第一篇：CAPICOM電子商務(wù)安全應(yīng)用論文
摘 要 電子商務(wù)的出現(xiàn)變革了貿(mào)易方式，在帶來(lái)便利的同時(shí)也帶了很多安全隱患，如何構(gòu)建電子商務(wù)的安全性成為商務(wù)信息化的研究熱點(diǎn)。分析了電子商務(wù)交易模型的安全需求，探討了密碼中間件CApICOM在安全交易模型中的應(yīng)用，討論CApICOM的數(shù)據(jù)結(jié)構(gòu)和COM對(duì)象，指出使用標(biāo)準(zhǔn)接口的密碼中間件能使電子商務(wù)應(yīng)用零開(kāi)銷(xiāo)地本地化CSp。關(guān)鍵字 密碼中間件;電子商務(wù);交易模型;信息安全;CApICOM 1 前言 隨著Internet的不斷普及，人們的消費(fèi)觀念和商務(wù)模式也發(fā)生了巨大了變化，人們更希望通過(guò)網(wǎng)絡(luò)的便利來(lái)進(jìn)行網(wǎng)絡(luò)采購(gòu)和交易，從而導(dǎo)致了（Electronic Commerce）電子商務(wù)的出現(xiàn)，并在世界范圍內(nèi)掀起了一股熱潮。但是，美國(guó)密執(zhí)安大學(xué)一個(gè)調(diào)查機(jī)構(gòu)通過(guò)對(duì)23000名因特網(wǎng)用戶(hù)的調(diào)查顯示[1]，超過(guò)60%的人由于擔(dān)心電子商務(wù)的安全問(wèn)題而不愿進(jìn)行網(wǎng)上購(gòu)物。因此，研究和分析電子商務(wù)的信息安全問(wèn)題，特別是針對(duì)我國(guó)國(guó)情，充分借鑒國(guó)外的先進(jìn)技術(shù)和經(jīng)驗(yàn)，開(kāi)發(fā)和研究出具有獨(dú)立知識(shí)產(chǎn)權(quán)的電子商務(wù)信息安全產(chǎn)品，成為目前我國(guó)電子商務(wù)的熱點(diǎn)。2 電子商務(wù)安全威脅 電子商務(wù)中的安全隱患可分為如下幾類(lèi)[2]，1.信息截獲和竊取。如果沒(méi)有采用加密措施或加密強(qiáng)度不夠，攻擊者可能通過(guò)因特網(wǎng)、電話(huà)網(wǎng)、電磁波輻射域內(nèi)安裝截收裝置或在網(wǎng)關(guān)和路由器上截獲數(shù)據(jù)等方式，竊取機(jī)密信息，或通過(guò)對(duì)信息流量和流向、通信頻度和長(zhǎng)度等參數(shù)的分析，導(dǎo)出有用信息，如銀行帳號(hào)、密碼等；2.信息篡改。如果攻擊者熟悉了網(wǎng)絡(luò)信息格式，可對(duì)網(wǎng)絡(luò)傳輸?shù)男畔⑦M(jìn)行中途修改，并發(fā)往目的地，從而破壞信息完整性。如篡改信息流的次序，更改信息內(nèi)容；3.信息假冒。當(dāng)攻擊者掌握了網(wǎng)絡(luò)信息數(shù)據(jù)規(guī)律或解密了商務(wù)信息以后，可以假冒合法用戶(hù)來(lái)欺騙其他用戶(hù)，例如偽造電子郵件，虛開(kāi)網(wǎng)站和商店，發(fā)送電子郵件，收定貨單；偽造大量用戶(hù)窮盡商家資源，使合法用戶(hù)不能正常訪問(wèn)網(wǎng)絡(luò)資源，使有嚴(yán)格時(shí)間要求的服務(wù)不能及時(shí)得到響應(yīng)等；4.交易抵賴(lài)。交易抵賴(lài)包括多個(gè)方面，如發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過(guò)某條信息或內(nèi)容，收信者事后否認(rèn)曾經(jīng)收到過(guò)某條消息或內(nèi)容，購(gòu)買(mǎi)者做了定貨單不承認(rèn)，商家賣(mài)出的商品因價(jià)格差而不承認(rèn)原有的交易。3 電子商務(wù)安全需求 電子商務(wù)面臨的威脅直接導(dǎo)致了電子商務(wù)對(duì)于信息安全的需求，也就是實(shí)現(xiàn)一個(gè)安全電子商務(wù)系統(tǒng)務(wù)必具備的信息安全品質(zhì)，主要包括機(jī)密性、完整性、認(rèn)證性和不可抵賴(lài)性。1.秘密性（Confidentiality），電子商務(wù)作為貿(mào)易的一種手段，其信息直接代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。傳統(tǒng)紙面貿(mào)易都是通過(guò)郵寄封裝的信件或通過(guò)可靠的通信渠道發(fā)送商業(yè)報(bào)文來(lái)達(dá)到保守機(jī)密的目的。電子商務(wù)是建立在一個(gè)較為開(kāi)放的網(wǎng)絡(luò)環(huán)境上的如Internet，維護(hù)商業(yè)機(jī)密是電子商務(wù)全面推廣應(yīng)用的重要保障。因此，要預(yù)防非法的信息存取和信息在傳輸過(guò)程中被非法竊取。2.完整性（Data Integrity），電子商務(wù)簡(jiǎn)化了貿(mào)易過(guò)程，減少了人為的干預(yù)，同時(shí)也帶來(lái)維護(hù)貿(mào)易各方商業(yè)信息的完整、統(tǒng)一的問(wèn)題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過(guò)程中信息丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致混亂。因此，要預(yù)防對(duì)信息的隨意生成、修改和刪除，同時(shí)要防止數(shù)據(jù)傳送過(guò)程中信息的丟失和重復(fù)并保證信息傳送次序的統(tǒng)一。3.認(rèn)證性（Verification of Identity），網(wǎng)絡(luò)電子商務(wù)交易系統(tǒng)的特殊性，企業(yè)或個(gè)人的交易通常都是在虛擬的網(wǎng)絡(luò)環(huán)境中進(jìn)行，所以對(duì)個(gè)人或企業(yè)實(shí)體進(jìn)行身份性確認(rèn)成了電子商務(wù)中得很重要的一環(huán)。對(duì)人或?qū)嶓w的身份進(jìn)行鑒別，為身份的真實(shí)性提供保證，即交易雙方能夠在相互不見(jiàn)面的情況下確認(rèn)對(duì)方的身份。這意味著當(dāng)某人或?qū)嶓w聲稱(chēng)具有某個(gè)特定的身份時(shí)，鑒別服務(wù)將提供一種方法來(lái)驗(yàn)證其聲明的正確性。4.不可抵賴(lài)性（Non-repudiation of Disputed Charges）。電子商務(wù)可能直接關(guān)系到貿(mào)易雙方的商業(yè)交易，如何確定要進(jìn)行交易的貿(mào)易方的確是進(jìn)行交易所期望的貿(mào)易方這一問(wèn)題則是保證電子商務(wù)順利進(jìn)行的關(guān)鍵。在傳統(tǒng)紙面貿(mào)易中，雙方通過(guò)在交易合同、契約或貿(mào)易單據(jù)等書(shū)面文件上手寫(xiě)簽名或印章來(lái)鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴(lài)行為的發(fā)生。這也就是人們常說(shuō)的“白紙黑字”。在無(wú)紙化的電子商務(wù)方式下，通過(guò)手寫(xiě)簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過(guò)程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)[3]。4 密碼中間件和CApICOM 中間件是獨(dú)立的系統(tǒng)軟件或服務(wù)程序,它屏蔽了操作系統(tǒng)和網(wǎng)絡(luò)協(xié)議的差異,并提供相應(yīng)的平臺(tái)以滿(mǎn)足不同領(lǐng)域的需要。它成功地解決了網(wǎng)絡(luò)計(jì)算和分布計(jì)算環(huán)境下資源的通信，共享，管理，控制等問(wèn)題[3]。其技術(shù)本身很復(fù)雜，技術(shù)標(biāo)準(zhǔn)多，產(chǎn)品多。在Windows技術(shù)體系下，應(yīng)用最為廣泛的是DEC/RpC標(biāo)準(zhǔn)下的COM/DCOM，和DNA標(biāo)準(zhǔn)下的COM。在諸多行業(yè)應(yīng)用中，信息安全特性已成為軟件的一個(gè)重要品質(zhì)，密碼服務(wù)也成為一個(gè)重要的構(gòu)件支撐，基于中間件技術(shù)來(lái)構(gòu)造密碼中間件成為當(dāng)前的主流技術(shù)路線，涌現(xiàn)出相當(dāng)成功的產(chǎn)品，如微軟的CApICOM，SUN的Crypto Java。Windows操作系統(tǒng)采用分層的加密體系模型CSp密碼服務(wù)提供者（Cryptographic Service provider）架設(shè)系統(tǒng)安全。CSp提供了齊全的具有密碼功能的Win32ApI函數(shù)供程序員調(diào)用，稱(chēng)為CryptoApI。然而，調(diào)用CryptApI完成密碼操作仍然相當(dāng)復(fù)雜。[5]使用COM，開(kāi)發(fā)人員可以把注意力集中在解決用戶(hù)所需要的問(wèn)題上．而不用關(guān)心網(wǎng)絡(luò)協(xié)議等底層結(jié)構(gòu)的細(xì)節(jié)。[4]微軟提供了CApICOM組件，它以COM對(duì)象的形式封裝了上述的復(fù)雜操作，使用它獲取密碼服務(wù)更方便。因?yàn)樵诓煌拈_(kāi)發(fā)環(huán)境中，往往先要對(duì)ApI函數(shù)進(jìn)行某種封裝或轉(zhuǎn)換，這增加了使用難度，CApICOM以中間件的形式提供了一個(gè)標(biāo)準(zhǔn)的密碼應(yīng)用層接口，是介于應(yīng)用與CSp之間的中間層，使得應(yīng)用與CSp具有邏輯獨(dú)立性。在工作時(shí)，CApICOM按一定順序列檢索CSp。首先檢查缺省CSp是否支持用戶(hù)指定的算法及密鑰長(zhǎng)度，如果失敗，則搜索系統(tǒng)提供的CSp，并判斷其是否支持指定的算法和密鑰長(zhǎng)度，直至遍歷完所有CSp。兩者關(guān)系如圖1所示。5 安全電子商務(wù)交易模型 安全電子商務(wù)交易模型從組成來(lái)講一般有以下幾個(gè)組件[6]：（1）電子商店作為電子經(jīng)濟(jì)中買(mǎi)賣(mài)發(fā)生的場(chǎng)所，它從傳統(tǒng)的市場(chǎng)渠道中取得價(jià)值。（2）信息中介是內(nèi)容、信息、知識(shí)及經(jīng)驗(yàn)的代理商，能夠成為某一特定電子商務(wù)領(lǐng)域增加價(jià)值。（3）信用中介是在買(mǎi)賣(mài)雙方建立信用的機(jī)構(gòu)。（4）電子商務(wù)實(shí)施者為其他電子商店或信息中介提供組件、功能及相關(guān)服務(wù)，使得電子商務(wù)得以進(jìn)行或者進(jìn)行得更好。