第4章第二部分電子商務(wù)安全

1、重點(diǎn)4.2.2-防火墻技術(shù)o防火墻是放置在兩個(gè)網(wǎng)絡(luò)之間的硬件和軟件系統(tǒng)，在用戶(hù)內(nèi)網(wǎng)和外網(wǎng)之間設(shè)置一道屏障，用于阻擋對(duì)內(nèi)、對(duì)外的非法訪問(wèn)或不安全的數(shù)據(jù)傳遞。對(duì)金融企業(yè)的內(nèi)部網(wǎng)（Intranet）而言，防火墻技術(shù)是保護(hù)信息資源和系統(tǒng)安全的一種較好的措施，它將內(nèi)部私有網(wǎng)和外部公共網(wǎng)進(jìn)行隔離，防止外部攻擊者通過(guò)因特網(wǎng)（Internet）對(duì)內(nèi)部金融網(wǎng)絡(luò)的攻擊。o防火墻一般具有5大基本功能:過(guò)濾進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包；管理進(jìn)出網(wǎng)絡(luò)的訪問(wèn)行為；封堵某些禁止的訪問(wèn)行為；記錄通過(guò)防火墻的信息內(nèi)容和活動(dòng)；對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和警告。4.2.2-防火墻技術(shù)o防火墻在在金融系統(tǒng)中的作用除了金融企業(yè)內(nèi)部電腦犯罪人員可直接篡改數(shù)

2、據(jù)外,入侵者常采用的攻擊手段包括網(wǎng)絡(luò)流偵聽(tīng)、利用網(wǎng)絡(luò)應(yīng)用攻擊入侵、IP地址欺騙、數(shù)據(jù)包欺騙和植入病毒等。入侵者所以能頻頻入手，主要是由于網(wǎng)絡(luò)保護(hù)不嚴(yán)和數(shù)據(jù)包的加密程度較低造成的。防火墻在網(wǎng)絡(luò)金融的安全防衛(wèi)系統(tǒng)中起著重要的作用，是金融企業(yè)內(nèi)部網(wǎng)絡(luò)的第一道屏障。為了抵御入侵者的攻擊，金融內(nèi)部網(wǎng)的所有入口點(diǎn)都應(yīng)設(shè)置防火墻；應(yīng)根據(jù)協(xié)議類(lèi)型、源IP地址及端口號(hào)、目標(biāo)IP地址和端口號(hào)，來(lái)精心設(shè)計(jì)包過(guò)濾規(guī)則；對(duì)所有的諸如FTP、Telnet等的應(yīng)用，要設(shè)置代理程序來(lái)抵御入侵。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全-防火墻技術(shù)防火墻的配置方案主要有：1.只包含單一防火墻的簡(jiǎn)單配置2.采用單宿主堡壘主機(jī)配置的屏蔽主機(jī)式的防火墻系統(tǒng)I

3、nternet 包過(guò)濾路由器或網(wǎng)關(guān)專(zhuān)用網(wǎng)Internet 包過(guò)濾路由器或網(wǎng)關(guān)堡壘主機(jī)專(zhuān)用網(wǎng)主機(jī)專(zhuān)用網(wǎng)主機(jī)專(zhuān)用網(wǎng)主機(jī)WEB服務(wù)器3.采用雙宿主堡壘主機(jī)配置的屏蔽主機(jī)式的防火墻系統(tǒng)4.屏蔽子網(wǎng)防火墻系統(tǒng)鑒于金融系統(tǒng)的重要性,重要節(jié)點(diǎn)應(yīng)該按照屏蔽子網(wǎng)防火墻系統(tǒng)配置,將關(guān)鍵應(yīng)用系統(tǒng)同外部網(wǎng)絡(luò)隔離開(kāi)來(lái).防火墻設(shè)置策略允許基本服務(wù)的暢通,拒絕所有不相關(guān)的服務(wù)以及非法訪問(wèn).Internet 包過(guò)濾路由器或網(wǎng)關(guān)堡壘主機(jī)專(zhuān)用網(wǎng)主機(jī)專(zhuān)用網(wǎng)主機(jī)專(zhuān)用網(wǎng)主機(jī)WEB服務(wù)器Internet 外部路由器堡壘主機(jī)WEB服務(wù)器專(zhuān)用網(wǎng)內(nèi)部路由器重點(diǎn)密碼技術(shù)密碼技術(shù)o加密的概念加密的概念o加密的一般過(guò)程加密的一般過(guò)程o加密的主要方法

