《網(wǎng)絡(luò)與安全》PPT課件.ppt

1、1,第四 章 網(wǎng)絡(luò)交易與安全,2,第一節(jié)電子商務(wù)安全問題 第二節(jié)防火墻技術(shù) 第三節(jié)安全技術(shù) 第四節(jié)虛擬專用網(wǎng)技術(shù) 第五節(jié)認(rèn)證機(jī)構(gòu) 第六節(jié) 安全協(xié)議,第四章網(wǎng)絡(luò)交易與安全,3,第一節(jié)電子商務(wù)安全問題,一、電子商務(wù)安全要素 1有效性、真實(shí)性 ：就是說能對信息、實(shí)體的有效性、真實(shí)性進(jìn)行鑒別。 2機(jī)密性：保證信息不會泄露給非授權(quán)的人或?qū)嶓w。 3數(shù)據(jù)的完整性 ：要求能保證數(shù)據(jù)的一致性， 防止數(shù)據(jù)被非授權(quán)者建立、 修改和破壞。 （1）數(shù)據(jù)傳輸?shù)耐暾?（2）數(shù)據(jù)存儲的完整性 （3）完整性檢查,4,4可靠性、不可抵賴性和可控性 （1）可靠性：保證合法用戶對信息和資源的使用不會遭到不正當(dāng)?shù)木芙^； （2）不可抵

2、賴性：建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為； （3）可控性：控制使用資源的人或?qū)嶓w的使用方式。 審查能力 根據(jù)機(jī)密性和完整性的要求，應(yīng)對數(shù)據(jù)審查的結(jié)果進(jìn)行記錄。,第一節(jié)電子商務(wù)安全問題,5,第一節(jié)電子商務(wù)安全問題,二、電子商務(wù)安全內(nèi)容,6,1. 計(jì)算機(jī)網(wǎng)絡(luò)安全 1）計(jì)算機(jī)網(wǎng)絡(luò)的安全隱患 （1）未進(jìn)行操作系統(tǒng)相關(guān)安全配置 （2）未進(jìn)行CGI程序代碼審計(jì) （3）拒絕服務(wù)（DOS，Denial of Service）攻擊 （4）安全產(chǎn)品使用不當(dāng) （5）缺少嚴(yán)格的網(wǎng)絡(luò)安全管理制度,第一節(jié)電子商務(wù)安全問題,7,第一節(jié)電子商務(wù)安全問題,2）計(jì)算機(jī)網(wǎng)絡(luò)安全體系 在實(shí)施網(wǎng)絡(luò)安全防范措施時(shí)： 加強(qiáng)主機(jī)本身的安

3、全，做好安全配置，及時(shí)安裝安全補(bǔ)丁程序，減少漏洞； 用各種系統(tǒng)漏洞檢測軟件定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行掃描分析，找出可能存在的安全隱患， 并及時(shí)加以修補(bǔ)； 從路由器到用戶各級建立完善的訪問控制措施，安裝防火墻，加強(qiáng)授權(quán)管理和認(rèn)證；,8,第一節(jié)電子商務(wù)安全問題, 利用RAID等數(shù)據(jù)存儲技術(shù)加強(qiáng)數(shù)據(jù)備份和恢復(fù)措施； 對敏感的設(shè)備和數(shù)據(jù)要建立必要的物理或邏輯隔離措施； 對在公共網(wǎng)絡(luò)上傳輸?shù)拿舾行畔⒁M(jìn)行強(qiáng)度的數(shù)據(jù)加密； 安裝防病毒軟件，加強(qiáng)內(nèi)部網(wǎng)的整體防病毒措施； 建立詳細(xì)的安全審計(jì)日志，以便檢測并跟蹤入侵攻擊,9,第一節(jié)電子商務(wù)安全問題,2. 商務(wù)交易安全 1）交易安全隱患 （1）竊取信息（破壞機(jī)密性）：

4、攻擊者可能通過Internet、公共電話網(wǎng)、搭線或是在電磁波輻射范圍內(nèi)安裝截收裝置等方式竊取傳輸?shù)臋C(jī)密信息?；蛲ㄟ^對信息流量和流向、通信頻度和長度等參數(shù)的分析，推斷出有用信息，如消費(fèi)的銀行賬號、密碼等，造成信息泄密。,10,第一節(jié)電子商務(wù)安全問題,（2）篡改信息（破壞完整性）：攻擊者可能從3個(gè)方面破壞信息的完整性： 篡改信息流的次序，更改信息的內(nèi)容，如購買商品的出貨地址； 刪除某個(gè)信息或信息的某些部分； 在信息中插入一些信息，讓接收方讀不懂或接收錯(cuò)誤的信息。,11,第一節(jié)電子商務(wù)安全問題,（3）偽造信息（破壞真實(shí)性）： 主要包括虛開網(wǎng)站或商店給用戶發(fā)電子郵件， 收訂貨單； 偽造大量電子郵件，窮

