【文章內(nèi)容簡介】 7 頁 共 41 頁 物理保護一直到數(shù)學(xué)方式的算法加密，都可以讓非授權(quán)人對數(shù)據(jù)不可存取或閱讀。機密性是保證信息安全的最基本和最直接的需求。 (nonrepudiation)。不可否認(rèn)性用于阻止一個實體對其以前的行為或動作進行否認(rèn)。如在電子商務(wù)交易中，一個用戶可能對其所簽署的數(shù)字合同或訂購的貨物進行否認(rèn)，以達到欺詐的目的。在密碼學(xué)中，一般采用數(shù)字簽名和可信的第三方的方式來提供不可否認(rèn)服務(wù)。 (authentication)。認(rèn)證性是同身份相關(guān)聯(lián)的一項服務(wù)，用于確認(rèn)實體就是他所聲明的。認(rèn)證一般分為兩種 :實體身份認(rèn)證和數(shù)據(jù)來源認(rèn)證。實體身份識別可以確定通信雙方的真實身份，以產(chǎn)生一個加密和解密所使用的會話密鑰或建立一個安全通信信道。 數(shù)據(jù)來源認(rèn)證用于確認(rèn)數(shù)據(jù)是否來在他所 聲稱的某個實體，而不是由其他人假冒或偽造的。事實上，如何保證信息的安全傳輸涉及到整個計算機網(wǎng)絡(luò)安全體系中的很多方面，它們之間不是彼此孤立的，而是相互依賴、相互影響的。因此，我們有必要對計算機網(wǎng)絡(luò)安全及其體系結(jié)構(gòu)有一個整體的認(rèn)識。 數(shù)據(jù)加密技術(shù) 信息安全技術(shù)的核心是密碼，信息加密是保障信息安全的最基本、最核心的技術(shù)措施和理論基礎(chǔ)。 SSL 協(xié)議的核心是一系列的加密、解密和認(rèn)證等過程。要研究 SSL 協(xié)議，我們必須對現(xiàn)代數(shù)據(jù)加密的一些技術(shù)有最基本的了解。 加密技術(shù) 數(shù)據(jù)加密的基本思想是 :通過對信息進 行置換和轉(zhuǎn)換將所傳輸?shù)膬?nèi)容變成一些不規(guī)則的數(shù)據(jù)，來偽裝需要保護的信息，使非授權(quán)者不能了解被保護信息的內(nèi)容。那些需要隱藏的信息稱為明文，進行置換和轉(zhuǎn)換的算法稱為加密算法，明文被置換后的結(jié)果稱為密文，由明文產(chǎn)生密文的過程叫做加密。解密是和加密相反的過程，它將密文數(shù)據(jù)轉(zhuǎn)換為明文。加密和解密算法的操作通常是在一組密鑰控制下進行的，分別稱為加密密鑰和解密密鑰。一個加密系統(tǒng)采用的基本工作方式稱為密碼體制，密碼體制的基本要素是密碼算法和密鑰。 一個數(shù)據(jù)加密 /解密系統(tǒng)如圖 21 所示： 第 8 頁 共 41 頁 圖 21 密碼系統(tǒng)示意圖 根據(jù)加密密鑰和解密密鑰是否相同或本質(zhì)上等同，即是否可以從一個容易的推出另一個，可將現(xiàn)有的密碼體制分為兩種 :一種是對稱密鑰體制 (私鑰密碼體制 )，另一種是非對稱密鑰體制 (公鑰密碼體制 )。 信息安全技術(shù)除了包括信息的保密外，還涉及到信息的可靠性。加密技術(shù)可以防止信息被無關(guān)的第三方解密或讀取，即被動式的攻擊，但不能防止第三方對信息的偽造和篡改，即主動式的攻擊。單項 HASH 函數(shù)是解決信息可靠性、防止信息被偽造和篡改的一種有效體制。 圖 2圖 2圖 24分別說明了上面討論的三種基本密碼技術(shù)。 圖 22 對稱秘要加密技術(shù) 圖 23 非對稱密鑰加密技術(shù) 第 9 頁 共 41 頁 圖 24 單向 HASH 函數(shù) 對稱密鑰加密技術(shù) 對稱密鑰加密技術(shù)，也稱為單鑰加密技術(shù)，即加密密鑰和解密密鑰是相同的。密鑰必須特殊保管。對稱密鑰加密技術(shù)的特點是，保密強度高，計算開銷時間少，處理速度快，適合大文件加 /解密。缺點是密鑰分發(fā)和管理困難。對稱密鑰加密過程如上圖 22。 