1 / 59

SSL 類憑證應用與網站登入機制介紹

SSL 類憑證應用與網站登入機制介紹. GSN WEB 網站安全管理班. 中華電信股份有限公司 數據通信分公司加值系統處 專案經理 陳立群 CISSP ， CISM ， CISA 經濟部資訊專業人員鑑定考試資訊安全類金質獎章得主. 目 錄. SSL 通訊協定簡介 An introduction to OpenSSL Programming SSL 類憑證應用導覽 網站應用 SSL 機制 SSLRelay 轉接軟體應用於電子閘門 政府服務平台 Web Service Security 使用 SSL 憑證 無線公開金鑰基礎建設.

selina
Télécharger la présentation

SSL 類憑證應用與網站登入機制介紹

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. SSL類憑證應用與網站登入機制介紹 GSN WEB網站安全管理班 中華電信股份有限公司 數據通信分公司加值系統處 專案經理 陳立群 CISSP，CISM ， CISA 經濟部資訊專業人員鑑定考試資訊安全類金質獎章得主

  2. 目 錄 • SSL 通訊協定簡介 • An introduction to OpenSSL Programming • SSL 類憑證應用導覽 • 網站應用SSL機制 • SSLRelay轉接軟體應用於電子閘門 • 政府服務平台Web Service Security使用SSL憑證 • 無線公開金鑰基礎建設

  3. SSL 通訊協定簡介

  4. SSL3.0網路安全通訊協定標準 • Secure Socket Layer (SSL 安全插座層) • Netscape所制訂的Socket層通訊安全協定 • 已被業界(IETF)廣為接受， 以下產品支援SSL • Netscape的Web Server/Browser • Microsoft的Internet Explorer • 提供 end-to-end 網路通訊的安全服務 • 資料隱密性(Confidentiality) : 所有在網路上傳遞的資料為密文， 不會被竊聽 • 資料完整性(Integrity) : 資料在網路上傳送， 資料保持完整， 不會被非法竄改 • 身份識別(Authentication) : 通訊雙方真實身份辨識， 無法冒名傳送假資料

  5. TLS • TLS 為 Transport Layer Security之縮寫 • (其前身即為 SSL或 Secure Sockets Layer，僅有些許地方針對SSL V3做修改) 能確保瀏覽器與網站伺服器之間的加密通信.. • 1999年經過IETF公布為V1

  6. 網路的安全資源插座 • 電源插座 V.S. 網路資源插座 • Socket是由OS所提供的Utility使AP容易地呼叫較底層的TCP， 即Stream TCP I/O interface(v.s. file I/O) • WinSock : Windows Socket • 插座的特性在於隨插即用 • 網路的安全資源插座也就是要做到隨插即可安全地享受網路資源

  7. Secure Socket Layer Security APP，Web，.. APP，Web，.. Application Layer Http， Telnet， Ftp Application Layer SSL Protocol channel Secure Socket Secure Socket TCP/IP TCP/IP TCP/IP Security services provided : • Mutually authentication • Data confidentiality • Data integrity

  8. 伺服器應用軟體憑證的功能 • 確認伺服器應用程序(Server Application Process)之身分，確保資訊傳遞的安全。 • SSL類的Server AP 憑證:網站參觀者確信網站的真實身分，使瀏覽器與伺服器之間的通訊有安全加密的功能，以便確保通訊過程的資料安全以及傳遞資料的完整性。

  9. 進入經認證的安全網站(1) • 如 https://www.ecard.net.tw/

  10. 進入經認證的安全網站(2) 瀏覽器下方顯示安全鎖結合狀態代表 SSL 安全機制已啟動

  11. Server AP憑證用途示例-Client辨識Server身份 Server AP憑證 Server AP的 公開金鑰 Client端可信賴CA清單 憑證序號 有效期限 憑證是否有效? CA的憑證 Server AP的 DN 簽發者的DN在 可信賴清單中? CA的DN 簽發者的 DN CA的 公開金鑰 簽發者的數位簽章 用CA Public Key 驗證signature通過? CA的 數位簽章 ServerAP’ s DN 與實際DN是否相同?

  12. GCA伺服器應用軟體憑證憑證內容 • 伺服器應用軟體憑證(細節請參考GPKI憑證及憑證廢止清冊格式剖繪) • C=TW • L=縣市名稱(選擇性欄位，只適用於地方政府) • O=機關(構)的法定名稱 • OU=附屬機關(構)或單位的法定名稱(選擇性欄位，可以有多層) • CN=伺服器應用軟體的名稱(可能是伺服應用軟體之網域名稱、網路位址或其他文字名稱) • serialNumber=伺服器應用軟體的識別代號

  13. 伺服器應用軟體憑證憑證內容

  14. 基本之驗證問題 • 傳送明文之用戶名稱(usernames)與通行碼(passwords) • 傳送未加密之網頁，內含敏感之資料 解決方案: 使用 SSL

  15. 基本驗證與SSL • SSL 結合基本驗證和網頁加密 • URLs 表示 https:// 而非 http://Internet • Ineternet Explorer，呈現黃色鎖於瀏覽器狀態欄 • 支援瀏覽器種類: • Netscape Navigator (versions 2.0 and above) • Microsoft Internet Explorer (version 3.0 and above) • AOL (AOL 3.0 and above) • ….

