《《精编》电子商务的安全体系培训讲义》由会员分享，可在线阅读，更多相关《《精编》电子商务的安全体系培训讲义（89页珍藏版）》请在金锄头文库上搜索。
1、电子商务的安全体系 胡桃 hutao666 教学目的 通过本节学习 使学生了解电子商务安全技术在专业课程学习中的位置体会电子商务安全的重要性了解常见的计算机安全问题掌握电子商务安全的基本概念 原理 技术及应用教学要求掌握以下概念电子商务系统安全 系统硬件安全 软件安全 运行安全风险管理模型 安全策略 认证 审计 访问控制 日志信息的保密性 信息的完整性 信息的不可否认性 交易者身份的真实性 系统的可靠性加密 解密 算法 密钥 密钥长度防火墙 对称密钥 非对称密钥 公钥和私钥 消息摘要 数字时间戳 数字签名 认证中心 数字证书S HTTP S MIME SSL SET 理解和掌握以下原理风险管理
2、模型分析原理加解密原理各种加密技术工作原理及其实现的信息安全性 包括防火墙 对称密钥 非对称密钥 公钥和私钥 消息摘要 数字时间戳 数字签名 认证中心 数字证书各种安全协议工作原理 包括S HTTP S MIME SSL SET认证中心的数形结构理解和掌握以下应用能用风险管理模型分析系统风险程度并制定合理安全策略申请 下载 安装数字证书发送数字签名邮件和加密邮件教学重点和难点各种加密技术工作原理数字证书的应用应用风险管理模型分析系统风险的方法各种安全协议工作原理 电子商务的安全策略 确保在因特网上用户和商家的身份认证保护因特网上的交易保护站点及企业网抵抗黑客的攻击 电子商务安全问题的类型 物理
3、安全问题网络安全问题数据的安全性对交易不同方表现的不同安全问题 网络交易的风险源 信息风险 冒名偷窃 篡改数据 信息丢失 信用风险 管理方面的风险 法律方面的风险 买方面临的安全威胁 1 虚假订单 一个假冒者可能会以客户的名字来订购商品 而且有可能收到商品 而此时客户却被要求付款或返还商品 2 付款后不能收到商品 在要求客户付款后 销售商中的内部人员不将订单和钱转发给执行部门 因而使客户不能收到商品 3 机密性丧失 客户有可能将秘密的个人数据或自己的身份数据 如PIN 口令等 发送给冒充销售商的机构 这些信息也可能会在传递过程中被窃听 4 拒绝服务 攻击者可能向销售商的服务器发送大量的虚假定单
4、来挤占它的资源 从而使合法用户不能得到正常的服务 卖方面临的安全威胁 1 系统中心安全性被破坏 入侵者假冒成合法用户来改变用户数据 如商品送达地址 解除用户订单或生成虚假订单 2 竞争者的威胁 恶意竞争者以他人的名义来订购商品 从而了解有关商品的递送状况和货物的库存情况 3 商业机密的安全 客户资料被竞争者获悉 4 假冒的威胁 不诚实的人建立与销售者服务器名字相同的另一个www服务器来假冒销售者 虚假订单 获取他人的机密数据 比如 某人想要了解另一人在销售商处的信誉时 他以另一人的名字向销售商订购昂贵的商品 然后观察销售商的行动 假如销售商认可该定单 则说明彼观察者的信誉高 否则 则说明被观察
5、者的信誉不高 5 信用的威胁 买方提交订单后不付款 解决电子商务安全问题的策略 技术保障法律控制社会道德规范完善的管理政策的制度 安全电子交易的基本要求 互联网开放性成员多样性位置分散性 推动 电子商务安全技术 安全认证手段数字摘要 数字签名 数字信封 CA体系 安全应用协议SET SSL S HTTP S MIME 基本加密算法非对称密钥加密 对称密钥加密 DES RSA 电子商务业务系统 电子商务支付系统 电子商务安全交易体系 信息加密技术 对称密钥加密体制 私钥加密体制 非对称密钥加密体制 公钥加密体制 对称密钥加密体制 是指发送和接收数据的双方必须使用相同的密钥进行加密和解密运算 这时
