【正文】 控制，只要配置正確，關(guān)閉不需要的服務(wù)端口，就可以保障基本的網(wǎng)絡(luò)層安全。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 45 (續(xù) ) ? (3)入侵檢測(cè)技術(shù)與產(chǎn)品 在安裝防火墻和劃分網(wǎng)段的安全結(jié)構(gòu)中降低了安全風(fēng)險(xiǎn)，但沒(méi)有徹底消除。因?yàn)榉阑饓χ皇潜粍?dòng)的防止攻擊，不能預(yù)警攻擊。所以對(duì)于電子商務(wù)這樣的關(guān)鍵應(yīng)用，還應(yīng)采用入侵檢測(cè)系統(tǒng)(IDS)。入侵檢測(cè)系統(tǒng)可分為兩類：基于主機(jī)和基于網(wǎng)絡(luò)。基于主機(jī)的入侵檢測(cè)系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查、非法訪問(wèn)的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視。基于網(wǎng)絡(luò)的人侵檢測(cè)系統(tǒng)則主要用于實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)關(guān)鍵路徑的信息。電子商務(wù)應(yīng)用中，適宜采用基于主機(jī)的 IDS，安裝在非軍事化區(qū)中，主要檢測(cè)針對(duì)安全代理的攻擊。 ? (4)防殺病毒技術(shù)與產(chǎn)品 防病毒產(chǎn)品包括網(wǎng)絡(luò)防病毒產(chǎn)品和主機(jī)防病毒產(chǎn)品。主機(jī)防病毒產(chǎn)品只能對(duì)單一主機(jī)進(jìn)行保護(hù)，而網(wǎng)絡(luò)防病毒產(chǎn)品通過(guò)在網(wǎng)絡(luò)人口實(shí)施內(nèi)容檢查和過(guò)濾，可以防止病毒通過(guò)郵件、 FTP等方式從 Inter進(jìn)入企業(yè)網(wǎng)。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 46 ? (1)資源的集中管理和控制 在服務(wù)子網(wǎng)上安裝安全服務(wù)器，對(duì)所有信息服務(wù)器的共享資源進(jìn)行集中管理。這樣做的好處是管理便利、安全、易于擴(kuò)充。當(dāng)各地的用戶需要訪問(wèn)某共享資源時(shí)，都要從安全服務(wù)器的訪問(wèn)控制表 (ACL)中檢查該資源是否共享并且該用戶的權(quán)限是否充分，只有合法用戶才能通過(guò)安全通道對(duì)信息服務(wù)器進(jìn)行訪問(wèn)。這樣就實(shí)現(xiàn)了安全的用戶身份認(rèn)證、資源的存取控制和信息的安全通信，防止了網(wǎng)上信息的非法訪問(wèn)和竊聽(tīng)。 ? (2)建立 CA認(rèn)證體系 為了實(shí)現(xiàn)應(yīng)用層的安全需求，需要在電子商務(wù)系統(tǒng)建立 CA認(rèn)證體系，建立電子商務(wù)網(wǎng)的 CA認(rèn)證中心，為所有用戶發(fā)放 CA數(shù)字證書(shū)。 CA認(rèn)證中心的建立，可使所有重要的內(nèi)部應(yīng)用都通過(guò)數(shù)字證書(shū)進(jìn)行身份認(rèn)證，對(duì)公文處理和電子郵件進(jìn)行加密和數(shù)宇簽名，具有防止泄密和防止否認(rèn)的功能。 CA認(rèn)證中心為用戶和網(wǎng)上重要資源發(fā)放數(shù)字證書(shū)，通過(guò)數(shù)字證書(shū)實(shí)現(xiàn)用戶和資源的雙向認(rèn)證，防止各種欺騙；同時(shí)通過(guò)在服務(wù)器和客戶端建立的安全通道，保證網(wǎng)上信息的安全性，防止竊聽(tīng)、截獲、篡改，通過(guò)數(shù)字簽名技術(shù)防止否認(rèn)和抵賴，建立安全的電子政務(wù)和電子仲裁。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 47 ? 