八年級數(shù)學(xué)下冊1811第2課時平行四邊形的對角線的特征新版新人教版

第五章電子商務(wù)網(wǎng)站常用防御方法

4/2/20241電子商務(wù)安全第五章電子商務(wù)網(wǎng)站常用防御方法4/1/20241電子商務(wù)

本章主要內(nèi)容：本章主要內(nèi)容：●防火墻(Firewall)工作原理●非軍事區(qū)域(DMZ)概念●虛擬專用網(wǎng)(VPN)●入侵檢測系統(tǒng)(IDS)●認證4/2/20242電子商務(wù)安全本章主要內(nèi)容：本章主要內(nèi)容：4/1/20242電子商務(wù)安全

一、防火墻(Firewan)(一)防火墻的工作原理所謂防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護屏障。防火墻主要有三種類型：包過濾防火墻、代理服務(wù)器防火墻和應(yīng)用層網(wǎng)關(guān)防火墻。4/2/20243電子商務(wù)安全一、防火墻(Firewan)(一)防火墻的工作原理4/1．包過濾防火墻包過濾防火墻主要有兩種實現(xiàn)方式：基于路由器的防火墻和基于獨立運行軟件(如PacketFilter)的防火墻。下面主要介紹基于路由器的防火墻。包是網(wǎng)絡(luò)上信息流動的單位。每個包有兩個部分：數(shù)據(jù)部分和包頭。包頭中含有源地址和目標地址的信息。優(yōu)點：透明性好，簡單易用，費用低。缺點：設(shè)置繁多，易留下安全漏洞。4/2/20244電子商務(wù)安全1．包過濾防火墻包過濾防火墻主要有兩種實現(xiàn)方式：基于路由器1．包過濾防火墻包過濾路由器防火墻可能遇到的攻擊方式：(1)源IP地址欺騙(2)源路由攻擊(3)微小碎片攻擊包過濾防火墻

4/2/20245電子商務(wù)安全1．包過濾防火墻包過濾路由器防火墻可能遇到的攻擊方式：包2．代理服務(wù)器(ProxyServer)防火墻在Internet網(wǎng)絡(luò)和Intranet互連時，廣泛采用一種稱為代理服務(wù)的工作方式，使Internet用戶在訪問Intranet的同時，提供的是一種類似網(wǎng)關(guān)的代理服務(wù)器型防火墻。優(yōu)點：代理服務(wù)可提供詳細的日志(Log)和審計(Audit)記錄，提高了網(wǎng)絡(luò)的安全性和可靠性。缺點：不能處理高負荷通信量，且對用戶的透明性不好。4/2/20246電子商務(wù)安全2．代理服務(wù)器(ProxyServer)防火墻在Int3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實現(xiàn)比包過濾路由器防火墻更嚴格的安全策略。應(yīng)用層網(wǎng)關(guān)不使用包過濾工具來限制Internet服務(wù)進出防火墻系統(tǒng)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝專用程序代碼，否則該服務(wù)就不被支持且不能通過防火墻來轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的安全性比較高。過程復(fù)雜、費用比較高、透明性差、限制嚴格，使用帶來不便。4/2/20247電子商務(wù)安全3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實現(xiàn)比包(二)防火墻規(guī)則集設(shè)計規(guī)則集的基本過程：1．拒絕一切未特別允許的連接徹底分析每個系統(tǒng)和網(wǎng)段確定實現(xiàn)它們的功能所需要的服務(wù)和連接。2．常見通信的常用端口確定每個服務(wù)器和網(wǎng)段需要什么端口和協(xié)議。3．將偽代碼轉(zhuǎn)換成防火墻規(guī)則查看手冊，確定特定的方法和要求。4．協(xié)議和風(fēng)險：作出最佳決策需要保證只允許了必要的協(xié)議，并且只能用于需要它們的服務(wù)器和網(wǎng)段。4/2/20248電子商務(wù)安全(二)防火墻規(guī)則集設(shè)計規(guī)則集的基本過程：4/1/2024二、非軍事區(qū)域(DMZ)(一)DMZ的概念(二)非軍事區(qū)域的設(shè)置(三)電子商務(wù)非軍事區(qū)域的實現(xiàn)(四)多區(qū)網(wǎng)絡(luò)存在的問題4/2/20249電子商務(wù)安全二、非軍事區(qū)域(DMZ)(一)DMZ的概念4/1/2024(一)DMZ的概念DMZ(demilitarizedzone)的定義：是指為不信任系統(tǒng)提供服務(wù)的孤立網(wǎng)段，它是兩個防火墻之間的網(wǎng)段。DMZ網(wǎng)段的創(chuàng)建方法通常有兩種。1.兩個防火墻的DMZ

