網(wǎng)絡(luò)安全Web安全與電子郵件安全

網(wǎng)絡(luò)安全Web安全與電子郵件安全Web安全WWW服務(wù)萬(wàn)維網(wǎng)（WorldWideWeb，WWW），簡(jiǎn)稱Web基于客戶機(jī)/服務(wù)器方式的信息發(fā)現(xiàn)技術(shù)和超文本技術(shù)的綜合Web服務(wù)器通過HTML超文本標(biāo)記語(yǔ)言把信息組織成為圖文并茂的超文本W(wǎng)eb瀏覽器則為用戶提供基于HTTP超文本傳輸協(xié)議的用戶界面用戶使用Web瀏覽器通過Internet訪問遠(yuǎn)端Web服務(wù)器上的HTML超文本HTTP協(xié)議及其安全性超文本傳輸協(xié)議（HypertextTransferProtocol，HTTP）Web應(yīng)用的核心技術(shù)協(xié)議，屬于TCP/IP協(xié)議棧中的應(yīng)用層定義了Web瀏覽器向Web服務(wù)器發(fā)送Web頁(yè)面請(qǐng)求的格式，以及Web頁(yè)面在Internet上的傳輸方式HTTP的安全問題HTTP協(xié)議未提供安全性機(jī)制HTTP協(xié)議允許遠(yuǎn)程用戶對(duì)遠(yuǎn)程服務(wù)器的通信請(qǐng)求，這會(huì)危及Web服務(wù)器和客戶的安全HTTP的另一個(gè)安全漏洞就是服務(wù)器日志與Web相關(guān)的安全性問題Web服務(wù)器安全Web客戶系統(tǒng)的安全性擴(kuò)展Web的技術(shù)存在的安全隱患CGIScriptAsp……S-HTTP安全超文本傳輸協(xié)議(SecureHyperTextTransferProtocol,S-HTTP)一種面向安全信息通信的協(xié)議，可以和HTTP結(jié)合起來(lái)使用，能與HTTP信息模型共存并與HTTP應(yīng)用程序相整合為HTTP客戶機(jī)和服務(wù)器提供了多種安全機(jī)制不需要客戶端公用密鑰認(rèn)證（或公用密鑰），但支持對(duì)稱密鑰的操作模式提供了完整且靈活的加密算法、模態(tài)及相關(guān)參數(shù)。選項(xiàng)談判用來(lái)決定客戶機(jī)和服務(wù)器在事務(wù)模式、加密算法及證書選擇方面取得一致意見安全套接層SSL安全套接層（SecureSocketsLayer,SSL)目的在于提高應(yīng)用層協(xié)議（如HTTP，Telnet，NNTP，F(xiàn)TP等）的安全性，增強(qiáng)通信應(yīng)用程序之間的保密性和可靠性功能包括：數(shù)據(jù)加密、服務(wù)器驗(yàn)證、信息完整性以及可選的客戶TCP/IP連接驗(yàn)證SSL不同于S-HTTP之處在于后者是HTTP的超集，只限于WebWeb安全性-1CGI通用網(wǎng)關(guān)接口(CGI)提供了用戶與服務(wù)器的交互能力用戶請(qǐng)求通過Web/CGI轉(zhuǎn)交給后臺(tái)服務(wù)進(jìn)程實(shí)現(xiàn)方式多樣：C++、perl、VB......