MAS短信認(rèn)證功能的研究與應(yīng)用

1、成 果 報 告 成果名稱 mas短信認(rèn)證功能的研究與應(yīng)用 完成單位 中國移動通信集團(tuán)上海有限公司 集團(tuán)客戶部 中國移動通信集團(tuán)上海有限公司摘 要在現(xiàn)在的大型應(yīng)用系統(tǒng)中，隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全問題也越來越突出。順應(yīng)這一趨勢，涌現(xiàn)出了許多的網(wǎng)絡(luò)安全技術(shù)，如網(wǎng)絡(luò)防火墻、病毒檢測、密碼技術(shù)、身份認(rèn)證等。但是，即使如此，還是有很多用戶的信息及應(yīng)用系統(tǒng)服務(wù)器傳輸?shù)男畔⒈唤厝『偷奖I用。手機(jī)短信經(jīng)過了長時間的發(fā)展，已經(jīng)到了一個非常成熟的階段。作為一種非常重要的溝通方式，被廣大用戶所接受和廣泛使用。而且也被越來越多的企業(yè)所重視及應(yīng)用。本文介紹是的基于手機(jī)短信作為傳輸媒介來發(fā)送應(yīng)用系統(tǒng)的登陸驗證碼，為應(yīng)

2、用系統(tǒng)和用戶提供方便靈活的、即時安全的驗證交流。關(guān)鍵詞： 短信、認(rèn)證碼、應(yīng)用系統(tǒng)目 錄摘 要1目 錄21.引 言11.1.研究背景11.1.1.手機(jī)短信發(fā)展介紹11.1.2.互聯(lián)網(wǎng)發(fā)展問題21.2.研究的目的及意義21.2.1.研究目的21.2.2.研究的意義31.3.本章小結(jié)32.系統(tǒng)分析52.1.系統(tǒng)目標(biāo)52.2.可行性分析52.3.課題研究方法52.4.需求分析62.5.本章小結(jié)73.系統(tǒng)流程論述83.1.通道認(rèn)證方式83.1.1.認(rèn)證技術(shù)93.1.2.認(rèn)證方式153.2.加密算法及流程163.2.1.加密算法的論述173.2.2.加密方式253.2.3.參數(shù)選擇263.2.4.加密流程

3、273.2.5.反向認(rèn)證283.3.本章小結(jié)294.系統(tǒng)協(xié)議及接口設(shè)計304.1.接口的選擇304.2.協(xié)議的分類314.3.協(xié)議承載方式324.4.iamdm-ss協(xié)議344.5.iamdm-sc協(xié)議364.5.1.軟件管理協(xié)議設(shè)計374.5.2.配置管理協(xié)議設(shè)計394.6.iamdm-cc協(xié)議404.6.1.應(yīng)用控制協(xié)議設(shè)計404.6.2.應(yīng)用數(shù)據(jù)獲取協(xié)議設(shè)計414.7.本章小結(jié)425.身份認(rèn)證的應(yīng)用435.1.應(yīng)用前景和發(fā)展方向435.2.身份認(rèn)證的應(yīng)用簡述445.3.本章小結(jié)496.結(jié) 論501. 引 言1.1. 研究背景1.1.1. 手機(jī)短信發(fā)展介紹自從2000年我國正式開通推廣短信

4、服務(wù)以來，手機(jī)短信在近幾年取得了長足發(fā)展，用戶數(shù)量也直線上升。隨著3g手機(jī)的出現(xiàn)和移動互聯(lián)技術(shù)的成熟，手機(jī)對媒體的滲透日益深入，已成為一個重要媒介，“拇指經(jīng)濟(jì)”已深入人心。手機(jī)短信體現(xiàn)了幾點特征： (1)定位受眾準(zhǔn)確 可發(fā)送一對一的個人化信息。除了某些直接郵寄的廣告，傳統(tǒng)的媒體都是把完全相同的廣告信息傳遞給所有人。但是通過短信，我們可以向不同的人傳送不同的信息，使發(fā)送內(nèi)容更具說服力、吸引力。 (2)到達(dá)率高 手機(jī)已經(jīng)成為億萬人每日接觸次數(shù)最多的物品，無論何時何地用戶都可以查看到通過手機(jī)傳遞給他(她)，以便幫企業(yè)實施本地化推廣。 (3)時效性長 用戶總是和手機(jī)綁定在一起，許多用戶很少更換手機(jī)，那

5、么在手機(jī)上內(nèi)嵌的一些內(nèi)容可以被這些用戶長期反復(fù)蒯讀到。 (4)可信度高 手機(jī)可以說足一種“親媒體”，作為一種隨身攜帶的終端，用戶總是一個人獨立使用用戶對手機(jī)上的內(nèi)容總是會產(chǎn)生一種“親近”的可以信賴的感覺，似乎這些內(nèi)容是專為某個用戶定制的。 (5)傳播速度快。當(dāng)手機(jī)成為媒體時，信息傳播速度之快就像計算機(jī)病毒蔓延一般。雖然手機(jī)短信具有以上優(yōu)勢，但其在媒介應(yīng)用領(lǐng)域的發(fā)展仍處于初始階段。1.1.2. 互聯(lián)網(wǎng)發(fā)展問題在21世紀(jì)這個日新月異的發(fā)展時代，信息的傳播非常重要?？梢哉f人們每天都離不開信息的傳播和溝通。互聯(lián)網(wǎng)的產(chǎn)生使得信息的傳播發(fā)生了翻天覆地的變化，也給人們的生活和工作帶來很大的改變，很難設(shè)想離開

6、了互聯(lián)網(wǎng)，我們的生活會變得怎樣。雖然互聯(lián)網(wǎng)的應(yīng)用也就是十來年的時間，但它已經(jīng)與我們的生活方式、學(xué)習(xí)方式、工作方式乃至于思維方式都緊密地融合在一起了。但在以互聯(lián)網(wǎng)為代表的信息社會里，信息要有效到達(dá)個人變得越來越困難。然而手機(jī)短信具有其他媒體所沒有的優(yōu)勢，如即時性、定向傳播、互動性等，這些特征決定了手機(jī)短信具有傳統(tǒng)媒體無法比擬的傳播效果。手機(jī)短信是一種半強制性的通訊媒體，手機(jī)短信直達(dá)個人，幾乎可保證100%的閱讀率。同時，手機(jī)具有其他媒體所沒有的優(yōu)勢，它可無線移動，隨身攜帶，還有一個遍布全球運行穩(wěn)定的gprs網(wǎng)絡(luò)，保證了它更大程度上的自由。手機(jī)短信用戶無論身處何地，何種狀態(tài)都可以接收短信，關(guān)機(jī)也不

7、會遺失信息，從而最大限度地擺脫了物質(zhì)媒介工具可能對傳播活動帶來的限制。把手機(jī)短信和互聯(lián)網(wǎng)進(jìn)行有效應(yīng)用及結(jié)合，這樣使得消息的傳播和通訊更加的迅速、更加方便。既有廣度、又能直達(dá)用戶。1.2. 研究的目的及意義1.2.1. 研究目的基于以上分析，本文的研究目標(biāo)是使手機(jī)短信和應(yīng)用系統(tǒng)業(yè)務(wù)聯(lián)系起來。通過短信通訊方式，來發(fā)送web應(yīng)用系統(tǒng)用戶登陸驗證碼。使得短信通訊能夠更好的應(yīng)用于互聯(lián)網(wǎng)。在本課題中我們主要研究本系統(tǒng)平臺與web應(yīng)用系統(tǒng)之間如何更好的進(jìn)行相互的認(rèn)證及接口通訊；如何把通道和接口設(shè)計得更加的便于擴(kuò)展，做到跨平臺、易移植。使易用性和便利性能夠很好的展現(xiàn)。重點研究驗證碼和傳輸數(shù)據(jù)的加密及解密方式及