4、加密的主要方法o加密算法加密算法o密碼體制密碼體制o傳輸信息的加密傳輸信息的加密加密的概念加密的概念o明文(Plain Text)：指信息原文。記作P。o密文（Cipher Text）：又稱(chēng)密碼，它是指明文經(jīng)過(guò)某種變換后的信息。記作C。o加密（Encryption）：指依據(jù)加密算法把明文變換成密文的過(guò)程。記作E。o解密（Decryption）：又稱(chēng)脫密。指由解密算法把密文變換成明文的過(guò)程，是加密的逆過(guò)程。記作D。加密的概念加密的概念續(xù)o密碼算法：密碼算法：是一些公式、法則或程序，有加密算法和解密算法兩種。加密算法加密算法是把信息從明文變換成密文的處理方法，從數(shù)學(xué)角度看，加密算法描述了一種從明文

5、到密文之間的函數(shù)變換關(guān)系；解密算法解密算法是將密文變換成明文的處理方法，是加密算法的一個(gè)逆變換。o密鑰（密鑰（Cipher KeyCipher Key）：）：指在加密和解密過(guò)程中使用的一個(gè)參數(shù)。在加密和解密過(guò)程中使用的密鑰分別稱(chēng)為加密密鑰和解密密鑰，二者可以相同，也可以不同。密鑰通常記作K。o密碼體制：密碼體制：指一個(gè)加密系統(tǒng)采用的基本工作方式。構(gòu)成一個(gè)密碼體制的兩個(gè)基本要素是密碼算法和密鑰。o設(shè)明文P是一個(gè)二進(jìn)制序列，加密算法和脫密算法都是一位模二加法，密鑰是一個(gè)與明文等長(zhǎng)的二進(jìn)制序列。一位模二加法的運(yùn)算規(guī)則為：o0+0=0，0+1=1+0=1，1+1=0 設(shè)明文為：P=01101011o密

6、鑰為： K=11010110 則密文為： C=10111101o則有下圖所示的加密方案。ED01101011 K=11010110 Ke=Kd1011110101101011發(fā)送端接收端加密的主要方法加密的主要方法o換位法換位法o替代法替代法o混合方法混合方法加密的主要方法加密的主要方法-換位法o換位法又稱(chēng)置換法，它是一種將明文信息中的字符順序進(jìn)行重排以達(dá)到加密的方法。如橫排的文章需要豎著看才能看懂，這樣的形式就是一種初級(jí)的換位式密碼。加密的主要方法加密的主要方法-替代法o替代法是用替換字符或字符塊進(jìn)行加密的一種方法。最簡(jiǎn)單的替代法是“碼字”法，即用一本“密碼簿”作為密鑰。加密的主要方法加密的

7、主要方法-混合法o換位法和替代法是兩種基本的加密方法，但在實(shí)際使用中，往往將這兩種類(lèi)型的加密方法混合起來(lái)使用，這樣所得到的加密方法稱(chēng)為混合加密方法?；旌戏ㄅe例-ADFGVX密碼o設(shè)P=PRODUCT CIPHERS 替代：o則C1=FG AG VD VF XA DG XVo DG XF FG VG GA AG XG A D F G V XA K Z W R 1 FD 9 B 6 C L 5F Q 7 J P G XG E V Y 3 A NV 8 O D H 0 2X U 4 I S T M密鑰 D E U T S C H次序 2 3 7 6 5 1 4中間 F G A G V D V密文 F

8、 X A D G X V D G X F F G V G G A A G X GoC2=DXGX FFDG GXGG VVVG o ( 1 2 3 4o VGFG GDFA AAXAo 5 6 7)o構(gòu)造第二張表：一個(gè)密鑰、一個(gè)由密鑰所決定的次序，以及根據(jù)密鑰的長(zhǎng)度，將替換后的密文排成每行長(zhǎng)度與密鑰長(zhǎng)度相等的行所組成的矩形,然后按自然數(shù)順序排列。設(shè)K=DEUTSCH，其先后次序?yàn)椋?376514。則表為：混合方法舉例混合方法舉例-ADFGVX密碼o加密算法是指將信息由明文變換到密文的處理方法。o加密算法通常分為兩種：n常規(guī)加密算法（對(duì)稱(chēng)密鑰加密算法）n公開(kāi)密鑰加密算法（非對(duì)稱(chēng)密鑰加密算法）o常

