【文章內(nèi)容簡介】 在公共因特網(wǎng)上安全傳輸 （ 2） 訂單信息和個人賬號信息隔離 （ 3） 持卡人和商家相互認證 SET協(xié)議涉及的當事人包括持卡人 、 發(fā)卡機構(gòu) 、 商家 、銀行以及支付網(wǎng)關(guān) 。 SET協(xié)議 3. SET協(xié)議的購物流程 持卡人$發(fā)卡行$收單行商戶I nt e r ne t支付網(wǎng)關(guān)12金融專網(wǎng)8356794SET協(xié)議 3. SET協(xié)議的購物流程 （ 1）消費者利用已有的計算機通過 Inter選定物品，并下電子訂單； （ 2）通過電子商務(wù)服務(wù)器與網(wǎng)上商場聯(lián)系，網(wǎng)上商場做出應答，告訴消費者訂單的相關(guān)情況； （ 3）消費者選擇付款方式，確認訂單，簽發(fā)付款指令（此時 SET介入）； （ 4）在 SET中，消費者必須對訂單和付款指令進行數(shù)字簽名，同時利用雙重簽名技術(shù)保證商家看不到消費者的賬號信息； （ 5）在線商店接受訂單后，向消費者所在銀行請求支付認可，信息通過支付網(wǎng)關(guān)到收單銀行，再到電子貨幣發(fā)行公司確認，批準交易后，返回確認信息給在線商店； （ 6）在線商店發(fā)送訂單確認信息給消費者，消費者端軟件可記錄交易日志，以備將來查詢； （ 7）在線商店發(fā)送貨物或提供服務(wù)，并通知收單銀行將錢從消費者的賬號轉(zhuǎn)移到商店賬號，或通知發(fā)卡銀行請求支付。 SET協(xié)議 4. SET交易的安全性 (1) 信息的機密性 :SET系統(tǒng)中 ， 敏感信息 （ 如持卡人的帳戶和支付信息 ） 是加密傳送的 ， 不會被未經(jīng)許可的一方訪問 。 (2) 數(shù)據(jù)的完整性 :通過數(shù)字簽名 ， 保證在傳送者和接收者傳送消息期間 ， 消息的內(nèi)容不會被修改 。 (3) 身份的驗證 :通過使用證書和數(shù)字簽名 ， 可為交易各方提供認證對方身份的依據(jù) ， 即保證信息的真實性 。 (4) 交易的不可否認性 :通過使用數(shù)字簽名 ， 可以防止交易中的一方抵賴已發(fā)生的交易 。 (5) 互操作性 :通過使用特定的協(xié)議和消息格式 ， SET系統(tǒng)可提供在不同的軟硬件平臺操作的同等能力 。 SSL與 SET的比較 其它安全交易協(xié)議 ?安全交易技術(shù)協(xié)議 （ secure transaction technology ， STT） STT由美國微軟公司提出 ， 并在其自身的 IE瀏覽器中采用了這一技術(shù) 。 該技術(shù)將認證和解密在瀏覽器中分開 ， 以提高安全控制能力 。 其它安全交易協(xié)議 SHTTP是對 HTTP的擴充 ， 它是基于 SSL的 ， 依靠密鑰對的加密 ， 保障 Web站點間的交易信息傳輸?shù)陌踩?。 為 Web文檔提供了完整性 、 鑒別 、 不可抵賴性和機密性等安全措施 。 與 SSL相似 ， 支持 SHTTP協(xié)議網(wǎng)站的網(wǎng)址以 。 防火墻技術(shù) 防火墻 :是由軟件或和硬件設(shè)備組合而成 — 理論上：提供對網(wǎng)絡(luò)的存取控制功能 — 物理上：是 Inter和 Intra間設(shè)置的一種過濾器、限制器 Inter防火墻局域網(wǎng)Hx1x1根據(jù)規(guī)則判斷是否允許分組通過防火墻的實現(xiàn)規(guī)則 （ 1）凡是沒有被列為允許訪問的服務(wù)都是被禁止的。 （ 2）凡是沒有被列為禁止訪問的服務(wù)都是被允許的。 防火墻的缺陷 （ 1）不能防止網(wǎng)內(nèi)發(fā)生的安全問題。目前防火墻主要防護外部網(wǎng)絡(luò)用戶的攻擊，無法禁止內(nèi)部用戶對網(wǎng)絡(luò)主機的攻 （ 2）防火墻系統(tǒng)不能防范通過防火墻以外的其他途徑攻擊。防火墻一旦被攻破或信息傳輸不經(jīng)過防火墻，就不能提供任何安全保護。 （ 3）不能防止傳送已感染病毒的文件或文件所帶來的病毒。 （ 4）無法防范數(shù)據(jù)驅(qū)動型攻擊。所謂數(shù)據(jù)驅(qū)動型攻擊是指從表面上看是無害的數(shù)據(jù)被郵寄或復制到 Inter主機上，一旦執(zhí)行就開始攻擊。 