電子商務(wù)安全問題與安全交易標(biāo)準(zhǔn)

電子商務(wù)ElectronicBusiness2007-2008學(xué)年第二學(xué)期

經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系wt.2@課程前言0電子商務(wù)模式2電子商務(wù)支付4電子商務(wù)法律法規(guī)6電子商務(wù)概述1電子商務(wù)安全3電子商務(wù)物流管理5企業(yè)電子商務(wù)7課程索引IndexofEB3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement第三章·引言第三章：電子商務(wù)安全§3.1電子商務(wù)安全問題§3.2電子商務(wù)系統(tǒng)安全常用技術(shù)★§3.3電子商務(wù)安全交易標(biāo)準(zhǔn)★§3.4電子商務(wù)安全管理制度3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題一、電子商務(wù)安全問題的提出3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題一、電子商務(wù)安全問題的提出3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題一、電子商務(wù)安全問題的提出3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題二、電子商務(wù)存在的安全隱患

1、系統(tǒng)中斷與癱瘓（穩(wěn)定性隱患）2、信息被竊取（機(jī)密性隱患）3、信息被篡改（完整性隱患）4、信息被偽造（有效性隱患）5、對交易行為進(jìn)行抵賴3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題三、電子商務(wù)的安全要素

1、真實有效性（對信息的真?zhèn)?、實體的有效性進(jìn)行鑒別）；2、機(jī)密性（保證信息不被泄露給非授權(quán)的第三方）；3、數(shù)據(jù)的完整性（保證數(shù)據(jù)一致性，防止數(shù)據(jù)被非授權(quán)建立、修改和破壞）；4、可靠性、不可否認(rèn)性和可控性

3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.1電子商務(wù)安全問題四、電子商務(wù)安全涉及的范圍

1、信息的安全；2、信息傳遞的安全；3、信用的安全；4、設(shè)備的安全。五、電子商務(wù)安全的保障

1、社會的法律政策與法律保障；2、信息技術(shù)方面的措施；3、信息安全管理制度的保障。3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)一、防火墻（Firewall）1、定義：所謂防火墻就是設(shè)置在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障，以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。被保護(hù)網(wǎng)絡(luò)外部網(wǎng)絡(luò)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)一、防火墻（Firewall）2、防火墻圖示：防火墻邏輯位置示意圖3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)所謂加密，即指用基于數(shù)學(xué)方法的程序和保密的密鑰對信息進(jìn)行編碼，把計算機(jī)數(shù)據(jù)變成一堆雜亂無章難以理解的字符串。加密的實質(zhì)是由加密過程和解密過程組成的。明文明文密文3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)加密的兩個要素：（1）加密算法：是加密程序的邏輯算法（2）密鑰：指加密算法中的可變參數(shù)例如：Y=X+k思考其中的算法和密鑰3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)1、對稱加密（私有密鑰加密）

SecretKeyCryptography

數(shù)據(jù)發(fā)送方和接收方使用同一把私有密鑰，把明文加密成密文和把密文解密成明文用的是同一把私有密鑰。（一把鑰匙開一把鎖）明文密文加密解密密鑰（發(fā)送方）密鑰（接收方）明文密文網(wǎng)絡(luò)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)明文3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)乙銀行：有一筆２０００元資金轉(zhuǎn)賬至貴行abcde賬號上。甲銀行#>!$!%(@^!@#$%^&*()_+網(wǎng)絡(luò)傳輸#>!$!%(@^!@#$%^&*()_+乙銀行：有一筆２０００元資金轉(zhuǎn)賬至貴行abcde賬號上。甲銀行加密解密信息明文信息密文信息密文信息明文相同的私有密鑰A甲銀行乙銀行3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)1、對稱加密（私有密鑰加密）

SecretKeyCryptography

私有密鑰加密的常用算法：※數(shù)據(jù)加密標(biāo)準(zhǔn)DES（DataEncryptionStandard）※國際數(shù)據(jù)加密算法IDEA（InternationalDataEncryptionAlgorithm）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)2、非對稱加密（公開密鑰加密）

PublicKeyCryptography

公開密鑰主要用于對發(fā)送的消息進(jìn)行加密，可以把公開密鑰發(fā)給希望與公開密鑰持有者進(jìn)行安全通信的任何人，私有密鑰主要用于對收到的信息進(jìn)行解密。明文密文公開密鑰（接收方）私有密鑰（接收方）明文密文網(wǎng)絡(luò)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)乙銀行：將200元資金從本賬號轉(zhuǎn)移至貴行XYZ賬號上。客戶甲#>!$!%(@^!@#$%^&*()_+網(wǎng)絡(luò)傳輸#>!$!%(@^!@#$%^&*()_+乙銀行：將200元資金從本賬號轉(zhuǎn)移至貴行XYZ賬號上。客戶甲加密解密通知明文通知密文通知密文通知明文私有密鑰A客戶甲乙銀行公開密鑰B3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)客戶甲：本行已將200元資金從你賬號轉(zhuǎn)移至XYZ賬號上。銀行乙#>!$!%(@^!@#$%^&*()_+網(wǎng)絡(luò)傳輸#>!$!%(@^!@#$%^&*()_+客戶甲：本行已將200元資金從你賬號轉(zhuǎn)移至XYZ賬號上。銀行乙加密解密確認(rèn)明文確認(rèn)密文確認(rèn)密文確認(rèn)明文私有密鑰A客戶甲乙銀行公開密鑰B3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)二、加密技術(shù)2、非對稱加密（公開密鑰加密）

