第五章電子商務(wù)安全技術(shù)第五章電子商務(wù)安全技術(shù)1第一節(jié)電子商務(wù)安全的概述一、電子商務(wù)安全的概念電子商務(wù)安全是一個(gè)系統(tǒng)的概念，不僅與計(jì)算機(jī)信息網(wǎng)絡(luò)系統(tǒng)有關(guān)，還與電子商務(wù)應(yīng)用的環(huán)境、人員素質(zhì)和社會(huì)因素有關(guān)。它是物理安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、信息內(nèi)容安全、信息基礎(chǔ)設(shè)施安全與公共及國家信息安全的總和?？蓮囊韵聨追矫鎭砝斫猓?/p>

1、安全是一個(gè)系統(tǒng)的概念；

2、安全是相對(duì)的；

3、安全是有成本的和代價(jià)的；

4、安全是發(fā)展的、動(dòng)態(tài)的。第一節(jié)電子商務(wù)安全的概述一、電子商務(wù)安全的概念2二、電子商務(wù)的安全問題

1、電子商務(wù)中存在的安全問題由于非法入侵者的侵入，造成商務(wù)信息被篡改、盜竊或丟失；商業(yè)機(jī)密在傳輸過程中被第三方獲悉，甚至被惡意竊取、篡改和破壞；虛假身份的交易對(duì)象及虛假訂單、合同；貿(mào)易對(duì)象的抵賴；由于計(jì)算機(jī)系統(tǒng)故障對(duì)交易過程和商業(yè)信息安全所造成的破壞。二、電子商務(wù)的安全問題32、電子商務(wù)的安全要素

（1）完整性（2）機(jī)密性（3）不可否認(rèn)性（4）真實(shí)性（5）可靠性（6）可用性2、電子商務(wù)的安全要素4三、我國電子商務(wù)安全的現(xiàn)狀

1、基礎(chǔ)技術(shù)相對(duì)薄弱

2、體系結(jié)構(gòu)不完整

3、支持產(chǎn)品不過硬

4、多種“威脅”紛雜交織、頻頻發(fā)生三、我國電子商務(wù)安全的現(xiàn)狀5第二節(jié)網(wǎng)絡(luò)安全技術(shù)一、操作系統(tǒng)安全操作系統(tǒng)是計(jì)算機(jī)的核心軟件，操作系統(tǒng)的安全對(duì)計(jì)算機(jī)的安全起著至關(guān)重要的作用，操作系統(tǒng)的安全性主要是對(duì)外部攻擊的防范，保證數(shù)據(jù)的保密性、完整性和可用性。（一）操作系統(tǒng)安全分類

1、按安全級(jí)別：低、中、高

2、按安全機(jī)制：具體的和廣義的第二節(jié)網(wǎng)絡(luò)安全技術(shù)一、操作系統(tǒng)安全6（二）操作系統(tǒng)安全性威脅的因素

1、桌面操作系統(tǒng)的安全因素；

2、系統(tǒng)安全性攻擊。

（三）操作系統(tǒng)安全管理

1、系統(tǒng)級(jí)安全管理

2、用戶級(jí)安全管理

3、文件級(jí)安全管理（二）操作系統(tǒng)安全性威脅的因素7二、防火墻技術(shù)（一）防火墻的定義防火墻是一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)分開的方法，實(shí)際上是一種隔離技術(shù)，是安全網(wǎng)絡(luò)和非安全網(wǎng)絡(luò)的之間的一道屏障，以防不可預(yù)測(cè)的、潛在的網(wǎng)絡(luò)入侵。（二）防火墻的分類

包過濾型NAT型

代理型監(jiān)測(cè)型二、防火墻技術(shù)8電子商務(wù)安全技術(shù)課件9三、VPN(虛擬專用網(wǎng))技術(shù)（一）VPN的概念

