电子商务安全与管理（第三版） 劳帼龄第03章 Internet安全

Internet安全InternetSafetyChapter3Internet安全概述01防火墙技术02VPN技术03网络入侵检测04目录IP协议安全05电子商务应用安全协议062014年3月22日，国内知名漏洞报告平台——乌云网公布了“携程信息支付日历导致用户银行卡信息泄露”的相关信息。漏洞发现者指出，携程将用于处理用户支付的服务接口开启了调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器。同时因为保存支付日志的服务器未做较严格的基线安全配置，存在目录遍历漏洞，导致所有支付过程中的调试信息可被任意骇客读取。泄露的信息包括用户的持卡人姓名、身份证、所持银行卡类别(比如，招商银行信用卡、中国银行信用卡)、卡号、CVV码以及6位银行卡BIN。1整理一下近半年来有关网站和软件遭遇黑客攻击的新闻2Internet是否毫无安全可言吗？携程发表声明称，已在两小时内修复漏洞，经其排查共涉及93名存在潜在风险的携程用户。携程承诺在交易完成后立即删除客户的敏感信息，不再保存。并会加强内部排查所有可能存在漏洞，邀请国内知名网络安全专家对携程系统进行会诊。携程安全漏洞导致用户银行卡信息泄露引例3PART1Internet安全概述NationalSecurityandalienationofCitizenRight4在传输过程中被篡改不是来自于所声称的来源可能是蓄意攻击系统的一部分，包括系统入侵和拒绝服务攻击。认证和完整性：向接收系统提供可靠的数据包来源，确保数据包没有被修改。保密性：保证数据包的内容除预期的接收者外，不泄露给其他的任何人。访问控制：限制特定的终端系统仅与特定的应用程序或特定的远程数据包来源地或目的地进行通信。没有被传送到所标识的目的地可能会在传输的过程中被修改可能会被身份不明的人或系统偷窥。问题：收到的数据包问题：发送的数据包网络层安全服务的内容网络层安全5Internet安全网络层安全应用层安全系统安全网络层安全指的是对从一个网络的终端系统传送到另一个网络的终端系统的通信数据的保护网络层安全不包括终端系统内部的任何安全问题。在一个涉及买方、卖方、及银行的付款消息中，可能需要针对不同的主体来对字段中的不同部分进行加密，如对一些字段可能需要加密以使得只有卖方才能够解密，而另外一些字段的加密可能是要使得卖方不能解密而只有该字段所标识的银行才能解密一个电子邮件可能会通过一系列不同的网络段进行传输，在传输的过程中被存储在很多未知的系统中。网络层安全不能够保证消息在邮件网关（负责邮件的存储和传输）处不被篡改。而且，这样的中间系统也可能会存在风险电子邮件需要在单个人而非单个系统的基础上进行保护。当电子邮件的发送者加密一条消息给特定的接收者时，应该只有这个特定的接收者才能知晓消息的内容因此，电子邮件要求真正意义上的“终端到终端”或者“发件人到收件人”式的保护认证访问控制保密性数据完整性和不可否认性与Web、与消息传送有关的安全措施电子支付协议应用层安全措施以电子邮件为例应用层安全6Internet安全网络层安全应用层安全系统安全应用层安全指的是建立在某个特定的应用程序内部，不依赖于任何网络层安全措施而独立运行的安全措施。有些应用层安全服务所包含的安全服务内容可能与网络层安全服务内容相同，也有些是不同的。确保在安装的软件中没有已知的安全缺陷。如必须确保及时安装所有与安全有关的软件补丁，确保没有安装可能会包含病毒或特洛伊木马的那些有问题的软件。确保系统的配置能使入侵风险降至最低。如系统应该配置成仅在分配给本系统中活动应用程序的端口上监听Internet数据包。一般来讲，不要将调制解调器设置成允许拨入的形式。系统安全措施系统安全7Internet安全网络层安全应用层安全系统安全系统安全是指对特定终端系统及其局部环境的保护，而不考虑对网络层安全或应用层安全措施所承担的通信保护确保所下载的软件其来源是可信任的和可靠的。确保系统能得到适当管理以使侵入风险最小。