非对称密钥加密系统课件

本章主要内容：电子商务安全要求与安全内容防火墙等网络安全技术加密技术和认证技术SSL与SET第3章电子商务安全技术1

本章主要内容：第3章电子商务安全技术13.1

电子商务安全要求3.1.1电子商务所面临的安全问题电子商务中的安全隐患可分为如下几类：

1.信息的截获和窃取2.信息的篡改3.信息假冒4.交易抵赖23.1电子商务安全要求3.1.1电子商务所面临的安全计算机安全分类实体安全机房、线路及主机等的物理安全网络与信息安全包括网络的畅通、准确，网上系统、程序和数据安全，电子商务安全。应用安全包括程序开发运行、输入输出、数据库等安全。3计算机安全分类实体安全机房、线路及主机等的物理安全3为什么网络安全如此重要WebServerTheInternetEncryption线路安全客户安全连接安全TheIntranetWebServerWeakness:Externalaccessnowgranted.Areapplicationsandnetworksecure?信息资本EnterpriseNetwork没有边界没有中央管理是开放的、标准的没有审计记录INTERNET4为什么网络安全如此重要WebServerTheInter网络侵袭的主要种类外部与内部入侵非授权访问、冒充合法用户等。拒绝服务部分或彻底地阻止计算机或网络正常工作。盗窃信息指无须利用你的计算机就可获取数据信息。5网络侵袭的主要种类外部与内部入侵非授权访问、冒充合法用网络侵袭者的主要种类间谍（商业间谍及其他间谍）。盗窃犯。破坏者。寻求刺激者。“记录”追求者。低级失误和偶然事件。6网络侵袭者的主要种类间谍（商业间谍及其他间谍）。6网络安全不单是技术问题机构与管理法律与法规经济实力技术与人才7网络安全不单是技术问题机构与管理7安全性需要代价安全性与方便性安全性与性能安全性与成本8安全性需要代价安全性与方便性8减少安全威胁的主要策略修补系统漏洞系统病毒检查系统直接安全

管理空闲机器安全管理废品处理安全管理口令安全管理加密系统认证、授权系统Internet防火墙系统捕捉闯入者系统政策、法律、守则、管理Internet防火墙授权、认证加密审计、监控9减少安全威胁的主要策略修补系统漏洞系统政策3.1.2电子商务安全需求机密性完整性认证性不可抵赖性有效性103.1.2电子商务安全需求机密性10主要包括以下几个方面：信息的保密性：电子商务系统应该对主要信息进行保护，阻止非法用户获取和理解原始数据。2.

数据完整性：电子商务系统应该提供对数据进行完整性认证的手段，确保网络上的数据在传输过程中没有被篡改。

电子商务系统对信息安全的要求11主要包括以下几个方面：电子商务系统对信息安全的要求11用户身份验证：电子商务系统应该提供通讯双方进行身份鉴别的机制。一般可以通过数字签名和数字证书相结合的方式实现用户身份的验证，证实他就是他所声称的那个人。数字证书应该由可靠的证书认证机构签发，用户申请数字证书时应提供足够的身份信息，证书认证机构在签发证书时应对用户提供的身份信息进行真实性认证。

电子商务系统对信息安全的要求12用户身份验证：电子商务系统应该提供通讯双方进行身份鉴别的机制4.授权：电子商务系统需要控制不同的用户谁能够访问网络上的信息并且能够进行何种操作。5.数据原发者鉴别：电子商务系统应能提供对数据原发者的鉴别，确保所收到的数据确实来自原发者。这个要求可以通过数据完整性及数字签名相结合的方法来实现。

电子商务系统对信息安全的要求134.授权：电子商务系统需要控制不同的用户谁能够访问网络上的信6.数据原发者的不可抵赖和不可否认性：电子商务系统应能提供数据原发者不能抵赖自己曾做出的行为，也不能否认曾经接到对方的信息，这在交易系统中十分重要。7.合法用户的安全性：合法用户的安全性是指合法用户的安全性不受到危害和侵犯，电子商务系统和电子商务的安全管理体系应该实现系统对用户身份的有效确认、对私有密匙和口令的有效保护、对非法攻击的有效防范等，

