第7章电商务安全技术

1、logo1第7章 电子商务安全技术前 言通过本章的学习，让学生学习电子交易的安全需求和安全威胁，以及电子商务的安全体系角色构成。了解电子交易的安全需求和安全威胁；了解防火墙技术、vpn技术、病毒防范技术和安全检测技术；了解密码学的相关知识，理解加密技术；理解认证技术，了解认证机构（ca）的主要职能，了解数字证书的格式并尝试使用数字证书进行网络安全通信；理解ssl协议和set协议的相关知识，了解如何利用这两个协议来保证交易安全;了解公钥基础设施（pki）。logo2第7章 电子商务安全技术案例1：“互联网”事件1988年11月2日，美国康奈尔大学 学生罗伯特. 莫瑞斯将自己编写的蠕虫程序送进互联

2、网，蠕虫病毒程序具有很强的自我复制功能，快速向整个互联网蔓延。莫瑞斯开始以为无害的程序，以惊人的速度袭击了庞大的互联网，当发现情况不妙是，他本人对此已无法控制。蠕虫病毒程序造成大量数据被破坏，整个经济损失估计达9600万美元。这次“互联网”事件极大震惊了网络安全人员和其它专业人员，为网络安全敲响警钟，使网络安全成为最迫切的研究课题。logo3第7章 电子商务安全技术案例21999年在西方国家大爆发的melissa又称为“梅丽莎”或者美丽杀手，是一种word97宏病毒，专门针对微软的电子邮件服务器ms exchange和电子邮件收发系统outlook。该病毒利用outlook全域地址表来获取信箱

3、地址信息，并自动给表中前50个信箱发送电子邮件，并在其后附加一个被感染的文件list.doc,内含大量的色情网址。该病毒会在每台被感染的电脑上重复这样的动作，造成邮件服务器严重阻塞以至最后瘫痪。“梅丽莎”当年造成了超过8000万美元的经济损失。logo4第7章 电子商务安全技术案例3“熊猫烧香”2006与2007年岁交替之际，一名为“熊猫烧香”的计算机病毒在互联网上掀起轩然大波。从去年12月首次出现至今，短短一个多月，病毒已迅速在全国蔓延，受害用户至少上百万，计算机反病毒公司的热线电话关于该病毒的咨询和求助一直不断，互联网上到处是受害者无奈的求助、怨恨、咒骂，电脑里到处是熊猫烧香的图标，重要文

4、件被破坏，局域网彻底瘫痪，病毒造成的损失无法估量。logo5第7章 电子商务安全技术案例4江苏徐州捣毁涉案千余人特大网络传销集团新华网南京7月30日电 记者日前从江苏省公安厅了解到，徐州警方近期捣毁一个涉案1000余人的特大网络传销集团，这个集团租用境外服务器，以高回报率为诱饵骗取钱财，至案发非法经营数额达200多万元，主要犯罪嫌疑人贾某、顾某、魏某、刘某等被成功抓获。logo6第7章 电子商务安全技术7.1.1 电子商务的安全威胁1.信息的截获和窃取2.信息的篡改3.信息假冒4.交易抵赖7.1.2 电子商务的安全要求1.机密性2.鉴别性3.完整性4.有效性5.不可抵赖性logo7第7章 电子

5、商务安全技术7.1.3 电子商务的安全体系角色构成电子商务系统把服务商、客户和银行三方通过internet连接起来，实现具体的业务操作，电子商务安全系统除了三方的安全代理服务器外，还应该包含ca认证系统。电子商务的安全体系结构包括下列几个角色：1.银行2.服务商3.客户方4.认证机构logo8第7章 电子商务安全技术7.2.1 操作系统安全1.windows 2000安全性对安全性要求极高的金融机构和其它公司或部门会很满意这个新的操作系统。但是，全面利用windows 2000的安全性意味着必须使用active directory，并且需要相当重视管理并进行重要的培训。windows 2000

6、具有公共密钥加密基础架构。windows 2000可以使用ipsec这种加密的ip协议来加密网络上的数据。logo9第7章 电子商务安全技术2.windows 2003安全性（1）ntfs和共享权限 （2）文件和文件夹的所有权 现在，你不仅可以拥有文件系统对象（文件或文件夹）的所有者权限，而且还可以通过该文件或文件夹“高级安全设置”对话框的“所有者”选项卡将权限授予任何人。 （3）身分验证 身分验证方面的增强涵盖了基于本地系统的身份验证和基于活动目录域的身份验证。logo10第7章 电子商务安全技术7.2.2 防火墙技术防火墙是一种安全有效的防范技术措施，是在内部网和internet之间构筑的

