网络安全建议书篇1
【关键词】Lte802.1xipSecSSLpKi
1引言
由于ip方式组网灵活、带宽扩容成本低，是未来传输组网的趋势。但是，作为Lte无线回传网络来说弊端也多，其存在的主要安全威胁如下：
（1）enodeB接入层：伪造enodeB接入运营商网络，对网络上的其他设备进行攻击。
（2）S1/X2接口：泄露、讹用、篡改信息，窃取传输网络中的切换数据，获取重要用户信息或篡改相关内容。
（3）om网管通道：截获om接口传递的基站重要信息，进行盗窃或删除基站配置文件、版本信息。
2ip传输常见的安全解决方式
针对上述威胁点，ip网络常用的安全解决方式如表1所示：
（1）接入层对应数据链路层，采用802.1x，通过RaDiUS服务器的认证，可以防止非法enodeB接入到运营商网络。
（2）汇聚层对应网络层，采用ipSec，通过安全网关进行身份认证，建立ipSec隧道，来保护（S1/X2/om）接口数据流的传输安全。
（3）核心、汇聚层对应传输层到应用层之间，采用SSL，为om网管数据提供机密性保护、数据完整性保护以及身份认证机制。
3传输安全关键技术
3.1802.1x技术
802.1x技术提供enodeB和接入层Lan交换机间的基于设备证书认证。通过对enodeB的maC地址进行认证，限制未经认证的设备接入网络。802.1x认证接入控制系统的组成包括：客户端（enodeB）、认证接入设备（接入层Lan交换机）、认证服务器（RaDiUS），如图2所示。
初始接入时enodeB未经过认证，enodeB的数字证书承载在eapoL报文中通过接入设备的不受控端口发送给RaDiUS服务器，RaDiUS服务器根据配置的根Ca证书对enodeB进行认证。认证通过后对受控端口进行授权，S1/X2数据才可以经授权端口正常通过，从而达到合法用户接入、保护网络安全的目的。
3.2ipSec技术
（1）密钥交换协议iKe
iKe可以在不安全的网络上安全地分发密钥、验证身份、建立ipSecSa，为需要加密和认证的通信双方提供算法、密钥协商服务，用于enodeB动态建立ipSecSa。通过策略协商、DH交换、对端身份认证这三次交换完成iKe安全联盟的建立。
iKe认证方法包括预共享密钥认证和数字证书认证，具体如下：
1）预共享密钥认证是指通信双方使用相同的密钥，验证对端身份。enodeB基站侧通过预置预共享密钥实现合法入网。
2）通过Ca数字证书认证，网络需要部署pKi系统。
（2）ipSec流程
ipSec技术可保护enodeB的X2、S1-mme、S1-U、om网管接口。协议族包括iKe、eSp、aH等。ipSec通过iKe协议完成密钥协商以及身份认证，进一步通过eSp/aH安全协议、加密算法、加密密钥进行数据的加密和封装。
ipSec技术的核心是ipSecSa安全联盟，由iKe动态建立，具体流程如下：
第一阶段：通信对等体建立一个已通过安全认证的通道，即iKeSa；
第二阶段：利用已创建的iKeSa来协商创建具体的ipSecSa；
第三阶段：数据通信时ipSec本端对数据加密，接收端对数据进行解密。
ipSecSa具有生存周期，如果达到指定的生存周期LtS，则ipSecSa就会失效。ipSecSa失效前，iKe将为ipSec协商建立新的Sa。
3.3SSL技术
SSL主要保护应用层协议如Http、Ftp、teLnet等，它们均透明地建立于SSL协议之上，在应用层协议通信之前SSL就完成加密、通信密钥的协商以及认证工作，从而保证通信的机密性。
SSL为在enodeB与网管之间的om和Ftp通信提供安全的数据传输通道，保护远端运维的安全性。enodeB通信中SSL连接过程如下：
（1）enodeB与网管系统之间建立tCp连接。
（2）网管系统作为SSL的客户端向基站发起SSL握手过程。
（3）SSL握手并认证成功后，enodeB与网管之间建立基于SSL保护的om通道。
3.4pKi技术
pKi系统主要是为网络提供密钥和数字证书管理，应用于enodeB和安全网关（以下简称SeGw）之间的身份认证、om通道SSL建链时的身份认证、enodeB接入时802.1x身份认证。Lte网络中pKi系统包括：enodeB基站、SeGw、网管等；证书颁发中心Ca、证书注册中心Ra、数字证书和CRL存储库。
Ca服务器认证enodeB基站流程如下：
（1）当pKi系统中部署多级Ca时，多级Ca的证书组成一条证书链。根Ca的证书是证书链上的顶级证书，可以认证证书链上的所有证书。证书链用于验证由证书链中最底层Ca颁发的设备证书的合法性。
（2）如果基站的设备证书到根Ca之间有一条证书链，对端要预置该证书链，ipSec认证过程中SeGw用该证书链验证基站发送的设备证书的合法性。
4传输安全组网规划
4.1非安全组网向pKi安全组网演进
非安全组网向pKi安全组网演进如图3所示：
（1）需要在网络中部署SeGw安全网关，SeGw上部署设备证书和根证书。
（2）部署pKi系统，Ca服务器上预置设备厂家根证书。
（3）enodeB与传输接入层之间部署802.1x认证。
（4）om网管通道采用ipSec+SSL技术。
4.2ipSec组网案例
ipSec在应用时需要使用SeGw功能，在Lte网络中通常由mme或S-Gw兼做。ipSecSa由enodeB根据配置的ipSec安全策略和SeGw进行iKe协商建立，形成aCL、ipSec安全提议两个部分。enodeB通过aCL来指定要保护的数据流；ipSec安全提议负责定义包括对数据流的封装模式、采用的安全协议、加密算法和认证算法。
ipSec负责对enodeB的信令、业务数据流和om数据流，以及enodeB与Ca服务器、CRL服务器之间证书管理相关的数据流提供保护。
enodeB和SeGw使用数字证书进行身份认证，故需要在网络中部署pKi系统和RaDiUS/DHCp服务器。根据3Gpp标准，Ca服务器的证书请求响应消息中要携带根证书或证书链，因此Ca服务器上要预置设备的根证书。
ipSec典型组网如图4所示。
在这种典型网络中部署了RaDiUS/DHCp服务器，enodeB通过DHCp协议获取上述om通道信息、运营商Ca信息、SeGw信息。DHCp是实现主机动态配置的协议、配置参数的分配和分发。enodeB获得配置文件后，再与SeGw进行协商建立ipSec通道。
实际部署中，RaDiUS/DHCp服务器和om网管服务器可以部署在同一硬件上，但是分不同的逻辑通信实体。
4.3ipSec组网规划
规划步骤依次是：部署SeGw和pKi系统；数据规划；数据改造；基站环境检查；修改网络路由；ipSec通道和om的建立。其中需要重点说明的是：
（1）数据规划是重点，包括：规划SeGw的ip地址、iKe加密算法、iKeDH组、认证方法；确定ipSec封装模式、eSp加密、完整性算法、aH完整性算法；收集Ca服务器的Caname、签名算法相关信息。
（2）基站环境检查：是否已配置ipSec的License、是否预置设备证书和根证书。
（3）修改网络路由：使所有需要ipSec保护的数据流先经过SeGw再到达目的端。
ipSec组网还需要考虑安全域、认证方式和数据流保护这三个主要因素，具体如下：
（1）整个网络分为安全域和非安全域，ipSec只保护非安全域。通常情况下，接入网络被认为是不安全的，而核心网络是安全的。将SeGw部署在安全域与非安全域的边界，enodeB和SeGw之间采用ipSec保护。
（2）enodeB与SeGw之间的认证方式采用pKi认证。
（3）enodeB的数据流包括信令面、用户面、om通道、时钟等数据流。在做组网规划时应识别出要保护的数据流，指定保护策略。对于om通道，enodeB提供ipSec+SSL保护。
（4）对于enodeB之间X2接口的数据流，推荐采用集中式安全保护方式。集中式安全组网下，多个enodeB分别与SeGw建立ipSec通道，enodeB之间X2接口的数据流利用该ipSec通道进行安全保护。
4.4ipSec的封装模式选择
ipSec数据流的封装模式可分为隧道模式和传输模式，均用于enodeB和mme/S-Gw之间的ipSec保护。两者区别如下：
（1）隧道模式：只对原始ip数据包提供安全保护。
（2）传输模式：对ip数据包的有效载荷和高层协议提供保护。
ipSec封装模式选择考虑以下因素：
（1）安全性：隧道模式优于传输模式，因为隧道模式可以对原始ip报文完整地进行加密和完整性保护。
（2）性能：传输模式优于隧道模式，因为隧道模式多额外的ip头，占用更多带宽。
（3）隧道模式要求网络中部署SeGw来隔离安全域和非安全域，并在SeGw上实施隧道封装、加密、完整性保护等功能；而传输模式则需要通信两端都支持iKe协商、加密、完整性保护等功能。
因此，选用哪种封装模式需要在安全、部署能力和性能之间做出权衡，并根据ipSec对端所支持的模式来进行配置。
4.5ipSec通道备份组网规划
为了保障ipSec通道的安全进行通道的主备组网，分为以下两种方式：
（1）enodeB出两个物理端口分配4个ip，与两个SeGw建立两条ipSec通道，安全策略分别绑定在这两个端口上，并启用BFD检测。ip1对ip2，ip3对ip4。
（2）enodeB出一个端口分配3个ip，也建两条ipSec通道，但ip1对应ip2和ip3。
启用ipSec通道备份功能后，两条ipSec通道同时可用（一主一备）。对于上行传输，enodeB选用主用通道；对于下行传输，enodeB在主备两条ipSec通道同时接收数据，并利用BFD检测自身与SeGw间的连通性。如果主用通道故障，则enodeB将上行数据的传输切换到备用通道。
4.6enodeB级联场景下ipSec组网
在特殊情况下enodeB存在级联，级联enodeB有以下两种方式实现ipSec功能：
（1）各enodeB-1和2独立实现ipSec功能，HubenodeB-1负责路由转发。
（2）HubenodeB-3统一提供所下挂基站的ipSec功能。
enodeB级联组网如图5所示。
5结束语
在数据链路层802.1x可以保证enodeB合法接入；网络层ipSec为enodeB提供全程ip传输安全，保证数据的机密性、完整性和可用性；应用层SSL对om通道的数据提供加密保护；三种技术完成不同层次的传输安全保护。本文结合笔者多年的设计经验，给出了安全组网方案及传输网络规划时需要考虑的各种关键因素，为实际工程规划提供了参考。
参考文献：
[1]广州杰赛通信规划设计院.Lte网络规划设计手册[m].北京：人民邮电出版社，2013.