一般的安全解決方案都將注意力集中在前臺(tái)應(yīng)用與客戶之間，而在不同程度上忽略和忘記內(nèi)網(wǎng)的后臺(tái)管理工作的安全。 ? 從安全風(fēng)險(xiǎn)的程度來(lái)講，來(lái)自管理員的安全風(fēng)險(xiǎn)更強(qiáng)，他們具有得天獨(dú)厚的便利條件，如果有惡意的話，他們所造成的危害更太。所以加強(qiáng)后臺(tái)管理的安全是非常重要的。 ? 后臺(tái)管理的安全漏洞主要是口令的泄漏。現(xiàn)有的網(wǎng)管軟件和應(yīng)用管理軟件在身份認(rèn)證上基本都是明碼口令，極容易被竊取。因此應(yīng)將后臺(tái)管理納入統(tǒng)一安全體系內(nèi)。 ? 在電子商務(wù)中增加身份認(rèn)證和訪問(wèn)控制，管理員要想訪問(wèn)應(yīng)用服務(wù)器進(jìn)行各種管理操作時(shí)，就必須經(jīng)過(guò)身份認(rèn)證和訪問(wèn)控制，為后臺(tái)管理起到安全保障作用。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 48 安全的電子商務(wù)服務(wù) ? 加密技術(shù)是電子商務(wù)采取的基本安全措施，貿(mào)易方可根據(jù)需要在信息交換的階段使用。加密技術(shù)分為兩類，即對(duì)稱加密和非對(duì)稱加密。 ? 數(shù)字簽名是非對(duì)稱加密技術(shù)的一類應(yīng)用。它的主要方式是：報(bào)文發(fā)送方從報(bào)文文本中生成一個(gè) 128位的散列值 (或報(bào)文摘要 )，并用自己的專用密鑰對(duì)這個(gè)散列值進(jìn)行加密，形成發(fā)送方的數(shù)字簽名；然后，這個(gè)數(shù)字簽名將作為報(bào)文的附件和報(bào)文一起發(fā)送給報(bào)文的接收方；報(bào)文接收方首先從接收到的原始報(bào)文中計(jì)算出 128位的散列值 (或報(bào)文摘要 )，接著再用發(fā)送方的公開(kāi)密鑰來(lái)列報(bào)文附加的數(shù)字簽名進(jìn)行解密。如果兩個(gè)散列值相同，那么接收方就能確認(rèn)該數(shù)字簽名是發(fā)送方的。通過(guò)數(shù)字簽名能夠?qū)崿F(xiàn)對(duì)原始報(bào)文的鑒別和不可否認(rèn)性。 ? 數(shù)字簽名是基于非對(duì)稱加密技術(shù)的，存在兩個(gè)明顯的問(wèn)題：第一，如何保證公開(kāi)密鑰的持有者是真實(shí)的；第二，大規(guī)模網(wǎng)絡(luò)環(huán)境下公開(kāi)密鑰的產(chǎn)生、分發(fā)和管理等問(wèn)題。由此，證書(shū)簽發(fā)機(jī)構(gòu) CA應(yīng)運(yùn)而生，它是提供身份驗(yàn)證的第三方機(jī)構(gòu)，由一個(gè)或多個(gè)用戶信任的組織實(shí)體構(gòu)成。CA核實(shí)某個(gè)用戶的真實(shí)身份以后，簽發(fā)一份報(bào)文給該用戶，以此作為網(wǎng)上證明身份的依據(jù)。這個(gè)報(bào)文稱為電子證書(shū)，包括：唯一標(biāo)識(shí)證書(shū)所有者 (即貿(mào)易方 )的名稱、唯一標(biāo)識(shí)證書(shū)簽發(fā)者的名稱、證書(shū)所有者的公開(kāi)密鑰、證書(shū)簽發(fā)者的數(shù)字簽名、證書(shū)的有效期及證書(shū)的序列號(hào)等。電子證書(shū)能夠起到標(biāo)識(shí)貿(mào)易方的作用，是目前電子商務(wù)廣泛采用的技術(shù)之一。常用的證書(shū)有：持卡人證書(shū)、商家證書(shū)、支付網(wǎng)關(guān)證書(shū)、銀行證書(shū)和發(fā)卡機(jī)構(gòu)證書(shū)等。目前國(guó)外已有相應(yīng)的產(chǎn)品提供了電子證書(shū)的功能作為身份鑒別的手段。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 49 安全的電子商務(wù)服務(wù) ? 