项目八：-电子商务安全技术.ppt

河南财政税务高等专科学校 李瑶,电子商务安全技术,河南财政税务高等专科学校,河南财政税务高等专科学校 李瑶,教学目的： 通过本章学习，使学生 了解电子商务安全技术在专业课程学习中的位置 体会电子商务安全的重要性 了解常见的计算机安全问题 掌握电子商务安全的基本概念，原理，技术及应用 教学要求 掌握以下概念 电子商务系统安全 信息的保密性，信息的完整性，信息的不可否认性，交易者身份的真实性，系统的可靠性 加密，解密，算法，密钥，密钥长度 防火墙，对称密钥， 非对称密钥（公钥和私钥）， 消息摘要， 数字时间戳，数字签名，认证中心 ，数字证书 SSL, SET,河南财政税务高等专科学校 李瑶,理解和掌握以下原理 加解密原理 各种加密技术工作原理及其实现的信息安全性，包括防火墙，对称密钥， 非对称密钥（公钥和私钥）， 消息摘要， 数字时间戳，数字签名，认证中心 ，数字证书 各种安全协议工作原理，包括 SSL, SET 认证中心的数形结构 教学重点和难点 各种加密技术工作原理 数字证书的应用 各种安全协议工作原理,河南财政税务高等专科学校 李瑶,8.1 电子商务安全概述 8.2 电子商务安全技术策略 8.3 电子商务交易风险的识别与防范,目 录,项目八 电子商务安全,河南财政税务高等专科学校 李瑶,电子商务发展的核心和关键问题是交易的安全性，这是网上交易的基础，也是电子商务技术的难点所在。目前，因特网上影响交易最大的阻力就是交易安全问题。,序 言,河南财政税务高等专科学校 李瑶,8.1 电子商务安全概述,8.1.1 电子商务系统的安全威胁 8.1.2 电子商务的安全性要求,河南财政税务高等专科学校 李瑶,案例,以“淘宝”为诱饵让买家上当 当日正打算给手机充值的陈小姐在淘宝网上搜索时看到卖家“信誉天使5”在卖移动充值卡，面值100元的卖85元。陈小姐马上和“信誉天使5”联系，后者表示自己也是从其他网站上拿货，而且只有在产生交易订单后才能拿货。他让陈小姐登录网站，用他给的用户名和密码进入然后充值1元钱，再把交易订单发给他。 陈小姐进入该网站登录后看到页面上有一个网上银行支付系统，于是就填了自己的招商银行信用卡账号和密码进行支付，但结果显示密码错误、交易不成功。陈小姐以为密码输入有误，正当她想第二次输入的时候，却突然收到招行发来的“已网络消费499元”的短信提醒。这时，陈小姐恍然大悟，自己的信用卡账号和密码已被“信誉天使5”盗取了。她马上打银行热线冻结账户，但在短短几分钟内还是又被消费了200元。,河南财政税务高等专科学校 李瑶,黑客拿专用盗号器打劫网银 病毒名称：Win32.Hack.Agent.61440 中文名称：网银黑客盗号器61440 病毒类型：盗号木马 病毒目的：盗窃用户的网银账号 本期医生：咖啡猪,河南财政税务高等专科学校 李瑶,“掌柜的，你这件商品有么？” + 淘宝商品的链接,账号安全,警惕网络陷阱,识别钓鱼网站,河南财政税务高等专科学校 李瑶,电子商务究竟面临怎样的安全威胁？,河南财政税务高等专科学校 李瑶,电子商务发展面临的挑战,无法真正确认彼此的身份 信息在互联网被窃听，导致信息泄漏 信息被篡改，导致信息不完整 用户对发送信息进行抵赖，没有抗抵赖的依据,网上应用系统服务器,用户,数据库,窃听,篡改,抵赖,?,假冒的站点,?,假冒的用户,如何打造真正诚信的电子商务环境？,河南财政税务高等专科学校 李瑶,电子商务缺乏诚信的核心问题,网络中，我如何能相信你？,无法真正代表电子商务参与者的真实身份； 从而，也无法保证网上信息的真实性； 由于没有可供仲裁或公证的用户签名记录，用户随时都可以抵赖在网上做过的任何事情； 从而，也无法实现最终成交时签署电子合同； 当然，也无法实现放心的网上支付、签署电子合同。,在病毒、木马等黑客技术的肆虐下，“账号+密码”的传统认证模式，弊端凸显：,解决身份认证和网上行为抗抵赖已刻不容缓！,河南财政税务高等专科学校 李瑶,买卖双方面临的安全威胁,河南财政税务高等专科学校 李瑶,8.1.2 电子商务的安全性要求,信息的保密性：这是指信息在存储、传输和处理过程中，不被他人窃取。