根據(jù)對明文的加密方式的不同，又可將私鑰密碼體制分為兩類 :一類是分組密碼 (block ciphers)，在這類體制中，先將明文分組 (每組 含有多個字符 )，然后逐組地進行加密 。另一類是流密碼 (stream ciphers)，在這類體制中，明文按字符逐位地被加密。 公鑰密碼體制大都是分組密碼，一般不再按明文的加密方式對其進行分類。我們通常所說的分組密碼特指私鑰分組密碼。 流密碼是用一個時變的變換對單個明文字符進行操作，它一次將 1比特明文變化為 1比特密文的算法。 分組密碼在一個密鑰的控制之下對固定的位數(shù)的分組進行加密，其密鑰的位數(shù)和這個固定的位數(shù)大致相等，而流密碼使用盡可能長的密鑰，由于長的密鑰的存儲，分配都很困難，因此，采用一個較 短的密鑰來控制某種算法來產(chǎn)生出長的密鑰。產(chǎn)生流密碼的最簡單方法通常稱之為二元加法流密碼。 對于流密碼方式，它有很多優(yōu)點。它的密鑰序列是隨機變化的，而且每個密鑰只使用一次。由于這種方式允許用戶自己改變加密序列的大小，這樣總可以找到一個分組大小使得不用填充明文，這樣就可以充分的利用有限的網(wǎng)絡(luò)帶寬。流密碼幾乎總是比分組密碼快，通常使用的代碼也比分組密碼少得多。 對于分組密碼，可以重復(fù)使用密鑰。流密碼則更像一次一密，流密碼密鑰只使用一次。選擇分組密碼是因為它是標(biāo)準(zhǔn)的。換句話說，沒有哪種更好。若需要重復(fù)使用密鑰，就使 用第 10 頁 共 41 頁 分組密碼。如果必須保證互用性，那么最好用 AES。否則，就使用流密碼算法。 分組密碼是用一個固定的變換對一個比較大的明文數(shù)據(jù)進行操作，它是許多密碼系統(tǒng)中最突出也是最重要的成分。以分組密碼為基礎(chǔ)，可以構(gòu)造偽隨機數(shù)生成器、流密碼、 MAC和安全 HASH函數(shù)。 分組密碼對數(shù)據(jù)分組進行操作。當(dāng)將大量數(shù)據(jù)交給這種算法來加密或解密時，它將明文分解為多個分組，然后獨立地對每個分組進行操作。通常，每個分組有 8到 16字節(jié)。有時需要加密的信息的長度不是明文長度的整數(shù)倍，此時就需要對明文信息進行填充 (padding)后才能加密，解密完成后應(yīng)去掉填充位。 (1) RC5 RC5也是由 Ronald Rivest開發(fā)，并公布于 1994年。 RCS允許用戶自定義密鑰長度，數(shù)據(jù)分組長度，以及加密的迭代次數(shù)。該算法既適合于硬件實現(xiàn)，又適合于軟件實現(xiàn)，速度非?？臁? (2) RC2 RC2是一個分組加密算法，最初由 Ronald Rivest開發(fā)，作為商業(yè)秘密歸 RSA Data Security公司所有， RC是 Rivest Ciphers首字母的縮寫。它是一個很強的 加密算法， RC2的商業(yè)版本允許使用從 1直到 2048位的密鑰。 (3) DES DES是 Data Encryption Standard(數(shù)據(jù)加密標(biāo)準(zhǔn) )的縮寫，它由美國國家標(biāo)準(zhǔn)協(xié)會(National Institute of Standards and Technology, NIST)以及 IBM公司于 70年代發(fā)布的。美國己經(jīng)在 1998年 12月停止使用 DES，并用 AES(Advanced Encryption Standard)作為新的加密標(biāo)準(zhǔn)。 非對稱密鑰加密技術(shù) 非對稱密鑰加密技術(shù)也稱公鑰加密技術(shù)。公鑰體制于 1976年由 Whitfield Diffie和Martin Hellman提出，這一體制的出現(xiàn)在密碼學(xué)史上是劃時代的事件，它為解決計算機通信網(wǎng)絡(luò)中的安全提供了新的理論和技術(shù)基礎(chǔ)，也是 PKI發(fā)展的理論基礎(chǔ)。