電子商務安全管理與技術

1、第六章第六章 電子商務安全管理與技術電子商務安全管理與技術 6.1 6.1 電子商務的安全電子商務的安全 6.2 6.2 安全協(xié)議安全協(xié)議 6.3 6.3 密碼學和數(shù)據(jù)加密技術密碼學和數(shù)據(jù)加密技術 6.4 6.4 數(shù)字簽名和認證技術數(shù)字簽名和認證技術 6.5 6.5 防火墻技術防火墻技術 6.6 6.6 虛擬專用網(wǎng)虛擬專用網(wǎng)( (VPN)VPN)技術技術 6.7 6.7 其他的安全技術其他的安全技術 6.1 6.1 電子商務的安全電子商務的安全 6.1.1 6.1.1 電子商務的安全要素電子商務的安全要素 （1 1）有效性。）有效性。 （2 2）機密性。）機密性。 （3 3）完整性。）完整性。

2、 （4 4）可靠性）可靠性/ /不可抵賴性不可抵賴性/ /鑒別。鑒別。 （5 5）審查能力。）審查能力。 返回首頁 6.1.2 6.1.2 電子商務存在的安全問題電子商務存在的安全問題 在電子商務系統(tǒng)中，存在的安全威脅主要有：在電子商務系統(tǒng)中，存在的安全威脅主要有： （1 1）系統(tǒng)穿透。）系統(tǒng)穿透。 （2 2）違反授權規(guī)則。）違反授權規(guī)則。 （3 3）植入后門程序。）植入后門程序。 （4 4）通信監(jiān)視。）通信監(jiān)視。 （5 5）通信竄擾。）通信竄擾。 （6 6）中斷。）中斷。 （7 7）拒絕服務。）拒絕服務。 （8 8）否認。）否認。 返回首頁 6.1.3 6.1.3 電子商務的安全技術電子商務

3、的安全技術 電子商務一個基本的問題就是電子商務一個基本的問題就是 如何通過現(xiàn)有的網(wǎng)絡技術如如何通過現(xiàn)有的網(wǎng)絡技術如 Internet WebInternet Web、數(shù)據(jù)加密、數(shù)據(jù)加密、PKI-CAPKI-CA 認證系統(tǒng)、防火墻技術、虛擬專用認證系統(tǒng)、防火墻技術、虛擬專用 網(wǎng)技術、各種交易協(xié)議（如網(wǎng)技術、各種交易協(xié)議（如SETSET）、）、 客戶端瀏覽技術和軟件等，使得客客戶端瀏覽技術和軟件等，使得客 戶和商家透明地進行安全交易。戶和商家透明地進行安全交易。 返回首頁 6.2 安全協(xié)議 6.2.1 6.2.1 安全協(xié)議的基本概念安全協(xié)議的基本概念 所謂安全協(xié)議，是指兩個或兩所謂安全協(xié)議，是指兩

4、個或兩 個以上的參與者為完成與安全任務個以上的參與者為完成與安全任務 （如加密、認證、密鑰分配等）有（如加密、認證、密鑰分配等）有 關且能抗攻擊任務所作的約定與采關且能抗攻擊任務所作的約定與采 取的一系列步驟。取的一系列步驟。 返回首頁 6.2.2 6.2.2 安全套接層協(xié)議安全套接層協(xié)議( (SSL)SSL) 1. 1. 什么是安全套接層協(xié)議（什么是安全套接層協(xié)議（Secure Socket Layer,Secure Socket Layer,簡稱簡稱SSLSSL） SSL SSL主要用于提高應用程序之間數(shù)據(jù)的安全系數(shù)。主要用于提高應用程序之間數(shù)據(jù)的安全系數(shù)。 2. 2. 安全套接層協(xié)議的作

5、用安全套接層協(xié)議的作用 （1 1）用戶和服務器的合法性認證。）用戶和服務器的合法性認證。 （2 2）加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)。）加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)。 （3 3）保護數(shù)據(jù)的完整性。）保護數(shù)據(jù)的完整性。 返回首頁 3. 3. 安全套接層協(xié)議的實現(xiàn)過程安全套接層協(xié)議的實現(xiàn)過程 （1 1）接通階段。）接通階段。 （2 2）密碼交換階段。）密碼交換階段。 （3 3）會談密碼階段。）會談密碼階段。 （4 4）檢驗階段。）檢驗階段。 （5 5）客戶認證階段。）客戶認證階段。 （6 6）結束階段。）結束階段。 返回首頁 6.2.3 6.2.3 安全電子交易協(xié)議（安全電子交易協(xié)議（SETSET） 1.

6、 1. 什么是安全電子交易協(xié)議什么是安全電子交易協(xié)議 SETSET主要是為解決用戶、商家和銀行之主要是為解決用戶、商家和銀行之 間通過信用卡支付的交易間通過信用卡支付的交易 而設計的，以保證支付信息的機密、支付過程的完整、商戶及持卡人而設計的，以保證支付信息的機密、支付過程的完整、商戶及持卡人 的合法身份以及可操作性。的合法身份以及可操作性。SETSET中的核心技術主要有公開密鑰加密、中的核心技術主要有公開密鑰加密、 電子數(shù)字簽名、電子信封、電子安全證書等。電子數(shù)字簽名、電子信封、電子安全證書等。 返回首頁 2. 2. SETSET協(xié)議的作用協(xié)議的作用 （1 1）保證電子商務參與者信息的相互隔

