电子商务安全导论--公钥基础设施(pki)【精品课件】

公钥基础设施(PKI),2,公钥基础设施(PKI),9.1 PKI概述9.2 密钥管理9.3 不可否认业务,3,9.1 PKI概述,PKI基本概念: PKI(Public Key Infrastructure, 公钥基础设施)，是一种遵循既定标准的利用公钥密码技术为电子商务的开展提供一套安全基础平台的技术和规范，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。用户可利用PKI平台进行安全通信公钥基础设施是硬件、软件、政策的组合PKI的基础技术:加密、数字签名、数据完整性机制、数字信封、双重数字签名等解决电子商务应用中的机密性、真实性、完整性、不可否认性和存取控制等安全问题,4,9.1 PKI概述,PKI的构成:PKI是公钥管理机制，呈树形域结构。不同的管理域通过不同的政策对公钥进行管理。每个PKI的功能的数量随管理域的规模而变化任何一个管理域都有能力决定在别的域内哪一个证书管理是可以信任?为什么可以信任?由于对证书的使用要附加特定的政策，因此不同的应用部门要使用不同的公钥证书,5,9.1 PKI概述,6,9.1 PKI概述,(1)政策审批机构(Policy Approval Authority, PAA)(2)证书使用规定(Certification Practice Statements)(3)证书政策管理机构(Policy Management Authority, PMA)(4)证书中心(Certification Authority, CA)(5)单位注册机构(Organizational Registry Authority, ORA或RA)(6)密钥备份及恢复系统(7)证书作废系统(8)应用接口(9)端实体:主要指数字签名、加密实体,7,9.1 PKI概述,PKI的性能1.支持多政策:允许不同用户接受不同的政策2.透明性和易用性:尽可能地向上层应用屏蔽密码服务的实现细节，向用户提供屏蔽复杂的安全解决方案3.互操作性:建立对Internet交易保密性的信任4.简单的风险管理:对风险有全面了解，分散风险5.支持多平台:适用于不同的开发环境和平台6.支持多应用:提供文件传送、文件存储、电子邮件、电子表单、Web应用等安全保护,8,9.1 PKI概述,PKI服务1.认证:数字证书2.数据完整性服务:Hash3.数据保密性服务:数字信封4.不可否认性服务:数字签名5.公证服务:权威的数字中心,9,9.1 PKI概述,PKI的应用1.虚拟专用网络(VPN)2.安全电子邮件3.Web安全4.电子商务的应用5.应用编程接口API,10,9.2 密钥管理,密钥管理抗击各种可能的威胁:(1)密钥的泄露(2)密钥或公钥的确证性(3)密钥或公钥未经授权使用密钥管理要对下述几个方面做出规定:(1)密钥管理的技术和行政方面要实现的要求和方法(2)每个参与者的责任和义务(3)为了支持审计、追踪与安全有关的事件需要做的记录类型,11,9.3 不可否认业务,不可否认基本概念 在数字环境下，要求各种协议、业务(认证、签字、完整性等)和机构对消息或参与者提供不同程度的非否认性。为了保证电子商务系统的安全性，必须提供足够的非否定性，以保证第三方(仲裁者)最终能分辨出是非。传统手书签字提供一定的认证性和不可否认性未加密数字信息附上符号签字，这种方式不提供数据完整性，但提供一定的认证性和不可否认性数字签字提供认证性、数据完整性和不可否认性。利用协议、时截和认可收据等技术可以加强不可否认性,12,9.3 不可否认业务,不可否认业务类型1.