电子商务安全管理与技术.ppt

第六章电子商务安全管理与技术 6 1电子商务的安全6 2安全协议6 3密码学和数据加密技术6 4数字签名和认证技术6 5防火墙技术6 6虚拟专用网 VPN 技术6 7其他的安全技术 6 1电子商务的安全 6 1 1电子商务的安全要素 1 有效性 2 机密性 3 完整性 4 可靠性 不可抵赖性 鉴别 5 审查能力 返回首页 6 1 2电子商务存在的安全问题在电子商务系统中 存在的安全威胁主要有 1 系统穿透 2 违反授权规则 3 植入后门程序 4 通信监视 5 通信窜扰 6 中断 7 拒绝服务 8 否认 返回首页 6 1 3电子商务的安全技术电子商务一个基本的问题就是如何通过现有的网络技术如InternetWeb 数据加密 PKI CA认证系统 防火墙技术 虚拟专用网技术 各种交易协议 如SET 客户端浏览技术和软件等 使得客户和商家透明地进行安全交易 返回首页 6 2安全协议 6 2 1安全协议的基本概念所谓安全协议 是指两个或两个以上的参与者为完成与安全任务 如加密 认证 密钥分配等 有关且能抗攻击任务所作的约定与采取的一系列步骤 返回首页 6 2 2安全套接层协议 SSL 1 什么是安全套接层协议 SecureSocketLayer 简称SSL SSL主要用于提高应用程序之间数据的安全系数 2 安全套接层协议的作用 1 用户和服务器的合法性认证 2 加密数据以隐藏被传送的数据 3 保护数据的完整性 返回首页 3 安全套接层协议的实现过程 1 接通阶段 2 密码交换阶段 3 会谈密码阶段 4 检验阶段 5 客户认证阶段 6 结束阶段 返回首页 6 2 3安全电子交易协议 SET 1 什么是安全电子交易协议SET主要是为解决用户 商家和银行之间通过信用卡支付的交易而设计的 以保证支付信息的机密 支付过程的完整 商户及持卡人的合法身份以及可操作性 SET中的核心技术主要有公开密钥加密 电子数字签名 电子信封 电子安全证书等 返回首页 2 SET协议的作用 1 保证电子商务参与者信息的相互隔离 2 保证信息在Internet上安全传输 3 解决多方认证问题 不仅要对消费者的信用卡认证 而且要对在线商店的信誉程度认证 同时还有消费者 在线商店与银行间的认证 4 保证网上交易的实时性 5 规范协议和消息格式 返回首页 3 SET协议的工作原理主要包括以下七个步骤 1 消费者在网上选定的物品 并下电子订单 2 通过电子商务服务器与在线商店联系 在线商店作出应答 告诉消费者订单的相关情况 3 消费者选择付款方式 确认订单 签发付款指令 此时SET介入 4 在SET中 消费者必须对订单和付款指令进行数字签名 返回首页 5 在线商店接受订单后 向消费者所在银行请求支付认可 批准交易后 返回确认信息给在线商店 6 在线商店发送订单确认信息给消费者 消费者端软件可记录交易日志 以备将来查询 7 在线商店发送货物或提供服务 并通知收单银行将钱从消费者的账号转移到商店账号 或通知发卡银行请求支付 返回首页 4 SET和SSL的区别事实上 SET是由认证中心与加密技术相结合所产生的一种完全适合电子商务的加密技术协议 安全套接层协议 SSL 加密方法仅仅是实现了传输加密和数据完整性 相当于在两台计算机之间建立一个安全的通道 返回首页 SET的技术特点有 1 对订单信息和支付信息进行双重签名 2 采用信息摘要技术保证了交易的完整性 3 采用公钥体系和密钥体系结合进行加密 而SSL只采用了公钥体系 与SSL相比 SET是在应用层上实现了数据的加密和完整性 因此 SET已经成为国际公认的Internet电子商务的安全标准 非常详细地反映了电子交易各方之间存在的各种关系 返回首页 SET的购物模式如下图所示 返回首页 6 2 4其他安全协议1 安全交易技术协议 STT 安全交易技术协议 SecureTransactionTechnology 简称STT 由Microsoft公司提出 在InternetExplorer中采用这一技术 返回首页 2 NetBill协议协议步骤如下 1 客户向商家查询某商品价格 2 商家向该客户报价 3 客户告知商家他接受该报价 4 商家将所请求的信息商品用密钥K加密后发送给客户 5 