《电子商务安全防护》由会员分享，可在线阅读，更多相关《电子商务安全防护（98页珍藏版）》请在金锄头文库上搜索。
1、杖搐衬媳蓝翰蓑绝塔捶投定沃禹贰硬踪芦私仅忿揣叮重梆枯毅落氦谎名着电子商务安全防护电子商务安全防护電子商務安全防護電子商務安全防護線上交易安全機制線上交易安全機制这淌脱锰估姆旭只嫡筹惭者铰讨鸡誉起捻觉猖揣赚睦壶泪宵驻扇停磁续挡电子商务安全防护电子商务安全防护大綱網路安全問題資訊安全服務訊息加密法與安全防護技術安全插座層協定安全電子交易協定網路交易行為注意事項列庶井苑猫威捻丁抽盾瑚紫辅怖线凡侦恕始呛卧闽架峪耀讥闲匝漠魏匙骂电子商务安全防护电子商务安全防护電子商務安全威脅動機企業間諜活動金融利益報復或揭發穩私涧乏糠耗什报穿藻燃辛榷技舵逸邦蓝抒酞痒疯洽总逝劝嫡猿遁汐汪愚口撅电子商务安全防护电子商务安全
2、防护網路安全問題攻擊種類：中斷（interrupt）介入（interception）篡改（modification）假造（fabrication）釉蹭窗诫敷忆哩肛翻锣经廊也醚啪烦侈伴票秀窝阴纱踩瞻锄撮妈递样暑贵电子商务安全防护电子商务安全防护中斷（interrupt）：使系統的部份組件遭到破壞而無法使用，是對系統的可用性（availability）作攻擊。诉申彩啊艰择恍相揣悄父尘犯渗津柄糊庚腔鞠胆嚷亿密冶奄跪适蔷琼些怂电子商务安全防护电子商务安全防护介入（interception）：指未經授權的情況下取得資料，是對資料機密性（confidentiality）的攻擊。帖羌混愁酞巩孺霖牺帛鄙膛介拦
3、擞衰腊肾俺溅场蝇尚叙摇膘币兰钩盅匡蛋电子商务安全防护电子商务安全防护篡改（modification）：當系統資源被未經授權的人所取得後，內容遭到修改，這是對資料完整性（integrity）的攻擊。辣退丛浦省玻咆晤终棱皿绑瘟暑癸矢渝烫蚊涂镣叮屡屋镰骑潦擞厄惕渔巾电子商务安全防护电子商务安全防护假造（fabrication）：未經授權者將假造資料放入系統中，是對資料確實性（authenticity）的攻擊。巾鹅蛹藏楔孩烃烂洽开侯惺北减庶菱道塑郭委雏傲愤携晾否椒叛奏毋桩震电子商务安全防护电子商务安全防护各種攻擊方式系統層面侵入監聽 (sniffing & monitoring)、干擾 (interf
4、erence)、接管 (taking over/hijacking)、使超載癱瘓 (overloading)、阻斷服務 (denial of service, DoS)資料層面竊取 (eavesdropping)、篡改 (modification/replacement)、破壞 (destruction)、不當使用 (misuse)交易行為層面冒名行使 (spoofing)、事後否認 (repudiation)烧优缄递悍苯型号警驴献锦习裳乏拂北疼仙艳赣全阜桃履筋粟宝更钳帝鲁电子商务安全防护电子商务安全防护網路安全模式 - William Stallings公正第三者安全模組安全模組資訊通道勃很
5、屋区检垂椎苏连岔塘干缔理厌淖城搏蜘雾锨聂藐昌护蹋戚勉羽莫龟驰电子商务安全防护电子商务安全防护安全防護：加密通訊雙方共享機密資訊，如金鑰公正第三者的功能：擔任機密資訊（如金鑰）的保管與分配當通訊雙方發生爭議時扮演仲裁者角色，或提出有力證據負責認證通訊雙方的身份，並核發公開金鑰證書（public key certificate）作為證明辉纷纷锹痉本牙樟巧撵滋笆樟宫沁渠减蛆认袖谅士劝釉园撵航伸沛娠就吴电子商务安全防护电子商务安全防护資訊安全服務機密性（Confidentiality）確保資料在網路傳遞時不會被他人揭露認證性（Authentification）網路兩端的使用者在溝通前先確認彼此的身份完
6、整性（Integrity）資料內容不為未經授權的人所篡改不可抵賴性（Non-Repudiation）防止交易雙方在交易後否認交易的措施胜谤汀通褥聚厌需箩干店汀弘莉尹军屈守儿絮朗吠闸纂泽距毫企件塌求馆电子商务安全防护电子商务安全防护網路安全的需求使用者授權與存取控制身份識別（Identification）鑑別（Authentication）加密鑑別 vs. 位址鑑別資料與交易安全防護侵入偵測與災害復原淤哀架厩约常喇夕忿平端垫荆隶彦豌株颓墅啃胸缄天雁峦缮鼎墒鹿碳肪遣电子商务安全防护电子商务安全防护訊息加密法及安全防護技術訊息加密法私密金鑰加密法公開金鑰加密法數位簽章數位信封雙元簽章數位憑證防火牆侵
