防火墙及其他-8

应用层的安全性

必须牢记(且须仔细品味): 网络层(传输层)的安全协议允许为主机(进程)之间的数
据通道增加安全属性。本质上 这意味着真正的(或许再加上机密的)数据通道还是
建立在主机(或进程)之间 但却不可能区分在同一通道上传输的一个个具体文件的
安全性要求。比如说 如果一个主机与另一个主机之间建立起一条安全的IP通道
那么所有在这条通道上跑的IP包就都要自动地被加密。同样 如果一个进程和另一
个进程之间通过传输层安全协议建立起了一条安全的数据通道 那么两个进程间传
输的所有消息就都要自动地被加密。

如果确实想要区分一个个具体文件的不同的安全性要求 那就必须借助于应用层的
安全性。提供应用层的安全服务实际上是最灵活的处理单个文件安全性的手段。例
如一个电子邮件系统可能需要对要发出的信件的个别段落实施数据签名。较低层的
协议提供的安全功能一般不会知道任何要发出的信件的段落结构 从而不可能知道
该对哪一部分进行签名。只有应用层是唯一能够提供这种安全服务的层次。

一般说来 在应用层提供安全服务有几种可能的做法 第一个想到的做法大概就是
对每个应用(及应用协议)分别进行修改。一些重要的TCP/IP应用已经这样做了。在
RFC 1421至1424中 IETF规定了私用强化邮件(PEM)来为基于SMTP的电子邮件系统
提供安全服务。由于种种理由 Internet业界采纳PEM的步子还是太慢 一个主要
的原因是PEM依赖于一个既存的、完全可操作的PKI(公钥基础结构)。PEM PKI是按
层次组织的 由下述三个层次构成:

·顶层为Internet安全政策登记机构(IPRA)
·次层为安全政策证书颁发机构(PCA)
·底层为证书颁发机构(CA)

建立一个符合PEM规范的PKI也是一个政治性的过程 因为它需要多方在一个共同点
上达成信任。不幸的是 历史表明 政治性的过程总是需要时间的 作为一个中间
步骤 Phil Zimmermann开发了一个软件包 叫做PGP(pretty Good Privacy)。PGP
符合PEM的绝大多数规范 但不必要求PKI的存在。相反 它采用了分布式的信任模
型 即由每个用户自己决定该信任哪些其他用户。因此 PGP不是去推广一个全局
的PKI 而是让用户自己建立自己的信任之网。这就立刻产生一个问题 就是分布
式的信任模型下 密钥废除了怎么办。

S-HTTP是Web上使用的超文本传输协议(HTTP)的安全增强版本 由企业集成技术公
司设计。S-HTTP提供了文件级的安全机制 因此每个文件都可以被设成私人/签字
状态。用作加密及签名的算法可以由参与通信的收发双方协商。S-HTTP提供了对多
种单向散列(Hash)函数的支持 如: MD2 MD5及SHA; 对多种单钥体制的支持 如:
DES 三元DES RC2 RC4 以及CDMF; 对数字签名体制的支持 如: RSA和DSS。

目前还没有Web安全性的公认标准。这样的标准只能由WWW Consortium IETF或其
他有关的标准化组织来制定。而正式的标准化过程是漫长的 可能要拖上好几年
直到所有的标准化组织都充分认识到Web安全的重要性。S-HTTP和SSL是从不同角度
提供Web的安全性的。S-HTTP对单个文件作“私人/签字”之区分 而SSL则把参与
通信的相应进程之间的数据通道按“私用”和“已认证”进行监管。Terisa公司的
SecureWeb工具软件包可以用来为任何Web应用提供安全功能。该工具软件包提供有
RSA数据安全公司的加密算法库 并提供对SSL和S-HTTP的全面支持。

另一个重要的应用是电子商务 尤其是信用卡交易。为使Internet上的信用卡交易
安全起见 MasterCard公司(同IBM Netscape GTE和Cybercash一道) 制定了安全
电子付费协议(SEPP) Visa国际公司和微软(和其他一些公司一道)制定了安全交易
技术(STT)协议。同时 MasterCard Visa国际和微软已经同意联手推出Internet
上的安全信用卡交易服务。他们发布了相应的安全电子交易(SET)协议 其中规定
了信用卡持卡人用其信用卡通过Internet进行付费的方法。这套机制的后台有一个
证书颁发的基础结构 提供对X.509证书的支持