(yè)擴展虛擬網(wǎng)(Extranet VPN)。以某局為例，通過因特網(wǎng)共享基礎設施，將全球（美國體育集團公司、巴西體育集團公司）客戶、供應商、合作伙伴或興趣群體連接到企業(yè)內部網(wǎng)，企業(yè)擴展虛擬網(wǎng)連接如圖1所示。
通過Extranet VPN能容易地對外部網(wǎng)進行部署和管理，保證通過互聯(lián)網(wǎng)通信的安全性、機密性、可認證性和完整性等安全性能。
通過構建基于VPN技術的一卡通系統(tǒng),實現(xiàn)了高效、安全的網(wǎng)絡支付應用。這主要體現(xiàn)在以下方面：
(1)安全保障。VPN保證了公用網(wǎng)絡平臺傳輸數(shù)據(jù)的專用性和安全性，即在公共互連網(wǎng)上建立一條邏輯的、點對點的連接隧道，保證了數(shù)據(jù)的私有性和安全性。
(2)服務質量保證QoS（Quality of Service）。VPN為企業(yè)數(shù)據(jù)提供不同等級的服務質量保證，可以按照優(yōu)先級分配帶寬資源，預防阻塞的發(fā)生。
(3)可擴充性和靈活性。VPN支持通過設備增配滿足對高質量數(shù)據(jù)傳輸以及帶寬增加的需求，符合網(wǎng)絡建設的可擴展性和靈活性的原則。
(4)可管理性。VPN可方便地進行管理、維護，使得企業(yè)將其網(wǎng)絡管理功能從局域網(wǎng)無縫地延伸到公用網(wǎng)，實現(xiàn)對企業(yè)內部網(wǎng)的擴展。
(5)經濟性。通過VPN構建，企業(yè)不必租用長途專線建設專網(wǎng)，不必投入大量的網(wǎng)絡維護人員和設備，符合網(wǎng)絡建設的經濟合理性的原則。
3 系統(tǒng)安全的實施及測試
3.1系統(tǒng)的部署
一卡通系統(tǒng)由結算中心和運營單位組成，結算中心負責一卡通系統(tǒng)的發(fā)卡管理、密鑰管理、清算管理、運營管理、設備管理；運營單位負責與一卡通結算管理中心及各種終端設備的網(wǎng)絡通信和數(shù)據(jù)交換。通過城市通信網(wǎng)將結算中心與各個運營單位的電子收費系統(tǒng)聯(lián)網(wǎng)，當在不安全的互聯(lián)網(wǎng)上流通時,通過VPN網(wǎng)關的加密功能確保信息是密文形式。這樣,即便信息被截取，也無法偷窺或篡改其內容，從而保證信息的安全性、機密性、可認證性和完整性，有效地控制企業(yè)風險[4]。同時由于POS機接入交換機，可以使整個系統(tǒng)的安全性承擔到各個子系統(tǒng)中，即便某局部網(wǎng)絡出現(xiàn)故障，也不會影響整個系統(tǒng)運行，具有良好的擴展性、兼容性和先進性。一卡通網(wǎng)絡與安全部署如圖2所示。
3.2系統(tǒng)安全的測試
3.2.1性能測試
（1）ping服務測試
在工作環(huán)境中，采用ping測試的網(wǎng)絡服務，對該安全網(wǎng)關的數(shù)據(jù)包處理能力進行測試，測試結果如表1所示。
通過數(shù)據(jù)分析，在應用VPN(采用IPSec加密策略)后安全網(wǎng)關轉發(fā)數(shù)據(jù)包的速度明顯下降，這是因為采用IPSec 的ESP 加密IP 數(shù)據(jù)包需要一定時間,并且性能與采用具體加密算法有關。
(2) 應用測試
在工作環(huán)境中，網(wǎng)絡連接登錄時稍感延遲。但是連接網(wǎng)絡后，日常操作與平常無明顯異常。這是因為在首次網(wǎng)絡登錄連接過程中，IPSec要進行一系列的安全協(xié)商。這也是表1中ping的最大時間較大，而平均時間較小的原因。通過測試可見，在系統(tǒng)的性能上，采用VNP安全措施是完全可行的。
3.2.2 安全性測試
未實施VPN安全保護環(huán)境之前，采用Sniffer軟件監(jiān)聽網(wǎng)絡信息，不僅能監(jiān)控到用戶登錄名及密碼，而且會話協(xié)商內容也一覽無遺，并且可以利用Sniffer工具對監(jiān)聽到的信息進行修改，對系統(tǒng)的正常運行構成了極大的安全隱患。圖3所示的陰影部分顯示出每次交易的信息。
在應用了VPN安全策略后，再使用Sniffer 進行監(jiān)控[5]，竊聽結果就大不一樣，會話協(xié)商的內容變成了一堆亂碼，如圖4所示。
利用VPN建立一個可選擇的安全通道保證了信息傳輸?shù)陌踩?，使會話協(xié)商的安全性得到了保證，消費信息經過加密處理和認證處理，保證了數(shù)據(jù)的完整性、機密性和真實性。VPN保護是“透明性”的，系統(tǒng)提供的安全服務具有很強的靈活性和適應性，一般用戶絲毫覺察不到安全網(wǎng)關的存在。
體育一卡通是某局信息化工程的核心工程，同時響應了數(shù)字北京、數(shù)字奧運的要求，邁出了積極探索、創(chuàng)新“數(shù)字體育”的重要一步。在Internet連接和基于IP網(wǎng)絡錯綜復雜的環(huán)境下，這些新的通信需求已經超出了傳統(tǒng)一卡通網(wǎng)絡解決方案的處理能力。
對比傳統(tǒng)一卡通系統(tǒng)實現(xiàn)方式，通過技術的分析，突出了VPN的優(yōu)勢。基于IP的虛擬專用網(wǎng)解決方案將數(shù)據(jù)流轉移到低成本的互聯(lián)網(wǎng)網(wǎng)絡上，可大幅度地減少用戶花費在城域網(wǎng)和遠程網(wǎng)絡連接上的費用。同時，簡化了網(wǎng)絡的設計和管理、方便了新用戶與網(wǎng)站的連接、增強了網(wǎng)絡安全。VPN技術已成為一種較為理想的一卡通系統(tǒng)遠程互連及安全解決方案，對推動一卡通金卡工程、電子商務、電子貿易將起到不可低估的作用。
