第一篇：CAPICOM电子商务安全应用论文
摘 要 电子商务的出现变革了贸易方式，在带来便利的同时也带了很多安全隐患，如何构建电子商务的安全性成为商务信息化的研究热点。分析了电子商务交易模型的安全需求，探讨了密码中间件CApICOM在安全交易模型中的应用，讨论CApICOM的数据结构和COM对象，指出使用标准接口的密码中间件能使电子商务应用零开销地本地化CSp。关键字 密码中间件;电子商务;交易模型;信息安全;CApICOM 1 前言 随着Internet的不断普及，人们的消费观念和商务模式也发生了巨大了变化，人们更希望通过网络的便利来进行网络采购和交易，从而导致了（Electronic Commerce）电子商务的出现，并在世界范围内掀起了一股热潮。但是，美国密执安大学一个调查机构通过对23000名因特网用户的调查显示[1]，超过60%的人由于担心电子商务的安全问题而不愿进行网上购物。因此，研究和分析电子商务的信息安全问题，特别是针对我国国情，充分借鉴国外的先进技术和经验，开发和研究出具有独立知识产权的电子商务信息安全产品，成为目前我国电子商务的热点。2 电子商务安全威胁 电子商务中的安全隐患可分为如下几类[2]，1.信息截获和窃取。如果没有采用加密措施或加密强度不够，攻击者可能通过因特网、电话网、电磁波辐射域内安装截收装置或在网关和路由器上截获数据等方式，窃取机密信息，或通过对信息流量和流向、通信频度和长度等参数的分析，导出有用信息，如银行帐号、密码等；2.信息篡改。如果攻击者熟悉了网络信息格式，可对网络传输的信息进行中途修改，并发往目的地，从而破坏信息完整性。如篡改信息流的次序，更改信息内容；3.信息假冒。当攻击者掌握了网络信息数据规律或解密了商务信息以后，可以假冒合法用户来欺骗其他用户，例如伪造电子邮件，虚开网站和商店，发送电子邮件，收定货单；伪造大量用户穷尽商家资源，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应等；4.交易抵赖。交易抵赖包括多个方面，如发信者事后否认曾经发送过某条信息或内容，收信者事后否认曾经收到过某条消息或内容，购买者做了定货单不承认，商家卖出的商品因价格差而不承认原有的交易。3 电子商务安全需求 电子商务面临的威胁直接导致了电子商务对于信息安全的需求，也就是实现一个安全电子商务系统务必具备的信息安全品质，主要包括机密性、完整性、认证性和不可抵赖性。1.秘密性（Confidentiality），电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。传统纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的如Internet，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。2.完整性（Data Integrity），电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息丢失、信息重复或信息传送的次序差异也会导致混乱。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。3.认证性（Verification of Identity），网络电子商务交易系统的特殊性，企业或个人的交易通常都是在虚拟的网络环境中进行，所以对个人或企业实体进行身份性确认成了电子商务中得很重要的一环。对人或实体的身份进行鉴别，为身份的真实性提供保证，即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某人或实体声称具有某个特定的身份时，鉴别服务将提供一种方法来验证其声明的正确性。4.不可抵赖性（Non-repudiation of Disputed Charges）。电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方的确是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统纸面贸易中，双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也就是人们常说的“白纸黑字”。在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识[3]。4 密码中间件和CApICOM 中间件是独立的系统软件或服务程序,它屏蔽了操作系统和网络协议的差异,并提供相应的平台以满足不同领域的需要。它成功地解决了网络计算和分布计算环境下资源的通信，共享，管理，控制等问题[3]。其技术本身很复杂，技术标准多，产品多。在Windows技术体系下，应用最为广泛的是DEC/RpC标准下的COM/DCOM，和DNA标准下的COM。在诸多行业应用中，信息安全特性已成为软件的一个重要品质，密码服务也成为一个重要的构件支撑，基于中间件技术来构造密码中间件成为当前的主流技术路线，涌现出相当成功的产品，如微软的CApICOM，SUN的Crypto Java。Windows操作系统采用分层的加密体系模型CSp密码服务提供者（Cryptographic Service provider）架设系统安全。CSp提供了齐全的具有密码功能的Win32ApI函数供程序员调用，称为CryptoApI。然而，调用CryptApI完成密码操作仍然相当复杂。[5]使用COM，开发人员可以把注意力集中在解决用户所需要的问题上．而不用关心网络协议等底层结构的细节。[4]微软提供了CApICOM组件，它以COM对象的形式封装了上述的复杂操作，使用它获取密码服务更方便。因为在不同的开发环境中，往往先要对ApI函数进行某种封装或转换，这增加了使用难度，CApICOM以中间件的形式提供了一个标准的密码应用层接口，是介于应用与CSp之间的中间层，使得应用与CSp具有逻辑独立性。在工作时，CApICOM按一定顺序列检索CSp。首先检查缺省CSp是否支持用户指定的算法及密钥长度，如果失败，则搜索系统提供的CSp，并判断其是否支持指定的算法和密钥长度，直至遍历完所有CSp。两者关系如图1所示。5 安全电子商务交易模型 安全电子商务交易模型从组成来讲一般有以下几个组件[6]：（1）电子商店作为电子经济中买卖发生的场所，它从传统的市场渠道中取得价值。（2）信息中介是内容、信息、知识及经验的代理商，能够成为某一特定电子商务领域增加价值。（3）信用中介是在买卖双方建立信用的机构。