第3章 电子商务安全.ppt

1、第3章 电子商务安全,3.1 电子商务与信息安全 3.2 电子商务安全常用的方法 3.3 计算机网络安全技术 3.4 案例分析：网上诈骗及流氓软件问题 研究,3.1 电子商务与信息安全,3.1.1电子商务安全的现状 电子商务中的安全隐患主要有信息的截获和窃取及信息的 篡改。信息的篡改包括信息的篡改、删除和插入、信息假冒和 交易抵赖等。这些制造安全隐患的不法者通常采用的方法有利 用系统漏洞、病毒攻击、黑客攻击(如网页篡改、僵尸网络等) 以及网络仿冒等。 安全问题是阻碍电子商务更广泛发展的首要障碍。安全隐 患主要涉及系统安全性、信息安全性和交易行为的有效性。针 对这些安全隐患，电子商务安全机制技术

2、包括防火墙技术、加 密解密技术、数字签名技术、身份认证技术等。,下一页 返回,3.1 电子商务与信息安全,类似于其他各种分布式应用，电子商务领域内对安全性也 有7种基本要求，其中保密性、完整性和不可否认性最为关键。 电子商务的安全隐患主要分为两大类：数据安全隐患和交 易安全隐患。 电子商务中涉及的安全内容包括计算机系统安全、网络安 全、密码安全和信息安全。 电子商务中的保密技术涉及信息加密技术和身份认证技 术。信息加密技术是近些年来的研究热点之一，其宗旨是对指 定的信息或数据实施加密技术，使得除授权方以外的其他方无 法获知该信息或数据的真实含义。,上一页 下一页,3.1 电子商务与信息安全,3

3、.1.2电子商务安全的要素 有效性和真实性。要对网络系统故障、操作错误、软件错 误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸 易数据在确定的时刻、确定的地点是有效的。 机密性。要预防黑客窃取网络传输过程中的信息。开放的 网络，预防非法信息存取和信息在传输过程中被非法窃取，保 证只有合法用户才能看到数据。 数据的完整性。要预防对信息的随意添加、修改和删除，,上一页 下一页,3.1 电子商务与信息安全,同时要防止数据传送过程中信息的丢失和重复并保证信息传送 次序的统一。 可靠性、不可抵赖性和可控性。可靠性指保证合法用户对 信息和资源的使用不遭到不正当的拒绝；不可抵赖性是建立有 效的责任机

4、制，防止实体否认其行为，也即要求在交易信息的 传输过程中为参与交易的个人、企业或国家提供可靠的标识； 而可控性是控制使用资源的人或实体的使用方式，以保证接收 方可以证实收到的数据是原发送方发出的，而原发送方也可以 证实只有指定的接收方才能接收。,上一页 下一页,3.1 电子商务与信息安全,3.1.3电子商务系统的安全交易协议 1.SSL协议 SSL (Secure Sockets Layer)协议是由网景Netscape 公司 推出的一种安全通信协议。它能够对信用卡和个人信息提供较 强的保护，是对计算机之间整个会话过程进行加密的协议。SSL 被用于Netscape Communicator和M

5、icrosoft浏览器，用以完成 需要的安全交易操作。该协议向基于TCP/IP的客户机/服务器应 用程序提供了客户机和服务器的鉴别、数据完整性及信息机密,上一页 下一页,3.1 电子商务与信息安全,性等安全措施。 2.SET协议 在电子商务初级阶段，由于运作电子商务的企业大多是信 誉较高的大公司，因此这问题还没有充分暴露出来。但随着电 子商务的发展，各中小型公司也参与进来，这样在电子支付过 程中的单一认证问题就越来越突出。因此，有关组织联合制订 了专门针对安全电子交易的SET协议。 其原则是保证信息的机密性，保证在因特网上的信息安全,上一页 下一页,3.1 电子商务与信息安全,传输，只有收件人

6、才能访问和解密，保证支付完整性，保证数 据完整地(未经篡改)被收件人接收；验证商户和持卡人，确认 通过因特网进行交易的商户和持卡人的身份；具有互操作性， 保证不同厂商的产品使用同样的通信协议和信息格式，从而可 以互相集成。 除了SSL和SET协议外，PKI公钥基础设施也是一个比较重要 的电子商务安全交易协议。PKI是“Public Key Infrastructure”的缩写。简单地说，PKI技术就是利用公钥理,上一页 下一页,3.1 电子商务与信息安全,论和技术建立的提供信息安全服务的基础设施。它能够为所有 网络应用提供透明的采用加密和数字签名等密码服务所必需的 密钥和证书管理。公钥体制是目

