网上支付的安全使用

1、 讨论： 使用网上支付时你最担心 哪些问题呢？ 请给丁 汇100 元 乙乙 甲甲 请给丁 汇100 元 请给丙 汇100 元 丙丙 请给丙 汇100 元 案例：利益驱使手机病毒吸金案例：利益驱使手机病毒吸金 “ “移动支移动支 付付”真的安全吗？真的安全吗？ 8 8月底，一款名月底，一款名Android.Troj.SMSZombie.aAndroid.Troj.SMSZombie.a的手的手 机僵尸病毒开始蔓延，其主要的破坏行为是窃取机僵尸病毒开始蔓延，其主要的破坏行为是窃取 用户隐私，包括中毒手机串号、用户隐私，包括中毒手机串号、SIMSIM卡序列号、手卡序列号、手 机号、网络类型、手机型号

2、、联网类型等信息。机号、网络类型、手机型号、联网类型等信息。 更严重的是，该病毒可针对网银、支付、汇款等更严重的是，该病毒可针对网银、支付、汇款等 高度机密信息进行盗窃。高度机密信息进行盗窃。 有调查数据显示，国内有调查数据显示，国内 手机用户最担心的问题手机用户最担心的问题 中，手机支付安全性占中，手机支付安全性占 比达比达55.1%55.1%。 据曾经在一家中小型据曾经在一家中小型SPSP服务商工作过的伍小姐介绍，服务商工作过的伍小姐介绍， 为了绕过运营商对为了绕过运营商对SPSP服务定制审核，他们公司就曾经服务定制审核，他们公司就曾经 和黑客合作，通过发送优惠促销短信的方式进行和黑客合作

3、，通过发送优惠促销短信的方式进行“病病 毒式毒式”营销。营销。“方法倒也简单，就是短信里面含有优方法倒也简单，就是短信里面含有优 惠促销的链接，用户一旦点击链接登录网站，就会在惠促销的链接，用户一旦点击链接登录网站，就会在 后台默认定制我们的后台默认定制我们的SPSP服务。服务。 一切都在不知不觉中进行，一切都在不知不觉中进行， 而定制服务每个月也不过几而定制服务每个月也不过几 元的话费，一般用户很难察元的话费，一般用户很难察 觉。几千万条短信发出去，觉。几千万条短信发出去， 就算只有千分之几的用户点就算只有千分之几的用户点 击，我们公司一个月也能有击，我们公司一个月也能有 几十万的收入，绝对

4、是本小几十万的收入，绝对是本小 利大的生意。利大的生意。” 主要内容主要内容 网上支付安全风险与安全需求网上支付安全风险与安全需求 网上支付安全协议网上支付安全协议 三、网上支付安全技术三、网上支付安全技术 二、网上支付的安全风险控制措施二、网上支付的安全风险控制措施 一、一、 四、四、 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 1 1、网上支付的安全风险、网上支付的安全风险 密码管理问题密码管理问题 黑客攻击黑客攻击 大部分公司或个人密码大部分公司或个人密码 设置过于简单，甚至在设置过于简单，甚至在 所有网站上使用的都是所有网站上使用的都是 同一个密码。同一个密码。 建议

5、 密码不要设置密码不要设置 为姓名、生日为姓名、生日 、电话号码等、电话号码等 简单密码简单密码 结合大小写字结合大小写字 母、数字符号母、数字符号 等共同组成密等共同组成密 码，且位数尽码，且位数尽 量大于量大于9 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 1 1、网上支付的安全风险、网上支付的安全风险 密码管理问题密码管理问题 黑客攻击黑客攻击 钓鱼网站钓鱼网站 建立假网站诱骗客户输入账号密码建立假网站诱骗客户输入账号密码 发送钓鱼邮件，引诱客户访问发送钓鱼邮件，引诱客户访问 键盘记录键盘记录 通过木马植入监视用户操作，进而通过木马植入监视用户操作，进而 窃取密码窃取密

