第3章 第4節(jié)安全技術(shù)：加密技術(shù)、數(shù)字信封、數(shù)字簽名、數(shù)字證書、防火墻技術(shù)

電子商務(wù)安全技術(shù)-加密技術(shù)

目錄|

CONTENTS01加密技術(shù)TEAM密碼體制PROFESSION02對(duì)稱加密技術(shù)COURSE03非對(duì)稱加密CHARAACTERISTIC04

信息安全技術(shù)的概念

信息安全技術(shù)主要保護(hù)數(shù)據(jù)免受未授權(quán)的泄漏、篡改和損壞，主要包含數(shù)據(jù)秘密性（secrecy）usergroupother數(shù)據(jù)真實(shí)性（authenticity）數(shù)據(jù)的完整性（integrity）信息安全的技術(shù)措施可分為:訪問控制技術(shù)和密碼技術(shù)兩大類。電子商務(wù)安全技術(shù)體系結(jié)構(gòu)

電子商務(wù)安全常用技術(shù)主要包括：加密、數(shù)字簽名、電子證書、數(shù)字信封和雙重簽名等。DigitalSignature加密私鑰與數(shù)字簽名應(yīng)用授權(quán)數(shù)字證書

JohnHancock保密性身份鑒證訪問控制授權(quán)完整性抗抵賴01加密技術(shù)

加密技術(shù):包括信息的加密和解密兩個(gè)過程。

密碼技術(shù)的基本思想是偽裝信息，隱藏信息的真實(shí)內(nèi)容，以使未授權(quán)者不能理解信息的真正含義，達(dá)到保密的作用。具體的就是對(duì)信息進(jìn)行一組可逆的數(shù)學(xué)變換。偽裝前的信息稱為明文（Plaintext），偽裝后的信息稱為密文（Ciphertext）。將信息偽裝的過程稱為加密（Encryption）。加密在加密密鑰（key）的控制下進(jìn)行。

密碼技術(shù)的基本思想（移位）加密就是將明文字母向后移動(dòng)位形成密文。當(dāng)＝3時(shí)有明密文對(duì)照關(guān)系如下：例如，明文：ILOVEYOULORYHBRX今晚9點(diǎn)發(fā)動(dòng)總攻明文:JINWANJIUDIANFADONGZONGGONG密文：MLQZDQMLXGLDQIDGRQJCRQJJRQJ加密算法是將明文字母后移3位，解密就是將密文字母前移3位，3就是加解密的密鑰，由它控制加解密的進(jìn)行。ABCDEFGHIJKLMNOPQRSTUVWXYZDEFGHIJKLMNOPQRSTUVWXYZABC一個(gè)加解密的過程分析交易信息的初始形式稱為明文，記為P。若P為字符系列時(shí)，則記為：

P=[P1，P2，┅┅Pn]明文經(jīng)過加密后成密文。密文C也是字符系列，記為：

C=[C1，C2，┅┅Cn]明文與密文間的轉(zhuǎn)換可記為：顯然要求：C=E（P）及P=D（C）P=D（E（P））加密算法使用密鑰K，使得密文不僅依賴于初始明文，還要與密鑰的值有關(guān)。此時(shí)，加密過程可記為：C=E（P，K）（1）對(duì)稱密碼系統(tǒng)E是一組加密算法，而密鑰則用于選擇其中的一種特定算法。如果加密和解密采用相同的密鑰，則要求：P=D（E（P，K），K）用同一密鑰的加密和解密過程加密解密明文

密文

原來的明文

密鑰

（2）非對(duì)稱密碼系統(tǒng)采用成對(duì)的不同的加密密鑰和解密密鑰。即：P=D（E（P，KE），KD）用兩個(gè)密鑰的加密和解密過程加密解密明文

密文

原來的明文

KE

Kd

02密碼體制

密碼體制（crytosystem）也稱密碼系統(tǒng)，是指一個(gè)加密系統(tǒng)所采用的基本工作方式。密碼體制由五個(gè)部分組成：

1)

明文空間，它是全體明文的集合；

2)

密文空間，它是全體密文的集合；

3)

密鑰空間，它是全體密鑰的集合。其中每一個(gè)密鑰均由加密密鑰和解密密鑰組成

4)

加密算法；

5)

解密算法。2.密碼體制

圖

密碼體制明文信道解密算法加密算法明文加密密鑰解密密鑰密鑰竊取者

根據(jù)密鑰可以將密碼體制分為單密鑰密碼體制（One-keySystem，也稱對(duì)稱密碼體制或傳統(tǒng)密碼體制）雙密鑰密碼體制（Two-keySystem，也稱非對(duì)稱密碼體制或公開鑰密碼體制）。單密鑰與雙密鑰密碼體制圖

單密鑰密碼體制圖

雙密鑰密碼體制

一個(gè)密鑰（公鑰）作為公共信息發(fā)布出去，必須保證無法從公鑰推出私鑰，否則保密算法再強(qiáng)也將失去效果。這種體制的關(guān)鍵便是密鑰的生成，要能夠加解密又要不能互推。03對(duì)稱加密技術(shù)

對(duì)稱密匙（保密密匙）加密流程明文消息密匙A加密加密消息明文消息密匙A解密舉例：異或法加密

明文信息碼與密鑰碼異或，得到密文信息碼；該密文信息碼再與同一密鑰碼異或，又可以還原為原來的明文信息碼。就是說，加密過程和解密過程一致。例如：若明文為10011，密鑰碼為11010，則：加密

