校園一卡通工程的設(shè)計模式與網(wǎng)絡(luò)安全實現(xiàn)

文章出處：http://m.dipdnbxp.cn 作者：劉臻暉   人氣： 發(fā)表時間：2011年11月20日

    引言

    隨著信息技術(shù)的發(fā)展，我國各類校園網(wǎng)建設(shè)水平得到很大的提高。無論是小學(xué)、中學(xué)還是大學(xué)，都在積極加強學(xué)校內(nèi)校園信息化的建設(shè)，而其中的智能卡（非接觸IC 卡）技術(shù)在校園信息系統(tǒng)建設(shè)中顯得尤為突出。一卡通以智能卡為信息載體，結(jié)合微電子技術(shù)、單片機技術(shù)、計算機網(wǎng)絡(luò)技術(shù)及數(shù)據(jù)庫技術(shù)等諸多高新科技，使其具有電子身份識別和電子錢包的功能，替代校園傳統(tǒng)的日常生活所需的教師工作證、學(xué)生證、借書證，以及與現(xiàn)金相關(guān)交易的食堂飯卡（券）、醫(yī)療證、上機證、門票等，達到教、學(xué)、考、評、住、用的全面數(shù)字化和網(wǎng)絡(luò)化，真正實現(xiàn)"一卡在手，走遍校園"。"校園一卡通系統(tǒng)"的建設(shè)，是目前高校信息化發(fā)展的必然趨勢。

    1. 一卡通的流程概述
    "校園一卡通系統(tǒng)"是數(shù)字化校園建設(shè)的重要部分，涉及到校園各個運行部門和師生，建設(shè)意義和對今后影響都十分深遠。目前高校校園網(wǎng)一卡通的建設(shè)流程主要如下：
    建設(shè)模式:成立建設(shè)領(lǐng)導(dǎo)小組，專家小組和實施工作小組。提出總體設(shè)計和需求，決定采用哪種運營模式。
    系統(tǒng)建設(shè)：建立覆蓋校區(qū)的"一卡通"專用網(wǎng)絡(luò)，采用相應(yīng)的網(wǎng)絡(luò)拓樸結(jié)構(gòu)。
    安全策略：
    （1）卡片安全：校園應(yīng)用對卡要求很高，而其中M1射頻卡是非接觸式IC卡中影響較大的一種。由于每張卡有獨一無二的序列號，芯片有16個存儲扇區(qū)，每個扇區(qū)讀寫需要獨立雙向三次論證，傳遞數(shù)據(jù)有嚴(yán)格的加密算法和密碼保護。這些優(yōu)點使這種卡成為高校IC卡應(yīng)用的首選。
    （2）網(wǎng)絡(luò)安全：可以采用三種網(wǎng)絡(luò)相結(jié)合的架構(gòu)，一卡通系統(tǒng)網(wǎng)絡(luò)、基于校園網(wǎng)的專用虛擬網(wǎng)和物理隔離的金融網(wǎng)絡(luò)。
專網(wǎng)與校園網(wǎng)隔離，專用的物理通道保證了各校區(qū)、各層次網(wǎng)絡(luò)連接和信息傳輸?shù)陌踩?。銀行方的數(shù)據(jù)交易，采用防火墻隔離技術(shù)，確保網(wǎng)絡(luò)互聯(lián)和邊界的安全。網(wǎng)絡(luò)內(nèi)部通過MAC端口地址與IP地址綁定，封鎖交換機空余的端口，配置用戶口令，使用不同級別的命令等措施。從三方面即網(wǎng)絡(luò)互聯(lián)、網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)內(nèi)部來確保整個專用網(wǎng)絡(luò)的安全。
    （3）數(shù)據(jù)安全：①通過制定一套完整的密鑰管理體系，來保證消費過程的安全性和終端機具使用的安全性。"一卡通"系統(tǒng)交易過程中使用的密鑰有：主密鑰、工作密鑰、扇區(qū)密鑰、卡片扇區(qū)密鑰、個人密碼密鑰、卡片個人密碼密鑰，由這六個密鑰組成"一卡通"系統(tǒng)的密鑰體系。
    ②收費終端采用雙CPU工作、UPS供電、以及無源存儲保護數(shù)據(jù)技術(shù)。正常情況下，終端數(shù)據(jù)信息均具有代碼標(biāo)識，實時經(jīng)專網(wǎng)上傳到"結(jié)算中心"進行結(jié)算；異常發(fā)生時，啟動收費終端的數(shù)據(jù)分析功能，迅速查出數(shù)據(jù)出錯源，通過底層數(shù)據(jù)還原校驗予以糾正。
    ③數(shù)據(jù)庫服務(wù)器的數(shù)據(jù)備份，同時采用磁盤陣列、磁帶機等多重備份，提供足夠的數(shù)據(jù)冗余；備份方式采用標(biāo)準(zhǔn)備份、增量備份、差量備份三種方法相結(jié)合保證數(shù)據(jù)的安全性。
    ④軟件安全：建立嚴(yán)格的用戶權(quán)限管理系統(tǒng)，并在用操作權(quán)限分配、登錄控制、身份驗證、密碼控制、日志跟蹤等方面設(shè)計了嚴(yán)密的機制，來保證安全性。
    建設(shè)項目：目前各高校校園一卡通實施的項目大致如下： 一卡通專用網(wǎng)絡(luò)、校園一卡通卡務(wù)中心、校園一卡通結(jié)算中心、銀行圈存系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、設(shè)備管理系統(tǒng)、學(xué)籍教務(wù)管理系統(tǒng)、各類收費系統(tǒng)、圖書館管理系統(tǒng)、機房上機管理系統(tǒng)、門禁、通道管理系統(tǒng)、身份識別系統(tǒng)、醫(yī)療系統(tǒng)、后勤服務(wù)管理系統(tǒng)、各類信息查詢系統(tǒng)。

