网络金融学(网络金融与网络安全).

《网络金融学(网络金融与网络安全).》由会员分享，可在线阅读，更多相关《网络金融学(网络金融与网络安全).（124页珍藏版）》请在金锄头文库上搜索。

1、网络金融 徐 勇 电子商务系 电话：13826148376 Email：xuyong 本讲的主要内容： 一、网络金融系统安全问题的提出 二、防火墙技术 三、加密技术 四、电子商务中的安全技术 五、网络金融的安全协议 网络金融风险与安全 一、安全问题的提出 (一）网络信息系统是脆弱的 主要原因： & 网络的开放性、方便性。 & 组成网络的通信系统和信息系统的自身缺 陷。 & 黑客（hacker）及病毒等恶意程序的攻击 。 一、安全问题的提出 网络信息系统的主要威胁从协议层次看，常见主要威胁： 物理层：窃取、插入、删除等，但需要一定的设备。 数据链路层：很容易实现数据监听。 网络层：IP欺骗等针对

2、网络层协议的漏洞的攻击。 传输层：TCP连接欺骗等针对传输层协议的漏洞的攻击。 应用层：存在认证、访问控制、完整性、保密性等所有安 全问题。 一、安全问题的提出 （二）网络金融系统的信息安全问题 1、信息安全隐患 网络金融系统处理具有计算机安全的隐患外，还存在着对于 网络金融系统和商务交易安全的安全问题。这些安全隐患主要 来自以下几类： 1信息的截获和窃取。攻击者通过网络通信过程按照截收装置 ，截获数据，获取机密信息，如消费者的银行帐户和密码。 1信息的篡改。当攻击者熟悉网络信息格式后，对网络传输信 息进行插入、篡改和删除，并发往目的地，从而破坏信息的完 整性 1信息的假冒。当攻击者掌握了网络

3、信息数据规律或者解密了 信息以后，可以假冒合法用户或者发送假冒信息，如伪造电子 邮件来欺骗其他用户 1交易抵赖。在现实生活中经常发生的恶意抵赖同样会存在网 络上。如交易发起者事后否认曾经发送或者收到某条交易指令 信息或者内容，使得通过网络完成的金融活动产生纠纷。 一、安全问题的提出 2、网络金融系统安全的基本需求 有效性。 需要保证交易过程中的数据在规定的某个时刻。某个执行点是有效的， 参与对方的真实身份和帐号密码是真实的 保密性(Confidentiality) 信息不泄露给非授权用户/实体/过程，不被非法利用。 完整性(Integrity) 数据未经授权不能进行改变的特性，即信息在存储或传

4、输过程中保持不 被修改、不被破坏和丢失。 可用性(Availability) 可被授权实体访问并按需求使用的特性，即当需要时总能够存取所需的 信息。网络环境下，拒绝服务、破坏网络和有关系统的正常运行等都属 于对可用性的攻击 可控性(Controllability) 对信息的传播及内容具有控制能力。 不可否认性（抗否性non-repudiation） 发送者不能否认其发送的信息。 一、安全问题的提出 一、安全问题的提出 （四）网络金融系统的安全防范技术 安全防范主要包括网络安全技术与安全标准。 1网络安全技术 计算机网络安全是网络金融与电子商务活动安全的基础，一个完整的商务系应该建 立在安全的网

5、络基础设施至上统应该建立在安全的网络基础设施至上 &操作系统安全：是其他应用层安全的保障 &防火墙技术：将内部网络与外部网络（不可信任的网络）隔离开。下面 一节会进一步展开。 &漏洞检测技术和入侵检测技术：防范黑客入侵或者病毒破坏等网络攻击 的重要手段 &虚拟专用网VPN技术：在公用网络中建立一个专用网络，数据通过建立好 的虚拟安全通道在公共网络中传播。 &加密技术：保证网络金融与商务安全的重要许多密码算法现在已经成为 网络安全和商务信息安全的基础。 1网络安全标准网络安全标准网络金融的一个主要特征是在线金融交易，为了保证在 线交易的安全，需要采用各种加密技术和身份认证技术，从而创造一种值得信

