网络安全管理及实用技术-第11章-电子商务的安全管理PPT课件.ppt

第11章电子商务的安全管理 教育部高校管理与工程教学指导委员会 机械工业出版社 网络安全管理及实用技术 主编贾铁军副主编嵩天常艳编著王雄俞小怡刘雪飞苏庆刚宋少婷 全国高校管理与工程类学科系列规划教材 目录 2 目录 本章要点 电子商务的安全管理制度 电子商务安全协议和证书 电子商务安全管理解决方案教学目标 了解电子商务安全技术的概念 理解电子商务安全管理制度制定的原则 掌握基本安全协议IPSec SSL SET和3 DSECURE 学会运用安全管理解决方案 重点 3 11 1 1电子商务概述1 电子商务的概念在对电子商务认知识的发展和完善过程中 各国政府 学者和企业对其基本概念给出了不同的诠释 全球信息基础设施委员会的定义是 电子商务是以电子通信为手段的经济活动 通过这种方式对带有经济价值的产品和服务进行宣传 购买和结算 IBM公司对电子商务的解释是 电子商务是在Internet的广泛联系与传统信息技术系统丰富资源相结合的背景下产生的一种在互联网上展开的互相关联的动态商务活动 全球电子商务纲要 是美国政府电子商务发展政策的纲领性文件 其中把电子商务定义为 通过Internet进行的各项商务活动 包括广告 交易 支付和服务等 11 1电子商务安全管理概述 4 电子商务概念的总结 政府 企业和个人利用现代计算机设备与网络技术实现商业活动的全过程 是一种基于互联网 以交易双方为主体 以银行电子支付和结算为手段 以客户数据为依托的商务模式 电子商务是集企业管理信息化 金融电子化和商贸信息网络化为一体 旨在实现信息流 现金流和物流的流动成本最小化 效率和效益最大化的现代贸易方式 11 1电子商务安全管理概述 5 11 1 1电子商务概述2 电子商务的交易模式 1 按照参与交易的对象划分 2 企业对消费者 BusinesstoCustomer B2C 模式 是指商业企业与个体消费者间进行的商业活动 以网络零售业为主线 目前有当当网 卓越网等成功案例 3 消费者对消费者 CustomertoCustomer C2C 模式 也称网上拍卖模式 其中代表有淘宝网 1 企业对企业 BusinesstoBusiness B2B 模式 是指商业企业之间产生的商业活动 例如 国内著名电子商务网站 阿里巴巴 11 1电子商务安全管理概述 6 11 1 1电子商务概述2 电子商务的交易模式 2 按照交易产品的类型划分 2 无形商品交易模式 是指以信息载体形式出现的商品 以网上订阅 付费浏览 广告支持和网上赠与的方式来实现交易 1 实物商品交易模式 是指传统的有形商品和劳务 通过互联网进行交易撮合 而交付时通过传统物流来实现交易 11 1电子商务安全管理概述 7 3 电子商务的交易流程 电子商务交易涉及相关部门 11 1电子商务安全管理概述 8 电子商务的交易流程分为五个环节 买卖双方和参加交易的各方在互联网的平台上随时随地进行签约前的准备活动 买卖双方通过网络平台对相关交易细节进行谈判 在必要的确认和核实的基础上 将双方磋商的结果确定为电子贸易合同 买卖双方签订合同后到合同开始履行前办理各种手续的过程 卖方要备货 组货 包装 起运和发货 双方通过物流跟踪系统掌握货物的流转 金融机构按照合同记录和保存应付款项 当买方确认后 完成放款 受损方向违约方提出索赔和复议请求 并履行其商定方案 11 1电子商务安全管理概述 9 11 1 2电子商务安全问题的特征1 电子商务系统自身的安全问题2 交易传输过程中的信息安全3 电子商务企业内部安全管理隐患4 电子商务安全的法律保障5 电子商务的信用安全问题6 电子商务的支付安全问题 11 1电子商务安全管理概述 10 11 1 3电子商务安全的概念1 物理层的安全管理电子商务应用系统实体设备的安全管理2 软件层的安全管理电子商务应用系统和数据的安全管理3 人事层的安全管理在电子商务交易过程中涉及到人员的安全管理4 信用安全的管理在电子商务交易过程中建立安全可靠的信用管理体制5 电子商务安全立法逐步推进和制定相关电子商务的法律法规 11 1电子商务安全管理概述 11 11 1 4电子商务安全管理的要素 11 1电子商务安全管理概述 12 11 1 5电子商务安全管理的体系结构 11 1电子商务安全管理概述 13 课堂讨论什么是电子商务 你应用过哪些电子商务产品 分析一下电子商务安全管理的几大要素 电子商务的交易流程一般分几个步骤 11 1电子商务安全管理概述 14 