（5）基礎(chǔ)設(shè)施供應(yīng)商作為由跨越不同領(lǐng)域機(jī)構(gòu)，如NII（國(guó)家信息化設(shè)施），pKI（公鑰基礎(chǔ)設(shè)施）等，它們來(lái)提供網(wǎng)絡(luò)應(yīng)用平臺(tái)和安全交易全環(huán)境。從電子商務(wù)系統(tǒng)的架構(gòu)上來(lái)分類(lèi)[6]，主要有B2B和B2C。B2B模式下參與的雙方都是企業(yè)，特點(diǎn)是定單數(shù)量大，平均在75000美元，需要商業(yè)洽談，按照固定合同條款和商業(yè)規(guī)則進(jìn)行交易。信用開(kāi)始是依托信用卡，爾后需要更復(fù)雜的銀行信用管理系統(tǒng)，基礎(chǔ)設(shè)施包括局域網(wǎng)、定制的目錄和流程規(guī)則；B2C模式下是顧客直接與商家接觸，特點(diǎn)是定單數(shù)量小，平均在75美元，主要是按價(jià)目表或者固定價(jià)格，屬于沖動(dòng)購(gòu)買(mǎi)或者偶爾購(gòu)買(mǎi)，所以廣告的作用很大。信用依靠消費(fèi)者信用卡，基礎(chǔ)設(shè)施主要是互聯(lián)網(wǎng)的鏈接。僅就交易工作流而言，它有很多業(yè)務(wù)需求如：客戶(hù)管理，商品瀏覽，身份認(rèn)證，訂單管理，配送和轉(zhuǎn)賬等，本文當(dāng)中，重點(diǎn)討論在密碼服務(wù)和安全性上的需求，通過(guò)實(shí)施安全性措施，確保在交易的生命周期當(dāng)中，在交易信息的運(yùn)動(dòng)過(guò)程中，敏感信息不會(huì)喪失信息安全性。6 CApICOM的應(yīng)用 在交易流程中，證書(shū)的操作主要有：證書(shū)庫(kù)的打開(kāi)，證書(shū)檢索，證書(shū)驗(yàn)證，證書(shū)加密數(shù)據(jù)和數(shù)字簽名CryptoApI只提供了基本的密碼函數(shù)，對(duì)于數(shù)字證書(shū)很少涉及，而CApICOM組件對(duì)這些高層應(yīng)用服務(wù)提供了方便的接口。圖4 十六進(jìn)制形式密文和解密結(jié)果 WINDOWS平臺(tái)中，證書(shū)存于證書(shū)庫(kù)CertStore的結(jié)構(gòu)中，使用時(shí)必檢索證書(shū)庫(kù)，取得證書(shū)句柄，獲得證書(shū)的基本信息如：有效期，公鑰等，同時(shí)，還要對(duì)證書(shū)的有效性進(jìn)行驗(yàn)證。私鑰存于密鑰容器中（Key Container）,有對(duì)應(yīng)私鑰的證書(shū)，還存有私鑰容器的句柄。[4]默認(rèn)的證書(shū)庫(kù)有4個(gè)：Trust,My,CA,Root，其中My存放了個(gè)人的證書(shū)，其中還有私鑰容器句柄，Trust存放了通信群體中其它人的證書(shū)，僅公鑰。證書(shū)的管理必須用到CApICOM的幾個(gè)接口：IStoreptr指向證書(shū)庫(kù)，ICertificates2ptr指向證書(shū)集合，ICertificateptr指向證書(shū)，三個(gè)接口形成操作證書(shū)的三級(jí)索引。圖5 驗(yàn)證過(guò)程 6.2 證書(shū)參與加密運(yùn)算：保證秘密性 證書(shū)加密實(shí)際是用接收方證書(shū)的公鑰加密，過(guò)程有兩步：用公鑰加密對(duì)稱(chēng)密鑰，用對(duì)稱(chēng)密鑰加密數(shù)據(jù)如支付的信息：客戶(hù)帳號(hào)和pIN碼等。CApICOM定義的對(duì)象IenvelopedData ptr對(duì)兩步進(jìn)行了包裝，對(duì)于編程人員是透明的。⑴ 定義數(shù)據(jù)信封 IEnvelopedDataptr pEncryptIEnvelopedData(__uuidof(Enveloped Data));IEnvelopedDataptr pDecryptIEnvelopedData(__uuidof(EnvelopedData));⑵ 設(shè)定算法參數(shù)和對(duì)稱(chēng)密鑰長(zhǎng)度 CApICOM對(duì)密碼算法的標(biāo)識(shí)標(biāo)準(zhǔn)和密鑰長(zhǎng)度進(jìn)行了定義，以常量形式給出。這里以RC4為例。pEncryptIEnvelopedData->Algorithm->Name =CApICOM_ENCRYpTION_ALGORITHM_RC4;pEncryptIEnvelopedData->Algorithm->KeyLength =CApICOM_ENCRYpTION_KEY_LENGTH_40_BITS;⑶ 加密 bstrtemp=SysAllocStringByteLen(“Hello Capicom!”,14);_bstr_ta.Assign(bstrtemp);pEncryptIEnvelopedData->Content=_bstr_ta;bstrciphertext =pEncryptIEnvelopedData->Encrypt(CApICOM_ENCODE_BINARY);⑷ 取出密文 bstrtemp是BSTR指針，指向雙字節(jié)的字符串，即以?xún)蓚€(gè)Bytes來(lái)存一個(gè)ASCII字符，_bstr_t類(lèi)型對(duì)雙字節(jié)字符串進(jìn)行了對(duì)象裝箱，字節(jié)數(shù)是字符數(shù)據(jù)量的兩倍。加密“Hello Capicom!”后，以字符形式看密文則呈亂碼形式。二進(jìn)制形式則如圖2所示。pCHAR pCiphertext=NULL;pCiphertext =(pCHAR)bstrciphertext;printf(“密文字符流：n”);pVOID pchartemp=malloc(24);for(int k=0;k
第二篇：動(dòng)態(tài)電子商務(wù)應(yīng)用論文
文 章來(lái)
源蓮山 課
件 w w w.5Y
k J.Com 7 摘 要：Internet促進(jìn)了電子商務(wù)飛速發(fā)展，B2B模式的企業(yè)級(jí)電子商務(wù)要求動(dòng)態(tài)電子商務(wù)的應(yīng)用。動(dòng)態(tài)電子商務(wù)著重程序?qū)Τ绦虻慕换プ饔茫瑢?shí)現(xiàn)應(yīng)用程序之間的集成。動(dòng)態(tài)電子商務(wù)實(shí)現(xiàn)的關(guān)鍵是Web Service，它不僅已作為動(dòng)態(tài)電子商務(wù)的基礎(chǔ)，也是“電子商務(wù)隨需應(yīng)變”技術(shù)發(fā)展的基礎(chǔ)。關(guān)鍵詞：動(dòng)態(tài)電子商務(wù)； Web Service； 多層結(jié)構(gòu)應(yīng)用程序； 應(yīng)用程序集成 1 引言 電子商務(wù)（E-business）是在Internet開(kāi)放的網(wǎng)絡(luò)環(huán)境下，以在線的形式實(shí)現(xiàn)用戶(hù)、合作伙伴、供應(yīng)商以及員工進(jìn)行交互的商業(yè)運(yùn)營(yíng)模式。今天，Internet為電子商務(wù)帶來(lái)了飛速的增長(zhǎng)，但現(xiàn)在的電子商務(wù)應(yīng)用遇到了局限。目前，大多數(shù)商業(yè)網(wǎng)站都像是提供數(shù)據(jù)和邏輯的孤島。它們不同其他的商業(yè)網(wǎng)站協(xié)同工作，當(dāng)前在站點(diǎn)之間建立有用的交互是很痛苦的。通過(guò)用Web Services，使不僅兩個(gè)站點(diǎn)，而是許多站點(diǎn)能夠更容易地相互間協(xié)同工作[1]。2 動(dòng)態(tài)電子商務(wù) 電子商務(wù)主要有兩種形式：B2C和 B2B。B2B模式是企業(yè)級(jí)電子商務(wù)，電子商務(wù)更核心的是市場(chǎng)潛力比零售業(yè)大一個(gè)量級(jí)的企業(yè)級(jí)電子商務(wù)過(guò)程。企業(yè)級(jí)電子商務(wù)是一個(gè)將買(mǎi)方、賣(mài)方以及服務(wù)于他們的中間商（如金融機(jī)構(gòu)）之間的信息交換和交易行為集成到一起的電子運(yùn)作方式。而這種技術(shù)的使用會(huì)從根本上改變企業(yè)的計(jì)劃、生產(chǎn)、銷(xiāo)售和運(yùn)行模式，甚至改變整個(gè)產(chǎn)業(yè)社會(huì)的基本生存方式。動(dòng)態(tài)電子商務(wù)是著重于 B2B 的綜合性和基礎(chǔ)設(shè)施組成上的下一代電子商務(wù)，通過(guò)調(diào)節(jié)因特網(wǎng)標(biāo)準(zhǔn)和通用基礎(chǔ)設(shè)施為內(nèi)部和外部企業(yè)計(jì)算創(chuàng)造最佳效益。動(dòng)態(tài)電子商務(wù)實(shí)現(xiàn)的關(guān)鍵是Web Service。Web Service就是原來(lái)的組件技術(shù)思想在Internet時(shí)代中的進(jìn)一步發(fā)展，它集成了CORBA、COM/DCOM等各種組件模型技術(shù)，是原有各種組件技術(shù)的繼承和發(fā)展。它不僅已作為動(dòng)態(tài)電子商務(wù)的基礎(chǔ)，也是“電子商務(wù)隨需應(yīng)變”技術(shù)發(fā)展的基礎(chǔ)。3 Web Service框架 Web service是描述一些操作的接口，利用標(biāo)準(zhǔn)化的 XML 和SOAp消息傳遞機(jī)制可以通過(guò)網(wǎng)絡(luò)訪問(wèn)這些操作[2]，如圖1所示 Web Service與服務(wù)請(qǐng)求者通過(guò)SOAp交互。XML(可擴(kuò)展標(biāo)記語(yǔ)言)具有跨平臺(tái)的特性，它作為數(shù)據(jù)交換和網(wǎng)絡(luò)計(jì)算的基礎(chǔ)，將無(wú)可非議的成為網(wǎng)絡(luò)的通用語(yǔ)言，尤其是在電子商務(wù)的應(yīng)用上的出色表現(xiàn)。圖1 Web Service與服務(wù)請(qǐng)求者交互 Web Service 體系結(jié)構(gòu)基于XML，SOAp，WSDL和 UDDI，圖 2 展示了一個(gè)概念性 Web 服務(wù)協(xié)議，上面的幾層建立在下面幾層提供的功能之上[3,4]。Web service體系結(jié)構(gòu)基于三種角色（服務(wù)提供者、服務(wù)代理者和服務(wù)請(qǐng)求者）之間的交互，如圖3。交互涉及發(fā)布、查找和綁定操作。圖2 Web service 層次結(jié)構(gòu) 圖3 三種角色之間的交互 SOAp是一種基于XML的不依賴(lài)傳輸協(xié)議的表示層協(xié)議，用來(lái)在應(yīng)用程序之間方便地以對(duì)象的形式交換數(shù)據(jù)。