基于智能卡技術(shù)的企業(yè)安全郵件系統(tǒng)
文章出處：http://xianjuhong.com 作者：劉東利，孫宏偉，顧明 人氣： 發(fā)表時(shí)間：2011年10月09日
引言
隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，電子商務(wù)、企業(yè)&’(、電子郵件等網(wǎng)絡(luò)服務(wù)在各行各業(yè)都得到了積極的推廣，其中企業(yè)郵件服務(wù)是使用最為廣泛、也最為用戶所熟悉的。郵件服務(wù)具有比較長(zhǎng)的歷史，由于當(dāng)時(shí)使用環(huán)境的限制，在最初設(shè)計(jì)體系結(jié)構(gòu)時(shí)沒(méi)有過(guò)多地考慮安全問(wèn)題，導(dǎo)致現(xiàn)在大部分的企業(yè)郵件系統(tǒng)結(jié)構(gòu)比較簡(jiǎn)單，存在比較多的安全隱患。目前郵件在存儲(chǔ)和傳輸過(guò)程中都是基于明文的，僅有的安全機(jī)制就是對(duì)用戶訪問(wèn)權(quán)限的管理，網(wǎng)絡(luò)入侵者可以非常容易地通過(guò)網(wǎng)絡(luò)監(jiān)聽(tīng)或者侵入郵件服務(wù)器來(lái)竊取重要的郵件信息。
為了解決郵件在存儲(chǔ)和傳輸過(guò)程中的安全問(wèn)題，數(shù)據(jù)加密、數(shù)字簽名)%，!*等安全技術(shù)已經(jīng)應(yīng)用到了企業(yè)郵件系統(tǒng)中。這些技術(shù)雖然保證了郵件在傳輸和存儲(chǔ)的過(guò)程中是基于密文的，但是用來(lái)對(duì)郵件加密和數(shù)字簽名密鑰的安全問(wèn)題并沒(méi)有解決。目前這些密鑰基本上存儲(chǔ)在郵件的收發(fā)終端或者中央服務(wù)器上，隨著網(wǎng)絡(luò)攻擊技術(shù)的發(fā)展，如此保存用戶密鑰的方法將會(huì)對(duì)郵件系統(tǒng)的安全產(chǎn)生嚴(yán)重的威脅。智能卡不僅可以存儲(chǔ)密鑰、證書(shū)、用戶數(shù)據(jù)等敏感信息，保證機(jī)密信息的硬件級(jí)別防止篡改，而且可以在卡內(nèi)對(duì)數(shù)據(jù)進(jìn)行加密、解密以及簽名、驗(yàn)證簽名運(yùn)算。文章提出了基于智能卡技術(shù)的企業(yè)安全郵件系統(tǒng)，該系統(tǒng)在郵件收發(fā)終端引入智能卡技術(shù)，保證了密鑰等機(jī)密信息的安全，有效地解決了現(xiàn)有郵件系統(tǒng)在加密、解密以及簽名、驗(yàn)證過(guò)程中的安全問(wèn)題。
相關(guān)技術(shù)
郵件服務(wù)系統(tǒng)
目前企業(yè)的很大一部分信息都是通過(guò)辦公自動(dòng)化系統(tǒng)的郵件服務(wù)來(lái)傳遞，而這些郵件服務(wù)通常是基于( 協(xié)議的標(biāo)準(zhǔn)互聯(lián)網(wǎng)郵件服務(wù))，或者是基于數(shù)據(jù)庫(kù)技術(shù)的企業(yè)內(nèi)部網(wǎng)絡(luò)郵件服務(wù)。
