chp3电子商务安全技术系统.ppt

,WELCOMETOINTRODUCTIONOFELECTRONICBUSINESS第三章电子商务的安全技术系统,YangzhouUniversityCollegeofManagement,第三章电子商务的安全技术系统3.1电子商务的安全问题3.2电子商务的安全技术信息加密技术认证技术安全技术协议防火墙技术,案例,国外2000年2月7日9日，Yahoo,ebay,Amazon等著名网站被黑客攻击，直接和间接损失10亿美元。国内2000年春天，有人利用普通的技术，从电子商务网站窃取到8万个信用卡号和密码，标价26万元出售。中国首例网络攻击案。8848向百度索赔1500万元。8848：店门口被堵死了。8848称，2005年1月21日下午至1月22日晚，百度公司采用分布式拒绝服务攻击(通称为DDOS攻击)手段，借助几千家百度搜索联盟网站的巨大访问量,集中攻击8848的服务器，使其瘫痪，无法被正常访问。,用户认为目前网上交易存在的最大问题统计日期2000.72001.12001.72002.12002.72003.12003.7产品质量、售后服务及厂商信用得不到保障28.3%32.0%33.0%30.2%36.9%39.3%40.0%安全性得不到保障31.8%31.2%33.4%31.0%22.1%23.4%25.1%价格不够诱人7.7%7.4%6.6%6.3%11.1%10.8%10.3%付款不方便13.3%12.6%11.5%11.8%13.0%10.8%9.9%资料来源：根据CNNIC中国互联网络发展状况统计报告（2000.7-2003.7）整理,CNNIC调查结果,电子商务面临的安全性挑战,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,信息丢失、篡改、销毁,后门、隐蔽通道,蠕虫,3.1电子商务的安全问题,3.1.1电子商务面临的安全隐患系统中断破坏系统的有效性窃听信息破坏系统的机密性篡改信息破坏系统的完整性伪造信息破坏系统的真实性对交易行为进行抵赖要求系统具备审查能力安全隐患的类型物理安全问题网络安全问题数据的安全性对交易不同方表现的不同安全问题,1卖方面临的问题(1)中央系统安全性被破坏(2)竞争对手检索商品递送状况(3)被他人假冒而损害公司的信誉(4)买方提交订单后不付款(5)获取他人的机密数据,2买方面临的问题(1)付款后不能收到商品(2)机密性丧失(3)拒绝服务,3信息传输问题(1)冒名偷窃(2)篡改数据(3)信息丢失(4)信息传递过程中的破坏(5)虚假信息,4信用问题(1)来自买方的信用问题(2)来自卖方的信用风险(3)买卖双方都存在抵赖的情况,3.1.2电子安全交易的基本要求,信息的保密性信息的完整性交易者身份的真实性不可抵赖性系统的可靠性交易的及时性,信息传输的保密性,信息的保密性是指信息在传输过程或存储中不被他人窃取,交易文件的完整性,防止非法窜改和破坏网站上的信息收到的信息与发送的信息完全一样,信息的不可否认性,发送方不能否认已发送的信息接收方不能否认已收到的信息,交易者身份的真实性,交易者身份的真实性是指交易双方确实是存在的不是假冒的,电子商务安全的攻与防,信息窃取,信息传递,信息冒充,信息篡改,信息抵赖,加密技术,完整性技术,认证技术,数字签名,3.1.3电子商务安全体系,信息系统安全层次模型,1电子商务系统硬件安全2电子商务系统软件安全3电子商务系统运行安全4电子商务安全立法,1保密制度绝密级：网址、密码不在因特网上公开，只限高层管理人员掌握机密级：只限公司中层管理人员以上使用秘密级：在因特网上公开，供消费者浏览，但必须防止黑客侵入,2网络系统的日常维护制度（1）硬件的日常管理和维护（2）软件的日常维护和管理（3）数据备份制度。（4）用户管理,3.1.4电子商务的安全管理,3病毒防范制度（1）给电脑安装防病毒软件（2）不打开陌生电子邮件（3）认真执行病毒定期清理制度（4）控制权限（5）高度警惕网络陷阱,4应急措施（1）瞬时复制技术（2）远程磁盘镜像技术（3）数据库恢复技术,5浏览器安全设置（1）管理Cookie的技巧（2）禁用或限制使用Java、Java小程序脚本ActiveX控件和插件（3）调整自动完成功能的设置,3.2电子商务的安全技术,信息加密技术对称式密钥加密技术、公开密钥加密技术认证技术数字信封、数字摘要、数字签名、数字时间戳、数字证书、身份认证安全技术协议安全超文本传输协议S-HTTP安全因特网电子邮件扩充协议S-MIME安全套接层协议SSL安全交易技术协议STT安全电子交易协议SET公开密钥体制PKIX.509标准防火墙技术包过滤路由器、应用层网关、电路层网关,部分告之：在网上交易中将最关键的数据略去，再告之。