電子商務(wù)的安全策略new

《電子商務(wù)的安全策略new》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。

1、您好海量范文論文，來(lái)自www.docuc.comhttp://www.docuc.com/電子商務(wù)的安全策略關(guān)鍵詞：電子商務(wù)在功能上要求實(shí)現(xiàn)實(shí)時(shí)帳戶信息查詢。這就使電子商務(wù)系統(tǒng)必須在物理上與生產(chǎn)系統(tǒng)要有連接，這對(duì)于電子商務(wù)系統(tǒng)的安全性提出了更高的要求，必須保證外部網(wǎng)絡(luò)（INTERNET）用戶不能對(duì)生產(chǎn)系統(tǒng)構(gòu)成威脅。為此，需要全方位地制定系統(tǒng)的安全策略。就整個(gè)系統(tǒng)而言，安全性可以分為四個(gè)層次，如圖1所示1．網(wǎng)絡(luò)節(jié)點(diǎn)的安全2．通訊的安全性3．應(yīng)用程序的安全性4．用戶的認(rèn)證管理圖1：安全性四個(gè)層次結(jié)構(gòu)其中2、3、4層是通過(guò)操作系統(tǒng)和Web服務(wù)器軟

2、件實(shí)現(xiàn)，網(wǎng)絡(luò)節(jié)點(diǎn)的安全性依靠防火墻保證，我們應(yīng)該首先保證網(wǎng)絡(luò)節(jié)點(diǎn)的安全性。一、網(wǎng)絡(luò)節(jié)點(diǎn)的安全1．防火墻防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過(guò)靈活有效地運(yùn)用這些功能，制定正確的安全策略，將能提供一個(gè)安全、高效的Intranet系統(tǒng)。2．防火墻安全策略應(yīng)給予特別注意的是，防火墻不僅僅是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個(gè)部分。安全策略建立了全方位的防御體系來(lái)保護(hù)機(jī)構(gòu)的信息資源，這種安全策略應(yīng)包括

3、：規(guī)定的網(wǎng)絡(luò)訪問(wèn)、服務(wù)訪問(wèn)、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施，以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級(jí)別加以保護(hù)。僅設(shè)立防火墻系統(tǒng)，而沒(méi)有全面的安全策略，那么防火墻就形同虛設(shè)。3．安全操作系統(tǒng)您好海量范文論文，來(lái)自www.docuc.comhttp://www.docuc.com/您好！您下載的資料來(lái)自愛(ài)博文資料下載網(wǎng)http://www.ibwen.com歡迎常去光顧哦！您好海量范文論文，來(lái)自www.docuc.comhttp://www.docuc.com/防火墻是基于操作系統(tǒng)的。如果

4、信息通過(guò)操作系統(tǒng)的后門繞過(guò)防火墻進(jìn)入內(nèi)部網(wǎng)，則防火墻失效。所以，要保證防火墻發(fā)揮作用，必須保證操作系統(tǒng)的安全。只有在安全操作系統(tǒng)的基礎(chǔ)上，才能充分發(fā)揮防火墻的功能。在條件許可的情況下，應(yīng)考慮將防火墻單獨(dú)安裝在硬件設(shè)備上。二、通訊的安全1．?dāng)?shù)據(jù)通訊通訊的安全主要依靠對(duì)通信數(shù)據(jù)的加密來(lái)保證。在通訊鏈路上的數(shù)據(jù)安全，一定程度上取決于加密的算法和加密的強(qiáng)度。電子商務(wù)系統(tǒng)的數(shù)據(jù)通信主要存在于：（1）客戶瀏覽器端與電子商務(wù)WEB服務(wù)器端的通訊；（2）電子商務(wù)WEB服務(wù)器與電子商務(wù)數(shù)據(jù)庫(kù)服務(wù)器的通訊；（3）銀行內(nèi)部網(wǎng)與業(yè)務(wù)網(wǎng)之間的數(shù)據(jù)通訊。其中（3）不在

5、本系統(tǒng)的安全策略范圍內(nèi)考慮。2．安全鏈路在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過(guò)加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過(guò)程中的安全。目前采用的是瀏覽器缺省的4O位加密強(qiáng)度，也可以考慮將加密強(qiáng)度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機(jī)制，SSL首先要求服務(wù)器向?yàn)g覽器出示它的證書，證書包括一個(gè)公鑰，由一家可信證書授權(quán)機(jī)構(gòu)（CA中心）簽發(fā)。瀏覽器要驗(yàn)征服務(wù)器證書的正確性，必須事先安裝簽發(fā)機(jī)構(gòu)提供的基礎(chǔ)公共密鑰（PKI）。建立SSL鏈接不需要一定有個(gè)人證書，實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是

6、很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來(lái)訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書（下載可以在訪問(wèn)之前或訪問(wèn)時(shí)）。驗(yàn)證此證書是合法的服務(wù)器證書通過(guò)后利用該證書對(duì)稱加密算法（RSA）與服務(wù)器協(xié)商一個(gè)對(duì)稱算法及密鑰，然后用此對(duì)稱算法加密傳輸?shù)拿魑摹４藭r(shí)瀏覽器也會(huì)出進(jìn)入安全狀態(tài)的提示。三、應(yīng)用程序的安全性即使正確地配置了訪問(wèn)控制規(guī)則，要滿足計(jì)算機(jī)系統(tǒng)的安全性也是不充分的，因?yàn)榫幊体e(cuò)誤也可能引致攻擊。程序錯(cuò)誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時(shí)；程序員忘記

7、最小特權(quán)的基本原則。整個(gè)程序都是在特權(quán)模式下運(yùn)行，而不是只有有限的指令子集在特權(quán)模式下運(yùn)行，其他的部分只有縮小的許可；程序員從這個(gè)特權(quán)程序使用范圍內(nèi)建立一個(gè)資源，如一個(gè)文件和目錄。不是顯式地設(shè)置訪問(wèn)控制（最少許可），程序員認(rèn)為這個(gè)缺省的許可是正確的。您好海量范文論文，來(lái)自www.docuc.comhttp://www.docuc.com/您好！您下載的資料來(lái)自愛(ài)博文資料下載網(wǎng)http://www.ibwen.com歡迎常去光顧哦！您好海量范文論文，來(lái)自www.docuc.comhttp://www.docuc.com/這些缺點(diǎn)都被使用到攻擊

8、系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來(lái)騙特權(quán)程序做一些它本來(lái)不應(yīng)該做的事情。緩沖溢出攻擊就是通過(guò)給特權(quán)程序輸入一個(gè)過(guò)長(zhǎng)的字符串來(lái)實(shí)現(xiàn)的。程序不檢查輸入字符串長(zhǎng)度。假的輸入字符串常常