6.3VPN技術(shù)

虛擬專用網(wǎng)絡(luò)(virtualprivatenetwork,VPN)就是建立在公共網(wǎng)絡(luò)上的私有專用網(wǎng)，它是一個(gè)利用基于公眾基礎(chǔ)架構(gòu)的網(wǎng)絡(luò)，例如Internet，來(lái)建立一個(gè)安全的、可靠的和可管理的企業(yè)間通信的通道。VPN技術(shù)非常復(fù)雜，它涉及到通信技術(shù)、密碼技術(shù)和認(rèn)證技術(shù)，是一項(xiàng)交叉科學(xué)。VPN通過(guò)一個(gè)私有的通道來(lái)創(chuàng)建一個(gè)安全的私有連接，將遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、公司的業(yè)務(wù)伙伴等跟企業(yè)網(wǎng)連接起來(lái)，形成一個(gè)擴(kuò)展的公司企業(yè)網(wǎng)。防火墻和VPN防火墻的主要目的:在于判斷來(lái)源IP，阻止危險(xiǎn)或未經(jīng)授權(quán)的IP的訪問(wèn)和交換數(shù)據(jù)。VPN主要解決的是:數(shù)據(jù)傳輸?shù)陌踩珕?wèn)題，其目的在于內(nèi)部的敏感關(guān)鍵數(shù)據(jù)能夠安全地借助公共網(wǎng)絡(luò)進(jìn)行頻繁地交換。

以前，要想實(shí)現(xiàn)兩個(gè)遠(yuǎn)地網(wǎng)絡(luò)的互聯(lián)，主要是采用專線連接方式。VPN技術(shù)是利用Internet網(wǎng)絡(luò)模擬安全性較好的局域網(wǎng)的技術(shù)。簡(jiǎn)單來(lái)說(shuō)就是在數(shù)據(jù)傳送過(guò)程中加上了加密和認(rèn)證的網(wǎng)絡(luò)安全技術(shù)。VPN使用實(shí)例某公司總部在北京，而上海和杭州各有分公司，MIS主管需要彼此之間能夠?qū)崟r(shí)交換數(shù)據(jù)，為了安全考慮和提高工作效率，使用VPN技術(shù)。（總公司路由器上開放兩個(gè)VPN賬戶，允許分公司路由器撥入，以建立VPN通道）Internet總部網(wǎng)絡(luò)LAN-to-LANVPN功能路由器分部網(wǎng)絡(luò)分部網(wǎng)絡(luò)虛擬專用網(wǎng)VPN的三個(gè)關(guān)鍵安全：包括訪問(wèn)控制、認(rèn)證和加密技術(shù)以保證網(wǎng)絡(luò)連接的安全、用戶的真實(shí)性和數(shù)據(jù)通信的隱秘及完整性；通信控制：包括帶寬管理和服務(wù)質(zhì)量管理以保證VPN的可靠和高速；管理：保證VPN和企業(yè)安全策略的集成，近程或遠(yuǎn)程集成的管理和解決方案的可伸縮性。Internet遠(yuǎn)程訪問(wèn)內(nèi)部網(wǎng)合作伙伴分支機(jī)構(gòu)AccessVPNExtranetVPNVPN接入類型IntranetVPN1、遠(yuǎn)程訪問(wèn)虛擬網(wǎng)（AccessVPN）：

對(duì)于出差流動(dòng)員工、遠(yuǎn)程辦公人員和遠(yuǎn)程小辦公室，AccessVPN通過(guò)公用網(wǎng)絡(luò)與企業(yè)內(nèi)部網(wǎng)絡(luò)建立私有的網(wǎng)絡(luò)連接。在AccessVPN的應(yīng)用中，利用了二層網(wǎng)絡(luò)隧道技術(shù)在公用網(wǎng)絡(luò)上建立VPN隧道（Tunnel）連接來(lái)傳輸私有網(wǎng)絡(luò)數(shù)據(jù)。

Internet內(nèi)部網(wǎng)AccessVPN遠(yuǎn)程訪問(wèn)VPN接入類型2、企業(yè)內(nèi)部虛擬網(wǎng)（IntranetVPN）：

IntranetVPN通過(guò)公用網(wǎng)絡(luò)進(jìn)行企業(yè)各個(gè)分布點(diǎn)互聯(lián)

Internet內(nèi)部網(wǎng)IntranetVPN分支機(jī)構(gòu)VPN接入類型3、企業(yè)擴(kuò)展虛擬網(wǎng)（ExtranetVPN）：

ExtranetVPN是指利用VPN將企業(yè)網(wǎng)延伸至合作伙伴與客戶Internet內(nèi)部網(wǎng)ExtranetVPN合作伙伴VPN接入類型6.3.1VPN的基本功能一個(gè)成功的VPN方案應(yīng)能滿足：用戶身份驗(yàn)證：能夠驗(yàn)證用戶身份并嚴(yán)格控制只有授權(quán)用戶才能訪問(wèn)VPN；地址管理：為用戶分配專用網(wǎng)絡(luò)地址并確保其安全；數(shù)據(jù)加密：對(duì)通過(guò)公用網(wǎng)的數(shù)據(jù)進(jìn)行加密密鑰管理：生成并更新客戶端和服務(wù)器的加密密鑰多協(xié)議支持：支持公用網(wǎng)上普遍使用的基本協(xié)議。6.3.2VPN的安全策略1、隧道技術(shù)2、加解密技術(shù)3、密鑰管理技術(shù)4、使用者與設(shè)備身份認(rèn)證技術(shù)隧道技術(shù)(Tunneling)

隧道技術(shù)類似于點(diǎn)對(duì)點(diǎn)連接技術(shù)，它在公用網(wǎng)建立一條數(shù)據(jù)通道（隧道），讓數(shù)據(jù)包通過(guò)這條通道傳輸。隧道是由隧道協(xié)議形成的，分為二、三層隧道協(xié)議。二層隧道協(xié)議有PPTP協(xié)議、L2F協(xié)議、L2TP協(xié)議，主要構(gòu)筑遠(yuǎn)程訪問(wèn)虛擬網(wǎng)（AccessVPN）三層隧道協(xié)議有GRE協(xié)議、IPSEC協(xié)議，主要構(gòu)筑企業(yè)內(nèi)部虛擬網(wǎng)（IntranetVPN）、企業(yè)擴(kuò)展虛擬網(wǎng)（ExtranetVPN）。6.4網(wǎng)絡(luò)入侵檢測(cè)6.4.1網(wǎng)絡(luò)入侵的類型6.4.2網(wǎng)絡(luò)入侵系統(tǒng)的原理6.4.1網(wǎng)絡(luò)入侵的類型漏洞掃描口令破解拒絕服務(wù)攻擊DoS系統(tǒng)后門緩沖區(qū)溢出

