電子商務(wù)安全培訓(xùn)

第三章電子商務(wù)安全第一節(jié)電子商務(wù)安全面臨的問題、要素及內(nèi)容第二節(jié)計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)第三節(jié)

電子商務(wù)交易安全技術(shù)第四節(jié)

電子商務(wù)安全交易協(xié)議單擊此處添加文字內(nèi)容1電子商務(wù)安全面臨的問題、要素及內(nèi)容單擊此處添加文字內(nèi)容2計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)3電子商務(wù)交易安全技術(shù)4電子商務(wù)安全交易協(xié)議一、電子商務(wù)面臨的安全問題信息泄漏1在電子商務(wù)中表現(xiàn)為商業(yè)機(jī)密的泄漏，指交易雙方進(jìn)行交易的內(nèi)容被第三方竊取，或者交易一方提供給另一方使用的文件被第三方非法使用。信息假冒3當(dāng)攻擊者掌握了網(wǎng)絡(luò)信息數(shù)據(jù)規(guī)律或解密了商務(wù)信息以后，可以假冒合法用戶或發(fā)送信息來欺騙其他用戶。信息的篡改2在電子商務(wù)中表現(xiàn)為商業(yè)信息的真實(shí)性和完整性的問題。交易抵賴4發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過某條信息或內(nèi)容；收信者事后否認(rèn)曾經(jīng)收到過某條消息或內(nèi)容；購買者做了訂貨單不承認(rèn)；商家賣出的商品因價(jià)格差而不承認(rèn)原有的交易。病毒問題5隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，各種新病毒及其變種迅速增加。黑客問題6黑客攻擊所使用的方法不同，產(chǎn)生的危害程度也不同。二、電子商務(wù)的基本安全要素電子商務(wù)的基本安全

