8章电子商务安全

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,#,第8章 电子商务安全,学习目,标,标,1了,解,解电子,商,商务安,全,全现状,、,、面临,的,的威胁,及,及电子,商,商务安,全,全内容,相,相关知,识,识；,2掌,握,握加密,技,技术、,认,认证技,术,术、防,火,火墙、,数,数字证,书,书及认,证,证中心,等,等电子,商,商务安,全,全技术,相,相关知,识,识；,3了,解,解黑客,与,与病毒,防,防范相,关,关知识,；,；,4熟,悉,悉电子,商,商务安,全,全网络,协,协议相,关,关知识,；,；,5掌,握,握电子,商,商务安,全,全管理,相,相关知,识,识。,导入案,例,例,年度网,站,站安全,报,报告：26%,电,电商网,站,站存高,危,危漏洞,8.1,电,电子,商,商务安,全,全概述,在电子,商,商务得,益,益于网,络,络快速,信,信息传,输,输而兴,起,起和发,展,展的同,时,时，病,毒,毒泛滥,、,、黑客,入,入侵、Web,站,站点被,攻,攻击的,现,现象亦,日,日益严,重,重，计,算,算机犯,罪,罪日益,猖,猖獗，,高,高水平,技,技术人,员,员的犯,罪,罪已经,严,严重影,响,响到电,子,子商务,等,等行业,的,的安全,;,;,信息安,全,全问题,越,越来越,受,受到专,家,家、技,术,术人员,和,和管理,层,层的高,度,度重视,；,；,电子商,务,务信息,安,安全是,指,指电子商,务,务全过,程,程信息,化,化状态,和,和信息,技,技术体,系,系不受,外,外来的,威,威胁与,侵,侵害;,本章从,技,技术角,度,度和管,理,理机制,两,两方面,讨,讨论电,子,子商务,安,安全防,护,护问题,。,。,国防部,网,网站开,通,通第一,个,个月遭230,多,多万次,攻,攻击,8.1,.,.2,电,电子商,务,务面临,的,的安全,问,问题,1计,算,算机网,络,络安全,问,问题,（1）,物,物理实,体,体的安,全,全,（2）,系,系统的,漏,漏洞和,“,“后门,”,”,（3）,网,网络协,议,议的安,全,全漏洞,（4）,计,计算机,病,病毒的,攻,攻击,（5）,黑,黑客的,恶,恶意攻,击,击,2电,子,子交易,安,安全问,题,题,（1）,电,电子商,务,务交易,平,平台的,安,安全问,题,题,（2）,交,交易双,方,方的信,用,用问题,（3）,电,电子支,付,付安全,问,问题,8.1,.,.3,电,电子商,务,务安全,问,问题带,来,来的威,胁,胁,1、信,息,息泄露,2、信,息,息篡改,3、身,份,份识别,4、信,息,息破坏,5、交,易,易抵赖,6、隐,私,私泄露,8.1,.,.4,电,电子,商,商务安,全,全要求,信息的,保,保密性,；,；,信息的,完,完整性,；,；,交易各,方,方身份,的,的认证,；,；,信息的,有,有效性,；,；,信息的,不,不可抵,赖,赖性、,不,不可否,认,认性；,隐私权,的,的保护,。,。,8.1,.,.5电,子,子商务,安,安全重,要,要性,1安,全,全是电,子,子商务,系,系统的,基,基本要,求,求,2安,全,全是电,子,子商务,发,发展的,关,关键,中国互,联,联网络,信,信息中,心,心（CNNIC）发,布,布的“,中,中国互,联,联网络,发,发展状,况,况统计,报,报告”,显,显示，,在,在使用,网,网络购,物,物的用,户,户中，52.26,的,的用户,最,最关心,的,的是交,易,易的安,全,全可靠,性,性；非,网,网络购,物,物的用,户,户不使,用,用网络,购,购物的,三,三大主,要,要原因,是,是“不,会,会使用,”,”、“,不,不安全,”,”、“,没,没有必,要,要，不,需,需要”,，,，所占,比,比例分,别,别为22.5,%,%，21.2,%,%，19.6,%,%。