謝謝觀賞第8章電子商務安全技術案例引入1電子商務安全概述2電子商務安全體系3電子商務安全技術4電子商務安全應用51謝謝觀賞第8章電子商務安全技術案例引入1電子商務安全概述2謝謝觀賞2019-9-14案例導入淘寶網1元“錯價門”事件電子商務安全不容忽視

中國IDC評述網2009年09月14日報道：互聯網上從來不乏標價1元的商品。近日，淘寶網上大量商品標價1元，引發網民爭先恐后哄搶，但是之后許多訂單被淘寶網取消。隨后，淘寶網發布公告稱，此次事件為第三方軟件“團購寶”交易異常所致。部分網民和商戶詢問“團購寶”客服得到自動回復稱：“服務器可能被攻擊，已聯系技術緊急處理。”這起“錯價門”事件發生至今已有兩周，導致“錯價門”的真實原因依然是個謎，但與此同時，這一事件暴露出來的電子商務安全問題不容小覷。資料來源:作者略有刪減2謝謝觀賞2019-9-14案例導入淘寶網18.1電子商務安全概況

8.1.1電子商務安全概念與特點1.電子商務安全的定義電子商務安全從整體上可分為兩大部分：計算機網絡安全和商務交易安全。2019-9-14計算機網路安全電子商務安全商務交易安全包括計算機的網絡設備安全、計算機網絡系統安全、數據庫安全主要保證電子商務的保密性、完整性、可鑒別性、不可偽造性和不可抵賴性3謝謝觀賞8.1電子商務安全概況

8.1.1電子商務安全概念與特點謝謝觀賞2019-9-14案例導入

2.電子商務安全特點電子商務安全是一個系統概念電子商務安全是相對的電子商務安全是有代價的電子商務安全是發展的、動態的4謝謝觀賞2019-9-14案例導入2.電子商務安全特點電子謝謝觀賞2019-9-14案例導入1．對客戶機的安全威脅1動態網頁內容2相關技術或機制

動態網頁有多種形式，最著名的動態網頁形式包括JavaScript和VBScript、JavaApplet和ActiveX控件等1）cookies2）郵件通訊簿3)信息隱蔽5謝謝觀賞2019-9-14案例導入1．對客戶機的安全威脅1動2．對通信信道的安全威脅

(1）搭線竊聽（2）IP欺騙（3）IP源端路由選擇（4）目標掃描謝謝觀賞2019-9-1462．對通信信道的安全威脅謝謝觀賞2019-9-1463．對服務器的安全威脅謝謝觀賞2019-9-14（1）WWW服務器（2）數據庫服務器（3）CGI（4）ASP（5）郵件炸彈（6）溢出攻擊（7）口令破譯73．對服務器的安全威脅謝謝觀賞2019-9-14（1）WWW8.1.3電子商務安全要素謝謝觀賞2019-9-14保密性完整性認證性不可抵賴性不可拒絕性訪問控制性電子商務安全核心88.1.3電子商務安全要素謝謝觀賞2019-9-14保密性謝謝觀賞2019-9-141．保密性商務數據的保密性（Confidentiality）是指信息在網絡上傳輸或存儲的過程中不被他人竊取、不被泄露給未經授權的人或組織，或者經過加密偽裝后，使未經授權者無法了解其內容。2．完整性

商務數據的完整性（Integrity）是指保護數據的一致性，防止數據被未授權者修改、建立、嵌入、刪除、重復發送或由于其他原因使原始數據被更改。9謝謝觀賞2019-9-141．保密性9謝謝觀賞2019-9-143．認證性

商務對象的認證性(Authentication)或稱真實性是指網絡兩端的使用者在通信之前相互確認對方的身份，保證交易方確實存在，而并非有人假冒。4．不可否認性商務服務的不可否認性(Non-repudiation)或稱不可抵賴性是指信息的發送方不能否認已發送的信息，接收方不能否認已收到的信息，這是一種法律有效性要求。10謝謝觀賞2019-9-143．認證性105．不可拒絕性商務服務的不可拒絕性(Denialofservice)或稱可靠性是指保證授權用戶在正常訪問信息和資源時不被拒絕，即為用戶提供穩定可靠的服務。

6．訪問控制性

訪問控制性(Accesscontrol)或稱可控性規定了主體訪問客體的操作權力限制，以及限制進入物理區域(出入控制)和限制使用計算機系統和計算機存儲數據的過程(存取控制)。包括人員限制、數據標識、權限控制、控制類型和風險分析等。謝謝觀賞2019-9-14115．不可拒絕性謝謝觀賞2019-9-14118.2.1電子商務安全框架