[2]周贤伟.ipSec解析[m].北京：国防工业出版社，2006.
[3]蓝集明，陈林.对ipSec中aH和eSp协议的分析与建议[J].计算机技术与发展，2009（11）：15-17.
网络安全建议书篇2
关键词：FreeRaDiUS；openCa；openVpn；802.1X
中图分类号：tp393文献标志码：a文章编号：1673-8454（2013）18-0084-03
随着计算机和通信技术的飞速发展，各种网络应用系统在高校中日益普及，极大提高了高校教学、科研、日常办公的效率。然而，虽然网络提供了极大的便利，但其开放性与易受攻击性导致了网络随意接入和网络非法入侵，带来了巨大的安全威胁。例如，2011年网络黑客先后多次非法入侵沈阳某高校网络与教学管理系统，对该校16名学生的20门学科考试补考成绩进行修改。因此如何实现校园网络安全准入是高校网络管理面临的首要课题。
一、高校网络安全准入的问题
高校网络安全准入涉及到两个方面：一是如何实现安全地从校外远程访问校园网资源（教学系统、科研系统、数字化图书馆等）；二是如何保证校园网内部接入的安全。
由于考虑到高校信息系统的安全以及数字资源的知识产权问题，往往只有在校园网中才有权限访问这些网络资源，校外则无法访问，这种地域的限制严重影响了数字化校园信息资源使用的便捷性。与此同时，校园网内部接入疏于防护，只要能接入到交换机等网络设备，就可以访问校园网中的资源，给了病毒传播、黑客木马、内网渗透攻击可乘之机，尤其是校园无线网络（wLan）的广泛应用，更加降低了对校园网内部随意接入的门槛。
二、网络安全准入技术与相关协议简介
1.虚拟专用网络
虚拟专用网络（Virtualprivatenetwork）是利用封装加密技术在因特网上建立一个虚拟的、临时的、加密的专用数据通讯网络的技术。虚拟专用网适用于移动用户的因特网接入，无论用户是在外地出差还是在家中办公，只要能上因特网就能利用Vpn服务器作为跳板进入校园网，从而可以非常方便地访问校园网资源。
2.eap与802.1X协议
eap（extensibleauthenticationprotocol）不是认证协议，只是一种请求端和认证服务器之间认证信息交换的标准。ieee802.1X协议是一种基于端口的网络接入控制协议，在局域网接入设备端口对所接入的用户设备进行认证和控制，实现了认证数据与业务数据分离。认证通过之前，只允许eap认证数据通过接入设备的端口；认证通过之后，业务数据才能通过，从而达到了只接受合法的认证用户访问网络资源的目的。
3.RaDiUS协议
RaDiUS（RemoteauthenticationDialinUserService）是一种C/S结构的协议。RaDiUS协议认证机制灵活，可以采用pap、CHap或者Unix登录认证等多种方式。RaDiUS协议简单明确、可扩充，因此在pppoe认证、Vpn认证、ieee802.1X认证等业务中广泛应用。RaDiUS认证服务器保存了用户名、密码及相应的授权信息，可为多个认证者提供认证服务，实现了用户的集中管理。
4.数字证书认证机构
数字证书认证机构（Ca，Certificateauthority）是负责发放和管理数字证书的权威机构。数字证书中含有密钥（公钥和私钥）对所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证，并为安全通信提供了信息加密。目前，证书的格式和验证方法普遍遵循X.509国际标准。
三、基于开源软件的网络准入认证系统的设计与实现
为实现可远程访问校园网资源并保证校园网内部接入的安全，本文使用多种开源软件构建了适合于高校网络管理的网络准入认证系统。系统主要包含四个模块：Radius认证模块，数字证书管理模块，Vpn远程访问模块和基于802.1X协议的内网认证模块。系统组成与网络拓扑如图1所示。
1.RaDiUS认证模块
FreeRaDiUS是一款开源、模块化、高性能、易扩展且功能丰富的RaDiUS套件，包含一个RaDiUS服务器，一个遵循BSD协议的RaDiUS客户端函数库，一个pam函数库，一个apache模块以及众多的RaDiUS相关工具和开发函数库，并支持所有流行的eap验证类型，包括peap（受保护的eap）和eap-ttLS（隧道tLS身份验证协议）。目前最新版本是2.2.0。
本文采用FreeRaDiUS服务器作为RaDiUS认证模块。对高校网络的本地用户和远程用户进行统一的身份验证，将用户、远程访问服务器、Vpn及其他资源的身份验证信息保存在一个中心数据库中，实现了用户的集中管理，降低了身份验证的管理成本。
通常RaDiUS服务器和客户端之间采用mD5-Challenge认证，认证时需输入用户名和口令，安全性相对薄弱。本文将FreeRaDiUS配置使用eap-tLS隧道技术。虽然peap和eap-tLS都使用了tLS/SSL隧道，但peap只使用了服务器端的认证，即服务器端拥有证书并向用户提供证明。而eap-tLS使用了双向认证，Radius服务器和客户端都拥有证书并进行相互身份证明。eap-tLS隧道技术的使用提高了身份认证的安全性。
使用daloRaDiUS作为FreeRaDiUS的web前端管理平台，目前最新版本为0.9.9。它具有用户管理、图形化报表、审计和计费引擎等功能。daloRaDiUS提升了FreeRaDiUS管理的便捷性与易操作性。
2.数字证书管理模块
用户名密码是最简单也最普遍的身份认证方式，同时也是非常不安全的认证方式。一方面，采用诸如生日、电话号码、车牌号码等有意义的字符串作为密码，容易被猜到或者被暴力破解。另一方面，在验证过程中密码需要在计算机内存中和网络中传输，而每次验证过程使用的验证信息都是相同的，因此很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。因此，本文采用被实践证明行之有效的数字证书来解决用户认证安全性的问题，并使用openCa作为数字证书管理模块。
openCa是一个健壮的、功能强大的开源数字证书管理系统。openCa包括两个最基本的实体：Ca（Certificationauthority）和Ra（Registrationauthority）。Ca节点不连接任何网络，主要负责签发证书、撤销证书、与Ra数据交换以及Ca自身节点的管理。Ra节点连接网络包含三个接口：pUB接口主要面向用户，用户可通过web接口提交证书申请，证书撤销申请，下载签发后的证书以及Ca的证书。Ra接口主要面向Ra管理员，Ra管理员审核用户的证书请求，审核通过后签发申请，然后把数据传给Ca，以及Ra节点自身的管理。LDap接口也是面向Ra管理员，负责把证书从LDap数据库中导入导出，并将openCa生成的数字证书导入USBKey，既方便了数字证书的保管、携带与使用，又能保证数字证书的安全（无法导出或复制）。
3.openVpn远程访问模块
openVpn是一个用于创建虚拟专用网络加密通道的开源软件，大量使用了openSSL加密库中的SSLv3/tLSv1协议函数库，具有穿越网络地址转换（nats）和防火墙的功能，并提供了远程访问、站点与站点间Vpn及企业级远程访问的解决方案。其创建的Vpn可以使用预享私钥、数字证书、或者用户名密码来进行身份验证。
本文采用openVpn作为Vpn服务端软件，建立校园网资源远程访问的虚拟专用通道。校外用户只需要连接到internet，然后通过openVpn建立的虚拟专用通道就能使用教学系统、科研系统、数字化图书馆等校园网资源，有效地解决了校外用户无法访问图书馆的电子资源的问题。
openVpn客户端使用包含openCa数字证书的USBKey，这样就省了记住和输入账号密码的麻烦，大大简化了建立Vpn连接的操作，提升了Vpn的易用性和安全性。
4.基于802.1X协议的内网认证模块
ieee802.1X认证系统由请求端、认证端和认证服务器三部分组成。请求端是支持802.1X认证的用户或设备，认证端是对请求者进行认证的支持802.1X协议的有线接入交换机或无线接入ap等网络设备，认证服务器是对请求访问网络资源的请求者进行实际认证功能的设备，通常是RaDiUS认证服务器。802.1X的工作机制为：请求端发起认证请求，认证端在请求端和认证服务器之间充当角色，认证服务器会接受由认证者转发过来的身份认证信息，根据用户信息数据库中的资料进行核对，然后回应认证成功或失败报文到认证端。如果认证成功，则向认证端发出打开端口的指令，允许请求端的业务流通过端口访问网络。否则，保持认证端端口的关闭状态，只允许认证信息数据通过。
因此，只需在请求端的设备上安装802.1X客户端软件，并在有线接入交换机或无线接入ap启用802.1X认证功能，最后使用openCa数字证书管理系统与FreeRaDiUS认证服务器对接入设备进行认证，即可实现校园网内部安全接入的目的。
四、结束语
本文运用开源软件构建了高校校园网络准入认证系统。该系统在现有硬件资源条件基础上，大量使用开源软件，不仅解决了校园网用户外网Vpn接入、内网有线无线接入的身份认证、授权等网络应用中的核心问题，而且节省了购买的商业软件开支，同时也便于系统的更新、定制与二次开发。
参考文献：
[1]杨艳，杨秋翔，史广.应用开源软件实现高校内网资源远程访问技术的研究[J].微计算机应用，2011，32（2）：75-80.
