第七章電子商務安全電子商務的安全目標電子商務安全技術電子商務的安全管理本章主要內容第一節電子商務的安全目標一、電子商務面臨的威脅二、電子商務安全的目標1.黑客攻擊2.搭線竊聽3.偽裝身份4.信息泄密、篡改、銷毀5.間諜軟件襲擊6.網絡釣魚一、電子商務面臨的威脅二、電子商務安全的目標完整性保密性可靠性不可否認性安全目標真實性第二節電子商務安全技術

一、加密技術二、認證技術三、安全協議四、防火墻技術一、加密技術1.對稱加密體制的工作過程(如圖所示）

（一）對稱加密體制2.對稱加密體制的優點與缺點1）算法簡單，系統開銷??；2）加密數據效率高，速度快；3）適合加密大量數據。1）密鑰難以共享；2）管理密鑰有困難；3）無法實現數字簽名和身份驗證；4）密鑰的分發是加密體系中最薄弱、風險最大的環節。優點缺點3.對稱加密體制的算法DES（DataEncryptionStandard）是一個對稱的分組加密算法。DES算法以64位為分組進行明文的輸入，在密鑰的控制下產生64位的密文；反之輸入64位的密文，輸出64位的明文。它的密鑰總長度是64位，因為密鑰表中每個第8位都用作奇偶校驗，所以實際有效密鑰長度為56位。DES算法可以通過軟件或硬件實現。（二）非對稱加密體制2.非對稱加密體制的優點與缺點1）密鑰管理簡單；2）便于進行數字簽名和身份認證，從而保證數據的不可抵賴性；1）算法復雜；2）加密數據的速度和效率較低；3）存在對大報文加密困難。優點缺點3.非對稱加密體制的算法

RSA是1978年由R.L.Rivest、A.Shamir和L.Adleman設計的非對稱的方法，算法以發明者的名字的首字母來命名的。它是第一個既可用于加密，也可用于數字簽名的算法。RSA只用于少量數據加密，在Internet中廣泛使用的電子郵件和文件加密軟件PGP(PrettyGoodPrivacy)就是將RSA作為傳送會話密鑰和數字簽名的標準算法。（三）兩種加密體系的對比比較項目對稱加密體制非對稱加密體制代表算法DESRSA密鑰數目單一密鑰密鑰是成對的密鑰種類密鑰是秘密的一個私有,一個公開密鑰管理簡單不好管理需要數字證書及可靠的第三者相對速度非?？炻饕猛敬罅繑祿用軘底趾灻鸤密鑰分配加密（四）對稱與非對稱加密體系的結合在實際應用中，通常將利用DES對稱加密算法來進行大容量數據的加密，而采用RSA非對稱加密算法來傳遞對稱加密算法所使用的密鑰。這種二者結合的體系，就集成了兩類加密算法的優點，既實現了加密速度快的優點，又實現了安全方便管理密鑰的優點。用戶的特征

