第九章 安全通信协议与交易协议
9.1 IPV6安全
9.2 安全套接层协议（ SSL）
9.3 安全电子交易协议（ SET）
9.1 IPV6安全
?IPV4的局限性,
IPv4协议是我们目前正在使用的 IP协议
?IPv4地址空间危机
位数 32位，可用地址仅 232（约 40多亿）
?网络安全
没有考虑到网络层的安全性
IPV4地址空间危机
IPV6的发展历程
?1992年,Internet工程任务组（ IETF） 成立 IPng工
作组,IP – The Next Generation；
?1994年,IPng工作组提出了 IPng的草案；
?1995年,IPng工作组确定了 IPng的协议规范，称为
,IP版本 6” （ IPv6） ；
?1995-1999年完成了 IETF要求的协议审定和测试，
IPv6的协议文本成为标准草案。
IPV6的主要特点
?扩展的地址空间：地址长度由 32位扩展到 128位 ；
?简化了报头格式；
?安全特性的支持,IPSec（ IP Security） ；
?自动配置特性；
?对移动特性的支持。
IPV6的地址
?地址的写法
?使用点分十进制
104.230.140.100.255.255.255.255.0.0.17.128.
150.10.255.255
?使用冒号 16进制的写法
68E6:8c84:FFFF:FFFF:0:1180:96A:FFFF
IPV6和 IPV4报文比较
IPv4 PDU
minimum
20 octets
maximum
65535 octets
IPv4 Header Data Field
Fixed
40 octets
maximum
65535 octets
IPv6 PDU
0 or more
Transport-level PDU IPv6 Header Extension Header Extension Header
20 Octets+Options:13字段,包括 3个标志位 flags
0 bits 31
Ver IHL Total Length
Identifier
32 bit Source Address
32 bit Destination Address
4 8 24 16
Service Type
Options and Padding
Time to Live Header Checksum
Flags Fragment Offset
删除字段
Protocol
改动字段
IPV4的报头
40 Octets,8 fields
IPV6的报头
0 31
Version Traffic Class Flow Label
Payload Length Next Header Hop Limit
128 bit Source Address
128 bit Destination Address
4 12 24 16
Destination Address
Source Address
Ver IHL Service Type
Identification Flags Offset
TTL Protocol Header Checksum
Source Address
Destination Address
Options + Padding
Total Length Ver Flow Label
Payload Length Next Header Hop Limit
Traffic
Class
32 bits
IPv4 Packet Header IPv6 Packet Header
IPV6和 IPV4报头比较
IP安全标准 IPSec
IPSec(IP Security)是 IPv6的一个组成部分
?IPSec在网络层上提供安全服务
?弥补 IPv4在协议设计时缺乏安全性考虑的不足
?IPSec提供的两种安全机制
?认证 ——使 IP通信的数据接收方能够确认数据发送方
的真实身份以及数据在传输过程中是否被篡改
?加密 ——对数据进行加密来保证数据的机密性
IPSec在 IPV6中是强制的，在 IPV4中是可选的
IP Security示意图
IP安全标准 IPSec
?IP网络层的要求,
认证性、完整性和机密性
?IPSec的基本要素,
?认证协议头（ AH）
?封装安全载荷（ ESP）
?互联网密钥管理协议,SA,IKE
安全关联（ SA）
?SA(Security Association)
?是发送者和接收者两个 IPSec系统之间的一个简单
的单向逻辑连接,是一组与网络连接相关联的安全
信息参数集合,用于实现安全策略；
?因为 SA是单个方向的，所以，对于一个双向通信，
则需要两个 SA。
?每个 SA通过三个参数来标识
?安全参数索引 SPI(Security Parameters Index)
?目标地址 IP
?安全协议标识
认证协议头（ AH）
AH(Authentication Header)
?为 IP包提供的功能
?数据完整性
?认证功能
?认证算法由 SA指定
?认证的范围：整个包
?两种认证模式,
?传输模式：不改变 IP头，插入一个 AH
?隧道模式：生成一个新的 IP头，把 AH和原来的
整个 IP包放到新 IP包中
封装安全载荷（ ESP）
ESP(Encapsulating Security Payload)
?提供保密功能，也可以提供认证服务
?将需要保密的用户数据进行加密后再封装到 IP
包中,ESP只认证 ESP头之后的信息
?认证算法也由 SA指定
?也有两种模式：传输模式和隧道模式
IPSec的模式
