【正文】 接滿足身份認(rèn)證、信息完整性、不可否認(rèn)和不可修改等多項(xiàng)網(wǎng)上交易的安全需求，較好地避免了網(wǎng)上交易面臨的假冒、篡改、抵賴、偽造等種種威脅。在傳輸信息時(shí)將文件的數(shù)字指紋加入文件一同送給接收方，接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算，若得到的結(jié)果與發(fā)送來(lái)的數(shù)字摘要碼相同，則可斷定文件未被篡改。 偽造。數(shù)字證書(shū)用電子手段來(lái)證實(shí)一個(gè)用戶的身份和對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限，是各類終端實(shí)體和最終用戶在網(wǎng)上進(jìn)行信息交流及商務(wù)活動(dòng)的身份證明。Hash 權(quán)威時(shí)間源 時(shí)間戳 服務(wù)器 時(shí)間戳 請(qǐng)求 經(jīng)數(shù)字簽名的時(shí)間戳 反饋 認(rèn) 證 技 術(shù) 網(wǎng) 絡(luò) 金 融 安 全 48 上一頁(yè) 下一頁(yè) 結(jié) 束 認(rèn) 證 技 術(shù) The private key of DTS Sending DTS Inter Inter Message Digest Message Digest Hash transform Original message Attaching the DTS Digital Signature Message Digest Message Digest Message Digest ? ? ? 用戶首先對(duì)需要加時(shí)間戳的文件取其摘要 然后，將該摘要發(fā)送到提供數(shù)字時(shí)間戳服務(wù)的權(quán)威機(jī)構(gòu) DTS DTS對(duì)原摘要加上時(shí)間 DTS對(duì)加了時(shí)間戳的摘要進(jìn)行數(shù)字簽名 最后發(fā)送給原用戶 網(wǎng) 絡(luò) 金 融 安 全 49 上一頁(yè) 下一頁(yè) 結(jié) 束 數(shù)字時(shí)間戳技術(shù)中要注意的幾點(diǎn) 1）加了數(shù)字時(shí)間戳的信息包含的內(nèi)容有： ?原信息的摘要； ?DTS為摘要添加進(jìn)去的日期和時(shí)間； ?DTS的數(shù)字簽名。 IPSec 能夠?qū)?shù)據(jù)的存取控制、機(jī)密性、完整性和可用性提供保證，并能夠防止重放攻擊。 ?SSL采用了公開(kāi)密鑰和專有密鑰兩種加密 :在建立連接過(guò)程中采用公開(kāi)密鑰；在會(huì)話過(guò)程中使用專有密鑰。只有進(jìn)行了注冊(cè)登記的用戶才能夠安全地在網(wǎng)上從事支付活動(dòng)。 客戶發(fā)一報(bào)文，包括訂單和支付命令。同時(shí)商家給客戶裝運(yùn)貨物，或完成訂購(gòu)的服務(wù)。 當(dāng)今市場(chǎng)上已有許多 SSL相關(guān)產(chǎn)品及工具，而有關(guān) SET的相關(guān)產(chǎn)品卻相對(duì)較少，也不夠成熟， SSL已被大部分 Web瀏覽器和 Web服務(wù)器所內(nèi)置，比較容易被接受。 SSL與 SET采用的都是公開(kāi)密鑰加密法。只有被授權(quán)的通信才能通過(guò)此保護(hù)層，從而保護(hù)內(nèi)部網(wǎng)資源免遭非法入侵。實(shí)際中的應(yīng)用網(wǎng)關(guān)通常安裝在專用工作站系統(tǒng)上 。 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 77 上一頁(yè) 下一頁(yè) 結(jié) 束 Inter IP Packet Filtering Router 基于 IP包過(guò)濾路由器防火墻體系圖示 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 78 上一頁(yè) 下一頁(yè) 結(jié) 束 [2] 雙穴防范網(wǎng)關(guān) 雙穴防范網(wǎng)關(guān) (Dual Homed Gateway)也稱堡壘主機(jī)體系結(jié)構(gòu)防火墻，它是在被保護(hù)網(wǎng)絡(luò)（內(nèi)部網(wǎng)）和Inter網(wǎng)絡(luò)之間設(shè)置一個(gè)系統(tǒng)網(wǎng)關(guān)（稱堡壘主機(jī)），用來(lái)隔斷 TCP/IP的直接傳輸。