第四讲电子商务交易安全.pptx
合集下载
第4章 电子商务交易安全ppt课件
五、保护措施
1. 安全治理。安全治理是通过一些治理手段来达到保护网络安全的目的。 2. 保护。采用一些网络安全产品、工具和技术保护网络系统、数据和用户。 3. 监控和审计。监控是实时监控网络上正在发生的事情，审计则是通过记录 网络的所有数据包。 4. 响应。响应是当攻击发生时，能够及时做出反应。 5. 恢复。系统造成一定的破坏时，如网络不能正常工作、系统数据被破坏等， 此时必须有一套机制来及时恢复系统的正常工作。
5. 防火墙的安全策略 没有被列为允许访问的服务都是被禁止的。 没有被列为禁止访问的服务都是被允许的。
二、数据加密技术
1. 加密与解密。 2. 密钥的长度。 3. 对称密钥系统。 4. 公钥和私钥系统。
三、电子商务认证技术
1. 数字摘要。 2. 数字签名。 3. 数字时间戳。 4. 数字证书
（1）认证中心 （2）数字证书 （3）数字证书的类型 （4）认证中心的树形验证结构
组， 当不能明确是否允许通过时就拒绝通过，只让真正合法的数据组通过。 （3）尽可能控制外部用户访问内部网，应当严格控制外部用户进入内部
网，如果有些文件要向外部网用户开放，最好将这些文件放在防火墙外。 （4）具有足够的透明性，保证正常业务流通。 （5）具有抗穿透攻击能力、强化记录、审计和告警。
4. 防火墙的分类 可以分为包过滤和应用网关两种类型。
3. 电子商务法的地位 传统法律在面对电子商务这个新兴行业时已凸显出“力不从心”，这就
呼唤新的部门法——电子商务法的出现。
4. 电子商务法的特征 （1）电子商务法主体的虚拟性。 （2）电子商务法律规范的任务性和开放性。 （3）电子商务法内容的程式性和全球性。 （4）电子商务法客体的广泛性。
5. 电子商务法的作用 （1）为电子商务健康、快速发展创造一个良好的法律环境。 （2）是保障网络交易安全的重要手段。 （3）弥补现有法律的缺陷和不足。 （4）鼓励利用现代信息技术促进交易活动。
2024版第4章电子商务交易安全ppt课件
•电子商务交易安全概述•电子商务交易安全技术保障•电子商务支付安全保障措施•电子商务交易中的隐私保护问题目录•电子商务纠纷处理机制与法律责任•总结与展望：提高电子商务交易安全水平电子商务交易安全定义与重要性定义重要性交易双方的信息可能被非法获取或泄露，导致隐私泄露或财产损失。
不法分子可能通过伪造交易信息、冒充交易对方等手段进行欺诈行为。
电子支付过程中可能存在支付密码被盗取、支付信息被篡改等风险。
物流过程中可能存在商品被调包、损坏或丢失等风险。
信息泄露风险交易欺诈风险支付安全风险物流安全风险《中华人民共和国电子商务法》明确了电子商务交易安全的法律地位和基本原则，规定了电子商务经营者的义务和责任。
《中华人民共和国网络安全法》对网络安全提出了基本要求，保障了电子商务交易的网络环境安全。
《中华人民共和国消费者权益保护法》保护了消费者的合法权益，对电子商务交易中的消费者权益进行了特别规定。
其他相关法规如《电子支付指引》、《网络交易管理办法》等，也对电子商务交易安全进行了具体规定和管理。
加密技术与应用场景加密技术概述加密技术是电子商务交易安全的核心技术之一，通过对敏感信息进行加密处理，确保数据在传输和存储过程中的安全性。
对称加密与非对称加密对称加密采用相同的密钥进行加密和解密，适用于大量数据的加密；非对称加密采用公钥和私钥进行加密和解密，具有更高的安全性。
应用场景举例加密技术广泛应用于电子商务中的数据传输、电子支付、身份认证等场景，有效保障交易双方的信息安全和资金安全。
数字签名与身份验证方法数字签名原理身份验证流程应用场景举例防火墙技术及其配置策略防火墙配置策略防火墙技术概述针对不同的应用场景和安全需求，制定相应的防火墙配置策略，包括访问控制规则、流量监测机制等，确保网络安全稳定运行。
应用场景举例第三方支付平台安全性分析第三方支付平台概述01安全风险分析02安全保障措施03网上银行支付风险防范策略网上银行支付概述风险类型与特点风险防范策略移动支付安全问题及解决方案移动支付概述01安全问题分析02解决方案探讨03隐私泄露风险及后果分析风险来源网络攻击、内部泄露、供应链风险后果分析财产损失、声誉损害、法律纠纷防范措施加强网络安全防护、完善内部管理制度、建立供应链安全机制隐私保护政策制定和执行情况政策内容执行情况存在问题消费者隐私权维护途径立法保护行业自律技术手段消费者自我保护01电子商务纠纷类型包括但不限于商品质量纠纷、交易纠纷、知识产权纠纷、物流纠纷等。
第4章_电子商务安全概述.pptx
非对称密钥密码体制（双钥密码体制、公开 密钥密码体制）：使用一对密钥来分别完成 加密和解密的操作，且从一个密钥难以推出 另一个。
15
1 对称密钥加密
对称钥匙加密系统是加密和解密均采用 同一把秘密钥匙，而且通信双方都必须 获得这把钥匙，并保持钥匙的秘密。