系統(tǒng)放置在有不同規(guī)則的兩個防火墻之間，這就能允許Internet上的系統(tǒng)連接到DMZ系統(tǒng)提供的服務(wù)，但不能連接到企業(yè)內(nèi)部網(wǎng)段(通常叫做受保護網(wǎng)絡(luò))中的電腦。4/2/202410電子商務(wù)安全(一)DMZ的概念DMZ(demilitarizedzo二、非軍事區(qū)域(DMZ)圖示為：兩個防火墻的DMZ4/2/202411電子商務(wù)安全二、非軍事區(qū)域(DMZ)圖示為：兩個防火墻的DMZ4/1/二、非軍事區(qū)域(DMZ)2.單個防火墻的DMZ（如上圖）實現(xiàn)DMZ網(wǎng)段的方法是在防火墻上實際增加第三個接口，并將DMZ系統(tǒng)放置在那個網(wǎng)段。允許同一個防火墻管理Internet。降低了硬件的花費，集中了網(wǎng)絡(luò)的規(guī)則集，使管理和處理問題更容易?，F(xiàn)在已成為創(chuàng)建DMZ網(wǎng)段的主要方法。4/2/202412電子商務(wù)安全二、非軍事區(qū)域(DMZ)2.單個防火墻的DMZ（如上圖）4DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問服務(wù)的網(wǎng)絡(luò)分離開，為網(wǎng)絡(luò)層提供深度的防御。DMZ作用：防火墻上的策略和訪問控制系統(tǒng)定義限制了通過DMZ的全部通信數(shù)據(jù)。相反，在Internet和企業(yè)內(nèi)部網(wǎng)之間的通信數(shù)據(jù)通常是不受限制的。4/2/202413電子商務(wù)安全DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問服務(wù)的網(wǎng)絡(luò)分離(二)非軍事區(qū)域的設(shè)置

