第四章电子商务的安全技术相关案例

电子商务相关案例电子商务安全案例1：熊猫烧香病毒2006年12月初,我国互联网上大规模爆发"熊猫烧香"病毒及其变种.一只憨态可掬,颔首敬香的"熊猫"在互联网上疯狂"作案".在病毒卡通化的外表下,隐藏着巨大的传染潜力,短短三四个月,"烧香"潮波及上千万个人用户,网吧及企业局域网用户,造成直接和间接损失超过1亿元.传播方式利益链条案例2：钓鱼网站电子邮件/欺诈信息/手机短信+钓鱼网站链接 利用招商银行名义发送邮件，该邮件以对账、核实账户消费记录等名义要求客户登录招行网站查询详情，并提供招行网站的超级链接，如果点击链接就会打开一个冒充招商银行的页面。该网页不仅从页面布局及内容方面仿冒得很像，足以以假乱真，而且域名也很具有欺骗性。该网站的域名是，真招行网站的域名是，cmb是招行的英文缩写，而95555是使用招行账户的用户都非常熟悉的招行电话银行号码，不法分子将cmb与95555组合在一起，就会让用户不会对它产生怀疑，具有较强的欺骗性。用户往往误认为自己进入了招行的真正网站，其实用户所造访的不过是一个经过精心设计的假冒网站而已。冒名网站其他如果用户在钓鱼网站上输入个人信息，不法分子便会利用电子邮件将帐户信息自动发送到事先设定好的邮箱，窃取用户的账号、密码。还有诸如出现过的某假冒工行网站，网址为/，而真正银行网站是/，犯罪分子利用数字1和字母i非常相近的特点蒙蔽用户。又如曾发现的假公司网站(网址为)，而真正网站为，诈骗者利用了小写字母l和数字1很相近的障眼法。诈骗者通过QQ散布赠送QQ币的虚假消息，引诱用户访问。防钓鱼的注意事项不要上网留下可以证明自己身份的任何资料，包括手机号码，身份证号码，银行卡号码等不要把自己的隐私资料通过网络传输，包括银行卡号码，身份证号，电子商务网站账户等资料不要通过QQ，msn，e-mail等软件传播，这些途径往往可能被黑客利用来进行诈骗不要相信网上流传的消息，除非得到权威途径的证明。如网络论坛，新闻组，QQ等往往有人发布谣言，伺机窃取用户的身份资料等

不要在网站注册时透露自己的真实资料。不要轻易相信通过电子邮件，网络论坛等发布的中奖信息，促销信息等，除非得到另外途径的证明。正规公司一般不会通过电子邮件给用户发送中奖信息和促销信息，而骗子们往往喜欢这样进行诈骗安装防钓鱼软件网站证书工行为例：个人网上银行登录页面和网上支付页面都经过128位SSL加密处理，在打开上述页面时，在IE浏览器右下角状态栏上会显示一个“挂锁”图形的安全证书标识。点击挂锁，应显示如下信息颁发给：颁发者：/CPSIncorp.byRef.LIABILITYLTD.(c)97VeriSign案例3：中国网上银行安全系统中国的网络银行大多是对现有银行专用网的延伸和对银行传统业务方式的补充，银行增加一些软、硬件设备，使得用户可以通过家用电脑连接银行系统，进行各种普通的银行业务，以弥补传统银行业务中营业网点少和营业时间短的不足。中国的网上银行起步比较早的是深圳招商银行

手段不法分子窃取用户信息主要通过木马程序来进行，比如，黑客首先在用户电脑系统注入木马程序后，驻留在中招电脑系统里的监控系统就可以截取、监控系统及用户上网时打开的网银密码窗口。也就是说当用户在网银程序里输入卡号或密码时计算机就会自动将相关信息的编码发送给黑客，他们再据此进行反读取以破译，钱便被黑走了。主要问题目前的网银系统的主要问题是，用户安全性过于依赖用户本身的素质，对于安全观念较差的用户，其密码很容易被盗取，因此这种“信任用户”的安全模式设计是很不合理的。用户的电脑可能安装木马程序，用户的一举一动都可能被监听和窃取，安全的网银系统应该设计成为这样的：假设网银的管理员是黑客，并在最终用户电脑安装木马并且可以监听用户的一切键盘鼠标操作，网银的管理员还可以进行系统管理和操作，但是网银的管理员依旧无法通过网银系统来窃取最终用户的资金。