电子商务常用的安全技术

第三节　电子商务常用的安全技术

为了保证电子商务安全需求的顺利实现，满足人们在互联网上开展安全电子商务活动的要求，在电子商务中需要用到各种安全技术，主要包括加密技术、数字签名、数字证书、身份认证、防火墙和防病毒技术等。

一、加密技术

加密技术是电子商务最基本的信息安全防范措施，其原理是利用一定的加密算法，将明文转换成难以识别和理解的密文并进行传输，从而确保数据的保密性。加密技术包括两个元素：算法和密钥。算法是将普通的信息或者可以理解的信息与一串数字（密钥）结合，产生不可理解的密文的步骤。密钥是用来对数据进行编码和解密的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网络的信息通信安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，数据加密的技术分为两类，即对称加密（私钥加密）和非对称加密（公钥加密）。对称加密以数据加密标准（data encryption standard，DES）算法为典型代表，非对称加密通常以RSA算法为代表。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开，而解密密钥需要保密。

1.对称加密

对称加密也称私钥加密，是指加密和解密使用相同密钥的加密算法。有时又叫传统密码算法，就是加密密钥能够从解密密钥中推算出来，同时解密密钥也可以从加密密钥中推算出来。而在大多数的对称算法中，加密密钥和解密密钥是相同的，所以也称这种加密算法为秘密密钥算法或单密钥算法。它要求发送方和接收方在安全通信之前商定一个密钥。对称算法的安全性依赖于密钥，泄露密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性至关重要。

使用这种加密技术通信时，发送信函的一方用加密函数E把明文M加密，得到密文C，然后把密文C通过通信网络发给另一方（即使在通信信道中被攻击者截取，也无法理解信函的实际含义），而接收方收到密文C后，可用解密函数D解密，重新得到原明文M，达到密码通信的目的。

凯撒密码通过对字母移位的方式进行加密，这是一种典型的对称加密算法。其算法是：如果密钥为3，将26个英文字母顺序不变，但使a，b，c，…，z分别对应d，e，f，…，c。如果明文为day，那么密文就是gdb。解密算法是加密算法的逆运算，即字母位置向前移动3位，并一一对应。但此种算法由于字母出现频率的高低容易被破解，并且只有26个字母，容易被穷举法分析得出密钥。

目前广泛采用的私钥加密方式之一是数据加密标准（data encryption standard，DES），是由美国国家标准局提出的，主要应用于银行业中的电子资金转账领域。DES主要采用替换和移位的方法，使用56位密钥每次处理64位数据，运算速度快，易于用软件实现，也适于在专用芯片上实现。DES算法具有极高的安全性，到目前为止，除了用穷举搜索法对DES算法进行攻击外，还没有发现更有效的办法，而56位长密钥的穷举空间为256，这意味着如果一台计算机的速度是每秒检测100万个密钥，那么它搜索完全部密钥就需要将近2285年的时间，由此可见DES算法是一种很可靠的加密方法。

对称加密技术存在密钥的数目难管理、一般不能提供信息完整性的鉴别等问题，为了弥补这些缺陷，人们又开发了非对称加密算法。

2.非对称加密

非对称加密也称公钥加密。在非对称加密算法中，密钥被分解为一对，即一个公开密钥（公钥）和一个专用密钥（私钥）。该对密钥中的任何一个都可作为公开密钥公开，而另一个则作为专用密钥保存。任何持有公钥的人都可加密信息，但不能解密自己加密的密文，只有密钥持有者可以用私钥对收到的经过公钥加密的信息解密。

非对称加密中比较流行的是RSA算法，其机理是利用两个很大的质数相乘所产生的乘积来加密。这两个质数无论哪一个先与原文件编码相乘，对文件加密，均可由另一个质数再相乘来解密，但要用一个质数来求出另一个质数，则是十分困难的，因此将这一对质数称为密钥对。RSA算法存在的主要问题是运算速度较慢，因此在实际的电子商务系统中，通常采用对称加密算法和非对称加密算法这两种方法相结合的混合加密体制，即加密、解密采用对称加密，密钥传送采用非对称加密。这样既可以保证数据的安全，又可以提高加密和解密的速度。除了加密功能外，公钥系统还可以提供数字签名。

