电子支付与网络安全（第4版）PPT完整全套教学课件

电子支付与网络安全（第四版）项目一构建电子支付安全环境☞认识黑客攻击与计算机病毒的危害;☞熟悉常见的网络攻击方法;☞了解网络攻击的一般步骤;☞掌握常见的网络扫描方法;☞了解密码的破解过程;☞了解网络监听的常用工具及方法;☞了解计算机网络安全管理措施。职业能力目标项目一构建电子支付安全环境学习导航项目一构建电子支付安全环境网络是一把双刃剑,它在人类社会的发展中起着越来越重要的作用,但同时,网络自身的安全问题也像挥之不去的阴影一样时刻笼罩在人们心头。据不完全统计,全世界平均每20秒钟就发生一起黑客攻击事件,互联网上大约有20万个黑客网站可以提供数千种攻击工具软件,与此同时,黑客的攻击行为也从个人化、随机化向有组织、有计划地与网络安全组织对抗的方向发展。这无疑对全球数字化构成了严重的威胁。项目背景项目一构建电子支付安全环境123任务一认识计算机网络安全的威胁任务二了解常见的网络攻击与防范任务三掌握计算机网络安全管理措施任务一认识计算机网络安全的威胁计算机网络安全的威胁主要来自黑客攻击、计算机病毒、拒绝服务攻击、网络内部攻击和社会工程学攻击。一、来自黑客的攻击(一)黑客事件回顾

•1995年,来自俄罗斯的黑客弗拉季米尔·列宁在互联网上上演了精彩的偷天换日,他是历史上第一个通过入侵银行电脑系统来获利的黑客,他侵入美国花旗银行并盗走一千万美元,在英国被国际刑警逮捕之后,他把账户里的钱转移至美国、芬兰、荷兰、德国、爱尔兰等地。

•2001年1月30日1点钟左右,263网络集团的ISP业务页面、IDC资料信息港页面等几乎在同一时刻被黑客攻击。

•2001年2月,武汉邮电科学研究院主页被黑,首页页头被加上“这里是信息产业部邮科院的网站,但已经被黑”的字样。2月20日,通港网络(中国电信)、北京电信发展总公司、北京移动、北京寻呼、中国地图出版社、华建集团等40余家网站被黑,其大面积的攻击让国内网站再一次感受到网络安全问题的严重性。

•2008年,一个全球性的黑客组织,利用ATM欺诈程序在一夜之间从世界49个城市的银行中盗走了900万美元。

•2009年7月7日,韩国总统府、国会、国情院和国防部等国家机关,以及金融界、媒体和防火墙企业网站遭受了攻击。

•2010年1月12日上午7点钟,中文搜索引擎“百度”遭到黑客攻击,长时间无法正常访问。网民访问百度时,会被定向到一个位于荷兰的IP地址,百度旗下所有子域名均无法正常访问。任务一认识计算机网络安全的威胁计算机网络安全的威胁主要来自黑客攻击、计算机病毒、拒绝服务攻击、网络内部攻击和社会工程学攻击。

•2014年一年之内,全球就有近8万家公司服务器受到黑客攻击,其中2122家公司基于行业法律,被迫公开承认关键数据被盗,同时全球500强企业也被爆大面积“沦陷”,涉及60多个国家。

•2016年是历史级黑客攻击事件频发的一年,数据泄露事件达到近3000起———波及超过22亿份档案。金融网络安全引发普遍担忧。孟加拉央行8100万美元失窃款,厄瓜多尔BancodelAustro银行约1200万美金被盗,越南先锋银行也被爆出黑客攻击未遂,近一年来黑客利用SWIFT系统漏洞入侵了一家又一家金融机构,俄罗斯也赶上了2016年的末班车,其中央银行遭黑客攻击,3100万美元不翼而飞。

•2017年从网络安全的角度来回顾堪称血雨腥风的一年。成立于1899年的Equifax,拥有超过8亿消费者和全球超过8800万家企业的信息。作为老牌征信机构数据泄漏,半数美国人受影响;雅虎30亿邮箱信息泄漏,影响半个世界;“Petya”病毒爆发,多家大型跨国企业中招。

