電子商務(wù)系統(tǒng)的安全課件

《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視大學(xué)工程技術(shù)系何豐如2005.2《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視1第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對策3.3電子商務(wù)安全手段3.4計算機病毒及網(wǎng)絡(luò)黑客的防范第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述2第3章電子商務(wù)系統(tǒng)的安全

隨著電子商務(wù)的迅速發(fā)展,電子商務(wù)系統(tǒng)的安全已受到來自計算機病毒、電腦黑客、計算機網(wǎng)絡(luò)系統(tǒng)自身脆弱性等各方面的嚴峻挑戰(zhàn)。因此如何建立一個安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對信息提供足夠的保護，是商家和用戶十分關(guān)心的重大問題。本章將著重介紹電子商務(wù)系統(tǒng)安全的概念、安全控制要求、網(wǎng)絡(luò)安全管理對策、常用安全手段和防范措施等內(nèi)容。第3章電子商務(wù)系統(tǒng)的安全隨著電子商務(wù)的迅速發(fā)展,電33.1電子商務(wù)系統(tǒng)安全問題概述3.1.1電子商務(wù)系統(tǒng)安全性的基本概念3.1.2電子商務(wù)系統(tǒng)的安全控制要求3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素跳到下一節(jié)返回本章首頁3.1電子商務(wù)系統(tǒng)安全問題概述3.1.1電子商務(wù)系統(tǒng)43.1.1電子商務(wù)系統(tǒng)安全性的基本概念1、問題的提出由于電子商務(wù)是在公開的網(wǎng)上進行的，支付、訂貨、談判等信息和機密的商務(wù)往來文件等大量商務(wù)信息在計算機系統(tǒng)中存放、傳輸和處理，所以，交易的安全性是電子商務(wù)發(fā)展的核心和關(guān)鍵問題。保證商務(wù)信息的安全是進行電子商務(wù)應(yīng)用的前提。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念1、問題的提出53.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

雖然電子商務(wù)系統(tǒng)的形式多種多樣，涉及的安全問題也是方方面面，但主要有以下因素應(yīng)加以考慮：(1)物理安全

是指保護計算機主機硬件和物理線路的安全，保證其自身的可靠性和為系統(tǒng)提供基本安全機制。

影響物理安全的重要因素：火災(zāi)、自然災(zāi)害、輻射、硬件故障、搭線竊聽、盜竊、偷竊、和超負荷。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安63.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

(2)網(wǎng)絡(luò)安全

是指網(wǎng)絡(luò)層面的安全。相對于單機，計算機網(wǎng)絡(luò)不安全的因素更多。原因：因為理論上網(wǎng)絡(luò)上的計算機有可能被網(wǎng)上任何一臺主機攻擊或插入物理網(wǎng)絡(luò)攻擊；大部分的Internet協(xié)議沒有進行安全性設(shè)計；網(wǎng)絡(luò)服務(wù)器程序經(jīng)常需要用超級用戶特權(quán)來執(zhí)行。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安73.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

(3)系統(tǒng)軟件安全

是指保護軟件和資料不會被竄改、泄露、破壞、非法復(fù)制（包括有意或無意）。系統(tǒng)軟件安全的目標是使計算機系統(tǒng)邏輯上安全，使系統(tǒng)中的信息存取、處理和傳輸滿足系統(tǒng)安全策略的要求。系統(tǒng)軟件安全可分為：操作系統(tǒng)安全、數(shù)據(jù)庫安全、網(wǎng)絡(luò)軟件安全、應(yīng)用軟件安全。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安83.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素(4)人員管理安全主要是要防止內(nèi)部人員的攻擊。包括：雇員的素質(zhì)、敏感崗位的身份識別、安全培訓(xùn)、安全檢查等人員管理安全問題。（5）電子商務(wù)安全立法通過健全法律制度和完善法律體系，來保證合法網(wǎng)上交易的權(quán)益，同時對破壞合法網(wǎng)上交易權(quán)益的行為進行依法嚴懲。電子商務(wù)立法是對電子商務(wù)犯罪的約束。利用國家機器進行安全立法，體現(xiàn)與犯罪行為斗爭的國家意志。返回本節(jié)3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安93.1.2電子商務(wù)系統(tǒng)的安全控制要求電子商務(wù)發(fā)展的核心和關(guān)鍵問題是交易的安全性，由于Internet的開放性，使網(wǎng)上交易面臨種種危險，因此提出了相應(yīng)的安全控制要求，主要有：1、有效性

電子商務(wù)用電子形式代替了紙張，如何保證這種無紙貿(mào)易的有效性是開展電子商務(wù)的前提。即應(yīng)采取各種措施，確保貿(mào)易資料在確定的時刻、確定的地點是有效的。3.1.2電子商務(wù)系統(tǒng)的安全控制要求電子商務(wù)發(fā)展的103.1.2電子商務(wù)系統(tǒng)的安全控制要求2、保密性

電子商務(wù)作為貿(mào)易的一種手段，其中一些信息直接代表著個人、企業(yè)或國家的商業(yè)機密。因此在電子商務(wù)信息的傳播中一般都有保密的要求。維護商業(yè)機密是電子商務(wù)全面推廣應(yīng)用的重要保障。因此，要預(yù)防非法的信息存取和信息在傳播過程中被非法竊取。3、合法性網(wǎng)上交易各方的工作要符合可適用的法律和法規(guī)。3.1.2電子商務(wù)系統(tǒng)的安全控制要求2、保密性113.1.2電子商務(wù)系統(tǒng)的安全控制要求

4、完整性

電子商務(wù)雖然簡化了貿(mào)易過程、減少了人為干預(yù)，同時也帶來維護貿(mào)易各方商業(yè)信息的完整、統(tǒng)一的問題。貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營策略。因此確保貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)。要預(yù)防對信息的隨意生成、修改和刪除，同時要防止資料傳輸過程中信息的丟失和重復(fù)，以保證信息傳送次序的統(tǒng)一。3.1.2電子商務(wù)系統(tǒng)的安全控制要求4、完整性123.1.2電子商務(wù)系統(tǒng)的安全控制要求5、交易者身份的確定性

要使網(wǎng)上交易能夠成功，首先要能確認對方的身份，即交易的雙方必須確實存在。既要考慮商家不要受客戶欺騙，也要考慮客戶不要被商家欺騙。因此，能方便和可靠地確認對方的身份是交易的前提。6、不可修改性

指在電子商務(wù)活動中，交易的文件是不可修改的，否則就會使另一方蒙受損失。因此，電子交易文件應(yīng)能做到不可修改，以保證交易的嚴肅性和公正性。

3.1.2電子商務(wù)系統(tǒng)的安全控制要求5、交易者身份的確定133.1.2電子商務(wù)系統(tǒng)的安全控制要求

7、不可否認（或不可抵賴）性

在傳統(tǒng)紙面貿(mào)易中，貿(mào)易雙方通過在合同、單據(jù)、契約等書面文件上簽字、蓋印等手段來鑒別貿(mào)易伙伴，確定這些單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。在無紙化電子商務(wù)環(huán)境中，交易一旦達成應(yīng)該具有不可否認和不可抵賴性，否則會損害另一方的利益。因此，在電子商務(wù)的交易通信過程的各個環(huán)節(jié)中，都必須是不可否認的。這就要求在交易信息的傳輸過程中，為參與交易的個人、企業(yè)或國家提供可靠的標識。返回本節(jié)3.1.2電子商務(wù)系統(tǒng)的安全控制要求7、不可否認（或不143.1.3危害電子商務(wù)系統(tǒng)安全的主要因素1、問題的提出

由于電子商務(wù)主要是依托計算機網(wǎng)絡(luò)來進行的，計算機網(wǎng)絡(luò)技術(shù)的發(fā)展促進了電子商務(wù)的發(fā)展，同時也使電子商務(wù)系統(tǒng)的安全問題日益復(fù)雜和突出。由于計算機網(wǎng)絡(luò)資源的共享性和開放性，增加了網(wǎng)絡(luò)安全的脆弱和復(fù)雜性，也增加了網(wǎng)絡(luò)受威脅和攻擊的可能性。因此，對電子商務(wù)的不安全性因素分析，主要依據(jù)是對網(wǎng)絡(luò)交易整個運作過程可能出現(xiàn)的各種安全隱患和安全漏洞，使其安全管理有的放矢。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素1、問題的提出153.1.3危害電子商務(wù)系統(tǒng)安全的主要因素2、電子商務(wù)的安全威脅在傳統(tǒng)交易過程中，買賣雙方是面對面的，因此很容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系的，甚至彼此遠隔千山萬水，因而建立交易雙方的安全和信任關(guān)系相當困難。電子商務(wù)交易雙方(銷售者和購買者)都面臨不同的安全威脅。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素2、電子商務(wù)的安全163.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安全威脅（1）中央系統(tǒng)安全性被破壞：

入侵者假冒成合法用戶來改變用戶數(shù)據(jù)(如商品送達地址)、解除用戶訂單或生成虛假訂單。

（2）競爭者檢索商品遞送狀況：

惡意競爭者以他人的名義來訂購商品，從而了解有關(guān)商品的遞送狀況和貨物的庫存情況。

（3）客戶資料被競爭者獲悉3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安173.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安全威脅（4）被他人假冒而損害公司的信譽：

不誠實的人建立與銷售者服務(wù)器名字相同的另一個服務(wù)器來假冒銷售者。（5）消費者提交訂單后不付款（6）提供虛假訂單（7）獲取他人的機密數(shù)據(jù)3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安183.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安全威脅（1）虛假訂單