二、数字签名

数字签名也称电子签名，就是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。在电子商务中，数字签名技术有着特别重要的地位，在源鉴别、完整性服务、不可否认服务等电子商务的安全服务中都要用到它。

日常生活中，在书面文件上签字是确认文件的一种常用手段。在政治、军事、外交等活动中签署的文件，商业上签订的合同，个人间传递的书信等，传统上都采用手写签名或印鉴，起到认证、核准和生效作用。随着网络信息时代的来临及网络贸易的产生，需要通过网络进行远距离的贸易合同的签名，以确定合同的真实有效性，数字签名技术正是在这种情况下产生的，并广泛应用于商贸活动的信息传递中，如电子邮件、电子转账、办公室自动化等系统中。数字签名技术是不对称加密算法的典型应用，其主要用途有三个方面。

1.验证数据的完整性

验证数据的完整性能保证信息从签发到收到为止没有做任何修改。因为当两条信息摘要完全相同时，可以确信这两条信息的内容完全一样。因此，可以通过将信息发送前生成的信息摘要与接收后生成的信息摘要进行对比，来判断信息在传输过程中是否被篡改。由于信息摘要在发送之前，发送方使用私钥进行加密，其他人要生成相同加密的信息摘要几乎不可能，于是，接收方收到信息后，可以使用相同的函数变换，重新生成—个新的信息摘要，将接收到的信息摘要解密，然后进行对比，从而验证信息的完整性。

2.验证签名者的身份

验证签名者的身份能证明信息是由签名者发送的。因为数字签名是使用公开密钥加密算法，信息发送方是使用自己的私钥对发送的信息进行加密的，只有持有私钥的人才能对数据进行签名，所以只要密钥没有被窃取，就可以肯定该数据是用户签发的。信息接收方可以使用发送方的公钥对接收到的信息进行解密，因而接收方一旦解密成功，就完全可以确认信息是由发送方发送的，同时也证实了信息发送方的身份。

3.防止交易中的抵赖行为

当交易中出现抵赖行为时，信息接收方可以将加了数字签名的信息提供给认证方以维护自己的权益。这是因为带有数字签名的信息是由发送方的私钥加密生成的，其他任何人不可能产生这种信息，而发送方的公钥是公开的，任何人都可以获得他的公钥对信息解密，这样认证方可以使用公钥对接收方提供的信息解密，从而可以判断发送方是否出现抵赖行为。

数字签名在形式上通常是一个字母或数字串，一个数字签名算法主要由两个算法组成，即签名算法和验证算法。数字签名的应用过程是，数据源发送方使用自己的私钥对数据校验和其他与数据内容有关的变量进行加密处理，完成对数据的合法签名，数据接收方则利用对方的公钥来解读收到的数字签名，并将解读结果用于对数据完整性的检验，以确认签名的合法性。因此，数字签名是个加密的过程，数字签名验证是个解密的过程。例如，如果甲想发一个有数字签名的电子邮件给乙，则甲就用自己的私钥将邮件加密后发出，乙收到后为了鉴别邮件是否由甲所发，就用甲的公钥解密，如果解得开则表明确实是甲所发的，因为正常情况下没有其他人知道甲的私钥，甲用私钥将邮件加密就等于签署了自己的姓名。由于公钥和加密算法的公开性不要求通信双方事先建立某种信任关系或共享某种秘密，因此比传统签名更优越，它能使两个从未见面的人利用数字签名确认对方身份是否属实，特别适合互联网的应用环境。在数字签名应用中，发送者的公钥可以很方便地得到，但他的私钥则需要严格保密。目前，应用最广泛的数字签名有三种：RSA签名、DSS签名和Hash签名。这三种方法既可以单独使用，也可以综合在一起使用。

