电子商务安全管理与技术

《电子商务安全管理与技术》由会员分享，可在线阅读，更多相关《电子商务安全管理与技术（56页珍藏版）》请在金锄头文库上搜索。

1、第六章 电子商务安全管理与技术6.1 6.1 电子商务的安全电子商务的安全6.2 6.2 安全协议安全协议6.3 6.3 密码学和数据加密技术密码学和数据加密技术6.4 6.4 数字签名和认证技术数字签名和认证技术6.5 6.5 防火墙技术防火墙技术6.6 6.6 虚拟专用网虚拟专用网( (VPN)VPN)技术技术6.7 6.7 其他的安全技术其他的安全技术6.1 电子商务的安全6.1.1 6.1.1 电子商务的安全要素电子商务的安全要素（1 1）有效性。）有效性。（2 2）机密性。）机密性。（3 3）完整性。）完整性。（4 4）可靠性）可靠性/ /不可抵赖性不可抵赖性/ /鉴别。鉴别。（5

2、5）审查能力。）审查能力。 返回首页返回首页6.1.2 6.1.2 电子商务存在的安全问题电子商务存在的安全问题 在电子商务系统中，存在的安全威胁主要在电子商务系统中，存在的安全威胁主要有：有：（1 1）系统穿透。）系统穿透。（2 2）违反授权规则。）违反授权规则。（3 3）植入后门程序。）植入后门程序。（4 4）通信监视。）通信监视。（5 5）通信窜扰。）通信窜扰。（6 6）中断。）中断。（7 7）拒绝服务。）拒绝服务。（8 8）否认。）否认。 返回首页返回首页6.1.3 6.1.3 电子商务的安全技术电子商务的安全技术 电子商务一个基本的问题就是如电子商务一个基本的问题就是如何通过现有的网

3、络技术如何通过现有的网络技术如Internet Internet WebWeb、数据加密、数据加密、PKI-CAPKI-CA认证系统、防认证系统、防火墙技术、虚拟专用网技术、各种交火墙技术、虚拟专用网技术、各种交易协议（如易协议（如SETSET）、）、客户端浏览技术和客户端浏览技术和软件等，使得客户和商家透明地进行软件等，使得客户和商家透明地进行安全交易。安全交易。返回首页返回首页6.2 安全协议6.2.1 6.2.1 安全协议的基本概念安全协议的基本概念 所谓安全协议，是指两个或两个所谓安全协议，是指两个或两个以上的参与者为完成与安全任务（如以上的参与者为完成与安全任务（如加密、认证、密钥分

4、配等）有关且能加密、认证、密钥分配等）有关且能抗攻击任务所作的约定与采取的一系抗攻击任务所作的约定与采取的一系列步骤。列步骤。返回首页返回首页6.2.2 6.2.2 安全套接层协议安全套接层协议( (SSL)SSL)1. 1. 什么是安全套接层协议（什么是安全套接层协议（Secure Socket Secure Socket Layer,Layer,简称简称SSLSSL） SSL SSL主要用于提高应用程序之间数据的安主要用于提高应用程序之间数据的安全系数。全系数。2. 2. 安全套接层协议的作用安全套接层协议的作用（1 1）用户和服务器的合法性认证。）用户和服务器的合法性认证。（2 2）加密

5、数据以隐藏被传送的数据。）加密数据以隐藏被传送的数据。（3 3）保护数据的完整性。）保护数据的完整性。返回首页返回首页3. 3. 安全套接层协议的实现过程安全套接层协议的实现过程（1 1）接通阶段。）接通阶段。（2 2）密码交换阶段。）密码交换阶段。（3 3）会谈密码阶段。）会谈密码阶段。（4 4）检验阶段。）检验阶段。（5 5）客户认证阶段。）客户认证阶段。（6 6）结束阶段。）结束阶段。返回首页返回首页6.2.3 6.2.3 安全电子交易协议（安全电子交易协议（SETSET）1. 1. 什么是安全电子交易协议什么是安全电子交易协议 SETSET主要是为解决用户、商家和银行之主要是为解决用户

