省級北斗地基增強系統信息傳輸安全性研究

馬雨田呂寶奇時紅春蔣達

（ 1.北斗導航與位置服務河南省工程實驗室，河南 鄭州 450003；2.商城縣測繪隊，河南 信陽 465350；3.河南省測繪工程院，河南 鄭州 450003 ）

省級北斗地基增強系統信息傳輸安全性研究

馬雨田1呂寶奇1時紅春2蔣達3

（ 1.北斗導航與位置服務河南省工程實驗室，河南 鄭州 450003；2.商城縣測繪隊，河南 信陽 465350；3.河南省測繪工程院，河南 鄭州 450003 ）

以河南省北斗地基增強系統為例研究衛星導航基站數據傳輸及管理等信息安全相關問題，加大技術投入改善在用通信網絡環境（DDN、SDH、MPLS VPN等），分析數據傳輸加密機、MPLS VPN技術理論基礎、工作原理，以低成本投入，在不改變原來網絡環境的基礎上實現數據安全傳輸、受控管理。

DDN；SDH；加密機

國家測繪地理信息局下發的《關于規范衛星導航定位基準站數據密級和管理的通知》指出，衛星導航普通基站觀測數據包括偽距、載波相位觀測數據、多普勒觀測數據以及服務數據中實時差分數據、基站觀測數據等相關數據受控管理，數據中心很多數據都屬于涉密管理范疇,中心對站點控制指令數據安全是系統安全運行的核心。研究北斗地基增強系統數據傳輸信息安全性，確保數據傳輸的機密性(防竊取)、數據完整性(防篡改)、數據可靠性 (防偽造)至關重要。本文分析了數據傳輸加密機、MPLS(Multi Protocol Label Switching，多協議標記交換)VPN(Virtual Private Network) 技術理論基礎、工作原理，提出了對原有數據傳輸網絡改造的方案，完善解決實現數據安全傳輸、受控管理。

1 地基增強系統網絡環境

河南北斗地基增強系統基站包括國家測繪地理信息局GNSS基準站6個站點，國家陸態網鶴壁浚縣站，新建蘭考縣干部學院站、蘭考縣小宋鄉站、蘭考縣壩頭鄉站都采用SDH專網接入數據中心。SDH（Synchronous Digital Hierarchy，同步數字體系）是基于傳輸網，通過數字復用一次群（基群）傳輸鏈路，提供將語音或數據模擬信號變換為數字信號在信道中進行傳送的寬帶服務。數據傳輸質量高，可靠性高，保密性強，網絡時延小，抗干擾能力強，無噪聲積累，這些方面都很適合北斗地基增強系統數據傳輸基本要求。但是由于數據在整個系統中都是明碼傳輸，包括采集的觀測數據、指令數據，對通信公司內部各系統來說這些數據都是透明的，不能保證傳輸數據可靠性、完整性、保密性。

河南省CORS管理中心與河南省氣象局簽署協議允許HeNCORS基站數據傳輸氣象專網（DDN）連接控制中心，整個系統共有38個站利用氣象專網。DDN是基于數字數據網（Digital Data Network，以下簡稱DDN），利用數字信道提供永久性或半永久性連接電路來傳輸數據信號的服務。DDN由數字信道和數字交叉連接設備（DXC）以及終端組成，可為用戶提供經濟靈活的點到點和點到多點的數字型傳輸通道。DDN網傳輸距離遠、速率高、網絡時延小、保密性好, 是不受任何通信協議約束的全透明網[1]，可支持任何通信協議，從而滿足數據、圖像、話音等多種業務的傳輸需要。由于是明碼傳輸，安全性與SDN類似。與外省連接的基準站，有很多采用MPLS VPN接入的。MPLS VPN專網產品是基于聯通有線IP MPLS骨干網和接入層光纖專線接入體系而推出的集團企業專用產品[2]。該產品運用基于IP的VPN專網技術，提供路由隔離、隱藏MPLS核心結構、抗攻擊、防標記欺騙等安全保障，提供網絡可管理性和可擴展性，提供Qos保障，從而為用戶內部各點之間的專網提供有保障的應用。但由于MPLS VPN 采用因特網開展業務，而因特網給用戶的印象總是不安全的[3]，因此，許多用戶總感覺MPLS VPN安全性遠不如ATM/FR VPN。的確，MPLS VPN目前無法解決所有管理型共享網絡普遍存在的非法訪問受保護的網絡元、錯誤配置以及內部 (包括核心)攻擊等安全問題。

