第章电子商务安全3

第七章电子商务安全电子商务的安全目标电子商务安全技术电子商务的安全管理本章主要内容第一节电子商务的安全目标一、电子商务面临的威胁二、电子商务安全的目标1.黑客攻击2.搭线窃听3.伪装身份4.信息泄密、篡改、销毁5.间谍软件袭击6.网络钓鱼一、电子商务面临的威胁二、电子商务安全的目标完整性保密性可靠性不可否认性安全目标真实性第二节电子商务安全技术

一、加密技术二、认证技术三、安全协议四、防火墙技术一、加密技术1.对称加密体制的工作过程(如图所示）

（一）对称加密体制2.对称加密体制的优点与缺点1）算法简单，系统开销小；2）加密数据效率高，速度快；3）适合加密大量数据。1）密钥难以共享；2）管理密钥有困难；3）无法实现数字签名和身份验证；4）密钥的分发是加密体系中最薄弱、风险最大的环节。优点缺点3.对称加密体制的算法DES（DataEncryptionStandard）是一个对称的分组加密算法。DES算法以64位为分组进行明文的输入，在密钥的控制下产生64位的密文；反之输入64位的密文，输出64位的明文。它的密钥总长度是64位，因为密钥表中每个第8位都用作奇偶校验，所以实际有效密钥长度为56位。DES算法可以通过软件或硬件实现。（二）非对称加密体制2.非对称加密体制的优点与缺点1）密钥管理简单；2）便于进行数字签名和身份认证，从而保证数据的不可抵赖性；1）算法复杂；2）加密数据的速度和效率较低；3）存在对大报文加密困难。优点缺点3.非对称加密体制的算法

RSA是1978年由R.L.Rivest、A.Shamir和L.Adleman设计的非对称的方法，算法以发明者的名字的首字母来命名的。它是第一个既可用于加密，也可用于数字签名的算法。RSA只用于少量数据加密，在Internet中广泛使用的电子邮件和文件加密软件PGP(PrettyGoodPrivacy)就是将RSA作为传送会话密钥和数字签名的标准算法。（三）两种加密体系的对比比较项目对称加密体制非对称加密体制代表算法DESRSA密钥数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有,一个公开密钥管理简单不好管理需要数字证书及可靠的第三者相对速度非常快慢主要用途大量数据加密数字签名\密钥分配加密（四）对称与非对称加密体系的结合在实际应用中，通常将利用DES对称加密算法来进行大容量数据的加密，而采用RSA非对称加密算法来传递对称加密算法所使用的密钥。这种二者结合的体系，就集成了两类加密算法的优点，既实现了加密速度快的优点，又实现了安全方便管理密钥的优点。用户的特征

用户所拥有的

用户所知道的

二、认证技术指纹虹膜DNA声音用户的行为身份证护照密钥盘

密码口令

（一）身份认证概述（二鼻）消梳息认缠证概辰述数字很签名幅原理痕示意惰图数字附时间偶戳数字垃时间斯戳服铲务（Di居gi取ta制l迈T湿im尾e-吨St知am母p解Se好rv央ic段e，DT领S）由僵专门扬的机菜构提孝供。殿能提顺供电兆子文培件发纽奉表时港间的略安全铲保护础。数字拖时间稿戳是珍一个坛经加亏密后鱼形成群的凭绿证文黑档，吩它包理括三晶个部陆分：★需加届时间裕戳的碑文件江的摘肉要；★DT链S收到培文件荷的日孝期和台时间★DT帝S的数伏字签庄名。三、语安全士协议（一跌）传胜输层鹊安全擦协议——车SS绘L1.秘密饲性：使用对称蹄密钥实现浮数据敢加密半，确充保连秀接安烫全。2.完整替性：使用忍安全遇的哈希宅函数如MD循5、SH贿A等计呜算校区验码蓄，确啊保了补信息蛛的完梢整性批和可栏靠性塞连接尊。3.认证黎性：通过非对咸称加粉密技毫术实现齐身份窄验证养。BANK顾客商家银行商品汗选择挎，订眉单的你完成数字盏签名(3悲)向消家费者俭所在熔银行番请求陈支付众认可捡。(4牲)商店铃发货平或提告供服极务，崭请求检支付雀。（二冲）局应用泥层安毒全协挪议——届SE成T交易虹流程渡示意礼图SE抢T协议的目朝标SE薪T协议猾保证姐了在酒电子炸交易羽过程漆中：(1爸)机密骡性--保证武信息鼻的安粮全传佩输。(2伸)数据季完整蛙性--保证狭电子泽商务虚参与考者信拦息的余相互料隔离蓄。(3挑)身份钢的合务法性--解决浅多方黎认证毅问题袜。(4心)不可色否认喊性--保证荐网上透交易难的实岭时性糕。(5园)兼容铜性和蛮互操表作功覆能。SS萝L协议当和SE朋T协议盖的对粱比对比项

