电子商务安全技术
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第五章 电子商务安全技术
第一节 电子商务安全的概述 一、电子商务安全的概念 电子商务安全是一个系统的概念，不仅 与计算机信息网络系统有关，还与电子商务 应用的环境、人员素质和社会因素有关。它 是物理安全、网络安全、数据安全、信息内 容安全、信息基础设施安全与公共及国家信 息安全的总和。可从以下几方面来理解： 1、安全是一个系统的概念； 2、安全是相对的； 3、安全是有成本的和代价的； 4、安全是发展的、动态的。
三、我国电子商务安全的现状 1、基础技术相对薄弱 2、体系结构不完整 3、支持产品不过硬 4、多种“威胁”纷杂交织、频频发 生
第二节
网络安全技术
一、操作系统安全 操作系统是计算机的核心软件，操作系 统的安全对计算机的安全起着至关重要的 作用，操作系统的安全性主要是对外部攻 击的防范，保证数据的保密性、完整性和 可用性。 （一）操作系统安全分类 1、按安全级别：低、中、高 2、按安全机制：具体的和广义的
二、电子商务的安全问题 1、电子商务中存在的安全问题 由于非法入侵者的侵入，造成商务信 息被篡改、盗窃或丢失；商业机密在传输 过程中被第三方获悉，甚至被恶意窃取、 篡改和破坏；虚假身份的交易对象及虚假 订单、合同；贸易对象的抵赖；由于计算 机系统故障对交易过程和商业信息安全所 造成的破坏。
2、电子商务的安全要素 （1）完整性 （2）机密性 （3）不可否认性 （4）真实性 （5）可靠性 （6）可用性
下载根 CA
三、数字证书 数字证书采用公－私钥密码体制，用户 拥有一把仅为本人所掌握的私钥，用它进行 解密和数字签名；同时拥有一把公钥，并可 以对外公开，用于信息加密和签名验证。 数字证书可用于：发送安全电子邮件、 访问安全站点、网上证券交易、网上采购招 标、网上办公、网上保险、网上税务、网上 签约和网上银行等安全电子事务处理和安全 电子交易活动。
Βιβλιοθήκη Baidu
1、数字证书的内容 证书拥有者的姓名； 证书拥有者的公钥； 公钥的有限期； 颁发数字证书的单位； 颁发数字证书单位的数字签名； 数字证书的序列号等。
查看证书内容（ ） 图 查看证书内容（1）
查看证书内容（ ） 图 查看证书内容（2）
查看证书内容（ ） 图 查看证书内容（3）
2、数字证书的类型 （1）从证书的使用者分类： 个人数字证书 机构数字证书 设备数字证书 （2）从证书的用途分类： 签名证书 加密证书
例如：采用移位加密法，使移动3位后的 英文字母表示原来的英文字母，对应关 系如下：
加密 GOOD 明文 JRRF 密文
二、对称加密技术 （1）在首次通信前，双方必须通过除网络 以外的另外途径传递统一的密钥。 （2）当通信对象增多时，需要相应数量的 密钥。 （3）对称加密是建立在共同保守秘密的基 础之上的，在管理和分发密钥过程中，任 何一方的泄密都会造成密钥的失效，存在 着潜在的危险和复杂的管理难度。
明 加密 密 文 密钥A 文
发送方
密 解密 明 文 密钥A 文
接收方
图 对称密钥加解密的过程
三、非对称加密技术（公—私钥加密技术） 非对称加密技术采用RSA算法，加密 和解密使用两把密钥，一把称公钥，另一 把称私钥，两把密钥实际上是两个很大的 质数，用其中的一个质数与明文相乘，可 以加密得到密文；用另一个质数与密文相 乘可以解密，但不能用一个质数求得另一 个质数。
第五节 安全电子交易技术 一、SSL协议 安全套接层协议SSL（Secure Sockets Layer）位于TCP/IP协议与各种应用层协 议之间，使用公开密钥体制和数字证书技 术来确保数据在传输过程中不会被截取及 窃听。 SSL协议的缺陷：支付过程的单一认 证，有利于商家，不利于消费者。