漏洞掃描掃描器是一種自動(dòng)檢測(cè)遠(yuǎn)程或本地主機(jī)安全性弱點(diǎn)的程序。掃描器可以不留痕跡地發(fā)現(xiàn)遠(yuǎn)程服務(wù)器的各種TCP端口的分配及提供的服務(wù)和它們的軟件版本,從而了解安全問(wèn)題。掃描器原理：通過(guò)選用TCP/IP不同的端口服務(wù)，并記錄目標(biāo)給予的回答，通過(guò)這種方法，可以搜集很多關(guān)于目標(biāo)主機(jī)的各種有用信息(如匿名登錄、可寫的FTP目錄、TELNET登錄)。

口令破解

先用掃描工具（如finger）找出網(wǎng)絡(luò)中主機(jī)上用戶帳號(hào)，接著采用字典窮舉法生成大量的隨機(jī)密碼。然后，利用這些密碼登錄用戶系統(tǒng)。若密碼不對(duì)，就使用下一個(gè)隨機(jī)密碼，直到密碼被查出為止。另一種方法是利用系統(tǒng)的漏洞獲取系統(tǒng)安全帳號(hào)文件，采用口令破解器進(jìn)行破解。

拒絕服務(wù)攻擊

拒絕服務(wù)攻擊的類型錯(cuò)誤配置或者軟件弱點(diǎn)、協(xié)議固有的缺陷或者對(duì)協(xié)議的實(shí)現(xiàn)導(dǎo)致的錯(cuò)誤。利用合理的服務(wù)請(qǐng)求來(lái)占用過(guò)多的服務(wù)資源，致使服務(wù)超載、系統(tǒng)無(wú)法響應(yīng)其他請(qǐng)求。

典型的拒絕服務(wù)攻擊郵件炸彈：郵件發(fā)送者，利用特殊的電子郵件軟件，在很短的時(shí)間內(nèi)連續(xù)不斷地將郵件郵寄給同一個(gè)收信人，由于每個(gè)人的郵件信箱都是有限的,當(dāng)龐大的郵件垃圾到達(dá)信箱的時(shí)候,就會(huì)把信箱擠爆,把正常的郵件給沖掉同時(shí),由于它占用了大量的網(wǎng)絡(luò)資源,常常導(dǎo)致網(wǎng)絡(luò)塞車。Flood攻擊：具有高帶寬的計(jì)算機(jī)通過(guò)大量發(fā)送TCP、UDP和ICMPEchoRequest報(bào)文，將低帶寬的計(jì)算機(jī)“淹沒(méi)”，以降低對(duì)方計(jì)算機(jī)的響應(yīng)速度。

系統(tǒng)后門

攻擊者在獲得系統(tǒng)的root權(quán)限以后，千方百計(jì)地保持這個(gè)權(quán)限，這樣即使管理員安裝了安全補(bǔ)丁程序，攻擊者仍然可以輕松地進(jìn)出系統(tǒng)。為了達(dá)到此目的，一般采用的方式是在系統(tǒng)中安裝后門。

緩沖區(qū)溢出攻擊者試圖在一個(gè)不夠大的接收器里存儲(chǔ)過(guò)量的信息就是一次緩沖區(qū)溢出（bufferoverflow）攻擊。實(shí)現(xiàn)這種攻擊只要程序的使用者給出的數(shù)據(jù)超出該程序所能存儲(chǔ)的最大值即可。6.4.2網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的原理一、IDS的概念網(wǎng)絡(luò)入侵檢測(cè)：通過(guò)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)收集信息，并對(duì)收集到的信息進(jìn)行分析，從而判斷網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和系統(tǒng)被攻擊的征兆的一種安全技術(shù)。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（intrusiondetectionsystem，IDS）：進(jìn)行網(wǎng)絡(luò)入侵檢測(cè)的軟件和硬件的有機(jī)組合。入侵檢測(cè)被認(rèn)為是防火墻之后的第二道安全閘門。入侵檢測(cè)在不影響網(wǎng)絡(luò)性能的情況下對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)測(cè)，從而提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)施保護(hù)。入侵檢測(cè)系統(tǒng)是不僅能檢測(cè)來(lái)自外部的入侵行為，同時(shí)也監(jiān)督內(nèi)部用戶的未授權(quán)活動(dòng)。內(nèi)網(wǎng)InternetIDS的起源與發(fā)展概念的誕生－1980年美國(guó)空軍作了題為《計(jì)算機(jī)安全威脅監(jiān)控與監(jiān)視》，第一次詳細(xì)闡述了入侵檢測(cè)的概念。模型的發(fā)展－1984-1986年喬治敦大學(xué)的DorothyDenning和SRI公司的計(jì)算機(jī)科學(xué)實(shí)驗(yàn)室PeterNeumann研究出了一個(gè)入侵監(jiān)測(cè)模型，取名為IDES（入侵檢測(cè)專家系統(tǒng)），它獨(dú)立于特定的系統(tǒng)平臺(tái)、應(yīng)用環(huán)境、應(yīng)用弱點(diǎn)以及入侵類型，真正提出的入侵檢測(cè)思想。百花齊放－1990年美國(guó)加州大學(xué)第一次將網(wǎng)絡(luò)數(shù)據(jù)流做為審計(jì)來(lái)源分析入侵活動(dòng)，為入侵檢測(cè)技術(shù)翻開新的一頁(yè)，從此入侵檢測(cè)技術(shù)分為網(wǎng)絡(luò)入侵檢測(cè)技術(shù)和主機(jī)入侵檢測(cè)技術(shù)兩種方式不斷發(fā)展壯大起來(lái)。2000年出現(xiàn)分布式入侵檢測(cè)系統(tǒng)，是IDS發(fā)展史上一個(gè)里程碑IDS的任務(wù)監(jiān)控、分析用戶和系統(tǒng)的行為；檢查系統(tǒng)的配置和漏洞；評(píng)估重要的系統(tǒng)和數(shù)據(jù)文件的完整性；對(duì)異常行為的統(tǒng)計(jì)分析，識(shí)別攻擊類型，并向網(wǎng)絡(luò)管理人員報(bào)警；

