第二章 電子商務(wù)安全技術(shù)

第二章電子商務(wù)安全技術(shù)第1頁，課件共45頁，創(chuàng)作于2023年2月內(nèi)容提要網(wǎng)絡(luò)安全概述信息安全概述公開密鑰體系結(jié)構(gòu)網(wǎng)絡(luò)安全技術(shù)1234第2頁，課件共45頁，創(chuàng)作于2023年2月2.1網(wǎng)絡(luò)安全概述電子商務(wù)的安全技術(shù)，蘊(yùn)含于網(wǎng)絡(luò)安全應(yīng)用的各個方面，其目的是保證整個電子商務(wù)系統(tǒng)安全、有效地運(yùn)行。然而，因特網(wǎng)本身的開放性、跨國界、無主管、不設(shè)防、無法律約束等特性，在給人們帶來巨大便利的同時，也帶來了一些不容忽視的問題。由于網(wǎng)絡(luò)安全漏洞，導(dǎo)致敏感信息泄漏、信息篡改、數(shù)據(jù)破壞、惡意信息發(fā)布、計算機(jī)病毒發(fā)作等現(xiàn)象屢見不鮮，由此造成的經(jīng)濟(jì)損失和社會不良影響難以估計。第3頁，課件共45頁，創(chuàng)作于2023年2月2.1.1網(wǎng)絡(luò)安全的含義從內(nèi)容看網(wǎng)絡(luò)安全大致包括4個方面:網(wǎng)絡(luò)安全實(shí)體軟件安全數(shù)據(jù)安全安全管理從特征看網(wǎng)絡(luò)安全包括5個基本要素:機(jī)密性完整性可用性可控性可審查性第4頁，課件共45頁，創(chuàng)作于2023年2月2.1.2影響網(wǎng)絡(luò)安全的因素網(wǎng)絡(luò)系統(tǒng)自身的脆弱性硬件系統(tǒng)軟件系統(tǒng)網(wǎng)絡(luò)和通信協(xié)議缺乏用戶身份鑒別機(jī)制缺乏路由協(xié)議鑒別認(rèn)證機(jī)制缺乏保密性TCP/UDP的缺陷TCP/IP服務(wù)的脆弱性第5頁，課件共45頁，創(chuàng)作于2023年2月2.1.2影響網(wǎng)絡(luò)安全的因素(續(xù))安全威脅基本威脅信息泄露完整性破壞服務(wù)拒絕未授權(quán)訪問威脅網(wǎng)絡(luò)安全的主要方法假冒旁路控制破壞系統(tǒng)的完整性破壞系統(tǒng)的可用性重放陷門木馬抵賴威脅和攻擊的來源內(nèi)部操作不當(dāng)內(nèi)部管理漏洞來自外部的威脅和犯罪第6頁，課件共45頁，創(chuàng)作于2023年2月2.1.3網(wǎng)絡(luò)安全模型網(wǎng)絡(luò)安全的基本模型第7頁，課件共45頁，創(chuàng)作于2023年2月2.1.3網(wǎng)絡(luò)安全模型(續(xù))網(wǎng)絡(luò)安全訪問模型第8頁，課件共45頁，創(chuàng)作于2023年2月保密性物理保密防竊聽防輻射信息加密身份驗(yàn)證完整性良好的協(xié)議密碼校驗(yàn)和數(shù)字簽名公證不可抵賴性訪問控制可用性身份的識別與確認(rèn)訪問控制業(yè)務(wù)流控制路由選擇控制審計跟蹤2.1.4網(wǎng)絡(luò)安全服務(wù)第9頁，課件共45頁，創(chuàng)作于2023年2月2.1.5基本安全技術(shù)防火墻(Firewall)加密(Encryption)身份認(rèn)證(Authentication)數(shù)字簽名(DigitalSignature)內(nèi)容檢查(ContentInspection)第10頁，課件共45頁，創(chuàng)作于2023年2月2.2信息安全技術(shù)2.2.1密碼技術(shù)加密是一種通過使信息變得混亂的方式，從而使未經(jīng)授權(quán)的人無法訪問，而被授權(quán)的人卻可以訪問的信息安全技術(shù)。