7、離。）保證電子商務參與者信息的相互隔離。 （2 2）保證信息在）保證信息在InternetInternet上安全傳輸。上安全傳輸。 （3 3）解決多方認證問題，不僅要對消費者的信用卡認證，而且要對）解決多方認證問題，不僅要對消費者的信用卡認證，而且要對 在線商店的信譽程度認證，同時還有消費者、在線商店與銀行間的在線商店的信譽程度認證，同時還有消費者、在線商店與銀行間的 認證。認證。 （4 4）保證網(wǎng)上交易的實時性。）保證網(wǎng)上交易的實時性。 （5 5）規(guī)范協(xié)議和消息格式。）規(guī)范協(xié)議和消息格式。 返回首頁 3. 3. SETSET協(xié)議的工作原理協(xié)議的工作原理 主要包括以下七個步驟：主要包括以下七個

8、步驟： （1 1）消費者在網(wǎng)上選定的物品，并下電子訂單。）消費者在網(wǎng)上選定的物品，并下電子訂單。 （2 2）通過電子商務服務器與在線商店聯(lián)系，在線商店作出應答，告訴消費）通過電子商務服務器與在線商店聯(lián)系，在線商店作出應答，告訴消費 者訂單的相關情況。者訂單的相關情況。 （3 3）消費者選擇付款方式，確認訂單，簽發(fā)付款指令（此時）消費者選擇付款方式，確認訂單，簽發(fā)付款指令（此時SETSET介入）。介入）。 （4 4）在）在SETSET中，消費者必須對訂單和付款指令進行數(shù)字簽名。中，消費者必須對訂單和付款指令進行數(shù)字簽名。 返回首頁 （5 5）在線商店接受訂單后，向消費者所在銀行請求支付認可，批準

9、交易）在線商店接受訂單后，向消費者所在銀行請求支付認可，批準交易 后，返回確認信息給在線商店。后，返回確認信息給在線商店。 （6 6）在線商店發(fā)送訂單確認信息給消費者，消費者端軟件可記錄交易日）在線商店發(fā)送訂單確認信息給消費者，消費者端軟件可記錄交易日 志，以備將來查詢。志，以備將來查詢。 （7 7）在線商店發(fā)送貨物或提供服務，并通知收單銀行將錢從消費者的賬）在線商店發(fā)送貨物或提供服務，并通知收單銀行將錢從消費者的賬 號轉移到商店賬號，或通知發(fā)卡銀行請求支付。號轉移到商店賬號，或通知發(fā)卡銀行請求支付。 返回首頁 4. 4. SETSET和和SSLSSL的區(qū)別的區(qū)別 事實上，事實上，SETSET

10、是由認證中心與加是由認證中心與加 密技術相結合所產生的一種完全適密技術相結合所產生的一種完全適 合電子商務的加密技術協(xié)議，安全合電子商務的加密技術協(xié)議，安全 套接層協(xié)議（套接層協(xié)議（SSLSSL）加密方法僅僅是加密方法僅僅是 實現(xiàn)了傳輸加密和數(shù)據(jù)完整性，相實現(xiàn)了傳輸加密和數(shù)據(jù)完整性，相 當于在兩臺計算機之間建立一個安當于在兩臺計算機之間建立一個安 全的通道。全的通道。 返回首頁 SET SET的技術特點有：的技術特點有： （1 1）對訂單信息和支付信息進行雙重簽名。）對訂單信息和支付信息進行雙重簽名。 （2 2）采用信息摘要技術保證了交易的完整性。）采用信息摘要技術保證了交易的完整性。 （3

11、3）采用公鑰體系和密鑰體系結合進行加密，而）采用公鑰體系和密鑰體系結合進行加密，而SSLSSL只采用了公鑰體系。只采用了公鑰體系。 與與SSLSSL相比，相比，SETSET是在應用層上實現(xiàn)了數(shù)據(jù)的加密和完整性，因此，是在應用層上實現(xiàn)了數(shù)據(jù)的加密和完整性，因此， SETSET已經成為國際公認的已經成為國際公認的InternetInternet電子商務的安全標準，非常詳細地電子商務的安全標準，非常詳細地 反映了電子交易各方之間存在的各種關系。反映了電子交易各方之間存在的各種關系。 返回首頁 SET SET的購物模式如下圖所示。的購物模式如下圖所示。 返回首頁 6.2.4 6.2.4 其他安全協(xié)議其

12、他安全協(xié)議 1. 1. 安全交易技術協(xié)議（安全交易技術協(xié)議（STTSTT） 安全交易技術協(xié)議（安全交易技術協(xié)議（Secure Secure Transaction TechnologyTransaction Technology，簡稱簡稱 STTSTT）。）。由由MicrosoftMicrosoft公司提出，在公司提出，在 Internet ExplorerInternet Explorer中采用這一技術。中采用這一技術。 返回首頁 2. 2. NetBillNetBill協(xié)議協(xié)議 協(xié)議步驟如下：協(xié)議步驟如下： （1 1）客戶向商家查詢某商品價格。）客戶向商家查詢某商品價格。 （2 2）商家向

13、該客戶報價。）商家向該客戶報價。 （3 3）客戶告知商家他接受該報價。）客戶告知商家他接受該報價。 （4 4）商家將所請求的信息商品用密鑰）商家將所請求的信息商品用密鑰K K加密后發(fā)送給客戶。加密后發(fā)送給客戶。 （5 5）客戶準備一份電子采購訂單）客戶準備一份電子采購訂單( (Electronic Purchase OrderElectronic Purchase Order， EPO) EPO) ，客戶將該已數(shù)字簽名的客戶將該已數(shù)字簽名的 EPO EPO 發(fā)送給商家。發(fā)送給商家。 返回首頁 （6 6）商家會簽該）商家會簽該EPOEPO，商家也簽上商家也簽上K K的值，然后的值，然后 將此兩者