10011

明文

⊕

11010

密鑰碼

01001

密文解密

01001

明文

⊕

11010

密鑰碼

10011原來的明文

對(duì)稱加密技術(shù)(1）在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外途徑傳遞統(tǒng)一的密鑰。(2）當(dāng)通信對(duì)象增多時(shí)，需要相應(yīng)數(shù)量的密鑰。

(3）對(duì)稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會(huì)造成密鑰的失效，存在著潛在的危險(xiǎn)和復(fù)雜的管理難度。

典型的對(duì)稱加密算法

DES、3DES、IDES、RC5、AES03-1DES算法

3-1、數(shù)據(jù)加密標(biāo)準(zhǔn)DESDES是美國(guó)國(guó)家標(biāo)準(zhǔn)局（NBS）于1977年頒布的數(shù)據(jù)加密標(biāo)準(zhǔn)算法（DataEncryptionStandard）,是一種分組密碼技術(shù)，是對(duì)稱密碼體制的優(yōu)秀算法。

DES算法原理

DES算法是一種分組密碼算法。DES算法每次取明文中連續(xù)的64位數(shù)據(jù)，利用64位密鑰（其中有8位屬于奇偶效驗(yàn)位），經(jīng)過一連串（16次循環(huán)）的組加密算法（替換和移位）將其轉(zhuǎn)換成64位的數(shù)據(jù)（密文）。反復(fù)執(zhí)行上述過程，就可將全部明文加密成密文。圖

分組密碼

DES算法的特點(diǎn)優(yōu)點(diǎn)：加密和解密速度快，加密強(qiáng)度高，且算法公開。缺點(diǎn)：1、實(shí)現(xiàn)密鑰的秘密分發(fā)困難，對(duì)于具有n個(gè)用戶的網(wǎng)絡(luò)，需要n(n－1)/2個(gè)密鑰。在大量用戶的情況下密鑰管理復(fù)雜，而且無法完成身份認(rèn)證等功能，不便于應(yīng)用在網(wǎng)絡(luò)開放的環(huán)境中。2、要求提供一條安全的渠道使通信雙方在首次通信時(shí)協(xié)商一個(gè)共同的密鑰。3、對(duì)稱密鑰的管理和分發(fā)工作是一件具有潛在危險(xiǎn)的和煩瑣的過程。04公開密鑰加密技術(shù)

4、公開密鑰密碼體制

加密和解密過程分別使用兩個(gè)不同的密鑰體系——非對(duì)稱式加密體系。它使用一對(duì)密鑰來分別完成加密和解密操作，一個(gè)公開發(fā)布，稱為公開密鑰（Public-Key）PKI；另一個(gè)由用戶自己秘密保存，稱為私有密鑰（Private-Key）。

公開密鑰體制的應(yīng)用老張小李的公開密匙小李老張密文小李小李的私有密匙老張的私有密匙老張的公開密匙密文鑒別保密用RSA鑒別,只有老張能發(fā)出該信息用RSA保密,只有小李能解開該信息

典型的加密算法

RSA、背包算法、Rabin算法、概率加密算法、McEliece算法04-1RSA算法

4-1、RSA算法RSA的名字來歷：

1977年，R.Rivest、A.Shamir和L.Adleman教授提出了RSA算法。N------>PXQ(素?cái)?shù)）?模P乘法逆元(費(fèi)爾馬小定理)

對(duì)于整數(shù)a、p，如果存在整數(shù)b，滿足a*bmodp=1，則說，b是a的模p乘法逆元。b=ap-1modp.其中b=ap-1modp是a的模p乘法逆元。例：整數(shù)a=7，b=?，p=120，則b=7119mod120=103是a的逆元。RSA密鑰生成體制生成兩個(gè)大素?cái)?shù)p和q，計(jì)算n=p*q；計(jì)算z=(p-1)*(q-1)，并找出一個(gè)與z互質(zhì)的數(shù)e；利用歐拉函數(shù)計(jì)算出e的逆，使其滿足

e*dmod(p-1)(q-1)=1，mod為模運(yùn)算；

d=ez-1modz公開密鑰為：PK=(n，e)，用于加密，可以公開出去。秘密密鑰為：SK=(n，d)，用于解密，必須保密。RSA加解密過程加密：設(shè)m為要傳送的明文，利用公開密鑰（n，e）加密，c為加密后的密文。則加密公式為：c=m^emodn，（0≤c<n）；解密：利用私密鑰（n，d）解密。則解密公式為：m=c^dmodn，（0≤m<n）。RSA加解密舉例選取p=11，q=13。則n=p*q=143。z=(p-1)*(q-1)=10*12=120；選取e=17（大于p和q的質(zhì)數(shù)），計(jì)算其逆，d=17^119mod120=113。那么公鑰PK為（143，17），私鑰SK為（143，113）。

舉例如下：

（1）選兩個(gè)質(zhì)數(shù)：p=47，q=71（為了計(jì)算方便，只選取十位數(shù)，實(shí)際加密時(shí)應(yīng)該選取100位以上十進(jìn)數(shù)的質(zhì)數(shù)）

