一、SSH介紹

　　什么是SSH？

　　傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序，如：ftp、pop和telnet在本質(zhì)上都是不安全的，因?yàn)樗鼈冊(cè)诰W(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)， 別有用心的人非常容易就可以截獲這些口令和數(shù)據(jù)。而且，這些服務(wù)程序的安全驗(yàn)證方式也是有其弱點(diǎn)的， 就是很容易受到“中間人”（man-in-the-middle）這種方式的攻擊。所謂“中間人”的攻擊方式， 就是“中間人”冒充真正的服務(wù)器接收你的傳給服務(wù)器的數(shù)據(jù)，然后再冒充你把數(shù)據(jù)傳給真正的服務(wù)器。 服務(wù)器和你之間的數(shù)據(jù)傳送被“中間人”一轉(zhuǎn)手做了手腳之后，就會(huì)出現(xiàn)很嚴(yán)重的問題。

　　SSH的英文全稱是Secure

　　SHell。通過使用SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密，這樣“中間人”這種攻擊方式就不可能實(shí)現(xiàn)了， 而且也能夠防止DNS和IP欺騙。還有一個(gè)額外的好處就是傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快傳輸?shù)乃俣取?SSH有很多功能，它既可以代替telnet，又可以為ftp、pop、甚至ppp提供一個(gè)安全的“通道”。

　　最初SSH是由芬蘭的一家公司開發(fā)的。但是因?yàn)槭馨鏅?quán)和加密算法的限制，現(xiàn)在很多人都轉(zhuǎn)而使用OpenSSH。 OpenSSH是SSH的替代軟件，而且是免費(fèi)的，可以預(yù)計(jì)將來會(huì)有越 來越多的人使用它而不是SSH。

　　SSH是由客戶端和服務(wù)端的軟件組成的，有兩個(gè)不兼容的版本分別是：1.x和2.x。 用SSH 2.x的客戶程序是不能連接到SSH 1.x的服務(wù)程序上去的。OpenSSH 2.x同時(shí)支持SSH 1.x和2.x。

　　SSH的安全驗(yàn)證是如何工作的

　　從客戶端來看，SSH提供兩種級(jí)別的安全驗(yàn)證。

　　第一種級(jí)別（基于口令的安全驗(yàn)證）只要你知道自己帳號(hào)和口令，就可以登錄到遠(yuǎn)程主機(jī)。所有傳輸?shù)臄?shù)據(jù)都會(huì)被加密， 但是不能保證你正在連接的服務(wù)器就是你想連接的服務(wù)器。可能會(huì)有別的服務(wù)器在冒充真正的服務(wù)器， 也就是受到“中間人”這種方式的攻擊。

　　第二種級(jí)別（基于密匙的安全驗(yàn)證）需要依靠密匙，也就是你必須為自己創(chuàng)建一對(duì)密匙，并把公用密匙放在需要訪問的服務(wù)器上。 如果你要連接到SSH服務(wù)器上，客戶端軟件就會(huì)向服務(wù)器發(fā)出請(qǐng)求，請(qǐng)求用你的密匙進(jìn)行安全驗(yàn)證。服務(wù)器收到請(qǐng)求之后， 先在你在該服務(wù)器的家目錄下尋找你的公用密匙，然后把它和你發(fā)送過來的公用密匙進(jìn)行比較。如果兩個(gè)密匙一致， 服務(wù)器就用公用密匙加密“質(zhì)詢”（challenge）并把它發(fā)送給客戶端軟件。 客戶端軟件收到“質(zhì)詢”之后就可以用你的私人密匙解密再把它發(fā)送給服務(wù)器。

　　用這種方式，你必須知道自己密匙的口令。但是，與第一種級(jí)別相比，第二種級(jí)別不需要在網(wǎng)絡(luò)上傳送口令。

　　第二種級(jí)別不僅加密所有傳送的數(shù)據(jù)，而且“中間人”這種攻擊方式也是不可能的（因?yàn)樗麤]有你的私人密匙）。 但是整個(gè)登錄的過程可能需要10秒。

