汽车电子商务安全体系

《汽车电子商务安全体系》由会员分享，可在线阅读，更多相关《汽车电子商务安全体系（66页珍藏版）》请在金锄头文库上搜索。

1、第八章第八章汽车电子商务安全体系汽车电子商务安全体系汽车电子商务安全体系汽车电子商务安全体系第一节第一节 电子商务系统安全概述电子商务系统安全概述第二节第二节 汽车电子商务的安全技术分类汽车电子商务的安全技术分类第三节第三节 电子商务的安全协议电子商务的安全协议第四节第四节 汽车企业电子商务安全现状汽车企业电子商务安全现状 据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。电子商务的

2、最大顾虑是网上交易的安全问题。 美国每年因电子商务安全问题所造成的经济损失达75亿美元，企业的电脑安全受到侵犯的比例从1997年的49%升到1999年的54%。1997年美国出现了两次大的企业网站瘫痪事件，美国中情局的服务器在1999年也受到过黑客的攻击。著名的美国联机公司因人为操作和技术上的失误，使其计算机系统的600万用户陷入瘫痪10小时。另一家大公司网络联机通信服务公司的主干网出现重大故障，40万用户被迫中断联络40小时。在中国，从 1993年中科院高能物理所与互联网联网，首开国内使用互联网先河之日起，黑客在中国的活动就没有停止过。仅就中科院网络中心而言，在1993年至1998年期间，多

3、次遭到中外“黑客”的入侵，造成不同程度的影响。1997年以前，我国已发现的许多计算机犯罪案件主要集中在金融领域，损失金额小的有数千元，大的已超过数百万元。在1997年以后，黑客入侵活动日益猖獗，逐步转向电子商务领域，国内各大网络几乎都不同程度地遭到黑客的攻击。1997年7月，上海某证券系统被黑客人侵。同期西安某银行系统被黑客入侵后，提走80.6万元现金。1997年9月，扬州某银行被黑客攻击，利用虚存帐号提走26万元现金。1999年4月26日的CIH病毒的爆发，使我国4万多台电脑不能正常运行，大多数电脑的硬盘数据被毁，国内很多企业的数据都或多或少地被破坏。中国民航的20多台电脑曾被感染，其中在1

4、999年下半年的航班时刻表的数据被毁，使工作人员4个多月的辛苦付之东流。可见网络黑客穷凶极恶、利欲熏心，为了达到他们的丑恶目的，真是不择手段。电子商务系统安全包括：硬件安全、软件安全、网络安全、人员管理硬件安全、软件安全、网络安全、人员管理安全安全电子商务安全控制要求：有效性、保密性、完整性、交易者身份的确有效性、保密性、完整性、交易者身份的确定性、不可否认性、不可修改性定性、不可否认性、不可修改性20112011年上半年网络安全状况年上半年网络安全状况2.172.17亿亿亿亿1.211.21亿亿亿亿38803880万万万万-CNNIC第一节第一节 电子商务的安全概述电子商务的安全概述常见的电

5、子商务的安全隐患（安全问题）常见的电子商务的安全隐患（安全问题）常见的电子商务的安全隐患（安全问题）常见的电子商务的安全隐患（安全问题） 问题问题问题问题数据被非法截获、读取或者数据被非法截获、读取或者数据被非法截获、读取或者数据被非法截获、读取或者修改修改修改修改 冒名顶替和否认行为冒名顶替和否认行为冒名顶替和否认行为冒名顶替和否认行为 一个网络的用户未经授权一个网络的用户未经授权一个网络的用户未经授权一个网络的用户未经授权访问了另一个网络访问了另一个网络访问了另一个网络访问了另一个网络 计算机病毒计算机病毒计算机病毒计算机病毒 措施措施措施措施数据加数据加数据加数据加密密密密 数字签名、加

6、密、数字签名、加密、数字签名、加密、数字签名、加密、认证等认证等认证等认证等 防火墙防火墙防火墙防火墙计算机病毒防计算机病毒防计算机病毒防计算机病毒防治措施治措施治措施治措施 安全威胁安全威胁1.利用利用Internet的开放性非法入侵，造成商务的开放性非法入侵，造成商务信息被篡改、盗窃或丢失；信息被篡改、盗窃或丢失；（入侵计算机系统）（入侵计算机系统）2.利用利用TCP/IP的透明性获悉商业机密，甚至的透明性获悉商业机密，甚至恶意窃取、篡改和破坏；恶意窃取、篡改和破坏； （传输过程中获悉）（传输过程中获悉）3.利用操作系统漏洞植入病毒或黑客程序，利用操作系统漏洞植入病毒或黑客程序，破坏用户计