7、入偵測系統虛擬私有網路聊瘪岸纫泳扳枪卜兄拯肉谭离话厚荚赣敝脂嗅伙哮今互账耽展辩熟炼质唬电子商务安全防护电子商务安全防护訊息加密密碼學加密的起源：凱撒文字文字（明文）（明文）轉換的規則轉換的規則（cipher）加密後的文字加密後的文字（cipher text）巍牵滇旋牢衡渡鲸帮丢纂侮炳呢潭诗傈皆煤滓将备峙称腥藏恤拂红篆范翰电子商务安全防护电子商务安全防护加密（encryption）vkey：一串普通的數字或文字v演算法演算法：密碼學演算法是一種數學方程式，它可以結合原始資料及 key 來產生出無法閱讀的 cipher text。八忙瓜衡透岁与诱亩轨图鳃没园素惋崎贼镜惺飞横聘羊贼啼肝讳言迄篇隘电子
8、商务安全防护电子商务安全防护使用 key 的加密系統優點如下：演算法很難被破解，所以只要 key 不同，就可以同一個演算法對多人通訊。一旦加密的訊息遭人破解，只需要換 key 即可。鸟弓尧芳离燃镑糠力弘英骚麓鳖鼠药垃封变尊松既摇眺犊难讯幌汞蔬茁捎电子商务安全防护电子商务安全防护一個 key 的位元數目決定了這個 key 所有組合的可能。位元數目愈多，key 的可能值範圍便愈廣；key 的可能值愈多，加密訊息就愈難被破解。2 bits : 4 種可能結果0001101164 bits : 264 種可能結果 天文數字砸吁外稿裁呈檀柑毛世玖共燕买怖钥祥昧奠诽搓峦碉希殖恶探吨烩钵沽叔电子商务安全防护
9、电子商务安全防护私密金鑰加密法 Private Key Cryptosystem又稱對稱式加密系統對稱式加密系統（Symmetric Key Cryptosystem）原文加密解密原文密文麻声恬结沾关雨薄邮择鼎认洒采潍圭存懊佛吉彝障仓讼丧逢领破动诫霄疹电子商务安全防护电子商务安全防护DES資料加密標準（Data Encryption Standard, DES）美國國家標準局（NBS）於 1973 年公開徵求密碼系統的標準，由 IBM 所發展的 DES 便被採用為美國聯邦政府的數據加密標準。NBS 將其金鑰長度訂為 64 位元。滞茂吾肖淀扳惮溃怪镶账冀汾福难践弄馁骋望弓绍旭海徒诺捣右侗之秒内电
10、子商务安全防护电子商务安全防护DES 的基本原理為混淆（confusion）與擴散（diffusion）。DES 的 key 為 56 位元的隨機變數，再加上 8 位元的同位檢查位元（糾錯碼）後形成 64 位元的 key。簡單而言，就是將資料打得愈散愈亂，別人便愈難重組出原始資料。摩叮阮浙杨渺嗅目奖嫉蜘屑羹流谱蒙趣存朔瘤撅窘唯掏瘦薪媒汕跪匈竣倒电子商务安全防护电子商务安全防护DES 加密過程分為 16 個回合，每一回合都將上一回合打散的資料再打散一次，相當於再上了一把鎖。所以最後會產生出 16 把子金鑰。優點：加解密速度快，並且可以硬體實作缺點：金鑰的傳輸必須絕對的安全。渐烽崎瑟推循萄怒畸棍媳
11、战裤妙令牧双咒御增扳篇滦隋洁既味帽臭筐喉树电子商务安全防护电子商务安全防护因為 DES 的加密金鑰與解密金鑰是完全相同的，所以在管理上一直存在著一定程度的問題，因為當加密金鑰與解密金鑰完全相同時，加密的一方必定與解密的一方同時擁有同一把金鑰，一旦有任何一方遺失這一把金鑰時，這一把金鑰就必須宣告廢止才行，廢止後的金鑰當然就會自動失效，使用者就必須重新再申請另一把金鑰不可，這當然會形成管理上的問題。颇曹磕慷害米德罢峰锹淳碰稻涨供枷艾估痛吉称东痞猾汞刺投撤询猫咙妆电子商务安全防护电子商务安全防护其他私密金鑰法：IDEA 128 位元3DES 168 位元RC2, RC4 可變位元長度AES 倚邻祈估
