項(xiàng)目九 電子商務(wù)安全技術(shù)

1、電子商務(wù)實(shí)務(wù)項(xiàng)目教程案例1：2000年，Yahoo、eBay、Amazon等網(wǎng)站被黑客攻擊，直接和簡介損失10億美元。2003年，Yahoo、eBay、Amazon再次受到黑客攻擊，一度癱瘓，攻擊方式是控制第三方計(jì)算機(jī)，并通過它不斷向網(wǎng)站服務(wù)器發(fā)送大量信息請(qǐng)求，導(dǎo)致正常用戶無法訪問。2007年，黑客入侵eBay服務(wù)器，短時(shí)間內(nèi)部分用戶無法登陸。此后eBay官方發(fā)言人通過一封電郵表示：“在造成永久性損失之前，迅速掃除了黑客，也絕沒有財(cái)政商務(wù)信息和其他重要數(shù)據(jù)泄漏”。而黑客在eBay論壇公布了1200份eBay會(huì)員姓名和聯(lián)系信息，甚至包括信用卡號(hào)。這次黑客事件引起了用戶恐慌。案例2：Bibliof

2、ind公司成立于1996年，是第一家專門銷售絕版書的網(wǎng)站。注冊(cè)客戶可以按照書名、價(jià)格和版次進(jìn)行檢索。訪問者也可以登記書單，到貨后會(huì)發(fā)電子郵件通知。該公司有龐大客戶群、良好口碑和絕版書供應(yīng)網(wǎng)。2001年，黑客入侵該公司服務(wù)器，更換了主頁。公司不得不關(guān)閉網(wǎng)站。在技術(shù)人員審查服務(wù)器日志時(shí)，發(fā)現(xiàn)黑客其實(shí)已經(jīng)入侵四個(gè)月之久，更糟糕的是，有些黑客能夠通過www服務(wù)器進(jìn)入存儲(chǔ)客戶信息的計(jì)算機(jī)，這些客戶信息是以文本格式存儲(chǔ)在公司的交易服務(wù)器上的。該公司立即報(bào)告州和聯(lián)邦執(zhí)法機(jī)構(gòu)調(diào)查這次黑客事件，并向9.8萬名客戶發(fā)出了電子郵件，提醒客戶信息可能已被黑客獲取。官方?jīng)]有逮捕責(zé)任人，也沒有發(fā)現(xiàn)嫌犯。一個(gè)月后，Bibl

3、iofind被關(guān)閉了。一家成功的企業(yè)，因?yàn)椴荒鼙４婵蛻粜畔?，毀于一旦。網(wǎng)絡(luò)安全性日益重要?；ヂ?lián)網(wǎng)環(huán)境中開展電子商務(wù)，所有參與者都擔(dān)心自身利益能否得到真正保障。只有保證了電子商務(wù)的安全，才能夠吸引更多的公眾投身電子商務(wù)、應(yīng)用電子商務(wù)、發(fā)展電子商務(wù)，才能使電子商務(wù)健康生存、高速發(fā)展。電子商務(wù)安全現(xiàn)狀電子商務(wù)安全的要素：可靠性、真實(shí)性、機(jī)密性、完整性、有效性、不可抵賴性、內(nèi)部網(wǎng)的嚴(yán)密性電子商務(wù)安全協(xié)議 1、分類：加密協(xié)議；身份驗(yàn)證協(xié)議；密鑰管理協(xié)議；數(shù)據(jù)驗(yàn)證協(xié)議；安全審計(jì)協(xié)議；防護(hù)協(xié)議。 2、國際通用電子商務(wù)安全協(xié)議：安全套接層協(xié)議SSL；安全電子交易協(xié)議SET；S-HTTP安全協(xié)議。加密技術(shù) 加密

4、包括兩個(gè)元素：加密算法和密鑰。 加密算法：用基于數(shù)學(xué)計(jì)算方法與一串?dāng)?shù)字（密鑰）對(duì)普通文本（信息）進(jìn)行編碼，產(chǎn)生不可理解的密文的一系列步驟。 密鑰：用來對(duì)文本進(jìn)行編碼和解碼的數(shù)字。 加密程序：將明文轉(zhuǎn)成密文的程序。加密的分類 1、散列編碼：用散列算法求出某個(gè)消息的散列值得過程。2、對(duì)稱加密（私有密鑰加密）：用且只用一個(gè)密鑰對(duì)信息進(jìn)行加密和解密。3、非對(duì)稱加密（公開密鑰加密）：用兩個(gè)數(shù)學(xué)相關(guān)的密鑰進(jìn)行編碼。數(shù)字簽名技術(shù) 數(shù)字簽名：將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。 數(shù)字簽名可以確定：信息來源；未做過修改。 數(shù)字簽名可以防止：電子商務(wù)信息

