第五章電子商務安全技術,學習目標1掌握電子商務安全的概念；2掌握古典加密學理論和方法；3掌握數(shù)字證書概念；4掌握身份認證概念；5掌握生理特征識別概念；6掌握防火墻概念。,5.1電子商務安全概述,5.1.1電子商務面臨的安全問題1計算機安全問題（1）國際標準化委員會的定義是“為數(shù)據處理系統(tǒng)和采取的技術的和管理的安全保護，保護計算機硬件、軟件、數(shù)據不因偶然的或惡意的原因而遭到破壞、更改、顯露?！保?）美國國防部國家計算機安全中心的定義是“要討論計算機安全首先必須討論對安全需求的陳述，.。一般說來，安全的系統(tǒng)會利用一些專門的安全特性來控制對信息的訪問，只有經過適當授權的人，或者以這些人的名義進行的進程可以讀、寫、創(chuàng)建和刪除這些信息。”,5.1電子商務安全概述,（3）我國公安部計算機管理監(jiān)察司的定義是“計算機安全是指計算機資產安全，即計算機信息系統(tǒng)資源和信息資源不受自然和人為有害因素的威脅和危害?！庇嬎銠C安全可分成三類，即保密、完整和即需。保密是指防止未授權的數(shù)據暴露并確保數(shù)據源的可靠性；完整是防止未經授權的數(shù)據修改；即需是防止延遲或拒絕服務。,5.1電子商務安全概述,2網絡安全問題（1）中斷中斷是指系統(tǒng)的部分組件遭受到破壞或使其不能發(fā)揮作用，例如，切斷系統(tǒng)主機對外的網絡連接，使其無法使用，這是對系統(tǒng)的可用性做攻擊。（2）篡改篡改是指系統(tǒng)資源被未經授權的人所取得，乃至篡改內容，例如，在網絡上傳送的訂單遭到任意改變，是對數(shù)據的正確性的攻擊。（3）介入介入是指未經授權者授權取得系統(tǒng)的資源，其中的未經授權者可以是一臺計算機、一個人，或是一組程序，例如，利用竊取網絡上傳送的機密數(shù)據，就是對數(shù)據機密生的攻擊。,5.1電子商務安全概述,（4）假造假造是指未經授權將假造數(shù)據放入系統(tǒng)中，這是對數(shù)據的真實性的攻擊。例如，在網絡上假造身份證明文件以假冒他人。3計算機信息系統(tǒng)面臨的威脅（1）自然災害（2）黑客的威脅和攻擊（3）計算機病毒（4）垃圾郵件和間諜軟件（5）信息戰(zhàn)的嚴重威脅（6）計算機犯罪,5.1電子商務安全概述,5.1.2電子商務對安全的基本要求1電子商務的安全控制要求（1）信息保密性交易中的商務信息均有保密的要求。例如，信用卡的賬號和用戶名被人知悉，就可能被盜用，訂貨和付款的信息被競爭對手獲悉，就可能喪失商機。因此在電子商務的信息傳播中一般均有加密的要求。（2）交易者身份的確定性網上交易的雙方很可能素昧平生，相隔千里。要使交易成功，首先要能確認對方的身份，對商家要考慮客戶端不能是騙子，而客戶也會擔心網上的商店不是一個玩弄欺詐的黑店。因此能方便而可靠地確認對方身份是交易的前提。,5.1電子商務安全概述,（3）不可否認性由于商情的千變萬化，交易一旦達成是不能被否認的。否則必然會損害一方的利益。例如訂購黃金，訂貨時金價較低，但收到訂單后，金價上漲了，如收單方能滯認收到訂單的實際時間，甚至否認收到訂單的事實，則訂貨方就會蒙受損失。因此電子交易通信過程的各個環(huán)節(jié)都必須是不可否認的。（4）不可修改性交易的文件是不可被修改的，例如，上例所舉的訂購黃金。供貨單位在收到訂單后，發(fā)現(xiàn)金價大幅上漲了，如其能改動文件內容，將訂購數(shù)1噸改為1克，則可大幅受益，那么訂貨單位可能就會因此而蒙受損失。因此電子交易文件也要能做到不可修改，以保障交易的嚴肅和公正。