要素有效性認(rèn)證性機(jī)密性完整性不可抵賴性如何保證電子形式的貿(mào)易信息的有效性則是開展電子商務(wù)的前提。要預(yù)防非法的信息存取和信息在傳輸過程中被非法竊取。完整性一般可通過提取信息的數(shù)據(jù)摘要方式來獲得。不可抵賴性可通過對(duì)發(fā)送的消息進(jìn)行數(shù)字簽名來獲取。一般都通過證書機(jī)構(gòu)ca和數(shù)字證書來實(shí)現(xiàn)。三、電子商務(wù)安全的內(nèi)容電子商務(wù)安全從整體上可分為兩大部分：計(jì)算機(jī)網(wǎng)絡(luò)安全和商務(wù)交易安全。交易安全技術(shù)安全管理體系網(wǎng)絡(luò)安全技術(shù)安全應(yīng)用協(xié)議set、ssl安全認(rèn)證手段數(shù)字簽名、ca體系基本加密算法對(duì)稱和非對(duì)稱秘鑰算法病毒防范身份識(shí)別技術(shù)防火墻技術(shù)分組過濾和代理服務(wù)等法律法規(guī)、政策電子商務(wù)安全框架計(jì)算機(jī)網(wǎng)絡(luò)安全的內(nèi)容包括：計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備安全、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全、數(shù)據(jù)庫安全等。其特征是針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)本身可能存在的安全問題，實(shí)施網(wǎng)絡(luò)安全增強(qiáng)方案，以保證計(jì)算機(jī)網(wǎng)絡(luò)自身的安全性為目標(biāo)。商務(wù)交易安全則緊緊圍繞傳統(tǒng)商務(wù)在互聯(lián)網(wǎng)上應(yīng)用時(shí)產(chǎn)生的各種安全問題，在計(jì)算機(jī)網(wǎng)絡(luò)安全的基礎(chǔ)上，如何保障電子商務(wù)過程的順利進(jìn)行，即實(shí)現(xiàn)電子商務(wù)的保密性、完整性、可鑒別性、可不偽造性和不可抵賴性。單擊此處添加文字內(nèi)容1電子商務(wù)安全面臨的問題、要素及內(nèi)容單擊此處添加文字內(nèi)容2計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)3電子商務(wù)交易安全技術(shù)4電子商務(wù)安全交易協(xié)議一、計(jì)算機(jī)網(wǎng)絡(luò)的潛在安全隱患企業(yè)內(nèi)部的典型風(fēng)險(xiǎn)有：沒有好的備份系統(tǒng)導(dǎo)致數(shù)據(jù)丟失；有外來磁盤攜帶的病毒攻擊計(jì)算機(jī)系統(tǒng)；業(yè)務(wù)人員的誤操作；刪除了不該刪除的數(shù)據(jù)，且無法恢復(fù)；系統(tǒng)硬件、通信網(wǎng)絡(luò)或軟件本身出故障。如果企業(yè)的內(nèi)部網(wǎng)連接上internet，則internet本身的不安全性對(duì)企業(yè)內(nèi)部信息系統(tǒng)帶來的潛在風(fēng)險(xiǎn)主要有：外部非法用戶潛入系統(tǒng)胡作非為，甚至破壞系統(tǒng)；數(shù)據(jù)丟失，機(jī)密信息泄漏；互聯(lián)網(wǎng)本身固有的風(fēng)險(xiǎn)的影響；網(wǎng)絡(luò)病毒的攻擊。二、計(jì)算機(jī)網(wǎng)絡(luò)安全體系要加強(qiáng)主機(jī)本身的安全，做好安全配置，及時(shí)安裝安全補(bǔ)丁程序，減少漏洞；要用各種系統(tǒng)漏洞檢測軟件定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行掃描分析，找出可能存在的安全隱患，及時(shí)修補(bǔ)；對(duì)敏感的設(shè)備和數(shù)據(jù)要建立必要的物理或邏輯隔離措施；安裝防病毒軟件，加強(qiáng)內(nèi)部網(wǎng)的整體防病毒措施；建立詳細(xì)的安全審計(jì)日志，以便檢測并跟蹤入侵攻擊等。三、常用的計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)（一）病毒及黑客防范技術(shù)計(jì)算機(jī)病毒是帶有一段惡意指令的程序，一旦用戶運(yùn)行了被病毒感染的程序，它就會(huì)隱藏在系統(tǒng)中不斷感染內(nèi)存或硬盤上的程序。