?IPSec使用的模式,
?传输模式
?隧道模式
9.2 安全套接层协议（ SSL）
?SSL(Secure Socket Layer)协议的产生背景
?HTTP协议缺少安全保障
?SSL提供数据加密、数据完整性和认证机制
?SSL协议的发展历程
?1994年,Netscape开发了 SSL协议，专门用于保护
Web通讯,SSL1.0,不成熟
?SSL2.0,基本上解决了 Web通讯的安全问题
?SSL3.0,1996年发布，增加了一些算法，修改了一
些缺陷
安全套接层协议（ SSL）
?SSL协议的设计目标
?SSL协议被设计用来使用 TCP提供一个可靠的端到
端安全服务
?为两个通讯个体之间提供保密性和完整性
?SSL协议的使用
使用 SSL协议的浏览器,
?Netscape的 Navigator
?微软的 Internet Explorer
Internet Explorer中的 SSL设置
SSL的体系结构
?协议分为两层
?底层,SSL记录协议
?上层,SSL握手协议,SSL密码变化协议,SSL警告协议
SSL提供的服务
?身份认证
用数字证书实现的服务器认证（防止冒名顶替）
?保密性
加密传输信息（防止窃听）
?数据完整性
保证数据信息完整性（防止对数据的损坏）
9.3 安全电子交易协议 （ SET）
?SET(Secure Electronic Transaction)协议的产生
背景
?电子商务交易的广泛应用
?需要保护 Internet上信用卡交易的安全性
?SET协议的发展历程
?1995年,VISA和 MasterCard两大信用卡公司联合
推出 SET协议
?SET协议得到了 IBM,Netscape,Microsoft、
Oracle,VeriSign等公司的支持
安全电子交易协议 （ SET）
?SET协议的设计目标
?SET主要为了解决用户、商家和银行之间通过信用
卡支付的交易而设计。
?SET协议的要求
?支付信息的机密
?订单信息和个人帐号信息的隔离
?商户及持卡人的合法身份
?互可操作性
购物者 商 家 支付网关
银 行
发卡行
认证中心
1 定单及
信用卡号
6 确认
认证 认证 认证
5 确认
2 审核
3 审核 4 批准
使用 SET进行银行卡支付交易的工作流程
使用 SET进行银行卡支付交易的工作流程
?í o§
éì ?ò ?t ?? ?÷
$
ò? D
?§·? í? ??
?￠ ?¨oú ?
I n ter n e t
D? ?￠ ?ˉ ?
?§ μ￥ /? §·?
D? ?￠ ′| ?í
?§ μ￥ /? §·?
D? ?￠
?á ?? 1í ?§·?
D? ?￠
?§·? 1í êú è¨
D? ?￠
è?è? êú è¨
éì ??1í ?t ?? D? ?￠ ?2?
/? § μ￥ ′| ?í /? §·? ?ü ?í
/o ? ?? ?á ??
·? ?? ?¨
?ü ?í 1í è?
è?
D? ?￠ ?ˉ ?
?§ μ￥ /? §·?
D? ?￠ ′| ?í
D- òé ?¨ o 1í êy
?Y ?ó ?ú ?2 è ??
?? ae ?ü ?í
SET的安全技术
?消息摘要 ——是一个唯一对应一个消息或文本的值, 它由哈
希 （ Hash） 加密算法对一个消息摘要生成一串密文, 由此验证消
息在传输过程中没有被修改 。
?数字签名 ——SET中使用 RSA算法来实现数字签名, 保证发送
者对所发信息不能抵赖 。
?数字信封 ——在 SET中使用对称密钥来加密数据, 然后将此对
称密钥用接收者的公钥加密, 称为消息的, 数字信封,, 将其和
数据一起送给接收者 。
?双重签名 ——SET要求将订单信息和个人信用卡账号信息分别
用商家和银行的公钥进行数字签名, 保证商家只能看到订货信息,
而银行只能看到账户信息 。
SET和 SSL协议的比较
安全套接层（ SSL） 协议提供了两个端点之间的安
全链接，能对信用卡和个人信息提供较强的保护； SSL
协议被大部分 Web浏览器和 web服务器所内置，比较容
易被应用。
SET协议比 SSL协议复杂，在理论上安全性也更高，
因为 SET协议不仅加密两个端点间的连接，还可以加密
和认定三方的多个信息，而这是 SSL协议所未能解决的
问题。 SET标准的安全程度很高，它结合了数据加密标
准 DES,RSA算法和安全超文本传输协议, 为每一项交易
都提供了多层加密。
SET和 SSL协议的比较
SET与 SSL相比主要有以下 4个方面的优点,
（ 1） SET对商家提供了保护自己的手段, 使商务免受欺诈的困扰,
使商家的运营成本降低 。
（ 2） 对消费者而言, SET保证了商家的合法性, 并且用户的信用
卡号不会被窃取 。
（ 3） SET使得信用卡网上支付具有更低的欺骗概率, 使得它比其
他支付方式具有更大的竞争力 。
（ 4） SET对于参与交易的各方定义了互操作接口, 一个系统可以
由不同厂商的产品构筑 。
SET的主要缺陷,
?SET协议过于复杂，对商户、用户和银行的要求比较高；
?处理速度慢，支持 SET的系统费用较大。
第十章 系统入侵的鉴别与防御
10.1 系统入侵的分析
10.2 入侵检测与入侵检测系统
10.3 VPN与企业安全防护
?黑客技术是防护技术的一部分
发展黑客技术，也是为了更加有效地实施系统防护
?从一个攻击过程来看待黑客技术
攻击过程中涉及到的技术都可以看成黑客技术
?黑客,试图闯入计算机并试图造成破坏的人
？
10.1系统入侵的分析
黑客攻击的三部曲
? 踩点 ->扫描 ->攻击
?踩点 ——信息收集,攻击之前的准备，利用 ping、