6、的密钥称为对称密钥 最典型的对称密钥加密算法 美国数据加密标准 DES DataEncryptStandard 优点 加密速度快 适于大量数据的加密处理 缺点 密钥需传递给接受方 原信息 1101101100101001加密信息0110000010010010还原 密钥 1011 1011 非对称密钥加密体制 信息加密和解密使用的是不同的两个密钥 称为 密钥对 一个是公开密钥 一个是私用密钥 如果用公开密钥对数据进行加密 则只有用对应的私有密钥才能解密 反之 若用私有密钥对数据进行加密 则须用相应的公开密钥才能解密 缺点 加密速度较慢代表性加密技术 RSA技术 RSA的算法 1 选取两个足够大
7、的质数P和Q 如 P 101 Q 1132 计算P和Q相乘所产生的乘积n P Q 如 n 114133 找出一个小于n的数e 使其符合与 P 1 Q 1 互为质数 如 取e 35334 另找一个数d 使其满足 e d mod P 1 Q 1 1 其中mod为相除取余 如 取d 65975 n e 即为公开密钥 n d 即为私用密钥 6 将明文X分组 X X1X2 Xr Xi n 7 加密 Yi Xie modn 得密文Y Y1Y2 Yr如 明文c 5761 密文m 92268 密文c me modn 明文m cd modn 即无论哪一个质数先与原文加密 均可由另一个质数解密 但要用一个质数来求
8、出另一个质数 则是非常困难的 安全电子交易认证技术 数字摘要数字信封数字签名数字时间戳数字证书生物统计学身份识别 数字摘要 采用单向Hash函数对文件进行变换运算得到摘要码 并把摘要码和文件一同送给接收方 接收方接到文件后 用相同的方法对文件进行变换计算 用得出的摘要码与发送来的摘要码进行比较来断定文件是否被篡改 数字信封 发送方采用对称密钥加密信息 然后将此对称密钥用接收方的公开密钥加密之后 将它和信息一起发送给接收方 接收方先用相应的私有密钥打开数字信封 得到对称密钥 然后使用对称密钥解开信息 安全性能高 保证只有规定的接收方才能阅读信的内容 数字签名 用发送方的私有密钥对数字摘要进行加密
9、得的数字签名 因此数字签名是只有信息的发送者才能产生而别人无法伪造的一段数字串 有确认对方的身份 防抵赖的作用 接收方用发送方的公开密钥对数字签名进行解密 用数字摘要原理保证信息的完整和防篡改性 数字时间戳 数字时间戳技术就是对电子文件签署的日期和时间进行的安全性保护和有效证明的技术 它是由专门的认证机构来加的 并以认证机构收到文件的时间为依据 数字证书 digitalID 所谓数字证书 就是用电子手段来证实一个用户的身份及用户对网络资源的访问的权限 CCITTX 509国际标准 数字证书必须包含以下几点 证书的版本号 数字证书的序列号 证书拥有者的姓名 证书拥有者的公开密钥 公开密钥的有效期
10、 签名算法 颁发数字证书的单位 颁发数字证书单位的数字签名 一般数字证书类型 客户证书 商家证书 网关证书 CA系统证书 生物统计学身份识别 生物统计学技术包指纹 隔膜和视网膜扫描 字体的分析也是一中常用的生物统计学识别方法 由于已经开始显示出有前途 声音和手纹辩认也会成为未来的技术选择 未来安全电子交易中常见的将是使用多种技术来识别用户 指纹扫描和声音识别会比只使用一种技术更可靠 需用高价位计算机来才能支持大量用户的环境 指纹认证 虹膜认证 步态识别认证 手工签名认证 生物认证技术 手工签名认证 认证中心CA CA是承担网上安全电子交易认证服务 能签发数字证书并能确认用户身份的服务机构 具有
11、权威性和公正性 CA具有四大职能 证书发放 证书更新 证书撤销和证书验证 电子商务CA体系包括两大部分 即符合SET标准的SETCA认证体系和其他基于X 509的CA认证体系 国际权威VeriSign认证中心 上海电子商务安全证书管理中心 认证中心CA CFCA的功能 1 证书的申请离线申请方式在线申请方式2 证书的审批离线审核方式在线审核方式3 证书的发放离线方式发放在线方式发放4 证书的归档5 证书的撤销 6 证书的更新人工密钥更新自动密钥更新7 证书废止列表的管理功能 CRL 证书废止原因编码CRL的产生及其发布企业证书及CRL的在线服务功能8 CA的管理功能9 CA自身密钥的管理功能
