2022年电子商务系统安全解决方案实战 .pdf

下面以安盟电子信息公司提供的电子商务 身份 认证 解决方案为例， 介绍电子商务系统安全 解决方案实战技巧。1.方案特点在 Web 电子商务中的身份认证是由服务器 、客户端和中间代理软件协同完成的。安盟电子信息公司 (http:/) 提供高性能、高可扩展性及低成本的Web 电子商务双因素身份认证解决方案，只允许能够提供无法猜测或复制的令牌代码与PIN 的用户访问企业 Web 站点， 在极大程度上保证了通过互联网 访问企业Web 站点的用户确实为授权的个体，大大降低了攻击和非法访问的风险 。而且，安盟ACE/Agent 支持多种Web 服务器，因此具有极强的互操作性与可扩展性;还可以控制用户权限，决定用户被授权后，能够访问和不能够访问哪些资源;既可对整个站点进行保护，也可对某个网页进行保护，提供了不同层次的安全性 ;与加密套接字协议(SSL)层协同工作，当信息在网络中传输时，可以保证其安全性。 同时，除了具有强大的认证能力外，认证过程与配置过程都比较简单，不会给用户造成任何负担。此外，此方案还具有极强的不可否认性，能够加强用户的责任意识，提升企业Web 资源保护的安全级别。2.解决方案电子商务系统安全解决方案示意图如图1 所示。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 7 页 - - - - - - - - - 图 1 电子商务系统安全解决方案示意图3.安盟 SecurID Agents 是 Web 站点的安全解决技术电子商务安全为保护网站和资源，避免恶意侵入， 提供了强有力的支持。根据不同信息所需保密的程度不同，而设立了不同层次的安全保护方法。(1)身份认证通常， 商业上依靠静态口令来对用户进行身份认证，其实这是不够的。因为口令很容易被偷或被破译， 为了保证电子商务系统业务的安全，双因素身份认证才是电子商务安全的基础。所谓双因素是结合了两种确认身份的方式，首先是用户已知PIN 码和用户拥有的令牌，两者缺一不可。(2)授权身份认证之后， 就需要控制用户能够访问哪些信息。为了管理复杂的电子商务网站，就必须在网站上对每种应用进行区分，从而使组织内部网站建设更灵活、更丰富。(3)保密性名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 7 页 - - - - - - - - - 加密可确保信息的保密性。采用加密技术，信息被提前拼凑，接收后被复原，这使信息如果被截获后能确保其安全。对于Web 应用， SSL 最大的意义在于加密信息。事实上，大多数浏览器都具备SSL 的功能，以便于服务器端的SSL 证书 沟通 ，所以，在 Web 应用中已经有了一些某种级别的加密。Web 应用中 SSL 协议是最主要的信息加密手段。(4)不可否认性与用户责任在使用 电子商务 时，同时需要 审计 。这就使得用户必须对他们的行为负责，也为法律上提供了一种可信的证据。必须部署这种增强的安全 基础设施。 在此情况下， 通过公钥基础设施(PKI) ，利用数字证书与电子签名将用户的数字身份绑定到一个交易中。要实现完全的不可否认性， 数字证书与电子签名必须与双因素身份认证 相结合才能得到加强，它可以将数字身份绑定到用户的物理身份上。(5)双因素身份认证是PKI 的一个组件双因素身份认证对于任何安全环境都是必需的前提，包括PKI( 公钥基础设施 )。身份认证与安盟SecurID Web 安全职能是使用PKI 的第一步。数字证书及电子签名为使用PKI 提供了数字化身份证明，确保使用者的唯一性。然而，PKI 的完整性依赖于用户确保只有合法数字证书持有者才有权使用私钥的能力。在这种情况下， 只有双因素身份认证才能确保用户的合法身份，这就为用户创造了可信任的应用环境。4.安盟 Web 安全职能确保电子商务系统的安全安盟为企业在Web 应用中提供了领先的安全保证，即安盟Web 安全职能。采用安盟SecurID 产品，就能确保只有授权的用户才能进入企业的内网和外网。同时，安盟SecurID产品也可用于SSL 加密功能，确保在网络传输中的安全。最后，安盟SecurID 也可确保数字证书的合法性。结合以上技术，安盟SecurID 已经发展成为一个综合的Web 安全解决方案的先驱。简单来说，安盟安全服务包括了对整个企业Web 上的各种应用。如果企业已拥有电子商务的应用，那么安盟SecurID 能使其立刻变得安全，拒绝没有合法身份的进入、恶意攻击和黑客。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 7 页 - - - - - - - - - 安盟 SecurID 由 5 种主要产品和服务组成，为企业发展电子商务提供安全的保障。基本的组件描述如下：(1)安盟 SecurID 身份认证设备安盟 SecurID 身份认证是一种手持设备，产生唯一的、一次性数字码。当登录受保护的Web 资源 时， 同时使用 PIN 码和一次性数字码(One-time Code) 。 身份认证设备包括硬件令牌、软件令牌 (存储 在 PC、 PDA 和无线 电话中 )和智能卡等多种形式。使用简单，不需要任何最终用户 培训 。(2)安盟 ACE/Server安盟 ACE/Server 是身份认证的关键，它关系到企业的安全策略，包括谁能进入网站和获取何种资源。 当 ACE/Server 接收到用户认证请求后，便会将数据与中央数据库进行对比，如果符合其要求，系统便同意被访人访问受保护的资源，否则，安盟ACE/Server 便拒绝访问。