通過使用加密，我們可以提供六種安全服務(wù)中的三種服務(wù)：保密性——加密可以用于對未經(jīng)授權(quán)的人隱藏傳輸中的信息和存儲的信息完整性——加密可以用于識別對信息做出的更改，無論是傳輸中的信息還是存儲的信息不可抵賴性——加密用于認(rèn)證信息的來源驗(yàn)證并用于防止原始信息的來源被篡改第11頁，課件共45頁，創(chuàng)作于2023年2月對稱密碼技術(shù)對稱密碼系統(tǒng)模型分組密碼技術(shù)數(shù)據(jù)加密標(biāo)準(zhǔn)DES三重DES流密碼技術(shù)A5RC-4PKZIP第12頁，課件共45頁，創(chuàng)作于2023年2月公鑰密碼技術(shù)Diffie-Hellman密鑰交換RSA算法橢圓曲線密碼算法第13頁，課件共45頁，創(chuàng)作于2023年2月2.2.2報文鑒別技術(shù)報文加密:以整個消息的密文作為它的鑒別碼報文鑒別碼(MAC):以一個報文的公共函數(shù)和一個密鑰作用于報文，產(chǎn)生一個數(shù)據(jù)分組，即報文鑒別碼，并將其附加在報文中散列函數(shù):一個將任意長度的報文映射為定長的散列值的公共函數(shù)，以散列值作為驗(yàn)證碼第14頁，課件共45頁，創(chuàng)作于2023年2月2.2.3數(shù)字簽名數(shù)字簽名具有以下性質(zhì):必須能夠證實(shí)是作者本人的簽名以及簽名的日期和時間在簽名時必須能對內(nèi)容進(jìn)行鑒別簽名必須能被第三方證實(shí)以便解決爭端第15頁，課件共45頁，創(chuàng)作于2023年2月數(shù)字簽名分類RSA簽名體制數(shù)字簽名標(biāo)準(zhǔn)不可否認(rèn)簽名防失敗簽名盲簽名群簽名第16頁，課件共45頁，創(chuàng)作于2023年2月2.3公開密鑰體系結(jié)構(gòu)(PublicKeyInfrastructure,PKI)PKI包含:安全策略，以規(guī)定加密系統(tǒng)在何種規(guī)則下運(yùn)行產(chǎn)生、存儲、管理密鑰的產(chǎn)品怎樣產(chǎn)生、分發(fā)、使用密鑰和證書的一套過程PKI為電子商務(wù)提供了4個主要的安全功能:保密性——保證信息的私有性完整性——保證信息沒有被篡改真實(shí)性——證明一個人或一個應(yīng)用的身份不可否認(rèn)性——保證信息不能被否認(rèn)第17頁，課件共45頁，創(chuàng)作于2023年2月2.3.1PIK的定義PKI是一種遵循標(biāo)準(zhǔn)的利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎(chǔ)設(shè)施。公鑰基礎(chǔ)設(shè)施希望從技術(shù)上解決網(wǎng)上身份證、電子信息的完整性和不可抵賴性等安全問題，為網(wǎng)絡(luò)應(yīng)用（如瀏覽器、電子郵件、電子交易）提供可靠的安全服務(wù)。PKI是遵循標(biāo)準(zhǔn)的密鑰管理平臺，所以它能為所有網(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)字簽名等密碼服務(wù)所需要的密鑰和證書管理。第18頁，課件共45頁，創(chuàng)作于2023年2月2.3.2PKI的內(nèi)容認(rèn)證中心CA注冊中心RA證書發(fā)布庫密鑰備份及恢復(fù)證書撤銷PKI應(yīng)用接口第19頁，課件共45頁，創(chuàng)作于2023年2月2.3.3PKI服務(wù)認(rèn)證完整性保密性不可否認(rèn)性安全時間戳安全公證第20頁，課件共45頁，創(chuàng)作于2023年2月2.4網(wǎng)絡(luò)安全技術(shù)2.4.1防火墻技術(shù)網(wǎng)絡(luò)防火墻技術(shù)是一種用來加強(qiáng)網(wǎng)絡(luò)之間訪問控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)，訪問內(nèi)部網(wǎng)絡(luò)資源，保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備，它對兩個或多個網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包如鏈接方式按照一定的安全策略來實(shí)施檢查，以決定網(wǎng)絡(luò)之間的通信是否被允許，并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)。第21頁，課件共45頁，創(chuàng)作于2023年2月防火墻概述防火墻的一般模型第22頁，課件共45頁，創(chuàng)作于2023年2月分組過濾分組過濾(PacketFiltering)作用于網(wǎng)絡(luò)層和傳輸層，它根據(jù)分組包頭源地址，目的地址和端口號、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端，其余數(shù)據(jù)包則從數(shù)據(jù)流中被丟棄。