8、通道認(rèn)證流程，使得傳輸?shù)男畔⒏影踩?、可靠?.2.2. 研究的意義本課題通過對手機(jī)短信和應(yīng)用系統(tǒng)業(yè)務(wù)的結(jié)合研究及開發(fā)，通過 (1)對數(shù)據(jù)加密算法的研究，使得用戶的信息數(shù)據(jù)得到了即時的、可靠的傳輸，即保證用戶的利益又維護(hù)了應(yīng)用系統(tǒng)的安全性。(2) 對于短信通道和應(yīng)用系統(tǒng)通道接口的研究，方便多種的業(yè)務(wù)的擴(kuò)展，也保證應(yīng)用系統(tǒng)資源可以利用短信優(yōu)勢得以更好的推廣。(3)短信業(yè)務(wù)和互聯(lián)網(wǎng)的緊密融合，表明了通信信息和網(wǎng)絡(luò)資源的有效結(jié)合。使得短信業(yè)務(wù)不單單應(yīng)用于個人和企業(yè)，而是達(dá)到了一個新的領(lǐng)域，向著更加廣闊的空間邁進(jìn)。綜上所述，通過研究和開發(fā)本系統(tǒng)，催化了“軟件十通信行業(yè)+互聯(lián)網(wǎng)”的緊密結(jié)合，同時也對這個

9、新的產(chǎn)業(yè)鏈條如何走向良性循環(huán)，給出了一個很好的定義。1.3. 本章小結(jié)本章節(jié)首先介紹手機(jī)短信的發(fā)展和互聯(lián)網(wǎng)信息交互面臨的問題，闡明了本次研究的背景，并由此引出本論文的研究背景和研究目標(biāo)。如何結(jié)合短信方式和手機(jī)的特性尋找應(yīng)用系統(tǒng)信息認(rèn)證的方法。2. 系統(tǒng)分析2.1. 系統(tǒng)目標(biāo)基于短信的應(yīng)用系統(tǒng)驗證碼系統(tǒng)的終極目標(biāo)是根據(jù)web應(yīng)用系統(tǒng)提供的業(yè)務(wù)類型及用戶信息來生成隨機(jī)的驗證碼，通過數(shù)據(jù)的加密手段及通道接口把數(shù)據(jù)準(zhǔn)確地、安全的傳達(dá)給對應(yīng)應(yīng)用系統(tǒng)，并把驗證碼通過手機(jī)短信發(fā)送用戶，方便用戶登陸web的應(yīng)用系統(tǒng)系統(tǒng)，瀏覽網(wǎng)絡(luò)資源。2.2. 可行性分析1)業(yè)務(wù)可行性：本課題是基于短信的web應(yīng)用而產(chǎn)生的，短

10、信雖然已經(jīng)很普及，但是對于web的應(yīng)用領(lǐng)域還很缺乏，應(yīng)該說還在初級階段，所以具有很好推廣性和應(yīng)用環(huán)境，應(yīng)用場景十分廣闊。2) 技術(shù)可行性：在這個互聯(lián)網(wǎng)和信息飛速的時代，it技術(shù)也快速增長著，對于數(shù)據(jù)通信和信息交互已經(jīng)應(yīng)用的非常廣泛。所以對實現(xiàn)課題的設(shè)計研究提供了參考及使用。3) 目標(biāo)可行性：積極推廣集團(tuán)客戶使用此系統(tǒng)，此課題的研究及實施，更好的推廣了集團(tuán)客戶的使用。2.3. 課題研究方法1)調(diào)查研究：首先進(jìn)行調(diào)查此課題的應(yīng)用場景和應(yīng)用的環(huán)境，不用的web應(yīng)用系統(tǒng)有不用應(yīng)用場景。對于類似的場景和環(huán)境的應(yīng)用都?xì)w于同一類。2)個案研究：對于不同的應(yīng)用進(jìn)行個案研究，區(qū)分出它們共有的特點和不同之處，針對

11、不同之處進(jìn)行區(qū)別對待。3)實驗研究：參考目前流行的趨勢及以往應(yīng)用的經(jīng)驗，進(jìn)行整體的設(shè)計，可以采用多種方案來進(jìn)行測試，分析每種方案的優(yōu)劣勢，并選擇最為合適的方案。4)行動研究：對選出的最為合適的方案進(jìn)行深入研究和分析。并進(jìn)行具體的行動實施，最后實現(xiàn)為最終的項目成果。2.4. 需求分析本課題根據(jù)網(wǎng)絡(luò)需求、用戶需求、短信通信需求三個角度來確定，通過短信服務(wù)與web應(yīng)用系統(tǒng)相結(jié)合來實現(xiàn)發(fā)送驗證碼業(yè)務(wù)，使得短信服務(wù)和web互聯(lián)網(wǎng)有效的結(jié)合，滿足了企業(yè)的需求，提高企業(yè)應(yīng)用的效率。 1）web應(yīng)用系統(tǒng)為了自身的安全需要用戶注冊和登陸時采用不同的驗證碼登陸，而且需要保證驗證碼的時效性。并且需要把數(shù)據(jù)以點對點的

12、方式傳達(dá)給使用的用戶。并保證數(shù)據(jù)的可靠和安全。2）用戶需要的只是針對于自己的數(shù)據(jù)，并且只是需要自己知道，不會泄露數(shù)據(jù)，而且用戶更加需要的是驗證碼獲取的即時性和易用性，使自己更快更方便的使用網(wǎng)絡(luò)資源。3）手機(jī)短信和wab應(yīng)用系統(tǒng)之間進(jìn)行數(shù)據(jù)傳輸時，如何保證數(shù)據(jù)傳輸?shù)谋Ｃ苄?，網(wǎng)絡(luò)傳輸?shù)某晒β?，接口業(yè)務(wù)的擴(kuò)展性。 功能流程圖12.5. 本章小結(jié)本章首先簡述了系統(tǒng)主要的目標(biāo)是用個性化信息來生成驗證碼，然后對系統(tǒng)的三大可行性進(jìn)行了分析并確認(rèn)了課題的研究方法。最后，對系統(tǒng)的具體需求進(jìn)行了闡述，表明了系統(tǒng)主要實現(xiàn)的功能。3. 系統(tǒng)流程論述系統(tǒng)和web應(yīng)用系統(tǒng)進(jìn)行數(shù)據(jù)信息傳輸和交互，那么需要保證網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)

13、安全，即網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全應(yīng)具有以下五個方面的特征： 1) 保密性：信息不泄露給非授權(quán)用戶、實體或過程，或供其利用的特性。 2) 完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性。即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性。 3) 可用性：可被授權(quán)實體訪問并按需求使用的特性。即當(dāng)需要時能否存取所需的信息。例如網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運行等都屬于對可用性的攻擊； 4) 可控性：對信息的傳播及內(nèi)容具有控制能力。 5) 可審查性：出現(xiàn)的安全問題時提供依據(jù)與手段。下面我們重點研究本系統(tǒng)和web應(yīng)用系統(tǒng)的通道之間的認(rèn)證方式、驗證碼的加密算法和加密方式。3.1. 通道認(rèn)證方式服務(wù)平