安全的DMZ配置4/2/202414電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置安全的DMZ配置4/1/202414(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒有包含敏感數(shù)據(jù)、擔(dān)當代理數(shù)據(jù)訪問職責(zé)的主機放置于DMZ中，這樣用戶、潛在用戶和外部訪問者都可以直接獲得他們所需的關(guān)于公司的一些信息，而不用通過內(nèi)部網(wǎng)。企業(yè)的機密和私人的信息可以安全地存放在內(nèi)部網(wǎng)中，即DMZ的后面。4/2/202415電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒有(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ)安全網(wǎng)絡(luò)：①載有公共信息的網(wǎng)絡(luò)服務(wù)器。②與電子商務(wù)交易服務(wù)器相連接的前端機，該前端機用來接收客戶訂單。存放客戶資料的后端應(yīng)置于防火墻之后。③把外來電子郵件中轉(zhuǎn)至內(nèi)部的郵件服務(wù)器。④可據(jù)此進入內(nèi)部網(wǎng)絡(luò)的證書服務(wù)及服務(wù)器。⑤虛擬專用網(wǎng)絡(luò)上的各端點。⑥應(yīng)用(層)網(wǎng)關(guān)。⑦測試及登錄服務(wù)器(根據(jù)系統(tǒng)要求或用戶請求，使數(shù)據(jù)從一個脫機或優(yōu)先權(quán)低的設(shè)備返回到一個聯(lián)機的或優(yōu)先權(quán)高的設(shè)備的過程)。4/2/202416電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ(三)電子商務(wù)非軍事區(qū)域的實現(xiàn)網(wǎng)絡(luò)存儲顧客信息和金融數(shù)據(jù)與存儲商業(yè)處理的普通信息的需求是不同的。很多網(wǎng)站通過實現(xiàn)一個多網(wǎng)段結(jié)構(gòu)來更好地管理和安全化商業(yè)信息。第一個網(wǎng)段是用于信息存儲的，第二個網(wǎng)段則是特別用于商業(yè)信息的處理的。電子商務(wù)系統(tǒng)中DMZ的實現(xiàn)4/2/202417電子商務(wù)安全(三)電子商務(wù)非軍事區(qū)域的實現(xiàn)網(wǎng)絡(luò)存儲顧客信息和金融數(shù)據(jù)與(四)多區(qū)網(wǎng)絡(luò)存在的問題隨著網(wǎng)站的成長，要提供新的功能，可能需要建立新的區(qū)。重復(fù)上面的過程，建立管理這些新網(wǎng)段的規(guī)則集。注意事項：一定要監(jiān)視和檢查任何變動，備份舊的規(guī)則集以備緊急的時候需要回復(fù)過去。管理原則：創(chuàng)建和管理諸如防火墻、IDS入侵檢測系統(tǒng)（即IntrusionDetectionSystem）簽名和用戶訪問規(guī)則之類的安全控制是個很大的任務(wù)，在不損害安全和可用性的前提下要盡可能地簡化這些過程。4/2/202418電子商務(wù)安全(四)多區(qū)網(wǎng)絡(luò)存在的問題隨著網(wǎng)站的成長，要提供新的功能，4/2/202419電子商務(wù)安全4/1/202419電子商務(wù)安全三、虛擬專用網(wǎng)(VPN)InternetIntranet內(nèi)部網(wǎng)信息防火墻VPN4/2/202420電子商務(wù)安全三、虛擬專用網(wǎng)(VPN)信息防VPN4/1/202420電子三、虛擬專用網(wǎng)(VPN)虛擬專用網(wǎng)（VPN）目的：通過Internet或其他線路(如私有網(wǎng)絡(luò)和租用的線路等)在公司外地雇員、駐外機構(gòu)、公司總部及其相關(guān)企業(yè)和組織機構(gòu)之間建立一個信息傳輸?shù)陌踩ǖ?，以保證所傳輸信息的安全性和完整性，并設(shè)置用戶對特定資源的訪問權(quán)限。4/2/202421電子商務(wù)安全三、虛擬專用網(wǎng)(VPN)虛擬專用網(wǎng)（VPN）目的：通過In三、虛擬專用網(wǎng)(VPN)(一)技術(shù)(二)IPSec協(xié)議4/2/202422電子商務(wù)安全三、虛擬專用網(wǎng)(VPN)(一)技術(shù)4/1/202422(一)VPN技術(shù)VPN（VirtualPrivateNetwork

，即虛擬專用網(wǎng)絡(luò)）概念：通過一個公共網(wǎng)絡(luò)(通常是Internet)建立一個臨時的、安全的與內(nèi)網(wǎng)的連接。作用：①安全連接?？梢詭椭h程用戶與公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。②成本較低。即大幅度地減少用戶花費在WAN上和遠程網(wǎng)絡(luò)連接上的費用。③管理方便。使用VPN將簡化網(wǎng)絡(luò)的設(shè)計和管理，加速連接新的用戶和網(wǎng)站。④網(wǎng)絡(luò)結(jié)構(gòu)靈活?？梢员Ｗo現(xiàn)有的網(wǎng)絡(luò)投資。4/2/202423電子商務(wù)安全(一)VPN技術(shù)VPN（VirtualPrivate(一)VPN技術(shù)VPN的功能：

①加密數(shù)據(jù)。以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。

②信息認證和身份認證。保證信息的完整性、合法性，并能鑒別用戶的身份。

③提供訪問控制。不同的用戶有不同的訪問權(quán)限。

4/2/202424電子商務(wù)安全(一)VPN技術(shù)VPN的功能：4/1/202424電子商(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：

①安全隧道技術(shù)(SecureTunnelingTechnology)。將待傳輸?shù)脑夹畔⒔?jīng)過加密和協(xié)議封裝處理后再嵌套裝入另一種協(xié)議的數(shù)據(jù)包送人公共網(wǎng)絡(luò)(如Internet)中，像普通數(shù)據(jù)包一樣傳輸。經(jīng)過這樣的處理，只有源端和目標端的用戶對隧道中的嵌套信息能進行解釋和處理，其他用戶看到的只是無意義的信息，就像是在源端和目標端的用戶之間建立了一個安全的信息專用隧道。