6、码 嵌入浏览嵌入浏览 器执行器执行 屏幕屏幕“录像录像” 窃取数字窃取数字 证书证书 伪装窗口伪装窗口 动态改变用户浏览页面内容，使用动态改变用户浏览页面内容，使用 户登录到没有安全控件保护的页面户登录到没有安全控件保护的页面 记录用户鼠标和键盘操作记录记录用户鼠标和键盘操作记录 通过木马记录客户保存证书流程，通过木马记录客户保存证书流程， 复制证书文件，非法使用复制证书文件，非法使用 通过木马记录客户保存证书流程，通过木马记录客户保存证书流程， 复制证书文件，非法使用复制证书文件，非法使用 10万余基金半夜被转移万余基金半夜被转移 您的网上银行账户您的网上银行账户*基金已转账基金已转账24日

7、凌晨两点多，日凌晨两点多， 马先生和妻子被不断发来的这类短信吵醒。半夜了电脑已关，马先生和妻子被不断发来的这类短信吵醒。半夜了电脑已关， 自家人没操作电脑，密码只有自己知道，咋会有网上银行的自家人没操作电脑，密码只有自己知道，咋会有网上银行的 基金被转账的怪事基金被转账的怪事?夫妻俩睡意全无，赶紧上网查看，果然夫妻俩睡意全无，赶紧上网查看，果然 发现多笔基金被分次转到他人账户。发现多笔基金被分次转到他人账户。 张先生的开户行在小寨十字，张先生的开户行在小寨十字，24日早上，马先生急忙到开日早上，马先生急忙到开 户行所在地小寨路派出所报案，被告知要到居住地所在派出户行所在地小寨路派出所报案，被告

8、知要到居住地所在派出 所报案。马先生又来到东关南街派出所，被告知还得到开户所报案。马先生又来到东关南街派出所，被告知还得到开户 行所在地报案。张先生担心被转账的账户将钱取走，就先到行所在地报案。张先生担心被转账的账户将钱取走，就先到 银行处理此事。记者赶到银行后，工作人员将张先生的网银银行处理此事。记者赶到银行后，工作人员将张先生的网银 交易记录打出来，确实发现：交易记录打出来，确实发现：23日，有日，有5000元现金在元现金在上海上海 环讯电子商务环讯电子商务消费，另有基金被转出的记录。消费，另有基金被转出的记录。 点击陌生网址泄露网银信息点击陌生网址泄露网银信息 随后，该银行办公室、个人金

9、融部的两名工作人员来随后，该银行办公室、个人金融部的两名工作人员来 到小寨十字营业点了解情况。到小寨十字营业点了解情况。 24日下午，银行进一步调查发现：马先生的妻子刘女士在日下午，银行进一步调查发现：马先生的妻子刘女士在 23日下午上网聊天时，有一个陌生日下午上网聊天时，有一个陌生QQ号发给她一个网址，号发给她一个网址， 她点击进入，看到是一个开户行所在银行的网站，上面宣她点击进入，看到是一个开户行所在银行的网站，上面宣 称可销售电话卡，只要汇入指定账户一元，再输入个人的称可销售电话卡，只要汇入指定账户一元，再输入个人的 网上银行账号、密码，验证身份后，就能做电话卡的销售网上银行账号、密码，

10、验证身份后，就能做电话卡的销售 代理。刘女士按照提示一步步操作，没想到就这样泄露了代理。刘女士按照提示一步步操作，没想到就这样泄露了 个人的网银信息。个人的网银信息。 直到此时，马先生和妻子才得知自己因链接陌生网址泄露直到此时，马先生和妻子才得知自己因链接陌生网址泄露 网银信息，二人追悔莫及。网银信息，二人追悔莫及。 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 2 2、网上支付的信用风险、网上支付的信用风险 由于网络虚拟性，支付双方难由于网络虚拟性，支付双方难 以客观判断对方信用等级，容以客观判断对方信用等级，容 易产生信用怀疑，阻碍网上支易产生信用怀疑，阻碍网上支 付进行。