5、盡商家資源、使合法用戶不能正常訪問網(wǎng)絡(luò)資源，使有嚴(yán)格時(shí)間要求的服務(wù)不能及時(shí)得到響應(yīng)；偽造用戶，發(fā)大量的電子郵件，竊取商家的商品信息和用戶信息等信息。 （4）假冒身份(破壞真實(shí)性)： 主要包括冒充他人身份發(fā)布命令、調(diào)閱密件；冒充他人消費(fèi)；冒充主機(jī)欺騙合法主機(jī)及合法用戶；冒充網(wǎng)絡(luò)控制程序，套取或修改使用權(quán)限、通行字、密鑰等信息；接管合法用戶，欺騙系統(tǒng)，占用合法用戶的資源。,12,第一節(jié)電子商務(wù)安全問題,（5）抵賴（破壞真實(shí)性）： 主要包括發(fā)送方事后否認(rèn)曾經(jīng)發(fā)送過某個(gè)信息或內(nèi)容；收信方事后否認(rèn)曾經(jīng)收到過某個(gè)信息或內(nèi)容；購買者做了訂貨單不承認(rèn)；商家賣出的商品因價(jià)格差而不承認(rèn)原有的交易。,13,第一節(jié)電

6、子商務(wù)安全問題,2）交易安全措施 （1）確定通信中貿(mào)易伙伴身份的真實(shí)性： 常用的處理技術(shù)是身份認(rèn)證，依靠雙方信賴的機(jī)構(gòu)（認(rèn)證中心CA）發(fā)放證書。雙方交換信息之前通過CA獲取對方的證書，并以此識別對方；（2）保證信息的機(jī)密性： 常用的處理技術(shù)是數(shù)據(jù)加密，將信息變換成密文進(jìn)行傳輸來防范信息內(nèi)容被竊取或篡改；（3）確定信息的真實(shí)性： 鑒別信息真實(shí)性的主要手段是數(shù)字簽名技術(shù)；（4）不可抵賴性： 通常要求引入認(rèn)證中心進(jìn)行管理，由CA發(fā)放密鑰，傳輸?shù)男畔⒓捌浜灻膫浞莅l(fā)至CA保存，以作為可能爭議的仲裁依據(jù)。,14,第一節(jié)電子商務(wù)安全問題,3. 電子商務(wù)安全體系結(jié)構(gòu) 支持服務(wù)層 傳輸層 交換層 商務(wù)層,15

7、,第二節(jié)防火墻技術(shù),一、防火墻及其功能 1. 防火墻概念 防火墻是指一種邏輯裝置，用來保護(hù)內(nèi)部的網(wǎng)絡(luò)不受來自外界的侵害。 所謂防火墻就是在內(nèi)部網(wǎng)與外部網(wǎng)之間的界面上構(gòu)造一個(gè)保護(hù)層，并強(qiáng)制所有的鏈接都必須經(jīng)過此保護(hù)層，再次進(jìn)行檢查和連接。,16,防火墻主要用于實(shí)現(xiàn)網(wǎng)絡(luò)路由的安全性。網(wǎng)絡(luò)路由的安全性包括兩個(gè)方面： 限制外部網(wǎng)對內(nèi)部網(wǎng)訪問，保護(hù)內(nèi)部網(wǎng)特定資源免受非法侵犯。 限制內(nèi)部網(wǎng)隊(duì)外部網(wǎng)的訪問，主要對一些不健康的信息及敏感信息的訪問。,第二節(jié)防火墻技術(shù),17,第二節(jié)防火墻技術(shù),2. 防火墻基本功能 （1）過濾進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包； （2）管理進(jìn)出網(wǎng)絡(luò)的訪問行為； （3）封堵某些禁止的訪問行為； （4

8、）記錄通過防火墻的信息內(nèi)容和活動； （5）對網(wǎng)絡(luò)進(jìn)行檢測和警告。,18,防火墻示意圖,第二節(jié)防火墻技術(shù),19,第二節(jié)防火墻技術(shù),二、防火墻的實(shí)現(xiàn)技術(shù) 1.分組過濾 這種結(jié)構(gòu)由路由器和過濾器共同完成對外界計(jì)算機(jī)訪問內(nèi)部網(wǎng)絡(luò)的限制，也可以指定或限制內(nèi)部網(wǎng)絡(luò)訪問。路由器只對過濾器上的特定端口上的數(shù)據(jù)通訊加以路由，過濾器的主要功能就是在網(wǎng)絡(luò)層中對數(shù)據(jù)包實(shí)施有選擇的通過，依照包信息為基礎(chǔ)，根據(jù)源地址、目標(biāo)地址、封裝協(xié)議端口號，確定它是否允許該數(shù)據(jù)包通過。,20,第二節(jié)防火墻技術(shù),這種防火墻措施最大的優(yōu)點(diǎn)就是它對于用戶來說是透明的，也就是說不需要用戶輸入帳號和密碼來登錄，因此速度上要比代理服務(wù)器快，且不容

9、易出現(xiàn)屏頸現(xiàn)象。然而其缺點(diǎn)也是很明顯的，就是沒有用戶的使用記錄，這樣我們就不能從訪問記錄中發(fā)現(xiàn)非法入侵的攻擊記錄。,21,第二節(jié)防火墻技術(shù),2.代理服務(wù)技術(shù) 把不安全的服務(wù)如FTP、Telnet等放到防火墻上，使它同時(shí)充當(dāng)服務(wù)器，對外部的請求作出回答。內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)用戶與代理服務(wù)器采用一種網(wǎng)絡(luò)通訊協(xié)議，代理服務(wù)器與Internet之間的通信則采用另一種網(wǎng)絡(luò)通信協(xié)議，即代理服務(wù)器兩端采用不同的協(xié)議標(biāo)準(zhǔn)，這樣便成功地實(shí)現(xiàn)了防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的隔離，能夠有效地阻止外界直接非法入侵。,22,第二節(jié)防火墻技術(shù),優(yōu)點(diǎn)：能夠檢查進(jìn)出的數(shù)據(jù)包，復(fù)制傳遞數(shù)據(jù)，能夠理解應(yīng)用層上的協(xié)議，有較好的訪問控制，并做精細(xì)