9、規(guī)加密算法按信息是否分組分為序列加密算法和分組加密算法兩種。o序列加密算法是把明文信息符號(hào)序列按順序一個(gè)一個(gè)符號(hào)地進(jìn)行加密的方法。o分組加密算法是把明文信息分成固定長(zhǎng)度的分組，并以分組為單位進(jìn)行加密。o常規(guī)加密算法由于加密和解密使用同一個(gè)密鑰，所以也稱(chēng)為對(duì)稱(chēng)密鑰加密算法對(duì)稱(chēng)密鑰加密算法。即Kd=Ke。o公開(kāi)密鑰加密算法是指把加密與解密分開(kāi)，用一對(duì)密鑰實(shí)現(xiàn)。一個(gè)是公開(kāi)的加密密鑰Ke，它是完全公開(kāi)的（可以象電話(huà)號(hào)碼一樣公諸于世）。另一個(gè)是秘密的解密密鑰Kd，它必須是保密的（即只有持有者自己知道）。這對(duì)密鑰規(guī)定了一對(duì)變換，其中任一個(gè)密鑰都是另一個(gè)密鑰的逆變換，但難以從其中一個(gè)推導(dǎo)出另一個(gè)密鑰。o典型

10、的加密體制主要有兩種： 對(duì)稱(chēng)加密體制 公鑰加密體制-DESo對(duì)稱(chēng)加密體制其典型代表有美國(guó)的數(shù)據(jù)加密標(biāo)準(zhǔn)(DES-Data Encryption Standard)、先進(jìn)加密標(biāo)準(zhǔn) (AES-Advanced Encryption Standard)等。DES(Data Encryption Standard)體制是美國(guó)國(guó)家標(biāo)準(zhǔn)局1977年1月正式批準(zhǔn)的作為非機(jī)密部門(mén)使用的數(shù)據(jù)加密標(biāo)準(zhǔn)。它是由IBM公司提出的一種分組加密體制，原定使用期限為10年，但由于新的數(shù)據(jù)加密標(biāo)準(zhǔn)遲遲未能出臺(tái)，一直使用到2000年10月才被新的加密標(biāo)準(zhǔn)AES替代，目前還有相當(dāng)多的系統(tǒng)在使用DES算法。該標(biāo)準(zhǔn)頒布時(shí)被規(guī)定用于所

11、有公開(kāi)場(chǎng)合和私人的非保密通訊。后來(lái)，它被國(guó)際標(biāo)準(zhǔn)化組織采納，并作為國(guó)際標(biāo)準(zhǔn)。對(duì)稱(chēng)加密體制對(duì)稱(chēng)加密體制-DESoDES是采用常規(guī)加密算法的加密體制。DES將發(fā)送的明文按64比特分組，并使用64比特的密鑰進(jìn)行加密，變成64比特的密文。由于密鑰含8比特的奇偶校驗(yàn)比特，所以，實(shí)際密鑰長(zhǎng)度是56比特，其密鑰量大約為7乘10的16次方。 oDES算法可以由一塊電路或一個(gè)程序?qū)崿F(xiàn)加密和解密功能，所以受到用戶(hù)的歡迎。當(dāng)前世界上的絕大多數(shù)加密設(shè)備都配有DES算法，UNIX操作系統(tǒng)的口令保護(hù)系統(tǒng)采用的就是DES算法。金融電子化網(wǎng)絡(luò)系統(tǒng)目前也大量采用DES加密標(biāo)準(zhǔn)。網(wǎng)絡(luò)金融安全網(wǎng)絡(luò)金融安全-數(shù)字簽名機(jī)制o數(shù)字簽名的

12、概念o數(shù)字簽名的種類(lèi)o數(shù)字簽名的實(shí)現(xiàn)重點(diǎn)數(shù)字簽名的概念數(shù)字簽名的概念o數(shù)字簽名是手寫(xiě)簽名的電子替代物，它提供了與手寫(xiě)簽名相同或更多的功能。o數(shù)字簽名是通過(guò)使用單向散列函數(shù)，對(duì)要傳送的報(bào)文進(jìn)行處理而產(chǎn)生的信息摘要，信息摘要，使用發(fā)報(bào)方使用發(fā)報(bào)方的私鑰私鑰進(jìn)行加密后產(chǎn)生的一個(gè)字母數(shù)字字母數(shù)字串串。o信息摘要本質(zhì)上是由原始信息報(bào)文通過(guò)某個(gè)加密算法產(chǎn)生的一個(gè)特殊的數(shù)字信息串，比較短，與原始信息報(bào)文之間有一一對(duì)應(yīng)的關(guān)系。就是說(shuō)，每個(gè)信息報(bào)文按照某種加密算法都會(huì)產(chǎn)生一個(gè)自己特定的數(shù)字摘要，像每個(gè)人有自己獨(dú)特的指紋一樣，所以，信息摘要又稱(chēng)數(shù)字指紋或數(shù)字手印。o目前使用的信息摘要的常用算法有RSA公司提出的M

