电子商务安全与电子支付2章

《电子商务安全与电子支付2章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第二章电子商务安全的技术保障2.2加密技术2.3认证技术2.4电子商务交易系统安全模型及具体实现2.1防火墙技术2.1防火墙技术2.1.1防火墙技术及访问控制技术2.1.2入侵检测技术2.1.3安全扫描技术2.1.1防火墙技术及访问控制技术1.防火墙的概念与分类所谓防火墙，就是在内部网（如Intranet）和外部网（如因特网）之间的界面上构造一个保护层，并强制所有的连接都必须经过此保护层，由其进行检查和连接。它是一个或一组网络设备系统和部件的汇集器，用来在两个或多个网络间加强访问控制、实施相应的访问控制策略，力求把那些非法用户隔离在特定的网络之外

2、，从而保护某个特定的网络不受其他网络的攻击，但又不影响该特定网络正常的工作。防火墙应具有以下五大基本功能(1)过滤进、出网络的数据；(2)管理进、出网络的访问行为；(3)封堵某些禁止的业务；(4)记录通过防火墙的信息内容和活动；(5)对网络攻击检测和告警。根据防火墙在网络上的物理位置和在OSI七层协议中的逻辑位置以及所具备的功能，可作如下的分类：（1）线路级网关。（2）包过滤路由器。（3）应用网关。（4）双重基地型网关。（5）屏蔽主机防火墙。（6）屏蔽主网防火墙。2.包过滤型防火墙（PacketFilter）包过滤防火墙是最简单的防火墙，一般在路

3、由器上实现。包过滤防火墙通常只包括对源和目的IP地址及端口的检查。包过滤防火墙将所有通过的数据包中发送方IP地址、接收方IP地址、TCP端口、TCP链路状态等信息读出，并按照预先设定的过滤原则过滤数据包。那些不符合规定的IP地址的数据包会被防火墙过滤掉，以保证网络系统的安全。图21包过滤防火墙的工作原理3.代理服务器型防火墙（ProxyService）代理型防火墙也叫应用层网关（ApplicationGateway）防火墙。这种防火墙通过一种代理（Proxy）技术参与到一个TCP连接的全过程。这种类型的防火墙被网络安全专家和媒体公认为是最安全的防

4、火墙。电路级网关又称线路级网关，它工作在会话层，其工作原理如图2-2所示。电路级网关在两主机首次建立TCP连接时创立一个电子屏障。它作为服务器接收外来请求，转发请求；与被保护的主机连接时则担当客户机角色、起代理服务的作用。图22电路级网关应用级网关使得网络管理员能够实现比包过滤防火墙更严格的安全策略。应用级网关工作原理如图2-3所示，它不用依赖包过滤工具来管理因特网服务在防火墙系统中的进出，而是采用为每种所需服务在网关上安装特殊代码（代理服务）的方式来管理因特网服务。图23应用级网关工作原理4.复合型防火墙（Hybrid）复合型防火墙的设计目标是

5、既有包过滤的功能，又能在应用层进行代理，能从数据链路层到应用层进行全方位安全处理。由于TCP/IP协议和代理的直接相互配合，使系统的防欺骗能力和运行的安全性都大大提高。复合型防火墙的设计综合了包过滤技术和代理技术，克服了二者在安全方面的缺陷，从TCP/IP协议的数据链路层一直到应用层施加全方位的控制，将网关与安全系统合而为一。图24新型防火墙的系统构成从图2-4可知，该防火墙既不是单纯的代理防火墙，又不是纯粹的包过滤。从数据链路层、IP层、TCP层到应用层都能施加安全控制，且能直接对网卡操作，对出入的数据进行加密或解密。5.物理隔离技术物理隔离技

6、术是近年来发展起来的防止外部黑客攻击的有效手段。物理隔离产品主要有物理隔离卡和隔离网闸。物理隔离卡主要分为单硬盘物理隔离卡和双硬盘物理隔离卡。图2-5物理隔离卡工作示意图图26物理隔离闸示意图2.1.2入侵检测技术入侵检测系统(IntrusionDetectSystem，IDS)是对传统安全产品的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。通过执行以下任务来实现实时保护（1）监视、分析用户及系统活动；（2）对系统构造和弱点的审计；（3）识别反映已知进攻的话动

7、模式并向相关人士报警；（4）异常行为模式的统计分析；（5）评估重要系统和数据文件的完整性；（6）操作系统的审计跟踪管理，并识别用户违反安全策略的行为。2.1.3安全扫描技术安全扫描技术是一类重要的网络安全技术。安全扫描技术与防火墙、入侵检测系统互相配合，能够有效提高网络的安全性。通过对网络的扫描，网络管理员可以了解网络的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。网络管理员可以根据扫描的结果更正网络安全漏洞和系统中的错误配置，在黑客攻击前进行防范。一次完整的网络安全扫描分为3个阶段（1）发现目标主机或网络。（2）发现目标后进

8、一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设备以及各