16
DES密码体制
最有名的密码算法 第一个被公开的现代密码 由IBM于1971年至1972年研制成功 分组长度：64比特 密钥长度：56比特 目前DES已被视为不安全，普遍使用的是变种
记录系统资源被访问和使用的情况，以备必要时追查和
分析。
11
4.2 加密技术
对称密钥加密体制 非对称密钥加密体制
12
1.基本概念
明文（plain text） 被隐蔽的消息。
密文（cipher text）
加密（Encryption利）用密码将明文变换成另一
解加密密算（法Descrypt加原io把有文种密明n明知再隐）的文文道发蔽逆的通密送的过过过钥出形程程一的去式，。定人的。即的才过由算能程密法看。文变得恢换懂复为的出只密
除此之外，还有的一密些文其数他据的，安数全据技加术密措被施公。认如为容是错技术，
它是为避免由于保硬护件数故据障传或输用安户全失惟误一等实原用因的而方酿法成系统
故障的一种预防和措保施护。存容储错数就据是安寻全找的最有常效见方的法故，障点，
并通过冗余度来它加是强数它据们保。护又在如技审术计上跟的踪最技后术防，线它。自动
软件系统
➢黑客攻击
电子商务交易安全隐患
➢工作人员失误
数据的安全
交易的安全
Bug：现在人们把计算机系统 的漏洞或错误称为“Bug”。
4
常见电子商务交易安全问题
15
1 对称密钥加密
对称钥匙加密系统是加密和解密均采用 同一把秘密钥匙，而且通信双方都必须 获得这把钥匙，并保持钥匙的秘密。
16
DES密码体制
最有名的密码算法 第一个被公开的现代密码 由IBM于1971年至1972年研制成功 分组长度：64比特 密钥长度：56比特 目前DES已被视为不安全，普遍使用的是变种
记录系统资源被访问和使用的情况，以备必要时追查和
分析。
11
4.2 加密技术
对称密钥加密体制 非对称密钥加密体制
12
1.基本概念
明文（plain text） 被隐蔽的消息。
密文（cipher text）
加密（Encryption利）用密码将明文变换成另一
解加密密算（法Descrypt加原io把有文种密明n明知再隐）的文文道发蔽逆的通密送的过过过钥出形程程一的去式，。定人的。即的才过由算能程密法看。文变得恢换懂复为的出只密
除此之外，还有的一密些文其数他据的，安数全据技加术密措被施公。认如为容是错技术，
它是为避免由于保硬护件数故据障传或输用安户全失惟误一等实原用因的而方酿法成系统
故障的一种预防和措保施护。存容储错数就据是安寻全找的最有常效见方的法故，障点，
并通过冗余度来它加是强数它据们保。护又在如技审术计上跟的踪最技后术防，线它。自动
软件系统
➢黑客攻击
电子商务交易安全隐患
➢工作人员失误
数据的安全
交易的安全
Bug：现在人们把计算机系统 的漏洞或错误称为“Bug”。
4
常见电子商务交易安全问题
电子商务交易安全课件
电子商务交易安全课件一、引言随着互联网技术的飞速发展，电子商务作为一种新兴的商业模式，在我国得到了广泛的推广和应用。
电子商务不仅改变了传统的购物方式，还为消费者提供了更加便捷、高效的购物体验。
然而，电子商务交易安全问题是制约其发展的关键因素之一。
本课件将从电子商务交易安全的重要性、现状、存在问题以及对策等方面进行详细阐述。
二、电子商务交易安全的重要性1.保障消费者权益：电子商务交易安全是保障消费者权益的基础，只有确保交易安全，消费者才能放心购物，享受电子商务带来的便捷。
2.维护企业信誉：交易安全是电子商务企业生存和发展的基石。
只有确保交易安全，企业才能赢得消费者的信任，树立良好的品牌形象。
3.促进电子商务发展：交易安全是电子商务发展的重要保障。
只有解决交易安全问题，才能推动电子商务行业的健康发展。
4.保障国家安全：电子商务交易安全关系到国家安全。
一旦交易安全出现问题，可能导致国家经济、信息安全等方面受到威胁。
三、电子商务交易安全现状1.法律法规不断完善：我国政府高度重视电子商务交易安全问题，制定了一系列法律法规，如《电子商务法》、《网络安全法》等，为电子商务交易安全提供了法律保障。
2.技术手段不断进步：随着互联网技术的不断发展，电子商务交易安全技术也在不断进步。
如加密技术、数字签名、安全认证等，为交易安全提供了技术支持。
3.企业安全意识提高：越来越多的电子商务企业意识到交易安全的重要性，加大投入，加强内部管理，提高交易安全水平。
4.消费者安全意识增强：随着网络安全知识的普及，消费者的交易安全意识逐渐增强，能够有效防范交易风险。
四、电子商务交易安全存在问题1.网络安全风险：电子商务交易依赖于互联网，网络安全风险如黑客攻击、病毒感染等，可能导致交易信息泄露、资金损失等问题。
2.信息泄露风险：电子商务企业在收集、存储、使用消费者个人信息过程中，可能存在信息泄露的风险。
3.支付风险：电子商务交易过程中，支付环节存在诸多风险，如信用卡信息泄露、虚假支付等。
