电子商务安全技术与安全目标

1、第七章 电子商务安全电子商务务的安全全目标电子商务务安全技技术电子商务务的安全全管理本章主要要内容第一节电电子商商务的安安全目标标一、电子子商务面面临的威威胁二、电子子商务安安全的目目标1.黑黑客攻击击2.搭搭线窃窃听3.伪伪装身身份4.信信息泄密密、篡改改、销毁毁5.间间谍软件件袭击6.网网络钓鱼鱼一、电子子商务面面临的威威胁二、电子子商务安安全的目目标完整性保密性可靠性不可否认认性安全目标标真实性第二节电电子商商务安全全技术一、加密密技术二、认证证技术三、安全全协议四、防火火墙技术术一、加密密技术1.对对称加密密体制的的工作过过程(如如图所示示） （一）对对称加加密体制制2.对对称加加密体

2、制制的优点点与缺点点1）算法法简单，系统开开销小；2）加密密数据效效率高，速度快快；3）适合合加密大大量数据据。1）密钥钥难以共共享；2）管理理密钥有有困难；3）无法法实现数数字签名名和身份份验证；4）密钥钥的分发发是加密密体系中中最薄弱弱、风险险最大的的环节。优点缺点3.对对称加密密体制的的算法DES（DataEncryption Standard）是一一个对称称的分组组加密算算法。DES算算法以64位为为分组进进行明文文的输入入，在密密钥的控控制下产产生64位的密密文；反反之输入入64位位的密文文，输出出64位位的明文文。它的的密钥总总长度是是64位位，因为为密钥表表中每个个第8位位都用用

3、作奇偶偶校验，所以实实际有效效密钥长长度为56位。DES算算法可以以通过软软件或硬硬件实现现。（二）非非对称加加密体制制2.非非对称称加密体体制的优优点与缺缺点1）密钥钥管理简简单；2）便于于进行数数字签名名和身份份认证，从而保保证数据据的不可可抵赖性性；1）算法法复杂；2）加密密数据的的速度和和效率较较低；3）存在在对大报报文加密密困难。优点缺点3.非非对称加加密体制制的算法法RSA是是1978年由由R.L.Rivest、A.Shamir和L.Adleman设设计的非非对称的的方法，算法以以发明者者的名字字的首字字母来命命名的。它是第第一个既既可用于于加密，也可用用于数字字签名的的算法。RS

4、A只只用于少少量数据据加密，在Internet中广泛泛使用的的电子邮邮件和文文件加密密软件PGP(Pretty GoodPrivacy)就就是将RSA作作为传送送会话密密钥和数数字签名名的标准准算法。（三）两两种加密密体系的的对比比较项目对称加密体制非对称加密体制代表算法DESRSA密钥数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有,一个公开密钥管理简单不好管理需要数字证书及可靠的第三者相对速度非常快慢主要用途大量数据加密数字签名密钥分配加密（四）对对称与非非对称加加密体系系的结合合在实际应应用中，通常将将利用DES对对称加密密算法来来进行大大容量数数据的加加密，而而采用RSA非非对称加

5、加密算法法来传递递对称加加密算法法所使用用的密钥钥。这种二者者结合的的体系，就集成成了两类类加密算算法的优优点，既既实现了了加密速速度快的的优点，又实现现了安全全方便管管理密钥钥的优点点。用户的特特征用户所拥拥有的用户所知知道的二、认证证技术指纹虹膜DNA声音用户的行行为身份证护照密钥盘密码口令 （一）身身份认认证概述述（二）消消息认证证概述数字签名名原理示示意图数字时间间戳数字时间间戳服务务（DigitalTime-StampService，DTS）由专门门的机构构提供。能提供供电子文文件发表表时间的的安全保保护。数字时间间戳是一一个经加加密后形形成的凭凭证文档档，它包包括三个个部分：需加时

6、间间戳的文文件的摘摘要；DTS收收到文件件的日期期和时间间DTS的的数字签签名。三、安全全协议（一）传传输层安安全协议议SSL1.秘秘密性性：使用对称密钥钥实现数据据加密，确保连连接安全全。2.完完整性性：使用安全全的哈希函数数如MD5、SHA等计计算校验验码，确确保了信信息的完完整性和和可靠性性连接。3.认认证性：通过非对称加加密技术术实现身份份验证。BANK顾客商家银行商品选择择，订单单的完成成数字签名名(3)向向消费费者所在在银行请请求支付付认可。(4)商商店发发货或提提供服务务，请求求支付。（二）应应用层层安全协协议SET交易流程程示意图图SET协议的目目标SET协协议保证证了在电电子

