电子商务系统安全解决方案实战

下面以安盟电子信息公司提供的电子商务身份认证解决方案为例，介绍电子商务系统安全解决方案实战技巧。1.方案特点在Web电子商务中的身份认证是由服务器、客户端和中间代理软件协同完成的。安盟电子信息公司()提供高性能、高可扩展性及低成本的Web电子商务双因素身份认证解决方案，只允许能够提供无法猜测或复制的令牌代码与PIN的用户访问企业Web站点，在极大程度上保证了通过互联网访问企业Web站点的用户确实为授权的个体，大大降低了攻击和非法访问的风险。而且，安盟ACE/Agent支持多种Web服务器，因此具有极强的互操作性与可扩展性;还可以控制用户权限，决定用户被授权后，能够访问和不能够访问哪些资源;既可对整个站点进行保护，也可对某个网页进行保护，提供了不同层次的安全性;与加密套接字协议(SSL)层协同工作，当信息在网络中传输时，可以保证其安全性。同时，除了具有强大的认证能力外，认证过程与配置过程都比较简单，不会给用户造成任何负担。此外，此方案还具有极强的不可否认性，能够加强用户的责任意识，提升企业Web资源保护的安全级别。2.解决方案电子商务系统安全解决方案示意图如图1所示。图1电子商务系统安全解决方案示意图3.安盟SecurIDAgents是Web站点的安全解决技术电子商务安全为保护网站和资源，避免恶意侵入，提供了强有力的支持。根据不同信息所需保密的程度不同，而设立了不同层次的安全保护方法。(1)身份认证通常，商业上依靠静态口令来对用户进行身份认证，其实这是不够的。因为口令很容易被偷或被破译，为了保证电子商务系统业务的安全，双因素身份认证才是电子商务安全的基础。所谓双因素是结合了两种确认身份的方式，首先是用户已知PIN码和用户拥有的令牌，两者缺一不可。(2)授权身份认证之后，就需要控制用户能够访问哪些信息。为了管理复杂的电子商务网站，就必须在网站上对每种应用进行区分，从而使组织内部网站建设更灵活、更丰富。(3)保密性加密可确保信息的保密性。采用加密技术，信息被提前拼凑，接收后被复原，这使信息如果被截获后能确保其安全。对于Web应用，SSL最大的意义在于加密信息。事实上，大多数浏览器都具备SSL的功能，以便于服务器端的SSL证书沟通，所以，在Web应用中已经有了一些某种级别的加密。Web应用中SSL协议是最主要的信息加密手段。(4)不可否认性与用户责任在使用电子商务时，同时需要审计。这就使得用户必须对他们的行为负责，也为法律上提供了一种可信的证据。必须部署这种增强的安全基础设施。在此情况下，通过公钥基础设施(PKI)，利用数字证书与电子签名将用户的数字身份绑定到一个交易中。要实现完全的不可否认性，数字证书与电子签名必须与双因素身份认证相结合才能得到加强，它可以将数字身份绑定到用户的物理身份上。(5)双因素身份认证是PKI的一个组件双因素身份认证对于任何安全环境都是必需的前提，包括PKI(公钥基础设施)。身份认证与安盟SecurIDWeb安全职能是使用PKI的第一步。数字证书及电子签名为使用PKI提供了数字化身份证明，确保使用者的唯一性。然而，PKI的完整性依赖于用户确保只有合法数字证书持有者才有权使用私钥的能力。在这种情况下，只有双因素身份认证才能确保用户的合法身份，这就为用户创造了可信任的应用环境。4.安盟Web安全职能确保电子商务系统的安全安盟为企业在Web应用中提供了领先的安全保证，即安盟Web安全职能。采用安盟SecurID产品，就能确保只有授权的用户才能进入企业的内网和外网。同时，安盟SecurID产品也可用于SSL加密功能，确保在网络传输中的安全。最后，安盟SecurID也可确保数字证书的合法性。结合以上技术，安盟SecurID已经发展成为一个综合的Web安全解决方案的先驱。简单来说，安盟安全服务包括了对整个企业Web上的各种应用。如果企业已拥有电子商务的应用，那么安盟SecurID能使其立刻变得安全，拒绝没有合法身份的进入、恶意攻击和黑客。安盟SecurID由5种主要产品和服务组成，为企业发展电子商务提供安全的保障。基本的组件描述如下：(1)安盟SecurID身份认证设备安盟SecurID身份认证是一种手持设备，产生唯一的、一次性数字码。当登录受保护的Web资源时，同时使用PIN码和一次性数字码(One-timeCode)。身份认证设备包括硬件令牌、软件令牌(存储在PC、PDA和无线电话中)和智能卡等多种形式。使用简单，不需要任何最终用户培训。(2)安盟ACE/Server安盟ACE/Server是身份认证的关键，它关系到企业的安全策略，包括谁能进入网站和获取何种资源。当ACE/Server接收到用户认证请求后，便会将数据与中央数据库进行对比，如果符合其要求，系统便同意被访人访问受保护的资源，否则，安盟ACE/Server便拒绝访问。