数字签名技术在电子商务中有如下优点。

其一，发送者事后不能否认自己发送的报文签名。

其二，接收者能够核实发送者发送的报文签名。

其三，接收者不能伪造发送者的报文签名。

其四，接收者不能对发送者的报文进行篡改。

其五，交易中的某一用户不能冒充另一用户作为发送者或接收者。

数字签名技术具有良好的防伪造、防篡改、防拒认的功能，在电子商务领域中实现了传统意义上签名的功能，已经成为保障电子商务安全交易的关键技术之一。在我国，数字签名是具法律效力的，正在被普遍使用。自1999年10月1日起施行的《中华人民共和国合同法》首次确认了电子合同、电子签名的法律效力。自2005年4月1日起，首部《中华人民共和国电子签名法》正式实施。

三、数字证书

数字证书也称数字标识，是目前网络上应用最为广泛的信息安全技术之一，它提供了一种在互联网上验证身份的方式，是用来标识和证明网络通信双方身份的数字信息文件。数字证书一般由权威公正的第三方机构即CA认证中心所签发，主要用于证实用户的身份及用户对网络资源的访问权限。

从比较专业的角度来说，数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息及公开密钥的文件，它的内容具体包括用户的姓名、公共密钥、公共密钥的有效期、颁发数字证书的CA、数字证书的序列号及用户本人的数字签名。

在IE浏览器菜单栏上单击“工具”—“Internet选项”—“内容”—“证书”按钮，打开“证书”对话框。图6－3所示为数字证书的Internet选项界面；图6－4所示为证书对话框，在该对话框中显示了所有已经安装在本机上的数字证书。

图6－3　数字证书的Internet选项界面

图6－4　证书对话框

选定其中的某个数字证书，单击“查看”按钮，可进入该证书的“详细信息”选项卡，这里将显示该数字证书的内容，如图6－5所示。

图6－5　查看选中数字证书的详细信息

数字证书的格式遵循X.509标准，它是由国际电信联盟制定的数字证书标准。一个标准的X.509数字证书包含以下一些内容。

（1）证书的版本信息。它用来区别X.509的各种连续的版本。

（2）序列号。序列号是一个整数值，在发行的证书颁发机构中是唯一的。序列号与证书有明确联系，这就像我们的身份证号码和我们的个人资料一一对应，有着明确的联系一样。

（3）算法识别符。算法识别符是识别证书颁发机构用来签署证书的算法。证书颁发机构使用它的私钥对每个证书进行签名。

（4）发行者或证书颁发机构。证书颁发机构是创建这个证书的机构。

（5）有效期。有效期是指所提供证书的有效起止日期，类似于我们所使用的银行信用卡的期限或者身份证的有效期。现在通用的证书一般采用世界标准时间格式，计时范围为1950—2049年。

（6）主体。证书须对主体的身份进行验证。

（7）公钥信息。公钥信息是指证书所有人的公开密钥，为证书识别的主体提供公钥和算法识别符。

（8）签名。签名是指证书发行者对证书的签名。证书签名覆盖了证书的所有其他字段。签名是其他字段的Hash代码，使用证书颁发机构的私钥进行加密，用来保证整个证书中信息的完整性。如果有人使用了证书颁发机构的公钥来解密这个Hash代码，同时计算了证书的Hash代码，而两者并不相同，那么证书的某一部分就肯定被非法更改了。

利用数字证书技术在互联网上传输数据的基本原理是：首先传输的双方互相交换证书，“验明正身”后数据的发送方利用证书中的公钥对数据进行加密，这样就可以保证只有合法的用户才能对数据进行解密；或者发送方利用自己的私钥对数据进行数字签名，保证传输数据的真实性和不可否认性。

数字证书技术利用一对互相匹配的密钥进行加密、解密。当用户申请证书的时候，会得到一个私钥和一个数字证书（公钥）。每个用户自己设定一个特定的仅为本人所有的私有密钥（私钥），用它进行解密和签名；同时设定一个公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当用户向朋友发送一份保密文件时，需要使用对方的公钥对数据加密，朋友收到文件后，则使用自己的私钥解密，如果没有私钥，就不能解密文件，从而可保证数据的安全保密性。这种加密是不可逆的，即使已知明文、密文和公钥，也无法推导出私钥。这就好比我们自己制造了很多的锁，而这些锁只有一把钥匙能够开启，钥匙就掌握在我们手中，然后我们将锁分送给不同的朋友，让他们在给自己寄送的物品上加锁，这样就可以保证只有我们本人拿着那把唯一的钥匙，才能够打开锁，收取朋友的物品。当然，如果我们的钥匙被别人拿去了，别人就可以打开锁来偷取其中的东西了。

