《电子商务安全技术 》

《《电子商务安全技术 》》由会员分享，可在线阅读，更多相关《《电子商务安全技术 》（82页珍藏版）》请在金锄头文库上搜索。

1、第五章 电子商务安全技术1 1、电子商务安全概述、电子商务安全概述 2 2、电子商务安全机制、电子商务安全机制3 3、电子商务安全认证、电子商务安全认证4 4、电子商务安全协议、电子商务安全协议 .1、电子商务安全概述 据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。 .1、电子商务安全概述（1 1）问题的提出）问题的提出 1.1 电子商务的安全问题.1.1 电子商务的安全问题（2 2）电子商务的安全隐患（安全问题）电子商务的安全隐患（安全问题） 问题问题数据被非法截获、读取或者修改数据被非

2、法截获、读取或者修改 冒名顶替和否认行为冒名顶替和否认行为 一个网络的用户未经授权访问了一个网络的用户未经授权访问了另一个网络另一个网络 计算机病毒计算机病毒 措施措施数据加密数据加密 数字签名、加密、认证等数字签名、加密、认证等 防火墙防火墙计算机病毒防治措施计算机病毒防治措施 .1.2 电子商务的安全需求电子商务的安全需求包括两方面：电子商务的安全需求包括两方面：vv电子交易的安全需求电子交易的安全需求vv计算机网络系统的安全计算机网络系统的安全.1.2 电子商务的安全需求1、电子交易的安全需求（1 1）身份的可认证性）身份的可认证性 在双方进行交易前，首先要能确认对方的身份，要求交在双方

3、进行交易前，首先要能确认对方的身份，要求交易双方的身份不能被假冒或伪装。易双方的身份不能被假冒或伪装。（2 2）信息的保密性）信息的保密性 要对敏感重要的商业信息进行加密，即使别人截获或窃要对敏感重要的商业信息进行加密，即使别人截获或窃取了数据，也无法识别信息的真实内容，这样就可以使商业取了数据，也无法识别信息的真实内容，这样就可以使商业机密信息难以被泄露。机密信息难以被泄露。 .1.2 电子商务的安全需求1、电子交易的安全需求（3 3）信息的完整性）信息的完整性 请给丁汇100元乙甲请给丁汇100元请给丙汇100元丙请给丙汇100元 交易各方能交易各方能够验证收到的信够验证收到的信息是否完整

4、，即息是否完整，即信息是否被人篡信息是否被人篡改过，或者在数改过，或者在数据传输过程中是据传输过程中是否出现信息丢失否出现信息丢失、信息重复等差、信息重复等差错。错。 .1.2 电子商务的安全需求1、电子交易的安全需求（4 4）不可抵赖性）不可抵赖性 在电子交易通信过程的各个环节中都必须是不可否认的在电子交易通信过程的各个环节中都必须是不可否认的，即交易一旦达成，发送方不能否认他发送的信息，接收方，即交易一旦达成，发送方不能否认他发送的信息，接收方则不能否认他所收到的信息。则不能否认他所收到的信息。 （5 5）不可伪造性）不可伪造性 电子交易文件也要能做到不可修改电子交易文件也要能做到不可修改

5、 .1.2 电子商务的安全需求2. 计算机网络系统的安全一般计算机网络系统普遍面临的安全问题：一般计算机网络系统普遍面临的安全问题：（1 1）物理实体的安全）物理实体的安全 （2 2）自然灾害的威胁）自然灾害的威胁 （3 3）黑客的恶意攻击）黑客的恶意攻击 （4 4）软件的漏洞和）软件的漏洞和“后门后门” ” （5 5）网络协议的安全漏洞）网络协议的安全漏洞 （6 6）计算机病毒的攻击）计算机病毒的攻击 .1.2 电子商务的安全需求2. 计算机网络系统的安全（1 1）物理实体的安全）物理实体的安全 设备的功能失常设备的功能失常 电源故障电源故障 由于电磁泄漏引起的信息失密由于电磁泄漏引起的信息

