电子商务课件3.ppt

3.1 概述 电子商务的发展给人们的工作和生活带来了便利与更多 的选择，电子商务因其诸多的优点而为人们喜爱，以前所未 有的速度日益普及和深入，而电子商务安全技术则是网络交 易的安全保证。谁都不愿意通过一个不安全的网络进行商务 交易，这样会导致商业机密信息或个人隐私的泄漏，从而导 致巨大的利益损失。 常见的安全隐患 v信息的截获和窃取 v信息的篡改 v信息假冒 v交易抵赖 用户的安全需求 v机密性 v完整性 v认证性 v不可抵赖性 v有效性 3.2防火墙技术 什么是防火墙？ 简单来说，防火墙是这样的一个系统， 它能用来屏蔽、阻拦数据报，只允许授权的 数据报通过，以保护网络的安全性。 防火墙的类型 防火墙的类型 包过滤防火墙 代理服务器攻击探测防 火墙 3.3 加密技术 加密是一种限制对网络上传输数据的访问权的技术 。原始数据（也称为明文，plaintext)被加密设备(硬件或 软件)和密钥加密而产生的经过编码的数据称为密文。将 密文还原为原始明文的过程称为解密，它是加密的反向 处理，但解密者必须利用相同类型的加密设备和密钥对 密文进行解密。 加密的基本功能 加密方式 链路加密 节点加密端对端加密 私用密钥和公开密钥 私用密钥加密利用一个密钥对数据进行加密，对方接收 到数据后，需要用同一密钥来进 行解密。这种加密技术的特 点是数学运算量小，加密速度快，其主要弱点在于密钥管理 困难，而且一旦密钥泄露则直接影响到信息的安全性。 l976年，Diffie和Hellman首次提出公开密钥加密体制， 即每个人都有一对密钥，其中一个为公开的，一个为私有的 。发送信息时用对方的公开密钥加密，收信者用自己的私用 密钥进行解密。公开密钥加密算法的核心是运用一种特殊的 数学函数一单向陷门函数，即从一个方向求值是容易的。但 其逆向计算却很困难，从而在实际上成为不可行的。公开密 钥加密技术它不仅保证了安全性又易于管理。其不足是加密 和解密的时间长。 3.4 数字签名 数字签名是一种确保电子文档（电子邮件、电子表格、 文本文件等）真实可靠的方法。真实可靠的含义是：您知道 文档是谁创建的，并且知道在作者创建该文档之后，没有人 对其进行过任何形式的修改。数字签名依靠某些类型的加密 技术来验证身份。身份验证是指验证相关信息是来自可信来 源的过程。这两个过程共同实现数字签名的功能。 数字摘要 数字摘要是将任意长度的消息变成固定长度的短消息， 它类似于一个自变量是消息的函数，也就是Hash函数。数字 摘要就是采用单项Hash函数将需要加密的明文“摘要”成一串 固定长度（128位）的密文这一串密文又称为数字指纹，它 有固定的长度，而且不同的明文摘要成密文，其结果总是不 同的，而同样的明文其摘要必定一致。一个Hash函数的好坏 是由发生碰撞的概率决定的。如果攻击者能够轻易地构造出 两个消息具有相同的Hash值，那么这样的Hash函数是很危 险的。 数字签名的功能 v电子制章 v数字签名 v文档验证 v签名认证 v撤消签名 v查看证书 v查看签名时间 v删除样章 v文档锁定 v打印份数设置 3.5 认证技术 为了解决身份验证、交易的不可否认这两个问题，就必 须引入一个公正的裁判，一个交易双方均信任的第三方，对 买卖双方进行身份验证，以使交易的参与者确信自己确实是 在与对方交易。同时，在公开密钥体系中，公开密钥的真实 性鉴别是一个重要问题。这个各方均信任的裁判就是CA安 全认证机构。 数字证书 数字证书（Digital Certificate, Digital ID），又称为数 字凭证、数字标识。它含有证书持有者的有关信息，以标 识他们的身份。参与网上交易活动的各方（如持卡人、商 家、支付网关） ，每次交易时，都要通过数字证书对各方 的身份进行验证。 数字证书的类型 数字证书的类型 个人证书 企业（服务 器）证书 软件（开发 者）证书 证书颁发 CA就是认证中心(Certificate Authority)，它是提供身 份验证的第三方机构, 认证中心通常是企业性的服务机构， 主要任务是受理数字凭证的申请、签发及对数字凭证的管 理。认证中心依据认证操作规定来实施服务操作。 双重数字签名 双重数字签名的实现步骤： 1. 信息发送者A对发给 B的信息1生成信息摘要1。 2. 信息发送者A对发给 C的信息2生成信息摘要2。 