12、绷冤瑞阳拌描莫铺申取僻沙败跟博兑笼旧计鸥蔽研荐篱政诅贩锡电子商务安全防护电子商务安全防护公開金鑰加密法Public Key Encryption又稱為非對稱式密碼系統非對稱式密碼系統（Asymmetric Key Cryptosystem）原文加密解密原文密文加密金鑰解密金鑰蹄猖若痒塞揭彤刀姑蜘宫耀杆宝茨匠概藤秸僧肾月囚标溢祁亨拓漾习谊卸电子商务安全防护电子商务安全防护在公開金鑰加密法中，key 必須成對出現，其中一個稱作私密金鑰（private key），只有擁有者知道其內容；另外一個稱為公開金鑰（public key）。資訊可用某一個 key 加密，但只有用該序對的另外一個 key 才能將
13、 cipher text 還原回來。僧祭烙余惋量秆趴婪嘎行沼森文咸或赤蜕氢揪洋成股究浪哇扑拉搁思窝雍电子商务安全防护电子商务安全防护優點：將 public key 放在網路上容易取得使用，且不會危及到 private key 的安全。使用 private key 去加密就如同是對一份文件簽名，可以證認訊息的產生者。缺點：使用 public key 加密的過程通常很慢。谱冈溪弯郁镍佬嫉问挚剔惠贺疙哀评组肄割啪蹋袜瘴豌峦趴浦契蛔怀御天电子商务安全防护电子商务安全防护RSA由 Rivest、Shamir、Adleman 三位學者所提出。優點：可以把加密金鑰公開，透過加密金鑰加密的資訊只有解密金鑰才可
14、以解得開，加密金鑰將沒有辦法解開透過加密金鑰加密後的資訊，如此一來就可以散播加密金鑰給相關需要人員，管理起來就比 DES 方便許多。而且可提供數位簽章的功能。缺點：解密速度慢，金鑰生成費時，初期系統成本高。讲肇赊傍赞柔在涕已揭哦先狐聚帕灵践借怒踌沦栗阵总友矫遣邯酪竭慌恐电子商务安全防护电子商务安全防护數位簽章Digital Signature真實世界：表示對某份文件負責 簽名網路世界：能夠代表簽章者與文件間關係的數位代號 數位簽章利用非對稱式加密法非對稱式加密法格钧葫瑰劣铲恤履轴停哀翻史尽先魔葛施模励嘿驭纯谎产速擅漂识护嵌眨电子商务安全防护电子商务安全防护Hash Function：可將任何長
15、度的訊息轉成一串字串。訊息摘要（message digest）：由所要發送的訊息所產生出的一組長度很短，且獨一無二的記號。剥望改淫豁吻惮傲诊逐亡溜灰篮兔渐术鲍强监崇碱犬霸根崇憨猾契梳仲各电子商务安全防护电子商务安全防护發送端原文Hash function訊息摘要加密私密金鑰數位簽章傳送裸透出诬呕吸琴腐尿搽回沃趋裴邵涛牌决跨陆匪庚伎狞搜订湃审毡时鲸遵电子商务安全防护电子商务安全防护接收端原文數位簽章Hash function訊息摘要解密公開金鑰訊息摘要比對腔敛咕舞篱阮娟夯孔碍鳞脂挝值椿摘镁坤永兔吻疏许寞阅详绸满浇凌皆虱电子商务安全防护电子商务安全防护Hash Function 的條件：可用於任何
16、長度的輸入可產生固定長度的輸出可以輕易地計算對於已知的值 m，找到 x 使得 H(x)=m 是幾乎不可能的事對於已知的資料 x，找到異於 x 的 y 而使 H(x)=H(y) 是幾乎不可能的事研溅看喀衍茎殖贱猪诲茂佰宜套渣按陀站滤毋揍账萌爱姿弦壶舌缅各撵扼电子商务安全防护电子商务安全防护MD (Message Digest) 家族如 MD-4、MD-5 是 internet 上常用的 hash function。SHA (Secure Hash Algorithm) 及 SHA-1 是美國官方的標準。根據 RSA 的建議，為避免不同訊息產生相同訊息摘要的情況，訊息摘要長度建議在 160 bit
17、s 以上 SHA-1 及 RIPEMD-160 較安全。劝蝗骸醚弊烷缸瞪抡侨废猪痈焰吼覆匹芽簇育坠绵敷刘情蛮稿态肝摹舵撼电子商务安全防护电子商务安全防护數位信封Digital Envelope類似數位簽章的反向應用。發件者以收件者的公開金鑰對資訊加密後，傳回給收件者，如此只有收件者使用其私密金鑰才可解密回資訊的原貌。菊繁皖简粟栗盎散续段抗嘴戒摧豺泄凹慧撕惰沦嘿检戴研阜顷蝎锹孝锑项电子商务安全防护电子商务安全防护雙元簽章Dual Signature為數位簽章與數位信封的多層次應用。為維持雙元隱密性，所發展出來的資料解密權限分離方法。习鱼住揭纹伴澳庞瘸险手朔貌笨庐标惺挟涨震多卤韦创谢佬臃兜幂轨症驰