11、付进行。 西方国家信用制度已经很健全，西方国家信用制度已经很健全， 我国仍处于起步阶段，信用环我国仍处于起步阶段，信用环 境仍需加强境仍需加强 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 3 3、网上支付的法律风险、网上支付的法律风险 法律效力问题法律效力问题法律责任分担问题法律责任分担问题黑客的法律约束黑客的法律约束 对客户和银行，法律效力一般不会对客户和银行，法律效力一般不会 出现问题，但是对于电子支票和电出现问题，但是对于电子支票和电 子现金，因为其与传统法律有一定子现金，因为其与传统法律有一定 抵触，效力存在一定争议。抵触，效力存在一定争议。 一、网上支付安全风险与安

12、全需求一、网上支付安全风险与安全需求 3 3、网上支付的法律风险、网上支付的法律风险 法律效力问题法律效力问题法律责任分担问题法律责任分担问题 未经授权使用的银行卡支付所造成的未经授权使用的银行卡支付所造成的 损失由谁承担？损失由谁承担？ 消费者？商家？还是银行？消费者？商家？还是银行？ 黑客的法律约束黑客的法律约束 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 3 3、网上支付的法律风险、网上支付的法律风险 法律效力问题法律效力问题法律责任分担问题法律责任分担问题 法律的约束力对黑客来讲抵不过巨大法律的约束力对黑客来讲抵不过巨大 利益的诱惑，法律的惩罚力度和技术利益的诱惑，法

13、律的惩罚力度和技术 的进步都是比不可少的。的进步都是比不可少的。 黑客的法律约束黑客的法律约束 一、网上支付安全风险与安全需求一、网上支付安全风险与安全需求 网上网上 支付支付 的安的安 全需全需 求求 网络上资金数据流的保密性网络上资金数据流的保密性 相关网络支付结算数据的完整性相关网络支付结算数据的完整性 网络上资金结算双方身份的认定网络上资金结算双方身份的认定 支付结算行为不可抵赖性支付结算行为不可抵赖性 支付系统运行稳定快捷支付系统运行稳定快捷 二、网上支付安全风险控制措施二、网上支付安全风险控制措施 保障支付结算信息的机密性、完整性、不可否认性保障支付结算信息的机密性、完整性、不可否

14、认性 不可拒绝性和访问控制性不可拒绝性和访问控制性 能够经常测试安全状态能够经常测试安全状态 能够对可能的风险作出基本评估能够对可能的风险作出基本评估 系统的的安全被破坏后能够尽快恢复工作系统的的安全被破坏后能够尽快恢复工作 应用相应法律法规保护安全利益应用相应法律法规保护安全利益 安全风险控制目标安全风险控制目标 二、网上支付安全风险控制措施二、网上支付安全风险控制措施 安全风险控制原则安全风险控制原则 （1）预防为主原则。）预防为主原则。 （2）根据网上支付结算的安全需要和目标来）根据网上支付结算的安全需要和目标来 制定安全策略原则。制定安全策略原则。 （3）多人负责原则。）多人负责原则。

15、 （4）任期有限原则。）任期有限原则。 （5）职责分离原则。）职责分离原则。 二、网上支付安全风险控制措施二、网上支付安全风险控制措施 安全风险控制措施安全风险控制措施 加快认证中心建设，统一数字证书加快认证中心建设，统一数字证书 加强网上支付安全信用体系建设加强网上支付安全信用体系建设 完善相应的法律法规完善相应的法律法规 明确监管制定，加强金融监管明确监管制定，加强金融监管 客户加强自我安全保护客户加强自我安全保护 1 1、核对网址，保管好密码和数字证书。、核对网址，保管好密码和数字证书。 2 2、对异常动态提高警惕、对异常动态提高警惕 3 3、使用安全正版的防毒软件和防火墙，、使用安全正

