《《电子商务的安全技术》-劳帼龄-电子教案 第4章》由会员分享，可在线阅读，更多相关《《电子商务的安全技术》-劳帼龄-电子教案 第4章（31页珍藏版）》请在金锄头文库上搜索。
1、第4章 TCP/IP服务与WWW安全,2,4.1 TCP/IP服务 4.2 WWW的安全 4.3 Java的安全性,3,主要的TCP/IP服务 电子邮件 文件传输 Usenet新闻组 远程终端访问 万维网访问 域名查询,4.1TCP/IP服务,4,4.1TCP/IP服务,4.1.1 电子邮件 定义： 一种用信息手段提供信息交换的通信方式 原理： 简单邮件传输协议（SMTP） 电子邮件地址及组成 协议： SMTP、POP和IMAP协议 电子邮件安全 直接攻击：窃取邮件密码，邮件炸弹 间接攻击：通过邮件传输病毒,5,4.1.1 电子邮件,4.1TCP/IP服务,6,4.1.2 文件传输 FTP协议
2、 定义： FTP是为进行文件共享而设计的因特网标准协议，主要用于在两台计算机之间实现文件的上传和下载。 应用： 软件下载服务，Web网站更新服务，文件传输服务 安全：SSLftp 其他文件传输协议 TFTP、UUCP、FSP,4.1TCP/IP服务,7,4.1.2 文件传输,4.1TCP/IP服务,8,4.1TCP/IP服务,4.1.3 Usenet新闻组 Usenet新闻组顶层体系结构,NNTP的安全性,9,4.1TCP/IP服务,4.1.4 远程终端访问 Telnet是一个远程登陆协议，提供了在Internet上异质网之间传递数据和控制信息的重要方法，允许一台机器中的程序像访问本地服务器那
3、样访问远程另一台主机中的资源。,10,4.1TCP/IP服务,4.1.5 万维网访问 WWW是World Wide Web的缩写，通常称为万维网。它是以HTML语言和HTTP（超文本传输协议）为基础，建立在Client/Server（客户机/服务器）模型之上，能够提供面向各种Internet服务的，用户界面统一的信息浏览系统。,11,4.1.5 万维网访问 Web 的基本工作原理,4.1TCP/IP服务,12,4.1.6 域名查询 DNS是Internet用于名字登记和解析的标准，任何IP地址均可以由字母组成的名字代替。 DNS本质上不是一个用户级服务，它是SMTP、FTP和Telnet的基础
4、,4.1TCP/IP服务,13,14,4.2.1 HTTP协议 HTTP协议（Hypertext transfer Protocol），即超文本传输协议，是WWW服务的支撑协议。它的工作过程是典型的客户/服务器模式。,4.2WWW的安全,15,4.2.1 s-HTTP协议 安全超文本传输协议（S-HTTP）是HTTP 的一种安全扩展版本，主要利用密钥对加密的方法来保障Web 站点上的信息安全。,4.2WWW的安全,16,4.2.2 SSL协议 安全套接层协议 SSL（secure socket layer）是在因特网基础上提供的一种保证机密性的安全协议。 SSL 建立在 TCP 协议之上，它的
5、优势在于与应用层协议独立无关，应用层协议能透明地建立于 SSL 协议之上。它是目前在电子商务中应用最广泛的安全协议之一。,4.2WWW的安全,17,4.2.2 SSL协议 SSL的功能模型,4.2WWW的安全,18,4.2.2 SSL协议 SSL的体系结构,4.2WWW的安全,19,4.2.3 SET协议 安全电子交易（Secure Electronic Transaction）协议，简称SET协议，是一种应用于因特网环境下，以信用卡为基础的安全电子支付协议，它给出了一套电子交易的过程规范。它是目前公认的信用卡的网上交易的国际标准。 SET协议采用了对称密钥和非对称密钥体制，把对称密钥的快速、
