計算機網(wǎng)絡(luò)應(yīng)用技能教程 項目7 風(fēng)險與安全

1、項目七 風(fēng)險與安全,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,據(jù)《2008中國網(wǎng)上銀行調(diào)查報告》顯示：中國網(wǎng)上銀行總體發(fā)展繼續(xù)保持快速增長的勢頭，用戶量及交易量同期高速增長。此外，網(wǎng)上銀行對于傳統(tǒng)柜臺業(yè)務(wù)的替代性也進一步提升。全國范圍內(nèi)，個人網(wǎng)銀用戶比例為19.9%。在10個經(jīng)濟發(fā)達城市中，2008年使用個人網(wǎng)上銀行的用戶比例達到44.9%，比2007年高出7.1%。而在企業(yè)用戶市場，這一趨勢則更為明顯：2008年全國企業(yè)網(wǎng)銀用戶的比例達

2、到42.8%；在 2008年10個經(jīng)濟發(fā)達城市調(diào)查結(jié)果中，使用企業(yè)網(wǎng)上銀行的用戶比例繼續(xù)增長，比2007年增長了10.3個百分點。從不同規(guī)模企業(yè)網(wǎng)銀用戶總體發(fā)展情況看，企業(yè)規(guī)模越大，使用網(wǎng)銀的比例越高。,任務(wù)情境,在另一項關(guān)于網(wǎng)銀用戶行為特征的調(diào)查中，安全性再次成為關(guān)注重點，調(diào)查結(jié)果顯示：無論對企業(yè)網(wǎng)銀用戶還是個人用戶（包含活動用戶和潛在用戶）而言，網(wǎng)銀的安全性能仍然是他們選擇網(wǎng)銀時最看重的因素.,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,

3、任務(wù)情境,提出任務(wù)： 1.什么是網(wǎng)上銀行？ 2.網(wǎng)上銀行面臨的風(fēng)險由哪些？ 3.如何應(yīng)對網(wǎng)上銀行的風(fēng)險防范？,本任務(wù)將從網(wǎng)上銀行的定義入手，通過了解網(wǎng)上銀行的基本系統(tǒng)框架，分析網(wǎng)上銀行面臨的風(fēng)險和威脅，提出解決網(wǎng)上銀行風(fēng)險防范的辦法。,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,任務(wù)情境,1、了解網(wǎng)上銀行 1）網(wǎng)上銀行的概念 所謂網(wǎng)上銀行，是指借助于互聯(lián)網(wǎng)技術(shù)向客戶提供金融信息和金融交易類服務(wù)的新興銀行。

4、 2）網(wǎng)上銀行的特點全天候的服務(wù) \傳統(tǒng)商業(yè)銀行結(jié)構(gòu)和運行模式的變革 \運營成本成倍降低,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,任務(wù)分析,2、網(wǎng)上銀行的基本系統(tǒng)架構(gòu) 傳統(tǒng)柜臺和ATM 一樣，網(wǎng)上銀行本質(zhì)上是一個銀行業(yè)務(wù)渠道系統(tǒng)，其基本架構(gòu)可分為三部分：客戶端、后臺處理系統(tǒng)和CA 認證中心，并通過銀行自身的金融業(yè)務(wù)網(wǎng)接入其核心賬務(wù)處理系統(tǒng)。,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,任務(wù)實施,3、網(wǎng)上銀行面臨的風(fēng)險 （1）投入不足風(fēng)

5、險。 （2）軟件設(shè)計不規(guī)范風(fēng)險。 （3）內(nèi)部管理風(fēng)險。（4）信息傳輸風(fēng)險。 （5）外包風(fēng)險。 （6）客戶安全意識風(fēng)險。,任務(wù)一 網(wǎng)上銀行的風(fēng)險與管理,任務(wù)實施,4、網(wǎng)上銀行的風(fēng)險防范從銀行方面：（1）加強風(fēng)險提示和安全常識宣傳，提高公眾的風(fēng)險防范意識。 （2）加快相關(guān)法律法規(guī)建設(shè)，提高對網(wǎng)上銀行違法犯罪的法律適用性和打擊力度。 （3）銀行應(yīng)建立一套科學(xué)有效的內(nèi)控機制，實現(xiàn)內(nèi)部管理和操作的制度化與規(guī)范化。 （4）銀行應(yīng)