tracert等获取信息；
?扫描 ——安全侦测,利用自制或专用扫描工具；
?攻击 ——实施攻击,建立帐户、获取特权、安装
木马、全面攻击、系统入侵等等。
系统入侵的一般步骤
信息收集技术（踩点）
?信息收集技术是一把双刃剑
? 黑客在攻击之前需要收集信息，才能实施有效的攻击
? 管理员用信息收集技术来发现系统的弱点
攻击工具
攻击命令
攻击机制
目标网络 网络漏洞
目标系统
系统漏洞
黑客
漏洞
扫描
评估
攻击过程
实时
入侵
检测
信息收集过程
? 网络技术
? 网络实名、新闻报道、网站信息、搜索引擎
? 查询命令（ Ping,Tracert）,查询工具等
? 非网络技术
? 社交工程、垃圾搜集、身份伪装等
信息收集是一个综合过程
安全扫描技术
?扫描器（ Scanner）
扫描器是检测远程或本地系统安全脆弱性的软件，
通过与目标主机 TCP/IP端口建立连接和并请求某些
服务，记录目标主机的应答，搜集目标主机相关信
息，从而发现目标主机存在的安全漏洞。
?扫描技术 —— 双刃剑
?安全评估工具,管理员用来确保系统的安全性
?黑客攻击工具,黑客用来探查系统的入侵点
安全扫描技术
? 扫描器的基本工作原理
? 扫描器采用模拟攻击的形式对目标可能存在的已
知安全漏洞进行逐项检查。
? 扫描器测试 TCP/IP端口和服务，并记录目标的回
答。通过这种方法，可以搜集到关于目标主机的
有用信息。
安全扫描技术
?扫描器的功能
? 发现一个主机和网络的能力
? 发现系统运行的服务
? 通过测试这些服务，发现漏洞的能力
? 进一步的功能：如操作系统辨识、应用系统识别
?扫描是否合法
未经授权对目标网络进行扫描是违法的！
产生报表
扫描漏洞
收集服务类型 /版
本
端口扫描
检验操作系统
扫描网络
Solaris 2.6
‥ ‥
10.10.10.X
‥ ‥
Windows 2000
Netbios ‥‥ WWW
IIS 5.0
HP 10.20
SMTP Telnet ‥ WWW
Apache 3.0 Sendmail 8.9.3
扫描模块
各扫描模块共享扫描结果
数据库
IP地址
并发扫描
输入, 扫描目标对象
输出, 系统漏洞列表
Alive Alive Alive
扫描器的典型扫描过程
黑客攻击技术
? 按照攻击的性质及其手段，可将通常的网络
攻击分为以下四个类型,
? 口令攻击
? 拒绝服务攻击
? 利用型攻击
? 假消息攻击
口令攻击
?口令攻击是指通过猜测破解或获取口令文件
等方式获得系统认证口令从而进入系统
?攻击者攻击目标时常常把破译用户的口令作
为攻击的开始。只要攻击者能猜测或者确定
用户的口令，他就能获得机器或者网络的访
问权，并能访问到用户能访问到的任何资源。
?字典攻击（ Dictionary Attack） ——指将可能
用作口令的英文单词或者字符组合制作成一个字典，利
用逐个试探的方式进行破解。
口令攻击的方法
?暴力攻击（ Brute Force Attack） ——是指利用
穷举搜索法 在所有的组合方式中试探口令的攻击方式。
?混合攻击 （ Hybrid Attack） ——是指将数字和
符号添加到单词的前缀或后缀组成口令来试探密码。
拒绝服务攻击
?拒绝服务的攻击方式
?消耗带宽,指以极大的通信量冲击网络，使得所有可用网络
资源都被消耗殆尽，最后导致合法的用户请求无法通过。
?侵占资源,指用大量的连接请求冲击计算机，使得所有可用
的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户
的请求。
?使系统和应用崩溃,指利用程序本身的漏洞使系统崩溃。
?拒绝服务攻击（ DoS,Denial of Service）
——攻击的目的是破坏计算机或网络的正常运行，
使之无法提供正常的服务。
拒绝服务攻击
常见的拒绝服务攻击,
? 死 亡之 ping（ ping of death）
? 泪滴 攻击（ teardrop）
? Land攻击
? Smurf攻击
? Fraggle攻击
? SYN洪水 攻击（ SYN flood）
利用型攻击
?利用型攻击
——利用型攻击是一类 试图直接对 主机
进行控制的攻击 。
?常见的利用型攻击,
?特洛伊木马
?缓冲区溢出
假消息攻击
?假消息攻击
——用 于 攻击 目标配置 不 正确 的消息。
?常见的假消息攻击,
?DNS高速缓存污染
?伪造电子邮件
10.2入侵检测和入侵检测系统
?为了保障网络安全，需要重视提高系统检
测攻击和入侵的能力 —— 入侵检测能力。
? P2DR动态安全模型的提出
ISS（ Internet Security Systems） 公司
? Policy（ 安全策略）
? Protection（ 防护）
? Detection（ 检测）
? Response（ 响应）
入侵检测概论
基本概念
?入侵检测 （ Intrusion Detection,简称 ID） ——
用来发现未经授权的入侵行为的安全检测机制
?入侵检测系统 （ Intrusion Detection System，
简称 IDS） ——用于入侵检测的系统
入侵检测的发展历史
?入侵检测概念的提出 ——1980,Anderson,Computer
Security Threat Monitoring and Surveillance,
?入侵检测系统的诞生 ——1987,Denning发表论文《
An Intrusion Detection Model,
通用入侵检测框架 CIDF
?1997年，美国国防部高级研究计划署 DARPA的 CIDF