2 數據傳輸加密機

數據傳輸加密機是解放軍信息工程大學導航與空天目標工程學院地基增強系統團隊開發的，基于北斗地基增強系統傳輸數據進行優化處理后，為上層應用提供基礎的信息服務和數據共享服務,從安全角度來增強系統的可靠性,以及數據的完整性和保密性。

2.1 加密機關鍵技術

防竊取:數據加密技術通過使用通用的對稱加密算法和專用的共享密鑰來實現將明文數據變換為不可識別的密文數據來達到對信息的隱藏保護,使得第三方在不知道共享密鑰的情況下即便截取了密文數據也無法獲取數據原文中的任何信息,而合法的數據接受者在獲取到數據密文后可通過對應的解密算法與共享密鑰來對密文數據進行解密從而還原出數據明文。同時為了避免共享加密密鑰的頻繁使用造成密鑰的安全強度降低,通過基于非對稱算法的密鑰協商機制, 可以實現加密密鑰的定時更新,從而進一步增強數據的安全性。數據加密技術安全模型見圖1 。

圖1 數據加密安全模型

防篡改:基于對稱加密技術的消息認證碼，通過通用的技術生成算法使用專用的共享密鑰來從任意長度的數據原文生成定長的MAC值,數據接收方在收到數據與MAC后,通過相同的MAC生成算法與密鑰來計算MAC＇，由于MAC生成算法的特性,改變輸入數據的任意字節數據都會導致生成結果的完全不同,因此通過比較 MAC與MAC＇的一致性即可判定接收數據與發送方發送的數據是否相同。消息驗證碼技術安全模型見圖2。

圖2 消息驗證碼使用示意圖

防偽造: 基于非對稱密碼算法的數字簽名技術,為信息系統中的身份認證提供了完善的技術基礎。在數字簽名技術的模型當中,簽名用的私鑰數據僅由簽名者持有,而用于驗證簽名的私鑰數據可以公開給任何驗簽者,如此僅有私鑰的持有者可使用特定的私鑰進行簽名,而所有人均可對驗證簽名者匹配確認。數字簽名技術安全模型見圖3。

圖3 數字簽名技術安全模型

2.2 設備結構及工作原理

通過在數據中心與數據收集站的前端分別增加一個安全代理模塊來建立一個安全通道,使得在不改變站點接收機與中心數據服務器的軟件硬件結構的前提下,實現系統的業務數據及管理報文在網絡中的安全傳輸,基于密碼技術的特性使得業務數據的機密性、完整性、可靠性同時得到有效的提升,系統組成見圖4。

圖4 信息安全傳輸系統組成示意圖

2.2.1 身份認證

身份認證機制用于站點與數據中心之間進行相互的身份認證。分別向站點與數據中心的安全代理模塊中預裝代表各自身份的數字證書,站點與數據中心建立業務鏈接時相互進行基于數字證書的簽名與驗證來相互確認身份的合法性。在密鑰協商的同時進行基于SM2算法的數字簽名來實現站點與中心間的身份認證,原理參考《SM2橢圓曲線公鑰密碼算法第2部分:數字簽名算法》（GM/T 0003.2―2012）。

2.2.2 密鑰協商

密鑰協商過程是基于非對稱算法中公鑰的公開性以及私鑰的保密性來協商一對一的安全會話密鑰的過程,在此過程中雙方僅交換部分各自的公鑰信息,而最終的會話密鑰均在本地通過私鑰與共享的公鑰信息來計算得出。通過站點與數據中心預置的證書來協商一對一的隨機會話密鑰，可以實現會話密鑰持續的動態更新,從而保障長時間運行的系統不會受到第三方分析會話密鑰的威脅。密鑰協商過程基于預置的國產SM2算法的數字證書使用國產SM2算法來協商出國產SM4算法的會話密鑰,原理參考《SM2橢圓曲線公鑰密碼算法第3部分:密鑰交換協議》（GM/T 0003.3―2012）。

2.2.3 數據加密傳輸

通過持續動態更新的會話密鑰實現站點與中心間的所有通信均處于加密狀態。數據發送方發出的數據經安全代理模塊加密后，發送到接收方安全代理模塊中,接收方安全代理模塊將接收到的密文數據進行解密后發送給接收服務器,從而實現開放網絡環境下安全傳輸通道的建立。使用基于國產SM2算法協商的國產SM4對稱加密算法的會話密鑰來實現業務數據的加密保護,原理參考《SM4分組密碼算法》（GM/T 0002―2012）。