11 2 1电子商务安全管理的原则1 安全责任到人的管理原则2 专职安全管理原则3 减少人为因素原则4 多人或交叉负责原则5 人员轮岗原则6 最小权限原则 11 2电子商务的安全管理制度 15 11 2 2电子商务安全管理制度的内涵应用系统集成安全管理制度数据存储和管理制度网络传输系统安全管理制度人员安全管理制度 11 2电子商务的安全管理制度 一些新的IT技术在电子商务系统中的应用 如无线网络 移动存储 远程办公等 使电子商务网络面临的风险更加复杂化 威胁电子商务安全的因素涉及电子商务应用系统集成 数据存储和管理 网络传输系统和人员安全管理四方面的内容 因此 电子商务安全管理制度的内涵也主要针对这四方面做出具体的规范和制约 16 1 应用系统集成安全管理制度 11 2电子商务的安全管理制度 应用系统集成安全管理制度是从软件开发过程就已经渗透的 对安全问题考虑不周或缺乏整体的规划会给应用系统的使用带来无法弥补的硬伤 所以必须在概要设计阶段就专题规划安全管理的策略 其次 承载着应用系统的操作系统的管理也是不可忽视的重要组成部分 操作系统的动态连接模式 文件交互功能 系统进程等待和为系统开发人员预留的无口令登录 都需要得到有效的管理和限制 最后 应用系统本身的维护和操作管理更是重中之重 直接关系到电子商务系统的安全性和可靠性 17 2 数据存储和管理制度 11 2电子商务的安全管理制度 电子商务系统中的数据库和其它计算机系统一样 是系统的灵魂和核心所在 数据存储和管理制度是保证数据库在极端情况下也能维持正常功能 而且不被非法入侵和蓄意破坏 比如当数据库中存在不符合语义的数据和由于错误信息的输入而造成无效操作和错误结果的情况 或者在多个用户并行地存取共享数据资源时 就可能造成取出时的数据和存入时的数据不一致的结果 这就需要采用具备良好的自身保护机制和并发处理机制的分布式数据库管理系统来完成 使得外部用户无法破解存储在单元表中的信息 并利用系统自身的加密功能防御外来程序的攻击 18 3 网络传输系统安全管理制度 11 2电子商务的安全管理制度 电子商务系统的流转必须通过网络传输完成 在信息中心没有找到入侵缺口的攻击者就会将网络传输定为攻击的下一个重要目标 国际标准化 ISO 把网络管理制度划分为五个领域 分别是 故障 性能 配置 记账和安全 故障管理 负责检测或发现异常的网络运转 隔离并控制网络问题 性能管理 负责分析网络出错率及网络吞吐率 以建立合理 优化的网络运行状态 记账管理 负责搜集资源 处理资源和利用数据 配置管理 负责检测网络的物理和逻辑配置 把握和控制网络状态 安全管理 负责控制各种对网络的访问 通过对这五个领域的网络管理制度的细化 可以更有效地防范在网络传输环节上的系统风险 19 4 人员安全管理制度 11 2电子商务的安全管理制度 计算机网络犯罪 往往具备智能型 隐蔽性和连续性的特点 一些所谓精英 抓住系统漏洞 自以为技高一筹 可以做到不露蛛丝马迹 而铤而走险 结果从企业的骨干力量嬗变成可悲的犯罪分子 所以需要有效的安全管理制度才能约束和纠正人员的行为 做到预防为主 安全制度的制定实施 首先要增强人员的整体安全意识 提高安全手段和策略实施的技巧 并区分不同对象 制定针对不同类型对象的不同安全管理制度 20 11 2 3电子商务系统的日常维护制度1 执行严格的出入管理制度2 网络系统的日常维护制度3 对支撑软件的日常维护制度4 严格执行密码管理规定和保密制度5 认真执行病毒防范制度6 运行中心和开发调试机房隔离制度7 操作日志制度8 检查考核制度 11 2电子商务的安全管理制度 21 11 2 5备份 审计和应急管理软硬件的备份管理网络交易日志审计据存储和管理制度应急预案与应急措施 11 2电子商务的安全管理制度 11 2 4备份 审计和应急管理软硬件的备份管理网络交易日志审计据存储和管理制度应急预案与应急措施 课堂讨论1 如何减少人为因素对电子商务安全的干扰 2 结合具体单位 制定本单位的机房安全管理细则 3 电子商务中的灾难事件是指什么 22 11 3 1电子商务安全协议概述表11 1常用安全协议概要 11 3电子商务安全协议和证书 23 11 3 2基于网络层的安全协议 IPSecIPsec是一系列协议的总称 下面介绍其中核心的三个协议 IKE InternetKeyExchange 协议ESP EncapsulatingSecurityPayload 协议AH AuthenticationHeader 协议 11 