web安全课件.ppt

文档介绍：第七章第七章 Web Web 安全安全?? SSL 与 TLS ? SET Web Web 安全问题的提出安全问题的提出? Web 应用的简单性使其迅速普及?本质是基于 TCP/IP 的 C/S 应用,无安全性?服务器信息是双向的,可被主动攻击?复杂的软件系统存在隐患:浏览器一般只能理解基本的数据格式如 HTML 、 JPEG 和 GIF 格式。对其它的数据格式,浏览器要通过外部程序来观察。?客户的多样性,缺乏安全意识 Web Web 安全问题的提出安全问题的提出 Web 服务器记录的如下信息,会对用户构成威胁。(1)IP地址。(2)服务器/宿主名字。(3)卸载时间。(4)用户名(可通过用户授权来了解,或在 Unix 中通过标识协议获得)。(5)URL 要求。(6)以用户在会话期间常用的形式及出现的可变数据。(7)要求的状态。(8)数据传输尺寸。 Web Web 安全问题的提出安全问题的提出 Web 服务器可能的安全漏洞: (l)客户可能永远得不到要求的信息, 因为服务器伪造了域名。客户可能无法获得授权访问的信息。(2)服务器可能向另一用户发送信息, 因为伪造了域名。(3)误认闯入者是合法用户,服务器可能允许闯入者访问。 Web Web 安全威胁安全威胁?被动攻击:偷听浏览器和服务器之间的网络通信量,获得对站点受限信息的访问权?主动攻击:假扮另一用户. 修改客户与服务器之间传输的信息,或修改站点的信息 Web Web 安全威胁安全威胁 Web Web 通信安全的实现通信安全的实现?网络层—— IP安全性( IPSec ) ?传输层—— SSL/STL ?应用层—— S/MIME , PGP , PEM , SET , Kerberos ,S- HTTP , SSH ?? SSL 与 TLS ? SET ?1994 年Netscape 开发了 SSL(Secure Socket Layer) 协议,专门用于保护 Web 通讯?版本和历史– ,不成熟– ,基本上解决了 Web 通讯的安全问题 Microsoft 公司发布了 PCT(Private Communication Technology) ,并在 IE 中支持– ,1996 年发布,增加了一些算法,修改了一些缺陷–TLS (Transport Layer Security, 也被称为 SSL ) ,1997 年IETF 发布了 Draft ,同时, Microsoft 宣布放弃 PCT ,与Netscape 一起支持 TLS –1999 年,发布 RFC 2246(The TLS Protocol ) SSL SSL 协议简介协议简介