电子商务安全管理与技术课件

1、电子商务安全管理与技术1 第六章第六章 电子商务安全管理与技术电子商务安全管理与技术 l6.1 6.1 电子商务的安全电子商务的安全 l6.2 6.2 安全协议安全协议 l6.3 6.3 密码学和数据加密技术密码学和数据加密技术 l6.4 6.4 数字签名和认证技术数字签名和认证技术 l6.5 6.5 防火墙技术防火墙技术 l6.6 6.6 虚拟专用网虚拟专用网( (VPN)VPN)技术技术 l6.7 6.7 其他的安全技术其他的安全技术 电子商务安全管理与技术2 6.1 6.1 电子商务的安全电子商务的安全 l6.1.1 6.1.1 电子商务的安全要素电子商务的安全要素 （1 1）有效性。）

2、有效性。 （2 2）机密性。）机密性。 （3 3）完整性。）完整性。 （4 4）可靠性）可靠性/ /不可抵赖性不可抵赖性/ /鉴别。鉴别。 （5 5）审查能力。）审查能力。 返回首页返回首页 电子商务安全管理与技术3 l6.1.2 6.1.2 电子商务存在的安全问题电子商务存在的安全问题 在电子商务系统中，存在的安全威胁在电子商务系统中，存在的安全威胁 主要有：主要有： （1 1）系统穿透。）系统穿透。 （2 2）违反授权规则。）违反授权规则。 （3 3）植入后门程序。）植入后门程序。 （4 4）通信监视。）通信监视。 （5 5）通信窜扰。）通信窜扰。 （6 6）中断。）中断。 （7 7）拒绝

3、服务。）拒绝服务。 （8 8）否认。）否认。 返回首页返回首页 电子商务安全管理与技术4 l6.1.3 6.1.3 电子商务的安全技术电子商务的安全技术 电子商务一个基本的问题就是如电子商务一个基本的问题就是如 何通过现有的网络技术如何通过现有的网络技术如Internet Internet WebWeb、数据加密、数据加密、PKI-CAPKI-CA认证系统、认证系统、 防火墙技术、虚拟专用网技术、各种防火墙技术、虚拟专用网技术、各种 交易协议（如交易协议（如SETSET）、）、客户端浏览技客户端浏览技 术和软件等，使得客户和商家透明地术和软件等，使得客户和商家透明地 进行安全交易。进行安全交易

4、。 返回首页返回首页 电子商务安全管理与技术5 6.2 安全协议 l6.2.1 6.2.1 安全协议的基本概念安全协议的基本概念 所谓安全协议，是指两个或两个所谓安全协议，是指两个或两个 以上的参与者为完成与安全任务（如以上的参与者为完成与安全任务（如 加密、认证、密钥分配等）有关且能加密、认证、密钥分配等）有关且能 抗攻击任务所作的约定与采取的一系抗攻击任务所作的约定与采取的一系 列步骤。列步骤。 返回首页返回首页 电子商务安全管理与技术6 l6.2.2 6.2.2 安全套接层协议安全套接层协议( (SSL)SSL) l1. 1. 什么是安全套接层协议（什么是安全套接层协议（Secure S

5、ecure Socket Layer,Socket Layer,简称简称SSLSSL） SSL SSL主要用于提高应用程序之间数据的主要用于提高应用程序之间数据的 安全系数。安全系数。 l2. 2. 安全套接层协议的作用安全套接层协议的作用 （1 1）用户和服务器的合法性认证。）用户和服务器的合法性认证。 （2 2）加密数据以隐藏被传送的数据。）加密数据以隐藏被传送的数据。 （3 3）保护数据的完整性。）保护数据的完整性。 返回首页返回首页 电子商务安全管理与技术7 3. 3. 安全套接层协议的实现过程安全套接层协议的实现过程 （1 1）接通阶段。）接通阶段。 （2 2）密码交换阶段。）密码交

6、换阶段。 （3 3）会谈密码阶段。）会谈密码阶段。 （4 4）检验阶段。）检验阶段。 （5 5）客户认证阶段。）客户认证阶段。 （6 6）结束阶段。）结束阶段。 返回首页返回首页 电子商务安全管理与技术8 l6.2.3 6.2.3 安全电子交易协议（安全电子交易协议（SETSET） l1. 1. 什么是安全电子交易协议什么是安全电子交易协议 SETSET主要是为解决用户、商家和银行之主要是为解决用户、商家和银行之 间通过信用卡支付的交易而设计的，以保间通过信用卡支付的交易而设计的，以保 证支付信息的机密、支付过程的完整、商证支付信息的机密、支付过程的完整、商 户及持卡人的合法身份以及可操作性。

