《电子商务教程课件 第5章 电子商务安全》由会员分享，可在线阅读，更多相关《电子商务教程课件 第5章 电子商务安全（40页珍藏版）》请在金锄头文库上搜索。
1、电子商务教程,刘 婷 主编,中国铁道出版社,http:/,第5章 电子商务安全,5.1 电子商务安全概述 5.2 电子商务安全技术 5.3 安全套接层协议 5.4 安全电子交易协议,电子商务安全,教学目标： 电子商务安全是我们在网上购物最为关注也是最重要的方面,它是我们资金安全的重要保障，通过本章的学习要求读者了解电子商务安全的基本概念、安全面临的问题及对策、电子商务安全的体系结构、各种为保证安全所使用的加密等技术，要求能够针对出现的一些问题我们如何进行应对。 教学重点与难点： 1电子商务安全的概念。 2电子商务安全面临的问题及对策。 3电子商务安全交易协议。,5.1 电子商务安全概述,电子商
2、务交易过程中交易多方的分离在带给交易对象便利的同时，也带来了很大的安全隐患。如何保证交易过程数据传输的可靠性以及双方交易身份的真实性成为电子商务安全方面急需解决的问题。,5.1.1 电子商务安全概念,电子商务安全要素涉及面很广，在使用电子商务的过程中，主要的安全要素有以下几点。 真实性 保密性 完整性 不可否认性 可靠性 及时性 不可拒绝性,5.1.2 电子商务安全面临的问题及对策,电子商务的技术安全性研究从整体上分： 计算机网络安全 商务交易安全。,1. 计算机网络安全威胁,黑客恶意攻击 计算机病毒攻击 网络协议漏洞攻击 软件漏洞和后门攻击,2.商务交易安全,对消费者来说，他所面临的安全威胁
3、有以下几点： 虚假订单。 付款后收不到商品。 隐私的泄露。 对于销售者来讲，他所面临的安全威胁有： 电子商务服务系统安全性被破坏。 竞争者检索商品销售情况。 被他人假冒。,5.1.3 电子商务系统安全体系结构,5.2 电子商务安全技术,随着Internet的发展，电子商务已经逐渐成为人们进行商务活动的新模式。越来越多的人通 过Internet进行商务活动。电子商务的发展前景十分诱人，而其安全问题也变得越来越突出，如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题。,5.2.1 密码技术概述,密码技术的基本功能 机密性(confidentialit
4、y) 鉴别(authentication) 报文完整性(message intergrity) 不可否认性(non-repudiation),密码系统的组成,一个密码系统由明文空间、密文空间、密钥空间组成。,密码系统,5.2.2 加密算法,1. 古典密码加密,使用代替密码的古埃及粘土圆盘,二位字母编码查表,2. 对称密钥加密体制,对称密码加密是指在计算机网络中，甲、乙两方进行通信，发送方甲为了保护传输的信息不被第三方窃取，采用密钥A对明文加密，形成密文M并发送给接收方乙，接收方乙用同样的密钥A对收到的密文进行解密，得到明文信息，从而完成密文通信目的的方法。这种信息加密传输的方法也叫私有密钥加密
5、法。密文在网络传输过程中，即便被窃取或复制，由于没有密钥A，窃取方也很难破译。,对称密钥加密的特点,对称密钥加密的主要优点: 加密和解密速度快，加密解密同用一把密钥，使用简单，在专用网络中通信各方相对固定，应用效果好。例如应用在金融通信专网和军事通信专网的加密通信中。 对称密钥加密的弊端: 由于算法公开，其安全性完全依赖于对私有密钥的保护。 对称密钥加密的管理非常复杂，代价昂贵，是该系统最大的问题。 对称加密算法不能实现数字签名，难以对用户身份进行认定，因此存在欺骗的隐患。尤其是在网络支付时，会出现冒充别人名义发送资金转账指令的问题。,3. 非对称密钥加密体制,非对称密钥加密是指在计算机网络甲
6、乙两方通信时，发送方甲为了保护传输的明文信息不被第三方窃取，采用密钥A对信息进行加密，形成密文M并且发送给接收方乙，接收方乙用另一把密钥B对收到的密文M进行解密，得到明文信息，完成密文通信的方法。由于密钥A和密钥B这两把密钥中，一把是用户私有，另一把是在网络上对大众用户公开的，因此也叫公开密钥加密。,非对称密钥加密的特点,多人之间进行保密信息传输所需的密钥组合数量很小。在N个人彼此之间传输保密信息，只需要N对公开密钥，远远小于私有密钥加密系统的要求。 可以在不安全的媒体上交换信息，不需要共享通用的密钥，用于解密的密钥不需要发往任何地方，公钥在传递与发布时被截获没有意义。 公开密钥系统可实现数字
7、签名。这就意味着将电子文档签名后再发给别人，而签名者无法否认。也就是说，采用公开密钥技术，除签名者外他人无法以电子方式进行签名，而且签名者事后也不能否认曾以电子方式签过文档。 加密算法复杂， 加密和解密的速度比较慢，当企业在互联网上进行商务活动的话，加密/解密过程累积的时间会很多。,公钥密钥与对称密钥技术的综合应用,5.2.3 数字签名,数字签名的概念 数字签名（Digital Signature），也叫电子签名，它是通过一个散列函数对要传送的报文进行处理而得来的用来认证报文来源，并核实报文是否发生变化的一个字符数字串。通俗的说是指利用电子信息加密技术通过网络传送信息报文时，附加一个特殊的唯一
8、代表发送者个人身份的标记，起到传统上手书签名或印章的作用，表示确认、负责、经手、真实等。,5.2.4 防火墙,防火墙是用于企业内部网和互联网之间实施安全策略的一个系统或一组系统，它是不同网络或网络安全域之间信息的唯一出入口，决定着内部服务中哪些可被外界访问，外界的哪，些人可以访问内部的哪些服务，还决定着内部的哪些人可以访问外部的哪些服务，所有来自或发往互联网的业务流都必须通过防火墙，经受防火墙的检查，防火墙本身具有很强的抗攻击能力，是提供安全服务和实现网络及信息安全的基础设施。,防火墙逻辑位置图,5.2.5 虚拟专用网,虚拟专用网(Virtual Private Network ，简称VPN)