《电子商务安全》ppt课件
SSL协议的特点
SSL协议具有安全性高、通用性强、易于集成等优点。它 广泛应用于Web浏览器和服务器之间的安全通信，也可以 用于其他基于TCP/IP的应用系统。
虚拟专用网络（VPN）技术应用
要点一
VPN技术概述
VPN是一种虚拟的专用网络，可以在 公共网络上建立加密通道，使得远程 用户能够安全地访问公司内部网络资 源。VPN技术采用隧道技术、加密技 术和身份认证技术等手段确保数据传 输的安全性。
入侵检测技术的概念及作用
通过监控网络流量和主机行为，及时发现并报告潜在的安全威胁。
防火墙与入侵检测技术在电子商务中的应用
如保护电子商务平台服务器安全、防止恶意攻击和数据泄露等。
03
CATALOGUE
电子商务交易安全保障措施
安全电子交易协议（SET）
01
SET协议概述
SET协议是一种基于消息流的协议，用于在开放网络上安全传输信用卡
企业内部管理制度
建立完善的网络安全管理制度和操作规范，确保电商平台的安全稳定运行。
制定数据安全和隐私保护政策，明确个人信息的收集、使用和共享规则，保障消费 者隐私权益。
企业内部管理制度完善和执行情况监督
01
执行情况监督
02
03
04
设立专门的网络安全管理部门 或岗位，负责监督和执行企业
内部的安全管理制度。
电子商务涉及大量用户数据，数据泄露、滥 用等问题亟待解决。
交易安全与信任缺失
虚假交易、欺诈行为等破坏了电子商务交易 的信任基础。
法律法规与监管不足
电子商务安全领域的法律法规尚不完善，监 管力度有待加强。
未来发展趋势预测及建议
人工智能与大数据技术应用
强化数据安全与隐私保护
SSL协议具有安全性高、通用性强、易于集成等优点。它 广泛应用于Web浏览器和服务器之间的安全通信，也可以 用于其他基于TCP/IP的应用系统。
虚拟专用网络（VPN）技术应用
要点一
VPN技术概述
VPN是一种虚拟的专用网络，可以在 公共网络上建立加密通道，使得远程 用户能够安全地访问公司内部网络资 源。VPN技术采用隧道技术、加密技 术和身份认证技术等手段确保数据传 输的安全性。
入侵检测技术的概念及作用
通过监控网络流量和主机行为，及时发现并报告潜在的安全威胁。
防火墙与入侵检测技术在电子商务中的应用
如保护电子商务平台服务器安全、防止恶意攻击和数据泄露等。
03
CATALOGUE
电子商务交易安全保障措施
安全电子交易协议（SET）
01
SET协议概述
SET协议是一种基于消息流的协议，用于在开放网络上安全传输信用卡
企业内部管理制度
建立完善的网络安全管理制度和操作规范，确保电商平台的安全稳定运行。
制定数据安全和隐私保护政策，明确个人信息的收集、使用和共享规则，保障消费 者隐私权益。
企业内部管理制度完善和执行情况监督
01
执行情况监督
02
03
04
设立专门的网络安全管理部门 或岗位，负责监督和执行企业
内部的安全管理制度。
电子商务涉及大量用户数据，数据泄露、滥 用等问题亟待解决。
交易安全与信任缺失
虚假交易、欺诈行为等破坏了电子商务交易 的信任基础。
法律法规与监管不足
电子商务安全领域的法律法规尚不完善，监 管力度有待加强。
未来发展趋势预测及建议
人工智能与大数据技术应用
强化数据安全与隐私保护
电子商务交易安全PPT课件
1 2 3
严格的数据加密措施
采用先进的加密技术，对用户的个人信息、交易 数据等进行加密处理，确保数据在传输和存储过 程中的安全性。
多重身份验证机制
实施多因素身份验证，包括密码、动态口令、生 物识别等，提高用户账户的安全性，防止未经授 权的访问。
实时监控与应急响应
建立实时监控系统，对平台上的交易活动进行实 时监测，发现异常行为及时报警并启动应急响应 机制，确保交易安全。
电子支付系统的发展历程
从早期的信用卡支付到现代的移动支付、扫码支付等，电 子支付系统不断发展和完善，为电子商务交易提供了更加 便捷、安全的支付方式。
电子支付系统的分类
根据支付方式的不同，电子支付系统可分为在线支付和离 线支付两大类。在线支付包括网银支付、第三方支付等， 离线支付包括移动支付、预付卡等。
维护企业声誉和利益
避免商业机密泄露、防止欺诈行为，确保企业正常运营。
促进电子商务发展
提高交易安全性和可信度，推动电子商务行业的健康发展。
电子商务交易安全威胁
网络攻击
包括黑客攻击、病毒传 播、恶意软件等，可能 导致系统瘫痪、数据泄
露等后果。
身份冒用
攻击者冒用他人身份进 行交易，造成经济损失
和信誉损害。
密钥管理
建立密钥管理体系，确保 密钥的安全存储、分发和 更新。
防火墙技术
网络防火墙
部署在网络入口处，对进 出网络的数据包进行检查 和过滤，防止非法访问和 攻击。
应用防火墙
针对应用层协议进行深度 检测和防御，防止应用层 攻击和数据泄露。
下一代防火墙
集成多种安全功能，实现 全面、高效的安全防子商务诚信公约》、《 网络交易平台服务规范》等。
