《电子商务与管理》

《《电子商务与管理》》由会员分享，可在线阅读，更多相关《《电子商务与管理》（118页珍藏版）》请在金锄头文库上搜索。

1、2019/2/21,0,制作人：于卫红,电子商务,第四章 电子商务安全技术,一、电子商务安全概述 二、电子商务安全技术 三、电子商务安全协议 四、电子商务安全策略 五、交易安全的法律保护 六、应用案例,案例,国外 2000年2月7日9日，Yahoo, ebay, Amazon 等著名网站被黑客攻击，直接和间接损失10亿美元。 国内 2000年春天，有人利用普通的技术，从电子商务网站窃取到8万个信用卡号和密码，标价26万元出售。,CNNIC 调查结果（2003年1月）,用户认为目前网上交易存在的最大问题是： 安全性得不到保障： 23.4% 付款不方便： 10.8% 产品质量、售后服务及厂商信用得

2、不到保障：39.3% 送货不及时： 8.6% 价格不够诱人： 10.8% 网上提供的信息不可靠： 6.4% 其它： 0.7%,CNNIC（中国互联网络信息中心）成立于1997年6月3日，业务上接受信息产业部的领导，行政上受中国科学院领导。CNNIC的主要服务有：注册服务、域名注册、IP地址分配和自动系统号分配等。,学习目标,了解电子商务面临的主要安全威胁 了解电子商务对安全的基本要求 熟悉电子商务常用的安全技术 掌握防火墙的功能和工作原理 了解电子商务常用的加密技术 了解电子商务的认证体系 掌握SSL和SET的流程和工作原理,4.1 电子商务安全概述,一、电子商务的安全威胁 二、电子商务安全体

3、系,一、 电子商务的安全威胁,电子商务的安全威胁来自电子商务系统的各个层面。主要来自： 1.电子商务基础的网络系统、 2.开展电子商务的系统平台和该平台之上的电子商务应用系统。,计算机安全的定义,我国专家对计算机安全的定义为：计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而泄露、更改和破坏，系统能连续正常运行。计算机网络安全是计算机安全概念在网络环境下的扩展,具体表现,身份窃取。指用户的身份在通信时被他人非法截取。 非授权访问。指对网络设备及信息资源进行非正常使用或越权使用等。 冒充合法用户。主要指利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以达到占用合法用户资源的目的。

4、 数据窃取。指非法用户截取通信网络中的某些重要信息。 破坏数据的完整性。指使用非法手段，删除、修改、重发某些重要信息，以干扰用户的正常使用。 拒绝服务。指通信被终止或实时操作被延迟。 否认。指通信的双方有一方事后否认曾参与某次活动。 干扰系统正常运行。指改变系统的正常运行方法，减慢系统的响应时间等手段。 病毒与恶意攻击。指通过网络传播病毒等。,网络系统的安全威胁,1 网络操作系统相关安全配置 2 拒绝服务(DoS，Denial of Service)攻击（系统瘫痪） 3黑客侵袭 4计算机病毒的侵袭 5安全产品使用不当 6缺少严格的网络安全管理制度,电子商务系统安全威胁,系统中断 破坏系统的有效

5、性 窃听信息 破坏系统的机密性 篡改信息 破坏系统的完整性 伪造信息 破坏系统的真实性 对交易行为进行抵赖 要求系统具备审查能力,电子安全交易的基本要求,信息的保密性 信息的完整性 交易者身份的真实性 不可抵赖性 系统的可靠性,二、 电子商务安全体系,电子商务系统安全体系结构,体系组成,技术保障 法律控制 社会道德规范 完善的管理政策、制度,信息系统安全层次模型,一、二、三层：信息、软件、网络安全,这三层是计算机信息系统安全的关键。包括： 数据的加密解密（加密解密算法、密钥管理） 操作系统、应用软件的安全（用户注册、用户权限（如： 查询权限、录入权限、分析权限、管理权限)管理） 数据库安全（访