,5.1電子商務安全概述,2計算機網絡安全防范策略（1）防火墻技術防火墻是網絡安全的屏障，配置防火墻是實現(xiàn)網絡安全最基本、最經濟、最有效的安全措施之一。（2）數(shù)據加密與用戶授權訪問控制技術與防火墻相比，數(shù)據加密與用戶授權訪問控制技術比較靈活，更加適用于開放的網絡。用戶授權訪問控制主要用于對靜態(tài)信息的保護，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現(xiàn)。（3）入侵檢測技術入侵檢測技術是一種主動保護自己免受攻擊的一種網絡安全技術。作為防火墻的合理補充，入侵檢測技術能夠幫助系統(tǒng)對付網絡攻擊，擴展了系統(tǒng)管理員的安全管理能力（包括安全審計、監(jiān)視、攻擊識別和響應），提高了信息安全基礎結構的完整性。,5.1電子商務安全概述,（4）防病毒技術電腦病毒是令人頭痛的問題，Internet的快速發(fā)展使得病毒造成毀滅性的災難成為可能。因此，防止網絡病毒問題是保障電子商務交易安全最重要的研究課題之一。（5）認證技術認證技術是保證電子商務安全的又一重要技術手段，是防止信息被篡改、刪除、重放和偽造的一種有效方法，它使發(fā)送的消息具有被驗證的能力，使接收者能夠識別和確認消息的真?zhèn)巍?5.1電子商務安全概述,數(shù)字簽名技術。在電子商務的安全保密系統(tǒng)中，數(shù)字簽名技術有著特別重要的地位，安全服務中的源鑒別、完整性服務、不可否認服務，都要用到它。身份識別技術。通過電子網絡開展電子商務，身份識別是一個不得不解決的問題。只有采取一定的措施使商家可以確認對方的身份，商家才能放心地開展電子商務。信息完整性校驗。信息的完整性要靠信息認證來實現(xiàn)，信息認證是信息的合法接受者對信息的真?zhèn)芜M行判定的技術。,5.1電子商務安全概述,（6）安全管理隊伍的建設在計算機網絡系統(tǒng)中，絕對的安全是不存在的，制定健全的安全管理體制是計算機網絡安全的重要保證，只有通過網絡管理人員與使用人員的共同努力，運用一切可以使用的工具和技術，盡一切可能去控制、減小一切非法的行為，盡可能地把不安全的因素降到最低。,5.1電子商務安全概述,5.1.3交易環(huán)境的安全性1交易中存在的主要安全問題（1）信息在網絡的傳輸過程中被截獲（2）傳輸?shù)奈募赡鼙淮鄹模?）假冒他人身份（4）偽造電子郵件（5）抵賴行為。發(fā)信者事后否認曾經發(fā)送過某條內容；收信者事后否認曾經收到過某行消息或內容；購買者發(fā)出訂貨單后不承認；商家賣出的商品因價格差而不承認原有的交易。,5.1電子商務安全概述,2用戶信任度分析用戶的信任度對于一般的公司而言，無庸置疑，是十分重要的，同樣對于目前大多數(shù)商業(yè)化程度較高的網站而言，網民的信任是不可忽視的。但是要注意的是，網絡的虛幻也在一定程度上增加了虛假的可能性，從而在某種程度會使用戶產生不信任感，在中國，人們對于傳統(tǒng)媒體的信任程度要高于對網絡媒體的信任程度。無論是在網上還是在網下進行商業(yè)運作，信任總是一個不可缺少的重要組成部分。消費者必須要對商家產生信任感才會進行消費。網絡業(yè)務的拓展速度幾乎和消費者對網絡公司失去信任的速度相當。根據有關調查報告顯示，只有10%的消費者認為網絡購物是不存在風險的；23%的用戶認為他們受到過駭客的攻擊，16%的用戶認為他們的私人信息未經授權就會被用作商業(yè)用途。,5.1電子商務安全概述,3建立電子商務安全保障體系，提升用戶信任度的途徑提升用戶信任度可從以下幾個途徑展開。（1）技術途徑明確電子商務安全體系結構。充分發(fā)揮電子商務安全協(xié)議作用。