VPN技術(shù)是一種在公用互聯(lián)網(wǎng)絡(luò)上構(gòu)造專用網(wǎng)絡(luò)的技術(shù)，將物理上分布在不同地點(diǎn)的專用網(wǎng)絡(luò)，通過公共網(wǎng)絡(luò)造成邏輯上的虛擬子網(wǎng)，進(jìn)行安全的通信。（二）VPN的優(yōu)勢(shì)安全通道低成本可擴(kuò)展性靈活性便于管理服務(wù)質(zhì)量保證三、VPN(虛擬專用網(wǎng))技術(shù)10四、病毒防范技術(shù)（一）計(jì)算機(jī)病毒定義計(jì)算機(jī)病毒是一種人為編制的程序或指令集合，這種程序能潛伏在計(jì)算機(jī)系統(tǒng)中，并通過自我復(fù)制傳播和擴(kuò)散，在一定條件下被激活，給計(jì)算機(jī)帶來故障和破壞。（二）計(jì)算機(jī)病毒的分類引導(dǎo)區(qū)病毒、文件型病毒、復(fù)合型病毒、宏病毒、特洛伊木馬、蠕蟲及其他病毒四、病毒防范技術(shù)11（三）計(jì)算機(jī)病毒的特點(diǎn)隱蔽性、傳染性、潛伏性、可激發(fā)性、破壞性（四）計(jì)算機(jī)病毒的防治方法

1、定期使用殺毒軟件殺毒；

2、及時(shí)升級(jí)殺毒軟件；

3、不預(yù)覽可疑郵件；

4、使用外來磁盤前先查殺病毒；

5、備份重要數(shù)據(jù)。（三）計(jì)算機(jī)病毒的特點(diǎn)12第三節(jié)信息安全技術(shù)一、密碼學(xué)概述

將明文數(shù)據(jù)進(jìn)行某種變換，使其成為不可理解的形式，這個(gè)過程就是加密，這種不可理解的形式稱為密文。解密是加密的逆過程，即將密文還原成明文。

加密和解密必須依賴兩個(gè)要素，這兩個(gè)要素就是算法和密鑰。算法是加密和解密的計(jì)算方法；密鑰是加密和加密所需的一串?dāng)?shù)字。第三節(jié)信息安全技術(shù)一、密碼學(xué)概述13加密明文密文

例如：采用移位加密法，使移動(dòng)3位后的英文字母表示原來的英文字母，對(duì)應(yīng)關(guān)系如下：GOODJRRF加密明文密文例如：采用移位加密法，使移動(dòng)3位后的英文字14二、對(duì)稱加密技術(shù)（1）在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外途徑傳遞統(tǒng)一的密鑰。（2）當(dāng)通信對(duì)象增多時(shí)，需要相應(yīng)數(shù)量的密鑰。（3）對(duì)稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會(huì)造成密鑰的失效，存在著潛在的危險(xiǎn)和復(fù)雜的管理難度。二、對(duì)稱加密技術(shù)15解密密鑰A加密密鑰A

明文明文密文密文通信網(wǎng)絡(luò)圖對(duì)稱密鑰加解密的過程發(fā)送方接收方解密加密明明密密通信網(wǎng)絡(luò)圖對(duì)稱密鑰加解密的過程發(fā)送方接16三、非對(duì)稱加密技術(shù)（公—私鑰加密技術(shù)）非對(duì)稱加密技術(shù)采用RSA算法，加密和解密使用兩把密鑰，一把稱公鑰，另一把稱私鑰，兩把密鑰實(shí)際上是兩個(gè)很大的質(zhì)數(shù)，用其中的一個(gè)質(zhì)數(shù)與明文相乘，可以加密得到密文；用另一個(gè)質(zhì)數(shù)與密文相乘可以解密，但不能用一個(gè)質(zhì)數(shù)求得另一個(gè)質(zhì)數(shù)。三、非對(duì)稱加密技術(shù)（公—私鑰加密技術(shù)）17

