電子商務(wù)安全體系(1)

1、第五章 電子商務(wù)的安全體系1整理ppt教學(xué)目的：通過本章節(jié)的學(xué)習(xí)，使學(xué)生了解電子商務(wù)安全技術(shù)在專業(yè)課程學(xué)習(xí)中的位置體會電子商務(wù)安全的重要性了解常見的計(jì)算機(jī)安全問題掌握電子商務(wù)安全的基本概念，原理，技術(shù)及應(yīng)用教學(xué)要求掌握以下概念電子商務(wù)系統(tǒng)安全，系統(tǒng)硬件安全，軟件安全，運(yùn)行安全信息的保密性，信息的完整性，信息的不可否認(rèn)性，交易者身份的真實(shí)性，系統(tǒng)的可靠性加密，解密，算法，密鑰，密鑰長度防火墻，對稱密鑰， 非對稱密鑰（公鑰和私鑰）， 消息摘要， 數(shù)字時(shí)間戳，數(shù)字簽名，認(rèn)證中心 ，數(shù)字證書S-HTTP, S/MIME, SSL, SET2整理ppt理解和掌握以下原理加解密原理各種加密技術(shù)工作原理及其

2、實(shí)現(xiàn)的信息安全性，包括防火墻，對稱密鑰， 非對稱密鑰（公鑰和私鑰）， 消息摘要， 數(shù)字時(shí)間戳，數(shù)字簽名，認(rèn)證中心 ，數(shù)字證書各種安全協(xié)議工作原理，包括S-HTTP, S/MIME, SSL, SET認(rèn)證中心的數(shù)形結(jié)構(gòu)理解和掌握以下應(yīng)用申請、下載、安裝數(shù)字證書發(fā)送數(shù)字簽名郵件和加密郵件教學(xué)重點(diǎn)和難點(diǎn)各種加密技術(shù)工作原理數(shù)字證書的應(yīng)用各種安全協(xié)議工作原理3整理ppt5.1 電子商務(wù)面臨的安全威脅 5.2 電子商務(wù)系統(tǒng)安全的構(gòu)成5.3 電子商務(wù)安全交易體系5.4 防火墻4整理ppt5.1 電子商務(wù)面臨的安全威脅買方面臨的安全威脅（1）虛假訂單：一個(gè)假冒者可能會以客戶的名字來訂購商品，而且有可能收到商

3、品，而此時(shí)客戶卻被要求付款或返還商品。 （2）付款后不能收到商品：在要求客戶付款后，銷售商中的內(nèi)部人員不將訂單和錢轉(zhuǎn)發(fā)給執(zhí)行部門，因而使客戶不能收到商品。（3）機(jī)密性喪失：客戶有可能將秘密的個(gè)人數(shù)據(jù)或自己的身份數(shù)據(jù)（如PIN，口令等）發(fā)送給冒充銷售商的機(jī)構(gòu)，這些信息也可能會在傳遞過程中被竊聽。 （4）拒絕服務(wù)：攻擊者可能向銷售商的服務(wù)器發(fā)送大量的虛假定單來擠占它的資源，從而使合法用戶不能得到正常的服務(wù)。 5整理ppt賣方面臨的安全威脅（1）系統(tǒng)中心安全性被破壞：入侵者假冒成合法用戶來改變用戶數(shù)據(jù)（如商品送達(dá)地址）、解除用戶訂單或生成虛假訂單。（2）競爭者的威脅：惡意競爭者以他人的名義來訂購商品

4、，從而了解有關(guān)商品的遞送狀況和貨物的庫存情況。（3）商業(yè)機(jī)密的安全：客戶資料被競爭者獲悉。（4）假冒的威脅：不誠實(shí)的人建立與銷售者服務(wù)器名字相同的另一個(gè)www服務(wù)器來假冒銷售者；虛假訂單；獲取他人的機(jī)密數(shù)據(jù)，比如，某人想要了解另一人在銷售商處的信譽(yù)時(shí)，他以另一人的名字向銷售商訂購昂貴的商品，然后觀察銷售商的行動，假如銷售商認(rèn)可該定單，則說明彼觀察者的信譽(yù)高，否則，則說明被觀察者的信譽(yù)不高。 （5）信用的威脅：買方提交訂單后不付款6整理ppt信息安全的威脅 (1) 信息泄露：信息被泄露或透露給某個(gè)非授權(quán)的實(shí)體。(2) 破壞信息的完整性：數(shù)據(jù)被非授權(quán)地進(jìn)行增刪、修改或破壞而受到損失。(3) 拒絕服