增強人們對電子商務的信任度，必須加強計算機的安全技術。（2）管理途徑建立網絡品牌的信任度。完善電子商務安全管理制度。鼓勵研究開發(fā)先進的電子商務安全技術產品。,5.1電子商務安全概述,（3）構造良好的法制環(huán)境全球電子商務的持續(xù)發(fā)展將取決于合同法律框架的制訂。從交易安全方面看，要制定一些相關的電子商務法律。從電子支付方面看，也需要制定相應的法律。有關電子商務消費者權益保護的法律。有關保護個人隱私、秘密的法律。,5.2信息安全技術,5.2.1信息安全技術概述1信息安全的概念“安全”一詞的基本含義為：“遠離危險的狀態(tài)或特性”，或“主觀上不存在威脅，主觀上不存在恐懼”。在各個領域都存在著安全問題，安全問題是普遍存在的。隨著計算機網絡的迅速發(fā)展，人們對信息的存儲、處理和傳遞過程中涉及的安全問題越來越關注，信息領域的安全問題變得非常突出。信息安全是一個廣泛而抽象的概念，不同領域不同方面對其概念的闡述都會有所不同。建立在網絡基礎之上的現(xiàn)代信息系統(tǒng)，其安全定義較為明確，那就是：保護信息系統(tǒng)的硬件、軟件及相關數(shù)據，使之不因為偶然或者惡意侵犯而遭受破壞、更改及泄露，保證信息系統(tǒng)能夠連續(xù)、可靠、正常地運行。在商業(yè)和經濟領域，信息安全主要強調的是消減并控制風險，保持業(yè)務操作的連續(xù)性，并將風險造成的損失和影響降低到最低程度。,5.2信息安全技術,2信息安全的威脅信息安全的威脅是指某個人、物、事件或概念對信息資源的保密性、完整性、可用性或合法使用所造成的危險。攻擊就是對安全威脅的具體體現(xiàn)。目前還沒有統(tǒng)一的方法來對各種威脅進行分類，也沒有統(tǒng)一的方法來對各種威脅加以區(qū)別。信息安全所面臨的威脅與環(huán)境密切相關，不同威脅的存在及重要性是隨環(huán)境的變化而變化的。下面給出一些常見的安全威脅。（1）服務干擾服務干擾是指以非法手段竊得對信息的使用權，惡意添加、修改、插入、刪除或重復某些無關信息，不斷對網絡信息服務系統(tǒng)進行干擾，使系統(tǒng)響應減慢甚至癱瘓，影響用戶的正常使用，如一些不法分子在國外干擾我國正常衛(wèi)星通信等。,5.2信息安全技術,（2）惡意訪問惡意訪問是指沒有預先經過授權同意，就使用網絡或計算機資源被看作惡意訪問，如有意避開系統(tǒng)訪問控制機制，對網絡設備及資源進行非正常使用，或擅自擴大權限，越權訪問信息等。（3）自身失誤自身失誤是指網絡管理員或網絡用戶都擁有相應的權限，利用這些權限破壞網絡安全的可能性也是存在的。如操作口令被泄露，磁盤上的機密文件被人利用及未將臨時文件刪除導致重要信息被竊取，都有可能使網絡安全機制失效，從內部遭受嚴重破壞。（4）信息泄露信息泄露是指信息被泄露或透露給某個非授權的實體。（5）破壞信息的完整性破壞信息的完整性是指數(shù)據被非授權地進行增刪、修改或破壞而受到損失。,5.2信息安全技術,（6）拒絕服務拒絕服務是指對信息或其他資源的合法訪問被無緣無故拒絕。（7）非法使用非法使用是指某一資源被某個非授權的人，或以非授權的方式使用。（8）竊聽竊聽是指用各種可能的合法或非法的手段竊取系統(tǒng)中的信息資源和敏感信息。（9）業(yè)務流分析業(yè)務流分析是指通過對系統(tǒng)進行長期監(jiān)聽，利用統(tǒng)計分析方法對諸如通信頻度、通信問題的變化等參數(shù)進行研究，從中發(fā)現(xiàn)有價值的信息和規(guī)律。（10）假冒假冒是指通過欺騙通信系統(tǒng)達到非法用戶冒充成為合法用戶，或者特權小的用戶冒充成特權大的用戶的目的。