,8.1,.,.6电,子,子商务,安,安全体,系,系,1电,子,子商务,安,安全技,术,术,2社,会,会道规,范,范,3法,律,律体系,4安,全,全管理,体,体系,8.2,电,电子商,务,务安全,技,技术,8.2,.,.1加,密,密技术,加密技,术,术是电,子,子商务,采,采取的,主,主要安,全,全保密,措,措施，,是,是信息,安,安全技,术,术的核,心,心，用,于,于保证,电,电子商,务,务中数,据,据的保,密,密性、,完,完整性,、,、真实,性,性和非,抵,抵赖服,务,务。,8.2,.,.1加,密,密技术,1、信,息,息加密,概,概念,加密系,统,统由四,个,个组成,部,部分：,（1）,未,未加密,的,的报文,，,，也称,明,明文；,（2）,加,加密后,的,的报文,，,，也称,密,密文；,（3）,加,加密解,密,密设备,或,或算法,；,；,（4）,加,加密解,密,密的密,钥,钥。,8.2,.,.1加,密,密技术,信息验,证,证广泛,采,采用的,技,技术：,秘密密,钥,钥(私,钥,钥)加,密,密系统,(,(PrivateKeyEncryption),公开密,钥,钥(公,钥,钥)加,密,密系统,(,(Public KeyEncryption),两者相,结,结合的,方,方式,1对,称,称加密,技,技术,密,文,发送端,明,文,加密,网络,传输,接收端,密,文,明,文,密钥A,解密,密钥A,2非,对,对称加,密,密技术,密,文,发送端,明,文,加密,网络,传输,接收端,密,文,明,文,私钥B,解密,密钥A,3数,字,字签名,数字签,名,名（DigitalSignature）是,公,公开密,钥,钥加密,技,技术的,一,一种应,用,用，是,指,指用发,送,送方的,私,私有密,钥,钥加密,报,报文摘,要,要，然,后,后将其,与,与原始,的,的信息,附,附加在,一,一起，,合,合称为,数,数字签,名,名。,8.2,.,.2,认,认证技,术,术,认证技,术,术是指,交,交易系,统,统中交,易,易参与,者,者之间,的,的安全,身,身份认,证,证，是,实,实现电,子,子商务,交,交易系,统,统身份,可,可认证,性,性和不,可,可抵赖,性,性的关,键,键技术,。,。,认证技,术,术是整,个,个信息,安,安全体,系,系的基,础,础认，,证,证技术,主,主要用,于,于信息,认,认证，,确,确认信,息,息发送,者,者的身,份,份，防,止,止假冒,；,；验证,信,信息的,完,完整性,，,，即确,认,认信息,在,在传送,或,或存储,过,过程中,未,未被篡,改,改过。,认证技,术,术主要,包,包括身,份,份认证,和,和消息,认,认证。,1消,息,息认证,认证解密,安全传输通道,非授权者,信道,消息发送端,认证加密,加密密钥,消息接收端,2身,份,份认证,（1）,口,口令识,别,别法,口令机,制,制又称,作,作通行,字,字机制,，,，它是,最,最广泛,研,研究和,使,使用的,身,身份鉴,别,别法。,口令验,证,证的识,别,别过程,：,：,用户,将,将口令,传,传送给,计,计算机,；,；,计算,机,机完成,口,口令单,向,向函数,值,值的计,算,算；,计算,机,机把单,向,向函数,值,值和机,器,器存储,的,的值比,较,较。,（2）,签,签名识,别,别法,签名识,别,别，也,被,被称为,签,签名力,学,学辨识,，,，源于,每,每个人,都,都有自,己,己独特,的,的书写,风,风格。,签名鉴,定,定分为,在,在线签,名,名鉴定,和,和离线,签,签名鉴,定,定两种,。,。,前者是,通,通过手,写,写板采,集,集书写,人,人的签,名,名样本,，,，除了,采,采集书,写,写点的,坐,坐标外,，,，有的,系,系统还,采,采集压,力,力、握,笔,笔的角,度,度等数,据,据;,后者是,通,通过扫,描,描仪输,入,入签名,样,样本。,显,显然，,离,离线签,名,名比较,容,容易伪,造,造，识,别,别的难,度,度也比,较,较大。,而,而在线,签,签名由,于,于有动,态,态信息,，,，不容,易,易伪造,.,.,（3）,指,指纹识,别,别技术,识别指,纹,纹主要,从,从两个,方,方面展,开,开：总,体,体特征,和,和局部,特,特征。