交通银行双密钥防火墙是什么

安全技术在电子商务系统中起着重要的作用，它是保证电子商务健康有序发展的关键因素。安全技术守护着商家和客户的重要机密，维护着商务系统的信誉和财产，同时也为服务方和被服务方提供了极大的方便。下面分别从防火墙技术、数据加密技术、用户认证技术等方面对电子商务的安全技术进行全面地介绍。

一、防火墙技术

作为近年来新兴的保护计算机网络安全技术的措施，防火墙（Firewall）是一种隔离控制技术，在某个机构的网络和不安全的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止专利信息从企业的网络上被非法输出。防火墙是一种被动防卫技术，由于它假设了网络的边界和服务，因此对内部的非法访问难以有效地控制。因此，防火墙最适合于相对独立的与外部网络互联途径有限、网络服务种类相对集中的单一网络。

（一）防火墙的基本概念

防火墙最原始的含义是从建筑学上引过来的，建筑中的防火墙是设计的一种建筑，以防止发生火灾时火势从一个房间蔓延到另一个房间。后来，这种称呼延伸到计算机安全领域，所以，防火墙有时也被称为Internet防火墙。防火墙是指在两个网络之间强制实施访问控制策略的一系列软件或硬件设备的组织。防火墙被放在两个网络之间，所有的从内部到外部或从外部到内部的通信都必须经过它；只有内部访问策略授权的通信才被允许通过；系统本身具有高可靠性。简而言之，防火墙是保护可信网络、防止黑客通过非可信网络入侵的一种设备，是网络安全的第一道屏障。保障网络安全的第一个措施往往是安装和应用防火墙。最典型的例子是企业内部网。

（二）防火墙的基本原理

自从第一个最简单的包过滤路由器防火墙问世以来，在防火墙产品系列中已经出现了应用不同技术的不同类型的防火墙。这些技术之间的区分并不是非常明显，但就其处理的对象来说，基本上可以分为三大类：数据包过滤型防火墙、应用级网关型防火墙和代理服务型防火墙。

1．数据包过滤型防火墙

数据包过滤型防火墙是应用数据包过滤技术通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或通过制定IP地址和端口的组合规则，在网络层对数据包进行选择，并进行安全检查，确定是否允许该数据包通过。在Internet中，提供某些特定服务的服务器一般都使用相对固定的端门，因此，数据包过滤器只须控制端门就控制了服务。例如，Telnet服务器在TCP 23号端口上监听远程连接，而SMTP服务器在TCP的25号端口上监听连接。为了阻止所有进入的Telnet成连接，只须简单地抛弃所有TCP端口号等于23的数据包。由于数据包过滤型防火墙逻辑简单、价格便宜、易于安装和使用、网络性能和透明性好，所以通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用，适合安全性要求较低的小型电子商务系统。

但是，数据包过滤型防火墙也有缺点：定义数据包过滤的规则可能比较复杂，要求网络管理员对Internet有比较深入的了解且不易验证其正确性；一般的数据包过滤路由器在审计功能方面显得较弱，允许内部网和外部网络之间直接建立连接，但无法抵御数据驱动型的攻击，因而安全性不足；数据包的源地址、目的地址以及IP地址的端口号都在数据包的头部，很有可能被窃听或假冒，这样就会形成各种安全漏洞。数据包过滤器数目增多会消耗路由器的内存和CPU的资源，使路由器的吞吐量下降。此外，一旦非法访问突破防火墙，就可对主机上的软件和配置漏洞进行攻击。

2．应用级网关型防火墙

应用级网关型防火墙能够实现比数据包过滤型防火墙更严格的安全策略，主要是在应用层网关上安装代理软件来实现。应用级网关针对待定的网络应用服务协议使用数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中的应用级网关通常安装在专用工作站系统上。

数据包过滤型防火墙与应用级网关型防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑来判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统就建立起直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这就很有可能导致非法访问和攻击。不同之处在于应用层网关能够同时对各种服务进行全面控制，支持可靠的身份认证，提供详细的审计功能，相对于数据包过滤型防火墙来说更容易配置和测试。

3．代理服务型防火墙

代理服务是设置在互联网防火墙网关的专用应用级代码，这种代码服务能允许或拒绝特定的应用程序或特定的应用功能。代理服务型防火墙是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段——外部网络和内部网络。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部的网卡一样，从而可以达到隐藏内部网络结构的作用，这也就起到了隔离防火墙内外计算机系统的作用。此外，代理也对过往的数据包进行分析、注册登记、形成报告，当发现被攻击迹象时向网络管理员发出警报，并保留攻击痕迹。