如果能做到这一点，那么这个网银系统就算是比较安全了。安全隐患这些系统包括各种“大众版”网银，以及一些所谓的数字证书“专业版”，因为他们从本质上来讲，所有的运行代码都是在电脑内存中运行的，用户所有的操作都有可能被木马所截获。理论上讲，黑客完全可以伪造用户进行系统登录。只有脱离用户的电脑系统，使用独立的身份认证硬件设备，才能构造出安全的网银系统。动态密码锁动态密码（DynamicPassword）也称一次性密码，它指用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次。动态密码采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏。下图是这种产品的外观，其中数字键用于输入用户PIN码，显示屏用于显示一次性密码。每次输入正确的PIN码，都可以得到一个当前可用的一次性动态密码。由于每次使用的密码必须由动态令牌来产生，只有合法用户才持有该硬件，所以只要密码验证通过，系统就可以认为该用户的身份是可靠的。动态密码锁系统动态密码锁系统需要两个密码要素，一个要素是静态PIN码，由用户自行设置、保管。另一个要素是动态密码，由密码令牌动态生成，不可预测，并且与后台服务器的接入控制保持同步，由后台服务器进行检验。因此，用户必需输入正确的静态PIN码和动态密码，才能通过身份认证。动态密码锁本身需要输入PIN码才能使用，静态PIN码的安全要素在于，这个PIN码不是在电脑上输入的，而是在密码锁上输入的，这样，所有的黑客木马程序从理论上讲都全部失效，因为这些木马根本不可能在另外一个硬件密码锁上运行。成本较高。动态密码锁系统虽然动态密码锁的安全性的确不错，然而，动态密码技术也有一个安全隐患，就是服务器端的安全性。动态密码的本质是单钥加密，密钥只有一个。在服务器端的认证系统里，可以计算出所有动态密码，因此黑客如果将精力放在破解银行认证服务器系统，那么还是有可能对银行系统造成一定安全威胁，另外这个系统也依赖于网银的管理员，网银的管理员可以在服务器端修改动态密码锁的规则，也具有一定的安全隐患。USBKey解决方案数字证书是网上银行业务中确认用户身份的唯一标志，具有不可复制性和不可替代性，所有网上交易必须要事先通过数字证书进行安全认证，它可以看作是用户的网上身份证。既然是网上身份认证的唯一标志，确保其安全性就至关重要。普通个人用户常把数字证书存储在电脑硬盘中，这种做法的危险性不言而喻。对于资金交易量较大的企业用户，为了确保其资金安全，银行强制要求使用更加安全的存储介质以达到更加有效的资源访问控制。USBKey的发展目前市场上见到的USBKey按照硬件芯片不同可以分为使用智能卡芯片的和不使用智能卡芯片两种，按照CPU是否内置加密算法又可以分为带算法和不带算法的USBKey。一般我们把不带加密算法的称为存储型USBKey，带加密算法的称为加密型USBKey。软件保护思想的发展催生了USBKeyUSBKey随着网络应用的不断深入和应用软件销售模式的改变，未来的软件用户可能不需要购买软件在本地计算机上安装运行，而是将要处理的数据通过网络上传到专门运行该软件服务的应用服务器上处理，再通过网络取得数据处理的结果，软件开发商通过提供该应用服务收取软件费用。这个时候，软件厂商面临的问题就不再是如何防止本地软件被复制，而是如何确认网络用户的身份和用户数据的安全。于是加密锁厂商提出了USBKey的概念，用于识别用户身份。案例4：SSLSSL安全协议也是国际上最早应用于电子商务的一种网络安全协议，至今仍然有许多网上商店在使用。在使用时，SSL协议根据邮购的原理进行了部分改迸。