第九章-電子商務安全.ppt

1、,第九章 電子商務安全與風險管理,學習要點及目標 1了解電子商務對安全的基本要求 2了解電子商務面臨的主要安全威脅 3熟悉并掌握電子商務常用的加密技術(shù)、訪問控制和身份認證技術(shù) 4理解防火墻、VPN、入侵檢測系統(tǒng)的基本原理以及SET和SSL協(xié)議,本章主要內(nèi)容,第一節(jié) 電子商務安全的概念 第二節(jié) 威脅和攻擊的種類 第三節(jié) 電子商務通信安全 第四節(jié) 電子商務網(wǎng)絡(luò)安全,第一節(jié) 電子商務安全的概念,一、電子商務安全的概念 二、電子商務安全的主要問題 三、電子商務安全問題產(chǎn)生的原因 四、電子商務對安全的基本需求 五、電子商務的安全管理策略,一、電子商務安全的概念,電子商務系統(tǒng)硬件安全 電子商務系統(tǒng)軟件安全

2、 電子商務系統(tǒng)運行安全 電子商務安全立法,二、電子商務安全的主要問題,網(wǎng)絡(luò)協(xié)議安全性問題 用戶信息安全性問題 電子商務網(wǎng)站的安全性問題,三、電子商務安全問題產(chǎn)生的原因,管理問題 技術(shù)問題 環(huán)境問題,四、電子商務對安全的基本需求,信息的保密性/機密性 信息的完整性 信息的有效性 信息的不可否認性 信息的可認證性/交易者身份的真實性 系統(tǒng)的可靠性 審查能力,五、電子商務的安全管理策略,物理安全策略 自然災害安全防范策略 人為風險防范策略 硬件防護策略 網(wǎng)絡(luò)安全策略 技術(shù)策略 管理策略 災難恢復策略 災難備份 數(shù)據(jù)恢復,第二節(jié) 威脅和攻擊的種類,一、入侵性病毒 二、擴展類威脅 三、網(wǎng)絡(luò)侵害 四、黑客

3、網(wǎng)絡(luò)攻擊的發(fā)展趨勢,一、入侵性病毒,系統(tǒng)病毒 蠕蟲病毒 木馬病毒、黑客病毒 腳本病毒 宏病毒 破壞性程序病毒 玩笑病毒 捆綁機病毒,二、擴展類威脅,間諜軟件(Spyware) 廣告軟件(Adware) 網(wǎng)絡(luò)釣魚軟件(Phishing) 放置特洛伊木馬程序 截獲或竊取信息 拒絕服務,三、網(wǎng)絡(luò)侵害,電子郵件攻擊 www的欺騙技術(shù) 獲取口令 網(wǎng)絡(luò)監(jiān)聽 利用帳號進行攻擊 偷取特權(quán),四、黑客網(wǎng)絡(luò)攻擊的發(fā)展趨勢,盜取個人資料 “僵尸”入侵 Adware、Spyware偷襲 垃圾郵件改頭換面,第三節(jié) 電子商務通信安全,一、訪問控制與身份認證 二、 PKI,一、訪問控制與身份認證,(一)加密介紹 (二)對稱加

4、密體系與DES算法 (三)非對稱加密體系與RSA算法 (四)數(shù)字摘要與Hash算法 (五)數(shù)字簽名 (六)數(shù)字信封 (七)數(shù)字時間戳 (八)SET簡介 (九)SSL簡介,加密介紹,加密 解密 密鑰 加密算法,對稱加密體系與DES算法,數(shù)據(jù)加密標準DES 對稱加密機制加密流程,非對稱加密體系與RSA算法,RSA算法 非對稱加密體制的工作流程,數(shù)字摘要與Hash算法,Hash算法 數(shù)字摘要的原理,數(shù)字簽名,數(shù)字信封,數(shù)字時間戳,SET簡介,安全電子交易(SET)協(xié)議，SET協(xié)議是針對開放網(wǎng)絡(luò)上安全、有效的銀行卡交易，由維薩(Visa)公司和萬事達(Mastercard)公司聯(lián)合研制的，為Inter

5、net上卡支付交易提供高層的安全和反欺詐保證。,SSL簡介,安全套接層(SSL)協(xié)議。SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層之上提供的一種基于RSA和保密密鑰的用于瀏覽器和Web服務器之間的安全連接技術(shù)。,二、 PKI,(一)PKI的定義 (二)PKI的基本組成 (三)PKI的優(yōu)勢,PKI的定義,PKI是Public Key Infrastructure的縮寫，即“公鑰基礎(chǔ)設(shè)施”，是指用公鑰概念和技術(shù)來實施，支持公開密鑰的管理并提供真實性、保密性、完整性以及可追究性安全服務的具有普適性的安全基礎(chǔ)設(shè)施。,PKI的基本組成,認證機構(gòu)(CA) 數(shù)字證書庫 密鑰備份及恢復系統(tǒng) 證書作廢系統(tǒng) 應用

