电子商务安全与电子支付2章幻灯片资料

《电子商务安全与电子支付2章幻灯片资料》由会员分享，可在线阅读，更多相关《电子商务安全与电子支付2章幻灯片资料（79页珍藏版）》请在金锄头文库上搜索。

1、,第二章 电子商务安全的技术保障,2.2加密技术,2.3认证技术,2.4电子商务交易系统安全模型及具体实现,2.1防火墙技术,2.1防火墙技术,2.1.1防火墙技术及访问控制技术 2.1.2入侵检测技术 2.1.3安全扫描技术,2.1.1防火墙技术及访问控制技术,1. 防火墙的概念与分类 所谓防火墙，就是在内部网（如Intranet）和外部网（如因特网）之间的界面上构造一个保护层，并强制所有的连接都必须经过此保护层，由其进行检查和连接。它是一个或一组网络设备系统和部件的汇集器，用来在两个或多个网络间加强访问控制、实施相应的访问控制策略，力求把那些非法用户隔离在特定的网络之外，从而保护某个特定的

2、网络不受其他网络的攻击，但又不影响该特定网络正常的工作。,根据防火墙在网络上的物理位置和在OSI七层协议中的逻辑位置以及所具备的功能，可作如下的分类： （1）线路级网关。 （2）包过滤路由器。 （3）应用网关。 （4）双重基地型网关。 （5）屏蔽主机防火墙。 （6）屏蔽主网防火墙。,2. 包过滤型防火墙（Packet Filter）,包过滤防火墙是最简单的防火墙，一般在路由器上实现。包过滤防火墙通常只包括对源和目的IP地址及端口的检查。包过滤防火墙将所有通过的数据包中发送方IP地址、接收方IP地址、TCP端口、TCP链路状态等信息读出，并按照预先设定的过滤原则过滤数据包。那些不符合规定的IP地

3、址的数据包会被防火墙过滤掉，以保证网络系统的安全。,图 2 1包过滤防火墙的工作原理,3. 代理服务器型防火墙（Proxy Service）,代理型防火墙也叫应用层网关（Application Gateway）防火墙。这种防火墙通过一种代理（Proxy）技术参与到一个TCP连接的全过程。 这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。,电路级网关又称线路级网关，它工作在会话层，其工作原理如图2-2所示。电路级网关在两主机首次建立TCP连接时创立一个电子屏障。它作为服务器接收外来请求，转发请求；与被保护的主机连接时则担当客户机角色、起代理服务的作用。,图 2 2电路级网关,应用级网

4、关使得网络管理员能够实现比包过滤防火墙更严格的安全策略。应用级网关工作原理如图2-3所示，它不用依赖包过滤工具来管理因特网服务在防火墙系统中的进出，而是采用为每种所需服务在网关上安装特殊代码（代理服务）的方式来管理因特网服务。,图 2 3应用级网关工作原理,4. 复合型防火墙（Hybrid）,复合型防火墙的设计目标是既有包过滤的功能，又能在应用层进行代理，能从数据链路层到应用层进行全方位安全处理。由于TCP/IP协议和代理的直接相互配合，使系统的防欺骗能力和运行的安全性都大大提高。 复合型防火墙的设计综合了包过滤技术和代理技术，克服了二者在安全方面的缺陷，从TCP/IP协议的数据链路层一直到应

5、用层施加全方位的控制，将网关与安全系统合而为一。,图 2 4 新型防火墙的系统构成,从图2-4可知，该防火墙既不是单纯的代理防火墙，又不是纯粹的包过滤。从数据链路层、IP层、TCP层到应用层都能施加安全控制，且能直接对网卡操作，对出入的数据进行加密或解密。,5. 物理隔离技术,物理隔离技术是近年来发展起来的防止外部黑客攻击的有效手段。物理隔离产品主要有物理隔离卡和隔离网闸。 物理隔离卡主要分为单硬盘物理隔离卡和双硬盘物理隔离卡。,图 2-5物理隔离卡工作示意图,图 2 6物理隔离闸示意图,2.1.2入侵检测技术,入侵检测系统(Intrusion Detect System，IDS)是对传统安全