7、户及持卡人的合法身份以及可操作性。SETSET 中的核心技术主要有公开密钥加密、电子中的核心技术主要有公开密钥加密、电子 数字签名、电子信封、电子安全证书等。数字签名、电子信封、电子安全证书等。 返回首页返回首页 电子商务安全管理与技术9 2. 2. SETSET协议的作用协议的作用 （1 1）保证电子商务参与者信息的相互隔离。）保证电子商务参与者信息的相互隔离。 （2 2）保证信息在）保证信息在InternetInternet上安全传输。上安全传输。 （3 3）解决多方认证问题，不仅要对消费者）解决多方认证问题，不仅要对消费者 的信用卡认证，而且要对在线商店的信誉的信用卡认证，而且要对在线商

8、店的信誉 程度认证，同时还有消费者、在线商店与程度认证，同时还有消费者、在线商店与 银行间的认证。银行间的认证。 （4 4）保证网上交易的实时性。）保证网上交易的实时性。 （5 5）规范协议和消息格式。）规范协议和消息格式。 返回首页返回首页 电子商务安全管理与技术10 3. 3. SETSET协议的工作原理协议的工作原理 主要包括以下七个步骤：主要包括以下七个步骤： （1 1）消费者在网上选定的物品，并下电子订单。）消费者在网上选定的物品，并下电子订单。 （2 2）通过电子商务服务器与在线商店联系，在）通过电子商务服务器与在线商店联系，在 线商店作出应答，告诉消费者订单的相关情况。线商店作出

9、应答，告诉消费者订单的相关情况。 （3 3）消费者选择付款方式，确认订单，签发付）消费者选择付款方式，确认订单，签发付 款指令（此时款指令（此时SETSET介入）。介入）。 （4 4）在）在SETSET中，消费者必须对订单和付款指令中，消费者必须对订单和付款指令 进行数字签名。进行数字签名。 返回首页返回首页 电子商务安全管理与技术11 （5 5）在线商店接受订单后，向消费者所在银）在线商店接受订单后，向消费者所在银 行请求支付认可，批准交易后，返回确认信行请求支付认可，批准交易后，返回确认信 息给在线商店。息给在线商店。 （6 6）在线商店发送订单确认信息给消费者，）在线商店发送订单确认信息

10、给消费者， 消费者端软件可记录交易日志，以备将来查消费者端软件可记录交易日志，以备将来查 询。询。 （7 7）在线商店发送货物或提供服务，并通知）在线商店发送货物或提供服务，并通知 收单银行将钱从消费者的账号转移到商店账收单银行将钱从消费者的账号转移到商店账 号，或通知发卡银行请求支付。号，或通知发卡银行请求支付。 返回首页返回首页 电子商务安全管理与技术12 4. 4. SETSET和和SSLSSL的区别的区别 事实上，事实上，SETSET是由认证中心与加密是由认证中心与加密 技术相结合所产生的一种完全适合电技术相结合所产生的一种完全适合电 子商务的加密技术协议，安全套接层子商务的加密技术协

11、议，安全套接层 协议（协议（SSLSSL）加密方法仅仅是实现了传加密方法仅仅是实现了传 输加密和数据完整性，相当于在两台输加密和数据完整性，相当于在两台 计算机之间建立一个安全的通道。计算机之间建立一个安全的通道。 返回首页返回首页 电子商务安全管理与技术13 SET SET的技术特点有：的技术特点有： （1 1）对订单信息和支付信息进行双重签名。）对订单信息和支付信息进行双重签名。 （2 2）采用信息摘要技术保证了交易的完整性。）采用信息摘要技术保证了交易的完整性。 （3 3）采用公钥体系和密钥体系结合进行加密，）采用公钥体系和密钥体系结合进行加密， 而而SSLSSL只采用了公钥体系。只采用