如果用户对互联网上数据传输的要求并不是很高的话，数字证书发挥的余地并不大。然而，如果用户对数据的安全性有一定的要求，如访问安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、网上办公、网上缴费、网上缴税、网上购物等网上的安全电子事务处理和安全电子交易活动等，数字证书就显得非常重要。通常来说，网络安全的四大要素，也就是信息传输的保密性、数据交换的完整性、发送信息的不可否认性、交易者身份的确定性，这些都可以通过数字证书得以体现。

数字证书分为很多种类别，包括代码签名证书、安全电子邮件证书、个人和单位身份证书及服务器证书等。不同类别的数字证书所应用的场合也有所区别，比如代码签名证书主要应用在给程序签名领域，而安全电子邮件证书则是用于给邮件数字签名，个人身份证书则广泛应用于给Office文档、软件代码、XML文件、e-mail等文件的数字签名。目前提供数字证书的CA机构很多，用户可以直接在网络上申请，例如中国数字认证网、广东省电子商务认证有限公司、天威诚信等，一些CA中心还提供免费试用的数字证书，在试用期内用户可以免费使用。

除了可以直接安装在计算机中的数字证书外，现在还有一种新型的数字证书，那就是移动数字证书，也就是通常所说的USB数字证书。顾名思义，这种证书并不是储存于计算机中，而是将私钥储存在一个单独的USB设备中，使得证书可以随身携带，与传统以加密文件存储在计算机中的文件数字证书相比，USB数字证书更加便捷、安全。目前许多银行都提供了USB数字证书的申请服务，例如中国工商银行的U盾、中国农业银行的K宝等，用户只要携带自己的身份证件，填写申请表格并缴纳一定的费用后，便可以获得银行提供的USB数字证书了。USB数字证书可在任何一台计算机上使用，但必须将USB数字证书插入计算机的USB接口，相比文件数字证书必须在安装有此证书的计算机上使用，USB数字证书可以随时随地使用。

四、身份认证

身份认证是指计算机及网络系统确认操作者身份的过程。计算机系统和计算机网络是一个虚拟的数字世界，在这个数字世界中，一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份的合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，是一个很重要的问题。身份认证技术的诞生将解决这个问题。目前常用的身份认证方式主要有以下几种。

1.用户名/密码方式

用户名/密码是最简单也是最常用的身份认证方法，每个用户的密码都是由这个用户自己设定的，只有他自己才知道，因此只要能够正确输入密码，计算机就认为他就是合法用户。然而实际上，由于许多用户为了防止忘记密码，经常采用诸如自己或家人的生日、电话号码等容易被他人猜测到的有意义的字符串作为密码，或者把密码写在一个自己认为安全的地方，这都存在着许多安全隐患，极易造成密码泄露。即使能保证用户密码不被泄露，由于密码是静态的数据，并且在验证过程中需要在计算机内存中和网络中传输，而每次验证过程使用的验证信息都是相同的，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获，因此用户名/密码方式是一种极不安全的身份认证方式。

2.IC卡认证

IC卡是一种内置集成电路的卡片，卡片中存有与用户身份相关的数据，IC卡由专门的厂商通过专门的设备生产，可以认为是不可复制的硬件。IC卡由合法用户随身携带，登录时必须将IC卡插入专用的读卡器读取其中的信息，以验证用户的身份，通过IC卡硬件不可复制来保证用户身份不会被仿冒。然而由于每次从IC卡中读取的数据都是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息。因此，IC卡认证的方式还是存在一定的安全隐患。