网络安全建议书篇3
2012-02-1016:58作者：江西华图来源：未知
1.概念
倡议书是为倡议、发起某项活动而写的号召性的公开提议性的专用书信。
2.格式
倡议书一般由标题、称呼、正文、结尾、落款五部分组成。
（1）标题
倡议书标题一般由文种名独自组成，即在第一行正中用较大的字体写“倡议书”三个字。另外，标题还可以由倡议内容和文种名共同组成。如“把遗体交给医学界利用的倡议书”。
（2）称呼
倡议书的称呼可根据倡议的对象而选用适当的称呼。如“广大的青少年朋友们：”、“广大的妇女同胞们：”等。有的倡议书也可不用称呼，而在正文中指出。
（3）正文
正文内容一般包括以下一些方面：
a.写倡议书的背景原因和目的
倡议书的发出贵在引起广泛的响应，只有交代清楚倡议活动的原因，以及当时的各种背景事实，并申明倡议的目的，人们才会理解和信服，才会自觉的行动。这些因素交待不清就会使人觉得莫名其妙，难以响应。
b.写明倡议的具体内容和要求
这是正文的重点部分。倡议的内容一定要具体化。开展怎样的活动，都做哪些事情，具体要求是什么，它的价值和意义都有哪些均需一一写明。
倡议的具体内容一般是分条开列的，这样写往往清晰明确，一目了然。
（4）结尾
结尾要表示倡议者的决心和希望或者写出某种建议。倡议书一般不在结尾写表示敬意或祝愿的话。
（5）落款
落款即在右下方写明倡议者单位、集体或个人的名称或姓名，署上发倡议的日期。
3.范文
争创“文明网站”倡议书
互联网是公众精神文化活动的重要空间，是社会主义精神文明建设的重要阵地。中央文明办、中央外宣办、工业和信息化部、公安部、文化部、广电总局、新闻出版总署在全国组织开展创建“文明网站”活动，符合我国互联网健康发展的客观需要，顺应广大群众的迫切愿望，是加强网络文明建设的实际行动。我们百家坚决拥护和积极参与创建活动，并向全国网站发出如下倡议：
一、坚持依法办网、守法经营，严格规范网站建设与管理，自觉遵守国家关于互联网发展和管理的法律、法规和政策，接受行政管理和业务指导，不违法违规开展业务。
二、完善内部教育管理体系，全面提高从业人员素质，增强责任意识、职业素养和道德水平，培育遵纪守法、爱岗敬业、诚实守信、服务人民、奉献社会的行业风气。
三、规范网上传播秩序，建立健全有害信息的发现、监督和处置机制，遵守信息和新闻传播有关法规，确保网上信息安全流动，营造良好网上舆论氛围。
四、净化网络文化环境，坚决清理淫秽色情及庸俗、低俗、媚俗等信息，始终把社会效益放在首位，引领网络道德风尚，为广大青少年提供健康的网上空间。
五、增强网上舆论鉴别能力，坚决抵制非法网络公关等现象，拒绝为恶意炒作、操控舆论等非法谋利行为提供便利与平台，自觉维护网络舆论环境和市场经济秩序。
六、切实履行社会责任，不造谣、不传谣、不信谣，杜绝虚假信息，保护公民隐私等合法权益，增强网络媒体公信力，为网民建立真实、可信、可靠的互联网使用环境。
七、强化行业自律，恪守行业规范，主动开展自查自纠，对违反法律法规、违背社会公德的有害内容不链接、不发送、不登载，抵制一切有悖于网络文明、有碍社会稳定的行为。
八、真诚接受社会监督，建立举报受理机制，畅通网站举报渠道，对各方投诉反映的问题及时处置反馈，以理性开放的心态对待各界意见建议，让人民群众放心满意。
九、开展网络文明实践活动，努力创作积极向上、喜闻乐见的网络文化产品，引导广大网民树立正确的网络观，养成科学、文明、健康的上网习惯，为提高全社会文明程度作贡献。
十、全面提高网站文明服务水平，改善服务社会能力，热心参与公益事业，塑造良好文明形象，并不断总结经验、扩大网民参与，推动“文明网站”创建工作制度化、规范化、常态化。
从“蹒跚学步”到蓬勃发展，中国互联网走过了不平凡的岁月。回顾发展历史，我们倍感自豪；面对亿万网民的殷切期盼，我们责任重大。让我们携手并进，不辱使命，着力传播网络先进文化，树立网络道德风尚，提高网络服务质量，为建设文明、健康、安全、和谐的网上精神家园而共同努力。
网络安全建议书篇4
摘 要：随着intemet访问的增加，传统的intemet接入服务已越来越满足不了用户需求，因为传统的intemet只提供浏览、电子邮件等单一服务，没有服务质量保证，没有权限和安全机制，界面复杂不易掌握，Vpn的提出就是来解决这些问题。Vpn的组网方式为企业提供了一种低成本的网络基础设施．并增加了企业网络功能．扩大了其专用网的范围。Vpn技术已经发展了几个阶段，结合相关阶段的技术进行研究，进而展望下一代Vpn技术。
关键词：虚拟专用网；ipSec；SSL；隧道协议
中图分类号：tp393．01 文献标识码：a 文章编号：1009―3044(2007)01―10056-02
1 引言
随着interact访问的增加，传统的intemet接入服务已越来越满足不了用户需求，因为传统的intemet只提供浏览、电子邮件等单一服务，没有服务质量保证，没有权限和安全机制，界面复杂不易掌握，Vpn的提出就是来解决这些问题。Vpn的组网方式为企业提供了一种低成本的网络基础设施，并增加了企业网络功能，扩大了其专用网的范围。
传统的专用网络往往需要建立自己的物理专用线路，使用昂贵的长途拨号以及长途专线服务；而Vpn则是利用公共网络资源和设备建立一个逻辑上的专用通道，尽管没有自己的专用线路，但是这个逻辑上的专用通道却可以提供和专用网络同样的功能。换言之，Vpn虽然不是物理上真正的专用网络，但却能够实现物理专用网络的功能。
2 什么是虚拟专用网(Vpn)
2．1Vpn的定义
Vpn被定义为通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。虚拟专用网可用于不断增长的移动用户的全球因特网接入，以实现安全连接：可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
2．2Vpn的主要技术及特点
Vpn具有降低成本、易于扩展、保证安全等优点。Vpn作为一种综合的网络安全方案，包含了很多重要的技术，最主要的是采用了密码技术、身份认证技术、隧道技术和密钥管理技术4项技术。
密码技术：包括对称密钥加密和非对称密钥加密。
身份认证技术：采用pKi体系的身份认证。目前常用的方法是依赖于Ca(数字证书签发中心)所签发的符合X．509规范的标准数字证书。通信双方交换数据前，需先确认彼此的身份，交换彼此的数字证书，双方将此证书进行比较，只有比较结果正确，双方才开始交换数据；否则，不能进行后续通信。
隧道技术：通过对数据进行封装，在公共网络上建立一条数据通道(隧道)，让数据包通过这条隧道传输。生成隧道的协议有多种，包括第二层隧道协议、第三层隧道协议及SSL协议等。
密钥管理技术：在Vpn应用中密钥的分发与管理非常重要。密钥的分发有两种方法：一种是通过手工配置的方式．另一种是采用密钥交换协议动态分发。手工配置的方法要求密钥更新不要太频繁，否则管理工作量太大，因此只适合于简单网络的情况。密钥交换协议采用软件方式动态生成密钥，保证密钥在公共网络上安全地传输而不被窃取，适合于复杂网络的情况，而且密钥可快速更新，可以显著提高Vpn应用的安全性。目前主要的密钥交换与管理标准有SKip和iSaKmp(intemet安全联盟和密钥管理协议)。
3 Vpn解决方案的核心技术：第二层隧道技术
第二层隧道协议是在数据链路层进行的，先把各种网络协议封装到ppp包中，再把整个数据包装入隧道协议中，这种经过两层封装的数据包由第二层协议进行传输。第二层隧道协议有以下几种：
L2F(RFC2341,Layer2Forwarding)
pptp(RFC2637,point-topointtunnelingprotocol)
L2tp(RFC2661,Layertwotunnelingprotoe01)
L2F已经过时，很少使用；pptp在微软的推动与支持下．已经成为一种事实上的工业标准，被广泛实现并已使用很长一段时间，目前夫多数厂家均支持pptp；L2tp作为下一代的隧道协议．是pptp和L2F隧道功能的集合，其隧道并不局限于tCp／ip，但是目前仅支持ip。
第二层隧道协议具有简单易行的优点，但是它们的可扩展性都不好。更重要的是，它们都没有提供内在的安全机制．它们不能支持企业和企业的外部客户以及供应商之间会话的保密性需求，因此它们不支持用来连接企业内部网和企业的外部客户及供应商的企业外部网extranet的概念。extranet需要对隧道进行加密并需要相应的密钥管理机制
4 Vpn解决方案的核心技术：第三层隧道技术
4．1第三层隧道技术分类
第三层隧道协议是在网络层进行的．把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层协议有以下几种：
lpSec(JpSecurity)
GRe(RFC2784,GeneralRoutingencapsulation)
GRe协议提出较早，有很强封装能力，是一种通用的封装形式。然而，GRe协议既不进行加密．又不进行验证，因此通常与其他协议结合使用，
4．2ipSecVpn相关说明
1pSee(ipSecurity)是由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在ip层提供安全保障。它不是一个单独的协议，它给出了应用于ip层上网络数据安全的一整套体系结构，它包括网络安全协议authenticationHeader(aH)协议和encapsulatingSecuritypayload(eSp)协议、密钥管理协议intemetKeyexchange(iKe)协议和用丁网络验证及加密的一些算法等。
4．2．1ipSec的功能包括：
(1)作为一个隧道协议实现了Vpn通信
(2)保证数据来源可靠(通过认证实现)
(3)保证数据完整性(通过验证算法)
(4)保证数据机密性(通过加密算法)
4．2．2ipSec的主要不足：
(1)安全性能高，但通信性能较低
因为ipSec安全协议是工作在网络层的，不仅所有网络通道都是加密的，而且在用户访问所有公司资源时，就像采用专线方式与公司网络直接物理连接一样。
(2)要客户端软件
需要安装客户端软件，但并非所有客户端操作系统均支持ipSecVpn的客户端程序，南于在每一台客户使用的计算机上安装了管理软件．软件补丁的和远程电脑的配置升级将是一件十分令人头疼的任务。在一些情形中，ipSec安全协议是在运行在网络硬件应用中，在这种解决方案巾大多数要求通信双方所采用的硬件是相同的，ipSec协议在硬件应用中同样存在着兼容性方面的问题。
(3)安装和维护困难
ipSec安全协议方案需要大量的it技术支持，包括在运行和长期维护两个方面。当用户的Vpn策略稍微有所改变时，Vpn的管理难度将呈几何级数增长。在大的企业通常有几个专门的员工为通过ipSec安全协议进行的Vpn远程访问提供服务。
(4)采用隧道方式，使远程接人的安全风险增加
由于ipSecVpn在连接的两端创建隧道，提供直接(而非)访问，并对全部网络可视，因此ipSecVpn会增加安全风险。一旦隧道建立，就像用户的pC机在公司局域网内部一样，用户能够直接访问公司全部的应用。
5 新一代Vpn解决方案的核心技术：SSL协议
5．1SSLVpn的定义
现在，web成为标准平台已势不可挡，越来越多的企业开始将eRp、CRm、SCm移植到web上。SSLVpn指的是以HtFpS为基础的Vpn．但也包括可支持SSL的应用程序。例如，电子邮件客户端程序，如microsoftoutlook或eudora。SSLVpn经常被称之“无客户端”．因为目前大多数计算机在出货时，都已经安装了支持HtFp和Hti'pS(以SSL为基础的Htrp)的web浏览器，所以SSLVpn可以通过web浏览器实现无客户端的远程访问。目前，SSL已由tLS传输层安全协议(RFC2246)整合取代，它工作在tCp之上。
5．2SSL的体系结构设计
SSL是为了利用tCp提供可靠的端到端的安全传输。SSL不是一个单独的协议．而是两层协议，即SSi，记录协议和存记录协议之上的三个子协议．如图2所示。其中，最主要的两个SSL子协议是记录协议和握手协议。
5．3SSLVpn技术的主要优点
(1)无需安装客户端软件：执行基于SSL协议的远程访问不需要在远程客户端设备上安装软件，只需通过标准的支持SSL的web浏览器连接因特网。
(2)适用大多数设备：基于web访问的开放体系可以运行标准的浏览器访问任何设备。
(3)可以穿越防火墙进行访问：基于SSL的远程访问方案中，由于SSi以443通讯端口作为传输通道，它通常是作为webServer对外的数据传输通道，防火墙是开放此端口的．因此不需要在防火墙上做任何修改，从而减少管理员的困扰，同时也不会降低整个通讯系统的安全性。
(4)维护工作量小，减少费用：对于那些简单远程访问用户(仅需要进入公司内部网站或者进行email通信)，基于SSL的Vpn网络可以非常经济地提供远程访问服务，而这也是SSLVpn最适用的场合。
5．4SSLVpn的不足
上面介绍SSLVpn技术这么多优势，那么为什么现在不是所有用户都使用SSLVpn，且据权威调查机构调查显示目前绝大多部分企业仍采用ipSecVpn呢?SSLVpn的主要不足在哪里呢?