如应定期保存所有访问控制数据，定期修改口令，并避免使用容易被猜到的口令，应删除已废弃的用户账户，因为黑客若使用这样的账户入侵系统可能难以被觉察到。确保采用合适的审计机制，以便能防止对系统的成功入侵，和采取新的合适的防御性措施。PART2防火墙技术NationalSecurityandalienationofCitizenRight8系统本身具有高可靠性。只有有内部访问策略授权的通信才被允许通过所有的从内部到外部或从外部到内部的通信都必须经过它防火墙的特性防火墙的基本概念91过滤不安全的服务和非法用户。所有进出内部网络的信息都必须通过防火墙，防火墙成为一个检查点，禁止未授权的用户访问受保护的网络控制对特殊站点的访问。防火墙可以允许受保护网络中的一部分主机被外部网访问，而另一部分则被保护起来作为网络安全的集中监视点。防火墙可以记录所有通过它的访问，并提供统计数据，提供预警和审计等功能。防火墙不能防范不经由防火墙的攻击。例如：如果允许从受保护网内部不受限制地向外拨号，一些用户可以形成与Internet的直接的SLIP或PPP连接，从而绕过防火墙防火墙不能防止受到病毒感染的软件或文件的传输。因为现有的各类病毒、加密和压缩的二进制文件种类太多，不能指望防火墙逐个扫描每个文件查找病毒。防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行发起攻击时，就会发生数据驱动攻击。23465防火墙的功能防火墙的基本概念10为完成某一项特定任务，包过滤的规则可能比较复杂，且不易验证其正确性。一般的包过滤路由器在审计功能方面显得较弱，因而安全性不足。数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒，这样就会形成各种安全漏洞。123包过滤型防火墙防火墙的基本原理11包过滤型防火墙的处理对象是IP包，其功能是处理通过网络的IP包的信息，实现进出网络的安全控制。包过滤防火墙应用数据包过滤（PacketFiltering）技术在网络层对数据包进行选择，截获每个通过防火墙的IP包，并进行安全检查。应用网关型防火墙防火墙的基本原理12应用网关型防火墙的处理对象是各种不同的应用服务，其功能是通过对网络服务的代理，检查进出网络的各种服务。应用级网关（ApplicationLevelGateways）是在网络应用层上建立协议过滤和转发功能。它们仅仅依靠特定的逻辑来判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统就建立起直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这就很有可能导致非法访问和攻击。包过滤型和应用网关型防火墙共同的特点代理服务（ProxyService）又称链路级网关或TCP通道（CircuitLevelGatewaysorTCPTunnels），也有人将它归于应用级网关一类代理服务型防火墙是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术在一个网络中，对于由内向外的请求和由外向内的请求所进行的处理是不同的一般认为：内部网络比较安全，所以需要控制外部网络向内部网络的访问请求。将所有跨越防火墙的网络通信链路分为两段。防火墙内外的计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用定义特点关于请求代理服务型防火墙防火墙的基本原理131234可以是带有数据包过滤功能的商用路由器，也可是基于主机的路由器。允许被保护网络的多台主机与Internet网络的多台主机进行直接通信其危险性分布在被保护网络的全部主机以及允许访问的各种服务类型上。采取的安全政策属于“除了非禁止不可的都被允许”这种极端类型包过滤路由器不使用包过滤规则，而是在被保护网络和Internet网络之间设置一个系统网关，用来隔断TCP/IP的直接传输。这种方式的防火墙的安全性取决于管理者允许提供的网络服务类型。双穴防范网关配置时需要一个带包过滤功能的路由器和一台设防主机。