3.动态口令

动态口令技术是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的技术。它采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏，密码生成芯片运行专门的密码算法，根据当前时间或使用次数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算当前的有效密码，用户使用时只需要将动态令牌上显示的当前密码输入客户端计算机，即可实现身份的确认。由于每次使用的密码必须由动态令牌来产生，只有合法用户才持有该硬件，所以只要密码验证通过就可以认为该用户的身份是可靠的。而用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。

动态口令技术采用一次一密的方法，有效地保证了用户身份的安全性。但是如果客户端硬件与服务器端程序的时间或次数不能保持良好的同步，就可能发生合法用户无法登录的问题，并且用户每次登录时还需要通过键盘输入一长串无规律的密码，一旦看错或输错就要重新来过，使得用户使用起来非常不方便。

4.生物特征认证

生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术，常见的有指纹识别、虹膜识别等。从理论上讲，生物特征认证是最可靠的身份认证方式，因为它直接使用人的物理特征来表示每一个人的数字身份，不同的人具有相同生物特征的可能性几乎不存在，因此几乎不可能被仿冒。

生物特征认证基于生物特征识别技术，受到现在的生物特征识别技术成熟度的影响，使用起来还具有较大的局限性。首先，生物特征识别的准确性和稳定性还有待提高，特别是如果用户身体受到伤病或污渍的影响，往往导致无法正常识别，造成合法用户无法登录的情况。其次，由于研发投入较大和产量较小的原因，生物特征认证系统的成本非常高，目前只适合于一些安全性要求非常高的单位如银行、部队等使用，还无法做到大面积推广。

5.USB Key认证

基于USB Key的身份认证方式是近几年发展起来的一种方便、安全、经济的身份认证技术，它采用软件与硬件相结合、一次一密的认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证。

五、防火墙

（一）防火墙的概念

防火墙是指一种将内部网和公众访问网分开的方法，是网络之间一种特殊的访问控制设施。防火墙相当于在互联网与内部网之间设置了一道屏障，防止黑客进入内部网，是由用户制订安全访问策略以抵御各种侵袭的一种隔离技术。它能允许用户“同意”的人和数据进入网络，将用户“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客访问用户的网络，防止他们更改、拷贝、毁坏用户的重要信息；能限制被保护的网络与互联网之间，或者与其他网络之间进行的信息存取、传递操作；能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。

防火墙是提供信息安全服务，实现网络和信息安全的基础设施。目前关于防火墙的定义有很多，其中最典型的是：防火墙是在两个网络之间强制实施访问控制策略的一个系统或一组系统。从狭义上讲，防火墙是指安装了防火墙软件的主机或路由器系统。防火墙被放在两个网络之间，具有以下特性。

（1）所有的从内部到外部或从外部到内部的通信都必须经过防火墙。

（2）只有有内部访问策略授权的通信才被允许通过防火墙。

（3）系统本身具有高可靠性。

简而言之，防火墙是保护可信网络、防止黑客通过非可信网络入侵的一种设备。

（二）防火墙的主要功能与局限性

1.防火墙的主要功能

（1）过滤不安全的服务和非法用户。所有进出内部网络的信息都必须通过防火墙，防火墙成为一个检查点，禁止未授权的用户访问受保护的网络。

（2）控制对特殊站点的访问。防火墙可以允许受保护网络中的一部分主机被外部网访问，而另一部分则被保护起来，例如受保护网中的FTP、www服务器等可被外部网访问，而其他访问则被禁止。

（3）作为网络安全的集中监视点。防火墙可以记录所有通过它的访问，并提供统计数据，提供预警和审计等功能。

2.防火墙的局限性

防火墙也并非十全十美，其局限性主要表现在以下三个方面。

（1）防火墙不能防范不经由防火墙的攻击。例如：如果允许从受保护网内部不受限制地向外拨号，一些用户可以形成与互联网间的直接的SLIP或PPP连接，从而绕过防火墙，形成一个潜在的后门攻击渠道。

（2）防火墙不能防止受到病毒感染的软件或文件的传输。因为现有的各类病毒、加密和压缩的二进制文件种类太多，不能指望防火墙逐个扫描每个文件来查找病毒。

（3）防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到互联网主机上并被执行时，就会发生数据驱动攻击。防火墙无法防止这类攻击。