在SOAp的下層，可以是HTTp，也可以是SMTp/pOp3，還可以是為一些應(yīng)用而專(zhuān)門(mén)設(shè)計(jì)的特殊的通信協(xié)議。服務(wù)提供者通過(guò)在服務(wù)代理者那里注冊(cè)來(lái)配置和發(fā)布服務(wù)，服務(wù)請(qǐng)求者通過(guò)查找服務(wù)代理者那里的被發(fā)布服務(wù)的登記記錄來(lái)找到服務(wù)，服務(wù)請(qǐng)求者綁定服務(wù)提供者并使用可用的服務(wù)。在Web Service的世界里，三個(gè)操作都包含三個(gè)不同的技術(shù)。發(fā)布服務(wù)使用UDDI(統(tǒng)一描述、發(fā)現(xiàn)和集成)，查找服務(wù)使用 UDDI 和 WSDL(Web Service描述語(yǔ)言)的組合，綁定服務(wù)使用WSDL 和SOAp。在三個(gè)操作中，綁定操作是最重要的，它包含了服務(wù)的實(shí)際使用，這也是容易發(fā)生互操作性問(wèn)題的地方。正是由于服務(wù)提供者和服務(wù)請(qǐng)求者對(duì) SOAp 規(guī)范的全力支持才解決了這些問(wèn)題，并實(shí)現(xiàn)了無(wú)縫互操作性。電子商務(wù)驅(qū)動(dòng)了Web Service的發(fā)展，Web Service是高度可集成的、基于Web 的對(duì)象，能夠?qū)⒛悻F(xiàn)有的企業(yè)應(yīng)用使用SOAp包裝、WSDL描述，從而發(fā)布企業(yè)的商務(wù)功能或商務(wù)數(shù)據(jù)。Web service 使應(yīng)用程序之間可以通過(guò)Web交互，而不管應(yīng)用程序在不同的操作系統(tǒng)或用不同的語(yǔ)言編寫(xiě)。通過(guò)Web service，應(yīng)用程序間可以共享數(shù)據(jù)，在這種環(huán)境下，Web Service 成為應(yīng)用程序集成的平臺(tái)。4 多層分布式應(yīng)用程序 企業(yè)級(jí)的商用應(yīng)用程序開(kāi)發(fā)中，企業(yè)里經(jīng)常都要把用不同語(yǔ)言寫(xiě)成的在不同平臺(tái)上運(yùn)行的各種程序集成起來(lái)，而這種集成將花費(fèi)很大的開(kāi)發(fā)的力量。你的應(yīng)用程序經(jīng)常都需要從運(yùn)行在古老的IBM主機(jī)上的程序中獲取數(shù)據(jù)；或者再把數(shù)據(jù)發(fā)送到主機(jī)或UNIX應(yīng)用程序中去。即使是在同一個(gè)平臺(tái)上，不同的軟件廠商生產(chǎn)的各種軟件也常常需要集成起來(lái)。通過(guò)Web service，應(yīng)用程序可以用標(biāo)準(zhǔn)的方法把功能和數(shù)據(jù)暴露出來(lái)，供其它的應(yīng)用程序使用。用Web service集成應(yīng)用程序，可以使你公司內(nèi)部以及公司之間的商務(wù)處理更加自動(dòng)化。與企業(yè)級(jí)應(yīng)用程序相關(guān)聯(lián)的概念基于一個(gè)常規(guī)分布式應(yīng)用程序結(jié)構(gòu)；Microsoft 最近幾年為降低企業(yè)范圍內(nèi)應(yīng)用程序的復(fù)雜性而開(kāi)發(fā)了這個(gè)結(jié)構(gòu)。這一模型被稱(chēng)為“多層結(jié)構(gòu)”(Multi-tier)，原因是它可以非常容易地按照邏輯分組來(lái)加以理解。Microsoft.Net平臺(tái)提供了對(duì)多層結(jié)構(gòu)模型的支持，用Visual Studio 可創(chuàng)建基于Web Service 的多層結(jié)構(gòu)的應(yīng)用程序。使用.NET平臺(tái)創(chuàng)建分布式應(yīng)用程序的關(guān)鍵原則是將應(yīng)用程序邏輯地分為三個(gè)層： 圖4表示了三層分布式應(yīng)用程序體系結(jié)構(gòu)[5]。圖4 三層分布式應(yīng)用程序體系 表示層為應(yīng)用程序提供大量可視的，靈活的以及交互式的用戶(hù)界面。商業(yè)邏輯層（也稱(chēng)為中間層）負(fù)責(zé)接收來(lái)自表示層的請(qǐng)求，并根據(jù)它包含的業(yè)務(wù)邏輯給表示層返回一個(gè)結(jié)果。在表示層所有發(fā)生的所有事情通常都會(huì)調(diào)用商業(yè)邏輯層。而邏輯層則需要調(diào)用數(shù)據(jù)層，獲取其中能響應(yīng)表示層請(qǐng)求的信息。數(shù)據(jù)層負(fù)責(zé)存儲(chǔ)應(yīng)用程序的數(shù)據(jù)，并在接收到請(qǐng)求時(shí)，把這些數(shù)據(jù)發(fā)送給邏輯層[5，6]。中間層采用Web service，用戶(hù)界面通過(guò)SOAp與Web service 通信。Web Service的主要目標(biāo)是跨平臺(tái)的可互操作性，使用Web Service給我們帶來(lái)很大的好處：第一，應(yīng)用程序的代碼的可重用性比以前更高，當(dāng)你完成一個(gè)Web Service之后，任何已授權(quán)的且連接的設(shè)備或別的軟件可使用它。第二，增強(qiáng)企業(yè)之間應(yīng)用程序的交互能力，提高數(shù)據(jù)的集成。最新數(shù)據(jù)源的集成很簡(jiǎn)單，即使它距離你很遠(yuǎn)，你也可以很簡(jiǎn)單地把它拿來(lái)同別的數(shù)據(jù)一起，在你的決策系統(tǒng)和分析工具中使用。第三，相對(duì)于現(xiàn)在的軟件，Web Service可使你開(kāi)發(fā)出能完成更加復(fù)雜功能的軟件。你不僅可以使用一個(gè)節(jié)點(diǎn)的處理能力，你也可以使用與之相連的別的結(jié)點(diǎn)的及節(jié)點(diǎn)之間的處理能力[7]。Web Service的使用給軟件業(yè)帶來(lái)的革命好比是制造業(yè)中從手工轉(zhuǎn)向流水線。安全，自由的數(shù)據(jù)流可提高效率，使你有機(jī)會(huì)接觸或服務(wù)于更多的客戶(hù)，產(chǎn)生新的合作關(guān)系。這些商業(yè)需求促使了Web Service的發(fā)展。5 下一代Internet服務(wù)模式 “電子商務(wù)隨需應(yīng)變”(e-business on demand)。就是企業(yè)用戶(hù)在需要企業(yè)管理程序、商業(yè)數(shù)據(jù)庫(kù)資料時(shí)，不必再獨(dú)立投資建立內(nèi)部的全套軟件和程序，只需到應(yīng)用服務(wù)提供者提供的網(wǎng)上企業(yè)電子商務(wù)應(yīng)用軟件庫(kù)（Web Service）里去調(diào)一個(gè)出來(lái)用。這樣做的好處很明顯，首先，不用再付軟件和程序本身的高額費(fèi)用，而只需付軟件使用費(fèi)，成本大大降低，使用更加簡(jiǎn)便和經(jīng)濟(jì)。其次，企業(yè)的電子商務(wù)軟件在使用過(guò)程中，可以更直接地得到專(zhuān)家的協(xié)助和技術(shù)支持，效率可以大大提高。Web Service的核心就是集成，他們把計(jì)算機(jī)的處理能力從臺(tái)式機(jī)傳到數(shù)據(jù)中心，通過(guò)無(wú)處不在的Internet作為媒體，把應(yīng)用程序連接起來(lái)創(chuàng)造更大的價(jià)值。Web Service實(shí)現(xiàn)了應(yīng)用的集成，為客戶(hù)調(diào)用遠(yuǎn)端的對(duì)象提供了一整套的Internet規(guī)范，而使遠(yuǎn)程調(diào)用輕松方便?；赪eb Service 的使Internet更能發(fā)揮作用的框架，將是下一代Internet 服務(wù)模式。6 小結(jié) 本文介紹了Web Service的動(dòng)態(tài)電子商務(wù)。電子商務(wù)可以利用Web Service 創(chuàng)建多層分布式結(jié)構(gòu)，這種分布式構(gòu)建實(shí)現(xiàn)了跨平臺(tái)的可互操作性，提高了軟件模塊的可重用性，減少應(yīng)用程序的開(kāi)發(fā)時(shí)間。Web Service 集成各種應(yīng)用，為用戶(hù)提供統(tǒng)一的界面，使得新型電子商務(wù)應(yīng)用和動(dòng)態(tài)服務(wù)集成能迅速發(fā)展，推動(dòng)下一代Internet服務(wù)模式的開(kāi)發(fā)應(yīng)用。參考文獻(xiàn)： 1 Juval Lowy．Web Services Hurdle the Firewall[EB/OL]．.Net magazine，Nov.2001 2 尚俊杰 ．ASp.NET程序設(shè)計(jì)[M]．北京：清華大學(xué)出版社、北京交通大學(xué)出版社，2004 3 Microsoft Corporation．Global XML Web Services Architecture[EB/OL]． http://004km.cn/team/XMLwebservices/gxa_overview.aspx，October 2001 4 吳增德, 劉巖, 馬范援．基于服務(wù)的電子商務(wù)應(yīng)用集成框架研究[J]．上海交通大學(xué)學(xué)報(bào)，2002，36(9)：1341-1345 5 Stephen Chu, Branko Cesnik．A three-tier clinical information systems design model[J]．International Journal of Medical Informatics，2000，57(3)：91-107 6 Cristian Darie, Karli Watson．ASp.NET電子商務(wù)入門(mén)經(jīng)典[M]．北京：清華大學(xué)出版社，2002 7 Charles Fitzgerald．一種了不起的創(chuàng)新：Web Services[EB/OL] ． http://004km.cn/china/XmlFile.aspx?ID=100，April 2002
文 章來(lái)
源蓮山 課
件 w w w.5Y
k J.Com 7
第三篇：論文-電子商務(wù)安全技術(shù)的發(fā)展和應(yīng)用
交通信息工程畢業(yè)論文
題 目：電子商務(wù)安全技術(shù)的發(fā)展和應(yīng)用
電子商務(wù)安全技術(shù)的發(fā)展和應(yīng)用
摘要：文章認(rèn)為隨著Internet的熱潮席卷全球，電子商務(wù)日益成為國(guó)民經(jīng)濟(jì)的亮點(diǎn)。然而，隨著Internet逐漸發(fā)展成為電子商務(wù)的最佳載體，互聯(lián)網(wǎng)具有充分開(kāi)放，不設(shè)防護(hù)的特點(diǎn)使加強(qiáng)電子商務(wù)的安全問(wèn)題日益緊迫，為確保信息的真實(shí)性、可靠性和保密性，才能夠打消人們的顧慮，放心的參與電子商務(wù)。因此，必須建立安全電子商務(wù)的技術(shù)機(jī)制，即防火墻技術(shù)、加解密技術(shù)等。
