第3章電子商務(wù)安全技術(shù)

第三章電子商務(wù)安全技術(shù)2016年3月，中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心發(fā)布的《2015年中國(guó)網(wǎng)民網(wǎng)絡(luò)信息安全狀況調(diào)查報(bào)告》：2015年我國(guó)70%網(wǎng)民曾遭遇過網(wǎng)絡(luò)安全事件；超過九成網(wǎng)民均碰到過網(wǎng)絡(luò)釣魚網(wǎng)站，77.5%是因?yàn)樵诰W(wǎng)絡(luò)下載或?yàn)g覽時(shí)遭遇病毒或木馬的攻擊。黑客產(chǎn)業(yè)的攻擊重心從2011年起逐漸轉(zhuǎn)向社交和網(wǎng)購應(yīng)用。其中，聊天、交友、微博等社交網(wǎng)絡(luò)的好友列表成為木馬和釣魚網(wǎng)站的主力傳播通道。2015年，釣魚網(wǎng)站、木馬等威脅已經(jīng)給網(wǎng)絡(luò)購物用戶造成超過200億元的損失電子商務(wù)安全現(xiàn)狀網(wǎng)絡(luò)安全主要威脅1.詐騙短信鏈接2.惡意軟件泛濫3.日益詭詐的釣魚網(wǎng)站4.即時(shí)通訊成為主要攻擊對(duì)象5.網(wǎng)上銀行攻擊頻繁6.騷擾電話釣魚網(wǎng)站釣魚網(wǎng)站是一種網(wǎng)絡(luò)欺詐行為，指不法分子利用各種手段，仿冒真實(shí)網(wǎng)站的網(wǎng)址以及頁面內(nèi)容，或者利用真實(shí)網(wǎng)站服務(wù)器程序上的漏洞在站點(diǎn)的某些網(wǎng)頁中插入危險(xiǎn)的網(wǎng)頁代碼，以此來騙取用戶銀行或信用卡賬號(hào)、密碼等私人資料。特點(diǎn)：1、成本低：制作一個(gè)釣魚網(wǎng)站成本只有幾十元，域名也大多可以免費(fèi)申請(qǐng)2、周期短：3-5天，被識(shí)破后，又將網(wǎng)頁內(nèi)容切換到另一域名3、高偽裝性4、病毒式推廣：釣魚網(wǎng)站制作者和病毒、木馬以及流氓軟件的傳播者相互勾結(jié)，通過病毒、木馬、流氓軟件來彈出釣魚網(wǎng)站的廣告，針對(duì)特定目標(biāo)的釣魚網(wǎng)站會(huì)通過一些聊天工具、貼吧、論壇或網(wǎng)絡(luò)游戲內(nèi)置的聊天頻道來推廣。

現(xiàn)階段手機(jī)使用過程中常遇到的安全問題1、假銀行短信鏈接2、假公安局電話3、短信詐騙鏈接4、釣魚網(wǎng)站5、QQ詐騙鏈接6、QQ、微信被盜號(hào)假借朋友名義發(fā)來的騙錢7、上網(wǎng)過程中的惡意鏈接8、手機(jī)木馬9、銀行卡被復(fù)制電子商務(wù)系統(tǒng)安全1、計(jì)算機(jī)網(wǎng)絡(luò)安全2、電子商務(wù)交易安全計(jì)算機(jī)網(wǎng)絡(luò)安全是基礎(chǔ)，電子商務(wù)交易安全是目標(biāo)，只有在計(jì)算機(jī)網(wǎng)絡(luò)安全的前提下，電子商務(wù)交易安全才有可能。電子商務(wù)系統(tǒng)安全技術(shù)電子商務(wù)系統(tǒng)安全技術(shù)交易安全技術(shù)加密技術(shù)認(rèn)證技術(shù)安全協(xié)議安全管理體系網(wǎng)絡(luò)安全技術(shù)病毒防范技術(shù)防火墻技術(shù)

