电子商务安全技术(7)

1、整理ppt整理ppt整理ppt整理ppt整理ppt整理ppt整理ppt整理ppt法律、规范、道德、纪律法律、规范、道德、纪律管理细则、保护措施管理细则、保护措施物理实体安全物理实体安全网络系统安全网络系统安全网络交易安全网络交易安全网络信息安全网络信息安全社会层面社会层面管理层面管理层面技术层面技术层面应用层面应用层面加密技术加密技术认证技术认证技术电子商务业务系统电子商务业务系统电子商务支付系统电子商务支付系统 安全交易协议安全交易协议SET、SSL、S/HTTP、S/MIME 、PKI安全认证技术安全认证技术数字摘要、数字签名、数字信封、数字摘要、数字签名、数字信封、CA证书证书 加密技术

2、加密技术非对称密钥加密、对称密钥加密、非对称密钥加密、对称密钥加密、DES、RSA 安全策略、防火墙、查杀病毒、虚拟专用网安全策略、防火墙、查杀病毒、虚拟专用网安全应用安全应用信息安全信息安全网络安全网络安全电子商务安全技术结构示意图电子商务安全技术结构示意图整理ppt 密密 码码 技技 术术 密码技术的基本思想是伪装信息，密码技术的基本思想是伪装信息，隐藏信隐藏信息的真实内容，以使未授权者不能理解信息的息的真实内容，以使未授权者不能理解信息的真正含义，达到保密的作用。具体的就是对信真正含义，达到保密的作用。具体的就是对信息进行一组可逆的数学变换。息进行一组可逆的数学变换。 伪装前的信息称为伪

3、装前的信息称为明文，明文，伪装后的信息称伪装后的信息称为为密文，密文，将信息伪装的过程称为将信息伪装的过程称为加密，加密，将密文将密文再还原为明文的过程称为再还原为明文的过程称为解密，解密，解密是在解密是在解密解密密钥（密钥（key）的控制下进行的，用于解密的这的控制下进行的，用于解密的这组数学变换称为组数学变换称为解密算法。解密算法。密码技术组成要素密码技术组成要素 1、明文和密文、明文和密文 2、解密算法、解密算法 3、加、解密密钥（、加、解密密钥（key） 4、加密和解密、加密和解密 用用移位加密算法移位加密算法说明一个加解密的过程，说明一个加解密的过程， 明密文对照关系如下：明密文对照

4、关系如下：A B C D E F G H I J K L M N O P Q R S T U V WX Y ZD E F G H I J K L M N O P Q R S T U V WX Y Z A B C明文：明文：今晚今晚9点发动总攻点发动总攻 JIN WAN JIU DIAN FA DONG ZONG GONG密文：密文：MLQ ZDQ MLX GLDQ ID GRQJ CRQJ JRQJ例如，要发送一个军事命令给前线，明文为例如，要发送一个军事命令给前线，明文为“今晚今晚9 9点发动总攻点发动总攻”。加密加密算法是将明文字母算法是将明文字母后移后移3 3位位，解密解密就是将密文字母

5、就是将密文字母前移前移3 3位位，3 3就是加解密的就是加解密的密钥密钥，由它控制加解密过程。，由它控制加解密过程。 一般情况下，密码技术根一般情况下，密码技术根据使用的加解密算法和密钥原据使用的加解密算法和密钥原理等工作方式的不同分为不同理等工作方式的不同分为不同的的密码体制。密码体制。 现在广泛应用的现在广泛应用的两种密码体制：两种密码体制： 1 1、对称密钥密码体制、对称密钥密码体制 2 2、非对称密钥密码体制、非对称密钥密码体制整理ppt解密密钥A加密密钥A明文明文密文密文通信网络对称密钥加解密的过程发送方接收方整理ppt整理ppt 图7-1 对称加密流程 1、安全性能差；、安全性能差

6、； 2、密钥难于管理；、密钥难于管理；对称密钥密码体系加密、解密对称密钥密码体系加密、解密速度很快速度很快(高效高效) 。整理ppt解密私钥B加密公钥A明文明文密文密文通信网络发送方接收方非对称密钥加解密的过程整理ppt整理ppt图7-2 非对称加密流程非对称密钥密码体系安全非对称密钥密码体系安全性能高，使用方便灵活。性能高，使用方便灵活。加密、解密速度慢。加密、解密速度慢。l2. 数字证书的内容图7-3功能较为完整的CA组成框架1） CA的组成框架整理ppt整理pptv7.4.1 SSL协议协议v由美国Netscape公司于1995年开发和倡导的安全套接层（SSL）协议，是目前安全电子商务交