9、指的是在公用网络上建立专用网络的技术，是企业内部网在互联网上的延伸、它通过一个专用的通道来创建一个安全的专用连接，从而可将远程用户、企业分支机构、公司的业务合作伙伴等与公司的内部网连接起来，构成一个扩展的企业内部网。,Access VPN组网示意图,Intranet VPN组网示意图,Extranet VPN组网示意图,5.2.6 入侵检测系统,入侵检测系统（Intrusion Detection System，IDS）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备，是一种积极主动的安全防护技术。入侵检测系统可以弥补防火墙的不足，主动从计算机网络系统中
10、的关键点收集信息，并分析这些信息，利用模式匹配或异常检测技术来检查网络中是否有违反安全策略的行为和遭到攻击的迹象。,入侵检测系统组成及分类,基于主机的入侵检测 基于网络的入侵检测 分布式入侵检测,5.2.7 电子邮件安全,电子邮件可能产生的安全问题包括：消息和附件在是否不为通信双方所知的情况下被截获、发信人身份是否确认、收到的电子邮件是否完整等，这些都可以利用PKI（Pubic Key Infrastructure，公钥基础设施）技术来保障。,安全电子邮件发送过程,5.3安全套接层协议,网络安全是电子商务发展的基本前提，电子商务这种经济模式引发的安全危机严重影响到其自身的发展，为此，人们研制了
11、很多用来保证网络安全的网络协议，安全套接层（Secure Socket Layer，SSL）协议就是现在互联网上应用较为广泛的一种。,SSL协议,SSL协议是一种在可持有证书的浏览器软件（Internet Explorer、Netscape Navigator等）和远程的WWW服务器（如Netscape 的Netscape Enterprise Server、IIS等）之间构造的安全通道中传输数据的协议。,SSL协议的特点,SSL协议开发成本小，应用简单方便，安全实现上综合了私有与公开密钥加密法的优点，速度较快，且大部分的Web浏览器以及主要的服务器都支持SSL协议，在电子交易、信用卡的安全网
12、络支付、网络银行转账方面应用非常普及。,SSL协议的缺点集中在：,SSL只能保证资料传递过程的安全，但无法保证传递途中是否有人截取。 它是一个面向连接的协议，针对点对点的通信而设计，如果交易系统涉及到多方，就难以实现多方认证。 SSL协议的数据安全性是建立在加密算法的安全性之上的，如果算法被攻破，那么在理论上该协议也被攻破了。,5.4安全电子交易协议,SET（Secure Electronic Transaction，安全电子交易）协议是美国Visa和MasterCard两大信用卡组织联合于1997年5月31日推出的用于电子商务的行业规范，其实质是一种应用在Internet上、以信用卡为基础的
13、电子付款系统规范，目的是为了保证网络交易的安全。SET妥善地解决了信用卡在电子商务交易中的交易协议、信息保密、资料完整以及身份认证等问题。SET协议比SSL协议复杂，涉及整个网络支付流程的安全和各方的安全。,1. SET协议概述,SET就是一个为了在互联网上进行在线交易而设立的以电子货币为基础的电子支付系统规范，它的实现不需要对现有的银行支付网络进行大规模改造，并且可以确保网上交易所要求的保密性、数据完整性、交易的不可否认和身份认证，对网上支付来讲至关重要。由于其实用合理，SET协议得到了IBM、HP、Microsoft、VeriFone、GTE、Verisign等主流大公司的支持，已成为事实
14、上的工业标准。SET已获得IETF标准的认可，是电子商务的发展方向。,2. SET支付系统的组成,SET支付系统主要由持卡客户（CardHolder）、商家（Merchant）、发卡行（Issuing Bank）、收单行（Acquiring Bank）、支付网关（Payment Gateway）、认证中心（Certificate Authority）等六个部分组成。对应地，基于SET协议的网上购物系统至少包括电子钱包软件、商家软件、支付网关软件和签发证书软件。,SET协议与SSL协议的比较,SET协议和SSL协议在功能上的比较 SET协议和SSL协议在安全性上的比较 SET协议和SSL协议在处
15、理速度上的比较 SET协议和SSL协议在费用上的比较,本 章 小 结 本章首先让读者认识电子商务安全的概念、安全面临的问题及对策、电子商务安全的体系结构、各种为保证安全所使用的相关技术，包括加密算法、数字签名、防火墙、虚拟专用网、 入侵检测系统、电子邮件安全等。要求从原理上了解并掌握这些加密方法，重点掌握电子商务安全面临的问题及对策。,思考与实训 1思考题 （1）什么情况下防火墙无效？ （2）基于网络的入侵检测系统和基于主机的检测系统区别何在？ （3）对称密钥加密体制和非对称密钥加密体制的区别和在实际中的应用。 （4）描述SSL协议的握手过程。 （5）简述SET协议与SSL协议相比在功能上的优势。,思考与实训,2实训题 （1）寻找计算机上的漏洞，分析其安全威胁。（计算机相关专业可选） （2）学会正确安装、升级和卸载一种杀毒软件。 （3）上网申请支付宝数字证书。,
