安全WEB应用解决方案.docVIP

安全WEB应用解决方案 一、综述 WEB应用是信息时代的用户界面标准。“电子政务”、“电子商务”、“信息家电”等的实现都离不开WEB技术。 WEB技术简单易用，是其它用户界面技术不能替代的。但WEB技术不安全。WEB应用必须解决安全问题。 二、应用模式比较 应用有两种模式：客户/服务器（C/S）模式和WEB模式。 1、客户/服务器（C/S）模式 C/S模式存在重大缺陷： 客户端不统一。每一个应用都有自己的客户端，这些客户端需要在用户的机器上安装，需要对用户进行专门的培训，客户机需要很高的硬件配置，软件版本更新时需要大量的维护工作。 系统资源占用多。基于连接的模式使C/S大量占用了网络带宽等系统资源。 TCO高。TCO是Total Cost of Own（总拥有成本）的缩写。C/S方式导致了系统高配置、维护费用高等问题。 不便于领导使用。每个部门开发的应用都需要在领导处安装一个专用的客户端，这样领导的机器上就有很多客户端程序。安装并培训领导是一件困难的事情，让领导区分、使用这些客户端就更困难了。客户端升级、更新时维护很困难。 2、WEB应用 WEB技术是INTERNET高速发展的技术保证； WEB是全球信息基础设施的用户终端标准； WEB技术占用系统资源少； TCO极低； 仅使用鼠标操作，方便领导和普通用户使用。 WEB技术也有缺陷，主要是不够安全。“政府上网”工程应用系统的安全重点是WEB安全。 三、WEB应用的安全隐患 1、信息明文传送，容易被窃听、窃取；或使用40位SSL简单加密。 2、没有身份认证功能；或只认证IP地址；或只实现了简单的单向身份认证（通过简单的用户名、口令证实用户身份）； 3、没有授权管理功能；或授权管理功能很弱；没有统一的授权管理； 4、不同的WEB服务器之间不能协同工作； 5、日志基于IP地址而不是用户身份，不能实现用户访问的统计和面向信息的计费； 6、协议和协议的实现有漏洞，如PUT、DELETE操作不安全，APPLET、ActiveX易被黑客利用。 四、WEB应用安全解决方案 1、技术路线 充分发挥WEB技术易于使用，建设、运行、维护成本低的优点，作为统一的用户界面技术和统一的应用平台。 解决WEB应用的安全问题，使WEB应用有足够的安全度。 2、安全需求 1、安全机制对用户和应用透明，不影响用户使用的便利性，也不影响系统的易维护性。 2、确保信息存储、传输中的安全。根据信息的密级实现不同强度的加密存储；在信息传输过程中采取数据保密性和数据完整性措施。 3、实现安全的访问授权。根据用户身份和信息密级的不同，进行访问授权，实现信息安全的有关管理规定。 4、提供安全管理手段，能够统一实施安全策略。 5、可扩展性好，保护已有投资又支持未来应用。 6、安全机制有良好的可用性和可靠性。 3、安全体系 身份认证：解决WEB应用身份识别的问题，实现双向身份认证 访问控制：根据用户身份、信息密级决定用户对信息的访问权限，实现统一的访问授权管理 安全单点登录：便于领导和用户使用，同时确保信息安全 数据保密性：在数据的存储、传输过程中加密，防止窃取和侦听 数据完整性：防止数据篡改 不可抵赖：防止否认 安全管理：制定、实施安全管理策略，审查、记录、分析用户的行为，提供用户访问统计信息 可用性和可靠性：防止破坏，具有容灾、容错、备份、恢复等功能 4、安全平台 为了兼顾信息共享和信息安全，WEB应用必须采用统一的安全平台。各种WEB应用在安全平台之上运行，遵循统一的安全机制和统一的安全策略。 安全应用平台需要支持各种WEB软硬件平台，支持多数厂商的产品。 安全应用平台提供安全应用开发工具包，同时作为安全应用开发平台。 安全应用平台提供安全管理功能，同时也是安全管理平台。 5、安全功能 1、双向身份认证 同时支持对称密钥的DCE/KERBEROS协议和公钥的PKI/X.509协议； 支持分布式身份认证，身份认证服务可分级、可复制； 身份认证服务开放； 2、访问控制 分布式的访问控制实现，集中式的访问控制管理； 支持第三方访问控制服务； 面向对象的访问控制，支持各种对象类型； 灵活的访问控制粒度控制，可粗放控制也可精细控制； 支持基于角色的访问控制； 3、安全单点登录：既方便领导使用又确保安全 4、根据用户身份定制信息服务：用户使用界面根据用户身份不同而不同； 5、信息安全 支持信息加密存储； 支持信息加密传输； 支持信息完整性检查； 采用动态密钥、会话密钥技术； 6、审计记录 基于用户身份的访问日志； 安全的访问日志管理机制，防止篡改、窃取和非授权访问； 用户和信息的访问统计分析； 面向用户、服务和信息的计费； 7、安全管理 管理用户、资源和访问授权； 管理安全强度； 提供统一的安全管理控制台，支持远程安全管理； 支持分布式