另行确认：交易后，用电子邮件对交易进行确认。在线服务：用企业提供的内部网来提供联机服务。,早期曾采用过的方法,3.2.1数据加密技术,1.数据加密技术的基本概念明文（Plaintext）:人们将可懂的文本称为明文。密文（Ciphertext）：将明文变换成的不可懂形式的文本称为密文。加密（Encipher）:把明文变换成密文的过程。解密（Decipher）:其逆过程把密文变换成明文的过程。密钥（Keyword）:用于加解密的一些特殊信息，它是控制明文与密文之间变换的关键，它可以是数字、词汇或语句。密钥分为加密密钥（EncryptionKey）和解密密钥（DecryptionKey）。密码体制（CipherSystem）:完成加密和解密的算法。对称式密钥加密技术：密码体制所用的加密密钥和解密密钥相同。非对称式密钥加密技术：密码体制所用的加密密钥和解密密钥不同。即：公开密钥加密技术。,加密运算,实际上加密就是含有一个参数k的变换，即CEk(m)其中:m是信息，也叫做明文，C是密文，Ek是含有参数k的变换，参数k叫做密钥。在不掌握密钥时，第三者纵然截获了密文C，仍无法获得明文m。通过公共信道的信息不是m本身，而是它的密文C。,解密运算,E是加密运算，D是解密运算。发信方在传输明文前，需先将m加密成密文CEk(m)收信方收到密文后，通过解密获得明文m，即m=Dk(C),2.数据加密、解密基本过程,3.加密技术的分类,散列编码（Hashing）对称式密钥加密技术（SymmetricCryptography）公开密钥加密技术（AsymmetricCryptography）,散列就是通过把一个叫做散列算法的单向数学函数应用于数据，将任意长度的一块数据转换为一个定长的、不可逆转的数字。散列算法是单向函数，即无法根据散列值得到原消息。如果散列算法设计得好，由两个不同消息计算得出同一散列值（即引起冲突）的概率是极小的。散列值相当于消息的指纹，因为它对每条消息都是唯一的。,（1）散列编码,常用的单向散列函数：MD5:MD5是由RonRivest设计的可产生一个128位的散列值的散列算法。MD5设计经过优化以用于Intel处理器。这种算法的基本原理已经公开。SHA-1:Hash编码法（SecureHashAlgorithm，SHA）,安全散列算法1(SHA-1)是由美国国家安全署(UnitedStatesNationalSecurityAgency,NSA)设计的，并由NIST将其收录到FIPS中，作为散列数据的标准。它可产生一个160位的散列值。SHA-1是流行的用于创建数字签名的单向散列算法。,（2）对称式密钥加密技术,加密,明文,密文,密钥,对称加密,对称式密钥加密技术的优缺点优点：加密速度快、信息保密高缺点：密钥是保密通信安全问题。多人通信时密钥的数量太多，使密钥分发更加复杂化。通信双方必须统一密钥，才能发送保密的信息。如果发信者与收信人是素不相识的，这就无法向对方发送秘密信息了。,对称式加密算法DES（DataEncryptionStrandard）算法DES即数据加密标准，综合运用了置换、代替、代数多种密码技术。把信息分成64位大小的块，使用56位密钥，迭代轮数为16轮的加密算法。IDEA（InternationalDataEncryptionAlgorithm）算法IDEA是一种国际信息加密算法，是一个分组大小为64位，密钥为128位。迭代数为8轮的迭代型密码体制。,（3）非对称密钥密码体系,公钥密码体制的概念是由迪弗尔（Diffre）和赫尔曼（Hellmen）于1976年首次提出的。公开密钥加密技术要求密钥成对使用，即加密和解密分别由两个密钥来实现。每个用户都有一对选定的密钥，一个可以公开，即公共密钥，用于加密。另一个由用户安全拥有，即秘密密钥，用于解密。,非对称加密,三种常用的公钥算法：RSA-适用于数字签名和密钥交换。Rivest-Shamir-Adleman(RSA)加密算法是目前应用最广泛的公钥加密算法，特别适用于通过Internet传送的数据。