《电子商务安全概述》PPT课件.ppt

,第一章 电子商务安全概述,巢湖学院计算机与信息工程学院,第一章 电子商务安全概述,“泄密门”事件,据了解，“泄密门”最先出现在国内最大的开发者技术社区CSDN，该社区被曝有600余万个用户邮箱账号和密码被泄露。之后天涯论坛、新浪微博、人人网、开心网等众多知名网站相继陷入“密码疑云”。而让网民尤其是网购一族更为纠结的是，年末又有消息曝光支付宝账号以及多家银行的用户数据疑遭泄露。 国家互联网应急中心最新发布的数据显示，通过公开渠道获得疑似泄露的数据库有26个，涉及账号、密码2.78亿个。,不过，专业机构的调查结果同时表明，网上流传的数据库泄漏实际上有真有假。 国家互联网应急中心对所曝光的数据进行了抽查核实，发现部分数据是有效的，确认CSDN社区、天涯社区两家网站发生了用户数据泄露事件，但泄露原因还有待进一步分析；对于其他网站、论坛，虽然曝光数据中个别条目有效，但不能判定发生了网站、论坛用户数据泄露事件。,网银安全,网络密码和支付 安全何在？,“银行卡盗刷”事件,目前，关于银行卡被盗刷的案例屡见不鲜，人们在使用银行卡刷卡消费时常常会提心吊胆，生怕自己的银行卡被盗刷。虽然银行多次做出了防范银行卡被盗刷的措施，但是不法分子还是通过各种“高科技”手段来盗取客户的银行卡，令人发指。近期，媒体再次报道了一则高科技犯罪手段利用读卡器盗刷信用卡。 网上公然兜售“克隆银行卡”设备,“金融IC卡”推广,金融IC卡比磁条卡具有更高的安全性。它的容量大（一般容量为64KB,而磁条卡容量只有300B左右），可以存储密钥、数字证书、指纹等信息，卡上有读写保护和数据加密保护，并且在使用保护上采取个人密码、卡与读写器双向认证，具有更高的安全性。IC卡复制难度极高，具备很强的抗攻击能力，可以有效防范伪卡犯罪案件的发生。 马来西亚、我国台湾在推广金融IC卡后，其伪卡欺诈率均降到了历史最低水平。,各种不安无处不在,1.1电子商务面临的安全威胁,由于Internet的的全球性、开放性，无缝连通性、共享性和动态性，使得任何人都可以无缝接入。电子商务处在这样的环境中，时时处处受到安全威胁，这些安全威胁可以分为一下几类。,信息截获和窃取,1,信息篡改,2,信息假冒,3,交易抵赖,4,1.1电子商务面临的安全威胁,1.信息截获和窃取,如果没有采用加密措施或加密强度不够攻击者可能通过Internet公共电话网、搭线、电磁波辐射范围内安装截收装置或在数据包通过的网关和路由器上截获数据等方式，获取传输的机密信息；或者通过对信息的流量、流向、通信频度和长度等参数的分析，推出有用的信息，如消费者的银行账号、密码以及企业的商业机密等。,1.1电子商务面临的安全威胁,2.信息篡改,当攻击者获得了网络信息格式以后，通过各种方法和手段对网 络中传输的信息进行中途修改，并发往目的地，从而破坏信息 的完整性。通常破坏手段有三个方面；,1.1电子商务面临的安全威胁,3.信息假冒,当攻击者掌握了网络信息数据规律或解密了解商务信息以后，可以假冒合法用户发送假冒信息来欺骗其他用户，主要有伪造电子邮件和假冒他人身份两种方式。,1.1电子商务面临的安全威胁,4.交易抵赖,交易抵赖包括多个方面，如发信者事后否认曾经发过某条信息或内容；收信者否认曾经收到过某条信息或内容；购买者订货后不承认；商家因价格差而不承认原有的交易等。,1.1电子商务面临的安全威胁,4,3,2,1,虚假订单。一个假冒者可能会以客户的名字来订购商品，而且有可能收到商品，而此时客户却被要求付款或返还商品。,付款后不能收到商品。在客户付款后，销售中的内部人员不将订单发给执行部门，因而使客户不能收到商品。,拒绝服务。攻击者可能向销售的服务器发送大量的虚假订单来挤占他的资源，从而使合法用户不能得到正常服务。,机密性丧失。客户有可能将秘密的个人数据或自己的身份数据发给冒充销售的机构，这些信息也可能在传递过程中被窃听。,5,电子货币丢失。可能是被物理破坏或者被偷窃导致，这通常会给用户带来不可挽回的损失。,1.1.1 电子商务消费者面临的安全威胁,1.1电子商务面临的安全威胁,4,3,2,1,系统中心安全性被破坏。