（2）計(jì)算：n＝pq＝47×71=3337，z＝（47-1）×（71-1）=3220

（3）e必須與z互質(zhì)，選e=79

（4）計(jì)算：e*dmodz=1,d=79^(3220-1)mod(3220)，得出d=1019，這是因?yàn)?019×79=3220×25+1。

然后將e=79、n=3337公布，d=1019保密，p、q消毀即可。

如有一明文m=6882326879666683

加密過程如下：

先將m分割成多塊：m1=688，m2=232，m3=687，m4=966，m5=668，m6=3

將第1塊m1加密后得密文C1=m1^e（mod3337）=688^79（mod3337）=1570

依次對(duì)各區(qū)塊加密后得密文C=15702756271422762423158

解密過程如下：

對(duì)C1解密得m1

M1=C1^d（mod3337）=1570^1019（mod3337）=688

依次解密得原文M。密鑰生成難受到素?cái)?shù)產(chǎn)生技術(shù)的限制。沒有從理論上證明破譯RSA的難度與大數(shù)分解難度等價(jià)。速度太慢RSA，為保證安全性，n至少也要600位以上。

RSA算法的特點(diǎn)公鑰算法應(yīng)用－加密模式明文明文A發(fā)送機(jī)密信息給B,知道只有B可以解密A用B的公鑰加密(公開)B使用自己的私鑰解密(保密)HiBobAliceB的私鑰B的公鑰CiphertextAliceBob加密解密HiBobAliceHiBobAliceHiBobAlice對(duì)稱與非對(duì)稱加密體制對(duì)比特性對(duì)稱非對(duì)稱密鑰的數(shù)目單一密鑰密鑰是成對(duì)的密鑰種類密鑰是秘密的一個(gè)私有、一個(gè)公開密鑰管理簡(jiǎn)單不好管理需要數(shù)字證書及可靠第三者相對(duì)速度非常快慢用途用來做大量資料的加密用來做加密小文件或?qū)π畔⒑炞值炔惶珖?yán)格保密的應(yīng)用作業(yè)：電子版教材學(xué)習(xí)：P120-P128/openr/45374_output/web/45374-undW2zAAbtbRDCXK3WyYN8pKjAL9CFy5-3.htmlENDTHANKSDES在電子商務(wù)交易過程中存在的問題要求提供一條安全的渠道使通信雙方在首次通信時(shí)協(xié)商一個(gè)共同的密鑰。密鑰的數(shù)目難于管理。因?yàn)閷?duì)于每一個(gè)合作者都需要使用不同的密鑰，很難適應(yīng)開放社會(huì)中大量的信息交流。對(duì)稱加密算法一般不能提供信息完整性的鑒別。它無法驗(yàn)證發(fā)送者和接受者的身份。對(duì)稱密鑰的管理和分發(fā)工作是一件具有潛在危險(xiǎn)的和煩瑣的過程。電子商務(wù)安全技術(shù)：數(shù)字信封、數(shù)字簽名、數(shù)字證書

目錄|

CONTENTSDESRSA01數(shù)字信封TEAM數(shù)字簽名PROFESSION02數(shù)字證書COURSE03CHARAACTERISTIC0401數(shù)字信封

在實(shí)際的應(yīng)用，對(duì)于加密量大的應(yīng)用,通常由對(duì)稱密鑰對(duì)數(shù)據(jù)加密，公開密鑰用于對(duì)對(duì)稱加密的密鑰的加密，這種方式叫（數(shù)字信封）。1、數(shù)字信封公鑰算法應(yīng)用－加密模式明文明文A發(fā)送機(jī)密信息給B,知道只有B可以解密A用B的公鑰加密(公開)B使用自己的私鑰解密(保密)HiBobAliceB的私鑰B的公鑰CiphertextAliceBob加密解密HiBobAliceHiBobAliceHiBobAlice

組合對(duì)稱密鑰和公開密鑰產(chǎn)生一個(gè)對(duì)稱密鑰——會(huì)話密鑰用會(huì)話密鑰加密信息最后用接收者的公鑰加密會(huì)話密鑰——因?yàn)樗芏堂魑拿魑腍iBobAliceHiBobAliceHiBobAlice會(huì)話密鑰加密1.信息X2c67afGkz78會(huì)話密鑰xaF4m78dKmAliceBob密文解密4.信息B的公鑰加密2.會(huì)話密鑰02數(shù)字簽名

2、

數(shù)字簽名

數(shù)字簽名也稱電子簽名，是指使用密碼算法，對(duì)待發(fā)的數(shù)據(jù)進(jìn)行加密處理，生成一段數(shù)據(jù)摘要信息附在原文上一起發(fā)送，這段信息類似于現(xiàn)實(shí)中的簽名或印章，接收方收到簽名后，進(jìn)行驗(yàn)證，判定原文的真?zhèn)危ㄊ欠裼烧鎸?shí)發(fā)送方發(fā)送）。數(shù)字簽名應(yīng)該具有以下的功能：

(1)簽名者事后不可否認(rèn)自己的簽名；

(2)任何其他人不能偽造簽名；

(3)若當(dāng)事雙方出現(xiàn)爭(zhēng)執(zhí)，可以由公正的第三方通過驗(yàn)證確認(rèn)簽名真?zhèn)?。如果A要發(fā)送一篇需要數(shù)字簽名的文件給B，只需以下的幾個(gè)步驟：（1）A用其私鑰對(duì)要進(jìn)行簽名的數(shù)據(jù)加密，這就是簽名；（2）將信息傳送給B；（3）B從公鑰庫中得到A的公鑰，用公鑰將A發(fā)來的信息解密，若可讀且符合一定要求B便可根據(jù)此確認(rèn)該信息由A發(fā)出，并有效。