關(guān)鍵字：安全技術(shù) 防火墻 數(shù)據(jù)加密
引言：在電子商務(wù)的交易中，經(jīng)濟(jì)信息、資金都要通過(guò)網(wǎng)絡(luò)傳輸，交易雙方的身份也需要認(rèn)證，因此，電子商務(wù)的安全性主要是網(wǎng)絡(luò)平臺(tái)的安全和交易信息的安全。而網(wǎng)絡(luò)平臺(tái)的安全是指網(wǎng)絡(luò)操作系統(tǒng)對(duì)抗網(wǎng)絡(luò)攻擊、病毒，使網(wǎng)絡(luò)系統(tǒng)連續(xù)穩(wěn)定的運(yùn)行。防火墻技術(shù)、數(shù)據(jù)加解密技術(shù)、數(shù)字簽名、身份認(rèn)證和安全電子商務(wù)的國(guó)際規(guī)范等。在這里我想重點(diǎn)談?wù)劮阑饓夹g(shù)和數(shù)據(jù)加密技術(shù)。
一、防火墻技術(shù)。
防火墻是一種用來(lái)加強(qiáng)網(wǎng)絡(luò)之間訪問(wèn)控制的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備，如路由器、網(wǎng)關(guān)等。它對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包和鏈接方式按照一定的安全策略進(jìn)行檢查，來(lái)決定網(wǎng)絡(luò)之間的通信是否被允許，其中被保護(hù)的網(wǎng)絡(luò)稱(chēng)為內(nèi)部網(wǎng)絡(luò)，另一方則稱(chēng)為外部網(wǎng)絡(luò)或公用網(wǎng)絡(luò)，它能有效地控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問(wèn)及數(shù)據(jù)傳送，從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶(hù)的訪問(wèn)和過(guò)濾不良信息的目的。所有來(lái)自Internet的傳輸信息或你發(fā)電子商務(wù)資料庫(kù)的信息都必須經(jīng)過(guò)防火墻。這樣,防火墻就起到了保護(hù)諸如電子郵件、文件傳輸、遠(yuǎn)程登錄、在特定的系統(tǒng)間進(jìn)行信息交換等安全的作用。防火墻是網(wǎng)絡(luò)安全策略的有機(jī)組成部分,它通過(guò)控制和監(jiān)測(cè)網(wǎng)絡(luò)之間的信息交換和訪問(wèn)行為來(lái)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全的有效管理。從總體上看,防火墻應(yīng)該具有以下五大基本功能:(1)過(guò)濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù);(2)管理進(jìn)、出網(wǎng)絡(luò)的訪問(wèn)行為;(3)封堵某些禁止行為;(4)記錄通過(guò)防火墻的信息內(nèi)容和活動(dòng);(5)對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警。
國(guó)際標(biāo)準(zhǔn)化組織（ISO）的計(jì)算機(jī)專(zhuān)業(yè)委員會(huì)（ISO／IEC JTCI／SC21）根據(jù)網(wǎng)絡(luò)開(kāi)放系統(tǒng)互連7層模型（OSI／RM）制定了一個(gè)網(wǎng)絡(luò)安全體系結(jié)構(gòu)，用來(lái)解決網(wǎng)絡(luò)系統(tǒng)中的信息安全問(wèn)題，如表1所示
防火墻的基本準(zhǔn)則：
未被允許的就是禁止的?；谠摐?zhǔn)則，防火墻應(yīng)封鎖所有信息流，然后對(duì)希望提供的服務(wù)逐項(xiàng)開(kāi)放。這是一種非常實(shí)用的方法，可以造成一種相當(dāng)安全的環(huán)境，因?yàn)橹挥薪?jīng)過(guò)仔細(xì)挑選的服務(wù)才被允許使用。其弊端是，安全性高于用戶(hù)使用的方便性，用戶(hù)所能使用的范圍大大受到限制。
未被禁止的就是允許的?；谠摐?zhǔn)則，防火墻應(yīng)轉(zhuǎn)發(fā)所有信息流，然后逐項(xiàng)屏蔽可能有害的服務(wù)。這種方法構(gòu)成了一種更為靈活的應(yīng)用環(huán)境，可為用戶(hù)提供更多的服務(wù)。其弊病是，在日益增多的網(wǎng)絡(luò)服務(wù)面前，網(wǎng)管人員將疲于奔命，特別是受保護(hù)的網(wǎng)絡(luò)范圍增大時(shí)，很難提供可靠的安全防護(hù)。
防火墻是實(shí)現(xiàn)安全訪問(wèn)控制的，因此按照OSI／RM，防火墻可以在OSI／RM7層中的5層設(shè)置，如圖1所示：
目前，從概念上來(lái)講，防火墻技術(shù)主要分為9種：（1）包過(guò)濾（Packet filter）防火墻技術(shù)，又稱(chēng)篩選路由器（Screening router）或網(wǎng)絡(luò)層防火墻（Network level firewall），它是對(duì)進(jìn)出內(nèi)部網(wǎng)絡(luò)的所有信息進(jìn)行分析，并按照一定的安全策略——信息過(guò)濾規(guī)則對(duì)進(jìn)出內(nèi)部網(wǎng)絡(luò)的信息進(jìn)行限制，允許授權(quán)信息通過(guò)，拒絕非授權(quán)信息通過(guò)。信息過(guò)濾規(guī)則是以其所收到的數(shù)據(jù)包頭信息為基礎(chǔ)，比如IP數(shù)據(jù)包源地址、IP數(shù)據(jù)包目的地址、封裝協(xié)議類(lèi)型（TCP、UDP、ICMP等）、TCP／IP源端口號(hào)、TCP／IP目的端口號(hào)、ICMP報(bào)文類(lèi)型等，當(dāng)一個(gè)數(shù)據(jù)包滿(mǎn)足過(guò)濾規(guī)則，則允許此數(shù)據(jù)包通過(guò)，否則拒絕此包通過(guò)，相當(dāng)于此數(shù)據(jù)包所要到達(dá)的網(wǎng)絡(luò)物理上被斷開(kāi)，起到了保護(hù)內(nèi)部網(wǎng)絡(luò)的作用。采用這種技術(shù)的防火墻優(yōu)點(diǎn)在于速度快、實(shí)現(xiàn)方便，但安全性能差，且由于不同操作系統(tǒng)環(huán)境下TCP和UDP端口號(hào)所代表的應(yīng)用服務(wù)協(xié)議類(lèi)型有所不同，故兼容性差。
（2）應(yīng)用層網(wǎng)關(guān)級(jí)（Application level gatewav）防火墻技術(shù)，又稱(chēng)代理（Proxy），它由兩部分組成：代理服務(wù)器和篩選路由器。這種防火墻技術(shù)是目前最通用的一種，它是把篩選路由器技術(shù)和軟件代理技術(shù)結(jié)合在一起，由篩選路由器負(fù)責(zé)網(wǎng)絡(luò)的互聯(lián)，進(jìn)行嚴(yán)格的數(shù)據(jù)選擇，應(yīng)用代理則提供應(yīng)用層服務(wù)的控制，如圖3所示，代理服務(wù)器起到了外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)中間轉(zhuǎn)接作用。內(nèi)部網(wǎng)絡(luò)只接受代理服務(wù)器提出的服務(wù)請(qǐng)求，拒絕外部網(wǎng)絡(luò)其它節(jié)點(diǎn)的直接請(qǐng)求，代理服務(wù)器其實(shí)是外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)交互信息的交換點(diǎn)，當(dāng)外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)的某個(gè)節(jié)叔申請(qǐng)某種服務(wù)時(shí)，比如FTP、Telnet、WWW、Gopher、WAIS等，先由代理服務(wù)器接受，然后代理服務(wù)器根據(jù)其服務(wù)類(lèi)型、服務(wù)內(nèi)容、被服務(wù)的對(duì)象及其它因素，例如服務(wù)申請(qǐng)者的域名范圍、時(shí)間等，決定是否接受此項(xiàng)服務(wù)，如果接受，就由代理服務(wù)器內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)這項(xiàng)請(qǐng)求，并把結(jié)果反饋結(jié)申請(qǐng)者，否則就拒絕。根據(jù)其處理協(xié)議的功能可分為FTP網(wǎng)關(guān)型防火墻、Telnet網(wǎng)關(guān)型防火墻、WWW網(wǎng)關(guān)型防火墻、WAIS網(wǎng)關(guān)型防火墻等，它的優(yōu)點(diǎn)在于既能進(jìn)行安全控制又可以加速訪問(wèn)，安全性好，但是寥實(shí)現(xiàn)比較困難，對(duì)于每一種服務(wù)協(xié)議必須為其設(shè)計(jì)一個(gè)代理軟件模塊來(lái)進(jìn)行安全控制。
（3）雙宿主機(jī)（Dual-homed host）技術(shù)防火墻技術(shù)，又稱(chēng)堡壘主機(jī)（Bastion host），它的結(jié)構(gòu)如圖4所示，采用主機(jī)取代路由器執(zhí)行安全控制功能，故類(lèi)似于包過(guò)濾防火墻。雙宿主機(jī)即一臺(tái)配有多個(gè)網(wǎng)絡(luò)接口的主機(jī)，它可以用來(lái)在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間進(jìn)行尋徑，如果在一臺(tái)雙宿主機(jī)中尋徑功能被禁止了，則這個(gè)主機(jī)可以隔離與它相連的內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的通信，而與它相連的內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)仍可以執(zhí)行由它所提供的網(wǎng)絡(luò)應(yīng)用，如果這個(gè)應(yīng)用允許的話(huà)，它們就可以共享數(shù)據(jù)，這樣就保證內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的某些節(jié)點(diǎn)之間可以通過(guò)雙宿主機(jī)上的共享數(shù)據(jù)傳遞信息，但內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間卻不能傳遞信息，從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的作用。