14、送給將此兩者送給NetbillNetbill服務器。服務器。 （7 7）Netbill Netbill 服務器驗證服務器驗證EPOEPO簽名和會簽，然簽名和會簽，然 后檢查客戶的賬號，保證有足夠的資金以便批后檢查客戶的賬號，保證有足夠的資金以便批 準該交易，同時檢查準該交易，同時檢查EPOEPO上的超時值是否過期。上的超時值是否過期。 確認沒有問題時，確認沒有問題時， Netbill Netbill 服務器即從客戶服務器即從客戶 的賬號上將相當于商品價格的資金劃往商家的的賬號上將相當于商品價格的資金劃往商家的 賬號上，并存儲密鑰賬號上，并存儲密鑰K K和加密商品的密碼單據(jù)。和加密商品的密碼單據(jù)

15、。 然后準備一份包含然后準備一份包含K K值的簽好的收據(jù)，將該收值的簽好的收據(jù)，將該收 據(jù)發(fā)給商家。據(jù)發(fā)給商家。 （8 8）商家記下該收據(jù)單傳給客戶，然后客戶將）商家記下該收據(jù)單傳給客戶，然后客戶將 第第4 4步收到的加密信息商品解密。步收到的加密信息商品解密。 返回首頁 3. 3. DigicashDigicash協(xié)議協(xié)議 DigicashDigicash是一個匿名的數(shù)字現(xiàn)金協(xié)議。是一個匿名的數(shù)字現(xiàn)金協(xié)議。 4. 4. First VirtualFirst Virtual協(xié)議協(xié)議 First VirtualFirst Virtual允許客戶自由地購買商品，然后允許客戶自由地購買商品，然后Fi

16、rst First VirtualVirtual使用使用E-mailE-mail同客戶證實每一筆交易。同客戶證實每一筆交易。 5. 5. 安全的超文本傳輸協(xié)議（安全的超文本傳輸協(xié)議（S-HTTPS-HTTP） 安全的超文本傳輸協(xié)議（安全的超文本傳輸協(xié)議（S-HTTPS-HTTP）對對HTTPHTTP擴充安全特性、增加擴充安全特性、增加 了報文的安全性了報文的安全性, ,它是基于它是基于SSLSSL技術的。技術的。 返回首頁 6. 6. InternetInternet電子郵件的安全協(xié)議電子郵件的安全協(xié)議 （1 1）PEMPEM。PEMPEM是增強是增強InternetInternet電子郵件隱

17、秘性的標準草案。電子郵件隱秘性的標準草案。 （2 2）S-MIMES-MIME。S-MIME(S-MIME(安全的多功能安全的多功能InternetInternet電子郵件擴充電子郵件擴充) )是在是在 RFC1521RFC1521所描述的多功能所描述的多功能InternetInternet電子郵件擴充報文基礎上添加數(shù)電子郵件擴充報文基礎上添加數(shù) 字簽名和加密技術的一種協(xié)議。字簽名和加密技術的一種協(xié)議。 （3 3）PEM-MIMEPEM-MIME（MOSSMOSS）。）。MOSS(MIMEMOSS(MIME對象安全服務對象安全服務) )是將是將PEMPEM和和 MIMEMIME兩者的特性進行了

18、結合。兩者的特性進行了結合。 返回首頁 6.3 6.3 密碼學和數(shù)據(jù)加密技術密碼學和數(shù)據(jù)加密技術 6.3.1 6.3.1 密碼與密鑰基本知識密碼與密鑰基本知識 采用密碼方法可以隱蔽和保護需要保密的信息，使未授權者不采用密碼方法可以隱蔽和保護需要保密的信息，使未授權者不 能提取該信息。被隱蔽的信息原來可讀的形式叫明文能提取該信息。被隱蔽的信息原來可讀的形式叫明文，通過對密鑰通過對密鑰 采用一定的加密算法可將明文變換成另一種隱蔽的不可理解的形式，采用一定的加密算法可將明文變換成另一種隱蔽的不可理解的形式， 稱為密鑰稱為密鑰，這種變換的過程稱為加密這種變換的過程稱為加密。 加密技術包括兩個元素：算法

19、和密鑰。加密技術包括兩個元素：算法和密鑰。 對數(shù)據(jù)加密的技術分為兩類，即對稱加密（私人密鑰加密）和對數(shù)據(jù)加密的技術分為兩類，即對稱加密（私人密鑰加密）和 非對稱加密（公開密鑰加密）。非對稱加密（公開密鑰加密）。 返回首頁 6.3.2 6.3.2 對稱加密對稱加密 對稱加密或專用密鑰（也稱為常規(guī)加密）由通信雙方共享一個對稱加密或專用密鑰（也稱為常規(guī)加密）由通信雙方共享一個 秘密密鑰，發(fā)送和接收數(shù)據(jù)的雙方必須使用相同的（對稱的）密鑰秘密密鑰，發(fā)送和接收數(shù)據(jù)的雙方必須使用相同的（對稱的）密鑰 對明文進行加密和解密運算。最著名的對稱密鑰加密標準是數(shù)據(jù)加對明文進行加密和解密運算。最著名的對稱密鑰加密標準