    2. 一卡通的幾種運營方式比較

    一卡通上運行的是金融交易數(shù)據(jù)及其他重要的MIS（管理信息系統(tǒng)）數(shù)據(jù)，在進行一卡通工程建設(shè)與實施過程中，出于系統(tǒng)安全和以后數(shù)字化校園建設(shè)的需要，不同高校建設(shè)可能采取不同的運營模式，而不同的運營模式直接關(guān)系到具體網(wǎng)絡(luò)建設(shè)模式的設(shè)計。這幾種運營模式大致分為三種：1、部門級封閉式運營模式 2、銀行圈存、校內(nèi)發(fā)卡結(jié)算模式 3、銀行圈存發(fā)卡、校內(nèi)結(jié)算模式 。這3種模式涉及到學(xué)校、銀行、師生（客戶）、商戶（校內(nèi)企業(yè)）四類對象，銀行、學(xué)校財務(wù)、商戶、持卡人的關(guān)系如下圖（圖1）所示，這4類對象的特點分別如下： 

圖1

    銀行：隨著銀行業(yè)務(wù)發(fā)展和拓寬，項目投資也將增加，投資決定因素是存款數(shù)目、存款期限、帳戶留存金額、客戶群體穩(wěn)定性、發(fā)展前景、可持續(xù)增長性等因素。銀行可以通過銀校一卡通通項目合作擴大業(yè)務(wù)范圍和渠道，獲得可觀的資金積累。同時銀行對教育的投入可以提高自身效益和知名度，從而使銀校合作具有極大的推廣價值。
    學(xué)校：學(xué)校收費可以借助銀行系統(tǒng)實現(xiàn)自動轉(zhuǎn)帳，減少學(xué)校的結(jié)算工作量，同時通過銀行可以提高安全性尤其大大提高學(xué)校每年新學(xué)期開始時學(xué)生從異地到校攜帶現(xiàn)金的安全性。
    師生：通過圈存機將銀行帳戶轉(zhuǎn)入學(xué)校校園卡（射頻卡）帳戶，避免現(xiàn)金交易的麻煩。
    商家：校園內(nèi)商家可以實現(xiàn)無紙幣流通，防止出現(xiàn)假幣、殘幣、找零的麻煩，可以和學(xué)校定期和數(shù)據(jù)中心結(jié)帳，也使學(xué)校更方便地管理學(xué)校內(nèi)的商業(yè)運作。
    校園一卡通有以下三種運營模式：部門級封閉式運營；銀行圈存校內(nèi)發(fā)卡結(jié)算；銀行圈存發(fā)卡校內(nèi)結(jié)算。各自有如下的優(yōu)缺點: 

