第8章-電子商務(wù)安全技術(shù)

第八章電子商務(wù)安全技術(shù)主要內(nèi)容8.1電子商務(wù)安全概述8.2電子商務(wù)安全技術(shù)8.3安全技術(shù)協(xié)議8.4電子商務(wù)安全解決方案8.1電子商務(wù)安全概述

一個安全的電子商務(wù)系統(tǒng)，首先要有一個安全、可靠的通信網(wǎng)絡(luò)，以保證各種信息安全、迅速地傳遞；其次要保證各種服務(wù)器安全，如WWW服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器，防止非授權(quán)者入侵破壞、盜取信息；

最后，要保證商務(wù)交易安全，使交易的參與者為自己的行為負責(zé)，從而建立良好的電子商務(wù)秩序。8.1.1電子商務(wù)安全威脅Internet是一個高度開放的信息交換媒介，商務(wù)信息通過計算機網(wǎng)絡(luò)進行傳輸，安全問題在電子商務(wù)的發(fā)展和應(yīng)用中顯得越來越突出。如何建立一個安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對信息提供足夠安全的保護，已經(jīng)成為商家和用戶都十分關(guān)心的話題。

電子商務(wù)環(huán)境安全隱患計算機硬件系統(tǒng)的安全隱患計算機軟件系統(tǒng)的安全隱患電子商務(wù)網(wǎng)絡(luò)系統(tǒng)的安全隱患數(shù)據(jù)安全隱患8.1.1電子商務(wù)安全威脅電子商務(wù)交易安全隱患交易信息的安全隱患電子支付的安全隱患電子商務(wù)管理安全隱患8.1.1電子商務(wù)安全威脅保密性完整性不可抵賴性真實性8.1.2電子商務(wù)安全要素信息不被泄露給非授權(quán)用戶、實體和過程，或供其利用的特性。信息未授權(quán)不能進行改變。參與者不可能否認或抵賴曾經(jīng)完成的操作和承諾。交易各方能正確識別對方并能互相證明身份。數(shù)據(jù)加密策略訪問權(quán)限控制策略防火墻控制安全的操作系統(tǒng)入侵檢測保護策略防病毒策略8.1.3電子商務(wù)網(wǎng)絡(luò)安全策略主要內(nèi)容8.18.28.38.4電子商務(wù)安全概述電子商務(wù)安全技術(shù)安全技術(shù)協(xié)議電子商務(wù)安全解決方案8.2電子商務(wù)安全技術(shù)一個安全的電子商務(wù)系統(tǒng)，主要是由電子商務(wù)安全技術(shù)來實現(xiàn)和保證的。

電子商務(wù)安全技術(shù)主要有：防火墻技術(shù)、加密技術(shù)、認證技術(shù)等。

防火墻是一種用來保護本地系統(tǒng)或網(wǎng)絡(luò)的設(shè)備，以防止網(wǎng)絡(luò)攻擊破壞系統(tǒng)或網(wǎng)絡(luò)。通常位于被保護的網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的邊界，根據(jù)防火墻所配置的安全策略監(jiān)控和過濾內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有通信量。8.2.1防火墻技術(shù)1.包過濾型防火墻8.2.1防火墻技術(shù)數(shù)據(jù)包過濾技術(shù)是根據(jù)每個數(shù)據(jù)包頭內(nèi)的標(biāo)志來確定是否允許該數(shù)據(jù)包通過防火墻，其中過濾的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾規(guī)則。

優(yōu)點：簡單易行、網(wǎng)絡(luò)性能和透明性好

缺點：需要設(shè)置相當(dāng)詳細的過濾規(guī)則，且隨著過濾規(guī)則數(shù)據(jù)的增加，出錯概率增大，系統(tǒng)性能也會受到很大影響。2.應(yīng)用代理型防火墻8.2.1防火墻技術(shù)應(yīng)用代理型防火墻能夠為應(yīng)用軟件解釋協(xié)議流，并且根據(jù)協(xié)議內(nèi)部可見部分控制數(shù)據(jù)流通過防火墻的行為，從而使得應(yīng)用軟件只接受正常的活動請求。優(yōu)點：可以防應(yīng)用層攻擊

缺點：實現(xiàn)較為復(fù)雜，處理速度較慢，有處理延遲

加密：使用數(shù)學(xué)方法將原始消息（明文）重新組織、變換成只有授權(quán)用戶才能解讀的密碼形式（密文）。加密技術(shù)是計算機網(wǎng)絡(luò)安全很重要的一部分。

由于Internet本身的不安全，為了確保安全，不僅要對口令進行加密，有時也對在網(wǎng)上傳輸?shù)奈募M行加密。8.2.2加密技術(shù)

又稱私有密鑰加密。在對稱加密算法中，使用的密鑰只有一個，發(fā)收信雙方都使用這個密鑰對數(shù)據(jù)進行加密和解密。8.2.2加密技術(shù)1.對稱加密8.2.2加密技術(shù)1.對稱加密對稱式密鑰技術(shù)加解密過程

