電子商務(wù)的安全問題

1、電子商務(wù)的安全問題1 2009年互聯(lián)網(wǎng)十大安全事件 1 百度被百度被“黑黑” 2 IE極光極光0DAY漏洞漏洞 3 5.19全國斷網(wǎng)事件全國斷網(wǎng)事件 4工信部推行綠壩軟件引發(fā)爭議工信部推行綠壩軟件引發(fā)爭議 5 央視央視3.15晚會曝光網(wǎng)銀詐騙晚會曝光網(wǎng)銀詐騙 6 山寨版殺毒軟件橫行山寨版殺毒軟件橫行 電子商務(wù)的安全問題2 7 刑法修正案出臺將有力震懾網(wǎng)游盜號團(tuán)刑法修正案出臺將有力震懾網(wǎng)游盜號團(tuán) 伙伙 8 貓癬病毒帶來的灰色產(chǎn)業(yè)鏈二次分工貓癬病毒帶來的灰色產(chǎn)業(yè)鏈二次分工 9 國內(nèi)首個網(wǎng)購安全平臺推出國內(nèi)首個網(wǎng)購安全平臺推出 10國內(nèi)首款國內(nèi)首款“云查殺云查殺”安全產(chǎn)品問世安全產(chǎn)品問世 電子商務(wù)的

2、安全問題3 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 網(wǎng)絡(luò)安全問題網(wǎng)絡(luò)安全問題 電子商務(wù)的安全性問電子商務(wù)的安全性問 題題 電子商務(wù)對安全控制電子商務(wù)對安全控制 的要求的要求 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 網(wǎng)絡(luò)安全問題網(wǎng)絡(luò)安全問題 計算機(jī)病毒：破壞功能或毀壞數(shù)據(jù)的計算機(jī)計算機(jī)病毒：破壞功能或毀壞數(shù)據(jù)的計算機(jī) 指令或程序代碼。指令或程序代碼。 拒絕服務(wù)：用數(shù)百條消息填塞某人的拒絕服務(wù)：用數(shù)百條消息填塞某人的E-mailE-mail 信箱的一種在線襲擾的方法。信箱的一種在線襲擾的方法。 黑客攻擊：黑客攻

3、擊： 口令攻擊口令攻擊 服務(wù)攻擊服務(wù)攻擊 IP欺騙欺騙 電子商務(wù)的安全問題4 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 網(wǎng)絡(luò)安全問題網(wǎng)絡(luò)安全問題 電子商務(wù)的安全性問電子商務(wù)的安全性問 題題 電子商務(wù)對安全控制電子商務(wù)對安全控制 的要求的要求 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題5 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 網(wǎng)絡(luò)安全問題網(wǎng)絡(luò)安全問題 電子商務(wù)的安全性問電子商務(wù)的安全性問 題題 電子商務(wù)對安全控制電子商務(wù)對安全控制 的要求的要求 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證

4、技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題6 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 防火墻的定義防火墻的定義 它是一種由計算機(jī)硬件和軟件組成的一個或一組系統(tǒng)，它是一種由計算機(jī)硬件和軟件組成的一個或一組系統(tǒng)， 用于增強(qiáng)內(nèi)部網(wǎng)絡(luò)和用于增強(qiáng)內(nèi)部網(wǎng)絡(luò)和Internet之間的訪問控制。之間的訪

5、問控制。 防火墻具有如下屬性：防火墻具有如下屬性： 所有從內(nèi)到外的通信流量，都必須通過它；所有從內(nèi)到外的通信流量，都必須通過它； 僅僅被本地安全策略定義的且被授權(quán)的通信量允許通過；僅僅被本地安全策略定義的且被授權(quán)的通信量允許通過； 系統(tǒng)對外部攻擊具有高抵抗力。系統(tǒng)對外部攻擊具有高抵抗力。 電子商務(wù)的安全問題7 防火墻的工作原理防火墻的工作原理 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議

6、安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 防火墻的基本原理 防火墻的工作原理是：在內(nèi)部網(wǎng)和外部網(wǎng)之間建立起一條隔離墻，防火墻的工作原理是：在內(nèi)部網(wǎng)和外部網(wǎng)之間建立起一條隔離墻， 檢查進(jìn)入內(nèi)部網(wǎng)絡(luò)的信息是否合法，或者是否允許用戶的服務(wù)請求，檢查進(jìn)入內(nèi)部網(wǎng)絡(luò)的信息是否合法，或者是否允許用戶的服務(wù)請求， 從而阻止對內(nèi)部網(wǎng)絡(luò)的非法訪問和非授權(quán)用戶的進(jìn)入，同時防火墻從而阻止對內(nèi)部網(wǎng)絡(luò)的非法訪問和非授權(quán)用戶的進(jìn)入，同時防火墻 也可以禁止特定的協(xié)議通過相應(yīng)的網(wǎng)絡(luò)。也可以禁止特定的協(xié)議通過相應(yīng)的網(wǎng)絡(luò)。 電子商務(wù)的安全問題8 防火墻的安全控制基本準(zhǔn)則防火墻的安全控制基本準(zhǔn)則 一切未被允許的都是禁止的一切未被允

