安全电子商务基础PPT课件

《安全电子商务基础PPT课件》由会员分享，可在线阅读，更多相关《安全电子商务基础PPT课件（55页珍藏版）》请在装配图网上搜索。

1、第三章第三章电子商务安全电子商务安全安全性的含义安全性的含义 密码安全：密码安全：是通信安全的最核心的部分。在技术上通是通信安全的最核心的部分。在技术上通 过强悍的密码系统以及正确的使用方法保证。过强悍的密码系统以及正确的使用方法保证。计算机安全：计算机安全：应具有强大的计算机软、硬件系统；同应具有强大的计算机软、硬件系统；同 时确保信息不会被非授权人员和非授权计算机访问、时确保信息不会被非授权人员和非授权计算机访问、获取和修改。获取和修改。网络安全：网络安全：物理设施的保护、软件及人员的安全，防物理设施的保护、软件及人员的安全，防 止非授权的介入；防止偶发或蓄意使用的手段进行干止非授权的介入

2、；防止偶发或蓄意使用的手段进行干 扰和破坏。扰和破坏。信息安全：信息安全：保护信息财富，避免偶发或有意的非授权保护信息财富，避免偶发或有意的非授权 泄露、修改、破坏和处理能力的丧失。泄露、修改、破坏和处理能力的丧失。电子商务安全的基本要求电子商务安全的基本要求保密性：保密性：保持个人的、专用的和高度敏感数据的机密保持个人的、专用的和高度敏感数据的机密认证性：认证性：确认通信双方的合法身分确认通信双方的合法身分完整性：完整性：保证所有存储和管理的信息不被篡改保证所有存储和管理的信息不被篡改可访问性可访问性：保证系统数据和服务能由合法的人员访问保证系统数据和服务能由合法的人员访问防御性：防御性：能

3、够阻挡不希望的信息和黑客侵入能够阻挡不希望的信息和黑客侵入不可否认性：不可否认性：防止通信双方对已进行业务的否认防止通信双方对已进行业务的否认合法性：合法性：保证各方的业务符合可适于的法律和法规保证各方的业务符合可适于的法律和法规 电子商务安全遭受威胁的种类电子商务安全遭受威胁的种类 计算机物理安全：计算机硬件设备、安装和配置的安全。保护计算机系统软件、应用软件和开发工具，使其 不被非法修改、复制和感染病毒。保护数据不被非法访问和修改，保护数据的完整性 和保密性。计算机运行时遇到突发事件（如停电）的安全处理。计算机网络安全：计算机网络安全：互连网互连网“出生出生”的目的不是安全，而是数据冗余。

4、的目的不是安全，而是数据冗余。计算机网络设备安全（物理部件）计算机网络设备安全（物理部件）网络系统安全（网络操作系统、传输协议等）网络系统安全（网络操作系统、传输协议等）数据库的安全（原始数据）数据库的安全（原始数据）通信环节的安全（信息盗窃）通信环节的安全（信息盗窃）人员操作失误和恶意攻击人员操作失误和恶意攻击电子商务的商务交易安全：电子商务的商务交易安全：交易抵赖：提交订单后不付款；付款后收不到商品。交易抵赖：提交订单后不付款；付款后收不到商品。信息假冒：假冒订单；冒用销售者服务器的相同名信息假冒：假冒订单；冒用销售者服务器的相同名 字，建立另一个字，建立另一个WWW服务器假冒销售者。服务

5、器假冒销售者。信息的截获和窃取：个人身份及帐户被非法窃取。信息的截获和窃取：个人身份及帐户被非法窃取。信息篡改：使原始交易数据被破坏。信息篡改：使原始交易数据被破坏。解决电子商务安全问题的策略解决电子商务安全问题的策略 技术保障 法律控制 完善的管理制度 社会道德规范安全认证手段数字摘要、数字签名、数字信封、CA体系安全应用协议SET、SSL、S/HTTP、S/MIME基本加密算法非对称密钥加密、对称密钥加密、哈希函数电子商务业务系统电子商务支付系统 电子商务安全交易体系电子商务安全交易体系法律保障技术保障技术保障电子商务可使用多种安全方法，保障数据传输的电子商务可使用多种安全方法，保障数据传

