◆周志勇



电子政务系统数据传输过程中的安全风险分析及防护

◆周志勇

(河北省国家税务局信息中心 河北 050000)

HTTP协议自身机制存在缺陷，容易导致敏感数据被窃取。随着《中华人民共和国网络安全法》的颁布施行，全方位保护电子政务系统网络安全的要求进一步提高，将HTTP协议改造为安全性较高HTTPS协议势在必行，本文中对HTTP协议的脆弱性进行了分析、验证，介绍了HTTPS协议的实现原理，并给出了基于Ngix服务器的实现。

电子政务；数据安全；Ngix

0前言

从二十世纪末的“政务电子化”作为政府辅助优化决策的管理手段，到后来“政府再造”政府机构使用相互独立的信息系统，再到如今建立起来的Ｇ２Ｇ、Ｇ２Ｂ以及Ｇ２Ｃ网上通信渠道，便捷、智能、高效的电子政务迅速发展起来。[1]有资料显示，截至2016年底，全国各类政府网站已有将近10万个，中国电子政务在全球排名第63位[2]，大量行政审批工作已经实现了网上受理、网上办理。电子政务系统涉及大量的敏感信息，在人们隐私保护意识日益提高的今天，如何保护这些敏感信息不被非法访问、窃取已成为一个现实问题。传统安全防护的注意力一般都集中在后台，采用划分安全域、数据加密存储、提高数据库管理系统及操作系统安全性多种方法进行防范，而数据从用户端到服务端传输的过程的数据安全人们关注较少[3]。HTTP协议作为目前应用最广的应用层协议，敏感信息以近似明文的方式在网络中传输，很容易被截获、窃取[4]。HTTPS技术作为一种成熟有效的传输防护措施，目前已被主流电子商务网站采用，而在电子政务领域，人们对其重要性认识还不够。

1 HTTP协议脆弱性分析

超文本传输协议（HTTP，HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议，其脆弱性主要来自数据的明文传输，目前已经有多种方法实现了对使用HTTP协议传输数据的窃取[5]。以某单位网上咨询平台为例，简单分析HTTP协议传输敏感数据的危险性。

该平台是为纳税人提供在线咨询的互联网应用，用户通过HTTP协议访问，进行在线交流、问题解答等。我们通过一个实验来演示用户注册名、密码等敏感信息的泄露过程。实验工具为接入同一个HUB中两台PC机，抓包软件Wireshark，登录用的用户名为helloworld，密码是123456。

实验过程如下：

（1）设置两台PC机地址为192.18.1.1、192.18.1.2。

（2）在192.18.1.1上启动Wireshark，选择捕获数据所用的接口，对此接口上的数据进行监听。

（3）在192.18.1.2上打开网上咨询平台，并输入用户名密码进行登录。

（4）停止Wireshark的监听，筛选出目的地址是网络咨询平台IP，协议为HTTP的数据包。

（5）对数据包进行分析，找到明文传输的用户名、密码。

实验结果如图1所示，我们可以在抓取的HTTP包中查看到局域网中另一台PC上输入的用户名、密码等敏感信息。

明文传输的敏感信息也很容易在传输过程中被各种网络设备缓存、记录，一些网络爬虫可以将这些信息爬取，从而通过互联网泄露。同样是这次登录，可以在访问链路上的某设备日志中看到登录使用的用户名、密码。如图2所示。

图1 实验结果展示

图2 代码展示

2 HTTPS的工作原理及部署

为规避HTTP协议在传输敏感信息时可能被窃取的风险，网景公司(Netscape)为HTTP增加了安全套接字层（SSL），实现了传输数据的加密，形成了安全版的HTTP协议，即HTTPS。安全套接字层利用数字证书作为加密密钥的载体，综合利用了古典加密算法加解密操作系统开销小和现代加密算法安全性高的优点，有效的保护了数据在网络传输过程的安全。

目前，主流的WEB服务器如Weblogic、Tomcat、Ngix、IIS等都支持HTTPS。下面以目前大型网站常用的Ngix服务器为例说明：

HTTPS协议需要在WEB服务器端部署数字证书。这个数字证书可以自己生成，或向第三方机构申请，得到证书后，将其导入WEB服务器。自己生成、导入数字证书的操作如下：

2.1创建数字证书

cd /etc/nginx/

opensslgenrsa -des3 -outserver.key1024

opensslreq -new -key server.key -outserver.csr

cpserver.key server.key.org

opensslrsa -in server.key.org -outserver.key

openssl x509 -req -days 365 -inserver.csr -signkeyserver.key -out server.crt

2.2配置Ngix服务器

cd /etc/nginx

vimnginx.conf

server {

listen 443;

server_name本机的IP地址;

ssl on;

ssl_certificate /etc/nginx/server.crt;

ssl_certificate_key /etc/nginx/server.key;

ssl_session_timeout 5m;

ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;

location / {

proxy_redirect off;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_passHTTP://IP地址/ssl/;

}

}

2.3配置端口重定向

用户默认使用HTTP协议访问网页的，为使用户的HTTP访问自动转化为HTTPS的访问，需要配置端口重定向，即将访问服务器的80端口重新定向到443端口。以Ngix为例，需要将80端口的配置文件添加如下内容：

server{

listen 80;

server_name localhost;

rewrite ^(.*)$ HTTPS://$host$1 permanent;

location/{

root html;

index index.html index.htm;

}

这样，一个网站就由HTTP访问变成通过HTTPS访问的了，即使密文传输的敏感数据被截获，也很难还原出明文来。

3 结束语

HTTPS作为一种保障传输过程安全的解决方案，具有实现简单、可靠性高、用户体验好的特点，随着电子政务的不断发展以及《中华人民共和国网络安全法》的实行，对数据安全的要求也将进一步提升，在电子政务领域使用HTTPS协议对传输过程保护已经势在必行。

[1]刘伟.我国电子政务绩效评估方案的综合研究[J].中国行政管理，2013．

[2]王益民.全球电子政务发展现状、特点趋势及对中国的启示——《2016年联合国电子政务调查报告》解读[J].电子政务，2016.

[3]张振,王惠芳.电子政务安全体系结构研究与设计[J].网络安全技术与应用，2010.

[4]叶锡君，吴国新，许勇，束坤.超文本传输协议的认证技术研究与实现[J].计算机集成制造系统-CIMS，2001.

[5]丁斌.网络协议分析与网络异常流量识别技术的研究[D].长春工业大学，2015.

[6] Nginx中文文档.http://www.nginx.cn/.