基于web的應(yīng)用系統(tǒng)安全方案-資料下載頁(yè)
2025-08-05 21:14本頁(yè)面
【正文】 要素就沒必再被簽名了。超出需求的要素被簽名，一方面將會(huì)增加網(wǎng)絡(luò)流量，同時(shí)還會(huì)導(dǎo)致服務(wù)器相應(yīng)的遲滯。3．由于SPKM協(xié)議并非普遍采用的安全通訊協(xié)議，因此在通用的瀏覽器如IE、Navigator等中沒有支持，需要下載安裝客戶端軟件，這就增加了系統(tǒng)安裝、維護(hù)、使用的難度。SSL（Security Socket Layer）協(xié)議已得到各主流瀏覽器內(nèi)置的支持。由于標(biāo)準(zhǔn)的SSL協(xié)議，在采用客戶端證書時(shí)，并未對(duì)用戶的交易數(shù)據(jù)進(jìn)行顯式簽名，造成應(yīng)用系統(tǒng)無(wú)法記錄交易數(shù)據(jù)的數(shù)字簽名，給在技術(shù)層面維護(hù)交易的不可否認(rèn)性帶來(lái)了一定的困難[6]。在應(yīng)用系統(tǒng)中我們采用SSL協(xié)議來(lái)建立安全連接。SSL協(xié)議簽名的問(wèn)題可通過(guò)在客戶瀏覽器端安裝簽名控件來(lái)完成，簽名控件一方面可以完成數(shù)字簽名，另一方面，通過(guò)自定義簽名格式，只對(duì)需要的頁(yè)面要素進(jìn)行簽名，去除不必要的數(shù)據(jù)被簽名。 安全區(qū)域的劃分通過(guò)三臺(tái)防火墻將網(wǎng)絡(luò)劃分為四個(gè)邏輯區(qū)域，按由外到內(nèi)的順序部署。第一道防火墻之外是Internet區(qū)（非授信區(qū)）；第一道防火墻和第二道防火墻之間是Web區(qū)，在此區(qū)域中部署SSL服務(wù)器以及應(yīng)用系統(tǒng)和網(wǎng)站系統(tǒng)的Web服務(wù)器等其它第三方應(yīng)用系統(tǒng)；第二道防火墻和第三道防火墻之間是系統(tǒng)及網(wǎng)站的應(yīng)用/DB區(qū)，在此區(qū)域中部署應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器；第三道防火墻之后為其它的核心系統(tǒng)、中間業(yè)務(wù)平臺(tái)等第三方業(yè)務(wù)系統(tǒng)。 網(wǎng)絡(luò)層安全組件應(yīng)用系統(tǒng)的最外端部署了綠盟黑洞抗DoS攻擊系統(tǒng)COLLAPSAR600D5B，以控制拒絕式攻擊和分布式拒絕攻擊；防火墻采用的是天融信防火墻產(chǎn)品NGFW4000G，入侵檢測(cè)則采用的是啟明入侵檢測(cè)NS500系統(tǒng)，漏洞掃描軟件采用的是冠群金辰承影網(wǎng)絡(luò)漏洞掃描器，原有系統(tǒng)被兩道防火墻分隔成三個(gè)區(qū)。系統(tǒng)部署時(shí)要求在?；饏^(qū)中再增加一道防火墻，一方面隔離Web服務(wù)器與應(yīng)用服務(wù)器；另一方面隔離應(yīng)用服務(wù)器和其它核心系統(tǒng)。增加的防火墻依然采用的是天融信NGFW4000G防火墻，此外還增加了兩臺(tái)IBM TotalStorage SAN 16M2的交換機(jī)，一套啟明NS500系統(tǒng)。 系統(tǒng)層方案選擇系統(tǒng)Web服務(wù)器的操作系統(tǒng)采用SUSE Linux 9 Enterprise，應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器的操作系統(tǒng)采用AIX5L，數(shù)據(jù)庫(kù)管理系統(tǒng)采用Oracle FOR AIX。由于軟件系統(tǒng)通常都存在漏洞，操作系統(tǒng)也不例外，無(wú)論是Unix、Linux還是Windows系統(tǒng)。操作系統(tǒng)要求定期安裝系統(tǒng)的最新補(bǔ)丁，并定期對(duì)審計(jì)日志進(jìn)行檢查和備份。另外，UNIX、Linux、NT系統(tǒng)一般包含許多網(wǎng)絡(luò)服務(wù)應(yīng)用程序，如FTP、Telnet等，有些不必要的網(wǎng)絡(luò)服務(wù)程序必須禁用并關(guān)閉對(duì)應(yīng)的端口。 應(yīng)用層方案選擇 數(shù)字證書國(guó)外比較著名的數(shù)字證書有：Verisign、Etrust、Baltimore等；國(guó)內(nèi)應(yīng)用比較廣泛的數(shù)字證書主要有中國(guó)金融認(rèn)證中心CFCA的數(shù)字證書、上海數(shù)字證書認(rèn)證中心SHECA的證書等；另外有些實(shí)體建設(shè)了自己的CA，向本實(shí)體內(nèi)的系統(tǒng)及其客戶發(fā)放數(shù)字證書。對(duì)比分析上述的幾家認(rèn)證中心的數(shù)字證書的優(yōu)缺點(diǎn)將有助于安全子系統(tǒng)的數(shù)字證書的選擇。