《【精编】电子商务安全与风险管理教材》由会员分享，可在线阅读，更多相关《【精编】电子商务安全与风险管理教材（61页珍藏版）》请在金锄头文库上搜索。
1、电子商务概论电子商务概论 第第6 6章章 电子商务安全与风险管理电子商务安全与风险管理 主编 郑丽 付丽丽 本章内容 6 1 电子商务安全的概念 6 2 电子商务的安全体系 架构及风险管理 6 3 电子商务安全技术 6 4 电子商务安全实践 1 2 3 6 1 电子商务安全的概念 6 1 1电子商务安全的含义 6 1 2面临的主要问题及产生原因 6 1 3基本要素 导入案例 淘宝 错价门 事件 137页 2011年9月1日早晨 丁先生在淘宝网购物 发现部分 网店和淘宝商城许多商品以1元秒杀包邮价出售 也有 很多原价数百元的商品标价几元或几十元 丁先生知 道 互联网上这样的一元秒杀活动或者超低价
2、商品甩 卖促销是司空见惯的 所以 丁先生没有多想 花了 几个小时按照正常程序买了许多商品 均付款成功并 生成订单 丁先生在淘宝网上下了10多份订单 分别 用1元 几元 几十元的价格 购买了两三千元的商品 包括服装 数码产品等 但是后来让丁先生没有想 到的是 之后许多订单被淘宝网取消 这到底是怎么回事呢 6 1 16 1 1电子商务安全的含义电子商务安全的含义 电子商务安全的含义包含两个层次的内容 即 基础设施 的安全和商务交易安全 另外还包括了管理 法律和标准 等方面的隐性问题 基础设施安全 计算机网络设备安全 计算机网络系 统安全 数据安全 应用安全等 其特征是以保证计 算机网络自身的安全性
3、为目标 商务交易安全 围绕传统商务在互联网络上应用时产 生的各种安全问题 在计算机网络安全的基础上 如 何保障以电子交易和电子支付为核心的电子商务过程 的顺利进行 即实现电子商务的保密性 完整性 可 鉴别性 不可伪造性和不可抵赖性 主要包括交易信 息安全 支付安全和诚信安全 6 1 26 1 2面临的主要问题及产生原因 面临的主要问题及产生原因 主要问题 1 网络的安全性问题 1 信息的篡改 2 信息的截获和窃取 3 恶意攻击和破坏 2 商务交易中电子合同的法律效力问题以及完整性保密问题 3 商务交易中的安全性问题 1 网上诈骗 2 信息假冒 3 交易抵赖 4 病毒的感染 案例6 1 不翼而飞
4、的网银 案例6 2 电子签名法 案例6 3 误入 钓鱼网站 6 1 26 1 2面临的主要问题及产生原因面临的主要问题及产生原因 产生原因 1 硬件故障 2 软件缺陷 3 管理漏洞 4 法律缺失 案例6 4 熊猫烧香 事件如何量刑 6 1 3 6 1 3 电子商务安全的基本要素电子商务安全的基本要素 网络传输要素 交易安全要素 保密性 有效性 可靠性 完整性 抗抵赖性 法律法规要素 1 2 3 6 2 电子商务的安全体系 架构及风险管理 6 2 1主要环节及影响因素 6 2 2电子商务安全体系结构 6 2 3电子商务安全风险管理 6 2 1电子商务安全的主要环节及影响因素 四个环节 1 保护
5、采用一些网络安全产品 工具和技术保护网络系统 数 据和用户 2 检测 实时监控系统的安全状态 是实时保护的一种策略 满 足一种动态安全的需求 3 反应 当攻击正在发生时 能够及时做出响应 防止攻击进一 步发生 将安全事件的影响降低到最小的范围 4 恢复 当系统因为攻击或入侵造成一定的破坏时 必须有一套 机制来及时恢复系统正常工作 6 2 1主要环节及影响因素 三个因素 1 人员因素 人作为一种实体在电子商务交易过程中存在 对电子商务的安全 产生重要的影响 可通过人员培训 教育等措施来降低人为因素 带来的安全隐患 2 过程因素 电子商务交易中 有不同的操作过程 例如系统登录 下订单 数据更新等