對(duì)于基于( 協(xié)議的標(biāo)準(zhǔn)互聯(lián)網(wǎng)郵件服務(wù)，郵件是采用存儲(chǔ)轉(zhuǎn)發(fā)機(jī)制進(jìn)行傳輸，但在傳輸?shù)恼麄€(gè)過(guò)程中，郵件的標(biāo)題和內(nèi)容都是基于明文的，這樣帶來(lái)的安全問(wèn)題是：一方面攻擊者可以通過(guò)網(wǎng)絡(luò)偵聽(tīng)，獲取到敏感信息；另一個(gè)方面，暫時(shí)存儲(chǔ)在郵件服務(wù)器上的郵件也很可能被攻擊者竊取。基于( 協(xié)議的標(biāo)準(zhǔn)互聯(lián)網(wǎng)郵件服務(wù)中郵件傳輸?shù)穆窂饺鐖D所示，用戶, 通過(guò)用戶代理程序書(shū)寫(xiě)郵件，然后代理程序?qū)⑧]件發(fā)送到本地郵件傳輸服務(wù)器，本地郵件服務(wù)器再通過(guò)一定的路由傳輸?shù)竭_(dá)對(duì)方用戶2 的服務(wù)器；用戶2 可以通過(guò)代理程序從服務(wù)器上取回發(fā)給他的郵件，這樣用戶2 便可以閱讀郵件了。從中可以看出開(kāi)放的網(wǎng)絡(luò)環(huán)境對(duì)郵件的傳輸和存儲(chǔ)產(chǎn)生嚴(yán)重的安全威脅。
對(duì)于基于數(shù)據(jù)庫(kù)技術(shù)的企業(yè)內(nèi)部網(wǎng)絡(luò)郵件服務(wù)，郵件的發(fā)送和接收過(guò)程如圖所示，這種體系結(jié)構(gòu)對(duì)于大數(shù)據(jù)量的企業(yè)級(jí)郵件服務(wù)是非常適合的，具有速度快、穩(wěn)定性高的優(yōu)點(diǎn)。但是，郵件除了在傳輸過(guò)程中存在網(wǎng)絡(luò)監(jiān)聽(tīng)安全威脅之外，安全隱患還存在于郵件服務(wù)器的操作系統(tǒng)或者數(shù)據(jù)庫(kù)系統(tǒng)本身的漏洞以及配置方面的疏忽。郵件的標(biāo)題和內(nèi)容以明文的形式存儲(chǔ)在數(shù)據(jù)庫(kù)中，一旦攻擊者侵入數(shù)據(jù)庫(kù)系統(tǒng)，這些內(nèi)容將完全處在攻擊者的控制之下。
現(xiàn)有郵件系統(tǒng)的安全解決方案
以明文形式存在的郵件在傳輸和存儲(chǔ)的過(guò)程中都是不安全的，這樣的安全問(wèn)題可以通過(guò)對(duì)郵件進(jìn)行加密來(lái)解決。如果采用對(duì)稱密鑰加密，假設(shè)企業(yè)郵件系統(tǒng)用戶數(shù)為n，那么整個(gè)企業(yè)要維護(hù)"個(gè)密鑰，這在用戶數(shù)小的情況下是適合的，但在企業(yè)環(huán)境下，用戶數(shù)目非常大，使得密鑰的日常維護(hù)、更新和發(fā)布的工作量非常大。
非對(duì)稱密鑰加密技術(shù)雖然保證了郵件在傳輸和存儲(chǔ)的過(guò)程中是基于密文的，但是用來(lái)對(duì)郵件加密和數(shù)字簽名密鑰的安全問(wèn)題并沒(méi)有解決。目前這些密鑰基本上存儲(chǔ)在郵件的收發(fā)終端或者中央的+, 服務(wù)器上，隨著網(wǎng)絡(luò)攻擊技術(shù)的發(fā)展，如此保存用戶密鑰的方法將會(huì)對(duì)郵件系統(tǒng)的安全產(chǎn)生嚴(yán)重的威脅。
智能卡技術(shù)