工作组提出了 IDS的通用模型。
?事件产生器
?事件分析器
?响 应 单元
?事件数据库
响应单元
Response Units
事件分析器
Event analyzers
事件产生器
Event generators
事件数据库
Event databases
IDS通用模型 CIDF的体系结构
入侵检测系统的分类
?根据事件产生器的数据来源的不同
? 基于主机的入侵检测系统 (HIDS)
? 基于网络的入侵检测系统 (NIDS)
? 分布式的入侵检测系统（ DIDS）
?根据事件分析器的检测策略的不同
? 异常检测（ Anomaly Detection）
? 误用检测（ Misuse Detection）
?根据事件响应单元采用策略的不同
? 主动响应（ Active Responses）
? 被动响应（ Passive Responses）
入侵检测系统的分类
根据事件产生器的数据来源的不同
?基于主机的入侵检测系统 (HIDS)——其检测的目标
主要是主机系统和系统本地用户 ；
?基于网络的入侵检测系统 (NIDS)——主要根据网络
流量、网络数据包和协议来分析检测入侵 ；
?分布式的入侵检测系统（ DIDS）
Internet
网络服务器 1
客户端
网络服务器 2
X
检测内容,
系统调用、端口调用、系统日志、
安全审记、应用日志
HIDS
HIDS
基于主机的入侵检测系统工作原理
Internet
NIDS
网络服务器 1
客户端
网络服务器 2
X
检测内容,
包头信息 +有效数据部分
基于网络的入侵检测系统工作原理
入侵检测系统的分类
根据事件分析器的检测策略的不同
?异常检测, 又称基于行为（ Behavior-Based） 的
入侵检测技术 ——入侵行为能够由于其偏离正常或
者所期望的系统和用户的活动规律而被检测出来。
?误用检测, 又称基于知识（ Knowledge-Based）
的入侵检测技术 —— 它主要建立在对过去各种已知
网络入侵方法和系统缺陷知识的积累上 。
异常检测
?主要的异常检测方法,
统计分析、神经网络等
?异常检测模型,
误用检测
?误用检测模型,
?主要的误用检测方法,
模式识别、专家系统等
主要的入侵检测产品
?国外,
?ISS公司的 RealSecure
?CISCO公司的 NetRanger
?Snort
?国内,
?启明星辰公司的天阗入侵检测系统
10.3VPN与企业安全防护
?什么是 VPN（ Virtual Private Network）
VPN指的是利用公共数据网络资源为企业构建虚拟
专用网的一种业务
?它是虚拟的网，即没有固定的物理连接，网路只有用户需
要时才建立。
?它是利用公众网设施构成的专用网,构建在公共网络上的
VPN如同企业私有的网络一样提供安全性、可靠性和可管理
性等。
VPN的概念
? Virtual（ 虚拟）
? 根据业务需要划分的逻辑组
? 与物理网络拓扑相对独立
? Private（ 专用）
? 只有被授权的用户可以使用
? 传输内容经过加密，具有高安全性
? Network（ 网络）
?, 共享, Internet广域网并拓展局域网
建立在公共网络（如 Internet） 上的专用网络
VPN的 应用
出差人员 公司办公大楼
公共网络
（ Internet）
家庭办公者 公司局域网
VPN Connection
VPN的关键技术
(1)安全隧道技术 ——通过将待传输的原始信息经过加密和
协议封装处理后再嵌套装入另一种协议的数据包送入网络中,
像普通数据包一样进行传输 。
(2)用户认证技术 ——在正式的隧道连接开始之前需要确认
用户的身份, 以便系统进一步实施资源访问控制或用户授权
(Authorization)。
(3)访问控制技术 ——由 VPN服务的提供者与最终网络信息
资源的提供者共同协商, 确定特定用户对特定资源的访问权限
,以实现对信息资源的最大限度的保护 。
小结
九,安全通信协议与交易协议
9.1 IPV6安全
9.2 安全套接层协议（ SSL）
9.3 安全电子交易协议（ SET）
十,系统入侵的鉴别与防御
10.1 系统入侵的分析
10.2 入侵检测与入侵检测系统
10.3 VPN与企业安全防护
作业
1.试比较安全套接层协议 (SSL)与安全电子
交易协议 (SET)的优缺点。
谢 谢！
9.1 IPV6安全
9.2 安全套接层协议（ SSL）
9.3 安全电子交易协议（ SET）
9.1 IPV6安全
?IPV4的局限性,
IPv4协议是我们目前正在使用的 IP协议
?IPv4地址空间危机
位数 32位，可用地址仅 232（约 40多亿）
?网络安全
没有考虑到网络层的安全性
IPV4地址空间危机
IPV6的发展历程
?1992年,Internet工程任务组（ IETF） 成立 IPng工
作组,IP – The Next Generation；
?1994年,IPng工作组提出了 IPng的草案；
?1995年,IPng工作组确定了 IPng的协议规范，称为
,IP版本 6” （ IPv6） ；
?1995-1999年完成了 IETF要求的协议审定和测试，
IPv6的协议文本成为标准草案。
IPV6的主要特点
?扩展的地址空间：地址长度由 32位扩展到 128位 ；
?简化了报头格式；
?安全特性的支持,IPSec（ IP Security） ；
?自动配置特性；
?对移动特性的支持。
IPV6的地址
?地址的写法
?使用点分十进制
104.230.140.100.255.255.255.255.0.0.17.128.