VAN（虛擬專用網(wǎng)技術(shù)）網(wǎng)絡(luò)入侵檢測(cè)安全監(jiān)控網(wǎng)絡(luò)掃描法律、法規(guī)、政策保密性認(rèn)證性完整性不可抵賴性有效性訪問控制性電子商務(wù)系統(tǒng)安全需求1、信息的保密性（信息的部分或全部竊?。?、信息的完整性（發(fā)送方發(fā)送的信息和接收方收到的信息是完全一樣的）電子商務(wù)系統(tǒng)安全交易的需求3、身份的認(rèn)證性（偽造身份）4、不可否認(rèn)性(發(fā)送方發(fā)送了信息否認(rèn)接收方收到了信息抵賴）5、信息的可靠性（信息中斷、非法訪問）電子商務(wù)網(wǎng)絡(luò)安全威脅1、物理實(shí)體的安全問題2、自然災(zāi)害、意外事故3、黑客的惡意攻擊4、軟件的漏洞和“后門”5、網(wǎng)絡(luò)協(xié)議的安全漏洞6、計(jì)算機(jī)病毒的攻擊操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、防火墻、各種應(yīng)用軟件等的漏洞和“后門”HTTP、FTP|、IP、UDP等大多數(shù)協(xié)議都存在漏洞信息的有效性訪問的可控性電子商務(wù)系統(tǒng)安全1、計(jì)算機(jī)網(wǎng)絡(luò)安全計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備安全、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全、數(shù)據(jù)庫安全、應(yīng)用軟件安全等。2、電子商務(wù)交易安全計(jì)算機(jī)網(wǎng)絡(luò)安全與商務(wù)交易安全實(shí)際上是密不可分的，兩者相輔相成，缺一不可加密的概念用基于數(shù)學(xué)算法的程序和保密的密鑰對(duì)信息進(jìn)行編碼，生成難以理解的字符串。加密技術(shù)的相關(guān)概念

明文：加密前的數(shù)據(jù)稱為明文，用M表示。密文：加密后的數(shù)據(jù)稱為密文，用C表示。

加密：把明文M經(jīng)過加密算法E和加密密鑰Ke

的計(jì)算后得到密文C的過程稱為加密

解密：把密文C經(jīng)過解密算法D和解密密鑰Kd

的計(jì)算后得到明文M的過程稱為解密

信息加密技術(shù)信息加密系統(tǒng)模型

加密方法的分類

●對(duì)稱加密（私鑰加密）●非對(duì)稱加密(公鑰加密)古代對(duì)稱加密：

愷撒密碼（移位加密算法）對(duì)于任意密鑰k將明文的每個(gè)字母循環(huán)后移k位得到密文，例如：設(shè)k=3明文：securemessage

密文：古代對(duì)稱加密：詞組密鑰密碼密鑰為２６字母的詞組，置換規(guī)則為：

abcdefghijklmnopqrstuvwxyzk=fivestarbcdghjklmnopquwxzy明文：securemessage密文：對(duì)稱加密（私鑰加密）：Ke=Kd優(yōu)點(diǎn)對(duì)信息編碼和解碼的速度快，效率高。

缺點(diǎn)如何將密鑰安全地送給接收方密文和密鑰的傳送通常需采用不同的渠道如何對(duì)數(shù)量龐大的密鑰進(jìn)行分發(fā)、傳輸和存儲(chǔ)。

加密的安全性主要取決于密鑰的長(zhǎng)度。常用的現(xiàn)代對(duì)稱加密算法：DES算法

DES加密算法是由IBM公司在1970年研制的，1977年1月15日由美國(guó)國(guó)家標(biāo)準(zhǔn)局和美國(guó)國(guó)家標(biāo)準(zhǔn)協(xié)會(huì)對(duì)外宣布，作為非機(jī)密機(jī)構(gòu)（軍事機(jī)構(gòu)）的加密標(biāo)準(zhǔn)，用于絕大多數(shù)非絕密數(shù)據(jù)的加密。是典型的對(duì)稱加密算法DES算法在ATM、磁卡及智能卡、加油站、高速公路收費(fèi)站等領(lǐng)域被廣泛應(yīng)用。現(xiàn)代加密算法：公鑰加密體制又稱非對(duì)稱加密或雙鑰加密，它的概念是由美國(guó)Stanford大學(xué)的Diffie與ellman于1976年提出的。公鑰技術(shù)是二十世紀(jì)最偉大的思想之一改變了密鑰分發(fā)的方式可以廣泛用于數(shù)字簽名和身份認(rèn)證服務(wù)公鑰加密體制每個(gè)用戶都擁有一對(duì)密鑰：公開密鑰和私有密鑰。公開密鑰是公開信息，而私有密鑰是保密的，需要由用戶自己保密。如某企業(yè)的一對(duì)密鑰：

