电子商务实务教程版课件

本章学习目标1．电子货币发展存在的问题和应对的策略。2．电子货币的特征以及种类。3．电子支付系统的基本组成及特点。4．电子支付的支付形式。5．电子货币存在哪些安全性问题，及其常用的解决方法。1.3章：电子金融3.1电子货币3.2电子支付2.3.1电子货币3.1.1概念：电子货币指由公司（非政府）建立的各种非纸币或硬币的资金存储与交换系统，它可以替代政府发行的通货。3.1.2特征:3.1.3种类:3.1.4特点：3.1.5原理：3.1.6安全：3.3.1.2特征:1.结算：电子货币可以随时兑换成现金2.标准：电子货币由公司发行，因此，电子货币需要所有电子货币发行公司都遵从共同的标准，以实现发行电子货币公司间的货币交换（目前还未完全做到）3.形态：电子货币是以现代高科技手段的电子数据形式存储，又称数字现金、虚拟货币4.技术：电子货币的发行、流通、回收等均采用现代科技的电子化手段，并采用信息加密、数字签名、数字时间戳、防火墙等安全防范措施4.3.1.3种类:1.信用卡型磁性介质模拟技术电子货币（如：目前各金融机构的电子支付环境所支持的电子货币）2.存款利用型电子货币（即：将金融机构的存款通过INTERNET网等安全移动以完成结算的电子货币，可细分为通过金融机构的专用封闭式网络的资金划拨和通过INTERNET开放网络实现的资金划拨）3.现金模拟型电子货币（即：一种模拟实体现金，可供个人之间进行当面支付的电子货币。如：美国的E现金、网络现金、等）4.IC卡型芯片式数字技术电子货币（即：镶嵌有微型计算机芯片的智能卡型电子货币。如：我国大力推广的IC卡）5.3.1.4特点：优点：结算方便有效；可实现在线结算；对有无信用卡、银行卡的都可行；由于互联网和计算机的普及应用，电子货币转账成本低，电子交易不受距离限制。缺点：付税没有审计的记录；支付轨迹难以追踪（如：可能用于“洗钱”）；可伪造6.3.1.5原理：要获得电子货币，消费者必须亲自到电子货币发行所去开账户，并提供表明身份的证件。当消费者想用电子现金消费时，他都可以通过互联网访问发行所并提供身份证明，如：认证中心颁发的数字证书、信用卡号码和银行账号。在发行所确认了消费者的身份后，发给消费者一定量的数字现金，然后从消费者账户上减去相同金额。银行会收取一小笔处理费。7.3.1.6安全：1.预防电子货币重复消费：双锁技术（即：用复杂的加密算法创建可追踪到电子货币持有人并且能防篡改的电子货币的关键技术。图：当同一电子货币发生第二次交易时，就会揭示出电子现金持有人的身份。而正常情况下要保护电子货币使用者的匿名要求）2.匿名电子货币：完全匿名的电子货币要求银行在所发行的电子现金上嵌入一个序列号，以实现对电子货币的数字签名，同时也消除了电子货币与特定消费者之间的任何关联。消费时，商家通过银行系统确认其数字签名，进而确认电子货币的真实性。8.3.2电子支付3.2.1分类：3.2.2开户：3.2.3构成：图3.2.4特点：3.2.5安全问题：3.2.6解决对策：9.3.2.1分类：1.封闭系统：系统只有一个授权者，没有其他机构参与交易，银行和其它金融机构的作用=持卡人和商家之间的经纪人2.开放系统：参与交易的通常涉及三方。参与交易的银行系统还需要一家或几家中介银行，负责协调资金。交易由第三方处理。3.支付工具：（1）电子支票系统（2）信用卡系统（3）数字化现金4.支付方式：（1）后支付系统（2）即时支付系统（3）预支付系统10.3.2.2开户：1.结算卡：信用卡（按用户的信用限制可赊账并收取一定利息）、借记卡（按交易额从持卡人的银行账户中减去转入商家银行，不能赊账）、签账卡（如：美国的运通卡，没有消费限制，在结算期末交清所有开销。没有信用限制，也不收取累积利息。美国的百货店、石油公司发行有自己的签账卡）2.商家账户：商家必须在可接受结算卡的商业银行设置一个商业账户，进而商家可将结算卡的销售收入存入此账户。11.3.2.3电子支付系统基本结构（1）客户：一般是指从某企业购买了商品的单位或个人。它要支付购买商品所需的货币（非现金），其支付方式一般是通过信用卡或转账来完成。