4/2/202425電子商務(wù)安全(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：4/(一)VPN技術(shù)隧道模式的VPN框架

4/2/202426電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架4/1/202426(一)VPN技術(shù)②用戶認證技術(shù)(UserAuthenticationTechnology)。在隧道連接開始之前需要確認用戶的身份，以便于系統(tǒng)進一步實施資源訪問控制或用戶授權(quán)。③訪問控制技術(shù)(AccessControlTechnology)。由VPN服務(wù)的提供者與最終網(wǎng)絡(luò)信息資源的提供者共同確定特定用戶對特定資源的訪問權(quán)限，以此實現(xiàn)基于用戶訪問的訪問控制，以實現(xiàn)對信息資源的最大限度的保護。4/2/202427電子商務(wù)安全(一)VPN技術(shù)②用戶認證技術(shù)(UserAuthenti(一)VPN技術(shù)隧道模式的VPN框架示意圖VPN隧道組成：

①一個隧道啟動器；②一個路由網(wǎng)絡(luò)(Internet)；③一個可選的隧道交換機；④一個或多個隧道終結(jié)器。4/2/202428電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架示意圖4/1/2024(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密通信能力。IPsec組成：(1)IPsecurityProtocolproper，定義IPsec報文格式。(2)ISAKMP／Oakley，負責(zé)加密通信協(xié)商。4/2/202429電子商務(wù)安全(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密(二)IPSec協(xié)議IPsec采用的加密通信手段：(1)IPsecTunnel：整個IP封裝在Ipsec報文。提供IPsecgateway之間的通信。(2)IPsectransport：對IP包內(nèi)的數(shù)據(jù)進行加密，使用原來的源地址和目的地址。4/2/202430電子商務(wù)安全(二)IPSec協(xié)議IPsec采用的加密通信手段：4/1四、入侵檢測系統(tǒng)(IDS)

（即IntrusionDetectionSystem）(一)入侵檢測概念(二)基于主機的IDS(三)基于網(wǎng)絡(luò)的IDS(四)入侵檢測技術(shù)發(fā)展方向4/2/202431電子商務(wù)安全四、入侵檢測系統(tǒng)(IDS)

