【正文】 (3) 病毒環(huán)境 據(jù)病毒感染所需環(huán)境分，可分為單機(jī)病毒和網(wǎng)絡(luò)病毒。網(wǎng)絡(luò)病毒便利用軟件缺陷或者是系統(tǒng)研制開(kāi)發(fā)時(shí)因疏忽而留下的 “ 后門 ” 進(jìn)行攻擊。 (2) 病毒名是指一個(gè)病毒的家族特征，是用于區(qū)別和標(biāo)識(shí)病毒家族的標(biāo)志。 表 31為常見(jiàn)病毒及其病毒前綴。 防毒是指根據(jù)系統(tǒng)特性，采取相應(yīng)的預(yù)防措施，防止計(jì)算機(jī)病毒通過(guò)硬盤或其他移動(dòng)存儲(chǔ)介質(zhì)、局域網(wǎng)、因特網(wǎng)等多種途徑侵入計(jì)算機(jī)。 查毒是指通過(guò)一定的技術(shù)手段發(fā)現(xiàn)計(jì)算機(jī)系統(tǒng)是否感染病毒，并準(zhǔn)確查找出病毒的來(lái)源。對(duì)病毒特征的檢測(cè)包括病毒關(guān)鍵字、特征程序內(nèi)容、傳染方式、文件長(zhǎng)度的變化等，一般可利用殺毒軟件并下載最新的病毒特征庫(kù)自動(dòng)完成這種檢測(cè)。 解毒是指從感染對(duì)象中清除病毒，恢復(fù)被病毒感染前的原始信息。但是，殺毒軟件一般是在病毒出現(xiàn)后才能開(kāi)發(fā)研制，有較大的被動(dòng)性和滯后性。為了實(shí)現(xiàn)網(wǎng)絡(luò)環(huán)境下計(jì)算機(jī)病毒的防治，必須將管理與防范相結(jié)合。 根據(jù)所掌握的病毒特點(diǎn)和病毒未來(lái)的發(fā)展趨勢(shì)，國(guó)家計(jì)算機(jī)病毒緊急處理中心與計(jì)算機(jī)病毒防治產(chǎn)品檢驗(yàn)中心還特別制定了以下的病毒防治策略提供用戶參考。 1. 防火墻的概念 簡(jiǎn)單地說(shuō)，防火墻是位于兩個(gè)信任程度不同的網(wǎng)絡(luò)之間 (如企業(yè)內(nèi)部網(wǎng)和互聯(lián)網(wǎng)之間 )的軟件或硬件設(shè)備的組合，它對(duì)兩個(gè)網(wǎng)絡(luò)之間的通信進(jìn)行控制，通過(guò)強(qiáng)制實(shí)施統(tǒng)一的安全策略，防止對(duì)重要信息資源的非法存取和訪問(wèn)，以達(dá)到保護(hù)系統(tǒng)安全的目的。 防火墻技術(shù) 2. 防火墻的功能 防火墻的功能應(yīng)包括 : ① 過(guò)濾掉不安全的服務(wù)和非法用戶； ② 控制對(duì)特殊站點(diǎn)的訪問(wèn)； ③ 提供監(jiān)視因特網(wǎng)安全和預(yù)警的方便端點(diǎn)； ④ 可接受各種攻擊。即使是現(xiàn)有的已知網(wǎng)絡(luò)，防火墻也表現(xiàn)出如下的主要缺陷 : 不能防范不經(jīng)由防火墻的攻擊；不能完全防止感染了病毒的軟件或文件的傳輸；無(wú)法控制來(lái)自內(nèi)部的非法訪問(wèn)。路由器只對(duì)過(guò)濾器上的特定端口上的數(shù)據(jù)通信加以路由。 這種防火墻措施最大的優(yōu)點(diǎn)就是它對(duì)于用戶來(lái)說(shuō)是透明的，也就是說(shuō)不需要用戶輸入賬號(hào)和密碼來(lái)登錄，因此速度上要比代理服務(wù)器快，且不容易出現(xiàn)屏頸現(xiàn)象。 IP級(jí)防火墻的這一缺陷可通過(guò)應(yīng)用級(jí)防火墻來(lái)彌補(bǔ)。 作為應(yīng)用級(jí)防火墻的代理服務(wù)器就像 “ 一堵墻 ” 一樣，擋在內(nèi)部網(wǎng)和外部網(wǎng)之間，外部網(wǎng)絡(luò)只能看到該代理服務(wù)器而無(wú)法了解內(nèi)部網(wǎng)的任何資源信息，因此比網(wǎng)絡(luò)級(jí)上的包過(guò)濾防火墻更為安全與可靠，且能詳細(xì)記錄所有的訪問(wèn)狀態(tài)信息，以便分析和跟蹤。 