6、输的安全性。常用的方法有以下的几种安全性。常用的方法有以下的几种:信息加密技术（数据保密）信息加密技术（数据保密）数字摘要（数据完整性）数字摘要（数据完整性）数字签名（不可否认性）数字签名（不可否认性）数字时间戳（不可否认性）数字时间戳（不可否认性）数字认证（身份确认）数字认证（身份确认）CA认证体系认证体系(电子商务安全的保障）电子商务安全的保障）信息加密技术信息加密技术 对称密钥加密体制对称密钥加密体制(单密钥加密体制单密钥加密体制)非对称密钥加密体制非对称密钥加密体制(公钥加密体制公钥加密体制)数字摘要技术（哈希函数）数字摘要技术（哈希函数）例如，将字母 a、b、c、d、ew、x、y、z

7、的自 然顺序保持不变，但使之与 E、F、G、HZ、A、B、C、D分别对应，即相差4个字母。这规则就 是加密算法，其中的4就是密钥。若原信息为How are you，则按照这个加密算法和 密钥，加密后的密文就是 LSAEVICSY。一般来说，加密算法是不变的，但密钥是变化的。因此，加密技术的关键是密钥。密钥的位数越长，破解越困难。对称密钥加密技术（分组密码）又称私有密钥或单密钥加密算法。是指发送和接收数据的双方必须使用相同的密钥 进行加密和解密运算，这时的密钥称为对称密钥。最典型的对称密钥加密算法：美国IBM公司的数据 加密标准（DES：Data Encrypt Standard）。以及 3 D

8、ES、IDEA、RC5、AES 优点：加密速度快，易于硬件实现，适于大量数据 的加密处理。对称密钥加密技术的典型应用对称密钥加密技术的典型应用（DES）将信息划分成将信息划分成64位（位（bit）的数据块，在）的数据块，在64位密钥位密钥（8位校验位，实际使用位校验位，实际使用56位）的控制下产生位）的控制下产生k位的加位的加 密密文。密密文。加密的基本方法是：用密钥将原始数据打散打乱，加密的基本方法是：用密钥将原始数据打散打乱，让别人（无密钥者）很难组合起原始数据。让别人（无密钥者）很难组合起原始数据。DES方法的加密过程分为方法的加密过程分为16轮，每轮在密钥的作用轮，每轮在密钥的作用 下

9、都将上一轮打散的数据再打散，每打散一次相当下都将上一轮打散的数据再打散，每打散一次相当 于给数据加一把锁，相当于加于给数据加一把锁，相当于加16把。把。64bit明文数据 初始置换IP 乘积变换（在密钥控制下进行16轮迭代）逆初始置换IP-164bit密文输出标准数据加密算法寻找寻找DES密钥所需的平均时间密钥所需的平均时间DES算法已在1997年被攻破。一些研究人员使用了一台价值25万美元的超级计算机（专用密码机），在不到三天的时间就攻破了美国政府的数据加密标准（DES）。因此出现了3 DES（相当于112位密钥）、IDEA（128位密钥）等加密方法。对称密钥加密解密过程对称密钥加密解密过程

10、明文 对称算法加密明文密文密文 对称算法解密 发送方XKe(X)f Ke(X)internet 接收方f Ke(X)Kd(X)X密钥Ke 密钥Kd非对称密钥加密体制非对称密钥加密体制 信息加密和解密使用的是不同的两个密钥（称为信息加密和解密使用的是不同的两个密钥（称为 “密钥对密钥对”，一个是，一个是“公开密钥公开密钥”，一个是，一个是“私有私有密密 钥钥”）。如果用公开密钥对数据进行加密，则只有）。如果用公开密钥对数据进行加密，则只有用用 对应的私有密钥才能解密；反之，若用私有密钥对对应的私有密钥才能解密；反之，若用私有密钥对 数据进行加密，则须用相应的公开密钥才能解密。数据进行加密，则须用

