【正文】 實現(xiàn)的功能 ............................................................ 20 系統(tǒng)設(shè)計思想 .......................................................... 21 系統(tǒng)性能分析 .......................................................... 22 第四章 SSL 安全通道在實名認(rèn)證系統(tǒng)的實現(xiàn) ....................................... 25 工程中代碼布局： ...................................................... 25 建立 SSL 連接模 塊 ...................................................... 26 身份認(rèn)證模塊 .......................................................... 27 認(rèn)證模塊 ........................................................ 27 服務(wù)器端的身份認(rèn)證 .............................................. 28 瀏覽器端的身份認(rèn)證。 涉密論文按學(xué)校規(guī)定處理。對本文的研究做出重要貢獻(xiàn)的個人和集體，均已在文中以明確方式標(biāo)明。對本研究提供過幫助和做出過貢獻(xiàn)的個人或集體，均已在文中作了明確的說明并表示了謝意。盡我所知，除文中特別加以標(biāo)注和致謝的地方外，不包含其他人或組織已經(jīng)發(fā)表或公布過的研究成果，也不包含我為獲得 及其它教育機構(gòu)的學(xué)位或?qū)W歷而使用過的材料。除了文中特別加以標(biāo)注引用的內(nèi)容外，本論文不包含任何其他個人或集體已經(jīng)發(fā)表或撰寫的成果作品。本人授權(quán) 大學(xué)可以將本學(xué)位論文的全部或部分內(nèi)容編入有關(guān)數(shù)據(jù)庫進(jìn)行檢索，可以采用影印、縮印或掃描等復(fù)制手段保存和匯編本學(xué)位論文。 、圖表要求： 1）文字通順，語言流暢，書寫字跡工整，打印字體及大小符合要求，無錯別字，不準(zhǔn)請他人代寫 2）工程設(shè)計類題目的圖紙，要求部分用尺規(guī)繪制，部分用計算機繪制，所有圖紙應(yīng)符合國家 技術(shù)標(biāo)準(zhǔn)規(guī)范。其中，網(wǎng)絡(luò)環(huán)境中數(shù)據(jù)的安全傳輸協(xié)議，對于應(yīng)用的安全性起著 至關(guān) 重要的作用，成為 制約 網(wǎng)絡(luò)發(fā)展的重要因素。 本論文主要由兩部分構(gòu)成，第一部分結(jié)合保密性、數(shù)據(jù)完整性和身份認(rèn)證等安全性對 SSL協(xié)議進(jìn)行詳細(xì)的分析，著重分析了 SSL握手協(xié)議，并針對目前存在的對 SSL的攻擊提出了相關(guān)的應(yīng)對措施。s actual application. According to the needs of the development of 第 2 頁 共 41 頁 emerce, egovernment and other affairs management system security, this paper in the application of SSL based, referring to the successful SSL achieve technical scheme, the SSL application to the real name authentication system and fully guarantee the security of web munication. This thesis is posed of two parts, first part based on confidentiality, data integrity and authentication security of SSL protocol for detailed analysis, focusing on the analysis of the SSL handshake protocol, and proposes relevant countermeasures against the attacks on SSL protocol. In the second part, based on the research of SSL protocol analysis, the application of SSL based information security channel in real name authentication system is studied.. Keywords: SSL Protocol。