（即IntrusionDet(一)入侵檢測概念概念:通過計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點收集信息并對其進行分析，以發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象。作用：入侵檢測是對防火墻的合理補充，幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊，擴展了系統(tǒng)管理員的安全管理能力(包括安全審計、監(jiān)視、攻擊識別和響應(yīng))，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。4/2/202432電子商務(wù)安全(一)入侵檢測概念概念:通過計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干(一)入侵檢測概念主要任務(wù):①監(jiān)視、分析用戶及系統(tǒng)活動；②系統(tǒng)構(gòu)造和弱點的審計；③識別反映已知進攻的活動模式并向相關(guān)人士報警；④異常行為模式的統(tǒng)計分析；⑤評估重要系統(tǒng)和數(shù)據(jù)文件的完整性；⑥操作系統(tǒng)的審計跟蹤管理，并識別用戶違反安全策略的行為。4/2/202433電子商務(wù)安全(一)入侵檢測概念主要任務(wù):4/1/202433電子商務(wù)安全(二)基于主機的IDS基于主機的IDS主要用于運行關(guān)鍵應(yīng)用層的服務(wù)器，它是早期的入侵檢測系統(tǒng)。主要目標：是檢測主機系統(tǒng)是否受到外部或內(nèi)部的攻擊以及系統(tǒng)本地用戶是否有濫用或誤用行為。檢測原理：是根據(jù)系統(tǒng)審計記錄和系統(tǒng)日志文件、應(yīng)用程序日志、目錄和文件的不期望改變、程序執(zhí)行中的非正常行為等信息來發(fā)現(xiàn)系統(tǒng)是否存在可疑事件的。4/2/202434電子商務(wù)安全(二)基于主機的IDS基于主機的IDS主要用于運行關(guān)鍵應(yīng)用層(二)基于主機的IDS基于主機的IDS之優(yōu)點：①基于主機的IDS可以從系統(tǒng)審計和事件日志中提取攻擊信息，從而判斷本地或遠程用戶是否做了系統(tǒng)的安全規(guī)則。②基于主機的IDS可以精確地判斷入侵事件，并可對入侵事件立即進行反應(yīng)。③基于主機的IDS還可以針對不同的操作系統(tǒng)的特點判斷應(yīng)用層的入侵事件。4/2/202435電子商務(wù)安全(二)基于主機的IDS基于主機的IDS之優(yōu)點：4/1/202(二)基于主機的IDS基于主機的IDS之缺點：①占用主機資源，在服務(wù)器上產(chǎn)生額外的負載。②缺乏跨平臺支持，可移植性差，因而應(yīng)用范圍受到嚴重限制。4/2/202436電子商務(wù)安全(二)基于主機的IDS基于主機的IDS之缺點：4/1/202(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨依靠主機的審計信息進行入侵檢測難以適應(yīng)網(wǎng)絡(luò)安全的需求。主要表現(xiàn)：①主機的審計信息容易受到攻擊，入侵者可通過使用某些系統(tǒng)特權(quán)或調(diào)用比審計本身更低級的操作來逃避審計；②不能通過分析主機審計記錄來檢測網(wǎng)絡(luò)攻擊(域名欺騙、端口掃描等)；③基于主機的IDS的運行或多或少地影響服務(wù)器的性能；④只能對服務(wù)器的特定用戶和應(yīng)用程序的執(zhí)行動作、日志進行檢測，所能檢測到的攻擊類型有限。4/2/202437電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨依靠主機的審計信息進行(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：基于網(wǎng)絡(luò)的入侵檢測IDS放置在比較重要的網(wǎng)段內(nèi)，不停地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包。對每一個數(shù)據(jù)包或可疑的數(shù)據(jù)包進行特征分析。如果數(shù)據(jù)包與產(chǎn)品內(nèi)置的某些規(guī)則吻合，入侵檢測系統(tǒng)認為受到攻擊，就會發(fā)出通知、警報甚至直接切斷網(wǎng)絡(luò)連接?；诰W(wǎng)絡(luò)的IDS位置：基于網(wǎng)絡(luò)的入侵檢測IDS通常放置在防火墻的后面。

4/2/202438電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：4/1/2024(三)基于網(wǎng)絡(luò)的IDS探測器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路由器或單獨的主機上。

4/2/202439電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS探測器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路(三)基于網(wǎng)絡(luò)的IDS優(yōu)點：

①實時性強。通過實時監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)包和網(wǎng)絡(luò)管理信息，來尋找具有網(wǎng)絡(luò)供給特征的活動。

②檢測范圍廣?？梢詸z測包括協(xié)議攻擊和某些特定攻擊在內(nèi)的各種攻擊。

③監(jiān)視粒度更細。

④可移植性強?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)通常可以適合多種網(wǎng)絡(luò)環(huán)境。