11、相应的公开密钥才能解密。缺点：加密速度较慢，是对称密钥的缺点：加密速度较慢，是对称密钥的1/5000 代表性加密技术：代表性加密技术：RSA、ElGamal技术技术非对称密钥加密技术非对称密钥加密技术明文 非对称算法加密明文密文密文 非对称算法解密 发送方AXKeB(X)f KeB(X)internet 接收方Bf KeB(X)KdB(X)X密钥KeB 密钥KdB 数字认证技术数字认证技术 数字摘要数字摘要 数字信封数字信封 数字签名数字签名 数字时间戳数字时间戳 数字证书数字证书 生物统计学身份识别生物统计学身份识别数字摘要数字摘要采用单向杂凑（采用单向杂凑（Hash）函数对文件进行变换、运

12、算）函数对文件进行变换、运算得到摘要码，并把摘要码和文件一同送给接收方，得到摘要码，并把摘要码和文件一同送给接收方，接收方接到文件后，用相同的方法（接收方接到文件后，用相同的方法（Hash）对文件）对文件进行变换计算，用得出的摘要码与发送来的摘要码进行变换计算，用得出的摘要码与发送来的摘要码进行比较，来断定文件是否被篡改。进行比较，来断定文件是否被篡改。摘要码也称为数字指纹、杂凑值、哈希函数等摘要码也称为数字指纹、杂凑值、哈希函数等 摘要码有固定长度，为摘要码有固定长度，为128位位 具有不能被解密的单向性具有不能被解密的单向性 相同信息其摘要相同相同信息其摘要相同 不同信息其摘要不同不同信息

13、其摘要不同数字摘要过程数字摘要过程 发送端A 接收端B MhMh比较hK(M)KK散列函数的算法是公开的，其安全性完全取决于“单向性”和“无冲突性”。常用的哈希函数有md-5、SHA数字签名数字签名 用发送方的私有密钥对数字摘要进行加密得到数字用发送方的私有密钥对数字摘要进行加密得到数字 签名，因此数字签名是只有信息的发送者才能产生签名，因此数字签名是只有信息的发送者才能产生 而别人无法伪造的一段数字串，有确认对方的身而别人无法伪造的一段数字串，有确认对方的身 份，防抵赖的作用。份，防抵赖的作用。接收方用发送方的公开密钥对数字签名进行解密，接收方用发送方的公开密钥对数字签名进行解密，再用数字摘

14、要原理来保证信息的完整和防篡改性。再用数字摘要原理来保证信息的完整和防篡改性。为确认数字签名的真实性，为确认数字签名的真实性，采用数字证书，将采用数字证书，将“公公 钥钥”与其拥有者紧密结合。与其拥有者紧密结合。链接Hash 签名分离 Hash 签名比较用发送者的私钥进行加密用发送者的公钥进行解密 Internet 散列值 Hash 发送端A 接收端B 明文明文数字时间戳数字时间戳数字时间戳技术就是对电子文件签署的日期和时数字时间戳技术就是对电子文件签署的日期和时间进行的安全性保护和有效证明的技术。它是由间进行的安全性保护和有效证明的技术。它是由专门的认证机构来加的，并以认证机构收到文件专门的

15、认证机构来加的，并以认证机构收到文件的时间为依据。的时间为依据。数字时间戳的应用过程:数字证书（数字证书（digital ID）数字证书亦称公开密钥证书，在网络通信中标志数字证书亦称公开密钥证书，在网络通信中标志 通信各方身份信息的一系列数据。通信各方身份信息的一系列数据。认证中心颁发的数字证书均遵循认证中心颁发的数字证书均遵循ITU X.509国际标国际标 准（数字证书内容包括：证书的版本号、数字证书准（数字证书内容包括：证书的版本号、数字证书 的序列号、证书拥有者的姓名、证书拥有者的公开的序列号、证书拥有者的姓名、证书拥有者的公开 密钥、公开密钥的有效期、签名算法、颁发数字证密钥、公开密钥

