电子商务安全技术概述

第五章电子商务安全技术学习目标1．掌握电子商务安全的概念；2．掌握古典加密学理论和方法；3．掌握数字证书概念；4．掌握身份认证概念；5．掌握生理特征识别概念；6．掌握防火墙概念。

5.1电子商务务安全概概述5.1..1电子商务务面临的的安全问问题1．计算机机安全问问题（1）国际标标准化委委员会的的定义是是“为数数据处理理系统和和采取的的技术的的和管理理的安全全保护，，保护计计算机硬硬件、软软件、数数据不因因偶然的的或恶意意的原因因而遭到到破坏、、更改、、显露。。”（2）美国国国防部国国家计算算机安全全中心的的定义是是“要讨讨论计算算机安全全首先必必须讨论论对安全全需求的的陈述，，.......。一般说说来，安安全的系系统会利利用一些些专门的的安全特特性来控控制对信信息的访访问，只只有经过过适当授授权的人人，或者者以这些些人的名名义进行行的进程程可以读读、写、、创建和和删除这这些信息息。”5.1电子商务务安全概概述（3）我国公公安部计计算机管管理监察察司的定定义是““计算机机安全是是指计算算机资产产安全，，即计算算机信息息系统资资源和信信息资源源不受自自然和人人为有害害因素的的威胁和和危害。。”计算机安安全可分分成三类类，即保保密、完完整和即即需。保密是指指防止未未授权的的数据暴暴露并确确保数据据源的可可靠性；；完整是防防止未经经授权的的数据修修改；即需是防防止延迟迟或拒绝绝服务。。5.1电子商务务安全概概述2．网络安安全问题题（1）中断中断是指指系统的的部分组组件遭受受到破坏坏或使其其不能发发挥作用用，例如如，切断断系统主主机对外外的网络络连接，，使其无无法使用用，这是是对系统统的可用用性做攻攻击。（2）篡改篡改是指指系统资资源被未未经授权权的人所所取得，，乃至篡篡改内容容，例如如，在网网络上传传送的订订单遭到到任意改改变，是是对数据据的正确确性的攻攻击。（3）介入介入是指指未经授授权者授授权取得得系统的的资源，，其中的的未经授授权者可可以是一一台计算算机、一一个人，，或是一一组程序序，例如如，利用用窃取网网络上传传送的机机密数据据，就是是对数据据机密生生的攻击击。5.1电子商务务安全概概述（4）假造假造是指指未经授授权将假假造数据据放入系系统中，，这是对对数据的的真实性性的攻击击。例如如，在网网络上假假造身份份证明文文件以假假冒他人人。3．计算机机信息系系统面临临的威胁胁（1）自然灾灾害（2）黑客的的威胁和和攻击（3）计算机机病毒（4）垃圾邮邮件和间间谍软件件（5）信息战战的严重重威胁（6）计算机机犯罪5.1电子商务务安全概概述5.1..2电子商务务对安全全的基本本要求1．电子商商务的安安全控制制要求（1）信息保保密性交易中的的商务信信息均有有保密的的要求。。例如，，信用卡卡的账号号和用户户名被人人知悉，，就可能能被盗用用，订货货和付款款的信息息被竞争争对手获获悉，就就可能丧丧失商机机。因此此在电子子商务的的信息传传播中一一般均有有加密的的要求。。（2）交易者者身份的的确定性性网上交易易的双方方很可能能素昧平平生，相相隔千里里。要使使交易成成功，首首先要能能确认对对方的身身份，对对商家要要考虑客客户端不不能是骗骗子，而而客户也也会担心心网上的的商店不不是一个个玩弄欺欺诈的黑黑店。因因此能方方便而可可靠地确确认对方方身份是是交易的的前提。。5.1电子商务务安全概概述（3）不可否否认性由于商情情的千变变万化，，交易一一旦达成成是不能能被否认认的。否否则必然然会损害害一方的的利益。。例如订订购黄金金，订货货时金价价较低，，但收到到订单后后，金价价上涨了了，如收收单方能能滞认收收到订单单的实际际时间，，甚至否否认收到到订单的的事实，，则订货货方就会会蒙受损损失。因因此电子子交易通通信过程程的各个个环节都都必须是是不可否否认的。。（4）不可修修改性交易的文文件是不不可被修修改的，，例如，，上例所所举的订订购黄金金。供货货单位在在收到订订单后，，发现金金价大幅幅上涨了了，如其其能改动动文件内内容，将将订购数数1吨改为1克，则可可大幅受受益，那那么订货货单位可可能就会会因此而而蒙受损损失。因因此电子子交易文文件也要要能做到到不可修修改，以以保障交交易的严严肃和公公正。