电子商务安全技术

1电子商务安全技术2学习目标了解电子商务面临的主要安全威胁

了解电子商务对安全的基本要求

熟悉电子商务常用的安全技术

掌握防火墙的功能和工作原理了解电子商务常用的加密技术了解电子商务的认证体系

掌握SSL和SET的流程和工作原理3电子商务安全技术8.1电子商务的安全问题

8.2防火墙技术8.3数据加密技术8.4认证技术8.5安全技术协议4案例：国外2000年2月7日－9日，Yahoo,ebay,Amazon等著名网站被黑客攻击，直接和间接损失10亿美元。国内2000年春天，有人利用普通的技术，从多个电子商务网站窃取到8万个信用卡号和密码，标价26万元出售。54000万信用卡用户资料被窃

2005年6月17日(美国当地时间)，万事达公司公布了一条震惊全球的消息：4000万信用卡用户的信息可能被窃。共涉及1390万名万事达卡客户、2200万名维萨卡用户以及数量不详的美国运通Visa客户和Discover卡用户。通过侵入一家信用卡结算处理公司的计算机，黑客显然偷走了20万张信用卡和借记卡账户的数据，并可能访问了4000万名信用卡的信息。68.1电子商务的安全性问题8.1.1电子商务存在的安全问题网络传输过程中信息被截获；传输的文件被篡改；伪造电子邮件:虚开网站发送邮件；伪造大量用户访问，穷尽商家资源；伪造用户窃取商家信息假冒他人身份:盗取信息、欺骗、栽赃；不承认或抵赖已经做过的交易。98.2防火墙技术8.2.1防火墙的含义及其分类含义：

防火墙是被配置在内部网和外部网之间的系统，通过控制内外网络间信息的流动来达到增强内部网络安全性的目的。

防火墙决定了内部的哪些服务可以被外部用户访问以及哪些外部服务可以被内部用户访问。分类：

路由器，定义包过滤规则，以IP信息包为基础进行筛选；

代理服务器，用户在使用internet提供的服务前需身份确认；

复合型（路由器＋代理服务器），所用主机称为堡垒主机。四种最基本的防火墙技术：

包过滤性网关，电路层网关，应用层网关，状态核查10防火墙的功能使系统免受以下攻击：未经授权的访问：外部用户未经授权访问内部网络电子欺骗：通过伪装的Internet用户进行远程登录从事破坏活动；渗透：用假装的主机隐蔽攻击企图；泛洪：用增加访问服务器次数的方法使其过载。118.2.2防火墙技术防火墙系统设计机构的整体安全策略

需要完整、全面，保证不会被迂回过去；防火墙的经济费用

参照防火墙产品的功能、复杂度、包含主机数和维护费用，根据实际情况选择；防火墙系统的组成

可由一个或多个包过滤器、应用层网关（或代理服务器）、电路层网关组成。122.包过滤路由器特点

根据出入接口和规则，允许或拒绝所接收的每个数据包； 工作在网络层，属网络层防火墙。优点： 简单、便宜； 对用户和应用透明，无须改变使用习惯。缺点： 定义复杂； 内外网直接建立连接，无法抵御数据驱动型攻击； 会随过滤路由器规则的数目增加而吞吐量下降； 不能理解特定服务的上下文环境和数据。133.应用层网关特点 应用层网关防火墙通过安装代理软件来实现，每个代理模块（Telnet，FTP，WWW）分别针对不同的应用； 对不同用户采用不同安全级别的认证。常称为堡垒主机。优点： 能够针对各种服务进行全面控制； 支持可靠的身份认证； 提供详细的审计功能和方便的日志分析工具； 相对包过滤路由器更易配置和测试。缺点：

非透明性，要求用户改变使用习惯。144.电路层防火墙特点：

可以由应用层网关实现；

进行简单的中继（如双网卡），不进行包处理和过滤； 对外部隐藏了受保护子网的信息；优点：堡垒主机可以被设置成混合网关，进入的连接使用应用层网关或代理服务器，出去的连接使用电路层网关。154.状态核查防火墙状态核查防火墙保持对连接状态的跟踪：连接是否处于初始化、数据传输或终止状态。

