電子商務(wù)安全技術(shù)(9)

1、8-1電子商務(wù)概論INTRODUCTION OF ELECTRONIC BUSINESS張向陽(yáng)張向陽(yáng)華南師范大學(xué)增城學(xué)院華南師范大學(xué)增城學(xué)院2007年1月 8-2第8章 電子商務(wù)安全技術(shù)8-3 學(xué)習(xí)目標(biāo)學(xué)習(xí)目標(biāo)n了解電子商務(wù)面臨的主要安全威脅 n了解電子商務(wù)對(duì)安全的基本要求 n 熟悉電子商務(wù)常用的安全技術(shù)n 掌握防火墻的功能和工作原理n了解電子商務(wù)常用的加密技術(shù)n了解電子商務(wù)的認(rèn)證體系n 掌握SSL和SET的流程和工作原理8-4開(kāi)篇案例：廣東發(fā)展銀行網(wǎng)絡(luò)安全架構(gòu)開(kāi)篇案例：廣東發(fā)展銀行網(wǎng)絡(luò)安全架構(gòu) n從1998年開(kāi)始，廣東發(fā)展銀行最初的網(wǎng)絡(luò)安全體系就依據(jù)思科SAFE藍(lán)圖部署。SAFE主張，網(wǎng)絡(luò)安

2、全建設(shè)不能一蹴而就，而應(yīng)該是一個(gè)動(dòng)態(tài)的過(guò)程。所以在最初的部署中，思科主要協(xié)助廣東發(fā)展銀行解決了最突出的網(wǎng)絡(luò)安全問(wèn)題網(wǎng)絡(luò)對(duì)外連接出口的安全問(wèn)題。n隨著廣東發(fā)展銀行業(yè)務(wù)的迅速發(fā)展，尤其是近年來(lái)，用戶紛紛把業(yè)務(wù)轉(zhuǎn)移到網(wǎng)上進(jìn)行，廣東發(fā)展銀行的網(wǎng)上業(yè)務(wù)呈幾何數(shù)字增長(zhǎng)。在這種情況下，廣東發(fā)展銀行提出，為了更好地抵御網(wǎng)上的非法訪問(wèn)，作好關(guān)鍵用戶的網(wǎng)上認(rèn)證，確保能夠給用戶提供不間斷的高質(zhì)量金融服務(wù)，必須要在原有的基礎(chǔ)上，進(jìn)一步加強(qiáng)銀行在網(wǎng)絡(luò)安全方面的部署。 n通過(guò)分析廣東發(fā)展銀行的具體業(yè)務(wù)流程和網(wǎng)絡(luò)結(jié)構(gòu)，思科在SAFE藍(lán)圖指導(dǎo)下，針對(duì)廣東發(fā)展銀行的不同網(wǎng)段，分別實(shí)施了可以統(tǒng)一管理的不同安全措施，具體措施如下。

3、 8-5電子商務(wù)安全技術(shù)電子商務(wù)安全技術(shù)8.1 電子商務(wù)的安全問(wèn)題電子商務(wù)的安全問(wèn)題 8.2 防火墻技術(shù)防火墻技術(shù)8.3 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù)8.4 認(rèn)證技術(shù)認(rèn)證技術(shù)8.5 安全技術(shù)協(xié)議安全技術(shù)協(xié)議8-61在網(wǎng)絡(luò)的傳輸過(guò)程中信息被截獲 2傳輸?shù)奈募赡鼙淮鄹?3偽造電子郵件 4假冒他人身份 5不承認(rèn)或抵賴已經(jīng)做過(guò)的交易 8-7 8.1 電子商務(wù)對(duì)安全的基本要求電子商務(wù)對(duì)安全的基本要求 1授權(quán)合法性 2不可抵賴性3保密性 4身份的真實(shí)性 5信息的完整性 6存儲(chǔ)信息的安全性 8-8電子商務(wù)安全措施電子商務(wù)安全措施 1確定通信中的貿(mào)易伙伴身份的真實(shí)性 2保證電子單證的保密性 3確定電子單證內(nèi)容的

