第4章-电子商务安全技术-课件

第4章电子商务安全技术4.1电子商务所面临的安全问题4.2Internet上的电子商务安全4.3电子商务所涉及的安全技术4.4公钥基础设施返回职教中心陈晓松7/12/20244.1 电子商务所面临的安全问题计算机网络所面临的安全性威胁主要给电子商务带来了如下的安全问题：1.信息泄露在电子商务中表现为商业机密的泄露，主要包括两个方面：（1）交易双方进行交易的内容被第三方窃取。（2）交易一方提供给另一方使用的文件被第三方非法使用。2.篡改在电子商务中表现为商业信息的真实性和完整性的问题。电子交易的信息在网络上传输过程中，可能被他人非法的修改、删除或重放（指只能使用一次的信息被多次使用），这样就使信息失去了真实性和完整性。返回职教中心陈晓松7/12/20244.1 电子商务所面临的安全问题3.身份识别这涉及到电子商务中的两个问题。（1）如果不进行身份识别，第三方就有可能假冒交易一方的身份，以破坏交易、败坏被假冒一方的信誉或盗取被假冒一方的交易成果等。进行身份识别后，交易双方就可防止“相互猜疑”的情况。（2）“不可抵赖”性。交易双方对自己的行为应负有一定的责任，信息发送者和接收者都不能对此予以否认。进行身份识别后，如果出现抵赖的情况，就有了反驳的依据。返回职教中心陈晓松7/12/20244.1 电子商务所面临的安全问题4.信息破坏这也涉及到两方面内容。（1）网络传输的可靠性。网络的硬件或软件可能会出现问题而导致交易信息传递的丢失与谬误。（2）恶意破坏。计算机网络本身容易遭到一些恶意程序的破坏，而使电子商务信息遭到破坏。返回职教中心陈晓松7/12/20244.2 Internet上的电子商务安全1.Intemet的安全隐患Internet所涉及的安全问题并没有超出普通的网络安全问题，只是因为它遍及全球的特殊性使其安全问题更为突出而已。A开放性B传输协议（没有保护措施）C操作系统（漏洞）D信息电子化（难以鉴别确认）返回职教中心陈晓松7/12/20242.在Internet上进行电子商务存在的问题上面谈到了Internet潜在的安全隐患，因此，要想在Internet上安全地进行电子商务活动，就需要在Internet上增加一些安全措施，以弥补Internet本身安全性的欠缺，如信息加密、防火墙、数字签名、身份认证等技术。职教中心陈晓松7/12/20244.2.1在Internet上进行电子商务存在的问题u（1）信息的保密性u信息的保密性是指信息在传输或存储过程中不被他人窃取。u（2）交易身份的真实性和个人隐私u交易者身份的真实性是指交易双方确实是存在的,不是假冒的。u（3）信息的完整性和有效性u 由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。u电子商务以电子形式取代了纸张,那么如何保证这种电子形式贸易信息的有效性则是开展电子商务的前提。u（4）系统的可靠性u 保证计算机系统的安全是保证电子商务系统数据传输、数据存储及电子商务完整性检查的正确和可靠的根基。u（5）信息的不可抵赖性u 电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题,则是保证电子商务顺利进行的关键。职教中心陈晓松7/12/20244.3 电子商务所涉及的安全技术4.3.1虚拟专用网虚拟专用网是用于Internet电子交易的一种专用网络，它可以在两个系统之间建立安全的信道，非常适合电子数据交换。在虚拟专用网中交易双方相互比较熟悉，而且彼此之间的数据通信量很大。只要交易双方取得一致，在虚拟专用网中就可以使用比较复杂的专用加密和认证技术，这样就可以大大提高电子商务的安全。虚拟专用网是进行电子商务比较理想的一种形式。返回职教中心陈晓松7/12/2024uVPN是使分布在不同地方的专用网络在不可信任的公共网络上实现安全通信的网络技术。u使用加密、信息和身份认证、访问控制等技术。uVPN产品种类：带VPN功能的路由器、软件VPN系统、专用硬件VPN设备等u内部网虚拟专用网、远程访问虚拟专用网、外部网虚拟专用网职教中心陈晓松7/12/2024VPN技术结构技术结构职教中心陈晓松7/12/20244.3.2 加密技术1.基本概念加密技术是实现信息保密性的一种重要的手段，目的是为了防止合法接收者之外的人获取信息系统中的机密信息。