Web安全、隐私和商务（第二版）

　　"随着internet安全威胁愈演愈烈，解决方案也日趋复杂，仅仅为了应付一些表面的问题，基本的安全原则经常被人弃之不顾。本书紧紧抓住现代计算环境中安全和隐私的本质内容。主题富于启发，贴近实际，语言生动幽默--即使对业内资深人士也会有所裨益。我向所有安全人士--包括新手和富有经验的从业者推荐本书，安全领域的所有教师和作者也都应该反复阅读。"
　　 --genekim，cto，tripwire公司
　　 "本书为网站运营人员不可不读之作。它能教给你做出理智决策所需的理论知识，实例丰富。即使你已经有多年经验，仍然能够从中获益良多。"
　　 --reuvenlerner，《linux journal》专栏作者，web／数据库顾问
　　 web安全、隐私和商务
　　 自从这本经典图书的第一版出版以来，网络的应用呈爆炸之势，电子商务已经成了 我们生活和工作的一部分。与此同时，对我们安全和隐私的威胁也随之增加——从信用卡欺骗，到商家对我们隐私的不断侵犯，从网站的被窜改，到一些著名网站受到攻击而不得不关闭。
　　 本书深入探讨了今天我们所面对的主要安全威胁。在经过彻底的修订篇幅几乎达到了第一版的两倍之后，本书将继续成为web安全方面的权威著作。[font color="#ff6600"]涉及的主题包括： [/font]
　　 · web技术--密码学，ssl，pki，密码常识，数字签名和生物认证。
　　 · 普通用户的web隐私和安全性--cookie，日志文件，垃圾邮件，网络日志，网络窃听器，个人身份信息，身份盗窃，以及插件、activex控件、javaapplet等等中的恶意移动代码。
　　 · 管理员和内容提供商的web服务器安全性--cgi，php，ssl证书，p3p和隐私策略， 数字支付，客户端签名，代码签名，pics，知识产权，法律问题等等。
　　
　　

前言
第一部分 web技术
第一章 了解web安全
web安全问题
风险分析和最佳实践
第二章 万维网的体系结构
历史和术语
网络上数据包的传输
internet的拥有者
第三章 密码学基础
密码术
对称密钥算法
公共密钥算法
报文摘要函数
第四章 密码术和web
密码术和web安全
使用密码术系统和协议
密码术的作用
密码术的法律局限性
第五章 了解ssl和tls

　　由于对软件工程，特别是对面向对象的软件开发技术很有兴趣，我有幸得到翻译本书的机会。这对我本人来讲也是个难得的学习机会。在我的教学和工作过程中，我深深地体会到，软件工程这门课程从本科到研究生一直到工作岗位，对教师来说，一直被认为是计算机专业里很难讲的一门课；对学生来说，他们也大多觉得课上完了，可没学到什么东西。究其原因，我认为一是因为教材更新较慢，目前大部分教材的内容没有反映软件工程技术的最新发展，学生学的东西和实际工作使用的技术不能很好的衔接；二是因为软件工程是一门实践环节很重要的课程，光靠书本上的讲授很难让学生深刻地体会到软件工程的精髓。
　　本书是最近本人所看到的一些讲解面向对象开发技术里比较成功的一本。它基本上克服了上述缺点。一方面它基本涵盖了面向对象技术里的方方面面，从UML到设计模式、从软件开发过程到框架，包括了面向对象最近发展的最新进展；另一方面，该书不是简单地介绍概念，而是循序渐进地用实例讲解这些设计模式、框架的使用，让读者能直观地体会这些技术的使用场合和使用技巧。另外，本书使用的示例语言是Java语言，这是本书的重要特点之一。原则上讲，使用何种语言并不是关键，但Java语言能以其固有的易读性让读者把主要精力放在理解面向对象开发的技巧，而不是语言的细枝末节上。我认为这一点本书是很成功的。
　　当然，我们也不能寄希望于通过本书完全掌握面向对象开发技术。有人说，软件工程是一门艺术而不是科学，我们姑且不讨论这句话的对与错，至少它从一个侧面反应了软件工程技术是需要长期积累和体会才可能真正领会其精髓的。因此，在阅读本书时，最好能够结合阅读其他讲解软件工程，特别是面向对象软件开发的书籍。本书每章最后都有推荐的补充读物，读者可根据自身情况有选择地阅读。
