新編電子商務(wù)概論（第3版）課件 情境九電子商務(wù)安全

電子商務(wù)安全學(xué)習(xí)內(nèi)容電子商務(wù)面臨的安全問(wèn)題安全的防范措施

網(wǎng)絡(luò)技術(shù)

加密技術(shù)

數(shù)字證書(shū)

數(shù)字時(shí)間戳

數(shù)字摘要

SET和SSL學(xué)習(xí)目標(biāo)知識(shí)目標(biāo)通過(guò)本章學(xué)習(xí)，認(rèn)識(shí)電子商務(wù)面臨的各種安全問(wèn)題；掌握數(shù)字簽名、加密技術(shù)、數(shù)字證書(shū)、防火墻、數(shù)字時(shí)間戳及SSL協(xié)議和SET協(xié)議的原理及應(yīng)用。技能目標(biāo)能夠針對(duì)電子商務(wù)安全實(shí)際問(wèn)題進(jìn)行綜合分析，對(duì)于不同的安全問(wèn)題能夠選用不同的措施進(jìn)行防范；能夠熟練使用數(shù)字簽名、加密技術(shù)、數(shù)字證書(shū)、防火墻等技術(shù)。任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題“趣店”數(shù)據(jù)遭泄露自媒體“一本財(cái)經(jīng)”發(fā)布消息稱：近期黑市上出現(xiàn)一份“趣店學(xué)生用戶數(shù)據(jù)”，該數(shù)據(jù)維度極細(xì)，除學(xué)生借款金額、滯納金等金融數(shù)據(jù)外，還包括學(xué)生父母電話、男女朋友電話、學(xué)信網(wǎng)賬號(hào)密碼等隱私信息。消息稱，泄露的數(shù)據(jù)文件格式為CSV，疑似不是黑客入侵，而是內(nèi)部人員導(dǎo)出。數(shù)據(jù)包括百萬(wàn)學(xué)生信息，叫賣(mài)價(jià)格近10萬(wàn)元。文中提到的多位“趣店”離職員工表示，早期趣店數(shù)據(jù)管理存在巨大安全隱患。針對(duì)此事，“趣店”方面在對(duì)TechWeb最新的回應(yīng)中表示：趣店一直高度重視用戶個(gè)人信息安全，不斷提高數(shù)據(jù)安全能力與信息加密強(qiáng)度；同時(shí)，在內(nèi)部建立了嚴(yán)格的用戶信息保護(hù)制度，針對(duì)可能存在信息安全風(fēng)險(xiǎn)的用戶進(jìn)行安全升級(jí)提示?！叭さ辍边€回應(yīng)稱，地下黑色產(chǎn)業(yè)是行業(yè)毒瘤，此前多家知名互聯(lián)網(wǎng)企業(yè)都曾深受其害。針對(duì)地下黑色產(chǎn)業(yè)鏈中盜取用戶賬號(hào)資產(chǎn)和販賣(mài)用戶信息等不法行為，“趣店”將與警方密切合作，建立長(zhǎng)效合作機(jī)制，進(jìn)行堅(jiān)決打擊，切實(shí)保護(hù)用戶信息安全。

引例思考:電子商務(wù)的開(kāi)展離不開(kāi)計(jì)算機(jī)網(wǎng)絡(luò)的支持，而計(jì)算機(jī)網(wǎng)絡(luò)本身存在很多不安全的因素。引例中出現(xiàn)的電子商務(wù)安全問(wèn)題對(duì)電子商務(wù)的發(fā)展有何影響？計(jì)算機(jī)網(wǎng)絡(luò)又存在哪些安全問(wèn)題呢？任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題一、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全問(wèn)題（一）黑客的惡意攻擊現(xiàn)在，“黑客”的普遍含義是特指對(duì)計(jì)算機(jī)系統(tǒng)的非法侵入者。黑客攻擊是指未授權(quán)的人利用操作系統(tǒng)和網(wǎng)絡(luò)或安全管理的漏洞，通過(guò)一定的手段從網(wǎng)絡(luò)的外部非法侵入系統(tǒng)內(nèi)部，獲取普通用戶沒(méi)有的權(quán)利，實(shí)現(xiàn)對(duì)用戶信息的篡改、竊取和非法使用。