解密私鑰B加密公鑰A明文明文密文密文通信網(wǎng)絡(luò)發(fā)送方接收方圖非對(duì)稱密鑰加解密的過程解密加密明明密密通信網(wǎng)絡(luò)發(fā)送方接收方圖非對(duì)稱密鑰加解密18第四節(jié)電子商務(wù)的認(rèn)證技術(shù)一、認(rèn)證技術(shù)概述認(rèn)證技術(shù)是整個(gè)信息安全體系的基礎(chǔ)。認(rèn)證技術(shù)主要用于信息認(rèn)證，確認(rèn)信息發(fā)送者的身份，防止假冒；驗(yàn)證信息的完整性，即確認(rèn)信息在傳送或存儲(chǔ)過程中未被篡改過。常用的安全認(rèn)證技術(shù)主要有數(shù)字摘要、數(shù)字簽名、數(shù)字證書、數(shù)字時(shí)間戳、數(shù)字信封等。第四節(jié)電子商務(wù)的認(rèn)證技術(shù)一、認(rèn)證技術(shù)概述19（一）數(shù)字摘要（一）數(shù)字摘要20（二）數(shù)字簽名（二）數(shù)字簽名21（三）數(shù)字時(shí)間戳（三）數(shù)字時(shí)間戳22（四）數(shù)字證書數(shù)字證書是用電子手段來證實(shí)一個(gè)用戶的身份及用戶對(duì)網(wǎng)絡(luò)資源的訪問權(quán)限。在電子商務(wù)交易中，任何信用卡持卡人只有申請(qǐng)到相應(yīng)的數(shù)字證書，才能參加安全的電子商務(wù)網(wǎng)上交易。（五）數(shù)字信封用來保證只有規(guī)定的收信人才能閱讀到信的內(nèi)容。（四）數(shù)字證書23二、認(rèn)證機(jī)構(gòu)認(rèn)證機(jī)構(gòu)擔(dān)負(fù)著身份認(rèn)證的重要職責(zé)，主要包括三部分：注冊(cè)服務(wù)器、注冊(cè)管理機(jī)構(gòu)、證書管理機(jī)構(gòu)。我國的CA認(rèn)證建設(shè)還處于起步階段，沒有完整的統(tǒng)籌和協(xié)調(diào)，存在交叉認(rèn)證的互不兼容情況，急需一個(gè)全國性的、完整的和層次性合理的CA基礎(chǔ)設(shè)施為電子商務(wù)的發(fā)展保駕護(hù)航。二、認(rèn)證機(jī)構(gòu)241、認(rèn)證機(jī)構(gòu)的功能：核發(fā)證書、管理證書、搜索證書、驗(yàn)證證書2、例子：中國數(shù)字認(rèn)證網(wǎng)

1、認(rèn)證機(jī)構(gòu)的功能：核發(fā)證書、管理證書、搜索證書、驗(yàn)證證書25三、數(shù)字證書

數(shù)字證書采用公－私鑰密碼體制，用戶擁有一把僅為本人所掌握的私鑰，用它進(jìn)行解密和數(shù)字簽名；同時(shí)擁有一把公鑰，并可以對(duì)外公開，用于信息加密和簽名驗(yàn)證。

數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點(diǎn)、網(wǎng)上證券交易、網(wǎng)上采購招標(biāo)、網(wǎng)上辦公、網(wǎng)上保險(xiǎn)、網(wǎng)上稅務(wù)、網(wǎng)上簽約和網(wǎng)上銀行等安全電子事務(wù)處理和安全電子交易活動(dòng)。

三、數(shù)字證書261、數(shù)字證書的內(nèi)容

證書擁有者的姓名；

證書擁有者的公鑰；

公鑰的有限期；

頒發(fā)數(shù)字證書的單位；

頒發(fā)數(shù)字證書單位的數(shù)字簽名；

數(shù)字證書的序列號(hào)等。1、數(shù)字證書的內(nèi)容27圖查看證書內(nèi)容（1）

圖查看證書內(nèi)容（1）28圖查看證書內(nèi)容（2）

圖查看證書內(nèi)容（2）29圖查看證書內(nèi)容（3）圖查看證書內(nèi)容（3）302、數(shù)字證書的類型（1）從證書的使用者分類：

個(gè)人數(shù)字證書機(jī)構(gòu)數(shù)字證書設(shè)備數(shù)字證書（2）從證書的用途分類：簽名證書加密證書2、數(shù)字證書的類型31第五節(jié)安全電子交易技術(shù)一、SSL協(xié)議

