網絡支付與結算經濟管理學院電子商務王松副教授網絡支付的安全和相關的安全技術本章重點 網絡支付所面臨的安全問題 針對性的安全策略 具體的相關方法：

加密/解密技術數據完整性技術防火墻技術

CA認證1.經常上網嗎？2.上網干什么？3.網絡安全嗎？1、網上犯罪

計算機犯罪以100%的速度增加網上攻擊事件每年以10倍速度增漲銀行的電子購物賬戶密碼曝光事件增多

網上勒索、詐騙不斷：

用戶信用卡被曝光美國網絡安全造成損失$170億/年美國金融界計算機犯罪損失$100億/年網上安全存在威脅的原因2、網絡病毒

每年以幾何級數增長網絡病毒有更大的破壞性

1988年莫里斯事件（UNIX/Email）6000臺、$9000萬

1998年4月的CIH病毒2000萬臺計算機

1999年2月的梅利莎案件（Window/Email）

$12億

2000年5月4日的ILoveYou病毒$87億

2001年7、8月紅色代碼（RedCode）$26億網上安全存在威脅的原因“熊貓燒香”案3、網絡安全產品的自控權缺失

安全產品中通道、嵌入病毒、缺陷、可恢復密鑰大量外購安全產品缺少自控權我國缺少配套的安全產品控制政策和機制我國安全產業還比較稚嫩網上安全存在威脅的原因4、對安全認識的模糊性安全是相對的，不易明確安全的目標安全是復雜的，不易認清存在的問題安全是廣泛的，不易普及安全的知識“木桶理論”在安全鏈條上體現明顯網上安全存在威脅的原因5、網絡的開放性互聯機制提供了廣泛的可訪問性開放的網絡協議和操作系統為入侵提供了線索用戶的匿名性為攻擊提供了機會高水平的網絡安全資料與工具在Internet中可自由獲得，但卻常被用做他用。網上安全存在威脅的原因6、人類的天性好奇心：這扇門為什么鎖上，我能打開嗎？惰性和依賴心理：安全問題應由專家來關心網上安全存在威脅的原因網絡安全威脅的幾種類型撥號進入冒名頂替竊聽線纜連接代碼炸彈病毒更新或下載木馬編程算法考慮不周隨意口令口令破解口令圈套身份鑒別間諜行為廢物搜尋身份識別錯誤偷竊物理威脅不安全服務配置初始化乘虛而入系統漏洞網絡安全威脅一、網絡安全的內容物理安全網絡安全傳輸安全應用安全用戶安全二、電子商務安全電子商務安全包含：電子商務交易安全真實性機密性完整性不可否認性電子商務網絡安全物理安全操作系統網絡管理制度電子商務的安全隱患信息被竊聽信息被篡改信息被偽造交易抵賴網絡癱瘓越權操作1、網絡支付的流程2、網絡支付的參與方3、網絡支付的安全隱患和需求4、安全策略三、網絡支付安全問題選擇支持網絡支付的網站選擇需要的商品，將其放入購物車。核實購物車的信息，選擇結算用戶身份以及商品數量和金額信息的確認（注：商家據此發貨）選擇網絡支付方式生成訂單，確認轉賬提示與銀行的服務器建立安全連接，SSL協議開始介入。提示銀行服務器的數字證書認證機構認證信息和交易插件提示安全連接建立完畢。1、網絡支付的流程2、網絡支付的參與方3、網絡支付的安全隱患和需求4、安全策略三、網絡支付安全問題商家服務器商家開戶銀行用戶持卡銀行客戶端

CA認證中心網上購物參與方框架①③④②⑤Internet金融專用網支付網關三、網絡支付安全問題2、網絡支付體系的參與方客戶：網絡支付的起點。商家：一般是擁有債權的一方。客戶開戶行：客戶擁有資金帳戶的銀行商家開戶行支付網關：Internet與金融專用網的安全接口。保證金融網絡的安全性。金融專用網：銀行內部和銀行間通信的專用網絡。CA認證中心：網絡商務的準入者和各方身份認證者。1、網絡支付的流程2、網絡支付的參與方3、網絡支付的安全隱患和需求4、安全策略三、網絡支付安全問題3、網絡支付的安全隱患網絡支付系統被人為性延遲、中斷或癱瘓支付帳號和密碼被竊取支付金額被更改無法確認收款方的身份對支付行為和內容進行抵賴三、網絡支付安全問題相對應的安全需求網絡支付系統的安全可靠網絡上資金流數據的保密性相關網絡支付的完整性網上結算身份的真實性支付行為的不可抵賴性1、網絡支付的流程2、網絡支付的參與方3、網絡支付的安全隱患和需求4、安全策略三、網絡支付安全問題4、網絡支付的安全策略1）安全策略的涵義電子商務系統安全策略應該涵蓋：物理安全、網絡安全、訪問授權、病毒保護、災難恢復等。網絡支付安全策略包含：認證機制、訪問控制機制、保密機制、數據完整性機制和審計機制等。三、網絡支付安全問題4、網絡支付的安全策略2）制定網絡支付安全策略的基本原則預防為主：把握主動權。完備的日志跟蹤機制權限細分的原則三、網絡支付安全問題4、網絡支付的安全策略3）網絡支付安全策略的主要內容定義需要保護的資源范圍定義保護的風險遵循有關電子商務安全的法律和法規三、網絡支付安全問題防護手段越嚴密，代價就越大，成本就越大。《電子商務發展規范草案》《金融IC卡應用的安全機制》《電子簽名法》《電子支付指引》4、網絡支付的安全策略4）構建網絡網絡安全防護體系（PDRR）三、網絡支付安全問題（1）保護(PROTECT)

