e-Commerce安全攻防策略研究

梁世慶 孫波成

1 襄樊學院 湖北 441053

2 西南交通大學峨眉校區 四川 614202

0 引言

隨著互聯網的全面普及，基于互聯網的電子商務也應運而生，并在近年來獲得了巨大的發展，成為一種全新的商務模式，被許多經濟專家認為是新的經濟增長點。作為一種全新的商務模式，它有很廣闊的發展前途，同時,這種電子商務模式對管理水平、信息傳遞技術都提出了更高的要求，其中安全體系的構建又顯得尤為重要。如何建立一個安全、便捷的電子商務應用環境，對信息提供足夠的保護，是商家和用戶都十分關注的話題。

1 e-Commerce及安全性

e-Commerce 是指通過 Internet 進行物品和服務的交易。所有主要的零售品牌都可以在線購買，并且許多品牌根本沒有實際銷售場所。然而，e-Commerce 也應用到 B2B 的交易，例如，在生產商和供應商或者分銷商之間。

在軟件產業中，安全有兩種不同的觀點。在軟件開發團體中，它描述了系統的安全特性。一般的安全特性是確保至少六個字符的密碼，并且對敏感數據進行加密。

安全性有三個主要的概念：機密性，完整性和可用性。機密性僅僅允許認證的人可以訪問保護的信息。例如，如果郵遞員閱讀了您的郵件，這就是對您的隱私的侵犯。完整性確保發送端和接收端的數據一致。如果有人在您的信(包含您的信用卡賬單)中添加了額外的賬單，他已經違背了郵件的完整性。可用性確保您有權訪問資源。如果郵局破壞了您的郵件或者郵遞員花了一年的時間才郵遞了您的信件，他已經影響了郵件的可用性。

2 常用攻擊手段

2.1 欺騙攻擊

攻擊者能夠導致用戶或者系統中的設備，使他認為信息是來自于實際上未發出的來源時，發生的就是欺騙攻擊。幾乎在任何薄弱或網絡通信中未實現認證的位置均可發生欺騙攻擊。常見的欺騙攻擊有MAC欺騙、IP欺騙、傳輸欺騙、身份欺騙和無聊設備。

一些最簡單最有利可圖的攻擊是針對欺騙購物者的。這些攻擊包含監視購物者的行為，搜集購物者的信息。例如，有些站點在提供了驗證問題答案的情況下給出了密碼，不僅該站點是危險的，攻擊者還可能用相同的登錄 ID 和密碼登錄到其他站點上。

一個常見的場景是攻擊者打電話給購物者，假裝是購物者所訪問站點的代表，并且提取信息。攻擊者接下來在網站上調用客戶服務，作為購物者登錄并且提供個人信息。攻擊者接下來將密碼重新設置為特定的值。

2.2 讀取攻擊

在這種情況下，攻擊者監控購物者計算機同服務器之間的數據。包括嗅探攻擊、偵查攻擊和直接進入攻擊。這類攻擊從獲悉組織機構的IP地址，對那些地址范圍進行端口掃描和弱點掃描，侵入到有弱點的系統讀取信息。在e-Commerce中，他搜集關于購物者的數據或竊取個人信息，比如信用卡賬號。

每個月都有數百萬的計算機連接到 Internet 上面。大多數使用者對于安全攻擊的知識都很匱乏。而且，軟件和硬件生產廠商，為了確保產品的安裝簡便，會禁用產品的安全特性。在大多數情況下，啟用安全特性需要非技術用戶閱讀為專家編寫的用戶手冊。困惑的用戶并不會嘗試啟用安全特性。這就為攻擊者創造了許多可乘之機。

進入購物者系統最常用的方法是使用工具，比如SATAN，在計算機上執行端口檢查，找到進入系統的入口點。基于開放的端口，攻擊者可以使用各種技術來進入到使用者的系統。在進入以后，他們可以檢查文件系統，查看個人信息，比如密碼。

有些時候通過網絡的這種攻擊是不切實際的。如果攻擊者在網絡的中間，在 Internet 范圍內，這種攻擊是不可行的。客戶端到服務器的請求被分割成小塊的包，并且在服務器端重新組織。請求包通過不同的路由被發送。攻擊者不能訪問一個請求中所有的包，也就不能破譯發送的消息。

2.3 猜測密碼

另一種常用的攻擊是猜測用戶的密碼。這種攻擊是手動的或者自動的。手動的攻擊是非常艱苦的，并且只有當攻擊者知道關于購物者某些信息的時候才能成功。例如，購物者使用孩子的姓名作為密碼。自動攻擊有更高的成功可能性，因為隨著嘗試次數的增加，猜測用戶 ID/密碼的可能性變得更高?，F有的工具使用字典中所有的單詞來測試用戶的 ID/密碼組合，或者通過常用的 ID/密碼組合進行攻擊。攻擊者可以自動的在多個站點上進行測試。

2.4 混合型攻擊

這類攻擊都采用國際類型的組合，主要有：病毒、蠕蟲和特洛伊木馬；Rootkip攻擊及遠程控制軟件攻擊。

病毒、蠕蟲和特洛伊木馬之間是涇渭分明的。病毒一般被認為是一段惡意代碼，可以修改系統中的另一軟件，這一般需要某種形式的用戶干涉(如打開電子郵件附件、插入收感染的磁盤等)。蠕蟲是一種獨立工具，一般以自動的方式進行傳播，可感染有弱點的系統，這些有弱點的系統隨后會感染其它系統。紅色代碼就是蠕蟲的一個例子。特洛伊木馬是一種應用程序，對于用戶，看起來具有一種功能但實際上可以做出完全不同的事情，NetBus/Whack-aMole就是一個恰當的例子。

