電子商務安全技術的發(fā)展和應用

交通信息工程畢業(yè)論文題目：電子商務安全技術的發(fā)展和應用電子商務安全技術的發(fā)展和應用摘要：文章認為隨著Internet的熱潮席卷全球，電子商務日益成為國民經(jīng)濟的亮點。然而，隨著Internet逐漸發(fā)展成為電子商務的最佳載體，互聯(lián)網(wǎng)具有充分開放，不設防護的特點使加強電子商務的安全問題日益緊迫，為確保信息的真實性、可靠性和保密性，才能夠打消人們的顧慮，放心的參與電子商務。因此，必須建立安全電子商務的技術機制，即防火墻技術、加解密技術等。關鍵字：安全技術防火墻數(shù)據(jù)加密引言：在電子商務的交易中，經(jīng)濟信息、資金都要通過網(wǎng)絡傳輸，交易雙方的身份也需要認證，因此，電子商務的安全性主要是網(wǎng)絡平臺的安全和交易信息的安全。而網(wǎng)絡平臺的安全是指網(wǎng)絡操作系統(tǒng)對抗網(wǎng)絡攻擊、病毒，使網(wǎng)絡系統(tǒng)連續(xù)穩(wěn)定的運行。防火墻技術、數(shù)據(jù)加解密技術、數(shù)字簽名、身份認證和安全電子商務的國際規(guī)范等。在這里我想重點談談防火墻技術和數(shù)據(jù)加密技術。一、防火墻技術。 防火墻是一種用來加強網(wǎng)絡之間訪問控制的特殊網(wǎng)絡互聯(lián)設備，如路由器、網(wǎng)關等。它對兩個或多個網(wǎng)絡之間傳輸?shù)臄?shù)據(jù)包和鏈接方式按照一定的安全策略進行檢查，來決定網(wǎng)絡之間的通信是否被允許，其中被保護的網(wǎng)絡稱為內(nèi)部網(wǎng)絡，另一方則稱為外部網(wǎng)絡或公用網(wǎng)絡，它能有效地控制內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的訪問及數(shù)據(jù)傳送，從而達到保護內(nèi)部網(wǎng)絡的信息不受外部非授權(quán)用戶的訪問和過濾不良信息的目的。所有來自Internet的傳輸信息或你發(fā)電子商務資料庫的信息都必須經(jīng)過防火墻。這樣,防火墻就起到了保護諸如電子郵件、文件傳輸、遠程登錄、在特定的系統(tǒng)間進行信息交換等安全的作用。防火墻是網(wǎng)絡安全策略的有機組成部分,它通過控制和監(jiān)測網(wǎng)絡之間的信息交換和訪問行為來實現(xiàn)對網(wǎng)絡安全的有效管理。從總體上看,防火墻應該具有以下五大基本功能:(1)過濾進、出網(wǎng)絡的數(shù)據(jù);(2)管理進、出網(wǎng)絡的訪問行為;(3)封堵某些禁止行為;(4)記錄通過防火墻的信息內(nèi)容和活動;(5)對網(wǎng)絡攻擊進行檢測和告警。國際標準化組織（ISO）的計算機專業(yè)委員會（ISO／IECJTCI／SC21）根據(jù)網(wǎng)絡開放系統(tǒng)互連7層模型（OSI／RM）制定了一個網(wǎng)絡安全體系結(jié)構(gòu)，用來解決網(wǎng)絡系統(tǒng)中的信息安全問題，如表1所示防火墻的基本準則：未被允許的就是禁止的。基于該準則，防火墻應封鎖所有信息流，然后對希望提供的服務逐項開放。這是一種非常實用的方法，可以造成一種相當安全的環(huán)境，因為只有經(jīng)過仔細挑選的服務才被允許使用。其弊端是，安全性高于用戶使用的方便性，用戶所能使用的范圍大大受到限制。未被禁止的就是允許的。基于該準則，防火墻應轉(zhuǎn)發(fā)所有信息流，然后逐項屏蔽可能有害的服務。這種方法構(gòu)成了一種更為靈活的應用環(huán)境，可為用戶提供更多的服務。其弊病是，在日益增多的網(wǎng)絡服務面前，網(wǎng)管人員將疲于奔命，特別是受保護的網(wǎng)絡范圍增大時，很難提供可靠的安全防護。