中国铁路客票系统网络安全问题的探讨由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“中国网络安全的现状”。
中国铁路客票系统网络安全问题的探讨
一、中国铁路客票发售和预订系统简介
中国铁路现有5155个客运站，日发送旅客300多万人，每天发售数百万张客票。为了提高我国铁路客运现代化水平，铁道部从95年开始在一些大站开始逐步实施计算机联网售票。按照总体规划,整个客票发售和预订系统采用集中与分布相结合的客户机/服务器结构，它由1个全路票务中心、29个地区票务中心及车站电子售票系统三级组成。数据通讯广域网采用已建成的覆盖全国的铁路X.25网（正在扩为帧中继网），局域网采用以太网，使用TCP/IP协议，中国铁路客票系统结构如图一所示。系统软件环境：票务中心为UNIX操作系统与SYSBASE数据库，售票窗口为WINDOWS。整个系统建成后将有几万台微机联网，成为世界最大的铁路售票系统。
中国铁路客票系统将是一个大型有价票证制作和管理系统，它不仅为用户提供本地及远程的购票服务，并且还与其他网络互联提供综合服务，因此必须保证整个系统在各个阶段特别是网络的安全性和可靠性。
二、保证铁路客票系统网络安全的具体措施
对于我国铁路客票系统网络的安全措施必须满足应用系统数据安全性的要求，因而在各级数据库服务器和通信服务器中都应有网络安全措施，应根据不同层次，不同应用设置相同的访问控制、密钥等，并应能留下操作轨迹以备查阅。
1、带包过滤功能的路由器使用
在铁路客票系统网络中，使用带有包过滤器功能的路由器多个，各子网相互隔离开来。各级票务中心的子网均通过这种安全功能的路由器后接入铁道部X.25网或其他外围，包过滤路由器（Package Filte rs Router)是一个可检查通过它的数据包的路由器，它限定外部用户进入局域网的数据包，通常运用IP地址和端口号来限定处理，也就是依照协议按照规则允许某些IP范围的某些端口号通过路由器，同时限定其它IP地址的某些端口号的通过。由于包过滤是在协议“下三层”实现的，包的类型可进行拦截和登录。它通常直接
转发报文，对于用户是透明的，而且速度较快。比起其它类型防火墙来说，它比较容易实现。
2、建立各级网络安全模块
全路各级票务中心所属子系统都应具有网络安全模块。主要由该网络操作系统（NOS），相应主/备机操作系统（OS），和相应数据库管理系统（DBMS）等的安全功能所组成。其中网络操作系统（NOS）的安全功能主要有：安全管理（即物理安全）、访问控制（资源权限）和传输安全（密码技术）、故障管理（即故障检测）、隔离措施、容错实现以及重新加载等技术。监督管理即监督用户程序和文件的使用，识别并阻止非法用户的非法访问，一般是通过系统的日志文件和安全审计功能加以实现。此外，它还配合主机的操作系统（OS）及数据库管理系统（DBMS）的有关安全管理功能共同实现网络安全管理的任务。
一般说来,网络硬件设备安装的同时，提供设备的厂家也将提供网络安全模块，对于应用系统安全功能的设计者主要是选择网络安全模块所提供的功能，匹配主机操作系统（OS）及数据库管理系统（DBMS），再依照应用系统不同层次级别的用户作出相应的规划与设置，综合并协调各安全功能的作用，达到统一的所要求的安全级别。网络安全模块应具备如下基本功能： 用户访问的许可控制、访问监听、病毒预防、安全性管理及出错管理、目录和文件的安全性操作、用户管理系统、备份窗口、事件观察窗口等等。
应用系统设计者应首先了解这些功能使用的条件、方法，然后规划本票务中心所属各用户信息交换的级别分类分组；另一方面，相应地对数据、文件资源赋予不同的使用权限，两者有机地结合，达到安全应用的目的。当然也可以把主体和客体放在一张表里，以矩阵形式构成访问控制。这些是系统安全模块的依据。
