电子商务安全的技术保障

《电子商务安全的技术保障》由会员分享，可在线阅读，更多相关《电子商务安全的技术保障（127页珍藏版）》请在金锄头文库上搜索。

1、1,第二章 电子商务安全的技术保障,2,从技术角度讲，电子商务交易安全的需求突出表现为网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏，系统连续可靠地运行，网络上的信息（包括静态信息的存储和传输）都是安全的。,3,为了保证上述各个方面的安全，电子商务网站或从事电子商务的企业通常会采用一些网络安全技术措施。本章重点介绍了防火墙技术、加密技术、认证技术等。这些安全技术的使用可以从一定程度上满足网络安全需求，但不能满足整体的安全需求，因为它们只能保护特定的某一方面。 如防火墙的最主要的功能是访问控制 加密技术可以保证信息传输的安全性。 对于电子商务系统还需要一种整体的

2、安全策略，这种策略不仅包括安全技术，还应包括安全管理、实时监控、响应和恢复等措施。本章利用电子商务交易系统安全模型，深入讨论了有关这方面的问题。,4,学习目标,了解电子商务安全技术保障的主要手段。 掌握常用的防病毒技术及其工作原理。 了解主要的加密体系，掌握对称密码和公钥密码的加密原理。 了解主要的认证技术，掌握数字证书的类型和工作原理。 了解如何建立安全的电子商务交易系统。,5,基本概念,防火墙 入侵检测 安全扫描 PKI 数字签名 数字证书 CA 虚拟专用网技术,6,网络交易风险的历史与现状,从上世纪90年代起，伴随着电子商务的不断发展，电子商务安全问题出现的几率也越来越高。 通过窃取个人

3、信息进行的盗窃近年来增长很快，并导致2003年世界范围2210亿美元的损失，几乎是2000年的3倍。2005年6月17日，美国曝出有史以来规模最大的信用卡个人数据外泄事件。美国万事达卡国际组织宣布，本次的公司，是在美国专为银行、会员机构、特约商店处理卡片交易资料的外包厂商CardSystems Solutions, Inc公司资料库遭到入侵，包括万事达、威士、运通、Discover在内高达4000多万信用卡用户的银行资料面临泄密风险，其中万事达信用卡用户达1390万，威士信用卡用户高达2200万,7,网络交易风险的历史与现状,2006年以来，计算机病毒/木马处于一种爆发式增长的状态，对电子商务

4、系统的威胁越来越严重。2007年，金山毒霸共截获新病毒/木马283084个，较2006年相比增长了17.88%，病毒/木马增长速度与2006年相比有所放缓，但仍处于大幅增长状态，总数量非常庞大。 2008年，自动取款机（ATM）和信用卡的安全问题成为社会关注的焦点。围绕广州许霆案 ，法律界对ATM机器故障所引发的法律责任展开了针锋相对的辩论。与此类似，宁波的唐氏兄弟案 、，重庆的黄某案 也引起人们的广泛关注。ATM和信用卡自身所暴露出来的问题成为电子商务发展中必须解决的重大问题。 大量的事实说明，保证电子商务的正常运作，必须高度重视安全问题。网络交易安全涉及社会的方方面面，不是仅仅是一堵防火墙

5、或一个电子签名就能简单解决的问题。安全问题是网络交易成功与否的关键所在。因为网络交易的安全问题不仅关系到的个人的资金安全、商家的货物安全，还关系到国家的经济安全，国家经济秩序的稳定问题,8,网络交易风险源分析,1. 在线交易主体的市场准入问题 在现行法律体制下，任何长期固定从事营利性事业的主体都必须进行工商登记。在电子商务环境下，任何人不经登记就可以借助计算机网络发出或接受网络信息，并通过一定程序与其他人达成交易。虚拟主体的存在使电子商务交易安全受到严重威胁。电子商务交易安全首先要解决的问题就是确保网上交易主体的真实存在，且确定哪些主体可以进入虚拟市场从事在线业务。这方面的工作需要依赖工商管理

6、部门的网上商事主体公示制度和认证中心的认证制度加以解决 2. 信息风险 网络交易的信息风险主要来自冒名偷窃、篡改数据、信息丢失等方面 3. 信用风险 来自买方的信用风险;来自卖方的信用风险;买卖双方都存在抵赖的情况 4. 网上欺诈犯罪 5电子合同问题 突出表现在书面形式、签字有效性、合同收讫、合同成立地点、合同证据等方面 6电子支付问题 针对电子支付数据的伪造、变造、更改、涂销等问题的处理办法 7在线消费者保护问题 8产品交付问题 对于其权利的移转、退货、交付的完成等需要有相应的安全保障措施,9,电子商务的安全隐患（安全问题）,10,电子商务基本安全技术,1、黑客防范技术 2、反病毒技术 3、