下表是比較結(jié)果：表8 認(rèn)證中心比較的表格方案優(yōu)點(diǎn)缺點(diǎn)CFCA良好的公信力，是金融領(lǐng)域CA的權(quán)威高級(jí)證書費(fèi)用較高，但可采用普通證書。VeriSign國(guó)際的發(fā)證權(quán)威機(jī)構(gòu)國(guó)外機(jī)構(gòu)，發(fā)證手續(xù)麻煩，費(fèi)用也不低。自建CA發(fā)證成本較低仍需購(gòu)買發(fā)證軟件；銀行不具備管理CA的專長(zhǎng)（大量的管理工作）；法律問(wèn)題（非授信第三方）等等。 動(dòng)態(tài)密碼輔助解決方案動(dòng)態(tài)密碼方案是以一次性口令技術(shù)為基礎(chǔ)的，目前成熟的產(chǎn)品主要有智能卡、刮刮卡、動(dòng)態(tài)短信系統(tǒng)等，產(chǎn)品供應(yīng)商主要有RSA、Todos等。應(yīng)用系統(tǒng)可采用動(dòng)態(tài)密碼系統(tǒng)作為身份認(rèn)證的輔助解決方案，Todos動(dòng)態(tài)密碼系統(tǒng)可以采用手機(jī)短信的方式向客戶端發(fā)送一次性口令，客戶端僅需有一臺(tái)可以接受短信的手機(jī)就可以了，這種方案客戶端幾乎沒有投入成本，造價(jià)也相對(duì)低廉，安全性強(qiáng)。除手機(jī)短信方式，動(dòng)態(tài)密碼系統(tǒng)還有以下幾種客戶端的終端可供選擇：智能卡，以IC卡為載體，IC卡的內(nèi)置芯片實(shí)現(xiàn)某個(gè)密碼算法，卡內(nèi)同時(shí)儲(chǔ)存了用戶的種子，每次按某種序列計(jì)算出不確定因子。智能卡通常還有個(gè)啟動(dòng)PIN碼，提供對(duì)智能卡持有人的認(rèn)證，加強(qiáng)智能卡的安全性。智能卡具有攜帶方便，保密性好，即使卡遺失也不怕被他人利用等優(yōu)點(diǎn)，缺點(diǎn)就是成本相對(duì)較高。刮刮卡，就是通過(guò)一次性口令技術(shù)事先算出一次性口令的子集或全集，將這些口令印制在一張卡片上，再在每個(gè)口令上涂蓋上防讀層，以后每次使用時(shí)按系統(tǒng)提示刮開相應(yīng)位置的涂層，便得到當(dāng)次的口令，這種卡便稱為刮刮卡。刮刮卡具有成本低，使用方便的優(yōu)點(diǎn)，安全性要比智能卡的低，一旦遺失有可能被他人利用。動(dòng)態(tài)密碼系統(tǒng)的采用一方面加強(qiáng)了應(yīng)用系統(tǒng)的安全性，另一方面也增加了客戶選擇認(rèn)證措施的余地。 系統(tǒng)運(yùn)行環(huán)境 硬件配置252。 Web主機(jī)表9 Web主機(jī)的配置表型號(hào)數(shù)量配置備注Openpower710 1G,1 CPU, SUSE 91HD 2*73Gweb server 1 門戶用Openpower710 1G,1 CPU, SUSE 91HD 2*73Gweb server 2 門戶用Openpower710 1G,1 CPU, SUSE 91HD 2*73Gweb server 3 應(yīng)用用Openpower710 1G,1 CPU, SUSE 91HD 2*73Gweb server 4 應(yīng)用用252。 NSAE表10 NSAE加速卡的配置表型號(hào)數(shù)量配置備注InfoSec NSAE 加速卡版1HD 2*73GInfoSec NSAE 加速卡版1HD 2*73G252。 應(yīng)用主機(jī)和數(shù)據(jù)庫(kù)主機(jī)表11 應(yīng)用主機(jī)和數(shù)據(jù)庫(kù)主機(jī)的配置表型號(hào)數(shù)量配置備注P550 4G 2CPU， 1HD 2*73GP550 4G 2CPU， 1HD 2*73G252。 NETSIGN表12 數(shù)字簽名驗(yàn)證設(shè)備的配置表型號(hào)數(shù)量配置備注InfoSec NETSIGN1HD 2*73G252。 SAN SWITH表13 交換機(jī)的配置表型號(hào)數(shù)量配置備注IBM TotalStorage SAN 16M228口252。 磁盤陣列表14 磁盤陣列的配置表型號(hào)數(shù)量配置備注DS43001HD 8*73G7+1 冗余 RAID5 軟件配置252。 Web服務(wù)器表15 Web服務(wù)器的配置表型號(hào)數(shù)量備注IBM HTTP SERVER 1CFCA RA1Dynamic Password Server1252。 應(yīng)用服務(wù)器表16 應(yīng)用服務(wù)器的配置表型號(hào)數(shù)量備注IBM WebSphere ND1252。 數(shù)據(jù)庫(kù)服務(wù)器表17 數(shù)據(jù)庫(kù)服務(wù)器的配置表型號(hào)數(shù)量備注Oracle FOR AIX1252。 雙機(jī)熱備軟件表18 雙機(jī)熱備軟件的配置表型號(hào)數(shù)量備注HACMP FOR AIX 1
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1