黑客程序?qū)嶋H上是人們編寫的程序，它能夠控制和操縱遠(yuǎn)程計(jì)算機(jī)，一般由本地和遠(yuǎn)程兩部分程序組成。考慮到黑客程序的危害性，把黑客程序也歸于計(jì)算機(jī)病毒。1．單機(jī)病毒1）單機(jī)病毒的種類單機(jī)病毒就是以前的dos病毒、windows病毒和能在多操作系統(tǒng)下運(yùn)行的宏病毒。dos病毒是在ms-dos及其兼容操作系統(tǒng)上編寫的病毒程序，例如以前著名的“黑色星期五”“dir”等病毒。windows病毒是在win3.x/win9.x上編寫的純32位病毒，例如4月26日危害全球的cih病毒等。宏病毒是利用office特有的“宏”編寫的病毒，它專門攻擊微軟office系列word和excel文件。2）單機(jī)病毒的防范考慮到每種殺毒產(chǎn)品都有其局限性，所以最好準(zhǔn)備幾套殺毒軟件，用它們來交叉殺毒，殺毒軟件還要及時(shí)升級(jí)；定期用殺毒軟件檢查硬盤，如果用的是win9.x（cih病毒對(duì)winnt和win2000不起作用），每月的26號(hào)前一定要檢查是否有cih病毒，或者將系統(tǒng)日期跳過26號(hào)。2．網(wǎng)絡(luò)病毒及其防范特洛伊木馬是一種黑客程序，與病毒有些區(qū)別，特洛伊木馬本身一般并不破壞受害者硬盤上的數(shù)據(jù)，它只悄悄地潛伏在被感染的計(jì)算機(jī)里，一旦這臺(tái)計(jì)算機(jī)上網(wǎng)，就可能大禍臨頭。特洛伊木馬病毒的防范方法是：不要輕易泄漏ip地址，下載來歷不明的軟件時(shí)要警惕其中是否隱藏了特洛伊木馬，使用下載軟件前一定要用特洛伊木馬檢測工具進(jìn)行檢查。2）郵件病毒郵件病毒和普通病毒是一樣的，只不過由于它們主要通過電子郵件傳播，所以才稱為“郵件病毒”，一般通過郵件中“附件”夾帶的方法進(jìn)行擴(kuò)散，一旦你收到這類e-mail，運(yùn)行了附件中的病毒程序，就能使你的計(jì)算機(jī)染毒。郵件病毒的防范方法是：不要打開陌生人來信中的附件，特別是“.exe”等可執(zhí)行文件；養(yǎng)成用最新殺毒軟件及時(shí)查毒的好習(xí)慣，不要急于打開附件中的文件，先將其保存在特定目錄中，然后用殺毒軟件進(jìn)行檢查；收到自認(rèn)為有趣的郵件時(shí)，不要盲目轉(zhuǎn)發(fā)，因?yàn)檫@樣會(huì)幫助病毒的傳播；對(duì)于通過腳本“工作”的病毒，可采用在瀏覽器中禁止java或activex運(yùn)行的方法來阻止病毒的發(fā)作。3）腳本病毒腳本病毒的前綴是：script。腳本病毒的共有特性是使用腳本語言編寫，通過網(wǎng)頁進(jìn)行傳播的病毒，如紅色代碼（script.redlof）。腳本病毒還會(huì)有如下前綴：vbs、js（表明是何種腳本編寫的），如歡樂時(shí)光（vbs.happytime）、十四日（js.fortnight.c.s）等。4）蠕蟲病毒蠕蟲病毒的前綴是：worm。這種病毒的共有特性是通過網(wǎng)絡(luò)或者系統(tǒng)漏洞進(jìn)行傳播，很大部分的蠕蟲病毒都有向外發(fā)送帶毒郵件，阻塞網(wǎng)絡(luò)的特性。3．網(wǎng)上炸彈及其防范1）ip炸彈ip炸彈一般是指用專用的攻擊軟件（如winnuke、igmpnuke等）發(fā)送大量的特殊數(shù)據(jù)，對(duì)遠(yuǎn)程計(jì)算機(jī)中的windows系統(tǒng)的漏洞進(jìn)行攻擊，造成對(duì)方的windows藍(lán)屏死機(jī)。當(dāng)用戶在聊天室聊天時(shí)，其ip地址很容易被別人查到，如果對(duì)方要發(fā)起攻擊，只要用專用軟件攻擊用戶的ip就可以了。對(duì)付ip炸彈最好的辦法是安裝個(gè)人防火墻。2）郵件炸彈郵件炸彈的原理是向有限容量的信箱投入足夠多或者足夠大的郵件，使郵箱崩潰。防范郵件炸彈的方法有以下幾種：①在郵件軟件中設(shè)置好防范項(xiàng)目；②在郵件服務(wù)器上設(shè)置過濾器，防范郵件炸彈；③使用刪除e-mail炸彈的工具；④謹(jǐn)慎使用自動(dòng)回信。（二）身份識(shí)別技術(shù)1．口令傳統(tǒng)的認(rèn)證技術(shù)主要采用基于口令的認(rèn)證方法。但是，傳統(tǒng)的認(rèn)證技術(shù)也有一些不足之處。用戶每次訪問系統(tǒng)時(shí)都要以明文方式輸入口令，很容易泄漏；口令在傳輸過程中可能被截獲；系統(tǒng)中所有用戶的口