3、系统第一道防线棗用户身份识别
凡是用户终端（本地和远程），也包括网络应用系统的维护和管理用终端，要想进入并使用该系统都必须向系统提交其用户标识和口令。系统根据用户标识判断其是否为注册用户;如果是，再根据口令判断其合法性，如果是合法用户，则接受用户，反之拒绝用户。
口令识别是一种低成本、易实现的用户识别技术，在计算机系统内广泛使用。但它也是最容易受到攻击的部分。使用口令机制关键在于不定期更新口令，至于更新周期要看具体应用情况而定，不同的系统可制定不同的动态变化的更新时间，如一般可在3～6个月更新。另外，应将口令加密后再存放。用户注册时，先输入用户的标识和口令，系统将该口令加密，然后与口令表中的口令密文进行比较，若两者相等，表明用户为合法用户。口令的加密算法常采用单向加密算法MD5算法。在UNIX系统中将它加以改进成“口令扩展法”，即把用户注册时间与用户标识组成12位的数字称为保留信息R。保留信息R对每个用户是唯一的。把保留信息R附加到用户口令PW中，作为一个整体加密处理。这样的口令机制既有了动态随机性，又克服了两个相同口令有相同密文的缺陷，较大程度地提高了系统注册的安全性。无论是MD5算法，还是口令扩展方法都包括在主机操作系统之中，供用户选择调用。
4、防火墙的设置
将客票系统的应用服务分为公共信息服务和应用网关代理服务部分，诸如用户对客票系统的查询服务等，这一部分是“公开的”，应方便快捷地向用户提供公共服务信息。
对于客票系统内部的上下级管理，或者用户远程订票等项服务等，则可采用代理服务方式，也就是说，要经过必要的审查，看是允许还是限制，以至禁止某种访问。这样便可以更好地保护系统的安全和系统上数据的安全。铁路内部网络与铁路外部网络要隔离开来，通过 Gate NET这一安全模块即网间防御系统。实际是一组功能完善的防火墙。它的基本安全策略是把内外信息交换分成两大部分，公共信息服务部分和应用网关带领服务部分。将被频繁访问的公共信息服务如查询服务等放在Gate NET内，外部网络上的每个用户都可方便地访问它们，不必经过网关处理，这样有效地减轻了整个系统的负担，提高了网络的效率。
应用网关代理服务提供了铁路内部与外部网络之间的文件传输服务，远程登录服务、电子邮件代理服务等，访问这部分并希望得到相应工作服务要严格受到控制。这样组成的网间防御系统是灵活的，也是安全的。
基于包过滤（筛选路由器）的防火墙，不仅用于铁路客票售票系统网络
设置的多个路由器，还可以将包过滤的防火墙功能用于其它部分，如数据库。
三、网络安全产品的选择
1、保密终端
铁路售票终端可选择插入加密卡（扩展卡）的方式实现保密终端的功能。如FORTEZZA加密卡。基于硬件的加密卡，可以插入宿主平台上，其保密应用于电子邮件（Email)，电子商业及数据交换（EDI）、文件传送、文件存储、远程数据访问、全球网远程识别、数字签名、加盖日戳能力、验证等等。它采用了新一代Copstone芯片，其上嵌有 SKIPJACK加密算法，使用公开密钥密码体制技术，专用密钥只有用户自己保存，该密钥放在PC卡上可防止用户周围的人窃取。它最大的特点在于它能够在FORTEZZA卡上同时进行数据的加密和数字签名。FORTE ZZA加密卡可以集成到保密网中起安全服务器的作用。
像铁路客车售票系统的销售终端可采用加密卡方式，对敏感信息进行保密处理，并由售票员进行数字签名，以防篡改和推卸责任。
2、保密平台的实现
日本NTT公司开发的保密平台（实用软件），可应用于在局域网的客户机棗服务器方式下的办公室自动化业务（OA）中。它具有加密（快速FEAL加密算法）、密钥分配、管理，实体鉴别服务、各种检测等功能，该平台能为各种类型的OA应用程序提供高等级的安全服务，从而增强了在局域网LAN上客户机棗服务器OA业务的安全性。