16、版的防毒软件和防火墙， 并及时更新。并及时更新。 4 4、限制无关人员靠近个人计算机，使用、限制无关人员靠近个人计算机，使用 完网银后及时推出并清理上网痕迹。完网银后及时推出并清理上网痕迹。 5 5、核实交易方身份，保留交易记录、核实交易方身份，保留交易记录 三、网上支付安全相关技术三、网上支付安全相关技术 主要知识点主要知识点 了解了解 并并 掌握掌握 访问访问 控制控制 技术技术 的原的原 理与理与 应用应用 了解了解 并并 掌握掌握 数据数据 机密机密 技术技术 的原的原 理与理与 应用应用 了解了解 并并 掌握掌握 数据数据 抵赖抵赖 技术技术 的原的原 理与理与 应用应用 了解了解

17、并并 掌握掌握 身份身份 认证认证 技术技术 的原的原 理与理与 应用应用 熟练熟练 使用使用 网上网上 支付支付 系统系统 安全安全 技术技术 工具工具 一二三四五 三、网上支付安全相关技术三、网上支付安全相关技术 一 访问控制技术与应用访问控制技术与应用 1.1.访问控制概述访问控制概述 网络支付平台系统的构成网络支付平台系统的构成 客户机客户机 银行专网银行专网 Intranet电子电子 商务服务器商务服务器 InternetInternet 支付网关支付网关 访问控制是在保障授权用户获取所需资源的同时，拒绝访问控制是在保障授权用户获取所需资源的同时，拒绝 非授权用户访问的机制。非授权用

18、户访问的机制。 是在身份认证的基础上，根据身份的合法性对提出的资是在身份认证的基础上，根据身份的合法性对提出的资 源访问请求加以控制源访问请求加以控制 在用户身份已得到认证的前提下，限制主体对访问客体在用户身份已得到认证的前提下，限制主体对访问客体 的访问权限，访问控制目的是的访问权限，访问控制目的是“你能做什么，你有什么你能做什么，你有什么 样的权限样的权限”。 身份认证身份认证防止非法用户进入系统；防止非法用户进入系统； 访问控制访问控制防止合法用户对系统资源的非法使用防止合法用户对系统资源的非法使用 三、网上支付安全相关技术三、网上支付安全相关技术 一 访问控制技术与应用 1.1.访问控

19、制概述访问控制概述 三、网上支付安全相关技术三、网上支付安全相关技术 一 访问控制技术与应用 访问控制的三要素访问控制的三要素 v主体（主体（Subject）：）：发出访问操作、存取要求的主动方，发出访问操作、存取要求的主动方， 通常为进程、程序或用户。通常为进程、程序或用户。 v客体（客体（Object）：）：被访问的对象，通常可以是被调用的被访问的对象，通常可以是被调用的 程序、进程，要存取的数据、信息，要访问的文件、系统程序、进程，要存取的数据、信息，要访问的文件、系统 或各种网络设备、设施等资源。或各种网络设备、设施等资源。 1.1.访问控制概述访问控制概述 v授权授权：授权是资源的所

20、有者或者控制者准许其他主体：授权是资源的所有者或者控制者准许其他主体 访问这种资源，访问控制就是一种加强授权的方法访问这种资源，访问控制就是一种加强授权的方法 三、网上支付安全相关技术三、网上支付安全相关技术 一 访问控制技术与应用 访问控制的主要过程访问控制的主要过程 1.1.访问控制概述访问控制概述 v 规定需要保护的资源，即系统中被访问的对象规定需要保护的资源，即系统中被访问的对象 （如文件、程序、存储器等），也就是确定客体。（如文件、程序、存储器等），也就是确定客体。 v 规定可以访问该资源的主体（通常是一个人，但规定可以访问该资源的主体（通常是一个人，但 有时也可能是一个程序或进程）