2.2.4 數據完整性校驗

數據完整性校驗通過使用動態更新的會話密鑰來生成業務數據的消息驗證碼,基于消息驗證碼的擴散特性(輸入數據任何字節的修改均會造成輸出結果的變化) 來實現對業務數據的完整性/正確性進行校驗,同時通過具備私密性的會話密鑰的參與來確保報文中附加的消息驗證碼不會被篡改。通過對數據的完整性校驗來保障數據接收方收到的數據沒有經過三方的任何篡改。使用基于國產SM2算法協商的國產SM4對稱加密算法的會話密鑰來完成消息驗證碼的生成,原理參考《SM4分組密碼算法》（GM/T 0002―2012）。

2.3 數據傳輸加密機的工作環境

數據傳輸加密機在不改變原網絡環境下，完成數據的安全傳輸，與SDN、DDN、VPN專線一起使用數據安全性更好。也可以使用任何網絡連接公網，實現數據點對點、點對多點安全傳輸。

3 MPLS VPN技術

MPLS VPN專線基于寬帶IP網絡，采用MPLS技術，在公共IP網絡上構建企業IP專網，實現數據、語音、圖像多業務寬帶連接，并結合差別服務、流量工程等相關技術，為用戶提供高質量的服務。MPLS VPN 是一種“基于公共數據網，給用戶一種直接連接到私人局域網感覺的服務”[4]。由于采用了“虛擬專用網”技術，即用戶實際上并不存在一個獨立專用的網絡，用戶既不需要建設或租用專線，也不需要裝備專用的設備，就能組成一個用戶自己專用的電信網絡，極大地實現了成本的節約。并采用各種技術保證用戶的服務質量(QOS)和服務級別(COS)[5];通過隧道技術、加密和認證技術保護信息安全。

3.1 VPN技術安全性

VPN技術對網絡安全的保護主要有四項技術，具體是身份認證技術、加解密技術、隧道技術以及密鑰管理技術。

3.1.1 身份認證技術

加入VPN的用戶均需通過身份認證，一般采用用戶名和密碼，或通過智能卡來實現。當前使用最廣的身份認證協議是RADIUS，即遠程認證撥號用戶服務，它是一種IP標準協議，可以為分布式撥號網絡的用戶提供集中的IP服務管理、認證以及計費。RADIUS包括服務器與客戶兩部分，簡單地說，是RADIUS客戶通過網絡與主機上的RADIUS服務器進行通信，即RADIUS是基于客戶/服務器模式工作的，該模式的優點在于其允許將所有的安全信息都集中保存在一個中央數據庫中，可以避免數據的分散性，以提高數據傳遞的安全。

3.1.2 加解密技術

VPN利用已有的比較成熟的加解密技術，實現保密通信已不是什么難題，問題的關鍵在于如何經濟合理地利用加解密技術，以提供足夠的網絡安全保障。

3.1.3 隧道技術

隧道技術是VPN能夠在因特網上實現安全傳遞數據的核心，其建立在互聯網基礎設施之上。隧道技術主要是通過隧道協議來實現，隧道協議將其他協議的數據包重新封裝后通過隧道發送，包括二層隧道協議、三層隧道協議。①二層隧道協議用于傳輸二層網絡協議，其主要用于構建撥號VPN。具體是先將各種網絡協議封裝到Point-to-Point Protocol（PPP）中，再將整個數據包裝入隧道協議中，由此形成的數據包通過二層隧道協議進行傳遞。②三層隧道協議主要是用于構建外聯網和內部網。相比較而言，雖然二層隧道協議相對簡單易行，但缺乏內在的安全機制。對于此點，三層隧道協議則具有更高的可靠性和安全性。通常使用的三層隧道協議是IPSec與GRE[6]。

3.1.4 密鑰管理技術

密鑰管理技術主要是IPSec中的ISAKMP/Oakley以及SKIP兩種。其中，SKIP主要使用Diffe-Hellmain算法，是由SUN公司開發的一種技術。密鑰管理技術是建立保密通信與隧道的支撐，其主要任務是保證在公共網絡中如何安全地傳遞密鑰而不被竊取；其功能主要是負責驗證密鑰的真實性，以及密鑰的生成、分發、控制和跟蹤等。對于密鑰的分發，有兩種方法：利用密鑰交換協議動態分發；通過手工配置的方式分發。

3.2 MPLS VPN服務質量

QOS指的是一個網絡對選定的網絡流量提供更好服務的能力。具體內容有：支持專有帶寬；降低丟包率；避免和管理網絡擁塞；設置流量優先級。COS指的是提供差別服務的方法，根據對每個包預先指定的服務級別提供特殊的服務。采用多種技術來保證用戶的服務質量(QOS)和服務級別(COS)。

