電子商務(wù)中的網(wǎng)絡(luò)安全中間件應(yīng)用

電子商務(wù)中的網(wǎng)絡(luò)安全中間件應(yīng)用

各機(jī)構(gòu)必須根據(jù)自己的業(yè)務(wù)要求，自行在兩種基本的電子商務(wù)安全執(zhí)行策略中進(jìn)行選擇。IP安全是用以保護(hù)IP網(wǎng)絡(luò)上兩點(diǎn)間通訊的一族行業(yè)標(biāo)準(zhǔn)協(xié)議，它更被人們熟悉的名字是VPN(虛擬專用網(wǎng)絡(luò))。IP安全在IP層提供基于加密的認(rèn)證、完整性和保密服務(wù)。IP安全對于電子商務(wù)的用戶、應(yīng)用程序和協(xié)議來說是透明的。由于對上層信息沒有濾過性，IP安全也缺乏網(wǎng)絡(luò)安全的幾個基本要素，包括不能提供數(shù)字簽名、不能很好的檢查和識別應(yīng)用程序的數(shù)據(jù)流以便采用適當(dāng)?shù)陌踩珜Σ?、不能在VPN的內(nèi)部通過應(yīng)用程序認(rèn)證個人用戶的身份以及不能向特定個人授權(quán)使用特定電子商務(wù)資源等。相對而言，電子商務(wù)往往需要更強(qiáng)健的安全支持。對基于Web的應(yīng)用程序而言，當(dāng)前的安全標(biāo)準(zhǔn)是SSL(套接層安全)及其第三版——TSL(傳輸層安全)。SSL這一機(jī)制被絕大多數(shù)web瀏覽器和服務(wù)器所支持。SSL提供對私密性和完整性的保障，并支持可選的服務(wù)器認(rèn)證和客戶認(rèn)證。最適合采用SSL的，是那些無需嚴(yán)格驗(yàn)證用戶身份的電子商務(wù)提供者。如同IP安全一樣，瀏覽器中使用的SSL也不支持電子商務(wù)所依賴的網(wǎng)絡(luò)安全的若干基本要素，如：客戶認(rèn)證迫使用戶學(xué)習(xí)在web瀏覽器中使用數(shù)字證書的復(fù)雜流程，SSL不能提供用于電子商務(wù)事務(wù)認(rèn)證的數(shù)字簽名SSL的證書認(rèn)證并非行業(yè)標(biāo)準(zhǔn)。絕大多數(shù)web服務(wù)器沒有提供電子商務(wù)所要求的監(jiān)視、日志記錄和存取控制認(rèn)證等防護(hù)措施。為了有效地在web框架下實(shí)現(xiàn)網(wǎng)絡(luò)安全的7點(diǎn)要求，下列的功能應(yīng)當(dāng)被補(bǔ)充進(jìn)來：1.增加某種輔助web瀏覽器的客戶端軟件以便更透明地使用數(shù)字證書來進(jìn)行客戶認(rèn)證，同時(shí)具有提供數(shù)字簽名的能力2.增加某種輔助web服務(wù)器的服務(wù)器軟件來驗(yàn)證證書、監(jiān)視和記錄日志，并實(shí)現(xiàn)在網(wǎng)頁或URL層的精細(xì)存取控制。SSL對web瀏覽器的支持盡管并不完備，但已經(jīng)提供了web下電子商務(wù)安全的基礎(chǔ)框架。對于那些并非基于web的應(yīng)用程序，要保證其電子商務(wù)安全性相比而言要困難得多，因?yàn)橐粋€替代客戶端軟件必須在沒有web瀏覽器的前提下執(zhí)行其功能。有兩種途徑可以幫助我們達(dá)到目的：1.使用由開發(fā)商提供的PKI工具包來直接編寫提供SSL支持的軟件2.使用支持SSL的PKI中間件來代表應(yīng)用程序以實(shí)現(xiàn)電子商務(wù)安全盡管工具包具有很大的靈活性，它也有一些弱點(diǎn)，它的全程開發(fā)和維護(hù)要花費(fèi)大量勞力，推向市場節(jié)奏較慢，要求員工精通PKI和安全開發(fā)，不兼容大型主機(jī)，應(yīng)用程序局限于特定的PKI開發(fā)商的許可、解釋和協(xié)同工作，并依賴與開發(fā)商的技術(shù)支持。因此，工具包最好用于PKI授權(quán)的廠商的商業(yè)軟件以及試驗(yàn)，而并不十分適合大范圍推廣。網(wǎng)絡(luò)安全中間件與基于web的應(yīng)用程序通過瀏覽器實(shí)施SSL安全服務(wù)有類似之處，然而，此時(shí)中間件的客戶端軟件將為所有的應(yīng)用程序，包括基于web的應(yīng)用程序來提供SSL服務(wù)。精心實(shí)現(xiàn)的網(wǎng)絡(luò)安全中間件并不要求用戶接受過培訓(xùn)或自行配置參數(shù)，同時(shí)依然能夠提供支持各種應(yīng)用程序協(xié)議的網(wǎng)絡(luò)安全服務(wù)，并支持?jǐn)?shù)字簽名的使用和對所有桌面程序的適度監(jiān)控。網(wǎng)絡(luò)安全中間件解放了客戶，使他們不再需要親自處理復(fù)雜的基于PKI工具包的針對性解決方案，或是購買所需要的PKI授權(quán)的商用軟件。一行代碼