第7章网络信息安全协议与安全标准.ppt
《第7章网络信息安全协议与安全标准.ppt》由会员分享，可在线阅读，更多相关《第7章网络信息安全协议与安全标准.ppt（61页珍藏版）》请在冰点文库上搜索。
网络信息安全,第七章网络信息安全协议与安全标准,网络信息安全网络信息安全协议与安全标准,教学目的和要求,本章主要介绍网络信息安全协议SSL与SET的协议以及网络支付安全中所面临的问题及安全标准，通过本章的教学使学员了解网络信息安全协议的概念，熟悉网络支付安全的要求，掌握安全套接层协议SSL和安全电子交易SET的主要内容及工作过程。
网络信息安全网络信息安全协议与安全标准,主要内容,81安全协议概述82安全套接层协议SSL83安全电子支付84安全电子交易（SET）,网络信息安全网络信息安全协议与安全标准,81安全协议概述,8.1.1网络信息安全协议8.1.2网络信息安全协议的种类8.1.3网络信息安全协议的特点,网络信息安全网络信息安全协议与安全标准,8.1.1网络信息安全协议,计算机网络安全以保证计算机网络自身的安全为目标，其内容包括:
计算机网络设备安全、计算机网络系统安全、数据库安全等。
计算机网络的多个互连的计算机之间不断交换数据，为使相互通信的机两个计算机系统高度协调的进行数据交换，每台计算机就必须有信息内容、格式和传输顺序等方面遵守事先约定好的规则。
这些为进行网络中数据通信而制定的规则、标准或约定就是俗称的网络协议。
网络信息安全网络信息安全协议与安全标准,8.1.1网络信息安全协议,网络信息安全协议就是在协议中使用加密技术、认证技术以保证信息交换的安全的网络协议。
具体地说就是建立在密码体系上的一种互通协议，为了需要安全的各方提供一系列的加密管理、身份认证及信息保密措施以保证通信或电子交易的安全完成。
网络信息安全网络信息安全协议与安全标准,8.1.3网络信息安全协议的特点,
（1）使用加密技术来保证信息在传输中安全。
即由消息发送者加密的消息只有消息接收者才能够解密得到，别人无法得到，而且，这些加密的方法必须是很难破解的。
这样就保证的信息在传输过程中不被其它人截取，其它人即使通过非法手段得到网上传输的信息，也只是一些无法看懂的密文。
（2）使用认证技术来保证信息的不可否认。
通常可采用数字签名技术、数字认证技术来确认交易双方的身份，同时保证交易内容的不可抵赖性。
（3）使用第三方认证保证交易双方的不可否认。
很多安全协议采用第三方认证技术来进行交易双方的身份认证和交易认证。
如CA认证中心进行身份认证，也有通过第三方银行来保证交易双方身份认证，从而保证交易能够顺利完成。
（4）可直接在Internet上使用，特别是能够使用在HTTP页面下使用。
如下面我们要详细介绍的SSL协议是使用浏览器软件就可运行。
网络信息安全网络信息安全协议与安全标准,8.1.2网络信息安全协议的种类,
（1）密钥安全协议
（2）认证协议（3）密钥交换与认证协议,网络信息安全网络信息安全协议与安全标准,82安全套接层协议SSL,821SSL安全协议概述822SSL记录协议823改变密码规范协议824告警协议825握手协议8.2.6SSL协议的安全网络支付实践示例,网络信息安全网络信息安全协议与安全标准,821SSL安全协议概述,SSL（SecureSocketsLayer）安全协议又称安全套接层协议，是由网景（Netscape）设计开发的，主要用于提高应用程序之间的数据安全系数，实现兼容浏览器和服务器（通常是Web服务器）之间安全通信的协议。
网络信息安全网络信息安全协议与安全标准,一、SSL协议层次,SSL协议是一种在持有数字证书的客户端浏览器（如InternetExplorer，NetscapeNavigator等）和远程的WWW服务器（如NetscapeEnterpriseServer，IIS等）之间，构造安全通信通道并且传输数据的协议。
