《移动电子商务》项目七

数字摘要技术就是利用一个带密钥
的Hash函数对消息进行计算，产生消息认证 码，并将它和消息捆绑在一起传给接收方。 接收方在收到消息后首先计算消息认证码， 并将重新计算的消息认证码与接收到的消息 认证码进行比较。如果相等，则接收方就认 为消息没有被篡改；如果不相等，则接收方 就知道消息在传输过程中被篡改。
五 物理安全侵害
物理安全侵害是指在使用移动终端的过程中受到人为或自然因素的危害而使信息
丢失、泄露和破坏。
区域防护
设备防毁
抗电磁干扰
对终端设备采取的安全技术措施
受灾防护
设备防盗
防止线路截获
电源保护
六 RFID被解密
RFID技术目前应用得越来越广泛，例如手机上安装了此技术后便可成为电子钱包， 在消费时直接通过手机进行付费等。一旦RFID被解密，将会对用户资金造成极大威胁。
由于缺少重新认证的机制，通过刷新使连接重新建立
会给系统带来风险。
三 身份冒充
当攻击者截获 一个合法用户 的身份信息时， 他就可以用这 个身份信息来 假冒该合法用 户入网发送诈 骗信息。
攻击者还可通 过冒充网络控 制中心，如在 移动通信网络 中假冒基站欺 骗用户，骗取 用户身份信息。
四 完整性侵害
一 移动电子商务的安全需求
认证性需求 完整性需求
（一） （二） （三） （四）
私密性需求 不可否认性需求
一 移动电子商务的安全需求
认证性需求
（一）
认证是指对交易主体进行身份识别，当入侵者篡改信息、重发消息、故意发送
错误信息，以及消息不全或网络数据丢失时，不会导致任意一方资金或产品的损失。
认证是最重要的安全保证手段之一，是分布式网络系统中主体进行身份识别的过
（三）
数据完整性是指利用信息校验等手段保证数据
在整个交易过程中没有被修改，接收方所接收的消息正 是发送方发送的消息，即保护信息的完整性，或可以发 现信息的变化，防止信息的替换。
一 移动电子商务的安全需求
（四）
不可否认性需求
不可否认性是指信息的发送方不能否认已发送的信息，接收方不能否 认已收到的信息。
通常，不可否认证据是由发送者使用数字证 书技术产生的。
二 移动电子商务的安全技术
（四）
安全协议
01
密钥交换协议
用于完成会话密钥 的建立，一般情况 下是在参与协议的 两个或多个实体之 间建立共享的秘密， 如用于一次通信的 会话密钥。
02
认证协议
包括身份认证协议、 消息认证协议、数 据源认证协议等， 用来防止假冒、篡 改和否认等攻击。
（1）
（2）
手机病毒的防治 （三）
（3）
手机在出厂前，在 内部捆绑反病毒软 件，为用户提供最 基本的安全服务。
通过系统对第三方 软件进行认证的方 式来提高安全性。
3 手制造商
三 手机病毒
（1）
结合手机的特点， 推出更有效的手机反病 毒软件，能针对手机进 行全面快速的病毒扫描 和准确的实时监控，保 护用户的智能手机及所 存储数据的安全。
（1）
（2）
（3）
1 手机用户
三 手机病毒
手机病毒的防治 （三）
由于手机病毒的传播必须依靠网络，因此手机的杀 毒重点应放在网络层面，最直接有效的办法就是让网络 运营商进行网络杀毒。
2 移动通信运营商
三 手机病毒
为用户提供手机固 件或操作系统的升 级服务，通过对漏 洞的修补来提高防 范病毒的能力。
七 软件病毒
软件病毒在这里主要指的是手机病毒。用 户被感染软件病毒后，移动终端便会出现这样 或那样的问题，进而导致用户信息泄露、资金 损失、硬件损毁等严重后果。
八 SIM卡被复制
SIM卡也被称为用户身 份识别卡和智能卡。
SIM卡在计算机芯片上存储了移动电话客户的数 字信息、加密的密钥，以及用户的电话簿等内容，可 供GSM网络客户进行身份鉴别。
分析移动电子商务安全案例
步骤1 步骤2
阅读教材中的几个案例，认识移动电子商务安全 面临的各类威胁。
【案例一】滴滴后台车辆信息被篡改 “劳斯莱斯”吓 跑多名乘客 【案例二】大学生研究复制手机信息技术 诈骗团伙借此 疯狂盗取500万元 【案例三】不法分子用“手机分享网址无法直接查看域 名”特征实施诈骗
试着以书面形式指出以上3个案例分别属于哪一种 安全威胁。通过这些案例，总结一些保护移动电 子商务安全方面的经验。
一 无线窃听
在移动通信网络中，所有的网络通信内容（如 移动用户的通话信息、身份信息、位置信息、数据 信息，以及移动站与网络控制中心之间的信息等）
都是通过无线信道传送的。而无线信道是一个 开放性的信道，任何拥有适当无线设备的人均可
以通过窃听无线信道而截获上述信息。
二 漫游安全