电子商务系统对信息安全的要求146.数据原发者的不可抵赖和不可否认性：电子商务系统应能提供数8.网络和数据的安全性：电子商务系统应能提供网络和数据的安全，保护硬件资源不被非法占有，软件资源免受病毒的侵害。

电子商务系统对信息安全的要求158.网络和数据的安全性：电子商务系统应能提供网络和数据的安全3.1.3电子商务安全内容电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全,两者相辅相成，缺一不可。计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。163.1.3电子商务安全内容电子商务安全从整体

商务交易安全紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。3.1.3电子商务安全内容17商务交易安全紧紧围绕传统商务在互联网络上应用时产生的电子商务安全构架交易安全技术安全应用协议SET、SSL安全认证手段数字签名、CA体系基本加密算法对称和非对称密算法安全管理体系网络安全技术病毒防范身份识别技术防火墙技术分组过滤和代理服务等法律、法规、政策18电子商务安全构架安全管理体系法律、法规、政策183.2计算机网络安全技术4.2.1计算机网络的潜在安全隐患企业内部计算机系统面临的风险Internet本身的不安全性对企业内部信息系统带来的潜在风险从纯技术角度上来看，存在着薄弱性。193.2计算机网络安全技术4.2.1计算机网络的潜在安

3.2.2计算机网络安全体系在实施网络安全防范措施时要考虑以下几点：

加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；

用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；

从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；203.2.2计算机网络安全体系在实施网络安全防范利用数据存储技术加强数据备份和恢复措施；

对敏感的设备和数据要建立必要的物理或逻辑隔离措施；

对在公共网络上传输的敏感信息要进行数据加密；

安装防病毒软件，加强内部网的整体防病毒措施；

建立详细的安全审计日志，以便检测并跟踪入侵攻击等3.2.2计算机网络安全体系213.2.2计算机网络安全体系214.2.3常用的计算机网络安全技术病毒防范技术身份识别技术防火墙技术虚拟专用网技术（VirtualPrivateNetwork，VPN）224.2.3常用的计算机网络安全技术病毒防范技术22病毒防范技术网络病毒的威胁

一是来自文件下载；二是网络化趋势。措施安装防病毒软件，加强内部网的整体防病毒措施；加强数据备份和恢复措施；对敏感的设备和数据要建立必要的物理或逻辑隔离措施等23病毒防范技术网络病毒的威胁23布署和管理防病毒软件布署一种防病毒的实际操作一般包括以下步骤：1．制定计划：了解在你所管理的网络上存放的是什么类型的数据和信息。2．调查：选择一种能满足你的要求并且具备尽量多的前面所提到的各种功能的防病毒软件。3．测试：在小范围内安装和测试所选择的防病毒软件，确保其工作正常并且与现有的网络系统和应用软件相兼容。3.2.2计算机网络安全体系24布署和管理防病毒软件3.2.2计算机网络安全体4．维护：管理和更新系统确保其能发挥预计的功能，并且可以利用现有的设备和人员进行管理；下载病毒特征码数据库更新文件，在测试范围内进行升级，彻底理解这种防病毒系统的重要方面。5．系统安装：在测试得到满意结果后，就可以将此种防病毒软件安装在整个网络范围内。4.2.3常用的计算机网络安全技术254．维护：管理和更新系统确保其能发挥预计的功能，并且可以利用Packet-Switched

Leased

LineWorkgroup广域网INTERNET局域网PC杀毒软件SERVER杀毒软件杀毒防火墙PC杀毒软件远程工作站网络防毒手段26Packet-SwitchedLeased

