信息安全与技术课件10(清华大学)

信息安全与技术清华大学出版社第10章应用层安全技术应用系统的安全技术是指在应用层面上解决信息交换的机密性和完整性，防止在信息交换过程中数据被非法窃听和篡改的技术。第一节Web安全技术Web页面为用户提供了网络应用系统的接口以及海量的多媒体信息（包括文字、音频、视频信息），透过Web页，人们可以从事海量知识和信息的检索、网络办公以及网络交易等日常的工作、学习、娱乐活动。然而，有些人受利益驱动，利用了人们上网的心理和Web本身存在的漏洞，进行违法犯罪活动。一、Web概述1.Web组成部分Web最初是以开发一个人类知识库为目标，并为某一项目的协作者提供相关信息及交流思想的途径。Web的基本结构是采用开放式的客户端/服务器结构（Client/Server），它们之间利用通信协议进行信息交互。2.Web安全问题Web的初始目的是提供快捷服务和直接访问，所以早期的Web没有考虑安全性问题。随着Web的广泛应用，Internet中与Web相关的安全事故正成为目前所有事故的主要组成部分。为了深入了解国内用户应对Web安全威胁的现状，帮助他们找出隐患、提高防范能力，国内领先的中文IT技术网站51CTO.com于2008年12月特别推出了“Web安全威胁在线调查”活动，邀请广大用户参与线上调查，为当前Web安全及威胁现状提供更为有力的数据依据。本次调查按照问卷形式进行，分三个主题，共有14道调查选项，由51CTO.com安全频道和业内相关专家共同拟定。分别调查用户在“网站安全”、“IM即时通讯安全”、“邮件安全”三个方面的安全现状。二、Web安全目标Web安全目标主要分为以下3个方面：（1）保护Web服务器及其数据的安全（2）保护Web服务器和用户之间传递信息的安全（3）保护终端用户计算机及其他连入Internet的设备的安全三、Web安全技术的分类Web安全技术主要包括Web服务器安全技术、Web应用服务安全技术和Web浏览器安全技术三类。第二节电子邮件安全技术随着Internet的发展，电子邮件（E-mail）已经成为一项重要的商用和家用资源，越来越多的商家和个人使用电子邮件作为通信的手段。但随着互联网的普及，人们对邮件的滥用也日渐增多，一方面，试图利用常规电子邮件系统销售商品的人开始利用互联网发送E-mail，经常导致邮件系统的超负荷运行；另一方面，黑客利用电子邮件发送病毒程序进行攻击。随着E-mail的广泛应用，其安全性备受人们关注。一、电子邮件系统的组成E-mail系统主要由邮件分发代理、邮件传输代理、邮件用户代理及邮件工作站组成。二、电子邮件安全目标根据邮件系统的组成，可以将邮件安全目标总结如下：1.邮件分发安全2.邮件传输安全3.邮件用户安全三、电子邮件安全技术分类针对前述的安全目标，常用的安全技术如下：1.身份认证技术2.加密、签名技术3.协议过滤技术4.防火墙技术5.邮件病毒过滤技术四、电子邮件安全标准——PGPPGP（PrettyGoodPrivacy）是一种对电子邮件提供加密、签名和认证的安全服务的协议，已成为电子邮件事实上的安全标准。PGP将基于公钥密码体制的RSA算法和基于单密钥体制的IDEA算法巧妙地结合起来，同时兼顾了公钥密码体系的便利性和传统密码体系的高速度，形成了一种高效的混合密码系统。PGP支持对邮件的数字签名和签名验证，还可以用来加密文件。（1）应用PGP对邮件进行数字签名和认证（2）应用PGP对邮件只签名而不加密（3）应用PGP对邮件内容进行加密第三节身份认证技术在现实社会中，人们常常会被问到：你是谁？在网络世界里，这个问题同样会出现，许多信息系统在使用前，都要求用户注册，通过验证后才能进入。身份认证是防止未授权用户进入信一、身份认证的含义身份认证包含身份的识别和验证。身份识别就是确定某一实体的身份，知道这个实体是谁；身份验证就是对声称是谁的声称者的身份进行证明（或检验）的过程。前者是主动识别对方的身份，后者是对对方身份的检验和证明。