12、了公钥体系。 与与SSLSSL相比，相比，SETSET是在应用层上实现了数是在应用层上实现了数 据的加密和完整性，因此，据的加密和完整性，因此，SETSET已经成为国已经成为国 际公认的际公认的InternetInternet电子商务的安全标准，非电子商务的安全标准，非 常详细地反映了电子交易各方之间存在的各常详细地反映了电子交易各方之间存在的各 种关系。种关系。 返回首页返回首页 电子商务安全管理与技术14 SET SET的购物模式如下图所示。的购物模式如下图所示。 返回首页返回首页 电子商务安全管理与技术15 l6.2.4 6.2.4 其他安全协议其他安全协议 l1. 1. 安全交易技术协

13、议（安全交易技术协议（STTSTT） 安全交易技术协议（安全交易技术协议（Secure Secure Transaction TechnologyTransaction Technology，简称简称STTSTT）。）。 由由MicrosoftMicrosoft公司提出，在公司提出，在Internet Internet ExplorerExplorer中采用这一技术。中采用这一技术。 返回首页返回首页 电子商务安全管理与技术16 2. 2. NetBillNetBill协议协议 协议步骤如下：协议步骤如下： （1 1）客户向商家查询某商品价格。）客户向商家查询某商品价格。 （2 2）商家向该客

14、户报价。）商家向该客户报价。 （3 3）客户告知商家他接受该报价。）客户告知商家他接受该报价。 （4 4）商家将所请求的信息商品用密钥）商家将所请求的信息商品用密钥K K加加 密后发送给客户。密后发送给客户。 （5 5）客户准备一份电子采购订单）客户准备一份电子采购订单 ( (Electronic Purchase OrderElectronic Purchase Order，EPO) EPO) ， 客户将该已数字签名的客户将该已数字签名的 EPO EPO 发送给商家。发送给商家。 返回首页返回首页 电子商务安全管理与技术17 （6 6）商家会签该）商家会签该EPOEPO，商家也签上商家也签上

15、K K的值，然后将的值，然后将 此两者送给此两者送给NetbillNetbill服务器。服务器。 （7 7）Netbill Netbill 服务器验证服务器验证EPOEPO签名和会签，然后检签名和会签，然后检 查客户的账号，保证有足够的资金以便批准该交查客户的账号，保证有足够的资金以便批准该交 易，同时检查易，同时检查EPOEPO上的超时值是否过期。确认没上的超时值是否过期。确认没 有问题时，有问题时， Netbill Netbill 服务器即从客户的账号上服务器即从客户的账号上 将相当于商品价格的资金划往商家的账号上，并将相当于商品价格的资金划往商家的账号上，并 存储密钥存储密钥K K和加密

16、商品的密码单据。然后准备一和加密商品的密码单据。然后准备一 份包含份包含K K值的签好的收据，将该收据发给商家。值的签好的收据，将该收据发给商家。 （8 8）商家记下该收据单传给客户，然后客户将第）商家记下该收据单传给客户，然后客户将第4 4 步收到的加密信息商品解密。步收到的加密信息商品解密。 返回首页返回首页 电子商务安全管理与技术18 3. 3. DigicashDigicash协议协议 DigicashDigicash是一个匿名的数字现金协议。是一个匿名的数字现金协议。 4. 4. First VirtualFirst Virtual协议协议 First VirtualFirst Vi

17、rtual允许客户自由地购买允许客户自由地购买 商品，然后商品，然后First VirtualFirst Virtual使用使用E-mailE-mail同同 客户证实每一笔交易。客户证实每一笔交易。 5. 5. 安全的超文本传输协议（安全的超文本传输协议（S-HTTPS-HTTP） 安全的超文本传输协议（安全的超文本传输协议（S-HTTPS-HTTP）对对 HTTPHTTP扩充安全特性、增加了报文的安全性扩充安全特性、增加了报文的安全性, , 它是基于它是基于SSLSSL技术的。技术的。 返回首页返回首页 电子商务安全管理与技术19 6. 6. InternetInternet电子邮件的安全协

18、议电子邮件的安全协议 （1 1）PEMPEM。PEMPEM是增强是增强InternetInternet电子邮件隐电子邮件隐 秘性的标准草案。秘性的标准草案。 （2 2）S-MIMES-MIME。S-MIME(S-MIME(安全的多功能安全的多功能 InternetInternet电子邮件扩充电子邮件扩充) )是在是在RFC1521RFC1521所描所描 述的多功能述的多功能InternetInternet电子邮件扩充报文基电子邮件扩充报文基 础上添加数字签名和加密技术的一种协议。础上添加数字签名和加密技术的一种协议。 （3 3）PEM-MIMEPEM-MIME（MOSSMOSS）。）。MOSS