（三）防火墙的分类

1.包过滤型防火墙

在遵守TCP/IP协议的网络中，数据是被分解为不同的IP包进行传输的。包过滤型防火墙应用数据包过滤技术在网络层对数据包进行选择，截获每个通过防火墙的IP包，并进行安全检查。如果IP包能通过检查，就将该IP包正常转发出去，否则，就阻止该IP包通过。在这里，进行选择的依据是系统内设置的过滤逻辑，称为访问控制表。包过滤型防火墙通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。由于在互联网中，提供某些特定服务的服务器一般都使用相对固定的端口，因此，包过滤器只需控制端口就控制了服务。例如，TCP端口23通常提供远程服务，所以在包过滤器中只要控制了这个端口，就可以控制远程服务。大多数防火墙都有IP包过滤的功能，其中较常见的是包过滤路由器。它基于一定的规则来对IP包进行安全检查，这些规则可以归纳为协议类型、源地址、目的地址、源端口、目的端口等几个方面，其具体的实现原理如下所述。

（1）通过协议类型控制特定的协议。

（2）通过IP地址控制特定的源和目的主机。

（3）通过控制源和目的端口控制特定的网络服务。

（4）通过源/目的控制入网信息和出网信息，即控制信息方向。更进一步，还可以通过制定IP地址和端口的组合规则，要求某些特定服务必须通过某一特定的IP地址进行细致的检查。

由于包过滤型防火墙逻辑简单，价格低廉，易于安装和使用，网络性能和透明性好，所以通常安装在路由器上。路由器是内部网与互联网连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用，适合安全性要求较低的小型电子商务系统。

包过滤型防火墙的不足之处，主要表现在以下三个方面。

其一，为完成某一项特定任务，包过滤的规则可能比较复杂且不易验证其正确性。

其二，一般的包过滤路由器在审计功能方面显得较弱，因而安全性不足。

其三，数据包的源地址、目的地址及IP的端口号都在数据包的头部，很有可能被窃听或假冒，这样就会形成各种安全漏洞。

2.应用级网关型防火墙

应用级网关是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时对数据包进行必要的分析、登记和统计，形成报告。实际中的应用级网关通常安装在专用工作站系统上。

包过滤型防火墙和应用级网关型防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑来判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统就建立起直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这就很有可能导致非法访问和攻击。

3.代理服务型防火墙

代理服务又称链路级网关或TCP通道，也有人将它归于应用级网关一类。代理服务型防火墙是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外的计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务型防火墙也对过往的数据包进行分析、注册登记并形成报告，同时当发现被攻击迹象时，它会向网络管理员发出警报，并保留攻击痕迹。

在一个网络中，对于由内向外的请求和由外向内的请求所进行的处理是相同的。一般认为内部网络比较安全，所以需要控制外部网络向内部网络的请求，这时，就由代理程序将外部用户对内部网络的服务请求依据已制定的规则决定是否向内部真实服务器提交。代理服务器代替外部用户与内部网的服务器进行连接，所以代理服务类似于应用服务和用户之间的转发器。当远程用户请求内部服务时，它首先与这个代理相连，经过认证后，再由代理传送到目的主机，同时将服务器的响应传送给所代理的客户。在这个过程中，代理既是客户程序，又担任服务器的角色。对于真正的请求来说，它是服务器；而对于服务器来说，它是一个客户请求进程。所以在代理的实现中必须既有服务器的部分，又有客户的程序部分。

应用级网关型防火墙和代理服务型防火墙大多是基于主机的，性能较好，但比较贵，安装和使用也比包过滤型防火墙复杂。

总而言之，在互联网上防火墙是一种非常有效的网络安全工具，通过它可以隔离风险区域与安全区域的连接，同时不会妨碍人们对风险区域的访问。随着电子商务的不断发展，防火墙技术必将在网络安全方面发挥更加重要的作用和价值。

六、防病毒技术

（一）计算机病毒的概念

从广义上讲，凡能够引起计算机故障、破坏计算机数据的程序都称为计算机病毒。1994年2月18日，我国正式颁布实施了《中华人民共和国计算机信息系统安全保护条例》（以下简称《条例》），在《条例》第二十八条中明确指出：“计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。”