6、加強技術(shù)防范體系，提高網(wǎng)上銀行的抗攻擊能力。 （5）必須對網(wǎng)絡(luò)設(shè)施、安全產(chǎn)品和服務(wù)器的安全配置制定產(chǎn)品級安全策略 （6）必須做好關(guān)鍵設(shè)施的備份工作 （7）銀行必須不斷地研究新技術(shù)、應(yīng)用新技術(shù)，不斷提高網(wǎng)上銀行的安全技術(shù)水平。,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,任務(wù)實施,從網(wǎng)上銀行用戶方面：（1）保護好網(wǎng)上銀行的信息 （2）做好交易記錄 （3）謹防釣魚網(wǎng)站 （4）不要把所有銀行卡都綁定網(wǎng)銀 （5）健全軟件 (6) 采用實體證書

7、,任務(wù)一網(wǎng)上銀行的風(fēng)險與管理,任務(wù)實施,隨著電子商務(wù)的發(fā)展,網(wǎng)絡(luò)銀行、網(wǎng)絡(luò)營銷、網(wǎng)上購物、網(wǎng)上支付、網(wǎng)絡(luò)廣告等一大批前所未聞的新詞匯正在為人們所熟悉和認同的時候電子商務(wù)中的網(wǎng)絡(luò)安全問題也越來越多，如何建立一個安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對信息提供足夠的保護，已經(jīng)成為商家和用戶都十分關(guān)心的話題。因此掌握和了解一些電子商務(wù)的網(wǎng)絡(luò)安全技術(shù)意義重大。電子商務(wù)實際是基于互聯(lián)網(wǎng)絡(luò)開展的各種商務(wù)活動，由于 Internet 本身具有開放

8、性，且交易各方具有不直接對面性，其資金流轉(zhuǎn)具有計算機處理性和網(wǎng)絡(luò)傳輸性，使得交易的安全成為了電子商務(wù)發(fā)展的核心和關(guān)鍵問題。,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)情境,提出任務(wù)：1、電子商務(wù)對安全有何要求？2、根據(jù)電子商務(wù)的特點，一般使用哪些網(wǎng)絡(luò)安全技術(shù)？,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),本任務(wù)將根據(jù)電子商務(wù)的特點，通過分析電子商務(wù)對安全的需求，進而了解電子商務(wù)中所使用的安全技術(shù)。 通過對電子商務(wù)的安全需求和電子商務(wù)中采用的安

9、全技術(shù)的了解，為我們以后電子商務(wù)活動中，如何保障電子商務(wù)安全打下堅實的基礎(chǔ)。,任務(wù)情境,1、電子商務(wù)對安全的要求 （1）有效性、真實性。 （2）機密性。（3）數(shù)據(jù)的完整性。（4）可靠性、不可抵賴性和可控性。,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)實施,2、電子商務(wù)系統(tǒng)中使用的安全技術(shù) （1）網(wǎng)絡(luò)安全技術(shù) （2）信息加密技術(shù)。（3）數(shù)字簽名技術(shù)。（4）防火墻技術(shù)。（5）入侵檢測系統(tǒng)。（6）安全認證技術(shù)。（7）防病毒系統(tǒng)。

10、,任務(wù)二 了解網(wǎng)絡(luò)安全技術(shù),任務(wù)實施,任務(wù)三 CA安全控制及管理,隨著計算機網(wǎng)絡(luò)技術(shù)的迅速發(fā)展和信息化建設(shè)的大力推廣，越來越多傳統(tǒng)辦公和業(yè)務(wù)處理模式開始走向電子化和網(wǎng)絡(luò)化，從而極大地提高了效率、節(jié)約了成本。與傳統(tǒng)的面對面的手工處理方式相比，基于網(wǎng)絡(luò)的電子化業(yè)務(wù)處理系統(tǒng)必須解決以下問題：1、如何在網(wǎng)絡(luò)上識別用戶的真實身份；2、如何保證網(wǎng)絡(luò)上傳送的業(yè)務(wù)數(shù)據(jù)不被篡改；3、如何保證網(wǎng)絡(luò)上傳送的業(yè)務(wù)數(shù)據(jù)的機密性；4、如何使

11、網(wǎng)絡(luò)上的用戶行為不可否認；,任務(wù)情境,基于公開密鑰算法的數(shù)字簽名技術(shù)和加密技術(shù)，為解決上述問題提供了理論依據(jù)和技術(shù)可行性；同時，《中華人民共和國電子簽名法》的頒布和實施為數(shù)字簽名的使用提供了法律依據(jù)，使得數(shù)字簽名與傳統(tǒng)的手工簽字和蓋章具有了同等的法律效力。PKI（Public Key Infrastructure）是使用公開密鑰密碼技術(shù)來提供和實施安全服務(wù)的基礎(chǔ)設(shè)施，其中CA（Certificate Authority）系統(tǒng)

