电子商务安全技术 ppt课件
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子商务安全面临的问题 电子商务安全的要求
电子商务安全技术
2018/12/2
3
一 电子商务所面临的安全问题
电子商务中的安全隐患可分为如下几类： 1.信息的截获和窃取 2.信息的篡改 3.信息假冒 4.交易抵赖
2018/12/2
4
二 电子商务安全要求
数据完整性 即数据在传输过程中的完整性 . 也就是数据在发送 前和到达后是否完全一样. 数据保密性 即数据是否会被非法窃取. 数据可用性 即当需要时能否存取所需的信息 , 或在系统故障的 情况下数据会否丢失. 身份认证
对称算法
• 基于密钥的算法通常有两类：对称算法和公开密钥算法。
源自文库
2018/12/2
18
算法和密钥
• 对称算法（symmetric algorithm）有时又叫传统密码算法，就 是加密密钥能够从解密密钥推算出来，反过来也成立。在大多 数对称算法中，加/解密密钥是相同的。这些算法也叫做秘密密 钥算法或单钥算法，它要求发送者和接收者在安全通信之前， 商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意 味着任何人都能对消息进行加/解密。只要通信需要保密，密钥 就必须保密。
密文
解密
原始明文
15
算法和密钥
算法和密钥
• 密码算法（algorithm）也叫密码（cipher），适用于加密和解 密的数学函数。（通常情况下有两个相关的函数，一个用来加 密，一个用来解密） • 如果算法的保密性是基于保持算法的秘密，这种算法称为受限 制的（restricted）算法。受限制的算法不可能进行质量控制或 标准化。每个用户和组织必须由他们自己唯一的算法。
第四章 电子商务安全技术
案例 学习目标
学习内容
2018/12/2
1
案例
国外
早期，Yahoo, ebay, Amazon 等著名网站被黑客攻击，直接和间接损失10亿美元。
国内
早期，有人利用普通的技术，从电子商务网站窃取到8万个信用卡号和密码，标价26万 元出售。
2018/12/2
2
第四章 电子商务安全技术
系
网络
网络安全内容----网络安全体系
企业级安全
总 体 规 划 安 全 业 务 调 度 安 全 功 能 设 计 安 全 职 能 划 分 安 全 安 全 政 策 法 规
应用级安全
文 件 安 全
目 录 安 全
数 据 安 全
邮 件 安 全
群 件 安 全
事 件 安 全
系统级安全
平 台 安 全
操 作 系 统 安 全
安 全 管 理 体 系
网络安全技术 病毒防范 身份识别技术 防火墙技术 分组过滤和代理服 务等
法律、法规、政策
2018/12/2 8
系 统 级 别
……
安 全 模 型
身份认证 地址过滤 访问控制 管 理
级 级 用 级 统 级 络 网
信息
信 道 加 密
信 源 加 密
密 级 管 理
应
。 。 。 。 。 。
2018/12/2
16
算法和密钥
• 现代密码学用密钥（key）解决了这个问题。
密钥 明文 加密 密文
密钥 解密 原始明文
加密 密钥
解密 密钥
明文
2018/12/2
加密
密文
解密
原始明文
17
算法和密钥
• 所有这些算法的安全性都基于密钥的安全性；而不是基于算法 的安全性。这就意味着算法可以公开，也可以被分析，可以大 量生产使用算法的产品，即使偷听者知道你的算法也没有关系。 • 密码系统由（cryptosystem）由算法以及所有可能的明文、密 文和密钥组成。
三 电子商务安全内容
2018/12/2 6
商务交易安全紧紧围绕传统商务在互联网络 上应用时产生的各种安全问题，在计算机网络安 全的基础上，如何保障电子商务过程的顺利进行。 即实现电子商务的保密性、完整性、可鉴别性、 不可伪造性和不可抵赖性。
2018/12/2
7
电子商务安全构架
交易安全技术 安全应用协议 SET、SSL 安全认证手段 数字签名、CA体系 基本加密算法 对称和非对称密算法
全分 布 系 统 管 理 安 协 议 安 全
用 户 管 理 安 全
故 障 诊 断
系 统 监 控 安 全
网 络 运 行 监 测
网络级安全
物 理 安 全
链 路 安 全
...
