【正文】 合在一起的內(nèi)容進(jìn)行加密 , 以形成經(jīng)過加密的負(fù)載 (payload)?？梢酝ㄟ^計(jì)算數(shù)據(jù)的 MAC 來提供完整性保護(hù)。這種方案使得數(shù)據(jù)一經(jīng)準(zhǔn)備好就可以從連接的一端傳送到另一端 , 并在接收到后即刻加以處理。 ? SSL 記錄協(xié)議是通過將數(shù)據(jù)流分割成一系列的片段并加以傳輸來工作的 , 其中對每個(gè)片段單獨(dú)進(jìn)行保護(hù)和傳輸。在發(fā)送端 , 記錄層協(xié)議發(fā)送的信息數(shù)據(jù)進(jìn)行分組、壓縮、形成 MAC、加密 , 最后傳輸 。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 5頁 SSL協(xié)議的運(yùn)行步驟 ? ①接通階段：客戶通過網(wǎng)絡(luò)向服務(wù)商打招呼，服務(wù)商回應(yīng)； ? ②密鑰交換階段：客戶與服務(wù)器之間交換雙方認(rèn)可的密鑰，一般選用 RSA密碼算法，也有的選用DiffieHellman和 FortezzaKEA密碼算法； ? ③協(xié)商密鑰階段：客戶與服務(wù)商間產(chǎn)生彼此交談的會(huì)話密鑰； ? ④檢驗(yàn)階段：檢驗(yàn)服務(wù)商取得的密鑰； ? ⑤客戶認(rèn)證階段：驗(yàn)證客戶的可信度； ? ⑥結(jié)束階段，客戶與服務(wù)商之間相互交換結(jié)束的信息。 ? 帶 MD5消息認(rèn)證、支持 40位加密的 RC4，大約有個(gè) * 1012可用的密碼。 ? 帶 SHA1消息認(rèn)證、支持 56位加密的 DES，大約有 * 1016 個(gè)可用的密碼（在 中該密碼使用的是 MD5 消息認(rèn)證）。RC4密碼是 SSL支持的密碼中最快的。 ? 帶 MD5消息認(rèn)證、支持 128位加密的 RC4， RC4和 RC2都有 128位的密碼，它們的加密強(qiáng)度僅次于 TripleDES。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 4頁 SSL提供的安全服務(wù) ? ①用戶和服務(wù)器的合法性認(rèn)證 ? ②加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù) ? ③保護(hù)數(shù)據(jù)的完整性 ? SSL協(xié)議支持如下一些使用 RSA密鑰交換算法的密碼組，它們的加密強(qiáng)度由強(qiáng)到弱排列： ? 帶 SHA1消息認(rèn)證、支持 168位加密的 TripleDES，速度不如 RC4快。SSL協(xié)議的實(shí)現(xiàn)屬于 SOCKET層，在 Inter網(wǎng)絡(luò)層次中的位置處于應(yīng)用層和傳輸層之間?，F(xiàn)行Web瀏覽器普遍將 HTTP和 SSL相結(jié)合，來實(shí)現(xiàn)安全通信。 ? 國際安全評估的五個(gè)準(zhǔn)則 。 ? 兩個(gè)重要的安全電子郵件協(xié)議： PEM和 S/MIME概述 。2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 1頁 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 內(nèi)容提要 ? 安全套接層協(xié)議 ? 安全電子交易規(guī)范 ? 電子支付專用協(xié)議 ? 安全超文本傳輸協(xié)議 ? 安全電子郵件協(xié)議 ? Inter 電子數(shù)據(jù)交換協(xié)議 ? IPSec安全協(xié)議 ? 安全技術(shù)評估標(biāo)準(zhǔn) 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 2頁 本章要點(diǎn) ? 電子商務(wù)安全服務(wù)支撐協(xié)議包含安全套接層協(xié)議 SSL協(xié)議 、 安全電子傳輸規(guī)范 SET協(xié)議 、 安全通信協(xié)議 SHTTP、 Inter 電子數(shù)據(jù)交換協(xié)議 、 互聯(lián)網(wǎng)安全協(xié)議 IPSec安全協(xié)議 。 ? 其它三個(gè)重要的電子支付協(xié)議： Netbill協(xié)議 、 First Virtual協(xié)議 、iKP協(xié)議 。 ? Windows 2022的 IPSec策略和 SSL配置策略 。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 3頁 安全套接層協(xié)議 SSL ? Netscape公司推出 Web瀏覽器時(shí)，提出了 SSL（ Secure Socket Layer）安全通信協(xié)議， SSL協(xié)議目前已成為 Inter上保密通訊的工業(yè)標(biāo)準(zhǔn)。 ? SSL主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。 ? IETF（ ）將 SSL作了標(biāo)準(zhǔn)化，即RFC2246，并將其稱為 TLS（ Transport Layer Security），從技術(shù)上講， 非常微小。由于密碼長度較大，大約有 * 1050個(gè)密碼可用。 RC4和 RC2大約有 * 1038 個(gè)密碼可用，這使得它們很難被破解。 ? 帶 MD5消息認(rèn)證、支持 128位加密的 RC2， RC2比 RC4速度慢（ 持）。 ? 