电子商务安全技术 课件

第五章电子商务安全技术第五章电子商务安全技术1第一节电子商务安全的概述一、电子商务安全的概念电子商务安全是一个系统的概念，不仅与计算机信息网络系统有关，还与电子商务应用的环境、人员素质和社会因素有关。它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全与公共及国家信息安全的总和。可从以下几方面来理解：

1、安全是一个系统的概念；

2、安全是相对的；

3、安全是有成本的和代价的；

4、安全是发展的、动态的。第一节电子商务安全的概述一、电子商务安全的概念2二、电子商务的安全问题

1、电子商务中存在的安全问题由于非法入侵者的侵入，造成商务信息被篡改、盗窃或丢失；商业机密在传输过程中被第三方获悉，甚至被恶意窃取、篡改和破坏；虚假身份的交易对象及虚假订单、合同；贸易对象的抵赖；由于计算机系统故障对交易过程和商业信息安全所造成的破坏。二、电子商务的安全问题32、电子商务的安全要素

（1）完整性（2）机密性（3）不可否认性（4）真实性（5）可靠性（6）可用性2、电子商务的安全要素4三、我国电子商务安全的现状

1、基础技术相对薄弱

2、体系结构不完整

3、支持产品不过硬

4、多种“威胁”纷杂交织、频频发生三、我国电子商务安全的现状5第二节网络安全技术一、操作系统安全操作系统是计算机的核心软件，操作系统的安全对计算机的安全起着至关重要的作用，操作系统的安全性主要是对外部攻击的防范，保证数据的保密性、完整性和可用性。（一）操作系统安全分类

1、按安全级别：低、中、高

2、按安全机制：具体的和广义的第二节网络安全技术一、操作系统安全6（二）操作系统安全性威胁的因素

1、桌面操作系统的安全因素；

2、系统安全性攻击。

（三）操作系统安全管理

1、系统级安全管理

2、用户级安全管理

3、文件级安全管理（二）操作系统安全性威胁的因素7二、防火墙技术（一）防火墙的定义防火墙是一种将内部网和公众访问网分开的方法，实际上是一种隔离技术，是安全网络和非安全网络的之间的一道屏障，以防不可预测的、潜在的网络入侵。（二）防火墙的分类

包过滤型NAT型

代理型监测型二、防火墙技术8电子商务安全技术课件9三、VPN(虚拟专用网)技术（一）VPN的概念

VPN技术是一种在公用互联网络上构造专用网络的技术，将物理上分布在不同地点的专用网络，通过公共网络造成逻辑上的虚拟子网，进行安全的通信。（二）VPN的优势安全通道低成本可扩展性灵活性便于管理服务质量保证三、VPN(虚拟专用网)技术10四、病毒防范技术（一）计算机病毒定义计算机病毒是一种人为编制的程序或指令集合，这种程序能潜伏在计算机系统中，并通过自我复制传播和扩散，在一定条件下被激活，给计算机带来故障和破坏。（二）计算机病毒的分类引导区病毒、文件型病毒、复合型病毒、宏病毒、特洛伊木马、蠕虫及其他病毒四、病毒防范技术11（三）计算机病毒的特点隐蔽性、传染性、潜伏性、可激发性、破坏性（四）计算机病毒的防治方法

1、定期使用杀毒软件杀毒；

2、及时升级杀毒软件；

3、不预览可疑邮件；

4、使用外来磁盘前先查杀病毒；

5、备份重要数据。（三）计算机病毒的特点12第三节信息安全技术一、密码学概述

将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密，这种不可理解的形式称为密文。解密是加密的逆过程，即将密文还原成明文。

加密和解密必须依赖两个要素，这两个要素就是算法和密钥。算法是加密和解密的计算方法；密钥是加密和加密所需的一串数字。第三节信息安全技术一、密码学概述13加密明文密文

例如：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，对应关系如下：GOODJRRF加密明文密文例如：采用移位加密法，使移动3位后的英文字14二、对称加密技术（1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。（2）当通信对象增多时，需要相应数量的密钥。（3）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。二、对称加密技术15解密密钥A加密密钥A

明文明文密文密文通信网络图对称密钥加解密的过程发送方接收方解密加密明明密密通信网络图对称密钥加解密的过程发送方接16三、非对称加密技术（公—私钥加密技术）非对称加密技术采用RSA算法，加密和解密使用两把密钥，一把称公钥，另一把称私钥，两把密钥实际上是两个很大的质数，用其中的一个质数与明文相乘，可以加密得到密文；用另一个质数与密文相乘可以解密，但不能用一个质数求得另一个质数。三、非对称加密技术（公—私钥加密技术）17

