電子商務(wù)安全

電子商務(wù)安全5.4

黑客攻擊電子商務(wù)信息安全問題

電子商務(wù)信息安全問題是以信息技術(shù)和計算機(jī)網(wǎng)絡(luò)為基礎(chǔ)的電子商務(wù)與傳統(tǒng)商務(wù)比較，它不可避免的面臨著一系列的特有信息安全威脅。

信息安全威脅包括：信息泄密、信息被篡改、無法確認(rèn)身份、交易方否認(rèn)明文密文發(fā)送方密文明文傳輸接受方密鑰加密解密私有密鑰加密法模型明文密文發(fā)送方密文明文傳輸接受方加密解密公開密鑰加密法模型發(fā)送方私鑰接收方公鑰密鑰對優(yōu)點(diǎn)：1.算法公開2.使用簡單3.加解密速度快、效率高缺點(diǎn)：1.密鑰管理比較困難2.不能確認(rèn)發(fā)送方身份3.消耗大量的密鑰資源優(yōu)點(diǎn)：1.密鑰管理簡單2.可以確認(rèn)發(fā)送方或接受方身份缺點(diǎn)：1.加解密速度慢，處理相同的信息，花費(fèi)的時間可能是私有密鑰加密法的100倍VS私有密鑰加密法公開密鑰加密法數(shù)字摘要

數(shù)字摘要又稱數(shù)字指紋、信息鑒別碼，就是信息發(fā)送方利用某種數(shù)學(xué)算法對信息進(jìn)行處理后，生成的一個有固定長度的特殊字符串。注：目前，在生成數(shù)字摘要的數(shù)學(xué)算法中，Hash算法是最為常用的一種。Hash算法利用Hash函數(shù)對信息（一般是明文）進(jìn)行運(yùn)算，從而得到唯一的字符串，它是一個不可逆的數(shù)學(xué)算法，也就是說，用Hash算法生成的數(shù)字摘要用任何辦法都無法還原成原信息。數(shù)字簽名

與傳統(tǒng)的手工簽名、印章在傳統(tǒng)商務(wù)中所起的作用一樣，數(shù)字簽名解決的主要問題是在電子商務(wù)活動中確保信息、單據(jù)的真實性和不可抵賴性。數(shù)字簽名原理示意數(shù)字信封數(shù)字信封是將對稱密鑰通過非對稱加密的結(jié)果分發(fā)對稱密鑰的方法。數(shù)字信封是實現(xiàn)信息完整性驗證技術(shù)。數(shù)字信封是一種綜合利用了對稱加密技術(shù)和非對稱加密技術(shù)兩者的優(yōu)點(diǎn)進(jìn)行信息安全傳輸?shù)囊环N技術(shù)。數(shù)字信封既發(fā)揮了對稱加密算法速度快、安全性好的優(yōu)點(diǎn)。又發(fā)揮了非對稱加密算法密鑰管理方便的優(yōu)點(diǎn)。完整的加密解密過程①A公司對明文進(jìn)行HASH加密，得到“數(shù)字摘要1”，再用其私鑰對“數(shù)字摘要1”進(jìn)行加密，產(chǎn)生數(shù)字簽名；②A公司對明文進(jìn)行對稱加密，并用B公司的公鑰對對稱加密過程中所用到的密鑰進(jìn)行非對稱加密，從而產(chǎn)生數(shù)字信封；③A公司將數(shù)字簽名、對稱加密的密文、數(shù)字信封一并發(fā)送給B公司；④B公司采用A公司的公鑰對A公司的數(shù)字簽名進(jìn)行解密，得到“數(shù)字摘要1”；⑤B公司采用自己的私鑰對數(shù)字信封進(jìn)行解密，得到對稱加密密鑰；⑥B公司采用對稱密鑰對密文進(jìn)行解密，得到A公司發(fā)送過來的明文；⑦B公司對解密得到的明文進(jìn)行HASH加密，得到“數(shù)字摘要2”；⑧B公司將“數(shù)字摘要1”和“數(shù)字摘要2”進(jìn)行比較，兩者一致，則這次通信是成功的，若兩者不一致，則這次通信是失敗的。完整的加密解密過程數(shù)字時間戳數(shù)字時間戳是一個經(jīng)過加密后形成的憑證文檔，它包括三個部分：一是需加時間戳的文件摘要;二是DTS收到文件的日期和時間；三是DTS的數(shù)字簽名。數(shù)字時間戳工作示意數(shù)字證書

數(shù)字證書是一種權(quán)威性的電子文檔，可以由權(quán)威公正的第三方機(jī)構(gòu)，即CA（例如中國各地方的CA公司）中心簽發(fā)的證書，也可以由企業(yè)級CA系統(tǒng)進(jìn)行簽發(fā)。CA中心是以數(shù)字證書為核心的加密技術(shù)（加密傳輸、數(shù)字簽名、數(shù)字信封等安全技術(shù)）可以對網(wǎng)絡(luò)上傳輸?shù)男畔⑦M(jìn)行加密和解密、數(shù)字簽名和簽名驗證，確保網(wǎng)上傳遞信息的機(jī)密性、完整性及交易的不可抵賴性數(shù)字證書的功能:1.證實電子商務(wù)參與方的身份2.保證操作的不可抵賴性3.保證交易數(shù)據(jù)不被篡改4.數(shù)據(jù)加密數(shù)字證書的類型：1.個人數(shù)字證書2.服務(wù)器數(shù)字證書3.代碼簽名數(shù)字證書X.509證書包含：1.X.509版本號2.證書持有人的公鑰3.證書的序列號4.主題信息5.證書的有效期6.認(rèn)證機(jī)構(gòu)認(rèn)證中心

認(rèn)證中心也稱數(shù)字證書認(rèn)證中心（即CA），是基于因特網(wǎng)平臺建立的以個公正的、有權(quán)威性的、獨(dú)立的、受信賴的組織結(jié)構(gòu)，主要負(fù)責(zé)數(shù)字證書的發(fā)行、管理以及認(rèn)證等服務(wù)，以保證網(wǎng)上業(yè)務(wù)安全可靠地進(jìn)行。認(rèn)證中心的功能：1.證書的頒發(fā)2.證書的更新3.證書的查詢4.證書的作廢5.證書的歸類

兩臺計算機(jī)在進(jìn)行通信時，通信協(xié)議三個要素：（1）語法，即如何通信，包括數(shù)據(jù)的格式、編碼和信號等級（電平的高低）等；（2）語義：即通信內(nèi)容，包括數(shù)據(jù)內(nèi)容、含義以及控制信息等；（3）定時規(guī)則（時序）：即何時通信，明確通信的順序、速率匹配和排序。安全協(xié)議電子商務(wù)安全協(xié)議1.SSL協(xié)議（安全套接層協(xié)議）2.SET協(xié)議（安全電子交易）1.SSL協(xié)議SSL協(xié)議是一種在客戶端Web瀏覽器和Internet上的服務(wù)器之間提供數(shù)據(jù)傳輸安全通道的協(xié)議。SSL的體系結(jié)構(gòu)中包含兩個協(xié)議子層底層是SSL記錄協(xié)議層高層是SSL握手協(xié)議層SSL協(xié)議提供的安全通道有以下三個特征：一是機(jī)密性，二是可靠性，三是完整性

為了克服SSL協(xié)議，兩大信用卡組織Vis