LineW

口令标记方法生物特征法身份识别技术27

口令身份识别技术27认证的主要手段对用户拥有的东西进行鉴别，如IC卡等对用户的生物特征进行鉴别，如指纹、视网膜血管分布等对用户所知道的进行鉴别，如口令等28认证的主要手段对用户拥有的东西进行鉴别，如IC卡等283．防火墙技术1.基本概念防火墙是一种将内部网和公众网如Internet分开的方法。它能限制被保护的网络与互联网络之间，或者与其他网络之间进行的信息存取、传递操作。防火墙可以作为不同网络或网络安全域之间信息的出入口，能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。293．防火墙技术1.基本概念29设计防火墙的准则一切未被允许的就是禁止的防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。这种方法可以创造十分安全的环境，但用户使用的方便性、服务范围受到限制。一切未被禁止的就是允许的防火墙转发所有信息流，然后逐项屏蔽有害的服务。这种方法构成了更为灵活的应用环境，可为用户提供更多的服务。但在日益增多的网络服务面前，网管人员的疲于奔命可能很难提供可靠的安全防护。30设计防火墙的准则一切未被允许的就是禁止的30什么是防火墙？防火墙：在被保护网络和Internet之间，或者和其它网络之间限制访问的软件和硬件的组合。防火墙31什么是防火墙？防火墙：在被保护网络和Internet之间，防防火墙的主要功能能做什么？安全把关网络活动统计内部隔离不能做什么？不能防范内部入侵不能防范新的威胁控制粒度粗32防火墙的主要功能32保护数据的完整性。可依靠设定用户的权限和文件保护来控制用户访问敏感性信息，可以限制一个特定用户能够访问信息的数量和种类；保护网络的有效性。有效性是指一个合法用户如何快速、简便地访问网络的资源；保护数据的机密性。加密敏感数据。防火墙的功能33防火墙的功能33防火墙的基本原理数据过滤：一个设备采取的有选择地控制来往于网络的数据流的行动。数据包过滤可以发生在路由器或网桥上。屏蔽路由器34防火墙的基本原理数据过滤：一个设备采取的有选择地控制来往于网防火墙的基本原理（续）代理服务：代理服务是运行在防火墙主机上的应用程序或服务器程序。它在幕后处理所有Int-ernet用户和内部网之间的通讯以代替直接交谈。代理服务35防火墙的基本原理（续）代理服务：代理服务是运行在防火墙主机上一个典型的防火墙构成“无人区”防火墙36一个典型的防火墙构成“无人区”防火墙36构筑防火墙需考虑的主要因素你的公司要控制什么或要保护什么你的公司要控制或要保护到什么程度财政预算技术问题：屏蔽路由器还是代理服务器...37构筑防火墙需考虑的主要因素你的公司要控制什么或要保护什么37虚拟专用网技术（VirtualPrivateNetwork，VPN）虚拟专用网是用于Internet电子交易的一种专用网络，它可以在两个系统之间建立安全的通道，非常适合于电子数据交换（EDI）。38虚拟专用网技术（VirtualPrivateNetwor

在虚拟专用网中交易双方比较熟悉，而且彼此之间的数据通信量很大。只要交易双方取得一致，在虚拟专用网中就可以使用比较复杂的专用加密和认证技术，这样就可以提高电子商务的安全性。

VPN可以支持数据、语音及图像业务，其优点是经济、便于管理、方便快捷地适应变化，但也存在安全性低，容易受到攻击等问题。虚拟专用网技术（VirtualPrivateNetwork，VPN）39在虚拟专用网中交易双方比较熟悉，而且彼此之间的数据通

加密数据加密技术从技术上的实现分为在软件和硬件两方面。按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术这四种。在网络应用中一般采取两种加密形式：对称密钥和公开密钥，采用何处加密算法则要结合具体应用环境和系统，而不能简单地根据其加密强度来作出判断。

3.3交易安全技术

40加密3.3交易安全技3.3.1加密技术加密：加密是指对数据进行编码使其看起来毫无意义，同时仍保持可恢复的形式。413.3.1加密技术加密：加密是指对数据进行编码使其看起来加密技术的主要分类

对称密匙 在对数据加密的过程中，使用同样的密匙进行加密和解密。 常见密匙算法：DES、IDEA公开密匙/私有密匙 与对称密匙不同，公开密匙/私有密匙使用相互关联的一对算法对数据进行加密和解密。 常见密匙算法： RSA42加密技术的主要分类421．对称密钥加密体制对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。对称加密技术的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。加密技术的主要分类431．对称密钥加密体制加密技术的主要分类43对称加密技术1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。2）当通信对象增多时，需要相应数量的密钥。

3）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。加密技术的主要分类44对称加密技术加密技术的主要分类44对称密匙（保密密匙）加密明文消息密匙A加密加密消息明文消息密匙A解密45对称密匙（保密密匙）加密明文消息密匙A加密加密消息明文消息密非对称密钥加密系统，又称公钥密钥加密，它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，称为公开密钥（Public-Key）；另一个由用户自己秘密保存，称为私有密钥（Private-Key）。信息发送者用公开密钥去加密，而信息接收者则用私有密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。