DSA-仅适用于数字签名。(DigitalSignatureAlgorithm,DSA)。Diffie-Hellman仅适用于密钥交换。Diffie-Hellman是发明的第一个公钥算法，以其发明者WhitfieldDiffie和MartinHellman的名字命名。,公开密钥加密技术的优缺点优点：*密钥少便于管理。网络中的每一用户只需保存自己的解密密钥，n个用户仅需产生n对密钥。*密钥分配简单。加密密钥分发给其它用户，而解密密钥则由用户自己保管。*不需要秘密的通道和复杂的协议来传送密钥。*可以实现数字签名和数字鉴别。缺点：加解密速度慢。,加密算法RSA加密算法,它是第一个成熟的，迄今为止理论上最为成功的公开密钥密码体制。它的安全性基于数论中的Euler定理和计算复杂性理论中的下述诊断：求两个大素数的乘积是容易的，但要分解两个大素数的乘积，求出它们的素因子则是非常困难的。RSA算法依据著名的欧拉定理：根据现在已知的结果，因子分解n的复杂性为：若n为200位10进制数，则用每秒107次运算的超高速计算机，也要108年才能得到计算结果,目前为止还没有出现新的攻击RSA的算法。RSA对称算法，两个密钥是两个很大的质数，用其中一个质数与原信息相乘，对信息加密；而用另一个质数与收到的信息相乘来解密。但不能用其中一个质数求出另一个质数。,1977年麻省理工学院的三位教授（Rivest、Shamir和Adleman）发明了RSA公开密钥密码系统。RSA的算法如下：选取两个足够大的质数P和Q；计算P和Q相乘所产生的乘积nPQ；找出一个小于n的数e，使其符合与（P1）（Q1）互为质数；另找一个数d，使其满足（ed）MOD（P1）（Ql）1其中MOD（模）为相除取余；(n，e)即为公钥；（n，d）为私钥。加密和解密的运算方式为：明文MCd（MODn）密文CMe（MODn）假定P3，Q11，则n=PQ33，选择e=3，因为3和20没有公共因子。（3d）MOD（20）1，得出d7。从而得到（33，3）为公钥；（33，7）为私钥。加密过程为将明文M的3次方模33得到密文C，解密过程为将密文C的7次方模33得到明文。下表显示了非对称加密和解密的过程。,3.2.2认证技术,数字信封（DigitalEnvelop）数字摘要（DigitalDigest）数字签名(DigitalSignature)数字时间戳(DigitalTimeStamp)数字证书(DigitalCertificate)身份认证(IDCertificate),电子商务中必须解决两个问题（1）身份认证（2）交易的不可抵赖解决方法证书：所有参与电子商务活动的实体，必须用证书来表明自己的身份。证书一方面用来向系统中的其他实体证明自己的身份。另一方面由于身份证书都携带着证书持有者的公钥。证书也可以向接受者证实某人或某个机构对公开密钥的拥有，同时也起着公钥分发的作用。CA认证体系RA（ReleaseAuditing）:证书发放审核部门CP(CertificatePerform)：证书发放的执行部门RS(Releasee)：证书受理者CRL(CertificateRepealList)：证书作废表/黑名单CA(CertificateAuthrity):认证中心,1.基本概念,电子商务采用以下几种安全技术来解决电子商务应用中遇到的各种问题:采用数字信封技术保证数据的传输安全。采用数字签名技术进行身份认证,并同时保证数据的完整性、完成交易防抵赖。采用口令字技术或公开密钥技术进行身份认证。,2.基本认证技术,(1)数字信封DigitalEnvelop,数据信封是采用双重加密技术来保证只有规定的接收者才能阅读到信中的内容。它实际上是先采用对称加密技术对信息加密，然后将对称加密密钥用接收者的公开密钥进行加密，并将这两者一起发送给接收者。接收者先用相应的私有密钥解密，即打开数字信封，得到对称加密密钥，然后再用对称密钥解开收到的信息。,(2)数字摘要DigitalDigest,数字摘要技术是采用安全Hash编码法（SecureHashAlgorithm，SHA）对明文中若干重要元素进行某种交换运算得到一串128bit的密文，这串密文也称为数字指纹FingerPrint，又称信息鉴别码（MAC，MessageAuthenticatorCode）。