16、的有效期、签名算法、颁发数字证 书的单位、颁发数字证书单位的数字签名等）。书的单位、颁发数字证书单位的数字签名等）。一般数字证书类型：客户证书、商家证书、支付网一般数字证书类型：客户证书、商家证书、支付网 关证书、关证书、CA系统证书。系统证书。认证中心认证中心CA CA认证中心是检验管理密钥是否真实、有效的第三认证中心是检验管理密钥是否真实、有效的第三 方，具有权威性、公正性和可依赖性。专门检验交方，具有权威性、公正性和可依赖性。专门检验交 易双方的身份。易双方的身份。CA具有四大职能：证书发放，证书更新与查询，证具有四大职能：证书发放，证书更新与查询，证 书验证和证书撤销。书验证和证书撤销

17、。电子商务电子商务CA体系包括两大部分，即符合体系包括两大部分，即符合SET标准的标准的 SET CA认证体系和其他基于认证体系和其他基于X.509的的CA认证体系。认证体系。国际权威国际权威VeriSign认证中心（认证中心（）上海电子商务安全证书管理中心（上海电子商务安全证书管理中心（)SET认证中心层次结构认证中心层次结构根认证中心品牌认证中心区域认证中心持卡人认证中心支付网关认证中心商户认证中心持卡人支付网关商家、银行安全认证协议安全认证协议 安全超文本传输协议（安全超文本传输协议（S-HTTP）电子邮件安全协议（电子邮件安全协议（S-MIME）安全套接层安全套接层SSL（Secure

18、 Sockets Layer）协议）协议 安全电子交易安全电子交易SET（Secure Electronic Transaction）协议协议S-HTTP协议协议 S-HTTP：完全的超文本传输协议：完全的超文本传输协议 能保证能保证Web信息站点上信息的安全，是应用层的信息站点上信息的安全，是应用层的 协议。协议。用对称密钥、消息摘要、公开密钥等加密方法来用对称密钥、消息摘要、公开密钥等加密方法来 建立一个安全会话。建立一个安全会话。页面的页面的URL为为https:/开始，说明该页遵循完全超开始，说明该页遵循完全超 文本传输协议。文本传输协议。该协议向该协议向WWW的应用提供完整性、鉴别、

19、不可的应用提供完整性、鉴别、不可 抵赖性及机密性等安全措施。抵赖性及机密性等安全措施。S-MIME协议协议 电子邮件安全协议电子邮件安全协议 依靠密钥对保证电子邮件安全传输的协议。依靠密钥对保证电子邮件安全传输的协议。提供发送方身份识别、信息的完整性、信息传递过提供发送方身份识别、信息的完整性、信息传递过 程的机密性等安全功能；程的机密性等安全功能；设计成模块，加装在电子邮件软件中（如：设计成模块，加装在电子邮件软件中（如：IE、Netscape）要求申请电子邮件数字证书，发送保密邮件要求有要求申请电子邮件数字证书，发送保密邮件要求有 对方的公钥。对方的公钥。SSL协议协议 安全套接层协议（安

20、全套接层协议（Secure Sockets Layer)向基于向基于TCP/IP的客的客 户户/服务器应用程序提供客户端和服务器的鉴别、数据完整性及服务器应用程序提供客户端和服务器的鉴别、数据完整性及 机密性等安全措施。机密性等安全措施。SSL就是客户与商家通讯之前，在互连网就是客户与商家通讯之前，在互连网 上建立的上建立的“秘密传输信息的通道秘密传输信息的通道”，保障了传输信息的机密性、，保障了传输信息的机密性、完整性和认证性。完整性和认证性。SSL提供的安全服务：提供的安全服务：信息加密信息加密 保证信息的完整性保证信息的完整性 提供较完善的认证服务提供较完善的认证服务 SSL协议的缺点：

