第8章-電子商務安全技術課件

謝謝觀賞第8章電子商務安全技術案例引入1電子商務安全概述2電子商務安全體系3電子商務安全技術4電子商務安全應用51謝謝觀賞2019-9-14案例導入淘寶網(wǎng)1元“錯價門”事件電子商務安全不容忽視

中國IDC評述網(wǎng)2009年09月14日報道：互聯(lián)網(wǎng)上從來不乏標價1元的商品。近日，淘寶網(wǎng)上大量商品標價1元，引發(fā)網(wǎng)民爭先恐后哄搶，但是之后許多訂單被淘寶網(wǎng)取消。隨后，淘寶網(wǎng)發(fā)布公告稱，此次事件為第三方軟件“團購寶”交易異常所致。部分網(wǎng)民和商戶詢問“團購寶”客服得到自動回復稱：“服務器可能被攻擊，已聯(lián)系技術緊急處理?！边@起“錯價門”事件發(fā)生至今已有兩周，導致“錯價門”的真實原因依然是個謎，但與此同時，這一事件暴露出來的電子商務安全問題不容小覷。資料來源:作者略有刪減28.1電子商務安全概況

8.1.1電子商務安全概念與特點1.電子商務安全的定義電子商務安全從整體上可分為兩大部分：計算機網(wǎng)絡安全和商務交易安全。2019-9-14計算機網(wǎng)路安全電子商務安全商務交易安全包括計算機的網(wǎng)絡設備安全、計算機網(wǎng)絡系統(tǒng)安全、數(shù)據(jù)庫安全主要保證電子商務的保密性、完整性、可鑒別性、不可偽造性和不可抵賴性3謝謝觀賞謝謝觀賞2019-9-14案例導入

2.電子商務安全特點電子商務安全是一個系統(tǒng)概念電子商務安全是相對的電子商務安全是有代價的電子商務安全是發(fā)展的、動態(tài)的4謝謝觀賞2019-9-14案例導入1．對客戶機的安全威脅1動態(tài)網(wǎng)頁內容2相關技術或機制

動態(tài)網(wǎng)頁有多種形式，最著名的動態(tài)網(wǎng)頁形式包括JavaScript和VBScript、JavaApplet和ActiveX控件等1）cookies2）郵件通訊簿3)信息隱蔽52．對通信信道的安全威脅

(1）搭線竊聽（2）IP欺騙（3）IP源端路由選擇（4）目標掃描謝謝觀賞2019-9-1463．對服務器的安全威脅謝謝觀賞2019-9-14（1）WWW服務器（2）數(shù)據(jù)庫服務器（3）CGI（4）ASP（5）郵件炸彈（6）溢出攻擊（7）口令破譯78.1.3電子商務安全要素謝謝觀賞2019-9-14保密性完整性認證性不可抵賴性不可拒絕性訪問控制性電子商務安全核心8謝謝觀賞2019-9-141．保密性商務數(shù)據(jù)的保密性（Confidentiality）是指信息在網(wǎng)絡上傳輸或存儲的過程中不被他人竊取、不被泄露給未經(jīng)授權的人或組織，或者經(jīng)過加密偽裝后，使未經(jīng)授權者無法了解其內容。2．完整性

商務數(shù)據(jù)的完整性（Integrity）是指保護數(shù)據(jù)的一致性，防止數(shù)據(jù)被未授權者修改、建立、嵌入、刪除、重復發(fā)送或由于其他原因使原始數(shù)據(jù)被更改。9謝謝觀賞2019-9-143．認證性

商務對象的認證性(Authentication)或稱真實性是指網(wǎng)絡兩端的使用者在通信之前相互確認對方的身份，保證交易方確實存在，而并非有人假冒。4．不可否認性商務服務的不可否認性(Non-repudiation)或稱不可抵賴性是指信息的發(fā)送方不能否認已發(fā)送的信息，接收方不能否認已收到的信息，這是一種法律有效性要求。105．不可拒絕性商務服務的不可拒絕性(Denialofservice)或稱可靠性是指保證授權用戶在正常訪問信息和資源時不被拒絕，即為用戶提供穩(wěn)定可靠的服務。