非对称密钥加密体制46非对称密钥加密体制46公开密匙/私有密匙加密老张小李的公开密匙小李老张密文小李小李的私有密匙老张的私有密匙老张的公开密匙密文鉴别保密用RSA鉴别,只有老张能发出该信息用RSA保密,只有小李能解开该信息47公开密匙/私有密匙加密老张小李的公开密匙小李老张密文小李小李对称与非对称加密体制对比特

性对

称非

对

称密钥的数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有、一个公开密钥管理简单不好管理需要数字证书及可靠第三者相对速度非常快慢用途用来做大量资料的加密用来做加密小文件或对信息签字等不太严格保密的应用48对称与非对称加密体制对比特性对称非对称密4.3.2信息摘要

图信息摘要过程494.3.2信息摘要 图信息摘要过程493.3.3数字签名

图数字签名过程503.3.3数字签名 图数字签名过程503.3.3数字签名

发送方私钥513.3.3数字签名 发送方私钥514.3.4数字证书与CA认证

1．数字证书（DigitalCertificate或DigitalID）数字证书采用公－私钥密码体制，每个用户拥有一把仅为本人所掌握的私钥，用它进行信息解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上采购招标、网上办公、网上保险、网上税务、网上签约和网上银行等安全电子事务处理和安全电子交易活动。

524.3.4数字证书与CA认证 1．数字证书（Digita2．数字证书包括以下内容如图所示：

证书拥有者的姓名；

证书拥有者的公钥；

公钥的有限期；

颁发数字证书的单位；

颁发数字证书单位的数字签名；

数字证书的序列号等。数字证书的内容532．数字证书包括以下内容如图所示：数字证书的内容53图查看证书内容（1）数字证书的内容54图查看证书内容（1）数字证书的内容54图查看证书内容（2）数字证书的内容55图查看证书内容（2）数字证书的内容55图查看证书内容（3）数字证书的内容56图查看证书内容（3）数字证书的内容563．数字证书的申请（1）下载并安装根证书（如图34~38所示）（2）申请证书（如图39~41所示）（3）将个人身份信息连同证书序列号一并邮寄到中国数字认证网数字证书的内容573．数字证书的申请数字证书的内容57图34下载根证书（1）数字证书的内容58图34下载根证书（1）数字证书的内容58图35下载根证书（2）数字证书的内容59图35下载根证书（2）数字证书的内容59图36安装根证书（1）数字证书的内容60图36安装根证书（1）数字证书的内容60图37安装根证书（2）数字证书的内容61图37安装根证书（2）数字证书的内容61图38查看根证书数字证书的内容62图38查看根证书数字证书的内容62图39申请个人免费证书数字证书的内容63图39申请个人免费证书数字证书的内容63图40下载个人证书数字证书的内容64图40下载个人证书数字证书的内容64图41查看个人证书数字证书的内容65图41查看个人证书数字证书的内容65数字证书应用操作实例（个人证书在安全电子邮件中的应用）（1）在OutlookExpress5发送签名邮件(如图42~46所示)：

1）在OutlookExpress5中设置证书 2）发送签名邮件。（2）用OutlookExpress5发送加密电子邮件（如图47~50所示）：

1）获取收件人数字证书

2）发送加密邮件数字证书的内容66数字证书应用操作实例（个人证书在安全电子邮件中的应用）数字证图42在OutlookExpress中设置证书（1）数字证书的内容67图42在OutlookExpress中设置证书（1）图43在OutlookExpress中设置证书（2）数字证书的内容68图43在OutlookExpress中设置证书（2图44在OutlookExpress中设置证书（3）数字证书的内容69图44在OutlookExpress中设置证书（3图45发送签名邮件数字证书的内容70图45发送签名邮件数字证书的内容70图46收到签名邮件的提示信息数字证书的内容71图46收到签名邮件的提示信息数字证书的内容71数字证书应用操作实例（个人证书在安全电子邮件中的应用）（2）用OutlookExpress5发送加密电子邮件（如图47~50所示）：