公開密鑰：ddrtiogkd315ssfg

私有密鑰：aq54677gfkgffghh公鑰加密體制

公開密鑰體制特點(diǎn)：1、沒有任何兩個(gè)私有或公開密鑰是相同的；2、一個(gè)信息如果用A的私有密鑰加密，只能用A的公開密鑰才能解密；如果一個(gè)信息用A的公開密鑰加密，則只能用A的私有密鑰才能解密。3、已知公開密鑰，不可能推算出私有密鑰。4、公開密鑰就象個(gè)人或企業(yè)名稱一樣，可以從公共機(jī)構(gòu)得知；私有密鑰必須保密，否則后果自負(fù)。5、如果一個(gè)人的私有密鑰泄漏，則其公開密鑰也作廢．電子交易中公鑰加密應(yīng)用實(shí)例A）用接收方公鑰加密信息保密信息如：銀行有很多客戶，每個(gè)客戶都用銀行的公鑰加密，而銀行則用私有密鑰解密。電子交易中公鑰加密應(yīng)用實(shí)例B）用自己的私鑰加密信息使發(fā)送者無法抵賴電子交易中公鑰加密應(yīng)用實(shí)例非對(duì)稱密鑰系統(tǒng)（公鑰加密）：Ke<>Kd優(yōu)點(diǎn)N個(gè)人彼此之間傳輸保密信息只需N對(duì)密鑰，而且由于公鑰是公開的，所以公鑰的發(fā)布也不成問題。缺點(diǎn)加密和解密的速度相對(duì)慢一些常用加密算法RSA算法，基本原理：基于數(shù)論中一個(gè)大數(shù)很難分解為兩個(gè)素?cái)?shù)之積。加密技術(shù)的應(yīng)用1、數(shù)字摘要

采用單向Hash函數(shù)對(duì)文件進(jìn)行變換運(yùn)算得到一串字符，稱為數(shù)字指紋或數(shù)字摘要。HASH算法特征：1）數(shù)字摘要是一串無意義的某個(gè)長(zhǎng)度的字符串（128、160、256、512位等）。2）單向性：從數(shù)字摘要推算不出原文3）唯一性：只有完全相同的兩個(gè)信息進(jìn)行單向Hash函數(shù)算法后得到的數(shù)字摘要是相同的，兩個(gè)信息只要有一點(diǎn)差異，形成的數(shù)字摘要都完全不同；4）單向Hash函數(shù)算法是一種公開的算法。數(shù)字摘要的作用：判斷信息在傳送過程中是否被修改，也即信息的完整性二、數(shù)字信封數(shù)字信封：

信息發(fā)送方采用對(duì)稱密鑰來加密信息，然后將此對(duì)稱密鑰用接收方的公開密鑰來加密（這部分稱為數(shù)字信封）之后，將它和信息一起發(fā)送給接收方，接收方先用自已的私有密鑰打開數(shù)字信封，得到對(duì)稱密鑰，然后使用對(duì)稱密鑰解開信息。數(shù)字信封作用：信息保密、完整性

123123對(duì)稱加密

用乙方公開密鑰加密私有密鑰原文密文1對(duì)稱密碼123123密文2乙方接收密文2得到對(duì)稱加密密碼123123密文1原文用123123解密信息信息信息比較相同？不同？信息發(fā)送方信息接收方數(shù)字簽名實(shí)現(xiàn)原理作用：1、對(duì)信息發(fā)送方身份認(rèn)證，即簽名，發(fā)送方發(fā)送了信息的不可否認(rèn)性。2、確認(rèn)信息是否被修改，信息的完整性

數(shù)字時(shí)間戳技術(shù)

什么是數(shù)字時(shí)間戳（DTS）在交易文件中，時(shí)間和簽名一樣是十分重要的證明文件有效性的內(nèi)容。數(shù)字時(shí)間戳就是用來證明信息的收發(fā)時(shí)間的。它對(duì)電子文件提供發(fā)表時(shí)間的安全保護(hù)。該服務(wù)由專門的網(wǎng)絡(luò)服務(wù)機(jī)構(gòu)提供。