所谓信息加密技术，就是采用数学方法对原始信息（通常称为“明文”）进行再组织，使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字（加密后的信息通常称为“密文”）。而对于合法的接收者，因为其掌握正确的密钥，可以通过解密过程得到原始数据（即“明文”）。由此可见，在加密和解密的过程中，都要涉及信息、算法和密钥这三项内容。返回职教中心陈晓松7/12/2024二，加密算法二，加密算法常见的加密体制的技术实现方法（加密算常见的加密体制的技术实现方法（加密算法）：法）：u1 1常规密钥密码体制常规密钥密码体制 u2 2数据加密标准数据加密标准DES DES u3 3公开密钥密码体制公开密钥密码体制 12职教中心陈晓松7/12/2024加密算法加密算法数据加密标准数据加密标准DES 常规密钥密码体制常规密钥密码体制公开密钥密码体制公开密钥密码体制 替换加密替换加密转换加密转换加密单字母加密法单字母加密法 多字母加密法多字母加密法Caesar(恺撒恺撒)密码密码将字母倒排序将字母倒排序单表置换密码单表置换密码Vigenere密码密码转换加密转换加密职教中心陈晓松7/12/2024返回14常规密钥密码体制常规密钥密码体制 加密方法有加密方法有：替换加密替换加密转换加密替换加密法替换加密法：1.1.单字母加密法单字母加密法 2 2.多字母加密法Caesar(Caesar(恺撒恺撒)密码密码将字母倒排序单表置换密码单表置换密码Vigenere密码转换加密职教中心陈晓松7/12/2024例：明文为“important”，Key=3，则密文为“LPSRUWDQW”。15职教中心陈晓松7/12/2024例：Caesar（恺撒）密码练习明文：how are you,key=要求：，编制密码表，加密得出密文，如密文为:kwnjsixmnu，根据密码表译出明文16返回职教中心陈晓松7/12/2024Caesar（恺撒）密码练习（例）答案明文字母 a b c d e密文字母 f g h i jf gh i j klmk lm n o pqr明文字母 n o p q r密文字母 s t u v w17返回st u v w xyzxy Z a b cde密文为：mtb fwj dtz表2，例密码表,key=5明文为：friendship ，明文：how are you，密文为:kwnjsixmnu职教中心陈晓松7/12/202418返回例：如果明文m为“important”，则密文C则 为 “HDLKOQBFQ”。职教中心陈晓松7/12/2024例4,单表置换法练习明文：how are you,key=teacher要求：1，编制密码表2，加密得出密文3，如密文为:rpfhlcqdfn，根据密码表 译出明文 返回19职教中心陈晓松7/12/202420返回明文字母 a b c d e密文字母 t e a c hfg h ijklmrb d fg ijk明文字母 n o p q r密文字母 l m n o pstu v w xyzqs u v w xyz单表置换法密码练习（例4）答案1,表4，例4密码表 key=teacher密文为：dmw tph ymu明文为：friendship 2,明文：how are you3,密文为:rpfhlcqdfn职教中心陈晓松7/12/2024补充练习例5，根据例4的密码表1，明文为“蚌埠职教中心”，转换为汉语拼音，再转换为密文。2,密文为“Zdmlbdut phlkfl bmlbdhbum”，译出明文，并转换为汉字。21返回例6，单表置换法，keycommerce,明文为“I can play”。要求：编制密码表，加密明文。职教中心陈晓松7/12/20244.3.2 加密技术2.密码体制分类按加密密钥和解密密钥是否相同，可将现有的加密体制分为两种：单钥加密体制和双钥加密体制。使用单钥加密体制的加密技术称为对称密钥加密，使用双钥加密体制的加密技术称为非对称密钥加密。返回职教中心陈晓松7/12/2024（）对称密钥加密法(私有密钥加密)u对称密钥体制是指在对信息的加密和解密过程中使用相同的密钥。也就是说,一把钥匙开一把锁。专用密钥就是将加密密钥和解密密钥作为一把密钥,采用了对称密码编码技术。