電子商務(wù)系統(tǒng)的安全課件

《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視大學(xué)工程技術(shù)系何豐如2005.2《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視1第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對(duì)策3.3電子商務(wù)安全手段3.4計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述2第3章電子商務(wù)系統(tǒng)的安全

隨著電子商務(wù)的迅速發(fā)展,電子商務(wù)系統(tǒng)的安全已受到來自計(jì)算機(jī)病毒、電腦黑客、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)自身脆弱性等各方面的嚴(yán)峻挑戰(zhàn)。因此如何建立一個(gè)安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對(duì)信息提供足夠的保護(hù)，是商家和用戶十分關(guān)心的重大問題。本章將著重介紹電子商務(wù)系統(tǒng)安全的概念、安全控制要求、網(wǎng)絡(luò)安全管理對(duì)策、常用安全手段和防范措施等內(nèi)容。第3章電子商務(wù)系統(tǒng)的安全隨著電子商務(wù)的迅速發(fā)展,電33.1電子商務(wù)系統(tǒng)安全問題概述3.1.1電子商務(wù)系統(tǒng)安全性的基本概念3.1.2電子商務(wù)系統(tǒng)的安全控制要求3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素跳到下一節(jié)返回本章首頁3.1電子商務(wù)系統(tǒng)安全問題概述3.1.1電子商務(wù)系統(tǒng)43.1.1電子商務(wù)系統(tǒng)安全性的基本概念1、問題的提出由于電子商務(wù)是在公開的網(wǎng)上進(jìn)行的，支付、訂貨、談判等信息和機(jī)密的商務(wù)往來文件等大量商務(wù)信息在計(jì)算機(jī)系統(tǒng)中存放、傳輸和處理，所以，交易的安全性是電子商務(wù)發(fā)展的核心和關(guān)鍵問題。保證商務(wù)信息的安全是進(jìn)行電子商務(wù)應(yīng)用的前提。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念1、問題的提出53.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

雖然電子商務(wù)系統(tǒng)的形式多種多樣，涉及的安全問題也是方方面面，但主要有以下因素應(yīng)加以考慮：(1)物理安全

是指保護(hù)計(jì)算機(jī)主機(jī)硬件和物理線路的安全，保證其自身的可靠性和為系統(tǒng)提供基本安全機(jī)制。

影響物理安全的重要因素：火災(zāi)、自然災(zāi)害、輻射、硬件故障、搭線竊聽、盜竊、偷竊、和超負(fù)荷。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安63.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

(2)網(wǎng)絡(luò)安全

是指網(wǎng)絡(luò)層面的安全。相對(duì)于單機(jī)，計(jì)算機(jī)網(wǎng)絡(luò)不安全的因素更多。原因：因?yàn)槔碚撋暇W(wǎng)絡(luò)上的計(jì)算機(jī)有可能被網(wǎng)上任何一臺(tái)主機(jī)攻擊或插入物理網(wǎng)絡(luò)攻擊；大部分的Internet協(xié)議沒有進(jìn)行安全性設(shè)計(jì)；網(wǎng)絡(luò)服務(wù)器程序經(jīng)常需要用超級(jí)用戶特權(quán)來執(zhí)行。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安73.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素

(3)系統(tǒng)軟件安全

是指保護(hù)軟件和資料不會(huì)被竄改、泄露、破壞、非法復(fù)制（包括有意或無意）。系統(tǒng)軟件安全的目標(biāo)是使計(jì)算機(jī)系統(tǒng)邏輯上安全，使系統(tǒng)中的信息存取、處理和傳輸滿足系統(tǒng)安全策略的要求。系統(tǒng)軟件安全可分為：操作系統(tǒng)安全、數(shù)據(jù)庫安全、網(wǎng)絡(luò)軟件安全、應(yīng)用軟件安全。3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安83.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安全涉及的因素(4)人員管理安全主要是要防止內(nèi)部人員的攻擊。包括：雇員的素質(zhì)、敏感崗位的身份識(shí)別、安全培訓(xùn)、安全檢查等人員管理安全問題。（5）電子商務(wù)安全立法通過健全法律制度和完善法律體系，來保證合法網(wǎng)上交易的權(quán)益，同時(shí)對(duì)破壞合法網(wǎng)上交易權(quán)益的行為進(jìn)行依法嚴(yán)懲。電子商務(wù)立法是對(duì)電子商務(wù)犯罪的約束。利用國家機(jī)器進(jìn)行安全立法，體現(xiàn)與犯罪行為斗爭的國家意志。返回本節(jié)3.1.1電子商務(wù)系統(tǒng)安全性的基本概念2、電子商務(wù)系統(tǒng)安93.1.2電子商務(wù)系統(tǒng)的安全控制要求電子商務(wù)發(fā)展的核心和關(guān)鍵問題是交易的安全性，由于Internet的開放性，使網(wǎng)上交易面臨種種危險(xiǎn)，因此提出了相應(yīng)的安全控制要求，主要有：1、有效性

電子商務(wù)用電子形式代替了紙張，如何保證這種無紙貿(mào)易的有效性是開展電子商務(wù)的前提。即應(yīng)采取各種措施，確保貿(mào)易資料在確定的時(shí)刻、確定的地點(diǎn)是有效的。3.1.2電子商務(wù)系統(tǒng)的安全控制要求電子商務(wù)發(fā)展的103.1.2電子商務(wù)系統(tǒng)的安全控制要求2、保密性

電子商務(wù)作為貿(mào)易的一種手段，其中一些信息直接代表著個(gè)人、企業(yè)或國家的商業(yè)機(jī)密。因此在電子商務(wù)信息的傳播中一般都有保密的要求。維護(hù)商業(yè)機(jī)密是電子商務(wù)全面推廣應(yīng)用的重要保障。因此，要預(yù)防非法的信息存取和信息在傳播過程中被非法竊取。3、合法性網(wǎng)上交易各方的工作要符合可適用的法律和法規(guī)。3.1.2電子商務(wù)系統(tǒng)的安全控制要求2、保密性113.1.2電子商務(wù)系統(tǒng)的安全控制要求

4、完整性

電子商務(wù)雖然簡化了貿(mào)易過程、減少了人為干預(yù)，同時(shí)也帶來維護(hù)貿(mào)易各方商業(yè)信息的完整、統(tǒng)一的問題。貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營策略。因此確保貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)。要預(yù)防對(duì)信息的隨意生成、修改和刪除，同時(shí)要防止資料傳輸過程中信息的丟失和重復(fù)，以保證信息傳送次序的統(tǒng)一。3.1.2電子商務(wù)系統(tǒng)的安全控制要求4、完整性123.1.2電子商務(wù)系統(tǒng)的安全控制要求5、交易者身份的確定性

要使網(wǎng)上交易能夠成功，首先要能確認(rèn)對(duì)方的身份，即交易的雙方必須確實(shí)存在。既要考慮商家不要受客戶欺騙，也要考慮客戶不要被商家欺騙。因此，能方便和可靠地確認(rèn)對(duì)方的身份是交易的前提。6、不可修改性

指在電子商務(wù)活動(dòng)中，交易的文件是不可修改的，否則就會(huì)使另一方蒙受損失。因此，電子交易文件應(yīng)能做到不可修改，以保證交易的嚴(yán)肅性和公正性。

3.1.2電子商務(wù)系統(tǒng)的安全控制要求5、交易者身份的確定133.1.2電子商務(wù)系統(tǒng)的安全控制要求

7、不可否認(rèn)（或不可抵賴）性

在傳統(tǒng)紙面貿(mào)易中，貿(mào)易雙方通過在合同、單據(jù)、契約等書面文件上簽字、蓋印等手段來鑒別貿(mào)易伙伴，確定這些單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。在無紙化電子商務(wù)環(huán)境中，交易一旦達(dá)成應(yīng)該具有不可否認(rèn)和不可抵賴性，否則會(huì)損害另一方的利益。因此，在電子商務(wù)的交易通信過程的各個(gè)環(huán)節(jié)中，都必須是不可否認(rèn)的。這就要求在交易信息的傳輸過程中，為參與交易的個(gè)人、企業(yè)或國家提供可靠的標(biāo)識(shí)。返回本節(jié)3.1.2電子商務(wù)系統(tǒng)的安全控制要求7、不可否認(rèn)（或不143.1.3危害電子商務(wù)系統(tǒng)安全的主要因素1、問題的提出

由于電子商務(wù)主要是依托計(jì)算機(jī)網(wǎng)絡(luò)來進(jìn)行的，計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展促進(jìn)了電子商務(wù)的發(fā)展，同時(shí)也使電子商務(wù)系統(tǒng)的安全問題日益復(fù)雜和突出。由于計(jì)算機(jī)網(wǎng)絡(luò)資源的共享性和開放性，增加了網(wǎng)絡(luò)安全的脆弱和復(fù)雜性，也增加了網(wǎng)絡(luò)受威脅和攻擊的可能性。因此，對(duì)電子商務(wù)的不安全性因素分析，主要依據(jù)是對(duì)網(wǎng)絡(luò)交易整個(gè)運(yùn)作過程可能出現(xiàn)的各種安全隱患和安全漏洞，使其安全管理有的放矢。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素1、問題的提出153.1.3危害電子商務(wù)系統(tǒng)安全的主要因素2、電子商務(wù)的安全威脅在傳統(tǒng)交易過程中，買賣雙方是面對(duì)面的，因此很容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系的，甚至彼此遠(yuǎn)隔千山萬水，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。電子商務(wù)交易雙方(銷售者和購買者)都面臨不同的安全威脅。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素2、電子商務(wù)的安全163.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安全威脅（1）中央系統(tǒng)安全性被破壞：

入侵者假冒成合法用戶來改變用戶數(shù)據(jù)(如商品送達(dá)地址)、解除用戶訂單或生成虛假訂單。

（2）競爭者檢索商品遞送狀況：

惡意競爭者以他人的名義來訂購商品，從而了解有關(guān)商品的遞送狀況和貨物的庫存情況。

（3）客戶資料被競爭者獲悉3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安173.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安全威脅（4）被他人假冒而損害公司的信譽(yù)：

不誠實(shí)的人建立與銷售者服務(wù)器名字相同的另一個(gè)服務(wù)器來假冒銷售者。（5）消費(fèi)者提交訂單后不付款（6）提供虛假訂單（7）獲取他人的機(jī)密數(shù)據(jù)3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素3、銷售者面臨的安183.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安全威脅（1）虛假訂單

