高分征资料。。。
请提供SSL得有关资料，我想再应用程序里面应用SSL。
在安全技术里还有一篇。给分绝不含糊
问题点数：240、回复次数：9Top
1 楼iwome（水兔子）回复于 2001-01-05 17:50:00 得分 0
这样你会很累的,为什么要在自己的程序里面应用SSL呢,其实SSL配置一下就可以了啊Top
2 楼eyeblue（李洋）回复于 2001-01-05 18:39:00 得分 100
你的程序是winsock程序吗？
windows里的winsock2是不支持SSL编程的，windows的RPC里实现了SSL
你是什么情况？Top
3 楼acrosslove（野陋轩主）回复于 2001-01-06 10:53:00 得分 50
http://www.openssl.org
不过是E文的,嘿嘿!!Top
4 楼kingwill（周二球）回复于 2001-01-08 09:52:00 得分 0
我用socket写c\s的程序在广域上跑，因为所传输的数据需要保密。另外winsock支持ssl，ssl有一部分就是为了winsock定制的。Top
5 楼eyeblue（李洋）回复于 2001-01-12 21:59:00 得分 0
winsock2 确实是不支持ssl的(虽然第三方用winsock做了SSL库)，msdn里是这么说的
所以才有收费的ssl库卖，也所以才有人做免费的 OpenSSL 库Top
6 楼kincaid（IT苦行僧）回复于 2001-01-14 16:20:00 得分 40
本人做过RSA加解密技术。想要吗？Top
7 楼iwome（水兔子）回复于 2001-01-16 15:46:00 得分 0
那你可以用Openssl的源代码啊，那个招商行的开发人员用了3年的时间把Openssl的源码搞定的，然后他们就可以在程序里面用了啊Top
8 楼KillerAPP（十二月的枫）回复于 2001-01-16 16:26:00 得分 50
电子商务主要的安全要素
（1）有效性 EC以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性 则是开展E的前提。EC作为贸易的一种形式,其信息的有效性将直接关系到个人、 企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误 、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保 证贸易数据在确定的时刻、确定的地点是有效的。
（2）机密性 EC作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。 传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来 达到保守机密的目的。EC是建立在一个较为开放的网络环境上的(尤其Internet 是更为开放的网络),维护商业机密是EC全面推广应用的重要保障。因此,要预防 非法的信息存取和信息在传输过程中被非法窃取。
（3）完整性 EC简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的 完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信 息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也 会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和 经营策略,保持贸易各方信息的完整性是EC应用的基础。因此,要预防对信息的随 意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息 传送次序的统一。
（4）可靠性/不可抵赖性/鉴别 EC可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是 进行交易所期望的贸易方这一问题则是保证EC顺利进行的关键。在传统的纸面贸 易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章 来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也 就是人们常说的"白纸黑字"。在无纸化的EC方式下,通过手写签名和印章进行贸易 方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、 企业或国家提供可靠的标识。
