電子商務(wù)安全與支付2015(第2章-電子商務(wù)安全的技術(shù)保障)匯編

1、第2章 電子商務(wù)(din z shn w)安全的技術(shù)保障 1共一百二十三頁從技術(shù)角度講，電子商務(wù)交易安全的需求突出表現(xiàn)為網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞，系統(tǒng)連續(xù)可靠地運行，網(wǎng)絡(luò)上的信息（包括靜態(tài)信息的存儲(cn ch)和傳輸）都是安全的。2共一百二十三頁為了保證上述各個方面的安全，電子商務(wù)網(wǎng)站或從事電子商務(wù)的企業(yè)通常會采用一些網(wǎng)絡(luò)安全技術(shù)措施。本章重點介紹了防火墻技術(shù)、加密技術(shù)、認證技術(shù)等。這些安全技術(shù)的使用可以從一定程度上滿足網(wǎng)絡(luò)安全需求，但不能滿足整體的安全需求，因為它們只能保護特定(tdng)的某一方面。如防火墻的最主要的功能是訪問控制，

2、加密技術(shù)可以保證信息傳輸?shù)陌踩浴τ陔娮由虅?wù)系統(tǒng)還需要一種整體的安全策略，這種策略不僅包括安全技術(shù)，還應(yīng)包括安全管理、實時監(jiān)控、響應(yīng)和恢復(fù)等措施。本章利用電子商務(wù)交易系統(tǒng)安全模型，深入討論了有關(guān)這方面的問題。3共一百二十三頁學(xué)習(xí)(xux)目標了解電子商務(wù)安全技術(shù)保障的主要手段。掌握常用的防病毒技術(shù)及其工作原理。了解主要的加密體系，掌握對稱密碼(m m)和公鑰密碼(m m)的加密原理。了解主要的認證技術(shù)，掌握數(shù)字證書的類型和工作原理。了解如何建立安全的電子商務(wù)交易系統(tǒng)。4共一百二十三頁基本概念防火墻 入侵(rqn)檢測 安全掃描 PKI 數(shù)字簽名 數(shù)字證書 CA5共一百二十三頁2.1防火墻技術(shù)

3、(jsh)2.1.1防火墻技術(shù)及訪問控制技術(shù)所謂防火墻，就是在內(nèi)部網(wǎng)（如Intranet）和外部網(wǎng)（如Internet）之間的界面(jimin)上構(gòu)造一個保護層，并強制所有的連接都必須經(jīng)過此保護層，由其進行檢查和連接。它是一個或一組網(wǎng)絡(luò)設(shè)備系統(tǒng)和部件的匯集器，用來在兩個或多個網(wǎng)絡(luò)間加強訪問控制、實施相應(yīng)的訪問控制策略，力求把那些非法用戶隔離在特定的網(wǎng)絡(luò)之外，從而保護某個特定的網(wǎng)絡(luò)不受其他網(wǎng)絡(luò)的攻擊，但又不影響該特定網(wǎng)絡(luò)正常的工作。6共一百二十三頁根據(jù)(gnj)防火墻在網(wǎng)絡(luò)上的物理位置和在OSI（Open System Interconnect Reference Model， 開放式系統(tǒng)互聯(lián)參

4、考模型）七層協(xié)議中的邏輯位置以及所具備的功能，可作如下的分類：7共一百二十三頁（1）線路級網(wǎng)關(guān)。此類防火墻放置(fngzh)的位置在Internet和私有網(wǎng)之間，邏輯工作位置在OSI協(xié)議的下三層。根據(jù)客戶要求及網(wǎng)絡(luò)安全需要，開通或封閉基于TCP/IP協(xié)議的連接，使得連接直接建立于信息源和傳輸目的地之間。此類網(wǎng)關(guān)主要適用于網(wǎng)絡(luò)內(nèi)部對外部的訪問限制，不能實施強制驗證和協(xié)議過濾。8共一百二十三頁（2）包過濾路由器。這是一個檢查所通過數(shù)據(jù)包合法性的路由器，它對外部用戶傳入局域網(wǎng)的數(shù)據(jù)包加以限定。通常根據(jù)網(wǎng)絡(luò)協(xié)議、按照特定規(guī)則，用IP地址和端口號來進行限制處理。該路由器允許那些符合協(xié)議和規(guī)則的IP地址的

5、某些端口號通過路由器，而對其他IP地址的端口號加以限制。由于包過濾是在七層協(xié)議的下三層實現(xiàn)的，數(shù)據(jù)包的類型也可以進行攔截、檢驗和登錄(dn l)，所以它比其他類型的防火墻更易于實現(xiàn)。9共一百二十三頁（3）應(yīng)用網(wǎng)關(guān)。此類防火墻的物理位置與前述的包過濾(gul)路由器一樣，但它的邏輯位置是在OSI七層協(xié)議的應(yīng)用層上。它主要采取應(yīng)用協(xié)議代理服務(wù)的工作方式實施安全策略。（4）雙重基地型網(wǎng)關(guān)。此類防火墻使用了一個含有兩個網(wǎng)絡(luò)接口的應(yīng)用網(wǎng)關(guān)，并將其接在內(nèi)部網(wǎng)和包過濾路由器之間，信息服務(wù)器則接在二者之間。10共一百二十三頁（5）屏蔽主機防火墻。此類防火墻的應(yīng)用網(wǎng)關(guān)只需要單個網(wǎng)絡(luò)端口，并以物理方式連接在包過濾

6、。路由器的網(wǎng)絡(luò)總線上。但是其工作的邏輯位置(wi zhi)仍然是在應(yīng)用層，所有的通信業(yè)務(wù)都要通過它的代理服務(wù)。信息服務(wù)器可被看做是所有網(wǎng)絡(luò)對外開展信息發(fā)布工作的數(shù)據(jù)中心，它被“掛”在主網(wǎng)之外，又處于包過濾路由器和應(yīng)用網(wǎng)關(guān)的安全保護之內(nèi)，因而具備了較強的隱蔽性和安全防護能力。11共一百二十三頁（6）屏蔽(pngb)主網(wǎng)防火墻。此類防火墻使用了兩個包過濾路由器，從而形成了一個子網(wǎng)的態(tài)勢。在理論上，該種防火墻當然可以連接多個子網(wǎng)，構(gòu)成一個完善的綜合防御體系。12共一百二十三頁除了上述的基于(jy)技術(shù)層面的分類，根據(jù)對防火墻技術(shù)的綜合分析，還可以將其分為包過濾型防火墻（Packet Filter）和