7、前应用最广泛的一种加密体 制，既保证了信息的机密性，又保证信息具有不可抵赖性。 PKI的价值在于使用户能够方便地使用加密、数字签名等安 全服务，因此一个完整的PKI必须提供良好的应用系统接口，使 得各种各样的应用能够以安全、一致、可信的方式与PKI交互， 确保所建立起来的网络环境的可信性，同时降低管理维护成 本。,上一页 返回,3.2电子商务安全常用的方法,3.2.1加密技术 加密技术是一种主动的信息安全防范措施，其原理是利用 一定的加密算法，将明文转换成为无意义的密文，阻止非法用 户理解原始数据，从而实现数据的保密性。 1.密钥的概念 将明文数据进行某种变换，使其成为不可理解的形式，这 个过

8、程就是加密，这种不可理解的形式称为密文。解密是加密 的逆过程，即将密文还原成明文。 加密和解密必须依赖两个要素，这两个要素就是算法和密 钥。算法是加密和解密的计算方法；密钥是加密和加密所需的,下一页 返回,3.2电子商务安全常用的方法,一串数字。 2.对称加密技术 对称加密的含义是指对信息加密和解密使用的是相同的钥 匙，该钥匙称为密钥(Secret Key)。这一过程可以使用如下简 洁的数学的形式表示出来： E = encrypt (SK，M) 其中：M是明文信息，SK是用于加密的密钥。函数encrypt (SK， M)的功能是使用密钥SK对明文信息M进行加密。结果，E 就是信息M经过加密后的

9、结果。接收方使用解密函数decrypt (SK，E)对加密信息E进行解密得到原来的信息M，即：,上一页 下一页,3.2电子商务安全常用的方法,M = decrypt(S K，E) 3.非对称加密技术 非对称加密是指对信息加密和解密时，所使用的密钥是不 同的，即有两个密钥，一个是可以公开的，而另一个是私有 的，这两个密钥组成一对密钥对。如果用其中一个密钥对数据 进行加密，则只有用另外的一个密钥才能解密；由于加密和解 密时所使用的密钥不同，这种加密体制称为非对称密钥加密体 制。,上一页 下一页,3.2电子商务安全常用的方法,3.2.2数字证书和认证中心 1.数字证书 数字证书又称为数字凭证，是一个

10、数字文件，它用密码学 的原理将一个实体的公钥和与它身份相关的一些属性捆绑在一 起，用电子手段来证实一个用户的身份和对网络资源的访问权 限。在网上的电子交易中，如双方出示了各自的数字凭证，并 用它来进行交易操作，则双方都可不必为对方身份的真伪担 心。 数字证书具有如下5个方面的基本功能： 身份认证。,上一页 下一页,3.2电子商务安全常用的方法,保密性 数据完整性。 不可抵赖性。 访问控制。 数字证书有个人证书、企业证书和软件证书3种类型。 2.认证中心 认证中心(CA)是电子商务中的一个核心环节，是在电子交 易中承担网上安全电子交易认证服务、签发数字证书、确认用 户身份等工作的具有权威性和公正

11、性的第三方服务机构，它是 实现网上交易和网上支付的重要安全保障。 CA具有证书发放、证书更新、证书撤销和证书验证4大职能。,上一页 返回,3.3计算机网络安全技术,3.3.1网络安全概述 计算机网络安全的主要内容包括计算机网络设备的安全、 计算机网络系统的安全和数据库的安全等。商务信息的安全则 是围绕着传统商务活动在因特网上应用时所产生的各种安全问 题，即必须确保电子商务的保密性、完整性、可鉴别性、不可 伪造性和不可抵赖性。 由于电子商务的特点，因此在安全方面也有它的特殊问题： (1)交易过程的高度隐蔽性和不确定性致使所产生的交易双方身 份的难以确认。 (2)个人数据，包括个人信用信息在传递过

