一，引言

“校园一卡通”作为数字校园建设的核心内容之一，不仅是消费系统，而且具有完善的数据管理功能，结合现有的管理信息系统，提供跨平台、跨数据库可持续发展的数字校园信息平台，完成校园信息传输和服务。因此，其数据的安全性已经成为“校园一卡通”系统在设计、实施和使用过程中必须考虑的问题。本文以学校所在学校为基础。“校园一卡通”实施经验从校园卡安全、网络安全、数据安全、系统安全和管理安全五个方面研究了基于校园网络的一卡通系统的安全策略。

二、校园卡安全

校园卡采用非接触卡，操作简单，抗干扰能力强，可靠性高，安全性好。

（1）一卡一密：卡的密钥由用户保管，用户可以重新设置密钥，以密文的形式传输和保存。这样，即使攻击者知道某张卡的密钥，也无法计算出其他卡上的密钥；

(2)一次一密:密钥随机生成，攻击者理论上不可能破解所有密文；

(3)大额验证:用户在进行大额交易时需要验证持卡密码；

（4）锁定和解锁：如果连续多次输入密码错误，卡将被锁定，用户只能在卡中心解锁，才能继续使用卡。

为提高校园卡的安全性，可采取以下措施。

（1）校园卡界面设置安全区。(2)使用密钥认证。(3)通过黑白名单管理校园卡。消费子系统和自助支付系统采用黑名单。

三、网络安全

(1)加密技术

加密技术是网络安全的核心和关键技术，包括链路加密、端点加密和节点加密。其目的是保证数据、文件和控制信息的安全性和完整性，是提高数据传输安全性的最有效技术之一

(2)网络物理分段

网络从物理层和数据链路层层层(ISO/OSI模型中的第一层和第二层分为校园一卡通系统子网，控制每个非一卡通子网的访问，实现网络系统的安全控制。

(3)VLAN技术

采用VLAN该技术将综合业务、身份端机、数据库与各卡通应用子系统分离，各子系统的服务器配置由双网卡实现物理分离，各卡通子系统端口与校园网络其他网段分离，使系统具有较高的安全性。

基于交换机的端口划分VLAN。每个卡通系统接口对应每个交换端口所在的网段都是相同的VLAN。同时，根据系统的安全性进行划分VLAN，单独将校园一卡通系统结算中心的服务器系统划分为一个VLAN，将其它子系统划分为一个或几个VLAN。服务器、子系统、网关、触摸屏、卡中心等一卡通相关均分为专用VLAN，其他网段不允许访问。

(4)VPN技术

VPN(虚拟专网)用户验证功能可禁止未经授权的非法访问一卡通专网。VPN一卡通网络内外建立一个虚拟通道来传输内容，使用复杂的算法来加密和附加数字签名，以确保数据的保密性和完整性。

(5)访问控制策略(ACL)

应用于通过一卡通网络的所有二层和三层交换机ACL。ACL可以对IP地址、端口、MAC过滤地址、协议。ACL规则定义中的访问控制列表和扩展访问控制列表：只允许一卡通网段IP访问数据库；数据库主机只打开部分应用端口：屏蔽病毒经常入侵的端口和系统中不常用的端口；屏蔽所有不属于一卡通系统的端口IP和MAC。如

ipaccess-listextendedid

deny|permitprotocolsource_addrsource_mask[operatorport[port]]destination_addrdestination_maskoperatorport

好好利用ACL在物理网络中构建一个逻辑独立的一卡通系统平台。