www安全复习公开课一等奖市优质课赛课获奖课件

网络安全与管理第6章www安全本章学习目标Web服务的安全威胁；WWW服务器的安全漏洞；

如何对Web服务器进行安全配置；WWW客户安全性；

SSL协议原理及使用

安全电子交易-SET原理IPsec网络层安全协议原理6.1WWW安全概述6.1.1WWW服务6.1.2Web服务面临的安全威胁 6.1.2Web服务面临的安全威胁由于HTTP协议允许远程用户对服务器的通信请求，并且允许用户在远程执行命令，这会危及Web服务器和客户端的安全：电子欺骗；篡改；

否认；

信息泄露；

拒绝服务；

特权升级。

6.2WWW的安全问题6.2.1WWW服务器的安全漏洞 6.2.3ASP与Access的安全性6.2.4Java与JavaScript的安全性 6.2.5Cookies的安全性Windows平台主要用IIS做Web服务器，Linux环境主要用Apache。IIS上传攻击技术HTTP对上传到服务器上的数据长度一般没有限制，如果用户指定一个非常大的数值，则导致IIS一直等待接收这些数据，直到传送完成，才会释放所占用的内存资源。

攻击者就是利用这种缺陷，向IIS（Web服务器）发送大量的垃圾数据，导致服务器的内存资源耗尽。6.2.1WWW服务器的安全漏洞6.2.3ASP与Access的安全性CGI通用网关接口之后，ASP（ActiveServerPages)作为一种典型的服务器端网页设计技术，被广泛地应用在网上银行、电子商务、搜索引擎等各种互联网应用中。

ASP＋Access解决方案的主要安全隐患来自：Access数据库容易被下载的存储隐患和其数据库加密机制简单等的安全性问题；其次在于ASP网页设计过程中的安全漏洞。6.2.4Java与JavaScript的安全性 Java是Sun公司设计的一种编程语言，Java程序有两种类型：一种是应用程序Application，它可以单独运行，不必借助浏览器；一种是小应用程序Applet，本身不能单独运行,可以嵌入网页中，借助浏览器运行，实现HTML不具备的一些功能。Javaapplet在浏览器端执行，而不是在服务器端执行，把安全风险直接从服务器移到了客户端。6.2.4Java与JavaScript的安全性 JavaScript是Netscape公司设计额一种语言，增加了HTML的动态能力。安全性问题：

JavaScript可以欺骗用户，将用户的本地硬盘上的文件上载到Internet上的任意主机；

JavaScript能获得用户本地硬盘上的目录列表，这既代表了对隐私的侵犯又代表了安全风险；JavaScript能监视用户某段时间内访问的所有网页，捕捉URL并将它们传到Internet上某台主机中；JavaScript能够触发NetscapeNavigator送出电子邮件信息而不需经过用户允许；嵌入网页的JavaScript代码是公开的，缺乏安全保密功能。6.2.5Cookies的安全性Cookie是Netscape公司开发的一种机制，用来改善HTTP协议的无状态性，许多语言都支持该功能。用户的浏览器在Web节点上的每次访问都留下与用户有关的某些信息，在Internet上产生轻微的痕迹。在这个痕迹上的少量数据中，包含了计算机的名字和IP地址、浏览器的品牌和前面访问的网页的URL。

浏览器都提供一个选项，可以在服务器试图给浏览器一个Cookie时给出警告。如果打开这个警告，就可以选择拒绝Cookie。也可以手工删除所收集的所有Cookie。

Cookies最典型的应用是判定注册用户是否已经登录网站，用户可能会得到提示，是否在下一次进入此网站时保留用户信息以便简化登录手续，这些都是Cookies的功用。另一个重要应用场合是“购物车”之类处理。用户可能会在一段时间内在同一家网站的不同页面中选择不同的商品，这些信息都会写入Cookies，以便在最后付款时提取信息。6.3Web服务器的安全配置6.3.1基本原则6.3.2Web服务器的安全配置方法 6.3.1基本原则IIS的安装

不要将IIS安装在系统分区上，安装分区应该设为NTFS修改IIS的默认安装路径，修改熟悉IIS的人都知道的默认路径。打上Windows和IIS的最新补丁IIS的安全配置

删除不必要的虚拟目录删除危险的IIS组件

为IIS中的文件分类设置权限删除不必要的应用程序映射保护日志安全：修改IIS日志默认存放路径，修改日志访问权限。6.4WWW客户的安全6.4.1防范恶意网页6.4.2隐私侵犯6.4.1防范恶意网页恶意网页，是指在网页中嵌入了用JavaApplet、JavaScript或者ActiveX（和脚本语言功能类似）设计的非法恶意程序。当用户浏览该网页时，这些程序会利用IE的漏洞，进行修改用户的注册表、修改IE默认设置、获取用户的个人资料、删除硬盘文件、格式化硬盘等非法操作。

6.4.1防范恶意网页网页病毒的症状及修复方法注册表被禁用IE主页不能修改IE标题栏被修改IE默认连接首页被修改鼠标右键菜单被添加非法网站广告鼠标右键弹出菜单功能被禁用网页恶意代码的预防

6.4.2隐私侵犯

广泛使用的因特网技术已经引起了许多个人隐私方面的问题，它还会在将来发展的过程中对个人自由的许多方面带来意想不到的问题。网上数据搜集的方法通过用户IP地址进行通过Cookies获得用户个人信息Internet服务提供商收集用户信息使用WWW欺骗网络诈骗邮件等网上数据搜集对个人隐私可能造成的侵害