5.1电子商务务安全概概述2．计算机机网络安安全防范范策略（1）防火墙墙技术防火墙是是网络安安全的屏屏障，配配置防火火墙是实实现网络络安全最最基本、、最经济济、最有有效的安安全措施施之一。。（2）数据加加密与用用户授权权访问控控制技术术与防火墙墙相比，，数据加加密与用用户授权权访问控控制技术术比较灵灵活，更更加适用用于开放放的网络络。用户户授权访访问控制制主要用用于对静静态信息息的保护护，需要要系统级级别的支支持，一一般在操操作系统统中实现现。（3）入侵检检测技术术入侵检测测技术是是一种主主动保护护自己免免受攻击击的一种种网络安安全技术术。作为为防火墙墙的合理理补充，，入侵检检测技术术能够帮帮助系统统对付网网络攻击击，扩展展了系统统管理员员的安全全管理能能力（包包括安全全审计、、监视、、攻击识识别和响响应），，提高了了信息安安全基础础结构的的完整性性。5.1电子商务务安全概概述（4）防病毒毒技术电脑病毒毒是令人人头痛的的问题，，Internet的快速发发展使得得病毒造造成毁灭灭性的灾灾难成为为可能。。因此，，防止网网络病毒毒问题是是保障电电子商务务交易安安全最重重要的研研究课题题之一。。（5）认证技技术认证技术术是保证证电子商商务安全全的又一一重要技技术手段段，是防防止信息息被篡改改、删除除、重放放和伪造造的一种种有效方方法，它它使发送送的消息息具有被被验证的的能力，，使接收收者能够够识别和和确认消消息的真真伪。5.1电子商务务安全概概述①数字字签名技技术。在在电子商商务的安安全保密密系统中中，数字字签名技技术有着着特别重重要的地地位，安安全服务务中的源源鉴别、、完整性性服务、、不可否否认服务务，都要要用到它它。②身份份识别技技术。通通过电子子网络开开展电子子商务，，身份识识别是一一个不得得不解决决的问题题。只有有采取一一定的措措施使商商家可以以确认对对方的身身份，商商家才能能放心地地开展电电子商务务。③信息息完整性性校验。。信息的的完整性性要靠信信息认证证来实现现，信息息认证是是信息的的合法接接受者对对信息的的真伪进进行判定定的技术术。5.1电子商务务安全概概述（6）安全管管理队伍伍的建设设在计算机机网络系系统中，，绝对的的安全是是不存在在的，制制定健全全的安全全管理体体制是计计算机网网络安全全的重要要保证，，只有通通过网络络管理人人员与使使用人员员的共同同努力，，运用一一切可以以使用的的工具和和技术，，尽一切切可能去去控制、、减小一一切非法法的行为为，尽可可能地把把不安全全的因素素降到最最低。5.1电子商务务安全概概述5.1..3交易环境境的安全全性1．交易中中存在的的主要安安全问题题（1）信息在在网络的的传输过过程中被被截获（2）传输的的文件可可能被篡篡改（3）假冒他他人身份份（4）伪造电电子邮件件（5）抵赖行行为。①①发信者者事后否否认曾经经发送过过某条内内容；②②收信者者事后否否认曾经经收到过过某行消消息或内内容；③③购买者者发出订订货单后后不承认认；④商商家卖出出的商品品因价格格差而不不承认原原有的交交易。5.1电子商务务安全概概述2．用户信信任度分分析用户的信信任度对对于一般般的公司司而言，，无庸置置疑，是是十分重重要的，，同样对对于目前前大多数数商业化化程度较较高的网网站而言言，网民民的信任任是不可可忽视的的。但是要注注意的是是，网络络的虚幻幻也在一一定程度度上增加加了虚假假的可能能性，从从而在某某种程度度会使用用户产生生不信任任感，在在中国，，人们对对于传统统媒体的的信任程程度要高高于对网网络媒体体的信任任程度。。无论是在在网上还还是在网网下进行行商业运运作，信信任总是是一个不不可缺少少的重要要组成部部分。消费者必必须要对对商家产产生信任任感才会会进行消消费。网网络业务务的拓展展速度几几乎和消消费者对对网络公公司失去去信任的的速度相相当。根根据有关关调查报报告显示示，只有有10%的消费者者认为网网络购物物是不存存在风险险的；23%的用户认认为他们们受到过过骇客的的攻击，，16%的用户认认为他们们的私人人信息未未经授权权就会被被用作商商业用途途。5.1电子商务务安全概概述3．建立电电子商务务安全保保障体系系，提升升用户信信任度的的途径提升用户户信任度度可从以以下几个个途径展展开。