一個(gè)假冒者可能會(huì)以某客戶的名字來訂購商品，而且有可能收到商品，而此時(shí)這一客戶卻被要求付款或返還商品。（2）付款后不能收到商品

在要求客戶付款后，銷售商中的內(nèi)部人員不將定單和錢轉(zhuǎn)發(fā)給執(zhí)行部門，因而使客戶不能收到商品。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安193.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安全威脅（3）機(jī)密性喪失客戶有可能將秘密的個(gè)人數(shù)據(jù)或自己的身份數(shù)據(jù)(如賬號(hào)、口令等)發(fā)送給冒充銷售商的機(jī)構(gòu)，這些信息也可能會(huì)在傳遞過程中被竊取。（4）拒絕服務(wù)攻擊者可能向銷售商的服務(wù)器發(fā)送大量的虛假定單來窮竭它的資源，從而使合法用戶不能得到正常的服務(wù)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素4、購買者面臨的安203.1.3危害電子商務(wù)系統(tǒng)安全的主要因素5、網(wǎng)絡(luò)硬件的不安全因素計(jì)算機(jī)進(jìn)行網(wǎng)絡(luò)通信時(shí)，主要涉及到的網(wǎng)絡(luò)硬件設(shè)施有：通信線路、調(diào)制解調(diào)器、網(wǎng)絡(luò)接口、終端、轉(zhuǎn)換器、處理機(jī)等。這些部件的不安全因素主要有：（1）通信監(jiān)視 （2）非法終端 （3）注入非法信息（4）線路干擾 （5）運(yùn)行中斷 （6）服務(wù)干擾（7）病毒入侵3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素5、網(wǎng)絡(luò)硬件的不安213.1.3危害電子商務(wù)系統(tǒng)安全的主要因素6、網(wǎng)絡(luò)軟件的不安全因素網(wǎng)絡(luò)軟件的不安全因素主要涉及以下幾方面：

（1）操作系統(tǒng)：幾乎所有的操作系統(tǒng)都有安全上的漏洞。利用這些安全漏洞，網(wǎng)絡(luò)黑客可以對(duì)其進(jìn)行攻擊。（2）網(wǎng)絡(luò)協(xié)議：TCP/IP等網(wǎng)絡(luò)協(xié)議并非專為安全通信而設(shè)計(jì)，故會(huì)帶來安全隱患。（3）網(wǎng)絡(luò)軟件：網(wǎng)絡(luò)軟件的安全隱患以及軟件操作上的失誤都有可能導(dǎo)致交易信息傳遞的丟失和錯(cuò)誤。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素6、網(wǎng)絡(luò)軟件的不安223.1.3危害電子商務(wù)系統(tǒng)安全的主要因素7、工作人員的不安全因素

人員管理常常是網(wǎng)絡(luò)安全管理中最薄弱的環(huán)節(jié)，這需要從管理制度上來彌補(bǔ)技術(shù)上的不足，以保證網(wǎng)絡(luò)的安全性。工作人員的不安全因素具體表現(xiàn)在以下幾方面：（1）規(guī)章制度不健全造成認(rèn)為泄密事故。

（2）業(yè)務(wù)不熟悉、誤操作或不遵守操作規(guī)程而造成泄密。

（3）保密觀念不強(qiáng)，不懂保密規(guī)則，隨便泄漏機(jī)密。

（4）熟悉系統(tǒng)的人員故意改動(dòng)軟件，非法獲取或竄改信息。

（5）惡意破壞網(wǎng)絡(luò)系統(tǒng)和設(shè)備

（6）利用硬件的故障部位和軟件的錯(cuò)誤非法訪問系統(tǒng)，或?qū)Ω鞑糠诌M(jìn)行破壞。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素7、工作人員的不安233.1.3危害電子商務(wù)系統(tǒng)安全的主要因素8、電子商務(wù)的風(fēng)險(xiǎn)類型

從整個(gè)電子商務(wù)系統(tǒng)著手分析，可以將電子商務(wù)的安全問題歸類為下面四類風(fēng)險(xiǎn)：即信息傳輸風(fēng)險(xiǎn)、信用風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)和法律方面的風(fēng)險(xiǎn)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素8、電子商務(wù)的風(fēng)險(xiǎn)243.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)（1）信息丟失交易信息的丟失，可能有三種情況：一是因?yàn)榫€路問題造成信息丟失；二是因?yàn)榘踩胧┎划?dāng)而丟失信息；三是在不同的操作平臺(tái)上轉(zhuǎn)換操作不當(dāng)而丟失信息。（2）篡改數(shù)據(jù)

攻擊者未經(jīng)授權(quán)進(jìn)人網(wǎng)絡(luò)交易系統(tǒng)，使用非法手段，刪除、修改、重發(fā)某些重要信息，破壞數(shù)據(jù)的完整性，損害他人的經(jīng)濟(jì)利益，或干擾對(duì)方的正確決策，造成網(wǎng)上交易的信息傳輸風(fēng)險(xiǎn)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)253.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)（3）信息傳遞過程中的破壞

信息在網(wǎng)上傳遞時(shí)，要經(jīng)過多個(gè)環(huán)節(jié)和渠道。由于計(jì)算機(jī)技術(shù)發(fā)展迅速，原有的病毒防范技術(shù)、加密技術(shù)、防火墻技術(shù)等始終存在著被新技術(shù)攻擊的可能性。計(jì)算機(jī)病毒的侵襲、黑客非法侵入、線路竊聽等很容易使重要數(shù)據(jù)在傳遞過程中泄露，威脅電子商務(wù)交易的安全。此外，各種外界的物理性干擾，如通信線路質(zhì)量較差、地理位置復(fù)雜、自然災(zāi)害等，都可能影響到數(shù)據(jù)的真實(shí)性和完整性。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)263.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)（4）冒名偷窺

“黑客”為了獲取重要的商業(yè)秘密、資源和信息，常常采用IP地址盜用的手段進(jìn)行欺騙攻性擊。（5）虛假信息從買賣雙方自身的角度觀察，網(wǎng)上交易中的信息傳輸風(fēng)險(xiǎn)還可能來源于用戶以合法身份進(jìn)人系統(tǒng)后，買賣雙方都可能在網(wǎng)上發(fā)布虛假的供求信息，或以過期的信息冒充現(xiàn)在的信息，以騙取對(duì)方的錢款或貨物?，F(xiàn)在還沒有很好的解決信息鑒別的辦法。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)273.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)（3）信息丟失交易信息的丟失，可能有三種情況：一是因?yàn)榫€路問題造成信息丟失；二是因?yàn)榘踩胧┎划?dāng)而丟失信息；三是在不同的操作平臺(tái)上轉(zhuǎn)換操作不當(dāng)而丟失信息。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素9、信息傳輸風(fēng)險(xiǎn)283.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險(xiǎn)

交易的不可抵賴性是電子商務(wù)中的一個(gè)至關(guān)重要的問題。在網(wǎng)絡(luò)交易過程中，客戶進(jìn)入交易中心，買賣雙方簽訂合同，交易中心不但要監(jiān)督買方按時(shí)付款，還要監(jiān)督賣方按時(shí)按要求供貨。這些環(huán)節(jié)都存在大量的交易信用風(fēng)險(xiǎn)。此外，由于交易雙方采用電子方式進(jìn)行談判、結(jié)帳，使一些犯罪分子的欺詐行為更容易得逞，對(duì)網(wǎng)絡(luò)交易的安全構(gòu)成巨大的威脅。交易信用風(fēng)險(xiǎn)主要來自三方面：（1）來自賣方的信用風(fēng)險(xiǎn)

對(duì)于個(gè)人消費(fèi)者來說，可能在網(wǎng)絡(luò)上使用信用卡進(jìn)行支付時(shí)惡意透支，或使用偽造的信用卡騙取賣方的貨物；對(duì)于集團(tuán)購買者來說，存在拖延貨款的可能，賣方需要為此承擔(dān)風(fēng)險(xiǎn)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險(xiǎn)293.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險(xiǎn)（2）來自買方的信用風(fēng)險(xiǎn)賣方不能按質(zhì)、按量、按時(shí)寄送消費(fèi)者購買的貨物，或者不能完全履行與集團(tuán)購買者簽訂的合同，造成買方的風(fēng)險(xiǎn)。（3）買賣雙方都存在抵賴的情況傳統(tǒng)交易時(shí)，交易雙方可以直接面對(duì)面地進(jìn)行交易，信用風(fēng)險(xiǎn)比較容易控制。網(wǎng)上交易時(shí)，物流與資金流在空間上和時(shí)間上是分離的，再加上網(wǎng)上交易一般是跨越時(shí)空的，交易雙方很難面對(duì)面地交流，信用的風(fēng)險(xiǎn)就很難控制。這就要求網(wǎng)上交易雙方必須有良好的信用，而且有一套有效的信用機(jī)制降低信用風(fēng)險(xiǎn)。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素10、交易信用風(fēng)險(xiǎn)303.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險(xiǎn)

傳統(tǒng)交易經(jīng)過多年發(fā)展，在交易時(shí)有比較完善的控制機(jī)制，而且管理比較規(guī)范。而網(wǎng)上交易還只經(jīng)歷了很短時(shí)間，還存在許多漏洞，應(yīng)加強(qiáng)對(duì)其進(jìn)行管理和規(guī)范交易。管理風(fēng)險(xiǎn)主要有：（1）交易流程管理風(fēng)險(xiǎn)在網(wǎng)絡(luò)商品中介交易的過程中，買賣雙方簽訂合同，交易中心不僅要監(jiān)督買方按時(shí)付款，還要監(jiān)督賣方按時(shí)提供符合合同要求的貨物。在這些環(huán)節(jié)上，都存在著大量的管理問題，如果管理不善，勢必造成巨大的潛在風(fēng)險(xiǎn)。因此需要有完善的制度設(shè)計(jì)，形成一套相互關(guān)聯(lián)、相互制約的制度群。

3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險(xiǎn)313.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險(xiǎn)（2）人員管理風(fēng)險(xiǎn)人員管理常常是網(wǎng)上交易安全管理最薄弱的環(huán)節(jié)。近年來我國計(jì)算機(jī)犯罪大都呈現(xiàn)內(nèi)部犯罪的趨勢，其原因主要是工作人員職業(yè)道德修養(yǎng)不高，安全教育和管理松懈。一些競爭對(duì)手還利用企業(yè)招募新人的方式潛入該企業(yè)，或利用不正當(dāng)方式收買企業(yè)網(wǎng)絡(luò)交易管理人員，竊取企業(yè)的用戶識(shí)別碼、密碼、傳遞方式以及相關(guān)的機(jī)密文件資料。（3）交易技術(shù)管理風(fēng)險(xiǎn)網(wǎng)絡(luò)交易技術(shù)管理的漏洞也帶來較大的交易風(fēng)險(xiǎn)。有些操作系統(tǒng)的某些用戶是無口令的，如匿名訪問，利用遠(yuǎn)程登陸命令登陸這些無口令用戶，允許被信任用戶不需要口令就可以進(jìn)人系統(tǒng)，然后把自己升級(jí)為超級(jí)用戶。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素11、管理風(fēng)險(xiǎn)323.1.3危害電子商務(wù)系統(tǒng)安全的主要因素12、法律風(fēng)險(xiǎn)

