资源描述
第第1111章章 电子商务的安全管理电子商务的安全管理 教育部高校管理与工程教学指导教育部高校管理与工程教学指导委员会、机械工业出版社委员会、机械工业出版社 11.2 11.2 电子商务安全管理制度电子商务安全管理制度2 11.3 11.3 电子商务安全协议和证书电子商务安全协议和证书 3 11.4 11.4 数字证书获取与管理实验数字证书获取与管理实验 4 11.1 11.1 电子商务安全管理概述电子商务安全管理概述1 11.5 11.5 电子商务安全解决方案电子商务安全解决方案5 11.6 11.6 本章小结本章小结6目目 录录 电子商务的安全管理制度电子商务的安全管理制度 电子商务安全协议和证书电子商务安全协议和证书 电子商务安全管理电子商务安全管理解决方案解决方案 了解电子商务安全技术的了解电子商务安全技术的概念概念 理解理解电子商务安全管理制度制定的电子商务安全管理制度制定的原则原则 掌握掌握基本安全协议基本安全协议IPSec、SSL、SET和和3-D SECURE 学会运用安全管理解决方案学会运用安全管理解决方案n 11.1.1 11.1.1 电子商务概述电子商务概述 n 1.1.电子电子商务的概念商务的概念 在对电子商务认知识的发展和完善过程中，各国政府，学者和企业对在对电子商务认知识的发展和完善过程中，各国政府，学者和企业对 其基本概念给出了不同的其基本概念给出了不同的诠释诠释。全球信息基础设施委员会的定义全球信息基础设施委员会的定义是：是：电子商务是以电子通信为手段的经电子商务是以电子通信为手段的经济活动济活动，通过这种方式对带有经济价值的产品和服务进行宣传，购买和，通过这种方式对带有经济价值的产品和服务进行宣传，购买和结算。结算。IBM公司对公司对电子商务的解释电子商务的解释是，电子商务是在是，电子商务是在Internet的广泛联系的广泛联系与传统信息技术系统丰富资源相结合的背景下产生的一种与传统信息技术系统丰富资源相结合的背景下产生的一种在互联网上在互联网上展展开的互相关联的开的互相关联的动态商务活动动态商务活动。“全球电子商务纲要全球电子商务纲要”是美国政府电子商务发展政策的纲领性文件，其是美国政府电子商务发展政策的纲领性文件，其中把电子商务定义为中把电子商务定义为“通过通过Internet进行的各项商务活动，包括广告、交进行的各项商务活动，包括广告、交易、支付和服务等易、支付和服务等”。11.1 电子商务安全管理概述电子商务安全管理概述 n 电子商务概念电子商务概念的的总结总结 政府、企业和个人利用现代计算机设备与网络技政府、企业和个人利用现代计算机设备与网络技术实现商业活动的全过程。是一种术实现商业活动的全过程。是一种基于互联网基于互联网，以，以交交易双方易双方为主体，以为主体，以银行电子支付和结算银行电子支付和结算为手段，以为手段，以客客户数据户数据为依托的商务模式。电子商务是集为依托的商务模式。电子商务是集企业管理信企业管理信息化息化、金融电子化金融电子化和和商贸信息网络化商贸信息网络化为一体，旨在实为一体，旨在实现现信息流信息流、现金流现金流和和物流物流的流动成本最小化，效率和的流动成本最小化，效率和效益最大化的现代贸易方式。效益最大化的现代贸易方式。11.1 电子商务安全管理概述电子商务安全管理概述n 11.1.1 11.1.1 电子商务概述电子商务概述 n 2 2.电子电子商务的交易模式商务的交易模式 (1)(1)按照参与交易的对象划分按照参与交易的对象划分 2)企业对消费者企业对消费者(Business to Customer，B2C)模式，是指商业企模式，是指商业企业与个体消费者间进行的商业活动。以网络零售业为主线，目前业与个体消费者间进行的商业活动。以网络零售业为主线，目前有有当当网当当网，卓越网卓越网等成功案例。等成功案例。3)消费者对消费者消费者对消费者(Customer to Customer，C2C)模式，也称网模式，也称网上拍卖模式。其中代表有上拍卖模式。其中代表有淘宝网淘宝网。1)企业对企业企业对企业(Business to Business，B2B)模式，是指商业企业模式，是指商业企业之间产生的商业活动。例如，国内著名电子商务网站之间产生的商业活动。例如，国内著名电子商务网站“阿里巴阿里巴巴巴”。11.1 电子商务安全管理概述电子商务安全管理概述n 11.1.1 11.1.1 电子商务概述电子商务概述 n 2 2.电子电子商务的交易模式商务的交易模式 (2)(2)按照交易产品的类型划分按照交易产品的类型划分 2)无形商品交易模式无形商品交易模式，是指，是指以信息载体形式出现的商品以信息载体形式出现的商品，以网上，以网上订阅、付费浏览、广告支持和网上赠与的方式来实现交易。订阅、付费浏览、广告支持和网上赠与的方式来实现交易。1)实物商品交易模式实物商品交易模式，是指，是指传统的有形商品和劳务传统的有形商品和劳务，通过互联网，通过互联网进行交易撮合，而交付时通过传统物流来实现交易进行交易撮合，而交付时通过传统物流来实现交易。11.1 电子商务安全管理概述电子商务安全管理概述n 3 3.电子电子商务的交易流程商务的交易流程 消费者消费者物流中心物流中心商家商家银行或银行或金融机构金融机构企业或政府企业或政府认证机构认证机构电子商务交易电子商务交易涉及相关部门涉及相关部门 11.1 电子商务安全管理概述电子商务安全管理概述n 电子电子商务的交易流程分为五个环节商务的交易流程分为五个环节 交易前期准备交易前期准备 交易商谈和签订合同交易商谈和签订合同 正式交易前的手续办理正式交易前的手续办理 交易合同的履行交易合同的履行 索赔和复议索赔和复议 买卖双方和参加交易的各方在互联网的平台上随时随地进行签约前的准备活动。买卖双方通过网络平台对相关交易细节进行谈判，在必要的确认和核实的基础上，将双方磋商的结果确定为电子贸易合同。买卖双方签订合同后到合同开始履行前办理各种手续的过程。卖方要备货,组货,包装,起运和发货。