1）获取收件人数字证书

2）发送加密邮件数字证书的内容72数字证书应用操作实例（个人证书在安全电子邮件中的应用）数字证图47将收件人证书添加到通信簿数字证书的内容73图47将收件人证书添加到通信簿数字证书的内容73图48查询和下载收件人数字证书数字证书的内容74图48查询和下载收件人数字证书数字证书的内容74图49发送加密邮件数字证书的内容75图49发送加密邮件数字证书的内容75图50收到加密邮件的提示信息数字证书的内容76图50收到加密邮件的提示信息数字证书的内容76认证中心CA（CertificationAuthority）（1）认证中心的功能：核发证书、管理证书、搜索证书、验证证书（2）CA的树形验证结构(如图所示）数字证书的内容77认证中心CA（CertificationAuthori图CA的树形结构数字证书的内容78图CA的树形结构数字证书的内容78国内外CA中心简介国外常见的CA有VeriSign、GTECyberTrust、Thawte等。国内常见的CA有

中国商务在线中国数字认证网（），数字认证，数字签名，CA认证，CA证书，数字证书，安全电子商务。北京数字证书认证中心

（），为网上电子政务和电子商务活动提供数字证书服务。数字证书的内容79国内外CA中心简介数字证书的内容793.4电子商务安全交易标准1．安全套接层协议SSL（SecureSocketsLayer）803.4电子商务安全交易标准1．安全套接层协议SSL80SET(SecureElectronicTransaction)持卡人密文商家银行发卡机构CA密文协商定单确认审核确认审核批准认证认证认证提供身份认证、数据保密、数据完整性等服务81SET(SecureElectronicTransacSET协议规范所涉及的对象:①

消费者②

在线商店③

收单银行④

电子货币⑤

认证中心（CA）SET(SecureElectronicTransaction)82SET协议规范所涉及的对象:SET(SecureElecSET协议分析1.证书2.CA3.证书的树形验证体系结构SET(SecureElectronicTransaction)83SET协议分析SET(SecureElectronic

本章主要内容：电子商务安全要求与安全内容防火墙等网络安全技术加密技术和认证技术SSL与SET第3章电子商务安全技术84

本章主要内容：第3章电子商务安全技术13.1

电子商务安全要求3.1.1电子商务所面临的安全问题电子商务中的安全隐患可分为如下几类：

1.信息的截获和窃取2.信息的篡改3.信息假冒4.交易抵赖853.1电子商务安全要求3.1.1电子商务所面临的安全计算机安全分类实体安全机房、线路及主机等的物理安全网络与信息安全包括网络的畅通、准确，网上系统、程序和数据安全，电子商务安全。应用安全包括程序开发运行、输入输出、数据库等安全。86计算机安全分类实体安全机房、线路及主机等的物理安全3为什么网络安全如此重要WebServerTheInternetEncryption线路安全客户安全连接安全TheIntranetWebServerWeakness:Externalaccessnowgranted.Areapplicationsandnetworksecure?信息资本EnterpriseNetwork没有边界没有中央管理是开放的、标准的没有审计记录INTERNET87为什么网络安全如此重要WebServerTheInter网络侵袭的主要种类外部与内部入侵非授权访问、冒充合法用户等。拒绝服务部分或彻底地阻止计算机或网络正常工作。盗窃信息指无须利用你的计算机就可获取数据信息。88网络侵袭的主要种类外部与内部入侵非授权访问、冒充合法用网络侵袭者的主要种类间谍（商业间谍及其他间谍）。盗窃犯。破坏者。寻求刺激者。“记录”追求者。低级失误和偶然事件。89网络侵袭者的主要种类间谍（商业间谍及其他间谍）。6网络安全不单是技术问题机构与管理法律与法规经济实力技术与人才90网络安全不单是技术问题机构与管理7安全性需要代价安全性与方便性安全性与性能安全性与成本91安全性需要代价安全性与方便性8减少安全威胁的主要策略修补系统漏洞系统病毒检查系统直接安全

管理空闲机器安全管理废品处理安全管理口令安全管理加密系统认证、授权系统Internet防火墙系统捕捉闯入者系统政策、法律、守则、管理Internet防火墙授权、认证加密审计、监控92减少安全威胁的主要策略修补系统漏洞系统政策3.1.2电子商务安全需求机密性完整性认证性不可抵赖性有效性933.1.2电子商务安全需求机密性10主要包括以下几个方面：信息的保密性：电子商务系统应该对主要信息进行保护，阻止非法用户获取和理解原始数据。2.