19、(MIMEMOSS(MIME对象对象 安全服务安全服务) )是将是将PEMPEM和和MIMEMIME两者的特性进行两者的特性进行 了结合。了结合。 返回首页返回首页 电子商务安全管理与技术20 6.3 6.3 密码学和数据加密技术密码学和数据加密技术 l6.3.1 6.3.1 密码与密钥基本知识密码与密钥基本知识 采用密码方法可以隐蔽和保护需要保采用密码方法可以隐蔽和保护需要保 密的信息，使未授权者不能提取该信息。密的信息，使未授权者不能提取该信息。 被隐蔽的信息原来可读的形式叫明文被隐蔽的信息原来可读的形式叫明文，通通 过对密钥采用一定的加密算法可将明文变过对密钥采用一定的加密算法可将明文变

20、 换成另一种隐蔽的不可理解的形式，称为换成另一种隐蔽的不可理解的形式，称为 密钥密钥，这种变换的过程称为加密这种变换的过程称为加密。 加密技术包括两个元素：算法和密钥。加密技术包括两个元素：算法和密钥。 对数据加密的技术分为两类，即对称对数据加密的技术分为两类，即对称 加密（私人密钥加密）和非对称加密（公加密（私人密钥加密）和非对称加密（公 开密钥加密）。开密钥加密）。 返回首页返回首页 电子商务安全管理与技术21 l6.3.2 6.3.2 对称加密对称加密 对称加密或专用密钥（也称为常规加对称加密或专用密钥（也称为常规加 密）由通信双方共享一个秘密密钥，发送密）由通信双方共享一个秘密密钥，发

21、送 和接收数据的双方必须使用相同的（对称和接收数据的双方必须使用相同的（对称 的）密钥对明文进行加密和解密运算。最的）密钥对明文进行加密和解密运算。最 著名的对称密钥加密标准是数据加密标准著名的对称密钥加密标准是数据加密标准 （Data Encryption StandardData Encryption Standard，简称简称 DESDES）。）。 返回首页返回首页 电子商务安全管理与技术22 l6.3.3 6.3.3 非对称加密非对称加密 与对称加密算法不同，非对称加密算法与对称加密算法不同，非对称加密算法 需要两个密钥：公开密钥和私有密钥需要两个密钥：公开密钥和私有密钥。公公 开密钥

22、与私有密钥是一对，如果用公开密开密钥与私有密钥是一对，如果用公开密 钥对数据进行加密，只有用对应的私有密钥对数据进行加密，只有用对应的私有密 钥才能解密；如果用私有密钥对数据进行钥才能解密；如果用私有密钥对数据进行 加密，那么只有用对应的公开密钥才能解加密，那么只有用对应的公开密钥才能解 密。因为加密和解密使用的是两个不同的密。因为加密和解密使用的是两个不同的 密钥，所以这种算法叫做非对称加密算法。密钥，所以这种算法叫做非对称加密算法。 非对称加密算法主要有非对称加密算法主要有RSARSA、DSADSA、 Diffie-HellmanDiffie-Hellman、PKCSPKCS、PGPPGP

23、等。等。 返回首页返回首页 电子商务安全管理与技术23 l6.3.4 6.3.4 公开密钥体系（公开密钥体系（PKIPKI） PKI PKI技术是信息安全的核心技术。技术是信息安全的核心技术。 l1. 1. 什么是什么是PKI PKI PKI PKI（Public Key Infrastructure Public Key Infrastructure 的缩的缩 写）即写）即“公开密钥体系公开密钥体系”，是一种遵循既定，是一种遵循既定 标准的密钥管理平台标准的密钥管理平台, ,它能够为所有网络应用它能够为所有网络应用 提供加密和数字签名等密码服务及所必需的提供加密和数字签名等密码服务及所必需的

24、 密钥和证书管理体系，简单来说，密钥和证书管理体系，简单来说，PKIPKI就是利就是利 用公钥理论和技术建立的提供安全服务的基用公钥理论和技术建立的提供安全服务的基 础设施。础设施。 返回首页返回首页 电子商务安全管理与技术24 PKI PKI的基础技术包括加密、数字签名、的基础技术包括加密、数字签名、 数据完整性机制、数字信封、双重数字签数据完整性机制、数字信封、双重数字签 名等。名等。 l2. 2. PKIPKI的基本组成的基本组成 （1 1）认证机构（）认证机构（CACA） （2 2）数字证书库数字证书库 （3 3）密钥备份及恢复系统）密钥备份及恢复系统 （4 4）证书作废系统）证书作废