•2019年全球各地深受数据泄露事件的困扰,已造成数以万计的损失。黑客在暗网分四轮出售从38个热门网站窃取的8.7亿条用户信息。第1轮出售了来自16个网站的6.2亿条用户信息,第2轮出售了8个网站的1.27亿条用户信息,第3轮出售了8个网站的9200万条用户信息,第4轮出售了2700万条用户信息,共来自6个网站数据库。(来源:搜狐网)一、来自黑客的攻击(一)黑客事件回顾任务一认识计算机网络安全的威胁黑客是指非法入侵计算机系统的人。黑客主要是利用操作系统和网络的漏洞、缺陷,从网络的外部非法入侵,进行不法行为。目前,黑客行动几乎涉及所有的操作系统,包括Windows、Unix等。黑客可以利用网上的任何漏洞和缺陷修改网页、非法进入主机、非法进入银行账号转移资金、窃取信息、发送假冒的电子邮件等。关于黑客(Hacker,Cracker)相关知识任务一认识计算机网络安全的威胁一、来自黑客的攻击(二)黑客在网上经常采用的手段(9)暗网(3)系统漏洞攻击(4)偷取特权(8)勒索软件(6)网络监听(7)WWW的欺骗技术(5)病毒种植(1)邮件攻击(2)DDOS攻击任务一认识计算机网络安全的威胁二、认识病毒(一)IT史上所出现的重大病毒•1.ElkCloner(1982年)•2.Morris(1988年)•3.CIH(1998年)•4.Melissa(1999年)•5.“红色代码”(2001年)•6.Nimda(2001年)•7.“冲击波”(2003年)•8.“震荡波”(2004年)•9.“熊猫烧香”(2007年)•10.“扫荡波”(2008年)•11.木马下载器(2009年)•12.“鬼影”病毒(2010年)•13.“Flame病毒”(2012年)•14.“代理木马”(2013年)•15.“不死木马”(2014年)•16.“新年快乐”(2015)•17.Locky勒索病毒(2016年)•18.勒索病毒WannaCry(2017年)•19.StalinLocker(2018年)•20.GlobeImposter勒索病毒(2018年)•21.DoppelPaymer勒索病毒(2019年)任务一认识计算机网络安全的威胁计算机病毒是能够破坏计算机系统正常运行、具有传染性的一组计算机指令或者程序代码。计算机病毒种类繁多,极易传播,影响范围广。它动辄删除、修改文件,导致程序运行错误、死机,甚至毁坏硬件。随着互联网的发展,病毒的传播速度也在加快,对网络安全造成了日益严重的威胁。关于计算机病毒(ComputerVirus)相关知识任务一认识计算机网络安全的威胁木马是特洛伊木马程序的简称,它是一种基于远程控制的黑客程序,具有隐蔽性和非授权性的特点。所谓隐蔽性是指木马的设计者为了防止木马被发现,会采用多种手段隐藏木马,这样受害者即使发现感染了木马,由于不能确定其具体位置,往往只能望“马”兴叹。所谓非授权性是指一旦控制端与服务端连接后,控制端将享有服务端的大部分操作权限,包括修改文件、修改注册表、控制鼠标、键盘等,这些权限并不是服务端赋予的,而是通过木马程序窃取的。大多数木马都可以使木马的控制者登录到被感染的计算机上,并拥有绝大部分的管理员级控制权限。关于特洛伊木马(TrojanHorse)相关知识任务一认识计算机网络安全的威胁二、认识病毒(二)感染病毒的常见方式通过电子邮件传播1利用系统漏洞传播2通过MSN、QQ等即时通信软件传播3通过网页传播4通过移动存储设备传播5任务一认识计算机网络安全的威胁三、认清拒绝服务攻击的危害拒绝服务攻击(DoS)是一种破坏性的攻击,它是指一个用户采用某种手段故意占用大量的网络资源,使系统没有剩余资源为其他用户提供服务的攻击。拒绝服务攻击作为互联网上的一种攻击手段,是伴随着互联网技术和应用发展起来的。它主要利用TCP/IP协议的缺陷,将提供服务的网络资源耗尽,导致其无法提供正常服务。有些拒绝服务攻击是消耗带宽,有些是消耗网络设备的CPU和内存,也有一些是导致系统崩溃,是对网络危害十分巨大的恶意攻击。在拒绝服务攻击中最具有代表性的攻击手段包括SYNFlood、ICMPFlood、UDPFlood等,其原理是使用大量伪造的连接请求数据攻击网络服务器所在的端口,造成服务器的资源耗尽,系统停止响应甚至崩溃;另一种称为“连接耗尽”的攻击则是用真实的IP地址,发起针对网络服务的大量真实连接来抢占带宽,造成Web服务器的资源耗尽,导致服务中止。此外,还有一些攻击则是利用网络协议本身的缺陷进行的,包括Land攻击、WinNuke、PingofDeath、TearDrop等。任务一认识计算机网络安全的威胁四、不容忽视的网络内部攻击网络内部攻击主要有以下几种情况：首先，内部网的用户防范意识薄弱或计算机操作技能有限,通过网络共享资源时没有辅以恰当的方法及安全措施(如将数据共享为局域网所有用户都可读甚至可写)，导致无意中把重要的涉密信息和个人隐私信息存放在共享目录下，造成信息泄露；其次，内部管理人员有意或者无意泄露系统管理员的用户名、口令等关键信息，泄露内部网的网络结构以及重要信息的分布情况而遭受攻击；第三，内部人员为谋取个人私利或对公司不满，编写程序通过网络进行传播,或者故意把黑客程序放在共享目录下作为陷阱，乘机控制并入侵内部网的其他主机。因此,网络安全应重视防范来自内部的安全隐患。任务一认识计算机网络安全的威胁五、探究社会工程学攻击

20世纪70年代末期,一个叫作斯坦利·马克·瑞夫金(StanleyMarkRifkin)的年轻人成功地实施了史上最大的银行劫案。他没有雇用帮手、没有使用武器、没有天衣无缝的行动计划,甚至无须计算机的协助,仅仅依靠一个进入电汇室的机会并打了三个电话,便成功地将1020万美元转入自己在国外的个人账户。奇怪的是,这一事件却以“最大的计算机诈骗案”为名,收录在吉尼斯世界纪录中。斯坦利·马克·瑞夫金利用的就是欺骗的艺术,这种技巧我们现在把它称为社会工程学。它是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段,取得自身利益的手法,近年来已呈迅速上升甚至滥用的趋势。那么,什么是社会工程学呢?它并不能等同于一般的欺骗手法,社会工程学尤其复杂,即使自认为最警惕、最小心的人,一样会被高明的社会工程学手段损害利益。任务二了解常见的网络攻击与防范子任务一认知常见的网络攻击方法一、网络攻击的一般步骤锁定目标系统分析(一)（二）收集信息（三）（四）1.自编入侵程序发动攻击2.利用公开的工具任务二了解常见的网络攻击与防范二、常见的网络扫描方法(一)使用X-Scan扫描工具步骤1:下载X-Scan到本地磁盘,解压后如图(a)所示。步骤2:双击图(a)中的xscan_gui.exe文件进入X-Scan用户界面,如图(b)所示。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范二、常见的网络扫描方法(一)使用X-Scan扫描工具步骤3:在主界面工具栏中点击“设置”→“扫描参数”,打开如图所示的界面,在“检测范围”中设置扫描的目标主机的IP地址,或目标网络范围的主机;在“全局设置”中设置需要的“扫描模块”。其他扫描参数这里就不一一介绍了,可以自己试着设置一下。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范二、常见的网络扫描方法(一)使用X-Scan扫描工具步骤4:设置好扫描参数后,单击“开始”按钮,就开始了扫描过程。根据不同的设置情况等候一段时间,就会生成扫描结果。

X-Scan主要的工作过程是首先探测目标主机运行的服务，然后探测开放端口，之后尝试攻击脚本(上千个)，全部扫描完成后会自动生成一个结果网页，网页中会详细列出漏洞情况和解决建议，高危漏洞会以红色字体标出。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范

X-Scan是国内著名的综合扫描器之一,它完全免费,是不需要安装的绿色软件,界面支持中文和英文两种语言,包括图形界面和命令行方式。

X-Scan运行在Windows平台下，功能较多,扫描速度快,最主要的是很易用，还可以自动升级。X-Scan扫描的内容包括:远程操作系统类型及版本；标准端口状态及端口Banner信息;SNMP信息；CGI漏洞、IIS漏洞、RPC漏洞、SSL漏洞；SQLServer、FTPServer、SMTPServer、POP3Server；NTServer弱口令用户、NT服务器NetBIOS信息;注册表信息等。关于X-Scan相关知识任务二了解常见的网络攻击与防范二、常见的网络扫描方法(二)使用SuperScan扫描工具步骤1:从开发者网站下载最新版本的SuperScan并安装。步骤2:运行安装好的SuperScan软件,其运行界面。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范二、常见的网络扫描方法(二)使用SuperScan扫描工具步骤3:在主界面中的【扫描】栏输入要进行探测的目标主机名或IP地址,点击扫描按钮,系统开始进行扫描。步骤4:扫描进程结束后,点击【查看HTML结果】按钮,SuperScan将提供一个主机列表,以HTML文件格式显示出来,列出关于每台扫描过的主机被发现的开放端口信息。扫描结果。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范二、常见的网络扫描方法(二)使用SuperScan扫描工具步骤5:还可以在主界面中的【主机和服务扫描设置】栏和【工具】栏输入相关的参数进行端口扫描。主机和服务扫描设置:用来进行定制扫描,使用户看到更多的信息。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范

(1)小巧易用,使用方法比较简单,而且对常用端口有介绍。

(2)可以选择需要扫描的端口,也可以选择所有端口，这一点对于管理员来说比较方便。其实,大多数时候我们没必要扫描计算机的所有端口，扫描1024以下的端口基本就可以了。

