第五章電子商務(wù)網(wǎng)站常用防御方法

第五章電子商務(wù)網(wǎng)站常用防御方法

1/13/20231電子商務(wù)安全

本章主要內(nèi)容：本章主要內(nèi)容：●防火墻(firewall)工作原理●非軍事區(qū)域(dmz)概念●虛擬專用網(wǎng)(vpn)●入侵檢測(cè)系統(tǒng)(ids)●認(rèn)證1/13/20232電子商務(wù)安全

一、防火墻(firewan)(一)防火墻的工作原理所謂防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。防火墻主要有三種類型：包過(guò)濾防火墻、代理服務(wù)器防火墻和應(yīng)用層網(wǎng)關(guān)防火墻。1/13/20233電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾防火墻主要有兩種實(shí)現(xiàn)方式：基于路由器的防火墻和基于獨(dú)立運(yùn)行軟件(如packetfilter)的防火墻。下面主要介紹基于路由器的防火墻。包是網(wǎng)絡(luò)上信息流動(dòng)的單位。每個(gè)包有兩個(gè)部分：數(shù)據(jù)部分和包頭。包頭中含有源地址和目標(biāo)地址的信息。優(yōu)點(diǎn)：透明性好，簡(jiǎn)單易用，費(fèi)用低。缺點(diǎn)：設(shè)置繁多，易留下安全漏洞。1/13/20234電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾路由器防火墻可能遇到的攻擊方式：(1)源ip地址欺騙(2)源路由攻擊(3)微小碎片攻擊包過(guò)濾防火墻

1/13/20235電子商務(wù)安全2．代理服務(wù)器(proxyserver)防火墻在internet網(wǎng)絡(luò)和intranet互連時(shí)，廣泛采用一種稱為代理服務(wù)的工作方式，使internet用戶在訪問(wèn)intranet的同時(shí)，提供的是一種類似網(wǎng)關(guān)的代理服務(wù)器型防火墻。優(yōu)點(diǎn)：代理服務(wù)可提供詳細(xì)的日志(log)和審計(jì)(audit)記錄，提高了網(wǎng)絡(luò)的安全性和可靠性。缺點(diǎn)：不能處理高負(fù)荷通信量，且對(duì)用戶的透明性不好。1/13/20236電子商務(wù)安全3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實(shí)現(xiàn)比包過(guò)濾路由器防火墻更嚴(yán)格的安全策略。應(yīng)用層網(wǎng)關(guān)不使用包過(guò)濾工具來(lái)限制internet服務(wù)進(jìn)出防火墻系統(tǒng)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝專用程序代碼，否則該服務(wù)就不被支持且不能通過(guò)防火墻來(lái)轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的安全性比較高。過(guò)程復(fù)雜、費(fèi)用比較高、透明性差、限制嚴(yán)格，使用帶來(lái)不便。1/13/20237電子商務(wù)安全(二)防火墻規(guī)則集設(shè)計(jì)規(guī)則集的基本過(guò)程：1．拒絕一切未特別允許的連接徹底分析每個(gè)系統(tǒng)和網(wǎng)段確定實(shí)現(xiàn)它們的功能所需要的服務(wù)和連接。2．常見(jiàn)通信的常用端口確定每個(gè)服務(wù)器和網(wǎng)段需要什么端口和協(xié)議。3．將偽代碼轉(zhuǎn)換成防火墻規(guī)則查看手冊(cè)，確定特定的方法和要求。4．協(xié)議和風(fēng)險(xiǎn)：作出最佳決策需要保證只允許了必要的協(xié)議，并且只能用于需要它們的服務(wù)器和網(wǎng)段。1/13/20238電子商務(wù)安全二、非軍事區(qū)域(dmz)(一)dmz的概念(二)非軍事區(qū)域的設(shè)置(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題1/13/20239電子商務(wù)安全(一)dmz的概念dmz(demilitarizedzone)的定義：是指為不信任系統(tǒng)提供服務(wù)的孤立網(wǎng)段，它是兩個(gè)防火墻之間的網(wǎng)段。dmz網(wǎng)段的創(chuàng)建方法通常有兩種。1.兩個(gè)防火墻的dmz