安全套接層協(xié)議SSL（SecureSocketsLayer）位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間，使用公開密鑰體制和數(shù)字證書技術(shù)來確保數(shù)據(jù)在傳輸過程中不會(huì)被截取及竊聽。

SSL協(xié)議的缺陷：支付過程的單一認(rèn)證，有利于商家，不利于消費(fèi)者。第五節(jié)安全電子交易技術(shù)一、SSL協(xié)議32二、SET協(xié)議

安全電子交易協(xié)議SET（SecureElectronicTransaction）的核心技術(shù)有對(duì)稱加密技術(shù)、非對(duì)稱加密技術(shù)、數(shù)字簽名技術(shù)、Hash算法及公共密鑰授權(quán)機(jī)制等。

SET協(xié)議比較復(fù)雜、設(shè)計(jì)嚴(yán)格、安全性高，解決了SSL協(xié)議的缺陷，成為目前公認(rèn)的信用卡網(wǎng)上交易的國際安全標(biāo)準(zhǔn)。

二、SET協(xié)議33第五章電子商務(wù)安全技術(shù)第五章電子商務(wù)安全技術(shù)34第一節(jié)電子商務(wù)安全的概述一、電子商務(wù)安全的概念電子商務(wù)安全是一個(gè)系統(tǒng)的概念，不僅與計(jì)算機(jī)信息網(wǎng)絡(luò)系統(tǒng)有關(guān)，還與電子商務(wù)應(yīng)用的環(huán)境、人員素質(zhì)和社會(huì)因素有關(guān)。它是物理安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、信息內(nèi)容安全、信息基礎(chǔ)設(shè)施安全與公共及國家信息安全的總和?？蓮囊韵聨追矫鎭砝斫猓?/p>

1、安全是一個(gè)系統(tǒng)的概念；

2、安全是相對(duì)的；

3、安全是有成本的和代價(jià)的；

4、安全是發(fā)展的、動(dòng)態(tài)的。第一節(jié)電子商務(wù)安全的概述一、電子商務(wù)安全的概念35二、電子商務(wù)的安全問題

1、電子商務(wù)中存在的安全問題由于非法入侵者的侵入，造成商務(wù)信息被篡改、盜竊或丟失；商業(yè)機(jī)密在傳輸過程中被第三方獲悉，甚至被惡意竊取、篡改和破壞；虛假身份的交易對(duì)象及虛假訂單、合同；貿(mào)易對(duì)象的抵賴；由于計(jì)算機(jī)系統(tǒng)故障對(duì)交易過程和商業(yè)信息安全所造成的破壞。二、電子商務(wù)的安全問題362、電子商務(wù)的安全要素

（1）完整性（2）機(jī)密性（3）不可否認(rèn)性（4）真實(shí)性（5）可靠性（6）可用性2、電子商務(wù)的安全要素37三、我國電子商務(wù)安全的現(xiàn)狀

1、基礎(chǔ)技術(shù)相對(duì)薄弱

2、體系結(jié)構(gòu)不完整

3、支持產(chǎn)品不過硬

4、多種“威脅”紛雜交織、頻頻發(fā)生三、我國電子商務(wù)安全的現(xiàn)狀38第二節(jié)網(wǎng)絡(luò)安全技術(shù)一、操作系統(tǒng)安全操作系統(tǒng)是計(jì)算機(jī)的核心軟件，操作系統(tǒng)的安全對(duì)計(jì)算機(jī)的安全起著至關(guān)重要的作用，操作系統(tǒng)的安全性主要是對(duì)外部攻擊的防范，保證數(shù)據(jù)的保密性、完整性和可用性。（一）操作系統(tǒng)安全分類

1、按安全級(jí)別：低、中、高

2、按安全機(jī)制：具體的和廣義的第二節(jié)網(wǎng)絡(luò)安全技術(shù)一、操作系統(tǒng)安全39（二）操作系統(tǒng)安全性威脅的因素