行业标准
《电子商务概论》第四章 电子商务安全技术ppt课件
（3）买卖双方都存在抵赖情况。买方提交
订单后不付款；卖方在收款后不发货。
3、信息传递中的风险
信息在网络上传递时，要经过多个环节和 渠道。由于计算机技术发展迅速，计算机病毒 的侵袭、黑客非法侵入、线路窃听等很容易使 重要数据在传递过程中泄露，威胁电子商务交 易的安全。
4、管理方面的风险
严格管理是降低网络交易风险的重要保证， 特别是在网络商品中介交易的过程中，客户进 入交易中心，买卖双方签订合同，交易中心不 仅要监督买方按时付款，还要监督卖方按时提 供符合合同要求的货物。在这些环节上，都存 在大量的管理问题。防止此类问题的风险需要 有完善的制度设计，形成一套相互关联、相互 制约的制度群。
（三）对称加密技术（私钥加密法）
对称加密技术是使用DES(Data Encryption Standard)算法，发送者加密和接收者解密使用 相同密钥的加密方法。密钥的长度一般为64位 或56位。
优点：加密解密速度快。
缺点：
（1）密钥管理和使用的难度大。在首 次通信前，要求双方必须通过除网络以外的 另外途径传递统一的密钥。当通信对象增多 时，对称密钥的分配与管理就十分地烦琐。
（4）计算机病毒
计算机病毒是指编制或者在计算机程序中 插入的破坏计算机功能或者毁坏数据，影响计 算机使用，并能自我复制的一组计算机指令或 者程序代码。
一台计算机感染上病毒后，轻则系统运行 效率下降，部分文件丢失。重则造成系统死机， 计算机硬件烧毁。
3、防范黑客的技术措施
比较常用的防范黑客的技术措施是网络安 全检测设备、防火墙和安全工具包软件。
（二）交易中的威胁
1、假冒的威胁
（1）假冒卖方。第三人建立与供应方服务
器名字相同的另一个WWW服务器来假冒供应方；
第四章电子商务安全的基本PPT课件
常用计算机网络安全技术
病毒防范技术
▪ 病毒是指在计算机程序或文件中插入的破坏计算机功 能或者毁坏数据，并自我复制的一组计算机指令或程 序代码。
▪ 特点： (1)传染性； (2)非授权性； (3)隐蔽性； (4)破坏性； (5)不可预见性
病毒防范技术
防范病毒的措施： (1)安装防病毒软件，及时更新病毒库； (2)加强数据备份和恢复措施； (3)对敏感的设备和数据要建立必要的物理或 逻辑隔离措施； (4)不轻易打开不明的电子邮件及其附件； (5)避免在无防毒软件的机器上使用可移动存 储介质
• 对WWW服务器的威胁 • 对数据库的威胁 • 对公用网关接口的威胁 • 对其他程序的威胁
第4章 电子商务安全的基本概念
• 电子商务系统安全的概念
– （1）电子商务系统硬件安全：硬件安全是指保护计算机系统 硬件(包括外部设备)的安全，保证其自身的可靠性和为系统提 供基本安全机制。
– （2）电子商务系统软件安全：软件安全是指保护软件和数据 不被窜改、破坏和非法复制。系统软件安全的目标是使计算 机系统逻辑上安全，主要是使系统中信息的存取、处理和传 输满足系统安全策略的要求。根据计算机软件系统的组成， 软件安全可分为操作系统安全、数据库安全、网络软件安全 和应用软件安全。
电子商务系统的安全威胁
电子商务活动安全风险分为人为风险与自然风险。 自然风险指来自于各种自然灾害、电磁辐射和 电磁干扰、通信设备自然损毁等。但在电子商 务安全方面，一般更注重来自人为风险。
四类基本的人为攻击方法 • 中断 • 窃听 • 篡改 • 伪造
攻击类型也可分为两大类：被动攻击与主动攻击。
1．被动攻击：主要采用窃听方法。攻击目的主要是 窃取网络传输中的信息。如攻击者窃取电子商务活 动中贸易伙伴之间的商业机密、非法获得传输中的 电子邮件地址或信用卡中的私人隐密信息等等。
第4章 电子商务交易安全
• 也就是说，各分组处理时输入参数是次进行各分组的处理。当最后一个分组处理完 成后，寄存器中存放的结果就是算法的计算结 果，即所得的MD5报文摘要。
4．安全散列算法SHA-1
• 由美国国家标准和技术协会提出的安全散列算 法SHA-1，基于MD4算法模型设计。SHA-1算 法对输入报文长度有限制，不能超过 比特 长度，输出的报文摘要是160比特。 2 64 • SHA-1算法每一分组输出结果是160比特，因 此需要5个寄存器，寄存器的作用与MD5一样， 即处理前，存放初始化参数；处理时，存放报 文摘要的中间结果；处理后存放最终报文摘要 值。
②DES算法的原理
• 加密过程中，输入64bit的明文，首先经过初始 矩阵IP置换，然后在56bit的输入密钥控制下， 进行16轮迭代加密处理过程，最后通过简单的换 位和逆置换算法，得到64bit的输出密文；解密 的过程与加密过程基本类似，同样需要进行16轮 迭代解密处理过程，具体的解密处理过程与加密 处理过程顺序完全一样，只是控制每一轮迭代的 密钥 与加密过程中的密钥K正好相反，即加密 过程的第1轮控制密钥是解密过程的第16轮密钥； 而解密处理过程的第1轮控制密钥是加密处理过 程的第16轮密钥。每一轮迭代过程中使用的密钥 K或者K′是由56比特的原始密钥经过变换而得。
