注册
登录
利用前面讲解的加密方法，尤其是基于双钥技术的现代加密方法，我们针对网络安全可以实现多种具体的手段及方法，如数字签名、数字时间戳、数字凭证及认证中心等，而且这些方法和手段常常结合在一起使用，长短互补，从而构成了网上安全防范的实用体系。WAP的无线网络在寻求安全技术时，也借用了普通Internet网络的安全手段和方法，并将它们进一步调整和优化，以适应无线网络的特殊要求。 数字签名 日常生活中，我们常把在书面文件上签名作为确认文件的一种手段。签名的作用有两点，一是因为自己的签名难以否认，从而可以确认文件已经签署的事实，即保证文件的不可否认性；二是因为签名不易仿冒，从而可以确定文件是真的这一事实，即保证文件的真实性。网络安全防范中的数字签名(Digital Signature)与书面文件签名有相同之处，它也能确认两点：其一，信息是由签名者发送的；其二，信息自签发后到收到为止未曾作过任何修改。 这样，数字签名就可以用来防止网上电子信息因容易修改而被人破坏或作伪，或冒用别人名义发送信息，或者，在发出或收到信件后又加以否认等情况发生。 网上的数字签名并不是使用"手书签名"类型的图形标志，因为这样也是极易复制的。为此，数字签名另辟蹊径，采用了双重加密的方法来实现加密文件的防伪与防赖。其原理及处理过程如下： (1) 使用SHA编码将发送文件加密产生128bit(位)的数字摘要； (2) 发送方用自己的专用密钥对摘要再加密，这样就形成了数字签名； (3) 将原文和加密的摘要同时传给对方； (4) 接收方用发送方的公共密钥对摘要解密，同时对收到的文件用SHA编码加密产生又一摘要； (5) 将解密后的摘要和收到的文件在接收方重新加密产生的摘要相互对比，如果两者一致，则说明传送过程中信息没有破坏和篡改。否则，则说明信息已失去其安全性及保密性。图12.2说明了数字签名的过程。 数字时间戳 时间是网络传输中的一项非常重要的信息。在书面合同中，文件签署的日期和签名一样都是十分重要的防止文件伪造和篡改的关键性证据。 在网络安全防范中，同样需要对传输资料文件的日期和时间信息采取安全措施，这是通过数字时间戳服务DTS(Digital Time-stamp Service)实现的，它可以对电子文件提供发表时间的安全保护。该服务是Internet网上的安全服务项目，由专门的网络服务机构提供。 时间戳(Time-stamp)是一个经过加密而形成的凭证文档，由3部分组成： (1) 需要加载时间戳的文件摘要； (2) DTS收到文件的日期和时间； (3) DTS的数字签名。 时间戳的产生过程是这样的：用户首先将需要加时间戳的文件用Hash编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入该文件摘要的收到日期和时间信息后再对该文件加密，即进行数字签名，最后送回用户。 此外，Bellcore创造了DTS的另一种处理方法，过程如下：加密时先将摘要信息归并到二叉树的数据结构，然后再将二叉树的根值发表在报纸上，这样就更能有效地为文件发表时间提供辅助证据。 需要注意的是，书面签署文件的时间是由签署人自己写上的，而数字时间戳则不然，它是由认证服务机构DTS来加的，以DTS收到该文件的时间为依据。因此，时间戳也可以作为各种科技文献的发表证明。 数字凭证 数字凭证(Digital Certificate或Digital ID)又称为数字证书或数字标识，是Internet上使用电子手段证实用户身份和用户访问网络资源权限的一种安全防范手段。网上活动的当事双方如果都出示了各自的数字凭证，并且用它们进行各种操作，那么双方都不必为对方身份的真伪而担心。也就说，数字凭证保证了信息处理参与各方的身份真实性。 数字凭证可广泛应用于电子函件、网上交易、群件、电子基金转移等各种网络信息环境。 数字凭证的内部格式 数字凭证的内部格式是由CCITT X.509国际标准规定的，包含以下6项内容： (1) 凭证拥有者的姓名； (2) 凭证拥有者的公共密钥； (3) 公共密钥的有效期； (4) 颁发数字凭证的单位； (5) 数字凭证的序列号(Serial Number)； (6) 颁发数字凭证单位的数字签名。 