用公鑰算法實(shí)現(xiàn)數(shù)字簽名圖6－9整體信息的數(shù)字簽名原文原文數(shù)字簽名加密算法解密算法數(shù)字簽名發(fā)方私鑰發(fā)方公鑰原文比較發(fā)方收方對(duì)摘要信息（也稱壓縮信息）進(jìn)行簽名的方法：先對(duì)原文信息進(jìn)行加密壓縮形成數(shù)據(jù)摘要，然后再對(duì)數(shù)據(jù)摘要用發(fā)方私鑰加密形成簽名，發(fā)送給接收方，接收方收到信息后，對(duì)簽名信息解密，同時(shí)使用發(fā)方壓縮摘要的算法對(duì)收到的原文進(jìn)行重新壓縮，將壓縮結(jié)果與簽名解密的結(jié)果對(duì)比，若一致則可證明該發(fā)送方的身份和數(shù)據(jù)可靠性。壓縮算法常用hash單向函數(shù)，生成128位的散列值(也稱報(bào)文摘要)。對(duì)摘要信息的簽名信息摘要生產(chǎn)與傳送

圖

信息摘要過程圖對(duì)摘要信息簽名發(fā)方收方比較解密算法發(fā)方公鑰數(shù)字簽名數(shù)據(jù)摘要數(shù)字簽名加密算法發(fā)方私鑰數(shù)據(jù)摘要壓縮算法原文原文壓縮算法數(shù)據(jù)摘要原文原文將數(shù)字摘要和數(shù)字簽名結(jié)合明文AliceBobA的私鑰HiBobAliceA的公鑰

摘要哈希函數(shù)gJ39vzamp4xOurjj9rRr%9$數(shù)字簽名HiBobAlice明文Ourjj9rRr%9$數(shù)字簽名HiBobAlice明文gJ39vzamp4x

新摘要哈希函數(shù)gJ39vzamp4x=？相同1、沒有篡改2、是Alice發(fā)送的1234567信息摘要數(shù)字簽名

圖

數(shù)字簽名過程03數(shù)字證書與CA認(rèn)證

3、數(shù)字證書

數(shù)字證書（DigitalCertificate或DigitalID）數(shù)字證書又稱數(shù)字憑證，是用電子手段來證實(shí)一個(gè)實(shí)體的身份及其公鑰的合法性，并將實(shí)體身份與公鑰綁定。它是一個(gè)數(shù)字標(biāo)識(shí)，可以實(shí)現(xiàn)身份的鑒別認(rèn)證、完整性、保密性和不可抵賴等安全要求，也是公鑰的管理媒介，公鑰的分發(fā)、傳送等都是靠數(shù)字證書來完成的。目前，數(shù)字證書的格式一般采用X.509國(guó)際標(biāo)準(zhǔn)。數(shù)字證書（DigitalCertificate或DigitalID）數(shù)字證書采用公鑰密碼體制，每個(gè)用戶擁有一把僅為本人所掌握的私鑰，用它進(jìn)行信息解密和數(shù)字簽名；同時(shí)擁有一把公鑰，并可以對(duì)外公開，用于信息加密和簽名驗(yàn)證。數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點(diǎn)、網(wǎng)上證券交易、網(wǎng)上采購招標(biāo)、網(wǎng)上辦公、網(wǎng)上保險(xiǎn)、網(wǎng)上稅務(wù)、網(wǎng)上簽約和網(wǎng)上銀行等安全電子事務(wù)處理和安全電子交易活動(dòng)。

數(shù)字證書包括以下內(nèi)容如圖所示：l

證書擁有者的姓名；l

證書擁有者的公鑰；l

公鑰的有限期；l

頒發(fā)數(shù)字證書的單位；l

頒發(fā)數(shù)字證書單位的數(shù)字簽名；l

數(shù)字證書的序列號(hào)等。數(shù)字證書的內(nèi)容圖3-30查看證書內(nèi)容（1）圖3-31查看證書內(nèi)容（2）圖3-32查看證書內(nèi)容（3）數(shù)字證書主要有以下類型：（1）個(gè)人數(shù)字證書（2）單位（工商企業(yè)）證書（3）軟件（代碼）數(shù)字證書

(4)設(shè)備數(shù)字證書數(shù)字證書的類型CA也稱認(rèn)證中心是數(shù)字證書的簽發(fā)機(jī)構(gòu)，是電子商務(wù)體系中的核心環(huán)節(jié)，是電子交易中信賴的基礎(chǔ)。認(rèn)證中心作為一個(gè)電子商務(wù)交易中受信任和具有權(quán)威性的第三方，需要承擔(dān)網(wǎng)絡(luò)上安全電子交易的認(rèn)證服務(wù)，負(fù)責(zé)產(chǎn)生、分發(fā)和管理用戶的數(shù)字證書。為每個(gè)使用公開密鑰的客戶發(fā)放數(shù)字證書，檢驗(yàn)公鑰體系中公鑰的合法性。它參與每次通信過程，但是不涉及具體的通信內(nèi)容。數(shù)字證書的簽發(fā)機(jī)構(gòu)：認(rèn)證中心CA（CertificateAuthority）（1）認(rèn)證中心主要要完成證書的登記、審批、產(chǎn)生、發(fā)放、撤銷、查詢、管理等功能.（2）CA樹形的層次結(jié)構(gòu)結(jié)構(gòu)(如圖所示）