1、桌面操作系統(tǒng)的安全因素；

2、系統(tǒng)安全性攻擊。

（三）操作系統(tǒng)安全管理

1、系統(tǒng)級(jí)安全管理

2、用戶級(jí)安全管理

3、文件級(jí)安全管理（二）操作系統(tǒng)安全性威脅的因素40二、防火墻技術(shù)（一）防火墻的定義防火墻是一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)分開的方法，實(shí)際上是一種隔離技術(shù)，是安全網(wǎng)絡(luò)和非安全網(wǎng)絡(luò)的之間的一道屏障，以防不可預(yù)測(cè)的、潛在的網(wǎng)絡(luò)入侵。（二）防火墻的分類

包過濾型NAT型

代理型監(jiān)測(cè)型二、防火墻技術(shù)41電子商務(wù)安全技術(shù)課件42三、VPN(虛擬專用網(wǎng))技術(shù)（一）VPN的概念

VPN技術(shù)是一種在公用互聯(lián)網(wǎng)絡(luò)上構(gòu)造專用網(wǎng)絡(luò)的技術(shù)，將物理上分布在不同地點(diǎn)的專用網(wǎng)絡(luò)，通過公共網(wǎng)絡(luò)造成邏輯上的虛擬子網(wǎng)，進(jìn)行安全的通信。（二）VPN的優(yōu)勢(shì)安全通道低成本可擴(kuò)展性靈活性便于管理服務(wù)質(zhì)量保證三、VPN(虛擬專用網(wǎng))技術(shù)43四、病毒防范技術(shù)（一）計(jì)算機(jī)病毒定義計(jì)算機(jī)病毒是一種人為編制的程序或指令集合，這種程序能潛伏在計(jì)算機(jī)系統(tǒng)中，并通過自我復(fù)制傳播和擴(kuò)散，在一定條件下被激活，給計(jì)算機(jī)帶來故障和破壞。（二）計(jì)算機(jī)病毒的分類引導(dǎo)區(qū)病毒、文件型病毒、復(fù)合型病毒、宏病毒、特洛伊木馬、蠕蟲及其他病毒四、病毒防范技術(shù)44（三）計(jì)算機(jī)病毒的特點(diǎn)隱蔽性、傳染性、潛伏性、可激發(fā)性、破壞性（四）計(jì)算機(jī)病毒的防治方法

1、定期使用殺毒軟件殺毒；

2、及時(shí)升級(jí)殺毒軟件；

3、不預(yù)覽可疑郵件；

4、使用外來磁盤前先查殺病毒；

5、備份重要數(shù)據(jù)。（三）計(jì)算機(jī)病毒的特點(diǎn)45第三節(jié)信息安全技術(shù)一、密碼學(xué)概述

將明文數(shù)據(jù)進(jìn)行某種變換，使其成為不可理解的形式，這個(gè)過程就是加密，這種不可理解的形式稱為密文。解密是加密的逆過程，即將密文還原成明文。

加密和解密必須依賴兩個(gè)要素，這兩個(gè)要素就是算法和密鑰。算法是加密和解密的計(jì)算方法；密鑰是加密和加密所需的一串?dāng)?shù)字。第三節(jié)信息安全技術(shù)一、密碼學(xué)概述46加密明文密文

例如：采用移位加密法，使移動(dòng)3位后的英文字母表示原來的英文字母，對(duì)應(yīng)關(guān)系如下：GOODJRRF加密明文密文例如：采用移位加密法，使移動(dòng)3位后的英文字47二、對(duì)稱加密技術(shù)（1）在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外途徑傳遞統(tǒng)一的密鑰。（2）當(dāng)通信對(duì)象增多時(shí)，需要相應(yīng)數(shù)量的密鑰。（3）對(duì)稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會(huì)造成密鑰的失效，存在著潛在的危險(xiǎn)和復(fù)雜的管理難度。二、對(duì)稱加密技術(shù)48解密密鑰A加密密鑰A