用戶所擁有的

用戶所知道的

二、認證技術指紋虹膜DNA聲音用戶的行為身份證護照密鑰盤

密碼口令

（一）身份認證概述（二鼻）消梳息認纏證概辰述數字很簽名幅原理痕示意惰圖數字附時間偶戳數字垃時間斯戳服鏟務（Di居gi取ta制l邁T濕im尾e-噸St知am母p解Se好rv央ic段e，DT領S）由僵專門揚的機菜構提孝供。殿能提順供電兆子文培件發紐奉表時港間的略安全鏟保護礎。數字拖時間稿戳是珍一個壇經加虧密后魚形成群的憑綠證文黑檔，吩它包理括三晶個部陸分：★需加屆時間裕戳的碑文件江的摘肉要；★DT鏈S收到培文件荷的日孝期和臺時間★DT帝S的數伏字簽莊名。三、語安全士協議（一跌）傳勝輸層鵲安全擦協議——車SS繪L1.秘密飼性：使用對稱蹄密鑰實現浮數據敢加密半，確充保連秀接安燙全。2.完整替性：使用忍安全遇的哈希宅函數如MD循5、SH賄A等計嗚算校區驗碼蓄，確啊保了補信息蛛的完梢整性批和可欄靠性塞連接尊。3.認證黎性：通過非對咸稱加粉密技毫術實現齊身份窄驗證養。BANK顧客商家銀行商品汗選擇挎，訂眉單的你完成數字盞簽名(3悲)向消家費者儉所在熔銀行番請求陳支付眾認可撿。(4牲)商店鈴發貨平或提告供服極務，嶄請求檢支付雀。（二沖）局應用泥層安毒全協挪議——屆SE成T交易虹流程渡示意禮圖SE搶T協議的目朝標SE薪T協議猾保證姐了在酒電子炸交易羽過程漆中：(1爸)機密騾性--保證武信息鼻的安糧全傳佩輸。(2伸)數據季完整蛙性--保證狹電子澤商務虛參與考者信攔息的余相互料隔離蓄。(3挑)身份鋼的合務法性--解決淺多方黎認證毅問題襪。(4心)不可色否認喊性--保證薦網上透交易難的實嶺時性糕。(5園)兼容銅性和蠻互操表作功覆能。SS蘿L協議當和SE朋T協議蓋的對粱比對比項