（2）商家：是指卖出商品一方。它可以根据客户的支付方式，相应地向银行求得应得的货币。（3）银行：是电子支付系统的中转站，不可缺少。因为客户和商家不一定在同一银行开户，所以银行应包括客户的开户行和商家的开户行。（4）支付网关：是因特网和金融专用网的接口，支付请求必须通过它才能进入银行支付系统，从而完成相应的结算支付。（5）金融专用网：是银行内部及各银行间进行通信的专用网络。我国的金融专用网发展较快、较全面，从而对我国电子商务的发展创造了条件。（6）CA认证机构：其作用是为参与贸易活动的各方发放数字证书，并确认各方的身份，以保证网上支付的安全性。各部分的相互联系如图6-1所示。12.3.2.3构成：图13.3.2.4特点：1.可接受性：允许任何人、任一企业都可以合法地使用电子支付系统2.可确认性：应使得支付各方最后都能够确认某个支付流程已经完成3.安全性：能保障支付各方的经济利益不受损害，同时也能够保障交易各方的身份不被泄露4.灵活性：支持多种付款方式，并能按用户要求把数字货币兑换成日常货币5.实用性：使电子支付和日常的现金支付一样方便、实用6.抗破坏性：电子支付系统还应有很好的抗破坏性，以避免黑客等蓄意破坏者的攻击14.3.2.5安全问题：1.防止数据被窃2.专用数据的保护3.验证用户4.数据完整性检验5.安全访问能力6.系统可靠性7.系统灵活性8.标准化支持15.第一，防止数据被窃。由于Internet是一个开放的网络，上面的许多重要数据如信用卡号码、用户密码、交易信息等在传输过程中有可能被窃。用数据加密（如数据加密标准DES、RSA）等可以有效防止数据被窃。第二，专用数据的保护。公司数据库系统在以WWW方式连接到公共网络后，数据很容易被攻击。防火墙技术是防范非法攻击的有利措施，数据库加密和保密技术也有助于防止恶意攻击。第三，验证用户。为了防止伪造、假冒的行为，金融机构需要确信进行电子订货或电子现金转移的个人和商家的合法有效。需要建立可信的验证机构，通过数字签名等方式进行确认，电子商务需要建立完善的验证机制。第四，数据完整性检验。为保证接收的数据在传输过程中未被人篡改过，可通过数据加密变换、数字签名和校验方式进行识别。第五，安全访问能力。在开放的公共网络环境下，为各种用户建立灵活、安全的访问途径是电子商务的基本要求，应该提供大量的个人用户访问交流条件。公共网络环境的安全系统必须是安全的并且易于维护和扩展配置的系统。电子货币的安全性问题及解决方案16.第六，系统可靠性。金融机构的服务是不能停顿的，相应的计算机网络系统必须进行每天24小时、每周7天的连续运行而不能出现故障。要求电子商务设备具有高度的可靠性，可通过双机备份等方式来保证。第七，系统灵活性。网络与应用系统应可改革和扩充，各种新兴业务将会得到发展，如家庭银行、在线理财等新兴方式将出现。电子商务系统需要能够扩展运行各种应用的系统。第八，标准化支持。公共环境下电子支付必须具有标准化的模式才能相互通用并保证安全。但智能卡的迅速发展，使市场上充斥着各种电子货币，其运行空间无国家界限的限制，电子商务的标准化也就显得十分重要。尽管有一些开放规范已经实施，如用于智能卡的EMV96（Europay、Mondexcard和Visa三种卡的缩写）、用于信用卡的SET，用于电子对账的E-Check以及用于小额现金的Cybercash系统等，但现在在公共互联网络上还没有一种真正统一的标准和协议。如今绝大部分应用系统只提供一种协议，而不能提供多种支付方式。电子商务需要建立综合的安全的支付协议。电子货币的安全性问题及解决方案17.3.2.6解决对策：1.SET安全电子交易标准2.数字证书3.认证机构（1）安全服务器（2）CA服务器（3）注册机构RA（4）LDAP服务器（5）数据库服务器18.1．SET安全电子交易标准安全电子交易（SET）协议是VISA和MSATERCARD两家信用卡公司连同国际商用电器公司、微软等一些著名公司共同制定的，是一个基于因特网上使用信用卡实现安全电子交易的应用协议，是当前国际上通用的网上支付标准。19.