6．訪問控制性

訪問控制性(Accesscontrol)或稱可控性規(guī)定了主體訪問客體的操作權力限制，以及限制進入物理區(qū)域(出入控制)和限制使用計算機系統(tǒng)和計算機存儲數(shù)據(jù)的過程(存取控制)。包括人員限制、數(shù)據(jù)標識、權限控制、控制類型和風險分析等。謝謝觀賞2019-9-14118.2.1電子商務安全框架

一個安全的電子商務系統(tǒng)應構建以策略為指導、技術為基礎、管理為核心的安全框架。在安全策略指導下，建立統(tǒng)一的安全管理平臺，提供全面的安全服務，形成一個互為協(xié)作的統(tǒng)一體，使整個系統(tǒng)覆蓋從物理通信到網(wǎng)絡、系統(tǒng)平臺直至數(shù)據(jù)和應用平臺的各個層面的安全需求，從而形成完整的電子商務安全框架。謝謝觀賞2019-9-14121.安全策略可采用的安全策略一般有:(1)物理結構:同因特網(wǎng)物理隔離，同內部局域網(wǎng)邏輯隔離。(2)敏感信息:鏈路加密、文件加密傳輸、重要數(shù)據(jù)加密存儲。(3)安全認證:建立PKI/CA系統(tǒng)和授權管理。(4)適度安全防護:從技術安全中選擇適當防護措施。(5)安全管理與審計:加強安全審計，建立統(tǒng)一的安全管理平臺。謝謝觀賞2019-9-14132.安全框架(1）物理與線路傳輸安全框架(2)網(wǎng)絡安全防御框架(3)主機與系統(tǒng)安全框架(4)數(shù)據(jù)與應用安全框架(5)統(tǒng)一安全管理框架謝謝觀賞2019-9-1414謝謝觀賞2019-9-148.2.2電子商務安全體系結構電子商務安全框架是保證電子商務中數(shù)據(jù)安全的,一個完整的邏輯結構，由五個部分組成158.2.3電子商務安全基礎環(huán)境

電子商務安全基礎環(huán)境是指從整體電子商務系統(tǒng)或網(wǎng)絡支付系統(tǒng)的角度進行安全防護，它與網(wǎng)絡系統(tǒng)硬件平臺、操作系統(tǒng)、各種應用軟件等互相關聯(lián)，包括的內容有：1.行政管理(1)核心設備的密碼由雙人管理。核心設備如服務器、存儲器、交換機、路由器等。(2)對用戶的注冊、退網(wǎng)、用網(wǎng)等有嚴格的管理規(guī)章制度。(3)對數(shù)據(jù)交換中心核心信息的增加、刪除和備份要嚴格實行登記制度。(4)對系統(tǒng)的運行要有監(jiān)控和應急處理措施，特別是門戶網(wǎng)站的24小時監(jiān)控、預警和快速恢復。(5)網(wǎng)絡中心機房的屏蔽技術，要經(jīng)當?shù)乇Ｃ懿块T測試和認可。(6)網(wǎng)絡中心機房的雙路供電和不間斷電源條件應滿足實際需要。謝謝觀賞2019-9-14162.基于網(wǎng)絡設施的基本安全防御系統(tǒng)網(wǎng)絡設施的基本安全防御包括防火墻、入侵檢測、防病毒、脆弱性掃描、防WEB篡改、鏈路加密、安全審計和入網(wǎng)認證等。(1)防火墻(2)入侵檢測系統(tǒng)(IDS)(3)病毒防護(4)漏洞掃描(5)物理隔離(6)鏈路加密和VPN(7)入網(wǎng)認證與審計謝謝觀賞2019-9-14173.基于PKI的CA安全認證包括電子身份認證、授權、密碼管理、密鑰管理、可信任時間戳管理等。建立認證授權中心，對公眾網(wǎng)絡用戶實行安全證書發(fā)放、入網(wǎng)認證、授權服務和管理。4.數(shù)據(jù)加密數(shù)字加密是利用數(shù)學算法將明文轉變?yōu)椴豢赡芾斫獾拿芪暮头催^來將密文轉變?yōu)榭衫斫庑问降拿魑牡姆椒?、手段和理論的一門科學。對基礎數(shù)據(jù)和核心數(shù)據(jù)實行加密處理，當用戶欲訪問數(shù)據(jù)庫時除了入網(wǎng)認證、服務器權限管理、磁盤目錄屬性管理和文件讀/寫權限管理之外，對數(shù)據(jù)庫的記錄、記錄字段增加讀、改、寫權限并進行加密處理，無權讀(或寫)的用戶不能看到數(shù)據(jù)庫中任何數(shù)據(jù)，即使數(shù)據(jù)被竊也無泄密之險。謝謝觀賞2019-9-14185.容災備份容災備份中心的主要功能：定期備份數(shù)據(jù)交換中心的數(shù)據(jù)；在災難性故障發(fā)生的時候臨時提供服務。

