1、第五章第五章 电子商务安全技术电子商务安全技术第一节 电子商务安全的概述一、电子商务安全的概念 电子商务安全是一个系统的概念，不仅与计算机信息网络系统有关，还与电子商务应用的环境、人员素质和社会因素有关。它是物理安全、网络安全、数据安全、信息内容安全、信息基础设施安全与公共及国家信息安全的总和。可从以下几方面来理解：1、安全是一个系统的概念；2、安全是相对的；3、安全是有成本的和代价的；4、安全是发展的、动态的。二、电子商务的安全问题 1、电子商务中存在的安全问题 由于非法入侵者的侵入，造成商务信息被篡改、盗窃或丢失；商业机密在传输过程中被第三方获悉，甚至被恶意窃取、篡改和破坏；虚假身份的交易
2、对象及虚假订单、合同；贸易对象的抵赖；由于计算机系统故障对交易过程和商业信息安全所造成的破坏。2、电子商务的安全要素 （1）完整性 （2）机密性 （3）不可否认性 （4）真实性 （5）可靠性 （6）可用性三、我国电子商务安全的现状 1、基础技术相对薄弱 2、体系结构不完整 3、支持产品不过硬 4、多种“威胁”纷杂交织、频频发生第二节 网络安全技术一、操作系统安全 操作系统是计算机的核心软件，操作系统的安全对计算机的安全起着至关重要的作用，操作系统的安全性主要是对外部攻击的防范，保证数据的保密性、完整性和可用性。（一）操作系统安全分类 1、按安全级别：低、中、高 2、按安全机制：具体的和广义的（
3、二）操作系统安全性威胁的因素 1、桌面操作系统的安全因素；2、系统安全性攻击。（三）操作系统安全管理 1、系统级安全管理 2、用户级安全管理 3、文件级安全管理二、防火墙技术（一）防火墙的定义 防火墙是一种将内部网和公众访问网分开的方法，实际上是一种隔离技术，是安全网络和非安全网络的之间的一道屏障，以防不可预测的、潜在的网络入侵。（二）防火墙的分类 包过滤型 NAT型 代理型 监测型 Internet Intranet E-Mail 服务器 Web 服务器 内部客户机 数据库 外 部 WWW 客户 防火墙 三、VPN(虚拟专用网)技术（一）VPN的概念 VPN技术是一种在公用互联网络上构造专用
4、网络的技术，将物理上分布在不同地点的专用网络，通过公共网络造成逻辑上的虚拟子网，进行安全的通信。（二）VPN的优势 安全通道 低成本 可扩展性 灵活性 便于管理服务质量保证四、病毒防范技术（一）计算机病毒定义 计算机病毒是一种人为编制的程序或指令集合，这种程序能潜伏在计算机系统中，并通过自我复制传播和扩散，在一定条件下被激活，给计算机带来故障和破坏。（二）计算机病毒的分类 引导区病毒、文件型病毒、复合型病毒、宏病毒、特洛伊木马、蠕虫及其他病毒（三）计算机病毒的特点 隐蔽性、传染性、潜伏性、可激发性、破坏性（四）计算机病毒的防治方法 1、定期使用杀毒软件杀毒；2、及时升级杀毒软件；3、不预览可疑
5、邮件；4、使用外来磁盘前先查杀病毒；5、备份重要数据。第三节 信息安全技术一、密码学概述 将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密，这种不可理解的形式称为密文。解密是加密的逆过程，即将密文还原成明文。加密和解密必须依赖两个要素，这两个要素就是算法和密钥。算法是加密和解密的计算方法；密钥是加密和加密所需的一串数字。加密明文密文 例如：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，对应关系如下：GOODJRRF二、对称加密技术（1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。（2）当通信对象增多时，需要相应数量的密钥。（3）对称加密是建立在共同
6、保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。解密密钥A加密密钥A 明文明文密文密文通信网络图 对称密钥加解密的过程发送方接收方三、非对称加密技术（公私钥加密技术）非对称加密技术采用RSA算法，加密和解密使用两把密钥，一把称公钥，另一把称私钥，两把密钥实际上是两个很大的质数，用其中的一个质数与明文相乘，可以加密得到密文；用另一个质数与密文相乘可以解密，但不能用一个质数求得另一个质数。解密私钥B加密公钥A明文明文密文密文通信网络发送方接收方图 非对称密钥加解密的过程第四节 电子商务的认证技术一、认证技术概述 认证技术是整个信息安
7、全体系的基础。认证技术主要用于信息认证，确认信息发送者的身份，防止假冒；验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。常用的安全认证技术主要有数字摘要、数字签名、数字证书、数字时间戳、数字信封等。（一）数字摘要 Hash算法 原文 摘要 摘要 对比？原文 摘要 Internet Hash 算法 发送方 接收方（二）数字签名 Hash 算法 原文 摘要 摘要 对比？原文 摘要 Internet 发送方 接收方 Hash算法 数字 签名 发送者 私钥加密 数字 签名 发送者 公钥解密（三）数字时间戳 Hash算法 原文 摘要 1 加时间 数字 时间戳 Internet 用DTS 机构的
8、私钥加密 发送方 DTS 机构 Hash 算法 加了时间后的新摘要 摘要 1 摘要1+时间 数字 时间戳（四）数字证书 数字证书是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。在电子商务交易中，任何信用卡持卡人只有申请到相应的数字证书，才能参加安全的电子商务网上交易。（五）数字信封 用来保证只有规定的收信人才能阅读到信的内容。二、认证机构 认证机构担负着身份认证的重要职责，主要包括三部分：注册服务器、注册管理机构、证书管理机构。我国的CA认证建设还处于起步阶段，没有完整的统筹和协调，存在交叉认证的互不兼容情况，急需一个全国性的、完整的和层次性合理的CA基础设施为电子商务的发展保驾护
9、航。1、认证机构的功能：核发证书、管理证书、搜索证书、验证证书2、例子：中国数字认证网 下载根CA三、数字证书 数字证书采用公私钥密码体制，用户拥有一把仅为本人所掌握的私钥，用它进行解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上采购招标、网上办公、网上保险、网上税务、网上签约和网上银行等安全电子事务处理和安全电子交易活动。1、数字证书的内容 证书拥有者的姓名；证书拥有者的公钥；公钥的有限期；颁发数字证书的单位；颁发数字证书单位的数字签名；数字证书的序列号等。图图 查看证书内容（查看证书内容（1）图图
10、查看证书内容（查看证书内容（2）图图 查看证书内容（查看证书内容（3）NoImage2、数字证书的类型（1）从证书的使用者分类：个人数字证书 机构数字证书 设备数字证书（2）从证书的用途分类：签名证书 加密证书第五节 安全电子交易技术一、SSL协议 安全套接层协议SSL（Secure Sockets Layer）位于TCP/IP协议与各种应用层协议之间，使用公开密钥体制和数字证书技术来确保数据在传输过程中不会被截取及窃听。SSL协议的缺陷：支付过程的单一认证，有利于商家，不利于消费者。二、SET协议 安全电子交易协议SET（Secure Electronic Transaction）的核心技术有对称加密技术、非对称加密技术、数字签名技术、Hash算法及公共密钥授权机制等。SET协议比较复杂、设计严格、安全性高，解决了SSL协议的缺陷，成为目前公认的信用卡网上交易的国际安全标准。
