Search
E-mail
RSS

Online submission Editor-in-chief Peer review Staff Login

Journal of Tropical Oceanography >

2020 , Vol. 39 >Issue 5: 117 - 123

DOI: https://doi.org/10.11978/2019127

Marine Survey and Monitoring

Research on buoy data security management system based on multi-encryption

  • ZHANG Xinwen , 1, 2 ,
  • LIU Yuqiang , 1, 2 ,
  • LIU Tongmu 1, 2 ,
  • LIN Guanying 1, 2 ,
  • HUANG Hua 1, 2
Expand
  • 1. South China Sea Marine Survey and Technology Center of State Oceanic Administration, Guangzhou 510310, China
  • 2. Key Laboratory of Marine Environmental Survey Technology and Application, Ministry of Natural Resources, Guangzhou 510310, China
LIU Yuqiang. E-mail:

Copy editor: YIN Bo

Received date: 2019-12-05

  Request revised date: 2020-03-02

  Online published: 2020-03-05

Supported by

Project Commissioned by the Marine Strategic Planning and Economic Department of the Ministry of Natural Resources(CAMA201808)

Marine Science and Technology Director Fund of South China Sea Branch, State Oceanic Administration(18015)

Guangdong Provincial Special Fund for Economic Development for Marine Economic Development(GDME-2018B001)

Open Fund of Key Laboratory of Technology for Safeguarding of Maritime Rights and Interests and Application, State Oceanic Administration(SCS1602)

Copyright

Copyright reserved © 2020. Office of Acta Agronomica Sinica All articles published represent the opinions of the authors, and do not reflect the official policy of the Chinese Medical Association or the Editorial Board, unless this is clearly specified.
Fold

Abstract

In view of data security problem concerning ocean buoy data, such as hacker attack, illegal access, data leakage, etc., a data security management system based on multi-encryption is proposed and implemented. We introduce the system architecture, multi-encryption storage and key management scheme in this paper. In this system, the buoy data is encrypted and stored by using multi-encryption technology, and the confidentiality of data transmission is ensured by encrypted transmission in business application. The analytic results of system security indicate show that this system can ensure data security in the process of storage, transmission and application.

Key words： ocean data buoy; data management; multi-encryption; data security

Cite this article

ZHANG Xinwen , LIU Yuqiang , LIU Tongmu , LIN Guanying , HUANG Hua . Research on buoy data security management system based on multi-encryption[J]. Journal of Tropical Oceanography, 2020 , 39(5) : 117 -123 . DOI: 10.11978/2019127

海洋资料浮标是海洋观测技术中常用的手段之一(Wang et al, 2016; Mariage et al, 2017), 具有长期、连续、全天候、全自动观测、数据实时传输等优点。海洋资料浮标观测要素主要包括水文、气象、水质等。随着其搭载设备、观测要素的多样化, 海洋资料浮标观测积累的数据量不断增长, 数据类型以文本数据为主, 如表1所示。自21世纪以来, 为了满足浮标观测数据的综合应用需求, 向社会开放数据以开展预报预测、防灾减灾、科学研究、保障海洋渔业发展, 研究学者提出了构建公共开放的海洋数据管理与应用平台的方案(何洪前 等, 2015; 辛冰 等, 2018), 但公共开放的数据管理平台会带来数据非法访问、核心数据泄露等安全问题。
表1 海洋浮标观测参数表