令以文件形式存儲(chǔ)在認(rèn)證方，攻擊者可以利用系統(tǒng)中存在

的漏洞獲取系統(tǒng)的口令文件；用戶在訪問多個(gè)不同安全級(jí)

別的系統(tǒng)時(shí)，都要求用戶提供口令，用戶為了記憶的方便，

往往采用相同的口令；只能進(jìn)行單向認(rèn)證，即系統(tǒng)可以認(rèn)

證用戶，而用戶無法對(duì)系統(tǒng)進(jìn)行認(rèn)證。2．標(biāo)記方法標(biāo)記是個(gè)人持有物，作用類似于鑰匙，標(biāo)記上記錄著用于機(jī)器識(shí)別的個(gè)人信息。常用的標(biāo)記有磁介質(zhì)、智能卡。3．生物特征法每個(gè)人都有唯一且穩(wěn)定的特征，如指紋、眼睛以及說話和書寫等做事的標(biāo)準(zhǔn)方法。生物特征法是基于物理特征或行為特征自動(dòng)識(shí)別人員的一種方法，其優(yōu)點(diǎn)是嚴(yán)格依據(jù)人的物理特征并且不依賴任何迸被拷貝的文件或可被破解的口令，所以它是數(shù)字證書或智能卡的選擇。（三）防火墻技術(shù)1．防火墻概述1）防火墻的概念防火墻是指一個(gè)由軟件和硬件設(shè)備組合而成，處于企業(yè)或網(wǎng)絡(luò)群體計(jì)算機(jī)與外界通道（internet）之間，在內(nèi)部網(wǎng)與外部網(wǎng)之間實(shí)施安全防范的系統(tǒng)，可被認(rèn)為是一種訪問控制機(jī)制，用于限制外界用戶對(duì)內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外界網(wǎng)絡(luò)的權(quán)限，即確定哪些內(nèi)部服務(wù)允許外部訪問，以及允許哪些外部訪問訪問內(nèi)部服務(wù)。防火墻公司內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)庫服務(wù)器電子郵件服務(wù)器電子郵件服務(wù)器客戶機(jī)外部網(wǎng)intranet防火墻的示意圖2）防火墻的設(shè)計(jì)原則第一，一切未被允許的就是禁止的。基于該準(zhǔn)則，防火墻應(yīng)封鎖所有信息流，然后對(duì)希望提供的服務(wù)逐項(xiàng)開放，只有經(jīng)過精挑細(xì)選的服務(wù)才被允許使用。第二，一切未被禁止的就是允許的?；谠摐?zhǔn)則，防火墻應(yīng)轉(zhuǎn)發(fā)所有信息流，然后逐項(xiàng)屏蔽可能有害的服務(wù)，從而可為用戶提供更多的服務(wù)。3）防火墻的實(shí)現(xiàn)技術(shù)按照建立防火墻的主要途徑，防火墻的實(shí)現(xiàn)技術(shù)可分為分組過濾、代理服務(wù)和應(yīng)用網(wǎng)關(guān)。分組過濾技術(shù)是一種簡單、有效的安全控制技術(shù)，它通過在網(wǎng)絡(luò)間相互連接的設(shè)備上加載允許、禁止來自某些特定的源地址、目的地址、tcp端口號(hào)等規(guī)則，對(duì)通過設(shè)備的數(shù)據(jù)包進(jìn)行檢查，限制數(shù)據(jù)包進(jìn)出內(nèi)部網(wǎng)絡(luò)。代理服務(wù)是運(yùn)行于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的主機(jī)之上的一種應(yīng)用。應(yīng)用網(wǎng)關(guān)技術(shù)是建立在網(wǎng)絡(luò)應(yīng)用層上的協(xié)議過濾，它針對(duì)特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議，即數(shù)據(jù)包分析并形成相關(guān)的報(bào)告。2．防火墻的原理1）防火墻設(shè)計(jì)的基本原則①由內(nèi)到外，或由外到內(nèi)的業(yè)務(wù)流均經(jīng)過防火墻；②只允許本地安全策略認(rèn)可的業(yè)務(wù)流程通過防火墻；③盡可能控制外部用戶訪問專用網(wǎng)，應(yīng)當(dāng)嚴(yán)格限制外部人員進(jìn)入專用網(wǎng)中；④具有足夠的透明性，保證正常業(yè)務(wù)流通；⑤具有抗穿透攻擊能力，強(qiáng)化記錄、審計(jì)和報(bào)警功能。2）防火墻的組成防火墻主要由5部分組成：即安全操作系統(tǒng)、過濾器、網(wǎng)關(guān)、域名服務(wù)和e-mail處理。安全操作系統(tǒng)可以保護(hù)防火墻的代碼和文件免遭入侵者攻擊；過濾器則執(zhí)行由防火墻管理機(jī)構(gòu)制定的一組規(guī)則，檢驗(yàn)各數(shù)據(jù)組決定是否允許運(yùn)行；應(yīng)用網(wǎng)關(guān)可以在tcp/ip應(yīng)用級(jí)上控制信息流和認(rèn)證用戶；域名訪問使專用網(wǎng)的域名與internet相隔離，專用網(wǎng)中主機(jī)的內(nèi)部ip地址不至于暴露給internet中的用戶；函件處理能力保證專用網(wǎng)中用戶和internet用戶之間的任何函件交換都必須經(jīng)過防火墻處理。ip級(jí)數(shù)據(jù)高級(jí)協(xié)議訪問域名訪問e-mail內(nèi)部網(wǎng)