黑客攻擊手段中斷竊聽(tīng)篡改偽造任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題

（二）漏洞和后門(mén)漏洞和后門(mén)都是相對(duì)于系統(tǒng)完整性來(lái)說(shuō)的，就像房屋一樣，有了漏洞和后門(mén)，不能保證屋內(nèi)的安全性，電子商務(wù)系統(tǒng)有漏洞和后門(mén)，也不能保證系統(tǒng)的安全性。漏洞是在硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權(quán)的情況下訪問(wèn)或破壞系統(tǒng)。計(jì)算機(jī)系統(tǒng)中后門(mén)程序一般是指那些繞過(guò)安全性控制而獲取對(duì)程序或系統(tǒng)訪問(wèn)權(quán)的程序方法。漏洞的存在，很容易導(dǎo)致黑客的侵入及病毒的駐留，會(huì)導(dǎo)致數(shù)據(jù)丟失和篡改、隱私泄露乃至金錢(qián)上的損失

例如，網(wǎng)站因漏洞被入侵，網(wǎng)站上的用戶數(shù)據(jù)可能會(huì)泄露、網(wǎng)站功能可能遭到破壞而中止，乃至服務(wù)器本身被入侵者控制。

任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題一、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊計(jì)算機(jī)病毒（ComputerVirus）在《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》中被明確定義，病毒指“編制者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者破壞數(shù)據(jù)，影響計(jì)算機(jī)使用并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼”。任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊

1.病毒的分類

按照病毒的鏈結(jié)方式源碼型病毒嵌入型病毒外殼型病毒操作系統(tǒng)型病毒任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題一、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊1.病毒的分類按照病毒的傳染方式引導(dǎo)型病毒文件型病毒復(fù)合型病毒任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題一、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊

1.病毒的分類

按照病毒的傳染破壞程度良性病毒惡性病毒按照傳播媒介單機(jī)病毒網(wǎng)絡(luò)病毒任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題癥狀具體現(xiàn)象顯示異常屏幕上出現(xiàn)不應(yīng)有的特殊字符或圖像、字符無(wú)規(guī)則變化或脫落、有靜止或滾動(dòng)的雪花、有跳動(dòng)的小球或亮點(diǎn)、有莫名其妙的信息提示等揚(yáng)聲器異常發(fā)出尖叫、蜂鳴音或非正常奏樂(lè)等系統(tǒng)異常經(jīng)常無(wú)故死機(jī)、隨機(jī)地發(fā)生重新啟動(dòng)或無(wú)法正常啟動(dòng)、運(yùn)行速度明顯下降、內(nèi)存空間變小、磁盤(pán)驅(qū)動(dòng)器及其他設(shè)備無(wú)緣無(wú)故地變成無(wú)效設(shè)備等存儲(chǔ)異常磁盤(pán)標(biāo)號(hào)被自動(dòng)改寫(xiě)，出現(xiàn)異常文件，出現(xiàn)固定的壞扇區(qū)，可用磁盤(pán)空間變小，文件無(wú)故變大、失蹤或被改亂，可執(zhí)行文件變得無(wú)法運(yùn)行等打印異常打印速度明顯降低、不能打印、不能打印漢字與圖形或打印時(shí)出現(xiàn)亂字符等與因特網(wǎng)的連接異常收到來(lái)歷不明的電子郵件、自動(dòng)鏈接到陌生的網(wǎng)站、自動(dòng)發(fā)送電子郵件等（三）計(jì)算機(jī)病毒的攻擊2．病毒的危害任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題一、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊

3．病毒的特點(diǎn)病毒的特點(diǎn)繁殖性

破壞性

傳染性

潛伏性

觸發(fā)性

任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題（三）計(jì)算機(jī)病毒的攻擊

3．病毒的預(yù)防①注意對(duì)系統(tǒng)文件、重要可執(zhí)行文件和數(shù)據(jù)進(jìn)行寫(xiě)保護(hù)。②不使用或者打開(kāi)來(lái)歷不明的程序、數(shù)據(jù)或電子郵件。③分類管理數(shù)據(jù)。④利用寫(xiě)保護(hù)。⑤使用新的計(jì)算機(jī)系統(tǒng)或軟件時(shí)，要先殺毒后使用。⑥備份系統(tǒng)和參數(shù)，建立系統(tǒng)的應(yīng)急計(jì)劃等。⑦加強(qiáng)內(nèi)部網(wǎng)絡(luò)管理人員及使用人員的安全意識(shí)，如很多計(jì)算機(jī)系統(tǒng)常用口令來(lái)控制對(duì)系統(tǒng)資源的訪問(wèn)。⑧安裝殺毒軟件并及時(shí)更新病毒庫(kù)。任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題二、電子商務(wù)面臨的交易安全問(wèn)題（一）信息安全問(wèn)題信息安全問(wèn)題信息泄密信息篡改信息仿造（二）安全管理問(wèn)題任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題安全管理問(wèn)題交易流程管理的風(fēng)險(xiǎn)人員管理的風(fēng)險(xiǎn)（二）安全管理問(wèn)題任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題安全管理問(wèn)題交易流程管理的風(fēng)險(xiǎn)人員管理的風(fēng)險(xiǎn)勒索病毒的危害

2017年5月12日晚，新型“蠕蟲(chóng)式”勒索病毒W(wǎng)annaCry在全球爆發(fā)，攻擊各國(guó)政府和公共網(wǎng)絡(luò)系統(tǒng)，使眾多學(xué)校、醫(yī)院受到嚴(yán)重侵害。我國(guó)教育網(wǎng)絡(luò)成為受害重災(zāi)區(qū)，教學(xué)系統(tǒng)大面積癱瘓。全國(guó)各地的高校學(xué)生紛紛反映，自己的計(jì)算機(jī)遭到病毒的攻擊，文檔被加密，壁紙?jiān)獾酱鄹?，并且在桌面上出現(xiàn)窗口，強(qiáng)制學(xué)生付款到攻擊者賬戶上。不過(guò)有報(bào)道稱，用戶付錢(qián)后，仍然無(wú)法解密數(shù)據(jù)。大規(guī)模的網(wǎng)絡(luò)攻擊被認(rèn)為是使用了美國(guó)國(guó)家安全局（NSA）泄露的“永恒之藍(lán)”黑客武器在全球范圍內(nèi)傳播開(kāi)來(lái)的。這個(gè)名為WannaCry的勒索病毒鎖定了包括英國(guó)、美國(guó)、中國(guó)、俄羅斯、西班牙、意大利等近100個(gè)國(guó)家的上萬(wàn)個(gè)信息服務(wù)網(wǎng)絡(luò)的計(jì)算機(jī)系統(tǒng)，并要求用戶用比特幣支付300美元。案例思考;病毒具有哪些特點(diǎn)？一旦感染將產(chǎn)生什么危害？如何發(fā)現(xiàn)和防范？任務(wù)一、

電子商務(wù)面臨的安全問(wèn)題定義有效性保證交易數(shù)據(jù)在確定的時(shí)刻、確定的地點(diǎn)是有效的。保密性保護(hù)機(jī)密信息不被非法存取以及信息在傳輸過(guò)程中不被非法竊取交易完整性防止信息在傳輸過(guò)程中丟失、重復(fù)及非法用戶對(duì)信息的惡意篡改身份確定性確保交易信息的真實(shí)性和交易雙方身份的合法性不可抵賴性保證系統(tǒng)、數(shù)據(jù)和服務(wù)能由合法人員訪問(wèn)，保證數(shù)據(jù)的合法使用不可否認(rèn)性有效防止通信或交易雙方對(duì)已進(jìn)行的業(yè)務(wù)的否認(rèn)一、電子商務(wù)安全要求情境任務(wù)二

電子商務(wù)安全防范二、電子商務(wù)安全體系

情境任務(wù)二

電子商務(wù)安全防范電子商務(wù)安全體系硬件安全

軟件安全

運(yùn)行安全

網(wǎng)絡(luò)安全技術(shù)、信息安全技術(shù)和認(rèn)證技術(shù)等來(lái)構(gòu)建一個(gè)科學(xué)、合理的電子商務(wù)安全體系。

二、電子商務(wù)安全技術(shù)情境任務(wù)二

電子商務(wù)安全防范電子商務(wù)安全技術(shù)網(wǎng)絡(luò)安全技術(shù)

信息安全技術(shù)

認(rèn)證協(xié)議二、電子商務(wù)安全技術(shù)（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)

情境任務(wù)二

電子商務(wù)安全防范防火墻的定義防火墻是一個(gè)由軟件和硬件設(shè)備組合而成，在內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)之間、專用網(wǎng)和公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障。它是一系列部件的組合，是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口。防火墻的結(jié)構(gòu)Intranet外部WWW客戶