客户准备一份电子采购订单 ElectronicPurchaseOrder EPO 客户将该已数字签名的EPO发送给商家 返回首页 6 商家会签该EPO 商家也签上K的值 然后将此两者送给Netbill服务器 7 Netbill服务器验证EPO签名和会签 然后检查客户的账号 保证有足够的资金以便批准该交易 同时检查EPO上的超时值是否过期 确认没有问题时 Netbill服务器即从客户的账号上将相当于商品价格的资金划往商家的账号上 并存储密钥K和加密商品的密码单据 然后准备一份包含K值的签好的收据 将该收据发给商家 8 商家记下该收据单传给客户 然后客户将第4步收到的加密信息商品解密 返回首页 3 Digicash协议Digicash是一个匿名的数字现金协议 4 FirstVirtual协议FirstVirtual允许客户自由地购买商品 然后FirstVirtual使用E mail同客户证实每一笔交易 5 安全的超文本传输协议 S HTTP 安全的超文本传输协议 S HTTP 对HTTP扩充安全特性 增加了报文的安全性 它是基于SSL技术的 返回首页 6 Internet电子邮件的安全协议 1 PEM PEM是增强Internet电子邮件隐秘性的标准草案 2 S MIME S MIME 安全的多功能Internet电子邮件扩充 是在RFC1521所描述的多功能Internet电子邮件扩充报文基础上添加数字签名和加密技术的一种协议 3 PEM MIME MOSS MOSS MIME对象安全服务 是将PEM和MIME两者的特性进行了结合 返回首页 6 3密码学和数据加密技术 6 3 1密码与密钥基本知识采用密码方法可以隐蔽和保护需要保密的信息 使未授权者不能提取该信息 被隐蔽的信息原来可读的形式叫明文 通过对密钥采用一定的加密算法可将明文变换成另一种隐蔽的不可理解的形式 称为密钥 这种变换的过程称为加密 加密技术包括两个元素 算法和密钥 对数据加密的技术分为两类 即对称加密 私人密钥加密 和非对称加密 公开密钥加密 返回首页 6 3 2对称加密对称加密或专用密钥 也称为常规加密 由通信双方共享一个秘密密钥 发送和接收数据的双方必须使用相同的 对称的 密钥对明文进行加密和解密运算 最著名的对称密钥加密标准是数据加密标准 DataEncryptionStandard 简称DES 返回首页 6 3 3非对称加密与对称加密算法不同 非对称加密算法需要两个密钥 公开密钥和私有密钥 公开密钥与私有密钥是一对 如果用公开密钥对数据进行加密 只有用对应的私有密钥才能解密 如果用私有密钥对数据进行加密 那么只有用对应的公开密钥才能解密 因为加密和解密使用的是两个不同的密钥 所以这种算法叫做非对称加密算法 非对称加密算法主要有RSA DSA Diffie Hellman PKCS PGP等 返回首页 6 3 4公开密钥体系 PKI PKI技术是信息安全的核心技术 1 什么是PKIPKI PublicKeyInfrastructure的缩写 即 公开密钥体系 是一种遵循既定标准的密钥管理平台 它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系 简单来说 PKI就是利用公钥理论和技术建立的提供安全服务的基础设施 返回首页 PKI的基础技术包括加密 数字签名 数据完整性机制 数字信封 双重数字签名等 2 PKI的基本组成 1 认证机构 CA 2 数字证书库 3 密钥备份及恢复系统 4 证书作废系统 5 应用接口 API 返回首页 6 4数字签名和认证技术 6 4 1数字签名技术数字签名 DigitalSignature 是公开密钥加密技术的一种应用 是指用发送方的私有密钥加密报文摘要 然后将其与原始的信息附加在一起 合称为数字签名 返回首页 数字签名使用方式是 1 报文的发送方从报文文本中生成一个128位或160位的单向散列值 或报文摘要 并用自己的私有密钥对这个散列值进行加密 形成发送方的数字签名 2 将这个数字签名作为报文的附件和报文一起发送给报文的接收方 返回首页 3 报文的接收方首先从接收到的原始报文中计算出128位的散列值 或报文摘要 接着再用发送方的公开密钥来对报文附加的数字签名进行解密 