（1）技术途途径①明确确电子商商务安全全体系结结构。②充分分发挥电电子商务务安全协协议作用用。③增强强人们对对电子商商务的信信任度，，必须加加强计算算机的安安全技术术。（2）管理途途径①建立立网络品品牌的信信任度。。②完善善电子商商务安全全管理制制度。③鼓励励研究开开发先进进的电子子商务安安全技术术产品。5.1电子商务务安全概概述（3）构造良良好的法法制环境境①全球球电子商商务的持持续发展展将取决决于合同同法律框框架的制制订。②从交交易安全全方面看看，要制制定一些些相关的的电子商商务法律律。③从电电子支付付方面看看，也需需要制定定相应的的法律。。④有关关电子商商务消费费者权益益保护的的法律。。⑤有关关保护个个人隐私私、秘密密的法律律。

5.2信息安全全技术5.2..1信息安全全技术概概述1．信息安安全的概概念“安全””一词的的基本含含义为：：“远离离危险的的状态或或特性””，或““主观上上不存在在威胁，，主观上上不存在在恐惧””。在各各个领域域都存在在着安全全问题，，安全问问题是普普遍存在在的。随随着计算算机网络络的迅速速发展，，人们对对信息的的存储、、处理和和传递过过程中涉涉及的安安全问题题越来越越关注，，信息领领域的安安全问题题变得非非常突出出。信息安全全是一个个广泛而而抽象的的概念，，不同领领域不同同方面对对其概念念的阐述述都会有有所不同同。建立立在网络络基础之之上的现现代信息息系统，，其安全全定义较较为明确确，那就就是：保保护信息息系统的的硬件、、软件及及相关数数据，使使之不因因为偶然然或者恶恶意侵犯犯而遭受受破坏、、更改及及泄露，，保证信信息系统统能够连连续、可可靠、正正常地运运行。在在商业和和经济领领域，信信息安全全主要强强调的是是消减并并控制风风险，保保持业务务操作的的连续性性，并将将风险造造成的损损失和影影响降低低到最低低程度。。5.2信息安全全技术2．信息安安全的威威胁信息安全全的威胁胁是指某某个人、、物、事事件或概概念对信信息资源源的保密密性、完完整性、、可用性性或合法法使用所所造成的的危险。。攻击就就是对安安全威胁胁的具体体体现。。目前还还没有统统一的方方法来对对各种威威胁进行行分类，，也没有有统一的的方法来来对各种种威胁加加以区别别。信息息安全所所面临的的威胁与与环境密密切相关关，不同同威胁的的存在及及重要性性是随环环境的变变化而变变化的。。下面给给出一些些常见的的安全威威胁。（1）服务干干扰服务干扰扰是指以以非法手手段窃得得对信息息的使用用权，恶恶意添加加、修改改、插入入、删除除或重复复某些无无关信息息，不断断对网络络信息服服务系统统进行干干扰，使使系统响响应减慢慢甚至瘫瘫痪，影影响用户户的正常常使用，，如一些些不法分分子在国国外干扰扰我国正正常卫星星通信等等。5.2信息安全全技术（2）恶意访访问恶意访问问是指没没有预先先经过授授权同意意，就使使用网络络或计算算机资源源被看作作恶意访访问，如如有意避避开系统统访问控控制机制制，对网网络设备备及资源源进行非非正常使使用，或或擅自扩扩大权限限，越权权访问信信息等。。（3）自身失失误自身失误误是指网网络管理理员或网网络用户户都拥有有相应的的权限，，利用这这些权限限破坏网网络安全全的可能能性也是是存在的的。如操操作口令令被泄露露，磁盘盘上的机机密文件件被人利利用及未未将临时时文件删删除导致致重要信信息被窃窃取，都都有可能能使网络络安全机机制失效效，从内内部遭受受严重破破坏。（4）信息泄泄露信息泄露露是指信信息被泄泄露或透透露给某某个非授授权的实实体。（5）破坏信信息的完完整性破坏信息息的完整整性是指指数据被被非授权权地进行行增删、、修改或或破坏而而受到损损失。5.2信息安全全技术（6）拒绝服服务拒绝服务务是指对对信息或或其他资资源的合合法访问问被无缘缘无故拒拒绝。（7）非法使使用非法使用用是指某某一资源源被某个个非授权权的人，，或以非非授权的的方式使使用。（8）窃听窃听是指指用各种种可能的的合法或或非法的的手段窃窃取系统统中的信信息资源源和敏感感信息。。（9）业务流流分析业务流分分析是指指通过对对系统进进行长期期监听，，利用统统计分析析方法对对诸如通通信频度度、通信信问题的的变化等等参数进进行研究究，从中中发现有有价值的的信息和和规律。。