5、務(wù)：對信息或其他資源的合法訪問被無條件地阻止。(4) 非法使用(非授權(quán)訪問)：某一資源被某個(gè)非授權(quán)的人，或以非授權(quán)的方式使用。(5) 竊聽：用各種可能的合法或非法的手段竊取系統(tǒng)中的信息資源和敏感信息。例如對通信線路中傳輸?shù)男盘柎罹€監(jiān)聽，或者利用通信設(shè)備在工作過程中產(chǎn)生的電磁泄露截取有用信息等。7整理ppt(6) 業(yè)務(wù)流分析：通過對系統(tǒng)進(jìn)行長期監(jiān)聽，利用統(tǒng)計(jì)分析方法對諸如通信頻度、通信的信息流向、通信總量的變化等參數(shù)進(jìn)行研究，從中發(fā)現(xiàn)有價(jià)值的信息和規(guī)律。(7) 假冒：通過欺騙通信系統(tǒng)（或用戶）達(dá)到非法用戶冒充成為合法用戶，或者特權(quán)小的用戶冒充成為特權(quán)大的用戶的目的。黑客大多是采用假冒攻擊。(8)

6、 旁路控制：攻擊者利用系統(tǒng)的安全缺陷或安全性上的脆弱之處獲得非授權(quán)的權(quán)利或特權(quán)。例如，攻擊者通過各種攻擊手段發(fā)現(xiàn)原本應(yīng)保密，但是卻又暴露出來的一些系統(tǒng)“特性”，利用這些“特性”，攻擊者可以繞過防線守衛(wèi)者侵入系統(tǒng)的內(nèi)部。(9) 授權(quán)侵犯：被授權(quán)以某一目的使用某一系統(tǒng)或資源的某個(gè)人，卻將此權(quán)限用于其他非授權(quán)的目的，也稱作“內(nèi)部攻擊”。8整理ppt(10)特洛伊木馬：軟件中含有一個(gè)覺察不出的或者無害的程序段，當(dāng)它被執(zhí)行時(shí)，會破壞用戶的安全。這種應(yīng)用程序稱為特洛伊木馬(Trojan Horse)。(11)陷阱門：在某個(gè)系統(tǒng)或某個(gè)部件中設(shè)置的“機(jī)關(guān)”，使得在特定的數(shù)據(jù)輸入時(shí)，允許違反安全策略。(12)抵

7、賴：這是一種來自用戶的攻擊，比如：否認(rèn)自己曾經(jīng)發(fā)布過的某條消息、偽造一份對方來信等。(13)重放：出于非法目的，將所截獲的某次合法的通信數(shù)據(jù)進(jìn)行拷貝，而重新發(fā)送。(14)計(jì)算機(jī)病毒：一種在計(jì)算機(jī)系統(tǒng)運(yùn)行過程中能夠?qū)崿F(xiàn)傳染和侵害功能的程序。9整理ppt (15)人員不慎：一個(gè)授權(quán)的人為了某種利益，或由于粗心，將信息泄露給一個(gè)非授權(quán)的人。(16)媒體廢棄：信息被從廢棄的磁的或打印過的存儲介質(zhì)中獲得。(17)物理侵入：侵入者繞過物理控制而獲得對系統(tǒng)的訪問。(18)竊?。褐匾陌踩锲?，如令牌或身份卡被盜。 10整理ppt信息傳輸面臨的安全威脅(1)冒名偷竊(2)篡改數(shù)據(jù)(3)信息丟失(4)信息傳遞過