防火墻是由軟件系統(tǒng)和硬件設(shè)備組合而成、在內(nèi)外部之間的保護(hù)系統(tǒng)。數(shù)據(jù)庫(kù)客戶機(jī)Email服務(wù)器Web服務(wù)器（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)(2)防火墻的特性內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過(guò)防火墻。只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻。防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力。(3)防火墻的功能保護(hù)那些易受攻擊的服務(wù)防止內(nèi)部信息的外泄強(qiáng)化網(wǎng)絡(luò)安全策略。對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行監(jiān)控審計(jì)情境任務(wù)二

電子商務(wù)安全防范（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)(2)防火墻的特性內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過(guò)防火墻。只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻。防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力。(3)防火墻的功能保護(hù)那些易受攻擊的服務(wù)防止內(nèi)部信息的外泄強(qiáng)化網(wǎng)絡(luò)安全策略。對(duì)網(wǎng)絡(luò)存取和訪問(wèn)進(jìn)行監(jiān)控審計(jì)情境任務(wù)二

電子商務(wù)安全防范（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)（4）防火墻的局限性①只能防范經(jīng)過(guò)其本身的非法訪問(wèn)和攻擊，對(duì)繞過(guò)防火墻的訪問(wèn)和攻擊無(wú)能為力。②不能解決來(lái)自內(nèi)部網(wǎng)絡(luò)的攻擊和安全問(wèn)題。③不能防止已感染病毒的文件的傳輸，因?yàn)楝F(xiàn)在各類病毒的種類太多，防火墻無(wú)法掃描每個(gè)文件查找病毒。④不能防止策略配置不當(dāng)或錯(cuò)誤配置引起的安全威脅。⑤不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊，當(dāng)有些表面看來(lái)無(wú)害的數(shù)據(jù)，如電子郵件、FTP等被傳輸或復(fù)制到內(nèi)部主機(jī)上并被執(zhí)行時(shí)，就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)式攻擊。數(shù)據(jù)驅(qū)動(dòng)式攻擊常常會(huì)先修改一臺(tái)主機(jī)中有關(guān)的安全文件，從而為下次入侵做準(zhǔn)備。情境任務(wù)二

電子商務(wù)安全防范（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)2、防病毒技術(shù)（1）病毒的預(yù)防技術(shù)通過(guò)一定的技術(shù)手段防止病毒對(duì)系統(tǒng)進(jìn)行傳染和破壞。

情境任務(wù)二

電子商務(wù)安全防范病毒的預(yù)防技術(shù)磁盤(pán)引導(dǎo)區(qū)保護(hù)加密可執(zhí)行程序讀寫(xiě)控制技術(shù)系統(tǒng)監(jiān)控技術(shù)（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)2、防病毒技術(shù)（2）病毒的檢測(cè)技術(shù)及早發(fā)現(xiàn)病毒

情境任務(wù)二

電子商務(wù)安全防范檢測(cè)病毒的方法特征代碼法校驗(yàn)和法行為監(jiān)測(cè)法（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)2、防病毒技術(shù)（3）病毒的清除技術(shù)在感染的程序中除去計(jì)算機(jī)病毒代碼并恢復(fù)文件的原有結(jié)構(gòu)信息。

情境任務(wù)二

電子商務(wù)安全防范（一）計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)2、防病毒技術(shù)（4）病毒的免疫技術(shù)使計(jì)算機(jī)系統(tǒng)具有對(duì)計(jì)算機(jī)病毒的抵抗力而免遭其害

情境任務(wù)二

電子商務(wù)安全防范病毒的免疫方法物理免疫邏輯免疫

（二）信息安全技術(shù)(加密技術(shù))

加密技術(shù)是一種主動(dòng)的信息安全防范措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成無(wú)意義的密文，阻止非法用戶理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。在加密和解密的過(guò)程中，由加密者和解密者使用的加解密可變參數(shù)叫作密鑰。

情境任務(wù)二

電子商務(wù)安全防范

（二）信息安全技術(shù)(加密技術(shù))