7、許的都是禁止的 一切未被禁止的都是允許的一切未被禁止的都是允許的 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題9 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù)

8、 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題10 包過濾型防火墻包過濾型防火墻 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題11 代理服務(wù)器型防火墻代理服務(wù)器型防火墻 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防

9、火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題12 監(jiān)測型防火墻監(jiān)測型防火墻 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題13 防火墻的局限性防火墻的局限性 防

10、火墻不能保護(hù)繞過它的連接防火墻不能保護(hù)繞過它的連接 防火墻無法完全防止新出現(xiàn)的網(wǎng)絡(luò)威脅防火墻無法完全防止新出現(xiàn)的網(wǎng)絡(luò)威脅 防火墻不能阻止來止內(nèi)部的破壞防火墻不能阻止來止內(nèi)部的破壞 防火墻不能防止病毒防火墻不能防止病毒 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 防火墻的概念防火墻的概念 防火墻的體系結(jié)構(gòu)與防火墻的體系結(jié)構(gòu)與 功能功能 防火墻的分類防火墻的分類 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 防火墻的局限性防火墻的局限性 電子商務(wù)的安全問題14 電子商務(wù)的安全問題15 1W，2I，3T，4C，50， 6H

11、，7E，8I，9B。 電子商務(wù)的安全問題16 源信息(明文)密鑰加密 加密后的 信息(密文) 解密后的 信息(明文) 加密后的 信息(密文) 因特網(wǎng) 密鑰解密 數(shù)據(jù)加密過程數(shù)據(jù)加密過程 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題17 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字

12、摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 所謂對稱加密，是指使用同一把密鑰對信息所謂對稱加密，是指使用同一把密鑰對信息 加密，而對信息解密，同樣采用該密鑰即可。加密，而對信息解密，同樣采用該密鑰即可。 明文密文密文明文 私鑰 私鑰 發(fā)送 發(fā)送方 接收方 電子商務(wù)的安全問題18 基于私有密鑰體制的信息認(rèn)證基于私有密鑰體制的信息認(rèn)證 基于私有密鑰體制采用了對稱加密算法， 即信息交換雙方共同約定一個口令或一組密 碼，建立一個通訊雙方共享的密鑰。 通信的甲方將要發(fā)送信息用私鑰加密后

13、 傳給乙方，乙方用相同的私鑰解密后獲得甲 方傳遞的信息。 電子商務(wù)的安全問題19 圖12-1 對稱加密示意圖 電子商務(wù)的安全問題20 例題 明文：student 算法：大小寫轉(zhuǎn)化 密鑰：3-右移3個字母 比如a-d 對稱加密后密文是多少呢？ VWXGHQW 電子商務(wù)的安全問題21 對稱加密算法對稱加密算法 IDEA：是一個分組大小為：是一個分組大小為64位，位， 密鑰為密鑰為128位，迭代輪數(shù)為位，迭代輪數(shù)為8輪的迭代型輪的迭代型 密碼體制密碼體制. DES：一種：一種數(shù)據(jù)數(shù)據(jù)分組加密方法。分組加密方法。 使用密鑰長度為使用密鑰長度為64位，其中有效的密鑰位，其中有效的密鑰 長度為長度為56位

14、，位，8位為奇偶校驗位為奇偶校驗. 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題22 對稱式密鑰加密技術(shù)的優(yōu)缺點對稱式密鑰加密技術(shù)的優(yōu)缺點 缺點：密鑰傳遞存在安全隱患、缺點：密鑰傳遞存在安全隱患、 密鑰分發(fā)復(fù)雜、不認(rèn)識的人之間無法使用、密鑰分發(fā)復(fù)雜、不認(rèn)識的人之間無法使用、 無法解決數(shù)字簽名驗證的問題。無法解決數(shù)字簽名驗證的問題。 優(yōu)點：加密速度快、保密度高優(yōu)點：加

15、密速度快、保密度高 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題23 公開密鑰密碼體制公開密鑰密碼體制 信息保密原理：信息保密原理： 公鑰與私鑰公鑰與私鑰, 這兩個密鑰是互補(bǔ)的，這兩個密鑰是互補(bǔ)的， 即用公鑰加密的密文可以用私鑰解密，而用私鑰即用公鑰加密的密文可以用私鑰解密，而用私鑰 加密的密文可以用公鑰解密。加密的密文可以用公鑰解密。 簽名認(rèn)證原理：發(fā)送方使用自己

16、的私鑰加密，可以簽名認(rèn)證原理：發(fā)送方使用自己的私鑰加密，可以 確認(rèn)發(fā)送人身份。確認(rèn)發(fā)送人身份。 RSA算法算法 ：既能用于數(shù)據(jù)加密，也能用于：既能用于數(shù)據(jù)加密，也能用于 數(shù)字簽名的算法。數(shù)字簽名的算法。 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題24 基于公開密鑰體制的信息認(rèn)證基于公開密鑰體制的信息認(rèn)證 公開密鑰加密體系采用的是非對稱加密算法。使用公開密 鑰算法需