3. 信息发送者A把信息摘要1和信息摘要2合在一起，对其生成信息摘要3，并 使用自己的私钥签名信息摘要3。 4. 发信息者A把信息1、信息摘要2和信息摘要3的签名发给B，B得不到信息2。 5. 发信息者A把信息2、信息摘要1和信息摘要3的签名发给C，C得不到信息1。 6. B接收信息后，对信息1生成信息摘要，把这信息摘要和收到的信息摘要2合 在一起，并对其生成新的信息摘要，同时使用信息发送者A的公钥对信息摘要3的 签名进行验证，以确认信息发送者A的身份和信息是否被修改过。 7. C接收信息后，对信息2生成信息摘要，把这信息摘要和收到的信息摘要1合 在一起，并对其生成新的信息摘要，同时使用信息发送者A的公钥对信息摘要3的 签名进行验证，以确认信息发送者A的身份和信息是否被修改过。 3.6 电子商务安全协议 电子商务支付系统的安全要求包括：保密性、认证、数据 完整性、交互操作性等。目前，国内外使用的保障电子商务支 付系统安全的协议包括：SSL(Secure Socket Layer,安全套 按字层)、SET(SecureElectronicTransaction)等协议标准。 SSL协议 SSL协议是Netscape公司在网络传输层之上提供的一 种基于RSA和保密密钥的用于浏览器和Web服务器之间的 安全连接技术。SSL在两个结点间建立安全的TCP连接， 基于进程对进程的安全服务和加密传输信道，通过数字签 名和数字证书可实现浏览器和Web服务器双方的身份验证 ，安全强度高。 SSL协议特点 SL支持各种加密算法。在“握手”过程中，使用RSA公开 密钥系统。密钥交换后，使用一系列密码，包括RC2、RC4 、IDEA、DES、triple-DES及MD5 信息摘要算法。 SSL协议实现简单，独立于应用层协议，且被大部分的 浏览器和Web服务器所内置，便于在电子交易中应用，国际 著名的CyberCash信用卡支付系统就支持这种简单加密模式 ，IBM等公司也提供这种简单加密模式的支付系统。 SET协议 Text Text Text Text Text SET(Secure Electronic Transaction安全电子交易)是由 VISA和MASTCARD所开发，是为了在Internet上进行在线 交易时保证用卡支付的安全而设立的一个开放的规范。由于 得到了IBM、HP、Microsoft、NetScape、VeriFone、GTE 、VeriSign等很多大公司的支持，它已形成了事实上的工业 标准。 SET协议也可通过双重签名的方法将信用卡信息直接 从客户方透过商家发送到商家的开户行，而不容许商家访问 客户的帐号信息，这样客户在消费时可以确信其信用卡号没 有在传输过程中被窥探，而接收SET交易的商家因为没有访 问信用卡信息，故免去了在其数据库中保存信用卡号的责任 。 移动支付 Text Text Text Text Text 在典型的网上支付模式中，银行建立支付网关和网上支 付系统，为客户提供网上支付服务。 网上支付指令在银行后台进行处理，并通过传统支付系 统完成跨行交易的清算和结算。 消费者前端 消费系统 消费者商家 无线 运营商 商家 管理系统 无线运营商 综合管理系统 手机支付系统的组成 3.7 移动电子商务安全技术 移动电子商务是指通过手机、PDA、掌上电脑等手持移 动终端从事的商务活动。移动电子商务(M-Commerce)，它由 电子商务(E-Commerce)的概念衍生出来，现在的电子商务以 PC机为主要界面，是“有线的电子商务”；而移动电子商务， 则是通过手机、PDA(个人数字助理)这些可以装在口袋里的终 端来实现无论任何时间（Anytime）、任何地点（Anywhere ）都可以处理任何事情（Anything）。 移动电子商务的特点 无 处 不 在 潜 在 用 户 规 模 大 能 较 好 确 认 身 份 定 制 化 服 务 易 于 推 广 使 用 易 于 技 术 创 新 移动电子商务提供的服务 发 卡 行 持 卡 人 商 家 收 单 行 转 接 机 构 设 备 供 应 商 网 络 供 应 商 u银行业务 u交易 u订票 u购物 u娱乐 u无线医疗 u移动应用服务提供 3.8 新信息安全技术 数字水印是信息隐藏技术研究领域的一个重要分支，是 实现版权保护的有效办法。