0 引言

隨著信息技術的快速發展,以及信息化的普及建設,電力企業信息化業務系統規模不斷擴大,除了內網的日常辦公系統外,還有一些連接互聯網的外網業務系統。

一般系統通常使用超文本傳輸協議^[1-2]（Hyper Text Transfer Protocol,HTTP）,數據在傳輸中以明文形式途經多個節點,在任意傳輸節點都能捕捉到所傳輸數據的信息,數據傳輸的不安全性使企業面臨以下安全隱患：

1）業務應用的配置信息可能被破壞、篡改或竊取,造成用戶和業務應用的敏感信息泄露;

2）傳輸的數據可能被劫持,從而受到木馬、惡意代碼的攻擊,導致業務系統癱瘓,用戶無法正常訪問。

電力系統承載著能源安全的重大責任,其數據保密性是電網平穩運行的基礎。本文針對電力業務系統中的數據安全威脅,提出了基于安全超文本傳輸協議（Hyper Text Transfer Protocol over Secure Socket Layer,HTTPS）的加密傳輸方案,并利用現有信息外網安全防護體系,通過內置安全套接層（Secure Sockets Layer,SSL）證書,對HTTPS進行協議加解密分析,研究HTTPS加密協議的安全防護技術。

 1 研究背景

1.1 HTTPS協議

HTTPS協議是HTTP協議的安全版本,即在HTTP和TCP層增加了一個加密/身份驗證層SSL,用于在客戶端和服務器之間交換信息。HTTPS和HTTP使用完全不同的連接方式,端口也不一樣,HTTP的端口為80,HTTPS端口為443。HTTPS使用SSL協議進行信息交換^[3-4],通過應用數據加密算法和CA證書等技術,保證所傳輸數據的保密性和完整性,實現通信雙方的互相身份認證。

1.2 SSL協議

SSL協議即安全套接層協議,是為網絡通信傳輸提供安全通道以及確保數據完整的一種安全協議。SSL在傳輸層對網絡連接進行加密,用于保障網絡數據傳輸安全^[5-7]。利用數據加密技術,可確保數據信息在網絡傳輸過程中不會遭到泄密和篡改。SSL協議已成為全球化標準,主流瀏覽器和Web服務器程序都支持SSL協議,可通過安裝SSL證書激活SSL協議。本文主要針對廣泛應用的SSL協議進行研究。

 2 SSL協議安全性分析

2.1 SSL協議主要功能

SSL協議是HTTPS安全通信的根本,SSL協議是面向TCP連接的傳輸協議^[8-12],其提供的連接的安全性主要具有以下3個特性：

1）數據傳輸的保密性：SSL 協議使用雙方協商過的加密算法和密鑰對傳輸的數據進行加密,保證該數據內容不被竊聽者識別;

2）通信雙方身份真實性：SSL 協議可提供對客戶端以及服務器的身份驗證,保證對方的身份不是偽造的;

3）傳輸數據的完整性：通過消息摘要算法和密鑰對傳輸內容進行驗證,保證客戶端和服務器雙方收到的數據不是被篡改的。

2.2 SSL協議網絡結構

SSL協議位于 TCP/IP 協議和各種應用層協議之間。SSL協議由兩部分組成,其中上層為傳輸提供身份認證、加密和防篡改功能,包括握手協議、更改加密規格協議和報警協議;下層為記錄協議。SSL協議網絡結構如圖1所示。

圖1 SSL協議網絡結構Fig.1 The network structure of SSL protocol

1）握手協議是完成加密的重要步驟。SSL 通過握手協議來維護客戶端與服務器端之間的會話連接,為數據傳輸建立安全的傳輸通道。握手協議的功能包括：提供通信雙方的身份認證機制;協商確定數據傳輸所使用的的密鑰和加密算法;為保證數據的完整性和可靠性,協商雙方針對信息的鑒別算法,從而完成“安全握手”過程。

2）報警協議用來通知通信雙方在SSL數據傳輸過程中的的意外事件,如果收到重大警告事件,則建議立即終止數據傳輸。

3）客戶端和服務器發送更改加密規格協議報文來通知對方,之后的傳輸通過之前協商的加密算法套件和密鑰來加密。

4）記錄協議負責接收傳輸的應用報文,進行數據處理 （分片、壓縮、添加 MAC、加密）,完成一系列的加密、確保完整性的封裝記錄,最后增加記錄報頭,并將信息交由 TCP/IP 傳輸。

2.3 SSL協議安全技術

在SSL通信過程中,利用數字證書來確認通信雙方的身份,采用非對稱密鑰技術交換身份認證信息,通過對稱密鑰技術交換服務器和客戶端之間用于加密數據的會話密鑰,然后根據協商后的密鑰對通信過程進行加密和解密,確保數據安全^[13-16]。數據完整性驗證則依賴于消息摘要算法。

SSL傳輸數據使用對稱加密技術來確保數據安全性。對稱加密技術使用對稱密鑰和加密算法,發送方使用密鑰K1對原始數據進行加密,然后將密文發出;接收方通過使用相同的密鑰和加密算法的反向形式,將被加密數據重新還原。加密之后,只有知道加密算法和會話密鑰才能得到正確的原始數據。對稱加密算法流程如圖2所示。