10、的注冊和稽核。是目前最安全的防火墻技術(shù)。 缺點(diǎn)：缺乏透明度（需要用戶輸入帳號和密碼來登錄）；在內(nèi)部網(wǎng)絡(luò)終端機(jī)很多的情況下，代理服務(wù)器負(fù)擔(dān)很重，效率必然會受到影響。故代理服務(wù)器通常由性能好、處理速度快、容量大的計(jì)算機(jī)來充當(dāng) 。 目前，比較完善的防火墻系統(tǒng)通常結(jié)合使用兩種技術(shù)。代理服務(wù)可以大大降低分組過濾規(guī)則的復(fù)雜度，是分組過濾技術(shù)的重要補(bǔ)充。,23,第二節(jié)防火墻技術(shù),三、防火墻的設(shè)計(jì) 1. 防火墻作系統(tǒng)應(yīng)具有特性 （1）所有在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間進(jìn)出的數(shù)據(jù)都必須經(jīng)過防火墻； （2）只有被授權(quán)的數(shù)據(jù)， 即防火墻系統(tǒng)安全策略中允許的數(shù)據(jù)可以通過防火墻； （3）防火墻本身具有抗穿透攻擊能力、 強(qiáng)化記

11、錄、審計(jì)和警告功能；,24,第二節(jié)防火墻技術(shù),（4）具有足夠的透明性，保證正常業(yè)務(wù)流通； （5）使用目前新的信息安全技術(shù)，比如現(xiàn)代密碼技術(shù)、口令技術(shù)、智能卡等； （6）用戶界面良好， 便于系統(tǒng)管理員對防火墻進(jìn)行配置，便于對訪問者、被訪問者、訪問協(xié)議和訪問方式進(jìn)行控制。,25,第二節(jié)防火墻技術(shù),2. 設(shè)計(jì)防火墻的準(zhǔn)則 一切未被允許的就是禁止的 防火墻應(yīng)封鎖所有信息流，然后對希望提供的服務(wù)逐項(xiàng)開放。這種方法可以創(chuàng)造十分安全的環(huán)境，但用戶使用的方便性、服務(wù)范圍受到限制。 一切未被禁止的就是允許的 防火墻轉(zhuǎn)發(fā)所有信息流，然后逐項(xiàng)屏蔽有害的服務(wù)。這種方法構(gòu)成了更為靈活的應(yīng)用環(huán)境，可為用戶提供更多的服務(wù)。

12、但在日益增多的網(wǎng)絡(luò)服務(wù)面前，網(wǎng)管人員的疲于奔命可能很難提供可靠的安全防護(hù)。,26,第二節(jié)防火墻技術(shù),四、防火墻的體系結(jié)構(gòu) （1）包過濾型防火墻： 用一臺過濾路由器來實(shí)現(xiàn)，對所接收的每個(gè)數(shù)據(jù)包做允許或拒絕的決定。 （2）雙宿網(wǎng)關(guān)防火墻 這種配置是用一臺裝有兩個(gè)網(wǎng)絡(luò)適配器的雙宿主機(jī)做防火墻。雙宿主機(jī)用兩個(gè)網(wǎng)絡(luò)適配器分別連接兩個(gè)網(wǎng)絡(luò)，又稱堡壘主機(jī)。堡壘主機(jī)上運(yùn)行著防火墻軟件（通常是代理服務(wù)器），可以轉(zhuǎn)發(fā)應(yīng)用程序，提供服務(wù)等。,27,第二節(jié)防火墻技術(shù),28,第二節(jié)防火墻技術(shù),（3）屏蔽主機(jī)防火墻 由包過濾路由器和堡壘主機(jī)組成，強(qiáng)迫所有的外部主機(jī)與一個(gè)堡壘主機(jī)相連接， 而不讓它們直接與內(nèi)部主機(jī)連接，實(shí)現(xiàn)

13、了網(wǎng)絡(luò)層安全和應(yīng)用層安全。,29,第二節(jié)防火墻技術(shù),30,第二節(jié)防火墻技術(shù),31,第二節(jié)防火墻技術(shù),（4）屏蔽子網(wǎng)防火墻 這種方法是在Intranet和Internet之間建立一個(gè)被隔離的子網(wǎng)，用兩個(gè)包過濾路由器將這一子網(wǎng)分別與Intranet和Internet分開。兩個(gè)包過濾路由器放在子網(wǎng)的兩端，在子網(wǎng)內(nèi)構(gòu)成一個(gè)“緩沖地帶”，兩個(gè)路由器一個(gè)控制Intranet 數(shù)據(jù)流，另一個(gè)控制Internet數(shù)據(jù)流，Intranet和Internet均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信。,32,第二節(jié)防火墻技術(shù),33,第二節(jié)防火墻技術(shù),五、防火墻的局限和安全業(yè)務(wù) 1防火墻不能對付的安全威脅 （1）