系統(tǒng)放置在有不同規(guī)則的兩個(gè)防火墻之間，這就能允許internet上的系統(tǒng)連接到dmz系統(tǒng)提供的服務(wù)，但不能連接到企業(yè)內(nèi)部網(wǎng)段(通常叫做受保護(hù)網(wǎng)絡(luò))中的電腦。1/13/202310電子商務(wù)安全二、非軍事區(qū)域(dmz)圖示為：兩個(gè)防火墻的dmz1/13/202311電子商務(wù)安全二、非軍事區(qū)域(dmz)2.單個(gè)防火墻的dmz（如上圖）實(shí)現(xiàn)dmz網(wǎng)段的方法是在防火墻上實(shí)際增加第三個(gè)接口，并將dmz系統(tǒng)放置在那個(gè)網(wǎng)段。允許同一個(gè)防火墻管理internet。降低了硬件的花費(fèi)，集中了網(wǎng)絡(luò)的規(guī)則集，使管理和處理問(wèn)題更容易?，F(xiàn)在已成為創(chuàng)建dmz網(wǎng)段的主要方法。1/13/202312電子商務(wù)安全dmz目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問(wèn)服務(wù)的網(wǎng)絡(luò)分離開(kāi)，為網(wǎng)絡(luò)層提供深度的防御。dmz作用：防火墻上的策略和訪問(wèn)控制系統(tǒng)定義限制了通過(guò)dmz的全部通信數(shù)據(jù)。相反，在internet和企業(yè)內(nèi)部網(wǎng)之間的通信數(shù)據(jù)通常是不受限制的。1/13/202313電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置

安全的dmz配置1/13/202314電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置dmz是放置公共信息的最佳位置，把沒(méi)有包含敏感數(shù)據(jù)、擔(dān)當(dāng)代理數(shù)據(jù)訪問(wèn)職責(zé)的主機(jī)放置于dmz中，這樣用戶、潛在用戶和外部訪問(wèn)者都可以直接獲得他們所需的關(guān)于公司的一些信息，而不用通過(guò)內(nèi)部網(wǎng)。企業(yè)的機(jī)密和私人的信息可以安全地存放在內(nèi)部網(wǎng)中，即dmz的后面。1/13/202315電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(dmz)安全網(wǎng)絡(luò)：①載有公共信息的網(wǎng)絡(luò)服務(wù)器。②與電子商務(wù)交易服務(wù)器相連接的前端機(jī)，該前端機(jī)用來(lái)接收客戶訂單。存放客戶資料的后端應(yīng)置于防火墻之后。③把外來(lái)電子郵件中轉(zhuǎn)至內(nèi)部的郵件服務(wù)器。④可據(jù)此進(jìn)入內(nèi)部網(wǎng)絡(luò)的證書服務(wù)及服務(wù)器。⑤虛擬專用網(wǎng)絡(luò)上的各端點(diǎn)。⑥應(yīng)用(層)網(wǎng)關(guān)。⑦測(cè)試及登錄服務(wù)器(根據(jù)系統(tǒng)要求或用戶請(qǐng)求，使數(shù)據(jù)從一個(gè)脫機(jī)或優(yōu)先權(quán)低的設(shè)備返回到一個(gè)聯(lián)機(jī)的或優(yōu)先權(quán)高的設(shè)備的過(guò)程)。1/13/202316電子商務(wù)安全(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)網(wǎng)絡(luò)存儲(chǔ)顧客信息和金融數(shù)據(jù)與存儲(chǔ)商業(yè)處理的普通信息的需求是不同的。很多網(wǎng)站通過(guò)實(shí)現(xiàn)一個(gè)多網(wǎng)段結(jié)構(gòu)來(lái)更好地管理和安全化商業(yè)信息。第一個(gè)網(wǎng)段是用于信息存儲(chǔ)的，第二個(gè)網(wǎng)段則是特別用于商業(yè)信息的處理的。電子商務(wù)系統(tǒng)中dmz的實(shí)現(xiàn)1/13/202317電子商務(wù)安全(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題隨著網(wǎng)站的成長(zhǎng)，要提供新的功能，可能需要建立新的區(qū)。重復(fù)上面的過(guò)程，建立管理這些新網(wǎng)段的規(guī)則集。注意事項(xiàng)：一定要監(jiān)視和檢查任何變動(dòng)，備份舊的規(guī)則集以備緊急的時(shí)候需要回復(fù)過(guò)去。管理原則：創(chuàng)建和管理諸如防火墻、ids入侵檢測(cè)系統(tǒng)（即intrusiondetectionsystem）簽名和用戶訪問(wèn)規(guī)則之類的安全控制是個(gè)很大的任務(wù)，在不損害安全和可用性的前提下要盡可能地簡(jiǎn)化這些過(guò)程。1/13/202318電子商務(wù)安全1/13/202319電子商務(wù)安全三、虛擬專用網(wǎng)(vpn)internetintranet內(nèi)部網(wǎng)信息防火墻vpn1/13/202320電子商務(wù)安全三、虛擬專用網(wǎng)(vpn)虛擬專用網(wǎng)（vpn）目的：通過(guò)internet或其他線路(如私有網(wǎng)絡(luò)和租用的線路等)在公司外地雇員、駐外機(jī)構(gòu)、公司總部及其相關(guān)企業(yè)和組織機(jī)構(gòu)之間建立一個(gè)信息傳輸?shù)陌踩ǖ溃员ＷC所傳輸信息的安全性和完整性，并設(shè)置用戶對(duì)特定資源的訪問(wèn)權(quán)限。1/13/202321電子商務(wù)安全三、虛擬專用網(wǎng)(vpn)(一)技術(shù)(二)ipsec協(xié)議1/13/202322電子商務(wù)安全(一)vpn技術(shù)vpn（virtualprivatenetwork