8、程中的破壞(5)虛假信息信用問題(1)來自買方的信用問題(2)來自賣方的信用風(fēng)險(xiǎn)(3)買賣雙方都存在抵賴的情況11整理ppt5.2 電子商務(wù)系統(tǒng)安全的構(gòu)成電子商務(wù)系統(tǒng)安全實(shí)體安全運(yùn)行安全信息安全環(huán)境安全設(shè)備安全操作系統(tǒng)安全數(shù)據(jù)庫安全網(wǎng)絡(luò)安全病毒防護(hù)訪問控制加密鑒別風(fēng)險(xiǎn)分析審計(jì)跟蹤媒體安全應(yīng)急備份與恢復(fù)12整理ppt一、 系統(tǒng)實(shí)體安全 1、概念： 所謂實(shí)體安全，是指保護(hù)計(jì)算機(jī)設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及其他媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故（如電磁污染等）破壞的措施、過程。13整理ppt1.環(huán)境安全(1)受災(zāi)防護(hù)(2)區(qū)域防護(hù)2.設(shè)備安全(1)設(shè)備防盜(2)設(shè)備防毀(3)防止電磁信息泄

9、漏(4)防止線路截獲(5)抗電磁干擾(6)電源保護(hù)2、系統(tǒng)實(shí)體安全的組成3.媒體安全(1)媒體的安全媒體的防盜媒體的防毀(2)媒體數(shù)據(jù)的安全媒體數(shù)據(jù)的防盜媒體數(shù)據(jù)的銷毀媒體數(shù)據(jù)的防毀14整理ppt二、系統(tǒng)運(yùn)行安全 1、概念 運(yùn)行安全是指為保障系統(tǒng)功能的安全實(shí)現(xiàn)，提供一套安全措施來保護(hù)信息處理過程的安全。 15整理ppt2、系統(tǒng)運(yùn)行安全的組成風(fēng)險(xiǎn)分析系統(tǒng)設(shè)計(jì)前的風(fēng)險(xiǎn)分析潛在的安全隱患系統(tǒng)試運(yùn)行前的風(fēng)險(xiǎn)分析設(shè)計(jì)的安全漏洞系統(tǒng)運(yùn)行期的風(fēng)險(xiǎn)分析運(yùn)行的安全漏洞系統(tǒng)運(yùn)行后的風(fēng)險(xiǎn)分析系統(tǒng)的安全隱患審計(jì)跟蹤紀(jì)錄和跟蹤各種系統(tǒng)狀態(tài)的變化實(shí)現(xiàn)對各種安全事故的定位保存、維護(hù)和管理審計(jì)日志16整理ppt備份與恢復(fù) 提

10、供場點(diǎn)內(nèi)高速度、大容量自動的數(shù)據(jù)存儲、備份和恢復(fù)提供場點(diǎn)外的數(shù)據(jù)存儲、備份和恢復(fù)提供對系統(tǒng)設(shè)備的備份應(yīng)急 （1）應(yīng)急計(jì)劃輔助軟件緊急事件或安全事故發(fā)生時(shí)的影響分析應(yīng)急計(jì)劃的概要設(shè)計(jì)或詳細(xì)制定應(yīng)急計(jì)劃的測試與完善 （2）應(yīng)急設(shè)施提供實(shí)時(shí)應(yīng)急設(shè)施提供非實(shí)時(shí)應(yīng)急設(shè)施17整理ppt三、 信息安全（考點(diǎn)、重點(diǎn)、難點(diǎn)） 1、概念 所謂信息安全，是指防止信息財(cái)產(chǎn)被故意地或偶然地非授權(quán)泄漏、更改、破壞或使信息被非法的系統(tǒng)辨識、控制，即信息安全要確保信息的保密性、完整性、認(rèn)證性、可控性和不可否認(rèn)性（基本特征）。18整理ppt電子商務(wù)安全的需求（考點(diǎn)）術(shù)語定義保密性保護(hù)機(jī)密信息不被非法存取以及信息在傳輸過程中不被

11、非法竊取完整性防止信息在傳輸過程中丟失、重復(fù)及非法用戶對信息的惡意篡改認(rèn)證性確保交易信息的真實(shí)性和交易雙方身份的合法性可控性保證系統(tǒng)、數(shù)據(jù)和服務(wù)能由合法人員訪問，保證數(shù)據(jù)的合法使用不可否認(rèn)性有效防止通信或交易雙方對已進(jìn)行的業(yè)務(wù)的否認(rèn)19整理ppt真題：信息安全 （）是網(wǎng)絡(luò)信息不被泄露給非授權(quán)的用戶、實(shí)體或供其利用的特性。（單選）A 可用性 B 唯一性 C保密性 D 可控性 電子商務(wù)信息安全要求包括（ ）。（多選）A信息的保密性 B信息的完整性 C 信息的可觀察性 D 信息的傳遞性 20整理ppt2、 信息安全的組成操作系統(tǒng)安全數(shù)據(jù)庫安全網(wǎng)絡(luò)安全病毒防護(hù)安全訪問控制安全加密鑒別21整理ppt操作

