电子商务基础 课件 项目八 电商保障工具-电子商务安全

项目八电商安全保障电子商务安全安全概述安全技术PROJECT8电子商务基础课程项目八CONTENTS目录01任务一认识电子商务安全电子商务安全现状电子商务安全内容电子商务的交易安全需求02任务二掌握电子商务安全技术防火墙技术数据加密技术数字签名技术数字证书学习目标知识目标熟悉安全状况及需求、了解防火墙、熟悉数据加密、掌握数字签名和CA认证技能目标提出安全解决方案、掌握防火墙使用、利用加密和签名技术保障安全素养目标培养发现解决问题能力、诚信交易素养、树立法治意识LEARNINGOBJECTIVES学习目标知识目标1熟悉电子商务安全状况及交易安全需求2了解防火墙技术的定义与功能3熟悉数据加密类型4掌握数字签名技术

以及

数字证书与CA认证机制技能目标1能够针对安全状况提出解决方案2能够掌握防火墙技术的使用3能够利用数据加密技术实现数据保密4能够利用数字签名技术以及数字证书与CA认证机制保障电子商务安全素养目标1通过剖析电子商务过程中的安全问题，培养学生善于发现、分析并解决问题的能力2通过网络安全常识的学习与实践，培养学生的诚信交易素养。01任务一认识电子商务安全电子商务安全现状电子商务安全存在问题电子商务的安全需求TASK1.1电子商务安全现状电子商务带来便利的同时，也滋生了前所未有的安全隐患1电子商务迅速发展，人们的生活与消费模式发生了深刻改变。2电子商务带来了诸多便利，消费者不但能轻松购物，而且不再受时间和空间的限制。在线支付的日渐普及，更是让交易变得更加高效便捷，无需烦琐的现金收支或转账流程。3电子商务在带来便利的同时，也滋生了前所未有的安全隐患，影响了电商行业的发展。核心问题信息泄露、程序被恶意修改等问题成为目前电子商务安全需要解决的核心问题。TASK1.2电子商务安全内容电子商务安全主要包括外部环境安全、技术安全、信息安全和交易安全四大部分环境安全物理基础设施安全网络设备不受电、火灾、雷击等侵害，包括电源故障、设备被盗、电磁干扰等行政管理安全企业内部风险：安全意识淡薄、流程不规范、员工盗取信息等技术安全计算机病毒具有破坏性、传染性和潜伏性的程序，能破坏计算机功能、窃取数据黑客攻击白帽黑客（安全防护）、黑帽黑客（恶意攻击）、灰帽黑客（介于两者之间）应用软件漏洞设计复杂导致漏洞多，编程语言容易出现漏洞信息安全电子商务面临的信息安全威胁：信息中断破坏或切断通信信息窃取窃听获得敏感信息信息篡改修改通信信息假冒信息伪造身份发送信息交易安全信用风险卖方信用风险、买方信用风险、否认交易风险隐私问题个人隐私数据被窃听或泄露，Cookies滥用收集个人资料网络诈骗"网络钓鱼"盗取银行账号、密码信息和其他个人资料TASK1.3电子商务的安全需求保证交易数据安全是保障电子商务系统的关键信息的保密性交易过程中，网络信息不被未经授权的用户获取、泄露或访问，确保信息只在授权范围内流动和使用。通过密码技术对传输的信息进行加密处理来实现信息的不可抵赖性信息的发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。通过对发送的消息进行数字签名来实现身份认证性系统能够准确确认用户、设备或其他主体身份，防止身份假冒或非法访问。通过认证机构和证书来实现数据的完整性数据在存储、传输和处理过程中保持准确、一致且未被未授权修改或破坏。通过提取信息摘要的方式来保持网络可靠性提供稳定、可靠的服务，保证授权用户能够使用和访问网站的服务和资源。通过防火墙、入侵检测、反病毒等技术实现02任务二掌握电子商务安全技术防火墙技术数据加密技术数字签名技术数字证书TASK2.1防火墙技术目前最重要的一种网络防护设备，是内部网络和外部网络之间的连接桥梁防火墙的定义防火墙是一个由计算机硬件和软件组成的系统，部署于网络边界，同时对进出网络边界的数据进行保护，防止恶意入侵、恶意代码的传播等，保障内部网络数据的安全。