【正文】 ? 電子商務(wù)應(yīng)用的安全方案已逐步形成，電子商務(wù)時(shí)代即將到來(lái)。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 54 電子商務(wù)安全技術(shù)未來(lái)的發(fā)展 ? 電子商務(wù)是一個(gè)機(jī)遇和挑戰(zhàn) (風(fēng)險(xiǎn) )共存的新領(lǐng)域，這種挑戰(zhàn)不僅來(lái)源于傳統(tǒng)的習(xí)慣、來(lái)源于計(jì)劃體制和市場(chǎng)體制的沖突、更來(lái)源于對(duì)可使用的安全技術(shù)的信賴(lài)。到此為止，一個(gè)購(gòu)買(mǎi)過(guò)程已經(jīng)結(jié)束。然后返回確認(rèn)信息給商家。 ? ⑤持卡人發(fā)送給商家一個(gè)完整的訂單及要求付款的指令。 ? ③持卡人填寫(xiě)訂單，包括項(xiàng)目列表、價(jià)格、總價(jià)、運(yùn)費(fèi)、搬運(yùn)費(fèi)、稅費(fèi)。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 51 SET的主要目標(biāo) ? ⑴ 信息在 Inter上傳輸，保證網(wǎng)上傳輸?shù)臄?shù)據(jù)不被黑客竊??； ? ⑵訂單信息和個(gè)人賬戶(hù)信息的隔離。 ? 安全交易技術(shù)協(xié)議 (Secure Transaction Technology,簡(jiǎn)稱(chēng) STT) ? 由 Microsoft公司提出， STT將認(rèn)證和解密在瀏覽器中分離開(kāi)，用以提高安全控制能力。 ? 另行確認(rèn) (Order Confirmation) ? 即當(dāng)在網(wǎng)上傳輸交易信息后，再用電子郵件對(duì)交易做確認(rèn)，才認(rèn)為有救。在電子商務(wù)中要能做到這點(diǎn)，需使用雙重簽名技術(shù)。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 49 安全的電子商務(wù)服務(wù) ? 電子信封尾為了解決傳送更換密鑰問(wèn)題而產(chǎn)生的技術(shù)，它結(jié)合了對(duì)稱(chēng)加密和非別稱(chēng)加密技術(shù)的各自?xún)?yōu)點(diǎn)。這個(gè)報(bào)文稱(chēng)為電子證書(shū)，包括：唯一標(biāo)識(shí)證書(shū)所有者 (即貿(mào)易方 )的名稱(chēng)、唯一標(biāo)識(shí)證書(shū)簽發(fā)者的名稱(chēng)、證書(shū)所有者的公開(kāi)密鑰、證書(shū)簽發(fā)者的數(shù)字簽名、證書(shū)的有效期及證書(shū)的序列號(hào)等。通過(guò)數(shù)字簽名能夠?qū)崿F(xiàn)對(duì)原始報(bào)文的鑒別和不可否認(rèn)性。加密技術(shù)分為兩類(lèi)，即對(duì)稱(chēng)加密和非對(duì)稱(chēng)加密?，F(xiàn)有的網(wǎng)管軟件和應(yīng)用管理軟件在身份認(rèn)證上基本都是明碼口令，極容易被竊取。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 47 ? 一般的安全解決方案都將注意力集中在前臺(tái)應(yīng)用與客戶(hù)之間，而在不同程度上忽略和忘記內(nèi)網(wǎng)的后臺(tái)管理工作的安全。這樣就實(shí)現(xiàn)了安全的用戶(hù)身份認(rèn)證、資源的存取控制和信息的安全通信，防止了網(wǎng)上信息的非法訪(fǎng)問(wèn)和竊聽(tīng)。主機(jī)防病毒產(chǎn)品只能對(duì)單一主機(jī)進(jìn)行保護(hù)，而網(wǎng)絡(luò)防病毒產(chǎn)品通過(guò)在網(wǎng)絡(luò)人口實(shí)施內(nèi)容檢查和過(guò)濾，可以防止病毒通過(guò)郵件、 FTP等方式從 Inter進(jìn)入企業(yè)網(wǎng)?；谥鳈C(jī)的入侵檢測(cè)系統(tǒng)用于保護(hù)關(guān)鍵應(yīng)用的服務(wù)器，實(shí)時(shí)監(jiān)視可疑的連接、系統(tǒng)日志檢查、非法訪(fǎng)問(wèn)的闖入等，并且提供對(duì)典型應(yīng)用的監(jiān)視。