数字凭证的一般类型 普通Internet网络的数字凭证主要有以下3种类型： (1) 个人凭证(Personal Digital ID)。这种类型的数字凭证仅仅可以为单个用户提供凭证，以帮助用户在网上证明自己的身份，并从事各种网络活动，如收发E-mail、网上购物等。个人身份的数字凭证通常是安装在客户端的Internet浏览器内，并通过安全的多用途网际邮件扩充协议S/MIME(Secure/Multipurpose Internet Mail Extension protocol)控制操作。 (2) 企业服务器凭证(Server ID)。这是为网上的企业的Web服务器提供凭证的数字凭证类型，拥有Web服务器的企业可以使用具有凭证的Internet网络站点进行各种网络活动。有凭证的Web服务器会自动地将其与客户端通信的信息进行加密。 (3) 软件开发者凭证(Developer ID)。这是为Internet中被下载的软件提供的凭证，主要用于与Microsoft公司Authenticode技术(指"合法化软件")结合的软件，以使用户在下载软件时能够获得需要的信息。 WAP系统中的数字凭证 WAP系统中使用的数字凭证采用了普通Internet网络数字凭证的基本思想。因为WAP实现安全防范的专门协议就是无线传输层安全协议WTLS(Wireless Transport Layer Security)，所以WAP针对WTLS用户提供了两种数字凭证，另外还针对WAP网关制定的数字凭证。 (1) WTLS服务器数字凭证。这是为WAP服务器提供的数字凭证，可以用来验证WTLS服务器到WTLS用户(如手机等手持设备)的通信，同时提供了一个通过密钥加密的客户服务对话机制。WTLS服务器使用的数字凭证和SSL服务器使用的凭证有些类似，不同的地方在于，SSL的数字凭证属于X.509类型，相对来说规模比较大(即数字凭证的电子文件规模)，而WTLS使用的是一个小型化的数字凭证，与X.509型的凭证很像，但更加简单小巧。另外，WTLS服务器的认证是强制性的，而SSL服务器的认证是可选的。 (2) WTLS客户端数字凭证。该数字凭证用于验证一个WTLS用户到服务器的通信和对话。它可以是X.509型的凭证，也可以是小型化的凭证。 WAP系统中也定义了一个基于双密钥技术的加密和解密功能，能使WAP客户端对某一事务处理进行数字签名。但它不能提供权威的凭证，因为它是为那些不需要名誉保证的用户来使用的。 (3) 网关数字凭证。一个无线网关通常就是一个网络服务的提供者，能给无线环境和有线Internet之间提供连接。这种情况下，网关担当的角色就如同是内容的传输者(图12.3)，能够将WAP/WTLS转换成HTTP/SSL，等等。出于安全考虑，WAP服务和网关提供商合作，还推出了针对网关的数字凭证，以便实现网关的安全认证和防范。 微型凭证 WAP服务器、客户端及网关使用的数字凭证，大都属于小型化的凭证，我们称这种凭证为微型凭证(Mini-Certificate)。由于这些凭证需要在无线网络中传输，需要在具有有限资源的无线用户端进行处理，所以它的格式非常重要，采用普通有线网络的数字凭证格式显然不能满足要求，所以针对无线网络的传输特点，以及手机等无线设备的内存小、屏幕小、速度慢的特点，数字凭证的提供商优化了传统的凭证格式，在密钥长度、凭证序列号、数字签名大小以及密钥有效期等方面都作了调整，使得微型凭证既能满足实际需求，又能有效抵挡攻击、破解和伪证等。 认证中心 网络安全防范中，无论是数字时间戳服务(DTS)还是数字凭证(Digital ID)的发放，仅靠参与双方是不能圆满完成的，事实上必须需要有一个具有权威性和公正性的第三方(Third Party)来完成。认证中心CA(Certificatzon Authority)就是承担网络安全认证服务、签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的网络服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理，并依据认证实施条例CPS(Certification Practice Statement)实施服务操作。 主要认证中心 目前在全球处于领导地位的认证中心是美国的VeriSign公司。