7、代理服務(wù)器型防火墻（Proxy Service）兩大類型，以及最近幾年來將上述兩種類型的防火墻加以結(jié)合而形成的新產(chǎn)物復(fù)合型防火墻（Hybrid）。13共一百二十三頁包過濾(gul)型防火墻（Packet Filter）包過濾防火墻是最簡單的防火墻，一般(ybn)在路由器上實現(xiàn)。包過濾防火墻通常只包括對源和目的IP地址及端口的檢查。其工作原理如圖2-1所示。包過濾防火墻的安全性是基于對包的IP地址的校驗。包過濾防火墻將所有通過的數(shù)據(jù)包中發(fā)送方IP地址、接收方IP地址、TCP端口、TCP鏈路狀態(tài)等信息讀出，并按照預(yù)先設(shè)定的過濾原則過濾數(shù)據(jù)包。那些不符合規(guī)定的IP地址的數(shù)據(jù)包會被防火墻過濾掉，以保證

8、網(wǎng)絡(luò)系統(tǒng)的安全。14共一百二十三頁圖 21包過濾(gul)防火墻的工作原理15共一百二十三頁包過濾型防火墻通常被安裝在路由器上，而且許多常用的商業(yè)路由器缺省配置了包過濾型防火墻。此外，若使用PC機作為路由器，同樣(tngyng)可以安裝包過濾型防火墻；并且，在PC平臺上的防火墻將具有更為強大的功能。包過濾型防火墻一般都具有日志功能，這就具備了更為可靠的安全性。不同種類的包過濾型防火墻使用起來非常方便，只需根據(jù)自己的網(wǎng)絡(luò)訪問原則稍加修改，就可以獲得符合特定網(wǎng)絡(luò)要求的包過濾型防火墻。16共一百二十三頁包過濾防火墻的最大優(yōu)點就是它對于用戶來說是透明的，也就是說不需要用戶名和密碼來登錄。這種防火墻速度

9、快而且易于維護，通常做為第一道防線。包過濾防火墻的弊端也是很明顯的，通常它沒有用戶的使用記錄，這樣我們就不能從訪問記錄中發(fā)現(xiàn)黑客的攻擊記錄。另外，包過濾防火墻需從建立安全策略和過濾規(guī)則集入手，需要花費大量的時間和人力，還要不斷根據(jù)新情況不斷更新過濾規(guī)則集。同時，規(guī)則集的復(fù)雜性又沒有測試工具來檢驗其正確性，這些都是不方便的地方。對于采用動態(tài)分配端口的服務(wù)，如很多RPC（遠程過程調(diào)用）服務(wù)相關(guān)聯(lián)的服務(wù)器在系統(tǒng)啟動時隨機(su j)分配端口的，包過濾防火墻很難進行有效地過濾。17共一百二十三頁代理服務(wù)器型防火墻（Proxy Service）代理型防火墻也叫應(yīng)用層網(wǎng)關(guān)（Application Gate

10、way）防火墻。這種防火墻通過一種代理（Proxy）技術(shù)參與到一個TCP連接的全過程。從內(nèi)部發(fā)出的數(shù)據(jù)包經(jīng)過這樣的防火墻處理后，就好像是源于防火墻外部網(wǎng)卡一樣，從而可以達到(d do)隱藏內(nèi)部網(wǎng)結(jié)構(gòu)的作用。這種類型的防火墻被網(wǎng)絡(luò)安全專家和媒體公認為是最安全的防火墻。它的核心技術(shù)就是代理服務(wù)器技術(shù)。 18共一百二十三頁代理型防火墻接收客戶請求后會檢查驗證其合法性，如其合法，代理型防火墻象一臺客戶機一樣取回所需的信息再轉(zhuǎn)發(fā)給客戶。它將內(nèi)部系統(tǒng)與外界隔離開來，從外面只能看到代理型防火墻而看不到任何內(nèi)部資源。代理型防火墻只允許有代理的服務(wù)通過，而其他所有服務(wù)都完全被封鎖住。這一點對系統(tǒng)安全是很重要的，

11、只有那些被認為“可信賴的”服務(wù)才允許通過防火墻。另外代理服務(wù)還可以過濾協(xié)議，如可以過濾FTP連接，拒絕(jju)使用FTP put（放置）命令，以保證用戶不能將文件寫到匿名服務(wù)器。代理服務(wù)具有信息隱蔽、保證有效的認證和登錄、簡化了過濾規(guī)則等優(yōu)點。 19共一百二十三頁網(wǎng)絡(luò)地址轉(zhuǎn)換服務(wù)(fw) （NAT-Network Address Translation）可以屏蔽內(nèi)部網(wǎng)絡(luò)的IP地址，使網(wǎng)絡(luò)結(jié)構(gòu)對 外部來講是不可見的。代理型防火墻非常適合那些根本就不希望外部用戶訪問企業(yè)內(nèi)部的網(wǎng)絡(luò)，同時也不希望內(nèi)部的用戶無限制的使用或濫用Internet。采用代理型防火墻，可以把企業(yè)的內(nèi)部網(wǎng)絡(luò)隱蔽起來，內(nèi)部的用戶

12、需要驗證和授權(quán)之后才可以去訪問Internet。代理型防火墻包含兩大類：一類是電路級網(wǎng)關(guān)，另一類是應(yīng)用級網(wǎng)關(guān)。20共一百二十三頁電路級網(wǎng)關(guān)又稱線路級網(wǎng)關(guān)，它工作在會話層，其工作原理如圖2-2所示。電路級網(wǎng)關(guān)在兩主機首次建立TCP連接時創(chuàng)立一個電子屏障。它作為服務(wù)器接收外來請求，轉(zhuǎn)發(fā)請求；與被保護的主機連接時則擔當客戶機角色、起代理服務(wù)的作用。它監(jiān)視兩主機建立連接時的握手信息，如SYN（同步信號）、ACK（應(yīng)答信號）和序列數(shù)據(jù)等是否合乎邏輯，判定該會話請求是否合法。一旦會話連接有效后網(wǎng)關(guān)僅復(fù)制、傳遞數(shù)據(jù)，而不進行過濾。電路級網(wǎng)關(guān)中特殊(tsh)的客戶程序只在初次連接時進行安全協(xié)商控制，其后就透明

13、了。只有懂得如何與該電路級網(wǎng)關(guān)通信的客戶機才能到達防火墻另一邊的服務(wù)器。21共一百二十三頁圖 22電路(dinl)級網(wǎng)關(guān)22共一百二十三頁電路級網(wǎng)關(guān)常用于向外連接，這時網(wǎng)絡(luò)管理員對其內(nèi)部用戶是信任的。電路級網(wǎng)關(guān)的優(yōu)點是堡壘主機可以被設(shè)置成混合網(wǎng)關(guān)。對于進入的連接使用應(yīng)用級網(wǎng)關(guān)或代理服務(wù)器，而對于出去的連接使用電路級網(wǎng)關(guān)。這樣使得防火墻即能方便內(nèi)部用戶，又能保證內(nèi)部網(wǎng)絡(luò)免于外部的攻擊?？偟膩碚f，電路級網(wǎng)關(guān)的防火墻的安全性比較高，但它仍不能檢查(jinch)應(yīng)用層的數(shù)據(jù)包以消除應(yīng)用層攻擊的威脅。23共一百二十三頁應(yīng)用級網(wǎng)關(guān)使得網(wǎng)絡(luò)管理員能夠?qū)崿F(xiàn)比包過濾防火墻更嚴格的安全策略。應(yīng)用級網(wǎng)關(guān)工作原理如圖