17、要兩個密鑰:公開密鑰和私有密鑰。 公開密鑰體制常用的加密算法是RSA算法。 圖12-2 使用公鑰加密和對應(yīng)的私鑰解密的示意圖 電子商務(wù)的安全問題25 在該體制中，加密密鑰（又稱公開密鑰）在該體制中，加密密鑰（又稱公開密鑰） PK是對外公開的，解密密鑰（私有密鑰）是對外公開的，解密密鑰（私有密鑰） SK是保密的，是保密的， 加密算法加密算法E和解密算法和解密算法D也是公開的，也是公開的， 但解密密鑰（又稱秘密密鑰）但解密密鑰（又稱秘密密鑰）SK是保密的。是保密的。 雖然雖然SK是由是由PK決定的，但卻不能根據(jù)決定的，但卻不能根據(jù)PK計計 算出算出SK。 電子商務(wù)的安全問題26 公開密鑰算法具有以

18、下特點公開密鑰算法具有以下特點 用加密密鑰用加密密鑰PK對明文對明文X加密后，再用解密密鑰加密后，再用解密密鑰 SK解密即得明文，即解密即得明文，即DSK(EPK(X)=X； 加密密鑰不能用來解密，即加密密鑰不能用來解密，即DPK(EPK(X) )X； 在計算機(jī)上可以容易地產(chǎn)生成對的在計算機(jī)上可以容易地產(chǎn)生成對的PK和和SK，但，但 從已知的從已知的PK不可能推導(dǎo)出不可能推導(dǎo)出SK。 電子商務(wù)的安全問題27 RSA算法的安全性 RSA算法有被破譯過嗎？算法有被破譯過嗎？ 1999年年8月，荷蘭國家數(shù)學(xué)與計算機(jī)科學(xué)研究所月，荷蘭國家數(shù)學(xué)與計算機(jī)科學(xué)研究所 家們的一組科學(xué)家成功分解了家們的一組科學(xué)

19、家成功分解了512bit的整數(shù)，大的整數(shù)，大 約約300臺高速工作站與臺高速工作站與PC機(jī)并行運行，整個工作機(jī)并行運行，整個工作 花了花了7個月，可見難度極大。個月，可見難度極大。 現(xiàn)有的現(xiàn)有的RSA密碼體制支持的密鑰長度有密碼體制支持的密鑰長度有512bit、 1024bit、2048bit、4096bit等。等。 電子商務(wù)的安全問題28 （1）數(shù)字摘要）數(shù)字摘要 數(shù)字摘要是采用單向數(shù)字摘要是采用單向Hash函數(shù)對文件中若干重函數(shù)對文件中若干重 要元素進(jìn)行某種變換運算得到固定長度的摘要要元素進(jìn)行某種變換運算得到固定長度的摘要 碼（數(shù)字指紋碼（數(shù)字指紋Finger Print），并在傳輸信息時

20、），并在傳輸信息時 將之加入文件一同送給接收方，接收方收到文將之加入文件一同送給接收方，接收方收到文 件后，用相同的方法進(jìn)行變換運算，若得到的件后，用相同的方法進(jìn)行變換運算，若得到的 結(jié)果與發(fā)送來的摘要碼相同，則可斷定文件未結(jié)果與發(fā)送來的摘要碼相同，則可斷定文件未 被篡改，反之亦然。被篡改，反之亦然。 電子商務(wù)的安全問題29 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 數(shù)字摘要過程

21、電子商務(wù)的安全問題30 Hash函數(shù)應(yīng)該滿足的函數(shù)應(yīng)該滿足的3個條件個條件 對同一數(shù)據(jù)使用同一Hash函數(shù)， 其運算結(jié)果應(yīng)該是一樣的 。 Hash函數(shù)應(yīng)具有運算結(jié)果不可預(yù)見性， 即從源文件的變化不能推導(dǎo) 出縮影結(jié)果的變化 。 Hash函數(shù)具有不可逆性，即不能通過 文件縮影反算出源文件的內(nèi)容。 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 對稱式密鑰加密技術(shù)對稱式密鑰加密技術(shù) 公開密鑰密碼體制公開密鑰密碼體制 數(shù)字摘要數(shù)字摘要 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題31 （2）數(shù)字簽名）數(shù)字簽名

22、 把把HASH函數(shù)和公鑰算法結(jié)合起來，可以函數(shù)和公鑰算法結(jié)合起來，可以 在提供數(shù)據(jù)完整性的同時，也可以保證數(shù)據(jù)的在提供數(shù)據(jù)完整性的同時，也可以保證數(shù)據(jù)的 真實性。完整性保證傳輸?shù)臄?shù)據(jù)沒有被修改，真實性。完整性保證傳輸?shù)臄?shù)據(jù)沒有被修改， 而真實性則保證是由確定的合法者產(chǎn)生的而真實性則保證是由確定的合法者產(chǎn)生的 HASH，而不是由其他人假冒。而把這兩種機(jī)，而不是由其他人假冒。而把這兩種機(jī) 制結(jié)合起來就可以產(chǎn)生所謂的數(shù)字簽名制結(jié)合起來就可以產(chǎn)生所謂的數(shù)字簽名 （Digital Signature）。）。 電子商務(wù)的安全問題32 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本

