【正文】 ，同時也提高了證書非對稱密鑰的位數(shù)，根據(jù)美國的出口限制，非對稱密鑰位數(shù)不能超過 512 位。由于代理客戶端和瀏覽器安裝在同一臺機器上，具有相同的 IP 地址，所以數(shù)據(jù)僅到達數(shù)據(jù)鏈路層，不可能在任何網(wǎng)絡(luò)上出現(xiàn)，兩者之間即便只有 40 位的加密強度，也是足夠安全的。在服務(wù)器端，代理服務(wù)器端則與低位數(shù)的 web server 運行在同一臺主機上，代理 web server 的高位數(shù)加密連接，其工作過程與代理客戶端十分類似。代理客戶端運行在用戶的 PC 機上，與瀏覽器同在一臺機器上，代理客戶端通過修改瀏覽器的代理設(shè)置，從而捕獲瀏覽器發(fā)出的安全連接。SSL 代理產(chǎn)品完全符合 SSL 標(biāo)準(zhǔn)，因此和瀏覽器，Web 服務(wù)器內(nèi)置的 SSL 功能都能完全兼容。以 SET 應(yīng)用為例，目前大部分SET 系統(tǒng)的客戶端電子錢包都是采用自己開發(fā)的加密模塊，也就是說，用戶必須再申請一張 SET 數(shù)字證書，不同的應(yīng)用采用自己的加密模塊，15 / 31給用戶造成了極大的不便。4． 缺省的 CSP 和 PKCS11 模塊都不能支持 IC 卡，給用戶保存和管理密鑰增加了難度，也降低了安全性能。2． Inter Explore SSL 模塊的加密部分實際上是由操作系統(tǒng)加密內(nèi)核CSP 提供的，而 Navigator 和 Communicator 瀏覽器的加密模塊采用的是網(wǎng)景公司開發(fā)的 PKCS11 模塊，這兩個模塊之間不能夠交換私鑰，所以用戶申請證書時用的是何種瀏覽器，以后就必須使用這個瀏覽器，這給用戶帶來了不便。雖然美國國會已經(jīng)批準(zhǔn)了 56 位密碼產(chǎn)品出口，但是簡體中文版的瀏覽器還是仍然只支持 40 位加密強度。這兩種瀏覽器都具備 SSL 連接的功能。例如，如果將服務(wù)器配置為要求最小 128 位加密強度的會話密鑰，則若要使連接安全，用戶必須使 Web 瀏覽器有能力處理具有 128 位會話密鑰的信息。用戶要建立與 Web 服務(wù)器的安全通訊通道時，用戶瀏覽器必須確認能用于該通道安全通訊的最高級加密或最高會話密鑰強度。 會話密鑰的復(fù)雜度，或強度，是和組成會話密鑰文件的二進制位數(shù)成正比的。 14 / 31? 服務(wù)器用私人密鑰解密會話密鑰，并建立安全通道。 ? Web 瀏覽器生成會話密鑰，再用服務(wù)器的公共密鑰加密它。 （此證書使用戶能夠確認服務(wù)器的真實性和 Web 內(nèi)容的完整性。公共密鑰加密的工作方式如下： ? 用戶 Web 瀏覽器建立與 Web 服務(wù)器的安全 (HTTPS) 通訊鏈接。 Web 服務(wù)器的安全套接字層 (SSL) 安全功能使用了一種稱為公共密鑰的加密技術(shù)來屏蔽此密鑰以防在傳輸期間被截取。這意味著要危害鏈接的計算機破壞者只需要截取和偷竊此會話密鑰就可以了。接收到加密文件后，Web 瀏覽器將使用相同會話密鑰的副本還原此文件。建立安全鏈接后，Web 服務(wù)器和用戶 Web 瀏覽器都使用指定的會話密鑰來加密和解密信息。Web 服務(wù)器的會話密鑰一般為 40 位長，但實際上可以更長。此會話密鑰的加密度，或強度，用位來表示。交換的最后結(jié)果是創(chuàng)建（通常由 Web 瀏覽器）會話密鑰?！