12、系統(tǒng)安全操作系統(tǒng)安全是指要對電子商務(wù)系統(tǒng)的硬件和軟件資源實(shí)行有效的控制，為所管理的資源提供相應(yīng)的安全保護(hù)。操作系統(tǒng)的安全由兩個(gè)方面組成：安全操作系統(tǒng)操作系統(tǒng)安全部件22整理ppt數(shù)據(jù)庫安全安全數(shù)據(jù)庫系統(tǒng)數(shù)據(jù)庫系統(tǒng)安全部件網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全管理安全網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)系統(tǒng)安全部件23整理ppt病毒防護(hù)安全（考點(diǎn)）計(jì)算機(jī)病毒是指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能、毀壞數(shù)據(jù)、影響計(jì)算機(jī)使用、并能自我復(fù)制的一組計(jì)算機(jī)指令或程序代碼。單機(jī)系統(tǒng)病毒防護(hù)網(wǎng)絡(luò)系統(tǒng)病毒防護(hù)24整理ppt訪問控制安全出入控制主要用于阻止非授權(quán)用戶進(jìn)入機(jī)構(gòu)或組織存取控制主要是提供主體訪問客體時(shí)的存取控制加密加密設(shè)備實(shí)現(xiàn)對數(shù)據(jù)的加密密

13、鑰管理提供對密鑰的管理來加強(qiáng)信息安全25整理ppt鑒別 身份鑒別主要用于阻止非授權(quán)用戶對系統(tǒng)資源的訪問完整性鑒別主要用于證實(shí)信息內(nèi)容未被非法修改或遺漏不可否認(rèn)性鑒別證實(shí)發(fā)送方所發(fā)送的信息確實(shí)被接收方接收了證實(shí)接收方接收到的信息確實(shí)是發(fā)送方發(fā)送的26整理ppt安全認(rèn)證手段數(shù)字摘要、數(shù)字簽名、數(shù)字信封、CA體系安全應(yīng)用協(xié)議SET、SSL、S/HTTP、S/MIME基本加密算法非對稱密鑰加密、對稱密鑰加密、DES、RSA電子商務(wù)業(yè)務(wù)系統(tǒng)電子商務(wù)支付系統(tǒng)5.3 電子商務(wù)安全交易體系27整理ppt 所謂加密，就是用基于數(shù)學(xué)方法的程序和保密的密鑰對信息進(jìn)行編碼，把計(jì)算機(jī)數(shù)據(jù)變成一堆雜亂無章難以理解的字符串

14、，也就是把明文變成密文。5.3.1 基本加密算法什么是加密？28整理ppt信息加密技術(shù)對稱密鑰加密體制(私鑰加密體制)非對稱密鑰加密體制(公鑰加密體制)29整理ppt對稱密鑰加密體制是指發(fā)送和接收數(shù)據(jù)的雙方必須使用相同的密鑰進(jìn)行加密和解密運(yùn)算，這時(shí)的密鑰稱為對稱密鑰。最典型的對稱密鑰加密算法：美國數(shù)據(jù)加密標(biāo)準(zhǔn)（DES：Data Encrypt Standard）。優(yōu)點(diǎn)：加密速度快，適于大量數(shù)據(jù)的加密處理。缺點(diǎn)：密鑰需傳遞給接受方30整理ppt非對稱密鑰加密體制信息加密和解密使用的是不同的兩個(gè)密鑰（稱為“密鑰對”，一個(gè)是公開密鑰，一個(gè)是私用密鑰）。如果用公開密鑰對數(shù)據(jù)進(jìn)行加密，則只有用對應(yīng)的私有