，即虛擬專用網(wǎng)絡(luò)）概念：通過(guò)一個(gè)公共網(wǎng)絡(luò)(通常是internet)建立一個(gè)臨時(shí)的、安全的與內(nèi)網(wǎng)的連接。作用：①安全連接?？梢詭椭h(yuǎn)程用戶與公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。②成本較低。即大幅度地減少用戶花費(fèi)在wan上和遠(yuǎn)程網(wǎng)絡(luò)連接上的費(fèi)用。③管理方便。使用vpn將簡(jiǎn)化網(wǎng)絡(luò)的設(shè)計(jì)和管理，加速連接新的用戶和網(wǎng)站。④網(wǎng)絡(luò)結(jié)構(gòu)靈活?？梢员Ｗo(hù)現(xiàn)有的網(wǎng)絡(luò)投資。1/13/202323電子商務(wù)安全(一)vpn技術(shù)vpn的功能：

①加密數(shù)據(jù)。以保證通過(guò)公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會(huì)泄露。

②信息認(rèn)證和身份認(rèn)證。保證信息的完整性、合法性，并能鑒別用戶的身份。

③提供訪問(wèn)控制。不同的用戶有不同的訪問(wèn)權(quán)限。

1/13/202324電子商務(wù)安全(一)vpn技術(shù)vpn采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：

①安全隧道技術(shù)(securetunnelingtechnology)。將待傳輸?shù)脑夹畔⒔?jīng)過(guò)加密和協(xié)議封裝處理后再嵌套裝入另一種協(xié)議的數(shù)據(jù)包送人公共網(wǎng)絡(luò)(如internet)中，像普通數(shù)據(jù)包一樣傳輸。經(jīng)過(guò)這樣的處理，只有源端和目標(biāo)端的用戶對(duì)隧道中的嵌套信息能進(jìn)行解釋和處理，其他用戶看到的只是無(wú)意義的信息，就像是在源端和目標(biāo)端的用戶之間建立了一個(gè)安全的信息專用隧道。

1/13/202325電子商務(wù)安全(一)vpn技術(shù)隧道模式的vpn框架

1/13/202326電子商務(wù)安全(一)vpn技術(shù)②用戶認(rèn)證技術(shù)(userauthenticationtechnology)。在隧道連接開(kāi)始之前需要確認(rèn)用戶的身份，以便于系統(tǒng)進(jìn)一步實(shí)施資源訪問(wèn)控制或用戶授權(quán)。③訪問(wèn)控制技術(shù)(accesscontroltechnology)。由vpn服務(wù)的提供者與最終網(wǎng)絡(luò)信息資源的提供者共同確定特定用戶對(duì)特定資源的訪問(wèn)權(quán)限，以此實(shí)現(xiàn)基于用戶訪問(wèn)的訪問(wèn)控制，以實(shí)現(xiàn)對(duì)信息資源的最大限度的保護(hù)。1/13/202327電子商務(wù)安全(一)vpn技術(shù)隧道模式的vpn框架示意圖vpn隧道組成：

