第4章电子商务安全.

第4章电子商务安全内容提要：计算机病毒防治防火墙技术安全检测措施识别和认证技术电子加密技术安全电子交易技术课前案例：案例：网银大盗讨论内容：随着网络的发展，一系列侵犯网络安全和信息安全的恶性事件不断地给人们敲响警钟。请您阐述一下自己在网络安全和信息安全方面的经历？网络安全的定义根据国际标准化组织ISO对网络安全的定义，它是指为数据处理系统建立和采取的科技和管理的安全保护，以保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和显露。3.1网络安全与防范3.1.1计算机病毒防治一、网络病毒的威胁1、计算机网络病毒的类型（1）蠕虫（2）逻辑炸弹（3）特洛伊木马（4）陷阱入口（5）核心大战2、计算机网络病毒的危害(1)对网络的危害病毒程序通过“自我复制”传染正在运行的其他程序，并与正常运行的程序争夺计算机资源；病毒程序可冲毁存储器中的大量数据，致使计算机其他用户的数据蒙受损失；病毒不仅侵害所使用的计算机系统，而且侵害与该系统联网的其他计算机系统；病毒程序可导致以计算机为核心的网络失灵。（2）病毒对计算机的危害破坏磁盘文件分配表，使用户在磁盘上的信息丢失；将非法数据置入操作系统（如DOS的内存参数区），引起系统崩溃；删除硬盘或软盘上特定的可执行文件或数据文件；修改或破坏文件的数据；影响内存常驻程序的正常执行；在磁盘上产生虚假坏分区，从而破坏有关的程序或数据文件；更改或重新写入磁盘的卷标号；不断反复传染拷贝，造成存储空间减少，并影响系统运行效率；对整个磁盘或磁盘上的特定磁道进行格式化；系统挂起，造成显示屏幕或键盘的封锁状态。二、企业范围的病毒防治有效的多层保护措施必须具备：集成性：所有的保护措施必须在逻辑上是统一的和相互配合的。单点管理：作为一个集成的解决方案，最基本的一条是必须有一个安全管理的聚焦点。自动化：系统需要有能自动更新病毒特征码数据库和其它相关信息的功能。多层分布：这个解决方案应该是多层次的，适当的防毒部件在适当的位置分发出去，最大限度地发挥作用，而又不会影响网络负担。防毒软件应该安装在服务器工作站和邮件系统上。1、网络反病毒技术（1）预防病毒技术（2）检测病毒技术（3）消除病毒技术2、计算机病毒的防范措施（1）给自己的电脑安装防病毒软件（2）认真执行病毒定期清理制度（3）控制权限（4）高度警惕网络陷阱（5）不打开陌生地址的电子邮件三、布署和管理防病毒软件布署一种防病毒软件的实际操作一般包括以下步骤：1、制定计划。了解在你所管理的网络上存放的是什么类型的数据和信息。2、调查。选择一种能满足你的要求并且具备尽量多的前面所提到的各种功能的防病毒软件。3、测试。在小范围内安装和测试所选择的防病毒软件，确保其工作正常并且与现有的网络系统和应用软件相兼容。4、维护。管理和更新系统确保其能发挥预计的功能，并且可以利用现有的设备和人员进行管理；下载病毒特征码数据库更新文件，在测试范围内进行升级，彻底理解这种防病毒系统的重要方面。5、系统安装。在测试得到满意结果后，就可以将此种防病毒软件安装在整个网络范围内。3.1.2防火墙技术一、防火墙原理防火墙（FireWall）是一种隔离控制技术，在某个机构的网络和不安全的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止专利信息从企业的网络上被非法输出。防火墙是一种被动防卫技术，由于它假设了网络的边界和服务，因此对内部的非法访问难以有效地控制，因此，防火墙最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络。二、防火墙的种类真正意义下的防火墙有两类：一类被称为标准防火墙；一类叫双家网关在双家网关的基础上又演化出两种防火墙配置：一种是隐蔽主机网关；另一种是隐蔽智能网关（隐蔽子网）从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长，具体使用哪一种或是否混合使用，要看具体需要。1、网络级防火墙一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。2、应用级网关应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核。它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。在实际工作中，应用网关一般由专用工作站系统来完成。但每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。3、电路级网关电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话（Session）是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高二层。4、规则检查防火墙该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也像电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。当然它也像应用级网关一样，可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合企业网络的安全规则。三、使用防火墙防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外，使其对防火墙内部资源的访问受到限制。一般说来，防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能。防火墙技术的另外一个弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。