企業(yè)即時通信系統(tǒng)中的安全問題分析

滕向宇

（大慶油田信息技術公司，黑龍江 大慶 163453）

企業(yè)即時通信系統(tǒng)中的安全問題分析

滕向宇

（大慶油田信息技術公司，黑龍江 大慶 163453）

本文首先針對企業(yè)即時通信系統(tǒng)安全特征展開必要的分析，而后進一步在此基礎之上，就如何從3個主要方面切實提升企業(yè)及時通信系統(tǒng)安全水平加以分析，對于促進EIM系統(tǒng)的成熟起到一定的作用。

EIM；企業(yè)；即時通信；安全

信息化已經(jīng)成為企業(yè)發(fā)展過程中的必然選擇。在企業(yè)信息化體系之下，數(shù)據(jù)的流動，除了物聯(lián)網(wǎng)帶動的各種數(shù)據(jù)采集外，工作人員之間的溝通仍然是企業(yè)信息流動的重點驅動力量。隨著數(shù)據(jù)實時性特征領域相關需求的不斷突出，企業(yè)環(huán)境內部各種即時通信工具也開始日漸盛行。

1　企業(yè)即時通信系統(tǒng)安全特征分析

企業(yè)即時通信系統(tǒng)（Enterprise Instant Messenger，EIM）是即時通信系統(tǒng)在企業(yè)環(huán)境中的深入應用，通常以基礎腳本作為起點展開面向企業(yè)環(huán)境的功能開發(fā)，能夠支持文本、語音、視頻以及其他標準數(shù)據(jù)的傳輸支持。從應用的角度看，在企業(yè)環(huán)境內部中，EIM的出現(xiàn)對當前社會上正在使用的其他IM通信工具有一定的替代作用，尤其是對于油田組織而言，這種替代作用尤其明顯。因為在這樣的大型工業(yè)環(huán)境中，工作時涉及的信息溝通方，通常也是日常生活中的朋友，因此EIM對于這樣的群體而言，完全能夠取代社會化IM的地位。

當前EIM系統(tǒng)的工作框架，如圖1所示。

圖1　EIM常見構架示意圖

從圖1中可以看出，C/S模式仍然是當前EIM中最為常用的架構。客戶端通過網(wǎng)絡環(huán)境實現(xiàn)數(shù)據(jù)的傳輸與交換，保持對服務器的使用狀態(tài)，而同時服務器通過公共數(shù)據(jù)網(wǎng)實現(xiàn)對于客戶端身份認證，以及消息的過濾與轉發(fā)。

從安全的角度看，EIM主要面臨的問題包括病毒的傳播和用戶身份授權管理不善。由于EIM的文件傳輸采取了P2P模式，它可以將文件作為附件通過點對點方式傳送，而繞過網(wǎng)絡周邊安全防御設備。這種工作方式本質上無法對病毒實現(xiàn)有效地防范，造成病毒威脅。除此以外，緩沖區(qū)溢出、拒絕服務等攻擊方式也屢見不鮮。而在用戶身份管理方面，用戶賬號授權管理不善，移動端丟失默認登錄以及密碼被盜是主要存在的安全問題。當前IM開發(fā)商對于系統(tǒng)的擴展性傾注了過多關注，但對于認證機制考慮不足，也會給攻擊者可乘之機。

文件交換過程中的弱加密甚至于不加密的狀態(tài)，同樣可能會導致信息截取問題的發(fā)生。以及考慮到當前主流的EIM 軟件都提供了腳本編寫功能，雖然方便了企業(yè)用戶實現(xiàn)EIM二次開發(fā)，但是卻會進一步加劇蠕蟲病毒等威脅。

2　加強EIM安全建設

考慮到當前EIM對于企業(yè)工作正常展開的重要價值，加強對其安全建設就顯得格外重要。結合目前該領域的發(fā)展，可以發(fā)現(xiàn)有如下幾個方面，可以作為提升EIM安全水平的工作重點。

2.1加強用戶身份管理

用戶登錄過程中可靠和嚴謹?shù)纳矸蒡炞C，對提升EIM的整體安全有著毋庸置疑的積極作用。如果用戶在進行注冊的時候，已經(jīng)將密碼摘要存入服務器，則可以考慮在SHA-1報文摘要算法的基礎上展開對于登錄驗證的優(yōu)化。首先在客戶端發(fā)起登錄請求的時候，服務器端生成一個隨機值，聯(lián)通登錄界面一同反饋給客戶端，而后在客戶端完成密碼輸入之后，采用SHA-1算法來生成報文摘要1，再和隨機值散列生成報文摘要2，并進行提交。最后，服務器在接到相關數(shù)據(jù)之后，將兩個方面的報文摘要進行對比，進一步來確定是否授權登錄。

2.2加強信息交換安全建設

在EIM環(huán)境中，信息的傳輸和交換是主要的職能，同時也是安全隱患最為嚴重的環(huán)節(jié)。信息傳輸和交換的過程中，必須要保證信息內容不被竊取或篡改，同時要考慮信息傳輸?shù)男蕟栴}，尤其是在工業(yè)環(huán)境之下，很多數(shù)據(jù)都要求強實時性的情況下，實現(xiàn)安全和效率的平衡至關重要。實際工作中需要合理安排加密機制，例如：利用對稱密鑰算法IDEA加密明文，同時采用RSA機制對秘鑰進行加密傳輸，確保信息機密。隨后用MD5生成信息摘要，并且用RSA為摘要簽名，提升簽名速度的基礎之上保證信息不可抵賴特征。諸如此類相關機制，共同構建起完善的EIM安全環(huán)境。

2.3文件傳輸模塊設計安全

對于這一方面，主要是考慮在原有文件傳輸功能的基礎上，附加兩層安全防護技術來進一步保證傳輸?shù)陌踩裕床《緬呙杓夹g和文件加密技術。其中前者能夠有效防止已經(jīng)受到病毒感染文件的進一步傳輸，并且對其進行隔離，保證系統(tǒng)安全。而后者則用于實現(xiàn)面向文件內容的安全保證，使文件處于密文狀態(tài)發(fā)送，用來防止攻擊者竊取文件成功后直接得到文件的真實內容。

3　結 語

EIM必然會隨著組織的發(fā)展不斷深入應用，實際工作中必須對相關安全技術保持敏感，積極分析企業(yè)環(huán)境中的數(shù)據(jù)特征和安全需求，才能有效引入和設置安全技術，保證企業(yè)正常運行。

主要參考文獻

［1］趙雙紅，劉壽強，潘春華.P2P通信網(wǎng)絡安全問題探析［J］.計算機安全，2003（11）.

10.3969/j.issn.1673 - 0194.2016.16.035

TP393.08

A

1673-0194（2016）16-0055-01

2016-07-02