u对称密钥加密法优点：运算速度快职教中心陈晓松7/12/2024HowAre youxxxxxxx原原 信信 息息甲甲密文密文发送端发送端甲甲HowAre youxxxxxxx原原 信信 息息乙乙密文密文接接 收收 端端乙乙Internet加密加密解密解密密钥密钥密钥密钥职教中心陈晓松7/12/2024对称密钥加密存在的问题u1密钥使用一段时间后要更换，需通过秘密渠道传递，谨防泄漏u2通讯时，如果内网用户都使用相同的密钥，则失去了保密的意义。如使用不同的密钥，密钥量太大，难于管理。u3无法满足互不相识的人进行私人谈话的保密要求u4无法进行数字签名验证职教中心陈晓松7/12/2024（）非对称密钥加密法（）非对称密钥加密法(公开密钥加密公开密钥加密)u在非对称加密体系中,密钥被分解为一对(即一把公用密钥或加密密钥和一把专用密钥或解密密钥)。这对密钥中的任何一把都可作为公用密钥(加密密钥)通过非保密方式向他人公开,而另一把则作为私人密钥(解密密钥)加以保存。公用密钥体制的关键在于人们不能从公用密钥来推导得出私人密钥,也不能从私人密钥推导得出公用密钥。职教中心陈晓松7/12/2024HowAre youxxxx原信息原信息密文密文发发 送送 端端.甲甲HowAre youxxxx原信息原信息密文密文接收端乙接收端乙Internet加密加密解密解密接收者接收者公钥公钥接收者接收者私钥私钥职教中心陈晓松7/12/2024非对称密钥加密的优点非对称密钥加密的优点u1密钥分配简单u2密钥保存量少u3可以满足互不相识的人进行私人谈话的保密要求u4可以进行数字签名验证职教中心陈晓松7/12/2024非对称密钥加密的缺点非对称密钥加密的缺点u运算速度慢职教中心陈晓松7/12/20243.报文摘要算法3.报文摘要算法（MessageDigestAlgorithms）报文摘要算法即采用单向Hash算法对需要加密的明文进行摘要。而产生的具有固定长度的单向散列值。其中，散列函数（HashFunctions）是一个将不同长度的报文转换成一个数字串（即报文摘要）的公式，该函数不需要密钥，公式决定了报文摘要的长度。报文摘要算法和非对称密钥加密一起，可以提供数字签名。报文摘要算法主要有安全散列标准（160位散列值）和MD系列标准（128位散列值）。返回职教中心陈晓松7/12/20243.报文摘要（数字指纹）算法u散列编码是用散列算法求出某个消息的散列值的过程（它产生160位的散列值）。散列值相当于消息的指纹，因它对每条消息都是惟一的。如果散列算法设计得好，由两个不同消息计算得出同一散列值（即引起冲突）的概率是很小的。散列函数散列函数Message.AC2345fc职教中心陈晓松7/12/2024u报文摘要算法:u1,报文摘要（数字指纹）具有固定长度u2，不同报文得到的摘要一定不同u3，相同报文得到的摘要也一定相同u4，不可逆运算职教中心陈晓松7/12/2024信息摘要过程:1）对原文甲使用Hash算法得到信息摘要甲；2）将信息摘要甲与原文甲一起发送；3）接收方对接收到的原文乙应用Hash算法产生一个摘要乙；4）用接收方产生的摘要乙与发送方发来的摘要甲进行对比，若两者相同则表明原文在传输过程中没有被修改，否则就说明原文被修改过。职教中心陈晓松7/12/2024 信息摘要过程 职教中心陈晓松7/12/20244.3.2 加密技术4.加密技术存在的问题密码学界流传着这样一句名言：加密技术本身都是很强的。但是它们的实现却往往很差，人们需要的是一个确实贯彻了加密体制的、针对企业环境开发的、标准的加密系统。现在加密的标准很多，固然是有了更多的选择余地，但同时也带来了兼容性的问题。由于缺乏一个安全交易的通用标准。所以不同的商家可能会采用不同的标准。返回职教中心陈晓松7/12/20244.3.3 认证技术信息认证是安全性的很重要的一个方面。信息认证的目的有两个：一是确认信息的发送者的身份，二是验证信息的完整性，即确认信息在传送或存储过程中未被纂改过。认证是为了防止有人对系统进行主动攻击（如纂改）的一种重要技术。与认证有关的技术包括数字签名技术、身份识别技术和信息的完整性校验技术等。返回职教中心陈晓松7/12/2024数字签名 数字签名(digitalsignature)技术是将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要,在电子商务安全保密系统中,数字签名技术有着特别重要的地位,在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中都要用到数字签名技术。