SL 工作流程利用 SSL，服務(wù)器和用戶 Web 瀏覽器首先參與處理交換 – 需要證書和密鑰對 – 以決定安全通訊需要的加密等級。典型的客戶證書包含用戶和證書發(fā)行機構(gòu)的詳細標(biāo)識信息。來自第三方身份認證機構(gòu)的服務(wù)器證書提供用戶驗證 Web 站點的方法。SSL 協(xié)議保證了在 Inter 上交換信息雙方的信息安全性和可靠性。此后，SSL 的作用是加密和解密要使用的應(yīng)用程序協(xié)議的字節(jié)流（例如 HTTP 數(shù)據(jù)包） 。SSL 提供了用于啟動 TCP/IP 安全連接的“信號交換”機制。這種安全性協(xié)議被稱為安全套接字層－Security Socket Layer (SSL)，它為 TCP/IP 連接提供數(shù)據(jù)加密、服務(wù)器身份驗證和消息完整性驗證。因此上海格爾軟件公司的加密模塊和 SSL 代理產(chǎn)品對這兩種用戶簽名方式提供了支持。由于 XML 在保存和傳輸數(shù)據(jù)標(biāo)準(zhǔn)化方面的優(yōu)越性，這項技術(shù)正在成為微軟和 SUN 公司競爭的焦點。4． XML Signature 方式：這時目前最有希望的一種技術(shù)，IETF 組織正在準(zhǔn)備將這項技術(shù)確立為標(biāo)準(zhǔn)。因為 Java 具有較大的代表性，所以稱為Java 方式。3． Java 方式：這種方式是采用客戶端腳本的一類方式，用戶在填好支付指令或轉(zhuǎn)賬指令時，點擊“發(fā)送”按鈕，瀏覽器腳本或 Applet 開始運行，調(diào)用系統(tǒng)的加密模塊對表單中的數(shù)據(jù)進行簽名，并把簽名結(jié)果一起發(fā)送給服務(wù)器應(yīng)用程序。2． 表單簽名技術(shù)：Netscape 公司發(fā)明的一種技術(shù)，在其瀏覽器中已經(jīng)支持，通過調(diào)用 Java 腳本實現(xiàn)對表單域內(nèi)容的簽名，這種方案雖然沒有方案 1 的缺點，但是其實現(xiàn)與瀏覽器相關(guān)。許多 SET 應(yīng)用的實現(xiàn)采用了這種方案，這種方案的主要缺點是效率比較低，同一段數(shù)據(jù)需要被來回傳送兩次。但是對于企業(yè)用戶和進行證券轉(zhuǎn)賬的個人用戶來說，轉(zhuǎn)賬金額大，風(fēng)險大，指令必須附帶簽名數(shù)據(jù)，在簽名數(shù)據(jù)驗證通過以后才能真正進行支付或轉(zhuǎn)賬。另外，對于企業(yè)級的帳戶。將簽名數(shù)據(jù)作為業(yè)務(wù)數(shù)據(jù)的憑證，在業(yè)務(wù)成功后就開始保障不可否認性。由于私鑰很難攻擊，其他人（包括銀行）不可能得到私有密鑰。這對于規(guī)范業(yè)務(wù)，避免法律糾紛起著很大的作用。如果將原先的數(shù)字簽名解密，就很容易發(fā)現(xiàn)兩段數(shù)據(jù)摘要不符。SSL 由于對整個數(shù)據(jù)鏈路進行了加密，所以在一定程度上能夠保證完整性，但是公開網(wǎng)絡(luò)上的數(shù)據(jù)加密對完整性的保護只是局部的，一旦數(shù)據(jù)被解密后依然存在著被更改的可能。銀行業(yè)務(wù)主機再對口令進行驗證10 / 31行系統(tǒng)已經(jīng)開通了如下支付和轉(zhuǎn)賬業(yè)務(wù)：? 