这需要对交换的信息实施加密保护，使得第三者无法读懂电文。 信息的完整性：这是指确保收到的信息就是对方发送的信息，信息在存储中不被篡改和破坏，在交换过程中无乱序或篡改，保持与原发送信息的一致性。,河南财政税务高等专科学校 李瑶,信息的不可否认性：这是指信息的发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。 交易者身份的真实性：这是指交易双方的身份是真实的，不是假冒的。防止冒名发送数据。 系统的可靠性：这是指计算机及网络系统的硬件和软件工作的可靠性。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,安全认证手段 数字摘要、数字签名、数字信封、CA体系,安全应用协议 SET、SSL、S/HTTP、S/MIME,基本加密算法 非对称密钥加密、对称密钥加密、DES、RSA,电子商务业务系统,电子商务支付系统,电子商务安全交易体系,河南财政税务高等专科学校 李瑶,8.2 电子商务安全技术策略,8.2.1 加密技术 8.2.2 数字签名技术 8.2.3 认证技术 8.2.4 主要安全协议 8.2.5 计算机病毒,河南财政税务高等专科学校 李瑶,加密技术是保证网络、信息安全的核心技术。加密技术与密码学紧密相连。 加密技术是一种主动的信息安全防范措施。,河南财政税务高等专科学校 李瑶,将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密，这种不可理解的形式称为密文。 解密是加密的逆过程，即将密文还原成明文。 加密和解密必须依赖两个要素：算法和密钥。算法是加密和解密的计算方法；密钥是加密所需的一串数字。,河南财政税务高等专科学校 李瑶,一般的数据加密模型:,河南财政税务高等专科学校 李瑶,8.2.1 传统的代换密码,早在几千年前人类就已有了通信保密的思想和方法。如最古老的铠撒密码(Caesar cipher)。 在这种方法中，a变成D，b变成E ，c变成F，z变成C。例如，english变成IRKPMWL。其中明文用小写字母，密文用大写字母。 若允许密文字母表移动k个字母而不是总是3个，那么k就成为循环移动字母表通用方法的密钥。,河南财政税务高等专科学校 李瑶,明文:a b c d e f g h i j k l m n o p q r s t u v w x y z 密文:T U V W X Y Z A B C D E F G H I J K L M N O P Q R S 在这个加密表下，明文与密文的对照关系就变成： 明文：b a i d u 密文：UTB WN,河南财政税务高等专科学校 李瑶,最迟在公元9世纪，阿拉伯的密码破译专家就已经娴熟地掌握了用统计字母出现频率的方法来击破简单替换密码。,河南财政税务高等专科学校 李瑶,第一次世界大战时期的密码,直到第一次世界大战结束为止，所有密码都是使用手工来编码的。 解密一方正值春风得意之时，几百年来被认为坚不可破的维吉耐尔(Vigenere)密码和它的变种也被破解。而无线电报的发明，使得截获密文易如反掌。 无论是军事方面还是民用商业方面都需要一种可靠而又有效的方法来保证通讯的安全。,河南财政税务高等专科学校 李瑶,复式代换密码给自然语言频率 解密带来的难题,1918年，德国发明家亚瑟谢尔比乌斯 ENIGMA （读作“英格码”，意为“谜”）他的一个想法就是要用二十世纪的电气技术来取代那种过时的铅笔加纸的加密方法。,河南财政税务高等专科学校 李瑶,谢尔比乌斯发明的加密电子机械名叫ENIGMA，在以后的年代里，它将被证明是有史以来最为可靠的加密系统之一。 三个部分：键盘、转子和显示器。一共有26个键，键盘排列接近我们现在使用的计算机键盘。,河南财政税务高等专科学校 李瑶,ENIGMA加密的关键：这不是一种简单替换密码。同一个字母在明文的不同位置时，可以被不同的字母替换，而密文中不同位置的同一个字母，可以代表明文中的不同字母，频率分析法在这里就没有用武之地了。这种加密方式被称为“复式替换密码”。 为了使消息尽量地短和更难以破译，空格和标点符号都被省略。