（11）旁路控制旁路控制是指攻擊者利用系統(tǒng)的安全缺陷或安全性上的脆弱之處獲得非授權的權利或特權。例如，攻擊者通過各種攻擊手段發(fā)現(xiàn)原本應該保密，但是卻又暴露出來的一些系統(tǒng)“特性”，利用這些“特性”，攻擊者可以繞過防線守衛(wèi)者侵入到系統(tǒng)的內部。,5.2信息安全技術,（12）內部攻擊內部攻擊是指被授權以某一目的的使用某一系統(tǒng)或資源的某個個人，卻將此權限用于其他非授權的目的。（13）特洛伊木馬特洛伊木馬是指軟件中含有一個察覺不出的或者無害的程序段，當其被執(zhí)行時，會破壞用戶的安全。這種應用程序稱為特洛伊木馬（TrojanHorse）。（14）陷阱門陷阱門是指在某個系統(tǒng)或某個部件中設置的“機關”，使得在特定的數(shù)據輸入時，允許違反安全策略。（15）抵賴抵賴是指這是一種來自用戶的攻擊，比如：否認自己曾經發(fā)布過的某條消息，偽造一份對方來信等。（16）重放重放是指出于非法目的，將所截獲的某次合法的通信數(shù)據進行復制，并重新發(fā)送。（17）電腦病毒電腦病毒是指一種人為編制的特定程序。它可以在計算機系統(tǒng)運行過程中實現(xiàn)傳染和侵害功能。它可以通過電子郵件、軟件下載、文件服務器、防火墻等侵入網絡內部，刪除、修改文件，導致程序運行錯誤、死機，甚至毀壞硬件。網絡的普及為病毒檢測與消除帶來很大的難度，用戶很難防范。,5.2信息安全技術,（18）員工泄露員工泄露是指某個授權的人，為了金錢或某種利益，或由于粗心，將信息泄露給某個非授權的人。（19）媒體廢棄媒體廢棄是指信息被從廢棄的磁盤、光盤或紙張等存儲介質中獲得。（20）物理侵入物理侵入是指侵入者繞過物理控制而獲得對系統(tǒng)的訪問。（21）竊取竊取是指重要的安全物品（如身份卡等）被盜用。（22）業(yè)務欺騙業(yè)務欺騙是指某一偽系統(tǒng)或系統(tǒng)部件欺騙合法的用戶或系統(tǒng)自愿放棄敏感信息等。,5.2信息安全技術,3信息安全需求（1）法律法規(guī)與合同條約的要求與信息安全相關的法律法規(guī)是對組織的強制性要求，組織應該對現(xiàn)有的法律法規(guī)加以識別，將適用于組織的法律法規(guī)轉化為組織的信息安全需求。這里所說的法律法規(guī)有3個層次，即國家法律、行政法規(guī)和各部委和地方的規(guī)章及規(guī)范性文件。（2）組織的原則、目標和規(guī)定組織應該根據既定的信息安全方針、要求實現(xiàn)的安全目標和標準來確定組織的信息安全要求，確保支持業(yè)務運作的信息處理活動的安全性。（3）風險評估的結果除了以上兩個信息安全需求的來源之外，確定安全需求最主要的一個途徑就是進行風險評估，組織對信息資產的保護程度和控制方式的確定都應建立在風險評估的基礎之上。一般來講，通過綜合考慮每項資產所面臨的威脅、自身的弱點、威脅造成的潛在影響和發(fā)生的可能性等因素，組織可以分析并確定具體的安全需求。風險評估是信息安全管理的基礎。,5.2信息安全技術,4信息安全技術歸納起來，典型的信息安全技術包括以下幾種。（1）物理安全技術，包括環(huán)境安全、設備安全、媒體安全等。（2）系統(tǒng)安全技術，包括操作系統(tǒng)及數(shù)據庫系統(tǒng)的安全性等。（3）網絡安全技術，包括網絡隔離、訪問控制、VPN、入侵檢測、掃描評估等。（4）應用安全技術，包括Email安全、Web訪問安全、內容過濾、應用系統(tǒng)安全等。（5）數(shù)據加密技術，包括硬件和軟件加密，實現(xiàn)身份認證和數(shù)據信息的CIA特性等。