传输层安全.ppt

第5章 传输层安全 提纲 Web安全需求 安全套接字层SSL 传输层安全TLS HTTPS 安全盾SSH 提要 安全套接字层SSL提供TCP和使用TCP的应用之间的安全服务。互联网标准称为传输层安全TLS SSL/TLS使用对称加密提供消息的机密性服务，使用消息认证码提供消息的完整性服务。 HTTPS是指HTTP和SSL的组合，实现Web浏览器和Web服务器之间的安全通信。 安全盾SSH提供远程安全登录和其他安全的客户/服务器服务。 一、Web安全需求 互联网是双向的。 日益成为信息或产品的主要出口，以及处理商务的平台。 底层软件复杂，相应的可能会隐藏很多潜在的安全缺陷。 Web服务器可以作为进入公司或机构的整个计算机联合体的跳板使用。 用户多是临时的和未经培训的，缺乏警觉感，也没有对安全风险给予有效防范的工具和知识。 案 例 96年8月17日，美国司法部的网络服务器遭到黑客入侵，并将“美国司法部”的主页改为“美国不公正部”，将司法部部长的照片换成了希特勒，将司法部徽章换成了纳粹党徽，并加上一幅色情女郎的图片作为所谓司法部部长的助手，此外，还留下了很多攻击美国司法政策的文字。 96年9月18日，黑客光顾美国中情局的网络服务器，将其主页由“中央情报局”改为I“中央愚蠢局”。 96年12月29日，黑客入侵美国空军的全球网网址并将其主页肆意改动，其中有关空军介绍、新闻发布等内容被替换成一段简短的黄色录像，且声称美国政府所说的一切都是谎言。迫使美国国防部一度关闭了其他80多个官方网址。 案 例 2000年2月，著名的Yahoo、eBay等高利润站点遭到持续两天的拒绝服务攻击，商业损失巨大。 2002年6月，日本2002年世界杯组委会的官方网站由于黑客成功侵入并在该网站上发布侮辱性内容而被迫关闭。 2006年2月，为抗议丹麦发行伊斯兰教先知穆罕默德的卡通漫画，已有数百家该国的网站遭到了黑客的攻击，在上面写满了赞美伊斯兰教和谴责这些卡通画的语言，其中一些还被放置了被焚的丹麦国旗的照片。 案 例 百度“被黑” 大致攻击过程解剖如下： 1、2010年1月12日上午约6点起，百度域名DNS服务器被劫持更换，同时主域名已经被解析到一个荷兰的IP； 2、域名被更换后，访问百度时页面自动跳转到一租用雅虎服务器的空间；该 IP的网站实际使用英文雅虎下的租用空间，因此访问百度旗下网站时，会出现英文雅虎的出错信息页面。 3、由于页面请求数量过于庞大导致雅虎服务器瘫痪或者流量超限，服务器瘫痪； 4、服务器瘫痪后，访问百度的网民页面自动跳转到雅虎的提示页面； 5、在超限之前，部分网民访问伊朗网军的黑客页面，攻击者在百度首页自称是“Iranian Cyber Army” （伊朗网军）的组织承认篡改了百度主页，并留下阿拉伯文字； 6、2010年1月12日上午，国内大部分城市用户和海外用户只能通过未被劫持的百度备用域名访问； 7、2010年1月12日上午约11点起，陆续恢复正常访问； 案 例 Web安全威胁分类 主动攻击 被动攻击 服务器 浏览器 服务器和浏览器之间的流量 Web流量安全方法 二、安全套接字层SSL SSL： Secure Socket Layer 。 1994年， Netscape公司开发了SSL协议，专门用于保护Web通讯，目前已经有 SSL1.0 、SSL2.0、SSL3.0。 SSL使用TCP提供一种可靠地端到端的安全服务。 下面讲述SSL3.0的工作原理。 1、SSL体系结构 1、SSL体系结构 SSL的两个重要概念： （１）?? SSL会话：一个客户端和服务器之间的关联，会话是通过握手协议创建的，定义了一组多个连接共享的密码安全参数。 （２）?? SSL连接：提供合适服务类型的一种传输，每个连接与一个会话相关。 2、SSL记录协议 SSL记录协议为SSL连接提供两种服务： 机密性：握手协议定义一个可以用于SSL负载的传统加密共享密钥。 消息完整性：握手协议还定义了一个用于产生消息认证码（MAC）的共享密钥 2、SSL记录协议 2、SSL记录协议 2、SSL记录协议 内容类型(8bit)：用于处理封闭分段的更高层协议，包括密码变更规格、报警、握手和应用数据四种。 主版本(8bit)：表明应用的SSL协议的主版本号。对于SSLv3.0，该值为3。 副版本(8bit)：表明应用的SSL协议的副版本号。对于SSLv3.0，该值为0。 压缩后的长度(8bit)：以字节为单位的明文块的长度。 3、密码变更规格协议 4、报警协议 报警协议用于将与SSL相关的报警传达给对等实体。 两个字节组成，第一个字节值１表示警报，值２表示致命错误。第二个字节包含描述特定警报信息的代码。 5、握手协议 握手协议是SSL中最复杂的部分。 握