电子商务安全主要考试内容

《电子商务安全主要考试内容》由会员分享，可在线阅读，更多相关《电子商务安全主要考试内容（8页珍藏版）》请在金锄头文库上搜索。

1、第一章第一章1、电子商务电子商务（Electronic Commerce）是指政府、企业和个人利用现代电子计算机与网络技术实现商业交换和行政管理 的全过程，是一种基于互联网，以交易双方为主体，以银行电子支付和结算为手段，以客户数据为依托的全新商务模 式。 2、安全威胁安全威胁可分为如下几类：信息截获和窃取、信息篡改、信息假冒、交易抵赖 3、电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。 计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。 4、图 1-1 安全概念基本关系安全概念基本关系示意图5、电子商务安全四大特性、电子商务安全四大特性： （1

2、）系统性。 （2）相对性。 （3）有代价性。 （4）动态性。 6、电子商务安全的需求，要求做到的各个方面，电子商务安全的需求，要求做到的各个方面，主要包括机密性、完整性、认证性、不可抵赖性、不可拒绝性、访 问控制性等。（1）机密性（Confidentiality）又叫保密性，是指信息在传送或存储的过程中不被他人窃取、不被泄露或披露给未经 授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。 机密性一般通过密码技术来对保密的信息进行加密处理来实现。 （2）完整性是保护数据不被未授权者修改、建立、嵌入、删除、重复传送或由于其他原因使原始数据被更改。 完整性一般可通过提取信息消息摘要的方

3、式来获得。 （3）认证性是指网络两端的使用者在沟通之前相互确认对方的身份。 在电子商务中，认证性一般都通过证书机构 CA 和证书来实现。 （4）不可抵赖性是指信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息，这是一种法律有效性要信息安全互联网安全 局域网安全 密码安全 求。 不可抵赖性可通过对发送的消息进行数字签名来获得。 （5）不可拒绝性是保证授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。 （6）访问控制性是指在网络上限制和控制通信链路对主机系统和应用的访问；第二章第二章1、DES 加密算法的原理：加密算法的原理：公式：DES(m)=IP-1. T16.T1

4、5. T2.T1.IP(m) 2、例子例子：若 Bob 选择了 p=101 和 q113，那么，n=11413, (n)=10011211200；然而 1120026527， 一个正整数 e 能用作加密指数，当且仅当 e 不能被 2，5，7 所整除（事实上，Bob 不会分解 (n)，而且用辗转相除法 （欧式算法）来求得 e，使（e, (n)=1)。假设 Bob 选择了 e=3533，那么用辗转相除法将求得：d=e -1 6597(mod 11200), 于是 Bob 的解密密钥 d=6597. Bob 在一个目录中公开 n=11413 和 e=3533, 现假设 Alice 想发送明文 972

5、6 给 Bob，她计算： 97263533(mod 11413)=5761 且在一个信道上发送密文 5761。当 Bob 接收到密文 5761 时，他用他的秘密解密指数（私钥）d6597 进行解密： 57616597（mod 11413)=9726 3、用、用 RSA 算法加密与解密的过程：算法加密与解密的过程： 例：明文=“RSA ALGORITHM” (1) 明文用数字表示 空白=00， A=01, B=02, , Z=26 (两位十进制数表示) 1819 0100 0112 0715 1809 2008 1300 (2) 利用加密变换公式 C=mPK mod r, 即 C = 18191

6、223 mod 2867=2756 PK=1223=10011000111=210+27+26+22+21+20=1024+128+64+4+2+1C=18191223 (mod 2867)=18191024 1819128 181964 18194 18192 18191(mod 2867)=2756 2756 2001 0542 0669 2347 0408 1815 4、D-H 体制体制建立在 DLP(discrete logarithm problem)上。参数：T=g,p (p 是素数)私钥：a b公钥：ga mod p=KA； gb mod p=KB在 A 方： (gb)a mod