安全漏洞表現(xiàn)為以下幾方面：泄露主機(jī)系統(tǒng)信息，幫助黑客入侵當(dāng)服務(wù)器處理遠(yuǎn)程用戶輸入的某些信息時(shí)，易被遠(yuǎn)程用戶攻擊不規(guī)范的第三方CGI程序，或惡意客戶向Web服務(wù)器發(fā)布的CGI程序，將對(duì)Web服務(wù)器造成物理或邏輯上的損壞，甚至將Web服務(wù)器上的整個(gè)硬盤信息復(fù)制到因特網(wǎng)的某一臺(tái)主機(jī)上Plugin基于瀏覽器API的、專為瀏覽器設(shè)計(jì)的DLL，用來(lái)幫助瀏覽器處理特殊類型數(shù)據(jù)運(yùn)行在客戶端，為服務(wù)器分擔(dān)了大量的數(shù)據(jù)處理工作，減輕了網(wǎng)絡(luò)的負(fù)擔(dān)在一個(gè)安全性要求較高的系統(tǒng)上安裝Plug-in，必須確信Plug-in的開發(fā)者和提供Plug-in的服務(wù)器都是可信的Web安全性-2Javascript一種HTML語(yǔ)言擴(kuò)展，增強(qiáng)了HTML語(yǔ)言的動(dòng)態(tài)交互能力，并且可以把部分處理移到客戶機(jī)，減輕服務(wù)器的負(fù)載一種較安全的語(yǔ)言不允許訪問本地硬盤不能將數(shù)據(jù)存入服務(wù)器上不允許對(duì)網(wǎng)絡(luò)文檔進(jìn)行修改和刪除只能通過瀏覽器實(shí)現(xiàn)信息瀏覽或動(dòng)態(tài)交互不能用來(lái)制造病毒和木馬Web安全性-3JavaApplet嵌在網(wǎng)頁(yè)中，而又有自己獨(dú)立的運(yùn)行窗口的小程序，是預(yù)先編譯好的客戶可以從網(wǎng)絡(luò)上下載Applet程序到本地客戶機(jī)運(yùn)行，從而極大地減少了服務(wù)器的運(yùn)算量安全漏洞可以欺騙用戶，將本地硬盤或連入網(wǎng)絡(luò)的磁盤上的文件傳送到因特網(wǎng)上的任意主機(jī)能獲得用戶本地硬盤和任何網(wǎng)絡(luò)盤上的目錄列表。能監(jiān)視用戶在某段時(shí)間內(nèi)訪問過的所有網(wǎng)頁(yè)能夠在未經(jīng)用戶允許的情況下觸發(fā)瀏覽器發(fā)送E-mail針對(duì)惡意Applet的安全措施Java1.0：Applet被限定運(yùn)行在瀏覽器規(guī)定的一個(gè)稱為“沙盒”環(huán)境區(qū)域中，這個(gè)環(huán)境區(qū)域?qū)Ρ緳C(jī)的資源只能作有限的控制Java1.1：引入了“簽名Applet”，就是一個(gè)Applet應(yīng)用先被打包成JAR文件，然后使用開發(fā)者的私鑰對(duì)它簽名。簽名Applet被下載到本地機(jī)后享有和普通Java應(yīng)用程序一樣的權(quán)限Web安全性-4Cookie一種能夠讓W(xué)eb服務(wù)器把少量數(shù)據(jù)儲(chǔ)存到客戶端的硬盤或內(nèi)存，或是從客戶端的硬盤讀取數(shù)據(jù)的一種技術(shù)當(dāng)瀏覽網(wǎng)站時(shí)，由Web服務(wù)器置于客戶端硬盤上的一個(gè)非常小的文本文件，可以記錄客戶信息，當(dāng)客戶下次登陸時(shí)網(wǎng)站可以讀取以便進(jìn)行個(gè)性化服務(wù)安全漏洞cookie容易被偽造cookie是明文發(fā)送和接受存在個(gè)人信息泄漏的威脅Web安全性-5ActiveX一些軟件組件或?qū)ο?，可以將其插入到WEB網(wǎng)頁(yè)或其它應(yīng)用程序中當(dāng)用戶瀏覽到特定的網(wǎng)頁(yè)時(shí)，IE瀏覽器即可自動(dòng)下載并提示用戶安裝很多黑客惡意程序偽裝成正常的控件兩個(gè)補(bǔ)充性的策略：安全級(jí)別和證明Web安全性-6Web欺騙攻擊者建立一個(gè)使人相信的、Web頁(yè)站點(diǎn)的拷貝攻擊的關(guān)鍵在于攻擊者的Web服務(wù)器能夠插在瀏覽者和其他的Web之間