14、2-3所示，它不用依賴包過濾工具來管理Internet服務(wù)在防火墻系統(tǒng)中的進出，而是采用(ciyng)為每種所需服務(wù)在網(wǎng)關(guān)上安裝特殊代碼（代理服務(wù)）的方式來管理Internet服務(wù)。 24共一百二十三頁圖 23應(yīng)用級網(wǎng)關(guān)工作(gngzu)原理 25共一百二十三頁部署應(yīng)用級網(wǎng)關(guān)有許多優(yōu)點。應(yīng)用級網(wǎng)關(guān)能夠(nnggu)讓網(wǎng)絡(luò)管理員對服務(wù)進行全面的控制，因為代理應(yīng)用限制了命令集并決定那些內(nèi)部主機可以被該服務(wù)訪問。同時網(wǎng)絡(luò)管理員可以完全控制提供那些服務(wù)，因為沒有特定服務(wù)的代理就表示該服務(wù)不提供。應(yīng)用級網(wǎng)關(guān)有能力支持可靠的用戶認證并提供詳細的注冊信息。另外，用于應(yīng)用層的過濾規(guī)則相對于包過濾防火墻來說更容

15、易配置和測試。26共一百二十三頁應(yīng)用級網(wǎng)關(guān)的最大缺點是要求用戶改變自己(zj)的行為，或者在訪問代理服務(wù)的每個系統(tǒng)上安裝特殊的軟件。比如，透過應(yīng)用級網(wǎng)關(guān)Telnet訪問要求用戶通過兩步而不是一步來建立連接。不過，特殊的端系統(tǒng)軟件可以讓用戶在Telnet命令中指定目的主機而不是應(yīng)用級網(wǎng)關(guān)來使應(yīng)用級網(wǎng)關(guān)透明。另外，由于采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝特殊代碼（代理服務(wù)）帶來了附加的費用，而且提供給用戶的服務(wù)水平也有所下降，由于缺少透明性而導(dǎo)致缺少友好性。27共一百二十三頁復(fù)合型防火墻（Hybrid）復(fù)合型防火墻的設(shè)計目標是既有包過濾的功能，又能在應(yīng)用層進行代理，能從數(shù)據(jù)鏈路層到應(yīng)用層進行全方位安全處

16、理。由于TCP/IP協(xié)議和代理的直接相互配合，使系統(tǒng)的防欺騙能力和運行(ynxng)的安全性都大大提高。復(fù)合型防火墻的系統(tǒng)構(gòu)成如圖2-4所示。28共一百二十三頁圖 24 新型防火墻的系統(tǒng)(xtng)構(gòu)成29共一百二十三頁從圖可知，該防火墻既不是(b shi)單純的代理防火墻，又不是(b shi)純粹的包過濾。從數(shù)據(jù)鏈路層、IP層、TCP層到應(yīng)用層都能施加安全控制，且能直接對網(wǎng)卡操作，對出入的數(shù)據(jù)進行加密或解密。30共一百二十三頁Application Proxy。該模塊提供TCP/IP應(yīng)用層的服務(wù)代理，例如HTTP、FTP、Email等代理。它接收用戶的請求，在應(yīng)用層對用戶加以認證，并可由安全

17、控制模塊加以控制。DES和RSA。該模塊主要針對進出(jnch)防火墻的數(shù)據(jù)進行加密和解密，并可產(chǎn)生密鑰。這是一個可選項。它采用DES和RSA兩種加密算法。TCP/IP協(xié)議處理。該模塊能在TCP/IP協(xié)議層進行各項處理。例如：TCP、UDP、IP和ICMP、ARP等。利用它，可以避免TCP/IP協(xié)議本身的安全隱患，增強網(wǎng)絡(luò)的安全性。它可以提供比過濾路由器更廣泛的檢查。31共一百二十三頁Raw Access to NIC。該模塊的功能主要是對網(wǎng)卡的直接讀寫，可以控制底層協(xié)議。它對收到的數(shù)據(jù)進行封裝與拆封，并可監(jiān)聽網(wǎng)上數(shù)據(jù)。安全、日志。這個模塊分為兩個層次，一個是在應(yīng)用層，另一個是在TCP/IP協(xié)

18、議層。前者可以在應(yīng)用層施加預(yù)定的各項安全控制產(chǎn)生各種日志，后者則是在底層（TCP/IP協(xié)議層）產(chǎn)生日志。配置、報表。通過(tnggu)這個模塊，可以配置該防火墻系統(tǒng)，制定安全規(guī)則，并可產(chǎn)生各種報表。32共一百二十三頁目前，市場上可選用的防火墻種類很多，僅NetScreen公司的防火墻產(chǎn)品就有十余種。國內(nèi)獲得公安部許可證的防火墻產(chǎn)品已有幾十種，如網(wǎng)絡(luò)衛(wèi)士、藍盾、神州數(shù)碼等。這些新型(xnxng)防火墻具有簡單易用的Web界面，沒有用戶限制，支持多用戶身份認證，檢測黑客攻擊手段有20多種，可以有效地防止黑客攻擊。此外，千兆防火墻產(chǎn)品，如中科網(wǎng)威，也開始問世。33共一百二十三頁物理(wl)隔離技術(shù)物

19、理隔離技術(shù)是近年來發(fā)展起來的防止外部黑客攻擊的有效手段(shudun)。物理隔離產(chǎn)品主要有物理隔離卡和隔離網(wǎng)閘。34共一百二十三頁物理隔離卡主要分為單硬盤物理隔離卡和雙硬盤物理隔離卡。單硬盤物理隔離卡的主要工作原理是通過把用戶的一個(y )硬盤分成兩個區(qū)，一個(y )為公共硬盤/區(qū)（外網(wǎng)），另一個為安全硬盤/區(qū)（內(nèi)網(wǎng)），將一臺普通計算機變成兩臺虛擬計算機，每次啟動進入其中的一個硬盤/區(qū)。它們分別擁有獨立的操作系統(tǒng)，并能通過各自的專用接口與網(wǎng)絡(luò)連接。 35共一百二十三頁在外網(wǎng)時，操作系統(tǒng)對于數(shù)據(jù)交換區(qū)可以任意讀寫，我們可以把外網(wǎng)的數(shù)據(jù)（如從Internet上下載的有用資料或應(yīng)用程序）復(fù)制到數(shù)據(jù)交