第23頁，課件共45頁，創(chuàng)作于2023年2月分組過濾(續(xù))優(yōu)點(diǎn)透明的防火墻系統(tǒng)高速的網(wǎng)絡(luò)性能易于配置支持網(wǎng)絡(luò)內(nèi)部隱藏缺點(diǎn)易于IP地址假冒記錄日志信息不充分源路易受攻擊設(shè)計和配置一個真正安全的分組過濾規(guī)則比較困難分組過濾防火墻并不能過濾所有的協(xié)議無法阻止數(shù)據(jù)驅(qū)動式攻擊第24頁，課件共45頁，創(chuàng)作于2023年2月應(yīng)用代理應(yīng)用代理(ApplicationProxy)也叫應(yīng)用網(wǎng)關(guān)(ApplicationGateway)，它作用于應(yīng)用層，其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流。實(shí)際中的應(yīng)用網(wǎng)關(guān)通常由專用工作站實(shí)現(xiàn)。第25頁，課件共45頁，創(chuàng)作于2023年2月應(yīng)用代理(續(xù))優(yōu)點(diǎn)在網(wǎng)絡(luò)連接建立之前可以對用戶身份進(jìn)行認(rèn)證所有通過防火墻的信息流可以被記錄下來易于配置支持內(nèi)部網(wǎng)絡(luò)的信息隱藏與分組過濾規(guī)則相比較為簡單易于控制和管理缺點(diǎn)對每種類型的服務(wù)都需要一個代理網(wǎng)絡(luò)性能不高源路易受攻擊防火墻對用戶不透明客戶應(yīng)用可能需要修改需要多個防火墻主機(jī)第26頁，課件共45頁，創(chuàng)作于2023年2月電路中繼電路中繼(CircuitRelay)也叫電路網(wǎng)關(guān)(CircuitGateway)或TCP代理(TCPProxy)，其工作原理與應(yīng)用代理類似，不同之處是該代理程序是專門為傳輸層的TCP協(xié)議編制的。電路中繼工作在OSI（開發(fā)系統(tǒng)互聯(lián)）參考模型的會話層或TCP/IP協(xié)議模型的傳輸層。電路中繼服務(wù)器常常提供網(wǎng)絡(luò)地址翻譯，將通過一臺網(wǎng)絡(luò)主機(jī)將內(nèi)部網(wǎng)絡(luò)主機(jī)的包進(jìn)行修改，這樣，修改后的包就能夠通過Internet發(fā)出去了。第27頁，課件共45頁，創(chuàng)作于2023年2月包過濾路由器包過濾流程圖第28頁，課件共45頁，創(chuàng)作于2023年2月防火墻系統(tǒng)模型篩選路由器模型單宿主堡壘主機(jī)模型雙宿主堡壘主機(jī)模型屏蔽子網(wǎng)模型第29頁，課件共45頁，創(chuàng)作于2023年2月防火墻的局限性防火墻不能防范網(wǎng)絡(luò)內(nèi)部的攻擊防火墻也不能防范沒有防范心理的管理員授予其些入侵者臨時的網(wǎng)絡(luò)訪問權(quán)限防火墻不能防止傳送已感染病毒的軟件或文件，不能期望防火墻去對每一個文件進(jìn)行掃描，查出潛在的病毒第30頁，課件共45頁，創(chuàng)作于2023年2月防火墻應(yīng)用的發(fā)展趨勢防火墻將從目前對子網(wǎng)或內(nèi)部網(wǎng)管理方式向遠(yuǎn)程網(wǎng)上集中管理方式轉(zhuǎn)變過濾深度不斷加強(qiáng)，從目前的地址、服務(wù)過濾，發(fā)展到URL過濾，關(guān)鍵字過濾和對ActiveX、JavaApplet等服務(wù)的過濾，并逐漸具有病毒掃除功能利用防火墻建立專用網(wǎng)單向防火墻將作為一種產(chǎn)品門類而出現(xiàn)對網(wǎng)絡(luò)攻擊的檢測和示警將成為防火墻的重要功能安全管理工具不斷完善，特別是可疑活動的日志分析工具將成為防火墻產(chǎn)品中的一個重要組成部分第31頁，課件共45頁，創(chuàng)作于2023年2月2.4.2VPN技術(shù)隨著全球化步伐的加快，移動辦公人員越來越多，公司客戶關(guān)系越來越龐大，這樣的方案必然導(dǎo)致高昂的長途線路租用費(fèi)及長途電話費(fèi)。于是，虛擬專用網(wǎng)VPN(VirtualPrivateNetwork)的概念與市場隨之出現(xiàn)。