双方通过物流跟踪系统掌握货物的流转,金融机构按照合同记录和保存应付款项,当买方确认后,完成放款。受损方向违约方提出索赔和复议请求，并履行其商定方案。11.1 电子商务安全管理概述电子商务安全管理概述n 11.1.211.1.2 电子商务安全问题的特征电子商务安全问题的特征 1.1.电子商务系统电子商务系统自身自身的安全问题的安全问题 2.2.交易交易传输传输过程中的信息安全过程中的信息安全 3.3.电子商务电子商务企业内部企业内部安全管理安全管理隐患隐患 4.4.电子商务安全的电子商务安全的法律保障法律保障 5.5.电子商务的电子商务的信用安全问题信用安全问题 6.6.电子商务的电子商务的支付安全问题支付安全问题 11.1 电子商务安全管理概述电子商务安全管理概述n 11.1.311.1.3 电子商务安全的概念电子商务安全的概念 1.1.物理层物理层的安全管理的安全管理 电子商务应用系统电子商务应用系统实体设备实体设备的安全管理的安全管理 2.2.软件层软件层的安全管理的安全管理 电子商务应用电子商务应用系统和数据系统和数据的安全管理的安全管理 3.3.人事层人事层的安全管理的安全管理 在电子商务交易过程中涉及到在电子商务交易过程中涉及到人员人员的安全管理的安全管理 4.4.信用安全信用安全的管理的管理 在电子商务交易过程中建立安全可靠的在电子商务交易过程中建立安全可靠的信用管理体制信用管理体制 5.5.电子商务电子商务安全立法安全立法 逐步逐步推进推进和和制定制定相关电子商务的相关电子商务的法律法规法律法规 11.1 电子商务安全管理概述电子商务安全管理概述n 11.1.411.1.4 电子商务安全管理的要素电子商务安全管理的要素 11.1 电子商务安全管理概述电子商务安全管理概述数据有效性管理数据有效性管理 数据完整性管理数据完整性管理 不可否认性管理不可否认性管理 系统可靠性管理系统可靠性管理 信息保密性管理信息保密性管理 n 11.1.511.1.5 电子商务安全管理的体系结构电子商务安全管理的体系结构 11.1 电子商务安全管理概述电子商务安全管理概述 1.什么是电子商务？你应用过哪些电子商务产品？什么是电子商务？你应用过哪些电子商务产品？2.分析一下电子商务安全管理的几大要素。分析一下电子商务安全管理的几大要素。3.电子商务的交易流程一般分几个步骤？电子商务的交易流程一般分几个步骤？11.1 电子商务安全管理概述电子商务安全管理概述 n 11.2.111.2.1 电子商务安全管理的原则电子商务安全管理的原则 1.1.安全责任到人的管理原则安全责任到人的管理原则 2.2.专职安全管理原则专职安全管理原则 3.3.减少人为因素原则减少人为因素原则 4.4.多人或交叉负责原则多人或交叉负责原则 5.5.人员轮岗原则人员轮岗原则 6.6.最小权限原则最小权限原则11.2 电子商务的安全管理制度电子商务的安全管理制度n 11.2.211.2.2 电子商务安全管理制度的内涵电子商务安全管理制度的内涵 n 应用系统集成安全管理制度应用系统集成安全管理制度 n 数据存储和管理制度数据存储和管理制度 n 网络传输系统安全管理制度网络传输系统安全管理制度 n 人员安全管理制度人员安全管理制度 11.2 电子商务的安全管理制度电子商务的安全管理制度 一些新的一些新的IT技术在电子商务系统中的应用，如无线网络、技术在电子商务系统中的应用，如无线网络、移动存储、远程办公等，使电子商务网络面临的风险更加移动存储、远程办公等，使电子商务网络面临的风险更加复杂化。威胁电子商务安全的因素涉及电子商务应用系统复杂化。威胁电子商务安全的因素涉及电子商务应用系统集成、数据存储和管理、网络传输系统和人员安全管理四集成、数据存储和管理、网络传输系统和人员安全管理四方面的内容。因此，电子商务安全管理制度的内涵也主要方面的内容。因此，电子商务安全管理制度的内涵也主要针对这四方面做出具体的规范和制约。针对这四方面做出具体的规范和制约。n 1.1.应用系统集成安全管理制度应用系统集成安全管理制度11.2 电子商务的安全管理制度电子商务的安全管理制度 应用系统集成安全管理制度是从软件开发过程就已经应用系统集成安全管理制度是从软件开发过程就已经渗透的，对安全问题考虑不周或缺乏整体的规划会给应用渗透的，对安全问题考虑不周或缺乏整体的规划会给应用系统的使用带来无法弥补的硬伤，所以必须在系统的使用带来无法弥补的硬伤，所以必须在概要设计阶概要设计阶段段就专题规划安全管理的就专题规划安全管理的策略策略；其次，承载着应用系统的；其次，承载着应用系统的操作系统的管理操作系统的管理也是不可忽视的重要组成部分。操作系统也是不可忽视的重要组成部分。操作系统的的动态连接模式动态连接模式，文件交互功能文件交互功能，系统进程等待和为系统，系统进程等待和为系统开发人员预留的开发人员预留的无口令登录无口令登录，都需要得到有效的管理和限，都需要得到有效的管理和限制。最后，制。最后，应用系统本身的维护和操作应用系统本身的维护和操作管理更是重中之重，管理更是重中之重，直接关系到电子商务系统的安全性和可靠性。直接关系到电子商务系统的安全性和可靠性。n 2.2.数据存储和管理制度数据存储和管理制度 11.2 电子商务的安全管理制度电子商务的安全管理制度 电子商务系统中的数据库和其它计算机系统一样，是电子商务系统中的数据库和其它计算机系统一样，是系统的系统的灵魂灵魂和和核心核心所在，所在，数据存储和管理制度数据存储和管理制度是保证数是保证数据库在极端情况下也能维持正常功能，而且不被非法入据库在极端情况下也能维持正常功能，而且不被非法入侵和蓄意破坏。比如当数据库中存在侵和蓄意破坏。比如当数据库中存在不符合语义的数据不符合语义的数据和由于和由于错误信息的输入错误信息的输入而造成无效操作和错误结果的情而造成无效操作和错误结果的情况。或者在多个用户况。或者在多个用户并行地存取共享数据并行地存取共享数据资源时，就可资源时，就可能造成取出时的数据和存入时的数据不一致的结果。