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 45 (續(xù) ) ? (3)入侵檢測(cè)技術(shù)與產(chǎn)品 在安裝防火墻和劃分網(wǎng)段的安全結(jié)構(gòu)中降低了安全風(fēng)險(xiǎn)，但沒(méi)有徹底消除。 安全的電子商務(wù)運(yùn)作環(huán)境 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 44 ? (1)安全網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì) 目前通用的安全結(jié)構(gòu)是在外網(wǎng)和內(nèi)網(wǎng)之間增加一個(gè)子網(wǎng)，起著緩沖隔離作用，將電子商務(wù)網(wǎng)絡(luò)劃分為 3個(gè)區(qū)域： ? 外部網(wǎng)絡(luò) ——指通過(guò)路由器連接到的 Inter及其他公共網(wǎng)； ? 非軍事化區(qū) ——這是一個(gè)服務(wù)子網(wǎng)，由安全代理服務(wù)器、公共服務(wù)器 (如 DNS、 Mail服務(wù)器 )構(gòu)成； ? 內(nèi)部網(wǎng)絡(luò) ——由電子商務(wù)的實(shí)際應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)組成。認(rèn)證是證實(shí)一個(gè)聲稱(chēng)的身份或者角色，如用戶(hù)、機(jī)器、節(jié)點(diǎn)等是否真實(shí)的過(guò)程。因此，要在交易信息的傳輸過(guò)程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)。電子商務(wù)是建立在一個(gè)較為開(kāi)放的網(wǎng)絡(luò)環(huán)境上的，維護(hù)商業(yè)機(jī)密是電子商務(wù)全面推廣應(yīng)用的重要保障。 ? ③假冒： 由于掌握了數(shù)據(jù)的格式，并可以篡改信息，攻擊者可以冒充合法用戶(hù)發(fā)送假冒的信息，而遠(yuǎn)端用戶(hù)通常很難分辨。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 41 商務(wù)安全中交易存在的安全隱患 ? ① 竊取信息： 由于沒(méi)有采用加密措施，數(shù)據(jù)信息在網(wǎng)絡(luò)上以明文形式傳送，入侵者在數(shù)據(jù)包經(jīng)過(guò)的網(wǎng)關(guān)或路由器上可以截獲傳送的信息。 ? ④安全產(chǎn)品使用不當(dāng)： 雖然不少網(wǎng)站采用了一些網(wǎng)絡(luò)安全設(shè)備．但由于安全產(chǎn)品本身的問(wèn)題或使用問(wèn)題，這些產(chǎn)品并沒(méi)有起到應(yīng)有的作用。網(wǎng)絡(luò)軟件的漏洞和“后門(mén)”是進(jìn)行網(wǎng)絡(luò)攻擊的首超目標(biāo)。 ? 從傳統(tǒng)的基于紙張的貿(mào)易方式向電子化的貿(mào)易方式轉(zhuǎn)變的過(guò)程中，如何保持電子化的貿(mào)易方式與傳統(tǒng)方式一樣安全可靠，則是人們關(guān)注的焦點(diǎn)，同時(shí)也是影響電子商務(wù)全面應(yīng)用的關(guān)鍵問(wèn)題之一。防火墻作為部署 WWW服務(wù)器和FTP服務(wù)器的地點(diǎn)非常理想。 ? URL過(guò)濾用來(lái)控制內(nèi)部網(wǎng)絡(luò)對(duì)某些網(wǎng)站的訪(fǎng)問(wèn)，如禁止訪(fǎng)問(wèn)某些站點(diǎn)、禁止訪(fǎng)問(wèn)站點(diǎn)下的某些目錄、只允許訪(fǎng)問(wèn)某些站點(diǎn)或者其下的目錄等等。 ? ? IP地址的綁定 MAC與 IP地址的綁定，主要用于防止受控的內(nèi)部用戶(hù)通過(guò)更換 IP地址訪(fǎng)問(wèn)外網(wǎng)。 ? 網(wǎng)絡(luò)地址轉(zhuǎn)換似乎已經(jīng)成了防火墻的“標(biāo)配”，絕大多數(shù)防火墻都加入了該功能。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 36 防火墻的功能 ? 