⑤具有服務(wù)器平臺獨立性?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)不會對服務(wù)器以及網(wǎng)絡(luò)整體性能造成影響。4/2/202440電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS優(yōu)點：4/1/202440電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)存在的缺點：①只能監(jiān)視經(jīng)過本網(wǎng)段的活動，精確度不高。②在交換網(wǎng)絡(luò)環(huán)境下難以配置。③防入侵欺騙的能力較差，難以定位入侵。4/2/202441電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)存在的缺點：4/(四)入侵檢測技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下列幾個方面：(1)入侵或攻擊的綜合化與復(fù)雜化。(2)入侵主體對象的間接化，即實施入侵與攻擊的主體的隱蔽性。(3)人侵或攻擊的規(guī)模擴大。(4)入侵或攻擊技術(shù)的分布化。(5)攻擊對象的轉(zhuǎn)移。4/2/202442電子商務(wù)安全(四)入侵檢測技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下(四)入侵檢測技術(shù)發(fā)展方向三個方向發(fā)展：(1)分布式入侵檢測。含義一是針對分布式網(wǎng)絡(luò)攻擊的檢測方法；含義二是使用分布式的方法來檢測分布式的攻擊。(2)智能化入侵檢測。使用智能化的方法與手段來進行入侵檢測。所謂的智能化方法，現(xiàn)階段常用的有神經(jīng)網(wǎng)絡(luò)、遺傳算法、模糊技術(shù)、免疫原理等方法，這些方法常用于入侵特征的辨識與泛化。利用專家系統(tǒng)的思想來構(gòu)建入侵檢測系統(tǒng)也是常用的方法之一。(3)全面的安全防御方案。即使用安全工程風(fēng)險管理的思想與方法來處理網(wǎng)絡(luò)安全問題，將網(wǎng)絡(luò)安全作為一個整體工程來處理。從管理、網(wǎng)絡(luò)結(jié)構(gòu)、加密通道、防火墻、病毒防護、入侵檢測等多方位對所關(guān)注的網(wǎng)絡(luò)作全面的評估，然后提出可行的解決方案。4/2/202443電子商務(wù)安全(四)入侵檢測技術(shù)發(fā)展方向三個方向發(fā)展：4/1/202443五、認證(一)第三方認證(二)PKI組成(三)證書認證機構(gòu)CA4/2/202444電子商務(wù)安全五、認證(一)第三方認證4/1/202444電子商務(wù)安全(一)第三方認證在電子商務(wù)中，必須從技術(shù)上保證在交易過程中能夠?qū)崿F(xiàn)身份認證、安全傳輸、不可否認性、數(shù)據(jù)完整性。數(shù)字證書認證技術(shù)采用了加密傳輸和數(shù)字簽名，能夠?qū)崿F(xiàn)上述要求，因此在國內(nèi)外電子商務(wù)中，得到了廣泛的應(yīng)用。PKI采用證書進行公鑰管理，通過第三方的可信任機構(gòu)(認證中心，即CA)，把用戶的公鑰和用戶的其他標識信息捆綁在一起，其中包括用戶名和電子郵件地址等信息，以在Internet網(wǎng)上驗證用戶的身份。4/2/202445電子商務(wù)安全(一)第三方認證在電子商務(wù)中，必須從技術(shù)上保證在交易過程中能(二)PKI組成PKI（PublicKeyInfrastructure）即“公鑰基礎(chǔ)設(shè)施”。PKI在實際應(yīng)用上是一套軟硬件系統(tǒng)和安全策略的集合，它提供了一整套安全機制，使用戶在不知道對方身份或分布地很廣的情況下，以證書為基礎(chǔ)，通過一系列的信任關(guān)系進行通信和電子商務(wù)交易。4/2/202446電子商務(wù)安全(二)PKI組成PKI（PublicKeyInfrast(二)PKI組成PKI組成：一個簡單的PKI系統(tǒng)包括證書機構(gòu)CA、注冊機構(gòu)RA和相應(yīng)的PKI存儲庫。其各部分作用如下：CA(CertificateAuthority)用于簽發(fā)并管理證書；RA(RegistrationAuthority)，數(shù)字證書注冊審批機構(gòu)。RA系統(tǒng)是CA的證書發(fā)放、管理的延伸。它負責(zé)證書申請者的信息錄入、審核以及證書發(fā)放等工作(安全審計)。同時，對發(fā)放的證書完成相應(yīng)的管理功能(安全管理)。PKI存儲庫包括LDAP目錄服務(wù)器和普通數(shù)據(jù)庫，用于對用戶申請、證書、密鑰、CRL和日志等信息進行存儲和管理，并提供一定的查詢功能。4/2/202447電子商務(wù)安全(二)PKI組成PKI組成：一個簡單的PKI系統(tǒng)包括證書機構(gòu)(三)證書認證機構(gòu)CA1．數(shù)字證書基礎(chǔ)2．發(fā)行證書的CA簽名3．CA框架模型4．證書的申請和撤消5．證書管理6．密鑰管理7．證書的使用4/2/202448電子商務(wù)安全(三)證書認證機構(gòu)CA1．數(shù)字證書基礎(chǔ)4/1/2024481．數(shù)字證書基礎(chǔ)CA(CertificateAuthority)是數(shù)字證書認證中心的簡稱，是指發(fā)放、管理、廢除數(shù)字證書的機構(gòu)。數(shù)字證書是一個經(jīng)證書授權(quán)中心數(shù)字簽名的包含公開密鑰擁有者信息和公開密鑰的文