一個假冒者可能會以某客戶的名字來訂購商品，而且有可能收到商品，而此時這一客戶卻被要求付款或返還商品。（2）付款后不能收到商品

在要求客戶付款后，銷售商中的內(nèi)部人員不將定單和錢轉(zhuǎn)發(fā)給執(zhí)行部門，因而使客戶不能收到商品。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安193.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安全威脅（3）機密性喪失客戶有可能將秘密的個人數(shù)據(jù)或自己的身份數(shù)據(jù)(如賬號、口令等)發(fā)送給冒充銷售商的機構(gòu)，這些信息也可能會在傳遞過程中被竊取。（4）拒絕服務(wù)攻擊者可能向銷售商的服務(wù)器發(fā)送大量的虛假定單來窮竭它的資源，從而使合法用戶不能得到正常的服務(wù)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安203.1.3危害電子商務(wù)系統(tǒng)安全的主要因素5、網(wǎng)絡(luò)硬件的不安全因素計算機進行網(wǎng)絡(luò)通信時，主要涉及到的網(wǎng)絡(luò)硬件設(shè)施有：通信線路、調(diào)制解調(diào)器、網(wǎng)絡(luò)接口、終端、轉(zhuǎn)換器、處理機等。這些部件的不安全因素主要有：（1）通信監(jiān)視 （2）非法終端 （3）注入非法信息（4）線路干擾 （5）運行中斷 （6）服務(wù)干擾（7）病毒入侵3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素5、網(wǎng)絡(luò)硬件的不安213.1.3危害電子商務(wù)系統(tǒng)安全的主要因素6、網(wǎng)絡(luò)軟件的不安全因素網(wǎng)絡(luò)軟件的不安全因素主要涉及以下幾方面：

（1）操作系統(tǒng)：幾乎所有的操作系統(tǒng)都有安全上的漏洞。利用這些安全漏洞，網(wǎng)絡(luò)黑客可以對其進行攻擊。（2）網(wǎng)絡(luò)協(xié)議：TCP/IP等網(wǎng)絡(luò)協(xié)議并非專為安全通信而設(shè)計，故會帶來安全隱患。（3）網(wǎng)絡(luò)軟件：網(wǎng)絡(luò)軟件的安全隱患以及軟件操作上的失誤都有可能導(dǎo)致交易信息傳遞的丟失和錯誤。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素6、網(wǎng)絡(luò)軟件的不安223.1.3危害電子商務(wù)系統(tǒng)安全的主要因素7、工作人員的不安全因素

人員管理常常是網(wǎng)絡(luò)安全管理中最薄弱的環(huán)節(jié)，這需要從管理制度上來彌補技術(shù)上的不足，以保證網(wǎng)絡(luò)的安全性。工作人員的不安全因素具體表現(xiàn)在以下幾方面：（1）規(guī)章制度不健全造成認為泄密事故。

（2）業(yè)務(wù)不熟悉、誤操作或不遵守操作規(guī)程而造成泄密。

（3）保密觀念不強，不懂保密規(guī)則，隨便泄漏機密。

（4）熟悉系統(tǒng)的人員故意改動軟件，非法獲取或竄改信息。

（5）惡意破壞網(wǎng)絡(luò)系統(tǒng)和設(shè)備

（6）利用硬件的故障部位和軟件的錯誤非法訪問系統(tǒng)，或?qū)Ω鞑糠诌M行破壞。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素7、工作人員的不安233.1.3危害電子商務(wù)系統(tǒng)安全的主要因素8、電子商務(wù)的風(fēng)險類型

從整個電子商務(wù)系統(tǒng)著手分析，可以將電子商務(wù)的安全問題歸類為下面四類風(fēng)險：即信息傳輸風(fēng)險、信用風(fēng)險、管理風(fēng)險和法律方面的風(fēng)險。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素8、電子商務(wù)的風(fēng)險243.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險（1）信息丟失交易信息的丟失，可能有三種情況：一是因為線路問題造成信息丟失；二是因為安全措施不當而丟失信息；三是在不同的操作平臺上轉(zhuǎn)換操作不當而丟失信息。（2）篡改數(shù)據(jù)

攻擊者未經(jīng)授權(quán)進人網(wǎng)絡(luò)交易系統(tǒng)，使用非法手段，刪除、修改、重發(fā)某些重要信息，破壞數(shù)據(jù)的完整性，損害他人的經(jīng)濟利益，或干擾對方的正確決策，造成網(wǎng)上交易的信息傳輸風(fēng)險。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險253.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險（3）信息傳遞過程中的破壞

信息在網(wǎng)上傳遞時，要經(jīng)過多個環(huán)節(jié)和渠道。由于計算機技術(shù)發(fā)展迅速，原有的病毒防范技術(shù)、加密技術(shù)、防火墻技術(shù)等始終存在著被新技術(shù)攻擊的可能性。計算機病毒的侵襲、黑客非法侵入、線路竊聽等很容易使重要數(shù)據(jù)在傳遞過程中泄露，威脅電子商務(wù)交易的安全。此外，各種外界的物理性干擾，如通信線路質(zhì)量較差、地理位置復(fù)雜、自然災(zāi)害等，都可能影響到數(shù)據(jù)的真實性和完整性。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險263.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險（4）冒名偷窺

“黑客”為了獲取重要的商業(yè)秘密、資源和信息，常常采用IP地址盜用的手段進行欺騙攻性擊。（5）虛假信息從買賣雙方自身的角度觀察，網(wǎng)上交易中的信息傳輸風(fēng)險還可能來源于用戶以合法身份進人系統(tǒng)后，買賣雙方都可能在網(wǎng)上發(fā)布虛假的供求信息，或以過期的信息冒充現(xiàn)在的信息，以騙取對方的錢款或貨物?，F(xiàn)在還沒有很好的解決信息鑒別的辦法。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險273.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險（3）信息丟失交易信息的丟失，可能有三種情況：一是因為線路問題造成信息丟失；二是因為安全措施不當而丟失信息；三是在不同的操作平臺上轉(zhuǎn)換操作不當而丟失信息。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險283.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險

交易的不可抵賴性是電子商務(wù)中的一個至關(guān)重要的問題。在網(wǎng)絡(luò)交易過程中，客戶進入交易中心，買賣雙方簽訂合同，交易中心不但要監(jiān)督買方按時付款，還要監(jiān)督賣方按時按要求供貨。這些環(huán)節(jié)都存在大量的交易信用風(fēng)險。此外，由于交易雙方采用電子方式進行談判、結(jié)帳，使一些犯罪分子的欺詐行為更容易得逞，對網(wǎng)絡(luò)交易的安全構(gòu)成巨大的威脅。交易信用風(fēng)險主要來自三方面：（1）來自賣方的信用風(fēng)險

對于個人消費者來說，可能在網(wǎng)絡(luò)上使用信用卡進行支付時惡意透支，或使用偽造的信用卡騙取賣方的貨物；對于集團購買者來說，存在拖延貨款的可能，賣方需要為此承擔風(fēng)險。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險293.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險（2）來自買方的信用風(fēng)險賣方不能按質(zhì)、按量、按時寄送消費者購買的貨物，或者不能完全履行與集團購買者簽訂的合同，造成買方的風(fēng)險。（3）買賣雙方都存在抵賴的情況傳統(tǒng)交易時，交易雙方可以直接面對面地進行交易，信用風(fēng)險比較容易控制。網(wǎng)上交易時，物流與資金流在空間上和時間上是分離的，再加上網(wǎng)上交易一般是跨越時空的，交易雙方很難面對面地交流，信用的風(fēng)險就很難控制。這就要求網(wǎng)上交易雙方必須有良好的信用，而且有一套有效的信用機制降低信用風(fēng)險。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險303.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險

傳統(tǒng)交易經(jīng)過多年發(fā)展，在交易時有比較完善的控制機制，而且管理比較規(guī)范。而網(wǎng)上交易還只經(jīng)歷了很短時間，還存在許多漏洞，應(yīng)加強對其進行管理和規(guī)范交易。管理風(fēng)險主要有：（1）交易流程管理風(fēng)險在網(wǎng)絡(luò)商品中介交易的過程中，買賣雙方簽訂合同，交易中心不僅要監(jiān)督買方按時付款，還要監(jiān)督賣方按時提供符合合同要求的貨物。在這些環(huán)節(jié)上，都存在著大量的管理問題，如果管理不善，勢必造成巨大的潛在風(fēng)險。因此需要有完善的制度設(shè)計，形成一套相互關(guān)聯(lián)、相互制約的制度群。

3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險313.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險（2）人員管理風(fēng)險人員管理常常是網(wǎng)上交易安全管理最薄弱的環(huán)節(jié)。近年來我國計算機犯罪大都呈現(xiàn)內(nèi)部犯罪的趨勢，其原因主要是工作人員職業(yè)道德修養(yǎng)不高，安全教育和管理松懈。一些競爭對手還利用企業(yè)招募新人的方式潛入該企業(yè)，或利用不正當方式收買企業(yè)網(wǎng)絡(luò)交易管理人員，竊取企業(yè)的用戶識別碼、密碼、傳遞方式以及相關(guān)的機密文件資料。（3）交易技術(shù)管理風(fēng)險網(wǎng)絡(luò)交易技術(shù)管理的漏洞也帶來較大的交易風(fēng)險。有些操作系統(tǒng)的某些用戶是無口令的，如匿名訪問，利用遠程登陸命令登陸這些無口令用戶，允許被信任用戶不需要口令就可以進人系統(tǒng)，然后把自己升級為超級用戶。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險323.1.3危害電子商務(wù)系統(tǒng)安全的主要因素12、法律風(fēng)險