它运行在TCPIP层之上而在其他高层协议（如HTTP，FTP，SMTP，LDAP和IMAP等）之下.,网络信息安全网络信息安全协议与安全标准,二、SSL提供的服务,SSL结合私有密钥加密法、公开密钥加密法以及数字摘要等技术，提供以下三种基本的安全服务。
网络信息安全网络信息安全协议与安全标准,三、SSL组成,SSL由多个协议组成，采用两层协议组成，如图8.1所示。
（1）SSL记录协议规定了数据传输格式，包括应用程序提供的信息的分段、压缩、数据认证和加密，在SSL的3.0以后的版本中提供对数据认证用的MD5和SHA以及数据加密用的R4和DES等的支持，对要发送的数据加密的会话密钥可以通过SSL的握手协议来协商。
（2）SSL握手协议使得服务器和客户能够相互认证对方的身份，用来实现在客户端验证服务器证书，允许客户端和服务器选择双方都支持的数据加密算法（私有密钥加密法）并且产生会话密钥；在服务器端验证客户（可选的），用公钥加密算法与数字摘要算法安全交换会话密钥，最后建立加密的SSL连接等功能。
网络信息安全网络信息安全协议与安全标准,图8.1SSL协议栈,网络信息安全网络信息安全协议与安全标准,822SSL记录协议,SSL记录协议层是SSL协议的底层协议。
SSL记录协议用于在客户机和服务器之间的传输应用数据和数据控制，其间可对数据进行分段或者把多个高层协议数据组合成单个数据单元。
它最多能够传送16384个字节的数据块。
网络信息安全网络信息安全协议与安全标准,一、SSL记录协议的操作过程,如图8.2所示。
（1）分段/组合。
每一个高层消息都要分段，使其长度不超过214字节。
（2）压缩。
该操作是可选的，SSL记录协议不指定压缩算法，但要求压缩必须是无损的，而且不会增加1024字节以上长度的内容。
一般我们总希望压缩是缩短了数据而不是扩大了数据，但是对于非常短的数据块，由于格式原因，有可能压缩算法的输出长度大于输入长度。
（3）计算MAC。
对压缩后的数据计算SSL记录验证码即MAC。
记录验证码可使用专用公式进行计算，主要使用单向散列函数Hash进行计算。
（4）加密。
使用对称加密算法给添加了MAC的压缩数据进行加密。
而且加密不能增加1024子节以上的内容长度。
（5）添加头部。
给加密运算后的报文添加实现SSL记录头部。
网络信息安全网络信息安全协议与安全标准,图8.2SSL记录协议的操作过程,网络信息安全网络信息安全协议与安全标准,823改变密码规范协议,改变密码规范协议是SSL是握手协议中的三个特定协议之一，它是SSL协议中最简单的协议。
该协议由1个字节的报文组成。
该字节放在SSL记录头格式的内容类型字段中。
改变密码规范协议的主要作用是把报文对加密算法从一种加密算法转变为另一种加密算法。
网络信息安全网络信息安全协议与安全标准,824告警协议,告警协议是一种通过SSL记录协议进行传输的特定类型报文。
告警协议由两个部分组成：
告警级别和告警说明。
它们都用1字节进行编码。
告警报文同样会被压缩和加密。
告警协议的主要作用是规定了出错的级别和告警的类型，在SSL协议执行过程中通过告警协议来显示信息交换过程中所发生的错误。
一个字节的告警级别共分两个级别，如表8.1所示。
网络信息安全网络信息安全协议与安全标准,表8.1告警级别,网络信息安全网络信息安全协议与安全标准,825握手协议,握手协议的主要作用允许客户和服务器进行相互验证（一般只是客户验证）、选择加密规范和MAC算法，使用保密密钥来保护SSL记录中的数据。
握手协议是通过客户机和服务器之间多次信息交换来实现。
网络信息安全网络信息安全协议与安全标准,SSL握手过程,SSL握手过程包含四个阶段用户和服务器交换Hello消息。
密钥交换过程。
由以下四条消息来实现证书校验客户机发送改变自身状态消息。
网络信息安全网络信息安全协议与安全标准,SSL安全协议的运行步骤：
（1）接通阶段：
客户通过网络向服务商打招呼，服务商回应。
（2）密码交换阶段：
客户通过网络接通服务商后，双方交换认可的密码。
（3）会谈密码阶段：
客户和服务商之间产生彼此的会谈密码。
（4）验证阶段：
验证服务商取得的密码。