（4）电子商务实施者为其他电子商店或信息中介提供组件、功能及相关服务，使得电子商务得以进行或者进行得更好。（5）基础设施供应商作为由跨越不同领域机构，如NII（国家信息化设施），pKI（公钥基础设施）等，它们来提供网络应用平台和安全交易全环境。从电子商务系统的架构上来分类[6]，主要有B2B和B2C。B2B模式下参与的双方都是企业，特点是定单数量大，平均在75000美元，需要商业洽谈，按照固定合同条款和商业规则进行交易。信用开始是依托信用卡，尔后需要更复杂的银行信用管理系统，基础设施包括局域网、定制的目录和流程规则；B2C模式下是顾客直接与商家接触，特点是定单数量小，平均在75美元，主要是按价目表或者固定价格，属于冲动购买或者偶尔购买，所以广告的作用很大。信用依靠消费者信用卡，基础设施主要是互联网的链接。仅就交易工作流而言，它有很多业务需求如：客户管理，商品浏览，身份认证，订单管理，配送和转账等，本文当中，重点讨论在密码服务和安全性上的需求，通过实施安全性措施，确保在交易的生命周期当中，在交易信息的运动过程中，敏感信息不会丧失信息安全性。6 CApICOM的应用 在交易流程中，证书的操作主要有：证书库的打开，证书检索，证书验证，证书加密数据和数字签名CryptoApI只提供了基本的密码函数，对于数字证书很少涉及，而CApICOM组件对这些高层应用服务提供了方便的接口。图4 十六进制形式密文和解密结果 WINDOWS平台中，证书存于证书库CertStore的结构中，使用时必检索证书库，取得证书句柄，获得证书的基本信息如：有效期，公钥等，同时，还要对证书的有效性进行验证。私钥存于密钥容器中（Key Container）,有对应私钥的证书，还存有私钥容器的句柄。[4]默认的证书库有4个：Trust,My,CA,Root，其中My存放了个人的证书，其中还有私钥容器句柄，Trust存放了通信群体中其它人的证书，仅公钥。证书的管理必须用到CApICOM的几个接口：IStoreptr指向证书库，ICertificates2ptr指向证书集合，ICertificateptr指向证书，三个接口形成操作证书的三级索引。图5 验证过程 6.2 证书参与加密运算：保证秘密性 证书加密实际是用接收方证书的公钥加密，过程有两步：用公钥加密对称密钥，用对称密钥加密数据如支付的信息：客户帐号和pIN码等。CApICOM定义的对象IenvelopedData ptr对两步进行了包装，对于编程人员是透明的。⑴ 定义数据信封 IEnvelopedDataptr pEncryptIEnvelopedData(__uuidof(Enveloped Data));IEnvelopedDataptr pDecryptIEnvelopedData(__uuidof(EnvelopedData));⑵ 设定算法参数和对称密钥长度 CApICOM对密码算法的标识标准和密钥长度进行了定义，以常量形式给出。这里以RC4为例。pEncryptIEnvelopedData->Algorithm->Name =CApICOM_ENCRYpTION_ALGORITHM_RC4;pEncryptIEnvelopedData->Algorithm->KeyLength =CApICOM_ENCRYpTION_KEY_LENGTH_40_BITS;⑶ 加密 bstrtemp=SysAllocStringByteLen(“Hello Capicom!”,14);_bstr_ta.Assign(bstrtemp);pEncryptIEnvelopedData->Content=_bstr_ta;bstrciphertext =pEncryptIEnvelopedData->Encrypt(CApICOM_ENCODE_BINARY);⑷ 取出密文 bstrtemp是BSTR指针，指向双字节的字符串，即以两个Bytes来存一个ASCII字符，_bstr_t类型对双字节字符串进行了对象装箱，字节数是字符数据量的两倍。加密“Hello Capicom!”后，以字符形式看密文则呈乱码形式。二进制形式则如图2所示。pCHAR pCiphertext=NULL;pCiphertext =(pCHAR)bstrciphertext;printf(“密文字符流：n”);pVOID pchartemp=malloc(24);for(int k=0;k
第二篇：动态电子商务应用论文
文 章来
源莲山 课
件 w w w.5Y
k J.Com 7 摘 要：Internet促进了电子商务飞速发展，B2B模式的企业级电子商务要求动态电子商务的应用。动态电子商务着重程序对程序的交互作用，实现应用程序之间的集成。动态电子商务实现的关键是Web Service，它不仅已作为动态电子商务的基础，也是“电子商务随需应变”技术发展的基础。关键词：动态电子商务； Web Service； 多层结构应用程序； 应用程序集成 1 引言 电子商务（E-business）是在Internet开放的网络环境下，以在线的形式实现用户、合作伙伴、供应商以及员工进行交互的商业运营模式。今天，Internet为电子商务带来了飞速的增长，但现在的电子商务应用遇到了局限。目前，大多数商业网站都像是提供数据和逻辑的孤岛。它们不同其他的商业网站协同工作，当前在站点之间建立有用的交互是很痛苦的。通过用Web Services，使不仅两个站点，而是许多站点能够更容易地相互间协同工作[1]。2 动态电子商务 电子商务主要有两种形式：B2C和 B2B。B2B模式是企业级电子商务，电子商务更核心的是市场潜力比零售业大一个量级的企业级电子商务过程。企业级电子商务是一个将买方、卖方以及服务于他们的中间商（如金融机构）之间的信息交换和交易行为集成到一起的电子运作方式。而这种技术的使用会从根本上改变企业的计划、生产、销售和运行模式，甚至改变整个产业社会的基本生存方式。动态电子商务是着重于 B2B 的综合性和基础设施组成上的下一代电子商务，通过调节因特网标准和通用基础设施为内部和外部企业计算创造最佳效益。动态电子商务实现的关键是Web Service。Web Service就是原来的组件技术思想在Internet时代中的进一步发展，它集成了CORBA、COM/DCOM等各种组件模型技术，是原有各种组件技术的继承和发展。它不仅已作为动态电子商务的基础，也是“电子商务随需应变”技术发展的基础。3 Web Service框架 Web service是描述一些操作的接口，利用标准化的 XML 和SOAp消息传递机制可以通过网络访问这些操作[2]，如图1所示 Web Service与服务请求者通过SOAp交互。