二、SSL介紹（Secure socket Layer & Security Socket Layer）

　　一個(gè)應(yīng)用程序的安全需求在很大程度上依賴于將如何使用該應(yīng)用程序和該應(yīng)用程序?qū)⒁Ｗo(hù)什么。不過，用現(xiàn)有技術(shù)實(shí)現(xiàn)強(qiáng)大的、 一般用途的安全通常是可能的。認(rèn)證就是一個(gè)很好的示例。

　　當(dāng)顧客想從 Web 站點(diǎn)購買某個(gè)產(chǎn)品時(shí)，顧客和 Web 站點(diǎn)都要進(jìn)行認(rèn)證。顧客通常是以提供名字和密碼的方式來認(rèn)證他自己。 另一方面，Web 站點(diǎn)通過交換一塊簽名數(shù)據(jù)和一個(gè)有效的 X.509 證書（作為 SSL 握手的一部分）來認(rèn)證它自己。 顧客的瀏覽器驗(yàn)證該證書并用所附的公用密鑰驗(yàn)證簽名數(shù)據(jù)。一旦雙方都認(rèn)證了，則交易就可以開始了。

　　SSL 能用相同的機(jī)制處理服務(wù)器認(rèn)證（就如在上面的示例中）和客戶機(jī)認(rèn)證。 Web 站點(diǎn)典型地對(duì)客戶機(jī)認(rèn)證不依賴 SSL — 要求用戶提供密碼是較容易的。而 SSL 客戶機(jī)和服務(wù)器認(rèn)證對(duì)于透明認(rèn)證是完美的， 對(duì)等機(jī) — 如 p2p 應(yīng)用程序中的對(duì)等機(jī)之間一定會(huì)發(fā)生透明認(rèn)證。

　　安全套接字層（Secure Sockets Layer（SSL）） ，SSL 是一種安全協(xié)議，它為網(wǎng)絡(luò)（例如因特網(wǎng)）的通信提供私密性。SSL 使應(yīng)用程序在通信時(shí)不用擔(dān)心被竊聽和篡改。 SSL 實(shí)際上是共同工作的兩個(gè)協(xié)議：“SSL 記錄協(xié)議”（SSL Record Protocol）和“SSL 握手協(xié)議” （SSL Handshake Protocol）。“SSL 記錄協(xié)議”是兩個(gè)協(xié)議中較低級(jí)別的協(xié)議，它為較高級(jí)別的協(xié)議， 例如 SSL 握手協(xié)議對(duì)數(shù)據(jù)的變長的記錄進(jìn)行加密和解密。SSL 握手協(xié)議處理應(yīng)用程序憑證的交換和驗(yàn)證。

　　當(dāng)一個(gè)應(yīng)用程序（客戶機(jī)）想和另一個(gè)應(yīng)用程序（服務(wù)器）通信時(shí)，客戶機(jī)打開一個(gè)與服務(wù)器相連接的套接字連接。然后， 客戶機(jī)和服務(wù)器對(duì)安全連接進(jìn)行協(xié)商。作為協(xié)商的一部分，服務(wù)器向客戶機(jī)作自我認(rèn)證。客戶機(jī)可以選擇向服務(wù)器作或不作自我認(rèn)證。 一旦完成了認(rèn)證并且建立了安全連接，則兩個(gè)應(yīng)用程序就可以安全地進(jìn)行通信。按照慣例，我將把發(fā)起該通信的對(duì)等機(jī)看作客戶機(jī)， 另一個(gè)對(duì)等機(jī)則看作服務(wù)器，不管連接之后它們充當(dāng)什么角色。

　　名為 A 和 B 的兩臺(tái)對(duì)等機(jī)想安全地進(jìn)行通信。在我們簡(jiǎn)單的 p2p 應(yīng)用程序的環(huán)境中，對(duì)等機(jī) A 想查詢對(duì)等機(jī) B 上的一個(gè)資源。 每個(gè)對(duì)等機(jī)都有包含其專用密鑰的一個(gè)數(shù)據(jù)庫（名為 keystore）和包含其公用密鑰的證書。密碼保護(hù)數(shù)據(jù)庫的內(nèi)容。 該數(shù)據(jù)庫還包含一個(gè)或多個(gè)來自被信任的對(duì)等機(jī)的自簽名證書。 對(duì)等機(jī) A 發(fā)起這項(xiàng)事務(wù)，每臺(tái)對(duì)等機(jī)相互認(rèn)證，兩臺(tái)對(duì)等機(jī)協(xié)商采用的密碼及其長度并建立一個(gè)安全通道。完成這些操作之后， 每個(gè)對(duì)等機(jī)都知道它正在跟誰交談并且知道通道是安全的。 SSL (Secure socket Layer)安全套接層協(xié)議主要是使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護(hù)信息傳輸?shù)臋C(jī)密性和完整性， 它不能保證信息的不可抵賴性，主要適用于點(diǎn)對(duì)點(diǎn)之間的信息傳輸，常用Web Server方式。