6、接口(API),PKI的優(yōu)勢,支持數(shù)字簽名 保護機密性 可以由用戶獨立驗證 擁有證書撤銷機制 具有極強的互聯(lián)能力,第四節(jié) 電子商務網(wǎng)絡(luò)安全,一、防火墻技術(shù) 二、VPN 三、入侵檢測系統(tǒng),一、防火墻技術(shù),(一)防火墻的基本概念 (二)防火墻的構(gòu)成 (三)防火墻的功能 (四)防火墻的優(yōu)點 (五)防火墻的類型 (六)防火墻的安全策略及局限性,防火墻的基本概念,計算機網(wǎng)絡(luò)的防火墻是一個由軟件和硬件設(shè)備組合而成的、在內(nèi)部網(wǎng)(可信賴的安全網(wǎng)路)和外部網(wǎng)(不可靠的網(wǎng)路環(huán)境)之間的界面上構(gòu)造的保護屏障，如所示,防火墻的構(gòu)成,防火墻的功能,未經(jīng)授權(quán)的內(nèi)部訪問。 危害證明。 未經(jīng)授權(quán)的外部訪問 電子欺騙 特洛伊木

7、馬 滲透 泛洪,防火墻的優(yōu)點,1. 保護那些易受攻擊的服務 2. 控制對特殊站點的訪問 3. 集中化的安全管理 4. 對網(wǎng)絡(luò)訪問進行記錄和統(tǒng)計,防火墻的類型,包過濾型防火墻 應用網(wǎng)關(guān)型防火墻 電路層網(wǎng)關(guān) 規(guī)則檢查防火墻,防火墻的安全策略及局限性,防火墻的安全策略 沒有被列為允許訪問的服務都是被禁止的； 沒有被列為禁止訪問的服務都是被允許的。 防火墻的局限性 防火墻不能阻止來自內(nèi)部的破壞 防火墻不能保護繞過它的連接 防火墻無法完全防止新出現(xiàn)的網(wǎng)絡(luò)威脅 防火墻不能防止病毒,二、VPN,(一)什么是VPN (二)VPN的特點 (三)VPN安全技術(shù) (四)VPN解決方案,什么是VPN,VPN的英文全稱

8、是Virtual Private Network，中文就叫著虛擬專用網(wǎng)絡(luò)，虛擬專用網(wǎng)不是真實的專用網(wǎng)絡(luò)，但卻能夠?qū)崿F(xiàn)專用網(wǎng)絡(luò)的功能，可以理解為虛擬出來的企業(yè)內(nèi)部專線。VPN通過一個公用網(wǎng)絡(luò)(通常是因特網(wǎng))建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。VPN是對企業(yè)內(nèi)部網(wǎng)的擴展，可以幫助遠程用戶、公司分支機構(gòu)、商業(yè)伙伴及供應商同公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。,VPN的特點,安全保障 服務質(zhì)量保證 可擴充性和靈活性 可管理性,VPN安全技術(shù),隧道技術(shù) 加解密技術(shù) 密鑰管理技術(shù) 使用者與設(shè)備身份認證技術(shù),VPN解決方案,Access VPN Intr

9、anet VPN Extranet VPN,三、入侵檢測系統(tǒng),(一)入侵檢測系統(tǒng)概念 (二)入侵檢測系統(tǒng)的功能 (三)入侵檢測系統(tǒng)的CEDF模型 (四)入侵檢測系統(tǒng)的分類 (五)入侵檢測技術(shù),入侵檢測系統(tǒng)概念,入侵檢測(Intrusion Detection)，顧名思義，便是對入侵行為的發(fā)覺。它通過對計算機網(wǎng)絡(luò)或計算機系統(tǒng)中得若干關(guān)鍵點收集信息并對其進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。,入侵檢測系統(tǒng)的功能,(1) 監(jiān)測并分析用戶和系統(tǒng)的活動； (2) 核查系統(tǒng)配置和漏洞； (3) 評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性； (4) 識別已知的攻擊行為； (5) 統(tǒng)計分析異常行為； (6) 操作系統(tǒng)日志管理，并識別違反安全策略的用戶活動。,入侵檢測系統(tǒng)的CEDF模型,Common Intrusion Detection Framework (CIDF) 事件產(chǎn)生器(Event generators)； 事件分析器(