14、來自內(nèi)部的攻擊： 防火墻不能防止內(nèi)域網(wǎng)內(nèi)部用戶對資源的攻擊，防火墻只是設(shè)在內(nèi)域網(wǎng)和Internet之間，對其間的信息流進(jìn)行干預(yù)的安全設(shè)施。 （2）直接的Internet數(shù)據(jù)流： 防火墻又能對通過它的數(shù)據(jù)流發(fā)揮作用。 （3）病毒防護(hù)：一般防火墻不對內(nèi)域網(wǎng)提供防護(hù)外部病毒的侵犯，病毒可以通過FTP或其他工具傳至內(nèi)域網(wǎng)。,34,2防火墻的安全業(yè)務(wù) （1）用戶認(rèn)證： （2）域名服務(wù)： 防火墻可以對內(nèi)域網(wǎng)內(nèi)外用戶提供修改名錄的服務(wù)功能。（3）函件處理： 廣泛采用的手段，一般采用SMTP（簡單函件傳送協(xié)議Simple Mail Transfer Protocol）。 這些函件都要通過防火墻驗(yàn)行， 在內(nèi)域網(wǎng)

15、上設(shè)置一個(gè)函件網(wǎng)關(guān)， 通過它與防火墻連通，再與Internet上的用戶連通。,第二節(jié)防火墻技術(shù),35,（4）IP的安全性： 1993年開始開發(fā)IP安全結(jié)構(gòu)，對Internet上的通信提供密碼保護(hù)，1996年公布了IPv6的協(xié)議。IP層的安全包括兩個(gè)功能，即認(rèn)證和保密。（5）防火墻的IP安全性： 防火墻可以提供保密性和完整性。,第二節(jié)防火墻技術(shù),36,第三節(jié)安全技術(shù),一、加密技術(shù) 加密解密技術(shù)， 也稱為密碼技術(shù)， 就是利用技術(shù)手段把有序的信息變成 “亂碼” 傳送，到達(dá)目的地后再用相同或不同的手段還原（解密）。其主要目的就是防止信息的非授權(quán)泄漏。 數(shù)據(jù)加密技術(shù)從技術(shù)上的實(shí)現(xiàn)分為在軟件和硬件兩方面。

16、按作用不同，數(shù)據(jù)加密技術(shù)主要分為數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)完整性的鑒別以及密鑰管理技術(shù)這四種。,37,第三節(jié)安全技術(shù),1對稱加密 對稱密鑰加密，又稱私鑰加密，即信息的發(fā)送方和接收方用一個(gè)密鑰去加密和解密數(shù)據(jù)。對稱加密技術(shù)的最大優(yōu)勢是加/解密速度快，適合于對大數(shù)據(jù)量進(jìn)行加密，但密鑰管理困難。,38,第三節(jié)安全技術(shù),對稱秘鑰加密技術(shù)采用的是數(shù)據(jù)加密標(biāo)準(zhǔn)（Data Encryption Standard，DES）算法為典型代表。 對稱加密算法在電子商務(wù)交易過程中存在問題： 要求提供一條安全的渠道使通信雙方在首次通信時(shí)寫上一個(gè)共同的密鑰。 密鑰的數(shù)目將快速增長而變得難以管理。 對稱加密算法一般不提供信息

17、完整性的鑒別。,39,對稱鑰加密、解密過程,40,第三節(jié)安全技術(shù),2非對稱加密 非對稱密鑰加密系統(tǒng)，又稱公鑰密鑰加密，它需要使用一對密鑰來分別完成加密和解密操作，一個(gè)公開發(fā)布，稱為公開密鑰（Public-Key）；另一個(gè)由用戶自己秘密保存，稱為私有密鑰（Private-Key）。信息發(fā)送者用公開密鑰去加密，而信息接收者則用私有密鑰去解密。公鑰機(jī)制靈活，但加密和解密速度卻比對稱密鑰加密慢得多。 通常以RSA（Rivest Sharnir Adleman）算法為代表。,41,第三節(jié)安全技術(shù),42,第三節(jié)安全技術(shù),非對稱鑰算法加密、解密過程,43,44,3. 對稱加密與非對稱加密的比較,第三節(jié)安全技

18、術(shù),45,第三節(jié)安全技術(shù),46,第三節(jié)安全技術(shù),二、數(shù)字摘要 數(shù)字摘要是采用單向Hash函數(shù)對文件中若干重要元素進(jìn)行某種變換運(yùn)算得到固定長度的摘要碼（數(shù)字指紋Finger Print），并在傳輸信息時(shí)將之加入文件一同送給接收方，接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算，若得到的結(jié)果與發(fā)送來的摘要碼相同，則可斷定文件未被篡改，反之亦然。,47,第三節(jié)安全技術(shù),信息摘要過程,48,第三節(jié)安全技術(shù),三、數(shù)字信封 數(shù)字信封是用加密技術(shù)來保證只有規(guī)定的特定收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信息發(fā)送方采用對稱密鑰來加密信息，然后將此對稱密鑰用接收方的公開密鑰來加密（這部分稱為數(shù)字信封）之后，將它和信

19、息一起發(fā)送給接收方，接收方先用相應(yīng)的私有密鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰解開信息。,49,舉例說明，若A向B發(fā)送保密信息，具體步驟為：（如下圖所示） 1）A生成一隨機(jī)的對稱密鑰，即會話密鑰。2）A用會話密鑰加密明文。3）A用B的公鑰加密會話密鑰。4）A將密文及加密后的會話密鑰傳遞給B。5）B使用自己的私鑰解密會話密鑰。6）B使用會話密鑰解密密文，得到明文。,50,第三節(jié)安全技術(shù),四、數(shù)字簽名 在網(wǎng)絡(luò)環(huán)境中，可以用電子數(shù)字簽名作為模擬，從而為電子商務(wù)提供不可否認(rèn)服務(wù)。把HASH函數(shù)和公鑰算法結(jié)合起來，可以在提供數(shù)據(jù)完整性的同時(shí)，也可以保證數(shù)據(jù)的真實(shí)性。把這兩種機(jī)制結(jié)合起來就可以產(chǎn)