在一个网络中，对于由内向外的请求和由外向内的请求所进行的处理，一般认为内部网络比较安全，所以需要控制外部网络向内部网络的请求。这时，就由代理程序将外部用户对内部网络的服务请求，依据已制定的安全规则决定是否向内部真实服务器提交。代理服务代替外部用户与内部网的服务器进行连接。所以代理服务类似于应用服务和用户之间的转发器。一个远程用户请求内部服务时，它首先与这个代理相连，经过认证后，再由代理带到目的主机，同时将服务器的响应传送给所代理的客户。

使用代理服务型防火墙的好处是，它可以提供用户级的身份认证日志记录和账号管理，彻底分隔外部与内部网络。但是，所有内部网络的主机均需通过代理服务器主机才能获得Internet上的资源，因此会造成使用上的不便，而且代理型服务器很有可能会成为系统的“瓶颈”。代理服务型防火墙价格昂贵，且安装和使用也比数据包过滤型防火墙复杂。

一般来说，防火墙是不能防病毒的，而且数据的更新是防火墙的另一大弱点。此外，防火墙采用滤波技术，滤波通常使网络的性能降低。作为一种网络安全技术，防火墙具有简单实用的特点，并且透明性高，可以在不修改原有网络应用系统的情况下达到一定的安全要求；但是，如果防火墙系统被攻破，则被保护的网络会处于无保护状态。如果一个企业希望在Internet上开展商业活动，与众多的客户进行通信，则防火墙不能满足安全要求。

二、数据加密技术

加密技术是电子商务采取的主要保密安全措施，是实现数据保密的一种重要手段，目的是防止合法接收者之外的人获取信息系统中的机密信息。所谓加密，就是采用数学算术的程序和保密的密钥对信息进行编码，把计算机数据变成一堆难以理解的字符串，使得加密后的内容对于非法接收者成为无意义的文字，而对于合法接收者，因为掌握密钥，可以通过解密得到原始的数据。由此可见，加密可以有效地对抗信息的被拦截及被窃取。

数据加密技术是对信息进行重新编码，隐藏信息内容，是非法用户无法得到真实信息的内容的一种技术。加密一般由加密过程和解密过程组成。通常情况下，人们可懂的文本称为明文，不可懂的文本称为密文，将明文转换成密文的过程称为加密；反之，将密文转换成明文的过程称为解密。密钥是用于加、解密的一些特殊信息，它可以是数字、词汇或语句，是控制明文和密文的关键所在。发送方在发送消息前先用加密程序将明文加密成密文，接收方在接收到消息后，再用解密程序将密文解密成明文。解密是加密的逆过程。加密系统有两种基本形式：对称加密系统，也称为私有密钥加密系统；不对称加密系统，也称为公开密钥加密系统。两种加密系统有不同的特点，采用不同的方式来提供安全服务。

（一）对称加密系统

对称加密又叫作私有密钥加密。其特点是数据的发送方和接收方使用的是同一把私有密钥，即把明文加密成密文和把密文解密成明文用的是同一把私有密钥。收信方收到密文后，若想解读原文，需要通过加密用过的密钥及算法的逆算法对密文进行解密，才能使其恢复成可读明文，那就要求收信方事先必须知道加密密钥。对称加密算法的安全性依赖于密钥，泄露密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性对通信安全性至关重要。

对称加密技术可以简化加密的处理，进行电子商务的交易双方不必彼此研究和交换专用的加密算法，而可以采用相同的加密算法并只需要交换共享的专用密钥。由于加密与解密的算法相同，因而对称加密算法计算量小、计算速度快、使用方便、加密效率高，被广泛用于对大量数据文件的加密过程中。

对称加密技术的不足之处：①密钥的管理比较困难，因为交易双方必须要持有同一把密钥，且不能让他人知道；一旦密钥泄露，则信息就失去了保密性，发送方和接收方再进行通信就必须要使用新的密钥。②每对用户每次使用对称加密算法时，都需要使用其他人不知道的唯一密钥，这会使得发收信双方所拥有的密钥数量成几何级数增长。假设两个用户需要使用对称加密方法加密然后交换数据，则用户最少需要2个密钥并交换使用，如果企业内用户有n个，则整个企业共需要n×（n-1）个密钥，密钥的生成和分发将成为企业信息部门的一大难题。③对称加密算法在分布式网络系统上使用较为困难，主要是因为密钥管理困难，使用成本较高。而与不对称加密算法比起来，对称加密算法能够提供加密和认证，却缺少了签名功能，使得使用范围有所缩小。在计算机系统中广泛使用对称加密算法的有DNS和IDEA等。

