7-电子商务安全技术

1、电子商务安全技术E-Commerce Security Technology 电子商务的安全概述Introduction to security in EC 加密技术Data encryption technology 认证技术Authentication technology 防火墙技术 Firewall technology安全技术协议Protocol for securityCase:Biblifind公司该公司立立即报告告州和联联邦执法法机构调调查这次次黑客事事件，并并且向9.8万名客户户发出了了电子邮邮件，提提醒客户户信息可可能已被被黑客获获取了。官方的调调查既没没有逮捕捕责任人人，

2、也没没有发现现嫌犯。许多客客户知道道后都非非常愤怒怒。在攻击事事件一个个月后，Bibliofind被关闭了了。一家家成功的的企业因因不能保保存客户户信息而而毁于一一旦。Case:Biblifind公司本 章重重点点电子商务务的安全全是一个个非常重重要的问问题。只只有网上上交易做做到了安安全可靠靠，客户户才能接接受和使使用这种种交易方方式，电电子商务务才能顺顺利开展展下去。电子商务务的安全全性不是是一个孤孤立的概概念，它它是由计计算机安安全性，尤其是是计算机机网络安安全性发发展而来来的。本章重点点：电子商务务安全需需求电子商务务的安全全隐患及及安全电电子商务务结构对称密钥钥加密体体制及公公开密钥

3、钥加密体体制认证技术术与数字字证书数字时间间戳网络通信信中的加加密方式式防火墙技技术电子商务务安全概概述电子商务务安全需需求TheBasicRequirements forECSecurity信息保密密性的需需求Secrecy信息完整整性的需需求Integrity不可否认认性的需需求Necessity交易实体体身份真真实性的的需求Authentication系统可靠靠性的需需求Reliability电子商务务的安全全隐患TheProblemsfor EC Security互联网本本身的问问题计算机操操作系统统的安全全问题计算机应应用软件件的安全全问题通信传输输协议的的安全问问题网络安全全管理的

4、的问题电子商务务安全概概述电子商务务安全概概述电子商务务安全措措施TheMeasuresfor EC Security安全要素 可能损失 防范措施 信息的保密性 数据被泄露或篡改信息加密 信息的完整性信息丢失和变更数字摘要信息的验证性 冒名发送接受数据数字证书 信息的认可性 发送数据后抵赖数字时间戳与签名信息的授权性未经授权擅自侵入防火墙、口令防火墙的的概念TheconceptionofthefirewallIncomputerfield,firewallisalogical design(hardwareorsoftware) withina networkenvironmentwhichp

5、reventscommunicationsforbidden by thesecuritypolicyofanorganization fromhappening.防火墙图图示防火墙技技术防火墙的的功能Thebasictaskofthefirewall防火墙的的基本任务务是提供一一种访问问控制，通过这这种访问问控制来来实现网网络路由由的安全全性包括括两个方方面： 限制制外部网网对内部部网的访访问，从从而保护护内部网特定资资源免受受非法侵侵犯 限制制内部网网对外部部网的访访问，主主要是针针对一些不健康康信息及及敏感信信息的访访问防火墙技技术防火墙的的分类Thetypeofthefirewall防

6、火墙技技术通信发生生在主机机与网络络还是网网络之间间通信在网网络层或或应用层层进行分分析是否保留留有状态态信息个人防火火墙网络防火火墙网络层防防火墙应用层防防火墙网络防火火墙有状态防防火墙无状态防防火墙防火墙的的工作原原理分分组过滤滤（PacketFilter）分组过滤滤是利用用路由器器里安装装防火墙墙软件方方式来保保护网络络内部系系统。这这种包过过滤实际际上是在在网络层层中对数数据包实实施有选选择的通通过，依依据系统统内事先先设定的的过滤逻逻辑规则则，检查查数据流流中每个个数据包包，根据据数据包包的源、目的地地址、所所用的IP端口等因因素来确确定是否否允许该该数据包包通过。防火墙技技术应用层