13、D2和SHA1等，基本上以HASH函數(shù)為基礎(chǔ)，所以也稱(chēng)HASH編碼法。o在信息系統(tǒng)中，一個(gè)安全有效的數(shù)字簽名方案必須實(shí)現(xiàn)：收?qǐng)?bào)方能證實(shí)發(fā)報(bào)方的身份；發(fā)報(bào)方事后不能否認(rèn)發(fā)送的報(bào)文；收?qǐng)?bào)方或非法者不能偽造、篡改報(bào)文，即必須保證信息的完整性。 數(shù)字簽名的種類(lèi)數(shù)字簽名的種類(lèi)o數(shù)字簽名從接收者驗(yàn)證簽名的方式看，可將數(shù)字簽名分為真數(shù)字簽名和仲裁數(shù)字簽名兩種。o在真數(shù)字簽名中，簽名者直接把簽名消息發(fā)送給接收者，接收者無(wú)需求助于第三者就能驗(yàn)證簽名。o在仲裁數(shù)字簽名中，簽名者把簽名消息由稱(chēng)作仲裁者的可信第三方發(fā)送給接收者，接收者不能直接驗(yàn)證簽名，簽名的合法性是通過(guò)仲裁媒介來(lái)保證，即接收者要驗(yàn)證簽名必須與仲裁者合

14、作。 數(shù)字簽名數(shù)字簽名的創(chuàng)建o第一步，發(fā)報(bào)方運(yùn)行一個(gè)單向散列函數(shù)（如SHA或MD5）從明文信息中產(chǎn)生一個(gè)固定長(zhǎng)度的信息摘要（或散列值）H(P)。o第二步，利用發(fā)報(bào)方的私鑰KDA加密所得到的信息摘要。經(jīng)過(guò)加密的信息摘要DKDA(H(P)就是數(shù)字簽名。o第三步，發(fā)報(bào)方把此數(shù)字簽名作為明文信息的附件一起發(fā)送給收?qǐng)?bào)方。發(fā)送時(shí)使用對(duì)稱(chēng)密鑰加密算法進(jìn)行加密,發(fā)報(bào)方A使用密鑰KA，對(duì)明文P和數(shù)字簽名DKDA(H(P)進(jìn)行加密，形成報(bào)文DKA(DKDA(H(P),P)。對(duì)稱(chēng)密鑰KB的傳輸可以采用數(shù)字信封的方法進(jìn)行。 數(shù)字簽名的實(shí)現(xiàn)機(jī)制數(shù)字簽名的實(shí)現(xiàn)機(jī)制- -簽名的驗(yàn)證o首先利用與發(fā)報(bào)方相同的密鑰KB對(duì)報(bào)文進(jìn)行

15、解密，得到數(shù)字簽名DKDA(H(P)和明文P；o然后，用發(fā)報(bào)方的公鑰KEA對(duì)收到的數(shù)字簽名進(jìn)行解密。如果能夠解密數(shù)字簽名，即能得到信息摘要H(P)，收?qǐng)?bào)方就知道信息來(lái)自所聲稱(chēng)的發(fā)報(bào)方,即收?qǐng)?bào)方驗(yàn)證了信息來(lái)源的真實(shí)性。o同時(shí)，收?qǐng)?bào)方還要運(yùn)行一個(gè)單向散列函數(shù)從收到的信息中產(chǎn)生另一信息摘要（或散列值），并將解密后的信息摘要與收?qǐng)?bào)方生成的信息摘要進(jìn)行比較。如果這兩份信息摘要相同，收?qǐng)?bào)方就知道信息在傳輸過(guò)程中沒(méi)有被修改或篡改過(guò)，即收?qǐng)?bào)方驗(yàn)證了信息的完整性。數(shù)字簽名的完整過(guò)程數(shù)字簽名的完整過(guò)程PHash簽名EDE核對(duì)HashKDAKAKBKEAPH(P)DKDA(H(P)DKA(DKDA(H(P),P)D