20、是數(shù)據(jù)加 密標準（密標準（Data Encryption StandardData Encryption Standard，簡稱簡稱 DESDES）。）。 返回首頁 6.3.3 6.3.3 非對稱加密非對稱加密 與對稱加密算法不同，非對稱加密算法需要兩個密鑰：公開密鑰與對稱加密算法不同，非對稱加密算法需要兩個密鑰：公開密鑰 和私有密鑰和私有密鑰。公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進 行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進 行加密，那么只有用對應的公開密鑰

21、才能解密。因為加密和解密使用行加密，那么只有用對應的公開密鑰才能解密。因為加密和解密使用 的是兩個不同的密鑰，所以這種算法叫做非對稱加密算法。的是兩個不同的密鑰，所以這種算法叫做非對稱加密算法。 非對稱加密算法主要有非對稱加密算法主要有RSARSA、DSADSA、Diffie-HellmanDiffie-Hellman、PKCSPKCS、 PGPPGP等。等。 返回首頁 6.3.4 6.3.4 公開密鑰體系（公開密鑰體系（PKIPKI） PKI PKI技術是信息安全的核心技術。技術是信息安全的核心技術。 1. 1. 什么是什么是PKI PKI PKI PKI（Public Key Infras

22、tructure Public Key Infrastructure 的縮寫）即的縮寫）即“公開密鑰體公開密鑰體 系系”，是一種遵循既定標準的密鑰管理平臺，是一種遵循既定標準的密鑰管理平臺, ,它能夠為所有網(wǎng)絡應用提供它能夠為所有網(wǎng)絡應用提供 加密和數(shù)字簽名等密碼服務及所必需的密鑰和證書管理體系，簡單來說，加密和數(shù)字簽名等密碼服務及所必需的密鑰和證書管理體系，簡單來說， PKIPKI就是利用公鑰理論和技術建立的提供安全服務的基礎設施。就是利用公鑰理論和技術建立的提供安全服務的基礎設施。 返回首頁 PKI PKI的基礎技術包括加密、數(shù)字簽名、數(shù)據(jù)完整性機制、數(shù)字信的基礎技術包括加密、數(shù)字簽名、數(shù)

23、據(jù)完整性機制、數(shù)字信 封、雙重數(shù)字簽名等。封、雙重數(shù)字簽名等。 2. 2. PKIPKI的基本組成的基本組成 （1 1）認證機構（）認證機構（CACA） （2 2）數(shù)字證書庫數(shù)字證書庫 （3 3）密鑰備份及恢復系統(tǒng)）密鑰備份及恢復系統(tǒng) （4 4）證書作廢系統(tǒng)）證書作廢系統(tǒng) （5 5）應用接口（）應用接口（APIAPI） 返回首頁 6.4 6.4 數(shù)字簽名和認證技術數(shù)字簽名和認證技術 6.4.1 6.4.1 數(shù)字簽名技術數(shù)字簽名技術 數(shù)字簽名（數(shù)字簽名（Digital Digital SignatureSignature）是公開密鑰加密技術的是公開密鑰加密技術的 一種應用，是指用發(fā)送方的私有密一

24、種應用，是指用發(fā)送方的私有密 鑰加密報文摘要，然后將其與原始鑰加密報文摘要，然后將其與原始 的信息附加在一起，合稱為數(shù)字簽的信息附加在一起，合稱為數(shù)字簽 名。名。 返回首頁 數(shù)字簽名使用方式是：數(shù)字簽名使用方式是： （1 1）報文的發(fā)送方從報文文本中生成一個）報文的發(fā)送方從報文文本中生成一個128128位或位或160160位的單向散列值位的單向散列值 （或報文摘要），并用自己的私有密鑰對這個散列值進行加密，形成（或報文摘要），并用自己的私有密鑰對這個散列值進行加密，形成 發(fā)送方的數(shù)字簽名。發(fā)送方的數(shù)字簽名。 （2 2）將這個數(shù)字簽名作為報文的附件和報文一起發(fā)送給報文的接收方。）將這個數(shù)字簽名作

25、為報文的附件和報文一起發(fā)送給報文的接收方。 返回首頁 （3 3）報文的接收方首先從接收到的原始報文中計算出）報文的接收方首先從接收到的原始報文中計算出128128位的散列值位的散列值 （或報文摘要），接著再用發(fā)送方的公開密鑰來對報文附加的數(shù)字（或報文摘要），接著再用發(fā)送方的公開密鑰來對報文附加的數(shù)字 簽名進行解密。簽名進行解密。 （4 4）如果這兩個散列值相同，那么接收方就能確認該數(shù)字簽名是發(fā)）如果這兩個散列值相同，那么接收方就能確認該數(shù)字簽名是發(fā) 送方的。送方的。 返回首頁 6.4.2 6.4.2 數(shù)字認證、數(shù)字時間戳和數(shù)字證書數(shù)字認證、數(shù)字時間戳和數(shù)字證書 1. 1. 數(shù)字認證技術數(shù)字認證

26、技術 2. 2. 數(shù)字時間戳數(shù)字時間戳 包括三個部分：包括三個部分： （1 1）需加時間戳的文件的摘要（）需加時間戳的文件的摘要（digestdigest）。）。 （2 2）DTSDTS收到文件的日期和時間。收到文件的日期和時間。 （3 3）DTSDTS的數(shù)字簽名。的數(shù)字簽名。 返回首頁 3. 3. 數(shù)字證書數(shù)字證書 數(shù)字證書一般包含以下幾點：數(shù)字證書一般包含以下幾點： （1 1）數(shù)字證書擁有者的姓名。）數(shù)字證書擁有者的姓名。 （2 2）數(shù)字證書擁有者的公共密鑰。）數(shù)字證書擁有者的公共密鑰。 （3 3）公共密鑰的有效期。）公共密鑰的有效期。 （4 4）頒發(fā)數(shù)字證書的單位。）頒發(fā)數(shù)字證書的單位。