在无线网络中，当用户漫游到攻击者所在的一定区 域内时，在终端用户不知情的情况下，信息可能被攻击 者窃取和篡改，网络服务也可能被拒绝。中断交易后，
（2）
将存储卡或手机直 接与个人计算机相连， 利用个人计算机上的杀 毒软件进行查杀操作。 优点是可以彻底、完全 地清除系统内的病毒； 缺点是不能实时查杀。
手机病毒的防治 （三） （3）
提供无线网络在线 杀毒，能够较好地做到 杀毒能力和实时查杀的 兼顾。
4 安全软件生产商
移动
谢 谢 观电看子商务
项目七 移动电子商务安全管理
（1）
攻击硬件 消耗手机内存或修改手 机系统设置，导致手机 无法正常工作。
（2）
窃取信息 窃取手机上保存的机密 数据，或修改、删除和 插入移动终端中的数据 ，破坏数据的真实性和 完整性。
（3）
恶意利用 中毒后的手机登录QQ 号、微信号、游戏号等 ，会自动散播一些不良 的信息和图片，甚至会 乱发病毒给QQ好友。 黑客盗取QQ等社交账 号后还会群发诈骗信息 和虚假广告给好友。
• 移动电子商务平台的运营管理漏洞
周大铭经过不断深入的学习，对移动电子商务的认 识逐渐深入。他敏锐地发现，智能手机已经成为第一大 上网终端，移动电子商务也已经进入大部分的消费场 景，然而移动互联网及智能终端的安全问题也随之大量 暴露出来，严重地制约着移动电子商务的发展。
在探讨解决移动电子商务安全问题之前，必须先了 解移动电子商务面临哪些安全威胁。周大铭通过统计和 浏览最近发生的移动电子商务安全案例对此进行了简单 调查。
据报道，全球最少有几亿部手机的SIM卡存在安 全漏洞，导致黑客可以从远端复制SIM卡，并盗取 SIM绑定的银行账号内的资金。
九 业务抵赖
一方面，交易双方的买方收货 后否认交易，企图逃避付费；
另一方面，卖方收款后否认交 易，企图逃避付货。
十 移动电子商务平台的运营管理漏洞
服务篡改
账号被盗
资料泄露
任务实施
二 移动电子商务的安全技术
认 证 性
中国移动通信研发中心将移动电子商务安全技术体 系分为移动承载层、加密技术层、安全认证层、安全协 议层和应用系统层。
下层是上层的基础，为上层提供技术支持；上层是 加
下层的扩展与递进。各层之间互相关联成为统一整体，
密 技
以确保移动电子商务系统的安全。
术
满足安全需求
不
03
认证密钥交换协议
将认证协议和密钥 交换协议结合在一 起，先对通信实体 的身份进行认证， 在认证成功的基础 上，为下一步安全 通信分配所使用的 会话密钥。
04
电子商务协议
主体是交易双方， 其利益目标是矛盾 的。电子商务协议 最为关注的就是公 平性。
三 手机病毒
手机病毒的定义 （一）
（二）
手机病毒的危害
程。发送方与接收方共享一个密钥，通过对拥有此秘钥的验证，交易主体可建立
对另一参与方的信任。
一 移动电子商务的安全需求
（二）
私密性需求
私密性是指保证私有交易重要信息不能被其他人截获 并读取，没有人能够通过拦截会话数据获得账户信息，同 时还要满足订单和支付信息的保密性。
一 移动电子商务的安全需求
完整性需求
手机病毒的防治 （三）
三 手机病毒
手机病毒是以手机为感染对 象，以手机网络和计算机网络
为平台，通过发送病毒短信、彩信、电子 邮件、浏览网站、下载铃声等形式攻击手 机，破坏手机功能或者破坏数据，造成手
机状态异常，影响手机正常使用的一种 新型病毒。
手机病毒的定义 （一）
三 手机病毒
（二）
手机病毒的危害
移动
电子商务
项目七 移动电子商务安全管理
目录
Contents
任 务 一 了解移动电子商务面临的安全威胁 任 务 二 了解移动电子商务安全管理
任务一
了解移动电子商务面临的安全威胁
• 无线窃听
• 漫游安全
• 身份冒充
• 完整性侵害 • 物理安全侵害 • RFID被解密
• 软件病毒
• SIM卡被复制 • 业务抵赖
二 移动电子商务的安全技术
（二）认证性和私密性保护技术
对称密钥加密体制是文件加密和解密使用相同的密钥，即加密密钥也可以作为解
密密钥。
优点：使用起来简单快捷，密钥较短且破译困难。 缺点：这种算法需要信使或私密信道来传送密钥，密钥的传送和管理比较困难。
1 对称秘钥加密体制
二 移动电子商务的安全技术
（二）认证性和私密性保护技术
对称密匙密码体制流程图
1 对称秘钥加密体制
二 移动电子商务的安全技术
（二）认证性和私密性保护技术
非对称密钥加密算法需要公开密钥和私有密钥两个密钥作为密钥对。
如果用公开密钥对数据进行加密，只有用对应的私有密钥才能进行解密； 如果用私有密钥对数据进行加密，只有用对应的公开密钥才能解密。
非对称加密算法的保密性不依赖于加密体制和算法，而是依赖于密钥。