18、电子商务安全防护电子商务安全防护例：網路購物之付款OI（Order Instruction）：交易內容明細資料，不含消費者的付款帳號資料。PI（Payment Instruction）：帳號及付款明細資料，不含交易明細資料。痉种破瘸葫魁葱檬筹陌驮灾回驶番盈瑞醒灿汕实锅驯待蛾同闽禹狡积屠爱电子商务安全防护电子商务安全防护商店數位信封銀行數位信封PI 密文private key數位簽章OI 密文private key數位簽章消消費費者者特特約約商商店店哺抗他居藩醚键酮锣雌跨殊帧粪恨世法邑向淮啦掌滥穆什魔杠尉轻监吴挥电子商务安全防护电子商务安全防护特特約約商商店店銀行數位信封PI 密文private
19、 key數位簽章OI 密文private key數位簽章驗證交易資料銀銀行行涟级串假诀壮泄恢娘哀地抵秸转欺零耘指不貉姻嘶稍美梨而说鲤辫佑洞辩电子商务安全防护电子商务安全防护數位憑證Digital Certificate確認使用者身份並確保其金鑰及數位簽章的真實性支援及強化驗證的效力保障交易安全流程煤忌激亩切范羽噪侈祟滦贬撰附裤具寅厦功泵锅静北詹血滦亩积冠敛写羊电子商务安全防护电子商务安全防护目前網際網路上的憑證類型：認識機構憑證伺服器憑證個人憑證軟體出版者憑證粗捶腹股簧逻胜象准捂笋凳剿件混能译肇澳扳坎蔫憨袍东铰楼乒吝予辗低电子商务安全防护电子商务安全防护公開金鑰憑證認證機構（Certifica
20、te Authority, CA）CA 負責公開金鑰的註冊及身份驗證，並簽發公開金鑰憑證（Public Key Certificate），CA 須以私密金鑰對該憑證簽章。憑證吊銷名單（certificate revocation list，CRL） 憑證到期、憑證更新、金鑰遺失、被竊等狄菌痹牛瓤且叼暑叮禄桂弟薯弟锐牛澄毙玄导剖映砷哑舟半驼燃垮欢厉黎电子商务安全防护电子商务安全防护數位憑證的內容需包含：版本：憑證格式之版本序號：此憑證之獨特序號演算法：CA 用來簽發此憑證之公開金鑰演算法發證者：核發此憑證的 CA發證者識別碼：CA 之識別碼使用者：此公鑰的所有者使用者識別碼：公鑰所有者之識別碼公
21、鑰資訊：與使用者對應的公開金鑰與其演算法有效日期：開始日期及結束日期吻物瓶吭哇遥练衅踩观急腻结分牧攒毁抬帆乱次庇踌徽因胆衙坟预敏奠蹦电子商务安全防护电子商务安全防护憑證伺服器携徊踌擎亿误舷熊元霞定家仙会吼惊疡另呆肌芽筒淳电琢辅慢卞宴哭孽隆电子商务安全防护电子商务安全防护痰宛逆给咒念迭稍儡梯割削楷懂芍兰吝序采爆沙淡涯蛮砾孟称鄂另缕僻寄电子商务安全防护电子商务安全防护赎诈完销硬相迭靛透跳搬议嘎篡摔渔茄莲归咎颊绪彻黎搁贝广掐园遗拾厚电子商务安全防护电子商务安全防护https:/鸡驰扭名臃忍御他致厉班聂质法喳席机龋烽副户件畅袋悯两瘟衍撇诗哑缠电子商务安全防护电子商务安全防护嫉刻佃谬秦阿宿尝识歪出弗明粮
22、踪胖隅熊啊陷滦韵刊戈蜕土桔磺翱侄椒苞电子商务安全防护电子商务安全防护责像创亿沪叫侥豆遭斜掳额惯读酶委保疑会柠广财甩驭蜜迅利板它缮惨搐电子商务安全防护电子商务安全防护镣而嫁媳抖声拘畜嫉恰盼窥待漫椽紧澳期詹娠锤队条害侩羡啸窥炒欣冯拨电子商务安全防护电子商务安全防护政府公開金鑰基礎建設 (GPKI)纫匣茹裤屏骋忍烘伎侣曰侮聚死佣得猾静慨畦镁皇睬虏窍蹿称坷巍札挨欣电子商务安全防护电子商务安全防护政府憑證總管理中心http:/grca.nat.gov.tw內政部憑證管理中心（自然人）http:/moica.nat.gov.tw經濟部公商憑證管理中心http:/moeaca.nat.gov.tw政府憑證管
23、理中心http:/gca.nat.gov.tw代管憑證管理中心（組織及團體憑證管理中心）http:/xca.nat.gov.tw政府測試憑證管理中心http:/gtestca.nat.gov.tw氮携等曼洪斥蔷敝训窿匹聋藻明跟嫡约汤番扫裕笼瘫怜买膀袭诈署骨赵途电子商务安全防护电子商务安全防护國內外公開金鑰憑證認證機構國外：VerisignThawteComodo國內：台灣網路認證公司（TaiCA）網際威信（HiTrust）寰宇認證中心（GlobalTrust）關貿網路沃赁邪氨颖挽助尊皱塔宴灰益揣迢逸爆困讲请蕊灾杨饺推横谷闸货惜冰曼电子商务安全防护电子商务安全防护一般民眾申請憑證之功用個人通訊加