25、系统 （5 5）应用接口（）应用接口（APIAPI） 返回首页返回首页 电子商务安全管理与技术25 6.4 6.4 数字签名和认证技术数字签名和认证技术 l6.4.1 6.4.1 数字签名技术数字签名技术 数字签名（数字签名（Digital SignatureDigital Signature） 是公开密钥加密技术的一种应用，是是公开密钥加密技术的一种应用，是 指用发送方的私有密钥加密报文摘要，指用发送方的私有密钥加密报文摘要， 然后将其与原始的信息附加在一起，然后将其与原始的信息附加在一起， 合称为数字签名。合称为数字签名。 返回首页返回首页 电子商务安全管理与技术26 数字签名使用方式是：

26、数字签名使用方式是： （1 1）报文的发送方从报文文本中生成一个）报文的发送方从报文文本中生成一个 128128位或位或160160位的单向散列值（或报文摘位的单向散列值（或报文摘 要），并用自己的私有密钥对这个散列值要），并用自己的私有密钥对这个散列值 进行加密，形成发送方的数字签名。进行加密，形成发送方的数字签名。 （2 2）将这个数字签名作为报文的附件和报文）将这个数字签名作为报文的附件和报文 一起发送给报文的接收方。一起发送给报文的接收方。 返回首页返回首页 电子商务安全管理与技术27 （3 3）报文的接收方首先从接收到的原始报）报文的接收方首先从接收到的原始报 文中计算出文中计算出1

27、28128位的散列值（或报文摘要），位的散列值（或报文摘要）， 接着再用发送方的公开密钥来对报文附加接着再用发送方的公开密钥来对报文附加 的数字签名进行解密。的数字签名进行解密。 （4 4）如果这两个散列值相同，那么接收方）如果这两个散列值相同，那么接收方 就能确认该数字签名是发送方的。就能确认该数字签名是发送方的。 返回首页返回首页 电子商务安全管理与技术28 l6.4.2 6.4.2 数字认证、数字时间戳和数字证书数字认证、数字时间戳和数字证书 l1. 1. 数字认证技术数字认证技术 l2. 2. 数字时间戳数字时间戳 包括三个部分：包括三个部分： （1 1）需加时间戳的文件的摘要（）需加

28、时间戳的文件的摘要（digestdigest）。）。 （2 2）DTSDTS收到文件的日期和时间。收到文件的日期和时间。 （3 3）DTSDTS的数字签名。的数字签名。 返回首页返回首页 电子商务安全管理与技术29 3. 3. 数字证书数字证书 数字证书一般包含以下几点：数字证书一般包含以下几点： （1 1）数字证书拥有者的姓名。）数字证书拥有者的姓名。 （2 2）数字证书拥有者的公共密钥。）数字证书拥有者的公共密钥。 （3 3）公共密钥的有效期。）公共密钥的有效期。 （4 4）颁发数字证书的单位。）颁发数字证书的单位。 （5 5）数字证书的序列号（）数字证书的序列号（Serial Numbe

29、rSerial Number）。）。 （6 6）颁发数字证书单位的数字签名。颁发数字证书单位的数字签名。 返回首页返回首页 电子商务安全管理与技术30 l6.4.3 6.4.3 电子商务认证中心（电子商务认证中心（CACA，Certificate Certificate AuthorityAuthority） l1. CA1. CA的认证机制的认证机制 CACA是大型用户群体（如政府机关或金融是大型用户群体（如政府机关或金融 机构）所信赖的第三方，负责证书的颁发和机构）所信赖的第三方，负责证书的颁发和 管理。在证书申请被审批部门批准后，管理。在证书申请被审批部门批准后，CACA通通 过登记服务

30、器将证书发放给申请者。过登记服务器将证书发放给申请者。 电子商务电子商务CACA体系包括下面两大部分。体系包括下面两大部分。 （1 1）SET CASET CA。（又叫（又叫“金融金融CA”CA”体系）体系） （2 2）PKI CAPKI CA。（又叫（又叫“非金融非金融CA”CA”体系）。体系）。 返回首页返回首页 电子商务安全管理与技术31 2. 2. CACA的基本功能的基本功能 （1 1）生成和保管符合安全认证协议要求的公）生成和保管符合安全认证协议要求的公 共和私有密钥、数字证书及其数字签名。共和私有密钥、数字证书及其数字签名。 （2 2）对数字证书和数字签名进行验证。）对数字证书和