傳統安全概念的繼承，包括信息加密技術、訪問控制技術等等。（2）檢測(DETECT)

從監視、分析、審計信息網絡活動的角度，發現對于信息網絡的攻擊、破壞活動，提供預警、實時響應、事后分析和系統恢復等方面的支持，使安全防護從單純的被動防護演進到積極的主動防御。（3）響應(RESPONSE)

在遭遇攻擊和緊急事件時及時采取措施，包括調整系統的安全措施、跟蹤攻擊源和保護性關閉服務和主機等。（4）恢復(RECOVER)

評估系統受到的危害與損失，恢復系統功能和數據，啟動備份系統等。網絡安全保障體系安全管理與審計物理層安全網絡層安全傳輸層安全應用層安全鏈路層物理層網絡層傳輸層應用層表示層會話層審計與監控身份認證數據加密數字簽名完整性鑒別端到端加密訪問控制點到點鏈路加密物理信道安全訪問控制數據機密性數據完整性用戶認證防抵賴安全審計網絡安全層次層次模型網絡安全技術實現安全目標用戶安全四、網絡支付的解決方法主要解決方法內容的保密性：數字機密性技術（加密算法）內容的完整性：數字指紋算法、數字摘要交易方的真實性：CA認證、數字簽名、數字證書交易的不可抵賴性：數字時間戳、數字證書平臺的安全性：防火墻、殺毒軟件平臺安全性介紹

--防火墻技術ServerClient

防火墻（Firewall）注解：防火墻類似一堵城墻，將服務器與客戶主機進行物理隔離，并在此基礎上實現服務器與客戶主機之間的授權互訪、互通等功能。一、防火墻概念

防火墻是指設置在不同網絡或網絡安全域（公共網和企業內部網）之間的一系列部件的組合。它是不同網絡（安全域）之間的唯一出入口，能根據企業的安全政策控制（允許、拒絕、監測）出入網絡的信息流，且本身具有很高的抗攻擊能力，它是提供信息安全服務，實現網絡和信息安全的基礎設施。二、防火墻特征保護脆弱和有缺陷的網絡服務集中化的安全管理加強對網絡系統的訪問控制加強隱私對網絡存取和訪問進行監控審計1、保護脆弱和有缺陷的網絡服務一個防火墻能極大地提高一個內部網絡的安全性，并通過過濾不安全的服務而降低風險。由于只有經過精心選擇的應用協議才能通過防火墻，所以網絡環境變得更安全。如防火墻可以禁止不安全的NFS協議進出受保護網絡，這樣外部的攻擊者就不可能利用這些脆弱的協議來攻擊內部網絡。防火墻同時可以保護網絡免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻應該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。二、防火墻特征2、集中化的安全管理通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經濟。例如在網絡訪問時，一次一密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火墻一身上。二、防火墻特征3、加強對網絡系統的訪問控制一個防火墻的主要功能是對整個網絡的訪問控制。比如防火墻可以屏蔽部分主機，使外部網絡無法訪問，同樣可以屏蔽部分主機的特定服務，使得外部網絡可以訪問該主機的其它服務，但無法訪問該主機的特定服務。防火墻不向外界提供網絡中任何不需要服務的訪問權，這實際上是安全政策的要求了。控制對特殊站點的訪問：如有些主機或服務能被外部網絡訪問，而有些則需被保護起來，防止不必要的訪問。二、防火墻特征4、加強隱私隱私是內部網絡非常關心的問題。一個內部網絡中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內部網絡的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內部細節如Finger，DNS等服務。Finger顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell類型等。Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶正在連線上網，這個系統是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關內部網絡中的DNS信息，這樣一臺主機的域名和IP地址就不會被外界所了解。二、防火墻特征5、對網絡存取和訪問進行監控審計如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網絡使用情況的統計數據。當發生可疑動作時，防火墻能進行適當的報警，并提供網絡是否受到監測和攻擊的詳細信息。另外，收集一個網絡的使用和誤用情況是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網絡使用統計對網絡需求分析和威脅分析等而言也是非常重要的。二、防火墻特征