27、 （5 5）數(shù)字證書的序列號（）數(shù)字證書的序列號（Serial NumberSerial Number）。）。 （6 6）頒發(fā)數(shù)字證書單位的數(shù)字簽名。頒發(fā)數(shù)字證書單位的數(shù)字簽名。 返回首頁 6.4.3 6.4.3 電子商務認證中心（電子商務認證中心（CACA，Certificate Certificate AuthorityAuthority） 1. CA1. CA的認證機制的認證機制 CACA是大型用戶群體（如政府機關或金融機構）所信賴的第三方，負是大型用戶群體（如政府機關或金融機構）所信賴的第三方，負 責證書的頒發(fā)和管理。在證書申請被審批部門批準后，責證書的頒發(fā)和管理。在證書申請被審批部門

28、批準后，CACA通過登記服通過登記服 務器將證書發(fā)放給申請者。務器將證書發(fā)放給申請者。 電子商務電子商務CACA體系包括下面兩大部分。體系包括下面兩大部分。 （1 1）SET CASET CA。（又叫（又叫“金融金融CACA”體系）體系） （2 2）PKI CAPKI CA。（又叫（又叫“非金融非金融CACA”體系）。體系）。 返回首頁 2. 2. CACA的基本功能的基本功能 （1 1）生成和保管符合安全認證協(xié)議要求的公共和私有密鑰、數(shù)字證書及）生成和保管符合安全認證協(xié)議要求的公共和私有密鑰、數(shù)字證書及 其數(shù)字簽名。其數(shù)字簽名。 （2 2）對數(shù)字證書和數(shù)字簽名進行驗證。）對數(shù)字證書和數(shù)字簽名

29、進行驗證。 （3 3）對數(shù)字證書進行管理，重點是證書的撤銷管理，同時追求實施自動）對數(shù)字證書進行管理，重點是證書的撤銷管理，同時追求實施自動 管理（非手工管理）。管理（非手工管理）。 （4 4）建立應用接口，特別是支付接口。）建立應用接口，特別是支付接口。CACA是否具有支付接口是能否支持是否具有支付接口是能否支持 電子商務的關鍵。電子商務的關鍵。 返回首頁 6.5 6.5 防火墻技術防火墻技術 6.5.1 6.5.1 防火墻的簡介防火墻的簡介 1. 1. 防火墻的概念防火墻的概念 防火墻（防火墻（Fire WallFire Wall）是由軟件和硬件設備（如計算機、路由器）是由軟件和硬件設備（

30、如計算機、路由器） 組合而成，處于企業(yè)或網(wǎng)絡群體計算機與外界通道之間，用來加強組合而成，處于企業(yè)或網(wǎng)絡群體計算機與外界通道之間，用來加強 InternetInternet與與IntranetIntranet之間安全防范的一個或一組系統(tǒng)。它是提供信之間安全防范的一個或一組系統(tǒng)。它是提供信 息安全服務，實現(xiàn)網(wǎng)絡和信息安全的基礎設施。息安全服務，實現(xiàn)網(wǎng)絡和信息安全的基礎設施。 返回首頁 2. 2. 防火墻的發(fā)展防火墻的發(fā)展 目前的防火墻經歷了五個發(fā)展階段。目前的防火墻經歷了五個發(fā)展階段。 第一代防火墻技術幾乎與路由器同時出現(xiàn)，第一代防火墻技術幾乎與路由器同時出現(xiàn)， 采用了包過濾技術。采用了包過濾技術

31、。19891989年，貝爾實驗室的年，貝爾實驗室的Dave Dave PresottoPresotto和和Howard TrickeyHoward Trickey推出了第二代防火推出了第二代防火 墻，即電路層防火墻，同時提出了第三代防火墻，即電路層防火墻，同時提出了第三代防火 墻墻應用層防火墻（代理防火墻）的初步結構。應用層防火墻（代理防火墻）的初步結構。 19921992年，年，USCUSC信息科學院的信息科學院的BobBradenBobBraden開發(fā)出了基開發(fā)出了基 于動態(tài)包過濾技術的第四代防火墻。于動態(tài)包過濾技術的第四代防火墻。19981998年，年， NAINAI公司推出了一種自適應

32、代理技術，并在其產公司推出了一種自適應代理技術，并在其產 品品Gauntlet Firewall for NTGauntlet Firewall for NT中得以實現(xiàn)，給中得以實現(xiàn)，給 代理類型的防火墻賦予了全新的意義，可以稱之代理類型的防火墻賦予了全新的意義，可以稱之 為第五代防火墻。為第五代防火墻。 返回首頁 6.5.2 6.5.2 防火墻的功能防火墻的功能 （1 1）保護脆弱的服務。）保護脆弱的服務。 （2 2）控制對系統(tǒng)的訪問。）控制對系統(tǒng)的訪問。 （3 3）集中的安全管理。）集中的安全管理。 （4 4）增強的保密性。）增強的保密性。 （5 5）記錄和統(tǒng)計網(wǎng)絡利用數(shù)據(jù)以及非法使用數(shù)據(jù)