    以上幾種模式各有優(yōu)點，是目前高校建設(shè)采用的主要模式。第三種模式即和銀行合作，共同建設(shè)校園一卡通，可以利用銀行充裕的資金實現(xiàn)學(xué)校的一卡通建設(shè)規(guī)劃，這樣使銀行、學(xué)校、學(xué)生、商家在系統(tǒng)運作中達到互利的戰(zhàn)略目的，是一種適合高校的網(wǎng)絡(luò)建設(shè)模式。

    3. 一卡通的網(wǎng)絡(luò)安全實現(xiàn)

    進行一卡通工程建設(shè)與實施時，必須考慮網(wǎng)絡(luò)的安全問題。一個完整的網(wǎng)絡(luò)信息安全體系至少應(yīng)包括三類措施：一是整個系統(tǒng)的操作人員的操作規(guī)程的規(guī)范，規(guī)章制度的規(guī)范。二是技術(shù)方面的措施，如防火墻技術(shù)，網(wǎng)絡(luò)防毒，通訊數(shù)據(jù)的加密，操作人員和使用用戶的身份認(rèn)證，授權(quán)。三是審核和管理措施，其主要措施有實時監(jiān)控系統(tǒng)的安全狀態(tài)，對現(xiàn)有的安全系統(tǒng)實施安全檢查以防患于未然。
    3．1一卡通網(wǎng)絡(luò)構(gòu)架
    一卡通運營方式一般采用采用2級管理模式，各系統(tǒng)之間采用"星型結(jié)構(gòu)"相連接如圖（2）。實現(xiàn)IC卡"聯(lián)機交易、脫機交易、身份識別"三條流程，以滿足身份認(rèn)證的松耦合應(yīng)用和消費支付、查詢信息的緊耦合應(yīng)用。 

圖2

    一個中心為統(tǒng)一的校園IC卡管理和資金結(jié)算中心，統(tǒng)一發(fā)卡，統(tǒng)一結(jié)算，作為系統(tǒng)后臺和其他系統(tǒng)和網(wǎng)點相連。在這個網(wǎng)絡(luò)架構(gòu)中，采用了三種網(wǎng)絡(luò)校園主干網(wǎng)，現(xiàn)場總線聯(lián)入終端、金融網(wǎng)來構(gòu)建一卡通運營平臺。 

    3．2 終端設(shè)備入網(wǎng)方式
    終端設(shè)備（如消費服務(wù)器與消費POS 終端之間、門禁、服務(wù)器與門禁讀卡器之間）可以通過CAN現(xiàn)場總線或者RS485星型拓?fù)浣Y(jié)構(gòu)通過校園網(wǎng)提供的面向端口的專用虛擬網(wǎng)聯(lián)入校園主干網(wǎng)。兩種方式都傳輸距離遠、成本低，也有TCP/IP安全性、實效性的優(yōu)點，解決了各終端連網(wǎng)的實效性、遠距離等問題。 

    3．3 校園主干網(wǎng)的安全實現(xiàn)
    校園主干網(wǎng)部分是整個校園一卡通系統(tǒng)的核心，消費結(jié)算中心各種數(shù)據(jù)服務(wù)器和圈存機通過校園主干網(wǎng)與各終端設(shè)備和銀行網(wǎng)絡(luò)的前置機進行通信。了保證網(wǎng)絡(luò)系統(tǒng)的安全性和便于管理，一般采用專網(wǎng)形式，獨立于校園網(wǎng)。一卡通網(wǎng)絡(luò)可以采用基于校園網(wǎng)的內(nèi)部虛擬專用網(wǎng)（Virtual Private Network），即在校園網(wǎng)絡(luò)基礎(chǔ)設(shè)施上建成的專用數(shù)據(jù)通信網(wǎng)絡(luò)。數(shù)據(jù)通過安全的加密隧道在校園網(wǎng)中傳輸，從而保證通信的保密性。VPN與一般網(wǎng)絡(luò)互聯(lián)的關(guān)鍵區(qū)別在于用戶的數(shù)據(jù)通過校園網(wǎng)中建立邏輯隧道進行傳輸，數(shù)據(jù)包經(jīng)過加密后，按隧道協(xié)議進行封裝、傳送，并通過相應(yīng)的認(rèn)證技術(shù)來實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的專有性。 