（6）認證授權技術，包括口令認證、SSO認證（例如Kerberos）、證書認證等。（7）訪問控制技術，包括防火墻、訪問控制列表等。（8）審計跟蹤技術，包括入侵檢測、日志審計、辨析取證等。（9）防病毒技術，包括單機防病毒技術逐漸發(fā)展成整體防病毒體系等。（10）災難恢復和備份技術，包括業(yè)務連續(xù)性技術，前提就是對數(shù)據的備份等。,5.3數(shù)字證書和身份認證,5.3.1數(shù)字證書概述1什么是數(shù)字證書為了保證互聯(lián)網上電子交易及支付的安全性，保密性等，防范交易及支付過程中的欺詐行為，必須在網上建立一種信任機制。這就要求參加電子商務的買方和賣方都必須擁有合法的身份，并且在網上能夠有效無誤的被進行驗證。數(shù)字證書是一種權威性的電子文檔。它提供了一種在Internet上驗證身份的方式，其作用類似于司機的駕駛執(zhí)照或日常生活中的身份證。數(shù)字身份認證是基于國際PKI標準的網上身份認證系統(tǒng)，數(shù)字證書相當于網上的身份證，它以數(shù)字簽名的方式通過第三方權威認證有效地進行網上身份認證，幫助各個實體識別對方身份和表明自身的身份，具有真實性和防抵賴功能。與物理身份證不同的是，數(shù)字證書還具有安全、保密、防篡改的特性，可對企業(yè)網上傳輸?shù)男畔⑦M行有效保護和安全的傳遞。,5.3數(shù)字證書和身份認證,它由一個由權威機構-CA證書授權（CertificateAuthority）中心發(fā)行的，人們可以在互聯(lián)網交往中用它來識別對方的身份。當然在數(shù)字證書認證的過程中，證書認證中心（CA）作為權威的、公正的、可信賴的第三方，其作用是至關重要的。數(shù)字證書采用公鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私有密鑰（私鑰），用它進行解密和簽名；同時擁有一把公共密鑰（公鑰）并可以對外公開，用于加密和驗證簽名。當發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據加密，而接收方則使用自己的私鑰解密，這樣，信息就可以安全無誤地到達目的地了，即使被第三方截獲，由于沒有相應的私鑰，也無法進行解密。通過數(shù)字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密鑰密碼體制中，常用的一種是RSA體制。,5.3數(shù)字證書和身份認證,2數(shù)字簽名的概念在金融和商業(yè)等系統(tǒng)中，許多業(yè)務都要求在單據上進行簽名或加蓋印章，證實其真實性，以備日后檢查，可是在利用計算機網絡來傳送報文時，顯然不能用手簽的方法，在計算機中我們可以采用數(shù)字簽名的方法，利用公開密鑰來實現(xiàn)數(shù)字簽名，從而代替?zhèn)鹘y(tǒng)的簽名。為使數(shù)字簽名能代替?zhèn)鹘y(tǒng)的簽名，必須滿足下面三個條件：（1）接收者能夠核實發(fā)送者對報文的簽名；（2）發(fā)送者事后不能抵賴對其報文的簽名；（3）接收者無法偽造對報文的簽名。,5.3數(shù)字證書和身份認證,3數(shù)字簽名的基本形式對于交換信息的雙方而言，數(shù)字簽名的最基本形式是該信息基于某種特定的附加信息（如密鑰或標識等的信息摘錄）。發(fā)送方對發(fā)送的報文簽名并隨同報文一起發(fā)送，以擔保報文的內容，若需接收方也對報文的內容進行擔保，則要求接收方向發(fā)送方返回一個簽名的回執(zhí)（可以是對報文的再簽名）。4數(shù)字簽名的實現(xiàn)數(shù)字簽名的簡單實例是直接利用RSA算法和發(fā)送方的秘密密鑰。