智能卡是一種為特定應(yīng)用而開(kāi)發(fā)的硬件和軟件相結(jié)合的設(shè)備，可以安全地存儲(chǔ)密鑰、證書(shū)、用戶數(shù)據(jù)等敏感信息，實(shí)現(xiàn)機(jī)密信息的硬件級(jí)別防止篡改。智能卡芯片在很多的應(yīng)用中可以獨(dú)立完成加密、解密、身份認(rèn)證、數(shù)字簽名等對(duì)安全敏感的計(jì)算任務(wù)，從而能夠提高應(yīng)用系統(tǒng)抵抗病毒攻擊以及防止敏感信息的泄露。
智能卡的核心是一塊微型芯片，包括處理器、存儲(chǔ)器、操作系統(tǒng)和固化的應(yīng)用程序，實(shí)際上可以理解為一個(gè)沒(méi)有專門(mén)的輸入和輸出設(shè)備的計(jì)算機(jī)系統(tǒng)。根據(jù)其內(nèi)部不同的軟硬件體系結(jié)構(gòu)，可以細(xì)分為如下四種類型：
存儲(chǔ)卡：僅是一種簡(jiǎn)單的存儲(chǔ)設(shè)備，不能進(jìn)行相應(yīng)的卡內(nèi)計(jì)算，其在有安全需求的應(yīng)用環(huán)境下不能適用。
加密存儲(chǔ)卡：在存儲(chǔ)信息的基礎(chǔ)上增加了加密處理邏輯，可以對(duì)卡內(nèi)信息加密。
CPU卡：具有處理器和存儲(chǔ)器，不但能存儲(chǔ)信息，還能對(duì)數(shù)據(jù)進(jìn)行復(fù)雜的加密、解密運(yùn)算?？ㄆ淖灾饔?jì)算能力使得卡內(nèi)信息的安全性有了顯著提高。
射頻卡：在CPU卡的基礎(chǔ)上增加了射頻收發(fā)電路，用以實(shí)現(xiàn)非接觸式讀寫(xiě)操作。
基于智能卡技術(shù)的企業(yè)安全郵件系統(tǒng)
郵件的安全性
現(xiàn)有的安全郵件系統(tǒng)雖然實(shí)現(xiàn)了郵件加密和解密以及簽名和驗(yàn)證的過(guò)程，解決了郵件在存儲(chǔ)和傳輸過(guò)程中的安全問(wèn)題，但是隨著網(wǎng)絡(luò)攻擊技術(shù)的發(fā)展，用戶持有私鑰是絕對(duì)安全的假定已不再滿足：目前很多企業(yè)中計(jì)算機(jī)資源是共用的，如果用戶將私鑰存儲(chǔ)在客戶端上，這將使得共享該計(jì)算機(jī)的其他用戶非常容易訪問(wèn)到該私鑰；如果將用戶私鑰存儲(chǔ)在中央的服務(wù)器上，由于服務(wù)器的系統(tǒng)漏洞或者配置上的疏忽，也有可能導(dǎo)致用戶私鑰的泄漏，這樣使得現(xiàn)有的安全郵件系統(tǒng)面臨嚴(yán)重的安全威脅。要解決這個(gè)問(wèn)題，最主要的就是保證用戶私鑰的絕對(duì)安全，為此筆者在系統(tǒng)的終端中引入了具有自主計(jì)算功能的智能卡，實(shí)現(xiàn)用戶私鑰的硬件級(jí)別防止篡改。智能卡由統(tǒng)一的發(fā)卡機(jī)構(gòu)結(jié)合用戶的身份信息進(jìn)行管理，使得原有的安全郵件系統(tǒng)模型在不改變體系結(jié)構(gòu)的前提下，有了非常堅(jiān)實(shí)的安全保證。
在圖6 的郵件發(fā)送處理流程中，灰色框中的處理步驟是郵件發(fā)送方以私鑰加密郵件內(nèi)容摘要處理結(jié)果。這個(gè)步驟是在智能卡內(nèi)處理，加密之后再將結(jié)果返回給外部郵件代理程序。這樣外部的程序就不能直接訪問(wèn)用戶的私鑰，從而可以在最大的程度上保證私鑰的安全性。而在之前進(jìn)行的加密過(guò)程是由外部郵件代理程序完成的，其先從%& 服務(wù)器上獲取郵件接收者的公鑰，之后對(duì)密鑰加密。由于用戶的公鑰是公開(kāi)的，在智能卡外部加密可以充分利用外部客戶端的資源，提高了加密速度，而且安全性也不會(huì)降低。