攻擊者的偽Web服務(wù)器Web服務(wù)器受騙用戶Web安全措施在現(xiàn)有的網(wǎng)絡(luò)上安裝防火墻，對(duì)需要保護(hù)的資源建立隔離區(qū)對(duì)機(jī)密敏感的信息進(jìn)行加密存儲(chǔ)和傳輸在現(xiàn)有網(wǎng)絡(luò)協(xié)議的基礎(chǔ)上，為C/S通信雙方提供身份認(rèn)證并通過加密手段建立秘密通道。對(duì)沒有安全保證的軟件實(shí)施數(shù)字簽名Web服務(wù)器端安全性服務(wù)器發(fā)布信息，提供服務(wù)靜態(tài)信息，各種HTML頁(yè)面動(dòng)態(tài)信息，利用腳本或者各種擴(kuò)展引擎響應(yīng)客戶的請(qǐng)求安全性目錄安全性只有指定范圍的文件才可以被訪問Cgi文件的安全性，此目錄禁止通過Web讀寫檢查每一個(gè)cgi文件，不要保留有漏洞的cgi文件，特別是系統(tǒng)預(yù)裝的一些cgi示例文件，這些文件往往為了說明功能，而忽略了安全性的考慮要求認(rèn)證：由于協(xié)商的原因，要注意安全性最低的認(rèn)證協(xié)議授權(quán)機(jī)制：保護(hù)好口令的安全存儲(chǔ)，以及客戶信息的保存日志：打開系統(tǒng)中對(duì)于Web服務(wù)的日志功能，以及Web服務(wù)的日志記錄針對(duì)Web服務(wù)器的常見攻擊從Web服務(wù)中獲取信息Web頁(yè)面中的注解信息，或者一些擴(kuò)展特性返回的應(yīng)答頭有時(shí)也會(huì)暴露信息針對(duì)WebServer的各種攻擊手法比如說IIS的UNICODE漏洞有些腳本代碼或者cgi程序的漏洞緩沖區(qū)溢出輸入驗(yàn)證攻擊拒絕服務(wù)攻擊……Web服務(wù)器的安全防護(hù)有些應(yīng)用使用SSL/TLS，為WebService申請(qǐng)一個(gè)證書WebServer往往是網(wǎng)絡(luò)攻擊的入口點(diǎn)為了提供WebService，必須要開放端口和一些目錄，還要接受各種正常的連接請(qǐng)求防火墻對(duì)WebServer的保護(hù)是有限的為了安全，請(qǐng)及時(shí)打上WebServer軟件廠商提供的補(bǔ)丁程序特別是一些主流的服務(wù)軟件，比如MS的IIS控制目錄和文件的權(quán)限Web應(yīng)用開發(fā)人員注意在服務(wù)端的運(yùn)行代碼中，對(duì)于來(lái)自客戶端的輸入一定要進(jìn)行驗(yàn)證防止緩沖區(qū)溢出Web客戶端的安全性客戶端安全性涉及到Cookie的設(shè)置，保護(hù)用戶的隱私PKI設(shè)置，確定哪些是可信任的CA對(duì)可執(zhí)行代碼的限制，包括JavaApplet，ActiveXcontrol如果你的機(jī)器是多個(gè)人合用的，則Web頁(yè)面的緩存區(qū)域，將會(huì)留下用戶最近訪問過的頁(yè)面歷史記錄口令自動(dòng)保存和提示……客戶瀏覽器的安全設(shè)置真的安全嗎有必要了解這些安全性E-mail安全電子郵件概述電子郵件（E-mail）是Internet上應(yīng)用最廣同時(shí)也是最基本的服務(wù)之一。