網(wǎng)上交易系統(tǒng)的技術(shù)是先進(jìn)且具有強(qiáng)大的生命力的。但也必須看到，在目前的法律上還找不到現(xiàn)成的條文保護(hù)網(wǎng)絡(luò)交易中的交易方式，因此還存在法律滯后所帶來的風(fēng)險(xiǎn)。一方面，在網(wǎng)上交易可能會(huì)承擔(dān)由于法律滯后而無法保證合法交易的權(quán)益所造成的風(fēng)險(xiǎn)，如通過網(wǎng)絡(luò)達(dá)成交易合同，可能因?yàn)榉蓷l文還沒有承認(rèn)數(shù)字化合同的法律效力而面臨失去法律保護(hù)的危險(xiǎn)。另一方面，在網(wǎng)上交易可能承擔(dān)由于法律的事后完善所帶來的風(fēng)險(xiǎn)。即在原來法律條文沒有明確規(guī)定下而進(jìn)行了網(wǎng)上交易，在后來頒布新的法律條文下卻屬于違法經(jīng)營，從而造成巨大損失。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素12、法律風(fēng)險(xiǎn)333.1.3危害電子商務(wù)系統(tǒng)安全的主要因素13、計(jì)算機(jī)病毒和黑客攻擊的風(fēng)險(xiǎn)

計(jì)算機(jī)病毒和黑客的攻擊是困擾計(jì)算機(jī)網(wǎng)絡(luò)正常運(yùn)轉(zhuǎn)的兩大棘手難題，是威脅計(jì)算機(jī)安全的不可忽視的因素。14、環(huán)境的不安全因素（自然災(zāi)害/事故）

環(huán)境因素（包括：地震、火災(zāi)、水災(zāi)、風(fēng)災(zāi)等自然災(zāi)害；調(diào)電、停電事故；以及其它不可預(yù)測的不安全因素）也是威脅網(wǎng)絡(luò)安全的因素之一。3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素13、計(jì)算機(jī)病毒和343.1.3危害電子商務(wù)系統(tǒng)安全的主要因素15、電子商務(wù)安全管理的思路網(wǎng)上交易安全管理，應(yīng)當(dāng)跳出單純從技術(shù)角度尋求解決辦法的思路，采用綜合防范的思路，從技術(shù)、管理、法律等方面綜合思考。建立一個(gè)完整的網(wǎng)絡(luò)交易安全體系，至少從三個(gè)方面考慮，并且三者缺一不可。返回本節(jié)3.1.3危害電子商務(wù)系統(tǒng)安全的主要因素15、電子商務(wù)安全353.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對(duì)策3.2.1技術(shù)對(duì)策3.2.2管理對(duì)策3.2.3構(gòu)造電子商務(wù)交易安全的保障體系

跳到下一節(jié)返回本章首頁3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對(duì)策3.2.1技術(shù)363.2.1技術(shù)對(duì)策

技術(shù)對(duì)策主要有：設(shè)置虛擬專用網(wǎng)、使用安全訪問設(shè)備、防火墻技術(shù)、網(wǎng)絡(luò)防毒、信息加密存儲(chǔ)通信、身份認(rèn)證、訪問控制、授權(quán)等。下面分別進(jìn)行簡要討論（但只有技術(shù)措施并不能完全保證網(wǎng)上交易的安全）。

1、設(shè)置虛擬專用網(wǎng)VPN

VPN（VirtualPrivateNetworks）是構(gòu)建在公用網(wǎng)絡(luò)（如Internet）基礎(chǔ)設(shè)施之上的專用網(wǎng)絡(luò)，也是在Internet上用于電子交易的一種專用網(wǎng)絡(luò)，它可以在兩個(gè)系統(tǒng)之間建立安全信道。在VPN中交易雙方相互比較熟悉，彼此之間數(shù)據(jù)通信量很大。在VPN中使用比較復(fù)雜的專用加密和認(rèn)證技術(shù)，極大地提高了電子商務(wù)的安全，是進(jìn)行電子商務(wù)比較理想的一種形式。3.2.1技術(shù)對(duì)策 技術(shù)對(duì)策主要有：設(shè)置虛擬專373.2.1技術(shù)對(duì)策 設(shè)置VPN的關(guān)鍵技術(shù)：對(duì)數(shù)據(jù)包進(jìn)行加密，并在互聯(lián)網(wǎng)上創(chuàng)建一個(gè)專用加密隧道，其它系統(tǒng)或用戶就不能訪問在這個(gè)通道上傳輸?shù)臄?shù)據(jù)。VPN的組成結(jié)構(gòu)如下圖所示：3.2.1技術(shù)對(duì)策 設(shè)置VPN的關(guān)鍵技術(shù)：對(duì)數(shù)據(jù)包進(jìn)行383.2.1技術(shù)對(duì)策 2、保護(hù)傳輸線路安全露天線路要有保護(hù)措施。遠(yuǎn)離各種輻射源。集線器和調(diào)制解調(diào)器應(yīng)放在受監(jiān)視的地方。定期檢查線路。3、采用端口保護(hù)設(shè)備在利用電話撥號(hào)交換網(wǎng)的計(jì)算機(jī)網(wǎng)絡(luò)中，遠(yuǎn)程終端和通信線路是安全的薄弱環(huán)節(jié)，故端口保護(hù)成為網(wǎng)絡(luò)安全的一個(gè)重要問題。最簡單的方法是不用時(shí)拔下插頭或斷掉電源，此外是利用各種端口保護(hù)設(shè)備。3.2.1技術(shù)對(duì)策 2、保護(hù)傳輸線路安全393.2.1技術(shù)對(duì)策 4、使用安全訪問設(shè)備

使用智能卡、安全磁盤、安全認(rèn)證卡等安全訪問設(shè)備，它們相當(dāng)于給Web安全又加了一道保險(xiǎn)。5、路由選擇機(jī)制

由信息發(fā)送者選擇特殊路由由網(wǎng)絡(luò)安全控制機(jī)構(gòu)通過調(diào)整路由表，限制某些不安全的通路。6、隱蔽信道公開信道是為合法信息流提供傳輸?shù)耐ǖ?，而隱蔽信道則采用特殊編碼，使秘密信息流可以逃避常規(guī)安全控制機(jī)構(gòu)的檢測，在普通系統(tǒng)中形成一個(gè)秘密的傳輸通道，傳給未授權(quán)者。3.2.1技術(shù)對(duì)策 4、使用安全訪問設(shè)備403.2.1技術(shù)對(duì)策 7、防火墻：防火墻是一種將內(nèi)部網(wǎng)與公眾網(wǎng)如Internet分開的隔離技術(shù)。8、信息加密機(jī)制：信息加密是網(wǎng)絡(luò)中采用的最基本的安全技術(shù)。它是采用數(shù)學(xué)方法對(duì)原始信息（稱為“明文”）進(jìn)行再組織而形成“密文”在網(wǎng)絡(luò)上傳輸。涉及信息、密匙、算法。9、訪問控制：是按照事先確定的規(guī)則決定主體對(duì)客體的訪問是否合法。它包括：權(quán)限控制；日志記錄；文件和數(shù)據(jù)庫設(shè)置安全屬性（如只讀、讀/寫、可修改、可執(zhí)行、共享程度等）。3.2.1技術(shù)對(duì)策 7、防火墻：防火墻是一種將內(nèi)部網(wǎng)與413.2.1技術(shù)對(duì)策 10、鑒別機(jī)制：鑒別是為每一個(gè)通信方查明另一個(gè)實(shí)體身份和特權(quán)的過程。其方式有：報(bào)文鑒別；數(shù)字簽名；終端識(shí)別技術(shù)等。11、數(shù)據(jù)完整性機(jī)制：傳輸數(shù)據(jù)完整性控制包括：正確的發(fā)送方/接收方；數(shù)據(jù)無丟失/誤送；時(shí)序正確等。12、審計(jì)追蹤機(jī)制：審計(jì)記錄追蹤，記錄每個(gè)用戶的網(wǎng)絡(luò)地址和時(shí)間，記錄管理員活動(dòng)。13、入侵檢測機(jī)制：主要是利用審計(jì)記錄，檢測和識(shí)別系統(tǒng)中未授權(quán)或異常現(xiàn)象。

以上技術(shù)方面的措施將在3.3節(jié)作詳細(xì)介紹。返回本節(jié)3.2.1技術(shù)對(duì)策 10、鑒別機(jī)制：鑒別是為每一個(gè)通信423.2.2管理對(duì)策

電子商務(wù)系統(tǒng)安全管理制度是用文字形式對(duì)各項(xiàng)安全要求所做的規(guī)定，建立各種有關(guān)的合理制度，并加強(qiáng)嚴(yán)格監(jiān)督，是網(wǎng)絡(luò)營銷人員安全工作的規(guī)范和準(zhǔn)則。這些制度主要有：1、人員管理制度

①嚴(yán)格網(wǎng)絡(luò)營銷人員的選拔；②落實(shí)工作責(zé)任制；③堅(jiān)持貫徹電子商務(wù)安全運(yùn)作基本原則：雙人負(fù)責(zé)；任期有限；最小權(quán)限原則。2、保密制度①信息的安全級(jí)別分三級(jí)：絕密/機(jī)密/秘密；②對(duì)密匙的管理，注意定時(shí)更換3.2.2管理對(duì)策 電子商務(wù)系統(tǒng)安全管理制度是用文433.2.2管理對(duì)策3、跟蹤、審計(jì)、稽核制度①跟蹤制度要求企業(yè)建立網(wǎng)絡(luò)交易系統(tǒng)日志機(jī)制，記錄系統(tǒng)運(yùn)行的全過程。②審計(jì)制度包括經(jīng)常對(duì)系統(tǒng)日志的檢查和審核，及時(shí)發(fā)現(xiàn)對(duì)系統(tǒng)故意的入侵行為和安全違規(guī)記錄。

