电子商务安全策略SSL分析与应用.docVIP

电子商务安全策略SSL分析与应用 　　[摘 要] 电子商务安全问题的核心和关键是电子交易的安全性，本文就目前电子交易中经常使用的安全策略――SSL协议的功能、具体应用和存在的问题进行了论述和分析。 　　[关键词] 电子商务SSL浏览器客户端服务器数字证书CA 　　 　　一、 引言 　　 　　随着计算机网络技术的飞速发展，电子商务开始蓬勃发展起来，通过Internet进行的网上购物、在线交易、网上银行等业务虽然为人们的工作和生活提供了极大的便利。但是，由于Internet本身具有的开放性、灵活性、共享性等特点，也为信息安全带来了巨大威胁。所以，电子商务的安全问题是事关能否正常开展电子商务的首要问题。 　　目前，世界上提出了很多加强网上交易安全性的协议,如SSL、SET等。由于SET协议非常复杂,实现比较困难,而且执行效率比较低，所以目前大部分网上交易都是采用SSL协议来实现。当前，网上银行等大型电子商务交易系统一般都采用HTTP和SSL相结合的方式,即在服务器端采用支持SSL的WWW服务器，在客户端采用支持SSL的浏览器,双方共同协作来实现安全的网络通信。 　　 　　二、SSL协议的介绍 　　 　　安全套接层协议(Secure Sock Layer Protocol，简称SSL)是在电子商务发展初期发展起来的，最早由Netscape公司设计开发，它是在TCP/IP上实现的一种安全协议，其采用了不对称加密技术。它为C/S(客户端/服务器)通信安全提供面向连接的机制，建立安全通道，通过在安全通道上传输信用卡卡号的方式，可以构建电子商务支付系统。SSL安全通道能使客户端/服务器应用之间的通信不被第三者窃听，并且始终对服务器进行身份认证，还可选择对客户端进行认证。目前，大部分Web浏览器(Netscape Navigator和Microsoft IE)和Web服务器都已内置了SSL协议，SSL已成为在电子商务中应用最广泛的安全协议之一。 　　SSL协议要求建立在可靠的传输层协议(例如：TCP)之上。SSL协议的优势在于它是与应用层协议独立无关的。高层的应用层协议(例如：HTTP，FTP，TELNET)能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成了加密算法、通信密钥的协商以及服务器认证工作。应用层协议所传送的数据都会被加密，??而保证通信的机密性。 　　SSL协议主要由SSL记录协议和SSL握手协议两部分组成。 　　1.SSL记录协议。SSL记录协议位于SSL协议的底层，用于封装上层的协议。其规定了会话中传递的所有数据项的基本格式，提供压缩数据、生成数据的完整性校验值(MAC)、对数据进行加密、标示数据长度、填充、流水作业号，并支持不同的加解密和杂凑算法。 　　2.SSL握手协议。SSL握手协议使得服务器和客户端能够相互认证对方的身份、传送所需的数字证书、建立所需的会话密钥。SSL握手协议是较SSL记录协议更高层的协议，必须先执行握手协议后，才可能实现SSL记录协议中的加密和完整性校验。SSL协议通过在应用程序进行数据交换前交换SSL初始握手信息来实现有关安全特性的建立。SSL握手过程一般分为4个阶段： 　　(1)建立安全能力:该阶段是用来初始化逻辑连接，并建立与之相关的安全能力。交换在客户端发起，客户端发送Client_hello消息，并包含以下数据(SSL版本、初始随机参数、会话ID、密码组参数、压缩方法)，在发送了Client_hello消息之后，客户端将等待包含与Client_hello消息参数一样的Server_hello消息。 　　(2)服务器身份认证和密码交换：服务器发送自己的数字证书给客户端，该证书带有证书授权中心(CA)的数字签名和服务器的公钥以及其数字签名，可以证明自己的合法性，然后开始密钥交换。如果服务器要求认证客户端，则要请求客户端数字证书。该阶段以Hello消息段结束，之后服务器等待客户端的响应。 　　(3)客户端认证和密钥交换：在这一阶段，客户端认证服务器数字证书的合法性。如果服务器要求客户端的数字证书，客户端应提供其数字证书，供服务器认证客户端的合法性。此外，还要发送交换密钥。 　　(4)完成:该阶段完成安全通道的建立，该消息并不被认为是握手协议的一部分，而是改变密码规格协议发送的。至此，客户端和服务器完成了握手协议，可以开始交换应用层的数据了。 　　 　　三、SSL协议在服务器上的应用 　　 　　实现SSL协议，首先要在服务器上加装SSL，其步骤为先在“Internet服务管理器”的“识别码管理器”上填入网站的相关信息，以它为内容产生一组公钥，识别码管理器还会将以上信息都写入文件，接下来就可以用这份数据向证书授权中心(Certific