SSL协议以及相应的安全问题.docVIP

SSL协议以及在电子商务交易中的安全问题,分析了当前SSL面临的安全威胁,包括密码长度制约,缺少对商家的认证,跨站脚本攻击,中间人攻击和密钥管理间题,并指出了当前安全协议研究的一些热点方向.2 SSL的安全体系SSL的主要目标是在两个通信应用程序之间提供私密性和可靠性,它是一个分层协议,从结构1几可分为两层,底层为Record Protocol(记录层协议),高层由4个并列的协议组成;Handshake Protocol(握手协议),AlertProtocol(报警协议),Change Cipher pec Protocol(修改密码参数协议), Application Data Protocol(应用数据协议).SSL.01协议规范定义了31种加密算法的组合,每一种算法组合包括密钥交换方式,信息加密算法,创建MA(:的报文摘要算法,以保障数据传输的安全,同时用一个密钥的MAC进行消息完整性检查,确保信息在传输过程中没有被纂改.2.1记录层协议记录层协议用于交换应用层数据,其工作环境是连接状态.记录协议提供的连接安全性有两点:一是使用了对称加密算法对明文加密,可选的算法有流式加密算法:40位密钥的RC4和128位密钥的RC4,分组加密算法:40位密钥的RC2,40位密钥的DES,56位密钥的DES, 3重DES, IDEA,密钥交换算法:RSA,FoTtezza,Dlffle一Hellman等,以保证连接是保密的;二是在消息传输和认证中使用了加密的MAC,在计算MAC时使用以下报文摘要算法:160位的SHA一1和128位的MD5,以保证连接是可靠的.2.2握手协议握手协议在SSL记录层之上,当一个SSL客户机和服务器第一次开始通信时,它们协商一个协议版本:选择密码算法,选择相互认证,并使用公钥密码技术来生成共享密钥.握手协议提供的连接安全性有三点:一是对连接双方采用X.509电子证书标准进行认证,通过使用非对称密码算法RSA,DSS进行数字签名来实现,二是协商结果是保密的,以保证协商的秘密不被窃听者获得,三是使用数字签名技术保障协商的可靠性,以防止攻击者篡改协商通信消息.在电子商务交易过程中,由于有银行参与,按照SSL协议,客户的购买信息首先发往商家,商家再将信息转发银行,银行验证客户信息的合法性后,通知商家扣款成功,商家再通知客户购买成功,并将商品寄送客户.SSL协议提供的安全信道的安全性体系体现在以下三个方面:(1)私密性.在握手协议定义了会话密钥后,所有的消息都被加密.(2)确认性.尽管会话的客户端认证是可选的,但是服务器端始终是被认证的.(3)可靠性.传送的消息使用MAC进行消息完整性检查.但随着计算机网络攻击技术的发展,电子商务活动的安全体系也面临严峻的挑战.3 SSL的几个安全问题3.1加密算法的强度限制通过互联网传输敏感数据的一个问题是传输过程会经过许多中间环节,这一路由过程是所有互联网传输的基础,而在路由线路上的任何一台计算机都可能完全获得传输的信息,这样就使得别人有可能截获并破译您的秘密信息.美国政府规定,加密技术属于军用品受军火国际贸易法规(JTAR)的制约,其产品出口必须取得出口许可证.因此密钥长度超过512bit的RAS算法不能用于SSL的密钥交换算法,密钥长度超过40位的对称加密算法如RC4, DES等不能用于SSL的数据加密,故美国出口的SSL协议产品的加密算法的安全性不足,不能用于安全性要求高的网络服务.3.2缺少对商家认证SSL协议运行的基础是商家对客户信息保密的承诺,SSL有利于商家,而不利于客户.因为它只提供交易中客户与服务器间的双方认证,不能提供客户对商家的认证.客户的信息传到商家,商家阅读后再传送到银行.商家认证客户是必要的,因为商家担心客户购买后不付款或使用过期作废的信用卡.但整个过程中缺少了客户对商家的认证,随着电子商务参与厂商的迅速增加,SSL协议的缺点完全暴露出来了.在基于SSL的交易支付系统中,消费者不得不信任商家能安全保护他们的信用卡信息,并且无法保证商家是该支付卡的特约商户;当然商家在在线交易中也有一定的风险,他们无法确认购买者就是该信用卡的合法拥有者.3.3脚本攻击脚本(SCRIP])攻击大都发生在网站动态产生网页的时候,但攻击的目标并不是您的网站,而是浏览网站的客户.如果服务器对客户的输人不进行有效验证,黑客就会输人一些恶意的HTML代码,当这些HTML代码输人是用于SCRIPT程序时,就可能被利用来进行破坏,如插人一些图片或声音或者弹出十几个小窗口等,干扰用户的正常浏览.动态输人主要有:URL参数,表格元素,COOKIES以及数据请求.恶意的标签和SCRIP ,不单纯是恶作剧,还可以窃取资料甚至摧毁客户的系统.即使使用了