（10）假冒假冒是指指通过欺欺骗通信信系统达达到非法法用户冒冒充成为为合法用用户，或或者特权权小的用用户冒充充成特权权大的用用户的目目的。（11）旁路控控制旁路控制制是指攻攻击者利利用系统统的安全全缺陷或或安全性性上的脆脆弱之处处获得非非授权的的权利或或特权。。例如，，攻击者者通过各各种攻击击手段发发现原本本应该保保密，但但是却又又暴露出出来的一一些系统统“特性性”，利利用这些些“特性性”，攻攻击者可可以绕过过防线守守卫者侵侵入到系系统的内内部。5.2信息安全全技术（12）内部攻攻击内部攻击击是指被被授权以以某一目目的的使使用某一一系统或或资源的的某个个个人，却却将此权权限用于于其他非非授权的的目的。。（13）特洛伊伊木马特洛伊木木马是指指软件中中含有一一个察觉觉不出的的或者无无害的程程序段，，当其被被执行时时，会破破坏用户户的安全全。这种种应用程程序称为为特洛伊伊木马（（TrojanHorse）。（14）陷阱门门陷阱门是是指在某某个系统统或某个个部件中中设置的的“机关关”，使使得在特特定的数数据输入入时，允允许违反反安全策策略。（15）抵赖抵赖是指指这是一一种来自自用户的的攻击，，比如：：否认自自己曾经经发布过过的某条条消息，，伪造一一份对方方来信等等。（16）重放重放是指指出于非非法目的的，将所所截获的的某次合合法的通通信数据据进行复复制，并并重新发发送。（17）电脑病病毒电脑病毒毒是指一一种人为为编制的的特定程程序。它它可以在在计算机机系统运运行过程程中实现现传染和和侵害功功能。它它可以通通过电子子邮件、、软件下下载、文文件服务务器、防防火墙等等侵入网网络内部部，删除除、修改改文件，，导致程程序运行行错误、、死机，，甚至毁毁坏硬件件。网络络的普及及为病毒毒检测与与消除带带来很大大的难度度，用户户很难防防范。5.2信息安全全技术（18）员工泄泄露员工泄露露是指某某个授权权的人，，为了金金钱或某某种利益益，或由由于粗心心，将信信息泄露露给某个个非授权权的人。。（19）媒体废废弃媒体废弃弃是指信信息被从从废弃的的磁盘、、光盘或或纸张等等存储介介质中获获得。（20）物理侵侵入物理侵入入是指侵侵入者绕绕过物理理控制而而获得对对系统的的访问。。（21）窃取窃取是指指重要的的安全物物品（如如身份卡卡等）被被盗用。。（22）业务欺欺骗业务欺骗骗是指某某一伪系系统或系系统部件件欺骗合合法的用用户或系系统自愿愿放弃敏敏感信息息等。5.2信息安全全技术3．信息安安全需求求（1）法律法法规与合合同条约约的要求求与信息安安全相关关的法律律法规是是对组织织的强制制性要求求，组织织应该对对现有的的法律法法规加以以识别，，将适用用于组织织的法律律法规转转化为组组织的信信息安全全需求。。这里所所说的法法律法规规有3个层次，，即国家家法律、、行政法法规和各各部委和和地方的的规章及及规范性性文件。。（2）组织的的原则、、目标和和规定组织应该该根据既既定的信信息安全全方针、、要求实实现的安安全目标标和标准准来确定定组织的的信息安安全要求求，确保保支持业业务运作作的信息息处理活活动的安安全性。。（3）风险评评估的结结果除了以上上两个信信息安全全需求的的来源之之外，确确定安全全需求最最主要的的一个途途径就是是进行风风险评估估，组织织对信息息资产的的保护程程度和控控制方式式的确定定都应建建立在风风险评估估的基础础之上。。一般来来讲，通通过综合合考虑每每项资产产所面临临的威胁胁、自身身的弱点点、威胁胁造成的的潜在影影响和发发生的可可能性等等因素，，组织可可以分析析并确定定具体的的安全需需求。风风险评估估是信息息安全管管理的基基础。5.2信息安全全技术4．信息安安全技术术归纳起来来，典型型的信息息安全技技术包括括以下几几种。（1）物理安安全技术术，包括括环境安安全、设设备安全全、媒体体安全等等。（2）系统安安全技术术，包括括操作系系统及数数据库系系统的安安全性等等。（3）网络安安全技术术，包括括网络隔隔离、访访问控制制、VPN、入侵检检测、扫扫描评估估等。（4）应用安安全技术术，包括括Email安全、Web访问安全全、内容容过滤、、应用系系统安全全等。