企業(yè)即時(shí)通信系統(tǒng)的安全問題研究

企業(yè)即時(shí)通信系統(tǒng)的安全問題研究

1eim穩(wěn)定性安全問題實(shí)時(shí)通信系統(tǒng)（im）是基于internet的網(wǎng)絡(luò)應(yīng)用系統(tǒng)，提供各種實(shí)時(shí)通信的文本、聲音、視頻和視頻。這是繼電話和電子郵件之后迅速普及的下一代通信工具。企業(yè)即時(shí)通信系統(tǒng)(EnterpriseInstantMessenger,EIM)是即時(shí)通信技術(shù)在企業(yè)中的一種應(yīng)用。這種應(yīng)用與電話和電子郵件等應(yīng)用相比,具有使企業(yè)員工溝通更簡單,業(yè)務(wù)協(xié)同性更容易,工作效率更高,企業(yè)運(yùn)行成本更低的優(yōu)點(diǎn)。隨著企業(yè)即時(shí)通信系統(tǒng)的廣泛應(yīng)用,也給企業(yè)帶來了很多安全隱患。EIM系統(tǒng)安全面臨以下幾個(gè)主要問題:(1)、計(jì)算機(jī)病毒傳播的新途徑。許多即時(shí)通信軟件可以將文件通過點(diǎn)對(duì)點(diǎn)隧道直接傳送,不經(jīng)過中繼服務(wù)器,繞過網(wǎng)絡(luò)周邊安全防御設(shè)備,因此依賴于IM技術(shù)的新型網(wǎng)絡(luò)病毒大量滋生。EIM系統(tǒng)和其他IM系統(tǒng)一樣成為各種病毒如蠕蟲,特洛伊木碼等傳播的新途徑。(2)、用戶賬號(hào)和密碼的盜用。目前的EIM軟件一般采用帳號(hào)和密碼驗(yàn)證用戶身份,用戶身份驗(yàn)證成功后即可獲取相應(yīng)服務(wù)。攻擊者很容易通過暴力破解、木馬欺騙等破解方法竊取密碼,登錄后冒充合法用戶和其他用戶進(jìn)行通信,查閱企業(yè)服務(wù)器的信息,進(jìn)而竊取企業(yè)的重要信息。(3)、信息、文件交換的未加密。目前的EIM軟件在交換信息或傳輸文件時(shí)僅僅采用了弱加密甚至明文的方式,非授權(quán)的第三方可以利用此缺陷監(jiān)聽、篡改或者竊取企業(yè)的重要數(shù)據(jù),給企業(yè)造成重大損失。(4)、文件流轉(zhuǎn)未提供完整性和不可抵賴性驗(yàn)證。使用EIM系統(tǒng)能夠使企業(yè)文件在員工之間流轉(zhuǎn)更加容易和快捷,而要使EIM系統(tǒng)能夠真正實(shí)現(xiàn)企業(yè)公文流轉(zhuǎn),數(shù)據(jù)真實(shí)性、完整性和不可否認(rèn)性這一點(diǎn)必須得到保證。目前很多EIM軟件并不提供這項(xiàng)功能。因此,目前迫切需要一種安全高效的機(jī)制來解決EIM系統(tǒng)面臨的安全問題。對(duì)于以上第一個(gè)安全問題,我們可以利用現(xiàn)有的病毒查殺軟件加以解決,而第(2)~(4)問題,本文采用基于PKI的解決方案。公開密鑰基礎(chǔ)設(shè)施(PKI)是在公開密鑰理論和技術(shù)的基礎(chǔ)上發(fā)展起來的一種綜合性安全平臺(tái),能透明地為網(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)所必須的密鑰和證書管理,從而保證網(wǎng)上傳遞信息的機(jī)密、真實(shí)、完整性和不可抵賴性。利用PKI可以方便的建立和維護(hù)一個(gè)可信的網(wǎng)絡(luò)環(huán)境,為企業(yè)即時(shí)通信系統(tǒng)提供可靠的安全保障。2pki平臺(tái)建設(shè)利用PKI平臺(tái)為企業(yè)即時(shí)通信系統(tǒng)提供可靠的安全保障,首先要建立一個(gè)完整的PKI平臺(tái)。