12、安全认证协议 安全超文本传输协议 S HTTP 电子邮件安全S MIME协议安全套接层SSL SecureSocketsLayer 协议安全电子交易SET SecureElectronicTransaction 协议 S HTTP协议能保证Web信息站点上信息的安全 是应用层的协议 用对称密钥 消息摘要 公开密钥加密等来实现建立一个安全会话 页面的URL为https 开始 S MIME协议依靠密钥对保证电子邮件的安全传输的协议 提供发送方身份识别 信息的完整性 信息传递过程的机密性等安全功能 设计成模块 加装在电子邮件软件中 如 IE Netscape 要求申请电子邮件数字证书 发保密邮件要求
13、有对方的公钥 安全电子邮件 安全电子邮件 就是采用了数字证书认证 邮件密钥和数字签名 技术 如PKI CA技术 为企业用户和个人用户提供可以确保电子邮件的保密性 完整性和不可否认性的邮件服务 国外大部分运营商都在提供安全电子邮件业务 如AT T BT KT Verizon MCI JT等 目前国外运营商开展的安全电子邮件业务的主要功能有 数据加密和数字签名 防病毒 反垃圾邮件 内容过滤 冗余检验 容错支持等安全功能 并根据不同的使用者进行业务的区别定位 分为个人用户与企业集团用户 对企业用户侧重安全便捷的系统提供 对于个人用户侧重引导和宣传等 安全电子邮件 目前我国主要有四种类安全电子邮件提供
14、商 运营商 中国电信 中国联通 各类数字认证中心 中国金融认证中心 各级数字证书认证中心 com公司网络电子邮件的 安全化 中华企业网 之企业邮局 mailservice 之安全电子邮件 21CN世纪邮箱 之商务邮之安全电子邮件等 1999年1月263首都在线国内首家推出中文 安全电子邮件认证站点 中国邮政于2000年开始建设中国邮政安全认证体系 ChinaPostCertificateAuthority 简称CPCA CPCA依托邮政综合计算机网 系统整体安全性较高 中国电信 安全电子邮件 目标用户 电子商务经营者 尤其是对安全认证有特殊需求的用户 包括政府 企业 个人策略 针对个人用户的数
15、字应用业务 安全信箱针对企业用户的 e企邮之 安全的邮件服务 上海电信数据中心 针对政府的 安全政务 浙江电信有限公司 安全电子邮件系统的软件结构 安全电子邮件系统有B S结构和C S结构两种 都基于数字证书完成对邮件内容的加密 解密 数字签名 验证 B S结构的安全电子邮件系统 在WEBMail的基础上 通过基于IE浏览器的安全插件完成对邮件关键信息的加解密 C S结构的安全电子邮件系统 通过安全邮件客户端完成对邮件内容的加解密 中国电信采用GCMail安全电子邮件系统 黑莓概念 黑莓 由RIM公司提出的移动电子邮件 具有独特PushMail概念 可将新的电子如短信一样在后台主动推送到移动终
16、端上 黑莓其实是一套系统 包括移动终端 移动终端客户端软件 企业端服务器 运营商局端移动邮件网关等设备与软件 它使用私钥tripleDES加密处理 一个密钥存储在企业防火墙后面 一个匹配的密钥存储在终端设备上 加密的数据穿过防火墙后 只能在终端上被解密 对于收发企业邮件相当安全 黑莓集成的无线接入能力可以让用户获得对各种商业应用内容的访问 包括电子邮件 电话 企业数据 网络 短信息服务及管理应用软件 黑莓目前在美国 加拿大地区相当流行 它将软件客户端结合在移动电话 PDA及其他通信终端上 用户可以通过其无线装置来安全地访问电子邮件 企业数据 Web以及进行企业内部的语音通话 黑莓的特点 黑莓的特点概括如下 1可以对企业无线信息环境进行安全的无限扩展 2利用上推下拉技术来实现对企业数据的无线安全访问 3能够和企业现有的服务器系统有机集成 4管理简便 并且可以对无线网络进行中央控制 5支持多种无线网络和无线设备 6具有可在全球部署的能力 7自动化的桌面软件配置 8提供集成了电话 电子邮件 企业数据 浏览器 SMS以及组织应用程序功能的高级无线手持设备 9功能强大的开发环境 同时具有对第三方
