电子商务安全

河海大学商学院（常州）•1．整理出计算机和网络安全攻击的趋势•2．描述不同规模公司的一般安全活动•3．了解电子商务安全的基本要素•4．解释网络安全攻击的基本类型•5．描述组织在管理安全问题上的常见错误•6．讨论电子商务通信安全的一些主要技术手段•7．详述电子商务网络安全组件的主要技术手段河海大学商学院（常州）•电子商务安全问题不仅仅是阻止或响应网络攻击和入侵。–·例如，如果某用户连入营销网站服务器以获得一些产品信息，而作为回报，用户被要求填写一张表单来提供一些统计资料和个人信息。在这种情况下，会产生哪些安全问题呢?河海大学商学院（常州）•从用户的角度来看：–用户如何确定网络服务器的所有者和操作者是合法的公司呢?–用户如何知道网页和表格不包含一些恶意或者危险的代码与内容呢?–用户如何知道网站服务器的拥有者不会将其提供的个人信息泄漏给其他人呢?河海大学商学院（常州）•从公司的角度来看：–公司如何知道用户不会试图闯入网络服务器或者修改网站网页和内容呢?–公司如何知道用户不会试图干扰网站服务从而使得其他用户无法访问呢?河海大学商学院（常州）•从用户和公司双方面来看：–用户和公司如何知道网络连接中不会遭到第三方的在线窃听呢?–用户和公司如何知道服务器和用户浏览器之间传递的信息不会在中途被修改呢?•这些问题描述了伴随电子商务交易发生的各种安全问题。由于交易中存在电子支付，因此更多的安全问题会随之产生。•以下总结了一些电子商务过程中会产生的主要安全问题：河海大学商学院（常州）•认证(authentication)–当用户在网站上浏览网页的时候，他们如何确定网站不是欺骗性的呢?–如果一个人编制了一个纳税申报单电子存档系统，纳税人如何知道其缴纳的税款已经被提交到权威部门了呢?–如果一个人收到了一封电子邮件，他如何知道发送者就是其声称的那个人呢?•一个实体验证另一个实体身份与其所声称的身份一致，这一过程就叫认证。认证要求提供凭证表单，其形式可以多样，包括一些常见选项(如密码)或一些不常见选项(如个性化签名)。河海大学商学院（常州）•授权(authorization)•一旦通过认证，用户或程序就有权访问并获得特殊数据、程序或者系统资源(例如文件、注册、目录等等)了吗?•授权可保证用户或程序有权访问并获得特定的资源。•通常通过对比个人或程序信息与资源获取控制信息来决定是否具有这种权限。河海大学商学院（常州）•审查(auditing)•如果用户或程序进入网站，各种信息都会显示在日志文件中。如果用户或程序调用数据库，也同样会在日志文件中显示。•审查就是收集试图获取特殊资源、利用特定权限或者进行其他安全活动(既包括成功的也包括不成功的)的信息的过程。•审查提供了一种再现行为详细情况的方法，使得IT人员能识别采取这些行为的个人或者程序。河海大学商学院（常州）•保密性(confidentiality／privacy)•所谓保密性就是指私人或者敏感信息不应该向未授权个人、实体或者计算机软件处理系统透露。–这与已经在多个国家形成的条例——数字化隐私的含义相似。商业交易机密、企业计划、健康记录、信用卡账号、甚至是个人浏览网页时留下的痕迹都应该是保密的。•机密性要求个人和公司了解他们需要保护哪些数据或应用、谁具有访问权限。保密性通常通过加密手段实现。河海大学商学院（常州）•完整性(integrity)•数据在转移或存储后可能会被修改或破坏。•保护数据在未授权或者突发事件中不被修改或破坏的能力就叫做完整性。–金融交易就是数据完整性需要得到保证的一个例子。•加密同样是保证数据在传递过程中的完整性的一种方法。河海大学商学院（常州）•可用性(availability)–如果某人试图通过在线服务系统进行股票交易，那么需要有实时监测的能力。•说一个在线网站是“可用的”，就是指如果个人或程序需要数据时他们可以访问网页、数据或服务。负载平衡软、硬件就是保证可用性的一种技术。