电子商务安全管理课件教学作者秦成德第3章电子商务安全的技术规范

《电子商务安全管理课件教学作者秦成德第3章电子商务安全的技术规范》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、③第3章电子商务安全的技术规范3.1网络安全标准与组织3・2电子商务安全协议3・1・1安全标准组织3・1・2互联网安全标准3・1・3信息安全标准化3・1网络安全标准与组织•电子商务安全除了采取一定的安全技术措施以外，还需要有完善的安全标准和技术规范。这是电子商务推广与普及的前提条件。对此本章将从网络安全标准与组织和电子商务安全协议两方面进行讲述。•通用安全规则系统（GASSP）•为了完成美国国家研究委员会于1990年提出的安全要求，GASSP于1992年成立。GASSP由国际信息系统安全认证联盟（（ISC）2）提供支持，支持国际通用的IT开发相关的信息安

2、全规则的研究计划。其目标包括促进好的惯例，为IT行业提供一个权威的参考，为世界范围内的安全信息规则、观点、实践提供专业参考。GASSP的普遍深入原则已得到很大发展，其在定义和计划GASSP功能原则方面的工作也已经展开。•国家信息保障合作部（NIAP）•NIAP创建于1997年，以美国国家安全局（NSA）、美国国家标准和技术协会（NIST）为基础，主要负责IT产品的安全测试、评估，以及对IT生产商和消费者的需求进行评定。NIAP的长期目标是增强消费者在信息系统和网络方面的信心。目前联邦航空管理局已开始和NIAP进行合作，以便能更好地确定他们的安全需求；同时

3、，NIAP也在积极地寻找其它合作伙伴，以加快促进安全需求和安全标准规则的早日成形。•互联网安全中心（CIS）•CIS成立于2000年10月，它的主要任务是帮助世界范围内的组织有效地管理信息安全。该中心对所有互联网上连接的设备和系统提供测试、监控、安全性能比较和改进。目前CIS大约有200个成员，它们共同认证高风险的安全威胁，共同研究对付这类威胁的措施。06/17/200Q3.1.1安全标准组织•通用的安全实践和建议（CASPR）•CASPR于2001年8月成立，它的主要任务是将互联网上的一系列免费文件提炼成专家信息。以开发源代码运动为契机，CASPR已经

4、有将近100位经过认证的安全专家，目前还在全世界范围内招聘信息安全专家。•Internet具有很多种安全标准，有些已经成为公ik白勺标淮，＜些正在成为标准。在你阅读本文时，可能又会田现更多新的标准。这里列宙的主要标准不是来自微软或其它公司，而是来自下述两个组织之一：IETF(InternetEngineeringTaskForce,Internet工程任务组)或W3C(WorldWideWebConsortium)□IETF是第…个为Internet工作的组织，W3C则对每一类将应用于Internet的新标准负责。•分布式身份认证安全服务（DASS）--

5、-IETFRFC1507DASS是IETF正在改进的一个标准，它为在lnternet±提供身份认证服务定义了一个试验方法，目的是确认消息发送者或请求提田者。DASS正在努力解决当前保密字设计中存在的一些问题，例如，目前还不能检验宙发送保密字的人是否是在模仿他人。由于DASS是在一个分布式环境中提供认证服务，所以具有特殊的挑战。因为用户不止是可以登录一台机器，他们可以在网络上登录任何一台机器。•DSI(数字签名优先权)一一此标准由W3C制定，用于克服通道级安全的一些限制。例如，通道级安全不能对文档或应用程序的语意做处理，因为所有的处理过程都发生在Inter

6、net上，而不是在客户端或服务器端，所以通道也不能有效利用Internet的带宽。DSI为彳专输签名定义了一个数学方法，实质上是对指定的个体或公司做唯一的表述。同吋，DSI为标识安全属性提供了一种新的方法(PICS2),为维护提供了一种新的格式(PEP)oDSI标准也被建立在PKCS7和X509.V3标准中。•扩展的Internet标记SHTTP(EITSHTTP)——SHTTP的扩展,此标准在当前的HTTP列表中增加了与安全相关的标志。但目前还没有任何一家标准化组织正式支持这种技术。•通用安全服务应用程序接口（GSS-API）IETFRFC1508——

7、此规范已被IETF批准，它定义了以通用方式支持安全服务调用的方法。使用通用接口允许在更广泛的平台上提供更多的源代码级可移植能力。•通用安全服务应用程序接口（GSS-API）C-bindingRFC1508——这是个已批准的IETF规范，它定义了C语言中使用支持服务调用的方法，这个标准是最先基于RFC1508实现的标准之一。•Internet协议安全协议（IPSec）——IETF最近成立了一个IP安全协议工作组来寻找IP安全性方面的问题。IPsec能提供的安全服务集包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输

8、流保密。这个工作组当前正在研究覆盖面相当广泛的规范，以提供更加安全的IP功能。•