3电子商务安全协议和证书 IPsec协议是由国际标准化组织IETF制定的加密通信协议 IPsec的特征是不仅仅针对某种应用程序提供加密功能 而且是提供把主机间的所有通信都加密的一种通信方式 IPsec并没有指定特定的加密算法 因为随着计算机计算能力的增强 原来安全的加密算法将变得不再安全 可以灵活变更加密算法的设计使得IPsec能够有更长久的生命力 24 1 密码交换协议 IKE IKE加密通信由两个阶段构成 第一阶段在决定第二阶段的加密算法的同时 生成密钥 这时利用Diffie Hellman密钥交换方式 通信双方互送一个随机数 并根据这个随机数生成一个双方共用的密钥 而网络窃密者即使得到了同样的随机数 也不能在短时间内生成这个密钥 在生成了这个密钥后 就进入第二阶段 变成IKE密码通信 在这个阶段双方交涉完成加密算法确定 密钥交换工作 为以后的数据通信做好准备 在这个阶段 SPI SecurityPointerIndex 也被确定下来 SPI是一个32位的整数 包含有通信中使用的加密算法和密钥信息 在以后的数据通信中SPI被插入到每个通信的数据包中 11 3电子商务安全协议和证书 25 2 数据传送协议 ESP图11 2数据传送协议ESP构造示意图 图11 2数据传送协议ESP构造示意图 11 3电子商务安全协议和证书 26 3 安全性和认证协议 AH AH协议为IP通信提供数据源认证 数据完整性和反重播确保 它能保护通信免受篡改 但不能防止窃听 适合用于传输非机密数据 它可以在一些不允许使用加密通信的场合保证最低限度的安全性和认证能力 AH的工作原理是在每一个数据包上添加一个身份验证报头 此报头包含一个带密钥的MAC数据 和上一节讲述的一样 这个MAC数据根据整个数据包来计算 对数据的任何更改将导致MAC数据无效 这样就提供了完整性保护 11 3电子商务安全协议和证书 27 11 3 3基于传输层的安全协议 SSLSSL安全协议的原理和构造SSL SecureSocketLayer 协议是加密 认证以及完整性保证的协议 该协议位于OSI模型的第五层会话层和第四层传输层之间 从应用层来看是完全透明的 可以方便地应用于HTTP FTP TELNET等协议之下 11 3电子商务安全协议和证书 28 11 3电子商务安全协议和证书 29 11 3电子商务安全协议和证书 30 11 3 4基于应用层的安全协议 SET和3 DSECURESET协议SET协议是用于网上信用卡支付的协议 由美国Visa组织和Master组织共同开发 微软 网景 IBM等公司联合进行了标准化的一个协议 它的加密算法采用DES或RSA 数字签名采用RSA方式 为了能够进行安全的交易 该协议规定会员 消费者 加盟店 网上商店 支付金融机关 信用卡公司 银行等 这三者都必须取得证书 并为他们制定了严格的交易流程 利用SET协议前 首先要在客户端安装的电子钱包软件 另外还要按照规定手续 取得数字证书 取得证书后就可以进行交易 11 3电子商务安全协议和证书 31 11 3电子商务安全协议和证书 32 11 3 4基于应用层的安全协议 SET和3 DSECURE2 3 DSECURE协议Visa组织于2001年5月推出了新一代的互联网的结算用协议3 DSECURE 3 DomainSecure 国际上的另外两大信用卡组织Master和JCB也宣布支持这个协议 和SET相比 消费者不用事先安装证书或其他软件 加盟店也能够以较低廉的费用导入该系统 因此近年来得到了一定程度的普及 3 DSecure是把SSL交易分为发卡行域 收单行域以及它们之间的互操作域三个领域 每次进行信用卡交易都由发卡行域和收单行域独立进行消费者和加盟店的认证 认证通过后 再进行正常的信用卡授信过程 11 3电子商务安全协议和证书 33 11 3电子商务安全协议和证书 34 11 3 5数字证书的原理和概念数字证书就是由具有公信力的认证机构 CA 发行的用来证明其中包含的公开键的真实有效性的一组数据 这组数据中包含有公开键 加密算法信息 所有者的数据 证明机关的数字签名和证明书的有效期间等信息 国内首批获得信息产业部颁发的电子认证服务许可证书 成为取得国家电子认证服务资格的8家机构有山东省数字证书认证中心 银联金融认证中心 北京天威诚信电子商务服务和上海市数字证书认证中心等 11 3电子商务安全协议和证书 35 X509证书是最为广泛使用的证书 是ISO组织制定的标准规格 内容包括证书序列号 证书持有者名称 