电子商务安全技术（PPT33页).ppt

第五章电子商务安全技术 第一节电子商务安全的概述 一 电子商务安全的概念电子商务安全是一个系统的概念 不仅与计算机信息网络系统有关 还与电子商务应用的环境 人员素质和社会因素有关 它是物理安全 网络安全 数据安全 信息内容安全 信息基础设施安全与公共及国家信息安全的总和 可从以下几方面来理解 1 安全是一个系统的概念 2 安全是相对的 3 安全是有成本的和代价的 4 安全是发展的 动态的 二 电子商务的安全问题1 电子商务中存在的安全问题由于非法入侵者的侵入 造成商务信息被篡改 盗窃或丢失 商业机密在传输过程中被第三方获悉 甚至被恶意窃取 篡改和破坏 虚假身份的交易对象及虚假订单 合同 贸易对象的抵赖 由于计算机系统故障对交易过程和商业信息安全所造成的破坏 2 电子商务的安全要素 1 完整性 2 机密性 3 不可否认性 4 真实性 5 可靠性 6 可用性 三 我国电子商务安全的现状1 基础技术相对薄弱2 体系结构不完整3 支持产品不过硬4 多种 威胁 纷杂交织 频频发生 第二节网络安全技术 一 操作系统安全操作系统是计算机的核心软件 操作系统的安全对计算机的安全起着至关重要的作用 操作系统的安全性主要是对外部攻击的防范 保证数据的保密性 完整性和可用性 一 操作系统安全分类1 按安全级别 低 中 高2 按安全机制 具体的和广义的 二 操作系统安全性威胁的因素1 桌面操作系统的安全因素 2 系统安全性攻击 三 操作系统安全管理1 系统级安全管理2 用户级安全管理3 文件级安全管理 二 防火墙技术 一 防火墙的定义防火墙是一种将内部网和公众访问网分开的方法 实际上是一种隔离技术 是安全网络和非安全网络的之间的一道屏障 以防不可预测的 潜在的网络入侵 二 防火墙的分类 包过滤型 NAT型 代理型 监测型 三 VPN 虚拟专用网 技术 一 VPN的概念VPN技术是一种在公用互联网络上构造专用网络的技术 将物理上分布在不同地点的专用网络 通过公共网络造成逻辑上的虚拟子网 进行安全的通信 二 VPN的优势 安全通道 低成本 可扩展性 灵活性 便于管理 服务质量保证 四 病毒防范技术 一 计算机病毒定义计算机病毒是一种人为编制的程序或指令集合 这种程序能潜伏在计算机系统中 并通过自我复制传播和扩散 在一定条件下被激活 给计算机带来故障和破坏 二 计算机病毒的分类引导区病毒 文件型病毒 复合型病毒 宏病毒 特洛伊木马 蠕虫及其他病毒 三 计算机病毒的特点隐蔽性 传染性 潜伏性 可激发性 破坏性 四 计算机病毒的防治方法1 定期使用杀毒软件杀毒 2 及时升级杀毒软件 3 不预览可疑邮件 4 使用外来磁盘前先查杀病毒 5 备份重要数据 第三节信息安全技术 一 密码学概述将明文数据进行某种变换 使其成为不可理解的形式 这个过程就是加密 这种不可理解的形式称为密文 解密是加密的逆过程 即将密文还原成明文 加密和解密必须依赖两个要素 这两个要素就是算法和密钥 算法是加密和解密的计算方法 密钥是加密和加密所需的一串数字 加密 明文 密文 例如 采用移位加密法 使移动3位后的英文字母表示原来的英文字母 对应关系如下 GOOD JRRF 二 对称加密技术 1 在首次通信前 双方必须通过除网络以外的另外途径传递统一的密钥 2 当通信对象增多时 需要相应数量的密钥 3 对称加密是建立在共同保守秘密的基础之上的 在管理和分发密钥过程中 任何一方的泄密都会造成密钥的失效 存在着潜在的危险和复杂的管理难度 解密密钥A 加密密钥A 明文 明文 密文 密文 通信网络 图对称密钥加解密的过程 发送方 接收方 三 非对称加密技术 公 私钥加密技术 非对称加密技术采用RSA算法 加密和解密使用两把密钥 一把称公钥 另一把称私钥 两把密钥实际上是两个很大的质数 用其中的一个质数与明文相乘 可以加密得到密文 用另一个质数与密文相乘可以解密 但不能用一个质数求得另一个质数 解密私钥B 加密公钥A 明文 明文 密文 密文 通信网络 发送方 接收方 图非对称密钥加解密的过程 第四节电子商务的认证技术 一 认证技术概述认证技术是整个信息安全体系的基础 认证技术主要用于信息认证 确认信息发送者的身份 防止假冒 验证信息的完整性 即确认信息在传送或存储过程中未被篡改过 常用的安全认证技术主要有数字摘要 数字签名 数字证书 数字时间戳 数字信封等 一 数字摘要 二 数字签名 三 数字时间戳 四 数字证书数字证书是用电子手段来证实一个用户的身份及用户对网络资源的访问权限 在电子商务交易中 任何信用卡持卡人只有申请到相应的数字证书 才能参加安全的电子商务网上交易 五 数字信封用来保证只有规定的收信人才能阅读到信的内容 二 认证机构认证机构担负着身份认证的重要职责 主要包括三部分 注册服务器 注册管理机构 证书管理机构 我国的CA认证建设还处于起步阶段 没有完整的统筹和协调 存在交叉认证的互不兼容情况 急需一个全国性的 完整的和层次性合理的CA基础设施为电子商务的发展保驾护航 1 认证机构的功能 核发证书 管理证书 搜索证书 验证证书2 例子 中国数字认证网 三 数字证书数字证书采用公 私钥密码体制 用户拥有一把仅为本人所掌握的私钥 用它进行解密和数字签名 同时拥有一把公钥 并可以对外公开 用于信息加密和签名验证 数字证书可用于 发送安全电子邮件 访问安全站点 网上证券交易 网上采购招标 网上办公 网上保险 网上税务 网上签约和网上银行等安全电子事务处理和安全电子交易活动 1 数字证书的内容证书拥有者的姓名 证书拥有者的公钥 公钥的有限期 颁发数字证书的单位 颁发数字证书单位的数字签名 数字证书的序列号等 图查看证书内容 1 图查看证书内容 2 图查看证书内容 3 2 数字证书的类型 1 从证书的使用者分类 个人数字证书机构数字证书设备数字证书 2 从证书的用途分类 签名证书加密证书 第五节安全电子交易技术 一 SSL协议安全套接层协议SSL SecureSocketsLayer 位于TCP IP协议与各种应用层协议之间 使用公开密钥体制和数字证书技术来确保数据在传输过程中不会被截取及窃听 SSL协议的缺陷 支付过程的单一认证 有利于商家 不利于消费者 二 SET协议安全