（5）审查能力 根据机密性和完整性的要求,应对数据审查的结果进行记录。
电子商务采用的主要安全技术及其标准规范
考虑到安全服务各方面要求的技术方案已经研究出来了,安全服务可在网络上 任何一处加以实施。但是,在两个贸易伙伴间进行的EC,安全服务通常是以"端到端 "形式实施的(即不考虑通信网络及其节点上所实施的安全措施)。所实施安全的等 级则是在均衡了潜在的安全危机、采取安全措施的代价及要保护信息的价值等因 素后确定的。这里将介绍EC应用过程中主要采用的几种安全技术及其相关标准规 范。
（1）加密技术 加密技术是EC采取的主要安全措施,贸易方可根据需要在信息交换的阶段使用 。目前,加密技术分为两类,即对称加密和非对称加密。 ①对称加密/对称密钥加密/专用密钥加密 在对称加密方法中,对信息的加密和解密都使用相同的密钥。也就是说,一把钥匙 开一把锁。使用对称加密方法将简化加密的处理,每个贸易方都不必彼此研究和 交换专用的加密算法,而是采用相同的加密算法并只交换共享的专用密钥。如果 进行通信的贸易方能够确保专用密钥在密钥交换阶段未曾泄露,那么机密性和报 文完整性就可以通过对称加密方法加密机密信息和通过随报文一起发送报文摘要 或报文散列值来实现。对称加密技术存在着在通信的贸易方之间确保密钥安全交 换的问题。此外,当某一贸易方有"n"个贸易关系,那么他就要维护"n"个专用密钥 (即每把密钥对应一贸易方)。对称加密方式存在的另一个问题是无法鉴别贸易发 起方或贸易最终方。因为贸易双方共享同一把专用密钥,贸易双方的任何信息都是 通过这把密钥加密后传送给对方的。 数据加密标准(DES)由美国国家标准局提出,是目前广泛采用的对称加密方式之一 ,主要应用于银行业中的电子资金转帐(EFT)领域。DES的密钥长度为56位。三重D ES是DES的一种变形。这种方法使用两个独立的56位密钥对交换的信息(如EDI数据 )进行3次加密,从而使其有效密钥长度达到112位。RC2和RC4方法是RSA数据安全公 司的对称加密专利算法。RC2和RC4不同于DES,它们采用可变密钥长度的算法。通 过规定不同的密钥长度,RC2和RC4能够提高或降低安全的程度。一些电子邮件产 品(如Lotus Notes和Apple的Opn Collaboration Environment)已采用了这些算 法。 ②非对称加密/公开密钥加密 在非对称加密体系中,密钥被分解为一对(即一把公开密钥或加密密钥和一把专用 密钥或解密密钥)。这对密钥中的任何一把都可作为公开密钥(加密密钥)通过非 保密方式向他人公开,而另一把则作为专用密钥(解密密钥)加以保存。公开密钥 用于对机密性的加密,专用密钥则用于对加密信息的解密。专用密钥只能由生成 密钥对的贸易方掌握,公开密钥可广泛发布,但它只对应于生成该密钥的贸易方。 贸易方利用该方案实现机密信息交换的基本过程是:贸易方甲生成一对密钥并将 其中的一把作为公开密钥向其他贸易方公开;得到该公开密钥的贸易方乙使用该 密钥对机密信息进行加密后再发送给贸易方甲;贸易方甲再用自己保存的另一把 专用密钥对加密后的信息进行解密。贸易方甲只能用其专用密钥解密由其公开密 钥加密后的任何信息。 RSA(即Rivest, Shamir Adleman)算法是非对称加密领域内最为著名的算法,但是 它存在的主要问题是算法的运算速度较慢。因此,在实际的应用中通常不采用这 一算法对信息量大的信息(如大的EDI交易)进行加密。对于加密量大的应用,公开 密钥加密算法通常用于对称加密方法密钥的加密。
（2）密钥管理技术 ①对称密钥管理 对称加密是基于共同保守秘密来实现的。采用对称加密技术的贸易双方必须要保 证采用的是相同的密钥,要保证彼此密钥的交换是安全可靠的,同时还要设定防止 密钥泄密和更改密钥的程序。这样,对称密钥的管理和分发工作将变成一件潜在 危险的和繁琐的过程。通过公开密钥加密技术实现对称密钥的管理使相应的管理 变得简单和更加安全,同时还解决了纯对称密钥模式中存在的可靠性问题和鉴别问题。 贸易方可以为每次交换的信息(如每次的EDI交换)生成唯一一把对称密钥并用 rnoR公开密钥对该密钥进行加密,然后再将加密后的密钥和用该密钥加密的信息 (如EDI交换)一起发送给相应的贸易方。由于对每次信息交换都对应生成了唯一 一把密钥,因此各贸易方就不再需要对密钥进行维护和担心密钥的泄露或过期。 这种方式的另一优点是即使泄露了一把密钥也只将影响一笔交易,而不会影响 到贸易双方之间所有的交易关系。这种方式还提供了贸易伙伴间发布对称密钥的 一种安全途径。 ②公开密钥管理/数字证书 贸易伙伴间可以使用数字证书(公开密钥证书)来交换公开密钥。