电子商务安全技术模板课件

感谢您的观看第8章电子商务安全技术案例引入1电子商务安全概述2电子商务安全体系3电子商务安全技术4电子商务安全应用512019年6月16感谢您的观看2019年6月16案例导入淘宝网1元“错价门”事件电子商务安全不容忽视

中国IDC评述网2009年09月14日报道：互联网上从来不乏标价1元的商品。近日，淘宝网上大量商品标价1元，引发网民争先恐后哄抢，但是之后许多订单被淘宝网取消。随后，淘宝网发布公告称，此次事件为第三方软件“团购宝”交易异常所致。部分网民和商户询问“团购宝”客服得到自动回复称：“服务器可能被攻击，已联系技术紧急处理。”这起“错价门”事件发生至今已有两周，导致“错价门”的真实原因依然是个谜，但与此同时，这一事件暴露出来的电子商务安全问题不容小觑。资料来源:作者略有删减28.1电子商务安全概况

8.1.1电子商务安全概念与特点1.电子商务安全的定义电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。2019年6月16计算机网路安全电子商务安全商务交易安全包括计算机的网络设备安全、计算机网络系统安全、数据库安全主要保证电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性3感谢您的观看感谢您的观看2019年6月16案例导入

2.电子商务安全特点电子商务安全是一个系统概念电子商务安全是相对的电子商务安全是有代价的电子商务安全是发展的、动态的4感谢您的观看2019年6月16案例导入1．对客户机的安全威胁1动态网页内容2相关技术或机制

动态网页有多种形式，最著名的动态网页形式包括JavaScript和VBScript、JavaApplet和ActiveX控件等1）cookies2）邮件通讯簿3)信息隐蔽52．对通信信道的安全威胁

(1）搭线窃听（2）IP欺骗（3）IP源端路由选择（4）目标扫描感谢您的观看2019年6月1663．对服务器的安全威胁感谢您的观看2019年6月16（1）WWW服务器（2）数据库服务器（3）CGI（4）ASP（5）邮件炸弹（6）溢出攻击（7）口令破译78.1.3电子商务安全要素感谢您的观看2019年6月16保密性完整性认证性不可抵赖性不可拒绝性访问控制性电子商务安全核心8感谢您的观看2019年6月161．保密性商务数据的保密性（Confidentiality）是指信息在网络上传输或存储的过程中不被他人窃取、不被泄露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。2．完整性

商务数据的完整性（Integrity）是指保护数据的一致性，防止数据被未授权者修改、建立、嵌入、删除、重复发送或由于其他原因使原始数据被更改。9感谢您的观看2019年6月163．认证性

商务对象的认证性(Authentication)或称真实性是指网络两端的使用者在通信之前相互确认对方的身份，保证交易方确实存在，而并非有人假冒。4．不可否认性商务服务的不可否认性(Non-repudiation)或称不可抵赖性是指信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息，这是一种法律有效性要求。105．不可拒绝性商务服务的不可拒绝性(Denialofservice)或称可靠性是指保证授权用户在正常访问信息和资源时不被拒绝，即为用户提供稳定可靠的服务。

6．访问控制性

访问控制性(Accesscontrol)或称可控性规定了主体访问客体的操作权力限制，以及限制进入物理区域(出入控制)和限制使用计算机系统和计算机存储数据的过程(存取控制)。包括人员限制、数据标识、权限控制、控制类型和风险分析等。感谢您的观看2019年6月16118.2.1电子商务安全框架