河海大学商学院（常州）•不可否认性(nonrepudiation)–如果某人通过邮购目录订购某项产品并且用支票支付，那么就很难置疑订单的真实性。–如果同样的操作通过编号为“1--800”的公司进行订购并且个人通过信用卡支付款项，那么交易的准确性就有可置疑的空间了。–相似地，如果某人通过公司的网站并且通过信用卡支付货款，这个人可能总会称自己并没有下订单。•所谓不可否认性就是限制合法交易被拒绝的能力。其关键之一就是个性化签名，使得个人很难否认他们确实进行了交易。河海大学商学院（常州）•安全专家将攻击分为两种类型——技术型和非技术型。•非技术型攻击(nontechnicalattack)是指那些犯罪者利用欺骗或者其他诱惑的手段使得人们泄漏敏感信息或者采取降低网络安全性的活动。•这些类型的攻击也可以叫做社会型攻击(socialengineering)。–网络钓鱼攻击最初就是以非技术型攻击形态存在的。河海大学商学院（常州）•而技术型攻击则是利用软件和系统知识进行技术性攻击。–计算机病毒攻击就是一种技术型攻击。•通常，安全攻击常常是技术型攻击与非技术型攻击的结合体。–例如，入侵者可能利用自动化装置将消息散发到即时消息发送服务(instantmessagingservice)。这个消息可能提供浏览者感兴趣软件的下载(例如，下载音乐或者影片的软件)。当未设防的浏览者下载这个恶意软件，这个软件就会自动在其机器上运行，使得入侵者可以控制机器并且利用它进行技术攻击。河海大学商学院（常州）•IT工作人员倾向于关注网络安全的技术层面——防火墙、加密、数字签名，等等。•然而，多数网络的致命弱点在于其应用人群。诱惑人们提供信息或者进行看似无害的活动就是所谓的社会型攻击。•社会型攻击利用人们希望得到帮助、害怕陷入困境的心理或者人们之间一般存在的信任来进行攻击。河海大学商学院（常州）•目前有两类社会型攻击——基于人的社会型攻击和基于计算机的社会型攻击。•基于人的社会型攻击依靠沟通的传统方法–(面谈或者通过电话)。•基于计算机的社会型攻击用很多计谋诱惑用户提供敏感信息。河海大学商学院（常州）•对付社会型攻击应采用多种方法相结合的手段：–教育与培训：所有的员工，特别是在易受到攻击部门的员工，需要接受有关社会型攻击风险、黑客社会型攻击常用技术和防止这些攻击的方法的培训。–策略与程序：需要特定的程序和策略来保护安全信息，引导员工按规范处理机密信息，并且按必需的步骤报告与响应社会型攻击带来的任何破坏。–入侵检测：需要通过外部专家扮演黑客的角色，对策略、程序和员工的响应进行检验。由于可能存在职工道德问题的负面影响，在进行人侵检测后，需要让他们听取报告，并更正任何的缺陷。河海大学商学院（常州）•与非技术型攻击不同，实施技术型攻击需要利用软件和系统知识。•在进行技术型攻击时，专业黑客通常运用系统的方法。准备好几个软件工具就可以畅游于网络中并使系统变得非常易于攻击。河海大学商学院（常州）•安全弱点和漏洞(Common(security)vulnerabilitiesandexposures，CVE)•弱点是指可以被黑客直接利用以获得系统访问或网络权限的软件缺陷；•漏洞是指可以被黑客利用获得信息或者作为进入系统和网络跳板的软件缺陷。–拒绝服务式(DDOS)攻击–恶意代码攻击(病毒、蠕虫和特洛伊木马)河海大学商学院（常州）•1．分布式拒绝服务攻击•在拒绝服务式攻击(denial-of-service(DoS)attack)中，攻击者为了使目标网站资源超负荷，利用特殊软件向目标计算机发送大量数据包进行攻击。•很多攻击者并不是自己开发攻击软件，而是利用其他黑客编写的软件并且通过因特网运行。河海大学商学院（常州）•攻击者获得非法的准人权限进入尽可能多的网上计算机，实施分布式拒绝服务攻击(distributeddenial-of-service(DDoS)attack)。–一旦攻击者进人多台计算机，就在计算机上加载特殊的DDoS软件。软件平时处于待命状态，随时等待攻击命令。