電子商務安全保障體系

1、授課班級授課日期授課題目：電子商務安全保障體系目的要求：通過學習了解電子商務環(huán)境中的安全威脅后解決安全威脅的技術(shù)手段和方案重點難點：解決安全威脅的技術(shù)手段和方案組織教學：點名考勤；復習；引入新課；講解理論知識；實例演示；指導學生練習；總結(jié)總結(jié)復習導入新課：。提問：1、什么是電子商務？教學方式、手段、媒介：講授、多媒體；媒介：教材教學內(nèi)容：第一節(jié)電子商務一、公鑰基礎(chǔ)設(shè)施公鑰基礎(chǔ)設(shè)施是由公開密鑰密碼技術(shù)、數(shù)字證書、證書認證中心和關(guān)于公開密鑰的安全策略等基本 成分共同組成，管理密鑰和證書的系統(tǒng)或平臺。用于解決電子商務中安全問題的PKI技術(shù)。PKI(Public Key Infrastructure)

2、是一種遵循標準的利 用公鑰加密技術(shù)為電子商務的開展提供一套安全基礎(chǔ)平臺的技術(shù)和規(guī)范。PKI的核心組成部分 CA(Certification Authority)，即認證中心，它是數(shù)字證書的簽發(fā)機構(gòu)。數(shù)字證書，有時被稱為 數(shù)字身份證，是一個符合一定格式的電子文件，用來識別電子證書持有者的真實身份。1、認證中心認證中心(Certificate Authority,簡稱CA)，也稱之為電子認證中心，是電子商務的一個核心環(huán) 節(jié)，是在電子交易中承擔網(wǎng)上安全電子交易認證服務，簽發(fā)數(shù)字證書，確認用戶身份，與具體交易 行為無關(guān)權(quán)威第三方權(quán)威機構(gòu)。為安全電子交易中之重要單位，為一公正、公開的代理組織，接受持卡人

3、和特約商店的申請，會同 發(fā)卡及收單銀行核對其申請資料是否一致，并負責電子證書之發(fā)放、管理及取消等事宜。是在線交 易的監(jiān)督者和擔保人。主要進行電子證書管理、電子貿(mào)易伙伴關(guān)系建立和確認、密鑰管理、為支付 系統(tǒng)中的各參與方提供身份認證等。CA類似于現(xiàn)實生活中公證人的角色，具有權(quán)威性，是一個普遍 可信的第三方。認證中心可官方將某個公鑰授權(quán)給用戶。如果一個公司在內(nèi)部或同可靠的商業(yè)伙伴交往時使用了數(shù) 字證書，就可能會出現(xiàn)這樣一個機構(gòu)。Netscape和Xcert提供了用于管理數(shù)字證書的證明服務器。當很多用戶共用一個證明權(quán)威時，證明權(quán)威應該是個受到大家信賴的可靠方。證明權(quán)威甚至可以是 個規(guī)模更大、公用程度更

4、高的實體，比如GTE、Nortel或Verisign，它們在驗證身份和簽發(fā)數(shù)字證 書上的嚴謹態(tài)度早已眾口皆碑。興原認證中心是經(jīng)國家認監(jiān)委批準、國家認可委認可的權(quán)威認證機構(gòu)。從事QMS、EMS、OHSMS認證 和核供應商評價。認證中心承擔網(wǎng)上安全電子交易認證服務，能簽發(fā)數(shù)字證書，并確認用戶身份的服務機構(gòu)。認證中 心通常是企業(yè)性的服務機構(gòu)，主要任務是受理數(shù)字憑證的申請、簽發(fā)以及對數(shù)字憑證的管理。認證中心通過向電子商務各參與方發(fā)放數(shù)字證書，來確認各方的身份，保證網(wǎng)上支付的安全性。認 證中心主要包括三個組成部分：注冊服務器（RS）、注冊管理機構(gòu)（RA）和證書管理機構(gòu)（CA）。 注冊管理機構(gòu)（RA）負責