4 如果这两个散列值相同 那么接收方就能确认该数字签名是发送方的 返回首页 6 4 2数字认证 数字时间戳和数字证书1 数字认证技术2 数字时间戳包括三个部分 1 需加时间戳的文件的摘要 digest 2 DTS收到文件的日期和时间 3 DTS的数字签名 返回首页 3 数字证书数字证书一般包含以下几点 1 数字证书拥有者的姓名 2 数字证书拥有者的公共密钥 3 公共密钥的有效期 4 颁发数字证书的单位 5 数字证书的序列号 SerialNumber 6 颁发数字证书单位的数字签名 返回首页 6 4 3电子商务认证中心 CA CertificateAuthority 1 CA的认证机制CA是大型用户群体 如政府机关或金融机构 所信赖的第三方 负责证书的颁发和管理 在证书申请被审批部门批准后 CA通过登记服务器将证书发放给申请者 电子商务CA体系包括下面两大部分 1 SETCA 又叫 金融CA 体系 2 PKICA 又叫 非金融CA 体系 返回首页 2 CA的基本功能 1 生成和保管符合安全认证协议要求的公共和私有密钥 数字证书及其数字签名 2 对数字证书和数字签名进行验证 3 对数字证书进行管理 重点是证书的撤销管理 同时追求实施自动管理 非手工管理 4 建立应用接口 特别是支付接口 CA是否具有支付接口是能否支持电子商务的关键 返回首页 6 5防火墙技术 6 5 1防火墙的简介1 防火墙的概念防火墙 FireWall 是由软件和硬件设备 如计算机 路由器 组合而成 处于企业或网络群体计算机与外界通道之间 用来加强Internet与Intranet之间安全防范的一个或一组系统 它是提供信息安全服务 实现网络和信息安全的基础设施 返回首页 2 防火墙的发展目前的防火墙经历了五个发展阶段 第一代防火墙技术几乎与路由器同时出现 采用了包过滤技术 1989年 贝尔实验室的DavePresotto和HowardTrickey推出了第二代防火墙 即电路层防火墙 同时提出了第三代防火墙 应用层防火墙 代理防火墙 的初步结构 1992年 USC信息科学院的BobBraden开发出了基于动态包过滤技术的第四代防火墙 1998年 NAI公司推出了一种自适应代理技术 并在其产品GauntletFirewallforNT中得以实现 给代理类型的防火墙赋予了全新的意义 可以称之为第五代防火墙 返回首页 6 5 2防火墙的功能 1 保护脆弱的服务 2 控制对系统的访问 3 集中的安全管理 4 增强的保密性 5 记录和统计网络利用数据以及非法使用数据 6 策略执行 返回首页 6 5 3防火墙的分类1 包过滤防火墙 PacketFilter 第一代防火墙和最基本形式防火墙检查每一个通过的网络包 或者丢弃 或者放行 取决于所建立的一套规则 这称为包过滤防火墙 本质上 包过滤防火墙是多址的 表明它有两个或两个以上网络适配器或接口 返回首页 建立包过滤防火墙规则的例子如下 1 对来自专用网络的包 只允许来自内部地址的包通过 因为其他包包含不正确的包头部信息 2 在公共网络 只允许目的地址为80端口的包通过 3 丢弃从公共网络传入的包 而这些包都有你的网络内的源地址 4 丢弃包含源路由信息的包 以减少源路由攻击 返回首页 2 状态 动态检测防火墙状态 动态检测防火墙 试图跟踪通过防火墙的网络连接和包 这样防火墙就可以使用一组附加的标准 以确定是否允许和拒绝通信 它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的 返回首页 状态 动态检测防火墙可提供的其他一些额外的服务有 1 将某些类型的连接重定向到审核服务中去 2 拒绝携带某些数据的网络通信 跟踪连接状态的方式取决于通过防火墙的包的类型 1 TCP包 2 UDP包 返回首页 3 应用程序代理防火墙 ProxyService 应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信 相反 它是接受来自内部网络特定用户应用程序的通信 然后建立于公共网络服务器单独的连接 网络内部的用户不直接与外部的服务器通信 所以服务器不能直接访问内部网的任何一部分 另外 如果不为特定的应用程序安装代理程序代码 