第五章電子商務(wù)網(wǎng)站常用防御方法要點(diǎn)課件

第五章電子商務(wù)網(wǎng)站常用防御方法

12/2/20221電子商務(wù)安全第五章電子商務(wù)網(wǎng)站常用防御方法12/1/20221電子商

本章主要內(nèi)容：本章主要內(nèi)容：●防火墻(Firewall)工作原理●非軍事區(qū)域(DMZ)概念●虛擬專(zhuān)用網(wǎng)(VPN)●入侵檢測(cè)系統(tǒng)(IDS)●認(rèn)證12/2/20222電子商務(wù)安全本章主要內(nèi)容：本章主要內(nèi)容：12/1/20222電子商務(wù)安

一、防火墻(Firewan)(一)防火墻的工作原理所謂防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專(zhuān)用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。防火墻主要有三種類(lèi)型：包過(guò)濾防火墻、代理服務(wù)器防火墻和應(yīng)用層網(wǎng)關(guān)防火墻。12/2/20223電子商務(wù)安全一、防火墻(Firewan)(一)防火墻的工作原理121．包過(guò)濾防火墻包過(guò)濾防火墻主要有兩種實(shí)現(xiàn)方式：基于路由器的防火墻和基于獨(dú)立運(yùn)行軟件(如PacketFilter)的防火墻。下面主要介紹基于路由器的防火墻。包是網(wǎng)絡(luò)上信息流動(dòng)的單位。每個(gè)包有兩個(gè)部分：數(shù)據(jù)部分和包頭。包頭中含有源地址和目標(biāo)地址的信息。優(yōu)點(diǎn)：透明性好，簡(jiǎn)單易用，費(fèi)用低。缺點(diǎn)：設(shè)置繁多，易留下安全漏洞。12/2/20224電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾防火墻主要有兩種實(shí)現(xiàn)方式：基于路由器1．包過(guò)濾防火墻包過(guò)濾路由器防火墻可能遇到的攻擊方式：(1)源IP地址欺騙(2)源路由攻擊(3)微小碎片攻擊包過(guò)濾防火墻

12/2/20225電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾路由器防火墻可能遇到的攻擊方式：包2．代理服務(wù)器(ProxyServer)防火墻在Internet網(wǎng)絡(luò)和Intranet互連時(shí)，廣泛采用一種稱為代理服務(wù)的工作方式，使Internet用戶在訪問(wèn)Intranet的同時(shí)，提供的是一種類(lèi)似網(wǎng)關(guān)的代理服務(wù)器型防火墻。優(yōu)點(diǎn)：代理服務(wù)可提供詳細(xì)的日志(Log)和審計(jì)(Audit)記錄，提高了網(wǎng)絡(luò)的安全性和可靠性。缺點(diǎn)：不能處理高負(fù)荷通信量，且對(duì)用戶的透明性不好。12/2/20226電子商務(wù)安全2．代理服務(wù)器(ProxyServer)防火墻在Int3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實(shí)現(xiàn)比包過(guò)濾路由器防火墻更嚴(yán)格的安全策略。應(yīng)用層網(wǎng)關(guān)不使用包過(guò)濾工具來(lái)限制Internet服務(wù)進(jìn)出防火墻系統(tǒng)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝專(zhuān)用程序代碼，否則該服務(wù)就不被支持且不能通過(guò)防火墻來(lái)轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的安全性比較高。過(guò)程復(fù)雜、費(fèi)用比較高、透明性差、限制嚴(yán)格，使用帶來(lái)不便。12/2/20227電子商務(wù)安全3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實(shí)現(xiàn)比包(二)防火墻規(guī)則集設(shè)計(jì)規(guī)則集的基本過(guò)程：1．拒絕一切未特別允許的連接徹底分析每個(gè)系統(tǒng)和網(wǎng)段確定實(shí)現(xiàn)它們的功能所需要的服務(wù)和連接。2．常見(jiàn)通信的常用端口確定每個(gè)服務(wù)器和網(wǎng)段需要什么端口和協(xié)議。3．將偽代碼轉(zhuǎn)換成防火墻規(guī)則查看手冊(cè)，確定特定的方法和要求。4．協(xié)議和風(fēng)險(xiǎn)：作出最佳決策需要保證只允許了必要的協(xié)議，并且只能用于需要它們的服務(wù)器和網(wǎng)段。12/2/20228電子商務(wù)安全(二)防火墻規(guī)則集設(shè)計(jì)規(guī)則集的基本過(guò)程：12/1/202二、非軍事區(qū)域(DMZ)(一)DMZ的概念(二)非軍事區(qū)域的設(shè)置(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題12/2/20229電子商務(wù)安全二、非軍事區(qū)域(DMZ)(一)DMZ的概念12/1/202(一)DMZ的概念DMZ(demilitarizedzone)的定義：是指為不信任系統(tǒng)提供服務(wù)的孤立網(wǎng)段，它是兩個(gè)防火墻之間的網(wǎng)段。DMZ網(wǎng)段的創(chuàng)建方法通常有兩種。1.兩個(gè)防火墻的DMZ

系統(tǒng)放置在有不同規(guī)則的兩個(gè)防火墻之間，這就能允許Internet上的系統(tǒng)連接到DMZ系統(tǒng)提供的服務(wù)，但不能連接到企業(yè)內(nèi)部網(wǎng)段(通常叫做受保護(hù)網(wǎng)絡(luò))中的電腦。12/2/202210電子商務(wù)安全(一)DMZ的概念DMZ(demilitarizedzo二、非軍事區(qū)域(DMZ)圖示為：兩個(gè)防火墻的DMZ12/2/202211電子商務(wù)安全二、非軍事區(qū)域(DMZ)圖示為：兩個(gè)防火墻的DMZ12/1二、非軍事區(qū)域(DMZ)2.單個(gè)防火墻的DMZ（如上圖）實(shí)現(xiàn)DMZ網(wǎng)段的方法是在防火墻上實(shí)際增加第三個(gè)接口，并將DMZ系統(tǒng)放置在那個(gè)網(wǎng)段。允許同一個(gè)防火墻管理Internet。降低了硬件的花費(fèi)，集中了網(wǎng)絡(luò)的規(guī)則集，使管理和處理問(wèn)題更容易?，F(xiàn)在已成為創(chuàng)建DMZ網(wǎng)段的主要方法。12/2/202212電子商務(wù)安全二、非軍事區(qū)域(DMZ)2.單個(gè)防火墻的DMZ（如上圖）1DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問(wèn)服務(wù)的網(wǎng)絡(luò)分離開(kāi)，為網(wǎng)絡(luò)層提供深度的防御。DMZ作用：防火墻上的策略和訪問(wèn)控制系統(tǒng)定義限制了通過(guò)DMZ的全部通信數(shù)據(jù)。相反，在Internet和企業(yè)內(nèi)部網(wǎng)之間的通信數(shù)據(jù)通常是不受限制的。12/2/202213電子商務(wù)安全DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問(wèn)服務(wù)的網(wǎng)絡(luò)分離(二)非軍事區(qū)域的設(shè)置