第32頁，課件共45頁，創(chuàng)作于2023年2月VPN概述VPN被定義為通過一個公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。VPN作為一種組網(wǎng)技術(shù)的概念，有3種應(yīng)用方式：遠(yuǎn)程訪問虛擬專用網(wǎng)(AccessVPN)、企業(yè)內(nèi)部虛擬專用網(wǎng)(IntranetVPN)、擴(kuò)展的企業(yè)內(nèi)部虛擬專用網(wǎng)(ExtranetVPN)。目前，VPN主要采用四種技術(shù)來保證安全。這四種技術(shù)分別是隧道技術(shù)、加解密技術(shù)、密鑰管理技術(shù)、使用者與設(shè)備身份認(rèn)證技術(shù)。其中，隧道技術(shù)是VPN的基本技術(shù)。第33頁，課件共45頁，創(chuàng)作于2023年2月VPN的解決方案隧道技術(shù)虛擬電路SOCKSv5IPSec第34頁，課件共45頁，創(chuàng)作于2023年2月2.4.3計算機(jī)病毒美國計算機(jī)研究專家F.Cohen博士最早提出了“計算機(jī)病毒”的概念。計算機(jī)病毒是一段人為編制的計算機(jī)程序代碼。這段代碼一旦進(jìn)入計算機(jī)并得以執(zhí)行，它就會搜尋其他符合其傳染條件的程序或存儲介質(zhì)，確定目標(biāo)后再將自身代碼插入其中，達(dá)到自我繁殖的目的。1994年2月18日《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》第二十八條規(guī)定：計算機(jī)病毒，是指編制或者在計算機(jī)程序中插入的破壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制的一組計算機(jī)指令或者程序代碼。以上是我國司法部門對電腦病毒的法律解釋，司法部門憑該解釋所賦予的法律要件，就可以逮捕病毒制作和散播者。目前，我國仍然沿用此條例，沒有新的修訂。第35頁，課件共45頁，創(chuàng)作于2023年2月病毒的發(fā)展階段原始病毒階段混合型病毒階段多態(tài)性病毒階段網(wǎng)絡(luò)病毒階段主動攻擊階段手機(jī)病毒階段第36頁，課件共45頁，創(chuàng)作于2023年2月病毒的特征非授權(quán)可執(zhí)行性隱蔽性傳染性潛伏性表現(xiàn)性(破壞性)可觸發(fā)性第37頁，課件共45頁，創(chuàng)作于2023年2月病毒的分類宏病毒(MacroVirus)引導(dǎo)型病毒(BootStrapSectorVirus)傳統(tǒng)引導(dǎo)型病毒隱型引導(dǎo)型病毒目錄型引導(dǎo)病毒文件型病毒(FileInfectorVirus)非常駐型病毒常駐型病毒隱型文件型病毒復(fù)合型病毒(Multi-PartiteVirus)第38頁，課件共45頁，創(chuàng)作于2023年2月病毒的結(jié)構(gòu)病毒的一般結(jié)構(gòu)第39頁，課件共45頁，創(chuàng)作于2023年2月病毒的工作機(jī)理病毒的引導(dǎo)機(jī)理病毒的傳播機(jī)理病毒的破壞表現(xiàn)機(jī)理第40頁，課件共45頁，創(chuàng)作于2023年2月病毒產(chǎn)生的原因一些計算機(jī)愛好者出于好奇或興趣，也有的是為了滿足自己的表現(xiàn)欲來源于軟件加密產(chǎn)生于游戲用于研究或?qū)嶒?yàn)而設(shè)計的“有用”程序，由于某種原因失去控制而擴(kuò)散出來由于政治、經(jīng)濟(jì)和軍事等特殊目的第41頁，課件共45頁，創(chuàng)作于2023年2月病毒的傳播途徑通過軟盤、U盤、光盤、移動硬盤等移動存儲設(shè)備傳染，大量的移動存儲設(shè)備的使用，是造成病毒傳染并泛濫蔓延的溫床通過點(diǎn)對點(diǎn)通信系統(tǒng)和無線信道傳播通過網(wǎng)絡(luò)傳染，這種傳播擴(kuò)散的速度很快，能在短時間內(nèi)使網(wǎng)絡(luò)上的機(jī)器受到感染第42頁，課件共45頁，創(chuàng)作于2023年2月病毒的危害破壞文件或數(shù)據(jù)，造成用戶數(shù)據(jù)丟失或損毀搶占系統(tǒng)網(wǎng)絡(luò)資源，造成網(wǎng)絡(luò)阻塞或系統(tǒng)癱瘓破壞操作系統(tǒng)等軟件或計算機(jī)主板等硬件，造成計算機(jī)無法啟動第43頁