,总体特,征,征是指,那,那些用,人,人眼直,接,接就可,以,以观察,到,到的特,征,征。包,括,括纹形,、,、模式,区,区、核,心,心点、,三,三角点,和,和纹数,等,等。,局部特,征,征是指,指,指纹上,节,节点的,特,特征，,这,这些具,有,有某种,特,特征的,节,节点称,为,为细节,特,特征或,特,特征点,。,。,（4）,语,语音识,别,别技术,语音识,别,别技术,，,，也被,称,称为自,动,动语音,识,识别AutomaticSpeechRecognition,（,（ASR），,就,就是让,机,机器通,过,过识别,和,和理解,过,过程把,语,语音信,号,号转变,为,为相应,的,的文本,或,或命令,的,的高技,术,术。,（5）,生,生物识,别,别技术,手掌,几,几何学,识,识别,视网,膜,膜识别,虹膜,识,识别,面部,识,识别,DNA识别,静脉,识,识别,步态,识,识别,人脸,识,识别,8.2,.,.3,防,防火墙,1访,问,问控制,信息及资源,访问控制,决策部件,访问控制,实施部件,访问请求端,提交访问请求,请求决策,提出访问请求,2防,火,火墙,（1）,防,防火墙,的,的分类,从实现,原,原理上,分,分，防,火,火墙的,技,技术包,括,括四大,类,类：网,络,络级防,火,火墙（,也,也叫包,过,过滤型,防,防火墙,）,）、应,用,用级网,关,关、电,路,路级网,关,关和规,则,则检查,防,防火墙,。,。,（2）,防,防火墙,的,的功能,网络,安,安全的,屏,屏障,强化,网,网络安,全,全策略,监控,审,审计,防止,内,内部信,息,息的外,泄,泄,数据,包,包过滤,网络IP地,址,址转换,虚拟,专,专用网,络,络,日志,记,记录与,事,事件通,知,知,8.2,.,.4数,字,字证书,与,与认证,中,中心,1数,字,字证书,“数字,证,证书”,作,作为网,上,上交易,双,双方真,实,实身份,证,证明的,依,依据，,是,是一个,经,经证书,授,授权中,心,心（CA）数,字,字签名,的,的、包,含,含证书,申,申请者,（,（公开,密,密钥拥,有,有者）,个,个人信,息,息及其,公,公开密,钥,钥的文,件,件。,基于公,开,开密钥,体,体制（PKI,）,）的数,字,字证书,是,是电子,商,商务安,全,全体系,的,的核心,，,，用途,是,是利用,公,公共密,钥,钥加密,系,系统来,保,保护与,验,验证公,众,众的密,钥,钥，由,可,可信任,的,的、公,正,正的权,威,威机构CA颁,发,发。,2认,证,证中心,CA（Certification Authority）,认,认证中,心,心是在,电,电子交,易,易中承,担,担网上,安,安全交,易,易认证,服,服务、,签,签发数,字,字证书,、,、确认,用,用户身,份,份等工,作,作并具,有,有权威,性,性和公,正,正性的,第,第三方,服,服务机,构,构，它,是,是保证,电,电子商,务,务交易,安,安全进,行,行的一,个,个不可,缺,缺少的,重,重要环,节,节。,认证中,心,心是进,行,行网上,安,安全电,子,子交易,认,认证服,务,务、签,发,发数字,证,证书、,确,确认用,户,户身份,的,的服务,机,机构。,商户认证中心,（Merchant CA）,持卡人认证中心,（Cardholder CA）,支付网关认证中心,（Payment Gateway CA）,根认证中心（Root CA）,品牌认证中心（Brand CA）,区域性认证中心（Geo-political CA）,持卡人,支付网关,商户,8.3,电,电子商,务,务安全,技,技术协,议,议,这些协,议,议主要,有,有：公,钥,钥体系,结,结构PKI、,安,安全超,文,文本传,输,输协议,（,（SHTTP）、,安,安全套,接,接层协,议,议（SSL协,议,议）、,安,安全电,子,子交易,协,协议（SET,协,协议）,、,、3-Dsecure协议,、,、IPSec,协,协议和,虚,虚拟专,用,用网VPN等,。,。