21、；有时也可能是一个程序或进程）； 确定客体确定客体 规定主体规定主体 规定可执行规定可执行 操作操作 v 规定可以对该资源执行的操作（如读、写、执规定可以对该资源执行的操作（如读、写、执 行或不允许访问）；行或不允许访问）； 确定安全确定安全 方案方案 v 通过确定每个实体可对哪些资源执行哪些动作来通过确定每个实体可对哪些资源执行哪些动作来 确定该安全方案。确定该安全方案。 三、网上支付安全相关技术三、网上支付安全相关技术 一一 访问控制技术与应用访问控制技术与应用 访问控制系统的基本组成访问控制系统的基本组成 1.1.访问控制概述访问控制概述 主体主体 访问控制实施单元访问控制实施单元 访问

22、控制决策单元访问控制决策单元 客体客体 提 交 访 问提 交 访 问 请求请求 提 出 访 问提 出 访 问 请求请求 请求决请求决 策策 决决 策策 三、网上支付安全相关技术三、网上支付安全相关技术 一 访问控制技术与应用 2.2.防火墙技术与应用防火墙技术与应用 （1）什么是防火墙？）什么是防火墙？ 我们现在讲的防火墙（我们现在讲的防火墙（Fire WallFire Wall）是最典型的访问控制是最典型的访问控制 产品。是一个由软件和硬件组合而成的隔离设备，设置在产品。是一个由软件和硬件组合而成的隔离设备，设置在 不同网络（如可信任的企业内部网不可信任的公共网）或不同网络（如可信任的企业内

23、部网不可信任的公共网）或 网络安全域之间的保护屏障。网络安全域之间的保护屏障。 防火墙的最初含义：防火墙的最初含义：辞海辞海上说上说“防火墙：用非燃烧防火墙：用非燃烧 材料砌筑的墙。设在建筑物的两端或在建筑物内将建筑材料砌筑的墙。设在建筑物的两端或在建筑物内将建筑 物分割成区段，以防止火灾蔓延。物分割成区段，以防止火灾蔓延。” 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 防火墙的应用示意图：防火墙的应用示意图： Internet 防火墙系统（堡垒主机防火墙系统（堡垒主机+ +路由器等）路由器等） 企业内部网（如企业内部网（如IntranetInt

24、ranet） . 非安全网络 安全网络 三、网上支付安全相关技术三、网上支付安全相关技术 防火墙防火墙 的功能的功能 一、双向监控功能一、双向监控功能 由内部安全的由内部安全的Intranet到外部不安到外部不安 全的全的Internet的访问和由外到内的的访问和由外到内的 访问都必须通访问都必须通 过防火墙的过滤过防火墙的过滤 二、设置安全控制机制二、设置安全控制机制 设置用户认证等安全控制设置用户认证等安全控制 机制，只有本地安全策略机制，只有本地安全策略 所定义的合法访问才被所定义的合法访问才被 允许通过。允许通过。 三、本身无法被穿三、本身无法被穿 透透 防火墙本身应无法被防火墙本身应

25、无法被 穿透穿透 四、明确四、明确IntranetIntranet边界边界 能够保护站点不被任意连能够保护站点不被任意连 接总结并记录有关正在进行的接总结并记录有关正在进行的 连接资源、服务器提供的通信量，连接资源、服务器提供的通信量， 及试图闯入者的企图。及试图闯入者的企图。 （2）防火墙的功能）防火墙的功能 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 （3）防火墙的组成：）防火墙的组成： Internet 不安全网络不安全网络 网关网关 外部过滤器外部过滤器 内部过滤器内部过滤器 Intranet 安全网络安全网络 防火墙的基本组成框架防火墙

26、的基本组成框架 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 电子商务中防火墙与电子商务中防火墙与Web服务器的配置方式服务器的配置方式 Internet 不安全网络不安全网络 Web 服务器服务器 Intranet 安全网安全网 防火墙防火墙+ +路由器路由器 业务业务Web服务器放在防火墙之服务器放在防火墙之内内的配置图的配置图 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 电子商务中防火墙与电子商务中防火墙与Web服务器的配置方式服务器的配置方式 Internet 不安全网络不安全网络 Web 服