150.10.255.255
?使用冒号 16进制的写法
68E6:8c84:FFFF:FFFF:0:1180:96A:FFFF
IPV6和 IPV4报文比较
IPv4 PDU
minimum
20 octets
maximum
65535 octets
IPv4 Header Data Field
Fixed
40 octets
maximum
65535 octets
IPv6 PDU
0 or more
Transport-level PDU IPv6 Header Extension Header Extension Header
20 Octets+Options:13字段,包括 3个标志位 flags
0 bits 31
Ver IHL Total Length
Identifier
32 bit Source Address
32 bit Destination Address
4 8 24 16
Service Type
Options and Padding
Time to Live Header Checksum
Flags Fragment Offset
删除字段
Protocol
改动字段
IPV4的报头
40 Octets,8 fields
IPV6的报头
0 31
Version Traffic Class Flow Label
Payload Length Next Header Hop Limit
128 bit Source Address
128 bit Destination Address
4 12 24 16
Destination Address
Source Address
Ver IHL Service Type
Identification Flags Offset
TTL Protocol Header Checksum
Source Address
Destination Address
Options + Padding
Total Length Ver Flow Label
Payload Length Next Header Hop Limit
Traffic
Class
32 bits
IPv4 Packet Header IPv6 Packet Header
IPV6和 IPV4报头比较
IP安全标准 IPSec
IPSec(IP Security)是 IPv6的一个组成部分
?IPSec在网络层上提供安全服务
?弥补 IPv4在协议设计时缺乏安全性考虑的不足
?IPSec提供的两种安全机制
?认证 ——使 IP通信的数据接收方能够确认数据发送方
的真实身份以及数据在传输过程中是否被篡改
?加密 ——对数据进行加密来保证数据的机密性
IPSec在 IPV6中是强制的，在 IPV4中是可选的
IP Security示意图
IP安全标准 IPSec
?IP网络层的要求,
认证性、完整性和机密性
?IPSec的基本要素,
?认证协议头（ AH）
?封装安全载荷（ ESP）
?互联网密钥管理协议,SA,IKE
安全关联（ SA）
?SA(Security Association)
?是发送者和接收者两个 IPSec系统之间的一个简单
的单向逻辑连接,是一组与网络连接相关联的安全
信息参数集合,用于实现安全策略；
?因为 SA是单个方向的，所以，对于一个双向通信，
则需要两个 SA。
?每个 SA通过三个参数来标识
?安全参数索引 SPI(Security Parameters Index)
?目标地址 IP
?安全协议标识
认证协议头（ AH）
AH(Authentication Header)
?为 IP包提供的功能
?数据完整性
?认证功能
?认证算法由 SA指定
?认证的范围：整个包
?两种认证模式,
?传输模式：不改变 IP头，插入一个 AH
?隧道模式：生成一个新的 IP头，把 AH和原来的
整个 IP包放到新 IP包中
封装安全载荷（ ESP）
ESP(Encapsulating Security Payload)
?提供保密功能，也可以提供认证服务
?将需要保密的用户数据进行加密后再封装到 IP
包中,ESP只认证 ESP头之后的信息
?认证算法也由 SA指定
?也有两种模式：传输模式和隧道模式
IPSec的模式
?IPSec使用的模式,
?传输模式
?隧道模式
9.2 安全套接层协议（ SSL）
?SSL(Secure Socket Layer)协议的产生背景
?HTTP协议缺少安全保障
?SSL提供数据加密、数据完整性和认证机制
?SSL协议的发展历程
?1994年,Netscape开发了 SSL协议，专门用于保护
Web通讯,SSL1.0,不成熟
?SSL2.0,基本上解决了 Web通讯的安全问题
?SSL3.0,1996年发布，增加了一些算法，修改了一
些缺陷
安全套接层协议（ SSL）
?SSL协议的设计目标
?SSL协议被设计用来使用 TCP提供一个可靠的端到