数字证书是一种数字标识，可以说是Internet上的安全护照或身份证明，是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下，证书中还包括密钥的有效时间、发证机关（证书授权中心）的名称、该证书的序列号等信息。证书的格式遵循ITUTX.509国际标准。一个标准的X.509数字证书包含以下一些内容：证书的版本信息；证书的序列号，每个证书都有一个惟一的证书序列号；证书所使用的签名算法；证书的发行机构名称，命名规则一般采用X.500格式；证书的有效期，从什么时候开始有效，到什么时候结束；证书所有人的名称，命名规则一般采用X.500格式；证书所有人的公开密钥；证书发行者对证书的签名。2．数字证书20.证书实例3．认证机构（CA）21.证书实例:3．认证机构（CA）22.3．认证机构（CA）一个典型的CA系统包括安全服务器、注册机构RA、CA服务器、LDAP目录服务器和数据库服务器等:23.（公钥一般由用户端产生，如电子邮件程序或浏览器等）。CA将根据用户的请求信息产生证书，并用自己的私钥对证书进行签名。其他用户、应用程序或实体将使用CA的公钥对证书进行验证。如果一个CA系统是可信的，则验证证书的用户可以确信他所验证的证书中的公钥属于证书所代表的那个实体。CA还负责维护和发布证书废除列表CRL（CertificateRevocationLists，又称为证书黑名单）。当一个证书，特别是其中的公钥因为其他原因无效时（不是因为到期），CRL提供了一种通知用户和其他用户应用的中心管理方式。CA系统生成CRL以后，要么是放到LDAP服务器中供用户查询或下载，要么是放置在Web服务器的合适位置，以页面超级链接的方式供用户直接查询或下载。3．认证机构（CA）24.3．认证机构（CA）注册机构RA：登记中心服务器面向登记中心操作员，在CA体系结构中起着承上启下的作用，一方面向CA转发安全服务器传输过来的证书申请请求，另一方面向LDAP服务器和安全服务器转发CA颁发的数字证书和证书撤消列表。25.3．认证机构（CA）安全服务器：安全服务器面向普通用户，用于提供证书申请、浏览、证书撤消列表以及证书下载等安全服务。安全服务器与用户的通信采取安全信道方式（如SSL的方式，不需要对用户进行身份认证）。用户首先得到安全服务器的证书（该证书由CA颁发），然后用户与服务器之间的所有通信包括用户填写的申请信息以及浏览器生成的公钥均以安全服务器的密钥进行加密传输，只有安全服务器利用自己的私钥解密才能得到明文，这样可以防止其他人通过窃取得到明文，从而保证了证书申请和传输过程中的信息安全性。26.3．认证机构（CA）CA服务器：CA服务器是整个证书机构的核心，负责证书的签发。CA首先产生自身的私钥和公钥（密钥长度至少为1024位），然后生成数字证书，并且将数字证书传输给安全服务器。CA还负责为操作员、安全服务器以及注册机构服务器生成数字证书。安全服务器的数字证书和私钥也需要传输给安全服务器。CA服务器是整个结构中最为重要的部分，存有CA的私钥以及发行证书的脚本文件。出于安全的考虑，应将CA服务器与其他服务器隔离，任何通信采用人工干预的方式，确保认证中心的安全。27.3．认证机构（CA）LDAP服务器：LDAP服务器提供目录浏览服务，负责将注册机构服务器传输过来的用户信息以及数字证书加入到服务器上。这样其他用户通过访问LDAP服务器就能够得到数字证书。28.3．认证机构（CA）数据库服务器：数据库服务器是认证机构中的核心部分，用于认证机构中数据（如密钥和用户信息等）、日志统计信息的存储和管理。实际的数据库系统应采用多种措施，如磁盘阵列、双机备份和多处理器等方式，以维护数据库系统的安全性、稳定性、可伸缩性和高性能。29.我国认证机构（CA）现状为促进电子商务在中国的顺利开展，一些行业已在自行组建自己的一套CA体系，如中国电信CA安全认证体系（CTCA）、中国金融认证中心（CFCA）等。还有一些行政区也建立了或正在建立区域性的CA体系，如上海电子商务CA认证中心（SHECA）、广东省电子商务认证中心（CNCA）、海南省电子商务认证中心（