14、臺要和web應(yīng)用系統(tǒng)進(jìn)行信息傳輸和數(shù)據(jù)交互，需要定制公共約定的接口，建立傳輸?shù)耐ǖ?。為了保障在internet上數(shù)據(jù)傳輸?shù)陌踩枰p方進(jìn)行身份認(rèn)證。 3.1.1. 認(rèn)證技術(shù)l 靜態(tài)口令認(rèn)證傳統(tǒng)的認(rèn)證技術(shù)主要采用基于口令的認(rèn)證方法。當(dāng)被認(rèn)證對象要求訪問提供服務(wù)的系統(tǒng)時，提供服務(wù)的認(rèn)證方要求被認(rèn)證對象提交該對象的口令，認(rèn)證方收到口令后，將其與系統(tǒng)中存儲的用戶口令進(jìn)行比較，以確認(rèn)被認(rèn)證對象是否為合法訪問者。這種認(rèn)證方法的優(yōu)點在于簡單實用。然而，基于口令的認(rèn)證方法存在下面幾點不足：(1)用戶每次訪問系統(tǒng)時都要以明文方式輸入口令，這時很容易泄密。(2)口令在傳輸過程中可能被截獲。(3)系統(tǒng)中所有用戶的

15、口令以文件形式存儲在認(rèn)證方，攻擊者可以利用系統(tǒng)中存在的漏洞獲取系統(tǒng)的口令文件。(4)用戶在訪問多個不同安全級別的系統(tǒng)時，都要求用戶提供口令，用戶為了記憶的方便，往往采用相同的口令。而低安全級別系統(tǒng)的口令更容易被攻擊者獲得，從而用來對高安全級別系統(tǒng)進(jìn)行攻擊。(5)只能進(jìn)行單向認(rèn)證，即系統(tǒng)可以認(rèn)證用戶，而用戶無法對系統(tǒng)進(jìn)行認(rèn)證。攻擊者可能偽裝成系統(tǒng)騙取用戶的口令。 l 用戶名/密碼方式 用戶名/密碼是最簡單也是最常用的身份認(rèn)證方法，它是基于“what you know”的驗證手段。每個用戶的密碼是由這個用戶自己設(shè)定的，只有他自己才知道，因此只要能夠正確輸入密碼，計算機(jī)就認(rèn)為他就是這個用戶。 然而實

16、際上，由于許多用戶為了防止忘記密碼，經(jīng)常會采用容易被他人猜到的有意義的字符串作為密碼，這存在著許多安全隱患，極易造成密碼泄露。即使能保證用戶密碼不被泄漏，由于密碼是靜態(tài)的數(shù)據(jù)，并且在驗證過程中，需要在計算機(jī)內(nèi)存中和網(wǎng)絡(luò)中傳輸，而每次驗證過程使用的驗證信息都是相同的，很容易被駐留在計算機(jī)內(nèi)存中的木馬程序或網(wǎng)絡(luò)中的監(jiān)聽設(shè)備截獲。因此用戶名/密碼方式是一種極不安全的身份認(rèn)證方式。 l ic卡認(rèn)證 ic卡是一種內(nèi)置了集成電路的卡片，卡片中存有與用戶身份相關(guān)的數(shù)據(jù)，可以認(rèn)為是不可復(fù)制的硬件。ic卡由合法用戶隨身攜帶，登錄時必須將ic卡插入專用的讀卡器中讀取其中的信息，以驗證用戶的身份。ic卡認(rèn)證是基于“

17、what you have”的手段，通過ic卡硬件的不可復(fù)制性來保證用戶身份不會被仿冒。 然而由于每次從ic卡中讀取的數(shù)據(jù)還是靜態(tài)的，通過內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易能截取到用戶的身份驗證信息。因此，靜態(tài)驗證的方式還是存在著根本的安全隱患。 l 動態(tài)口令 動態(tài)口令技術(shù)是一種讓用戶的密碼按照時間或使用次數(shù)不斷動態(tài)變化，每個密碼只使用一次的技術(shù)。它采用一種稱之為動態(tài)令牌的專用硬件，密碼生成芯片運行專門的密碼算法，根據(jù)當(dāng)前時間或使用次數(shù)生成當(dāng)前密碼。用戶使用時只需要將動態(tài)令牌上顯示的當(dāng)前密碼輸入客戶端計算機(jī)，即可實現(xiàn)身份的確認(rèn)。 由于每次使用的密碼必須由動態(tài)令牌來產(chǎn)生，只有合法用戶才持有該硬件

18、，所以只要密碼驗證通過就可以認(rèn)為該用戶的身份是可靠的。而動態(tài)口令技術(shù)采用一次一密的方法，也有效地保證了用戶身份的安全性。但是如果客戶端硬件與服務(wù)器端程序的時間或次數(shù)不能保持良好的同步，就可能發(fā)生合法用戶無法登錄的問題，這使得用戶的使用非常不方便。 l 生物特征認(rèn)證 生物特征認(rèn)證是指采用每個人獨一無二的生物特征來驗證用戶身份的技術(shù)，常見的有指紋識別、虹膜識別等。從理論上說，生物特征認(rèn)證是最可靠的身份認(rèn)證方式，因為它直接使用人的物理特征來表示每一個人的數(shù)字身份，幾乎不可能被仿冒。 不過，生物特征認(rèn)證是基于生物特征識別技術(shù)的，受到現(xiàn)在的生物特征識別技術(shù)成熟度的影響，采用生物特征認(rèn)證還具有較大的局限性

19、：首先，生物特征識別的準(zhǔn)確性和穩(wěn)定性還有待提高；其次，由于研發(fā)投入較大而產(chǎn)量較小的原因，生物特征認(rèn)證系統(tǒng)的成本非常高。 l usb key認(rèn)證 基于usb key的身份認(rèn)證方式是一種方便、安全、經(jīng)濟(jì)的身份認(rèn)證技術(shù)，它采用軟硬件相結(jié)合、一次一密的強雙因子認(rèn)證模式，很好地解決了安全性與易用性之間的矛盾。 usb key是一種usb接口的硬件設(shè)備，它內(nèi)置單片機(jī)或智能卡芯片，可以存儲用戶的密鑰或數(shù)字證書，利用usb key內(nèi)置的密碼學(xué)算法實現(xiàn)對用戶身份的認(rèn)證?；趗sb key身份認(rèn)證系統(tǒng)主要有兩種應(yīng)用模式：一是基于沖擊/響應(yīng)的認(rèn)證模式；二是基于pki體系的認(rèn)證模式。l 數(shù)字證書數(shù)字證書是一個經(jīng)證書授

20、權(quán)中心(也叫認(rèn)證中心，簡稱ca)數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。最簡單的證書包含一個公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。一般情況下證書中還包括密鑰的有效時間，發(fā)證機(jī)關(guān)(證書授權(quán)中心)的名稱，該證書的序列號等信息，證書的格式遵循itux.509國際標(biāo)準(zhǔn)6。當(dāng)用戶向某一服務(wù)器提出訪問請求時，服務(wù)器要求用戶提交數(shù)字證書。收到用戶的證書后，服務(wù)器利用ca的公開密鑰對ca的簽名進(jìn)行解密，獲得信息的散列碼。然后服務(wù)器用與ca相同的散列算法對證書的信息部分進(jìn)行處理，得到一個散列碼，將此散列碼與對簽名解密所得到的散列碼進(jìn)行比較，若相等則表明此證書確實是ca簽發(fā)的，而且是完整的未被篡改