1．基本概念①加密。用某種方法偽裝數(shù)據(jù)以隱藏其原貌的過(guò)程稱為加密。②解密。將密文轉(zhuǎn)換成明文的過(guò)程。③明文。未被加密的消息。也叫原文。④密文。根據(jù)一定算法對(duì)明文加密后形成的消息。⑤密鑰。密鑰是一種參數(shù)，是在明文轉(zhuǎn)換為密文或?qū)⒚芪霓D(zhuǎn)換為明文的算法中輸入的數(shù)據(jù)。密鑰一般有加密密鑰和解密密鑰兩種，分別用來(lái)完成加密和解密操作。情境任務(wù)二

電子商務(wù)安全防范

（二）信息安全技術(shù)(加密技術(shù))

2、對(duì)稱加密對(duì)稱密鑰加密體制屬于傳統(tǒng)密鑰加密系統(tǒng)。是指在對(duì)信息的加密和解密過(guò)程中使用相同的密鑰?；蛘撸用芎徒饷艿拿荑€雖然不同，但可以由其中一個(gè)推導(dǎo)出另一個(gè)。對(duì)稱密鑰加密算法的代表是數(shù)據(jù)加密標(biāo)準(zhǔn)DES（USFederalDataEncryptionstandard），DES是由IBM公司在1970年研制的，1977年1月15日美國(guó)國(guó)家標(biāo)準(zhǔn)局批準(zhǔn)為作為非機(jī)密機(jī)構(gòu)的加密標(biāo)準(zhǔn)，現(xiàn)在已成為國(guó)際標(biāo)準(zhǔn)，由美國(guó)國(guó)家安全局和國(guó)家標(biāo)準(zhǔn)與技術(shù)局來(lái)管理。另一個(gè)系統(tǒng)是國(guó)際數(shù)據(jù)加密算法（IDEA），它比DES的加密性好，而且需要的計(jì)算機(jī)功能也不那么強(qiáng)。。情境任務(wù)二

電子商務(wù)安全防范

情境任務(wù)二

電子商務(wù)安全防范缺點(diǎn)：◆密鑰難于安全傳遞◆密鑰量太大，難以進(jìn)行管理◆無(wú)法滿足互不相識(shí)的人進(jìn)行私人談話時(shí)的保密性要求?！綦y以解決數(shù)字簽名驗(yàn)證的問(wèn)題。（二）加密技術(shù)2、對(duì)稱加密優(yōu)點(diǎn)：◆算法比較簡(jiǎn)便高效◆密鑰簡(jiǎn)短，◆破譯極其困難，保密強(qiáng)度高

情境任務(wù)二

電子商務(wù)安全防范

非對(duì)稱加密算法需要兩個(gè)密鑰：公開(kāi)密鑰（publickey）和私有密鑰（privatekey）。公開(kāi)密鑰（公鑰）是對(duì)外公開(kāi)的，任何符合條件的人都可以使用；私有密鑰（私鑰）是保密的，只有持有者才有。公鑰與私鑰是一對(duì)，如果用公鑰對(duì)數(shù)據(jù)進(jìn)行加密，只有用對(duì)應(yīng)的私鑰才能解密；如果用私鑰對(duì)數(shù)據(jù)進(jìn)行加密，那么只有用對(duì)應(yīng)的公鑰才能解密。（二）加密技術(shù)2、非對(duì)稱加密

非對(duì)稱加密也叫公開(kāi)加密，用作加密的密鑰不同于用作解密的密鑰，而且解密密鑰不能根據(jù)加密密鑰計(jì)算出來(lái)（至少在合理假定的長(zhǎng)時(shí)間內(nèi)）。之所以叫作公開(kāi)密鑰算法，是因?yàn)榧用苊荑€能夠公開(kāi)，即陌生人可以用加密密鑰加密信息，但只有用相應(yīng)的解密密鑰才能解密信息。35接收方加密系統(tǒng)解密系統(tǒng)明文(M)乙方公鑰密文(C)發(fā)送方明文(M)乙方密鑰非對(duì)稱密鑰加密圖例

情境任務(wù)二

電子商務(wù)安全防范（二）加密技術(shù)3、非對(duì)稱加密特點(diǎn)

◆密鑰分配簡(jiǎn)單。由于加密密鑰與解密密鑰不同，且不能由加密密鑰推導(dǎo)出解密密鑰，因此，加密密鑰表可以像電話號(hào)碼本一樣．分發(fā)給各用戶，而解密密鑰則由用戶自己掌握?！裘荑€的保存量少。網(wǎng)絡(luò)中的每一密碼通信成員只需秘密保存自己的解密密鑰，N個(gè)通信成員只需產(chǎn)生N對(duì)密鑰，便于密鑰管理。◆可以滿足互不相識(shí)的人之間進(jìn)行私人談話時(shí)的保密性要求。