一個安全的電子商務系統應構建以策略為指導、技術為基礎、管理為核心的安全框架。在安全策略指導下，建立統一的安全管理平臺，提供全面的安全服務，形成一個互為協作的統一體，使整個系統覆蓋從物理通信到網絡、系統平臺直至數據和應用平臺的各個層面的安全需求，從而形成完整的電子商務安全框架。謝謝觀賞2019-9-14128.2.1電子商務安全框架謝謝觀賞2019-9-14121.安全策略可采用的安全策略一般有:(1)物理結構:同因特網物理隔離，同內部局域網邏輯隔離。(2)敏感信息:鏈路加密、文件加密傳輸、重要數據加密存儲。(3)安全認證:建立PKI/CA系統和授權管理。(4)適度安全防護:從技術安全中選擇適當防護措施。(5)安全管理與審計:加強安全審計，建立統一的安全管理平臺。謝謝觀賞2019-9-14131.安全策略謝謝觀賞2019-9-14132.安全框架(1）物理與線路傳輸安全框架(2)網絡安全防御框架(3)主機與系統安全框架(4)數據與應用安全框架(5)統一安全管理框架謝謝觀賞2019-9-14142.安全框架謝謝觀賞2019-9-1414謝謝觀賞2019-9-148.2.2電子商務安全體系結構電子商務安全框架是保證電子商務中數據安全的,一個完整的邏輯結構，由五個部分組成15謝謝觀賞2019-9-148.2.2電子商務安全體系結構8.2.3電子商務安全基礎環境

電子商務安全基礎環境是指從整體電子商務系統或網絡支付系統的角度進行安全防護，它與網絡系統硬件平臺、操作系統、各種應用軟件等互相關聯，包括的內容有：1.行政管理(1)核心設備的密碼由雙人管理。核心設備如服務器、存儲器、交換機、路由器等。(2)對用戶的注冊、退網、用網等有嚴格的管理規章制度。(3)對數據交換中心核心信息的增加、刪除和備份要嚴格實行登記制度。(4)對系統的運行要有監控和應急處理措施，特別是門戶網站的24小時監控、預警和快速恢復。(5)網絡中心機房的屏蔽技術，要經當地保密部門測試和認可。(6)網絡中心機房的雙路供電和不間斷電源條件應滿足實際需要。謝謝觀賞2019-9-14168.2.3電子商務安全基礎環境謝謝觀賞2019-9-1412.基于網絡設施的基本安全防御系統網絡設施的基本安全防御包括防火墻、入侵檢測、防病毒、脆弱性掃描、防WEB篡改、鏈路加密、安全審計和入網認證等。(1)防火墻(2)入侵檢測系統(IDS)(3)病毒防護(4)漏洞掃描(5)物理隔離(6)鏈路加密和VPN(7)入網認證與審計謝謝觀賞2019-9-14172.基于網絡設施的基本安全防御系統謝謝觀賞2019-9-143.基于PKI的CA安全認證包括電子身份認證、授權、密碼管理、密鑰管理、可信任時間戳管理等。建立認證授權中心，對公眾網絡用戶實行安全證書發放、入網認證、授權服務和管理。4.數據加密數字加密是利用數學算法將明文轉變為不可能理解的密文和反過來將密文轉變為可理解形式的明文的方法、手段和理論的一門科學。對基礎數據和核心數據實行加密處理，當用戶欲訪問數據庫時除了入網認證、服務器權限管理、磁盤目錄屬性管理和文件讀/寫權限管理之外，對數據庫的記錄、記錄字段增加讀、改、寫權限并進行加密處理，無權讀(或寫)的用戶不能看到數據庫中任何數據，即使數據被竊也無泄密之險。謝謝觀賞2019-9-14183.基于PKI的CA安全認證謝謝觀賞2019-9-14185.容災備份容災備份中心的主要功能：定期備份數據交換中心的數據；在災難性故障發生的時候臨時提供服務。

容災備份中心的主要設備包括:服務器、交換機、路由器和大容量光盤存儲器。6.統一安全管理多數的電子商務系統涉及大量的網絡設備、主機設備、安全設備以及其他設施和人員，對安全的要求較高，造成管理的復雜度很高。某些分散的管理降低了管理的效率和效果。所以需要建立一個統一的安全管理平臺，對整個網絡進行統一的安全管理。謝謝觀賞2019-9-14195.容災備份謝謝觀賞2019-9-14198.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14208.3電子商務安全技術謝謝觀賞2019-9-14208.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14218.3電子商務安全技術謝謝觀賞2019-9-14218.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14228.3電子商務安全技術謝謝觀賞2019-9-14228.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14238.3電子商務安全技術謝謝觀賞2019-9-14238.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14248.3電子商務安全技術謝謝觀賞2019-9-14248.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數學方法來重新組織數據，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現已成為網絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14258.3電子商務安全技術謝謝觀賞2019-9-14258.3.2網絡安全技術網絡安全是電子商務安全的基礎，一個完整的電子商務系統應建立在安全的網絡基礎設施之上。網絡安全所涉及到操作系統安全、防火墻技術、VPN(VirtualPagerNetWork；虛擬專用網)技術和各種反黑客技術和漏洞檢測技術等。防火墻是建立在通信技術和信息安全技術之上，它用于在網絡之間建立一個安全屏障，根據指定的策略對網絡數據進行過濾、分析和審計，并對各種攻擊提供有效的防范。主要用于Internet接入和專用網與公用網之間的安全連接。謝謝觀賞2019-9-14268.3.2網絡安全技術謝謝觀賞2019-9-1426謝謝觀賞2019-9-141.防火墻體系結構防火墻結構主要包括安全操作系統、過濾器、網關、域名服務和E-MAIL處理五個部分。27謝謝觀賞2019-9-141.防火墻體系結構27謝謝觀賞2019-9-14（１）屏蔽路由器防火墻28謝謝觀賞2019-9-14（１）屏蔽路由器防火墻28謝謝觀賞2019-9-14（２）屏蔽主機網關防火墻29謝謝觀賞2019-9-14（２）屏蔽主機網關防火墻29謝謝觀賞2019-9-14（３）雙宿主機網關防火墻30謝謝觀賞2019-9-14（３）雙宿主機網關防火墻30謝謝觀賞2019-9-14（4）屏蔽子網防火墻31謝謝觀賞2019-9-14（4）屏蔽子網防火墻31謝謝觀賞2019-9-14（5）安全服務器網絡防火墻32謝謝觀賞2019-9-14（5）安全服務器網絡防火墻32VPN也是一項保證網絡安全的技術之一，它是指在公共網絡中建立一個專用網絡，數據通過建立好的虛擬安全通道在公共網絡中傳播。企業只需要租用本地的數據專線，連接上本地的公眾信息網，就可以和其各地的分支機構就可以在互相之間安全傳遞信息。

