【正文】 像企業(yè)內(nèi)聯(lián)網(wǎng)由于管理原因造成的人為破壞，防火墻是無能為力的。 赫赫有名的美國有線新聞網(wǎng) CNN隨后也因遭神秘客的襲擊而癱瘓近兩個小時；風頭最勁的購物網(wǎng)站 小時！ ? 神秘的襲擊者以每秒鐘 800兆字節(jié)的數(shù)據(jù)猛攻網(wǎng)站，這一數(shù)據(jù)量相當于正常數(shù)據(jù)量的 24倍，不堪重負的網(wǎng)站終于在美國東部時間下午 5時 45分徹底癱瘓。 ? 技術人員很快發(fā)現(xiàn)，黑客使用了一種名為“拒絕服務”的入侵方式，在不同的計算機上同時用連續(xù)不斷的服務器電子請求來轟炸雅虎網(wǎng)站。 ? 過濾項目： IP地址、協(xié)議 （ TCP、用戶數(shù)據(jù)報協(xié)議 UDP、網(wǎng)際控制報文協(xié)議ICMP）、 接口 （收、發(fā)） 2022/2/8 第三章 EC的安全技術 56 2 ）應用代理（ Application Proxy） ? 也叫 應用網(wǎng)關 （ Application Gateway） ,它作用在應用層，其特點是完全“阻隔”了網(wǎng)絡通信流，通過對每種應用服務編制專門的代理程序，實現(xiàn)監(jiān)視和控制應用層通信流的作用。 ? 證書發(fā)放：持卡人證書 、 商戶證書 、 支付網(wǎng)關證書 、 收單行證書 、 發(fā)卡行證書 ? CA實際由認證中心和注冊機構完成 美國 的 VeriSign公司 。 ? 擁有數(shù)字證書的服務器可以自動與客戶進行加密通信，有證書的 WEB服務器會自動地將其與客戶端 WEB瀏覽器通信的信息加密。 貿(mào)易伙伴間可以使用數(shù)字證書 （ 公用密鑰證書 ） 來交換公用密鑰 。 2022/2/8 第三章 EC的安全技術 42 方法 ? 1） 用戶使用某個秘密信息如口令 （ 易記 、不易猜中 、 分析 ） ； ? 2） 用戶必須持有合法的隨身攜帶的物理介質：例如磁介質 （ 易損壞 、 易偽造 ） 、 智能卡中存儲用戶的個人化參數(shù) ， 訪問系統(tǒng)資源時必須要有智能卡； ? 3） 用戶所具有的某些生物學特征 ， 如指紋 、 聲音 、 DNA圖案 、 視網(wǎng)膜掃描等等 ， 但這種方案造價較高 ， 只適用于保密度很高的場合 。 圖 9 數(shù)字簽名 2022/2/8 第三章 EC的安全技術 39 數(shù)字時間戳技術： ? 解決信息延遲問題。 ? 常用的方法是數(shù)字摘要法（安全HASH編碼法） 2022/2/8 第三章 EC的安全技術 35 數(shù)字摘要法 ? ① 報文 → 128位摘要 M1 ? ② 私鑰 Ef（ (摘要 M1)， Kef)→ 簽名 M2 ? ③ 對稱私鑰 Ef’((M2＋ M） ,Kef’)→M3 → 收方 ? ④公鑰 Es（ Kef’, Kes)→ Kef ’’ → 收方 ? ⑤私鑰 Ds（ Kef’’， Kds)→ Kef ’ ≌ Kdf’ ? ⑥ 對稱密鑰 Df’（ M3， Kdf’） → M2＋ M ? ⑦ 公鑰 Df（ M2, Kdf’) → 摘要 M1 ? ⑧ M摘要 M’，若＝ M1則為 真，否則為假。 2022/2/8 第三章 EC的安全技術 31 三、認證技術 ? 數(shù)字簽名技術 ? 完整性校驗技術 ? 身份識別技術 ? 數(shù)字時間戳技術 ? 不可否認技術 ? 數(shù)字證書 2022/2/8 第三章 EC的安全技術 32 數(shù)字簽名技術 ? 數(shù)字簽名技術能防止他人對傳輸文件進行破壞，確定發(fā)信人的身份，解決源鑒別、完整性服務。 2022/2/8 第三章 EC的安全技術 27 特點 ? 1） 用 Ke對 M加密后 ， 用 Kd解密 ， 可得M， 反之亦然； D（ E（ M， Ke） ， Kd） =M E（ D（ M， Kd） ， Ke） =M ? 2） 加密密鑰不能用來解密； D（ E（ M， Ke） ， Ke） ≠M ? 3） 計算機可產(chǎn)生成對的 Ke， Kd； ? 4） Ke與 Kd不能互相導出 。 對稱密鑰的管理和分發(fā)工作是一件具有潛在危險的和煩瑣的過程 。 3）加強管理制度、健全法制 2022/2/8 第三章 EC的安全技術 20 第二節(jié) EB的安全技術 ? EB的安全技術體系 ? 虛擬專用網(wǎng)技術 ? 加密技術 ? 認證技術 ? 防火墻技術 2022/2/8 第三章 EC的安全技術 21 一、 虛擬專用網(wǎng)技術 ? 它是用于電子交易的一種專用網(wǎng)絡，它可以在兩個系統(tǒng)之間建立安全的信道，適合于 EDI，雙方彼此熟悉且數(shù)據(jù)量大，只要雙方保持一致，可使用較復雜的專用加密和認證技術，提高交易的安全性。 ? 搭線竊聽 ? 非法終端 ? 非法入侵及注入非法信息 ? 線路干擾 ? 意外原因：設備、線路被破壞 ? 病毒入侵 2022/2/8 第三章 EC的安全技術 12 軟件的不安全因素 ? 系統(tǒng)軟件自身的故障，及軟件更改錯誤、未保存更改記錄及更改管理業(yè)務 ? 軟件安全功能不健全：對軟件未設標識、保護；對用戶未分類；對軟件管理不善等。另一個案例是：一個黑客攻入圣地亞哥某一 ISP的計算機并盜走 10萬個 信用卡號碼。 2022/2/8 第三章 EC的安全技術 5 ? 96年 9月 18日，黑客又光顧美國中央情報局的網(wǎng)絡服務器， 將其主頁由“中央情報局” 改為“ 中央愚蠢局” 。 – 社會對計算機系統(tǒng)依賴日益增加。 – 計算機應用的普及促使計算機犯罪的風險增加。 ? 96年 12月 29日，黑客侵入美國空軍的全球網(wǎng)網(wǎng)址并將其主頁肆意改動，其中有關空軍介紹、新聞發(fā)布等內(nèi)容被替換成一段簡短的黃色錄象，且聲稱美國政府所說的一切都是謊言。 這個黑客名叫 Carlos Salgado Jr.。導致軟件的非法復制；業(yè)務人員的越權操作；數(shù)據(jù)丟失、泄露 ? 計算機病毒 ? 計算機犯罪 2022/2/8 第三章 EC的安全技術 13 人為因素 ? 安全意識：員工，特別是領導者的觀念 ? 工作人員業(yè)務能力、素質及責任心 ? 規(guī)章制度