第四节__电子商务的安全认证体系.pdfVIP

制作人：代春艳 2007年8月 电子商务信息安全技术 主讲人:代春艳 daichunyan@ 第四章 电子商务的安全认证体系 制作人：代春艳 2007年8月 第四章 电子商务的安全认证体系 4.1身份认证与认证体系 4.2身份认证协议 4.3数字证书与认证机构 4.4 安全认证体系及其实施标准 制作人：代春艳 2007年8月 4.1身份认证与认证体系 认证是为了防止敌方的主动攻击，包括验证信 息真伪及防止信息在通信过程中被篡改、删除、 插入、伪造、延迟及重放等。认证主要包括三 个方面：消息认证、身份认证和数字签名。 制作人：代春艳 2007年8月 4.1.1身份认证的概念 • 身份认证的定义:证实客户的真实身份与其 所声称的身份是否相符的过程. 制作人：代春艳 2007年8月 无所不在的身份认证 相信大家都记得这样一幅漫画，一 条狗在计算机面前一边打字，一边对 另一条狗说：“在互联网上，没有人 知道你是一个人还是一条狗！”这个 漫画说明了在互联网上很难进行身份 识别。 制作人：代春艳 2007年8月 • 身份认证一般是通过对被认证对象（人或 事）的一个或多个参数进行验证，从而确 定被认证对象是否名实相符或有效。 • 这要求要验证的参数与被认证对象之间应 存在严格的对应关系，最好是唯一对应的。 制作人：代春艳 2007年8月 • 身份认证是安全系统中的第一道关卡，如图 所 4-1 示 制作人：代春艳 2007年8月 用户在访问安全系统之前，首先经过身份认证 系统进行身份识别，然后访问监控器根据用户 的身份和授权数据库决定用户能否对某个资源 进行访问。授权数据库由安全管理员按照需要 进行配置。审计系统根据审计设置记录用户的 请求和行为，同时入侵检测系统检测是否有入 侵行为。访问控制和审计系统都要依赖于身份 认证系统提供的“信息” 用户的身份。可见， —— 身份认证在安全系统中的地位是极其重要的， 是最基本的安全服务，其他的安全服务都依赖 于它。一旦身份认证系统被攻破，那么系统的 所有安全措施将会受到严峻挑战。 制作人：代春艳 2007年8月 • 身份认证包括几个重要概念：认证、授权和审计。 • （1）认证（Authentication ）：在进行任何操作之前必 须有有效的方法来识别操作执行者的真实身份。认证 又称为鉴别、确认。身份认证主要是通过表示和鉴别 用户的身份，防止攻击者假冒合法用户获取访问权限。 • （2 ）授权（Authorization ）：授权是指当用户身份被 确认合法后（即通过认证），赋予该用户操作文件和 数据等的权限。赋予的权限包括读、写、执行及从属 权。 • （3 ）审计（Auditing ）：每一个人都应该为自己所