①一個(gè)隧道啟動(dòng)器；②一個(gè)路由網(wǎng)絡(luò)(internet)；③一個(gè)可選的隧道交換機(jī)；④一個(gè)或多個(gè)隧道終結(jié)器。1/13/202328電子商務(wù)安全(二)ipsec協(xié)議ipsec主要提供ip網(wǎng)絡(luò)層上的加密通信能力。ipsec組成：(1)ipsecurityprotocolproper，定義ipsec報(bào)文格式。(2)isakmp／oakley，負(fù)責(zé)加密通信協(xié)商。1/13/202329電子商務(wù)安全(二)ipsec協(xié)議ipsec采用的加密通信手段：(1)ipsectunnel：整個(gè)ip封裝在ipsec報(bào)文。提供ipsecgateway之間的通信。(2)ipsectransport：對(duì)ip包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。1/13/202330電子商務(wù)安全四、入侵檢測(cè)系統(tǒng)(ids)

（即intrusiondetectionsystem）(一)入侵檢測(cè)概念(二)基于主機(jī)的ids(三)基于網(wǎng)絡(luò)的ids(四)入侵檢測(cè)技術(shù)發(fā)展方向1/13/202331電子商務(wù)安全(一)入侵檢測(cè)概念概念:通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，以發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象。作用：入侵檢測(cè)是對(duì)防火墻的合理補(bǔ)充，幫助系統(tǒng)對(duì)付網(wǎng)絡(luò)攻擊，擴(kuò)展了系統(tǒng)管理員的安全管理能力(包括安全審計(jì)、監(jiān)視、攻擊識(shí)別和響應(yīng))，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。1/13/202332電子商務(wù)安全(一)入侵檢測(cè)概念主要任務(wù):①監(jiān)視、分析用戶及系統(tǒng)活動(dòng)；②系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)；③識(shí)別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警；④異常行為模式的統(tǒng)計(jì)分析；⑤評(píng)估重要系統(tǒng)和數(shù)據(jù)文件的完整性；⑥操作系統(tǒng)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為。1/13/202333電子商務(wù)安全(二)基于主機(jī)的ids基于主機(jī)的ids主要用于運(yùn)行關(guān)鍵應(yīng)用層的服務(wù)器，它是早期的入侵檢測(cè)系統(tǒng)。主要目標(biāo)：是檢測(cè)主機(jī)系統(tǒng)是否受到外部或內(nèi)部的攻擊以及系統(tǒng)本地用戶是否有濫用或誤用行為。檢測(cè)原理：是根據(jù)系統(tǒng)審計(jì)記錄和系統(tǒng)日志文件、應(yīng)用程序日志、目錄和文件的不期望改變、程序執(zhí)行中的非正常行為等信息來(lái)發(fā)現(xiàn)系統(tǒng)是否存在可疑事件的。1/13/202334電子商務(wù)安全(二)基于主機(jī)的ids基于主機(jī)的ids之優(yōu)點(diǎn)：①基于主機(jī)的ids可以從系統(tǒng)審計(jì)和事件日志中提取攻擊信息，從而判斷本地或遠(yuǎn)程用戶是否做了系統(tǒng)的安全規(guī)則。②基于主機(jī)的ids可以精確地判斷入侵事件，并可對(duì)入侵事件立即進(jìn)行反應(yīng)。③基于主機(jī)的ids還可以針對(duì)不同的操作系統(tǒng)的特點(diǎn)判斷應(yīng)用層的入侵事件。1/13/202335電子商務(wù)安全(二)基于主機(jī)的ids基于主機(jī)的ids之缺點(diǎn)：①占用主機(jī)資源，在服務(wù)器上產(chǎn)生額外的負(fù)載。②缺乏跨平臺(tái)支持，可移植性差，因而應(yīng)用范圍受到嚴(yán)重限制。1/13/202336電子商務(wù)安全(三)基于網(wǎng)絡(luò)的ids網(wǎng)絡(luò)環(huán)境下，單獨(dú)依靠主機(jī)的審計(jì)信息進(jìn)行入侵檢測(cè)難以適應(yīng)網(wǎng)絡(luò)安全的需求。主要表現(xiàn)：①主機(jī)的審計(jì)信息容易受到攻擊，入侵者可通過(guò)使用某些系統(tǒng)特權(quán)或調(diào)用比審計(jì)本身更低級(jí)的操作來(lái)逃避審計(jì)；②不能通過(guò)分析主機(jī)審計(jì)記錄來(lái)檢測(cè)網(wǎng)絡(luò)攻擊(域名欺騙、端口掃描等)；③基于主機(jī)的ids的運(yùn)行或多或少地影響服務(wù)器的性能；④只能對(duì)服務(wù)器的特定用戶和應(yīng)用程序的執(zhí)行動(dòng)作、日志進(jìn)行檢測(cè)，所能檢測(cè)到的攻擊類型有限。1/13/202337電子商務(wù)安全(三)基于網(wǎng)絡(luò)的ids基于網(wǎng)絡(luò)的ids原理：基于網(wǎng)絡(luò)的入侵檢測(cè)ids放置在比較重要的網(wǎng)段內(nèi)，不停地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包。對(duì)每一個(gè)數(shù)據(jù)包或可疑的數(shù)據(jù)包進(jìn)行特征分析。如果數(shù)據(jù)包與產(chǎn)品內(nèi)置的某些規(guī)則吻合，入侵檢測(cè)系統(tǒng)認(rèn)為受到攻擊，就會(huì)發(fā)出通知、警報(bào)甚至直接切斷網(wǎng)絡(luò)連接。基于網(wǎng)絡(luò)的ids位置：基于網(wǎng)絡(luò)的入侵檢測(cè)ids通常放置在防火墻的后面。

