《电子商务的安全体系课件学习资料》由会员分享，可在线阅读，更多相关《电子商务的安全体系课件学习资料（21页珍藏版）》请在金锄头文库上搜索。
1、电子商务的安全体系课件学习资料 1电子商务的安全体系胡桃hutao666vip.sina.2?教学目的通过本节学习，使学生?了解电子商务安全技术在专业课程学习中的位置?体会电子商务安全的重要性?了解常见的计算机安全问题?掌握电子商务安全的基本概念，原理，技术及应用?教学要求掌握以下概念?电子商务系统安全，系统硬件安全，软件安全，运行安全?风险管理模型，安全策略，认证，审计，访问控制，日志?信息的保密性，信息的完整性，信息的不可否认性，交易者身份的真实性，系统的可靠性?加密，解密，算法，密钥，密钥长度?防火墙，对称密钥，非对称密钥（公钥和私钥），消息摘要，数字时间戳，数字签名，认证中心，数字证书
2、?S-,S/MIME,SSL,SET3理解和掌握以下原理?风险管理模型分析原理?加解密原理?各种加密技术工作原理及其实现的信息安全性，包括防火墙，对称密钥，非对称密钥（公钥和私钥），消息摘要，数字时间戳，数字签名，认证中心，数字证书?各种安全协议工作原理，包括S-,S/MIME,SSL,SET?认证中心的数形结构理解和掌握以下应用?能用风险管理模型分析系统风险程度并制定合理安全策略?申请、下载、安装数字证书?发送数字签名邮件和加密邮件教学重点和难点?各种加密技术工作原理?数字证书的应用?应用风险管理模型分析系统风险的方法?各种安全协议工作原理4电子商务的安全策略?确保在因特网上用户和商家的身份
3、认证?保护因特网上的交易?保护站点及企业网抵抗黑客的攻击6买方面临的安全威胁 （1）虚假订单一个假冒者可能会以客户的名字来订购商品，而且有可能收到商品，而此时客户却被要求付款或返还商品。 （2）付款后不能收到商品在要求客户付款后，销售商中的内部人员不将订单和钱转发给执行部门，因而使客户不能收到商品。 （3）机密性丧失客户有可能将秘密的个人数据或自己的身份数据（如PIN，口令等）发送给冒充销售商的机构，这些信息也可能会在传递过程中被窃听。 （4）拒绝服务攻击者可能向销售商的服务器发送大量的虚假定单来挤占它的资源，从而使合法用户不能得到正常的服务。 7卖方面临的安全威胁 （1）系统中心安全性被破坏
4、入侵者假冒成合法用户来改变用户数据（如商品送达地址）、解除用户订单或生成虚假订单。 （2）竞争者的威胁恶意竞争者以他人的名义来订购商品，从而了解有关商品的递送状况和货物的库存情况。 （3）商业机密的安全客户资料被竞争者获悉。 （4）假冒的威胁不诚实的人建立与销售者服务器名字相同的另一个服务器来假冒销售者；虚假订单；获取他人的机密数据，比如，某人想要了解另一人在销售商处的信誉时，他以另一人的名字向销售商订购昂贵的商品，然后观察销售商的行动，假如销售商认可该定单，则说明彼观察者的信誉高，否则，则说明被观察者的信誉不高。 （5）信用的威胁买方提交订单后不付款8解决电子商务安全问题的策略?技术保障?法
5、律控制?社会道德规范?完善的管理政策的制度威胁解决途径解决方法技术数据被非法截获、读取或者修改加密加密数据以防止篡改对称加密、非对称加密用户被冒名所欺骗鉴别对信息的发送者和接收者进行身份验证数字签名网络上未经授权的用户访问另一个网络防火墙对访问网络上或服务器上的某些流量进行过滤或者保护防火墙、虚拟私有网9安全电子交易的基本要求互联网开放性成员多样性位置分散性信息保密性信息完整性系统抗攻击性消费者隐私保护性抗抵赖性身份真实性推动电子商务安全技术10安全认证手段数字摘要、数字签名、数字信封、CA体系安全应用协议SET、SSL、S/、S/MIME基本加密算法非对称密钥加密、对称密钥加密、DES、RS