这能造成取出时的数据和存入时的数据不一致的结果。这就需要采用具备良好的就需要采用具备良好的自身保护机制自身保护机制和和并发处理机制并发处理机制的的分布式数据库管理系统来完成，使得外部用户无法破解分布式数据库管理系统来完成，使得外部用户无法破解存储在单元表中的信息。并利用系统自身的存储在单元表中的信息。并利用系统自身的加密功能加密功能防防御外来程序的攻击。御外来程序的攻击。n 3.3.网络传输系统安全管理制度网络传输系统安全管理制度 11.2 电子商务的安全管理制度电子商务的安全管理制度 电子商务系统的流转必须通过电子商务系统的流转必须通过网络传输网络传输完成，在信息完成，在信息中心没有找到入侵缺口的攻击者就会将网络传输定为攻中心没有找到入侵缺口的攻击者就会将网络传输定为攻击的下一个重要目标。国际标准化（击的下一个重要目标。国际标准化（ISO）把网络管理）把网络管理制度划分为五个领域，分别是：制度划分为五个领域，分别是：故障、性能，配置，记故障、性能，配置，记账和安全账和安全。“故障管理故障管理”负责检测或发现异常的网络运负责检测或发现异常的网络运转，隔离并控制网络问题。转，隔离并控制网络问题。“性能管理性能管理”负责分析网络负责分析网络出错率及网络吞吐率，以建立合理、优化的网络运行状出错率及网络吞吐率，以建立合理、优化的网络运行状态。态。“记账管理记账管理”负责搜集资源、处理资源和利用数据。负责搜集资源、处理资源和利用数据。“配置管理配置管理”负责检测网络的物理和逻辑配置负责检测网络的物理和逻辑配置,把握和控把握和控制网络状态。制网络状态。“安全管理安全管理”负责控制各种对网络的访问。负责控制各种对网络的访问。通过对这五个领域的网络管理制度的细化，可以更有效通过对这五个领域的网络管理制度的细化，可以更有效地防范在网络传输环节上的系统风险。地防范在网络传输环节上的系统风险。n 4.4.人员安全管理制度人员安全管理制度 11.2 电子商务的安全管理制度电子商务的安全管理制度 计算机网络犯罪，往往具备计算机网络犯罪，往往具备智能型智能型、隐蔽性隐蔽性和和连续性连续性的特点。一些所谓精英，抓住系统漏洞，自以为技高一的特点。一些所谓精英，抓住系统漏洞，自以为技高一筹，可以做到不露蛛丝马迹，而铤而走险。结果从企业筹，可以做到不露蛛丝马迹，而铤而走险。结果从企业的骨干力量嬗变成可悲的犯罪分子。所以需要有效的安的骨干力量嬗变成可悲的犯罪分子。所以需要有效的安全管理制度才能全管理制度才能约束和纠正约束和纠正人员的行为，做到人员的行为，做到预防为主预防为主。安全制度的制定实施，首先要增强人员的整体安全意识，安全制度的制定实施，首先要增强人员的整体安全意识，提高提高安全手段安全手段和和策略实施策略实施的技巧，并区分不同对象，制的技巧，并区分不同对象，制定针对不同类型对象的不同安全管理制度。定针对不同类型对象的不同安全管理制度。n 11.2.3 11.2.3 电子商务系统的日常维护制度电子商务系统的日常维护制度 1.1.执行严格的执行严格的出入管理出入管理制度制度 2.2.网络系统网络系统的的日常维护日常维护制度制度 3 3对对支撑软件支撑软件的日常维护制度的日常维护制度 4 4严格执行严格执行密码管理密码管理规定和规定和保密制度保密制度 5 5认真执行认真执行病毒防范病毒防范制度制度 6 6运行中心和开发调试机房运行中心和开发调试机房隔离制度隔离制度 7 7操作日志操作日志制度制度 8 8检查考核检查考核制度制度 11.2 电子商务的安全管理制度电子商务的安全管理制度n 11.2.511.2.5 备份、审计和应急管理备份、审计和应急管理n 软硬件的备份管理软硬件的备份管理 n 网络交易日志审计据存储和管理制度网络交易日志审计据存储和管理制度 n 应急预案与应急措施应急预案与应急措施 11.2 电子商务的安全管理制度电子商务的安全管理制度n 11.2.411.2.4 备份、审计和应急管理备份、审计和应急管理n 软硬件的备份管理软硬件的备份管理 n 网络交易日志审计据存储和管理制度网络交易日志审计据存储和管理制度 n 应急预案与应急措施应急预案与应急措施 1.如何减少人为因素对电子商务安全的干扰？如何减少人为因素对电子商务安全的干扰？2.结合具体单位，制定本单位的机房安全管理细则。结合具体单位，制定本单位的机房安全管理细则。3.电子商务中的灾难事件是指什么？电子商务中的灾难事件是指什么？11.3.111.3.1 电子商务安全协议概述电子商务安全协议概述表表11-1 11-1 常用安全协议概要常用安全协议概要 协议名称协议名称 层次层次 协协 议议 概概 要要 S-HTTP 应用层 EIT公司开发的基于HTTP协议的安全协议，仅适用于HTTP连接，可提供通信保密、身份识别、可信赖的信息传输服务及数字签名等功能。S/MIME应用层 应用层邮件传输协议MIME上实现的邮件传输安全协议，可以实现邮件加密和数字署名。常见的Outlook Express和Netscape Messenger等通信软件都实装此协议。SET 应用层 Visa 和Master信用卡组织共同开发的在网上利用信用卡进行安全支付的协议。3-D SECURE 应用层 Visa 信用卡组织为克服SET协议复杂难用的缺点推出的支付用新的安全协议。比SET的安全性稍弱，但是大大提高了易用性。SSL/TLS 传输层 SSL是Netscape公司开发的用于对互联网上数据进行加密传输的一个协议。IETF在SSL 3.0的基础上进行了标准化，被称为TLS协议。IPsec 网络层 IETF制定的一组基于IP网络的安全通讯协议，包括数据格式协议、密钥交换和加密算法等。PPTP 链路层 由微软公司开发的安全协议，除了是建立在数据链路层上之外，功能和IPsec基本相同，这使得它在一些不能使用IPsec的网络里也可以用该协议来建立VPN。