33、。）記錄和統(tǒng)計網(wǎng)絡利用數(shù)據(jù)以及非法使用數(shù)據(jù)。 （6 6）策略執(zhí)行。）策略執(zhí)行。 返回首頁 6.5.3 6.5.3 防火墻的分類防火墻的分類 1. 1. 包過濾防火墻（包過濾防火墻（Packet FilterPacket Filter） 第一代防火墻和最基本形式防火墻檢查每一個通過的網(wǎng)絡包，或第一代防火墻和最基本形式防火墻檢查每一個通過的網(wǎng)絡包，或 者丟棄，或者放行，取決于所建立的一套規(guī)則。這稱為包過濾防火墻。者丟棄，或者放行，取決于所建立的一套規(guī)則。這稱為包過濾防火墻。 本質上，包過濾防火墻是多址的，表明它有兩個或兩個以上網(wǎng)絡本質上，包過濾防火墻是多址的，表明它有兩個或兩個以上網(wǎng)絡 適配器或接

34、口。適配器或接口。 返回首頁 建立包過濾防火墻規(guī)則的例子如下：建立包過濾防火墻規(guī)則的例子如下： （1 1）對來自專用網(wǎng)絡的包，只允許來自內部地址的包通過，因為其他包）對來自專用網(wǎng)絡的包，只允許來自內部地址的包通過，因為其他包 包含不正確的包頭部信息。包含不正確的包頭部信息。 （2 2）在公共網(wǎng)絡，只允許目的地址為）在公共網(wǎng)絡，只允許目的地址為8080端口的包通過。端口的包通過。 （3 3）丟棄從公共網(wǎng)絡傳入的包，而這些包都有你的網(wǎng)絡內的源地址。）丟棄從公共網(wǎng)絡傳入的包，而這些包都有你的網(wǎng)絡內的源地址。 （4 4）丟棄包含源路由信息的包，以減少源路由攻擊。）丟棄包含源路由信息的包，以減少源路由攻

35、擊。 返回首頁 2. 2. 狀態(tài)狀態(tài)/ /動態(tài)檢測防火墻動態(tài)檢測防火墻 狀態(tài)狀態(tài)/ /動態(tài)檢測防火墻，試圖跟動態(tài)檢測防火墻，試圖跟 蹤通過防火墻的網(wǎng)絡連接和包，這蹤通過防火墻的網(wǎng)絡連接和包，這 樣防火墻就可以使用一組附加的標樣防火墻就可以使用一組附加的標 準，以確定是否允許和拒絕通信。準，以確定是否允許和拒絕通信。 它是在使用了基本包過濾防火墻的它是在使用了基本包過濾防火墻的 通信上應用一些技術來做到這點的。通信上應用一些技術來做到這點的。返回首頁 狀態(tài)狀態(tài)/ /動態(tài)檢測防火墻可提供的其他一些額外的服務有：動態(tài)檢測防火墻可提供的其他一些額外的服務有： （1 1）將某些類型的連接重定向到審核服務

36、中去。）將某些類型的連接重定向到審核服務中去。 （2 2）拒絕攜帶某些數(shù)據(jù)的網(wǎng)絡通信。）拒絕攜帶某些數(shù)據(jù)的網(wǎng)絡通信。 跟蹤連接狀態(tài)的方式取決于通過防火墻的包的類型：跟蹤連接狀態(tài)的方式取決于通過防火墻的包的類型： （1 1）TCPTCP包。包。 （2 2）UDPUDP包。包。 返回首頁 3. 3. 應用程序代理防火墻（應用程序代理防火墻（Proxy ServiceProxy Service） 應用程序代理防火墻實際上并不允許在它連接的網(wǎng)絡之間直接應用程序代理防火墻實際上并不允許在它連接的網(wǎng)絡之間直接 通信。相反，它是接受來自內部網(wǎng)絡特定用戶應用程序的通信，然通信。相反，它是接受來自內部網(wǎng)絡特定用

37、戶應用程序的通信，然 后建立于公共網(wǎng)絡服務器單獨的連接。網(wǎng)絡內部的用戶不直接與外后建立于公共網(wǎng)絡服務器單獨的連接。網(wǎng)絡內部的用戶不直接與外 部的服務器通信，所以服務器不能直接訪問內部網(wǎng)的任何一部分。部的服務器通信，所以服務器不能直接訪問內部網(wǎng)的任何一部分。 另外，如果不為特定的應用程序安裝代理程序代碼，這種服務另外，如果不為特定的應用程序安裝代理程序代碼，這種服務 是不會被支持的，不能建立任何連接。是不會被支持的，不能建立任何連接。 返回首頁 4. 4. 網(wǎng)絡地址轉換（網(wǎng)絡地址轉換（NATNAT） 網(wǎng)絡地址轉換網(wǎng)絡地址轉換( (NAT)NAT)協(xié)議將內部網(wǎng)絡的多個協(xié)議將內部網(wǎng)絡的多個IPIP地

38、址轉換到一個地址轉換到一個 公共地址發(fā)到公共地址發(fā)到InternetInternet上。上。 NATNAT經常用于小型辦公室、家庭等網(wǎng)絡，多個用戶分享單一的經常用于小型辦公室、家庭等網(wǎng)絡，多個用戶分享單一的 IPIP地址，并為地址，并為InternetInternet連接提供一些安全機制。連接提供一些安全機制。 返回首頁 5. 5. 個人防火墻個人防火墻 個人防火墻是一種能夠保護個人計算機系統(tǒng)安全的軟件，它可個人防火墻是一種能夠保護個人計算機系統(tǒng)安全的軟件，它可 以直接在用戶的計算機上運行，使用與狀態(tài)以直接在用戶的計算機上運行，使用與狀態(tài)/ /動態(tài)檢測防火墻相同動態(tài)檢測防火墻相同 的方式，保護