③稽核制度是指工商、稅務(wù)、銀行人員利用網(wǎng)絡(luò)借助于稽核業(yè)務(wù)應(yīng)用軟件調(diào)閱、查詢、審核、判斷轄區(qū)內(nèi)各電子商務(wù)參與單位業(yè)務(wù)經(jīng)營活動(dòng)的合理性、安全性等，保證電子商務(wù)交易安全。3.2.2管理對(duì)策3、跟蹤、審計(jì)、稽核制度443.2.2管理對(duì)策4、網(wǎng)絡(luò)系統(tǒng)的日常維護(hù)制度①硬件的日常管理維護(hù)制度：包括：Intranet、網(wǎng)絡(luò)設(shè)備、服務(wù)器和客戶機(jī)、通信線路等。②軟件的日常管理維護(hù)制度：包括：支撐軟件（如操作系統(tǒng)，數(shù)據(jù)庫，開發(fā)工具等）和應(yīng)用軟件（可以設(shè)置一臺(tái)安裝服務(wù)器，為客戶機(jī)提供遠(yuǎn)程安裝。選擇網(wǎng)絡(luò)負(fù)載較低時(shí)進(jìn)行）。5、數(shù)據(jù)備份、恢復(fù)和應(yīng)急措施6、抗病毒返回本節(jié)3.2.2管理對(duì)策4、網(wǎng)絡(luò)系統(tǒng)的日常維護(hù)制度返回本節(jié)453.2.3構(gòu)造電子商務(wù)交易安全的保障體系應(yīng)該從以下幾方面入手來構(gòu)造電子商務(wù)交易安全的保障體系：1、組織力量研究目前使用的網(wǎng)絡(luò)安全產(chǎn)品基本上都是國外的產(chǎn)品。應(yīng)盡快開發(fā)我國自己的網(wǎng)絡(luò)安全產(chǎn)品。2、盡快建立與安全電子交易相對(duì)應(yīng)的國家電子商務(wù)認(rèn)證中心，對(duì)交易各方進(jìn)行有效的認(rèn)證3.強(qiáng)化電子商務(wù)交易市場管理，規(guī)范買賣雙方和中介方的交易行為，制定規(guī)范的電子商務(wù)交易標(biāo)準(zhǔn)3.2.3構(gòu)造電子商務(wù)交易安全的保障體系應(yīng)該從以下幾463.2.3構(gòu)造電子商務(wù)交易安全的保障體系4、盡快完善電子商務(wù)交易的法律法規(guī)目前我國在這方面的研究還處于起步階段。已出臺(tái)的法規(guī)有：《因特網(wǎng)域名管理?xiàng)l例》等需要制定的有關(guān)法規(guī)有：市場準(zhǔn)入制度、合同有效認(rèn)證辦法、電子支付系統(tǒng)安全措施、信息保密防范辦法、知識(shí)產(chǎn)權(quán)侵權(quán)處理規(guī)定、隱私權(quán)保護(hù)辦法、稅收征收辦法、廣告管制、網(wǎng)絡(luò)內(nèi)容的過濾要求等返回本節(jié)3.2.3構(gòu)造電子商務(wù)交易安全的保障體系4、盡快完善電子47作業(yè)進(jìn)入一個(gè)電子商務(wù)購物網(wǎng)站，申請一個(gè)新的帳號(hào)。模擬購買圖書，寫出基本步驟。（切記：到達(dá)付款及送貨信息那一步后，若不是確定購買，不要進(jìn)入下一步）結(jié)合上述操作，總結(jié)一下建立B2C網(wǎng)站需要提供的主要功能。要求：可以互相討論，但要獨(dú)立完成。必須寫在作業(yè)本上作業(yè)進(jìn)入一個(gè)電子商務(wù)購物網(wǎng)站，申請一個(gè)新的帳號(hào)。要求48

3.3.1電子商務(wù)系統(tǒng)防火墻

3.3.2電子商務(wù)信息加密

3.3.3電子商務(wù)數(shù)字簽名

3.3.4電子商務(wù)身份認(rèn)證

3.3.5電子商務(wù)數(shù)字時(shí)間戳

3.3.6電子商務(wù)數(shù)字證書3.3電子商務(wù)的安全手段跳到下一節(jié)返回本章首頁3.3.1電子商務(wù)系統(tǒng)防火墻3.3電子商務(wù)的安全493.3.1電子商務(wù)系統(tǒng)防火墻在第二節(jié)中我們討論了電子商務(wù)網(wǎng)絡(luò)安全管理基本對(duì)策，里面涉及到不少具體的處理手段。本節(jié)主要介紹一些比較流行的安全手段。1、防火墻的基本概念

企業(yè)內(nèi)部網(wǎng)Intranet是企業(yè)電子商務(wù)系統(tǒng)的一個(gè)重要組成部分。Intranet與Internet連接后，方便了企業(yè)內(nèi)部與外部的信息交流，工作效率得到提高。但同時(shí)，也產(chǎn)生了不安全因素。為了達(dá)到既要與外界溝通，又要保護(hù)信息和網(wǎng)絡(luò)平臺(tái)安全的目的，就要在被保護(hù)的內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)置一道屏障，以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。所有內(nèi)部網(wǎng)和外部網(wǎng)之間的鏈接都要經(jīng)過這一保護(hù)層。這一保護(hù)屏障就稱為防火墻。3.3.1電子商務(wù)系統(tǒng)防火墻在第二節(jié)中我們討論了503.3.1電子商務(wù)系統(tǒng)防火墻（1）防火墻的定義

防火墻是指一個(gè)由軟件和硬件設(shè)備組合而成，在Intranet和Internet之間的界面上構(gòu)筑的一道保護(hù)屏障（如下圖所示），用于加強(qiáng)內(nèi)部網(wǎng)絡(luò)和公共網(wǎng)絡(luò)之間安全防范的系統(tǒng)。（2）防火墻的作用

就是限制Internet用戶對(duì)內(nèi)部網(wǎng)絡(luò)的訪問以及管理內(nèi)部用戶訪問外界的權(quán)限。3.3.1電子商務(wù)系統(tǒng)防火墻（1）防火墻的定義51防火墻系統(tǒng)示意圖防火墻系統(tǒng)示意圖523.3.1電子商務(wù)系統(tǒng)防火墻（3）防火墻的安全控制策略防火墻是一種技術(shù)。是目前保證網(wǎng)絡(luò)安全的必備的安全手段。它在網(wǎng)絡(luò)之間執(zhí)行訪問控制策略。實(shí)現(xiàn)防火墻的實(shí)際方式各不相同，但是在原則上，防火墻可以被認(rèn)為是這樣一對(duì)機(jī)制：一種機(jī)制是攔阻傳輸流通行，另一種機(jī)制是允許傳輸流通過。即：凡是沒有被列為允許訪問的服務(wù)都是被禁止的。

凡是沒有被列為禁止訪問的服務(wù)都是被允許的。3.3.1電子商務(wù)系統(tǒng)防火墻（3）防火墻的安全控制策略533.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（1）過濾不安全服務(wù)

防火墻只允許特定的服務(wù)通過，其余信息流一概不許通過。從而保護(hù)網(wǎng)絡(luò)免受除特定服務(wù)攻擊之外的任何攻擊。確保電子商務(wù)系統(tǒng)平臺(tái)不受到入侵。做法：封鎖所有信息流，然后對(duì)希望提供的服務(wù)逐項(xiàng)開放。（如：HTTP、POP3、FTP等服務(wù)。）對(duì)不安全的服務(wù)或可能有安全隱患的服務(wù)一律關(guān)閉。這是一種非常有效實(shí)用的方法，可以造成一種十分安全的環(huán)境，因?yàn)橹挥薪?jīng)過仔細(xì)挑選的服務(wù)才能允許用戶使用。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可543.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（2）過濾非法用戶和訪問特殊站點(diǎn)

確保所有電子商務(wù)應(yīng)用都是授權(quán)訪問。保護(hù)關(guān)鍵部門不受到來自內(nèi)部或外部的攻擊。做法：防火墻應(yīng)先允許所有的用戶和站點(diǎn)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問，然后網(wǎng)絡(luò)管理員按照ＩＰ地址對(duì)未授權(quán)的用戶或不信任的站點(diǎn)進(jìn)行逐項(xiàng)屏蔽。這種方法構(gòu)成了一種更為靈活的應(yīng)用環(huán)境，網(wǎng)絡(luò)管理員可以針對(duì)不同的服務(wù)面向不同的用戶開放，也就是能自由地設(shè)置各個(gè)用戶的不同訪問權(quán)限。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可553.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（3）設(shè)置安全和審計(jì)檢查

對(duì)所有商業(yè)事務(wù)處理進(jìn)行審計(jì)，以便安全管理和責(zé)任追究。

做法：防火墻可以發(fā)揮一種有效的“電話監(jiān)聽”（Phonetap）和跟蹤工具的作用。防火墻提供一種重要的記錄和審計(jì)功能；可以向管理員提供一些情況概要，如有關(guān)通過防火墻的傳輸流的類型和數(shù)量以及有多少次試圖闖入防火墻的企圖等等信息。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可563.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（4）數(shù)據(jù)源控制

使用過濾模塊來檢查數(shù)據(jù)包的來源和目的地址，根據(jù)管理員的規(guī)定來決定接收還是拒絕該數(shù)據(jù)包。

（5）應(yīng)用與數(shù)據(jù)包級(jí)控制

掃描數(shù)據(jù)包的內(nèi)容，查找與應(yīng)用相關(guān)的數(shù)據(jù)。在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包進(jìn)行模式檢查。（6）對(duì)私有數(shù)據(jù)的加密支持

保證通過Internet進(jìn)行的VPN和商務(wù)活動(dòng)不受損壞。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可573.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可以防范什么？）（7）使用授權(quán)控制

客戶端認(rèn)證只允許指定的用戶訪問內(nèi)部網(wǎng)或選擇服務(wù)

（8）反欺騙

欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段，它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部，電子商務(wù)系統(tǒng)的防火墻應(yīng)監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們。3.3.1電子商務(wù)系統(tǒng)防火墻4、防火墻的功能（防火墻可583.3.1電子商務(wù)系統(tǒng)防火墻5、防火墻的組成防火墻是一個(gè)由軟件和硬件設(shè)備組合而成的安全應(yīng)用系統(tǒng)，主要由安全操作系統(tǒng)、過濾器、網(wǎng)關(guān)、域名管理器和電子郵件處理5部分組成。

防火墻本身必須建立在安全操作系統(tǒng)所提供的安全環(huán)境中。防火墻的代碼只允許在特定主機(jī)系統(tǒng)上執(zhí)行。具有防火墻的主機(jī)在Internet界面稱為堡壘式計(jì)算機(jī)。它可以暴露在Internet中，抗擊來自黑客的直接進(jìn)攻。3.3.1電子商務(wù)系統(tǒng)防火墻5、防火墻的組成593.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型根據(jù)防火墻使用的技術(shù)和系統(tǒng)配置，可以分為以下幾種類型：