31、数字签名进行验证。 （3 3）对数字证书进行管理，重点是证书的撤）对数字证书进行管理，重点是证书的撤 销管理，同时追求实施自动管理（非手工管销管理，同时追求实施自动管理（非手工管 理）。理）。 （4 4）建立应用接口，特别是支付接口。）建立应用接口，特别是支付接口。CACA是是 否具有支付接口是能否支持电子商务的关键。否具有支付接口是能否支持电子商务的关键。 返回首页返回首页 电子商务安全管理与技术32 6.5 6.5 防火墙技术防火墙技术 l6.5.1 6.5.1 防火墙的简介防火墙的简介 l1. 1. 防火墙的概念防火墙的概念 防火墙（防火墙（Fire WallFire Wall）是由软件

32、和硬件是由软件和硬件 设备（如计算机、路由器）组合而成，处于设备（如计算机、路由器）组合而成，处于 企业或网络群体计算机与外界通道之间，用企业或网络群体计算机与外界通道之间，用 来加强来加强InternetInternet与与IntranetIntranet之间安全防范的之间安全防范的 一个或一组系统。它是提供信息安全服务，一个或一组系统。它是提供信息安全服务， 实现网络和信息安全的基础设施。实现网络和信息安全的基础设施。 返回首页返回首页 电子商务安全管理与技术33 2. 2. 防火墙的发展防火墙的发展 目前的防火墙经历了五个发展阶段。目前的防火墙经历了五个发展阶段。 第一代防火墙技术几乎与

33、路由器同时出现，采用第一代防火墙技术几乎与路由器同时出现，采用 了包过滤技术。了包过滤技术。19891989年，贝尔实验室的年，贝尔实验室的Dave Dave PresottoPresotto和和Howard TrickeyHoward Trickey推出了第二代防火墙，推出了第二代防火墙， 即电路层防火墙，同时提出了第三代防火墙即电路层防火墙，同时提出了第三代防火墙应应 用层防火墙（代理防火墙）的初步结构。用层防火墙（代理防火墙）的初步结构。19921992年，年， USCUSC信息科学院的信息科学院的BobBradenBobBraden开发出了基于动态包过开发出了基于动态包过 滤技术的第四

34、代防火墙。滤技术的第四代防火墙。19981998年，年，NAINAI公司推出了一公司推出了一 种自适应代理技术，并在其产品种自适应代理技术，并在其产品Gauntlet Firewall Gauntlet Firewall for NTfor NT中得以实现，给代理类型的防火墙赋予了全中得以实现，给代理类型的防火墙赋予了全 新的意义，可以称之为第五代防火墙。新的意义，可以称之为第五代防火墙。 返回首页返回首页 电子商务安全管理与技术34 l6.5.2 6.5.2 防火墙的功能防火墙的功能 （1 1）保护脆弱的服务。）保护脆弱的服务。 （2 2）控制对系统的访问。）控制对系统的访问。 （3 3）集

35、中的安全管理。）集中的安全管理。 （4 4）增强的保密性。）增强的保密性。 （5 5）记录和统计网络利用数据以及非法使用）记录和统计网络利用数据以及非法使用 数据。数据。 （6 6）策略执行。）策略执行。 返回首页返回首页 电子商务安全管理与技术35 l6.5.3 6.5.3 防火墙的分类防火墙的分类 l1. 1. 包过滤防火墙（包过滤防火墙（Packet FilterPacket Filter） 第一代防火墙和最基本形式防火墙检查第一代防火墙和最基本形式防火墙检查 每一个通过的网络包，或者丢弃，或者放行，每一个通过的网络包，或者丢弃，或者放行， 取决于所建立的一套规则。这称为包过滤防取决于所

36、建立的一套规则。这称为包过滤防 火墙。火墙。 本质上，包过滤防火墙是多址的，表明本质上，包过滤防火墙是多址的，表明 它有两个或两个以上网络适配器或接口。它有两个或两个以上网络适配器或接口。 返回首页返回首页 电子商务安全管理与技术36 建立包过滤防火墙规则的例子如下：建立包过滤防火墙规则的例子如下： （1 1）对来自专用网络的包，只允许来自内部）对来自专用网络的包，只允许来自内部 地址的包通过，因为其他包包含不正确的包地址的包通过，因为其他包包含不正确的包 头部信息。头部信息。 （2 2）在公共网络，只允许目的地址为）在公共网络，只允许目的地址为8080端口端口 的包通过。的包通过。 （3 3

