電子商務(wù)安全-第9章(編輯修改稿)
2025-02-05 23:21 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 且繼續(xù)支持普通的 。 在線電子銀行系統(tǒng)的通信安全 電子銀行系統(tǒng)的 單機(jī)應(yīng)用程序 能提供必要的安全性和銀行服務(wù) 。 有時(shí) 單機(jī)應(yīng)用程序 僅用作代理運(yùn)行在用戶的本地機(jī)器上 ， 在瀏覽器和銀行服務(wù)器間增強(qiáng)用戶與銀行的通信安全性 。 如果用戶擁有真實(shí)的瀏覽器或者 單機(jī)應(yīng)用程序 的副本 ， 那么他可以僅僅信任電子銀行應(yīng)用程序界面的內(nèi)容和它執(zhí)行的正確性 。 若使用的是 Java小應(yīng)用程序 ， 則用戶應(yīng)當(dāng)用銀行的私鑰進(jìn)行數(shù)字簽名 ， 以便在執(zhí)行此小應(yīng)用程序之前進(jìn)行校驗(yàn) 。 用戶必須確認(rèn)他們何時(shí)與銀行進(jìn)行安全會(huì)話 。 在線電子銀行系統(tǒng)的通信安全 在線電子銀行系統(tǒng)的客戶認(rèn)證 所謂 實(shí)體鑒別 是指與銀行進(jìn)行會(huì)話初期的客戶鑒別；而所謂事務(wù)鑒別 則是指客戶對(duì)會(huì)話過程中的各個(gè)事務(wù)進(jìn)行鑒別 。 通過鑒別機(jī)制 ， 事務(wù)鑒別可以提供單個(gè)事務(wù)的不可抵賴性 ，而實(shí)體鑒別則不能提供事務(wù)的不可抵賴性 。 常見的實(shí)現(xiàn)實(shí)體鑒別與事務(wù)鑒別的方法有： （ 1） 固定口令 口令可以是 PIN碼或者基于字符的口令 。 在實(shí)際應(yīng)用中 ，通常將口令和服務(wù)計(jì)數(shù)組合起來以增加猜測(cè)口令的難度 。用戶在輸入口令時(shí)只需提供部分?jǐn)?shù)字的子集 ， 這樣即使攻擊者偷看到了某次輸入也難以獲得真正的口令 。 在線電子銀行系統(tǒng)的客戶認(rèn)證 （ 2） 動(dòng)態(tài)口令 銀行采取發(fā)布一次性口令給用戶的方法實(shí)現(xiàn)客戶認(rèn)證 , 這些口令只能使用一次 ， 因此可以提供更高的安全性 。 銀行也采用 “ scratch list number”的方法進(jìn)行實(shí)體認(rèn)證 ， 并采用 “ 事務(wù)號(hào) (transaction number)”方法進(jìn)行事務(wù)鑒別 。有些電子銀行系統(tǒng)則組合使用固定口令和動(dòng)態(tài)口令：固定口令用于實(shí)體認(rèn)證 ， 動(dòng)態(tài)口令用于事務(wù)鑒別 。 此外 ，也可以通過在客戶端安裝特殊軟件來產(chǎn)生一系列關(guān)聯(lián)的一次性口令來代替發(fā)布一組獨(dú)立口令的方法進(jìn)行認(rèn)證 。 在線電子銀行系統(tǒng)的客戶認(rèn)證 【 例 】 動(dòng)態(tài)口令卡 DID及其應(yīng)用 。 動(dòng)態(tài)口令卡 DID是實(shí)現(xiàn)用戶身份認(rèn)證的一種技術(shù) ， 它允許經(jīng)過授權(quán)的合法用戶通過動(dòng)態(tài)口令卡從銀行總行內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的電腦終端上登錄 、 或者從各個(gè)分支行以及營(yíng)業(yè)網(wǎng)點(diǎn)的電腦終端通過專線的方式登錄 ， 經(jīng)過認(rèn)證服務(wù)器認(rèn)證后 ， 便可以進(jìn)入網(wǎng)絡(luò)銀行系統(tǒng)執(zhí)行有關(guān)的操作 。 另外 ， 遠(yuǎn)程用戶也可以使用動(dòng)態(tài)口令卡通過一般的電話網(wǎng)絡(luò)登錄到銀行網(wǎng)絡(luò)系統(tǒng)的撥號(hào)訪問服務(wù)器 ， 然后由認(rèn)證服務(wù)器進(jìn)行用戶身份認(rèn)證 ， 并進(jìn)行相應(yīng)的操作 。 在線電子銀行系統(tǒng)的客戶認(rèn)證 （ 3） 詢問 /應(yīng)答 詢問 /應(yīng)答機(jī)制的思想是：用戶通過論證秘密信息 （ 即不是僅僅發(fā)送秘密信息給銀行 ， 而是通過使用秘密信息對(duì)隨機(jī)的詢問作出應(yīng)答 ） 的方法來向銀行證明他的身份 。 詢問 /應(yīng)答機(jī)制分為對(duì)稱和非對(duì)稱詢問 /應(yīng)答機(jī)制兩種 。 詢問 /應(yīng)答機(jī)制通常用硬件標(biāo)識(shí)的方法實(shí)現(xiàn) 。 在線電子銀行系統(tǒng)的客戶認(rèn)證 （ 4） SSL/TLS/WTLS協(xié)議 在 SSL/TLS/WTLS協(xié)議中 ， 詢問 /應(yīng)答機(jī)制的數(shù)字簽名的使用是一個(gè)可選項(xiàng) 。 當(dāng)設(shè)置了客戶和銀行間的安全通道后 ， 可以使
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1