  16. The Secure Sockets Layer (SSL) Protocol • SSL 主要功能: • 伺服器鑑別 • 用戶端鑑別 • 伺服器與用戶端之間加密通訊鑑別 • 廣泛使用於網際網路，特別是互動交易之加密訊息交換，例如信用卡卡號

  17. 對抗MITM Attack的對策 • 通信雙方交換由可信賴之CA所簽發的公鑰憑證 • 注意：對方送來某甲的公鑰憑證，並不代表他就是某甲，一定要搭配PoP驗證(即Authentication)及憑證驗證 • 經由proof-of-possession（PoP）的方法去Authenticate對方的身分(即確認對方確實持有與其憑證相對應之私密金鑰) • PoP的方法： • 簽章/驗簽：送一段訊息請對方使用其私密金鑰加密簽章，然後用其公開金鑰來驗證其簽章是否正確 • 加密/解密：使用對方的公開金鑰加密一段訊息，再請對方使用其私密金鑰將該訊息解密 • 注意：確認對方確實持有與憑證對應的私密金鑰，並不代表他就是憑證中所記載的個體，因為憑證可能是假造的 • 必須驗證對方憑證的合法性(Validity) • 注意：如果憑證驗證的過程不夠嚴謹，則protocol設計得再好也沒有用。大部分的protocol對於如何驗證憑證都少有著墨，因為protocol的設計者都假設implementation的憑證驗證過程是正確的。

  18. SSL/TLS Handshake 對抗MITM Attack的對策-- 以SSL/TLS Handshake為例 Server端把Server憑證送給Client端 Client端必須驗證Server憑證的合法性 如果Server也想認證Client端的身分，則送出Certificate Request要求Client送回Client憑證 如果Server送出Certificate Request ，則Client端就把 Client憑證送給Server端 Server端必須驗證Client憑證的合法性 Client端使用Server憑證所記載的Public Key將Premaster Secret加密，包在Client Key Exchange訊息中送回Server Server端如果能夠使用其Private Key解開Client Key Exchange訊息中的Premaster Secret密文，表示Server確實是Server憑證中所記載的主機 Client端使用自己的Private Key對master secret及前面所傳送之handshake messages的Hash值簽章，包在Certificate Verify訊息中送回Server Server端將使用Client憑證中所記載的Public Key來檢驗Certificate Verify的簽章，如果簽章檢驗通過，則表示Client端確實是憑證所記載之用戶 框在 中的步驟，表示此步驟為optional

  19. An Introduction to OpenSSL Programming

  20. An Introduction to OpenSSL Programming 依據Eric Rescorla (RTFM， Inc.)以下書籍(http://www.rtfm.com/sslbook/)之兩章 SSL and TLS: Designing and Building Secure Systems， Addison-Wesley， 2001 ISBN 0-201-61598-3

  21. An Introduction to OpenSSL Programming • SSL  使植基於TCP的網路應用程式確保高安全度之最簡與最易方式 • OpenSSL • 若你使用 C語言，則為最佳選擇 • API 巨大且複雜 • 但相關文件與範例程式寫得並不好 • 手冊寫得像參考書，但不適合作為導覽( tutorial) • Article I a simple Web client and server pair that demonstrates the basic features of OpenSSL. • Article II advanced features， such as session resumption andclient authentication.

  22. OpenSSL • 完整原始程式碼 http://www.openssl.org • 提供密碼功能的免費函式庫 • 最重要的特徵為SSLv2，SSLv3 與TLSv1的完整實做 相關規格: • SSLv2: http://www.netscape.com/eng/security/SSL_2.html • SSLv3: http://home.netscape.com/eng/ssl3/index.html • TLS (RFC 2246): http://www.ietf.org/rfc/rfc2246.txt • HTTPS (RFC 2818): http://www.ietf.org/rfc/rfc2818.txt

  23. SSL類憑證應用導覽

  24. https://gpkiapi.nat.gov.tw/ GCA 安全保密函式庫標準版下載 GCA網站gca.nat.gov.tw憑證應用->安全保密函式庫->瀏覽相關規定 機關單位發文向研考會申請核准後，將取得一組帳號密碼下載安全保密函式庫標準版 透過SSL機制下載安全保密函式庫，確保資料之機密性，對下載Server 之鑑別性，並可透過免費工具請比對檔案Hash值，確認檔案之完整性