5、證書申請的審批，是持卡人的發(fā)卡行或商戶的收單行。因此，認證中心離 不開銀行的參與。認證中心所頒發(fā)的數(shù)字證書主要有持卡人證書、商戶證書和支付網(wǎng)關(guān)證書。持卡人證書中包括持卡 人ID，這其中包含了有關(guān)該持卡人所使用的支付卡的數(shù)據(jù)和相應的賬戶信息。商戶證書也同樣包含 了有關(guān)其賬戶的信息。支付網(wǎng)關(guān)一般為收單行或為收單行參加的銀行卡組織。從這里的分析不難看 出，RA的角色為什么必須由銀行來擔當。當前，在國際上也已有一些CA建設(shè)方面的經(jīng)驗值得我們借鑒。Visa和Mastercard在1997年12月 共同成立SETCO公司，被授權(quán)作為SET根CA；香港電子商務認證中心JETCO （銀行卡聯(lián)營組織）負 責建設(shè)

6、；新加坡電子商務認證中心由NETS負責運作和管理。銀行卡組織由會員銀行組成，作為認證 中心有著固有的優(yōu)勢。2、證書庫LDAPLDAP是輕量目錄訪問協(xié)議，英文全稱是Lightweight Directory Access Protocol， 一般都簡稱為 LDAP。它是基于X.500標準的，但是簡單多了并且可以根據(jù)需要定制。與X.500不同，LDAP支持 TCP/IP，這對訪問Internet是必須的。LDAP的核心規(guī)范在RFC中都有定義，所有與LDAP相關(guān)的 RFC都可以在LDAPman RFC網(wǎng)頁中找到。3、密鑰備份及恢復系統(tǒng)加密文件系統(tǒng)（EFS）是Windows的一項功能，它允許您將文件夾

7、和文件以加密的形式存儲在硬盤 上。加密是Windows所提供的保護信息安全的最強的保護措施。在首次加密計算機上的文件夾或 文件時，Windows將會頒發(fā)一個證書，該證書關(guān)聯(lián)一個加密密鑰，EFS使用該密鑰來加密和解密數(shù) 據(jù)。在您加密文件夾或文件后，Windows會在后臺為您處理所有的加密和解密工作。您可以按照通 常的方式使用文件。在關(guān)閉文件時，該文件將被加密；在重新打開該文件時，它將會被解密，以便 您能夠使用。4、證書作廢處理系統(tǒng)用作證書的作廢5、應用接口二、安全套接層協(xié)議SSL （Secure Socket Layer）安全套接層是Netscape公司率先采用的網(wǎng)絡安全協(xié)議。它是在傳輸通 信協(xié)

8、議（TCP/IP）上實現(xiàn)的一種安全協(xié)議，采用公開密鑰技術(shù)。SSL廣泛支持各種類型的網(wǎng)絡，同時 提供三種基本的安全服務，它們都使用公開密鑰技術(shù)。SSL協(xié)議指定了一種在應用程序協(xié)議（如HTTP、Telnet、NNTP和FTP等）和TCP/IP協(xié)議之間提供數(shù)據(jù) 安全性分層的機制，它為TCP/IP連接提供數(shù)據(jù)加密、服務器認證、消息完整性以及可選的客戶機認 證。SSL的體系結(jié)構(gòu)SSL被設(shè)計成使用TCP來提供一種可靠的端到端的安全服務，不是單個協(xié)議，而是二層協(xié)議，低層是 SSL記錄層，用于封裝不同的上層協(xié)議，另一層是被封裝的協(xié)議，即SSL握手協(xié)議，它可以讓服務器 和客戶機在傳輸應用數(shù)據(jù)之前，協(xié)商加密算法和

9、加密密鑰，客戶機提出自己能夠支持的全部加密算 法，服務器選擇最適合它的算法。記錄協(xié)議為不同的更高層協(xié)議提供基本的安全服務，其特點是為web客戶/服務器的交互提供傳輸服 務的超文本傳輸協(xié)議（HTTP）可在SSL上面運行。三個更高層協(xié)議被定義成SSL的一部分：握手協(xié) 議、修改密文規(guī)約協(xié)議和告警協(xié)議。SSL中兩個重要的概念是SSL會話和SSL連接，規(guī)約如下：（1）連接：連接是提供恰當類型服務的傳輸，對于SSL這樣的連接是點對點的關(guān)系。連接是短暫 的，每個連接與一個會話相聯(lián)系。（2）會話：SSL的會話是客戶和服務器之間的關(guān)聯(lián)，會話通過握手協(xié)議來創(chuàng)建。會話定義了加密安 全參數(shù)的一個集合，該集合可以被多個