从传输层的角度看，状态防火墙检查数据包头和报文头中的信息。比如，查看TCP头中的SYN、RST、ACK、FIN和其他控制代码来确定连接的状态。优点

★知道连接的状态；

★无需打开很大范围的端口以允许通信；

★比包过滤防火墙阻止更多类型的DoS攻击，有更丰富的日志功能。局限性

★可能很复杂，不易配置；

★不能阻止应用层的攻击；

★不是所有的协议包含状态信息。16几种常见的防火墙连接包过滤型防火墙可以用一台过滤路由器来实现，对所接收的每个数据包做允许或拒绝的决定。处理包的速度要比 代理服务器快；防火墙的维护比较困难等过滤路由器Internet内部网络17双宿网关防火墙拥有两个连接到不同网络上的网络接口的防火墙。两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成。为了保证内部网的安全，双重宿主主机应具有强大的身份认证系统，才可以阻挡来自外部不可信网络的非法登录。网卡代理服务器网卡Internet内部网络18屏蔽主机防火墙由包过滤路由器和堡垒主机组成。强迫所有的外部主机与一个堡垒主机相连接，而不让它们直接与内部主机相连。这个防火墙系统提供的安全等级比包过滤防火墙系统要高，因为它实现了网络层安全（包过滤）和应用层安全（代理服务）。过滤路由器堡垒主机Internet内部网络19屏蔽子网防火墙外部过滤路由器堡垒主机Internet内部网络内部过滤路由器由两个包过滤路由器和一个堡垒主机。这个防火墙系统建立的是最安全的防火墙系统，它在屏蔽主机结构上增加了“周边防御网段”（又称“非军事区”），增加威胁时的隔离。208.2.3防火墙的安全策略及局限性1.防火墙的安全策略没有被列为允许访问的服务都是被禁止的；（更安全）没有被列为禁止访问的服务都是被允许的。（更灵活）2.防火墙的局限性不能阻止来自内部的破坏；不能保护绕过它的连接；无法完全防止新出现的网络危险；不能防止数据内的病毒。21网络安全技术动态传统安全措施尚存不足一些安全应用软件（如反病毒软件）往往依靠特征引擎（signatureengine）来识别威胁。特征引擎将产生的数据与病毒库中已有病毒特征进行对比。这样反病毒引擎在下一次特征更新之前很难发现它们。传统的安全产品历来侧重于保护网络边界，因此很多公司在网络边界上使用了防火墙，但遗憾的是，现实普遍的情况是，网络的核心更不安全。22网络行为分析(NBA)NBA技术可收集及分析网络中的数据，提供流量分析和网络流报告。这是通过对流量信息运用统计算法来实现的。网络探测程序归类的流量异常情况常常被认为是攻击的前兆。很容易从NetFlow或者sFlow数据流中识别主机或者端口侦测和扫描行为。23NBA监控的效果如果出现了一种未知蠕虫，在它还没有被传统的入侵检测/预防系统的特征识别出来之前，NBA系统则能立即识别这种蠕虫不同寻常的流量模式，这种行为模式往往会寻找网络上可以被感染的邻近主机。NBA系统可以监控这些行为，并且向网络管理员发出报警。NBA最吸引人的一项功能在于，它不再与网络边界联系。收集设备能同时监控网络上的多个内部和边界的节点。另外，NBA可与现有的身份管理解决方案融合在一起，把流量异常与相应的用户名称联系起来，从而全面了解这个用户的网络活动。248.3数据加密技术采用数学方法对原始信息进行再组织，使得加密后在网络上公开传输的内容对于非法接受者来说成为无意义的文字；而对于合法的接收者可通过解密得到原始数据；涉及的内容：信息－－明文（原始信息）、密文（加密后的信息）；密钥－－加密密钥、解密密钥；算法－－加密算法、解密算法。258.3.1数据加密、解密基本过程加密解密明文密文密钥268.3.2对称密钥密码体系加密和解密采用同一把秘密钥匙。27加密算法：DES（DataEncryptionStandard）数据加密标准，由IBM研究提出；64位块,56位的密钥,迭代16轮IDEA（InternationalDataEncryptionAlgorithm）国际信息加密算法，在瑞士由JamesMassey和来学嘉发明。