此外，防火墙采用滤波技术，滤波通常使网络的性能降低50%以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。四、防火墙的安全体系1、双重宿主主机体系2、屏蔽主机体系3、屏蔽子网体系3.1.3安全检测措施一、网络安全检测思路与技巧1、通过DNS查询得到目标的网络拓扑基本情况，比如有几台主机，各自起的服务是什么等等。这是必要的步骤因为我们检测应该针对网络，而不是单一主机。2、用nmap进行端口扫描，判断操作系统，结合自己的一些经验，必要的时候抓banner，判断出目标主机的操作系统类型。3、用nessus进行普通漏洞的扫描,得到一个大致的报告。对报告进行分析，nessus的报告有些地方并不准确，而且有漏扫或误报的情况，比如严重的unicode漏洞机器明明有,它却会扫不到，对这种情况我们必须有人工的判断。4、cgi漏洞也必须有专门的扫描器进行，可以结合whisker或者t，自己判断需要增加哪些危险cgi的检测。上面只是最简单的，任何一个初学电脑的人可能都能够较好完成的工作流程因此下面要谈到其它检查方式：1、在有防火墙的情况下：建议可以使用如hping、firewalk之类的工具，更加灵活地探测目标主机的情况，根据数据包的返回做更进一步的判断。这需要操作者掌握TCP/IP基本知识，并能灵活运用判断。2、对主页程序的检测，虽然我们只能在外面做些基本的输入验证检测。但按照现在常见的web错误，我们可以从下面几个方面着手分析：a、特殊字符的过滤:&;`‘\*?~^()[]{}$\n\r这些字符由于在不同的系统或运行环境中会具有特殊意义，如变量定义、赋值、取值、非显示字符、运行外部程序等，而被列为危险字符但在许多编程语言、开发软件工具、数据库甚至操作系统中遗漏其中某些特殊字符的情况时常出现，从而导致出现带有普遍性的安全问题。当有需要web用户输入的时候，根据不同的数据库系统、编程语言提交带不同参数变量的url，很可能造成服务器端资料泄露甚至可执行系统命令。b、WEB服务器的错误编码或解码可能会导致服务器信息的泄露、可执行命令、源代码泄露等错误。比较典型的应该是unicode漏洞以及各种iis服务器、apache服务器的源代码泄露漏洞。c、利用程序错误的边界判断而造成的缓冲区溢出进行攻击。最近的一个典型案例应该是eeye.com发现的.printer溢出漏洞。这是webserver本身的问题；但网站应用程序的编写者也可能犯下同样的错误，就是对用户输入不加验证。但这方面的错误比较不容易试出来。二、网络安全检测工具种类1、扫描器扫描器是一种自动检测远程或本地主机安全性弱点的软件,通过使用扫描器你可不留痕迹地发现远程服务器的各种TCP端口的分配及提供的服务,以及相关的软件版本。这就能让我们间接地或直观地了解到远程主机所存在的安全问题。扫描器通过选用远程TCP/IP不同的端口的服务,并记录目标给予的回答,通过这种方法,可以搜集到很多关于目标主机的各种有用的信息（比如：是否能用匿名登陆、是否有可写的FTP目录、是否能用TELNET,HTTPD、是用ROOT还是nobody）。2、嗅探器(Sniffer)嗅探器具有软件探测功能能够捕获网络报文的设备。嗅探器的正当用处在于分析网络的流量,以便找出所关心的网络中潜在的问题。例如,假设网络的某一段运行得不是很好,报文的发送比较慢,而我们又不知道问题出在什么地方,此时就可以用嗅探器来作出精确的问题判断。嗅探器在功能和设计方面有很多不同。有些只能分析一种协议,而另一些可能能够分析几百种协议。不同的场合有不同的用处。3、Sniffit它是指网络端口探测器,配置在后台运行可以检测(如TCP/IP端口上用户的输入/输出信息。常被攻击者可以用来检测主机端口23(telnet)和110(pop3)端口)上的数据传送情况,以便轻松得到你的登录口令和E-mail帐号密码。Sniffit基本上是被破坏者所利用的工具。为了增强自身站点的安全性,我们必须知道攻击者所使用的各种工具。4、TripwireTripwire是一个用来检验文件完整性的非常有用的工具,通常的文件检测运行的模式是:数据库生成模式,数据库更新模式,文件完整性检查,互动式数据库更新。当初始化数据库生成的时候,它生成对现有文件的各种信息的数据库文件,万一以后你的系统文件或者各种配置文件被意外地改变,替换,删除,它将每天基于原始的数据库与现有文件进行比较,可以发现哪些文件被更改,这样你就能根据E-mail的结果判断是否有系统入侵等意外事件发生。5、LogcheckLogcheck是用来自动检查系统安全入侵事件和非正常活动记录的工具,它分析各种Lintlxlog文件,像/var/log/messages,/var/log/secure,/var/log/maillog等等,然后生成一个可能有安全问题的检查报告自动发送E-mail给管理员。只要设置它基于每小时,或者每天用crond来自动运行。6、NmapNmap是用来对一个比较大的网络进行端口扫描的工具,它能检测该服务器有哪些TCP/IP端口目前正处于打开状态。运行它可以确保已经禁止掉不该打开的不安全的端口号。7、状态监视技术状态监视技术是第三代网络安全技术。状态监视服务的监视模块在不影响网络正常工作的前提下,采用抽取相关数据的方法对网络通信的各个层次实行监测,并作为安全决策的依据。监视模块支持多种网络协议和应用协议,可以方便地实现应用和服务的扩充。状态监视服务可以监视RPC(远程过程调用)和UDP(用户数据报)端口信息,而包过滤和代理服务则都无法做到。8、PAM(PluggableAuthenticationModules)PAM是一套共享库,它为系统管理员进行用户确认提供广泛的控制,他提供一个前端函数库用来确认用户的应用程序。PAM库可以用一个单独的文件来配置,也可以通过一组配置文件来配置。PAM可以配