靜態(tài)密碼存在著(zhù)比較多的安全隱患，攻擊者有很多手段獲得靜態(tài)密碼，管理密碼也具有較高的成本，我在前文《中國網(wǎng)上銀行系統安全性分析》中曾經(jīng)論證過(guò)，使用硬件安全產(chǎn)品“動(dòng)態(tài)密碼鎖”或者“USB Key”可以較好的解決這個(gè)問(wèn)題，但是會(huì )帶來(lái)加密鎖的成本，在不增加硬件成本的情況下，我們也可以通過(guò)一些設計上的技巧和措施在一定程度上來(lái)保證登錄者的身份。
一、客戶(hù)端和服務(wù)器端的安全
客戶(hù)端的安全，主要是用戶(hù)密碼本身的安全性（密碼長(cháng)度和復雜性等）以及用戶(hù)電腦的安全性，包括用戶(hù)電腦沒(méi)有安裝黑客木馬軟件，登錄程序沒(méi)有被第三方程序加載調試，用戶(hù)錄入框組織鍵盤(pán)Hook程序等等，通過(guò)一些代碼即可解決。
服務(wù)器端的安全，包括服務(wù)器自身的安全（系統漏洞等等）以及程序設計上的安全，我這里主要講一下程序設計上的安全。最基本的問(wèn)題是，用戶(hù)的密碼不應該直接保存在服務(wù)器的數據庫上，也不應該將密碼用單鑰算法加密后保存，最基本的認證方式是通過(guò)單向散列函數對密碼進(jìn)行認證。在《軟件加密技術(shù)和注冊機制》一文中介紹了一些單向散列函數可以實(shí)現簡(jiǎn)單的認證。目前大多數網(wǎng)站都使用MD5函數進(jìn)行登錄認證，不過(guò)我推薦使用安全性更高的SHA1散列函數來(lái)進(jìn)行登錄認證。
二、網(wǎng)絡(luò )傳輸上的安全
目前的網(wǎng)絡(luò )協(xié)議通過(guò)HTTP協(xié)議進(jìn)行通訊，存在很大的安全隱患，黑客可以通過(guò)SNIFFER工具進(jìn)行抓包分析網(wǎng)絡(luò )數據包，因此用戶(hù)名和密碼的傳輸應該使用非明文的方式傳輸，這里就用到了“公開(kāi)密鑰密碼”的概念。
學(xué)過(guò)基本的“密碼學(xué)”的人都應該知道“公開(kāi)密鑰算法（也叫非對稱(chēng)算法、雙鑰算法）”這個(gè)概念，即用作加密的密鑰不同于用作解密的密鑰，而且解密密鑰不能根據加密密鑰計算出來(lái)。
加密的傳輸過(guò)程分為兩部分，一部分為身份認證，用戶(hù)鑒別這個(gè)用戶(hù)的真偽；另外一部分為數據加密，用于數據的保密。這兩部分功能都需要用到非對稱(chēng)加密技術(shù)。
首先是身份認證，通訊的數據可以這樣進(jìn)行處理，將用戶(hù)的信息（用戶(hù)名、密碼等）用該用戶(hù)的私鑰進(jìn)行加密，然后再進(jìn)行傳輸，而在服務(wù)器端會(huì )保存此用戶(hù)的公鑰，用此用戶(hù)的公鑰對傳過(guò)來(lái)的信息進(jìn)行解密，就可以得到正確的明文，這樣就完成了一次安全的網(wǎng)絡(luò )通訊。
通訊過(guò)程的示例如下圖所示，Alice用自己的私鑰對明文進(jìn)行加密后傳輸到服務(wù)器，服務(wù)器上的用戶(hù)（例如Bob）擁有很多用戶(hù)的公鑰，因此使用Alice的公鑰對密文進(jìn)行解密，如果密鑰正確的話(huà)，就可以解密出明文，也就完成了對Alice的身份認證。
然后是數據加密，數據加密和數據認證正好相反，使用接收方的公鑰對數據進(jìn)行加密，傳輸的過(guò)程中，即使數據被黑客截獲，也無(wú)法使用這些密文，接收方收到密文后，用自己的私鑰對密文進(jìn)行解密，從而完成了一次數據的加密傳輸。
通訊過(guò)程的示例如下圖所示，Alice需要發(fā)給Bob一段加密的信息，因此Alice就用Bob的公鑰對明文進(jìn)行加密后傳輸給Bob，Bob收到信息后，使用自己的私鑰對密文進(jìn)行解密，就可以解密出明文，也就完成了對Alice的發(fā)來(lái)密文的解密過(guò)程。
目前的公開(kāi)密鑰算法主要有RSA和ECC，RSA是比較老的算法，基于大質(zhì)數分解，速度較慢，ECC（橢圓曲線(xiàn)）是最新的公鑰加密算法，基于離散對數計算，速度比RSA快，安全性據說(shuō)更高一些。
當然，上面的所說(shuō)的技術(shù)只是最為基本的身份認證技術(shù)，只是適合一般網(wǎng)站應用，對于電子商務(wù)和銀行來(lái)說(shuō)需要更為復雜和權威的安全認證系統。目前比較流行的是PKI技術(shù)。PKI（Public Key Infrastructure）是一種新的安全技術(shù)，它由公開(kāi)密鑰密碼技術(shù)、數字證書(shū)、證書(shū)發(fā)放機構（CA）和關(guān)于公開(kāi)密鑰的安全策略等基本成分共同組成的。PKI技術(shù)已經(jīng)被廣泛應用于電子政務(wù)和電子商務(wù)，被證明是保證基于互聯(lián)網(wǎng)的電子政務(wù)和電子商務(wù)安全的最佳解決方案。完整的PKI建設需要大量的資金和人力才能完成，這里就不多介紹了。
聯(lián)系客服