Tab. 1 Ocean buoy observation parameters

数据类别 观测要素 数据类型
检索信息 浮标站位、接收时间、描述信息等 文本数据
位置信息 经纬度等位置信息
状态信息 电压(单位: V)、方位(单位: °)、锚灯、存储空间(单位: M)等
风 最大、极大、平均、瞬时风速(单位: m·s-1)、风向(单位: °)
波浪 十分之一、平均、最大、有效波高(单位: m)、波向(单位: °)、波周期(单位: s)等
气象 气温(单位: °C)、湿度(单位: %)、气压(单位: hPa)、雨量(单位: mm)等
水文 水温(单位: °C)、盐度(单位: ‰)、电导率(单位: ms·cm-1)等
海流 剖面海流流速(单位: cm·s-1)、流向(单位: °)等
其他 溶解氧(单位: mg·L-1)、pH值、叶绿素浓度(单位: µg·L-1)、水下CO2质量分数等
报警 舱门、舱盖、舱进水、移位、异常观测值等告警信息
现阶段海洋数据管理系统中数据安全主要依赖硬件的安全性, 在针对海洋数据管理系统业务运行过程中的数据篡改、丢失或泄露等数据安全问题研究较少, 主要原因有两点: 1) 以往的海洋资料属于国家重要资产, 一般内部共享而不提供外部访问接口, 基本实现了数据的物理隔绝, 无需更深入的考虑数据安全存储问题。2) 浮标数据接收大多采用厂商提供的数据接收软件, 数据封装格式不一, 海洋数据管理系统没有做到观测数据统一管理。
目前数据安全管理主要是通过密码学技术实现的, 主要包括对称加密算法和非对称加密算法。其中对称加密算法加密效率高但加解密使用相同密钥, 算法安全性依赖于密钥的安全; 非对称加密算法安全性更高但算法开销大, 不适用于处理数据量大、加解密频率高的海洋资料浮标数据应用场景。因此, 本文根据浮标观测数据文本数据为主, 结合对称加密算法和非对称加密算法特征, 提出并实现了基于混合加密的浮标数据安全管理系统(Buoy Data security Management System based on Multi -Encryption, DMSME)。在DMSME中, 浮标观测原始数据通过对称加密算法进行加密存储, 对称加密密钥通过非对称加密算法加密, 该混合加密方案在保证数据存储与应用安全的同时也提高加密效率, 弥补了当前海洋数据管理系统在数据安全存储与应用领域的不足。

1 国内外相关研究

随着海洋事业的蓬勃发展, 数据管理系统已经成为海洋工程、科研、行政执法管理等必不可少的工具。国内外的专家学者对海洋浮标运行的可靠性和数据管理的安全性方面展开应用研究(Zhang et al, 2010; 曹文熙 等, 2018)。梅莉蓉(2017)与黄汉文(2014)针对海洋空间信息系统的特点、海洋空间信息安全任务, 分析了海洋信息系统安全需求, 宏观上提出了海洋信息系统安全体系与关键技术, 在建设海洋数据安全管理系统上有指导意义, 但未给出实际的解决方案。Ferretti等(2014)针对云服务场景的安全性提出了数据加密、密钥管理、身份验证和访问授权的整体架构, 探讨了多用户加密操作的可扩展体系结构, 但未考虑处理海量数据的效率问题。Raghavendra等(2018)提出了多关键词精确排序搜索和同义搜索方法, 通过构建检索树实现快速、准确地搜索云平台加密数据, 但该方法实现的密文检索需要维护密文对应的密文检索文件, 在高并发检索下性能开销巨大, 不适用于数据按需求分组加密场景。刘长华等(2014)通过浮标数据安全管理系统实现数据传输与通信过程中的异常状态报警, 但主要针对保障浮标系统的稳定运行。Zou等(2013)则提出了在浮标系统失控或被破坏时, 通过分析浮标系统的危险程度, 实现快速有效地删除浮标观测数据, 但是该方案主要针对自容式海洋观测设备, 没有考虑海洋数据管理系统的存储安全。阮进勇等(2015)结合手机和电子邮箱的双因素口令技术提出工作流安全机制, 解决了数字海洋云平台上用户与权限管理问题, 但该工作流安全机制主要依赖于固定的工作流程解决平台的权限管理, 有扩展的局限性且未考虑数据在存储与应用中的安全问题。
现有的海洋数据管理系统的研究, 主要是针对海洋数据管理系统的需求与安全体系建设, 海洋浮标数据接收的可靠性、海洋数据管理系统数据应用过程中的用户权限管理为主, 对于如何解决海洋观测数据开放应用过程中的数据安全问题, 尚未有系统的解决方案。

2 系统总体架构

2.1 系统架构

DMSME采用C/S架构, 即客户端/服务器架构模式, 其系统架构设计如图1所示:
图1 基于混合加密的浮标数据安全管理系统架构图

Fig. 1 Architecture of buoy data security management system based on multi-encryption