15、密鑰才能解密；反之，若用私有密鑰對數(shù)據(jù)進(jìn)行加密，則須用相應(yīng)的公開密鑰才能解密。缺點(diǎn)：加密速度較慢代表性加密技術(shù)：RSA技術(shù)31整理pptRSA的算法1)選取兩個(gè)足夠大的質(zhì)數(shù)P和Q； 如：P=101，Q=1132)計(jì)算P和Q相乘所產(chǎn)生的乘積n = PQ； 如：n=114133)找出一個(gè)小于n的數(shù)e，使其符合與（P1）（Q1）互為質(zhì)數(shù)； 如：取e=35334)另找一個(gè)數(shù)d，使其滿足（ed）mod（P1）（Q1）1（其中mod為相除取余）； 如：取d=65975)（n，e）即為公開密鑰；（n，d）即為私用密鑰；6)將明文X分組，X=X1X2Xr（Xi=n); 7)加密：Yi=Xie（mod n）,得

16、密文Y=Y1Y2Yr 如：明文c=5761，密文m=92268)密文cme（mod n）=明文mcd（mod n），即無論哪一個(gè)質(zhì)數(shù)先與原文加密，均可由另一個(gè)質(zhì)數(shù)解密。但要用一個(gè)質(zhì)數(shù)來求出另一個(gè)質(zhì)數(shù)，則是非常困難的。32整理ppt5.3.2 安全電子交易認(rèn)證技術(shù)數(shù)字摘要數(shù)字信封數(shù)字簽名數(shù)字時(shí)間戳數(shù)字證書生物統(tǒng)計(jì)學(xué)身份識別33整理ppt原信息發(fā)送端接收端數(shù)字摘要采用單向Hash函數(shù)對文件進(jìn)行變換運(yùn)算得到摘要碼，并把摘要碼和文件一同送給接收方，接收方接到文件后，用相同的方法對文件進(jìn)行變換計(jì)算，用得出的摘要碼與發(fā)送來的摘要碼進(jìn)行比較來斷定文件是否被篡改。摘要Hash函數(shù)加密摘要Hash函數(shù)加密對比原

17、信息摘要internetinternet34整理ppt數(shù)字信封發(fā)送方采用對稱密鑰加密信息，然后將此對稱密鑰用接收方的公開密鑰加密之后，將它和信息一起發(fā)送給接收方，接收方先用相應(yīng)的私有密鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰解開信息。安全性能高，保證只有規(guī)定的接收方才能閱讀信的內(nèi)容。發(fā)送端接收端原信息密文對稱密鑰加密internetinternet密文數(shù)字信封原信息對稱密鑰解密接收者公鑰加密數(shù)字信封對稱密鑰接收者私鑰解密對稱密鑰35整理ppt發(fā)送端接收端原信息數(shù)字簽名用發(fā)送方的私有密鑰對數(shù)字摘要進(jìn)行加密得的數(shù)字簽名，因此數(shù)字簽名是只有信息的發(fā)送者才能產(chǎn)生而別人無法偽造的一段數(shù)字串，有確認(rèn)

18、對方的身份，防抵賴的作用；接收方用發(fā)送方的公開密鑰對數(shù)字簽名進(jìn)行解密，用數(shù)字摘要原理保證信息的完整和防篡改性。摘要Hash函數(shù)加密數(shù)字簽名發(fā)送者私鑰加密internetinternet原信息數(shù)字簽名摘要摘要Hash函數(shù)加密發(fā)送者公鑰解密對比36整理ppt發(fā)送端第三方原信息數(shù)字時(shí)間戳數(shù)字時(shí)間戳技術(shù)就是對電子文件簽署的日期和時(shí)間進(jìn)行的安全性保護(hù)和有效證明的技術(shù)。它是由專門的認(rèn)證機(jī)構(gòu)來加的，并以認(rèn)證機(jī)構(gòu)收到文件的時(shí)間為依據(jù)。摘要Hash函數(shù)加密新摘要Hash函數(shù)加密第三方私鑰加密數(shù)字時(shí)間戳internet摘要摘要時(shí)間加時(shí)間internet數(shù)字時(shí)間戳摘要時(shí)間37整理ppt數(shù)字證書（digital ID

