《项目四网络商务安全.》由会员分享，可在线阅读，更多相关《项目四网络商务安全.（63页珍藏版）》请在金锄头文库上搜索。
1、任务一 防火墙技术,1基本概念 防火墙的概念是从建筑学上引过来的。在建筑学中的防火墙是用来防止大火从建筑物的一部分蔓延到另一部分而设置的阻挡机构。计算机网络的防火墙是用来防止互联网的损坏，如黑客攻击、病毒破坏、资源被盗用或文件被篡改等波及到内部网的危害。它是一个由软件和硬件设备组合而成的、在内部网(可信赖的安全网路)和外部网(不可靠的网路环境)之间的界面上构造的保护屏障(如图3-1所示)。,只有被允许的通信才能通过防火墙，从而起到内部网与外部网的隔离，可以限制外部用户对内部网络的访问和内部用户对外部网络的访问。它控制所有内部网与外部网之间的数据流量，防止企业内部信息流入Internet；控制外
2、部有害信息流入Intranet。防火墙还能执行安全策略，记录可疑事件。,图3-1 防火墙系统示意图,防火墙是一种安全有效的防范技术，是访问控制机制、安全策略和防入侵的措施。从狭义上讲，防火墙是指安装了防火墙软件的主机或路由器系统；从广义上讲，防火墙还包括了整个网络的安全策略和安全行为。 防火墙的安全策略有两种： (1) 凡是没有被列为允许访问的服务都是被禁止的。 (2) 凡是没有被列为禁止访问的服务都是被允许的。,2防火墙的构成 防火墙主要包括安全操作系统、过滤器、网关、域名服务和E-mail处理等五部分，如图7-2所示。有的防火墙可能在网关两侧设置两个内、外过滤器，外过滤器保护网关不受攻击，
3、网关提供中继服务，辅助过滤器控制业务流，而内过滤器在网关被攻破后提供对内部网络的保护。,图2-2 防火墙的构成,防火墙的主要目的是控制数据组，只允许合法流通过。它要对内域网和Internet之间传递的每一数据组进行干预。过滤器则执行由防火墙管理机构制定的一组规则，检验各数据组决定是否允许放行。这些规则按IP地址、端口号码和各类应用等参数确定。单纯靠IP地址的过滤规则是不安全的，因为一个主机可以用改变IP源地址来蒙混过关。 3防火墙的优点 防火墙应该具有高度安全性、高度透明性及良好的网络性能，而这些特性本身相互制约、相互影响。因此用户可根据实际情况需要，选择使用哪种途径来设计满足自己网络安全所需
4、要的防火墙。防火墙应该具有以下优点：,(1) 保护那些易受攻击的服务。防火墙能过滤那些不安全的服务。具有预先被允许的服务才能通过防火墙，这样就降低了受到非法攻击的风险性，大大地提高了企业内部网的安全性。 (2) 控制对特殊站点的访问。防火墙能控制对特殊站点的访问。如有些主机能被外部网络访问而有些则要被保护起来，防止不必要的访问。通常会有这样一种情况，在内部网中只有E-mail服务器、FTP服务器和WWW服务器能被外部网访问，而其他访问则被防火墙禁止。,(3) 集中化的安全管理。对于一个企业而言，使用防火墙比不使用防火墙可能更加经济一些，这是因为如果使用了防火墙，就可以将所有修改过的软件和附加的
5、安全软件都放在防火墙上集中管理；而不使用防火墙，就必须将所有软件分散到各个主机上。 (4) 对网络访问进行记录和统计。如果所有对Internet的访问都经过防火墙，那么，防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑操作时，防火墙能够报警并提供网络是否受到监测和攻击的详细信息。,4防火墙的类型 目前使用的防火墙主要可分为包过滤型和应用网关型两种。 包过滤型可以动态检查通过防火墙的TCP/IP报文头中的报文类型、源IP地址、目标IP地址、源端口号等信息，与预先保存的清单进行对照，按预定的安全策略决定哪些报文可以通过防火墙，哪些报文不可以通过防火墙。其工作原理如图2-3所示。