CA認(rèn)證中心功能圖SETCA體系結(jié)構(gòu)第一層根CA第二層品牌CA第三層終端CARootCABrandCAEnduserCA支付網(wǎng)關(guān)證書持卡人證書商家證書PCAMCACCA國(guó)內(nèi)常見的CA有

中國(guó)商務(wù)在線l中國(guó)數(shù)字認(rèn)證網(wǎng)（），數(shù)字認(rèn)證，數(shù)字簽名，CA認(rèn)證，CA證書，數(shù)字證書，安全電子商務(wù)。l北京數(shù)字證書認(rèn)證中心

（），為網(wǎng)上電子政務(wù)和電子商務(wù)活動(dòng)提供數(shù)字證書服務(wù)。l浙江數(shù)字證書認(rèn)證中心

國(guó)內(nèi)CA中心簡(jiǎn)介（1）下載并安裝根證書（如圖3-34~3-38所示）（2）申請(qǐng)證書（如圖3-39~3-41所示）（3）將個(gè)人身份信息連同證書序列號(hào)一并郵寄到中國(guó)數(shù)字認(rèn)證網(wǎng)數(shù)字證書的申請(qǐng)圖3-34下載根證書（1）圖3-35下載根證書（2）圖3-36安裝根證書（1）圖3-37安裝根證書（2）圖3-38查看根證書圖3-39申請(qǐng)個(gè)人免費(fèi)證書圖3-40下載個(gè)人證書圖3-41查看個(gè)人證書帶有數(shù)字簽字和數(shù)字證書的加密系統(tǒng)

公開密鑰體制的應(yīng)用老張小李的公開密匙小李老張密文小李小李的私有密匙老張的私有密匙老張的公開密匙密文鑒別保密用RSA鑒別,只有老張能發(fā)出該信息用RSA保密,只有小李能解開該信息（四）移動(dòng)數(shù)字簽名移動(dòng)簽名技術(shù)可以實(shí)現(xiàn)移動(dòng)支付業(yè)務(wù)所要求的身份認(rèn)證、數(shù)據(jù)完整性、不可否認(rèn)性，是移動(dòng)支付業(yè)務(wù)最重要安全保證。移動(dòng)簽名涉及到手機(jī)端私鑰及數(shù)字證書的生成過程、身份認(rèn)證過程、簽名過程和加密解密過程。1.手機(jī)端私鑰、公鑰以及證書的生成過程手機(jī)端數(shù)字證書和公鑰私鑰對(duì)的生成過程（1）用戶向CA服務(wù)器發(fā)送攜帶個(gè)人信息（如手機(jī)號(hào)碼）的認(rèn)證請(qǐng)求；（2）CA服務(wù)器通過運(yùn)營(yíng)商的BOSS系統(tǒng)對(duì)用戶身份進(jìn)行認(rèn)證；（BOSS（Business&OperationSupportSystem）指的是業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)；通常BOSS分為四個(gè)部分：計(jì)費(fèi)及結(jié)算系統(tǒng)、營(yíng)業(yè)與賬務(wù)系統(tǒng)、客戶服務(wù)系統(tǒng)和決策支持系統(tǒng)）（3）認(rèn)證通過用戶向用戶手機(jī)返回確認(rèn)。（4）手機(jī)端的密鑰生成模塊生成一對(duì)公鑰、私鑰對(duì)（SK,PK)。（5）手機(jī)端將生成的公鑰PK及用戶信息用CA的公鑰加密發(fā)送給CA服務(wù)器。請(qǐng)求生成數(shù)字證書。（6）CA服務(wù)器收到請(qǐng)求以后，生成用戶的數(shù)字證書，并將生成的證書發(fā)送給手機(jī)端，證書中包含CA的數(shù)字簽名。（7）手機(jī)端收到證書以后，用CA服務(wù)器的公鑰驗(yàn)證CA的簽名，如果驗(yàn)證通過，說明生成的數(shù)字證書成功有效，并將其保存。2.身份認(rèn)證過程用戶在每次登陸移動(dòng)支付的業(yè)務(wù)系統(tǒng)之前，需要對(duì)用戶進(jìn)行身份認(rèn)證（1）手機(jī)端發(fā)送用戶接入請(qǐng)求，請(qǐng)求中包含用戶信息。（2）支付系統(tǒng)生成隨機(jī)數(shù)R,并用該用戶的公鑰加密ER=Enc(R,PK),將ER發(fā)送給手機(jī)端。（3）用戶手機(jī)端收到ER以后，使用用戶自己的私鑰SK對(duì)ER進(jìn)行解密獲得R，R=Dec(ER,SK)。并將解密以后的隨機(jī)數(shù)R用支付系統(tǒng)的公鑰加密DER=Enc(R,PK),返回給支付系統(tǒng)。（4）支付系統(tǒng)收到DER以后，用自己的私鑰SK解密獲得隨機(jī)數(shù)R1，R1=Dec(DER,SK)驗(yàn)證獲得隨機(jī)數(shù)R1與是否等于R，如果正確則通過用戶的身份認(rèn)證。3.移動(dòng)簽名過程用戶身份認(rèn)證通過以后就可以進(jìn)行數(shù)字簽名的移動(dòng)支付。（1）用戶用私鑰對(duì)SK對(duì)購買的指令TXT進(jìn)行簽名SignedTXT=Sign(TXT,SK)，將其發(fā)送給支付系統(tǒng)，同時(shí)發(fā)生的還包含用戶的基本信息，如用戶ID和手機(jī)號(hào)等。（2）支付系統(tǒng)根據(jù)用戶的信息找到用戶的證書，驗(yàn)證證書的有效期等信息。同時(shí)，用證書的公鑰PK對(duì)SignedTXT進(jìn)行解密，TXT1=Dec(SignedTXT,PK),驗(yàn)證用戶的簽名是否正確(比較TXT1與TXT)。（3）驗(yàn)證通過，可以進(jìn)行后續(xù)的支付操作。4.加密與解密(數(shù)字信封的應(yīng)用）(1)支付系統(tǒng)服務(wù)器產(chǎn)生的隨機(jī)數(shù)R作為手機(jī)端與服務(wù)器之間進(jìn)行加解密的會(huì)話密鑰，同時(shí)用用戶的公鑰PK對(duì)R進(jìn)行加密,ER=Enc(R,PK)。(2)支付系統(tǒng)服務(wù)器同時(shí)用R加密需要的加密的會(huì)話內(nèi)容TXT:CyberTXT=Enc(TXT,R)。（對(duì)稱加密）(3)支付系統(tǒng)服務(wù)器將ER與CyberTXT發(fā)送給手機(jī)。(4)手機(jī)端收到以后用私鑰SK解密ER獲得會(huì)話密鑰R:R=Dec(ER,SK)。(5)手機(jī)端再用R解密CyberTXT獲得TXT1，TXT1=Dec(CyberTXT,R)。5.手機(jī)數(shù)字簽名系統(tǒng)手機(jī)數(shù)字簽名系統(tǒng)

