太湖流域水環境數據資源中心的數據安全傳輸方案

許蓉 陳高

摘? 要：隨著我省太湖流域水環境管理數據資源中心的不斷建設完善，數據資源中心數據傳輸愈加頻繁，鑒于生態環境監測監控數據的敏感性，確保數據安全尤為重要。數據傳輸各個環節都面臨著安全挑戰，為兼顧基于大數據的通信的安全性和效率性，分析了數據傳輸過程中的安全風險，提出了一套包含身份認證的數據安全傳輸方案，對方案進行了安全性分析并提出安全建議。

關鍵詞：水環境? 數據資源中心? 數據安全? 身份認證? 非對稱密碼

中圖分類號：P208? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A? ? ? ? ? ? ? ? ? ? ? 文章編號：1674-098X（2020）08（b）-0129-03

Abstract： With the continuous construction and improvement of water environment management data resource center of Taihu Lake Basin in our province， the data transmission of data resource center is more and more frequent. In view of the sensitivity of ecological environment monitoring and monitoring data， it is particularly important to ensure data security. Each link of data transmission is faced with security challenges. In order to take into account the security and efficiency of communication based on big data， this paper analyzes the security risks in the process of data transmission， puts forward a set of data security transmission scheme including identity authentication， analyzes the security of the scheme and puts forward security suggestions.

Key Words： Water environment; Data resource center; Data security; Identity authentication; Asymmetric password

為實現太湖流域水生態環境智慧化監管，我省集成太湖流域水環境管理各類數據，構建了統一的太湖流域水環境管理數據資源中心。該數據資源中心構建了完善的數據整合、交換與共享體系，實現了多元異構數據的統一管理，為太湖流域水環境數據分析及智慧監管提供了數據支撐。

然而太湖流域水環境數據敏感復雜，對傳輸過程中的安全性有著較高的要求。本文從太湖流域水環境數據資源中心的平臺架構出發，重點介紹了數據傳輸過程中面臨的安全挑戰，針對數據中心數據傳輸頻繁、量大以及數據敏感等問題設計了基于密碼的身份認證和加密傳輸方案。

1? 太湖流域水環境數據資源中心建設現狀

太湖流域水環境數據資源中心圍繞太湖流域水生態管理需求，以摸清太湖流域水環境數據資源底數為目標，制定了太湖流域水環境管理統一的數據管理標準，建設了水環境資源目錄;針對數據的多源異構特點，研究形成了一套多源異構數據清洗、融合與處理技術，構建了完整的數據整合、交換與共享體系，保障數據的及時性和準確性，實現了多源異構數據的統一管理。

太湖流域水環境數據資源中心基于基礎設施平臺，建設了采集交換、數據存儲、數據管理、數據服務、數據應用等功能，實現數據資源化、資源標準化、服務共享化、報表智能化四個目標，集成傳輸了環境生態功能區劃、環境與生態標準、流域水環境信息、水質目標管理、污染物總量控制、區域資源補償、排污權交易、各類環境管理數據以及氣象、工商、水利等涉太部門各類監測監管數據?？傮w功能架構如圖1所示。

2? 太湖流域水環境數據資源中心的安全挑戰

在大數據環境下，鑒于生態環境監測監控數據的敏感性，因此數據從采集、存儲到傳輸的每個環節都面臨著安全挑戰，尤其是數據傳輸環節[1]。太湖流域水環境數據資源中心面向各個不同的部門用戶，從數據的上傳到數據的下載使用，用戶與中心之間存在大量的數據傳輸過程，然而明文傳輸過程面臨著極大的數據泄露風險，一方面用戶身份易遭冒用，二方面數據在傳輸過程中易被第三方明文截獲，因此如何驗證用戶身份并確保數據傳輸過程的安全顯得十分重要。

3? 數據安全傳輸方案設計

在虛擬的互聯網世界中，要想保證通信的可信和可靠，首先，必須正確識別通信雙方的身份，這就要依賴于身份認證技術，目的在于識別用戶的合法性，從而阻止非法用戶訪問系統[2]，其次，必須對會話數據進行加密，確保數據安全。現代密碼學中的非對稱密碼算法通?？梢杂脕斫鉀Q實際的身份認證問題，主流的算法有RSA、DSA、ECC等。非對稱密碼算法采用一對密鑰：一個公鑰（Public Key）和一個私鑰（Private Key），一對公私鑰存在數學相關，并且互為解密密鑰，私鑰是身份憑證，必須保障安全，而公鑰則可以公開[3]。但非對稱密碼運算代價高，加解密效率遜于對稱密碼算法，因此不適用于大數據量的加密傳輸。

為兼顧數據傳輸的安全性和高效性，通信雙方在身份認證階段采用非對稱加密方式實現，而在會話階段則采用對稱加密方式實現。數據傳輸的安全通信流程如圖2所示，為防止數據中心資源遭到非授權訪問，首先需要由數據中心的自建CA（證書授權服務器）向用戶簽發身份憑證來完成對用戶的訪問授權，其中身份憑證即為CA認證的用戶公鑰證書;用戶獲取授權之后，每次訪問數據中心需先完成身份認證才能獲取數據資源。