（intranet）因特網(wǎng)

（internet）安全操作系統(tǒng)e-mail處理域名服務(wù)網(wǎng)關(guān)代理過濾器防火墻的組成3）防火墻不能對(duì)付的安全威脅首先，防火墻不能防止專用網(wǎng)內(nèi)部用戶對(duì)資源的攻擊，它只是設(shè)在專用網(wǎng)和internet之間，對(duì)其間的信息流進(jìn)行干預(yù)的安全設(shè)施。其次，如果專用網(wǎng)中有些資源繞過防火墻直接與internet連通，則得不到防火墻的保護(hù)。另外，從病毒防護(hù)來看，一般防火墻不對(duì)專用網(wǎng)提供防護(hù)外部病毒的侵犯。4）防火墻的分類（1）分組過濾網(wǎng)關(guān)，按源地址和目的地址或業(yè)務(wù)（即端口號(hào)）卸包（組），并根據(jù)當(dāng)前組的內(nèi)容作出決定。（2）應(yīng)用級(jí)網(wǎng)關(guān)，在專用網(wǎng)和外部網(wǎng)之間建立一個(gè)單獨(dú)的子網(wǎng)，它將內(nèi)部網(wǎng)屏蔽起來。（3）線路級(jí)網(wǎng)關(guān)，它使內(nèi)部與外部網(wǎng)之間實(shí)現(xiàn)中繼tcp連接。3．防火墻產(chǎn)品1）checkpointfirewall-1checkpoint公司是一家專門措施網(wǎng)絡(luò)安全產(chǎn)品開發(fā)的公司，是軟件防火墻領(lǐng)域中的佼佼者，其旗艦產(chǎn)品checkpointfirewall-1在全球軟件防火墻產(chǎn)品中位居第一。2）sonicwall系列防火墻sonicwall系列防火墻是sonicsystem公司針對(duì)中小型企業(yè)需求開發(fā)的產(chǎn)品，并以其高性能和極具競爭力的價(jià)格受到中小企業(yè)和isp公司的青睞。3）netscreen防火墻netscreen公司推出的netscreen防火墻是一種新型的網(wǎng)絡(luò)安全硬件產(chǎn)品，把多種功能諸如流量控制、負(fù)載均衡、vpn等集成到一起，優(yōu)勢在于采用了新的體系結(jié)構(gòu)，可以有效地消除傳統(tǒng)防火墻實(shí)現(xiàn)數(shù)據(jù)加盟時(shí)的性能瓶頸，能實(shí)現(xiàn)最高級(jí)別的ip安全保護(hù)。4）alkatelintenetdeices系列防火墻intenetdeices公司專門從事高性能計(jì)算機(jī)網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計(jì)、開發(fā)、銷售和服務(wù)，其產(chǎn)品系列intenetdeices1000/3000/5000和intenetdeices10k分別適用于小型、中型、大型網(wǎng)絡(luò)環(huán)境。其中intenetdeices3000、intenetdeices5000及intenetdeices10k帶有vpn功能，支持vpn用戶。5）naigauntlet防火墻nai公司是全球著名的網(wǎng)絡(luò)安全產(chǎn)品提供商，其產(chǎn)品包括網(wǎng)絡(luò)檢測、防火墻以及防病毒產(chǎn)品等。（四）虛擬專用網(wǎng)技術(shù)虛擬專用網(wǎng)是用于internet電子交易的一種專用網(wǎng)絡(luò)，它可以在兩個(gè)系統(tǒng)之間建立安全的通道，非常適合電子數(shù)據(jù)交換。在虛擬專用網(wǎng)中交易雙方比較熟悉，而且彼此之間的數(shù)據(jù)通信量很大。只要交易雙方取得一致，在虛擬專用網(wǎng)中就可以使用比較復(fù)雜的專用加密和認(rèn)證技術(shù)，這樣可以大大提高電子商務(wù)的安全性。單擊此處添加文字內(nèi)容1電子商務(wù)安全面臨的問題、要素及內(nèi)容單擊此處添加文字內(nèi)容2計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)3電子商務(wù)交易安全技術(shù)4電子商務(wù)安全交易協(xié)議一、加密技術(shù)加密技術(shù)是一種主動(dòng)的信息安全防范措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成為無意義的密文，阻止非法用戶理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。明文變成密文的過程稱為加密，由密文還原為明文的過程稱為解密，加密和解密的規(guī)則稱為密碼算法。在加密和解密的過程中，由加密者和解密者使用的加解密可變參數(shù)叫做密鑰。（一）對(duì)稱密鑰加密體制對(duì)稱密鑰加密是指信息的發(fā)送方和接收方用一個(gè)密鑰去加密和解密數(shù)據(jù)。加密過程中將待加密數(shù)據(jù)分割成等長的若干個(gè)分組，對(duì)每個(gè)分組進(jìn)行加密形成加密后的分組，再將各個(gè)分組組合成整個(gè)密文；加密過程是一個(gè)密鑰控制下的復(fù)雜迭代運(yùn)算；相對(duì)非對(duì)稱加密算法速度較快；對(duì)稱密鑰的最大優(yōu)勢是加/解密速度快，適合于對(duì)大數(shù)據(jù)量進(jìn)行加密，但密鑰管理困難。以愷薩密碼為例，其原理是對(duì)于明文的各個(gè)字母，根據(jù)它在26個(gè)英文字母表中的排列位置，按某個(gè)固定間隔n變換字母，即得到對(duì)應(yīng)的密文。這個(gè)固定間隔的數(shù)字n就是加密密鑰，也是解密密鑰。密鑰只有26種，只要知道了算法，最多將密鑰變換26次做試驗(yàn)，即可破解密碼。

明文：cryptography

密鑰：＝4

密文：fubswrjudskb愷薩密碼再如多表式密碼，本例中密鑰字串與明文同樣長度（也可不同長度），明文中每一個(gè)字母往后移動(dòng)的間隔，與它在密鑰字串中對(duì)應(yīng)的字母本身在字母表中的位置有關(guān)。本例中，明文的第1個(gè)字母h，對(duì)應(yīng)密鑰字串的第1個(gè)字母e，e在字母表中的位置是5，則h往后第5個(gè)字母是l，因此將h置換為l。依次類推，明文每個(gè)字母置換時(shí)，移動(dòng)的間隔不同。howareyou明文