11.3 电子商务安全协议和证书电子商务安全协议和证书n 11.3.2 11.3.2 基于网络层的安全协议基于网络层的安全协议-IPSec-IPSec IPsecIPsec是一系列协议的总称，下面介绍其中核心的三个协议：是一系列协议的总称，下面介绍其中核心的三个协议：n IKEIKE（Internet Key ExchangeInternet Key Exchange）协议）协议 n ESPESP（Encapsulating Security PayloadEncapsulating Security Payload）协议）协议 n AHAH（Authentication HeaderAuthentication Header）协议）协议11.3 电子商务安全协议和证书电子商务安全协议和证书 IPsec协议是由国际标准化组织协议是由国际标准化组织IETF制定的加密通信制定的加密通信协议，协议，IPsec的特征是不仅仅针对某种应用程序提供加密功的特征是不仅仅针对某种应用程序提供加密功能，而且是提供把主机间的所有通信都加密的一种通信方能，而且是提供把主机间的所有通信都加密的一种通信方式。式。IPsec并没有指定特定的加密算法，因为随着计算机计并没有指定特定的加密算法，因为随着计算机计算能力的增强，原来安全的加密算法将变得不再安全，可算能力的增强，原来安全的加密算法将变得不再安全，可以灵活变更加密算法的设计使得以灵活变更加密算法的设计使得IPsec能够有更长久的生命能够有更长久的生命力。力。1.1.密码交换协议密码交换协议-IKE-IKE IKE加密通信由两个阶段构成，第一阶段在决定第二阶段的加密算法的同时，生成密钥。这时利用Diffie-Hellman密钥交换方式，通信双方互送一个随机数，并根据这个随机数生成一个双方共用的密钥，而网络窃密者即使得到了同样的随机数，也不能在短时间内生成这个密钥。在生成了这个密钥后，就进入第二阶段，变成IKE密码通信。在这个阶段双方交涉完成加密算法确定，密钥交换工作，为以后的数据通信做好准备。在这个阶段，SPI（Security Pointer Index）也被确定下来，SPI是一个32位的整数，包含有通信中使用的加密算法和密钥信息，在以后的数据通信中SPI被插入到每个通信的数据包中。11.3 电子商务安全协议和证书电子商务安全协议和证书 2.2.数据传送协议数据传送协议-ESP-ESP 图11-2 数据传送协议ESP构造示意图图11-2 数据传送协议ESP构造示意图11.3 电子商务安全协议和证书电子商务安全协议和证书 3.3.安全性和认证协议安全性和认证协议-AH-AH AH协议为IP通信提供数据源认证、数据完整性和反重播确保，它能保护通信免受篡改，但不能防止窃听，适合用于传输非机密数据，它可以在一些不允许使用加密通信的场合保证最低限度的安全性和认证能力。AH的工作原理是在每一个数据包上添加一个身份验证报头。此报头包含一个带密钥的MAC数据，和上一节讲述的一样，这个MAC数据根据整个数据包来计算，对数据的任何更改将导致MAC数据无效，这样就提供了完整性保护。11.3 电子商务安全协议和证书电子商务安全协议和证书n 11.3.3 11.3.3 基于传输层的安全协议基于传输层的安全协议-SSL-SSL 1.1.SSLSSL安全协议的原理和构造安全协议的原理和构造2.2.SSL(Secure Socket Layer)SSL(Secure Socket Layer)协议是加密、认证以及完协议是加密、认证以及完整性保证的协议。该协议位于整性保证的协议。该协议位于OSIOSI模型的第五层会话层和第四模型的第五层会话层和第四层传输层之间，从应用层来看是完全透明的，可以方便地应层传输层之间，从应用层来看是完全透明的，可以方便地应用于用于HTTPHTTP、FTPFTP、TELNETTELNET等协议之下。等协议之下。11.3 电子商务安全协议和证书电子商务安全协议和证书11.3 电子商务安全协议和证书电子商务安全协议和证书11.3 电子商务安全协议和证书电子商务安全协议和证书11.3.4 11.3.4 基于应用层的安全协议基于应用层的安全协议-SET-SET和和3-D SECURE3-D SECURE1.1.SETSET协议协议 n SETSET协议协议是用于网上信用卡支付的协议，由美国是用于网上信用卡支付的协议，由美国VisaVisa组织组织和和MasterMaster组织共同开发，微软、网景、组织共同开发，微软、网景、IBMIBM等公司联合进行了等公司联合进行了标准化的一个协议。它的加密算法采用标准化的一个协议。它的加密算法采用DESDES或或RSARSA，数字签名，数字签名采用采用RSARSA方式方式。为了能够进行安全的交易，该协议规定会员（。为了能够进行安全的交易，该协议规定会员（消费者），加盟店（网上商店），支付金融机关（信用卡公消费者），加盟店（网上商店），支付金融机关（信用卡公司、银行等）这三者都必须取得司、银行等）这三者都必须取得证书证书，并为他们制定了严格，并为他们制定了严格的的交易流程交易流程。n 利用利用SETSET协议前，首先要在客户端安装的协议前，首先要在客户端安装的电子钱包软件电子钱包软件，另外还要按照规定手续，取得数字证书。取得证书后就可以另外还要按照规定手续，取得数字证书。取得证书后就可以进行交易。进行交易。11.3 电子商务安全协议和证书电子商务安全协议和证书11.3 电子商务安全协议和证书电子商务安全协议和证书11.3.4 11.3.4 基于应用层的安全协议基于应用层的安全协议-SET-SET和和3-D SECURE3-D SECURE2.3-D SECURE 2.3-D SECURE 协议协议 Visa Visa组织于组织于20012001年年5 5月推出了新一代的互联网的结算用协议月推出了新一代的互联网的结算用协议3-D SECURE3-D SECURE（3-Domain Secure3-Domain Secure）。国际上的另外两大信用卡）。