三、業(yè)務(wù)無關(guān)的移動(dòng)簽名將用戶私鑰保存在用戶的手機(jī)（SIM卡）中，將待簽名數(shù)據(jù)通過一個(gè)平臺(tái)發(fā)送到用戶手機(jī)中，用戶只需比對(duì)手機(jī)中看到的信息與業(yè)務(wù)終端看到的信息一致，就可在手機(jī)上進(jìn)行確認(rèn)，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)的簽名。簽名結(jié)果返回到業(yè)務(wù)服務(wù)器，業(yè)務(wù)服務(wù)器驗(yàn)證通過后，則認(rèn)為當(dāng)前交易得到了用戶的合法授權(quán)。ENDTHANKS電子商務(wù)安全技術(shù)-防火墻技術(shù)

一.防火墻概述二.防火墻的類型三.防火墻的體系結(jié)構(gòu)四.防火墻的選擇

一、防火墻概述防火墻是指一個(gè)由軟件和硬件設(shè)備組合而成，在Intranet和Internet之間構(gòu)筑的一道屏障（如圖3-26所示），用于加強(qiáng)內(nèi)部網(wǎng)絡(luò)和公共網(wǎng)絡(luò)之間安全防范的系統(tǒng)。圖3-26防火墻1.防火墻概念

防火墻是（Firewall）是在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)造的一道屏障，用以保護(hù)內(nèi)部網(wǎng)的數(shù)據(jù)、資源等不受侵害。從本質(zhì)上來說防火墻是一種保護(hù)裝置，它一方面最大限度的讓內(nèi)部用戶方便的訪問外部網(wǎng)（一般為Internet），另一方面又盡可能的防止外部網(wǎng)對(duì)內(nèi)部網(wǎng)的非法入侵，達(dá)到保護(hù)系統(tǒng)安全的目的。防火墻通常是運(yùn)行于一臺(tái)單獨(dú)計(jì)算機(jī)之上的特別服務(wù)軟件，從組成上來說，防火墻由硬件和軟件兩部分組成。（1）凡是沒有被列為允許訪問的服務(wù)都是被禁止的。（2）凡是沒有被列為禁止訪問的服務(wù)都是被允許的。返回本節(jié)2.防火墻的安全策略有兩種(1)防火墻是保護(hù)內(nèi)部網(wǎng)安全的屏障

(2)可對(duì)可疑操作進(jìn)行審計(jì)跟蹤(3)防止內(nèi)部網(wǎng)信息泄漏3.防火墻的主要功能

4.防火墻的局限性

(1)防火墻無法防范內(nèi)部用戶的攻擊（2）防火墻無法防范不通過它的連接（3）限制了有用的網(wǎng)絡(luò)訪問（4）防火墻很難防范病毒（5）防火墻不能防備新的網(wǎng)絡(luò)安全問題（6）防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊二、防火墻的類型根據(jù)使用的技術(shù)、原理不同，防火墻分為很多種類型，大體上可分為兩類：一類為基于包過濾（Packet

Filter），如包過濾路由器和應(yīng)用層網(wǎng)關(guān)；另一類基于代理服務(wù)（ProxyService）,如應(yīng)用層代理服務(wù)器。兩者的區(qū)別在于：基于包過濾的防火墻通常直接轉(zhuǎn)發(fā)報(bào)文，對(duì)用戶完全透明，速度較快；基于代理的防火墻則是通過代理服務(wù)來建立連接，可以有更強(qiáng)的身份認(rèn)證（Authentication）和日志（Log）功能。

