网络安全技术及应用实践教程课件11.1

11.1.2 电子商务的安全技术和交易
2.网上交易安全协议
（1）安全套接层协议SSL
安全套接层协议(Secure Sockets Layer,SSL)为一 种传输层技术，主要用于实现兼容浏览器和Web服务 器之间的安全通信。
SSL协议是网上购物网站中经常使用的一种安全 协议。确保信息在网际网络上流通的安全性,让浏览 器和Web 服务器能安全地进行沟通.
SET向基于银行卡(IC卡)等 进行电子化交易的安全服务，提供了实现安全措施 的规则。SET主要由3个文件组成，分别是SET业务 描述、SET程序员指南和SET协议描述。
11.1.2 电子商务的安全技术和交易
（1）SET的主要目标
1）信息传输的安全性：信息在因特网上安全传输，保证网 上传输的数据不被外部或内部窃取/泄密。
2）信息的相互隔离：订单信息和个人账号信息的隔离，当 包含持卡人账号信息的订单送到商家时，商家只能看到订货信 息，而看不到持卡人的账户信息。
3）多方认证的解决:①用户信用卡认证;②网上商店认证;③ 消费者、商店与银行之间认证。
电子数据交换
4）效仿EDI贸易形式,遵循 相同协议和报文格式,使不同软件 具有兼容和互操作功能,并可运 行在不同设备和操作系统平台。
*第11章 电子商务及支付安全
目录
1 11.1 知识要点 2 11.2案例分析 构建基于SSL的Web安全站点 3 11.3知构识建拓基展于S智SL能的移We动b安终全端站安点全应用 4 11.4综合应用 电子商务安全解决方案 5 11.5 要点小结 6 *11.6 实验十一 手机微信支付安全应用 73 *1111..37选构做建实基验于ASnSdLr的oiWde应b安用全漏站洞点检测方法
讨论思考：
（1）电子商务安全技术具体有哪些？ （2）怎样理解网上交易安全协议的重要性？ （3）什么是网络安全电子交易？概述SET的认证过程？
1) 网络安全技术。 2) 安全协议及相关标准规范。 ① 安全超文本传输协议（S-HTTP） ② 安全套接层协议SSL ③ 安全交易技术协议STT ④ 安全电子交易SET 3) 大力加强安全交易监督检查，建立健全各项规章制度和机 制。 4) 强化社会的法律政策与法律保障机制
11.1.1 电子商务安全基础
【案例11-2】近年来，移动互联网欺诈行为正在向“高技 术化”、“综合化”及“多平台”方向发展，整个欺诈过程 让很多用户无法察觉。移动支付的风险主要来自以下几个方 面，数据显示，恶意二维码、风险WiFi、不明链接是主要来 源，聚会相册、结婚请帖、红包福利等“带链接的短信”或 微信等，不仅需要提高安全防范意识，还需要增强移动网络 安全技术和各种有效的防范措施。
4.电子商务的安全体系
电子商务安全体系包括4 个部分：服务器端、银 行端、客户端与认证机构。
认证机构是电子商务安全的关键，认证机构的服 务通常包括5 个部分：
1）用户注册机构 2）证书管理机构 3）数据库系统 4）认证管理中心 5）密钥恢复中心
11.1.1 电子商务安全基础
4. 电子商务的安全体系
完整的电子商务安全体系由网络基础结构层、PKI体系结构 层、安全协议层、应用系统层4部分组成。如图11-1。
图11-1 电子商务安全体系
讨论思考： （1）什么是电子商务？其的安全威胁主要有哪些？ （2）电子商务的安全主要与哪些因素有关？ （3）电子商务的安全体系主要包括哪些方面？
11.1.2 电子商务的安全技术和交易
11.1.1 电子商务安全基础
3.电子商务的安全要素
（1）电子商务的安全要素
1) 商业信息的机密性
2) 交易数据的完整性
3) 商务系统的可靠性
4) 交易数据的有效性
5) 交易的不可否认性
禁用控制端口的安全策略
11.1.1 电子商务安全基础
（2）电子商务的安全内容 电子商务的安全内容主要包括4个方面。
SSL 使用的是RSA 数字签名算法，
可以支持X.509证书和多种保密密钥加
密算法，如DES等 。
11.1.2 电子商务的安全技术和交易
2.网上交易安全协议
（2）SSL提供的服务 SSL标准主要提供了3种服务：
1）数据加密服务 2）认证服务-身份、交易、设备 3）数据完整性服务
11.1.2 电子商务的安全技术和交易
电子商务安全的基本要求： 1) 授权的合法性。 2) 电子商务系统运行安全。 3) 交易者身份的真实性。 4) 数据的完整性。 5) 数据信息安全性（机密性、完整性、可用性、可控性
和可审查性）。 6) 可审查性。也称为不可抵赖性
11.1.1 电子商务安全基础
（2）电子商务安全的分类和内容 电子商务安全从整体上可分为两大部分：网络系统安 全和商务交易安全。 网络安全与商务交易安全密不可分，两者相辅相成， 缺一不可。电子商务安全的内容具体涉及五个方面： 1) 电子商务安全立法和管理。 2) 电子商务系统实体(物理)安全。 3)相关软件及数据安全。 4) 电子商务系统运行安全。 5) 电子商务交易安全。