20、換區(qū)中。當切換到內(nèi)網(wǎng)時，操作系統(tǒng)對于數(shù)據(jù)交換區(qū)是只讀的，無法寫入任何數(shù)據(jù)，但這時我們可以把從外網(wǎng)復(fù)制到數(shù)據(jù)交換區(qū)中的數(shù)據(jù)復(fù)制到內(nèi)網(wǎng)中使用。由于在內(nèi)網(wǎng)中數(shù)據(jù)交換區(qū)是只讀的，因此數(shù)據(jù)只能夠從外網(wǎng)導(dǎo)入到內(nèi)網(wǎng)中，而內(nèi)網(wǎng)中的保密數(shù)據(jù)絕對不可能通過這個通道傳到外網(wǎng)中去。也就是說，即使黑客寫了一段很高明(gomng)的程序進入了內(nèi)網(wǎng)，他也無法竊取到任何保密數(shù)據(jù)（參見圖2-5）。36共一百二十三頁圖 2-5物理(wl)隔離卡工作示意圖37共一百二十三頁相對于高端的單硬盤物理隔離卡，雙硬盤物理隔離卡是一種功能相對簡單但較為經(jīng)濟的物理隔離產(chǎn)品。雙硬盤物理隔離卡的基本原理是：在連接內(nèi)部網(wǎng)絡(luò)的同時，啟動內(nèi)網(wǎng)硬盤及其操

21、作系統(tǒng)，同時關(guān)閉外網(wǎng)硬盤；在連接外部網(wǎng)絡(luò)的同時，啟動外網(wǎng)硬盤及其操作系統(tǒng)，同時關(guān)閉內(nèi)網(wǎng)硬盤。雙網(wǎng)主要適用于政府、軍隊(jndu)、企業(yè)等已經(jīng)擁有內(nèi)外網(wǎng)兩套環(huán)境和設(shè)備的用戶。38共一百二十三頁物理隔離網(wǎng)閘由物理隔離網(wǎng)絡(luò)電腦和物理隔離系統(tǒng)交換機組成。其中，物理隔離網(wǎng)絡(luò)電腦負責與物理隔離交換機通信，并承擔選擇內(nèi)網(wǎng)服務(wù)器和外網(wǎng)服務(wù)器的功能。物理隔離交換機實際上就是一個加載了智能功能的電子選擇開關(guān)。物理隔離交換機不但具有傳統(tǒng)交換機的功能，而且(r qi)增加了選擇網(wǎng)絡(luò)的能力（參見圖2-6）。39共一百二十三頁圖 26物理(wl)隔離閘示意圖40共一百二十三頁2.2.2入侵檢測(jin c)技術(shù)入侵檢測是

22、網(wǎng)絡(luò)安全領(lǐng)域中一個較新的課題(kt)。從20世紀90年代開始就有一些針對具體入侵行為或具體的入侵過程進行的入侵檢測研究，1994年以后逐漸出現(xiàn)一些入侵檢測的產(chǎn)品，其中比較有代表性的產(chǎn)品有ISS(Internet Security System)公司的RealSecure，NAI(Network Association，Inc)公司的CyberCop和Cisco公司的Netranger?，F(xiàn)在入侵檢測技術(shù)已經(jīng)成為網(wǎng)絡(luò)安全中的一個重要研究方向。41共一百二十三頁入侵檢測系統(tǒng)(Intrusion Detect System，IDS)是對傳統(tǒng)安全產(chǎn)品的合理補充，幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊，擴展了系統(tǒng)管理員的安

23、全管理能力(包括安全審計、監(jiān)視、進攻識別和響應(yīng))，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。它從計算機網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，看看網(wǎng)絡(luò)中是否有違反安全策略的行為和遇到襲擊的跡象。入侵檢測系統(tǒng)被認為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對網(wǎng)絡(luò)進行監(jiān)測，從而提供對內(nèi)部攻擊(gngj)、外部攻擊(gngj)和誤操作的實時保護。這些都通過它執(zhí)行以下任務(wù)來實現(xiàn)：42共一百二十三頁監(jiān)視、分析用戶及系統(tǒng)活動；對系統(tǒng)構(gòu)造和弱點的審計；識別反映已知進攻的話動模式并向相關(guān)人士報警；異常(ychng)行為模式的統(tǒng)計分析；評估重要系統(tǒng)和數(shù)據(jù)文件的完整性；操作系統(tǒng)的審計跟蹤管理，并識別用

24、戶違反安全策略的行為。43共一百二十三頁入侵檢測系統(tǒng)根據(jù)(gnj)其檢測數(shù)據(jù)來源分為兩類：基于主機的入侵檢測系統(tǒng)和基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)。基于主機的入侵檢測系統(tǒng)從單個主機上提取數(shù)據(jù)(如審計記錄等)作為入侵分析的數(shù)據(jù)源，而基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)從網(wǎng)絡(luò)上提取數(shù)據(jù)(加網(wǎng)絡(luò)鏈路層的數(shù)據(jù)幀)作為入侵分析的數(shù)據(jù)源。 44共一百二十三頁入侵檢測系統(tǒng)目前基本上分為以下兩種：主機(zhj)入侵檢測系統(tǒng)(HIDS)；網(wǎng)絡(luò)入侵檢測系統(tǒng)(NIDS)。 45共一百二十三頁2.2.3安全掃描(somio)技術(shù)安全掃描技術(shù)是一類重要的網(wǎng)絡(luò)安全技術(shù)。安全掃描技術(shù)與防火墻、入侵檢測系統(tǒng)互相配合，能夠有效提高(t go)網(wǎng)絡(luò)的安

25、全性。通過對網(wǎng)絡(luò)的掃描，網(wǎng)絡(luò)管理員可以了解網(wǎng)絡(luò)的安全配置和運行的應(yīng)用服務(wù)，及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風險等級。網(wǎng)絡(luò)管理員可以根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯誤配置，在黑客攻擊前進行防范。如果說防火墻和網(wǎng)絡(luò)監(jiān)控系統(tǒng)是被動的防御手段，那么安全掃描就是一種主動的防范措施，可以有效避免黑客攻擊行為，做到防患于未然。46共一百二十三頁安全掃描(somio)技術(shù)主要分為兩類：主機安全掃描(somio)技術(shù)和網(wǎng)絡(luò)安全掃描(somio)技術(shù)。 47共一百二十三頁一次完整的網(wǎng)絡(luò)安全掃描分為3個階段：（1）發(fā)現(xiàn)(fxin)目標主機或網(wǎng)絡(luò)。（2）發(fā)現(xiàn)目標后進一步搜集目標信息，包括操作系統(tǒng)類型、運行的服

26、務(wù)以及服務(wù)軟件的版本等。如果目標是一個網(wǎng)絡(luò)，還可以進一步發(fā)現(xiàn)該網(wǎng)絡(luò)的拓撲結(jié)構(gòu)、路由設(shè)備以及各主機的信息。（3）根據(jù)搜集到的信息判斷或者進一步測試系統(tǒng)是否存在安全漏洞。48共一百二十三頁2.2加密技術(shù)2.2.1加密技術(shù)概述(i sh)密碼理論與技術(shù)主要包括(boku)兩部分，即基于數(shù)學(xué)的密碼理論與技術(shù)（包括(boku)公鑰密碼、分組密碼、序列密碼、認證碼、數(shù)字簽名、Hash函數(shù)、身份識別、密鑰管理、PKI技術(shù)等）和非數(shù)學(xué)的密碼理論與技術(shù)（包括信息隱形，量子密碼，基于生物特征的識別理論與技術(shù)）。49共一百二十三頁2.2.2對稱密碼(m m)體制密碼算法主要分為兩大類，對稱密碼算法和非對稱密碼算法。