6、,图2-3 包过滤型防火墙的工作原理,包过滤路由器的最大优点就是价格较低，对用户透明，并且对网络性能的影响很小，包过滤不需要用户和密码来登录。这种防火墙速度快而且易于维护，通常作为第一道防线，但是，包过滤路由器的弊端也是很明显的，通常它没有用户的使用记录，这样我们就不能从访问记录中发现黑客的攻击记录。 应用网关型使用代理技术，在内部网与外部网之间建立一个单独的子网，该子网有一个代理主机，通过路由器和网关分别与内、外网连接，代理访问主机对外部和内部用户的网络服务请求进行认证，对于合法用户的服务请求，代理服务主机则连接内部网与外部网， 自己作为通信的中介，外部用户只能获得经过代理的内部网服务，从而
7、保护内部网络资源不受侵害。其工作原理如图2-4所示。,图2-4 应用网关型防火墙的工作原理,代理服务器技术是防火墙技术中最受推崇的一种安全技术措施，它的优点在于可以将被保护的网络内部结构屏蔽起来，增强网络的安全性能，同时可用于实施较强的数据流监控、过滤、记录和报告等功能。其缺点在于需要为每个网络服务专门设计、开发代理服务软件及相应的监控过滤功能，并且由于代理服务器具有相当的工作量，需专门的工作站来承担。代理服务器对出入数据进行两次处理，所以会降低性能，这是应用网关的主要缺陷。此外，对于新出现的Internet服务，防火墙厂商可能要在几个月之后才能为其提供相应的应用代理，这也是应用级网关不尽人意
8、的地方。,数据加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障其安全性。利用加密技术，可以将某些重要信息和数据从一个可以理解的明文形式变换成一种复杂错乱的、不可理解的密文形式(即加密)，在线路上传送或在数据库中存储，其他用户再将密文还原成为明文(即解密)。加密技术能避免各种存储介质上或通过Internet传送的敏感数据被侵袭者窃取。由于原文经过加密，具有机密性，所以加密技术也适用于检查信息的真实性与完整性。这是一种主动安全防御策略，用很小的代价即可为信息提供相当大的安全保护。,任务二 加密技术,1. 加密技术的基本概念 所谓加密技术，就是指采用数学方法对原始信息
9、(通常称为“明文”)进行再组织，使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字(加密后的信息通常称为“密文”)。而对于合法的接收者，因为其掌握正确的密钥，可以通过解密过程得到原始数据(即“明文”)。一条信息的加密传递的过程如图3-5所示。由此可见，在加密和解密过程中，都要涉及信息(明文/密文)、密钥(加密密钥/解密密钥)和算法(加密算法/解密算法)这三项内容。如果按照收发双方密钥是否相同来分类，可以将加密技术分为对称加密技术和非对称加密技术，两种技术最有名的代表分别为DES和RSA。,图3-5 数据加密的一般模型,数据加密技术与密码编码学和密码分析学有关。密码编码学是为了设
10、计出安全的密码体制，防止被破译。密码分析学则是研究如何破译密文的。这两门学科合起来就称为密码学。加密和解密过程必须依赖两个要素，这两个要素就是算法和密钥。算法是加密和解密的计算方法；密钥是加密和解密所需的一串数字。 如果不论截取者获得了多少密文，在密文中都没有足够的信息来惟一地确定出对应的明文，则这一密码体制称为无条件安全的，或称为理论上不可破的。在理论上，目前几乎所有使用的密码体制都是可破的，人们关心的是能研制出在计算机上是不可破的密码体制。如果一个密码体制的密码不能被可以使用的计算资源所破译，则这一密码体制称为在计算机上是安全的。,2对称加密技术 在对称加密方法中，对信息的加密和解密都使用
11、相同的密钥。该技术最具有代表性的算法是IBM公司提出的DES(Data Encryption Standard)算法，该算法于1977年被美国国家标准局NBS颁布为商用数据加密标准，是目前广泛采用的对称加密方式之一，主要应用于银行业中的电子资金转账(EFT)领域。 DES综合运用了置换、代替、代数等多种密码技术，把消息分成64位大小的块，使用56位密钥，加密算法的迭代轮数为16轮。DES密码算法输入的是64 bit的明文，在64 bit密钥的控制下产生64 bit的密文；反之输入64 bit的密文，输出64 bit的明文。64 bit的密钥中含有8 bit奇偶校验位，所以实际有效密钥长度为56