7、 p= gba mod p=key在 B 方： (ga)b mod p= gab mod p=key在 C 方： (ga) (gb) = ga+b key第三章第三章1、 数字签名：数字签名：是与伴随信息一起发送或与信息有一定逻辑关联的数据项，用来确定信息的发送源，确认信息自签名 后未被修改过。2、数字签名也能确认以下两点：数字签名也能确认以下两点：第一，信息是由签名者发送的；第二，信息自签发后到收到为止未曾作过任何修改。3、数字签名机制提供了一种鉴别方法，能解决如下问题：数字签名机制提供了一种鉴别方法，能解决如下问题： （1）身份认证。收方通过发方的电子签名才能够确认发方的确切身份，但无法伪

8、造。 （2）保密。双方的通信内容高度保密，第三方无从知晓。 （3）完整性。通信的内容无法被篡改。 （4）不可抵赖。发方一旦将电子签字的信息发出，就不能再否认。 4、数字签名方案分类：数字签名方案分类：RSA 签名、DSS 签名、Hash 签名、对称密码算法签名 5、RSA 签名原理签名原理dA eA6、Hash 签名签名是利用哈希函数(Hash function，也叫摘要函数，散列函数)进行数字签名的一种方法。 7、哈希签名基本原理、哈希签名基本原理 利用散列函数进行数字签名和验证的文件传输过程如下：利用散列函数进行数字签名和验证的文件传输过程如下： 发送方首先用哈希函数从原文得到摘要值； 发

9、送方采用发送方的私有密钥对摘要进行加密，并把加密后的摘要附加在要发送的原文后面一起发送给接收方； 接收方用发送方的公开密钥对数字摘要进行解密，得到数字摘要的明文； 接收方用得到的原文和哈希函数重新计算数字签名，并与解密后的数字摘要进行对比。如果两个数字摘要是相同 的，说明文件在传输过程中没有被破坏。 8、在实际商务活动中经常出现这种情形，即持卡人给商家发送订购信息和自己的付款帐户信息，但不愿让商家看到 自己的付款帐户信息，也不愿让处理商家付款信息的第三方看到定货信息。在电子商务中要能做到这点，需使用双联 签名技术。 （画图） 双联签名的使用方法如下：双联签名的使用方法如下： （1）持卡人将发给

10、商家的信息 M1 和发给第三方的信息 M2 分别生成报文摘要 MD1 和报文摘要 MD2； （2）持卡人将 MD1 和 MD2 合在一起生成 MD，并签名； （3）将 M1、MD2 和 MD 发送给商家，将 M2、MD1 和 MD 发送给第三方； 接收者根据收到的报文生成报文摘要，再与收到的报文摘要合在一起，比较结合后的报文摘要和收到的 MD， 确定持卡人的身份和信息是否被修改过。双联签名解决了三方参加电子贸易过程中的安全通信问题。第四章第四章1、消息认证消息认证是指使意定的接收者能够检验收到的消息是否真实的方法。 2、消息认证的内容包括：、消息认证的内容包括： 信息的来源 信息的完整性 信息

11、的序号和时间 3、常用认证函数、常用认证函数 （1）消息加密函数(Message encryption function)：用完整消息的密文作为对消息的认证。（2）消息认证码 (Message Authentication Code， MAC)：对信源消息的一个编码函数。 （3）散列函数 (Hash Function)：一个公开的函数，它将任意长的消息映射成一个固定长度的消息。5、图 4-1 消息加密的基本方法消息加密的基本方法5、X.509 认证协议认证协议 X.509 对每个用户选择的公钥提供所谓的对每个用户选择的公钥提供所谓的“证书证书”。证书内容主要包括：。证书内容主要包括： 版本(V