21、的證書。這樣，用戶便通過了身份認(rèn)證。服務(wù)器從證書的信息部分取出用戶的公鑰，以后向用戶傳送數(shù)據(jù)時，便以此公鑰加密，對該信息只有用戶可以進(jìn)行解密。數(shù)字證書是一個經(jīng)證書授權(quán)中心(也叫認(rèn)證中心，簡稱ca)數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件。最簡單的證書包含一個公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。一般情況下證書中還包括密鑰的有效時間，發(fā)證機(jī)關(guān)(證書授權(quán)中心)的名稱，該證書的序列號等信息，證書的格式遵循itux.509國際標(biāo)準(zhǔn)6。當(dāng)用戶向某一服務(wù)器提出訪問請求時，服務(wù)器要求用戶提交數(shù)字證書。收到用戶的證書后，服務(wù)器利用ca的公開密鑰對ca的簽名進(jìn)行解密，獲得信息的散列碼。然后服務(wù)器用

22、與ca相同的散列算法對證書的信息部分進(jìn)行處理，得到一個散列碼，將此散列碼與對簽名解密所得到的散列碼進(jìn)行比較，若相等則表明此證書確實是ca簽發(fā)的，而且是完整的未被篡改的證書。這樣，用戶便通過了身份認(rèn)證。服務(wù)器從證書的信息部分取出用戶的公鑰，以后向用戶傳送數(shù)據(jù)時，便以此公鑰加密，對該信息只有用戶可以進(jìn)行解密?；趚.509證書的認(rèn)證技術(shù)適用于開放式網(wǎng)絡(luò)環(huán)境下的身份認(rèn)證，該技術(shù)己被廣泛接受，許多網(wǎng)絡(luò)安全程序都可以使用x.509證書(如：ipsec， ssl， set等)。 由于這種認(rèn)證技術(shù)中采用了非對稱密碼體制，ca和用戶的私鑰都不會在網(wǎng)絡(luò)上傳輸，避免了基于口令的認(rèn)證中傳輸口令所帶來的問題。攻擊者即

23、使截獲了用戶的證書，但由于無法獲得用戶的私鑰，也就無法解讀服務(wù)器傳給用戶的信息。 基于x.509證書的認(rèn)證實際上是將人與人之間的信任轉(zhuǎn)化為個人對組織機(jī)構(gòu)的信任，因此這種認(rèn)證系統(tǒng)需要有ca的支持。ca在確信用戶的身份后才為用戶簽發(fā)證書，而ca對用戶身份的確認(rèn)則遵循ca自己定義的稱為cps(certification practice statement)的規(guī)則，ca通過這些規(guī)則來判定用戶是否存在和有效。證書將用戶的唯一名稱與用戶的公鑰關(guān)聯(lián)起來。但這種關(guān)聯(lián)是否合法，卻不屬于x.509所涉及的范疇。x.509規(guī)定：凡是與語義或信任相關(guān)的所有問題都依賴于ca的證書常規(guī)聲明cps，即關(guān)聯(lián)的合法性取決于c

24、a自己定義的cps規(guī)則。顯然，這種做法會導(dǎo)致各個ca對用戶的確認(rèn)方法和確認(rèn)的嚴(yán)格程度上的差異。因此，建立全球性的統(tǒng)一的認(rèn)證體系以及相關(guān)的規(guī)范就顯得非常必要。l ssl協(xié)議 ssl（secure socket layer）即安全套接層協(xié)議,指使用公鑰和私鑰技術(shù)組合的安全網(wǎng)絡(luò)通訊協(xié)議。ssl協(xié)議是網(wǎng)景公司(netscape)推出的在網(wǎng)絡(luò)傳輸層之上提供的一種用基于瀏覽器和web服務(wù)器之間的安全連接技術(shù)。 ssl協(xié)議采用數(shù)字證書及數(shù)字簽名進(jìn)行雙端實體認(rèn)證,用非對稱加密算法進(jìn)行密鑰協(xié)商,用對稱加密算法將數(shù)據(jù)加密后進(jìn)行傳輸以保證數(shù)據(jù)的保密性,并且通過計算數(shù)字摘要來驗證數(shù)據(jù)在傳輸過程中是否被篡改和偽造,從而

25、為敏感數(shù)據(jù)在internet上的傳輸提供了一種安全保障手段。 身份認(rèn)證是指計算機(jī)及網(wǎng)絡(luò)系統(tǒng)確認(rèn)操作者身份的過程。訪問控制是指控制訪問服務(wù)器的用戶以及訪問者所訪問的內(nèi)容，限制訪問者對重要資源的訪問。基于ssl協(xié)議的身份認(rèn)證和訪問控制的實現(xiàn)原理將根據(jù)系統(tǒng)的架構(gòu)不同而有所不同。對于b/s架構(gòu)，將采用利用web服務(wù)器對ssl技術(shù)的支持，可以實現(xiàn)系統(tǒng)的身份認(rèn)證和訪問控制安全需求。而對于c/s架構(gòu)，將采用簽名及簽名驗證的方式，來實現(xiàn)系統(tǒng)的身份認(rèn)證和訪問控制需求。 基于b/s架構(gòu)的ssl身份認(rèn)證和訪問控制是利用數(shù)字證書來實現(xiàn)的。目前，ssl技術(shù)已被大部份的web server及browser廣泛支持和使用。

26、采用ssl技術(shù)，在用戶使用瀏覽器訪問web服務(wù)器時，會在客戶端和服務(wù)器之間建立安全的ssl通道。在ssl會話產(chǎn)生時：首先，服務(wù)器會傳送它的服務(wù)器證書，客戶端會自動的分析服務(wù)器證書，來驗證服務(wù)器的身份。其次，服務(wù)器會要求用戶出示客戶端證書（即用戶證書），服務(wù)器完成客戶端證書的驗證，來對用戶進(jìn)行身份認(rèn)證。對客戶端證書的驗證包括驗證客戶端證書是否由服務(wù)器信任的證書頒發(fā)機(jī)構(gòu)頒發(fā)、客戶端證書是否在有效期內(nèi)、客戶端證書是否有效（即是否被篡改等）和客戶端證書是否被吊銷等。驗證通過后，服務(wù)器會解析客戶端證書，獲取用戶信息，并根據(jù)用戶信息查詢訪問控制列表來決定是否授權(quán)訪問。要利用ssl技術(shù)，在web服務(wù)器上必需

27、安裝一個web服務(wù)器證書，用來表明服務(wù)器的身份，并對web服務(wù)器的安全性進(jìn)行設(shè)置。服務(wù)器證書由ca認(rèn)證中心頒發(fā)，在服務(wù)器證書內(nèi)表示了服務(wù)器的域名等證明服務(wù)器身份的信息、web服務(wù)器端的公鑰以及ca對證書相關(guān)域內(nèi)容的數(shù)字簽名。服務(wù)器證書都有一個有效期，web服務(wù)器需要使用ssl功能的前提是必須擁有服務(wù)器證書，利用服務(wù)器證書來協(xié)商、建立安全ssl安全通道。 這樣，用戶使用瀏覽器訪問web服務(wù)器，發(fā)出ssl握手時，web服務(wù)器將配置的服務(wù)器證書返回給客戶端，通過驗證服務(wù)器證書來驗證他所訪問的應(yīng)用系統(tǒng)是否真實可靠。 3.1.2. 認(rèn)證方式認(rèn)證方式可以采用交互式認(rèn)證和網(wǎng)絡(luò)身份認(rèn)證。成功的用戶身份認(rèn)證取決

