电子商务课件第6章(2)章节

第六章电子商务安全与电子支付

本章学习目标

本章将详细介绍电子商务的安全与电子支付的相关知识。针对电子商务安全体系、安全需求、安全管理制度等作了论述，并讲解了网络安全技术包括攻击网络的方法、防火墙、VPN技术和入侵检测等技术的简单介绍。然后重点讲述了电子商务交易安全技术，这些技术包括公开密钥密码体制、对称密钥密码体制、数字摘要、数字签名、数字证书、数字时间戳等技术。接着讲述了SSL协议和SET协议等安全认证协议。最后介绍了常见的电子支付手段，这些手段包括数字现金、信用卡、电子支票、电子钱包、智能卡等电子支付方式。此外，还涉及到了网上银行、支付网关和第三方支付。通过本章的学习，读者应掌握以下内容：电子商务的安全体系与安全需求常用的网络安全技术数据加密技术数字签名与数字证书SSL协议与SET协议电子支付方式6.1电子商务安全概述

6.1.1电子商务安全体系

如今由于计算机诈骗、计算机病毒、计算机软件本身的缺陷等问题造成电子商务信息被窃、篡改和破坏等影响电子商务安全的事件不时发生，这给如何保证电子商务的安全带来了严重挑战。要保证电子商务的安全，就要建立电子商务安全体系。因为电子商务系统是一个复杂的系统，这个安全体系的建立也涉及到电子商务的方方面面。总的来说，它包括：1．电子商务硬件安全2．电子商务系统软件安全3．电子商务系统运行安全4．电子商务安全立法6.1.2电子商务安全需求1．信息的保密性2．信息的完整性3．信息的不可否认性4．信息的可用性5．交易身份的真实性6．系统的可靠性6.1.3电子商务安全管理制度1．保密制度信息的安全级别分为三级。（1）绝密级（2）机密级（3）秘密级2．网络系统的日常维护制度（1）硬件的日常管理和维护（2）软件的日常维护和管理（3）数据备份制度（4）用户管理3．病毒防范制度（1）安装防病毒软件（2）控制权限（3）执行病毒定期清理制度（4）正确的防毒意识4．应对措施（1）瞬时复制技术（2）远程磁盘镜像技术（3）数据库恢复技术6.2电子商务网络安全技术

6.2.1网络常用攻击方法www服务器具客户机InternetIISIEHTTP图6-1WWW的工作方式

在这个过程中，很多环节都可能会被别有用心的人或程序所利用，给使用者带来损失。常见的攻击网络的方法有：1．获取口令2．木马程序3．www欺骗技术4．电子邮件攻击5．网络监听6．利用系统漏洞7．利用匿名账号进行攻击8．拒绝服务6.2.2网络安全技术1．防火墙技术所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，是一种取得安全性方法的形象说法。它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（SecurityGateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成从防火墙的软硬件形式来分，可分为软件防火墙和硬件防火墙。图6-2windowsxp操作系统中自带的软件防火墙2.VPN技术（1）VPN的含义：是虚拟专用网的简称（2）VPN网络示意图：图6-3VPN网络（3）VPN的作用（4）VPN特点（5）VPN的分类：

a.内部网VPNb.远程访问VPNc.外联网VPN（6）使用VPN确保远程用户和远程网络的安全（7）VPN信息处理过程3．入侵检测技术

图6-4VPN工作原理图6-5VPN信息处理过程6.3电子商务交易安全技术

信息传播过程简单地描述为：信源→信道→信宿。其中，“信源”是信息的发布者，即上载者；“信宿”是信息的接收者，即最终用户；“信道”则是信息传递的通道。在电子商务交易过程中，信息的传递是非常重要的。正常传输信源信宿图6-6信息正常传输中断截取修改伪造图6-7信息传递过程中四种攻击方式6.3.1加密技术

利用加密技术，可以将传递的信息转变为无法直接阅读的信息内容，这样可以有效地防止信息被别人截取。

1．密码学知识基础２．公开密钥密码体制

3．密钥管理技术

（1）密钥管理（2）公开密钥管理/数字证书（3）密钥管理相关的标准规范6.3.2认证技术1．数字摘要2．数字签名3．数字时间戳4．数字证书5．加密技术与认证技术在电子商务中的综合运用图6-11A

B加密过程图6-12A

B解密过程具体来说，对信息进行加密和签名的步骤如下：A将信息写好。A采用一种单向散列函数，生成信息的单向散列值。A对信息散列值签名(其私人钥匙也经过数字签名算法，如RSA的处理)。A将信息和签名合并在一起，形成一份新的签字信息。A生成一把随机加密钥匙，用以快速地对签名信息进行加密。A通过一种常规算法，如DES，利用随机加密钥匙对签名信息进行加密。A取得B的公共钥匙。A采用B的公共钥匙和某种公共钥匙算法，如RSA，对随机加密钥匙进行加密。A将加密过的信息与加密过的钥匙合并在一起，形成最终的安全信息。A将该安全信息通过电子邮件寄给B。对信息进行解密的验证签名的步骤如下：B将加密信息与加密随机钥匙分开。利用公共钥匙算法和他的私人钥匙，B对随机加密钥匙进行解密利用常规算法，如DES，和解密后的钥匙，B对信息进行解密。B将信息与A的签名分开。利用单向分解函数，B计算出信息的分解值。B取得A的公钥。B利用公共钥匙数字签名算法，如RSA和A的公共钥匙对A签名进行解密。B对A的加密签名和信息的散列值进行比较。如果它们相同，B便核实了A的签名并确信信息是真实的。如果它们不相同，B便拒绝接受A的签名。6.3.3安全认证协议一、SSL协议