隨著網(wǎng)絡(luò)交易、網(wǎng)絡(luò) 銀行、電子政務(wù)、網(wǎng)絡(luò)事務(wù)處理等業(yè)務(wù)的興起，拓展了 Web應(yīng)用的領(lǐng)域， Web服務(wù)的安全性問題日益突出。攻擊者在截取到管理員登錄等情況下，有可能直接入侵服務(wù)器獲取保密信息。 :拒絕服務(wù)攻擊 (DOS)是攻擊者最無奈，但也是最容易發(fā)起，最有效的一種攻擊手段。針對 HTTP協(xié)議的安全缺陷，在網(wǎng)絡(luò)安全的各個領(lǐng)域中出現(xiàn)了許多協(xié)議，它們從不同層次、角度入手，以解決網(wǎng)絡(luò)安全問題。隨著電子商務(wù)技術(shù)第 4 頁 共 41 頁 在我國的應(yīng)用， SSL在我國也有很大的發(fā)展，但是由于種種原因， 目前實名認(rèn)證系統(tǒng)在信息安全上 主要存在如下問題 : ，我國黨、政、軍等眾多部門和單位的內(nèi)部網(wǎng)絡(luò)建設(shè)面臨信息交流與保密的矛盾，而我國計算機網(wǎng)絡(luò)保密技術(shù)研究和技術(shù)防范手段相對滯后，技術(shù)安全保密方面的壓力越來越大。這樣的算法強度引進(jìn)我國后，根本無法滿足我國實際應(yīng)用中的安全需求。這樣攻擊者同時具備自己和客戶端之間的密鑰及自己和真實服務(wù)端之間的密鑰，整個傳輸對于攻擊者來說，已經(jīng)和明文沒有區(qū)別了。由于我們無法獲得商用程序的源代碼，所以 其兼容性與靈活性很低 。 綜上所述，研究基于 SSL的信息安全通道在實名認(rèn)證系統(tǒng)中的應(yīng)用 即在軟件開發(fā)過程中應(yīng)用 SSL協(xié)議勢在必行。這些客觀的變化導(dǎo)致對信息安全的要求發(fā)生了重大的變化。針對這種需求發(fā)展起來的技術(shù)有 VPN, SSL等。在本文的后續(xù)的章節(jié)中，如果沒有特別指明，信息安全的范圍僅僅狹隘的包括使用基于密碼學(xué)原理來進(jìn)行數(shù)據(jù)信息保護(hù)的安全技術(shù)。 信息的安全性主要體現(xiàn)在以下幾個方面 : (integrity)。采用奇偶校驗或循環(huán)冗余碼 (CRC)可以在一定程度上保證數(shù)據(jù)的完整性，但一般用于偶發(fā)的位錯誤，無法防止人為對數(shù)據(jù)的修改。在很多實際系統(tǒng)中，有多種保證信息機密性的方法和機制，可以從第 7 頁 共 41 頁 物理保護(hù)一直到數(shù)學(xué)方式的算法加密，都可以讓非授權(quán)人對數(shù)據(jù)不可存取或閱讀。如在電子商務(wù)交易中，一個用戶可能對其所簽署的數(shù)字合同或訂購的貨物進(jìn)行否認(rèn)，以達(dá)到欺詐的目的。認(rèn)證一般分為兩種 :實體身份認(rèn)證和數(shù)據(jù)來源認(rèn)證。因此，我們有必要對計算機網(wǎng)絡(luò)安全及其體系結(jié)構(gòu)有一個整體的認(rèn)識。 加密技術(shù) 數(shù)據(jù)加密的基本思想是 :通過對信息進(jìn) 行置換和轉(zhuǎn)換將所傳輸?shù)膬?nèi)容變成一些不規(guī)則的數(shù)據(jù)，來偽裝需要保護(hù)的信息，使非授權(quán)者不能了解被保護(hù)信息的內(nèi)容。一個加密系統(tǒng)采用的基本工作方式稱為密碼體制，密碼體制的基本要素是密碼算法和密鑰。單項 HASH 函數(shù)是解決信息可靠性、防止信息被偽造和篡改的一種有效體制。對稱密鑰加密技術(shù)的特點是，保密強度高，計算開銷時間少，處理速度快，適合大文件加 /解密。另一類是流密碼 (stream ciphers)，在這類體制中，明文按字符逐位地被加密。 分組密碼在一個密鑰的控制之下對固定的位數(shù)的分組進(jìn)行加密，其密鑰的位數(shù)和這個固定的位數(shù)大致相等，而流密碼使用盡可能長的密鑰，由于長的密鑰的存儲，分配都很困難，因此，采用一個較 短的密鑰來控制某種算法來產(chǎn)生出長的密鑰。由于這種方式允許用戶自己改變加密序列的大小，這樣總可以找到一個分組大小使得不用填充明文，這樣就可以充分的利用有限的網(wǎng)絡(luò)帶寬。選擇分組密碼是因為它是標(biāo)準(zhǔn)的。否則，就使用流密碼算法。當(dāng)將大量數(shù)據(jù)交給這種算法來加密或解密時，它將明文分解為多個分組，然后獨立地對每個分組進(jìn)行操作。 RCS允許用戶自定義密鑰長度，數(shù)據(jù)分組長度，以及加密的迭代次數(shù)。 (3) DES DES是 Data Encryption Standard(數(shù)據(jù)加密標(biāo)準(zhǔn) )的縮寫，它由美國國家標(biāo)準(zhǔn)協(xié)會(National Institute of Standards and Technology, NIST)以及 IBM公司于 70年代發(fā)布的。這一體制的最大特點是采用兩個密鑰將加密和解密分開 :每個用戶都有兩個密鑰，一把公開密鑰和一把私有密鑰，前者用于加密，后者用于解密。雖然 DSA也可以用于加密，但它通常僅用作數(shù)字簽名。 (3)DiffieHellman DiffieHellman算法是一個在公共信道上制作和交換共享密鑰的算法。 SSL協(xié)議概述 Secure Sockets Layer(安全套接字層，簡稱 SSL)協(xié)議是由 Netscape公司為制定數(shù)據(jù)安全性所開發(fā)的通信協(xié)議。 