21、协议的缺点：SSL有利于商家而不利于客户有利于商家而不利于客户 SSL不能保证信息传递过程不被人截取不能保证信息传递过程不被人截取SET协议协议 SET协议保证了电子交易的机密性、数据完整性、协议保证了电子交易的机密性、数据完整性、身份的合法性和防抵赖性。身份的合法性和防抵赖性。用到了对称密钥系统、公钥系统、数字签名、数字用到了对称密钥系统、公钥系统、数字签名、数字 信封、双重签名、身份认证等技术；信封、双重签名、身份认证等技术；消费者、在线商店、支付网关都通过消费者、在线商店、支付网关都通过CA来验证通信来验证通信 主体的身份。主体的身份。对购物信息和支付信息采用双重签名，保证商户看对购物信

22、息和支付信息采用双重签名，保证商户看 不到信用卡信息，银行看不到购物信息。不到信用卡信息，银行看不到购物信息。速度偏慢，但是进行电子商务的最佳协议标准，主速度偏慢，但是进行电子商务的最佳协议标准，主 要适用于要适用于B-C模式。模式。SET规格充分发挥了认证中心的作用，维护在开放规格充分发挥了认证中心的作用，维护在开放 的网络上电子商务参与者所提供信息的真实性和保的网络上电子商务参与者所提供信息的真实性和保 密性。密性。PKI CA PKI CA是提供公钥加密和数字签名服务的平台。是提供公钥加密和数字签名服务的平台。PKI（公钥基础设施）技术采用证书管理公钥，通（公钥基础设施）技术采用证书管理

23、公钥，通 过第三方的可信任机构过第三方的可信任机构-认证中心认证中心CA（Certificate Authority），把用户的公钥和用户的其他标识信息），把用户的公钥和用户的其他标识信息 （如名称、（如名称、e-mail、身份证号等）捆绑在一起，在、身份证号等）捆绑在一起，在 Internet网上验证用户的身份。网上验证用户的身份。PKI的基本组成和功能的基本组成和功能 证书库证书库 证书的撤消证书的撤消 密钥的备份与恢复密钥的备份与恢复 对数字签名的抗抵赖性的支持对数字签名的抗抵赖性的支持 密钥对和证书的自动更新密钥对和证书的自动更新 密钥历史信息的管理密钥历史信息的管理 对交叉认证的支持

24、对交叉认证的支持 客户端证书处理系统客户端证书处理系统防火墙防火墙 防火墙（防火墙（firewal1）的概念：）的概念：防火墙是在内部网与外部网之间实施安全防范的系防火墙是在内部网与外部网之间实施安全防范的系 统。防止如黑客攻击、病毒破坏、资源被盗用和文统。防止如黑客攻击、病毒破坏、资源被盗用和文 件被篡改等波及内部网络的危害。防火墙是由软件件被篡改等波及内部网络的危害。防火墙是由软件 和硬件设备组合而成的、在内部网和外部网之间、和硬件设备组合而成的、在内部网和外部网之间、专用网和公共网之间的界面上构造的保护屏障。专用网和公共网之间的界面上构造的保护屏障。它是在两个网络通信时执行的一种访问控制

25、尺度，它是在两个网络通信时执行的一种访问控制尺度，它能容许它能容许“同意同意”的人和数据进入内部网络，同时的人和数据进入内部网络，同时 将将“不同意不同意”的人和数据拒之门外。最大限度地阻的人和数据拒之门外。最大限度地阻 止黑客进入内部网络。止黑客进入内部网络。防火墙应具备以下特点：防火墙应具备以下特点：当安全网络连接到不安全网络上时，保护安全网络当安全网络连接到不安全网络上时，保护安全网络 最大程度地访问不安全网络。最大程度地访问不安全网络。所有风险可集中到防火墙系统上，对网络中其他区所有风险可集中到防火墙系统上，对网络中其他区 域不构成太大影响。域不构成太大影响。内部网与公共网的一切联系必