6、失密 搭线窃听搭线窃听 .1.2 电子商务的安全需求2. 计算机网络系统的安全（2 2）自然灾害的威胁）自然灾害的威胁 各种自然灾害、风暴、泥石流、建筑物破坏、各种自然灾害、风暴、泥石流、建筑物破坏、火灾、水灾、空气污染等对计算机网络系统都构成火灾、水灾、空气污染等对计算机网络系统都构成强大的威胁。强大的威胁。.1.2 电子商务的安全需求2. 计算机网络系统的安全（3 3）黑客的恶意攻击）黑客的恶意攻击 所谓黑客，现在一般泛指计算机信息系统的非法入侵所谓黑客，现在一般泛指计算机信息系统的非法入侵者。者。 黑客的攻击手段和方法多种多样，一般可以粗略的分为黑客的攻击手段和方法多种多样，一般可以粗略

7、的分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。密信息。 .1.2 电子商务的安全需求2. 计算机网络系统的安全（4 4）软件的漏洞和）软件的漏洞和“后门后门” ” （5 5）网络协议的安全漏洞）网络协议的安全漏洞 （6 6）计算机病毒的攻击）计算机病毒的攻击 计算机病毒计算机病毒“指编制或者在计算机程序中插入的破坏计指

8、编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。的一组计算机指令或者程序代码。” ” 中华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息系统安全保护条例.1.2 电子商务的安全需求2. 计算机网络系统的安全（6 6）计算机病毒的攻击）计算机病毒的攻击 计算机病毒的破坏目标和攻击部位：计算机病毒的破坏目标和攻击部位： 攻击系统数据区攻击系统数据区 攻击文件攻击文件 攻击内存攻击内存 干扰系统运行干扰系统运行 计算机速度下降计算机速度下降 攻击磁盘攻击磁盘 扰乱屏幕

9、显示扰乱屏幕显示 干扰键盘操作干扰键盘操作 使计算机的喇叭发出响声使计算机的喇叭发出响声 攻击攻击CMOS CMOS 干扰打印机干扰打印机 .1.3 电子商务基本安全技术 1 1、加密技术、加密技术 2 2、认证技术、认证技术3 3、安全电子交易协议、安全电子交易协议4 4、黑客防范技术、黑客防范技术5 5、虚拟专网技术、虚拟专网技术6 6、反病毒技术、反病毒技术.1.3 电子商务基本安全技术 加密技术是认证技术及其他许多安全技术的基础加密技术是认证技术及其他许多安全技术的基础。 “加密加密”，简单地说，就是使用数学的方法将原，简单地说，就是使用数学的方法将原始信息（明文）重新组织与变换成只有

10、授权用户才始信息（明文）重新组织与变换成只有授权用户才能解读的密码形式（密文）。而能解读的密码形式（密文）。而“解密解密”就是将密就是将密文重新恢复成明文。文重新恢复成明文。1、加密技术 .1.3 电子商务基本安全技术 对称密码体制对称密码体制1、加密技术 非对称密码体制非对称密码体制加密密钥与解密密钥是相同的。密钥必须通加密密钥与解密密钥是相同的。密钥必须通过安全可靠的途径传递。由于密钥管理成为过安全可靠的途径传递。由于密钥管理成为影响系统安全的关键性因素，使它难以满足影响系统安全的关键性因素，使它难以满足系统的开放性要求。系统的开放性要求。 把加密过程和解密过程设计成不同的途径，把加密过程

11、和解密过程设计成不同的途径，当算法公开时，在计算上不可能由加密密钥当算法公开时，在计算上不可能由加密密钥求得解密密钥，因而加密密钥可以公开，而求得解密密钥，因而加密密钥可以公开，而只需秘密保存解密密钥即可。只需秘密保存解密密钥即可。 .1.3 电子商务基本安全技术 2. 认证技术 采用认证技术可以直接满足身份认证、信息完采用认证技术可以直接满足身份认证、信息完整性、不可否认和不可修改等多项网上交易的安整性、不可否认和不可修改等多项网上交易的安全需求，较好地避免了网上交易面临的假冒、篡全需求，较好地避免了网上交易面临的假冒、篡改、抵赖、伪造等种种威胁。改、抵赖、伪造等种种威胁。 认证的功能认证的