该公司创建于1995年4月，总部设在美国加州的Mountain View，它是全球软件行业第一家具有商业性质的证书授权机构，提供有顶尖的数字验证产品和认证服务，也是Microsoft等许多世界着名软件公司首选的数字凭证(数字标识、数字证书)提供商。 VeriSign提供的认证服务主要包括：Internet信息服务器(IIS)和SSL的Internet Explorer浏览器的客户(Client)认证(也称"证书")、Outlook Express电子函件系统的S/MIME认证以及允许银行进行128位加密的SGC认证，同时该公司还推出了针对WAP服务和WAP网关的认证服务。其认证服务的网址是http://digitalid.verisign. com/。 1999年初，我国开通了首家安全电子函件认证站点(http://secumail.263.net)。该站点是由263首都在线(http://www.263.net)和上海格尔软件有限公司合作推出的，能为电子函件的安全传输提供切实可靠的保证；同时，该站点的建成，结束了中国网络用户只能去国外站点申请网络身份证的历史。该站点采用当今世界上先进的加密算法，使任何一个获得该站点颁发的数字证书的用户都可以轻松地对自己使用的E-mail信箱进行加密处理，进而保护自己的通信安全。其网络安全认证系统，还通过了国家公安部的信息安全监测，保证了站点的合法性与权威性。 下面我们列出其他一些可以提供数字凭证认证服务的主要机构，供用户参考。这些认证中心均能提供VeriSign的认证服务。 其一，BankGate CA，其网址是http://www.bankgate. com/；其二，BelSign NV-SA，网址是http://www.belsign.be/；其三，GTE CyberTrust Solutions, Incorporated，网址是http://www.cybertrust.gte.com/；其四，KeyWitness Canada，网址是http://www.keywitness. ca/；其五，Thawte Consulting，网址是http://www.thawte.com/；其六，Entrust公司，网址是http://www.entrust.com/，等等。 WAP数字凭证的认证 前面提到，针对WAP安全的数字凭证由于需要在无线网络中传输，需要在具有有限资源的无线用户端进行处理，所以要求使用微型的数字凭证。目前，VeriSign公司为此专门提供了一种WTLS微型凭证来保证WAP服务和网关的安全。这种凭证是VeriSign公司和诸如Motorola、Nokia、Phone.com等WAP服务和网关提供商共同合作的结果，能为WAP/WTLS提供一揽子的认证解决方案。 电子商务应用需要有凭证的撤回功能，以便保证当服务器的凭证安全有危险或者失效时，用户能够得到判别信息，知道自己正在和一个不安全或非法的服务器进行事务处理，进而作出相应的对策和处理。VeriSign公司提供的上述解决方案就能方便地识别出那些数字凭证已经失效的服务器或来路不明的非法服务器，这一点对WAP用户来说绝对是一件可喜的事情。 然而，WAP服务器及网关的数字凭证是基于移动用户设备的应用环境的，就现有的资源和带宽，它不可能像在有线网络中那样，能在本地进行证书失效处理，那么，VeriSign是怎样实现这一点的呢？其实很简单，它为用户提供了一种短期的数字凭证(Short-life Mini-Certificate)服务，来保证凭证的撤消服务。首先，它为网关或者服务器先颁发一个长时间(比如一年)的有效数字凭证，然后在此基础上再发放一个新的短时间(比如24小时)的数字凭证，那么服务器或者网关就可以使用该短时间的数字凭证来与客户建立会话。如果凭证的所有者想撤回服务器或者网关的凭证，则只要简单地停止发放短期凭证就可以了。 除了支持WTLS服务器及网关，VeriSign的短期微型凭证服务也可以用来支持网关所支持的SSL功能和数字签名功能。用户也可以使用微型证书来验证签名的有效性，而无需附加的有效期检测。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