6、、商家和银行之 间间通过信用卡支付的交易而设计的，以保证支付通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人信息的机密、支付过程的完整、商户及持卡人的合法身份以及可操作性。的合法身份以及可操作性。SETSET中的核心技术中的核心技术主要有公开密钥加密、电子数字签名、电子信主要有公开密钥加密、电子数字签名、电子信封、电子安全证书等。封、电子安全证书等。返回首页返回首页2. 2. SETSET协议的作用协议的作用（1 1）保证电子商务参与者信息的相互隔离。）保证电子商务参与者信息的相互隔离。 （2 2）保证信息在）保证信息在InternetInternet上安全传输

7、。上安全传输。（3 3）解决多方认证问题，不仅要对消费者的信）解决多方认证问题，不仅要对消费者的信用卡认证，而且要对在线商店的信誉程度认证，用卡认证，而且要对在线商店的信誉程度认证，同时还有消费者、在线商店与银行间的认证。同时还有消费者、在线商店与银行间的认证。 （4 4）保证网上交易的实时性。）保证网上交易的实时性。 （5 5）规范协议和消息格式。）规范协议和消息格式。返回首页返回首页3. 3. SETSET协议的工作原理协议的工作原理 主要包括以下七个步骤：主要包括以下七个步骤： （1 1）消费者在网上选定的物品，并下电子订单。）消费者在网上选定的物品，并下电子订单。（2 2）通过电子商务

8、服务器与在线商店联系，在线商）通过电子商务服务器与在线商店联系，在线商店作出应答，告诉消费者订单的相关情况。店作出应答，告诉消费者订单的相关情况。（3 3）消费者选择付款方式，确认订单，签发付款指）消费者选择付款方式，确认订单，签发付款指令（此时令（此时SETSET介入）。介入）。 （4 4）在）在SETSET中，消费者必须对订单和付款指令进行中，消费者必须对订单和付款指令进行数字签名。数字签名。 返回首页返回首页（5 5）在线商店接受订单后，向消费者所在银行）在线商店接受订单后，向消费者所在银行请求支付认可，批准交易后，返回确认信息给请求支付认可，批准交易后，返回确认信息给在线商店。在线商店

9、。 （6 6）在线商店发送订单确认信息给消费者，消）在线商店发送订单确认信息给消费者，消费者端软件可记录交易日志，以备将来查询。费者端软件可记录交易日志，以备将来查询。（7 7）在线商店发送货物或提供服务，并通知收）在线商店发送货物或提供服务，并通知收单银行将钱从消费者的账号转移到商店账号，单银行将钱从消费者的账号转移到商店账号，或通知发卡银行请求支付。或通知发卡银行请求支付。返回首页返回首页4. 4. SETSET和和SSLSSL的区别的区别 事实上，事实上，SETSET是由认证中心与加密是由认证中心与加密技术相结合所产生的一种完全适合电技术相结合所产生的一种完全适合电子商务的加密技术协议，

10、安全套接层子商务的加密技术协议，安全套接层协议（协议（SSLSSL）加密方法仅仅是实现了传加密方法仅仅是实现了传输加密和数据完整性，相当于在两台输加密和数据完整性，相当于在两台计算机之间建立一个安全的通道。计算机之间建立一个安全的通道。返回首页返回首页 SET SET的技术特点有：的技术特点有： （1 1）对订单信息和支付信息进行双重签名。）对订单信息和支付信息进行双重签名。（2 2）采用信息摘要技术保证了交易的完整性。）采用信息摘要技术保证了交易的完整性。（3 3）采用公钥体系和密钥体系结合进行加密，）采用公钥体系和密钥体系结合进行加密，而而SSLSSL只采用了公钥体系。只采用了公钥体系。

11、与与SSLSSL相比，相比，SETSET是在应用层上实现了数据是在应用层上实现了数据的加密和完整性，因此，的加密和完整性，因此，SETSET已经成为国际公认已经成为国际公认的的InternetInternet电子商务的安全标准，非常详细地电子商务的安全标准，非常详细地反映了电子交易各方之间存在的各种关系。反映了电子交易各方之间存在的各种关系。返回首页返回首页 SET的购物模式如下图所示。 返回首页返回首页6.2.4 6.2.4 其他安全协议其他安全协议1. 1. 安全交易技术协议（安全交易技术协议（STTSTT） 安全交易技术协议（安全交易技术协议（Secure Secure Transact