• 公钥和私钥是不同的，公钥可以公开地从接收 方传送到发送方。使用的时候，发送方用接收 方的公钥将信息加密，然后密文通过网络传送 给接收方，接收方用自己的私钥将其解密，除 了私钥拥有者以外，没有任何人能将其解密。
非对称密钥密码机制示意图
2）RSA
• 1976年Deffie和Hellman提出公钥密码学思想 之后，1977年麻省理工学院的Ron Rivest、 Adi Shamir和Len Adleman三位学者研制了 RSA（Rivest-Shamir-Adleman）公钥密码方 案。该方案于1978年首次发表，自此至今， RSA算法是被使用最多的公钥密码方案。它既 可用于加密，又可用于数字签名，易懂且易于 实现，是目前仍然安全并且逐步被广泛应用的 一种体制。
4.电子商务安全精品PPT课件
（1）预防病毒技术 这类技术有加密可执行程序、引 导区保护、系统监控与读写控制（如防病毒卡等）。
（2）检测病毒技术 如自身校验、关键字、文件长度 的变化等。
（3）消除病毒技术 它通过对计算机病毒的分析，开 发出具有删除病毒程序并恢复原文件的软件。
12
2.计算机病毒的防范措施 （1）给自己的电脑安装防病毒软件 应用于网络的防 病毒软件有两种：一种是单机版防病毒产品；另一种 是联机版防病毒产品。 （2）认真执行病毒定期清理制度 （3）高度警惕网络陷阱 网络上常常会出现非常诱人 的广告及免费使用的承诺，在从事网络营销时对此应 保持高度的警惕。 （4）不打开陌生地址的电子邮件 网络病毒主要的传 播渠道是电子邮件，而电子邮件传播病毒的关键是附 件中的病毒。
1994年4月到10月期间，任职于俄国圣彼得堡OA土星公司 的弗拉基米尔·列·列文从本国操纵电脑，通过Internet多次 侵入美国花旗银行在华尔街的中央电脑系统的现金管理系 统，从花旗银行在阿根廷的两家银行和印度尼西亚的一家 银行的几个企业客户的帐户中将40笔款项转移到其同伙在 加里福尼亚和以色列银行所开的帐户中，窃走1000万美元。
实电脑病毒的存在。计算机病毒是一种人 为制造的寄生于计算机应用程序或操作系 统中的可执行、可自行复制、具有传染性 和破坏性的恶性程序。从1987年发现第一 类流行电脑病毒起，病毒数每年正以40％ 的比率增加。一个小巧的病毒程序可令一 台微型计算机、一个大型计算机系统或一 个网络系统处于瘫痪。
7
1.计算机网络病毒可分为以下几种： （1）蠕虫 它是一种短小的程序，这个程序使用未定
2000年2月10日和17日秦海在银行窥视骗取两名储户的密码， 然后利用电子商务从网上购得手机、快译通等物，共计价 值2.7万元人民币。
（2）检测病毒技术 如自身校验、关键字、文件长度 的变化等。
（3）消除病毒技术 它通过对计算机病毒的分析，开 发出具有删除病毒程序并恢复原文件的软件。
12
2.计算机病毒的防范措施 （1）给自己的电脑安装防病毒软件 应用于网络的防 病毒软件有两种：一种是单机版防病毒产品；另一种 是联机版防病毒产品。 （2）认真执行病毒定期清理制度 （3）高度警惕网络陷阱 网络上常常会出现非常诱人 的广告及免费使用的承诺，在从事网络营销时对此应 保持高度的警惕。 （4）不打开陌生地址的电子邮件 网络病毒主要的传 播渠道是电子邮件，而电子邮件传播病毒的关键是附 件中的病毒。
1994年4月到10月期间，任职于俄国圣彼得堡OA土星公司 的弗拉基米尔·列·列文从本国操纵电脑，通过Internet多次 侵入美国花旗银行在华尔街的中央电脑系统的现金管理系 统，从花旗银行在阿根廷的两家银行和印度尼西亚的一家 银行的几个企业客户的帐户中将40笔款项转移到其同伙在 加里福尼亚和以色列银行所开的帐户中，窃走1000万美元。
实电脑病毒的存在。计算机病毒是一种人 为制造的寄生于计算机应用程序或操作系 统中的可执行、可自行复制、具有传染性 和破坏性的恶性程序。从1987年发现第一 类流行电脑病毒起，病毒数每年正以40％ 的比率增加。一个小巧的病毒程序可令一 台微型计算机、一个大型计算机系统或一 个网络系统处于瘫痪。
7
1.计算机网络病毒可分为以下几种： （1）蠕虫 它是一种短小的程序，这个程序使用未定
2000年2月10日和17日秦海在银行窥视骗取两名储户的密码， 然后利用电子商务从网上购得手机、快译通等物，共计价 值2.7万元人民币。
电子商务第4章电子商务安全管理精品PPT课件
4. 应用级安全 ➢ 信息传输安全（动态安全）：数据加密，数据完
整性鉴别，抗否认技术。 ➢ 信息存储安全（静态安全）：数据库安全，终端
安全。 ➢ 信息的防泄密：信息内容审计。 ➢ 用户访问控制：鉴别，授权。
Page 11
4.2.2 电子商务的安全要求