1/13/202338電子商務(wù)安全(三)基于網(wǎng)絡(luò)的ids探測(cè)器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路由器或單獨(dú)的主機(jī)上。

1/13/202339電子商務(wù)安全(三)基于網(wǎng)絡(luò)的ids優(yōu)點(diǎn)：

①實(shí)時(shí)性強(qiáng)。通過(guò)實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)包和網(wǎng)絡(luò)管理信息，來(lái)尋找具有網(wǎng)絡(luò)供給特征的活動(dòng)。

②檢測(cè)范圍廣?？梢詸z測(cè)包括協(xié)議攻擊和某些特定攻擊在內(nèi)的各種攻擊。

③監(jiān)視粒度更細(xì)。

④可移植性強(qiáng)?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)通常可以適合多種網(wǎng)絡(luò)環(huán)境。

⑤具有服務(wù)器平臺(tái)獨(dú)立性?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)不會(huì)對(duì)服務(wù)器以及網(wǎng)絡(luò)整體性能造成影響。1/13/202340電子商務(wù)安全(三)基于網(wǎng)絡(luò)的ids基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)存在的缺點(diǎn)：①只能監(jiān)視經(jīng)過(guò)本網(wǎng)段的活動(dòng)，精確度不高。②在交換網(wǎng)絡(luò)環(huán)境下難以配置。③防入侵欺騙的能力較差，難以定位入侵。1/13/202341電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下列幾個(gè)方面：(1)入侵或攻擊的綜合化與復(fù)雜化。(2)入侵主體對(duì)象的間接化，即實(shí)施入侵與攻擊的主體的隱蔽性。(3)人侵或攻擊的規(guī)模擴(kuò)大。(4)入侵或攻擊技術(shù)的分布化。(5)攻擊對(duì)象的轉(zhuǎn)移。1/13/202342電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向三個(gè)方向發(fā)展：(1)分布式入侵檢測(cè)。含義一是針對(duì)分布式網(wǎng)絡(luò)攻擊的檢測(cè)方法；含義二是使用分布式的方法來(lái)檢測(cè)分布式的攻擊。(2)智能化入侵檢測(cè)。使用智能化的方法與手段來(lái)進(jìn)行入侵檢測(cè)。所謂的智能化方法，現(xiàn)階段常用的有神經(jīng)網(wǎng)絡(luò)、遺傳算法、模糊技術(shù)、免疫原理等方法，這些方法常用于入侵特征的辨識(shí)與泛化。利用專家系統(tǒng)的思想來(lái)構(gòu)建入侵檢測(cè)系統(tǒng)也是常用的方法之一。(3)全面的安全防御方案。即使用安全工程風(fēng)險(xiǎn)管理的思想與方法來(lái)處理網(wǎng)絡(luò)安全問(wèn)題，將網(wǎng)絡(luò)安全作為一個(gè)整體工程來(lái)處理。