10、連接所共享。會話可用來避免為每個連接進行昂貴的新安全 參數(shù)的協(xié)商。SSL握手的過程一次SSL握手將發(fā)生以下事件：A）客戶機和服務器交換X. 509證明以便雙方相互確認。在此過程中可以交換全部的證明鏈，也可 以選擇只交換一些底層的證明。證明的驗證包括：檢驗有效日期和驗證證明的簽名權(quán)限。B）客戶機隨機地產(chǎn)生一組密鑰，它們用于信息加密和MAC計算。這些密鑰要先通過服務器的公開密 鑰加密再送往服務器?？偣灿兴膫€密鑰分別用于服務器到客戶機以及客戶機到服務器的通信。C）信息加密算法（用于加密）和Hash函數(shù)（用于確保信息完整性）是綜合在一起使用的。Netscape的SSL實現(xiàn)方案是：客戶機提供自己支持的所

11、有算法清單，服務器選擇它認為最有效的密 碼。服務器管理者可以使用或禁止某些特定的密碼。通過SSL握手協(xié)議、SSL密文協(xié)議、SSL告警協(xié)議和SSL記錄協(xié)議實現(xiàn)了安全套接層的安全，對于 web安全我們完全可以采用上述手段，因為它們的安全技術(shù)是可靠的。過程 雙向證書認證的SSL握手過程。以下簡要介紹SSL協(xié)議的工作方式?？蛻舳艘瞻l(fā)幾個握手信號：發(fā)送一個“ClientHello”消息，說明它支持的密碼算法列表、壓縮方法及最高協(xié)議版本，也發(fā)送 稍后將被使用的隨機數(shù)。然后收到一個“ServerHello”消息，包含服務器選擇的連接參數(shù)，源自客戶端初期所提供的 “ClientHello”。當雙方知道了連接

12、參數(shù)，客戶端與服務器交換證書(依靠被選擇的公鑰系統(tǒng))。這些證書通常基 于X.509，不過已有草案支持以O(shè)penPGP為基礎(chǔ)的證書。服務器請求客戶端公鑰。客戶端有證書即雙向身份認證，沒證書時隨機生成公鑰?？蛻舳伺c服務器通過公鑰保密協(xié)商共同的主私鑰(雙方隨機協(xié)商)，這通過精心謹慎設(shè)計的偽隨 機數(shù)功能實現(xiàn)。結(jié)果可能使用Diffie-Hellman交換，或簡化的公鑰加密，雙方各自用私鑰解密。所 有其他關(guān)鍵數(shù)據(jù)的加密均使用這個“主密鑰”。數(shù)據(jù)傳輸中記錄層(Record layer)用于封裝更高層的HTTP等協(xié)議。記錄層數(shù)據(jù)可以被隨意壓縮、 加密，與消息驗證碼壓縮在一起。每個記錄層包都有一個Content

13、-Type段用以記錄更上層用的協(xié) 議。三、安全電子交易協(xié)議安全電子交易協(xié)議(secure Electronic Transaction簡稱SET)由威士(VISA)國際組織、萬事達 (MasterCard)國際組織創(chuàng)建，結(jié)合IBM、Microsoft、Netscope、GTE等公司制定的電子商務中安全 電子交易的一個國際標準。安全電子交易協(xié)議SET是一種應用于因特網(wǎng)(Internet)環(huán)境下，以信用卡為基礎(chǔ)的安全電子交付 協(xié)議，它給出了一套電子交易的過程規(guī)范。通過SET協(xié)議可以實現(xiàn)電子商務交易中的加密、認證、 密鑰管理機制等，保證了在因特網(wǎng)上使用信用卡進行在線購物的安全。其主要目的是解決信用卡

14、電子付款的安全保障性問題，這包括：保證信息的機密性，保證信息安全 傳輸，不能被竊聽，只有收件人才能得到和解密信息；保證支付信息的完整性，保證傳輸數(shù)據(jù)完整 接收，在中途不被篡改；認證商家和客戶，驗證公共網(wǎng)絡上進行交易活動包括會計機構(gòu)的設(shè)置、會 計人員的配備及其職責權(quán)利的履行和會計法規(guī)、制度的制定與實施等內(nèi)容。合理、有效地組織會計 工作，意義重大，它有助于提高會計信息質(zhì)量，執(zhí)行國家財經(jīng)紀律和有關(guān)規(guī)定；有助于提高經(jīng)濟效 益，優(yōu)化資源配置。會計工作的組織必須合法合規(guī)。講求效益，必須建立完善的內(nèi)部控制制度，必 須有強有力的組織保證。SET系統(tǒng)的組成SET支付系統(tǒng)主要由持卡人(CardHolder)、商家