    校園網(wǎng)一卡通主干網(wǎng)（高速以太網(wǎng)）部分，要求所有的以太網(wǎng)設(shè)備在vlan部分和現(xiàn)有的校園網(wǎng)設(shè)備隔離，保證現(xiàn)有的校園網(wǎng)和一卡通部分是兩個網(wǎng)絡(luò)，設(shè)備不允許互相訪問。 

圖3

    同時為了共享已有的校園網(wǎng)資源，所以，一卡通與校園網(wǎng)采用防火墻進行單通道連接，保證一卡通網(wǎng)絡(luò)能訪問校園網(wǎng)數(shù)據(jù)，如：信息化校園建設(shè)必不可少的對統(tǒng)一身份認(rèn)證服務(wù)器和門戶網(wǎng)站的訪問。但校園網(wǎng)不能隨意訪問一卡通專網(wǎng)，這樣將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽，使得一卡通網(wǎng)絡(luò)上的設(shè)備能夠安全、穩(wěn)定的運行。 

    一卡通網(wǎng)絡(luò)結(jié)構(gòu)可以分為三層。一卡通網(wǎng)絡(luò)的中心層，是以數(shù)據(jù)庫服務(wù)器為中心的局域網(wǎng)的分布式結(jié)構(gòu)。（見圖3）中心層設(shè)置中心交換機，與身份認(rèn)證系統(tǒng)，卡務(wù)管理機，結(jié)算管理機，結(jié)算中心服務(wù)器一起構(gòu)成一卡通網(wǎng)絡(luò)與結(jié)算中心，它是一卡通系統(tǒng)的管理平臺、身份認(rèn)證平臺和數(shù)據(jù)庫中心。通過光纜與各結(jié)點相連與一卡通網(wǎng)絡(luò)的中心組成第一層網(wǎng)絡(luò)結(jié)構(gòu)，設(shè)置二級交換機。第三層為以第一層局域網(wǎng)的網(wǎng)絡(luò)工作站作為控制主機的控制各個IC卡收費終端的網(wǎng)絡(luò)。連接到專網(wǎng)的串口設(shè)備子網(wǎng)，以及專網(wǎng)計算機校園網(wǎng)和銀行金融網(wǎng)的接口，要同期設(shè)計建設(shè)。一卡通專網(wǎng)采用TCP/IP網(wǎng)絡(luò)協(xié)議。整個一卡通專網(wǎng)所用交換機，建議采用端口MAC地址綁定，使每個端口只能設(shè)置唯一的IP地址，連接特定的設(shè)備，從而保證了整個網(wǎng)絡(luò)的安全性。 
    
    為了充分利用校園網(wǎng)原有資源，一般一卡通網(wǎng)絡(luò)主干，啟用校園網(wǎng)絡(luò)原有光纖（8芯或者12芯）中的冗余部分，由于校園網(wǎng)工程光纖已經(jīng)遍布全校各個角落，通過利用校園網(wǎng)的2芯冗余光纖構(gòu)成一卡通網(wǎng)絡(luò)主干。至于其他校區(qū)可以通過在原有基礎(chǔ)上另外租用電信光纖連接到主校區(qū)建立一卡通專用局域網(wǎng)。 

    3.3.1網(wǎng)絡(luò)分段實現(xiàn)：
    A、網(wǎng)絡(luò)分段
    在實際應(yīng)用過程中，通常采取物理分段（即在物理層和數(shù)據(jù)鏈路層）上分為若干網(wǎng)段與邏輯分段（即把網(wǎng)絡(luò)分成若干IP子網(wǎng)）相結(jié)合的方法來實現(xiàn)對網(wǎng)絡(luò)系統(tǒng)的安全性控制。 

    B、VLAN的實現(xiàn)
    虛擬網(wǎng)技術(shù)主要基于近年高速發(fā)展的局域網(wǎng)交換技術(shù)（ATM和以太網(wǎng)交換）。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。以太網(wǎng)從本質(zhì)上基于廣播機制，但應(yīng)用了交換機和VLAN技術(shù)后，實際上轉(zhuǎn)變?yōu)辄c到點通訊。如上圖，不同系統(tǒng)在網(wǎng)上劃分為不同的虛擬網(wǎng)，如醫(yī)療系統(tǒng)和消費系統(tǒng)劃分在不同的vlan段，通過以下相應(yīng)的vlan劃分方法來提高網(wǎng)絡(luò)安全。 