對(duì)操作系統(tǒng)進(jìn)行審計(jì)、跟蹤管理，識(shí)別違反授權(quán)的用戶活動(dòng)。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的優(yōu)點(diǎn)提高系統(tǒng)的監(jiān)控從入口點(diǎn)到出口點(diǎn)跟蹤用戶的活動(dòng)識(shí)別和匯報(bào)數(shù)據(jù)文件的變化偵測(cè)系統(tǒng)配置錯(cuò)誤并糾正他們識(shí)別特殊攻擊類型，并向管理人員發(fā)出警報(bào)，進(jìn)行防御網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的缺點(diǎn)不能彌補(bǔ)差的認(rèn)證機(jī)制如果沒(méi)有人的干預(yù)，不能管理攻擊調(diào)查不能彌補(bǔ)網(wǎng)絡(luò)協(xié)議上的弱點(diǎn)不能彌補(bǔ)系統(tǒng)提供質(zhì)量或完整性的問(wèn)題二、IDS的運(yùn)行1、信息收集入侵檢測(cè)第一步收集狀態(tài)和行為系統(tǒng)網(wǎng)絡(luò)數(shù)據(jù)用戶活動(dòng)檢測(cè)范圍要大信息收集 ——信息來(lái)源系統(tǒng)和網(wǎng)絡(luò)日志文件目錄和文件中的不期望的改變程序執(zhí)行中的不期望行為物理形式的入侵信息2、信號(hào)分析對(duì)信息的分析技術(shù)模式匹配統(tǒng)計(jì)分析完整性分析實(shí)時(shí)的入侵檢測(cè)分析信號(hào)分析：特征檢測(cè)——模式匹配Signature-BasedDetection（特征檢測(cè))假設(shè)入侵者活動(dòng)可以用一種模式表示，比較收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫(kù)。目標(biāo)是檢測(cè)主體活動(dòng)是否符合這些模式攻擊模式可以用一個(gè)過(guò)程或一個(gè)輸出來(lái)表示通過(guò)字符串匹配以尋找一個(gè)簡(jiǎn)單的條目或指令利用正規(guī)的數(shù)學(xué)表達(dá)式來(lái)表示安全狀態(tài)的變化對(duì)新的入侵方法無(wú)能為力難點(diǎn)在于如何設(shè)計(jì)模式既能夠表達(dá)入侵現(xiàn)象又不會(huì)將正常的活動(dòng)包含進(jìn)來(lái)準(zhǔn)確率較高

基于規(guī)則檢測(cè)之模式匹配 ——示意圖入侵模式檢測(cè)到的事件比較、匹配入侵信號(hào)分析：異常檢測(cè)——統(tǒng)計(jì)分析AnomalyDetection(異常檢測(cè))，假設(shè)入侵者活動(dòng)異常于正常主體的活動(dòng)，制訂主體正常活動(dòng)的“活動(dòng)閥值”，檢測(cè)到的活動(dòng)與“活動(dòng)閥值”相比較，是否違反統(tǒng)計(jì)規(guī)律。異常檢測(cè)——統(tǒng)計(jì)分析的具體做法：首先對(duì)系統(tǒng)對(duì)象創(chuàng)建一個(gè)統(tǒng)計(jì)描述，統(tǒng)計(jì)正常使用時(shí)的一些測(cè)量屬性，測(cè)量屬性的平均值和偏差被用來(lái)與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，觀察值在正常值范圍之外時(shí)，就認(rèn)為有入侵發(fā)生難題在于如何建立“活動(dòng)閥值”以及如何設(shè)計(jì)統(tǒng)計(jì)算法基于異常情況檢測(cè) ——示意圖事件度量入侵概率正常行為異常行為0102030405060708090評(píng)價(jià)指標(biāo)操作模型方差多元模型馬爾柯夫過(guò)程模型時(shí)間序列分析基于異常情況檢測(cè)——統(tǒng)計(jì)模型信號(hào)分析：完整性分析關(guān)注某個(gè)文件或?qū)ο笫欠癖桓陌ㄎ募湍夸浀膬?nèi)容及屬性對(duì)于發(fā)現(xiàn)被更改的、被安裝木馬的應(yīng)用程序方面特別有效利用加密機(jī)制三、IDS類型IDS分類基于主機(jī)的IDS基于網(wǎng)絡(luò)的IDS混合IDS1、基于主機(jī)的IDS（HIDS

）HIDS安裝在被重點(diǎn)檢測(cè)的主機(jī)之上HIDS對(duì)主機(jī)的網(wǎng)絡(luò)實(shí)時(shí)連接以及系統(tǒng)審計(jì)日志進(jìn)行智能分析和判斷發(fā)現(xiàn)主機(jī)出現(xiàn)可疑行為，HIDS采取措施HIDS示意圖InternetDesktopsWebServers遠(yuǎn)程連接顧客ServersNetwork分公司合作伙伴HackerHost-basedIDSHIDS的優(yōu)點(diǎn)對(duì)分析“可能的攻擊行為”非常有用得到的信息詳盡誤報(bào)率低必須安裝在要保護(hù)的設(shè)備上，出現(xiàn)安全風(fēng)險(xiǎn)依賴服務(wù)器固有的日志與監(jiān)視能力部署代價(jià)大，易出現(xiàn)盲點(diǎn)不能檢測(cè)網(wǎng)絡(luò)行為HIDS的弱點(diǎn)2、基于網(wǎng)絡(luò)的IDS（NIDS）NIDS放置在網(wǎng)段內(nèi)，監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)包發(fā)現(xiàn)問(wèn)題可以切斷網(wǎng)絡(luò)目前IDS大多數(shù)是NIDSNIDS示意圖InternetDesktopsWebServers遠(yuǎn)程連接顧客ServersNetwork分公司合作伙伴Network-basedIDSNetwork-basedIDSNetwork-basedIDS不需要改變服務(wù)器的配置不影響業(yè)務(wù)系統(tǒng)的性能部署風(fēng)險(xiǎn)小具有專門設(shè)備NIDS的優(yōu)點(diǎn)檢測(cè)范圍有限很難檢測(cè)復(fù)雜攻擊傳感器協(xié)同工作能力較弱處理加密的會(huì)話過(guò)程較困難NIDS的弱點(diǎn)3、混合入侵檢測(cè)HIDS和NIDS各有不足單一產(chǎn)品防范不全面結(jié)合HIDS和NIDS四、入侵檢測(cè)系統(tǒng)的部署1、基于網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的部署入侵檢測(cè)的部署點(diǎn)可以劃分4個(gè)位置：①DMZ區(qū)②外網(wǎng)入口③內(nèi)網(wǎng)主干④關(guān)鍵子網(wǎng)。2、基于主機(jī)入侵檢測(cè)系統(tǒng)的部署在基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)部署并配置完成后，基于主機(jī)的入侵檢測(cè)系統(tǒng)的部署可以給系統(tǒng)提高高級(jí)別的保護(hù)?；谥鳈C(jī)的入侵檢測(cè)系統(tǒng)主要安裝在關(guān)鍵主機(jī)上，這樣可以減少規(guī)劃部署的花費(fèi)，使管理的精力集中在最重要最需要保護(hù)的主機(jī)上。3、入侵檢測(cè)系統(tǒng)與防火墻的結(jié)合入侵檢測(cè)引擎放在防火墻之外 入侵檢測(cè)系統(tǒng)能接收到防火墻外網(wǎng)口的所有信息，管理員可以清楚地看到所有來(lái)自internet的攻擊，當(dāng)與防火墻聯(lián)動(dòng)時(shí)，防火墻可以動(dòng)態(tài)阻斷發(fā)生攻擊的連接。入侵檢測(cè)引擎放在防火墻之內(nèi) 只有穿透了防火墻的攻擊才能被入侵檢測(cè)系統(tǒng)監(jiān)聽到，管理員可以清楚地看到哪些攻擊真正對(duì)自己的網(wǎng)絡(luò)構(gòu)成了威脅。如果入侵檢測(cè)系統(tǒng)檢測(cè)到了本應(yīng)該被防火墻過(guò)濾掉的攻擊，就可以判斷防火墻的配置存在失誤。防火墻內(nèi)外都裝有入侵檢測(cè)引擎 可以檢測(cè)來(lái)自內(nèi)部和外部的所有攻擊，管理員可以清楚地看出是否有攻擊穿透防火墻，對(duì)自己網(wǎng)絡(luò)所面對(duì)的安全威脅了如指掌。將入侵檢測(cè)引擎安裝在其它關(guān)鍵位置 安裝在需要重點(diǎn)保護(hù)的部位，如企業(yè)內(nèi)部重要服務(wù)器所在的子網(wǎng)，對(duì)該子網(wǎng)中的所有連接進(jìn)行監(jiān)控；6.5IP協(xié)議安全（IPSec

