安全中间件技术分析.doc

安全中间件技术分析 随着Internet的飞速发展以及计算机的广泛应用，安全问题已成为当前的热点话题。随着网上信息安全问题的出现，安全中间件也应运而生。安全中间件是实施安全策略、实现安全服务的基础架构。随着网上交易的普及，安全也成了电子商务关注的核心问题：能否有效阻止黑客入侵、防止信息灾难事故、简化网络应用等，是考察有无良好的电子商务环境的标准；进行身份认证、身份鉴别、数字签名防止抵赖和篡改、交易数据的加密解密等，是保障电子商务安全交易的重要手段。安全中间件是保障电子商务安全交易的重要手段，提供完备的信息安全基础构架，屏蔽安全技术的复杂性，使设计开发人员无须具备专业的安全知识背景就能够构造高安全性的应用。     安全中间件在分布式网络应用环境中，提供了网络安全技术，屏蔽了操作系统和网络协议的差异。在研制开发安全中间件时，可以采用现有比较成熟和主流的分布计算技术平台。目前主要有OMG的CORBA、Sun的J2EE和Microsoft DNA 2000，它们都有其各自的特点：CORBA的特点是大而全，互操作性和开放性非常好，缺点是庞大而复杂，并且技术和标准的更新相对较慢。Microsoft DNA 2000(Distributed internet Applications)是在Windows2000系列操作系统平台基础扩展的分布计算模型，适用于Microsoft的操作系统平台,但是由于其依赖性强，因而在其它开发系统平台(如Unix、Linux)上不能发挥作用。Sun的J2EE给出了完整的基于Java语言开发面向企业分布应用规范。Java的很多重要特性使它非常适合中间件开发。因为是与平台无关的，所以在Windows NT上开发的组件不需转换就可以应用于Unix和Windows平台。另外，Java还提供一个功能丰富的类库，利用这个类库能够防止开发者重蹈错误的覆辙。这种安全对于关键任务的应用系统是至关重要的。J2EE将会对进行信息安全中间件开发起到重要的推动作用。     安全中间件产品一般基于PKI（Public Key Infrastructure公开密钥基础设施）体系思想，对PKI基本功能如对称加密与解密、非对称加密与解密、信息摘要、单向散列、数字签名、签名验证、证书认证，以及密钥生成、存储、销毁，进一步扩充组合形成新的PKI功能逻辑，进而形成系统安全服务接口、应用安全服务接口、储存安全服务接口和通信安全服务接口。     由于事关国家信息安全、网上金融秩序和经济安全，一般国家扶持国内企业形成具有自主知识产权的安全中间件产品。我国目前有代表性的安全中间件产品主要有：东方通科技的TongSEC、清华紫光顺风信息安全有限公司的UnisMMW安全中间件以及上海华腾软件系统有限公司的安全服务管理中间件TopSecure。安全中间件是近几年才发展起来的中间件产品，还属于中间件产品的小弟，据易观国际推出的《it产品和服务——中国应用服务器中间件软件市场季度数据监测05q2》报告中数据显示，安全中间件目前只占到中间件产品市场的2.79%。随着电子商务的发展，对认证与加密技术的需求会呈现出几何数量级的增长态势，安全中间件的未来市场将非常广阔。 1、东方通的TongSec     东方通安全平台TongSEC是以公钥基础设施（PKI）为核心的、建立在一系列相关国际安全标准之上的一个开放式应用开发平台。TongSEC向上为应用系统提供开发接口，向下提供统一的密码算法接口及各种IC卡、安全芯片等设备的驱动接口。基于安全平台TongSEC可以开发、构造各种安全产品或具有安全机制的用户应用系统，如用于文件加解密的安全工具、安全网关、公证系统（CA）、虚拟专网（VPN）等。     东方通安全中间件TongSEC无论在企业内部、企业之间、最终消费者还是Internet电子支付的应用系统中，都能够提供用户对证书的生成、分发和管理以及互联网上数据的加解密、完整性的有效保护。TongSEC可以很容易地与现有各类应用系统集成，如：财务软件、工作流软件、ERP系统、各种中间件软件（如MQ、TLQ、TE、TI等）、多种WEB服务器（如WebSphere、TongWeb、IIS、WebLogic、Apache、iPlanet等），从而具有广泛的兼容性，可使使用更方便灵活。     东方通安全中间件TongSEC的特点明确：     * 遵循最新的国际标准：IETF PKIX、RSA PKCS、ITU X.509、IETF LDAP、SSL/TLS、SET等；    * 自主开发，自主版权；    * 使用1024bit以上的公钥算法和128bit的对称算法，是真正的强安全性产品；    * 使用硬件密码设备（加密机、智能卡），保证算法和密钥的极高安全性；