计算机网络安全(沈鑫剡)第11章讲课.ppt

计算机网络安全 第11章 第11章 应用层安全协议 Web安全协议； 电子邮件安全协议； 门户网站。 应用层安全协议给出了应用层解决资源访问安全问题的基本原则、方法和机制。 11.1 Web安全协议 Web安全问题； Web安全机制； HTTP over TLS； SET。 　由于网络用户通常都通过网站访问网络、进行网上购物和电子银行转账，因此，Web安全问题是广大网络用户最关心，也是直接影响网络健康发展的问题。 Web安全问题 伪造和篡改网页 伪造银行网站，诱使用户登录； 篡改著名网站网页，用银行或其他著名网站域名链接伪造网站。 截取用户私密信息 拦截用户和商务网站进行电子商务活动过程中交换的信息； 伪造网页进行诈骗。 拒绝服务攻击 耗尽服务器资源； 耗尽服务器链接网络链路的带宽。 Web安全机制 解决Web安全问题的关键是服务器身份认证和信息传输加密，服务器身份认证解决伪造网站的问题，信息传输加密解决截获用户私密信息的问题； 解决这两个问题需要动态协商安全参数并完成对方身份认证的协议，网际层的IPSec、运输层的TLS和应用层的SET都是具有这种功能的协议； 越是底层，通用性越好，但无法顾及特定应用的细节；和指定应用关联越多，越能满足指定应用的安全要求。 HTTP over TLS TLS完成双方身份认证和安全参数协商，安全传输上层信息； 这里，TLS主要实现对服务器的身份认证，约定安全传输过程用到的加密解密算法、密钥、消息认证算法等安全参数； 将用户和服务器之间交换的HTTP报文封装成TLS记录协议报文。 HTTP over TLS 用证书证明服务器域名和公钥PKS的绑定； 终端用PKS加密预主密钥，预主密钥是生成密钥的主要参数； 一旦确认服务器和终端生成相同的密钥，服务器身份得到确认； 终端和服务器用约定的加密解密算法和密钥实现数据的安全传输。 HTTP over TLS 由于TLS约定的安全参数只有终端和服务器知道，因此，加密和消息认证码计算过程本身具有认证发送者身份的作用； 消息认证码用于完整性检测，序号保证顺序接收TLS记录协议报文； 用三重DES加密需要传输的数据。 安全电子交易（SET） SET应用系统用于实现电子购物； 既要保证持卡人的私密信息只在持卡人和发卡机构之间传输，又要保证商家权益； 信息只能在指定的发送端和接收端之间传输，即必须对发送端进行身份认证，只有指定接收端才能获得信息。 安全电子交易（SET） 持卡人封装处理过程一是需要认证发送者身份，二是保证只有指定接收者才能获得信息，三是持卡人不能否定发送过的购物请求； 认证发送者身份和无法否认发送过的购物请求通过数字签名实现，数字签名＝DSKC(H(P))；SKC是发送者私钥，H是报文摘要算法。 明文、数字签名和证明发送者和公钥之间绑定的证书用3DES加密算法加密，并将密钥用指定接收者的公钥加密，因此，只有指定接收者才能还原密钥，并因此获得明文、数字签名和证书。 安全电子交易（SET） 指定商家才能用私钥解密出密钥KEY，并因此获得明文、数字签名和证书； 对明文P进行报文摘要运算，对数字签名用证书给出的公钥进行加密运算，然后对两者进行比较，如果相等：一是证明由证书指定的发送者发送，二是明文确实是发送者发送的明文。这样，完成了发送者身份认证、数字签名认证和完整性检测。 安全电子交易（SET） 双重签名的目的是证明两份报文的关联性，不仅通过数字签名证实由发送者发送，而且证实这两份报文和同一事务相关； 这里需要证明支付信息和购货信息是对应的，是与同一次电子购物相关的两份报文。 安全电子交易（SET） 持卡人、商家和支付网关需要获得由认证中心签发的证书； 选择商品，得到商家发送的定货信息； 向商家提供定货信息和支付信息； 商家认证支付信息； 商家提供商品。 安全电子交易（SET） 购买请求消息在获得商家提供的购物清单后发送； 根据购物清单构件定货信息和支付信息，定货信息发送给商家，支付信息由商家用于认证持卡人的支付能力，为了将定货信息和支付信息绑定在一起，持卡人采用双重签名； 为了上支付网关和商家认证双重签名，发送给商家的信息中包含支付信息的报文摘要，发送给支付网关的信息中包含订货信息的报文摘要； 为了区别信息的接收者，分别用支付网关和商家的公钥加密发送给它们的信息。 安全电子交易（SET） 商家验证双重签名，确定定货信息的发送者和双重签名证实的支付信息的报文摘要； 对发送给支付网关的密文不作处理，用于生成用于验证持卡人支付能力的授权请求消息。 安全电子交易（SET） 授权请求信息的目的是验证持卡人的支付能力； 支付信息中除了有关账户、密码等私密信息，还有交易标识符和支付金额等与本次交易关联的信息； 授权信息中同样提供交易标识符和支付金额等与本次交易有关的信