在圖 的郵件接收處理流程中，灰色框中表示以郵件接收方私鑰. 對(duì)解密的過(guò)程。外部郵件代理程序?qū)l(fā)送給智能卡，經(jīng)過(guò)卡內(nèi)解密得到密鑰，返回給外部郵件代理程序，郵件的解密過(guò)程在外部客戶端實(shí)現(xiàn)，同樣避免郵件代理程序直接訪問(wèn)到用戶的私鑰，最大限度地提高系統(tǒng)整體效率和安全性。
密鑰管理
密鑰管理主要包括對(duì)公鑰、私鑰和證書(shū)的管理與維護(hù)。用戶的私鑰保存在該用戶持有的智能卡中，在發(fā)卡的時(shí)候由發(fā)卡程序生成，同時(shí)也生成了用戶的公鑰數(shù)據(jù)，并將其存儲(chǔ)在企業(yè)的%& 服務(wù)器上，當(dāng)用戶需要的時(shí)候，可以從服務(wù)器上面獲得.服務(wù)器上面的公鑰數(shù)據(jù)是用來(lái)被所有的企業(yè)用戶訪問(wèn)的，而且對(duì)安全性的要求較低，所以可以依靠操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的安全性來(lái)解決。另外，如果某個(gè)用戶的智能卡丟失，當(dāng)用戶掛失智能卡的時(shí)候要將用戶的證書(shū)吊銷(xiāo)，這樣需要在服務(wù)器上維護(hù)一個(gè)證書(shū)吊銷(xiāo)列表來(lái)控制證書(shū)的回收。企業(yè)同時(shí)負(fù)責(zé)智能卡的發(fā)放和管理，私鑰在生成之后直接寫(xiě)入用戶所持智能卡中，在發(fā)卡機(jī)構(gòu)不保存副本，這樣在最大程度上保證了郵件系統(tǒng)的安全。
模型實(shí)現(xiàn)
該模型的設(shè)計(jì)功能已經(jīng)編程實(shí)現(xiàn)，嵌入到了一套辦公自動(dòng)化系統(tǒng)中。這充分地解決了原有系統(tǒng)在信息安全方面的不足，并且在易用性方面也得到了認(rèn)可。處理一封日常工作郵件，系統(tǒng)的響應(yīng)時(shí)間可以參看表。
通過(guò)對(duì)比，可以看出在郵件系統(tǒng)中采用文中介紹的模型處理郵件，不但安全性得到了保證，而且損失的性能也是可以接受的。這證明了所提出的模型算法相結(jié)合，大量郵件數(shù)據(jù)解密，少量的敏感信息用2)& 算法在智能卡內(nèi)加解密的思想是非常有效的。
結(jié)論
企業(yè)辦公自動(dòng)化平臺(tái)中郵件系統(tǒng)的重要性已被大家所認(rèn)同，而實(shí)現(xiàn)郵件服務(wù)的傳輸、存儲(chǔ)技術(shù)在安全性方面還是很脆弱的，要在企業(yè)中實(shí)現(xiàn)安全的郵件服務(wù)，對(duì)郵件加密和簽名處理是必不可少的。該文提出了基于智能卡技術(shù)的企業(yè)安全郵件系統(tǒng)，該系統(tǒng)在郵件收發(fā)終端引入智能卡技術(shù)，保證了密鑰等機(jī)密信息的安全，最大限度的降低系統(tǒng)的安全隱患，通過(guò)對(duì)郵件進(jìn)行加密、解密和簽名、驗(yàn)證簽名，在不改變?cè)朽]件系統(tǒng)體系結(jié)構(gòu)的前提下有效地解決了郵件在存儲(chǔ)和傳輸過(guò)程中的安全問(wèn)題。