16、KDA(H(P)H(P)PPH(P)P核對(duì)一致網(wǎng)絡(luò)金融安全網(wǎng)絡(luò)金融安全-數(shù)字認(rèn)證技術(shù)o數(shù)字證書(shū)的概念數(shù)字證書(shū)的概念o認(rèn)證中心（認(rèn)證中心（CA）oCA的功能的功能重點(diǎn)o數(shù)字證書(shū)也叫電子證書(shū)，簡(jiǎn)稱(chēng)證書(shū)。在很多場(chǎng)合下，數(shù)字證書(shū)、電子證書(shū)和證書(shū)都是X.509公鑰證書(shū)的同義詞。是一個(gè)經(jīng)證書(shū)授權(quán)認(rèn)證中心數(shù)字簽名的包含公鑰及其擁有者信息的基于計(jì)算機(jī)的文件。數(shù)字證書(shū)通常包含簽名者的身份和公鑰、證書(shū)有效期、CA的數(shù)字簽名等信息。實(shí)際上，數(shù)字證書(shū)是由權(quán)威機(jī)構(gòu)數(shù)字證書(shū)認(rèn)證中心（簡(jiǎn)稱(chēng)認(rèn)證中心）發(fā)行的，在Internet通信中標(biāo)識(shí)通信各方身份信息的一系列數(shù)據(jù)，其作用類(lèi)似于日常生活中的身份證，人們依靠它可以在網(wǎng)上識(shí)別對(duì)方

17、的身份。重點(diǎn)認(rèn)證中心（認(rèn)證中心（CACA）o認(rèn)證中心（CA）是保障網(wǎng)上支付安全的關(guān)鍵環(huán)節(jié)。它是從事電子鑒別，用于確認(rèn)發(fā)送和接收電子支付或其它通信各方身份的機(jī)構(gòu)。CA主要負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上支付的實(shí)體所需要的數(shù)字證書(shū)。每一份數(shù)字證書(shū)都與上一級(jí)的數(shù)字簽名證書(shū)相關(guān)聯(lián)，最終通過(guò)安全鏈追溯到一個(gè)已知的并被廣泛認(rèn)為是安全、權(quán)威、足以信賴(lài)的機(jī)構(gòu)根認(rèn)證中心（根CA）。認(rèn)證中心（認(rèn)證中心（CACA）續(xù)oCA具有層次結(jié)構(gòu)。在信任機(jī)構(gòu)的最高層是根認(rèn)證中心（root CA），一般只有一個(gè)，并且自己給自己簽發(fā)證書(shū)，它充當(dāng)信任的根,即信任的起點(diǎn)或終 點(diǎn) 。 根 認(rèn) 證 中 心 的 下 級(jí) 是 策 略 認(rèn) 證

18、中 心（policy CA），它可以有多個(gè)，其證書(shū)由根認(rèn)證中心簽發(fā)。策略認(rèn)證中心的下級(jí)是用戶(hù)認(rèn)證中心（user CA），它負(fù)責(zé)為最終用戶(hù)簽發(fā)證書(shū)，而它本身的證書(shū)則由策略認(rèn)證中心簽發(fā)。CA 的末端為終端實(shí)體或終端用戶(hù)（end user）。在CA的層次結(jié)構(gòu)中，每個(gè)實(shí)體（包括用戶(hù)CA、策略CA和終端用戶(hù)）都必須擁有根CA的公鑰。認(rèn)證中心（認(rèn)證中心（CACA）續(xù)o從證書(shū)的層次看，由下層到上層依次為最終用戶(hù)證書(shū)、用戶(hù)認(rèn)證中心證書(shū)、策略認(rèn)證中心證書(shū)和根認(rèn)證中心，它們構(gòu)成了一條證書(shū)鏈。 o注冊(cè)管理o簽發(fā)證書(shū)o驗(yàn)證簽名o交叉認(rèn)證o撤消證書(shū)CA的功能的功能-注冊(cè)管理o注冊(cè)管理主要完成收集用戶(hù)（組織或個(gè)人）信息、

19、確認(rèn)用戶(hù)身份的功能。注冊(cè)管理一般都是由一個(gè)獨(dú)立的注冊(cè)中心（即RA）來(lái)承擔(dān)。它接受用戶(hù)的注冊(cè)申請(qǐng)，審查用戶(hù)的申請(qǐng)資格，并決定是否同意CA給該用戶(hù)發(fā)放數(shù)字證書(shū)。但注冊(cè)機(jī)構(gòu)并不實(shí)際給用戶(hù)簽發(fā)證書(shū)，而只是對(duì)用戶(hù)資格進(jìn)行審查。CA的功能的功能-簽發(fā)證書(shū)oCA的核心功能是為合法的申請(qǐng)者簽發(fā)數(shù)字證書(shū)。一張數(shù)字證書(shū)的主要內(nèi)容包括：證書(shū)序列號(hào)、證書(shū)所有者的唯一識(shí)別名、證書(shū)所有者的公鑰、證書(shū)的有效期，以及CA對(duì)證書(shū)的數(shù)字簽名等。正是由于數(shù)字證書(shū)中存在CA對(duì)證書(shū)的數(shù)字簽名，因此，對(duì)證書(shū)中任何內(nèi)容的改動(dòng)都可以發(fā)現(xiàn)。證書(shū)中CA的簽名保證了證書(shū)信息的完整性，它可以很容易被驗(yàn)證。因此，證書(shū)的安全就有了堅(jiān)實(shí)的保證，它可以公開(kāi)