它有固定的长度，且不同的明文摘要成的密文是不同的。生成数字摘要是单向算法，不能被解密。不同的消息其摘要不同，相同消息其摘要相同，因此摘要成为消息的“指纹”，以验证消息是否是“真身”。发送端将消息和摘要一同发送。接收端收到后，用Hash函数对收到的消息产生一个摘要，与收到的摘要对比。若相同，则说明收到的消息是完整的，在传输过程中没有被修改；否则，就是被修改过，不是原消息，方法解决了信息的完整性问题。,(3)数字签名DigitalSignature,数字签名是发送方用自己的私用密钥对数字摘要进行加密来形成，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。数字签名主要有3种应用广泛的方法：RSA签名、DSS签名和Hash签名。Hash签名是最主要的数字签名方法。它的主要方式是：报文的发送方从明文文件中生成一个128比特的散列值（数字摘要）。发送方用自己的私钥对这个散列值进行加密来形成发送方的数字签名。然后该数字签名将作为附件和报文一起发送给接收方。报文的接收方首先从接收到的原始报文中计算出128比特的散列值（数字摘要），接着用发送方的公钥来对报文附加的数字签名解密。,数字签名,明文,数字签名,杂凑值,杂凑算法,?,明文,杂凑值,杂凑算法,数字签名,用途:提供不可否认性，即认证和防抵赖功能,(4)数字时间戳DigitalTimeStamp,数字时间戳服务DTS是一种提供确认电子文件发表时间的安全保护。时间戳是一个经加密后形成的凭证文档，它包括三部分：需加时间戳的文本的摘要（Digest）DTS收到文件的日期和时间DTS的数字签名数字时间戳产生的过程是：用户将需要加上时间戳的文件用Hash编码加密形成摘要后，将摘要发送到DTS，由DTS在加入了收到文件摘要的日期和时间信息后，再对该文件加上数字签名，然后发回给用户。必须注意的是，书面签署文件的时间是签署人自己写上的，而数字时间戳则是由DTS加上的，DTS是以收到文件的时间作为确认依据的。数字时间戳的作用（1）数据文件加盖的时间戳与存储数据的物理媒体无关（2）对已加盖时间戳的文件不可能做丝毫改动（即使仅lbit）（3）要想对某个文件加盖与当前日期和时间不同的时间戳是不可能的,(5)数字证书DigitalCertificate,数字证书是在网络交易支付过程中，用来标志参与各方面身份信息的一系列数据，它的作用与现实生活中的身份证类似。数字证书是由一个权威机构来发行的，它是用电子手段来证实一个用户的身份和用户对网络资源访问的权限。数字证书有以下的作用：证明在电子商务或信息交换中参与者的身份；授权进入保密的信息资源库；提供网上发送信息的不可否认性的依据；验证网上交换信息的完整性。数字证书的内容凭证拥有者的姓名凭证拥有者的公共密钥公共密钥的有效期颁发数字凭证的单位数字凭证的序列号数字证书有三种类型：个人凭证（PersonalDigitalID）企业（服务器）凭证（ServerID）软件（开发者）凭证（DeveloperID）,1.VeriSign()2BankGateCA()3BelSignNVSA()4CertiSignCertificadoraDigitalLtda(WWW.br)5GTECyberTrustSolutions，Incorporated()6KeyWitnessCanada()7ThawteConsulting()中国数字认证网（）中国金融认证中心（）中国电子邮政安全证书管理中心（,国内外的认证中心,(6)身份认证IDCertificate,身份认证是指对电子商务参与者的认证，从安全角度分为两类：一类是请求认证者的秘密信息在网上传送的口令认证方式；另一类是使用公开密钥签名算法，而不需要在网上传送秘密信息的认证方式。口令认证必须具备一个前提：请求认证者必须有一个ID，该ID必须在认证者的用户数据库（该数据库必须包括ID和口令）中是唯一的。根据被认证方用以证明身份的凭证信息的不同，身份认证分为三大类：基于个人特征的身份认证：个人特征可以是指纹、声纹、视网膜、基因、手写签名等。基于个人拥有物的身份认证：个人拥有物可以是图章、IC卡、身份证（护照）等。基于个人身份标识码的身份认证：个人身份标识码可以是口令、账号、身份证号码等。,3.