一般情况下，设防主机设置在被保护网络，路由器设置在设防主机和Internet网络之间一般而言，过滤主机网关防火墙是比较安全的过滤主机网关在配置防火墙时有必要在被保护网络和Internet网络之间设置一个孤立的子网过滤子网防火墙这种配置的危害区域相对较小，只集中在设防主机和包过滤路由器上过滤子网防火墙防火墙的实现方式14PART3VPN技术NationalSecurityandalienationofCitizenRight15VPN技术16VPN（VirtualPrivateNetwork），虚拟专用网络，是一门网络新技术，为我们提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式网络连接通常由三个部分组成：客户机、传输介质和服务器。VPN同样也由这三部分组成，不同的是VPN连接使用隧道作为传输通道，这个隧道是建立在公共网络或专用网络基础之上的隧道协议身份验证数据加密保证通信安全性的技术在AccessVPN（远程访问虚拟专网）方式下，远端用户拨号接入到用户本地的ISP，采用VPN技术在公众网上建立一个虚拟的通道到公司的远程接入端口这种应用既可适应企业内部人员移动和远程办公的需要，又可用于商家提供B2C（企业对客户）的安全访问服务。是在企业网与相关合作伙伴的企业网之间采用VPN技术互连与IntranetVPN相似，但由于是不同公司的网络相互通信，所以要更多地考虑设备的互连、地址的协调、安全策略的协商等问题。是在公司两个异地机构的局域网之间在公众网上建立VPN，通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等可以节省DDN等专线所带来的高额费用AccessVPNIntranetVPNExtranetVPN服务类型分类VPN的基本功能171用户验证VPN方案必须能够验证用户身份并严格控制只有授权用户才能访问VPN。另外，方案还必须能够提供审计和记费功能，显示何人在何时访问了何种信息地址管理VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性数据加密对通过公共互联网络传递的数据必须经过加密，确保网络其他未授权的用户无法读取该信息密钥管理VPN方案必须能够生成并更新客户端和服务器的加密密钥。多协议支持VPN方案必须支持公共互联网络上普遍使用的基本协议。以点对点隧道协议（PPTP）或第2层隧道协议（L2TP）为基础的VPN方案既能够满足以上所有的基本要求，又能够充分利用遍及世界各地的Internet互联网络的优势。2345VPN方案满足的要求VPN的基本功能18隧道技术是VPN的基本技术，类似于点对点连接技术，它在公用网建立一条数据通道（隧道），让数据包通过这条隧道传输隧道技术涉及了三种网络协议，即网络隧道协议、隧道协议下面的承载协议和隧道协议所承载的被承载协议网络隧道协议：二层隧道协议、三层隧道协议主要任务：如何在公用数据网上安全地传递密钥而不被窃取现行密钥管理技术分为SKIP与ISAKMP/OAKLEY两种加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术对于PPTP服务器，将采用MPPE加密技术MPPE可以支持40位密钥的标准加密方案和128位密钥的增强加密方案对于L2TP服务器，将使用IPSec机制对数据进行加密IPSec是基于密码学的保护服务和安全协议的套件隧道技术加解密技术密钥管理技术VPN的安全策略19使用者与设备身份认证技术最常用的是使用者名称与密码或卡片式认证等方式。使用者与设备身份认证技术PART4网络入侵检测NationalSecurityandalienationofCitizenRight201234收集通常在操作系统层、来自计算机内部的数据收集来自计算机内部的信息源基于主机的信息源由操作系统审计跟踪和记录系统及应用事件的系统日志文件组成。基于主机的检测收集网络数据包用基于网络的检测收集网络数据包，通过在网络段上传输的网络通信流采集信息基于网络的检测收集来自运行应用程序的数据基于应用程序的检测收集来自运行着的应用程序的数据数据源包括应用程序事件日志和其他存储在应用程序内部的数据基于应用程序的检测产生自己的数据是基于主机检测的变种。