20、生所謂的數(shù)字簽名。,51,第三節(jié)安全技術(shù),數(shù)字簽名原理示意圖,52,第三節(jié)安全技術(shù),53,五、數(shù)字時(shí)間戳 時(shí)間戳（time-stamp）是一個(gè)經(jīng)加密后形成的憑證文檔，它包括三個(gè)部分： 需加時(shí)間戳的文件的摘要(digest)； DTS收到文件的日期和時(shí)間； DTS的數(shù)字簽名。,第三節(jié)安全技術(shù),54,第三節(jié)安全技術(shù),數(shù)字時(shí)間戳過程,55,第三節(jié)安全技術(shù),六、數(shù)字證書 (Digital Certificate , digital ID) 所謂數(shù)字證書，就是用電子手段來證實(shí)一個(gè)用戶的身份及用戶對網(wǎng)絡(luò)資源的訪問權(quán)限。 它包含了以下幾點(diǎn)：（1）憑證擁有者的姓名； （2）憑證擁有者的公共密鑰； （3）公共密

21、鑰的有效期； （4）頒發(fā)數(shù)字憑證的單位； （5）數(shù)字憑證的序列號（Serial number）。,56,數(shù)字憑證有三種類型： 個(gè)人憑證（Personal Digital ID）：它僅僅為某一個(gè)用戶提供憑證，以幫助其個(gè)人在網(wǎng)上進(jìn)行安全交易操作。 企業(yè)（服務(wù)器）憑證（Server ID）：它通常為網(wǎng)上的某個(gè) Web服務(wù)器提供憑證，擁有eb服務(wù)器的企業(yè)就可以用具有憑證的萬維網(wǎng)站點(diǎn)（Web Site）來進(jìn)行安全電子交易。 軟件（開發(fā)者）憑證（Developer ID）：它通常為Internet中被下載的軟件提供憑證，該憑證用于和微軟公司Authenticode技術(shù)(合法化軟件)結(jié)合的軟件，以使用戶在下

22、載軟件時(shí)能獲得所需的信息。,第三節(jié)安全技術(shù),57,查看證書內(nèi)容（1）,第三節(jié)安全技術(shù),58,第三節(jié)安全技術(shù),查看證書內(nèi)容（2）,59,第三節(jié)安全技術(shù),查看證書內(nèi)容（3）,60,第三節(jié)安全技術(shù),七、身份識別技術(shù) 口令 優(yōu)點(diǎn)：一般的系統(tǒng)都提供了對口令認(rèn)證的支持，對于封閉的小型系統(tǒng)來說是一種簡單可行的方法。 缺點(diǎn)：明文方式輸入口令，很容易泄露； 口令以文件形式存儲，攻擊者可盜取口令文件； 用戶為記憶方便，采用相同的口令； 只能進(jìn)行單向認(rèn)證。,61,第三節(jié)安全技術(shù),標(biāo)記方法 常用的標(biāo)記有磁卡、智能卡。 生物特征法 生物特征有效地解決了個(gè)人識別號碼。 生物特征法是基于物理特征或行為特征自動識別人員的一種

23、方法，其優(yōu)點(diǎn)是嚴(yán)格依據(jù)人的物理特征，它是未來數(shù)字證書或智能卡的選擇。,62,第三節(jié)安全技術(shù),生物測定控制（biometric control)為每一個(gè)有效用戶設(shè)定一個(gè)唯一的用戶標(biāo)識(unique user identifier, UID)。常見的生物測定方法： 面部幾何（照片）: 計(jì)算機(jī)給你的臉拍照，并將照片和原先儲存的圖片進(jìn)行比較。1998年，用這種方法成功地實(shí)現(xiàn)了對用戶身份的鑒定。 指紋（手?。?每當(dāng)用戶提出訪問請求時(shí)，就將用戶的指紋和原先儲存的模版進(jìn)行比較來確認(rèn)身份。,63,手部幾何: 與指紋鑒定類似，但是要用攝像機(jī)給用戶的手拍照，然后將手的某些特點(diǎn)和計(jì)算機(jī)中的資料進(jìn)行比較。 人眼中視網(wǎng)

24、膜的血管圖案: 將視網(wǎng)膜的血管圖案照片和預(yù)先存在計(jì)算機(jī)中的資料進(jìn)行比較。 聲音（聲紋）: 將用戶的聲音和計(jì)算機(jī)中儲存的聲音模式進(jìn)行比較。 簽名: 將用戶的簽名和預(yù)先儲存的簽名比較。 擊鍵動力學(xué): 將用戶擊鍵的壓力與速度和預(yù)先儲存的資料比較。,第三節(jié)安全技術(shù),64,其他: 還有一些方法，例如使用紅外干涉光譜來進(jìn)行面部熱量分析。,第三節(jié)安全技術(shù),65,第四節(jié)虛擬專用網(wǎng)技術(shù),一、虛擬專用網(wǎng)及其功能 虛擬專用網(wǎng)被定義為通過公共網(wǎng)絡(luò)（通常是Internet）建立一個(gè)臨時(shí)的、安全的連接，它可以看作是企業(yè)內(nèi)部網(wǎng)的擴(kuò)展。 VPN可以幫助遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、商業(yè)伙伴及供應(yīng)商與公司的內(nèi)部網(wǎng)建立可信的安全連接，