27、對稱密碼技術(shù)已經(jīng)存在了很長時間。最早使用對稱密碼技術(shù)的是埃及人。對稱密碼技術(shù)之所以被稱之為對稱是因為在加密和解密過程中其使用的密鑰是同一個。對稱密碼算法接受明文作為輸入。然后使用一個對稱密鑰(symmetic key)進行(jnxng)運算，輸出明文的一個加密版本(也稱為密文)。50共一百二十三頁對稱密碼體系有兩個重要的要素構(gòu)成(guchng)，分別是對稱密碼算法和用作對稱密鑰的隨機數(shù)。對稱密鑰的創(chuàng)建一般是使用隨機數(shù)發(fā)生器，而其中最好的則是專門用于產(chǎn)生隨機數(shù)的硬件設(shè)備。比如噪聲很大的二極管，就是公認的隨機數(shù)發(fā)生器。事實上噪聲本身就是很好的隨機數(shù)發(fā)生源，只要找到適當?shù)姆椒右岳镁涂梢允蛊涑蔀椴?/p>

28、錯的隨機數(shù)發(fā)生器。51共一百二十三頁對稱密碼算法分為兩種類型：分組密碼(block cipher)和序列密碼(stream cipher)。這里說的密碼是加密算法的同義詞。分組密碼是在數(shù)據(jù)的固定長度的小分組上進行運算的，分組的長度一般(ybn)是64位。分組密碼有很多種，包括DES，3DES，RC2，RC5，RC6以及Rijndael(也被稱做AES)。52共一百二十三頁DES是最著名的，同時也是研究得最透徹(tuch)的對稱密碼算法。一個對稱加密過程如下（參見圖2-7）：53共一百二十三頁圖 27對稱(duchn)加密過程54共一百二十三頁對稱加密過程的優(yōu)點是其加密和解密的密鑰是同一個，加密

29、速度比較快，得到的密文緊湊，大小幾乎等于明文。但是，對稱加密的密鑰必須經(jīng)過互聯(lián)網(wǎng)發(fā)送給接受者，密鑰本身有可能被黑客截獲，安全性令人擔心，而且對稱密鑰只能使用一次，這需要一個龐大的系統(tǒng)支持來搞清所有的密鑰與密文之間的關(guān)系，在密鑰分發(fā)、存儲和管理方面都面臨很大的難題。此外，對稱加密不支持數(shù)字簽名，無法進行身份(shn fen)確認。55共一百二十三頁2.2.3公鑰密碼(m m)體制公開密鑰密碼體制(tzh)又稱非對稱（或不對稱）密鑰加密體制(tzh)，或公鑰密碼體制(tzh)。1976年，狄菲（W.Diffe）和赫爾曼（M.E.Hellman）提出建立“把加密算法的一切予以公開，而解密只有當知道秘

30、密密鑰時方可做到”的所謂非對稱或公鑰密碼體制的構(gòu)想。它是指加密密鑰和解密密鑰各不相同，并且不可能由一個密鑰推導(dǎo)出另一個密鑰，特別是不可能依據(jù)所知道的加密函數(shù)求解出解密函數(shù)。 56共一百二十三頁在這種加密體制下，每個用戶(yngh)都有一對不同的密鑰，其中加密密鑰即公開密鑰是完全公開的，可以像電話號碼一樣公諸于世，讓所有參加通信的人都知道；但是解密密鑰則必須嚴格保密，并由每個用戶(yngh)單獨掌握。這些特點就提供了從任何人到秘密密鑰持有者之間的秘密通信。57共一百二十三頁這個思想的本質(zhì)是指使用(shyng)一個加密算法E和使用一個解密算法D進行加密和解密，一旦選定了E和D，即使對算法E進行完全

31、公開的描述，要利用算法E推導(dǎo)出算法D也是不可能或者是極為困難的。有的時候，入侵者會將這些算法與自己的核心內(nèi)容作比較試驗，所以這些算法必須具備以下三個基本條件：58共一百二十三頁（1）D（E（P）=P，即如果(rgu)在一個加密報文E（P）中應(yīng)用D，則可以得到初始的明文報文P；（2）外人不可能或極難從算法E推導(dǎo)出算法D；（3）用一個選定的明文攻擊不能破譯算法E。59共一百二十三頁圖 28使用(shyng)公鑰加密和對應(yīng)的私鑰解密的示意圖60共一百二十三頁公開密鑰密碼體制具有以下一些(yxi)主要優(yōu)點：密碼數(shù)量足夠大，可以適應(yīng)網(wǎng)絡(luò)的開放性要求；密鑰的分配和管理比較容易。由于加密密鑰是公開的，用戶僅

32、需保存自己的解密密鑰，所以當n個人相互通信(tng xn)時，僅需產(chǎn)生n對密鑰就能滿足需要；對互不相識的人也可以提供通信的保密性；可以實現(xiàn)數(shù)字簽名和數(shù)據(jù)鑒別。61共一百二十三頁2.2.4PKI加密技術(shù) PKI加密技術(shù)概述(i sh)PKI（Public Key Infrastructure）公共密鑰基礎(chǔ)設(shè)施是一種集中化的、易于管理的網(wǎng)絡(luò)安全方案(fng n)。它可以支持多種形式的數(shù)字認證，例如數(shù)字加密、數(shù)字簽名、反否認、甄別、密鑰管理以及交叉認證等。它是由公開密鑰密碼技術(shù)、數(shù)字證書、認證中心（CACertificate Authority）和關(guān)于公開密鑰的安全策略等基本部分所共同組成的有機系統(tǒng)

33、。PKI可以通過一個基于數(shù)字認證的框架處理所有的數(shù)據(jù)加密和數(shù)字簽名工作。PKI標準與協(xié)議的開發(fā)迄今已有逾年的歷史，目前的PKI系統(tǒng)已經(jīng)完全可以向企業(yè)網(wǎng)絡(luò)提供有效的安全保障。62共一百二十三頁PKI為網(wǎng)絡(luò)的具體應(yīng)用(yngyng)提供了以下安全支持：證書與CA中心交叉簽證支持對數(shù)字簽名的不可抵賴性加密(ji m)密鑰和簽名密鑰的分隔證書、密鑰的自動更換密鑰歷史的管理密鑰的備份及恢復(fù)63共一百二十三頁 PKI加密技術(shù)實施(shsh)的要求PKI加密技術(shù)的實施對應(yīng)用主體和具體技術(shù)都有著一些特殊的要求，只有達到了這些要求，才能(cinng)使PKI加密技術(shù)發(fā)揮最大的功效。64共一百二十三頁1）企業(yè)(q