国际电信联 盟(ITU)制定的标准X.509(即信息技术--开放系统互连--目录:鉴别框架)对数字 证书进行了定义该标准等同于国际标准化组织(ISO)与国际电工委员会(IEC)联合发布的 ISO/IEC 9594-8:195标准。数字证书通常包含有唯一标识证书所有者(即贸易方)的名称、 唯一标识证书发布者的名称、证书所有者的公开密钥、证书发布者的数字签名、 证书的有效期及证书的序列号等。证书发布者一般称为证书管理机构(CA),它是 贸易各方都信赖的机构。数字证书能够起到标识贸易方的作用,是目前EC广泛采 用的技术之一。微软公司的InternetExplorer 3.0和网景公司的Navigator 3.0 都提供了数字证书的功能来作为身份鉴别的手段。 ③密钥管理相关的标准规范 目前国际有关的标准化机构都着手制定关于密钥管理的技术标准规范。ISO与 IEC下属的信息技术委员会(JTC1)已起草了关于密钥管理的国际标准规范。该规范 主要由3部分组成:第1部分是密钥管理框架;第2部分是采用对称技术的机制;第3部 分是采用非对称技术的机制。该规范现已进入到国际标准草案表决阶段,并将很快 成为正式的国际标准。
（3）数字签名 数字签名是公开密钥加密技术的另一类应用。它的主要方式是:报文的发送方 从报文文本中生成一个128位的散列值(或报文摘要)。发送方用自己的专用密钥 对这个散列值进行加密来形成发送方的数字签名。然后,这个数字签名将作为报 文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报 文中计算出128位的散列值(或报文摘要),接着再用发送方的公开密钥来对报文附 加的数字签名进行解密。如果两个散列值相同,那么接收方就能确认该数字签名 是发送方的。通过数字签名能够实现对原始报文的鉴别和不可抵赖性。 ISO/IEC JTC1已在起草有关的国际标准规范。该标准的初步题目是"信息技术 安全技术带附件的数字签名方案",它由概述和基于身份的机制两部分构成 。
（4） Internet电子邮件的安全协议 电子邮件是Internet上主要的信息传输手段,也是EC应用的主要途径之一。 但它并不具备很强的安全防范措施。Internet工程任务组(IEFT)为扩充电子邮件 的安全性能已起草了相关的规范。 ①PEM PEM是增强Internet电子邮件隐秘性的标准草案,它在Internet电子邮件的标 准格式上增加了加密、鉴别和密钥管理的功能,允许使用公开密钥和专用密钥的 加密方式,并能够支持多种加密工具。对于每个电子邮件报文可以在报文头中规定 特定的加密算法、数字鉴别算法、散列功能等安全措施。PEM是通过Internet传输 安全性商务邮件的非正式标准。有关它的详细内容可参阅Internet工程任务组公 布的RFC 1421、RFC 1422、RFC143 和RFC 1424等4个文件。PEM有可能被S/MIME和 PEM-MIME规范所取代。 ② S/MIME S/MIME(安全的多功能Internet电子邮件扩充)是在RFC1521所描述的多功能Inter net电子邮件扩充报文基础上添加数字签名和加密技术的一种协议。MIME是正式的 Internet电子邮件扩充标准格式,但它未提供任何的安全服务功能。S/MIME的目的 是在MIME上定义安全服务措施的实施方式。S/MIME已成为产界业广泛认可的协议 ,如微软公司、Netscape公司、Novll公司、Lotus公司等都支持该协议。 ③PEM-MIME(MOSS) MOSS(MIME对象安全服务)是将PEM和MIME两者的特性进行了结合。
（5） Internet主要的安全协议 ① SSL SSL(安全槽层)协议是由Netscape公司研究制定的安全协议,该协议向基于TCP/ IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密 性等安全措施。该协议通过在应用程序进行数据交换前交换SSL初始握手信息来实 现有关安全特性的审查。在SSL握手信息中采用了DES、MD5等加密技术来实现机密 性和数据完整性,并采用X.509的数字证书实现鉴别。该协议已成为事实上的工业 标准,并被广泛应用于Internet和Intranet的服务器产品和客户端产品中。如 Netscape公司、微软公司、IBM公司等领导Internet/Intrnet 网络产品的公司已 在使用该协议。 此外,微软公司和Visa机构也共同研究制定了一种类似于SSL的协议,这就是 PCT(专用通信技术)。该协议只是对SSL进行少量的改进。 ②S-HTTP S-HTTP(安全的超文本传输协议)是对HTTP扩充安全特性、增加了报文的安全性,它 是基于SSL技术的。该协议向WWW的应用提供完整性、鉴别、不可抵赖性及机密性 等安全措施。目前,该协议正由Internet工程任务组起草RFC草案。