（5）数据加加密技术术，包括括硬件和和软件加加密，实实现身份份认证和和数据信信息的CIA特性等。。（6）认证授授权技术术，包括括口令认认证、SSO认证（例例如Kerberos）、证书书认证等等。（7）访问控控制技术术，包括括防火墙墙、访问问控制列列表等。。（8）审计跟跟踪技术术，包括括入侵检检测、日日志审计计、辨析析取证等等。（9）防病毒毒技术，，包括单单机防病病毒技术术逐渐发发展成整整体防病病毒体系系等。（10）灾难恢恢复和备备份技术术，包括括业务连连续性技技术，前前提就是是对数据据的备份份等。5.3数字证书书和身份份认证5.3..1数字证书书概述1．什么是是数字证证书为了保证证互联网网上电子子交易及及支付的的安全性性，保密密性等，，防范交交易及支支付过程程中的欺欺诈行为为，必须须在网上上建立一一种信任任机制。。这就要求求参加电电子商务务的买方方和卖方方都必须须拥有合合法的身身份，并并且在网网上能够够有效无无误的被被进行验验证。数字证书书是一种种权威性性的电子子文档。。它提供供了一种种在Internet上验证身身份的方方式，其其作用类类似于司司机的驾驾驶执照照或日常常生活中中的身份份证。数字身份份认证是是基于国国际PKI标准的网网上身份份认证系系统，数数字证书书相当于于网上的的身份证证，它以以数字签签名的方方式通过过第三方方权威认认证有效效地进行行网上身身份认证证，帮助助各个实实体识别别对方身身份和表表明自身身的身份份，具有有真实性性和防抵抵赖功能能。与物物理身份份证不同同的是，，数字证证书还具具有安全全、保密密、防篡篡改的特特性，可可对企业业网上传传输的信信息进行行有效保保护和安安全的传传递。5.3数字证书书和身份份认证它由一个个由权威威机构-----CA证书授权权（CertificateAuthority）中心发发行的，，人们可可以在互互联网交交往中用用它来识识别对方方的身份份。当然然在数字字证书认认证的过过程中，，证书认认证中心心（CA）作为权权威的、、公正的的、可信信赖的第第三方，，其作用用是至关关重要的的。数字证书书采用公公钥密码码体制，，即利用用一对互互相匹配配的密钥钥进行加加密、解解密。每每个用户户拥有一一把仅为为本人所所掌握的的私有密密钥（私私钥），，用它进进行解密密和签名名；同时时拥有一一把公共共密钥（（公钥））并可以以对外公公开，用用于加密密和验证证签名。。当发送一一份保密密文件时时，发送送方使用用接收方方的公钥钥对数据据加密，，而接收收方则使使用自己己的私钥钥解密，，这样，，信息就就可以安安全无误误地到达达目的地地了，即即使被第第三方截截获，由由于没有有相应的的私钥，，也无法法进行解解密。通通过数字字的手段段保证加加密过程程是一个个不可逆逆过程，，即只有有用私有有密钥才才能解密密。在公公开密钥钥密码体体制中，，常用的的一种是是RSA体制。5.3数字证书书和身份份认证2．数字签签名的概概念在金融和和商业等等系统中中，许多多业务都都要求在在单据上上进行签签名或加加盖印章章，证实实其真实实性，以以备日后后检查，，可是在在利用计计算机网网络来传传送报文文时，显显然不能能用手签签的方法法，在计计算机中中我们可可以采用用数字签签名的方方法，利利用公开开密钥来来实现数数字签名名，从而而代替传传统的签签名。为使数字字签名能能代替传传统的签签名，必必须满足足下面三三个条件件：（1）接收者者能够核核实发送送者对报报文的签签名；（2）发送者者事后不不能抵赖赖对其报报文的签签名；（3）接收者者无法伪伪造对报报文的签签名。5.3数字证书书和身份份认证3．数字签签名的基基本形式式对于交换换信息的的双方而而言，数数字签名名的最基基本形式式是该信信息基于于某种特特定的附附加信息息（如密密钥或标标识等的的信息摘摘录）。。发送方方对发送送的报文文签名并并随同报报文一起起发送，，以担保保报文的的内容，，若需接接收方也也对报文文的内容容进行担担保，则则要求接接收方向向发送方方返回一一个签名名的回执执（可以以是对报报文的再再签名））。4．数字签签名的实实现数字签名名的简单单实例是是直接利利用RSA算法和发发送方的的秘密密密钥。对对被签名名的数据据进行加加密。