【文章內(nèi)容簡介】 。 例如 ， 某用戶自己申請了證書 （ 私鑰 ） ， 獲得了數(shù)字標識 ，可以實現(xiàn)向別人發(fā)送 “ 數(shù)字簽名 ” 的郵件 ， 別人就可以判斷相關郵件確實是該用戶發(fā)送的 。 （ 2） 保密性 。 只有收件人才能解密查看 。 （ 3） 完整性 。 保證郵件沒有被中途篡改 。 （ 4） 不可否認性 。 發(fā)件人的數(shù)字證書中的 “ 私鑰 ” 只有發(fā)件人唯一擁有 ， 發(fā)件人利用其數(shù)字證書在傳送前對電子郵件進行數(shù)字簽名 ， 發(fā)件人就無法否認發(fā)送過這個電子郵件 。 數(shù)字證書與加密 34 第 35頁 蘇州大學計算機科學與技術學院 ?數(shù)字證書應集成加密與簽名的雙重安全措施，以確保電子文件的真實性和保密性。對于企業(yè)或組織內(nèi)部的郵件用戶無需到 Inter上申請，可以由管理員統(tǒng)一發(fā)放和管理證書。 ?正常情況下用戶自己的證書中含有“私人密鑰”和“公用密鑰”?！八借€”只有用戶自己擁有，而“公鑰”是發(fā)放給大家的，別人拿到的用戶的證書只含有“公鑰” 數(shù)字證書與 S/MIME 35 第 36頁 蘇州大學計算機科學與技術學院 ?非對稱加密 對稱加密使用相同的密鑰加密和解密數(shù)據(jù) ， 它的主要困難是密鑰必須在保密通信涉及雙方之間傳遞 。 1976年 ， Whitfield Diffie和Martin Hellman發(fā)明了一個叫做非對稱 （ Asymmetric） 或公共密鑰 （ Publickey） 加密方法 ， 作為對稱加密的替換 。 通過公鑰密碼算法 ， 通常是 RSA算法 ， 能生成一對密鑰 A和 B。用密鑰 A加密的信息 ， 只能由密鑰 B才能解密；同樣用密鑰 B加密的信息 ， 也只有由密鑰 A才能解密 。 為了應用 ， 密鑰的主人要把這對密鑰中的一條 （ 密鑰 A） 公開出去 ， 交給其他人 ， 而把另一條 （ 密鑰 B） 留給自己保存 。 習慣上把公開出去的密鑰叫做公鑰 ，而留給自己保存的密鑰叫做私鑰 。 構造證書的最常見格式是 ， 由 ITU發(fā)布 。 含的信息：版本 ， 序列號 ， 簽名算法 ， 發(fā)出者姓名 ， 合法性期限 ，主題名稱 ， 主題公共密鑰數(shù)據(jù) ， 發(fā)出者唯一標識符 ， 主題唯一標識符和擴展 。 最后提供的信息是證書的數(shù)字簽名 ， 由發(fā)出者創(chuàng)建 36 第 37頁 蘇州大學計算機科學與技術學院 ?郵件數(shù)字簽名過程 當用戶向外發(fā)送郵件時，他首先使用一種單向分解函數(shù)從郵件中得到固定長度的分解值，該值與郵件的內(nèi)容相關，稱為該郵件的指紋；然后使用自己的私鑰對指紋進行加密。接受者能使用他的公鑰進行解密，然后重新生成指紋進行比較。這樣可以保證郵件是由他本人發(fā)送的而非假冒，同時也保證郵件在發(fā)送過程中沒有被更改，這個過程稱為數(shù)字簽名和核實。 1 . 簽名過程 2 . 通過網(wǎng)絡傳輸 3 . 接收驗證簽名H a s h 運算H a s h 運算文摘 簽名私鑰加密文件同簽名一起發(fā)送簽名文摘文摘公鑰解密對比37 第 38頁 蘇州大學計算機科學與技術學院 電子政務業(yè)務隔離 ? 基于 VLAN的業(yè)務隔離 ? VLAN是在以太網(wǎng)的二層建立數(shù)據(jù)幀標簽（ Frame Tag），使不同的標簽數(shù)據(jù)幀通信被隔離。只有通過第三層交換，不同標簽數(shù)據(jù)幀才可通信。在實際中，考慮到 MAC地址易篡改和 IP易盜用，電子政府分支部門（如縣級工商局不同業(yè)務科室）多采用基于端口的 VLAN。 38 第 39頁 蘇州大學計算機科學與技術學院 基于 VPN的業(yè)務隔離 1. VPN技術 要能夠使得政務網(wǎng)內(nèi)一個局域網(wǎng)的數(shù)據(jù)透明的穿過公用網(wǎng)到達另一個局域網(wǎng)， VPN采用了一種稱之為隧道的技術。 