它是通过一定的算法将具有特定 意义的标志性信息(水印)利用数字嵌入的方法隐藏在数字图像 、声音、文档、视频等要保护的数字产品中，这种被嵌入的 水印可以是一段文字、标识、序列号等，用以证明创作者对 其作品的所有权，并作为鉴定、起诉非法侵权的证据，同时 通过对水印的检测和分析来保证数字信息完整性和可靠性。 数字水印技术的特征 1. 不可感知性 有两个方面: 一个指视觉 上的不可见性, 即因嵌入水印导致图像变化对观 察者的 视觉 系统来讲应该 是不可察觉的; 另一方面水印用统计 方法也是不能恢复的, 如对大 量的用同样方法和水印处理过的信息产品即使用统计 方法也无法提取水印或确定水印 的存在。 2. 鲁棒性（Robust） 指不因图像文件的某种改动而导致隐藏信息丢失的能力。这里所谓“改动”包括传输过 程中的信道噪音、滤波操作、重采样、有损编码压缩、D/A 或A/D 转换等。 3. 安全性 指隐藏算法有较强的抗攻击能力, 即它必须能够承受一定程度的人为攻击, 而使隐 藏信息不会被破坏。 4. 不可检测性 指隐蔽载体与原始载体具有一致的特性。如具有一致的统计噪声分布等。使非法拦 截者无法判断是否有隐蔽信息。 5. 无歧义性 恢复出的水印或水印判决的结果应该能够确定地表明所有权, 不会发生多重所有权 的纠纷。 数字水印技术的应用领域 u数字作品的版权保护 u电子商务 u商务交易中的票据防伪 u音像数据的隐藏标识和篡改保护 u数字指纹 信息隐藏与加密 信息隐藏和信息加密都是为了保护秘密信息的存储和传 输，使之免遭破坏和攻击，但两者之间有着显著的区别。信 息加密是利用单钥或双钥密码算法，把明文变换成密文通过 公开信道送到接收者手中。由于密文是一堆乱码，攻击者监 视着信道的通信，一旦截获到乱码，就可以利用已有的对各 种密码体制的攻击方法进行破译。由此可见，信息加密所保 护的是信息的内容。信息隐藏则不同，秘密信息被嵌入表面 上看起来无害的宿主信息中，攻击者无法直观地判断他所监 视的信息中是否含有秘密信息。换句话说，含有隐匿信息的 宿主信息不会引起别人的注意和怀疑。信息隐藏的目的是使 敌手不知道哪里有秘密，它隐藏了信息的存在形式。 身份认证识别技术 电子商务中的信息安全身份识别是为保证交易双方的数 据可信度，而采用不同的现代技术方法完成授权认证的一种 措施。使用者可以根据不同的安全级别采用不同的措施，但 安全级别也有差异。随着生物识别技术的不断发展和完善， 该技术将在电子商务信息安全认证中发挥着重要的作用，应 用前景广阔。为保障电子商务中的数据信息安全可靠。 人脸面部认证识别 人脸面部认证识别是通过对人的面部最普通的生物特征 进行个人身份认证，它是通过对人脸的面部轮廓、形状和五 官的分布特征进行鉴别。属于生物统计学范畴。由于人的面 部主要特征在一定的时期内基本不会发生大的变化，识别可 靠性较高。 指纹识别 指纹识别是分析人的一个指尖表面凸起和凹陷形状所形 成的图像进行身份识别的一种生物技术。每个人的指纹图像 都是由指纹细节组成，每个细节都有惟一物理特征，终生不 变。指纹识别系统同样利用生物统计学原理进行安全认证。 手型识别 手型识别是基于这样一个事实，即每个人的手型实际上 是各不相同的，并且长到一定年龄以后，在相当一段时间内 是不会再变化的。因此通过测量手指的长度、宽度和指关节 等特征参数进行身份认证。 视网膜识别 视网膜识别是对眼睛底部的血管成像进行识别。它是位 于视网膜中心的一个称之为凹部区域的血管部分。对视网膜 识别的数字图像可以通过低密度的可见光束或红外光数据采 集设备直接获取。由于每个人的视网膜各不相同，被认为是 非常理想的生物特征。因此利用视网膜机进行身份认证精度 高，误失率低。 虹膜识别技术 虹膜是指一个人的眼睛由瞳孔和巩膜(眼睛的白区部分)之 间形成的环形区域部分。虹膜认证识别技术不同于视网膜识 别，虽然都是通过人的眼睛采集识别数据，但采集数据的区 域不同，一个在视网膜区，一个在虹膜区，分析的生物特征 信息不同。每个人的虹膜都有惟一的生物特征，即使是孪生 双胞胎，他们的虹膜也是存在差异的。虹膜识别系统是利用 视频相机进行虹膜信息数据采样，并与已经存储在系统中的 样本对比分析，进行身份认证。它的优势是高准确率，虹膜 信息很难使用外科技术进行人为仿造。 语音识别 语音识别是通过对人的声音进行身份认证的一种技术， 分为依据讲话内