12、ion TechnologyTransaction Technology，简称简称STTSTT）。）。由由MicrosoftMicrosoft公司提出，在公司提出，在Internet Internet ExplorerExplorer中采用这一技术。中采用这一技术。返回首页返回首页2. 2. NetBillNetBill协议协议 协议步骤如下：协议步骤如下：（1 1）客户向商家查询某商品价格。）客户向商家查询某商品价格。（2 2）商家向该客户报价。）商家向该客户报价。（3 3）客户告知商家他接受该报价。）客户告知商家他接受该报价。（4 4）商家将所请求的信息商品用密钥）商家将所请求的信息商品用

13、密钥K K加密后加密后发送给客户。发送给客户。（5 5）客户准备一份电子采购订单）客户准备一份电子采购订单( (Electronic Electronic Purchase OrderPurchase Order，EPO) EPO) ，客户将该已数字签客户将该已数字签名的名的 EPO EPO 发送给商家。发送给商家。 返回首页返回首页（6 6）商家会签该）商家会签该EPOEPO，商家也签上商家也签上K K的值，然后将的值，然后将此两者送给此两者送给NetbillNetbill服务器。服务器。（7 7）Netbill Netbill 服务器验证服务器验证EPOEPO签名和会签，然后检签名和会签，

14、然后检查客户的账号，保证有足够的资金以便批准该交查客户的账号，保证有足够的资金以便批准该交易，同时检查易，同时检查EPOEPO上的超时值是否过期。确认没有上的超时值是否过期。确认没有问题时，问题时， Netbill Netbill 服务器即从客户的账号上将相服务器即从客户的账号上将相当于商品价格的资金划往商家的账号上，并存储当于商品价格的资金划往商家的账号上，并存储密钥密钥K K和加密商品的密码单据。然后准备一份包含和加密商品的密码单据。然后准备一份包含K K值的签好的收据，将该收据发给商家。值的签好的收据，将该收据发给商家。（8 8）商家记下该收据单传给客户，然后客户将第）商家记下该收据单传

15、给客户，然后客户将第4 4步收到的加密信息商品解密。步收到的加密信息商品解密。 返回首页返回首页3. 3. DigicashDigicash协议协议 DigicashDigicash是一个匿名的数字现金协议。是一个匿名的数字现金协议。4. 4. First VirtualFirst Virtual协议协议 First VirtualFirst Virtual允许客户自由地购买商品，允许客户自由地购买商品，然后然后First VirtualFirst Virtual使用使用E-mailE-mail同客户证实每同客户证实每一笔交易。一笔交易。5. 5. 安全的超文本传输协议（安全的超文本传输协议（

16、S-HTTPS-HTTP） 安全的超文本传输协议（安全的超文本传输协议（S-HTTPS-HTTP）对对HTTPHTTP扩充安全特性、增加了报文的安全性扩充安全特性、增加了报文的安全性, ,它是基它是基于于SSLSSL技术的。技术的。返回首页返回首页6. 6. InternetInternet电子邮件的安全协议电子邮件的安全协议（1 1）PEMPEM。PEMPEM是增强是增强InternetInternet电子邮件隐秘电子邮件隐秘性的标准草案。性的标准草案。（2 2）S-MIMES-MIME。S-MIME(S-MIME(安全的多功能安全的多功能InternetInternet电子邮件扩充电子邮件

17、扩充) )是在是在RFC1521RFC1521所描述的多功能所描述的多功能InternetInternet电子邮件扩充报文基础上添加数字电子邮件扩充报文基础上添加数字签名和加密技术的一种协议。签名和加密技术的一种协议。（3 3）PEM-MIMEPEM-MIME（MOSSMOSS）。）。MOSS(MIMEMOSS(MIME对象安全对象安全服务服务) )是将是将PEMPEM和和MIMEMIME两者的特性进行了结合。两者的特性进行了结合。返回首页返回首页6.3 密码学和数据加密技术6.3.1 6.3.1 密码与密钥基本知识密码与密钥基本知识 采用密码方法可以隐蔽和保护需要保密采用密码方法可以隐蔽和保

18、护需要保密的信息，使未授权者不能提取该信息。被隐的信息，使未授权者不能提取该信息。被隐蔽的信息原来可读的形式叫明文蔽的信息原来可读的形式叫明文，通过对密通过对密钥采用一定的加密算法可将明文变换成另一钥采用一定的加密算法可将明文变换成另一种隐蔽的不可理解的形式，称为密钥种隐蔽的不可理解的形式，称为密钥，这种这种变换的过程称为加密变换的过程称为加密。 加密技术包括两个元素：算法和密钥。加密技术包括两个元素：算法和密钥。 对数据加密的技术分为两类，即对称加对数据加密的技术分为两类，即对称加密（私人密钥加密）和非对称加密（公开密密（私人密钥加密）和非对称加密（公开密钥加密）。钥加密）。返回首页返回首页

