互联网安全标准

2009-12-14 01:34| 发布者: admin| 查看: 8| 评论: 0|原作者: 情殇

　本文针对标准化组织正巧提出了保护数据的方法。你所要做的就是学习由这些组织提出的管理Web站点的方法。采用这些方法有两方面的好处：首先，你不必重新摸索和创造这些标准；其次，你所采用的安全方法能够与其它站点采用的方法相一致，它减少了用户在学习中所走的弯路，可以使其他编程者使用那些已开发好的工具。

如果你想寻找有关Internet安全标准的最新信息，请访http://www.w3.org/pub/www/security/，这个Web页虽然只提供了概括性信息，但它能让你连接到其它站点上以获得更多的信息；另一个好的站点

http://ww-ns.rutgers.edu/ww-security/reference.html，它放置了Rutgers大学网络服务中心提供的WWW安全会议资料，这个站点主要告诉你各种安全会议的联系方法以及摘要信息，而不是有关安全的详细规范；如果开发者想要获得商业角度的安全信息，可以访

http://www.rsa.com/，RSA站点覆盖了一个非常广阔的主题，其中包括MasterCard和VISA开发安全信用卡事务的当前状况；通

ftp://ftp.isi.edu/internet-drafts/lid-abstracts.txt，你也能看到IETF产品的当前状况。

下面，让我们看一看Internet的各类安全标准，这些标准有的已经实现，有的正在成为标准。表一显示的是在编写本文时已有的标准或标准的草稿，在你阅读本文时，又会出现更多的标准，令人惊奇的是，在Internet上的厂商标准可能是除浏览器技术外增长最快的一个领域，（浏览器技术的发展速度如此之快，以至于测试者都难以跟得上它）。你还将注意到，这里列出的主要标准不是来自微软或其它公司，而是来自下述两个组织之一：IETF（Internet EngineeringTask Force，Internet工程任务组）或著名组织W3C（World Wide WebConsortium）。IETF已有很长的历史，它是最早为Internet工作的组织。W3C对每一类要用于Internet的新标准负责，例如，微软现在正努力征得W3C对其标志和其它与ActiveX相关的HTML扩展的许可。

表一 Internet当前的安全标准

分布式身份认证安全服务（DASS）－－IETFRFC1507 DASS是IETF正在改进中的一个标准，它为在Internet上提供身份认证服务定义了一个试验的方法。这里认证的目的是确认发送消息或提出请求的人是谁。DASS正在努力解决当前保密字设计中存在的许多问题，例如，现在还不能检验出发送保密字的人是否在模仿他人。由于DASS是在一个分布式环境中提供认证服务，所以它有着特殊的挑战，因为用户不止是登录一个机器，他们能在网络上登录所有能够想到的机器

DSI（数字签名优先权）－－这个标准由W3C制定，它用于克服通道级安全的一些限制。例如，通道级安全不能对文档或应用程序的语意做处理；因为所有的处理过程都发生在Internet上，而不是在客户或服务器端，所以通道也不能有效利用Internet的带宽。DSI为传输签名定义了一个数学的方法，它实质上是对指定的个体或公司做唯一的表述。DSI也为标识安全属性提供了一种新的方法（PICS2），为维护提供了一种新的格式（PEP）。DSI标准也被建立在PKCS7和X509.V3标准中

扩展的Internet标记SHTTP（EITSHTTP）－－它是SHTTP的扩展，它在当前的HTTP列表中增加了与安全相关的标志。目前还没有标准化组织支持这种技术，但以后将会有的。（IETF最近成立的Web事务安全组织正关注着这一技术，你可以通http://www-ns.rutgers.edu/www-security/wts-wg.html来进一步了解详细信息）

通用安全服务应用程序接口（GSS-API）IETF RFC1508 －－这是个已批准的IETF规范，它定义了以通用方式支持安全服务调用的方法。使用通用接口允许在更广泛的平台提供更多的源代码级可移植能力。IETF并没有把这个标准看成是这类标准的结束，而是一个开始，将来会有更多的规范和标准。然而，学会这些已有的标准将帮助你在各种安全实施方法中找到通用的线索
通用安全服务应用程序接口（GSS-API）C-bindingRFC1508 这是个已批准的IETF规范，它定义了C语言中使用支持服务调用的方法，这个标准是最先基于RFC1508实现的标准之一