6、产品的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。,通过执行以下任务来实现实时保护,（1）监视、分析用户及系统活动； （2）对系统构造和弱点的审计； （3）识别反映已知进攻的话动模式并向相关人士报警； （4）异常行为模式的统计分析； （5）评估重要系统和数据文件的完整性； （6）操作系统的审计跟踪管理，并识别用 户违反安全策略的行为。,2.1.3安全扫描技术,安全扫描技术是一类重要的网络安全技术。安全扫描技术与防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员可以了解网络

7、的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。网络管理员可以根据扫描的结果更正网络安全漏洞和系统中的错误配置，在黑客攻击前进行防范。,一次完整的网络安全扫描分为3个阶段,（1）发现目标主机或网络。 （2）发现目标后进一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设备以及各主机的信息。 （3）根据搜集到的信息判断或者进一步测试系统是否存在安全漏洞。,2.2加密技术,2.2.1加密技术概述 2.2.2对称密码体制 2.2.3公钥密码体制 2.2.4 PKI加密技术 2.2.5数字签名技术,2.2.

8、1加密技术概述,密码理论与技术主要包括两部分，即基于数学的密码理论与技术（包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等）和非数学的密码理论与技术（包括信息隐形，量子密码，基于生物特征的识别理论与技术）。,2.2.2对称密码体制,密码算法主要分为两大类，对称密码算法和非对称密码算法。对称密码技术之所以被称之为对称是因为在加密和解密过程中其使用的密钥是同一个。对称密码算法接受明文作为输入。然后使用一个对称密钥(symetic key)进行运算，输出明文的一个加密版本(也称为密文)。,对称密码算法分为两种类型：分组密码(block cipher)

9、和序列密码(stream cipher)。分组密码是在数据的固定长度的小分组上进行运算的，分组的长度一般是64位。分组密码有很多种，包括DES，3DES，RC2，RC5，RC6以及Rijndael(也被称做AES)。 除了分组密码以外，还有在单个的数据位上进行运算的序列密码。最著名的序列密码是RC4。,图 2 7对称加密过程,对称加密过程的优点是其加密和解密的密钥是同一个，加密速度比较快，得到的密文紧凑，大小几乎等于明文。但是，对称加密的密钥必须经过因特网发送给接受者，密钥本身有可能被黑客截获，安全性令人担心，而且对称密钥只能使用一次，这需要一个庞大的系统支持来搞清所有的密钥与密文之间的关系，

10、在密钥分发、存储和管理方面都面临很大的难题。此外，对称加密不支持数字签名，无法进行身份确认。,2.2.3公钥密码体制,公开密钥密码体制又称非对称（或不对称）密钥加密体制，或公钥密码体制 它是指加密密钥和解密密钥各不相同，并且不可能由一个密钥推导出另一个密钥，特别是不可能依据所知道的加密函数求解出解密函数。,图 2 8使用公钥加密和对应的私钥解密的示意图,公开密钥密码体制的主要优点,1）密码数量足够大，可以适应网络的开放性要求； （2）密钥的分配和管理比较容易。由于加密密钥是公开的，用户仅需保存自己的解密密钥，所以当n个人相互通信时，仅需产生n对密钥就能满足需要； （3）对互不相识的人也可以提供

11、通信的保密性； （4）可以实现数字签名和数据鉴别。,2.2.4 PKI加密技术,1. PKI加密技术概述 PKI（Public Key Infrastructure）公共密钥基础设施是一种集中化的、易于管理的网络安全方案。它可以支持多种形式的数字认证，例如数字加密、数字签名、反否认、甄别、密钥管理以及交叉认证等。它是由公开密钥密码技术、数字证书、认证中心（CACertificate Authority）和关于公开密钥的安全策略等基本部分所共同组成的有机系统。,PKI为网络的具体应用提供了以下一些安全支持,（1）证书与CA中心。 （2）交叉签证。 （3）支持对数字签名的不可抵赖性。 （4）加密密

