极速互联苏瑞——电子商务安全技术第三讲.ppt

1、电子商务安全技术第三讲,主讲：极速互联苏瑞 参考： ,（1）“数字信封”：是用加密技术来保证只有规定的特定收 信人才能阅读信息。,数字信封,4.4.2 基本认证技术 1、数字信封,（2）具体做法 发送方采用对称密钥加密信息 将此对称密钥用接收方的公开密钥加密之后，将它和信息一起发送给接收方 接收方先用相应的私有密钥打开数字信封，得到对称密钥 使用对称密钥解开信息,internet,2、数字签名 （1）什么是数字签名 Digital Signature 数字签名是通过一个单向函数对要传送的报文进行处理得 到的用以认证报文来源并核实报文是否发生变化的一个字母数 字串。 （2）数字签名的作用 保证信

2、息完整 信息发送者身份的验证,实现的基础 加密技术,数字签名具有易更换、难伪造、可进行远程线路传递等优点。 数字签名,（1）采用单向Hash函数对文件进行变换运算得到摘要 码，并把摘要码和文件一同送给接收方 （2）接收方接到文件后，用相同的方法对文件进行变 换计算 （3）用得出的摘要码与发送来的摘要码进行比较来断 定文件是否被篡改。,保证数据的完整性、真实性,3、数字摘要,4、数字时间戳（Digital Time-Stamp，DTS）,时间戳：提供电子文件发表时间的安全保护，是一个经过加密后形成的凭证文档。,需加时间戳的文件摘要 DTS收到文件的日期和时间 DTS的数字签名,保证文件签署日期的

3、真实性,时间戳产生过程： 用户将需加时间戳的文件用HASH编码加密形成摘要 将其发送到DTS DTS在加入了收到日期和时间信息后再对该文件加密和数字签名 返回用户,5、虚拟专用网（VPN，Virtual Private Network）,（1） 虚拟专用网（VPN，Virtual Private Network）： 利用公共网络来构建的专用网络。主要通过加密通信数据和 双方的网络地址，实现在公用网上传输私有数据，并可达到 私有网络的安全级别，是一种经济、安全的网络通信。,加密数据 信息认证和身份认证 提供访问控制：不同用户有不同的访问权限,虚拟专用网,4.5 安全技术协议 4.5.1 安全套接

4、层协议（SSL） (一)SSL协议概述 1、SSL(Secure Sockets Layer)，称为安全套接层协议， 是一种安全通信协议。 （1）提供了客户机与服务器之间的安全连接，对整个会 话进行了加密，从而保证了安全传输。 （2）对服务器进行认证，还可选择对客户机进行认证。,应用层,传输层,SSL,实现SSL协议的是HTTP的安全版，名为HTTPS。,2、SSL协议分为两层：SSL握手协议和SSL记录协议,3、 SSL协议是目前电子商务中应用最为广泛的安全协议之一。 （1）应用范围广：几乎所有操作平台上的WEB浏览器（IE、Netscape）以及Web服务器都支持SSL协议。 （2）被大部

5、分WEB浏览器和服务器所内置,（二）SSL协议的功能 1、SSL服务器认证：客户机对服务器数字证书的检查 2、确认用户身份：服务器检查客户机数字证书的合法性 3、保证数据传输的机密性和完整性：加密技术,中国银行：,建立SSL安全连接的过程 （1）显示在eCoin上在登陆（Login）用户名时即进入SSL安全连接,（2）这时浏览器发出安全警报，开始建立安全连接 浏览器开始建立安全连接,（3）同时验证安全证书，用户单击“确定”键即进入安全连接,浏览器验证服务器安全证书,（4）显示在eCoin上的安全连接已经建立，浏览器右下角状态 栏的锁型图案表示用户通过网页传输的用户名和密码都将通过加密 方式传送

6、。,（5） 当加密方式传送结束后，浏览器会离开交换敏感信息 的页面，自动断开安全连接。 离开交换敏感信息的页面，浏览器自动断开安全连接,1、SET协议是针对开放网络上安全、有效的银行卡交 易，由Visa和MasterCard联合研制的，制定的安全电子交易的 一个国际标准。 主要目的是解决信用卡电子付款的安全保障性问题 2、SET协议主要是针对B to C电子商务的一个协议，而且 依赖于银行卡这种目前使用较为广泛的支付工具。,4.6.2 安全电子交易规范（SET）,3、SET的特点 (1) 信息的机密性:对称密钥和非对称密钥相结合 (2)交易的不可否认性：数字证书/签名 （3）数据的完整性:数字

7、签名 (4)身份的验证:保证信息的真实性,4、SET的目标 （1）订单和个人账号信息在Internet上安全传输，保证网上传输的数据不被黑客窃取。 （2）订单信息和个人账号信息的隔离 （3）解决网络认证问题：消费者、商店、银行、网关 （4）要求软件遵循相同协议和消息格式，使不同厂家开发的软件具有兼容和互操作功能。,在SET中采用了双重签名技术，支付信息和订单信息是分 别签署。,保证了商家看不到支付信息，而只能看到订单信息 保证了银行看不到交易内容，只能看到帐户信息,帐户信息中包括了交易ID、交易金额、信用卡数据等信息，这些涉及到与银行业务相关的保密数据对支付网关是不保密的，因此支付网关必须由收

8、单银行或其委托的信用卡组织来担当。,6、SET涉及的主要角色 （1）持卡人:网上消费者或客户，首先应向发卡行提出申 请，并安装电子钱包软件。 （2）商家：必须在收单行开设帐户并且安装SET商家软件 （3）支付网关：收单银行或指定的第三方操作的专用系 统，用于处理支付授权和支付。,银行金融网络,公共网络,支付网关,（4）收单行：为商户建立帐户并处理支付授权和支付 （5）发卡行：为持卡人建立一个帐户并发行支付卡 （6）认证机构：向各交易主体颁发证书，进行身份识别,发卡银行,持卡人,银行网络,收单银行,认证中心,Internet,在线商家,支付网关,SET的运作流程,、A先生进入网络商家订购书籍，并

9、填写订购数量、送货日期等信息； 、A先生准备结帐，这时计算机中具有SET规格的“电子钱包”软件自动启动，并将信用卡信息连同订单信息分别加密后传送给商家； 、商家B收到该订单及信用卡信息后，将信用卡信息原封不动的传给收单银行，以检查信用卡是否有效； 、收单银行向发卡银行确认该信用卡数据无误后，发出信息通知商家可以接下此笔订单； 、到了结帐日， A先生会接到发卡银行的信用帐单，而商家则可以拿信用卡授权码向收单银行划款。,持卡人,选购商品,订单与信用卡信息,订单成立信息,电子商家,收单银行,发卡银行,信用卡信息,确认信息,信用卡信息,确认信息,SET与SSL机制的比较,认证机制：SET要求所有参与交易各方均必须先申请数字证书以识别身份，而SSL只有商家 的服务器需要认证，客户端的认证是可选择的（optional）； 设置成本：希望申请SET交易者除必须申请数字证书之外，也必须在计算机上安装符合SET规格的电子钱包软件，而S