1．SSL协议概述

SSL(SecureSocketLayer，安全套接层)协议是Netscape公司设计和开发的，用以保障在Internet上数据传输的安全，利用数据加密(Encryption)技术，可确保数据在网络传输过程中不会被截取及窃听。

2.SSL协议的工作流程服务器认证阶段用户认证阶段二、SET协议

1.SET协议概述

2.SET协议涉及到的技术

3．SET协议中的角色

4．SET协议的工作程序三、SSL与SET的联系与区别SETSSL基础信用卡传输通信协议采用技术私有密钥加密和公共密钥加密公共密钥加密实质RSA和DES算法安全电子付款协议DES算法网络安全协议使用范围广泛应用难于大规模应用作用很强的保护较强的保护局限复杂，速度较慢6.4传统支付与电子支付概述6.4.1传统支付1．现金支付2．票据支付3．信用卡支付6.4.2电子支付

电子支付是指通过电子信息化的手段实现交易中的价值与使用价值的交换过程。通俗地说，它就是利用计算机网络安全技术完成电子商务流程中的商务结算过程。它是以金融服务电子化、网络化为基础，以计算机网络技术、通信技术、加密技术和安全认证措施为手段，以数字数据形式存储电子商务支付和结算的资金流，并通过计算机网络的电子信息传递形式实现流通和支付功能的货币。6.5电子支付方式6.5.1电子货币

电子货币概述电子货币是指利用银行的电子存款系统和各种电子清算系统进行金融资金的转移方式。电子货币如果能在电子支付中被消费者、商家所接受，那么必须保证电子货币具有下列特性：（1）安全性（2）真实性（3）匿名性（4）可分性1．电子货币概述2．电子货币类型（1）按电子化支付方式划分“信用卡型”电子货币－－实现了电子化的信息卡“储值卡应用型”电子货币－－功能得到进一步提高的储值卡“支票账单型”电子货币－－安全第一网络银行—SFNB“数字现金型”电子货币－－模拟现金当面支付方式的电子现金（2）按结算方式划分预付型（即储值型）电子货币即付型电子货币后付型电子货币6.5.2数字现金（E-cash）1.数字现金的定义数字现金（E-cash）又称为电子现金，是一种将现金数值转换成一系列的加密序列数，通过这些加密序列数表示各种币值，以电子数据的形式流通的电子货币。其实质是代表有价值的数字，也称为数字现金、数字化货币，是纸币现金的数字化。2.数字现金的属性：3．数字现金在使用时的一般流程：（1）购买E-cash

（2）存储E-cash

（3）用E-cash购买商品和服务（4）资金结算（5）确认定单（1）货币价值（2）可交换性（3）可存储性（4）可重复性4．数字现金的特点银行和卖方之间应有协议和授权关系；买方、卖方和E-cash银行都需要使用软件；适合于小量的交易；身份验证由E-cash本身完成；lE-cash银行负责买方和卖方之间资金的转移；具有现金特点，可以存、取、转让；若买方的硬盘出现故障并且没有备份时，数字现金就会丢失。6.5.3信用卡1．信用卡概述在信用卡业务中，消费者首先告诉卖主其信息卡号码，以证实其有支付能力。卖主可通过银行进行验证，然后使用购物单，并要求客户签字，最后买主将购单拿到银行进行资金兑换，客户收到银行有关此次事物的纪录。2.信用卡基本功能

1、ID功能：能够证明持卡人的身份

2、结算功能：是非现金、支票、期票的结算

3、信息记录功能：将持卡人的属性（身份、密码）、卡的使用情况等各种数据记录在卡中的功能。3．信用卡的支付形式(1)无安全措施的信用卡支付用户商家银行电话、传真Internet合法性检查(2)通过第三方经纪人的支付用户经纪人银行商家开设账户支付确认购物账户帐户支付确认信用卡信息

(3)简单加密信用卡支付用户发卡行业务服务器商家服务器交易信用卡加密信息加密信息认证信息商家银行信用卡认证解密信息认证信息商家开户交易情况6.5.4电子支票1．电子支票概述电子支票是一种借鉴纸张支票转移支付的优点，利用数字传递将钱款从一个账户转移到另一个账户的电子付款形式。