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,反射器,河南财政税务高等专科学校 李瑶,发信人首先要调节三个转子的方向，使它们处于17576个方向中的一个（事实上转子的初始方向就是密匙，这是收发双方必须预先约定好的），然后依次键入明文，并把闪亮的字母依次记下来，然后就可以把加密后的消息用电报的方式发送出去。,工作原理,河南财政税务高等专科学校 李瑶,三个转子不同的方向组成了26*26*26=17576种不同可能性； 三个转子间不同的相对位置为6种可能性； 连接板上两两交换6对字母的可能性数目非常巨大，有100391791500种； 于是一共有17576*6*100391791500，大约为10000000000000000，即一亿亿种可能性。,破解的艰难性,河南财政税务高等专科学校 李瑶,“一战”解密文件刺激德国,德国方面在一战结束十年之后才知道真相： 1923年出版的温斯顿丘吉尔的著作世界危机，提到了英国和俄国在军事方面的合作，指出俄国人在第一次世界大战中曾经成功地破译了某些德军密码，而使用这些成果，英国能够系统性地取得德军的加密情报。 1923年由皇家海军发表的关于第一次世界大战的官方报告，其中讲述了在战时盟军方面截获（并且破译）德军通讯所带来的决定性的优势。,河南财政税务高等专科学校 李瑶,二战前英格码的生产装备情况,从1925年开始，谢尔比乌斯的工厂开始系列化生产ENIGMA，1926年德军开始使用这些机器。 到1936年，德国军队大约装备了30000台ENIGMA。 谢尔比乌斯的发明使德国具有了最可靠的加密系统。,河南财政税务高等专科学校 李瑶,一次大战后英国仍旧保持着对德国通讯的监听，并保持着很高的破译率。 但是从1926年开始，他们开始收到一些不知所云的信息ENIGMA开始投入使用。 英法密码学家对破解英格码失去信心。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,英格码破解大师阿兰图灵(Alan Turing),河南财政税务高等专科学校 李瑶,一台图灵“炸弹”高2米，长2米，宽1米。图灵的研究于1940年初完成，机器由英国塔布拉丁机械厂制造。,神奇的 图灵炸弹,河南财政税务高等专科学校 李瑶,对称密钥加密,对称加密算法是指文件加密和解密使用一个相同秘密密钥，也叫会话密钥。,河南财政税务高等专科学校 李瑶,对称加密算法,明文,密文,Alice,明文,Bob,Encrypt,Decrypt,Hi Bob Alice,Hi Bob Alice,C=E(M, K),M=D(C, K),C = 密文 M = 明文 K = 密钥 E = 加密算法,D = 解密算法,河南财政税务高等专科学校 李瑶,1在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。 2当通信对象增多时，需要相应数量的密钥，这就使密钥管理和使用的难度增大。 3对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。,对称加密技术存在的问题,河南财政税务高等专科学校 李瑶,非对称密钥加密与RSA算法,为了克服对称加密技术存在的密钥管理和分发上的问题，1976年产生了密钥管理更为简化的非对称密钥密码体系，也称公钥密码体系，对近代密码学的发展具有重要影响。,河南财政税务高等专科学校 李瑶,非对称加密算法的基本过程,接受方生成一段密钥，将其中一个作为公用密钥向其他贸易方公开； 发送方得到该密钥后对机密信息进行加密后发送给接受方； 接受方再用自己保存的另一把专用密钥对加密后的信息进行解密。,河南财政税务高等专科学校 李瑶,最著名的算法-RSA,现在公钥密码体系用的最多是RSA算法，它是以三位发明者（Rivest、Shamir、Adleman）姓名的第一个字母组合而成的。