7、算机系统。破坏用户计算机系统。4.利用电子化信息难以识别和鉴定使用虚假利用电子化信息难以识别和鉴定使用虚假身份进行交易。签定虚假订单、合同进行身份进行交易。签定虚假订单、合同进行诈骗；交易后抵赖等。诈骗；交易后抵赖等。5.由于计算机系统故障对交易过程和商业信由于计算机系统故障对交易过程和商业信息安全所造成的破坏。息安全所造成的破坏。（系统可靠性问题）（系统可靠性问题） 危害电子商务系统安全的主要因素1、网络硬件的不安全因素通信监视非法终端注入非法信息线路干扰运行中断服务干扰病毒入侵2、网络软件的不安全因素操作系统网络协议网络软件3、工作人员的不安全因素保密观念不强/业务不熟练/规章制度不健全/

8、非法访问/越权访问/利用硬件故障或软件错误非法访问/窃取系统或用户信息4、交易信用的风险因素来自买方的信用风险来自卖方的信用买卖双方都存在抵赖的情况5、计算机病毒和黑客攻击6、法律方面的风险因素7、环境的不安全因素1 1信息的保密性信息的保密性2 2信息的完整性信息的完整性3 3信息的不可抵赖性信息的不可抵赖性4 4交易者身份的真实性交易者身份的真实性5 5系统的可靠性系统的可靠性6 6内部网的严密性内部网的严密性电子商务的安全性需电子商务的安全性需求求u安全管理安全管理u安全技术安全技术电子商务的安全性保障电子商务的安全性保障第二节第二节 电子商务安全技术的分类电子商务安全技术的分类电子商务

9、的安全技术电子商务的安全技术1 1防火墙技术防火墙技术2 2加密技术加密技术3 3信息摘要信息摘要4 4数字签名数字签名5 5数字时间戳数字时间戳6 6数字证书与数字证书与CACA认证认证1 1内部网的严密性内部网的严密性2 2信息的保密性信息的保密性3 3信息的完整性信息的完整性4 4信息的不可抵赖性信息的不可抵赖性5 5交易者身份的真实交易者身份的真实性性6 6系统的可靠性系统的可靠性1 防火墙技术v 防火墙是指一个由软件和硬件设备组合而成，在防火墙是指一个由软件和硬件设备组合而成，在IntranetIntranet和和InternetInternet之间构筑的一道屏障（如图所示），用于加

10、强内部之间构筑的一道屏障（如图所示），用于加强内部网络和公共网络之间安全防范的系统。网络和公共网络之间安全防范的系统。防火墙的基本概念防火墙的基本概念 防火墙的构成防火墙的构成 防火墙主要包括安全操作系统、过滤器、网关、域名服防火墙主要包括安全操作系统、过滤器、网关、域名服务和务和E-MailE-Mail处理处理5 5部分部分 过滤器执行由防火墙管理机构制订的过滤器执行由防火墙管理机构制订的组规则，组规则，检验各数据组决定是否允许放行。这些规则按检验各数据组决定是否允许放行。这些规则按IPIP地址、端口号码和各类应用等参数确定。地址、端口号码和各类应用等参数确定。 防火墙的主要功能防火墙的主要

11、功能 (1)(1)保护那些易受攻击的服务。（数据库服务、支付保护那些易受攻击的服务。（数据库服务、支付服务等）服务等）(2)(2)控制对特殊站点的访问（军事控制对特殊站点的访问（军事/ /公安公安/ /政府政府/ /银行银行/ /游戏游戏/ /黄色黄色/ /反动）反动）(3)(3)集中化的安全管理。集中化的安全管理。 (4)(4)对网络访问进行记录和统计。对网络访问进行记录和统计。 所谓加密技术，就是采用所谓加密技术，就是采用数学方法数学方法对原始对原始信息信息( (通常称为通常称为“明文明文”) )进行再组织，使得加进行再组织，使得加密后在网络上公开传输的内容对于非法接收者密后在网络上公开传

12、输的内容对于非法接收者来说成为来说成为无意义无意义的文字的文字( (加密后的信息通常称为加密后的信息通常称为“密文密文”) )。而对于合法的接收者，因为其掌握。而对于合法的接收者，因为其掌握正确的正确的密钥密钥，可以通过解密过程得到原始数据，可以通过解密过程得到原始数据( (即即“明文明文”) )。 2 2 加密技术加密技术加密技术的基本概念加密技术的基本概念 E-EncryptE-Encrypt，加密，加密D-DecryptD-Decrypt，解，解密密K-KeyK-Key，密钥，密钥C-CryptographC-Cryptograph，密文，密文明文明文不安全信道不安全信道加密算法加密算法