(3)用于 Web 平台 的安盟 ACE/Agent 代理软件安盟 ACE/Agents 的功能就像一位安全卫士，它实施在安盟ACE/Server 中建立的安全策略，作为 URL 过滤器， Agent 拦截访问请求，并要求指定的用户或组(本地或远程 )在获准访问 Web 站点上受保护的资源前，通过安盟SecurID 认证设备向安盟ACE/Server 证明其身份。(4)安盟 SecurID 选择安盟 SecurID 提供一个合作的机会，使得用户的公司能将用户认证设备的安盟SecurID品牌加入到用户的产品中。(5)配置服务名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 7 页 - - - - - - - - - 安盟提供很多种服务来帮助部署与执行Web 安全 解决方案，比如，安盟 SecurID Express允许用户的组织将整个配置过程交给安盟来完成，基于Web 的用户注册服务使得安盟SecurID 立刻就可用。从基本的客户支持到专业服务，安盟都有许多成功经验可以借签。5.用于 Web 保护的安盟ACE/Agent 软件如何工作安盟 ACE/Agent 代理软件在系统中就像一个“ 安全哨兵 ” 。安盟 ACE/Agent 代理软件是安盟 SecurID Web 职能关键之处，因为ACE/Agent 直接被安装在Web Server 层上，并且强制执行在 ACE Server 上建立的安全策略。安盟 ACE/Agent 代理软件保护Web Server 所选定的页面和目录。在Web Server 的目录和文件启动代理软件后，所有试图访问这些被保护的Web 页面的用户，需出示SecurID 令牌码。只有这些Server 数据库中注册了的用户才能访问受安盟SecurID 保护的页面。因此，既可以把网站作为公共资源 提供给所有用户，也可以把它作为高机密网站来给可信任用户发送保密信息。如图 12.12 所示为安盟ACE/Agent 软件工作原理。对 Web 提供保护的每一个安盟ACE/Agent 都能够根据组织的实际情况来进行设置，从而为 Web 站点和 电子商务 结构提供不同层次的保护。以下是关于这些设置的一些详细描述。(1)利用 Cookie 保持会话状态安盟 SecurID 用户每次键入其有效的身份认证 码和 PIN 码后， 服务器 便给该用户一个cookie。此 cookie 存储 在用户的 Web 浏览器中，当用户浏览一个Web 服务器上的受保护资源时， 它将用户的认证信息传到ACE/Server 中。只要 “cookie ”未过期， 在一次会话中该用户就只会被提示一次输入安盟SecurID 令牌码和PIN 码。每一个 cookie 都只在被创建的本次浏览会话期间才有效。如果用户退出了Web 浏览器，该 cookie 就过期了，在下一次认证会话期间用户必须得到一个新的cookie。管理员可以决定分发给安盟SecurID 用户的 cookie 的失效期。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页，共 7 页 - - - - - - - - - 图 2 安盟 ACE/Agent 软件工作原理(2)Web 一次性登录当在一个混合的Web 服务器 环境 (IIS、Netscape/iPlanet 和/或 domino)使用安盟SecurID时，安盟 ACE/Agent 可以被配置为相互通信。使用安盟SecurID 只需一次与Web 连接即可访问任何一个网站，而无须再进行身份认证 。为达到此目的， cookie 被分发为在同一个Web域或跨多域的多个服务器上有效。6.安盟 ACE/Agent for Web结构每一个保护Web 的安盟 ACE/Agent 都由 3 个主要部件构成：(1)URL 过滤器URL 过滤器与Web 服务器的API 过滤器 (ISAPI 、NSAPI 和 DSAPI) 相结合来提供安盟ACE/Agent 服务的前端支持。URL 过滤器控制Web 服务器的URL 映射过程，从而用安盟SecurID 有选择地保护页面与目录。Agent 只需要安装在Web 服务器上，对最终用户是透明的。(2)认证代理名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页，共 7 页 - - - - - - - - - 认证代理为最终用户提供接口功能，以通过安盟ACE/Server API 允许用户认证。认证代理为最终用户提供HTML 模板，如登录页面或错误页面，并支持所有的安盟SecurID 认证设备，包括硬件令牌、软件令牌、PDA 及智能卡。(3)管理实用程序通过一个非常直观、易于使用的图形用户界面可以进行广泛的管理。简单的鼠标点击接口使管理员非常方便、快捷地选择他们想要用安盟SecurID 来保护的Web 服务器目录或文件。管理实用程序也控制着Agent 特定的设置，比如cookie 的失效期、域cookie 密文、确保安全 连接和禁止受保护页面的缓存等。Agent 管理实用程序既可以在本地进行，也可以在远程进行。在安盟ACE/Server 中添加、修改、删除用户。总之，通过应用安盟Web 安全职能可快捷、简便地布置安全服务，而不需要与用户的桌面交互，升级与高性能允许组织为不断增长的用户提供服务。将安全加入PKI 环境中确保了用户是数字证书的合法拥有者。保护电子商务 系统的 B2B 入口、电子市场、B2C 以及ASP 应用程序，世界上的各种组织从多个方面体会到了使用这项创新的认证解决方案的好处。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页，共 7 页 - - - - - - - - -