,河南财政税务高等专科学校 李瑶,Len Adleman,Ron Rivest,Adi Shamir,河南财政税务高等专科学校 李瑶,(Left to Right: Ron Rivest, Adi Shamir, Len Adleman),2002年图灵奖获得者-RSA-2002,河南财政税务高等专科学校 李瑶,Ronald L. Rivest,Rivest博士现任美国麻省理工学院电子工程和计算机科学系教授。,河南财政税务高等专科学校 李瑶,Adi Shamir,Shamir是以色列Weizmann科学学院应用数学系的教授。,河南财政税务高等专科学校 李瑶,Len Adleman,Adleman现在是美国南加州大学的计算机科学以及分子生物学教授。,河南财政税务高等专科学校 李瑶,它最重要的特点是加密和解密使用不同的密钥。 每个用户保存着两个密钥：一个公开密钥(Public Key)，简称公钥，一个私人密钥(Individual Key)，简称私钥。 按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间！。,河南财政税务高等专科学校 李瑶,公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，私钥由用户自己严密保管。 通信时，发送方用接收者的公钥对明文加密后发送，接收方用自己的私钥进行解密，别人即使截取了也无法解开。 这样既解决了信息保密问题，又克服了对称加密中密钥管理与分发传递的问题。,河南财政税务高等专科学校 李瑶,RSA和DES相结合的综合保密系统数字信封,在实践中，为了保证电子商务系统的安全、可靠以及使用效率，一般可以采用由RSA和DES相结合实现的综合保密系统。 在该系统中，用DES算法作为数据的加密算法对数据进行加密，用RSA算法作为DES密钥的加密算法，对DES密钥进行加密。 这样的系统既能发挥DES算法加密速度快、安全性好的优点，又能发挥RSA算法密钥管理方便的优点，扬长避短。,河南财政税务高等专科学校 李瑶,数字信封,发送方采用对称密钥加密信息，然后将此对称密钥用接收方的公开密钥加密之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。 安全性能高，保证只有规定的接收方才能阅读信的内容。,河南财政税务高等专科学校 李瑶,8.2.2 数字签名技术,1数字摘要 2数字签名 3数字时间戳,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,数字摘要,散列函数与指纹相象 比原物（本人）信息量小 与本人一一对应 无法找到相同指纹的两个人 知道了指纹，无法重建一个人,河南财政税务高等专科学校 李瑶,数字摘要,数字摘要是将任意长度的消息变成固定长度的短消息，它类似于一个自变量是消息的函数，也就是Hash函数。 一般来说，安全Hash标准的输出长度为160位，这样才能保证它足够的安全。,河南财政税务高等专科学校 李瑶,数字签名技术,数字签名技术即进行身份认证的技术。在数字化文档上的数字签名类似于纸张上的手写签名，是不可伪造的。接收者能够验证文档确实来自签名者，并且签名后文档没有被修改过，从而保证信息的真实性和完整性。,河南财政税务高等专科学校 李瑶,数字签名,用发送方的私有密钥对数字摘要进行加密得的数字签名，因此数字签名是只有信息的发送者才能产生而别人无法伪造的一段数字串，有确认对方的身份，防抵赖的作用； 接收方用发送方的公开密钥对数字签名进行解密，用数字摘要原理保证信息的完整和防篡改性。,河南财政税务高等专科学校 李瑶,数字时间戳 digital time-stamp,对于成功的电子商务应用，要求参与交易各方不能否认其行为。这其中需要在经过数字签名的交易上打上一个可信赖的时间戳，从而解决一系列的实际和法律问题。由于用户桌面时间很容易改变，由该时间产生的时间戳不可信赖，因此需要一个权威第三方来提供可信赖的且不可抵赖的时间戳服务。,河南财政税务高等专科学校 李瑶,数字时间戳,数字时间戳技术就是对电子文件签署的日期和时间进行的安全性保护和有效证明的技术。它是由专门的认证机构来加的，并以认证机构收到文件的时间为依据。,河南财政税务高等专科学校 李瑶,在电子文件中，同样需对文件的日期和时间信息采取安全措施，而数字时间戳服务（DTS：digital time-stamp service）就能提供电子文件发表时间的安全保护。