Internet协议安全协议（IPSec）－－IETF最近成立了一个IP安全协议工作组来寻找IP安全性方面的问题，比如，在IP协议级无法对数据加密的问题。这个工作组当前正在研究覆盖面相当广泛的规范，以便最终提供更加安全的IP功能。http://www.ietf.cnri.reston.va.us/html.charters/ipsec-charter.html站点你可以找到有关这个组织的更多信息

JEPI（Joint ElectronicPayment Initiative，联合电子支付协议）－－它是由W3C创建的标准，JEPI提供了创建电子贸易的方法。使用电子现金或信用卡进行交易，从客户到服务器间的数据传输将使用加密、数字签名、身份认证（密钥交换）来保证安全的交换。这是一个新兴的标准，它的一些条目，比如传输层安全（也叫私有），当前正通过IETF继续向前发展

Kerberos网络认证服务（V5）IETFRFC1510－－这是个已经批准的IETF标准，它定义了第三方认证的协议。Kerberos模型部分基于Needham和Schroeder的可信任第三方认证协议和基于Denning与Sacco提出的第三方认证协议的修正协议。与许多Internet认证协议一样，Kerberos作为一个可信任的第三方认证服务来工作。它使用了依赖于把共享的公共密钥与私有密钥结合起来的常用加密方法。Kerberos着重于带可选服务器认证的客户身份认证

Privacy EnhancedMail part I（PEM1）－－消息加密和认证过程IETF RFC1421 这是个已经批准的IETF标准，它用来确认你的私有邮件依然保持秘密。实质上，它显示了一个你在加密邮件中采用保护方式的过程，这些过程在解密过程中用户是看不见的。这个标准运用了密钥和其它形式的认证管理。此标准的一些条款基于CCITT X.400棗特别是采用了邮件句柄服务（MHS）和邮件传送系统（MTS）中的某些条款

PrivacyEnhancedMail part II（PEM2）－－基于证书的密钥管理IETF RFC1422 这是个用于管理安全密钥的已批准IETF标准。它提供了基于公共密钥认证技术的基础结构和管理结构。IETF RFC1422是CCITT X.509规范的增强改进版本，它为使用PEM提供了密钥管理基础的过程和协议，这是CCITT X.509中所没有的

PrivacyEnhanced Mail part III（PEM3）－－算法、模式和标识 IETFRFC1423 这是个已经批准的IETF标准，它定义了加密算法、使用模式和PEM特定用法的标识。这个标准覆盖了与加密信息相关的四个主要领域：信息加密算法、信息完整性检测算法、对称密钥管理算法、非对称密钥管理算法（包括对称加密和非对称签名算法）

PrivacyEnhancedMail part IV（PEM4）－－密钥证书和相关服务IETF RFC1424 这是个已经批准的IETF标准，它定义了验证密钥的方法，它也提供了一个与加密相关的服务列表，Internet站点可能需要把它提供给最终用户

安全/多用途Internet邮件扩展（S/MIME）－－这是由多家公司联合提出的一个标准，这些公司包括Microsoft、Banyan、VeriSign、ConnectSoft、QUALOCOMM、Frontier Technologies、Network Computing Devices、FTPSoftware、Wollongong、SecurWare和Lotus，它最初由RSA DataSecurity公司开发，目的是为了使不同产品的开发者能使用兼容的加密技术创建消息传输代理（MTAS）。它实质上意味着，如果有人用Lotus产品发送给你一个信息，你能使用Banyan产品来读取它。S/MIME以流行的Internet MIME标准（RFC1521）为基础

安全/广域网（S/WAN）－－在很多人眼里，S/WAN现在只是一点朦胧的微光。S/WAN是RSA Data Security公司提出的一个标准，IETF也有一个委员正在研究这个标准，RSA准备将IETF的IPSec标准也纳入S/WAN中。S/WAN的主要目标是允许各公司最佳地混合和匹配防火墙与TCP/IP栈产品，以创建基于Internet的虚拟专用网（VPNs）。这两种产品当前的方案通常是将用户封锁在单一资源内

SHTTP（安全的超文本传输协议）－－这是Open MarketPlace Server公司当前使用的加密数据传输技术。在功能上它与安全套接层（SSL）非常相似，而最大的不同是这种方法只应用于HTTP。现在还没有标准化组织支持这种标准，不过将来会有的。（IETF最近成立的Web事务安全组织，正关注着这方面的技术）