➢ 身份确认性 ➢ 有效性 ➢ 机密性 ➢ 真实性、完整性 ➢ 不可否认性
Page 5
4.1.3电子商务的安全风险
从整个电子商务系统着手分析，可以将 电子商务的安全问题归纳为以下四类风险： ➢ 信息传输风险 ➢ 信用风险 ➢ 管理风险 ➢ 法律漏洞
Page 6
4.2 电子商务的安全体系及安全要求
Page 7
4.2.1电子商务安全体系结构
1. 管理级安全 系统的安全管理基于以下三个原则：
Page 19
4.3.1 客户认证技术
认证中心的运作主要由以下三个部分实现： ➢ 注册服务器：通过 Web Server 建立的站点，可
为客户提供每日24小时的注册服务。 ➢ 证书申请受理和审核机构：主要功能是接受客户
证书申请并进行审核。 ➢ 认证中心服务器：数字证书生成、发放的运行实
体，同时提供发放证书的管理、证书废止列表 （CRL）的生成和处理等服务。
Page 16
4.3.1 客户认证技术
2. 信息认证 信息认证是对网络传输过程中信息的保密性提出保
证，认证机构或信息服务商应当提供如下认证的功能： ➢ 对敏感的文件进行加密。 ➢ 保证数据的完整性，防止截获人在文件中加入其他
信息。 ➢ 对数据和信息的来源进行验证，以确保发信人的身
份。
Page 17
Page 18
4.3.1 客户认证技术
CA的核心功能就是发放和管理数字证书。 ➢ 接收验证最终用户数字证书的申请 ➢ 证书的审批—确定是否接受最终用户数字证书的申请 ➢ 证书的发放—向申请者颁发、拒绝颁发数字证书 ➢ 证书的更新—接收、处理最终用户的数字证书更新请求 ➢ 接收最终用户数字证书的查询、撤销 ➢ 产生和发布证书废止列表 ➢ 数字证书的归档 ➢ 密钥归档 ➢ 历史数据归档 ➢ CA内部管理
整性鉴别，抗否认技术。 ➢ 信息存储安全（静态安全）：数据库安全，终端
安全。 ➢ 信息的防泄密：信息内容审计。 ➢ 用户访问控制：鉴别，授权。
Page 11
4.2.2 电子商务的安全要求
➢ 身份确认性 ➢ 有效性 ➢ 机密性 ➢ 真实性、完整性 ➢ 不可否认性
Page 5
4.1.3电子商务的安全风险
从整个电子商务系统着手分析，可以将 电子商务的安全问题归纳为以下四类风险： ➢ 信息传输风险 ➢ 信用风险 ➢ 管理风险 ➢ 法律漏洞
Page 6
4.2 电子商务的安全体系及安全要求
Page 7
4.2.1电子商务安全体系结构
1. 管理级安全 系统的安全管理基于以下三个原则：
Page 19
4.3.1 客户认证技术
认证中心的运作主要由以下三个部分实现： ➢ 注册服务器：通过 Web Server 建立的站点，可
为客户提供每日24小时的注册服务。 ➢ 证书申请受理和审核机构：主要功能是接受客户
证书申请并进行审核。 ➢ 认证中心服务器：数字证书生成、发放的运行实
体，同时提供发放证书的管理、证书废止列表 （CRL）的生成和处理等服务。
Page 16
4.3.1 客户认证技术
2. 信息认证 信息认证是对网络传输过程中信息的保密性提出保
证，认证机构或信息服务商应当提供如下认证的功能： ➢ 对敏感的文件进行加密。 ➢ 保证数据的完整性，防止截获人在文件中加入其他
信息。 ➢ 对数据和信息的来源进行验证，以确保发信人的身
份。
Page 17
Page 18
4.3.1 客户认证技术
CA的核心功能就是发放和管理数字证书。 ➢ 接收验证最终用户数字证书的申请 ➢ 证书的审批—确定是否接受最终用户数字证书的申请 ➢ 证书的发放—向申请者颁发、拒绝颁发数字证书 ➢ 证书的更新—接收、处理最终用户的数字证书更新请求 ➢ 接收最终用户数字证书的查询、撤销 ➢ 产生和发布证书废止列表 ➢ 数字证书的归档 ➢ 密钥归档 ➢ 历史数据归档 ➢ CA内部管理
第四章电子商务安全精品PPT课件
搜索证书、验证证书 （2）CA的树形验证结构(如图所示）
29
4.3 数据加密技术
一、 数据加密原理
数据加密技术从技术上的实现分为在软件和 硬件两方面。按作用不同，数据加密技术主要分 为数据传输、数据存储、数据完整性的鉴别以及 密钥管理技术这四种。
31
加密方法的分类
在网络应用中一般采取两种加密形 式：对称密钥（私钥加密）和非对称密 钥（公钥加密），采用何处加密算法则 要结合具体应用环境和系统，而不能简 单地根据其加密强度来作出判断。
14
2.防火墙的技术
➢ 网络级防火墙（包过滤防火墙）
➢ 应用级网关 ➢ 电路级网关
代理防火墙
➢ 规则检查防火墙
15
两种防火墙技术的对比
16
4.2.2 认证技术 一、数字签名
Hash
发送者
算法
私钥加密
摘要
数字 签名
原文
பைடு நூலகம்
Internet
发送方
发送者
数字 公钥解密
签名
摘要
对比？
原文 Hash算法 接收方
管理上的安全措施 法律上的安全保障 技术上的安全保障 经济实力
10
电子商务安全构架