基于隧道的 VPN網(wǎng)絡 39 第 40頁 蘇州大學計算機科學與技術學院 根據(jù) ISO模型， VPN的主要協(xié)議如表所示。 表 VPN 的主要協(xié)議標準 OSI模型 安全技術 安全協(xié)議 應用層 表示層 應用代理 會話層 傳輸層 會話層代理 SOCKSv5/SSL 網(wǎng)絡層 數(shù)據(jù)鏈路層 物理層 包過濾 IPSec PPTP/L2F/L2TP 40 第 41頁 蘇州大學計算機科學與技術學院 （ 1） Access VPN（遠程訪問虛擬專網(wǎng)） （ 2） Intra VPN（內(nèi)部虛擬專網(wǎng)） （ 3） Extra VPN（擴展內(nèi)部虛擬專網(wǎng)） 該類型與傳統(tǒng)的遠程訪問網(wǎng)絡相對應。在 Access VPN方式下，遠端用戶不需要通過長途電話撥號到政府遠程接入端口，而是撥號接入到用戶本地的 ISP，利用 VPN系統(tǒng)在公眾網(wǎng)上建立一個從客戶端到網(wǎng)關的安全傳輸通道。 該類型與政府內(nèi)部的 Intra相對應。在 Intra VPN 方式下，政府兩個異地機構的局域網(wǎng)互連不租用專線，而是政府分支機構網(wǎng)絡利用 VPN特性可以在 ChinaNET上組建省、市和縣范圍內(nèi)的 Intra VPN。 該類型與政府網(wǎng)和相關企業(yè)網(wǎng)、教育網(wǎng)所構成的Extra相對應。該類型與Intra VPN沒有本質的區(qū)別，但由于是不同集團用戶的網(wǎng)絡相互通信，所以要更多的考慮設備的互連，地址的協(xié)調(diào)，安全策略的協(xié)商等問題。 41 第 42頁 蘇州大學計算機科學與技術學院 基于 VPN的業(yè)務隔離 例如，市工商局下屬有 2個工商所，工商所與局機關分別相距 ~。工商局和下屬 2個所均建立了辦公局域網(wǎng)，通過支持 VPN接口的防火墻連接電子政務城域網(wǎng)。工商所分支網(wǎng)絡與工商局網(wǎng)絡分別建立安全隧道后，工商所分支網(wǎng)絡可以與工商局網(wǎng)絡安全通信，工商所分支網(wǎng)絡之間也可以安全通信。這樣大大的減少了隧道的配置條數(shù)。 P EP EP EV P N 子 接 口工 商 局 共 享 資 源 區(qū)五 一 路 工 商 所電 子 政 務 城 域 網(wǎng)SiSi解 放 路 工 商 所SiV P N 子 接 口V P N 子 接 口V P N 隧 道V P N 隧 道V P N隧 道P42 第 43頁 蘇州大學計算機科學與技術學院 多協(xié)議標簽交換技術 （ MPLS， Multi Protocol Label Switching）是在 Cisco公司所提出來的 Tag Switching技術基礎上發(fā)展起來的，屬于第三層交換技術。 基于 MPLS的業(yè)務隔離 I P N e t w o r kI P N e t w o r kI P N e t w o r kL S RL S RL S RL E RL E RL E RL E RM P L S N e t w o r kI P N e t w o r k邊緣路由器 交換路由器 交換路徑 交換路徑 43 第 44頁 蘇州大學計算機科學與技術學院 MPLS的工作流程 ?LSR可以看作是 ATM交換機與傳統(tǒng)路由器的結合，由控制單元和交換單元組成。 LER的作用是分析 IP包頭，決定相應的傳送級別和標簽交換路徑（ LSP）。 ?網(wǎng)絡邊緣行為。當 IP數(shù)據(jù)包到達一個 LER時， MPLS第一次應用標記 ?網(wǎng)絡核心行為。當一個帶有標記的包到達 LSR的時候，LSR提取入局標記，同時以它作為索引在標記信息庫中查找。 ?建立標記交換路徑。第一種，逐跳尋徑（ Hop by Hop）路由，第二種，顯式路由。 ?ERLSP從源端到目的端建立一條直接的端到端的路徑。MPLS將顯式路由嵌入到限制路由的標記分配協(xié)議的信息中，從而建立這條路徑。 44 第 45頁 蘇州大學計算機科學與技術學院 ?MPLS VPN框架結構中包括 P（ P rout