国际上的另外两大信用卡组织组织MasterMaster和和JCBJCB也宣布支持这个协议。和也宣布支持这个协议。和SETSET相比，消费者相比，消费者不用事先安装证书或其他软件，加盟店也能够以较低廉的费不用事先安装证书或其他软件，加盟店也能够以较低廉的费用导入该系统，因此近年来得到了一定程度的普及。用导入该系统，因此近年来得到了一定程度的普及。3-D Secure 3-D Secure是把是把SSLSSL交易分为交易分为发卡行域发卡行域、收单行域收单行域以及它们以及它们之间的之间的互操作域互操作域三个领域、每次进行信用卡交易都由发卡行三个领域、每次进行信用卡交易都由发卡行域和收单行域独立进行消费者和加盟店的认证，认证通过后域和收单行域独立进行消费者和加盟店的认证，认证通过后，再进行正常的信用卡授信过程。，再进行正常的信用卡授信过程。11.3 电子商务安全协议和证书电子商务安全协议和证书11.3 电子商务安全协议和证书电子商务安全协议和证书11.3.5 11.3.5 数字证书的原理和概念数字证书的原理和概念 数字证书数字证书就是由具有公信力的认证机构（就是由具有公信力的认证机构（CACA）发行的用）发行的用来证明其中包含的来证明其中包含的公开键公开键的真实有效性的一组数据。这组数的真实有效性的一组数据。这组数据中包含有据中包含有公开键公开键、加密算法信息加密算法信息、所有者的数据所有者的数据、证明机证明机关的数字签名关的数字签名和和证明书证明书的有效期间等信息。的有效期间等信息。n 国内首批获得信息产业部颁发的国内首批获得信息产业部颁发的电子认证服务许可证书电子认证服务许可证书，成为取得国家电子认证服务资格的，成为取得国家电子认证服务资格的8 8家机构有山东省数字证家机构有山东省数字证书认证中心、银联金融认证中心、北京天威诚信电子商务服书认证中心、银联金融认证中心、北京天威诚信电子商务服务和上海市数字证书认证中心等务和上海市数字证书认证中心等 。11.3 电子商务安全协议和证书电子商务安全协议和证书nX509X509证书证书是最为广泛使用的证书，是是最为广泛使用的证书，是ISOISO组织制定的标准规格。内容组织制定的标准规格。内容包括证书序列号、证书持有者名称、证书颁发者名称、证书有效期包括证书序列号、证书持有者名称、证书颁发者名称、证书有效期、公钥、证书颁发者的数字签名等。这里就以、公钥、证书颁发者的数字签名等。这里就以X509X509证书为例来说明证书为例来说明数字证书的构造，证书的每一项内容解释如下：数字证书的构造，证书的每一项内容解释如下：nVersionVersion：版本，该项是可选项，默认是：版本，该项是可选项，默认是v1v1。nSerial NumberSerial Number：认证机构发行的唯一的序列号，有了这个序列号，：认证机构发行的唯一的序列号，有了这个序列号，即使给同一个被认证者发行过多次证书，也可以予以区别。即使给同一个被认证者发行过多次证书，也可以予以区别。nSignature AlgorithmSignature Algorithm：数字署名用的算法。：数字署名用的算法。nIssuerIssuer：证书发行者的别名。：证书发行者的别名。nValidityValidity：证书的有效日期（开始日，结束日）。：证书的有效日期（开始日，结束日）。nSubjectSubject：证明对象的识别名。：证明对象的识别名。nSubject Public Key InfoSubject Public Key Info：公开键信息（算法，键值）。：公开键信息（算法，键值）。nX509v3 extensionsX509v3 extensions：可选项，版本：可选项，版本3 3的扩展内容的扩展内容nSignatureSignature：数字签名部分：数字签名部分11.3 电子商务安全协议和证书电子商务安全协议和证书 1.总结总结Ipsec协议的功能和特点。协议的功能和特点。2.试分析试分析SSL协议的原理和构造？协议的原理和构造？3.尝试在现有的系统上加载客户证书的实验。尝试在现有的系统上加载客户证书的实验。11.3 电子商务安全协议和证书电子商务安全协议和证书 n 11.4.1 11.4.1 电子支付的概念电子支付的概念 所谓所谓电子支付电子支付，是指从事电子商务交易的当事人，包括消，是指从事电子商务交易的当事人，包括消费者、商家和金融机构等，通过计算机信息网络，使用安费者、商家和金融机构等，通过计算机信息网络，使用安全的信息传输手段，采用全的信息传输手段，采用数字化方式数字化方式进行的进行的货币支付货币支付或资或资金流转。与传统的支付方式相比，电子支付具有方便、快金流转。与传统的支付方式相比，电子支付具有方便、快捷、高效、捷、高效、经济经济的优势。只要能够的优势。只要能够连接到互联网连接到互联网，用户可，用户可以利用电脑、手机等通信终端设备，足不出户，在短时间以利用电脑、手机等通信终端设备，足不出户，在短时间内完成整个内完成整个支付过程支付过程。而支付的费用和所需的时间却要比。而支付的费用和所需的时间却要比传统支付要低得多。传统支付要低得多。11.4 电子商务安全解决方案电子商务安全解决方案n 11.4.2 11.4.2 第三方支付概述及解决方案第三方支付概述及解决方案 第三方支付第三方支付，是指一些，是指一些独立独立于电子商务中于电子商务中买方和卖方买方和卖方的的第三方机构设立的为买方和卖方顺利实现交易提供支付第三方机构设立的为买方和卖方顺利实现交易提供支付中介服务的支付方式。第三方机构往往是中介服务的支付方式。第三方机构往往是信誉良好信誉良好的大的大企业或者企业或者银行银行等。在买方和卖方看来，通过第三方独立等。在买方和卖方看来，通过第三方独立机构提供的机构提供的交易支持平台交易支持平台，交易更，交易更方便快捷方便快捷，更有安全，更有安全保障。在交易中，买方选购商品后，使用第三方平台进保障。