ch09電子政務(wù)網(wǎng)絡(luò)設(shè)計(jì)(編輯修改稿)
2025-02-03 18:43 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 。 例如 ， 某用戶自己申請(qǐng)了證書 （ 私鑰 ） ， 獲得了數(shù)字標(biāo)識(shí) ，可以實(shí)現(xiàn)向別人發(fā)送 “ 數(shù)字簽名 ” 的郵件 ， 別人就可以判斷相關(guān)郵件確實(shí)是該用戶發(fā)送的 。 （ 2） 保密性 。 只有收件人才能解密查看 。 （ 3） 完整性 。 保證郵件沒有被中途篡改 。 （ 4） 不可否認(rèn)性 。 發(fā)件人的數(shù)字證書中的 “ 私鑰 ” 只有發(fā)件人唯一擁有 ， 發(fā)件人利用其數(shù)字證書在傳送前對(duì)電子郵件進(jìn)行數(shù)字簽名 ， 發(fā)件人就無法否認(rèn)發(fā)送過這個(gè)電子郵件 。 數(shù)字證書與加密 34 第 35頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 ?數(shù)字證書應(yīng)集成加密與簽名的雙重安全措施，以確保電子文件的真實(shí)性和保密性。對(duì)于企業(yè)或組織內(nèi)部的郵件用戶無需到 Inter上申請(qǐng)，可以由管理員統(tǒng)一發(fā)放和管理證書。 ?正常情況下用戶自己的證書中含有“私人密鑰”和“公用密鑰”?！八借€”只有用戶自己擁有，而“公鑰”是發(fā)放給大家的，別人拿到的用戶的證書只含有“公鑰” 數(shù)字證書與 S/MIME 35 第 36頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 ?非對(duì)稱加密 對(duì)稱加密使用相同的密鑰加密和解密數(shù)據(jù) ， 它的主要困難是密鑰必須在保密通信涉及雙方之間傳遞 。 1976年 ， Whitfield Diffie和Martin Hellman發(fā)明了一個(gè)叫做非對(duì)稱 （ Asymmetric） 或公共密鑰 （ Publickey） 加密方法 ， 作為對(duì)稱加密的替換 。 通過公鑰密碼算法 ， 通常是 RSA算法 ， 能生成一對(duì)密鑰 A和 B。用密鑰 A加密的信息 ， 只能由密鑰 B才能解密；同樣用密鑰 B加密的信息 ， 也只有由密鑰 A才能解密 。 為了應(yīng)用 ， 密鑰的主人要把這對(duì)密鑰中的一條 （ 密鑰 A） 公開出去 ， 交給其他人 ， 而把另一條 （ 密鑰 B） 留給自己保存 。 習(xí)慣上把公開出去的密鑰叫做公鑰 ，而留給自己保存的密鑰叫做私鑰 。 構(gòu)造證書的最常見格式是 ， 由 ITU發(fā)布 。 含的信息：版本 ， 序列號(hào) ， 簽名算法 ， 發(fā)出者姓名 ， 合法性期限 ，主題名稱 ， 主題公共密鑰數(shù)據(jù) ， 發(fā)出者唯一標(biāo)識(shí)符 ， 主題唯一標(biāo)識(shí)符和擴(kuò)展 。 最后提供的信息是證書的數(shù)字簽名 ， 由發(fā)出者創(chuàng)建 36 第 37頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 ?郵件數(shù)字簽名過程 當(dāng)用戶向外發(fā)送郵件時(shí)，他首先使用一種單向分解函數(shù)從郵件中得到固定長(zhǎng)度的分解值，該值與郵件的內(nèi)容相關(guān)，稱為該郵件的指紋；然后使用自己的私鑰對(duì)指紋進(jìn)行加密。接受者能使用他的公鑰進(jìn)行解密，然后重新生成指紋進(jìn)行比較。這樣可以保證郵件是由他本人發(fā)送的而非假冒，同時(shí)也保證郵件在發(fā)送過程中沒有被更改，這個(gè)過程稱為數(shù)字簽名和核實(shí)。 1 . 簽名過程 2 . 通過網(wǎng)絡(luò)傳輸 3 . 接收驗(yàn)證簽名H a s h 運(yùn)算H a s h 運(yùn)算文摘 簽名私鑰加密文件同簽名一起發(fā)送簽名文摘文摘公鑰解密對(duì)比37 第 38頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 電子政務(wù)業(yè)務(wù)隔離 ? 基于 VLAN的業(yè)務(wù)隔離 ? VLAN是在以太網(wǎng)的二層建立數(shù)據(jù)幀標(biāo)簽（ Frame Tag），使不同的標(biāo)簽數(shù)據(jù)幀通信被隔離。只有通過第三層交換，不同標(biāo)簽數(shù)據(jù)幀才可通信。在實(shí)際中，考慮到 MAC地址易篡改和 IP易盜用，電子政府分支部門（如縣級(jí)工商局不同業(yè)務(wù)科室）多采用基于端口的 VLAN。 38 第 39頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 基于 VPN的業(yè)務(wù)隔離 1. VPN技術(shù) 要能夠使得政務(wù)網(wǎng)內(nèi)一個(gè)局域網(wǎng)的數(shù)據(jù)透明的穿過公用網(wǎng)到達(dá)另一個(gè)局域網(wǎng)， VPN采用了一種稱之為隧道的技術(shù)。 基于隧道的 VPN網(wǎng)絡(luò) 39 第 40頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 根據(jù) ISO模型， VPN的主要協(xié)議如表所示。 