整个系统主要分为云验证子系统、数据管理子系统、数据可视化子系统、预警分析子系统、个性化设置子系统。以下对DMSME各功能子系统进行详细介绍:
1) 云验证子系统是整个DMSME的支撑, 它集用户登录身份认证、密钥生命周期管理、角色与权限管理等功能于一体, 通过一系列控制与通信传输操作完成与其他子系统的交互, 实现浮标数据管理系统的用户管理与访问控制。
2) 数据管理子系统是整个数据管理系统的仓库。主要包括浮标数据接收、数据混合加密与存储、业务交互等功能模块, 其中混合加密与存储模块根据数据的应用需求, 采用混合加密方案将原始数据加密存储, 并提供关键词检索接口实现与数据可视化子系统的业务交互。
3) 数据可视化子系统为浮标观测数据的开放共享、地图展示、加密数据的解码、数据实时在线管理、历史数据统计分析等需求提供可视化展示界面。业务用户通过该子系统进行登录后, 云验证子系统进行用户身份认证与权限校验, 并将对应的解密私钥分发至用户终端, 以实现对浮标观测原始数据的解密。
4) 预警分析子系统是浮标安全运行的保障。该子系统主要保障浮标系统的正常运行, 如对浮标运行状态的可靠性、稳定性及数据有效性等进行异常预警, 另外也结合历史浮标观测数据和实时接收数据, 对过去或未来一段时间的海洋水文变化进行数值模拟分析, 并提供分析结果作为参考。
5) 个性化设置子系统, 为不同角色提供相关的个性化设置, 如数据下载设置、权限申请变更、值班员浮标站位配置管理等功能。
DMSME在满足浮标数据开放共享、浮标运行状态查询、数据应用下载、海洋环境预测分析等现有浮标数据管理系统业务应用需求的同时, 也通过加密技术实现浮标原始数据在存储、应用分发过程中的数据安全。

2.2 数据访问与应用

海洋资料浮标主要通过搭载各类传感器实现对气象、水文、化学等要素的观测, 其观测的实时数据通过卫星网络等方式实时回传至岸站接收系统。DMSME接收数据后, 将数据进行加密存储并提供对外开放接口实现浮标观测数据的开放应用与共享, 其数据流向如图2所示。
图2 数据应用过程与数据流

Fig. 2 Data application process and data flow

由于浮标观测的特征是定点长期观测、数据实时传输, 在实际应用中主要分为两种情况: 一是需要实时查看浮标的状态与告警数据, 如水警、波高和风速阈值、位移等; 二是对观测数据的扩展应用与模拟分析, 如开展防灾减灾、渔业水产发展、海浪预测预报等公益服务, 用户需要按照时间节点下载历史数据作为数据源。针对数据的应用需求, DMSME在数据可视化子系统中对浮标观测数据进行分类处理, 明文展示需要实时确认的浮标运行状态数据, 如浮标站位代号、告警、位置位移、数据丢包率等数据; 对于应用分析的原始数据, 用户需要在完成登录及权限认证后, 数据管理子系统将请求的加密数据提取, 并在用户终端实现数据的最终解密, 保证数据应用分发过程的安全。具体数据解密细节详见3.2。

3 系统关键技术

3.1 混合加密与安全存储

3.1.1 数据存储分类
根据数据访问与应用需求, DMSME在存储上采用将浮标数据按需求分类, 浮标原始数据加密存储而其他信息明文展示的分类存储方案, 如表2所示。分类加密存储的好处是不需要对原始数据进行解密从而可以根据明文信息实现浮标运行状态分析、数据接收率查看等, 提高了业务效率, 同时明文数据主要是描述浮标运行状态、检索数据、报警信息等可以公开的数据, 不会造成核心数据泄露。
表2 数据分类加密存储

Tab. 2 Classified encrypted data storage

数据类别 观测要素 存储类型
检索数据 浮标站位、接收时间、描述信息等 P
位置数据 经纬度等位置信息 P
状态数据 电压(单位: V)、方位(单位: °)、锚灯、剩余空间(单位: M)等 P
报警信息 舱门、舱盖、舱进水、移位、异常观测值等 P
原始数据 风、波浪、气象、水文、海流等观测要素 C

