电子商务安全下

1、4 电子商务安全技术下 4.2 信息加密技术 对称式密钥加密技术 公开密钥加密技术4.2电子商务的主要安全要素4.2 认证技术 基本认证技术 CA认证实战训练4.2 电子商务的安全交易标准信息的保密性：这是指信息在存储、传输和处理过程中，不被他人窃取。这需要对交换的信息实施加密保护，使得第三者无法读懂电文。信息的完整性：这是指确保收到的信息就是对方发送的信息，信息在存储中不被篡改和破坏，在交换过程中无乱序或篡改，保持与原发送信息的一致性。一、电子商务对安全的基本要求 信息的不可否认性：这是指信息的发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。交易者身份的真实性：这是指交易双方的

2、身份是真实的，不是假冒的。防止冒名发送数据。信息的有效性：保证信息是可接受的，受法律保护的系统的可靠性：这是指计算机及网络系统的硬件和软件工作的可靠性。在电子商务所需的几种安全性要求中，以保密性、完整性和不可否认性最为关键。电子商务安全性要求的实现涉及到多种安全技术的应用。二.安全性解决方案 电子商务安全交易体系三个层次：基本的加密技术安全认证手段安全交易协议三.电子商务安全体系4.2信息加密技术 一.加密和解密 加密：是指将数据进行编码，使它成为一种不可懂的形式， （密文）。 解密：是加密的逆过程，即将密文还原成原来形式（明文）； 密钥：是控制明文与密文之间变换的关键，分为加密密钥 和解密密

3、钥。 二.对称加密技术 1.概念 加密和解密均采用同一把密钥，也叫私钥加密系统。给对方发信息时，用自己的加密密钥进行加密，而在接受方收到数据后，用对方所给的密钥进行解密。 2.加密算法 目前世界上较为通用的对称加密算法有DES，美国数据加密标准。这种加密算法的计算速度非常快，因此被广泛应用于对大量数据的加密过程。3.优点 4.存在的问题加密速度快。 1在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。2当通信对象增多时，需要相应数量的密钥，这就使密钥管理和使用的难度增大。3对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在

4、的危险和复杂的管理难度。你觉得这种加密技术好不好用呢？ 为什么？主要问题是在密钥的安全交换和管理问题上三.非对称加密技术 为了克服对称加密技术存在的密钥管理和分发上的问题，1976年产生了密钥管理更为简化的非对称密钥密码体系，也称公钥加密体系，对近代密码学的发展具有重要影响。1.概念： 非对称密钥加密，又称公钥密钥加密，它需要使用一对密钥来分别完成加密和解密操作。信息发送者用公开密钥去加密，而信息接收者则用私有密钥去解密。2.算法：现在公钥密码体系用的最多是RSA算法，它是以三位发明者（Rivest、Shamir、Adleman）姓名的第一个字母组合而成的。Adi ShamirRon Rive

5、stLen Adleman它最重要的特点是加密和解密使用不同的密钥。每个用户保存着两个密钥：一个公开密钥(Public Key)，简称公钥，一个私人密钥(Individual Key)，简称私钥。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间！。3.RSA算法的特点：公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，私钥由用户自己严密保管。通信时，发送方用接收者的公钥对明文加密后发送，接收方用自己的私钥进行解密，别人即使截取了也无法解开。这样既解决了信息保密问题，又克服了对称加密中密钥管理与分发传递的问题。易于实现，使用灵活，密钥较少，在网络中容

6、易实现密钥管理，便于进行数字签名，从而保证数据的不可抵赖性；4.优点：5.缺点：要取得较好的加密效果和强度，必须使用较长的密钥， 从而加重系统的负担和减慢系统的吞吐速度，这使得 非对称密钥技术不适合对数据量较大的报文进行加密。四.对称密钥和公开密钥的结合 在实践中，为了保证电子商务系统的安全、可靠以及使用效率，一般可以采用由对称密钥和公开密钥相结合实现的综合保密系统。在该系统中，用DES算法作为数据的加密算法对数据进行加密，用RSA算法作为DES密钥的加密算法，对DES密钥进行加密这样的系统既能发挥DES算法加密速度快、安全性好的优点，又能发挥RSA算法密钥管理方便的优点，扬长避短。4.2认证