(4)網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)。
防火墻利用NAT技術(shù)能透明地對(duì)所有內(nèi)部地址做轉(zhuǎn)換,使得外部網(wǎng)絡(luò)無(wú)法了解內(nèi)部網(wǎng)絡(luò)的內(nèi)部結(jié)構(gòu),同時(shí)允許內(nèi)部網(wǎng)絡(luò)使用自己編的ＩＰ源地址和專(zhuān)用網(wǎng)絡(luò),防火墻能詳盡記錄每一個(gè)主機(jī)的通信,確保每個(gè)分組送往正確的地址。
(5)Internet網(wǎng)關(guān)技術(shù)。
由于是直接串聯(lián)在網(wǎng)絡(luò)之中,防火墻必須支持用戶(hù)在Internet互聯(lián)的所有服務(wù),同時(shí)還要防止與Internet服務(wù)有關(guān)的安全漏洞,故它要能夠以多種安全的應(yīng)用服務(wù)器(包括FTP、Finger、mail、Ident、News、WWW等)來(lái)實(shí)現(xiàn)網(wǎng)關(guān)功能。為確保服務(wù)器的安全性,對(duì)所有的文件和命令均要利用“改變根系統(tǒng)調(diào)用(chroot)”做物理上的隔離。
典型的Internet／Intranet防火墻配置如圖5所示。
在域名服務(wù)方面,新一代防火墻采用兩種獨(dú)立的域名服務(wù)器:一種是內(nèi)部DNS服務(wù)器,主要處理內(nèi)部網(wǎng)絡(luò)和DNS信息;另一種是外部DNS服務(wù)器,專(zhuān)門(mén)用于處理機(jī)構(gòu)內(nèi)部向Internet提供的部分DNS信息。在匿名FTP方面,服務(wù)器只提供對(duì)有限的受保護(hù)的部分目錄的只讀訪問(wèn)。在WWW服務(wù)器中,只支持靜態(tài)的網(wǎng)頁(yè),而不允許圖形或CGI代碼等在防火墻內(nèi)運(yùn)行。在Finger服務(wù)器中,對(duì)外部訪問(wèn),防火墻只提供可由內(nèi)部用戶(hù)配置的基本的文本信息,而不提供任何與攻擊有關(guān)的系統(tǒng)信息。SMTP與POP郵件服務(wù)器要對(duì)所有進(jìn)、出防火墻的郵件做處理,并利用郵件映射與標(biāo)頭剝除的方法隱除內(nèi)部的郵件環(huán)境。Ident服務(wù)器對(duì)用戶(hù)連接的識(shí)別做專(zhuān)門(mén)處理,網(wǎng)絡(luò)新聞服務(wù)則為接收來(lái)自ISP的新聞開(kāi)設(shè)了專(zhuān)門(mén)的磁盤(pán)空間。
(6)安全服務(wù)器網(wǎng)絡(luò)(SSN)。
為了適應(yīng)越來(lái)越多的用戶(hù)向Internet上提供服務(wù)時(shí)對(duì)服務(wù)器的需要,新一代防火墻采用分別保護(hù)的策略對(duì)用戶(hù)上網(wǎng)的對(duì)外服務(wù)器實(shí)施保護(hù),它利用一張網(wǎng)卡將對(duì)外服務(wù)器作為一個(gè)獨(dú)立網(wǎng)絡(luò)處理,對(duì)外服務(wù)器既是內(nèi)部網(wǎng)絡(luò)的一部分,又與內(nèi)部網(wǎng)關(guān)完全隔離,這就是安全服務(wù)器網(wǎng)絡(luò)(SSN)技術(shù)。而對(duì)SSN上的主機(jī)既可單獨(dú)管理,也可設(shè)置成通過(guò)FTP、Telnet等方式從內(nèi)部網(wǎng)上管理。SSN方法提供的安全性要比傳統(tǒng)的“隔離區(qū)(DMZ)”方法好得多,因?yàn)镾SN與外部網(wǎng)之間有防火墻保護(hù),SSN與內(nèi)部網(wǎng)之間也有防火墻的保護(hù),而DMZ只是一種在內(nèi)、外部網(wǎng)絡(luò)網(wǎng)關(guān)之間存在的一種防火墻方式。換言之,一旦SSN受破壞,內(nèi)部網(wǎng)絡(luò)仍會(huì)處于防火墻的保護(hù)之下,而一旦DMZ受到破壞,內(nèi)部網(wǎng)絡(luò)便暴露于攻擊之下。
(7)用戶(hù)鑒別與加密。
為了降低防火墻產(chǎn)品在Ielnet、FTP等服務(wù)和遠(yuǎn)程管理上的安全風(fēng)險(xiǎn),鑒別功能必不可少。新一代防火墻采用一次性使用的口令系統(tǒng)來(lái)作為用戶(hù)的鑒別手段,并實(shí)現(xiàn)了對(duì)郵件的加密。
(8)用戶(hù)定制服務(wù)。
為了滿(mǎn)足特定用戶(hù)的特定需求,新一代防火墻在提供眾多服務(wù)的同時(shí),還為用戶(hù)定制提供支持,這類(lèi)選項(xiàng)有:通用TCP、出站UDP、FTP、SMTP等,如果某一用戶(hù)需要建立一個(gè)數(shù)據(jù)庫(kù)的代理,便可以利用這些支持,方便設(shè)置。
(9)審計(jì)和告警。
新一代防火墻產(chǎn)品采用的審計(jì)和告警功能十分健全,日志文件包括:一般信息、內(nèi)核信息、核心信息、接收郵件、郵件路徑、發(fā)送郵件、已收消息、已發(fā)消息、連接需求、已鑒別的訪問(wèn)、告警條件、管理日志、進(jìn)站代理、FTP代理、出站代理、郵件服務(wù)器、域名服務(wù)器等。此外,防火墻還在網(wǎng)絡(luò)診斷、數(shù)據(jù)備份保全等方面具有特色。
根據(jù)以上9種技術(shù)，在次我根據(jù)包過(guò)濾（Packet filter）防火墻技術(shù)和應(yīng)用層網(wǎng)關(guān)級(jí)（Application level gatewav）防火墻技術(shù)再重點(diǎn)介紹其兩主要防火墻的構(gòu)造。
其一是包過(guò)濾型防火墻。
它一般由路由器實(shí)現(xiàn)，故也被稱(chēng)為包過(guò)濾路由器。如圖6所示：
它在網(wǎng)絡(luò)層對(duì)進(jìn)入和出去內(nèi)部網(wǎng)絡(luò)的所有信息進(jìn)行分析，一般檢查數(shù)據(jù)包的IP源地址、IP目標(biāo)地址、TCP端口號(hào)、ICMP消息類(lèi)型，并按照信息過(guò)濾規(guī)則進(jìn)行篩選，若符合規(guī)則，則允許該數(shù)據(jù)包通過(guò)防火墻進(jìn)入內(nèi)部網(wǎng)，否則進(jìn)行報(bào)警或通知管理員，并且丟棄該包。這樣一來(lái)，路由器能根據(jù)特定的劌則允許或拒絕流動(dòng)的數(shù)據(jù)，如：Telnet服務(wù)器在TCP的23號(hào)端口監(jiān)聽(tīng)遠(yuǎn)程連接，若管理員想阻塞所有進(jìn)入的Telnet連接，過(guò)濾規(guī)則只需設(shè)為丟棄所有的TCP端口號(hào)為23的數(shù)據(jù)包。采用這種技術(shù)的防火墻速度快，實(shí)現(xiàn)方便，但由于它是通過(guò)IP地址來(lái)判斷數(shù)據(jù)包是否允許通過(guò)，沒(méi)有基于用戶(hù)的認(rèn)證，而IP地址可以偽造成可信任的外部主機(jī)地址，另外它不能提供日志，這樣一來(lái)就無(wú)法發(fā)現(xiàn)黑客的攻擊紀(jì)錄。
其二是應(yīng)用級(jí)防火墻。
大多數(shù)的應(yīng)用級(jí)防火墻產(chǎn)品使用的是應(yīng)用代理機(jī)制，內(nèi)置了代理應(yīng)用程序，可用代理服務(wù)器作內(nèi)部網(wǎng)和Internet之間的的轉(zhuǎn)換。若外部網(wǎng)的用戶(hù)要訪問(wèn)內(nèi)部網(wǎng)，它只能到達(dá)代理服務(wù)器，若符合條件，代理服務(wù)器會(huì)到內(nèi)部網(wǎng)取出所需的信息，轉(zhuǎn)發(fā)出去。同樣道理，內(nèi)部網(wǎng)要訪問(wèn)Internet,也要通過(guò)代理服務(wù)器的轉(zhuǎn)接，這樣能監(jiān)控內(nèi)部用戶(hù)訪問(wèn)Internet.這類(lèi)防火墻能詳細(xì)記錄所有的訪問(wèn)紀(jì)錄，但它不允許內(nèi)部用戶(hù)直接訪問(wèn)外部，會(huì)使速度變慢。且需要對(duì)每一個(gè)特定的Internet服務(wù)安裝相應(yīng)的代理服務(wù)器軟件，用戶(hù)無(wú)法使用未被服務(wù)器支持的服務(wù)。
如圖7所示：
防火墻技術(shù)從其功能上來(lái)分，又可分為FTP防火墻、Telnet防火墻、Email防火墻、病毒防火墻等各種專(zhuān)用防火墻。通常幾種防火墻技術(shù)被一起使用來(lái)彌補(bǔ)各自的缺陷，增加系統(tǒng)的安全性能。
防火墻雖然能對(duì)外部網(wǎng)絡(luò)的功擊實(shí)施有效的防護(hù)，但對(duì)來(lái)自?xún)?nèi)部網(wǎng)絡(luò)的功擊卻無(wú)能為力。網(wǎng)絡(luò)安全單靠防火墻是不夠的，還需考慮其它技術(shù)和非技術(shù)的因素，如信息加密技術(shù)、制訂法規(guī)、提高網(wǎng)絡(luò)管理使用人員的安全意識(shí)等。就防火墻本身來(lái)看，包過(guò)濾技術(shù)和代理訪問(wèn)模式等都有一定的局限性，因此人們正在尋找更有效的防火墻，如加密路由器、“身份證”、安全內(nèi)核等。但實(shí)踐證明，防火墻仍然是網(wǎng)絡(luò)安全中最成熟的一種技術(shù)。
二、數(shù)據(jù)加密技術(shù) 在電子商務(wù)中，信息加密技術(shù)是其它安全技術(shù)的基礎(chǔ)。加密的主要目的是防止信息的非授權(quán)泄露。加密可用于傳輸信息和存儲(chǔ)信息。從譜分析的角度看，加密吧聲音變成噪聲，把圖像變成雪花，把計(jì)算機(jī)數(shù)據(jù)變成一堆無(wú)規(guī)律的、雜亂無(wú)章的字符。攻擊者即使得到經(jīng)過(guò)加密的信息即密文，也無(wú)法辨認(rèn)原文。因此，加密可以有效的對(duì)抗截收、非法訪問(wèn)數(shù)據(jù)庫(kù)竊取信息等威脅。
加密技術(shù)是一種主動(dòng)的信息安全防范措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成為無(wú)意義的密文，阻止非法用戶(hù)理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。明文變?yōu)槊芪牡倪^(guò)程稱(chēng)為加密，由密文還原為明文的過(guò)程稱(chēng)為解密，加密和解密的規(guī)則稱(chēng)為密碼算法。在加密和解密的過(guò)程中，由加密者和解密者使用的加解密可變參數(shù)叫做密鑰。據(jù)加密的方法很多，常用的有兩大類(lèi)。一種是對(duì)稱(chēng)加密。一種是非對(duì)稱(chēng)密鑰加密。