,河南财政税务高等专科学校 李瑶,数字时间戳服务（DTS）是网上安全服务项目，由专门的机构提供。时间戳(time-stamp)是一个经加密后形成的凭证文档，它包括三个部分： 需加时间戳的文件的摘要 (digest)； DTS收到文件的日期和时间； DTS的数字签名。,河南财政税务高等专科学校 李瑶,数字签名和数字信封的比较？,课后作业,河南财政税务高等专科学校 李瑶,8.2.3 认证技术,1数字证书 2认证中心 3身份认证,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,认证技术是保证电子商务交易安全的一项重要技术。 认证机制的核心包含两部分：数字证书和认证中心。,河南财政税务高等专科学校 李瑶,1 数字证书,数字证书就是标志网络用户身份信息的一系列数据，用于证明某一主体（如个人用户、服务器等）的身份以及其公钥的合法性的一种权威性的电子文档，由权威公正的第三方机构，即CA中心签发。,1.数字证书的概念,河南财政税务高等专科学校 李瑶,数字证书的拥有者可以将其证书提供给其他人、Web站点及网络资源，以证实他的合法身份，并且与对方建立加密的、可信的通信。 以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,数字证书的类型,（一）按照主体不同 个人数字证书：通常装在浏览器内，并通过电子邮件进行操作 企业证书：通过服务器提供凭证 软件证书,河南财政税务高等专科学校 李瑶,（二）按照数字证书的应用角度 服务器证书：服务器证书被安装于服务器设备上，用来证明服务器的身份和进行通信加密。服务器证书可以用来防止假冒站点。 电子邮件证书 ：电子邮件证书可以用来证明电子邮件发件人的真实性。,河南财政税务高等专科学校 李瑶,收到具有有效电子签名的电子邮件，我们除了能相信邮件确实由指定邮箱发出外，还可以确信该邮件从被发出后没有被篡改过。 另外，使用接收的邮件证书，我们还可以向接收方发送加密邮件。该加密邮件可以在非安全网络传输，只有接收方的持有者才可能打开该邮件,河南财政税务高等专科学校 李瑶,客户端个人证书 ：客户端证书主要被用来进行身份验证和电子签名。 安全的客户端证书我被存储于专用的usbkey中。存储于key中的证书不能被导出或复制，且key使用时需要输入key的保护密码。使用该证书需要物理上获得其存储介质usbkey，且需要知道key的保护密码，这也被称为双因子认证。,河南财政税务高等专科学校 李瑶,2 认证中心,（CA-Certificate Authority）。 也称之为电子证书认证中心，是承担网上安全电子交易认证服务，能签发数字证书，确认用户身份的、与具体交易行为无关的第三方权威机构。,河南财政税务高等专科学校 李瑶,国外的认证中心通常是企业性的服务机构，主要任务是受理证书的申请、签发和管理数字证书。其核心是公共密钥基础设施（PKI）。,河南财政税务高等专科学校 李瑶,认证中心的主要功能,证书发放 证书更新 证书撤销 证书验证,河南财政税务高等专科学校 李瑶,认证中心的功能模块和层次结构,（一）功能模块 证书发放审核部门 证书发放操作部门 接受用户证书申请的证书受理者 证书作废表,河南财政税务高等专科学校 李瑶,（二）认证中心的层次 根CA 品牌CA 地方CA 持卡人CA、商家CA 上一级的CA负责下一级CA数字证书的申请、签发和管理，每一份数字证书都和上一级的签名证书相关联。,河南财政税务高等专科学校 李瑶,我国认证中心现状,我国安全认证体系(CA)可分为金融CA与非金融CA两种类型来处理。 在金融CA方面，根证书由中国人民银行管理，根认证管理一般是脱机管理；品牌认证中心采用“统一品牌、联合建设”的方针进行。 在非金融CA方面，最初主要由中国电信负责建设。,河南财政税务高等专科学校 李瑶,我国的CA又可分为行业性CA和区域性CA两大类。 行业性CA：中国金融认证中心（CFCA）和中国电信认证中心（CTCA）是行业性CA中影响最大的两家。 