28、于這兩個過程。1. 交互式認(rèn)證交互式認(rèn)證過程向域賬戶或本地計算機(jī)確認(rèn)用戶的身份。這一過程根據(jù)用戶賬戶的類型而不同。 使用域賬戶：用戶可以通過存儲在active directory目錄服務(wù)中的單一注冊憑據(jù)使用密碼或智能卡登錄到網(wǎng)絡(luò)。如果使用域賬戶登錄，被授權(quán)的用戶可以訪問該域及任何信任域中的資源；如果使用密碼登錄到域賬戶，將使用kerberos v5進(jìn)行身份認(rèn)證；如果使用智能卡，則將結(jié)合使用kerberos v5身份認(rèn)證和證書。使用本地計算機(jī)賬戶：用戶可以通過存儲在安全賬戶管理器（本地安全賬戶數(shù)據(jù)庫，sam）中的憑據(jù)登錄到本地計算機(jī)。任何工作站或成員服務(wù)器均可以存儲本地用戶賬戶，但這些賬戶只能用

29、于訪問該本地計算機(jī)。2. 網(wǎng)絡(luò)身份認(rèn)證網(wǎng)絡(luò)身份認(rèn)證向用戶嘗試訪問的任何網(wǎng)絡(luò)服務(wù)確認(rèn)用戶的身份證明。為了提供這種類型的身份認(rèn)證，安全系統(tǒng)支持多種不同的身份認(rèn)證機(jī)制，包括kerberos v5、安全套接字層/傳輸層安全性 （ssl/tls），以及為了與 windows nt 4.0兼容而提供的ntlm。 網(wǎng)絡(luò)身份認(rèn)證對于使用域賬戶的用戶來說不可見。使用本地計算機(jī)賬戶的用戶每次訪問網(wǎng)絡(luò)資源時，必須提供憑據(jù)（如用戶名和密碼），而使用域賬戶，則用戶就具有了可用于單一登錄的憑據(jù)。3.2. 加密算法及流程加密和解密技術(shù)是本課題的重中之重，我們這里會重點研究通道和驗證碼的加密和解密技術(shù)以及加密的流程。3.2.

30、1. 加密算法的論述為了保證傳輸數(shù)據(jù)的安全性，除了對通道的身份認(rèn)證以外，還需要對傳輸?shù)脑紨?shù)據(jù)信息進(jìn)行加密。下面我們重點對傳輸數(shù)據(jù)的加密算法和url通道地址可信的加密方式進(jìn)行論述。主要討論加密的方式、加密算法以及加密技術(shù)。對于數(shù)據(jù)的安全保密所采用的方式,是利用技術(shù)手段把重要的數(shù)據(jù)變?yōu)閬y碼加密再傳送，到達(dá)目的地后再用相同或不同的手段還原解密。加密就是將文字轉(zhuǎn)換成不能直接閱讀的形式（即密文）的過程。解密就是將密文轉(zhuǎn)換成能夠直接閱讀的文字（即明文）的過程稱為解密。這樣的技術(shù)手段我們可以稱為加密技術(shù)。加密技術(shù)包括兩個元素：算法和密鑰。算法是將普通的文本（或者可以理解的信息）與一竄數(shù)字（密鑰）的結(jié)合，產(chǎn)

31、生不可理解的密文的步驟，密鑰是用來對數(shù)據(jù)進(jìn)行編碼和解碼的一種算法。在安全保密中，可通過適當(dāng)?shù)拿荑€加密技術(shù)和管理機(jī)制來保證網(wǎng)絡(luò)的信息通訊安全。密鑰加密技術(shù)的密碼體制分為對稱密鑰體制和非對稱密鑰體制兩種。相應(yīng)地，對數(shù)據(jù)加密的技術(shù)分為兩類，即對稱加密（私人密鑰加密）和非對稱加密（公開密鑰加密）。對稱加密采用了對稱密碼編碼技術(shù)，它的特點是文件加密和解密使用相同的密鑰，即加密密鑰也可以用作解密密鑰，這種方法在密碼學(xué)中叫做對稱加密算法，對稱加密算法使用起來簡單快捷，密鑰較短，且破譯困難。 與對稱加密算法不同，非對稱加密算法需要兩個密鑰：公開密鑰和私有密。公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進(jìn)行加

32、密，只有用對應(yīng)的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進(jìn)行加密，那么只有用對應(yīng)的公開密鑰才能解密。由于加密和解密使用的是兩個不同的密鑰，所以這種算法叫作非對稱加密算法。非對稱密碼體制的特點：算法強度復(fù)雜、安全性依賴于算法與密鑰但是由于其算法復(fù)雜，而使得加密解密速度沒有對稱加密解密的速度快。對稱密碼體制中只有一種密鑰，并且是非公開的，如果要解密就得讓對方知道密鑰。所以保證其安全性就是保證密鑰的安全，而非對稱密鑰體制有兩種密鑰，其中一個是公開的，這樣就可以不需要像對稱密碼那樣傳輸對方的密鑰了。這樣安全性就大了很多。下面來研究加密算法： 一個加密系統(tǒng)s可以用數(shù)學(xué)符號描述如下： s=p, c, k,

33、e, d ，其中 p明文空間，表示全體可能出現(xiàn)的明文集合，c密文空間，表示全體可能出現(xiàn)的密文集合，k密鑰空間，密鑰是加密算法中的可變參數(shù)，e加密算法，由一些公式、法則或程序構(gòu)成，d解密算法，它是e的逆。 當(dāng)給定密鑰kîk時，各符號之間有如下關(guān)系： c = ek(p), 對明文p加密后得到密文cp = dk(c) = dk(ek(p), 對密文c解密后得明文p 如用e-1 表示e的逆，d-1表示d的逆，則有： ek = dk-1且dk = ek-1 ；因此，加密設(shè)計主要是確定e，d，k。常見加密算法概述：md5算法md5的全稱是message-digest algorithm 5（信

34、息-摘要算法），在90年代初由mit laboratory for computer science和rsa data security inc的ronald l. rivest開發(fā)出來，經(jīng)md2、md3和md4發(fā)展而來。它的作用是讓大容量信息在用數(shù)字簽名軟件簽署私人密匙前被壓縮成一種保密的格式（就是把一個任意長度的字節(jié)串變換成一定長的大整數(shù)）。不管是md2、md4還是md5，它們都需要獲得一個隨機(jī)長度的信息并產(chǎn)生一個128位的信息摘要。雖然這些算法的結(jié)構(gòu)或多或少有些相似，但md2的設(shè)計與md4和md5完全不同，那是因為md2是為8位機(jī)器做過設(shè)計優(yōu)化的，而md4和md5卻是面向32位的電腦。m

