电子商务安全与管理课件

关于本课程的说明开课目的：了解和认识电子商务存在的各类安全问题，明确电子商务的安全需求，掌握解决相关问题的思路主要内容：信息安全、网络安全、数字证书、电子商务安全管理、电子商务安全风险管理等内容。主要教学方式：课堂讲述、课堂讨论、专题写作、作业和思考题。考核评价方式：闭卷考试第一章电子商务安全导论本章学习目的：了解电子商务面临的安全问题掌握电子商务系统安全的构成要素了解电子商务安全的主要需求理解电子商务安全的保障手段第一节电子商务面临的安全问题1、安全问题的提出伴随着互联网经济的不断发展，电子商务活动越来越普遍，与此相对应的各类安全问题也越来越引起人们的重视，有必要采取一系列针对性的措施解决这类问题。

2、电子商务涉及的安全问题主要有以下几个方面：1）信息安全问题2）信用的安全问题3）安全的管理问题4）安全的法律法规保障问题（一）实体安全保障设备、设施的正常运行和数据的安全。1、环境安全：系统运行周边环境的保障。2、设备安全：系统中各运行设备自身的安全运行。3、媒体安全：主要是指存放数据的介质的安全保障。（二）系统运行安全提供安全措施保障系统功能的安全实现。1、风险分析：对系统运行中可能出现的各类安全风险进行预测和分析2、审计跟踪：完善系统运行的各类记录，了解系统运行状况。3、备份与恢复4、应急措施（三）信息安全