19、6.3.2 6.3.2 对称加密对称加密 对称加密或专用密钥（也称为常规加密）对称加密或专用密钥（也称为常规加密）由通信双方共享一个秘密密钥，发送和接收数由通信双方共享一个秘密密钥，发送和接收数据的双方必须使用相同的（对称的）密钥对明据的双方必须使用相同的（对称的）密钥对明文进行加密和解密运算。最著名的对称密钥加文进行加密和解密运算。最著名的对称密钥加密标准是数据加密标准（密标准是数据加密标准（Data Encryption Data Encryption StandardStandard，简称简称 DESDES）。）。返回首页返回首页6.3.3 6.3.3 非对称加密非对称加密 与对称加密算

20、法不同，非对称加密算法需与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥和私有密钥要两个密钥：公开密钥和私有密钥。公开密钥公开密钥与私有密钥是一对，如果用公开密钥对数据进与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫做非对的是两个不同的密钥，所以这种算法叫做非对称加密算法。称加密算法。 非对称加密算法主要有非对称加密算法主

21、要有RSARSA、DSADSA、Diffie-Diffie-HellmanHellman、PKCSPKCS、PGPPGP等。等。返回首页返回首页6.3.4 6.3.4 公开密钥体系（公开密钥体系（PKIPKI） PKI PKI技术是信息安全的核心技术。技术是信息安全的核心技术。1. 1. 什么是什么是PKI PKI PKI PKI（Public Key Infrastructure Public Key Infrastructure 的缩写）的缩写）即即“公开密钥体系公开密钥体系”，是一种遵循既定标准的密，是一种遵循既定标准的密钥管理平台钥管理平台, ,它能够为所有网络应用提供加密和它能够为所

22、有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，体系，简单来说，PKIPKI就是利用公钥理论和技术就是利用公钥理论和技术建立的提供安全服务的基础设施。建立的提供安全服务的基础设施。 返回首页返回首页 PKI PKI的基础技术包括加密、数字签名、数据的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。完整性机制、数字信封、双重数字签名等。2. 2. PKIPKI的基本组成的基本组成（1 1）认证机构（）认证机构（CACA）（2 2）数字证书库数字证书库（3 3）密钥备份及恢复系统）密钥备份及恢复系统（4

23、4）证书作废系统）证书作废系统（5 5）应用接口（）应用接口（APIAPI）返回首页返回首页6.4 数字签名和认证技术6.4.1 6.4.1 数字签名技术数字签名技术 数字签名（数字签名（Digital SignatureDigital Signature）是公开密钥加密技术的一种应用，是是公开密钥加密技术的一种应用，是指用发送方的私有密钥加密报文摘要，指用发送方的私有密钥加密报文摘要，然后将其与原始的信息附加在一起，然后将其与原始的信息附加在一起，合称为数字签名。合称为数字签名。 返回首页返回首页 数字签名使用方式是：数字签名使用方式是：（1 1）报文的发送方从报文文本中生成一个）报文的发送

24、方从报文文本中生成一个128128位位或或160160位的单向散列值（或报文摘要），并用自位的单向散列值（或报文摘要），并用自己的私有密钥对这个散列值进行加密，形成发己的私有密钥对这个散列值进行加密，形成发送方的数字签名。送方的数字签名。（2 2）将这个数字签名作为报文的附件和报文一）将这个数字签名作为报文的附件和报文一起发送给报文的接收方。起发送给报文的接收方。返回首页返回首页（3 3）报文的接收方首先从接收到的原始报文中）报文的接收方首先从接收到的原始报文中计算出计算出128128位的散列值（或报文摘要），接着位的散列值（或报文摘要），接着再用发送方的公开密钥来对报文附加的数字签再用发送方