SSL協(xié)議向基于 TCP/IP的客戶 /服務(wù)器應(yīng)用程序提供了客戶端和服務(wù)器的鑒別、數(shù)據(jù)完整性、及信息機密性等安全措施。如 Netscape公司、微軟公司、 IBM公司等領(lǐng)導(dǎo) Inter/Intra網(wǎng)絡(luò)產(chǎn)品的公司已在使用該協(xié)議。當(dāng)發(fā)生特定請求處理 或上傳文件時，提交給定制 Action； 表現(xiàn)層不能直接訪問訪問業(yè)務(wù)服務(wù)，或組件服務(wù)（特定 UI 組件除外）。 ? 組件服務(wù)：系統(tǒng)各組件保持一定的獨立性，降低耦合性，將組件包裝成服務(wù)第 15 頁 共 41 頁 組件，統(tǒng)一發(fā)布使用。同時，公共服 務(wù) （ Webservice） 還需根據(jù)業(yè)務(wù)邏輯功能實現(xiàn)的配置要求，進(jìn)行用戶安全驗證和請求數(shù)據(jù)驗證。任何客戶端、表現(xiàn)層（ UI 組件）對業(yè)務(wù)實現(xiàn)的調(diào)用都需通過此服務(wù)。 SSL協(xié)議規(guī)定服務(wù)器端必須提供以數(shù)字證書為基礎(chǔ)的身份認(rèn)證，而對客戶端的身份認(rèn)證則由服務(wù)器端選擇限定。 驗。它置于瀏覽器端。其工作原理如圖 31所示。在此過程中，任何可能的錯誤都會導(dǎo)致連接取消，以保證數(shù)據(jù)安全。 系統(tǒng)設(shè)計思想 安全代理與 Web瀏覽器安裝在同一臺計算機上。 其設(shè)計思想如圖 32所示。 2. SSL安全代理接收到瀏覽器的 SSL請求，并與之建立 SSL連接。 3. SSL安全代理解密瀏覽器發(fā)出的 HTTPS請求，并解析出 url地址中的 Web服務(wù)器地址，這樣它才能知道它應(yīng)該將該請求轉(zhuǎn)發(fā)到哪里。 大量有效的實驗數(shù)據(jù)表明， SSL連接比普通 TCP連接慢 2到 100倍。數(shù)據(jù)傳輸階段的開銷是對稱的，每條 數(shù)據(jù)記錄的開銷相對小一些，對于涉及大量數(shù)據(jù)傳輸?shù)倪B接來說，數(shù)據(jù)傳輸階段的開銷最終會大大超過握手的開銷。很顯然，服務(wù)器的性能從整體上限制了系統(tǒng)的性能是系統(tǒng)的瓶頸所在。一般來講用于進(jìn)行驗證的時候， RSA要比 DH快得多，而用于簽名時速度相當(dāng)。 (3)對稱算法與摘要算法的選擇 在對記錄進(jìn)行操作時，加密運算消耗大量時間， MAC與加密算法會對系統(tǒng)性能造成影響。因此采用小記錄來傳輸數(shù)據(jù)就會導(dǎo)致不良的性能。fy消息的產(chǎn)生，服務(wù)器對 certificate, certificateVerify第 24 頁 共 41 頁 消息的驗證以及對 certificate request消息的處理。這樣雖不如為每個客戶端產(chǎn)生一個全新的密鑰那樣安全，但避免了為每個連接產(chǎn)生一個全新密鑰而花費的幾乎無法容忍的開銷。 SSL握手中的性能瓶頸是有關(guān)公用密鑰加密 /解密操作。 會話重用的開銷幾乎完全由服務(wù)器來承擔(dān)，它主要消耗兩種資源 :存儲可恢復(fù)會話的內(nèi)存，以及檢查緩存時花費的 CPU時間。 總之，對服務(wù)器 來講，只有在相當(dāng)短的時間內(nèi)存在大量重復(fù)的業(yè)務(wù)時才是值得的，而對客戶端來講會話恢復(fù)幾乎總是值得的。 圖 41普通 Web服務(wù) 系統(tǒng)結(jié)構(gòu) 第 26 頁 共 41 頁 基于 SSL的 WebService服務(wù)器的安全 Web服務(wù)系統(tǒng)，其系統(tǒng)結(jié)構(gòu)如圖 42所示。 客戶端連接到代理后用 CONNECT方法說明要連接的主機名和端口號 (host :port)，然后是HTTP版本號字符串和行結(jié)束符標(biāo)志。下面 的例子顯示了試圖連接安全服務(wù)器的一些信息 : CONNECT . secure. :443 HTTP/ 1. 0 Useragent:Mozilla/1. 1N 在空行請求后，客戶等待一個來自代理的響應(yīng)。整個建立 SSL連接過程如圖 43所示。本文采用本方案，基于 Windows Server 20xx環(huán)境提供的“證書頒發(fā)機構(gòu)”功能，建立本地 CA (ZCC)，頒發(fā)服務(wù)器端和瀏覽器端證書，下載并及時更新其 CA證書鏈和 CRL列 表，安裝后進(jìn)行身份驗證。 在 SSL通信的過程中，客戶端安全代理管理瀏覽器的個人證書和一系列被瀏覽 器所信任的第 28 頁 共 41 頁 CA證書。驗證內(nèi)容包括 :證書的完整性、證書的有效期、證書的 DN名字等。驗證內(nèi)容包括證書的完整性，證書的有效期等。 String userUid = (ukey)。 (1)。 //清除 session中的信息 clearOldSession(request)。 } //驗證賬號密碼是否正確以及當(dāng)前時間是否允許登陸 Connection conn = null。 checkUserState(use