13、E E解密算法解密算法D D加密密钥加密密钥KEKE窃听、入侵窃听、入侵解密密钥解密密钥KDKD明文明文数据加密的一般模型数据加密的一般模型密文密文C C 加加密密和和解解密密必必须须依依赖赖两两个个要要素素：就就是是算算法法和和密钥密钥。算法是加密和解密的计算方法；算法是加密和解密的计算方法；密钥是加密和加密所需的密钥是加密和加密所需的一串数字一串数字。例如：采用移位加密算法，使移动3位后的英文字母表示原来的英文字母，对应关系如下：例：例：KRZ GR BRX GR HOW DO YOU DO KEY密钥密钥按加密解密是否使用相同密钥划分按加密解密是否使用相同密钥划分对称加密技术对称加密技术

14、非对称加密技术非对称加密技术加密技术的种类加密技术的种类加加密密和和解解密密使使用用相相同同的的密密钥钥。发发送送者者和和接接收收者者拥拥有有相相同同的密钥。的密钥。该技术最具有代表性的算法是该技术最具有代表性的算法是IBMIBM公司提出的公司提出的DESDES算法算法(Data Encryption Standard(Data Encryption Standard数据加密标准数据加密标准) ) ，是目前广泛采用，是目前广泛采用的对称加密方式之一。的对称加密方式之一。它的基本思想是将二进制序列的明文分成每它的基本思想是将二进制序列的明文分成每6464位一组，位一组，用长为用长为6464位的密

15、钥对这些明文进行位的密钥对这些明文进行1616轮代换和置换加密。轮代换和置换加密。最后形成密文。最后形成密文。目前主要使用目前主要使用128bits128bits密钥。密钥。优优点点：实实现现容容易易，使使用用方方便便，加加密密、解解密密速速度度快快，可可以以用硬件实现。用硬件实现。（1）对称加密技术）对称加密技术 存在的问题：存在的问题：1 1）在在首首次次通通信信前前，双双方方必必须须通通过过除除网网络络以以外外的的另另外途径传递统一的密钥。外途径传递统一的密钥。2 2）当通信对象增多时，需要相应数量的密钥。）当通信对象增多时，需要相应数量的密钥。n(n-1)/2n(n-1)/23 3）对

16、称加密是建立在共同保守秘密的基础之上的，）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管造成密钥的失效，存在着潜在的危险和复杂的管理难度。理难度。（2）非对称加密技术）非对称加密技术 非非对对称称加加密密技技术术中中，加加密密和和解解密密使使用用不不同同的的密密钥钥，一一把把称称公公钥钥，另另一一把把称称私私钥钥。各各贸贸易易方方每每人人都都拥拥有有一一对对这这样样的的密密钥钥。两两把把密密钥钥实实际际上上是是两两个个数字串数字串。 非对称加密领域内最为著名的算法是非对称加

17、密领域内最为著名的算法是RSA(RivestRSA(Rivest，ShanirShanir，Adleman)Adleman)算法算法, ,建立在数论建立在数论中大数分解和素数检测的理论基础上。两个大素中大数分解和素数检测的理论基础上。两个大素数相乘在计算上是容易实现的，但将该乘数分解数相乘在计算上是容易实现的，但将该乘数分解为两个大素数因子的计算量很大，大到甚至计算为两个大素数因子的计算量很大，大到甚至计算机上也不可能实现。机上也不可能实现。两个很大的两个很大的素数素数即为密钥，用其中的一个素即为密钥，用其中的一个素数与明文相乘，可以加密得到密文；用另一个质数与明文相乘，可以加密得到密文；用另

18、一个质数与密文相乘可以解密。用于加密的数为数与密文相乘可以解密。用于加密的数为公钥公钥，用于解密的数为用于解密的数为私钥私钥。私钥绝对私有，公钥可以私钥绝对私有，公钥可以公开。公开。公私钥对必须成对使公私钥对必须成对使用。用。公私钥对使用原公私钥对使用原则：则：A（发送方）B（接收方）A私钥B私钥A公钥B公钥A私钥A A公钥公钥B B公钥公钥A A私钥私钥B B私私钥钥例例B B公钥公钥密钥对的不同使用方法，用途不同密钥对的不同使用方法，用途不同3 信息摘要 信息摘要信息摘要指从原文中通过指从原文中通过HashHash算法（一种单向的加密算算法（一种单向的加密算法）而得到的一个固定长度（法）而