区域性CA大多以地方政府为背景，以公司机制来运作，如广东CA中心（CNCA）、上海CA中心(SHECA)、深圳CA中心(SZCA)，其中影响最大的是广东CA中心（CNCA）和上海CA中心(SHECA)。,河南财政税务高等专科学校 李瑶,如果按照技术来源划分，CA中心还可分为引进国外技术与完全自主开发两类。 CFCA和天威诚信属于前者，广东CA和上海CA都属于后者。 深圳CA与广东南海CA CFCA的SET系统由IBM公司承建，NON-SET系统由德达/SUN/Entrust集团承建。天威诚信的技术平台来自VeriSign。但它们的密码模块却都是由国内自主开发，经国家安全部门认可的。,河南财政税务高等专科学校 李瑶,CFCA 是全国惟一的金融根认证中心，由中国人民银行负责统一规划管理，中国工商银行、中国银行、中国农业银行、中国建设银行、交通银行、招商银行、中信实业银行、华夏银行、广东发展银行、深圳发展银行、光大银行、民生银行和福建兴业银行共十三家商业银行联合建设，由银行卡信息交换总中心承建，建立了SETCA和Non-SETCA两套系统，于2000年6月29日正式开始为全国的用户提供证书服务。, 中国金融认证中心（CFCA）,河南财政税务高等专科学校 李瑶,在管理分工上，中国人民银行负责管理根认证中心CFCA，并负责审批、认证统一的品牌认证中心。一般脱机进行。 品牌认证中心由成员银行接受中国人民银行的委托建设、运行和管理，建立对最终持卡人、商业用户和支付网关认证证书的审批、管理和认证等工作，其中管理包括证书申请、补发、重发和注销等内容。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶, 中国电信认证中心（CTCA）,中国电信1997年底，开始进行电子商务试点工作，1999年8月，中国电信CTCA安全认证系统通过国家密码委员会和信息产业部的联合鉴定，并获得国家信息产品安全认证中心颁发的认证证书，成为首家允许在公网上运营的CA安全认证系统。1999年底，按全国CA认证中心、省RA审核中心、业务受理点三级结构在全国范围内大规模推广。,河南财政税务高等专科学校 李瑶, 广东CA及“网证通”（NETCA）系统,广东省电子商务认证中心是国家电子商务的试点工程，其前身是中国电信南方电子商务中心，创立于1998年。2001年1月，广东省电子商务认证中心的“网证通”电子认证系统通过国家公安部计算机信息系统安全产品质量监督检测，被认定为安全可信的产品。2001年8月，国家密码管理委员会办公室批准广东省电子商务认证中心使用密码和建立密钥管理中心，成为国内提供网络安全认证服务的重要力量。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶, 上海CA（SHECA）,上海市CA中心是中国第一个CA认证中心，创建于1998年， 经过国家批准并被列为信息产业部全国的示范工程。,河南财政税务高等专科学校 李瑶,河南财政税务高等专科学校 李瑶,中国协卡认证体系（SHECA）是在遵循PKI架构标准体系基础上，根据中国国情，由上海、北京、天津三地发起，由上海市电子商务安全证书管理中心有限公司（简称上海CA中心）设计、建设、并组织运行，联合国内多家CA机构和地区行业联合共建的认证体系。,河南财政税务高等专科学校 李瑶,国内主要的电子商务认证中心,北京数字证书认证中心： 深圳市电子商务认证中心： 广东省电子商务认证中心： 海南省电子商务认证中心： 湖北省电子商务认证中心： 上海电子商务安全证书管理中心： 中国数字认证网： 山西省电子商务安全认证中心： 中国金融认证中心： 天津电子商务运作中心：/ca 天威诚信CA认证中心：,河南财政税务高等专科学校 李瑶,电子商务身份认证的目标,信息来源的可信性 完整性。信息没有被修改、延迟和替换； 不可抵赖性。信息的发送方或接收方不能否认 访问控制。拒绝非法用户访问。,3 身份认证,河南财政税务高等专科学校 李瑶,用户身份认证的最简单、最广的一种方法就是口令方式，口令由数字字母、特殊字符等组成。 这种身份认证方法操作十分简单，但最不安全不能抵御口令猜测攻击。