解密私钥B加密公钥A明文明文密文密文通信网络发送方接收方图非对称密钥加解密的过程解密加密明明密密通信网络发送方接收方图非对称密钥加解密18第四节电子商务的认证技术一、认证技术概述认证技术是整个信息安全体系的基础。认证技术主要用于信息认证，确认信息发送者的身份，防止假冒；验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。常用的安全认证技术主要有数字摘要、数字签名、数字证书、数字时间戳、数字信封等。第四节电子商务的认证技术一、认证技术概述19（一）数字摘要（一）数字摘要20（二）数字签名（二）数字签名21（三）数字时间戳（三）数字时间戳22（四）数字证书数字证书是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。在电子商务交易中，任何信用卡持卡人只有申请到相应的数字证书，才能参加安全的电子商务网上交易。（五）数字信封用来保证只有规定的收信人才能阅读到信的内容。（四）数字证书23二、认证机构认证机构担负着身份认证的重要职责，主要包括三部分：注册服务器、注册管理机构、证书管理机构。我国的CA认证建设还处于起步阶段，没有完整的统筹和协调，存在交叉认证的互不兼容情况，急需一个全国性的、完整的和层次性合理的CA基础设施为电子商务的发展保驾护航。二、认证机构241、认证机构的功能：核发证书、管理证书、搜索证书、验证证书2、例子：中国数字认证网

1、认证机构的功能：核发证书、管理证书、搜索证书、验证证书25三、数字证书

数字证书采用公－私钥密码体制，用户拥有一把仅为本人所掌握的私钥，用它进行解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。

数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上采购招标、网上办公、网上保险、网上税务、网上签约和网上银行等安全电子事务处理和安全电子交易活动。

三、数字证书261、数字证书的内容

证书拥有者的姓名；

证书拥有者的公钥；

公钥的有限期；

颁发数字证书的单位；

颁发数字证书单位的数字签名；

数字证书的序列号等。1、数字证书的内容27图查看证书内容（1）

图查看证书内容（1）28图查看证书内容（2）

图查看证书内容（2）29图查看证书内容（3）图查看证书内容（3）302、数字证书的类型（1）从证书的使用者分类：

个人数字证书机构数字证书设备数字证书（2）从证书的用途分类：签名证书加密证书2、数字证书的类型31第五节安全电子交易技术一、SSL协议

安全套接层协议SSL（SecureSocketsLayer）位于TCP/IP协议与各种应用层协议之间，使用公开密钥体制和数字证书技术来确保数据在传输过程中不会被截取及窃听。

SSL协议的缺陷：支付过程的单一认证，有利于商家，不利于消费者。第五节安全电子交易技术一、SSL协议32二、SET协议

安全电子交易协议SET（SecureElectronicTransaction）的核心技术有对称加密技术、非对称加密技术、数字签名技术、Hash算法及公共密钥授权机制等。

SET协议比较复杂、设计严格、安全性高，解决了SSL协议的缺陷，成为目前公认的信用卡网上交易的国际安全标准。

二、SET协议33第五章电子商务安全技术第五章电子商务安全技术34第一节电子商务安全的概述一、电子商务安全的概念电子商务安全是一个系统的概念，不仅与计算机信息网络系统有关，还与电子商务应用的环境、人员素质和社会因素有关。它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全与公共及国家信息安全的总和。可从以下几方面来理解：

1、安全是一个系统的概念；

2、安全是相对的；

3、安全是有成本的和代价的；

4、安全是发展的、动态的。第一节电子商务安全的概述一、电子商务安全的概念35二、电子商务的安全问题

1、电子商务中存在的安全问题由于非法入侵者的侵入，造成商务信息被篡改、盗窃或丢失；商业机密在传输过程中被第三方获悉，甚至被恶意窃取、篡改和破坏；虚假身份的交易对象及虚假订单、合同；贸易对象的抵赖；由于计算机系统故障对交易过程和商业信息安全所造成的破坏。二、电子商务的安全问题362、电子商务的安全要素

（1）完整性（2）机密性（3）不可否认性（4）真实性（5）可靠性（6）可用性2、电子商务的安全要素37三、我国电子商务安全的现状

1、基础技术相对薄弱

2、体系结构不完整

3、支持产品不过硬

4、多种“威胁”纷杂交织、频频发生三、我国电子商务安全的现状38第二节网络安全技术一、操作系统安全操作系统是计算机的核心软件，操作系统的安全对计算机的安全起着至关重要的作用，操作系统的安全性主要是对外部攻击的防范，保证数据的保密性、完整性和可用性。（一）操作系统安全分类