23、認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 數(shù)字簽名數(shù)字簽名 數(shù)字簽名過程示意圖 （1 1） 發(fā)送方首先用哈希函數(shù)將需要傳送的內(nèi)容加密產(chǎn)生報文的數(shù)字摘要；發(fā)送方首先用哈希函數(shù)將需要傳送的內(nèi)容加密產(chǎn)生報文的數(shù)字摘要； （2 2） 送方采用自己的私有密鑰對摘要進(jìn)行加密，形成數(shù)字簽名；送方采用自己的私有密鑰對摘要進(jìn)行加密，形成數(shù)字簽名； （3 3） 發(fā)送方把原文和加密的摘要同時傳遞給接收方；發(fā)送方把原文和加密的摘要同時傳遞給接收方； （4） 接受方使用發(fā)送

24、方的公共密鑰對數(shù)字簽名進(jìn)行解密，得到發(fā)送方形成的報文摘要；接受方使用發(fā)送方的公共密鑰對數(shù)字簽名進(jìn)行解密，得到發(fā)送方形成的報文摘要； （5 5） 接收方用哈希函數(shù)將接收到的報文轉(zhuǎn)換成報文摘要，與發(fā)送方形成的摘要相比較，接收方用哈希函數(shù)將接收到的報文轉(zhuǎn)換成報文摘要，與發(fā)送方形成的摘要相比較， 若相同，說明文件在傳輸過程中沒有被破壞；若相同，說明文件在傳輸過程中沒有被破壞； 電子商務(wù)的安全問題33 （3）數(shù)字信封）數(shù)字信封 數(shù)字信封是用加密技術(shù)來保證只有規(guī)定的特定數(shù)字信封是用加密技術(shù)來保證只有規(guī)定的特定 收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信 息發(fā)送方采用對

25、稱密鑰來加密信息，然后將此息發(fā)送方采用對稱密鑰來加密信息，然后將此 對稱密鑰用接收方的公開密鑰來加密（這部分對稱密鑰用接收方的公開密鑰來加密（這部分 稱為數(shù)字信封）之后，將它和信息一起發(fā)送給稱為數(shù)字信封）之后，將它和信息一起發(fā)送給 接收方，接收方先用相應(yīng)的私有密鑰打開數(shù)字接收方，接收方先用相應(yīng)的私有密鑰打開數(shù)字 信封，得到對稱密鑰，然后使用對稱密鑰解開信封，得到對稱密鑰，然后使用對稱密鑰解開 信息。這種技術(shù)的安全性相當(dāng)高。信息。這種技術(shù)的安全性相當(dāng)高。 電子商務(wù)的安全問題34 數(shù)字信封數(shù)字信封電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)

26、證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 數(shù)字信封工作過程 1.1.在發(fā)送文件時，發(fā)送方先產(chǎn)生一個通信密鑰，并用這一通信密鑰對文件原文進(jìn)行加密后，在發(fā)送文件時，發(fā)送方先產(chǎn)生一個通信密鑰，并用這一通信密鑰對文件原文進(jìn)行加密后， 再通過網(wǎng)絡(luò)將加密后的文件傳送到接收方；再通過網(wǎng)絡(luò)將加密后的文件傳送到接收方； 2.2.發(fā)送方再把對文件加密時使用的通信密鑰用接收方的公開密鑰進(jìn)行加密，即生成數(shù)字信封，發(fā)送方再把對文件加密時使用的通信密鑰用接收方的公開密鑰進(jìn)行加密，即生成數(shù)字信封， 然后通過

27、網(wǎng)絡(luò)傳送到接收方；然后通過網(wǎng)絡(luò)傳送到接收方； 3.3.接收方收到發(fā)送方傳來的經(jīng)過加密的通信密鑰后，用自己的私鑰對其進(jìn)行解密，從而得到接收方收到發(fā)送方傳來的經(jīng)過加密的通信密鑰后，用自己的私鑰對其進(jìn)行解密，從而得到 發(fā)送方的通信密鑰；發(fā)送方的通信密鑰； 4. .接收方再用發(fā)送方的通信密鑰對加密文件進(jìn)行解密，從而得到文件的原文。接收方再用發(fā)送方的通信密鑰對加密文件進(jìn)行解密，從而得到文件的原文。 電子商務(wù)的安全問題35 （4）數(shù)字時間戳）數(shù)字時間戳 交易文件中，時間是十分重要的信息。在書面交易文件中，時間是十分重要的信息。在書面 合同中，文件簽署的日期和簽名一樣均是十分合同中，文件簽署的日期和簽名一樣

28、均是十分 重要的，是防止文件被偽造和篡改的關(guān)鍵性內(nèi)重要的，是防止文件被偽造和篡改的關(guān)鍵性內(nèi) 容。容。 而在電子交易中，同樣需對交易文件的日期和而在電子交易中，同樣需對交易文件的日期和 時間信息采取安全措施，而數(shù)字時間戳服務(wù)時間信息采取安全措施，而數(shù)字時間戳服務(wù) （DTS-Digital Time-stamp Service）就能提供）就能提供 電子文件發(fā)表時間的安全保護(hù)。數(shù)字時間戳服電子文件發(fā)表時間的安全保護(hù)。數(shù)字時間戳服 務(wù)（務(wù)（DTS）是網(wǎng)絡(luò)安全服務(wù)項目，由專門的機(jī)）是網(wǎng)絡(luò)安全服務(wù)項目，由專門的機(jī) 構(gòu)提供。構(gòu)提供。 電子商務(wù)的安全問題36 數(shù)字時間戳（）包括：數(shù)字時間戳（）包括： 需要加時