注: P表示明文存储, C表示密文存储

3.1.2 混合加密与安全存储
数据安全存储要确保数据在存储和应用过程中完整、可靠和有效调用, 主要体现在数据的完整性、机密性、数据防篡改性等, 而实现数据安全的核心是加密算法和访问控制。
当前主流加密算法主要有对称加密算法和非对称加密算法(Fujisaki et al, 2013; Ma et al, 2018)。对称加密算法的加密和解密使用相同密钥, 其特点是计算量小、加解密效率高, 但加、解密都使用相同的密钥, 存在一定的安全隐患, 主要算法有数据加密标准(DES)、三重数据加密算法(3DES)、国际数据加密算法(IDEA)等; 非对称加密算法加密和解密使用不同的密钥, 即公钥加密数据和私钥解密数据, 算法安全性高但加密效率低, 主要算法有公开密钥密码体制(RSA), 椭圆加密算法(ECC)等。由于海洋资料浮标观测历史数据多、文本数据为主、时间效率要求高, 因此本文结合两种加密方法的特点, 采用混合加密方法实现数据的安全存储, 即采用对称加密算法对原始数据进行加密, 使用非对称加密算法加密对称密钥, 在保证数据的加密效率的同时提高数据安全性。混合加密存储方案如图3所示。
图3 云平台混合加密存储方案

Fig. 3 Cloud platform for data security storage scheme

数据加密存储主要步骤如下:
第一步, 生成密钥版本信息。密钥版本信息(Key_VersionInfo)是作为对称密钥和非对称密钥生成的输入参数。在密钥管理生命周期中, Key_VersionInfo作为密钥生命周期管理、数据访问的依据。
第二步, 生成对称密钥和非对称密钥。通过对称密钥生成算法和非对称密钥生成算法生成对称密钥(Key)和非对称密钥[包括公钥(Pub_Key)和私钥(Pri_Key)], 其中Key作为加、解密原始数据使用; 非对称密钥作为加、解密Key使用。
第三步, 加密原始数据。使用第二步得到的Key对所要加密存储的数据进行加密, 得到加密原始数据的密文C1, 具体需要加密的数据参考表2数据分类加密存储。
第四步, 使用Pub_Key加密Key, 得到Key的密文C2。
第五步, 数据存储。将密文C1、C2和Key_VersionInfo存储至数据库。
方案中通过对称加密算法加密原始数据, 保证了数据加密处理效率, 降低了系统性能要求, 同时通过非对称加密算法加密Key, 提高了密钥的安全性。对于加密数据来说, 每一次的加密和解密所用的密钥依赖于密钥版本信息, 因此可以通过定期调整该参数实现密钥的实时更新, 能够提高密钥的安全性。

3.2 密钥管理与数据解密

根据混合加密与安全存储方案, DMSME通过对称加密算法和非对称加密算法实现数据的安全存储, 其加密算法的安全性主要依赖于密钥的安全性, 符合浮标数据业务应用流程的密钥管理方案将能够很好的保障数据的存储安全。根据浮标数据应用业务需求, 本文提出灵活可配置的密钥生命周期管理实现密钥管理, 数据解密与密钥生命周期管理方案如图4所示。
图4 数据解密与密钥生命周期管理方案