　　安全套接層協(xié)議（SSL，Security Socket Layer）是網(wǎng)景（Netscape）公司提出的基于WEB應(yīng)用的安全協(xié)議，它包括：服務(wù)器認(rèn)證、 客戶認(rèn)證（可選）、SSL鏈路上的數(shù)據(jù)

　　完整性和SSL鏈路上的數(shù)據(jù)保密性。對(duì)于電子商務(wù)應(yīng)用來說，使用SSL可保證信息的真實(shí)性、 完整性和保密性。但由于SSL不對(duì)應(yīng)用層的消息進(jìn)行數(shù)字簽名，因此不能提供交易的不可否認(rèn)性，這是SSL在電子商務(wù)中使用的最大不足。 有鑒于此，網(wǎng)景公司在從Communicator 4.04版開始的所有瀏覽器中引入了一種被稱作“表單簽名（Form Signing）”的功能， 在電子商務(wù)中，可利用這一功能來對(duì)包含購買者的訂購信息和付款指令的表單進(jìn)行數(shù)字簽名，從而保證交易信息的不可否認(rèn)性。綜上所述， 在電子商務(wù)中采用單一的SSL協(xié)議來保證交易的安全是不夠的，但采用"SSL+表單簽名"模式能夠?yàn)殡娮由虅?wù)提供較好的安全性保證。

三、PKI介紹

　　為解決Internet的安全問題，世界各國對(duì)其進(jìn)行了多年的研究，初步形成了一套完整的Internet安全解決方案， 即目前被廣泛采用的PKI體系結(jié)構(gòu)，PKI體系結(jié)構(gòu)采用證書管理公鑰，通過第三方的可信機(jī)構(gòu)CA， 把用戶的公鑰和用戶的其他標(biāo)識(shí)信息（如名稱、e-mail、身份證號(hào)等）捆綁在一起，在Internet網(wǎng)上驗(yàn)證用戶的身份， PKI體系結(jié)構(gòu)把公鑰密碼和對(duì)稱密碼結(jié)合起來，在Internet網(wǎng)上實(shí)現(xiàn)密鑰的自動(dòng)管理，保證網(wǎng)上數(shù)據(jù)的機(jī)密性、完整性。

　　從廣義上講，所有提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)，都可叫做PKI系統(tǒng)，PKI的主要目的是通過自動(dòng)管理密鑰和證書， 可以為用戶建立起一個(gè)安全的網(wǎng)絡(luò)運(yùn)行環(huán)境，使用戶可以在多種應(yīng)用環(huán)境下方便的使用加密和數(shù)字簽名技術(shù)， 從而保證網(wǎng)上數(shù)據(jù)的機(jī)密性、完整性、有效性，數(shù)據(jù)的機(jī)密性是指數(shù)據(jù)在傳輸過程中，不能被非授權(quán)者偷看， 數(shù)據(jù)的完整性是指數(shù)據(jù)在傳輸過程中不能被非法篡改，數(shù)據(jù)的有效性是指數(shù)據(jù)不能被否認(rèn)。一個(gè)有效的PKI系統(tǒng)必須是安全的和透明的， 用戶在獲得加密和數(shù)字簽名服務(wù)時(shí)，不需要詳細(xì)地了解PKI是怎樣管理證書和密鑰的，一個(gè)典型、完整、 有效的PKI應(yīng)用系統(tǒng)至少應(yīng)具有以下部分：