6、需要有严格的制度来规范各种操作行为 杜绝系统 的安全隐患 3 技术因素 技术因素对电子商务安全的影响最为直接 在电子商务交易中 首先要从技术上保障系统的安全可靠 6 2 2 6 2 2 电子商务安全体系结构电子商务安全体系结构 网络安全管理层 系统应用层 安全协议层 安全认证层 加密技术层 网络安全层 防火墙技术 入侵检测技术 病毒防范技术 6 2 26 2 2电子商务安全体系结构电子商务安全体系结构 各层含义 1 网络安全层 采用的主要安全技术有防火墙技术 入侵检测技术 病 毒防范技术和安全评估技术等 用以保证计算机网络自 身的安全 2 加密技术层 加密技术是电子商务最基本的安全措施 在目前
7、技术条 件下 加密技术通常分为对称加密和非对称加密两类 3 安全认证层 保证电子商务交易安全的身份认证技术 包括数字摘要 技术 数字签名技术 数字时间戳技术 数字证书技术 认证技术 生物特征识别认证技术等 6 2 26 2 2电子商务安全体系结构电子商务安全体系结构 各层含义 4 安全协议层 电子商务的运行需要一套完整的安全协议 目前 比较 成熟的协议有安全套接层协议 安全电子交易协议等 5 电子商务系统应用层 包括支付型业务系统和非支付型业务系统 6 电子商务安全管理层 包括电子商务中对人员管理 安全制度管理 法律法规 等策略及方案 简述题 1 简述电子商务安全风险 即安全问题 和安全体系结
8、构 6 2 3 6 2 3 电子商务安全风险管理电子商务安全风险管理 6 2 3 1 风险管理与控制 1 加快基础设施建设 2 实施技术防范 3 完善管理制度 4 加强审计与监督 5 健全法制与诚信 6 培养专业人才 6 2 3 6 2 3 电子商务安全风险管理电子商务安全风险管理 6 2 3 2 安全管理策略 1 安全策略 2 内部管理制度策略 3 人员培训策略 4 安全制度管理策略 4 1 2 3 5 6 3 电子商务安全技术 6 3 1 数据加密技术 6 3 2 认证技术 6 3 3 安全协议技术 6 3 4 黑客防范技术 6 3 5 病毒防范技术 6 6 3 6 虚拟专网技术 6 3
9、16 3 1 数据加密技术数据加密技术 数据加密技术是电子商务的最基本安全措施 是保证电子商务安全的重要手段 加密技术是指通 过使用代码或密码将某些重要信息和数据从一个可 以理解的明文形式变换成一种复杂错乱的 不可理 解的密文形式 即加密 在线路上传送或在数据 库中存储 其他用户再将密文还原成明文 即解密 从而保障信息数据的安全性 类型 对称加密 非对称加密 加密技术的基本要素加密技术的基本要素 基本要素 密钥 是用来对文本进行编码和解码的数字 加密程序 算法 将明文转成密文的程序 算法 密文 加密后在网络上公开传输的内容对于非法接 收者成为无法理解的符号 明文 所有接收者都可理解的形式 解密
10、 加密程序的逆过程 即将密文还原成明文 例 一个简单的密码表例 一个简单的密码表 字母ABC Z空格 明文010203 26272829303132 密文181920 43444546474849 信 息 Thisisasecret 明 文 2008091927091927012719050318052029 密 文 3725263644263644184436222035223746 这个密码表的明文 密文 密钥 加密算法 解密算法分别是什么 6 3 16 3 1 数据加密技术数据加密技术 对称加密 对称加密也称之为 秘密密钥 加密 发送方用密钥加密 明文 传送给接收方 接收方用同一密钥解密
11、 其特 点是加密和解密使用的是同一个密钥 非对称加密 非对称加密的密钥被分解为 公开密钥和私有密钥 密钥对生成后 公开密钥以非保密方式对外公开 只 对应于生成该密钥的发布者 私有密钥则保存在密钥 发布方手里 任何得到公开密钥的用户都可以使用该 密钥加密信息发送给该公开密钥的发布者 而发布者 得到加密信息后 使用与公开密钥相应对的私有密钥 进行解密 6 3 16 3 1 数据加密技术数据加密技术 非对称加密具体加密传输过程如下 发送方甲用接收方乙的公钥加密自己的私钥 发送方甲用自己的私钥加密文件 然后将加密后的私 钥和文件传输给接收方 接收方乙用自己的私钥解密 得到甲的私钥 接收方乙用甲的公钥解