数据加密和身份认证原理,3.2.3安全技术协议,安全套接层协议SSL(SecureSocketsLayer)安全电子交易协议SET(SecureElectronicTransaction)安全交易技术协议(STT)安全超文本传输协议(SHTTP)安全多功能因特网电子邮件扩充协议(SMIME),1.安全套接层协议SSL(SecureSocketsLayer),安全套接层协议，是由Netscape公司设计开发的，该协议向基于TCP/IP协议的客户/服务器应用程序提供客户端和服务器之间的安全连接技术。SSL在客户机和服务器开始交换一个简短信息时提供一个安全的握手信号。在开始交换的信息中，双方确定将使用的安全级别并交换数字证书。每个计算机都要正确识别对方。SSL支持的客户机和服务器间的所有通讯都加密了。在SSL对所有通讯都加密后，窃听者得到的是无法识别的信息。,SSL协议的工作流程是：SSL客户端（也是TCP客户端）在TCP连接建立后，发出一个消息，该消息中包含了SSL可实现的算法列表和其它一些必要的消息。SSL的服务器端将回应一个消息，其中确定了该次通信所要用的算法，然后发出服务器端的证书（包含了身份和公钥）。客户端在收到该消息后会生成一个秘密消息，并利用SSL服务器的公钥加密后传回服务器。服务器用自己的私钥解密后，会话密钥协商成功，则双方可以用一份会话密钥通信了。,实现SSL协议的是HTTP的安全版，名为HTTPS。,HTTPS协议的使用,建立SSL安全连接的过程下图显示在eCoin上在登陆（Login）用户名时即进入SSL安全连接。,这时浏览器发出安全警报，开始建立安全连接，参见下图1。同时验证安全证书，参见下图2。用户单击“确定”键即进入安全连接。图1浏览器开始建立安全连接图2浏览器验证服务器安全证书,该图显示在eCoin上的安全连接已经建立，浏览器右下角状态栏的锁型图案表示用户通过网页传输的用户名和密码都将通过加密方式传送。,当加密方式传送结束后，浏览器会离开交换敏感信息的页面，自动断开安全连接。离开交换敏感信息的页面，浏览器自动断开安全连接,2.安全电子交易协议SET(SecureElectronicTransaction),为了克服SSL安全协议的缺点，更为了达到交易安全及合乎成本效益之市场要求，VISA和MasterCard联合其他国际组织，共同制定了安全电子交易（SecureElectronicTransaction，SET）协议。在SET中采用了双重签名技术，支付信息和订单信息是分别签署的，这样保证了商家看不到支付信息，而只能看到订单信息。支付指令中包括了交易ID、交易金额、信用卡数据等信息，这些涉及到与银行业务相关的保密数据对支付网关是不保密的，因此支付网关必须由收单银行或其委托的信用卡组织来担当。,SET为电子贸易提供以下功能,信息的安全传输:信息在Intemet上得以安全传输，保证网上传输的数据不被黑客窃取。订单信息和个人账号信息的隔离:在将包括持卡人账号信息的订单送到商家时，商家只能看到订货信息，而看不到持卡人的账户信息。提供交易者的身份认证和担保:持卡人、商家和银行等交易者通过第三方权威机构的身份认证服务，确定通信各方的身份。统一协议和报文格式:SET要求软件遵循相同的协议和报文格式，使不同厂家开发的软件具有兼容和互操作功能，并且可以运行在不同的硬件和操作系统平台上,SET协议所涉及的当事人,持卡人:在电子商务环境中，消费者和团体购买者通过计算机与商家交流，持卡人通过由发卡机构颁发的付款卡（例如银行卡、借记卡）进行结算。在持卡人和商家的会话中，SET可以保证持卡人的个人账号信息不被泄漏。发卡机构:它是一个金融机构，为每一个建立了账户的顾客颁发付款卡，发卡机构（如：VISA、MasterCard等）。商家:商家是商品或服务的提供者，接受在线支付的商家必须与银行建立一系列必要的关系。银行:银行是在线支付的关键，它接受发卡机构、持卡人和商家的委托，处理在线支付的授权和办理电子转账业务。支付网关:支付网关是由银行操作的将Internet上传输的数据转换为金融机构内部可识别的数据的设备，或由指派的第三方处理商家支付信息和顾客的支付指令。,应用SET的购物流程,（1）购物者在支持SET的网站上购物，选择好商品并填写订单后，商家会用一份自己数字证书的副本作为给顾客的答复。（2）购物者选择用SET方式进行付款。购物者发送给商家一个完整的订单及要求付款的指令，用哈希加密法对订单和付款指令生成“消息摘要”，由购物者进行数字签名。