）IPSec（IPSecurity）是一種由IETF設(shè)計(jì)的端到端的確保IP層通信安全的機(jī)制。IPSec不是一個(gè)單獨(dú)的協(xié)議，而是一組協(xié)議，IPSec協(xié)議的定義文件包括了12個(gè)RFC文件和幾十個(gè)Internet草案，已經(jīng)成為工業(yè)標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全協(xié)議。IPSec在IPv6中是必須支持的，而在IPv4中是可選的。IP通信可能會(huì)遭受如下攻擊：竊聽、篡改、IP欺騙、重放……IPSec協(xié)議可以為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)，保護(hù)TCP/IP通信免遭竊聽和篡改，保證數(shù)據(jù)的完整性和機(jī)密性，有效抵御網(wǎng)絡(luò)攻擊，同時(shí)保持易用性。IPSec提供的服務(wù)

1．訪問(wèn)控制

2．?dāng)?shù)據(jù)源認(rèn)證

3．無(wú)連接完整性

4．抗重播

5．機(jī)密性

6.有限的通信量機(jī)密性（P92）兩個(gè)通信協(xié)議：AH,ESP兩種操作模式：傳輸模式(端到端)，隧道模式（點(diǎn)到點(diǎn)）安全關(guān)聯(lián)（SA）一個(gè)密鑰交換管理協(xié)議：IKE認(rèn)證算法和加密算法兩個(gè)數(shù)據(jù)庫(kù)：安全策略數(shù)據(jù)庫(kù)SPD，安全關(guān)聯(lián)數(shù)據(jù)庫(kù)SADIPSec的體系結(jié)構(gòu)AH（認(rèn)證頭協(xié)議）AH為IP數(shù)據(jù)包提供如下3種服務(wù)：數(shù)據(jù)完整性驗(yàn)證通過(guò)哈希函數(shù)（如MD5）產(chǎn)生的校驗(yàn)來(lái)保證數(shù)據(jù)源身份認(rèn)證通過(guò)在計(jì)算驗(yàn)證碼時(shí)加入一個(gè)共享密鑰來(lái)實(shí)現(xiàn)防重放攻擊AH報(bào)頭中的序列號(hào)可以防止重放攻擊。ESP（分組加密協(xié)議）ESP除了為IP數(shù)據(jù)包提供AH已有的3種服務(wù)外，還提供另外兩種服務(wù)：數(shù)據(jù)包加密對(duì)一個(gè)IP包進(jìn)行加密，可以是對(duì)整個(gè)IP包，也可以只加密IP包的載荷部分，一般用于客戶端計(jì)算機(jī)數(shù)據(jù)流加密。一般用于支持IPSec的路由器，源端路由器并不關(guān)心IP包的內(nèi)容，對(duì)整個(gè)IP包進(jìn)行加密后傳輸，目的端路由器將該包解密后將原始包繼續(xù)轉(zhuǎn)發(fā)。加密是ESP的基本功能，而數(shù)據(jù)源身份認(rèn)證、數(shù)據(jù)完整性驗(yàn)證以及防重放攻擊都是可選的。IKEIKE協(xié)議負(fù)責(zé)密鑰管理，定義了通信實(shí)體間進(jìn)行身份認(rèn)證、協(xié)商加密算法以及生成共享的會(huì)話密鑰的方法。IKE將密鑰協(xié)商的結(jié)果保留在安全聯(lián)盟（SA）中，供AH和ESP以后通信時(shí)使用。解釋域DOI定義IKE所沒(méi)有定義的協(xié)商的內(nèi)容；DOI為使用IKE進(jìn)行協(xié)商SA的協(xié)議統(tǒng)一分配標(biāo)識(shí)符。共享一個(gè)DOI的協(xié)議從一個(gè)共同的命名空間中選擇安全協(xié)議和變換、共享密碼以及交換協(xié)議的標(biāo)識(shí)符等，DOI將IPSec的這些RFC文檔聯(lián)系到一起。DOI安全聯(lián)盟＆安全聯(lián)盟數(shù)據(jù)庫(kù)SA（SecurityAssociation，安全聯(lián)盟）是兩個(gè)IPSec實(shí)體（主機(jī)、安全網(wǎng)關(guān)）之間經(jīng)過(guò)協(xié)商建立起來(lái)的一種協(xié)定，內(nèi)容包括采用何種IPSec協(xié)議（AH還是ESP）、運(yùn)行模式（傳輸模式還是隧道模式）、驗(yàn)證算法、加密算法、加密密鑰、密鑰生存期、抗重放窗口、計(jì)數(shù)器等，從而決定了保護(hù)什么、如何保護(hù)以及誰(shuí)來(lái)保護(hù)?？梢哉f(shuō)SA是構(gòu)成IPSec的基礎(chǔ)。AH和ESP兩個(gè)協(xié)議都使用SA來(lái)保護(hù)通信，而IKE的主要功能就是在通信雙方協(xié)商SA。SA的表示方法每個(gè)SA由三元組（SPI，IP目的地址，IPSec協(xié)議）來(lái)惟一標(biāo)識(shí)SPI（SecurityParameterIndex，安全參數(shù)索引）是32位的安全參數(shù)索引，用于標(biāo)識(shí)具有相同IP地址和相同安全協(xié)議的不同的SA，它通常被放在AH或ESP頭中。IP目的地址：IP目的地址，它是SA的終端地址。IPSec協(xié)議：采用AH或ESP。IPSec運(yùn)行模式傳輸模式（TransportMode）和隧道模式（TunnelMode）。AH和ESP都支持這兩種模式，因此有四種組合：傳輸模式的AH隧道模式的AH傳輸模式的ESP隧道模式的ESPIPSec的傳輸模式傳輸模式要保護(hù)的是IP包的載荷，通常情況下，只用于兩臺(tái)主機(jī)之間的安全通信。正常網(wǎng)絡(luò)層次處理：傳輸層數(shù)據(jù)報(bào)IP頭AH啟用IPSec傳輸模式之后：傳輸層數(shù)據(jù)報(bào)IP頭應(yīng)用AHESP傳輸層數(shù)據(jù)報(bào)IP頭應(yīng)用ESPESP傳輸層數(shù)據(jù)報(bào)IP頭應(yīng)用AH和ESPAH在傳輸過(guò)程中，AH和ESP只處理IP的有效載荷，不處理、修改原始的IP報(bào)頭。優(yōu)點(diǎn)：數(shù)據(jù)負(fù)擔(dān)輕，變化小。IPSec的隧道模式隧道模式保護(hù)的是整個(gè)IP包。通常情況下，只要IPSec雙方有一方是安全網(wǎng)關(guān)或路由器，就必須使用隧道模式。ESP原始IP包IP頭應(yīng)用ESP內(nèi)部IP頭：由主機(jī)創(chuàng)建外部IP頭：由提供安全服務(wù)器的設(shè)備添加數(shù)據(jù)IP包頭加密后的數(shù)據(jù)IP包頭ESP頭部ESP頭新IP包頭傳輸模式隧道模式ESP尾部ESP驗(yàn)證ESP尾部ESP驗(yàn)證數(shù)據(jù)原IP包頭加密部分IPSec的特點(diǎn)：IPSec可為運(yùn)行于IP頂部的任何一種協(xié)議提供保護(hù)，是目前最易于擴(kuò)展、最完整的一種網(wǎng)絡(luò)安全解決方案。加密的IP包和普通的IP包一樣通過(guò)IP網(wǎng)傳送，不要求對(duì)中間設(shè)備進(jìn)行任何的改變，知道加密的只有終端用戶。IPSec在傳輸層之下，對(duì)于應(yīng)用程序來(lái)說(shuō)是透明的。IPSec安全協(xié)議提供IP層的安全服務(wù)，可在主機(jī)或網(wǎng)關(guān)上實(shí)現(xiàn)。通過(guò)使系統(tǒng)能選擇安全協(xié)議、加密算法和公共密鑰以及使用的方式，能夠在主機(jī)之間、主機(jī)與安全網(wǎng)關(guān)之間、安全網(wǎng)關(guān)之間提供一條或多條安全通道。6.6電子商務(wù)應(yīng)用安全協(xié)議6.6.1增強(qiáng)的私密電子郵件(PEM)6.6.2安全多用途網(wǎng)際郵件擴(kuò)充協(xié)議(S/MIME)6.6.3安全超文本傳輸協(xié)議(S-HTTP)6.6.4安全套接層協(xié)議(SSL)6.6.5安全電子交易協(xié)議(SET)6.6.1