,四种常用的身份认证方式,(1) 口令方式,河南财政税务高等专科学校 李瑶,标记是一种用户所持有的某个秘密信息(硬件)，上面记录着用于系统识别的个人信息。,(2) 标记方式,河南财政税务高等专科学校 李瑶,某些人体生物学特征，如指纹、声音、DNA图案、视网膜扫描图案进行身份认证。,(3) 人体生物学特征方式,河南财政税务高等专科学校 李瑶,使用CA中心颁发的数字证书进行网上身份的识别。,(4) PKI方式,河南财政税务高等专科学校 李瑶,目前大多数商务网站使用用户名和口令的方式来对用户进行认证，这种方式需要站点收集所有注册用户的信息，维护庞大的用户信息数据库。同时这种传统登录机制的安全性也比较脆弱，容易遭到外界的攻击破坏。 数字证书的安全与认证功能消除了传统的口令机制中内在的安全脆弱性，为每个用户提供唯一的标识，以便利的方式来访问Web服务器，降低了网站的维护和支持成本。,河南财政税务高等专科学校 李瑶,8.2.4 电子商务中的主要安全协议,1. SSL协议 2 安全电子交易协议（SET）,河南财政税务高等专科学校 李瑶,1 SSL协议,SSL（Secure Socket Layer）安全套接层是Netscape公司率先采用的网络安全协议。它是在传输通信协议（TCPIP）上实现的一种安全协议，采用公开密钥技术。,河南财政税务高等专科学校 李瑶,SSL协议的主要功能： （1）信息保密 ，通过使用公开密钥和对称密钥技术以达到信息保密。 （2）信息完整性 ，SSL利用机密共享和hash函数组提供信息完整性服务。 （3）双向认证，它们的识别号用公开密钥编码，并在SSL握手时交换各自的识别号。,河南财政税务高等专科学校 李瑶,SSL的体系结构 ： SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层： SSL记录协议 ：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议 ：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。,河南财政税务高等专科学校 李瑶,SSL协议,SSL 安全套接层协议适用于点对点之间的信息传输 通过在浏览器软件和WWW服务器建立一条安全通道,SSL协议 基本结构,SSL记录协议用来封装高层的协议。 SSL握手协议能够通过特定的加密算法相互鉴别,电子商务安全技术,安全交易协议,SSL协议,河南财政税务高等专科学校 李瑶,电子商务中的SSL协议过程： 客户购买信息发送给商家 商家将信息转发给银行 银行验证客户信息的合法性 通知商家付款成功 商家通知客户购买成功并发货,河南财政税务高等专科学校 李瑶,2 SET协议,SET（Secure Electronic Transaction 即安全电子交易协议）是美国Visa和MasterCard两大信用卡组织等联合于1997年5月31日推出的用于电子商务的行业规范，其实质是一种应用在Internet上、以信用卡为基础的电子付款系统规范，目的是为了保证网络交易的安全。SET妥善地解决了信用卡在电子商务交易中的交易协议、信息保密、资料完整以及身份认证等问题。,河南财政税务高等专科学校 李瑶,SET的特点： 信息的保密性 信息的完整性 对持卡者帐号的认证 对商家的认证,河南财政税务高等专科学校 李瑶,SET协议,SET协议提供对消费者、商家和收单行的认证 确保交易数据的安全性、完整性和交易的不可否认性,SET协议 设计思想,保证信息的加密性 、验证交易各方 保证支付的完整性和一致性 、保证互操作性,收单行,商家,用户,购物信息,支付信息,转移存款,SET保证商家看不到卡号，数字签名,商家的信息用商家公钥加密,银行的信息用银行的公钥加密,用户的信息用自己的私钥加密,电子商务安全技术,安全交易协议,SET协议,河南财政税务高等专科学校 李瑶,SET的流程,河南财政税务高等专科学校 李瑶,SET和SSL的相同和不同之处？,思考题,河南财政税务高等专科学校 李瑶,SET和SSL的比较,相同点： 两种都是应用于电子商务用的网络安全协议。