電子商務(wù)中的網(wǎng)絡(luò)安全中間件應(yīng)用

各機(jī)構(gòu)必須根據(jù)自己的業(yè)務(wù)要求，自行在兩種基本的電子商務(wù)安全執(zhí)行策略中進(jìn)行選擇。IP安全是用以保護(hù)IP網(wǎng)絡(luò)上兩點(diǎn)間通訊的一族行業(yè)標(biāo)準(zhǔn)協(xié)議，它更被人們熟悉的名字是VPN(虛擬專用網(wǎng)絡(luò))。IP安全在IP層提供基于加密的認(rèn)證、完整性和保密服務(wù)。IP安全對(duì)于電子商務(wù)的用戶、應(yīng)用程序和協(xié)議來(lái)說(shuō)是透明的。由于對(duì)上層信息沒(méi)有濾過(guò)性，IP安全也缺乏網(wǎng)絡(luò)安全的幾個(gè)基本要素，包括不能提供數(shù)字簽名、不能很好的檢查和識(shí)別應(yīng)用程序的數(shù)據(jù)流以便采用適當(dāng)?shù)陌踩珜?duì)策、不能在VPN的內(nèi)部通過(guò)應(yīng)用程序認(rèn)證個(gè)人用戶的身份以及不能向特定個(gè)人授權(quán)使用特定電子商務(wù)資源等。相對(duì)而言，電子商務(wù)往往需要更強(qiáng)健的安全支持。對(duì)基于Web的應(yīng)用程序而言，當(dāng)前的安全標(biāo)準(zhǔn)是SSL(套接層安全)及其第三版——TSL(傳輸層安全)。SSL這一機(jī)制被絕大多數(shù)web瀏覽器和服務(wù)器所支持。SSL提供對(duì)私密性和完整性的保障，并支持可選的服務(wù)器認(rèn)證和客戶認(rèn)證。最適合采用SSL的，是那些無(wú)需嚴(yán)格驗(yàn)證用戶身份的電子商務(wù)提供者。如同IP安全一樣，瀏覽器中使用的SSL也不支持電子商務(wù)所依賴的網(wǎng)絡(luò)安全的若干基本要素，如：客戶認(rèn)證迫使用戶學(xué)習(xí)在web瀏覽器中使用數(shù)字證書(shū)的復(fù)雜流程，SSL不能提供用于電子商務(wù)事務(wù)認(rèn)證的數(shù)字簽名SSL的證書(shū)認(rèn)證并非行業(yè)標(biāo)準(zhǔn)。絕大多數(shù)web服務(wù)器沒(méi)有提供電子商務(wù)所要求的監(jiān)視、日志記錄和存取控制認(rèn)證等防護(hù)措施。為了有效地在web框架下實(shí)現(xiàn)網(wǎng)絡(luò)安全的7點(diǎn)要求，下列的功能應(yīng)當(dāng)被補(bǔ)充進(jìn)來(lái)：1.增加某種輔助web瀏覽器的客戶端軟件以便更透明地使用數(shù)字證書(shū)來(lái)進(jìn)行客戶認(rèn)證，同時(shí)具有提供數(shù)字簽名的能力2.增加某種輔助web服務(wù)器的服務(wù)器軟件來(lái)驗(yàn)證證書(shū)、監(jiān)視和記錄日志，并實(shí)現(xiàn)在網(wǎng)頁(yè)或URL層的精細(xì)存取控制。SSL對(duì)web瀏覽器的支持盡管并不完備，但已經(jīng)提供了web下電子商務(wù)安全的基礎(chǔ)框架。對(duì)于那些并非基于web的應(yīng)用程序，要保證其電子商務(wù)安全性相比而言要困難得多，因?yàn)橐粋€(gè)替代客戶端軟件必須在沒(méi)有web瀏覽器的前提下執(zhí)行其功能。有兩種途徑可以幫助我們達(dá)到目的：1.使用由開(kāi)發(fā)商提供的PKI工具包來(lái)直接編寫(xiě)提供SSL支持的軟件2.使用支持SSL的PKI中間件來(lái)代表應(yīng)用程序以實(shí)現(xiàn)電子商務(wù)安全盡管工具包具有很大的靈活性，它也有一些弱點(diǎn)，它的全程開(kāi)發(fā)和維護(hù)要花費(fèi)大量勞力，推向市場(chǎng)節(jié)奏較慢，要求員工精通PKI和安全開(kāi)發(fā)，不兼容大型主機(jī)，應(yīng)用程序局限于特定的PKI開(kāi)發(fā)商的許可、解釋和協(xié)同工作，并依賴與開(kāi)發(fā)商的技術(shù)支持。因此，工具包最好用于PKI授權(quán)的廠商的商業(yè)軟件以及試驗(yàn)，而并不十分適合大范圍推廣。網(wǎng)絡(luò)安全中間件與基于web的應(yīng)用程序通過(guò)瀏覽器實(shí)施SSL安全服務(wù)有類似之處，然而，此時(shí)中間件的客戶端軟件將為所有的應(yīng)用程序，包括基于web的應(yīng)用程序來(lái)提供SSL服務(wù)。精心實(shí)現(xiàn)的網(wǎng)絡(luò)安全中間件并不要求用戶接受過(guò)培訓(xùn)或自行配置參數(shù)，同時(shí)依然能夠提供支持各種應(yīng)用程序協(xié)議的網(wǎng)絡(luò)安全服務(wù)，并支持?jǐn)?shù)字簽名的使用和對(duì)所有桌面程序的適度監(jiān)控。網(wǎng)絡(luò)安全中間件解放了客戶，使他們不再需要親自處理復(fù)雜的基于PKI工具包的針對(duì)性解決方案，或是購(gòu)買(mǎi)所需要的PKI授權(quán)的商用軟件。一行代碼