增強(qiáng)的私密電子郵件(PEM)電子郵件內(nèi)容的安全問(wèn)題發(fā)送者身份認(rèn)證不可否認(rèn)郵件的完整性郵件的保密性電子郵件的威脅郵件炸彈郵件欺騙郵件服務(wù)器控制權(quán)電子郵件安全協(xié)議PEM（PrivacyEnhancedEmail，RFC1421through1424）S/MIMEPGP（PrettyGoodPrivacy）PEM協(xié)議是80年代末90年代初發(fā)展起來(lái)的，它的功能主要包括加密、源認(rèn)證和完整性。報(bào)文加密采用DES算法認(rèn)證采用MD-5密鑰的分發(fā)基于公鑰技術(shù)，用接收者的公鑰加密會(huì)話密鑰。基于對(duì)稱密碼時(shí)，采用事先共享的密鑰加密會(huì)話密鑰。6.6.2

安全多用途網(wǎng)際郵件擴(kuò)充協(xié)議S/MIMESecure/MultipurposeInternetMailExtension（安全/多用途Internet郵件擴(kuò)展，RFC2630、2632、2633）S/MIME將會(huì)成為商業(yè)和機(jī)構(gòu)使用的工業(yè)標(biāo)準(zhǔn).在功能上，S/MIME與PGP相似，通過(guò)使用簽名、加密或簽名/加密的組合來(lái)保證MIME通信的安全，但強(qiáng)化了證書的規(guī)范S/MIME的安全功能：封裝的數(shù)據(jù):加密的內(nèi)容和加密的會(huì)話密鑰簽名的數(shù)據(jù):報(bào)文摘要＋發(fā)送者的私鑰簽名，然后使用基64變換編碼內(nèi)容和簽名透明簽名:簽名但不加密.只對(duì)簽名進(jìn)行基64變換，這樣具有MIME支持而沒(méi)有S/MIME權(quán)能的接收者也能讀取簽名和封裝的數(shù)據(jù):各種不同嵌套順序?qū)?shù)據(jù)加密、簽名，如簽名加密的數(shù)據(jù)或加密簽名的數(shù)據(jù)S/MIME使用X.509證書，它的密鑰管理方案介于嚴(yán)格的X.509證書層次結(jié)構(gòu)和PGP信任網(wǎng)6.6.3安全超文本傳輸協(xié)議（S-HTTP）安全超文本傳輸協(xié)議（SecureHypertextTransferProtocol)最初由企業(yè)集成技術(shù)公司（EIT)提出，S-HTTP通過(guò)把加密增強(qiáng)功能集成到HTTP通信流中，在應(yīng)用層保障Web站點(diǎn)上的信息安全。，S-HTTP1.0于1994年6月發(fā)表，1999年8月升至1.4版本（RFC2660）。S-HTTP協(xié)議在協(xié)商和選擇密鑰管理機(jī)制、安全策略和加密算法方面，具有較強(qiáng)的靈活性。例如，S-HTTP不要求使用客戶端證書，但如果客戶端有證書也可以用來(lái)認(rèn)證，如果客戶端沒(méi)有證書，則要求使用其他的安全技術(shù)。S-HTTP能兼容HTTP，即支持S-HTTP的客戶（服務(wù)器）能與不支持S-HTTP協(xié)議的服務(wù)器（客戶）通信，當(dāng)然，這時(shí)的通信沒(méi)有安全特性。S-HTTP采用的認(rèn)證、加密算法單向哈希函數(shù)MD2，MD5，SHA-1加密算法DES-CBC，3DES-CBC，DESX-CBC，IDEA-CFB，RC2-CBC，RC4，CDMF-CBC數(shù)字簽名算法RSA，DSSS-HTTP的安全操作如果使用數(shù)字簽名，則消息后面要附加適當(dāng)?shù)淖C書，或者接收方能通過(guò)其他途徑獲取證書。如果使用消息認(rèn)證，那么，會(huì)用一個(gè)共享密鑰采用單向哈希函數(shù)對(duì)整個(gè)文檔計(jì)算MAC值。為了支持?jǐn)?shù)據(jù)加密，S-HTTP定義了兩種密鑰分發(fā)機(jī)制。第一是使用公鑰機(jī)制進(jìn)行帶內(nèi)密鑰交換，即用接收方的公鑰加密會(huì)話密鑰。第二是使用預(yù)先共享密鑰。6.6.4安全套接層協(xié)議