目前還有一種被稱為 “ 狀態(tài)監(jiān)測(cè)防火墻 ” 的第三代防火墻技術(shù)，其實(shí)施方法是在不影響網(wǎng)絡(luò)正常運(yùn)行的前提下，運(yùn)用監(jiān)測(cè)引擎抽取狀態(tài)信息，并動(dòng)態(tài)保存起來(lái)作為執(zhí)行安全策略的參考。但狀態(tài)監(jiān)測(cè)防火墻或多或少地影響網(wǎng)絡(luò)速度，且配置較復(fù)雜。這種組合主要取決于網(wǎng)管中心向用戶提供什么樣的服務(wù)，能接受什么樣的風(fēng)險(xiǎn)，并且也受投資大小、技術(shù)能力等相關(guān)方面的制約。通過(guò)數(shù)據(jù)加密技術(shù)，可以在一定程度上提高數(shù)據(jù)傳輸?shù)陌踩?，保證傳輸數(shù)據(jù)的完整性和機(jī)密性，同時(shí)還可提供身份驗(yàn)證。 (1) 加密／解密 數(shù)據(jù)加密過(guò)程就是通過(guò)加密系統(tǒng)把原始的數(shù)字信息(明文 )，按照加密算法變換成與明文完全不同得數(shù)字信息 (密文 )的過(guò)程。 (2) 數(shù)據(jù)加 /解密系統(tǒng)模型 一個(gè)典型的數(shù)據(jù)加密系統(tǒng)模型如圖 31所示。密鑰的長(zhǎng)度對(duì)一個(gè)加密系統(tǒng)的牢固程度起著非常重要的作用。 對(duì)稱加密的優(yōu)點(diǎn)在于對(duì)數(shù)據(jù)進(jìn)行加密和解密的速度快，效率高；主要缺點(diǎn)是密鑰的管理存在問(wèn)題。 在電子商務(wù)中常用的對(duì)稱密鑰密碼算法是數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)。 由于對(duì)稱密鑰加密在加密和解密時(shí)使用相同的密鑰，所以這種加密過(guò)程的安全性取決于是否有未經(jīng)授權(quán)的人獲得了對(duì)稱密鑰。但總的來(lái)說(shuō)，采用對(duì)稱加密算法進(jìn)行加密時(shí)，安全管理密鑰的難度很大，因此該類算法已經(jīng)很少在電子商務(wù)系統(tǒng)中使用。 在非對(duì)稱加密系統(tǒng)中，每個(gè)用戶保存著一對(duì)密鑰 —— 公鑰和私鑰，公鑰是公開(kāi)的，可以公開(kāi)傳送給需要的人，私鑰只有本人知道，是保密的，用公鑰加密的信息只能用相關(guān)的私鑰才能解密，并且在算法上保證從公鑰無(wú)法推導(dǎo)出私鑰。非對(duì)稱加密的過(guò)程如圖 32所示。 圖 33 在非對(duì)稱加密系統(tǒng)中對(duì)信息發(fā)送者 進(jìn)行身份驗(yàn)證 3. 電子交易中公鑰加密應(yīng)用實(shí)例 電子交易中的在線支付一般均采用公鑰加密方法。要求該支付信息只能由指定的網(wǎng)絡(luò)銀行 Y獲取。 ① 客戶 X利用獲得的公鑰 Key B對(duì)支付信息進(jìn)行加密，形成支付信息密文，并將該密文通過(guò)網(wǎng)絡(luò)傳送到網(wǎng)絡(luò)銀行 Y。 ③ 網(wǎng)絡(luò)銀行 Y便根據(jù)該支付請(qǐng)求進(jìn)行相應(yīng)的支付操作后，必須回送客戶一個(gè) “ 支付確認(rèn) ” 消息。 ⑤ 客戶 X收到支付確認(rèn)密文后，發(fā)現(xiàn)在自己擁有的眾多密鑰中，只能用公鑰 Key B才能對(duì)其解密獲得支付確認(rèn)的明文，由此斷定該消息只能是網(wǎng)絡(luò)銀行Y發(fā)送的，該支付確認(rèn)將作為支付憑證，以避免網(wǎng)絡(luò)銀行 Y的否認(rèn)與抵賴。 ① RSA算法 RSA的理論依據(jù)為 : 尋找兩個(gè)大素?cái)?shù)比較簡(jiǎn)單，而將它們的乘積分解開(kāi)則異常困難。