12、)：用来区分 X.509 不同年份的版本； 特定编号(SN)：由 CA 给予每一个证书的一个特殊号码； 识别方法(AI)：用于产生证书所用的方法以及一切参数； 颁布者(CA)：CA 的识别名字； 有效期(TA)：包括两个日期，在所指定的两个时间之间有效； 使用者(A)：证书拥有者的识别名字； 公钥信息(TP)：被证明的公钥值，加上使用这把公钥的方法的名称； 数字签名：对这份格式中所有其它信息先用杂凑函数产生杂凑值，再用 CA 的密钥签 第五章第五章1、电子商务交易的安全性要求可归纳为：电子商务交易的安全性要求可归纳为： （1）真实性要求。能对信息、实体的真实性进行鉴别 （2）机密性要求。保证信

13、息不被泄露给非授权的人或实体。 （3）完整性要求。保证数据的一致性，防止数据被非授权建立、修改和破坏。 （4）可用性要求。保证合法用户对信息和资源的使用不会被不正当的拒绝。 （5）不可否认要求。建立有效的责任机制，防止实体否认其行为。 （6）可控性要求。能控制使用资源的人或实体的使用方式。 2、SSL 安全协议主要提供三方面的服务安全协议主要提供三方面的服务: （1）用户和服务器的合法性认证 （2）加密数据以隐藏被传送的数据 （3）保护数据的完整性 3、SSL 安全协议的运行步骤包括：安全协议的运行步骤包括： （1）接通阶段。客户通过网络向服务商打招呼，服务商回应。 （2）密钥交换阶段。客户与

14、服务器之间交换双方认可的密钥， （3）协商密钥阶段。客户与服务商间产生彼此交谈的会话密钥。 （4）检验阶段。检验服务商取得的密钥。 （5）客户认证阶段。验证客户的可信度。 （6）结束阶段。客户与服务商之间相互交换结束的信息4、SSL 体系结构体系结构 HTTPSSL握手协议SSL更改密文规范协议SSL警告协议SSL记录协议TCPIP5、SET 主要提供以下七个方面的安全服务：主要提供以下七个方面的安全服务： （1）确保在支付系统中支付信息和订购信息的安全性； （2）确保数据在传输过程中的完整性，即确保数据在传输过程中不被破坏； （3）对持卡者身份的合法性进行检查； （4）对支付接收方的身份，即

15、商家的身份的合法性进行检查； （5）提供最优的安全系统，以保护在电子贸易中的合法用户； （6）确保该标准不依赖于传输安全技术，也不限定任何安全技术的使用； （7）使通过网络和相应的软件所进行的交互作业简便易行。6、SET 协议的运行步骤协议的运行步骤7、SET 支付系统的主要参与方有：支付系统的主要参与方有： （1）持卡人，即消费者。他们通过 web 浏览器或客户端软件购物。 （2）商家。提供在线商店或商品光盘给消费者。 （3）发卡人。它是一金融机构，为持卡人开帐户，并且发放支付卡。 （4）收款银行。为商家建立帐户，并且处理支付卡的认证和支付事宜。 （5）支付网关。是由受款银行或指定的第三方操

16、纵的设备，它处理商家的支付信息，同时也包括来自消费者的支付 指令。第六章第六章1、防火墙：防火墙：是保护本地系统或网络，抵制网络攻击的最重要的网络安全技术。 2、防火墙主要具有如下一些功能：、防火墙主要具有如下一些功能： （1） 、防止外部攻击 （2） 、防止内部信息泄漏 （3） 、.对网络存取和访问进行监控审计 （4） 、功能 （5） 、防火墙自身的抗攻击能力 3、防火墙的基本类型防火墙的基本类型 （1） 、数据包过滤型防火墙 （2） 、应用级网关型防火墙 （3） 、代理服务型防火墙 （4） 、复合型防火墙4、数据包过滤防火墙的工作原理数据包过滤防火墙的工作原理 数据包过滤技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑-访问控制表。通过检查数据流 中的每个数据包的源地址、目的地址、所用 TCP 端口号和协议等要素，确定是否允许该数据包通过。 5、数据包过滤防火墙的优缺点数据包过滤防火墙的优缺点 优点：不