網絡數據傳輸的加解密系統研究

宮明

摘 要：攻擊者可以通過各種途徑竊取網絡上傳輸的數據。如果數據使用了脆弱的加密方式或者以明文的方式傳輸，那么數據的安全性和網絡軟件系統的穩定性將無法得到保障。對于包含敏感數據的網絡系統，在設計階段應該著重思考系統安全保護方案；需要根據系統的特點定制合理的加解密策略，既要確保安全又要兼顧效率；在自主開發的數字校園網絡設備監控系統中，應用非對稱加密算法和對稱加密算法相結合的方案，取得了滿意的效果。

關鍵詞：網絡；數據；安全；加解密；非對稱加密算法

中圖分類號：TP39 文獻標識碼：A

1 引言（Introduction）

網絡安全是指網絡系統的硬件、軟件及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網絡服務不中斷。網絡安全包含網絡設備安全、網絡信息安全、網絡軟件安全。網絡信息安全側重于保護信息的保密性、真實性和完整性。避免攻擊者利用系統的安全漏洞進行竊聽、冒充、詐騙等有損于合法用戶的行為。其本質是保護用戶的利益和隱私。數據竊聽是攻擊者常用的手段。2003年，有黑客在網上出售一種名為“隔山打牛”的木馬程序，它植入用戶電腦后可以對所在局域網進行竊聽并截獲一款當下流行的網絡游戲賬號和密碼，然后以電子郵件的形式發送給攻擊者。這個木馬的實現原理是：首先通過ARP欺騙，把宿主計算機偽裝成路由器；導致局域網內的其他計算機發送給遠程服務器的數據都要經過它轉發。同時它還對數據進行分析、匹配，如果發現符合那款游戲定義的數據包則進行解密，然后局域網內玩家的賬號密碼被秘密發送到指定的電子郵箱，最后的結果是很多玩家的游戲裝備被盜，損失慘重。

這僅僅是一個開始，接下來若干年直到今天，網絡上的ARP病毒從沒有停止過，它們已經發展成各種各樣的形式，竊取信息的種類也是五花八門。試想，如果沒有黑客再去制造ARP病毒，或者殺毒軟件、防御工具可以對任何ARP病毒實現絕殺。那么網絡數據是否能夠安全傳輸呢？答案是否定的。網絡管理員只需要用一臺計算機連接到局域網的主干路由器，就可以將數據鏡像到這臺計算機，剩下的事情完全由他的主觀意愿決定了。誠然，有法律和道德的約束，但這些不能保證全世界的網絡管理員不犯錯誤。所以，要實現數據在網絡上安全傳輸，必須依賴技術手段；設計可靠、高效的加解密方案，相當于給數據加上一道牢固的鎖；即使數據被攻擊者截獲，但在短時間內不能被解密成明文；或者攻擊者需要付出巨大的時間及物質成本才能完成解密。并且攻擊者無法還原，分析數據封包的格式，不能隨意偽造數據封包欺騙遠程服務端軟件，保障了網絡軟件安全運行。

2 分析網絡上傳輸的數據包（Analysis the packets

on the network）

在互聯網沒有誕生之前，人們通常使用軟盤從一臺計算機拷貝數據然后復制到另一臺計算機；這種依賴存儲介質的方式在今天仍在使用，軟盤已經退出歷史舞臺，取而代之的是USB閃存驅動器（俗稱U盤）、移動硬盤等。使用存儲介質有很多弊端，其中效率問題最為明顯，它會隨著兩臺計算機之間距離的增加而降低；比如，某公司在沈陽的分公司需要把計算機里的資料發送到北京的總公司，那么需要把資料拷貝到存儲介質中，然后借助交通工具把存儲介質運送到目的地。顯然這非常影響工作效率。

今天，互聯網已經覆蓋了整個世界。人們使用一臺計算機可以在網上購物、聽音樂、看電影、玩游戲、和異地的朋友交流。它最大可能為人們的工作、學習、生活提供方便。人們因此有了網上銀行密碼、電子郵箱密碼、社交網絡密碼、網絡游戲密碼等等。有人會質疑，這些密碼關系到個人隱私和物質資產，它們以什么樣的形式在網絡上傳輸，會不會被其他人竊取到，是不是很不安全？要解答這個問題，需要先知道數據是怎樣在網絡上傳輸的。

計算機之間能夠相互通信，就必須約定好通用的通信方式，即協議。其中，NETBEUI、IPX/SPX和TCP/IP[1]是常見的網絡通信協議。隨著互聯網的發展，TCP/IP已經成為使用最廣泛的通信標準。在TCP/IP協議的基礎上，定義了一系列的標準應用層協議[2]：HTTP、FTP、TELNET、DNS、POP3、SMTP，應用層數據按照協議規定的格式組裝成數據包后由網絡層發送出去。軟件開發者、網絡管理員通常使用嗅探器抓取網絡封包進行相關的研究。圖1是使用Wireshark網絡分析器在本地計算機上抓取到的網絡登錄封包，它表示用戶輸入了口令和密碼登錄某個web應用，數據是以明文的形式發送的，從圖的底部可以清晰的看到口令和密碼。