7、易中使用最多的协议之一。vSSL协议主要用于提高应用程序之间的数据的安全系数。vSSL协议的实现属于Socket层，在Internet网络层次中的位置处于应用层和传输层之间。vSSL协议是国际上最早应用于电子商务的一种网络安全协议，至今仍然有很多网上商店使用。整理ppt什么是SSL 安全套接层协议SSL，Secure Sockets Layer安全套接层协议是用于Web服务器和浏览器之间的安全连接技术，最初由Netscape公司开发，1995年发表，目前是3.0/3.1版。整理ppt1. SSL协议基本安全服务 秘密性 SSL客户机和服务器之间通过密码算法和密钥的协商，建立一个安全通道，在安全

8、通道中传输的所有信息都经过了加密处理。 完整性 SSL利用密码算法和HASH函数，通过提取传输信息特征值保证信息的完整性。 认证性 SSL使用数字证书来验证客户机和服务器的合法身份。整理ppt2. SSL协议实现的六步骤 v接通阶段：接通阶段：客户机通过网络向服务器打招客户机通过网络向服务器打招呼，服务器回应；呼，服务器回应； v密码交换阶段：密码交换阶段：客户机与服务器之间交换客户机与服务器之间交换双方认可的密码，一般选用双方认可的密码，一般选用RSARSA密码算法；密码算法； v会谈密码阶段会谈密码阶段：客户机器与服务器间产生：客户机器与服务器间产生彼此交谈的会谈密码；彼此交谈的会谈密码；

9、 整理pptv检验阶段：检验阶段：客户机检验服务器取得的密客户机检验服务器取得的密码；码； v客户认证阶段：客户认证阶段：服务器验证客户机的可服务器验证客户机的可信度；信度； v结束阶段：结束阶段：客户机与服务器之间相互交客户机与服务器之间相互交换结束的信息。换结束的信息。整理pptSSL Handshake Protocol(SSL握手协议)SSL Change Cipher Spec Protocol(SSL更改密码规格协议)SSL Alert Protocol(SSL警告协议)HTTPSSL Record Protocol(SSL记录协议)TCPIP SSL可以插入到Internet应用

10、协议中，成为运行于TCP/IP协议之上的一个全新应用协议层，可用于保护正常运行于TCP之上的任何应用协议（HTTP、FTP、SMTP或Telnet）。返回整理pptv SSL协议的体系结构 1） SSL记录协议 2） 更改密文规范协议 3） 告警协议 4） SSL握手协议整理ppt SSL记录协议 建立在可靠传输协议TCP基础上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议、更改密码规格协议、警告协议 位于记录层协议的上部，用于实际的数据传输开始之前，客户机和服务器之间的身份认证、加密算法协商、交换加密密钥等。整理pptSSL安全性要求 客户端、服务器系统和密钥都必须安

11、全。 SSL协议的数据安全建立在其采用算法的安全性上。应慎用过短的密钥。 应谨慎选择CA。 SSL不符合国务院商用密码管理条例中对商用密码产品不得使用国外密码算法的规定。返回整理pptv4. SSL协议的安全措施v基于安全要求，SSL协议安全措施如下：v1） 加密算法和会话密钥v2） 认证算法 （1）服务器的认证。 （2）客户的认证。整理pptv目前，几乎所有操作平台上的Web浏览器（IE、Netscape）以及流行的Web服务器（IIS、Netscape Enterprise Server等）都支持SSL协议，因此使得使用该协议既便宜且开发成本较小。整理pptv7.4.2 SET协议协议v安

12、全电子交易规范（Secure Electronic Transaction，SET）是Visa和MasterCard于1997年5月联合开发的一个加密的安全规范，它具有很强的安全性。该规范由以前发表的若干协议形成，它们是STT（VisaMicrosoft）、SEPP（MasterCard）和iKP协议族（IBM）。SET及其适合的诸协议是基于安全信用卡协议的一个例子。由于它得到了IBM、HP、Microsoft、Netscape、VeriFone、GTE、Terisa和VeriSign等很多大公司的支持，已成为事实上的工业标准，目前已获得IETF标准的认可。整理ppt3.1 什么是SET 安全

