網站的安全登錄認證設計

1、網站的安全登錄認證設計用戶登錄是任何一個應用系統(tǒng)的基本功能，特別是對于網上銀行系統(tǒng)來說，用 戶登錄的安全性尤為重要。如何設計一個網站的安全登錄認證程序，是木文主要 討論的問題。靜態(tài)密碼存在著比較多的安全隱患，攻擊者有很多手段獲得靜態(tài)密碼，管理 密碼也具有較高的成木，我在前文中國網上銀行系統(tǒng)安全性分析屮曾經論證 過，使用碩件安全產品“動態(tài)密碼鎖”或者“usb key”可以較好的解決這個問 題，但是會帶來加密鎖的成木，在不增加硬件成木的情況下，我們也可以通過一 些設計上的技巧和措施在一定程度上來保證登錄者的身份。一、客戶端和服務器端的安全客戶端的安全，主要是用戶密碼本身的安全性（密碼長度和復雜性等

2、）以及 用戶電腦的安全性，包括用戶電腦沒有安裝黑客木馬軟件，登錄程序沒有被第三 方程序加載調試，用戶錄入框組織鍵盤hook程序等等，通過一些代碼即可解決。服務器端的安全，包括服務器自身的安全（系統(tǒng)漏洞等等）以及程序設計上 的安全，我這里主要講一下程序設計上的安全。最基本的問題是，用戶的密碼不 應該直接保存在服務器的數據庫上，也不應該將密碼用單鑰算法加密后保存，最 基本的認證方式是通過單向散列函數對密碼進行認證。在軟件加密技術和注冊 機制一文中介紹了一些單向散列函數可以實現簡單的認證。目前大多數網站都 使用md5函數進行登錄認證，不過我推薦使用安全性更高的sha1散列函數來進 行登錄認證。二、網

3、絡傳輸上的安全目前的網絡協(xié)議通過http協(xié)議進行通訊，存在很大的安全隱患，黑客可以 通過sniffer工具進行抓包分析網絡數據包，因此用戶名和密碼的傳輸應該使用 非明文的方式傳輸，這里就用到了 “公開密鑰密碼”的概念。學過基本的“密碼學”的人都應該知道“公開密鑰算法（也叫非對稱算法、 雙鑰算法）”這個概念，即用作加密的密鑰不同于用作解密的密鑰，而且解密密 鑰不能根據加密密鑰計算出來。加密的傳輸過程分為兩部分，一部分為身份認證，用戶鑒別這個用戶的真?zhèn)? 另外一部分為數據加密，用于數據的保密。這兩部分功能都需要用到非對稱加密 技術。首先是身份認證，通訊的數據可以這樣進行處理，將用戶的信息（用戶名、

4、 密碼等）用該用戶的私鑰進行加密，然后再進行傳輸，而在服務器端會保存此用 戶的公鑰，用此用戶的公鑰對傳過來的信息進行解密，就可以得到正確的明文, 這樣就完成了一次安全的網絡通訊。通訊過程的示例如下圖所示，alice用自己的私鑰對明文進行加密后傳輸到 服務器，服務器上的用戶（例如bob）擁有很多用戶的公鑰，因此使用alice的 公鑰對密文進行解密，如果密鑰正確的話，就可以解密出明文，也就完成了對 alice的身份認證。8phinuxt output然后是數據加密，數據加密和數據認證正好相反，使用接收方的公鑰對數拯 進行加密，傳輸的過程屮，即使數據被黑客截獲，也無法使用這些密文，接收方 收到密文后

5、，用自己的私鑰對密文進行解密，從而完成了一次數據的加密傳輸。通訊過程的示例如下圖所示，alice需要發(fā)給bob 段加密的信息，因此 alice就用bob的公鑰對明文進行加密后傳輸給bob, bob收到信息后，使用自 己的私鑰對密文進行解密，就可以解密出明文，也就完成了對alice的發(fā)來密文 的解密過程。plaintext output目前的公開密鑰算法主要有rsa和ecc, rsa是比較老的算法，基于大質數 分解，速度較慢，ecc （橢圓曲線）是最新的公鑰加密算法，基于離散對數計算, 速度比rsa快，安全性據說更高一些。當然，上面的所說的技術只是最為基木的身份認證技術，只是適合-般網站 應用，對于電子商務和銀行來說需要更為復雜和權威的安全認證系統(tǒng)。目前比較 流行的是pki技術。pki （public key infrastructure）是一種新的安全技術, 它由公開密鑰密碼技術、數字證書、證書發(fā)放機構（ca）和關于公開密鑰的安全 策略等基本成分共同組成的。pk