数据完整性：电子商务系统应该提供对数据进行完整性认证的手段，确保网络上的数据在传输过程中没有被篡改。

电子商务系统对信息安全的要求94主要包括以下几个方面：电子商务系统对信息安全的要求11用户身份验证：电子商务系统应该提供通讯双方进行身份鉴别的机制。一般可以通过数字签名和数字证书相结合的方式实现用户身份的验证，证实他就是他所声称的那个人。数字证书应该由可靠的证书认证机构签发，用户申请数字证书时应提供足够的身份信息，证书认证机构在签发证书时应对用户提供的身份信息进行真实性认证。

电子商务系统对信息安全的要求95用户身份验证：电子商务系统应该提供通讯双方进行身份鉴别的机制4.授权：电子商务系统需要控制不同的用户谁能够访问网络上的信息并且能够进行何种操作。5.数据原发者鉴别：电子商务系统应能提供对数据原发者的鉴别，确保所收到的数据确实来自原发者。这个要求可以通过数据完整性及数字签名相结合的方法来实现。

电子商务系统对信息安全的要求964.授权：电子商务系统需要控制不同的用户谁能够访问网络上的信6.数据原发者的不可抵赖和不可否认性：电子商务系统应能提供数据原发者不能抵赖自己曾做出的行为，也不能否认曾经接到对方的信息，这在交易系统中十分重要。7.合法用户的安全性：合法用户的安全性是指合法用户的安全性不受到危害和侵犯，电子商务系统和电子商务的安全管理体系应该实现系统对用户身份的有效确认、对私有密匙和口令的有效保护、对非法攻击的有效防范等，

电子商务系统对信息安全的要求976.数据原发者的不可抵赖和不可否认性：电子商务系统应能提供数8.网络和数据的安全性：电子商务系统应能提供网络和数据的安全，保护硬件资源不被非法占有，软件资源免受病毒的侵害。

电子商务系统对信息安全的要求988.网络和数据的安全性：电子商务系统应能提供网络和数据的安全3.1.3电子商务安全内容电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全,两者相辅相成，缺一不可。计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。993.1.3电子商务安全内容电子商务安全从整体

商务交易安全紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。3.1.3电子商务安全内容100商务交易安全紧紧围绕传统商务在互联网络上应用时产生的电子商务安全构架交易安全技术安全应用协议SET、SSL安全认证手段数字签名、CA体系基本加密算法对称和非对称密算法安全管理体系网络安全技术病毒防范身份识别技术防火墙技术分组过滤和代理服务等法律、法规、政策101电子商务安全构架安全管理体系法律、法规、政策183.2计算机网络安全技术4.2.1计算机网络的潜在安全隐患企业内部计算机系统面临的风险Internet本身的不安全性对企业内部信息系统带来的潜在风险从纯技术角度上来看，存在着薄弱性。1023.2计算机网络安全技术4.2.1计算机网络的潜在安

3.2.2计算机网络安全体系在实施网络安全防范措施时要考虑以下几点：

加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；

用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；

从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；1033.2.2计算机网络安全体系在实施网络安全防范利用数据存储技术加强数据备份和恢复措施；

对敏感的设备和数据要建立必要的物理或逻辑隔离措施；

对在公共网络上传输的敏感信息要进行数据加密；

安装防病毒软件，加强内部网的整体防病毒措施；

建立详细的安全审计日志，以便检测并跟踪入侵攻击等3.2.2计算机网络安全体系1043.2.2计算机网络安全体系214.2.3常用的计算机网络安全技术病毒防范技术身份识别技术防火墙技术虚拟专用网技术（VirtualPrivateNetwork，VPN）1054.2.3常用的计算机网络安全技术病毒防范技术22病毒防范技术网络病毒的威胁