交易安全技术 安全应用协议
SET、SSL 安全认证手段 数字签名、CA体系 基本加密算法 对称和非对称密算法
安
全 网络安全技术
管 理
病毒防范
体 身份识别技术
系 防火墙技术
分组过滤和代理服
务等
法律、法规、政策
11
4.2电子商务交易安全 4.2.1防火墙技术
数字证书可用于：发送安全电子邮件、访问安全站点、网上 证券交易、网上采购招标、网上办公、网上保险、网上税务、网 上签约和网上银行等安全电子事务处理和安全电子交易活动。
29
4.3 数据加密技术
一、 数据加密原理
数据加密技术从技术上的实现分为在软件和 硬件两方面。按作用不同，数据加密技术主要分 为数据传输、数据存储、数据完整性的鉴别以及 密钥管理技术这四种。
31
加密方法的分类
在网络应用中一般采取两种加密形 式：对称密钥（私钥加密）和非对称密 钥（公钥加密），采用何处加密算法则 要结合具体应用环境和系统，而不能简 单地根据其加密强度来作出判断。
14
2.防火墙的技术
➢ 网络级防火墙（包过滤防火墙）
➢ 应用级网关 ➢ 电路级网关
代理防火墙
➢ 规则检查防火墙
15
两种防火墙技术的对比
16
4.2.2 认证技术 一、数字签名
Hash
发送者
算法
私钥加密
摘要
数字 签名
原文
பைடு நூலகம்
Internet
发送方
发送者
数字 公钥解密
签名
摘要
对比？
原文 Hash算法 接收方
管理上的安全措施 法律上的安全保障 技术上的安全保障 经济实力
10
电子商务安全构架
交易安全技术 安全应用协议
SET、SSL 安全认证手段 数字签名、CA体系 基本加密算法 对称和非对称密算法
安
全 网络安全技术
管 理
病毒防范
体 身份识别技术
系 防火墙技术
分组过滤和代理服
务等
法律、法规、政策
11
4.2电子商务交易安全 4.2.1防火墙技术
数字证书可用于：发送安全电子邮件、访问安全站点、网上 证券交易、网上采购招标、网上办公、网上保险、网上税务、网 上签约和网上银行等安全电子事务处理和安全电子交易活动。
电子商务交易安全
PPT文档演模板
电子商务交易安全
認證協定(續)
• 利用挑戰-回應協定進行雙向認證：
通
(1)送出A的身分給B
通
訊
訊
方 A
(2)B啟動協定：B傳送一個大的亂數(Nonce) 選擇挑戰
方 B
(3)A做協定回應：A傳回共享私匙加密的加密文
(4)A啟動協定：A傳送一個大的亂數(Nonce) 選擇挑戰
(5)B做協定回應：B傳回共享私匙加密的加密文
B
啟動協定：B傳送一個大的亂數(Nonce)
(3)送出A的身分給B； C啟動協定：C傳送「B所傳送一個大的亂數」
(4)B做協定回應：B傳回共享私匙加密的加密文RB B啟動協定：B傳送另一個大的亂數(Nonce)
(5)C做協定回應：C傳回「B利用共享私匙加密的 加密文RB」
PPT文档演模板
电子商务交易安全
原 文
送方的 私匙加 密
送方的 私匙加 密
加加 密密 文文
送方的 私匙加 密
送方的 私匙加 密
傳
送
PPT文档演模板
認證模式 加密模式解密解密电子商务交易安全認證協定
• 認證(Authentication)用來確認購買者的身分 或通訊雙方的身分，並非冒充者。
• 依照共享私匙值(對稱匙法)的認證：
– 挑戰-回應協定(Challenge-response protocol)的原 理是送方傳送一個亂數給另外一端，收方再予 以轉換，並傳回結果。
(10)C做協定回應：C傳回「共享私匙加密的加密文Ra2」 电子商务交易安全
認證協定(續)
• 利用挑戰-回應協定進行雙向認證的教簡短 協定：
通
(1)送出A的身分給B；
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
内部网
9
防火墙的定义 防火墙是指一个由软件和硬件设备组合而
成，在Intranet和Internet之间的界面上构 筑的一道保护屏障（如下图所示），用于加 强内部网络和公共网络之间安全防范的系统。
防火墙的作用是隔离系统可能遭到伤害的危 险。
10
外部 WWW 客户
Internet
内部客户机
E-Mail 服务器
数字签名、数字时间 戳、认证技术
防病毒 防火墙
网络对特定对象开放 专用网络
8
防火墙技术
1、防火墙介绍
企业内部网Intranet是企业电子商务系统的一个重 要组成部分。 Intranet与Internet连接后，方便了 企业内部与外部的信息交流，工作效率得到提高。 但同时，也产生了不安全因素。为了达到既要与外 界沟通，又要保护信息和网络平台安全的目的，就 要在被保护的内部网与外部网之间设置一道屏障， 以防止发生不可预测的、潜在破坏性的侵入。所有 内部网和外部网之间的链接都要经过这一保护层。 这一保护屏障就称为防火墙。
（3）伪造用户。发大量 电子邮件，窃取商家的商 品信息和用户信息等。
5
假冒他人身份