29、間戳的文件的摘要需要加時間戳的文件的摘要 收到文件的日期和時間收到文件的日期和時間 的數(shù)字簽名的數(shù)字簽名 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題37 數(shù)字證書數(shù)字證書電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火

30、墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題38 圖12-4 數(shù)字證書的組成 電子商務(wù)的安全問題39 數(shù)字證書的內(nèi)容數(shù)字證書的內(nèi)容 （1）申請者的信息）申請者的信息 第一部分申請者的信息，數(shù)字證書里的數(shù)據(jù)包括以下第一部分申請者的信息，數(shù)字證書里的數(shù)據(jù)包括以下 信息：信息： 版本信息，用來與版本信息，用來與X.509的將來版本兼容；的將來版本兼容； 證書序列號，每一個由證書序列號，每一個由CA發(fā)行的證書必須有一個唯發(fā)行的證書必須有一個唯 一的序列號；一的序列號； CA所使用的簽名算法：所使用的簽名算法：RSA 發(fā)行證書發(fā)行證書CA的名稱；的名稱； 證書

31、的有效期限證書的有效期限:一般為一般為10年年 證書主題名稱；證書主題名稱； 被證明的公鑰信息，包括公鑰算法、公鑰的位字符串被證明的公鑰信息，包括公鑰算法、公鑰的位字符串 表示；表示； 包含額外信息的特別擴(kuò)展。包含額外信息的特別擴(kuò)展。 電子商務(wù)的安全問題40 （2）發(fā)放證書）發(fā)放證書CA的信息的信息 第二部分第二部分CA的信息，數(shù)字證書包含發(fā)行證書的信息，數(shù)字證書包含發(fā)行證書CA的的 簽名和用來生成數(shù)字簽名的簽名算法。任何人收到簽名和用來生成數(shù)字簽名的簽名算法。任何人收到 證書后都能使用簽名算法來驗證證書是否是由證書后都能使用簽名算法來驗證證書是否是由CA 的簽名密鑰簽發(fā)的。的簽名密鑰簽發(fā)的。

32、 電子商務(wù)的安全問題41 電子商務(wù)的認(rèn)證體系電子商務(wù)的認(rèn)證體系 PKI CA ： PKI（Public Key Infrastructure，公鑰基礎(chǔ)公鑰基礎(chǔ) 設(shè)施）是提供公鑰加密和數(shù)字簽字服務(wù)的安全基礎(chǔ)平臺，設(shè)施）是提供公鑰加密和數(shù)字簽字服務(wù)的安全基礎(chǔ)平臺， 目的是管理密鑰和證書。目的是管理密鑰和證書。 用戶自己認(rèn)定的用戶自己認(rèn)定的CA。 SET CA ：所頒發(fā)的數(shù)字證書主要有持卡人證書、商戶：所頒發(fā)的數(shù)字證書主要有持卡人證書、商戶 證書和支付網(wǎng)關(guān)證書。證書和支付網(wǎng)關(guān)證書。 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)證中心與認(rèn)證體系

33、 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 電子商務(wù)的安全問題42 安全交易的過程安全交易的過程 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證體系認(rèn)證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 安全交易的過程圖示 電子商務(wù)的安全問題43 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 基本認(rèn)證技術(shù)基本認(rèn)證技術(shù) 認(rèn)證中心與認(rèn)證

34、體系認(rèn)證中心與認(rèn)證體系 安全交易的過程安全交易的過程 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 (1) 在甲方，要發(fā)送的信息通過哈希函數(shù)變換成預(yù)先設(shè)定長度的報文數(shù)字摘要； (2) 數(shù)字摘要用甲方的私鑰通過RSA算法加密，其結(jié)果是一個數(shù)字簽名； (3) 數(shù)字簽名和甲方的證書，附著在原始信息上打包；同時，在甲方的計算機(jī)上， 使用DES算法生成對稱密鑰給這個信息包加密； (4) 甲方預(yù)先收取乙方的證書，并通過其中的公鑰為甲方的對稱密鑰加密，形成一 個數(shù)字信封； (5) 加密的信息和數(shù)字信封通過因特網(wǎng)傳輸給乙方的計算機(jī)； (6) 乙

35、方用自己的私鑰解密數(shù)字信封，得到甲方的對稱密鑰； (7) 通過這個密鑰，從甲方收到的加密的信息被解密成原始信息、數(shù)字簽名和甲方 的數(shù)字證書； (8) 用甲方的公鑰（包含在甲方的證書中）解密數(shù)字簽名，得到報文摘要； (9) 將收到的原始信息通過哈希函數(shù)變換成報文摘要； (10) 分別由第(8)步和第(9)步所產(chǎn)生的報文摘要被比較，以確定在傳輸過程中是否 有什么改變，這一步確定信息的完整性。 電子商務(wù)的安全問題44 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 SSL安全協(xié)議安全協(xié)議 SETSET安全交易協(xié)議安全交易協(xié)議 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加