源的不可否认性:解决下述可能的纠纷(1)接收者宣称曾收到一个消息，但是被认定的发信者声称未发过任何消息(2)接收者宣称所收到的消息不同于发信者所说的发送信息(3)接收者宣称在特定日期和时间接收到某个特定发信者所送的消息，但被认定的发信者宣称在那个特定日期和时间未曾发过那个特定消息,13,9.3 不可否认业务,不可否认业务类型2.递送的不可否认性:解决下述纠纷(1)发信人宣称曾发送了一个消息，但被认定的收信人宣称未曾收到过该消息(2)发信人宣称曾发送了一个消息，但和收信人宣称所收到的消息不一样(3)发信人宣称在某特定日期和时间曾发过一个特定消息，但被认定的收信人宣称在该特定日期和时间未曾收到过那个特定消息,14,9.3 不可否认业务,不可否认业务类型3.提交的不可否认性:解决下述纠纷(1)发信人宣称曾发过一个消息，但被认定的收信人宣称不仅未曾收到该消息，而且发信人就不曾发过该消息(2)发信人宣称在特定日期和时间曾发过一个特定消息，但被认定的收信人宣称在该日期和时间发信人未曾发送过该消息,15,9.3 不可否认业务,实现不可否认性的证据机制(1)业务需求:参与者，甚至第三方权威机构事先要对实现不可否认性取得一致意见，对各有关方提出明确要求，产生必要的证据来提供不可否认性(2)证据生成(3)证据递送(4)证据证实(5)证据保存,16,9.3 不可否认业务,实现递送的不可否认性的机制(1)源的数字签字(2)可信赖第三方的数字签字(3)可信赖第三方对消息的杂凑值进行签字(4)可信息第三方的持证(5)线内可信赖第三方(6)上述方法的适当组合,17,9.3 不可否认业务,可信赖第三方1.公钥证书2.身份证实3.时戳4.证据保存5.中介递送6.解决纠纷7.仲裁1)收据认可证据 2)进行证实 3)作证或公布签字 4)证实或公布文件复本 5)做出声明,18,9.3 不可否认业务,解决纠纷(1)检索不可否认证据(2)向对方出示证据(3)向解决纠纷的仲裁人出示证据(4)裁决,19,编辑本段现代意义的“策划”现代意义的“策划”可以理解为借助一定的信息素材，为达到特定的目的、目标而进行设计、策划，以为具体的可操作性行为提供创意、思路、方法与对策。 策划就是一种策略、筹划、谋划或者计划、打算、它是为个人、企业、组织机构为了达到一定的目的，充分调查市场环境、以及相关联的环境的基础之上，遵循一定的方法或者规则对未来即将发生的事情，进行系统、周密、科学地预测并制定科学的可行性的策划方案，同时在发展中不断地调整以适应环境的变化，从而制定切合实际情况的科学的方案就叫做策划。 综上所述策划有以下几个主要的特点： 第一、策划的本质一种思维智慧的结晶。 第二、策划具有目的性，不论什么策划方案，都是有一定的目的，不然策划就没意义了。 第三、策划具有前瞻性、预测性，策划是人们在一定思考以及调查的基础之上进行的科学的预测、因此具有一定的前瞻性。 第四、策划具有一定的不确定性、风险性。策划既然是一种预测或者筹划就一定具有不确定性或者风险。 第五、策划具有一定的科学性。策划是人们在调查的基础之上、进行总结、科学的预测，策划不是一种突然的想法、或者突发奇想的方法、它是建立在科学的基础之上进行的预测、筹划。 第六、策划具有科学的创意，策划是人们思维智慧的结晶，策划是一种思维的革新、具有创意的策划，才是真正的策划，策划的灵魂就是创意。 第七、策划具有可操作性，这是策划方案的前提，如果一个策划连最基本的可操作性就没有，那么这个策划方案，再有创意、再好也是一个失败的策划方案。 发展观念： 从用户和市场需求入手，逐步认识、掌握及运用行业发展规律，推行“知本运营(人力资源)战略”、“资本运营战略”、“资讯运营战略”及“创新+速度”战略，高速成长，非线性发展。 