入侵者假冒合法用户来改变用户数据、解除用户订单或生成虚假订单。,竞争者威胁。恶意竞争者以他人名义来订购商品，从而了解有关商品的递送情况和货物的库存情况。,商业机密安全。客户资料被竞争者获悉。,假冒威胁。不诚实的人建立与销售者服务器名字相同的另一个WWW服务器来假冒销售者；虚假订单。,5,信用威胁。买方提交订单后不付款。,1.1.1 电子商务商家面临的安全威胁,1.2电子商务面临的主要攻击,攻击电子商务系统的手段,法律地位的确立,（1）中断 攻击系统的可用性。破坏系统中的硬盘、线路、文件系统等 使系统不能正常工作,电子商务系统,（2）窃听 攻击系统的机密性，通过非法搭线和电磁泄漏等手段造成信息泄密，获取有用情报,计算机网络 安全,计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，数据的保密性、完整性及可使用性受到保护。计算机网络安全包括两个方面，即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。逻辑安全包括信息的完整性、保密性和可用性。,网络交易安全紧紧围绕传统商务在互联网上应用时产生的各种安全问题，在计算机网络安全的基础上，保障以电子交易和电子支付为核心的电子商务过程的顺利进行。,商务交 易安全,电子商务安全分为两大部分：计算机网络安全和商务交易安全,1.3电子商务安全内涵,1.3电子商务安全内涵,计算机网络安全和商务交易安全关系,计算机网络安全与商务交易安全实际上是密不可分的，两者相辅相成，缺一不可。,二者关系,计算机网络安全是基础如果没有，商务交易安全就犹如空中楼阁；商务交易安全是电子商务安全的保障。,1.3电子商务安全内涵,电子商务安全等级,密码安全,局域网安全,互联网安全,信息安全,安全概念基本关系示意图,1.3电子商务安全内涵,1.3.1 电子商务安全特性,4,今天安全明天就不一定安全，因为网络的攻防是此消彼长、道高一尺、魔高一丈的事情，尤其是安全技术，它的敏感性、竞争性以及对抗性都是很强的，没有一劳永逸的安全，也没有一蹴而就的安全。,系统性,全问题不仅仅是个技术性的问题，更重要的是管理，而且它还与社会道德、行业管理以及人们的行为模式都紧密地联系在一起 。,动态性,电子商务安全特性,1.3电子商务安全内涵,1.3.2 电子商务安全内涵,4,电子商务面临的威胁导致了对电子商务安全的需求，也是真正实现一个安全电子商务系统所要求做到的各个方面，主要包括机密性、完整性、认证性、不可抵赖性、不可拒绝性，访问控制性等。如下图所示：,电子商务安全需求核心,完整性,认证性,机密性,不可拒绝性,访问控制性,不可抵赖性,1.3电子商务安全内涵,不可抵赖性,认证性,完整性,机密性,机密性又叫保密性包括交易信息的隐私问题和交易内容的机密性。是指信息在传送或存储的过程中不被他人窃取，不被泄漏或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。,完整性是保护数据不被未授权这修改、建立、嵌入、删除、重复传送或由于其他原因使原始数据被更改。,认证性是指网络两端的使用者在沟通之前相互确认对方的身份。在电子商务中，认证性一般通过CA和证书来实现。,不可抵赖性是指在电子商务交易过程中，信息双方必须对他们发送的信息进行认可。交易双方必须对自己的交易行为负责任，信息发送者和接收者都不能予以否认。进行身份识别信息进行“数字签名”，使得他们难以抵赖。,定义10,不可拒绝性,不可拒绝性又叫有效性，是指授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。,访问控制是指在网络上限制和控制通信链路对主机系统和应用的访问。,1.3.2 电子商务安全内涵,1.4电子商务安全体系结构,1.4.1电子商务安全基础技术,电子商务安全是信息安全的上层应用，他设计的技术范围比较 广，主要分为三大类；,现代社会对信息的需求大部分通过密码技术来实现，密码技术是信息安 全技术中的核心技术。,1.4 电子商务安全体系结构,1. 