数字签名必须保证以下三点：接收者能够核实发送者对报文的签名发送者事后不能抵赖对报文的签名接收者不能伪造对报文的签名职教中心陈晓松7/12/2024数字签名原信息原信息HASH函数函数加密加密发送者发送者私钥私钥加密加密摘摘要要1数数字字签签名名1原原信信息息1原原信信息息2InternetInternet数数字字签签名名2发送者甲发送者甲公钥公钥解密解密HASH函数函数加密加密摘摘要要2摘摘要要3对比对比发发 送送端甲端甲接接 收收端乙端乙职教中心陈晓松7/12/2024数字签名过程1）发送者用自己的私钥对信息摘要加密；2）发送者将加密后的信息摘要与原文一起发送；3）接收者用发送者的公钥对收到的加密摘要进行解密；4）接收者对收到的原文用Hash算法得到接收方的信息摘要；5）将解密后的摘要与接收方摘要进行对比，相同说明信息完整且发送者身份是真实的，否则说明信息被修改或不是该发送者发送。职教中心陈晓松7/12/2024 数字信封数字信封u“数字信封”(也称电子信封)技术。u具体操作方法是：每当发信方需要发送信息时首先生成一个对称密钥，用这个对称密钥加密所需发送的报文；然后用收信方的公开密钥加密这个对称密钥，连同加密了的报文一同传输到收信方。收信方首先使用自己的私有密钥解密被加密的对称密钥，再用该对称密钥解密出真正的报文。职教中心陈晓松7/12/2024数字信封数字信封经加密的对称密钥乙方私人密钥对称密钥解密乙方公开密钥对称密钥对称密钥普通报文普通报文对称密钥加密密文发送方甲接收方乙职教中心陈晓松7/12/2024身份识别技术u()口令方式：u要求：易记、不易猜、不易分析职教中心陈晓松7/12/2024()标记方式移动证书2019年，我国工商银行开始在其网上银行的个人银行业务中尝试采用USBKey认证方式，继工行大力推广USBKey之后，招商银行也从2019年4月开始，隆重推出个人银行专版4.2版，这种被称为“移动证书”的新版本增加了USBKEY作为用户证书的载体，具有更强大的安全性和方便性。此后各大银行都开始推出自己的移动证书。职教中心陈晓松7/12/2024USBKey是一种USB接口的硬件设备，可以称其为“安全电子钥匙”，它内置单片机或智能卡芯片，可以存储用户的私钥或数字证书以及密码算法。利用USBKey内置的密码算法和用户的私钥或数字证书，能实现对用户身份的认证和交易的签名，安全性保障高，不仅私钥签名无须出卡，节省了主机时间，又作到证书和私钥的保密。将证书安装在USBKey中就形成了移动证书。这样就可以将证书随身携带，随插随用。移动证书外形与U盘类似，如图所示。职教中心陈晓松7/12/2024USBKey与U盘虽然形似，但却有本质的区别：USBKey是芯片卡的升级产品，有了USB口，就不需要读卡器了，使用方便；它的芯片具有计算功能，专门用来装载证书、在交易中产生签名，其中存储的证书不可被取出；而U盘是小型存储设备，将证书存在里面，并不能直接产生签名、登录网银。通常所用的认证方式是将证书下载到本地计算机的浏览器中，可将其称为浏览器证书，有了浏览器证书只能在本地计算机使用网络银行，而移动证书是将证书下载到USBKey中所形成的。职教中心陈晓松7/12/2024移动证书是数字证书与USBKey相结合的认证方式，有如下特点：（1）USBKey认证方式可大大减少黑客特洛伊木马的攻击。（2）PKI证书与USBKey相结合可以作到双因子认证。职教中心陈晓松7/12/20243认证技术(CA)由于电子商务是在网络中完成，交易双方互相之间不见面，为了保证每个人及机构（如银行、商家）都能唯一而且被无误地识别，这就需要进行身份认证。认证中心（CA）电子商务认证授权机构也称为电子商务认证中心（CertificateAuthority，CA）。CA就是承担网上安全电子交易的认证服务，它能签发数字证书，并能确认用户身份的服务机构。CA通常是一个服务性机构，主要任务是受理数字证书的申请，签发及管理数字证书。职教中心陈晓松7/12/2024(1)认证中心的职能认证中心具有下列4大职能：（1）证书发放可以有多种方法向申请者发放证书，可以发放给最终用户签名的或加密的证书。