15、(Merchant)、發(fā)卡行(Issuing Bank)、收單行 (Acquiring Bank)、支付網(wǎng)關(guān)(Payment Gateway)、認證中心(Certificate Authority)等六 個部分組成。對應地，基于SET協(xié)議的網(wǎng)上購物系統(tǒng)至少包括電子錢包軟件、商家軟件、支付網(wǎng)關(guān) 軟件和簽發(fā)證書軟件。工作流程1）消費者利用自己的PC機通過因特網(wǎng)選定所要購買的物品，并在計算機上輸入訂貨單、訂貨單上 需包括在線商店、購買物品名稱及數(shù)量、交貨時間及地點等相關(guān)信息。2）通過電子商務服務器與有關(guān)在線商店聯(lián)系，在線商店作出應答，告訴消費者所填訂貨單的貨物單 價、應付款數(shù)、交貨方式等信息是否準確

16、，是否有變化。3）消費者選擇付款方式，確認訂單簽發(fā)付款指令。此時SET開始介入。4）在SET中，消費者必須對訂單和付款指令進行數(shù)字簽名，同時利用雙重簽名技術(shù)保證商家看不到 消費者的帳號信息。5）在線商店接受訂單后，向消費者所在銀行請求支付認可。信息通過支付網(wǎng)關(guān)到收單銀行，再到電 子貨幣發(fā)行公司確認。批準交易后，返回確認信息給在線商店。6）在線商店發(fā)送訂單確認信息給消費者。消費者端軟件可記錄交易日志，以備將來查詢。7）在線商店發(fā)送貨物或提供服務并通知收單銀行將錢從消費者的帳號轉(zhuǎn)移到商店帳號，或通知發(fā)卡 銀行請求支付。在認證操作和支付操作中間一般會有一個時間間隔，例如，在每天的下班前請求銀 行結(jié)一

17、天的帳。前兩步與SET無關(guān)，從第三步開始SET起作用，一直到第六步，在處理過程中通信協(xié)議、請求信息 的格式、數(shù)據(jù)類型的定義等SET都有明確的規(guī)定。在操作的每一步，消費者、在線商店、支付網(wǎng)關(guān) 都通過CA （認證中心）來驗證通信主體的身份，以確保通信的對方不是冒名頂替，所以，也可以簡 單地認為SET規(guī)格充分發(fā)揮了認證中心的作用，以維護在任何開放網(wǎng)絡上的電子商務參與者所提供 信息的真實性和保密性。四、防火墻防火墻（Firewall），也稱防護墻，是由Check Point創(chuàng)立者Gil Shwed于1993年發(fā)明并引入國際 互聯(lián)網(wǎng)（US5606668（A）1993-12-15）。它是一種位于內(nèi)部網(wǎng)絡與

18、外部網(wǎng)絡之間的網(wǎng)絡安全系統(tǒng)。 一項信息安全的防護系統(tǒng)，依照特定的規(guī)則，允許或是限制傳輸?shù)臄?shù)據(jù)通過。所謂防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間 的界面上構(gòu)造的保護屏障.是一種獲取安全性方法的形象說法，它是一種計算機硬件和軟件的結(jié)合， 使Internet與Intranet之間建立起一個安全網(wǎng)關(guān)（Security Gateway），從而保護內(nèi)部網(wǎng)免受非 法用戶的侵入，防火墻主要由服務訪問規(guī)則、驗證工具、包過濾和應用網(wǎng)關(guān)4個部分組成，防火墻 就是一個位于計算機和它所連接的網(wǎng)絡之間的軟件或硬件。該計算機流入流出的所有網(wǎng)絡通信和數(shù) 據(jù)包均要經(jīng)過此防火墻。在網(wǎng)絡中

19、，所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（如Internet）分開的方法，它實際 上是一種隔離技術(shù)。防火墻是在兩個網(wǎng)絡通訊時執(zhí)行的一種訪問控制尺度，它能允許你“同意”的 人和數(shù)據(jù)進入你的網(wǎng)絡，同時將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡中的黑客 來訪問你的網(wǎng)絡。換句話說，如果不通過防火墻，公司內(nèi)部的人就無法訪問Internet， Internet上 的人也無法和公司內(nèi)部的人進行通信。1、什么是防火墻XP系統(tǒng)相比于以往的Windows系統(tǒng)新增了許多的網(wǎng)絡功能（Windows 7的防火墻一樣很強大， 可以很方便地定義過濾掉數(shù)據(jù)包），例如Internet連接防火墻（ICF），它就是