37、）丢弃从公共网络传入的包，而这些包都）丢弃从公共网络传入的包，而这些包都 有你的网络内的源地址。有你的网络内的源地址。 （4 4）丢弃包含源路由信息的包，以减少源路）丢弃包含源路由信息的包，以减少源路 由攻击。由攻击。 返回首页返回首页 电子商务安全管理与技术37 2. 2. 状态状态/ /动态检测防火墙动态检测防火墙 状态状态/ /动态检测防火墙，试图跟动态检测防火墙，试图跟 踪通过防火墙的网络连接和包，这样踪通过防火墙的网络连接和包，这样 防火墙就可以使用一组附加的标准，防火墙就可以使用一组附加的标准， 以确定是否允许和拒绝通信。它是在以确定是否允许和拒绝通信。它是在 使用了基本包过滤防火

38、墙的通信上应使用了基本包过滤防火墙的通信上应 用一些技术来做到这点的。用一些技术来做到这点的。 返回首页返回首页 电子商务安全管理与技术38 状态状态/ /动态检测防火墙可提供的其他动态检测防火墙可提供的其他 一些额外的服务有：一些额外的服务有： （1 1）将某些类型的连接重定向到审核服务）将某些类型的连接重定向到审核服务 中去。中去。 （2 2）拒绝携带某些数据的网络通信。）拒绝携带某些数据的网络通信。 跟踪连接状态的方式取决于通过防火跟踪连接状态的方式取决于通过防火 墙的包的类型：墙的包的类型： （1 1）TCPTCP包。包。 （2 2）UDPUDP包。包。 返回首页返回首页 电子商务安全

39、管理与技术39 3. 3. 应用程序代理防火墙（应用程序代理防火墙（Proxy ServiceProxy Service） 应用程序代理防火墙实际上并不允许应用程序代理防火墙实际上并不允许 在它连接的网络之间直接通信。相反，它在它连接的网络之间直接通信。相反，它 是接受来自内部网络特定用户应用程序的是接受来自内部网络特定用户应用程序的 通信，然后建立于公共网络服务器单独的通信，然后建立于公共网络服务器单独的 连接。网络内部的用户不直接与外部的服连接。网络内部的用户不直接与外部的服 务器通信，所以服务器不能直接访问内部务器通信，所以服务器不能直接访问内部 网的任何一部分。网的任何一部分。 另外，

40、如果不为特定的应用程序安装另外，如果不为特定的应用程序安装 代理程序代码，这种服务是不会被支持的，代理程序代码，这种服务是不会被支持的， 不能建立任何连接。不能建立任何连接。 返回首页返回首页 电子商务安全管理与技术40 4. 4. 网络地址转换（网络地址转换（NATNAT） 网络地址转换网络地址转换( (NAT)NAT)协议将内部网络协议将内部网络 的多个的多个IPIP地址转换到一个公共地址发到地址转换到一个公共地址发到 InternetInternet上。上。 NATNAT经常用于小型办公室、家庭等网经常用于小型办公室、家庭等网 络，多个用户分享单一的络，多个用户分享单一的IPIP地址，并

41、为地址，并为 InternetInternet连接提供一些安全机制。连接提供一些安全机制。 返回首页返回首页 电子商务安全管理与技术41 5. 5. 个人防火墙个人防火墙 个人防火墙是一种能够保护个人计算个人防火墙是一种能够保护个人计算 机系统安全的软件，它可以直接在用户的机系统安全的软件，它可以直接在用户的 计算机上运行，使用与状态计算机上运行，使用与状态/ /动态检测防动态检测防 火墙相同的方式，保护一台计算机免受攻火墙相同的方式，保护一台计算机免受攻 击。击。 返回首页返回首页 电子商务安全管理与技术42 6.6 6.6 虚拟专用网虚拟专用网( (VPN)VPN)技术技术 l6.6.1

