為什麼選擇 AS2 進行安全文件傳輸

為什麼選擇 AS2 進行安全文件傳輸？

在當今的網路安全環境中，保護組織交換的所有資料是一種需要，而不是一種願望。為了最大限度地降低安全漏洞的風險（無論是故意惡意的，還是用戶錯誤造成的意外），需要採取眾所周知的主動措施。其中之一是在交換文件時採用強大的協議，例如 AS2（Applicability Statement 2）。

在選擇您的組織將使用哪種標準來安全地發送和接收業務關鍵型敏感文件時，AS2 應該是一個很好的選項。

什麼是 AS2 及其工作原理？

AS2是用於透過網際網路安全傳輸資料的標準。它在世界各地使用，特別是在參與電子商務的組織中。當透過安全的 HTTPS 連線與組織外部的供應商、貿易夥伴或遠端系統交換資料時，AS2 會對訊息進行加密。

透過使用數位憑證和強大的加密標準，敏感資訊在傳輸過程中受到保護。此外，透過 HTTPS 發送的 AS2 訊息在透過安全性 SSL 通道傳輸之前會進行壓縮和簽署。

AS2 訊息的發送者還可以獲得成功訊息傳遞的數位簽章收據（或 MDN：訊息處理通知），其中包含校驗值，發送者可以使用該值來驗證收到的訊息與發送的訊息是否相同。

「從歷史上看，AS2 常被零售、製造、金融和醫療保健等行業使用。該協議經常成為這些細分市場選擇的原因之一是文件傳輸的完整性對其關鍵業務功能非常重要。他們需要一定程度的保證，確保他們的文件免受未經授權的更改。」Fortra 資深經理Chris Spargen說。

AS2 為關注文件傳輸安全的組織提供了多項整體優勢，包括：

隱私
真實性
資料的完整性
原產地和收據的不可否認性（原產地和完整性證明）

這些優勢源自於以下 AS2 功能。

AS2 的功能增加了資料交換的安全性和完整性

加密：使用收件人的公共憑證對 AS2 訊息進行加密以確保資料安全。這樣，只有接收者才能使用自己的私有憑證解密內容。
壓縮：壓縮或減少 AS2 訊息的大小有助於加快傳輸速度並有助於確保可靠的傳送。
數位簽章：收件者可以透過使用其私有憑證對 AS2 發送的訊息進行簽名來驗證寄件者的真實性。然後，收據將返回給發起者進行簽名，以幫助確保接收者系統的身份。這些數位簽名提供訊息完整性和來源不可否認性。
訊息完整性檢查：使用 AS2，收件者使用 MD5、SHA1 或 SHA2 雜湊演算法計算訊息的校驗值。然後將該值放入收據中，與寄件者共用。發送方也使用相同的演算法計算校驗值，並對兩個值進行比較，以確保發送的訊息與接收的訊息相同。
收據：為了確認收件人透過 AS2 協議收到訊息，訊息處理通知 (MDN) 用作收據。 MDN 也可用於在簽署收據時驗證收件者的身分。
不可否認收據：使用訊息和收據簽名創建不可否認收據 (NRR) 事件，該事件被視為合法的交付證明。

為什麼選擇 AS2 而不是其他文件傳輸協議

Spargen 指出，「AS2 通常由已就文件格式和文件傳輸要求達成一致的貿易夥伴使用。無可否認，它比 SFTP 或 FTP 更麻煩，這主要是由於多個 SSL 憑證和加密層與通訊層（基於 SSL 的 HTTP）以及 AS2 訊息本身的加密和數位簽章一起發揮作用。然而，使用支援 AS2 的強大託管文件傳輸工具可以幫助簡化這些安全傳輸。」

AS2 與 FTP

與 AS2 不同，FTP 不使用傳輸加密檔案。由於通道未加密，資料很容易被攔截和濫用。 FTP 需要經過驗證的使用者名稱和密碼，但不保證安全連線。此外，FTP 缺乏自動化功能，且不符合 FIPS、HIPAA 或 GDPR 等合規性要求。

AS2 與 SFTP

如果您或您的貿易夥伴需要滿足合規性要求，特別是零售或電子商務企業需要遵循的要求，例如 PCI DSS，那麼 AS2 應該是您而不是 SFTP 的選擇。

AS2 可以提供同步或非同步 MDN 收據，這可以證明您傳輸的文件已被授權接收者成功接收並解密。

此外，AS2 提供端對端加密和檔案完整性驗證（不可否認性），並且對發送或接收的檔案的大小或數量沒有限制。

然而，非零售類型的企業通常喜歡SFTP而不是 AS2。透過 SFTP，您可以指定強身份驗證以及使用密碼、使用者 ID 或 SSH 金鑰來驗證伺服器到伺服器的連線。雖然這看起來追蹤起來比較麻煩，但使用金鑰和憑證管理系統的檔案傳輸解決方案可以快速產生 SSH 金鑰對並保持它們的集中和安全。

AS2 與 AS4

AS4是一種開放標準，用於使用 Web 服務在企業之間保護和交換文件。與 AS2 一樣，它支援多種文件格式，包括 HL7、XML、JSON、二進位和 ASCII。它還利用壓縮來減少頻寬，支援數位簽章和加密，並提供不可否認性。

該協議與 AS2 的不同之處在於管理確認的方式。 AS4 使用帶有 XML 數位簽章的 SOAP 與 MDN。另外，AS4 訊息包使用 MIME 和 SOAP，而 AS2 使用純粹基於 MIME 的打包。最後，AS4 的安全性是基於 WS 安全標準，而 AS2 的安全性則是基於 S/MIME 規範。

「AS4 被許多人認為是具有更現代技術的下一代協議。我們的一些 GoAnywhere MFT 用戶更喜歡 AS4 而不是 AS2，因為在與內部系統以及外部系統整合時，它可以與 SOAP 和 XML 等技術更加兼容。「此外，它還為元資料提供強大的支持，以將各種訊息傳遞從 JSON 傳輸到二進位等。」

然而，根據 Spargen 的說法，AS2 可能仍然是首選，原因如下：

AS2 具有強大的安全控制，並且不是過時的協議。通常，新技術會提供安全優勢，因此需要採用新技術。
在 B2B 市場中，改變有效運作的流程並不是一個流行的觀點，特別是對於為業務提供動力的骨幹流程。它需要貿易夥伴的相互支持和採用，並且考慮到建立 AS2 所需的時間和投資，公司在進行此更改之前需要考慮營運成本。

Drummond 認證有助於確保解決方案協定符合互通性測試

GoAnywhere MFT 已獲得Drummond 的AS2 和 AS4 認證，有助於提供高水準的合規性保證以及與其他 AS2 和 AS4 解決方案的兼容性。此認證認可 GoAnywhere 已滿足全面的互通性測試，這意味著您交換和接收的資訊根據相關適用性聲明標準受到保護。

MFT 支援 AS2 和其他安全文件交換協議

無論選擇哪種文件協議，託管文件傳輸 (MFT)解決方案（例如 Fortra 的 GoAnywhere MFT）都可以集中和整合文件傳輸過程，因為它作為審計和管理的單一管理平台運行。
GoAnywhere 中的 AS2 功能包括：

多個文件附件
壓縮
數位簽名
訊息加密和完整性檢查
簽名收據
記錄

資料來源: www.goanywhere.com

GoAnywhere MFT