數(shù)字時(shí)間戳技術(shù)數(shù)字簽名CA認(rèn)證機(jī)構(gòu)CA（CertificateAuthority）：身份認(rèn)證機(jī)構(gòu)，也稱數(shù)字認(rèn)證中心，是由權(quán)威的、公正的第三方機(jī)構(gòu)來擔(dān)任，為各類用戶簽發(fā)數(shù)字證書的機(jī)構(gòu)。CA的職能證書發(fā)放

證書查詢證書更新證書撤消

知名認(rèn)證中心

①美國(guó)的Verisign公司（微軟、網(wǎng)景、工行等）②中國(guó)電信CTCA系統(tǒng)③中國(guó)金融認(rèn)證中心CFCA④上海市電子商務(wù)安全證書管理中心⑤北京數(shù)字證書認(rèn)證中心⑥廣東省電子商務(wù)認(rèn)證中心⑦中國(guó)數(shù)字認(rèn)證網(wǎng)

我國(guó)CA建設(shè)現(xiàn)狀1、缺乏統(tǒng)籌和協(xié)調(diào)，沒有建立一個(gè)全國(guó)性根CA（如美國(guó)的郵政CA），各地區(qū)都建成自己的一套CA體系2、交叉認(rèn)證的不兼容

在2005年4月1日實(shí)施的電子簽名法中明確推薦使用第三方證書，這樣就排除了商業(yè)銀行即當(dāng)運(yùn)動(dòng)員又當(dāng)裁判員時(shí)可能存在的各種風(fēng)險(xiǎn)。

數(shù)字證書，就是用電子手段來證實(shí)一個(gè)用戶的身份，由可信任的、權(quán)威的、公正的認(rèn)證機(jī)構(gòu)CA簽發(fā)的電子文件。具有信息可靠真實(shí)、防篡改的特點(diǎn)。其作用類似于現(xiàn)實(shí)生活中的身份證。證書中一般有如下幾項(xiàng)：數(shù)字證書1）證書擁有者的信息；2）證書擁有者的公開密鑰；3）辦理數(shù)字證書的單位；4）數(shù)字證書的有效期；5）證書的版本號(hào)；6）數(shù)字證書的序列號(hào)；7）簽名算法認(rèn)證機(jī)構(gòu)對(duì)數(shù)字證書的內(nèi)容進(jìn)行審查核實(shí)后，對(duì)它數(shù)字簽名見阿里巴巴數(shù)字證書數(shù)字證書類型1、個(gè)人證書（客戶證書）1）個(gè)人身份證書：2）個(gè)人電子郵件證書：3）個(gè)人網(wǎng)上銀行卡證書：數(shù)字證書類型2、企業(yè)數(shù)字證書：用于證實(shí)一個(gè)企業(yè)的真實(shí)身份，以便企業(yè)在網(wǎng)上進(jìn)行各類電子商務(wù)活動(dòng)3、設(shè)備數(shù)字證書：

1）WEB服務(wù)器證書

2）網(wǎng)關(guān)證書4、代碼簽名數(shù)字證書：用于軟件開發(fā)人員對(duì)其開發(fā)的軟件代碼進(jìn)行數(shù)字簽名，以防止軟件代碼被篡改，以防病毒或黑客數(shù)字證書的存儲(chǔ)1、硬盤2、USBKEY3、智能卡安全協(xié)議SSL協(xié)議、SET協(xié)議、網(wǎng)際郵件擴(kuò)充協(xié)議（S/MIME）安全超文本傳輸協(xié)議（S-HTTP）PGP協(xié)議等SSL協(xié)議1．安全套接層（SSL）協(xié)議由Netscape公司1994年設(shè)計(jì)開發(fā)，是國(guó)際上最早應(yīng)用于電子商務(wù)的一種安全協(xié)議,現(xiàn)在絕大部分的網(wǎng)絡(luò)服務(wù)器和瀏覽器都支持SSL協(xié)議已成為信息保密通信的工業(yè)標(biāo)準(zhǔn)SSL的優(yōu)點(diǎn)、缺點(diǎn)優(yōu)點(diǎn)：1、能確保信息在互聯(lián)上安全傳輸。2、所有瀏覽器、服務(wù)器都支持SSL，加、解密速度較快。缺點(diǎn)：1、無法保證商家不看持卡人的支付信息了，對(duì)客戶的身份認(rèn)證不是必須的2、雙方不對(duì)信息做數(shù)字簽名，不能確保不可否認(rèn)性。只適合小金額的交易。由VISA和MasterCard兩大信用卡公司于1997年5月聯(lián)合開發(fā)主要用以對(duì)信用卡支付時(shí)的安全加密具有信息保密性、完整性、不可否認(rèn)性、認(rèn)證性等特征SET已成為國(guó)際上所公認(rèn)的在Internet上使用信息卡安全支付的標(biāo)準(zhǔn)已得到IBM、HP、微軟等絕大多數(shù)公司以及絕大多數(shù)銀行的支持。安全電子交易（SET）協(xié)議SET安全協(xié)議