35、d5以512位分組來處理輸入的信息，且每一分組又被劃分為16個32位子分組，經(jīng)過了一系列的處理后，算法的輸出由四個32位分組組成，將這四個32位分組級聯(lián)后將生成一個128位散列值。 在md5算法中，首先需要對信息進(jìn)行填充，使其位長度對512求余的結(jié)果等于448。因此，信息的位長度（bits length）將被擴(kuò)展至n*512+448，即n*64+56個字節(jié)（bytes），n為一個正整數(shù)。填充的方法如下，在信息的后面填充一個1和無數(shù)個0，直到滿足上面的條件時才停止用0對信息的填充。然后，再在這個結(jié)果后面附加一個以64位二進(jìn)制表示的填充前信息長度。經(jīng)過這兩步的處理，現(xiàn)在的信息字節(jié)長度=n*512+

36、448+64=(n+1)*512，即長度恰好是512的整數(shù)倍。這樣做的原因是為滿足后面處理中對信息長度的要求。 md5中有四個32位被稱作鏈接變量（chaining variable）的整數(shù)參數(shù)，他們分別為：a=0x01234567，b=0x89abcdef，c=0xfedcba98，d=0x76543210。 當(dāng)設(shè)置好這四個鏈接變量后，就開始進(jìn)入算法的四輪循環(huán)運算。循環(huán)的次數(shù)是信息中512位信息分組的數(shù)目。des（data encryption standard）數(shù)據(jù)加密標(biāo)準(zhǔn)，速度較快，適用于加密大量數(shù)據(jù)的場合； 是否對稱加密的典型代表。算法方式：使用一個 56 位的密鑰以及附加的 8 位奇

37、偶校驗位，產(chǎn)生最大 64 位的分組大小。這是一個迭代的分組密碼，使用稱為 feistel 的技術(shù)，其中將加密的文本塊分成兩半。使用子密鑰對其中一半應(yīng)用循環(huán)功能，然后將輸出與另一半進(jìn)行“異或”運算；接著交換這兩半，這一過程會繼續(xù)下去，但最后一個循環(huán)不交換。des 使用 16 個循環(huán)，使用異或，置換，代換，移位操作四種基本運算。安全性：des是安全性比較高的一種算法,目前只有一種方法可以破解該算法,那就是窮舉法.如采用64位密鑰技術(shù),實際只有56位有效,8位用來校驗的.有這樣的一臺pc機(jī)器,它能每秒計算一百萬次,那么256位空間它要窮舉的時間為2285年.所以這種算法還是比較安全的一種算法.特點：

38、速度較快，適用于加密大量數(shù)據(jù)的場合。 缺點：分組比較短、密鑰太短、密碼生命周期短、運算速度較慢。應(yīng)用場景：適用于金融數(shù)據(jù)的安全中，通常自動提款機(jī)atm都適用des.3des（triple des）3des是des加密算法的一種模式，它使用3條56位的密鑰對數(shù)據(jù)進(jìn)行三次加密。數(shù)據(jù)加密標(biāo)準(zhǔn)（des）是美國的一種由來已久的加密標(biāo)準(zhǔn)，它使用對稱密鑰加密法，并于1981年被ansi組織規(guī)范為ansi x.3.92。des使用56位密鑰和密碼塊的方法，而在密碼塊的方法中，文本被分成64位大小的文本塊然后再進(jìn)行加密。比起最初的des，3des更為安全。 3des（即triple des）是des向aes過渡

39、的加密算法（1999年，nist將3-des指定為過渡的加密標(biāo)準(zhǔn)），是des的一個更安全的變形。它以des為基本模塊，通過組合分組方法設(shè)計出分組加密算法，其具體實現(xiàn)如下：設(shè)ek()和dk()代表des算法的加密和解密過程，k代表des算法使用的密鑰，p代表明文，c代表密表，這樣， 3des加密過程為：c=ek3(dk2(ek1(p) 3des解密過程為：p=dk1(ek2(dk3(c)如圖：三層加密方式rc2對稱算法rc2是由著名密碼學(xué)家ron rivest設(shè)計的一種傳統(tǒng)對稱分組加密算法，它可作為des算法的建議替代算法。它的輸入和輸出都是64比特。密鑰的長度是從8字節(jié)到128字節(jié)可變。用變長

40、密鑰對大量數(shù)據(jù)進(jìn)行加密rc4對稱算法rc4加密算法是大名鼎鼎的rsa三人組中的頭號人物ron rivest在1987年設(shè)計的密鑰長度可變的流加密算法簇。之所以稱其為簇，是由于其核心部分的s-box長度可為任意，但一般為256字節(jié)。該算法的速度可以達(dá)到des加密的10倍左右，且具有很高級別的非線性。 rc4算法的原理很簡單，包括初始化算法（ksa）和偽隨機(jī)子密碼生成算法（prga)兩大部分。假設(shè)s-box長度和密鑰長度均為為n。先來看看算法的初始化部分（用類c偽代碼表示）idea（international data encryption algorithm）國際數(shù)據(jù)加密算法，使用 128 位密

41、鑰提供非常強的安全性；類似于des，idea算法也是一種數(shù)據(jù)塊加密算法，它設(shè)計了一系列加密輪次，每輪加密都使用從完整的加密密鑰中生成的一個子密鑰。與des的不同處在于，它采用軟件實現(xiàn)和采用硬件實現(xiàn)同樣快速。64-位數(shù)據(jù)分組被分成4個16-位子分組：xl，x2，x3，x4。這4個子分組成為算法的第一輪的輸入，總共有8輪。在每一輪中，這4個子分組相列相異或，相加，相乘，且與6個16-位子密鑰相異或，相加，相乘。在輪與輪間，第二和第：個子分組交換。最后在輸出變換中4個子分組與4個子密鑰進(jìn)行運算。rsa（rivest shamir ad1eman）非對稱加密加密的代表， rsa 公司發(fā)明，是一個支持變

42、長密鑰的公共密鑰算法，需要加密的文件塊的長度也是可變的。公鑰和私鑰都是兩個大素數(shù)（大于100個十進(jìn)制位）的函數(shù)。安全性：rsa的安全性依賴于大數(shù)分解。從提出到現(xiàn)在已近二十年，經(jīng)歷了各種攻擊的考驗，普遍認(rèn)為是目前最優(yōu)秀的公鑰方案之一。特點：由于進(jìn)行的都是大數(shù)計算，使得rsa最快的情況也比des慢上100倍，無論是軟件還是硬件實現(xiàn)。速度一直是rsa的缺陷。一般來說只用于少量數(shù)據(jù)加密。應(yīng)用場景：rsa 可用于數(shù)字簽名。aes（advanced encryption standard）密碼學(xué)中的高級加密標(biāo)準(zhǔn)（advanced encryption standard，aes），又稱rijndael加密法

43、，是美國聯(lián)邦政府采用的一種區(qū)塊加密標(biāo)準(zhǔn)。這個標(biāo)準(zhǔn)用來替代原先的des，已經(jīng)被多方分析且廣為全世界所使用。經(jīng)過五年的甄選流程，高級加密標(biāo)準(zhǔn)由美國國家標(biāo)準(zhǔn)與技術(shù)研究院 （nist）于2001年11月26日發(fā)布于fips pub 197，并在2002年5月26日成為有效的標(biāo)準(zhǔn)。2006年，高級加密標(biāo)準(zhǔn)已然成為對稱密鑰加密中最流行的算法之一。aes的基本要求是，采用對稱分組密碼體制，密鑰長度的最少支持為128、192、256，分組長度128位。aes加密數(shù)據(jù)塊大小最大是256bit，但是密鑰大小在理論上沒有上限。aes加密有很多輪的重復(fù)和變換。大致步驟如下：1、密鑰擴(kuò)展（keyexpansion），2