（二）不对称加密系统

不对称加密又叫作公开密钥加密。不对称加密算法与对称加密算法不同，它需要两个密钥：公开密钥（Publickey）和私有密钥（Privatekey）。当给对方发信息时，用对方公开密钥进行加密，而在接收方收到数据后，用自己的私有密钥进行解密。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。

在电子商务中，贸易双方利用不对称加密技术进行机密信息交换的基本思想：贸易一方生成一对密钥并将其中的一把作为公用密钥向其他贸易伙伴公开；得到公开密钥的贸易伙伴使用该密钥对机密信息进行加密后再发送给贸易方；贸易方用自己保存的另一把专用密钥对加密后的信息进行解密。只有贸易方才拥有私有密钥，所以即使其他人得到了经过加密的发送方的公开密钥，也无法进行解密。保证了私有密钥的保密性，也就保证了传输文件的安全性。

相对于对称加密技术，不对称加密技术密钥少，便于管理。在多人之间进行保密信息传输时，只需要保密自己的私有密钥。在n个人彼此之间传输保密信息时，只需要n对公开密钥，这个数量远远小于对称加密技术的要求。密钥分配简单，加密密钥分发给用户，而解密密钥由用户自己保管。不对称密钥系统不需要秘密的通道和复杂的保密协议来传输密钥，并且可以实现数字签名，这就意味着将电子文档签名后再发给他人，而签名者无法否认，也就是除签名者外他人无法以电子方式进行签名，而且签名者也不能否认曾经签过名。

不对称加密系统也有一些不足之处：由于不对称加密算法要求深入细致的数学计算，所以它的速度非常慢。如果用户想为一个4MB的文件进行一个不对称加密中最基本级别的加密，即使是在一个功能相对强大的系统中，加密过程也会持续较长时间。不对称加密、解密不适用于对文件加密，而比较适用于对少量数据进行加密。这也就是说不对称加密技术并不能完全取代对称加密技术。

（三）两种加密方法的联合使用

由于不对称加密技术需要公开密钥和私有密钥的配合使用才能完成加密和解密的过程，这样有助于加强数据的安全性。但是，其加密和解密的速度很慢，加密和解密同样的数据所花费的时间相当于对称加密技术加密算法的1 000倍。然而对称加密技术所使用的密钥数目难于管理，无法验证发送者和接收者身份，因此很难保证信息的完整性和流通性。正是因为不对称加密和对称加密各方所长，所以在实际应用中，往往将两种加密算法结合起来使用，以起到扬长避短的作用。

三、认证技术

在电子商务中，交易双方是不相见的，并且交易过程中不带有本人任何特征，因此有可能造成一些交易抵赖的问题；即使某一方知道所收到的数据是完整、保密、未经篡改的，但却不知道对方是否以假冒身份在进行交易诈骗。为了避免电子商务交易中上述两种情况的发生，需要解决交易双方的身份验证和交易的不可抵赖问题，而这两个问题也正是认证技术所能解决的。目前，认证技术是保证电子商务交易安全的又一项重要技术，可以满足身份认证、信息完整性、不可否认和不可修改等多项交易安全需求，能够有效地规避网上交易面临的假冒、篡改、抵赖、伪造等威胁。

在电子商务系统中，所有参与者都需要证明自己的身份，这就需要引入一个公平的裁判——交易双方均信任的第三方，对买卖双方进行身份验证，保证交易双方确信自己是在与对方所说的人进行交易。目前国内常用的第三方认证系统就是支付宝。

认证就是指用户必须提供他是谁的证明，可以是某个银行员工或某个机构的服务人员等。认证方法就是要清楚他是谁，他具有什么特征。例如，系统中存储了他的指纹，他接入网络时，就必须在指纹机上提供他的指纹，只有指纹相符才可以访问该系统。识别方式还有通过视网膜血管分布图来识别和声波纹识别等。网络用户们识别的方法一般是用智能卡或其他特殊形式的标志，它们可以从连接到计算机上的读出器读出来。口令具有共享秘密的属性。例如，服务器操作系统识别要入网的用户，用户必须把他的用户名和口令送给服务器。服务器将它与数据库里的用户名和口令进行比较，如果相符，则它通过认证，可以上网访问，否则无法上网访问。除此之外，识别方法也可以由几种方法组合而成，如用ATM卡和PIN卡。