34、y)及系統(tǒng)本身所要具備的條件成本要求。用戶的可接受度。初期準備工作的充分程度。是否擁有具備PKI經(jīng)驗的專業(yè)技術(shù)人員。應(yīng)用系統(tǒng)對電子(dinz)證書的處理。擴充性。65共一百二十三頁2）技術(shù)方面(fngmin)的考慮多供應(yīng)商的CA交互(jioh)及交叉證書。注廢證書。行業(yè)標準。X.509的技術(shù)限制。66共一百二十三頁2.2.5數(shù)字簽名技術(shù)(jsh)2002年1月24日，聯(lián)合國國際貿(mào)易法委員會第85次全體會議正式通過了聯(lián)合國國際貿(mào)易法委員會電子簽字示范法（以下簡稱(jinchng)電子簽字示范法），該法是聯(lián)合國國際貿(mào)易法委員會繼貿(mào)易法委員會電子商務(wù)示范法（以下簡稱電子商務(wù)示范法）后通過的又一部涉及

35、電子商務(wù)的重要法律。該法從1997年組織起草，到2002年正式通過，起草過程長達5年時間。其立法思路經(jīng)過多次反復(fù)，反映出對現(xiàn)代化核證技術(shù)的不斷深化的認識。 67共一百二十三頁數(shù)字簽名的基本原理數(shù)字簽名與傳統(tǒng)的書面文件簽名有相似之處，數(shù)字簽名就是在以計算機文件為基礎(chǔ)(jch)的事務(wù)處理中采用了電子形式的簽名。數(shù)字簽名技術(shù)以加密技術(shù)為基礎(chǔ)，采用公鑰密碼體制對整個明文進行變換，得到一個作為核實簽名的值。接收者使用發(fā)送者的公開密鑰對簽名進行解密運算，如其結(jié)果為明文，則證明對方的身份是真實的。68共一百二十三頁數(shù)字簽名的類型(lixng) 秘密密鑰的數(shù)字簽名公開密鑰的數(shù)字簽名只需確認的數(shù)字簽名數(shù)字(sh

36、z)摘要的數(shù)字(shz)簽名69共一百二十三頁2.3認證技術(shù)(jsh)2.3.1客戶認證客戶認證是基于用戶的客戶端主機IP地址的一種認證機制，它允許系統(tǒng)管理員為具有某一特定IP地址的授權(quán)用戶定制訪問權(quán)限。CA與IP地址相關(guān)，對訪問的協(xié)議不作直接的限制。服務(wù)器和客戶機無需增加、修改任何軟件。系統(tǒng)管理員可以決定對每個用戶的授權(quán)、允許訪問的服務(wù)器資源、應(yīng)用程序、訪問時間以及(yj)允許建立的會話次數(shù)等。70共一百二十三頁2.3.2.身份(shn fen)認證身份認證是判明和確認交易雙方真實身份的必要環(huán)節(jié)，也是電子商務(wù)交易過程中最為薄弱的環(huán)節(jié)。因為非法用戶經(jīng)常采用竊取口令、修改和偽造(wizo)、阻斷

37、服務(wù)等方式對網(wǎng)絡(luò)支付系統(tǒng)進行攻擊，阻止系統(tǒng)資源的合法管理和使用。71共一百二十三頁2.3.3通過電子(dinz)認證服務(wù)機構(gòu)認證數(shù)字證書根據(jù)聯(lián)合國電子簽字示范法第一條，“證書”系指可證實簽字人與簽字生成數(shù)據(jù)(shj)有聯(lián)系的某一數(shù)據(jù)(shj)電文或其他記錄。我國電子簽名法規(guī)定，電子簽名認證證書是指可證實電子簽名人與電子簽名制作數(shù)據(jù)有聯(lián)系的數(shù)據(jù)電文或者其他電子記錄。 72共一百二十三頁電子簽名認證證書有多種形式，如數(shù)字、指紋、視網(wǎng)膜、DNA等。其中，最常用的認證證書是數(shù)字證書，因為它使用方便、便于記憶，價格又最便宜。數(shù)字證書作為網(wǎng)上交易雙方真實身份證明的依據(jù)，是一個經(jīng)使用者數(shù)字簽名的、包含證書申

38、請者（公開密鑰擁有者）個人信息及其公開密鑰的文件?；诠_密鑰體制（PKI）的數(shù)字證書是電子商務(wù)安全體系的核心，用途(yngt)是利用公共密鑰加密系統(tǒng)來保護與驗證公眾的密鑰，由可信任的、公正的電子認證服務(wù)機構(gòu)頒發(fā)。73共一百二十三頁數(shù)字證書由兩部分組成：申請證書主體的信息和發(fā)行證書的CA簽字(qin z)（參見圖2-9）。證書數(shù)據(jù)包含版本信息、證書序列號、CA所使用的簽字算法、發(fā)行證書CA的名稱、證書的有效期限、證書主體名稱、被證明的公鑰信息。發(fā)行證書的CA簽字包括CA簽字和用來生成數(shù)字簽字的簽字算法。74共一百二十三頁圖2-9 數(shù)字證書的組成(z chn)75共一百二十三頁電子(dinz)認

39、證服務(wù)提供者電子認證指確認電子簽名制作數(shù)據(jù)（私鑰）與其持有人對應(yīng)聯(lián)系的活動。電子認證服務(wù)提供者是指為電子簽名人和電子簽名依賴方提供電子認證服務(wù)的第三方機構(gòu)（以下稱為“電子認證服務(wù)機構(gòu)”）。電子認證服務(wù)機構(gòu)（Certificate Authority，CA）在電子商務(wù)中具有特殊的地位。它是為了從根本上保障電子商務(wù)交易活動順利進行而設(shè)立的，主要是為電子簽名相關(guān)各方提供真實性、可靠性驗證(ynzhng)的公眾服務(wù)，解決電子商務(wù)活動中交易參與各方身份、資信的認定，維護交易活動的安全。76共一百二十三頁電子認證服務(wù)機構(gòu)主要提供(tgng)下列服務(wù)： 制作、簽發(fā)、管理電子簽名認證證書； 確認簽發(fā)的電子簽名

40、認證證書的真實性； 提供電子簽名認證證書目錄信息(xnx)查詢服務(wù)； 提供電子簽名認證證書狀態(tài)信息查詢服務(wù)。77共一百二十三頁例如，持卡人要與商家通信，持卡人從公開媒體上獲得了商家的公開密鑰，但持卡人無法確定商家不是冒充的（是有信譽的），于是持卡人請求CA對商家認證，CA對商家進行調(diào)查(dio ch)、驗證和鑒別后，將包含商家Public Key（公鑰）的證書傳給持卡人。同樣，商家也可對持卡人進行驗證，如圖2-10所示。78共一百二十三頁圖2-10 CA 認證(rnzhng)79共一百二十三頁 電子商務(wù)的CA認證(rnzhng)體系電子商務(wù)CA體系包括兩大部分，即符合(fh)SET標準的SET