由于使用計(jì)算機(jī)進(jìn)行大數(shù)分解目前還沒(méi)有有效的實(shí)現(xiàn)方法，當(dāng)公鑰的數(shù)位達(dá)到一定長(zhǎng)度時(shí)，即使使用計(jì)算機(jī)進(jìn)行運(yùn)算，也無(wú)法在短時(shí)間內(nèi)推導(dǎo)出私鑰。 用 C表示密文，用 M表示明文，則加密過(guò)程為 C＝Me(mod n)； 解密過(guò)程為 M＝ Cd(mod n )。 (3 d)mod(20)＝ 1， 得出 d＝ 7。加密過(guò)程為 C＝ M3(mod 33)， 解密過(guò)程為 M＝ C7(mod 33)。 ⅱ ) 加密和解密算法都是公開(kāi)的。 ⅳ ) 從已知的公鑰無(wú)法計(jì)算出私鑰，即從 Ke到 Kd是“ 計(jì)算上不可能完成的 ” 。就目前的計(jì)算機(jī)水平，一般認(rèn)為選擇 1024位的密鑰是無(wú)法攻破的，因此是安全的。 RSA算法的加密密鑰和加密算法是分開(kāi)的，使得網(wǎng)上的密鑰分配更為方便可行。目前已成為 Email保密通信標(biāo)準(zhǔn)保密增強(qiáng)郵件 (PEM)， 就是采用了 RSA 和DES結(jié)合的方法。它的作用是把一個(gè)任意長(zhǎng)度的字節(jié)串轉(zhuǎn)換成一定長(zhǎng)的大整數(shù)。 MD 5將整個(gè)文件當(dāng)作一個(gè)大的文本信息，通過(guò)一個(gè)稱之為散列函數(shù) (或 Hash函數(shù) )對(duì)其加密，產(chǎn)生惟一的 MD 5信息摘要。 圖 34 信息摘要算法的加密解密過(guò)程 該方法解決了電子商務(wù)中信息傳輸?shù)耐暾詥?wèn)題，若再有一個(gè)第三方的認(rèn)證機(jī)構(gòu)，用 MD 5還可以起到數(shù)字簽名的作用。 MD 5和 SHA1是目前最常用的 Hash函數(shù)。 安全的 Hash函數(shù)在設(shè)計(jì)時(shí)必須滿足以下兩個(gè)特性 : ⅰ ) 具有抗碰撞性 : 指尋找兩個(gè)不同的輸入?yún)s能得到相同的輸出值在計(jì)算上是不可行的； ⅱ ) 具有不可推導(dǎo)性 : 指找到一個(gè)輸入，能得到給定的輸出在計(jì)算上是不可行的，即不可從結(jié)果推導(dǎo)出它的初始狀態(tài)。如果可以輕易地找到兩個(gè)產(chǎn)生相同壓縮值的文件，就可以偽造簽名，這將給網(wǎng)絡(luò)安全領(lǐng)域帶來(lái)巨大隱患。但我國(guó)山東大學(xué)的王小云教授已經(jīng)發(fā)現(xiàn)，可以很快的找到 MD 5的 “ 碰撞 ” 。任何事物都有其兩面性， MD 5的破解固然對(duì)目前采用該算法進(jìn)行數(shù)字簽名的電子商務(wù)產(chǎn)生一定的負(fù)面影響，但也未必只是壞事。 數(shù)字簽名采用數(shù)字串，難偽造，通過(guò)公正的第三方CA支持，接收方便可通過(guò)網(wǎng)絡(luò)在線驗(yàn)證。 ① 數(shù)字簽名的過(guò)程 圖 35 數(shù)字簽名的實(shí)現(xiàn)流程 數(shù)字簽名保證了信息的完整性和不可否認(rèn)性。而且，對(duì)于不同的原信息，即使是同一個(gè)人發(fā)出的數(shù)字簽名也是不同的，從而實(shí)現(xiàn)了信息內(nèi)容與簽名的緊密捆綁。但普通的非對(duì)稱加密的發(fā)送方是用公鑰加密，接收方用自己的私鑰解密；而數(shù)字簽名正好相反，發(fā)送方用自己的私鑰加密，接送方用發(fā)送方的公鑰來(lái)解密。數(shù)字時(shí)間戳服務(wù) (Digital timestamp,DTS)由專門的機(jī)構(gòu)提供。 給一份電子文件加蓋數(shù)字時(shí)間戳的過(guò)程如圖 36所示。實(shí)體認(rèn)證是對(duì)參與交易的各方的身份認(rèn)證，信息認(rèn)證則是指對(duì)所發(fā)送／接收的信息內(nèi)容的認(rèn)證，信息認(rèn)證的目的是決定該信息的合法性。 