二、SET协议 安 全 电 子 交 易 协 议 SET（Secure Electronic Transaction）的核心技术有 对称加密技术、 非对称加密技术、数字签 名技术、Hash算法及公共密钥授权机制等。 SET协议比较复杂、设计严格、安全性 高，解决了SSL协议的缺陷，成为目前公认 的信用卡网上交易的国际安全标准。
（三）计算机病毒的特点 隐蔽性、传染性、潜伏性、 可激发性、 破坏性 （四）计算机病毒的防治方法 1、定期使用杀毒软件杀毒； 2、及时升级杀毒软件； 3、不预览可疑邮件； 4、使用外来磁盘前先查杀病毒； 5、备份重要数据。
第三节 信息安全技术 一、密码学概述 将明文数据进行某种变换，使其成为 不可理解的形式，这个过程就是加密，这种 不可理解的形式称为密文。解密是加密的逆 过程，即将密文还原成明文。 加密和解密必须依赖两个要素，这两 个要素就是算法和密钥。算法是加密和解密 的计算方法；密钥是加密和加密所需的一串 数字。
明 加密 密 文 公钥A 文
发送方
密 解密 明 文 私钥B 文
接收方
图 非对称密钥加解密的过程
第四节 电子商务的认证技术 一、认证技术概述 认证技术是整个信息安全体系的基础。 认证技术主要用于信息认证，确认信息发 送者的身份，防止假冒；验证信息的完整 性，即确认信息在传送或存储过程中未被 篡改过。常用的安全认证技术主要有数字 摘要、数字签名、数字证书、数字时间戳、 数字信封等。
二、认证机构 认证机构担负着身份认证的重要职责， 主要包括三部分：注册服务器、注册管理机 构、证书管理机构。 我国的CA认证建设还处于起步阶段，没 CA 有完整的统筹和协调，存在交叉认证的互不 兼容情况，急需一个全国性的、完整的和层 次性合理的CA基础设施为电子商务的发展 保驾护航。
1、认证机构的功能：核发证书、管理证书、 搜索证书、验证证书 2、例子：中国数字认证网
Hash 算法 摘要 1 Internet 原文 数字 时间戳
加时间 摘要 1 摘要1 +时间
Hash 算法 加了时间后 的新摘要
用 DTS 机构的私钥加密 数字 时间戳 DTS 机构
发送方
（四）数字证书 数字证书是用电子手段来证实一个用户 的身份及用户对网络资源的访问权限。在 电子商务交易中，任何信用卡持卡人只有 申请到相应的数字证书，才能参加安全的 电子商务网上交易。 （五）数字信封 用来保证只有规定的收信人才能阅读到 信的内容。
（一）数字摘要
Hash 算法 摘要 Internet 对比？ 原文 原文 Hash 算法 摘要 发送方 摘要
接收方
（二）数字签名
Hash 算法 摘要 发送者 私钥加密 数字 签名 Internet 对比？ 原文 原文 Hash 算法 摘要 数字 签名 发送者 公钥解密 摘要
发送方
接收方
（三）数字时间戳
（二）操作系统安全性威胁的因素 1、桌面操作系统的安全因素； 2、系统安全性攻击。 （三）操作系统安全管理 1、系统级安全管理 2、用户级安全管理 3、文件级安全管理
二、防火墙技术 （一）防火墙的定义 防火墙是一种将内部网和公众访问网分 开的方法，实际上是一种隔离技术，是安全 网络和非安全网络的之间的一道屏障，以防 不可预测的、潜在的网络入侵。 （二）防火墙的分类 包过滤型 NAT型 代理型 监测型
三、VPN(虚拟专用网)技术 （一）VPN的概念 VPN技术是一种在公用互联网络上构造 专用网络的技术，将物理上分布在不同地 点的专用网络，通过公共网络造成逻辑上 的虚拟子网，进行安全的通信。 （二）VPN的优势 安全通道 灵活性 低成本 可扩展性
便于管理 服务质量保证
四、病毒防范技术 （一）计算机病毒定义 计算机病毒是一种人为编制的程序或指 令集合，这种程序能潜伏在计算机系统中， 并通过自我复制传播和扩散，在一定条件 下被激活，给计算机带来故障和破坏。 （二）计算机病毒的分类 引导区病毒、文件型病毒、复合型病毒、宏 病毒、特洛伊木马、蠕虫及其他病毒