電子郵件將郵件發(fā)送到收信人的郵箱中，收信人可隨時(shí)進(jìn)行讀取不僅使用方便，而且還具有傳遞迅速和費(fèi)用低廉的優(yōu)點(diǎn)不僅可傳送文字信息，而且還可附上聲音和圖像等多媒體信息文件電子郵件系統(tǒng)E-mail服務(wù)是一種客戶機(jī)/服務(wù)器模式的應(yīng)用客戶機(jī)負(fù)責(zé)的是郵件的編寫、閱讀、管理等處理工作服務(wù)器是負(fù)責(zé)的是郵件的傳送工作一個(gè)完整的電子郵件系統(tǒng)具有三個(gè)主要的組成部分客戶端軟件用戶代理UA(UserAgent)用戶接口，負(fù)責(zé)郵件生成與郵件處置；一般放在個(gè)人計(jì)算機(jī)內(nèi)郵件服務(wù)器軟件MTA(MessageTransferAgent)電子郵局，扮演網(wǎng)關(guān)的角色，主要負(fù)責(zé)郵件傳輸；一個(gè)MTA可以帶若干UA電子郵件使用的協(xié)議TCP/IP電子郵件系統(tǒng)原理SMTPUAUAMTAMTAPOP3SMTP發(fā)送方接收方SMTP協(xié)議簡(jiǎn)單郵件傳輸協(xié)議（SimpleMailTransferProtocol,SMTP）一組用于由源地址到目的地址傳送郵件的規(guī)則，用來(lái)控制信件的中轉(zhuǎn)方式屬于TCP／IP協(xié)議族的應(yīng)用層協(xié)議，幫助每臺(tái)計(jì)算機(jī)在發(fā)送或中轉(zhuǎn)信件時(shí)找到下一個(gè)目的地通過SMTP協(xié)議所指定的服務(wù)器，我們就可以把E－mail寄到收信人的服務(wù)器上SMTP服務(wù)器遵循SMTP協(xié)議的發(fā)送郵件服務(wù)器，用來(lái)發(fā)送或中轉(zhuǎn)電子郵件POP3協(xié)議協(xié)議是郵局協(xié)議（PostOfficeProtocol,POP）一種允許用戶從郵件服務(wù)器收發(fā)郵件的協(xié)議POP3（PostOfficeProtocol3）郵局協(xié)議的第3個(gè)版本規(guī)定怎樣將個(gè)人計(jì)算機(jī)連接到Internet的郵件服務(wù)器和下載電子郵件的電子協(xié)議，是因特網(wǎng)電子郵件的第一個(gè)離線協(xié)議標(biāo)準(zhǔn)允許用戶從服務(wù)器上把郵件存儲(chǔ)到本地主機(jī)，同時(shí)刪除保存在郵件服務(wù)器上的郵件與SMTP協(xié)議相結(jié)合，POP3是目前最常用的電子郵件服務(wù)協(xié)議POP3服務(wù)器遵循POP3協(xié)議的接收郵件服務(wù)器，用來(lái)接收電子郵件的電子郵件系統(tǒng)安全問題-1匿名轉(zhuǎn)發(fā)郵件沒有發(fā)件人信息發(fā)件人刻意隱瞞自己的電子郵箱地址和其他信息，或者通過某些方法給你一些錯(cuò)誤的發(fā)件人信息發(fā)送者首先將郵件發(fā)送給匿名轉(zhuǎn)發(fā)系統(tǒng)，匿名轉(zhuǎn)發(fā)郵件系統(tǒng)再把郵件轉(zhuǎn)發(fā)給真正的收件者，并將自己的地址作為發(fā)信人地址顯示在郵件的信息表頭中電子郵件欺騙在電子郵件中改變名字，使之看起來(lái)是從某地或某人發(fā)來(lái)的行為三種基本方法相似的電子郵件地址修改郵件客戶遠(yuǎn)程聯(lián)系，登錄到端口25，裝作是一臺(tái)郵件服務(wù)器電子郵件系統(tǒng)安全問題-2E-mail炸彈發(fā)送大量的垃圾郵件，從而充滿郵箱，大量的占用了系統(tǒng)的可用空間和資源，使機(jī)器暫時(shí)無(wú)法正常工作過多的郵件垃圾會(huì)占用大量的CPU時(shí)間和網(wǎng)絡(luò)帶寬，加劇網(wǎng)絡(luò)的負(fù)載力和消耗大量的空間資源安全方案S/MIMEPGPS/MIME是對(duì)MIME電子郵件