又稱公開密鑰加密，加密和解密使用不同的密鑰。每個用戶都有一對密鑰，公開密鑰（公鑰）和私有密鑰（私鑰）。公鑰存放在公共區(qū)域；私鑰存放在安全保密的地方。如果用公鑰對數(shù)據(jù)加密，則只有用對應(yīng)的私鑰才能解密，反之亦然。8.2.2加密技術(shù)2.非對稱加密8.2.2加密技術(shù)2.非對稱加密非對稱式密鑰技術(shù)加解密過程8.2.2加密技術(shù)2.非對稱加密數(shù)字信封是一種綜合利用了對稱加密技術(shù)和非對稱加密技術(shù)兩者的優(yōu)點進行信息安全傳輸?shù)囊环N技術(shù)。數(shù)字信封既發(fā)揮了對稱加密算法速度快、安全性好的優(yōu)點，又發(fā)揮了非對稱加密算法密鑰管理方便的優(yōu)點。8.2.2加密技術(shù)3.加密技術(shù)應(yīng)用

安全認證是電子商務(wù)運行的第一道防線，也是非常重要的一道防線，建立一套完善的安全認證體系是電子商務(wù)大規(guī)模商業(yè)化運行的基礎(chǔ)。

隨著網(wǎng)絡(luò)以及網(wǎng)絡(luò)安全技術(shù)的發(fā)展，出現(xiàn)了各種各樣的認證技術(shù)：身份認證、報文摘要、數(shù)字簽名、公鑰基礎(chǔ)設(shè)施及電子商務(wù)認證中心等。8.2.3認證技術(shù)基本思想：通過驗證被認證對象的屬性來達到確認被認證對象是否真實有效的目的。電子商務(wù)中的身份認證方案：

基于口令的身份認證方案

基于智能卡的身份認證方案

基于生物特征的身份認證方案8.2.3認證技術(shù)1.身份認證報文摘要(Message

Digest)，也稱消息摘要，根據(jù)報文推導(dǎo)出來的能反映報文特征，且具有固定長度的特定信息。

由明文推導(dǎo)出報文摘要是由哈希函數(shù)完成的，輸入變長的信息，該函數(shù)能夠產(chǎn)生定長的輸出。對于任意兩個不同的輸人報文，其報文摘要值也會不同。8.2.3認證技術(shù)2.報文摘要作用：驗證報文是否被修改過，即報文的完整性。3.數(shù)字簽名

數(shù)字簽名是附加在數(shù)據(jù)單元上的一些數(shù)據(jù)，或是對數(shù)據(jù)單元所做的密碼變換，這種數(shù)據(jù)或變換允許數(shù)據(jù)單元的接收者用以確認數(shù)據(jù)單元來源和數(shù)據(jù)單元的完整性，并保護數(shù)據(jù)，防止被人(如接收者)偽造。8.2.3認證技術(shù)3.數(shù)字簽名8.2.3認證技術(shù)數(shù)字簽名過程示意圖4.公鑰基礎(chǔ)設(shè)施及電子商務(wù)認證中心

要想讓交易在公平公正的環(huán)境下進行，必須要有第三方仲裁機構(gòu)參與，該機構(gòu)可以為用戶頒發(fā)“身份標(biāo)志”，即數(shù)字證書，數(shù)字證書是所有參與電子交易用戶的“身份證”，它將用戶的身份與密鑰綁定在一起。8.2.3認證技術(shù)(1)數(shù)字證書

是標(biāo)識網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，用來在網(wǎng)絡(luò)通信中識別通信對象的身份。數(shù)字證書由認證中心CA發(fā)放并經(jīng)CA數(shù)字簽名，是包含公鑰擁有者以及公鑰相關(guān)信息的一種電子文件。8.2.3認證技術(shù)目前，最常用的數(shù)字證書是x.509證書。8.2.3認證技術(shù)(1)數(shù)字證書8.2.3認證技術(shù)8.2.3認證技術(shù)8.2.3認證技術(shù)(2)公鑰基礎(chǔ)設(shè)施PKI公鑰基礎(chǔ)設(shè)施是利用公共密鑰理論和技術(shù)建立的，能提供安全服務(wù)的基礎(chǔ)設(shè)施。PKI體系結(jié)構(gòu)采用證書管理公鑰，通過第三方的可信認證中心CA，把用戶的公鑰和用戶的其他標(biāo)識信息(如名稱、E-mail、身份證號等)捆綁在一起，以方便網(wǎng)絡(luò)中通信對象之間驗證彼此的身份。8.2.3認證技術(shù)(3)電子商務(wù)認證中心CA

以CA為核心的PKI安全體系結(jié)構(gòu)是電子商務(wù)的基礎(chǔ)設(shè)施，它為電子商務(wù)的參與方提供了安全保障的應(yīng)用環(huán)境。

作為PKI的核心組件CA，是具有公正性、權(quán)威性的第三方認證中心，完善的電子商務(wù)系統(tǒng)必須有一套完整合理的CA系統(tǒng)支撐。8.2.3認證技術(shù)主要內(nèi)容8.18.28.38.4電子商務(wù)安全概述電子商務(wù)安全技術(shù)安全技術(shù)協(xié)議電子商務(wù)安全解決方案8.3安全技術(shù)協(xié)議電子商務(wù)的運行需要一套完整的安全協(xié)議。目前，比較成熟的協(xié)議：SSL（Secure