安全的DMZ配置12/2/202214電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置安全的DMZ配置12/1/20221(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒(méi)有包含敏感數(shù)據(jù)、擔(dān)當(dāng)代理數(shù)據(jù)訪問(wèn)職責(zé)的主機(jī)放置于DMZ中，這樣用戶、潛在用戶和外部訪問(wèn)者都可以直接獲得他們所需的關(guān)于公司的一些信息，而不用通過(guò)內(nèi)部網(wǎng)。企業(yè)的機(jī)密和私人的信息可以安全地存放在內(nèi)部網(wǎng)中，即DMZ的后面。12/2/202215電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒(méi)有(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ)安全網(wǎng)絡(luò)：①載有公共信息的網(wǎng)絡(luò)服務(wù)器。②與電子商務(wù)交易服務(wù)器相連接的前端機(jī)，該前端機(jī)用來(lái)接收客戶訂單。存放客戶資料的后端應(yīng)置于防火墻之后。③把外來(lái)電子郵件中轉(zhuǎn)至內(nèi)部的郵件服務(wù)器。④可據(jù)此進(jìn)入內(nèi)部網(wǎng)絡(luò)的證書(shū)服務(wù)及服務(wù)器。⑤虛擬專(zhuān)用網(wǎng)絡(luò)上的各端點(diǎn)。⑥應(yīng)用(層)網(wǎng)關(guān)。⑦測(cè)試及登錄服務(wù)器(根據(jù)系統(tǒng)要求或用戶請(qǐng)求，使數(shù)據(jù)從一個(gè)脫機(jī)或優(yōu)先權(quán)低的設(shè)備返回到一個(gè)聯(lián)機(jī)的或優(yōu)先權(quán)高的設(shè)備的過(guò)程)。12/2/202216電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)網(wǎng)絡(luò)存儲(chǔ)顧客信息和金融數(shù)據(jù)與存儲(chǔ)商業(yè)處理的普通信息的需求是不同的。很多網(wǎng)站通過(guò)實(shí)現(xiàn)一個(gè)多網(wǎng)段結(jié)構(gòu)來(lái)更好地管理和安全化商業(yè)信息。第一個(gè)網(wǎng)段是用于信息存儲(chǔ)的，第二個(gè)網(wǎng)段則是特別用于商業(yè)信息的處理的。電子商務(wù)系統(tǒng)中DMZ的實(shí)現(xiàn)12/2/202217電子商務(wù)安全(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)網(wǎng)絡(luò)存儲(chǔ)顧客信息和金融數(shù)據(jù)與(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題隨著網(wǎng)站的成長(zhǎng)，要提供新的功能，可能需要建立新的區(qū)。重復(fù)上面的過(guò)程，建立管理這些新網(wǎng)段的規(guī)則集。注意事項(xiàng)：一定要監(jiān)視和檢查任何變動(dòng)，備份舊的規(guī)則集以備緊急的時(shí)候需要回復(fù)過(guò)去。管理原則：創(chuàng)建和管理諸如防火墻、IDS入侵檢測(cè)系統(tǒng)（即IntrusionDetectionSystem）簽名和用戶訪問(wèn)規(guī)則之類(lèi)的安全控制是個(gè)很大的任務(wù)，在不損害安全和可用性的前提下要盡可能地簡(jiǎn)化這些過(guò)程。12/2/202218電子商務(wù)安全(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題隨著網(wǎng)站的成長(zhǎng)，要提供新的功能，12/2/202219電子商務(wù)安全12/1/202219電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)InternetIntranet內(nèi)部網(wǎng)信息防火墻VPN12/2/202220電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)信息防VPN12/1/202220電三、虛擬專(zhuān)用網(wǎng)(VPN)虛擬專(zhuān)用網(wǎng)（VPN）目的：通過(guò)Internet或其他線路(如私有網(wǎng)絡(luò)和租用的線路等)在公司外地雇員、駐外機(jī)構(gòu)、公司總部及其相關(guān)企業(yè)和組織機(jī)構(gòu)之間建立一個(gè)信息傳輸?shù)陌踩ǖ?，以保證所傳輸信息的安全性和完整性，并設(shè)置用戶對(duì)特定資源的訪問(wèn)權(quán)限。12/2/202221電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)虛擬專(zhuān)用網(wǎng)（VPN）目的：通過(guò)In三、虛擬專(zhuān)用網(wǎng)(VPN)(一)技術(shù)(二)IPSec協(xié)議12/2/202222電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)(一)技術(shù)12/1/20222(一)VPN技術(shù)VPN（VirtualPrivateNetwork

，即虛擬專(zhuān)用網(wǎng)絡(luò)）概念：通過(guò)一個(gè)公共網(wǎng)絡(luò)(通常是Internet)建立一個(gè)臨時(shí)的、安全的與內(nèi)網(wǎng)的連接。作用：①安全連接?？梢詭椭h(yuǎn)程用戶與公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。②成本較低。即大幅度地減少用戶花費(fèi)在WAN上和遠(yuǎn)程網(wǎng)絡(luò)連接上的費(fèi)用。③管理方便。使用VPN將簡(jiǎn)化網(wǎng)絡(luò)的設(shè)計(jì)和管理，加速連接新的用戶和網(wǎng)站。④網(wǎng)絡(luò)結(jié)構(gòu)靈活?？梢员Ｗo(hù)現(xiàn)有的網(wǎng)絡(luò)投資。12/2/202223電子商務(wù)安全(一)VPN技術(shù)VPN（VirtualPrivate(一)VPN技術(shù)VPN的功能：

①加密數(shù)據(jù)。以保證通過(guò)公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會(huì)泄露。

②信息認(rèn)證和身份認(rèn)證。保證信息的完整性、合法性，并能鑒別用戶的身份。

③提供訪問(wèn)控制。不同的用戶有不同的訪問(wèn)權(quán)限。

12/2/202224電子商務(wù)安全(一)VPN技術(shù)VPN的功能：12/1/202224電子(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：

①安全隧道技術(shù)(SecureTunnelingTechnology)。將待傳輸?shù)脑夹畔⒔?jīng)過(guò)加密和協(xié)議封裝處理后再嵌套裝入另一種協(xié)議的數(shù)據(jù)包送人公共網(wǎng)絡(luò)(如Internet)中，像普通數(shù)據(jù)包一樣傳輸。經(jīng)過(guò)這樣的處理，只有源端和目標(biāo)端的用戶對(duì)隧道中的嵌套信息能進(jìn)行解釋和處理，其他用戶看到的只是無(wú)意義的信息，就像是在源端和目標(biāo)端的用戶之間建立了一個(gè)安全的信息專(zhuān)用隧道。

12/2/202225電子商務(wù)安全(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：12(一)VPN技術(shù)隧道模式的VPN框架

12/2/202226電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架12/1/20222(一)VPN技術(shù)②用戶認(rèn)證技術(shù)(UserAuthenticationTechnology)。在隧道連接開(kāi)始之前需要確認(rèn)用戶的身份，以便于系統(tǒng)進(jìn)一步實(shí)施資源訪問(wèn)控制或用戶授權(quán)。③訪問(wèn)控制技術(shù)(AccessControlTechnology)。由VPN服務(wù)的提供者與最終網(wǎng)絡(luò)信息資源的提供者共同確定特定用戶對(duì)特定資源的訪問(wèn)權(quán)限，以此實(shí)現(xiàn)基于用戶訪問(wèn)的訪問(wèn)控制，以實(shí)現(xiàn)對(duì)信息資源的最大限度的保護(hù)。12/2/202227電子商務(wù)安全(一)VPN技術(shù)②用戶認(rèn)證技術(shù)(UserAuthenti(一)VPN技術(shù)隧道模式的VPN框架示意圖VPN隧道組成：

①一個(gè)隧道啟動(dòng)器；②一個(gè)路由網(wǎng)絡(luò)(Internet)；③一個(gè)可選的隧道交換機(jī)；④一個(gè)或多個(gè)隧道終結(jié)器。12/2/202228電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架示意圖12/1/202(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密通信能力。IPsec組成：(1)IPsecurityProtocolproper，定義IPsec報(bào)文格式。(2)ISAKMP／Oakley，負(fù)責(zé)加密通信協(xié)商。12/2/202229電子商務(wù)安全(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密(二)IPSec協(xié)議IPsec采用的加密通信手段：(1)IPsecTunnel：整個(gè)IP封裝在Ipsec報(bào)文。提供IPsecgateway之間的通信。(2)IPsectransport：對(duì)IP包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。12/2/202230電子商務(wù)安全(二)IPSec協(xié)議IPsec采用的加密通信手段：12/四、入侵檢測(cè)系統(tǒng)(IDS)

（即IntrusionDetectionSystem）(一)入侵檢測(cè)概念(二)基于主機(jī)的IDS(三)基于網(wǎng)絡(luò)的IDS(四)入侵檢測(cè)技術(shù)發(fā)展方向12/2/202231電子商務(wù)安全四、入侵檢測(cè)系統(tǒng)(IDS)