（2）证书更新持卡人证书、商户和支付网关证书应定期更新，更新过程与证书发放过程是一样的。（3）证书撤消证书的撤消可以有许多理由，如私钥被泄密，身份信息的更新或终止使用等。（4）证书验证认证证书是通过信任分级体系来验证的，每一种证书与签发它的单位相联系，沿着该信任树直接到一个认可信赖的组织，就可以确定证书的有效性。职教中心陈晓松7/12/2024(2)数字证书（Digital Certificate 或Digital ID）数字证书就是标志网络用户身份信息的一系列数据，用来在网络应用中识别通讯各方的身份，其作用类似于现实生活中的身份证。数字证书是由权威公正的第三方机构，即CA中心签发的，以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性。职教中心陈晓松7/12/2024数字证书包括以下内容：数字证书包括以下内容：1）证书拥有者的姓名；2）证书拥有者的公钥；3）公钥的有限期；4）颁发数字证书的单位；5）颁发数字证书单位的数字签名；6）数字证书的序列号等。职教中心陈晓松7/12/2024一个标准的X.509数字证书内容 证书的版本信息；证书的序列号，每个证书都有一个唯一的证书序列号；证书所使用的签名算法；证书的发行机构名称，命名规则一般采用X.500格式；证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049；证书所有人的名称，命名规则一般采用X.500格式；证书所有人的公开密钥；证书发行者对证书的数字签名。数字证书实例职教中心陈晓松7/12/2024数字证书的有效性只有下列条件为真时，数字证书才有效。证书没有过期密钥没有修改用户有权使用这个密钥 证书必须不在无效证书清单中职教中心陈晓松7/12/2024数据加密解密、身份认证流程图职教中心陈晓松7/12/2024A用户先用Hash算法对发送发信息（即“明文”）进行运算，形成“信息摘要”，并用自己的私人密钥对其加密，从而形成数字签名。A用户再把数字签名及自己的数字证书附在明文后面。A用户随机产生的对称密钥（DES密钥）对明文进行加密，形成密文。为了安全把A用户随机产生的对称密钥送达B用户，A用户用B用户的公开密钥对其进行加密，形成了数字信封。这样A用户最后把密文和数字信封一起发送给B用户。B用户收到A用户的传来的密文与数字信封后，先用自己的私有密钥对数字信封进行解密，从而获得A用户的DES密钥，再用该密钥对密文进行解密，继而得到明文、A用户的数字签名及用户的数字证书。为了确保“明文”的完整性，B用户把明文用Hash算法对明文进行运算，形成“信息摘要”。同时B用户把A用户的数字签名用A用户的公开密钥进行解密，从而形成另一“信息摘要1”。B用户把“信息摘要”与“信息摘要1”进行比较，若一致，说明收到的“明文”没有被修改过。职教中心陈晓松7/12/2024在InternetExplorer浏览器中，可查看数字证书的内容:进入IE窗口，依次选择【工具】|【Internet选项】菜单，打开如图所示的Internet选项窗口。在Internet选项窗口中选择“内容”标签，单击“证书”按钮，进入图中选择一种证书类别，再在证书列表中选择一个证书，单击“查看”标签，即可查看所选证书的内容。职教中心陈晓松7/12/2024（3）数字证书的类型4数字证书的类型（1）个人数字证书（2）单位证书（3）软件数字证书职教中心陈晓松7/12/2024(4)数字证书的申请、颁发1、个人数字证书的申请个人数字证书介绍可以利用个人数字证书来发送签名或加密的电子邮件。个人数字证书分为二个级别第一级数字证书，仅仅提供电子邮件的认证，不对个人的真实姓名等信息认证；第二级个人数字证书提供对个人姓名、身份等信息的认证。个人数字证书的获得当个人数字证书申请后，认证中心对申请者的电子邮件地址、个人身份及信用卡号等信息进行核实，通常在三五天内即可颁发数字证书。职教中心陈晓松7/12/2024数字证书的申请下面以中国数字认证网的免费个人证书为例介绍个人免费证书的申请与应用方法。（1）下载并安装根证书1）从中国数字认证网主页（ca365/）选择“根CA证书”，下载相应的根证书，如图3-41所示。2）在图3-42中选“在文件的当前位置打开”，单击“确定”铵钮。