计算机病毒具有以下几个主要特点。

1.寄生性

计算机病毒寄生在其他程序之中，当执行这个程序时，病毒就起破坏作用，而在未启动这个程序之前，它是不易被人发觉的。

2.传染性

计算机病毒不但本身具有破坏性，更有害的是具有传染性，一旦病毒被复制或产生变种，其传染速度之快令人难以预防。传染性是病毒的基本特征，计算机病毒也会通过各种渠道从已被感染的计算机扩散到未被感染的计算机，在某些情况下造成被感染的计算机工作失常甚至瘫痪。只要一台计算机染毒，如不及时处理，病毒就会在这台计算机上迅速扩散，其中的大量文件（一般是可执行文件）会被感染。而被感染的文件又成了新的传染源，在与其他机器进行数据交换或通过网络接触时，病毒会继续传染其他机器。正常的计算机程序一般是不会将自身的代码强行连接到其他程序之上的，而病毒却能使自身的代码强行传染到一切符合其传染条件的未受到传染的程序之上。计算机病毒可通过各种可能的渠道（如光盘、U盘、计算机网络、电子邮件等）去传染其他计算机。

3.潜伏性

有些病毒像定时炸弹一样，什么时间发作是预先设计好的。比如黑色星期五病毒每到周五发作，不到预定时间一点都觉察不出来。一个编制精巧的计算机病毒程序，进入系统之后一般不会马上发作，可以在几周或者几个月内甚至几年内隐藏在合法文件中，对其他系统进行传染，而不被人发现，潜伏性愈好，其在系统中的存在时间就会愈长，病毒的传染范围就会愈大。潜伏性的第一种表现是指，病毒程序不用专用检测程序是检查不出来的，一旦时机成熟，病毒程序得到运行机会就会四处传播扩散。潜伏性的第二种表现是指，计算机病毒的内部往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做任何破坏。一旦触发条件得到满足，有的在屏幕上显示信息、图形或特殊标识，有的则执行破坏系统的操作，如格式化磁盘、删除磁盘文件、加密数据文件、封锁键盘及使系统死锁等。

4.隐蔽性

计算机病毒具有很强的隐蔽性，有的可以通过病毒软件检查出来，有的根本就查不出来，有的时隐时现、变化无常，这类病毒处理起来通常很困难。

5.破坏性

计算机中毒后，可能会导致正常的程序无法运行，把计算机内的文件删除或受到不同程度的损坏。

6.可触发性

计算机病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性称为可触发性。病毒的触发机制就是用来控制感染和破坏动作的频率的。病毒具有预定的触发条件，这些条件可能是时间、日期、文件类型或某些特定数据等。病毒运行时，触发机制检查预定条件是否满足，如果满足则启动感染或破坏动作，使病毒进行感染或攻击；如果不满足，则使病毒继续潜伏。

（二）计算机病毒的分类

1.按病毒存在的媒体分类

根据病毒存在的媒体分类，病毒可以划分为网络病毒、文件病毒和引导型病毒。

网络病毒通过计算机网络传播感染网络中的可执行文件。

文件病毒感染计算机中的文件。

引导型病毒感染启动扇区和硬盘的系统引导扇区。

此外，还有这三种情况的混合型，例如：多型病毒以文件病毒和引导型病毒的混合型病毒感染文件也感染引导扇区，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。