端安全服务
?为两个通讯个体之间提供保密性和完整性
?SSL协议的使用
使用 SSL协议的浏览器,
?Netscape的 Navigator
?微软的 Internet Explorer
Internet Explorer中的 SSL设置
SSL的体系结构
?协议分为两层
?底层,SSL记录协议
?上层,SSL握手协议,SSL密码变化协议,SSL警告协议
SSL提供的服务
?身份认证
用数字证书实现的服务器认证（防止冒名顶替）
?保密性
加密传输信息（防止窃听）
?数据完整性
保证数据信息完整性（防止对数据的损坏）
9.3 安全电子交易协议 （ SET）
?SET(Secure Electronic Transaction)协议的产生
背景
?电子商务交易的广泛应用
?需要保护 Internet上信用卡交易的安全性
?SET协议的发展历程
?1995年,VISA和 MasterCard两大信用卡公司联合
推出 SET协议
?SET协议得到了 IBM,Netscape,Microsoft、
Oracle,VeriSign等公司的支持
安全电子交易协议 （ SET）
?SET协议的设计目标
?SET主要为了解决用户、商家和银行之间通过信用
卡支付的交易而设计。
?SET协议的要求
?支付信息的机密
?订单信息和个人帐号信息的隔离
?商户及持卡人的合法身份
?互可操作性
购物者 商 家 支付网关
银 行
发卡行
认证中心
1 定单及
信用卡号
6 确认
认证 认证 认证
5 确认
2 审核
3 审核 4 批准
使用 SET进行银行卡支付交易的工作流程
使用 SET进行银行卡支付交易的工作流程
?í o§
éì ?ò ?t ?? ?÷
$
ò? D
?§·? í? ??
?￠ ?¨oú ?
I n ter n e t
D? ?￠ ?ˉ ?
?§ μ￥ /? §·?
D? ?￠ ′| ?í
?§ μ￥ /? §·?
D? ?￠
?á ?? 1í ?§·?
D? ?￠
?§·? 1í êú è¨
D? ?￠
è?è? êú è¨
éì ??1í ?t ?? D? ?￠ ?2?
/? § μ￥ ′| ?í /? §·? ?ü ?í
/o ? ?? ?á ??
·? ?? ?¨
?ü ?í 1í è?
è?
D? ?￠ ?ˉ ?
?§ μ￥ /? §·?
D? ?￠ ′| ?í
D- òé ?¨ o 1í êy
?Y ?ó ?ú ?2 è ??
?? ae ?ü ?í
SET的安全技术
?消息摘要 ——是一个唯一对应一个消息或文本的值, 它由哈
希 （ Hash） 加密算法对一个消息摘要生成一串密文, 由此验证消
息在传输过程中没有被修改 。
?数字签名 ——SET中使用 RSA算法来实现数字签名, 保证发送
者对所发信息不能抵赖 。
?数字信封 ——在 SET中使用对称密钥来加密数据, 然后将此对
称密钥用接收者的公钥加密, 称为消息的, 数字信封,, 将其和
数据一起送给接收者 。
?双重签名 ——SET要求将订单信息和个人信用卡账号信息分别
用商家和银行的公钥进行数字签名, 保证商家只能看到订货信息,
而银行只能看到账户信息 。
SET和 SSL协议的比较
安全套接层（ SSL） 协议提供了两个端点之间的安
全链接，能对信用卡和个人信息提供较强的保护； SSL
协议被大部分 Web浏览器和 web服务器所内置，比较容
易被应用。
SET协议比 SSL协议复杂，在理论上安全性也更高，
因为 SET协议不仅加密两个端点间的连接，还可以加密
和认定三方的多个信息，而这是 SSL协议所未能解决的
问题。 SET标准的安全程度很高，它结合了数据加密标
准 DES,RSA算法和安全超文本传输协议, 为每一项交易
都提供了多层加密。
SET和 SSL协议的比较
SET与 SSL相比主要有以下 4个方面的优点,
（ 1） SET对商家提供了保护自己的手段, 使商务免受欺诈的困扰,
使商家的运营成本降低 。
（ 2） 对消费者而言, SET保证了商家的合法性, 并且用户的信用
卡号不会被窃取 。
（ 3） SET使得信用卡网上支付具有更低的欺骗概率, 使得它比其
他支付方式具有更大的竞争力 。
（ 4） SET对于参与交易的各方定义了互操作接口, 一个系统可以
由不同厂商的产品构筑 。
SET的主要缺陷,
?SET协议过于复杂，对商户、用户和银行的要求比较高；
?处理速度慢，支持 SET的系统费用较大。
第十章 系统入侵的鉴别与防御
10.1 系统入侵的分析
10.2 入侵检测与入侵检测系统
10.3 VPN与企业安全防护
?黑客技术是防护技术的一部分
发展黑客技术，也是为了更加有效地实施系统防护
?从一个攻击过程来看待黑客技术
攻击过程中涉及到的技术都可以看成黑客技术
?黑客,试图闯入计算机并试图造成破坏的人
？
10.1系统入侵的分析
黑客攻击的三部曲
? 踩点 ->扫描 ->攻击
?踩点 ——信息收集,攻击之前的准备，利用 ping、