(3)用于Web平台的安盟ACE/Agent代理软件安盟ACE/Agents的功能就像一位安全卫士，它实施在安盟ACE/Server中建立的安全策略，作为URL过滤器，Agent拦截访问请求，并要求指定的用户或组(本地或远程)在获准访问Web站点上受保护的资源前，通过安盟SecurID认证设备向安盟ACE/Server证明其身份。(4)安盟SecurID选择安盟SecurID提供一个合作的机会，使得用户的公司能将用户认证设备的安盟SecurID品牌加入到用户的产品中。(5)配置服务安盟提供很多种服务来帮助部署与执行Web安全解决方案，比如，安盟SecurIDExpress允许用户的组织将整个配置过程交给安盟来完成，基于Web的用户注册服务使得安盟SecurID立刻就可用。从基本的客户支持到专业服务，安盟都有许多成功经验可以借签。5.用于Web保护的安盟ACE/Agent软件如何工作安盟ACE/Agent代理软件在系统中就像一个“安全哨兵”。安盟ACE/Agent代理软件是安盟SecurIDWeb职能关键之处，因为ACE/Agent直接被安装在WebServer层上，并且强制执行在ACEServer上建立的安全策略。安盟ACE/Agent代理软件保护WebServer所选定的页面和目录。在WebServer的目录和文件启动代理软件后，所有试图访问这些被保护的Web页面的用户，需出示SecurID令牌码。只有这些Server数据库中注册了的用户才能访问受安盟SecurID保护的页面。因此，既可以把网站作为公共资源提供给所有用户，也可以把它作为高机密网站来给可信任用户发送保密信息。如图12.12所示为安盟ACE/Agent软件工作原理。对Web提供保护的每一个安盟ACE/Agent都能够根据组织的实际情况来进行设置，从而为Web站点和电子商务结构提供不同层次的保护。以下是关于这些设置的一些详细描述。(1)利用Cookie保持会话状态安盟SecurID用户每次键入其有效的身份认证码和PIN码后，服务器便给该用户一个cookie。此cookie存储在用户的Web浏览器中，当用户浏览一个Web服务器上的受保护资源时，它将用户的认证信息传到ACE/Server中。只要“cookie”未过期，在一次会话中该用户就只会被提示一次输入安盟SecurID令牌码和PIN码。每一个cookie都只在被创建的本次浏览会话期间才有效。如果用户退出了Web浏览器，该cookie就过期了，在下一次认证会话期间用户必须得到一个新的cookie。管理员可以决定分发给安盟SecurID用户的cookie的失效期。图2安盟ACE/Agent软件工作原理(2)Web一次性登录当在一个混合的Web服务器环境(IIS、Netscape/iPlanet和/或domino)使用安盟SecurID时，安盟ACE/Agent可以被配置为相互通信。使用安盟SecurID只需一次与Web连接即可访问任何一个网站，而无须再进行身份认证。为达到此目的，cookie被分发为在同一个Web域或跨多域的多个服务器上有效。6.安盟ACE/AgentforWeb结构每一个保护Web的安盟ACE/Agent都由3个主要部件构成：(1)URL过滤器URL过滤器与Web服务器的API过滤器(ISAPI、NSAPI和DSAPI)相结合来提供安盟ACE/Agent服务的前端支持。URL过滤器控制Web服务器的URL映射过程，从而用安盟SecurID有选择地保护页面与目录。Agent只需要安装在Web服务器上，对最终用户是透明的。(2)认证代理认证代理为最终用户提供接口功能，以通过安盟ACE/ServerAPI允许用户认证。认证代理为最终用户提供HTML模板，如登录页面或错误页面，并支持所有的安盟SecurID认证设备，包括硬件令牌、软件令牌、PDA及智能卡。(3)管理实用程序通过一个非常直观、易于使用的图形用户界面可以进行广泛的管理。简单的鼠标点击接口使管理员非常方便、快捷地选择他们想要用安盟SecurID来保护的Web服务器目录或文件。管理实用程序也控制着Agent特定的设置，比如cookie的失效期、域cookie密文、确保安全连接和禁止受保护页面的缓存等。Agent管理实用程序既可以在本地进行，也可以在远程进行。在安盟ACE/Server中添加、修改、删除用户。总之，通过应用安盟Web安全职能可快捷、简便地布置安全服务，而不需要与用户的桌面交互，升级与高性能允许组织为不断增长的用户提供服务。将安全加入PKI环境中确保了用户是数字证书的合法拥有者。保护电子商务系统的B2B入口、电子市场、B2C以及ASP应用程序，世界上的各种组织从多个方面体会到了使用这项创新的认证解决方案的好处。