《电子商务安全与支付-10》由会员分享，可在线阅读，更多相关《电子商务安全与支付-10（18页珍藏版）》请在金锄头文库上搜索。
1、第10章 电子商务安全常见技巧 10.1 数据库系统安全 10.2 生物特征识别 10.3 潜信道 10.4 外包安全 10.1 数据库系统安全 10.1.1 数据库系统安全的重要性 10.1.2 数据库系统安全的含义 10.1.3 数据库中数据的完整性 10.1.4 数据库并发控制 10.1.5 数据库的备份与恢复 10.1.6 数据攻击常用方法 10.1.1数据库系统安全的重要性 1、数据库系统安全的重要性 （1）保护敏感信息和数据资源; （2）数据库同系统紧密相关并且更难正确地配 置和保护; （3）网络和操作系统的安全被认为非常重要， 但却不这样对待数据库服务器; （4）少数数据库安全漏
2、洞不光威胁数据库的安 全，也威胁到操作系统和其他可信任的系统; （5）数据库是电子商务、ERP系统和其他重要 的商业系统的基础. 10.1.2数据库系统安全的含义 1、数据库系统安全与保密概述 数据库系统安全，包含两层含义： 第一层是指系统运行安全，它包括： 法律、政策的保护。 物理控制安全。 硬件运行安全。 操作系统安全， 灾害、故障恢复。 死机的避免和解除。 电磁信息泄漏防止。 第二层是指系统信息安全，它包括： 用户口令鉴别。 用户存取权限控制。 数据存取权限、方式控制。 审计跟踪。 数据加密。 2、数据库基本安全构架 数据库系统信息安全依赖于两个层次：一层 是数据库管理系统本身提供的用户
3、名/口令字识 别、视图、使用权限控制、审计等管理措施；另 一层是靠应用程序设置的控制管理。作为数据库 用户，最关心自身数据资料的安全，特别是用户 的查询权限问题，对此，目前一些大型数据库管 理系统提供了以下几种主要手段。 （1）用户分类 （2）数据分类 （3）审计功能 3、数据库加密 （1）数据库密码系统的基本流程 一个密码系统包括明文集合、密文集合、密钥集 合和算法，其中密钥和算法构成了密码系统的基 本单元。算法是一些公式、法则和程序，规定明 文与密文之间的变换方法，密钥可以看作算法中 的参数。 （2）数据库加密的特点 数据库密码系统应采用公开密钥 多级密钥结构 加密机制 加密算法 （3）数
4、据库加密的范围 索引字段不能加密 关系运算的比较运算不能加密 表间的连接码字段不能加密 （4）数据库加密对数据库管理系统原有功能的影 响 无法实现对数据制约因素的定义 密文数据的排序、分组和分类，在解密后将失去 原语句的排序、分组和分类作用 SQL语言中的内部函数将对加密数据失去作用 DBMS的一些应用开发工具的使用受到限制 （1）数据类型与值域的约束 （2）关键字约束 （3）数据联系的约束 4、数据库并发控制 目前，多数数据库都是大型多用户数据库，所以 数据库中的数据资源必须是共享的。为了充分利用数 据库资源，应允许多个用户并行操作的数据库。数据 库必须能对这种并行操作进行控制，即并发控制，
5、以 保证数据在不同的用户使用时的一致性。并发控制的 主要方法是封锁技术（LOCKING）。 10.1.3数据库中数据的完整性 10.1.4数据库并发控制 目前，多数数据库都是大型多用户数据库， 所以数据库中的数据资源必须是共享的。为了充 分利用数据库资源，应允许多个用户并行操作的 数据库。数据库必须能对这种并行操作进行控制 ，即并发控制，以保证数据在不同的用户使用时 的一致性。并发控制的主要方法是封锁技术（ LOCKING）。 （1）数据库的备份 三种：冷备份、热备份、逻辑备份 （2）数据库的恢复 恢复的方法有： 周期性的（如3天一次）对整个数据进行转储 ，把它复制到备份介质中，作为后备副本，
6、以备 恢复之用。 对数据库的每次修改，都记下修改前后的值， 写入“运行日志”数集中，它与后备副本结合，可 有效地恢复数据库。 10.1.5 数据库的备份与恢复 （3）利用日志文件恢复事务 登记日志文件 事务恢复：利用日志文件恢复事务的过程分为两 步： 扫描日志文件，找出哪些事务在故障发生时已经结 束，哪些事务尚未结束。 对尚未结束的事务进行撤消处理，对已经结束的事 务进行重做。 10.1.6 数据攻击常用方法 （1）突破script的限制 （2）对SQL的突破 （3）利用多语句执行漏洞 （4）SQL Server装完后自动创建一个管理用户sa ，密码为空。 （5）数据库的利用。 （6）数据库里
7、如何留后门。 （7）数据库扫描工具。 10.2 生物特征识别 10.2.1 隐写术 10.1.2数字水印 10.2.1 隐写术 将机密资料秘密地隐藏与一般的文件 中，然后再通过网络传递。由于非法拦截 者从网络上拦截下来的是伪装后的机密资 料，并不像传统加密文件一样，看起来不 是一堆不会激发非法拦截者破解机密资料 动机的乱码，而是看起来和其他非机密性 的一般资料无异，因而十分容易逃过非法 拦截者的破解。 10.2.2数字水印 向被保护的数字对象嵌入某些能证明 版权归属或跟踪侵权行为的信息，可以是 作者的序列号、公司标志、有意义的文本 等。同隐写术相反，水印中的隐藏信息具 有抵抗攻击的稳健性。即使知道隐藏信息 的存在，对攻击者而言要毁掉嵌入的水印 仍很困难。 10.3 潜信道 1、潜信道的概念 不容易被普通人发现的隐藏在其他系统中的信 道。 有各种各样的方法将潜信道嵌入文件中：字体 和字号的选择，数据和图形在页面上的布置， 在文中使用不同的同义词等等。 10.4 外包安全 我们生活中越来越多的方面转向网络空间 ，对网络空间的安全需求（也就是对专家的需 求）将增加，唯一可行的方案是尽可能地综合 利用这些专家，外包是能够有效做到这一点的 惟一方式。