,8.4,黑,黑客与,病,病毒防,范,范技术,“黑客,”,”的基,本,本概念,“黑客,(,(Hacker)”,源,源于英,语,语动词Hack。,是指一,些,些掌握,计,计算机,、,、网络,核,核心技,术,术和利,用,用计算,机,机系统,里,里面的BUG,，,，非法,进,进入别,人,人的计,算,算机，,网,网络系,统,统的人,。,。,“黑客,”,”可分,为,为两类,。,。,骇客,：,他们只,想,想引人,注,注目，,证,证明自,己,己的能,力,力，在,进,进入网,络,络系统,后,后，不,会,会去破,坏,坏系统,，,，或者,仅,仅仅会,做,做一些,无,无伤大,雅,雅的恶,作,作剧。,他,他们追,求,求的是,从,从侵入,行,行为本,身,身获得,巨,巨大的,成,成功的,满,满足；,窃客,：,他们的,行,行为带,有,有强烈,的,的目的,性,性。早,期,期的这,些,些“黑,客,客”主,要,要是窃,取,取国家,情,情报、,科,科研情,报,报，而,现,现在的,这,这些“,黑,黑客”,的,的目标,大,大部分,瞄,瞄准了,银,银行的,资,资金和,电,电子商,务,务的整,个,个交易,过,过程。,网络“,黑,黑客”,常,常用的,攻,攻击手,段,段,获取,口,口令,电子,邮,邮件,木马,诱入,法,法,系统,漏,漏洞,（3）,黑,黑客防,范,范措施,屏蔽,可,可以IP地址,过滤,信,信息包,经常,升,升级系,统,统版本,及时,备,备份重,要,要数据,使用,加,加密机,制,制传输,数,数据,使用,防,防火墙,技,技术,安全,工,工具包,或,或软件,2病,毒,毒与防,治,治方法,病毒是,一,一种人,为,为编制,的,的程序,或,或指令,集,集合，,这,这种程,序,序能潜,伏,伏在计,算,算机系,统,统中，,并,并通过,自,自我复,制,制传播,和,和扩散,，,，在一,定,定条件,下,下被激,活,活，给,计,计算机,带,带来故,障,障和破,坏,坏。,病毒的,防,防治方,法,法：,（1）,树,树立病,毒,毒防范,意,意识，,从,从思想,上,上重视,计,计算机,病,病毒要,从,从思想,上,上重视,计,计算机,病,病毒可,能,能会给,计,计算机,安,安全运,行,行带来,的,的危害,。,。,（2）,安,安装正,版,版的杀,毒,毒软件,和,和防火,墙,墙，并,及,及时升,级,级到最,新,新版本,（3）,及,及时对,系,系统和,应,应用程,序,序进行,升,升级。,（4）,把,把好入,口,口关。,（5）,不,不要随,便,便登录,不,不明网,站,站、黑,客,客网站,或,或色情,网,网站。,（6）,养,养成经,常,常备份,重,重要数,据,据的习,惯,惯。,（7）,养,养成使,用,用计算,机,机的良,好,好习惯,。,。,（8）,要,要学习,和,和掌握,一,一些必,备,备的相,关,关知识,。,。,8.5,电,电子商,务,务安全,管,管理,8.5,.,.1电,子,子商务,安,安全管,理,理原则,1预,防,防为主,，,，重在,控,控制,2全,员,员参与,，,，动态,管,管理,3多,人,人负责,，,，任期,有,有限,4职,责,责清晰,，,，分工,明,明确,8.5,.,.2电,子,子商务,安,安全管,理,理策略,1风,险,险评估,，,，代价,平,平衡的,原,原则,2适,应,应灵活,，,，容易,操,操作的,原,原则,3标,准,准规范,，,，整体,高,高效的,原,原则,4均,衡,衡防护,，,，应急,恢,恢复的,原,原则,8.5,.,.3电,子,子商务,安,安全的,管,管理措,施,施,1提,高,高网络,安,安全防,范,范意识,2建,立,立电子,商,商务安,全,全管理,组,组织体,系,系,3建,立,立电子,商,商务安,全,全管理,制,制度,4电,子,子商务,安,安全的,法,法制建,设,设策略,8.5,.,.4电,子,子商务,安,安全管,理,理制度,1人,员,员管理,制,制度,（1）,严,严格安,全,全管理,人,人员的,甄,甄选,（2）,全,全方位,的,的安全,知,知识培,训,训,（3）,落,落实工,作,作责任,制,制,（4）,贯,贯彻电,子,子商务,安,安全运,