表 VPN 的主要協(xié)議標(biāo)準(zhǔn) OSI模型 安全技術(shù) 安全協(xié)議 應(yīng)用層 表示層 應(yīng)用代理 會(huì)話層 傳輸層 會(huì)話層代理 SOCKSv5/SSL 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 包過濾 IPSec PPTP/L2F/L2TP 40 第 41頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 （ 1） Access VPN（遠(yuǎn)程訪問虛擬專網(wǎng)） （ 2） Intra VPN（內(nèi)部虛擬專網(wǎng)） （ 3） Extra VPN（擴(kuò)展內(nèi)部虛擬專網(wǎng)） 該類型與傳統(tǒng)的遠(yuǎn)程訪問網(wǎng)絡(luò)相對(duì)應(yīng)。在 Access VPN方式下，遠(yuǎn)端用戶不需要通過長(zhǎng)途電話撥號(hào)到政府遠(yuǎn)程接入端口，而是撥號(hào)接入到用戶本地的 ISP，利用 VPN系統(tǒng)在公眾網(wǎng)上建立一個(gè)從客戶端到網(wǎng)關(guān)的安全傳輸通道。 該類型與政府內(nèi)部的 Intra相對(duì)應(yīng)。在 Intra VPN 方式下，政府兩個(gè)異地機(jī)構(gòu)的局域網(wǎng)互連不租用專線，而是政府分支機(jī)構(gòu)網(wǎng)絡(luò)利用 VPN特性可以在 ChinaNET上組建省、市和縣范圍內(nèi)的 Intra VPN。 該類型與政府網(wǎng)和相關(guān)企業(yè)網(wǎng)、教育網(wǎng)所構(gòu)成的Extra相對(duì)應(yīng)。該類型與Intra VPN沒有本質(zhì)的區(qū)別，但由于是不同集團(tuán)用戶的網(wǎng)絡(luò)相互通信，所以要更多的考慮設(shè)備的互連，地址的協(xié)調(diào)，安全策略的協(xié)商等問題。 41 第 42頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 基于 VPN的業(yè)務(wù)隔離 例如，市工商局下屬有 2個(gè)工商所，工商所與局機(jī)關(guān)分別相距 ~。工商局和下屬 2個(gè)所均建立了辦公局域網(wǎng)，通過支持 VPN接口的防火墻連接電子政務(wù)城域網(wǎng)。工商所分支網(wǎng)絡(luò)與工商局網(wǎng)絡(luò)分別建立安全隧道后，工商所分支網(wǎng)絡(luò)可以與工商局網(wǎng)絡(luò)安全通信，工商所分支網(wǎng)絡(luò)之間也可以安全通信。這樣大大的減少了隧道的配置條數(shù)。 P EP EP EV P N 子 接 口工 商 局 共 享 資 源 區(qū)五 一 路 工 商 所電 子 政 務(wù) 城 域 網(wǎng)SiSi解 放 路 工 商 所SiV P N 子 接 口V P N 子 接 口V P N 隧 道V P N 隧 道V P N隧 道P42 第 43頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 多協(xié)議標(biāo)簽交換技術(shù) （ MPLS， Multi Protocol Label Switching）是在 Cisco公司所提出來的 Tag Switching技術(shù)基礎(chǔ)上發(fā)展起來的，屬于第三層交換技術(shù)。 基于 MPLS的業(yè)務(wù)隔離 I P N e t w o r kI P N e t w o r kI P N e t w o r kL S RL S RL S RL E RL E RL E RL E RM P L S N e t w o r kI P N e t w o r k邊緣路由器 交換路由器 交換路徑 交換路徑 43 第 44頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 MPLS的工作流程 ?LSR可以看作是 ATM交換機(jī)與傳統(tǒng)路由器的結(jié)合，由控制單元和交換單元組成。 LER的作用是分析 IP包頭，決定相應(yīng)的傳送級(jí)別和標(biāo)簽交換路徑（ LSP）。 ?網(wǎng)絡(luò)邊緣行為。當(dāng) IP數(shù)據(jù)包到達(dá)一個(gè) LER時(shí)， MPLS第一次應(yīng)用標(biāo)記 ?網(wǎng)絡(luò)核心行為。當(dāng)一個(gè)帶有標(biāo)記的包到達(dá) LSR的時(shí)候，LSR提取入局標(biāo)記，同時(shí)以它作為索引在標(biāo)記信息庫(kù)中查找。 ?建立標(biāo)記交換路徑。第一種，逐跳尋徑（ Hop by Hop）路由，第二種，顯式路由。 ?ERLSP從源端到目的端建立一條直接的端到端的路徑。MPLS將顯式路由嵌入到限制路由的標(biāo)記分配協(xié)議的信息中，從而建立這條路徑。 44 第 45頁(yè) 蘇州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 ?MPLS VPN框架結(jié)構(gòu)中包括 P（ P rout
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1