计算机网络安全复习 第8章Web安全

八、Web安全

1、Web是一个运行于internet和TCP/IP intranet 之上的基本的client/server应用。

2、基于Web信息流的安全方法

网络层——IP 安全性(IPSec)
传输层—— SSL / TLS
应用层——S/MIME,PGP,SET,Kerberos

3、SSL和TLS

SSL-Secure Socket Layer，基于TCP协议
HTTPS不能与S-HTTP相混淆：
HTTPS是基于SSL来实现安全的HTTP。 即，HTTP运行在TLS或SSL之中可得到安全的信息传输。
S-HTTP是安全得到加强的HTTP版本，是IETF开发和推荐的一种标准（RFC 2660）。

**IPSec安全协议工作在网络层，SSL工作在传输层之上、应用层之下，S-HTTP和S/MIME都工作在应用层。 **

SSL被设计用来使用TCP提供一个可靠的端到端安全服务。

SSL为两层结构，包含4种协议
SSL记录协议(Record Protocol)：提供安全传输机制
SSL握手协议(Handshake Protocol)：建立安全会话、交换密钥
SSL更改密码协议(Change Cipher Spec Protocol)
SSL报警协议(Alert Protocol)：将报警信息传输给对方，如握手失败、MAC错、…

SSL连接（connection)
一个连接是一个提供一种合适类型服务的传输（OSI分层的定义）。
SSL的连接是点对点的关系。
连接是暂时的，每一个连接和一个会话关联。
SSL会话（session）
一个SSL会话是在客户与服务器之间的一个关联。会话由Handshake Protocol创建。会话定义了一组可供多个连接共享的加密安全参数。
会话用以避免为每一个连接提供新的安全参数所需昂贵的谈判代价。

4、SSL Record Protocol

保密性。Handshake Protocol定义一个共享的保密密钥用于对SSL有效负载加密。
消息完整性。Handshake Protocol定义一个共享的保密密钥用于形成MAC。

5、SET协议

SET是计算机网络上的一种开放式标准，也是银行卡安全付款的具体规范。
SET实现了信息的集成、全部金融数据的证实、敏感数据的加密等工作。
SET服务：提供安全交易信道、使用X.509v3数字证书提供信任、确保私密性

SET支付系统的参与方主要有:
持卡人，即消费者，他们通过web浏览器或客户端软件购物；
商家，提供在线商店或商品光盘给消费者；
发卡人，它是一金融机构，为持卡人开帐户，并且发放支付卡；
受款银行，它为商家建立帐户，并且处理支付卡的认证和支付事宜
支付网关，是由受款银行或指定的第三方操纵的设备，它处理商家的支付信息，同时也包括来自消费者的支付指令
SET支付系统还涉及到认证机构（CA），但是它不参与SET的支付流程，它给各参与方颁发证书，各参与方可以通过查看对方的证书，来确定对方是否准确而不是冒充的。要建立安全的电子商务系统，首先必须有一个健全可信的CA。

6、安全交易系统主要措施

**1、加密技术 **
SET采用两种加密算法进行加密、解密处理。其中常规加密是基础、公钥加密是应用的核心：
常规加密（对称加密）：用同一个密钥来加密和解密数据。主要算法是DES，例如加密银行卡持卡人的个人识别代码（PIN）；
公钥加密：公开密钥要求使用一对密钥，一个公开发布，另一个由收信人保存。发信人用公开密钥加密数据，收信人则用私用密钥去解密。主要算法是RSA，例如加密支付请求数据。加密过程可保证不可逆，必须使用私用密码才能解密。
**2、数字签名 **
金融交易要求发送报文数据的同时发送签名数据作为查证。这种电子数字签名是一组加密的数字。
SET要求用户在进行交易前首先进行电子签名，然后进行数据发送。
**3、电子认证 **
电子交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。
一般要求建立专门的电子认证中心（CA）以核实用户和商家的真实身份以及交易请求的合法性。认证中心将给用户、商家、银行等进行网络商务活动的个人或集团发电子证书。
**4、数字信封 **
金融交易所使用的对称密钥必须经常更换，SET使用数字信封来传递更换对称密钥。
其方法是由发送数据者自动生成临时对称密钥Ks，用它加密原文，将生成的密文连同密钥本身一起再用公开密钥手段（KUb加密后）传送出去。收信人再解密后同时得到临时对称密钥Ks和用其加密后的密文。
这样保证每次传送都可以由发送方选定不同的密钥进行交易。
区分概念：数字信封/数字签名/数字证书

7、双重签名

数字签名在SET协议中一个重要的应用就是双重签名。
在交易中持卡人发往银行的支付指令是通过商家转发的，为了避免在交易的过程中商家窃取持卡人的信用卡信息，以及避免银行跟踪持卡人的行为，侵犯消费者隐私，但同时又不能影响商家和银行对持卡人所发信息的合理的验证，只有当商家同意持卡人的购买请求后，才会让银行给商家付费，SET协议采用双重签名来解决这一问题
1 商家接收OI并验证签名；
2 银行接收PI并验证签名；
3 客户连接OI和PI，并确保连接。