admin 经过这几年大投入、高效率的建设，我军档案馆的信息化水平有了较大的提高。各馆研制了相应的档案信息网络数据库系统，使得利用者在查询检索档案材料的时候，绝大多数情况下不需要再翻阅档案原件。查询效率大大提高。在取得上述成绩的同时，我们也应当看到当前各档案馆的档案信息网络数据库系统中存在的一个重要问题，就是提供远程利用者通过网络查询档案的安全问题一直没有很好的解决。
一、当前档案信息网络数据库系统中存在的安全问题
档案信息往往具有一定的密级，其查阅时间、范围、人员等方面都有严格的限制和规定。档案信息数字化后，通过网络传递可以极大地方便远程利用者异地查询档案，不但提高工作效率而且减少差旅费用支出口但现实的情况是由于担心网络传输中的泄密可能，很多档案馆的档案信息网络数据库查询功能还仅提供在本馆的局域网中进行，这就大大降低了数字化档案信息的服务范围和服务水平，也使得档案数字化信息化建设的巨额投入没有最大限度地发挥应有的效用。
档案馆对安全问题的考虑是有道理的。由于目前我们使用的网络环境基于TCP/IP协议，而这个协议的设计之初就没有考虑安全保密，因此绝大多数情况下在网络上传递的信息都是原始的明文信息，黑客或者其他别有用心的人很容易使用嗅探工具窃取网络上传递的信息。正是由于这种现实的安全威胁存在，极大地限制了档案信息网络数据库系统的效能发挥。
二、加密技术及其在网络中的应用
随着技术的发展，加密技术成为解决网络通信安全的有效技术手段。加密技术可将数据打乱，防止窃密者了解信息的真实内容，而只有授权者才能解密并读懂数据内容。当原始数据（称为“明文”）与密钥一起经过数学函数处理后，数据就完成了加密。此过程使原始数据转为不可读形式，称为“密文”，为使此数据重新可读，数据接收方需要使用相反的数学函数以及正确的密钥将数据解密。加密类型主要有两种：对称加密和非对称加密。
对称加密使用相同的密钥加密和解密数据口对称加密使用的算法比非对称加密使用的算法简单，加密的速度要快得多，因此适合大量数据的加密和解密。其主要缺点是使用相同的密钥加密和解密数据，因此所有的数据发送方和接收方都必须知道加密密钥。这使得在网络环境下密钥的安全管理成为很难解决的问题。对称加密使用的加密算法主要有：RC2、3DES、AES等。
非对称加密使用两个具有数学关系的不同密钥加密和解密数据。这两个密钥分别称为私钥和公钥。由于非对称加密使用的算法比对称加密更复杂，其加密过程比对称加密慢很多。在非对称加密中，只有一方持有私钥，所有其他各方都可以访问其公钥。通过公钥加密的数据只能通过私钥解密。反之，通过私钥加密的数据只能通过公钥解密。因此，此种加密提供了保密和确认（签名）两种功能。非对称加密算法主要有：Diffie-Hellman、RSA、DSA等。
在复杂的网络环境中，更多的时候是同时使用对称和非对称加密算法技术，称之为混合加密。混合加密方法结合了上述两种加密方法的优点，从而达到确保只有授权的接收方才能读取数据的目的。在混合加密方案中，使用者将对称加密与一个随机生成的密钥结合使用来加密数据。此步骤利用了对称加密速度快的优点．然后，通过使用非对称密钥对的公钥，将此对称加密密钥加密。此步骤利用了非对称加密安全性更高的优点。
经过加密的数据与经过加密的对称密钥一起发送给数据接收方。要将数据解密，接收方首先需要使用非对称密钥对的私钥，将对称加密密钥解密，然后再使用经过解密的对称密钥将数据解密。
现在密码技术的发展使得经过合理加密的数据变得牢不可破。以AES加密算法为例，这个算法在2000年最终被确定并形成标准。当采用128位密钥加密数据时，即使用当前世界上最快的计算机运算，也需要约1023年才能破解。对于极其保密的数据，还可以采用192位甚至256位的密钥加密。因此，只要采用先进的加密算法，正确的管理密钥，就能够保证网络通信安全。
三、对档案信息网络数据库的安全升级方案
由于各档案馆在研制档案信息网络数据库系统之初没有进行加密传输的考虑，因此很多应用系统目前都无法保证档案信息在网络传输过程中的安全。考虑到重新研制新的安全系统的时间、资金、人力成本问题，对已有系统的安全升级改造是一个切实可行的方案。
近几年开发研制的档案信息网络数据库系统多采用浏览器服务器(B/S)模式，利用者的计算机上不需要安装特殊的客户端程序，只需打开上网的浏览器如Internet Exporler，填入档案馆提供的查询网址即可查询检索档案信息；而档案馆一端除了数据库服务器外，还需配置www服务器，并且在服务器中编制相应的程序。另一种是早期的客户机/服务器(C，S)的模式，由于现在应用
较少，本文不再讨论。
对浏览器／服务器(B/S)模式的档案信息网络数据库系统进行安全升级的步骤为：