20、用一段代碼墻把 電腦和Internet分隔開，時刻檢查出入防火墻的所有數(shù)據(jù)包，決定攔截或是放行那些數(shù)據(jù)包。防火 墻可以是一種硬件、固件或者軟件，例如專用防火墻設(shè)備就是硬件形式的防火墻，包過濾路由器是 嵌有防火墻固件的路由器，而代理服務器等軟件就是軟件形式的防火墻。2、ICF工作原理ICF被視為狀態(tài)防火墻，狀態(tài)防火墻可監(jiān)視通過其路徑的所有通訊，并且檢查所處理的每個消息 的源和目標地址。為了防止來自連接公用端的未經(jīng)請求的通信進入專用端，ICF保留了所有源自ICF 計算機的通訊表。在單獨的計算機中，ICF將跟蹤源自該計算機的通信。與ICS 一起使用時，ICF將 跟蹤所有源自ICF/ICS計算機的通信

21、和所有源自專用網(wǎng)絡計算機的通信。所有Internet傳入通信都 會針對于該表中的各項進行比較。只有當表中有匹配項時（這說明通訊交換是從計算機或?qū)Ｓ镁W(wǎng)絡 內(nèi)部開始的），才允許將傳入Internet通信傳送給網(wǎng)絡中的計算機。源自外部源ICF計算機的通訊（如Internet）將被防火墻阻止，除非在“服務”選項卡上設(shè)置 允許該通訊通過。ICF不會向你發(fā)送活動通知，而是靜態(tài)地阻止未經(jīng)請求的通訊，防止像端口掃描這 樣的常見黑客襲擊。3、防火墻的種類防火墻從誕生開始，已經(jīng)歷了四個發(fā)展階段：基于路由器的防火墻、用戶化的防火墻工具套、建立 在通用操作系統(tǒng)上的防火墻、具有安全操作系統(tǒng)的防火墻。常見的防火墻屬于具有

22、安全操作系統(tǒng)的 防火墻，例如 NETEYE、NETSCREEN、TALENTIT 等。從結(jié)構(gòu)上來分，防火墻有兩種：即代理主機結(jié)構(gòu)和路由器+過濾器結(jié)構(gòu)，后一種結(jié)構(gòu)如下所示：內(nèi)部 網(wǎng)絡過濾器（Filter）路由器（Router）Internet從原理上來分，防火墻則可以分成4種類型：特殊設(shè)計的硬件防火墻、數(shù)據(jù)包過濾型、電路層網(wǎng)關(guān) 和應用級網(wǎng)關(guān)。安全性能高的防火墻系統(tǒng)都是組合運用多種類型防火墻，構(gòu)筑多道防火墻“防御工 事”。五、虛擬專用網(wǎng)絡虛擬專用網(wǎng)絡的功能是：在公用網(wǎng)絡上建立專用網(wǎng)絡，進行加密通訊。在企業(yè)網(wǎng)絡中有廣泛應用。 VPN網(wǎng)關(guān)通過對數(shù)據(jù)包的加密和數(shù)據(jù)包目標地址的轉(zhuǎn)換實現(xiàn)遠程訪問。VPN有多種分類方式，主要是 按協(xié)議進行分類。VPN可通過服務器、硬件、軟件等多種方式實現(xiàn)。工作原理通常情況下，VPN網(wǎng)關(guān)采取雙網(wǎng)卡結(jié)構(gòu)，外網(wǎng)卡使用公網(wǎng)IP接入Interneto網(wǎng)絡一（假定為公網(wǎng)internet）的終端A訪問網(wǎng)絡二（假定為公司內(nèi)網(wǎng)）的終端B，其發(fā)出的訪問數(shù) 據(jù)包的目標地址為終端B的內(nèi)部IP地址。網(wǎng)絡一的VPN網(wǎng)關(guān)在接收到終端A發(fā)出的訪問數(shù)據(jù)包時對其目標地址進行檢查，如果目標地址屬 于網(wǎng)絡二的地址，則將該數(shù)據(jù)包進行封