（1）包過濾型防火墻（網(wǎng)絡(luò)層）位置：通常安裝在路由器上（一般的商用路由器都提供包過濾的功能）。原理：在網(wǎng)絡(luò)層中對(duì)數(shù)據(jù)包實(shí)施有選擇的通過。以IP包信息為基礎(chǔ)，檢查IP包中的信息（源地址、目標(biāo)地址、應(yīng)用或協(xié)議、端口號(hào)等），確定是否允許該數(shù)據(jù)包通過。即檢查每一條規(guī)則，直到發(fā)現(xiàn)包中的信息與某條規(guī)則相符；或者沒有一條規(guī)則能符合，防火墻就使用默認(rèn)規(guī)則（丟棄該IP包）。

優(yōu)點(diǎn)：簡潔、速度快、費(fèi)用低，對(duì)用戶透明，也就是說不需要用戶輸入帳號(hào)和密碼來登錄，因此速度上要比代理服務(wù)器快，且不容易出現(xiàn)瓶頸現(xiàn)象。缺點(diǎn)：沒有用戶的使用記錄，所以不能從訪問記錄中發(fā)現(xiàn)非法入侵的攻擊記錄。3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型603.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型（2）代理服務(wù)器型防火墻原理：內(nèi)部網(wǎng)絡(luò)與Internet不直接通訊，防火墻內(nèi)外的計(jì)算機(jī)之間的通信通過代理服務(wù)器中轉(zhuǎn)。內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)用戶與代理服務(wù)器采用一種網(wǎng)絡(luò)通訊協(xié)議，代理服務(wù)器與Internet之間的通信則采用另一種網(wǎng)絡(luò)通信協(xié)議，即代理服務(wù)器兩端采用不同的協(xié)議標(biāo)準(zhǔn)，這樣便成功地實(shí)現(xiàn)了防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的隔離，能夠有效地阻止外界直接非法入侵。

優(yōu)點(diǎn)：能夠檢查進(jìn)出的數(shù)據(jù)包，復(fù)制傳遞數(shù)據(jù)，能夠理解應(yīng)用層上的協(xié)議，有較好的訪問控制，并做精細(xì)的注冊和稽核。是目前最安全的防火墻技術(shù)。缺點(diǎn)：缺乏透明度（需要用戶輸入帳號(hào)和密碼來登錄）；在內(nèi)部網(wǎng)絡(luò)終端機(jī)很多的情況下，代理服務(wù)器負(fù)擔(dān)很重，效率必然會(huì)受到影響。3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型613.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型（2）代理服務(wù)器型防火墻代理服務(wù)器通常由性能好、處理速度快、容量大的計(jì)算機(jī)來充當(dāng)，在功能上是作為內(nèi)部網(wǎng)絡(luò)與Internet的連接者，它對(duì)于內(nèi)部網(wǎng)絡(luò)來說是象一臺(tái)真正的服務(wù)器一樣，而對(duì)于因特網(wǎng)上的服務(wù)器來說，它又是一臺(tái)客戶機(jī)。當(dāng)代理服務(wù)器接受到用戶的請求以后，會(huì)檢查用戶請求的站點(diǎn)是否符合設(shè)定要求，如果允許用戶訪問該站點(diǎn)的話，代理服務(wù)器就會(huì)和那個(gè)站點(diǎn)連接，以取回所需信息再轉(zhuǎn)發(fā)給用戶（見下圖）。內(nèi)部網(wǎng)Internet代理服務(wù)器3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型內(nèi)部網(wǎng)代理623.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型

（3）加密路由器型防火墻

對(duì)通過路由器的信息流進(jìn)行加密和壓縮，然后通過外部網(wǎng)絡(luò)傳輸?shù)侥康亩诉M(jìn)行解壓縮和解密。（4）電路級(jí)防火墻（5）規(guī)則檢查防火墻（6）復(fù)合型防火墻（7）屏蔽主機(jī)防火墻3.3.1電子商務(wù)系統(tǒng)防火墻6、防火墻的類型

（3）加633.3.1電子商務(wù)系統(tǒng)防火墻7、防火墻的局限性（防火墻不能防范什么？）●不能防范來自內(nèi)部的攻擊。

●不能真正防止人為因素的攻擊。如口令泄露、用戶錯(cuò)誤操作。

●不能有效地防范受病毒感染的軟件或文件的傳輸。在網(wǎng)絡(luò)上傳輸二進(jìn)制文件的編碼方式太多了，并且有太多的不同的結(jié)構(gòu)和病毒，因此不可能查找所有的病毒。

●不能防止數(shù)據(jù)驅(qū)動(dòng)式的攻擊。即通過將某些表面看來無害的數(shù)據(jù)郵寄或拷貝到內(nèi)部主機(jī)中，然后它再在內(nèi)部主機(jī)中運(yùn)行而造成的攻擊。返回本節(jié)3.3.1電子商務(wù)系統(tǒng)防火墻7、防火墻的局限性（防火墻643.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密：采用某種規(guī)則（算法和密鑰）對(duì)原始信息（“明文”）進(jìn)行編碼或某種變換，使它成為不可理解的形式（“密文”）。這個(gè)過程就是加密（加密需要兩個(gè)輸入項(xiàng)：明文和加密密鑰）。

●解密：將密文還原成原來可理解的原始信息（即：“明文”）。是加密的逆過程（解密也需要兩個(gè)輸入項(xiàng)：密文和解密密鑰）。

●規(guī)則（算法和密鑰）：加密和解密必須依賴兩個(gè)要素，這兩個(gè)要素就是算法和密鑰。算法是加密或解密的一步一步過程（或計(jì)算方法），在這一過程中需要一串?dāng)?shù)字，這串?dāng)?shù)字就是密鑰。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念653.3電子商務(wù)安全手段3.3.2電子商務(wù)信息加密舉例：明文加（解）密規(guī)則密文算法密鑰revolution從第一個(gè)字母開始從前往后每隔2個(gè)字母取1個(gè)字母，按順序排列。每隔2個(gè)字母取1個(gè)，共排列10個(gè)字母獲得密文如下：rotnvuoeli獲得明文如下：revolution從第一個(gè)字母開始從后往前每隔2個(gè)字母取1個(gè)字母，按順序排列。每隔2個(gè)字母取1個(gè)，共排列10個(gè)字母rotnvuoeli3.3電子商務(wù)安全手段舉例：明文加（解）密規(guī)則密文算法663.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密技術(shù)的關(guān)鍵：設(shè)計(jì)算法很困難，算法一般固定不變，密鑰卻可以變化。所以，加密技術(shù)的關(guān)鍵是密鑰?！衩荑€的長度：指密鑰的位數(shù)。一個(gè)16位的密鑰有216=65536種不同的密鑰。密文破譯實(shí)際上是黑客利用計(jì)算機(jī)程序去不停地猜測。按現(xiàn)在的計(jì)算機(jī)技術(shù)水平，要破解16位密鑰很容易，但要破解1024位RSA密鑰，需要上千年的計(jì)算時(shí)間。所以，密鑰的位數(shù)越長，加密系統(tǒng)越牢固。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念673.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念●加密的作用和意義加密最明顯的作用就是提供機(jī)密性。這里“明文‘代表未經(jīng)保護(hù)的敏感數(shù)據(jù)，而相應(yīng)的”密文“可以在不被信任的環(huán)境中傳輸。加密后的信息，即使被他人截取，由于得到的是加密后的不可理解的信息（密文），因此無法知道這些信息的原始涵義；同時(shí)加密后，他人也無法加入或刪除信息，因?yàn)榧用芎笮畔⒈桓淖兒缶蜔o法得到原始信息。因此可以起到保護(hù)重要信息安全的作用。3.3.2電子商務(wù)信息的加密1、有關(guān)加密技術(shù)的基本概念683.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對(duì)稱加密技術(shù)指對(duì)信息的加密和解密都使用相同的密鑰的加密技術(shù)。

特點(diǎn)：

處理簡單。當(dāng)某一貿(mào)易方有N個(gè)貿(mào)易關(guān)系，他就要維護(hù)N個(gè)專用密鑰。無法鑒別貿(mào)易發(fā)起方或貿(mào)易最終方。

存在問題：1）在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外一個(gè)安全途徑傳遞統(tǒng)一的密鑰。2）當(dāng)通信對(duì)象增多時(shí)，需要相應(yīng)數(shù)量的密鑰。3）對(duì)稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會(huì)造成密鑰的失效，存在著潛在的危險(xiǎn)和復(fù)雜的管理難度。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)693.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對(duì)稱加密技術(shù)對(duì)稱加密的密鑰管理：對(duì)稱加密是基于共同保守秘密來實(shí)現(xiàn)的。采用對(duì)稱加密技術(shù)的貿(mào)易雙方必須要保證采用的是相同的密鑰,要保證彼此密鑰的交換是安全可靠的,同時(shí)還要設(shè)定防止密鑰泄密和更改密鑰的程序。這樣,對(duì)稱密鑰的管理和分發(fā)工作將變成一件潛在危險(xiǎn)的和繁瑣的過程。通過公開密鑰加密技術(shù)實(shí)現(xiàn)對(duì)稱密鑰的管理，使相應(yīng)的管理變得簡單和更加安全,同時(shí)還解決了純對(duì)稱密鑰模式中存在的可靠性問題和鑒別問題。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)703.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對(duì)稱加密技術(shù)對(duì)稱加密的過程：

①發(fā)送方用自己的私有密鑰對(duì)要發(fā)送的信息進(jìn)行加密，得到密文；②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；③接收方用發(fā)送方進(jìn)行加密的那把私有密鑰對(duì)接收到的加密信息進(jìn)行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)713.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（1）對(duì)稱加密技術(shù)對(duì)稱加密算法：對(duì)稱加密算法有很多，下面是常見的幾種。①數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）：這是由美國國家標(biāo)準(zhǔn)局提出，是目前廣泛采用的對(duì)稱加密方式之一，主要應(yīng)用于銀行業(yè)中的電子資金轉(zhuǎn)帳（EFT）領(lǐng)域。②高級(jí)加密標(biāo)準(zhǔn)（AES）：AES是一種密碼塊加密方法?？蓪?duì)28位的密碼塊進(jìn)行處理，密鑰的長度可以是128、192、256位。③三重DES：使用多重加密方法可以增加DES的有效密鑰長度，這種算法比單一的DES功能更強(qiáng)大。④Rivest密碼：這是屬于RSA數(shù)據(jù)安全公司的（包括：RC2～RC6）比較流行的算法，這些算法相對(duì)比較簡單，實(shí)施起來較容易。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)723.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（2）非對(duì)稱加密技術(shù)（公—私鑰加密技術(shù)）