密码学中的散列函数来检测对系统对象的修改，并将这些修改与相应的安全策略比较。最常用：在系统目标中使用密码完整性检查来检测状态变化。基于目标机的检测检测策略网络入侵检测的原理21异常检测网络入侵检测的主要方法22异常检测技术，指识别主机或网络中异常的或不寻常的行为。它假设攻击与正常的(合法的)活动有较大的差异首先收集一段时期操作活动的历史数据再建立代表主机、用户或网络连接的正常行为描述然后收集事件数据并使用一些不同的方法来决定所检测到的事件活动是否偏离了正常行为模式，从而判断是否发生了入侵异常检测流程操作密度度量操作执行速率，常用于检测较长平均时间觉察不到的异常行为审计记录分布度量在最新记录中所有操作类型的分布范畴尺度度量在一定动作范畴内特定操作的分布情况数值尺度度量那些产生数值结果的操作，如CPU使用量，I／O使用量1234概率统计网络入侵检测的主要方法23概率统计方法是异常检测技术中应用最早也是最多的一种方法首先，检测器根据用户对象的动作，为每个用户都建立一个用户特征表，通过比较当前特征与已存储定型的以前特征，从而判断是否是异常行为用户特征表需要根据审计记录情况不断地加以更新用于描述特征的变量类型有如下几种：能更好地处理原始数据的随机特性，即不需要对这些数据作任何统计假设，并且有较好的抗干扰能力网络拓扑结构以及各元素的权重很难确定，命令窗口w的大小也难以选取优缺神经网络网络入侵检测的主要方法24利用神经网络检测攻击的基本思想是用一系列信息单元(命令)训练神经单元，这样在给定一组输入后，就可以预测输出用于检测的神经网络模块结构大致是这样的：当前命令和刚过去的w个命令组成了网络的输入，其中w是神经网络预测下一个命令时所包含的过去命令集的大小。根据用户的代表性命令序列训练网络后，该网络就形成了相应用户的特征表，于是网络对下一事件的预测错误率在一定程度上反映了用户行为的异常程度。专家系统是误用检测中运用最多的一种方法在具体实现中，专家系统主要面临两个问题，全面性问题和效率问题全面性问题即难以科学地从各种攻击手段中抽象出全面的规则化知识。效率问题指所需处理的数据量过大，而且在大型系统上，如何获得实时连续的审计数据也是个问题即将状态转换图应用于攻击行为的分析。状态转换法将攻击过程看作一个行为序列，这个行为序列导致系统从初始状态转入被攻击状态利用Petri网的有利之处在于它能一般化、图形化地表达状态，并且简洁明了。虽然复杂的攻击特征能用Petri网表达得很简单，但是对原始数据匹配时的计算量却会很大。模型推理是指结合攻击脚本推理出攻击行为是否出现。其中有关攻击者行为的知识被描述为攻击者目的，攻击者达到此目的的可能行为步骤，以及对系统的特殊使用等优越性表现为，对不确定性的推理有合理的数学理论基础，同时决策器使得攻击脚本可以与审计记录的上下文无关这种检测方法也减少了需要处理的数据量专家系统模型推理状态转换分析误用检测网络入侵检测的主要方法25PART5IP协议安全NationalSecurityandalienationofCitizenRight26针对Internet的安全需求，因特网工程任务组（IETF）于1998年11月颁布了IP层安全标准IPsec（IPSecurity）在IP层提供安全服务选择需要的安全协议决定使用的算法保存加密使用的密钥为IPv4和IPv6提供具有较强的互操作能力、高质量和基于密码的安全，弥补由于TCP/IP协议体系自身带来的安全漏洞，在IP层实现多种安全服务IPsec起源IPsec目标Ipsec基本功能IPsecIP安全体系结构27IPsec文档IP安全体系结构28体系结构（RFC2401）：覆盖了定义IPsec技术的一般性概念、安全需求、定义和机制。封装安全有效载荷（ESP，RFC2406）：覆盖了使用ESP进行分组加密和可选的鉴别有关分组的格式和一般问题。认证头（AH，RFC2402）：覆盖了使用AH进行分组认证的分组的格式和一般问题。加密算法：一组文档描述了怎样将不同的加密算法用于ESP。