13、电子交易规范SET，Secure Electronic Transaction安全电子交易规范是由两大国际知名的信用卡组织MasterCard和Visa以及Netscape、IBM、Verisign和Microsoft等公司共同开发的安全交易规范，主要用于保障Internet上信用卡交易的安全性。整理pptv1. SET协议提供的安全服务v1） SET协议的主要安全目标 （1）信息在Internet上安全传输，保证网上传输的数据不被黑客窃取； （2）订单信息和个人账号信息的隔离，当包含持卡人账号信息的订单送到商家时，商家只能看到订货信息，而看不到持卡人的账户信息；整理ppt （3）持卡人和商家

14、相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保； （4）要求软件遵循相同协议和报文格式，使不同厂家开发的软件具有兼容和互操作功能，并且可以运行在不同的硬件和操作系统平台上。整理pptv2） SET协议提供的安全服务 （1）确保在支付系统中支付信息和订购信息的安全性； （2）确保数据在传输过程中的完整性，即确保数据在传输过程中不被破坏； （3）对持卡者身份的合法性进行检查； （4）对支付接收方的身份（即商家的身份）的合法性进行检查；整理ppt （5）提供最优的安全系统，以保护在电子贸易中的合法用户； （6）确保该标准不依赖于传输安全技术，也不限定任何安全技术的使用

15、； （7）使通过网络和相应的软件所进行的交互作业简便易行。整理pptv2. SET协议的运行步骤v电子商务的工作流程与实际的购物流程非常接近，使得电子商务与传统商务可以很容易融合，用户使用也没有什么障碍。从顾客通过浏览器进入在线商店开始，一直到所订货物送货上门或所订服务完成，以及账户上的资金转移，所有这些都是通过Internet完成的。如何保证网上传输数据的安全和交易对方的身份确认是电子商务能得到推广的关键。这正是SET所要解决的最主要的问题。一个包括完整的购物处理流程的SET的工作过程如图7-4所示。整理ppt图7-4 SET协议流程整理pptv3. SET协议的体系结构 vSET向基于信用

16、卡进行电子化交易的应用提供了实现安全措施的规则。SET主要由三个文件组成，分别是SET业务描述、SET程序员指南和SET协议描述。SET规范涉及的范围包括：加密算法的应用（如RSA和DES）；证书信息和对象格式；购买信息和对象格式；确认信息和对象格式；划账信息和对象格式；对话实体之间消息的传输协议。整理pptvSET支付系统的主要参与方有： 1）持卡人。即消费者，他们通过Web浏览器或客户端软件购物。 2）商家。提供在线商店或商品光盘给消费者。 3）发卡人。它是一金融机构，为持卡人开账户，并且发放支付卡。 4）收款银行。它为商家建立账户，并且处理支付卡的认证和支付事宜。 5）支付网关。是由收款

17、银行或指定的第三方操纵的设备，它处理商家的支付信息，同时也包括来自消费者的支付指令。整理pptv4. SET协议的安全措施v1） 通过加密保证信息的机密性v2） 应用数字签名技术进行鉴别 签名技术在SET中有两种应用形式，一个最重要的革新就是双重签名。 （1）数字签名。 （2）双重签名。v4） 应用散列函数保证数据完整性整理pptv总的来讲，SSL协议比较简单，因而其应用也相对较广泛；SET协议比较复杂，因而在某种程度上也阻碍了其推广的进程。从安全性角度看，SSL协议不如SET协议安全，对于使用信用卡支付的系统来说，SET协议则是最好的选择，SET协议是专门针对信用卡支付而设计的协议。整理pp

18、t比较SET协议和SSL协议v1) SSL特点v2）SET优点v3）比较SET协议和SSL协议返回整理ppt1)SSL特点vSSL是一个开放的、非专有的协议，这就意味着个人或公司都可以用SSL来设计Internet应用程序。SSL用下面的三种服务来让用户和服务器对它们传送的信息进行保护。1用数字证书实现的服务器认证(防止冒名顶替者)。 2加密传输信息(防止窃听)。 3端对端连接，保证数据信息完整性(防止数据的损坏)。 整理ppt2）SET优点vSET是由Visa和MasterCard所开发的，是为了在Internet上进行在线交易时保证用卡支付的安全而设立的一个开放的规范。SET与SSL相比主要有以下四个方面的优点： (1)SET对商家提供了保护自己的手段，使商务免受欺诈的困扰，使商家的运营成本降低；