XML(可扩展标记语言)具有跨平台的特性，它作为数据交换和网络计算的基础，将无可非议的成为网络的通用语言，尤其是在电子商务的应用上的出色表现。图1 Web Service与服务请求者交互 Web Service 体系结构基于XML，SOAp，WSDL和 UDDI，图 2 展示了一个概念性 Web 服务协议，上面的几层建立在下面几层提供的功能之上[3,4]。Web service体系结构基于三种角色（服务提供者、服务代理者和服务请求者）之间的交互，如图3。交互涉及发布、查找和绑定操作。图2 Web service 层次结构 图3 三种角色之间的交互 SOAp是一种基于XML的不依赖传输协议的表示层协议，用来在应用程序之间方便地以对象的形式交换数据。在SOAp的下层，可以是HTTp，也可以是SMTp/pOp3，还可以是为一些应用而专门设计的特殊的通信协议。服务提供者通过在服务代理者那里注册来配置和发布服务，服务请求者通过查找服务代理者那里的被发布服务的登记记录来找到服务，服务请求者绑定服务提供者并使用可用的服务。在Web Service的世界里，三个操作都包含三个不同的技术。发布服务使用UDDI(统一描述、发现和集成)，查找服务使用 UDDI 和 WSDL(Web Service描述语言)的组合，绑定服务使用WSDL 和SOAp。在三个操作中，绑定操作是最重要的，它包含了服务的实际使用，这也是容易发生互操作性问题的地方。正是由于服务提供者和服务请求者对 SOAp 规范的全力支持才解决了这些问题，并实现了无缝互操作性。电子商务驱动了Web Service的发展，Web Service是高度可集成的、基于Web 的对象，能够将你现有的企业应用使用SOAp包装、WSDL描述，从而发布企业的商务功能或商务数据。Web service 使应用程序之间可以通过Web交互，而不管应用程序在不同的操作系统或用不同的语言编写。通过Web service，应用程序间可以共享数据，在这种环境下，Web Service 成为应用程序集成的平台。4 多层分布式应用程序 企业级的商用应用程序开发中，企业里经常都要把用不同语言写成的在不同平台上运行的各种程序集成起来，而这种集成将花费很大的开发的力量。你的应用程序经常都需要从运行在古老的IBM主机上的程序中获取数据；或者再把数据发送到主机或UNIX应用程序中去。即使是在同一个平台上，不同的软件厂商生产的各种软件也常常需要集成起来。通过Web service，应用程序可以用标准的方法把功能和数据暴露出来，供其它的应用程序使用。用Web service集成应用程序，可以使你公司内部以及公司之间的商务处理更加自动化。与企业级应用程序相关联的概念基于一个常规分布式应用程序结构；Microsoft 最近几年为降低企业范围内应用程序的复杂性而开发了这个结构。这一模型被称为“多层结构”(Multi-tier)，原因是它可以非常容易地按照逻辑分组来加以理解。Microsoft.Net平台提供了对多层结构模型的支持，用Visual Studio 可创建基于Web Service 的多层结构的应用程序。使用.NET平台创建分布式应用程序的关键原则是将应用程序逻辑地分为三个层： 图4表示了三层分布式应用程序体系结构[5]。图4 三层分布式应用程序体系 表示层为应用程序提供大量可视的，灵活的以及交互式的用户界面。商业逻辑层（也称为中间层）负责接收来自表示层的请求，并根据它包含的业务逻辑给表示层返回一个结果。在表示层所有发生的所有事情通常都会调用商业逻辑层。而逻辑层则需要调用数据层，获取其中能响应表示层请求的信息。数据层负责存储应用程序的数据，并在接收到请求时，把这些数据发送给逻辑层[5，6]。中间层采用Web service，用户界面通过SOAp与Web service 通信。Web Service的主要目标是跨平台的可互操作性，使用Web Service给我们带来很大的好处：第一，应用程序的代码的可重用性比以前更高，当你完成一个Web Service之后，任何已授权的且连接的设备或别的软件可使用它。第二，增强企业之间应用程序的交互能力，提高数据的集成。最新数据源的集成很简单，即使它距离你很远，你也可以很简单地把它拿来同别的数据一起，在你的决策系统和分析工具中使用。第三，相对于现在的软件，Web Service可使你开发出能完成更加复杂功能的软件。你不仅可以使用一个节点的处理能力，你也可以使用与之相连的别的结点的及节点之间的处理能力[7]。Web Service的使用给软件业带来的革命好比是制造业中从手工转向流水线。安全，自由的数据流可提高效率，使你有机会接触或服务于更多的客户，产生新的合作关系。这些商业需求促使了Web Service的发展。5 下一代Internet服务模式 “电子商务随需应变”(e-business on demand)。就是企业用户在需要企业管理程序、商业数据库资料时，不必再独立投资建立内部的全套软件和程序，只需到应用服务提供者提供的网上企业电子商务应用软件库（Web Service）里去调一个出来用。这样做的好处很明显，首先，不用再付软件和程序本身的高额费用，而只需付软件使用费，成本大大降低，使用更加简便和经济。其次，企业的电子商务软件在使用过程中，可以更直接地得到专家的协助和技术支持，效率可以大大提高。Web Service的核心就是集成，他们把计算机的处理能力从台式机传到数据中心，通过无处不在的Internet作为媒体，把应用程序连接起来创造更大的价值。Web Service实现了应用的集成，为客户调用远端的对象提供了一整套的Internet规范，而使远程调用轻松方便。基于Web Service 的使Internet更能发挥作用的框架，将是下一代Internet 服务模式。6 小结 本文介绍了Web Service的动态电子商务。电子商务可以利用Web Service 创建多层分布式结构，这种分布式构建实现了跨平台的可互操作性，提高了软件模块的可重用性，减少应用程序的开发时间。Web Service 集成各种应用，为用户提供统一的界面，使得新型电子商务应用和动态服务集成能迅速发展，推动下一代Internet服务模式的开发应用。参考文献： 1 Juval Lowy．Web Services Hurdle the Firewall[EB/OL]．.Net magazine，Nov.2001 2 尚俊杰 ．ASp.NET程序设计[M]．北京：清华大学出版社、北京交通大学出版社，2004 3 Microsoft Corporation．