64位块,128位的密钥,迭代8轮

优点：加密、解密速度很快(高效)，

缺点：密钥分发过程代价高，需太多密钥，通信双方须统一密钥。N人通信，需n(n-1)/2密钥288.3.3公开密钥加密技术加密和解密分别用两个密钥实现，也称非对称密钥密码体系。原理:基于数论中的欧拉定理和计算复杂性理论——

求两个大数的乘积是容易的,但要分解两个大素数的乘积,求出它们的素因子则是非常困难的。29公开密钥加密技术加密算法：RSA由美国MIT的Rivest、Shamir和Adleman于1978年提出；

优点：密钥较少便于管理，分配简单，传送无需秘密通道和复杂协议、可以实现数字签名和数字鉴别。缺点：要取得较好的加密效果和强度，必须使用较长的密钥，因此加、解密速度慢。308.3.4

对称密钥和公开密钥的结合

对于网络中传输的数据用对称密钥加密，而加密后的密钥用接收方的公开密钥传送。318.4认证技术8.4.1基本概念数字证书数字证书就是网络通讯中标志通讯方身份信息的一系列数据，是一种在Internet上验证持有者身份的方式。数字证书是一个经认证中心数字签名的包含拥有者信息以及其公开密钥的文件。证书的格式遵循ITUX.509国际标准。32数字证书内容证书拥有者的姓名；证书拥有者的公开密钥；公开秘钥的有效期;颁发数字证书的单位名称数字证书的序列号数字证书分类:个人证书企业证书软件证书33CA（CertificateAuthority）认证中心:一个负责发放和管理数字证书的权威机构。 如:美国的VeriSign、中国金融认证中心CFCACA的构成：RS（Releasee），证书的受理者RA（ReleaseAuditing），证书发放审核部门；CP（CertificatePerform），证书发放的执行（制作、发放、管理）部门；CRL（CertificateRepealList），证书作废表。348.4.2基本认证技术数字信封对称密钥和公开密钥加密技术的结合。每当发信方需要发送信息时，首先生成一个对称密钥，用这个对称密钥加密所需发送的报文；然后用收信方的公开密钥加密这个对称密钥，连同加密了的报文一同传输到收信方。收信方首先使用自己的私有密钥解密被加密的对称密钥，再用该对称密钥解密出真正的报文。用对方的公开密钥加密已方的对称密钥，形成数字信封。35经加密的对称密钥B的私人密钥加密解密B的公开密钥对称密钥对称密钥普通报文普通报文密文AB

具体操作方法是： 发送方A接收方B362.数字签名 发送方从报文文本中生成一个128位的报文摘要(散列值)，然后用自己的专用密钥对这个散列值进行加密，就形成了发送方对该报文的数字签名。37摘要算法（散列算法）MD5（MessageDigestAlgorithm）128散列值SHA（SecureHashAlgorithm）160位散列值MAC(MessageAuthenticationCode)消息认证代码，使用密钥加密的单向函数。383.身份认证

对电子商务参与者的认证。口令认证方式：请求者发送ID与口令，认证者接收并比较；公开密钥签名认证方式：数字签名认证：请求者将认证请求用自己的私有密钥数字签名后发送给服务器端，服务器端通过校验用户证书和数字签名并结合认证数据库鉴别身份。挑战响应方式：请求者发出认证请求，服务器端先产生并返回一个随机数（挑战），请求者将收到的随机数加上自己的数字签名后发到服务器端，服务器端比较本地随机数和收到的随机数，进行验证。394.数字时间戳 提供电子文件发表时间的安全保护，是一个经加密后形成的凭证文档。由专门的机构提供。内容：文件摘要（散列值）、收到文件的日期和时间、时间戳服务机构及数字签名。408.4.3

数据加密解密、身份认证原理对称密钥用户A数字证书加密数字信封数字签名数字签名解密密文明文明文加密Hash加密密文A用户用户A的私有签名密钥数字签名对称密钥++密文解密解密用户A数字证书数字签名明文信息摘要信息摘要比较Hash++用户A的公开签名密钥用户B的私有密钥B用户用户B的公开签名密钥A的对称密钥对称密钥+信息摘要数字信封数字信封418.5电子商务安全协议安全框架模式