    1、基于端口的VLAN，就是將交換機中的若干個端口定義為一個VLAN，同一個VLAN中的計算機具有相同的網(wǎng)絡(luò)地址，不同VLAN之間進行通訊需要通過三層路由協(xié)議，并配合MAC地址的端口過濾，就可以防止非法入侵和IP地址的盜用問題。
    2、基于MAC地址的VLAN，這種VLAN一旦劃分完成，無論節(jié)點在網(wǎng)絡(luò)上怎樣移動，由于MAC地址保持不變，因此不需要重新配置。但是如果新增加節(jié)點的話，需要對交換機進行復(fù)雜的配置，以確定該節(jié)點屬于哪一個VLAN。
    3、基于IP地址的VLAN，新增加節(jié)點時，無須進行太多配置，交換機根據(jù)IP地址會自動將其劃分到不同的VLAN。這中VLAN智能化最高，實現(xiàn)最復(fù)雜。一旦離開該VLAN，原IP地址將不可用，從而防止了非法用戶通過修改IP地址來越權(quán)使用資源。 

    3．4物理隔離的金融網(wǎng)絡(luò)連接 

    一卡通系統(tǒng)中心與銀行系統(tǒng)之間的連接是校園卡與銀行卡圈存的數(shù)據(jù)通道，其安全性是一卡通結(jié)算中心與銀行進行對帳結(jié)算的保證。為了系統(tǒng)連接的安全性和可靠性，銀行金融網(wǎng)絡(luò)與校園一卡通的專用虛擬網(wǎng)通過PSTN或者DDN方式相連，并通過PSTN或DDN方式連接自助轉(zhuǎn)賬設(shè)備（圈存機），實現(xiàn)轉(zhuǎn)賬與對帳分別在不同的物理網(wǎng)絡(luò)上完成。在采用PSTN/DDN專線的基礎(chǔ)上銀行對接系統(tǒng)采用如下措施；（如圖3,左上）
    1、.關(guān)于涉及數(shù)據(jù)在公網(wǎng)或?qū)＞W(wǎng)上傳輸，數(shù)據(jù)報文傳輸?shù)陌踩c銀行前置機數(shù)據(jù)交換的安全主要由雙向身份認(rèn)證、加密和報文認(rèn)證來保障。
    2、防火墻作為保護網(wǎng)絡(luò)的重要工具，在網(wǎng)絡(luò)的對外出口處設(shè)置防火墻是理想的選擇。防火墻在銀行信息網(wǎng)中的安全防護原則： 
 
    任何外部網(wǎng)絡(luò)對銀行信息網(wǎng)的內(nèi)部情況"看不見"
    外部非法入侵者及特殊信息"進不來"
    機要敏感信息"拿不走"
    任何的非法對外訪問"出不去" 

    轉(zhuǎn)賬安全性
    采用設(shè)立銀行網(wǎng)關(guān)方式，雙網(wǎng)卡隔離網(wǎng)段，杜絕大學(xué)校園網(wǎng)絡(luò)對銀行網(wǎng)絡(luò)的訪問，僅銀行轉(zhuǎn)賬前置機可以訪問銀行網(wǎng)絡(luò)。
    對傳送的數(shù)據(jù)包加校驗碼（MAC或LRC）。
    對關(guān)鍵數(shù)據(jù)可進行加密處理。
    可按銀行要求將數(shù)據(jù)打包成ISO8583格式報文。

    4、結(jié)束語

    隨著我國高校日益加大信息化校園的建設(shè)步伐，許多先進的信息處理技術(shù)都被引入校園，它為數(shù)字化校園提供信息采集，涉及到校園生活的各個方面，使教育與信息技術(shù)真正地融合，逐步實現(xiàn)以人為本，從校園環(huán)境、資源到活動的全部數(shù)字化管理。本文在總結(jié)多種校園網(wǎng)一卡通的建設(shè)方式的基礎(chǔ)上，提出了構(gòu)架校園主干網(wǎng)絡(luò)的安全解決方案，使"校園一卡通"工程成為數(shù)字化校園建設(shè)重要組成部分和基礎(chǔ)工程。