PublicKeyCryptography

公開密鑰加密的常用算法：（一般基于復(fù)雜的數(shù)學(xué)難題）RSA算法（大整數(shù)因子分解系統(tǒng)）ECC算法（橢圓曲線離散對數(shù)系統(tǒng)）DSA算法（離散對數(shù)系統(tǒng)）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)3、兩種加密方法的結(jié)合；明文密文對稱加密發(fā)送方私有密鑰發(fā)送方私有密鑰不對稱加密接收方公開密鑰加密后的密鑰網(wǎng)絡(luò)密文加密后的密鑰加密后的密鑰不對稱解密接收方私有密鑰發(fā)送方私有密鑰密文明文對稱解密發(fā)送方私有密鑰發(fā)送方接收方3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)三、數(shù)字摘要（DigitalDigest）定義：數(shù)字摘要是發(fā)送者對被傳送的一個信息報文，根據(jù)某種數(shù)學(xué)算法計算出一個此信息報文的摘要值，并將此摘要值與原始信息報文一起通過網(wǎng)絡(luò)傳送給接收者，接受者應(yīng)用此摘要值來檢驗信息報文在網(wǎng)絡(luò)傳送過程中有沒有發(fā)生改變來判斷信息報文的真實與否。另稱為：數(shù)字指紋FingerPrint數(shù)字手印DigitalThumbprint3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)三、數(shù)字摘要（DigitalDigest）產(chǎn)生示例：乙銀行：將200元資金從本賬號轉(zhuǎn)移至貴行XYZ賬號上。客戶甲AdsEW3298woei（數(shù)字摘要）網(wǎng)絡(luò)傳輸Hash算法客戶甲乙銀行乙銀行：。。。。。。。。客戶甲。。。。。（數(shù)字摘要）AdsEW3298woei（數(shù)字摘要）Hash算法比對3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)四、數(shù)字簽名（DigitalSignature）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)五、數(shù)字時間戳（DTS）

DigitalTime-stampService,對電子商務(wù)中交易數(shù)據(jù)的日期和時間信息采取安全措施，提供電子信息在時間上的安全保護(hù)。數(shù)字時間戳一般由大家均信任的第三方機(jī)構(gòu)提供，是一個經(jīng)加密后形成的憑證文檔，包括需要加時間戳的信息摘要；時間戳服務(wù)機(jī)構(gòu)收到該信息的時間日期；數(shù)字時間戳服務(wù)機(jī)構(gòu)的數(shù)字簽名。3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)數(shù)字信封使用加密技術(shù)來保證只有規(guī)定的特定收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信息發(fā)送方采用對稱密鑰來加密信息，然后將此對稱密鑰用接受方的公開密鑰來加密（這部分稱為數(shù)字信封）之后，將它和信息一起發(fā)送給接受方，接受方先用相應(yīng)的私有密鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰解開信息。六、數(shù)字信封3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）

1、簡介

數(shù)字證書是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源的訪問權(quán)限。證書就是一份文檔，記錄了用戶的公開密鑰和其他身份信息。數(shù)字證書是由CA認(rèn)證中心（CertificateAuthorities）頒發(fā)的、包含公開密鑰持有者信息、公開密鑰的文件，以及CA證認(rèn)中心的數(shù)字簽名。3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）

2、數(shù)字證書類型

（1）個人數(shù)字證書（2）服務(wù)器證書（3）開發(fā)者證書

3、CA認(rèn)證中心又稱認(rèn)證權(quán)威、認(rèn)證中心、證書授權(quán)機(jī)構(gòu)，是承擔(dān)網(wǎng)上認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書并能確認(rèn)用戶身份的第三方機(jī)構(gòu)。3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.2電子商務(wù)安全常用技術(shù)七、數(shù)字證書（DigitalCertificates）3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)常用電子商務(wù)安全協(xié)議：1、安全多用途互聯(lián)網(wǎng)郵件擴(kuò)充協(xié)議S/MIME；2、安全超文本傳輸協(xié)議S-HTTP；3、安全套接層協(xié)議SSL；（★）SecureSocketLayer4、安全電子交易協(xié)議SET。（★）

SecureElectronicTransaction3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)SSL安全機(jī)制（發(fā)送方）信息數(shù)字摘要數(shù)字簽名發(fā)送方私鑰加密（對稱密鑰）加密后的信息接收方數(shù)字證書信息數(shù)字簽名發(fā)送方數(shù)字證書加密（使用接收方公開密鑰）數(shù)字信封3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.3電子商務(wù)安全交易標(biāo)準(zhǔn)SSL安全機(jī)制（接收方）數(shù)字簽名加密后的信息數(shù)字信封解密（使用接收方私有密鑰）加密（對稱密鑰）信息數(shù)字簽名發(fā)送方數(shù)字證書數(shù)字摘要解密（使用發(fā)送方公開密鑰）數(shù)字摘要比較3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.4電子商務(wù)安全管理制度一、人員管理制度

1.工作責(zé)任制：雙人負(fù)責(zé)；任期有限；最小權(quán)限2.普通用戶安全要求：上網(wǎng)行為；賬戶安全；信息處理3.系統(tǒng)管理員的安全職責(zé)：對外界訪問的關(guān)注；檢查安全漏洞4.隨時進(jìn)行病毒檢查3DesignedByWand經(jīng)濟(jì)貿(mào)易學(xué)院·財務(wù)管理系DepartmentofFinancialManagement3.4電子商務(wù)安全管理制度二、保密制度三、跟蹤、審計、稽核制度

跟蹤制度要求建立網(wǎng)交易系統(tǒng)日志；審計制度指對系統(tǒng)日志的檢查審核；稽核是相關(guān)部門對交易安全及合法性的檢驗四、網(wǎng)絡(luò)交易系統(tǒng)