第2章电子商务安全技术管理

Companyname2008-62电子商务安全的技术保障沈阳理工大学学习目标◆了解电子商务安全技术保障的主要手段◆掌握常用的防病毒技术及其工作原理◆了解主要的加密体系，掌握对称密码和公钥密码的加密原理◆了解主要的认证技术，掌握数字证书的类型和工作原理◆了解如何建立安全的电子商务交易系统沈阳理工大学本章内容从技术角度讲，电子商务交易安全的需求突出表现为网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏，系统连续可靠地运行，网络上的信息都是安全的。为了保证上述各个方面的安全，电子商务网站或从事电子商务的企业通常会采用一些网络安全技术措施。本章重点介绍了防火墙技术、加密技术、认证技术等，这些安全技术的使用可以从一定程度上满足网络安全需求，但不能满足整体的安全需求，因为它们只能保护特定的某一方面。如防火墙最主要的功能是访问控制，加密技术可以保证信息传输的安全性。对于电子商务系统还需要一种整体的安全策略，这种安全策略不仅包括安全技术，还包括安全管理、实时监控、响应和恢复等措施。沈阳理工大学内容概要防火墙技术1加密技术2认证技术3系统安全模型及具体实现4沈阳理工大学2.1防火墙技术1.防火墙技术及其访问控制技术2.入侵检测技术3.安全扫描技术沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术1.防火墙技术2.物理隔离技术沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术1.防火墙技术防火墙是由软件系统和硬件系统组成的，在内部网与外部网之间构造保护屏障。所有内外部网之间的连接都必须经过保护屏障，并在此进行检查和连接，只有被授权的信息才能通过此保护屏障，从而使内部网与外部网形成一定的隔离，防止非法入侵、非法盗用系统资源，执行安全管制机制，记录可疑事件等。防火墙用来在两个或多个网络间加强访问控制、实施相应的访问控制策略，力求把那些非法用户隔离在特定的网络之外，从而保护某个特定的网络不受其他网络的攻击，但又不影响该特定网络正常的工作。沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术1.防火墙技术防火墙技术的基本思想：并不是要对每台主机系统进行保护，而是让所有对系统的访问都通过上述所设的保护层，并且对这一保护层加以保护，尽可能地对外界屏蔽所保护网络的信息和结构。它是设置在可信任的内部网络和不可信任的外部网络之间的一道中间屏障，可以实施较为广泛的安全策略来控制信息流，防止各种潜在的、不可预料的入侵破坏。沈阳理工大学2.1防火墙技术沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术1.防火墙技术防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从主体上看，防火墙具有的五大基本功能：（1）过滤进、出网络的数据（2）管理进、出网络的访问行为（3）封堵某些禁止的业务（4）记录通过防火墙的信息内容和活动（5）对网络攻击检测和报警沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术1.防火墙技术防火墙的类型：（1）包过滤防火墙（2）代理服务器型防火墙（3）复合型防火墙沈阳理工大学包过滤防火墙基本思想简单–对于每个进来的包，适用一组规则，然后决定转发或者丢弃该包–往往配置成双向的如何过滤–过滤的规则以IP和传输层的头中的域(字段)为基础，包括源和目标IP地址、IP协议域、源和目标端口号–过滤器往往建立一组规则，根据IP包是否匹配规则中指定的条件来作出决定。如果匹配到一条规则，则根据此规则决定转发或者丢弃如果所有规则都不匹配，则根据缺省策略沈阳理工大学安全缺省策略两种基本策略，或缺省策略–没有被拒绝的流量都可以通过(默认转发)管理员必须针对每一种新出现的攻击，制定新的规则–没有被允许的流量都要拒绝（默认丢弃）比较保守根据需要，逐渐开放沈阳理工大学包过滤防火墙数据包过滤可以在网络层截获数据。