修订第章网络交易安全管理优质PPT.ppt

修订第章网络交易安全管理优质PPT.ppt

《修订第章网络交易安全管理优质PPT.ppt》由会员分享，可在线阅读，更多相关《修订第章网络交易安全管理优质PPT.ppt（55页珍藏版）》请在冰豆网上搜索。

引申为“开辟”；

进一步的意思是“干了一件非常漂亮的工作”n20世纪麻省理工学院的俚语中，“黑客”有恶作剧“之意n最初的黑客仅为“炫耀技术”，拥有强烈的“挑战明星公司技术”的攻击欲望，也称“骇客”n从上世纪60年代诞生到80年代以来，黑客群体开始演变为“黑帽子”（以伤害性行为牟取利益）、“灰帽子”（时而做恶，时而行善事）、“白帽子”（一般仅对技术感兴趣）和“红帽子”（为政治服务）四种n窃客：

实施网络攻击，获取非法经济利益；

2005年以来，计算机病毒作者更是常常以获取经济利益为目标，网银大盗、证券大盗、游戏大盗、QQ大盗等都是如此，且已触犯了我国的刑法。

2006年5月“证券大盗”木马病毒作者一审被判无期徒刑1.口令攻击口令攻击n网上攻击最常用的方法，大多数网络攻击的第一步n首先通过进入网络系统的常用服务，或对网络通信进行监视，使用扫描工具获取目标主机的有用信息n然后反复试验和推测用户及其亲属的名字、生日、电话号码或其他易记的线索等，获取进入计算机网络系统的口令，以求侵入系统，从事袭击活动n借助各种软件工具，利用破解程序分析信息，进行口令破解，进而实施攻击二、网络攻击的常用手段二、网络攻击的常用手段2.服务攻击服务攻击n和目标主机建立大量的连接。

网络主机要为每次网络连接提供网络资源，从而导致主机瘫痪、重新启动、死机或黑（蓝）屏n向远程主机发送大量的数据包。

目标主机要为每次到来的数据分配缓冲区，当数据量足够大时会使目标主机的网络资源耗尽，导致死机或黑屏n利用即时消息功能，以极快的速度用无数的消息“轰炸”某个特定用户n利用网络软件在实现协议时的漏洞，向目标主机发送特定格式的数据包，从而导致主机瘫痪3.电子邮件轰炸电子邮件轰炸n用数百条消息填塞某人的E-mail信箱n用户受到“电子邮件炸弹”的攻击后，用户就会在很短的时间内收到大量的电子邮件，使用户系统的正常业务不能开展，系统功能丧失，严重时会使系统关机，甚至使整个网络瘫痪4.利用文件系统入侵利用文件系统入侵nFTP的实现依靠TCP在主机之间进行的数据传输n只要安装了FTP客户和服务程序，就可以在不同的主机之间进行数据交换n如果FTP服务器上的用户权限设置不当或保密程序不好，极易造成泄密事件5.计算机病毒计算机病毒n计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码n计算机病毒通过连接来扩散，通过网络或电子邮件传播n计算机病毒把自己附着在其他程序上，等这些程序运行时，病毒进入到系统中，进而大面积扩散6.IP欺骗欺骗n适用于TCP/IP环境的复杂技术攻击。

伪造他人源地址，让一台计算机扮演另一台计算机，借以达到蒙混过关的目的n简单的地址伪造是黑客将自己数据包的源地址改为其他主机的地址，发向目标主机，使其无法正确找到数据包来源n序列号预测的攻击方法是，黑客首先在网上检测目标主机与其他主机进行预测。

如果序列号是按照一定的规律产生的，那么黑客就可以通过伪造TCP序列号、修改数据包的源地址等方法，使数据包伪装成来自被信任或正在通信的计算机，而被目标主机接受术语术语定义定义授权合法授权合法性性机机密性密性真实真实性性完整性完整性防御性防御性不可不可抵赖抵赖性性有效有效性性保证系统、数据和服务能由合法的人员访问保持个人的、专用的和高度敏感数据的机密确认通信双方的合法身份保证所有存储和管理的信息不被篡改能够阻挡不希望的信息或黑客防止通信或交易双方对已进行业务的否认保证各方的业务符合可适用的法律和法规三、电子商务安全的基本要求三、电子商务安全的基本要求密码安全、计算机安全、网络安全和信息安全密码安全、计算机安全、网络安全和信息安全之之间间的的关关系系通信安全的通信安全的最核心部分最核心部分保证计算机化保证计算机化数据和程序文数据和程序文件不致被非授件不致被非授权人员、计算权人员、计算机或其程序访机或其程序访问、获取或修问、获取或修改改包括所有保护网络的措施保护信息财富保护信息财富，使之免遭偶，使之免遭偶发的或有意的发的或有意的非授权泄露、非授权泄露、修改、破坏或修改、破坏或处理能力的丧处理能力的丧失失减少安全隐患的主要策略l修补系统漏洞修补系统漏洞系统系统l病毒检查病毒检查系统系统l直接安全直接安全管理管理l空闲机器安全空闲机器安全管理管理l口令安全口令安全管理管理l加密加密系统系统l认证、授权认证、授权系统系统lInternet防火墙防火墙系统系统l捕捉闯入者捕捉闯入者系统系统政策、法律、守则、管理政策、法律、守则、管理Internet防火墙防火墙授权、认证授权、认证加密加密审计、监控审计、监控电子商务安全构架电子商务安全构架交易安全技术交易安全技术安全应用协议安全应用协议SET、SSL安全认证手段安全认证手段数字签名、数字签名、CACA体系体系基本加密算法基本加密算法对称和非对称密算法对称和非对称密算法安安全全管管理理体体系系网络安全技术网络安全技术病毒防范病毒防范身份识别技术身份识别技术防火墙技术防火墙技术分组过滤分组过滤代理服务等代理服务等法律、法规、政策法律、法规、政策第二节第二节数据加密技术数据加密技术n密码学基本概念n对称式密钥加密技术n非对称式（公开）密钥加密技术一、密码学基本概念一、密码学基本概念n通常情况下，人们将可懂的文本称为明文（Plaintext），将明文变换成的不可懂形式的文本称为密文（Ciphertext），把明文变换成密文的过程叫加密（Encipher），其逆过程即把密文变换成明文的过程叫解密（Decipher）n密钥（Keyword）是用于加解密的一些特殊信息，它是控制明文与密文之间变换的关键，它可以是数字、词汇或语句。