使用明文傳輸數據不但容易泄露敏感信息，而且暴露了整個封包協議的數據結構。大多數網絡應用程序都會自定義應用層協議，例如網絡游戲。早期的一些網絡游戲使用的加密算法比較簡單，程序員使用網絡嗅探器抓取游戲客戶端和服務器之間通信的數據包，分析出完整的通信協議，最后開發出脫機外掛，獲取大量灰色收入，嚴重危害了服務器程序的穩定性和可靠性。

3 定制合理的加解密方案（Customized the encryption

and decryption programme）

相對直接發送明文而言，發送方對數據進行加密必須消耗一定的系統時間，接收方也需要額外的時間進行解密；有的加密算法會增加數據的尺寸，在傳輸時會占用更多的網絡帶寬；因此加解密一定會降低系統的處理效率。對于實時交互，且交互頻繁的應用，例如網絡游戲，在設計加解密方案的時候，應該考慮最大限度得把效率損失降到最低。所以，針對應用系統的特點，采用適合的加解密算法，是目前普遍實施的一種數據保護方案。

筆者開發了一套數字校園網絡設備監控系統。該系統采用C/S和B/S混合結構，其中B/S子系統提供簡單的數據查詢和統計；主要的業務邏輯處理集中在C/S子系統，它提供監測、控制、管理功能。網絡管理員作為系統的使用者，需要在客戶端程序輸入口令和密碼登錄；客戶端程序和服務器程序在交互過程中會傳輸自定義的控制指令和設備的敏感信息。這些信息一旦泄露，攻擊者便可以修改全網設備的任何參數，網絡安全受到巨大威脅。因此，加解密模塊是這個系統最重要的組成部分。endprint

如果采用傳統的對稱密鑰[3]算法，那么密鑰存放在什么位置最安全呢？方案1：密鑰存放在客戶端。由于這個密鑰是固定不變的，黑客只要通過反匯編與逆向工程[4]就可以跟蹤到密鑰。方案2：服務器隨機生成密鑰發送給客戶端。看似很安全，因為密鑰是動態變化的；但是黑客先通過逆向工程分析客戶端使用的加密算法，然后在網絡上嗅探密鑰和密文，有了加密算法、對稱密鑰、密文，便能夠分析出解密算法。

鑒于對稱密鑰算法的缺陷，筆者使用非對稱密鑰算法來保護系統的第一道門（身份認證）。解決方案如下：客戶端發送認證請求，服務器動態生成一對密鑰，即私鑰（private key）和公鑰（public key），服務器把公鑰發送給客戶端，客戶端使用公鑰對明文加密，然后把密文返回到服務器，服務器使用私鑰解密出登錄口令和密碼進行身份識別。攻擊者即使得到了公鑰和密文，也毫無用處，因為公鑰只能用來加密，要解密必須得到私鑰。

用戶登錄成功以后，進入客戶端主界面。用戶對客戶端程序操作的背后是客戶端程序跟服務器程序交互的結果。這些敏感信息雖然沒有登錄口令和密碼那樣重要，但它們的安全性同樣是不能被忽視的。此時，繼續使用非對稱加密并不是最佳的方案，因為非對稱加密算法的復雜度高，加解密的速度遠遠慢于對稱加密算法。筆者使用對稱加密算法來保護身份認證成功后的數據傳輸安全。解決方案如下：認證成功后，客戶端與服務器動態協商出一個密鑰，由公鑰加密后傳輸到對端，客戶端與服務器后續的數據傳輸使用這個密鑰進行加解密。

4 結論（Conclusion）

上述方案，應用到筆者開發的數字校園網絡設備監控系統。該系統的C/S子系統基于Windows 8 64位企業版和Visual Studio 2012中文旗艦版開發。系統目前處于試運行階段，客戶端與服務器交互響應迅速，用戶體驗良好。

參考文獻（References）

[1] W.Richard Stevens.范建華，等，譯.TCP/IP詳解 卷1：協議[M].

北京：機械工業出版社，2000.

[2] Charles M.Kozierok.陳鳴，等，譯.TCP/IP指南（卷2）應用層協

議[M].北京：人民郵電出版社，2008.

[3] Behrouz A.Forouzan.馬振晗，賈軍保，譯.密碼學與網絡安全

[M].北京：清華大學出版社，2009.

[4] Chris Eagle.石華耀，段桂菊，譯.IDA Pro權威指南（第2版）[M].

北京：人民郵電出版社，2012.

作者簡介：

宮 明（1979-），男，本科，工程師.研究領域：計算機網絡，

軟件工程.endprint