39、一臺計算機免受攻擊。的方式，保護一臺計算機免受攻擊。 返回首頁 6.6 6.6 虛擬專用網(wǎng)虛擬專用網(wǎng)( (VPN)VPN)技術技術 6.6.1 6.6.1 虛擬專用網(wǎng)簡介虛擬專用網(wǎng)簡介 1. 1. 什么是虛擬專用網(wǎng)什么是虛擬專用網(wǎng) 虛擬專用網(wǎng)（虛擬專用網(wǎng)（VPNVPN）被定義為通過一個公用網(wǎng)絡（通常是因特被定義為通過一個公用網(wǎng)絡（通常是因特 網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡的網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡的 安全、穩(wěn)定的隧道。虛擬專用網(wǎng)是對企業(yè)內部網(wǎng)的擴展。安全、穩(wěn)定的隧道。虛擬專用網(wǎng)是對企業(yè)內部網(wǎng)的擴展。 返回首頁 VPNVPN應用示意圖示。

40、應用示意圖示。 返回首頁 2. 2. 虛擬專用網(wǎng)的好處虛擬專用網(wǎng)的好處 （1 1）降低通訊成本；）降低通訊成本； （2 2）易于擴展；）易于擴展； （3 3）可隨意與合作伙伴聯(lián)網(wǎng)；）可隨意與合作伙伴聯(lián)網(wǎng)； （4 4）完全控制網(wǎng)絡的主動權。）完全控制網(wǎng)絡的主動權。 返回首頁 6.6.2 6.6.2 虛擬專用網(wǎng)的功能要求虛擬專用網(wǎng)的功能要求 1. 1. 保證安全性保證安全性 （1 1）隧道和加密。）隧道和加密。 （2 2）數(shù)據(jù)驗證。）數(shù)據(jù)驗證。 （3 3）用戶驗證。）用戶驗證。 （4 4）防火墻與攻擊檢測。）防火墻與攻擊檢測。 返回首頁 2. 2. 實現(xiàn)網(wǎng)絡優(yōu)化實現(xiàn)網(wǎng)絡優(yōu)化 構件構件VPNVPN的

41、另一重要需求是有效地利用有限的廣域網(wǎng)資源，為的另一重要需求是有效地利用有限的廣域網(wǎng)資源，為 重要數(shù)據(jù)提供可靠的帶寬。在設計重要數(shù)據(jù)提供可靠的帶寬。在設計VPNVPN時需考慮采用多種時需考慮采用多種QOSQOS（服務服務 質量）策略以優(yōu)化網(wǎng)絡資源。質量）策略以優(yōu)化網(wǎng)絡資源。 3. 3. 對對VPNVPN實施管理實施管理 VPNVPN要求企業(yè)將其網(wǎng)絡管理功能無縫延伸到公用網(wǎng)，甚至是客要求企業(yè)將其網(wǎng)絡管理功能無縫延伸到公用網(wǎng)，甚至是客 戶和合作伙伴。戶和合作伙伴。 返回首頁 6.6.3 6.6.3 虛擬專用網(wǎng)的分類虛擬專用網(wǎng)的分類 根據(jù)根據(jù)VPNVPN所起的作用，可以將所起的作用，可以將VPNVPN

42、分為三類。分為三類。 如下圖所示。如下圖所示。 返回首頁 1. 1. VPDNVPDN（Virtual Private Dial NetworkVirtual Private Dial Network） 在遠程用戶或移動雇員和公司內部網(wǎng)之間的在遠程用戶或移動雇員和公司內部網(wǎng)之間的VPNVPN，稱為稱為VPDNVPDN。 2. Intranet VPN2. Intranet VPN 在公司遠程分支機構的在公司遠程分支機構的LANLAN和公司總部和公司總部LANLAN之間的之間的VPNVPN。 3. Extranet VPN3. Extranet VPN 在供應商、商業(yè)合作伙伴的在供應商、商業(yè)合作

43、伙伴的LANLAN和公司的和公司的LANLAN之間的之間的VPNVPN。 返回首頁 6.6.4 6.6.4 VPNVPN的隧道協(xié)議的隧道協(xié)議 VPNVPN區(qū)別于一般網(wǎng)絡互聯(lián)的關鍵在于隧道的建立，然后數(shù)據(jù)包經區(qū)別于一般網(wǎng)絡互聯(lián)的關鍵在于隧道的建立，然后數(shù)據(jù)包經 過加密后，按隧道協(xié)議進行封裝、傳送以確保安全性。過加密后，按隧道協(xié)議進行封裝、傳送以確保安全性。 1. 1. PPTP/L2TPPPTP/L2TP PPTP PPTP的加密方法采用的加密方法采用MicrosoftMicrosoft點對點加密（點對點加密（Microsoft Microsoft Point-to-Point Encrypti

44、onPoint-to-Point Encryption）算法，可以選用較弱的算法，可以選用較弱的4040位密鑰位密鑰 或強度較大的或強度較大的128128位密鑰。位密鑰。L2TPL2TP支持多協(xié)議，利用公共網(wǎng)絡封裝PPPPPP 幀，可以實現(xiàn)和企業(yè)原有非IPIP網(wǎng)的兼容。 返回首頁 2. 2. IPSecIPSec（Internet Protocol SecurityInternet Protocol Security） IPSec IPSec是是IETFIETF（Internet Engineer Task ForceInternet Engineer Task Force）正在完善正在完善