12、功能.1.3 电子商务基本安全技术 2. 认证技术 用户所知道的某种秘密信息用户所知道的某种秘密信息 用户持有的某种秘密信息（硬件）用户持有的某种秘密信息（硬件） 用户所具有的某些生物学特征用户所具有的某些生物学特征 身份认证：用于鉴别用户身份身份认证：用于鉴别用户身份 报文认证：用于保证通信双方的不可抵赖性和信息完整性报文认证：用于保证通信双方的不可抵赖性和信息完整性 实现方式实现方式验证内容验证内容 证实报文是由指定的发送方产生的证实报文是由指定的发送方产生的 证实报文的内容没有被修改过证实报文的内容没有被修改过 确认报文的序号和时间是正确的确认报文的序号和时间是正确的 .1.3 电子商务

13、基本安全技术 2. 认证技术 数字签名数字签名 数字摘要数字摘要 数字证书数字证书 CACA安全认证体系安全认证体系 广泛使用的认证技术广泛使用的认证技术 .1.3 电子商务基本安全技术 3. 安全电子交易协议 目前有两种安全在线支付协议被广泛采用目前有两种安全在线支付协议被广泛采用 SSL(Secure Sockets LayerSSL(Secure Sockets Layer，安全套接层安全套接层) )协议协议 SET(Secure SET(Secure ElecronicElecronic Transaction Transaction，安全电子交易安全电子交易) )协议协议.1.3 电

14、子商务基本安全技术 4. 黑客防范技术 （1 1）安全评估技术）安全评估技术 通过扫描器发现远程或本地主机所存在的安全问题。通过扫描器发现远程或本地主机所存在的安全问题。 扫描器的一般功能：扫描器的一般功能： 发现一个主机或网络的能力发现一个主机或网络的能力 发现什么服务正运行在这台主机上的能力发现什么服务正运行在这台主机上的能力 通过测试这些服务，发现漏洞的能力通过测试这些服务，发现漏洞的能力 扫描器的种类扫描器的种类 基于服务器的扫描器基于服务器的扫描器 基于网络的扫描器基于网络的扫描器.1.3 电子商务基本安全技术 4. 黑客防范技术 （2 2）防火墙）防火墙 防火墙是一种用来加强网络之

15、间访问控制的特殊网络设备，它防火墙是一种用来加强网络之间访问控制的特殊网络设备，它对两个或多个网络之间传输的数据包和连接方式按照一定的安全策对两个或多个网络之间传输的数据包和连接方式按照一定的安全策略进行检查，从而决定网络之间的通信是否被允许。略进行检查，从而决定网络之间的通信是否被允许。 防火墙能有效地控制内部网络与外部网络之间的访问及数据传防火墙能有效地控制内部网络与外部网络之间的访问及数据传输，从而达到保护内部网络的信息不受外部非授权用户的访问和过输，从而达到保护内部网络的信息不受外部非授权用户的访问和过滤不良信息的目的。滤不良信息的目的。 .1.3 电子商务基本安全技术 4. 黑客防范

16、技术 （3 3）入侵检测技术）入侵检测技术 入侵检测系统（入侵检测系统（IDSIDS）可以被定义为对计算机和网络资源的恶）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。包括来自系统外部的入侵意使用行为进行识别和相应处理的系统。包括来自系统外部的入侵行为和来自内部用户的非授权行为。行为和来自内部用户的非授权行为。 它从计算机网络系统中的若干关键点收集信息，并分析这些信它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。在息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。警等。 .1.3 电子商务基本安全技术 5. 虚拟专用网技术 虚拟专用网（虚拟专用网（VPNVPN）技术是一种在公用互联网络上构造专用网）技术是一种在公用互联网络上构造专用网络的技术。将物理上分布在不同地点的专用网络，通过公共网络构络的技术。将物理上分布在不同地点的专用网络，通过公共网络构造成逻辑上的虚拟子网，进行