（5）客户认证阶段：
验证客户的可信度。
（6）结束阶段：
客户与服务商之间相互交换结束信息。
网络信息安全网络信息安全协议与安全标准,8.2.6SSL协议的安全网络支付实践示例,一、SSL协议的应用SSL协议首先被应用在网络支付中，目前国内外流行的信用卡网络支付、网络银行服务等都可构建在SSL之上。
中国的招商银行、工商银行北京分行等信用卡网络支付均采用了SSL协议机制。
另处，许多世界知名企业的Intranet和Internet网络产品均支持SSL协议。
网络信息安全网络信息安全协议与安全标准,二、安全支付参与方及应用系统框架,SSL协议在安全网络支付应用（如信用卡的SSL网络支付方式）时，参与支付应用的各方包括：
客户浏览器（持卡人）、商家服务器、认证机构CA、银行服务器，另外还有专门的第三方支付平台（可以看做支付网关）。
SSL在网络支付中的业务参与方主要涉及两个：
支付方的客户端浏览器。
如IE，Navigator银行的服务器端。
如Web服务器和应用服务器,网络信息安全网络信息安全协议与安全标准,SSL协议的应用框架,网络信息安全网络信息安全协议与安全标准,三、SSL协议运行实例,采用SSL安全协议机制时信用卡网络支付流程
（一）
（1）客户机使用IE浏览器向银行服务器发送客户端的SSL版本号、密码设置、随机数和需要服务器使用SSL协议与客户机进行通信的其他信息，IE浏览器使用https协议向服务器申请建立SSL会话。
（2）银行服务器向客户机发送服务器端的SSL版本号、密码设置、随机数据和客户机使用SSL协议与服务器通信需要的其他信息。
同时服务器端发送它自己的数字证书供客户认证，如果认为客户端需要身份认证则要求客户发送证书，该操作是可选的。
（3）客户端利用服务器发送信息来认证服务器的真实身份并取得公开密钥等。
如果服务器不被认证，用户被告警发生了问题，通知不能建立带有加密和认证的连接。
若服务器能被成功地认证，客户机将继续下一步。
网络信息安全网络信息安全协议与安全标准,采用SSL安全协议机制时信用卡网络支付流程
（二）,（4）客户端利用数字信封技术为将要进行的会话创建会话预密钥pre-master-secret，并用服务器的公钥加密它，然后向服务器发送加密的会话预密钥。
（5）当客户能被成功认证后，服务器会使用它的私人密钥解密从从客户端得到的会话预密钥pre-master-secret，并生成真正的会话密钥master-secret。
同时客户机也从相同的pre-master-secret开始得到相同的master-secret。
会话密钥master-secret是私有密钥（对称密钥）用于加密和解密在SSL会话期间交换的支付信息，并检验信息的完整性。
网络信息安全网络信息安全协议与安全标准,采用SSL安全协议机制时信用卡网络支付流程（三）,（6）会话密钥生成后，客户端向服务器发送消息，通知服务器以后从客户机来的消息将用会话密钥加密，这表明握手的客户端部分已经完成。
（7）服务器向客户机发送相同的消息，通知从服务器来的消息将用会话密钥加密。
表明握手的服务器部分已经完成。
（8）SSL会话开始，使用安全通道发送支付结算的相关信息，如信用卡号与密码等。
客户机与服务器使用会话密钥加密和解密它们彼此发送的数据和验证数据完整性。
（9）当通信完成后，一般情况会话密钥会被丢弃。
网络信息安全网络信息安全协议与安全标准,四、SSL协议的缺陷,SSL安全协议是最早应用于电子商务的网络安全协议，其运行的基本要点是建立在商家对客户信息保密的承诺。
显然，SSL有利于商家而不利于客户，客户资料的安全性受到威胁。
在整个过程中只有商家对客户的认证，而缺少客户对商家的认证，这是不合理的，因此SSL安全协议逐渐被SET安全协议取代。
网络信息安全网络信息安全协议与安全标准,83安全电子支付,831电子支付的安全问题8.3.2网络支付的安全需求833电子支付的安全策略及解决方法834电子支付安全内容,网络信息安全网络信息安全协议与安全标准,831电子支付的安全问题,电子支付具有以下特征:
（1）现金或货币无纸化、电子化、数字化：
电子支付是采用先进的技术通过数字流转来完成信息传输的,其各种支付方式都是采用数字化的方式进行款项支付的:
而传统的支付方式则是通过现金的流转、票据的转让及银行的汇兑等物理实体的流转来完成款项支付的。
（2）电子支付的工作环境是基于一个开放的系统平台（即因特网）之中:
而传统支付则是在较为封闭的系统中运作。
（3）电子支付使用的是最先进的通信手段,而传统支付使用的则是传统的通信媒介。
（4）电子支付具有方便、快捷、高效、经济的优势。
支付费用相对于传统支付来说非常低,仅为传统方式的几十分之一,甚至几百分之一。
网络信息安全网络信息安全协议与安全标准,一、在电子支付系统中可能会遇到攻击者,外部攻击者：
指在通信线路上进行窃听,并滥用收集到的数据（如信用卡号等）。
主动攻击者：
指向经过授权的支付系统参与方发送伪造的消息,以破坏系统的正常工作或盗用交换的财产。
不诚实参与方：
指试图获取并滥用自己无权读取或使用的支付交易数据。
网络信息安全网络信息安全协议与安全标准,二、电子支付系统的基本安全需求包括：
支付认证：
买方与卖方都必须证明自己的支付身份,支付身份可以不必与其真实身份相同。
认证并不一定会泄露买方的身份。
匿名性则需要一些特殊的认证机制。
支付完整性：
要求支付交易数据不可受到非授权的参与方的更改。
支付交易数据包括买方身份、卖方身份、购买内容、金额以及其他信息等。
为了实现该目的，要使用信息安全领域的完整性机制。
支付授权：
确保在未经用户明确授权之前不能从该用户的账户或智能卡中提取任何现金。
支付机密性：
最简单的支付机密性可以通过使用某种通信机密性机制来实现。
但是在某些情况下,不同的交易数据需要对不同的支付系统参与方保密。
这样的需求可以通过特别定制的支付安全机制来满足。
网络信息安全网络信息安全协议与安全标准,三、电子支付过程中面临安全问题,
（1）支付账号和密码等隐私支付信息在网络传送过程中被窃取或盗用
（2）支付金额被更改（3）无法有效验证收款方的身份（4）对支付行为或支付的信息内容进行抵赖、修改和否认（5）网络支付系统突然非人为性中断瘫痪或故意被攻击或使网络支付被故意延迟,网络信息安全网络信息安全协议与安全标准,8.3.2网络支付的安全需求,
（1）保证网络上资金流数据的保密性
（2）保证网络上资金流数据不被随意篡改，保证相关电子支付信息的完整性（3）保证网络上资金结算双方身份的认定（4）保证电子支付结算行为发生的不可抵赖性（5）保证电子支付系统运行的稳定可靠、快捷,网络信息安全网络信息安全协议与安全标准,833电子支付的安全策略及解决方法,电子支付的安全策略，是整个电子商务安全策略最重要的一个子集。
电子支付安全策略必须包含对电子支付涉及的安全问题多方面的考虑因素。
电子支付安全策略一般包含认证机制、访问控制机制、保密机制、数据完整性机制以及审计机制等内容。
网络信息安全网络信息安全协议与安全标准,一、电子支付安全策略的主要内容,
（1）定义实现安全的电子支付所需要保护的资源
（2）定义保护的风险（3）完全理解、遵循和利用有关电子商务安全与电子支付安全的法律法规（4）建立相关的电子支付安全策略，确定一套安全防护机制,网络信息安全网络信息安全协议与安全标准,三、电子支付的解决方法。
对支付流程中涉及各方身份的认证保证电子支付数据流内容的保密性保证电子支付数据流内容的完整性保证对电子支付行为和内容的不可否认性处理多方贸易业务中的多边支付问题保证电子支付系统应用软件与支撑网络平台的正常运行政府支持相关管理机构的建立和电子商务法律的制定,网络信息安全网络信息安全协议与安全标准,834电子支付安全内容,1支付交易安全2数字货币安全3电子支票安全4有效性与可靠性,网络信息安全网络信息安全协议与安全标准,1支付交易安全,用户匿名性是用于通信双方之间在一次通信会话期间必须一直得到保护。
买方匿名性则必须在整个交易过程中受到保护,而这期间可能会发生好几次会话。
