3电子商务安全精编版

《3电子商务安全精编版》由会员分享，可在线阅读，更多相关《3电子商务安全精编版（103页珍藏版）》请在金锄头文库上搜索。

1、3.1 电子商务的安全要求 3.2 数据加密技术 3.3 认证技术 3.4 电子商务的安全交易标准,目 录,第3部分 电子商务安全,电子商务发展的核心和关键问题是交易的安全性，这是网上交易的基础，也是电子商务技术的难点所在。目前，因特网上影响交易最大的阻力就是交易安全问题。,序 言,3.1 电子商务系统的安全要求,3.1.1 电子商务系统的安全威胁 3.1.2 电子商务的安全性要求 3.1.3 电子商务的安全体系,（1）信息泄露 （2）信息篡改 （3）信息破坏 （4）抵赖行为,3.1.1 电子商务系统的安全威胁,安全威胁,3.1.2 电子商务的安全性要求,信息的保密性：这是指信息在存储、传输和

2、处理过程中，不被他人窃取。这需要对交换的信息实施加密保护，使得第三者无法读懂电文。 信息的完整性：这是指确保收到的信息就是对方发送的信息，信息在存储中不被篡改和破坏，在交换过程中无乱序或篡改，保持与原发送信息的一致性。,信息的不可否认性：这是指信息的发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。 交易者身份的真实性：这是指交易双方的身份是真实的，不是假冒的。防止冒名发送数据。 系统的可靠性：这是指计算机及网络系统的硬件和软件工作的可靠性。 在电子商务所需的几种安全性要求中，以保密性、完整性和不可否认性最为关键。电子商务安全性要求的实现涉及到多种安全技术的应用。,3.1.3 电子

3、商务的安全体系,电子商务安全交易体系三个层次： 信息加密算法 安全认证技术 安全交易协议,3.2 数据加密技术,3.2.1 对称加密与DES算法 3.2.2 非对称加密与RSA算法,加密技术是保证网络、信息安全的核心技术。加密技术与密码学紧密相连。 密码学包括密码编码学和密码分析学。 密码体制的设计是密码编码学的主要内容。 密码体制的破译是密码分析学的主要内容。,*,12,加密-将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密。 密文-这种不可理解的形式称为密文。 解密解密是加密的逆过程，即将密文还原成明文。,加密和解密必须依赖两个要素：算法和密钥。算法是加密和解密的计算方法；

4、密钥是加密所需的一串数字。,在加密算法公开的情况下，非法解密者就要设法破获密钥，为了使黑客难以破获密钥，就要增加密钥的长度，使黑客无法用穷举法测试破解密钥。,一般的数据加密模型:,*,16,数据加密的例子：,例：原信息为： How are you 加密后为： LSA EVI CSY,原文,密文,在实际加密过程中，算法是不变的，但密钥是变化的-加密技术的关键是密钥,？若密钥4换成1，结果会怎么样呢？,a b c d.w x y z E F G H.A B C D 将上述两组字母分别对应，即差4个字母，这条规则就是加密算法，其中的4为密钥。,3.2.1 对称密钥加密与DES算法,对称加密算法是指文

5、件加密和解密使用一个相同秘密密钥，也叫会话密钥。 目前世界上较为通用的对称加密算法有RC4和DES。这种加密算法的计算速度非常快，因此被广泛应用于对大量数据的加密过程。 对称密钥密码技术的代表是数据加密标准DES。这是美国国家标准局于1977年公布的由IBM公司提出的一种加密算法，1979年美国银行协会批准使用DES,1980年它又成为美国标准化协会(ANSl)的标准，逐步成为商用保密通信和计算机通信的最常用加密算法。,对称密钥加密,1在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。 2当通信对象增多时，需要相应数量的密钥，这就使密钥管理和使用的难度增大。 3对称加密是建立在共同