（1）冒充他人身份，如冒充 领导发布命令、调阅文件等。 （2）冒充他人消费、栽赃。 （3）冒充主机欺骗合法主机 及用户。 （4）冒充网络控制程序，套 取或修改使用权限、通行字、 密钥等信息。 （5）接管合法用户，欺骗系 统，占用合法用户资源。
15
• （1）代理服务器型防火墙 • 优点：能够检查进出的数据包，复制传递数据，
能够理解应用层上的协议，有较好的访问控制， 并做精细的注册和稽核。是目前最安全的防火墙 技术之一。 • 缺点：缺乏透明度（需要用户输入帐号和密码来 登录）；在内部网络终端机很多的情况下，代理 服务器负担很重，效率必然会受到影响。
16
代理服务器通常由性能好、处理速度快、容量大的计算 机来充当，在功能上是作为内部网络与Internet的连接者， 它对于内部网络来说是象一台真正的服务器一样，而对于 因特网上的服务器来说，它又是一台客户机。当代理服务 器接受到用户的请求以后，会检查用户请求的站点是否符 合设定要求，如果允许用户访问该站点的话，代理服务器 就会和那个站点连接，以取回所需信息再转发给用户（见 下图）。
3
电子商务的安全威胁
• 黑客攻击 • 口令攻击 • 服务攻击 • IP欺骗 • 计算机病毒 • 拒绝服务
4
电子商务的安全性问题
信息截获
篡改文件
伪造电子邮件
攻击者可能通过互联网、 公共电话网、搭线或在 电磁波辐射范围内安装 截收装置等方式，截获 传输的机密信息或通过 对信息流量和流向、通 信频度和长度等参数分 析，推断出有用的信息， 如消费的银行账号、密 码等
防火墙
Intranet
Web 服务器
数据库
防火墙系统示意图
11
2、防火墙的属性
• 所有从内到外的数据流都必须通过它 • 仅仅被本地安全策略定义的且被授权的
通信允许通过
• 系统对外部攻击具有高抵抗力
12
3、防火墙的安全控制策略 防火墙是一种技术。是目前保证网络安全的必备
的安全手段。它在网络之间执行访问控制策略。实 现防火墙的实际方式各不相同，但是在原则上，防 火墙可以被认为是这样一对机制：一种机制是拦阻 传输流通行，另一种机制是允许传输流通过。即： 凡是没有被列为允许访问的服务都是被禁止的。 凡是没有被列为禁止访问的服务都是被允许的。
不承认或抵赖
（1）发信者事后否认曾 经发送过某条信息或内 容。 （2）收信者事后否认曾 经收到过某条消息或内 容。 （3）购买者确认了订货 单而不承认。 （4）商家卖出的商品因 价格差而不承认原有的 交易。
6
电子商务对安全的基本要求
• 内部网的严密性 • 完整性（信息、数据和交易的完整性） • 保密性 • 不可修改性 • 交易者身份的确定性 • 交易的无争议和不可抵赖性 • 有效性 • 授权合法性
14
5、防火墙的类型
（1）代理服务器型防火墙 原理：内部网络与Internet不直接通讯，防火墙内 外的计算机之间的通信通过代理服务器中转。内部 网络计算机用户与代理服务器采用一种网络通讯协 议，代理服务器与Internet之间的通信则采用另一 种网络通信协议，即代理服务器两端采用不同的协 议标准，这样便成功地实现了防火墙内外计算机系 统的隔离，能够有效地阻止外界直接非法入侵。
7
电子商务信息安全技术
安全问题
解决方案
采用技术
数 据 被 泄 漏 或 篡 改 加密数据以防非法读 对称加密、非对称加
（机密性、完整性） 取或篡改
密、信息摘要
冒名发送数据或发送 数据后抵赖 （可靠性、不可抵赖 性、可鉴别性）
未经授权擅自的访问 网络 （有效性，真实性）
对信息的发送者进行 身份验证
对访问网络或服务器 某些流量进行过滤和 保护
复习回顾
• 实现EDI需要哪些软件的支持？ • 请比较基于EDI的B2B电子商务与基于
internet的B2B电子商务的优缺点？
1
第四讲 电子商务交易安全
【学习目标】:
• 了解电子商务存在的安全隐患。 • 了解防火墙技术,加密技术,认证中心和数字
证书 • 掌握安全交易协议
2
内容提要
• 电子商务的安全威胁 • 防火墙技术 • 数据加密技术 • 电子商务序，更改信息 的内容，如购买商品 的出货地址等。
（2）删除。删除某个 消息或消息的某些部 分。
（3）插入。在消息中 插入一些信息，让收 方读不懂或接收错误 的信息。
（1）虚开网站和商店。 给用户发电子邮件，收订 货单。
（2）伪造大量用户。发 电子邮件，穷尽商家资源， 使合法用户不能正常访问 网络资源，使有严格时间 要求的服务不能及时得到 响应。
13
4、防火墙的组成
防火墙是一个由软件和硬件设备组合而成的安全 应用系统，主要由安全操作系统、过滤器、网关、域 名管理器和电子邮件处理5部分组成。
防火墙本身必须建立在安全操作系统所提供的安全 环境中。 防火墙的代码只允许在特定主机系统上执 行。
具有防火墙的主机在Internet界面称为堡垒式计 算机。它可以暴露在Internet中，抗击来自黑客的直 接进攻。