文档介绍：SSL的安全漏洞及解决方案
· cool007
如果你在互联网上访问某些网站时在浏览器窗口的下方有一个锁的小图标,就表示它表示该网页被SSL保护着。但用SSL防护的网站真的能够防范黑客吗?现在国内有很多人对SSL存在这么一个认识误区:SSL很安全,受到SSL防护网页服务器的资料就一定是万无一失的,这也导致这样一个局面,只要有着SSL防护的网站服务器很少接受审查以及监测。其实不然,对于安全要求不甚高的交易或认证,SSL还是一个相当不错的安全机制,然而若应用在特殊要求方面,它还存在有这样那样的问题。在下面的文中我将为大家简单介绍SSL存在的安全漏洞及解决方案,希望本文对你有所帮助。
一、认识SSL
一般人认为SSL是保护主机或者只是一个应用程序,这是一个误解,SSL不是设计用来保护操作系统的。SSL是Secure Sockets Layer通讯协议的简称,它是被设计用来保护传输中的资料,它的任务是把在网页以及服务器之间的数据传输加密起来。这个加密(encryption)的措施能够防止资料窃取者直接看到传输中的资料,像是密码或者信用卡号码等等。在这里谈到SSL,你就必须了解数字证书(Digital Certificates)的概念。
数字证书是一种能在完全开放系统中准确标识某些主体的机制。一个数字证书包含的信息必须能鉴定用户身份,确保用户就是其所持有证书中声明的用户。除了唯一的标识信息外,数字证书还包含了证书所有者的公共密钥。数字证书的使用允许SSL提供认证功能--保证用户所请求连接的服务器身份正确无误。在信用卡号或PIN号码等机密信息被发送出去前让用户确切知道通讯的另一端的身份是毫无疑问的重要的。很明显的,SSL技术提供了有效的认证。然而大多数用户并未能正确意识到通过SSL进行安全连接的必需性。除非越来越多的用户了解SSL和安全站点的基本知识,否则SSL仍不足以成为保护用户网络连接的必需技术。除非用户能够充分意识到访问站点时应该注意安全连接标识,否则现有的安全技术仍不能称为真正有效。
目前几乎所有处理具有敏感度的资料,财务资料或者要求身分认证的网站都会使用SSL加密技术(当你看到https在你的网页浏览器上的URL出现时,你就是正在使用具有SSL保护的网页服务器。)。在这里我把SSL比喻成是一种在浏览器跟网络服务器之间“受密码保护的导管”(cryptographic pipe),也就是我们常说的安全通道。这个安全通道把使用者以及网站之间往返的资料加密起来。但是SSL并不会消除或者减弱网站所将受到的威胁性。在SSL这个安全通道的背后,一般没有受到SSL防护的网站一样具备了相同的网页服务器程序,同样的网页应用程序,CGI的script以及后端数据库。目前普遍存在这么一个错误的认识:很多系统管理者却认为,受到SSL防护的网页服务器自动就变得安全了。其实不然,事实上,受到SSL防护的网页服务器同样还是会受到与一般其它网站服务器遭受攻击的威胁,受到SSL防护的网页服务器不一定是万无一失的。
二、SSL的安全漏洞
虽然一个网站可能使用了SSL安全技术,但这并不是说在该网站中正在输入和以后输入的数据也是安全的。所有人都应该意识到SSL提供的仅仅是电子商务整体安全中的一小部份解决方案。SSL在网站上的使用可能会造成管理员对其站点安全性的某些错