本文設(shè)計(jì)在企業(yè)即時(shí)通信系統(tǒng)結(jié)構(gòu)之上架構(gòu)PKI平臺(tái)。2.1服務(wù)器管理型結(jié)構(gòu)企業(yè)即時(shí)通信系統(tǒng)一般采用混合式P2P結(jié)構(gòu),該結(jié)構(gòu)是純分布式模式和集中式P2P模式的結(jié)合。在該結(jié)構(gòu)中服務(wù)器扮演了搜索和輔助建立連接的角色而并不直接提供服務(wù),整個(gè)P2P網(wǎng)絡(luò)由服務(wù)器進(jìn)行管理。這種結(jié)構(gòu)的系統(tǒng)與純分布式和集中式P2P模式相比,兼顧了自由性和安全性,更加易于管理。在混合式P2P結(jié)構(gòu)模型下,EIM用戶之間的通信方式如圖1所示。2.2pki服務(wù)器完整的PKI系統(tǒng)包括認(rèn)證中心CA、注冊(cè)中心RA、數(shù)字證書庫、證書撤消系統(tǒng)和證書應(yīng)用管理系統(tǒng)五大部分,其體系結(jié)構(gòu)是龐大復(fù)雜的。為了便于使用和管理,本文設(shè)計(jì)了一個(gè)簡化的PKI企業(yè)即時(shí)通信系統(tǒng)安全架構(gòu)(如圖2所示),系統(tǒng)主要有PKI服務(wù)器、EIM服務(wù)器和EIM客戶三個(gè)組成部分,PKI功能由PKI服務(wù)器集中完成。PKI服務(wù)器由CA、RA、LDAP數(shù)據(jù)庫和控制模塊四個(gè)部分組成,各組成部分的功能如下:(1)認(rèn)證中心CA:負(fù)責(zé)發(fā)布自身證書,產(chǎn)生和發(fā)布EIM用戶(包括客戶和服務(wù)器)證書;接收和認(rèn)證它所簽發(fā)的證書;接受證書撤消申請(qǐng),發(fā)布證書廢除列表(CRL)。(2)注冊(cè)中心RA:負(fù)責(zé)接受EIM用戶的認(rèn)證請(qǐng)求。通過對(duì)證書申請(qǐng)者的信用度、申請(qǐng)證書的目的、身份的真實(shí)可靠性等問題進(jìn)行審查,驗(yàn)證和鑒別用戶身份,但不實(shí)際簽發(fā)證書。RA一旦確認(rèn)用戶身份就將其轉(zhuǎn)交給CA。(3)LDAP數(shù)據(jù)庫:用于存放EIM用戶證書和證書撤消列表(CRL)并提供相應(yīng)的查詢服務(wù)。(4)控制模塊:負(fù)責(zé)EIM用戶和RA、CA、LDAP數(shù)據(jù)庫的連接并管理整個(gè)PKI服務(wù)器。3基于pgi的企業(yè)通信信息系統(tǒng)解決方案企業(yè)即時(shí)通信系統(tǒng)的PKI架構(gòu)可以方便地解決EIM系統(tǒng)中數(shù)字證書的發(fā)放,身份認(rèn)證,數(shù)據(jù)的機(jī)密性、真實(shí)性、完整性和不可抵賴性等問題。3.1ki服務(wù)器對(duì)eim用戶的身份認(rèn)證EIM用戶(包括客戶和服務(wù)器)在與EIM系統(tǒng)的其他用戶進(jìn)行安全交互之前,首先要生成數(shù)字證書,其向PKI服務(wù)器申請(qǐng)證書的主要步驟如下:(1)EIM用戶向PKI服務(wù)器發(fā)出證書申請(qǐng)請(qǐng)求,并提供用戶個(gè)人身份信息。(2)PKI服務(wù)器對(duì)EIM用戶身份進(jìn)行驗(yàn)證和鑒別,若確認(rèn)其身份真實(shí),則向用戶發(fā)送同意申請(qǐng)的應(yīng)答,并將自己所采用的公開密碼算法(本方案中采用ECC)及算法相關(guān)參數(shù)(曲線定義域、參數(shù)的長度、具體的參數(shù))一起發(fā)送。