（3）对信用卡号码使用银行的公钥进行加密（商家永远不会见到信用卡号码），用商家的公钥加密，生成“数字信封”，将其发送给商家。（4）商家用私钥打开“数字信封”，解密订单、验证“消息摘要”。商家的服务器将SET加密的交易信息连同订单副本一齐转发给结算卡处理中心。（5）由银行将此交易信息解密并进行处理，银行验证商家的身份和传输消息的完整性。认证中心验证数字签名是否属于购物者，并检查购物者的信用额度。（6）银行将此交易信息发到购物者信用卡的发行机构，请求批准划拨款项。（7）商家收到购物者开户银行批准交易的通知。交易金额从购物者的信用卡账户里划给商家账户。（8）商家将订单确认信息通知购物者，发送商品或完成订购的服务。（9）购物者的终端软件记录交易日志，以备将来查询。,应用SET的网上购物流,电子支付方式,SSL和SET协议的比较,SET与SSL相比具有如下优点：（1）SET为商家提供了保护自己的手段，使商家免受欺诈的困扰，使商家的运营成本降低。（2）对消费者而言，SET保证了商家的合法性，也使用户的信用卡号不会被窃取，SET替消费者保守了更多的秘密使其在线购物更加轻松。,SET与SSL相比具有如下优点：（3）银行、发卡机构以及各种信用卡组织来说，因为SET可以帮助它们将业务扩展到Internet这个广阔的空间，让信用卡网上支付具有更低的欺骗概率，这使得它比其他支付方式具有更大的竞争力。（4）SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑。它可以用在系统的局部,安全超文本传输协议是在Internet上广泛使用的超文本传输协议HTTP中，增加了安全特性的一种协议。它是基于SSL技术的，并利用密钥对传输的数据加密，保障在Web站点间的交易信息传输的安全。该协议向WWW的应用提供完整性、鉴别、不可抵赖性及机密性等安全措施。,3.S-HTTP安全协议,4.安全多功能因特网电子邮件扩充协议(SMIME),由于MIME是Internet上的一种电子邮件扩充标准格式，但它并未提供任何安全服务的功能。而SMIME是在MIME基础上添加数字签名和加密技术的一种协议。SMIME已成为产业界广泛认可的协议，支持该协议的软件企业集团有微软、Novell、Lotus等著名的公司。,5.安全交易技术协议(STT),安全交易技术协议是由Microsoft公司提出来的。STT将认证和解密在浏览器中分离开来，用以提高安全控制能力。Microsoft将在IE浏览器中应用这一技术。,3.2.4防火墙技术,(1)防火墙（firewal1）的概念是指一个由软件或和硬件设备组合而成，是加强因特网与内部网之间安全防范的一个或一组系统。它具有限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。它可以确定哪些内部服务允许外部访问，哪些外部服务可由内部人员访问，即它能控制网络内外的信息交流，提供接入控制和审查跟踪，是一种访问控制机制。(2)防火墙的功能防火墙系统可以保护计算机免受以下几类攻击：未经授权的内部访问、危害证明、未经授权的外部访问、电子欺骗、特洛伊木马、渗透、泛洪。,1.防火墙的含义及其分类,(2)防火墙的分类路由器定义了一系列包过滤规则。包过滤规则以IP信息包为基础，对IP报文中的源地址、IP目标地址、封装协议端口等进行筛选，由些决定是否权屏蔽此报文。使用路由器的优点是简单和廉价（硬件）；缺点是包过滤规则的建立相对复杂。代理服务器则是通过执行特殊的TCP/IP协议来为内部网用户提供Internet服务。代理服务器是一个应用层的网关，内部网的用户若要使用Internet提供的服务（如FTP/WWW）,首先必须与代理服务器连接，经身份确认后，再由代理服务器负责与Internet连接，以防止“黑客”入侵。另外，代理服务器还提供了用户级别的权限确认，日志和审计服务。其缺点是必须为每一个应用建立应用层的特殊网关，这在一定程度上限制了新应用的建立。复合型的防火墙系统是由路由器和代理服务器相结合形成的。目前有四种最基本的防火墙技术：过滤性网关、电路层网关、应用层网关、状态核查。,2.防火墙技术,(1)包过滤路由器（PacketFilter）数据包过滤（PacketFiltering）技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表（AccessControlTable）。