(3)可以选择扫描多个网段。一般来说,不推荐使用这项功能,因为速度实在太慢。

(4)其他功能,比如取得计算机主机名、设定扫描速度等。SuperScan的特点相关知识任务二了解常见的网络攻击与防范三、密码的破解方法(一)WinRAR压缩文件的密码破解在【攻击类型】中可选“暴力”或“字典”等。强制破解法1字典破解法2子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范三、密码的破解方法(二)电子邮箱密码破解黑雨POP3邮箱密码暴力破解器就是一款专门用于破解邮箱口令的工具。它是一个基于POP3协议的自动登录机,可以利用POP3协议的功能,对可能的用户密码进行登录试验,从而获得用户的密码。这种软件必须在连线状态下使用,前提是必须有一个目标主机的账号。其操作方法很简单，首先连接到Internet，然后运行E-mailCrack，其主界面。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范三、密码的破解方法(三)利用社会工程学的密码破解黑客们常常利用社会工程学挖掘攻击目标的信息,通过非常规手段拿到用户的密码。往往很多网站使用的都是网上提供的整站系统，连默认的数据库都没有更改，给了黑客们以可乘之机。这些数据库的密码几乎是公开的，黑客可以利用它去尝试破解用户邮箱的密码，进入邮箱后再在里面找一些有用的东西，往往连支付通和支付宝账号也可以在邮箱里找到,然后还可以通过支付通或支付宝找到用户的卡号，后果不堪设想,这就是网上黑客们常用的入侵方法。如图所示的一个社会工程学字典，就会明白他们想收集一些什么信息，从而用这些信息做成密码字典，该字典也告诉我们要从哪些方面提高自己的安全意识。子任务一认知常见的网络攻击方法任务二了解常见的网络攻击与防范子任务二掌握防范常见网络攻击的措施一、网络扫描的防范虽然网络扫描本身并不会给被入侵者带来损害,但是它属于黑客攻击中的“踩点”,是收集信息以便发动攻击的重要步骤。所以不让攻击者“踩点”成功是防范网络扫描的意义之所在。那么,如何进行防范呢?对于攻击方来说,网络扫描是使用扫描工具对目标机器的缺陷和漏洞进行探测;而对于防御方来说,则是使用扫描工具来发现要保护的目标系统存在的缺陷和漏洞。前者是为了对目标系统发动攻击,后者是为了发现系统存在哪些漏洞,然后将这些漏洞堵上,不给那些不怀好意的攻击者机会。任务二了解常见的网络攻击与防范二、密码破解的防范要防止密码被破解,使用密码时应注意以下措施:

(1)密码要有一定长度,不要少于6个字符。

(2)不要使用姓名、出生日期、电话号码、身份证号码、车牌号码、单位名称、家庭住址等常用信息作为密码。

(3)不要以任何形式使用用户名作为密码(如反向或缩写等形式)。

(4)不要以英语或其他语言中的单词作为密码。

(5)密码设置建议字母、数字和“%、#、*、@、^、&”等混排。

(6)应该定期更换密码。

(7)密码必须加密存储,并保证密码加密文件和密码存储载体的安全。

(8)密码在网络中传输时应加密。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范三、木马的防范在防范木马方面,可采取以下措施:07使用防火墙软件05检查启动组06使用杀毒软件08提高防范意识04检查注册表01端口扫描02查看连接03观察目录子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范四、网络监听的防范由于网络监听只能在以太局域网中进行,监听处于同一个网段中的主机的通信信息,因此黑客要实施网络监听,首先需要取得目标局域网中的某台主机的超级权限,以此作为“跳板”来监听整个局域网。所以防范措施就是:经常检查整个局域网中的所有主机,避免某台主机成为黑客的“跳板”。除此之外,如果局域网中的网络连接设备是集线器,应尽量将其转化为交换机,因为交换式局域网可以将连接的各主机隔离开来,从而避免从一台主机监听整个局域网中的通信。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用如图所示为天网防火墙系统设置界面,读者可以参照设置。(一)普通应用(默认情况)

IP规则设置:一般默认即可,未经修改的自定义IP规则与默认中级规则是一样的。创建新的IP规则将在后面详细介绍,如图所示为默认情况。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用各个程序的使用及监听端口：可以查看什么程序使用了端口，使用哪个端口，是否有可疑程序在使用网络资源，如木马程序。可以根据要求在自定义IP规则里禁止某些端口以及禁止某些IP访问自己的计算机，如图所示。(一)普通应用(默认情况)子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用图是默认设置下的日志,上面是程序访问网络的记录,局域网和互联网上被IP扫描端口的情况,提供参考以便采取相应的对策。默认情况下日志基本都是拒绝操作。(一)普通应用(默认情况)

以上是天网防火墙在默认情况下的一些设置，只要用户没什么特殊要求，如开放某些端口、屏蔽某些端口或进行某些IP操作等，默认设置就能发挥防火墙的强大作用。但是有时防火墙的苛刻要求给某些程序的使用带来了麻烦。下面将介绍开放某些端口的设置方法，用户可以依此类推,完成相关操作。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用

1.创建新的IP规则(二)防火墙开放端口应用如果想开放端口就得创建新的IP规则。新建一个IP规则,在自定义IP规则中单击进行新规则设置。单击增加规则按钮后会出现如图所示的界面,它分为四部分

(1)规则。

(2)对方IP地址。

(3)数据包协议类型。

(4)决定用户设置规则是允许还是拒绝,在满足条件时是通行、拦截还是继续下一条规则,要不要记录等设置。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用

2.打开端口实例(二)防火墙开放端口应用

(1)建立一个新的IP规则，在如图所示的界面中进行设置。由于BT使用的是TCP协议，所以按照图中的设置就可以了，然后单击【确定】按钮完成新规则的建立，此处命名为“BT”。

(2)设置新规则后，把规则上移到该协议组置顶,并保存。然后可以进行在线端口测试，测试BT的连接端口是否已经开放。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范五、防火墙的应用

3.应用自定义规则防止常见病毒(二)防火墙开放端口应用封端口的应用,与上面的介绍基本类似。下面来介绍一些实例的应用,即封端口,让某些病毒无法入侵。冲击波利用Windows系统的RPC服务漏洞以及开放的69、135、139、445、4444端口入侵,其防范措施就是封住以上端口。在天网防火墙IP规则图中选中【禁止互联网上的机器使用我的共享资源】复选框就可以禁止135和139两个端口。禁止4444端口的操作如图所示。子任务二掌握防范常见网络攻击的措施任务二了解常见的网络攻击与防范六、病毒防治的方法

(1)用常识进行判断。

(2)安装防病毒产品并保证更新最新的病毒定义码。

(3)首次安装防病毒软件时,一定要对计算机做一次彻底的病毒扫描。

(4)插入软盘、光盘和其他可插拔介质前,一定要对它们进行病毒扫描。

(5)不要从任何不可靠的渠道下载软件。

(6)警惕欺骗性的病毒。

(7)使用其他形式的文档,如.rtf(RichTextFormat)和.pdf(PortableDocumentFormat)