一旦给出攻击命令，计算机网络将向目标计算机发送大量请求。河海大学商学院（常州）•DDoS软件安装的计算机叫做傀儡(zombies)。•傀儡经常位于高校或政府部门，并且逐渐进入通过电缆调制解调器和DSL调制解调器连接人因特网的个人计算机中。•由于入侵工具是免费的，脚本易于获得，同时因特网的广泛连接性，事实上只要有点计算机经验的用户(通常十几岁的孩子)都能制造DoS攻击。河海大学商学院（常州）•2．恶意代码：病毒、蠕虫与特洛伊木马•有时恶意代码也被称为恶意软件(malware)。这种代码可根据其传播途径分类。•有些恶意代码反而是良性的，但它们都具有潜在的破坏性。河海大学商学院（常州）•恶意代码有着各种各样的形式——有纯种的也有变种的。•(1)病毒•病毒是恶意代码最为人知的形式。对计算机病毒有很多种定义，其中RFCll35的定义是：•“病毒(virus)是一份将其自身植入一台宿主——包括操作系统，进行繁殖的代码。它不能独立运行，需要其宿主程序被运行从而激活它。”尽管病毒能够自我复制，但它们不能自动跨越网络进行繁殖，而是需要人为地将其从一台计算机移植到另一台计算机上。河海大学商学院（常州）•病毒有两个组成部分：•其一，有一种繁殖机制以确保其蔓延；•其二，有一种有效的载荷，一旦它被执行，一般会运行相应的破坏活动。有时某些特殊事件会激发病毒执行。–例如，米开朗基罗(Michelangelo)病毒是由米开朗基罗的生日激发的。有些病毒只会简单地传染与蔓延，而另外一些则会造成严重危害(如删除文件或是破坏硬盘驱动器)。河海大学商学院（常州）•2)蠕虫•蠕虫与病毒的主要差别在于，蠕虫是在系统直接复制的(通常是经过网络)，而病毒是在本地计算机上复制。•RFCll35对蠕虫进行了如下定义：“蠕虫(worm)是一段能独立运行、为了维持自身存在会消耗主机资源，并且能复制一个自身的完全工作版本到另一台机器上的程序。”•蠕虫攻击一台计算机，接管它，并将其作为一个分段传输区域，搜寻并攻击其他机器。•在网络上，蠕虫的蔓延是不需要人为干预的。河海大学商学院（常州）•蠕虫由一系列普通的基本元素组成：•一个弹头(Warhead)，一个复制引擎，一个有效载荷，一个目标选择算法，以及一个搜索引擎。河海大学商学院（常州）•弹头是蠕虫中的一段代码，用以入侵已知的漏洞。•一旦蠕虫侵人了某个漏洞，它的复制引擎就用来将剩下的代码通过网络转移过去。转移过程通常通过一段文件转移程序来实现。•一旦蠕虫完整地转移过去，它就将发送它的有效载荷，然后运用其目标选择算法寻找其他潜在的受害对象进行攻击(例如受害机器上的电子邮件地址)。•搜索引擎确定其他潜在的受害对象中有哪些能被入侵。找到一个合适的攻击目标后，整个入侵过程就再重复一次。•这整个过程只需几秒钟或更短的时间，这就是为什么蠕虫能在数以千计的计算机中传播的原因。河海大学商学院（常州）•(3)宏病毒和宏蠕虫•当包含宏的应用对象(如表单、word文档、电子邮件信息等)被打开，或某特殊操作被执行(如文件被保存)，宏病毒(macrovirus)或宏蠕虫(macroworm)通常就开始执行。–Melissa和ILOVEYOU是宏蠕虫的两个典型代表，它们通过微软的Outlook繁殖。–如果你认为上述过程是个很复杂的工作，那么请注意，ILOVEYOU宏只有大概40行代码。河海大学商学院（常州）•(4)特洛伊木马•特洛伊木马(Trojanhorse)是一种看似有用的程序，但其包含的隐藏功能也带来了安全风险。–特洛伊木马的名字来源于希腊神话里的“特洛伊木马”。传说中，在特洛伊战争期间，特洛伊城收到了一份献给女神雅典娜的礼物——一匹巨大的木马，特洛伊人就将木马拖进了城门。到了夜里，藏在木马中空部分的希腊士兵打开了城门并引入了希腊军队，使得希腊人占领了特洛伊城并赢得了战争的胜利。河海大学商学院（常州）•尽管近些年来人们的安全意识有所提高，公司组织仍普遍在应对安全风险问题上犯一些错误。•价值被低估的信息。–很少有组织对特殊信息资产