7、一道屏障，它控制和防止内部网对外的非允许访问，也控制和防止外部的非法访问。从狭义上来讲，防火墙是指安装了防火墙软件的主机或路由器系统；从广义上看，是整个网络访问控制机制、安全策略和防入侵措施等安全行为。1.实现防火墙的主要技术实现防火墙的主要技术有：包过滤，代理服务防火墙和应用网关等。logo11第7章 电子商务安全技术7.2.2 防火墙技术包过滤路由器防火墙示意图代理服务用于双重宿主主机的原理示意图logo12第7章 电子商务安全技术7.2.2 防火墙技术2.防火墙的主要类型 (1)基于ip包过滤器的体系结构(2)双重宿主主机体系结构(3)被屏蔽主机体系结构(4)屏蔽子网体系结构logo13

8、第7章 电子商务安全技术7.2.2 防火墙技术双重宿主主机体系结构示意图屏蔽主机防火墙体系结构示意图internetlogo14第7章 电子商务安全技术7.2.2 防火墙技术屏蔽子网防火墙体系结构图logo15第7章 电子商务安全技术7.2.3 vpn技术1.vpn的概念虚拟专用网络被定义为通过一个公用网络（通常是internet）建立一个临时的安全的连接，是一条穿过公用网络的安全、稳定的隧道。vpn如何保证接入用户的合法性、保证网络访问的安全性以及系统本身的安全可靠性呢？首先，vpn产品都应该保证通过公用网络平台传输数据的专用性和安全性。其次，vpn还应当为不同网络的数据提供不同等级的服务质

9、量保证。其三，对于带宽和流量的控制。 logo16第7章 电子商务安全技术2.实现vpn的安全协议实现vpn通常用到的安全协议主要包括socks v5、ipsec和pptp/l2tp。3.如何才能建立vpn (1)各站点必须在网络设备上建立一台具有vpn功能的设备；(2)各站点必须知道对方站点使用的ip地址；(3)两站点必须对使用的授权检查和需要采用的数字证书方式达成一致；(4)两站点必须对需要使用的加密方法和交换密钥的方法达成一致。logo17第7章 电子商务安全技术7.2.3 vpn技术两个internet站点之间建立的vpn示意图logo18第7章 电子商务安全技术4.vpn应用（1）通

10、过internet实现安全远程用户访问（2）通过internet实现网络互联（3）连接企业内部网络计算机5.vpn产品选项（1）基于防火墙的vpn（2）基于路由器的vpn（3）专用软件或硬件logo19第7章 电子商务安全技术7.2.4 病毒防范技术1.病毒的概念计算机病毒是一种有很强破坏和感染力的计算机程序。这种程序和其他程序不同，当把它输入正常工作的计算机以后，会搞乱或者破坏已有的信息。它具有再生的能力，会自动进入有关的程序进行自我复制，冲乱正在运行的程序，破坏程序的正常运行。它像微生物一样，可以繁殖，因此被称为“计算机病毒”。logo20第7章 电子商务安全技术2.病毒类型计算机病毒的种

11、类很多，分类方法也很多，按工作机理分类可以把病毒分为以下几种：(1)引导区病毒(2)文件型病毒(3)入侵型病毒 (4)外壳型病毒按传播媒介分类可以把病毒分为以下几种：(1)单机病毒。(2)网络病毒。logo21第7章 电子商务安全技术2.病毒类型病毒种类太多，反病毒公司为了方便管理，他们会按照病毒的特性，将病毒进行分类命名。一般格式为：.。常见的病毒前缀的解释（针对windows操作系统）： (1)系统病毒 (2)蠕虫病毒 (3)木马病毒、黑客病毒 (4)脚本病毒 (5)宏病毒 (6)后门病毒 logo22第7章 电子商务安全技术3.病毒的特性病毒表现的几种常见特性如下：(1)感染性(2)流行

12、性(3)欺骗性(4)危害性(5)潜伏性(6)隐蔽性4.病毒的预防计算机病毒的防治要从防毒、查毒、解毒三个方面进行。logo23第7章 电子商务安全技术7.2.5 安全检测技术1.入侵检测技术(1)入侵检测的含义入侵行为主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。入侵检测（intrusion detection）定义为“识别非法用户未经授权使用计算机系统，或合法用户越权操作计算机系统的行为”，通过对计算机网络中的若干关键点或计算机系统资源信息的收集并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。logo24第7章 电子商务安全技术