通常所说的身份认证就是指信息系统确认用户身份的过程。在数字世界中，一切信息包括用户的身份信息都是由一组特定的数据来表示的，计算机只能识别用户的数字身份，给用户的授权也是针对用户数字身份进行的。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。保证操作者的物理身份与数字身份相对应，就是身份认证管理系统所需要解决的问题。目前，验证用户身份的方法主要有以下3种情况：（1）所知道的某种信息，比如口令、账号和身份证号等；（2）所拥有的物品，如图章、标志、钥匙、护照、IC卡和USBKey等；（3）所具有的独一无二的个人特征，如指纹、声纹、手形、视网膜和基因等。二、身份认证的方法1.基于用户已知信息的身份认证（1）口令（22.基于用户所拥有的物品的身份认证（1（2）智能卡（3）USBKey3.基于用户生物特征的身份认证传统的身份认证技术，不论是基于所知信息的身份认证，还是基于所拥有物品的身份认证，甚至是二者相结合的身份认证，始终没有结合人的特征，都不同程度地存在不足。以“用户名+口令”方式过渡到智能卡方式为例，首先需要随时携带智能卡，智能卡容易丢失；其次，需要记住PIN，PIN也容易丢失和忘记;当PIN或智能卡丢失时，补办手续繁琐冗长，并且需要出示能够证明身份的证件，使用很不方便。直到生物识别技术得到成功的应用，身份认证问题才迎刃而解。这种紧密结合人的特征的方法，意义不只在技术上的进步，而是站在人文角度，真正回归到了人本身最原始的生理特征。生物识别技术主要是指通过可测量的身体或行为等生物特征进行身份认证的一种技术。生物特征是指唯一可以测量或可自动识别和验证的生理特征或行为方式。生物特征分为身体特征和行为特征两类。身体特征包括指纹、掌型、视网膜、虹膜、人体气味、脸型、手的血管和DNA等；行为特征包括签名、语音、行走步态等。目前部分学者将视网膜识别、虹膜识别和指纹识别等归为高级生物识别技术;将掌型识别、脸型识别、语音识别和签名识别等归为次级生物识别技术;将血管纹理识别、人体气味识别、DNA识别等归为与传统身份认证技术相比，生物识别技术具有以下特点：(1)随身性：生物特征是人体固有的特征，与人体是唯一绑定的，具有随身性。(2)安全性：人体特征本身就是个人身份的最好证明，可满足更高的安全需求。(3)唯一性：每个人拥有的生物特征各不相同。(4)稳定性：指纹、虹膜等人体特征不会随时间等条件的变化而变化。(5)方便性：生物识别技术不需记忆密码与携带使用特殊工具（如钥匙），不会遗失。(6)可接受性：使用者对所选择的个人生物特征及其应用愿意接受。第四节公钥基础设施PKI技术PKI（PublicKeyInfrastructure）是公钥基础设施的简称，是一种遵循标准的，利用公钥密码技术为网上电子商务、电子政务等各种应用提供安全服务的基础平台。它能够为网络应用透明地提供密钥和证书管理、加密和数字签名等服务，是目前网络安全建设的基础与核心。用户利用PKI平台提供的安全服务进行安全通信。一、PKI技术概述PKI采用数字证书进行公钥管理，通过第三方的可信任机构(认证中心，即CA)把用户的公钥和用户的标识信息捆绑在一起，包括用户名和电子邮件地址等信息，目的在于为用户提供网络身份验证服务。因此，所有提供公钥加密和数字签名服务的系统都可归结为PKI系统的一部分，PKI的主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下应用PKI提供的服务，从而实现网上传输数据的机密性、完整性、真实性和有效性要求。PKI发展的一个重要方面就是标准化问题，它也是建立互操作性的基础。目前，PKI标准化主要有两个方面:一是RSA公司的公钥加密标准PKCS（PublicKeyCryptographyStandards），它定义了许多基本PKI部件，包括数字签名和证书请求格式等;二是由Internet工程任务组IETF（InternetEngineeringTaskForce）和PKI工作组（PublicKeyInfrastructureWorkingGroup）所定义的一组具有互操作性的公钥基础设施协议PKIX（PublicKeyInfrastructureUsingX.509），即支持X.509的公钥基础的架构和协议。