對(duì)稱(chēng)加密也叫秘密密鑰加密。發(fā)送方用密鑰加密明文，傳送給接收方，接收方用同一密鑰解密。其特點(diǎn)是加密和解密使用的是同一個(gè)密鑰。
如圖6所示
：
如果一個(gè)加密系統(tǒng)的加密密鑰和解密密鑰相同，或者雖然不相同，但是由其中任意一個(gè)可以很容易的推導(dǎo)出另一個(gè)，所采用的就是對(duì)稱(chēng)密碼算法。對(duì)稱(chēng)密碼算法的密鑰必須妥善保管，因?yàn)槿魏稳藫碛辛怂涂梢越忾_(kāi)加密信息。對(duì)稱(chēng)密碼算法的優(yōu)點(diǎn)是計(jì)算開(kāi)銷(xiāo)小，加密速度快，是目前用于信息加密的主要算法。但是，對(duì)稱(chēng)加密技術(shù)存在著通信的貿(mào)易方之間確保密鑰安全交換的問(wèn)題。此外，當(dāng)某一貿(mào)易方有N個(gè)貿(mào)易關(guān)系，那么他就要擁有并維護(hù)N個(gè)專(zhuān)用密鑰（即每把密鑰對(duì)應(yīng)一個(gè)貿(mào)易方）。對(duì)稱(chēng)加密方式存在的另一個(gè)問(wèn)題是無(wú)法鑒別貿(mào)易發(fā)起方或貿(mào)易最終方。因?yàn)橘Q(mào)易雙方共享同一把專(zhuān)用密鑰，貿(mào)易雙方的任何信息都是通過(guò)這把密鑰加密后傳送給對(duì)方的，也不能保證信息傳送的完整性
非對(duì)稱(chēng)密鑰加密也叫公開(kāi)密鑰加密。如圖7所示：
公鑰加密法是在對(duì)數(shù)據(jù)加解密時(shí)，使用不同的密鑰，在通信雙方各具有兩把密鑰，一把公鑰和一把密鑰。公鑰對(duì)外界公開(kāi)，私鑰自己保管，用公鑰加密的信息，只能用對(duì)應(yīng)的私鑰解密，同樣地，用私鑰解密的數(shù)據(jù)只能用對(duì)應(yīng)的公鑰解密。電子商務(wù)的安全加密系統(tǒng)，傾向于組合應(yīng)用對(duì)稱(chēng)密碼算法和非對(duì)稱(chēng)密碼算法。對(duì)稱(chēng)密碼算法用于信息加密，非對(duì)稱(chēng)密碼算法用于密碼分發(fā)、數(shù)字簽名及身份鑒別等。對(duì)文件加密傳輸?shù)膶?shí)際過(guò)程包括四步：
第一步，文件發(fā)送方產(chǎn)生一個(gè)對(duì)稱(chēng)密鑰，并將此密鑰用文件接收方的公鑰加密后，通過(guò)網(wǎng)絡(luò)傳送給接收方。
第二步，文件發(fā)送方用對(duì)稱(chēng)密鑰將需要傳輸?shù)奈募用芎?，再通過(guò)網(wǎng)絡(luò)傳送給接收方。第三步，接收方用自己的私鑰將收到的經(jīng)過(guò)加密的對(duì)稱(chēng)密鑰進(jìn)行解密，得到發(fā)送方的對(duì)稱(chēng)密鑰。
第四步，接收方用得到的對(duì)稱(chēng)密鑰講解收到的經(jīng)過(guò)加密的文件進(jìn)行解密，從而得到文件的原文。
這個(gè)過(guò)程包含了兩個(gè)加密解密過(guò)程：密鑰的加解密和文件本身的加解密。在密鑰的加密過(guò)程中，由于發(fā)送方甲用乙的公鑰加密了自己的私鑰，如果文件被竊取，由于只有乙保管自己的私鑰，黑客無(wú)法解密。這就保證了信息的機(jī)密性。另外，發(fā)送方甲用自己的私鑰加密信息，因?yàn)樾畔⑹怯眉椎乃借€加密，只有甲保管它，可以認(rèn)定信息是甲發(fā)出的，而且沒(méi)有甲的私鑰不能修改數(shù)據(jù)。可以保證信息的不可抵賴(lài)性。
公開(kāi)密鑰加密典型的代表是RSA算法，它是由Rivest、Shamir、Adleman三人于1977年提出的一個(gè)公鑰加密算法。但是RSA的加密解密要兩次，處理和計(jì)算量都比較大，速度慢，所以只適合于少量數(shù)據(jù)的加密。因此，在當(dāng)前的加密應(yīng)用中，經(jīng)常使用對(duì)稱(chēng)密鑰來(lái)對(duì)文本加密和解密，用非對(duì)稱(chēng)RSA加密體系對(duì)私鑰加密和解密。發(fā)送方把密文和加密后的私鑰一起發(fā)送給接收方。使用這種聯(lián)合加密法，不僅可以確保數(shù)據(jù)的保密性，而且還可以實(shí)現(xiàn)一種名為數(shù)字簽名的認(rèn)證機(jī)制。發(fā)送者私鑰加密的數(shù)據(jù)可以提供對(duì)發(fā)送者身份的認(rèn)證，接收者私鑰加密的數(shù)據(jù)可以提供對(duì)接收者身份的認(rèn)證。
結(jié)論：
防火墻技術(shù)和數(shù)據(jù)加密是網(wǎng)絡(luò)安全的手段，是用來(lái)拒絕未經(jīng)授權(quán)的用戶(hù)訪問(wèn)，阻止未經(jīng)授權(quán)的用戶(hù)存取敏感數(shù)據(jù)，同時(shí)允許合法用戶(hù)不受妨礙地訪問(wèn)網(wǎng)絡(luò)資源，如果使用得當(dāng)，可以在很大程度上提高網(wǎng)絡(luò)安全性能，但是并不能百分之百解決網(wǎng)絡(luò)上的信息安全問(wèn)題，安防病毒的軟件并定期執(zhí)行檢測(cè)，使用數(shù)字簽名技術(shù)和數(shù)字證書(shū)等等，都是加強(qiáng)電子商務(wù)安全的重要技術(shù)措施。當(dāng)然，任何一個(gè)安全產(chǎn)品或技術(shù)都不會(huì)提供永遠(yuǎn)和絕對(duì)的安全，因?yàn)榫W(wǎng)絡(luò)在變化，應(yīng)用在變化，入侵和破壞的手段也在變化，只有技術(shù)的不斷進(jìn)步才是真正的出路。
參考文獻(xiàn)： 謝琳.防火墻策略與VPN配置，2007，16(4)：110－114 2 凌捷.計(jì)算機(jī)安全技術(shù)及應(yīng)用，2004（5）：210－235 3 毛薇，李濤等.計(jì)算機(jī)網(wǎng)絡(luò)防火墻技術(shù).信息與管理工程版，2007，24（4）：43－45 4 劉沙.數(shù)據(jù)加密技術(shù)的安全策略，2007，16(4)：15－17 5 陳姝，電子商務(wù)安全技術(shù).2007，38（13）：20－23 6 王明偉.電子商務(wù)安全技術(shù)的發(fā)展.，2004（6）：97－100 7 王水，余光莉等.計(jì)算機(jī)與網(wǎng)絡(luò)，2007（13）：51－52 8 韓松.網(wǎng)絡(luò)與信息，2007，16(4)：17－19
第四篇：電子商務(wù)安全技術(shù)論文
加密技術(shù)是一種主動(dòng)的信息安全防范措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成為無(wú)意義的密文，阻止非法用戶(hù)理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。明文變?yōu)槊芪牡倪^(guò)程稱(chēng)為加密，由密文還原為明文的過(guò)程稱(chēng)為解密，加密和解密的規(guī)則稱(chēng)為密碼算法。在加密和解密的過(guò)程中，由加密者和解密者使用的加解密可變參數(shù)叫做密鑰。
目前，獲得廣泛應(yīng)用的兩種加密技術(shù)是對(duì)稱(chēng)密鑰加密體制和非對(duì)稱(chēng)密鑰加密體制。它們的主要區(qū)別在于所使用的加密和解密的密碼是否相同。
1．對(duì)稱(chēng)密鑰加密體制
對(duì)稱(chēng)密鑰加密，又稱(chēng)私鑰加密，即信息的發(fā)送方和接收方用一個(gè)密鑰去加密和解密數(shù)據(jù)。它的最大優(yōu)勢(shì)是加/解密速度快，適合于對(duì)大數(shù)據(jù)量進(jìn)行加密，但密鑰管理困難。
使用對(duì)稱(chēng)加密技術(shù)將簡(jiǎn)化加密的處理，每個(gè)參與方都不必彼此研究和交換專(zhuān)用設(shè)備的加密算法，而是采用相同的加密算法并只交換共享的專(zhuān)用密鑰。如果進(jìn)行通信的雙方能夠確保專(zhuān)用密鑰在密鑰交換階段未曾泄露，那么機(jī)密性和報(bào)文完整性就可以通過(guò)使用對(duì)稱(chēng)加密方法對(duì)機(jī)密信息進(jìn)行加密以及通過(guò)隨報(bào)文一起發(fā)送報(bào)文摘要或報(bào)文散列值來(lái)實(shí)現(xiàn)。
2．非對(duì)稱(chēng)密鑰加密體制
非對(duì)稱(chēng)密鑰加密系統(tǒng)，又稱(chēng)公鑰密鑰加密。它需要使用一對(duì)密鑰來(lái)分別完成加密和解密操作，一個(gè)公開(kāi)發(fā)布，即公開(kāi)密鑰，另一個(gè)由用戶(hù)自己秘密保存，即私用密鑰。信息發(fā)送者用公開(kāi)密鑰去加密，而信息接收者則用私用密鑰去解密。公鑰機(jī)制靈活，但加密和解密速度卻比對(duì)稱(chēng)密鑰加密慢得多。
在非對(duì)稱(chēng)加密體系中，密鑰被分解為一對(duì)。這對(duì)密鑰中的任何一把都可作為公開(kāi)密鑰（加密密鑰）通過(guò)非保密方式向他人公開(kāi)，而另一把則作為私用密鑰（解密密鑰）加以保存。私用密鑰只能由生成密鑰對(duì)的貿(mào)易方掌握，公開(kāi)密鑰可廣泛發(fā)布。
該方案實(shí)現(xiàn)信息交換的過(guò)程是：貿(mào)易方甲生成一對(duì)密鑰并將其中的一把作為公開(kāi)密鑰向其他貿(mào)易方公開(kāi)；得到該公開(kāi)密鑰的貿(mào)易方乙使用該密鑰對(duì)信息進(jìn)行加密后再發(fā)送給貿(mào)易方甲；貿(mào)易方甲再用自己保存的另一把專(zhuān)用密鑰對(duì)加密信息進(jìn)行解密。
認(rèn)證技術(shù)
安全認(rèn)證的主要作用是進(jìn)行信息認(rèn)證。信息認(rèn)證的目的為：（1）確認(rèn)信息發(fā)送者的身份；2）驗(yàn)證信息的完整性，即確認(rèn)信息在傳送或存儲(chǔ)過(guò)程中未被篡改過(guò)。下面從安全認(rèn)證技術(shù)和安全認(rèn)證機(jī)構(gòu)兩個(gè)方面來(lái)做介紹。
1．常用的安全認(rèn)證技
安全認(rèn)證技術(shù)主要有數(shù)字摘要、數(shù)字信封、數(shù)字簽名、數(shù)字時(shí)間戳、數(shù)字證書(shū)等。
（1）數(shù)字摘要
數(shù)字摘要是采用單向Hash函數(shù)對(duì)文件中若干重要元素進(jìn)行某種變換運(yùn)算得到固定長(zhǎng)度的摘要碼，并在傳輸信息時(shí)將之加入文件一同送給接收方，接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算，若得到的結(jié)果與發(fā)送來(lái)的摘要碼相同，則可斷定文件未被篡改，反之亦然。
（2）數(shù)字信封