6、低成本和非对称密钥的有效性结合在一起，以保护在开放网络上传输的个人信息，保证交易信息的隐蔽性。,4.2WWW的安全,20,4.2.4 WWW服务器软件的安全漏洞 最流行的几种服务器软件： Apache HTTP Server 微软Internet Information Server iPlannet Enterprise Server,4.2WWW的安全,21,4.2.5 CGI程序的安全性问题 CGI是Common Gateway Interface（通用网关接口）的简写，它是一个Web服务器主机提供信息服务的标准接口，通过提供这样一个标准接口，Web服务器能够执行应用程序并将它们的输出，
7、如文字、图形、声音等传递给一个Web浏览器 CGI程序是WWW安全漏洞的主要来源 编写安全的CGI脚本,4.2WWW的安全,22,4.2.6 Plug-in的安全性 Plug-in在运行时完全作为浏览器的一部分 不要盲目执行任何从Internet上下载的程序 4.2.7 ActiveX的安全性 ActiveX技术是Microsoft提出的一组使用COM使得软件部件在网络环境中进行交互的技术集。 ActiveX的安全模型 用户可以禁用ActiveX,4.2WWW的安全,23,4.2.8 cookie的安全性 cookie是对HTTP协议的一种补充，用来改善HTTP协议的无状态性 用户要注意防止c
8、ookie文件被盗 用户可以完全删除cookie文件,4.2WWW的安全,24,4.3.1 Java的特点 Java是一种简单的、面向对象的、分布式的、解释型的、健壮的、安全的、体系中立的、可移植的、高性能的、多线程的、动态的语言。 特点 简单性 去掉了C和C+中的一些无用特性 接管了容易出错的任务 自动垃圾收集 系统精简,4.3Java的安全性,25,4.3.1 Java的特点 面向对象 分布式 支持基于网络的应用程序 解释性 Java是一门解释性的语言 Java程序在JVM（Java虚拟机）上运行 健壮性 强类型语言 内存模式改进 例外处理,4.3Java的安全性,26,4.3.1 Jav
9、a的特点 安全性 体系中立性 Java程序可以在任何系统上运行，只要该系统能构成Java虚拟机即可。 可移植性 Java可以运行于安装了解释器的任何机器上 高性能 多线程 动态性,4.3Java的安全性,27,4.3.2 Java的安全性 Java的安全模型不同于传统的安全方法，主要通过访问控制来实现。 Java applet：一种小的Java应用程序，主要用于网页中。,4.3Java的安全性,28,4.3.2 Java的安全性 Applet受到以下一些限制： applet不能读、写、重命名或者删除文件 除了下载applet的那台计算机之外， applet本身不能连接到或者接受来自于其他任何一
10、台计算机的连接请求 applet不能执行系统级的函数 applet不能访问一些图形和GUI相关的程序 applet不能读取某些系统属性 applet不能注册一个新的SecurityManager对象避免这些安全上的限制 Java也不是完全安全的，用户需要及时打上补丁和更新,4.3Java的安全性,29,4.3.3 Javascript的安全性 JavaScript是Netscape公司设计的一系列HTML语言扩展，它增强了HTML语言的动态交互能力，并且可以把部分处理移到客户机，减轻服务器的负载。 JavaScript的漏洞不像Java的漏洞那样能损坏用户的机器，而是只涉及侵犯用户的隐私 可以
11、完全关掉Javascript,4.3Java的安全性,30,本章小结,本章介绍了TCP/IP服务与WWW安全的内容。 TCP/IP是网络中使用的基本的通信协议，它实际上是一个协议族，其中TCP协议和IP协议是保证数据完整传输的两个基本的重要协议。以这些协议为基础，TCP/IP提供了一系列标准的服务，包括电子邮件、文件传输、Usenet新闻组、远程终端访问、万维网访问、域名查询等。 WWW是以HTML语言和HTTP（超文本传输协议）为基础，建立在Client/Server（客户机/服务器）模型之上，能够提供面向各种Internet服务的，用户界面统一的信息浏览系统。 Java是一种简单的、面向对象的、分布式的、解释型的、健壮的、安全的、体系中立的、可移植的、高性能的、多线程的、动态的语言。Java主要通过访问控制来保证安全性。,Thanks!,
