電子商務(wù)安全-第9章(編輯修改稿)
2025-02-05 23:21 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 且繼續(xù)支持普通的 。 在線電子銀行系統(tǒng)的通信安全 電子銀行系統(tǒng)的 單機(jī)應(yīng)用程序 能提供必要的安全性和銀行服務(wù) 。 有時(shí) 單機(jī)應(yīng)用程序 僅用作代理運(yùn)行在用戶(hù)的本地機(jī)器上 ， 在瀏覽器和銀行服務(wù)器間增強(qiáng)用戶(hù)與銀行的通信安全性 。 如果用戶(hù)擁有真實(shí)的瀏覽器或者 單機(jī)應(yīng)用程序 的副本 ， 那么他可以?xún)H僅信任電子銀行應(yīng)用程序界面的內(nèi)容和它執(zhí)行的正確性 。 若使用的是 Java小應(yīng)用程序 ， 則用戶(hù)應(yīng)當(dāng)用銀行的私鑰進(jìn)行數(shù)字簽名 ， 以便在執(zhí)行此小應(yīng)用程序之前進(jìn)行校驗(yàn) 。 用戶(hù)必須確認(rèn)他們何時(shí)與銀行進(jìn)行安全會(huì)話 。 在線電子銀行系統(tǒng)的通信安全 在線電子銀行系統(tǒng)的客戶(hù)認(rèn)證 所謂 實(shí)體鑒別 是指與銀行進(jìn)行會(huì)話初期的客戶(hù)鑒別；而所謂事務(wù)鑒別 則是指客戶(hù)對(duì)會(huì)話過(guò)程中的各個(gè)事務(wù)進(jìn)行鑒別 。 通過(guò)鑒別機(jī)制 ， 事務(wù)鑒別可以提供單個(gè)事務(wù)的不可抵賴(lài)性 ，而實(shí)體鑒別則不能提供事務(wù)的不可抵賴(lài)性 。 常見(jiàn)的實(shí)現(xiàn)實(shí)體鑒別與事務(wù)鑒別的方法有： （ 1） 固定口令 口令可以是 PIN碼或者基于字符的口令 。 在實(shí)際應(yīng)用中 ，通常將口令和服務(wù)計(jì)數(shù)組合起來(lái)以增加猜測(cè)口令的難度 。用戶(hù)在輸入口令時(shí)只需提供部分?jǐn)?shù)字的子集 ， 這樣即使攻擊者偷看到了某次輸入也難以獲得真正的口令 。 在線電子銀行系統(tǒng)的客戶(hù)認(rèn)證 （ 2） 動(dòng)態(tài)口令 銀行采取發(fā)布一次性口令給用戶(hù)的方法實(shí)現(xiàn)客戶(hù)認(rèn)證 , 這些口令只能使用一次 ， 因此可以提供更高的安全性 。 銀行也采用 “ scratch list number”的方法進(jìn)行實(shí)體認(rèn)證 ， 并采用 “ 事務(wù)號(hào) (transaction number)”方法進(jìn)行事務(wù)鑒別 。有些電子銀行系統(tǒng)則組合使用固定口令和動(dòng)態(tài)口令：固定口令用于實(shí)體認(rèn)證 ， 動(dòng)態(tài)口令用于事務(wù)鑒別 。 此外 ，也可以通過(guò)在客戶(hù)端安裝特殊軟件來(lái)產(chǎn)生一系列關(guān)聯(lián)的一次性口令來(lái)代替發(fā)布一組獨(dú)立口令的方法進(jìn)行認(rèn)證 。 在線電子銀行系統(tǒng)的客戶(hù)認(rèn)證 【 例 】 動(dòng)態(tài)口令卡 DID及其應(yīng)用 。 動(dòng)態(tài)口令卡 DID是實(shí)現(xiàn)用戶(hù)身份認(rèn)證的一種技術(shù) ， 它允許經(jīng)過(guò)授權(quán)的合法用戶(hù)通過(guò)動(dòng)態(tài)口令卡從銀行總行內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的電腦終端上登錄 、 或者從各個(gè)分支行以及營(yíng)業(yè)網(wǎng)點(diǎn)的電腦終端通過(guò)專(zhuān)線的方式登錄 ， 經(jīng)過(guò)認(rèn)證服務(wù)器認(rèn)證后 ， 便可以進(jìn)入網(wǎng)絡(luò)銀行系統(tǒng)執(zhí)行有關(guān)的操作 。 另外 ， 遠(yuǎn)程用戶(hù)也可以使用動(dòng)態(tài)口令卡通過(guò)一般的電話網(wǎng)絡(luò)登錄到銀行網(wǎng)絡(luò)系統(tǒng)的撥號(hào)訪問(wèn)服務(wù)器 ， 然后由認(rèn)證服務(wù)器進(jìn)行用戶(hù)身份認(rèn)證 ， 并進(jìn)行相應(yīng)的操作 。 在線電子銀行系統(tǒng)的客戶(hù)認(rèn)證 （ 3） 詢(xún)問(wèn) /應(yīng)答 詢(xún)問(wèn) /應(yīng)答機(jī)制的思想是：用戶(hù)通過(guò)論證秘密信息 （ 即不是僅僅發(fā)送秘密信息給銀行 ， 而是通過(guò)使用秘密信息對(duì)隨機(jī)的詢(xún)問(wèn)作出應(yīng)答 ） 的方法來(lái)向銀行證明他的身份 。 詢(xún)問(wèn) /應(yīng)答機(jī)制分為對(duì)稱(chēng)和非對(duì)稱(chēng)詢(xún)問(wèn) /應(yīng)答機(jī)制兩種 。 詢(xún)問(wèn) /應(yīng)答機(jī)制通常用硬件標(biāo)識(shí)的方法實(shí)現(xiàn) 。 在線電子銀行系統(tǒng)的客戶(hù)認(rèn)證 （ 4） SSL/TLS/WTLS協(xié)議 在 SSL/TLS/WTLS協(xié)議中 ， 詢(xún)問(wèn) /應(yīng)答機(jī)制的數(shù)字簽名的使用是一個(gè)可選項(xiàng) 。 當(dāng)設(shè)置了客戶(hù)和銀行間的安全通道后 ， 可以使
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1