網通的IP VPN可支持三種優先級的虛擬網絡：白金、金、銀。只有白金級別才能滿足地基增強系統對時間的延遲要求，在提供MPLS VPN的同時也可以采用IPSec加密，二者結合使用。

3.3 關于IPSec VPN

IPSec VPN是采用IPSec技術在互聯網上建立IPSec VPN隧道，來保證基站采集重要數據在互聯網上的傳輸安全[7]。由于IPSec采用了業界先進的加密技術和驗證技術，即使有黑客得到了這些數據，也無法破解和篡改，從而確保了總部分支之間通信的安全。作為一種網絡互聯技術，IPSec VPN組網支持主機與主機、主機與網關、網關與網關之間的互聯，這樣更加適用于控制中心與地基基站之間、數據中心與分中心之間多種形式的VPN接入。此外IPSec VPN擴展性好，可以和L2TP、GRE等隧道協議一起使用，給企業組網提供了更大的靈活性和可靠性。IPSec與L2TP結合使用可以滿足企業移動用戶的VPN接入需求[8]；IPSec與GRE結合使用可以滿足傳遞數據分中心路由的接入需求。

4 DDN/SHN專線與MPLS VPN比較

DDN/SHN專線確定了不同的客戶間是隔離的，因此客戶的數據包在網絡中傳輸時雖然不會被運營商以外的其他客戶截獲，因此數據的傳輸安全性還算較高，但是對于運營商的技術人員，安全就不能保障了，他們是很容易截獲客戶的數據包的[9]。如果在專網中進行明文傳輸，如同將現金放在保險柜里，客戶數據的安全性則是完全建立在對運營商及其員工的絕對信任基礎之上的[10]。VPN技術是基于公共IP網絡的。數據在公共網絡中傳輸，因此也很容易被其他人截獲，那么被截獲的數據怎樣達到安全效果呢？MPLS VPN技術的安全性是通過對數據包進行加密來實現的，其主要技術包括隧道技術、加密技術、密鑰技術、認證技術等。通過對數據進行高位且不可逆的加密，保證數據包即使被他人截獲也無法破譯，從而實現數據的安全傳輸。如同將存折放在抽屜里，客戶數據的安全性依賴于采用的加密技術及其加密的程度。MPLS VPN技術目前已相當成熟，采用IPSec加密后，加密位已可達192位，并有動態密鑰等技術確保其安全性。

5 結論

地基增強系統采用氣象專網（DDN）數據傳輸的安全性升級可以與數據傳輸加密機、MPLS VPN技術、IPSec/PPTP VPN技術配合使用，確保傳輸數據的保密性、完整性、可靠性；采用SDN專網數據傳輸的基站安全性升級與DDN類似；對新增基站考慮可以考慮采用SDN專網配合數據傳輸加密機實現數據加密傳輸，也可采用SDH專網與VPN組建專網VPN，實現基站數據安全傳輸。為了縮減運行成本，除了控制中心，其他站點數據傳輸都可以接入公共網絡，借助數據傳輸加密機或者硬件VPN實現數據安全傳輸。

[1]高飛.淺談DDN在政企行業中實際應用及發展前景分析[J].數字技術與應用,2015(5):42-43,47.

[2]歐陽翅.基于SDN架構的MPLS VPN的設計與實現[D].成都:電子科技大學,2015.

[3]王妍.基于IPSec的VPN系統設計與實現[D].成都電子科技大學,2013.

[4]程思,程家興.VPN中的隧道技術研究[J].計算機技術與發展,2010(2):156-159.

[5]王柱.基于IP城域網的MPLS VPN規劃與性能分析[D].天津:天津大學,2006.

[6]郝輝,錢華林.VPN及其隧道技術研究[J].微電子學與計算機,2004(11):47-51.

[7]徐家臻,陳莘萌.基于IPSec與基于SSL的VPN的比較與分析[J].計算機工程與設計,2004(4):586-588.

[8]蔣東毅,呂述望,羅曉廣.VPN的關鍵技術分析[J].計算機工程與應用,2003(15):173-177.

[9]梁家明.DDN專線連接兩個局域網接入方式的探討[J].廣西大學學報(自然科學版), 2005(S1):91-94.

[10]楊國榮,劉家軍.淺談數字數據網(DDN)[J].現代電子技術,2004(14):21-22,25.

馬雨田（1993―），女，助理工程師，主要研究方向為數據傳輸、信息安全。E-mail:13939603293@qq.com