（即IntrusionDet(一)入侵檢測(cè)概念概念:通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，以發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象。作用：入侵檢測(cè)是對(duì)防火墻的合理補(bǔ)充，幫助系統(tǒng)對(duì)付網(wǎng)絡(luò)攻擊，擴(kuò)展了系統(tǒng)管理員的安全管理能力(包括安全審計(jì)、監(jiān)視、攻擊識(shí)別和響應(yīng))，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。12/2/202232電子商務(wù)安全(一)入侵檢測(cè)概念概念:通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干(一)入侵檢測(cè)概念主要任務(wù):①監(jiān)視、分析用戶及系統(tǒng)活動(dòng)；②系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)；③識(shí)別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警；④異常行為模式的統(tǒng)計(jì)分析；⑤評(píng)估重要系統(tǒng)和數(shù)據(jù)文件的完整性；⑥操作系統(tǒng)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為。12/2/202233電子商務(wù)安全(一)入侵檢測(cè)概念主要任務(wù):12/1/202233電子商務(wù)安(二)基于主機(jī)的IDS基于主機(jī)的IDS主要用于運(yùn)行關(guān)鍵應(yīng)用層的服務(wù)器，它是早期的入侵檢測(cè)系統(tǒng)。主要目標(biāo)：是檢測(cè)主機(jī)系統(tǒng)是否受到外部或內(nèi)部的攻擊以及系統(tǒng)本地用戶是否有濫用或誤用行為。檢測(cè)原理：是根據(jù)系統(tǒng)審計(jì)記錄和系統(tǒng)日志文件、應(yīng)用程序日志、目錄和文件的不期望改變、程序執(zhí)行中的非正常行為等信息來(lái)發(fā)現(xiàn)系統(tǒng)是否存在可疑事件的。12/2/202234電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS主要用于運(yùn)行關(guān)鍵應(yīng)用層(二)基于主機(jī)的IDS基于主機(jī)的IDS之優(yōu)點(diǎn)：①基于主機(jī)的IDS可以從系統(tǒng)審計(jì)和事件日志中提取攻擊信息，從而判斷本地或遠(yuǎn)程用戶是否做了系統(tǒng)的安全規(guī)則。②基于主機(jī)的IDS可以精確地判斷入侵事件，并可對(duì)入侵事件立即進(jìn)行反應(yīng)。③基于主機(jī)的IDS還可以針對(duì)不同的操作系統(tǒng)的特點(diǎn)判斷應(yīng)用層的入侵事件。12/2/202235電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS之優(yōu)點(diǎn)：12/1/20(二)基于主機(jī)的IDS基于主機(jī)的IDS之缺點(diǎn)：①占用主機(jī)資源，在服務(wù)器上產(chǎn)生額外的負(fù)載。②缺乏跨平臺(tái)支持，可移植性差，因而應(yīng)用范圍受到嚴(yán)重限制。12/2/202236電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS之缺點(diǎn)：12/1/20(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨(dú)依靠主機(jī)的審計(jì)信息進(jìn)行入侵檢測(cè)難以適應(yīng)網(wǎng)絡(luò)安全的需求。主要表現(xiàn)：①主機(jī)的審計(jì)信息容易受到攻擊，入侵者可通過(guò)使用某些系統(tǒng)特權(quán)或調(diào)用比審計(jì)本身更低級(jí)的操作來(lái)逃避審計(jì)；②不能通過(guò)分析主機(jī)審計(jì)記錄來(lái)檢測(cè)網(wǎng)絡(luò)攻擊(域名欺騙、端口掃描等)；③基于主機(jī)的IDS的運(yùn)行或多或少地影響服務(wù)器的性能；④只能對(duì)服務(wù)器的特定用戶和應(yīng)用程序的執(zhí)行動(dòng)作、日志進(jìn)行檢測(cè)，所能檢測(cè)到的攻擊類(lèi)型有限。12/2/202237電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨(dú)依靠主機(jī)的審計(jì)信息進(jìn)行(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：基于網(wǎng)絡(luò)的入侵檢測(cè)IDS放置在比較重要的網(wǎng)段內(nèi)，不停地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包。對(duì)每一個(gè)數(shù)據(jù)包或可疑的數(shù)據(jù)包進(jìn)行特征分析。如果數(shù)據(jù)包與產(chǎn)品內(nèi)置的某些規(guī)則吻合，入侵檢測(cè)系統(tǒng)認(rèn)為受到攻擊，就會(huì)發(fā)出通知、警報(bào)甚至直接切斷網(wǎng)絡(luò)連接?；诰W(wǎng)絡(luò)的IDS位置：基于網(wǎng)絡(luò)的入侵檢測(cè)IDS通常放置在防火墻的后面。

12/2/202238電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：12/1/202(三)基于網(wǎng)絡(luò)的IDS探測(cè)器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路由器或單獨(dú)的主機(jī)上。

12/2/202239電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS探測(cè)器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路(三)基于網(wǎng)絡(luò)的IDS優(yōu)點(diǎn)：

①實(shí)時(shí)性強(qiáng)。通過(guò)實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)包和網(wǎng)絡(luò)管理信息，來(lái)尋找具有網(wǎng)絡(luò)供給特征的活動(dòng)。

②檢測(cè)范圍廣。可以檢測(cè)包括協(xié)議攻擊和某些特定攻擊在內(nèi)的各種攻擊。

③監(jiān)視粒度更細(xì)。

④可移植性強(qiáng)?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)通?？梢赃m合多種網(wǎng)絡(luò)環(huán)境。

⑤具有服務(wù)器平臺(tái)獨(dú)立性?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)不會(huì)對(duì)服務(wù)器以及網(wǎng)絡(luò)整體性能造成影響。12/2/202240電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS優(yōu)點(diǎn)：12/1/202240電子商務(wù)安(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)存在的缺點(diǎn)：①只能監(jiān)視經(jīng)過(guò)本網(wǎng)段的活動(dòng)，精確度不高。②在交換網(wǎng)絡(luò)環(huán)境下難以配置。③防入侵欺騙的能力較差，難以定位入侵。12/2/202241電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)存在的缺點(diǎn)：12(四)入侵檢測(cè)技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下列幾個(gè)方面：(1)入侵或攻擊的綜合化與復(fù)雜化。(2)入侵主體對(duì)象的間接化，即實(shí)施入侵與攻擊的主體的隱蔽性。(3)人侵或攻擊的規(guī)模擴(kuò)大。(4)入侵或攻擊技術(shù)的分布化。(5)攻擊對(duì)象的轉(zhuǎn)移。12/2/202242電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下(四)入侵檢測(cè)技術(shù)發(fā)展方向三個(gè)方向發(fā)展：(1)分布式入侵檢測(cè)。含義一是針對(duì)分布式網(wǎng)絡(luò)攻擊的檢測(cè)方法；含義二是使用分布式的方法來(lái)檢測(cè)分布式的攻擊。(2)智能化入侵檢測(cè)。使用智能化的方法與手段來(lái)進(jìn)行入侵檢測(cè)。所謂的智能化方法，現(xiàn)階段常用的有神經(jīng)網(wǎng)絡(luò)、遺傳算法、模糊技術(shù)、免疫原理等方法，這些方法常用于入侵特征的辨識(shí)與泛化。利用專(zhuān)家系統(tǒng)的思想來(lái)構(gòu)建入侵檢測(cè)系統(tǒng)也是常用的方法之一。(3)全面的安全防御方案。即使用安全工程風(fēng)險(xiǎn)管理的思想與方法來(lái)處理網(wǎng)絡(luò)安全問(wèn)題，將網(wǎng)絡(luò)安全作為一個(gè)整體工程來(lái)處理。從管理、網(wǎng)絡(luò)結(jié)構(gòu)、加密通道、防火墻、病毒防護(hù)、入侵檢測(cè)等多方位對(duì)所關(guān)注的網(wǎng)絡(luò)作全面的評(píng)估，然后提出可行的解決方案。12/2/202243電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向三個(gè)方向發(fā)展：12/1/20224五、認(rèn)證(一)第三方認(rèn)證(二)PKI組成(三)證書(shū)認(rèn)證機(jī)構(gòu)CA12/2/202244電子商務(wù)安全五、認(rèn)證(一)第三方認(rèn)證12/1/202244電子商務(wù)安(一)第三方認(rèn)證在電子商務(wù)中，必須從技術(shù)上保證在交易過(guò)程中能夠?qū)崿F(xiàn)身份認(rèn)證、安全傳輸、不可否認(rèn)性、數(shù)據(jù)完整性。數(shù)字證書(shū)認(rèn)證技術(shù)采用了加密傳輸和數(shù)字簽名，能夠?qū)崿F(xiàn)上述要求，因此在國(guó)內(nèi)外電子商務(wù)中，得到了廣泛的應(yīng)用。PKI采用證書(shū)進(jìn)行公鑰管理，通過(guò)第三方的可信任機(jī)構(gòu)(認(rèn)證中心，即CA)，把用戶的公鑰和用戶的其他標(biāo)識(shí)信息捆綁在一起，其中包括用戶名和電子郵件地址等信息，以在Internet網(wǎng)上驗(yàn)證用戶的身份。12/2/202245電子商務(wù)安全(一)第三方認(rèn)證在電子商務(wù)中，必須從技術(shù)上保證在交易過(guò)程中能(二)PKI組成PKI（PublicKeyInfrastructure）即“公鑰基礎(chǔ)設(shè)施”。PKI在實(shí)際應(yīng)用上是一套軟硬件系統(tǒng)和安全策略的集合，它提供了一整套安全機(jī)制，使用戶在不知道對(duì)方身份或分布地很廣的情況下，以證書(shū)為基礎(chǔ)，通過(guò)一系列的信任關(guān)系進(jìn)行通信和電子商務(wù)交易。12/2/202246電子商務(wù)安全(二)PKI組成PKI（PublicKeyInfrast(二)PKI組成PKI組成：一個(gè)簡(jiǎn)單的PKI系統(tǒng)包括證書(shū)機(jī)構(gòu)CA、注冊(cè)機(jī)構(gòu)RA和相應(yīng)的PKI存儲(chǔ)庫(kù)。其各部分作用如下：CA(CertificateAuthority)用于簽發(fā)并管理證書(shū)；RA(RegistrationAuthority)，數(shù)字證書(shū)注冊(cè)審批機(jī)構(gòu)。RA系統(tǒng)是CA的證書(shū)發(fā)放、管理的延伸。它負(fù)責(zé)證書(shū)申請(qǐng)者的信息錄入、審核以及證書(shū)發(fā)放等工作(安全審計(jì))。同時(shí)，對(duì)發(fā)放的證書(shū)完成相應(yīng)的管理功能(安全管理)。PKI存儲(chǔ)庫(kù)包括LDAP目錄服務(wù)器和普通數(shù)據(jù)庫(kù)，用于對(duì)用戶申請(qǐng)、證書(shū)、密鑰、CRL和日志等信息進(jìn)行存儲(chǔ)和管理，并提供一定的查詢功能。12/2/202247電子商務(wù)安全(二)PKI組成PKI組成：一個(gè)簡(jiǎn)單的PKI系統(tǒng)包括證書(shū)機(jī)構(gòu)(三)證書(shū)認(rèn)證機(jī)構(gòu)CA1．?dāng)?shù)字證書(shū)基礎(chǔ)2．發(fā)行證書(shū)的CA簽名3．CA框架模型4．證書(shū)的申請(qǐng)和撤消5．證書(shū)管理6．密鑰管理7．證書(shū)的使用12/2/202248電子商務(wù)安全(三)證書(shū)認(rèn)證機(jī)構(gòu)CA1．?dāng)?shù)字證書(shū)基礎(chǔ)12/1/202241．?dāng)?shù)字證書(shū)基礎(chǔ)CA(CertificateAuthority)是數(shù)字證書(shū)認(rèn)證中心的簡(jiǎn)稱，是指發(fā)放、管理、廢除數(shù)字證書(shū)的機(jī)構(gòu)。數(shù)字證書(shū)是一個(gè)經(jīng)證書(shū)授權(quán)中心數(shù)字簽名的包含公開(kāi)密鑰擁有者信息和公開(kāi)密鑰的文