19、得到的一个固定长度（128128位）的散列值，不同位）的散列值，不同的原文所产生的信息摘要必不相同，相同原文产生的信的原文所产生的信息摘要必不相同，相同原文产生的信息摘要必定相同。用信息摘要技术来保证信息的息摘要必定相同。用信息摘要技术来保证信息的完整性完整性。信息摘要过程信息摘要过程4 数字签名 数字签名过程数字签名过程 数字签名数字签名(Digital Signature)(Digital Signature)：即是只有信息发送即是只有信息发送者才能产生的、别人无法伪造的一段数字串。这段数者才能产生的、别人无法伪造的一段数字串。这段数字串同时也是对发送者发送的信息的真实性的一个证字串同时也

20、是对发送者发送的信息的真实性的一个证明。明。 （完整性，认证性）（完整性，认证性）5 数字时间戳 获得数字时间戳的过程获得数字时间戳的过程数字时间戳数字时间戳(Digital Time Stamp-DTS)(Digital Time Stamp-DTS)：文件签署文件签署日期与签名一样都是防止合同文件等被伪造和篡改日期与签名一样都是防止合同文件等被伪造和篡改的关键性标记，在电子商务中，数字时间戳是一个的关键性标记，在电子商务中，数字时间戳是一个经加密后形成的凭证文档。包括需盖戳的文件摘要，经加密后形成的凭证文档。包括需盖戳的文件摘要，DTSDTS机构收到文件的时间以及机构收到文件的时间以及DT

21、SDTS机构的数字签名三机构的数字签名三项内容。项内容。 6 数字证书与CA认证数字数字证书基本概念基本概念（Digital ID）v是标志网络用户身份信息的一系列数据，用来在网络应用中是标志网络用户身份信息的一系列数据，用来在网络应用中识别通信各方的身份。数字证书由第三方权威机构签发，可识别通信各方的身份。数字证书由第三方权威机构签发，可以实现网络上传输的信息的加密和解密、数字签名和签名验以实现网络上传输的信息的加密和解密、数字签名和签名验证，确保传递信息的机密性、完整性、不可否认性、交易实证，确保传递信息的机密性、完整性、不可否认性、交易实体的真实性。体的真实性。 v数字证书采用数字证书采

22、用公私钥密码体制公私钥密码体制，每个用户拥有一把仅为本，每个用户拥有一把仅为本人所掌握的人所掌握的私钥私钥，用它进行信息解密和数字签名；同时拥有，用它进行信息解密和数字签名；同时拥有一把一把公钥公钥，并可以对外公开，用于信息加密和签名验证。，并可以对外公开，用于信息加密和签名验证。v数字证书可用于：发送安全电子邮件、访问安全站点、网上数字证书可用于：发送安全电子邮件、访问安全站点、网上签约和网上银行等安全电子事务处理和安全电子交易活动。签约和网上银行等安全电子事务处理和安全电子交易活动。 数字数字证书的内容的内容证书拥有者的姓名；证书拥有者的姓名；证书拥有者的公钥；证书拥有者的公钥；公钥的有限

23、期；公钥的有限期；颁发数字证书的单位；颁发数字证书的单位；颁发数字证书单位的数字签名；颁发数字证书单位的数字签名；数字证书的序列号等。数字证书的序列号等。 查看证书内容（查看证书内容（1） 查看证书内容（查看证书内容（2） 查看证书内容查看证书内容（3）（1）个人数字证书）个人数字证书个人安全电子邮件证书、个人身份证书个人安全电子邮件证书、个人身份证书（2）企业证书）企业证书企业（客户端）数字证书、企业（服务器）企业（客户端）数字证书、企业（服务器）数字证书数字证书（3）软件数字证书）软件数字证书数字数字证书的种的种类CA认证中心（中心（Certificate Authority）（1）认证中

24、心的功能：）认证中心的功能：核发证书、管理证书、搜索证书、验证证书核发证书、管理证书、搜索证书、验证证书（2）CA的树形验证结构的树形验证结构(如图所示）如图所示）数字数字证书的的颁发机构机构 CA的树形结构的树形结构A：Root CAB：CAC：Digital ID证书的树形验证结构证书的树形验证结构（3）国内外）国内外CA中心简介中心简介国外常见的国外常见的CA有有VeriSign 、GTE Cyber Trust、Thawte等。等。国内常见的国内常见的CA有有 l l中国数字认证网中国数字认证网（），数字认证，），数字认证，数字签名，数字签名，CA认证，认证，CA证书，数字证书，安全证