SET協(xié)議的特點(diǎn)保證信息的機(jī)密性保證支付信息的完整性多方認(rèn)證使用成本較高，操作較復(fù)雜，加解密時(shí)間較長(zhǎng)計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)2、VAN（虛擬專用網(wǎng)技術(shù)）3、網(wǎng)絡(luò)入侵檢測(cè)4、漏洞掃描5、防病毒技術(shù)防火墻防火墻定義：是設(shè)置在被保護(hù)網(wǎng)絡(luò)（本地網(wǎng)絡(luò)）和外界網(wǎng)絡(luò)（主要指互聯(lián)網(wǎng)）之間的軟件或硬件設(shè)備的組合，是兩個(gè)網(wǎng)絡(luò)之間的唯一通道，它對(duì)兩個(gè)網(wǎng)絡(luò)之間的通信進(jìn)行控制，通過強(qiáng)制實(shí)施統(tǒng)一的安全策略，如允許或拒絕訪問，防止對(duì)重要信息資源的非法存取和訪問，以達(dá)到保護(hù)本地網(wǎng)絡(luò)安全的目的。防火墻示例圖內(nèi)部網(wǎng)FTP服務(wù)器WWW服務(wù)器防火墻外部?jī)?nèi)部12Internet路由器防火墻防火墻示例圖可以是二層及若干層防火墻關(guān)鍵技術(shù)分組過濾型（包過濾型）代理服務(wù)器型

狀態(tài)檢測(cè)技術(shù)防火墻技術(shù)

1、分組過濾型防火墻1）主要通過路由器及包過濾器來完成對(duì)外界計(jì)算機(jī)訪問內(nèi)部網(wǎng)絡(luò)的限制2）它根據(jù)IP數(shù)據(jù)包頭源地址，目的地址、端口號(hào)、協(xié)議類型等標(biāo)志確定是否允許通過。只有滿足過濾條件的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄；也可以指定或限制內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。3）包過濾器是運(yùn)行在路由器上的一個(gè)軟件，它能阻止IP包通過路由器。大多數(shù)路由器都提供數(shù)據(jù)包過濾功能，所以這類防火墻多數(shù)是由路由器集成的；端口：信息出入的通道，如果把IP地址比為一間房子，端口則是出入房子的許多門，如TCP：21，http:80，通過不同的端口號(hào)，可以使信息快速地到達(dá)不同的服務(wù)器分組過濾型防火墻優(yōu)點(diǎn)：路由器都集成包過濾功能，費(fèi)用少，效率高缺點(diǎn)：1、安全性差：不能防止對(duì)IP地址欺騙式攻擊，而偽裝IP地址是很容易的2、不識(shí)別應(yīng)用層協(xié)議：假如內(nèi)網(wǎng)用戶提出這樣一個(gè)需求，只允許內(nèi)網(wǎng)員工訪問外網(wǎng)的網(wǎng)頁（使用HTTP協(xié)議），不允許去外網(wǎng)下載電影（一般使用FTP協(xié)議）。包過濾防火墻無能為力，因?yàn)樗徽J(rèn)識(shí)數(shù)據(jù)包中的應(yīng)用層協(xié)議（FTP、HTTP屬于應(yīng)用層協(xié)議)

3、不能記錄用戶訪問狀態(tài)信息,致使對(duì)攻擊無法追蹤應(yīng)用型防火墻應(yīng)用代理型防火墻是工作在應(yīng)用層。內(nèi)外網(wǎng)之間的信息都通過代理服務(wù)器完成，完全"阻隔"了網(wǎng)絡(luò)通信流，通過對(duì)每種應(yīng)用服務(wù)編制專門的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。2