資訊安全與線上付款機(jī)制課件

1、資訊安全與線上付款機(jī)制課件資訊安全與線上付款機(jī)制課件不確定性對購物意願之影響 9/14/20222不確定性對購物意願之影響 9/10/20224資訊安全特性目的在於達(dá)成：機(jī)密性 (Confidentiality)識別性 (Authentication)完整性 (Integrity)無法否認(rèn)性 (Non-Repudiation) 資訊安全機(jī)制降低不確定性9/14/20223資訊安全特性目的在於達(dá)成：9/10/20225網(wǎng)路安全攻擊 常見的形式：中斷 (Interrupt)介入 (Interception)篡改 (Modification)假造 (Fabrication)9/14/20224網(wǎng)路安

2、全攻擊 常見的形式：9/10/20226中斷 (Interrupt) 訊息沒被收到！9/14/20225中斷 (Interrupt) 訊息沒被收到！9/10/202介入 (Interception) 資料被截取竊讀！9/14/20226介入 (Interception) 資料被截取竊讀！9/10篡改 (Modification) 收到錯誤訊息！9/14/20227篡改 (Modification) 收到錯誤訊息！9/10/假造 (Fabrication) 收到偽造訊息！9/14/20228假造 (Fabrication) 收到偽造訊息！9/10/2身份識別-1 為確認(rèn)進(jìn)行交易的是當(dāng)事人本人現(xiàn)行

3、常見的身份識別機(jī)制資料詢問 (Ex:身份證上的個人資料)印章簽名密碼 (可能被破解盜用)數(shù)位簽章實(shí)體卡片 (Ex:自然人憑證)9/14/20229身份識別-1 為確認(rèn)進(jìn)行交易的是當(dāng)事人本人9/10/2022身份識別-2新型的身份識別機(jī)制無需電子證書的數(shù)位簽章銀行直接從資料庫中取出客戶金鑰進(jìn)行驗(yàn)證，效率較高。避免PKI的複雜程序。省去建立CA的成本。能在對客戶原先習(xí)慣造成最少改變的情況下，提高識別效率的安全機(jī)制。生物特徵識別指紋、掌紋、視網(wǎng)膜、聲紋、臉部特徵識別。動態(tài)簽章識別參考簽章的速度與力道9/14/202210身份識別-2新型的身份識別機(jī)制9/10/202212加密技術(shù) 9/14/2022

4、11加密技術(shù) 9/10/202213加密技術(shù)加密技術(shù)的精神運(yùn)用加解密技術(shù)，將訊息轉(zhuǎn)換為密文 (Cipher text)。所以即使訊息在中途遭到攔截，其也無法解讀。通訊雙方共享某機(jī)密資訊，例如加解密用的金鑰 (Key)。唯有擁有此資訊者，才能解讀加密過的訊息。公正第三者：擔(dān)任機(jī)密資訊 (如金鑰) 的保管與分配。當(dāng)通訊雙方發(fā)生爭議時，則可扮演仲裁者的角色。負(fù)責(zé)認(rèn)證通訊雙方的身份，並核發(fā)公開金鑰證書。訊息加解密的方式，又可分為兩大類：對稱式密碼系統(tǒng) (Symmetric Key Cryptosystem)非對稱式密碼系統(tǒng) (Asymmetric Key Cryptosystem)9/14/20221

5、2加密技術(shù)加密技術(shù)的精神9/10/202214對稱式密碼系統(tǒng)-1 Private Key Cryptosystem使用者必須產(chǎn)生一把自己的金鑰 (Key)，由數(shù)個位元 (Byte) 所組成並用這把金鑰與資料作數(shù)位運(yùn)算，以產(chǎn)生密文 (Cipher text)9/14/202213對稱式密碼系統(tǒng)-1 Private Key Cryptosy對稱式密碼系統(tǒng)-2 解密 演算法 原文 原文 密文 加密 演算法 私鑰私鑰9/14/202214對稱式密碼系統(tǒng)-2 解密 演算法 原文 原文 密文 加密 演對稱式密碼系統(tǒng)-3資料加密標(biāo)準(zhǔn)Data Encryption Standard，簡稱 DES基本原理，就是