在交易中，买方选购商品后，使用第三方平台进行行货款支付货款支付，这时货款并没有实际支付给卖方，而是由，这时货款并没有实际支付给卖方，而是由第三方予以第三方予以临时保管临时保管；此时第三方通知卖家货款已到达，；此时第三方通知卖家货款已到达，可以进行发货；买方检验物品后，就可以通知第三方付可以进行发货；买方检验物品后，就可以通知第三方付款给卖家，第三方再将款项真正转至款给卖家，第三方再将款项真正转至卖家账户卖家账户。11.4 电子商务安全解决方案电子商务安全解决方案11.4 电子商务安全解决方案电子商务安全解决方案n 11.4.3 11.4.3 移动支付概述及解决方案移动支付概述及解决方案 移动支付移动支付（又称手机支付）是指用户使用（又称手机支付）是指用户使用移动手持移动手持设备，设备，通过通过无线网络无线网络（包括移动通信网络和广域网）购买实体（包括移动通信网络和广域网）购买实体或虚拟物品以及各种服务的一种新型支付方式。随着手或虚拟物品以及各种服务的一种新型支付方式。随着手机的普及和网上购物等机的普及和网上购物等小额支付小额支付的巨大市场需求，的巨大市场需求，移动移动支付支付的产业化初露端倪，移动支付正逐渐被越来越多的的产业化初露端倪，移动支付正逐渐被越来越多的人接受。移动支付的方式大体上可以分为两大类，一类人接受。移动支付的方式大体上可以分为两大类，一类是是利用手机利用手机的移动通信功能的的移动通信功能的远程支付远程支付方式，另一类是方式，另一类是在手机中利用在手机中利用NFC、RFID等技术实现的非接触式支付方等技术实现的非接触式支付方式。式。11.4 电子商务安全解决方案电子商务安全解决方案n 11.2.511.2.5 备份、审计和应急管理备份、审计和应急管理n 软硬件的备份管理软硬件的备份管理 n 网络交易日志审计据存储和管理制度网络交易日志审计据存储和管理制度 n 应急预案与应急措施应急预案与应急措施 11.4 电子商务安全解决方案电子商务安全解决方案11.4.4 11.4.4 电子商务安全技术发展趋势电子商务安全技术发展趋势n 1.1.生物认证技术生物认证技术n 2.2.量子加密技术量子加密技术n 3.IPV63.IPV6技术技术 1.讨论关于电子支付的现在和未来。讨论关于电子支付的现在和未来。2.试分析日本的钱包手机在中国实施的可行性。试分析日本的钱包手机在中国实施的可行性。3.讨论哪一种生物认证技术最有可能在未来五十年占讨论哪一种生物认证技术最有可能在未来五十年占有市场有市场。11.5 数字证书的获取与管理实验数字证书的获取与管理实验 在上一节了解了数字证书的原理的基础上，本节来学习如何获在上一节了解了数字证书的原理的基础上，本节来学习如何获取证书和对证书的管理。为了更好地理解取证书和对证书的管理。为了更好地理解证书证书的生成过程，将自己的生成过程，将自己动手建立动手建立一个一个CACA认证中心，通过这个认证中心，通过这个CACA来发放证书。来发放证书。n 1 11 1.5 5.1.1 实验目的实验目的 进行如何获取证书和对证书的管理实验进行如何获取证书和对证书的管理实验 ，主要具有，主要具有3 3个个目的目的：1)学习利用开源软件建立学习利用开源软件建立自我认证中心自我认证中心，发行客户端，发行客户端，2)服务器端证书服务器端证书的过程。的过程。(2)学习学习Win32OpenSSL-0.98k，ActivePerl-5.10.1等等 开源软件开源软件的安装和使用。的安装和使用。(3)学习电子商务网站中使用证书认证时的学习电子商务网站中使用证书认证时的配置方式配置方式。11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 1 11 1.5 5.2.2 实验要求及方法实验要求及方法n 1.1.实验设备实验设备n 本试验使用一台安装有本试验使用一台安装有Windows XPWindows XP操作系统的计算机，在网上下载操作系统的计算机，在网上下载并事先安装下列软件，并事先安装下列软件，WEBWEB服务器服务器tomcat6.0.20tomcat6.0.20，JDK6,JDK6,发行证书用发行证书用的的Win32OpenSSL-0.98kWin32OpenSSL-0.98k，另外为了在，另外为了在win32win32下运行下运行PerlPerl脚本，还需要脚本，还需要安装安装ActivePerl-5.10.1ActivePerl-5.10.1。n 2.2.注意事项注意事项n(1)(1)预习准备预习准备n 提前对这些软件的功能和使用方式做一些了解，以利于对于试验内提前对这些软件的功能和使用方式做一些了解，以利于对于试验内容的更好理解。容的更好理解。n(2)(2)注意注意弄懂实验原理弄懂实验原理、理解各步骤的含义、理解各步骤的含义n 对于操作的每一步要着重理解其原理，对于证书制作过程中的各种对于操作的每一步要着重理解其原理，对于证书制作过程中的各种中间文件、最终生成的证书、证书导入操作等要充分理解其作用和中间文件、最终生成的证书、证书导入操作等要充分理解其作用和含义。含义。n 实验用时实验用时：3 3学时（学时（120-150120-150分钟）分钟）11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 1 11 1.5 5.3 3 实验内容及步骤实验内容及步骤n 证书的发行管理及使用需要如下几个步骤证书的发行管理及使用需要如下几个步骤n(1)(1)建立建立CACA；n(2)(2)发行服务器端证书；发行服务器端证书；n(3)(3)发行客户端证书；发行客户端证书；n(4)(4)修改修改TomcatTomcat设置；设置；n(5)(5)向浏览器导入证书；向浏览器导入证书；n(6)(6)使用证书访问网站。使用证书访问网站。n 下面将分步进行详细说明。下面将分步进行详细说明。