36、密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 安全套接層協(xié)議（）安全套接層協(xié)議（） SSL協(xié)議可以分為兩個子協(xié)議：協(xié)議可以分為兩個子協(xié)議：SSL握手協(xié)議握手協(xié)議 （Handshake protocol）和和SSL紀(jì)錄協(xié)議紀(jì)錄協(xié)議 （Record protocol）。）。 SSL協(xié)議基于協(xié)議基于TCP/IP ，SSL連接可以看成在連接可以看成在TCP/IP連接連接 的基礎(chǔ)上建立一個安全通道，在這一通道中，所有點對的基礎(chǔ)上建立一個安全通道，在這一通道中，所有點對 點的信息都將加密，從而確保信息在點的信息都將加密，從而確保信息在Internet上傳輸時，上傳輸時， 不會被第三方竊取。不會被第三方竊取

37、。 SSLSSL協(xié)議與協(xié)議與SETSET協(xié)議協(xié)議 的比較的比較 電子商務(wù)的安全問題45 A君決定丟掉曾經(jīng)深愛的ApplePowerbook， 因為它太重了，他想換之以只有三磅重 的SonyNotebook。當(dāng)然，A君必須購買許 多Windows版本的軟件產(chǎn)品，他迅速上網(wǎng) 找到了幾家在線商店，找到了需要的東 西。他不想付額外的包裝送貨費用，而 準(zhǔn)備立即在網(wǎng)上下載所選中的軟件。 電子商務(wù)的安全問題46 問題問題1：客戶在和誰打交道？：客戶在和誰打交道？ 看一下這幾個賣主，它們沒什么名氣，看一下這幾個賣主，它們沒什么名氣，A君選中了一君選中了一 家名為家名為SuperSoft的網(wǎng)上店鋪。的網(wǎng)上店鋪。

38、A君怎么知道這個店鋪君怎么知道這個店鋪 沒有賣給他一個非法拷貝呢？任何用戶都想確定得到?jīng)]有賣給他一個非法拷貝呢？任何用戶都想確定得到 一個合法的、完整的、正確的正版軟件產(chǎn)品，它必須一個合法的、完整的、正確的正版軟件產(chǎn)品，它必須 符合升級條件，并得到技術(shù)支持。符合升級條件，并得到技術(shù)支持。 為了理解為了理解SSL是怎樣處理這件事的，讓我們來看一看是怎樣處理這件事的，讓我們來看一看 SSL在它的在它的“握手握手”階段在瀏覽器和階段在瀏覽器和Web服務(wù)器之間服務(wù)器之間 進(jìn)行的一系列初始信息交換。在進(jìn)行的一系列初始信息交換。在“握手握手”成功之后，成功之后， 瀏覽器知道已經(jīng)建立起了一條保密連接，然后開

39、始下瀏覽器知道已經(jīng)建立起了一條保密連接，然后開始下 載載Web頁面上的有關(guān)內(nèi)容。頁面上的有關(guān)內(nèi)容。 電子商務(wù)的安全問題47 首先，首先，SSL要求服務(wù)器向瀏覽器出示它的證書，證書要求服務(wù)器向瀏覽器出示它的證書，證書 包括一個公鑰，這個公鑰是由一家可信證書授權(quán)機(jī)構(gòu)包括一個公鑰，這個公鑰是由一家可信證書授權(quán)機(jī)構(gòu) 簽發(fā)的，在這個例子中此機(jī)構(gòu)為簽發(fā)的，在這個例子中此機(jī)構(gòu)為VeriSign公司。公司。 客戶的瀏覽器能夠知道服務(wù)器證書的正確性，因為大客戶的瀏覽器能夠知道服務(wù)器證書的正確性，因為大 部分瀏覽器產(chǎn)品內(nèi)置了一些基礎(chǔ)公共密鑰。部分瀏覽器產(chǎn)品內(nèi)置了一些基礎(chǔ)公共密鑰。VeriSign在在 SuperS

40、oft的公鑰上的簽名使我們知道的公鑰上的簽名使我們知道SuperSoft是一家是一家 合法的公司。合法的公司。 然后瀏覽器中的然后瀏覽器中的SSL軟件發(fā)給服務(wù)器一個隨機(jī)產(chǎn)生的軟件發(fā)給服務(wù)器一個隨機(jī)產(chǎn)生的 傳輸密鑰，此密鑰由傳輸密鑰，此密鑰由SuperSoft的已驗證過的公鑰加密。的已驗證過的公鑰加密。 由于傳輸密鑰只能由由于傳輸密鑰只能由SuperSoft對應(yīng)的私有密鑰來解密，對應(yīng)的私有密鑰來解密， 這證實了該服務(wù)器屬于這證實了該服務(wù)器屬于SuperSoft。 電子商務(wù)的安全問題48 雖然雖然SSL保證客戶訪問的是保證客戶訪問的是SuperSoft的的 Web服務(wù)器，且真的有一家叫服務(wù)器，且真