Global XML Web Services Architecture[EB/OL]． http://www.xiexiebang.com/team/XMLwebservices/gxa_overview.aspx，October 2001 4 吴增德, 刘岩, 马范援．基于服务的电子商务应用集成框架研究[J]．上海交通大学学报，2002，36(9)：1341-1345 5 Stephen Chu, Branko Cesnik．A three-tier clinical information systems design model[J]．International Journal of Medical Informatics，2000，57(3)：91-107 6 Cristian Darie, Karli Watson．ASp.NET电子商务入门经典[M]．北京：清华大学出版社，2002 7 Charles Fitzgerald．一种了不起的创新：Web Services[EB/OL] ． http://www.xiexiebang.com/china/XmlFile.aspx?ID=100，April 2002
文 章来
源莲山 课
件 w w w.5Y
k J.Com 7
第三篇：论文-电子商务安全技术的发展和应用
交通信息工程毕业论文
题 目：电子商务安全技术的发展和应用
电子商务安全技术的发展和应用
摘要：文章认为随着Internet的热潮席卷全球，电子商务日益成为国民经济的亮点。然而，随着Internet逐渐发展成为电子商务的最佳载体，互联网具有充分开放，不设防护的特点使加强电子商务的安全问题日益紧迫，为确保信息的真实性、可靠性和保密性，才能够打消人们的顾虑，放心的参与电子商务。因此，必须建立安全电子商务的技术机制，即防火墙技术、加解密技术等。
关键字：安全技术 防火墙 数据加密
引言：在电子商务的交易中，经济信息、资金都要通过网络传输，交易双方的身份也需要认证，因此，电子商务的安全性主要是网络平台的安全和交易信息的安全。而网络平台的安全是指网络操作系统对抗网络攻击、病毒，使网络系统连续稳定的运行。防火墙技术、数据加解密技术、数字签名、身份认证和安全电子商务的国际规范等。在这里我想重点谈谈防火墙技术和数据加密技术。
一、防火墙技术。
防火墙是一种用来加强网络之间访问控制的特殊网络互联设备，如路由器、网关等。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略进行检查，来决定网络之间的通信是否被允许，其中被保护的网络称为内部网络，另一方则称为外部网络或公用网络，它能有效地控制内部网络与外部网络之间的访问及数据传送，从而达到保护内部网络的信息不受外部非授权用户的访问和过滤不良信息的目的。所有来自Internet的传输信息或你发电子商务资料库的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。防火墙是网络安全策略的有机组成部分,它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具有以下五大基本功能:(1)过滤进、出网络的数据;(2)管理进、出网络的访问行为;(3)封堵某些禁止行为;(4)记录通过防火墙的信息内容和活动;(5)对网络攻击进行检测和告警。
国际标准化组织（ISO）的计算机专业委员会（ISO／IEC JTCI／SC21）根据网络开放系统互连7层模型（OSI／RM）制定了一个网络安全体系结构，用来解决网络系统中的信息安全问题，如表1所示
防火墙的基本准则：
未被允许的就是禁止的。基于该准则，防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。这是一种非常实用的方法，可以造成一种相当安全的环境，因为只有经过仔细挑选的服务才被允许使用。其弊端是，安全性高于用户使用的方便性，用户所能使用的范围大大受到限制。
未被禁止的就是允许的。基于该准则，防火墙应转发所有信息流，然后逐项屏蔽可能有害的服务。这种方法构成了一种更为灵活的应用环境，可为用户提供更多的服务。其弊病是，在日益增多的网络服务面前，网管人员将疲于奔命，特别是受保护的网络范围增大时，很难提供可靠的安全防护。
防火墙是实现安全访问控制的，因此按照OSI／RM，防火墙可以在OSI／RM7层中的5层设置，如图1所示：
目前，从概念上来讲，防火墙技术主要分为9种：（1）包过滤（Packet filter）防火墙技术，又称筛选路由器（Screening router）或网络层防火墙（Network level firewall），它是对进出内部网络的所有信息进行分析，并按照一定的安全策略——信息过滤规则对进出内部网络的信息进行限制，允许授权信息通过，拒绝非授权信息通过。信息过滤规则是以其所收到的数据包头信息为基础，比如IP数据包源地址、IP数据包目的地址、封装协议类型（TCP、UDP、ICMP等）、TCP／IP源端口号、TCP／IP目的端口号、ICMP报文类型等，当一个数据包满足过滤规则，则允许此数据包通过，否则拒绝此包通过，相当于此数据包所要到达的网络物理上被断开，起到了保护内部网络的作用。采用这种技术的防火墙优点在于速度快、实现方便，但安全性能差，且由于不同操作系统环境下TCP和UDP端口号所代表的应用服务协议类型有所不同，故兼容性差。
（2）应用层网关级（Application level gatewav）防火墙技术，又称代理（Proxy），它由两部分组成：代理服务器和筛选路由器。这种防火墙技术是目前最通用的一种，它是把筛选路由器技术和软件代理技术结合在一起，由筛选路由器负责网络的互联，进行严格的数据选择，应用代理则提供应用层服务的控制，如图3所示，代理服务器起到了外部网络向内部网络申请服务时中间转接作用。内部网络只接受代理服务器提出的服务请求，拒绝外部网络其它节点的直接请求，代理服务器其实是外部网络和内部网络交互信息的交换点，当外部网络向内部网络的某个节叔申请某种服务时，比如FTP、Telnet、WWW、Gopher、WAIS等，先由代理服务器接受，然后代理服务器根据其服务类型、服务内容、被服务的对象及其它因素，例如服务申请者的域名范围、时间等，决定是否接受此项服务，如果接受，就由代理服务器内部网络转发这项请求，并把结果反馈结申请者，否则就拒绝。根据其处理协议的功能可分为FTP网关型防火墙、Telnet网关型防火墙、WWW网关型防火墙、WAIS网关型防火墙等，它的优点在于既能进行安全控制又可以加速访问，安全性好，但是寥实现比较困难，对于每一种服务协议必须为其设计一个代理软件模块来进行安全控制。