SSL（安全套接层）－－SSL是一个W3C标准，它最初由Netscape公司提出，目的是为了让客户至服务器端能从协议层传输加密信息。套接口允许在高层协议如HTTP、NNTP和FTP上进行低层的事务加密。这个标准也制定了客户和服务器的身份认证方法（客户站点的身份认证是可选的）。通http://www.netscape.com/info/security-doc.html，你可以了解这个标准的详细信息

WWW上的统一资源识别（URI）－－IETFRFC1630 URI是IETF正在开发的标准，目前，资源名和地址是纯粹的文本。URL（统一资源地址）实际是包含了地址信息的URI的一种形式，这个地址在Internet上映射到一个指定的位置。URI能提供将Internet对象的名字和地址编码的方法。实质上，要访问一个私有的站点，你应该知道它的编码名字，而不是纯粹的文本名

注释 MTS是个有多种意思的缩略语，在本文中只用到了两种：微软事务服务器和邮件传输系统。除了第14章中代表邮件传输系统外，一般都是指微软事务服务器。

注释如果立即使用安全套接层（SSL），将还有许多安全方面的顾虑，因为一些计算机黑客在特殊情况下有可能破解你的密码。美国.政府限制出口加密技术中的密钥长度不能超过40位，所以计算机通过尝试2的40次方的密钥组合，便可以破解这个密钥；美国本土使用的加密程序只能使用128位密钥，它意味着一个人要等待计算机做2的128次方的字母组合才能破译它（这恐怕一辈子也等不到）。那么你将如何判断交易的安全等级呢？Netscape使这个问题变得非常容易，你只需查看一下屏幕左下角的钥匙：一把断开的钥匙表示没有加密；一把单排齿的钥匙表示40位的加密；一把双排齿钥匙表示128位的加密。Netscape 和IE都提供了文档属性对话框（在"文件"菜单中可以找到它），你可以简单调用这个对话框来查看指定站点提供了什么类型的加密保护方式

表一中为你介绍了很多由IETF创建的与安全相关的标准。大部分IETF RFC文档能http://ds.internic.net/rfc/上找到。

http://www. ietf.cnri.reston.va.us/html.charters/上，你也能看到IETF当前工作组的列表，这些工作组协助创建Internet上使用的标准。

表一中的安全标准描绘了Internet最终的安全蓝图，将它牢记在头脑中是很重要的，所有这些标准真正覆盖了客户和服务器间的连接。你还能在客户、服务器端增加其它安全策略。这些标准中的大部分还没有覆盖Internet的附加产品，比如防火墙等。你的公司能够增加这些附加的安全特性，并最终使得黑客很难攻进你的系统。

如果你还没有足够多的安全信息的话，可以花点时间查看一下IETF的情报站点，目前的两个站点是gopher://ds1.internic.net/00/fyi/fyi8.txt（站点安全手册）和gopher://ds1.internic.net//00/fyi/fyi25.txt（网络信息检索状态报告）。

谁是W3C

在我们做进一步学习前，让我们大概了解一下W3C组织。W3C最早出现在1994年12月，当时，它批准了SSL（安全套接层）；在1995年2月，W3C也支持了Internet上的应用级安全。它当前的项目是数字签名协议，W3C于1996年在巴黎发表了该协议。正如你所看到的，W3C是一个专注于安全需求的标准化组织，它的其它一些职能也是从这个角度发展起来的。

那么我们为什么还需要其它的标准化组织呢？其主要想法是把业界的主要厂商集中起来，创建一个安全的Internet网络环境。另外，某些标准化组织，比如IETF棗主要由自愿者组成，它们的动作过于迟缓，根本不能满足企业的当前需求。W3C是在为增加新标准并尽快将其实施而产生的组织，W3C最终提供了实际的标准和规范说明，并提供了采用这些标准的应用示范，以及使用这些标准创建应用程序所需的代码等。

W3C所研究的另一个项目是Joint Electronic Payment Initiative(JEPI)，一个将影响Internet商务交易的标准。它大胆地假设在英国、法国、德国和美国的客户都能访问同一个站点，并以完全相同的价格去购买同一个商品。但在此之前，它们必须解决一些问题，例如，你是否要询问客户提供一种付款的方式？你需要什么样的付款？你还必须考虑到纸币以外的东西，因为纸币还不能通过电子方式交换。信用卡提供了一种解决方案，但W3C也在探究其它方式，如电子支票（electonic check）、借贷卡（debit card）和电子现金（electronic cash）等。这只是其中的一个小主题，更大的主题是要为商品的价格创建一些与纸币无关的方法。例如，你如何告诉一个在德国的人，外套的价格是80美元？如果不给他们展示一美元是多少德国马克，他们是否也能知道？对美国人来说，他们若访问一个英国商店，则必须找到兑换英镑的价格。