电子商务中认证技术主要涉及以下几个方面的内容。

（一）身份认证技术

身份认证是用户身份的确认技术，是网络安全的第一道屏障，也是重要的一道防线。只有实现了有效的身份认证，才能保证访问控制、入侵防范等安全机制的有效实施。身份认证主要包括两个方面：一个是识别，另一个是验证。所谓识别，就是用户向系统明确自己身份的过程。这也就要求认证技术对每位合法用户具有识别能力，为了保证认证的有效性，不同的用户应该具有不同的识别符号。验证是指系统核查用户身份证明的过程。用户出示身份证明之后，系统对其身份进行验证，避免假冒。

在电子商务环境中，身份认证技术必须采用电子的方法数字化，即识别信息需转化为电子数字信号。为了进行信息领域身份鉴别，认证技术需要具有一些基本要求。例如，身份认证要满足实时监测的要求；身份识别对人身体无任何健康危害；身份认证技术要求简单易懂，价格不能太贵，适用于大众。满足上述要求的身价认证技术主要有以下几种方式。

1．口令认证

口令认证是目前互联网和计算机系统最常用的方法之一。最简单的一种就是当用户登录计算机时需要输入口令：每一个用户都有系统给的一个用户名和一个口令，用户进入系统时，要求输入用户名、口令，如果输入正确，则系统允许用户进入，用户的身份得到认证；反之不允许用户进入系统。如果用户把用户名和密码告诉了其他的用户，则系统或计算机也将给予同样的访问权限。这种方法也称为身份识别码和密码。

口令认证的方法比较简单，便于管理，但当用户忘记口令时，则无法进入系统。与此同时，用户设置的密码通常比较简单，容易被猜透，不能有效防御口令猜测攻击。口令的明文传输容易被窃听，加密口令还存在密钥交换问题。

2．智能卡认证

基于智能卡的身份认证方法在认证时需要一块芯片（智能卡中含有），芯片中包含了持卡人一些个人信息，如银行储蓄信息、医疗信息、学籍信息等。智能卡与信用卡大小相当，尺寸大小主要取决于芯片的功能和电子技术，信息量比信用卡背后的词条大得多。

智能卡的识别需要一个特殊的设备——刷卡机，这由生产智能卡的厂家提供，安装在专用的刷卡器上。智能卡也可以在网上转账，但需要在PC机上连一个刷卡器。还有一种智能卡类似于U盘，也称电子钥匙，可以直接插在计算机的USB接口上使用。这种智能卡具有内置CPU，可以进行高强度的密码运算。

3．生理特征认证

生理特征认证通常是指使用包括指纹、语音、DNA、视网膜扫描等一些不能复制的个人特征来进行鉴别确认。人的指纹具有客观性与唯一性，每个人的指纹各不相同，终生不变，且无法仿制。使用活体指纹读取技术基本不可能被伪造。声音的语音鉴别和验证是通过简短的语音输入对用户进行注册登记，捕获并存储他们的声波，加密存储在数据库中。当系统遇到访问时，系统将它们的语音与数据库存储的声波做比较进行识别，如果一致则允许访问，否则拒绝访问。

（二）数字认证

数字认证是以数字证书为核心的加密技术，它可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的安全性、完整性。数字证书是网络通信中标志各方身份的一系列数据，提供Internet上验证身份的一种方式，它的作用类似于司机的驾照或者人们日常的身份证。使用了数字证书，即使人们发送的信息在网上被他人截获，甚至丢失了个人的账户、密码等信息，仍可以保证账户和资金安全。

数字证书是一种权威性的电子文档。通常，数字证书采用不对称加密技术，即利用一对互相匹配的密钥进行加密和解密。用户自己设定一把特定的仅为本人所知的私有密钥，用它进行解密和签名；同时设定一把公开密钥为一组客户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆的过程，也就是说只有用私有密钥才能解密。

数字证书可以授权购买，提供更强的访问控制，并具有很高的安全性和可靠性。数字证书可用于发送安全电子邮件，访问安全站点，网上证券交易、招标采购、保险、税务、签约和网上银行等安全电子事务处理和交易活动。电子邮件证书可以用来证明电子邮件发件人以及邮件地址的真实性。收到具有有效电子签名的电子邮件，能够保证邮件确实由指定邮箱发出并且没有被篡改。使用接收的邮件证书，还可以在非安全网络中向接收方发送加密邮件，而且只有接收方的持有者才可能打开该邮件。