支付交易不可跟踪性的目的就是使得无法将同一买方的多次支付交易联系在一起。
支付交易数据的机密性相当于通信机密性。
电子支付交易由一个或几个网络协议组成。
协议由参与双方的一系列交互消息组成。
消息源的不可抵赖性是一种信息安全服务,用于防止当接收方收到了消息,发送方却否认曾发送过这一消息的情况。
保证支付交易消息的新鲜性意味着防止重复使用，一旦顾客为了付款发送了其信用卡的消息,该消息可能被窃听者盗用,在顾客不知情的情况下被攻击者重复使用。
网络信息安全网络信息安全协议与安全标准,2数字货币安全,匿名数字硬币就是可以被任意复制的比特串，因此如果银行发现了某人想要多次使用同一硬币,也不可能揭露他的身份,因为硬币是匿名的。
在这样的情况下,服务是建立在有条件的匿名性的基础上,这个条件就是,如果顾客是诚实的,而且仅一次性使用硬币，那么他的身份就不会被识别出来。
一旦他想要重复花费硬币,他就会被识别出来并最终受到惩罚。
网络信息安全网络信息安全协议与安全标准,3电子支票安全,当你交给某人一张支票,实际上就是授权给他,让他从你的银行帐户上提取现金。
对于电子支付指令,授权必须通过支付授权转帐服务来执行。
网络信息安全网络信息安全协议与安全标准,4有效性与可靠性,电子支付系统必须是安全的以外,电子支付系统必须是有效的、可靠的。
系统必须具备一定的防止拒绝服务攻击的保护措施。
为了保证可靠性,支付交易要么完整（即完全成功）的进行,要么一点都不进行,不能处于未知的或不稳定的状态。
此外,下层的网络服务以及所有的软硬件组件都必须是充分安全可靠。
网络信息安全网络信息安全协议与安全标准,84安全电子交易（SET）,841SET协议简介842SET安全支付参与方及应用系统框架843SET协议的安全电子支付流程844SET协议机制的应用实例845SET协议和SSL协议的比较,网络信息安全网络信息安全协议与安全标准,841SET协议简介,所谓SET协议，英文为SecureElectronicTransaction，简称SET，中文翻译为安全电子交易协议。
它是为使银行卡在Internet上安全地进行交易提出的一整套完整的安全解决方案。
此方案包括通信协议在内，主要采用数字证书方式，用数字证书证实在网上开展商务活动的确实是持卡人本人，以及向持卡人销售商品或服务并且收钱的参与各方，包括持卡人、商家、银行等的安全。
SET实质上是一种应用在Internet上、以信用卡为基础的电子付款系统规范，目的就是为了实现网络交易的安全。
可以说，SET协议涉及整个电子支付流程的安全以及涉及各方的安全。
网络信息安全网络信息安全协议与安全标准,SET协议的主要目标,
（1）机密性。
即信息的安全传输。
保护有关支付等敏感信息在Internet上的安全传输，保证网上传输的数据不被网上黑客等窃听。
（2）保护隐私。
主要是客户的订单信息和个人账号信息（如信用卡账号、密码等）的隔离。
虽然在消费者给商家的订单中包含支付账号等隐私信息，但收到订单的商家只能看到订货信息，看不到消费者的账户信息，信用卡内的信息不会泄漏给商家；反过来，银行只看到相关支付信息，看不到订货信息。
（3）完整性。
SET采用密钥加密算法和Hash函数及数字信封技术，保证传输信息的完整性。
（4）多方认证性。
在交易过程中，参与交易的交易者通过第三方权威机构进行身份认证，确保各交易方身份的真实性，并且，第三方权威机构根据需要，还可以提供在线交易方的信用担保。
（5）标准性，即统一的协议和报文格式。
为保证在线交易各方的不同操作平台和操作软件的相互兼容，SET要求交易各方遵循相同的协议和报文格式。
包括加密算法的应用协商，数字证书信息和对象格式，订货信息和对象格式，认可信息和对象格式，资金划账信息和对象格式等。
网络信息安全网络信息安全协议与安全标准,842SET安全支付参与方及应用系统框架,SET协议的应用框架示意如图8.3所示。
完成一次基于SET协议机制的信用卡安全电子支付流程，参与的各方有如下六个实体。
（1）持卡客户（Cardholder）