27、务器服务器 Intranet 安全网安全网 防火墙防火墙+路由器路由器 业务业务Web服务器放在防火墙之服务器放在防火墙之外外的配置图的配置图 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 （3）防火墙的种类：）防火墙的种类： 目前按防火墙采用的技术分类，主要有包过滤型防火墙、代理目前按防火墙采用的技术分类，主要有包过滤型防火墙、代理 服务器型防火墙（应用级防火墙）、状态检测型防火墙等。服务器型防火墙（应用级防火墙）、状态检测型防火墙等。 a包过滤型防火墙包过滤型防火墙 Internet 包过滤防火墙包过滤防火墙 +路由器路由器 Intranet

28、包过滤式防火墙应用原理示意图包过滤式防火墙应用原理示意图 缺点：不能鉴别不同用户和缺点：不能鉴别不同用户和 防止防止IP地址盗用，即对应用地址盗用，即对应用 层缺少保护，且数据包的源层缺少保护，且数据包的源 地址、目的地址和地址、目的地址和IP地址的地址的 端口号都在数据包头部，易端口号都在数据包头部，易 被窃取和假冒被窃取和假冒 优点：不需任何额优点：不需任何额 外费用，对用户透外费用，对用户透 明，应用简单，处明，应用简单，处 理速度快，效率高，理速度快，效率高， 易于维护易于维护 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 b代理服务器型防

29、火墙（应用级防火墙）代理服务器型防火墙（应用级防火墙） 工作在应用层，通过对应用服务器提供代理程序来实现监视工作在应用层，通过对应用服务器提供代理程序来实现监视 和控制应用层的通信流，亦称为应用级防火墙和控制应用层的通信流，亦称为应用级防火墙 客户客户 访问请求访问请求 防火墙代理防火墙代理 客户客户 代理代理 访问访问 控制控制 服务器服务器 代理代理 服务器服务器 转发请求转发请求 应答应答 转发应答转发应答 代理服务器型防火墙应用原理示意图代理服务器型防火墙应用原理示意图 缺点：性能差，速缺点：性能差，速 度慢，不允许用户度慢，不允许用户 直接访问网络，透直接访问网络，透 明性差，成本高

30、明性差，成本高 优点：比包过滤型优点：比包过滤型 防火墙更安全、可防火墙更安全、可 靠，能够详细记录靠，能够详细记录 所有访问状态信息所有访问状态信息 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 c 状态监测型防火墙状态监测型防火墙 使用一个在网关上执行网络安全策略的软件模块，称为使用一个在网关上执行网络安全策略的软件模块，称为 监测引擎，是第三代防火墙技术。监测引擎，是第三代防火墙技术。 应用原理：应用原理： 在不影响网络安全正常工作的前提下，采用抽取相关数据在不影响网络安全正常工作的前提下，采用抽取相关数据 的方法对网络通信的各层实施监测，抽

31、取状态信息，并动的方法对网络通信的各层实施监测，抽取状态信息，并动 态的保存起来，作为执行安全策略的参考。态的保存起来，作为执行安全策略的参考。 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 （4）防火墙的优缺点：）防火墙的优缺点： 优点：优点： 1 1、遏制来自、遏制来自InternetInternet各种路线的攻击各种路线的攻击 2 2、借助网络服务选择，保护网络中脆弱的易受、借助网络服务选择，保护网络中脆弱的易受 攻击的服务攻击的服务 3 3、监视整个网络的安全性，具有实时报警提醒、监视整个网络的安全性，具有实时报警提醒 功能功能 4 4、作

32、为部署、作为部署NATNAT的逻辑地址的逻辑地址 5 5、增强内部网中资源的保密性，强化私有权。、增强内部网中资源的保密性，强化私有权。 三、网上支付安全相关技术三、网上支付安全相关技术 2.2.防火墙技术与应用防火墙技术与应用 （4）防火墙的优缺点：）防火墙的优缺点： 缺点：缺点： 1 1、限制了一些有用的网络服务的使用，降低了、限制了一些有用的网络服务的使用，降低了 网络性能网络性能 2 2、只能限制内部用户对外的访问，无法防护来、只能限制内部用户对外的访问，无法防护来 自内部网络的攻击自内部网络的攻击 3 3、不能完全防止传送感染病毒的软件或文件，、不能完全防止传送感染病毒的软件或文件，