防火墻的缺陷 （ 5）不能防備新的威脅。防火墻總體上是一種被動式防護系統(tǒng)，不具備智能的自動升級能力。要解決不斷產(chǎn)生的網(wǎng)絡(luò)安全問題，就必須不斷的更新防火墻的配置。 （ 6）限制了一些網(wǎng)絡(luò)服務(wù)。防火墻為了提高被保護網(wǎng)絡(luò)的安全性，會限制或關(guān)閉一些存在安全缺陷的網(wǎng)絡(luò)服務(wù)，如 Tel、 FTP等。 （ 7）不能解決信息保密性問題。防火墻僅僅是一個關(guān)口，數(shù)據(jù)包通過這個關(guān)口后，防火墻就不管了。因此，通過防火墻在Inter上傳輸?shù)臄?shù)據(jù)包可能被竊聽、被篡改，防火墻都無法預見和處理，因為它本身不對進出的數(shù)據(jù)包進行任何加密解密操作。 防火墻的拓撲結(jié)構(gòu)（ 1） 內(nèi)部網(wǎng) FTP服務(wù)器 防火墻 外部 內(nèi)部 1 2 Inter 路由器 路由器 防火墻的拓撲結(jié)構(gòu)（ 2） 內(nèi)部網(wǎng) FTP服務(wù)器 防火墻 外部 內(nèi)部 1 2 Inter 路由器 防火墻 防火墻的拓撲結(jié)構(gòu)（ 3） 內(nèi)部網(wǎng) FTP服務(wù)器 防火墻 外部 內(nèi)部 1 2 Inter 路由器 防火墻 內(nèi)部網(wǎng) FTP 服務(wù)器 防火墻 路由器 防火墻 防火墻的分類 ? 根據(jù)連接方式分類： — 包過濾型（網(wǎng)絡(luò)級防火墻）： 對源和目的的 IP地址及端口進行檢查，擬定一個提供接收和服務(wù)對象的清單，一個不接受訪問或服務(wù)對象的清單，按照所定的安全政策實施允許或拒絕訪問 — 應用網(wǎng)關(guān)型（代理服務(wù)器）： 在內(nèi)域網(wǎng)和外域網(wǎng)之間建立一個單獨的子網(wǎng)，將內(nèi)域網(wǎng)屏蔽起來 — 電路層網(wǎng)關(guān)型： 在內(nèi)部網(wǎng)與外部網(wǎng)之間實現(xiàn)中繼 TCP連接。網(wǎng)關(guān)的中繼程序通過接入控制機構(gòu)來來回回地復制字節(jié)，起到內(nèi)外網(wǎng)間連線作用 包過濾防火墻 包過濾防火墻的工作原理 采用這種技術(shù)的防火墻產(chǎn)品，通過在網(wǎng)絡(luò)中的適當位置對數(shù)據(jù)包進行過濾，根據(jù)檢查數(shù)據(jù)流中每個數(shù)據(jù)包的源地址、目的地址、所有的 TCP端口號和 TCP鏈路狀態(tài)等要素，然后依據(jù)一組預定義的規(guī)則，以允許合乎邏輯的數(shù)據(jù)包通過防火墻進入到內(nèi)部網(wǎng)絡(luò)，而將不合乎邏輯的數(shù)據(jù)包加以刪除。 基于包過濾的防火墻設(shè)計 過濾規(guī)則例子 序號 動作 協(xié)議 源地址 源端口 目的地址 目的端 口 說 明 1 許可 UDP 任意 53 .10 53 向 D N S服務(wù)器的查詢 2 許可 TCP 任意 1023 .10 80 向 WWW服務(wù)器的查詢 3 許可 TCP 任意 1023 .10 25 向 SMTP服務(wù)器的查詢 包過濾技術(shù)的特點 ? 優(yōu)點： ? 一個過濾路由器能協(xié)助保護整個網(wǎng)絡(luò) ? 數(shù)據(jù)包過濾對用戶透明 ,不需要登錄及口令 ? 過濾路由器速度快、效率高 ? 缺點： ? 沒有用戶的使用記錄，不能發(fā)現(xiàn)黑客的記錄 ? 不能在用戶級別上進行過濾，即不能鑒別不同的用戶和防止 IP地址盜用 ? 可以阻止外部對私有網(wǎng)絡(luò)的訪問，卻不能記錄內(nèi)部的訪問 代理防火墻 代理防火墻的原理 ： 代理防火墻運行在兩個網(wǎng)絡(luò)之間，它對于客戶來說像是一臺真的服務(wù)器一樣，而對于外界的服務(wù)器來說，它又是一臺客戶機。當代理服務(wù)器接收到用戶的請求后，會檢查用戶請求的站點是否符合公司的要求，如果公司允許用戶訪問該站點的話，代理服務(wù)器會像一個客戶一樣，去那個站點取回所需信息再轉(zhuǎn)發(fā)給客戶。 