　　公鑰密碼證書管理。

　　黑名單的發(fā)布和管理。

　　密鑰的備份和恢復(fù)。

　　自動(dòng)更新密鑰。

　　自動(dòng)管理歷史密鑰。

　　支持交*認(rèn)證。

　　由于PKI體系結(jié)構(gòu)是目前比較成熟、完善的Internet網(wǎng)絡(luò)安全解決方案， 國外的一些大的網(wǎng)絡(luò)安全公司紛紛推出一系列的基于PKI的網(wǎng)絡(luò)安全產(chǎn)品，如美國的Verisign, IBM , Entrust等安全產(chǎn)品供應(yīng)商為用戶提供了一系列的客戶端和服務(wù)器端的安全產(chǎn)品，為電子商務(wù)的發(fā)展提供了安全保證。 為電子商務(wù)、政府辦公網(wǎng)、EDI等提供了完整的網(wǎng)絡(luò)安全解決方案。


　　PKI是一種新的安全技術(shù)，它由公開密鑰密碼技術(shù)、數(shù)字證書、 證書發(fā)放機(jī)構(gòu)（CA）和關(guān)于公開密鑰的安全策略等基本成分共同組成的。PKI是利用公鑰技術(shù)實(shí)現(xiàn)電子商務(wù)安全的一種體系， 是一種基礎(chǔ)設(shè)施，網(wǎng)絡(luò)通訊、網(wǎng)上交易是利用它來保證安全的。從某種意義上講，PKI包含了安全認(rèn)證系統(tǒng)， 即安全認(rèn)證系統(tǒng)-CA/RA系統(tǒng)是PKI不可缺的組成部分。

　　PKI（Public Key Infrastructure）公鑰基礎(chǔ)設(shè)施是提供公鑰加密和數(shù)字簽名服務(wù)的系統(tǒng)或平臺(tái)， 目的是為了管理密鑰和證書。一個(gè)機(jī)構(gòu)通過采用PKI框架管理密鑰和證書可以建立一個(gè)安全的網(wǎng)絡(luò)環(huán)境。 X.509格式的證書和證書廢除列表(CRL)； CA/RA操作協(xié)議； CA管理協(xié)議； CA政策制定。

　　四、SET協(xié)議介紹

　　電子商務(wù)在提供機(jī)遇和便利的同時(shí)，也面臨著一個(gè)最大的挑戰(zhàn)，即交易的安全問題。在網(wǎng)上購物的環(huán)境中， 持卡人希望在交易中保密自己的帳戶信息，使之不被人盜用；商家則希望客戶的定單不可抵賴，并且，在交易過程中， 交易各方都希望驗(yàn)明其他方的身份，以防止被欺騙。針對(duì)這種情況， 由美國Visa和MasterCard兩大信用卡組織聯(lián)合國際上多家科技機(jī)構(gòu)， 共同制定了應(yīng)用于Internet上的以銀行卡為基礎(chǔ)進(jìn)行在線交易的安全標(biāo)準(zhǔn)， “這就是“安全電子交易”（Secure Electronic Transaction，簡(jiǎn)稱SET）。它采用公鑰密碼體制和X.509數(shù)字證書標(biāo)準(zhǔn)， 主要應(yīng)用于保障網(wǎng)上購物信息的安全性。

　　由于SET 提供了消費(fèi)者、商家和銀行之間的認(rèn)證，確保了交易數(shù)據(jù)的安全性、完整可靠性和交易的不可否認(rèn)性， 特別是保證不將消費(fèi)者銀行卡號(hào)暴露給商家等優(yōu)點(diǎn)，因此它成為了目前公認(rèn)的信用卡/借記卡的網(wǎng)上交易的國際安全標(biāo)準(zhǔn)。

　　SET(Secure Electronic Transaction)安全電子交易協(xié)議是由美國Visa和MasterCard兩大信用卡組織提出的應(yīng)用于 Internet上的以信用卡為基礎(chǔ)的電子支付系統(tǒng)協(xié)議。它采用公鑰密碼體制和X.509數(shù)字證書標(biāo)準(zhǔn)， 主要應(yīng)用于B to C模式中保障支付信息的安全性。SET協(xié)議本身比較復(fù)雜，設(shè)計(jì)比較嚴(yán)格，安全性高， 它能保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性和不可否認(rèn)性。SET協(xié)議是PKI框架下的一個(gè)典型實(shí)現(xiàn)，同時(shí)也在不斷升級(jí)和完善， 如SET 2.0將支持借記卡電子交易。