44、、初始輪（initial round），3、重復(fù)輪（rounds），每一輪又包括：subbytes、shiftrows、mixcolumns、addroundkey，4、最終輪（final round），最終輪沒有mixcolumns。blowfish算法blowfish是一個64位分組及可變密鑰長度的分組密碼算法，算法由兩部分組成：密鑰擴(kuò)展和數(shù)據(jù)加密。密鑰擴(kuò)展把長度可達(dá)到448位的密鑰轉(zhuǎn)變成總共4168字節(jié)的幾個子密鑰。 數(shù)據(jù)加密由一個簡單函數(shù)迭代16輪，每一輪由密鑰相關(guān)的置換，密鑰相關(guān)和數(shù)據(jù)相關(guān)的代替組成。所有的運算都是32位字的加法和異或，僅有的另一個運算是每輪的四個查表。 blowfi

45、sh使用了大量的子密鑰，這些密鑰必須在加密及解密之前進(jìn)行預(yù)計算。 3.2.2. 加密方式1) 鏈路加密方式 采用鏈路加密方式，從起點到終點，要經(jīng)過許多中間節(jié)點，在每個節(jié)點地均要暴露明文（節(jié)點加密方法除外），如果鏈路上的某一節(jié)點安全防護(hù)比較薄弱，那么按照木桶原理（木桶水量是由最低一塊木板決定），雖然采取了加密措施，但整個鏈路的安全只相當(dāng)于最薄弱的節(jié)點處的安全狀況。 鏈路加密，每條物理鏈路上，不管用戶多少，可使用一種密鑰。在極限情況下，每個節(jié)點都與另外一個單獨的節(jié)點相連，密鑰的數(shù)目也只是n*(n-1)/2 種。這里n是節(jié)點數(shù)而非用戶數(shù)，一個節(jié)點一般有多個用戶。2) 節(jié)點對節(jié)點加密方式節(jié)點加密能給網(wǎng)

46、絡(luò)數(shù)據(jù)提供較高的安全性,但它在操作方式上與鏈路加密是類似的兩者均在通信鏈路上為傳輸?shù)南⑻峁┌踩?都在中間節(jié)點先對消息進(jìn)行解密,然后進(jìn)行加密。因為要對所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密,所以加密過程對用戶是透明的。 然而,與鏈路加密不同,節(jié)點加密不允許消息在網(wǎng)絡(luò)節(jié)點以明文形式存在,它先把收到的消息進(jìn)行解密,然后采用另一個不同的密鑰進(jìn)行加密,這一過程是在節(jié)點上的一個安全模塊中進(jìn)行。 節(jié)點加密要求報頭和路由信息以明文形式傳輸,以便中間節(jié)點能得到如何處理消息的信息。因此這種方法對于防止攻擊者分析通信業(yè)務(wù)是脆弱的。3) 端對端加密方式采用端-端加密方式，只是發(fā)送方加密報文，接收方解密報文，中間節(jié)點不必加、解密，

47、也就不需要密碼裝置。此外，加密可采用軟件實現(xiàn)，使用起來很方便。在端-端加密方式下，每對用戶之間都存在一條虛擬的保密信道，每對用戶應(yīng)共享密鑰（傳統(tǒng)密碼保密體制，非公鑰體制下），所需的密鑰總數(shù)等于用戶對的數(shù)目。對于幾個用戶，若兩兩通信，共需密鑰n*(n-1)/2種，每個用戶需(n-1)種。這個數(shù)目將隨網(wǎng)上通信用戶的增加而增加。為安全起見，每隔一段時間還要更換密鑰，有時甚至只能使用一次密鑰，密鑰的用量很大。3.2.3. 參數(shù)選擇各類加密方式和技術(shù)都需要選擇一些用來加密的參數(shù)，目前常用的方式是系統(tǒng)在選取了標(biāo)準(zhǔn)的加密參數(shù)后，再提供給客戶端的加解密參數(shù)來實現(xiàn)。這種方式下雖然加解密算法本身是安全的，但是由于

48、參數(shù)的集中管理和唯一性，很難保證技術(shù)之外的原因泄漏參數(shù)信息。為此，我們還需要再選取一些特有的個性化參數(shù)來進(jìn)行額外的認(rèn)證和加密編碼。mas短信服務(wù)器擁有2種特有的參數(shù)，一個是每臺mas服務(wù)器獨有的不會重復(fù)的服務(wù)器id，該參數(shù)可以用于當(dāng)前服務(wù)器下短信認(rèn)證碼的獨有加密參數(shù)。由于該參數(shù)是隱性地內(nèi)置固化在每臺mas服務(wù)器中，其數(shù)據(jù)的安全性有更高的保障。另一個參數(shù)是每臺mas服務(wù)器獨有的發(fā)送短信時的特服號。該參數(shù)同樣可以用于對短信認(rèn)證碼的加密編碼，并且，由于手機(jī)短信特有的發(fā)送認(rèn)證功能，該特服號可作為接收方識別認(rèn)證碼是否來自合法發(fā)送者的認(rèn)證參數(shù)。同樣情況下，這2個參數(shù)可以和手機(jī)號碼一起作為用戶端解碼參數(shù)使用

49、。3.2.4. 加密流程比較了兩種加密體制后，根據(jù)web驗證碼數(shù)據(jù)傳輸使用的情況是大量數(shù)據(jù)的場合，而且需要是速度比較快，所以這里選用對稱加密算法3-des加密。3-des是基于des的對稱算法，對一塊數(shù)據(jù)用三個不同的密鑰進(jìn)行三次加密，強度更高。例如：加密和解密的密鑰為id（mas服務(wù)器的masid）+password（雙方事先約定好的密碼）。如傳輸?shù)淖謹(jǐn)?shù)據(jù)是名為encodestr的字符串 ，而encodestr 就是“用戶密碼+用戶手機(jī)號碼+服務(wù)方式+有效時間”的結(jié)合，數(shù)據(jù)用“$”進(jìn)行分割。encodestr = urlencoding(base64(encrypt(spnumber + “$

50、”+ mobile + “$”+ servicetag + “$”+ accesstime )；根據(jù)密鑰對字串先進(jìn)行md5方式的加密，然后進(jìn)行3-des加密，最后對加密后的內(nèi)容進(jìn)行base64轉(zhuǎn)碼；解密時通過密鑰進(jìn)行反向解密就可以獲取數(shù)據(jù)了。這樣在任何不知道密鑰的情況下，要想得到數(shù)據(jù)是不可能的。 對于url通道地址進(jìn)行加密的方式，我們這里采用同時使用非對稱，對稱加密算法保證http通信可信。 mas服務(wù)器隨機(jī)生成key做為對稱加密算法的公鑰des(params|key|time)，并使用web應(yīng)用系統(tǒng)提供的公鑰對key進(jìn)行非對稱加密rsa(key)。比如重定向地址鏈接：http:/ip:por