职教中心陈晓松7/12/20243）在图3-43中选择“安装证书”。4）按照向导提示进行，在“根证书存储”对话窗口选择“是（Y）”。根证书成功安装后成为“受信任的根证书颁发机构”。从浏览器的“工具”菜单中选择“Internet选项”，然后选择“内容”标签，鼠标单击“证书”，然后选择“受信任的根证书颁发机构”标签，列表中应该有相应的根证书（如图3-45所示）。职教中心陈晓松7/12/2024（2）申请证书1）如图，在网上填写申请表，选择证书类型（图中选择为“电子邮件保护证书”、密钥长度（图中为1024位），单击“提交”按钮。2）下载并安装证书。证书成功申请后系统会返回您的证书“序列号”（如图3-47），用户在提交真实身份证明材料时，需要提供证书的序列号。单击“选择并安装证书”。职教中心陈晓松7/12/2024安装方法与前述根证书相同，安装完成后，应可在“个人”类型证书中查看到个人证书（如图3-48所示）。（3）将个人身份信息连同证书序列号一并邮寄到中国数字认证网职教中心陈晓松7/12/2024(5)认证体系的结构 认证体系呈树型结构，根据功能的不同，认证中心划分成不同的等级，不同等级的认证中心负责发放不同的证书。职教中心陈晓松7/12/2024CA的树形验证结构在双方通信时，通过CA签发的数字证书证实对方的身份，如果对签发证书的CA本身有怀疑，可以由签发该CA证书的CA机构验证该CA的身份，这样逐级认证，一直到公认的权威CA，形成一种树形验证结构，最权威的CA称为根CA。广东省电子商务认证中心是国家电子商务的试点工程，其前身是中国电信南方电子商务中心，创立于2019年，2019年8月，国家密码管理委员会办公室批准广东省电子商务认证中心使用密码和建立密钥管理中心，成为国内提供网络安全认证服务的重要力量。“网证通”电子商务认证系统树型结构如图3-40所示。职教中心陈晓松7/12/2024职教中心陈晓松7/12/20245 5安全套接层（安全套接层（SSL）协议）协议u一、安全套接层协议一、安全套接层协议（1）安全套接层协议的概念 安全套接层协议（SecureSocketsLayer），是由网景公司设计开发的，主要用于提高应用程序之间的数据安全系数，实现兼容浏览器和服务器（通常是WWW服务器）之间安全通信的协议。SSL在客户机和服务器开始交换一个简短信息时提供一个安全的握手信号。在开始交换的信息中，双方确定将使用的安全级别并交换数字证书。每个计算机都要正确识别对方。SSL支持的客户机和服务器间的所有通讯都加密了。在SSL对所有通讯都加密后，窃听者得到的是无法识别的信息。职教中心陈晓松7/12/2024（2）SSL协议的通信过程1）客户机向服务器打招呼，并将本机可支持的安全模块告诉服务器；2）服务器回应客户机，向客户机发送本机的服务器数字证书、公钥，如果服务器需要双方认证，还要向对方提出认证请求；3）客户机用服务器公钥加密向服务器发送自己的公钥，根据服务器是否需要认证客户身份，发送客户端数字证书；4）双方根据前面联络的情况，确定专门用于本次会话的专用密钥；5）双方使用专用密钥进行会话；6）会话结束时双方交换结束信息。职教中心陈晓松7/12/2024职教中心陈晓松7/12/2024SSL握手协议基本特点:n能对通信双方的身份的认证；n进行协商的双方的秘密通讯是安全的；n协商是可靠的。职教中心陈晓松7/12/2024（2）电子商务网站的Web服务器安装SSL协议步骤1）在服务器的IIS上创建密钥对，由密钥对生成证书申请表文件；2）将申请表文件发到CA申请证书；3）CA确认服务器对应网站的IP地址、域名和所属单位的身份，颁发服务器证书；4）在服务器端安装设置CA颁发的证书。凡是支持SSL协议的网页，都会以“https:/”作为URL的开头。客户在与服务器进行SSL会话时，如果是使用IE浏览器，可以在状态栏中看到一只锁形安全标志“”，用鼠标双击该标志，就会弹出服务器证书信息。职教中心陈晓松7/12/2024 实现SSL协议的是HTTP的安全版，名为HTTPS。图9.2.1 HTTPS协议的使用职教中心陈晓松7/12/2024（3）建立SSL安全连接的过程 如图显示在eCoin上在登陆（Login）用户名时即进入SSL安全连接。中国工商银行icbc/icbc/在eCoin上连接交换敏感信息的页面职教中心陈晓松7/12/2024 这时浏览器发出安全警报，开始建立安全连接，参见图1。