7、表示层会话层传输层网络层数据链路层物理层分组过滤滤防火墙墙实现原原理图内部受保保护的网网络外层网络络防火墙技技术应用网关关（ApplicationGateways）应用网关关是在网网络应用用层上建建立协议议过滤和和转发功功能。它它针对特特定的网网络应用用协议，使用指指定的数数据过滤滤逻辑，并在过过滤的同同时，对对数据包包进行必必须的分分析、登登记和统统计，形形成报告告。实际际中的应应用网关关通常安安装在专专用工作作站系统统上。防火墙技技术应用网关关防火墙墙实现原原理示意意应用层表示层会话层传输层网络层数据链路层物理层外层网络络内部受保保护的网网络防火墙技技术(3)代理服务务（ProxyServ

8、ice）代理服务务使用一一个客户户程序与与特定的的中间结结点（代代理服务务器，即即防火墙墙）建立立连接，然后中中间结点点与服务务器进行行实际连连接。代代理服务务在应用用层上进进行。防火墙代理访问控制客户代理服务器代理服务器客户请求应答请求转发转发应答代理服务务器防火火墙数据据控制及及传输示示意防火墙技技术防火墙的的基本策策略BasicPolicyofFirewall没有被列列为允许许访问的的服务都都是被禁禁止的这种控制制模型需需要确定定所有可可以被提提供的服服务以及及它们的的安全特特性，然然后，开开放这些些服务，并将所所有其它它未被列列入的服服务排除除在外，禁止访访问。 没有有被列为为禁止访访

9、问的服服务都是是被允许许的这种防火火墙模型型与上种种模型正正好相反反，它需需要确定定那些被被认为是是不安全全的服务务，禁止止其访问问；而其其它服务务则被认认为是安安全的，允许访访问。防火墙技技术防火墙技技术防火墙实实现站点点安全的的安全策策略ConcreteofFirewall服务控制制策略这种策略略主要明明确规定定外部网网和内部部网用户户之间进进行访问问的服务务类型。 方向向控制策策略启动特定定的服务务请求并并允许它它通过防防火墙，这些操作都具具有方向向性。用户控控制策略略这种策略略主要针针对访问问请求的的用户类类型来确确定是否否提供服务务。行为控控制策略略用来控制制用户如如何使用用某种特特

10、定的服服务。数据加密密技术数据加密密Data encryption加密就是是用基于于数学算算法的程程序和保保密的密密钥对信信息进行行编码，生成难难以理解解的字符符串。源信息加密算法E源信息解密算法D密文加密密钥Ke解密密钥Kd源信息用用加密算算法E和加密密密钥Ke进行加密密运算，得到密密文，然然后通过过一定的的传输路路径传输输给接收收端，接接收端接接收到密密文后，利用解解密算法法D和解密密密钥Kd对密文进进行解密密运算，从而获获得信息息明文。数据加密密技术对称密钥钥加密体体制Symmetricencryptiontechnology对称密钥钥加密原原理对称密钥钥体制，就是加加密密钥钥和解密密密

11、钥相相同，即：Ke=Kd=K对称密钥钥加密体体制常用用算法1替换加加密法2转换加加密法3数据加加密标准准（DES）算法替换加密密法例1：Caesar（恺撒）密码最原始的的密码技技术数据加密密技术明文： C R Y P T O G R A P H Y密文： F U B S W R J U D S K Bkey：n=4例2：单表置置换密码码数据加密密技术数据加密密技术非对称密密钥加密密体制Asymmetric encryptiontechnology非对称密密钥加密密原理非对称密密码体制制也也称双钥钥密码（或公钥钥密钥）体制，就是加加密和解解密使用用不同的的密钥。非对称密密码体系系的主要要特点公钥

12、密码码体系的的主要特特点就是是加密和和解密使使用不同同的密钥钥，每个个用户都都有一对对选定的的密钥（所以又又称双钥钥），即即：公钥KP（publickey）是是可以公公开的，它可以以像电话话号码一一样注册册公布私钥KS（self key）是是秘密的的，私用用的。由KP不能计算算出KS。加密和解解密分开开。数据加密密技术Kex:X的加密密密钥，Key:Y的加密密密钥，其其他密钥钥依次类类推.公开密钥钥密码体体制认证技术术认证技术术为了确保保信息的的真实性性和防伪伪性，就就必须使使发送的的消息具具有被验验证性，使接收收者或第第三者能能够识别别消息的的真伪，实现这这类功能能的密码码技术称称作数字字认