網(wǎng)上交易系統(tǒng)的技術(shù)是先進且具有強大的生命力的。但也必須看到，在目前的法律上還找不到現(xiàn)成的條文保護網(wǎng)絡(luò)交易中的交易方式，因此還存在法律滯后所帶來的風(fēng)險。一方面，在網(wǎng)上交易可能會承擔由于法律滯后而無法保證合法交易的權(quán)益所造成的風(fēng)險，如通過網(wǎng)絡(luò)達成交易合同，可能因為法律條文還沒有承認數(shù)字化合同的法律效力而面臨失去法律保護的危險。另一方面，在網(wǎng)上交易可能承擔由于法律的事后完善所帶來的風(fēng)險。即在原來法律條文沒有明確規(guī)定下而進行了網(wǎng)上交易，在后來頒布新的法律條文下卻屬于違法經(jīng)營，從而造成巨大損失。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素12、法律風(fēng)險333.1.3危害電子商務(wù)系統(tǒng)安全的主要因素13、計算機病毒和黑客攻擊的風(fēng)險

計算機病毒和黑客的攻擊是困擾計算機網(wǎng)絡(luò)正常運轉(zhuǎn)的兩大棘手難題，是威脅計算機安全的不可忽視的因素。14、環(huán)境的不安全因素（自然災(zāi)害/事故）

環(huán)境因素（包括：地震、火災(zāi)、水災(zāi)、風(fēng)災(zāi)等自然災(zāi)害；調(diào)電、停電事故；以及其它不可預(yù)測的不安全因素）也是威脅網(wǎng)絡(luò)安全的因素之一。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素13、計算機病毒和343.1.3危害電子商務(wù)系統(tǒng)安全的主要因素15、電子商務(wù)安全管理的思路網(wǎng)上交易安全管理，應(yīng)當跳出單純從技術(shù)角度尋求解決辦法的思路，采用綜合防范的思路，從技術(shù)、管理、法律等方面綜合思考。建立一個完整的網(wǎng)絡(luò)交易安全體系，至少從三個方面考慮，并且三者缺一不可。返回本節(jié)3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素15、電子商務(wù)安全353.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對策3.2.1技術(shù)對策3.2.2管理對策3.2.3構(gòu)造電子商務(wù)交易安全的保障體系

跳到下一節(jié)返回本章首頁3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對策3.2.1技術(shù)363.2.1技術(shù)對策

技術(shù)對策主要有：設(shè)置虛擬專用網(wǎng)、使用安全訪問設(shè)備、防火墻技術(shù)、網(wǎng)絡(luò)防毒、信息加密存儲通信、身份認證、訪問控制、授權(quán)等。下面分別進行簡要討論（但只有技術(shù)措施并不能完全保證網(wǎng)上交易的安全）。

1、設(shè)置虛擬專用網(wǎng)VPN

VPN（VirtualPrivateNetworks）是構(gòu)建在公用網(wǎng)絡(luò)（如Internet）基礎(chǔ)設(shè)施之上的專用網(wǎng)絡(luò)，也是在Internet上用于電子交易的一種專用網(wǎng)絡(luò)，它可以在兩個系統(tǒng)之間建立安全信道。在VPN中交易雙方相互比較熟悉，彼此之間數(shù)據(jù)通信量很大。在VPN中使用比較復(fù)雜的專用加密和認證技術(shù)，極大地提高了電子商務(wù)的安全，是進行電子商務(wù)比較理想的一種形式。3.2.1技術(shù)對策 技術(shù)對策主要有：設(shè)置虛擬專373.2.1技術(shù)對策 設(shè)置VPN的關(guān)鍵技術(shù)：對數(shù)據(jù)包進行加密，并在互聯(lián)網(wǎng)上創(chuàng)建一個專用加密隧道，其它系統(tǒng)或用戶就不能訪問在這個通道上傳輸?shù)臄?shù)據(jù)。VPN的組成結(jié)構(gòu)如下圖所示：3.2.1技術(shù)對策 設(shè)置VPN的關(guān)鍵技術(shù)：對數(shù)據(jù)包進行383.2.1技術(shù)對策 2、保護傳輸線路安全露天線路要有保護措施。遠離各種輻射源。集線器和調(diào)制解調(diào)器應(yīng)放在受監(jiān)視的地方。定期檢查線路。3、采用端口保護設(shè)備在利用電話撥號交換網(wǎng)的計算機網(wǎng)絡(luò)中，遠程終端和通信線路是安全的薄弱環(huán)節(jié)，故端口保護成為網(wǎng)絡(luò)安全的一個重要問題。最簡單的方法是不用時拔下插頭或斷掉電源，此外是利用各種端口保護設(shè)備。3.2.1技術(shù)對策 2、保護傳輸線路安全393.2.1技術(shù)對策 4、使用安全訪問設(shè)備

使用智能卡、安全磁盤、安全認證卡等安全訪問設(shè)備，它們相當于給Web安全又加了一道保險。5、路由選擇機制

由信息發(fā)送者選擇特殊路由由網(wǎng)絡(luò)安全控制機構(gòu)通過調(diào)整路由表，限制某些不安全的通路。6、隱蔽信道公開信道是為合法信息流提供傳輸?shù)耐ǖ溃[蔽信道則采用特殊編碼，使秘密信息流可以逃避常規(guī)安全控制機構(gòu)的檢測，在普通系統(tǒng)中形成一個秘密的傳輸通道，傳給未授權(quán)者。3.2.1技術(shù)對策 4、使用安全訪問設(shè)備403.2.1技術(shù)對策 7、防火墻：防火墻是一種將內(nèi)部網(wǎng)與公眾網(wǎng)如Internet分開的隔離技術(shù)。8、信息加密機制：信息加密是網(wǎng)絡(luò)中采用的最基本的安全技術(shù)。它是采用數(shù)學(xué)方法對原始信息（稱為“明文”）進行再組織而形成“密文”在網(wǎng)絡(luò)上傳輸。涉及信息、密匙、算法。9、訪問控制：是按照事先確定的規(guī)則決定主體對客體的訪問是否合法。它包括：權(quán)限控制；日志記錄；文件和數(shù)據(jù)庫設(shè)置安全屬性（如只讀、讀/寫、可修改、可執(zhí)行、共享程度等）。3.2.1技術(shù)對策 7、防火墻：防火墻是一種將內(nèi)部網(wǎng)與413.2.1技術(shù)對策 10、鑒別機制：鑒別是為每一個通信方查明另一個實體身份和特權(quán)的過程。其方式有：報文鑒別；數(shù)字簽名；終端識別技術(shù)等。11、數(shù)據(jù)完整性機制：傳輸數(shù)據(jù)完整性控制包括：正確的發(fā)送方/接收方；數(shù)據(jù)無丟失/誤送；時序正確等。12、審計追蹤機制：審計記錄追蹤，記錄每個用戶的網(wǎng)絡(luò)地址和時間，記錄管理員活動。13、入侵檢測機制：主要是利用審計記錄，檢測和識別系統(tǒng)中未授權(quán)或異?，F(xiàn)象。

以上技術(shù)方面的措施將在3.3節(jié)作詳細介紹。返回本節(jié)3.2.1技術(shù)對策 10、鑒別機制：鑒別是為每一個通信423.2.2管理對策

電子商務(wù)系統(tǒng)安全管理制度是用文字形式對各項安全要求所做的規(guī)定，建立各種有關(guān)的合理制度，并加強嚴格監(jiān)督，是網(wǎng)絡(luò)營銷人員安全工作的規(guī)范和準則。這些制度主要有：1、人員管理制度

①嚴格網(wǎng)絡(luò)營銷人員的選拔；②落實工作責任制；③堅持貫徹電子商務(wù)安全運作基本原則：雙人負責；任期有限；最小權(quán)限原則。2、保密制度①信息的安全級別分三級：絕密/機密/秘密；②對密匙的管理，注意定時更換3.2.2管理對策 電子商務(wù)系統(tǒng)安全管理制度是用文433.2.2管理對策3、跟蹤、審計、稽核制度①跟蹤制度要求企業(yè)建立網(wǎng)絡(luò)交易系統(tǒng)日志機制，記錄系統(tǒng)運行的全過程。②審計制度包括經(jīng)常對系統(tǒng)日志的檢查和審核，及時發(fā)現(xiàn)對系統(tǒng)故意的入侵行為和安全違規(guī)記錄。