7、加密技术 4、认证技术 5、安全电子交易协议 6、虚拟专网技术,11,一、防止黑客入侵,1、黑客概念 黑客(Hacker)源于英语动词hack，意为“劈、砍”，引申为“辟出、开辟”；进一步的意思是“干了一件非常漂亮的工作”，有“恶作剧”之意。今天的黑客可分为两类。 一类是骇客，他们只想引人注目，证明自己的能力，在进入网络系统后，不会去破坏系统，或者仅仅会做一些无伤大雅的恶作剧，他们追求的是从侵入行为本身获得巨大的满足。 另一类黑客是窃客，他们的行为带有强烈的目的性，早期这些黑客主要窃取国家情报、科研情报，而现在的目标大都瞄准了银行的资金和电子商务交易过程,12,一、防止黑客入侵,2、网络黑客常

8、用的攻击手段 1） 口令攻击 口令攻击是网上攻击最常用的方法。黑客首先进入系统的常用服务，或对网络通信进行监视，使用扫描工具获取目标主机的有用信息。也有的黑客利用一些驻留内存的程序暗中捕获用户的口令。这类程序类似于“特洛伊木马”(Trojan Horse)的病毒程序，它通常让用户填写调查表格，并答应给予奖励，而实际目的是暗中捕获用户的口令。当这些方法不能奏效时，黑客们便借助各种软件工具，利用破解程序分析这些信息，进行口令破解，进而实施攻击 2）服务攻击 黑客所采用的服务攻击手段主要有4种。 和目标主机建立大量的连接。因为目标主机要为每次网络连接提供网络资源，所以当连接速率足够高、连接数量足够多

9、时就会使目标主机的网络资源耗尽，从而导致主机瘫痪、重新启动、死机或黑(蓝)屏 向远程主机发送大量的数据包。因为目标主机要为每次到来的数据分配缓冲区，所以当数据量足够大时会使目标主机的网络资源耗尽，导致主机死机或黑(蓝)屏。 利用即时消息功能，以极快的速度用无数的消息“轰炸”某个特定用户，使目标主机缓冲区溢出，黑客伺机提升权限，获取信息或执行任意程序。 利用网络软件在实现协议时的漏洞，向目标主机发送特定格式的数据包，从而导致主机瘫痪,13,一、防止黑客入侵,2、网络黑客常用的攻击手段 3）电子邮件轰炸 用数百条消息填塞某人的E-mail信箱也是一种在线袭扰的方法。当用户受到这种叫做“电子邮件炸弹

10、(E-mail Bomb)”的攻击后，就会在很短的时间内收到大量的电子邮件，这样使得用户系统的正常业务不能开展，系统功能丧失，严重时会使系统关机，甚至使整个网络瘫痪。 还有一种方法是邮件直接夹带或在附件中夹带破坏性执行程序。用户不小心点击了这类邮件或附件，就会自动启动有害程序，带来不可预测的严重后果 4）利用文件系统入侵 FTP (文件传输协议)是因特网上最早应用的、不同系统之间交换数据的协议之一。FTP的实现依靠TCP在主机之间进行数据传输。只要安装了FTP客户和服务程序，就可以在不同的主机(硬件和操作系统都可以不同)之间进行数据交换。如果FTP服务器上的用户权限设置不当或保密程度不好，极易

11、造成泄密事件,14,一、防止黑客入侵,2、网络黑客常用的攻击手段 5）计算机病毒 计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。 6）IP欺骗 IP欺骗是适用于TCP/IP环境的一种复杂的技术攻击，它伪造他人的源地址，让一台计算机来扮演另一台计算机，借以达到蒙混过关的目的。IP欺骗主要包括简单的地址伪造和序列号预测两种,15,3、防范黑客攻击的主要技术手段,1）防火墙技术 2）物理隔离技术 3）入侵检测技术 4）安全扫描技术,16,3、防范黑客攻击的主要技术手段,1）防火墙技术 所谓防火墙，就是在内部网（如Int