虚线表示客户端/服务端, 表明在密钥管理使用过程中步骤的执行者

Fig. 4 Data decryption and key life cycle management scheme

用户完成登陆校验和权限认证后, 云验证子系统将根据密钥版本信息生成解密私钥并分发给用户终端, 终端接收密钥后在本地实施密钥临时存储、密钥使用、密钥退出销毁以及密钥更新等策略。具体的密钥生命周期管理如下:
1) 解密密钥生成。用户输入认证信息进行系统登陆后, 云验证子系统对用户进行登录校验, 若校验成功则提取Key_VersionInfo。系统依据Key_VersionInfo生成Pri_Key;
2) 密钥的分发。云验证子系统将生成相应权限的Pri_Key分发给登录用户;
3) 密钥存储。用户终端将云端分发的Pri_Key临时加密存储于配置文件config.key中;
4) 密钥的使用。用户首先发起数据访问请求, 云平台根据请求调取对应密文C1、原始数据密文C2, 并将对应的完整性签名信息一起组成数据包分发给用户终端。用户终端首先进行数据完整性校验, 将签名计算结果与签名信息进行比对, 比对成功则使用Pri_Key解密密文C1, 得到密钥Key, 并使用Key解密密文C2, 获得数据明文。若完整性校验失败则丢弃该数据包并执行本地密钥的销毁;
5) 密钥销毁。在登录用户完成数据访问/下载需求, 或程序超时未调用时, 则执行退出登录操作, 所属权限等级的密钥数据将被删除销毁;
6) 密钥定时更新。在DMSME中, 密钥生成器根据Key_Versioninfo生成密钥Key、Pri_Key和Pub_Key。DMSME通过配置Key_Versioninfo参数, 实现密钥定时/即时更新, 提高了密钥的安全性。
DMSME采用灵活可配置的数据解密和密钥生命周期管理和方案, 实现数据密文分发、用户终端解密, 保证应用分发过程中的数据安全, 并通过密钥定期更新、用户退出系统密钥即销毁等策略提高了密钥的安全性。

3.3 系统加、解密效率与安全性分析

系统采用混合加密方案保证数据的安全性, 但在系统运行中对数据的中间处理操作将增加系统性能开销, 降低数据的存取效率。以下针对混合加密方案的加、解密处理效率与数据安全性进行分析。
1) 系统加、解密效率分析
加密效率: DMSME加密操作在云平台进行, 由于浮标数据观测的持续性, 数据加密的特点是频次较高但单次加密数据量较小, 并且在加密原始数据时采用的是加密效率高的对称加密算法, 系统加密性能开销小, 整体加密效率高。
解密效率: 因浮标数据访问应用过程中需要解密的历史数据量较大, 是系统运行加密算法的性能瓶颈。因此, DMSME将原始数据的解密工作交由各用户访问终端完成, 且调用非对称加密算法解密Key时仅需要运行一次, 并使用解密效率高的对称加密算法完成数据的解密工作, 降低了云平台的系统性能开销同时提高了系统解密效率, 保证系统业务正常运行。
2) 数据安全性分析
加密算法安全性: DMSME采用混合加密方案的安全性取决于密钥的安全性, 根据密钥生命周期管理方案, 云验证子系统依赖参数Key_Versioninfo生成加解密密钥, 并通过配置Key_Versioninfo, 实现终端退出销毁、定时更新、即时更新等密钥安全管理策略, 提高了加密算法的安全性。
原始数据的存储安全: 数据管理子系统接收浮标观测数据后, 即对数据使用加密算法加密原始数据, 并将此密文数据存储至云平台服务器, 攻击者即使通过抓包或者攻击存储服务器, 获得的数据也是加密后密文数据, 确保原始数据存储安全。
数据应用分发过程中的安全性: 在数据访问过程中, 用户发送申请数据请求, 云验证子系统验证用户权限后, 返回给用户的依旧是加密密文数据, 即在整个系统通信过程中, 请求和响应均是密文信息, 从而有效防止数据泄露。同时, 终端接收数据后进行数据完整性校验, 如校验结果与预期签名不匹配, 则不执行解密操作且销毁本地私钥, 防范任何在数据传输过程中的修改、删除、添加操作, 保证数据应用分发的安全。

4 结束语

针对海洋资料浮标数据公益应用过程中存在的数据安全问题, 本文提出并实现了基于混合加密的浮标数据安全管理系统, 并详细介绍了系统架构设计、混合加密存储与密钥管理方案。DMSME根据数据应用需求, 采用混合加密方案对数据进行加密后存储, 即通过对称加密算法加密原始数据和非对称加密算法加密对称密钥, 既保证了系统的加密效率也提高了数据安全性。在数据应用过程中通过灵活的密钥生命周期管理实现数据密文传输和终端解密, 保证应用分发过程中的数据安全。系统加解密效率与安全性分析结果表明, 采用混合加密与终端解密方案在满足业务应用的同时也提高了数据安全性。

References

Publishing order | Descend order by publishing year | Descend order by cited within
[1]
曹文熙, 孙兆华, 李彩, 等, 2018. 水质监测浮标数据采集和接收系统设计及其应用[J]. 热带海洋学报, 37(5):1-6.