認(rèn)證技術(shù) 1. 數(shù)字證書(shū) 數(shù)字證書(shū)也稱為數(shù)字憑證、公開(kāi)密鑰證書(shū)，是網(wǎng)絡(luò)通信中標(biāo)識(shí)個(gè)人、計(jì)算機(jī)系統(tǒng)或組織的身份和密鑰所有權(quán)的電子文檔，其作用類似于現(xiàn)實(shí)生活中的身份證。 數(shù)字證書(shū)采用公開(kāi)密鑰體制，由交易方共同信任的第三方權(quán)威機(jī)構(gòu)發(fā)行的，可用它在電子商務(wù)交易中標(biāo)識(shí)各自的身份。數(shù)字證書(shū)的國(guó)際標(biāo)準(zhǔn)是由國(guó)際電信聯(lián)盟 (ITU)制定的 。數(shù)字證書(shū)是身份認(rèn)證的基礎(chǔ)。 (2) 數(shù)字證書(shū)的類型 ① 個(gè)人數(shù)字證書(shū)。個(gè)人證書(shū)一般安裝在客戶瀏覽器上，以幫助個(gè)人在網(wǎng)上進(jìn)行安全電子交易。企業(yè)數(shù)字證書(shū)中包括企業(yè)基本信息、企業(yè)的公鑰及簽發(fā)單位的數(shù)字簽名等信息，主要用于證明企業(yè)的真實(shí)身份，以便企業(yè)在網(wǎng)上進(jìn)行各類 B2B、 B2C、 B2G等電子商務(wù)活動(dòng)。包括應(yīng)用服務(wù)器證書(shū)、 Web服務(wù)器證書(shū)、 VPN網(wǎng)關(guān)證書(shū)、 VPN客戶端證書(shū)等。代碼簽名數(shù)字證書(shū)具體可以分為個(gè)人代碼簽名證書(shū)和企業(yè)代碼簽名證書(shū)。目前比較流行的做法是選擇外觀像普通的優(yōu)盤的 USB Key作為數(shù)字證書(shū)的存儲(chǔ)介質(zhì)。第二，在身份鑒別時(shí)采取了雙因素認(rèn)證方法。 CA主要提供交易雙方的信用保障，是受法律承認(rèn)的第三方權(quán)威機(jī)構(gòu)，負(fù)責(zé)發(fā)放和管理數(shù)字證書(shū)，使網(wǎng)上交易的各方能夠相互確認(rèn)身份。 (1) 認(rèn)證系統(tǒng)的結(jié)構(gòu) ① CA: 核心系統(tǒng)與 CA放在一個(gè)單獨(dú)的封閉空間中。 ② RA(Register Authority): 指證書(shū)登記機(jī)構(gòu)。 ③ WP(Web Publisher): 證書(shū)的公布系統(tǒng)。對(duì)用戶來(lái)講它相當(dāng)于一個(gè)在線的證書(shū)數(shù)據(jù)庫(kù)。 PKI是一種遵循既定標(biāo)準(zhǔn)的密鑰管理平臺(tái)，是利用公鑰理論和技術(shù)建立的提供網(wǎng)絡(luò)安全服務(wù)的基礎(chǔ)設(shè)施，是電子交易的關(guān)鍵性技術(shù)。因此在此基礎(chǔ)上的 CA的主要職能包括 : ① 證書(shū)發(fā)放。 ② 證書(shū)更新。 ③ 證書(shū)撤銷。 ④ 證書(shū)驗(yàn)證。 (3) 知名認(rèn)證中心 ① 美國(guó)的 Verisign公司。它為全世界 50多個(gè)國(guó)家提供數(shù)字證書(shū)服務(wù)，是軟件行業(yè)第一家具有商業(yè)性質(zhì)的證書(shū)授權(quán)機(jī)構(gòu)。 ② 中國(guó)電信 CA安全認(rèn)證系統(tǒng)。目前已經(jīng)開(kāi)發(fā)了網(wǎng)上安全支付系統(tǒng)、網(wǎng)上購(gòu)物系統(tǒng)、電子銀行系統(tǒng)、電子訂票系統(tǒng)、網(wǎng)上報(bào)稅等一系列基于 CTCA系統(tǒng)的電子商務(wù)應(yīng)用。中國(guó)金融認(rèn)證中心 (China Finance Certification Authority,CFCA)是由中國(guó)人民銀