一个安全的电子商务系统应构建以策略为指导、技术为基础、管理为核心的安全框架。在安全策略指导下，建立统一的安全管理平台，提供全面的安全服务，形成一个互为协作的统一体，使整个系统覆盖从物理通信到网络、系统平台直至数据和应用平台的各个层面的安全需求，从而形成完整的电子商务安全框架。感谢您的观看2019年6月16121.安全策略可采用的安全策略一般有:(1)物理结构:同因特网物理隔离，同内部局域网逻辑隔离。(2)敏感信息:链路加密、文件加密传输、重要数据加密存储。(3)安全认证:建立PKI/CA系统和授权管理。(4)适度安全防护:从技术安全中选择适当防护措施。(5)安全管理与审计:加强安全审计，建立统一的安全管理平台。感谢您的观看2019年6月16132.安全框架(1）物理与线路传输安全框架(2)网络安全防御框架(3)主机与系统安全框架(4)数据与应用安全框架(5)统一安全管理框架感谢您的观看2019年6月1614感谢您的观看2019年6月168.2.2电子商务安全体系结构电子商务安全框架是保证电子商务中数据安全的,一个完整的逻辑结构，由五个部分组成158.2.3电子商务安全基础环境

电子商务安全基础环境是指从整体电子商务系统或网络支付系统的角度进行安全防护，它与网络系统硬件平台、操作系统、各种应用软件等互相关联，包括的内容有：1.行政管理(1)核心设备的密码由双人管理。核心设备如服务器、存储器、交换机、路由器等。(2)对用户的注册、退网、用网等有严格的管理规章制度。(3)对数据交换中心核心信息的增加、删除和备份要严格实行登记制度。(4)对系统的运行要有监控和应急处理措施，特别是门户网站的24小时监控、预警和快速恢复。(5)网络中心机房的屏蔽技术，要经当地保密部门测试和认可。(6)网络中心机房的双路供电和不间断电源条件应满足实际需要。感谢您的观看2019年6月16162.基于网络设施的基本安全防御系统网络设施的基本安全防御包括防火墙、入侵检测、防病毒、脆弱性扫描、防WEB篡改、链路加密、安全审计和入网认证等。

(1)防火墙(2)入侵检测系统(IDS)

(3)病毒防护

(4)漏洞扫描

(5)物理隔离

(6)链路加密和VPN

(7)入网认证与审计感谢您的观看2019年6月16173.基于PKI的CA安全认证包括电子身份认证、授权、密码管理、密钥管理、可信任时间戳管理等。建立认证授权中心，对公众网络用户实行安全证书发放、入网认证、授权服务和管理。4.数据加密数字加密是利用数学算法将明文转变为不可能理解的密文和反过来将密文转变为可理解形式的明文的方法、手段和理论的一门科学。对基础数据和核心数据实行加密处理，当用户欲访问数据库时除了入网认证、服务器权限管理、磁盘目录属性管理和文件读/写权限管理之外，对数据库的记录、记录字段增加读、改、写权限并进行加密处理，无权读(或写)的用户不能看到数据库中任何数据，即使数据被窃也无泄密之险。感谢您的观看2019年6月16185.容灾备份容灾备份中心的主要功能：定期备份数据交换中心的数据；在灾难性故障发生的时候临时提供服务。

容灾备份中心的主要设备包括:服务器、交换机、路由器和大容量光盘存储器。6.统一安全管理多数的电子商务系统涉及大量的网络设备、主机设备、安全设备以及其他设施和人员，对安全的要求较高，造成管理的复杂度很高。某些分散的管理降低了管理的效率和效果。所以需要建立一个统一的安全管理平台，对整个网络进行统一的安全管理。感谢您的观看2019年6月16198.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16208.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16218.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16228.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16238.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16248.3电子商务安全技术8.3.1密码技术

加密技术是保证电子商务安全的重要手段，是信息安全的核心技术。它主要包括加密、签名认证和密钥管理三大技术。

1.加密技术加密技术是保证电子商务安全的重要手段。所谓加密就是使用数学方法来重新组织数据，使得除了合法的接收者外，任何其他人要想恢复原先的“报文”或读懂变化后的“报文”是非常困难的。