非對(duì)稱加密又稱為公開密鑰加密，需要采用兩個(gè)在數(shù)學(xué)上相關(guān)的密鑰對(duì)：公開密鑰和私有密鑰進(jìn)行加密。一個(gè)公鑰和一個(gè)與公鑰不同的私鑰組成密鑰對(duì)。用公鑰加密的結(jié)果只能用私鑰才能解密。同時(shí)，用公鑰推導(dǎo)私鑰的代價(jià)在實(shí)際中是十分高昂的，甚至是不可行的。因此你可以將你的公鑰散發(fā)給其他人，而你自己則安全地持有你的私鑰。這樣其他人向你發(fā)送郵件時(shí)就可以用你的公鑰進(jìn)行加密，而這封被加密的郵件只有你才能用你的私鑰解密并閱讀。即在此過程中使用兩把密鑰，3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)733.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（3）非對(duì)稱加密技術(shù)的兩種基本模式1）加密模式（多對(duì)一）

在加密模式中，非對(duì)稱加密的加密和解密的過程如下：

①發(fā)送方用接收方的公開密鑰對(duì)要發(fā)送的信息進(jìn)行加密，得到信息的密文；

②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；

③接收方用自己的私有密鑰（只有接收方才有）對(duì)接收到的信息進(jìn)行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)743.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（3）非對(duì)稱加密技術(shù)的兩種基本模式2）驗(yàn)證模式（一對(duì)多）

在驗(yàn)證模式中，非對(duì)稱加密的加密和解密的過程如下：

①發(fā)送方用自己的私有密鑰（只有發(fā)送方才有）對(duì)要發(fā)送的信息進(jìn)行加密，得到信息的密文；

②發(fā)送方將加密后的信息通過網(wǎng)絡(luò)（或Internet）傳送給接收方；

③接收方用發(fā)送方的公開密鑰對(duì)接收到的信息進(jìn)行解密，得到信息的明文。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)753.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)（4）最著名的非對(duì)稱加密算法（RSA算法）原理：非對(duì)稱加密技術(shù)采用RSA算法，加密和解密使用兩把密鑰，一把稱為公鑰，另一把稱為私鑰，兩把密鑰實(shí)際上是兩個(gè)很大的質(zhì)數(shù)，用其中的一個(gè)質(zhì)數(shù)（公鑰）與明文相乘，可以加密得到密文；用另一個(gè)質(zhì)數(shù)（私鑰）與密文相乘可以解密得到明文，但不能用一個(gè)質(zhì)數(shù)求得另一個(gè)質(zhì)數(shù)，即知道公鑰也無法求出私鑰。存在問題：運(yùn)算速度慢。3.3.2電子商務(wù)信息的加密2、電子商務(wù)信息的加密技術(shù)763.3.2電子商務(wù)信息的加密3、加密技術(shù)的不足之處加密標(biāo)準(zhǔn)很多，但缺乏一個(gè)安全交易的通用標(biāo)準(zhǔn)。同時(shí)帶來了兼容性的問題。加密技術(shù)是國家控制的技術(shù)，加密技術(shù)只有牢牢掌握在自己國家手中，才能夠比較主動(dòng)地把握各類信息的安全性。返回本節(jié)3.3.2電子商務(wù)信息的加密3、加密技術(shù)的不足之處返回773.3.3電子商務(wù)數(shù)字簽名 1、書面文件簽名的作用

在書面文件上簽名是確認(rèn)文件的一種手段。其作用有兩點(diǎn)：第一，因?yàn)樽约旱暮灻y以否認(rèn)，從而確認(rèn)了文件已簽署這一事實(shí)；第二，因?yàn)楹灻灰追旅?，從而確定了文件是真的這一事實(shí)。數(shù)字簽名與書面文件簽名有相同之處，采用數(shù)字簽名，也能確認(rèn)以下兩點(diǎn)：第一，信息是由簽名者發(fā)送的；第二，信息自簽發(fā)后到收到為止未曾做過任何修改。這樣數(shù)字簽名就可用來防止電子信息因易被修改而有人做假，或假冒他人名義發(fā)送信息。或發(fā)出（或收到）的信件又加以否認(rèn)等情況發(fā)生。應(yīng)用廣泛的數(shù)字簽名方法主要有三種，即：RSA簽名、DSS簽名和Hash簽名。這三種算法可以單獨(dú)使用。也可綜合在一起使用。3.3.3電子商務(wù)數(shù)字簽名 1、書面文件簽名的作用783.3.3電子商務(wù)數(shù)字簽名 2、數(shù)字簽名的原理（1）數(shù)字簽名的產(chǎn)生過程：將原文按雙方約定的HASH算法計(jì)算得到一個(gè)固定位數(shù)的數(shù)字串（稱為報(bào)文摘要）。（該算法在數(shù)學(xué)上保證只要改動(dòng)報(bào)文中任何一位，重新計(jì)算出的報(bào)文摘要值就與原先的值不相符。這樣就保證了報(bào)文的不可更改性。同時(shí)通過摘要是無法獲得原文的。）然后對(duì)所得的摘要用發(fā)送者的私鑰進(jìn)行加密，并將加密結(jié)果作為數(shù)字簽名附在原文后發(fā)送給對(duì)方（如下圖）。（2）檢驗(yàn)數(shù)字簽名的過程：接收者收到數(shù)字簽名和原文后，用同樣的HASH算法對(duì)正文計(jì)算形成摘要，再對(duì)所附數(shù)字簽名用發(fā)送者的公鑰進(jìn)行解密。如果兩者的結(jié)果相同，數(shù)字簽名得到驗(yàn)證，接收方就能確認(rèn)該數(shù)字簽名是來自發(fā)送方的；否則就是假冒或被篡改的原文。因?yàn)橄鄳?yīng)的私鑰只有該原文聲明者擁有，而只有用該私鑰加密才能獲得可由相應(yīng)公鑰正確解密的結(jié)果。3.3.3電子商務(wù)數(shù)字簽名 2、數(shù)字簽名的原理79

數(shù)字簽名是公開密鑰加密技術(shù)的另一類應(yīng)用。發(fā)送方用自己的私有密鑰進(jìn)行加密后形成數(shù)字簽名，而接收方則用發(fā)送方的公開密鑰進(jìn)行驗(yàn)證操作。數(shù)字簽名的過程

Hash

算法

原文

摘要

摘要

？

原文

摘要

Internet

發(fā)送方

接收方

Hash算法

數(shù)字

簽名

發(fā)送者

私鑰加密

數(shù)字

簽名

發(fā)送者

公鑰解密

對(duì)比和驗(yàn)證是否正確？數(shù)字簽名是公開密鑰加密技術(shù)的另一類應(yīng)用。發(fā)送方用自己803.3.3電子商務(wù)數(shù)字簽名 3、數(shù)字簽名的作用

數(shù)字簽名的作用是為了鑒別文書的真?zhèn)危瑐鹘y(tǒng)的做法是相關(guān)人員在文件或書信上親筆簽名或印章。簽名起到認(rèn)證、核準(zhǔn)、生效的作用。保證信息的完整性和不可否認(rèn)性。（1）數(shù)字簽名解密后得到的摘要與用Hash函數(shù)處理原文后得到的摘要應(yīng)該相同，否則，表示原文已被修改或有丟失。（2）能夠用公鑰解密的數(shù)字簽名只可能由發(fā)送者的私鑰來產(chǎn)生，所以簽名者無法否認(rèn)自己的簽名；接收方也無法偽造發(fā)送方的簽名。因此數(shù)字簽名可作為信息發(fā)/收雙方對(duì)某些有爭議信息的法律依據(jù)。4、數(shù)字簽名與手書簽名的區(qū)別

手書簽名是模擬的，因人而異；數(shù)字簽名是數(shù)字的（0和1的數(shù)字串），因消息而異。3.3.3電子商務(wù)數(shù)字簽名 3、數(shù)字簽名的作用813.3.3電子商務(wù)數(shù)字簽名 4、數(shù)字簽名和數(shù)字加密的區(qū)別

數(shù)字簽名和數(shù)字加密的過程雖然都使用公開密鑰體系，但實(shí)現(xiàn)的過程正好相反，使用的密鑰對(duì)也不同。數(shù)字簽名使用的是發(fā)送方的密鑰對(duì)，發(fā)送方用自己的私有密鑰進(jìn)行加密，接收方用發(fā)送方的公開密鑰進(jìn)行解密，這是一個(gè)一對(duì)多的關(guān)系，任何擁有發(fā)送方公開密鑰的人都可以驗(yàn)證數(shù)字簽名的正確性。數(shù)字加密則使用的是接收方的密鑰對(duì)，這是多對(duì)一的關(guān)系，任何知道接收方公開密鑰的人都可以向接收方發(fā)送加密信息，只有唯一擁有接收方私有密鑰的人才能對(duì)信息解密。另外，數(shù)字簽名只采用了非對(duì)稱密鑰加密算法，它能保證發(fā)送信息的完整性、身份認(rèn)證和不可否認(rèn)性，而數(shù)字加密采用了對(duì)稱密鑰加密算法和非對(duì)稱密鑰加密算法相結(jié)合的方法，它能保證發(fā)送信息保密性。返回本節(jié)3.3.3電子商務(wù)數(shù)字簽名 4、數(shù)字簽名和數(shù)字加密的區(qū)別823.3.4電子商務(wù)的身份認(rèn)證 1、電子商務(wù)身份認(rèn)證的必要性

一方面，只有合法用戶才能使用網(wǎng)絡(luò)資源，故網(wǎng)絡(luò)資源管理要求識(shí)別用戶身份；另一方面，由于網(wǎng)絡(luò)交易時(shí)雙方并不見面，通過普通的電子傳輸信息很難確認(rèn)對(duì)方的身份。因此應(yīng)采取一定的措施使交易雙方能互相確認(rèn)對(duì)方的身份，才能放心的開展電子商務(wù)活動(dòng)。2、電子商務(wù)身份認(rèn)證的目標(biāo)①保證信息來源的可信（并非假冒）；②傳輸過程的完整性（沒有被修改、延遲、替換）；③收發(fā)雙方的不可抵賴性；④訪問控制（拒絕非法用戶訪問系統(tǒng)資源，合法用戶只能訪問系統(tǒng)授權(quán)和指定的資源）。3.3.4電子商務(wù)的身份認(rèn)證 1、電子商務(wù)身份認(rèn)證的必要833.3.4電子商務(wù)的身份認(rèn)證 3、電子商務(wù)身份認(rèn)證的基本方式

①人體生物學(xué)特征方式：用戶具有的某些生物學(xué)特征，如指紋、聲音、DNA圖案、臉部等，相同的概率非常小，用它可以直接認(rèn)證。但這種認(rèn)證方案一般造價(jià)較高，多半適用于保密程度很高的場合。②口令方式：一般是長度為5-8位的字符串。由數(shù)字、字母、控制字符等組成。其原則是：易記，難猜，難分析。③標(biāo)記方式：標(biāo)記是用戶所持有的某個(gè)秘密信息(硬件)，其中存儲(chǔ)有用戶的個(gè)人化參數(shù)，訪問系統(tǒng)資源時(shí)，用戶必須持有合法的隨身攜帶的物理介質(zhì)，例如智能卡。其作用類似于鑰匙，用于啟動(dòng)電子設(shè)備。返回本節(jié)3.3.4電子商務(wù)的身份認(rèn)證 3、電子商務(wù)身份認(rèn)證的基本843.3.5電子商務(wù)的數(shù)字時(shí)間戳1、電子商務(wù)身份認(rèn)證的基本方式