對被簽名的數(shù)據進行加密。當接收方收取本塊密文時，使用發(fā)送方的公開密鑰進行解密，如果能夠還原明文，則根據公開密鑰體制的特點（公開密鑰加密的密文只能用秘密密鑰解密，秘密密鑰加密的密文只能用公開密鑰解密），可以認為該數(shù)據確實來自于希望的發(fā)送方。,5.3數(shù)字證書和身份認證,5數(shù)字證書的申請一般來講，用戶要攜帶有關證件到各地的證書受理點，或者直接到證書發(fā)放機構即CA中心填寫申請表并進行身份審核，審核通過后交納一定費用就可以得到裝有證書的相關介質（磁盤或Key）和一個寫有密碼口令的密碼信封。6數(shù)字證書該的使用用戶在進行需要使用證書的網上操作時，必須準備好裝有證書的存儲介質。如果用戶是在自己的計算機上進行操作，操作前必須先安裝CA根證書。一般所訪問的系統(tǒng)如果需要使用數(shù)字證書會自動彈出提示框要求安裝根證書，用戶直接選擇確認即可；當然也可以直接登陸CA中心的網站，下載安裝根證書。操作時，一般系統(tǒng)會自動提示用戶出示數(shù)字證書或者插入證書介質（IC卡或Key），用戶插入證書介質后系統(tǒng)將要求用戶輸入密碼口令，此時用戶需要輸入申請證書時獲得的密碼信封中的密碼，密碼驗證正確后系統(tǒng)將自動調用數(shù)字證書進行相關操作。使用后，用戶應記住取出證書介質，并妥善保管。當然，根據不同系統(tǒng)數(shù)字證書會有不同的使用方式，但系統(tǒng)一般會有明確提示，用戶使用起來都較為方便。,5.3數(shù)字證書和身份認證,7數(shù)字證書的收費作為一種第三方認證服務，數(shù)字證書是需要收取一定費用的。就像我們在日常生活中進行證件公正需要支付公正費用，進行通訊需要支付通訊費一樣，CA數(shù)字證書作為網上身份認證和安全信息傳遞的工具一樣是有償進行的。從服務提供方的角度來講，CA中心需要對幾十萬用戶的數(shù)據進行維護，同時對隨時發(fā)生的網上操作調用進行處理運作，成本是可觀的。針對這一點，國外CA證書的收費也相對有較高標準，例如，目前國際社會使用較為普遍的Verisign企業(yè)CA證書的收費標準為890美元/年，以此來維持其高額的運作成本。國內其他CA中心也針對證書服務收取一定的費用。,5.3數(shù)字證書和身份認證,5.3.2數(shù)字證書的功能與應用1數(shù)字證書的功能數(shù)字證書有以下幾個功能。（1）信息的保密性（2）網絡通訊雙方身份的確定性（3）不可否認性（4）不可修改性,5.3數(shù)字證書和身份認證,2數(shù)字證書的應用數(shù)字證書可以應用到以下多個領域中。（1）網上銀行（2）電子商務（3）手機移動支付（4）網上證券,5.3數(shù)字證書和身份認證,5.3.3身份認證概述1身份認證定義聲稱者向驗證者出示自己的身份的證明過程。證實客戶的真實身份與其所聲稱的身份是否相符的過程。身份認證又叫身份鑒別、實體認證、身份識別。認證目的是使別的成員（驗證者）獲得對聲稱者所聲稱的事實的信任。身份認證是獲得系統(tǒng)服務所必須的第一道關卡。2身份認證分類身份認證可以分為本地和遠程兩類。（1）本地，實體在本地環(huán)境的初始化鑒別（就是說，作為實體個人只和設備物理接觸，不和網絡中的其他設備通信）。（2）遠程，連接遠程設備、實體和環(huán)境的實體鑒別。實體鑒別可以是單向的也可以是雙向的。單向認證是指通信雙方中只有一方向另一方進行鑒別。雙向認證是指通信雙方相互進行鑒別。