計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用技能教程 項(xiàng)目7 風(fēng)險(xiǎn)與安全

1、項(xiàng)目七 風(fēng)險(xiǎn)與安全,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,據(jù)《2008中國(guó)網(wǎng)上銀行調(diào)查報(bào)告》顯示：中國(guó)網(wǎng)上銀行總體發(fā)展繼續(xù)保持快速增長(zhǎng)的勢(shì)頭，用戶量及交易量同期高速增長(zhǎng)。此外，網(wǎng)上銀行對(duì)于傳統(tǒng)柜臺(tái)業(yè)務(wù)的替代性也進(jìn)一步提升。全國(guó)范圍內(nèi)，個(gè)人網(wǎng)銀用戶比例為19.9%。在10個(gè)經(jīng)濟(jì)發(fā)達(dá)城市中，2008年使用個(gè)人網(wǎng)上銀行的用戶比例達(dá)到44.9%，比2007年高出7.1%。而在企業(yè)用戶市場(chǎng)，這一趨勢(shì)則更為明顯：2008年全國(guó)企業(yè)網(wǎng)銀用戶的比例達(dá)

2、到42.8%；在 2008年10個(gè)經(jīng)濟(jì)發(fā)達(dá)城市調(diào)查結(jié)果中，使用企業(yè)網(wǎng)上銀行的用戶比例繼續(xù)增長(zhǎng)，比2007年增長(zhǎng)了10.3個(gè)百分點(diǎn)。從不同規(guī)模企業(yè)網(wǎng)銀用戶總體發(fā)展情況看，企業(yè)規(guī)模越大，使用網(wǎng)銀的比例越高。,任務(wù)情境,在另一項(xiàng)關(guān)于網(wǎng)銀用戶行為特征的調(diào)查中，安全性再次成為關(guān)注重點(diǎn)，調(diào)查結(jié)果顯示：無(wú)論對(duì)企業(yè)網(wǎng)銀用戶還是個(gè)人用戶（包含活動(dòng)用戶和潛在用戶）而言，網(wǎng)銀的安全性能仍然是他們選擇網(wǎng)銀時(shí)最看重的因素.,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,

3、任務(wù)情境,提出任務(wù)： 1.什么是網(wǎng)上銀行？ 2.網(wǎng)上銀行面臨的風(fēng)險(xiǎn)由哪些？ 3.如何應(yīng)對(duì)網(wǎng)上銀行的風(fēng)險(xiǎn)防范？,本任務(wù)將從網(wǎng)上銀行的定義入手，通過(guò)了解網(wǎng)上銀行的基本系統(tǒng)框架，分析網(wǎng)上銀行面臨的風(fēng)險(xiǎn)和威脅，提出解決網(wǎng)上銀行風(fēng)險(xiǎn)防范的辦法。,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)情境,1、了解網(wǎng)上銀行 1）網(wǎng)上銀行的概念 所謂網(wǎng)上銀行，是指借助于互聯(lián)網(wǎng)技術(shù)向客戶提供金融信息和金融交易類服務(wù)的新興銀行。

4、 2）網(wǎng)上銀行的特點(diǎn)全天候的服務(wù) \傳統(tǒng)商業(yè)銀行結(jié)構(gòu)和運(yùn)行模式的變革 \運(yùn)營(yíng)成本成倍降低,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)分析,2、網(wǎng)上銀行的基本系統(tǒng)架構(gòu) 傳統(tǒng)柜臺(tái)和ATM 一樣，網(wǎng)上銀行本質(zhì)上是一個(gè)銀行業(yè)務(wù)渠道系統(tǒng)，其基本架構(gòu)可分為三部分：客戶端、后臺(tái)處理系統(tǒng)和CA 認(rèn)證中心，并通過(guò)銀行自身的金融業(yè)務(wù)網(wǎng)接入其核心賬務(wù)處理系統(tǒng)。,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)實(shí)施,3、網(wǎng)上銀行面臨的風(fēng)險(xiǎn) （1）投入不足風(fēng)