③稽核制度是指工商、稅務(wù)、銀行人員利用網(wǎng)絡(luò)借助于稽核業(yè)務(wù)應(yīng)用軟件調(diào)閱、查詢、審核、判斷轄區(qū)內(nèi)各電子商務(wù)參與單位業(yè)務(wù)經(jīng)營活動的合理性、安全性等，保證電子商務(wù)交易安全。3.2.2管理對策3、跟蹤、審計、稽核制度443.2.2管理對策4、網(wǎng)絡(luò)系統(tǒng)的日常維護制度①硬件的日常管理維護制度：包括：Intranet、網(wǎng)絡(luò)設(shè)備、服務(wù)器和客戶機、通信線路等。②軟件的日常管理維護制度：包括：支撐軟件（如操作系統(tǒng)，數(shù)據(jù)庫，開發(fā)工具等）和應(yīng)用軟件（可以設(shè)置一臺安裝服務(wù)器，為客戶機提供遠程安裝。選擇網(wǎng)絡(luò)負載較低時進行）。5、數(shù)據(jù)備份、恢復(fù)和應(yīng)急措施6、抗病毒返回本節(jié)3.2.2管理對策4、網(wǎng)絡(luò)系統(tǒng)的日常維護制度返回本節(jié)453.2.3構(gòu)造電子商務(wù)交易安全的保障體系應(yīng)該從以下幾方面入手來構(gòu)造電子商務(wù)交易安全的保障體系：1、組織力量研究目前使用的網(wǎng)絡(luò)安全產(chǎn)品基本上都是國外的產(chǎn)品。應(yīng)盡快開發(fā)我國自己的網(wǎng)絡(luò)安全產(chǎn)品。2、盡快建立與安全電子交易相對應(yīng)的國家電子商務(wù)認證中心，對交易各方進行有效的認證3.強化電子商務(wù)交易市場管理，規(guī)范買賣雙方和中介方的交易行為，制定規(guī)范的電子商務(wù)交易標準3.2.3構(gòu)造電子商務(wù)交易安全的保障體系應(yīng)該從以下幾463.2.3構(gòu)造電子商務(wù)交易安全的保障體系4、盡快完善電子商務(wù)交易的法律法規(guī)目前我國在這方面的研究還處于起步階段。已出臺的法規(guī)有：《因特網(wǎng)域名管理條例》等需要制定的有關(guān)法規(guī)有：市場準入制度、合同有效認證辦法、電子支付系統(tǒng)安全措施、信息保密防范辦法、知識產(chǎn)權(quán)侵權(quán)處理規(guī)定、隱私權(quán)保護辦法、稅收征收辦法、廣告管制、網(wǎng)絡(luò)內(nèi)容的過濾要求等返回本節(jié)3.2.3構(gòu)造電子商務(wù)交易安全的保障體系4、盡快完善電子47作業(yè)進入一個電子商務(wù)購物網(wǎng)站，申請一個新的帳號。模擬購買圖書，寫出基本步驟。（切記：到達付款及送貨信息那一步后，若不是確定購買，不要進入下一步）結(jié)合上述操作，總結(jié)一下建立B2C網(wǎng)站需要提供的主要功能。要求：可以互相討論，但要獨立完成。必須寫在作業(yè)本上作業(yè)進入一個電子商務(wù)購物網(wǎng)站，申請一個新的帳號。要求48

3.3.1電子商務(wù)系統(tǒng)防火墻

3.3.2電子商務(wù)信息加密

3.3.3電子商務(wù)數(shù)字簽名

3.3.4電子商務(wù)身份認證

3.3.5電子商務(wù)數(shù)字時間戳

3.3.6電子商務(wù)數(shù)字證書3.3電子商務(wù)的安全手段跳到下一節(jié)返回本章首頁3.3.1電子商務(wù)系統(tǒng)防火墻3.3電子商務(wù)的安全493.3.1電子商務(wù)系統(tǒng)防火墻在第二節(jié)中我們討論了電子商務(wù)網(wǎng)絡(luò)安全管理基本對策，里面涉及到不少具體的處理手段。本節(jié)主要介紹一些比較流行的安全手段。1、防火墻的基本概念

企業(yè)內(nèi)部網(wǎng)Intranet是企業(yè)電子商務(wù)系統(tǒng)的一個重要組成部分。Intranet與Internet連接后，方便了企業(yè)內(nèi)部與外部的信息交流，工作效率得到提高。但同時，也產(chǎn)生了不安全因素。為了達到既要與外界溝通，又要保護信息和網(wǎng)絡(luò)平臺安全的目的，就要在被保護的內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)置一道屏障，以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。所有內(nèi)部網(wǎng)和外部網(wǎng)之間的鏈接都要經(jīng)過這一保護層。這一保護屏障就稱為防火墻。3.3.1電子商務(wù)系統(tǒng)防火墻在第二節(jié)中我們討論了503.3.1電子商務(wù)系統(tǒng)防火墻（1）防火墻的定義

防火墻是指一個由軟件和硬件設(shè)備組合而成，在Intranet和Internet之間的界面上構(gòu)筑的一道保護屏障（如下圖所示），用于加強內(nèi)部網(wǎng)絡(luò)和公共網(wǎng)絡(luò)之間安全防范的系統(tǒng)。（2）防火墻的作用

就是限制Internet用戶對內(nèi)部網(wǎng)絡(luò)的訪問以及管理內(nèi)部用戶訪問外界的權(quán)限。3.3.1電子商務(wù)系統(tǒng)防火墻（1）防火墻的定義51防火墻系統(tǒng)示意圖防火墻系統(tǒng)示意圖523.3.1電子商務(wù)系統(tǒng)防火墻（3）防火墻的安全控制策略防火墻是一種技術(shù)。是目前保證網(wǎng)絡(luò)安全的必備的安全手段。它在網(wǎng)絡(luò)之間執(zhí)行訪問控制策略。實現(xiàn)防火墻的實際方式各不相同，但是在原則上，防火墻可以被認為是這樣一對機制：一種機制是攔阻傳輸流通行，另一種機制是允許傳輸流通過。即：凡是沒有被列為允許訪問的服務(wù)都是被禁止的。

凡是沒有被列為禁止訪問的服務(wù)都是被允許的。3.3.1電子商務(wù)系統(tǒng)防火墻（3）防火墻的安全控制策略533.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（1）過濾不安全服務(wù)

防火墻只允許特定的服務(wù)通過，其余信息流一概不許通過。從而保護網(wǎng)絡(luò)免受除特定服務(wù)攻擊之外的任何攻擊。確保電子商務(wù)系統(tǒng)平臺不受到入侵。做法：封鎖所有信息流，然后對希望提供的服務(wù)逐項開放。（如：HTTP、POP3、FTP等服務(wù)。）對不安全的服務(wù)或可能有安全隱患的服務(wù)一律關(guān)閉。這是一種非常有效實用的方法，可以造成一種十分安全的環(huán)境，因為只有經(jīng)過仔細挑選的服務(wù)才能允許用戶使用。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可543.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（2）過濾非法用戶和訪問特殊站點

確保所有電子商務(wù)應(yīng)用都是授權(quán)訪問。保護關(guān)鍵部門不受到來自內(nèi)部或外部的攻擊。做法：防火墻應(yīng)先允許所有的用戶和站點對內(nèi)部網(wǎng)絡(luò)的訪問，然后網(wǎng)絡(luò)管理員按照ＩＰ地址對未授權(quán)的用戶或不信任的站點進行逐項屏蔽。這種方法構(gòu)成了一種更為靈活的應(yīng)用環(huán)境，網(wǎng)絡(luò)管理員可以針對不同的服務(wù)面向不同的用戶開放，也就是能自由地設(shè)置各個用戶的不同訪問權(quán)限。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可553.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（3）設(shè)置安全和審計檢查

對所有商業(yè)事務(wù)處理進行審計，以便安全管理和責任追究。

做法：防火墻可以發(fā)揮一種有效的“電話監(jiān)聽”（Phonetap）和跟蹤工具的作用。防火墻提供一種重要的記錄和審計功能；可以向管理員提供一些情況概要，如有關(guān)通過防火墻的傳輸流的類型和數(shù)量以及有多少次試圖闖入防火墻的企圖等等信息。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可563.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（4）數(shù)據(jù)源控制

使用過濾模塊來檢查數(shù)據(jù)包的來源和目的地址，根據(jù)管理員的規(guī)定來決定接收還是拒絕該數(shù)據(jù)包。

（5）應(yīng)用與數(shù)據(jù)包級控制

掃描數(shù)據(jù)包的內(nèi)容，查找與應(yīng)用相關(guān)的數(shù)據(jù)。在網(wǎng)絡(luò)層對數(shù)據(jù)包進行模式檢查。（6）對私有數(shù)據(jù)的加密支持

保證通過Internet進行的VPN和商務(wù)活動不受損壞。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可573.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（7）使用授權(quán)控制

客戶端認證只允許指定的用戶訪問內(nèi)部網(wǎng)或選擇服務(wù)

（8）反欺騙

欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段，它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部，電子商務(wù)系統(tǒng)的防火墻應(yīng)監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可583.3.1電子商務(wù)系統(tǒng)防火墻5、防火墻的組成防火墻是一個由軟件和硬件設(shè)備組合而成的安全應(yīng)用系統(tǒng)，主要由安全操作系統(tǒng)、過濾器、網(wǎng)關(guān)、域名管理器和電子郵件處理5部分組成。

防火墻本身必須建立在安全操作系統(tǒng)所提供的安全環(huán)境中。防火墻的代碼只允許在特定主機系統(tǒng)上執(zhí)行。具有防火墻的主機在Internet界面稱為堡壘式計算機。它可以暴露在Internet中，抗擊來自黑客的直接進攻。3.3.1電子商務(wù)系統(tǒng)防火墻5、防火墻的組成593.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型根據(jù)防火墻使用的技術(shù)和系統(tǒng)配置，可以分為以下幾種類型：

