網(wǎng)絡支付安全

網(wǎng)絡支付安全2課程目標網(wǎng)絡支付的安全問題網(wǎng)絡支付的攻擊方式網(wǎng)絡支付中的安全技術網(wǎng)絡支付中的安全認證網(wǎng)絡支付中的安全協(xié)議網(wǎng)絡支付的安全問題

1.網(wǎng)絡支付系統(tǒng)的不穩(wěn)定：(中斷)2.隱私支付信息在網(wǎng)絡傳輸過程中被竊取或盜用：(截獲)3.支付信息被篡改：（篡改）4.信息假冒：冒充他人身份、發(fā)送假冒信息：（偽造）5.否認已經(jīng)做過的交易中斷截獲篡改偽造網(wǎng)絡支付的安全問題

電子商務系統(tǒng)的可靠性是指為防止計算機失效、程序錯誤、傳輸錯誤、硬件故障、系統(tǒng)軟件錯誤、計算機病毒與自然災害等所產(chǎn)生的潛在威脅，通過控制與預防等來確保系統(tǒng)安全可靠。不可抵賴性完整性可靠性真實性機密性網(wǎng)絡支付的安全問題

不可抵賴性完整性真實性

交易的真實性是指商務活動中交易者身份的真實性，也就是要確定交易雙方是真實存在的。身份認證通常采用電子簽名、數(shù)字證書等技術來實現(xiàn)。可靠性機密性網(wǎng)絡支付的安全問題

不可抵賴性完整性機密性

信息的機密性是指交易過程中必須保證信息不會泄露給非授權的人或實體。電子商務的交易信息直接代表著個人、企業(yè)的商業(yè)機密。個人的信用卡號和密碼在網(wǎng)上傳送時如被他人截獲，就可能被盜用；企業(yè)的訂貨和付款信息如被競爭對手獲悉，該企業(yè)就可能貽誤商機。信息機密性的保護一般通過數(shù)據(jù)加密技術來實現(xiàn)。可靠性真實性網(wǎng)絡支付的安全問題

不可抵賴性機密性完整性

信息的完整性是指數(shù)據(jù)在傳輸或存儲過程中不會受到非法修改、刪除或重放，以確保信息的順序完整性和內(nèi)容完整性。數(shù)據(jù)完整性的保護通過安全散列函數(shù)（如數(shù)字摘要）與電子簽名技術來實現(xiàn)。可靠性真實性網(wǎng)絡支付的安全問題

完整性機密性不可抵賴性

交易的不可抵賴性是指保證發(fā)送方不能否認自己發(fā)送了信息，同時接收方也不能否認自己接收到信息。交易的不可抵賴性通過電子簽名技術來實現(xiàn)?？煽啃哉鎸嵭跃W(wǎng)絡支付的安全問題

網(wǎng)絡支付中的攻擊方式

釣魚網(wǎng)站鍵盤記錄屏幕錄像服務器攻擊網(wǎng)絡支付中的安全技術

防火墻技術利用防火墻保護網(wǎng)絡支付涉及的商家網(wǎng)絡、金融專用網(wǎng)絡的安全數(shù)據(jù)加密對數(shù)據(jù)進行加密以達到安全通信的目的。客戶端安全控件在客戶端安裝安全控件達到防止錄屏、鍵盤記錄、瀏覽器竊取等木馬的攻擊數(shù)據(jù)加密1.我們將源信息稱為明文。為了保護明文，將其通過某種方式變換成局外人難以識別的另外一種形式，即密文，這個變換處理的過程稱之為加密。2.密文可以經(jīng)過相應的逆變換還原成明文，這個變換處理過程稱之為解密。3.密鑰：由數(shù)字、字母或特殊符號組成的字符串，它可以控制加密解密的過程。4.加密算法：將加密解密變換過程抽象成的數(shù)學函數(shù)。網(wǎng)絡支付中的安全技術

網(wǎng)絡支付中的安全技術

私有密鑰加密私有密鑰加密法的特點是加密和解密都共用一把密鑰，即加密密鑰和解密密鑰相同，所以私有密鑰加密也成對稱密鑰加密網(wǎng)絡支付中的安全技術

私有密鑰加密過程1.在A和B之間首先產(chǎn)生密鑰KAB。這個密鑰只有A和B知道，并且A和B都為此密鑰保密。2.A有消息要傳遞給B。A用KAB對明文進行加密。加密之后的消息稱為密文，然后將這個密文輸?shù)骄W(wǎng)絡中去。3.B得到這個密文后，同樣用KAB進行解密，得到明文。BAKAB網(wǎng)絡支付中的安全技術