13、1.入侵检测技术(2)入侵检测系统的主要任务入侵检测系统执行的主要任务包括：监视和分析用户及系统活动；审计系统构造和弱点；识别和反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计和跟踪管理操作系统，识别用户违反安全策略的行为。logo25第7章 电子商务安全技术1.入侵检测技术(3)入侵检测系统的分类按数据源分类a基于主机的入侵检测系统b基于网络的入侵检测系统按系统结构分类a集中式入侵检测系统b分布式入侵检测系统按入侵的时间分类a实时入侵检测系统b事后入侵检测系统logo26第7章 电子商务安全技术2.安全评估技术安全检测和评估是一项复杂的系统工

14、程，需要很多不同背景的人员，从各个不同的方面支认真研究分析。一种可行的有效的思路是：首先进行各个单项检测与评估，然后再进行综合检测与评估。为了减少因系统存在的安全漏洞而造成的黑客攻击，应当利用现有的网络安全分析系统分析网络系统结构和配置，同时利用漏洞扫描技术进行系统安全扫描，扫描操作系统和数据库系统的安全漏洞与错误配置，及时发现系统中的弱点或漏洞。logo27第7章 电子商务安全技术7.3.1 密码学概述1.密码学的含义密码学是研究加密和解密变换的一门科学。它包含两个分支，一是密码编码学；另一个是密码分析学。密码编码学是对信息进行编码，实现隐蔽信息的一门学科。密码分析学是研究分析破译密码的学科

15、。即在未知密钥的情况下，从密文推出明文或密钥的技术。密码学正是在这种破译和反破译的过程中发展起来的，这两门学问合起来就称为密码学。logo28第7章 电子商务安全技术2.密码系统中的几个概念明文:人们将可懂的文本称为明文。密文:将明文变换成的不可懂的文本称为密文。加密:把明文变换成密文的过程叫加密。解密:把密文变换成明文的过程叫解密。密码体制:完成加密和解密的算法称为密码体制。在计算机上实现的数据加密算法，其加密或解密变换是由一个密钥来控制的。密钥:是由使用密码体制的用户随机选取的，密钥成为唯一能控制明文与密文之间变换的关键，它通常是一随机字符串。logo29第7章 电子商务安全技术7.3.2

16、 对称密钥密码体制1.数据加密标准desdes（data encrypt standard）是对称加密算法中最具代表性的。des算法原是ibm公司为保护产品的机密研制成功的，后被美国国家标准局和国家安全局选为数据加密标准，并于1977年颁布使用。对称密钥算法提供了一种保护信息机密性的途径。logo30第7章 电子商务安全技术1.数据加密标准des对称密钥数据加/解密过程示意图logo31第7章 电子商务安全技术2.对称加密技术（des）的优缺点对称加密技术（des）的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。对称加密技术要求通信双方事先交换密钥，当系统用户多时，例如在

17、网上购物的环境中，商户需要与成千上万的购物者进行交易，若采用简单的对称密钥加密技术，商户需要管理成千上万的密钥与不同的对象通信，除了存储开销以外，密钥管理是一个几乎不可能解决的问题。logo32第7章 电子商务安全技术7.3.3 非对称密钥密码体制非对称密钥密码体制最主要的特点就是加密和解密使用不同的密钥，每个用户保存着一对密钥公开密钥和秘密密钥。1.rsa算法1977年，rivest、shamir和adleman三人实现了公开密钥密码体制，并以三个人名字的首字母命名，简称rsa公开密钥体制。logo33第7章 电子商务安全技术1.rsa算法对称密钥数据加/解密过程示意图logo34第7章 电

18、子商务安全技术2.公开密钥技术（rsa）的优缺点公开密钥技术解决了密钥的发布和管理问题，商户可以公开其公开密钥，而保留私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送给该商户，然后由商户用自己的私有密钥进行解密。虽然公钥体制消除了秘密密钥共享的问题，但并没有一个完整的解决方案，仍然有很多的缺点。相对于对称密钥算法来说，公钥算法计算速度非常慢。另外，公钥算法也要求一种使公钥能广为发布的方法和体制，所以把公钥算法和对称算法结合起来不失为一种最佳的选择。logo35第7章 电子商务安全技术7.3.4 pgp加密技术pgp（pretty good privacy）是由美国的ph