（1）包過濾型防火墻（網(wǎng)絡(luò)層）位置：通常安裝在路由器上（一般的商用路由器都提供包過濾的功能）。原理：在網(wǎng)絡(luò)層中對數(shù)據(jù)包實施有選擇的通過。以IP包信息為基礎(chǔ)，檢查IP包中的信息（源地址、目標地址、應(yīng)用或協(xié)議、端口號等），確定是否允許該數(shù)據(jù)包通過。即檢查每一條規(guī)則，直到發(fā)現(xiàn)包中的信息與某條規(guī)則相符；或者沒有一條規(guī)則能符合，防火墻就使用默認規(guī)則（丟棄該IP包）。

優(yōu)點：簡潔、速度快、費用低，對用戶透明，也就是說不需要用戶輸入帳號和密碼來登錄，因此速度上要比代理服務(wù)器快，且不容易出現(xiàn)瓶頸現(xiàn)象。缺點：沒有用戶的使用記錄，所以不能從訪問記錄中發(fā)現(xiàn)非法入侵的攻擊記錄。3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型603.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型（2）代理服務(wù)器型防火墻原理：內(nèi)部網(wǎng)絡(luò)與Internet不直接通訊，防火墻內(nèi)外的計算機之間的通信通過代理服務(wù)器中轉(zhuǎn)。內(nèi)部網(wǎng)絡(luò)計算機用戶與代理服務(wù)器采用一種網(wǎng)絡(luò)通訊協(xié)議，代理服務(wù)器與Internet之間的通信則采用另一種網(wǎng)絡(luò)通信協(xié)議，即代理服務(wù)器兩端采用不同的協(xié)議標準，這樣便成功地實現(xiàn)了防火墻內(nèi)外計算機系統(tǒng)的隔離，能夠有效地阻止外界直接非法入侵。

優(yōu)點：能夠檢查進出的數(shù)據(jù)包，復(fù)制傳遞數(shù)據(jù)，能夠理解應(yīng)用層上的協(xié)議，有較好的訪問控制，并做精細的注冊和稽核。是目前最安全的防火墻技術(shù)。缺點：缺乏透明度（需要用戶輸入帳號和密碼來登錄）；在內(nèi)部網(wǎng)絡(luò)終端機很多的情況下，代理服務(wù)器負擔很重，效率必然會受到影響。3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型613.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型（2）代理服務(wù)器型防火墻代理服務(wù)器通常由性能好、處理速度快、容量大的計算機來充當，在功能上是作為內(nèi)部網(wǎng)絡(luò)與Internet的連接者，它對于內(nèi)部網(wǎng)絡(luò)來說是象一臺真正的服務(wù)器一樣，而對于因特網(wǎng)上的服務(wù)器來說，它又是一臺客戶機。當代理服務(wù)器接受到用戶的請求以后，會檢查用戶請求的站點是否符合設(shè)定要求，如果允許用戶訪問該站點的話，代理服務(wù)器就會和那個站點連接，以取回所需信息再轉(zhuǎn)發(fā)給用戶（見下圖）。內(nèi)部網(wǎng)Internet代理服務(wù)器3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型內(nèi)部網(wǎng)代理623.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型

（3）加密路由器型防火墻

對通過路由器的信息流進行加密和壓縮，然后通過外部網(wǎng)絡(luò)傳輸?shù)侥康亩诉M行解壓縮和解密。（4）電路級防火墻（5）規(guī)則檢查防火墻（6）復(fù)合型防火墻（7）屏蔽主機防火墻3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型

（3）加633.3.1電子商務(wù)系統(tǒng)防火墻7、防火墻的局限性（防火墻不能防范什么？）●不能防范來自內(nèi)部的攻擊。

●不能真正防止人為因素的攻擊。如口令泄露、用戶錯誤操作。

●不能有效地防范受病毒感染的軟件或文件的傳輸。在網(wǎng)絡(luò)上傳輸二進制文件的編碼方式太多了，并且有太多的不同的結(jié)構(gòu)和病毒，因此不可能查找所有的病毒。

●不能防止數(shù)據(jù)驅(qū)動式的攻擊。即通過將某些表面看來無害的數(shù)據(jù)郵寄或拷貝到內(nèi)部主機中，然后它再在內(nèi)部主機中運行而造成的攻擊。返回本節(jié)3.3.1電子商務(wù)系統(tǒng)防火墻7、防火墻的局限性（防火墻643.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密：采用某種規(guī)則（算法和密鑰）對原始信息（“明文”）進行編碼或某種變換，使它成為不可理解的形式（“密文”）。這個過程就是加密（加密需要兩個輸入項：明文和加密密鑰）。

●解密：將密文還原成原來可理解的原始信息（即：“明文”）。是加密的逆過程（解密也需要兩個輸入項：密文和解密密鑰）。

●規(guī)則（算法和密鑰）：加密和解密必須依賴兩個要素，這兩個要素就是算法和密鑰。算法是加密或解密的一步一步過程（或計算方法），在這一過程中需要一串數(shù)字，這串數(shù)字就是密鑰。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念653.3電子商務(wù)安全手段3.3.2電子商務(wù)信息加密舉例：明文加（解）密規(guī)則密文算法密鑰revolution從第一個字母開始從前往后每隔2個字母取1個字母，按順序排列。每隔2個字母取1個，共排列10個字母獲得密文如下：rotnvuoeli獲得明文如下：revolution從第一個字母開始從后往前每隔2個字母取1個字母，按順序排列。每隔2個字母取1個，共排列10個字母rotnvuoeli3.3電子商務(wù)安全手段舉例：明文加（解）密規(guī)則密文算法663.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密技術(shù)的關(guān)鍵：設(shè)計算法很困難，算法一般固定不變，密鑰卻可以變化。所以，加密技術(shù)的關(guān)鍵是密鑰?！衩荑€的長度：指密鑰的位數(shù)。一個16位的密鑰有216=65536種不同的密鑰。密文破譯實際上是黑客利用計算機程序去不停地猜測。按現(xiàn)在的計算機技術(shù)水平，要破解16位密鑰很容易，但要破解1024位RSA密鑰，需要上千年的計算時間。所以，密鑰的位數(shù)越長，加密系統(tǒng)越牢固。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念673.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密的作用和意義加密最明顯的作用就是提供機密性。這里“明文‘代表未經(jīng)保護的敏感數(shù)據(jù)，而相應(yīng)的”密文“可以在不被信任的環(huán)境中傳輸。加密后的信息，即使被他人截取，由于得到的是加密后的不可理解的信息（密文），因此無法知道這些信息的原始涵義；同時加密后，他人也無法加入或刪除信息，因為加密后信息被改變后就無法得到原始信息。因此可以起到保護重要信息安全的作用。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念683.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對稱加密技術(shù)指對信息的加密和解密都使用相同的密鑰的加密技術(shù)。

特點：

處理簡單。當某一貿(mào)易方有N個貿(mào)易關(guān)系，他就要維護N個專用密鑰。無法鑒別貿(mào)易發(fā)起方或貿(mào)易最終方。

存在問題：1）在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外一個安全途徑傳遞統(tǒng)一的密鑰。2）當通信對象增多時，需要相應(yīng)數(shù)量的密鑰。3）對稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會造成密鑰的失效，存在著潛在的危險和復(fù)雜的管理難度。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)693.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對稱加密技術(shù)對稱加密的密鑰管理：對稱加密是基于共同保守秘密來實現(xiàn)的。采用對稱加密技術(shù)的貿(mào)易雙方必須要保證采用的是相同的密鑰,要保證彼此密鑰的交換是安全可靠的,同時還要設(shè)定防止密鑰泄密和更改密鑰的程序。這樣,對稱密鑰的管理和分發(fā)工作將變成一件潛在危險的和繁瑣的過程。通過公開密鑰加密技術(shù)實現(xiàn)對稱密鑰的管理，使相應(yīng)的管理變得簡單和更加安全,同時還解決了純對稱密鑰模式中存在的可靠性問題和鑒別問題。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)703.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對稱加密技術(shù)對稱加密的過程：

①發(fā)送方用自己的私有密鑰對要發(fā)送的信息進行加密，得到密文；②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；③接收方用發(fā)送方進行加密的那把私有密鑰對接收到的加密信息進行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)713.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對稱加密技術(shù)對稱加密算法：對稱加密算法有很多，下面是常見的幾種。①數(shù)據(jù)加密標準（DES）：這是由美國國家標準局提出，是目前廣泛采用的對稱加密方式之一，主要應(yīng)用于銀行業(yè)中的電子資金轉(zhuǎn)帳（EFT）領(lǐng)域。②高級加密標準（AES）：AES是一種密碼塊加密方法?？蓪?8位的密碼塊進行處理，密鑰的長度可以是128、192、256位。③三重DES：使用多重加密方法可以增加DES的有效密鑰長度，這種算法比單一的DES功能更強大。④Rivest密碼：這是屬于RSA數(shù)據(jù)安全公司的（包括：RC2～RC6）比較流行的算法，這些算法相對比較簡單，實施起來較容易。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)723.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（2）非對稱加密技術(shù)（公—私鑰加密技術(shù)）

非對稱加密又稱為公開密鑰加密，需要采用兩個在數(shù)學(xué)上相關(guān)的密鑰對：公開密鑰和私有密鑰進行加密。一個公鑰和一個與公鑰不同的私鑰組成密鑰對。用公鑰加密的結(jié)果只能用私鑰才能解密。同時，用公鑰推導(dǎo)私鑰的代價在實際中是十分高昂的，甚至是不可行的。因此你可以將你的公鑰散發(fā)給其他人，而你自己則安全地持有你的私鑰。這樣其他人向你發(fā)送郵件時就可以用你的公鑰進行加密，而這封被加密的郵件只有你才能用你的私鑰解密并閱讀。即在此過程中使用兩把密鑰，3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)733.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（3）非對稱加密技術(shù)的兩種基本模式1）加密模式（多對一）

