电子商务安全与支付(第2版)期末重点

1、电子商务面临的安全威胁

（1）计算机网络风险。物理安全问题、网络安全问题、网络病毒威胁、黑客攻击、电子商务网站自身的安全问题。

（2）电子商务交易风险。在线交易主的市场的准入、信息风险、信用风险、网上欺骗犯罪、电子合同问题、电子支付问题、在线消费者保护问题、电子商务中产品交付问题、电子商务中虚拟财产的保护问题。

（3）管理风险。

（4）政策法律风险。

2、电子商务的安全要素

电子商务随时面临的威胁导致了电子商务的安全需求。一个安全的电子商务系统要求做到真实性、机密性、完整性和不可抵赖性等。

（1）真实性

（2）保密性

（3）有效性

（4）完整性

（5）不可抵赖性

3、电子商务交易安全保障体系是一个复合型系统：电子商务是活动在Internet平台上的一个涉及信息、资金和物资交易的综合交易系统，其安全对象不是一般的系统，而是一个开放的、人在其中频繁活动的、与社会系统紧密耦合的复杂巨系统（complex giant system）。它是由商业组织本身（包括营销系统、支付系统、配送系统等）与信息技术系统复合构成的。电子支付的应用现状：internet上的电子货币系统主要包括电子信用卡系统、电子支票系统和数字现金系统等

4、

（1）防火墙技术：定义，作用，应用场合（用在什么地方），缺点

所谓防火墙，就是在内部网（如Intranet）和外部网（如Internet）之间的界面上构造一个保护层，并强制所有的连接都必须经过此保护层，由其进行检查和连接。它是一个或一组网络设备系统和部件的汇集器，用来在两个或多个网络间加强访问控制、实施相应的访问控制策略，力求把那些非法用户隔离在特定的网络之外，从而保护某个特定的网络不受其他网络的攻击，但又不影响该特定网络正常的工作。

功能：过滤进出、网络的数据；

管理进、出网络的访问行为；

封堵某些禁止的业务；

记录通过防火墙的信息内容和活动

对网络攻击检测和警报。

分类：根据防火墙在网络上的物理位置和在OSI（Open System Interconnect Reference Model，开放式系统互联参考模型）七层协议中的逻辑位置以及所具备的功能，可作如下的分类：线路级网关、包过滤路由器、应用网关、双重基地型网关、屏蔽主机防火墙、屏蔽主网防火墙、包过滤型防火墙、代理服务器型防火墙、复合型防火墙、物理隔离技术。

包过滤型防火墙：包过滤防火墙是最简单的防火墙，一般在路由器上实现。包过滤防火墙通常只包括对源和目的IP地址及端口的检查。包过滤防火墙的最大优点就是它对于用户来说是透明的，也就是说不需要用户名和密码来登录。这种防火墙速度快而且易于维护，通常做为第一道防线。包过滤防火墙的弊端也是很明显的，通常它没有用户的使用记录，这样我们就不能从访问记录中发现黑客的攻击记录。另外，包过滤防火墙需从建立安全策略和过滤规则集入手，需要花费大量的时间和人力，还要不断根据新情况不断更新过滤规则集。同

时，规则集的复杂性又没有测试工具来检验其正确性，这些都是不方便的地方。对于采用动态分配端口的服务，如很多RPC（远程过程调用）服务相关联的服务器在系统启动时随机分配端口的，包过滤防火墙很难进行有效地过滤。

代理型防火墙也叫应用层网关（Application Gateway）防火墙。这种防火墙通过一种代理（Proxy）技术参与到一个TCP连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部网结构的作用。这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器技术。

复合型防火墙的设计目标是既有包过滤的功能，又能在应用层进行代理，能从数据链路层到应用层进行全方位安全处理。由于TCP/IP协议和代理的直接相互配合，使系统的防欺骗能力和运行的安全性都大大提高。

物理隔离技术是近年来发展起来的防止外部黑客攻击的有效手段。物理隔离产品主要有物理隔离卡和隔离网闸。

防火墙的缺点：

1、防火墙可以阻断攻击，但不能消灭攻击源

2、防火墙不能抵抗最新的未设置策略的攻击漏洞

3、防火墙的并发连接数限制容易导致拥塞或者溢出

4、防火墙对服务器合法开放的端口的攻击大多无法阻止

5、防火墙对待内部主动发起连接的攻击一般无法阻止

6、防火墙本身也会出现问题和受到攻击

7、防火墙不处理病毒

（2）入侵检测技术：定义，作用，应用场合，缺点（只有一个入暴率）

定义：入侵检测系统(Intrusion Detect System，IDS)是对传统安全产品的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。

•作用：监视、分析用户及系统活动；

•对系统构造和弱点的审计；

•识别反映已知进攻的话动模式并向相关人士报警；

•异常行为模式的统计分析；

•评估重要系统和数据文件的完整性；

•操作系统的审计跟踪管理，并识别用户违反安全策略的行为。

应用场合：主机入侵检测系统(HIDS)；网络入侵检测系统(NIDS)。

缺点：误报率

（3）加密技术：概念，两类加密算法的区别，公钥密码系统的流程（PGP实验），加密技术的运用（数字证书实现签名邮件实验），RSA算法。

概念：密码理论与技术主要包括两部分，即基于数学的密码理论与技术（包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等）和非数学的密码理论与技术（包括信息隐形，量子密码，基于生物特征的识别理论与技术）。

对称和非对称加密算法的区别：

所谓对称密钥算法是指如果一个加密算法的加密密钥和解密密钥相同，或者虽然不相同，但是可由其中的任意一个很容易的推导出另一个，即密钥是双方共享的。非对称密钥算法是指一个加密算法的加密密钥和解密密钥是不一样的，或者说不能由其中一个密钥推导出另一