◆可以完成數(shù)字簽名和數(shù)字鑒別。發(fā)信人使用只有自己知道的密鑰進(jìn)行簽名，收信人利用公開(kāi)密鑰進(jìn)行檢查，既方便又安全。不足：公鑰算法復(fù)雜，速度慢

兩種加密方式的比較比較項(xiàng)目代表標(biāo)準(zhǔn)密鑰關(guān)系密鑰傳遞數(shù)字簽名加密速度主要用途對(duì)稱密鑰加密DES加密密鑰與解密密鑰相同必要困難快數(shù)據(jù)加密公開(kāi)密鑰加密RSA加密密鑰與解密密鑰不同不必要容易慢數(shù)字簽名、密鑰分配加密情境任務(wù)二

電子商務(wù)安全防范兩種方法的混合使用第一步：發(fā)送者先產(chǎn)生一個(gè)隨機(jī)數(shù)(即對(duì)稱密鑰，每次加密密鑰不同)，并用它對(duì)要發(fā)送的信息進(jìn)行加密。第二步：發(fā)送者用接收者的公共密鑰用RSA算法對(duì)該隨機(jī)數(shù)（即對(duì)稱密鑰）加密。隨后將上兩步加密的信通過(guò)網(wǎng)絡(luò)發(fā)送。第三步：接收者接收到信息后，首先用自己的私人密鑰隨機(jī)數(shù)解密。第四步：接收者再用解密后的隨機(jī)數(shù)對(duì)信息進(jìn)行解密。這種加解密方式，既有RSA體系的保密性，又有DES或IDEA算法的快捷性。

情境任務(wù)二

電子商務(wù)安全防范圖示混合應(yīng)用發(fā)送者接收者RSA加密RSA解密DES解密DES加密明文明文密文DES解密鑰DES密鑰（通過(guò)RSA加密傳遞）密文DES解密密鑰接收者密鑰情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系1．CA認(rèn)證CA

是認(rèn)證機(jī)構(gòu)的國(guó)際通稱，是對(duì)數(shù)字證書(shū)的申請(qǐng)者發(fā)放、管理、取消數(shù)字證書(shū)的機(jī)構(gòu)。CA

的作用是檢查證書(shū)持有者身份的合法性，并簽發(fā)證書(shū)，以防證書(shū)被偽造或篡改。認(rèn)證機(jī)構(gòu)相當(dāng)于一個(gè)權(quán)威可信的中間人，職責(zé)是核實(shí)交易各方的身份，負(fù)責(zé)電子證書(shū)的發(fā)放和管理。理想化的狀態(tài)是，上網(wǎng)的每一家企業(yè)或個(gè)人都要有一個(gè)自己的網(wǎng)絡(luò)身份證作為唯一的標(biāo)志。這些網(wǎng)絡(luò)身份證的發(fā)放、管理和認(rèn)證是一個(gè)復(fù)雜的過(guò)程，也就是所謂的CA認(rèn)證。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系2.數(shù)字證書(shū)

(1)概念數(shù)字證書(shū)也叫數(shù)字標(biāo)志（DigitalID），是一種應(yīng)用廣泛的信息安全技術(shù)，一般由權(quán)威公正的第三方機(jī)構(gòu)，即CA簽發(fā)，主要用于網(wǎng)上安全交易的身份認(rèn)證。通俗地講，數(shù)字證書(shū)就是個(gè)人或單位在網(wǎng)絡(luò)上的身份證。數(shù)字證書(shū)以密碼學(xué)為基礎(chǔ)，采用數(shù)字簽名、數(shù)字信封、時(shí)間戳等技術(shù)，在因特網(wǎng)上建立安全有效的信任機(jī)制。情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

2.數(shù)字證書(shū)