在加密模式中，非對稱加密的加密和解密的過程如下：

①發(fā)送方用接收方的公開密鑰對要發(fā)送的信息進行加密，得到信息的密文；

②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；

③接收方用自己的私有密鑰（只有接收方才有）對接收到的信息進行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)743.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（3）非對稱加密技術(shù)的兩種基本模式2）驗證模式（一對多）

在驗證模式中，非對稱加密的加密和解密的過程如下：

①發(fā)送方用自己的私有密鑰（只有發(fā)送方才有）對要發(fā)送的信息進行加密，得到信息的密文；

②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；

③接收方用發(fā)送方的公開密鑰對接收到的信息進行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)753.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（4）最著名的非對稱加密算法（RSA算法）原理：非對稱加密技術(shù)采用RSA算法，加密和解密使用兩把密鑰，一把稱為公鑰，另一把稱為私鑰，兩把密鑰實際上是兩個很大的質(zhì)數(shù)，用其中的一個質(zhì)數(shù)（公鑰）與明文相乘，可以加密得到密文；用另一個質(zhì)數(shù)（私鑰）與密文相乘可以解密得到明文，但不能用一個質(zhì)數(shù)求得另一個質(zhì)數(shù)，即知道公鑰也無法求出私鑰。存在問題：運算速度慢。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)763.3.2電子商務(wù)信息的加密3、加密技術(shù)的不足之處加密標準很多，但缺乏一個安全交易的通用標準。同時帶來了兼容性的問題。加密技術(shù)是國家控制的技術(shù)，加密技術(shù)只有牢牢掌握在自己國家手中，才能夠比較主動地把握各類信息的安全性。返回本節(jié)3.3.2電子商務(wù)信息的加密3、加密技術(shù)的不足之處返回773.3.3電子商務(wù)數(shù)字簽名 1、書面文件簽名的作用

在書面文件上簽名是確認文件的一種手段。其作用有兩點：第一，因為自己的簽名難以否認，從而確認了文件已簽署這一事實；第二，因為簽名不易仿冒，從而確定了文件是真的這一事實。數(shù)字簽名與書面文件簽名有相同之處，采用數(shù)字簽名，也能確認以下兩點：第一，信息是由簽名者發(fā)送的；第二，信息自簽發(fā)后到收到為止未曾做過任何修改。這樣數(shù)字簽名就可用來防止電子信息因易被修改而有人做假，或假冒他人名義發(fā)送信息?；虬l(fā)出（或收到）的信件又加以否認等情況發(fā)生。應(yīng)用廣泛的數(shù)字簽名方法主要有三種，即：RSA簽名、DSS簽名和Hash簽名。這三種算法可以單獨使用。也可綜合在一起使用。3.3.3電子商務(wù)數(shù)字簽名 1、書面文件簽名的作用783.3.3電子商務(wù)數(shù)字簽名 2、數(shù)字簽名的原理（1）數(shù)字簽名的產(chǎn)生過程：將原文按雙方約定的HASH算法計算得到一個固定位數(shù)的數(shù)字串（稱為報文摘要）。（該算法在數(shù)學(xué)上保證只要改動報文中任何一位，重新計算出的報文摘要值就與原先的值不相符。這樣就保證了報文的不可更改性。同時通過摘要是無法獲得原文的。）然后對所得的摘要用發(fā)送者的私鑰進行加密，并將加密結(jié)果作為數(shù)字簽名附在原文后發(fā)送給對方（如下圖）。（2）檢驗數(shù)字簽名的過程：接收者收到數(shù)字簽名和原文后，用同樣的HASH算法對正文計算形成摘要，再對所附數(shù)字簽名用發(fā)送者的公鑰進行解密。如果兩者的結(jié)果相同，數(shù)字簽名得到驗證，接收方就能確認該數(shù)字簽名是來自發(fā)送方的；否則就是假冒或被篡改的原文。因為相應(yīng)的私鑰只有該原文聲明者擁有，而只有用該私鑰加密才能獲得可由相應(yīng)公鑰正確解密的結(jié)果。3.3.3電子商務(wù)數(shù)字簽名 2、數(shù)字簽名的原理79

數(shù)字簽名是公開密鑰加密技術(shù)的另一類應(yīng)用。發(fā)送方用自己的私有密鑰進行加密后形成數(shù)字簽名，而接收方則用發(fā)送方的公開密鑰進行驗證操作。數(shù)字簽名的過程

Hash

算法

原文

摘要

摘要

？

原文

摘要

Internet

發(fā)送方

接收方

Hash算法

數(shù)字

簽名

發(fā)送者

私鑰加密

數(shù)字

簽名

發(fā)送者

公鑰解密

對比和驗證是否正確？數(shù)字簽名是公開密鑰加密技術(shù)的另一類應(yīng)用。發(fā)送方用自己803.3.3電子商務(wù)數(shù)字簽名 3、數(shù)字簽名的作用

數(shù)字簽名的作用是為了鑒別文書的真?zhèn)?，傳統(tǒng)的做法是相關(guān)人員在文件或書信上親筆簽名或印章。簽名起到認證、核準、生效的作用。保證信息的完整性和不可否認性。（1）數(shù)字簽名解密后得到的摘要與用Hash函數(shù)處理原文后得到的摘要應(yīng)該相同，否則，表示原文已被修改或有丟失。（2）能夠用公鑰解密的數(shù)字簽名只可能由發(fā)送者的私鑰來產(chǎn)生，所以簽名者無法否認自己的簽名；接收方也無法偽造發(fā)送方的簽名。因此數(shù)字簽名可作為信息發(fā)/收雙方對某些有爭議信息的法律依據(jù)。4、數(shù)字簽名與手書簽名的區(qū)別

手書簽名是模擬的，因人而異；數(shù)字簽名是數(shù)字的（0和1的數(shù)字串），因消息而異。3.3.3電子商務(wù)數(shù)字簽名 3、數(shù)字簽名的作用813.3.3電子商務(wù)數(shù)字簽名 4、數(shù)字簽名和數(shù)字加密的區(qū)別

數(shù)字簽名和數(shù)字加密的過程雖然都使用公開密鑰體系，但實現(xiàn)的過程正好相反，使用的密鑰對也不同。數(shù)字簽名使用的是發(fā)送方的密鑰對，發(fā)送方用自己的私有密鑰進行加密，接收方用發(fā)送方的公開密鑰進行解密，這是一個一對多的關(guān)系，任何擁有發(fā)送方公開密鑰的人都可以驗證數(shù)字簽名的正確性。數(shù)字加密則使用的是接收方的密鑰對，這是多對一的關(guān)系，任何知道接收方公開密鑰的人都可以向接收方發(fā)送加密信息，只有唯一擁有接收方私有密鑰的人才能對信息解密。另外，數(shù)字簽名只采用了非對稱密鑰加密算法，它能保證發(fā)送信息的完整性、身份認證和不可否認性，而數(shù)字加密采用了對稱密鑰加密算法和非對稱密鑰加密算法相結(jié)合的方法，它能保證發(fā)送信息保密性。返回本節(jié)3.3.3電子商務(wù)數(shù)字簽名 4、數(shù)字簽名和數(shù)字加密的區(qū)別823.3.4電子商務(wù)的身份認證 1、電子商務(wù)身份認證的必要性

一方面，只有合法用戶才能使用網(wǎng)絡(luò)資源，故網(wǎng)絡(luò)資源管理要求識別用戶身份；另一方面，由于網(wǎng)絡(luò)交易時雙方并不見面，通過普通的電子傳輸信息很難確認對方的身份。因此應(yīng)采取一定的措施使交易雙方能互相確認對方的身份，才能放心的開展電子商務(wù)活動。2、電子商務(wù)身份認證的目標①保證信息來源的可信（并非假冒）；②傳輸過程的完整性（沒有被修改、延遲、替換）；③收發(fā)雙方的不可抵賴性；④訪問控制（拒絕非法用戶訪問系統(tǒng)資源，合法用戶只能訪問系統(tǒng)授權(quán)和指定的資源）。3.3.4電子商務(wù)的身份認證 1、電子商務(wù)身份認證的必要833.3.4電子商務(wù)的身份認證 3、電子商務(wù)身份認證的基本方式

①人體生物學(xué)特征方式：用戶具有的某些生物學(xué)特征，如指紋、聲音、DNA圖案、臉部等，相同的概率非常小，用它可以直接認證。但這種認證方案一般造價較高，多半適用于保密程度很高的場合。②口令方式：一般是長度為5-8位的字符串。由數(shù)字、字母、控制字符等組成。其原則是：易記，難猜，難分析。③標記方式：標記是用戶所持有的某個秘密信息(硬件)，其中存儲有用戶的個人化參數(shù)，訪問系統(tǒng)資源時，用戶必須持有合法的隨身攜帶的物理介質(zhì)，例如智能卡。其作用類似于鑰匙，用于啟動電子設(shè)備。返回本節(jié)3.3.4電子商務(wù)的身份認證 3、電子商務(wù)身份認證的基本843.3.5電子商務(wù)的數(shù)字時間戳1、電子商務(wù)身份認證的基本方式

（1）數(shù)字時間戳的必要性：在書面合同中，文件簽署的日期和簽名一樣都十分重要。是防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。