41、的有一家叫SuperSoft 的公司，但除此以外它不能給我們?nèi)魏蔚墓荆艘酝馑荒芙o我們?nèi)魏?東西。東西。 其中的關(guān)鍵在于：其中的關(guān)鍵在于：SSL并不能使客戶確并不能使客戶確 信信SuperSoft接收信用卡支付是得到授權(quán)接收信用卡支付是得到授權(quán) 的，該公司是否值得信任。的，該公司是否值得信任。 電子商務(wù)的安全問題49 問題問題2：能保證私秘性嗎？：能保證私秘性嗎？ 隨機(jī)產(chǎn)生的傳輸密鑰是核心機(jī)密，只有客戶的隨機(jī)產(chǎn)生的傳輸密鑰是核心機(jī)密，只有客戶的 瀏覽器和瀏覽器和SuperSoft的的Web服務(wù)器知道這個數(shù)字服務(wù)器知道這個數(shù)字 序列。這個兩方共享的密鑰的密文可以通過瀏序列。這個兩方共享的

42、密鑰的密文可以通過瀏 覽器安全地抵達(dá)覽器安全地抵達(dá)Web服務(wù)器，服務(wù)器，Internet上的其上的其 他人無法解開它（這就是公共密鑰算法的魔他人無法解開它（這就是公共密鑰算法的魔 力）。在接下來的力）。在接下來的HTTP通信中通信中SSL采用該密采用該密 鑰保證數(shù)據(jù)的保密性（通過加密）和完整性鑰保證數(shù)據(jù)的保密性（通過加密）和完整性 （通過（通過hashing）。這就是）。這就是SSL提供的提供的“安全連安全連 接接”。 電子商務(wù)的安全問題50 這時客戶需要確認(rèn)訂購并輸入信用卡號這時客戶需要確認(rèn)訂購并輸入信用卡號 碼。應(yīng)該感謝碼。應(yīng)該感謝SSL，它保證信用卡號碼，它保證信用卡號碼 以及其他信息只

43、會被以及其他信息只會被SuperSoft所獲取。所獲取。 客戶還可以打印屏幕上顯示的已經(jīng)被授客戶還可以打印屏幕上顯示的已經(jīng)被授 權(quán)的訂單，這樣就可以得到這次交易的權(quán)的訂單，這樣就可以得到這次交易的 書面證據(jù)。大多數(shù)在線商店在得到你的書面證據(jù)。大多數(shù)在線商店在得到你的 信用卡號碼后出示收到的憑據(jù)，這是你信用卡號碼后出示收到的憑據(jù)，這是你 已付款的有效證據(jù)。已付款的有效證據(jù)。 電子商務(wù)的安全問題51 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 （1）瀏覽器請示與服務(wù)器建立安全

44、會話。 （2）瀏覽器與Web服務(wù)器交換密鑰證書以便雙方相互確認(rèn)。 （3）Web服務(wù)器與測覽器協(xié)商密鑰位數(shù)（40位或128位）；客戶機(jī)提供自己支持的所有 算法清單，服務(wù)器選擇它認(rèn)為最有效的密鑰生成算法。 （4）瀏覽器將產(chǎn)生的會話密鑰用Web服務(wù)器的公鑰加密傳給Web服務(wù)器。 （5）Web服務(wù)器用自己的私鑰解密。 （6）Web服務(wù)器和瀏覽器用會話密鑰加密和解密，實現(xiàn)加密傳輸。 SSL安全協(xié)議安全協(xié)議 SETSET安全交易協(xié)議安全交易協(xié)議 SSLSSL協(xié)議與協(xié)議與SETSET協(xié)議協(xié)議 的比較的比較 電子商務(wù)的安全問題52 提供的安全服務(wù)提供的安全服務(wù) 信息完整：利用機(jī)密共享和信息完整：利用機(jī)密共享和

45、ash組提供信息組提供信息 完整性服務(wù)完整性服務(wù) 相互認(rèn)證：這是客戶機(jī)與服務(wù)器相互識別的過程相互認(rèn)證：這是客戶機(jī)與服務(wù)器相互識別的過程 信息保密：通過使用公開密鑰和對稱密鑰技術(shù)以信息保密：通過使用公開密鑰和對稱密鑰技術(shù)以 達(dá)到數(shù)據(jù)加密達(dá)到數(shù)據(jù)加密 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 SSL安全協(xié)議安全協(xié)議 SETSET安全交易協(xié)議安全交易協(xié)議 SSLSSL協(xié)議與協(xié)議與SETSET協(xié)議協(xié)議 的比較的比較 電子商務(wù)的安全問題53 SSL的缺點？ 因為SSL除了傳輸過程

46、外不能提供任何安 全保證。 我們已經(jīng)聽到過大量的黑客通過商家服 務(wù)器竊取信用卡號的案例。 SET協(xié)議可解決此類問題。 電子商務(wù)的安全問題54 A君通過Internet為他的手提電腦購買了一 條內(nèi)存，該內(nèi)存價格還不到100美元。在 線訂購后，一個銷售人員打電話給A君， 要求將A君的信用卡復(fù)印件及其簽名確認(rèn) 傳真給他。如果使用SET，這些討厭的過 程將不再必要，因為SET提供了對交易中 涉及各方的認(rèn)證。 電子商務(wù)的安全問題55 雖然通過SSL用信用卡支付提供了對服務(wù) 器的認(rèn)證，但是并沒有提供對瀏覽器用 戶的認(rèn)證。但只要我們給所有用戶都頒 發(fā)證書，SSL協(xié)議就可以解決這個問題 。 電子商務(wù)的安全問題