數(shù)字證書(shū)包括的內(nèi)容

證書(shū)的版本信息；

證書(shū)的序列號(hào)，每個(gè)證書(shū)都有一個(gè)唯一的證書(shū)序列號(hào)；

證書(shū)所使用的簽名算法；

證書(shū)的發(fā)行機(jī)構(gòu)名稱，命名規(guī)則一般采用X.500格式；

證書(shū)的有效期，現(xiàn)在通用的證書(shū)一般采用UTC時(shí)間格式，它的計(jì)時(shí)范圍為1950-2049；

證書(shū)所有人的名稱，命名規(guī)則一般采用X.500格式；

證書(shū)所有人的公開(kāi)密鑰；

證書(shū)發(fā)行者對(duì)證書(shū)的數(shù)字簽名。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

2.數(shù)字證書(shū)

(2)數(shù)字證書(shū)的應(yīng)用

個(gè)人身份證書(shū)

單位數(shù)字證書(shū)

E-mail證書(shū)

應(yīng)用服務(wù)器證書(shū)

代碼簽名證書(shū)

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

3.身份認(rèn)證技術(shù)

身份認(rèn)證即鑒別認(rèn)證，是指在揭示敏感信息或進(jìn)行事務(wù)處理之前先確定對(duì)方身份?；ヂ?lián)網(wǎng)上身份認(rèn)證的方法有很多，如口令認(rèn)證、智能卡認(rèn)證、短信密碼認(rèn)證、動(dòng)態(tài)口令牌認(rèn)證、USB

Key認(rèn)證及生物特性認(rèn)證等。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

4.數(shù)字簽名（1）數(shù)字簽名的概念數(shù)字簽名（又稱電子簽名）是指一種類似寫(xiě)在紙上的普通的物理簽名，但是采用公鑰加密技術(shù)實(shí)現(xiàn)，用于鑒別數(shù)字信息的方法。它一般采用Hash（散列）函數(shù)進(jìn)行運(yùn)算，只有信息的發(fā)送者才能產(chǎn)生別人無(wú)法偽造的一段數(shù)字串。這段數(shù)字串同時(shí)也是對(duì)信息的發(fā)送者發(fā)送信息真實(shí)性的一個(gè)有效證明。一套數(shù)字簽名通常定義兩種互補(bǔ)的運(yùn)算：一個(gè)用于簽名，另一個(gè)用于驗(yàn)證。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

4.數(shù)字簽名（1）數(shù)字簽名的概念數(shù)字簽名（又稱電子簽名）是指一種類似寫(xiě)在紙上的普通的物理簽名，但是采用公鑰加密技術(shù)實(shí)現(xiàn)，用于鑒別數(shù)字信息的方法。它一般采用Hash（散列）函數(shù)進(jìn)行運(yùn)算，只有信息的發(fā)送者才能產(chǎn)生別人無(wú)法偽造的一段數(shù)字串。這段數(shù)字串同時(shí)也是對(duì)信息的發(fā)送者發(fā)送信息真實(shí)性的一個(gè)有效證明。一套數(shù)字簽名通常定義兩種互補(bǔ)的運(yùn)算：一個(gè)用于簽名，另一個(gè)用于驗(yàn)證。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

4.數(shù)字簽名（1）數(shù)字簽名的概念數(shù)字簽名（又稱電子簽名）是指一種類似寫(xiě)在紙上的普通的物理簽名，但是采用公鑰加密技術(shù)實(shí)現(xiàn)，用于鑒別數(shù)字信息的方法。它一般采用Hash（散列）函數(shù)進(jìn)行運(yùn)算，只有信息的發(fā)送者才能產(chǎn)生別人無(wú)法偽造的一段數(shù)字串。這段數(shù)字串同時(shí)也是對(duì)信息的發(fā)送者發(fā)送信息真實(shí)性的一個(gè)有效證明。一套數(shù)字簽名通常定義兩種互補(bǔ)的運(yùn)算：一個(gè)用于簽名，另一個(gè)用于驗(yàn)證。

