信息安全概述-第七章-7.2-電子商務(wù)安全

信息安全工程師----第七章7.2電子商務(wù)安全

第七章7.2電子商務(wù)安全電子商務(wù)安全電子商務(wù)是以信息網(wǎng)絡(luò)技術(shù)為手段，以商品交換為中心的商務(wù)活動；也可以理解為在互聯(lián)網(wǎng)、企業(yè)內(nèi)部網(wǎng)上以電子交易方式進(jìn)行交易活動和相關(guān)服務(wù)的活動，是傳統(tǒng)商業(yè)活動各環(huán)節(jié)的電子化、網(wǎng)絡(luò)化、信息化。電子商務(wù)的定義及安全需求電子商務(wù)系統(tǒng)的安全問題除了包含計算機(jī)系統(tǒng)本身存在的安全隱患外，還包括了電子商務(wù)中數(shù)據(jù)的安全隱患和交易的安全隱患。要保證電子商務(wù)的安全性，就要滿足下列安全需求：信息保密性需求信息完整性需求交易信息不可抵賴性需求交易對象身份可認(rèn)證性需求服務(wù)有效性需求訪問控制需求SET協(xié)議SET協(xié)議是應(yīng)用層的協(xié)議，是一種基于消息流的協(xié)議，它是面向B2C(企業(yè)對消費(fèi)者)模式的，完全針對信用卡來制定，涵蓋了信用卡在電子商務(wù)交易中的交易協(xié)議信息保密、資料完整等各個方面。

SET協(xié)議主要使用的技術(shù)包括:對稱密鑰加密公鑰加密Hash算法數(shù)字簽名數(shù)字信封數(shù)字證書SET協(xié)議是一個基于可信的第三方認(rèn)證中心的方案，其主要的實(shí)現(xiàn)目標(biāo)是:保證電子離務(wù)參與者信息的相互隔離、保證信息在Internet上安全傳輸、解決多方認(rèn)證問題、保證網(wǎng)上交易的實(shí)時性、提供一個開放式的標(biāo)準(zhǔn)。SET交易的參與方包括持卡人、發(fā)卡機(jī)構(gòu)、離家、收單銀行、支付網(wǎng)關(guān)和數(shù)字證書認(rèn)證中心CA。SET協(xié)議是一種電子支付系統(tǒng)的安全協(xié)議，因此它涉及加密、認(rèn)證等多種技術(shù)。1.加密技術(shù)

加密技術(shù)是SET協(xié)議中的核心技術(shù)，在SET中使用的主要包括對稱加密、非對稱加密、數(shù)字簽名、消息摘要、數(shù)字信封、雙重簽名等。2.認(rèn)證技術(shù)

網(wǎng)上交易的買賣雙方在進(jìn)行每一筆交易時，為了保證交易的可靠性，買方和賣方都要鑒別對方的身份。CA的主要功能有:接收注冊請求處理、批準(zhǔn)/拒絕請求、發(fā)行證書。SSL協(xié)議SSL安全套接層協(xié)議是安全通信協(xié)議。

在SSL中，采用了公開密鑰和私有密鑰兩種加密方式，它對計算機(jī)之間整個會話進(jìn)行加密，從而保證了安全傳輸。SSL的安全服務(wù)位于TCP和應(yīng)用層之間，可為應(yīng)用層(如HTTP、FTP、SMTP)提供安全業(yè)務(wù)，服務(wù)對象主要是Web應(yīng)用，即客戶瀏覽器和服務(wù)器。SSL服務(wù)器認(rèn)證允許用戶確認(rèn)服務(wù)器身份。SSL客戶機(jī)認(rèn)證允許服務(wù)器確認(rèn)用戶身份。一個加密的SSL連接要求所有在客戶機(jī)與服務(wù)器之間發(fā)送的信息由發(fā)送方軟件加密和由接受方軟件解密，對稱加密法用于數(shù)據(jù)如密(如用DES和RC4等)，從而連接是保密的。

SSL主要工作流程包括:網(wǎng)絡(luò)連接建立:與該連接柜關(guān)的加密方式和壓縮方式選擇:雙方的身份識別:本次傳輸密鈣的確定:加密的數(shù)據(jù)傳輸:網(wǎng)絡(luò)連接的關(guān)閉。SSL是一個兩層協(xié)議，包括SSL握手層協(xié)議和SSL記錄層協(xié)議。SSL協(xié)議提供的服務(wù)可以歸納為如下三個方面:用戶和服務(wù)器的合法性認(rèn)證加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)維護(hù)數(shù)據(jù)的完整性SSL協(xié)議自身的缺陷:客戶端假冒SSL協(xié)議無法提供基于四P應(yīng)用的安全保護(hù)SSL協(xié)議不能對抗通信流量分析可能受到針對基于公鑰加密標(biāo)準(zhǔn)（PKCS)的協(xié)議的自適應(yīng)選擇密文攻擊進(jìn)程中的主密鑰泄漏磁盤上的臨時文件可能遭受攻擊。SSL加密算法和會話密鑰是在握手協(xié)議中協(xié)商并由Cipher-Choice指定的。現(xiàn)有的SSL版本中所用到的加密算法包括：RC4，RC2,IDEA、DES和3DES，而加密算法所用的密鑰由消息散列函數(shù)