電子信封尾為了解決傳送更換密鑰問(wèn)題而產(chǎn)生的技術(shù)，它結(jié)合了對(duì)稱加密和非別稱加密技術(shù)的各自優(yōu)點(diǎn)。發(fā)送者使用隨機(jī)產(chǎn)生的對(duì)稱密鑰加密數(shù)據(jù)，然后將生成的密文和密鑰本身一起用接收者的公開(kāi)密鑰加密 (稱為電子信封 )并發(fā)送；接收者先用自己的專用密鑰解密電子信封，得到對(duì)稱密鑰，然后使用對(duì)稱密鑰解密數(shù)據(jù)。這樣，保證每次傳送數(shù)據(jù)都可有發(fā)送方選定不同的對(duì)稱密鑰。 ? 在實(shí)際商務(wù)活動(dòng)中經(jīng)常出現(xiàn)這種情形，即持卡人給商家發(fā)送訂購(gòu)信息和自己的付款賬戶信息，但不愿讓商家看到自己的付款賬戶信息，也不愿讓處理商家倒款信息的第三方看到訂貨信息。在電子商務(wù)中要能做到這點(diǎn)，需使用雙重簽名技術(shù)。持卡人將發(fā)給商家的信息 (報(bào)文 1)和發(fā)給第三方的信息 (報(bào)文 2)分別生成報(bào)文摘要 1和報(bào)文摘要 2，合在一起生成報(bào)文摘要 3，并簽名；然后，將報(bào)文 報(bào)文摘要2和報(bào)文摘要 3發(fā)送給商家，將報(bào)文 報(bào)文摘要 1和報(bào)文摘要 3發(fā)送給第三方；接收者根據(jù)收到的報(bào)文生成報(bào)文摘要，再與收到的報(bào)文摘要合在一起，比較結(jié)合后的報(bào)文摘要和收到的報(bào)文摘要 3，確定持卡人的身份和信息是否被修改過(guò)。雙重簽名解決了三方參加電子貿(mào)易過(guò)程中的安全通信問(wèn)題 。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 50 安全電子交易 ? 部分告知 (Partial Order) ? 在網(wǎng)上交易中將最關(guān)鍵的數(shù)據(jù)如信用卡號(hào)碼及成交數(shù)額等略去，然后再用電話告之，以防泄密。 ? 另行確認(rèn) (Order Confirmation) ? 即當(dāng)在網(wǎng)上傳輸交易信息后，再用電子郵件對(duì)交易做確認(rèn)，才認(rèn)為有救。 ? 安全超文本傳輸協(xié)議 (SHTTP) ? 依靠密鑰對(duì)的加密，保障 Web站點(diǎn)間的交易信息傳輸?shù)陌踩浴? ? 安全套接層協(xié)議 (SSL) ? 由 Netscape公司提出的安全交易協(xié)議，提供加密、認(rèn)證服務(wù)和報(bào)文的完整性。 SSL被用于 Netscape Communicator和 Microsoft IE瀏覽器，以完成需要的安全交易操作。 ? 安全交易技術(shù)協(xié)議 (Secure Transaction Technology,簡(jiǎn)稱 STT) ? 由 Microsoft公司提出， STT將認(rèn)證和解密在瀏覽器中分離開(kāi)，用以提高安全控制能力。 Microsoft在 Inter Explorer中采用這一技術(shù)。 ? 安全電子交易協(xié)議 (Secure Electronic Transaction，簡(jiǎn)稱 SET) ? 安全電子交易 (Secure Electric Transaction，簡(jiǎn)稱 SET)是一個(gè)通過(guò)開(kāi)放網(wǎng)絡(luò) (包括 Inter)進(jìn)行安全資金支付的技術(shù)標(biāo)準(zhǔn)，由 VISA和MasterCard組織共同制定， 1997年 5月聯(lián)合推出。由于它得到了 IBM、 HP、 Microsoft、 Netscape、 VeriFone、 GTE、 Terisa和 VeriSign等很多大公司的支持，已成為事實(shí)上的工業(yè)標(biāo)準(zhǔn)，目前已獲得 IETF標(biāo)準(zhǔn)的認(rèn)可。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 51 SET的主要目標(biāo) ? ⑴ 信息在 Inter上傳輸，保證網(wǎng)上傳輸?shù)臄?shù)據(jù)不被黑客竊??