件。數(shù)字證書(shū)是一種數(shù)字標(biāo)識(shí)，是Internet上的安全護(hù)照或身份證明。

12/2/202249電子商務(wù)安全1．?dāng)?shù)字證書(shū)基礎(chǔ)CA(CertificateAuthor數(shù)字證書(shū)的格式

12/2/202250電子商務(wù)安全數(shù)字證書(shū)的格式12/1/202250電子商務(wù)安全2．發(fā)行證書(shū)的CA簽名證書(shū)第二部分包括CA的簽名和用來(lái)生成數(shù)字簽名的簽名算法。任何人收到證書(shū)后都能使用簽名算法來(lái)驗(yàn)證證書(shū)是不是由CA的簽名密鑰簽署的。

12/2/202251電子商務(wù)安全2．發(fā)行證書(shū)的CA簽名證書(shū)第二部分包括CA的簽名和用來(lái)生成3．CA框架模型證書(shū)機(jī)構(gòu)CA用于創(chuàng)建和發(fā)布證書(shū)，它通常為一個(gè)稱為安全域(SecuritvDomain)的有限群體發(fā)放證書(shū)。創(chuàng)建證書(shū)的時(shí)候，CA系統(tǒng)首先獲取用戶的請(qǐng)求信息，其中包括用戶公鑰(公鑰一般由用戶端產(chǎn)生，如電子郵件程序或?yàn)g覽器等)，CA將根據(jù)用戶的請(qǐng)求信息產(chǎn)生證書(shū)，并用自己的私鑰對(duì)證書(shū)進(jìn)行簽名。其他用戶、應(yīng)用程序或?qū)嶓w將使用CA的公鑰對(duì)證書(shū)進(jìn)行驗(yàn)證。如果一個(gè)CA系統(tǒng)是可信的，則驗(yàn)證證書(shū)的用戶可以確信，他所驗(yàn)證的證書(shū)中的公鑰屬于證書(shū)所代表的那個(gè)實(shí)體。12/2/202252電子商務(wù)安全3．CA框架模型證書(shū)機(jī)構(gòu)CA用于創(chuàng)建和發(fā)布證書(shū)，它通常為3．CA框架模型CA還負(fù)責(zé)維護(hù)和發(fā)布證書(shū)廢除列表CRL(CertificateRevocationLists，又稱為證書(shū)撤銷(xiāo)列表

)。當(dāng)一個(gè)證書(shū)，特別是其中的公鑰因?yàn)槠渌驘o(wú)效時(shí)(不是因?yàn)榈狡?，CRL提供了一種通知用戶和其他應(yīng)用的中心管理方式。CA系統(tǒng)生成CRL以后，要么是放到LDAP(目錄訪問(wèn)協(xié)議，LightweightDirectoryAccessProtocol

)服務(wù)器中供用戶查詢或下載，要么是放置在Web服務(wù)器的合適位置，以頁(yè)面超級(jí)鏈接的方式供用戶直接查詢或下載。12/2/202253電子商務(wù)安全3．CA框架模型CA還負(fù)責(zé)維護(hù)和發(fā)布證書(shū)廢除列表CRL(C3．CA框架模型典型CA框架模型12/2/202254電子商務(wù)安全3．CA框架模型典型CA框架模型12/1/202254電子商4．證書(shū)的申請(qǐng)和撤消證書(shū)的申請(qǐng)有兩種方式，一是在線申請(qǐng)，另外一種就是離線申請(qǐng)。在線申請(qǐng)就是通過(guò)瀏覽器或其他應(yīng)用系統(tǒng)通過(guò)在線的方式來(lái)申請(qǐng)證書(shū)，這種方式一般用于申請(qǐng)普通用戶證書(shū)或測(cè)試證書(shū)。離線方式一般通過(guò)人工的方式直接到證書(shū)機(jī)構(gòu)證書(shū)受理點(diǎn)去辦理證書(shū)申請(qǐng)手續(xù)，通過(guò)審核后獲取證書(shū)，這種方式一般用于比較重要的場(chǎng)合，如服務(wù)器證書(shū)和商家證書(shū)等。12/2/202255電子商務(wù)安全4．證書(shū)的申請(qǐng)和撤消證書(shū)的申請(qǐng)有兩種方式，一是在線申請(qǐng)，另4．證書(shū)的申請(qǐng)和撤消在線申請(qǐng)步驟如下：用戶使用瀏覽器通過(guò)Internet訪問(wèn)安全服務(wù)器，下載CA的數(shù)字證書(shū)(又叫做根證書(shū))，然后注冊(cè)機(jī)構(gòu)服務(wù)器對(duì)用戶進(jìn)行身份審核，認(rèn)可后便批準(zhǔn)用戶的證書(shū)申請(qǐng)，然后操作員對(duì)證書(shū)申請(qǐng)表進(jìn)行數(shù)字簽名，并將申請(qǐng)及其簽名一起提交給CA服務(wù)器。CA操作員獲得注冊(cè)機(jī)構(gòu)服務(wù)器操作員簽發(fā)的證書(shū)申請(qǐng)，發(fā)行證書(shū)或者拒絕發(fā)行證書(shū)，然后將證書(shū)通過(guò)硬拷貝的方式傳輸給注冊(cè)機(jī)構(gòu)服務(wù)器。注冊(cè)機(jī)構(gòu)服務(wù)器得到用戶的證書(shū)以后將用戶的一些公開(kāi)信息和證書(shū)放到LDAP服務(wù)器上提供目錄瀏覽服務(wù)，并且通過(guò)電子郵件的方式通知用戶從安全服務(wù)器上下載證書(shū)。用戶根據(jù)郵件的提示到指定的網(wǎng)址下載自己的數(shù)字證書(shū)，而其他用戶可以通過(guò)LDAP服務(wù)器獲得他的公鑰數(shù)字證書(shū)。12/2/202256電子商務(wù)安全4．證書(shū)的申請(qǐng)和撤消在線申請(qǐng)步驟如下：12/1/2022565．證書(shū)管理實(shí)際中的證書(shū)系統(tǒng)以樹(shù)型結(jié)構(gòu)存在，并根據(jù)需要和系統(tǒng)級(jí)別分為不同的層次。如一個(gè)全國(guó)性的證書(shū)系統(tǒng)，根CA集中控制，每一個(gè)省級(jí)單位可建立一個(gè)二級(jí)CA，市級(jí)地區(qū)可建立一個(gè)三級(jí)CA，依此類(lèi)推，并根據(jù)需要和級(jí)別，在不同的CA處為用戶頒發(fā)證書(shū)。12/2/202257電子商務(wù)安全5．證書(shū)管理實(shí)際中的證書(shū)系統(tǒng)以樹(shù)型結(jié)構(gòu)存在，并根據(jù)需要和系6．密鑰管理(1)密鑰的產(chǎn)生：密鑰對(duì)的產(chǎn)生是證書(shū)申請(qǐng)過(guò)程中重要的一步，其中產(chǎn)生的私鑰由用戶保留，公鑰和其他信息則交于CA中心進(jìn)行簽名，從而產(chǎn)生證書(shū)。(2)密鑰備份和恢復(fù)：PKI系統(tǒng)必須備份用于加密的密鑰對(duì)，并允許用戶進(jìn)行恢復(fù)，否則，用于解密的私鑰丟失將意味著加密數(shù)據(jù)的完全不可恢復(fù)。(3)密鑰更新：對(duì)每一個(gè)由CA頒發(fā)的證書(shū)都會(huì)有有效期，密鑰對(duì)生命周期的長(zhǎng)短由簽發(fā)證書(shū)的CA中心來(lái)確定，各CA系統(tǒng)的證書(shū)有效期限有所不同，一般為2～3年。12/2/202258電子商務(wù)安全6．密鑰管理(1)密鑰的產(chǎn)生：密鑰對(duì)的產(chǎn)生是證書(shū)申請(qǐng)過(guò)程中7．證書(shū)的使用在電子商務(wù)系統(tǒng)中，證書(shū)的持有者可以是個(gè)人、企事業(yè)單位、商家、銀行等。完整的驗(yàn)證過(guò)程：①將客戶端發(fā)來(lái)的數(shù)據(jù)解密。②將解密后的數(shù)據(jù)分解成原始數(shù)據(jù)、簽名數(shù)據(jù)和客戶證書(shū)三部分。③用CA根證書(shū)驗(yàn)證客戶證書(shū)的簽名完整性。④檢查客戶證書(shū)是否有效(當(dāng)前時(shí)間在證書(shū)結(jié)構(gòu)中的所定義的有效期內(nèi))。⑤檢查客戶證書(shū)是否作廢。⑥驗(yàn)證客戶證書(shū)結(jié)構(gòu)中的證書(shū)用途。⑦驗(yàn)證客戶證書(shū)原始數(shù)據(jù)的簽名完整性。