防止信息被非法泄露、更改、破坏等。1、操作系统安全2、数据库安全3、网络安全4、病毒防护安全5、访问控制安全6、加密7、鉴别上次课内容回顾1、电子商务面临的主要安全问题信息安全、信用安全、安全管理、安全的法律法规保障2、电子商务系统的安全构成实体安全、运行安全、信息安全3、电子商务安全的需求保密性、完整性、认证性、可控性、不可否认性4、电子商务的安全保障技术措施、管理措施、法律环境第二章信息安全技术2.1信息安全概述电子商务中信息安全主要涉及以下五个方面1、信息的机密性2、信息的完整性3、对信息的验证4、信息的不可否认性5、对信息的访问控制一、信息的机密性要求：信息的保密，如项目的投标、产品的报价、银行的账号和密码等重要的商业信息。技术对策：信息加密（对称加密与非对称加密）二、信息的完整性要求：能够对信息进行检测，并识别信息是否被更改。技术对策：利用数字摘要技术（Hash函数、SSL协议）五、访问控制要求：只允许授权用户访问相关信息。技术策略：设定用户及权限、访问账号、口令等。2.2信息传输中的加密方式信息加密主要分为传输加密和存储加密。信息传输加密：是指传输过程中对信息进行加密的过程。一、几种常用的加密方式1、链路-链路加密在通信节点对信息进行加密处理，以保证在链路上传递的信息是加密过的。2、节点加密在各节点设专用的加密装置对信息加密和解密，实现信息在链路上的加密传输。3、端-端加密在发送端和接收端分别对信息进行加密和解密操作。2.3对称加密与非对称加密加密：利用一定的加密算法和密钥对数据对象进行处理，得到与原文截然不同的数据对象方法。加密形式：对称加密、非对称加密对称加密：存在一个密钥，加密密钥与解密密钥相同。非对称加密：存在一个密钥对（公开密钥、私有密钥），均可对数据进行加密和解密操作。可运用在加密模式和验证模式上。2.3.1对称加密系统1、对称密码体制，也叫做单钥密码体制或秘密密钥密码体制，即加密密钥与解密密钥相同的密码体制，这种体制中只要知道加（解）密算法，就可以反推解（加）密算法。2、对称加密的优缺点a、优点：使用方便，效率高B、缺点：密钥管理和使用比较困难3、信息验证码见图2-4作用：实现信息完整性的验证，保证信息在传输过程中不被篡改和破坏。自从1976年，Diffie和Hellman在《密码学的新方向》一文中提出公开密钥密码的思想以来，经过20多年发展，公开密钥密码获得了巨大的发展。在实践应用当中，公开密钥密码成功地解决了计算机网络安全的身份认证、数字签名等问题，推动了包括电子商务在内的一大批网络应用的不断深入和发展。公钥密码体制也称非对称密码体制，在这种体制中，存在一个密钥对－公共密钥和私有密钥，它们是不一样的。公开的密钥简称公钥（publickey），私有密钥简称私钥（privatekey），私钥和公钥都既可做加密密钥，也可做解密密钥。这种密码体制中每一个用户都分别拥有两个密钥：公钥与私钥，并且攻击者想由公钥得到私钥在计算上是不可行的。与对称密钥密码体制相比，非对称密钥密码体制具有以下几个特点：(1)密钥分发和管理简单。加密密钥可以做成密钥本公开，解密密钥由各用户自行掌握。(2)每个用户秘密保存的密钥量减少。网络中每个用户只需要秘密保存自己的解密密钥，与其他用户通信所使用的加密密钥可以由密钥本得到。(3)适应于计算机网络的发展，能够满足互不相识的用户之间进行保密通信的要求。(4)能够很容易的完成数字签名和认证。(5)加密和解密的效率比对称密码体制要差，因此，大多数用公钥密码体制来保护和分发会话密钥，并将其用于对称密码算法中实现快速通信数字签名从传统的手写签名衍生而来，它可以提供一些基本的密码服务，如数据的完整性、真实性以及不可否认性。数字签名是实现电子交易安全的核心技术之一，它在身份认证、数据完整性、不可否认性以及匿名性等方面有着重要的应用。简单地说，数字签名就是通过一个单向函数对要传送的报文进行处理，得到用于认证报文来源并核实报文是否发生变化的一个字母数字串，用这个字符串来代替书写签名或印章，起到与书写签名或印章同样的法律效用。数字签名的基本原理见图2-9数字签名的使用见图2-10二、RSA密钥的传输对称密钥的分发应考虑其机密性，可利用RSA加密算法进行分发和传输。三、公开密钥的分发公开密钥的分发可不考虑机密性，但要注意其完整性，应采用数字证书形式进行分发。2.6验证技术验证：是对通过网络进行资源访问的对象，进行的资格（身份、权限）的审查。常用的验证方法：1、基于口令的验证2、基于协议的验证3、基于个人令牌的验证4、基于生物特征的验证5、基于地址的验证6、数字时间戳验证第三章Internet安全一、Internet安全概述1、网络层安全不同网络终端间的信息传输安全问题。存在的问题:数据篡改、非正确来源、数据不能传送到指定地址、数据泄漏解决的策略：认证和完整性、保密性、访问控制、协议保护二、应用层安全特定程序可能存在的安全问题，主要是运行在相互通信的终端进程中可能存在的安全问题。如间谍软件、木马程序等。三、系统安全设备平台实体及工作环境的安全问题。3.2防火墙技术1、防火墙的概念利用硬件或软件技术实现网络间的可控制访问的系统。2、基本分类及原理包过滤防火墙：对传输的数据包进行检测的防范方式。应用网关防火墙：在应用层对数据进行过滤检测。3.3、VPN技术通过公用网络实现内部专用网络间的数据传输技术。（虚拟专用网络技术）3.4网络入侵检测1、检测策略和方式2、主要方法3.5IP协议安全（IPsec）

针对ip协议存在的安全问题采取的相应措施。一、IP安全体系结构概念：基于加密技术的安全机制和标准，包括认证、完整性、访问控制、机密性等。功能：在IP层提供安全服务选择需要的安全协议决定使用的算法保存加密使用的密钥服务：通过提供安全协议选择、决定算法、提供密钥等方式实现以下服务：访问控制无连接完整性数据源的鉴别拒绝重放的分组1、认证头协议提供数据源认证的服务2、分组加密协议提供数据源加密服务3、安全关联实现发、收双方的安全连接和数据传输。3.6电子商务应用安全协议一、涉及电子邮件的安全问题发送者身份的认证不可否认性邮件的完整性邮件的保密性二、解决方案1、增强的私密电子邮件PEM通过对邮件加密及建立基于非对称密钥机制的系统设施，实现电子邮件加密传输的一种方式。2、MIME、S/MIME标准信息格式信息加密标准数字签名标准数字证书格式3、安全超文本传输协议（S_HTTP）利用密钥对加密的方式，针对商务网站的信息安全进行加密保障处理。4、安全套接层协议（SSL）ssl服务器认证用户身份确认数据传输的