攻擊者利用Rootkip可以在已失手的機子里隱藏自己的存在，它進行很多破壞操作，安裝密碼嗅探器，日志文件分析程序，以及系統文件清理工具等。

遠程控制軟件在許多場合都用于合法目的，不幸的是，它也可用于遠程控制的攻擊，部署這種攻擊的一個普遍方法是向意欲攻擊的遠程受害者發送一個電子郵件消息，用遠程控制軟件作為附件。

3 防御

盡管存在黑客和解密高手，e-Commerce 仍然可以保持安全活動。對于大公司來講，e-Commerce 中包含的資源是龐大的。這些公司將通過每個合法的路由來保護他們的客戶。

3.1 網絡防火墻

當把您的計算機連接到網絡上時，就有了受攻擊的可能性。個人防火墻通過限制通信類型來保護您的計算機。入侵者也可以檢測硬件驅動器來搜索任何存儲的密碼。

防火墻就像是城堡邊上的護城河。它確保請求只能通過特定的端口進入系統，并且在一些情況下，確保所有的訪問只能來自某些物理機器。

常用的技術是使用兩個防火墻來建立一個非武裝區域(DMZ)。外部的防火墻僅僅允許進出的 HTTP 請求。這允許客戶端瀏覽器可以同服務器進行通信。第二個防火墻位于 e-Commerce 服務器的后面。這個防火墻有了很大加強，只允許通過來自特定端口上的可靠服務器的請求。兩個防火墻都使用入侵檢測軟件來檢測任何非法的訪問嘗試。

另一個與 DMZ 聯合使用的技術是蜜罐(honey pot)服務器。蜜罐是位于 DMZ 中的資源(例如，偽造的付款服務器)，用來迷惑黑客使他認為已經進入了內部防火墻。這些服務器是被嚴密監控的，黑客的任何訪問都會被探測。

3.2 密碼策略

您的系統安全程度取決于使用它的人。如果購物者選擇了一個不合適的密碼，或者沒有對密碼進行保密，攻擊者就可以很容易的攻擊用戶。系統管理員的密碼也是非常重要的。在這種情況下，可能采取物理安全手段，因為管理員客戶端可能沒有被公布在防火墻外。用戶在給出信息時應該進行良好的判斷，并且接受可能的網頁仿冒方式以及一些社會工程攻擊的培訓。

表1 密碼策略

確保密碼策略對于購物者和內部用戶是強制實行的。所示的是一個密碼策略范例，它被定義為(Federal Information Processing Standard，FIPS)的一部分。

對于內部用戶和購物者。您可以選擇不同的密碼策略。例如，您可以選擇在管理員三次登錄失敗后鎖定賬戶。這個密碼策略就杜絕了猜測密碼攻擊。這就確保密碼不會很容易被猜到。賬戶鎖定功能確保不能使用自動猜測密碼機制。

3.3 網絡入侵檢測系統和安全日志

有效安全策略的基礎是預防攻擊并且檢測潛在攻擊。這有助于理解系統通信的特性，也可作為抵御攻擊者的起點。

應該記錄任何不成功的系統登錄。如果一個用戶登錄，并且試圖訪問他不能查閱的資源。或者執行不能執行的操作，這表明該賬戶正在被另一個人使用，并應該被鎖定。安全日志的分析可以檢測可疑行為，并且允許管理員采取行動。

除了安全日志，還可以使用業務審核來監控活動，比如付款處理。您可以監視并且檢查這些日志，來在業務流程級別檢測不適當的交互模式。

3.4 使用 cookie

Web 站點設計人員面臨的一個問題是針對并發請求維持客戶端的安全會話。因為 HTTP 是無狀態的，除非一些類型的會話令牌在每個請求中來回傳遞，否則服務器并不能將同一個人的所有請求聯系在一起。cookie 是解決這種問題的一種流行手段。特定用戶或者會話的標識符被存儲在一個 cookie中，并且在每次請求時讀取。您可以在 cookie 中存儲用戶首選項信息，比如語言和貨幣。這簡化了 Web 頁面開發，因為您不必關注如何將這些信息返回到服務器。

Cookie 的主要用途是存儲認證和會話信息、您的信息以及您的首選項。其次的用途是跟蹤用戶的活動，但這一用途還存在爭議。

不同類型的 cookie：

臨時 cookie ：這些 cookie 僅僅在您的當前會話中是合法的，當您關閉瀏覽器的時候會被刪除。這通常是比較好的類型。它們經常用來存儲您的會話信息。

永久 cookie ：這種 cookie 有一定的時期，由站點來指定，存儲在購物者的計算機上。它們可以重新提取您以前的會話信息。

服務器 cookie：這些 cookie 通常是無害的，只有發布它們的服務器可以使用。

第三方 cookie：它們經常被站點用于跟蹤目的。您的瀏覽器或者 P3P 策略可以過濾這些 cookie。

URL 重寫：這是 cookie 一個很流行的備選方案。頁面上的每個 HTTP 鏈接都經過編碼，但對于站點實現來說，代價是很昂貴的。它妨礙了站點的性能，因為不能緩存頁面來供不同的用戶使用。這種方案如果在沒有使用 SSL 的情況下也容易收到攻擊。

標記為安全的 cookie (存儲加密數據并且在 SSL 保護下傳遞給用戶)是最常用的方法，它提供了最佳的安全網絡體驗。

4 結束語

本文概述了 e-Commerce 系統中的關鍵參與者，安全性攻擊和防御。目前的技術，提供了安全的站點設計。它取決與開發者預先對安全威脅的估計以及對已發生的安全威脅的反應能力，同時購物者在線購物時也要提高警惕。

[1] Scean Convery 著,王迎春,謝琳等譯.網絡安全體系結構.北京:人民郵電出版社.2006.