如果以上各項(xiàng)均驗(yàn)證通過(guò)，則接受該數(shù)據(jù)。12/2/202259電子商務(wù)安全7．證書(shū)的使用在電子商務(wù)系統(tǒng)中，證書(shū)的持有者可以是個(gè)人、企事思考題1．簡(jiǎn)述防火墻的工作原理。2．描述包過(guò)濾防火墻的基本原理及特點(diǎn)。3．描述代理防火墻的基本原理及特點(diǎn)。4．DMZ的主要原理及實(shí)現(xiàn)方式有哪些?5．什么是入侵檢測(cè)系統(tǒng)?試比較基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)和基于主機(jī)的入侵檢測(cè)系統(tǒng)?6．?dāng)⑹鯬KI原理。12/2/202260電子商務(wù)安全思考題1．簡(jiǎn)述防火墻的工作原理。12/1/20226第五章電子商務(wù)網(wǎng)站常用防御方法

12/2/202261電子商務(wù)安全第五章電子商務(wù)網(wǎng)站常用防御方法12/1/20221電子商

本章主要內(nèi)容：本章主要內(nèi)容：●防火墻(Firewall)工作原理●非軍事區(qū)域(DMZ)概念●虛擬專(zhuān)用網(wǎng)(VPN)●入侵檢測(cè)系統(tǒng)(IDS)●認(rèn)證12/2/202262電子商務(wù)安全本章主要內(nèi)容：本章主要內(nèi)容：12/1/20222電子商務(wù)安

一、防火墻(Firewan)(一)防火墻的工作原理所謂防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專(zhuān)用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。防火墻主要有三種類(lèi)型：包過(guò)濾防火墻、代理服務(wù)器防火墻和應(yīng)用層網(wǎng)關(guān)防火墻。12/2/202263電子商務(wù)安全一、防火墻(Firewan)(一)防火墻的工作原理121．包過(guò)濾防火墻包過(guò)濾防火墻主要有兩種實(shí)現(xiàn)方式：基于路由器的防火墻和基于獨(dú)立運(yùn)行軟件(如PacketFilter)的防火墻。下面主要介紹基于路由器的防火墻。包是網(wǎng)絡(luò)上信息流動(dòng)的單位。每個(gè)包有兩個(gè)部分：數(shù)據(jù)部分和包頭。包頭中含有源地址和目標(biāo)地址的信息。優(yōu)點(diǎn)：透明性好，簡(jiǎn)單易用，費(fèi)用低。缺點(diǎn)：設(shè)置繁多，易留下安全漏洞。12/2/202264電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾防火墻主要有兩種實(shí)現(xiàn)方式：基于路由器1．包過(guò)濾防火墻包過(guò)濾路由器防火墻可能遇到的攻擊方式：(1)源IP地址欺騙(2)源路由攻擊(3)微小碎片攻擊包過(guò)濾防火墻

12/2/202265電子商務(wù)安全1．包過(guò)濾防火墻包過(guò)濾路由器防火墻可能遇到的攻擊方式：包2．代理服務(wù)器(ProxyServer)防火墻在Internet網(wǎng)絡(luò)和Intranet互連時(shí)，廣泛采用一種稱為代理服務(wù)的工作方式，使Internet用戶在訪問(wèn)Intranet的同時(shí)，提供的是一種類(lèi)似網(wǎng)關(guān)的代理服務(wù)器型防火墻。優(yōu)點(diǎn)：代理服務(wù)可提供詳細(xì)的日志(Log)和審計(jì)(Audit)記錄，提高了網(wǎng)絡(luò)的安全性和可靠性。缺點(diǎn)：不能處理高負(fù)荷通信量，且對(duì)用戶的透明性不好。12/2/202266電子商務(wù)安全2．代理服務(wù)器(ProxyServer)防火墻在Int3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實(shí)現(xiàn)比包過(guò)濾路由器防火墻更嚴(yán)格的安全策略。應(yīng)用層網(wǎng)關(guān)不使用包過(guò)濾工具來(lái)限制Internet服務(wù)進(jìn)出防火墻系統(tǒng)，而是采用為每種所需服務(wù)在網(wǎng)關(guān)上安裝專(zhuān)用程序代碼，否則該服務(wù)就不被支持且不能通過(guò)防火墻來(lái)轉(zhuǎn)發(fā)。網(wǎng)絡(luò)的安全性比較高。過(guò)程復(fù)雜、費(fèi)用比較高、透明性差、限制嚴(yán)格，使用帶來(lái)不便。12/2/202267電子商務(wù)安全3．應(yīng)用層網(wǎng)關(guān)防火墻應(yīng)用層網(wǎng)關(guān)防火墻可使網(wǎng)絡(luò)管理員實(shí)現(xiàn)比包(二)防火墻規(guī)則集設(shè)計(jì)規(guī)則集的基本過(guò)程：1．拒絕一切未特別允許的連接徹底分析每個(gè)系統(tǒng)和網(wǎng)段確定實(shí)現(xiàn)它們的功能所需要的服務(wù)和連接。2．常見(jiàn)通信的常用端口確定每個(gè)服務(wù)器和網(wǎng)段需要什么端口和協(xié)議。3．將偽代碼轉(zhuǎn)換成防火墻規(guī)則查看手冊(cè)，確定特定的方法和要求。4．協(xié)議和風(fēng)險(xiǎn)：作出最佳決策需要保證只允許了必要的協(xié)議，并且只能用于需要它們的服務(wù)器和網(wǎng)段。12/2/202268電子商務(wù)安全(二)防火墻規(guī)則集設(shè)計(jì)規(guī)則集的基本過(guò)程：12/1/202二、非軍事區(qū)域(DMZ)(一)DMZ的概念(二)非軍事區(qū)域的設(shè)置(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題12/2/202269電子商務(wù)安全二、非軍事區(qū)域(DMZ)(一)DMZ的概念12/1/202(一)DMZ的概念DMZ(demilitarizedzone)的定義：是指為不信任系統(tǒng)提供服務(wù)的孤立網(wǎng)段，它是兩個(gè)防火墻之間的網(wǎng)段。DMZ網(wǎng)段的創(chuàng)建方法通常有兩種。1.兩個(gè)防火墻的DMZ