12、密 得到明文 加密过程一加密过程一 对称加密对称加密 对称加密流程示意图 加密过程二 非对称加密加密过程二 非对称加密 非对称加密技术示意图 1 私钥是在 加密技术中所使用的 A 所有 B 对称 C 非对称 D 高级 6 3 26 3 2 认证技认证技术术 采用认证技术可以直接满足身份认证 信息完整性 不可否认和不可修改等多项网上交易的安全需求 较好地避免了网上交易面临的假冒 篡改 抵赖 伪造等种种威胁 认证技术主要用于身份认证与报文认证 身份认证 用于鉴别用户身份 报文认证用于保证通信双方的 不可抵赖性和信息完整性 案例6 6 企业与个人的 信用标签 6 3 26 3 2 认证技认证技术术
13、1 数字摘要技术基本原理 被发送文件用SHA编码加密产生128bit的数字摘要 发送方用自己的私用密钥对摘要再加密 形成数字签名 将原文和加密的摘要同时传给对方 对方用发送方的公共密钥对摘要解密 同时对收到的文件用 SHA编码加密产生又一摘要 将解密后的摘要和收到的文件在接收方重新加密产生的摘要 相互对比 如两者一致 则说明传送过程中信息没有被破坏 或篡改过 否则不然 6 3 26 3 2 认证技认证技术术 2 数字签名技术基本原理 报文发送方从报文文本中生成一个128位的散列值 或报文摘 要 并用自己的专用密钥对这个散列值进行加密 形成发送方 的数字签名 该数字签名将作为报文附件和报文一起发
14、送给报文接收方 报文接收方首先从接收到的原始报文中计算出128位的散列 值 或报文摘要 再用发送方的公开密钥来对报文附加的数字签名进行解密 若两个散列值相同 则接收方就能确认该数字签名是发送方的 通过数字签名能够实现对原始报文的鉴别和不可否认性 6 3 26 3 2 认证技认证技术术 3 数字时间戳技术基本原理 用户首先将需要加时间戳的文件用Hash算法运算行程 摘要 将该摘要发送到DTS DTS在加入了收到文件摘要的日期和事件信息后再对该 文件加密 数字签名 送达用户 6 3 2 6 3 2 认证技术认证技术 4 数字证书和认证技术 由权威机构 CA证书授权 Certificate Auth
15、ority 中心发行的 能提供在Internet上进行身份验证的一 种权威性电子文档 人们可以在互联网交往中用它来 证明自己的身份和识别对方的身份 图 6 2中国数字认证网 6 3 2 6 3 2 认证技术认证技术 5 生物特征识别认证 生物特征识别技术是通过计算机与光学 声学传感器 和生物统计学原理等高科技手段结合 利用人体固有 的生理特征 如指纹 掌纹 虹膜等 来进行个人身 份的鉴定 填空 1 认证技术主要用于身份认证与 认证 2 报文认证主要用于保证通信双方信息的 性和完整性 3 认证技术包括数字摘要技术 数字 技术 数字 和 认证技术 生物 认证技术 6 3 3 6 3 3 安全协议技
16、安全协议技术术 1 安全套接层协议技术 安全套接层协议SSL Secure Socket Layer 是 Netscape公司率先采用的网络安全通信协议 现在被 广泛用于 Internet 上的身份认证与 Web 服务器和用 户端浏览器之间的数据安全通信 SSL采用对称密码和公开密码相结合技术 采用密码和 证书实现通信数据完整性 认证性等安全服务 6 3 3 6 3 3 安全协议技安全协议技术术 SSL协议的功能 1 客户对服务器的身份确认 2 服务器对客户的身份确认 3 建立起服务器和客户之间安全的数据通道 6 3 3 6 3 3 安全协议技安全协议技术术 SSL 协议的组成 SSL 协议的组成是握手协议层和记录协议层 SSL 协议的服务 1 认证服务 2 数据加密服务 3 数据完整服务 SSL协议的运行步骤 6 3 3 6 3 3 安全协议技安全协议技术术 2 安全电子交易协议技术 SET协议的定义 安全电子交易协议SET Secure Electronic Transaction 是基于信用卡在线支付的电于商务安全协议 它是由VISA和MasterCard两大信用卡公司于199