定期賬戶轉(zhuǎn)活期? 活期賬戶轉(zhuǎn)定期? 活期賬戶轉(zhuǎn)活期? 信用卡賬戶轉(zhuǎn)信用卡賬戶? 公用事業(yè)費代繳? 企業(yè)轉(zhuǎn)賬? 證券資金賬戶轉(zhuǎn)賬? 特約商戶網(wǎng)上支付和查詢相比，支付和帳戶轉(zhuǎn)帳的安全需求更高，除了必須具備查詢所需要的安全性之外，還需要應(yīng)該提供數(shù)據(jù)完整性和不可否認性。圖 2 企業(yè)用戶身份驗證示意圖網(wǎng)上支付和轉(zhuǎn)賬在查詢的基礎(chǔ)上進一步給用戶提供了方便，用戶可以在網(wǎng)上進行支付、轉(zhuǎn)賬從而達到交易的目的，就目前而言，國內(nèi)很多網(wǎng)上銀遞交口令的Web 服務(wù)器的用戶的表單的的銀行業(yè)務(wù)主機的CA 服務(wù)器的建立 SSL 握手的1．SSL 服務(wù)器代理驗證用戶證書本身的合法性2。另外 SSL 采用了會話密鑰的機制，每次握手時約定一個會話密鑰，會話結(jié)束，密鑰立刻失效，最大程度上保證了數(shù)據(jù)的保密性。9 / 31數(shù)據(jù)加密Web 應(yīng)用數(shù)據(jù)加密的方案除了 SSL 以外，并沒有太多可供選擇的方案。圖 2 是網(wǎng)上銀行企業(yè)用戶的口令驗證方式。當(dāng)服務(wù)器通過 SSL 獲得用戶證書后，服務(wù)器應(yīng)用程序還要到 CA 服務(wù)器檢索該證書是否在廢止證書列表之中。然后將查詢請求和口令一起發(fā)送給業(yè)務(wù)前置機，由銀行業(yè)務(wù)主機對口令再次進行認證。每個企業(yè)用戶應(yīng)該申請一張數(shù)字證書，當(dāng)企業(yè)用戶上網(wǎng)進行賬戶查詢時，通過 SSL 建立安全連接。下表是數(shù)字證書同傳統(tǒng)口令模式的身份驗證在性能上的比較：口令方式 數(shù)字證書方式用戶登錄時口令在公開網(wǎng)絡(luò)上傳輸，有可能泄密私鑰由用戶保存，只需公布其公鑰。SSL 對 進行了擴展，支持客戶證書，這時服務(wù)器就可以驗證客戶的證書，只有那些擁有合法證書的用戶才能繼續(xù)保持與服務(wù)器的連接，如果配合口令驗證，就成為雙因子身份認證。簡單地說，SSL 就是在傳輸數(shù)據(jù)前，服務(wù)器和客戶雙方通過數(shù)字證書進行“握手” ，驗證對方的數(shù)字證書是否合法，并且約定一個臨時的會話密鑰，對接下來要傳輸?shù)臄?shù)據(jù)進行加密。它不但可以解決身份認證，也解決了數(shù)據(jù)保密問題，所以目前大部分網(wǎng)上應(yīng)用，包括網(wǎng)上銀行都采用 SSL 技術(shù)來實現(xiàn)身份認證。這些技術(shù)配合口令機制，就稱為雙因子身份認證技術(shù)。因此，傳統(tǒng)的口令驗證難以成為網(wǎng)上銀行業(yè)務(wù)的唯一身份認證技術(shù)。網(wǎng)絡(luò)的信道故障或者人為的惡意行為都很容易使輸錯口令次數(shù)達到限制。2． 在網(wǎng)絡(luò)上，口令猜測是黑客使用最多的攻擊手段，即使使用蠻力攻擊法，攻破 8 位的數(shù)字口令也只需很短的時間。2． 銀行主機記錄用戶輸錯 PIN 的次數(shù)，一旦超過一定數(shù)量，就自動關(guān)閉該賬戶的服務(wù)功能。