基于WEB信息系统安全架构研究.docVIP

基于WEB信息系统安全架构研究 　　摘 要：随着信息技术的快速发展，信息安全越来越引起广泛关注，基于Web信息系统的安全架构与策略研究也越来越深入。该文讨论了不同类型信息系统安全体系结构的特征，并研究了信息系统安全体系结构的构成要素，提出了基于Web信息系统安全架构的模型。 　　关键词：Web信息系统；信息安全；安全架构 　　中图分类号：TP393.02 　　伴随着互联网的快速发展和经济的全球化，软件已经深入并广泛地渗透到人类社会的各个方面。与此同时如何构建一个基于WEB信息系统的安全架构就显得尤为迫切。基于WEB的信息系统采用B/S（Browser/Server）架构，具体指运行服务器系统架构。在软件程序更新频率加快的情况下，B/S架构将逐步替代C/S架构，而且B/S架构能够提高Web软件系统编译与智能数据库系统兼容性，加快软件程序技术的发展速度。本文在分析基于web的信息系统体系结构的基础上， 对基于Web 的信息系统安全架构所涉及的安全性问题进行了探讨， 并给出了建议和意见. 　　1 基于Web的信息系统的体系架构研究概述 　　B/S结构是对C/S结构的改进型，在B/S架构的逻辑运算主要通过云服务器完成，这种方式实现了原来需要复杂专用软件才能实现的强大功能，并节约了开发成本，是一种全新的软件系统构造技术。随着Windows图形操作系统将浏览器技术植入操作系统内部，这种结构更成为当今应用软件普遍使用的体系结构。 　　在B/S架构中，用户电脑与主服务器采用HTTP通信协议，用户可以通过Web浏览器访问云端数据库，各组成部分通过网络实现物理连接。B/S体系结构的核心是动态Web服务器，在这种结构下，应用程序的安装和部署是在Web服务器上进行的，基于服务器的架构设计模式使B/S架构功能呈分布状态。用户通过浏览器向服务器数据库发送特定指令，服务器通过复杂运算将用户所需界面以HTML文本的格式发送给用户计算机，用户可以随时随地进行业务处理，开发者通过增加网页即可增加服务功能；B/S结构易于维护，开发简单，共享性强，随着安全和标准问题正在被快速解决，基于WEB信息系统安全架构越来越成熟，基于WEB信息系统安全架构产品将成为未来发展的主流。 　　2 基于WEB信息系统安全架构概念层次分析 　　2.1 信息系统安全保密规范 　　信息安全保密规范是保证计算机网络通信服务，实现智能化服务的安全标准，它强调网络通信的安全与保密性质。信息安全保密规范包括下列几个方面： 　　描述安全框架的组织结构； 　　定义安全框架各部分要求的安全概念； 　　描述框架其他部门确定的业务与机制之间的关系。 　　2.2 信息安全机制及其标准 　　2.2.1 保密机制。保密机制是计算机安全系统的核心，它能够实现信息存储、传输的加密，加密方式是将明文经过特定的逻辑运算变成密文。 　　2.2.2 访问控制机制。访问控制能够对数据库信息针对不同用户设定访问权限，具体方法是登陆密码、通信授权、设定访问时间等。 　　2.2.3 数据完整性机制。数据完整机制保证了数据传输前后的高度一致性，即没有经过篡改或非法读取。数据完整性机制包括数据加密、监测等，数据完整性机制标准包含分部加密运算、密保监测机制等。 　　2.3 网络通信安全标准 　　网络通信安全主要利用互联网通信系统中特定的安全加密程序如网络防火墙、加密程序、网关限制等安全服务保证信息传输的安全。 　　2.4 信息安全管理标准 　　信息安全要求信息传输过程中保密性、完整性与实效性，因此需要建立信息安全法制体系，通过法律强制性营造安全健康的网络信息环境，并鼓励信息安全加密技术发展，确保信息安全。 　　2.5 系统证书管理机制设计 　　为了实现上述系统的安全运行，需要科学数字证书管理系统，证书管理系统包含证书服务器设置、数字证书申请与认证、证书安装等。 　　2.5.1 证书服务器的设置。证书服务器即CA（Certificate Authority，认证中心），采用特定服务器系统申请并设置独立的认证密保CA即可。服务器申请建立的独立根CA即可。 　　2.5.2 数字证书申请。用户利用浏览器通过通过IIS提供数字证书申请的证书申请功能（http：//servername/certsrv，其中server nanle数字证书服务器的名称）来实施数字证书的申请操作，用户输入证书服务器网址后可以根据申请到的证书设置登陆与使用权限的密钥。 　　2.5.3 颁发证书。微软Windows系统数字证书设置操作过程所采用的证书文本格式为标准的X.509v3证书格式。X.509证书系统包含申请证书用户的个人电脑与云端数据库信息、证书使用权限与密钥格式、颁发证书的权威机构信息等。一般证书申请后都包括公用