证书颁发者名称 证书有效期 公钥 证书颁发者的数字签名等 这里就以X509证书为例来说明数字证书的构造 证书的每一项内容解释如下 Version 版本 该项是可选项 默认是v1 SerialNumber 认证机构发行的唯一的序列号 有了这个序列号 即使给同一个被认证者发行过多次证书 也可以予以区别 SignatureAlgorithm 数字署名用的算法 Issuer 证书发行者的别名 Validity 证书的有效日期 开始日 结束日 Subject 证明对象的识别名 SubjectPublicKeyInfo 公开键信息 算法 键值 X509v3extensions 可选项 版本3的扩展内容Signature 数字签名部分 11 3电子商务安全协议和证书 36 课堂讨论1 总结Ipsec协议的功能和特点 2 试分析SSL协议的原理和构造 3 尝试在现有的系统上加载客户证书的实验 11 3电子商务安全协议和证书 37 11 4 1电子支付的概念 所谓电子支付 是指从事电子商务交易的当事人 包括消费者 商家和金融机构等 通过计算机信息网络 使用安全的信息传输手段 采用数字化方式进行的货币支付或资金流转 与传统的支付方式相比 电子支付具有方便 快捷 高效 经济的优势 只要能够连接到互联网 用户可以利用电脑 手机等通信终端设备 足不出户 在短时间内完成整个支付过程 而支付的费用和所需的时间却要比传统支付要低得多 11 4电子商务安全解决方案 38 11 4 2第三方支付概述及解决方案 第三方支付 是指一些独立于电子商务中买方和卖方的第三方机构设立的为买方和卖方顺利实现交易提供支付中介服务的支付方式 第三方机构往往是信誉良好的大企业或者银行等 在买方和卖方看来 通过第三方独立机构提供的交易支持平台 交易更方便快捷 更有安全保障 在交易中 买方选购商品后 使用第三方平台进行货款支付 这时货款并没有实际支付给卖方 而是由第三方予以临时保管 此时第三方通知卖家货款已到达 可以进行发货 买方检验物品后 就可以通知第三方付款给卖家 第三方再将款项真正转至卖家账户 11 4电子商务安全解决方案 39 11 4电子商务安全解决方案 40 11 4 3移动支付概述及解决方案 移动支付 又称手机支付 是指用户使用移动手持设备 通过无线网络 包括移动通信网络和广域网 购买实体或虚拟物品以及各种服务的一种新型支付方式 随着手机的普及和网上购物等小额支付的巨大市场需求 移动支付的产业化初露端倪 移动支付正逐渐被越来越多的人接受 移动支付的方式大体上可以分为两大类 一类是利用手机的移动通信功能的远程支付方式 另一类是在手机中利用NFC RFID等技术实现的非接触式支付方式 11 4电子商务安全解决方案 41 11 2 5备份 审计和应急管理软硬件的备份管理网络交易日志审计据存储和管理制度应急预案与应急措施 11 4电子商务安全解决方案 11 4 4电子商务安全技术发展趋势1 生物认证技术2 量子加密技术3 IPV6技术 课堂讨论1 讨论关于电子支付的现在和未来 2 试分析日本的钱包手机在中国实施的可行性 3 讨论哪一种生物认证技术最有可能在未来五十年占有市场 42 11 5数字证书的获取与管理实验 在上一节了解了数字证书的原理的基础上 本节来学习如何获取证书和对证书的管理 为了更好地理解证书的生成过程 将自己动手建立一个CA认证中心 通过这个CA来发放证书 11 5 1实验目的进行如何获取证书和对证书的管理实验 主要具有3个目的 学习利用开源软件建立自我认证中心 发行客户端 服务器端证书的过程 2 学习Win32OpenSSL 0 98k ActivePerl 5 10 1等开源软件的安装和使用 3 学习电子商务网站中使用证书认证时的配置方式 43 11 5数字证书的获取与管理实验 11 5 2实验要求及方法1 实验设备本试验使用一台安装有WindowsXP操作系统的计算机 在网上下载并事先安装下列软件 WEB服务器tomcat6 0 20 JDK6 发行证书用的Win32OpenSSL 0 98k 另外为了在win32下运行Perl脚本 还需要安装ActivePerl 5 10 1 2 注意事项 1 预习准备提前对这些软件的功能和使用方式做一些了解 以利于对于试验内容的更好理解 2 注意弄懂实验原理 理解各步骤的含义对于操作的每一步要着重理解其原理 对于证书制作过程中的各种中间文件 最终生成的证书 证书导入操作等要充分理解其作用和含义 实验用时 3学时 120 150分钟 44 