5、險(xiǎn)。 （2）軟件設(shè)計(jì)不規(guī)范風(fēng)險(xiǎn)。 （3）內(nèi)部管理風(fēng)險(xiǎn)。（4）信息傳輸風(fēng)險(xiǎn)。 （5）外包風(fēng)險(xiǎn)。 （6）客戶安全意識(shí)風(fēng)險(xiǎn)。,任務(wù)一 網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)實(shí)施,4、網(wǎng)上銀行的風(fēng)險(xiǎn)防范從銀行方面：（1）加強(qiáng)風(fēng)險(xiǎn)提示和安全常識(shí)宣傳，提高公眾的風(fēng)險(xiǎn)防范意識(shí)。 （2）加快相關(guān)法律法規(guī)建設(shè)，提高對(duì)網(wǎng)上銀行違法犯罪的法律適用性和打擊力度。 （3）銀行應(yīng)建立一套科學(xué)有效的內(nèi)控機(jī)制，實(shí)現(xiàn)內(nèi)部管理和操作的制度化與規(guī)范化。 （4）銀行應(yīng)

6、加強(qiáng)技術(shù)防范體系，提高網(wǎng)上銀行的抗攻擊能力。 （5）必須對(duì)網(wǎng)絡(luò)設(shè)施、安全產(chǎn)品和服務(wù)器的安全配置制定產(chǎn)品級(jí)安全策略 （6）必須做好關(guān)鍵設(shè)施的備份工作 （7）銀行必須不斷地研究新技術(shù)、應(yīng)用新技術(shù)，不斷提高網(wǎng)上銀行的安全技術(shù)水平。,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)實(shí)施,從網(wǎng)上銀行用戶方面：（1）保護(hù)好網(wǎng)上銀行的信息 （2）做好交易記錄 （3）謹(jǐn)防釣魚(yú)網(wǎng)站 （4）不要把所有銀行卡都綁定網(wǎng)銀 （5）健全軟件 (6) 采用實(shí)體證書(shū)

7、,任務(wù)一網(wǎng)上銀行的風(fēng)險(xiǎn)與管理,任務(wù)實(shí)施,隨著電子商務(wù)的發(fā)展,網(wǎng)絡(luò)銀行、網(wǎng)絡(luò)營(yíng)銷、網(wǎng)上購(gòu)物、網(wǎng)上支付、網(wǎng)絡(luò)廣告等一大批前所未聞的新詞匯正在為人們所熟悉和認(rèn)同的時(shí)候電子商務(wù)中的網(wǎng)絡(luò)安全問(wèn)題也越來(lái)越多，如何建立一個(gè)安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對(duì)信息提供足夠的保護(hù)，已經(jīng)成為商家和用戶都十分關(guān)心的話題。因此掌握和了解一些電子商務(wù)的網(wǎng)絡(luò)安全技術(shù)意義重大。電子商務(wù)實(shí)際是基于互聯(lián)網(wǎng)絡(luò)開(kāi)展的各種商務(wù)活動(dòng)，由于 Internet 本身具有開(kāi)放

8、性，且交易各方具有不直接對(duì)面性，其資金流轉(zhuǎn)具有計(jì)算機(jī)處理性和網(wǎng)絡(luò)傳輸性，使得交易的安全成為了電子商務(wù)發(fā)展的核心和關(guān)鍵問(wèn)題。,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)情境,提出任務(wù)：1、電子商務(wù)對(duì)安全有何要求？2、根據(jù)電子商務(wù)的特點(diǎn)，一般使用哪些網(wǎng)絡(luò)安全技術(shù)？,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),本任務(wù)將根據(jù)電子商務(wù)的特點(diǎn)，通過(guò)分析電子商務(wù)對(duì)安全的需求，進(jìn)而了解電子商務(wù)中所使用的安全技術(shù)。 通過(guò)對(duì)電子商務(wù)的安全需求和電子商務(wù)中采用的安