6、赖的电 子交易环境。而安全标准就可以保证不同企业采用的不同手段和方法能够互联互通。 而安全标准就可以保证不同企业采用的不同手段和方法能够互联互通。安全标准技术 有2种：安全套接层协议SSL和安全电子交易规范SET。 二、防火墙技术 1.防火墙的定义 u设置在两个或多个网络之间的安全阻隔， 用于保证本地网络资源的安全，通常是包含 软件部分和硬件部分的一个系统或多个系统 的组合” u其主要目标是保护Intranet中的信息、资源 等不受来自Internet中非法用户的侵犯，它控 制Intranet与Internet之间的所有数据流量。 防火墙的应用示意图为 ： Internet 企业内部网络（如I

7、ntranet) 防火墙系统 （堡垒主机+路由器等） 非安全网络安全网络 防火墙实际上是一种访问控制技术，在某个机构的网络和安全 的网络之间设置障碍，阻止对信息资源的非法访问, 也可以使 用防火墙阻止保密信息从受保护网络上被非法输出。 基本功能 过滤进出网络的数据包 管理进出网络的访问行为 封堵某些禁止的访问行为 记录通过防火墙的信息内容和活动 对网络攻击进行检测和告警 隔离网段，限制安全问题扩散。 防火墙自身有一定的抗攻击能力。 综合运用各种安全措施，使用先进健壮的信息安全技术。 二、防火墙技术 3.防火墙的组成 Internet 网关 Intranet 外部过滤器内部过滤器 不安全网络 安

8、全网络 防火墙的基本组成框架 4.电子商务中防火墙与Web服务器的配置方式 Internet Intranet 不安全网络 安全网络 业务Web服务器放在防火墙之内的配置图 防火墙+路由器 Web 服务器 4.电子商务中防火墙与Web服务器的配置方式 Internet Intranet 不安全网络 安全网络 业务Web服务器放在防火墙之外的配置图 防火墙+路由器 Web 服务器 5.防火墙的类型 按防火墙采用的技术分类，主要有包过滤式防火 墙、应用级网关和状态检测防火墙 包过滤式防火墙 Internet 包过滤防火墙 +路由器 Intranet 优点：对用户来 说是透明的，处 理速度快，易于

9、维护，进行网络 及维护 缺点：不能鉴别 不同的用户和防 止IP地址盗用， 配置繁琐 包过滤式的防火墙应用原理示意图 应用级防火墙通常是运行在防火墙上的运行代理服务 器软件部分（又名称为应用网关） 应用级网关 Internet 优点：比包过滤 式防火墙更为安 全、可靠，详细 记录所有访问状 态信息 缺点：速度慢， 不允许用户直接 访问网络，透明 性差 Intranet 内部服务器等 代 理 服 务 器 路 由 器 应用级网关的应用原理示意图 状态监测防火墙 使用一个在网关上执行网络安全策略的软件模块，称为 监测引擎，是第三代防火墙技术 v 原理 监测引擎软件在不影响网络正常运行的前提下，采用抽取

10、 有关数据的方法对网络通信的各层实施监测，抽取状态信息， 并动态的保存起来，作为执行安全策略的参考 6.防火墙的优缺点 v优点 1.遏制来自Internet各种路线的攻击 2.借助网络服务选择，保护网络中脆弱的易受攻击的服务 3.监视整个网络的安全性，具有实时报警提醒功能 4.作为部署NAT的逻辑地址 5.增强内部网中资源的保密性，强化私有权 能保护网络系统的可用性和系统安全，但由于无法理解数 据内容，不能提供数据安全。 对用户不透明，可能带来传输延迟、瓶颈和单点失效等问 题 不能防范不经过它的连接。 当使用端到端加密时，其作用会受到很大限制。 过于依赖于拓扑结构。 防火墙不能防范病毒。 是一

11、种静态防御技术。 二、防火墙技术 v不足 4)设计原则 要实现防火墙的功能，设计防火墙必须遵循一定的原则： 过滤不安全的服务 没有明确允许的就是禁止的：只有明确和积累在册的服务允 许通过，其他都在禁止之列。防火墙应封闭所有的信息流，然后 对希望提供的安全服务逐项开放，对不安全的服务或者可能有安 全隐患的服务一律扼杀在萌芽之中。 屏蔽非法用户的原则 没有明确禁止的就是允许的：防火墙应允许所有的用户和站 点对内部网络的访问，然后网络管理员对未授权的用户或者不信 任的站点进行逐项屏蔽。 二、防火墙技术 二、防火墙技术 通常采用的防火墙有三种：包过滤型、双宿主主机型、被屏蔽主 机型和屏蔽子网型。 包过