6、混淆 (Confusion) 及擴(kuò)散 (Diffusion)。所謂混淆，就是將明文轉(zhuǎn)換成其它的樣子所謂擴(kuò)散，則是指明文中的任何一個小地方的變更，都將之?dāng)U散到密文的各部分DES最主要的優(yōu)點(diǎn)就在於加解密速度快，並且可以用硬體實(shí)作。主要的缺點(diǎn)，就在於金鑰的傳輸過程必須絕對地安全。9/14/202215對稱式密碼系統(tǒng)-3資料加密標(biāo)準(zhǔn)9/10/202217非對稱式密碼系統(tǒng)-1公開金鑰加密法Public Key Encryption其中一把可以向他人公開的，稱為公鑰 (Public Key)，另一把必須自己保存，且不可公開的稱為私鑰 (Private Key)非對稱式密碼系統(tǒng)具有下列工作項(xiàng)目：金鑰管理 (

7、Key Management)數(shù)位簽章 (Digital signature)資料真確性 (Integrity)無法否認(rèn)性 (Non-repudiation)9/14/202216非對稱式密碼系統(tǒng)-1公開金鑰加密法9/10/202218非對稱式密碼系統(tǒng)-2 解密 演算法 原文 原文 密文 加密 演算法 以公鑰加密 以私鑰解密 9/14/202217非對稱式密碼系統(tǒng)-2 解密 演算法 原文 原文 密文 加密 非對稱式密碼系統(tǒng)-3非對稱式加密法的運(yùn)作方式如下：假設(shè)B小姐想傳送機(jī)密資料給A先生。A先生必須先將自己的公鑰傳送給B小姐（不需任何保護(hù)即可，因?yàn)楣€本身就是可以公開的）。接著B小姐將資料用A

8、先生的公鑰加密過後傳送過去。A先生接收到後，只要用自己的私鑰就可以解開這份資料即使中途被截取，也無法揭露訊息內(nèi)容。RSA技術(shù)Rivest、Shamir、 Adleman三位學(xué)者發(fā)表的RSA原理，其運(yùn)作主要來自以下數(shù)學(xué)原理：尤拉函數(shù)(Eulers Function)費(fèi)碼定理(Fermats Theorem)尤拉定理(Eulers Theorem)有加密速度較慢的問題9/14/202218非對稱式密碼系統(tǒng)-3非對稱式加密法的運(yùn)作方式如下：9/10/數(shù)位簽章 (Digital Signature)主要在確定兩件事情：這份文件到底是不是B先生的親筆簽名？如果檢查通過後，再確認(rèn)文件在傳遞過程中有無被他人

9、竄改過。9/14/202219數(shù)位簽章 (Digital Signature)主要在確定兩數(shù)位簽章之產(chǎn)生 雜湊函數(shù)私鑰9/14/202220數(shù)位簽章之產(chǎn)生 雜湊函數(shù)私鑰9/10/202222數(shù)位簽章之解讀 雜湊函數(shù)公鑰9/14/202221數(shù)位簽章之解讀 雜湊函數(shù)公鑰9/10/202223電子憑證 電子憑證 (Digital Certificate) 又稱數(shù)位證書主要是用來證明公鑰效力的電子證書。相當(dāng)於我們在網(wǎng)路上的證明文件，證明這一把公鑰的擁有者就是證書上所記載的使用者。電子憑證的內(nèi)容包括以下欄位：版本 (Version) 序號 (Serial Version)演算法 (Algorithm

10、Identifier)發(fā)證者 (Issuer)發(fā)證者識別碼 (Issuer Unique Identifier)使用者 (Subject)使用者識別碼 (Subject Unique Identifier)公鑰資訊 (Public Key Information)有效日期 (Period of Validity)9/14/202222電子憑證 電子憑證 (Digital Certificate電子憑證認(rèn)證中心 (Certification Authority，簡稱 CA)ITU-T的 X.509，可說是金鑰管理系統(tǒng)的始祖。TTP：可信賴之第三者 (Trusted Third Party) ; 公鑰之認(rèn)證單位。若要讓這份電子憑證獲得信賴，則必須由一個可以信賴的來源為此份證書作背書，而此信賴的來源稱為認(rèn)證中心，其乃負(fù)責(zé)發(fā)出公開金鑰的使用憑證。買賣雙方在獲得自己的憑證後，在未來進(jìn)行電子交易時可用以表明自己身份並確認(rèn)對方的身份，以防止交易雙方事後否