這一體制的最大特點是采用兩個密鑰將加密和解密分開 :每個用戶都有兩個密鑰，一把公開密鑰和一把私有密鑰，前者用于加密，后者用于解密。傳統(tǒng)私鑰密碼體制中令人頭疼的密鑰分發(fā)問題轉(zhuǎn)變?yōu)橐粋€性質(zhì)完全不同的“公開鑰匙分發(fā)”問題，因此，非對稱密碼技術(shù)的特點是便于密鑰管理和分發(fā)，第 11 頁 共 41 頁 便于通信加密和數(shù)字簽名。缺點是處理速度較慢，特別是加密大文件時，計算開銷 要大。 常用的公鑰密碼算法 : (1) DSA Digital Signature Algorithm(數(shù)字簽名算法 )是由 NSA(National Security Agency，美國國家安全局 )開發(fā)，被 NIST采用并作為聯(lián)邦信息處理標(biāo)準(zhǔn) (F工 PS,Federal Information Processing Standards)。雖然 DSA也可以用于加密，但它通常僅用作數(shù)字簽名。 (2) RSA 著名的 RSA加密算法是由 MIT的 Ronald Rivest和 Adi Shamir教授，以及 USC的 Leonard Adleman教授聯(lián)合開發(fā)的， RSA就是以他們的名字的首字母命名。 RSA可用作加密信息，也可用作數(shù)字簽名。 RSA加密算法的密鑰長度可以是任意長度。 (3)DiffieHellman DiffieHellman算法是一個在公共信道上制作和交換共享密鑰的算法。通信雙方約定一些通用的數(shù)值，然后每一方建立一個密鑰，將密鑰數(shù)學(xué)變形后交換。于是通信雙方可以各自建立會話密鑰，而攻擊者很難破解這個密鑰。這個算法通常被用作密鑰交換的基礎(chǔ)，密鑰可以是任意長度，越長的密鑰越安全。 SSL協(xié)議概述 Secure Sockets Layer(安全套接字層，簡稱 SSL)協(xié)議是由 Netscape公司為制定數(shù)據(jù)安全性所開發(fā)的通信協(xié)議。 1995年， Netscape公司提出了 SSL2. 0之后，很快就成為一個事實上的標(biāo)準(zhǔn)，并為眾多的廠商所采用。 1996年， Netscape公司發(fā)布了 SSL3. 0，該版本增加了對除了RSA算法之外的其他算法的支持和一些安全特性，并且修改了前一個版本中一些小的問題，相比 SSL2. 0更加成熟和穩(wěn)定。 1999年 1月 IETF基于 SSL協(xié)議發(fā)布了 (Transport Layer Security)版本， Netscape公司宣布支持該開放的標(biāo)準(zhǔn)。 SSL協(xié)議向基于 TCP/IP的客戶 /服務(wù)器應(yīng)用程序提供了客戶端和服務(wù)器的鑒別、數(shù)據(jù)完整性、及信息機密性等安全措施。該協(xié)議通過在應(yīng)用程序進行數(shù)據(jù)交換前交換 SSL初始握手信息來實現(xiàn)有關(guān)安全特性的審查。在 SSL握手信息中采用了 DES, MD5等加密技術(shù)來實現(xiàn)機密性和數(shù)據(jù)完整性，并采用 X. 509的數(shù)字證書實現(xiàn)鑒別。該協(xié)議已成為事實上的工業(yè)標(biāo)準(zhǔn)，并被廣泛應(yīng)用于 Inter和 Intra的服務(wù)器產(chǎn)品和客戶端產(chǎn)品中。如 Netscape公司、微軟公司、 IBM公司等領(lǐng)導(dǎo) Inter/Intra網(wǎng)絡(luò)產(chǎn)品的公司已在使用該協(xié)議。 第 12 頁 共 41 頁 第三 章 SSL 在實名認(rèn)證系統(tǒng)中應(yīng)用的總體 設(shè)計 技術(shù)選型 開發(fā)環(huán)境 語言： Java 核心技術(shù)： SpringMVC、 tuscany(sca)、 ajax、 SSL 開發(fā)工具： Eclipse 、 tomcat 、 術(shù)語和定義、縮略語 用戶身份的一種憑證，登錄應(yīng)用系統(tǒng)的介質(zhì)，類似于銀行的 u盾。 