數(shù)字信封是用加密技術(shù)來(lái)保證只有規(guī)定的特定收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信息發(fā)送方采用對(duì)稱(chēng)密鑰來(lái)加密信息，然后將此對(duì)稱(chēng)密鑰用接收方的公開(kāi)密鑰來(lái)加密（這部分稱(chēng)為數(shù)字信封）之后，將它和信息一起發(fā)送給接收方，接收方先用相應(yīng)的私有密鑰打開(kāi)數(shù)字信封，得到對(duì)稱(chēng)密鑰，然后使用對(duì)稱(chēng)密鑰解開(kāi)信息。這種技術(shù)的安全性相當(dāng)高。
（3）數(shù)字簽名
日常生活中，通常用對(duì)某一文檔進(jìn)行簽名來(lái)保證文檔的真實(shí)有效性，防止其抵賴(lài)。在網(wǎng)絡(luò)環(huán)境中，可以用電子數(shù)字簽名作為模擬。
把Hash函數(shù)和公鑰算法結(jié)合起來(lái)，可以在提供數(shù)據(jù)完整性的同時(shí)保證數(shù)據(jù)的真實(shí)性。完整性保證傳輸?shù)臄?shù)據(jù)沒(méi)有被修改，而真實(shí)性則保證是由確定的合法者產(chǎn)生的Hash，而不是由其他人假冒。而把這兩種機(jī)制結(jié)合起來(lái)就可以產(chǎn)生數(shù)字簽名。
（4）數(shù)字時(shí)間戳
在書(shū)面合同中，文件簽署的日期和簽名一樣均是防止文件被偽造和篡改的關(guān)鍵性?xún)?nèi)容。而在電子交易中，同樣需對(duì)交易文件的日期和時(shí)間信息采取安全措施，而數(shù)字時(shí)間戳服務(wù)就能提供電子文件發(fā)表時(shí)間的安全保護(hù)。數(shù)字時(shí)間戳服務(wù)（DTS）是網(wǎng)絡(luò)安全服務(wù)項(xiàng)目，由專(zhuān)門(mén)的機(jī)構(gòu)提供。時(shí)間戳是一個(gè)經(jīng)加密后形成的憑證文檔，它包括三個(gè)部分：需加時(shí)間戳的文件的摘要、DTS收到文件的日期和時(shí)間、DTS的數(shù)字簽名。
（5）數(shù)字證書(shū)
在交易支付過(guò)程中，參與各方必須利用認(rèn)證中心簽發(fā)的數(shù)字證書(shū)來(lái)證明各自的身份。所謂數(shù)字證書(shū)，就是用電子手段來(lái)證實(shí)一個(gè)用戶(hù)的身份及用戶(hù)對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限。
數(shù)字證書(shū)是用來(lái)惟一確認(rèn)安全電子商務(wù)交易雙方身份的工具。由于它由證書(shū)管理中心做了數(shù)字簽名，因此任何第三方都無(wú)法修改證書(shū)的內(nèi)容。任何信用卡持有人只有申請(qǐng)到相應(yīng)的數(shù)字證書(shū)，才能參加安全電子商務(wù)的網(wǎng)上交易。數(shù)字證書(shū)一般有四種類(lèi)型：客戶(hù)證書(shū)、商家證書(shū)、網(wǎng)關(guān)證書(shū)及CA系統(tǒng)證書(shū)。
2．安全認(rèn)證機(jī)構(gòu)
電子商務(wù)授權(quán)機(jī)構(gòu)（CA）也稱(chēng)為電子商務(wù)認(rèn)證中心（Certificate Authority）。在電子交易中，無(wú)論是數(shù)字時(shí)間戳服務(wù)還是數(shù)字證書(shū)的發(fā)放，都不是靠交易雙方自己能完成的，而需要有一個(gè)具有權(quán)威性和公正性的第三方來(lái)完成。
認(rèn)證中心（CA）就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書(shū)，并能確認(rèn)用戶(hù)身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu)，主要任務(wù)是受理數(shù)字證書(shū)的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書(shū)的管理。
安全認(rèn)證協(xié)議
目前電子商務(wù)中有兩種安全認(rèn)證協(xié)議被廣泛使用，即安全套接層SSL（Secure Sockets Layer）協(xié)議和安全電子交易SET（Secure Electronic Transaction）協(xié)議。
1．安全套接層（SSL）協(xié)議
安全套接層協(xié)議是由Netscape公司1994年設(shè)計(jì)開(kāi)發(fā)的安全協(xié)議，主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。SSL協(xié)議的概念可以被概括為：它是一個(gè)保證任何安裝了安全套接層的客戶(hù)和服務(wù)器間事務(wù)安全的協(xié)議，該協(xié)議向基于TCp/Ip的客戶(hù)/服務(wù)器應(yīng)用程序提供了客戶(hù)端和服務(wù)器的鑒別、數(shù)據(jù)完整性及信息機(jī)密性等安全措施。目的是為用戶(hù)提供Internet和企業(yè)內(nèi)聯(lián)網(wǎng)的安全通信服務(wù)。
SSL采用了公開(kāi)密鑰和專(zhuān)有密鑰兩種加密：在建立連接過(guò)程中采用公開(kāi)密鑰；在會(huì)話(huà)過(guò)程中使用專(zhuān)有密鑰。加密的類(lèi)型和強(qiáng)度則在兩端之間建立連接的過(guò)程中判斷決定。它保證了客戶(hù)和服務(wù)器間事務(wù)的安全性。
2．安全電子交易（SET）協(xié)議
安全電子交易是一個(gè)通過(guò)開(kāi)放網(wǎng)絡(luò)進(jìn)行安全資金支付的技術(shù)標(biāo)準(zhǔn)，由VISA和MasterCard組織共同制定，于1997年聯(lián)合推出。由于它得到了IBM、Hp、Microsoft等很多大公司的支持，已成為事實(shí)上的工業(yè)標(biāo)準(zhǔn)，目前已獲得IETF標(biāo)準(zhǔn)的認(rèn)可。這是一個(gè)為Internet上進(jìn)行在線交易而設(shè)立的一個(gè)開(kāi)放的、以電子貨幣為基礎(chǔ)的電子付款規(guī)范。
SET在保留對(duì)客戶(hù)信用卡認(rèn)證的前提下，又增加了對(duì)商家身份的認(rèn)證，這對(duì)于需要支付貨幣的交易來(lái)講是至關(guān)重要的。SET將建立一種能在Internet上安全使用銀行卡購(gòu)物的標(biāo)準(zhǔn)。安全電子交易規(guī)范是一種為基于信用卡而進(jìn)行的電子交易提供安全措施的規(guī)則，是一種能廣泛應(yīng)用于Internet上的安全電子付款協(xié)議，它能夠?qū)⑵毡閼?yīng)用的信用卡的使用場(chǎng)所從目前的商店擴(kuò)展到消費(fèi)者家里，擴(kuò)展到消費(fèi)者個(gè)人計(jì)算機(jī)中。
第五篇：電子商務(wù)安全管理論文
文 章來(lái)
源蓮山 課
件 w w w.5Y
k J.Com 7
摘要：防火墻技術(shù)作為保證電子商務(wù)活動(dòng)中信息安全的第一道有效屏障，受到越來(lái)越多的關(guān)注。本文從防火墻的概念和技術(shù)出發(fā)，詳細(xì)分析了防火墻的功能，并對(duì)其保證安全方法的不同進(jìn)行了分類(lèi)研究。
關(guān)鍵詞：信息安全防火墻過(guò)濾代理遷移
在信息社會(huì)中，信息具有和能源、物源同等的價(jià)值，在某些時(shí)候甚至具有更高的價(jià)值。具有價(jià)值的信息必然存在安全性的問(wèn)題，對(duì)于企業(yè)更是如此。經(jīng)濟(jì)社會(huì)的發(fā)展更要求各用戶(hù)之間的通信和資源共享，需要將一批計(jì)算機(jī)連成網(wǎng)絡(luò)才能保證電子商務(wù)活動(dòng)的正常開(kāi)展，這樣就帶來(lái)了更多的安全隱患。特別是對(duì)當(dāng)今最大的網(wǎng)絡(luò)——國(guó)際互聯(lián)網(wǎng)，很容易遭到別有用心者的惡意攻擊和破壞。信息的泄露問(wèn)題也變得日益嚴(yán)重，因此，計(jì)算機(jī)網(wǎng)絡(luò)的安全性問(wèn)題就變得越來(lái)越重要。
如何來(lái)保證計(jì)算機(jī)網(wǎng)絡(luò)的安全性呢？方法雖然很多，但防火墻技術(shù)絕對(duì)是其中最高效、實(shí)用的方法之一。在構(gòu)建安全的網(wǎng)絡(luò)環(huán)境的過(guò)程中，防火墻作為第一道安全防線，正受到越來(lái)越多用戶(hù)的關(guān)注。通常一個(gè)公司在購(gòu)買(mǎi)網(wǎng)絡(luò)安全設(shè)備時(shí)，總是把防火墻放在首位。目前，防火墻已經(jīng)成為世界上用得最多的網(wǎng)絡(luò)安全產(chǎn)品之一。那么，防火墻是如何保證網(wǎng)絡(luò)系統(tǒng)的安全，又如何實(shí)現(xiàn)自身安全的呢？本文從防火墻的概念出發(fā)，詳細(xì)分析了防火墻的功能，并按其保證安全方法的不同進(jìn)行了分類(lèi):包過(guò)濾式防火墻、服務(wù)代理式防火墻、地址遷移式防火墻等。
一、防火墻介紹
防火墻是指一種將內(nèi)部網(wǎng)和公眾訪問(wèn)網(wǎng)分開(kāi)的方法，是網(wǎng)絡(luò)之間一種特殊的訪問(wèn)控制設(shè)施。在Internet網(wǎng)絡(luò)與內(nèi)部網(wǎng)之間設(shè)置的一道屏障，防止黑客進(jìn)入內(nèi)部網(wǎng)，由用戶(hù)制定安全訪問(wèn)策略，抵御各種侵襲的一種隔離技術(shù)。它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，將“不同意”的人和數(shù)據(jù)拒之門(mén)外，最大限度地阻止網(wǎng)絡(luò)中的黑客來(lái)訪問(wèn)你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息；能限制被保護(hù)的網(wǎng)絡(luò)與互聯(lián)網(wǎng)絡(luò)之間，或者與其他網(wǎng)絡(luò)之間進(jìn)行的信息存取、傳遞操作；能根據(jù)企業(yè)的安全策略控制出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個(gè)分離器，一個(gè)限制器，也是一個(gè)分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動(dòng)，保證了內(nèi)部網(wǎng)絡(luò)的安全。防火墻的安全技術(shù)包括包過(guò)濾技術(shù)、代理技術(shù)和地址遷移技術(shù)等。
二、防火墻的作用
1.作為網(wǎng)絡(luò)安全的屏障