5、作偽；冒用他人名義發(fā)送信息；發(fā)出或收到信件后又加以否認(rèn)。 數(shù)字簽名的其他優(yōu)點(diǎn)：易更換、難偽造、可進(jìn)行遠(yuǎn)程線路傳遞 數(shù)字簽名的使用方法：只有加入數(shù)字簽名及驗(yàn)證，才能真正實(shí)現(xiàn)在公開網(wǎng)絡(luò)上的安全傳輸。認(rèn)證技術(shù) 第三方認(rèn)證中心：電子商務(wù)認(rèn)證授權(quán)機(jī)構(gòu)，也稱為電子商務(wù)認(rèn)證中心（CA），承擔(dān)網(wǎng)上安全電子交易的認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。 認(rèn)證中心的職能：證書發(fā)放；證書更新；證書撤消；證書驗(yàn)證。數(shù)字證書 數(shù)字證書：一個(gè)擔(dān)保個(gè)人、計(jì)算機(jī)系統(tǒng)或組織的身份和密鑰所有權(quán)的電子文檔。 類型：客戶證書；服務(wù)器證書（站點(diǎn)證書）；安全郵件證書；CA機(jī)構(gòu)證書 內(nèi)容：證書格式由ITU標(biāo)準(zhǔn)來定義，證書包括

6、申請(qǐng)證書個(gè)體的信息（證書數(shù)據(jù)）和發(fā)行證書CA的信息（CA簽名）。 有效性：證書沒有過期+密鑰沒有修改+用戶有權(quán)使用這個(gè)密鑰 國內(nèi)外認(rèn)證中心：美國Verisign，中國數(shù)字認(rèn)證網(wǎng)等數(shù)字時(shí)間戳 數(shù)字時(shí)間戳服務(wù)（DTSS），用來證明消息的收發(fā)時(shí)間。 產(chǎn)生過程：用戶將文件用Hash編碼加密形成摘要，然后將該摘要發(fā)送到DTSS認(rèn)證單位。DTSS在加入了時(shí)間信息后再對(duì)文件加密，然后送回用戶。 作用：數(shù)據(jù)文件加蓋的時(shí)間戳與存儲(chǔ)數(shù)據(jù)的物理媒介無關(guān)；對(duì)已加蓋時(shí)間戳的文件不可能做絲毫改動(dòng)；要想對(duì)某個(gè)文件加蓋與當(dāng)前日期和時(shí)間不同的時(shí)間戳是不可能的公開密鑰基礎(chǔ)設(shè)施 公開密鑰基礎(chǔ)設(shè)施（PKI），以公鑰加密技術(shù)為基礎(chǔ)技術(shù)

7、手段實(shí)現(xiàn)安全性的技術(shù)。能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)字簽名等密碼服務(wù)所必需的密鑰和證書管理，并支持SET、SSL協(xié)議。 組成部分：認(rèn)證機(jī)構(gòu)（PKI的核心）、證書庫（網(wǎng)上的公共信息庫）、密鑰生成和管理系統(tǒng)、證書管理系統(tǒng)、PKI應(yīng)用接口系統(tǒng) 公開密鑰基礎(chǔ)設(shè)施的優(yōu)點(diǎn)：透明性和易用性；可擴(kuò)展性；可操作性強(qiáng)；支持多應(yīng)用；支持多平臺(tái)防火墻技術(shù) 防火墻的構(gòu)成：安全操作系統(tǒng)、過濾器、網(wǎng)管、域名服務(wù)、電子郵件處理 防火墻的功能：保護(hù)易受攻擊的服務(wù)；控制對(duì)特殊站點(diǎn)的訪問；集中化的安全管理；集成了入侵檢測功能，提供了監(jiān)視互聯(lián)網(wǎng)安全和預(yù)警的方便端點(diǎn)；對(duì)網(wǎng)絡(luò)訪問進(jìn)行日志記錄和統(tǒng)計(jì) 防火墻的體系結(jié)構(gòu)：雙重宿主主機(jī)體系；屏蔽主機(jī)體系；屏蔽子網(wǎng)體系 防火墻的類型：數(shù)據(jù)包過濾；應(yīng)用級(jí)網(wǎng)關(guān)（代理服務(wù)器）；復(fù)合型防火墻網(wǎng)絡(luò)計(jì)算機(jī)病毒防范技術(shù) 病毒類型：蠕蟲、邏輯炸彈、特洛伊木馬、陷阱入口 病毒危害：對(duì)網(wǎng)絡(luò)的危害；對(duì)計(jì)算機(jī)的危害 網(wǎng)絡(luò)反病毒技術(shù)：預(yù)防；檢測；消除 方法措施：安裝防病毒軟件；定期清理；控制權(quán)限；高度警惕網(wǎng)絡(luò)陷阱；不打開陌生地址的電子郵件數(shù)字證書的安裝和使用數(shù)字簽名系統(tǒng)的安裝和使用電子商務(wù)安全是一個(gè)非常重要的問題只有網(wǎng)上交易做到了安全可靠，客戶才能接受和使用電子商務(wù)的安全技術(shù)是基于電子商務(wù)交易中的安全需求產(chǎn)生的電子