SSL協議SEL協議參與方客戶、商家和網上銀行客戶、商家、支付網關、認證中心和網上銀行軟件費用可直接投入使用，無需額外的附加軟件費用須在銀行網絡、商家服務器、客戶機上安裝相應的軟件，因此增加了許多附加軟件費用便捷性SSL在使用過程中無需在客戶端安裝電子錢包，因此操作簡單；每天交易有限額規定，因此不利于購買大宗商品；支付迅速，幾秒鐘便可完成支付SET協議在使用中必須使用電子錢包進行付款，因此在使用前，必須先下載電子錢包軟件，因此操作復雜，耗費時間；每天交易無限額，利于購買大宗商品；由于存在著驗證過程，因此支付緩慢，有時還不能完成交易安全性只有商家的服務器需要認證，客戶端認證則是有選擇的；缺少對商家的認證，因此客戶的信用卡號等支付信息有可能被商家泄漏安全需求高，因此所有參與交易的成員：客戶、商家、支付網關、網上銀行都必須先申請數字證書來認識身份；保證了商家的合法性，并且客戶的信用卡號不會被竊取，替消費者保守了更多的秘密，使其在結購物和支付更加放心四、板防火塞墻技兔術防火螺墻是遺一種管隔離享技術樹，是支指一允種將轎內部器網和惠公眾止訪問雄網（愿如In誘te朱rn殿et）分么開的廁方法鈔。防礦火墻興可以知通過蒙過濾僚不安橋全的梯服務唯而降坊低風天險，差可以竿強化魔網絡籍安全半策略話，對端網絡所存取慚和訪梢問進骨行監病控審之計，傍防止與內部唱信息成的外君泄；防火熊墻還敲支持劉具有In槽te改rn徒et服務爆特性萍的企河業內甘部網尋絡技瓣術體鄉豐系VP些N（虛膜擬專披用網陵）；在實走際使泉用中沒，用織戶在按受信計任的哲網絡住上通姑過防平火墻毛訪問In蹤蝶te添rn石et時，嘗經趨常會國發現巧存在男延遲鵝并且裕必須帳進行鄉豐多次呆登錄霜才能拍訪問塔互聯歇網或誤企業旱內部精網。一、獵機構顛制度屈管理二、誤風險騰制度勺管理三、腔法律經制度電管理第三偏節龍電子為商務享的安木全管班理一、紀機構雙制度俘管理（一君）認吹證機丙構在電胸子交灣易中拔，無中論是度時間么戳服姨務還掛是數渠字證勉書的釀發放甜，都嶄不是困靠交孤易雙巴方自漠己能粱完成鄙的，毛而是屬需要金一個詠具有爐權威給性和旺公正聰性的微第三識方機灑構來漿完成則。認證鏡機構CA走(C叫er睜ti萍fi掩ca母ti觸onAu饒th狗or加it折y)就是雅承擔蠶網上蕉安全衡電子墨交易甚認證澆服務敢、簽暗發數果字證使書并尿能確沒認用遺戶身皇份的貪服務師機構壩。（二模）葡數字若證書數字稠證書兩又稱冊為數皂字憑萄證、圈數字嚇標識誦。是酷由CA證書腐授權桶中心妻發路行的婆，能踐提供構在In香te腹rn禁et上進雅行身未份驗掠證的助一種秧權威志性電隨子文葛檔，洲人們初可以幅用它己來證梅明自致己在而互聯直網中次的身途份或釋識別膠對方雜的身笑份。二、訪風險述制度冰管理電子義商務魂風險糟管理烘就是乞跟蹤高、評鐵估、洗監測識和管從理商謠務整頁個過塞程中碑所形杯成的村電子秤商務保風險蒜，盡取力避閘免電沾子商群務風許險給層企業帥造成帶的經升濟損串失、僑商業掀干擾捎以及乳商業運信譽恩喪失根等，合以確茂保企闊業電諷子商格務的賠順利置進行若。三、滴法律鉆制度滾管理20箱04年8月28日全尊國人瀉大常閘委會濕第十勢一次旦會議善通過丙了《中華腥人民唯共和園國電鹿子簽昂名法》。簽頓名法來是我炕國推椅進電頭子商喝務發鄭展，獄掃除兔電子渾商務錄發展琴障礙邁的重鞏要步湯驟。扛該法然被認且為是濃中國瞧首部箱真正優電子序商務讀法意娛義上跑的立而法。20讓05年1月28日中梢華人趕民共虎和國苦信息舅產業壺部第賞十二渠次部澇務會漠議審毫議通倦過《電子憤認證時服務己管理糾辦法》，自20刷05年4月1日起壞施行律。20互05年11月10日中蠟國銀雕行業味監督射管理射委員鞠會第40次主涉席會鍋議通駕過《電子額銀行躺業務侮管理悶辦法》自20現06年3月1日起伸施行英。一、商選擇滅題1.用戶速識別跑方法茅不包但括：(茄)A.根據畫用戶匪知道毅什么歐來判色斷B.根據陽用戶嘆擁有趁什么撕來判C.根據沫用戶吩地址吧來判壓斷D.根據禾用戶限是什懲么來示判斷2.以下狗身份歪認證釘技術舅中，筐屬于鋒生物住特征橋識別戶技術幸的有妻包括園：(棄)A.數字敘簽名步識別緩法B.指紋些識別么法C.語音辰識別刑法D.頭蓋普骨的崖輪廓酒識別灑法3.觸發摸電子記商務蔥安全藥問題投的原獄因有正：(慰)A.黑客客的攻懼擊B.管理待的欠殿缺C.網絡舉的缺瘡陷D.軟件檔的漏白洞4.病毒于防范綢制度記包括使的內擠容有楊：(傻)A.給自迷己的燭電腦否安裝賣防病擾毒軟瓶件B.不打偷開陌花生地巷址的行電子郊郵件C.認真極執行血病毒安定期悉清理耕制度D.高度虧警惕栗網絡暑陷阱5.下面炕屬于湊不安得全口踐令的權有：(旁)使用排用戶適名作皮為口已令B.使用終自己稿或者松親友荒的生腎日作快為口榆令C.用學允號或已是身乏份證創號碼貝等作心口令D.使用育常用冊的英叮文單發詞做尾口令習題二、左復習慕思考羨題請簡盞述認紋證中害心的煎提供鈔的服氣務有漿哪些?防火抽墻是逃什么?防火早墻能津否保臭證內字部網廟絡的悄絕對腸安全?SS刑L、SE濟T、SH義TT錢P各是鄭什么哀協議饑，它伸們的客區別奏是什訴么？SE新T支付賄系統席中的壞交易峰成員奪有哪企些？三、錢技能賢實訓積題利用善所學昆數字件證書饅和相瀉關知尊識，怠