會計電算化系統信息安全集成解決方案

劉 鵬

(渤海大學 管理學院，遼寧 錦州 121013)

會計電算化系統信息安全集成解決方案

劉 鵬

(渤海大學 管理學院，遼寧 錦州 121013)

網絡的開放性和共享性特征導致會計電算化系統存在著巨大的網絡信息安全風險。結合會計電算化系統的特性，提出了數據信息安全集成解決方案，以方便會計電算化軟件系統開發并同時保證企業財務會計信息安全。該方案運用網絡安全技術和方法，基于USBKey的身份認證流程，通過客戶端與服務器的信息交換實現了雙重認證，基于字段級加密方式，給出了加密/解密流程以及AES高級加密標準算法和基于行為特征分析的木馬監測模型及其閾值判別算法。實驗結果表明，通過身份認證，阻止了非法用戶進入系統；通過數據加密，解決了網絡傳輸和存儲過程中的泄密；通過木馬監測，事先預防可能發生的盜取賬號密碼和數據。該方案可作為軟件開發的依據和參考，有助于提高會計電算化系統的安全性并降低系統軟件的開發成本。

會計電算化系統；信息安全；解決方案；身份認證；數據加密；木馬監測

0 引 言

會計電算化是采用電子計算機替代手工記賬、算賬、報賬以及對會計資料進行電子化分析和綜合利用的現代記賬手段，會計電算化系統在企業信息管理系統中占有非常重要的地位。隨著會計業務與其他業務的結合與擴展，會計電算化已經從單純的核算電算化向管理電算化和決策電算化邁進，利用會計電算化提供的信息輔助管理者制定科學的決策方案。財務會計信息是從會計視角所揭示企業的經濟活動情況，包括財務狀況、經營業績和現金流量等，是企業的機密數據，決定著企業的命運[1-3]。隨著企業信息系統的日益復雜，財務會計信息的共享程度越來越高，數據信息安全成為亟待解決的問題。

網絡具有開放性和共享性的特征，財務會計信息存在嚴重的安全性威脅，除了軟件設計的漏洞和缺陷、計算機硬件系統質量和內部監督管理不完善等原因外，還普遍存在未被授權的人員非法進入系統獲取或篡改會計數據信息、數據在傳輸過程中受到黑客的攻擊使得數據被盜取或泄露、計算機病毒入侵使系統運行出現異常造成數據被泄露或損壞、特洛伊木馬病毒盜取數據或截取賬號和密碼隨意登錄系統等原因，這些情況一旦發生將會給企業造成不可估量的損失。為此，基于網絡信息安全的研究成果，結合會計電算化系統的特性，提出了數據信息安全集成解決方案，以期便于會計電算化軟件系統開發并有效保證企業財務會計信息安全。

1 身份認證

身份認證是進入信息系統的關口，通常使用的靜態密碼(用戶名+密碼)認證方式，方便簡潔，但容易被竊取和重放攻擊，是極度危險的身份認證手段，給管理和安全帶來很大隱患。USBKey是一種USB接口的硬件設備，可以存儲用戶的私鑰以及數字證書，內置的CPU可以實現加密/解密和數字簽名的各種算法，具有成本低廉、性價比高等特點，便于攜帶和使用。同時，USB接口又具有通用性，是目前信息安全領域主要的認證方式[4]。所提出的方案使用基于USBKey的數字證書的身份認證方案，實現客戶端與服務器端的相互認證，完成客戶端與服務器端的雙對話密鑰分配。同時，USBKey采用雙因子認證，必須同時具有USBKey和PIN密碼才能登錄，PIN密碼即使被破解，只要USBKey不被盜用，也無法登錄系統。USBKey身份認證流程如圖1所示。