19、）所謂數(shù)字證書，就是用電子手段來證實(shí)一個(gè)用戶的身份及用戶對網(wǎng)絡(luò)資源的訪問的權(quán)限；CCITT X.509國際標(biāo)準(zhǔn)（數(shù)字證書必須包含以下幾點(diǎn)：證書的版本號；數(shù)字證書的序列號；證書擁有者的姓名；證書擁有者的公開密鑰；公開密鑰的有效期；簽名算法；頒發(fā)數(shù)字證書的單位；頒發(fā)數(shù)字證書單位的數(shù)字簽名）；一般數(shù)字證書類型：客戶證書、商家證書、網(wǎng)關(guān)證書、CA系統(tǒng)證書。38整理pptX.509數(shù)字證書格式有三個(gè)不同版本內(nèi)容：39整理pptX.509版本3數(shù)字證書格式40整理ppt41整理ppt42整理ppt生物統(tǒng)計(jì)學(xué)身份識別生物統(tǒng)計(jì)學(xué)技術(shù)包指紋。隔膜和視網(wǎng)膜掃描，字體的分析也是一中常用的生物統(tǒng)計(jì)學(xué)識別方法。由于已經(jīng)

20、開始顯示出有前途，聲音和手紋辯認(rèn)也會成為未來的技術(shù)選擇。 未來安全電子交易中常見的將是使用多種技術(shù)來識別用戶。指紋掃描和聲音識別會比只使用一種技術(shù)更可靠。需用高價(jià)位計(jì)算機(jī)來才能支持大量用戶的環(huán)境。 43整理ppt指紋認(rèn)證虹膜認(rèn)證44整理ppt生物認(rèn)證技術(shù)手工簽名認(rèn)證45整理ppt認(rèn)證中心CA 認(rèn)證機(jī)構(gòu) CA (certificate authority)又叫認(rèn)證中心，是一個(gè)網(wǎng)上各方都信任的機(jī)構(gòu)，專門負(fù)責(zé)數(shù)字證書的發(fā)放和管理。CA是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)、能簽發(fā)數(shù)字證書并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)，具有權(quán)威性和公正性。46整理pptCA的功能：接收驗(yàn)證用戶數(shù)字證書的申請確定是否接收用戶數(shù)字證

21、書的申請向申請者頒發(fā)數(shù)字證書接收、處理用戶的數(shù)字證書更新請求接收用戶數(shù)字證書的查詢、撤銷產(chǎn)生和發(fā)布數(shù)字證書撤銷表（CRL）數(shù)字證書的歸檔密鑰歸檔歷史數(shù)據(jù)歸檔47整理ppt電子商務(wù)CA體系包括兩大部分，即符合SET標(biāo)準(zhǔn)的SETCA認(rèn)證體系和其他基于X.509的CA認(rèn)證體系。國際權(quán)威VeriSign認(rèn)證中心()上海電子商務(wù)安全證書管理中心（)48整理ppt認(rèn)證中心CA49整理pptCFCA的功能1、證書的申請離線申請方式 在線申請方式 2證書的審批離線審核方式 在線審核方式 3證書的發(fā)放離線方式發(fā)放 在線方式發(fā)放 4證書的歸檔5證書的撤銷6 證書的更新人工密鑰更新 自動密鑰更新 7證書廢止列表的管

22、理功能( CRL )證書廢止原因編碼 CRL的產(chǎn)生及其發(fā)布 企業(yè)證書及CRL的在線服務(wù)功能 8CA的管理功能9CA 自身密鑰的管理功能 50整理ppt5.3.3 安全認(rèn)證協(xié)議安全超文本傳輸協(xié)議（S-HTTP）電子郵件安全S-MIME協(xié)議安全套接層SSL（Secure Sockets Layer）協(xié)議安全電子交易SET（Secure Electronic Transaction）協(xié)議51整理pptS-HTTP協(xié)議能保證Web信息站點(diǎn)上信息的安全，是應(yīng)用層的協(xié)議。用對稱密鑰、消息摘要、公開密鑰加密等來實(shí)現(xiàn)建立一個(gè)安全會話。頁面的URL為https:/開始。S-MIME協(xié)議依靠密鑰對保證電子郵件的安