系統(tǒng)放置在有不同規(guī)則的兩個(gè)防火墻之間，這就能允許Internet上的系統(tǒng)連接到DMZ系統(tǒng)提供的服務(wù)，但不能連接到企業(yè)內(nèi)部網(wǎng)段(通常叫做受保護(hù)網(wǎng)絡(luò))中的電腦。12/2/202270電子商務(wù)安全(一)DMZ的概念DMZ(demilitarizedzo二、非軍事區(qū)域(DMZ)圖示為：兩個(gè)防火墻的DMZ12/2/202271電子商務(wù)安全二、非軍事區(qū)域(DMZ)圖示為：兩個(gè)防火墻的DMZ12/1二、非軍事區(qū)域(DMZ)2.單個(gè)防火墻的DMZ（如上圖）實(shí)現(xiàn)DMZ網(wǎng)段的方法是在防火墻上實(shí)際增加第三個(gè)接口，并將DMZ系統(tǒng)放置在那個(gè)網(wǎng)段。允許同一個(gè)防火墻管理Internet。降低了硬件的花費(fèi)，集中了網(wǎng)絡(luò)的規(guī)則集，使管理和處理問(wèn)題更容易?，F(xiàn)在已成為創(chuàng)建DMZ網(wǎng)段的主要方法。12/2/202272電子商務(wù)安全二、非軍事區(qū)域(DMZ)2.單個(gè)防火墻的DMZ（如上圖）1DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問(wèn)服務(wù)的網(wǎng)絡(luò)分離開(kāi)，為網(wǎng)絡(luò)層提供深度的防御。DMZ作用：防火墻上的策略和訪問(wèn)控制系統(tǒng)定義限制了通過(guò)DMZ的全部通信數(shù)據(jù)。相反，在Internet和企業(yè)內(nèi)部網(wǎng)之間的通信數(shù)據(jù)通常是不受限制的。12/2/202273電子商務(wù)安全DMZ目的：就是把敏感的內(nèi)部網(wǎng)絡(luò)和其他提供訪問(wèn)服務(wù)的網(wǎng)絡(luò)分離(二)非軍事區(qū)域的設(shè)置

安全的DMZ配置12/2/202274電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置安全的DMZ配置12/1/20221(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒(méi)有包含敏感數(shù)據(jù)、擔(dān)當(dāng)代理數(shù)據(jù)訪問(wèn)職責(zé)的主機(jī)放置于DMZ中，這樣用戶、潛在用戶和外部訪問(wèn)者都可以直接獲得他們所需的關(guān)于公司的一些信息，而不用通過(guò)內(nèi)部網(wǎng)。企業(yè)的機(jī)密和私人的信息可以安全地存放在內(nèi)部網(wǎng)中，即DMZ的后面。12/2/202275電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置DMZ是放置公共信息的最佳位置，把沒(méi)有(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ)安全網(wǎng)絡(luò)：①載有公共信息的網(wǎng)絡(luò)服務(wù)器。②與電子商務(wù)交易服務(wù)器相連接的前端機(jī)，該前端機(jī)用來(lái)接收客戶訂單。存放客戶資料的后端應(yīng)置于防火墻之后。③把外來(lái)電子郵件中轉(zhuǎn)至內(nèi)部的郵件服務(wù)器。④可據(jù)此進(jìn)入內(nèi)部網(wǎng)絡(luò)的證書(shū)服務(wù)及服務(wù)器。⑤虛擬專(zhuān)用網(wǎng)絡(luò)上的各端點(diǎn)。⑥應(yīng)用(層)網(wǎng)關(guān)。⑦測(cè)試及登錄服務(wù)器(根據(jù)系統(tǒng)要求或用戶請(qǐng)求，使數(shù)據(jù)從一個(gè)脫機(jī)或優(yōu)先權(quán)低的設(shè)備返回到一個(gè)聯(lián)機(jī)的或優(yōu)先權(quán)高的設(shè)備的過(guò)程)。12/2/202276電子商務(wù)安全(二)非軍事區(qū)域的設(shè)置可以在下列系統(tǒng)中裝入非軍事區(qū)域(DMZ(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)網(wǎng)絡(luò)存儲(chǔ)顧客信息和金融數(shù)據(jù)與存儲(chǔ)商業(yè)處理的普通信息的需求是不同的。很多網(wǎng)站通過(guò)實(shí)現(xiàn)一個(gè)多網(wǎng)段結(jié)構(gòu)來(lái)更好地管理和安全化商業(yè)信息。第一個(gè)網(wǎng)段是用于信息存儲(chǔ)的，第二個(gè)網(wǎng)段則是特別用于商業(yè)信息的處理的。電子商務(wù)系統(tǒng)中DMZ的實(shí)現(xiàn)12/2/202277電子商務(wù)安全(三)電子商務(wù)非軍事區(qū)域的實(shí)現(xiàn)網(wǎng)絡(luò)存儲(chǔ)顧客信息和金融數(shù)據(jù)與(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題隨著網(wǎng)站的成長(zhǎng)，要提供新的功能，可能需要建立新的區(qū)。重復(fù)上面的過(guò)程，建立管理這些新網(wǎng)段的規(guī)則集。注意事項(xiàng)：一定要監(jiān)視和檢查任何變動(dòng)，備份舊的規(guī)則集以備緊急的時(shí)候需要回復(fù)過(guò)去。管理原則：創(chuàng)建和管理諸如防火墻、IDS入侵檢測(cè)系統(tǒng)（即IntrusionDetectionSystem）簽名和用戶訪問(wèn)規(guī)則之類(lèi)的安全控制是個(gè)很大的任務(wù)，在不損害安全和可用性的前提下要盡可能地簡(jiǎn)化這些過(guò)程。12/2/202278電子商務(wù)安全(四)多區(qū)網(wǎng)絡(luò)存在的問(wèn)題隨著網(wǎng)站的成長(zhǎng)，要提供新的功能，12/2/202279電子商務(wù)安全12/1/202219電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)InternetIntranet內(nèi)部網(wǎng)信息防火墻VPN12/2/202280電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)信息防VPN12/1/202220電三、虛擬專(zhuān)用網(wǎng)(VPN)虛擬專(zhuān)用網(wǎng)（VPN）目的：通過(guò)Internet或其他線路(如私有網(wǎng)絡(luò)和租用的線路等)在公司外地雇員、駐外機(jī)構(gòu)、公司總部及其相關(guān)企業(yè)和組織機(jī)構(gòu)之間建立一個(gè)信息傳輸?shù)陌踩ǖ?，以保證所傳輸信息的安全性和完整性，并設(shè)置用戶對(duì)特定資源的訪問(wèn)權(quán)限。12/2/202281電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)虛擬專(zhuān)用網(wǎng)（VPN）目的：通過(guò)In三、虛擬專(zhuān)用網(wǎng)(VPN)(一)技術(shù)(二)IPSec協(xié)議12/2/202282電子商務(wù)安全三、虛擬專(zhuān)用網(wǎng)(VPN)(一)技術(shù)12/1/20222(一)VPN技術(shù)VPN（VirtualPrivateNetwork

，即虛擬專(zhuān)用網(wǎng)絡(luò)）概念：通過(guò)一個(gè)公共網(wǎng)絡(luò)(通常是Internet)建立一個(gè)臨時(shí)的、安全的與內(nèi)網(wǎng)的連接。作用：①安全連接?？梢詭椭h(yuǎn)程用戶與公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。②成本較低。即大幅度地減少用戶花費(fèi)在WAN上和遠(yuǎn)程網(wǎng)絡(luò)連接上的費(fèi)用。③管理方便。使用VPN將簡(jiǎn)化網(wǎng)絡(luò)的設(shè)計(jì)和管理，加速連接新的用戶和網(wǎng)站。④網(wǎng)絡(luò)結(jié)構(gòu)靈活。可以保護(hù)現(xiàn)有的網(wǎng)絡(luò)投資。12/2/202283電子商務(wù)安全(一)VPN技術(shù)VPN（VirtualPrivate(一)VPN技術(shù)VPN的功能：

①加密數(shù)據(jù)。以保證通過(guò)公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會(huì)泄露。