tracert等获取信息；
?扫描 ——安全侦测,利用自制或专用扫描工具；
?攻击 ——实施攻击,建立帐户、获取特权、安装
木马、全面攻击、系统入侵等等。
系统入侵的一般步骤
信息收集技术（踩点）
?信息收集技术是一把双刃剑
? 黑客在攻击之前需要收集信息，才能实施有效的攻击
? 管理员用信息收集技术来发现系统的弱点
攻击工具
攻击命令
攻击机制
目标网络 网络漏洞
目标系统
系统漏洞
黑客
漏洞
扫描
评估
攻击过程
实时
入侵
检测
信息收集过程
? 网络技术
? 网络实名、新闻报道、网站信息、搜索引擎
? 查询命令（ Ping,Tracert）,查询工具等
? 非网络技术
? 社交工程、垃圾搜集、身份伪装等
信息收集是一个综合过程
安全扫描技术
?扫描器（ Scanner）
扫描器是检测远程或本地系统安全脆弱性的软件，
通过与目标主机 TCP/IP端口建立连接和并请求某些
服务，记录目标主机的应答，搜集目标主机相关信
息，从而发现目标主机存在的安全漏洞。
?扫描技术 —— 双刃剑
?安全评估工具,管理员用来确保系统的安全性
?黑客攻击工具,黑客用来探查系统的入侵点
安全扫描技术
? 扫描器的基本工作原理
? 扫描器采用模拟攻击的形式对目标可能存在的已
知安全漏洞进行逐项检查。
? 扫描器测试 TCP/IP端口和服务，并记录目标的回
答。通过这种方法，可以搜集到关于目标主机的
有用信息。
安全扫描技术
?扫描器的功能
? 发现一个主机和网络的能力
? 发现系统运行的服务
? 通过测试这些服务，发现漏洞的能力
? 进一步的功能：如操作系统辨识、应用系统识别
?扫描是否合法
未经授权对目标网络进行扫描是违法的！
产生报表
扫描漏洞
收集服务类型 /版
本
端口扫描
检验操作系统
扫描网络
Solaris 2.6
‥ ‥
10.10.10.X
‥ ‥
Windows 2000
Netbios ‥‥ WWW
IIS 5.0
HP 10.20
SMTP Telnet ‥ WWW
Apache 3.0 Sendmail 8.9.3
扫描模块
各扫描模块共享扫描结果
数据库
IP地址
并发扫描
输入, 扫描目标对象
输出, 系统漏洞列表
Alive Alive Alive
扫描器的典型扫描过程
黑客攻击技术
? 按照攻击的性质及其手段，可将通常的网络
攻击分为以下四个类型,
? 口令攻击
? 拒绝服务攻击
? 利用型攻击
? 假消息攻击
口令攻击
?口令攻击是指通过猜测破解或获取口令文件
等方式获得系统认证口令从而进入系统
?攻击者攻击目标时常常把破译用户的口令作
为攻击的开始。只要攻击者能猜测或者确定
用户的口令，他就能获得机器或者网络的访
问权，并能访问到用户能访问到的任何资源。
?字典攻击（ Dictionary Attack） ——指将可能
用作口令的英文单词或者字符组合制作成一个字典，利
用逐个试探的方式进行破解。
口令攻击的方法
?暴力攻击（ Brute Force Attack） ——是指利用
穷举搜索法 在所有的组合方式中试探口令的攻击方式。
?混合攻击 （ Hybrid Attack） ——是指将数字和
符号添加到单词的前缀或后缀组成口令来试探密码。
拒绝服务攻击
?拒绝服务的攻击方式
?消耗带宽,指以极大的通信量冲击网络，使得所有可用网络
资源都被消耗殆尽，最后导致合法的用户请求无法通过。
?侵占资源,指用大量的连接请求冲击计算机，使得所有可用
的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户
的请求。
?使系统和应用崩溃,指利用程序本身的漏洞使系统崩溃。
?拒绝服务攻击（ DoS,Denial of Service）
——攻击的目的是破坏计算机或网络的正常运行，
使之无法提供正常的服务。
拒绝服务攻击
常见的拒绝服务攻击,
? 死 亡之 ping（ ping of death）
? 泪滴 攻击（ teardrop）
? Land攻击
? Smurf攻击
? Fraggle攻击
? SYN洪水 攻击（ SYN flood）
利用型攻击
?利用型攻击
——利用型攻击是一类 试图直接对 主机
进行控制的攻击 。
?常见的利用型攻击,
?特洛伊木马
?缓冲区溢出
假消息攻击
?假消息攻击
——用 于 攻击 目标配置 不 正确 的消息。
?常见的假消息攻击,
?DNS高速缓存污染
?伪造电子邮件
10.2入侵检测和入侵检测系统
?为了保障网络安全，需要重视提高系统检
测攻击和入侵的能力 —— 入侵检测能力。
? P2DR动态安全模型的提出
ISS（ Internet Security Systems） 公司
? Policy（ 安全策略）
? Protection（ 防护）
? Detection（ 检测）
? Response（ 响应）
入侵检测概论
基本概念
?入侵检测 （ Intrusion Detection,简称 ID） ——