網(wǎng)上賬戶查詢的信息安全功能應(yīng)包括兩個方面：身份認證和數(shù)據(jù)保密。網(wǎng)上賬戶查詢是指網(wǎng)上銀行通過 Inter 進行帳戶實時查詢功能，企業(yè)銀行的查詢功能包括：? 余額查詢? 交易歷史查詢? 匯款查詢? 公司對公賬戶查詢個人銀行的查詢功能包括：? 公積金賬戶查詢? 交易明細查詢? 定期到期查詢? 消費積分查詢網(wǎng)上賬戶查詢的安全需求比公共信息發(fā)布要更高，因此網(wǎng)上賬戶對系統(tǒng)安全也有同樣的需求，而且，除此之外，網(wǎng)上賬戶查詢的還需要解決用戶的私有7 / 31信息（口令，賬戶數(shù)據(jù)）在 Inter 這個公開網(wǎng)絡(luò)上傳輸?shù)陌踩珕栴}。檢測到異常情況之后，檢測模塊能夠自動予以記錄和預(yù)警。相反，入侵者為了猜測密碼，會大批量、長時間、從同一地點發(fā)出攻擊信息。自然，這些攻擊數(shù)據(jù)對于查詢系統(tǒng)來說，可能是合法的查詢參數(shù)，它的特點是在同一個攻擊源同時發(fā)出大批量查詢請求。如果入侵者知道帳戶號碼，很容易通過枚舉攻擊猜測出帳戶密碼。6 / 31配置入侵檢測模塊除了防火墻之外，配置入侵檢測模塊也是一個重要的安全措施。只要配置正確，代理服務(wù)器就絕對安全，它阻擋任何人進入內(nèi)部網(wǎng)絡(luò)，因為沒有直接的 IP 通路。在有代理服務(wù)器的系統(tǒng)中，這項工作是完全自動的。 2. 代理服務(wù)器代理服務(wù)器允許通過防火墻間接進入 Inter。過濾防火墻是絕對性的過濾系統(tǒng)。這種防火墻非常安全。防火墻有兩種：1. IP 過濾防火墻IP 過濾防火墻在數(shù)據(jù)包一層工作。如果要從受到保護的網(wǎng)絡(luò)內(nèi)部接到 Inter，首先需要連接到防火墻，然后從防火墻接入 Inter。增加防火墻防護在網(wǎng)絡(luò)系統(tǒng)中，防火墻是一種裝置，可使內(nèi)部網(wǎng)絡(luò)不受公共部分（整個Inter）的影響。Intra 與網(wǎng)上內(nèi)部網(wǎng)絡(luò)由前置機相連，為了保證銀行業(yè)務(wù)主機的運行安全，網(wǎng)上銀行系統(tǒng)不直接連接業(yè)務(wù)主機，而是由特定的前置機來代理其請求，前置機只響應(yīng)特定服務(wù)請求，然后將請求轉(zhuǎn)換為特定消息格式發(fā)送給業(yè)務(wù)主機，收到應(yīng)答后再將數(shù)據(jù)返回給請求者。首先防火墻將 Inter 和 Intra 以及非軍事區(qū)分離。其安全等級從前往后逐次遞增。專人專權(quán)　由專人負責(zé)系統(tǒng)安全和系統(tǒng)維護，減少不必要的用戶管理權(quán)限，嚴(yán)格控制非系統(tǒng)管理員的權(quán)限和系統(tǒng)管理員的數(shù)量。如有必要，使用專門的入侵檢測模塊。停止所有與業(yè)務(wù)無關(guān)的服務(wù)器進程，如 Tel、SMTP 和 FTP 等服務(wù)器守護進程。切斷共享　Web 服務(wù)器上的系統(tǒng)配置盡可能地保證安全。同時，周期性的維護系統(tǒng)，包括備份和安裝補丁程序、訂閱安全電子新聞。良好的安全管理策略對系統(tǒng)的安全水平起著至關(guān)重要的作用。同時安裝某些監(jiān)控軟件也是有效的手段之一。例如黑客通過占用整個磁盤空間來防止日志生成，不幸