12、滤型 u通过包过滤技术实现对进出数据的控制 u其工作在TCP /IP体系结构的网络层，防火墙在网络层对所 有进出的数据进行拦截和检测，按照一定的信息过滤规则进 行筛选，允许授权信息通过，对不符合规则的信息报警，并 丢弃该包，一般由路由器实现 u遵循最小特权原则：明确允许那些管理员希望通过的数据 包通过，禁止其他的数据包通过。 双重宿主机型 u围绕双重宿主主机构筑主体结构 u双重宿主主机至少有两个网络接口。 u可以充当与这些接口相连的网络之间的路由器；它能够从一 个网络到另外一个网络发送IP数据包 u外部网络能与双重宿主主机通信，内部网络也能与双重宿主 主机通信。 u外部网络与内部网络不能直接通

13、信，它们之间的通信必须经 过双重宿主主机的过滤和控制。 双重宿主 主机体系 结构 二、防火墙技术 被屏蔽主机体系结构 u使用一个路由器把内部网络和外部网络隔离开，如图。 u安全由数据包过滤提供（例如，数据包过滤用于防止人们 绕过代理服务器直接相连）。而双重宿主主机体系结构防火 墙没有使用路由器。 u该体系结构涉及到堡垒主机。堡垒主机是因特网上的主机 能连接到的唯一的内部网络上的系统。任何外部的系统要访 问内部的系统或服务都必须先连接到这台主机。因此堡垒主 机要保持更高等级的主机安全 被屏蔽主机 体系结构 二、防火墙技术 被屏蔽子网体系结构 u 被屏蔽子网体系结构添加额外的安全层到被屏蔽主机体系

14、结构，即通过 添加周边网络更进一步的把内部网络和外部网络（通常是Internet）隔离开 。 u最简单的形式为，两个屏蔽路由器，每一个都连接到周边网。一个位于周 边网与内部网络之间，另一个位于周边网与外部网络（通常为Internet）之 间。这样就在内部网络与外部网络之间形成了一个“隔离带”。 被屏蔽子网 体系结构 二、防火墙技术 三、加密技术 1、加密的基本概念 数据加密的基本过程就是对原来为明文的文件或数据按某种 算法进行处理，使其成为不可读的一段代码，通常称为“密文”， 使其只能在输入相应的密钥之后才能显示出本来内容，通过这样 的途径来达到保护数据不被非法人窃取、阅读的目的。 该过程的逆

15、过程为解密，即将该编码信息转化为其原来数据 的过程。 加密在网络上的作用就是防止有用或私有化信息在网络上被 拦截和窃取 乙银行： 有一笔 20 000元 资金转帐 至贵行12345 账号上 甲银行 乙银行： 有一笔 20 000元 资金转帐 至贵行12345 账号上 甲银行 密钥A密钥A 加密 解密 信息明文信息明文 信息密文信息密文 网络传输 1、加密的基本概念 密码分析的基本假设：秘密必须全部隐藏在密钥里，密码分析 者已经密码算法。则有： EK1（M）C；Dk2（C）M；Dk2（EK1（M）M 上式中， 若没有K1和K2，则称为无钥密码 若K1K2，则称为对称密钥 若K1不等于K2，则称为公钥密码或者不对称密钥。 现代加密技术以密钥为标准，可将密码系统划分为对称密钥体 系和非对称密钥体系。 2. 对称密钥密码体系 对称密钥密码体系,又叫私钥或单钥密码体系。其最基本的 特点：加密密钥与解密密钥相同或者实质上等同。密钥K必须通 过安全的密钥信道传给对方。 信息的发送方和接收方必须使用相同的密钥去加密和解密数 据，其算法时对称的，既可用于加密也可以用于解密。 最具代表性的对称加密密钥算法是美国加密标准DES。这是 在银行、证券业常用的加密算法，至