數(shù)據(jù)包過(guò)濾是防火墻所要實(shí)現(xiàn)的最基本功能，現(xiàn)在的防火墻已經(jīng)由最初的地址、端口判定控制，發(fā)展到判斷通信報(bào)文協(xié)議頭的各部分，以及通信協(xié)議的應(yīng)用層命令、內(nèi)容、用戶(hù)認(rèn)證、用戶(hù)規(guī)則甚至狀態(tài)檢測(cè)等等。 ? (Screened Sub) 這種方法是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個(gè)被隔離的子網(wǎng)，用兩臺(tái)分組過(guò)濾路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開(kāi)。兩塊網(wǎng)卡各自與受保護(hù)網(wǎng)和外部網(wǎng)相連。路由器上可以裝基于 IP層的報(bào)文過(guò)濾軟件，實(shí)現(xiàn)報(bào)文過(guò)濾功能。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 35 防火墻的基本類(lèi)型 ? (Screening Router) 屏蔽路由器也叫包過(guò)濾防火墻。網(wǎng)絡(luò)內(nèi)部的用戶(hù)不直接與外部的服務(wù)器通信，所以外部服務(wù)器不能直接訪(fǎng)問(wèn)內(nèi)部網(wǎng)的任何一部分。這樣的防火墻可以使用一組附加的標(biāo)準(zhǔn)，以確定是否允許和拒絕通信。 ? 本質(zhì)上，包過(guò)濾防火墻是多址的，表明它有兩個(gè)或兩個(gè)以上網(wǎng)絡(luò)適配器或接口。 ? 在計(jì)算機(jī)安全里，防火墻是位于兩個(gè)信任程度不同的網(wǎng)絡(luò)之間 (如企業(yè)內(nèi)部網(wǎng)絡(luò)和 Inter之間 )的軟件或硬件設(shè)備的組合，它對(duì)兩個(gè)網(wǎng)絡(luò)之間的通信進(jìn)行控制，通過(guò)強(qiáng)制實(shí)施統(tǒng)一的安全策略，防止對(duì)重要信息資源的非法存取和訪(fǎng)問(wèn)以達(dá)到保護(hù)系統(tǒng)安全的目的。 ? 手機(jī)和掌上電腦上的病毒逐漸多了起來(lái)，特別是一些智能手機(jī)。在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴(kuò)散快，單機(jī)防殺病毒產(chǎn)品已經(jīng)難以徹底清除網(wǎng)絡(luò)病毒，必須有適用于局域網(wǎng)、廣域網(wǎng)的全方位防殺病毒產(chǎn)品。 ? 隨著 Inter的發(fā)展， Windows時(shí)代的到來(lái)，光盤(pán)的大量使用，壓縮文件應(yīng)用越來(lái)越廣泛。電子郵件已經(jīng)成為計(jì)算機(jī)病毒傳播的主要媒介，其比例占所有計(jì)算機(jī)病毒傳播媒介的 56％。 ? 傳播途徑更多，傳播速度更快。 ? 在網(wǎng)絡(luò)服務(wù)器上必須安裝真正有效的防殺計(jì)算機(jī)病毒軟件，并經(jīng)常進(jìn)行升級(jí)。 ? 安裝網(wǎng)絡(luò)服務(wù)器時(shí)，應(yīng)保證沒(méi)有計(jì)算機(jī)病毒存在，即安裝環(huán)境和網(wǎng)絡(luò)操作系統(tǒng)本身沒(méi)有感染計(jì)算機(jī)病毒。 ? 在自己的機(jī)器上用別人的軟盤(pán)前應(yīng)進(jìn)行病毒檢查。 ? 計(jì)算機(jī)病毒防范制度是防范體系中每個(gè)主體都必須的行為規(guī)程，沒(méi)有制度，防范體系就不可能很好地運(yùn)作，就不可能達(dá)到預(yù)期的效果。 ? (7)先知掃描法 先知掃描技術(shù)是繼軟件仿真后的一大技術(shù)上的突破。 ? (5)人工智能陷阱技術(shù)和宏病毒陷阱技術(shù) 人工智能陷阱是一種監(jiān)測(cè)計(jì)算機(jī)行為的常駐式掃描技術(shù)。 ? (2)加總比對(duì)法 根據(jù)每個(gè)程序的檔案名稱(chēng)、大小、時(shí)間、日期及內(nèi)容，加總為一個(gè)檢查碼，再將檢查碼附于程序的后面，或是將所有檢查碼放在同一個(gè)數(shù)據(jù)庫(kù)中，再利用此加總對(duì)比系統(tǒng)，追蹤并記錄每個(gè)程序的檢查碼是否遭更改，以判斷是否感染了計(jì)算機(jī)病毒。 ? 按照傳染途徑分類(lèi) 可分為駐留內(nèi)存型和不駐留內(nèi)存型。 ? 按照計(jì)算機(jī)病毒的破壞情況分類(lèi) 可分良性計(jì)算機(jī)病毒和惡性計(jì)算機(jī)病毒。此外，也有不發(fā)作的病毒。 ? 第四階段：發(fā)作 發(fā)作是非法程序所實(shí)施的各種惡意行為。最具代表性的潛伏方法是隱蔽和自我變異。病毒主要通過(guò)電子郵件、外部介質(zhì)、下載這三種途徑入侵個(gè)人計(jì)算機(jī)。 ? ⑤計(jì)算機(jī)病毒的兼容性對(duì)系統(tǒng)運(yùn)行的影響。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 21 ? 傳染性 ? 潛伏性 ? 觸發(fā)性 ? 破壞性 ? 針對(duì)性 ? 不可預(yù)見(jiàn)性等 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 22 ? ① 病毒激發(fā)對(duì)計(jì)算機(jī)數(shù)據(jù)信息的直接破壞作用。 1988年出現(xiàn)了第一個(gè) Inter蠕蟲(chóng)病毒 (MorrisWorm，一種使用自行傳播惡意代碼的惡意軟件，它可以通過(guò)網(wǎng)絡(luò)連接，自動(dòng)將其自身從一臺(tái)計(jì)算機(jī)分發(fā)到另一臺(tái)計(jì)算機(jī) )。 ? 1991年，在“海灣戰(zhàn)爭(zhēng)”中，美軍第一次將計(jì)算機(jī)病毒用于實(shí)戰(zhàn)，在空襲巴格達(dá)的戰(zhàn)斗中，成功地破壞了對(duì)方的指揮系統(tǒng)，使之癱瘓，保證了戰(zhàn)斗順利進(jìn)行，直至最后勝利?？贫鞑┦垦兄瞥鲆环N在運(yùn)行過(guò)程中可以復(fù)制自身的破壞性程序，倫 捷 所不同的是，計(jì)算機(jī)病毒不是微生物，而是一個(gè)可執(zhí)行的計(jì)算機(jī)程序。 ? 計(jì)算機(jī)病毒的運(yùn)行是非授權(quán)入侵。用戶(hù)可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。各種安全策略必須相互配合才能真正起到保護(hù)作用，但訪(fǎng)問(wèn)控制可以說(shuō)是保證網(wǎng)絡(luò)安全最重要的核心策略之一。 VPN技術(shù)主要體現(xiàn)在 Tunnel、相關(guān)隧道協(xié)議 (包括 PPTP， L2F， L2TP)，數(shù)據(jù)安全協(xié)議 (Ipsec)。 ? VPN通過(guò)公眾 IP網(wǎng)絡(luò)建立了私有數(shù)據(jù)傳輸通道，將企業(yè)的遠(yuǎn)程分支辦公室、商業(yè)伙伴、移動(dòng)辦公人員等連接起來(lái)，為企業(yè)提供了安全的端到端的數(shù)據(jù)通訊。它根據(jù)事先設(shè)定的規(guī)則來(lái)確定是否攔截信息流的進(jìn)出，但無(wú)法動(dòng)態(tài)識(shí)別或自適應(yīng)地調(diào)整規(guī)則，因而其智能化程度很有限。近年來(lái)，計(jì)算機(jī)犯罪案件也急劇上升，計(jì)算機(jī)犯罪已經(jīng)成為普遍的國(guó)際性問(wèn)題。所以難免會(huì)吸引來(lái)自世界各地的各種人為攻擊 (例如信息泄露、信息竊取、數(shù)據(jù)篡改、數(shù)據(jù)刪添、計(jì)算機(jī)病毒等 )。 2022/2/9 遼寧石油化工大學(xué)計(jì)算機(jī)與通信工程學(xué)院 劉旸 14 網(wǎng)絡(luò)安全的關(guān)鍵技術(shù) ? 隨著計(jì)算機(jī)技術(shù)的飛速發(fā)展，信息網(wǎng)絡(luò)已經(jīng)成為社會(huì)發(fā)展的重要保證。即信息在存儲(chǔ)或傳輸過(guò)程中保持不被修改、不被破壞和丟失的特性。從廣義來(lái)說(shuō)，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全的研究領(lǐng)域?！凹议T(mén)就是國(guó)門(mén)”，安全問(wèn)題刻不容緩。 ? 另外，為了保證信息安全的重要作用，法律是保護(hù)信息安全的第一道防線(xiàn)。 ? 信息安全管理主要涉及以下幾個(gè)方面：人事管理、設(shè)備管理、場(chǎng)地管理、存儲(chǔ)媒體管理、軟件管理、網(wǎng)絡(luò)管理、密碼和密鑰管理等。 2022/2/9 遼寧石油化