经营策略： 通过用户评判、以提高用户为主导来树立企业品牌；通过对外拓展，标准化运营模式，大幅度扩展、巩固设计市场份额；通过开放式、多方位的合作形式，建立、丰富工作室的人力资源队伍。 工作风气：宽厚、专业、创新、高效。 营销策划的方法 营销策划是对营销活动的设计与计划，而营销活动是企业的市场开拓活动，它贯穿于企业经营管理过程。因此，凡是涉及市场开拓的企业经营活动都是营销策划的内容。 1点子方法 什么是点子？从现代营销角度来说，点子是指有丰富市场经验的营销策划人员经过深思熟虑，为营销方案的具体实施所想出的主意与方法。 2创意方法 创意是指在市场调研前提下，以市场策略为依据，经过独特的心智训练后，有意识地运用新的方法组合旧的要素的过程。 3谋略方法 谋略是关于某项事物、事情的决策和领导实施方案。 编辑本段非策划的含义非策划是相对于策划提出的一个策划思想.著名策划人兰何水生认为，策划人不能把自己禁锢在策划里头寻死觅活，策划人的高境界应该是超脱，超脱于策划理论技能之外，利用其他专业行业的知识解决策划内部的问题及与其他策划的较量，好比说，策划是正派武功，非策划是邪门歪道，策划人首先是敢于突破创新的人，沾一点、学一点甚至全用邪门歪道解决策划问题首先使得你看问题的视角和解决问题的方法更宽广，此外你的非策划必然让对手琢磨不透更易取胜。 编辑本段概念及延伸概述有人问什么是策划。 做某件事的逻辑顺序就是策划，也称作创意策划。简单的策划，也可以说是想法、创意、点子。 比如某人要喝水，先要打井，要先勘测哪块地方打下去会有好喝的水出来，要找好将要约好来打井的朋友，要找铲子，大家某时间地点集合一起去挖井，把这些做事的过程逻辑写下来以后就是一个策划。 策划是书面语言（或图表）就是在这些书面语言（图表）中阐述出一个实现某件事情的理论逻辑过程，有人说，有好的想法，在心里就好，何必要写下来，到时把这个想法，用原话即时说出来给必要的人听就是了。 用原话与书面的对比效果： 原话需要你们双方亲身某个场合，嘴巴交流，需要占用双方的时间，表达思想需要各种技巧，你的想法在这些条件下，能否被对方记住，你离开了，这些思想交流的过程就消失了，这些都是原话的弊端，如果你真的想让对方看到你的思想，你就必须要写下来，把这些思想放在了纸上，既可以方便你根据所得的资料即时改善想法，也不用你每个必要的人面前都占用时间去卖力的表达一遍，写在纸上也可以方便传播你的想法，别人可以在任何方便的时候，看到你的想法，这时你的想法就是策划了。 策划的分类策划根据公司的职业需要有分成游戏策划，市场策划，营销策划，广告策划，产品策划，节目策划，电影策划，房地产策划等等。 虽然策划的职业不同，需要了解或找寻的知识资料也不同，但是策划要做的事情的方式都是一样的，无论从事哪方面的专职策划只要能掌握的策划逻辑就好，都不需要深入去学习相关行业的专业技能，比如做网络游戏策划，我们只要知道程序可以这么做到就好，不用告诉程序员程序要怎么样去写，所以策划作为一个工作的门槛是很低的，你有思想有好的点子会写字或画图表达出来就可以成为策划。当然如果能全面的了解各方面的知识是最好了，特别是了解营销方面的知识会对策划的联想创意方面很有帮助。 策划的启蒙策划最初就来自于我们小时候的随着年龄而不停止的梦想，后来形成了很多想法，某个想法灵机闪现脱颖而出，它冲动着一时占据了你的思维，最后你把这个灵机闪现的想法写下它的实现的逻辑过程就是策划，所以好的策划一开始来自你的好的想法，常常好的想法来自你现实生活中的一些东西而形成产生的灵机想象，抓住灵机想象，不断调查得到资料