用来发现未经授权的入侵行为的安全检测机制
?入侵检测系统 （ Intrusion Detection System，
简称 IDS） ——用于入侵检测的系统
入侵检测的发展历史
?入侵检测概念的提出 ——1980,Anderson,Computer
Security Threat Monitoring and Surveillance,
?入侵检测系统的诞生 ——1987,Denning发表论文《
An Intrusion Detection Model,
通用入侵检测框架 CIDF
?1997年，美国国防部高级研究计划署 DARPA的 CIDF
工作组提出了 IDS的通用模型。
?事件产生器
?事件分析器
?响 应 单元
?事件数据库
响应单元
Response Units
事件分析器
Event analyzers
事件产生器
Event generators
事件数据库
Event databases
IDS通用模型 CIDF的体系结构
入侵检测系统的分类
?根据事件产生器的数据来源的不同
? 基于主机的入侵检测系统 (HIDS)
? 基于网络的入侵检测系统 (NIDS)
? 分布式的入侵检测系统（ DIDS）
?根据事件分析器的检测策略的不同
? 异常检测（ Anomaly Detection）
? 误用检测（ Misuse Detection）
?根据事件响应单元采用策略的不同
? 主动响应（ Active Responses）
? 被动响应（ Passive Responses）
入侵检测系统的分类
根据事件产生器的数据来源的不同
?基于主机的入侵检测系统 (HIDS)——其检测的目标
主要是主机系统和系统本地用户 ；
?基于网络的入侵检测系统 (NIDS)——主要根据网络
流量、网络数据包和协议来分析检测入侵 ；
?分布式的入侵检测系统（ DIDS）
Internet
网络服务器 1
客户端
网络服务器 2
X
检测内容,
系统调用、端口调用、系统日志、
安全审记、应用日志
HIDS
HIDS
基于主机的入侵检测系统工作原理
Internet
NIDS
网络服务器 1
客户端
网络服务器 2
X
检测内容,
包头信息 +有效数据部分
基于网络的入侵检测系统工作原理
入侵检测系统的分类
根据事件分析器的检测策略的不同
?异常检测, 又称基于行为（ Behavior-Based） 的
入侵检测技术 ——入侵行为能够由于其偏离正常或
者所期望的系统和用户的活动规律而被检测出来。
?误用检测, 又称基于知识（ Knowledge-Based）
的入侵检测技术 —— 它主要建立在对过去各种已知
网络入侵方法和系统缺陷知识的积累上 。
异常检测
?主要的异常检测方法,
统计分析、神经网络等
?异常检测模型,
误用检测
?误用检测模型,
?主要的误用检测方法,
模式识别、专家系统等
主要的入侵检测产品
?国外,
?ISS公司的 RealSecure
?CISCO公司的 NetRanger
?Snort
?国内,
?启明星辰公司的天阗入侵检测系统
10.3VPN与企业安全防护
?什么是 VPN（ Virtual Private Network）
VPN指的是利用公共数据网络资源为企业构建虚拟
专用网的一种业务
?它是虚拟的网，即没有固定的物理连接，网路只有用户需
要时才建立。
?它是利用公众网设施构成的专用网,构建在公共网络上的
VPN如同企业私有的网络一样提供安全性、可靠性和可管理
性等。
VPN的概念
? Virtual（ 虚拟）
? 根据业务需要划分的逻辑组
? 与物理网络拓扑相对独立
? Private（ 专用）
? 只有被授权的用户可以使用
? 传输内容经过加密，具有高安全性
? Network（ 网络）
?, 共享, Internet广域网并拓展局域网
建立在公共网络（如 Internet） 上的专用网络
VPN的 应用
出差人员 公司办公大楼
公共网络
（ Internet）
家庭办公者 公司局域网
VPN Connection
VPN的关键技术
(1)安全隧道技术 ——通过将待传输的原始信息经过加密和
协议封装处理后再嵌套装入另一种协议的数据包送入网络中,
像普通数据包一样进行传输 。
(2)用户认证技术 ——在正式的隧道连接开始之前需要确认
用户的身份, 以便系统进一步实施资源访问控制或用户授权
(Authorization)。
(3)访问控制技术 ——由 VPN服务的提供者与最终网络信息
资源的提供者共同协商, 确定特定用户对特定资源的访问权限
,以实现对信息资源的最大限度的保护 。
小结
九,安全通信协议与交易协议
9.1 IPV6安全
9.2 安全套接层协议（ SSL）
9.3 安全电子交易协议（ SET）
十,系统入侵的鉴别与防御
10.1 系统入侵的分析
10.2 入侵检测与入侵检测系统
10.3 VPN与企业安全防护
作业
1.试比较安全套接层协议 (SSL)与安全电子
交易协议 (SET)的优缺点。
谢 谢！