電子交易中，同樣要對交易文件的日期和事件信息采取安全措施。數(shù)字時間戳服務(wù)能提供電子文件發(fā)表時間的安全保護。（2）數(shù)字時間戳服務(wù)的提供：由專門的機構(gòu)提供。是一個加密后形成的憑證文檔，包括：需要加時間戳的文件的摘要，服務(wù)機構(gòu)收到文件的日期和時間，數(shù)字時間戳的數(shù)字簽名。（3）數(shù)字時間戳產(chǎn)生的過程：用戶將需要加時間戳的文件用Hash函數(shù)形成摘要；將摘要發(fā)送到服務(wù)機構(gòu)；機構(gòu)對摘要加上時間后進行數(shù)字簽名并發(fā)送給原用戶；原用戶可以把它發(fā)送給接收者。返回本節(jié)3.3.5電子商務(wù)的數(shù)字時間戳1、電子商務(wù)身份認證的基本853.3.6電子商務(wù)的數(shù)字證書1、概述

在電子商務(wù)中，所謂數(shù)字證書，是一個由使用數(shù)字證書的用戶群所公認和信任的權(quán)威機構(gòu)（即CA）簽署了其數(shù)字簽名的信息集合。在電子商務(wù)中，不同的數(shù)字證書有著不同的用途。2、認證機構(gòu)CA（CertificateAuthority認證中心）

一個受法律承認的權(quán)威機構(gòu)。采用PKI（PublicKeyInfrastructure）公開密鑰基礎(chǔ)架構(gòu)技術(shù)，專門提供網(wǎng)絡(luò)身份認證服務(wù)，負責簽發(fā)和管理數(shù)字證書，且具有權(quán)威性和公正性的第三方信任機構(gòu)，它的作用就像我們現(xiàn)實生活中頒發(fā)證件的公司（如護照辦理機構(gòu)），專門驗證交易雙方的身份，對密鑰進行有效管理，頒發(fā)證書證明密鑰的有效性，將公開密鑰和某一個實體聯(lián)系起來。其職能是：發(fā)放和管理用戶的數(shù)字證書。3.3.6電子商務(wù)的數(shù)字證書1、概述863.3.6電子商務(wù)的數(shù)字證書3、認證機構(gòu)（CA）中心的職能

接收注冊請求，處理、批準或拒絕請求，核發(fā)和管理用戶的數(shù)字證書；負責證書的檢索、撤消、驗證、數(shù)據(jù)庫備份、保證證書和密鑰服務(wù)器的安全。4、CA認證系統(tǒng)組成及功能目前CA認證系統(tǒng)主要由以下三部分組成：（1）在客戶端面向證書用戶的數(shù)字證書申請、查詢和下載系統(tǒng)；（2）在CA端由CA管理員對證書申請進行審批的證書授權(quán)系統(tǒng)；（3）在CA控制臺，簽發(fā)用戶證書的證書簽發(fā)系統(tǒng)。3.3.6電子商務(wù)的數(shù)字證書3、認證機構(gòu)（CA）中心的職873.3.6電子商務(wù)的數(shù)字證書5、數(shù)字證書又稱為數(shù)字標識（DigitalCertificate，DigitalID）。是一個經(jīng)證書授權(quán)機構(gòu)數(shù)字簽名的數(shù)字信息文件。它提供了一種在Internet上身份驗證的方式，用來標志和證明網(wǎng)絡(luò)通信雙方的身份，與司機駕照或日常生活中的身份證相似。在網(wǎng)上進行電子商務(wù)活動時，交易雙方需要使用數(shù)字證書來表明自己的身份，并使用數(shù)字證書來進行有關(guān)的交易操作。通俗地講，數(shù)字證書就是個人或單位在Internet的身份證。數(shù)字證書主要包括三方面的內(nèi)容：證書所有者的信息、證書所有者的公開密鑰和證書頒發(fā)機構(gòu)的數(shù)字簽名。3.3.6電子商務(wù)的數(shù)字證書5、數(shù)字證書883.3.6電子商務(wù)的數(shù)字證書6、數(shù)字證書的用途

數(shù)字證書采用公－私鑰密碼體制，每個用戶擁有一把僅為本人所掌握的私鑰，用它進行信息解密和數(shù)字簽名；同時擁有一把公鑰，并可以對外公開，用于信息加密和簽名驗證。數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點、網(wǎng)上證券交易、網(wǎng)上采購招標、網(wǎng)上辦公、網(wǎng)上保險、網(wǎng)上稅務(wù)、網(wǎng)上簽約和網(wǎng)上銀行等安全電子事務(wù)處理和安全電子交易活動。最簡單的數(shù)字證書包含一個公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。3.3.6電子商務(wù)的數(shù)字證書6、數(shù)字證書的用途893.3.6電子商務(wù)的數(shù)字證書7、數(shù)字證書包含的內(nèi)容數(shù)字證書包含以下一些內(nèi)容：①證書的版本信息；②證書的序列號（每個證書都有唯一的證書序列號）；③證書所使用的簽名算法；④證書發(fā)行機構(gòu)名稱；⑤證書發(fā)行機構(gòu)的數(shù)字簽名（用私鑰的簽名）；⑥證書的有效期；⑦證書擁有者的名稱；⑧證書擁有者的公鑰；3.3.6電子商務(wù)的數(shù)字證書7、數(shù)字證書包含的內(nèi)容903.3.6電子商務(wù)的數(shù)字證書8、數(shù)字證書包含的類型（1）個人證書

僅僅為某個用戶提供憑證。安裝在用戶的瀏覽器上。用于網(wǎng)上安全交易操作，訪問需要客戶驗證安全的站點，發(fā)送帶簽名的Email等。（2）企業(yè)（或服務(wù)器）數(shù)字證書企業(yè)可以用具有憑證的站點進行安全電子交易，開啟服務(wù)器SSL安全通道，使用戶和服務(wù)器之間的數(shù)據(jù)加密傳送，要求客戶出示個人證書。（3）軟件（或開發(fā)者）數(shù)字證書為軟件提供憑證，以證明該軟件的合法性，這樣可以在Internet上安全地傳送。3.3.6電子商務(wù)的數(shù)字證書8、數(shù)字證書包含的類型913.3.6電子商務(wù)的數(shù)字證書9、證書的樹形驗證結(jié)構(gòu)●雙方通信時，通過出示某個認證中心（CA）簽發(fā)的證書來證明自己的身份?！袢绻麑灠l(fā)證書的CA不信任，則可以驗證該CA的身份。●CA的數(shù)字證書由其上一級的CA簽發(fā)?！窨梢灾鸺夠炞C，直到公認的權(quán)威CA處。（根CA）●根證書是一份特殊的證書，它的簽發(fā)者是它本身，下載根證書就表明您對該根證書以下所簽發(fā)的證書都表示信任，而技術(shù)上則是建立起一個驗證證書信息的鏈條，證書的驗證追溯至根證書即為結(jié)束。3.3.6電子商務(wù)的數(shù)字證書9、證書的樹形驗證結(jié)構(gòu)92圖3-30查看證書內(nèi)容（1）圖3-30查看證書內(nèi)容（1）93圖3-31查看證書內(nèi)容（2）圖3-31查看證書內(nèi)容（2）94圖3-32查看證書內(nèi)容（3）圖3-32查看證書內(nèi)容（3）95

CA的樹形結(jié)構(gòu)CA的樹形結(jié)構(gòu)963.3.6電子商務(wù)的數(shù)字證書3.3.6電子商務(wù)的數(shù)字證書9711、數(shù)字證書的申請（1）下載并安裝根證書（如圖3-34~3-38所示）（2）申請證書（如圖3-39~3-41所示）（3）將個人身份信息連同證書序列號一并郵寄到中國數(shù)字認證網(wǎng)3.3.6電子商務(wù)的數(shù)字證書11、數(shù)字證書的申請3.3.6電子商務(wù)的數(shù)字證書98圖3-34下載根證書（1）圖3-34下載根證書（1）99圖3-35下載根證書（2）圖3-35下載根證書（2）100圖3-36安裝根證書（1）圖3-36安裝根證書（1）101圖3-37安裝根證書（2）圖3-37安裝根證書（2）102圖3-38查看根證書圖3-38查看根證書103圖3-39申請個人免費證書圖3-39申請個人免費證書104圖3-40下載個人證書圖3-40下載個人證書105圖3-41查看個人證書圖3-41查看個人證書10612、數(shù)字證書應(yīng)用操作實例（個人證書在安全電子郵件中的應(yīng)用）（1）在OutlookExpress5發(fā)送簽名郵件(如圖3-42~3-46所示)：1）在OutlookExpress5中設(shè)置證書、2）發(fā)送簽名郵件。（2）用OutlookExpress5發(fā)送加密電子郵件（如圖3-47~3-50所示）：1）獲取收件人數(shù)字證書、