这种平台具有如下的功能：防止“窃取”数据；非法窥视其它用户终端；沿传输路径窃取数据；非法存取服务器上的数据棗使用加密和访问控制手段。防止“假冒”：未经许可使用其它用户的标识（ID）；未经许可的业务棗使用该公司的实体鉴别技术（ESIGN）及容许校验手段。
在铁路客票售票系统中，各种类型的服务器，各售票站点，城市或地区票务中心的服务器都可以选用这样的保密平台（软件），一揽子解决各种安全要求，并且只需通过简单的应用接口装置即可实现。
3、Windows软件的加密技术
Windows软件已广泛使用，在此环境下的应用软件如何保密、提高安全性呢？其基本加密技术方法是变形法（经过予处理后，变成不可运行程序，但保密性不强）；外壳法（在原软件的外面罩上一层“外壳”，在原软件运行前必须先识别它的键Key，方可运行。但对用户的技术要求较高，好处是不改变原软件，保密性也好）；内嵌法（在原软件内部选择某一个嵌入点，嵌入检测键（Key）的模块，以判断用户的合法性。但实现起来较困难，保密性较好）。一般Windows可执行文件都可使用以上几种方法。
4、RSA通用程序
是电子部华北计算所开发的加密程序。所谓通用即使用了移植性好的C语言实现，它的速度介于汇编语言与其它高级语言之间。由于C语言缺少汇编语言所提供的进位标志位和一些存放结果寄存器的支持，这给构造大数运算带来很大的麻烦。为此，已开发补充了某些特殊机制功能。另外应用程序中全部使用与机型、OS无关的标准库函数，专门开发了符合CCITT建议的哈希（HASH）函数子程序，作为通用程序的可加载模块，以适合于“数字签名”的实现。数字签名作为报文验证的一种手段更强于一般的报文验证，它只有发方本人才能编制的，任何人都能验证的技术手段叫做数字签名。它可以防止报文的篡改和抵赖。
5、DataCryptor 64E数字包端---端保密机
这是英国RACAL公司生产的X.25网络的数字保密机。用于保护经公用和专用包交换网传输的敏感而有价值的信息。在传输之前将数据加密，加密后的数据经网络传输，在其终点予以解密。
主要特性：安全的密钥管理系统；DES或专利加密算法；广泛的故障诊断；告警报导；备有电池存贮器保护；可供选择的接口；支持多至256个虚拟电路；前面板可编程程序等。
四、防火墙产品的选择
1、用于公用电话网远程访问的防火墙产品：
Modem Security Enforcer,它可保护内部网络免遭来自调制解调器和公用电话网的非法入侵。
2、Dgital对UNIX的防火墙
Digital防火墙中所使用的技术已经对Digital公司800个节点的网络进行了5年的保护。铁路系统的计算机设备中有不少配置了UNIX系统。
3、IBM Internet安全网络网关
它是一个功能极强的安全网络网关。它支持高级包过滤、报警地址和RS/6000应用网关代理，还支持标准密码、SecurceNET卡。SecarI D卡的几种用户身份验证。安全网络网关自动执行安装的强化过程，禁止不可信任的UNIX和TCP/IP服务和协议。
4、NetGate
工作于SPARC（Solaris Or Sun os）平台上。它基于规则的包过滤监控TCP/IP网络上的活动。主要优点是高速度和低价格。
5、Private Internet Gxchange(pix)Firewall
它采用地址转换来保护内部网络。这一设备在Windows95环境下配置，对用户没有任何影响。它同时支持16000个连接。执行地址转换速率达45Mbps。中国铁路客票发售和预订系统是高新技术的集成，是一项非常复杂的系统工程，我们在这方面的研究只是一部分，许多还需要在应用中得到改进，我们希望中国铁路客票发售和预订系统日益完善，达到我们希望的总目标。