当当接收方方收取本本块密文文时，使使用发送送方的公公开密钥钥进行解解密，如如果能够够还原明明文，则则根据公公开密钥钥体制的的特点（（公开密密钥加密密的密文文只能用用秘密密密钥解密密，秘密密密钥加加密的密密文只能能用公开开密钥解解密），，可以认认为该数数据确实实来自于于希望的的发送方方。5.3数字证书书和身份份认证5．数字证证书的申申请一般来讲讲，用户户要携带带有关证证件到各各地的证证书受理理点，或或者直接接到证书书发放机机构即CA中心填写写申请表表并进行行身份审审核，审审核通过过后交纳纳一定费费用就可可以得到到装有证证书的相相关介质质（磁盘盘或Key）和一个个写有密密码口令令的密码码信封。。6．数字证证书该的的使用用户在进进行需要要使用证证书的网网上操作作时，必必须准备备好装有有证书的的存储介介质。如果用户户是在自自己的计计算机上上进行操操作，操操作前必必须先安安装CA根证书。。一般所所访问的的系统如如果需要要使用数数字证书书会自动动弹出提提示框要要求安装装根证书书，用户户直接选选择确认认即可；；当然也也可以直直接登陆陆CA中心的网网站，下下载安装装根证书书。操作时，，一般系系统会自自动提示示用户出出示数字字证书或或者插入入证书介介质（IC卡或Key），用户户插入证证书介质质后系统统将要求求用户输输入密码码口令，，此时用用户需要要输入申申请证书书时获得得的密码码信封中中的密码码，密码码验证正正确后系系统将自自动调用用数字证证书进行行相关操操作。使使用后，，用户应应记住取取出证书书介质，，并妥善善保管。。当然，，根据不不同系统统数字证证书会有有不同的的使用方方式，但但系统一一般会有有明确提提示，用用户使用用起来都都较为方方便。5.3数字证书书和身份份认证7．数字证证书的收收费作为一种种第三方方认证服服务，数数字证书书是需要要收取一一定费用用的。就就像我们们在日常常生活中中进行证证件公正正需要支支付公正正费用，，进行通通讯需要要支付通通讯费一一样，CA数字证书书作为网网上身份份认证和和安全信信息传递递的工具具一样是是有偿进进行的。。从服务提提供方的的角度来来讲，CA中心需要要对几十十万用户户的数据据进行维维护，同同时对随随时发生生的网上上操作调调用进行行处理运运作，成成本是可可观的。。针对这一一点，国国外CA证书的收收费也相相对有较较高标准准，例如如，目前前国际社社会使用用较为普普遍的Verisign企业CA证书的收收费标准准为890美元/年，以此此来维持持其高额额的运作作成本。。国内其其他CA中心也针针对证书书服务收收取一定定的费用用。5.3数字证书书和身份份认证5.3..2数字证书书的功能能与应用用1．数字证证书的功功能数字证书书有以下下几个功功能。（1）信息的的保密性性（2）网络通通讯双方方身份的的确定性性（3）不可否否认性（4）不可修修改性5.3数字证书书和身份份认证2．数字证证书的应应用数字证书书可以应应用到以以下多个个领域中中。（1）网上银银行（2）电子商商务（3）手机移移动支付付（4）网上证证券5.3数字证书书和身份份认证5.3..3身份认证证概述1．身份认认证定义义声称者向向验证者者出示自自己的身身份的证证明过程程。证实实客户的的真实身身份与其其所声称称的身份份是否相相符的过过程。身份认证证又叫身身份鉴别别、实体体认证、、身份识识别。认认证目的的是使别别的成员员（验证证者）获获得对声声称者所所声称的的事实的的信任。。身份认认证是获获得系统统服务所所必须的的第一道道关卡。。2．身份认认证分类类身份认证证可以分分为本地地和远程程两类。。（1）本地，，实体在在本地环环境的初初始化鉴鉴别（就就是说，，作为实实体个人人只和设设备物理理接触，，不和网网络中的的其他设设备通信信）。（2）远程，，连接远远程设备备、实体体和环境境的实体体鉴别。。实体鉴别别可以是是单向的的也可以以是双向向的。单单向认证证是指通通信双方方中只有有一方向向另一方方进行鉴鉴别。双双向认证证是指通通信双方方相互进进行鉴别别。5.3数字证书书和身份份认证3．认证技技术认证技术术是计算算机网络络安全中中的一个个重要内内容，一一般可以以分为两两种：（1）消息认认证，用用于保证证信息的的完整性性和抗否否认性；；在很多多情况下下，用户户要确认认网上信信息是不不是假的的，信息息是否被被第三方方修改或或伪造，，这就需需要消息息认证。。