  25. https://gpkiapi.nat.gov.tw/ GCA 安全保密函式庫標準版下載

  26. 行政院經濟部智慧財產局 https://mail.tipo.gov.tw/ Web Mail內容加密與鑑別Mail Server機制

  27. https://www.ymsnp.gov.tw/ 行政院內政部營建署陽明山國家公園管理處

  28. 網網相連電子閘門示意圖

  29. 電子閘門安全平台 Secure Platform 在電子閘門計畫提供有效的安全保障 建置電子閘門安全 平台使各網路應用程式 可以隨插即用快速安心 上路 Low cost， High Security! GCA 內政部 法務部 IP IR

  30. 為什麼要建置安全平台系統 • 使閘門的安全具有一定的水準以上 • 好用的安全系統， 除了要有完整的功能， 更要有良好的安全機制 • 使民眾有信心， 並去除安全的顧慮， 系統應用易於推廣 • 與民眾相關的敏感性的資料 • 使閘門應用系統易於開發， 符合時程的需求 • 使閘門間易於互通， 易於達成網網相連的目標 • 驗證「大型行政資訊系統電子閘門功能規範1.1版」，以做為修訂功能規範的依據， 並做為擴大推廣的資源.

  31. 為什麼使用 SSL做閘門的安全平台(1) • 是一個穩定且最為廣泛接受的標準而易於互通(等同於IETF RFC TLS) • 現行的Browser及Web server均有支援 • 增強系統的安全性，而具有資訊安全的三大功能: • 資料隱密性(Privacy)， 資料完整性(Integrity)， 身份識別(Authentication). • 可以對各種應用層的通訊協定做保護 • 含HTTP， FTP， POP3， SMTP， ODBC等 • 使電子閘門系統易於開發及維護 • 可以容易的建置TCP層的私密網路(VPN)平台 • 閘門應用系統的通訊安全就交給SSL轉接平台便可以了 • 美， 日等國也有廠商利用SSL做安全平台的產品 • 例如: stunnel

  32. 為什麼使用 SSL做閘門的安全平台(2) • 與IPSec VPN比較， 建置成本及複雜度較低， 且可達到電子閘門的安全需求 • 電子閘門的安全需求並不要做到主機IP的隱藏 • 利用現有的網路設備便可以 • 增進系統的效能: • 在secure channel建立後， 就不必再做數位信封的加密運算. • 可以做跨平台的安全服務 • UNIX， Windows， Linux等 • 系統可以有較好的發展空間: • Browser也支援所以還可以有更多的應用， 例如再加上網頁式的簽章， 便可以達到無可否認的服務， 以達便民的目的. • 無線通訊也支援: WTLS

  33. 為什麼使用 SSL做閘門的安全平台(3) • CipherSuite可以與時更新 • 合於閘門的安控規範 • 提供end-to-end 的安全 • IR及IP端自己做好內部的存取控制

  34. SSL如何用在電子閘門的功能規範中 SSL模組增強了原先的: 網路互連模組及資料加解密模組和檔案傳輸模組 並可輔助 :IR端的(1)及(6) ， IP端的(1)

  35. 安全電子閘門平台名詞說明 • 使用SSL的通訊協定， 網路轉接和授權存取控管的機制來實做安全電子閘門平台． • 這樣的機制簡稱為SSL Relay • 在電子閘門上的應用系統， 可以自由的再加上應用層的安全機制

  36. SSL Relay與一般SSL的比較 • SSL轉接與一般SSL的差別? • 兩者是互通的 • 將SSL自Web server做一個分離， 而做為client/server的 front-end之 SSL proxy. • 有較好的TCP socket的轉接功能 • 可以做授權的管制 • 可以使用GCA的憑證金鑰對 • 所用的保密函式庫不受國外的監控

  37. 目前已使用SSL Relay的閘門或資訊系統 • 內政部地政閘門系統 • 內政部戶政閘門系統 • 經濟部電子工商閘門系統 • 財政部財稅資料中心稅務電子閘門 • 財政部關稅總局貨物通關電子閘門 • 內政部警政署警政治安電子閘門 • 郵局地址遷移通報系統 • 勞工保險局勞保電子閘門

  38. SSL Relay應用於電子閘門 IP 在Browser及IR和IR 及IP Gateway都使用SSL TCP use SSL Relay Server TCP AP Server GSN IR 202.39.131.178 210.71.181.152 Relay Server https 210.71.181.151 Internet Firewall TCP https AP Web Server Browser User 註: IR AP Web Server通訊程式: MvdisWebRPrj.dll TCP Port # 設成 5168。 表示Secure channel 10.144.133.82 SSL Relay client/ Browser SSL client Firewall