45、的安全標準，它把幾種安全技術結合在一起形成一個較為完整的體的安全標準，它把幾種安全技術結合在一起形成一個較為完整的體 系。系。 IPSecIPSec用密碼技術從三個方面來保證數(shù)據(jù)的安全。即：用密碼技術從三個方面來保證數(shù)據(jù)的安全。即： （1 1）認證。）認證。 （2 2）完整性檢查。）完整性檢查。 （3 3）加密。）加密。 返回首頁 3. 3. SOCKS V5SOCKS V5 SOCKS V5 SOCKS V5是一個需要認證的防火墻協(xié)議，當是一個需要認證的防火墻協(xié)議，當SOCKSSOCKS同同SSLSSL協(xié)議配協(xié)議配 合使用時，可作為建立高度安全的虛擬專用網(wǎng)的基礎。合使用時，可作為建立高度安全

46、的虛擬專用網(wǎng)的基礎。SOCKSSOCKS協(xié)議協(xié)議 的優(yōu)勢在訪問控制，因此適合用于安全性較高的虛擬專用網(wǎng)。的優(yōu)勢在訪問控制，因此適合用于安全性較高的虛擬專用網(wǎng)。 返回首頁 6.7 6.7 其他的安全技術其他的安全技術 6.7.1 6.7.1 病毒防范病毒防范 1. 1. 什么是計算機病毒什么是計算機病毒 隨著因特網(wǎng)的流行，有些計算機病毒借助網(wǎng)絡爆發(fā)流行，如隨著因特網(wǎng)的流行，有些計算機病毒借助網(wǎng)絡爆發(fā)流行，如CIHCIH 計算機病毒、計算機病毒、“愛蟲愛蟲”病毒、紅色代碼、沖擊波等，它們與以往的病毒、紅色代碼、沖擊波等，它們與以往的 計算機病毒相比具有一些新的特點，給廣大計算機用戶帶來了極大計算機

47、病毒相比具有一些新的特點，給廣大計算機用戶帶來了極大 的損失。的損失。 返回首頁 2. 2. 病毒發(fā)作的特征病毒發(fā)作的特征 病毒發(fā)作時通常有如下的特征：計算機無法啟動；進入操作系病毒發(fā)作時通常有如下的特征：計算機無法啟動；進入操作系 統(tǒng)后，某些功能或軟件無法正常使用；系統(tǒng)中無故多出許多不明來統(tǒng)后，某些功能或軟件無法正常使用；系統(tǒng)中無故多出許多不明來 歷的文件；任務管理器中看到出現(xiàn)來歷不明的進程；系統(tǒng)資源不足，歷的文件；任務管理器中看到出現(xiàn)來歷不明的進程；系統(tǒng)資源不足， 計算機運行變得很慢；不停地向網(wǎng)絡發(fā)送數(shù)據(jù)包等等。計算機運行變得很慢；不停地向網(wǎng)絡發(fā)送數(shù)據(jù)包等等。 返回首頁 3. 3. 病毒防

48、范的方法病毒防范的方法 針對病毒的不斷出現(xiàn)，必須采取兩種措施進行保護：一是依靠針對病毒的不斷出現(xiàn)，必須采取兩種措施進行保護：一是依靠 管理上的措施，及早發(fā)現(xiàn)疫情，捕捉計算機病毒，修復系統(tǒng)。二是管理上的措施，及早發(fā)現(xiàn)疫情，捕捉計算機病毒，修復系統(tǒng)。二是 選用功能更加完善的、具有更強超前防御能力的反病毒軟件，盡可選用功能更加完善的、具有更強超前防御能力的反病毒軟件，盡可 能多地堵住能被計算機病毒利用的系統(tǒng)漏洞。能多地堵住能被計算機病毒利用的系統(tǒng)漏洞。 計算機病毒防范工作，重要的是防范體系的建設和制度的建立。計算機病毒防范工作，重要的是防范體系的建設和制度的建立。 返回首頁 6.7.2 6.7.2

49、黑客防范黑客防范 1. 1. 什么是黑客什么是黑客 2. 2. 黑客攻擊的目的黑客攻擊的目的 3. 3. 黑客攻擊的方式和手段黑客攻擊的方式和手段 （1 1）遠程攻擊。）遠程攻擊。 （2 2）本地攻擊）本地攻擊 （3 3）偽遠程攻擊。）偽遠程攻擊。 4. 4. 防范黑客的具體措施防范黑客的具體措施 返回首頁 本章到此結束。 謝謝您的光臨！ 結束放映 Thank you very much!Thank you very much! 6.3.3 6.3.3 非對稱加密非對稱加密 與對稱加密算法不同，非對稱加密算法需要兩個密鑰：公開密鑰與對稱加密算法不同，非對稱加密算法需要兩個密鑰：公開密鑰 和私有密鑰和私有密鑰。公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進 行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進 行加密，那么只有用對應的公開密鑰才能解密。因為加密和解密使用行加密，那么只有用對應的公開密鑰才能解密。因為加密和解密使用 的是兩個不同的密鑰，所以這種算法叫做非對稱加密算法。的是兩個不同的密鑰，所以這種算法叫做非對稱加密算法。 非對稱加密算法主要有非對稱加密算法主要