同时验证安全证书，参见图2。用户单击“确定”键即进入安全连接。图1浏览器开始建立安全连接2浏览器验证服务器安全证书职教中心陈晓松7/12/2024 该图显示在eCoin上的安全连接已经建立，浏览器右下角状态栏的锁型图案表示用户通过网页传输的用户名和密码都将通过加密方式传送。职教中心陈晓松7/12/2024 当加密方式传送结束后，浏览器会离开交换敏感信息的页面，自动断开安全连接。离开交换敏感信息的页面，浏览器自动断开安全连接职教中心陈晓松7/12/ 为了克服SSL安全协议的缺点，更为了达到交易安全及合乎成本效益之市场要求，VISA和MasterCard联合其他国际组织，共同制定了安全电子交易（Secure Electronic Transaction，SET）协议。在SET中采用了双重签名技术，支付信息和订单信息是分别签署的，这样保证了商家看不到支付信息，而只能看到订单信息。支付指令中包括了交易ID、交易金额、信用卡数据等信息，这些涉及到与银行业务相关的保密数据对支付网关是不保密的，因此支付网关必须由收单银行或其委托的信用卡组织来担当。职教中心陈晓松7/12/2024（2）、SET协议的作用个人账号信息与订单信息的隔离。商家只能看到定货信息,而看不到持卡人的帐户信息。保证信息在网上加密安全传送，保证数据不被他人窃取。对交易者的身份进行确认和担保。持卡人、商家和银行等交易者通过第三方权威机构的身份认证服务。解决了多方认证问题保证了网上交易的实时性，在线支付统一协议和报文的格式。使不同厂家开发的软件能相互兼容职教中心陈晓松7/12/2024参与SET协议的交易对象1）消费者（持卡人）：持信用卡在网上购物的人。2）网上商店：在网上构建的符合SET协议要求的商店。3）发卡银行：发行信用卡给持卡人的银行，网上交易时由发卡银行负责查验持卡人的信用卡信息。4）收单银行：网上商店的开户银行，交易时接收商店传送来的付款数据，向发卡银行请求查验信用卡，请求转账清算。5）支付网关：银行内部网与Internet的连接设备，负责将商店传送的付款信息转送到银行内部网络进行处理。6）认证中心CA：第三方权威机构，提供持卡人、商店、银行、支付网关的身份认证服务。职教中心陈晓松7/12/2024（3）SET协议流程其具体流程为：1持卡人在商家的WEB主页上查看在线商品目录浏览商品。2持卡人选择要购买的商品。3持卡人填写定单，定单通过信息流从商家传过来。4持卡人选择付款方式，签发付款指令。此时SET开始介入。5持卡人发送给商家一个完整的定单及要求付款的指令。在SET中，定单和付款指令由持卡人客户端软件自动进行数字签名。同时利用双重签名技术保证商家看不到持卡人的帐号信息。职教中心陈晓松7/12/2024（3）SET协议流程6网上商店接受加密订单后，只能对订单解密，信用卡信息则传送到收单银行请求支付认可。信用卡信息通过支付网关到收单银行，再到发卡银行确认。批准交易后，返回确认信息给通知网上商店。7网上商店发送订单确认信息给消费者。消费者端软件可记录交易日志，以备将来查询。8网上商店发送货物或提供服务并通知收单银行将款项从消费者的账号转到商店账号，或通知发卡银行请求支付。到此为止，一个购买过程已经结束。u商家从持卡人的金融机构请求支付。在认证操作和支付操作中间一般会有一个时间间隔。u u前三步与SET无关，从第四步开始SET起作用。在处理过程中，通信协议、请求信息的格式、数据类型的定义等，SET都有明确的规定。在操作的每一步，持卡人、商家、网关都通过CA来验证通信主体的身份，以确认对方身份。职教中心陈晓松7/12/20244.3.4 防火墙（Firewall）技术1.基本概念防火墙原是汽车上的一个装置，它用来隔离引擎和乘客，在引擎爆炸时可以保护乘客的安全。在计算机界，防火墙是指一种逻辑装置，用来保护内部的网络不受来自外界的侵害。防火墙就是在内部网与外部网之间构造一个保护层，并强制所有的连接都必须通过此保护层。只有被允许的通信才能通过防火墙，从而起到内部网与外部网的隔离，可以限制外部用户对内部网络的访问和内部用户对外部的访问。它控制所有内部网与外部网之间的数据流量，防止企业内部信息流入Internet；也控制外部有害信息流入Intranet。防火墙还能执行安全策略，记录可疑事件。