防火墙的功能过滤不安全的协议和服务控制对系统的访问防止非法用户进入内部网络抵抗各种攻击，限制内部信息泄露记录和分析网络行为防火墙安全策略"未允许即禁止"优点：安全性极高，能严格限制未明确授权的访问缺点：限制用户便利性，降低网络运行效率"未禁止即允许"优点：给予网络更大灵活性，提升使用效率缺点：安全风险较大，容易出现漏网之鱼防火墙的不足•无法防止内部攻击•无法防御绕过防火墙的攻击•无法防止病毒和木马为使网络系统稳定运行，防火墙技术下一般同时使用病毒防范、漏洞扫描和入侵检测等技术TASK2.2数据加密技术利用技术手段把原始信息变为乱码（加密）传送，到达目的地后再还原（解密）信息加密技术的基本概念明文原始信息，未加密的数据密文加密后的信息算法将明文与密钥结合进行加密运算密钥加密/解密算法中输入的一串字符加密技术分类对称加密加密和解密使用相同密钥非对称加密使用公钥和私钥配对实际应用：通常将两种加密算法结合使用，利用DES算法进行大容量数据加密，利用RSA算法传递对称加密密钥，既加快加密速度，又安全方便地管理密钥。TASK2.2对称加密与非对称加密技术对称加密技术发送方和接收方使用同样密钥的加密技术，文件加密和解密使用相同的密钥。优点•计算量小，硬件易实现•加密解密速度快•适合处理大量数据缺点•密钥管理和分发困难•密钥泄露风险大•无法实现数字签名常见算法：DES、3DES、AES非对称加密技术使用密钥对：公钥（PublicKey）和私钥（PrivateKey）。公钥加密、私钥解密。优点•密钥管理简单方便•便于数字签名和身份认证•保证数据不可抵赖性•安全性高缺点•算法复杂•加密速度和效率较低•对大报文加密困难常见算法：RSA、DSA、ECCTASK2.3数字签名技术只有信息的发送者才能产生的他人无法伪造的一段数字串数字签名的含义数字签名（又称公钥数字签名）是只有信息的发送者才能产生的他人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。数字签名的功效1能确定消息确实是由发送方签名并发出来的，别人假冒不了发送方的签名2能确定消息的完整性，文件如果发生改变，数字摘要的值也将发生变化数字签名具体过程1发送方使用Hash算法从原文中得到128位数字摘要2发送方用私钥对摘要加密，形成数字签名3发送方把原文和加密的摘要一起发送给接收方4接收方从原文中用Hash算法计算出128位数字摘要5接收方用发送方公钥对数字签名解密，得到报文摘要6对比两个数字摘要是否相同，验证完整性和真实性TASK2.4数字证书互联网通信中标志通信各方身份信息的一系列数据数字证书概念数字证书是互联网通信中标志通信各方身份信息的一系列数据，是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的数字证书包含：公开密钥、名称、证书授权中心的数字签名数字证书的基本原理采用PKI公开密钥基础设施技术：每个用户拥有私钥（仅本人掌握）拥有公钥（对外公开）发送方用接收方公钥加密，接收方用私钥解密CA认证中心CA认证中心是采用PKI公开密钥基础架构技术，专门提供网络身份认证服务，负责签发和管理数字证书的第三方信任机构。CA认证的作用•保证交易双方身份的真实性•通过数据加密保证数据完整性•防止身份假冒和欺诈数字证书类型•持卡人证书：包含持卡人ID、支付卡数据、账户信息•商户证书：包含商户账户信息•支付网关证书：收单行或银行卡组织使用场景：电子商务、网上银行等项目小结任务一了解了电子商务安全现状（近年典型安全事件、网络诈骗手段），掌握了电子商务安全存在的四大问题（环境安全、技术安全、信息安全、交易安全），熟悉了电子商务的五大安全需求（保密性、不可抵赖性、身份认证性、完整性、网络可靠性）