使用VPN有節省成本、提供遠程訪問、擴展性強、便于管理和實現全面控制等好處，是目前和今后企業網絡發展的趨勢。謝謝觀賞2019-9-1433VPN也是一項保證網絡安全的技術之一，8.3.3安全協議安全協議是許多分布式系統安全的基礎，是電子商務系統運行的安全通信標準。1.電子支付協議電子支付協議是指在電子交易過程中實現交易各方支付信息正確、安全、保密地進行網絡通信的規范和約定。目前在電子支付中常用的安全協議有：安全套接層協議（SecureSocketsLayer，SSL）和安全電子交易協議（SecureElectronicTransaction，SET）。SET協議是以銀行卡為基礎進行的在線交易安全標準，為交易涉及的各方之間提供安全的通信信道服務；通過采用公鑰密碼體制和X.509數字證書標準信任服務；提供交易各方信息的機密性服務。謝謝觀賞2019-9-14348.3.3安全協議謝謝觀賞2019-9-14342.安全HTTP(S-HTTP)超文本傳輸協議超文本傳輸協議(HTTP-Hypertexttransferprotocol)是一種詳細規定了瀏覽器和萬維網服務器之間互相通信的規則，按照特定的方式，瀏覽器與服務器傳送相關數據。3.安全電子郵件協議安全電子郵件協議(如PEM、S/MIME等)是指通過網絡發送信件通信的規范和約定。S/MIME安全多媒體Internet郵件擴展協議，主要用于保障電子郵件的安全傳輸。例如：微軟的outlookexpress中使用該協議，采用數字標識、數字憑證、數字簽名以及非對稱密鑰系統等技術，構成一種簽名加密的郵件收發方式。謝謝觀賞2019-9-14352.安全HTTP(S-HTTP)超文本傳輸協議謝謝觀賞208.3.4PKI技術PKI(PublicKeyInfrastructure)是利用公鑰算法原理和技術為網上通信提供通用安全服務的基礎設施。它為電子商務、電子政務、網上銀行證券等提供一整套安全基礎平臺。PKI采用證書管理公鑰，通過第三方的可信機構CA，把用戶的公鑰和用戶的其他標識信息捆綁在一起，在Internet網上驗證用戶的身份，PKI把公鑰密碼和對稱密碼結合起來，在Internet網上實現密鑰的自動管理，保證網上數據的機密性、完整性。PKI的核心元素是數字證書，核心執行者是認證機構。數字證書服務的應用和實施是廣泛開展電子商務的前提，電子商務的深入開展離不開數字證書技術和認證機構的正確督導。謝謝觀賞2019-9-14368.3.4PKI技術謝謝觀賞2019-9-14368.4電子商務安全應用8.4.1網絡層安全服務網絡層的安全服務主要保障安全的通訊服務。一般使用IPSec(SecurityArchitectureforIPnetwork)方案，IPSec可以使一個系統選擇需要的安全協議，確定服務使用的算法，并在適當的位置放置所請求服務所需要的任意加密密鑰，從而在IP層提供安全服務，防止竊聽、篡改、偽造、拒絕服務攻擊等。謝謝觀賞2019-9-14378.4電子商務安全應用謝謝觀賞2019-9-14378.4.2傳輸層的安全服務傳輸層的安全服務主要保障客戶端和服務器之間的安全通訊，提供保密性和數據完整性。一般使用SSL/TLS(TransportLayerSecurity)方案。SSL是在客戶和商家通信之前，在Internet上建立的一個秘密傳輸信息的信道，提供加密、認證服務和報文的完整性驗證。

安全傳輸層協議（TLS）用于在兩個通信應用程序之間提供保密性和數據完整性。用于在兩個通信應用程序之間提供保密性和數據完整性SSL：（SecureSocketLayer，安