從管理、網(wǎng)絡(luò)結(jié)構(gòu)、加密通道、防火墻、病毒防護(hù)、入侵檢測(cè)等多方位對(duì)所關(guān)注的網(wǎng)絡(luò)作全面的評(píng)估，然后提出可行的解決方案。1/13/202343電子商務(wù)安全五、認(rèn)證(一)第三方認(rèn)證(二)pki組成(三)證書認(rèn)證機(jī)構(gòu)ca1/13/202344電子商務(wù)安全(一)第三方認(rèn)證在電子商務(wù)中，必須從技術(shù)上保證在交易過(guò)程中能夠?qū)崿F(xiàn)身份認(rèn)證、安全傳輸、不可否認(rèn)性、數(shù)據(jù)完整性。數(shù)字證書認(rèn)證技術(shù)采用了加密傳輸和數(shù)字簽名，能夠?qū)崿F(xiàn)上述要求，因此在國(guó)內(nèi)外電子商務(wù)中，得到了廣泛的應(yīng)用。pki采用證書進(jìn)行公鑰管理，通過(guò)第三方的可信任機(jī)構(gòu)(認(rèn)證中心，即ca)，把用戶的公鑰和用戶的其他標(biāo)識(shí)信息捆綁在一起，其中包括用戶名和電子郵件地址等信息，以在internet網(wǎng)上驗(yàn)證用戶的身份。1/13/202345電子商務(wù)安全(二)pki組成pki（publickeyinfrastructure）即“公鑰基礎(chǔ)設(shè)施”。pki在實(shí)際應(yīng)用上是一套軟硬件系統(tǒng)和安全策略的集合，它提供了一整套安全機(jī)制，使用戶在不知道對(duì)方身份或分布地很廣的情況下，以證書為基礎(chǔ)，通過(guò)一系列的信任關(guān)系進(jìn)行通信和電子商務(wù)交易。1/13/202346電子商務(wù)安全(二)pki組成pki組成：一個(gè)簡(jiǎn)單的pki系統(tǒng)包括證書機(jī)構(gòu)ca、注冊(cè)機(jī)構(gòu)ra和相應(yīng)的pki存儲(chǔ)庫(kù)。其各部分作用如下：ca(certificateauthority)用于簽發(fā)并管理證書；ra(registrationauthority)，數(shù)字證書注冊(cè)審批機(jī)構(gòu)。ra系統(tǒng)是ca的證書發(fā)放、管理的延伸。它負(fù)責(zé)證書申請(qǐng)者的信息錄入、審核以及證書發(fā)放等工作(安全審計(jì))。同時(shí)，對(duì)發(fā)放的證書完成相應(yīng)的管理功能(安全管理)。pki存儲(chǔ)庫(kù)包括ldap目錄服務(wù)器和普通數(shù)據(jù)庫(kù)，用于對(duì)用戶申請(qǐng)、證書、密鑰、crl和日志等信息進(jìn)行存儲(chǔ)和管理，并提供一定的查詢功能。1/13/202347電子商務(wù)安全(三)證書認(rèn)證機(jī)構(gòu)ca1．?dāng)?shù)字證書基礎(chǔ)2．發(fā)行證書的ca簽名3．ca框架模型4．證書的申請(qǐng)和撤消5．證書管理6．密鑰管理7．證書的使用1/13/202348電子商務(wù)安全1．?dāng)?shù)字證書基礎(chǔ)ca(certificateauthority)是數(shù)字證書認(rèn)證中心的簡(jiǎn)稱，是指發(fā)放、管理、廢除數(shù)字證書的機(jī)構(gòu)。數(shù)字證書是一個(gè)經(jīng)證書授權(quán)中心數(shù)字簽名的包含公開(kāi)密鑰擁有者信息和公開(kāi)密鑰的文