2．电子支票的使用过程具体来说，电子支票的使用过程可以分为以下几步：（1）购买支票（2）电子支票付款（3）清算消费者认证中心银行商家验证验证验证电子支票付款通知单支票申请索付兑付或转帐图6-16电子支票清算流程3．电子支票特点电了支票与传统支票工作方式相同，易于理解和接受；电子支票适合做小额付款的清算。加密的电子支票使它们比基于公共密钥加密的数字现金更易于流通，买卖双方的银行只要用公共密钥认证确认支票即可，数字签名也可以被自动验证；电子支票适于各种市场，可以很容易地与EDI应用结合，推动EDI基础上也可以被自动验证；第三方金融服务者不仅可以从交易双方处抽取固定交易费用或按一定比例抽取费用，它还可以作为银行身份，提供存款账目，且电子支票存款账户很可能是无利率的，因此给第三方金融机构带来了收益；电子支票技术将公共网络连入金融支付和银行清算网络。4.目前流行的电子支票（1）NetCheque（2）PayNow（3）Echeck6.5.5电子钱包1．电子钱包概述

电子钱包是顾客在电子商务购物活动中的一种常用支付工具，是一个可以由持卡人用来进行安全电子交易和储存交易记录的软件。一般来说，这个软件安装后会集成在浏览器软件里，在上网购物的时候就可以使用它了。电子钱包有以下功能：

电子安全证书的管理安全电子交易交易记录的保存2.电子钱包购物过程浏览查询输入订货单通过电子商务服务器查询价格、款项、交货信息使用电子钱包付款电子商务服务器到银行进行验证授权银行授权并表示可以付款商家发货3.常见的电子钱包软件（1）AgileWallet（2）eWallet（3）MicrosoftWallet6.5.6智能卡

智能卡类似信用卡，但卡上不是磁条，而是计算机芯片和小的存储器。在智能芯片上将消费者信息和电子货币存储起来，该卡可以用来购买产品、服务和存储信息等。

智能卡的结构主要包括三个部分：

1．建立智能卡的程序编制器。

2．处理智能卡操作系统的代理。

3．作为智能卡应用程序接口的代理。6.5.7网上银行1．网上银行概述网上银行又称为网络银行或在线银行，是指银行利用Internet技术，通过Internet向客户提供开户、销户、查询、对账、行内转账、跨行转账、信贷、网上证券、投资理财等传统服务项目，使客户可以足不出户就能安全便捷地管理活期或定期存款、支票、信用卡及个人投资等。网上银行是Internet上的虚拟银行柜台，信息服务和账务查询是网上银行的雏形，网上的在线转账是今后很行业的发展方向降低了经营成本不受时间和空间的约束虚拟化的金融服务机构拓宽了业务范围使银行的经营观念发生变化提高了管理水平2．网上银行的优势3．网上银行的发展模式目前，网上银行存在两种发展模式，一类是完全依靠Internet发展起来的全新电子银行，这类银行所有的银行业务交易都依靠互联风进行。另一类是使现有的银行服务业务通过互联网开设新的电子服务窗口实现，即所谓的传统业务外持电子银行系统。

4.支付网关(1)支付网关的概念

支付网关（PaymentGateway）是银行金融网络系统和Internet网络之间的接口，是由银行操作的将Internet上传输的数据转换为金融机构内部数据的一组服务器设备，或由指派的第三方处理商家支付信息和顾客的支付指令。(2)支付网关的主要功能配置和安装Internet支付能力；避免对现有主机系统的修改；采用直观的用户图形接口进行系统管理；适应诸如电子支票、电子现金以及微电子支付等电子支付手段；提供完整的商户支付处理功能，包括授权、数据捕获和结算及对账等；通过对Internet上交易的报告和跟踪，对网上活动进行监视；通过采用RSA公共密钥加密和SET协议，可以确保网络交易的安全性；使Internet的支付处理过程与当前支付处理商的业务模式相符，确保商户信息管理上的一致性，并为支付处理商进入Internet交易处理提供机会。5．我国网上银行的发展目前我国电子银行在进行转账等业务时，进行安全证认的主要手段有以下几种：1、利用SSL协议加密传输通信方式，网上银行基本都采用SSL协议。2、利用数字证书（工行的U盾也是一种数字证书）进行身份认证，如中国建设银行和中国农业银行等。3、采用电子口令卡等工具加强安全性，如中国工商银行、中国农业银行等。6.5.8第三方电子支付

第三方电子支付平台是属于第三方的服务中介机构，完成第三方担保支付的功能。它主要是面向开展电子商务业务的企业提供电子商务基础支撑与应用支撑服务，不直接从事具体的电子商务活动。第三方支付平台独立与银行，网站以及商家来做职能清晰的支付。并且第三方支付平台还具有以下优势:第三方支付平台作为中介方，可以促成商家和银行的合作。第三方支付服务系统有助于打破银行卡壁垒。第三方支付平台能够提供增值服务,帮助商家网站解决实时交易查询和交易系统分析，提供方便及时的退款和止付服务。本章小结（1）电子商务安全体系包括电子商务系统的硬件安全、软件安全、运行安全和安全立法。一个安全的电子商务系统，应该具有保密性、完整性、不可否认性、可用性、交易身份的真实性和系统的可靠性等。（2）电子商务安全