防火墻是實現(xiàn)安全訪問控制的，因此按照OSI／RM，防火墻可以在OSI／RM7層中的5層設置，如圖1所示：目前，從概念上來講，防火墻技術主要分為9種：（1）包過濾（Packetfilter）防火墻技術，又稱篩選路由器（Screeningrouter）或網(wǎng)絡層防火墻（Networklevelfirewall），它是對進出內(nèi)部網(wǎng)絡的所有信息進行分析，并按照一定的安全策略——信息過濾規(guī)則對進出內(nèi)部網(wǎng)絡的信息進行限制，允許授權(quán)信息通過，拒絕非授權(quán)信息通過。信息過濾規(guī)則是以其所收到的數(shù)據(jù)包頭信息為基礎，比如IP數(shù)據(jù)包源地址、IP數(shù)據(jù)包目的地址、封裝協(xié)議類型（TCP、UDP、ICMP等）、TCP／IP源端口號、TCP／IP目的端口號、ICMP報文類型等，當一個數(shù)據(jù)包滿足過濾規(guī)則，則允許此數(shù)據(jù)包通過，否則拒絕此包通過，相當于此數(shù)據(jù)包所要到達的網(wǎng)絡物理上被斷開，起到了保護內(nèi)部網(wǎng)絡的作用。采用這種技術的防火墻優(yōu)點在于速度快、實現(xiàn)方便，但安全性能差，且由于不同操作系統(tǒng)環(huán)境下TCP和UDP端口號所代表的應用服務協(xié)議類型有所不同，故兼容性差。（2）應用層網(wǎng)關級（Applicationlevelgatewav）防火墻技術，又稱代理（Proxy），它由兩部分組成：代理服務器和篩選路由器。這種防火墻技術是目前最通用的一種，它是把篩選路由器技術和軟件代理技術結(jié)合在一起，由篩選路由器負責網(wǎng)絡的互聯(lián)，進行嚴格的數(shù)據(jù)選擇，應用代理則提供應用層服務的控制，如圖3所示，代理服務器起到了外部網(wǎng)絡向內(nèi)部網(wǎng)絡申請服務時中間轉(zhuǎn)接作用。內(nèi)部網(wǎng)絡只接受代理服務器提出的服務請求，拒絕外部網(wǎng)絡其它節(jié)點的直接請求，代理服務器其實是外部網(wǎng)絡和內(nèi)部網(wǎng)絡交互信息的交換點，當外部網(wǎng)絡向內(nèi)部網(wǎng)絡的某個節(jié)叔申請某種服務時，比如FTP、Telnet、WWW、Gopher、WAIS等，先由代理服務器接受，然后代理服務器根據(jù)其服務類型、服務內(nèi)容、被服務的對象及其它因素，例如服務申請者的域名范圍、時間等，決定是否接受此項服務，如果接受，就由代理服務器內(nèi)部網(wǎng)絡轉(zhuǎn)發(fā)這項請求，并把結(jié)果反饋結(jié)申請者，否則就拒絕。根據(jù)其處理協(xié)議的功能可分為FTP網(wǎng)關型防火墻、Telnet網(wǎng)關型防火墻、WWW網(wǎng)關型防火墻、WAIS網(wǎng)關型防火墻等，它的優(yōu)點在于既能進行安全控制又可以加速訪問，安全性好，但是寥實現(xiàn)比較困難，對于每一種服務協(xié)議必須為其設計一個代理軟件模塊來進行安全控制。（3）雙宿主機（Dual-homedhost）技術防火墻技術，又稱堡壘主機（Bastionhost），它的結(jié)構(gòu)如圖4所示，采用主機取代路由器執(zhí)行安全控制功能，故類似于包過濾防火墻。