圖1中，橫向分為客戶端和服務器兩部分，縱向分為三個過程，通過客戶端與服務器的信息交換實現雙重認證[5]。過程1是服務器對客戶端的身份認證，PIN密碼如果輸入正確，客戶端讀取USBKey的證書私鑰，調用USBKey產生隨機數R1，使用證書私鑰對“隨機數R1+服務器身份”生成簽名信息Ma，將Ma和R1發送給服務器；過程2是客戶端對服務器的身份認證，服務器接收到客戶端發送的簽名信息Ma后首先驗證，如果正確，產生隨機數R2，使用服務器端的證書私鑰對“隨機數R2+客戶端身份”生成簽名信息Mb，將Mb、R1和R2發送給客戶端；過程3是實現身份認證過程的抗重放攻擊，避免攻擊者發送一個目的主機已接收過的包來欺騙系統。客戶端接收到服務器發送的簽名信息Mb后首先驗證，如果正確，再比較發送的R1與接收的R1，如果相同，使用證書私鑰對“隨機數R2”生成簽名信息Mc，將Mc和R2發送給服務器。服務器接收到客戶端發送的簽名信息Mc和R2后，比較發送的R2與接收的R2，如果相同，則通過身份認證。

圖1 USBKey身份認證流程

Microsoft的加密應用程序接口(Cryptography API，CryptoAPI)提供了USBKey實現證書私鑰的驗證簽名以及加密/解密等各種操作，通過一組函數完成數學計算，應用程序開發過程中可以直接調用，而不必考慮各種復雜的算法[6]。CryptoAPI應用模型如圖2所示。

圖2 CryptoAPI應用模型

CryptoAPI使用加密服務提供者(Cryptographic Service Provider，CSP)完成加密/解密以及密鑰存儲管理等操作，使軟件開發人員從繁瑣的算法實現和對數字證書的底層操作中解脫出來。每個CSP是獨立模塊，使用多個CSP時，加密函數調用時需要指定具體的CSP。其中，最常用的三個CSP分別是：RSA base CSP，提供了基本的加密函數，所有CSP的通訊都是通過這些函數；ZF Smart Key CSP，提供了對USBKey的各種操作函數；Fortezza CSP，提供了對加密卡的各種操作函數。

2 數據加密

數據庫中的數據信息面臨著來自各方面的威脅，通常使用的防火墻、入侵檢測、審計跟蹤和訪問控制等技術存在若干缺陷，數據加密是彌補這些缺陷和保證數據信息機密的有效方式。加密粒度是數據庫加密的最小單位，按層次結構可分為數據庫級、表級、記錄級、字段級和數據項級。在此選擇了字段級，即只對重要字段信息加密，方式靈活，也適合對數據庫進行頻繁的查詢操作。但對索引字段、進行關系運算的字段和外鍵字段不能加密。數據信息由明文加密成密文后，讀取數據信息時必須將密文解密成明文，因此，數據加密包含了加密和解密兩個過程，其流程如圖3所示[7]。由于不同字段使用不同密鑰，加密過程中要從密鑰庫獲取密鑰，使用加密算法加密數據，然后更新加密字典。加密字典記錄了加密信息，以便解密時獲取該字段的密鑰。

圖3 加密/解密流程

加密算法包括對稱密鑰算法、非對稱密鑰算法和哈希算法。對稱密鑰算法具有計算量小和效率高的特點，選擇對稱密鑰算法的高級加密標準(Advanced Encryption Standard，AES)，算法流程如圖4所示。

AES算法基于排列和置換運算，解密過程是加密的逆操作，按照反的順序進行解密即可恢復明文[8-9]。輪子密鑰由種子密鑰擴展而成，可以增強對算法攻擊的復雜度，加密過程涉及4種操作：字節替代(SubBytes)，通過S盒完成一個字節到另外一個字節的映射；行移位變換(ShiftRows)，實現一個4×4矩陣內部字節之間的置換；列混淆變換(MixColumns)，用一個常矩陣乘以行移位變換后的矩陣，以達到矩陣中每個元素都是該元素原所在列所有元素的加權和；輪密鑰加變換(AddRoundKey)，由種子密鑰通過密鑰編排算法得到輪密鑰，狀態與輪密鑰異或相加。