密钥分为加密密钥（EncryptionKey）和解密密钥（DecryptionKey）。

完成加密和解密的算法称为密码体制（ciphersystem）加密图示加密图示n加密加密：

加密是指对数据进行编码使其看起来毫无：

加密是指对数据进行编码使其看起来毫无意义，同时仍保持可恢复的形式意义，同时仍保持可恢复的形式n传统的密码体制所用的加密密钥和解密密钥相同，形成了对称式密钥加密技术n在一些新体制中，加密密钥和解密密钥不同，形成非对称式密码加密技术，即公开密钥加密技术二、对称式密钥加密技术二、对称式密钥加密技术n对称式密钥加密技术是指加密和解密均采用同一把秘密钥匙，而且通信双方必须都要获得这把钥匙并保持钥匙的秘密n当给对方发信息时，用自己的加密密钥进行加密，而在接收方收到数据后，用对方所给的密钥进行解密。

故它也称为秘密钥匙加密法对称密匙（保密密匙）加密对称密匙（保密密匙）加密明文消息明文消息密匙密匙AA加密加密加密消息加密消息明文消息明文消息密匙密匙AA解密解密对称式密钥加密技术的优缺点对称式密钥加密技术的优缺点n优点：

对称式密钥加密技术具有加密速度快、保密度n缺点：

密钥是保密通信安全的关键，发信方必须安全、妥善地把钥匙护送到收信方，不能泄露其内容，如何才能把密钥安全地送到收信方，是对称密钥加密技术的突出问题n多人通信时密钥的组合的数量会出现爆炸性的膨胀，使密钥分发更加复杂化，n个人进行两两通信，总需要的密钥数为：

N（n-1）/2n通信双方必须统一密钥，才能发送保密的信息三、公开密钥加密技术三、公开密钥加密技术n公开密钥加密技术要求密钥成对使用，即加密和解密分别由两个密钥来实现。

每个用户都有一对选定的密钥，一个可以公开，即公共密钥，用于加密。

另一个由用户安全拥有，即秘密密钥，用于解密。

公共密钥和秘密密钥之间有密切的关系n当给对方发信息时，用对方的公开密钥进行加密，而在接收方收到数据后，用自己的秘密密钥进行解密。

故此技术也称为非对称密码加密技术接收者发送者密文明文加密密钥明文加密解密密钥解密加密及解密加密及解密过程过程公开密钥加密技术的优缺点公开密钥加密技术的优缺点n优点：

密钥少便于管理。

网络中的每一用户只需保存自己的解密密钥，则n个用户仅需产生n对密钥n密钥分配简单。

加密密钥分发给用户，而解密密钥则由用户自己保管n不需要秘密的通道和复杂的协议来传送密钥n可以实现数字签名和数字鉴别n公钥没有特殊的发布要求，可以在网上公开n缺点:

加、解密速度慢第三节第三节认证技术认证技术n认证技术是保证电子商务交易安全的一项重要技术。

认证主要包括身份认证和信息认证n身份认证用于鉴别用户身份，保证通信双方身份的真实性，防止对方是否以假冒身份在进行交易诈骗n信息认证用于保证信息的完整性；

和由于交易双方的互不见面，并且是交换一些不带有本人任何特征的数据，而可能造成一些交易的抵赖，即保证通信双方的不可抵赖性一、身份认证技术一、身份认证技术n身份认证是判明和确认贸易双方真实身份的重要环节，也是电子商务交易过程中最薄弱的环节n身份认证包括识别和鉴别两个过程：

身份识别是指定用户向系统出示自己的身份证明的过程；

身份鉴别是系统核查用户的身份证明的过程身份认证的目标身份认证的目标n确保交易者是交易者本人n避免与超过权限的交易者进行交易n访问控制用户身份认证的基本方式用户身份认证的基本方式一般来说，用户身份认证可通过三种基本方式或其组合方式来实现n所知：

个人所知道的或者所掌握的知识，如密码、口令等n所有：

个人所具有的东西，如身份证、护照、信用卡、钥匙等n个人特征：

如指纹、笔迹、声音、视网膜、虹膜，以及DNA等常用的身份认证方法常用的身份认证方法n口令和个人识别码PIN：

口令（Password）是根据已知事务验证身份的方法，也是一种研究和使用最广的身份验证方法n个人令牌：

个人令牌需要用户出示个人正式持有的某种小型硬件设备。

它的作用有些类于钥匙，用于启动信息系统n生物统计方法：

利用个人的某些生物特征或者行为特征来电子化地验证其身份n基于公钥密码体制的身份认证：

服务器保存每个用户的公钥文件，所有用户保存自己的私钥。

登录服务器时，基