件。數(shù)字證書是一種數(shù)字標(biāo)識(shí)，是internet上的安全護(hù)照或身份證明。

1/13/202349電子商務(wù)安全數(shù)字證書的格式

1/13/202350電子商務(wù)安全2．發(fā)行證書的ca簽名證書第二部分包括ca的簽名和用來(lái)生成數(shù)字簽名的簽名算法。任何人收到證書后都能使用簽名算法來(lái)驗(yàn)證證書是不是由ca的簽名密鑰簽署的。

1/13/202351電子商務(wù)安全3．ca框架模型證書機(jī)構(gòu)ca用于創(chuàng)建和發(fā)布證書，它通常為一個(gè)稱為安全域(securitvdomain)的有限群體發(fā)放證書。創(chuàng)建證書的時(shí)候，ca系統(tǒng)首先獲取用戶的請(qǐng)求信息，其中包括用戶公鑰(公鑰一般由用戶端產(chǎn)生，如電子郵件程序或?yàn)g覽器等)，ca將根據(jù)用戶的請(qǐng)求信息產(chǎn)生證書，并用自己的私鑰對(duì)證書進(jìn)行簽名。其他用戶、應(yīng)用程序或?qū)嶓w將使用ca的公鑰對(duì)證書進(jìn)行驗(yàn)證。如果一個(gè)ca系統(tǒng)是可信的，則驗(yàn)證證書的用戶可以確信，他所驗(yàn)證的證書中的公鑰屬于證書所代表的那個(gè)實(shí)體。1/13/202352電子商務(wù)安全3．ca框架模型ca還負(fù)責(zé)維護(hù)和發(fā)布證書廢除列表crl(certificaterevocationlists，又稱為證書撤銷列表

)。當(dāng)一個(gè)證書，特別是其中的公鑰因?yàn)槠渌驘o(wú)效時(shí)(不是因?yàn)榈狡?，crl提供了一種通知用戶和其他應(yīng)用的中心管理方式。ca系統(tǒng)生成crl以后，要么是放到ldap(目錄訪問(wèn)協(xié)議，lightweightdirectoryaccessprotocol

)服務(wù)器中供用戶查詢或下載，要么是放置在web服務(wù)器的合適位置，以頁(yè)面超級(jí)鏈接的方式供用戶直接查詢或下載。1/13/202353電子商務(wù)安全3．ca框架模型典型ca框架模型1/13/202354電子商務(wù)安全4．證書的申請(qǐng)和撤消證書的申請(qǐng)有兩種方式，一是在線申請(qǐng)，另外一種就是離線申請(qǐng)。在線申請(qǐng)就是通過(guò)瀏覽器或其他應(yīng)用系統(tǒng)通過(guò)在線的方式來(lái)申請(qǐng)證書，這種方式一般用于申請(qǐng)普通用戶證書或測(cè)試證書。離線方式一般通過(guò)人工的方式直接到證書機(jī)構(gòu)證書受理點(diǎn)去辦理證書申請(qǐng)手續(xù)，通過(guò)審核后獲取證書，這種方式一般用于比較重要的場(chǎng)合，如服務(wù)器證書和商家證書等。1/13/202355電子商務(wù)安全4．證書的申請(qǐng)和撤消在線申請(qǐng)步驟如下：用戶使用瀏覽器通過(guò)internet訪問(wèn)安全服務(wù)器，下載ca的數(shù)字證書(又叫做根證書)，然后注冊(cè)機(jī)構(gòu)服務(wù)器對(duì)用戶進(jìn)行身份審核，認(rèn)可后便批準(zhǔn)用戶的證書申請(qǐng)，然后操作員對(duì)證書申請(qǐng)表進(jìn)行數(shù)字簽名，并將申請(qǐng)及其簽名一起提交給ca服務(wù)器。ca操作員獲得注冊(cè)機(jī)構(gòu)服務(wù)器操作員簽發(fā)的證書申請(qǐng)，發(fā)行證書或者拒絕發(fā)行證書，然后將證書通過(guò)硬拷貝的方式傳輸給注冊(cè)機(jī)構(gòu)服務(wù)器。注冊(cè)機(jī)構(gòu)服務(wù)器得到用戶的證書以后將用戶的