消息认认证的有有关内容容参见加加密解密密部分和和数字签签名部分分。（2）身份认认证，用用于鉴别别用户身身份。包包括①识识别，，明确并并区分访访问者的的身份；；②验验证，对对访问者者声称的的身份进进行确认认。5.3数字证书书和身份份认证4．基于秘秘密信息息的身份份认证方方法（1）口令核核对口令核对对的基本本做法是是，让每每一个合合法用户户都有系系统给的的一个用用户名/口令对，，用户进进入时，，系统要要求输入入用户名名、口令令，如果果正确，，则该用用户的身身份得到到了验证证。（2）单向认认证单向认证证是指通通信的双双方只要要一方被被另一方方鉴别，，这样的的身份认认证过程程就是一一种单向向认证。。口令核核对其实实也是一一种单向向认证，，只是这这种认证证方法还还没有与与密钥分分发相结结合。解决方案案：①采采用对对称密钥钥加密体体制，通通过一个个可信任任的第三三方——通常称为为KDC（密钥分分发中心心），由由这个第第三方来来实现通通信双方方的身份份认证和和密钥分分发；②②采用用非对称称的密钥钥加密体体制，无无需第三三方的参参与。5.3数字证书书和身份份认证（3）双向认认证双向认证证是指通通信双方方需要互互相鉴别别各自的的身份，，然后交交换会话话密钥。。（4）身份的的零知识识证明通常的身身份认证证都要求求传输口口令或身身份信息息，但如如果能够够不传输输这些信信息身份份也得到到认证就就好了。。零知识识证明就就是这样样一种技技术。被认证方方A掌握某些些秘密信信息，A想设法让让认证方方B相信他确确实掌握握那些信信息，但但又不想想让认证证方B知道那些些信息。。5．基于物物理安全全的身份份认证方方法前面提出出的一些些身份认认证方法法，它们们有一个个共同的的特点，，就是只只依赖于于用户知知道的某某个秘密密的信息息，与此此对应的的是依赖赖于用户户特有的的基于用用户特有有的某些些生物学学信息或或用户持持有的硬硬件。基于生物物学的方方案包括括基于指指纹识别别的身份份认证、、基于声声音识别别的身份份认证以以及基于于虹膜识识别的身身份认证证等技术术。基于智能能卡的身身份认证证机制在在认证时时需要一一个硬件件——智能卡（（智能卡卡中存有有秘密信信息，通通常是一一个随机机数），，只有持持卡人才才能被认认证。这这样可以以有效地地防止口口令猜测测，有卡卡有密码码的用户户会被得得到认证证。5.4防火墙5.4..1防火墙概概述1．防火墙墙概述所谓“防防火墙””，是指指一种将将内部网网和公众众访问网网（如Internet）分开的的方法，，它实际际上是一一种隔离离技术。。防火墙是是在两个个网络通通讯时执执行的一一种访问问控制尺尺度，它它能允许许你“同同意”的的人和数数据进入入你的网网络，将将“不同同意”的的人和数数据拒之之门外，，最大限限度地阻阻止网络络中的黑黑客来访访问你的的网络，，防止他他们更改改、拷贝贝、毁坏坏你的重重要信息息。防火墙最最初含义义是，当当房屋还还处于木木制结构构的时侯侯，人们们将石块块堆砌在在房屋周周围用来来防止火火灾的发发生，这这种墙被被称之为为防火墙墙。防火墙是是一种访访问控制制技术，，在某个个机构的的网络和和不安全全的网络络之间设设置障碍碍，阻止止对信息息资源的的非法访访问。换换句话说说，防火火墙是一一道门槛槛，用来来控制进进/出两个方方向的通通信。图图5-5所示的是是防火墙墙示意图图。5.4防火墙5.4防火墙2．防火墙墙的作用用防火墙具具有以下下几个作作用。（1）作为网网络安全全的屏障障只有经过过精心选选择的应应用协议议才能通通过防火火墙，可可使网络络环境变变得更安安全。如如防火墙墙可以禁禁止NFS协议进出出受保护护的网络络，这样样外部的的攻击者者就不可可能利用用这些脆脆弱的协协议来攻攻击内部部网络。。防火墙同同时可以以保护网网络免受受基于路路由的攻攻击，如如IP选项中的的源路由由攻击和和ICMP重定向中中的重定定向路径径。防火火墙应该该可以拒拒绝所有有以上类类型攻击击的报文文并通知知防火墙墙管理员员。5.4防火墙（2）可以强强化网络络安全策策略通过以防防火墙为为中心的的安全方方案配置置，能将将所有安安全软件件（如口口令、加加密、身身份认证证、审计计等）配配置在防防火墙上上。