6、问控制、数据备份与管理、数据恢复） 数据的完整性（RAID冗余磁盘阵列技术、负载均衡、HA高可用技术） 网络安全（对网络传输信息进行数据加密、认证、数字签名、访问控制、网络地址翻译、防毒杀毒方案等，如防火墙技术、虚拟网VPN、秘密电子邮件PEM） 病毒防范（硬件防范、软件防范、管理方面的防范）,对自然灾害防范： 防火、防水、防地震。如：建立备份中心 防范计算机设备被盗： 固定件、添加锁、设置警铃、购置柜机、系统外人员不得入内等 尽量减少对硬件的损害： 不间断电源、消除静电、系统接地等,第四、五层：硬件系统的保护和物理实体的安全,4.2 电子商务安全技术,一、加密技术 二、防火墙技术 三、安全认

7、证技术 四、网络病毒防范技术,2019/2/21,18,阿拉伯的传说,古阿拉伯有一个美丽的公主，为了寻找一个聪明的王子作终身伴侣，提出，如果哪个王子能在3天之内，找到打开密室的密码，就嫁给他。 31,101,791,449 （ 11741729 176357 ） 1年=366天 =366*24*60 = 527040分钟 = 31,622,400秒,4.2.1 加密技术,数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破译所采用的主要技术手段之一，也是网络安全的重要技术。 加密：是指将数据进行编码，使它成为一种不可理解的形式， 既密文 解密：是加密的逆向操作，将密文还原成

8、原来可以理解的形式 既明文 算法：是指加密或解密的一项项的过程。在这个过程中存在一串串的数字，这些数字就成为密匙。,加密技术示意,明 文,密 文,发信方,密 文,明 文,收信方,Internet,加密密钥,解密密钥,加密,解密,例：明文（记做m）为“important”，Key=3，则密文（记做C）则为“LPSRUWDQW”。,Caesar加密法,例：如果明文m为“important”，则密文C则为“RNKLIGZMZ”。,字母倒序法,例如：Vigenere密码，见表4。加密方法如下： 假设明文m=m1m2m3mn， 密钥Key=K1K2K3Kn， 对应密文C=C1C2C3Cn， 则：Ci =

9、 mi + Ki mod 26，i = 1，2，n， 其中，26个字母A-Z的序号对应是0-25， Ci 是密文中第i个字母的序号， mi 是明文中第i个字母的序号， Ki 是密钥Key中第i个字母的序号， 如果m=information Key=STAR 则C=AGFFJFAKAHN,多字母加密是使用密钥进行加密。密钥是一组信息（一串字符）。同一个明文经过不同的密钥加密后，其密文也会不同。,多字母加密法,it can allow students to get close up views 将其按顺序分为5个字符的字符串： Itcan、allow、stude、ntsto 再将其按先列后行的顺

10、序排列，就形成了密文： 密文C为“IASNGOVTLTTESICLUSTEEAODTCUWNWEOLPS” 如果将每一组的字母倒排，也形成一种密文： C=NACTIWOLLAEDUTSOTSTNLCTEGPUESOSWEIV,在替换加密法中，原文的顺序没被改变，而是通过各种字母映射关系把原文隐藏了起来。转换加密法是将原字母的顺序打乱，将其重新排列。如：,转换加密法,加密示例-按字符易位加密,原文 Please transfer one million dollars to Swiss Bank account six two two ,密文 AFLLSKSO,SELANWAIA,TOOSSCT

11、C,LNMOMANT,ESILYNTW,RNNTSOWD,PAEDOBNO,加密算法：密文的组合规则，按密钥的字母顺序,8个字母的密钥，即密钥长度为64位。,二、对称密钥体制,对称密钥加密体制属于传统密钥加密系统。是指在对信息的加密和解密过程中使用相同的密钥。或者，加密和解密的密钥虽然不同，但可以由其中一个推导出另一个。 对称密码体制也称为私钥加密法。这种方法已经使用几个世纪了，收发加密信息双方使用同一个私钥对信息进行加密和解密。对称密码体制的优点是具有很高的保密强度，但它的密钥必须按照安全途径进行传递，根据“一切秘密寓于密钥当中”的公理，密钥管理成为影响系统安全的关键性因素，难于满足开放式计

