【软件系统架构】系列九：系统安全—网络安全协议

 目录

一、SSL 协议（Secure Sockets Layer）

二、SSH 协议（Secure Shell）

三、SET 协议（Secure Electronic Transaction）

四、Kerberos 协议

核心机制

特点

五、IPSec 协议（Internet Protocol Security）

六、HTTPS 协议（HTTP over SSL/TLS）

七、S/MIME 协议（Secure/Multipurpose Internet Mail Extensions）

八、OAuth 协议（Open Authorization）

九、OpenID Connect（OIDC）

十、JWT（JSON Web Token）

安全协议体系结构对照表

网络安全协议是确保数据在网络中安全传输的基础机制，它通过加密、认证、校验等手段，为网络通信提供机密性、完整性、可用性与不可抵赖性等核心安全保障。

本章介绍的关键协议包括：SSL、SSH、SET、Kerberos，它们覆盖了从Web安全、远程登录到电子支付与身份认证的多种应用场景。

一、SSL 协议（Secure Sockets Layer）

• 作用：保障Web数据传输的安全性，主要用于浏览器与服务器之间的加密通信

• 典型应用：HTTPS（HTTP + SSL/TLS）

• 端口号：443

• 功能特性：

  • 加密通信，防止中间人攻击（MITM）

  • 双向身份验证（支持客户端和服务端）

  • 使用数字证书和公钥基础设施（PKI）

SSL 已被 TLS（Transport Layer Security） 取代，TLS 是 SSL 的升级版本，TLS 1.3 是目前主流版本。

二、SSH 协议（Secure Shell）

• 作用：为远程登录（如 Telnet）与远程文件传输（如 FTP）提供安全通信通道

• 典型应用：远程服务器运维、文件同步（SCP、SFTP）

• 端口号：22

• 功能特性：

  • 使用对称加密与非对称加密相结合方式

  • 支持公钥/口令认证

  • 数据完整性校验、抗重放攻击

SSH 常用于 Linux 远程管理，是替代 Telnet 的标准方案。

三、SET 协议（Secure Electronic Transaction）

• 作用：专用于保障电子支付交易过程的安全

• 典型应用：B2C 电商支付系统中的身份认证与支付数据保护

• 功能特性：

  • 基于 PKI 架构，支持多重加密和身份验证

  • 保证交易的四性：机密性、完整性、真实性、不可否认性

  • 支持卡号隐藏（双重签名：商家不可见卡号，银行不可见购物明细）

SET 协议设计非常严格，但因其实现复杂，在现实中被简化的 SSL+支付网关替代为主流。

四、Kerberos 协议

• 作用：提供网络身份认证服务，防止身份伪造

• 典型应用：企业内部网络登录认证、Windows 域登录、Hadoop集群身份认证等

• 工作机制：基于密钥分发中心（KDC）与票据机制（Ticket）进行认证

核心机制

1. 客户端向认证服务器（AS）请求票据

2. 认证服务器验证后发放会话票据（TGT）

3. 客户端使用TGT向票据授权服务器（TGS）请求访问服务

4. TGS核验后发放服务访问票据

5. 客户端使用票据访问目标服务

特点

• 不依赖操作系统或网络设备的物理安全性

• 抵御中间人攻击和重放攻击

• 所有认证数据都可被监听或拦截，仍可保证安全（前提是KDC可信）

五、IPSec 协议（Internet Protocol Security）

• 作用：在网络层对 IP 数据报进行加密和认证，保障数据在传输过程中的安全

• 典型应用：VPN、企业远程接入、公私网之间的安全通信

• 工作模式：

  • 传输模式：仅加密 IP 数据部分，源和目标主机点对点加密

  • 隧道模式：加密整个 IP 包，常用于网关到网关的 VPN

• 核心协议组件：

  • AH（Authentication Header）：仅认证不加密

  • ESP（Encapsulating Security Payload）：提供加密和认证

• 加密方式：对称加密（如AES）+ 完整性校验（如HMAC）

IPSec 是 VPN 的核心协议，常与 IKE（密钥交换）配合使用。

六、HTTPS 协议（HTTP over SSL/TLS）

• 作用：基于 HTTP 和 SSL/TLS 的组合，用于 Web 应用中的安全传输

• 端口号：443

• 优势：

  • 加密通信内容（包括 URL、参数、Cookie、表单数据等）

  • 避免中间人攻击

  • 支持数字证书验证服务器真实性

• 证书机制：CA（证书机构）签发 X.509 数字证书进行身份认证

HTTPS 是 Web 安全的基础，浏览器中看到的“锁标志”就是 HTTPS 加密连接的标志。

七、S/MIME 协议（Secure/Multipurpose Internet Mail Extensions）

• 作用：用于保护电子邮件的加密与数字签名

• 功能特性：

  • 提供邮件内容的保密性（加密）

  • 提供完整性验证（哈希校验）

  • 提供身份认证（数字签名）

  • 提供不可否认性（签名不可伪造）

• 技术基础：基于非对称加密、公钥证书和 MIME 格式的电子邮件结构

S/MIME 是企业电子邮件安全的重要标准，可与 Outlook、Thunderbird 等兼容使用。

八、OAuth 协议（Open Authorization）

• 作用：第三方授权协议，允许用户授权第三方应用访问其资源，而无需透露密码

• 典型应用：社交登录（如“使用微信/QQ/Google 登录”）

• 机制特点：

  • 分离身份验证和授权过程

  • 通过 Access Token 控制权限

  • 支持不同授权范围（Scope）控制

OAuth 并不直接提供身份认证，而是提供安全的资源访问授权机制。

九、OpenID Connect（OIDC）

• 作用：在 OAuth 2.0 的基础上，扩展出身份认证功能

• 典型应用：统一身份认证（SSO）、单点登录系统

• 技术组成：

  • OAuth 2.0 作为授权框架

  • 增加 ID Token（基于 JWT）进行身份信息传递

OIDC 是实现统一登录和用户身份确认的主流协议，如 Google、微软、阿里云等都支持。

十、JWT（JSON Web Token）

• 作用：用于安全地传递身份信息与权限信息的令牌格式

• 典型应用：前后端分离系统的用户身份认证、API 访问授权

• 结构组成：

  • Header：声明算法与类型

  • Payload：用户数据（如用户ID、角色等）

  • Signature：对前两部分签名，防止篡改

JWT 支持跨域、轻量、无状态的验证机制，是现代 Web 系统中常用的认证方式。

安全协议体系结构对照表

扩展阅读：