6、保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险。,对称加密技术存在的问题,3.2.2 非对称密钥加密与RSA算法,为了克服对称加密技术存在的密钥管理和分发上的问题，1976年产生了密钥管理更为简化的非对称密钥密码体系，也称公钥密码体系，对近代密码学的发展具有重要影响。,最著名的算法-RSA,现在公钥密码体系用的最多是RSA算法，它是以三位发明者（Rivest、Shamir、Adleman）姓名的第一个字母组合而成的。,(Left to Right: Ron Rivest, Adi Shamir, Len Adleman),2002年图灵奖获得者

7、-RSA-2002,Ronald L. Rivest,Rivest博士现任美国麻省理工学院电子工程和计算机科学系教授。 1977年从斯坦福大学获得计算机博士学位。主要从事密码安全、计算机安全算法的研究，他发明了RSA KEY的算法，这个算法在信息安全中获得最大的突破。他现在担任国家密码学会的负责人。,Adi Shamir,Shamir是以色列Weizmann科学学院应用数学系的教授。 国际著名的密码学专家，为现代密码学提供了很多新的理念，多年来始终活跃在密码学界的前沿，是学界公认的领军人物。,Len Adleman,Adleman现在是美国南加州大学的计算机科学以及分子生物学教授。 他是计算机

8、病毒的教父（他的博士生Cohen是计算机病毒的发明人），DNA计算的创始人，爱滋病免疫学大师级专家，在数学、计算机科学、分子生物学、爱滋病研究等 每一个方面作出的卓越贡献都是大师级成果。,*,26,非对称加密技术使用两把不同的钥匙（一对钥匙），其中一把用于加密，另一把用于解密。,较著名的算法是RSA算法,非对称加密技术用于保密应用的原理,27,接收方公钥,接收方私钥,在保密应用时，发件人用收件人的公钥将信件加密发给收件人，收件人收到密文后，用自己的私钥解密。,密文,明文,密文,加密,解密,优点： 密钥较少，在网络中容易实现密钥管理； 便于进行数字签名，从而保证数据的不可抵赖性。 缺点： 加密解

9、密速度慢-不适合对数据量较大的报文进行加密。,*,28,非对称加密技术的特点,*,30,对称与非对称加密技术对比,*,31,在该系统中，用对称加密算法作为数据的加密算法对数据进行加密，用非对称加密算法作为密钥的加密算法，对密钥进行加密。,对称与非对称技术相结合的综合保密系统-数字信封,这样的系统既能发挥对称加密算法加密速度快、安全性好的优点，又能发挥非对称加密算法密钥管理方便的优点，扬长避短。,对称与非对称技术相结合的综合保密系统-数字信封,*,32,明文,密文,明文,A 密钥,加密的密钥,A 密钥,发送方A,接收方B,密文,加密的密钥,*,33,3.3 认证技术,这就是认证技术要解决的问题,

10、身份认证,验证完整性,防止抵赖,*,3.3 认证技术,鉴别用户身份,信息完整性 防止抵赖,保证交易安全,*,35,3.3.1 数字摘要,也称为安全Hash编码法，是用来保证信息完整性的一项技术。它是由Ron Rivest发明的一种单向加密算法，其加密结果是不能解密的。 定义：所谓数字摘要，是指通过单向Hash函数，将明文加密而形成的一串128bit固定长度的密文。,数字摘要类似于人类的“指纹”，因此我们把这一串摘要而成的密文称之为数字指纹。,*,36,不同的明文形成的摘要总是不相同的； 同样的明文其摘要必定一致； 即使知道了摘要也不能推出其明文。,数字摘要验证信息完整性的原理,可以通过数字摘要

11、鉴别其明文的真伪。只有数字摘要完全一致，才可以证明信息在传送过程中是安全可靠的，没有被篡改。,*,37,数字摘要的验证过程,文 件,Hash,摘要,发送端,Internet,文 件,Hash,摘要,接收端,摘要,对比,*,38,数字摘要的使用过程, 对文件使用Hash算法得到数字摘要； 将数字摘要与文件一起发送； 接收方将收到的文件应用单向Hash函数产生一个新的数字摘要； 将新的数字摘要与发送方发来的数字摘要进行比较，若两者相同则表明文件在传输中没有被修改，否则就说明文件被修改过。,*,39,3.3.2 数字签名,传统商务中确认文件真实性和法律效力的一种最为常用的手段是在书面文件上亲笔签名或