20、發(fā)布。證書(shū)一般發(fā)布于一個(gè)或多個(gè)資源庫(kù)（Repository）電子證書(shū)數(shù)據(jù)庫(kù)中，也可以采用其它方式進(jìn)行公布，使所有期望的客戶(hù)都能獲得該證書(shū)。 CA的功能的功能-驗(yàn)證簽名o為了對(duì)發(fā)證機(jī)構(gòu)的真實(shí)性提供保證，認(rèn)證機(jī)構(gòu)以數(shù)字方式簽發(fā)每一個(gè)證書(shū)。o通過(guò)利用認(rèn)證機(jī)構(gòu)的公鑰驗(yàn)證認(rèn)證機(jī)構(gòu)的數(shù)字簽名，就可以驗(yàn)證認(rèn)證機(jī)構(gòu)所簽發(fā)證書(shū)的真實(shí)性和完整性。然而，在驗(yàn)證證書(shū)的真實(shí)性時(shí)，人們對(duì)CA的公鑰會(huì)存在疑問(wèn)。o為了知道公鑰是否屬于該CA，必須由另一較高級(jí)別的CA來(lái)認(rèn)證該CA的公鑰，即充當(dāng)該CA的認(rèn)證機(jī)構(gòu)。然后，較高級(jí)別的CA以數(shù)字方式簽發(fā)所發(fā)的證書(shū)，驗(yàn)證較低級(jí)別CA與較低級(jí)別CA公鑰之間的關(guān)聯(lián)。較低級(jí)別CA將其公鑰證書(shū)提

21、供給想要驗(yàn)證CA數(shù)字簽名的那些人。o較高級(jí)別的CA需要由另一更高級(jí)別的CA來(lái)認(rèn)證它與公鑰之間的關(guān)聯(lián)，如此進(jìn)行下去，直到獲取了由自己了解和信任的CA所發(fā)放的證書(shū)為止。 CA的功能的功能-交叉認(rèn)證o利用交叉認(rèn)證技術(shù)可以擴(kuò)展CA的信任范圍，它允許不同信任體系中的認(rèn)證中心建立起可信任的相互依賴(lài)關(guān)系，從而使各自簽發(fā)的證書(shū)可以相互認(rèn)證和驗(yàn)證。o交叉認(rèn)證包括了兩方面的內(nèi)容：首先，兩CA建立起信任關(guān)系。這要求雙方安全地交換驗(yàn)證簽名的公鑰，并利用自己的私鑰為對(duì)方簽發(fā)數(shù)字證書(shū)，從而雙方都擁有了交叉證書(shū)。其次，利用CA的交叉證書(shū)驗(yàn)證最終用戶(hù)的證書(shū)。對(duì)用戶(hù)來(lái)說(shuō)就是利用本方CA的公鑰來(lái)驗(yàn)證對(duì)方CA的交叉證書(shū)，從而決定對(duì)

22、方CA是否可信；再利用對(duì)方CA的公鑰驗(yàn)證對(duì)方用戶(hù)的證書(shū)，從而決定對(duì)方用戶(hù)是否可信。 CA的功能的功能-撤消證書(shū)o在數(shù)字證書(shū)的有效期結(jié)束之前，由于某種原因需要提前停止使用時(shí)，就需要撤消數(shù)字證書(shū)。例如，由于粗心大意而將密鑰丟失、公司倒閉、證書(shū)所有者可能改變等，都需要對(duì)證書(shū)做撤消處理。o經(jīng)過(guò)CA撤消的證書(shū)不再值得信賴(lài)。因此，用戶(hù)在接受通信對(duì)方的證書(shū)時(shí)，必須驗(yàn)證對(duì)方證書(shū)的有效性，包括CA的簽名是否正確，證書(shū)是否被撤消處理等。PKI中檢查證書(shū)是否被撤消的常用方法是檢查證書(shū)撤消表（CRL）。CA在撤消處理證書(shū)時(shí)產(chǎn)生新的證書(shū)撤消表，它可以以一定的格式公布于眾。用戶(hù)可以方便地查詢(xún)到證書(shū)撤消的信息。 安全應(yīng)用標(biāo)