二、PKI的组成PKI系统由认证中心（CertificateAuthority，CA）、证书库、密钥备份及恢复系统、证书作废处理系统和应用接口等部分组成，如下图PKI认证中心（CA）证书库密钥备份及恢复系统证书作废处理系统应用接口1.认证中心（CA）CA是PKI的核心，它是数字证书的签发机构。构建PKI平台的核心内容是如何实现密钥管理。公钥密码体制包括公钥和私钥，其中私钥由用户秘密保管，无需在网上传送，公钥则是公开的，可以在网上传送。因此，密钥管理实质上是指公钥的管理，目前较好的解决方案是引入数字证书（CertificateCA的功能有证书发放、证书更新、证书撤销和证书验证。CA的核心功能就是发放和管理数字证书。CA主要由注册服务器、注册机构RA（RegistryAuthority，负责证书申请受理审核）和认证中心服务器3部分组2.证书库证书库就是证书的集中存放地，包括LDAP目录服务器和普通数据库，用于对用户申请、证书、密钥、CRL和日志等信息进行存储和管理，并提供一定的查询功能。一般来说，为了获得及时的服务，证书库的访问和查询操作时间必须尽量的短，证书和证书撤销信息必须尽量小，3.密钥备份及恢复系统如果用户丢失了用于解密数据的密钥，则密文数据将无法被解密，造成数据的丢失。为了避免这种情况的出现，PKI应该提供备份与恢复解秘密钥的机制。密钥的备份与恢复应该由可信的机构来完成，认证中心(CA)可以充当这一角4.证书作废处理系统证书作废处理系统是PKI的一个重要的组件。同日常生活中的各种证件一样，证书在CA为其签署的有效期以内也可能需要作废。为实现这一点，PKI必须提供作废证书的一系列机制。作废证书一般通过将证书列入作废证书列表（CRL）来完成。证书的作废处理必须在安全及可验证的情况下进行，系统还必须保证CRL5.应用接口PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此，一个完整的PKI必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，同数字证书是网络用户身份信息的一系列数据，用来在网络通信中识别通信各方的身份。1978年Kohnfelder在其学士论文《发展一种实用的公钥密码系统》中第一次引入了数字证书的概念。数字证书包含ID、公钥数字证书的形式主要有X.509公钥证书、简单PKI（SimplePublicKeyInfrastructure）证书、PGP（PrettyGoodPrivacy）证书和属性（Attribute）证书。第五节电子商务安全技术一、电子商务安全问题电子商务的安全问题，主要是在开放的网络环境中如何保证信息传递中的完整性、可靠性、真实性以及预防未经受权的非法入侵者这几个方面的问题上。而解决这些问题主要是表现在技术上，并在采用和实施这些技术的经济可行性上。这方面的问题是电子商务安全考虑和研究的主要问题。简单讲一是技术上的安全性，二是安全技术的实用可行性。大量的事实表明，安全是电子商务的关键问题。安全得不到保障，即使使用Internet再方便，电子商务也无法得到广大用户的认可。1.电子商务的安全隐患与现实商务不同，参与电子商务的各方不需要面对面来进行商务活动，信息流和资金流都是通过Internet来传输。而Internet是一个向全球用户开放的巨大网络，其技术上的缺陷和用户使用中的不良习惯，使得电子商务中的信息流和资金流在通过Internet传输时，存在着许多安全隐患，这就是电子商务的安全问题。（1）中断系统——破坏系统的有效性（2）窃听信息——破坏系统的机密性（3）篡改信息——破坏系统的完整性（4）伪造信息——破坏系统