6、A电子商务业务系统电子商务支付系统电子商务安全交易体系11信息加密技术?对称密钥加密体制(私钥加密体制)?非对称密钥加密体制(公钥加密体制)12对称密钥加密体制?是指发送和接收数据的双方必须使用相同的密钥进行加密和解密运算，这时的密钥称为对称密钥。 ?最典型的对称密钥加密算法美国数据加密标准（DESData EncryptStandard）。 ?优点加密速度快，适于大量数据的加密处理。 ?缺点密钥需传递给接受方原信息1101101100101001加密信息0110000010010010还原密钥1011101113非对称密钥加密体制?信息加密和解密使用的是不同的两个密钥（称为“密钥对”，一个是
7、公开密钥，一个是私用密钥）。 如果用公开密钥对数据进行加密，则只有用对应的私有密钥才能解密；反之，若用私有密钥对数据进行加密，则须用相应的公开密钥才能解密。 ?缺点加密速度较慢?代表性加密技术RSA技术14RSA的算法1)选取两个足够大的质数P和Q；如P=101，Q=1132)计算P和Q相乘所产生的乘积n=PQ；如n=114133)找出一个小于n的数e，使其符合与（P1）（Q1）互为质数；如取e=35334)另找一个数d，使其满足（ed）mod（P1）（Q1）1（其中mod为相除取余）；如取d=65975)（n，e）即为公开密钥；（n，d）即为私用密钥；6)将明文X分组，X=X1X2?X r（
8、Xi=n);7)加密Yi=Xi e（mod n）,得密文Y=Y1Y2?Y r如明文c=5761，密文m=92268)密文cm e（mod n）=明文mc d（mod n），即无论哪一个质数先与原文加密，均可由另一个质数解密。 但要用一个质数来求出另一个质数，则是非常困难的。 15安全电子交易认证技术?数字摘要?数字信封?数字签名?数字时间戳?数字证书?生物统计学身份识别16原原信信息息发送端接收端数字摘要采用单向Hash函数对文件进行变换运算得到摘要码，并把摘要码和文件一同送给接收方，接收方接到文件后，用相同的方法对文件进行变换计算，用得出的摘要码与发送来的摘要码进行比较来断定文件是否被篡改。
9、 摘要要Hash函数加密摘要要Hash函数加密对比原原信信息息摘要要inter inter17数字信封?发送方采用对称密钥加密信息，然后将此对称密钥用接收方的公开密钥加密之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。 ?安全性能高，保证只有规定的接收方才能阅读信的内容。 发送端接收端原原信信息息密密文文对称密钥加密inter inter密密文文数字信封原原信信息息对称密钥解密接收者公钥加密数字信封对称密钥接收者私钥解密对称密钥18发送端接收端原原信信息息数字签名?用发送方的私有密钥对数字摘要进行加密得的数字签名，因此数字签名是只
10、有信息的发送者才能产生而别人无法伪造的一段数字串，有确认对方的身份，防抵赖的作用；?接收方用发送方的公开密钥对数字签名进行解密，用数字摘要原理保证信息的完整和防篡改性。 摘要要Hash函数加密数数字字签签名名发送者私钥加密inter inter原原信信息息数数字字签签名名摘要要摘要要Hash函数加密发送者公钥解密对比19发送端第三方原原信信息息数字时间戳数字时间戳技术就是对电子文件签署的日期和时间进行的安全性保护和有效证明的技术。 它是由专门的认证机构来加的，并以认证机构收到文件的时间为依据。 摘要要Hash函数加密新摘要要Hash函数加密第三方私钥加密数字时间戳戳inter摘要要摘要时间间加
