【正文】 由于協(xié)商的原因，要注意安全性最低的鑒別協(xié)議 授權(quán)機(jī)制：保護(hù)好口令的安全存儲，以及客戶信息的保存 日志：打開系統(tǒng)中對于 Web服務(wù)的日志功能，以及Web服務(wù)的日志記錄 服務(wù)器端的安全防護(hù) 有些應(yīng)用使用 SSL/TLS，為 Web Service申請一個證書 Web Server往往是網(wǎng)絡(luò)攻擊的入口點 為了提供 Web Service，必須要開放端口和一些目錄，還要接受各種正常的連接請求 防火墻對 Web Server的保護(hù)是有限的 為了安全，請 : 及時打上 Web Server軟件廠商提供的補(bǔ)丁程序 特別是一些主流的服務(wù)軟件，比如 MS的 IIS 控制目錄和文件的權(quán)限 Web應(yīng)用開發(fā)人員注意 ? 在服務(wù)端的運(yùn)行代碼中，對于來自客戶端的輸入一定要進(jìn)行驗證 ? 防止緩沖區(qū)溢出 安全 Web服務(wù)器 安全 Web服務(wù)器在提供常規(guī)的 Web服務(wù)的同時，還具有以下特點： ? WEB頁面加密存儲方法，確保存儲在 WEB服務(wù)器上的頁面文件的安全性； ? WEB頁面的原始性鑒別技術(shù)； ? 分密級訪問控制，確保不被非法訪問； ?嚴(yán)格的傳輸加密技術(shù)，確保信息不被監(jiān)聽； ? 數(shù)字水印日志，確保日志文件不可更改，為計算機(jī)取證提供支持； Web客戶端的安全性 客戶端安全性涉及到 Cookie的設(shè)置，保護(hù)用戶的隱私 PKI設(shè)置，確定哪些是可信任的 CA 對可執(zhí)行代碼的限制，包括 JavaApplet，ActiveXcontrol 如果你的機(jī)器是多個人合用的，則 ? Web頁面的緩存區(qū)域，將會留下用戶最近訪問過的頁面 ? 歷史記錄 ? 口令自動保存和提示 ? …… Plugin的安全性 ? Plugin在運(yùn)行時完全作為瀏覽器的一部分 ? 不要盲目執(zhí)行任何從 Inter上下載的程序 ActiveX的安全性 ? ActiveX技術(shù)是 Microsoft提出的一組使用 COM使得軟件部件在網(wǎng)絡(luò)環(huán)境中進(jìn)行交互的技術(shù)集。 ? 系統(tǒng)管理員不能使用現(xiàn)有的安全漏洞掃描或網(wǎng)絡(luò)入侵檢測系統(tǒng)來審查或監(jiān)控網(wǎng)絡(luò)上的 SSL交易。 ? 針對這個問題，可在必要的時候配置 SSL協(xié)議，使其選擇對客戶端進(jìn)行認(rèn)證鑒別。 定義了共享的、可以用來形成報文鑒別碼MAC的密鑰。和前兩者不同， ISAKMP只提供密鑰管理的一般框架，而不限定密鑰管理協(xié)議，也不限定密鑰算法或協(xié)議，因此在使用和策略上更為靈活。 SSL Record Format SSL協(xié)議采用的加密和認(rèn)證算法 ? 加密算法 塊加密 流加密 加密 算法 密鑰長度 加密算法 密鑰長度 IDEA RC240 DES40 DES 3DES Fortezza 128 40 40 56 168 80 RC440 RC4128 40 128 認(rèn)證算法 認(rèn)證算法采用 ，通過使用 RSA算法進(jìn)行數(shù)字簽名來實現(xiàn)的。 ? 消息完整性 (Message Integrity)： SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生另一把共有的密鑰，利用這把密鑰來計算出消息認(rèn)證碼。 ? 內(nèi)容 (Content)， ≧ 1個字節(jié)：與此消息有關(guān)的參數(shù)，表 。 ? Sequence number: 每一方為每一個連接的數(shù)據(jù)發(fā)送與接收維護(hù)單獨的順序號。還包括其它參數(shù)，如散列長度。會話定義了一組可供多個連接共享的密碼安全參數(shù)。第二個階段服務(wù)器鑒別和密鑰交換 。SSL協(xié)議逐漸被新的 SET協(xié)議所取代。 ? 這種信號交換導(dǎo)致客戶和服務(wù)器同意將使用的安全性級別，并履行連接的任何身份驗證要求。 ? SSL協(xié)議在應(yīng)用層協(xié)議之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器的認(rèn)證工作。第六章 安全套接層協(xié)議 SSL ? SSL概述 ? SSL體系結(jié)構(gòu)與協(xié)議 ? SSL協(xié)議的安全性分析 ? SSL的應(yīng)用 目前國際上流行的電子商務(wù)所采用的協(xié)議主要有： ? 安全套接層協(xié)議（ Secure Sockets Layer， SSL） ? 基于信用卡交易的安全電子協(xié)議（ Secure Electronic Transaction， SET） ? 安全 HTTP（ SHTTP）協(xié)議 ? 安全電子郵件協(xié)議（ PEM、 S/MIME等） ? 用于公對公交易的 Inter EDI等。在此之后應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都會被加密，從而保證通信的安全性。 ? 通過 數(shù)字簽名和數(shù)字證書 可實現(xiàn)瀏覽器和Web服務(wù)器雙方的身份驗證。 ? 目前我國開發(fā)的電子支付系統(tǒng)，無論是 中國銀行 的長城卡電子支付系統(tǒng)，還是 上海長途電信局 的網(wǎng)上支付系統(tǒng)，均沒有采用 SSL協(xié)議，主要原因就是無法保證客戶資金的安全性。第三個階段客戶鑒別 (可選的 )和密鑰交換 。 ? 會話用以避免為每一個連接提供新的安全參數(shù)所需昂貴的協(xié)商代價。 ? Master secret: 48位秘密，在 client與 server之間共享。當(dāng)一方發(fā)送或接收一個改變的cipher spec message時，序號置為 0, 最大 2641。 SSL握手協(xié)議使用的消息 第一階段：建立起安全協(xié)商 ? 客戶發(fā)送一個 client_hello消息，包括以下參數(shù)：版本、隨機(jī)數(shù) (32位時間戳 +28字節(jié)隨機(jī)序列 )、會話 ID、客戶支持的密碼算法列表 (CipherSuite)、客戶支持的壓縮方法列表 , ? 然后，客戶等待服務(wù)器的 server_hello消息 ? 服務(wù)器發(fā)送 server_hello消息，參數(shù)：客戶建議的低版本以及服務(wù)器支持的最高版本、服務(wù)器產(chǎn)生的隨機(jī)數(shù)、會話