7、技术 一.认证的目的 1.交易的不可抵赖：保证信息是由签名者自己签名发送的， 签名者不能否认或难以否认。 二.基本认证技术 2.数字摘要 1.数字签名 用自己的私钥加密数据发给对方，形成数字签名。采用单向Hash函数将需加密的明文“摘要”成一串128bit的密文，形成数字摘要。也称安全Hash编码法(SHA)。 明文传送密文明文私钥加密公钥解密2.身份验证：避免对方以假冒身份进行交易诈骗 高效数字签名方法：报文的发送方从原文中生成一个数字摘要，再用发送方的私钥对这个数字摘要进行加密来形成发送方的数字签名。发送方将数字签名作为附件与原文一起发送给接收方。接收方用发送方的公钥对已收到的加密数字摘要

8、进行解密；高效数字签名方法：接收方对收到的原文用Hash算法得到接收方的数字摘要；将解密后的发送方数字摘要与接收方数字摘要进行对比，进行判断。数字签名很好地解决了电子商务信息的完整性鉴别和不可否认性（抵赖性）问题在数字信封中，信息发送方采用对称密钥来加密信息内容，然后将此对称密钥用接收方的公开密钥来加密（这部分称数字信封）之后，将它和加密后的信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开加密信息。这种技术的安全性相当高。3.数字信封 4.数字证书(Digital Certificate,digital ID) 又称为数字凭证，可建立严格身份认证和

9、加密保证。 为每个用户设定一把特定的仅为本人所知的私钥，用它解密 和签名。同时设定一把公钥并由本人公开，用于其他用户加密和验证签名。数字证书的内容数字证书的内部格式遵循X.509标准。X.509是由国际电信联盟(ITUT)制定的数字证书标准。根据这项标准，证书包括申请证书个人的信息和发行证书机构的信息。5.认证中心(CA:Certification Authority) ： 是承担网上安全电子交易认证服务、能签发数字证书、并专门验证交易双方身份的权威机构。 认证中心的体系结构是个倒置树型结构。 CA的树型验证结构 4.3电子商务的安全交易标准一、 安全套接层协议 (SSL) 二、 安全电子交易

10、协议 (SET)一.安全套接层协议 (SSL) SSL (secure sockets layer)是由Netscape 公司是由设计开发的，其目的是通过在收发双方建立安全通道来提高应用程序间交换数据的安全性，从而实现浏览器和服务器（通常是Web服务器）之间的安全通信。1、SSL提供的基本服务功能信息保密。使用公共密钥和对称密钥技术实现信息保密。SSL客户机和SSL服务器之间的所有业务都使用在SSL握手过程中建立的密钥和算法进行加密，这样就防止了某些用户进行非法窃听。信息完整性。SSL利用机密共享和Hash函数组提供信息完整性服务相互认证。是客户机和服务器相互识别的过程。凡是支持送SSL协议的

11、网页，都会以https:/作为URL的开头。客户在与服务器进行SSL会话中，如果使用的是微软的IE浏览器，可以在右下方状态栏中看到一只金黄色的锁形安全标志，用鼠标双击该标志，就会弹出服务器证书信息。2、SSL协议的电子交易过程当用于银行卡网上支付流程时的缺点 首先，客户的银行资料信息先送到商家，让商家阅读，这样，客户银行资料的安全性就得不到保证。二.安全电子交易协议 (SET) (Secure Electronic Transaction，SET)背景：网上消费者发出的支付指令在由商户送到支付网关之前，是在公用网上传送的，这一点与持卡POS消费者有着本质的不同。因此，在开放的网络上处理交易，如

12、何保证传输数据的安全成为电子商务能否普及的最重要的因素之一，SET正是在这种需求的推动下应运而生的。它是由VISA和MasterCard两大信用卡公司发起，会同IBM、Microsoft等信息产业巨头于1997年6月正式制定发布的用于因特网事务处理的一种标准。SET为电子商务提供的功能保证电子商务参与者信息的互相隔离。保证信息在互联网上安全传输。解决多方认证问题。规范协议和消息格式。使用SET的网上购物流程：客户通过网络浏览器浏览在线商家的商品目录。选择要购买的商品； 填写订单，包括欲购商品名称、规格、数量、交货时间及地点等信息。订单通过因特网发送给商家，商家进行应答，并告知以上订单货物单价、应付款数额和交货方式；消费者选择付款方式，此时SET开始介入；应用SET的购物流程消费者发送给商家一个完整的订单及其要求付款的指令。在SET中，订单和付款指令由消费者进行数字签名；同时利用双重身份签名技术，保证商家看不到消费者的账号信息。在线商家接受订单后，向客户开户银行请求支付，此信息通过支付网关送达收单银行，并进一步提交发卡银行确认。确认批准后，发卡银行返回确认信息，经收单银行通过支付网关发给在线商家；在线商家发送订单确