,5.3數(shù)字證書和身份認證,3認證技術認證技術是計算機網絡安全中的一個重要內容，一般可以分為兩種：（1）消息認證，用于保證信息的完整性和抗否認性；在很多情況下，用戶要確認網上信息是不是假的，信息是否被第三方修改或偽造，這就需要消息認證。消息認證的有關內容參見加密解密部分和數(shù)字簽名部分。（2）身份認證，用于鑒別用戶身份。包括識別，明確并區(qū)分訪問者的身份；驗證，對訪問者聲稱的身份進行確認。,5.3數(shù)字證書和身份認證,4基于秘密信息的身份認證方法（1）口令核對口令核對的基本做法是，讓每一個合法用戶都有系統(tǒng)給的一個用戶名/口令對，用戶進入時，系統(tǒng)要求輸入用戶名、口令，如果正確，則該用戶的身份得到了驗證。（2）單向認證單向認證是指通信的雙方只要一方被另一方鑒別，這樣的身份認證過程就是一種單向認證?？诹詈藢ζ鋵嵰彩且环N單向認證，只是這種認證方法還沒有與密鑰分發(fā)相結合。解決方案：采用對稱密鑰加密體制，通過一個可信任的第三方通常稱為KDC（密鑰分發(fā)中心），由這個第三方來實現(xiàn)通信雙方的身份認證和密鑰分發(fā)；采用非對稱的密鑰加密體制，無需第三方的參與。,5.3數(shù)字證書和身份認證,（3）雙向認證雙向認證是指通信雙方需要互相鑒別各自的身份，然后交換會話密鑰。（4）身份的零知識證明通常的身份認證都要求傳輸口令或身份信息，但如果能夠不傳輸這些信息身份也得到認證就好了。零知識證明就是這樣一種技術。被認證方A掌握某些秘密信息，A想設法讓認證方B相信他確實掌握那些信息，但又不想讓認證方B知道那些信息。5基于物理安全的身份認證方法前面提出的一些身份認證方法，它們有一個共同的特點，就是只依賴于用戶知道的某個秘密的信息，與此對應的是依賴于用戶特有的基于用戶特有的某些生物學信息或用戶持有的硬件。基于生物學的方案包括基于指紋識別的身份認證、基于聲音識別的身份認證以及基于虹膜識別的身份認證等技術?；谥悄芸ǖ纳矸菡J證機制在認證時需要一個硬件智能卡（智能卡中存有秘密信息，通常是一個隨機數(shù)），只有持卡人才能被認證。這樣可以有效地防止口令猜測，有卡有密碼的用戶會被得到認證。,5.4防火墻,5.4.1防火墻概述1防火墻概述所謂“防火墻”，是指一種將內部網和公眾訪問網（如Internet）分開的方法，它實際上是一種隔離技術。防火墻是在兩個網絡通訊時執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據進入你的網絡，將“不同意”的人和數(shù)據拒之門外，最大限度地阻止網絡中的黑客來訪問你的網絡，防止他們更改、拷貝、毀壞你的重要信息。防火墻最初含義是，當房屋還處于木制結構的時侯，人們將石塊堆砌在房屋周圍用來防止火災的發(fā)生，這種墻被稱之為防火墻。防火墻是一種訪問控制技術，在某個機構的網絡和不安全的網絡之間設置障礙，阻止對信息資源的非法訪問。換句話說，防火墻是一道門檻，用來控制進/出兩個方向的通信。圖5-5所示的是防火墻示意圖。,5.4防火墻,5.4防火墻,2防火墻的作用防火墻具有以下幾個作用。（1）作為網絡安全的屏障只有經過精心選擇的應用協(xié)議才能通過防火墻，可使網絡環(huán)境變得更安全。如防火墻可以禁止NFS協(xié)議進出受保護的網絡，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內部網絡。防火墻同時可以保護網絡免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻應該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。