25、并保證數(shù)據(jù)的安全傳輸。 它是利用公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施，通過“隧道”技術(shù)等手段達(dá)到類似私有專網(wǎng)的數(shù)據(jù)安全傳輸。VPN具有虛擬的特點(diǎn)：VPN并不是某個(gè)公司專有的封閉線路或者是租用某個(gè)網(wǎng)絡(luò)服務(wù)商提供的封閉線路， 但同時(shí)VPN又具有專線的數(shù)據(jù)傳輸功能， 因?yàn)閂PN能夠像專線一樣在公共網(wǎng)絡(luò)上處理自己公司的信息。,66,一個(gè)VPN應(yīng)該能提供如下功能： （1）加密數(shù)據(jù)， 以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄密； （2）信息認(rèn)證和身份認(rèn)證。 保證信息的完整性、合法性，并能鑒別用戶的身份： （3）提供訪問控制，不同的用戶有不同的訪問權(quán)限。,第四節(jié)虛擬專用網(wǎng)技術(shù),67,第四節(jié)虛擬專用網(wǎng)技術(shù),68,第四節(jié)虛擬

26、專用網(wǎng)技術(shù),二、虛擬專用網(wǎng)的分類 根據(jù)不同需要，可以構(gòu)造不同類型的VPN，不同商業(yè)環(huán)境對VPN的要求和VPN所起的作用是不一樣的。 以用途為標(biāo)準(zhǔn)， VPN可以分為以下三類： 1內(nèi)部網(wǎng)VPN 內(nèi)部網(wǎng)VPN是通過公共網(wǎng)絡(luò)將一個(gè)機(jī)構(gòu)和它的各個(gè)分支機(jī)構(gòu)的LAN連接而成的網(wǎng)絡(luò)，被稱為Intranet VPN。 這種 VPN 的主要任務(wù)是保護(hù)公司的Intranet不被外部入侵，同時(shí)保證公司的重要數(shù)據(jù)流經(jīng)Internet時(shí)的安全性。,69,第四節(jié)虛擬專用網(wǎng)技術(shù),2遠(yuǎn)程訪問VPN 在公司總部和遠(yuǎn)地雇員或旅行中的雇員之間建立VPN，稱為“遠(yuǎn)程訪問VPN”。 遠(yuǎn)程訪問VPN的客戶端應(yīng)盡量簡單，客戶應(yīng)可以手工建立一

27、條VPN信道，即當(dāng)客戶每次想建立一個(gè)安全通信信道時(shí)，只需安裝 VPN 軟件。在服務(wù)器端，因?yàn)橐O(jiān)視大量用戶，有時(shí)需要增加或刪除用戶，這樣可能造成混亂，并帶來安全風(fēng)險(xiǎn)，因此服務(wù)器應(yīng)集中并且易于管理。,70,第四節(jié)虛擬專用網(wǎng)技術(shù),3外部網(wǎng)VPN 在公司和商業(yè)伙伴、顧客、供應(yīng)商、投資者之間建立VPN，稱為“外部網(wǎng)VPN”。 外部網(wǎng)VPN的主要目標(biāo)是保證數(shù)據(jù)在傳輸過程中不被修改， 保護(hù)網(wǎng)絡(luò)資源不受外部威脅。 安全的外部網(wǎng)VPN要求公司在同它的顧客、合作伙伴及在外地的雇員之間經(jīng) Internet 建立端到端的連接時(shí)，必須通過VPN服務(wù)器才能進(jìn)行。 外部網(wǎng) VPN 應(yīng)是一個(gè)由加密、 認(rèn)證和訪問控制功能組成

28、的集成系統(tǒng)。 通常公司將 VPN 代理服務(wù)器放在一個(gè)不能穿透的防火墻隔離層之后，防火墻阻止所有來歷不明的信息傳輸。,71,第四節(jié)虛擬專用網(wǎng)技術(shù),Extranet 的網(wǎng)絡(luò)類型,72,第五節(jié)認(rèn)證機(jī)構(gòu),一、認(rèn)證機(jī)構(gòu)概念 電子商務(wù)認(rèn)證機(jī)構(gòu)（Certification Authority，CA） 是為了解決電子商務(wù)活動中交易參與各方身份、 資信的認(rèn)定、 維護(hù)交易活動的安全、從根本上保障電子商務(wù)交易活動順利進(jìn)行而設(shè)立的服務(wù)機(jī)構(gòu)。 CA是公正的第三方，它為建立身份認(rèn)證過程的權(quán)威性框架奠定了基礎(chǔ)，為交易的參與方提供了安全保障。,73,第五節(jié)認(rèn)證機(jī)構(gòu),二、CA系統(tǒng)構(gòu)成 從技術(shù)角度講，電子商務(wù)認(rèn)證機(jī)構(gòu)所提供的服務(wù)

