面向SSL流量檢測網(wǎng)關(guān)的數(shù)字證書技術(shù)研究.pdf

1、隨著基于SSL協(xié)議的應用在Internet和企業(yè)內(nèi)部網(wǎng)絡(luò)上的迅速增長，傳輸流量中SSL流量所占比例也越來越高。由于大多數(shù)網(wǎng)絡(luò)安全設(shè)備無法實現(xiàn)SSL流量的可視性和精確控制，SSL加密流量成為病毒、間諜軟件、欺詐應用和其他網(wǎng)絡(luò)威脅進入企業(yè)網(wǎng)絡(luò)的新渠道，企業(yè)內(nèi)部機密信息也面臨泄漏、偷竊等可能性。為此，當前業(yè)界積極研究如何對SSL流量實施檢測，通過解密SSL流量，提供對通信內(nèi)容的明文檢查，過濾和阻止惡意的SSL流量，實現(xiàn)全面的網(wǎng)絡(luò)安全防護。本文

2、圍繞SSL流量檢測網(wǎng)關(guān)系統(tǒng)的設(shè)計與實現(xiàn)，特別是SSL流量加解密過程中涉及的與數(shù)字證書處理相關(guān)的關(guān)鍵技術(shù)展開研究，提出了網(wǎng)關(guān)數(shù)字證書處理子系統(tǒng)設(shè)計方案，然后在深入分析了各項技術(shù)的實現(xiàn)機制的基礎(chǔ)上，完成了具體實現(xiàn)。為了確保網(wǎng)關(guān)與客戶端之間的SSL應用數(shù)據(jù)的安全交換，本文還設(shè)計和實現(xiàn)了在被保護網(wǎng)絡(luò)中提供統(tǒng)一信任機制的小型CA系統(tǒng)。
　　本研究主要內(nèi)容包括：⑴從SSL流量檢測網(wǎng)關(guān)的部署環(huán)境、功能需求出發(fā)，提出了基于透明攔截模式的系統(tǒng)設(shè)計方

3、案，解決了系統(tǒng)平臺網(wǎng)絡(luò)處理性能、安全策略控制、安全性三者之間的平衡問題。⑵針對網(wǎng)關(guān)與客戶端之間建立SSL會話時產(chǎn)生的信任關(guān)系問題，設(shè)計了支持網(wǎng)關(guān)運作的小型CA系統(tǒng)，該系統(tǒng)同時提供了網(wǎng)關(guān)加解密數(shù)據(jù)所需的密鑰對。CA系統(tǒng)采用二級嚴格層次結(jié)構(gòu)信任模型設(shè)計，網(wǎng)關(guān)與被保護網(wǎng)絡(luò)的客戶端共同信任一個根CA，從而使客戶端接受來自網(wǎng)關(guān)的SSL會話。采用開源軟件包OpenSSL完成CA系統(tǒng)的功能實現(xiàn)。⑶基于網(wǎng)關(guān)工作原理，提出了網(wǎng)關(guān)中數(shù)字證書處理子系統(tǒng)設(shè)計方