身份認證協議采用RSA-2048非對稱密碼算法，會話數據加密采用AES-128對稱密碼算法，涉及的術語及符號如下：

S：太湖流域水環境數據資源中心（服務器端）

C：用戶（客戶端）

Certs：服務器公鑰證書

Kpbs：服務器公鑰

Kpvs：服務器私鑰

Certc：客戶端公鑰證書

Kpbc：客戶端公鑰

Kpvc：客戶端私鑰

K：會話密鑰

Message：會話消息

身份認證協議如下：

（1）C→S：Certc。

客戶端向服務器發送訪問請求，消息包含客戶端自己的公鑰證書Certc。

公鑰證書由可信任CA簽發，具有有效期限制，在有效期內可由簽發CA吊銷，因此服務器端獲得客戶端公鑰證書Certc后，可通過CA查詢驗證Certc的有效性。

（2）S→C：{Ns，Certs}Kpbc。

當服務器端獲得客戶端公鑰證書Certc并驗證通過后，提取Certc中的客戶端公鑰Kpbc和用戶相關身份信息，并向客戶端返回應答消息，消息包含隨機數挑戰Ns和自己公鑰證書Certs，并采用客戶端公鑰Kpbc加密。

（3）C→S：{Ns，Nc}Kpbs。

客戶端用私鑰Kpvc解密收到的應答密文，獲取服務器端的公鑰證書Certs和隨機數Ns，并提取Certs中的服務器端公鑰Kpbs;客戶端生成新的隨機數挑戰Nc，將Ns和Nc采用服務器端公鑰Kpbs加密后，發送至服務器端。

（4）S→C：{Nc，K}Kpbc。

服務器端用私鑰Kpvs解密收到的密文，獲取Ns和Nc兩段隨機數挑戰，并驗證Ns與步驟（2）中所發送的Ns是否一致，如果一致，則確認客戶端持有對應私鑰，認證客戶端身份合法;服務器端隨機生成會話密鑰K，將Nc和K采用客戶端公鑰Kpbs加密后，發送至客戶端。

（5）C→S：{Message}K。

客戶端用私鑰Kpvc解密收到的密文，獲取Nc和K，并驗證Nc與步驟（3）中所發送的Nc是否一致，如果一致，則確認服務器端持有對應私鑰，認證服務器端身份合法;客戶端與服務器端后續會話采用對稱密鑰K進行加解密，且K僅有會話雙方知曉。

4? 安全性分析及建議

本文采用基于非對稱密碼的身份認證協議，身份認證過程中僅客戶端公鑰證書采用明文傳輸，其余消息均采用接收方公鑰加密，因為只有私鑰才能解密公鑰加密數據，因此每條消息只有接收方可以用自己的私鑰解密獲取，即使消息被截獲，第三方也會因沒有對應私鑰而無法解密，從而確保了數據的機密性?？蛻舳撕头掌鞫司驅Ψ桨l送隨機數挑戰，若對方能正確返回所接收的隨機數，則證明對方是公鑰證書對應私鑰的持有者，從而最終確認對方的身份合法。會話密鑰由服務器端生成，采用客戶端公鑰加密，只有客戶端能解密獲悉，確保了會話密鑰的機密性，從而加強了會話通信的安全。

非對稱密碼中公鑰可以公開，而私鑰必須嚴格保護，私鑰如果泄露，盜取私鑰者即可冒充私鑰原持有者的身份，因此本文方案中用戶和數據中心均須妥善保存自己的私鑰才能確保數據訪問傳輸的安全性。如果用戶和數據中心發現私鑰泄露，可重新生成新的公私鑰對，并至CA完成新公鑰的注冊認證，CA則將舊公鑰證書撤銷。

5? 結語

本文介紹了太湖流域水環境數據資源中心的建設現狀，針對環境數據的敏感性特征設計了數據安全傳輸方案，提出了一個基于非對稱加密算法RSA的身份認證協議，并選用對稱加密算法AES實現會話數據的加密傳輸，兼顧了數據傳輸的安全性和效率性。

參考文獻

[1] 陳紅松，韓至，鄧淑寧.智慧城市中大數據安全分析與研究[J].信息網絡安全，2015（7）：1-6.

[2] 楊新歡.面向電網變電站導航安全服務系統[D].貴州：貴州大學，2019.

[3] 王開林，劉伯駒，崔鵬飛，等.基于非對稱密碼算法的身份認證技術研究與實現[J].警察技術，2015（6）：54-56.

[4] 尹卓超.基于屬性加密的醫療物聯網數據傳輸技術研究[D].上海：華東師范大學，2019.

[5] 韓孜怡.面向移動云計算的用戶認證和安全傳輸研究[D].西安：西安電子科技大學，2018.

[6] 戴菲菲.面向云計算的車載網數據安全傳輸協議研究[D].上海：華東師范大學，2018.