33、 特别是一些数据驱动型的攻击数据特别是一些数据驱动型的攻击数据 4 4、被动防守，不能防备新的网络安全问题、被动防守，不能防备新的网络安全问题 网上支付安全风险与安全需求网上支付安全风险与安全需求 网上网上 支付支付 面临面临 的安的安 全风全风 险险 网上支付的安全风险网上支付的安全风险 网上支付的法律风险网上支付的法律风险 网上支付的信用风险网上支付的信用风险 （2）访问控制的三要素：主体、客体、授权）访问控制的三要素：主体、客体、授权 一、访问控制技术一、访问控制技术 （1）访问控制技术的概念）访问控制技术的概念 （3）访问控制的主要过程：）访问控制的主要过程： 确定客体确定客体 规定主

34、体规定主体 规定可执行规定可执行 操作操作 确定安全确定安全 方案方案 被访问的资被访问的资 源是什么？源是什么？ 谁被允许访谁被允许访 问资源？问资源？ 主体可以对资源主体可以对资源 进行哪些操作？进行哪些操作？ 形成解形成解 决方案决方案 1、防火墙技术、防火墙技术 一、访问控制技术一、访问控制技术 （1）防火墙的概念）防火墙的概念 外网外网 （不安全）（不安全） 内网内网 （安全）（安全） Internet 防火墙系统（堡垒主机防火墙系统（堡垒主机+ +路由器等）路由器等） 企业内部网（如企业内部网（如IntranetIntranet） . 非安全网络非安全网络 安全网络安全网络 （2）

35、防火墙的功能（四个）防火墙的功能（四个） （3 3）防火墙的类型）防火墙的类型 包过滤型防火墙包过滤型防火墙 代理服务器型防火墙代理服务器型防火墙 状态监测型防火墙状态监测型防火墙 应用层应用层 表示层表示层 会话层会话层 传输层传输层 网络层网络层 链路层链路层 物理层物理层 三种防火墙的比较：三种防火墙的比较： 包过滤型包过滤型 代理型代理型 状态监测型状态监测型 优点：优点：速度快速度快 用户端不需用户端不需 要进行要进行 设置设置 针对应用层数据进行针对应用层数据进行 过滤，增强了可控性过滤，增强了可控性 日志功能加强了对不日志功能加强了对不 安因素的追踪与排查安因素的追踪与排查 屏蔽

36、了内网细节屏蔽了内网细节 减少了大减少了大 量量 开放端口开放端口 降低了管理员降低了管理员 配置访问规则配置访问规则 的难度的难度 缺点：缺点：无法过滤审无法过滤审 核数据包的核数据包的 内容内容 无法详细记无法详细记 录细致录细致 的日的日 志志 速度较慢速度较慢 新的网络协议和应用新的网络协议和应用 都需要一套代理程序都需要一套代理程序 成本高成本高 配置复杂配置复杂 电子商务中防火墙与电子商务中防火墙与Web服务器的配置方式服务器的配置方式 Internet 不安全网络不安全网络 Web 服务器服务器 Intranet 安全网安全网 防火墙防火墙+ +路由器路由器 业务业务Web服务器

37、放在防火墙之服务器放在防火墙之内内的配置图的配置图 （4）防火墙技术在网上支付中的应用）防火墙技术在网上支付中的应用 电子商务中防火墙与电子商务中防火墙与Web服务器的配置方式服务器的配置方式 Internet 不安全网络不安全网络 Web 服务器服务器 Intranet 安全网安全网 防火墙防火墙+路由器路由器 业务业务Web服务器放在防火墙之服务器放在防火墙之外外的配置图的配置图 （4）防火墙技术在网上支付中的应用）防火墙技术在网上支付中的应用 一、填空一、填空 1、 是指设置在不同网络（如可信任的企业内部网络和是指设置在不同网络（如可信任的企业内部网络和 不可信的公共网或安全域）之间的，