數(shù)據(jù)包過濾（也稱分組過濾）技術(shù)是在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包中的IP地址過濾。它是按照系統(tǒng)管理員所給定的過濾規(guī)則進(jìn)行過濾，如果防火墻設(shè)定某一IP地址不適宜訪問的話，從這個(gè)地址來的所有信息都會(huì)被防火墻屏蔽掉。包過濾技術(shù)提供了有效控制網(wǎng)絡(luò)流量的方法，在一定程度上保證了網(wǎng)絡(luò)的安全。包過濾技術(shù)的操作在網(wǎng)絡(luò)（TCP/IP）層進(jìn)行，它的優(yōu)點(diǎn)便是對(duì)用戶透明，不要求客戶機(jī)和服務(wù)器作任何修改，處理速度快而且易于維護(hù)。包過濾技術(shù)的原理簡(jiǎn)單、性能好，可對(duì)數(shù)據(jù)包的地址進(jìn)行查看，因此可以用路由器來實(shí)現(xiàn)。1.

包過濾路由器應(yīng)用層網(wǎng)關(guān)（ApplicationLevelGateways）是在網(wǎng)絡(luò)應(yīng)用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能。針對(duì)特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯，并在過濾的同時(shí)，對(duì)數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告。應(yīng)用層網(wǎng)關(guān)一般安裝在專用工作站系統(tǒng)上。應(yīng)用層網(wǎng)關(guān)只提供本地有代理程序的服務(wù)通過。

2．應(yīng)用層網(wǎng)關(guān)

數(shù)據(jù)包過濾和應(yīng)用層網(wǎng)關(guān)技術(shù)的共同點(diǎn)就是他們僅僅依靠特定的邏輯判定是否允許數(shù)據(jù)包通過。一旦滿足邏輯，則防火墻內(nèi)外的計(jì)算機(jī)系統(tǒng)建立直接連接，外部的用戶便有可能直接了解防火墻內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)和允許狀態(tài)，這可能導(dǎo)致非法訪問和攻擊?；诎^濾路由器的弱點(diǎn)，防火墻可以通過軟件程序來傳輸和過濾像WWW、telnet和FTP之類的服務(wù)，這樣的應(yīng)用程序被稱為代理服務(wù)程序，而允許代理服務(wù)程序的主機(jī)被稱為代理服務(wù)器。數(shù)據(jù)包過濾和應(yīng)用層網(wǎng)關(guān)缺點(diǎn)代理服務(wù)是針對(duì)數(shù)據(jù)包過濾和應(yīng)用層網(wǎng)關(guān)技術(shù)存在的不足而引入的防火墻技術(shù)。代理服務(wù)是在內(nèi)部與外部的系統(tǒng)之間加一層服務(wù)器，用該服務(wù)器來做中間代理功能，即可保證內(nèi)部用戶可以安全的訪問外部網(wǎng)，又可以很好的防止外部的攻擊，由于代理訪問的中間作用，攻擊的也只是代理服務(wù)器，而不會(huì)是網(wǎng)絡(luò)內(nèi)部的系統(tǒng)資源。代理服務(wù)器通常是運(yùn)行于兩個(gè)網(wǎng)絡(luò)之間（內(nèi)部網(wǎng)與外部網(wǎng)），對(duì)于內(nèi)部用戶來說它像一臺(tái)真的服務(wù)器，而對(duì)于外部的提供訪問的服務(wù)器（外部網(wǎng)Internet上的服務(wù)器）來說它又是一臺(tái)進(jìn)行訪問的客戶機(jī)。

3.

代理服務(wù)當(dāng)代理服務(wù)器接收到用戶對(duì)某個(gè)站點(diǎn)的訪問請(qǐng)求后會(huì)檢查該請(qǐng)求是否符合規(guī)定，如果規(guī)則允許用戶訪問該站點(diǎn)，代理服務(wù)器會(huì)像一個(gè)客戶一樣去那個(gè)站點(diǎn)取回用戶需要的信息再轉(zhuǎn)發(fā)給用戶。代理服務(wù)器通常都有一個(gè)高速緩存，這個(gè)緩存存儲(chǔ)用戶經(jīng)常訪問的站點(diǎn)內(nèi)容，在下一個(gè)用戶要訪問時(shí)就不需重復(fù)的獲取相同的內(nèi)容，直接將緩存中的內(nèi)容發(fā)給用戶即可，即節(jié)省了時(shí)間又節(jié)省網(wǎng)絡(luò)資源。代理服務(wù)器像一座墻一樣位于內(nèi)部用戶和外部網(wǎng)之間，外部入侵者只能看到代理服務(wù)器而無法獲知內(nèi)部用戶的信息和資源。如圖6－1。代理服務(wù)工作流程客戶客戶代理訪問控制服務(wù)器代理防火墻代理服務(wù)應(yīng)答轉(zhuǎn)發(fā)請(qǐng)求轉(zhuǎn)發(fā)應(yīng)答訪問請(qǐng)求圖6－1代理服務(wù)型防火墻工作示意圖三、防火墻的體系結(jié)構(gòu)

雙宿主主機(jī)體系結(jié)構(gòu)

屏蔽主機(jī)體系結(jié)構(gòu)