广 域 网 安 全
节 点 安 全
信 息 传 输 安 全
路 由 安 全
电子商务安全要求对应的安全技术
2018/12/2
11
数据完整性机制
奇 偶 位 、 校 验 和 、 循 环 冗 余 校 验 CRC(Cyclic Redundancy Check）
消息发送方可同时发送该消息的校验值，消息接收方接到 消息时只需要重新计算一次校验值，并比较两校验值是否 相同就可以判断该消息是否正确了。
以上技术不能绝对保证数据的完整性，2个原因:
1. 如果校验值和消息数据同时破坏，且改变后的校验值和消 息又正巧匹配，则系统无法发现错误。 2.1中所述技术上的缺陷，可能被人恶意利用。
2018/12/2 12
数据完整性机制
消息验证码(MAC) 1. 为防止传输和存储的消息被有意或无意地篡改， 采用密码技术对消息进行运算生成消息验证码 （MAC ），附在消息之后发出或与信息一起 存 储，对信息进行认证。
2. 计算MAC的算法是不可逆的。
3. 加密的数据和MAC一起发送给接收者，接收者就 可以用MAC来校验加密数据，保证数据没有被窜 改 过 。
2018/12/2
13
数据保密性机制
加密与解密 算法和密钥
数据加密标准DES
公开密钥密码体制 数字签名
2018/12/2
14
加密与解密
消息（ message ）被称为明文（ plaintext ）。用 某种方法伪装消息以隐藏它的内容的过程称为加密 （ encryption ） ， 被 加 密 的 消 息 称 为 密 文 （ciphertext ），而把密文转变为明文的过程称为解 密（decryption）。
明文
加密
2018/12/2
2018/12/2 对信息的传播即内容具有控制能力 . 5
电子商务安全从整体上可分为两大部分： 计算机网络安全和商务交易安全 , 两者相辅相成， 缺一不可。 计算机网络安全的内容包括：计算机网络 设备安全、计算机网络系统安全、数据库安全等。 其特征是针对计算机网络本身可能存在的安全问 题，实施网络安全增强方案，以保证计算机网络 自身的安全性为目标。
电子商务安全技术
2018/12/2
3
一 电子商务所面临的安全问题
电子商务中的安全隐患可分为如下几类： 1.信息的截获和窃取 2.信息的篡改 3.信息假冒 4.交易抵赖
2018/12/2
4
二 电子商务安全要求
数据完整性 即数据在传输过程中的完整性 . 也就是数据在发送 前和到达后是否完全一样. 数据保密性 即数据是否会被非法窃取. 数据可用性 即当需要时能否存取所需的信息 , 或在系统故障的 情况下数据会否丢失. 身份认证
对称算法
• 基于密钥的算法通常有两类：对称算法和公开密钥算法。
源自文库
2018/12/2
18
算法和密钥
• 对称算法（symmetric algorithm）有时又叫传统密码算法，就 是加密密钥能够从解密密钥推算出来，反过来也成立。在大多 数对称算法中，加/解密密钥是相同的。这些算法也叫做秘密密 钥算法或单钥算法，它要求发送者和接收者在安全通信之前， 商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意 味着任何人都能对消息进行加/解密。只要通信需要保密，密钥 就必须保密。
密文
解密
原始明文
15
算法和密钥
算法和密钥
• 密码算法（algorithm）也叫密码（cipher），适用于加密和解 密的数学函数。（通常情况下有两个相关的函数，一个用来加 密，一个用来解密） • 如果算法的保密性是基于保持算法的秘密，这种算法称为受限 制的（restricted）算法。受限制的算法不可能进行质量控制或 标准化。每个用户和组织必须由他们自己唯一的算法。
第四章 电子商务安全技术
案例 学习目标
学习内容
2018/12/2
1
案例
国外
早期，Yahoo, ebay, Amazon 等著名网站被黑客攻击，直接和间接损失10亿美元。
国内
早期，有人利用普通的技术，从电子商务网站窃取到8万个信用卡号和密码，标价26万 元出售。
2018/12/2
2
第四章 电子商务安全技术
系
网络