圖2 對稱加密算法流程Fig.2 Symmetric cryptographic algorithm

SSL協議的用戶驗證主要通過數字證書來實現,使用非對稱密鑰技術加密證書中的數字簽名,來完成通信雙方的身份驗證。非對稱加密算法使用了一對密鑰：公鑰K1用來加密信息;私鑰K2用于解密信息。利用私鑰K1和非對稱加密算法來對數字簽名進行加密,并且連同相應的公鑰一起通過數字證書發送。接收方驗證公鑰后,使用私鑰K2和非對稱加密算法還原該消息摘要的明文,完成身份驗證。非對稱加密算法流程如圖3所示。

圖3 非對稱加密算法流程Fig.3 Asymmetric cryptographic algorithm

SSL 協議使用的消息摘要算法為哈希算法（HMAC）,接收端通過計算數據的哈希值,對比收到的哈希值,根據對比結果判斷數據的完整性。

 3 HTTPS協議工作流程

基于HTTPS協議的應用系統,其應用系統服務器和客戶端之間的通信過程如圖4所示。

圖4 HTTPS協議工作流程Fig.4 The work flow of HTTPS

具體流程如下：

1）客戶端向服務器發出HTTPS連接請求,客戶端連接到服務器的 443 端口;

2）服務器端將身份認證證書以及證書的相關信息反饋到客戶端;

3）客戶端驗證服務器端發送過來的證書是否有效、可信,如有異常則彈出警告,如正常則繼續進行握手協議;

4）客戶端生成隨機的會話密鑰,用公鑰對此隨機密鑰進行加密,并進行數字簽名,然后將自身的認證證書以及客戶端簽名、加密數據發給服務器;

5）服務器通過會話密鑰、客戶端簽名、客戶端證書來確定對方身份;

6）完成一系列認證后,雙方身份確認無誤,通信兩方可使用商討后的密鑰對通信數據進行加密,建立安全的信息傳輸通道。

 4 HTTPS在電力系統的應用前景及缺點

4.1 電力系統應用前景

傳統的 HTTP 協議使用明文傳輸數據,信息很容易被竊聽、篡改,而HTTPS協議則經過了用戶與服務器的身份驗證,來確保傳輸方向的準確性,并采用數據加密方式來防止數據被截取竊聽,大大降低了惡意攻擊者盜取數據、篡改信息的風險。HTTPS協議可以實現數據的保密性、可靠性以及通信雙方的身份認證。電力系統中包含很多敏感信息,且涉及到網上繳費等和利益相關的用戶信息,使用HTTPS這種安全的數據傳輸方式的意義尤其重要。

目前電力交易系統是使用HTTPS進行數據加密傳輸的,但仍有大量存儲敏感信息的信息系統使用明文數據傳輸,無論是外網還是內網應用,都存在極大的安全隱患。使用HTTPS加密傳輸模式,一是可以保障業務系統數據交換過程中的信息安全性和可靠性;二是可防止惡意攻擊者利用偽裝身份對業務系統服務器進行破壞;三是在涉及交易以及客戶信息的信息系統中使用HTTPS加密傳輸協議,可以確保信息在傳輸過程中不會泄密。

4.2 HTTPS的缺點

HTTPS并不是一勞永逸確保安全的方法,存在以下幾個問題。

1）應用HTTPS會降低移動互聯網應用的響應時間,一系列認證過程會降低用戶的訪問速度,增加網站服務器的計算資源消耗。

2）采用 HTTPS 協議的服務器必須要有一套數字證書,數字證書是網絡通信雙方用來識別對方身份的工具,可提供身份驗證機制。可信認的數字證書由權威部門頒發,即CA證書,CA負責發放和管理數字證書,作為受信任的第三方,承擔對證書使用者合法身份進行驗證的責任,數字證書需要購買。

3）HTTPS不能應對黑客攻擊、拒絕服務攻擊等威脅,惡意攻擊者也可以利用加密協議來隱藏數據內容,躲避防火墻識別。黑客可通過加密隧道逃避網絡管理,使防火墻無法對局域網外部傳播進來的木馬、病毒做出識別,進而危害客戶主機的安全。

綜上所述,HTTPS對于企業和用戶而言,雖然會導致訪問速度變慢且需要資金維護,但同信息安全相比還是利大于弊。

 5 電力系統針對HTTPS的安全防護設計

5.1 現狀分析及設計思路

HTTPS雖然能夠對網站的應用層數據進行加密,但傳統設備（入侵檢測、防火墻、入侵防御、負載均衡等）不能識別隱含在加密報文中的攻擊,更無法對其檢測。例如負載均衡器無法提取用戶加密會話中的cookies、URL路徑等信息進行細化的分發調度。

本文提出的HTTPS安全防護解決方案是利用電力應用系統原有的網絡安全防護體系,通過研究SSL協議卸載加密的方法以及內置SSL證書的方式,對HTTPS傳輸協議進行加解密分析,最終實現對HTTPS協議的安全防護。

鑒于SSL加密運算對服務器的計算資源占用極大,如果由應用服務器來進行加解密處理,會對其業務處理能力造成很大影響。