2）發(fā)送加密郵件。3.3.6電子商務(wù)的數(shù)字證書12、數(shù)字證書應(yīng)用操作實例3.3.6電子商務(wù)的數(shù)字證書107圖3-42在OutlookExpress中設(shè)置證書（1）圖3-42在OutlookExpress中設(shè)置證書（1108圖3-43在OutlookExpress中設(shè)置證書（2）圖3-43在OutlookExpress中設(shè)置證書（2109圖3-44在OutlookExpress中設(shè)置證書（3）圖3-44在OutlookExpress中設(shè)置證書（3110圖3-45發(fā)送簽名郵件圖3-45發(fā)送簽名郵件111圖3-46收到簽名郵件的提示信息圖3-46收到簽名郵件的提示信息112圖3-47將收件人證書添加到通信簿圖3-47將收件人證書添加到通信簿113圖3-48查詢和下載收件人數(shù)字證書圖3-48查詢和下載收件人數(shù)字證書114圖3-49發(fā)送加密郵件圖3-49發(fā)送加密郵件115圖3-50收到加密郵件的提示信息圖3-50收到加密郵件的提示信息1163.3電子商務(wù)的安全手段3.3節(jié)小結(jié)：返回本節(jié)3.3電子商務(wù)的安全手段3.3節(jié)小結(jié)：返回本節(jié)1173.4計算機病毒及網(wǎng)絡(luò)黑客的防范 3.4.1計算機網(wǎng)絡(luò)病毒的類型、危害與防范3.4.2網(wǎng)絡(luò)黑客及其防范3.4.3電子商務(wù)安全交易標準跳到下一節(jié)返回本章首頁3.4計算機病毒及網(wǎng)絡(luò)黑客的防范 3.4.1計算機網(wǎng)1183.4.1計算機網(wǎng)絡(luò)病毒的類型、危害與防范1、計算機病毒的定義人為編制的、寄生于計算機合法程序或操作系統(tǒng)中的、可自我執(zhí)行和自行復(fù)制的、具有傳染性和破壞性的、以破壞計算機系統(tǒng)正常工作為目的非法程序。2、計算機網(wǎng)絡(luò)病毒的類型（1）蠕蟲（高速復(fù)制自己，占用系統(tǒng)資源）；（2）邏輯炸彈（滿足某種條件時受激發(fā)）；（3）特洛伊木馬（具有隱蔽性）；（4）陷阱入口（程序開發(fā)者有意安排引入歧路）；（5）核心大戰(zhàn)（允許兩個程序互相破壞的游戲程序）。3.4.1計算機網(wǎng)絡(luò)病毒的類型、危害與防范1、計算機病毒1193.4.1計算機網(wǎng)絡(luò)病毒的類型、危害與防范3、計算機網(wǎng)絡(luò)病毒的危害

（1）對網(wǎng)絡(luò)的危害（2）對計算機的危害。4、計算機網(wǎng)絡(luò)病毒的防范（1）在電腦上安裝防病毒軟件（單機版-事后消毒，聯(lián)機版-網(wǎng)絡(luò)端口設(shè)置過濾器）；（2）定期清毒（許多病毒有潛伏期）；（3）控制權(quán)限（如只讀）；（4）警惕網(wǎng)絡(luò)陷阱（沒有免費午餐）；（5）不打開陌生地址的Email，尤其是不要打開陌生地址的郵件附件（郵件附件是傳播宏病毒的來源）。返回本節(jié)3.4.1計算機網(wǎng)絡(luò)病毒的類型、危害與防范3、計算機網(wǎng)絡(luò)1203.4.2網(wǎng)絡(luò)黑客及其防范1、黑客的基本概念黑客(Hacker)源于英語動詞Hack，意為“劈、砍”，引申為“辟出、開辟”，進一步的意思是“干了一件非常漂亮的工作”。在20世紀早期的麻省理工學(xué)院校園口語中，黑客則有“惡作劇”之意，尤其是指手法巧妙、技術(shù)高明的惡作劇。2、黑客的類型目前的黑客可分為兩類：一類是駭客，他們只想引人注目，證明自己的能力，在進人網(wǎng)絡(luò)系統(tǒng)后，不會去破壞系統(tǒng)，或者僅僅會做一些無傷大雅的惡作劇，他們追求的是從侵人行為本身獲得巨大的成功滿足感；另一類是竊客，帶有強烈的目的性，早期的這些黑客主要是竊取國家情報、科研情報，而現(xiàn)在的這些黑客的目標大部分瞄準了銀行的資金和電子商務(wù)的整個交易過程。3.4.2網(wǎng)絡(luò)黑客及其防范1、黑客的基本概念1213.4.2網(wǎng)絡(luò)黑客及其防范3、黑客的例證

黑客作案只需要簡單的硬件設(shè)備：一臺計算機、一條電話線、一個調(diào)制解調(diào)器。黑客作案頻繁：平均每20秒發(fā)生一起入侵Internet計算機事件；每150次事件才被發(fā)現(xiàn)一次；入侵成功率高達65%。首例公開披露的作案：1988年11月2日，23歲的美國大學(xué)生羅伯特莫瑞斯的蠕蟲程序通過個人計算機用遠程命令送進Internet，造成美國多所大學(xué)、科研機構(gòu)和軍事機構(gòu)約6200臺計算機癱瘓。經(jīng)濟損失達9600萬美圓。我國的政府網(wǎng)絡(luò)、商業(yè)網(wǎng)絡(luò)和金融網(wǎng)絡(luò)也頻繁受到入侵和挑釁。（政治目的和商業(yè)犯罪）3.4.2網(wǎng)絡(luò)黑客及其防范3、黑客的例證1223.4.2網(wǎng)絡(luò)黑客及其防范4、黑客的攻擊手段利用網(wǎng)絡(luò)協(xié)議的漏洞，獲取系統(tǒng)的口令文件，對口令進行破譯；利用破譯后的帳號進入系統(tǒng)，將普通用戶帳號修改為超級用戶，使安全機制對其失去效用，任意胡作非為。黑客行為正在走向系統(tǒng)化、組織化、高技術(shù)化?；ヂ?lián)網(wǎng)上有許多公開、半公開或秘密的黑客組織、俱樂部、論壇，互相了解黑客信息，學(xué)習(xí)交流黑客技術(shù)，炫耀攻擊成果。3.4.2網(wǎng)絡(luò)黑客及其防范4、黑客的攻擊手段1233.4.2網(wǎng)絡(luò)黑客及其防范5、防范黑客的措施（1）使用防火墻，建立網(wǎng)絡(luò)安全屏障。（2）使用安全掃描工具發(fā)現(xiàn)黑客。（3）使用有效的監(jiān)控手段抓住入侵者。（4）堅持備份系統(tǒng)。（非常情況下能及時修復(fù)系統(tǒng)）（5）加強防范意識返回本節(jié)3.4.2網(wǎng)絡(luò)黑客及其防范5、防范黑客的措施返回本節(jié)1243.4.3電子商務(wù)安全交易標準1、安全套接層協(xié)議SSL（1）SSL（SecureSocketsLayer）協(xié)議的通信過程（2）電子商務(wù)網(wǎng)站的Web服務(wù)器安裝SSL協(xié)議步驟3.4.3電子商務(wù)安全交易標準1、安全套接層協(xié)議SSL1252．安全電子交易協(xié)議SET（1）SET（SecureElectronicTransaction）協(xié)議提供的安全保障（2）參與SET協(xié)議的交易對象（各參與對象的關(guān)系見圖2-51）（3）SET協(xié)議的工作程序3.4.3電子商務(wù)安全交易標準2．安全電子交易協(xié)議SET3.4.3電子商務(wù)安全交易標準126圖2-51SET協(xié)議的參與對象圖2-51SET協(xié)議的參與對象1273．其他安全協(xié)議（1）安全超文本傳輸協(xié)議（S-HTTP）（2）安全多媒體Internet郵件擴展協(xié)議（S/MIME）返回本節(jié)3.4.3電子商務(wù)安全交易標準3．其他安全協(xié)議返回本節(jié)3.4.3電子商務(wù)安全交易標準128本章小結(jié)主要知識點：1、電子商務(wù)系統(tǒng)安全的基本問題（概念、影響因素、控制要求）2、電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理對策（技術(shù)對策、管理對策、安全體系）3、電子商務(wù)安全手段（防火墻、信息加密、數(shù)字簽名、身份認證、時間戳、數(shù)字證書）4、計算機病毒及網(wǎng)絡(luò)黑客的防范。要求：重點掌握電子商務(wù)安全的基本問題，重點掌握電子商務(wù)安全的手段，掌握電子商務(wù)系統(tǒng)安全管理對策，了解計算機病毒及網(wǎng)絡(luò)黑客的防范。重點名詞：網(wǎng)絡(luò)安全、防火墻、信息加密技術(shù)、數(shù)字簽名、數(shù)字證書、對稱加密。本章小結(jié)主要知識點：129THANKYOUVERYMUCH！本章到此結(jié)束，謝謝您的光臨！返回本章首頁結(jié)束放映THANKYOUVERYMUCH！本章到此結(jié)束，返回130《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視大學(xué)工程技術(shù)系何豐如2005.2《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視131第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對策3.3電子商務(wù)安全手段3.4計算機病毒及網(wǎng)絡(luò)黑客的防范第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述132第3章電子商務(wù)系統(tǒng)的安全

隨著電子商務(wù)的迅速發(fā)展,電子商務(wù)系統(tǒng)的安全已受到來自計算機病毒、電腦黑客、計算機網(wǎng)絡(luò)系統(tǒng)自身脆弱性等各方面的嚴峻挑戰(zhàn)。因此如何建立一個安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對信息提供足夠的保護，是商家和用戶十分關(guān)心的重大問題。本章將著重介紹電子商務(wù)系統(tǒng)安全的概念、安全控制要求、網(wǎng)絡(luò)安全管理對策、常用安全手段和防范措施等內(nèi)容。第3章電子商務(wù)系統(tǒng)的安全隨著電子商務(wù)的迅速發(fā)展,電