网络安全内容----网络安全体系
企业级安全
总 体 规 划 安 全 业 务 调 度 安 全 功 能 设 计 安 全 职 能 划 分 安 全 安 全 政 策 法 规
应用级安全
文 件 安 全
目 录 安 全
数 据 安 全
邮 件 安 全
群 件 安 全
事 件 安 全
系统级安全
平 台 安 全
操 作 系 统 安 全
安 全 管 理 体 系
网络安全技术 病毒防范 身份识别技术 防火墙技术 分组过滤和代理服 务等
法律、法规、政策
2018/12/2 8
系 统 级 别
……
安 全 模 型
身份认证 地址过滤 访问控制 管 理
级 级 用 级 统 级 络 网
信息
信 道 加 密
信 源 加 密
密 级 管 理
应
。 。 。 。 。 。
2018/12/2
16
算法和密钥
• 现代密码学用密钥（key）解决了这个问题。
密钥 明文 加密 密文
密钥 解密 原始明文
加密 密钥
解密 密钥
明文
2018/12/2
加密
密文
解密
原始明文
17
算法和密钥
• 所有这些算法的安全性都基于密钥的安全性；而不是基于算法 的安全性。这就意味着算法可以公开，也可以被分析，可以大 量生产使用算法的产品，即使偷听者知道你的算法也没有关系。 • 密码系统由（cryptosystem）由算法以及所有可能的明文、密 文和密钥组成。
三 电子商务安全内容
2018/12/2 6
商务交易安全紧紧围绕传统商务在互联网络 上应用时产生的各种安全问题，在计算机网络安 全的基础上，如何保障电子商务过程的顺利进行。 即实现电子商务的保密性、完整性、可鉴别性、 不可伪造性和不可抵赖性。
2018/12/2
7
电子商务安全构架
交易安全技术 安全应用协议 SET、SSL 安全认证手段 数字签名、CA体系 基本加密算法 对称和非对称密算法
全分 布 系 统 管 理 安 协 议 安 全
用 户 管 理 安 全
故 障 诊 断
系 统 监 控 安 全
网 络 运 行 监 测
网络级安全
物 理 安 全
链 路 安 全
...
广 域 网 安 全
节 点 安 全
信 息 传 输 安 全
路 由 安 全
电子商务安全要求对应的安全技术
2018/12/2
11
数据完整性机制
奇 偶 位 、 校 验 和 、 循 环 冗 余 校 验 CRC(Cyclic Redundancy Check）
消息发送方可同时发送该消息的校验值，消息接收方接到 消息时只需要重新计算一次校验值，并比较两校验值是否 相同就可以判断该消息是否正确了。
以上技术不能绝对保证数据的完整性，2个原因:
1. 如果校验值和消息数据同时破坏，且改变后的校验值和消 息又正巧匹配，则系统无法发现错误。 2.1中所述技术上的缺陷，可能被人恶意利用。
2018/12/2 12
数据完整性机制
消息验证码(MAC) 1. 为防止传输和存储的消息被有意或无意地篡改， 采用密码技术对消息进行运算生成消息验证码 （MAC ），附在消息之后发出或与信息一起 存 储，对信息进行认证。
2. 计算MAC的算法是不可逆的。
3. 加密的数据和MAC一起发送给接收者，接收者就 可以用MAC来校验加密数据，保证数据没有被窜 改 过 。
2018/12/2
13
数据保密性机制
加密与解密 算法和密钥
数据加密标准DES
公开密钥密码体制 数字签名
2018/12/2
14
加密与解密
消息（ message ）被称为明文（ plaintext ）。用 某种方法伪装消息以隐藏它的内容的过程称为加密 （ encryption ） ， 被 加 密 的 消 息 称 为 密 文 （ciphertext ），而把密文转变为明文的过程称为解 密（decryption）。
明文
加密
2018/12/2
2018/12/2 对信息的传播即内容具有控制能力 . 5
电子商务安全从整体上可分为两大部分： 计算机网络安全和商务交易安全 , 两者相辅相成， 缺一不可。 计算机网络安全的内容包括：计算机网络 设备安全、计算机网络系统安全、数据库安全等。 其特征是针对计算机网络本身可能存在的安全问 题，实施网络安全增强方案，以保证计算机网络 自身的安全性为目标。