（3）双宿主机（Dual-homed host）技术防火墙技术，又称堡垒主机（Bastion host），它的结构如图4所示，采用主机取代路由器执行安全控制功能，故类似于包过滤防火墙。双宿主机即一台配有多个网络接口的主机，它可以用来在内部网络和外部网络之间进行寻径，如果在一台双宿主机中寻径功能被禁止了，则这个主机可以隔离与它相连的内部网络与外部网络之间的通信，而与它相连的内部网络和外部网络仍可以执行由它所提供的网络应用，如果这个应用允许的话，它们就可以共享数据，这样就保证内部网络和外部网络的某些节点之间可以通过双宿主机上的共享数据传递信息，但内部网络与外部网络之间却不能传递信息，从而达到保护内部网络的作用。
(4)网络地址转换技术。
防火墙利用NAT技术能透明地对所有内部地址做转换,使得外部网络无法了解内部网络的内部结构,同时允许内部网络使用自己编的ＩＰ源地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。
(5)Internet网关技术。
由于是直接串联在网络之中,防火墙必须支持用户在Internet互联的所有服务,同时还要防止与Internet服务有关的安全漏洞,故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。
典型的Internet／Intranet防火墙配置如图5所示。
在域名服务方面,新一代防火墙采用两种独立的域名服务器:一种是内部DNS服务器,主要处理内部网络和DNS信息;另一种是外部DNS服务器,专门用于处理机构内部向Internet提供的部分DNS信息。在匿名FTP方面,服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中,只支持静态的网页,而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中,对外部访问,防火墙只提供可由内部用户配置的基本的文本信息,而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理,网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。
(6)安全服务器网络(SSN)。
为了适应越来越多的用户向Internet上提供服务时对服务器的需要,新一代防火墙采用分别保护的策略对用户上网的对外服务器实施保护,它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网络的一部分,又与内部网关完全隔离,这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理,也可设置成通过FTP、Telnet等方式从内部网上管理。SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多,因为SSN与外部网之间有防火墙保护,SSN与内部网之间也有防火墙的保护,而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之,一旦SSN受破坏,内部网络仍会处于防火墙的保护之下,而一旦DMZ受到破坏,内部网络便暴露于攻击之下。
(7)用户鉴别与加密。
为了降低防火墙产品在Ielnet、FTP等服务和远程管理上的安全风险,鉴别功能必不可少。新一代防火墙采用一次性使用的口令系统来作为用户的鉴别手段,并实现了对邮件的加密。
(8)用户定制服务。
为了满足特定用户的特定需求,新一代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用TCP、出站UDP、FTP、SMTP等,如果某一用户需要建立一个数据库的代理,便可以利用这些支持,方便设置。
(9)审计和告警。
新一代防火墙产品采用的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站代理、FTP代理、出站代理、邮件服务器、域名服务器等。此外,防火墙还在网络诊断、数据备份保全等方面具有特色。
根据以上9种技术，在次我根据包过滤（Packet filter）防火墙技术和应用层网关级（Application level gatewav）防火墙技术再重点介绍其两主要防火墙的构造。
其一是包过滤型防火墙。
它一般由路由器实现，故也被称为包过滤路由器。如图6所示：
它在网络层对进入和出去内部网络的所有信息进行分析，一般检查数据包的IP源地址、IP目标地址、TCP端口号、ICMP消息类型，并按照信息过滤规则进行筛选，若符合规则，则允许该数据包通过防火墙进入内部网，否则进行报警或通知管理员，并且丢弃该包。这样一来，路由器能根据特定的刿则允许或拒绝流动的数据，如：Telnet服务器在TCP的23号端口监听远程连接，若管理员想阻塞所有进入的Telnet连接，过滤规则只需设为丢弃所有的TCP端口号为23的数据包。采用这种技术的防火墙速度快，实现方便，但由于它是通过IP地址来判断数据包是否允许通过，没有基于用户的认证，而IP地址可以伪造成可信任的外部主机地址，另外它不能提供日志，这样一来就无法发现黑客的攻击纪录。
其二是应用级防火墙。
大多数的应用级防火墙产品使用的是应用代理机制，内置了代理应用程序，可用代理服务器作内部网和Internet之间的的转换。若外部网的用户要访问内部网，它只能到达代理服务器，若符合条件，代理服务器会到内部网取出所需的信息，转发出去。同样道理，内部网要访问Internet,也要通过代理服务器的转接，这样能监控内部用户访问Internet.这类防火墙能详细记录所有的访问纪录，但它不允许内部用户直接访问外部，会使速度变慢。且需要对每一个特定的Internet服务安装相应的代理服务器软件，用户无法使用未被服务器支持的服务。
如图7所示：
防火墙技术从其功能上来分，又可分为FTP防火墙、Telnet防火墙、Email防火墙、病毒防火墙等各种专用防火墙。通常几种防火墙技术被一起使用来弥补各自的缺陷，增加系统的安全性能。
防火墙虽然能对外部网络的功击实施有效的防护，但对来自内部网络的功击却无能为力。网络安全单靠防火墙是不够的，还需考虑其它技术和非技术的因素，如信息加密技术、制订法规、提高网络管理使用人员的安全意识等。就防火墙本身来看，包过滤技术和代理访问模式等都有一定的局限性，因此人们正在寻找更有效的防火墙，如加密路由器、“身份证”、安全内核等。但实践证明，防火墙仍然是网络安全中最成熟的一种技术。
