某企业信息安全体系之vpn解决方案.pdfVIP

某企业信息安全体系之 VPN 解决方案 在某企业信息安全体系项目中， 企业的部分要害部门或关键系统， 如财务系统、 组织系 统等， 由于直接涉及极度敏感的商业或人事机密， 应采用特别的保护措施。 物理隔离或专网 方式是最直接的解决办法， 但他们不符合信息数字化建设和资源共享的潮流， 而且投入费用 也较高， 显然不是长远之计。 而常规联网方式又必须面对机密信息在开放环境中被窃取或篡 改等安全性问题。由于 TCP/IP 协议固有的开放性和互联性，这种安全隐患是肯定存在的。 因此， 要在开放的网络环境中实现信息通信的安全， 必须采用先进的技术手段来保障。 虚拟 专用网络 VPN 和桌面防火墙技术是可以实现网络数据安全传输和主机系统安全防护的最新 研究成果。 VPN 是 Internet 技术迅速发展的产物。大量 Internet 通信基础网络或 ISP 的公共骨干网 的建立使人们想到， 如果可以保证在低成本的公用通信网络中安全地进行数据交换， 就可以 使企业以更低的成本连接其办事处、 流动工作人员及业务合作伙伴， 显著节省使用专用网络 的长途费用，降低公司建设自己的广域网（ WAN ）的成本，而且同时实现信息资源的充分 利用。 VPN 技术使这种设想成为可能：通过采用隧道技术，将企业网的数据封装在隧道中 进行传输。 通信中双方首先要明确地确认对方的真实身份， 进而在公用通信设施中建立一条 私有的专用通信隧道， 利用双方协商得到的通信密钥处理信息， 从而实现在低成本非安全的 公用网络上安全的交换信息的目的。 目前，国外已有多种 VPN 产品可供选择使用。但出于特殊的安全性考虑，以美国为首的西 方国家对其安全技术和产品附加了明确的出口限制，以对称加密算法 RC4 为例，出口至我 国的软件产品 （如 IE 等） 采用的密钥长度为 40 位，而其国内在电子商务应用中采用的密钥 强度最少都为 128 位。由于安全加密算法本身是公开的， 其安全性只能唯一由密钥长度决定， 因而国内软件系统若直接采用进口安全产品， 其安全性将大打折扣， 在对安全性有较高要求 的特殊部门， 更是不能使用。 鉴于此， 我国政府现在一方面强制命令政府网络系统必须严格 与互联网络物理隔离； 另一方面， 明确地要求国外安全产品在进口时必须向我国政府提供源 代码， 这一问题目前还在讨论中，估计短期内不会有明确进展。因此， 对于国内的计算机网 络用户， 为维护自己的合法安全需求， 在目前情况下， 应尽量采用具有国内自主知识产权的 技术与产品； 对于不得不采用的进口基础操作系统， 也应尽快寻找可以替换其安全模块的国 产软件， 事实上， 包括格方网络安全公司在内的一些对国内网络安全应用具有强烈忧患意识 的技术单位，也已经在这方面做了大量工作并取得了相应的多项成果。 需采用的技术和产品 1 概述 VPN 主要采用四项技术：一、隧道技术 (Tunneling) ；二、加解密技术 (Encryption Decryption) ；三、密钥管理技术 (Key Management) ；四、使用者与设备身份认证技术 (Authentication) 。从 1995 年起， IETF 陆续公布了许多网络安全相关技术标准。这些标准统 称为 IPSec （IP Security ）。IETF 工作组目前已制定的与 IPsec 相关的 RFC 文档有 RFC2104、