  39. 政府服務平台願景 100

  40. 政府服務平台Web Service Security使用SSL憑證 • 使用GPKI所簽發之各類憑證 • 運用SSL/TLS 解決完整性、鑑別性與機密性之安全需求 • 結合XML Signature解決完整性、鑑別性與不可否認性之安全需求 • 結合XML Encryption解決機密性之安全需求 • 未來或許會使用SAML解決存取控制與授權問題

  41. SSL憑證應用之問題 • 運用SSL/TLS 解決完整性、鑑別性與機密性之安全需求，但無法滿足不可否認性之需求. • SSL雖然能解決信用卡號等敏感資料在網路傳遞時被擷取之風險，但不能解決信用卡號儲存在公司網站或後端資料庫被竊取之問題. • 建議做到後端資料庫與Internet之隔離以及資料之加密與權限控管機制

  42. SSL VPN From CHT Dr. Dung-Ming Shieh 2004 ITS 公司 A 所有 Session都用 SSL加密 ISP Network 公司A行動用戶 AAA T1 專線 公司 B SSL VPN Gateway Internet T1 專線 AAA 公司C行動用戶 T1 專線 公司 C VPN的趨勢， 考量安全通訊的互運性，SSL VPN將比 IPSec VPN更受歡迎， 此為網際網路服務業者提供 SSL VPN 服務之模式 AAA

  43. Internet Gateway Client Server Encoded Request/Response Request/Response WAE Encoder/Decoder contents WSP WSP HTTP HTTP WTP WTP WTLS WTLS SSL SSL WDP WDP TCP/IP TCP/IP Bearer Bearer Bearer Bearer Wireless PKI(WPKI) 架構 From CHT Dr. Dung-Ming Shieh 2004 ITS • WAP 1.x 設定 WAP: Wireless Application Protocol

  44. WIM Overview: WAP Security Model Transaction Security(e2e) WIM WMLScript CryptoLib WMLScript CryptoLib Web Server WAP Gateway WTLS SSL Channel Security WTLS : Wireless Transport Layer Security WIM : Wireless Identity Module WPKI : Wireless Public key Infrastructure WAP : Wireless Application Protocol SSL : Secure Socket Layer WPKI Portal From CHT Dr. Dung-Ming Shieh 2004 ITS Form KISA

  45. NTT Docomo等4社以PKI研發手機認證技術 • Source: IThome • NTT Docomo等4社以PKI研發手機認證技術 文/張志裕(編譯) 2007-01-23 NTT Docomo、KDDI研究所、日立、NEC等4社從2004年起接受獨立行政法人情報通信研究機構（NICT）委託，研究行動通訊資安技術的計畫，耗資6億日圓在3年後的今天（1/23）正式宣布成功研發不同手機業者間可彼此互通的手機認證技術。 這項技術捨棄了傳統ID與密碼搭配認證方式，改用較難被第三者盜用的電子憑證「公開金鑰基礎建設」（Public Key Infrastructure，PKI）技術研發。使用者可透過電子憑證發行單位取得自己專屬的電子憑證，提供各種手機服務的業者則根據這個憑證來辨識本人，免除輸入密碼有可能被盜取的問題。

  46. NTT Docomo等4社以PKI研發手機認證技術(續) • 此外，由於這種認證法在發行電子憑證時必須先提供姓名、地址等個人資訊，因此使用者自然不需要再輸入個人資訊進行抽獎、問卷調查、飯店住房確認等利用手機執行的服務。 4社表示，此項技術的優點在於既能提升使用手機服務的安全性，不同手機業者之間也能利用統一的認證方式產製優良服務與商業機制，而利用此技術的手機實地實驗預定在1/25在77家手機相關事業者所組織的mITF（mobile IT Forum）中實施，2/6將由mITF與NICT共同說明實驗結果。（編譯/張志裕）

  47. 系統登入設計、Replay攻擊及其對策

  48. 應用系統之環境需求 • 採用之技術 • ASP & ASP.Net • Java (Servlet,JSP) • 應用系統的平台 • IIS • Apache、Tomcat • J2EE

  49. PKI-enabled應用系統的成功關鍵 • 信賴具有公信力的憑證管理中心 • 做到應有的安全檢查項目。 • 金鑰儲存媒體的控制 • IC卡。 • 軟體金鑰(PFX) • 良好的使用者介面 • 防呆、防止鎖卡 • 使用者之教育(金鑰的保護)

  50. 系統展示 • 以HiPKI Demo Site 來展示一個典型的 PKI-enabled之應用系統之功能。 • Client (IE、JavaScript、COM元件) • Server(IIS or Apache、JSP、COM元件) • Secure-Login • IC卡(自然人憑證) • 數位簽章 • 數位信封 • 憑證解析

More Related