②信息認(rèn)證和身份認(rèn)證。保證信息的完整性、合法性，并能鑒別用戶的身份。

③提供訪問(wèn)控制。不同的用戶有不同的訪問(wèn)權(quán)限。

12/2/202284電子商務(wù)安全(一)VPN技術(shù)VPN的功能：12/1/202224電子(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：

①安全隧道技術(shù)(SecureTunnelingTechnology)。將待傳輸?shù)脑夹畔⒔?jīng)過(guò)加密和協(xié)議封裝處理后再嵌套裝入另一種協(xié)議的數(shù)據(jù)包送人公共網(wǎng)絡(luò)(如Internet)中，像普通數(shù)據(jù)包一樣傳輸。經(jīng)過(guò)這樣的處理，只有源端和目標(biāo)端的用戶對(duì)隧道中的嵌套信息能進(jìn)行解釋和處理，其他用戶看到的只是無(wú)意義的信息，就像是在源端和目標(biāo)端的用戶之間建立了一個(gè)安全的信息專(zhuān)用隧道。

12/2/202285電子商務(wù)安全(一)VPN技術(shù)VPN采用了多種安全技術(shù)和網(wǎng)絡(luò)技術(shù)：12(一)VPN技術(shù)隧道模式的VPN框架

12/2/202286電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架12/1/20222(一)VPN技術(shù)②用戶認(rèn)證技術(shù)(UserAuthenticationTechnology)。在隧道連接開(kāi)始之前需要確認(rèn)用戶的身份，以便于系統(tǒng)進(jìn)一步實(shí)施資源訪問(wèn)控制或用戶授權(quán)。③訪問(wèn)控制技術(shù)(AccessControlTechnology)。由VPN服務(wù)的提供者與最終網(wǎng)絡(luò)信息資源的提供者共同確定特定用戶對(duì)特定資源的訪問(wèn)權(quán)限，以此實(shí)現(xiàn)基于用戶訪問(wèn)的訪問(wèn)控制，以實(shí)現(xiàn)對(duì)信息資源的最大限度的保護(hù)。12/2/202287電子商務(wù)安全(一)VPN技術(shù)②用戶認(rèn)證技術(shù)(UserAuthenti(一)VPN技術(shù)隧道模式的VPN框架示意圖VPN隧道組成：

①一個(gè)隧道啟動(dòng)器；②一個(gè)路由網(wǎng)絡(luò)(Internet)；③一個(gè)可選的隧道交換機(jī)；④一個(gè)或多個(gè)隧道終結(jié)器。12/2/202288電子商務(wù)安全(一)VPN技術(shù)隧道模式的VPN框架示意圖12/1/202(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密通信能力。IPsec組成：(1)IPsecurityProtocolproper，定義IPsec報(bào)文格式。(2)ISAKMP／Oakley，負(fù)責(zé)加密通信協(xié)商。12/2/202289電子商務(wù)安全(二)IPSec協(xié)議IPsec主要提供IP網(wǎng)絡(luò)層上的加密(二)IPSec協(xié)議IPsec采用的加密通信手段：(1)IPsecTunnel：整個(gè)IP封裝在Ipsec報(bào)文。提供IPsecgateway之間的通信。(2)IPsectransport：對(duì)IP包內(nèi)的數(shù)據(jù)進(jìn)行加密，使用原來(lái)的源地址和目的地址。12/2/202290電子商務(wù)安全(二)IPSec協(xié)議IPsec采用的加密通信手段：12/四、入侵檢測(cè)系統(tǒng)(IDS)

（即IntrusionDetectionSystem）(一)入侵檢測(cè)概念(二)基于主機(jī)的IDS(三)基于網(wǎng)絡(luò)的IDS(四)入侵檢測(cè)技術(shù)發(fā)展方向12/2/202291電子商務(wù)安全四、入侵檢測(cè)系統(tǒng)(IDS)

（即IntrusionDet(一)入侵檢測(cè)概念概念:通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對(duì)其進(jìn)行分析，以發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象。作用：入侵檢測(cè)是對(duì)防火墻的合理補(bǔ)充，幫助系統(tǒng)對(duì)付網(wǎng)絡(luò)攻擊，擴(kuò)展了系統(tǒng)管理員的安全管理能力(包括安全審計(jì)、監(jiān)視、攻擊識(shí)別和響應(yīng))，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。12/2/202292電子商務(wù)安全(一)入侵檢測(cè)概念概念:通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中的若干(一)入侵檢測(cè)概念主要任務(wù):①監(jiān)視、分析用戶及系統(tǒng)活動(dòng)；②系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)；③識(shí)別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警；④異常行為模式的統(tǒng)計(jì)分析；⑤評(píng)估重要系統(tǒng)和數(shù)據(jù)文件的完整性；⑥操作系統(tǒng)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為。12/2/202293電子商務(wù)安全(一)入侵檢測(cè)概念主要任務(wù):12/1/202233電子商務(wù)安(二)基于主機(jī)的IDS基于主機(jī)的IDS主要用于運(yùn)行關(guān)鍵應(yīng)用層的服務(wù)器，它是早期的入侵檢測(cè)系統(tǒng)。主要目標(biāo)：是檢測(cè)主機(jī)系統(tǒng)是否受到外部或內(nèi)部的攻擊以及系統(tǒng)本地用戶是否有濫用或誤用行為。檢測(cè)原理：是根據(jù)系統(tǒng)審計(jì)記錄和系統(tǒng)日志文件、應(yīng)用程序日志、目錄和文件的不期望改變、程序執(zhí)行中的非正常行為等信息來(lái)發(fā)現(xiàn)系統(tǒng)是否存在可疑事件的。12/2/202294電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS主要用于運(yùn)行關(guān)鍵應(yīng)用層(二)基于主機(jī)的IDS基于主機(jī)的IDS之優(yōu)點(diǎn)：①基于主機(jī)的IDS可以從系統(tǒng)審計(jì)和事件日志中提取攻擊信息，從而判斷本地或遠(yuǎn)程用戶是否做了系統(tǒng)的安全規(guī)則。②基于主機(jī)的IDS可以精確地判斷入侵事件，并可對(duì)入侵事件立即進(jìn)行反應(yīng)。③基于主機(jī)的IDS還可以針對(duì)不同的操作系統(tǒng)的特點(diǎn)判斷應(yīng)用層的入侵事件。12/2/202295電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS之優(yōu)點(diǎn)：12/1/20(二)基于主機(jī)的IDS基于主機(jī)的IDS之缺點(diǎn)：①占用主機(jī)資源，在服務(wù)器上產(chǎn)生額外的負(fù)載。②缺乏跨平臺(tái)支持，可移植性差，因而應(yīng)用范圍受到嚴(yán)重限制。12/2/202296電子商務(wù)安全(二)基于主機(jī)的IDS基于主機(jī)的IDS之缺點(diǎn)：12/1/20(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨(dú)依靠主機(jī)的審計(jì)信息進(jìn)行入侵檢測(cè)難以適應(yīng)網(wǎng)絡(luò)安全的需求。主要表現(xiàn)：①主機(jī)的審計(jì)信息容易受到攻擊，入侵者可通過(guò)使用某些系統(tǒng)特權(quán)或調(diào)用比審計(jì)本身更低級(jí)的操作來(lái)逃避審計(jì)；②不能通過(guò)分析主機(jī)審計(jì)記錄來(lái)檢測(cè)網(wǎng)絡(luò)攻擊(域名欺騙、端口掃描等)；③基于主機(jī)的IDS的運(yùn)行或多或少地影響服務(wù)器的性能；④只能對(duì)服務(wù)器的特定用戶和應(yīng)用程序的執(zhí)行動(dòng)作、日志進(jìn)行檢測(cè)，所能檢測(cè)到的攻擊類(lèi)型有限。12/2/202297電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS網(wǎng)絡(luò)環(huán)境下，單獨(dú)依靠主機(jī)的審計(jì)信息進(jìn)行(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：基于網(wǎng)絡(luò)的入侵檢測(cè)IDS放置在比較重要的網(wǎng)段內(nèi)，不停地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包。對(duì)每一個(gè)數(shù)據(jù)包或可疑的數(shù)據(jù)包進(jìn)行特征分析。如果數(shù)據(jù)包與產(chǎn)品內(nèi)置的某些規(guī)則吻合，入侵檢測(cè)系統(tǒng)認(rèn)為受到攻擊，就會(huì)發(fā)出通知、警報(bào)甚至直接切斷網(wǎng)絡(luò)連接。基于網(wǎng)絡(luò)的IDS位置：基于網(wǎng)絡(luò)的入侵檢測(cè)IDS通常放置在防火墻的后面。