但是，這種防火墻一旦被攻擊都擊破，危害性就會(huì)變得極大，整個(gè)被保護(hù)網(wǎng)絡(luò)都可能是攻擊的目標(biāo)。 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 83 上一頁(yè) 下一頁(yè) 結(jié) 束 過(guò)濾子網(wǎng)防火墻示意圖 Inter 郵件服務(wù)器 E_mail Server 被保護(hù)局域網(wǎng) Protected LAN Information Server 應(yīng)用網(wǎng)關(guān) Application Gateway 路由器 2 Router2 路由器 1 Router1 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 84 上一頁(yè) 下一頁(yè) 結(jié) 束 這里兩個(gè)路由器的作用分別如下： 路由器 1(Router1): 路由從 Inter來(lái)的應(yīng)用程序到 Application Gateway處理 路由來(lái)自 Application Gateway的應(yīng)用程序到 Inter 路由從 E_mail Server來(lái)的郵件到 Inter 路由從 Inter來(lái)的郵件到 E_mail Server 路由從 Inter來(lái)的 FTP、 HTTP至 Information Server 路由器 2(Router2): 路由從 Application Gateway來(lái)的應(yīng)用程序到內(nèi)部網(wǎng) 路由從內(nèi)部網(wǎng)來(lái)的應(yīng)用程序到 Application Gateway進(jìn)行處理（ 放行 ） 路由從 E_mail Server來(lái)的 E_mail 到內(nèi)部網(wǎng) 路由從內(nèi)部網(wǎng)來(lái) E_mail到 E_mail Server 路由從 Information Server來(lái)的 FTP、 HTTP至內(nèi)部網(wǎng) 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 85 上一頁(yè) 下一頁(yè) 結(jié) 束 本章小結(jié) 網(wǎng)絡(luò)金融的安全技術(shù)是基于網(wǎng)絡(luò)金融活動(dòng)中的安全需求產(chǎn)生的。 雙穴防范網(wǎng)關(guān)體系結(jié)構(gòu)是基于應(yīng)用網(wǎng)關(guān)和代理服務(wù)兩種技術(shù)上的。代理服務(wù)在應(yīng)用層上進(jìn)行。 網(wǎng)絡(luò)路由的安全性包括兩個(gè)方面： ⑴ 限制外部網(wǎng)對(duì)內(nèi)部網(wǎng)的訪問(wèn) ， 從而保護(hù)內(nèi)部網(wǎng) 特定資源免受非法侵犯 ⑵ 限制內(nèi)部網(wǎng)對(duì)外部網(wǎng)的訪問(wèn) ， 主要是針對(duì)一些 不健康信息及敏感信息的訪問(wèn) 防火墻具有以下優(yōu)點(diǎn) ⑴ 保護(hù)那些易受攻擊的服務(wù) ⑵ 控制對(duì)特殊站點(diǎn)的訪問(wèn) ⑶ 集中化的安全管理 ⑷ 對(duì)網(wǎng)絡(luò)訪問(wèn)進(jìn)行記錄和統(tǒng)計(jì) 防火墻技術(shù) 網(wǎng) 絡(luò) 金 融 安 全 70 上一頁(yè) 下一頁(yè) 結(jié) 束 防火墻的安全控制模型 ⑴ 沒(méi)有被列為允許訪問(wèn)的服務(wù)都是被禁止的 這種控制模型需要確定所有可以被提供的服務(wù)以及它們的安全特性 ， 然后 ， 開(kāi)放這些服務(wù) ， 并將所有其它未被列入的服務(wù)排除在外 ， 禁止訪問(wèn) 。