基于设计与实现视角下的门户网站安全支撑平台研究

2014-10-07 15:19:32 大云网　点击量：评论 (0)

摘　要：近几年，由于网络技术逐渐成为人们生活的一部分，于是形成了一股门户网站热。与传统网站相比，门户网站建设的覆盖面更广、复杂程度更大。其复杂的特性致使它对安全有着更高的要求。因此，对于一套健全的

摘　要：近几年，由于网络技术逐渐成为人们生活的一部分，于是形成了一股门户网站热。与传统网站相比，门户网站建设的覆盖面更广、复杂程度更大。其复杂的特性致使它对安全有着更高的要求。因此，对于一套健全的门户网站来说，安全支撑平台既是重点又是其应用系统的载体。本文对门户网站安全支撑平台的设计与实现过程进行了深刻的分析，希望可以借此为复杂的门户网站提供一套更完善的安全保障。

关键词：　门户网站　安全支撑平台　设计与实现

网络技术在人们生活之中不断深入，企业间对于网络的使用也变得更加广泛，尤其是门户网站更是将网络技术作为基础，通过网络宣传自己企业。企业若想通过Web实现更多的价值和作用，就必须有一套完善的解决方案，才能保证其在安全、方便的情况下完成这些任务。网络是一个开放的环境，这种环境可以为企业带来很多方便，但同时也会带来许多安全隐患，所以，企业在进行门户建设时一定要重视安全保障问题，而建设安全支撑平台也就成为了当务之急。

1　门户网站的安全需求

1.1　网络环境的安全需求

门户是一个软件和硬件的结合体，为了保障其网络环境安全，首先要做的是针对所有的安全架构进行综合考察，并且通过对网络架构的详细考察制定相应的防范措施。例如，使用一些防护产品、防火墙等。通常来说，对于网络的物理层保护属于最基本的保护，其对一些直接物理访问可以起到较好的防护作用。此外，还要考虑数据的安全访问，以防身份伪装、数据截取等恶性事件的发生。

1.2　软件环境的安全需求

门户网站所具有的功能是十分复杂的，这就对其软件安全环境的维护工作提出了更高的要求。门户软件安全系统既要保障所提供资源得到控制，还要保证其与外界信息进行交互时的安全性。为了满足这些要求，必须做到以下几点：身份认证、单点登录、数据加密、恶意和拒绝服务攻击、入侵检测、安全系统管理。

2　门户网站安全环境的设计

2.1　总体软件安全环境的设计

门户网站的应用是以Web技术作为开发基础，但是Web技术具有通用性、开放性，所以要保护信息安全，就需要从其基本的web服务做起，建立起相应的web服务保障平台，在这个平台体系下逐渐实现对所有层次网络进行保护。但是建立一个完善门户平台安全体系并不简单，其原因在于门户可能是分布的，而且其安全平台却都是由不同供应商实现的。在Web服务器上收集这些分散的业务部门，然后形成与之前不同结构的安全系统，并通过此安全系统为各个部位提供信息共享权益，这是当下面临的一个巨大难题。建设安全基础设施已经成为门户建设的一个重要环节。大部分门户功能的实现都是以安全机制为基础的，若没有了安全保障，这些应用也将无法实现。

2.2　Web访问的安全设计

Web访问的安全主要表现在Web数据传输的安全性和身份认证的安全性设计。保障Web数据传输安全性的方式是SSL技术。SSL技术是当前最为流行也是最可靠的一种传输方式，而且这种传输方法也很简单，一般只需要在服务器安装凭证之后就实现安全统一配置。但有一个问题是不容忽视的，即是由谁向Web服务器颁发证书的？是第三方还是门户内部CA？

2.3　安全单点登录

登录操作作为一个门户网站的基本功能，其每天承载着大量的信息输数据变化，每天需要对用户信息进行判断更新；还要对用户账户信息进行安全管理，为用户提供安全保障。这些系统都要求用户遵守一定的安全策略。此安全登录系统，需要承接的系统用户越多，其出错的可能性也越大，其受到非法破坏的机会也就越大，若用户忘记口令，就不能够执行任何操作。那么，此时就需要第一时间寻求管理员帮助，并且在获得新指令之前只有选择等待。这种工作机制明显减缓了工作效率，而且还可能发生重复事件。为了切实解决这个问题，用户通常会选取较简单的密码，这样就无疑会造成用户密码安全等级下降，会对企业信息的保密性造成严重威胁。

因此，对门户建设提出了如此要求：首先网络对用户进行身份验证；验证完成，且用户信息正确，则允许用户自由使用权利。如此一来，可以为用户提供更加高效的服务，提升其工作速度并且降低网络操作成本。单点登录其实代表两方面的含义：一是在某个门户内部的单点登录，另一个是跨门户间的单点登录。

2.4　SSO票据的安全

SSO作为一种票据，其主要功能则是访问资源的唯一凭证，因为此凭证在进行安全设计过程中，需要从生产、流动、撤销等过程来确保其安全性。为此，票据安全的可行性需要从认证门户票据的储存安全，浏览器作为门户网站的第一道凭证认证关卡，需保证用户与门户网站管理员之间的信息安全传输。

2.5　Cookie的安全

若想保证Cookie的安全，其最重要的措施就是避免其遭受到会话挟持以及利用型攻击。可以通过消除TCP序列号，来避免会话挟持。为了减少Cookie利用型攻击，则需要尽可能减少Cookie执行者的使用信息。目前，Cookie主要面临着两个安全问题：一是若不使用SSL，Cookie就必须采用明文形式在网站进行传输，这表示别人可以轻易的通过IP地址读取你的Cookie信息；另一个是Cookie通常情况下都是存在用户浏览器的Cache目录下，这表示所有可以访问你硬盘的人都已看到你的Cookie数据。

3　结论

近几年，随着科技的进步和网络的广泛应用，门户建设已经逐渐成为当下Web应用的一个热门话题。门户网站在提高企业的工作效率，保证工作质量方面的确起到了至关重要的作用，但是由于其具有开放性，所以其也存在着一定的安全隐患，这对企业的工作也构成了一定的威胁。为了保证门户网站的安全性，就必须要建立相应的安全支撑平台。只有这样，门户网站才能充分发挥其作用与价值，为企业的发展做最大贡献。