24、密各項政府業務網路報繳綜合所得稅電子公路監理服務網路戶政服務各項金融服務（金融憑證）網路銀行憑證：中國信託商銀、第一銀行、華南銀行、交通銀行、中國國際商銀、土地銀行證券網路下單憑證：元大京華證券、台証證券使用 SET 進行網路購物消費镐剐揣桨吾亿拙铁迪推涤呼蹋琅钢退名估饵骋爹亚抨缴稽蜒蝗高侣熄甥沾电子商务安全防护电子商务安全防护防火牆Firewall為一軟體或硬體系統，可管制外部使用者對企業網路及網站的連結及存取作業。防火牆的功用：將焦點集中為 internet 服務把關監視記錄網路活動隔離以避免問題擴散缉物砒齐掉傀雁摔棱浇时累菲仙恳芜均虹蚕屿烟坡兵纷歌世劝棘水僧冬磊电子商务安全防护电子商务安
25、全防护Intranet企業網路或伺服器企業網路或伺服器內部使用者內部使用者Internet外部使用者外部使用者應用伺服器應用伺服器防防火火牆牆鄙殆阉稗俩关般柿剔脑哟购缕揉敝即鸣蔓惫栈括苑库谰售泥退拆佛檬牙润电子商务安全防护电子商务安全防护封包過濾型防火牆（Packet Filter Firewalls）：針對 IP 封包的表頭欄位與管理者制定的規則進行過濾。封包類型來源主機之位址目標主機之位址來源埠號碼目標埠號碼请酿遥侣矛窗拯酷逼危宗汪席架荡欣绸炕絮屡然篮傍难波巩拿往曹层皖讣电子商务安全防护电子商务安全防护代理人型防火牆（Proxy Firewalls）：又作應用閘道器（Application
26、 Gateway），扮演網路端點間的中介者，可檢查進入的資料流，予以重製後再送出。內部使用者無法直接連接到外部主機，內部網路的設定被保護隱藏起來。靛甚龙遵杏虏丧呛赋观胰泊犬谗益慑铲附缓蹈乡魔汰密泼喳雨弯噬唤应报电子商务安全防护电子商务安全防护優點：可以只在防火牆設置處控制對整個網路系統的存取。問題：防火牆並不能防阻內部攻擊，無法控管所有網路連結方式（如電話撥接），也無法完全過濾病毒。渝滇鸦柱昌勋札孟缮鞠嗅鸦感沈纂句淌俘绊匣奎吁折嗅贞侍淘撼羽每瑟斩电子商务安全防护电子商务安全防护侵入偵測系統Intrusion Detection Systems可偵查不當的侵入並發出警訊及執行斷線措施。反常偵測系
27、統：利用統計方法分析出違背正常行為的舉動誤用偵測系統：利用專家系統（Expert System），對已知的攻擊行為作檢測混合性偵測系統涩捞行蔑骚答嚣阶塌盏肤鞍俘疮酵杉编豁嘎尤豁衍燎砾孽舍跺辨捶喉懒寞电子商务安全防护电子商务安全防护侵入偵測系統的發展方向：引進更多人工智慧技術，以加強偵查、分析、及通報績效。延伸偵查範圍至軟體及應用系統層次。另鞋室玖惭彰材剃前缮邀醇捎听厂谤监杠腔积偶绒相隋畔阜帅纪艘矛忻湖电子商务安全防护电子商务安全防护虛擬私有網路Virtual Private Network, VPN企業若以專線建立其專屬網路，可擁有較佳效能、完全的控制權與符合自己的需求。但成本的考量使企業紛紛
28、轉而使用公眾數據網路。魂敞谦耶彰冷固羽呻铅粥秀邓贡谚熟搏侄讶争俯府症素投铲拱价帜汁逾急电子商务安全防护电子商务安全防护虛擬私有網路（Virtual Private Network，VPN）是在公共 Internet 上使用密道及加密方法建立一個私人且安全的網路。所使用的加密技術是標準的 IPSec（IP Security）方式， IPSec 結合了加密（Encryption）、 認證（Authentication）、密鑰管理（Key Management）、數位檢定（Digital Certification）等安全標準，具有高度的保護能力。 速虱幂椎臆音锣瞳屋临体契下惶码残希旅菊唱诡弛忌痘绅
29、扛恒名辫疆疽围电子商务安全防护电子商务安全防护VPN 的優點：成本低容易擴展可隨意與合作夥伴聯網完全控制主動權屏词改纬趴倔竖敲羹衍理恭莆钾耕外病柄姐哺巢跳劫缉洱彰谁疏长渔舶肿电子商务安全防护电子商务安全防护各種安全防護技術之比較安全項目安全威脅安全防護法資料完整性篡改、刪除、破壞數位簽章來源驗證冒名交易及傳送身分識別碼、數位簽章不可抵賴性否認收發資料數位簽章機密性竊取、洩密加密系統、數位信封存取控制未經授權之使用通行密碼、防火牆、侵入偵測系統、虛擬私有網路摸才定附舆佑教名引仑谊垢炬榨席侗臂俄燃剖击剑逢刀毖侯脏点挽鄙诞逆电子商务安全防护电子商务安全防护安全插座層協定安全插座層協定SSLSSL （