防火墻應具有以下五大基本功能：過濾進、出網絡的數據；管理進、出網絡的訪問行為；封堵某些禁止的業務；記錄通過防火墻的信息內容和活動；對網絡攻擊的檢測和告警。三、防火墻功能如何實現的？？OSI協議層應用層表示層會話層傳輸層數據鏈路層物理層網絡層數據鏈路層應用層傳輸層網絡層物理鏈路層TCP/IP協議層應用層表示層會話層傳輸層網絡層數據鏈路層物理層FTP、TELNETRPCSMTP、HTTP、DNS

TCP、UDPIPEthernet、PDN、IEEE802.3、IEEE802.4、IEEE802.5及其它

ICMPARPRARPOSI參考模型Internet協議簇OSI參考模型與Internet協議簇

ARP（AddressResolutionProtocol，地址解析協議）是一個位于TCP/IP協議棧中的低層協議，負責將某個IP地址解析成對應的MAC地址。ICMP（InternetControlMessageProtocol）是TCP/IP協議集中的一個子協議，屬于網絡層協議，主要用于在主機與路由器之間傳遞控制信息，包括報告錯誤、交換受限控制和狀態信息等。當遇到IP數據無法訪問目標、IP路由器無法按當前的傳輸速率轉發數據包等情況時，會自動發送ICMP消息。我們可以通過Ping命令發送ICMP回應請求消息并記錄收到ICMP回應回復消息，通過這些消息來對網絡或主機的故障提供參考依據。NFS(網絡文件系統，NetworkFileSystem)是由美國SUN微系統公司開發的一個協議，它能使計算機系統通過網絡訪問其它計算機系統的目錄和文件，就好象這些文件被存儲在本地硬盤上一樣。

TCP與UDP端口一個TCP或UDP連接由下述要素唯一確定：源IP地址、目的地IP地址、源端口、目的地端口。TCP或UDP用協議端口標識通信進程，端口是一種抽象的軟件結構（包括一些數據結構和I/O緩沖區）。應用程序（即進程）通過系統調用與某些端口建立連接后，傳輸層傳給該端口的數據被相應進程所接收。接口又是進程訪問傳輸服務的入口點。每個端口擁有一個叫端口號的16位整數標識符，用于區分不同端口。TCP和UDP軟件分別可以提供65536個不同的端口。端口有兩部分，一部分是保留端口（端口號小于1024，對應于服務器進程），一部分是自由端口（以本地方式分配）。某些服務進程通常對應于特定的端口。如SMTP為25，XWINDOWS為6000。ftp:21,http:80,telnet:23;POP3:110客戶使用端口號及目的地IP地址初始化與一個特定主機或服務的連接。TCP與UDP端口操作實例：禁用某些服務

防火墻技術可根據防范的方式和側重點的不同而分為很多種類型，但總體來講可分為三大類：

分組過濾（Packetfiltering）：作用在網絡層和傳輸層，它根據分組包頭源地址，目的地址和端口號、協議類型等標志確定是否允許數據包通過。只有滿足過濾邏輯的數據包才被轉發到相應的目的地出口端，其余數據包則被從數據流中丟棄。四、防火墻技術內容應用代理（ApplicationProxy）：

也叫應用網關（ApplicationGateway）,它作用在應用層，其特點是完全“阻隔”了網絡通信流，通過對每種應用服務編制專門的代理程序，實現監視和控制應用層通信流的作用。實際中的應用網關通常由專用工作站實現。電路中繼(CircuitRelay)：也叫電路網關(CircuitGateway)或TCP代理（TCP－Proxy）,其工作原理與應用代理類似，不同之處是該代理程序是專門為傳輸層的TCP協議編制的。四、防火墻技術內容防火墻技術內容－分組過濾應用層表示層會話層傳輸層網絡層數據鏈路層物理層物理層數據鏈路層網絡層應用層表示層會話層傳輸層網絡層數據鏈路層物理層外部網絡主機內部網絡主機分組過濾型防火墻 一個分組過濾型防火墻通常能根據IP分組的以下各項過濾：源IP地址目標IP地址TCP/UDP源端口TCP/UDP目標端口協議類型防火墻技術內容－分組過濾優點：透明的防火墻系統高速的網絡性能易于配置支持網絡內部