12、 bit。,DES设计精巧，实现容易，使用方便，最主要的优点是加密、解密速度快，并且可以用硬件实现。其主要弱点在于密钥管理困难，主要有如下表现： (1) 在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。 (2) 当通信对象增多时，需要相应数量的密钥。例如，当某一贸易方有“n”个贸易关系，那么他就要维护“n”个专用密钥(即每把密钥对应一贸易方)。 (3) 对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。,自从DES算法公布以来，出于DES算法本身的弱点以及各国出于政治上的考虑(在商用方面一般都采用
13、本国设计的算法)，而出现了许多DES的替代算法，这些算法中比较有影响的有AES算法(Advanced Encryption Standard)和欧洲数据加密标准IDEA。,3非对称加密技术(公-私钥加密技术) 针对对称加密技术密钥管理困难的问题，1976年，美国学者Diffre和Hellman提出了一种新的密钥交换协议，允许通信双方在不安全的媒体上交换信息，安全地达成一致的密钥，这就是“公开密钥系统”。在非对称加密体系中，密钥被分解为一对(即一把公开密钥或加密密钥和一把专用密钥或解密密钥)。这对密钥中的任何一把都可作为公开密钥(加密密钥)通过非保密方式向他人公开，而另一把则作为专用密钥(解密密
14、钥)加以保存。公开密钥用于对机密性的加密，专用密钥则用于对加密信息的解密。专用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛发布,但它只对应于生成该密钥的贸易方。,贸易方利用该方案实现机密信息交换的基本过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对机密信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密后的信息进行解密。 RSA(Rivest Shanir Adleman)算法是非对称加密领域内最为著名的算法，它建立在数论中大数分解和素数检测的理论基础上。两个大素数相乘在计算上是容易实现的，但将该乘数分解为两
15、个大素数因子的计算量很大，大到甚至在计算机上也不可能实现。,RSA算法解决了大量网络用户密钥管理的难题，但是它存在的主要问题是算法的运算速度较慢，较对称密码算法慢几个数量级。因此，在实际的应用中通常不采用这一算法对信息量大的信息(如大的EDI交易)进行加密。对于加密量大的应用通常用对称加密方法。,4、信息摘要 密钥加密技术只能解决信息的保密性问题，对于信息的完整性则可以用信息摘要技术来保证。 信息摘要(Message digest)又称Hash算法，是Ron Rivest发明的一种单向加密算法，其加密结果是不能解密的。所谓信息摘要，是指从原文中通过Hash算法(一种单向的加密算法)而得到的一个
16、固定长度(128位)的散列值，不同的原文所产生的信息摘要必不相同，相同原文产生的信息摘要必定相同。因此信息摘要类似于人类的“指纹”，可以通过信息摘要去鉴别原文的真伪。信息摘要的使用过程如图3-6所示。,(1) 对原文使用Hash算法得到信息摘要； (2) 将信息摘要与原文一起发送； (3) 接收方对接收到的原文应用Hash算法产生一个摘要； (4) 用接收方产生的摘要与发送方发来的摘要进行对比，若两者相同则表明原文在传输过程中没有被修改，否则就说明原文被修改过。,图3-6 信息摘要过程,5、 数字签名 数字签名(Digital signature)是密钥加密和信息摘要相结合的技术，用于保证信息的完整性和不可否认性。数字签名的过程如图3-7所示。,图3-7 数字签名过程,1,2,3,(1) 对原文使用Hash算法得到信息摘要； (2) 发送者用自己的私钥对信息摘要加密； (3) 发送者将加密后的信息摘要与原文一起发送； (4) 接收者用发送者的公钥对收到的加密摘要进行解密； (5) 接收者对收到的原文用Hash算法得到接收方的信息摘要； (6) 将解密后的摘要与