CAO WENXI, SUN ZHAOHUA, LI CAI, et al, 2018. Design and application of data collecting system and data receiving system for water quality monitoring buoy[J]. Journal of Tropical Oceanography, 37(5):1-6 (in Chinese with English abstract).

[2]
何洪前, 李莎, 徐超, 2015. 基于云服务的南海海洋断面科学考察数据共享研究[J]. 热带海洋学报, 34(6):49-56.

DOI

HE HONGQIAN, LI SHA, XU CHAO, 2015. Study on data sharing for scientific investigation in the South China Sea based on cloud computing[J]. Journal of Tropical Oceanography, 34(6):49-56 (in Chinese with English abstract).

[3]
黄汉文, 2014. 海洋空间信息安全技术研究[J]. 航天电子对抗, 30(1):1-4.

HUANG HANWEN, 2014. Study on information security technology in ocean space[J]. Aerospace Electronic Warfare, 30(1):1-4 (in Chinese with English abstract).

[4]
刘长华, 冯立强, 贾思洋, 等, 2014. 信息技术在海洋观测浮标系统安全保障体系的应用[J]. 科研信息化技术与应用, 5(4):75-81.

LIU CHANGHUA, FENG LIQIANG, JIA SIYANG, et al, 2014. The application of information technology to security assurance of ocean observation buoy system[J]. E-Science Technology & Application, 5(4):75-81 (in Chinese with English abstract).

[5]
梅莉蓉, 2017. 海洋信息系统安全体系研究[J]. 通信技术, 50(8):1822-1825.

MEI LIRONG, 2017. Security architecture of marine information system[J]. Communications Technology, 50(8):1822-1825 (in Chinese with English abstract).

[6]
阮进勇, 徐凌宇, 丁广太, 2015. 数字海洋云计算平台工作流安全机制[J]. 计算机技术与发展, 25(1):155-158.

NGUYEN TIENDUNG, XU LINGYU, DING GUANGTAI, 2015. Security mechanism of workflow on cloud computing platform of Digital ocean[J]. Computer Technology and Development, 25(1):155-158 (in Chinese with English abstract).

[7]
辛冰, 符昱, 王漪, 等, 2018. 海洋科学数据共享平台设计与实现[J]. 海洋信息, 33(1):43-48, 55.

XIN BING, FU YU, WANG YI, et al, 2018. Design and implementation of marine science data sharing platform[J]. Marine Information, 33(1):43-48, 55 (in Chinese with English abstract).

[8]
FERRETTI L, PIERAZZI F, COLAJANNI M, et al, 2014. Scalable architecture for multi-user encrypted SQL operations on cloud database services[J]. IEEE Transactions on Cloud Computing, 2(4):448-458.

[9]
FUJISAKI E, OKAMOTO T, 2013. Secure integration of asymmetric and symmetric encryption schemes[J]. Journal of Cryptology, 26(1):80-101.

[10]
MA SHA, MU YI, SUSILO W, 2018. A generic scheme of plaintext-checkable database encryption[J]. Information Sciences, 429:88-101.

[11]
MARIAGE V, PELON J, BLOUZON F, et al, 2017. IAOOS microlidar-on-buoy development and first atmospheric observations obtained during 2014 and 2015 arctic drifts[J]. Optics Express, 25(4):A73-A84.

PMID

[12]
RAGHAVENDRA S, GIRISH S, GEETA C M, et al, 2018. Split keyword fuzzy and synonym search over encrypted cloud data[J]. Multimedia Tools and Applications, 77(8):10135-10156.

[13]
WANG JUNCHENG, WANG ZHONGQIU, WANG YIMING, et al, 2016. Current situation and trend of marine data buoy and monitoring network technology of China[J]. Acta Oceanologica Sinica, 35(2):1-10.

[14]
ZHANG MINGHUA, HUANG DONGMEI, HE SHENGQI, et al, 2010. Construction of a platform for management of multi-dimension heterogeneous and mass ocean data[C]// International Conference on Electrical and Control Engineering. Wuhan, China: IEEE.

[15]
ZOU GUOLIANG, MA JINGJING, 2013. The data self-destruction technology research used in marine environmental monitoring buoy system[J]. Applied Mechanics and Materials, 336-338:2195-2198.

Options
Outlines

/

〈 〉