從對(duì)信息傳輸?shù)谋Ｃ苌蟻?lái)說(shuō)，兩者的功能是相同的，都能保證信息在傳輸過(guò)程中的保密性。這些成了 SET被廣泛接受的阻力。 網(wǎng) 絡(luò) 金 融 安 全 63 上一頁(yè) 下一頁(yè) 結(jié) 束 安 全 協(xié) 議 SET安全支付原理 非對(duì)稱 加密技術(shù) ? 對(duì)稱 加密技術(shù) ? ? Hash 算法 ? 數(shù)字簽名 ? 數(shù)字信封 數(shù)字證書(shū) 網(wǎng) 絡(luò) 金 融 安 全 64 上一頁(yè) 下一頁(yè) 結(jié) 束 安 全 協(xié) 議 發(fā)送端 A H MAC E kSA EKSA[MAC] DES E E m MUX kPB EDES(m) EKPB(DES) EKPB(DES) | EDES(m) | EKSA[MAC] C ① 隨機(jī)產(chǎn)生一個(gè)對(duì)稱密鑰 DES； ② 用該密鑰對(duì)要發(fā)送的信息 m加密： EDES(m) ③ 用哈希算法 Hash對(duì) m處理，取其信息碼： MAC=H(m) ④ 用發(fā)送端私鑰對(duì) MAC加密，即數(shù)字簽名： EKSA[MAC] ⑤ 用接收端的公鑰對(duì) DES加密，即數(shù)字信封： EKPB(DES) ⑥ C=EKPB(DES)| EDES(m)| EKSA[MAC] 網(wǎng) 絡(luò) 金 融 安 全 65 上一頁(yè) 下一頁(yè) 結(jié) 束 安 全 協(xié) 議 接收端 B EKPB(DES) EDES(m) EKSA[MAC] D kSB C D D DES kPA m’ MAC 比較 H MAC’ ① 接收端用自己的私鑰打開(kāi)信封，取出密鑰 DES； ② 用該密鑰對(duì)收到的密文解密： DDES [EDES(m)]→m’ ③ 用發(fā)送端公鑰驗(yàn)證數(shù)字簽名，并獲取 MAC ④ 用哈希算法 Hash對(duì) m’ 處理，取其息碼： MAC’ =H(m’ ) ⑤ 對(duì)比 MAC與 MAC’ , 如果相同，表示所收到的 m’ 確實(shí)是 m if MAC’ = MAC than m’ = m 網(wǎng) 絡(luò) 金 融 安 全 66 上一頁(yè) 下一頁(yè) 結(jié) 束 SSL還有一個(gè)很大的缺點(diǎn)，就是無(wú)法保證商戶看不到持卡人的信用卡賬戶等信息。只有位于商家開(kāi)戶行的被稱為支付網(wǎng)關(guān)的另外一個(gè)服務(wù)器可以處理支付命令中的信息。公鑰用于提供對(duì)方解密有關(guān)的信息內(nèi)容和加密回饋的信息內(nèi)容。 網(wǎng) 絡(luò) 金 融 安 全 56 上一頁(yè) 下一頁(yè) 結(jié) 束 安 全 協(xié) 議 SSL運(yùn)行過(guò)程 ? 建立連接階段：客戶通過(guò)網(wǎng)絡(luò)向服務(wù)商打招呼，服務(wù)商回應(yīng)； ? 交換密碼階段：客戶與服務(wù)商之間交換雙方認(rèn)可的密碼； ? 會(huì)談密碼階段：客戶與服務(wù)商之間產(chǎn)生彼此交談的會(huì)談密碼； ? 檢驗(yàn)階段：檢驗(yàn)服務(wù)商取得的密碼； ? 客戶認(rèn)證階段：驗(yàn)證客戶的可信度； ? 結(jié)束階段：客戶與服務(wù)商之間相互交換結(jié)束信息。當(dāng)接收到一個(gè) IP 數(shù)據(jù)包時(shí)， IPSec 通過(guò)查詢 SD（ Security Policy Database 安全策略數(shù)據(jù)庫(kù) ) 來(lái)決定對(duì)接收到的 IP 數(shù)據(jù)包的處理。 3）數(shù)字時(shí)間戳中的時(shí)間是以 DTS收到發(fā)送端發(fā)送過(guò)來(lái)的信息摘要的時(shí)間為依據(jù)。 網(wǎng) 絡(luò) 金 融 安 全 43 上一頁(yè) 下一頁(yè) 結(jié) 束 認(rèn) 證 技 術(shù) 認(rèn)證中心 CA， Certification A