格式的安全擴(kuò)展基于密碼學(xué)的諸多成果與PKI的結(jié)合，使用X.509證書，以及PKCS標(biāo)準(zhǔn)算法協(xié)商不可能在線進(jìn)行，只能用一組規(guī)則保證盡可能地達(dá)到安全性不嚴(yán)格的信任模型，由客戶實(shí)現(xiàn)和用戶來(lái)決定S/MIME更象商用或組織使用的工業(yè)標(biāo)準(zhǔn)，PGP更面向個(gè)體用戶選用S/MIME功能簽名加密PGPPGP-PrettyGoodPrivacy當(dāng)前應(yīng)用最廣的安全電子郵件技術(shù)為電子郵件和文件存儲(chǔ)應(yīng)用提供了認(rèn)證和保密性服務(wù)PGP特點(diǎn)軟件免費(fèi)；版本眾多，支持各種系統(tǒng)平臺(tái)采用一系列安全算法和機(jī)制，安全性已經(jīng)得到了充分的論證廣泛的安全性郵件和文件存儲(chǔ)自由性和可信性不是由政府或者標(biāo)準(zhǔn)化組織所控制PGP功能列表為了適應(yīng)郵件的大小限制，PGP支持分段和重組數(shù)據(jù)分段郵件應(yīng)用完全透明，加密后的消息用Radix64轉(zhuǎn)換Radix64郵件兼容性消息用ZIP算法壓縮ZIP壓縮消息用一次性會(huì)話密鑰加密，會(huì)話密鑰用接收方的公鑰加密CAST或IDEA或3DES、AES及RSA或D-F消息加密用SHA-1創(chuàng)建散列碼，用發(fā)送者的私鑰和DSS或RSA加密消息摘要DSS/SHA或RSA/SHA數(shù)字簽名（包含鑒別）說明采用算法服務(wù)PGP身份認(rèn)證發(fā)送方產(chǎn)生消息M用SHA-1對(duì)M生成一個(gè)160位的散列碼H用發(fā)送者的私鑰對(duì)H加密，并與M連接接收方用發(fā)送者的公鑰解密并恢復(fù)散列碼H對(duì)消息M生成一個(gè)新的散列碼，與H比較。如果一致，則消息M被認(rèn)證PGP保密性發(fā)送方生成消息M并為該消息生成一個(gè)隨機(jī)數(shù)作為會(huì)話密鑰用會(huì)話密鑰加密M用接收者的公鑰加密會(huì)話密鑰并與消息M結(jié)合接收方用自己的私鑰解密恢復(fù)會(huì)話密鑰用會(huì)話密鑰解密恢復(fù)消息MPGP保密與認(rèn)證兩種服務(wù)都需要時(shí)，發(fā)送者先用自己的私鑰簽名，然后用會(huì)話密鑰加密消息，再用接收者的公鑰加密會(huì)話密鑰PGP郵件處理步驟：簽名——壓縮——加密壓縮對(duì)郵件傳輸或存儲(chǔ)都有節(jié)省空間的好處。簽名后壓縮不需要為檢驗(yàn)簽名而保留壓縮版本的消息為了檢驗(yàn)而再做壓縮不能保證一致性，壓縮算法的不同實(shí)現(xiàn)版本可能會(huì)產(chǎn)生不同的結(jié)果壓縮后加密壓縮后的消息其冗余小，增加密碼分析的難度若先加密，則壓縮難以見效PGP密鑰PGP使用四種類型的密鑰一次性會(huì)話傳統(tǒng)密鑰公鑰私鑰基于口令短語(yǔ)的傳統(tǒng)密鑰PGP對(duì)密鑰的需求會(huì)話密鑰需要一種生成不可預(yù)知的會(huì)話密鑰的方法，PGP使用了一種復(fù)雜的隨機(jī)密鑰生成算法(一定的真隨機(jī)性)公鑰和私鑰需要某種手段來(lái)標(biāo)識(shí)具體的密鑰一個(gè)用戶擁有多個(gè)公鑰/私鑰對(duì)密鑰更新管理每一個(gè)用戶都要維護(hù)通信必須的密鑰對(duì)用一個(gè)文件來(lái)維護(hù)自身的公鑰/私鑰對(duì)用另一個(gè)文件維護(hù)其他用戶的公鑰信息密鑰標(biāo)識(shí)符一個(gè)用戶有多個(gè)公鑰/私鑰對(duì)接收者如何知道發(fā)送者是用哪個(gè)公鑰來(lái)加密會(huì)話密鑰的？