公開密鑰加密借助密鑰生成程序生成密鑰A與密鑰B，這兩把密鑰在數(shù)學上相關，稱作密鑰對。當用密鑰對其中任何一個密鑰加密時，可以而且只能用此密鑰對中的另一個密鑰解密，自己不能解密。網(wǎng)絡支付中的安全技術

公開密鑰加密過程1.B生成密鑰對（公鑰KUB和私鑰KRB)。2.B將公鑰KUB通過某種傳遞機制，對外公布3.A有消息要傳遞給B4.A用B對外公開的公鑰KUB對信息進行加密，然后將密文傳遞給B5.B接到A傳遞過來的密文后，用自己的私鑰KRB解密，得到明文。BAKUBKRB網(wǎng)絡支付中的安全認證

數(shù)字證書是指利用電子信息技術手段，確認、鑒定、認證Internet上信息交流參與者的身份或服務器的身份，是一個擔保個人、計算機系統(tǒng)或者組織（企業(yè)或政府部門）的身份，并且發(fā)布加密算法類別、公開密鑰及其所有權的電子文檔。網(wǎng)絡支付中的安全認證

數(shù)字證書工作原理信息接收方A在網(wǎng)上收到發(fā)送方B傳來的業(yè)務信息的同時，還收到發(fā)送方的數(shù)字證書，通過對數(shù)字證書的驗證，可以確認發(fā)送方的真實身份。在發(fā)送方與接收方交換數(shù)字證書的同時，雙方得到對方的公開密鑰。通過公開密鑰，雙方可完成對傳送數(shù)據(jù)的加/解密工作。網(wǎng)絡支付中的安全認證

數(shù)字證書內(nèi)容證書版本信息證書序列號碼證書所使用的簽名算法證書發(fā)行機構有效使用期限證書主題或使用者證書所有人的公開密鑰證書發(fā)行機構的數(shù)字簽名數(shù)字簽名算法識別公鑰字符串證書發(fā)行機構的簽字密鑰網(wǎng)絡支付中的安全認證

數(shù)字證書類型1.個人證書（客戶證書）：證實客戶的身份和密鑰所有權。2.服務器證書（站點證書）：證實服務器的身份和公鑰。3.支付網(wǎng)關證書：在網(wǎng)絡支付與結算中，經(jīng)常用到金融機構的參與，涉及到支付網(wǎng)關的問題，所以支付網(wǎng)關也需要申請一個數(shù)字證書，證實自己的身份。4.安全電子函件證書：證實電子函件用戶的身份和公鑰。5.認證中心CA證書：發(fā)行數(shù)字證書的認證中心CA是安全網(wǎng)絡支付的核心，所以對CA身份的認證變得非常重要，此證書是為了CA身份和CA的簽名密鑰。網(wǎng)絡支付中的安全認證

數(shù)字證書類型只有下列條件為真時，證書才有效：1.證書沒有過期；2.密鑰沒有修改；3.用戶仍然有權使用這個密鑰；4.由可信任的相應的頒發(fā)機構CA及時管理與收回無效證書，并發(fā)行無效證書清單，證書必須不在CA發(fā)行的無效證書清單中。網(wǎng)絡支付中的安全認證

認證中心CA1.概念：基于internet平臺建立的一個公正的、有權威性的、獨立的、廣受信賴的組織機構，主要負責數(shù)字證書的發(fā)行、管理以及認證服務，以保證網(wǎng)上業(yè)務安全可靠的進行。網(wǎng)絡支付中的安全認證

認證中心結構根CA品牌CA地域性CA持卡人CA商戶CA支付網(wǎng)關CA網(wǎng)絡支付中的安全認證

認證中心主要功能1.生成密鑰對及CA證書2.驗證申請人身份3.頒發(fā)數(shù)字證書4.證書以及持有者身份認證查詢5.證書管理及更新6.吊銷證書7.制定相關政策8.保護數(shù)字證書服務器的安全網(wǎng)絡支付中的安全協(xié)議

SSL協(xié)議SSL是一個安全協(xié)議，它提供使用TCP/IP的通信應用程序間的隱私與完整性。因特網(wǎng)的超文本傳輸協(xié)議（HTTP）使用SSL來實現(xiàn)安全的通信注：SSL詳情介紹/Basic/howsslwork.htm網(wǎng)絡支付中的安