在传统的邮购活动中，客户首先寻找商品信息，然后汇款给商家，商家再把商品寄给客户。这里，商家是可以信赖的，所以客户须先付款给商家。在电子商务的开始阶段，商家也是担心客户购买后不付款，或使用过期作废的信用卡，因而希望银行给予认证。SSL安全协议正是在这种背景下应用于电子商务的。SSLSSL协议运行的基点是商家对客户信息保密的承诺。如美国著名的亚马逊网上书店在它的购买说明中明确表示：“当你在亚马逊公司购书时，受到‘亚马逊公司安全购买保证’保护，所以，你永远不用为你的信用卡安全担心。”但是上述流程中我们也可以注意到，SSL协议有利于商家而不利于客户。客户的信息首先传到商家，但整个过程中缺少了客户对商家的认证。在电子商务的开始阶段，由于参与电子商务的公司大都是一些大公司，信誉较高，这个问题没有引起人们的重视。随着电子商务参与的厂商迅速增加，对厂商的认证问题越来越突出，SSL协议的缺点完全暴露出来。SSL协议逐渐被新的SET协议所取代。SSL单向认证：又称匿名SSL连接，这是SSL安全连接的最基本模式，它便于使用，主要的浏览器都支持这种方式，适合单向数据安全传输应用。在这种模式下客户端没有数字证书，只是服务器端具有证书，以不在认用户访问的是自己要访问的站点。典型的应用就是用户进行网站注册时彩ID＋口令的匿名认证，过去网上银行的所谓“大众版”就是这种因子认证。双方认证：是对等的安全认证，这种模式通信双方都可以发起和接收SSL连接请求。通信双方可以利用安全应用程序（控键）或安全代理软件，前者一般适合于B/S结构，而后者适用于C/S结构，安全代理相当于一个加密/解密的网关，这种模式双方皆需安装证书，进行双向认证。这就是网上银行的B2B的专业版等应用。电子商务中的应用。电子商务与网上银行交易不同，因为有商户参加，形成客户――商家――银行，两次点对点的SSL连接。客户，商家，银行，都必须具证书，两次点对点的双向认证。SSL的问题不能提供交易的不可否认性，SSL协议是基于Web应用的安全协议，它只能提供安全认证，SSL链路上的数据完整性和保密性。对于电子商务的交易应用层的信息不进行数据签名，因此，不能提供交易的不可否认性，这是SSL在电子商务中使用的最大缺欠。为此，各公司纷纷推出“安全代理软件”，“安全应用控制”或“表单签名软件”等等，以弥补SSL不足。服务器的处理速度问题，由于在网上交易时，一定要使用SSL加/解密用户数据，这样服务器就占用了大量CPU的处理时间，增大了系统的开销，使SSL登陆和传输数据的速度变慢。为此，有的公司研发出硬件SSL加/解密方案，即通称的SSL加速器，它可以转移大量占用CPU的SSL协商处理，提高SSL流量和改善Web服务器处理性能。案例5：SET为了实现更加完善的即时电子支付，SET协议应运而生。SET协议（SecureElectronicTransaction），被称之为安全电子交易协议，是由MasterCard和Visa联合Netscape，Microsoft等公司，于1997年6月1日推出的一种新的电子支付模型。SET协议是B2C上基于信用卡支付模式而设计的，它保证了开放网络上使用信用卡进行在线购物的安全。SET主要是为了解决用户，商家，银行之间通过信用卡的交易而设计的，它具有的保证交易数据的完整性，交易的不可抵赖性等种种优点，因此它成为目前公认的信用卡网上交易的国际标准。SET提供的服务保证客户交易信息的保密性和完整性SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。SET提供的服务确保商家和客户交易行为的不可否认性 SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其理论基础就是不可否认机制，采用的核心技术包括X