k第十一周 www和web服务安全(第7章).ppt

华南理工大学计算机学院本科课程－－电子商务安全与保密 大纲第7章 www与Web服务安全 WWW系统的安全问题 包含服务器和浏览器两个方面 安全性威胁可能包括： 存放于WEB服务器文件系统上的私人或保密的文件被非法用户窃取 由远程用户发送给服务器的私人或保密信息被窃取 有关服务器主机的详细信息被泄漏，使攻击者有机会分析系统漏洞，并入侵系统 服务器存在允许外来者在服务器主机上执行命令的漏洞，使其有机会改动或破坏系统 主要原因：服务器软件和客户端浏览器的漏洞 服务器软件：Web服务器、数据库服务器、OS等 WWW安全性 协议本身的安全性支持 身份认证：Basic Authentication, Digest Access Authentication 保密性：TLS(Transport Layer Security) 实现上的安全性 服务器端安全性 Web pages的访问控制机制 可用性：防止拒绝服务 抵御各种网络攻击 客户端安全性 个人信息的保护 防止执行恶意代码 Web Proxy Server Man-In-The-Middle Web认证 Basic Authentication [RFC 2617] 口令直接明文传输 隐患：sniffer、中间代理、假冒的服务器 Digest Access Authentication [RFC 2617] Challenge-Response, 不传输口令 重放攻击、中间人攻击 服务器端的口令管理策略 TLS，基于PKI的认证 单向或者双向的身份认证 要求服务器提供证书，客户端证书可选 同时也可以提供保密性服务 一种双向认证模式 单向TLS认证+客户提供名字/口令 Microsoft passport Web会话 从TCP到HTTP层缺少直接的会话层支持 Web会话支持 HTTP 1.1增加了Persistent Connections支持，但是不能用于提供Web会话的功能 目前使用的会话技术 Cookie，用cookie作为permit ticket 用url记录会话 用表单中的隐藏元素记录会话 会话安全：劫持一个Web会话 建立会话可能需要验证用户的信息——认证 一旦会话被劫持，则Web用户的安全性不复存在 安全性涉及到 客户如何提供会话建立所需要的信息，以及会话标识信息 服务器如何管理会话 Cookie技术 Cookie通常是少量的与状态有关的信息，它是服务器保存在客户端的信息 Cookie的动机 客户在浏览多个页面的时候，提供事务(transaction)的功能，为服务器提供状态管理 比如说，可以针对每个用户实现购物篮 实现授权策略，客户不用为每个页面输入“用户名/口令” 但是，实际上，cookie很容易被滥用 在提供个性化服务的时候，往往要收集一些涉及隐私的信息 每个cookie都有一定的URL范围 客户发送这个范围内的URL请求都要提供这个cookie 利用cookie完成一个transaction Cookie被滥用 Cookies中往往会记录一些涉及用户隐私的信息，比如用户的名字，email地址等 如果客户关闭了cookie的功能，则许多网站的功能不能正常工作 Cookie被滥用的一个例子 DoubleClick公司案例 利用cookie来收集个人的喜好 为广告客户提供广告发布服务 个人喜好信息不能被滥用 有些国家规定这些信息不能被公开，或者被销售等 Cookie欺骗 通过url路径和域名进行鉴别 针对Web Server的常见攻击 从Web服务中获取信息 Web页面中的注解信息，或者一些扩展特性 返回的应答头有时也会暴露信息 针对Web Server的各种攻击手法 比如说IIS的UNICODE漏洞 有些脚本代码或者cgi程序的漏洞 缓冲区溢出 输入验证攻击 拒绝服务攻击 服务器端的安全防护 Web Server往往是网络攻击的入口点 为了提供Web Service，必须要开放端口和一些目录，还要接受各种正常的连接请求 防火墙对Web Server的保护是有限的 为了安全，请 及时打上Web Server软件厂商提供的补丁程序 特别是一些主流的服务软件，比如MS的IIS 控制目录和文件的权限 Web应用开发人员注意 在服务端的运行代码中，对于来自客户端的输入一定要进行验证 防止缓冲区溢出 Web客户端的安全性 客户端安全性涉及到 Cookie的设置，保护用户的隐私 PKI设置，确定哪些是可信任的CA 对可执行代码的限制，包括JavaApplet，ActiveX control 如果你的机器是多个人合用的，则 Web页面的缓存区域，将会留下用户最近访问过的页面 历史记录 口令自动保存和提示 …… 客户浏览器的安全设置真的安全吗 我们有必要了解这些安全性 其