第一节 电子商务安全的概述 一、电子商务安全的概念 电子商务安全是一个系统的概念，不仅 与计算机信息网络系统有关，还与电子商务 应用的环境、人员素质和社会因素有关。它 是物理安全、网络安全、数据安全、信息内 容安全、信息基础设施安全与公共及国家信 息安全的总和。可从以下几方面来理解： 1、安全是一个系统的概念； 2、安全是相对的； 3、安全是有成本的和代价的； 4、安全是发展的、动态的。
三、我国电子商务安全的现状 1、基础技术相对薄弱 2、体系结构不完整 3、支持产品不过硬 4、多种“威胁”纷杂交织、频频发 生
第二节
网络安全技术
一、操作系统安全 操作系统是计算机的核心软件，操作系 统的安全对计算机的安全起着至关重要的 作用，操作系统的安全性主要是对外部攻 击的防范，保证数据的保密性、完整性和 可用性。 （一）操作系统安全分类 1、按安全级别：低、中、高 2、按安全机制：具体的和广义的
二、电子商务的安全问题 1、电子商务中存在的安全问题 由于非法入侵者的侵入，造成商务信 息被篡改、盗窃或丢失；商业机密在传输 过程中被第三方获悉，甚至被恶意窃取、 篡改和破坏；虚假身份的交易对象及虚假 订单、合同；贸易对象的抵赖；由于计算 机系统故障对交易过程和商业信息安全所 造成的破坏。
2、电子商务的安全要素 （1）完整性 （2）机密性 （3）不可否认性 （4）真实性 （5）可靠性 （6）可用性
下载根 CA
三、数字证书 数字证书采用公－私钥密码体制，用户 拥有一把仅为本人所掌握的私钥，用它进行 解密和数字签名；同时拥有一把公钥，并可 以对外公开，用于信息加密和签名验证。 数字证书可用于：发送安全电子邮件、 访问安全站点、网上证券交易、网上采购招 标、网上办公、网上保险、网上税务、网上 签约和网上银行等安全电子事务处理和安全 电子交易活动。
Βιβλιοθήκη Baidu
1、数字证书的内容 证书拥有者的姓名； 证书拥有者的公钥； 公钥的有限期； 颁发数字证书的单位； 颁发数字证书单位的数字签名； 数字证书的序列号等。
查看证书内容（ ） 图 查看证书内容（1）
查看证书内容（ ） 图 查看证书内容（2）
查看证书内容（ ） 图 查看证书内容（3）
2、数字证书的类型 （1）从证书的使用者分类： 个人数字证书 机构数字证书 设备数字证书 （2）从证书的用途分类： 签名证书 加密证书
例如：采用移位加密法，使移动3位后的 英文字母表示原来的英文字母，对应关 系如下：
加密 GOOD 明文 JRRF 密文
二、对称加密技术 （1）在首次通信前，双方必须通过除网络 以外的另外途径传递统一的密钥。 （2）当通信对象增多时，需要相应数量的 密钥。 （3）对称加密是建立在共同保守秘密的基 础之上的，在管理和分发密钥过程中，任 何一方的泄密都会造成密钥的失效，存在 着潜在的危险和复杂的管理难度。
明 加密 密 文 密钥A 文
发送方
密 解密 明 文 密钥A 文
接收方
图 对称密钥加解密的过程
三、非对称加密技术（公—私钥加密技术） 非对称加密技术采用RSA算法，加密 和解密使用两把密钥，一把称公钥，另一 把称私钥，两把密钥实际上是两个很大的 质数，用其中的一个质数与明文相乘，可 以加密得到密文；用另一个质数与密文相 乘可以解密，但不能用一个质数求得另一 个质数。
第五节 安全电子交易技术 一、SSL协议 安全套接层协议SSL（Secure Sockets Layer）位于TCP/IP协议与各种应用层协 议之间，使用公开密钥体制和数字证书技 术来确保数据在传输过程中不会被截取及 窃听。 SSL协议的缺陷：支付过程的单一认 证，有利于商家，不利于消费者。
