第11章 电子商务安全技术

3
网络安全的危害性巨大，防不胜防。
微软的官方统计数据称2002年因网络安全问题给全球 经济直接造成了130亿美元的损失。 2003年8月，冲击波蠕虫在视窗暴露安全漏洞短短26 天之后喷涌而出，8天内导致全球电脑用户损失高达20亿 美元之多，无论是企业系统或家庭电脑用户无一幸免。 据赛门铁克互联网安全威胁报告书显示，在2003年上 半年，有超过994种新的Win32病毒和蠕虫被发现，这比 2002年同时期的445种多出一倍有余。而目前Win32病毒的 总数大约是4千个。在2001年的同期，只有308种新Win32 病毒被发现。
2
引言
安全是保证电子商务健康有序发展的关键因素，也是 目前大家十分关注的话题。
据统计，目前我国95％的与因特网相联的网络管理中心都 遭到过黑客的攻击或侵入，受害涉及的覆盖面越来越大、 程度越来越深。据国际互联网保安公司symantec2002年的 报告指出，中国已经成为全球黑客的第三大来源地，竟 然有6．9％的攻击国际互联网活动都是由中国发出的。 另从国家计算机病毒应急处理中心日常监测结果来看， 计算机病毒呈现出异常活跃的态势。在2001年，我国有 73％的计算机曾感染病毒，到了2002年上升到近84％， 2003年上半年又增加到85％。
5
96年9月18日，黑客又光顾美国中央情报局的网络服务 器，将其主页由“中央情报局”改为“中央愚蠢局”。 96年12月29日，黑客侵入美国空军的全球网网址并将其 主页肆意改动，其中有关空军介绍、新闻发布等内容被 替换成一段简短的黄色录象，且声称美国政府所说的一 切都是谎言。迫使美国国防部一度关闭了其他80多个军 方网址。 2000年2月7日－9日，Yahoo, ebay, Amazon 等著名网站 被黑客攻击，直接和间接损失10亿美元。 2004年10月19日，一个电脑黑客非法侵入了位于美国旧 金山的伯克利加州大学的计算机系统，访问了约140万 人的个人资料和社会保障号码。
7
2004年10月17日18时，著名杀毒软件厂商江民公司的网 站(/)主页被黑。 首页上 只有 署名为河马史诗的人所写的一句话(如图 )。 2 004年2月2日16时，金山《剑侠情缘网络版》官方网站 被黑客修改。如下截图 所示，黑客在页面上自述攻击 目的是希望得到游戏中的虚拟货币5000万。 更多延伸阅读:
信息的完整性是指信息在以电子化方式传送时， 保持信息未被修改过，发送方和接收方都希望 确保接收到的信息同发送方发送的信息没有任 何出入。 数据的完整性被破坏可能导致贸易双方信息的 差异，将影响贸易各方的交易顺利完成。 数据的完整性通常可采用消息摘要的方法来验 证。
18
三、身份的真实性
一、信息的保密性 二、信息的完整性 三、身份的真实性 四、不可抵赖性 五、系统的可用性 六、信息的访问控制性
16
一、信息的保密性
信息的保密性就是指信息在以电子化方式传送 时，保证一些敏感信息不被泄露。 信息的保密性通常是通过加密技术来隐藏数据 项来实现的。
17
二、信息的完整性
加密技术是最基本的信息安全技术，是实现 信息保密性的一种重要手段，目的是为了防 止除合法接收者以外的人获取敏感机密信息。
所谓信息加密技术，就是用基于数学方法的 程序和保密的密钥对原始信息进行重新编码， 把计算机数据变成一堆杂乱无章难以理解的 字符串从而隐藏信息的内容，也就是把明文 变成密文的过程。
“艳照门”事件暴露数据后截图
10
众所周知，安全才是网络的生存之本。没有安全保 障的信息资产，就无法实现自身的价值。网络安全 的危害性显而易见，而造成网络安全问题的原因各 不相同。
11
11.1.1 网络安全的概念
计算机网络的安全理解为“通过采用各种技 术和管理措施，使网络系统正常运行，从而 确保网络系统的保密性、完整性和可用性”。 网络安全分为两大类：物理安全和逻辑安全。
21
六、信息的访问控制性
信息的访问控制性是防止对进程、通信及信息 等各类资源的非法访问。 安全管理人员要求能够控制用户的权限，分配 或终止用户的访问、操作、接入等权利，使系 统拒绝为未被授权者提供信息和服务。 一般通过身份认证、防火墙等技术来实现。
22
11.3 电子商务的主要安全技术
25
数据加密的术语
明文：人或机器能够读懂和理解的信息称为明文，它 可以是文本、数字化语音流或数字化视频信息等。 密文：通过数据加密的手段，将明文变换成晦涩难懂 的信息称为密文。 加密过程：将明文转变成密文的过程。 解密过程：加密的逆过程，即将密文转换成明文的过 程。 密钥：用于加、解密过程中的一些特殊信息(参数)， 它是控制明文与密文之间变换的关键，可以是数字、 词汇或语句等。密钥可以分为加密密钥和解密密钥， 分别使用于加密过程和解密过程。 密码体制：即加密、解密的特定算法。
第11章：电子商务安全技术