SSL协议SEL协议参与方客户、商家和网上银行客户、商家、支付网关、认证中心和网上银行软件费用可直接投入使用，无需额外的附加软件费用须在银行网络、商家服务器、客户机上安装相应的软件，因此增加了许多附加软件费用便捷性SSL在使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟便可完成支付SET协议在使用中必须使用电子钱包进行付款，因此在使用前，必须先下载电子钱包软件，因此操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易安全性只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏安全需求高，因此所有参与交易的成员：客户、商家、支付网关、网上银行都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，替消费者保守了更多的秘密，使其在结购物和支付更加放心四、板防火塞墙技兔术防火螺墙是遗一种管隔离享技术树，是支指一允种将轿内部器网和惠公众止访问雄网（愿如In诱te朱rn殿et）分么开的厕方法钞。防矿火墙兴可以知通过蒙过滤僚不安桥全的梯服务唯而降坊低风天险，差可以竿强化魔网络籍安全半策略话，对端网络所存取惭和访梢问进骨行监病控审之计，傍防止与内部唱信息成的外君泄；防火熊墙还敲支持刘具有In槽te改rn徒et服务爆特性萍的企河业内甘部网寻络技瓣术体乡丰系VP些N（虚膜拟专披用网陵）；在实走际使泉用中没，用织户在按受信计任的哲网络住上通姑过防平火墙毛访问In踪蝶te添rn石et时，尝经趋常会国发现巧存在男延迟鹅并且裕必须帐进行乡丰多次呆登录霜才能拍访问塔互联歇网或误企业旱内部精网。一、猎机构颠制度屈管理二、误风险腾制度勺管理三、腔法律经制度电管理第三偏节龙电子为商务享的安木全管班理一、纪机构双制度俘管理（一君）认吹证机丙构在电胸子交湾易中拔，无中论是度时间么戳服姨务还挂是数渠字证勉书的酿发放甜，都崭不是困靠交孤易双巴方自漠己能粱完成鄙的，毛而是属需要金一个咏具有炉权威给性和旺公正聪性的微第三识方机洒构来浆完成则。认证镜机构CA走(C叫er睁ti萍fi掩ca母ti触onAu饶th狗or加it折y)就是雅承担蚕网上蕉安全衡电子墨交易甚认证浇服务敢、签暗发数果字证使书并尿能确没认用遗户身皇份的贪服务师机构坝。（二模）葡数字若证书数字稠证书两又称册为数皂字凭萄证、圈数字吓标识诵。是酷由CA证书腐授权桶中心妻发路行的婆，能践提供构在In香te腹rn禁et上进雅行身未份验掠证的助一种秧权威志性电随子文葛档，洲人们初可以幅用它己来证梅明自致己在而互联直网中次的身途份或释识别胶对方杂的身笑份。二、访风险述制度冰管理电子义商务魂风险糟管理烘就是乞跟踪高、评铁估、洗监测识和管从理商谣务整页个过塞程中碑所形杯成的村电子秤商务保风险蒜，尽取力避闸免电沾子商群务风许险给层企业帅造成带的经升济损串失、侨商业掀干扰捎以及乳商业运信誉恩丧失根等，合以确茂保企阔业电讽子商格务的赔顺利置进行若。三、滴法律钻制度滚管理20箱04年8月28日全尊国人泻大常闸委会湿第十势一次旦会议善通过丙了《中华腥人民唯共和园国电鹿子签昂名法》。签顿名法来是我炕国推椅进电头子商喝务发郑展，狱扫除兔电子浑商务录发展琴障碍迈的重巩要步汤骤。扛该法然被认且为是浓中国瞧首部箱真正优电子序商务读法意娱义上跑的立而法。20让05年1月28日中梢华人赶民共虎和国苦信息舅产业壶部第赏十二渠次部涝务会漠议审毫议通倦过《电子愤认证时服务己管理纠办法》，自20刷05年4月1日起坏施行律。20互05年11月10日中蜡国银雕行业味监督射管理射委员鞠会第40次主涉席会锅议通驾过《电子额银行躺业务侮管理闷办法》自20现06年3月1日起伸施行英。一、商选择灭题1.用户速识别跑方法茅不包但括：(茄)A.根据画用户匪知道毅什么欧来判色断B.根据阳用户叹拥有趁什么撕来判C.根据沫用户吩地址吧来判压断D.根据禾用户限是什惩么来示判断2.以下狗身份歪认证钉技术舅中，筐属于锋生物住特征桥识别户技术幸的有妻包括园：(弃)A.数字叙签名步识别缓法B.指纹些识别么法C.语音辰识别刑法D.头盖普骨的崖轮廓酒识别洒法3.触发摸电子记商务葱安全药问题投的原狱因有正：(慰)A.黑客客的攻惧击B.管理待的欠殿缺C.网络举的缺疮陷D.软件档的漏白洞4.病毒于防范绸制度记包括使的内挤容有杨：(傻)A.给自迷己的烛电脑否安装卖防病扰毒软瓶件B.不打偷开陌花生地巷址的行电子郊邮件C.认真极执行血病毒安定期悉清理耕制度D.高度亏警惕栗网络暑陷阱5.下面炕属于凑不安得全口践令的权有：(旁)使用排用户适名作皮为口已令B.使用终自己稿或者松亲友荒的生肾日作快为口榆令C.用学允号或已是身乏份证创号码贝等作心口令D.使用育常用册的英叮文单发词做尾口令习题二、左复习慕思考羡题请简盏述认纹证中害心的煎提供钞的服气务有浆哪些?防火抽墙是逃什么?防火早墙能津否保臭证内字部网庙络的悄绝对肠安全?SS刑L、SE济T、SH义TT钱P各是郑什么哀协议饥，它伸们的客区别奏是什诉么？SE新T支付贿系统席中的坏交易峰成员夺有哪企些？三、钱技能贤实训积题利用善所学昆数字件证书馒和相泻关知尊识，怠