SL常见安全问题及解决方法S.doc

SSL常见安全问题及解决方法 cool007 01-11-30 下午 02:43:21 前言 目前使用SSL的普及率相当高，（如果你在互联网上访问某些网站时在浏览器窗口的下方有一个锁的小图标，就表示它表示该网页被SSL保护着。但用 SSL 防护的网站真的能够防范黑客吗? 现在国内有很多人对SSL存在这么一个认识误区：SSL很安全，受到 SSL 防护网页服务器的资料就一定是万无一失的，这也导致这样一个局面，只要有着 SSL 防护的网站服务器很少接受审查以及监测。其实不然，对于安全要求不甚高的交易或认证，SSL还是一个相当不错的安全机制，然而若应用在特殊要求方面，它还存在有这样那样的问题。在下面的文中我将为大家简单介绍到底SSL存在的安全漏洞及解决方案，希望本文对你有所帮助。 一、认识SSL 一般人认为SSL是保护主机或者只是一个应用程序，这是一个误解，SSL不是设计用来保护操作系统的；SSL是Secure Sockets Layer 通讯协议的简称，它是被设计用来保护传输中的资料，它的业务是把在网页以及服务器之间的数据传输加密起来。这个加密（encryption）的措施能够防止资料窃取者直接看到传输中的资料，像是密码或者信用卡号码等等。在这里谈到SSL，你就必须了解数字证书（（Digital Certificates）的概念。数字证书是一种能在完全开放系统中准确标识某些主体的机制。一个数字证书包含的信息必须能鉴定用户身份，确保用户就是其所持有证书中声明的用户。除了唯一的标识信息外，数字证书还包含了证书所有者的公共密钥。数字证书的使用允许SSL提供认证功能－－保证用户所请求连接的服务器身份正确无误。在信用卡号或PIN号码等机密信息被发送出去前让用户确切知道通讯的另一端的身份是毫无疑问的重要的。很明显的，SSL技术提供了有效的认证。然而大多数用户并未能正确意识到通过SSL进行安全连接的必需性。除非越来越多的用户了解SSL和安全站点的基本知识，否则SSL仍不足以成为保护用户网络连接的必需技术。除非用户能够充分意识到访问站点时应该注意安全连接标识，否则现有的安全技术仍不能称为真正有效。 目前几乎所有处理具有敏感度的资料，财务资料或者要求身分认证的网站都会使用 SSL 加密技术。（当你看到 https 在你的网页浏览器上的 URL 出现时，你就是正在使用具有 SSL 保护的网页服务器。） 在这里我把 SSL 比喻成是一种在浏览器跟网络服务器之间「受密码保护的导管」（cryptographic pipe），也就是我们常说的安全通道。这个安全通道把使用者以及网站之间往返的资料加密起来。但是 SSL 并不会消除或者减弱网站所将受到的威胁性。在 SSL这个安全通道的背后，一般没有受到 SSL 防护的网站一样具备了相同的网页服务器程序，同样的网页应用程序，CGI 的 script 以及后端数据库。目前普遍存在这么一个错误的认识：很多系统管理者却认为，受到 SSL 防护的网页服务器自动就变得安全了。其实不然，事实上，受到 SSL 防护的网页服务器同样还是会受到与一般其它网站服务器遭受攻击的威胁，受到 SSL 防护的网页服务器不一定是万无一失的。 二、SSL的安全漏洞 虽然一个网站可能使用了SSL安全技术，但这并不是说在该网站中正在输入和以后输入的数据也是安全的。所有人都应该意识到SSL提供的仅仅是电子商务整体安全中的一小部份解决方案。SSL在网站上的使用可能会造成管理员对其站点安全性的某些错觉。使用了SSL的网站所可能受到的攻击和其它服务器并无任何区别，同样应该留意各方面的安全性。简言之，加密和数字证书，SSL的主要组成，从来都无法保护服务器－－它们仅仅可以保护该服务器所收发的数据。SSL常见安全问题下面三种： 1、攻击证书 类似Verisign之类的公共CA机构并不总是可靠的，系统管理员经常犯的错误是过于信任Verisign等的公共CA机构。例如，如果Verisign发放一个证书说我是某某某，系统管理员很可能就会相信我是某某某。但是，对于用户的证书，公共CA机构可能不象对网站数字证书那样重视和关心其准确性。例如，Verisign发放了一个“keyman组织的证书，而我是其中一员“JACK”。当一个网站要求认证用户身份时，我们提交了“JACK”的证书。你可能会对其返回的结果大吃一惊的。更为严重的是，由于微软公司的IIS服务器提供了客户端证书映射（Client Certificate Mapping）功能，用于将客户端提交证书中的名字映射到NT系统的用户帐号，在这种情况下我们就能够获得该主机的系统管理员特权！ 如果黑客不能利用上面的非法的证书突破服务器，他们可以尝试暴力攻击（brute-force attack）。虽然暴力攻击证书比暴力攻击口令更为