电子商务概论-11-网络安全

第十一章第十一章网络安全网络安全主讲人：石鉴南开大学商学院管理科学与工程系18:14:[e-mail]学习目标学习目标•了解公钥基础设施（PKI）的原理和功用•掌握防火墙和入侵检测系统的原理、应用与局限•了解电子商务安全策略的重要意义和作用18:14:[e-mail]开篇案例：思科SAFE构建广发展三层安全防护体系•SAFE蓝图是思科提出的整体安全理念。安全理念主要体现在三点:一，真正能够确保网络安全的不是一个个单点的产品，而是一个完整的安全体系。二，安全性是过程而不是产品。三，安全体系必须覆盖整个网络，深度防御、集中管理和报告机制三者缺一不可。•1、横向：分网段防御•2、纵向：分层防御18:14:[e-mail]本章主要内容•11.2PKI–私钥和公钥加密–对称密钥（私钥）系统–公共密钥（非对称）加密–数字签名–数字证书和认证中心–安全套接层•11.3防火墙•11.4IDS•11.5防病毒•11.6安全策略18:14:[e-mail]11.2PKI网络安全认证领域最先进的技术依赖公钥基础设施（publickeyinfrastructure，PKI）。PKI已经成为安全电子支付的基石。它与某些步骤相关，如技术组件、基础设施和网络应用所必需的公钥加密、数字签名和数字证书的使用成为可能等等。PKI是包括SCM、VPN、安全电子邮件和内联网应用在内的许多网络应用的基础。18:14:[e-mail]私钥和公钥加密组成部分描述例子明文人类可读形式的原始消息信用卡号5342876536529982加密算法用来加密或解密的数学公式或过程卡号中的每个数字加上一个数字（密钥），如果数字大于9，则忽略进位的数字（也就是求模运算）。例如每个数字加4，那么1变成5，9变成3等等。密钥供算法用来改变消息形式的特别的数字加在原始数字上的数字（例如4）。密文明文消息加密后不可读的形式原始的5342876536529982变成了9786210970963326。表11-1加密的组成部分18:14:[e-mail]对称密钥（私钥）系统在对称密钥（私钥）系统（symmetric(private)keysystem）中，同样的密钥被用来加密和解密明文（见图11-1），文件的发送者和接受者必须共用这相同的密钥，而对其他人保密——因此称之为私钥系统。图11-1对称（私有）密钥加密18:14:[e-mail]公共密钥（非对称）加密公钥加密（publickeyencryption）使用一对匹配的密钥——可以公开的提供给任何人的公钥（publickey）和只有拥有者才知道的私钥（privatekey）。如果报文用公钥加密，那么需要相关的私钥进行解密。最常见的公钥加密算法是RSA（rsa.com）。RSA使用长度在512位到1024位之间的密钥。公钥加密的最大问题是速度。对称加密算法要比非对称密钥加密算法快得多。因此，公钥加密不能用来高效的加密和解密大量数据。18:14:[e-mail]数字签名数字签名（digitalsignature）是基于公共密钥的。数字签名用来鉴定消息或文件发送者本身，还被用来确保电子消息或文件的原始内容没有被改动。数字签名在网络世界中还有其他的好处。数字签名易于传输，不易否认或模仿，还可以打上时间戳。18:14:[e-mail]18:14:[e-mail]数字证书和认证中心数字证书（digitalcertificate）可以证明公钥和私钥的持有者是他或她所宣称的那个人。被称为认证中心（certificateauthorities，CA）的第三方来签发数字证书。一份证书包含诸如持有者姓名、有效期、公钥信息和证书数据签名的hash（也就是利用CA的私钥签名的经过hash的证书内容）。证书被用来认证Web站点（站点证书）、个人（个人证书）和软件公司（软件发布者证书）。存在很多第三方CA，例如VeriSign是最著名的CA。VeriSign签发三类证书：第一类证明电子邮件确实来自于用户的地址。第二类在商业信用数据库中核对用户的身份。第三类要求证明文件。微软这样的公司可提供允许公司签发私有内部证书的系统。18:14:[e-mail]安全套接层安全套接层（SecureSocketLayer，SSL）由网景（Netscape）公司发明，应用标准认证证书和数据加密技术确保私密性或机密性。SSL已成为事实上的标准。1996年，SSL更名为传输层安全（TransportLayerSecurity，TLS），但许多人仍沿用SSL的名字。它是在线信用卡支付的主要标准。SSL使用户在Web服务器和Web浏览器之间加密信用卡号和其他传输内容成为可能。18:14:[e-mail]11.3防火墙•防火墙在需要保护的网络同可能带来安全威胁的因特网或其他网络之间建立了一层保护，通常也是第一道保护。•防火墙是具有以下特征的计算机：1.由内到外和由外到内的所有访问都必须通过它。2.只有本地安全策略所定义的合法访问才被允许通过它。3.防火墙本身无法被穿透。18:14:[e-mail]9.3.1服务器的硬件及其性能评价•防火墙在协议栈中处于应用层，也可在网络层和传输层上操作。如果公司有多个的网站，那么每一个与因特网的连接处都要有防火墙，这样才能保证整个公司有一个安全边界。另外，公司的每个防火墙都得遵守同样的安全策略；否则，如果一个防火墙允许一种交易进入另一个防火墙不允许进入的公司网络，结果就会造成非法访问进入到公司的整个网络上，因为这个防火墙给防火墙里的整个企业网络上留下了一个小漏洞。