25、的公开密钥来对报文附加的数字签名进行解密。名进行解密。（4 4）如果这两个散列值相同，那么接收方就能）如果这两个散列值相同，那么接收方就能确认该数字签名是发送方的。确认该数字签名是发送方的。返回首页返回首页6.4.2 6.4.2 数字认证、数字时间戳和数字证书数字认证、数字时间戳和数字证书1. 1. 数字认证技术数字认证技术2. 2. 数字时间戳数字时间戳 包括三个部分：包括三个部分： （1 1）需加时间戳的文件的摘要（）需加时间戳的文件的摘要（digestdigest）。）。 （2 2）DTSDTS收到文件的日期和时间。收到文件的日期和时间。 （3 3）DTSDTS的数字签名。的数字签名。

26、返回首页返回首页3. 3. 数字证书数字证书 数字证书一般包含以下几点：数字证书一般包含以下几点：（1 1）数字证书拥有者的姓名。）数字证书拥有者的姓名。（2 2）数字证书拥有者的公共密钥。）数字证书拥有者的公共密钥。（3 3）公共密钥的有效期。）公共密钥的有效期。（4 4）颁发数字证书的单位。）颁发数字证书的单位。（5 5）数字证书的序列号（）数字证书的序列号（Serial NumberSerial Number）。）。（6 6）颁发数字证书单位的数字签名。颁发数字证书单位的数字签名。 返回首页返回首页6.4.3 6.4.3 电子商务认证中心（电子商务认证中心（CACA，Certificat

27、e Certificate AuthorityAuthority）1. CA1. CA的认证机制的认证机制 CACA是大型用户群体（如政府机关或金融机构）是大型用户群体（如政府机关或金融机构）所信赖的第三方，负责证书的颁发和管理。在所信赖的第三方，负责证书的颁发和管理。在证书申请被审批部门批准后，证书申请被审批部门批准后，CACA通过登记服务通过登记服务器将证书发放给申请者。器将证书发放给申请者。 电子商务电子商务CACA体系包括下面两大部分。体系包括下面两大部分。（1 1）SET CASET CA。（又叫（又叫“金融金融CACA”体系）体系） （2 2）PKI CAPKI CA。（又叫（又叫

28、“非金融非金融CACA”体系）。体系）。返回首页返回首页2. 2. CACA的基本功能的基本功能（1 1）生成和保管符合安全认证协议要求的公共和）生成和保管符合安全认证协议要求的公共和私有密钥、数字证书及其数字签名。私有密钥、数字证书及其数字签名。 （2 2）对数字证书和数字签名进行验证。）对数字证书和数字签名进行验证。 （3 3）对数字证书进行管理，重点是证书的撤销管）对数字证书进行管理，重点是证书的撤销管理，同时追求实施自动管理（非手工管理）。理，同时追求实施自动管理（非手工管理）。 （4 4）建立应用接口，特别是支付接口。）建立应用接口，特别是支付接口。CACA是否具是否具有支付接口是能

29、否支持电子商务的关键。有支付接口是能否支持电子商务的关键。返回首页返回首页6.5 防火墙技术6.5.1 6.5.1 防火墙的简介防火墙的简介1. 1. 防火墙的概念防火墙的概念 防火墙（防火墙（Fire WallFire Wall）是由软件和硬件设备是由软件和硬件设备（如计算机、路由器）组合而成，处于企业或（如计算机、路由器）组合而成，处于企业或网络群体计算机与外界通道之间，用来加强网络群体计算机与外界通道之间，用来加强InternetInternet与与IntranetIntranet之间安全防范的一个或一之间安全防范的一个或一组系统。它是提供信息安全服务，实现网络和组系统。它是提供信息安全

30、服务，实现网络和信息安全的基础设施。信息安全的基础设施。返回首页返回首页2. 2. 防火墙的发展防火墙的发展 目前的防火墙经历了五个发展阶段。目前的防火墙经历了五个发展阶段。 第一代防火墙技术几乎与路由器同时出现，采用第一代防火墙技术几乎与路由器同时出现，采用了包过滤技术。了包过滤技术。19891989年，贝尔实验室的年，贝尔实验室的Dave Dave PresottoPresotto和和Howard TrickeyHoward Trickey推出了第二代防火墙，即推出了第二代防火墙，即电路层防火墙，同时提出了第三代防火墙电路层防火墙，同时提出了第三代防火墙应用层应用层防火墙（代理防火墙）的初

31、步结构。防火墙（代理防火墙）的初步结构。19921992年，年，USCUSC信信息科学院的息科学院的BobBradenBobBraden开发出了基于动态包过滤技术开发出了基于动态包过滤技术的第四代防火墙。的第四代防火墙。19981998年，年，NAINAI公司推出了一种自适公司推出了一种自适应代理技术，并在其产品应代理技术，并在其产品Gauntlet Firewall for NTGauntlet Firewall for NT中得以实现，给代理类型的防火墙赋予了全新的意义，中得以实现，给代理类型的防火墙赋予了全新的意义，可以称之为第五代防火墙。可以称之为第五代防火墙。返回首页返回首页6.5.