明文明文密文密文通信網(wǎng)絡(luò)圖對(duì)稱密鑰加解密的過程發(fā)送方接收方解密加密明明密密通信網(wǎng)絡(luò)圖對(duì)稱密鑰加解密的過程發(fā)送方接49三、非對(duì)稱加密技術(shù)（公—私鑰加密技術(shù)）非對(duì)稱加密技術(shù)采用RSA算法，加密和解密使用兩把密鑰，一把稱公鑰，另一把稱私鑰，兩把密鑰實(shí)際上是兩個(gè)很大的質(zhì)數(shù)，用其中的一個(gè)質(zhì)數(shù)與明文相乘，可以加密得到密文；用另一個(gè)質(zhì)數(shù)與密文相乘可以解密，但不能用一個(gè)質(zhì)數(shù)求得另一個(gè)質(zhì)數(shù)。三、非對(duì)稱加密技術(shù)（公—私鑰加密技術(shù)）50

解密私鑰B加密公鑰A明文明文密文密文通信網(wǎng)絡(luò)發(fā)送方接收方圖非對(duì)稱密鑰加解密的過程解密加密明明密密通信網(wǎng)絡(luò)發(fā)送方接收方圖非對(duì)稱密鑰加解密51第四節(jié)電子商務(wù)的認(rèn)證技術(shù)一、認(rèn)證技術(shù)概述認(rèn)證技術(shù)是整個(gè)信息安全體系的基礎(chǔ)。認(rèn)證技術(shù)主要用于信息認(rèn)證，確認(rèn)信息發(fā)送者的身份，防止假冒；驗(yàn)證信息的完整性，即確認(rèn)信息在傳送或存儲(chǔ)過程中未被篡改過。常用的安全認(rèn)證技術(shù)主要有數(shù)字摘要、數(shù)字簽名、數(shù)字證書、數(shù)字時(shí)間戳、數(shù)字信封等。第四節(jié)電子商務(wù)的認(rèn)證技術(shù)一、認(rèn)證技術(shù)概述52（一）數(shù)字摘要（一）數(shù)字摘要53（二）數(shù)字簽名（二）數(shù)字簽名54（三）數(shù)字時(shí)間戳（三）數(shù)字時(shí)間戳55（四）數(shù)字證書數(shù)字證書是用電子手段來證實(shí)一個(gè)用戶的身份及用戶對(duì)網(wǎng)絡(luò)資源的訪問權(quán)限。在電子商務(wù)交易中，任何信用卡持卡人只有申請(qǐng)到相應(yīng)的數(shù)字證書，才能參加安全的電子商務(wù)網(wǎng)上交易。（五）數(shù)字信封用來保證只有規(guī)定的收信人才能閱讀到信的內(nèi)容。（四）數(shù)字證書56二、認(rèn)證機(jī)構(gòu)認(rèn)證機(jī)構(gòu)擔(dān)負(fù)著身份認(rèn)證的重要職責(zé)，主要包括三部分：注冊(cè)服務(wù)器、注冊(cè)管理機(jī)構(gòu)、證書管理機(jī)構(gòu)。我國的CA認(rèn)證建設(shè)還處于起步階段，沒有完整的統(tǒng)籌和協(xié)調(diào)，存在交叉認(rèn)證的互不兼容情況，急需一個(gè)全國性的、完整的和層次性合理的CA基礎(chǔ)設(shè)施為電子商務(wù)的發(fā)展保駕護(hù)航。二、認(rèn)證機(jī)構(gòu)571、認(rèn)證機(jī)構(gòu)的功能：核發(fā)證書、管理證書、搜索證書、驗(yàn)證證書2、例子：中國數(shù)字認(rèn)證網(wǎng)

1、認(rèn)證機(jī)構(gòu)的功能：核發(fā)證書、管理證書、搜索證書、驗(yàn)證證書58三、數(shù)字證書

數(shù)字證書采用公－私鑰密碼體制，用戶擁有一把僅為本人所掌握的私鑰，用它進(jìn)行解密和數(shù)字簽名；同時(shí)擁有一把公鑰，并可以對(duì)外公開，用于信息加密和簽名驗(yàn)證。

數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點(diǎn)、網(wǎng)上證券交易、網(wǎng)