(3)EIM用戶隨機(jī)生成自己的公私鑰對(duì),將自己的私鑰秘密保存,將公鑰和個(gè)人身份信息一起發(fā)送給PKI服務(wù)器。(4)PKI服務(wù)器為用戶生成數(shù)字證書,將證書加入到LDAP數(shù)據(jù)庫中,并將證書發(fā)給EIM用戶。3.2eim服務(wù)的使用EIM用戶在登錄系統(tǒng)時(shí)需要通過身份驗(yàn)證來證實(shí)真實(shí)身份,通過后才能使用EIM提供的各種服務(wù)。身份認(rèn)證的方法是驗(yàn)證方要求被驗(yàn)證的EIM用戶提供數(shù)字證書,在得到其證書后,驗(yàn)證方用PKI服務(wù)器的公鑰對(duì)證書的合法性進(jìn)行驗(yàn)證。3.3公鑰密碼加密保證EIM消息傳輸?shù)陌踩?通過對(duì)消息進(jìn)行加密實(shí)現(xiàn)。若直接采用公鑰密碼來進(jìn)行加密,其速度和效率是很低的,而采用對(duì)稱密碼進(jìn)行加密的效率相對(duì)較高。本方案采用的方法是采用IDEA對(duì)稱加密算法加密所要傳輸?shù)南?用高效的ECC公鑰加密算法交換對(duì)稱密鑰。3.4文件加密生成EIM用戶之間實(shí)現(xiàn)文件流轉(zhuǎn)的要求是具備機(jī)密性、真實(shí)性、完整性和不可否認(rèn)性。本方案保證文件流轉(zhuǎn)機(jī)密性的方法是采用與消息加密相同的方法對(duì)文件進(jìn)行加密,而保證文件的真實(shí)性、完整性和不可否認(rèn)性則是采用基于ECC的數(shù)字簽名來實(shí)現(xiàn)。文件安全流轉(zhuǎn)過程如圖3所示,其具體步驟如下:(1)發(fā)送方A采用SHA-1算法產(chǎn)生文件數(shù)字摘要,并用自己的私鑰對(duì)數(shù)字摘要進(jìn)行加密生成自己的對(duì)文件數(shù)字簽名。(2)發(fā)送方A獲取并驗(yàn)證接收方B的數(shù)字證書,確認(rèn)接收方B的合法身份;(3)發(fā)送方A隨機(jī)產(chǎn)生IDEA對(duì)稱密鑰并用其對(duì)要文件進(jìn)行加密,從B的數(shù)字證書提取公鑰對(duì)IDEA對(duì)稱密鑰進(jìn)行加密;(4)發(fā)送方A將文件密文、對(duì)稱密鑰密文和對(duì)文件的數(shù)字簽名一起發(fā)送給接收方B。(5)接收方B用自己的私鑰解密IDEA對(duì)稱密鑰密文得到對(duì)稱密鑰,并用對(duì)稱密鑰解密文件密文得到接收文件;(6)接收方B采用SHA-1算法重新產(chǎn)生接收文件數(shù)字摘要(新數(shù)字摘要),用發(fā)送方A的公鑰解密原文件的數(shù)字簽名得到原文件數(shù)字摘要,比較文件新數(shù)字摘要和原數(shù)字摘要,若一致,說明文件發(fā)送者確實(shí)是A,并且在傳輸過程中沒有被破壞或篡改,否則丟棄該文檔。4基于pki的企業(yè)即時(shí)通信安全性架構(gòu)隨著EIM系統(tǒng)的廣泛應(yīng)用,EIM系統(tǒng)安全倍受關(guān)注。本文提出了一種基于PKI的企業(yè)即時(shí)通信系統(tǒng)安全架構(gòu),主要解決了EIM系統(tǒng)的用戶身份認(rèn)證、數(shù)據(jù)加密和數(shù)字簽名等安全性問題。但EIM系統(tǒng)安全是多方面的,為了增強(qiáng)安全性,其他網(wǎng)絡(luò)安全工具如反病毒軟件,防火墻,入侵檢測系統(tǒng),訪問控制系統(tǒng)等也同樣需要。創(chuàng)新點(diǎn):通過對(duì)企業(yè)即時(shí)通信系統(tǒng)安全性分析,提出了一種基于PKI的企業(yè)