38、用以实施网络间访问不可信的公共网或安全域）之间的，用以实施网络间访问 控制的一组组件的集合。控制的一组组件的集合。 2、常见的防火墙采用的技术分类有：常见的防火墙采用的技术分类有： 、 、 。 二、判断：二、判断： 1、为控制企业内部对外的访问及抵御外部对内部网络的攻为控制企业内部对外的访问及抵御外部对内部网络的攻 击，最好的选择是杀毒软件。击，最好的选择是杀毒软件。 2、防火墙在设计的时候要尽量使用较大组件，尽可能的提防火墙在设计的时候要尽量使用较大组件，尽可能的提 供保护全部网络的功能。供保护全部网络的功能。 3、防火墙能够完全防止传送已被病毒感染的软件和文件。防火墙能够完全防止传送已被病

39、毒感染的软件和文件。 三、问答：三、问答： 公司的公司的WEB服务器受到来自某个服务器受到来自某个IP地址的黑客反复攻击，地址的黑客反复攻击， 你的主管要求你通过防火墙阻止来自那个地址的所有连接，你的主管要求你通过防火墙阻止来自那个地址的所有连接， 以保护以保护WEB服务器，那么你应该选择哪一种防火墙？服务器，那么你应该选择哪一种防火墙？ 三、网上支付安全相关技术三、网上支付安全相关技术 3.3.基于角色的访问控制技术基于角色的访问控制技术 除了网络层访问控制要求，网络支付系统应除了网络层访问控制要求，网络支付系统应 用层一般还设计对用户的基于角色的访问控制技用层一般还设计对用户的基于角色的访

40、问控制技 术。术。 一 访问控制技术与应用 角色角色 权限权限 案列一：金蝉脱壳案列一：金蝉脱壳发货在先陷阱多发货在先陷阱多 拿货开溜拿货开溜：各位卖家在交易时，切不可着急出货。有的：各位卖家在交易时，切不可着急出货。有的 买家谎称自己不会使用支付宝，收到货后用银行汇款，只买家谎称自己不会使用支付宝，收到货后用银行汇款，只 要货一发出，这买家就人间蒸发。一定要强烈支持支付宝，要货一发出，这买家就人间蒸发。一定要强烈支持支付宝， 或款到货。或款到货。 骗取半价骗取半价：有的买家称信不过卖家，先付一半的货款，：有的买家称信不过卖家，先付一半的货款， 作为定金，货到后再付余款。卖家一定不要相信对方，

41、因作为定金，货到后再付余款。卖家一定不要相信对方，因 为只要你的货发出，那一半的货款是可能收不回来的。为只要你的货发出，那一半的货款是可能收不回来的。 谎称付款谎称付款：卖家切记在发货前要查看交易状态买家是否：卖家切记在发货前要查看交易状态买家是否 付款。有些买家在旺旺上留言谎称已付款，有些粗心的卖付款。有些买家在旺旺上留言谎称已付款，有些粗心的卖 家不看交易状态就轻易相信，造成损失。家不看交易状态就轻易相信，造成损失。 真传假汇真传假汇：有买家把银行的汇款单传真过来，卖家要在：有买家把银行的汇款单传真过来，卖家要在 查清汇款是否到帐后再发货，因为有些传真来的汇款单是查清汇款是否到帐后再发货，因为有些传真来的汇款单是 假的。假的。 案列二：瞒天过海案列二：瞒天过海同城交易有猫腻同城交易有猫腻 提醒卖家：为了杜绝任何受骗的可能，同城交易时最好提醒卖家：为了杜绝任何受骗的可能，同城交易时最好 让对方写下收据，并防上假钞。让对方写下收据，并防上假钞。 案列三：移花接木案列三：移花接木退货之后藏隐退货之后藏隐 患患 如果买家要求退货，一定要在收到货如果买家要求退货，一定要在