23、全傳輸?shù)膮f(xié)議。提供發(fā)送方身份識別、信息的完整性、信息傳遞過程的機(jī)密性等安全功能；設(shè)計(jì)成模塊，加裝在電子郵件軟件中（如：IE、Netscape）要求申請電子郵件數(shù)字證書，發(fā)保密郵件要求有對方的公鑰。52整理ppt SSL協(xié)議 SSL 安全套接層協(xié)議適用于點(diǎn)對點(diǎn)之間的信息傳輸 通過在瀏覽器軟件和WWW服務(wù)器建立一條安全通道SSL（Secure Socktes Layer）是Netscape公司率先采用的一種網(wǎng)絡(luò)安全協(xié)議，它能把在網(wǎng)頁和服務(wù)器之間傳輸?shù)臄?shù)據(jù)加密。這種加密措施能夠防止資料在傳輸過程中被竊取。因此采用SSL協(xié)議傳輸密碼和信用卡號等敏感信息以及身份認(rèn)證信息是一種比較理想的選擇。SSL可以被

24、理解成一條受密碼保護(hù)的通道。通道的安全性取決于協(xié)議中采用的加密算法。目前SSL協(xié)議標(biāo)準(zhǔn)已經(jīng)成為網(wǎng)絡(luò)上保密通信的一種工業(yè)標(biāo)準(zhǔn),在C/S和B/S的構(gòu)架下都有廣泛的應(yīng)用。53整理pptSSL協(xié)議是建立兩臺計(jì)算機(jī)之間的安全連接通道的屬會話層的協(xié)議。在該通道上可透明加載任何高層應(yīng)用協(xié)議（如FTP、TELNET等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩?。認(rèn)證用戶和服務(wù)器，它們能夠確信數(shù)據(jù)將被發(fā)送到正確的客戶機(jī)和服務(wù)器上。 加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)。維護(hù)數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變。要求服務(wù)器端安裝數(shù)字證書，客戶端可選。在涉及多方的電子交易中，SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系；SSL協(xié)議

25、有利于商家而不利于客戶，適合BTOB；54整理pptSET協(xié)議SET協(xié)議保證了電子交易的機(jī)密性、數(shù)據(jù)完整性、身份的合法性和防抵賴性。用到了對稱密鑰系統(tǒng)、公鑰系統(tǒng)、數(shù)字簽名、數(shù)字信封、雙重簽名、身份認(rèn)證等技術(shù)；消費(fèi)者、在線商店、支付網(wǎng)關(guān)都通過CA來驗(yàn)證通信主體的身份。對購物信息和支付信息采用雙重簽名，保證商戶看不到信用卡信息，銀行看不到購物信息；速度偏慢，但是進(jìn)行電子商務(wù)的最佳協(xié)議標(biāo)準(zhǔn)，主要適用于B-C模式；55整理pptSSL協(xié)議SEL協(xié)議參與方客戶、商家和網(wǎng)上銀行客戶、商家、支付網(wǎng)關(guān)、認(rèn)證中心和網(wǎng)上銀行軟件費(fèi)用已被大部分Web瀏覽器和Web服務(wù)器所內(nèi)置，因此可直接投入使用，無需額外的附加軟件

26、費(fèi)用必須在銀行網(wǎng)絡(luò)、商家服務(wù)器、客戶機(jī)上安裝相應(yīng)的軟件，而不是象SSL協(xié)議可直接使用，因此增加了許多附加軟件費(fèi)用便捷性SSL在使用過程中無需在客戶端安裝電子錢包，因此操作簡單；每天交易有限額規(guī)定，因此不利于購買大宗商品；支付迅速，幾秒鐘便可完成支付SET協(xié)議在使用中必須使用電子錢包進(jìn)行付款，因此在使用前，必須先下載電子錢包軟件，因此操作復(fù)雜，耗費(fèi)時(shí)間；每天交易無限額，利于購買大宗商品；由于存在著驗(yàn)證過程，因此支付緩慢，有時(shí)還不能完成交易安全性只有商家的服務(wù)器需要認(rèn)證，客戶端認(rèn)證則是有選擇的；缺少對商家的認(rèn)證，因此客戶的信用卡號等支付信息有可能被商家泄漏安全需求高，因此所有參與交易的成員：客戶、商家、支付網(wǎng)關(guān)、網(wǎng)