25、书，数字证书，安全电子商务。电子商务。l l北北京京数数字字证证书书认认证证中中心心 （），为为网网上上电电子子政政务务和和电电子子商商务务活活动动提提供供数数字字证证书书服服务。务。 l l安徽数字证书认证中心安徽数字证书认证中心 http:/ 1 1 1、工商年检一路通（年检通）、工商年检一路通（年检通）、工商年检一路通（年检通）、工商年检一路通（年检通）答：申领电子签名认证证书需携带相关证件答：申领电子签名认证证书需携带相关证件答：申领电子签名认证证书需携带相关证件答：申领电子签名认证证书需携带相关证件u个人用户个人用户个人用户个人用户需携带身份证需携带身份证需携带身份证需携带身份证/

26、/ / /军官证军官证军官证军官证/ / / /士兵证士兵证士兵证士兵证/ / / /护照；护照；护照；护照；u企业用户企业用户企业用户企业用户需携带工商营业执照、机构代码证及需携带工商营业执照、机构代码证及需携带工商营业执照、机构代码证及需携带工商营业执照、机构代码证及法人代表身份证复印件法人代表身份证复印件法人代表身份证复印件法人代表身份证复印件到浙江省数字认证中心授权指定的受理点办理。到浙江省数字认证中心授权指定的受理点办理。到浙江省数字认证中心授权指定的受理点办理。到浙江省数字认证中心授权指定的受理点办理。目前我省企业用户可在各级工商行政管理部门办目前我省企业用户可在各级工商行政管理部

27、门办目前我省企业用户可在各级工商行政管理部门办目前我省企业用户可在各级工商行政管理部门办理证书申请业务。理证书申请业务。理证书申请业务。理证书申请业务。怎样申领电子签名认证证书怎样申领电子签名认证证书( (数字证书数字证书) )1 1、工商年检一路通（年检通）、工商年检一路通（年检通）2 2、地税网上纳税通（报税通）、地税网上纳税通（报税通）3 3、网上招标采购通（采购通）、网上招标采购通（采购通）4 4、证书执照即时通（证照通）、证书执照即时通（证照通）5 5、企业网上经营身份通（身份通）、企业网上经营身份通（身份通）6 6、网上信用查询通（查询通）、网上信用查询通（查询通）7 7、网上审批

28、政务通（政务通）、网上审批政务通（政务通）8 8、交叉认证互认通（互认通）、交叉认证互认通（互认通）9 9、电子交易商务通（商务通）、电子交易商务通（商务通）浙江数字证书功能现状浙江数字证书功能现状电子身份证电子身份证电子身份证电子身份证“ “一证九通一证九通一证九通一证九通” ” 浙江加快企业数字证书应浙江加快企业数字证书应浙江加快企业数字证书应浙江加快企业数字证书应用用用用第三节第三节 电子商务的安全协议电子商务的安全协议SSL叫安全套接层协议，是国际上最早用的，已叫安全套接层协议，是国际上最早用的，已成工业标准，但它的基点是商家对客户信息保密成工业标准，但它的基点是商家对客户信息保密的承

29、诺，因此有利于商家而不利于客户。的承诺，因此有利于商家而不利于客户。SET叫安全电子交易协议，是为了在互联网上进叫安全电子交易协议，是为了在互联网上进行在线交易时保证信用卡支付的安全而设立的一行在线交易时保证信用卡支付的安全而设立的一个开放的规范。因它的对象包括消费者、商家、个开放的规范。因它的对象包括消费者、商家、发卡银行、收单银行、支付网关、认证中心，所发卡银行、收单银行、支付网关、认证中心，所以对消费者与商家同样有利。它越来越得到众人以对消费者与商家同样有利。它越来越得到众人认同，将会成为未来电子商务的规范认同，将会成为未来电子商务的规范两种都是应用于电子商务用的网络安全协议。都两种都是

30、应用于电子商务用的网络安全协议。都能保证交易数据的安全性、保密性和完整性。能保证交易数据的安全性、保密性和完整性。 电子商务的安全协议电子商务的安全协议发出客户机证书和加密的专用会话密钥（对称加密密钥，或称单钥）发出客户机证书和加密的专用会话密钥（对称加密密钥，或称单钥）SSL客户机客户机SSL服务器服务器1.客户机的招呼客户机的招呼3.客户机的响应客户机的响应2.服务器的招呼服务器的招呼服务器服务器客户机客户机确定安全级别并约定加密算法确定安全级别并约定加密算法发出包含有服务器公钥（非对称加密机制）的服务器证书发出包含有服务器公钥（非对称加密机制）的服务器证书4.服务器的响应服务器的响应用专