（6）UN/EDIFACT的安全 EDI是EC最重要的组成部分,是国际上广泛采用的自动交换和处理商业信息和管 理信息的技术。UN/EDIFACT报文是唯一的国际通用的EDI标准。利用Internet进行 EDI已成为人们日益关注的领域,保证EDI的安全成为主要解决的问题。联合国 下属的专门从事UN/EDIFACT标准研制的组织--UN/ECE/WP4(即贸易简化工作组)于 1990年成立了安全联合工作组(UN-SJWG),来负责研究UN/EDIFACT标准中实施安全 的措施。该工作组的工作成果将以ISO的标准形式公布。 在ISO将要发布的ISO 9735(即UN/EDIFACT语法规则)新版本中包括了描述 UN/EDIFACT中实施安全措施的5个新部分。它们分别是:第5部分--批式EDI(可靠性 、完整性和不可抵赖性)的安全规则;第6部分--安全鉴别和确认报文(AUTACK);第 7部分--批式EDI(机密性)的安全规则;第9部分--安全密钥和证书管理报告 (KEYMAN);第10部分--交互式EDI的安全规则。 UN/EDIFACT的安全措施主要是通过集成式和分离式两种途径来实现。集成式 的途径是通过在UN/EDIFACT报文结构中使用可选择的安全头段和安全尾段来保证 报文内容的完整性、报文来源的鉴别和不可抵赖性; 而分离式途径则是通过发送3种特殊的 UN/EDIFACT报文(即AU TCK、KEYMAN和 CIPHER来达到保障安全的目的。
（7）安全电子交易规范(SET) SET向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。它是由 Visa国际组织和万事达组织共同制定的一个能保证通过开放网络(包括Internet) 进行安全资金支付的技术标准。参与该标准研究的还有微软公司、IBM公司、 Netscape公司、RSA公司等。SET主要由3个文件组成,分别是SET业务描述、SET程 序员指南和SET协议描述。SET 1.0版已经公布并可应用于任何银行支付服务。
Visa和MasterCard公司的调查报告表明，担心信用卡号被窃取已经成为影响人们通过网 络进行交易中存在的最大问题。如何在网上保证交易的公正性和安全性，保证交易方身 份的真实性，保证传递信息的完整性以及交易的不可抵赖性，成为推广电子商务过程中 人们最为关心的问题。
因此，在Internet上发送和接收信息时要证明： 除发送方和接收方外，不得被其他人知悉； 传输过程中不被篡改； 发送方能确信接收方不是假冒的； 发送方不能否认自己的发送行为。 数字认证可用电子方式证明信息发送者和接收者的身份、文件的完整性(如一个发票未被 修改过）。保证电子商务安全的另一要点就是使用加密技术对敏感的信息进行加密。现 在，有一些专用密钥加密（如Triple DES、IDEA、RC4和RC5）和公钥加密（如RSA、SEE K、PGP和EU）可用来保证电子商务的保密性、完整性、真实性和非否认服务。 Netscape推出的SSL（安全套接层），主要目的是提供Internet 上的安全通信服务。它 能够对信用卡和个人信息提供较强的保护，因此在信用卡交易方面，商家可以通过SSL在 Web上实现对信用卡订单的加密，Navigator和Internet Explorer浏览器都支持SSL。但 SSL加密技术的出口受到美国国家安全局（NSA） 的限制 。
目前，美国的商家一般都可以 使用128位的SSL，但美国只允许加密密钥为40位以下的算法出口。虽然40位的SSL也具有 一定的加密强度，但它的安全系数显然比128位的SSL要低得多。上海市电子商务安全证 书管理中心推出128位SSL的算法，弥补国内的空缺，并采用数字签名等技术确保电子商 务的安全。 1997年5月，由Visa、MasterCard等联合推出的安全电子交易（SET -- Security Elect ronic Transaction）规范为在Internet上进行安全的电子商务提供了一个开放的标准。 这个规范得到了IBM、Netscape、Microsoft、Oracle, GTE, VeriSign, SAIC, Terisa等 公司的支持。SET主要使用电子认证技术，其认证过程使用RSA和DES算法，因此，可以为 电子商务提供很强的安全保护。
Top
9 楼KillerAPP（十二月的枫）回复于 2001-01-16 16:27:00 得分 0
用搜索引擎搜嘛，网上资料那么多，还能找不到想要的?Top