雙宿主機即一臺配有多個網(wǎng)絡接口的主機，它可以用來在內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間進行尋徑，如果在一臺雙宿主機中尋徑功能被禁止了，則這個主機可以隔離與它相連的內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的通信，而與它相連的內(nèi)部網(wǎng)絡和外部網(wǎng)絡仍可以執(zhí)行由它所提供的網(wǎng)絡應用，如果這個應用允許的話，它們就可以共享數(shù)據(jù)，這樣就保證內(nèi)部網(wǎng)絡和外部網(wǎng)絡的某些節(jié)點之間可以通過雙宿主機上的共享數(shù)據(jù)傳遞信息，但內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間卻不能傳遞信息，從而達到保護內(nèi)部網(wǎng)絡的作用。(4)網(wǎng)絡地址轉(zhuǎn)換技術。防火墻利用NAT技術能透明地對所有內(nèi)部地址做轉(zhuǎn)換,使得外部網(wǎng)絡無法了解內(nèi)部網(wǎng)絡的內(nèi)部結(jié)構(gòu),同時允許內(nèi)部網(wǎng)絡使用自己編的ＩＰ源地址和專用網(wǎng)絡,防火墻能詳盡記錄每一個主機的通信,確保每個分組送往正確的地址。(5)Internet網(wǎng)關技術。由于是直接串聯(lián)在網(wǎng)絡之中,防火墻必須支持用戶在Internet互聯(lián)的所有服務,同時還要防止與Internet服務有關的安全漏洞,故它要能夠以多種安全的應用服務器(包括FTP、Finger、mail、Ident、News、WWW等)來實現(xiàn)網(wǎng)關功能。為確保服務器的安全性,對所有的文件和命令均要利用“改變根系統(tǒng)調(diào)用(chroot)”做物理上的隔離。典型的Internet／Intranet防火墻配置如圖5所示。在域名服務方面,新一代防火墻采用兩種獨立的域名服務器:一種是內(nèi)部DNS服務器,主要處理內(nèi)部網(wǎng)絡和DNS信息;另一種是外部DNS服務器,專門用于處理機構(gòu)內(nèi)部向Internet提供的部分DNS信息。在匿名FTP方面,服務器只提供對有限的受保護的部分目錄的只讀訪問。在WWW服務器中,只支持靜態(tài)的網(wǎng)頁,而不允許圖形或CGI代碼等在防火墻內(nèi)運行。在Finger服務器中,對外部訪問,防火墻只提供可由內(nèi)部用戶配置的基本的文本信息,而不提供任何與攻擊有關的系統(tǒng)信息。SMTP與POP郵件服務器要對所有進、出防火墻的郵件做處理,并利用郵件映射與標頭剝除的方法隱除內(nèi)部的郵件環(huán)境。Ident服務器對用戶連接的識別做專門處理,網(wǎng)絡新聞服務則為接收來自ISP的新聞開設了專門的磁盤空間。(6)安全服務器網(wǎng)絡(SSN)。為了適應越來越多的用戶向Internet上提供服務時對服務器的需要,新一代防火墻采用分別保護的策略對用戶上網(wǎng)的對外服務器實施保護,它利用一張網(wǎng)卡將對外服務器作為一個獨立網(wǎng)絡處理,對外服務器既是內(nèi)部網(wǎng)絡的一部分,又與內(nèi)部網(wǎng)關完全隔離,這就是安全服務器網(wǎng)絡(SSN)技術。而對SSN上的主機既可單獨管理,也可設置成通過FTP、Telnet等方式從內(nèi)部網(wǎng)上管理。SSN方法提供的安全性要比傳統(tǒng)的“隔離區(qū)(DMZ)”方法好得多,因為SSN與外部網(wǎng)之間有防火墻保護,SSN與內(nèi)部網(wǎng)之間也有防火墻的保護,而DMZ只是一種在內(nèi)、外部網(wǎng)絡網(wǎng)關之間存在的一種防火墻方式。換言之,一旦SSN受破壞,內(nèi)部網(wǎng)絡仍會處于防火墻的保護之下,而一旦DMZ受到破壞,內(nèi)部網(wǎng)絡便暴露于攻擊之下。(7)用戶鑒別與加密。為了降低防火墻產(chǎn)品在Ielnet、FTP等服務和遠程管理上的安全風險,鑒別功能必不可少。