32、2 6.5.2 防火墙的功能防火墙的功能（1 1）保护脆弱的服务。）保护脆弱的服务。（2 2）控制对系统的访问。）控制对系统的访问。（3 3）集中的安全管理。）集中的安全管理。（4 4）增强的保密性。）增强的保密性。（5 5）记录和统计网络利用数据以及非法使用数）记录和统计网络利用数据以及非法使用数据。据。（6 6）策略执行。）策略执行。返回首页返回首页6.5.3 6.5.3 防火墙的分类防火墙的分类1. 1. 包过滤防火墙（包过滤防火墙（Packet FilterPacket Filter） 第一代防火墙和最基本形式防火墙检查每第一代防火墙和最基本形式防火墙检查每一个通过的网络包，或者丢弃，

33、或者放行，取一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则。这称为包过滤防火墙。决于所建立的一套规则。这称为包过滤防火墙。 本质上，包过滤防火墙是多址的，表明它本质上，包过滤防火墙是多址的，表明它有两个或两个以上网络适配器或接口。有两个或两个以上网络适配器或接口。返回首页返回首页 建立包过滤防火墙规则的例子如下：建立包过滤防火墙规则的例子如下：（1 1）对来自专用网络的包，只允许来自内部地）对来自专用网络的包，只允许来自内部地址的包通过，因为其他包包含不正确的包头部址的包通过，因为其他包包含不正确的包头部信息。信息。（2 2）在公共网络，只允许目的地址为）在公共网络，只允许目的地

34、址为8080端口的端口的包通过。包通过。（3 3）丢弃从公共网络传入的包，而这些包都有）丢弃从公共网络传入的包，而这些包都有你的网络内的源地址。你的网络内的源地址。（4 4）丢弃包含源路由信息的包，以减少源路由）丢弃包含源路由信息的包，以减少源路由攻击。攻击。返回首页返回首页2. 2. 状态状态/ /动态检测防火墙动态检测防火墙 状态状态/ /动态检测防火墙，试图跟动态检测防火墙，试图跟踪通过防火墙的网络连接和包，这样踪通过防火墙的网络连接和包，这样防火墙就可以使用一组附加的标准，防火墙就可以使用一组附加的标准，以确定是否允许和拒绝通信。它是在以确定是否允许和拒绝通信。它是在使用了基本包过滤防

35、火墙的通信上应使用了基本包过滤防火墙的通信上应用一些技术来做到这点的。用一些技术来做到这点的。返回首页返回首页 状态状态/ /动态检测防火墙可提供的其他一些动态检测防火墙可提供的其他一些额外的服务有：额外的服务有：（1 1）将某些类型的连接重定向到审核服务中）将某些类型的连接重定向到审核服务中去。去。（2 2）拒绝携带某些数据的网络通信。）拒绝携带某些数据的网络通信。 跟踪连接状态的方式取决于通过防火墙的跟踪连接状态的方式取决于通过防火墙的包的类型：包的类型：（1 1）TCPTCP包。包。（2 2）UDPUDP包。包。返回首页返回首页3. 3. 应用程序代理防火墙（应用程序代理防火墙（Prox

36、y ServiceProxy Service） 应用程序代理防火墙实际上并不允许在应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反，它是接它连接的网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。网然后建立于公共网络服务器单独的连接。网络内部的用户不直接与外部的服务器通信，络内部的用户不直接与外部的服务器通信，所以服务器不能直接访问内部网的任何一部所以服务器不能直接访问内部网的任何一部分。分。 另外，如果不为特定的应用程序安装代另外，如果不为特定的应用程序安装代理程序代码，这种服务是不会