1、按安全级别：低、中、高

2、按安全机制：具体的和广义的第二节网络安全技术一、操作系统安全39（二）操作系统安全性威胁的因素

1、桌面操作系统的安全因素；

2、系统安全性攻击。

（三）操作系统安全管理

1、系统级安全管理

2、用户级安全管理

3、文件级安全管理（二）操作系统安全性威胁的因素40二、防火墙技术（一）防火墙的定义防火墙是一种将内部网和公众访问网分开的方法，实际上是一种隔离技术，是安全网络和非安全网络的之间的一道屏障，以防不可预测的、潜在的网络入侵。（二）防火墙的分类

包过滤型NAT型

代理型监测型二、防火墙技术41电子商务安全技术课件42三、VPN(虚拟专用网)技术（一）VPN的概念

VPN技术是一种在公用互联网络上构造专用网络的技术，将物理上分布在不同地点的专用网络，通过公共网络造成逻辑上的虚拟子网，进行安全的通信。（二）VPN的优势安全通道低成本可扩展性灵活性便于管理服务质量保证三、VPN(虚拟专用网)技术43四、病毒防范技术（一）计算机病毒定义计算机病毒是一种人为编制的程序或指令集合，这种程序能潜伏在计算机系统中，并通过自我复制传播和扩散，在一定条件下被激活，给计算机带来故障和破坏。（二）计算机病毒的分类引导区病毒、文件型病毒、复合型病毒、宏病毒、特洛伊木马、蠕虫及其他病毒四、病毒防范技术44（三）计算机病毒的特点隐蔽性、传染性、潜伏性、可激发性、破坏性（四）计算机病毒的防治方法

1、定期使用杀毒软件杀毒；

2、及时升级杀毒软件；

3、不预览可疑邮件；

4、使用外来磁盘前先查杀病毒；

5、备份重要数据。（三）计算机病毒的特点45第三节信息安全技术一、密码学概述

将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密，这种不可理解的形式称为密文。解密是加密的逆过程，即将密文还原成明文。

加密和解密必须依赖两个要素，这两个要素就是算法和密钥。算法是加密和解密的计算方法；密钥是加密和加密所需的一串数字。第三节信息安全技术一、密码学概述46加密明文密文

例如：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，对应关系如下：GOODJRRF加密明文密文例如：采用移位加密法，使移动3位后的英文字47二、对称加密技术（1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。（2）当通信对象增多时，需要相应数量的密钥。（3）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。二、对称加密技术48解密密钥A加密密钥A

明文明文密文密文通信网络图对称密钥加解密的过程发送方接收方解密加密明明密密通信网络图对称密钥加解密的过程发送方接49三、非对称加密技术（公—私钥加密技术）非对称加密技术采用RSA算法，加密和解密使用两把密钥，一把称公钥，另一把称私钥，两把密钥实际上是两个很大的质数，用其中的一个质数与明文相乘，可以加密得到密文；用另一个质数与密文相乘可以解密，但不能用一个质数求得另一个质数。三、非对称加密技术（公—私钥加密技术）50

解密私钥B加密公钥A明文明文密文密文通信网络发送方接收方图非对称密钥加解密的过程解密加密明明密密通信网络发送方接收方图非对称密钥加解密51第四节电子商务的认证技术一、认证技术概述认证技术是整个信息安全体系的基础。认证技术主要用于信息认证，确认信息发送者的身份，防止假冒；验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。常用的安全认证技术主要有数字摘要、数字签名、数字证书、数字时间戳、数字信封等。第四节电子商务的认证技术一、认证技术概述52（一）数字摘要（一）数字摘要53（二）数字签名（二）数字签名54（三）数字时间戳（三）数字时间戳55（四）数字证书数字证书是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。在电子商务交易中，任何信用卡持卡人只有申请到相应的数字证书，才能参加安全的电子商务网上交易。（五）数字信封用来保证只有规定的收信人才能阅读到信的内容。（四）数字证书56二、认证机构认证机构担负着身份认证的重要职责，主要包括三部分：注册服务器、注册管理机构、证书管理机构。我国的CA认证建设还处于起步阶段，没有完整的统筹和协调，存在交叉认证的互不兼容情况，急需一个全国性的、完整的和层次性合理的CA基础设施为电子商务的发展保驾护航。二、认证机构571、认证机构的功能：核发证书、管理证书、搜索证书、验证证书2、例子：中国数字认证网

1、认证机构的功能：核发证书、管理证书、搜索证书、验证证书58三、数字证书

数字证书采用公－私钥密码体制，用户拥有一把仅为本人所掌握的私钥，用它进行解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。

数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网