新一代防火墻采用一次性使用的口令系統(tǒng)來作為用戶的鑒別手段,并實現(xiàn)了對郵件的加密。(8)用戶定制服務。為了滿足特定用戶的特定需求,新一代防火墻在提供眾多服務的同時,還為用戶定制提供支持,這類選項有:通用TCP、出站UDP、FTP、SMTP等,如果某一用戶需要建立一個數(shù)據(jù)庫的代理,便可以利用這些支持,方便設置。(9)審計和告警。新一代防火墻產(chǎn)品采用的審計和告警功能十分健全,日志文件包括:一般信息、內(nèi)核信息、核心信息、接收郵件、郵件路徑、發(fā)送郵件、已收消息、已發(fā)消息、連接需求、已鑒別的訪問、告警條件、管理日志、進站代理、FTP代理、出站代理、郵件服務器、域名服務器等。此外,防火墻還在網(wǎng)絡診斷、數(shù)據(jù)備份保全等方面具有特色。根據(jù)以上9種技術，在次我根據(jù)包過濾（Packetfilter）防火墻技術和應用層網(wǎng)關級（Applicationlevelgatewav）防火墻技術再重點介紹其兩主要防火墻的構(gòu)造。其一是包過濾型防火墻。它一般由路由器實現(xiàn)，故也被稱為包過濾路由器。如圖6所示：它在網(wǎng)絡層對進入和出去內(nèi)部網(wǎng)絡的所有信息進行分析，一般檢查數(shù)據(jù)包的IP源地址、IP目標地址、TCP端口號、ICMP消息類型，并按照信息過濾規(guī)則進行篩選，若符合規(guī)則，則允許該數(shù)據(jù)包通過防火墻進入內(nèi)部網(wǎng)，否則進行報警或通知管理員，并且丟棄該包。這樣一來，路由器能根據(jù)特定的劌則允許或拒絕流動的數(shù)據(jù)，如：Telnet服務器在TCP的23號端口監(jiān)聽遠程連接，若管理員想阻塞所有進入的Telnet連接，過濾規(guī)則只需設為丟棄所有的TCP端口號為23的數(shù)據(jù)包。采用這種技術的防火墻速度快，實現(xiàn)方便，但由于它是通過IP地址來判斷數(shù)據(jù)包是否允許通過，沒有基于用戶的認證，而IP地址可以偽造成可信任的外部主機地址，另外它不能提供日志，這樣一來就無法發(fā)現(xiàn)黑客的攻擊紀錄。其二是應用級防火墻。大多數(shù)的應用級防火墻產(chǎn)品使用的是應用代理機制，內(nèi)置了代理應用程序，可用代理服務器作內(nèi)部網(wǎng)和Internet之間的的轉(zhuǎn)換。若外部網(wǎng)的用戶要訪問內(nèi)部網(wǎng)，它只能到達代理服務器，若符合條件，代理服務器會到內(nèi)部網(wǎng)取出所需的信息，轉(zhuǎn)發(fā)出去。同樣道理，內(nèi)部網(wǎng)要訪問Internet,也要通過代理服務器的轉(zhuǎn)接，這樣能監(jiān)控內(nèi)部用戶訪問Internet.這類防火墻能詳細記錄所有的訪問紀錄，但它不允許內(nèi)部用戶直接訪問外部，會使速度變慢。且需要對每一個特定的Internet服務安裝相應的代理服務器軟件，用戶無法使用未被服務器支持的服務。如圖7所示：防火墻技術從其功能上來分，又可分為FTP防火墻、Telnet防火墻、Email防火墻、病毒防火墻等各種專用防火墻。通常幾種防火墻技術被一起使用來彌補各自的缺陷，增加系統(tǒng)的安全性能。防火墻雖然能對外部網(wǎng)絡的功擊實施有效的防護，但對來自內(nèi)部網(wǎng)絡的功擊卻無能為力。網(wǎng)絡安全單靠防火墻是不夠的，還需考慮其它技術和非技術的因素，如信息加密技術、制訂法規(guī)、提高網(wǎng)絡管理使用人員的安全意識等。就防火墻本身來看，包過濾技術和代理訪問模式等都有一定的局限性，因此人們正在尋找更有效的防火墻，如加密路由器、“身份證”、安全內(nèi)核等。但實踐證明，防火墻仍然是網(wǎng)絡安全中最成熟的一種技術。