(8)不要用公用的软盘安装、拷贝软件或者复制那些公用的软盘。

(9)禁用WindowsScriptingHost(WSH)。

(10)使用基于客户端的防火墙或过滤措施。

(11)安装杀毒软件。子任务二掌握防范常见网络攻击的措施任务三掌握计算机网络安全管理措施网络安全审查就是对关系到国家安全和社会稳定信息系统中使用的信息技术产品与服务进行测试评估、监测分析和持续监督的过程。

2000年,美国率先在国家安全系统中对采购的产品进行安全审查，随后陆续针对联邦政府云计算服务、国防供应链等出台了安全审查政策,实现了对国家安全系统、国防系统、联邦政府系统的全面覆盖。审查对象不仅涉及产品和服务，而且包括产品和服务提供商。随后,美国等西方国家为保障国家安全、防范供应链安全风险,逐步建立了多种形式的网络安全审查制度,将全方位、综合性的供应链安全审查对策上升至国家战略高度。网络安全审查相关知识任务三掌握计算机网络安全管理措施一、常见的计算机网络安全问题(一)计算机网络的硬件系统安全硬件系统安全主要包括硬件系统的设置安全和计算机设备的物理安全。(二)计算机网络的软件系统安全(1)计算机网络病毒。(2)系统安全漏洞。(3)网络黑客攻击。(4)网络内部权限的混用。任务三掌握计算机网络安全管理措施二、影响计算机网络安全的因素(1)计算机软件的安全漏洞。(三)网络传输信道的安全问题(一)自然环境的影响(四)计算机软件系统的问题(二)人为因素(2)TCP/IP网络服务的安全问题。(3)网络的广域性和开放性。任务三掌握计算机网络安全管理措施三、计算机网络安全的管理措施(四)定期对网络数据进行备份(一)完善网络安全的相关法律法规(二)加强网络安全意识(三)完善网络管理制度项目小结本项目对网络安全威胁进行了总体介绍,重点了解网络安全威胁的五个来源,即黑客攻击、计算机病毒、拒绝服务攻击、网络内部攻击和社会工程学攻击。通过对网络安全威胁的认识,建立网络安全意识。通过实例操作，使大家对常见的网络攻击有所体会,同时也使大家在头脑中树立需要时时注意网络安全的意识。针对常见的网络攻击，分析了影响计算机网络安全的因素，学习相应的防范措施，并提出相应的解决管理策略，以便提高计算机网络的安全性和可靠性，加强计算机网络安全的管理。对于大家在使用网上各种服务的过程中，如何保障安全的网络环境给出了可行的指导。电子支付与网络安全（第四版）项目二安全电子交易技术☞探究安全电子交易的需求;☞了解电子交易安全管理的思路、法律、管理、技术保障措施;☞利用加密技术保障电子交易信息(如电子合同等)的安全;☞灵活运用各种安全认证手段,促进电子交易的顺利开展;☞了解SSL和SET协议的工作原理;☞熟悉建立电子商务系统安全管理制度的流程。职业能力目标项目二安全电子交易技术学习导航项目二安全电子交易技术在电子商务中,大量的商务活动运作在公开的网络上,支付信息、订货信息、谈判信息、机密的商务往来文件等商务信息在计算机系统中存放、传输和处理。计算机诈骗、计算机病毒等造成的商务信息被窃、篡改和破坏,以及机器损坏、程序错误、误操作、传输错误等造成的信息失误或失效,都严重危害着电子商务系统的安全。基于因特网的电子商务活动,对安全通信提出了前所未有的要求。项目背景安全性是影响电子商务健康发展的关键。如何采取高效的安全措施保证电子商务的顺利开展,解决电子商务中存在的一系列法律问题,成为电子商务能否良好运作的基础。项目二安全电子交易技术12任务一认识安全电子交易的需要任务二构建电子交易安全体系３４任务三掌握电子交易安全管理的方法任务四建立电子商务系统安全管理制度任务一认识安全电子交易的需要

2018年,互联网对人们生活方式的影响进一步深化,已融入教育、医疗、交通等民生服务中。随着网络购物群体的不断增大,网络消费安全问题明显上升。2018年我国网民在上网过程中遇到安全问题的比例进一步下降。中国互联网络信息中心数据显示,49.2%的网民表示在过去半年中未遇到过任何网络安全问题,较2017年底提升1.8个百分点。通过分析用户遭遇的网络安全问题发现,上网设备中病毒或木马的用户比例明显减少,较2017年年底降低7.3个百分点;其他网络安全问题的发生情况与2017年年底差异不大。互联网络安全事件发生比例如图2-1-1所示。任务一认识安全电子交易的需要一、探究我国电子交易面临的安全问题(一)信息泄漏(二)信息篡改(三)信息伪造(四)信用威胁(五)电脑病毒任务一认识安全电子交易的需要二、探究电子交易的安全性要求(一)信息传输的安全性(保密性)(三)信息的防抵赖性(五)信息的有效性(二)交易各方身份的认证(四)信息的完整性任务二构建电子交易安全体系一、保障计算机网络安全(1)是否进行过操作系统的相关安全配置?(2)查看计算机系统日志,是否遭遇黑客或拒绝服务攻击?(3)安全产品有没有正确使用?(4)重要文件有没有被保护和进行备份?(5)是否随意打开过来历不明的邮件?是否访问过不知底细的网站?(6)是否拷贝和使用过未经安全检测的软件和文件?(7)网络安全管理制度有没有落实?(8)计算机网络安全体系是否完善?每次打开计算机时,务必检查计算机网络是否存在安全隐患:任务二构建电子交易安全体系二、确定电子交易安全体系各要素对于各种安全隐患,在电子交易中必须提供很好的解决方案。如果有一方面解决不好,都有可能导致电子交易的失败。与法律条文和道德标准相比,使用技术手段保证电子交易的安全更加直接,并且能够预防安全隐患的爆发,而不仅仅是进行事后的惩罚。目前,人们已经开发出了多种安全技术,来保证信息的机密性、完整性以及交易身份认证和确保交易行为无法抵赖,用于解决电子交易中的各种安全隐患。具体来说,这些安全技术包括信息加密技术、密钥管理技术、验证技术和安全协议等。在这些安全技术的支撑下,才有可能在互联网上建设安全的电子交易支付平台。它们之间的关系可用图来表示。任务三掌握电子交易安全管理的方法一、了解电子支付密码子任务一加密技术的应用近年来，不法分子利用伪造印章诈骗银行资金或与银行内部人员勾结挪用银行和客户资金的案件时有发生，给银行和客户造成巨大的资金损失。随着社会经济的发展，传统的预留印鉴管理模式，已不能满足客户对银行产品和服务日益增长的需求，而且风险暗伏。为有效解决预留印鉴和支付指令不相关联、不相制约的问题,确保银行和企业双方资金的安全，电子支付密码器应运而生。任务三掌握电子交易安全管理的方法