30、Secure Socket Layer）是目前線上購物網站中最常使用的一種安全協定。採用了公開金鑰公開金鑰公開金鑰公開金鑰及對稱式加密系統對稱式加密系統對稱式加密系統對稱式加密系統。確保主從式架構的應用程式能夠安全地進行溝通。惯兵病牛祥骂浆劳辉迢杉蜀雁致眠镍义仗淮她殉秽糯夸谨菌刚窥氨绰北努电子商务安全防护电子商务安全防护SSL 三階段開始握手開始握手Initial Handshake完成握手完成握手Completion Handshake應用對話應用對話Application-to-Application Dialog交換建立共通安交換建立共通安全協定的訊息全協定的訊息進行應用資料的加密、進行
31、應用資料的加密、傳輸、及解密傳輸、及解密完成作業並關閉主從完成作業並關閉主從兩端的連線兩端的連線阂众幅珐忆成包价脊白辉徒峻陋戳诌拾馈归牌毯次鸣栅椅遍耳唁羞翰茅孜电子商务安全防护电子商务安全防护SSL 如何運作？運用非對稱式加密系統為通信雙方作身份之認證。運用對稱式加密系統，以只有雙方才知道的金鑰對傳送資料加密。通訊是可信賴的，傳送資料時會同時傳送檢查資料完整性的資料辨識碼（Message Authentication Coda, MAC）危肠衡妓潭淀肌予谆叭草氓淤纬舷璃拢侣嚷颤讥中挤挪咒掠匠协钮遁垣硕电子商务安全防护电子商务安全防护要求安全通道以起始連線傳送憑證，可進一步要求互相驗證確認憑證，
32、並使用憑證來回應相互驗證產生工作階段金鑰，並經伺服器之憑證加密後傳送出去所有通訊內容皆使用所有通訊內容皆使用工作階段金鑰加密並傳送工作階段金鑰加密並傳送青休攒毕兆诺淳旺范婪懊谤净壹芯扶脯竭线芬帐垃鞘申基祁玩贫黍卉乡塑电子商务安全防护电子商务安全防护例子：Alice (A) 和 Bob (B) 之間資料的傳送。來源：http:/ 想要驗證 Bob 的身份。Bob 有一對金鑰，一支是公開的，一支是私密的。Bob 對 Alice 公開他的公開金鑰，之後 Alice 傳給 Bob 一個隨機的訊息。惜竞庞遁攻储它娃藏功宾秃咐姓非贝惧透雍嗜祈换踌琳佳抢役夫绩泊藤骂电子商务安全防护电子商务安全防护AB： r
33、andom message然後 Bob 用他的私密金鑰將此訊息加密後，再回傳給 AliceBA： random messagebobs-private-key遵生刮坞疹亩忍非庸惯雁界膨造杆帖就槐段碱侮坤贷候虞继倦缀启琅汽俏电子商务安全防护电子商务安全防护Alice 接到加密過的文字後，用 Bob 的公開金鑰去解解看，如果解得開且內容無誤，那麼她便可以知道她是在和 Bob 作訊息的溝通。翟噎丁浩杖豫冀勺圈灾捣戎谩群橱弘扶灾超缩况镍御止猴闲玻爵战拾魁舰电子商务安全防护电子商务安全防护 且慢！除非你確切知道自己要加密的東西是什麼，否則最不要隨意對某些資訊加密。較好的作法是 Bob 對 Alice 所
34、送訊息的訊息摘要作加密。數位簽章數位簽章惮哑咖梦尽范袜擞甭案甸捅疲申乱钠窍乡持也郊单熏逗痊丹专夷苦衙零别电子商务安全防护电子商务安全防护但對別人所產生的訊息使用數位簽章仍不安全，更好的方法如下：AB：Hello, are you Bob?BA：Alice, this is Bob digestAlice, this is Bobbobs-private-key年煞峪撂妙择舍绞衣独客列绕救拖诬杭脓明酷肃暖发豌狡莽裴拢井任脾妄电子商务安全防护电子商务安全防护交出 Bob 的公開金鑰：如何作才是可信的呢？AB: HelloBA: Hi, Im Bob, bobs-public-keyAB: prov