26、须通过防火墙系统进内部网与公共网的一切联系必须通过防火墙系统进 行，它能监视与控制所有的联系过程。行，它能监视与控制所有的联系过程。广泛的服务支持：可实现广泛的服务支持：可实现WWW浏览器、浏览器、HTTP服务服务 器、器、FTP等。等。对私有数据的加密支持。对私有数据的加密支持。反欺骗：能监视所有的恶意数据包，并把它扔掉。反欺骗：能监视所有的恶意数据包，并把它扔掉。客户机图防火墙示意图 因特网 服 务 器防火墙基本技术防火墙基本技术 网络级防火墙（包过滤型防火墙）网络级防火墙（包过滤型防火墙）安装在路由器上，商用路由器都提供包过滤功能。安装在路由器上，商用路由器都提供包过滤功能。它是一种基于

27、它是一种基于IP源地址和目的地址、封装协议及每源地址和目的地址、封装协议及每个个IP包的端口来作出通过与否的判断。路由器就可包的端口来作出通过与否的判断。路由器就可对这些信息进行检查，决定是否将包转发。但它不对这些信息进行检查，决定是否将包转发。但它不能判断出能判断出IP包来自何方，去向何处。包来自何方，去向何处。PC机上同样机上同样可安装包过滤软件。可安装包过滤软件。是在网络层利用包过滤规则对数据包进行选择。是在网络层利用包过滤规则对数据包进行选择。它可检查入站和出站的信息有以下几项：它可检查入站和出站的信息有以下几项：IP源地址源地址 IP目标地址目标地址 协议类型协议类型 TCP或或UD

28、P的源端口的源端口 TCP或或UDP的目标端口的目标端口 ICMP（网间控制报文协议）消息类型（网间控制报文协议）消息类型 TCP的序列号的序列号普通路由器仅简单检查一下每个数据包的目标地址，同时为数据包选择一个它所知道的最佳路线，将这个数据包发往目的地址。路由器对数据包的操作完全由数据包的目的地址决定。路由器对数据包只有两种操作：它知道包的目的地址的路由时，便把包发给目的 地址。它不知道包的目的地址的路由时，便把包退回源 地址。包过滤防火墙工作过程包过滤防火墙工作过程 在包过滤路由器的端口存储包过滤的规则。在包过滤路由器的端口存储包过滤的规则。当数据包到达端口时，对数据包的报头进行分析。当数

29、据包到达端口时，对数据包的报头进行分析。应用包过滤规则对数据包进行匹配。应用包过滤规则对数据包进行匹配。如果一条规则容许数据包传输，该数据包被输出。如果一条规则容许数据包传输，该数据包被输出。如果一条规则拒绝数据包传输，该数据包被阻塞。如果一条规则拒绝数据包传输，该数据包被阻塞。如果一个数据包不能被任一条规则匹配，该数据包如果一个数据包不能被任一条规则匹配，该数据包 被阻塞。被阻塞。数据包过滤防火墙的缺点数据包过滤防火墙的缺点 非法访问一旦突破防火墙，可对主机上的软件和非法访问一旦突破防火墙，可对主机上的软件和 配置漏洞进行攻击。配置漏洞进行攻击。包过滤仅检查数据包头的信息（源地址、目的地包过

30、滤仅检查数据包头的信息（源地址、目的地 址及址及IP的端口号等），而这些信息由于都在数据的端口号等），而这些信息由于都在数据 包头部，很有可能被窃听或假冒。包头部，很有可能被窃听或假冒。代理服务型防火墙（网关）是一种基于代理服务器的防火墙技术，通过代理服 务器和代理客户两个部件，使内部网和外部网不存 在直接的连接。同时提供注册（log）和审计 （audit）功能。与包过滤防火墙不同，通讯时内部网与外部网不存 在直接的连接。它运行在应用层。将包过滤防火墙与代理服务型防火墙合成，还可制 成复合型防火墙。代理服务是运行在防火墙主机上的一些应用程序或服代理服务是运行在防火墙主机上的一些应用程序或服 务