11、时间inter数字时间戳戳摘要时间间20数字证书（digital ID）?所谓数字证书，就是用电子手段来证实一个用户的身份及用户对网络资源的访问的权限；?CCITT X.509国际标准（数字证书必须包含以下几点证书的版本号；数字证书的序列号；证书拥有者的姓名；证书拥有者的公开密钥；公开密钥的有效期；签名算法；颁发数字证书的单位；颁发数字证书单位的数字签名）；?一般数字证书类型客户证书、商家证书、网关证书、CA系统证书。 212223生物统计学身份识别?生物统计学技术包指纹。 隔膜和视网膜扫描，字体的分析也是一中常用的生物统计学识别方法。 由于已经开始显示出有前途，声音和手纹辩认也会成为未来的技
12、术选择。 ?未来安全电子交易中常见的将是使用多种技术来识别用户。 指纹扫描和声音识别会比只使用一种技术更可靠。 需用高价位计算机来才能支持大量用户的环境。 24指纹认证虹膜认证25步态识别认证手工签名认证26生物认证技术手工签名认证27认证中心CA?CA是承担网上安全电子交易认证服务、能签发数字证书并能确认用户身份的服务机构，具有权威性和公正性。 ?CA具有四大职能证书发放，证书更新，证书撤销和证书验证。 ?电子商务CA体系包括两大部分，即符合SET标准的SETCA认证体系和其他基于X.509的CA认证体系。 ?国际权威VeriSign认证中心(.verisign.)?上海电子商务安全证书管理
13、中心（.sheca.)28认证中心CA29CFCA的功能 1、证书的申请离线申请方式在线申请方式2证书的审批离线审核方式在线审核方式3证书的发放离线方式发放在线方式发放4证书的归档5证书的撤销6证书的更新?人工密钥更新?自动密钥更新7证书废止列表的管理功能(CRL)?证书废止原因编码?CRL的产生及其发布?企业证书及CRL的在线服务功能8CA的管理功能9CA自身密钥的管理功能30安全认证协议?安全超文本传输协议（S-）?电子邮件安全S-MIME协议?安全套接层SSL（Secure SocketsLayer）协议?安全电子交易SET（Secure ElectronicTransaction）协议
14、31S-协议?能保证Web信息站点上信息的安全，是应用层的协议。 ?用对称密钥、消息摘要、公开密钥加密等来实现建立一个安全会话。 ?页面的URL为s:/开始。 S-MIME协议?依靠密钥对保证电子邮件的安全传输的协议。 ?提供发送方身份识别、信息的完整性、信息传递过程的机密性等安全功能；?设计成模块，加装在电子邮件软件中（如IE、Netscape）?要求申请电子邮件数字证书，发保密邮件要求有对方的公钥。 32安全电子邮件?安全电子邮件就是采用了数字证书认证（邮件密钥和数字签名）技术（如PKI/CA技术），为企业用户和个人用户提供可以确保电子邮件的保密性、完整性和不可否认性的邮件服务。 ?国外大
15、部分运营商都在提供安全电子邮件业务，如AT&T、BT、KT、Verizon、MCI、JT等。 目前国外运营商开展的安全电子邮件业务的主要功能有数据加密和数字签名、防病毒、反垃圾邮件、内容过滤、冗余检验、容错支持等安全功能。 并根据不同的使用者进行业务的区别定位。 分为个人用户与企业集团用户。 对企业用户侧重安全便捷的系统提供；对于个人用户侧重引导和宣传等。 33安全电子邮件?目前我国主要有四种类安全电子邮件提供商运营商中国电信、中国联通；各类数字认证中心中国金融认证中心、各级数字证书认证中心；.公司网络电子邮件的“安全化”(中华企业网（.pany.）之企业邮局(mail service)之安全电子邮件，21世纪邮箱（mail.21.）之商务邮之安全电子邮件等)。 1999年1月263首都在线国内首家推出中文“安全电子邮件认证站点”（secumail.263.）中国邮政于2000年开始建设中国邮政安全认证体系(China PostCertificate Authority,简称CPCA)。 CPCA依托邮政综合计算机网，系统整体安全性较高。 34中国电信-安全电子邮件目标用户?电子商务经营者，尤其是对安全