二、数据加密技术 在电子商务中，信息加密技术是其它安全技术的基础。加密的主要目的是防止信息的非授权泄露。加密可用于传输信息和存储信息。从谱分析的角度看，加密吧声音变成噪声，把图像变成雪花，把计算机数据变成一堆无规律的、杂乱无章的字符。攻击者即使得到经过加密的信息即密文，也无法辨认原文。因此，加密可以有效的对抗截收、非法访问数据库窃取信息等威胁。
加密技术是一种主动的信息安全防范措施，其原理是利用一定的加密算法，将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。明文变为密文的过程称为加密，由密文还原为明文的过程称为解密，加密和解密的规则称为密码算法。在加密和解密的过程中，由加密者和解密者使用的加解密可变参数叫做密钥。据加密的方法很多，常用的有两大类。一种是对称加密。一种是非对称密钥加密。
对称加密也叫秘密密钥加密。发送方用密钥加密明文，传送给接收方，接收方用同一密钥解密。其特点是加密和解密使用的是同一个密钥。
如图6所示
：
如果一个加密系统的加密密钥和解密密钥相同，或者虽然不相同，但是由其中任意一个可以很容易的推导出另一个，所采用的就是对称密码算法。对称密码算法的密钥必须妥善保管，因为任何人拥有了它就可以解开加密信息。对称密码算法的优点是计算开销小，加密速度快，是目前用于信息加密的主要算法。但是，对称加密技术存在着通信的贸易方之间确保密钥安全交换的问题。此外，当某一贸易方有N个贸易关系，那么他就要拥有并维护N个专用密钥（即每把密钥对应一个贸易方）。对称加密方式存在的另一个问题是无法鉴别贸易发起方或贸易最终方。因为贸易双方共享同一把专用密钥，贸易双方的任何信息都是通过这把密钥加密后传送给对方的，也不能保证信息传送的完整性
非对称密钥加密也叫公开密钥加密。如图7所示：
公钥加密法是在对数据加解密时，使用不同的密钥，在通信双方各具有两把密钥，一把公钥和一把密钥。公钥对外界公开，私钥自己保管，用公钥加密的信息，只能用对应的私钥解密，同样地，用私钥解密的数据只能用对应的公钥解密。电子商务的安全加密系统，倾向于组合应用对称密码算法和非对称密码算法。对称密码算法用于信息加密，非对称密码算法用于密码分发、数字签名及身份鉴别等。对文件加密传输的实际过程包括四步：
第一步，文件发送方产生一个对称密钥，并将此密钥用文件接收方的公钥加密后，通过网络传送给接收方。
第二步，文件发送方用对称密钥将需要传输的文件加密后，再通过网络传送给接收方。第三步，接收方用自己的私钥将收到的经过加密的对称密钥进行解密，得到发送方的对称密钥。
第四步，接收方用得到的对称密钥讲解收到的经过加密的文件进行解密，从而得到文件的原文。
这个过程包含了两个加密解密过程：密钥的加解密和文件本身的加解密。在密钥的加密过程中，由于发送方甲用乙的公钥加密了自己的私钥，如果文件被窃取，由于只有乙保管自己的私钥，黑客无法解密。这就保证了信息的机密性。另外，发送方甲用自己的私钥加密信息，因为信息是用甲的私钥加密，只有甲保管它，可以认定信息是甲发出的，而且没有甲的私钥不能修改数据。可以保证信息的不可抵赖性。
公开密钥加密典型的代表是RSA算法，它是由Rivest、Shamir、Adleman三人于1977年提出的一个公钥加密算法。但是RSA的加密解密要两次，处理和计算量都比较大，速度慢，所以只适合于少量数据的加密。因此，在当前的加密应用中，经常使用对称密钥来对文本加密和解密，用非对称RSA加密体系对私钥加密和解密。发送方把密文和加密后的私钥一起发送给接收方。使用这种联合加密法，不仅可以确保数据的保密性，而且还可以实现一种名为数字签名的认证机制。发送者私钥加密的数据可以提供对发送者身份的认证，接收者私钥加密的数据可以提供对接收者身份的认证。
结论：
防火墙技术和数据加密是网络安全的手段，是用来拒绝未经授权的用户访问，阻止未经授权的用户存取敏感数据，同时允许合法用户不受妨碍地访问网络资源，如果使用得当，可以在很大程度上提高网络安全性能，但是并不能百分之百解决网络上的信息安全问题，安防病毒的软件并定期执行检测，使用数字签名技术和数字证书等等，都是加强电子商务安全的重要技术措施。当然，任何一个安全产品或技术都不会提供永远和绝对的安全，因为网络在变化，应用在变化，入侵和破坏的手段也在变化，只有技术的不断进步才是真正的出路。
参考文献： 谢琳.防火墙策略与VPN配置，2007，16(4)：110－114 2 凌捷.计算机安全技术及应用，2004（5）：210－235 3 毛薇，李涛等.计算机网络防火墙技术.信息与管理工程版，2007，24（4）：43－45 4 刘沙.数据加密技术的安全策略，2007，16(4)：15－17 5 陈姝，电子商务安全技术.2007，38（13）：20－23 6 王明伟.电子商务安全技术的发展.，2004（6）：97－100 7 王水，余光莉等.计算机与网络，2007（13）：51－52 8 韩松.网络与信息，2007，16(4)：17－19
第四篇：电子商务安全技术论文
加密技术是一种主动的信息安全防范措施，其原理是利用一定的加密算法，将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。明文变为密文的过程称为加密，由密文还原为明文的过程称为解密，加密和解密的规则称为密码算法。在加密和解密的过程中，由加密者和解密者使用的加解密可变参数叫做密钥。
目前，获得广泛应用的两种加密技术是对称密钥加密体制和非对称密钥加密体制。它们的主要区别在于所使用的加密和解密的密码是否相同。
1．对称密钥加密体制
对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。
使用对称加密技术将简化加密的处理，每个参与方都不必彼此研究和交换专用设备的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。
2．非对称密钥加密体制
非对称密钥加密系统，又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。
在非对称加密体系中，密钥被分解为一对。这对密钥中的任何一把都可作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把则作为私用密钥（解密密钥）加以保存。私用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛发布。
该方案实现信息交换的过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密信息进行解密。
认证技术