(1)快捷性:由计算机对数字密码进行识别核验,可使每笔转账资金做到实时清算,克服了计算机无法精确识别传统印章这一弊端,客户在付款行和收款行都能跨行及时收付资金。

(2)便利性:为企业资金管理提供了方便。可根据职权规定设置不同的资金使用权限，为资金计划管理提供技术手段，对资金使用责任提供技术保证。

(3)排他性:使用电子支付密码器,企业在资金划转中的其他安全手段可以省去,如密码条、防伪印泥、防伪印章、防伪支票、电脑验印等。

(4)统一性:电子支付密码器是根据国家商用密码管理办公室和中国人民银行总行统一标准制定的,因此,只需要购买一台支付密码器,就可以在不同商业银行使用。电子支付密码的优点相关知识任务三掌握电子交易安全管理的方法二、洞悉常用的加密技术原理对称加密采用了对称密码编码技术。它的特点是文件加密和解密使用相同的密钥,即加密密钥也可以用作解密密钥,这种方法在密码学中叫作对称加密算法。对称加密算法使用起来简单快捷,密钥较短,且破译困难,除了DES外,另一个对称密钥加密系统是国际数据加密算法(IDEA),它比DES的加密性好,而且对计算机功能要求也没有那么高。IDEA由PGP(PrettyGoodPrivacy)系统使用。对称加密解密过程如图所示。(一)对称加密技术子任务一加密技术的应用任务三掌握电子交易安全管理的方法二、洞悉常用的加密技术原理

1976年,美国学者Dime和Henman为解决信息公开传送和密钥管理问题,提出一种新的密钥交换协议,允许在不安全的媒体上的通信双方交换信息,安全地达成一致的密钥,这就是“公开密钥系统”。相对于对称加密算法,这种方法叫作非对称加密算法。与对称加密算法不同,非对称加密算法需要两个密钥:公开密钥(PublicKey)和私有密钥(Private

Key)。公开密钥与私有密钥是一对,如果用公开密钥对数据进行加密,只有用对应的私有密钥才能解密;如果用私有密钥对数据进行加密,那么只有用对应的公开密钥才能解密。非对称加密解密过程如图所示。(二)非对称加密技术子任务一加密技术的应用任务三掌握电子交易安全管理的方法二、洞悉常用的加密技术原理当然也可以反过来,发送方用自己的私有密钥进行加密,而接收方就直接使用发送方的公开密钥进行解密,这种方法还可以起到防止抵赖的作用。当接收方用发送方的公开密钥解密得到信息明文时,就完全可以确定信息是由发送方发出的,而发送方是不能抵赖否认的。可防抵赖的非对称加密解密过程如图所示。(二)非对称加密技术子任务一加密技术的应用任务三掌握电子交易安全管理的方法三、加密技术在VPN中的应用现在,越来越多的公司走向国际化,一个公司可能在多个国家都有办事机构或销售中心,每一个机构都有自己的局域网(Local

AreaNetwork,LAN)。但在当今的网络社会中人们的要求不仅如此,用户希望将这些LAN连接在一起组成一个公司的广域网,这在现在已不是什么难事了。事实上,很多公司都已经这样做了,但它们一般使用租用的专用线路来连接这些局域网,其实考虑的就是网络的安全问题。现在具有加密/解密功能的路由器已到处都是,通过互联网连接这些局域网成为可能,这就是通常所说的虚拟专用网(VirtualPrivateNetwork,VPN)。当数据离开发送者所在的局域网时,该数据首先被用户端连接到互联网上的路由器进行硬件加密,数据在互联网上是以加密形式传送的,当到达目的LAN的路由器时,该路由器就会对数据进行解密,这样目的LAN中的用户就可以看到真正的信息了。子任务一加密技术的应用任务三掌握电子交易安全管理的方法四、传送加密文件例如,小刘和小张是一对好朋友,小刘首先创建密钥,如图2-3-4所示,得到公钥文件“小刘.pub”和私钥文件“小刘.pri”。同理,小张得到“小张.pub”和“小张.pri”。然后小刘把“小刘.pub”发给小张,小张把“小张.pub”发给小刘(默认状态下,公钥文件public的扩展名为.pub,私钥文件private的扩展名为.pri)。(一)创建密钥子任务一加密技术的应用任务三掌握电子交易安全管理的方法四、传送加密文件

1.加密文件密钥创建后,小刘发送文件给小张之前,都先用“小张.pub”加密,如图所示。(二)传送加密文件

2.解密文件小张收到文件后,用配套的“小张.pri”解密还原,如图所示。反之亦然。子任务一加密技术的应用任务三掌握电子交易安全管理的方法一、认识安全认证的工作流程子任务二安全认证手段的应用

A企业通过互联网向B企业下订单,想从B企业购买十台联想电脑,假设订单的内容为“购买十台电脑,货到付款”。为了防止A企业抵赖这笔交易,需要A企业在发送订单信息时使用自己的数字签名,以便当双方对这笔交易发生争议时,数字签名可以提供足够的证据来证明这笔交易是否发生过。该过程的具体流程如图所示。需要说明的是,因为数字签名过程中采用的是公开密钥加密技术,所以A企业必须首先从CA认证中心申请企业数字证书,以获取自己的私有/公开密钥对。任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字摘要就是信息发送方利用某种数学算法对信息进行处理后,生成的一个具有固定长度的特殊字符串。在传输信息时,将数字摘要一起发送给接收方,接收方可以根据数字摘要判断信息在传输过程中是否被篡改过。当数学算法确定后,生成的数字摘要和信息原文就是一一对应的,就像每个人都有独特的指纹一样。因此,如果原文被篡改的话,它与数字摘要就无法匹配了。目前,在生成数字摘要的算法中,Hash算法是最常用的一种,如图所示。(一)数字摘要技术子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术在各种政务和商务文件中,时间是十分重要的信息。在书面合同中,文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。在电子文件中,同样需对文件的日期和时间信息采取安全措施,这就需要在经过数字签名的交易上打上一个可信赖的时间戳,从而解决一系列的实际和法律问题。由于用户桌面时间很容易改变,由该时间产生的时间戳不可信赖,因此需要一个权威的第三方来提供可信赖的且不可抵赖的时间戳服务,而数字时间戳服务(DigitalTime-stampService,DTS)就能提供电子文件发表时间的安全保护。(二)数字时间戳技术子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字时间戳服务是网上的安全服务项目,由专门的机构提供。时间戳是一个经加密后形成的凭证文档,它包括三部分:

(1)需加时间戳的文件的摘要。

(2)DTS收到文件的日期和时间。

(3)DTS的数字签名。(二)数字时间戳技术子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字时间戳产生的过程为:用户首先将需要加时间戳的文件用Hash编码加密形成数字摘要，然后将该数字摘要发送到DTS，DTS在加入了收到数字摘要的日期和时间信息后再对该文(二)数字时间戳技术件加密(数字签名)，然后返回用户，如图所示。由Bellcore创造的DTS采用如下过程:加密时将摘要信息归并到二叉树的数据结构；再将二叉树的根值发表在报纸上，这样就更有效地为文件发表时间提供了佐证。需要注意的是，书面签署文件的时间是由签署人自己写上去的，而数字时间戳则不同，它是由认证单位DTS来加的，以DTS收到文件的时间为依据。因此，时间戳也可作为科学家的科学发明文献的时间认证。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字签名(DigitalSignature)又称公钥数字签名、电子签章,类似于写在纸上的普通的物理签名,但它是使用公钥加密领域的技术来实现的,是用于鉴别数字信息的方法。一套数字签名通常定义两种互补的运算:一种用于签名,另一种用于验证。(三)数字签名子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字签名技术是不对称加密算法的典型应用。数字签名的应用过程是:数据源发送方使用自己的私钥对数据进行校验或对其他与数据内容有关的变量进行加密处理,完成对数据的合法“签名”;数据接收方则利用对方的公钥来解读收到的“数字签名”,并将解读结果应用于对数据完整性的检验,以确认签名的合法性。数字签名技术是网络系统虚拟环境中确认身份的重要技术,完全可以代替现实过程中的“亲笔签字”,在技术和法律上有所保证。在数字签名应用中,发送者的公钥可以很方便地得到,但其私钥则需要严格保密,这与加密邮件PGP技术正好相反。(三)数字签名子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字签名原理如图所示。(三)数字签名子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术数字信封是公钥密码体制在实际中的一个应用,是用加密技术来保证只有规定的特定收信人才能阅读通信的内容。在数字信封中,信息发送方采用对称密钥来加密信息内容,然后将此对称密钥用接收方的公开密钥来加密(这部分称为数字信封)之后,将它和加密后的信息一起发送给接收方,接收方先用相应的私有密钥打开数字信封,得到对称密钥,然后使用对称密钥解开加密信息。数字信封主要包括数字信封打包和数字信封拆解,数字信封打包是使用对方的公钥将加密密钥进行加密的过程,只有对方的私钥才能将加密后的数据(通信密钥)还原;数字信封拆解是使用私钥将加密过的数据解密的过程。(四)数字信封子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法子任务二安全认证手段的应用二、认识电子支付的安全技术(四)数字信封数字信封的功能类似于普通信封,普通信封在法律的约束下保证只有收信人才能阅读信的内容,数字信封则采用密码技术保证只有规定的接收人才能阅读信息的内容。数字信封的应用过程如图所示。任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术1.数字证书的认证流程(五)数字证书与认证中心一般来讲,用户要携带有关证件到各地的证书受理点或者直接到证书发放机构(CA中心)填写申请表并进行身份审核,审核通过后交纳一定费用就可以得到装有证书的相关介质(磁盘或Key)和一个写有密码口令的密码信封。用户在进行需要使用证书的网上操作时,必须准备好装有证书的存储介质。如果用户是在自己的计算机上进行操作,操作前必须先安装CA根证书。一般来说,所访问的系统如果需要使用数字证书,会自动弹出提示框要求安装根证书,用户直接选择确认即可;也可以直接登录CA中心的网站,下载安装根证书。操作时,一般系统会自动提示用户出示数字证书或者插入证书介质(磁盘或Key),用户插入证书介质后系统将要求用户输入密码口令,此时用户需要输入申请证书时获得的密码信封中的密码,密码验证正确后系统将自动调用数字证书进行相关操作。使用后,用户应记住取出证书介质,并妥善保管。当然,不同的系统数字证书会有不同的使用方式,但系统一般会有明确提示,用户使用起来都较为方便。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术2.数字证书的申请(以支付宝数字证书申请为例)(五)数字证书与认证中心

(1)登录支付宝账户,点击【安全中心】→【安全管家】,然后点击“数字证书”后面的【申请】按钮,如图所示。

(2)点击【申请数字证书】按钮,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术2.数字证书的申请(以支付宝数字证书申请为例)(五)数字证书与认证中心

(3)填写身份信息验证身份,区分已通过身份验证、未通过身份验证两种形式,如图所示。

(4)已通过身份验证:填写身份证号码和校验码,选择使用地点,点击【提交】按钮,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术2.数字证书的申请(以支付宝数字证书申请为例)(五)数字证书与认证中心

(5)未通过身份验证:输入身份证号码后系统自动校验,若校验不成功,页面提示用户进行实名认证,修改账户身份信息。认证成功后,可以再重新申请和安装数字证书。然后填写手机上收到的校验码,如图所示。

(6)数字证书申请成功,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术3.支付宝数字证书备份(五)数字证书与认证中心

(1)登录支付宝账户,点击【安全中心】→【安全管家】,然后点击“数字证书”后面的【管理】按钮,在弹出的页面中点击【备份证书】,如图所示。

(2)点击【备份证书】按钮后，会生成一个“××.pfx”的备份文件,该“××”会自动显示为支付宝账户的名字,如图所示。要妥善保管好备份的资料,并且记住证书的备份目录。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术3.支付宝数字证书备份(五)数字证书与认证中心

(3)成功保存证书备份文件,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术4.支付宝数字证书安装(五)数字证书与认证中心

(1)在安装证书入口,点击【安装数字证书】,选择【通过手机短信】,然后点击【下一步】按钮,进入安装证书页面,如图所示。

(2)选择证书使用地点,输入手机上收到的校验码,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术4.支付宝数字证书安装(五)数字证书与认证中心

(3)接收邮件,页面提示“支付宝已向您的邮箱××发送了一封验证邮件”,点击【点此进入邮箱查收】,如图所示。

(4)点击【点此安装证书】,回答安全保护问题并按提示操作,证书就安装成功了,如图所示。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法二、认识电子支付的安全技术(六)公钥基础设施所谓PKI(PublicKeyInfrastructure,公钥基础设施),就是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。用户可利用PKI平台提供的服务进行安全的电子交易、通信和互联网上的各种活动。PKI是基于公钥算法和技术，为网上通信提供安全服务的基础设施,是创建、颁发、管理、注销公钥证书所涉及的所有软件、硬件的集合体。子任务二安全认证手段的应用任务三掌握电子交易安全管理的方法2.PKI加密/签名密钥对的使用原理(1)PKI加密密钥对的使用原理1.PKI的组成PKI是由证书申请者、注册机构(RA)、认证中心(CA)、证书库(CR)和证书信任方等基本成分共同组成的。(2)PKI签名密钥对的使用原理子任务二安全认证手段的应用二、认识电子支付的安全技术(六)公钥基础设施任务三掌握电子交易安全管理的方法

1.数字证书的概念

2.数字证书的特点

3.数字证书的工作原理

4.数字证书的分类从应用的角度来看,数字证书可以分为以下几种:

(1)服务器证书(2)电子邮件证书(3)客户端个人证书

5.数字证书的内容目前数字证书的格式普遍采用的是X.509v3国际标准。一个标准的X.509数字证书其内容主要由基本数据信息和发行数据证书的CA签名与签名算法两部分组成，具体包括：

