电子商务安全技术与应用

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,对 还是错?,对,还是错?,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,对 还是错?,对还是,错,?,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,第,3,章 电子商务安全技术,学习目的与要求,1.,识记目标：了解密码技术、数字签名技术和病毒防范措施,2.,技能目标：理解,SSL,、,SET,和,S-HTTP,等电子商务交易安全措施和安全协议,3.,应用目标：掌握计算机病毒防范措施和数字证书技术,开篇案例,时间,蠕虫侵袭进度,17,：,00,纽约康奈尔大学检测出蠕虫,21,：,00,加里福尼亚的斯坦福大学和兰德公司的系统中发现蠕虫,22,：,00,加州大学,Berkeley,分校被蠕虫攻击,23,：,00,新泽西州普林斯顿大学数学系遭受蠕虫袭击,23,：,00,麻省理工学院人工智能实验室发现蠕虫,23,：,28,加州大学,Davis,分校和,San Diego,分校、加州的,Lawrence Livermore,实验室、美国航空航天署（,NASA,）被蠕虫击中,23,：,45,美国陆军弹道研究实验室发现蠕虫,01,：,00,15,台,Arpanet,网络的主机报告发现蠕虫,02,：,00,在麻省的哈佛大学发现蠕虫,03,；,30,蠕虫入侵麻省理工学院计算中心,04,；,00,由于网络超载，病毒传播速度减慢，但大约有,1000,个场地的主机已经遭到袭击,05,：,15,宾夕法尼亚的匹兹堡大学发现蠕虫,08,：,00,Smithsonian,空间物理中心被蠕虫袭击,15,：,00,蠕虫解毒软件分发给受侵单位和个人,21,；,00,在麻省理工学院举行第一次有关蠕虫的记者招待会,案例一、,罗伯特“蠕虫侵袭,Internet,事件”,星期三,案例二、“熊猫烧香”病毒案,“熊猫烧香”是继,CIH,之后危害中国最严重的病毒，它是一个由,Delphi,工具编写的蠕虫，该病毒会自动删除扩展名为,gho,的文件，使用户无法使用,ghost,软件恢复操作系统，并感染系统的,.exe,、,.com,、,.pif,、,.src,、,.html,、,.asp,文件，感染后的文件图标全部变成小熊猫举着三根香的模样，而且系统运行异常缓慢，自动添加病毒网址，导致用户一打开这些网页文件，,IE,就会自动连接到指定的病毒网址中下载病毒，在硬盘各个分区下生成文件,autorun.inf,和,setup.exe,，并且利用,Windows,系统的自动播放功能来运行，搜索硬盘中的,.exe,可执行文件并感染，同时终止大量的反病毒软件和防火墙软件进程。其传播方式很多，可以通过,U,盘和移动硬盘等方式进行传播，它还可以通过共享文件夹、系统弱口令等多种方式进行传播。“熊猫烧香”被国内数家权威病毒监测机构将其列为十大病毒之首。,“熊猫烧香”病毒直接影响了山西、河北、辽宁、广东、湖北、北京、上海、天津等省市的众多单位和个人的计算机系统的正常运行。据专家介绍，“熊猫烧香”病毒自,2006,牟,12,月初开始暴发，到,2007,年,1,月中旬，该病毒变种数已达,90,多个，国内多家门户网站被种植这一病毒，个人用户感染者高达几百万。,【,思考,】,1.,企业面临着哪些电子商务安全问题？如何防范？,2.,企业采取如何措施来解决电子商务的交易安全问题？,一、电子商务安全的基本内容,（,一）电子商务安全要素,1.,可靠性,2.,真实性,3.,机密性,4.,完整性,5.,有效性,6.,不可抵赖性,7.,内部网的严密性,8.,身份认证,（,二）电子商务安全隐患,1.,窃取信息,2.,篡改信息,3.,假冒,4.,恶意破坏,5.,系统中断，破坏系统的有效性,6.“,黑客”入侵,7.,计算机病毒,二、电子商务安全技术,1.,虚拟专用网,虚拟专用网（,VPN,：,Virtual private network,）是指通过一个公用网络（通常是,Internet,）建立一个临时的、安全的连接，是一种逻辑上的专用网路。它是对企业内部网的扩展，可以帮助分公司、公司分支机构、商业伙伴、经销商、客户、外地出差人员及供应商同公司的内部网建立可信的安全连接，以保证数据的安全传输，远程用户可以随时随地经过公网访问公司的资源如公司的内部资料、,ERP,系统、,CRM,系统、项目管理系统等。,加密的分类,（,1,）散列编码。用散列算法求出某个消息的散列值的过程。,（,2,）对称加密技术。又称私有密钥加密，它只用一个密钥对信息进行加密和解密。