作,作基本,原,原则,4网,络,络系统,的,的日常,维,维护制,度,度,（1）,硬,硬件的,日,日常管,理,理和维,护,护,1）网,络,络设备,运用,管,管理软,件,件进行,管,管理,手动,检,检查，,人,人工管,理,理,2）服,务,务器管,理,理,3）通,信,信线路,（2）,软,软件的,日,日常管,理,理和维,护,护,1）支,撑,撑软件,2）应,用,用软件,（3）,数,数据备,份,份制度,6病,毒,毒防范,制,制度,（1）,安,安装杀,毒,毒软件,（2）,认,认真执,行,行病毒,定,定期清,理,理制度,（3）,控,控制权,限,限,（4）,高,高度警,惕,惕网络,陷,陷阱,7应,急,急措施,指在计,算,算机灾,难,难事件,（,（即紧,急,急事件,或,或安全,事,事故）,发,发生时,，,，利用,应,应急计,划,划、辅,助,助软件,和,和应急,设,设施，,排,排除灾,难,难和故,障,障，保,障,障计算,机,机信息,系,系统继,续,续运行,或,或紧急,恢,恢复。,（1）,瞬,瞬时复,制,制技术,（2）,远,远程磁,盘,盘镜像,技,技术,（3）,数,数据库,恢,恢复技,术,术,一、选,择,择题,1在,电,电子商,务,务信息,安,安全要,求,求中，,信,信息在,传,传输过,程,程中或,存,存储中,不,不被他,人,人窃取,指,指的是,（,（,）,）。,A信,息,息的保,密,密性B,信息,的,的完整,性,性,C信,息,息的不,可,可否认,性,性D,交易,者,者身份,的,的真实,性,性,2加,密,密后的,内,内容称,为,为（,）,）,。,。,A密,钥,钥B,算法C,密,密文D明,文,文,3用,户,户识别,方,方法不,包,包括（,）,）。,A根,据,据用户,知,知道什,么,么来判,断,断B,根据,用,用户拥,有,有什么,来,来判断,C根,据,据用户,地,地址来,判,判断D根,据,据用户,是,是什么,来,来判断,4以,下,下身份,认,认证技,术,术中，,属,属于生,物,物特征,识,识别技,术,术的有,（,（,）,）,。,。,A数,字,字签名,识,识别法B,指,指纹识,别,别法,C语,音,音识别,法,法D,头盖,骨,骨的轮,廓,廓识别,法,法,A,C,C,BCD,5触,发,发电子,商,商务安,全,全问题,的,的原因,有,有（,）,）。,A黑,客,客的攻,击,击B,管,管理的,欠,欠缺C,网络,的,的缺陷D软,件,件的漏,洞,洞,6病,毒,毒防范,制,制度包,括,括的内,容,容有（,）,）。,A为,自,自己的,电,电脑安,装,装防病,毒,毒软件B,不,不打开,陌,陌生地,址,址的电,子,子邮件,C认,真,真执行,病,病毒定,期,期清理,制,制度D高,度,度警惕,网,网络陷,阱,阱,7下,面,面属于,不,不安全,口,口令的,有,有（,）,）,。,。,A使,用,用用户,名,名作为,口,口令,B使,用,用自己,或,或者亲,友,友的生,日,日作为,口,口令,C使,用,用学号,或,或者身,份,份证号,码,码等作,为,为口令,D使,用,用常用,的,的英文,单,单词做作口令,8认,证,证中心,的,的主要,作,作用有,（,（,）,）,。,。,A证,书,书的颁,发,发B,证书,的,的查询C,证,证书的,归,归档,D证,书,书的作,废,废E,证,证书的,更,更新,ABCD,ABCD,ABCD,ABCDE,思考题,1.用,户,户身份,认,认证的,有,有哪几,种,种基本,方,方式？,2.什,么,么是防,火,火墙（Firewall）,？,？防火,墙,墙组成,有,有哪几,部,部分？,3.客,户,户认证CA主,要,要包括,哪,哪几方,面,面内容,？,？各自,功,功能是,什,什么？,4.什,么,么是数,字,字签名,？,？具备,哪,哪些能,力,力？,5.网,络,络环境,的,的安全,管,管理制,度,度包括,哪,哪几方,面,面？,6.为,什,什么要,设,设立客,户,户认证,机,机构CA？主,要,要进行,哪,哪些业,务,务？,7.什,么,么是生,物,物特征,身,身份识,别,别技术,？,？,TheEnd!,