认证算法：一组文档描述了怎样将不同的认证算法用于AH和ESP可选的认证选项。解释域（DOI，RFC2407）：包含了其他文档需要的为了彼此间相互联系的一些值。这些值包括经过检验的加密和认证算法的标识以及操作参数，例如密钥的生存期。密钥管理（RFC2408）：描述密钥管理机制的文档IPsec的服务IP安全体系结构29IPsec在IP层提供安全服务，使得一个系统可以选择需要的安全协议，决定为这些服务而使用的算法，选择提供要求的服务所需要的任何密钥。IPsec使用两个协议来提供安全性：一个是由协议的头部，即认证头（AH）指明的认证协议，另一个是由协议的分组格式，即封装安全有效载荷（ESP）指明的加密/认证混合协议

AHESP（只加密）ESP（加密并鉴别）访问控制无连接完整性

数据源的鉴别

拒绝重放的分组机密性

有限的通信量机密性

IPsec安全结构IP安全体系结构30安全协议——AH和ESP安全关联（SA）密钥交换——手工和自动（IKE）认证和加密算法安全结构利用一种验证机制防止有人窃取其他用户的身份，启动或继续对话。由于采用了相应的运算法则，使AH成为了一种低数据包开销、低处理能力需要的强大的实现用户验证的手段。AH的缺点在于内容无法加密，仍能使人看到有效载荷。AH可确保信息包在传输过程中不被修改，确保完全是作为发送方的一方所发送的信息包数据完整性通过消息认证码产生的校验值来保证数据起源认证通过在数据包中包含一个将要被认证的共享秘密或密钥来保证抗重放攻击通过在AH中使用一个序列号来实现AH简介AH的功能AH的格式认证头协议（AH）31传输模式（transportmode）只对上层协议数据和选择的IP头字段提供认证保护，且仅适用于主机实现隧道模式（tunnelmode）对整个IP数据项提供认证保护，既可用于主机也可用于安全网关，并且当AH在安全网关上实现时，必须采用隧道模式。12AH使用两种模式认证头协议（AH）32传输模式仅适用于主机实现，且仅为上层协议提供保护，而不包括IP头。在传输模式中，ESP插在IP头之后和一个上层协议（如TCP、UDP、ICMP等）之前，或任意其他已经插入的IPsec头之前隧道模式可适用于主机和安全网关。整个IP数据项被封装在ESP有效负载中，并产生一个新IP头附着在ESP头之前。隧道模式的ESP保护整个内部IP包，包括源IP头12分组加密协议（ESP）33分组加密协议ESP将需要保护的用户数据进行加密后再封装到IP包中，其主要支持IP数据项的机密性ESP也可以提供认证服务虽然ESP也提供认证，但与AH相比，二者的认证范围不同，一般来说ESP只认证ESP头之后的信息，比AH认证的范围窄。加密算法：ESP所采用的加密算法由安全关联SA指定。为提高加密效率，ESP的设计是使用对称密码算法。因为IP包可能会失序到达，因此每个IP包必须携带能使接收者进行解密所要求的密码同步数据，这个数据可以在有效负载字段中明确携带，也可以从包头中推导出。由于机密性是可选择的，因此加密算法可以是“空”。RFC1829中指定的ESP加密算法是DES—CBC。认证算法：ESP中的认证算法同AH一样。由于认证算法是可选的，因此此算法可以是“空”。注意：虽然加密和认证都可以为空，但二者不能同时为空输出包处理ESP头定位：在传输模式下，ESP头插在IP头和一上层协议头之间；在隧道模式下，ESP头在整个源IP数据项之前。SA查找：只有当有与此会话相关的有效的SA存在时，才进行ESP处理。包加密：把数据封装到ESP的有效负载字段，在传输模式下，只封装上层协议数据；在隧道模式下，封装整个原IP数据项。使用由SA指定的密钥和加密算法对上述结果加密。输入包处理当接收者收到一个IP数据项时，先根据包中目的IP地址、安全协议ESP和SPI查找SA，若没有用于此会话的SA存在，则接收者必须丢弃此包，并记入日志。否则按SA中指定的算法进行解密并重新构造源IP数据项格式。EPS主要涉及两种算法ESP的处理分组加密协议（ESP）34安全关联的类型传输模式（transportmode）：仅对IP数据项的上层协议数据部分提供保护，用于两个主机之间。