31、用会话密钥在客户机、服务器之间发送保密的数据用专用会话密钥在客户机、服务器之间发送保密的数据公钥公钥单钥单钥5.会话会话6.会话结束，丢弃本次会话的专用密钥会话结束，丢弃本次会话的专用密钥SSL协议SEL协议参与方客户、商家和网上银行客户、商家、支付网关、认证中心和网上银行软件费用已被大部分Web浏览器和Web服务器所内置，因此可直接投入使用，无需额外的附加软件费用必须在银行网络、商家服务器、客户机上安装相应的软件，而不是象SSL协议可直接使用，因此增加了许多附加软件费用便捷性SSL在使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟

32、便可完成支付SET协议在使用中必须使用电子钱包进行付款，因此在使用前，必须先下载电子钱包软件，因此操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易安全性只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏安全需求高，因此所有参与交易的成员：客户、商家、支付网关、网上银行都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，替消费者保守了更多的秘密，使其在结购物和支付更加放心SSL协议与协议与SET比较比较第四节第四节 汽车企业电子商务安全现状汽车企业

33、电子商务安全现状 电子商务安全的现状电子商务安全的现状法律法规建设法律法规建设 1.1.电脑电脑犯罪立法犯罪立法犯罪立法犯罪立法 2.2.有关有关有关有关计计算机安全的法律法算机安全的法律法算机安全的法律法算机安全的法律法规规 3.3.有关保有关保有关保有关保护护个人个人个人个人隐隐私的法律法私的法律法私的法律法私的法律法规规 4.4.有关网有关网有关网有关网络络知知知知识产权识产权保保保保护护的法律法的法律法的法律法的法律法规规 5.5.有关有关有关有关电电子合同的法律法子合同的法律法子合同的法律法子合同的法律法规规理论研究和技术开发理论研究和技术开发53法律法规建设1.1.电脑电脑犯罪立法

34、犯罪立法犯罪立法犯罪立法犯罪行为犯罪行为犯罪行为犯罪行为美国美国美国美国英国英国英国英国澳大利亚澳大利亚澳大利亚澳大利亚中国香港中国香港中国香港中国香港黑客攻击黑客攻击 尝试性（如口令猜测） 成功攻击，但不造成损失 成功攻击，且造成损失 有进一步犯罪动机无有无有无有有有有有有有有有有有篡改行为篡改行为 未经授权访问并篡改电脑数据 经授权访问电脑但擅自篡改电脑数据 干预和破坏正常的电脑运行有有有有无无有有有无有有其他方面其他方面 买卖口令 跨国界适用 涉及所有电脑有无无无无有无无无有无有最长刑期最长刑期 黑客行为 篡改行为20年5年2年5年20年5年10年12年54法律法规建设2.2.有关有关有

35、关有关计计算机安全的法律法算机安全的法律法算机安全的法律法算机安全的法律法规规国家国家国家国家/ /组织组织组织组织法律法规法律法规法律法规法律法规说明说明说明说明欧盟2001年关于网络犯罪的公约加强社会防卫，打击盗版、网络欺诈、儿童色情和危害网络安全等严重的网络犯罪美国1970年金融秘密权利法1984年伪造存取手段以及计算机诈骗与滥用法1986年计算机诈骗与滥用法国家信息基础保护法1987年联邦计算机安全处罚条例对金融业计算机存储数据的保护作了规定明确了对网络犯罪的处罚中国1994年中华人民共和国计算机信息系统安全保护条例1996年中华人民共和国计算机信息网络国际联网暂行规定1997年计算机

36、信息网络安全保护管理办法、计算机信息系统安全专用产品分类原则2000年互联网信息服务管理办法、关于维护互联网安全的决定55法律法规建设3.3.有关保有关保有关保有关保护护个人个人个人个人隐隐私的法律法私的法律法私的法律法私的法律法规规国家国家国家国家法律法规法律法规法律法规法律法规说明说明说明说明美国1980年隐私保护法1986年电子通信隐私法1988年视频隐私保护法1997年消费者因特网隐私保护法1997年联邦因特网隐私保护法1997年通信隐私和消费者权利法1997年资料隐私法1999年因特网保护个人隐私的政策1999年金融服务现代化法为计算机形式的文件提供隐私保护禁止个人在没有获权的情况下