9、全技術(shù)的了解，為我們以后電子商務(wù)活動(dòng)中，如何保障電子商務(wù)安全打下堅(jiān)實(shí)的基礎(chǔ)。,任務(wù)情境,1、電子商務(wù)對(duì)安全的要求 （1）有效性、真實(shí)性。 （2）機(jī)密性。（3）數(shù)據(jù)的完整性。（4）可靠性、不可抵賴性和可控性。,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)實(shí)施,2、電子商務(wù)系統(tǒng)中使用的安全技術(shù) （1）網(wǎng)絡(luò)安全技術(shù) （2）信息加密技術(shù)。（3）數(shù)字簽名技術(shù)。（4）防火墻技術(shù)。（5）入侵檢測(cè)系統(tǒng)。（6）安全認(rèn)證技術(shù)。（7）防病毒系統(tǒng)。

10、,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)實(shí)施,任務(wù)三 CA安全控制及管理,隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和信息化建設(shè)的大力推廣，越來(lái)越多傳統(tǒng)辦公和業(yè)務(wù)處理模式開(kāi)始走向電子化和網(wǎng)絡(luò)化，從而極大地提高了效率、節(jié)約了成本。與傳統(tǒng)的面對(duì)面的手工處理方式相比，基于網(wǎng)絡(luò)的電子化業(yè)務(wù)處理系統(tǒng)必須解決以下問(wèn)題：1、如何在網(wǎng)絡(luò)上識(shí)別用戶的真實(shí)身份；2、如何保證網(wǎng)絡(luò)上傳送的業(yè)務(wù)數(shù)據(jù)不被篡改；3、如何保證網(wǎng)絡(luò)上傳送的業(yè)務(wù)數(shù)據(jù)的機(jī)密性；4、如何使

11、網(wǎng)絡(luò)上的用戶行為不可否認(rèn)；,任務(wù)情境,基于公開(kāi)密鑰算法的數(shù)字簽名技術(shù)和加密技術(shù)，為解決上述問(wèn)題提供了理論依據(jù)和技術(shù)可行性；同時(shí)，《中華人民共和國(guó)電子簽名法》的頒布和實(shí)施為數(shù)字簽名的使用提供了法律依據(jù)，使得數(shù)字簽名與傳統(tǒng)的手工簽字和蓋章具有了同等的法律效力。PKI（Public Key Infrastructure）是使用公開(kāi)密鑰密碼技術(shù)來(lái)提供和實(shí)施安全服務(wù)的基礎(chǔ)設(shè)施，其中CA（Certificate Authority）系統(tǒng)

12、是PKI體系的核心，主要實(shí)現(xiàn)數(shù)字證書(shū)的發(fā)放和密鑰管理等功能。數(shù)字證書(shū)由權(quán)威公正的CA中心簽發(fā)，是網(wǎng)絡(luò)用戶的身份證明。使用數(shù)字證書(shū)，結(jié)合數(shù)字簽名、數(shù)字信封等密碼技術(shù)，可以實(shí)現(xiàn)對(duì)網(wǎng)上用戶的身份認(rèn)證，保障網(wǎng)上信息傳送的真實(shí)性、完整性、保密性和不可否認(rèn)性。數(shù)字證書(shū)目前已廣泛應(yīng)用于安全電子郵件、網(wǎng)上商城、網(wǎng)上辦公、網(wǎng)上簽約、網(wǎng)上銀行、網(wǎng)上證券、網(wǎng)上稅務(wù)等行業(yè)和業(yè)務(wù)領(lǐng)域,任務(wù)三 CA安全控制及管理,任務(wù)分析,1、認(rèn)識(shí)CA系統(tǒng)和數(shù)字

13、證書(shū)CA（certification authority）是以構(gòu)建在公鑰基礎(chǔ)設(shè)施PKI（public key infrastructure）基礎(chǔ)之上的產(chǎn)生和確定數(shù)字證書(shū)的第三方可信機(jī)構(gòu)（trusted third party），其主要進(jìn)行身份證書(shū)的發(fā)放，并按設(shè)計(jì)者制定的策略，管理電子證書(shū)的正常使用。 目前在實(shí)際應(yīng)用中主要存在兩種類型的CA：（1）獨(dú)立的第三方CA（2）各類應(yīng)用系統(tǒng)自己建設(shè)的CA,任務(wù)三 CA安全控制及管理