这种服务是不会被支持的 不能建立任何连接 返回首页 4 网络地址转换 NAT 网络地址转换 NAT 协议将内部网络的多个IP地址转换到一个公共地址发到Internet上 NAT经常用于小型办公室 家庭等网络 多个用户分享单一的IP地址 并为Internet连接提供一些安全机制 返回首页 5 个人防火墙个人防火墙是一种能够保护个人计算机系统安全的软件 它可以直接在用户的计算机上运行 使用与状态 动态检测防火墙相同的方式 保护一台计算机免受攻击 返回首页 6 6虚拟专用网 VPN 技术 6 6 1虚拟专用网简介1 什么是虚拟专用网虚拟专用网 VPN 被定义为通过一个公用网络 通常是因特网 建立一个临时的 安全的连接 是一条穿过混乱的公用网络的安全 稳定的隧道 虚拟专用网是对企业内部网的扩展 返回首页 VPN应用示意图示 返回首页 2 虚拟专用网的好处 1 降低通讯成本 2 易于扩展 3 可随意与合作伙伴联网 4 完全控制网络的主动权 返回首页 6 6 2虚拟专用网的功能要求1 保证安全性 1 隧道和加密 2 数据验证 3 用户验证 4 防火墙与攻击检测 返回首页 2 实现网络优化构件VPN的另一重要需求是有效地利用有限的广域网资源 为重要数据提供可靠的带宽 在设计VPN时需考虑采用多种QOS 服务质量 策略以优化网络资源 3 对VPN实施管理VPN要求企业将其网络管理功能无缝延伸到公用网 甚至是客户和合作伙伴 返回首页 6 6 3虚拟专用网的分类根据VPN所起的作用 可以将VPN分为三类 如下图所示 返回首页 1 VPDN VirtualPrivateDialNetwork 在远程用户或移动雇员和公司内部网之间的VPN 称为VPDN 2 IntranetVPN在公司远程分支机构的LAN和公司总部LAN之间的VPN 3 ExtranetVPN在供应商 商业合作伙伴的LAN和公司的LAN之间的VPN 返回首页 6 6 4VPN的隧道协议VPN区别于一般网络互联的关键在于隧道的建立 然后数据包经过加密后 按隧道协议进行封装 传送以确保安全性 1 PPTP L2TPPPTP的加密方法采用Microsoft点对点加密 MicrosoftPoint to PointEncryption 算法 可以选用较弱的40位密钥或强度较大的128位密钥 L2TP支持多协议 利用公共网络封装PPP帧 可以实现和企业原有非IP网的兼容 返回首页 2 IPSec InternetProtocolSecurity IPSec是IETF InternetEngineerTaskForce 正在完善的安全标准 它把几种安全技术结合在一起形成一个较为完整的体系 IPSec用密码技术从三个方面来保证数据的安全 即 1 认证 2 完整性检查 3 加密 返回首页 3 SOCKSV5SOCKSV5是一个需要认证的防火墙协议 当SOCKS同SSL协议配合使用时 可作为建立高度安全的虚拟专用网的基础 SOCKS协议的优势在访问控制 因此适合用于安全性较高的虚拟专用网 返回首页 6 7其他的安全技术 6 7 1病毒防范1 什么是计算机病毒随着因特网的流行 有些计算机病毒借助网络爆发流行 如CIH计算机病毒 爱虫 病毒 红色代码 冲击波等 它们与以往的计算机病毒相比具有一些新的特点 给广大计算机用户带来了极大的损失 返回首页 2 病毒发作的特征病毒发作时通常有如下的特征 计算机无法启动 进入操作系统后 某些功能或软件无法正常使用 系统中无故多出许多不明来历的文件 任务管理器中看到出现来历不明的进程 系统资源不足 计算机运行变得很慢 不停地向网络发送数据包等等 返回首页 3 病毒防范的方法针对病毒的不断出现 必须采取两种措施进行保护 一是依靠管理上的措施 及早发现疫情 捕捉计算机病毒 修复系统 二是选用功能更加完善的 具有更强超前防御能力的反病毒软件 尽可能多地堵住能被计算机病毒利用的系统漏洞 计算机病毒防范工作 重要的是防范体系的建设和制度的建立 返回首页 6 7 2黑客防范1 什么是黑客2 黑客攻击的目的3 黑客攻击的方式和手段 1 远程攻击 2 本地攻击 3 伪远程攻击 4 防范黑客的具体措施 返回首页 本章到此结束 谢谢您的光临 结束放映 Thankyouverymuch