,（,3,）非对称加密技术。也叫公开密钥加密。,加密技术是最基本的安全技术，它是一种主动的信息安全防范措施，原理是利用加密算法，将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。明文变为密文的过程称为加密，由密文还原为明文的过程称为解密，加密和解密的规则称为密码算法或体制，由加密者和解密者使用的加解密可变参数叫做密钥，如图,密码系统的模型,对称密钥加密，又称私钥加密，指信息的发送方和接收方用一个密钥,K,去加密和解密数据。即只用一个密钥对信息进行加密和解密。见图,对称密钥加密,非对称加密技术,非对称加密技术也叫公开密钥加密，是,1976,年由,Diffie,和,Hellmann,提出的。基本思想是：每个用户有一个公开密钥,PK,和一个私人密钥,SK,，公开密钥,PK,由认证中心公布，象电话号码一样。私人密钥,SK,只有用户本人知道，每个用户的公开密钥和私有密钥具有唯一性。如果有,n,个用户参与通信，则只需产生,n,对密钥，便于密钥的管理。图,2.,密码技术,字母,A,B,C,Z,空格,.,/,：,？,明文,01,02,03,26,27,28,29,30,31,32,密文,18,19,20,43,44,45,46,47,48,49,信息,T,h,i,s,i,s,a,c,u,p,.,明文,20,08,09,19,27,09,19,27,01,27,03,21,16,29,密文,37,25,26,36,44,26,36,44,18,44,20,38,33,46,3.,数字签名,数字签名（,Digital Signature,）技术是将摘要用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。,数字签名（,Digital Signature,）技术是将摘要用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。其原理如下：,（,1,）发送方用一个单向散列函数对明文信息,m,进行运算，形成信息摘要,MD,（,Message Digest,），采用信息摘要能够加快数字签名的速度。,（,2,）发送方用自己的私人密钥,S,对信息摘要进行加密得到,Es,（,MD,）。,（,3,）将加密后的信息摘要和明文信息,m,一起发送出去。即,：,c=m+Es(MD)B,。,（,4,）接收方用同样的单向散列函数对明文信息,m,进行计算，形成另一信息摘要,MD,。,（,5,）接收方把接收到的信息摘要用发送方的公开密钥,P,解密，恢复出加密前信息摘要,MD,，并与步骤（,4,）形成的信息摘要,MD,进行比较，若两者完全一样，即,MD,MD,，则证明信息是完整的，并且数字签名是有效的。,数字签名定义,（,1,）发送方首先用哈希函数从明文文件中生成一个数字摘要，用自己的私钥对这个数字摘要进行加密来形成发送方的数字签名。,（,2,）发送方选择一个对称密钥对文件加密，然后通过网络传输到接收方，最后通过网络将该数字签名作为附件和报文密文一起发送给接收方。,（,3,）发送方用接收方的公钥给对称密钥加密，并通过网络把加密后的对称密钥传输到接收方。,（,4,）接收方使用自己的私钥对密钥信息进行解密，得到对称密钥。,（,5,）接收方用对称密钥对文件进行解密，得到经过加密的数字签名。,（,6,）接收方用发送方的公钥对数字签名进行解密，得到数字签名的明文。,（,7,）接收方用得到的明文和哈希函数重新计算数字签名，并与解密后的数字签名对比。如果两个数字签名是相同的，说明文件在传输过程中没有被破坏。,数字签名过程,数字证书也叫数字标识,(Digital Certificate,，,Digital ID),，是一种应用广泛的信息安全技术，它是由权威公正的第三方机构即,CA,中心（,Certificate Authority,，即证书授权中心）签发，是各类终端实体和最终用户在网上进行信息交流及商务活动的身份证明，其实质上就是一系列密钥，即一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据，用于签名和加密数字信息，以解决交易的各方相互间的信任问题。,目前主要数字证书有：安全电子邮件证书、个人和企业身份证书、服务器证书和代码签名证书等几种类型，分别应用于不同的场合。如代码签名证书主要用于给程序签名；安全电子邮件证书，用于给邮件数字签名；而个人数字证书用途则很广，可以用来给,Office,文档、软件代码、,XML,文件、,Email,等文件数字签名。数字证书可以存放在计算机的硬盘、随身,U,盘、,