12、是PKI體系的核心，主要實現(xiàn)數(shù)字證書的發(fā)放和密鑰管理等功能。數(shù)字證書由權(quán)威公正的CA中心簽發(fā)，是網(wǎng)絡(luò)用戶的身份證明。使用數(shù)字證書，結(jié)合數(shù)字簽名、數(shù)字信封等密碼技術(shù)，可以實現(xiàn)對網(wǎng)上用戶的身份認證，保障網(wǎng)上信息傳送的真實性、完整性、保密性和不可否認性。數(shù)字證書目前已廣泛應(yīng)用于安全電子郵件、網(wǎng)上商城、網(wǎng)上辦公、網(wǎng)上簽約、網(wǎng)上銀行、網(wǎng)上證券、網(wǎng)上稅務(wù)等行業(yè)和業(yè)務(wù)領(lǐng)域,任務(wù)三 CA安全控制及管理,任務(wù)分析,1、認識CA系統(tǒng)和數(shù)字

13、證書CA（certification authority）是以構(gòu)建在公鑰基礎(chǔ)設(shè)施PKI（public key infrastructure）基礎(chǔ)之上的產(chǎn)生和確定數(shù)字證書的第三方可信機構(gòu)（trusted third party），其主要進行身份證書的發(fā)放，并按設(shè)計者制定的策略，管理電子證書的正常使用。 目前在實際應(yīng)用中主要存在兩種類型的CA：（1）獨立的第三方CA（2）各類應(yīng)用系統(tǒng)自己建設(shè)的CA,任務(wù)三 CA安全控制及管理

14、,任務(wù)實施,2、CA認證體系的組成 （1）KMC（密鑰管理中心）：提供加密證書密鑰對進行全過程管理的功能，包括密鑰生成、密鑰存儲、密鑰分發(fā)、密鑰備份、密鑰更新、密鑰撤銷、密鑰歸檔、密鑰恢復(fù)以及安全管理等；（2）CA（證書簽發(fā)管理系統(tǒng)）：提供用戶數(shù)字證書的簽發(fā)和管理；（3）RA（證書注冊管理系統(tǒng)）：提供用戶數(shù)字證書的申請、身份審核、證書下載與證書管理等服務(wù)。,任務(wù)三 CA安全控制及管理,任務(wù)實施,3、CA認證體系的職責(zé)和功能

15、CA至少擔(dān)負著以下幾項具體的職責(zé)： （1）驗證并標識公開密鑰信息提交認證的實體的身份； （2）確保用于產(chǎn)生數(shù)字證書的非對稱密鑰對的質(zhì)量； （3）保證認證過程和用于簽名公開密鑰信息的私有密鑰的安全； （4）確保兩個不同的實體未被賦予相同的身份，以便把它們區(qū)別開來； （5）管理包含于公開密鑰信息中的證書材料信息，例如數(shù)字證書序列號、認證機構(gòu)標識等；（6）維護并發(fā)布撤銷證書列表； （7）指定并檢查證書的有效期；

16、（8）通知在公開密鑰信息中標識的實體，數(shù)字證書已經(jīng)發(fā)布； （9）記錄數(shù)字證書產(chǎn)生過程的所有步驟。,任務(wù)三 CA安全控制及管理,任務(wù)實施,任務(wù)實施CA安全認證體系的功能：CA安全認證體系的主要功能包括：簽發(fā)數(shù)字證書、管理下級審核注冊機構(gòu)、接受下級審核注冊機構(gòu)的業(yè)務(wù)申請、維護和管理所有證書目錄服務(wù)、向密鑰管理中心申請密鑰、實體鑒別密鑰器的管理，等等。CA金融體系就是金融系統(tǒng)的CA認證。,任務(wù)三 CA安全控制及管理,任務(wù)實施

17、,4、數(shù)字證書的應(yīng)用 無論網(wǎng)絡(luò)實名接入認證還是多種資源的復(fù)雜業(yè)務(wù)訪問都離不開數(shù)字身份的安全管理。數(shù)字身份的應(yīng)用范疇包括人員、機構(gòu)、網(wǎng)絡(luò)、設(shè)備、應(yīng)用系統(tǒng)等等。人員、機構(gòu)、網(wǎng)絡(luò)、應(yīng)用系統(tǒng)都需要擁有自己的數(shù)字身份，在相互訪問時，對彼此數(shù)字身份進行認證，并依據(jù)安全策略，進行訪問控制。,任務(wù)三 CA安全控制及管理,任務(wù)實施,5、支付寶數(shù)字證書的申請（1）登陸支付寶網(wǎng)站（www.alipay.com），登陸支付寶賬戶，依次選擇“安全中