12、算机网络的需求。,1. 常用标准,对称密钥加密算法的代表是数据加密标准DES（US Federal Data Encryption standard），此标准由IBM公司开发，现在已成为国际标准，由美国国家安全局和国家标准与技术局来管理。另一个系统是国际数据加密算法（IDEA），它比DES的加密性好，而且需要的计算机功能也不那么强。,2. 特点,在对称密钥密码体制中，使用的加密算法比较简便高效，密钥简短，破译极其困难。 密钥难于安全传递 密钥量太大，难以进行管理 无法满足互不相识的人进行私人谈话时的保密性要求。 难以解决数字签名验证的问题。,三、公开密钥体制,公开密钥密码体制将加密密钥和解密密

13、钥分开，加密和解密分别由两个密钥来实现，并使得由加密密钥推导出解密密钥（或由解密密钥推导出加密密钥）在计算上是不可行的。 采用公开密钥密码体制的每一个用户都有一对选定的密钥，其中加密密钥不同于解密密钥，加密密钥公之于众，谁都可以用，称为“公开密钥”（public-key）；解密密钥只有解密人自己知道，称为“私密密钥”（private-key），公开密钥密码体制也称为不对称密钥密码体制。,常用标准,公开密钥加密方法的典型代表是RSA算法。 RSA算法是1978年由RonRivest，AdiShamir和Leonard Adleman三人发明的，所以该算法以三个发明者名字的首字母命名为RSA。RS

14、A是第一个既能用于数据加密也能用于数字签名的算法。但RSA的安全性一直未能得到理论上的证明。 简言之，找两个很大的质数，一个作为“公钥”公开，一个作为“私钥”不告诉任何人。这两个密钥是互补的，即用公钥加密的密文可以用私钥解密，反过来也可以。,例如：甲、乙双方利用该方案实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公开密钥向乙方公开；乙方使用该公钥对机密信息加密后发送给甲方；甲方收到信息后用自己保存的私钥解密。从而解决了信息传输中的保密问题。另一方面由于每个人都可以知道甲方的公钥，他们都能给甲方发送信息。甲方需要确认的确是乙方发送的信息，这就产生了认证的问题，这时候就要用到数字

15、签名。RSA公钥体系的特点使它非常适合用来满足上述两个要求：保密性(privacy)和认证性(authentication)。,2. 特点, 密钥分配简单。由于加密密钥与解密密钥不同，且不能由加密密钥推导出解密密钥，因此，加密密钥表可以像电话号码本一样分发给各用户，而解密密钥则由用户自己掌握。 密钥的保存量少。网络中的每一密码通信成员只需秘密保存自己的解密密钥，N个通信成员只需产生N对密钥，便于密钥管理。 可以满足互不相识的人之间进行私人谈话时的保密性要求。 可以完成数字签名和数字鉴别。发信人使用只有自己知道的密钥进行签名，收信人利用公开密钥进行检查，既方便又安全。,四、两种加密方式的比较,五

16、、两种方法的混合使用,第一步：发送者先产生一个随机数(即对称密钥，每次加密密钥不同)，并用它对要发送的信息进行加密。 第二步：发送者用接收者的公共密钥用RSA算法对该随机数（即对称密钥）加密。随后将上两步加密的信通过网络发送。 第三步：接收者接收到信息后，首先用自己的私人密钥随机数解密。 第四步：接收者再用解密后的随机数对信息进行解密。 这种加解密方式，既有RSA体系的保密性，又有DES或IDEA算法的快捷性。,图示混合应用,发送者,接收者,RSA加密,RSA解密,DES解密,DES加密,明文,明文,密文,DES解密钥,DES密钥,（通过RSA加密传递）,密文,DES密钥,接收者密钥,4.2.2 防火墙技术,防火墙（FireWall）一词的来历： 古时候，人们常在住处与生活处所之间砌起一道