过滤规则基于可以提供给IP转发过程的包头信息。包头信息中包括IP源地址、内装协议、TCP/UDP目标端口、ICMP消息类型等。,包过滤路由器的优点：标准的路由软件中都内置了包过滤功能，因此无需增加额外费用。对于用户和应用透明，无须改变使用习惯。包过滤路由器的缺点：定义包过滤器比较复杂，要求网络管理员对Internet服务有深入了解；仅在网络层和传输层实现。仅局限于网络层和传输层实现的包过滤技术，只在网络层和传输层对数据进行识别和处理，对高层的协议和信息没有识别和处理的能力，这就使得它对通过高层进行的侵袭无防范能力。无法抵御数据驱动型攻击；包过滤路由器增加会消耗路由器的内存和CPU的资源，使路由器吞吐量下降；缺乏可审核性。包过滤器只是对未能通过检查的数据包做简单的删除，但并不对该入侵数据包的情况进行记录，也不向系统汇报，从而不具有安全保障系统所要求的可审核性。不能防止来自内部的侵害。防火墙虽然可以防止来自外部的入侵，但不能防止来自内部人员的破坏。包过滤器只能设置静态的安全过滤规则，难以适应动态的安全要求。,(2)应用层网关(ApplicationGateway)应用层网关防火墙能够实现比包过滤器更严格的安全策略，它主要在应用层网关上安装公司代理软件（Proxy）来实现。每个代理模块分别针对不同的应用。如：TelnetProxy负责Telnet在防火墙的转发；HTTPProxy负责WWW；FTPProxy负责FTP等。应用网关技术是建立在网络应用层上的协议过滤技术，它在专用网和外部网之间建立一个单独的子网，它将内部网屏蔽起来。此子网有一个代理主机、一个路由器和一个较复杂的网关与内部相连，另一个路由器和网关与外部相连。进出用户通过网关时必须在应用级上与代理主机连接。代理主机对其进行认证，控制进出，并进行审计追踪。,应用层网关优点：能够针对各种服务进行全面控制支持可靠的身份认证提供详细的审计功能和方便的日志分析相对于包过滤路由器来说更容易配置和测试应用层网关的缺点：非透明性，要求用户改变自己的使用习惯，一般要对用户进行简单的培训。,应用级的防火墙是建立在应用层网关基础上的，它的三种常见类型:双穴主机网关(DualHomedGateway)屏蔽主机网关(ScreenedHostGateway)屏蔽子网网关(ScreenedSubnetGateway)它们有一个共同点：即都需要有一台主机，通常被称为堡垒主机(BastionHost)的机器来充当应用程序转发者、通信登记和服务提供者的角色。因此它在防火墙中起着重要的作用，它的安全性关系到整个网络的安全。,应用级防火墙,双穴主机网关的结构如下图所示。其中，堡垒主机充当应用层网关，在此主机中需安装有两块网卡，一块用于连接到被保护的内部网，另一块则用于连接到Internet上，并在堡垒主机上运行防火墙软件，被保护的内部网与Internet之间无法直接通信，必须通过该主机，这样就可以将被保护网很好地屏蔽起来，而Intranet是通过堡垒主机获得Internet的服务的。这种应用层网关能有效地保护和屏蔽Intranet，且所需的硬件设备较少，容易验证其正确性，因而是目前应用得较多的一种防火墙；但堡垒主机容易受到攻击，它本身无法保护自己，一旦受破坏，实际上就变成一台没有寻址功能的路由器，一个有经验的攻击者就能使它寻址而使受保护网完成开放。,1）双穴主机网关(DualHomedGateway),双宿网关是一种拥有两个连接到不同网络上的网络接口的防火墙。两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成。所以为了保证内部网的安全，双重宿主主机应具有强大的身份认证系统，才可以阻挡来自外部不可信网络的非法登录。,双重宿主主机需要细细验看所通过的数据包的内容，并将其改头换面重新包装。如果数据包中有违禁的东西，则根据内部网络的安全策略进行处理。例如外部网络的A数据包通过防火墙后则变成了A数据包，内部网络的B数据包通过防火墙后就变成了B数据包。在双重宿主主机上，有内外数据的缓冲区，当通信繁忙时也可以起缓冲的作用。,它是综合了包过滤器和双穴主机网关两种结构而成的，为了保护堡垒主机，而将它置入被保护网的范围中，也即在堡垒主机与Internet