返回职教中心陈晓松7/12/2024职教中心陈晓松7/12/20242.防火墙的优点防火墙具有以下优点：（1）保护那些易受攻击的服务。（2）控制对特殊站点的访问。（3）集中化的安全管理。（4）对网络访问进行记录和统计。职教中心陈晓松7/12/20244.3.4 防火墙（Firewall）技术3.防火墙的安全控制模型（1）(白名单)凡是没有被列为允许访问的服务都是被禁止的。这是安全性高于一切的策略。需要确定所有可以被提供的服务及其安全特性，在这个策略下，会有很多安全的用户和信息因未被列入允许服务清单而被拒之门外，使网络的应用范围和效率有所降低；（2）(黑名单)凡是没有被列为禁止访问的服务都是被允许的。这种策略只需确定那些不安全的客户和服务，以禁止他们访问。网络的灵活性得到保留，但容易出现漏网之鱼，使安全风险增大，所以网络管理员必须随时发现要禁止访问的服务，并增添到安全策略中去。返回职教中心陈晓松7/12/20244.防火墙的分类到目前为止，虽然已经出现了多种类型的防火墙，但大体上可以划分为两类：一类基于包过滤（PacketFilter），（1）包过滤型可以动态检查通过防火墙的TCP/IP报文头中的报文类型、源IP地址、目标IP地址、源端口号等信息，与预先保存的清单进行对照，按预定的安全策略决定哪些报文可以通过、哪些报文不可以通过防火墙。u包过滤路由器型防火墙的优点：处理包的速度要比代理服务器快；u包过滤路由器型防火墙的缺点：防火墙的维护比较困难等返回过滤路由器Internet内部网络职教中心陈晓松7/12/2024另一类基于代理服务（ProxyServjce）。在内部网与外部网之间建立一个单独的子网，该子网有一个代理主机，通过路由器和网关分别与内、外网连接，代理访问主机对外部和内部用户的网络服务请求进行认证，对于合法用户的服务请求，代理服务主机则连接内部网与外部网，自己作为通信的中介，外部用户只能获得经过代理的内部网服务，从而保护内部网络资源不受侵害。二者的区别在于：基于包过滤的防火墙通常直接转发报文，它对用户完全透明，速度较快；而另一类防火墙是通过代理服务器建立连接，它有更强的身份验证和日志功能。职教中心陈晓松7/12/20243）复合型防火墙 包过滤路由器虽有较好的透明性，但无法有效地区分同一IP地址的不同用户；应用型防火墙可以提供详细的日志及身份验证，但又缺少透明性。因此，在实际应用中，往往将两种防火墙技术结合起来，相互以取长补短，从而形成复合型防火墙。职教中心陈晓松7/12/20244.4 公钥基础设施4.4.1公钥基础设施的功能与特性一般情况下，公钥基础设施应该提供如下功能：密钥的生成和管理、实体鉴别、数字签名的生成和检验、证书管理服务等，具体表现在以下几个方面：1.密钥生命周期管理2.分配证书管理3.PKI的安全性4.时间服务5.交互操作返回职教中心陈晓松7/12/20244.4.2 公钥基础设施的结构PKI体系部件按功能可分为如下几类：1.系统安全授权服务，其功能是使用户或其他主体在系统中建立和组合自己的操作。2.加密算法和服务，提供基于公钥安全性的加密功能（包括密钥算法，如DES）。3.长期密钥服务，允许用户和其他主体管理他们自己的长期密钥和证书，并可以检索和验证其他主体证书的合法性。4.协议安全服务，提供的安全功能（数据原始授权、数据完整性保护、数据私有性保护、不可抵赖性）适用于了解安全应用（如安全协议）的人。5.安全协议，在完全不了解或不太了解安全应用的情况下，提供安全的内部应用通信。6.安全策略服务，提供与策略相关的信息，这些信息必须在安全协议中规定，实现安全访问控制和访问控制检测功能。7.支持服务，提供了安全操作所需功能，但并不与安全策略实施直接相关。返回职教中心陈晓松7/12/20244.4.3 标准为了公钥基础设施的部件之间能够协同工作，就要实现标准化。公钥基础设施的各部件都有自己的实体接口标准和协议。当然，这并不意味着所有PKI产品的标准都是统一的，因为各部件都有几个备选标准可供选择。返回职教中心陈晓松7/12/20244.4.4 实例公钥基础设施是一个比较完备的安全体系。许多组织已经认识到建设公钥基础设施的重要性，也就此进行了不少研究与尝试。返回职教中心陈晓松7/12/2024 Thank you拯畏怖汾关炉烹霉躲渠早膘岸缅兰辆坐蔬光膊列板哮瞥疹傻俘源拯割宜跟三叉神经痛-治疗三叉神经痛-治疗