　　 本书在翻译过程中，得到了编辑车立红小姐的大力支持，在此表示最诚挚的谢意。同时感谢清华大学出版社给了我这个机会，让我对面向对象开发技术有了更深刻的理解。另外，微软全球技术中心的藤剑锋先生、德恒证券的潘彦先生、复旦大学的孙未未先生以及复旦德门软件有限公司的朱建秋先生参与了本书的翻译工作。在此向他们表示感谢，没有他们的辛勤工作，本书的完稿是不可想像的。最后，感谢在本书的翻译过程不断给了我鼓励和支持的所有朋友和家人。
　　
　　
　　杨茂江
　　
　　

　　 万维网(World Wide Web，WWW)改变了一切。在美国，大多数人都在使用网络处理日常问题。人们可以利用网络来阅读新闻，查询天气情况甚至历史事件。于是网络逐渐成为21世纪经济的焦点。现在，不管是购买50美元的收音机还是进行价值500万的商务贸易，都要利用网络。
　　 但是网络也存在着风险。在网络的使用过程中发生的许多事情不断地提醒大家，21世纪的网络其实是和18世纪60年代拓荒前的美国西部一样充满了危险。例如：
　　· 2000年2月，Yahoo、Buy、Amazon、CNN、E*Trade以及其他一些网站都被迫关闭了几个小时，原因是几千个计算机用户同时登录这些网站进行大规模的协同攻击。尽管大多数网站在几个小时后就恢复正常，但是，这次攻击仍造成了巨大的损失。比如雅虎就声称，在这次攻击中仅在广告方面每分钟就损失了100万美元。
　　· 1999年12月，一个自称"Maxim"的19岁的俄国男孩闯入了由eUniverse公司开发的CDUniverse网络数据库，并拷贝了300000多个信用卡号码。随后，Maxim就发了一份传真给eUniverse公司威胁说，如果不给他100000美元，他就将窃取的信用卡号码发送到万维网上(注1)。12月25号，当公司拒绝了该项勒索之后，Maxim就将25000多个信用卡号码发送到黑客网站MaxusCreditCardPipeline(注2)造成了许多信用卡的欺诈和滥用。于是，大部分的信用卡被其所属银行取消，从而给信用卡的合法客户(注3)带来了诸多不便。同年，一些相似的侵入者和信用卡窃贼还闯进了RealNames(注4)、CreditCard、EggHead和其他公司的网站。
　　· 2000年10月，一个哈佛大学的学生发现，只要对Buy公司发送给客户的退货的URL(Uniform Resource Locator，统一资源定位器)地址进行简单的修改，他就可以看到该公司的消费者的姓名、地址以及电话号码。学生Ben Edelman告诉《Wired News》有线新闻的记者说："如此明显地轻视安全问题是不可原谅的。"(注5)
　　· 因特网上的攻击目标并不仅仅局限于电子商务网站，许多高度机密的网站都遭到了修改主页的攻击。像美国司法部、美国中央情报局(见图P-1)、美国空军、联合国儿童基金会以及纽约时报等均遭到过这种类型的攻击。在网址为http：／／www．antionline.con／archives/pages／的网站上有320多个黑客的主页。对网络服务器的攻击并不是我们在电子科技的前沿所面对的唯一风险。
　　· 2000年8月25日，一条虚构的新闻被上传到一个因特网新闻机构--InternetWire。新闻的发布者声称消息是来自计算机硬件制造厂商--Emulex公司，并声称该公司的首席执行官已经辞职，公司迫于无奈只好调整本季度的收入来减少损失。第二天早晨，该公司的股票价格下跌了60％：几个小时之内，这个价值数亿美元的公司损失了将近一半的资产。几天之后，权威人土宣称Emulex公司的恶作剧是由这家网络新闻服务机构的一个前雇员制造的，据说他在新闻发布前，出售Emulex的股票获利将近25万美元。
　　· 2000年5月4日，一个名为"LoveBug"的快速传播的蠕虫病毒侵入网络。几个小时之内，整个因特网上有将近几亿台计算机遭到感染，并造成了不可估量的损失。该病毒程序是用微软的VBScript编写的，当用户打开微软Outlook电子邮件软件时，就会感染这个病毒。一旦执行了该病毒程序，这个蠕虫就会将自己复制多份，然后按照用户地址簿里的地址不断地发送，破坏每一个MP3和JPEG文件，使它们无法正常安装在用户的机器上。