4、完整性 4確定電子單證的真實(shí)性5不可抵賴性6存儲(chǔ)信息的安全性8-98.2 防火墻的含義及其分類防火墻的含義及其分類 1. 防火墻的含義 Internet是一個(gè)開(kāi)放的世界,它在擁有豐富信息量的同時(shí)也存在著許多不安全因素。當(dāng)內(nèi)部網(wǎng)連上Internet，使它的用戶能訪問(wèn)Internet上的服務(wù)時(shí)，非內(nèi)部網(wǎng)用戶也能通過(guò)Internet訪問(wèn)內(nèi)部網(wǎng)用戶，實(shí)現(xiàn)一些非法操作如：盜取重要資料、破壞文件等。這對(duì)于沒(méi)有受到任何保護(hù)的內(nèi)部網(wǎng)用戶來(lái)說(shuō)無(wú)疑是一種災(zāi)難。人們經(jīng)常在建筑物之間修建一些墻壁，以便在火災(zāi)發(fā)生時(shí)，火勢(shì)不至于從一幢建筑蔓延到別一幢建筑，這些墻被稱為“防火墻”。與此類似，我們可以在內(nèi)部網(wǎng)和Interne

5、t之間設(shè)置一堵“防火墻”以保護(hù)內(nèi)部網(wǎng)免受外部的非法入侵。在網(wǎng)絡(luò)世界中，防火墻是被配置在內(nèi)部網(wǎng) (如企業(yè)內(nèi)部的Intranet)和外部網(wǎng) (如Internet)之間的系統(tǒng)(或一組系統(tǒng) )，通過(guò)控制內(nèi)外網(wǎng)絡(luò)間信息的流動(dòng)來(lái)達(dá)到增強(qiáng)內(nèi)部網(wǎng)絡(luò)安全性的目的。防火墻決定了內(nèi)部的哪些服務(wù)可以被外部用戶訪問(wèn)以及哪些外部服務(wù)可以被內(nèi)部用戶訪問(wèn)。8-108.2.防火墻的分類防火墻的分類n路由器n代理服務(wù)器 8-118.2 防火墻的功能防火墻的功能(1)未經(jīng)授權(quán)的內(nèi)部訪問(wèn) (2)危害證明 (3)未經(jīng)授權(quán)的外部訪問(wèn) (4)電子欺騙 (5)特洛伊木馬 (6)滲透 (7)泛洪 8-12 8.2 防火墻技術(shù)防火墻技術(shù)1. 防

6、火墻系統(tǒng)設(shè)計(jì) 2. 包過(guò)濾路由器 3. 應(yīng)用層網(wǎng)關(guān)防火墻4. 電路層防火墻 8-13 8.2 防火墻的安全策略及局限性防火墻的安全策略及局限性 n防火墻的安全策略n 2. 防火墻的局限性8-148.3 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù)8.3.1 數(shù)據(jù)加密、解密基本過(guò)程 對(duì)稱式密鑰加密技術(shù) 公開(kāi)密鑰加密技術(shù) 8.3.4 對(duì)稱密鑰和公開(kāi)密鑰的結(jié)合 8-158.4 認(rèn)證技術(shù)認(rèn)證技術(shù)基本概念基本概念 1證書 在一個(gè)電子商務(wù)系統(tǒng)中，所有參于活動(dòng)的實(shí)體都必須用證書來(lái)表明自己的身份。證書一方面可以用來(lái)向系統(tǒng)中的其它實(shí)體證明自己的身份，另一方面由于每份證書都攜帶著證書持有者的公鑰（簽名證書攜帶的是簽名公匙，加密證書攜