11.1 11.2 11.3 11.4 计算机网络安全概述 电子商务安全威胁和安全需求 电子商务的主要安全技术 电子商务安全交易协议
1
11.1 计算机网络安全概述
11.1.1 网络安全的概念 11.1.2 网络安全威胁
灰鸽子（HUIGEZI）系列病毒完整解决方案 灰鸽子引发互联网全民黑客时代
物理安全是指在物理介质层次上对存储和传输的 信息的安全保护，它是信息安全的最基本保障； 逻辑安全是指使用非物理手段或措施对存储和传 输的信息的安全保护 。
12
11.1.2 网络安全威胁
网络安全威胁是指网络中对存在缺陷的潜在利用， 这些缺陷可能导致信息泄漏、系统资源耗尽、非法 访问、资源被盗、系统或信息被破坏。 主要网络安全威胁：
30
寻找DES密钥所需的平均时间
整数n 的10进 制位数 50 100 200 500 分解的运算次数 所需时间 (1000000次/秒) 1.4×1010 9.0×1012 1.2×1023 1.3×1039 3.9小时 74年 3.8×109 年 4.2×1025年
31
案例：1997年1月，美国RSA数据安全公司举办 了一个密钥挑战竞赛，悬赏1万美金破译密钥长 度为56比特的DES算法。美国克罗拉多州的一个 程序员用了96天时间，在Internet上数万名志愿 者的协同工作下，成功地找到了DES密钥，获得 了一万美金的奖金。这一事件表明用穷举搜索法 破译DES已成为可能。从而使人们认识到随着计 算能力的增长，必须相应地增加算法的密钥长度。
4
通过案例认识电子商务安全问题的紧迫性
1. 国外案例 94年末，俄罗斯一位黑客与其伙伴从圣彼得堡的一家小软 件公司的联网计算机上，向美国城市银行发动了一连串攻 击，通过电子转帐方式，从城市银行在纽约的计算机主机 里窃取1100万美元。 96年8月17日，美国司法部的网络服务器遭到黑客入侵，并 将“美国司法部”的主页改为“美国不公正部”，将司法 部部长的照片换成了阿道夫.希特勒，将司法部徽章换成了 纳粹党徽，并加上一幅色情女郎的图片作为所谓司法部部 长的助手。此外还留下了很多攻击美国司法政策的文字。
物理威胁：自然灾害、窃取、废物搜寻、间谍行为、 操作失误等 系统漏洞威胁：软件缺陷、系统漏洞等 身份鉴别威胁：口令圈套、口令破解、编辑口令等 有害程序威胁：病毒、逻辑炸弹、特洛伊木马、间 谍软件等 网络信息污染
13
11.2 电子商务安全威胁和安全需求
11.2.1 电子商务的安全问题 11.2.2 电子商务的安全需求
32
4.对称加密系统的优缺点分析
使用对称加密系统对信息进行加密和解密具有计算 量小、加密速度快、效率高的优点，一般广泛应用 于对大量数据文件的加解密过程中。
33
但同时也存在缺点：
密钥的安全分发过程比较复杂和困难。密钥是对称 加密系统保密通信安全的关键，通信双方必须要持 有同一把密钥，且不能让他人知道，一旦密钥泄露， 则信息就失去了保密性。所以发信方必须安全、妥 善地把密钥送到收信方。如何才能把密钥安全地送 到收信方，是对称加密技术的突出问题。
数据加密标准DES，由IBM开发，1977年被美国国 家标准局作为美国联邦标准，是运用最普遍的对称 加密算法。 国际信息加密算法IDEA：1991年研制成功，密钥长 度达128位。 高级加密标准AES：1997年研制，密钥长度可以为 128、192、256位。
除此之外，对称加密算法还包括有：3DES、RC4、RC5等
27
二、对称加密系统
1.概念
对称加密又叫做私有密钥加密，其特点是数据 的发送方和接收方使用同一把私有密钥，即把 明文加密成密文和把密文解密成明文用的是同 一把私有密钥。 这就要求通信双方必须都要获得这把钥匙并保 持它的秘密。对于一个比较好的对称加密系统 来说，除非在解密时能提供正确的密钥，否则 是不可能利用解密功能来获得明文信息的。
网上交易的双方很可能素昧平生，相隔千里。 要使交易成功，首先要确认对方的身份。对于 商家要考虑客户端不能是骗子，而客户也会担 心网上的商店是否是一个玩弄欺诈的黑店。 因此能方便而可靠地确认对方身份是网上交易 的前提。目前主要采用认证技术对各方身份真 实性进行认证。
19
四、不可抵赖性
不可抵赖性是防止一方对交易或通信发生后进 行否认。 在无纸化的电子商务方式下，不可能像在传统 的纸面交易中通过手写签名和印章进行双方的 鉴别，一般通过电子记录和电子和约等方式来 表达。 目前，防止抵赖主要通过数字签名技术来实现。
26
举例
将字母A、B、C、……X、Y、Z的自然顺序保持 不变，但使之与E、F、G、 ……B、C、D相对应， 即相差4个字母顺序。这条规则就是加密算法， 其中4即为密钥。 若原信息是How are you，依照这个加密算法和密 钥，则加密后的密文就是LSAEVICSY。不知道 算法和密钥的人，是很难将这条密文还原成How are you的。如果将密钥换成7，则得到的密文又 是不同的。