23、準(zhǔn)o當(dāng)前網(wǎng)絡(luò)金融活動(dòng)中主要采用兩種安全標(biāo)準(zhǔn)，一種是安全套接層（簡(jiǎn)稱(chēng)SSL）協(xié)議，另一種是安全電子交易（簡(jiǎn)稱(chēng)SET）協(xié)議。重點(diǎn)安全應(yīng)用標(biāo)準(zhǔn)安全應(yīng)用標(biāo)準(zhǔn)-SSLo安全套接層協(xié)議(Secure Socket Layer，SSL)是由Netscape公司開(kāi)發(fā)的安全協(xié)議，是在TCP層上實(shí)現(xiàn)WEB安全的最出名的安全解決方案。SSL采用公鑰技術(shù)，保證了服務(wù)器和客戶(hù)機(jī)之間通信的保密性和可靠性，它已經(jīng)成為因特網(wǎng)上保密通信的工業(yè)標(biāo)準(zhǔn)之一。oSSL可有兩種實(shí)現(xiàn)選擇： 一是將SSL作為低層協(xié)議的一部分，這樣對(duì)應(yīng)用程序來(lái)說(shuō)是透明的。 二是將SSL嵌入到特定的軟件包中，例如，Netscape 和MS Explorer瀏覽

24、器中都裝有SSL。 oSSL協(xié)議主要通過(guò)六個(gè)環(huán)節(jié)對(duì)通信過(guò)程進(jìn)行安全保護(hù)：n建立連接階段n交換密碼階段n會(huì)談密碼階段n檢驗(yàn)階段n客戶(hù)認(rèn)證階段n結(jié)束階段 安全應(yīng)用標(biāo)準(zhǔn)安全應(yīng)用標(biāo)準(zhǔn)-SET:概述o安全電子交易協(xié)議（Secure Electronic Transaction，SET）是由Visa和Mastercard組織共同制定的一個(gè)能保證通過(guò)開(kāi)放網(wǎng)絡(luò)進(jìn)行安全資金支付的技術(shù)標(biāo)準(zhǔn)。SET是在應(yīng)用層上提供WEB安全服務(wù)的協(xié)議。SET在保留對(duì)客戶(hù)信用卡認(rèn)證的前提下，又增加了對(duì)商家身份的認(rèn)證。由于設(shè)計(jì)較為合理，得到了諸如微軟公司、IBM公司、Netscape公司等大公司的支持，已成為事實(shí)上的工業(yè)標(biāo)準(zhǔn)。 安全應(yīng)

25、用標(biāo)準(zhǔn)安全應(yīng)用標(biāo)準(zhǔn)-SET:支持B2CoSET協(xié)議支持B2C類(lèi)型的電子商務(wù)模式，即消費(fèi)者持卡在網(wǎng)上購(gòu)物與交易的模式。該協(xié)議主要是為了解決用戶(hù)、商家和銀行之間通過(guò)信用卡支付的交易而設(shè)計(jì)的，以保證支付信息的機(jī)密、支付過(guò)程的完整、商戶(hù)及持卡人的合法身份和可操作性。SET的核心技術(shù)主要有公鑰加密、數(shù)字簽名、電子信封、數(shù)字證書(shū)等。SET既對(duì)客戶(hù)認(rèn)證，也對(duì)商家認(rèn)證，涉及的對(duì)象有客戶(hù)、銀行、商家、電子貨幣、CA等，它是一個(gè)基于可信第三方的認(rèn)證方案。 安全應(yīng)用標(biāo)準(zhǔn)安全應(yīng)用標(biāo)準(zhǔn)-SET:解決的安全問(wèn)題o保證信息在因特網(wǎng)上安全傳輸，防止數(shù)據(jù)被非法竊取。o保證電子商務(wù)參與者信息的相互隔離，客戶(hù)的資料加密或打包后通過(guò)