屏蔽子網(wǎng)體系結(jié)構(gòu)

1、雙宿主主機(jī)體系結(jié)構(gòu)所謂雙宿主主機(jī)是指至少有兩個(gè)網(wǎng)絡(luò)接口的計(jì)算機(jī)系統(tǒng)。這兩個(gè)網(wǎng)絡(luò)接口一個(gè)為內(nèi)部網(wǎng)接口，一個(gè)為外部網(wǎng)（Internet）接口。這樣的主機(jī)可以充當(dāng)這兩個(gè)接口之間的路由器，能夠從一個(gè)網(wǎng)絡(luò)向另一網(wǎng)絡(luò)發(fā)送IP數(shù)據(jù)包。但一般防火墻的結(jié)構(gòu)禁止這種直接的發(fā)送功能，從外部網(wǎng)傳來的IP數(shù)據(jù)包不可直接進(jìn)入內(nèi)部網(wǎng)。雙宿主主機(jī)內(nèi)外的網(wǎng)絡(luò)均可與雙宿主主機(jī)通信，但內(nèi)外網(wǎng)絡(luò)之間不可直接通信，也就是雙宿主主機(jī)位于內(nèi)外網(wǎng)絡(luò)之間，內(nèi)外網(wǎng)絡(luò)通過它進(jìn)行數(shù)據(jù)通信。結(jié)構(gòu)示意見圖6－2。圖6－2雙宿主主機(jī)體系結(jié)構(gòu)

Internet…內(nèi)部網(wǎng)防火墻雙宿主主機(jī)2.屏蔽主機(jī)體系結(jié)構(gòu)

屏蔽主機(jī)體系結(jié)構(gòu)是由一個(gè)位于內(nèi)部網(wǎng)絡(luò)的堡壘主機(jī)（BastionHost）和一個(gè)位于堡壘主機(jī)與外部網(wǎng)之間的路由器（過濾路由器）組成，如圖6－2。堡壘主機(jī)是一個(gè)計(jì)算機(jī)系統(tǒng)，它對(duì)外部網(wǎng)絡(luò)（Internet）暴露，同時(shí)又是內(nèi)部網(wǎng)絡(luò)用戶的主要連接點(diǎn)，是系統(tǒng)內(nèi)可以訪問外部網(wǎng)的計(jì)算機(jī)。這種體系結(jié)構(gòu)中主要的安全機(jī)制由數(shù)據(jù)包過濾系統(tǒng)來提供（例如防止內(nèi)部用戶繞過堡壘主機(jī)直接連接到外部網(wǎng)絡(luò)）。圖6－3屏蔽主機(jī)體系結(jié)構(gòu)Internet防火墻路由器…內(nèi)部網(wǎng)堡壘主機(jī)3.屏蔽子網(wǎng)體系結(jié)構(gòu)屏蔽子網(wǎng)體系結(jié)構(gòu)是在屏蔽主機(jī)體系結(jié)構(gòu)的基礎(chǔ)上添加了額外的安全層，通過添加周邊網(wǎng)絡(luò)把內(nèi)部網(wǎng)更進(jìn)一步的與外部網(wǎng)分開，形成二層隔斷，如圖所示。周邊網(wǎng)絡(luò)在防火墻產(chǎn)品中也常稱非軍事區(qū)（De-MilitarizedZone，簡(jiǎn)稱DMZ），它是一個(gè)安全層，是在外部網(wǎng)與內(nèi)部網(wǎng)之間添加的一個(gè)附加網(wǎng)絡(luò)。周邊網(wǎng)允許Internet使用者透過防火墻存取開放的服務(wù)器，與內(nèi)部網(wǎng)絡(luò)為完全獨(dú)立的兩個(gè)區(qū)域，可避免將開放的服務(wù)器置于內(nèi)部網(wǎng)絡(luò)所需冒的風(fēng)險(xiǎn)。如果入侵者成功的進(jìn)入了防火墻的外層領(lǐng)域，周邊網(wǎng)絡(luò)會(huì)在入侵者與內(nèi)部網(wǎng)之間提供一個(gè)附加的保護(hù)層，相當(dāng)一個(gè)雙保險(xiǎn)。圖6－4屏蔽子網(wǎng)體系結(jié)構(gòu)Internet周邊網(wǎng)絡(luò)外部路由器內(nèi)部路由器堡壘主機(jī)防火墻6.2.3防火墻技術(shù)防火墻的本義原是指古代人們房屋之間修建的墻，這道墻可以防止火災(zāi)發(fā)生的時(shí)候蔓延到別的房屋。1.防火墻概述

防火墻是設(shè)置在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障，實(shí)現(xiàn)網(wǎng)絡(luò)的安全保護(hù)，以防止發(fā)生不可預(yù)測(cè)的、潛在破壞性的侵入。服務(wù)器內(nèi)部網(wǎng)可信網(wǎng)絡(luò)Internet不可信網(wǎng)絡(luò)基本概念主機(jī)：與網(wǎng)絡(luò)系統(tǒng)相連的計(jì)算機(jī)系統(tǒng)。堡壘主機(jī)：指一個(gè)計(jì)算機(jī)系統(tǒng)，它對(duì)外部網(wǎng)絡(luò)暴露，同時(shí)又是內(nèi)部網(wǎng)絡(luò)用戶的主要連接點(diǎn)。雙宿主主機(jī)