12、程中有可能被拦截和,下一页 返回,3.3计算机网络安全技术,窃取。 (3)网上商店容易被计算机黑客破坏。 (4)交易的完成对网络的依赖性很强。 (5)交易结果的不可抵赖性。 1.交易安全隐患 (1)窃取信息(破坏机密性)。 (2)篡改信息(破坏完整性)。 (3)伪造信息(破坏真实性)。 (4)假冒身份(破坏真实性)。 (5)抵赖(破坏真实性)。 2.交易安全措施,上一页 下一页,3.3计算机网络安全技术,3.3.2网络安全技术 1.病毒防范技术 病毒是一种恶意的计算机程序，它可分为引导区病毒、可 执行病毒、宏病毒、邮件病毒等。网络病毒的威胁，一是来自 文件下载；二是网络化趋势所至。防范病毒的措

13、施有安装防病 毒软件、加强内联网的整体防病毒措施、加强数据备份和恢复 措施以及对敏感的设备和数据要建立必要的物理或逻辑隔离措 施等。 2.身份识别技术 身份识别技术是计算机网络安全技术的重要组成部分之,上一页 下一页,3.3计算机网络安全技术,一。它的目的是证实被认证对象是否属实和是否具有有效性。 常用的身份识别认证技术主要有以下几种。 口令。 标记方法。 生物特征法。 3.防火墙技术 防火墙是目前为确保网络安全而使用的一种最为广泛的网 络安全防范措施。 防火墙既可以是非常简单的包过滤器，也可以是专门配置,上一页 下一页,3.3计算机网络安全技术,的网关，其原理是检测并过滤所有内联网和外联网之

14、间的信息 交换。 广泛使用的防火墙有硬件和软件两种形式，根据其原理又 具体分为包过滤(Packet Filter)、应用级网关(Proxy Service)、状态监视器、带有虚拟专用网的防火墙等几种。 为了保证信息不受攻击，数据加密是行之有效的方法。目 前，已有一种在内网上接续具有加密功能的路由器和防火墙的 新安全机制，该机制的核心是把网络上的数据进行加密再传 送，这就是带有虚拟专用网的防火墙。,上一页 返回,3.4案例分析：网上诈骗及流氓软件问题研究,3.4.1网上诈骗 CNNIC中国互联网络热点调查报告显示，有相当多的人 质疑网上支付的安全性。在网络购物中，网民对用户的个人信 息、交易过程

15、中银行账户的密码的透露以及转账过程中资金的 安全等问题有很大担忧。而从网络进入人们的生活开始，网络 安全问题就一直存在。目前，网上购物支付方法，汇款，网上 支付和货到付款的比例分别为43.2%，41.8%和34.7%。这意味 着，支付方式还是以现金为主，这无疑增加了交易过程中的安 全隐患。 另外一个突出的问题是网络购物中的诚信问题，数据显,下一页 返回,3.4案例分析：网上诈骗及流氓软件问题研究,示，没有尝试过网络购物的用户中有62.4%的人是由于不信任网 站，47.4%的人担心商品质量无法保证，42.3%的人质疑网络购 物的安全性。商家提供的商品信息、商品质量保证、商品售后 服务是否和传统商

16、场一样，购买商品后是否能够如期拿到商品 等，都是购买者所担忧的问题。 在电子商务发展初期，消费者对于网上购物的认识和习惯 是制约电子商务的主要因素之一，随着电子商务经营环境的日 益成熟，网上欺诈和网络安全的问题又充分暴露出来，这种不 断变化的网络环境为电子商务和网络营销提出了更多的问题， 电子商务的发展必须适应不断变化的经营环境。网上欺诈和网 络安全已严重影响到网上购物者对网络营销的信任。,上一页 下一页,3.4.2流氓软件 强制安装、难以卸载、弹出广告、恶意卸载、恶意捆 绑，2006年互联网用户在享受网络带来的快捷的同时，不 得不忍受来自流氓软件的困扰。中国互联网协会正式将流氓软 件更名为恶意软件，并给出其官方定义。 什么是“流氓软件(恶意软件)”？从技术上讲，恶意广告 软件(adware)、间谍软件(spyware)、恶意共享软件(malicious shareware)等都处在合法商业软件和计算机病毒之间的灰色地 带。它们既不属于正规商业软件，也不属于真正的病毒；既有,3.4案例分析：网上诈骗及流氓软件问题研究,上一页 下一页,一定的实用价值，也会给用户带来种种干扰，这