与将将网络安安全问题题分散到到各个主主机上相相比，防防火墙的的集中安安全管理理更经济济。例如如在网络络访问时时，一次次一密口口令系统统和其它它的身份份认证系系统完全全可以不不必分散散在各个个主机上上，而集集中在防防火墙身身上。（3）可以对对网络存存取和访访问进行行监控审审计如果所有有的访问问都经过过防火墙墙，那么么，防火火墙就能能记录下下这些访访问并作作出日志志记录，，同时也也能提供供网络使使用情况况的统计计数据。。当发生生可疑动动作时，，防火墙墙能进行行适当的的报警，，并提供供网络是是否受到到监测和和攻击的的详细信信息。另另外，收收集一个个网络的的使用和和误用情情况也是是非常重重要的。。可以清清楚防火火墙是否否能够抵抵挡攻击击者的探探测和攻攻击，并并且清楚楚防火墙墙的控制制是否充充足。而而网络使使用统计计对网络络需求分分析和威威胁分析析等也是是非常重重要的。。（4）可以防防止内部部信息的的外泄通过利用用防火墙墙对内部部网络的的划分，，可实现现内部网网重点网网段的隔隔离，从从而限制制了局部部重点或或敏感网网络安全全问题对对全局网网络造成成的影响响。5.4防火墙3．防火墙墙的优点点（1）防火墙墙可以通通过执行行访问控控制策略略而保护护整个网网络的安安全，并并且可以以将通信信约束在在一个可可管理和和可靠性性高的范范围之内内。（2）防火墙墙可以用用于限制制对某些些特殊服服务的访访问。（3）防火墙墙功能单单一，不不需要在在安全性性，可用用性和功功能上做做取舍。。（4）防火墙墙有审记记和报警警功能，，有足够够的日志志空间和和记录功功能，可可以延长长安全响响应的周周期。4．防火墙墙的缺点点防火墙具具有以下下几个弱弱点。（1）不能防防御已经经授权的的访问，，以及存存在于网网络内部部系统间间的攻击击。（2）不能防防御合法法用户恶恶意的攻攻击.以及社交交攻击等等非预期期的威胁胁。（3）不能修修复脆弱弱的管理理措施和和存在问问题的安安全策略略。（4）不能防防御不经经过防火火墙的攻攻击和威威胁。5.4防火墙5.4..2分组过滤滤式防火火墙1．分组过过滤式防防火墙概概念分组过滤滤器是目目前使用用最为广广泛的防防火墙，，其原理理很简单单。（1）有选择择地允许许数据分分组穿过过防火墙墙，实现现内部和和外部主主机之间间的数据据交换；；（2）作用在在网络层层和传输输层；（3）根据分分组的源源地址、、目的地地址、端端口号、、协议类类型等标标志确定定是否允允许数据据包通过过。满足足过滤逻逻辑的数数据包才才被转发发，否则则丢弃。。2．分组过过滤式防防火墙工工作原理理分组过滤滤式防火火墙工作作原理示示意如下下图所示示。5.4防火墙5.4防火墙（1）分组过过滤软件件通常集集成到路路由器上上，允许许用户根根据某种种安全策策略进行行设置，，允许特特定的分分组穿越越防火墙墙。（2）路由器器对每个个分组进进行分析析，并为为分组选选择一条条最佳的的路径。。（3）普通路路由器只只执行两两种操作作：如果果它知道道分组的的目的地地址的路路由，就就转发该该分组；；否则则丢弃弃或者退退回分组组。增加加了分组组过滤功功能的路路由器则则检查更更多的内内容。（4）接入因因特网的的每台主主机都有有一个IP地址，并并且内部部网的应应用一般般都与特特定的端端口号有有关，例例如：远远程登录录（Telnet）的TCP端口号的的默认值值为23。（5）提供分分组过滤滤功能的的路由器器可以通通过分析析IP地址和端端口号来来决定是是否转发发一个分分组。例例如：可可以建立立一个对对应端口口号为23的防火墙墙过滤器器来阻止止向内部部计算机机上发送送远程登登录分组组；建立立一个对对应端口口号为21的防火墙墙过滤器器来阻止止外部用用户向内内部计算算机发送送文件传传输分组组（FTP）等。（6）基于分分组过滤滤的防火火墙的安安全性依依赖于用用户制定定的安全全策略。。（7）由于分分组过滤滤防火墙墙是由用用户来设设置安全全策略的的，因此此根据系系统对用用户设置置的理解解，目前前的产品品又为两两类：““不允许许的就是是禁止””和“不不禁止的的就是允允许”。。5.4防火墙3．分组过过滤式防防火墙的的优缺点点（1）优点①能有有效地控控制对站站点的访访问。②能有有效地保保护易