2.按病毒传染的方法分类

根据病毒传染的方法，病毒可分为驻留型病毒和非驻留型病毒。

驻留型病毒感染计算机后，把自身的内存驻留部分放在内存中，这一部分程序挂接系统调用并合并到操作系统中去，它处于激活状态，一直到计算机关机或重新启动。

非驻留型病毒在得到机会激活时并不感染计算机内存。有一些病毒在内存中虽然留有小部分，但是并不通过这一部分进行传染，这类病毒也被划分为非驻留型病毒。

3.按病毒破坏的能力分类

根据病毒破坏的能力分类，病毒可分为无害型病毒、无危险型病毒、危险型病毒和非常危险型病毒。

无害型病毒是指除了传染时减少磁盘的可用空间外，对系统没有其他影响的病毒。

无危险型病毒是指这类病毒仅仅减少内存、显示图像、发出声音及同类音响。

危险型病毒会在计算机系统操作过程中造成严重的错误。

非常危险型病毒通常会删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。这类病毒对系统造成的危害并不是本身的算法中存在危险的调用，而是当它们传染时会引起无法预料的和灾难性的破坏，由它们引起的其他程序产生的错误也会破坏文件和扇区。

4.按病毒的算法分类

按病毒的算法分类，病毒可分为伴随型病毒、蠕虫型病毒和寄生型病毒。

（1）伴随型病毒。这一类病毒并不改变文件本身，它们根据算法产生.exe文件的伴随体，具有同样的名字和不同的扩展名（.com）。病毒把自身写入.com文件并不改变.exe文件，当DOS加载文件时，伴随体优先被执行到，再由伴随体加载执行原来的.exe文件。

（2）蠕虫型病毒。这类病毒通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其他机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其他资源。

（3）寄生型病毒。除了伴随型病毒和蠕虫型病毒，其他病毒均可称为寄生型病毒，它们依附在系统的引导扇区或文件中，通过系统的功能进行传播。

5.按病毒的链接方式分类

按病毒的链接方式分类，病毒可分为操作系统型病毒、外壳型病毒、嵌入型病毒和源码型病毒。

（1）操作系统型病毒。此类病毒采用的方式是代替系统进行运行，很容易产生很大的破坏力，导致系统崩溃。

（2）外壳型病毒。外壳型病毒有易于编写、容易被发现的特点。其存在的形式是将其自身包围在主程序的四周，但并不修改原来的程序。

（3）嵌入型病毒。在计算机现有的程序当中嵌入此类病毒，可以将计算机病毒的主体程序与其攻击的对象通过插入的方式进行链接。

（4）源码型病毒。源码型病毒主要是攻击高级语言编写的计算机程序，它主要是在高级语言所编写的程序编译之前就将病毒插入到程序当中，通过有效的编译而将其称为编译中的合法的一部分。

（三）计算机病毒的防治措施

（1）建立良好的安全习惯。例如：对一些来历不明的邮件及附件不要打开，并尽快将其删除；不要进入一些不太了解的网站，尤其是那些名称诱人的网页；不要执行从互联网上下载后未经杀毒处理的软件等。

（2）关闭或删除系统中不需要的服务。默认情况下，许多操作系统会安装一些辅助服务，如FTP客户端、telnet和web服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。

（3）经常升级操作系统的安全补丁。据统计，有80%的网络病毒是通过系统安全漏洞进行传播的，像红色代码、尼姆达、冲击波等病毒，所以应该定期到微软网站去下载最新的安全补丁，以防患于未然。

（4）使用复杂的密码。有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此，使用复杂的密码将会大大提高计算机的安全系数。

（5）迅速隔离受感染的计算机。当计算机发现病毒或异常时应立即中断与它连接的网络，然后尽快采取有效的查杀病毒措施，以防止计算机受到更多的感染，或者成为传播源感染其他计算机。

（6）安装专业的防病毒软件进行全面监控。在病毒日益增多的今天，使用杀毒软件进行防杀病毒是简单有效并且越来越经济的选择。用户在安装了防病毒软件后，应该经常升级至最新版本，并定期查杀计算机病毒。将杀毒软件的各种防病毒监控始终打开（如邮件监控和网页监控等），可以很好地保障计算机的安全。

（7）及时安装防火墙。安装较新版本的个人防火墙，并随系统启动一同加载，即可防止多数黑客进入计算机偷窥、窃密或放置黑客程序。

尽管计算机病毒种类繁多、发展和传播迅速、感染形式多样、危害极大，但是还是可以预防和杀灭的。只要增强安全意识，采取有效的防治措施，随时注意工作中计算机的运行情况，发现异常及时处理，就可以大大减少计算机病毒的危害。