31、器程序，防火墙主机是指有一个网络端口连接互联务器程序，防火墙主机是指有一个网络端口连接互联 网络，而另一个网络端口连接内部网络的双宿主主机网络，而另一个网络端口连接内部网络的双宿主主机 或堡垒主机；这些程序将用户对互联网的服务请求依或堡垒主机；这些程序将用户对互联网的服务请求依 据已制定的安全规则向外提交。代理服务替代了用户据已制定的安全规则向外提交。代理服务替代了用户 与互联网的直接连接。对于用户请求的外界而言，代与互联网的直接连接。对于用户请求的外界而言，代 理服务相当于网关，因此，代理服务器有时称为应用理服务相当于网关，因此，代理服务器有时称为应用 层网关。层网关。在代理服务中，内外各站

32、点之间的直接连接被切断，在代理服务中，内外各站点之间的直接连接被切断，所有数据包必须经代理服务器转发，它在幕后控制着所有数据包必须经代理服务器转发，它在幕后控制着 各站点间的连接。各站点间的连接。在用户端给用户的假象是：用户直接与真正的外部服在用户端给用户的假象是：用户直接与真正的外部服 务器相连。（具有透明性）务器相连。（具有透明性）代理防火墙的不足代理防火墙的不足 每增加一种新的媒体应用，就必须对对代理服务器每增加一种新的媒体应用，就必须对对代理服务器 进行设置。进行设置。只要应用程序进行升级，原来的代理服务就不再适只要应用程序进行升级，原来的代理服务就不再适 用，要进行相应的匹配。用，要

33、进行相应的匹配。处理通信量方面存在瓶颈，比包过滤服务器处理速处理通信量方面存在瓶颈，比包过滤服务器处理速 度要慢的多。度要慢的多。如果内、外主机能够通过其他通信链路直接相互通如果内、外主机能够通过其他通信链路直接相互通 话，此时用户就可绕过代理服务器，代理服务器此话，此时用户就可绕过代理服务器，代理服务器此 时不起保护作用。时不起保护作用。防火墙的体系结构防火墙的体系结构 多宿主机体系结构多宿主机体系结构 被屏蔽主机体系结构被屏蔽主机体系结构 被屏蔽子网体系结构被屏蔽子网体系结构 组合型体系结构组合型体系结构多宿主机的体系结构多宿主机的体系结构被屏蔽主机体系结构被屏蔽主机体系结构被屏蔽子网体系

34、结构被屏蔽子网体系结构参 数网 络组合型体系结构组合型体系结构防火墙的不足防火墙的不足 不能防范恶意的知情者。不能防范恶意的知情者。不能防范不通过它的连接。不能防范不通过它的连接。不能防备所有威胁不能防备所有威胁,防火墙只能用来防备已知的威防火墙只能用来防备已知的威胁，而对未知威胁无能为力。胁，而对未知威胁无能为力。不能防范病毒。不能防范病毒。虚拟专网（虚拟专网（VPN）技术）技术 VPN是使分布在不同地方的专用网络在不可信是使分布在不同地方的专用网络在不可信 任的公共网络上实现安全通信的网络技术。任的公共网络上实现安全通信的网络技术。使用加密、信息和身份认证、访问控制等技术。使用加密、信息和身份认证、访问控制等技术。VPN产品种类：带产品种类：带VPN功能的路由器、软件功能的路由器、软件VPN 系统、专用硬件系统、专用硬件VPN设备等。设备等。内部网虚拟专用网、远程访问虚拟专用网、外部内部网虚拟专用网、远程访问虚拟专用网、外部 网虚拟专用网。网虚拟专用网。