使用一些规则来确定是否转发或丢弃所各个数据包。通常情况下，如果规则中没有明确允许指定数据包的出入，那么数据包将被丢弃防火墙服务器工作站台式PC打印机服务器数据包安全区域数据包服务器控制策略查找对应的策略数据IP报头TCP报头分组过滤判断沈阳理工大学包过滤路由器示意图网络层链路层物理层外部网络内部网络沈阳理工大学包过滤防火墙(小结)在网络层上进行监测–并没有考虑连接状态信息通常在路由器上实现–实际上是一种网络的访问控制机制优点–实现简单–对用户透明–效率高缺点–正确制定规则并不容易–不可能引入认证机制沈阳理工大学代理服务器也称为应用层网关特点–所有的连接都通过防火墙，防火墙作为网关–在应用层上实现–可以监视包的内容–可以实现基于用户的认证–所有的应用需要单独实现–可以提供理想的日志功能–非常安全，但是开销比较大沈阳理工大学代理服务器应用代理（ApplicationProxy）是运行在防火墙上的一种服务器程序，防火墙主机可以是一个具有两个网络接口的双重宿主主机，也可以是一个堡垒主机。代理服务器被放置在内部服务器和外部服务器之间，用于转接内外主机之间的通信，它可以根据安全策略来决定是否为用户进行代理服务。沈阳理工大学防火墙服务器工作站台式PC打印机服务器数据包安全区域数据包服务器控制策略查找对应的策略数据IP报头TCP报头分组过滤判断拆开数据包应用代理分析数据沈阳理工大学应用层网关的结构和协议栈示意图HTTPFTPTelnetSmtp传输层网络层链路层沈阳理工大学代理服务器的优缺点优点–允许用户“直接”访问Internet–易于记录日志缺点–新的服务不能及时地被代理–每个被代理的服务都要求专门的代理软件–客户软件需要修改，重新编译或者配置–有些服务要求建立直接连接，无法使用代理比如聊天服务、或者即时消息服务–代理服务不能避免协议本身的缺陷或者限制沈阳理工大学常见防火墙系统模型常见防火墙系统一般按照四种模型构建–筛选路由器模型–单宿主堡垒主机（屏蔽主机防火墙）模型–双宿主堡垒主机模型（屏蔽防火墙系统模型）–屏蔽子网模型。几个概念–堡垒主机(BastionHost)：对外部网络暴露，同时也是内部网络用户的主要连接点–单宿主主机(single-homedhost)：只有一个网络接口的通用计算机系统–双宿主主机(dual-homedhost)：至少有两个网络接口的通用计算机系统–DMZ(DemilitarizedZone，非军事区或者停火区)：在内部网络和外部网络之间增加的一个子网沈阳理工大学筛选路由器模型•筛选路由器模型是网络的第一道防线，功能是实施包过滤。创建相应的过滤策略时对工作人员的TCP/IP的知识有相当的要求，如果筛选路由器被黑客攻破那么内部网络将变得十分的危险。该防火墙不能够隐藏内部网络的信息，不具备监视和日志记录功能。路由器内部网络外部网络进行包过滤沈阳理工大学单宿主堡垒主机模型单宿主堡垒主机（屏蔽主机防火墙）模型由包过滤路由器和堡垒主机组成。该防火墙系统提供的安全等级比包过滤防火墙系统要高，因为它实现了网络层安全（包过滤）和应用层安全（代理服务）。所以入侵者在破坏内部网络的安全性之前，必须首先渗透两种不同的安全系统。防火墙服务器工作站台式PC打印机堡垒主机数据包安全区域数据包不准访问除堡垒主机以外的主机只允许外部与堡垒主机通信查找对应的策略Internet网络沈阳理工大学配置方案一屏蔽主机方案：单宿主堡垒主机只允许堡垒主机可以与外界直接通讯优点：两层保护：包过滤+应用层网关；灵活配置缺点：一旦包过滤路由器被攻破，则内部网络被暴露沈阳理工大学双宿主堡垒主机模型双宿主堡垒主机模型（屏蔽防火墙系统）可以构造更加安全的防火墙系统。双宿主堡垒主机有两种网络接口但是主机在两个端口之间直接转发信息的功能被关掉了。在物理结构上强行将所有去往内部网络的信息经过堡垒主机。防火墙服务器工作站台式PC打印机堡垒主机数据包安全区域数据包所有通信都必须通过堡垒主机通过登录到堡垒主机获得服务查找对应的策略Internet网络沈阳理工大学配置方案二屏蔽主机方案：双宿主堡垒主机从物理上把内部网络和Internet隔开，必须通过两层屏障优点：两层保护：包过滤+应用层网关；配置灵活沈阳理工大学屏蔽子网模型屏蔽子网模型用了两个包过滤路由器和一个堡垒主机。