(1)只能有限地支持windows应用或者其它非web系统：因为大多数基于SSL的Vpn都是基于web浏览器丁作的，远程用户不能在windowS、UniX、Linux、aS400或者大型系统上进行非基于web界面的应用。虽然有些SSL提供商已经开始合并终端服务来提供上述非web应用，但不管如何，目前SSLVpn还未正式提出全面支持．这一技术还有待讨论，也可算是一个挑战。
(2)SSL存在潜在弱点，验证网络服务器身份所使用的数字证书可能会被偷窃或复制。如果两台计算机协商建立新的SSL会话．它们会使用数字证书(SSL证书)来确认对方的身份、交换密钥材料。密钥材料的交换利用网络服务器的公钥(网络服务器的SSL证书私有公钥)对材料进行加密。一收到加密后的材料，网络服务器就用相应的私钥进行解密。
(3)驱动SSL会话所需的任务繁重的密码计算会影响网络服务器的性能。标准的计算机处理器不是为专门的密码处理而设计的。网络服务器的处理器速度、存储器容量、操作系统及网络服务器软件都对决定SSL的整体性能起到重要作用。
6 未来的Vpn
网络安全建议书篇5
关键词：安全、认证、证书、Ca、SSL协议、Set协议
一 引言
近几年，随着互联网的不断发展，在世界范围内掀起了一股电子商务热潮。许多国家政府部门对电子商务的发展十分重视，把这场以电子商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。
中国对电子商务的发展也给予了应有的重视，考虑到电子商务必然涉及到网上支付、必然涉及到银行支付结算，为了作好前瞻性的研究，1998年6月，人民银行支付科技司组织成立了电子商务课题组，对银行支付在电子商务中的作用和对策进行研究，并在研究基础上，组织各商业银行联合共建金融认证中心，为网上安全支付创造条件。
实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在向基于internet的电子交易转变的过程中与传统交易的方式一样安全可靠。电子商务的安全主要采用数据加密和身份认证技术。
下面分别从认证系统，SSL（SecureSocketsLayer）协议和安全电子交易Set（Secureelectronictransaction）协议三个方面来加以论述。
二 认证系统
电子商务的关键是安全，网上安全交易的基础是数字证书。证书类似于生活中的身份证，用以在网络上鉴别一个人或组织的真实身份。证书的颁发机构叫做Certificateauthority，通常简称Ca。要建立安全的电子商务系统，必须首先建立一个稳固、健全的Ca；否则，一切网上的交易都没有安全保障。
2.1认证系统的基本原理
传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理的问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。RSa算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSa公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为Ca，Ca为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。
国际邮联itU在1994年公布了关于证书格式的最新标准，称为X.509协议，在X.509的证书格式中，包含很多域，其中比较重要的有：用户名称、签发者名称、有效期、用户公钥信息、签发者对证书信息的数字签名。在浏览器和webServer产品中都已集成了证书申请和证书的验证功能，只要能用符合X.509协议的证书安装在浏览器上和webServer服务器端，就能实现双方证书的自动验证，从而识别身份。
2.2系统结构
整个系统是一个大的网络环境，系统从功能上基本可以划分为Ca、Ra和webpublisher。
核心系统根Ca放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。Ca的功能是在收到来自Ra的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。
证书的登记机构Registerauthority，简称Ra，分散在各个网上银行的地区中心。Ra与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给Ca中心。Ra与Ca双方的通信报文也通过RSa进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为tCp/ip。
证书的公布系统webpublisher，简称wp，置于internet网上，是普通用户和Ca直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由Ca颁发之后，Ca用e－mail通知用户，然后用户须用浏览器从这里下载证书。
2.3我国认证系统的建设情况
为保证电子商务在中国的顺利开展，必须建立全国统一的金融认证中心。
目前，经"金融系统电子商务联络与研究小组"提议，由人民银行和各家商业银行联合建立金融部门的安全认证体系得到了国内十几家商业银行的支持和响应。经金融信息化领导小组会议批准，现已决定由人民银行牵头，联合工商银行等11家商业银行，共同出资建立金融认证中心。
金融认证中心工程建设目前正在顺利进行。它将是面向全国的、金融系统联合共建的统一的认证中心，将支持BtoC和BtoB两种模式的网上交易；在体系结构上，金融认证中心的设计充分考虑了各地方开展电子商务的认证需求，计划在中心城市或某些银行系统内设立若干面对客户的注册机构。
三SSL协议
SSL协议是netscape公司在网络传输层之上提供的一种基于RSa和保密密钥的用于浏览器和web服务器之间的安全连接技术。它被视为internet上web浏览器和服务器的标准安全性措施。SSL提供了用于启动tCp/ip连接的安全性“信号交换”。这种信号交换导致客户和服务器同意将使用的安全性级别，并履行连接的任何身份验证要求。它通过数字签名和数字证书可实现浏览器和web服务器双方的身份验证。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。
这种简单加密模式的特点是：
部分或全部信息加密；
采用对称的和非对称的加密技术；
通过数字证书验证身份；
采用防止伪造的数字签名。
SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如Http、Ftp、teLnet等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。
SSL协议握手流程由两个阶段组成：服务器认证和用户认证（可选）。
3.1服务器认证阶段
在一次交易过程中，客户的证书首先传送到银行Server方，服务器先验证有效期，再根据签发者(Ca)名称找到签发者公钥(在Ca的根证书内)，验证证书的数字签名的合法性。
web服务器上的SSL安全性要求步骤如下：
1生成密钥对文件和请求文件。
2从身份验证权限中请求一个证书。
3在服务器上安装证书。
4激活www服务文件夹上的SSL安全性。
服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的消息时将包含生成主密钥所需的信息；
客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；
服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。
这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。
3.2用户认证阶段（可选）
在此之前，服务器已经过了客户认证，这一阶段主要完成对客户的认证。
经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。
SSL支持各种加密算法。在“握手”过程中，使用RSa公开密钥系统。密钥交换后，使用一系列密码，包括RC2、RC4、iDea、DeS、triple-DeS及mD5信息摘要算法。公开密钥认证遵循X.509标准。
SSL协议独立于应用层协议，且被大部分的浏览器和web服务器所内置，便于在电子交易中应用，国际著名的CyberCash信用卡支付系统就支持这种简单加密模式，iBm等公司也提供这种简单加密模式的支付系统。
3.3SSL的应用及局限
中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，从目前实际使用的请款来看，SSL还是人们最信赖的协议。
SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。
因此，为了实现更加完善的电子交易，masterCard和Visa以及其它一些业界厂商制订并了Set协议。
四Set协议
Set协议是针对开放网络上安全、有效的银行卡交易，由Visa和masterCard联合研制的，为internet上卡支付交易提供高层的安全和反欺诈保证。Set协议为电子交易提供的安全措施
Set协议保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。
4.1机密性（Confidentiality）
Set协议采用先进的公开密钥算法来保证传输信息的机密性，以避免internet上任何无关方的窥探。公开密钥算法容许任何人使用公开的密钥将加密信息发送给指定的接收者，接收者收到密文后，用私人密钥对这个信息解密，因此，只有指定的接收者才能读这个信息，从而保证信息的机密性。
Set协议也可通过双重签名的方法将信用卡信息直接从客户方透过商家发送到商家的开户行，而不容许商家访问客户的账号信息，这样客户在消费时可以确信其信用卡号没有在传输过程中被窥探，而接收Set交易的商家因为没有访问信用卡信息，故免去了在其数据库中保存信用卡号的责任。
4.2数据完整性（Dataintegrity）
通过Set协议发送的所有报文加密后，将为之产生一个唯一的报文摘要值（messagedigest），一旦有人企图篡改报文中包含的数据，该数值就会改变，从而被检测到，这就保证了信息的完整性。
4.3身份验证（Verificationofidentity）
Set协议可使用数字证书来确认交易涉及的各方（包括商家、持卡客户、受卡行和支付网关）的身份，为在线交易提供一个完整的可信赖的环境。
4.4抗否认性（non-repudiationofDisputedCharges）
Set交易中数字证书的过程也包含了商家和客户在交易中存在的信息。因此，如果客户用Set发出一个商品的订单，在收到货物后他（她）不能否认发出过这个订单；同样，商家以后也不能否认收到过这个订单。
4.5Set的局限性
Set是专门为电子商务而设计的协议，虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。而且，Set遭到有些银行的抵制，其前途如何，尚未得知。
五与电子商务安全有关的其他一些技术
5.1密码技术
密码技术基本思想是在加密密钥Ke的控制下按照加密算法e对要保护的数据（即明文m）加密成密文C，记为C＝e（m，Ke）。而解密是在解密钥Kd的控制下按照解密算法D对密文C进行反变换后还原为明文m，记为m＝D（C，Kd）。根据密钥性质的不同，可分为传统密码体制和公开钥密码体制两大类型。
传统密码体制加密解密用同一个密钥，即Ke=Kd；而公开钥密码体制使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。
密码技术是上面所提到的几种技术的基础，所以可以说整个电子商务的安全就是建立在密码技术基础上的。
5.2访问控制
除了计算机网络硬设备之外，网络操作系统是确保计算机网络安全的最基本部件。它是计算机网络资源的管理者，必须具备安全的控制策略和保护机制，防止非法入侵者攻破设防而非法获取资源。网络操作系统安全保密的核心是访问控制，即确保主体对客体的访问只能是授权的，未经授权的访问是不允许的，其操作是无效的。因此，授权策略和机制的安全性显得特别重要。保护可以从以下几个方面加以考虑：物理隔离、时间隔离、密码隔离。
5.3防火墙技术
设立防火墙的目的是保护内部网络不受外部网络的攻击，以及防止内部网络的用户向外泄密。目前，防火墙技术主要是分组过滤和服务两种类型。下面简要介绍这两种技术：
分组过滤：这是一种基于路由器的防火墙。它是在网间的路由器中按网络安全策略设置一张访问表或黑名单，即借助数据分组中的ip地址确定什么类型的信息允许通过防火墙，什么类型的信息不允许通过。防火墙的职责就是根据访问表（或黑名单）对进出路由器的分组进行检查和过滤，凡符合要求的放行，不符合的拒之门外。这种防火墙简单易行，但不能完全有效地防范非法攻击。目前，80％的防火墙都是采用这种技术。
服务：是一种基于服务的防火墙，它的安全性高，增加了身份认证与审计跟踪功能，但速度较慢。所谓审计跟踪是对网络系统资源的使用情况提供－个完备的记录，以便对网络进行完全监督和控制。通过不断收集与积累有关出入网络的完全事件记录，并有选择地对其中的某些进行审计跟踪，发现可能的非法行为并提供有力的证据，然后以秘密的方式向网上的防火墙发出有关信息如黑名单等。