密码技术,法律地位的确立,（1）加密技术 加密技术是电子商务采取的主要安全保密措施，是最常用的安全保密手段，利用技术手段把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。加密技术的应用是多方面的，但最为广泛的还是在电子商务和VPN上的应用。,（2）密钥管理技术 密钥管理包括密钥的产生、存储、装入、分配、保护、丢失、销毁以及保密等内容，其中分配和存储是最棘手的问题。密钥管理不仅影响系统的安全性，而且涉及系统的可靠性、有效性和经济性。密钥管理过程中也不可避免物理上、人事上、规程上的一些问题。,密码技术三大部分,（3）签名认证技术 签名认证技术是保证信息的真实性的一种重要手段。 其目的有两个，一是验证信息的发送者是否冒充；二是验证信息的完整性,1.4电子商务安全体系结构,2.网络安全技术,网络安全技术指致力于解决诸如如何有效进行介入控制，以及何如保证数据传输的安全性的技术手段，主要包括物理安全分析技术，网络结构安全分析技术，系统安全分析技术，管理安全分析技术，及其它的安全服务和安全机制策略。当前电子商务应用领域应用最广泛的是防火墙技术、虚拟专用网技术、入侵检测技术和防病毒技术,1.4电子商务安全体系结构,3.PKI技术,PKI技术（公钥基础设施）是由公开密钥密码技术、数字证书、证书认证中心和关于公开密钥的安全策略等基本成分共同组成，管理密钥和证书的系统或平台。它为电子商务、电子政务、网上银行、网上证券交易提供一整套安全基础平台。PKI的核心元素是数字证书、其核心执行者是认证机构。,1.4电子商务安全体系结构,1.4.2电子商务安全体系结构,电子商务安全技术体系是保证电子商务中数据安全的一个完整的逻辑结构，由五部分组成，具体如下图所示：,网络隐患扫描,网络安全监控,内容识别,病毒防治,防火墙,1.4 电子商务安全体系结构,网络服务层,电子商务系统是依赖网络实现的商务系统，需要利用 Internet 基础设施和标准，所以构成电子商务安全框架的底层是网络服务层。网络服务层是电子商务的最底层，它是各种电子商务应用系统的基础，并提供信息传送的载体和用户接入的手段及安全通信服务，保证网络最基本的运行安全。主要内容包括：1）网络隐患扫描；3）内容识别；4）访问控制；5）防火墙技术，防火墙是一种用于在两个网络或多个网络之间进行访问控制的设施。保护电子商务交易网免受非法侵犯，必须采用防火墙技术保证网络的安全。它在基于Internet 的电子商务安全交易起着重要作用。网络服务层是电子商务系统基本、灵活的网络服各平台。,1.4 电子商务安全体系结构,加密技术层,为确保电子商务系统全面安全，必须建立完善的加密技术和认证机制加密技术是保证电子商务系统安全所采用的最基本的安全措施，它用于满足电子商务对保密性的需求。 加密技术是电子商务的最基本安全措施。在目前技术条件下，通常加密技术分为常规密钥密码体系（对称密钥加密算法）和公开密钥密码体系（非对称密钥加密算法）两大类。,1.4 电子商务安全体系结构,安全认证层,安全认证层中的认证技术是保证电子商务安全的又一必要手段，它对加密技术层中提供的多种加密算法进行综合运用，进一步满足电子商务对完整性、抗否认性、可靠性的要求。 目前，仅有加密技术不足以保证电子商务中的交易安全，身份认证技术是保证电子商务安全不可缺少的又一重要技术手段，安全认证技术主要有：1）数字摘要（Digital digest）技术 ，2）数字签名（Digital Signature）技术 ，3）数字时间戳（Digital Time Stamp）技术 ，4）数字凭证（Digital ID）技术，5）认证（CertificateAuthority,CA）中心，6）智能卡（Smard Card）技术,1.4 电子商务安全体系结构,安全协议层,除了各种安全控制技术之外，电子商务的运行还需要一套完善的安全交易协议。不同交易协议的复杂性、开销、安全性各不相同。同时，不同的应用环境对协议目标的要求也不尽相同。目前，比较成熟的协议有：1）Netbill 协议，2）匿名原子交易协议（Anonymous AtomicTransa