（1）數(shù)字時(shí)間戳的必要性：在書面合同中，文件簽署的日期和簽名一樣都十分重要。是防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。

電子交易中，同樣要對(duì)交易文件的日期和事件信息采取安全措施。數(shù)字時(shí)間戳服務(wù)能提供電子文件發(fā)表時(shí)間的安全保護(hù)。（2）數(shù)字時(shí)間戳服務(wù)的提供：由專門的機(jī)構(gòu)提供。是一個(gè)加密后形成的憑證文檔，包括：需要加時(shí)間戳的文件的摘要，服務(wù)機(jī)構(gòu)收到文件的日期和時(shí)間，數(shù)字時(shí)間戳的數(shù)字簽名。（3）數(shù)字時(shí)間戳產(chǎn)生的過程：用戶將需要加時(shí)間戳的文件用Hash函數(shù)形成摘要；將摘要發(fā)送到服務(wù)機(jī)構(gòu)；機(jī)構(gòu)對(duì)摘要加上時(shí)間后進(jìn)行數(shù)字簽名并發(fā)送給原用戶；原用戶可以把它發(fā)送給接收者。返回本節(jié)3.3.5電子商務(wù)的數(shù)字時(shí)間戳1、電子商務(wù)身份認(rèn)證的基本853.3.6電子商務(wù)的數(shù)字證書1、概述

在電子商務(wù)中，所謂數(shù)字證書，是一個(gè)由使用數(shù)字證書的用戶群所公認(rèn)和信任的權(quán)威機(jī)構(gòu)（即CA）簽署了其數(shù)字簽名的信息集合。在電子商務(wù)中，不同的數(shù)字證書有著不同的用途。2、認(rèn)證機(jī)構(gòu)CA（CertificateAuthority認(rèn)證中心）

一個(gè)受法律承認(rèn)的權(quán)威機(jī)構(gòu)。采用PKI（PublicKeyInfrastructure）公開密鑰基礎(chǔ)架構(gòu)技術(shù)，專門提供網(wǎng)絡(luò)身份認(rèn)證服務(wù)，負(fù)責(zé)簽發(fā)和管理數(shù)字證書，且具有權(quán)威性和公正性的第三方信任機(jī)構(gòu)，它的作用就像我們現(xiàn)實(shí)生活中頒發(fā)證件的公司（如護(hù)照辦理機(jī)構(gòu)），專門驗(yàn)證交易雙方的身份，對(duì)密鑰進(jìn)行有效管理，頒發(fā)證書證明密鑰的有效性，將公開密鑰和某一個(gè)實(shí)體聯(lián)系起來。其職能是：發(fā)放和管理用戶的數(shù)字證書。3.3.6電子商務(wù)的數(shù)字證書1、概述863.3.6電子商務(wù)的數(shù)字證書3、認(rèn)證機(jī)構(gòu)（CA）中心的職能

接收注冊請求，處理、批準(zhǔn)或拒絕請求，核發(fā)和管理用戶的數(shù)字證書；負(fù)責(zé)證書的檢索、撤消、驗(yàn)證、數(shù)據(jù)庫備份、保證證書和密鑰服務(wù)器的安全。4、CA認(rèn)證系統(tǒng)組成及功能目前CA認(rèn)證系統(tǒng)主要由以下三部分組成：（1）在客戶端面向證書用戶的數(shù)字證書申請、查詢和下載系統(tǒng)；（2）在CA端由CA管理員對(duì)證書申請進(jìn)行審批的證書授權(quán)系統(tǒng)；（3）在CA控制臺(tái)，簽發(fā)用戶證書的證書簽發(fā)系統(tǒng)。3.3.6電子商務(wù)的數(shù)字證書3、認(rèn)證機(jī)構(gòu)（CA）中心的職873.3.6電子商務(wù)的數(shù)字證書5、數(shù)字證書又稱為數(shù)字標(biāo)識(shí)（DigitalCertificate，DigitalID）。是一個(gè)經(jīng)證書授權(quán)機(jī)構(gòu)數(shù)字簽名的數(shù)字信息文件。它提供了一種在Internet上身份驗(yàn)證的方式，用來標(biāo)志和證明網(wǎng)絡(luò)通信雙方的身份，與司機(jī)駕照或日常生活中的身份證相似。在網(wǎng)上進(jìn)行電子商務(wù)活動(dòng)時(shí)，交易雙方需要使用數(shù)字證書來表明自己的身份，并使用數(shù)字證書來進(jìn)行有關(guān)的交易操作。通俗地講，數(shù)字證書就是個(gè)人或單位在Internet的身份證。數(shù)字證書主要包括三方面的內(nèi)容：證書所有者的信息、證書所有者的公開密鑰和證書頒發(fā)機(jī)構(gòu)的數(shù)字簽名。3.3.6電子商務(wù)的數(shù)字證書5、數(shù)字證書883.3.6電子商務(wù)的數(shù)字證書6、數(shù)字證書的用途

數(shù)字證書采用公－私鑰密碼體制，每個(gè)用戶擁有一把僅為本人所掌握的私鑰，用它進(jìn)行信息解密和數(shù)字簽名；同時(shí)擁有一把公鑰，并可以對(duì)外公開，用于信息加密和簽名驗(yàn)證。數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點(diǎn)、網(wǎng)上證券交易、網(wǎng)上采購招標(biāo)、網(wǎng)上辦公、網(wǎng)上保險(xiǎn)、網(wǎng)上稅務(wù)、網(wǎng)上簽約和網(wǎng)上銀行等安全電子事務(wù)處理和安全電子交易活動(dòng)。最簡單的數(shù)字證書包含一個(gè)公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。3.3.6電子商務(wù)的數(shù)字證書6、數(shù)字證書的用途893.3.6電子商務(wù)的數(shù)字證書7、數(shù)字證書包含的內(nèi)容數(shù)字證書包含以下一些內(nèi)容：①證書的版本信息；②證書的序列號(hào)（每個(gè)證書都有唯一的證書序列號(hào)）；③證書所使用的簽名算法；④證書發(fā)行機(jī)構(gòu)名稱；⑤證書發(fā)行機(jī)構(gòu)的數(shù)字簽名（用私鑰的簽名）；⑥證書的有效期；⑦證書擁有者的名稱；⑧證書擁有者的公鑰；3.3.6電子商務(wù)的數(shù)字證書7、數(shù)字證書包含的內(nèi)容903.3.6電子商務(wù)的數(shù)字證書8、數(shù)字證書包含的類型（1）個(gè)人證書

僅僅為某個(gè)用戶提供憑證。安裝在用戶的瀏覽器上。用于網(wǎng)上安全交易操作，訪問需要客戶驗(yàn)證安全的站點(diǎn)，發(fā)送帶簽名的Email等。（2）企業(yè)（或服務(wù)器）數(shù)字證書企業(yè)可以用具有憑證的站點(diǎn)進(jìn)行安全電子交易，開啟服務(wù)器SSL安全通道，使用戶和服務(wù)器之間的數(shù)據(jù)加密傳送，要求客戶出示個(gè)人證書。（3）軟件（或開發(fā)者）數(shù)字證書為軟件提供憑證，以證明該軟件的合法性，這樣可以在Internet上安全地傳送。3.3.6電子商務(wù)的數(shù)字證書8、數(shù)字證書包含的類型913.3.6電子商務(wù)的數(shù)字證書9、證書的樹形驗(yàn)證結(jié)構(gòu)●雙方通信時(shí)，通過出示某個(gè)認(rèn)證中心（CA）簽發(fā)的證書來證明自己的身份?！袢绻麑?duì)簽發(fā)證書的CA不信任，則可以驗(yàn)證該CA的身份?！馛A的數(shù)字證書由其上一級(jí)的CA簽發(fā)?！窨梢灾鸺?jí)驗(yàn)證，直到公認(rèn)的權(quán)威CA處。（根CA）●根證書是一份特殊的證書，它的簽發(fā)者是它本身，下載根證書就表明您對(duì)該根證書以下所簽發(fā)的證書都表示信任，而技術(shù)上則是建立起一個(gè)驗(yàn)證證書信息的鏈條，證書的驗(yàn)證追溯至根證書即為結(jié)束。3.3.6電子商務(wù)的數(shù)字證書9、證書的樹形驗(yàn)證結(jié)構(gòu)92圖3-30查看證書內(nèi)容（1）圖3-30查看證書內(nèi)容（1）93圖3-31查看證書內(nèi)容（2）圖3-31查看證書內(nèi)容（2）94圖3-32查看證書內(nèi)容（3）圖3-32查看證書內(nèi)容（3）95

CA的樹形結(jié)構(gòu)CA的樹形結(jié)構(gòu)963.3.6電子商務(wù)的數(shù)字證書3.3.6電子商務(wù)的數(shù)字證書9711、數(shù)字證書的申請（1）下載并安裝根證書（如圖3-34~3-38所示）（2）申請證書（如圖3-39~3-41所示）（3）將個(gè)人身份信息連同證書序列號(hào)一并郵寄到中國數(shù)字認(rèn)證網(wǎng)3.3.6電子商務(wù)的數(shù)字證書11、數(shù)字證書的申請3.3.6電子商務(wù)的數(shù)字證書98圖3-34下載根證書（1）圖3-34下載根證書（1）99圖3-35下載根證書（2）圖3-35下載根證書（2）100圖3-36安裝根證書（1）圖3-36安裝根證書（1）101圖3-37安裝根證書（2）圖3-37安裝根證書（2）102圖3-38查看根證書圖3-38查看根證書103圖3-39申請個(gè)人免費(fèi)證書圖3-39申請個(gè)人免費(fèi)證書104圖3-40下載個(gè)人證書圖3-40下載個(gè)人證書105圖3-41查看個(gè)人證書圖3-41查看個(gè)人證書10612、數(shù)字證書應(yīng)用操作實(shí)例（個(gè)人證書在安全電子郵件中的應(yīng)用）（1）在OutlookExpress5發(fā)送簽名郵件(如圖3-42~3-46所示)：1）在OutlookExpress5中設(shè)置證書、2）發(fā)送簽名郵件。（2）用OutlookExpress5發(fā)送加密電子郵件（如圖3-47~3-50所示）：1）獲取收件人數(shù)字證書、