47、56 一個基于SET的交易 SET協(xié)議規(guī)定發(fā)給每一個持卡人一個數(shù)字 證書?？蛻簦ǔ挚ㄕ撸┻x中一個口令， 用它對數(shù)字證書和私鑰、信用卡號碼以 及其他信息加密存儲。這些與符合SET協(xié) 議的軟件一起組成了一個SET電子“錢 夾”。 電子商務(wù)的安全問題57 當(dāng)當(dāng)A君在網(wǎng)上商店君在網(wǎng)上商店SuperSoft選中商品并使用選中商品并使用 SET錢夾付錢時，商家服務(wù)器上的錢夾付錢時，商家服務(wù)器上的POS軟件發(fā)軟件發(fā) 報文給報文給A君的瀏覽器要求君的瀏覽器要求SET錢夾付錢，錢夾付錢， SET錢夾則要錢夾則要A君輸入口令然后與商家服務(wù)器君輸入口令然后與商家服務(wù)器 交換交換“握手握手”消息，讓消息，讓A君確認(rèn)君

48、確認(rèn)SuperSoft被授被授 權(quán)可以接收信用卡，同時權(quán)可以接收信用卡，同時SuperSoft也知道也知道A君君 是一個合法的持卡人。是一個合法的持卡人。 這些消息被表示為支付初始化請求和支付初始這些消息被表示為支付初始化請求和支付初始 化響應(yīng)?；憫?yīng)。 電子商務(wù)的安全問題58 然后然后A君的錢夾組織一個報文，這個報文君的錢夾組織一個報文，這個報文 中包括購買訂單以及支付命令。支付命中包括購買訂單以及支付命令。支付命 令中包括令中包括A君的信用卡號碼，被加密保護(hù)君的信用卡號碼，被加密保護(hù) 以保證以保證SuperSoft無法獲取其中的信息。無法獲取其中的信息。 只有位于商家開戶行的被稱為支付網(wǎng)關(guān)

49、只有位于商家開戶行的被稱為支付網(wǎng)關(guān) 的另外一個服務(wù)器可以處理支付命令中的另外一個服務(wù)器可以處理支付命令中 的信息。的信息。 電子商務(wù)的安全問題59 支付授權(quán)的消息流程：支付授權(quán)的消息流程： POS軟件組織授權(quán)請求報文（軟件組織授權(quán)請求報文（AuthReq），其中包括），其中包括A 君發(fā)給它的支付命令，發(fā)給支付網(wǎng)關(guān)。君發(fā)給它的支付命令，發(fā)給支付網(wǎng)關(guān)。 支付網(wǎng)關(guān)是一個支付網(wǎng)關(guān)是一個Internet服務(wù)器，是連接服務(wù)器，是連接Internet與銀與銀 行內(nèi)部支付網(wǎng)絡(luò)系統(tǒng)的橋梁。行內(nèi)部支付網(wǎng)絡(luò)系統(tǒng)的橋梁。 在在SET這個多方報文協(xié)議中的每一方都持有數(shù)字證書，這個多方報文協(xié)議中的每一方都持有數(shù)字證書，

50、該數(shù)字證書來源于一個公有該數(shù)字證書來源于一個公有SET密鑰，這使得每一方密鑰，這使得每一方 都有辦法確信其他各方具有得到授權(quán)的合法身份。都有辦法確信其他各方具有得到授權(quán)的合法身份。 假如假如A君的信用卡沒有透支的話，支付網(wǎng)關(guān)就發(fā)給君的信用卡沒有透支的話，支付網(wǎng)關(guān)就發(fā)給 SuperSoft授權(quán)響應(yīng)報文，授權(quán)響應(yīng)報文，SuperSoft再組織一個購買響再組織一個購買響 應(yīng)報文（應(yīng)報文（PRes）發(fā)給）發(fā)給A君的錢夾。君的錢夾。 電子商務(wù)的安全問題60 SET協(xié)議的工作原理協(xié)議的工作原理 電子商務(wù)的安全控制電子商務(wù)的安全控制 要求概述要求概述 電子商務(wù)的認(rèn)證技術(shù)電子商務(wù)的認(rèn)證技術(shù) 防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù) 安全技術(shù)協(xié)議安全技術(shù)協(xié)議 支付網(wǎng)關(guān) 收 單 銀 行 在 線 商 店 消 費 者 訂單 確認(rèn) 審核請求 確認(rèn) 協(xié)商 發(fā) 卡 銀 行 認(rèn) 證 中 心 認(rèn)證 認(rèn)證 認(rèn)證 審核 批準(zhǔn) 確認(rèn) SET協(xié)議工作原理圖 SSL安全協(xié)議安全協(xié)議 SETSET安全交易協(xié)議安全交易協(xié)議