,5.4防火墻,（2）可以強化網絡安全策略通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經濟。例如在網絡訪問時，一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全可以不必分散在各個主機上，而集中在防火墻身上。（3）可以對網絡存取和訪問進行監(jiān)控審計如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網絡使用情況的統(tǒng)計數(shù)據。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶?，并提供網絡是否受到監(jiān)測和攻擊的詳細信息。另外，收集一個網絡的使用和誤用情況也是非常重要的?？梢郧宄阑饓κ欠衲軌虻謸豕粽叩奶綔y和攻擊，并且清楚防火墻的控制是否充足。而網絡使用統(tǒng)計對網絡需求分析和威脅分析等也是非常重要的。（4）可以防止內部信息的外泄通過利用防火墻對內部網絡的劃分，可實現(xiàn)內部網重點網段的隔離，從而限制了局部重點或敏感網絡安全問題對全局網絡造成的影響。,5.4防火墻,3防火墻的優(yōu)點（1）防火墻可以通過執(zhí)行訪問控制策略而保護整個網絡的安全，并且可以將通信約束在一個可管理和可靠性高的范圍之內。（2）防火墻可以用于限制對某些特殊服務的訪問。（3）防火墻功能單一，不需要在安全性，可用性和功能上做取舍。（4）防火墻有審記和報警功能，有足夠的日志空間和記錄功能，可以延長安全響應的周期。4防火墻的缺點防火墻具有以下幾個弱點。（1）不能防御已經授權的訪問，以及存在于網絡內部系統(tǒng)間的攻擊。（2）不能防御合法用戶惡意的攻擊.以及社交攻擊等非預期的威脅。（3）不能修復脆弱的管理措施和存在問題的安全策略。（4）不能防御不經過防火墻的攻擊和威脅。,5.4防火墻,5.4.2分組過濾式防火墻1分組過濾式防火墻概念分組過濾器是目前使用最為廣泛的防火墻，其原理很簡單。（1）有選擇地允許數(shù)據分組穿過防火墻，實現(xiàn)內部和外部主機之間的數(shù)據交換；（2）作用在網絡層和傳輸層；（3）根據分組的源地址、目的地址、端口號、協(xié)議類型等標志確定是否允許數(shù)據包通過。滿足過濾邏輯的數(shù)據包才被轉發(fā)，否則丟棄。2分組過濾式防火墻工作原理分組過濾式防火墻工作原理示意如下圖所示。,5.4防火墻,5.4防火墻,（1）分組過濾軟件通常集成到路由器上，允許用戶根據某種安全策略進行設置，允許特定的分組穿越防火墻。（2）路由器對每個分組進行分析，并為分組選擇一條最佳的路徑。（3）普通路由器只執(zhí)行兩種操作：如果它知道分組的目的地址的路由，就轉發(fā)該分組；否則丟棄或者退回分組。增加了分組過濾功能的路由器則檢查更多的內容。（4）接入因特網的每臺主機都有一個IP地址，并且內部網的應用一般都與特定的端口號有關，例如：遠程登錄（Telnet）的TCP端口號的默認值為23。（5）提供分組過濾功能的路由器可以通過分析IP地址和端口號來決定是否轉發(fā)一個分組。例如：可以建立一個對應端口號為23的防火墻過濾器來阻止向內部計算機上發(fā)送遠程登錄分組；建立一個對應端口號為21的防火墻過濾器來阻止外部用戶向內部計算機發(fā)送文件傳輸分組（FTP）等。（6）基于分組過濾的防火墻的安全性依賴于用戶制定的安全策略。（7）由于分組過濾防火墻是由用戶來設置安全策略的，因此根據系統(tǒng)對用戶設置的理解，目前的產品又為兩類：“不允許的就是禁止”和“不禁止的就是允許”。,5.4防火墻,3分組過濾式防火墻的優(yōu)缺點（1）優(yōu)點能有