+）englanden密鑰字串

lbclrrbsh密文多表式密碼des、rc-5、idea等算法均為分組加密算法，其中des算法最為普及和典型。des是美國數(shù)據(jù)加密標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)數(shù)據(jù)分組長度為64位，密文的分組長度也是64位，密鑰長度為64位，其中8位奇偶校驗(yàn)，有效密鑰長度為56位。算法主要包括以下4個(gè)步驟：（1）在密鑰的控制下生成參加迭代的16個(gè)子密鑰；（2）對(duì)明文分組按位地址進(jìn)行初始位置置換；（3）進(jìn)行16輪迭代乘積變換；（4）再進(jìn)行逆的初始位置置換，即可得到密文分組。（二）非對(duì)稱密鑰加密算法非對(duì)稱密鑰加密系統(tǒng)需要使用一對(duì)密鑰來分別完成加密和解密操作，一個(gè)公開發(fā)布，又稱為公開密鑰；另一個(gè)由用戶自己秘密保存，稱為私有密鑰。信息發(fā)送者用公開密鑰去加密，而信息接收者則用私有密鑰去解密。公鑰機(jī)制靈活，但加密和解密速度卻比對(duì)稱密鑰加密慢得多。非對(duì)稱加密算法的關(guān)鍵是尋找對(duì)應(yīng)的公鑰和私鑰，并運(yùn)用某種數(shù)學(xué)方法使得加密過程是一個(gè)不可逆過程，即用公鑰加密的信息只能是用與該公鑰配對(duì)的私有密鑰才能解密。rsa公開密鑰算法1979年提出的，既可用于加密，又可用于數(shù)字簽字，是目前仍然安全并且逐步被廣泛應(yīng)用的一種體制，是一種國際標(biāo)準(zhǔn)。rsa的算法如下：（1）選取兩個(gè)足夠大的質(zhì)數(shù)p和q；（2）計(jì)算p和q相乘所產(chǎn)生的乘積n=p*q；（3）找出一個(gè)小于n的數(shù)e，使其符合與￠（n）=（p-1）*（q-1）互為質(zhì)數(shù)；（4）另找一個(gè)數(shù)d，使其滿足（e*d）mod[（p-1）*（q-1）]=1；（5）（n，e）即為公開密鑰，（n，d）即為私有密鑰；（6）加密和解密的運(yùn)算方式為：密文c=de（modn）；明文=ee（modn）。這兩個(gè)質(zhì)數(shù)無論哪一個(gè)先與原文密碼相乘，對(duì)文件加密，均可由另一個(gè)質(zhì)數(shù)再相乘來解密。但要用一個(gè)質(zhì)數(shù)來求出另一個(gè)質(zhì)數(shù)，則是非常困難的，因此將這一對(duì)質(zhì)數(shù)稱為密鑰對(duì)。特性對(duì)稱非對(duì)稱密鑰的數(shù)目單一密鑰密鑰是成對(duì)的密鑰種類密鑰是秘密的一個(gè)私有、一個(gè)公開密鑰管理簡單不好管理需要數(shù)字證書及可靠第三者相對(duì)速度非常快慢用途用來做大量資料的加密用來做加密小文件或?qū)π畔⒑炞值炔惶珖?yán)格

保密的應(yīng)用對(duì)稱與非對(duì)稱加密體制對(duì)比（三）散列函數(shù)散列函數(shù)是對(duì)明文進(jìn)行運(yùn)算后，可以生成一個(gè)定長的摘要（也叫信息認(rèn)證碼），明文發(fā)生改變后該摘要值變化較大，該函數(shù)是一個(gè)單向函數(shù)，計(jì)算摘要很容易，從摘要計(jì)算出明文是不可能的。其典型的算法有md-5、sha等。（四）一種組合的加密協(xié)議1．加密過程接收者公鑰隨機(jī)生成一個(gè)本次通信的會(huì)話密鑰非對(duì)稱密鑰加密算法加密后的會(huì)話密鑰密文密文摘要簽字待發(fā)明文數(shù)據(jù)對(duì)稱分組

加密散列函數(shù)生成摘要非對(duì)稱加密算法加密（簽字過程）發(fā)送者私鑰合并發(fā)送至接收者信息加密簽字過程2．解密過程接收者私鑰非對(duì)稱加密算法本次通信的會(huì)話密鑰k對(duì)稱加密算法解密非對(duì)稱加密算法解密后的明文散列函數(shù)摘要生成摘要對(duì)比明文加密后的會(huì)話密鑰密文密文摘要簽字摘要一致信息解密驗(yàn)證過程二、認(rèn)證技術(shù)（一）數(shù)字摘要數(shù)字摘要也稱安全hash（散列）編碼法（sha，securehashalgorithm），由ronrivest設(shè)計(jì)。該編碼法采用單向hash函數(shù)將需加密的明文“摘要”成一串128bit的密文，這一串密文也稱為數(shù)字指紋，它有固定的長度，且不同的明文摘要成密文，其結(jié)果是不同的，而同樣的明文其摘要必定一致。這樣，這串摘要便可成為驗(yàn)證明文是否“真身”的“指紋”了。數(shù)字摘要的應(yīng)用使交易文件的完整性（不可修改性）得以保證。（二）數(shù)字信封數(shù)字信封是用加密技術(shù)來保證只有規(guī)定的特定收信人才能閱讀信的內(nèi)容。在數(shù)字信封中，信息發(fā)送方采用對(duì)稱密鑰來加密信息，然后將此對(duì)稱密鑰用接收方的公開密鑰來加密（這部分稱為數(shù)字信封）之后，將它和信息一起發(fā)送給接收方，接收方先用相應(yīng)的私有密鑰打開數(shù)字信封，得到對(duì)稱密鑰，然后使用對(duì)稱密鑰解開信息。（三）數(shù)字簽名把hash函數(shù)和公鑰算法結(jié)合起來，可以在提供數(shù)據(jù)完整性的同時(shí)，也可以保證數(shù)據(jù)的真實(shí)性。完整性保證傳輸?shù)臄?shù)據(jù)沒有被修改，而真實(shí)性則保證是由確定的合法者產(chǎn)生的hash，而不是由其他人假冒。信息摘要數(shù)字簽名發(fā)送方數(shù)字簽名摘要摘要信息信息被確認(rèn)接受方sha加密privatekey加密發(fā)送publickey解密sha加密若一致比較