37、被支持的，不理程序代码，这种服务是不会被支持的，不能建立任何连接。能建立任何连接。返回首页返回首页4. 4. 网络地址转换（网络地址转换（NATNAT） 网络地址转换网络地址转换( (NAT)NAT)协议将内部网络的多协议将内部网络的多个个IPIP地址转换到一个公共地址发到地址转换到一个公共地址发到InternetInternet上。上。 NATNAT经常用于小型办公室、家庭等网络，经常用于小型办公室、家庭等网络，多个用户分享单一的多个用户分享单一的IPIP地址，并为地址，并为InternetInternet连接提供一些安全机制。连接提供一些安全机制。返回首页返回首页5. 5. 个人防火墙个人

38、防火墙 个人防火墙是一种能够保护个人计算机个人防火墙是一种能够保护个人计算机系统安全的软件，它可以直接在用户的计算系统安全的软件，它可以直接在用户的计算机上运行，使用与状态机上运行，使用与状态/ /动态检测防火墙相同动态检测防火墙相同的方式，保护一台计算机免受攻击。的方式，保护一台计算机免受攻击。返回首页返回首页6.6 虚拟专用网(VPN)技术6.6.1 6.6.1 虚拟专用网简介虚拟专用网简介1. 1. 什么是虚拟专用网什么是虚拟专用网 虚拟专用网（虚拟专用网（VPNVPN）被定义为通过一个公被定义为通过一个公用网络（通常是因特网）建立一个临时的、用网络（通常是因特网）建立一个临时的、安全的

39、连接，是一条穿过混乱的公用网络的安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。部网的扩展。 返回首页返回首页VPN应用示意图示。 返回首页返回首页2. 2. 虚拟专用网的好处虚拟专用网的好处（1 1）降低通讯成本；）降低通讯成本；（2 2）易于扩展；）易于扩展；（3 3）可随意与合作伙伴联网；）可随意与合作伙伴联网；（4 4）完全控制网络的主动权。）完全控制网络的主动权。返回首页返回首页6.6.2 6.6.2 虚拟专用网的功能要求虚拟专用网的功能要求1. 1. 保证安全性保证安全性（1 1）隧道和加密。）隧道和加密

40、。（2 2）数据验证。）数据验证。（3 3）用户验证。）用户验证。（4 4）防火墙与攻击检测。）防火墙与攻击检测。返回首页返回首页2. 2. 实现网络优化实现网络优化 构件构件VPNVPN的另一重要需求是有效地利用有的另一重要需求是有效地利用有限的广域网资源，为重要数据提供可靠的带限的广域网资源，为重要数据提供可靠的带宽。在设计宽。在设计VPNVPN时需考虑采用多种时需考虑采用多种QOSQOS（服务质服务质量）策略以优化网络资源。量）策略以优化网络资源。3. 3. 对对VPNVPN实施管理实施管理 VPNVPN要求企业将其网络管理功能无缝延伸要求企业将其网络管理功能无缝延伸到公用网，甚至是客户

41、和合作伙伴。到公用网，甚至是客户和合作伙伴。返回首页返回首页6.6.3 6.6.3 虚拟专用网的分类虚拟专用网的分类 根据根据VPNVPN所起的作用，可以将所起的作用，可以将VPNVPN分为三类。分为三类。如下图所示。如下图所示。返回首页返回首页1. 1. VPDNVPDN（Virtual Private Dial NetworkVirtual Private Dial Network） 在远程用户或移动雇员和公司内部网之在远程用户或移动雇员和公司内部网之间的间的VPNVPN，称为称为VPDNVPDN。2. Intranet VPN2. Intranet VPN 在公司远程分支机构的在公司远程

42、分支机构的LANLAN和公司总部和公司总部LANLAN之间的之间的VPNVPN。3. Extranet VPN3. Extranet VPN 在供应商、商业合作伙伴的在供应商、商业合作伙伴的LANLAN和公司的和公司的LANLAN之间的之间的VPNVPN。返回首页返回首页6.6.4 6.6.4 VPNVPN的隧道协议的隧道协议 VPNVPN区别于一般网络互联的关键在于隧道区别于一般网络互联的关键在于隧道的建立，然后数据包经过加密后，按隧道协议的建立，然后数据包经过加密后，按隧道协议进行封装、传送以确保安全性。进行封装、传送以确保安全性。1. 1. PPTP/L2TPPPTP/L2TP PPTP