5.4数字时间戳
交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DtS：digitaltime-stampservice)就能提供电子文件发表时间的安全保护。
数字时间戳服务（DtS）是网上安全服务项目，由专门的机构提供。时间戳（time-stamp）是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest)，2)DtS收到文件的日期和时间，3)DtS的数字签名。
时间戳产生的过程为：用户首先将需要加时间戳的文件用HaSH编码加密形成摘要，然后将该摘要发送到DtS，DtS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。由Bellcore创造的DtS采用如下的过程：加密时将摘要信息归并到二叉树的数据结构；再将二叉树的根值发表在报纸上，这样更有效地为文件发表时间提供了佐证。注意，书面签署文件的时间是由签署人自己写上的，而数字时间戳则不然，它是由认证单位DtS来加的，以DtS收到文件的时间为依据。因此，时间戳也可作为科学家的科学发明文献的时间认证。
六结束语
随着上网人数的不断增加以及金融认证系统的不断完善，各种安全协议的不断出台，电子商务在中国将会有一个长足的发展；随着时间的推移，电子商务将从根本上改变几千年来形成的传统商业模式，充分体现现代科学技术给人们生活所带来的便利。
网络安全建议书篇6
1电子商务的主要安全要素
目前电子商务（electroniccommerce：是利用计算机技术、网络技术和远程通信技术，实现整个商务(买卖)过程中的电子化、数字化和网络化。人们不再是面对面的、看着实实在在的货物、靠纸介质单据(包括现金)进行买卖交易。而是通过网络，通过网上琳琅满目的商品信息、完善的物流配送系统和方便安全的资金结算系统进行交易。）工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看,传统的买卖双方是面对面的,因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。电子商务交易双方（销售者和消费者）都面临安全威胁。电子商务的安全要素主要体现在以下几个方面：
信息有效性、真实性
电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。
信息机密性
电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。
信息完整性
电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。
信息可靠性、不可抵赖性和可鉴别性
可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。
在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的。原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。
2电子商务的安全技术讨论
2．1电子商务的安全技术之一-----数据加密技术
加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。
面向网络的加密技术通常工作在网络层或传输层，使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。在网络层上实现的加密技术对于网络应用层的用户通常是透明的。此外，通过适当的密钥管理机制，使用这一方法还可以在公用的互联网络上建立虚拟专用网络并保障虚拟专用网上信息的安全性。
面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，例如使用kerberos服务的telnet、nfs、rlogion等，以及用作电子邮件加密的pem（privacyenhancedmail）和pgp（prettygoodprivacy）。这一类加密技术的优点在于实现相对较为简单，不需要对电子信息（数据包）所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。
1）常用的加密技术分类：
对称密钥密码算法
对称（传统）密码体制是从传统的简单换位代替密码发展而来的，自1977年美国颁布des密码算法作为美国数据加密标准以来，对称密钥密码体制得到了迅猛发展，得到了世界各国关注和使用。对称密钥密码体制从加密模式上可分为序列密码和分组密码两大类。
不对称型加密算法
也称公用密钥算法，其特点是有二个密钥即公用密钥和私有密钥，只有二者配合使用才能完成加密和解密的全过程。
由于不对称算法拥有二个密钥，因此它特别适用于分布式系统中的数据加密，在internet中得到了广泛应用。其中公用密钥在网上公布，为数据源对数据加密使用，而用于解密的相应私有密钥则由数据的收信方妥善保管。
不可逆加密算法
其特征是加密过程不需要密钥，并且经过加密的数据无法被解密，只有同样的输入数据经过同样的不可逆加密算法才能得到相同的加密数据。不可逆加密算法不存在密钥保管和分发问题，适合于分布式网络系统上使用，但是其加密计算工作量大，所以通常用于数据量有限的情形的加密，例如计算机系统中的口令的加密。
2）电子商务领域常用的加密技术
数字摘要(digitaldigest)
这一加密方法亦称安全hash编码法，由ronrivest所设计。该编码法采用单向hash函数将需加密的明文"摘要"成一串128bit的密文，这一串密文亦称为数字指纹(fingerprint)，它有固定的长度，且不同的明文摘要成密文，其结果总是不同的，而同样的明文其摘要必定一致。这样这串摘要便可成为验证明文是否是"真身"的"指纹"了。
数字签名(digitalsignature)
数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。在书面文件上签名是确认文件的一种手段，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。
数字时间戳(digitaltime-stamp)
交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(dts)就能提供电子文件发表时间的安全保护。
数字时间戳服务(dts)是网上安全服务项目，由专门的机构提供。时间戳(time-stamp)是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest),2)dts收到文件的日期和时间，3)dts的数字签名。
数字证书(digitalcertificate,digitalid)
数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。
数字凭证有三种类型：
·个人凭证(personaldigitalid)
·企业（服务器）凭证(serverid)
·软件（开发者）凭证(developerid)
上述三类凭证中前二类是常用的凭证，第三类则用于较特殊的场合，大部分认证中心提供前两类凭证。
3）与电子商务安全有关的协议技术讨论：
ssl协议（securesocketslayer）安全套接层协议
------面向连接的协议，当初不是为电子商务而设计
ssl协议主要是使用公开密钥体制和x.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用webserver方式。
ssl协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如http、ftp、telnet等）以保证应用层数据传输的安全性。ssl协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。
ssl的应用及局限：中国目前多家银行均采用ssl协议，从目前实际使用的情况来看，ssl还是人们最信赖的协议。但是ssl当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成,ssl协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。
set协议（secureelectronictransaction）安全电子交易
------专门为电子商务而设计的协议，但仍然不能解决电子商务所遇到全部问题
电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。在网上购物的环境中，持卡人希望在交易中保密自己的帐户信息，使之不被人盗用；商家则希望客户的定单不可抵赖，并且，在交易过程中，交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国vi
sa和mastercard两大信用卡组织联合国际上多家科技机构，共同制定了应用于internet上的以银行卡为基础进行在线交易的安全标准，这就是"安全电子交易"（set）。它采用公钥密码体制和x.509数字证书标准，主要应用于保障网上购物信息的安全性。由于set提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。
set的局限性：set是专门为电子商务而设计的协议，虽然它在很多方面优于ssl协议，但仍然不能解决电子商务所遇到的全部问题。
2.2电子商务的安全技术之二------身份认证技术
为解决internet的安全问题，世界各国对其进行了多年的研究，初步形成了一套完整的internet安全解决方案，即目前被广泛采用的pki（publickeyinfrastructure公钥基础设施）体系结构。pki体系结构采用证书管理公钥，通过第三方的可信机构ca，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）捆绑在一起，在internet网上验证用户的身份，pki体系结构把公钥密码和对称密码结合起来，在internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。
在电子交易中，无论是数字时间戳服务(dts)还是数字证书(digitalid)的发放，都不是靠交易的自己能完成的，而需要有一个具有权威性和公正性的第三方(thirdparty)来完成。认证中心(certificateauthority)就是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理。认证中心依据认证操作规定(certificationpracticestatement)来实施服务操作。
1）认证系统的基本原理
利用rsa公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为ca，ca为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。
2）认证系统结构
整个系统是一个大的网络环境，系统从功能上基本可以划分为ca、ra和webpublisher。
核心系统根ca放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。ca的功能是在收到来自ra的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。
证书的登记机构registerauthority，简称ra，分散在各个网上银行的地区中心。ra与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给ca中心。ra与ca双方的通信报文也通过rsa进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为tcp/ip。
证书的公布系统webpublisher，简称wp，置于internet网上，是普通用户和ca直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由ca颁发之后，ca用e－mail通知用户，然后用户须用浏览器从这里下载证书。
证书链服务（有时也称"交叉认证"）是一个ca扩展其信任范围或被认可范围的一种实现机制。如果企业或机构已经建立了自己的ca系统，通过第三方认证中心对该机构或企业的ca签发ca证书，能够使得该企业或机构的ca发放的证书被所有信任第三方认证中心的浏览器、邮件客户所信任。
3）中国金融认证中心cfca的建设情况
中国对电子商务的发展也给予了应有的重视。中国金融认证中心cfca（chinafinancialcertificateauthority）。已于2000年6月29日开始对社会各界提供证书服务，系统进入运行状态。中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构，为参与电子商务各方的各种认证需求提供证书服务，建立彼此的信任机制，为全国范围内的电子商务及网上银行等网上支付业务提供多种模式的认证服务，在不远的将来实现与国外ca的交叉认证。