情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

4.數(shù)字簽名

（2）數(shù)字簽名的過(guò)程情境任務(wù)二

電子商務(wù)安全防范（三）認(rèn)證體系

4.數(shù)字簽名

（3）數(shù)字簽名的功能保證信息傳輸中的完整性對(duì)信源的身份認(rèn)證防止通信中抵賴的發(fā)生情境任務(wù)二

電子商務(wù)安全防范（四）安全服務(wù)協(xié)議1、SSL協(xié)議SSL（SecureSocktesLayer）是Netscape公司率先采用的一種網(wǎng)絡(luò)安全協(xié)議，它能把在網(wǎng)頁(yè)和服務(wù)器之間傳輸?shù)臄?shù)據(jù)加密。這種加密措施能夠防止資料在傳輸過(guò)程中被竊取。因此采用SSL協(xié)議傳輸密碼和信用卡號(hào)等敏感信息以及身份認(rèn)證信息是一種比較理想的選擇。SSL可以被理解成一條受密碼保護(hù)的通道。通道的安全性取決于協(xié)議中采用的加密算法。目前SSL協(xié)議標(biāo)準(zhǔn)已經(jīng)成為網(wǎng)絡(luò)上保密通信的一種工業(yè)標(biāo)準(zhǔn),在C/S和B/S的構(gòu)架下都有廣泛的應(yīng)用。情境任務(wù)二

電子商務(wù)安全防范（四）安全服務(wù)協(xié)議

情境任務(wù)二

電子商務(wù)安全防范SSL的工作流程

（四）安全服務(wù)協(xié)議

2、SET協(xié)議安全電子交易協(xié)議（應(yīng)用層）消費(fèi)者、商戶、收單行進(jìn)行認(rèn)證。該協(xié)議由美國(guó)的Visa和MasterCar公司（信用卡公司）聯(lián)合多家國(guó)際科技機(jī)構(gòu)共同制定。它是一個(gè)以銀行卡進(jìn)行在線交易的安全標(biāo)準(zhǔn)協(xié)議。在BtoC模式中應(yīng)用尤為廣泛。SET提供的服務(wù)●

保證交易信息的保密性和完整性●

確保交易的不可否認(rèn)性●

確保商家和客戶的合法性

情境任務(wù)二

電子商務(wù)安全防范SET工作步驟根據(jù)SET協(xié)議的工作流程圖，可將整個(gè)工作程序分為下面幾個(gè)步驟：◆消費(fèi)者利用自己的PC機(jī)通過(guò)Internet選定所要購(gòu)買(mǎi)的物品，并在計(jì)算機(jī)上輸入定貨單，定貨單上需包括在線商店。購(gòu)買(mǎi)物品名稱及數(shù)量、交貨時(shí)間及地點(diǎn)等相關(guān)信息?！敉ㄟ^(guò)電子商務(wù)服務(wù)器與有關(guān)在線商店聯(lián)系，在線商店做出應(yīng)答，告訴消費(fèi)者所填定貨單的貨物單價(jià)、應(yīng)付款數(shù)、交貨方式等信息是否準(zhǔn)確，是否有變化?！粝M(fèi)者選擇付款方式，確認(rèn)定單，簽發(fā)付款指令。此時(shí)SET開(kāi)始介入?！粼赟ET中，消費(fèi)者必須對(duì)定單和付款指令進(jìn)行數(shù)字簽名。同時(shí)利用雙重簽名技術(shù)保證商家看不到消費(fèi)者的賬號(hào)信息?！粼诰€商店接受定單后，向消費(fèi)者所在銀行請(qǐng)求支付認(rèn)同。信息通過(guò)支付網(wǎng)關(guān)到收單銀行，再到電子貨幣發(fā)行公司確認(rèn)。批準(zhǔn)交易后，返回確認(rèn)信息給在線商店?！粼诰€商店發(fā)送定單確認(rèn)信息給消費(fèi)者。消費(fèi)者端軟件可記錄交易日志，以備將來(lái)查詢。

◆

在線商店發(fā)送貨物，或提供服務(wù)；并通知收單銀行將錢(qián)從消費(fèi)者的賬號(hào)轉(zhuǎn)移到商店賬號(hào)，或通知發(fā)卡銀行請(qǐng)求支付。

工作流程金融專網(wǎng)SETINTERNET

SETINTERNETSETINTERNETSETINTERNET發(fā)卡單位支付網(wǎng)關(guān)CA認(rèn)證中心商店服務(wù)器消費(fèi)者電子錢(qián)包SSL協(xié)議SEL協(xié)議參與方客戶、商家和網(wǎng)上銀行客戶、商家、支付網(wǎng)關(guān)、認(rèn)證中心和網(wǎng)上銀行軟件費(fèi)用已被大部分Web瀏覽器和Web服務(wù)器所內(nèi)置，因此可直接投入使用，無(wú)需額外的附加軟件費(fèi)用必須在銀行