那么JEPI将对安全性做些什么工作呢？它将交易作为一个整体来考虑。你的公司也许不用与一个想买外套的客户打交道，但有可能要与其它一些和贸易有关的问题打交道。大公司也许想提供一个更快、更有效的方法来将资金从世界的一个地方转移到另一个地方。通过Internet做电子贸易将最终解决这个问题，这当然不是眼前所能做得到的。如果你的移动雇员缺乏资金时，你该怎么办呢？你可能想到立刻发行一个信用卡，虽然你可以通过Internet获得一个日消费的报告，但现在这样做是不明智的，因为Internet还存在太多的安全漏洞。而这些交易标准将帮助公司建立一些新的方法来传送敏感数据。

处理货币的标准方法

　　如果你的公司在Internet上出售产品（不论是有形的还是无形的），那你必须找到一个能在Web服务器上收钱的方法，就像在其它地方一样，你能在Internet轻松地出售装饰品，甚至还可以卖得更好，但你还得提供一些服务，例如，你要为客户提供一种电子支付帐单的方式，而不是通过邮件送传支票。有谣言说，可能至少有一家电话公司正在作Internet监听。小公司可能会发现Internet交易太麻烦，但一些中等和大型企业将在某些方面倾心支持它，银行和信用卡公司最终也将加入其中。事实上，通过在线填写的形式，你便能获得一个WebConductor VISA卡（查看站http://www.conductor.com以获得详细的信息）。这个特制的卡允许你在线查看状态和请求服务，在不久的未来，它将允许在线付款，以大大减少填写支票所花的时间。

　　当前有三种不同的公开方案来实现在 Web服务器上处理现金，它们是FirstVirtual Account、DigiCash和Cybercash。每种方案都各有千秋，也各有缺陷，你应该认识到的是，它们中没有一个是至善至美的，如果现在实施这些方案，你可能需要在某些地方做一些妥协。虽然有许多金融公司正在研究一些方法来确保金融贸易的真正安全，但恐怕目前尚无有效的方法。

　　从实施的角度看，First Virtual Account方案更容易使用，用户通过电话报名加入一个First Virtual Account并接收到一个指定的帐户名，这个帐户名与信用卡提供的帐户名毫无关系，支持这种方案的商家使用安全证书来接受这个指定的号码。每个交易都使用这个号码，而不使用真正的信用卡号码，这样防止了有人偷去你的信用卡并趁你不知道时使用它。商家通过First Virtual Account做交易，它能检验用户的事务，当用户同意交易，商家便接收到付款并开始运送用户所需的产品。你能http://www.fv.com站点上看到有关First VirtualAccount的更多信息。

　　DigiCash取代了信用卡而使用真正的资金做交易，这意味着商家不必支付信用卡的追缴款。另外，DigiCash还可以像ATM借贷卡一样工作，商家获得了真正的资金，而不用等待信用卡公司来按期支付，这需要用户在一个指定的银行有抵押，银行设置一个帐户，除了在线工作外，这个帐户就像是一个支票户头。当用户购买物品时，他或她使用"E-cash"，商家简单地进入E-cash，便可获得真正的资金。显然，用户必须不时地添满自己帐户内的资金。你可以访http://www.digicash.nl/站点来获取更多信息。

　　Cybercash是前面两种方案的组合，它提供了借贷和信用两种能力，有点像银行内有透支保护的户头。与其它两种方案不同的是，Cybercash使用真正的帐户信息，对用户来说，这有点冒险，因为他们的帐户信息能在任何地方以非加密的形式终止。当用户购买东西时，Cybercash弹出一个窗体，要求输入帐户信息，在信用方式下，用户要提供自己的名字和信用卡号码；在借贷方式下，用户要提供本地银行的名字和其它银行的帐户名。你可以http://www.cybercash.com站点看到与此相关的更多信息。

　　不止是银行和信用卡公司在讨论在线交易问题，作为一家Web服务器公司，Open Market也在制定基于SHTTP的在线交易方案，如果你使用了这个方案，那么它将充当银行和信用卡公司。你可以http://www.openmarket.com站点找到与此相关的更多信息。

收藏分享邀请

		自动登录	找回密码
密码			注册

互联网安全标准

最新评论

相关分类

下级分类