(SecureSocketsLayer，SSL)SSL(SecuresocketLayer)安全套接層協(xié)議是一種在客戶端和服務(wù)器端之間建立安全通道的協(xié)議，主要是使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護(hù)信息傳輸?shù)臋C(jī)密性和完整性，它不能保證信息的不可抵賴性，主要適用于點(diǎn)對(duì)點(diǎn)之間的信息傳輸，常用WebServer方式。

SSL的應(yīng)用實(shí)現(xiàn)SSL協(xié)議的是HTTP的安全版，名為HTTPS工商銀行SSL歷史SSL1.0SSL2.0NetscapeCommunications.1995.Apr第一個(gè)公布版本SSL3.0NetscapeCommunications1996.OctTLS1.0TLSWorkGroupinIETFRFC22461999.JanTLS1.1RFC43462000.AprIE7已經(jīng)全面支持TLS安全套接層協(xié)議（SSL，SecuritySocketLayer）是網(wǎng)景（Netscape）公司提出的基于WEB應(yīng)用的安全協(xié)議，它包括：服務(wù)器認(rèn)證客戶認(rèn)證（可選）SSL鏈路上的數(shù)據(jù)完整性和SSL鏈路上的數(shù)據(jù)保密性。

SSL以對(duì)稱密碼技術(shù)和公開密碼技術(shù)相結(jié)合，可以實(shí)現(xiàn)如下三個(gè)通信目標(biāo)：(1)秘密性:SSL客戶機(jī)和服務(wù)器之間傳送的數(shù)據(jù)都經(jīng)過(guò)了加密處理。(2)完整性:SSL利用密碼算法和散列(HASH)函數(shù),通過(guò)對(duì)傳輸信息特征值的提取來(lái)保證信息的完整性。(3)認(rèn)證性:利用證書技術(shù)和可信的第三方認(rèn)證,可以讓客戶機(jī)和服務(wù)器相互識(shí)別對(duì)方的身份。為了驗(yàn)證證書持有者是其合法用戶(而不是冒名用戶),SSL要求證書持有者在握手時(shí)相互交換數(shù)字證書,通過(guò)驗(yàn)證來(lái)保證對(duì)方身份的合法性。但由于SSL不對(duì)應(yīng)用層的消息進(jìn)行數(shù)字簽名，因此不能提供交易的不可否認(rèn)性，這是SSL在電子商務(wù)中使用的最大不足。需要在應(yīng)用層來(lái)實(shí)現(xiàn)有鑒于此，網(wǎng)景公司在從Communicator4.04版開始的所有瀏覽器中引入了一種被稱作"表單簽名（FormSigning）"的功能，在電子商務(wù)中，可利用這一功能來(lái)對(duì)包含購(gòu)買者的訂購(gòu)信息和付款指令的表單進(jìn)行數(shù)字簽名，從而保證交易信息的不可否認(rèn)性。綜上所述，在電子商務(wù)中采用單一的SSL協(xié)議來(lái)保證交易的安全是不夠的，但采用"SSL+表單簽名"模式能夠?yàn)殡娮由虅?wù)提供較好的安全性保證。SSL協(xié)議的位置7層模型的第4層(傳輸層）實(shí)際上在四層的上部:TCP不需要更改操作系統(tǒng)TCP提供了可靠的消息傳輸SSL協(xié)議的體系結(jié)構(gòu)SSL協(xié)議在應(yīng)用層通信之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器認(rèn)證工作,在此之后,應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都被加密。SSL本身是一個(gè)2層協(xié)議

SSL安全協(xié)議實(shí)際是SSL握手協(xié)議、SSL修改密文協(xié)議、SSL警告協(xié)議和SSL記錄協(xié)議組成的一個(gè)協(xié)議族。

握手

協(xié)議修改秘文協(xié)議報(bào)警

協(xié)議SSL記錄協(xié)議TCPSSL記錄協(xié)議提供兩種服務(wù):一是機(jī)密性,二是消息完整性。SSL記錄協(xié)議接收傳輸?shù)膽?yīng)用報(bào)文,將數(shù)據(jù)分片成可管理的塊,進(jìn)行數(shù)據(jù)壓縮(可選),應(yīng)用MAC,接著利用IDEA、DES、3DES或其他加密算法進(jìn)行數(shù)據(jù)加密,最后增加由內(nèi)容類型、主要版本、次要版本和壓縮長(zhǎng)度組成的首部。被接收的數(shù)據(jù)剛好與接收數(shù)據(jù)工作過(guò)程相反,依次被解密、驗(yàn)證、解壓縮和重新裝配,然后交給更高級(jí)用戶。

SSL紀(jì)錄協(xié)議操作過(guò)程ApplicationDataFragmentCompressAddMACEncryptAddTLSRecordHeaderHanded-offtoTCPasSegmentPayloadHanded-offtoTCPasSegmentPayloadHanded-offtoTCPasSegmentPayload從原始數(shù)據(jù)段到生成SSL明文分段、SSL壓縮、SSL密文（加密步驟）記錄的過(guò)程SSL修改密文協(xié)議

使用SSL記錄協(xié)議服務(wù)的SSL高層協(xié)議的3個(gè)特定協(xié)議之一,也是其中最簡(jiǎn)單的一個(gè)。協(xié)議由單個(gè)消息組成,該消息只包含一個(gè)值為1的單個(gè)字節(jié)。該消息的唯一作用就是使未決狀態(tài)拷貝為當(dāng)前狀態(tài),更新用于當(dāng)前連接的密碼組。為了保障SSL傳輸過(guò)程的安全性,雙方應(yīng)該每隔一段時(shí)間改變加密規(guī)范。

SSL告警協(xié)議

為對(duì)等實(shí)體傳遞SSL的相關(guān)警告。如果在通信過(guò)程中某一方發(fā)現(xiàn)任何異常,就需要給對(duì)方發(fā)送一條警示消息通告。警示消息有兩種:一種是Fatal錯(cuò)誤,如傳遞數(shù)據(jù)過(guò)程中,發(fā)現(xiàn)錯(cuò)誤的MAC,雙方就需要立即中斷會(huì)話,同時(shí)消除自己緩沖區(qū)相應(yīng)的會(huì)話記錄;第二種是Warning消息,這種情況,通信雙方通常都只是記錄日志,而對(duì)通信過(guò)程不造成任何影響。