26、商家到達(dá)銀行，但是商家不能看到客戶(hù)的賬戶(hù)和密碼信息。o解決多方認(rèn)證問(wèn)題，不僅要對(duì)消費(fèi)者的信用卡認(rèn)證，而且要對(duì)在線(xiàn)商店的信譽(yù)程度認(rèn)證，同時(shí)還有消費(fèi)者、在線(xiàn)商店與銀行間的認(rèn)證。o保證了不可否認(rèn)性；客戶(hù)不能否認(rèn)發(fā)出過(guò)某個(gè)訂單，商家也不能否認(rèn)收到過(guò)這個(gè)訂單。 安全應(yīng)用標(biāo)準(zhǔn)安全應(yīng)用標(biāo)準(zhǔn)-SET:優(yōu)點(diǎn)與問(wèn)題o優(yōu)點(diǎn)：SET協(xié)議保證了電子交易活動(dòng)的機(jī)密性、數(shù)據(jù)完整性、身份合法性和不可否認(rèn)性，在電子金融活動(dòng)中得到廣泛應(yīng)用。o缺點(diǎn)：只適用于客戶(hù)端安裝了相應(yīng) 軟件的場(chǎng)合；處理效率較低，在一個(gè)典型的SET交易過(guò)程中，需驗(yàn)證數(shù)字證書(shū)9次，驗(yàn)證數(shù)字簽名6次，傳遞證書(shū)7次，進(jìn)行5次簽名、4次對(duì)稱(chēng)加密和4次非對(duì)稱(chēng)加密，整個(gè)交

27、易過(guò)程可能需花費(fèi)1.5分鐘至2分鐘；協(xié)議比較復(fù)雜。 網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全-CFCA的基本情況o中國(guó)金融認(rèn)證中心(china finance certification authority，CFCA)是由中國(guó)人民銀行牽頭，由國(guó)內(nèi)25家銀行參加聯(lián)合共建的認(rèn)證機(jī)構(gòu)，是一個(gè)公正、權(quán)威的第三方信任機(jī)構(gòu)，專(zhuān)門(mén)為金融業(yè)的各種需求提供證書(shū)服務(wù)，包括網(wǎng)絡(luò)銀行、支付系統(tǒng)、電子商務(wù)等，為參與網(wǎng)上交易的各方提供安全基礎(chǔ)，建立彼此信任的機(jī)制。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全-CFCA的基本情況o目前已有25家銀行、16家券商、3家地區(qū)卡中心順利建成證書(shū)注冊(cè)審批機(jī)構(gòu)(registration authority，RA)，并對(duì)外發(fā)放證書(shū)，6家

28、基金公司在其OA系統(tǒng)中使用CFCA證書(shū)，證書(shū)應(yīng)用遍及銀行、證券、稅務(wù)、企業(yè)集團(tuán)等金融和非金融領(lǐng)域。為了滿(mǎn)足金融業(yè)電子商務(wù)的多種需求， CFCA建立了SET和Non-SET兩套系統(tǒng)，提供多種證書(shū)來(lái)支持各成員及各應(yīng)用單位對(duì)電子商務(wù)的開(kāi)發(fā)和應(yīng)用，支持電子商務(wù)中的BtoB和BtoC模式。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全-CFCA-CFCA的結(jié)構(gòu)的結(jié)構(gòu)oCFCA認(rèn)證系統(tǒng)總體為三層CA結(jié)構(gòu)：第一層為根CA；第二層為政策CA，可向不同行業(yè)、領(lǐng)域擴(kuò)展信用范圍；第三層為運(yùn)營(yíng)CA，根據(jù)證書(shū)運(yùn)作規(guī)范發(fā)放證書(shū)。o運(yùn)營(yíng)CA由CA系統(tǒng)和證書(shū)注冊(cè)審批機(jī)構(gòu)（RA）兩大部分組成：oCA系統(tǒng)：承擔(dān)證書(shū)簽發(fā)、審批、廢止、查詢(xún)、數(shù)字簽名、證書(shū)/黑名單發(fā)布、密鑰恢復(fù)與管理、證書(shū)認(rèn)定和政策制定，CA系統(tǒng)設(shè)在CFCA本部，不直接面對(duì)用戶(hù)。oRA系統(tǒng)：直接面向用戶(hù)，負(fù)責(zé)用戶(hù)身份申請(qǐng)審核，并向CA申請(qǐng)為用戶(hù)轉(zhuǎn)發(fā)證書(shū)。RA一般設(shè)置在商業(yè)銀行的總行、證券公司、保險(xiǎn)公司總部及其它應(yīng)用證書(shū)的機(jī)構(gòu)總部，受理點(diǎn)（LRA）設(shè)置在商業(yè)銀行的分/支行、證券、保險(xiǎn)營(yíng)業(yè)部及其它應(yīng)用證書(shū)機(jī)構(gòu)的分支機(jī)構(gòu)，RA系統(tǒng)可方便集成到其業(yè)務(wù)應(yīng)用系