只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻，可使網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止NFS協(xié)議進(jìn)出受保護(hù)的網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來(lái)攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如Ip選項(xiàng)中的源路由攻擊和ICMp重定向中的重定向路徑。防火墻應(yīng)該可以拒絕所有以上類(lèi)型攻擊的報(bào)文并通知防火墻管理員。
2.可以強(qiáng)化網(wǎng)絡(luò)安全策略
通過(guò)以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計(jì)等）配置在防火墻上。與將網(wǎng)絡(luò)安全問(wèn)題分散到各個(gè)主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問(wèn)時(shí)，一次一密口令系統(tǒng)和其他的身份認(rèn)證系統(tǒng)完全可以不必分散在各個(gè)主機(jī)上，而集中在防火墻身上。
3.可以對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行監(jiān)控審計(jì)
如果所有的訪問(wèn)都經(jīng)過(guò)防火墻，那么，防火墻就能記錄下這些訪問(wèn)并做出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。另外，收集一個(gè)網(wǎng)絡(luò)的使用和誤用情況也是非常重要的?？梢郧宄阑饓κ欠衲軌虻謸豕粽叩奶綔y(cè)和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計(jì)對(duì)網(wǎng)絡(luò)需求分析和威脅分析等也是非常重要的。
4.可以防止內(nèi)部信息的外泄
通過(guò)利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問(wèn)題對(duì)全局網(wǎng)絡(luò)造成的影響。
三、防火墻的技術(shù)分類(lèi)
1.包過(guò)濾技術(shù)（packet Filter）式防火墻
包過(guò)濾是在網(wǎng)絡(luò)層中對(duì)數(shù)據(jù)包實(shí)施有選擇的通過(guò)，依據(jù)系統(tǒng)事先設(shè)定好的過(guò)濾邏輯，檢查數(shù)據(jù)據(jù)流中的每個(gè)數(shù)據(jù)包，根據(jù)數(shù)據(jù)包的源地址、目標(biāo)地址，以及包所使用端口確定是否允許該類(lèi)數(shù)據(jù)包通過(guò)。在互聯(lián)網(wǎng)這樣的信息包交換網(wǎng)絡(luò)上，所有往來(lái)的信息都被分割成許許多多一定長(zhǎng)度的信息包，包中包括發(fā)送者的Ip地址和接收者的Ip地址。當(dāng)這些包被送上互聯(lián)網(wǎng)時(shí)，路由器會(huì)讀取接收者的Ip并選擇一條物理上的線路發(fā)送出去，信息包可能以不同的路線抵達(dá)目的地，當(dāng)所有的包抵達(dá)后會(huì)在目的地重新組裝還原。包過(guò)濾式的防火墻會(huì)檢查所有通過(guò)信息包里的Ip地址，并按照系統(tǒng)管理員所給定的過(guò)濾規(guī)則過(guò)濾信息包。如果防火墻設(shè)定某一Ip為危險(xiǎn)的話(huà)，從這個(gè)地址而來(lái)的所有信息都會(huì)被防火墻屏蔽掉。這種防火墻的用法很多，比如國(guó)家有關(guān)部門(mén)可以通過(guò)包過(guò)濾防火墻來(lái)禁止國(guó)內(nèi)用戶(hù)去訪問(wèn)那些違反我國(guó)有關(guān)規(guī)定或者“有問(wèn)題”的國(guó)外站點(diǎn)。包過(guò)濾路由器的最大的優(yōu)點(diǎn)就是它對(duì)于用戶(hù)來(lái)說(shuō)是透明的，也就是說(shuō)不需要用戶(hù)名和密碼來(lái)登錄。這種防火墻速度快而且易于維護(hù)，通常做為第一道防線。包過(guò)濾路由器的弊端也是很明顯的，通常它沒(méi)有用戶(hù)的使用記錄，這樣就不能從訪問(wèn)記錄中發(fā)現(xiàn)黑客的攻擊記錄。而攻擊一個(gè)單純的包過(guò)濾式的防火墻對(duì)黑客來(lái)說(shuō)是比較容易的。如“信息包沖擊”是黑客比較常用的一種攻擊手段，黑客們對(duì)包過(guò)濾式防火墻發(fā)出一系列信息包，不過(guò)這些包中的Ip地址已經(jīng)被替換掉了，取而代之的是一串順序的Ip地址。一旦有一個(gè)包通過(guò)了防火墻，黑客便可以用這個(gè)Ip地址來(lái)偽裝他們發(fā)出的信息。通常它沒(méi)有用戶(hù)的使用記錄，這樣我們就不能從訪問(wèn)記錄中發(fā)現(xiàn)黑客的攻擊記錄；此外，配置繁瑣也是包過(guò)濾防火墻的一個(gè)缺點(diǎn)。它阻擋別人進(jìn)入內(nèi)部網(wǎng)絡(luò)，但也不告訴你何人進(jìn)入你的系統(tǒng)，或者何人從內(nèi)部進(jìn)入網(wǎng)際網(wǎng)路。它可以阻止外部對(duì)私有網(wǎng)絡(luò)的訪問(wèn)，卻不能記錄內(nèi)部的訪問(wèn)。包過(guò)濾另一個(gè)關(guān)鍵的弱點(diǎn)就是不能在用戶(hù)級(jí)別上進(jìn)行過(guò)濾，即不能鑒別不同的用戶(hù)和防止ip地址盜用。所以說(shuō)包過(guò)濾型防火墻是某種意義上的安全系統(tǒng)。
2.代理服務(wù)式防火墻
代理服務(wù)是另一種類(lèi)型的防火墻，它通常是一個(gè)軟件模塊，運(yùn)行在一臺(tái)主機(jī)上。代理服務(wù)器與路由器的合作，路由器實(shí)現(xiàn)內(nèi)部和外部網(wǎng)絡(luò)交互時(shí)的信息流導(dǎo)向，將所有的相關(guān)應(yīng)用服務(wù)請(qǐng)求傳遞給代理服務(wù)器。代理服務(wù)作用在應(yīng)用層，其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過(guò)對(duì)每種應(yīng)用服務(wù)編制專(zhuān)門(mén)的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。代理服務(wù)的實(shí)質(zhì)是中介作用，它不允許內(nèi)部網(wǎng)和外部網(wǎng)之間進(jìn)行直接的通信。
用戶(hù)希望訪問(wèn)內(nèi)部網(wǎng)某個(gè)應(yīng)用服務(wù)器時(shí)，實(shí)際上是向運(yùn)行在防火墻上的代理服務(wù)軟件提出請(qǐng)求，建立連接;理服務(wù)器代表它向要訪問(wèn)的應(yīng)用系統(tǒng)提出請(qǐng)求，建立連接;應(yīng)用系統(tǒng)給予代理服務(wù)器響應(yīng);代理服務(wù)器給予外部網(wǎng)用戶(hù)以響應(yīng)。外部網(wǎng)用戶(hù)與應(yīng)用服務(wù)器之間的數(shù)據(jù)傳輸全部由代理服務(wù)器中轉(zhuǎn)，外部網(wǎng)用戶(hù)無(wú)法直接與應(yīng)用服務(wù)器交互，避免了來(lái)自外部用戶(hù)的攻擊。通常代理服務(wù)是針對(duì)特定的應(yīng)用服務(wù)而言的，不同的應(yīng)用服務(wù)可以設(shè)置不同的代理服務(wù)器。目前，很多內(nèi)部網(wǎng)絡(luò)都同時(shí)使用分組過(guò)濾路由器和代理服務(wù)器來(lái)保證內(nèi)部網(wǎng)絡(luò)的安全性，并且取得了較好的效果。
3.地址遷移式防火墻
由于多種原因，Ipv4地址逐步面臨耗盡的危機(jī)，而Ipv6的實(shí)際應(yīng)用還有待時(shí)日。隨著企業(yè)上網(wǎng)的人數(shù)增多，企業(yè)獲得的公共Ip地址（稱(chēng)全局Ip地址，或者實(shí)際Ip地址）可能難以和企業(yè)上網(wǎng)的實(shí)際設(shè)備數(shù)目匹配，這種現(xiàn)象具有加劇的傾向。一種可能的解決方案是為每個(gè)企業(yè)分配若干個(gè)全局Ip地址，企業(yè)網(wǎng)內(nèi)部使用自定義的Ip地址（稱(chēng)為本地Ip地址或者虛擬Ip地址）。當(dāng)內(nèi)外用戶(hù)希望相互訪問(wèn)時(shí),專(zhuān)門(mén)的路由器（NAT路由器）負(fù)責(zé)全局/本地Ip地址的映射。NAT路由器位于不同地址域的邊界處，通過(guò)保留部分全局Ip地址的分配權(quán)來(lái)支持Ip數(shù)據(jù)報(bào)的跨網(wǎng)傳輸。其工作原理:(1)地址綁定（靜態(tài)或者動(dòng)態(tài)的建立本地/全局地址的映射關(guān)系）;(2)地址查找和轉(zhuǎn)換（對(duì)數(shù)據(jù)報(bào)中的相關(guān)地址信息進(jìn)行修改）;(3)地址解綁定（釋放全局地址）。
地址遷移式防火墻實(shí)際上融合了分組過(guò)濾和應(yīng)用代理的設(shè)計(jì)思想，可以根據(jù)應(yīng)用的需求限定允許內(nèi)外網(wǎng)訪問(wèn)的結(jié)點(diǎn)；可以屏蔽內(nèi)網(wǎng)的地址，保證內(nèi)網(wǎng)的安全性。數(shù)據(jù)報(bào)分析是NAT路由器必須做的工作（例如，修改Ip數(shù)據(jù)報(bào)攜帶的高層協(xié)議數(shù)據(jù)單元中的地址信息），因此可以有選擇地提供/拒絕部分跨網(wǎng)的應(yīng)用服務(wù)。
四、小結(jié)
在互聯(lián)網(wǎng)上防火墻是一種非常有效的網(wǎng)絡(luò)安全模型，通過(guò)它可以隔離風(fēng)險(xiǎn)區(qū)域與安全區(qū)域的連接，同時(shí)不會(huì)妨礙人們對(duì)風(fēng)險(xiǎn)區(qū)域的訪問(wèn)。隨著電子商務(wù)的不斷發(fā)展，防火墻技術(shù)必將在網(wǎng)絡(luò)安全方面著發(fā)揮更加重要的作用和價(jià)值。
參考文獻(xiàn):
[1]高峰許南山:防火墻包過(guò)濾規(guī)則問(wèn)題的研究[J].應(yīng)用,2003,23(6)
[2]趙啟斌梁京章:防火墻過(guò)濾規(guī)則異常的研究[J].工程,2005.12
[3]謝希仁:計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)[M].北京:電子工業(yè)出版社,1999
文 章來(lái)
源蓮山 課
件 w w w.5Y
k J.Com 7
點(diǎn)擊咨詢(xún) 