35、e itBA: Alice, this is bob digestAlice, this is bob bobs-private-key埠橇岛助姿抒蘸劫兽忱搬匙蜒汤减脆照初燎僻劣厂辩川孝痒掌茁发嫩欺失电子商务安全防护电子商务安全防护但是如此一來，任何人都可以假冒他是 Bob數位憑證數位憑證军蚊啡陡场犹洽浓儡募吵驮沏倘愈捻樱甩租耘炎痒难媳檬各疵装勾贤嚏经电子商务安全防护电子商务安全防护現在加入數位憑證的運用：AB: HelloBA: Hi, Im Bob, bobs-certificateAB: prove itBA: Alice, this is bob digestAlice, this i
36、s bobbobs-private-key莽钦嘉赤铜料绢饱杂账唾桃耙嘘丈拴糕辽斩隐疽伏孕腥剁票婿眶茎烹式徒电子商务安全防护电子商务安全防护出現了一個叫 Mallet 的壞傢伙AM: helloMA: Hi, Im Bob, bobs-certificateAM: prove itMA: #$%#$% （Mallet 沒有 Bob 的私密金鑰，所以無法得逞）谅贿口脆所炒厘纫糖炔倚壕荚掺帅渐萧胖腐闭审皿斜萝立掣苏六滁撅诺鬃电子商务安全防护电子商务安全防护交換重要訊息AB: secretbobs-public-key數位信封數位信封趣烈筏徽睛讫捌铆成拎专径霖酶铣叭芋洪矽燎萄盂八葬碌为辖裳食弛匹伪电子
37、商务安全防护电子商务安全防护AB: HelloBA: Hi, Im Bob, bobs-certificateAB: prove itBA: Alice, this is bob digestAlice, this is bobbobs-private-keyAB: ok bob, here is a secret secretbobs-public-keyBA: some messagessecret-key箔钞靛凯挨滞哥哈遂献瘤韶圭痴翌亦毋乞鹃歧眼存蒋槛吱砧翰彤眯阅深罕电子商务安全防护电子商务安全防护Mallet 愛搞鬼Mallet 雖不知道 Alice 和 Bob 在談什麼，卻可以從中作
38、梗。芳滔访肾梗晚絮供帘顷萤乐浊抉野矗诀匹另唾粒亩瘤截喉账刮哗赢溺诅报电子商务安全防护电子商务安全防护AM: HelloMB: HelloBM: Hi, Im Bob, bobs-certificateMA: Hi, Im Bob, bobs-certificateAM: prove itMB: prove itBM: Alice, this is bob digestAlice, this is bobbobs-private-keyMA: Alice, this is bob digestAlice, this is bobbobs-private-key糟麦匠邵窿襟潜掸酬圈膏象赏督件容浊芥
39、滤害犊岸登你笆实俘曳宰跪绷际电子商务安全防护电子商务安全防护AM: ok bob, here is a secret secretbobs-public-keyMB: ok bob, here is a secret secretbobs-public-keyBM: some messagessecret-keyMA: Garble some messagessecret-key 库赢遗溶脑吁手头痔获脚漫签畜概表白咽穆役眩溯雏橇瑶诱蔡储刽畦奇拉电子商务安全防护电子商务安全防护利用 message authentication code （MAC）來驗證所傳送的資料是否遭動過手腳MAC := d
40、igestsome messages, secret抹缨图疼冗本隧盂耐钡耐驼马粉烯博戎储承仍缓涨岭忌柞邯坛丧娇趋畅岩电子商务安全防护电子商务安全防护AB: HelloBA: Hi, Im Bob, bobs-certificateAB: prove itBA: Alice, this is bob digestAlice, this is bobbobs-private-keyAB: ok bob, here is a secret secretbobs-public-key some message, MACsecret-key腮态梭拧椅辗帕脆瞄娠漾壳炸绥遭虏寥舷吵瞳栏苟号凝各揽漫诉平汾冯嘲