二、SET协议 安 全 电 子 交 易 协 议 SET（Secure Electronic Transaction）的核心技术有 对称加密技术、 非对称加密技术、数字签 名技术、Hash算法及公共密钥授权机制等。 SET协议比较复杂、设计严格、安全性 高，解决了SSL协议的缺陷，成为目前公认 的信用卡网上交易的国际安全标准。
（三）计算机病毒的特点 隐蔽性、传染性、潜伏性、 可激发性、 破坏性 （四）计算机病毒的防治方法 1、定期使用杀毒软件杀毒； 2、及时升级杀毒软件； 3、不预览可疑邮件； 4、使用外来磁盘前先查杀病毒； 5、备份重要数据。
第三节 信息安全技术 一、密码学概述 将明文数据进行某种变换，使其成为 不可理解的形式，这个过程就是加密，这种 不可理解的形式称为密文。解密是加密的逆 过程，即将密文还原成明文。 加密和解密必须依赖两个要素，这两 个要素就是算法和密钥。算法是加密和解密 的计算方法；密钥是加密和加密所需的一串 数字。
明 加密 密 文 公钥A 文
发送方
密 解密 明 文 私钥B 文
接收方
图 非对称密钥加解密的过程
第四节 电子商务的认证技术 一、认证技术概述 认证技术是整个信息安全体系的基础。 认证技术主要用于信息认证，确认信息发 送者的身份，防止假冒；验证信息的完整 性，即确认信息在传送或存储过程中未被 篡改过。常用的安全认证技术主要有数字 摘要、数字签名、数字证书、数字时间戳、 数字信封等。
二、认证机构 认证机构担负着身份认证的重要职责， 主要包括三部分：注册服务器、注册管理机 构、证书管理机构。 我国的CA认证建设还处于起步阶段，没 CA 有完整的统筹和协调，存在交叉认证的互不 兼容情况，急需一个全国性的、完整的和层 次性合理的CA基础设施为电子商务的发展 保驾护航。
1、认证机构的功能：核发证书、管理证书、 搜索证书、验证证书 2、例子：中国数字认证网
Hash 算法 摘要 1 Internet 原文 数字 时间戳
加时间 摘要 1 摘要1 +时间
Hash 算法 加了时间后 的新摘要
用 DTS 机构的私钥加密 数字 时间戳 DTS 机构
发送方
（四）数字证书 数字证书是用电子手段来证实一个用户 的身份及用户对网络资源的访问权限。在 电子商务交易中，任何信用卡持卡人只有 申请到相应的数字证书，才能参加安全的 电子商务网上交易。 （五）数字信封 用来保证只有规定的收信人才能阅读到 信的内容。
（一）数字摘要
Hash 算法 摘要 Internet 对比？ 原文 原文 Hash 算法 摘要 发送方 摘要
接收方
（二）数字签名
Hash 算法 摘要 发送者 私钥加密 数字 签名 Internet 对比？ 原文 原文 Hash 算法 摘要 数字 签名 发送者 公钥解密 摘要
发送方
接收方
（三）数字时间戳
（二）操作系统安全性威胁的因素 1、桌面操作系统的安全因素； 2、系统安全性攻击。 （三）操作系统安全管理 1、系统级安全管理 2、用户级安全管理 3、文件级安全管理
二、防火墙技术 （一）防火墙的定义 防火墙是一种将内部网和公众访问网分 开的方法，实际上是一种隔离技术，是安全 网络和非安全网络的之间的一道屏障，以防 不可预测的、潜在的网络入侵。 （二）防火墙的分类 包过滤型 NAT型 代理型 监测型
三、VPN(虚拟专用网)技术 （一）VPN的概念 VPN技术是一种在公用互联网络上构造 专用网络的技术，将物理上分布在不同地 点的专用网络，通过公共网络造成逻辑上 的虚拟子网，进行安全的通信。 （二）VPN的优势 安全通道 灵活性 低成本 可扩展性
便于管理 服务质量保证
四、病毒防范技术 （一）计算机病毒定义 计算机病毒是一种人为编制的程序或指 令集合，这种程序能潜伏在计算机系统中， 并通过自我复制传播和扩散，在一定条件 下被激活，给计算机带来故障和破坏。 （二）计算机病毒的分类 引导区病毒、文件型病毒、复合型病毒、宏 病毒、特洛伊木马、蠕虫及其他病毒