2．3电子商务的安全技术之三网上支付平台及支付网关
网上支付平台分为ctec支付体系（基于ctca/gdcs）和set支付体系（基于ctca/set）。网上支付平台支付型电子商务业务提供各种支付手段，包括基于set标准的信用卡支付方式、以及符合ctec标准的各种支付手段。
目前，在国内可以提供网上支付功能服务或者网上支付网关接口的银行有：
中国工商银行牡丹卡中国银行长城借记卡
中国银行长城信用卡招商银行一网通卡
中国建设银行龙卡master/visa/jcb卡（适用全球）
上述除中国银行长城借记卡则采用了set1.2的加密方式外，其余全部采用ssl-128加密方式。
支付网关位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。即支付网关主要完成通信、协议转换和数据加解密功能，并且可以保护银行内部网络。此外，支付网关还具有密钥保护和证书管理等其它功能。
网络安全建议书篇7
[关键词]计算机；电子商务；网络安全；pKi；Ca认证
电子商务系统(electronicCommerceSystem，eCS)将传统的商务过程转移到internet平台上来，它是参与电子商务活动的各方，包括生产企业或商家、消费者、银行或金融机构、政府等，利用计算机网络平台来实现商务活动的信息系统。其目标是利用计算机网络技术实现在线交易的全过程。一个完善的电子商务系统应当包括哪些部分，目前还没有权威的论述。从企业电子商务实践来看，企业电子商务系统的体系结构一般为四层平台结构，它们分别是：网络基础平台、应用开发支持平台、商务服务支持平台和电子商务应用平台。
一、电子商务系统的安全要求
总的来讲，电子商务系统的安全要求体现在两个主要方面，一个是计算机网络安全，还有一个就是商务安全。
1.计算机网络安全。从本质上来讲，计算机网络安全就是计算机网络系统中的硬件、软件、数据受到保护，不会因为偶然或恶意的原因而遭到破坏、更改、泄露，系统能够连续正常工作，其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性目标，它是电子商务系统安全的前提和基础。
2.商务安全。商务安全紧紧围绕传统商务活动在internet上应用时产生的各种安全问题，在计算机网络安全的基础上实现电子商务信息的保密性、交易信息的完整性和一致性、交易者身份的真实性和不可伪装性、交易的不可抵赖性。商务安全是电子商务交易过程中最核心和最关键的问题。
二、目前电子商务系统中计算机网络安全问题及应对措施
计算机网络安全一般可以分为物理安全和信息安全，物理安全是指保证计算机系统的各种设备的安全，主要包括环境安全、设备安全、介质安全等，是整个信息系统安全的前提。网络信息安全则是指必须保障网络信息不被非法窃取、泄露、删除和破坏，主要表现在计算机操作系统安全和计算机信息安全(数据库安全)。
1.物理安全问题及应对措施。对计算机网络物理安全产生影响的主要有偷窃、火灾及雷击等。一旦参与电子商务活动的网络设备被破坏，那么电子商务系统赖以运行的硬件平台将不复存在。因此，必需制定严格的制度、采取严格的防范措施防止产生网络物理安全问题。
2.信息安全问题及应对措施。V计算机操作系统安全是一个逻辑上的概念，操作系统是计算机中最基本、最重要的软件，与操作系统安全有关的威胁主要来自黑客攻击、计算机病毒和拒绝服务攻击三个方面等。操作系统安全是整个电子商务系统的软件基础，一般而言合理的配置和正确的策略是操作系统安全的基础。目前对操作系统的安全主要通过以下几个方面来实现：硬件安全机制、标识与鉴别、访问控制、最小特权管理、可信通路及安全审计等。
信息安全是指保护数据库防止不合法的使用所造成的数据泄露、更改或破坏。在企业电子商务过程中，大量的信息都被保存在数据库中，因此必需采取一定的手段来保证它们的安全。数据库系统的安全需求包括以下几个方面：完整性、保密性和可用性。完整性主要包括物理完整性和逻辑完整性，其中物理完整性是指数据不受物理故障的影响，并在灾难性破坏时可以重建和恢复；逻辑完整性是指对数据库逻辑结构的保护，使数据库能够满足完整性约束及并发操作时的数据逻辑一致性。保密性是指不允许未经授权的用户存取数据，从而造成信息泄露。可用性是指数据库应响应授权用户对数据库的正常操作。数据库系统主要通过数据库系统安全机制满足数据库系统的安全需求。数据库安全机制是用于实现数据库的各种安全策略的功能集合，通常包括：用户标识与鉴别、存取控制、数据库加密、数据库审计、备份与恢复及推理控制与隐私保护等方面的内容。
电子商务系统中的计算机网络安全性问题主要是针对计算机网络本身可能存在的问题，一般采用的应对措施是通过实施网络安全增强方案，以保证计算机网络自身的安全性为目标。目前针对计算机网络安全的防护技术主要有数据加密技术、身份识别和验证技术、防火墙技术、虚拟专用网络技术、网络安全扫描技术和网络攻击检测技术等。
三、目前电子商务系统中商务安全问题及应对措施
商务安全问题紧紧围绕传统商务活动在internet上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行，即实现电子商务的保密性(在电子商务系统交易过程中的商务信息均有保密的要求，如信用卡的账号和用户名被人知悉，就可能被盗用，订货和付款的信息被竞争对手获悉，就可能丧失商机)、完整性和一致性(电子交易的过程是一个完整的过程，期间产生的信息是不能被修改的必需保证其一致性)、身份的真实性和不可伪装性(网上交易的双方很可能素昧平生，相隔千里。要使交易成功首先要能确认对方的身份，对商家要考虑客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此，能方便而可靠地确认对方身份是交易的前提。对于为顾客或用户开展服务的银行、信用卡公司和销售商店，为了做到安全、保密、可靠地开展服务活动，都要进行身份认证的工作)及不可抵赖性(由于商情的千变万化，交易一旦达成是不能被否认的，否则必然会损害一方的利益)。
目前对电子商务过程中商务安全的保障主要是通过pKi技术来实现的。
1.pKi基础。pKi(publicKeyinfrastructure，公钥基础设施)技术采用证书管理公钥，通过第三方可信任机构认证中心(Certificateauthority，Ca)把用户的公钥和用户的其它标识信息捆绑在一起，用于在internet上进行用户身份验证。通过把要在internet上传输的数据进行加密，保证电子商务信息的保密性和完整性，通过数字签名保证参与电子商务者身份的真实性并防止抵赖。
2.pKi的组成。一个完整的pKi应用系统至少应包含以下几部分：
(1)数字认证中心Ca及数字安全证书。Ca是一个负责发放和管理数字安全证书的第三方权威机构。对于一个大型的应用环境，认证中心往往采用一种多层次的分级结构，各级认证中心类似于各级行政机关，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。认证中心主要有以下几种功能：证书的颁发；证书的更新；证书的查询；证书的作废；证书的归档。
数字安全证书就是标志网络用户身份信息的一系列数据，用来在网络通讯中识别通讯各方的身份。数字安全证书是由权威公正的第三方机构即Ca中心签发的，以数字安全证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障电子商务应用的安全性。
数字安全证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥(私钥)，用它进行解密和签名；同时拥有一把公共密钥(公钥)并可以对外公开，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，即使被第三方截获，由于没有相应的私钥，也无法进行解密。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。
公开密钥技术解决了密钥的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送给商户，然后由商户用自己的私有密钥进行解密。
用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字信封和数字签名。
数字信封的功能类似于普通信封，普通信封在传统法律约束下能够确保只有收信人才能阅读信件内容，数字信封则采用密码技术保证只有规定的接收者才能阅读信息内容，在电子商务过程中信息的发送方首先利用随机产生的对称密码加密要传送的信息，再利用接收方的公钥加密对称密码，被加密后的对称密码就被称为数字信封，信息接收方收到信息后必须先利用自己的私钥对数字信封解密，才能得到对称密码，然后利用对称密码看到自己需要的信息内容，这样就确保了信息的保密性。
数字签名是指用户用自己的私钥对要发送的原始数据的哈希摘要进行加密所得的数据，接收方使用信息发送方的公钥对附在原始信息后的数字签名进行解密获得哈希摘要，并通过与自己收到的原始数据产生的哈希摘要对照，便可确认原始信息是否被篡改，这样就可以确保信息的真实性和传输的完整性。采用数字签名，能够确认以下3点：
(a)保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
(b)保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。
(c)签名是不可重用的，签名是文件的一部份，不可能再将签名移动到其它文件上。
数字安全证书的格式一般采用X.509国际标准。它包含了以下几点：数字安全证书拥有者的名称、数字安全证书拥有者的公共密钥、公共密钥的有效期、颁发数字安全证书的单位、数字安全证书的序列号，颁发数字安全证书单位的数字签名等内容。
数字安全证书根据应用领域的不同一般有：个人数字安全证书、机构数字安全证书、个人签名安全证书、机构签名安全证书、设备安全数字证书等几种类型。
(2)X.500目录服务器。X.500目录是一个全球性的信息通讯目录，由不同的国家或组织拥有和管理不同的部分，X.500目录服务器主要用于用户的数字安全证书和黑名单信息，用户可以通过标准的LDap协议查询自己或他人的证书并下载黑名单信息。
(3)具有高强度密码算法安全套接层(SSL)协议。weB的安全问题涉及到前面提及的计算机网络安全问题，同时还有新的挑战，weB具有双向性，很容易受到来自internet的攻击，SSL(安全套接层协议)是一种工作在tCp/ip模型传输层的具有高强度密码算法的协议，基于RaS和保密密钥的安全连接技术，它在两个结点之间建立安全的tCp连接，通过加密传输信道、数字签名和数字证书可以实现客户端和服务器双方的身份验证，安全强度很高。
SSL协议由两层构成，底层为SSL记录协议，它为各种高层协议提供基本的安全服务，常用的Http服务可以在SSL的上层实现；SSL高层为握手协议、更改密码规则协议和警告协议，这些特定的协议可以管理SSL的交换。记录协议和握手协议是SSL协议体系中的两个主要协议，其中记录协议用于确定数据安全传输的模式，握手协议用于客户机和服务器建立起安全连接之前交换一系列的安全信道，这些安全信息主要包括：客户机确定服务器的身份；允许客户机和服务器选择双方共同支持的一系列加密算法；服务器确定客户机的身份；通过非对称密码技术产生双方共同的密钥和建立SSL的加密安全通道等内容。
SSL最初由netscape公司开发，现在已经成为internet用来鉴别网站和浏览者身份，以及在浏览器使用者及网站服务器之间进行加密通信的全球化标准。
(4)weB安全通信平台。电子商务过程通常会涉及weB服务器和weB客户端两部分，服务器端和客户机端通过具有高强度密码算法的SSL协议保证客户端和服务器端数据的安全。
3.pKi密钥产生、管理及信任模型。数字安全证书产生过程是：用户向Ca提交请求，Ca响应请求并对用户身份进行审核，通过审核则由Ca产生密钥对，同时生成公钥证书和私钥证书，公钥证书到目录服务器进行管理，私钥证书交给用户。
在电子商务过程中不可能只有一个Ca，多个Ca之间的信任关系必须保证原有的pKi用户不必信赖和信任唯一的Ca，否则电子商务系统将无法进行扩展。信任模型建立的目的是确保一个认证机构签发的数字安全证书能够被另一个Ca的用户所信任，常见的信任模型包括：严格层次信任模型、分布式信任模型、以用户为中心的信任模型和交叉认证模型。
在具体的电子商务应用中主要有以下五个交易参与方：买家、服务商、供货商、银行和认证中心(Ca)。由于参与交易的各方都持有认证中心(Ca)所颁发的数字安全证书，所以，能够保证在交易的过程中参与各方的真实身份、防止他人假冒；也能够保证交易信息的保密性、不可否认性和不可修改性。
四、小结
电子商务系统在给企业带来便利和机遇的同时，也面临安全方面的重大挑战，电子商务安全是一个复杂的系统问题，企业应当充分认清电子商务系统中存在的安全问题，并采取相应措施确保整个电子商务过程的安全性。
参考文献：
[1]石志国.计算机网络安全教程[m].北京：清华大学出版社，2007.