二者數(shù)字簽名原理（1）被發(fā)送文件用安全hash編碼法sha編碼加密產(chǎn)生128bit的數(shù)字摘要；（2）發(fā)送方用自己的私有密鑰對(duì)摘要再加密，這就形成了數(shù)字簽名；（3）將原文和加密的摘要同時(shí)傳給對(duì)方；（4）對(duì)方用發(fā)送方的公共密鑰對(duì)摘要解密，同時(shí)對(duì)收到的文件用sha編碼加密產(chǎn)生又一摘要；（5）將解密后的摘要和收到的文件在接收方重新加密產(chǎn)生的摘要相互對(duì)比，如兩者一致，則說明傳送過程中信息沒有被破壞或篡改過。否則不然。數(shù)字簽名相對(duì)于手寫簽名在安全性方面具有如下好處：數(shù)字簽名不僅與簽名者的私用密鑰有關(guān)，而且與報(bào)文的內(nèi)容有關(guān)，因此不能將簽名者對(duì)一份報(bào)文的簽名復(fù)制到另一份報(bào)文上，同時(shí)也能防止篡改報(bào)文的內(nèi)容。（四）數(shù)字時(shí)間戳（digitaltime-stampservice）數(shù)字時(shí)間戳服務(wù)是網(wǎng)上安全服務(wù)項(xiàng)目，由專門的機(jī)構(gòu)提供。時(shí)間戳是一個(gè)經(jīng)加密后形成的憑證文檔，包括3個(gè)部分：一是需加時(shí)間戳的文件的摘要；二是dts收到文件的日期和時(shí)間；三是dts的數(shù)字簽名。數(shù)字時(shí)間戳的產(chǎn)生過程為：用戶首先將需要加時(shí)間戳的文件用hash編碼加密形成摘要，然后將該摘要發(fā)送到dts，dts在加入了收到文件摘要的日期和時(shí)間信息后，再對(duì)該文件加密（數(shù)字簽名），然后送回用戶。（五）數(shù)字證書1．?dāng)?shù)字證書的概念數(shù)字證書是網(wǎng)絡(luò)通信中標(biāo)志通信各方身份信息的一系列數(shù)據(jù)，其作用類似于現(xiàn)實(shí)生活中的身份證，由權(quán)威機(jī)構(gòu)頒發(fā)。數(shù)字證書的格式一般采用x.509國際標(biāo)準(zhǔn)。一個(gè)標(biāo)準(zhǔn)的x.509數(shù)字證書包含以下內(nèi)容：證書的版本信息、證書的序列號(hào)、證書所使用的簽名算法、證書的發(fā)行機(jī)構(gòu)名稱、證書的有效期、證書所有人的名稱、證書所有人的公開密鑰、證書發(fā)行者對(duì)證書的簽名。數(shù)字證書是用來唯一確認(rèn)安全電子商務(wù)交易雙方身份的工具。2．?dāng)?shù)字證書類型1）個(gè)人身份證書是符合x.509標(biāo)準(zhǔn)的數(shù)字安全證書，證書中包含個(gè)人身份信息和個(gè)人的公鑰，用于標(biāo)識(shí)證書持有人的個(gè)人身份。3）服務(wù)器身份證書符合x.509標(biāo)準(zhǔn)的數(shù)字安全證書，證書中包含服務(wù)器信息和服務(wù)器的公鑰，用于標(biāo)識(shí)證書持有服務(wù)器的身份。2）企業(yè)身份證書符合x.509標(biāo)準(zhǔn)的數(shù)字安全證書，證書中包含企業(yè)信息和企業(yè)的公鑰，用于標(biāo)識(shí)證書持有企業(yè)的身份。4）企業(yè)代碼簽名證書netscape版企業(yè)代碼證書代表軟件開發(fā)者身份，用于對(duì)其開發(fā)的軟件進(jìn)行數(shù)字簽名力。數(shù)字證書類型三、認(rèn)證中心（一）認(rèn)證中心的概念認(rèn)證中心（ca，certificateauthority）就是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。（二）認(rèn)證中心的職能證書的頒發(fā)認(rèn)證中心接收、驗(yàn)證用戶的數(shù)字證書的申請(qǐng)，將申請(qǐng)的內(nèi)容進(jìn)行備案，并根據(jù)申請(qǐng)的內(nèi)容確定是否受理該數(shù)字證書申請(qǐng)。證書的更新認(rèn)證中心可以定期更新所有用戶的證書，或者根據(jù)用戶的請(qǐng)求更新用戶的證書。證書的查詢一是證書申請(qǐng)的查詢；二是用戶證書的查詢。