n 准备工作准备工作：首先在：首先在C C盘下建立一个盘下建立一个C:/web/sslC:/web/ssl目录，在这个目目录，在这个目录下建录下建ca,server,clientca,server,client三个子目录，分别用来存放三个子目录，分别用来存放CACA信息信息,服务器端证书信息，客户端证书信息。服务器端证书信息，客户端证书信息。11.5 数字证书的获取与管理实验数字证书的获取与管理实验n(1)(1)建立建立CACA；首先把首先把OpenSSLOpenSSL的的binbin目录中的目录中的CA.plCA.pl、openssl.cfgopenssl.cfg文件拷文件拷贝到贝到C:/web/ssl/caC:/web/ssl/ca下，并把下，并把openssl.cfgopenssl.cfg文件中文件中 CA_default CA_default 下的下的dirdir变量作如下修改：变量作如下修改：dir=c:/web/ssl/cadir=c:/web/ssl/ca 修改完成后，运行下面的修改完成后，运行下面的PerlPerl脚本：脚本：n CA.pl-newcaCA.pl-newca 按照提示依次输入国名、省市名称、公司部门名称等信息，如按照提示依次输入国名、省市名称、公司部门名称等信息，如图图11-1011-10所示。所示。图图11-10 CA 11-10 CA 注册信息注册信息11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 上述命令执行完后会在上述命令执行完后会在C:/web/ssl/caC:/web/ssl/ca下生成一系列文件和目下生成一系列文件和目录，其中录，其中cacert.pemcacert.pem是是CACA的证书，的证书，privateprivate下的文件是下的文件是CACA的私的私钥。钥。n 把把CACA的证书转换成的证书转换成TomcatTomcat能够识别的二进制格式的证书能够识别的二进制格式的证书n openssl x509-in cacert.pem-outform DER-out openssl x509-in cacert.pem-outform DER-out cacert.dercacert.der(2)(2)发行服务器端证书发行服务器端证书n 建立建立TomcatTomcat用密钥仓库用密钥仓库(keystore)(keystore)，使用，使用RSARSA算法，密钥仓库算法，密钥仓库放在放在c:websslkeystorec:websslkeystore中，执行下述命令：中，执行下述命令：n%JAVA_HOME%binkeytool-genkey-alias server-keyalg%JAVA_HOME%binkeytool-genkey-alias server-keyalg RSA-keystore c:websslkeystore.RSA-keystore c:websslkeystore.如图如图11-1111-11所示。所示。11.5 数字证书的获取与管理实验数字证书的获取与管理实验图图11-11 11-11 发行服务器端证书发行服务器端证书11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 建立证书发行申请，文件名为建立证书发行申请，文件名为serverreq.csrserverreq.csrn%JAVA_HOME%binkeytool-certreq-keyalg RSA-alias%JAVA_HOME%binkeytool-certreq-keyalg RSA-alias server-file serverreq.csr-keystore server-file serverreq.csr-keystore c:websslkeystorec:websslkeystoren 利用上面生成的申请来发行证书，证书文件名为利用上面生成的申请来发行证书，证书文件名为server.pemserver.pem，随后把证书转换成二进制格式的随后把证书转换成二进制格式的server.derserver.der，这里使用的，这里使用的openssl_server.cfgopenssl_server.cfg是配置文件，把是配置文件，把CACA使用的使用的openssl.cfgopenssl.cfg拷拷贝到贝到c:websslserverc:websslserver下，命名为下，命名为openssl_client.cfgopenssl_client.cfg，去，去掉掉nsCertType=servernsCertType=server行的注释，然后执行下面两个命令。行的注释，然后执行下面两个命令。n openssl ca-config openssl_server.cfg-in openssl ca-config openssl_server.cfg-in serverreq.csr-out server.pemserverreq.csr-out server.pemn openssl x509-in server.pem-outform DER-out openssl x509-in server.pem-outform DER-out server.derserver.der 11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 下一步是把上面生成的服务器端证书导入下一步是把上面生成的服务器端证书导入TomcatTomcat密钥仓库，首先是密钥仓库，首先是CACA证书，然后是服务器证书。证书，然后是服务器证书。n%JAVA_HOME%binkeytool-import-alias root-file%JAVA_HOME%binkeytool-import-alias root-file./ca/cacert.der-keystore c:websslkeystore./ca/cacert.der-keystore c:websslkeystoren 显示类似下面的画面后，询问是否信任这个认证，回答显示类似下面的画面后，询问是否信任这个认证，回答“y”y”后，后，CACA的根证书被正确加入到密钥仓库中。