安全认证的主要作用是进行信息认证。信息认证的目的为：（1）确认信息发送者的身份；2）验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。下面从安全认证技术和安全认证机构两个方面来做介绍。
1．常用的安全认证技
安全认证技术主要有数字摘要、数字信封、数字签名、数字时间戳、数字证书等。
（1）数字摘要
数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码，并在传输信息时将之加入文件一同送给接收方，接收方收到文件后，用相同的方法进行变换运算，若得到的结果与发送来的摘要码相同，则可断定文件未被篡改，反之亦然。
（2）数字信封
数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。在数字信封中，信息发送方采用对称密钥来加密信息，然后将此对称密钥用接收方的公开密钥来加密（这部分称为数字信封）之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。这种技术的安全性相当高。
（3）数字签名
日常生活中，通常用对某一文档进行签名来保证文档的真实有效性，防止其抵赖。在网络环境中，可以用电子数字签名作为模拟。
把Hash函数和公钥算法结合起来，可以在提供数据完整性的同时保证数据的真实性。完整性保证传输的数据没有被修改，而真实性则保证是由确定的合法者产生的Hash，而不是由其他人假冒。而把这两种机制结合起来就可以产生数字签名。
（4）数字时间戳
在书面合同中，文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。而在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务就能提供电子文件发表时间的安全保护。数字时间戳服务（DTS）是网络安全服务项目，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。
（5）数字证书
在交易支付过程中，参与各方必须利用认证中心签发的数字证书来证明各自的身份。所谓数字证书，就是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。
数字证书是用来惟一确认安全电子商务交易双方身份的工具。由于它由证书管理中心做了数字签名，因此任何第三方都无法修改证书的内容。任何信用卡持有人只有申请到相应的数字证书，才能参加安全电子商务的网上交易。数字证书一般有四种类型：客户证书、商家证书、网关证书及CA系统证书。
2．安全认证机构
电子商务授权机构（CA）也称为电子商务认证中心（Certificate Authority）。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是靠交易双方自己能完成的，而需要有一个具有权威性和公正性的第三方来完成。
认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。
安全认证协议
目前电子商务中有两种安全认证协议被广泛使用，即安全套接层SSL（Secure Sockets Layer）协议和安全电子交易SET（Secure Electronic Transaction）协议。
1．安全套接层（SSL）协议
安全套接层协议是由Netscape公司1994年设计开发的安全协议，主要用于提高应用程序之间的数据的安全系数。SSL协议的概念可以被概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCp/Ip的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和企业内联网的安全通信服务。
SSL采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥；在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。
2．安全电子交易（SET）协议
安全电子交易是一个通过开放网络进行安全资金支付的技术标准，由VISA和MasterCard组织共同制定，于1997年联合推出。由于它得到了IBM、Hp、Microsoft等很多大公司的支持，已成为事实上的工业标准，目前已获得IETF标准的认可。这是一个为Internet上进行在线交易而设立的一个开放的、以电子货币为基础的电子付款规范。
SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证，这对于需要支付货币的交易来讲是至关重要的。SET将建立一种能在Internet上安全使用银行卡购物的标准。安全电子交易规范是一种为基于信用卡而进行的电子交易提供安全措施的规则，是一种能广泛应用于Internet上的安全电子付款协议，它能够将普遍应用的信用卡的使用场所从目前的商店扩展到消费者家里，扩展到消费者个人计算机中。
第五篇：电子商务安全管理论文
文 章来
源莲山 课
件 w w w.5Y
k J.Com 7
摘要：防火墙技术作为保证电子商务活动中信息安全的第一道有效屏障，受到越来越多的关注。本文从防火墙的概念和技术出发，详细分析了防火墙的功能，并对其保证安全方法的不同进行了分类研究。
关键词：信息安全防火墙过滤代理迁移
在信息社会中，信息具有和能源、物源同等的价值，在某些时候甚至具有更高的价值。具有价值的信息必然存在安全性的问题，对于企业更是如此。经济社会的发展更要求各用户之间的通信和资源共享，需要将一批计算机连成网络才能保证电子商务活动的正常开展，这样就带来了更多的安全隐患。特别是对当今最大的网络——国际互联网，很容易遭到别有用心者的恶意攻击和破坏。信息的泄露问题也变得日益严重，因此，计算机网络的安全性问题就变得越来越重要。
如何来保证计算机网络的安全性呢？方法虽然很多，但防火墙技术绝对是其中最高效、实用的方法之一。在构建安全的网络环境的过程中，防火墙作为第一道安全防线，正受到越来越多用户的关注。通常一个公司在购买网络安全设备时，总是把防火墙放在首位。目前，防火墙已经成为世界上用得最多的网络安全产品之一。那么，防火墙是如何保证网络系统的安全，又如何实现自身安全的呢？本文从防火墙的概念出发，详细分析了防火墙的功能，并按其保证安全方法的不同进行了分类:包过滤式防火墙、服务代理式防火墙、地址迁移式防火墙等。
一、防火墙介绍