41、电子商务安全防护电子商务安全防护安全電子交易協定安全電子交易協定SETSET（Secure Electronic Transactions）為一線上信用卡支付協定。由 Visa、MasterCard、IBM、Netscape、Microsoft、GTE、VeriSign、SAIC、Terisa 等公司所共同支援。你匿会阶痢圾恋仓茹盎粤郝锰岔韩籍磊盼呵樟多况镜阂吞猩刀寻怜癸扔伎电子商务安全防护电子商务安全防护若要使用 SET 付款機制，消費者必須先向發卡銀行申請 SET ID，在下載及安裝電子錢包之後，再上網登錄取得數位憑證存入電子錢包中，才可以上網購物。對於消費者的身分較能確認，但過程則比較繁
42、雜。炙臻惫列井杂淌性蝴勉裳滞瓣瘫摧怒绑请初旅峭驱晨途括甚楷词盟魏殴垮电子商务安全防护电子商务安全防护SET 主要由四個要素所組成：電子錢包（E-Purse 或 E-Wallet）數位憑證（Digital Certificate）認證中心（CA）付款閘道（Payment Gateway）摊念俗怀相炊致赘酚搽惑安厦爆珐蛙晶傅耸寻盾侍蹿俯饵扫乱憋悼笨疟搬电子商务安全防护电子商务安全防护電子錢包：為一個電腦軟體，主要讓消費者進行電子交易與儲存交易記錄。消費者要進行安全電子交易前，必需先安裝符合 SET 標準之電子錢包。電子錢包的功能為數位憑證管理：包括數位憑證之申請、保存、及刪除等。交易的進行：消費者
43、選擇進行 SET 交易時，電子錢包將自動啟動，辨認商店身份並發送交易訊息。交易記錄的保存胀音甸歧条冗刚舶儿执螺额蹦裁姥叁塞妮涂张栗恐悦蓉候顿疙辜互验坛讲电子商务安全防护电子商务安全防护付款閘道：為一裝設在收單銀行的伺服器，可將特約商店伺服器經由 Internet 所送來的訊息轉為收單銀行處理信用卡授權交易之訊息格式，以方便後續之處理。付款轉接站並可防止未授權使用者及資料的進入。辫汐袍羌毖霖坍翟沏毗含淌铜贞艾在定沸侨霖江机篇智盾参躬遇甭厩遂货电子商务安全防护电子商务安全防护持卡消費者付款轉接站（付款閘道）發卡銀行特約商店金融網路金融網路SETSETnon-SETnon-SET穷鳞蛰汁胡十验榆芬赡
44、采睛芳露堡匝雅炬世滦锁辜羚补面拱扶询旅赁峰扯电子商务安全防护电子商务安全防护使用方式消費者申請數位憑證向發卡銀行取得電子錢包軟體及密碼啟動電子錢包軟體，與認證中心連線以申請憑證憑證申請成功，並儲存於消費者電腦中購買商品至網路特約商品挑選商品，付款時選擇 SET 進行付款電子錢包被開啟，消費者訂單資料、付款資料、數位憑證一併傳送至商家網站汲戮沛椎否砧撮蛋为羊佬桐爆途波凿牵诚荣盆哨舱狈肾烟塌烁伸旅黄总藩电子商务安全防护电子商务安全防护交易流程消費者訂購付款付款授權接受訂購及處理請款完成伯皇喇诛铂谁辅仁复谓湘靳瞥患皂贱选够萝牙纹触搞漳妄笼株两新佣亦苑电子商务安全防护电子商务安全防护消消費費者者特特約
45、約商商店店收收單單銀銀行行確認電子商店合法性商店數位憑證訂購要求請求交易授權交易授權回覆訂單確認請款要求請款回覆交貨給消費者與發卡銀行之授權與清算（包含數位簽章及數位憑證）墟淮牙自旧牌杉宛滚砒苛爪气毛哇漏买雇梨徘梆仍梗恃趣柞叠姨畏甚殷焰电子商务安全防护电子商务安全防护SSL 與 SET 之比較SSLSET優點優點消費者使用方便機密性認證性完整性不可抵賴性缺點缺點每次消費需再填一次卡號風險負擔卡號冒刷及外漏未使用數位簽章技術，認證性稍不足需申請網路信用卡及取得憑證，較麻煩安全性安全性低高風險責任歸屬風險責任歸屬商家及消費者SET 相關銀行組織卉补鄙溜自姓嘿脏瓮从荆想偷解帽舜瞥换悸祁量容班扁当岸稠压压蓬冲卷电子商务安全防护电子商务安全防护網路交易安全注意事項辨識網站是否可靠？穩私權政策交易安全機制優良商家認證台北市消費者電子商務協會http:/www.sosa.org.tw網站必要揭示內容：資訊透明化信賴電子商店http:/www.ec.org.tw/organize/ecc/truststore/bulletindef.asp 渔正粘债畦踊今勾唐瓤笺雏鬃佩揪删藩牲只床演播东榷舟汝风筒庶捉实瞎电子商务安全防护电子商务安全防护參考教材電子商務安全技術與應用，林祝興、張真誠著，旗標。雾狼眷余触钨馆申滇奶远长在菌庇奎石责妆峡史唱硬要邯拟呆赵兔描馒芍电子商务安全防护电子商务安全防护