29、包括證書的管理、使用者公鑰的產(chǎn)生與保管以及CA密鑰管理三大類。通過采用國際上最先進(jìn)的安全保密技術(shù)對網(wǎng)絡(luò)上的數(shù)據(jù)發(fā)送方、接收方進(jìn)行身份情況確認(rèn)和資信情況確認(rèn)，以保證交易各方信息的安全性、保密性和可靠性。 從商業(yè)角度講，每一個(gè)電子合同的簽訂，買賣雙方都需要對對方的身份情況、 資信情況和經(jīng)營情況進(jìn)行認(rèn)證， 否則，很難做出正確的決策。所以，通過認(rèn)證機(jī)構(gòu)來進(jìn)行買賣雙方的全面認(rèn)證，是保證網(wǎng)絡(luò)交易安全的重要措施。,74,第五節(jié)認(rèn)證機(jī)構(gòu),CA中心的主要職責(zé)是頒發(fā)和管理數(shù)字證書，這些管理功能包括： （1）用戶能方便地查找各種證書及已經(jīng)撤銷的證書。（2）能根據(jù)用戶請求或其它相關(guān)信息撤銷用戶的證書。（3）能根據(jù)證書

30、的有效期限自動地撤銷證書。 （4）能完成證書數(shù)據(jù)庫的備份工作。,75,最小的CA系統(tǒng)應(yīng)包括三個(gè)模塊： （1）存放公鑰的數(shù)字庫模塊； （2）數(shù)字證書生成模塊（加密設(shè)備）； （3）數(shù)字證書作廢模塊。,第五節(jié)認(rèn)證機(jī)構(gòu),76,第五節(jié)認(rèn)證機(jī)構(gòu),CA 機(jī)構(gòu)應(yīng)包括兩大部門。 一是審核授權(quán)部門 （Registry Authority，RA），負(fù)責(zé)對證書申請者進(jìn)行資格審查， 決定是否同意給該申請者發(fā)放證書，并承擔(dān)因?qū)徍隋e(cuò)誤引起、為不具備資格的證書申請者發(fā)放證書所引起的一切后果；另一個(gè)是證書操作部門（Certificate Processor，CP）， 負(fù)責(zé)為已授權(quán)的申請制作、發(fā)放和管理證書，并承擔(dān)因操作運(yùn)營錯(cuò)誤

31、所產(chǎn)生的一切后果，包括失密和為非授權(quán)者發(fā)放證書等。它可以由審核授權(quán)部門自己擔(dān)任，也可以委托給第三方擔(dān)任。,77,第五節(jié)認(rèn)證機(jī)構(gòu),CA認(rèn)證體系從功能上看，可以分為以下幾個(gè)部分： （1）接收用戶申請的證書受理者RS， 即證書發(fā)放審核部門，負(fù)責(zé)接收用戶的證書申請要求并轉(zhuǎn)發(fā)給CP和RA； （2）證書發(fā)放的操作部門CP， 負(fù)責(zé)為已授權(quán)的申請者制作、發(fā)放和管理證書； （3）CRL，證書作廢表，用于記錄尚未過期但已聲明作廢的用戶證書序列號，供證書使用者在認(rèn)證與之通信的對方證書是否作廢時(shí)查詢。,78,（4）業(yè)務(wù)受理點(diǎn)， 作為CA對外提供服務(wù)的窗口，為用戶提供面對面的證書申請和發(fā)放服務(wù)、同時(shí)受理點(diǎn)可以擔(dān)任用戶證

32、書發(fā)放的審核部門，當(dāng)面審核用戶提交的資料，決定是否為其發(fā)放證書。,第五節(jié)認(rèn)證機(jī)構(gòu),79,三、認(rèn)證機(jī)構(gòu)的建立 1. 建立原則 電子商務(wù)認(rèn)證機(jī)構(gòu)的建設(shè)，應(yīng)當(dāng)遵循以下原則： （1）權(quán)威性原則。 一個(gè)認(rèn)證機(jī)構(gòu)必須具有自己的權(quán)威性。這種權(quán)威性可以來自兩個(gè)方面。 第一， 來自認(rèn)證機(jī)構(gòu)的服務(wù)，真正能夠提供客戶值得信賴的信息的認(rèn)證機(jī)構(gòu)，必然在其運(yùn)作中逐步樹立自己的權(quán)威性。 第二， 來自認(rèn)證機(jī)構(gòu)的地位，私人認(rèn)證機(jī)構(gòu)、地方政府的認(rèn)證機(jī)構(gòu)、 行業(yè)認(rèn)證機(jī)構(gòu)、 國家認(rèn)證機(jī)構(gòu)所處的地位不同，具有不同的權(quán)威性。,第五節(jié)認(rèn)證機(jī)構(gòu),80,第五節(jié)認(rèn)證機(jī)構(gòu),（2）真實(shí)性原則。 認(rèn)證機(jī)構(gòu)所提供的各類信息必須真實(shí)、準(zhǔn)確、完整、可靠。嚴(yán)

33、禁為客戶提供虛假信息。 （3）機(jī)密性原則。 認(rèn)證機(jī)構(gòu)的工作人員應(yīng)當(dāng)具有良好的職業(yè)道德，忠于職守，保證信息不被泄露給非授權(quán)人或?qū)嶓w。同時(shí)，應(yīng)當(dāng)配備先進(jìn)的安全設(shè)備，能夠有效防范外界黑客的非法入侵。 （4）快捷性原則。 認(rèn)證機(jī)構(gòu)的工作人員和設(shè)備都應(yīng)當(dāng)具有快速的反應(yīng)能力，能夠在很短的時(shí)間內(nèi)處理各種客戶認(rèn)證業(yè)務(wù)。,81,（5）經(jīng)濟(jì)性原則。 認(rèn)證機(jī)構(gòu)的建立，應(yīng)注意投入產(chǎn)出比，充分利用現(xiàn)有的資料和機(jī)構(gòu)設(shè)施。,第五節(jié)認(rèn)證機(jī)構(gòu),82,第五節(jié)認(rèn)證機(jī)構(gòu),2. CA的樹形驗(yàn)證結(jié)構(gòu),CA的樹形結(jié)構(gòu),83,84,根CA（Root CA）是離線的并且是被嚴(yán)格保護(hù)的。僅在發(fā)布新的品牌CA（Brand CA）時(shí)才被訪問。 品牌