容災備份中心的主要設備包括:服務器、交換機、路由器和大容量光盤存儲器。6.統(tǒng)一安全管理多數(shù)的電子商務系統(tǒng)涉及大量的網(wǎng)絡設備、主機設備、安全設備以及其他設施和人員，對安全的要求較高，造成管理的復雜度很高。某些分散的管理降低了管理的效率和效果。所以需要建立一個統(tǒng)一的安全管理平臺，對整個網(wǎng)絡進行統(tǒng)一的安全管理。謝謝觀賞2019-9-14198.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14208.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14218.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14228.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14238.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14248.3電子商務安全技術8.3.1密碼技術

加密技術是保證電子商務安全的重要手段，是信息安全的核心技術。它主要包括加密、簽名認證和密鑰管理三大技術。

1.加密技術加密技術是保證電子商務安全的重要手段。所謂加密就是使用數(shù)學方法來重新組織數(shù)據(jù)，使得除了合法的接收者外，任何其他人要想恢復原先的“報文”或讀懂變化后的“報文”是非常困難的。

許多密碼算法現(xiàn)已成為網(wǎng)絡安全和商務信息安全的基礎。謝謝觀賞2019-9-14258.3.2網(wǎng)絡安全技術網(wǎng)絡安全是電子商務安全的基礎，一個完整的電子商務系統(tǒng)應建立在安全的網(wǎng)絡基礎設施之上。網(wǎng)絡安全所涉及到操作系統(tǒng)安全、防火墻技術、VPN(VirtualPagerNetWork；虛擬專用網(wǎng))技術和各種反黑客技術和漏洞檢測技術等。防火墻是建立在通信技術和信息安全技術之上，它用于在網(wǎng)絡之間建立一個安全屏障，根據(jù)指定的策略對網(wǎng)絡數(shù)據(jù)進行過濾、分析和審計，并對各種攻擊提供有效的防范。主要用于Internet接入和專用網(wǎng)與公用網(wǎng)之間的安全連接。謝謝觀賞2019-9-1426謝謝觀賞2019-9-141.防火墻體系結構防火墻結構主要包括安全操作系統(tǒng)、過濾器、網(wǎng)關、域名服務和E-MAIL處理五個部分。27謝謝觀賞2019-9-14（１）屏蔽路由器防火墻28謝謝觀賞2019-9-14（２）屏蔽主機網(wǎng)關防火墻29謝謝觀賞2019-9-14（３）雙宿主機網(wǎng)關防火墻30謝謝觀賞2019-9-14（4）屏蔽子網(wǎng)防火墻31謝謝觀賞2019-9-14（5）安全服務器網(wǎng)絡防火墻32VPN也是一項保證網(wǎng)絡安全的技術之一，它是指在公共網(wǎng)絡中建立一個專用網(wǎng)絡，數(shù)據(jù)通過建立好的虛擬安全通道在公共網(wǎng)絡中傳播。企業(yè)只需要租用本地的數(shù)據(jù)專線，連接上本地的公眾信息網(wǎng)，就可以和其各地的分支機構就可以在互相之間安全傳遞信息。