[2]闵敏，等.电子商务实用基础[m].北京：清华大学出版社，2005.
[3]闪四清.管理信息系统教程[m].北京：清华大学出版社，2007.
网络安全建议书篇8
关键词：校园网络；SSLVpn；安全套接层；身份认证
中图分类号：tp393文献标识码：a文章编号：1009-3044（2013）28-6470-03
信息技术飞速发展的今天，高校信息化的步伐也紧跟时代的节奏，各大高校逐步拥有了信息门户系统、自动化办公系统、数字资源库系统等数据交流共享数字化平台。这为老师和学生提供了一个很好的工作学习和学术研究的环境，极大的便利了广大师生。但很多资源往往受到资源权限保护，只在校园内部提供服务，通过校园网来访问电子资源库。然而现实生活中，广大师生对资源的使用不仅仅局限在校园内部，很多行政和教学人员会因工作需要出差，而同时学生如何在假期使用到校内资源就成为了各大高校需要面临和解决的问题。这成了制约数字化校园建设发展的瓶颈。而这一系列问题催生了虚拟专用网络（Virtualprivatenetwork）技术的出现，即Vpn技术。
1Vpn原理概述及分类对比
1.1Vpn原理
Vpn，即虚拟专用网络，其含义指通过使用公共网络基础设施，利用“隧道”技术、认证技术、加密技术以及控制访问等相应技术向单位内部专用网络提供远程访问的连接方式。[1]Vpn综合传统和共享数据网络的优点，具有安全、低成本等优势，近年来各大高校已经广泛将这一技术应用在移动办公和数字化资源访问等方面。
1.2Vpn技术分类
虚拟专用网络（Vpn）技术是指临时建立一个特定的安全网络通道或者临时网络连接，来把不同域的网络连接在同一个逻辑网络中。目前Vpn一般采用安全隧道、加密解密技术、密钥管理和身份认证等技术来进行网络安全通信。
Vpn按技术实现可区分为L2tp、mpLS、pptp、ipSec、SSL等，其中两大主流是分别是基于ipSec和基于SSL协议的Vpn技术。
1.3主流Vpn技术对比
ipSec（internetprotocolSecurity）是一个协议包是第三层安全协议，主要包括验证协议（aH）、密钥分配协议（iKe）以及用于网络认证和加密。与之对比SSL（SecuritySocketLayer）是一种基于客户、服务器认证的一种weB应用安全协议。ipSec协议需要用户安装客户端，而SSL是通过认证的用户经过weB浏览器就可以直接连入网络查询电子资源，对比来看SSLVpn相对于ipSec在高校中的广泛应用有几大优势：
1）SSL协议的Vpn使用更加便捷，它具有很好的兼容性，适用于各种操作系统而且也不需要下载客户端，不需要维护，管理难度大大降低，只要在浏览器中加入协议即可，方便广大师生使用。
2）安全性能比ipsec要高，ipsec基于网络层面，对ip安全保护不够，而SSL面向应用，安全防护功能优势明显。
3）SSL可以设定访问权限，这对用户级别和访问控制有很好的管理，在实际应用中可以划分各部门的资源使用区域，如各部门行政人员可以访问各自的办公自动化系统，而学生也只可以阅览电子资源等。
2SSL协议Vpn的组成和关键技术
2.1SSLVpn的组成
SSL（SecuritySocketLayer）翻译过来就是安全套接协议层。是通过对数据进行加密处理从而实现Vpn安全通信。SSLVpn一般由网关和客户端的浏览器组成。用户通过在浏览器上增加SSL协议加密对Vpn网关发送访问请求，网关解密后发到校内服务器，这一过程就形成了一个加密隧道。SSLVpn访问组成模型如图1所示：
2.2SSLVpn关键技术
现在SSL协议Vpn关键技术包括：数据安全和可伸缩访问控制、authentication（身份认证）、翻译和重写、加解密和隧道技术。
2.2.1数据安全和精细访问控制
越来越多的用户选择使用SSLVpn来远程接入网络是因为SSLVpn给移动用户提供了良好的数据安全，从数据安全层面来讲，SSLVpn是应用层面的授权，未经授权的用户不能访问开放使用的应用。
同时SSLVpn可以精细的分配用户的访问权，一个用户可以根据组织结构框架来获得不同授权，他们可以别分配多个授权，例如学校里的教师可以被分配到财务和教学人员两个角色，可以更好的利用办公自动化系统来完成工作。而且远程用户的访问日志也可以通过跟踪引擎得到记录，加强了安全管理。
2.2.2身份与设备认证技术
SSLVpn能根据需求对认证方式做调整。SSL协议支持客户密码认证、USB验证、数字认证、短信和秘钥等各种方式的认证。它可以和第三方通过重定向有效集成，让部署更加方便。
2.2.3翻译技术和重写内容
SSL协议的Vpn的系统架构里面最重要的一环就是网关。用户的需求被发送到网关来，然后再网关里重写内容转化加密后发送到服务器，利用翻译技术从而获取校内的电子资源和办公系统的数据。
2.2.4加解密和隧道技术
用户通过ie里面的SSL协议和网关相连，经过网关认证后就形成了一条数据通道。在此过程中为了保证通信内容不泄露就必须对数据进行加密处理。SSL（安全套接协议）就是一种标准ie自带的安全协议，使用的X.509证书和公开秘钥来使得通信更加完整更加机密。
3实例（SSLVpn在南京财经大学校园网中的应用）
3.1南京财经大学的网络特点
南京财经大学共分三个校区，分别是南京财经大学仙林校区、南京财经大学福建路校区、南京财经大学桥头校区。其中仙林校区和福建路校区位于南京，桥头校区位于镇江。仙林和福建路网络互连，桥头校区独立网络。南京财经大学仙林图书馆和福建路网络拓扑图如图2所示，桥头校区网络拓扑图如图3所示。
3.2实际应用中所存在的问题
我校图书馆购买了很多常用电子资源库，例如中外文数据库、学位论文库、事实统计数据库、学生学习考试库、工具书数据库等、这些电子资源受到DRm数字版权保护，要经过加密数字安全的内容还有分配的路径，确保数字资源都经过授权才能使用。购买的资源都是有固定的ip范围的。有部分资源存在资源供应商的服务器，不在图书馆的内部服务器上，这样一来经过校园网进出的ip都是经过授权的，允许访问数字资源，而一部分出差或者不在校园网段的老师学生就无法使用资源。所以便于管理，能认证的一套安全访问校内资源的解决方案显得尤为重要。这能从根本上解决老师、学生校外使用校内资源的问题。
4结束语
当今社会是高度信息化的社会，信息的获取变得更加便捷，老师、学生校外获取内部电子资源的需求在不断增长。SSLVnp技术很好的解决了用户的这一需求，我校SSLVpn方案的部署给师生提供的一个更好的办公，使用校内电子资源学习的平台，基本满足的现阶段的用户需求。SSLVpn作为一项成熟的Vpn技术具有便捷、安全、便于管理等特点，这使得数字图书馆可以提供更好的服务。
参考文献：
[1]王达.虚拟专用网（Vpn）精解[m].北京：清华大学出版社，2004：45-46.
[2]马淑文.SSLVpn技术在校园网中的应用与研究[J].计算机工程与设计，2008（11）：5137-5143.
[3]吉妮.SSLVpn让校内资源发挥更大效能——Juniper公司东南大学解决方案[eB/oL].http：∥
[4]刘洪强.基于SSL协议的Vpn技术研究与实现[D].济南：山东大学，2008.