6.5SSL技术6.5.1SSL概述6.5.2SSL体系结构 6.5.3基于SSL的Web安全访问配置 6.5.1SSL概述SSL(SecureSocketLayer)基本上解决了Web通信协议的安全问题：利用认证技术识别身份：客户机和服务器建立连接时，SSL要求服务器向客户提供数字证书来验证服务器端；利用加密技术保证通道的保密性：采用加密技术交换会话密钥，传输的消息均用该会话密钥加密；利用数字签名技术保证信息传送的完整性：运用单项散列函数保证消息完整性。6.5.2SSL体系结构SSL的结构SSL位于TCP/IP协议栈中传输层和应用层之间，利用TCP协议提供可靠的端到端安全服务。SSL不是一个单独的协议，它又分为两层。

SSL是个分层协议，由两层组成。SSL协议的底层是SSL记录协议（SSLRecordProtocol），用于封装各种高层协议；SSL协议的高层协议—用于密钥交换SSL握手协议（SSLHandshakeProtocol）、改变密钥规格协议（ChangeCipherSpecProtocol）报警协议（AlertProtocol）。SSL协议的结构1、SSL记录协议的工作过程记录层：根据当前会话状态给出的参数，对当前连接中要传输的高层数据实施压缩、计算MAC、加密等操作。长度不超过214字节SSL记录头SSL上层协议中最复杂的协议。用来在客户端和服务器真正传输应用层数据之前建立安全机制。每次握手都存在一个会话和一个连接，连接一定是新的，但回话可能是新的，也可能是已存在的会话。2、SSL握手协议SSL建立新的会话时的握手过程：要求验证服务器时：包含服务器证书不验证服务器时：包含服务器公钥以下通信使用刚协商好的加密算法和密钥。恢复一个已存在会话时的握手过程SSL客户端也可以利用已经建好的SSL会话创建新的SSL连接，简化握手协议：客户A、服务器BM1:AB:ClientHelloM2:BA:ServerHello,ChangeCipherSpec,FinishedM3:AB:ChangeCipherSpec,FinishedM4:AB:ApplicationDataM5:BA:ApplicationData6.6安全电子交易SET6.6.1网上交易的安全需求6.6.2SET概述 6.6.3SET的双重签名机制 6.6.1网上交易的安全需求保证网上支付和订购消息的保密性保证所有数据的完整性持卡人为信用卡账号合法用户的认证商户的身份验证能保护参与电子商务的所有合法实体创建一种不依赖也不阻碍安全传输机制的协议鼓励和促进软件和硬件供应商之间的协作能力6.6.2SET概述

SET（SecureElectronicTransaction）是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范。是一个安全协议和规范的集合，是使用户能够在网络上以一种安全的方式使用信用卡支付的基础设施。它主要可以提供三种服务:在参与交易的各方之间提供安全的通信通道使用X.509v3证书为用户提供一种信任机制保护隐私信息，这些信息只有在必要的时间和地点才可以由当事双方使用1、SET支付系统的组成持卡人（CardHolder）、商家（Merchant）、发卡行（IssuingBank）、收单行（AcquiringBank）、支付网关（PaymentGateway）将Internet传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为Internet传送的数据格式，并对其进行加密。即支付网关主要完成通信、协议转换和数据加解密功能，以保护银行内部网络。认证中心（CertificateAuthority）6.6.3SET的双重签名机制双重签名是SET中引入的一个重要的创新，它可以巧妙地把发送给不同的接收者的两条消息联系起来，而又很好地保护了消费者的隐私。在电子商务交易过程中，消费者想把定货信息发给商家，把支付信息发给银行。商家不需要知道信用卡的详细信息，银行不需要知道订单的详细信息，这两个信息保持独立可以为消费者提供更好的隐私保护。但是这两个信息必须以某种方式联系起来，以在必要的时候用来解决纠纷。1、消费者生成双重签名（双联签名）OI（orderinformation）订货信息PI（paymentinformation）支付信息PIMD=H(PI)OIMD=H(OI)DS=EPRC[H(H(PI)||H(OI))]PRC:消费者的私钥2、商家验证获得：DS、PIMD、OI、从消费者数字证书中获得的公钥PUC计算H(PIMD||H(OI))计算DPUC(DS)比较3、银行验证获得：DS、PI、OIMD、从消费者数字证书中获得的公钥PUC计算H(OIMD||H(PI))计算DPUC(DS)比较SSL和SETSSL是保证因特网上数据传输的安全，提供了加密、认证服务和报文完整性。SET主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份、以及可操作性。6.7IPsec网络层安全协议

IPsec通过使用加密的安全服务以确保在IP网络上进行保密而安全的通讯。网络层保密是指所有在IP数据报中的数据都是加密的。

IPsec是一套安全体系包括：鉴别首部AH(AuthenticationHeader)：AH鉴别源点和检查数据完整性，但不能保密。封装安全有效载荷ESP(EncapsulationSecurityPayload)：ESP比AH复杂得多，它鉴别源点、检查数据完整性和提供保密。另外还有：Internet密钥交换IKE（InternetKeyExchange）和因特网安全关联与密钥管理协议(ISAKMP)。网络层安全协议鉴别首部协议AH首部位置IP数据报首部和传输层协议首部之间，主要包括：2.封装安全有效载荷ESP使用ESP时，IP数据报首部的协议字段置为50。当IP首部检查到协议字段是50时，就知道在IP首部后面紧接着的是ESP首部，同时在原IP数据报后面增加