[导读] 本文分析了常规档案信息数据库网络结构中存在的通信安全隐患，提出了一种通过加密代理解决网络数据传输过程中信息被窃取问题的方法。

经过这几年大投入、高效率的建设，我军档案馆的信息化水平有了较大的提高。各馆研制了相应的档案信息网络数据库系统，使得利用者在查询检索档案材料的时候，绝大多数情况下不需要再翻阅档案原件。查询效率大大提高。在取得上述成绩的同时，我们也应当看到当前各档案馆的档案信息网络数据库系统中存在的一个重要问题，就是提供远程利用者通过网络查询档案的安全问题一直没有很好的解决。

一、对档案信息网络数据库的安全升级方案

由于各档案馆在研制档案信息网络数据库系统之初没有进行加密传输的考虑，因此很多应用系统目前都无法保证档案信息在网络传输过程中的安全。考虑到重新研制新的安全系统的时间、资金、人力成本问题，对已有系统的安全升级改造是一个切实可行的方案。

近几年开发研制的档案信息网络数据库系统多采用浏览器服务器(B/S)模式，利用者的计算机上不需要安装特殊的客户端程序，只需打开上网的浏览器如Internet Exporler，填入档案馆提供的查询网址即可查询检索档案信息；而档案馆一端除了数据库服务器外，还需配置www服务器，并且在服务器中编制相应的程序。另一种是早期的客户机/服务器(C，S)的模式，由于现在应用
较少，本文不再讨论。

对浏览器／服务器(B/S)模式的档案信息网络数据库系统进行安全升级的步骤为：

首先，在客户机端运行一个网络加密代理服务器程序，同时将利用者的浏监器Internet Exporler设置为通过此代理服务器访问网络。该代理服务器将浏览器发来的网络访问请求内容加密，发送到服务器端的加密代理服务器上。

其次，在档案馆的服务器端运行网络加密代理服务器，接收客户端加密代理服务器传来的加密信息，解密后传送给www服务器和数据库服务器进行查询。查询结果经过服务器端加密代理服务器加密返回客户端加密代理，解密后传送给浏览器显示结果。

第三，在客户机上使用防火墙禁止除加密代理服务器外所有其他程序（包括浏览器）直接访问。网络，对加密代理服务器也仅开放访问服务器端加密代理服务器的专用端口。

第四，在服务器端同样禁止除加密代理服务器外其他所有程序访问网络，并只开放与客户端加密代理服务器的通信端口。

通过以上叙述我们可以看出，基于浏览器，服务器(B/S)模式的档案信息网络数据库系统的安全升级可以在完全不更改已经存在的系统的前提下进行，只需在客户端计算机和档案馆端计算机上分别运行两个加密代理服务器，然后在客户的浏览器中设定一下代理服务器即可。进行上述安全升级在无论在技术上还是成本上都是可行的，也是必要的。

二、安全升级方案的具体实现

针对档案信息网络数据库系统的安全升级，具体实现时有多种选择，其主要区别在于采用何种加密代理。既可以由程序员全新编制，也可以采用现成的软件。在这里，笔者认为综合考虑人力成本、资金成本和实际效能等相关因素，采用Stunnel+OpenSSL+ Privoxy建立加密网络通道的方案最为可行。理由如下：

首先这三个软件都是开源软件，其源代码可以自由下载使用，以避免某些商业软件中可能存在的不安全因素；其次是这三个软件中提供实际加密功能的OpenSSL是一个健全的、可靠的加密工具包，实现了安全套接层协议和传输层安全协议；第三是这些软件同时具有Windows、Linux等多种操作系统版本，能够满足不同平台的需要：最后是这些软件是由无数程序员积聚其思想精华
共同努力开发和维护的。

具体实施安全升级的步骤如下：

1、建立档案馆服务器端的加密代理服务器

(1)下载Privoxy:下载EXE文件或者源文件然后自己编译。

(2)修改配置文件config，txt中的选项后运行：

listen·addressl Http Proxy的端口，默认的是127.0.0.1:81118。

pcrmit-access、deny．access：允许/拒绝的IP域名，建议只允许localhost。

(3)安装Stunnel：下载Stunnel和OpenSSL库，将所有文件放到同一个目录下。

(4)创建服务器证书：

执行opcnssl req-ncw-x509-days 365-nodels-conf18: openssl.cnf-out 8tunnel.pem-kcyout stunnel.pcm创建一个自己给自己签名的证书。

(5)修改配置文件stunnel．conf后运行：

keysstunnel.pem

[http2ssl]

accept= 443

connect=127.0.0.i:8118

(6)将Stunnel安装成MS Brr服务方式：stunnel．exe-install。（可选）

2、建立客户计算机端的加密代理服务器

(1)安装Stunnel：下载Stunnel和OpenSSL，将所有文件放到同一个目录下。

(2)修改配置文件stunnel．conf后运行：

client=yes

[ss12http]

accept= 127.0.0.1:80。

只允许本机使用

conncct=192.168.0,1:443

档案馆服务器的地址和端口

直接运行stunnel,exe，就可以启动Stunncl了。

(3)在浏览器设置Http代理服务器

在IE中设置127.0.0.1:80。

完成上述设置后，在利用者使用的客户机到档案馆的服务器之间就建立了一个安全数据加密通道，所有在此通道中传送的网络数据都经过高强度的数据加密处理，能够保证在开放复杂的网络传输中的信息安全。

小知识之TCP/IP协议

Transmission Control Protocol/Internet Protocol的简写，中译名为传输控制协议/因特网互联协议，又名网络通讯协议，是Internet最基本的协议、Internet国际互联网络的基础，由网络层的IP协议和传输层的TCP协议组成。TCP/IP 定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的协议来完成自己的需求。通俗而言：TCP负责发现传输的问题，一有问题就发出信号，要求重新传输，直到所有数据安全正确地传输到目的地。而IP是给因特网的每一台电脑规定一个地址。