许多密码算法现已成为网络安全和商务信息安全的基础。感谢您的观看2019年6月16258.3.2网络安全技术网络安全是电子商务安全的基础，一个完整的电子商务系统应建立在安全的网络基础设施之上。网络安全所涉及到操作系统安全、防火墙技术、VPN(VirtualPagerNetWork；虚拟专用网)技术和各种反黑客技术和漏洞检测技术等。防火墙是建立在通信技术和信息安全技术之上，它用于在网络之间建立一个安全屏障，根据指定的策略对网络数据进行过滤、分析和审计，并对各种攻击提供有效的防范。主要用于Internet接入和专用网与公用网之间的安全连接。感谢您的观看2019年6月1626感谢您的观看2019年6月161.防火墙体系结构防火墙结构主要包括安全操作系统、过滤器、网关、域名服务和E-MAIL处理五个部分。27感谢您的观看2019年6月16（１）屏蔽路由器防火墙28感谢您的观看2019年6月16（２）屏蔽主机网关防火墙29感谢您的观看2019年6月16（３）双宿主机网关防火墙30感谢您的观看2019年6月16（4）屏蔽子网防火墙31感谢您的观看2019年6月16（5）安全服务器网络防火墙32VPN也是一项保证网络安全的技术之一，它是指在公共网络中建立一个专用网络，数据通过建立好的虚拟安全通道在公共网络中传播。企业只需要租用本地的数据专线，连接上本地的公众信息网，就可以和其各地的分支机构就可以在互相之间安全传递信息。

使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等好处，是目前和今后企业网络发展的趋势。感谢您的观看2019年6月16338.3.3安全协议安全协议是许多分布式系统安全的基础，是电子商务系统运行的安全通信标准。1.电子支付协议电子支付协议是指在电子交易过程中实现交易各方支付信息正确、安全、保密地进行网络通信的规范和约定。目前在电子支付中常用的安全协议有：安全套接层协议（SecureSocketsLayer，SSL）和安全电子交易协议（SecureElectronicTransaction，SET）。SET协议是以银行卡为基础进行的在线交易安全标准，为交易涉及的各方之间提供安全的通信信道服务；通过采用公钥密码体制和X.509数字证书标准信任服务；提供交易各方信息的机密性服务。感谢您的观看2019年6月16342.安全HTTP(S-HTTP)超文本传输协议超文本传输协议(HTTP-Hypertexttransferprotocol)是一种详细规定了浏览器和万维网服务器之间互相通信的规则，按照特定的方式，浏览器与服务器传送相关数据。3.安全电子邮件协议安全电子邮件协议(如PEM、S/MIME等)是指通过网络发送信件通信的规范和约定。S/MIME安全多媒体Internet邮件扩展协议，主要用于保障电子邮件的安全传输。例如：微软的outlookexpress中使用该协议，采用数字标识、数字凭证、数字签名以及非对称密钥系统等技术，构成一种签名加密的邮件收发方式。感谢您的观看2019年6月16358.3.4PKI技术PKI(PublicKeyInfrastructure)是利用公钥算法原理和技术为网上通信提供通用安全服务的基础设施。它为电子商务、电子政务、网上银行证券等提供一整套安全基础平台。PKI采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息捆绑在一起，在Internet网上验证用户的身份，PKI把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。PKI的核心元素是数字证书，核心执行者是认证机构。数字证书服务的应用和实施是广泛开展电子商务的前提，电子商务的深入开展离不开数字证书技术和认证机构的正确督导。感谢您的观看2019年6月16368.4电子商务安全应用8.4.1网络层安全服务网络层的安全服务主要保障安全的通讯服务。一般使用IPSec(SecurityArchitectureforIPnetwork)方案，IPSec可以使一个系统选择需要的安全协议，确定服务使用的算法，并在适当的位置放置所请求服务所需要的任意加密密钥，从而在IP层提供安全服务，防止窃听、篡改、伪造、拒绝服务攻击等。感谢您的观看2019年6月16378.4.2传输层的安全服务传输层的安全服务主要保障客户端和服务器之间的安全通讯，提供保密性和数据完整性。一般使用SSL/TLS(TransportLayerSecurity)方案。SSL是在客户和商家通信之前，在Internet上建立的一个秘密传输信息的信道，提供加密、认证服务和报文的完整性验证。

安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。用于在两个通信应用程序之间提供保密性和数据完整性SSL：（SecureSocketLayer，安全套接字层），位于可靠的面向连接的网