51、t/id=*&rsamsg=rsa(key)&desmsg=des(params|key|time) 。web應(yīng)用系統(tǒng)收到該請求后，首先根據(jù)id判斷url是否可信，如可信再根據(jù)服務(wù)器端保存的非對稱加密私鑰解密rsa(key)。 然后根據(jù)key解密des(params|key|time)，通過id獲得服務(wù)器端保存的key，對比解密后的key，如果不相同則認(rèn)為url是偽造的非法請求。 最后可以根據(jù)time判斷是否過期，過期直接返回。通過對加密技術(shù)和算法的研究保證了數(shù)據(jù)傳輸?shù)陌踩院捅Ｃ苄?。給web應(yīng)用系統(tǒng)驗證碼的使用和mas應(yīng)用的推廣起到很大的作用。3.2.5. 反向認(rèn)證客戶在收到認(rèn)證信息或者其它

52、經(jīng)過服務(wù)器端加密后的信息后，如果需要對發(fā)送端進(jìn)行認(rèn)證，可以通過應(yīng)用系統(tǒng)的輸入或者回發(fā)認(rèn)證短信實現(xiàn)。由于使用短信發(fā)送認(rèn)證碼是通過手機(jī)號碼發(fā)送，有唯一的目標(biāo)驗證碼（手機(jī)號碼）?？蛻舳丝梢暂p松地通過編解碼進(jìn)行反向認(rèn)證。3.3. 本章小結(jié)本章主要首先介紹了通道認(rèn)證技術(shù)和方式，然后通過對多種加密算法進(jìn)行了研究和比較。最后結(jié)合mas短信服務(wù)器和應(yīng)用系統(tǒng)應(yīng)用的特點，選取個性化參數(shù)完成加密算法和流程的設(shè)計。4. 身份認(rèn)證的應(yīng)用4.1. 應(yīng)用前景和發(fā)展方向當(dāng)一個管理員在為新員工創(chuàng)建新賬戶，激活所有他可以使用的資源時，他需要多長時間？當(dāng)有員工離職時，需要將他的所有賬戶清除，那需要多長時間？企業(yè)的員工人數(shù)不多、it

53、應(yīng)用也不多的時候，上面的問題也許不難，但當(dāng)企業(yè)規(guī)模達(dá)到一定程度，企業(yè)內(nèi)部的“信息孤島”帶來的將不只是信息溝通困難，你會發(fā)現(xiàn)，原來存在于各個獨立系統(tǒng)中的資源訪問權(quán)限管理和身份認(rèn)證管理仍然是“各自為政”。當(dāng)網(wǎng)絡(luò)中添加的資源越多，就越難加以控制，從而導(dǎo)致出現(xiàn)各種不安全可能。新的基于身份認(rèn)證（identity-based）技術(shù)的興起將有助于理順網(wǎng)絡(luò)秩序，下面將從不同的層面來詮釋身份認(rèn)證管理的發(fā)展現(xiàn)狀。 部署基于身份認(rèn)證管理的it基礎(chǔ)架構(gòu)是今后的大方向。更重要的是，數(shù)字化的身份認(rèn)證管理正在從安全到服務(wù)配置的各個層面改變網(wǎng)絡(luò)的外觀和內(nèi)在管理機(jī)制。 傳統(tǒng)的企業(yè)安全模型是通過對少量數(shù)據(jù)中心進(jìn)行參數(shù)化實現(xiàn)的，但

54、這種方式已經(jīng)無法滿足業(yè)務(wù)增長過程中遇到的適應(yīng)性和擴(kuò)展性需求。而新的基于身份認(rèn)證的訪問系統(tǒng)能夠在幫助企業(yè)管理好復(fù)雜的網(wǎng)絡(luò)的同時，使得系統(tǒng)安全能夠與其商業(yè)目標(biāo)更加接近，而不僅僅是從it的角度考慮系統(tǒng)該如何管理。像ibm、novell、netegrity、oblix等廠商現(xiàn)在都提供相應(yīng)的身份認(rèn)證管理（identity management）解決方案。身份認(rèn)證管理技術(shù)已經(jīng)在sso（single sign-on，單點登錄）領(lǐng)域成功應(yīng)用，但其實sso只是它的應(yīng)用之一，基于身份認(rèn)證管理的網(wǎng)絡(luò)管理才是它今后更為寬廣的發(fā)展方向。 “企業(yè)在身份認(rèn)證管理上的投資正使以身份認(rèn)證為中心的網(wǎng)絡(luò)管理成為可能?！眀urton

55、集團(tuán)副總裁兼目錄和安全戰(zhàn)略部門服務(wù)總監(jiān)phil schacter如是說。他特別指出，當(dāng)今網(wǎng)絡(luò)在移動性和遠(yuǎn)程訪問方面能力的增強逐漸成為網(wǎng)絡(luò)管理向基于身份認(rèn)證系統(tǒng)遷移的驅(qū)動力量。 通過強化管理每個用戶的訪問與授權(quán)信息，身份認(rèn)證管理解決方案使得網(wǎng)絡(luò)能夠保持最新狀態(tài):新員工能夠迅速訪問企業(yè)內(nèi)外部網(wǎng)絡(luò)；無用賬戶將被盡快清理，以免離職員工利用其舊賬戶進(jìn)行非法操作；它還能提供審核信息，確保企業(yè)對管理法規(guī)條例的遵守；并能保護(hù)員工隱私和加強訪問控制；最重要的是，基于身份認(rèn)證的網(wǎng)絡(luò)管理使得安全脫離了數(shù)據(jù)中心，而且它基于角色管理的方式使得網(wǎng)絡(luò)管理與企業(yè)的業(yè)務(wù)需求更相符。4.2. 身份認(rèn)證的應(yīng)用簡述l 單點登錄的應(yīng)用

56、建立起身份認(rèn)證倉庫并部署了管理工具之后，就可以開始部署使用數(shù)字身份認(rèn)證技術(shù)的應(yīng)用程序了。 sso是最常被引用的例子，它可以確保用戶使用一個用戶名和一個密碼登錄所有的應(yīng)用程序。在sso環(huán)境中，每個用戶的身份認(rèn)證，而不是一系列瑣碎的用戶名和口令，定義了他/她在網(wǎng)絡(luò)上能做什么事情。因此，用戶只需簽到一次，即可得到相應(yīng)應(yīng)用程序和數(shù)據(jù)的訪問權(quán)限。 在實際應(yīng)用中，用戶都非常喜歡sso帶來的操作過程的簡化，但其實這并不是基于身份認(rèn)證技術(shù)的最大好處。雖然一些it管理員擔(dān)心，一次登錄就能夠訪問多個應(yīng)用容易擴(kuò)大攻擊者對網(wǎng)絡(luò)的破壞范圍，但實際上當(dāng)用戶不得不維護(hù)多個用戶名和口令時，他們更傾向于選擇一些容易被猜出的密碼，安全性反而容易受到威脅。如果是由it部門指定的不易猜測的密碼，用戶則會把登錄信息記錄在紙上或是電子文檔中，也很容易泄漏密碼。此外，用戶要記的密碼越多，就越有可能忘記其中的一兩個，要是有幾千用戶，光是重新設(shè)置忘記的密碼就會給it支持部門造成很多不必要的工作量。而采用基于身份認(rèn)證的單點登錄技術(shù)，將能顯著降低最終用戶支持的成本。l 身份認(rèn)證的自動化配置除了能實現(xiàn)sso，基于身份認(rèn)證的網(wǎng)絡(luò)管理還能幫助管理員集中創(chuàng)建和銷毀網(wǎng)絡(luò)賬戶。例如利