电子商务中SSL协议的安全分析_图文.docVIP

?201? 《中国商界》2009年10月总第184期近年来,信息技术的高速发展和信息量的飞速膨胀,使得互联网得以蓬勃发展。在Internet中,网上购物以网上支付的方式在网络上购买商品,得到了越来越多的消费者的认同和信任,并日益流行,为人们的生活提供了许多便利。同时,由于I n t e r n e t 具有开放性、灵活性、共享性等特点,给信息安全带来巨大威胁。电子商务中最关键的技术是网络支付技术,在支付过程中　“黑客”入侵破坏网络系统和窃取重要信息的事情时有发生,存在着一定的安全隐患。为保证信息安全,使用可靠的安全协议是必不可少的,S S L 协议为电子商务的信息安全提供了可靠的保障。SSL(Secure　Sockets　Layer,安全套接层是由N e t s c a p e 公司开发的网络安全传输协议,是目前Internet 上点到点之间尤其是Web 浏览器与服务器之间进行安全数据通信时主要采用的协议。由于SSL 具有应用面广、实施成本低、安全高效、操作简单等优点,它已成为电子商务系统中应用得最为广泛的协议,例如目前美国的大多数电子商务应用系统都是基于SSL 协议的。 一、S S L 协议 1.1　SSL协议概述 安全套接层协议作为目前保护Web 安全和基于Http 的电子商务交易安全的工业标准,被许多世界知名厂商的Intranet和Internet网络产品所支持。SSL 协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据都会被加密,从而保证通信的私密性。 SSL 协议位于TCP/IP 协议与各种应用层协议之间。为数据通讯提供安全支持如图1。 　　　　　　　　　　　　　　　　　 　　　　　　　　　　图1　　SSL协议在Internet各层中的位置1.2　记录层协议 记录层协议位于SSL 协议的底层,它从更高层接收的数据是未解释的任意长度数据。它提供通信、认证功能,并且在一个面向连接的可靠性传输协议(如TCP 协议之上提供保护。在SSL 中,所有数据被封装在记录中。一个记录由两部分组成:记录头和非零长度的数据。记录头可以是2字节或3字节(当有填充数据时使用。SSL 握手层协议的报文要求必须放在一个SSL 记录层的记录里,但应用层协议的报文允许占用多个SSL 记录来传送。 SSL记录的数据由三部分组成:MAC(Message　Authentication　Code数据、实际数据和填充数据。如果使用块加密方式,加密数长度不是块长度的整数倍,就需要填充数据。记录的数据部分是完全加密的。SSL 记录层结构如图2所示。 电子商务中SSL 协议的安全分析 文/张海燕 【摘　要】　随着Internet 的迅速发展和广泛应用,网络与信息安全的重要性和紧迫性日益突出。SSL (Secure　Sockets　Layer是电子商务中常用的一种安全电子交易协议,对信息传输起到了加密和认证的作用,所以研究SSL 的安全性对电子商务的发展,具有深远的意义。介绍了SSL 协议在网络层中的位置,对SSL 协议中的记录层和握手层协议进行了描述,最后较详尽地分析了当前SSL 面临的几种安全威胁并给出了解决方法。【关键词】　电子商务　网络安全　协议　安全套接层　安全威胁 　 　　　　　　　　　　　　　　　　　　　　　　　　图2　　SSL记录层结构1.3握手层协议 SSL 握手协议用于产生会话状态下所需要的各种安全参数,即用来在SSL 记录协议发送数据之前建立安全机制(认证、数据加密和数据完整性。握手协议是在SSL 记录层的顶部操作的。当一个SSL 客户和服务器首次开始通信时,它们就协议版本、加密算法的选择、是否验证对方及公钥加密技术的应用进行协商以产生共享的密钥,这一处理是由握手协议完成的。握手协议流程如图3所示。 　　　　　　　　　　　　　　　　　　图3　SSL握手协议流程示意图 二、对SSL 协议的安全性分析 2.1　Change　Cipher　Spec消息丢弃 SSL 的握手协议中有一个小的疏漏,那就是在finished 消息中没有对变换加密说明消息(change　cipher　spec进行认证保护。这将存在一种潜在的攻击方法——丢弃Change　Cipher　Spec 消息。在接收到该消息之前,当前的密码族概不加密、不作M A C 保护,在接收到Change　Cipher　Spec 消息之后,记录层才开始对通信数据进行加密和完整性保护。 如果对通信双方商定的密码族进行加密,该攻击就不容易实现了。因为客户发送的Finished 消息是加密的,而服务器期望接收的Finished 消息是不加密的,攻击者为了得到认证码,不仅需要剥掉该消息的认证域,还要获得会话加密密钥。因此,只有当系统使用弱的密码算法