(1)证书的版本信息。

(2)证书的序列号。每个证书都有一个唯一的证书序列号。

(3)证书所使用的签名算法。

(4)证书的发行机构名称(命名规则一般采用X.500格式)及其私钥签名。

(5)证书的有效期。

(6)证书使用者的名称及其公钥信息。数字证书相关知识任务三掌握电子交易安全管理的方法一、了解安全交易协议子任务三安全交易协议的应用(一)SSL协议(1)认证用户和服务器,确保数据发送到正确的客户机和服务器。(2)加密数据以防止数据中途被窃取。(3)维护数据的完整性,确保数据在传输过程中不被篡改。

1.SSL协议提供的服务任务三掌握电子交易安全管理的方法一、了解安全交易协议子任务三安全交易协议的应用(一)SSL协议(1)服务器认证阶段(2)客户认证阶段2.SSL协议的工作流程

这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回(数字)签名后的提问和其公开密钥，从而向服务器提供认证。

SSL协议的安全交易过程如图所示。任务三掌握电子交易安全管理的方法一、了解安全交易协议(二)SET协议

SET(SecurityElectronicTransaction)是由VISA国际组织和MasterCard国际组织创建,结合IBM、Microsoft、Netscape、GTE等公司制定的电子商务中安全电子交易的一个国际标准。其主要目的是解决信用卡电子付款的安全保障问题,包括:保证信息的机密性,保证信息安全传输,不被窃听,只有收件人才能得到和解密信息;保证支付信息的完整性,保证传输数据被完整接收,中途不被篡改;认证商家和客户,验证公共网络上进行的交易活动,包括会计机构的设置、会计人员的配备及其职责、权利的履行和会计法规、制度的制定与实施等内容。合理、有效地组织会计工作,意义重大,它有助于提高会计信息质量,执行国家财经纪律和有关规定;有助于提高经济效益,优化资源配置。会计工作的组织必须合法合规,讲求效益,必须建立完善的内部控制制度,必须有强有力的组织保证。SET协议的工作流程如图所示。子任务三安全交易协议的应用任务三掌握电子交易安全管理的方法一、了解安全交易协议(三)SSL协议与SET协议的比较1.连接性2.认证机制3.风险性子任务三安全交易协议的应用任务三掌握电子交易安全管理的方法二、安全交易协议在支付中的运用(一)基于SSL协议的支付模式

(1)持卡客户通过Internet在商家的网站上选定商品,并填写订单,选择银行卡类型进行支付,再将附有银行卡信息的订单发送给商家。

(2)商家收到订单后会先回复客户,告之订单的查询ID,商家服务器还需要将相关的支付信息发给发卡银行。

(3)SSL协议开始介入,持卡客户端会出现页面提示与发卡银行的网络服务器安全连接,并且客户端会自动检验发卡端服务器的数字证书,检验通过之后浏览器下端会出现“闭合锁”,表示加密通信道已经接通,客户可以放心地进行支付信息的输入。支付成功后页面会自动提示,客户确认后,SSL连接结束。

(4)发卡行把相关资金转入商家在收单银行的账户。

(5)收单银行将成功付款的信息传送给商家,以便商家及时发货。子任务三安全交易协议的应用任务三掌握电子交易安全管理的方法二、安全交易协议在支付中的运用(二)基于SET协议的支付模式

(1)持卡客户通过浏览器选定商品或服务，经过与商家的协商，客户填写订单，包括所订物品的列表、价格、合计等。

(2)持卡客户选择支付类型后，客户端会自动激活客户端软件，SET协议开始介入，要求客户输入用户名和密码。

(3)客户端软件与商家服务器端软件自动进行身份认证与信息交互，通过后直接将订单与支付指令一起发送给商家。

(4)商家服务器将收到的支付指令通过支付网关与金融专用网转发给收单行，请求支付结算。

(5)发卡行与收单行之间通过资金清算系统进行支付结算。

(6)结算之后，收单行向商家发送支付确认信息,商家向客户转发支付确认信息以及发货通知，SET协议退出，客户端软件自动关闭。子任务三安全交易协议的应用任务三掌握电子交易安全管理的方法二、安全交易协议在支付中的运用(二)基于SET协议的支付模式在一个完整的SET协议交易过程中，需验证数字证书9次，验证数字签名6次，传递各方数字证书7次，进行5次数字签名、4次私有密钥加密和4次公开密钥加密。整个过程需要1.5~2分钟,甚至更长的时间，这是一个非常严密的安全体系，适用于安全要求很高的支付交易。基于SET协议的支付模式如图所示。子任务三安全交易协议的应用任务四建立电子商务系统安全管理制度一、完善人员管理制度参与网上交易的经营管理人员在很大程度上决定着企业的命运,他们担负着防范网络犯罪的任务。而计算机网络犯罪与一般犯罪相比,具有智能性、隐蔽性、连续性、高效性的特点,因而,加强对相关人员的管理变得十分重要。首先,对相关人员进行上岗培训。其次,落实工作责任制,对违反网上交易安全规定的行为应坚决进行打击,对违反规定的有关人员要及时进行处理。第三,贯彻网上交易安全运作的基本原则,包括双人负责原则,重要业务不要安排一个人单独管理,实行两人或多人相互制约的机制;任期有限原则,任何人不得长期担任与交易安全有关的职务;最小权限原则,明确规定只有网络管理员才可以进行物理访问以及软件安装工作。任务四建立电子商务系统安全管理制度二、建立网上交易保密制度电子交易信息的安全级别一般可分为三级:

(1)机密级,如公司战略计划、订/出货价格、公司内部财务报表等。此部分网址、密码不在网上公开,只限于公司高层人员或相关部门授权人员掌握。

(2)秘密级,如公司的日常管理情况、会议通知等。此部分网址、密码不在网上公开,只限于公司中层管理者以上人员使用。

(3)普通级,如公司简介、新产品介绍及订货方式等。此部分网址、密码在网上公开,供消费者浏览,但必须有保护程序,防止“黑客”入侵。任务四建立电子商务系统安全管理制度三、建立跟踪、审计、稽核制度

跟踪制度要求企业建立网络交易系统日志机制,用来记录系统运行的全过程。系统日志文件是自动生成的,其内容包括操作日期、操作方式、登录次数、运行时间、交易内容等。它对系统的运行进行监督、维护分析、故障恢复,这对于防止案件的发生或在案件发生后为侦破工作提供监督数据方面都起着非常重要的作用。审计制度是指经常对系统日志检查、审核,及时发现故意入侵系统行为的记录和违反系统安全功能的记录,监控和捕捉各种安全事件,保存、维护和管理系统日志。任务四建立电子商务系统安全管理制度四、完善网络系统的日常维护制度

(1)建立系统设备档案。

(2)网络设备管理与维护。

(3)通信线路维护。(一)硬件的日常管理和维护

(1)系统软件。一般需要进行以下维护工作:

①定期清理日志文件、临时文件。②定期整理文件系统。③监测服务器上的活动状态和用户注册数。④处理运行中的死机情况等。

(2)应用软件。(二)软件的日常管理和维护数据备份的目的在于“未雨绸缪”,即系统在安全状态时就将系统软件和应用软件的关键信息保存起来。(三)数据备份任务四建立电子商务系统安全管理制度五、建立用户管理制度增加/删除用户。(１)因业务的扩大、变化重组用户或修改用户。(２)其管理内容主要有：任务四建立电子商务系统安全管理制度六、加强病毒防范制度

病毒防范是保证网上交易安全的一个重要方面。如果网上信息及交易活动遭到病毒袭击，将阻碍和破坏网上交易的顺利开展,因此必须建立病毒防范措施。目前主要采用防病毒软件进行防毒。应用于网络的防病毒软件有两种：一种是单机版防病毒产品；另一种是联机版防病毒产品。前者是事后杀毒,当系统被病毒感染之后才能发挥这种软件的作用，适合于个人用户。后者属于事前的防范,其原理是在网络端口设置一个病毒过滤器，即事前在系统上安装一个防病毒的网络软件,它能够在病毒入侵系统之前,将其挡在系统之外。由于许多病毒都有一个潜伏期，因此有必要实行病毒定期清理制度来清除处于潜伏期的病毒，防止病毒突然爆发，从而使计算机始终处于良好的工作状态，保证网上交易的正常进行。任务四建立电子商务系统安全管理制度七、建立应急制度

(1)电子商务运行中的灾难性事件指的是导致参加交易活动的计算机不能正常运行的事件，主要包括:①洪水、地震和其他自然灾害直接导致计算机系统不能正常运行。②发电厂的事故、信息服务商的问题导致计算机系统的非正常运行。③计算机系统本身也可能导致灾难性事件的发生,如系统升级时发生差错、严重操作错误、备份中心发生故障和系统管理员的恶意操作都可能导致重要数据丢失，引发计算机系统灾难。任务四建立电子商务系统安全管理制度七、建立应急制度

(2)灾难恢复包括许多工作，主要有：硬件的恢复(使计算机系统重新运转起来)和数据的恢复。一般来讲,数据的恢复更为重要，难度也更大。目前运用的数据恢复技术主要有瞬时复制技术、远程磁盘镜像技术和数据库恢复技术。瞬时复制技术就是使计算机在某一灾难时刻自动复制数据的技术；远程磁盘镜像技术是把数据中心磁盘中的数据复制到远程备份中心，在远程备份中心提供主数据中心的磁盘影像；数据库恢复技术是产生和维护一份或多份数据库数据的副本，但该技术不能复制非数据库格式的数据。所以，将数据库恢复技术与远程磁盘镜像技术配合使用,往往可以获得更为良好的效果。市场经济是法制经济,电子商务的发展需要建设和完善相关的法律体系。虽然技术专家已从技术角度开发了许多保证网上交易安全和顺利进行的技术保障措施,但仍难以完全保障网上交易的安全性,因此许多企业和消费者对网上交易的安全心存疑虑。他们担心合同的执行、赔偿、个人隐私、资金安全、知识产权保护、税收等问题难以解决,从而妨碍他们积极参与网上交易。项目小结通过完成该项目,学生可以充分认识安全认证的重要性,了解安全交易协议的工作原理,学会利用加密技术、数字证书等认证手段来保证电子交易的安全性。同时还可以了解电子商务系统安全管理制度,为后续任务的完成打下坚实的基础。电子支付与网络安全（第四版）项目三电子银行的应用☞懂得电子银行与网上银行的区别;☞了解电子银行的服务功能；☞掌握网上银行的应用流程；☞熟悉手机银行的操作流程；☞了解其他电子银行的应用；职业能力目标项目三电子银行的应用学习导航项目三电子银行的应用自2019年开始,多家银行的“电子银行部”相继变更为“数字金融部”。光大银行2018年年报的零售银行业务介绍中,仍表述为电子银行业务,至2019年中报时,已更名为数字金融业务。升级后的数字金融部为该行个人及企业数字金融业务的统筹管理部门,致力于进一步落实数字金融战略,推动该行数字化转型升级。光大银行2019年中报显示,光大银行的数字金融业务聚焦手机银行、对公服务、远程银行、云支付、随心贷等五项重点业务。截至报告期末,该行电子渠道交易柜台替代率为98.34%,比2018年年末上升0.43个百分点;手机银行App客户3430.43万户,比2018年年末增加224.67万户;对公网银客户58.76万户,比2018年年末增加5.91万户;推动远程银行中心的智能化转型,客户满意度保持在99%以上;云支付整体交易金额5.30万亿元,同比增长187.50%;随心贷本年累计投放额2140.00亿元,余额653.41亿元,比2018年年末增加19.91亿元。项目背景项目三电子银行的应用12任务一认识电子银行的服务功能任务二网上银行的应用45任务四其他电子银行的应用任务五了解电子银行的风险与安全使用方法３任务三移动银行的应用任务一认识电子银行的服务功能电子银行(ElectronicBank,一般简称为e-Bank)是以计算机及网络通信技术等现代科技手段为依托,通过电子渠道向客户提供金融产品及金融服务的虚拟化银行。国内商业银行普遍的观点是将电子银行定义为涵盖网上银行、手机银行、电话银行、自助银行等利用电子交易渠道完成离柜业务的银行服务。中国银监会发布的《电子银行业务管理办法》给出电子银行业务的定义是:“电子银行业务,是指商业银行等银行业金融机构利用面向社会公众开放的通信通道或开放型公众网络,以及银行为特定自助服务设施或客户建立的专用网络,向客户提供的银行服务。电子银行业务包括利用计算机和互联网开展的银行业务(以下简称网上银行业务),利用电话等声讯设备和电信网络开展的银行业务(以下简称电话银行业务),利用移动电话和无线网络开展的银行业务(以下简称手机银行业务),以及其他利用电子服务设备和网络,由客户通过自助服务方式完成金融交易的银行业务。”电子银行是金融创新与科技创新相结合的产物。子任务一

认识电子银行一、电子银行概述(一)电子银行的概念任务一认识电子银行的服务功能电子银行的三个要素为:基于互联网或其他电子通信网络;基于电子通信的金融服务提供者;基于电子通信的金融服务消费者。电子银行相关知识任务一认识电子银行的服务功能一、电子银行概述(二)电子银行的分类子任务一

认识电子银行任务一认识电子银行的服务功能二、电子银行的产生和发展(一)银行电子化的发展历程1.银行的传统业务处理实现电子化阶段2.提供自助银行服务阶段3.提供信息增值服务阶段4.提供网络银行服务阶段5.“互联网+”阶段子任务一

认识电子银行任务一认识电子银行的服务功能二、电子银行的产生和发展(二)“互联网+”时代银行业的发展前景在“互联网+”时代,银行业今后在三个