安全性不是事后后悔-谈应用程序安全设计

　　Dan Norris 是 Celeritas Technologies 的高级顾问，他了解如何保护多层应用程序的安全。

　　Norris 说：“对应用程序层的攻击正在增加。其证据是：缓冲区溢出类型的攻击和对缓冲区溢出根安全的破坏显著地增加 — 这二者都处于应用程序级。通常操作系统无法提供帮助，当然防火墙和病毒扫描程序不能对付这类攻击。”

　　Dan Norris，Celeritas Technologies Norris指出，这些攻击经常导致公司的敏感数据被发布到互联网上。“曾有些恶名昭著的攻击成为重大新闻，而现在公司不只是仅仅安装防火墙和病毒扫描程序。保护应用程序层的安全已变得更加重要。”

　　最近，一家制造公司聘请 Celeritas 来设计安全的、面向客户的门户。考虑到客户是美国联邦政府，安全性是头等大事。

　　安全性对比可使用性

　　现在保护应用程序经常意味着在可用性与保护级别之间进行选择-安排的保护级别越高就意味着用户必须通过更多的限制环节，从而减少了应用程序的可用性。

　　Norris解释说：“这始终是一种平衡艺术。对于真正的安全设置，我们通常安装应用程序，然后将安全性固定在应用程序停止运行的点，然后再略微回退一些。这样可能要花费很多时间和成本，因此您必须帮助客户确定他们实际上需要什么级别的安全性。”确定该需求必须平衡考虑攻击闯入的代价与最终用户的可访问性。Norris补充说：“对于我们的客户而言，被破坏的代价非常高，但他们也希望应用程序易于使用。”

　　Norris解释说客户希望使用已经部署的公共密钥基础架构(PKI)证书来认证Oracle应用服务器以及新的门户应用程序中。这样，用户可以继续在新的应用程序中使用他们原有的证书文件，同时保持一次性登录(SSO)操作。