； ? ⑵訂單信息和個(gè)人賬戶信息的隔離。當(dāng)包含持卡人帳號(hào)信息的訂單送到商家時(shí)，商家只能看到訂貨信息，而看不到持卡人的帳戶信息； ? ⑶持卡人與商家相互認(rèn)證，以確任通信雙方的身份，一般由第三方機(jī)構(gòu)負(fù)責(zé)為在線通信雙方提供信用擔(dān)保； ? ⑷要求軟件遵循相同的協(xié)議和報(bào)文格式，使不同廠商開(kāi)發(fā)的軟件具有兼容和互操作功能，并且可以運(yùn)行在不同的硬件和操作系統(tǒng)平臺(tái)上。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 52 基于 SET的安全電子商務(wù)模型 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 53 SET的購(gòu)物流程 ? ① 持卡人使用瀏覽器在商家的 Web主頁(yè)上查看在線商品目錄，瀏覽商品。 ? ②持卡人選擇要購(gòu)買的商品。 ? ③持卡人填寫(xiě)訂單，包括項(xiàng)目列表、價(jià)格、總價(jià)、運(yùn)費(fèi)、搬運(yùn)費(fèi)、稅費(fèi)。訂單可通過(guò)電子化方式從商家傳過(guò)來(lái)，或由持卡人的電子購(gòu)物軟件建立。有些在線商場(chǎng)可以讓持卡人與商家協(xié)商物品的價(jià)格 (例如出示自己是老客戶的證明，或給出競(jìng)爭(zhēng)對(duì)手的價(jià)格信息 )。 ? ④持卡人選擇付款方式，此時(shí) SET開(kāi)始介入。 ? ⑤持卡人發(fā)送給商家一個(gè)完整的訂單及要求付款的指令。在 SET中，訂單和付款指令由持卡人進(jìn)行數(shù)字簽名，同時(shí)利用雙重簽名技術(shù)保證商家看不到持卡賬號(hào)信息。 ? ⑥商家收到訂單后，向持卡人的金融機(jī)構(gòu)請(qǐng)求支付認(rèn)可。通過(guò)支付網(wǎng)關(guān)到銀行，再到發(fā)卡機(jī)構(gòu)確認(rèn)，批準(zhǔn)交易。然后返回確認(rèn)信息給商家。 ? ⑦商家發(fā)送訂單確認(rèn)信息給顧客。顧客端軟件可記錄交易日志，以備將來(lái)查詢。 ? ⑧商家給顧客裝運(yùn)貨物．或完成訂購(gòu)的服務(wù)。到此為止，一個(gè)購(gòu)買過(guò)程已經(jīng)結(jié)束。商家可以立即請(qǐng)求銀行將錢從購(gòu)物者的賬號(hào)轉(zhuǎn)移到商家賬號(hào)，也可以等到某一時(shí)間，請(qǐng)求成批劃賬處理。 ? ⑨商家從持卡人的金融機(jī)構(gòu)請(qǐng)求支付。在認(rèn)證操作和支付操作中間一般會(huì)有一個(gè)時(shí)間間隔，例如在每天的下班前請(qǐng)求銀行結(jié)一天的賬。 2021/11/10 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 54 電子商務(wù)安全技術(shù)未來(lái)的發(fā)展 ? 電子商務(wù)是一個(gè)機(jī)遇和挑戰(zhàn) (風(fēng)險(xiǎn) )共存的新領(lǐng)域，這種挑戰(zhàn)不僅來(lái)源于傳統(tǒng)的習(xí)慣、來(lái)源于計(jì)劃體制和市場(chǎng)體制的沖突、更來(lái)源于對(duì)可使用的安全技術(shù)的信賴。 ? 隨著電子商務(wù)的發(fā)展，安全問(wèn)題更加重要和突出，要想解決好這個(gè)問(wèn)題，必須由安全技術(shù)和標(biāo)準(zhǔn)作保障。 ? 安全是“相對(duì)的”，電子商務(wù)的發(fā)展促使對(duì)安全技術(shù)進(jìn)行不斷探索研究和開(kāi)發(fā)應(yīng)用，以建立一個(gè)安全的商務(wù)環(huán)境。 ? 要保證電子商務(wù)安全可靠，首先要明確電子商務(wù)的安全隱患、安全等級(jí)和采用安全措施的代價(jià)，再選擇相應(yīng)的安全措施。 ? 電子商務(wù)應(yīng)用的安全方案已逐步形成，電子商務(wù)時(shí)代即將到來(lái)。