43、 PPTP的加密方法采用的加密方法采用MicrosoftMicrosoft点对点加点对点加密（密（Microsoft Point-to-Point Microsoft Point-to-Point EncryptionEncryption）算法，可以选用较弱的算法，可以选用较弱的4040位密钥位密钥或强度较大的或强度较大的128128位密钥。位密钥。L2TPL2TP支持多协议，支持多协议，利用公共网络封装利用公共网络封装PPPPPP帧，可以实现和企业原帧，可以实现和企业原有非有非IPIP网的兼容。网的兼容。 返回首页返回首页2. 2. IPSecIPSec（Internet Protocol

44、SecurityInternet Protocol Security） IPSec IPSec是是IETFIETF（Internet Engineer Task Internet Engineer Task ForceForce）正在完善的安全标准，它把几种安全正在完善的安全标准，它把几种安全技术结合在一起形成一个较为完整的体系。技术结合在一起形成一个较为完整的体系。 IPSecIPSec用密码技术从三个方面来保证数据用密码技术从三个方面来保证数据的安全。即：的安全。即：（1 1）认证。）认证。（2 2）完整性检查。）完整性检查。（3 3）加密。）加密。返回首页返回首页3. 3. SOCKS

45、V5SOCKS V5 SOCKS V5 SOCKS V5是一个需要认证的防火墙协议，是一个需要认证的防火墙协议，当当SOCKSSOCKS同同SSLSSL协议配合使用时，可作为建立高协议配合使用时，可作为建立高度安全的虚拟专用网的基础。度安全的虚拟专用网的基础。SOCKSSOCKS协议的优协议的优势在访问控制，因此适合用于安全性较高的虚势在访问控制，因此适合用于安全性较高的虚拟专用网。拟专用网。返回首页返回首页6.7 其他的安全技术6.7.1 6.7.1 病毒防范病毒防范1. 1. 什么是计算机病毒什么是计算机病毒 随着因特网的流行，有些计算机病毒借助随着因特网的流行，有些计算机病毒借助网络爆发

46、流行，如网络爆发流行，如CIHCIH计算机病毒、计算机病毒、“爱虫爱虫”病毒、红色代码、冲击波等，它们与以往的计病毒、红色代码、冲击波等，它们与以往的计算机病毒相比具有一些新的特点，给广大计算算机病毒相比具有一些新的特点，给广大计算机用户带来了极大的损失。机用户带来了极大的损失。返回首页返回首页2. 2. 病毒发作的特征病毒发作的特征 病毒发作时通常有如下的特征：计算机无病毒发作时通常有如下的特征：计算机无法启动；进入操作系统后，某些功能或软件无法启动；进入操作系统后，某些功能或软件无法正常使用；系统中无故多出许多不明来历的法正常使用；系统中无故多出许多不明来历的文件；任务管理器中看到出现来历

47、不明的进程；文件；任务管理器中看到出现来历不明的进程；系统资源不足，计算机运行变得很慢；不停地系统资源不足，计算机运行变得很慢；不停地向网络发送数据包等等。向网络发送数据包等等。返回首页返回首页3. 3. 病毒防范的方法病毒防范的方法 针对病毒的不断出现，必须采取两种措施针对病毒的不断出现，必须采取两种措施进行保护：一是依靠管理上的措施，及早发现进行保护：一是依靠管理上的措施，及早发现疫情，捕捉计算机病毒，修复系统。二是选用疫情，捕捉计算机病毒，修复系统。二是选用功能更加完善的、具有更强超前防御能力的反功能更加完善的、具有更强超前防御能力的反病毒软件，尽可能多地堵住能被计算机病毒利病毒软件，尽可能多地堵住能被计算机病毒利用的系统漏洞。用的系统漏洞。 计算机病毒防范工作，重要的是防范体系计算机病毒防范工作，重要的是防范体系的建设和制度的建立。的建设和制度的建立。返回首页返回首页6.7.2 6.7.2 黑客防范黑客防范1. 1. 什么是黑客什么是黑客2. 2. 黑客攻击的目的黑客攻击的目的3. 3. 黑客攻击的方式和手段黑客攻击的方式和手段（1 1）远程攻击。）远程攻击。（2 2）本地攻击）本地攻击（3 3）伪远程攻击。）伪远程攻击。4. 4. 防范黑客的具体措施防范黑客的具体措施返回首页返回首页本章到此结束。谢谢您的光临！结束放映结束放映Thank you very much!