Sockets

Layer）SET(Secure

Electronic

Transaction)安全超文本傳輸協(xié)議(S-HTTP)等。8.3.1安全套接層SSL協(xié)議SSL是提供Internet上的通信隱私性的安全協(xié)議。

該協(xié)議允許客戶端／服務(wù)器端進行防竊聽、防消息篡改，以及消息偽造的安全的通信。

SSL協(xié)議是位于TCP／IP和各種應(yīng)用層協(xié)議之間的一種數(shù)據(jù)安全協(xié)議，它可以有效的避免網(wǎng)上信息的偷聽、篡改以及偽造。(1)SSL提供的服務(wù)認證用戶和服務(wù)器，確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器上加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊取維護數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變8.3.1安全套接層SSL協(xié)議(2)SSL工作過程8.3.1安全套接層SSL協(xié)議

SET主要是為了解決商家、用戶和銀行之間通過信用卡支付的交易而設(shè)計的，以保證支付信息的機密、支付過程的完整、商戶及持卡人的合法身份，以及可操作性。

安全電子交易協(xié)議實質(zhì)是一種應(yīng)用在Internet上、以信用卡為基礎(chǔ)的電子付款系統(tǒng)規(guī)范，目的是為了保證網(wǎng)絡(luò)交易的安全。8.3.2安全電子交易SET協(xié)議(1)SET安全協(xié)議主要服務(wù)機密性數(shù)據(jù)完整性身份驗證防抵賴性8.3.2安全電子交易SET協(xié)議(2）SET的主要參與者8.3.2安全電子交易SET協(xié)議持卡人商家發(fā)卡銀行收單銀行支付網(wǎng)關(guān)認證中心(3）SET的系統(tǒng)組成8.3.2安全電子交易SET協(xié)議持卡人電子錢包商家系統(tǒng)支付網(wǎng)關(guān)系統(tǒng)證書授權(quán)系統(tǒng)（4）基于SET的網(wǎng)上信用卡安全交易8.3.2安全電子交易SET協(xié)議（5）SSL協(xié)議與SET協(xié)議的比較SSL協(xié)議實現(xiàn)簡單、使用方便、成本較低。SET協(xié)議實施成本較高，要依賴于可信賴第三方認證機構(gòu)，運行機制復(fù)雜。

SSL協(xié)議是一個面向連接的協(xié)議，可以通過數(shù)字簽名和數(shù)字證書來實現(xiàn)瀏覽器和Web服務(wù)器雙方的身份驗證，不能實現(xiàn)多方認證。而SET協(xié)議能夠?qū)λ袇⑴c成員進行身份認證。8.3.2安全電子交易SET協(xié)議

SET協(xié)議規(guī)范了整個商務(wù)活動的流程，對各個參與者之間的信息流必須采用的加密、認證都制定了嚴密的標(biāo)準(zhǔn)，從而最大限度地保證了安全性、商務(wù)性、服務(wù)性、協(xié)調(diào)性和集成性。而SSL只對客戶端與服務(wù)器之間的信息交換進行加密保護，可以看做是用于傳輸?shù)募夹g(shù)規(guī)范。（5）SSL協(xié)議與SET協(xié)議的比較8.3.2安全電子交易SET協(xié)議SSL協(xié)議和SET協(xié)議處在網(wǎng)絡(luò)協(xié)議的不同層次位置。SET網(wǎng)絡(luò)和計算機處理要求較高，所以使得其性能不及SSL協(xié)議。SSL配置簡單，傳輸性能較高。在應(yīng)用領(lǐng)域方面，SSL協(xié)議主要是應(yīng)用在Web應(yīng)用上，能夠勝任只是通過Web或電子郵件就可完成的電子商務(wù)應(yīng)用。SET協(xié)議能夠為信用卡交易提供安全，應(yīng)用更為廣泛。（5）SSL協(xié)議與SET協(xié)議的比較8.3.2安全電子交易SET協(xié)議S-HTTP是超文本傳輸協(xié)議(HTTP)的一個擴展，擴充了HTTP的安全性，增加了報文的安全性。它的設(shè)計目的是實現(xiàn)在互聯(lián)網(wǎng)上進行文件的安全交換。該協(xié)議能夠為互聯(lián)網(wǎng)的應(yīng)用提供完整性、不可否認性及機密性等安全措施。8.3.3安全超文本傳輸協(xié)議(S-HTTP)主要內(nèi)容8.18.28.38.4電子商務(wù)安全概述電子商務(wù)安全技術(shù)安全技術(shù)協(xié)議電子商務(wù)安全解決方案8.4電子商務(wù)安全解決方案

電子商務(wù)解決方案是指用于特定類型的電子商務(wù)系統(tǒng)的全套技術(shù)方案，是一整套計算機應(yīng)用技術(shù)的有機結(jié)合，它以實現(xiàn)一定的商業(yè)經(jīng)營活