件。數(shù)字證書是一種數(shù)字標識，是Internet上的安全護照或身份證明。

4/2/202449電子商務(wù)安全1．數(shù)字證書基礎(chǔ)CA(CertificateAuthor數(shù)字證書的格式

4/2/202450電子商務(wù)安全數(shù)字證書的格式4/1/202450電子商務(wù)安全2．發(fā)行證書的CA簽名證書第二部分包括CA的簽名和用來生成數(shù)字簽名的簽名算法。任何人收到證書后都能使用簽名算法來驗證證書是不是由CA的簽名密鑰簽署的。

4/2/202451電子商務(wù)安全2．發(fā)行證書的CA簽名證書第二部分包括CA的簽名和用來生成3．CA框架模型證書機構(gòu)CA用于創(chuàng)建和發(fā)布證書，它通常為一個稱為安全域(SecuritvDomain)的有限群體發(fā)放證書。創(chuàng)建證書的時候，CA系統(tǒng)首先獲取用戶的請求信息，其中包括用戶公鑰(公鑰一般由用戶端產(chǎn)生，如電子郵件程序或瀏覽器等)，CA將根據(jù)用戶的請求信息產(chǎn)生證書，并用自己的私鑰對證書進行簽名。其他用戶、應(yīng)用程序或?qū)嶓w將使用CA的公鑰對證書進行驗證。如果一個CA系統(tǒng)是可信的，則驗證證書的用戶可以確信，他所驗證的證書中的公鑰屬于證書所代表的那個實體。4/2/202452電子商務(wù)安全3．CA框架模型證書機構(gòu)CA用于創(chuàng)建和發(fā)布證書，它通常為3．CA框架模型CA還負責(zé)維護和發(fā)布證書廢除列表CRL(CertificateRevocationLists，又稱為證書撤銷列表

)。當一個證書，特別是其中的公鑰因為其他原因無效時(不是因為到期)，CRL提供了一種通知用戶和其他應(yīng)用的中心管理方式。CA系統(tǒng)生成CRL以后，要么是放到LDAP(目錄訪問協(xié)議，LightweightDirectoryAccessProtocol

)服務(wù)器中供用戶查詢或下載，要么是放置在Web服務(wù)器的合適位置，以頁面超級鏈接的方式供用戶直接查詢或下載。4/2/202453電子商務(wù)安全3．CA框架模型CA還負責(zé)維護和發(fā)布證書廢除列表CRL(C3．CA框架模型典型CA框架模型4/2/202454電子商務(wù)安全3．CA框架模型典型CA框架模型4/1/202454電子商務(wù)4．證書的申請和撤消證書的申請有兩種方式，一是在線申請，另外一種就是離線申請。在線申請就是通過瀏覽器或其他應(yīng)用系統(tǒng)通過在線的方式來申請證書，這種方式一般用于申請普通用戶證書或測試證書。離線方式一般通過人工的方式直接到證書機構(gòu)證書受理點去辦理證書申請手續(xù)，通過審核后獲取證書，這種方式一般用于比較重要的場合，如服務(wù)器證書和商家證書等。4/2/202455電子商務(wù)安全4．證書的申請和撤消證書的申請有兩種方式，一是在線申請，另4．證書的申請和撤消在線申請步驟如下：用戶使用瀏覽器通過Internet訪問安全服務(wù)器，下載CA的數(shù)字證書(又叫做根證書)，然后注冊機構(gòu)服務(wù)器對用戶進行身份審核，認可后便批準用戶的證書申請，然后操作員對證書申請表進行數(shù)字簽名，并將申請及其簽名一起提交給CA服務(wù)器。CA操作員獲得注冊機構(gòu)服務(wù)器操作員簽發(fā)的證書申請，發(fā)行證書或者拒絕發(fā)行證書，然后將證書通過硬拷貝的方式傳輸給注冊機構(gòu)服