41、 CA認證體系（又叫“金融CA”體系）和基于X.509的 PKI CA體系（又叫“非金融CA”體系）。80共一百二十三頁1）SET CA1997年2月19日，由MasterCard和Visa發(fā)起成立SETCo公司，被授權(quán)作為SET根認證中心（Root CA）。從SET協(xié)議(xiy)中可以看出，由于采用公開密鑰加密算法，認證中心（CA）就成為整個系統(tǒng)的安全核心。SET中CA的層次結(jié)構(gòu)如圖2-11所示。81共一百二十三頁圖2-11 SET中CA的層次結(jié)構(gòu)82共一百二十三頁2）PKI CAPKI（Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施）是提供公鑰加密和數(shù)字簽字(qin z)

42、服務(wù)的安全基礎(chǔ)平臺，目的是管理密鑰和證書。PKI 是創(chuàng)建、頒發(fā)、管理、撤消公鑰證書所涉及到的所有軟件、硬件的集合體，它將公開密鑰技術(shù)、數(shù)字證書、證書發(fā)放機構(gòu)（CA）和安全策略等安全措施整合起來，成為目前公認的在大型開放網(wǎng)絡(luò)環(huán)境下解決信息安全問題最可行、最有效的方法。PKI是電子商務(wù)安全保障的重要基礎(chǔ)設(shè)施之一。它具有多種功能，能夠提供全方位的電子商務(wù)安全服務(wù)。圖2-12是PKI的主要功能和服務(wù)的匯總。83共一百二十三頁圖2-12 PKI的主要(zhyo)功能和服務(wù)84共一百二十三頁一個典型的PKI應(yīng)用(yngyng)系統(tǒng)包括五個部分：密鑰管理子系統(tǒng)（密鑰管理中心）、證書受理子系統(tǒng)（注冊系統(tǒng)）、證

43、書簽發(fā)子系統(tǒng)（簽發(fā)系統(tǒng)）、證書發(fā)布子系統(tǒng)（證書發(fā)布系統(tǒng)）、目錄服務(wù)子系統(tǒng)（證書查詢驗證系統(tǒng)）。圖2-13顯示了PKI體系的構(gòu)成。85共一百二十三頁圖2-13 PKI體系(tx)的構(gòu)成86共一百二十三頁3）證書的樹形驗證(ynzhng)結(jié)構(gòu)在兩方通信時，通過出示由某個 CA 簽發(fā)的證書(zhngsh)來證明自己的身份，如果對簽發(fā)證書(zhngsh)的CA本身不信任，則可驗證CA的身份，依次類推，一直到公認的權(quán)威CA處，就可確信證書的有效性。SET證書正是通過信任層次來逐級驗證的。每一個證書與數(shù)字化簽發(fā)證書的實體的簽字證書關(guān)聯(lián)。沿著信任樹一直到一個公認的信任組織，就可確認該證書是有效的。例如，C

44、的證書是由名稱為 B 的 CA 簽發(fā)的，而 B 的證書又是由名稱為 A 的CA簽發(fā)的，A 是權(quán)威的機構(gòu)，通常稱為根認證中心（Root CA）。驗證到了Root CA 處，就可確信 C 的證書是合法的（參見圖2-14）。87共一百二十三頁圖2-14 證書(zhngsh)的樹形驗證結(jié)構(gòu)88共一百二十三頁2.3.4 帶有數(shù)字簽名和數(shù)字證書的加密(ji m)系統(tǒng)安全電子商務(wù)使用的文件傳輸系統(tǒng)大都帶有數(shù)字簽名和數(shù)字證書，其基本(jbn)流程如圖2-15所示。89共一百二十三頁圖2-15 帶有數(shù)字簽字(qin z)和數(shù)字證書的加密系統(tǒng)90共一百二十三頁圖2-15顯示了整個文件(wnjin)加密傳輸?shù)?0個

45、步驟：在發(fā)送方的網(wǎng)站上，將要傳送的信息(xnx)通過哈什函數(shù)變換為預(yù)先設(shè)定長度的報文摘要；利用發(fā)送方的私鑰給報文摘要加密，結(jié)果是數(shù)字簽字；將數(shù)字簽字和發(fā)送方的認證證書附在原始信息上打包，使用DES算法生成的對稱密鑰在發(fā)送方的計算機上為信息包加密，得到加密信息包。用預(yù)先收到的接收方的公鑰為對稱密鑰加密，得到數(shù)字信封；加密信息和數(shù)字信封合成一個新的信息包，通過因特網(wǎng)將加密信息和數(shù)字信封傳導(dǎo)接收方的計算機上；91共一百二十三頁用接收方的私鑰解密數(shù)字信封，得到對稱密鑰；用還原的對稱密鑰解密加密信息，得到原始信息、數(shù)字簽字和發(fā)送方的認證證書；用發(fā)送方公鑰（置于發(fā)送方的認證證書中）解密數(shù)字簽字，得到報文摘

46、要；將收到的原始信息通過哈什函數(shù)變換(binhun)為報文摘要；將第8步和第9步得到的信息摘要加以比較，以確認信息的完整性。92共一百二十三頁2.4電子商務(wù)交易系統(tǒng)安全模型及具體實現(xiàn)2.4.1電子商務(wù)交易系統(tǒng)的安全(nqun)需求分析電子商務(wù)交易系統(tǒng)應(yīng)從三個層次考慮(kol)信息安全問題，即網(wǎng)絡(luò)物理層、網(wǎng)絡(luò)基礎(chǔ)應(yīng)用層和網(wǎng)絡(luò)信息應(yīng)用層等。這三個層次應(yīng)該有機地合成在一起加以考慮(kol)。93共一百二十三頁電子商務(wù)交易系統(tǒng)系統(tǒng)中主要(zhyo)存在以下一些典型的安全隱患和問題： 網(wǎng)絡(luò)內(nèi)部用戶的越權(quán)訪問； 操作系統(tǒng)等系統(tǒng)軟件平臺自身的安全漏洞； 防火墻之類的安全設(shè)施(shsh)自身的隱患； 通信方面

47、缺少安全協(xié)議和符合實際的安全應(yīng)用； 訪問控制方面缺乏安全協(xié)議和安全應(yīng)用； 對網(wǎng)絡(luò)及系統(tǒng)安全性缺乏可靠而準確的評估。 94共一百二十三頁其主要(zhyo)表現(xiàn)方式為：外部網(wǎng)絡(luò)入侵；通訊線路泄密；內(nèi)部泄密；越權(quán)竊??；非授權(quán)訪問；假冒(jimo)：假冒(jimo)買賣雙方私閱合同、假冒(jimo)網(wǎng)絡(luò)控制程序套取口令；破壞系統(tǒng)的可用性：病毒等。95共一百二十三頁2.4.2電子商務(wù)交易系統(tǒng)的安全(nqun)管理1)從電子商務(wù)網(wǎng)站的角度網(wǎng)站應(yīng)作為共享資源的安全管理部門；制定(zhdng)并實施電子商務(wù)交易系統(tǒng)總的安全管理策略；每個部門提供并維護共享個別單位的資源，執(zhí)行電子商務(wù)交易系統(tǒng)的安全策略；每個部門