12、盖章。其作用有两方面：,1、因签名难以否认，从而确认签名者已同意文件内容； 2、因签名难以仿冒，从而确定文件是真的这一事实。,*,40,在电子商务活动中，交易双方不见面，传统签字方式很难应用于这种网上交易，那么在网络传递的文件上如何签名盖章呢，如何使彼此的要约、承诺具有可信赖性？,数字签名-可解决这一难题,*,41,数字签名 -建立在非对称（公钥）加密体制基础上，是非对称加密技术的另一类应用。它把非对称加密技术和数字摘要结合起来，形成了实用的数字签名技术。,数字签名的含义和作用,非对称加密技术用于验证的原理,*,42,*,43,数字签名和验证的过程,买方：签名过程,合 同,Hash函数,摘要,

13、 买方私钥,数字签名,传给卖方,卖方接收,卖方：接收、验证过程,摘要, 买方公钥,比较 两个摘要,*,44,报文的发送方从原文中生成一个数字摘要，再用自己的私钥对这个数字摘要进行加密来形成发送方的数字签名。 发送方将数字签名作为附件与原文一起发送给接收方。 接收方用发送方的公钥对已收到的加密数字摘要进行解密；,数字签名和验证的具体步骤,接收方对收到的原文用Hash算法得到接收方的数字摘要； 将解密后的发送方数字摘要与接收方数字摘要进行对比。如果两者相同，则说明信息完整且发送者身份是真实的，否则说明信息被修改或不是该发送方发送的。,*,46,数字签名的作用,确认当事人的身份，起到了签名或盖章的作

14、用； 能够鉴别信息自签发后到收到为止是否被篡改。,由于发送方的私钥是由自己管理使用的，其他人无法仿冒使用，一旦发送方用自己的私钥加密发送了信息也不能否认，所以数字签名解决了电子商务信息的完整性鉴别和不可否认性（抵赖性）问题。,数字签名使用的是发送方的密钥对，是发送方用自己的私钥对摘要进行加密，接收方用发送方的公钥对数字签名解密，是一对多的关系，表明发送方公司的任何一个贸易伙伴都可以验证数字签名的真伪性； 密钥加密解密过程使用的是接收方的密钥对，是发送方用接收方的公钥加密，接收方用自己的私钥解密，是多对一的关系，表明任何拥有该公司公钥的人都可以向该公司发送密文，但只有该公司才能解密，其他人不能解

15、密；,数字签名与加密过程密钥对使用差别,老张,小李的公开密匙,小李,老张,密文,小李,小李的私有密匙,老张的私有密匙,老张的公开密匙,密文,鉴别,保密,用RSA鉴别,只有老张能发出该信息 用RSA保密,只有小李能解开该信息,*,50,3.3.3 数字时间戳,在书面合同文件中，日期和签名均是十分重要的防止被伪造和篡改的关键性内容。 在电子交易中，时间和签名同等重要。数字时间戳技术是数字签名技术一种变种的应用，是由DTS (Digital Time-stamp Service )服务机构提供的电子商务安全服务项目，专门用于证明信息的发送时间。,*,51,文 件,Hash函数,摘要 1,Intern

16、et,摘要 1, 私钥,数字时间戳,数字时间戳,第三方DTS,发送方,数字时间戳产生的过程,*,52,用户首先将需要时间戳的文件用Hash算法加密得到数字摘要； 然后将数字摘要发送到专门提供数字时间戳服务的DTS机构； DTS机构在原数字摘要上加上收到文件摘要的时间信息，用自己的私钥对其进行加密，产生数字时间戳发还给用户； 用户可以将收到的数字时间戳发送给自己的商业伙伴以证明文件上的时间的真实性。,数字时间戳产生的过程,*,53, 需加时间戳的文件的数字摘要 DTS机构收到文件摘要的日期和时间 DTS机构的数字签名,数字时间戳包括三个部分：,*,54,3.3.4 数字证书,数字证书是标志网络用户身份信息的一系列数据，是用于证明某一主体（如个人用户、