首先，在客户机端运行一个网络加密代理服务器程序，同时将利用者的浏监器Internet Exporler设置为通过此代理服务器访问网络。该代理服务器将浏览器发来的网络访问请求内容加密，发送到服务器端的加密代理服务器上。
其次，在档案馆的服务器端运行网络加密代理服务器，接收客户端加密代理服务器传来的加密信息，解密后传送给www服务器和数据库服务器进行查询。查询结果经过服务器端加密代理服务器加密返回客户端加密代理，解密后传送给浏览器显示结果。
第三，在客户机上使用防火墙禁止除加密代理服务器外所有其他程序（包括浏览器）直接访问。网络，对加密代理服务器也仅开放访问服务器端加密代理服务器的专用端口。
第四，在服务器端同样禁止除加密代理服务器外其他所有程序访问网络，并只开放与客户端加密代理服务器的通信端口。
通过以上叙述我们可以看出，基于浏览器，服务器(B/S)模式的档案信息网络数据库系统的安全升级可以在完全不更改已经存在的系统的前提下进行，只需在客户端计算机和档案馆端计算机上分别运行两个加密代理服务器，然后在客户的浏览器中设定一下代理服务器即可。进行上述安全升级在无论在技术上还是成本上都是可行的，也是必要的。
四、安全升级方案的具体实现
针对档案信息网络数据库系统的安全升级，具体实现时有多种选择，其主要区别在于采用何种加密代理。既可以由程序员全新编制，也可以采用现成的软件。在这里，笔者认为综合考虑人力成本、资金成本和实际效能等相关因素，采用Stunnel+OpenSSL+ Privoxy建立加密网络通道的方案最为可行。理由如下：
首先这三个软件都是开源软件，其源代码可以自由下载使用，以避免某些商业软件中可能存在的不安全因素；其次是这三个软件中提供实际加密功能的OpenSSL是一个健全的、可靠的加密工具包，实现了安全套接层协议和传输层安全协议；第三是这些软件同时具有Windows、Linux等多种操作系统版本，能够满足不同平台的需要：最后是这些软件是由无数程序员积聚其思想精华
共同努力开发和维护的。
具体实施安全升级的步骤如下：
1、建立档案馆服务器端的加密代理服务器
(1)下载Privoxy:下载EXE文件或者源文件然后自己编译。
(2)修改配置文件config，txt中的选项后运行：
listen·addressl Http Proxy的端口，默认的是127.0.0.1:81118。
pcrmit-access、deny．access：允许/拒绝的IP域名，建议只允许localhost。
(3)安装Stunnel：下载Stunnel和OpenSSL库，将所有文件放到同一个目录下。
(4)创建服务器证书：
执行opcnssl req-ncw-x509-days 365-nodels-conf18: openssl.cnf-out 8tunnel.pem-kcyout stunnel.pcm创建一个自己给自己签名的证书。
(5)修改配置文件stunnel．conf后运行：
keysstunnel.pem
[http2ssl]
accept= 443
connect=127.0.0.i:8118
(6)将Stunnel安装成MS Brr服务方式：stunnel．exe-install。（可选）
2、建立客户计算机端的加密代理服务器
(1)安装Stunnel：下载Stunnel和OpenSSL，将所有文件放到同一个目录下。
(2)修改配置文件stunnel．conf后运行：
client=yes
[ss12http]
accept= 127.0.0.1:80。
只允许本机使用
conncct=192.168.0,1:443
档案馆服务器的地址和端口
直接运行stunnel,exe，就可以启动Stunncl了。
(3)在浏览器设置Http代理服务器
在IE中设置127.0.0.1:80。
完成上述设置后，在利用者使用的客户机到档案馆的服务器之间就建立了一个安全加密通道，所有在此通道中传送的网络数据都经过高强度的加密处理，能够保证在开放复杂的网络传输中的信息安全。
小知识之TCP/IP协议
Transmission Control Protocol/Internet Protocol的简写，中译名为传输控制协议/因特网互联协议，又名网络通讯协议，是Internet最基本的协议、Internet国际互联网络的基础，由网络层的IP协议和传输层的TCP协议组成。TCP/IP 定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的协议来完成自己的需求。通俗而言：TCP负责发现传输的问题，一有问题就发出信号，要求重新传输，直到所有数据安全正确地传输到目的地。而IP是给因特网的每一台电脑规定一个地址。