SSL握手協(xié)議

SSL握手協(xié)議允許通信實(shí)體在交換應(yīng)用數(shù)據(jù)之前協(xié)商密鑰的算法、加密密鑰和對(duì)客戶端進(jìn)行認(rèn)證（可選）的協(xié)議，為下一步記錄協(xié)議要使用的密鑰信息進(jìn)行協(xié)商，使客戶端和服務(wù)器建立并保持安全通信的狀態(tài)信息。SSL握手協(xié)議是在任何應(yīng)用程序數(shù)據(jù)傳輸之前使用的。SSL握手協(xié)議的兩個(gè)階段：第一個(gè)階段用于建立私密性通信信道（服務(wù)器認(rèn)證）（1）客戶端向服務(wù)器發(fā)送一個(gè)“HELLO”信息，以便開始一個(gè)新的會(huì)話連接；（2）服務(wù)器出示證書；（3）客戶根據(jù)收到的服務(wù)器響應(yīng)信息，通過(guò)瀏覽器中的SSL軟件發(fā)給服務(wù)器一個(gè)隨機(jī)產(chǎn)生的傳輸密鑰（主密鑰），此密鑰由已驗(yàn)證過(guò)的服務(wù)器公鑰加密。由于傳輸密鑰只能由對(duì)應(yīng)的私有密鑰來(lái)解密，這證實(shí)了該服務(wù)器屬于認(rèn)證過(guò)的公司；（4）服務(wù)器恢復(fù)該主密鑰，并返回給客戶一個(gè)主密鑰認(rèn)證的信息，以此讓客戶認(rèn)證服務(wù)器。這樣通過(guò)主密鑰引出的密鑰對(duì)一系列數(shù)據(jù)進(jìn)行加密來(lái)認(rèn)證服務(wù)器，從而建立起安全的通道。第二個(gè)階段用戶認(rèn)證階段（可選）：在此之前，服務(wù)器已經(jīng)過(guò)了客戶認(rèn)證。經(jīng)認(rèn)證的服務(wù)器發(fā)送認(rèn)證請(qǐng)求信息給客戶，客戶則發(fā)送自己的數(shù)字證書并監(jiān)視對(duì)方的認(rèn)證結(jié)果，當(dāng)服務(wù)器收到客戶證書后，給用戶回送認(rèn)證成功信息，否則返回錯(cuò)誤信息。到此為止，握手協(xié)議全部結(jié)束。SSL握手協(xié)議第一階段：建立秘密通信信道第二階段：客戶認(rèn)證

SSL握手協(xié)議的第一階段SSL握手協(xié)議的第二階段

第二階段的主要任務(wù)是對(duì)客戶進(jìn)行認(rèn)證，此時(shí)服務(wù)器已經(jīng)被認(rèn)證。服務(wù)器方向客戶方發(fā)出認(rèn)證請(qǐng)求消息request-certificate。當(dāng)客戶方收到服務(wù)器方的認(rèn)證請(qǐng)求消息時(shí)，發(fā)出自己的證書，并且監(jiān)聽對(duì)方回送的認(rèn)證結(jié)果。當(dāng)服務(wù)器方收到客戶方的認(rèn)證時(shí)，認(rèn)證成功返回server-finish消息，否則返回錯(cuò)誤消息。

到此為止，握手協(xié)議全部結(jié)束。

SSL握手協(xié)議的認(rèn)證算法采用數(shù)字證書標(biāo)準(zhǔn)、數(shù)字簽名采用RSA算法實(shí)現(xiàn)。

SSL的工作流程SSL的運(yùn)行實(shí)際上是建立雙方的安全連接，步驟有六步：（1）用戶端與主機(jī)端連接階段：用戶端向服務(wù)器端發(fā)出信息，服務(wù)器端響應(yīng)；（2）密鑰交換階段：用戶端與服務(wù)器端交換雙方認(rèn)可的密鑰處理算法，一般使用RSA算法。（3）會(huì)談密鑰階段，用戶端與服務(wù)器端之間產(chǎn)生彼此交談的會(huì)談密碼；（4）檢驗(yàn)密鑰階段，用戶端檢驗(yàn)從主機(jī)端取得的密鑰；（5）用戶端認(rèn)證階段：主機(jī)驗(yàn)證用戶端的可信度；（6）結(jié)束階段：用戶端與主機(jī)端相互交換結(jié)束的信息。連接完成后，雙方的資料將被加密傳輸。6.6.6安全電子交易協(xié)議