證書的作廢當(dāng)用戶的私鑰由于泄密等原因造成用戶證書需要申請(qǐng)作廢時(shí)，用戶需要向認(rèn)證中心提出證書作廢的請(qǐng)求，認(rèn)證中心根據(jù)用戶的請(qǐng)求確定是否將該證書作廢。證書的歸檔認(rèn)證中心應(yīng)當(dāng)具備作廢證書和作廢私鑰的功能。（三）認(rèn)證的分級(jí)體系ca證書是通過信任分級(jí)體系來驗(yàn)證的，每一種證書與簽發(fā)它的單位相聯(lián)系，沿著該信任樹直到一個(gè)公認(rèn)可信賴的組織，就可以確定證書的有效性。信任樹“根”的公開密鑰對(duì)所有ca軟件來說都是已知的，因而可以按次序地檢驗(yàn)每一個(gè)證書。根認(rèn)證（rootca）品牌認(rèn)證（brandca）區(qū)域性證（get-politicalca）持卡人認(rèn)證（cardholderca）商戶認(rèn)證（merchantca）支付網(wǎng)關(guān)認(rèn)證（paymentgatewayca）持卡人商戶支付網(wǎng)關(guān)ca證書信任分級(jí)體系單擊此處添加文字內(nèi)容1電子商務(wù)安全面臨的問題、要素及內(nèi)容單擊此處添加文字內(nèi)容2計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)3電子商務(wù)交易安全技術(shù)4電子商務(wù)安全交易協(xié)議一、安全套接層協(xié)議（一）安全套接層協(xié)議概述ssl協(xié)議分為兩層：ssl握手協(xié)議和ssl記錄協(xié)議。https、ftps、telnets、imaps等ssl握手協(xié)議ssl記錄協(xié)議tcp傳輸控制協(xié)議ipinternet協(xié)議ssl協(xié)議與tcp/ip之間的關(guān)系ssl協(xié)議提供的安全連接具有以下3個(gè)特點(diǎn)：（1）連接是保密的，對(duì)于每個(gè)連接都有一個(gè)唯一的會(huì)話密鑰，采用對(duì)稱密鑰密碼體制來加密數(shù)據(jù)（如des、rc4）；（2）連接是可靠的，消息的傳播采用消息驗(yàn)證算法進(jìn)行完整性檢驗(yàn)（md5、sha）；（3）對(duì)端實(shí)體的鑒別采用非對(duì)稱密碼體制（如rsa）進(jìn)行認(rèn)證。（二）ssl握手協(xié)議1．握手協(xié)議的功能（1）在客戶端驗(yàn)證服務(wù)器，ssl協(xié)議采用公鑰方式進(jìn)行身份認(rèn)證；（2）在服務(wù)器端驗(yàn)證客戶；（3）客戶端和服務(wù)器之間協(xié)商雙方都支持的加密算法和壓縮算法，可選用的加密算法包括：idea、rc4、des、3des、rsa、dss、diffe_hellman、fortezza、md5、sha等；（4）產(chǎn)生對(duì)稱加密算法的會(huì)話密鑰；（5）建立加密ssl連接。2．握手過程ssl采用了公開密鑰和專有密鑰兩種密鑰，在建立連接過程中采用公開密鑰；在會(huì)話過程中使用專有密鑰。加密的類型和強(qiáng)度則在兩端之間建立連接的過程中判斷決定?？蛻羯碳毅y行ssl的工作流程ssl的工作流程經(jīng)歷了以下幾個(gè)階段：（1）建立連接階段：客戶通過網(wǎng)絡(luò)向服務(wù)商打招呼，服務(wù)商回應(yīng)；（2）交換密碼階段：客戶與服務(wù)商之間交換雙方認(rèn)可的密碼；（3）會(huì)談密碼階段：客戶與服務(wù)商之間產(chǎn)生彼此交談的會(huì)談密碼；（4）檢驗(yàn)階段：檢驗(yàn)服務(wù)商取得的密碼；（5）客戶認(rèn)證階段：驗(yàn)證客戶的可信度；（6）結(jié)束階段：客戶與服務(wù)商之間相互交換結(jié)束信息。（三）ssl記錄協(xié)議ssl記錄協(xié)議從高層接收到數(shù)據(jù)后經(jīng)過分段、壓縮和加密處理，最后由傳輸層發(fā)送出去。在ssl協(xié)議中，所有的傳輸數(shù)據(jù)都被封裝在記錄中。每個(gè)ssl記錄都包含以下信息：即內(nèi)容類型、協(xié)議版本號(hào)、長度、數(shù)據(jù)有效載荷和信息驗(yàn)證碼。二、安全電子交易協(xié)議（一）安全電子交易協(xié)議概述安全電子交易是一個(gè)通過開放網(wǎng)絡(luò)進(jìn)行安全資金支付的技術(shù)標(biāo)準(zhǔn)，由visa和masterc