42、6.6.1 虚拟专用网简介虚拟专用网简介 l1. 1. 什么是虚拟专用网什么是虚拟专用网 虚拟专用网（虚拟专用网（VPNVPN）被定义为通过一被定义为通过一 个公用网络（通常是因特网）建立一个临个公用网络（通常是因特网）建立一个临 时的、安全的连接，是一条穿过混乱的公时的、安全的连接，是一条穿过混乱的公 用网络的安全、稳定的隧道。虚拟专用网用网络的安全、稳定的隧道。虚拟专用网 是对企业内部网的扩展。是对企业内部网的扩展。 返回首页返回首页 电子商务安全管理与技术43 VPNVPN应用示意图示。应用示意图示。 返回首页返回首页 电子商务安全管理与技术44 2. 2. 虚拟专用网的好处虚拟专用网的

43、好处 （1 1）降低通讯成本；）降低通讯成本； （2 2）易于扩展；）易于扩展； （3 3）可随意与合作伙伴联网；）可随意与合作伙伴联网； （4 4）完全控制网络的主动权。）完全控制网络的主动权。 返回首页返回首页 电子商务安全管理与技术45 l6.6.2 6.6.2 虚拟专用网的功能要求虚拟专用网的功能要求 l1. 1. 保证安全性保证安全性 （1 1）隧道和加密。）隧道和加密。 （2 2）数据验证。）数据验证。 （3 3）用户验证。）用户验证。 （4 4）防火墙与攻击检测。）防火墙与攻击检测。 返回首页返回首页 电子商务安全管理与技术46 2. 2. 实现网络优化实现网络优化 构件构件VP

44、NVPN的另一重要需求是有效地利的另一重要需求是有效地利 用有限的广域网资源，为重要数据提供可用有限的广域网资源，为重要数据提供可 靠的带宽。在设计靠的带宽。在设计VPNVPN时需考虑采用多种时需考虑采用多种 QOSQOS（服务质量）策略以优化网络资源。服务质量）策略以优化网络资源。 3. 3. 对对VPNVPN实施管理实施管理 VPNVPN要求企业将其网络管理功能无缝要求企业将其网络管理功能无缝 延伸到公用网，甚至是客户和合作伙伴。延伸到公用网，甚至是客户和合作伙伴。 返回首页返回首页 电子商务安全管理与技术47 l6.6.3 6.6.3 虚拟专用网的分类虚拟专用网的分类 根据根据VPNVP

45、N所起的作用，可以将所起的作用，可以将VPNVPN分为三类。分为三类。 如下图所示。如下图所示。 返回首页返回首页 电子商务安全管理与技术48 1. 1. VPDNVPDN（Virtual Private Dial NetworkVirtual Private Dial Network） 在远程用户或移动雇员和公司内部网在远程用户或移动雇员和公司内部网 之间的之间的VPNVPN，称为称为VPDNVPDN。 2. Intranet VPN2. Intranet VPN 在公司远程分支机构的在公司远程分支机构的LANLAN和公司总和公司总 部部LANLAN之间的之间的VPNVPN。 3. Extr

46、anet VPN3. Extranet VPN 在供应商、商业合作伙伴的在供应商、商业合作伙伴的LANLAN和公和公 司的司的LANLAN之间的之间的VPNVPN。 返回首页返回首页 电子商务安全管理与技术49 l6.6.4 6.6.4 VPNVPN的隧道协议的隧道协议 VPNVPN区别于一般网络互联的关键在于隧区别于一般网络互联的关键在于隧 道的建立，然后数据包经过加密后，按隧道的建立，然后数据包经过加密后，按隧 道协议进行封装、传送以确保安全性。道协议进行封装、传送以确保安全性。 l1. 1. PPTP/L2TPPPTP/L2TP PPTP PPTP的加密方法采用的加密方法采用Micros

47、oftMicrosoft点对点点对点 加密（加密（Microsoft Point-to-Point Microsoft Point-to-Point EncryptionEncryption）算法，可以选用较弱的算法，可以选用较弱的4040位位 密钥或强度较大的密钥或强度较大的128128位密钥。位密钥。L2TPL2TP支持多支持多 协议，利用公共网络封装协议，利用公共网络封装PPPPPP帧，可以实现帧，可以实现 和企业原有非和企业原有非IPIP网的兼容。网的兼容。 返回首页返回首页 电子商务安全管理与技术50 2. 2. IPSecIPSec（Internet Protocol SecurityInternet Protocol Security） IPSec IPSec是是IETFIETF（Internet Engineer Internet Engineer