2）發(fā)送加密郵件。3.3.6電子商務(wù)的數(shù)字證書12、數(shù)字證書應(yīng)用操作實(shí)例3.3.6電子商務(wù)的數(shù)字證書107圖3-42在OutlookExpress中設(shè)置證書（1）圖3-42在OutlookExpress中設(shè)置證書（1108圖3-43在OutlookExpress中設(shè)置證書（2）圖3-43在OutlookExpress中設(shè)置證書（2109圖3-44在OutlookExpress中設(shè)置證書（3）圖3-44在OutlookExpress中設(shè)置證書（3110圖3-45發(fā)送簽名郵件圖3-45發(fā)送簽名郵件111圖3-46收到簽名郵件的提示信息圖3-46收到簽名郵件的提示信息112圖3-47將收件人證書添加到通信簿圖3-47將收件人證書添加到通信簿113圖3-48查詢和下載收件人數(shù)字證書圖3-48查詢和下載收件人數(shù)字證書114圖3-49發(fā)送加密郵件圖3-49發(fā)送加密郵件115圖3-50收到加密郵件的提示信息圖3-50收到加密郵件的提示信息1163.3電子商務(wù)的安全手段3.3節(jié)小結(jié)：返回本節(jié)3.3電子商務(wù)的安全手段3.3節(jié)小結(jié)：返回本節(jié)1173.4計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范 3.4.1計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型、危害與防范3.4.2網(wǎng)絡(luò)黑客及其防范3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)跳到下一節(jié)返回本章首頁3.4計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范 3.4.1計(jì)算機(jī)網(wǎng)1183.4.1計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型、危害與防范1、計(jì)算機(jī)病毒的定義人為編制的、寄生于計(jì)算機(jī)合法程序或操作系統(tǒng)中的、可自我執(zhí)行和自行復(fù)制的、具有傳染性和破壞性的、以破壞計(jì)算機(jī)系統(tǒng)正常工作為目的非法程序。2、計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型（1）蠕蟲（高速復(fù)制自己，占用系統(tǒng)資源）；（2）邏輯炸彈（滿足某種條件時(shí)受激發(fā)）；（3）特洛伊木馬（具有隱蔽性）；（4）陷阱入口（程序開發(fā)者有意安排引入歧路）；（5）核心大戰(zhàn)（允許兩個(gè)程序互相破壞的游戲程序）。3.4.1計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型、危害與防范1、計(jì)算機(jī)病毒1193.4.1計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型、危害與防范3、計(jì)算機(jī)網(wǎng)絡(luò)病毒的危害

（1）對(duì)網(wǎng)絡(luò)的危害（2）對(duì)計(jì)算機(jī)的危害。4、計(jì)算機(jī)網(wǎng)絡(luò)病毒的防范（1）在電腦上安裝防病毒軟件（單機(jī)版-事后消毒，聯(lián)機(jī)版-網(wǎng)絡(luò)端口設(shè)置過濾器）；（2）定期清毒（許多病毒有潛伏期）；（3）控制權(quán)限（如只讀）；（4）警惕網(wǎng)絡(luò)陷阱（沒有免費(fèi)午餐）；（5）不打開陌生地址的Email，尤其是不要打開陌生地址的郵件附件（郵件附件是傳播宏病毒的來源）。返回本節(jié)3.4.1計(jì)算機(jī)網(wǎng)絡(luò)病毒的類型、危害與防范3、計(jì)算機(jī)網(wǎng)絡(luò)1203.4.2網(wǎng)絡(luò)黑客及其防范1、黑客的基本概念黑客(Hacker)源于英語動(dòng)詞Hack，意為“劈、砍”，引申為“辟出、開辟”，進(jìn)一步的意思是“干了一件非常漂亮的工作”。在20世紀(jì)早期的麻省理工學(xué)院校園口語中，黑客則有“惡作劇”之意，尤其是指手法巧妙、技術(shù)高明的惡作劇。2、黑客的類型目前的黑客可分為兩類：一類是駭客，他們只想引人注目，證明自己的能力，在進(jìn)人網(wǎng)絡(luò)系統(tǒng)后，不會(huì)去破壞系統(tǒng)，或者僅僅會(huì)做一些無傷大雅的惡作劇，他們追求的是從侵人行為本身獲得巨大的成功滿足感；另一類是竊客，帶有強(qiáng)烈的目的性，早期的這些黑客主要是竊取國家情報(bào)、科研情報(bào)，而現(xiàn)在的這些黑客的目標(biāo)大部分瞄準(zhǔn)了銀行的資金和電子商務(wù)的整個(gè)交易過程。3.4.2網(wǎng)絡(luò)黑客及其防范1、黑客的基本概念1213.4.2網(wǎng)絡(luò)黑客及其防范3、黑客的例證

黑客作案只需要簡單的硬件設(shè)備：一臺(tái)計(jì)算機(jī)、一條電話線、一個(gè)調(diào)制解調(diào)器。黑客作案頻繁：平均每20秒發(fā)生一起入侵Internet計(jì)算機(jī)事件；每150次事件才被發(fā)現(xiàn)一次；入侵成功率高達(dá)65%。首例公開披露的作案：1988年11月2日，23歲的美國大學(xué)生羅伯特莫瑞斯的蠕蟲程序通過個(gè)人計(jì)算機(jī)用遠(yuǎn)程命令送進(jìn)Internet，造成美國多所大學(xué)、科研機(jī)構(gòu)和軍事機(jī)構(gòu)約6200臺(tái)計(jì)算機(jī)癱瘓。經(jīng)濟(jì)損失達(dá)9600萬美圓。我國的政府網(wǎng)絡(luò)、商業(yè)網(wǎng)絡(luò)和金融網(wǎng)絡(luò)也頻繁受到入侵和挑釁。（政治目的和商業(yè)犯罪）3.4.2網(wǎng)絡(luò)黑客及其防范3、黑客的例證1223.4.2網(wǎng)絡(luò)黑客及其防范4、黑客的攻擊手段利用網(wǎng)絡(luò)協(xié)議的漏洞，獲取系統(tǒng)的口令文件，對(duì)口令進(jìn)行破譯；利用破譯后的帳號(hào)進(jìn)入系統(tǒng)，將普通用戶帳號(hào)修改為超級(jí)用戶，使安全機(jī)制對(duì)其失去效用，任意胡作非為。黑客行為正在走向系統(tǒng)化、組織化、高技術(shù)化?；ヂ?lián)網(wǎng)上有許多公開、半公開或秘密的黑客組織、俱樂部、論壇，互相了解黑客信息，學(xué)習(xí)交流黑客技術(shù)，炫耀攻擊成果。3.4.2網(wǎng)絡(luò)黑客及其防范4、黑客的攻擊手段1233.4.2網(wǎng)絡(luò)黑客及其防范5、防范黑客的措施（1）使用防火墻，建立網(wǎng)絡(luò)安全屏障。（2）使用安全掃描工具發(fā)現(xiàn)黑客。（3）使用有效的監(jiān)控手段抓住入侵者。（4）堅(jiān)持備份系統(tǒng)。（非常情況下能及時(shí)修復(fù)系統(tǒng)）（5）加強(qiáng)防范意識(shí)返回本節(jié)3.4.2網(wǎng)絡(luò)黑客及其防范5、防范黑客的措施返回本節(jié)1243.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)1、安全套接層協(xié)議SSL（1）SSL（SecureSocketsLayer）協(xié)議的通信過程（2）電子商務(wù)網(wǎng)站的Web服務(wù)器安裝SSL協(xié)議步驟3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)1、安全套接層協(xié)議SSL1252．安全電子交易協(xié)議SET（1）SET（SecureElectronicTransaction）協(xié)議提供的安全保障（2）參與SET協(xié)議的交易對(duì)象（各參與對(duì)象的關(guān)系見圖2-51）（3）SET協(xié)議的工作程序3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)2．安全電子交易協(xié)議SET3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)126圖2-51SET協(xié)議的參與對(duì)象圖2-51SET協(xié)議的參與對(duì)象1273．其他安全協(xié)議（1）安全超文本傳輸協(xié)議（S-HTTP）（2）安全多媒體Internet郵件擴(kuò)展協(xié)議（S/MIME）返回本節(jié)3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)3．其他安全協(xié)議返回本節(jié)3.4.3電子商務(wù)安全交易標(biāo)準(zhǔn)128本章小結(jié)主要知識(shí)點(diǎn)：1、電子商務(wù)系統(tǒng)安全的基本問題（概念、影響因素、控制要求）2、電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理對(duì)策（技術(shù)對(duì)策、管理對(duì)策、安全體系）3、電子商務(wù)安全手段（防火墻、信息加密、數(shù)字簽名、身份認(rèn)證、時(shí)間戳、數(shù)字證書）4、計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范。要求：重點(diǎn)掌握電子商務(wù)安全的基本問題，重點(diǎn)掌握電子商務(wù)安全的手段，掌握電子商務(wù)系統(tǒng)安全管理對(duì)策，了解計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范。重點(diǎn)名詞：網(wǎng)絡(luò)安全、防火墻、信息加密技術(shù)、數(shù)字簽名、數(shù)字證書、對(duì)稱加密。本章小結(jié)主要知識(shí)點(diǎn)：129THANKYOUVERYMUCH！本章到此結(jié)束，謝謝您的光臨！返回本章首頁結(jié)束放映THANKYOUVERYMUCH！本章到此結(jié)束，返回130《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視大學(xué)工程技術(shù)系何豐如2005.2《電子商務(wù)概論》

第3章電子商務(wù)系統(tǒng)的安全廣東廣播電視131第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述3.2電子商務(wù)系統(tǒng)網(wǎng)絡(luò)安全管理基本對(duì)策3.3電子商務(wù)安全手段3.4計(jì)算機(jī)病毒及網(wǎng)絡(luò)黑客的防范第3章電子商務(wù)系統(tǒng)的安全3.1電子商務(wù)系統(tǒng)安全問題概述132第3章電子商務(wù)系統(tǒng)的安全

隨著電子商務(wù)的迅速發(fā)展,電子商務(wù)系統(tǒng)的安全已受到來自計(jì)算機(jī)病毒、電腦黑客、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)自身脆弱性等各方面的嚴(yán)峻挑戰(zhàn)。因此如何建立一個(gè)安全、便捷的電子商務(wù)應(yīng)用環(huán)境，對(duì)信息提供足夠的保護(hù)，是商家和用戶十分關(guān)心的重大問題。本章將著重介紹電子商務(wù)系統(tǒng)安全的概念、安全控制要求、網(wǎng)絡(luò)安全管理對(duì)策、常用安全手段和防范措施等內(nèi)容。第3章電子商務(wù)系統(tǒng)的安全隨著電子商務(wù)的迅速發(fā)展,電