圖4 AES算法流程

3 木馬監測

木馬(Trojan)是目前比較流行的計算機病毒，隱藏在正常使用的計算機軟件中，具有操控用戶計算機、竊取用戶信息、監視用戶行為和主動發動攻擊等破壞功能。隨著木馬竊密行為的廣泛發生，木馬檢測已成為網絡信息安全領域重要的研究內容[10-11]。通過植入木馬病毒竊取財務數據的事件時有發生，會計電算化系統必須實時監控木馬病毒。通常的基于木馬特征代碼檢測技術滯后于木馬出現，容易產生危險。啟發式掃描技術在特征代碼提取前，檢測具有破壞作用的惡意軟件，是一種事前預防行為。行為特征分析技術是一種啟發式掃描技術，針對預先制定的規則判斷是木馬程序還是正常程序。基于行為特征分析的木馬監測模型如圖5所示[12-13]。

圖5 行為特征分析的木馬監測模型

如圖5所示，木馬監測模型主要由四部分構成：

(1)木馬病毒規則庫，根據已發現的木馬特征碼及特征行為建立，包括關鍵字特征庫和行為字特征庫；

(2)行為特征采集，采用數據挖掘和統計分析方法，針對系統進程、系統服務、啟動項目、網絡端口和文件操作等進行行為采集；

(3)行為特征分析，根據木馬病毒規則庫進行對比，如果匹配則確定為木馬，否則采用閾值判別算法進一步分析；

(4)木馬病毒處理，根據行為類別分為“危險”和“可疑”兩種，“危險”的系統直接刪除，“可疑”的交由人工處理，最后產生監測報告。

閾值判別算法是所提木馬監測方案的關鍵技術，工作原理是：預先設定木馬程序的閾值，對行為特征采集的數據與木馬病毒規則庫進行對比，對于不匹配的數據，計算比較值，通過與閾值比較確定是否為木馬。設可疑行為出現的次數為n，可疑特征值為xi(i=1,2,…,n)，可疑特征值的權重值為ai(i=1,2,…,n)，計算過程分3步：

(1)計算權重值。對于隨機時間序列，通常使用指數平均數指標法(Exponential Moving Average，EMA)，計算結果與樣本值相關，通過推導分解，計算各樣本值的權重[14]。樣本數為n，平滑系數為2/(1-n)，設a=2/(1-n)，則截至當前樣本數的平均值yn為：

yn=a×xn+(1-a)×yn-1

(1)

展開yn-1，得到：

yn=a×xn+(1-a)×a×xn-1+(1-a)2×yn-2

(2)

展開yn-2，得到：

yn=a×xn+(1-a)×a×xn-1+ (1-a)2×a×xn-2+(1-a)3×yn-3

(3)

依此類推，得到：

yn=a×xn+(1-a)×a×xn-1+(1-a)2×a× xn-2+(1-a)3×a×xn-3+…+(1-a)n-2× a×x2+(1-a)n-1×x1

(4)

樣本均值yn由各可疑特征值乘以一個系統后求和得到，這個系數就是可疑特征值的權重，由式(4)可得權重的計算公式為：

ai=(1-a)n-1×a

(5)

當可疑特征值的樣本數量較大時，很容易根據式(5)求出各特征值的權重。

(2)計算比較值。加權平均值的計算公式分別為：

(6)

標準偏差的計算公式為：

(7)

4 結束語

會計電算化是現代化社會大生產與新技術革命相結合的產物，減輕了財務會計人員的工作強度，加快了財務會計信息的處理和傳遞速度。會計電算化系統在發展過程中，存在巨大的網絡信息安全風險，傳統的單一解決方案只能解決某一方面的風險威脅。為此，提出了集成解決方案，以期從多角度、全方位解決會計電算化系統網絡安全問題。文中提出的只是其中一種解決方案，實際開發過程中要根據實際需要，選擇更加切實可行的技術，以提高系統的安全性，降低開發成本。

[1] 王素霞.網絡會計信息系統安全問題研究[J].會計師,2015(17):70-71.