解決方法將公鑰與消息一起傳送：開銷太大為每個(gè)公鑰分配一個(gè)標(biāo)識(shí)符，傳輸時(shí)將標(biāo)識(shí)符與消息一塊傳送密鑰標(biāo)識(shí)符對(duì)每個(gè)用戶，每個(gè)公鑰與唯一的KeyID相關(guān)聯(lián)發(fā)送方必須容易了解一個(gè)公鑰在其所有者上分配的KeyIDPGP采用公鑰的低64位作為KeyID數(shù)字簽名也需要使用KeyID接收方需要確定使用發(fā)送方的那一個(gè)公鑰驗(yàn)證簽名密鑰環(huán)KeyID對(duì)于PGP非常關(guān)鍵。PGP消息中包括兩個(gè)keyID，分別提供保密與認(rèn)證功能。需要一種系統(tǒng)化的方法存儲(chǔ)和組織這些密鑰以保證有效使用這些密鑰在每一個(gè)用戶節(jié)點(diǎn)上設(shè)置數(shù)據(jù)結(jié)構(gòu)，管理用戶密鑰，稱為密鑰環(huán)私鑰環(huán)：存儲(chǔ)本節(jié)點(diǎn)擁有的公鑰/私鑰對(duì)公鑰環(huán)：存儲(chǔ)本節(jié)點(diǎn)所知道的其他用戶的公鑰密鑰環(huán)實(shí)際上是一個(gè)保存密鑰的列表密鑰數(shù)據(jù)庫(kù)每一表項(xiàng)保存一個(gè)用戶密鑰PGP消息的格式PGP私鑰環(huán)信息時(shí)間戳、KeyID、公鑰、私鑰、UserIDUserID：通常是用戶的郵件地址也可以是一個(gè)名字，可以重名私鑰如何保存：用戶選擇一個(gè)口令短語(yǔ)用于加密私鑰當(dāng)系統(tǒng)用RSA生成一個(gè)新的公鑰/私鑰對(duì)時(shí)，要求用戶輸入口令短語(yǔ)。對(duì)該短語(yǔ)使用SHA-1生成一個(gè)160位的散列碼后，銷毀該短語(yǔ)系統(tǒng)用其中128位作為密鑰用CAST-128加密私鑰，然后銷毀這個(gè)散列碼，并將加密后的私鑰存儲(chǔ)到私鑰環(huán)中當(dāng)用戶要訪問私鑰環(huán)中的私鑰時(shí)，必須提供口令短語(yǔ)。PGP將取出加密后的私鑰，生成散列碼，解密私鑰PGP公鑰環(huán)信息時(shí)間戳、KeyID、公鑰、對(duì)所有者信任度、用戶ID、密鑰合法度、簽名、對(duì)簽名者信任度UserID公鑰的擁有者多個(gè)UserID可以對(duì)應(yīng)一個(gè)公鑰公鑰環(huán)可以用UserID或KeyID索引發(fā)送方處理消息的過程簽名從私鑰環(huán)中得到私鑰，利用userid作為索引PGP提示輸入口令短語(yǔ)，恢復(fù)私鑰構(gòu)造簽名部分加密PGP產(chǎn)生一個(gè)會(huì)話密鑰，并加密消息PGP用接收者userid從公鑰環(huán)中獲取其公鑰構(gòu)造消息的會(huì)話密鑰部分接收方處理消息的過程解密消息PGP用消息的會(huì)話密鑰部分中的KeyID作為索引，從私鑰環(huán)中獲取私鑰PGP提示輸入口令短語(yǔ)，恢復(fù)私鑰PGP恢復(fù)會(huì)話密鑰，并解密消息驗(yàn)證消息PGP用消息的簽名部分中的KeyID作為索引，從公鑰環(huán)中獲取發(fā)送者的公鑰PGP恢復(fù)被傳輸過來(lái)的消息摘要PGP對(duì)于接收到的消息作摘要，并與上一步的結(jié)果作比較PGP公鑰管理PGP沒有