一是来自文件下载；二是网络化趋势。措施安装防病毒软件，加强内部网的整体防病毒措施；加强数据备份和恢复措施；对敏感的设备和数据要建立必要的物理或逻辑隔离措施等106病毒防范技术网络病毒的威胁23布署和管理防病毒软件布署一种防病毒的实际操作一般包括以下步骤：1．制定计划：了解在你所管理的网络上存放的是什么类型的数据和信息。2．调查：选择一种能满足你的要求并且具备尽量多的前面所提到的各种功能的防病毒软件。3．测试：在小范围内安装和测试所选择的防病毒软件，确保其工作正常并且与现有的网络系统和应用软件相兼容。3.2.2计算机网络安全体系107布署和管理防病毒软件3.2.2计算机网络安全体4．维护：管理和更新系统确保其能发挥预计的功能，并且可以利用现有的设备和人员进行管理；下载病毒特征码数据库更新文件，在测试范围内进行升级，彻底理解这种防病毒系统的重要方面。5．系统安装：在测试得到满意结果后，就可以将此种防病毒软件安装在整个网络范围内。4.2.3常用的计算机网络安全技术1084．维护：管理和更新系统确保其能发挥预计的功能，并且可以利用Packet-Switched

Leased

LineWorkgroup广域网INTERNET局域网PC杀毒软件SERVER杀毒软件杀毒防火墙PC杀毒软件远程工作站网络防毒手段109Packet-SwitchedLeased

LineW

口令标记方法生物特征法身份识别技术110

口令身份识别技术27认证的主要手段对用户拥有的东西进行鉴别，如IC卡等对用户的生物特征进行鉴别，如指纹、视网膜血管分布等对用户所知道的进行鉴别，如口令等111认证的主要手段对用户拥有的东西进行鉴别，如IC卡等283．防火墙技术1.基本概念防火墙是一种将内部网和公众网如Internet分开的方法。它能限制被保护的网络与互联网络之间，或者与其他网络之间进行的信息存取、传递操作。防火墙可以作为不同网络或网络安全域之间信息的出入口，能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。1123．防火墙技术1.基本概念29设计防火墙的准则一切未被允许的就是禁止的防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。这种方法可以创造十分安全的环境，但用户使用的方便性、服务范围受到限制。一切未被禁止的就是允许的防火墙转发所有信息流，然后逐项屏蔽有害的服务。这种方法构成了更为灵活的应用环境，可为用户提供更多的服务。但在日益增多的网络服务面前，网管人员的疲于奔命可能很难提供可靠的安全防护。113设计防火墙的准则一切未被允许的就是禁止的30什么是防火墙？防火墙：在被保护网络和Internet之间，或者和其它网络之间限制访问的软件和硬件的组合。防火墙114什么是防火墙？防火墙：在被保护网络和Internet之间，防防火墙的主要功能能做什么？安全把关网络活动统计内部隔离不能做什么？不能防范内部入侵不能防范新的威胁控制粒度粗115防火墙的主要功能32保护数据的完整性。可依靠设定用户的权限和文件保护来控制用户访问敏感性信息，可以限制一个特定用户能够访问信息的数量和种类；保护网络的有效性。有效性是指一个合法用户如何快速、简便地访问网络的资源；保护数据的机密性。加密敏感数据。防火墙的功能116防火墙的功能33防火墙的基本原理数据过滤：一个设备采取的有选择地控制来往于网络的数据流的行动。数据包过滤可以发生在路由器或网桥上。屏蔽路由器117防火墙的基本原理数据过滤：一个设备采取的有选择地控制来往于网防火墙的基本原理（续）代理服务：代理服务是运行在防火墙主机上的应用程序或服务器程序。它在幕后处理所有Int-ernet用户和内部网之间的通讯以代替直接交谈。代理服务118防火墙的基本原理（续）代理服务：代理服务是运行在防火墙主机上一个典型的防火墙构成“无人区”防火墙119一个典型的防火墙构成“无人区”防火墙36构筑防火墙需考虑的主要因素你的公司要控制什么或要保护什么你的公司要控制或要保护到什么程度财政预算技术问题：屏蔽路由器还是代理服务器...120构筑防火墙需考虑的主要因素你的公司要控制什么或要保护什么37虚拟专用网技术（VirtualPrivateNetwork，VPN）虚拟专用网是用于Internet电子交易的一种专用网络，它可以在两个系统之间建立安全的通道，非常适合于电子数据交换（EDI）。121虚拟专用网技术（VirtualPrivateNetwor

在虚拟专用网中交易双方比较熟悉，而且彼此之间的数据通信量很大。只要交易双方取得一致，在虚拟专用网中就可以使用比较复杂的专用加密和认证技术，这样就可以提高电子商务的安全性。