如图的根证书被正确加入到密钥仓库中。如图11-1211-12所示。所示。图图11-12 11-12 证书加载证书加载 11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 用如下命令导入服务器证书。用如下命令导入服务器证书。n%JAVA_HOME%binkeytool-import-alias server-file%JAVA_HOME%binkeytool-import-alias server-file server.der-keystore c:websslkeystore server.der-keystore c:websslkeystore n (如图如图11-1311-13所示所示)图图11-13 11-13 导入服务器证书导入服务器证书 11.5 数字证书的获取与管理实验数字证书的获取与管理实验(3)(3)发行客户端证书发行客户端证书n 首先把首先把openssl.cfgopenssl.cfg拷贝到拷贝到c:websslclientc:websslclient下，命名为下，命名为openssl_client.cfgopenssl_client.cfg，然后去掉，然后去掉nsCertType=client,emailnsCertType=client,email行的注释。行的注释。n 生成客户端用密钥，文件名为生成客户端用密钥，文件名为client.keyclient.key：n Openssl genrsa-des3-out client.key 1024Openssl genrsa-des3-out client.key 1024，如图，如图11-1411-14所所示。示。图图11-14 11-14 发行客户端证书发行客户端证书 11.5 数字证书的获取与管理实验数字证书的获取与管理实验n 生成客户端证书要求，文件名为生成客户端证书要求，文件名为clientreq.pemclientreq.pem：n openssl req-new-days 365-key client.key-out openssl req-new-days 365-key client.key-out clientreq.pemclientreq.pemn 同上回答完类似图同上回答完类似图11-911-9的国别、城市等注册信息后，生成客户的国别、城市等注册信息后，生成客户端证书请求，然后利用该请求生成证书，文件名为端证书请求，然后利用该请求生成证书，文件名为client.pemclient.pem：n openssl ca-config openssl_client.cfg-in openssl ca-config openssl_client.cfg-in clientreq.pem-out client.pemclientreq.pem-out client.pemn 客户端证书转换成浏览器可用的客户端证书转换成浏览器可用的PKCS12PKCS12格式，文件名为格式，文件名为client.p12client.p12n openssl pkcs12-export-in client.pem-inkey openssl pkcs12-export-in client.pem-inkey client.key-certfile./ca/cacert.pem-out client.p12client.key-certfile./ca/cacert.pem-out client.p12 11.5 数字证书的获取与管理实验数字证书的获取与管理实验(4)(4)修改修改TomcatTomcat设置设置n TomcatTomcat配置文件配置文件server.xmlserver.xml中关于中关于sslssl的配置设置成下文所示的配置设置成下文所示的格式：的格式：Connector port=443 protocol=HTTP/1.1 SSLEnabled=truetruststorePass=passwd/n 其中其中clientAuth=trueclientAuth=true是指定必须要求客户端证书，是指定必须要求客户端证书，keystoreFilekeystoreFile指定密钥仓库的文件名，指定密钥仓库的文件名，keystorePasskeystorePass是密钥仓是密钥仓库的密码，库的密码，truststoreFiletruststoreFile是指定可信赖的密钥仓库的文件名是指定可信赖的密钥仓库的文件名，这里和，这里和tomcattomcat密钥仓库共用一个文件。密钥仓库共用一个文件。truststorePasstruststorePass是可是可信赖的密钥仓库的密码。信赖的密钥仓库的密码。11.5 数字证书的获取与管理实验数字证书的获取与管理实验(5)(5)向浏览器中导入证书向浏览器中导入证书 选择浏览器的工具选择浏览器的工具选项选项内容内容证书证书受信任的根证书颁发受信任的根证书颁发机构机构导入功能导入上面生成的导入功能导入上面生成的CACA的证书的证书cacert.dercacert.der，这样这个，这样这个CACA发行的所有证书就都被认为是安全的。导入后显示如图发行的所有证书就都被认为是安全的。导入后显示如图11-1511-15所示：所示：图图11-15 11-15 受信任的根证书受信任的根证书 11.5 数字证书的获取与管理实验数字证书的获取与管理实验(5)(5)向浏览器中导入证书向浏览器中导入证书 选择选择IEIE的工具的工具选项选项内容内容证书证书个人个人导入功能导入客户导入功能导入客户端端client.p12client.p12证书。如图证书。如图11-1611-16所示。所示。图
展开阅读全文