隧道模式（tunnelmode）：对整个IP数据项提供保护，当通信双方只要有一方是安全网关时，就必须用隧道模式安全关联数据库（SAD）包含与每个活动安全关联相关的所有参数信息。它由一系列SA条目组成，每个条目定义一个SA的参数安全策略数据库（SPD）定义了对所有出／入业务应采取的安全策略，它指明了为IP数据项提供什么服务以及以什么方式提供在对所有出／入业务，包括非IPsec业务的处理期间必须咨询SPD对出／入IP数据项的处理有三种可能的选择：丢弃、绕过IPsec、采用IPsec安全策略数据库安全关联数据库安全关联（SA）安全关联SA是IPsec的一个基本的关键概念，安全协议AH和ESP的执行都依赖于安全关联。一个安全关联是在发送者和接收者这两个IPsec系统之间的一个简单的单向逻辑连接，是与给定的一个网络连接或一组连接相关的安全信息参数的集合，安全关联为在它之上所携带的业务流提供安全保护。由于安全关联是单向的，所以若要在一个对等系统间进行源和目的的双向安全通信，那么就需要两个安全关联35Ipsec的应用36PART6电子商务应用安全协议NationalSecurityandalienationofCitizenRight37增强的私密电子邮件（PEM）增强的私密电子邮件（PEM）是因特网工程任务组（IETF）从20世纪80年代后期开始着手的一项工作的成果，这也是试图建立因特网邮件安全系统的首次正式努力。有关PEM的工作导致了因特网标准提案于1993年面世，这是一个由四部分内容组成的提案。PEM规范非常复杂，其第I部分（RFC1421）定义了一个消息安全协议，而第II部分（RFC1422）则定义了一个支持公开密钥的基础设施体系。PEM的消息安全协议主要用于支持基本的消息保护服务。PEM是这样运作的，首先获得一个未保护的消息，将其内容转换为一条PEM消息，这样，PEM消息就可以象其他消息一样通过正常的通信网络来进行传递了。PEM规范认可两种可选的方法来进行网络身份验证和密钥的管理：一种是对称方案，还有一种是公开密钥方案。但是，仅有公开密钥方案得以实施过。PEM为消息安全协议的发展树立了一个重要的里程碑。但PEM在商用领域几乎从未成功过，主要原因是PEM与在同期发展起来的多用途网际邮件扩充协议MIME不兼容38电子邮件内容的安全问题安全多用途网际邮件扩充协议（S/MIME）39发送者身份认证即如何证明电子邮件内容的发送者就是电子邮件中所声称的发送者不可否认即发送者一旦发送了某封邮件，他就无法否认这封邮件是他发送的邮件的完整性即能否保证电子邮件的内容不被破坏和篡改邮件的保密性即防止电子邮件内容的泄漏问题1234在机器之间传送的电子邮件都是公开的，每个人都可以查看上面的内容，至于看还是不看，这只取决于人们的诚实、对信息的不了解或漠不关心电子邮件的发信人根本不知道一封邮件是经过了哪些中转站才到达目的地的邮件内容的安全取决于邮件服务器的安全、邮件传输网络的安全以及邮件接收系统的安全对邮件服务器的安全，我们可以加设防火墙软件，控制用户对服务器的访问，但这并不能从根本上解决电子邮件内容本身的安全问题设计目标：要使得自己能够比较容易地加入到已有的E-mail产品之中信息格式：继承了MIME规格；信息加密标准：包括DES、三重DES、RC4；数字签名标准：PKCS；数字证书格式：X.509是致力于促进以因特网为基础的电子商务技术发展的国际财团CommerceNet协会提出的安全传输协议主要利用密钥对加密的方法来保障Web站点上的信息安全S-HTTP所提供的安全服务称为实体验证、完整性（通过完整性检查值进行）和机密性（通过加密）检验用户可以使用MIME增加非文本对象，比如把图像、音频、格式化的文本文件加到邮件主体中去。MIME中的数据类型一般是复合型的，也称为复合数据。