第 13 頁 共 41 頁 WebService技術(shù)是為了適應(yīng)分布式計算環(huán)境下提供的一種 web對象訪問技術(shù)。 ： API 應(yīng)用程序接口（ Application Program Interface），簡稱應(yīng)用接口 B/S 瀏覽器 /服務(wù)器 C/S 客戶端 /服務(wù)器 4. SSL 接口 jar 包 第 14 頁 共 41 頁 技術(shù)架構(gòu) 組件層控制層通 用 A c t i o n表現(xiàn)層數(shù)據(jù)層服務(wù)層D A O代 理 W E B 服 務(wù) （ w e b s e r v i c e ）業(yè) 務(wù) 服 務(wù)J s p J s自 定 義 標(biāo) 簽S e r l e t定 制 A c t i o n文 件 系 統(tǒng)U I 組 件組 件 服 務(wù)組 件 工 廠 說明： 一、 表現(xiàn)層： 負責(zé)界面展現(xiàn)，提供人機數(shù)據(jù)交換，通常情況是將頁面數(shù)據(jù)使用 Ajax技術(shù)提交給通用 Action，并接收返回結(jié)果進行處理。當(dāng)發(fā)生特定請求處理 或上傳文件時，提交給定制 Action； 表現(xiàn)層不能直接訪問訪問業(yè)務(wù)服務(wù)，或組件服務(wù)（特定 UI 組件除外）。 二、 控制層： 負責(zé)接收界面請求，并提交給代理 web 服務(wù)（ Webservice）進行處理，同時從 Webservice 接收返回結(jié)果，并返回給請求頁面；定制 Action 處理通用 action無法處理的頁面請求； 三、 服務(wù)層： 服務(wù)層是對業(yè)務(wù)邏輯功能的實現(xiàn)，服務(wù)層分為兩部分，其一是代理web 服務(wù)（ Webservice） ，其二是業(yè)務(wù)功能實現(xiàn)。 ? 代理 web 服務(wù)（ Webservice）：服務(wù)層對外提供統(tǒng)一、唯一的 Webservice 服務(wù)，由一個代理服務(wù)類實現(xiàn)，由代理服務(wù)類路由到具體的業(yè)務(wù)功能實現(xiàn)類。 ? 業(yè)務(wù) 服務(wù) ：實現(xiàn)特定業(yè)務(wù)邏輯功能。 ? 組件服務(wù)：系統(tǒng)各組件保持一定的獨立性，降低耦合性，將組件包裝成服務(wù)第 15 頁 共 41 頁 組件，統(tǒng)一發(fā)布使用。組件服務(wù)由 Service 和組件工廠組成，組件工廠負責(zé)具體實現(xiàn)。 四、 數(shù)據(jù)層： 完成數(shù)據(jù)的存儲和文件的生成。 ? DAO： 完成數(shù)據(jù)庫存取操作； 文件系統(tǒng)： 完成文件生成操作； 核心開發(fā)設(shè)計 核心部分的目的：是提供一個公共服務(wù) （ Webservice） 即代理服務(wù)，實現(xiàn)系統(tǒng)表現(xiàn)層到業(yè)務(wù)邏輯功能實現(xiàn)的路由轉(zhuǎn)換和數(shù)據(jù)的交互。同時，公共服 務(wù) （ Webservice） 還需根據(jù)業(yè)務(wù)邏輯功能實現(xiàn)的配置要求，進行用戶安全驗證和請求數(shù)據(jù)驗證。 在核心部分還將提供一個公用的 action 即代理 action，目的是縮減開發(fā)量，減少 action的數(shù)量。 ?交互的數(shù)據(jù)格式如下： ? 表現(xiàn)層請求數(shù)據(jù)格式 ，由表現(xiàn)層實現(xiàn)數(shù)據(jù)封裝，并提交給公共服務(wù) Xml 格式 解釋說明 ?xml version= encoding