37、截取通信资料保护图片传输的隐私要求计算机服务在公布用户信息时必须事先得到用户的书面同意禁止联邦结构在因特网上公布个人信息保护在线交易中的隐私权限制使用关于个人的信息禁止未经消费者同意传播消费者的信息英国1998年7月数据保护法澳大利亚“个人数据保护十原则”日本个人数据保护法56法律法规建设4.4.有关网有关网有关网有关网络络知知知知识产权识产权保保保保护护的法律法的法律法的法律法的法律法规规国家国家国家国家/ /组织组织组织组织法律法规法律法规法律法规法律法规说明说明说明说明世界知识产权组织1996年12月世界知识产权组织版权保护条约对信息网络环境下的软件、数据库的著作权保护和信息数字化、网络

38、传输、技术措施、版本信息等问题进行了解释欧盟2001年关于网络犯罪的公约加强社会防卫，打击盗版、网络欺诈、儿童色情和危害网络安全等严重的网络犯罪美国1997年禁止电子盗窃法是保护网络知识产权方面最重大的进步数字版权净化和技术教育法通过豁免远程教学的版权，限制了数字版权侵犯的范围在线版权有限责任法保护因特网服务提供商，使他们在无法控制或不知侵害结果的特殊情况下直接或间接违法时免予承担责任1998年数字版权法侵权行为即使不带有营利性的动机，达到一定条件亦可被判定为犯罪57法律法规建设5.5.有关有关有关有关电电子合同的法律法子合同的法律法子合同的法律法子合同的法律法规规 我国我国我国我国20052

39、005年年年年4 4月月月月1 1日出台的日出台的日出台的日出台的中中中中华华人民共和国人民共和国人民共和国人民共和国电电子子子子签签名法名法名法名法承承承承认认了了了了电电子子子子签签名的法律效力，它是我国名的法律效力，它是我国名的法律效力，它是我国名的法律效力，它是我国电电子商子商子商子商务领务领域的第一部国家法，具有划域的第一部国家法，具有划域的第一部国家法，具有划域的第一部国家法，具有划时时代的意代的意代的意代的意义义。58理论研究和技术开发 在提供保密性的加密算法里，有基于分组加密的在提供保密性的加密算法里，有基于分组加密的DESDES算法，有基于大数因子分解的算法，有基于大数因子分

40、解的RSARSA算法，还有算法，还有基于基于NPNP完全理论的背包加密算法，基于离散对数完全理论的背包加密算法，基于离散对数的的ElGamalElGamal加密算法等等；加密算法等等； 在提供完整性和不可否认性的数字签名里，不仅在提供完整性和不可否认性的数字签名里，不仅有有RSARSA签名和签名和ElGamalElGamal签名，还有盲签名、多重签签名，还有盲签名、多重签名和定向签名、代理签名等；名和定向签名、代理签名等； 在提供认证性领域里，有目前流行的公钥基础设在提供认证性领域里，有目前流行的公钥基础设施（施（PKIPKI）；）； 更有防火墙、授权服务器等产品来提供可控性。更有防火墙、授权

41、服务器等产品来提供可控性。59电子商务安全防治措施电子商务安全防治措施技术措施技术措施管理措施管理措施60技术措施1.1.网网网网络络安全安全安全安全检测设备检测设备2.2.访问设备访问设备3.3.防火防火防火防火墙墙4.4.浏览浏览器器器器/ /服服服服务务器器器器软软件件件件5.5.端口保端口保端口保端口保护护6.6.访问访问控制控制控制控制7.7.数据加密数据加密数据加密数据加密8.8.数字数字数字数字证书证书9.9.保保保保护传输线护传输线路安全路安全路安全路安全10.10.路由路由路由路由选择选择机制机制机制机制11.11.流量控制流量控制流量控制流量控制12.12.防入侵措施防入侵

42、措施防入侵措施防入侵措施61管理措施管理措施 1.1.人人人人员员员员管理制度管理制度管理制度管理制度 2.2.保密制度保密制度保密制度保密制度 3.3.跟踪、跟踪、跟踪、跟踪、审计审计审计审计、稽核制度、稽核制度、稽核制度、稽核制度 4.4.系系系系统维护统维护统维护统维护制度制度制度制度 硬件的日常管理与硬件的日常管理与硬件的日常管理与硬件的日常管理与维护维护维护维护 软软件的日常管理与件的日常管理与件的日常管理与件的日常管理与维护维护 5.5.数据容灾制度数据容灾制度数据容灾制度数据容灾制度 6.6.病毒防范制度病毒防范制度病毒防范制度病毒防范制度 7.7.应应应应急措施急措施急措施急措