S/MIME在安全方面对MIME进行了功能扩展，它可以把MIME实体（比如数字签名和加密信息等）封装成安全对象S/MIMEMIME和S/MIMES-HTTP安全多用途网际邮件扩充协议（S/MIME）40全套接层协议SSL（SecureSocketLayer）最初是由Netscape公司研究制定的安全通信协议，是在因特网基础上提供的一种保证机密性的安全协议SSL建立在TCP协议之上，它的优势在于与应用层协议独立无关，应用层协议能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信加密的协商以及服务器的认证工作。SSL的应用范围很广，凡是构建在TCP/IP协议上的客户机/服务器模式需要进行安全通信时，都可以使用SSL协议。而其他的一些安全协议，如S-HTTP仅适用于安全的超文本传输协议，SET协议则仅适宜B2C电子商务模式的银行卡交易中SSL被大部分Web浏览器和Web服务器所内置，比较容易被应用12SSL协议概述安全套接层协议41SSL协议的功能安全套接层协议42SSL的体系结构安全套接层协议43SET（SecureElectronicTransaction）安全电子交易协议44SET购物流程SET交易的各参与方SET是一种应用于因特网环境下，以信用卡为基础的安全电子支付协议，它给出了一套电子交易的过程规范。通过SET这一套完备的安全电子交易协议可以实现电子商务交易中的加密、认证机制、密钥管理机制等，保证在开放网络上使用信用卡进行在线购物的安全。本章小结45从技术角度将Internet安全划分为三类，网络层安全、应用层安全和系统安全防火墙是Internet安全的第一道屏障，可以过滤不安全的服务和非法用户，控制对特殊站点的访问，并可以作为网络安全的集中监视点。目前防火墙主要分为两大类，包过滤型防火墙和应用网关型防火墙。其常见的实现方式有包过滤路由器、双穴防范网关、过滤主机网关、过滤子网防火墙等。虚拟专用网络VPN（VirtualPrivateNetwork），提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。按照服务类型可分为AccessVPN、IntranetVPN和ExtranetVPN三类。VPN主要是通过隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术来实现以上的安全需求。网络入侵检测主要的检测策略有基于主机的检测、基于网络的检测、基于应用程序的检测和基于目标机的检测。具体检测的技术主要有基于行为的异常检测和基于知识的误用检测两种。其中，概率统计、神经网络和人工免疫是异常检测常用的方法，专家系统、模型推理和状态转换分析是误用检测常用的方法。大致可以把IPsec的安全结构划分为四部分，安全协议（包括AH和ESP）、算法（包括加密算法和认证算法）、安全关联SA和密钥交换S/MIME在安全方面对MIME进行了功能扩展，更好的保障了电子邮件的安全SSL是在因特网基础上提供的一种保证机密性的安全协议，建立在TCP协议之上，与应用层协议无关，是目前电子商务中应用最广泛的安全协议之一。SET是一种应用于因特网环境下，以信用卡为基础的安全电子支付协议，仅适用于B2C电子商务模式的银行卡交易中关键术语46网络层安全应用层安全系统安全包过滤型防火墙应用网关型防火墙代理服务型防火墙VPN异常检测误用检测IPsecPEMS/MIMES-HTTPSSLSET思考题47什么是网络层安全？典型的网络层安全服务包含哪些内容？什么是应用层安全？应用层安全措施有哪些？什么是系统安全？系统安全包含哪些措施？什么是防火墙？防火墙具有哪些功能？什么是包过滤型防火墙？说明其实现原理。什么是应用网关型防火墙？说明其实现原理。什么是IPsec？IPpsec有哪些功能？IPsec文档由哪几部分组成？其关系如何？什么是安全关联？安全关联的三元组是什么？IPsec的密钥管理有哪两种方式？IPsec在应用中有哪些优点？什么是PEM？为什么PEM在商业领域很少应用？什么是S/MIME？其设计目标是什么？主要包含哪些安全标准？什么是SSL？SSL的体系结构是怎样的？在支持安全通信方面SSL有哪些基本功能？什么是SET？基于SET的交易中包含哪些参与方？SET交易中包含哪些支付消息？说明SET购物流程。那DDoS攻击是什么呢？它是指借助客户/服务器技术，将多个计算机联合起