　　· 快速增长的蠕虫会感染受害者的硬盘里的Word和Excel文件。这些受到感染的文件会通过电子邮件发送给地址簿里的每个收件人。这种方式的传播不仅频繁，而且往往会把一些机密文件发送给了不适宜的收件人。
　　 Web不仅仅是给各个公司带来威胁，还有许多在线聊天者，他们使用Web来获取别人的私人信息或对他人进行骚扰。比如一些恋童癖者，他们先同儿童建立一定的关系，然后便引诱这些儿童离开家。即使使用匿名聊天也是不安全的：1999年2月，美国国防合同承包大企业Raytheon上诉21名匿名人土，这21人在雅虎的在线聊天的布告栏里对该公司发表了具有毁谤性质的言论，Raytheon认为这21人是公司的现任雇员，他们泄漏了公司的机密信息，该家公司要求雅虎通过电子邮件的地址找出这些人。雅虎于1999年5月查出了这些人的身份。几天后，Raytheon就宣布已有四名雇员辞职，并撤消了诉讼(注6)。
　　 在网上，即使使用"匿名"服务也会危及用户的隐私和私人信息。对21个曾经在网上访问过与健康有关网站(例如加利福尼亚的健康救护基金会)的用户的调查表明：许多网站中的私人信息都被不经意地泄漏给了第三方，例如广告商。通常，这些网站在进行数据传输时都违背了它们所声称的隐私策略(注7)。与此非常相似，在Intuit的Quicken．com个人理财网站也发现了泄漏信息的情况，它是将住房按揭的计算结果泄漏给了因特网上的广告公司DoubleClick(注8)。
　　Web安全：幸运正在离我们而去吗?
　　我们过去非常幸运，尽管许多商业机构、政府机构以及个人都曾经在Web上发现过潜在的威胁，但是实际上并没有受到明显的、大规模的电子攻击。同样，虽然发生过信用卡号码泄漏的事件，但是经济信息被窃取的事件还是比较少的。尽管我们很容易受到攻击，但是，事情总是不会太糟。
　　 大多数网络攻击者似乎对他们的行为所造成的轰动效应感到满意。尽管一直存在在线犯罪，但是很少能够造成新闻效应。网络安全十分脆弱，但是绝大多数Internet用户还是遵守规则的。
　　 同样，攻击者的目标--直受到了限制。我们所知，没有哪一次大规模的攻击能够永久地冲击Internet或者破坏社会、Internet以及某个公司的最基本的信誉。纽约时报曾经遭到黑客的攻击，但是黑客并没有成功地更改新闻网页。黑客们也曾经成功地盗取了数百万的信用卡号码，但是，真正被直接用来进行信用卡欺诈活动的号码却又不是很多。
　　 实际上，虽然有一些曾经自称非常安全的网络被黑客攻入而蒙羞，但是，没有一个组织机构遭受到持续不断的攻击。美国中央情报局、美国空军以及联合国儿童基金会都遭受过令人尴尬的攻击，但是幸运的是它们现在仍然在提供网络服务。更为幸运的是，由于机密信息都存放在不同的机器上，所以即使黑客侵入，也无法窃取这部分信息。并且每个组织在遭受攻击后的几天内，又可以重新提供服务并正常运行--这次，我们衷心希望，他们能够进一步地改善安全问题。
　　 同样，微软的Internet Explorer和Netscape Navigator都存在着安全漏洞和设计上的缺陷。虽然有些攻击者只是存心捉弄某些网站，但是，他们利用这些缺陷可以阅读用户计算机上的任何文件--更糟糕的是，他们甚至可以在用户的机器上执行任何文件。虽然大部分因特网用户根本不下载安全补丁，也不使用销售商提供的硬件来弥补这些缺陷，但是事实上，这些攻击者和愚弄者很少利用这些缺陷来进行攻击(注9)。
　　不会后退
　　 在安全领域里，想要识别实际存在的威胁和欺骗通常很困难。Allan Pinkerton在1850年创立侦探安全公司(注10)以前，这种商业活动在北美已经存在了200多年；Perry Brink开始他的装甲车服务(注11)时，这种商业性服务也已经存在了9年多。同样诈骗犯们也花了很长时间才意识到周围实际上存在着很多没有加以保护的财富。
　　 同样的事情也发生在因特网上，每过一年，我们都能发现越来越多的网络犯罪。刚开始，黑客们只是简单地丑化某些网站--随后出现了窃取信用卡号码和进行敲诈勒索的事件--2000年12月，据MSNBC详细报道，通过俄罗斯电信和因特网公司，约有几千个消费者的信用卡都损失了5-25美元，由于窃取的金额不是很大，所以大部分受害者并没有意识到这是一种欺诈行为，也就没有报警(注12)。