•如果防火墙由普通服务器加软件组成，就应当去除所有非必需的软件。如果一个小公司采购了一台UNIX计算机准备用作防火墙，因为此计算机上附带的是支持一个完整的计算环境所需的所有软件，公司应当仔细检查随计算机所带的所有软件，去除那些与支持操作系统无关的软件。防火墙计算机的原则是专机专用，不适宜作为通用的计算设备。这台计算机上只应保留必需的操作系统软件和防火墙专用的软件。软件程序越少，就意味着恶意软件对安全破坏的可能性就越小。应把对防火墙的访问限制在直接连到防火墙的控制台上；否则，如果提供了对防火墙的远程管理，就为侵入者利用管理员所用的路由访问防火墙并破坏防火墙提供了可能。18:14:[e-mail]防火墙分类•防火墙按工作原理可主要分成三类：•1.包过滤•2.网关服务器•3.代理服务器。18:14:[e-mail]图11-3CheckPointSoftwareTechnologies公司的FireWall-1防火墙的页面18:14:[e-mail]11.4IDS•入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”。它是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。•入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。。18:14:[e-mail]11.4IDS•入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图”。它是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。•入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。18:14:[e-mail]•进行入侵检测的软件与硬件的组合便是入侵检测系统（IntrusionDetectionSystem，简称IDS）。它的作用简单说就是依照一定安全策略，监视网络及系统运行，努力发现攻击行为或企图，然后记录或阻断。•大部分的IDS产品基本上由入侵检测引擎和管理控制台组成，在具体应用时可以根据网络结构和需求做不同的部署。•对于主机型IDS，其数据采集部分当然位于其所监测的主机上。•对于网络型IDS，根据网络的拓扑结构的不同，网络入侵检测系统的监听端口可以接在共享媒质的集线器或交换机的镜像端口或分接器上。18:14:[e-mail]图11-4ISS公司RealSecure的部署图18:14:[e-mail]物理组成•IDS产品一般由多个物理模块组成，采用分布式结构布置。•通常会在网络中心安装控制台，便于网络管理员管理。•在网络中的其他位置根据不同需求放置探测器，如在服务器上安装主机探测器，在网络和因特网的接口处以及服务器所在的网段等重要位置放置网络探测器。18:14:[e-mail]工作流程•入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。•收集到的有关系统、网络、数据及用户活动的状态和行为等信息，被送到检测引擎，检测引擎驻留在传感器中，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。当检测到某种误用模式时，产生一个告警信息并发送给控制台。•控制台按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警。18:14:[e-mail]技术手段•1.特征库匹配•2.统计分析•3.完整性分析18:14:[e-mail]11.5防病毒•如没有防病毒软件，对客户机的保护就是不完全的。详细考查各种防病毒软件产品的优缺点超出了本书的范围，但安全策略中必须包括这种重要的防护措施。•防病毒软件只能保护你的计算机不受已下载到计算机上的病毒攻击，所以它是一种防卫策略。不论选择哪家厂商的产品，用户都必须不断更新防病毒软件的病毒库文件，这些文件存储的是用于检测病毒的病毒识别信息。18:14:[e-mail]11.6安全策略•安全策略是用书面明确描述所需保护的资产、保护的原因、谁负责进行保护、哪些行为可接受、哪些不可接受等。安全策略一般要陈述物理安全、网络安全、访问授权、病毒保护、灾难恢复等内容。•安全策略一般要包含以下内容：－认证：谁想访问电子商务网站？－访问控制：允许谁登录电子商务网站并访问它？－保密：谁有权利查看特定的信息？－数据完整性：允许谁修改数据，不允许谁修改数据？－审计：在何时由何人导致了何事？18:14:[e-mail]本章涉及研究主题•电子商务安全方面相关的软硬件技术及制度问题，包括PKI、Firewall和IDS等，重点放在如何将这些安全手段与策略与电子商务活动有效的结合起来。18:14:[e-mail]本章课下问题讨论•1.请比较私有密钥系统和公共密钥系统的异同。•2.防火墙技术的发展过程大致分为哪些阶段，各自的特点是什么？18:14:[e-mail]练习：计算机安全状况调查•根据美国Today的一份关于技术行业与安全专家的访谈研究（Achohido与Swartz，2004），许多顶级黑客目前正关注编写恶意代码，目的在于积累网络“傀儡”。一旦搜集了足够的数量，他们就将这些傀儡的访问权卖给垃圾广告邮件发布者、勒索者，以及身份盗窃者们。据推测，这种傀儡的数量已达到数百万之多。其确切数字无