11 5数字证书的获取与管理实验 11 5 3实验内容及步骤证书的发行管理及使用需要如下几个步骤 1 建立CA 2 发行服务器端证书 3 发行客户端证书 4 修改Tomcat设置 5 向浏览器导入证书 6 使用证书访问网站 下面将分步进行详细说明 准备工作 首先在C盘下建立一个C web ssl目录 在这个目录下建ca server client三个子目录 分别用来存放CA信息 服务器端证书信息 客户端证书信息 45 11 5数字证书的获取与管理实验 1 建立CA 首先把OpenSSL的bin目录中的CA pl openssl cfg文件拷贝到C web ssl ca下 并把openssl cfg文件中 CA default 下的dir变量作如下修改 dir c web ssl ca修改完成后 运行下面的Perl脚本 CA pl newca按照提示依次输入国名 省市名称 公司部门名称等信息 如图11 10所示 图11 10CA注册信息 46 11 5数字证书的获取与管理实验 上述命令执行完后会在C web ssl ca下生成一系列文件和目录 其中cacert pem是CA的证书 private下的文件是CA的私钥 把CA的证书转换成Tomcat能够识别的二进制格式的证书opensslx509 incacert pem outformDER outcacert der 2 发行服务器端证书建立Tomcat用密钥仓库 keystore 使用RSA算法 密钥仓库放在c web ssl keystore中 执行下述命令 JAVA HOME bin keytool genkey aliasserver keyalgRSA keystorec web ssl keystore 如图11 11所示 47 11 5数字证书的获取与管理实验 图11 11发行服务器端证书 48 11 5数字证书的获取与管理实验 建立证书发行申请 文件名为serverreq csr JAVA HOME bin keytool certreq keyalgRSA aliasserver fileserverreq csr keystorec web ssl keystore利用上面生成的申请来发行证书 证书文件名为server pem 随后把证书转换成二进制格式的server der 这里使用的openssl server cfg是配置文件 把CA使用的openssl cfg拷贝到c web ssl server下 命名为openssl client cfg 去掉nsCertType server行的注释 然后执行下面两个命令 opensslca configopenssl server cfg inserverreq csr outserver pemopensslx509 inserver pem outformDER outserver der 49 11 5数字证书的获取与管理实验 下一步是把上面生成的服务器端证书导入Tomcat密钥仓库 首先是CA证书 然后是服务器证书 JAVA HOME bin keytool import aliasroot file ca cacert der keystorec web ssl keystore显示类似下面的画面后 询问是否信任这个认证 回答 y 后 CA的根证书被正确加入到密钥仓库中 如图11 12所示 图11 12证书加载 50 11 5数字证书的获取与管理实验 用如下命令导入服务器证书 JAVA HOME bin keytool import aliasserver fileserver der keystorec web ssl keystore 如图11 13所示 图11 13导入服务器证书 51 11 5数字证书的获取与管理实验 3 发行客户端证书首先把openssl cfg拷贝到c web ssl client下 命名为openssl client cfg 然后去掉nsCertType client email行的注释 生成客户端用密钥 文件名为client key Opensslgenrsa des3 outclient key1024 如图11 14所示 图11 14发行客户端证书 52 11 5数字证书的获取与管理实验 生成客户端证书要求 文件名为clientreq pem opensslreq new days365 keyclient key outclientreq pem同上回答完类似图11 9