第六章_安全套接層協(xié)議ssl(文件)
【正文】 散列函數(shù)產(chǎn)生一個 MAC，加密后置于數(shù)據(jù)包的后部，并且再一次和數(shù)據(jù)一起被加密 ,然后加上 SSL首部進行網(wǎng)絡(luò)傳輸。這個序列號被加密后作為數(shù)據(jù)包的負載。 UDP應(yīng)用的安全保護 ? SSL協(xié)議需要在握手之前建立 TCP連接，因此不能對 UDP應(yīng)用進行保護。 ? 對于使用虛擬內(nèi)存的操作系統(tǒng)，不可避免地有些敏感數(shù)據(jù)甚至主密鑰都交換到存盤上，可采取內(nèi)存加鎖和及時刪除磁盤臨時文件等措施來降低風(fēng)險。加密技術(shù)使得通過網(wǎng)絡(luò)傳輸?shù)男畔o法讓 IDS辨認 . ? 使得最重要的服務(wù)器反而成為受到最少防護的服務(wù)器。對 SSL的過高評價有可能帶來高的安全風(fēng)險，它僅僅是網(wǎng)絡(luò)安全工具的一種，必須和其它網(wǎng)絡(luò)安全工具緊密結(jié)合，方能構(gòu)造出全面、完善、安全可靠的網(wǎng)絡(luò)。 ? ActiveX的安全模型 ? 用戶可以禁用 ActiveX cookie的安全性 ?cookie是對 HTTP協(xié)議的一種補充，用來改善 HTTP協(xié)議的無狀態(tài)性 ?用戶要注意防止 cookie文件被盜 ?用戶可以完全刪除 cookie文件 Java的特點 Java是一種簡單的、面向?qū)ο蟮?、分布式的、解釋型的、健壯的、安全的、體系中立的、可移植的、高性能的、多線程的、動態(tài)的語言。 Java的安全性 Applet受到以下一些限制： ? applet不能讀、寫、重命名或者刪除文件 ? 除了下載 applet的那臺計算機之外， applet本身不能連接到或者接受來自于其他任何一臺計算機的連接請求 ? applet不能執(zhí)行系統(tǒng)級的函數(shù) ? applet不能訪問一些圖形和 GUI相關(guān)的程序 ? applet不能讀取某些系統(tǒng)屬性 ? applet不能注冊一個新的 SecurityManager對象避免這些安全上的限制 Java也不是完全安全的，用戶需要及時打上補丁和更新 Javascript的安全性 ? JavaScript是 Netscape公司設(shè)計的一系列 HTML語言擴展，它增強了 HTML語言的動態(tài)交互能力，并且可以把部分處理移到客戶機，減輕服務(wù)器的負載。 ? 可移植性 – Java可以運行于安裝了解釋器的任何機器上 ? 高性能 ? 多線程 ? 動態(tài)性 Java的安全性 ? Java的安全模型不同于傳統(tǒng)的安全方法，主要通過訪問控制來實現(xiàn)。 Web面 臨的主要安全威脅如下： ? Web服務(wù)器上的 Web網(wǎng)頁很容易收到攻擊 ? Web 的下層軟件結(jié)構(gòu)復(fù)雜，存在大量的安 全漏洞 ? 當(dāng) Web服務(wù)器遭到破壞時，本地站點上的數(shù)據(jù)和系統(tǒng)也將面臨威脅。 ? SSL仍然不失為一套全面完善的安全策略中有效的組成元素。 ? 因為對于用戶的證書，公共 CA機構(gòu)可能不像對網(wǎng)站數(shù)字證書那樣重視和關(guān)心其準(zhǔn)確性。 ? 由于 SSL只對應(yīng)用數(shù)據(jù)進行保護，數(shù)據(jù)包的 IP頭和 TCP頭仍然暴露在外，通過檢查沒有加密的 IP源和目的地址以及 TCP端口號或者檢查通信數(shù)據(jù)量，一個通信分析者依然可以揭示哪一方在使用什么服務(wù)，有時甚至揭露商業(yè)或私人關(guān)系的秘密。 脆弱性分析 ? 因為 SSL協(xié)議設(shè)計初衷是對 Web站點及網(wǎng)上交易進行安全性保護，使消費者明白正在和誰進行交易要比使商家知道誰正在付費更為重要，為了不致于由于安全協(xié)議的使用而導(dǎo)致網(wǎng)絡(luò)性能大幅下降， SSL協(xié)議并不是默認地要求進行客戶鑒別， 這樣做雖然有悖于安全策略，但卻促進了 SSL的廣泛應(yīng)用。 ? ⑷ 抗重放攻擊。 ⑶ 完整性機制。 ClientHello和ServerHello發(fā)過去自己的證書 (里面包含了身份和自己的公鑰 )。 ? ⑶ ISAKMP(Inter安全協(xié)會的密鑰管理協(xié)議 )。由公鑰證書來實現(xiàn)兩個通信實體間的長期單鑰的交換。為了達到這個目的，必須使用一把雙方共有的密鑰。記錄中包含類型、版本號、長度和數(shù)據(jù)字段 . 2. 選擇是否執(zhí)行壓縮的步驟 (pression)。 SSL握手協(xié)議的流程 ? 交換 Hello消息，對于算法、交換隨機值等協(xié)商一致 ? 交換必要的密碼參數(shù)，以便雙方得到統(tǒng)一的 premaster secret ? 交換證書和相應(yīng)的密碼信息，以便進行身份認證 ? 產(chǎn)生 master secret ? 把安全參數(shù)提供給 SSL記錄層 ? 檢驗雙方是否已經(jīng)獲得同樣的安全參數(shù) SSL記錄協(xié)議 (SSL Record Protocol) ? SSL記錄協(xié)議為每一個 SSL連接提供以下兩種服務(wù)： ? 機密性 (Confidentiality)： SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生一把共有的密鑰，利用這把密鑰來對 SSL所傳送的數(shù)據(jù)做傳統(tǒng)式加密。只有當(dāng)服務(wù)器的證書沒有包含必需的數(shù)據(jù)的時候才發(fā)送此消息 ? 消息包含簽名，被簽名的內(nèi)容包括兩個隨機數(shù)以及服務(wù)器參數(shù) ? 服務(wù)器發(fā)送 certificate_request消息 ? 非匿名 server可以向客戶請求一個證書 ? 包含證書類型和 CAs ? 服務(wù)器發(fā)送 server_hello_done, 然后等待應(yīng)答 第三階段：客戶鑒別和密鑰交換 ? 客戶收到 server_done消息后，它根據(jù)需要檢查服務(wù)器提供的證書，并判斷 server_hello的參數(shù)是否可以接受，如果都沒有問題的話，發(fā)送一個或多個消息給服務(wù)器 ? 如果服務(wù)器請求證書的話，則客戶首先發(fā)送一個 certificate消息，若客戶沒有證書，則發(fā)送一個 no_certificate警告 ? 然后客戶發(fā)送 client_key_exchange消息 ? 最后，客戶發(fā)送一個 certificat
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1