19、il zimmermann于20世纪90年代初开发的。它是一个完整的电子邮件安全软件包，包括加密、认证、数字签名和压缩等技术。1.pgp的功能(1)加密文件 (2)密钥生成 (3)密钥管理 (4)收发电子函件 (5)数字签名 (6)认证密钥 2.pgp工作工程 logo36第7章 电子商务安全技术7.4.1 认证技术认证（authentication）是指核实真实身份的过程，是防止主动攻击的重要技术。它对于保证开放环境中各种信息系统的安全性有重要作用。认证主要分为以下两个方面:第一是消息认证。第二是实体认证。1.消息认证消息认证是一种过程，它使得通信的接收方能够验证所收到的报文（发送者、报文内

20、容、发送时间和序列等）在传输的过程中是否被假冒、伪造和篡改，是否感染上病毒等，即保证信息的完整性和有效性。logo37第7章 电子商务安全技术2.实体认证信息系统的安全性还取决于能否验证用户或终端的个人身份。一个身份证明系统一般由三方组成：一方是示证者，由证件的持有人提出某种请求，并出示证件；一方是验证者，检验示证者出示的证件的正确性和合法性；第三方是认证机构，它一般由权威机构充当，我们把此类技术就称为身份证明技术或认证技术。logo38第7章 电子商务安全技术7.4.2 证书机构（ca）证书机构(certification authority，即ca) 是一个可信的第三方实体，其主要职责是保

21、证用户的真实性。证书机构的主要功能有以下几个：1.证书的颁发2.证书的更新3.证书的查询4.证书的作废5.证书的归档logo39第7章 电子商务安全技术7.4.3 数字证书数字证书又称为数字标识（ digital certificate，digital id）。它提供了一种在internet 上进行身份验证的方式，是用来标志和证明网络通信双方身份的数字信息文件，与司机驾照或日常生活中的身份证相似。1.数字证书的作用(1)除发送方和接收方外信息不被其他人窃取；(2)信息在传输过程中不被篡改；(3)接收方能够通过数字证书来确认发送方的身份；(4)发送方对于自己发送的信息不能抵赖。logo40第7章

22、 电子商务安全技术3.证书的类型(1)个人证书(2)单位数字证书(3)服务器证书(4)安全电子邮件证书4.数字证书的应用(1)通过s/mime协议实现安全的电子函件系统；(2)通过ssl协议实现浏览器与web服务器之间的安全通信；(3)通过set协议实现信用卡网上安全支付。logo41第7章 电子商务安全技术7.5.1 ssl协议ssl协议最初是由netscape communication公司设计开发的，又叫“安全套接层（secure sockets layer）协议”。它采用了公开密钥技术，其目标是保证两个应用者间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。1.ssl协议提供

23、的三种基本的安全服务(1)秘密性(2)认证性(3)完整性logo42第7章 电子商务安全技术2.ssl协议的实现模型ssl协议实现模型示意图3.ssl的应用ssl的典型应用主要有两个方面：一是客户端；另一个是服务器端。应用层协议（http、telnet、ftp、smtp等） ssl握手协议(handshake protocol) ssl记录协议(record protocol) tcp协议 ip协议 网络接口层（各种局域网和广域网） logo43第7章 电子商务安全技术7.5.2 set协议ssl并没有实现电子支付所要求的保密性、完整性和不可抵赖性，而且实现多方互相认证也是很困难的。ssl协议

24、将逐渐被新的安全电子交易（secure electronic transactions，即set）协议所取代。1.set协议中利用的主要技术在set协议中利用的主要技术有：加密技术如rsa和des算法、数字拇印或数字摘要、数字信封、数字签名、数字时间戳、数字证书等技术。logo44第7章 电子商务安全技术1.set协议中利用的主要技术数字拇印的形成过程示意图数字签名的实现过程示意图数字签名的实现过程示意图 数字信封的形成过程示意图数字信封的形成过程示意图 logo45第7章 电子商务安全技术2.set协议中所涉及的主要对象set协议中所涉及的对象主要有：消费者即持卡人(cardholder)、

25、商家（merchant）、收单银行(acquiring bank)、发卡行(issuing bank)、支付网关(payment gateway)认证机构(certificate authority)。logo46第7章 电子商务安全技术3.set协议的支付模型set协议的模型示意图logo47第7章 电子商务安全技术7.5.3 公钥基础设施（pki）公钥基础设施（public key infrastructure，即pki）是由加拿大的entrust公司开发的，支持set、ssl协议、电子证书和数字签名等。pki为一组安全服务的集合，可以在分布式计算机系统中使用公钥加密机制和证书。1.pki的组成 (1)认证机构 (2)证书库 (3)密钥管理系统 (4)证书管理系统 (5)pki应用接口系统。logo48第7章 电子商务安全技术2.