防火墙是指一种将内部网和公众访问网分开的方法，是网络之间一种特殊的访问控制设施。在Internet网络与内部网之间设置的一道屏障，防止黑客进入内部网，由用户制定安全访问策略，抵御各种侵袭的一种隔离技术。它能允许你“同意”的人和数据进入你的网络，将“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息；能限制被保护的网络与互联网络之间，或者与其他网络之间进行的信息存取、传递操作；能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。防火墙的安全技术包括包过滤技术、代理技术和地址迁移技术等。
二、防火墙的作用
1.作为网络安全的屏障
只有经过精心选择的应用协议才能通过防火墙，可使网络环境变得更安全。如防火墙可以禁止NFS协议进出受保护的网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如Ip选项中的源路由攻击和ICMp重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
2.可以强化网络安全策略
通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其他的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙身上。
3.可以对网络存取和访问进行监控审计
如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等也是非常重要的。
4.可以防止内部信息的外泄
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。
三、防火墙的技术分类
1.包过滤技术（packet Filter）式防火墙
包过滤是在网络层中对数据包实施有选择的通过，依据系统事先设定好的过滤逻辑，检查数据据流中的每个数据包，根据数据包的源地址、目标地址，以及包所使用端口确定是否允许该类数据包通过。在互联网这样的信息包交换网络上，所有往来的信息都被分割成许许多多一定长度的信息包，包中包括发送者的Ip地址和接收者的Ip地址。当这些包被送上互联网时，路由器会读取接收者的Ip并选择一条物理上的线路发送出去，信息包可能以不同的路线抵达目的地，当所有的包抵达后会在目的地重新组装还原。包过滤式的防火墙会检查所有通过信息包里的Ip地址，并按照系统管理员所给定的过滤规则过滤信息包。如果防火墙设定某一Ip为危险的话，从这个地址而来的所有信息都会被防火墙屏蔽掉。这种防火墙的用法很多，比如国家有关部门可以通过包过滤防火墙来禁止国内用户去访问那些违反我国有关规定或者“有问题”的国外站点。包过滤路由器的最大的优点就是它对于用户来说是透明的，也就是说不需要用户名和密码来登录。这种防火墙速度快而且易于维护，通常做为第一道防线。包过滤路由器的弊端也是很明显的，通常它没有用户的使用记录，这样就不能从访问记录中发现黑客的攻击记录。而攻击一个单纯的包过滤式的防火墙对黑客来说是比较容易的。如“信息包冲击”是黑客比较常用的一种攻击手段，黑客们对包过滤式防火墙发出一系列信息包，不过这些包中的Ip地址已经被替换掉了，取而代之的是一串顺序的Ip地址。一旦有一个包通过了防火墙，黑客便可以用这个Ip地址来伪装他们发出的信息。通常它没有用户的使用记录，这样我们就不能从访问记录中发现黑客的攻击记录；此外，配置繁琐也是包过滤防火墙的一个缺点。它阻挡别人进入内部网络，但也不告诉你何人进入你的系统，或者何人从内部进入网际网路。它可以阻止外部对私有网络的访问，却不能记录内部的访问。包过滤另一个关键的弱点就是不能在用户级别上进行过滤，即不能鉴别不同的用户和防止ip地址盗用。所以说包过滤型防火墙是某种意义上的安全系统。
2.代理服务式防火墙
代理服务是另一种类型的防火墙，它通常是一个软件模块，运行在一台主机上。代理服务器与路由器的合作，路由器实现内部和外部网络交互时的信息流导向，将所有的相关应用服务请求传递给代理服务器。代理服务作用在应用层，其特点是完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。代理服务的实质是中介作用，它不允许内部网和外部网之间进行直接的通信。
用户希望访问内部网某个应用服务器时，实际上是向运行在防火墙上的代理服务软件提出请求，建立连接;理服务器代表它向要访问的应用系统提出请求，建立连接;应用系统给予代理服务器响应;代理服务器给予外部网用户以响应。外部网用户与应用服务器之间的数据传输全部由代理服务器中转，外部网用户无法直接与应用服务器交互，避免了来自外部用户的攻击。通常代理服务是针对特定的应用服务而言的，不同的应用服务可以设置不同的代理服务器。目前，很多内部网络都同时使用分组过滤路由器和代理服务器来保证内部网络的安全性，并且取得了较好的效果。
3.地址迁移式防火墙
由于多种原因，Ipv4地址逐步面临耗尽的危机，而Ipv6的实际应用还有待时日。随着企业上网的人数增多，企业获得的公共Ip地址（称全局Ip地址，或者实际Ip地址）可能难以和企业上网的实际设备数目匹配，这种现象具有加剧的倾向。一种可能的解决方案是为每个企业分配若干个全局Ip地址，企业网内部使用自定义的Ip地址（称为本地Ip地址或者虚拟Ip地址）。当内外用户希望相互访问时,专门的路由器（NAT路由器）负责全局/本地Ip地址的映射。NAT路由器位于不同地址域的边界处，通过保留部分全局Ip地址的分配权来支持Ip数据报的跨网传输。其工作原理:(1)地址绑定（静态或者动态的建立本地/全局地址的映射关系）;(2)地址查找和转换（对数据报中的相关地址信息进行修改）;(3)地址解绑定（释放全局地址）。
地址迁移式防火墙实际上融合了分组过滤和应用代理的设计思想，可以根据应用的需求限定允许内外网访问的结点；可以屏蔽内网的地址，保证内网的安全性。数据报分析是NAT路由器必须做的工作（例如，修改Ip数据报携带的高层协议数据单元中的地址信息），因此可以有选择地提供/拒绝部分跨网的应用服务。
四、小结
在互联网上防火墙是一种非常有效的网络安全模型，通过它可以隔离风险区域与安全区域的连接，同时不会妨碍人们对风险区域的访问。随着电子商务的不断发展，防火墙技术必将在网络安全方面着发挥更加重要的作用和价值。
参考文献:
[1]高峰许南山:防火墙包过滤规则问题的研究[J].应用,2003,23(6)
[2]赵启斌梁京章:防火墙过滤规则异常的研究[J].工程,2005.12
[3]谢希仁:计算机网络技术[M].北京:电子工业出版社,1999
文 章来
源莲山 课
件 w w w.5Y
k J.Com 7
点击咨询 