12、ranet）和外部网（如Internet）之间的界面上构造一个保护层，并强制所有的连接都必须经过此保护层，由其进行检查和连接。 它是一个或一组网络设备系统和部件的汇集器，用来在两个或多个网络间加强访问控制、实施相应的访问控制策略，力求把那些非法用户隔离在特定的网络之外，从而保护某个特定的网络不受其他网络的攻击，但又不影响该特定网络正常的工作。,17,（1）防火墙的基本功能,过滤进、出网络的数据 管理进、出网络的访问行为 封堵某些禁止的业务 记录通过防火墙的信息内容和活动 对网络攻击检测和报警,18,（2）防火墙的类型,A、 传统防火墙 传统防火墙的类型主要有三种：包过滤、应用层网关(代理防火墙

13、)和电路层网关 根据防火墙在网络上的物理位置和在OSI（Open System Interconnect Reference Model， 开放式系统互联参考模型）七层协议中的逻辑位置以及所具备的功能，可作如下的分类： 线路级网关 包过滤路由器 应用网关 双重基地型网关 屏蔽主机防火墙 屏蔽主网防火墙,19,（2）防火墙的类型,线路级网关 此类防火墙放置的位置在Internet和私有网之间，逻辑工作位置在OSI协议的下三层。根据客户要求及网络安全需要，开通或封闭基于TCP/IP协议的连接，使得连接直接建立于信息源和传输目的地之间。此类网关主要适用于网络内部对外部的访问限制，不能实施强制验证和协

14、议过滤。 包过滤路由器 这是一个检查所通过数据包合法性的路由器，它对外部用户传入局域网的数据包加以限定。通常根据网络协议、按照特定规则，用IP地址和端口号来进行限制处理。该路由器允许那些符合协议和规则的IP地址的某些端口号通过路由器，而对其他IP地址的端口号加以限制。由于包过滤是在七层协议的下三层实现的，数据包的类型也可以进行拦截、检验和登录，所以它比其他类型的防火墙更易于实现,20,（2）防火墙的类型,应用网关 此类防火墙的物理位置与前述的包过滤路由器一样，但它的逻辑位置是在OSI七层协议的应用层上。它主要采取应用协议代理服务的工作方式实施安全策略。 双重基地型网关 此类防火墙使用了一个含有

15、两个网络接口的应用网关，并将其接在内部网和包过滤路由器之间，信息服务器则接在二者之间。,21,（2）防火墙的类型,屏蔽主机防火墙 此类防火墙的应用网关只需要单个网络端口，并以物理方式连接在包过滤。路由器的网络总线上。但是其工作的逻辑位置仍然是在应用层，所有的通信业务都要通过它的代理服务。信息服务器可被看做是所有网络对外开展信息发布工作的数据中心，它被“挂”在主网之外，又处于包过滤路由器和应用网关的安全保护之内，因而具备了较强的隐蔽性和安全防护能力。 屏蔽主网防火墙 此类防火墙使用了两个包过滤路由器，从而形成了一个子网的态势。在理论上，该种防火墙当然可以连接多个子网，构成一个完善的综合防御体系。

16、,22,（2）防火墙的类型,除了上述的基于技术层面的分类，根据对防火墙技术的综合分析，还可以将其分为 包过滤型防火墙（Packet Filter） 代理服务器型防火墙（Proxy Service） 新产物复合型防火墙（Hybrid）。,23,2.1.1.1包过滤型防火墙（Packet Filter）,包过滤防火墙是最简单的防火墙，一般在路由器上实现。包过滤防火墙通常只包括对源和目的IP地址及端口的检查。其工作原理如图2-1所示。包过滤防火墙的安全性是基于对包的IP地址的校验。包过滤防火墙将所有通过的数据包中发送方IP地址、接收方IP地址、TCP端口、TCP链路状态等信息读出，并按照预先设定的过滤原则过滤数据包。那些不符合规定的IP地址的数据包会被防火墙过滤掉，以保证网络系统的安全。,24,图 21包过滤防火墙的工作原理,25,包过滤型防火墙通常被安装在路由器上，而且许多常用的商业路由器缺省配置了包过滤型防火墙。此外，若使用PC机作为路由器，同样可以安装包过滤型防火墙；并且，在PC平台上的防火墙将具有更为强大的功能。包过滤型防火墙一般都具有日志功能，这就具备了更为可靠的安全性。不同种类的包过滤型防火墙使用起来非常方便，只需根据自己的网络访问原则稍加修改，就可以获得符合特定网络要求的包过滤型防火墙。,