四、防病毒技术

计算机病毒是电子商务网络安全的一大威胁，了解计算机病毒的特征并掌握防治计算机病毒的技术，对于保障电子商务安全具有重要意义。

根据1994年2月18日国务院正式颁布的《中华人民共和国计算机信息系统安全保护条例》，计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用，并能够自我复制的一组计算机指令或者程序代码。计算机病毒是一种特殊的程序，能够导致系统无法正常引导、程序无法正常运行、文件丢失等。

（一）计算机病毒的特征及传染途径

1．计算机病毒的特征

1）寄生性。计算机病毒寄生在其他程序中，当执行这个程序时激发，而在未启动这个程序之前，它是不易被人发觉的。

2）传染性。计算机病毒与其他程序的显著不同之处就在于其具有传染性，即能够借助各种渠道，从已感染的计算机系统扩散到其他计算机系统中。

3）破坏性。计算机病毒往往具有一定的破坏性，可能会导致磁盘的可用空间或内存空间减小、正常的程序无法运行、删除程序或文件、破坏数据等。

4）潜伏性。由于计算机病毒往往寄生于某些程序，因此，在未发作时，具有很强的潜伏性和隐蔽性。

5）触发性。计算机病毒一般要在一定的条件下才被激活，诱使计算机病毒实施感染或进行攻击的特性被称为可触发性。当计算机病毒运行时，触发机制检查预定条件是否满足，如果满足，启动感染或破坏动作，使计算机病毒进行感染或攻击；如果不满足，则使计算机病毒继续潜伏。

2．计算机病毒的传播途径

计算机病毒的传播渠道通常有以下几种。

1）通过移动存储设备进行传播。使用被感染的U盘、MP3等移动存储设备，会使计算机感染病毒，并会将病毒传染给未被感染的其他移动存储设备。不加控制地随便在计算机上使用各种移动存储设备，是造成计算机病毒传播、泛滥和蔓延的重要原因。

2）通过光盘传播。盗版光盘的泛滥是病毒传播的又一重要途径。以牟利为目的的非法盗版光盘在生产和制作过程中，不可避免地会写入某些计算机病毒，且由于大多数光盘属于只读式光盘，不能进行写操作，因此，光盘上的计算机病毒也无法通过杀毒软件进行清除，由此造成了计算机病毒的传入、传播、流行和扩散。

3）通过网络传播。随着Internet的普及，计算机病毒的传播越来越迅速，其影响面越来越大，所造成的危害也越来越严重。一方面，Internet上的信息资源极为丰富，但很多信息和文件中可能存在计算机病毒，当用户下载这些文件时，计算机病毒就随着文件进入到用户的计算机系统中；另一方面，电子邮件的广泛应用也为计算机病毒的传播提供了重要载体，含有计算机病毒的文件或文档可能通过网关和邮件服务器进入企业或个人的计算机系统中。在Internet上，计算机病毒的防治难度越来越大，反病毒的任务也更加艰巨。

（二）计算机病毒的防治

对于计算机病毒的防治，要采取以预防为主，尽可能做到以下几点。

1）制定严格的计算机安全管理制度。对于不同的用户限定严格的权限，禁止无权限的用户对内部网络中的资源和数据进行修改；制定应急措施，一旦出现计算机病毒感染的情况，应立即隔离被感染的计算机和网络并进行处理，以避免计算机病毒传播到整个网络。

2）做好计算机系统的日常安全维护。首先要在计算机系统中安装正版的杀毒软件和防火墙，并定期进行升级和杀毒；其次要经常对计算机系统进行升级，消除各种安全隐患；此外，还要定期对计算机系统进行备份，保存重要的数据文件。

3）规范上网行为。尽量使用大型的、知名度较高的网站所提供的网络服务，避免登录一些小型网站，避免下载来路不明的文件和信息；尽量不在公共计算机上使用与个人有关的各类账户和密码等信息；同时，在使用电子邮件时，尽量避免打开、浏览或下载来历不明的邮件及其附件。

总之，随着Internet应用范围的扩展和网络技术的进步，计算机病毒呈现出多样化的发展趋势，其破坏性也在不断增强。在这种情况下，必须加强防范意识，以预防为主，防止计算机病毒的袭击。