面向網絡應用層安全的分析與設計

谷錚

摘 要

網絡已經普及，在給整個社會帶來巨大變革的同時，網絡安全形勢日益復雜和嚴峻，通過對網絡的攻擊能夠獲取到有價值的信息或者偽造信息進而實施欺騙能夠造成重大信息泄露和損失，并且通過網絡攻擊造成網絡癱瘓，這使得我們不禁去思考怎樣才能提高網絡安全性，避免造成重大損失。

【關鍵詞】網絡應用層 安全 HTTPS攻擊

隨著越來越多的人開始使用網絡，網絡的安全可靠就變得尤為重要，隨著網絡基礎協議的逐漸完善，網絡攻擊向應用層發展的趨勢越來越明顯，諸如應用層的DDOS攻擊、HTTPS攻擊以及DNS劫持發生的次數越來越多，特別是HTTPS由于已經被電子商務、互聯網金融、政務系統等廣泛使用，如果遭受攻擊造成的損失和影響非常大，面對這些網絡應用層安全事件，應該仔細分析目前的形勢，探究發生這些事件的緣由，據此提出自己的建議。

1 應用層安全分析

網絡OSI模型分七層，通過示意圖我們可以看到應用層位于最頂端，目前仍然活躍并被廣泛使用的應用層協議主要有：HTTP、HTTPS、SMTP、POP3、DNS、DHCP、NTP等，常見攻擊主要利用http/https協議以及DNS協議進行。下面將就目前逐漸被廣泛應用的https進行一些分析與研究。

HTTPS原理：

1.1 內容加密

加密算法一般分為兩種，對稱加密和非對稱加密。對稱加密就是指加密和解密使用的是相同的密鑰。而非對稱加密是指加密和解密使用了不同的密鑰。如圖1、圖2所示。

對稱加密的加密強度是挺高的，但是問題在于無法安全保存生成的密鑰。

非對稱加密則能夠很好地解決這個問題。瀏覽器和服務器每次新建會話時都使用非對稱密鑰交換算法生成對稱密鑰，使用這些對稱密鑰完成應用數據的加解密和驗證，會話在內存中生成密鑰，并且每個對話的密鑰也是不相同的，這在很大程度上避免了被竊取的問題，但是非對稱加密在提高安全性的同時也會對https連接速度產生影響，下面將會探究一下非對稱加密算法，以便為下一步分析安全風險做準備

1.1.1 非對稱密鑰交換

非對稱加密出現主要是為了解決對稱密鑰保存的安全性不足問題，密鑰交換算法本身非常復雜，密鑰交換過程涉及到隨機數生成，模指數運算，空白補齊，加密，簽名等操作。常見的密鑰交換算法有RSA，ECDHE，DH，DHE等算法。它們的特性如下：

RSA：算法實現簡單，誕生于1977年，歷史悠久，經過了長時間的破解測試，安全性高。缺點就是需要比較大的素數（目前常用的是2048位）來保證安全強度，很消耗CPU運算資源。RSA是目前唯一一個既能用于密鑰交換又能用于證書簽名的算法。

DH：diffie-hellman密鑰交換算法，誕生時間比較早（1977年），但是1999年才公開。缺點是比較消耗CPU性能。

ECDHE：使用橢圓曲線（ECC）的DH算法，優點是能用較小的素數（256位）實現RSA相同的安全等級。缺點是算法實現復雜，用于密鑰交換的歷史不長，沒有經過長時間的安全攻擊測試。

ECDH：不支持PFS，安全性低，同時無法實現false start。

建議優先使用RSA加密，這也是目前最普及的非對稱加密算法，應用十分廣泛

非對稱密鑰交換算法是整個HTTPS得以安全的基石，充分理解非對稱密鑰交換算法是理解HTTPS協議和功能的非常關鍵的一步，下面重點探究一下RSA在密鑰交換過程中的應用。

1.1.1.1 RSA密鑰協商

（1）RSA算法介紹。RSA算法的安全性是建立在乘法不可逆或者大數因子很難分解的基礎上。RSA的推導和實現涉及到了歐拉函數和費馬定理及模反元素的概念。從目前來看，RSA也是HTTPS體系中最重要的算法，沒有之一。RSA的計算步驟如下：

1.隨機挑選兩個質數p， q，假設p = 13， q = 19。 n = p * q = 13 * 19 = 247。

2.?（n）表示與整數n互質數的個數。如果n 等于兩個質數的積，則?（n）=（p-1）*（q-1） 挑選一個數e，滿足1< e