48、自己管理自己部門內(nèi)部的安全問題；安全解決方案須報有關(guān)職能部門評估。96共一百二十三頁2)從用戶(yngh)角度用戶賬號的統(tǒng)一管理統(tǒng)一的用戶身份識別(shbi)；用戶的單點登錄；支持用戶的漫游；用戶界面統(tǒng)一。97共一百二十三頁3）從資源(zyun)角度從資源角度來看，要實現(xiàn)資源的分布配置和統(tǒng)一(tngy)的資源目錄管理。98共一百二十三頁4）從訪問控制的角度(jiod)從訪問控制的角度來看，要實現(xiàn)(shxin)統(tǒng)一的訪問控制策略，在單一管理控制臺上， 統(tǒng)一管理用戶、資源目錄和訪問授權(quán)。99共一百二十三頁2.4.3電子商務(wù)交易安全系統(tǒng)的設(shè)計(shj)及實現(xiàn) 網(wǎng)絡(luò)層安全解決方案100共一百二十三頁1

49、）基本思路圖 216 安全(nqun)網(wǎng)絡(luò)結(jié)構(gòu)示意圖101公共網(wǎng)絡(luò)否隔離區(qū)非安全區(qū)設(shè)置防火墻共一百二十三頁2）網(wǎng)絡(luò)層的安全(nqun)通道VPN （Virtual Private Network，虛擬專用網(wǎng)）安全通道：在內(nèi)部網(wǎng)絡(luò)上的安全通道無需使用VPN，因為，一是內(nèi)部網(wǎng)本身是可信任網(wǎng)絡(luò)，二可以使用應(yīng)用層的安全通道來保證。但如果內(nèi)部網(wǎng)絡(luò)通過公共(gnggng)網(wǎng)絡(luò)連接，則需要在內(nèi)部網(wǎng)之間建立安全通道。專用安全通道：專用安全通道是為有特殊需要的某種應(yīng)用和某類用戶建立的安全通信通道，可以在網(wǎng)絡(luò)，也可以在應(yīng)用層建立。這類應(yīng)用一般用戶范圍相對確定，對安全性有很高的要求。102共一百二十三頁3）使用(s

50、hyng)防火墻的局域網(wǎng)安全接入信息網(wǎng)的基本結(jié)構(gòu)已經(jīng)完成，網(wǎng)絡(luò)互聯(lián)部分已經(jīng)構(gòu)建了防火墻、虛擬網(wǎng)段等基本的安全機制。將各部門局域網(wǎng)安全地與骨干網(wǎng)連接，這樣可以保證：（1）基本維持現(xiàn)有局域網(wǎng)的安全性共享服務(wù)器與內(nèi)部局域網(wǎng)相對隔離，外部(wib)用戶禁止進入局域網(wǎng)；（2）與其他部門的信息共享對外的共享通過服務(wù)子網(wǎng)中的Web服務(wù)器，保證共享信息的可管理性；（3）內(nèi)部用戶對Internet的訪問同時可以建立郵件，地址轉(zhuǎn)換（NAT）等Internet服務(wù)。103共一百二十三頁圖 217局域網(wǎng)的安全(nqun)接入104共一百二十三頁信息網(wǎng)可以使用(shyng)重量級防火墻進行外部和內(nèi)部的隔離，在各單位和部

51、門局域網(wǎng)與主干連接點可再設(shè)置輕量級防火墻，主要解決目前需求中的如下問題：105共一百二十三頁基于IP包的源地址和目的地址的過濾，進行網(wǎng)絡(luò)結(jié)構(gòu)劃分；網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT），內(nèi)部用戶進行間接(jin ji)對外部訪問；IP地址和MAC地址對應(yīng)，基于MAC地址的控制；防火墻入出雙向計費；基于IP地址、戶身份、端口和服務(wù)、流量的計費；按時間計費流量限制或流量預(yù)先設(shè)定功能。當然，防火墻產(chǎn)品比較成熟，其他滿足要求的防火墻產(chǎn)品也可以使用。 106共一百二十三頁4）建立安全(nqun)通道信息網(wǎng)幾乎都是通過專用網(wǎng)絡(luò)連接，一般不需要VPN。如果有局域網(wǎng)需要通過公共網(wǎng)絡(luò)連接骨干網(wǎng)，則可采用如下方式連接。CISCO

52、、Bay、SUN等廠商都提供有關(guān)VPN產(chǎn)品。專用的安全通道，一般采用網(wǎng)絡(luò)層和應(yīng)用層結(jié)合(jih)的方式。這兩種安全通道可以各自獨立使用，也可結(jié)合(jih)使用（圖2-18）。107共一百二十三頁圖 218 VPN和專用(zhunyng)安全通道108共一百二十三頁 應(yīng)用層安全(nqun)解決方案1）應(yīng)用模式的規(guī)劃目前傳統(tǒng)(chuntng)的Client/Server結(jié)構(gòu)的數(shù)據(jù)庫應(yīng)用模式，已轉(zhuǎn)變?yōu)镮ntranet模型。圖2-19說明了這兩種模式的并存和轉(zhuǎn)變。109共一百二十三頁圖 219應(yīng)用模式過度(gud)和轉(zhuǎn)變110Intranet BWD 應(yīng)用模式（瀏覽器/Web服務(wù)器/數(shù)據(jù)庫）傳統(tǒng) CS

53、 應(yīng)用模式（客戶/服務(wù)器）共一百二十三頁基于Web技術(shù)的應(yīng)用方式(fngsh)的主要技術(shù)特點如下：基于(jy)Web技術(shù)，使用HTTP通訊協(xié)議；Web服務(wù)器作為中間件連接用戶端和后臺數(shù)據(jù)庫；將應(yīng)用范圍擴展到了遠程用戶；客戶端基于統(tǒng)一的Web瀏覽器；客戶端培訓(xùn)、升級簡單，投資?。灰子趯⒍喾N不同技術(shù)集成在一起；Intrane模式，易于建立Extranet；對多種不同應(yīng)用可統(tǒng)一、集中管理；實施統(tǒng)一的安全策略，減少安全漏洞。111共一百二十三頁2）安全(nqun)域的劃分對于一個嚴密和安全的系統(tǒng)，安全管理必須明確所管理和控制的范圍，也即是安全系統(tǒng)所控制的網(wǎng)絡(luò)服務(wù)器的范圍，這就是安全域的概念。沒有(mi yu)安全域的安全管理是不現(xiàn)實的。我們將電子商務(wù)交易系統(tǒng)的所有網(wǎng)絡(luò)劃分為兩級