43、施62电子商务安全举措电子商务安全举措未来电子商务安全工作未来电子商务安全工作加强网络安全的十条建议加强网络安全的十条建议63未来电子商务安全工作未来电子商务安全工作 加加加加强强立法，参照先立法，参照先立法，参照先立法，参照先进进国家已有的有效法律，不断国家已有的有效法律，不断国家已有的有效法律，不断国家已有的有效法律，不断创创新，新，新，新，完善保完善保完善保完善保护电护电子商子商子商子商务务安全和打安全和打安全和打安全和打击击网网网网络络犯罪的法律保障体犯罪的法律保障体犯罪的法律保障体犯罪的法律保障体系。系。系。系。 建立相关机构，采取建立相关机构，采取建立相关机构，采取建立相关机构，采

44、取实际实际措施打措施打措施打措施打击击网网网网络络犯罪。犯罪。犯罪。犯罪。 加大加大加大加大对对网网网网络络安全技安全技安全技安全技术术的投入，提高网的投入，提高网的投入，提高网的投入，提高网络络安全技安全技安全技安全技术术水平。水平。水平。水平。 鼓励企鼓励企鼓励企鼓励企业业加加加加强强自我保自我保自我保自我保护护，防范网，防范网，防范网，防范网络络犯罪侵害。犯罪侵害。犯罪侵害。犯罪侵害。 加加加加强强国国国国际际合作，增合作，增合作，增合作，增强强全球范全球范全球范全球范围围内打内打内打内打击击网网网网络络犯罪的力度。犯罪的力度。犯罪的力度。犯罪的力度。 加加加加强对强对国民的网国民的网国

45、民的网国民的网络络安全教育，注重安全教育，注重安全教育，注重安全教育，注重对优对优秀秀秀秀计计算机人才算机人才算机人才算机人才的培养。的培养。的培养。的培养。64加强网络安全的十条建议加强网络安全的十条建议 1.1.安装操作系安装操作系安装操作系安装操作系统统和服和服和服和服务务器所有的器所有的器所有的器所有的补补丁程序。丁程序。丁程序。丁程序。 2.2.为为网网网网络设备络设备升升升升级级。 3.3.如果是通如果是通如果是通如果是通过过网网网网络络服服服服务务商提供接入服商提供接入服商提供接入服商提供接入服务务的，的，的，的，应应当与网当与网当与网当与网络络服服服服务务商保持商保持商保持商保

46、持联联系，不要系，不要系，不要系，不要让让自己无意中卷入了拒自己无意中卷入了拒自己无意中卷入了拒自己无意中卷入了拒绝绝服服服服务务攻攻攻攻击击，时时刻保刻保刻保刻保证证自己的自己的自己的自己的设备设备安全无安全无安全无安全无忧忧。 4.4.通通通通过过使用防火使用防火使用防火使用防火墙墙等方式，制定等方式，制定等方式，制定等方式，制定严严格的网格的网格的网格的网络络安全安全安全安全规则规则，对进对进出网出网出网出网络络的信息的信息的信息的信息进进行行行行严严格限定。格限定。格限定。格限定。 5.5.将网将网将网将网络络的的的的TCPTCP超超超超时时限制限制限制限制缩缩短至短至短至短至1515

47、分分分分钟钟（900900秒），以秒），以秒），以秒），以减少黑客减少黑客减少黑客减少黑客进进攻的窗口机会。攻的窗口机会。攻的窗口机会。攻的窗口机会。 6.6.扩扩大大大大连连接表，增加黑客填充整个接表，增加黑客填充整个接表，增加黑客填充整个接表，增加黑客填充整个连连接表的接表的接表的接表的难难度。度。度。度。657.7.时时刻刻刻刻监测监测系系系系统统的日志文件和网的日志文件和网的日志文件和网的日志文件和网络络信息流向，信息流向，信息流向，信息流向，以便及以便及以便及以便及时发现时发现任何异常之任何异常之任何异常之任何异常之处处。8.8.经经常常常常对对整个网整个网整个网整个网络进络进行行行行扫扫描，以描，以描，以描，以发现发现任何安全任何安全任何安全任何安全隐隐患，如患，如患，如患，如软软件漏洞等。件漏洞等。件漏洞等。件漏洞等。9.9.尽量减少暴露在互尽量减少暴露在互尽量减少暴露在互尽量减少暴露在互联联网上的系网上的系网上的系网上的系统统和服和服和服和服务务的数的数的数的数量。量。量。量。10.10.路由器要安装必要的路由器要安装必要的路由器要安装必要的路由器要安装必要的过滤规则过滤规则。