14、,任務(wù)實(shí)施,2、CA認(rèn)證體系的組成 （1）KMC（密鑰管理中心）：提供加密證書(shū)密鑰對(duì)進(jìn)行全過(guò)程管理的功能，包括密鑰生成、密鑰存儲(chǔ)、密鑰分發(fā)、密鑰備份、密鑰更新、密鑰撤銷、密鑰歸檔、密鑰恢復(fù)以及安全管理等；（2）CA（證書(shū)簽發(fā)管理系統(tǒng)）：提供用戶數(shù)字證書(shū)的簽發(fā)和管理；（3）RA（證書(shū)注冊(cè)管理系統(tǒng)）：提供用戶數(shù)字證書(shū)的申請(qǐng)、身份審核、證書(shū)下載與證書(shū)管理等服務(wù)。,任務(wù)三 CA安全控制及管理,任務(wù)實(shí)施,3、CA認(rèn)證體系的職責(zé)和功能

15、CA至少擔(dān)負(fù)著以下幾項(xiàng)具體的職責(zé)： （1）驗(yàn)證并標(biāo)識(shí)公開(kāi)密鑰信息提交認(rèn)證的實(shí)體的身份； （2）確保用于產(chǎn)生數(shù)字證書(shū)的非對(duì)稱密鑰對(duì)的質(zhì)量； （3）保證認(rèn)證過(guò)程和用于簽名公開(kāi)密鑰信息的私有密鑰的安全； （4）確保兩個(gè)不同的實(shí)體未被賦予相同的身份，以便把它們區(qū)別開(kāi)來(lái)； （5）管理包含于公開(kāi)密鑰信息中的證書(shū)材料信息，例如數(shù)字證書(shū)序列號(hào)、認(rèn)證機(jī)構(gòu)標(biāo)識(shí)等；（6）維護(hù)并發(fā)布撤銷證書(shū)列表； （7）指定并檢查證書(shū)的有效期；

16、（8）通知在公開(kāi)密鑰信息中標(biāo)識(shí)的實(shí)體，數(shù)字證書(shū)已經(jīng)發(fā)布； （9）記錄數(shù)字證書(shū)產(chǎn)生過(guò)程的所有步驟。,任務(wù)三 CA安全控制及管理,任務(wù)實(shí)施,任務(wù)實(shí)施CA安全認(rèn)證體系的功能：CA安全認(rèn)證體系的主要功能包括：簽發(fā)數(shù)字證書(shū)、管理下級(jí)審核注冊(cè)機(jī)構(gòu)、接受下級(jí)審核注冊(cè)機(jī)構(gòu)的業(yè)務(wù)申請(qǐng)、維護(hù)和管理所有證書(shū)目錄服務(wù)、向密鑰管理中心申請(qǐng)密鑰、實(shí)體鑒別密鑰器的管理，等等。CA金融體系就是金融系統(tǒng)的CA認(rèn)證。,任務(wù)三 CA安全控制及管理,任務(wù)實(shí)施

17、,4、數(shù)字證書(shū)的應(yīng)用 無(wú)論網(wǎng)絡(luò)實(shí)名接入認(rèn)證還是多種資源的復(fù)雜業(yè)務(wù)訪問(wèn)都離不開(kāi)數(shù)字身份的安全管理。數(shù)字身份的應(yīng)用范疇包括人員、機(jī)構(gòu)、網(wǎng)絡(luò)、設(shè)備、應(yīng)用系統(tǒng)等等。人員、機(jī)構(gòu)、網(wǎng)絡(luò)、應(yīng)用系統(tǒng)都需要擁有自己的數(shù)字身份，在相互訪問(wèn)時(shí)，對(duì)彼此數(shù)字身份進(jìn)行認(rèn)證，并依據(jù)安全策略，進(jìn)行訪問(wèn)控制。,任務(wù)三 CA安全控制及管理,任務(wù)實(shí)施,5、支付寶數(shù)字證書(shū)的申請(qǐng)（1）登陸支付寶網(wǎng)站（www.alipay.com），登陸支付寶賬戶，依次選擇“安全中