（2）网上商家（Merchant）（3）支付网关（PaymentGateway）（4）收单银行（Acquirer）（5）发卡银行（Issuer）（6）CA认证中心,网络信息安全网络信息安全协议与安全标准,图8.3SET协议的应用框架示意图,网络信息安全网络信息安全协议与安全标准,843SET协议的安全电子支付流程,SET交易分成三个阶段进行：
（1）购买请求阶段，持卡客户与网上商家确定所用支付方式的细节；
（2）支付的认定阶段，网上商家向收单银行核实；（3）受款阶段，网上商家向收单银行出示所有交易的细节，最后收单银行以适当方式转移货款。
网络信息安全网络信息安全协议与安全标准,基于信用卡的SET协议详细操作过程
（一）,
（1）客户选择商品。
持卡客户通过因特网进行网上浏览，参观网上商家网站上的商品和服务，选择自己看中的商品，在通过多次协商后，填写订货单。
在这一过程中SET协议其实并不未介入。
（2）客户发送初始请求。
持卡客户选择支付方式，向选择商品的商家发送初始请求。
初始请求就是指定交易环境，包括持卡客户所使用的语言、交易ID、交易卡的种类等信息。
此时SET协议才开始介入。
（3）商家产生初始应答。
当网上商家的服务器接收到持卡客户发来的初始请求后，会产生初始应答，同时生成初始应答的数字摘要，并对数字摘要用商家的私钥进行数字签名。
网上商家会将包括数字签名，商家的数字证书、支付网关证书的初始应答发送给持卡客户。
网络信息安全网络信息安全协议与安全标准,基于信用卡的SET协议详细操作过程
（二）,（4）客户对商家进行验证。
首先检查商家的数字证书和支付网关的数字证书。
然后用商家的公钥解开数字摘要的数字签名，并用Hash算法将初始应答也生成数字摘要，将两份数字摘要比较；如果相同则表示数据在途中未被篡改，可以继续交易，否则就丢弃。
（5）客户提出购物请求。
持卡客户通过认证商家的真实身份后，即向商家发出购物请求。
购物请求信息主要包括两个部分内容：
一是发往商家的“订货单”，二是通过商家转发给支付网关的“支付通知”。
（6）商家产生支付请求商家接收持卡客户发来的购物请求后，对持卡客户进行认证。
首先认证客客户的数字证书，其次验证双重签名，检查数据在传输过程中是否被篡改。
如果数据完整，就“订货单”信息进行处理，否则丢弃。
随后商家将产生支付请求，并支付请求用Hash算法生成摘要，并进行数字签名，同时商家还用私钥对支付请求加密，并用网关公钥加密形成数字信封。
最后商家将数字证书、支付请求密文、商家数字签名、数字信封和持卡客户通过商家转发的双重签名、“订货单”数字摘要、持卡客户“支付通知”密文、持卡客户的数字信封、持卡客户的证书等一并发给支付网关。
网络信息安全网络信息安全协议与安全标准,基于信用卡的SET协议详细操作过程（三）,（7）支付网关验证双方信息支付网关收到商家的支付请求信息后，对商家发来的数据和持卡人发来的数据进行分别检证。
首先，支付网关认证商家证书，用私钥打开商家数字信封，取得商家私有密钥，解开支付请求密文，再用Hash算法将解密后的支付请求生成数字摘要，其次将商家发来数字签名解开成支付请求摘要，将两份摘要进行比较，如果相同则表示数据完整，否则丢弃数据。
然后支付网关检查持卡客户数字证书，用私钥打开持卡客户数字信封，得到持卡客户的账号和私有密钥。
用持卡客户的私钥解开“支付通知”密文，得到“支付通知”内容；将解密的支付通知生成摘要，与“订货单”摘要连接，再次生成摘要；同时双重签名解开也得到支付通知与订货单的数字摘要。
将两者相比较，如果相同则数据完整，如果不同则丢弃。
（8）银行产生支付应答银行间完成相关支付结算后，收单银行给支付网关发送扣款应答。
支付网关生成“支付应答”摘要，对其进行数字签名；同时支付网关用私钥对“支付应答”加密，并将产生的私有密钥装入数字信封。
支付网关将支付网关数字证书、“支付应答”的数字签名、装有私钥的数字信封、“支付应答”密文一起发送商家。
网络信息安全网络信息安全协议与安全标准
升级会员 