12/2/202298電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的IDS原理：12/1/202(三)基于網(wǎng)絡(luò)的IDS探測(cè)器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路由器或單獨(dú)的主機(jī)上。

12/2/202299電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS探測(cè)器可以安裝在網(wǎng)絡(luò)中重要的服務(wù)器、路(三)基于網(wǎng)絡(luò)的IDS優(yōu)點(diǎn)：

①實(shí)時(shí)性強(qiáng)。通過(guò)實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)包和網(wǎng)絡(luò)管理信息，來(lái)尋找具有網(wǎng)絡(luò)供給特征的活動(dòng)。

②檢測(cè)范圍廣?？梢詸z測(cè)包括協(xié)議攻擊和某些特定攻擊在內(nèi)的各種攻擊。

③監(jiān)視粒度更細(xì)。

④可移植性強(qiáng)?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)通?？梢赃m合多種網(wǎng)絡(luò)環(huán)境。

⑤具有服務(wù)器平臺(tái)獨(dú)立性?；诰W(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)不會(huì)對(duì)服務(wù)器以及網(wǎng)絡(luò)整體性能造成影響。12/2/2022100電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS優(yōu)點(diǎn)：12/1/202240電子商務(wù)安(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)存在的缺點(diǎn)：①只能監(jiān)視經(jīng)過(guò)本網(wǎng)段的活動(dòng)，精確度不高。②在交換網(wǎng)絡(luò)環(huán)境下難以配置。③防入侵欺騙的能力較差，難以定位入侵。12/2/2022101電子商務(wù)安全(三)基于網(wǎng)絡(luò)的IDS基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)存在的缺點(diǎn)：12(四)入侵檢測(cè)技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下列幾個(gè)方面：(1)入侵或攻擊的綜合化與復(fù)雜化。(2)入侵主體對(duì)象的間接化，即實(shí)施入侵與攻擊的主體的隱蔽性。(3)人侵或攻擊的規(guī)模擴(kuò)大。(4)入侵或攻擊技術(shù)的分布化。(5)攻擊對(duì)象的轉(zhuǎn)移。12/2/2022102電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向入侵技術(shù)的發(fā)展與演化主要反映在下(四)入侵檢測(cè)技術(shù)發(fā)展方向三個(gè)方向發(fā)展：(1)分布式入侵檢測(cè)。含義一是針對(duì)分布式網(wǎng)絡(luò)攻擊的檢測(cè)方法；含義二是使用分布式的方法來(lái)檢測(cè)分布式的攻擊。(2)智能化入侵檢測(cè)。使用智能化的方法與手段來(lái)進(jìn)行入侵檢測(cè)。所謂的智能化方法，現(xiàn)階段常用的有神經(jīng)網(wǎng)絡(luò)、遺傳算法、模糊技術(shù)、免疫原理等方法，這些方法常用于入侵特征的辨識(shí)與泛化。利用專(zhuān)家系統(tǒng)的思想來(lái)構(gòu)建入侵檢測(cè)系統(tǒng)也是常用的方法之一。(3)全面的安全防御方案。即使用安全工程風(fēng)險(xiǎn)管理的思想與方法來(lái)處理網(wǎng)絡(luò)安全問(wèn)題，將網(wǎng)絡(luò)安全作為一個(gè)整體工程來(lái)處理。從管理、網(wǎng)絡(luò)結(jié)構(gòu)、加密通道、防火墻、病毒防護(hù)、入侵檢測(cè)等多方位對(duì)所關(guān)注的網(wǎng)絡(luò)作全面的評(píng)估，然后提出可行的解決方案。12/2/2022103電子商務(wù)安全(四)入侵檢測(cè)技術(shù)發(fā)展方向三個(gè)方向發(fā)展：12/1/20224五、認(rèn)證(一)第三方認(rèn)證(二)PKI組成(三)證書(shū)認(rèn)證機(jī)構(gòu)CA12/2/2022104電子商務(wù)安全五、認(rèn)證(一)第三方認(rèn)證12/1/202244電子商務(wù)安(一)第三方認(rèn)證在電子商務(wù)中，必須從技術(shù)上保證在交易過(guò)程中能夠?qū)崿F(xiàn)身份認(rèn)證、安全傳輸、不可否認(rèn)性、數(shù)據(jù)完整性。數(shù)字證書(shū)認(rèn)證技術(shù)采用了加密傳輸和數(shù)字簽名，能夠?qū)崿F(xiàn)上述要求，因此在國(guó)內(nèi)外電子商務(wù)中，得到了廣泛的應(yīng)用。PKI采用證書(shū)進(jìn)行公鑰管理，通過(guò)第三方的可信任機(jī)構(gòu)(認(rèn)證中心，即CA)，把用戶的公鑰和用戶的其他標(biāo)識(shí)信息捆綁在一起，其中包括用戶名和電子郵件地址等信息，以在Internet網(wǎng)上驗(yàn)證用戶的身份。12/2/2022105電子商務(wù)安全(一)第三方認(rèn)證在電子商務(wù)中，必須從技術(shù)上保證在交易過(guò)程中能(二)PKI組成PKI（PublicKeyInfrastructure）即“公鑰基礎(chǔ)設(shè)施”。PKI在實(shí)際應(yīng)用上是一套軟硬件系統(tǒng)和安全策略的集合，它提供了一整套安全機(jī)制，使用戶在不知道對(duì)方身份或分布地很廣的情況下，以證書(shū)為基礎(chǔ)，通過(guò)一系列的信任關(guān)系進(jìn)行通信和電子商務(wù)交易。12/2/2022106電子商務(wù)安全(二)PKI組成PKI（PublicKeyInfrast(二)PKI組成PKI組成：一個(gè)簡(jiǎn)單的PKI系統(tǒng)包括證書(shū)機(jī)構(gòu)CA、注冊(cè)機(jī)構(gòu)RA和相應(yīng)的PKI存儲(chǔ)庫(kù)。其各部分作用如下：CA(CertificateAuthority)用于簽發(fā)并管理證書(shū)；RA(RegistrationAuthority)，數(shù)字證書(shū)注冊(cè)審批機(jī)構(gòu)。RA系統(tǒng)是CA的證書(shū)發(fā)放、管理的延伸。它負(fù)責(zé)證書(shū)申請(qǐng)者的信息錄入、審核以及證書(shū)發(fā)放等工作(安全審計(jì))。同時(shí)，對(duì)發(fā)放的證書(shū)完成相應(yīng)的管理功能(安全管理)。PKI存儲(chǔ)庫(kù)包括LDAP目錄服務(wù)器和普通數(shù)據(jù)庫(kù)，用于對(duì)用戶申請(qǐng)、證書(shū)、密鑰、CRL和日志等信息進(jìn)行存儲(chǔ)和管理，并提供一定的查詢功能。12/2/2022107電子商務(wù)安全(二)PKI組成PKI組成：一個(gè)簡(jiǎn)單的PKI系統(tǒng)包括證書(shū)機(jī)構(gòu)(三)證書(shū)認(rèn)證機(jī)構(gòu)CA1．?dāng)?shù)字證書(shū)基礎(chǔ)2．發(fā)行證書(shū)的CA簽名3．CA框架模型4．證書(shū)的申請(qǐng)和撤消5．證書(shū)管理6．密鑰管理7．證書(shū)的使用12/2/2022108電子商務(wù)安全(三)證書(shū)認(rèn)證機(jī)構(gòu)CA1．?dāng)?shù)字證書(shū)基礎(chǔ)12/1/202241．?dāng)?shù)字證書(shū)基礎(chǔ)CA(CertificateAuthority)是數(shù)字證書(shū)認(rèn)證中心的簡(jiǎn)稱，是指發(fā)放、管理、廢除數(shù)字證書(shū)的機(jī)構(gòu)。數(shù)字證書(shū)是一個(gè)經(jīng)證書(shū)授權(quán)中心數(shù)字簽名的包含公開(kāi)密鑰擁有者信息和公開(kāi)密鑰的文

件。數(shù)字證書(shū)是一種數(shù)字標(biāo)識(shí)，是Internet上的安全護(hù)照或身份證明。

12/2/2022109電子商務(wù)安全1．?dāng)?shù)字證書(shū)基礎(chǔ)CA(CertificateAuthor數(shù)字證書(shū)的格式

12/2/2022110電子商務(wù)安全數(shù)字證書(shū)的格式12/1/202250電子商務(wù)安全2．發(fā)行證書(shū)的CA簽名證書(shū)第二部分包括CA的簽名和用來(lái)生成數(shù)字簽名的簽名算法。任何人收到證書(shū)后都能使用簽名算法來(lái)驗(yàn)證證書(shū)是不是由C