[2] 鄒 穎.會計電算化系統的安全性問題分析[J].哈爾濱商業大學學報:自然科學版,2012,28(3):375-378.

[3] 趙曉瑋.財務系統信息安全架構研究[J].網絡安全技術與應用,2014(12):135-136.

[4] 駱 靜,馬瀟瀟.基于USBKEY的OA系統身份認證方案[J].南京工業職業技術學院學報,2014,14(2):48-50.

[5] 左志斌.一種基于數字證書的USBKey身份認證方案[J].河南科技,2015(9):11-13.

[6] 李 杰,張沛朋.基于CryptoAPI的文件安全交互系統設計[J].大慶師范學院學報,2016,36(3):25-29.

[7] 孟 凱.數據庫加密系統的設計與實現[D].太原:太原理工大學,2012.

[8] 常見加密算法用途、原理以及比較[EB/OL].2016-08-05.http://blog.csdn.net/zuiyuezhou888/article/details/7557048.

[9] Kumar P, Rana S B. Development of modified AES algorithm for data security[J].International Journal for Light and Electron Optics,2016,127(4):2341-2345.

[10] Abualola H,Alhawai H,Kadadha M, et al. An Android-based Trojan Spyware to study the notification listener service vulnerability[J].Procedia Computer Science,2016,83(1):465-471.

[11] Yang X Q,Wei K J,Ma H Q,et al.Trojan horse attacks on counterfactual quantum key distribution[J].Physics Letters A,2016,380(18):1589-1592.

[12] 夏愛民,張宏志,楊偉鋒.基于綜合行為特征的木馬檢測技術研究[J].信息安全與通信保密,2014,36(6):109-113.

[13] 鄒維福,張翼英,張素香,等.基于特征行為分析的木馬病毒檢測技術的研究[J].電信科學,2014,30(11):105-109.

[14] 余冬青.巧用指數移動平均函數EMA分析個股波段[J].佛山科學技術學院學報:自然科學版,2015,33(1):19-22.

Integrated Solutions on Information Security for Accounting Computerization System

LIU Peng

(School of Management,Bohai University,Jinzhou 121013,China)

The openness and sharing of the network lead to the huge network information security risk in the accounting computerization system.Combined with the characteristics of the accounting computerized system,the data information security integration solutions are presented,which is convenient for the system development of the accounting computerization software and ensures the security of the enterprise financial accounting information.It adopts network security technology and methods based on the USBKey identity authentication process,through the information exchange between the client and server for implementation of dual authentication.Based on the field level encryption mode,the encryption/decryption processes,AES advanced encryption standard algorithms,Trojan monitoring models and behavior characteristics analysis and threshold discriminant algorithms are proposed.The experimental results show that adopting identity authentication strategies prevents illegal users from entering the system and adopting data encryption strategies solves the leak in the process of network transmission and storage;adopting Trojan monitoring strategies makes prior preventions for stealing account passwords and data.Therefore the proposed scheme can act as the basis and reference for software development,which is helpful for improvement of the security of the accounting computerized system and reduction of the development cost of system software.

accounting computerization system;information security;integrated solutions;identity authentication;data encryption;Trojan monitoring

2016-08-10

2016-11-15 網絡出版時間：2017-07-05

遼寧省教育科學研究計劃項目(L2014248)

劉 鵬(1979-)，男，講師，研究方向為法務會計及會計電算化。

http://kns.cnki.net/kcms/detail/61.1450.TP.20170705.1650.030.html

TP309

A

1673-629X(2017)08-0135-04

10.3969/j.issn.1673-629X.2017.08.028