二、數(shù)據(jù)加密技術在電子商務中，信息加密技術是其它安全技術的基礎。加密的主要目的是防止信息的非授權(quán)泄露。加密可用于傳輸信息和存儲信息。從譜分析的角度看，加密吧聲音變成噪聲，把圖像變成雪花，把計算機數(shù)據(jù)變成一堆無規(guī)律的、雜亂無章的字符。攻擊者即使得到經(jīng)過加密的信息即密文，也無法辨認原文。因此，加密可以有效的對抗截收、非法訪問數(shù)據(jù)庫竊取信息等威脅。加密技術是一種主動的信息安全防范措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成為無意義的密文，阻止非法用戶理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。明文變?yōu)槊芪牡倪^程稱為加密，由密文還原為明文的過程稱為解密，加密和解密的規(guī)則稱為密碼算法。在加密和解密的過程中，由加密者和解密者使用的加解密可變參數(shù)叫做密鑰。據(jù)加密的方法很多，常用的有兩大類。一種是對稱加密。一種是非對稱密鑰加密。對稱加密也叫秘密密鑰加密。發(fā)送方用密鑰加密明文，傳送給接收方，接收方用同一密鑰解密。其特點是加密和解密使用的是同一個密鑰。如圖6所示：如果一個加密系統(tǒng)的加密密鑰和解密密鑰相同，或者雖然不相同，但是由其中任意一個可以很容易的推導出另一個，所采用的就是對稱密碼算法。對稱密碼算法的密鑰必須妥善保管，因為任何人擁有了它就可以解開加密信息。對稱密碼算法的優(yōu)點是計算開銷小，加密速度快，是目前用于信息加密的主要算法。但是，對稱加密技術存在著通信的貿(mào)易方之間確保密鑰安全交換的問題。此外，當某一貿(mào)易方有N個貿(mào)易關系，那么他就要擁有并維護N個專用密鑰（即每把密鑰對應一個貿(mào)易方）。對稱加密方式存在的另一個問題是無法鑒別貿(mào)易發(fā)起方或貿(mào)易最終方。因為貿(mào)易雙方共享同一把專用密鑰，貿(mào)易雙方的任何信息都是通過這把密鑰加密后傳送給對方的，也不能保證信息傳送的完整性非對稱密鑰加密也叫公開密鑰加密。如圖7所示：公鑰加密法是在對數(shù)據(jù)加解密時，使用不同的密鑰，在通信雙方各具有兩把密鑰，一把公鑰和一把密鑰。公鑰對外界公開，私鑰自己保管，用公鑰加密的信息，只能用對應的私鑰解密，同樣地，用私鑰解密的數(shù)據(jù)只能用對應的公鑰解密。電子商務的安全加密系統(tǒng)，傾向于組合應用對稱密碼算法和非對稱密碼算法。對稱密碼算法用于信息加密，非對稱密碼算法用于密碼分發(fā)、數(shù)字簽名及身份鑒別等。對文件加密傳輸?shù)膶嶋H過程包括四步：第一步，文件發(fā)送方產(chǎn)生一個對稱密鑰，并將此密鑰用文件接收方的公鑰加密后，通過網(wǎng)絡傳送給接收方。第二步，文件發(fā)送方用對稱密鑰將需要傳輸?shù)奈募用芎螅偻ㄟ^網(wǎng)絡傳送給接收方。第三步，接收方用自己的私鑰將收到的經(jīng)過加密的對稱密鑰進行解密，得到發(fā)送方的對稱密鑰。第四步，接收方用得到的對稱密鑰講解收到的經(jīng)過加密的文件進行解密，從而得到文件的原文。這個過程包含了兩個加密解密過程：密鑰的加解密和文件本身的加解密。在密鑰的加密過程中，由于發(fā)送方甲用乙的公鑰加密了自己的私鑰，如果文件被竊取，由于只有乙保管自己的私鑰，黑客無法解密。這就保證了信息的機密性。另外，發(fā)送方甲用自己的私鑰加密信息，因為信息是用甲的私鑰加密，只有甲保管它，可以認定信息是甲發(fā)出的，而且沒有甲的私鑰不能修改數(shù)據(jù)?？梢员ＷC信息的不可抵賴性。公開密鑰加密典型的代表是RSA算法，它是由Rivest、Shamir、Adleman三人于1977年提出的一個公鑰加密算法。但是RSA的加密解密要兩次，處理和計算量都