7、交易易过程中中：(1)机机密性-保证证信息的的安全传传输。(2)数数据完整整性-保证电电子商务务参与者者信息的的相互隔隔离。(3)身身份的合合法性-解决决多方认认证问题题。(4)不不可否认认性-保证网网上交易易的实时时性。(5)兼兼容性和和互操作作功能。SSL协协议和SET协协议的对对比对比项SSL协议SEL协议参与方客户、商家和网上银行客户、商家、支付网关、认证中心和网上银行软件费用可直接投入使用，无需额外的附加软件费用须在银行网络、商家服务器、客户机上安装相应的软件，因此增加了许多附加软件费用便捷性SSL在使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买

8、大宗商品；支付迅速，几秒钟便可完成支付SET协议在使用中必须使用电子钱包进行付款，因此在使用前，必须先下载电子钱包软件，因此操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易安全性只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏安全需求高，因此所有参与交易的成员：客户、商家、支付网关、网上银行都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，替消费者保守了更多的秘密，使其在结购物和支付更加放心四、防火火墙技术术防火墙是是一种隔隔离技术术，是指指

9、一种将将内部网网和公众众访问网网（如Internet）分分开的方方法。防防火墙可可以通过过过滤不不安全的的服务而而降低风风险，可可以强化化网络安安全策略略，对网网络存取取和访问问进行监监控审计计，防止止内部信信息的外外泄；防火墙还还支持具具有Internet服务特特性的企企业内部部网络技技术体系系VPN（虚拟拟专用网网）；在实际使使用中，用户在在受信任任的网络络上通过过防火墙墙访问Internet时， 经常常会发现现存在延延迟并且且必须进进行多次次登录才才能访问问互联网网或企业业内部网网。一、机构构制度管管理二、风险险制度管管理三、法律律制度管管理第三节电电子商商务的安安全管理理一、机构构制度

10、管管理（一）认认证机构构在电子交交易中，无论是是时间戳戳服务还还是数字字证书的的发放，都不是是靠交易易双方自自己能完完成的，而是需需要一个个具有权权威性和和公正性性的第三三方机构构来完成成。认证机构构CA(CertificationAuthority)就是承承担网上上安全电电子交易易认证服服务、签签发数字字证书并并能确认认用户身身份的服服务机构构。（二）数数字证证书数字证书书又称为为数字凭凭证、数数字标识识。是由由CA证证书授权权中心发发行的，能提供供在Internet上进行行身份验验证的一一种权威威性电子子文档，人们可可以用它它来证明明自己在在互联网网中的身身份或识识别对方方的身份份。二、风

11、险险制度管管理电子商务务风险管管理就是是跟踪、评估、监测和和管理商商务整个个过程中中所形成成的电子子商务风风险，尽尽力避免免电子商商务风险险给企业业造成的的经济损损失、商商业干扰扰以及商商业信誉誉丧失等等，以确确保企业业电子商商务的顺顺利进行行。三、法律律制度管管理2004年8月月28日日全国人人大常委委会第十十一次会会议通过过了中中华人民民共和国国电子签签名法。签名名法是我我国推进进电子商商务发展展，扫除除电子商商务发展展障碍的的重要步步骤。该该法被认认为是中中国首部部真正电电子商务务法意义义上的立立法。2005年1月月28日日中华人人民共和和国信息息产业部部第十二二次部务务会议审审议通过过

12、电子子认证服服务管理理办法，自2005年4月月1日起起施行。2005年11月10日中国国银行业业监督管管理委员员会第40次主主席会议议通过电子银银行业务务管理办办法自自2006年3月1日日起施行行。一、选择择题1.用用户识别别方法不不包括：()A.根根据用户户知道什什么来判判断B.根根据用用户拥有有什么来来判C.根根据用户户地址来来判断D.根根据用户户是什么么来判断断2.以以下身份份认证技技术中，属于生生物特征征识别技技术的有有包括：()A.数数字签名名识别法法B.指指纹识识别法C.语语音识别别法D.头头盖骨的的轮廓识识别法3.触触发电电子商务务安全问问题的原原因有：()A.黑黑客的攻攻击B.

13、管管理的欠欠缺C.网网络的缺缺陷D.软软件的漏漏洞4.病病毒防范范制度包包括的内内容有：()A.给给自己的的电脑安安装防病病毒软件件B.不不打开陌陌生地址址的电子子邮件C.认认真执行行病毒定定期清理理制度D.高高度警警惕网络络陷阱5.下下面属于于不安全全口令的的有：()使用用户户名作为为口令B. 使用用自己或或者亲友友的生日日作为口口令C.用用学号或或是身份份证号码码等作口口令D.使使用常常用的英英文单词词做口令令习题二、复习习思考题题请简述认认证中心心的提供供的服务务有哪些些?防火墙是是什么? 防火火墙能否否保证内内部网络络的绝对对安全?SSL、SET、SHTTP各是什什么协议议，它们们的区别别是什么么？