chp6 电子商务安全技术

电子商务概论第8章电子商务安全技术06.1计算机安全及分类计算机安全保护计算机资产不受未经授权的访问、使用、篡改或破坏。对计算机资产带来危险的任何行动或对象都称为安全威胁。电子商务概论第8章电子商务安全技术1计算机安全的分类－保密、完整和即需保密是指防止未授权的数据暴露并确保数据源的可靠性;完整是防止未经授权的数据被修改；即需是防止延迟或拒绝服务。计算机安全中最知名的领域是保密电子商务概论第8章电子商务安全技术26.2电子商务安全性问题1.信息传输风险

1）冒名偷窃;2）篡改数据;3）信息丢失;4）信息传递过程中的破坏;5）虚假信息。

2．信用风险

1)来自买方的信用风险。2)来自卖方的信用风险。3)买卖双方都存在抵赖的情况。

3．管理方面的风险

1)交易流程管理风险。2)人员管理风险。3)网络交易技术管理的漏洞也带来较大的交易风险。

4．法律方面的风险电子商务概论第8章电子商务安全技术36.3电子商务对安全的基本要求1.授权合法性：保证授权用户可得到信息与服务，非授权用户不能得到；2.不可抵赖性：不可否认性。不可否认电子记录和电子合约的有效性及可强制执行性3.保密性：信息传播、存储、使用均有保密要求4.身份的真实性：获取交易对方证书以鉴别其身份5.信息的安全性：录入正确、有效传输、正确的传送次序6.存储信息的安全性电子商务概论第8章电子商务安全技术46.4电子商务安全措施1、确定通信中贸易伙伴身份的真实性：身份认证，如CA证书2、保证电子单证的保密性：数据加密和解密3、确定电子单证内容的完整性：散列技术4、确定电子单证的真实性：数字签名技术5、不可以抵赖性：引入认证中心对交易记录进行备份6、存储信息的安全性：使用访问控制权限、敏感信息的加密存储等电子商务概论第8章电子商务安全技术51：什么是CA？CA认证：CertificateAuthority又称数字证书（密钥）它是一种网上身份认证系统，相当于网上的身份证，以数字签名（电子代码）的方式通过第三方权威认证机构有效地进行网上身份认证，帮助各个实体识别对方身份和表明自身的身份，具有真实性和防抵赖功能。与物理身份证不同的是，数字证书还具有安全、保密、防篡改的特性，可对企业网上传输的信息进行有效保护和安全的传递。

比如：电子政务中的网上报税。电子商务概论第8章电子商务安全技术62、什么是加密、解密技术？采用数学方法对原始信息（通常称为“明文”）进行再组织，使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字（加密后的信息通常称为：密文“）。而对于合法的接收者，因为其掌握正确的密钥，可以通过解密过程得到原始数据（即”明文”）。将明文换成密文的过程叫加密，其逆过程即把密文变换成明文的过程叫解密。电子商务概论第8章电子商务安全技术7加密及解密过程：加密密文密钥明文解密电子商务概论第8章电子商务安全技术81）对称式加密技术对称加密技术就是加密密钥能够从解密密钥中推算出来，同时解密密钥也可以从加密密钥中推算出来的技术。大多数情况下,加密密钥和解密密钥是相同的,双方需在安全通信前确定密钥。优点:

加密速度快、保密度高等缺点：（1）密钥是保密通信安全的关键。（2）多人通信时密钥和组合的数量会出现爆炸性的膨胀，使密钥分发更加复杂化。需要N（N-1）/2个密钥（3）通信双方必须统一密钥，才能发送保密的信息。电子商务概论第8章电子商务安全技术92）非对称式加密技术

非对称加密技术又称公开密钥加密技术，其加密密钥和解密密钥是不同的，两密钥存在数学关系（即相互依存性），用一个密钥加密过的密文只能用对应的另一个密钥才能解密；并且两者也不可以相互推算（至少在合理假定的长时间内）。这种技术要求发送方用户和接收方用户在安全通信之前，发送方通过网络查询或其他方法得到接收方的公开密钥；发送方使用公开密钥对明文进行加密得到密文；接收方收到密文后用自己的私有密钥进行了解密，恢复出明文。电子商务概论第8章电子商务安全技术10优点：

1）密钥少便于管理。最多N对密钥。

2）密钥分配简单。

3）不需要秘密的通道和复杂的协议来传送密钥。

4）可以实现数字签名和数字鉴别。缺点：加、解密速度慢。电子商务概论第8章电子商务安全技术113：什么是散列技术？散列技术又称为散列算法、散列函数或hash算法。它是将含有字符的字符串转化成固定长度的更短的数值或密钥，而后者代替了原来的字符串。它常被用在许多加密算法之中。好的散列算法具有在输入数据中的更改可以更改结果散列值中每个比特的特性（“一动牵万变”）；因此，散列对于检测在诸如消息等大型信息对象中的任何变化很有用。因此可用来检测数据的完整性。电子商务概论第8章电子商务安全技术124：什么是数字签名？数字签名：通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，还可进行技术验证，其验证的准确度是一般手工签名和图章的验证而无法比拟的。“数字签名”是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。它采用了规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它与其它技术的共同运用还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。电子商务概论第8章电子商务安全技术13数字签名及其检验过程：电子商务概论第8章电子商务安全技术14将原文用hash函数生成数字摘要1用发送者私钥对数字摘要1加密