网络安全建议书篇9
［关键词］网上书店；信息安全；问题；对策
网上书店是电子商务的一种具体形式，它是企业通过在互联网上开设网上书店，消费者通过网络浏览图书信息，并在网上下订单，采用多种方式支付的一种经营模式。网上书店利用信息技术，将出版者、供应商、作者、读者及其他相关环节如银行、运输业等联系在一起，改变了图书运作流程与交易模式。
目前以网上书店为代表的出版物在线销售面临着良好的发展机遇，随着网上书店在我国的普及，其信息安全问题显得尤为重要。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。而互联网是开放性的技术，网上书店则建立在这样一个开放的网络环境之中，很多人可以匿名、隐身连接在互联网上，造成诸多不安全的因素，其中既有网络自身的技术安全问题，比如病毒、黑客攻击，还包括网上书店这一电子商务交易形式自身的众多信息安全问题。
一、网上书店的信息安全问题
由于网络的虚拟性，网上书店交易的双方并不见面，其交易完全通过网络进行，网上书店的运营模式与传统图书发行相比在信息、购买支付、物流发送等环节更依托网络手段。因此信息的真实性、可靠性受到特别的重视。目前在图书信息的真实性、书商及购书客户身份的合法性、网上支付购书费用信息的完整性与不可否认性，特别是安全认证问题和网上支付的安全性等方面都不能完全消除人们的疑虑。
对于网络自身的技术安全问题，可以采用防火墙、防病毒、访问控制和防攻击等常用网络安全措施来解决。而网上书店购书的安全问题主要来自于：购书客户私人信息被截获和窃取；购书物流中订单信息的篡改；网上书商及购书客户的信息假冒；购书交易网上的在线支付安全和支付抵赖等，都需要采取专门的措施来应对。
二、网上书店信息安全问题的解决对策
1．加强个人身份验证
通过对网上支付认证手段的分析来看，身份确认是信息安全的薄弱环节，而银行的数据也表明支付否认是发生交易争议的主要原因。采用个人身份验证技术能够保护购书客户私人信息及商务数据在公共网络上传输时不被窃听、篡改、顶替及非法使用。认证手段通常有4种：一是用户名和密码；二是动态密码，分为有源动态密码和无源动态密码；三是多因子的论证，包括手机短信和个人信息等；四是证书认证。
首先，在网上书店交易过程中，每个购书客户都有自己独有的用户名和密码，而在提交任何关于自己的敏感信息或私人信息尤其是信用卡号之前，一定要确认数据已经加密，并且是通过安全连接传输的。购书客户的浏览器和web站点的服务器都要支持有关的工业标准，如Set（Secureelectronictransaction）和SSL（SecureSocketsLayer）等。在客户购书下订单确定以及付款，书商正式发书之后，购书系统都应该有实时的手机短信提醒，双方进一步确认。
其次，采用数字证书身份认证加上口令加密的双因子身份认证技术。每个购书客户可申请一张数字证书，上网进行账户查询时，网上银行系统首先验证该用户数字证书是否合法，然后将查询请求和口令一起发送给业务前置机，对口令再次进行认证。当服务器获得用户证书后，还要检索该证书是否在废止证书列表之中。作为一个安全的网上购书系统，需要由一个权威的第三方担任信用认证机构来确认买卖双方的身份，即电子商务的安全证书认证中心（Ca中心）。Ca中心的作用在于确保网上交易合同的有效性，确保交易内容、交易双方账号、密码不被他人识别和盗取，确保交易合同的完整性，防止单方面对交易信息的生成和修改。这个第三方可以是政府部门，也可以是行业主管部门，还可以是交易双方共同信任的其他组织。
2．网上书店购书过程中的数据加密
书刊的物流信息在网络中传输时，通常不是以明文方式而是以密文的方式进行通信传输。加密技术就是把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。加密技术包括两个元素：算法和密钥。算法是将普通的文本（或者可以理解的信息）与一串数字（密钥）的结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解码的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网上书店物流信息的通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技术也分为两类，即对称加密（私人密钥加密）和非对称加密（公开密钥加密）。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。密钥的保密是很关键的，否则，网络攻击者掌握加密、解密算法，又得到密钥，会使购书客户遭受损失。因此加强对密钥的管理，要贯穿于密钥的整个生存期：密钥的生成、验证、传递、保管、使用和销毁。
还可以采用短信加密技术，用户购书过程中的订单、付款等可以短信的形式确认，而丰富多样的短信息服务的实现借助于Sim卡片以及在Sim卡片上开发应用和菜单的StK（SimcardtoolKits）技术。Sim卡片加密技术的直接应用就是对短信息完成加密和解密，无线网络和短信中心为应用服务器提供了接收和发送短信息的通道，手机内发出和接收的短信报文利用Sim卡片加密和解密，在应用服务器一侧可以借助专用的交易安全服务器来完成对短信息报文的加解密。除了加密和解密外，系统还通过maC算法完成报文的完整性校验。由于Sim卡片具备完成DeS、3DeS等多种加密运算的功能，应用StK技术可以在Sim卡片上开发信息安全功能。
转贴于
3．完善网上支付手段
网上书店的一个重要环节是网上支付。在网上支付的技术方面国际上已经形成了一些比较成熟的安全机制，我国的电子商务企业已经广泛应用了这些安全保障技术，主要是由安全协议支持的。目前国际上流行的电子商务所采用的协议主要包括：基于信用卡交易的安全电子交易协议（Secureelectronictransaction，Set）、用于接入控制的安全套接层协议（SecureSocketLayer，SSL）、netbill协议、安全Http（S－Http）协议、安全电子邮件协议（如pem、S／mime等）、用于公对公交易的interneteDi等。
从购书客户角度来说，使用网上支付时首先要核对正确网址，要开通网上银行功能，通常事先要与银行签订协议。用户在登录网银时应留意核对所登录的网址与协议书中的法定网址是否相符。其次做好交易记录，应对网上银行办理的转账和支付等业务做好记录，定期查看“历史交易明细”，定期打印网上银行业务对账单，如发现异常交易或账务差错，立即与银行联系，避免损失。另外管理好数字证书，应避免在公用的计算机上使用网上银行，以防数字证书等机密资料落入他人之手，从而使网上身份识别系统被攻破，网上账户遭盗用。
购书客户还可以通过与银行合作，使用U盾等一系列安全措施；可以采用货到付款支付方式；也可以与拥有相当用户的支付工具合作，如易趣的“安付通”、淘宝的“支付宝”都已经与工商银行、招商银行等国内的许多银行建立起战略合作关系，充当起第三方保障的角色。以支付宝为例，其具体流程是：首先，书商与购书客户就购书达成协议后，购书客户先把书款打到支付宝这个第三方账户上，等购书客户向支付宝和淘宝发出信息确认收到书并且收到的书与所购买的书相符时，支付宝再把货款划至书商的账号。当然，这些都需要依赖网上支付的法律保障，相关的法律建设需要进一步加强。
4．建立网上书店的实名制和信用制度
许多网上书店的商家利用网络的虚拟性，使用不切合实际的书刊产品广告描述来误导购书用户。很多购书客户也常会因为刚刚接触网上购物而上当。除此之外，也有一部分蓄意欺诈的书商收到了购买者汇来的钱而故意不发货。对于这类情况，可以对网上书店的商家采用实名登记注册，并通过一系列的信用等级评价机制，透明地、如实地反映书商的信用情况以及过去的每一笔交易的明细，以减少这种不安全性，买家可以参考这些信息，或与曾经与此卖家交易过的买家沟通。然而这些方式都只能降低商家网上欺骗成功的概率，不能从根本上杜绝。要想彻底根治，还是要从商家本身以及网上书店交易平台的总体设计入手来改进。
5．提高网上书店管理人员的技术素质
网上书店应该定位于高科技产业，而不是传统的流通业。网上书店的经营需要计算机操作人员、网页编辑、数据库维护人员，特别是懂得网络经营管理人员的商务人员。为提高网上书店的信息安全性，不仅要求其工作人员熟练掌握it技术，如网络协议oSi、tCp／ip，网络与互联设备，e－mail、telnet、Fpt等服务方式，还要求熟悉电子商务的运作平台（信息流网络、知识流网络、资金流网络、物流网络、契约网络），电子商务管理（eRp系统管理、SCm供应链管理、CRm客户关系管理）等，所以网上书店售书方应该聘请或培养专业人员对书店网站进行管理和维护，并积极与银行系统合作，开发操作性强、安全性高的在线客服系统和支付系统，提高网上书店的服务质量和购书双方的安全保障水平。
主要参考文献
［1］胡红升，马东平．电子商务安全策略［J］．电子商务世界，2001（2）．
［2］吉绚，胡曼，刘广宇．网上购物安全性现状分析［J］．中国水运：理论版，2006（12）．
网络安全建议书篇10
作者：包文夏李文龙单位：南海东软信息技术职业学院
加强电子商务的安全监控管理
首先，要制定准入制度，对想从事网络服务或经营的单位（个人）进行限定。如要求经营者建立符合电子商务网站开设标准的电子商务平台；相关部门要对经营单位的法人、经营内容进行严格审批等等。同时，对于电子商务平台上登记的商品及服务信息要有详细的说明，并向相关的主管部门申请，经批准、备案后的信息才能对外，而且经营单位或个人不能擅自变更电子商务平台上的信息，只有这样，才能在今后的交易中出现问题时，有据可依。其次，在电子商务交易中，经营单位或这人还应保证消费者的个人资料信息及个人隐私的安全，注重消费者个人隐私的保护。经营者有义务采取积极的措施来防止消费者的信息不被侵犯，对未经本人许可擅自泄漏消费者隐私（如出售、转让隐私）的经营单位或个人，应依法处理，严厉打击。当然消费者也应该树立自我保护意识，不要轻易的将自己的隐私泄漏给陌生人；在网上交易时也应确保所处网络的安全，以免遭受不必要的损失。再次，经营单位还应该给消费者提供一个安全支付的网络交易环境。消费者支付方式目前比较常用的有网银、支付宝、财付通等电子支付形式，电子商务经营服务者必须和其代办的银行签订协议，凡是通过电子支付款项的，在电子商务主管部门这边备案，便于当款项出差错时可以即使查询并处理。最后，要规避电子商务安全风险，还需要建立一个组织系统，组织内部要各司其职，综合保障信息安全。笔者认为，这个组织的构成可由安全决策机构、安全执行机构、安全顾问机构组成。
完善电子商务的安全技术管理
采用Ca安全认证系统所谓Ca就是以构建在公钥基础设施pki（密钥管理平台）基础之上的产生和确定数字证书的第三方可信机构，即证书认证中心，其主要功能是创建、分发和作废证书。因而，Ca安全认证体系具有管理下级审核注册机构，接受下级审核注册机构的业务申请，并为系统用户的公钥签发证书，管理所有证书、向密钥管理中心申请密钥、实体鉴别密钥器的管理等功能。目前，Ca认证机构包括两大部门：一是授权审核部门，二是证书操作部门，国际上通常都用Ca安全认证来解决电子商务安全问题，因为这个方式可以有效的保证网络交易各方的真实身份。采用加密技术加密技术是电子商务安全保密的最常用手段之一，其方法是先将电子商务活动中所需要记录和传输的信息，利用技术手段把这些信息变为乱码进行传送，到达目的地后再将乱码还原成正确的数据。对于进行了加密处理的信息，即使在数据被不法分子窃取的情况下，也不会导致信息的泄漏。这样就保证了电子商务信息的安全，大大提升了电子商务信息的安全性。目前电子商务中应用最广范的加密技术是RSa（公开密钥密码），该技术使网银交易的安全性得到了很大的提升，从而也大大提升了电子商务的实用性、可靠性和安全性。网络安全协议的应用网络安全协议的应用大大提升了电子商务交易环境的质量，目前网络安全协议的技术主要有三种。①SSL，即安全槽层协议。它利用DeS、mD5等数据加密技术来实现数据在internet上传输的机密性和完整性。广泛应用在internet、scape浏览器或客户端产品中。②S-Http，即安全超文本传输协议。它是SSL技术与Http结合起来的一种对密钥的加密保护协议，保障了web站点间交易信息的安全传输。③Set，即安全电子交易规范协议。它在电子商务中是一种针对信用卡、网银的安全协议，Set的主要功能是将认证和解密在浏览器中分离开来，以此达到提高安全控制能力的目的。