使用VPN有節(jié)省成本、提供遠程訪問、擴展性強、便于管理和實現(xiàn)全面控制等好處，是目前和今后企業(yè)網(wǎng)絡發(fā)展的趨勢。謝謝觀賞2019-9-14338.3.3安全協(xié)議安全協(xié)議是許多分布式系統(tǒng)安全的基礎，是電子商務系統(tǒng)運行的安全通信標準。1.電子支付協(xié)議電子支付協(xié)議是指在電子交易過程中實現(xiàn)交易各方支付信息正確、安全、保密地進行網(wǎng)絡通信的規(guī)范和約定。目前在電子支付中常用的安全協(xié)議有：安全套接層協(xié)議（SecureSocketsLayer，SSL）和安全電子交易協(xié)議（SecureElectronicTransaction，SET）。SET協(xié)議是以銀行卡為基礎進行的在線交易安全標準，為交易涉及的各方之間提供安全的通信信道服務；通過采用公鑰密碼體制和X.509數(shù)字證書標準信任服務；提供交易各方信息的機密性服務。謝謝觀賞2019-9-14342.安全HTTP(S-HTTP)超文本傳輸協(xié)議超文本傳輸協(xié)議(HTTP-Hypertexttransferprotocol)是一種詳細規(guī)定了瀏覽器和萬維網(wǎng)服務器之間互相通信的規(guī)則，按照特定的方式，瀏覽器與服務器傳送相關數(shù)據(jù)。3.安全電子郵件協(xié)議安全電子郵件協(xié)議(如PEM、S/MIME等)是指通過網(wǎng)絡發(fā)送信件通信的規(guī)范和約定。S/MIME安全多媒體Internet郵件擴展協(xié)議，主要用于保障電子郵件的安全傳輸。例如：微軟的outlookexpress中使用該協(xié)議，采用數(shù)字標識、數(shù)字憑證、數(shù)字簽名以及非對稱密鑰系統(tǒng)等技術，構成一種簽名加密的郵件收發(fā)方式。謝謝觀賞2019-9-14358.3.4PKI技術PKI(PublicKeyInfrastructure)是利用公鑰算法原理和技術為網(wǎng)上通信提供通用安全服務的基礎設施。它為電子商務、電子政務、網(wǎng)上銀行證券等提供一整套安全基礎平臺。PKI采用證書管理公鑰，通過第三方的可信機構CA，把用戶的公鑰和用戶的其他標識信息捆綁在一起，在Internet網(wǎng)上驗證用戶的身份，PKI把公鑰密碼和對稱密碼結合起來，在Internet網(wǎng)上實現(xiàn)密鑰的自動管理，保證網(wǎng)上數(shù)據(jù)的機密性、完整性。PKI的核心元素是數(shù)字證書，核心執(zhí)行者是認證機構。數(shù)字證書服務的應用和實施是廣泛開展電子商務的前提，電子商務的深入開展離不開數(shù)字證書技術和認證機構的正確督導。謝謝觀賞2019-9-14368.4電子商務安全應用8.4.1網(wǎng)絡層安全服務網(wǎng)絡層的安全服務主要保障安全的通訊服務。一般使用IPSec(SecurityArchitectureforIPnetwork)方案，IPSec可以使一個系統(tǒng)選擇需要的安全協(xié)議，確定服務使用的算法，并在適當?shù)奈恢梅胖盟埱蠓账枰娜我饧用苊荑€，從而在IP層提供安全服務，防止竊聽、篡改、偽造、拒絕服務攻擊等。謝謝觀賞2019-9-14378.4.2傳輸層的安全服務傳輸層的安全服務主要保障客戶端和服務器之間的安全通訊，提供保密性和數(shù)據(jù)完整性。一般使用SSL/TLS(TransportLayerSecurity)方案。SSL是在客戶和商家通信之前，在Internet上建立的一個秘密傳輸信息的信道，提供加密、認證服務和報文的完整性驗證。

安全傳輸層協(xié)議（TLS）用于在兩個通信應用程序之間提供保密性和數(shù)據(jù)完整性。用于在兩個通信應用程序之間提供保密性和數(shù)據(jù)完整性SSL：（SecureSocketLayer