根據(jù)美國政府的規(guī)定，以上四種加密僅能在美國境內(nèi)使用，以下加密技術(shù)是可以出口的。 ? 帶 MD5消息認(rèn)證、支持 40位加密的 RC2，大約有個(gè) * 1012可用的密碼。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 6頁 SSL體系結(jié)構(gòu) ? 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 7頁 SSL記錄協(xié)議 ? （ 1） SSL記錄協(xié)議 建立在可靠的傳輸協(xié)議 (如 TCP) 之上 , 為高層協(xié)議提供數(shù)據(jù)封裝、壓縮、加密等基本功能的支持。 在接收端 , 記錄層協(xié)議則進(jìn)行相反的處理過程。在接收方 , 對每條記錄單獨(dú)進(jìn)行解密和驗(yàn)證。在傳輸片段之前 , 必須防止其遭到攻擊。 MAC 與片段一起進(jìn)行傳輸 , 并由接收實(shí)現(xiàn)加以驗(yàn)證。最后給負(fù)載裝上頭信息 . 頭信息與經(jīng)過加密的負(fù)載的連結(jié)稱作記錄( record) , 記錄就是實(shí)際傳輸?shù)膬?nèi)容。 ? SSL握手協(xié)議用來使服務(wù)器與客戶在傳輸應(yīng)用層數(shù)據(jù)之前交換 SSL協(xié)議版本信息、協(xié)商加密算法、進(jìn)行身份認(rèn)證并交換密鑰。 ? SSL握手協(xié)議包含兩個(gè)階段四個(gè)步驟：第一個(gè)階段的兩個(gè)步驟用于建立秘密通信信道，第二個(gè)階段的兩個(gè)步驟用于客戶認(rèn)證。這個(gè)報(bào)文的唯一目的就是使得掛起狀態(tài)被復(fù)制到當(dāng)前狀態(tài)，改變了這個(gè)連接將要使用的密文族。告警協(xié)議的報(bào)文由兩個(gè)字節(jié)組成：第一個(gè)字節(jié)的值是警告（ warning，值 1）或致命（ fatal，值 2），用來傳送報(bào)文的嚴(yán)重級別，如果級別是致命的， SSL協(xié)議立刻中止該連接。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 10頁 SSL的安全措施 ? SSL采用對稱密碼技術(shù)和公開密碼技術(shù)相結(jié)合，采用密碼和證書實(shí)現(xiàn)通信數(shù)據(jù)完整性、認(rèn)證性等安全服務(wù) . ? （ 1）加密算法和會(huì)話密鑰 ? （ 2）認(rèn)證算法 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 11頁 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 內(nèi)容提要 ? 安全套接層協(xié)議 ? 安全電子交易規(guī)范 ? 電子支付專用協(xié)議 ? 安全超文本傳輸協(xié)議 ? 安全電子郵件協(xié)議 ? Inter 電子數(shù)據(jù)交換協(xié)議 ? IPSec安全協(xié)議 ? 安全技術(shù)評估標(biāo)準(zhǔn) 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 12頁 ? 安全電子交易規(guī)范 SET(Secure Electronic Transaction)是Visa和 MasterCard于 1997年 5月聯(lián)合開發(fā)的一個(gè)加密和安全規(guī)范，它具有很強(qiáng)的安全性。 SET及其適合的諸協(xié)議是基于安全信用卡協(xié)議的一個(gè)例子。 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 13頁 SET提供的安全服務(wù) ? ①確保在支付系統(tǒng)中支付信息和訂購信息的安全性； ? ②確保數(shù)據(jù)在傳輸過程中的完整性，即確保數(shù)據(jù)在傳輸過程中不被破壞； ? ③對持卡者身份的合法性進(jìn)行檢查； ? ④對商家身份的合法性進(jìn)行檢查； ? ⑤提供最優(yōu)的安全系統(tǒng)，以保護(hù)在電子貿(mào)易中的合法用戶； ? ⑥確保該標(biāo)準(zhǔn)不依賴于傳輸安全技術(shù)，也不限定任何安全技術(shù)的使用； ? ⑦使通過網(wǎng)絡(luò)和相應(yīng)的軟件所進(jìn)行的交互作業(yè)簡便易行 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 14頁 SET協(xié)議的運(yùn)行步驟 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 15頁 SET的體系結(jié)構(gòu) ? SET支付系統(tǒng)的主要參與方有： ? 持卡人，即消費(fèi)者，他們通過 web瀏覽器或客戶端軟件購物； ? 商家，提供在線商店或商品光盤給消費(fèi)者； ? 發(fā)卡人，它是一金融機(jī)構(gòu)，為持卡人開帳戶，并且發(fā)放支付卡； ? 收款銀行，它為商家建立帳戶，并且處理支付卡的認(rèn)證和支付事宜 ? 支付網(wǎng)關(guān)，是由受款銀行或指定的第三方操縱的設(shè)備，它處理商家的支付信息 2022年 2月 14日星期一 第七章 安全協(xié)議和安全標(biāo)準(zhǔn) 第 16頁 SET的安全措施 ? （ 1）通過加密保證信息機(jī)密性 ? （ 2）應(yīng)用數(shù)字簽名技