7、帶的是加密公鑰），所以，證書也可以向接收者證實(shí)某人或某個(gè)機(jī)購(gòu)對(duì)公開(kāi)密匙的擁有，同時(shí)也起著公鑰分發(fā)的作用。8-168.4 認(rèn)證技術(shù)認(rèn)證技術(shù)2RA(Release Auditing) RA 即證書發(fā)放審核部門，它是CA認(rèn)證體系的一個(gè)組成部分。它負(fù)責(zé)對(duì)證書申請(qǐng)者進(jìn)行資格審查，并決定是否同意給該申請(qǐng)者發(fā)放證書，并承擔(dān)因?qū)徍隋e(cuò)誤所引起的和為不符合資格的證書申請(qǐng)者發(fā)放證書所引起的一切后果，因此它應(yīng)由能夠承擔(dān)這些責(zé)任的機(jī)構(gòu)擔(dān)任。8-178.4 認(rèn)證技術(shù)認(rèn)證技術(shù) 3CP(Certificate Perform) CP即證書發(fā)放的執(zhí)行部門，它是CA認(rèn)證體系的另外一個(gè)組成部分，負(fù)責(zé)為已授權(quán)的申請(qǐng)者制作、發(fā)放和管理

8、證書，并承擔(dān)因操作運(yùn)營(yíng)錯(cuò)誤所產(chǎn)生的一切后果，包括失密和為沒(méi)有獲得授權(quán)者發(fā)放證書等，它可以由審核授權(quán)部門自己擔(dān)任，也可委托給第三方機(jī)構(gòu)擔(dān)任。 8-188.4 認(rèn)證技術(shù)認(rèn)證技術(shù) 4RS(Releasee) RS即證書的受理者，它是CA認(rèn)證體系的又一個(gè)組成部分，接收用戶的證書申請(qǐng)請(qǐng)求，轉(zhuǎn)發(fā)給CP和RA進(jìn)行相應(yīng)的處理。8-198.4 認(rèn)證技術(shù)認(rèn)證技術(shù) 5CRL(Certificate Repeal List) CRL是“證書作廢表”的縮寫。CRL中記錄尚未過(guò)期但已聲明作廢的用戶證書的序列號(hào)，供證書使用者在認(rèn)證對(duì)方證書時(shí)查詢使用。CRL通常也被稱為黑名單。 8-208.4 認(rèn)證技術(shù)認(rèn)證技術(shù) 6認(rèn)證中心(

9、CA:Certification Authority) 在電子交易中，無(wú)論是數(shù)字時(shí)間戳服務(wù)(DTS)還是數(shù)字憑證(Digital ID)的發(fā)放，都不是靠交易當(dāng)事人自己能完成的，而需要有一個(gè)具有權(quán)威性和公正性的第三方(third party)來(lái)完成。認(rèn)證中心(CA)就是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)、能簽發(fā)數(shù)字證書、并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu)，主要任務(wù)是受理數(shù)字憑證的申請(qǐng)、簽發(fā)及對(duì)數(shù)字憑證的管理。認(rèn)證中心依據(jù)認(rèn)證操作規(guī)定(CPS:Certification Practice Statement)來(lái)實(shí)施服務(wù)操作。8-218.4 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 1數(shù)字信封2數(shù)

10、字簽名3身份認(rèn)證技術(shù) 4數(shù)字時(shí)間戳 5數(shù)字憑證(digital certificate,digital ID)8-228.5 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 安全套層協(xié)議（SSL） SSL（Secure Socktes Layer）是Netscape公司率先采用的一種網(wǎng)絡(luò)安全協(xié)議，它能把在網(wǎng)頁(yè)和服務(wù)器之間傳輸?shù)臄?shù)據(jù)加密。這種加密措施能夠防止資料在傳輸過(guò)程中被竊取。因此采用SSL協(xié)議傳輸密碼和信用卡號(hào)等敏感信息以及身份認(rèn)證信息是一種比較理想的選擇。SSL可以被理解成一條受密碼保護(hù)的通道。通道的安全性取決于協(xié)議中采用的加密算法。目前SSL協(xié)議標(biāo)準(zhǔn)已經(jīng)成為網(wǎng)絡(luò)上保密通信的一種工業(yè)標(biāo)準(zhǔn),在C/S和B/S的構(gòu)架下都有廣泛的應(yīng)用。8-23 8.