它是最安全的防火墙系统之一，因为在定义了“中立区”(DMZ，DemilitarizedZone)网络后，它支持网络层和应用层安全功能。网络管理员将堡垒主机、信息服务器、Modem组，以及其它公用服务器放在DMZ网络中。如果黑客想突破该防火墙那么必须攻破以上三个单独的设备。内部网络外部网络防火墙防火墙防火墙堡垒主机沈阳理工大学配置方案三•屏蔽子网防火墙•优点–三层防护，用来阻止入侵者–外面的router只向Internet暴露屏蔽子网中的主机–内部的router只向内部私有网暴露屏蔽子网中的主机沈阳理工大学防火墙的局限性防火墙不能防范网络内部的攻击。比如：防火墙无法禁止变节者或内部间谍将敏感数据拷贝到软盘上。防火墙也不能防范那些伪装成超级用户或诈称新雇员的黑客们劝说没有防范心理的用户公开其口令，并授予其临时的网络访问权限。防火墙不能防止传送己感染病毒的软件或文件，不能期望防火墙去对每一个文件进行扫描，查出潜在的病毒。对于绕过防火墙的攻击，它无能为力，例如，在防火墙内部通过拨号出去沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术2.物理隔离技术物理隔离技术是近年来发展起来的防止外部黑客攻击的有效手段。物理隔离产品主要有：——物理隔离卡1）单硬盘物理隔离卡2）双硬盘物理隔离卡——隔离网闸沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术2.物理隔离技术——物理隔离卡1）单硬盘物理隔离卡主要工作原理：将用户的一个硬盘分成两个区：①公共硬盘区（外网）②安全硬盘区（内网）将一个普通计算机变成两台虚拟计算机；每次启动进入其中的一个硬盘/区。它们拥有独立的操作系统，并能通过各自的专用接口与网络连接。沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术2.物理隔离技术——物理隔离卡1）单硬盘物理隔离卡主要工作原理：在外网时：操作系统对于数据交换区可以任意读写，可以把外网的数据（如从互联网上下载的有用资料或应用程序）复制到数据交换区中。当切换到内网时：操作系统对数据交换区是只读的，无法写入任何数据，但这时我们可以把从外网复制到数据交换区中的数据复制到内网中使用。由于在内网中数据交换区是只读的，因此数据只能从外网导入到内网中，而内网的保密数据绝对不可能通过这个通道传到外网中。即使黑客的程序进去内网，也无法窃取保密数据。沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术2.物理隔离技术——物理隔离卡2）双硬盘物理隔离卡相对于高端的单硬盘物理隔离卡，双硬盘物理隔离卡是一种功能相对简单但较为经济的物理隔离产品。基本原理：在连接到内部网络时，启动内网硬盘及操作系统，同时关闭外网硬盘；在连接到外部网络时，启动外部硬盘及其操作系统，同时关闭内网硬盘。双网主要适用于政府、军队、企业等已拥有内外网两套环境和设备的用户。沈阳理工大学2.1防火墙技术2.1.1防火墙技术及其访问控制技术2.物理隔离技术——隔离网闸组成：物理隔离网络电脑+物理隔离系统交换机1）物理隔离网络电脑：物理隔离网络电脑负责与物理隔离交换机通信，并承担选择内网服务器和外网服务器的功能。2）物理隔离交换机：物理隔离交换机是一个加载了智能功能的电子选择开关；具有选择网络的能力。沈阳理工大学沈阳理工大学2.1防火墙技术2.1.2入侵检测技术1.入侵基础知识介绍2.入侵检测系统3.入侵检测系统的任务4.入侵检测系统的分类5.入侵检测系统的构成沈阳理工大学2.1防火墙技术2.1.2入侵检测技术1.入侵基础知识介绍入侵者——伪装者：未被授权的使用计算机的人（Outside）——违法者：访问没有经过授权的数据、程序和资源的合法用户（Inside）——秘密用户：夺取系统超级控制并使用这种控制权逃避审计和访问控制，