13、证技技术。信息的认认证与保保密是有有区别的的，加密密保护只只能防止止被动攻攻击，而而认证保保护可以以防止主主动攻击击。保密性是是使截获获者在不不知密钥钥条件下下不能解解读密文文的内容容。认证性是是使任何何不知密密钥的人人不能构构造一个个密报，使意定定的接收收者脱密密成一个个可理解解的消息息。认证技术术数字摘要要Message digestMessage digestisa techniqueofmakinguse of digitalfingerprintfor integrityverification. Thedigital fingerprint of thefile is transm

14、itted along withthe filetothe recipientintransit.Afterreceivingthe file, therecipientcalculatesthehashvalueofthereceivedfileinthesamewayand if theresultisidentical withthe digestcode received,itisconcludedthatthefilehasnot beenaltered.数字摘要要是利用数数据字指指纹来保保证信息息完整性性的一种种手段。数据摘要要技术1.杂凑函数数杂凑函数数（hashing func

15、tion）是将任任意长的的数字串串M映射（压压缩）成成一个较较短的定定长输出出数字串串H的函数：H=h(M)即H为M的杂凑值值（杂凑凑码），h(x)为杂凑函函数。2.基于杂凑凑函数的的信息摘摘要MUXhDMXh比较MMh(M)发端 A收端 B判断输出h(M)M|h(m)认证技术术认证技术术数字签名名digital signatures在以计算算机文件件为基础础的事务务处理中中采用电电子形式式的签名名,即数字签签名.数字签名名解决的的问题functionsTherecipient canverifythe realidentityofthesenderThesender cannotrepudi

16、atethe messages sentTherecipient or crackers cannotalterandfakethemessagereceived.老李A小王B老李和小小王使用用不同的的密钥老李使用用小王的的公钥对对签名进进行核实实小王使用用私钥对对消息进进行签名名KSB核实签名对消息签签名“我们亟需定购100套Windows2000”“dkso(Sc#Z02f+baur”“我们亟需需定购100套Windows2000”“我们亟需需定购100套Windows2000”InternetMMM1KPB基于公钥钥认证体体制的数数字签名名认证技术术利用杂凑凑函数进进行数字字签名数字签名

17、名=Hash算法+私人密钥钥加密认证技术术数字证书书与CA认证Digital certificates& CA security authentication数字证书书（Digital Certificate）也叫数字字标识（Digital ID）、数字字凭证、公开密密钥证书书，是用用电子手手段来证证实一个个用户的的身份和和对网络络资源的的访问权权限。认证技术术数字证书书的类型型:个人数字字证书 企业业数字证证书 服务务器数字字证书 代码码签名数数字证书书 安全全电子邮邮件数字字证书认证中心心（CA，Certification Authority）CertificateAuthority(CA

18、)isthecoreorganizationofe-commercesecurityauthenticationsystem.Functions:ThecorefunctionofCAistoissueandmanage DigitalCertificate.另外，认认证中心心还对电电子商务务中的数数据加密密、数字字签字、防抵赖赖、数据据完整性性以及身身份鉴别别所需的的密钥和和认证实实施统一一管理，以保证证网上交交易安全全进行。认证技术术一个典型型的CA认证系统统一般包包括安全全服务器器、注册册机构RA、CA服务器、LDAP目录服务务器和数数据库服服务器等等.认证技术术tree authentication structure认证技术术CA证书信任任分级体体系数字时间间戳Digital TimeStampA digitaltimestampisa proof of thereceivingand sendingtimeofinformation,whichisadocumentformedafterbeingencrypted.数字时间间戳是用用来证明明信息的的收发时时间的，它是一一个经过过加密后后形成的的凭证文文档。数字时间间戳应当当保证：（1）信息文文件加上上去的时时间戳与与存储信信息的物物理媒介介无关；（2）对已加加上数字字时间戳戳的信息息文件不不能作