直實服務(wù)器外部　 響應轉(zhuǎn)發(fā)請求In te rn e t代理客戶應用層代理服務(wù)代理服務(wù)器應用協(xié)議分析請求轉(zhuǎn)發(fā)響應I n tra n e t真實的客戶端 代理的工作方式 電路層網(wǎng)關(guān)（ Circuit Gateway） ? 電路層網(wǎng)關(guān)是另一種類型的代理技術(shù)。在電路層網(wǎng)關(guān)中，包被提交用戶應用層處理。電路層網(wǎng)關(guān)用來在兩個通信的終點之間轉(zhuǎn)換包 。 ? 電路級網(wǎng)關(guān)用來監(jiān)控受信任的客戶或服務(wù)器與不受信任的主機間的 TCP握手信息 ,這樣來決定該會話 (Session) 是否合法 ,電路級網(wǎng)關(guān)是在 OSI模型中會話層上來過濾數(shù)據(jù)包 ,這樣比包過濾防火墻要高兩層。 ? 它是針對數(shù)據(jù)包過濾和應用網(wǎng)關(guān)技術(shù)存在的缺點而引入的防火墻技術(shù)，其特點是將所有跨越防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。防火墻內(nèi)外計算機系統(tǒng)間應用層的“ 鏈接”，由兩個終止代理服務(wù)器上的“ 鏈接”來實現(xiàn)，外部計算機的網(wǎng)絡(luò)鏈路只能到達代理服務(wù)器，從而起到了隔離防火墻內(nèi)外計算機系統(tǒng)的作用，并隱藏了內(nèi)部地址，提高了安全性 . 電路層網(wǎng)關(guān)型防火墻 內(nèi)部網(wǎng) FTP服務(wù)器 防火墻 Inter 路由器 防火墻 電路層網(wǎng)關(guān) TCP TCP IP IP NI NI 進 出 虛擬專用網(wǎng)技術(shù) 虛擬專用網(wǎng)（ VPN）技術(shù)是一種在公用互聯(lián)網(wǎng)絡(luò)上構(gòu)造專用網(wǎng)絡(luò)的技術(shù)。將物理上分布在不同地點的專用網(wǎng)絡(luò)，通過公共網(wǎng)絡(luò)構(gòu)造成邏輯上的虛擬子網(wǎng)，進行安全的通信。 虛擬專用網(wǎng)技術(shù) VPN是在公網(wǎng)中形成的企業(yè)專用鏈路。采用“隧道”技術(shù)，可以模仿點對點連接技術(shù)，依靠 Inter服務(wù)提供商(ISP)和其他的網(wǎng)絡(luò)服務(wù)提供商 (NSP)在公用網(wǎng)中建立自己專用的“隧道”，讓數(shù)據(jù)包通過這條隧道傳輸。對于不同的信息來源，可分別給它們開出不同的隧道。 隧道是一種利用公網(wǎng)設(shè)施，在一個網(wǎng)絡(luò)之中的“網(wǎng)絡(luò)”上傳輸數(shù)據(jù)的方法。隧道協(xié)議利用附加的報頭封裝幀，附加的報頭提供了路由信息，因此封裝后的包能夠通過中間的公網(wǎng)。封裝后的包所途經(jīng)的公網(wǎng)的邏輯路徑稱為隧道。一旦封裝的幀到達了公網(wǎng)上的目的地，幀就會被解除封裝并被繼續(xù)送到最終目的地。 虛擬專用網(wǎng)技術(shù) VPN的主要目的是保護傳輸數(shù)據(jù)，是保護從信道的一個端點到另一端點傳輸?shù)男畔⒘鳌Ｐ诺赖亩它c之前和之后， VPN不提供任何的數(shù)據(jù)包保護。 VPN的基本功能至少應包括： 1）加密數(shù)據(jù)。 以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。 2）信息驗證和身份識別。 保證信息的完整性、合理性，并能鑒別用戶的身份。 3）提供訪問控制。 不同的用戶有不同的訪問權(quán)限。 4）地址管理。 VPN方案必須能夠為用戶分配專用網(wǎng)絡(luò)上的地址并確保地址的安全性。 5）密鑰管理。 VPN方案必須能夠生成并更新客戶端和服務(wù)器的加密密鑰。 6）多協(xié)議支持。 VPN方案必須支持公共因特網(wǎng)絡(luò)上普遍使用的基本協(xié)議，包括 IP、 IPX等。 虛擬專用網(wǎng)技術(shù) VPN的類型 (按 VPN的服務(wù)類型分類 ) 根據(jù)服