34、CA發(fā)布地域政策CA（Geopolitical CA）、持卡人 CA（Cardholder CA）、商戶CA（Merchant CA）和支付網(wǎng)關(guān)CA（Payment Gateway CA）的證書，并負(fù)責(zé)維護(hù)及分發(fā)其簽字的證書和電子商務(wù)文字建議書。 地域政策CA是考慮到地域或政策的因素而設(shè)置的，因而是可選的。,第五節(jié)認(rèn)證機(jī)構(gòu),85,持卡人CA負(fù)責(zé)生成并向持卡人分發(fā)證書。 商戶CA負(fù)責(zé)發(fā)放商戶證書。 支付網(wǎng)關(guān)CA為支付網(wǎng)關(guān)（銀行）發(fā)放證書。,第五節(jié)認(rèn)證機(jī)構(gòu),86,3. 國內(nèi)外CA中心簡介 國外常見的CA有VeriSign、GTE Cyber Trust、Thawte等。 國內(nèi)常見的CA有 中國商務(wù)

35、在線 中國數(shù)字認(rèn)證網(wǎng)（），數(shù)字認(rèn)證，數(shù)字簽名，CA認(rèn)證，CA證書，數(shù)字證書，安全電子商務(wù)。 北京數(shù)字證書認(rèn)證中心 （），為網(wǎng)上電子政務(wù)和電子商務(wù)活動提供數(shù)字證書服務(wù)。,第五節(jié)認(rèn)證機(jī)構(gòu),87,第五節(jié)認(rèn)證機(jī)構(gòu),下載根證書（1）,88,下載根證書（2）,第五節(jié)認(rèn)證機(jī)構(gòu),89,第五節(jié)認(rèn)證機(jī)構(gòu),安裝根證書（3）,90,第五節(jié)認(rèn)證機(jī)構(gòu),安裝根證書（4）,91,第五節(jié)認(rèn)證機(jī)構(gòu),查看根證書 (5),92,第五節(jié)認(rèn)證機(jī)構(gòu),申請個(gè)人免費(fèi)證書（1）,93,第五節(jié)認(rèn)證機(jī)構(gòu),下載個(gè)人證書（2）,94,第五節(jié)認(rèn)證機(jī)構(gòu),查看個(gè)人證書（3）,95,數(shù)字證書應(yīng)用操作實(shí)例（個(gè)人證書在安全電子郵件中的應(yīng)用） 在Outlook Ex

36、press 5 發(fā)送簽名郵件(如圖所示) ：1）在Outlook Express 5中設(shè)置證書、2）發(fā)送簽名郵件。 用Outlook Express 5發(fā)送加密電子郵件（如圖所示） ：1）獲取收件人數(shù)字證書、 2）發(fā)送加密郵件。,96,在Outlook Express中設(shè)置證書（1）,97,在Outlook Express中設(shè)置證書（2）,98,在Outlook Express中設(shè)置證書（3）,99,發(fā)送簽名郵件,100,受到簽名郵件的提示信息,101,將收件人證書添加到通信簿,102,查詢和下載收件人數(shù)字證書,103,發(fā)送加密郵件,104,收到加密郵件的提示信息,105,第六節(jié)安全協(xié)議,一、

37、 SSL與SHTTP,106,1安全套接層（SSL）協(xié)議 安全套接層協(xié)議是由Netscape公司1994年設(shè)計(jì)開發(fā)的安全協(xié)議，主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。 SSL有兩種安全級別：40位和128位。這是指每個(gè)加密交易所生成的是有會話密鑰的長度。由于SSL協(xié)議內(nèi)置于所有主流瀏覽器和Web服務(wù)器中，所以一般用戶只需要安裝數(shù)字證書就可以啟動SSL功能。其證書分為兩種：,第六節(jié)安全協(xié)議,107,第六節(jié)安全協(xié)議,安裝服務(wù)器證書是為了保證服務(wù)器訪問的安全性。一方面，服務(wù)器證書可以保證訪問者訪問的確實(shí)是他想要訪問的網(wǎng)站，而不是為了竊取他的信用卡號和個(gè)人信息而設(shè)立的虛假站點(diǎn)。另一方面，利用數(shù)字證書加密數(shù)據(jù)可以保證通信的隱秘性，防止信息被他人截獲或篡改。 個(gè)人證書主要是為了解決訪問服務(wù)器的人的身份認(rèn)證問題。用戶利用個(gè)人證書可以在不同的網(wǎng)站獲得身份認(rèn)證，而不必針對不同的網(wǎng)站記憶不同的用戶名和口令。再者，網(wǎng)站可以根據(jù)個(gè)人證書提供的個(gè)人信息，為不同的用戶提供不同的服務(wù)。,108,第六節(jié)安全協(xié)議,SSL安全協(xié)議也有它的缺點(diǎn)，主要有以下幾點(diǎn)： 不能自動更新證書； 認(rèn)證機(jī)構(gòu)編碼困難； 瀏覽器的口令具有隨意性； 不能自動檢測證書撤銷表； 用戶的密鑰信息在服務(wù)器上是以明文方式存儲的。 SSL安全協(xié)議雖