——SecureElectronicTransaction，SET一、簡(jiǎn)介SET是一種應(yīng)用于因特網(wǎng)環(huán)境下，以信用卡為基礎(chǔ)的安全電子支付協(xié)議。通過(guò)SET可以實(shí)現(xiàn)電子商務(wù)交易中的加密、認(rèn)證、密鑰管理等機(jī)制，保證在開放網(wǎng)絡(luò)上使用信用卡進(jìn)行在線購(gòu)物的安全。在20世紀(jì)90年代中期，由信用卡國(guó)際組織、IT企業(yè)及網(wǎng)絡(luò)安全專業(yè)團(tuán)體（如VisaInternational,MasterCardInternational，IBM，Microsoft，Netscape等）開始組成策略聯(lián)盟，共同合作制定安全電子商務(wù)交易協(xié)議，并于1997年5月公布了SET1.0版本。（4）協(xié)議涵蓋了信用卡在電子商務(wù)交易中的交易協(xié)議、信息保密性、信息完整性、身份認(rèn)證及數(shù)字簽名等。SET要實(shí)現(xiàn)的目標(biāo)（1）實(shí)現(xiàn)因特網(wǎng)環(huán)境安全電子交易（2）保證信息在互聯(lián)網(wǎng)上的安全傳輸（3）保證網(wǎng)上傳輸?shù)臄?shù)據(jù)不被黑客或內(nèi)部人員竊?。?）實(shí)現(xiàn)定單信息和個(gè)人賬號(hào)信息的分離（5）持卡人和商家的身份認(rèn)證，以確定通信雙方身份的真實(shí)性SET的參與方持卡人發(fā)卡銀行網(wǎng)絡(luò)商家收單銀行支付網(wǎng)關(guān)認(rèn)證中心二、SET協(xié)議的相關(guān)技術(shù)報(bào)文摘要數(shù)字簽名數(shù)字信封雙重簽名三、SET協(xié)議流程（一）準(zhǔn)備工作（1）持卡人向發(fā)卡銀行申請(qǐng)一張銀行卡（2）持卡人向發(fā)卡銀行進(jìn)行數(shù)字證書申請(qǐng)，同時(shí)將數(shù)字證書關(guān)聯(lián)到持卡人的銀行卡（3）在自己的個(gè)人電腦上安裝一套符合SET協(xié)議標(biāo)準(zhǔn)的電子錢包軟件（二）消費(fèi)者購(gòu)物付款交易的流程持卡人網(wǎng)絡(luò)商家支付網(wǎng)關(guān)銀行初始請(qǐng)求初始應(yīng)答購(gòu)物應(yīng)答購(gòu)物請(qǐng)求支付授權(quán)請(qǐng)求支付授權(quán)應(yīng)答支付授權(quán)請(qǐng)求支付授權(quán)應(yīng)答認(rèn)證中心圖持卡人通過(guò)SET協(xié)議進(jìn)行購(gòu)物付款交易的流程圖1初始請(qǐng)求（1）持卡人在自己的個(gè)人電腦上通過(guò)瀏覽器在網(wǎng)絡(luò)商家的網(wǎng)站上瀏覽所展示商品。（2）填寫相應(yīng)的定貨單（3）選擇SET作為其付款協(xié)議，然后點(diǎn)擊付款按鈕（4）激發(fā)支付軟件，向商家發(fā)送初始請(qǐng)求2初始應(yīng)答（1）商家接收到用戶的支付初始請(qǐng)求后，商家產(chǎn)生初始應(yīng)答信息（2）用單向哈系函數(shù)對(duì)初始應(yīng)答信息生成報(bào)文摘要（3）用商家的私鑰對(duì)初始應(yīng)答報(bào)文摘要進(jìn)行數(shù)字簽名（4）將商家證書、支付網(wǎng)關(guān)證書、初始應(yīng)答，初始應(yīng)答報(bào)文摘要的數(shù)字簽名等，發(fā)送給持卡人3購(gòu)物請(qǐng)求（1）持卡人接受初始應(yīng)答，驗(yàn)證商家和支付網(wǎng)關(guān)的證書，以確認(rèn)他們是有效的（2）用商家公鑰解開初始應(yīng)答報(bào)文摘要的數(shù)字簽名，得到初始應(yīng)答報(bào)文摘要。用單向哈希函數(shù)對(duì)初始應(yīng)答產(chǎn)生初始應(yīng)答的報(bào)文摘要，將這兩個(gè)報(bào)文摘要進(jìn)行比較，如果相同則表示數(shù)據(jù)在途中未被篡改，否則丟棄（3）檢查商家傳送過(guò)來(lái)的購(gòu)買項(xiàng)目和價(jià)錢正確無(wú)誤，并確認(rèn)商家的基本資料也沒(méi)有問(wèn)題，向商家提出購(gòu)物請(qǐng)求，它包含了真正的交易行為4網(wǎng)絡(luò)商家發(fā)出支付授權(quán)請(qǐng)求（1）商家接受持卡人的購(gòu)物請(qǐng)求，驗(yàn)證持卡人的數(shù)字證書。若未通過(guò)認(rèn)證，則終止，若通過(guò)認(rèn)證，則往下進(jìn)行。（2）用商家的私鑰解密訂單信息OI，并進(jìn)行雙重簽名比較，檢查數(shù)據(jù)在傳輸過(guò)程中是否被篡改。（3）產(chǎn)生支付授權(quán)請(qǐng)求，將支付授權(quán)請(qǐng)求用哈希算法生成報(bào)文摘要，并簽名，并用一隨機(jī)的對(duì)稱密鑰對(duì)支付授權(quán)加密形成密文，再形成數(shù)字信封。（4）將商家證書、支付請(qǐng)求密文、商家數(shù)字簽名、數(shù)字信封及持卡人通過(guò)商家轉(zhuǎn)發(fā)的雙重簽名Sign[H(OP)]、OI摘要、PI密文、持卡人數(shù)字信封、持卡人證書等發(fā)往支付網(wǎng)關(guān)。5支付網(wǎng)關(guān)發(fā)出支付授權(quán)請(qǐng)求（1）商家通過(guò)因特網(wǎng)發(fā)出的支付授權(quán)請(qǐng)求和持卡人通過(guò)商家轉(zhuǎn)發(fā)的付款指示PI密文等，在收單行的支付網(wǎng)關(guān)收到后，支付網(wǎng)關(guān)驗(yàn)證商家證書，驗(yàn)證商家簽名，驗(yàn)證商家是否在黑名單內(nèi)。（2）用私鑰打開商家信封，獲取商家對(duì)稱密鑰，解開支付授權(quán)請(qǐng)求密文。（3）支付網(wǎng)關(guān)驗(yàn)證持卡人的證書，然后用私鑰打開持卡人數(shù)字信封，得到持卡人的賬號(hào)和對(duì)稱密鑰。（4）驗(yàn)證來(lái)自商家的交易標(biāo)識(shí)和來(lái)自持卡人的付款指示PI的交易標(biāo)識(shí)是否相匹配。（5）通過(guò)銀行專用網(wǎng)，向持卡人所屬的發(fā)卡銀行發(fā)送支付授權(quán)請(qǐng)求。6發(fā)卡銀行的支付授權(quán)應(yīng)答（1）發(fā)卡銀行在收到支付網(wǎng)關(guān)的支付授權(quán)請(qǐng)求后，檢查持卡人的信用卡是否有效。若有效，則發(fā)卡銀行響應(yīng)支付授權(quán)請(qǐng)求，批準(zhǔn)交易。（2）向支付網(wǎng)關(guān)發(fā)送支付授權(quán)應(yīng)答。7支付網(wǎng)關(guān)向商家發(fā)送支付授權(quán)應(yīng)答支付網(wǎng)關(guān)產(chǎn)生支付授權(quán)應(yīng)答信息，它包括發(fā)卡銀行的響應(yīng)信息和支付網(wǎng)關(guān)的簽名證書等，并將其生成數(shù)字信封，作為支付授權(quán)應(yīng)答信息發(fā)給商家。8向持卡人發(fā)送購(gòu)物應(yīng)答（1）商家驗(yàn)證支付網(wǎng)關(guān)證書，解密支付授權(quán)應(yīng)答，驗(yàn)證支付網(wǎng)關(guān)的數(shù)字簽名，用私鑰打開數(shù)字信封，得到網(wǎng)關(guān)對(duì)稱密鑰，用此密鑰解開支付授權(quán)應(yīng)答，產(chǎn)生支付授權(quán)應(yīng)答報(bào)文摘要。（2）用網(wǎng)關(guān)公鑰解開其數(shù)字簽名，得到原始支付授權(quán)應(yīng)答報(bào)文摘要，并與新產(chǎn)生的摘要比較。（3）商家產(chǎn)生購(gòu)物應(yīng)答，對(duì)購(gòu)物應(yīng)答生成報(bào)文摘要，并簽名。（4）將商家證書，購(gòu)物應(yīng)答，數(shù)字簽名一起發(fā)往持卡人。9持卡人接收并處理購(gòu)物應(yīng)答（1）持卡人收到購(gòu)物應(yīng)答后，驗(yàn)證商家證書。（2）驗(yàn)證通過(guò)后，對(duì)購(gòu)物應(yīng)答產(chǎn)生