11.1.2 电子商务的安全技术和交易
（5）SET的认证过程
基于SET 协议电子商务系统的业务过程可分为注册登记、申请
数字证书、动态认证和商业机构的处理 4个业务认证过程：
1）注册登记。 2）申请数字证书(图11-5)
注册
图11-5 SET 数字证书申请工作具体步骤
11.1.2 电子商务的安全技术和交易
5）交易的实时性：所有 支付过程都是在线进行。
11.1.2 电子商务的安全技术和交易
（2）SET的交易成员
SET支付系统中的交易成员（组成）,主要包括：
1) 持卡人——消费者
2) 网上商家
3) 收单银行
4) 支付网关
5) 发卡银行
电子货币发行公司或
兼有电子货币发行银行
6) 认证中心CA。
图11-3 SET支付系统中的交易成员
目录
教学目标
● 了解电子商务安全概念、威胁和风险 ● 理解电子商务的SSL、SET安全协议 重点
● 掌握基于SSL协议Web服务器的构建
重点
● 理解移动电子商务安全与无线WPKI技术
● 掌握Android应用漏洞的具体检测方法
11.1 电子商务安全基础
案例11-1 中国移动支付处于全球领先的地位。微 信、支付宝等支付平台近几年快速发展，快速推动电 子商务“便捷支付”的生活方式。但值随着移动支付 的“井喷式”发展，一些风险随之而来。近年来，一 些不法分子通过各种技术手段和方式，对消费者的 “移动支付”虎视眈眈，网络安全成为移动支付行业 发展的关键。据调查显示，盗用账号、短信木马链接、 骗取验证码、篡改信息等已经成为最常见的手段。
WannaCrypt
PC勒索病毒防治视频
11.1 知识要点
11.1.1 电子商务安全基础
1.电子商务的安全风险和隐患 电子商务的安全交易，需要四个方面的安全保证： 1) 信息保密性。 2) 交易者身份认证。 3) 不可否认性。 4) 不可变更性。 在Internet上的电子商务交易过程中，最核心和最关键的 问题就是交易的安全性。商务安全风险和隐患包括： 1) 窃取信息。 2) 篡改信息。 3) 冒名顶替。 4) 恶意破坏。
（3）SSL工作流程及原理 SSL标准(认证)的工作流程主要包括4步： 1）SSL客户机向SSL 服务器发出连接建立请求，SSL服务 器响应SSL客户机的请求； 2）SSL客户机与SSL服务器交换双方认可的密码，一般采 用的加密算法是RSA 算法；
3）检验SSL服务器得到的密码是否 正确，并验证SSL客户机的可信程度；
3）动态认证。注册成功后，便可在网络上进行电子 商务交易，SET系统动态认证工作过程如图11-6。
图11-6 SET 系统的动态认证工作步骤
11.1.2 电子商务的安全技术和交易
4）商业机构处理。商业机构处理流程工作步骤如图117所示。
图11-7 SET 系统的商业机构工作步骤
11.1.2 电子商务的安全技术和交易
1.电子商务的安全技术 常用的网络安全技术包括：电子安全交易技术、硬
件隔离技术、数据加密、认证技术、安全协议、安全检 测与审计、数据安全、防火墙技术、计算机病毒防范技 术以及网络商务安全管理技术等。 涉及网络安全技术方面的内容，前面已介绍，下面 重点介绍网上交易安全协议和安全电子交易SET等。
11.1.1 电子商务安全基础
2.电子商务安全的概念和内容
（1）电子商务安全的概念及要求 电子商务安全（Electronic Commerce Security）是指通过
采取各种安全措施，保障网络系统传输、交易和相关数据的安 全。保证交易数据的安全是电子商务安全的关键。电子商务安 全涉及很多方面，不仅同网络系统结构和管理有关，还与电子 商务具体应用的环境、人员素质、社会法制和管理等因素有关。
4）SSL客户机与SSL服务器交换结束信息。图11-2 SSL 工作过程
11.1.2 电子商务的安全技术和交易
3.网络安全电子交易
安全电子交易(Secure Electronic Transaction, SET)是一个通过Internet等开放网络进行安全交易 的技术标准,SET协议围绕客户、商家等交易各方相 互之间身份确认,采用了数字证书等 技术，保障电子交易安全。
是操作、 数据转 换及审 查支付 和用户 的设备
11.1.2 电子商务的安全技术和交易
（3）SET的技术范围
SET 的技术范围包括以下几方面： 1）密码技术及加密算法； 2）证书信息和对象格式； 3）购买信息和对象格式； 4）认可信息和对象格式； 5）划账信息和对象格式； 6）对话实体之间消息的传输协议。
11.1.2 电子商务的安全技术和交易
（4）SET系统的组成 SET 系统的操作是通过电子钱包、商店服务器、支 付网关和认证中心软件 4个软件（模块）完成，分别存 储在持卡人、网上商店、银行以及认证中心的服务器中， 相互运作来完成整个SET 交易服务。 安全电子交易SET系统的一般模型。