12、钥和签名密钥的分隔。 （5）证书、密钥的自动更换。 （6）密钥历史的管理。 （7）密钥的备份及恢复。,2. PKI加密技术实施的要求,1）企业及系统本身所要具备的条件 （1）成本要求。 （2）用户的可接受度。 （3）初期准备工作的充分程度。 （4）是否拥有具备PKI经验的专业技术人员。 （5）应用系统对电子证书的处理。 （6）扩充性。,2）技术方面的考虑 （1）多供应商的CA交互及交叉证书。 （2）注废证书。 （3）行业标准。 （4）X.509的技术限制。,2.2.5数字签名技术,1. 数字签名的基本原理 数字签名技术以加密技术为基础，采用公钥密码体制对整个明文进行变换，得到一个作为核实签名的

13、值。接收者使用发送者的公开密钥对签名进行解密运算，如其结果为明文，则证明对方的身份是真实的。,数字签名可以实现的功能,（1）接收者可以确认发送者的真实身份。 （2）发送者事后不能否认发送过该报文。 （3）保证报文的准确性和完整性。,数字签名的主要运作过程如下,（1）报文信息的发送方通过运行散列函数（Hash Function）生成一个欲发送报文的信息摘要（Message Digest）； （2）发送方利用其私钥对生成的信息摘要进行加密，以形成发送方的数字签名，这个签名将作为报文的附件和报文一起发送给报文的接收方； （3）接收方在收到信息后，首先运行和发送方相同的散列函数生成接收报文的信息摘要，

14、然后再用发送方的公开密钥对报文所附的数字签名进行解密，产生原始报文的信息摘要； （4）通过比较上述两个信息摘要是否相同来确认发送方和报文的正确性。,2. 数字签名的类型,（1）秘密密钥的数字签名 （2）公开密钥的数字签名 （3）只需确认的数字签名 （4）数字摘要的数字签名,2.3认证技术,2.3.1客户认证 2.3.2.身份认证 2.3.3通过电子认证服务机构认证 2.3.4 带有数字签名和数字证书的加密系统,2.3.1客户认证,客户认证是基于用户的客户端主机IP地址的一种认证机制，它允许系统管理员为具有某一特定IP地址的授权用户定制访问权限。 客户认证技术是保证电子商务交易安全的一项重要技术

15、。客户认证主要包括身份认证和通过电子认证服务机构所进行的信息认证。,2.3.2.身份认证,用户身份认证可以通过以下三种基本方式或这三种方式的不同组合来实现： （1）用户所知道的某个秘密信息，例如用户自己的密码口令； （2）用户所拥有的某个秘密信息（一般为硬件）。即用户必须持有合法的随身携带的物理介质，例如智能卡中存储的个人参数，访问系统资源时必须要有智能卡； （3）用户所具有的某些生物学特征。如指纹、声音、DNA结构和视网膜扫描等，但是这种方案成本较高，一般只适用于保密要求极高的场合。,2.3.3通过电子认证服务机构认证,1. 数字证书 根据联合国电子签字示范法第一条，“证书”系指可证实签字人

16、与签字生成数据有联系的某一数据电文或其他记录。电子签名认证证书有多种形式，如数字、指纹、视网膜、DNA等。其中，最常用的认证证书是数字证书，因为它使用方便、便于记忆，价格又最便宜。,数字证书按照不同的分类有多种形式，如个人数字证书和单位数字证书，SSL数字证书和SET数字证书等。数字证书由两部分组成：申请证书主体的信息和发行证书的CA签字（参见图2-9）。,图2-9 数字证书的组成,2. 电子认证服务提供者,电子认证服务提供者是指为电子签名人和电子签名依赖方提供电子认证服务的第三方机构（以下称为“电子认证服务机构”）。,电子认证服务机构提供的服务,（1）制作、签发、管理电子签名认证证书； （2）确认签发的电子签名认证证书的真实性； （3）提供电子签名认证证书目录信息查询服务； （4）提供电子签名认证证书状态信息查询服务。,图2-10 CA 认证,3. 电子商务的CA认证体系,电子商务CA体系包括两大部分，即符合SET标准的SET CA认证体系（又叫“金融CA”体系）和基于X.509的 PKI CA体系（又叫“非金融CA”