VPN可以支持数据、语音及图像业务，其优点是经济、便于管理、方便快捷地适应变化，但也存在安全性低，容易受到攻击等问题。虚拟专用网技术（VirtualPrivateNetwork，VPN）122在虚拟专用网中交易双方比较熟悉，而且彼此之间的数据通

加密数据加密技术从技术上的实现分为在软件和硬件两方面。按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术这四种。在网络应用中一般采取两种加密形式：对称密钥和公开密钥，采用何处加密算法则要结合具体应用环境和系统，而不能简单地根据其加密强度来作出判断。

3.3交易安全技术

123加密3.3交易安全技3.3.1加密技术加密：加密是指对数据进行编码使其看起来毫无意义，同时仍保持可恢复的形式。1243.3.1加密技术加密：加密是指对数据进行编码使其看起来加密技术的主要分类

对称密匙 在对数据加密的过程中，使用同样的密匙进行加密和解密。 常见密匙算法：DES、IDEA公开密匙/私有密匙 与对称密匙不同，公开密匙/私有密匙使用相互关联的一对算法对数据进行加密和解密。 常见密匙算法： RSA125加密技术的主要分类421．对称密钥加密体制对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。对称加密技术的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。加密技术的主要分类1261．对称密钥加密体制加密技术的主要分类43对称加密技术1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。2）当通信对象增多时，需要相应数量的密钥。

3）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。加密技术的主要分类127对称加密技术加密技术的主要分类44对称密匙（保密密匙）加密明文消息密匙A加密加密消息明文消息密匙A解密128对称密匙（保密密匙）加密明文消息密匙A加密加密消息明文消息密非对称密钥加密系统，又称公钥密钥加密，它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，称为公开密钥（Public-Key）；另一个由用户自己秘密保存，称为私有密钥（Private-Key）。信息发送者用公开密钥去加密，而信息接收者则用私有密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。

非对称密钥加密体制129非对称密钥加密体制46公开密匙/私有密匙加密老张小李的公开密匙小李老张密文小李小李的私有密匙老张的私有密匙老张的公开密匙密文鉴别保密用RSA鉴别,只有老张能发出该信息用RSA保密,只有小李能解开该信息130公开密匙/私有密匙加密老张小李的公开密匙小李老张密文小李小李对称与非对称加密体制对比特

性对

称非

对

称密钥的数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有、一个公开密钥管理简单不好管理需要数字证书及可靠第三者相对速度非常快慢用途用来做大量资料的加密用来做加密小文件或对信息签字等不太严格保密的应用131对称与非对称加密体制对比特性对称非对称密4.3.2信息摘要

图信息摘要过程1324.3.2信息摘要 图信息摘要过程493.3.3数字签名

图数字签名过程1333.3.3数字签名 图数字签名过程503.3.3数字签名

发送方私钥1343.3.3数字签名 发送方私钥514.3.4数字证书与CA认证

1．数字证书（DigitalCertificate或DigitalID）数字证书采用公－私钥密码体制，每个用户拥有一把仅为本人所掌握的私钥，用它进行信息解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上采购招标、网上办公、网上保险、网上税务、网上签约和网上银行等安全电子事务处理和安全电子交易活动。

1354.3.4数字证书与CA认证 1．数字证书（Digita2．数字证书包括以下内容如图所示：

证书拥有者的姓名；

证书拥有者的公钥；

公钥的有限期；

颁发数字证书的单位；

颁发数字证书单位的数字签名；

数字证书的序列号等。数字证书的内容1362．数字证书包括以下内容如图所示：数字证书的内容53图查看证书内容（1）数字证书的内容137图查看证书内容（1）数字证书的内容54图查看证书内容（2）数字证书的内容138图查看证书内容（2）数字证书的内容55图查看证书内容（3）数字证书的内容139图查看证书内容（3）数字证书的内容563．数字证书的申请（1）下载并安装根证书（如图34~38所示）（2）申请证书（如图39~41所示）（3）将个人身份信息连同证书序列号一并邮寄到中国数字认证网数字证书的内容1403．数字证书的申请数字证书的内容57图34下载根证书（1）数字证书的内容141图34下载根证书（1）数字证书的内容58图35下载根证书（2）数字证书的内容142图35下载根证书（2）数字证书的内容59图36安装根证书（1）数字证书的内容143图36安装根证书（1）数字证书的内容60图37安装根证书（2）数字证书的内容144图37安装根证书（2）数字证书的内容61