网络金融（第二版）第07章网上金融安全技术

1、第7章网上金融安全技术 本章内容第1节 网上金融安全第2节 网上安全技术第3节 支付安全协议本章小结学习目标学习目标1.了解网上金融安全存在的问题;2.熟知各种网上安全技术;3.掌握网上支付与安全协议;4.熟知网上安全金融涉及环节；5.掌握网上金融安全防范内容。第1节 网络金融安全问题1.1 网上安全支付 网络金融安全性标准包括四方面:信息的保密性。信息的准确性。信息的完整性。信息的不可否认性。 根据网络安全标准，网络支付面临以下安全问题：数据的安全性。身份验证。数据的完整性和准确性。信息的不可否认性。同时，网络金融面临的安全威胁有：来自互联网的威胁。来自内网的威胁。来自黑客的攻击。来自病毒的

2、感染。1.2 移动安全支付 支付涉及用户、网络、商户、金融机构等环节，每个环节都存在网络与技术风险点。从交易的端到端流程分析，可将移动支付安全分为：终端、网络、交易过程。 （1）网络基础设施安全；包括：支付平台、接入网络、POS机、手机终端、软件程序等IT基础设施。 （2）交易过程安全，指从用户登录到交易完成的安全。 （3）终端安全，主要威胁包括恶意软件、病毒木马等。 1.3 假网站诈骗 假网站的表现形式有: 第一，假网站的网址与真网站网址较为接近。由于国内注册域名的成本非常低，不法分子为增强假网站的欺骗性，往往使用和真实网站网址非常相似的域名。 第二，假网站的页面形式和内容与真网站较为相似。

3、假冒网站的页面往往使用正规网站的LOGO、图表、新闻内容和链接，而且在布局和内容上与真实网站非常相似。 1.什么是假网站诈骗1.3 假网站诈骗 （1）通过病毒传播假网站信息 （2）通过手机短信，冒充银行名义发送诈骗短信 （3）冒充银行邮箱，发送虚假信息引诱客户登录假网站 （4）建立假电子商务网站，通过假的支付页面窃取客户网上银行信息。 2.不法分子诈骗的通常方法（2）预留信息验证（3）输入正确网址（1）安装数字证书3.防范假网站诈骗的方法1.3 假网站诈骗（6）安装安全软件（7）增强防范意识（5）查看安全锁（4）核对网址（8）设置余额变动短信提示第2节 网络安全技术 1.对称密码加密技术，是指

4、使用同一个密钥对报文进行加密和解密，也称为单钥加密或传统加密。该技术特点是：效率高、算法简单，但易泄密。 2.公开密钥加密技术，即加密和解密分别由两个密钥来实现，每个用户都有一对选定的密钥：一个可以公开，即公共密钥，用于加密；另一个由用户安全拥有，即私钥，用于解密。2.1 数据加密技术概述 3.数字证书，是一种数字标识，也可以说说互联网上的安全护照或身份证明。最简单的证书包含一个公开密钥、名称、证书授权中心的数字签名，以及有效期、发证机关名称、证书序列号等信息。 4.PKI加密技术，是从技术上解决网上身份认证、电子信息的完整性和不可抵赖性等安全问题，为网络应用提供可靠的安全服务。2.1 数据加

5、密技术概述 数字摘要技术是采用单向散列表函数，即Hash函数对文件中的若干重要元素进行某种变换运算，得到固定长度的摘要码，并在传输信息过程中随加入的文件一同发给接收方，接收方收到信息后，用相同的方法进行变换运算，结果与发送的摘要码相同，可断定文件未被篡改。 数字签名(Digital Signature)是指用户用自己的私钥对原始数据的数字摘要进行加密所得的数据。2.2 数据完整性技术概述 电子商务认证授权机构（CA）也称为电子商务认证中心，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。 CA中心为每个使用公开密钥的用户发放一个数字

6、证书，数字证书的作用是证明证书中列出的拥有合法证书的用户的公开密钥。2.3 认证中心CA 1.防火墙定义，是保护本地网络系统避免来自外部网络(包括互联网)安全威胁的一种有效手段。 3.防火墙配置方案，主要有：单一配置防火墙配置、单宿主堡垒主机屏蔽主机式防火墙系统、双宿主堡垒主机屏蔽主机式防火墙系统、屏蔽子网防火墙系统、扩展式防火墙系统结构。2.4 防火墙技术概述 2.防火墙类型，包括：网络层防火墙、应用层防火墙和代理服务器。 1.计算机病毒，指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。 2.常见的计算机病毒，主要有：伴随

7、型病毒、蠕虫型病毒、寄生型病毒。2.5 防病毒技术概述 3.计算机传染途径，主要有：光盘传染、U盘传染、系统盘传染、不明软件传染、网络传染。 4.计算机病毒处理，安装查杀病毒的软件，如360杀毒、瑞星杀毒软件、超级巡警免疫工具、SSM等。 2.5 防病毒技术概述 5.病毒的预防，主要有：（1）经常更新杀毒软件；（2）使用安全监视软件；（3）使用防火墙；（4）对电脑和移动储存工具进行常见病毒免疫；（5）定时进行全盘病毒木马扫描；（6）避免进入山寨网站；（7）对外部存储设备先进行杀毒；（8）对浏览器进行适当的配置防止浏览器中毒。第3节 网络支付与安全协议3.1 安全协议相关概念TCP/IP协议，是供已连接互联网的计算机进行通信的通信协议。HTTP协议，即超文本传输协议：是互联网上应用最为广泛的一种网络传输协定，所有WWW文件都必须遵守这个标准。安全协议3.2 安全协议SSL协议，是一种提供使用TCP/IP的通信应用程序间的隐私与完整性的协议。SET协议，美国Visa和万事达卡两大信用卡组织联合推出的用于电子商务的行业规范，其本质是一种网上电子支付系统规范。安全协议本章小结 网络金融安全性标准包括四方面:信息的保密性。信息的准确性。信息的完整性。信息的不可否认性。 支付涉及用户、网络、商户、金融机构等环节，每个环节都存在网络与技术风险点。 数