电子商务安全.ppt

《电子商务安全.ppt》由会员分享，可在线阅读，更多相关《电子商务安全.ppt（56页珍藏版）》请在第壹文秘上搜索。

1、1第七章 电子商务安全技术2 7.1 电子商务安全问题电子商务安全问题 7.2 网络系统安全技术网络系统安全技术 7.3 网络信息安全技术网络信息安全技术加密技术加密技术 7.4 认证技术认证技术 7.5 安全协议安全协议3 7.1.1 电子商务安全威胁电子商务安全威胁 1. 网络攻击网络攻击 （1）电脑病毒：网络蠕虫、特洛伊木马、）电脑病毒：网络蠕虫、特洛伊木马、CIH （2）黑客攻击：更改首页、拒绝服务、盗取帐号、网上炸）黑客攻击：更改首页、拒绝服务、盗取帐号、网上炸弹、弹、IP欺骗欺骗 （3）流氓软件：强迫安装、无法卸载）流氓软件：强迫安装、无法卸载 2. 硬件破坏硬件破坏 3. 交易抵

2、赖交易抵赖 7.1 电子商务安全问题电子商务安全问题4蠕虫病毒造成的危害蠕虫病毒造成的危害 病毒名称病毒名称 持续时间持续时间 造成损失造成损失莫里斯蠕虫莫里斯蠕虫1988年年6000多台电脑停机，经济损失达多台电脑停机，经济损失达9600万美元万美元美丽杀手美丽杀手1999年年政府部门和一些大公司紧急关闭了网络服务器，经政府部门和一些大公司紧急关闭了网络服务器，经济损失超过济损失超过12亿美元亿美元!爱虫病毒爱虫病毒2000年年5月月众多用户电脑被感染，损失超过众多用户电脑被感染，损失超过100亿美元以上亿美元以上红色代码红色代码2001年年7月月网络瘫痪，直接经济损失超过网络瘫痪，直接经济

3、损失超过26亿美元亿美元求职信求职信2001年年12月月大量病毒邮件堵塞服务器，损失达数百亿美元大量病毒邮件堵塞服务器，损失达数百亿美元蠕虫王蠕虫王2003年年1月月网络大面积瘫痪，银行自动提款机运做中断，直接网络大面积瘫痪，银行自动提款机运做中断，直接经济损失超过经济损失超过26亿美元亿美元冲击波冲击波2003年年7月月大量网络瘫痪，造成了数十亿美金的损失大量网络瘫痪，造成了数十亿美金的损失MyDoom2004年年1月起月起大量的垃圾邮件，攻击大量的垃圾邮件，攻击SCO和微软网站，给全球经和微软网站，给全球经济造成了济造成了300多亿美元的损失多亿美元的损失熊猫烧香熊猫烧香2006年年5 网

4、银安全问题凸现网银安全问题凸现时时 间间网上银行事故网上银行事故 危危 害害2002年年7月月一名中国黑客洗劫新加坡一名中国黑客洗劫新加坡DBS网上银行网上银行损失损失6.2万美元万美元2003年年12月月至至2004年年2月初月初湖南长沙木马病毒盗窃招湖南长沙木马病毒盗窃招商银行和民生银行网络银商银行和民生银行网络银行资金案行资金案损失损失8万余元万余元20042004年年3 3月月哈尔滨三名大学生假名开户哈尔滨三名大学生假名开户非法支取网上银行资金非法支取网上银行资金损失损失53万万2005年年工行网银被盗工行网银被盗窃取客户账号和密码窃取客户账号和密码等信息等信息6 1.信息传递的有效性

5、信息传递的有效性 2.信息内容的保密性信息内容的保密性 3.信息内容的完整性信息内容的完整性 4.交易各方身份的可鉴别性交易各方身份的可鉴别性/不可抵赖性不可抵赖性 5.信息记录的合法性（审查能力）信息记录的合法性（审查能力）二、电子商务的安全性要求二、电子商务的安全性要求7 三、电子商务安全体系三、电子商务安全体系 电子商务安全不仅仅是技术层面问题，而且是包电子商务安全不仅仅是技术层面问题，而且是包含预防、检测、管理和制度层面在内的一整套体系的建含预防、检测、管理和制度层面在内的一整套体系的建设问题。设问题。法律、规范、道德、纪律法律、规范、道德、纪律管理细则、保护措施管理细则、保护措施物理

6、实体安全物理实体安全网络系统安全网络系统安全网络交易安全网络交易安全网络信息安全网络信息安全社会层面社会层面管理层面管理层面技术层面技术层面应用层面应用层面8 （1）网络系统安全）网络系统安全针对物理技术系统的安全针对物理技术系统的安全 保证网络设施的正常运行保证网络设施的正常运行 可靠安装、维护、管理可靠安装、维护、管理 避免受到外界的恶意攻击避免受到外界的恶意攻击 设置防火墙、设置防火墙、 防止病毒防止病毒 （2）网络信息安全）网络信息安全 针对商务逻辑系统的安全针对商务逻辑系统的安全 信息保密信息保密 信息完整信息完整 身份认证身份认证 不可抵赖不可抵赖 信息有效信息有效加密技术加密技术

7、认证技术认证技术9 （3）网络交易安全）网络交易安全 参与对象之间交易过程的参与对象之间交易过程的安全，如安全套接层协议（安全，如安全套接层协议（SSL）、安全电子交易协）、安全电子交易协议（议（SET）、公钥基础设施（）、公钥基础设施（PKI）。）。10电子商务业务系统电子商务业务系统电子商务支付系统电子商务支付系统 安全交易协议安全交易协议SET、SSL、S/HTTP、S/MIME 、PKI安全认证技术安全认证技术数字摘要、数字签名、数字信封、数字摘要、数字签名、数字信封、CA证书证书 加密技术加密技术非对称密钥加密、对称密钥加密、非对称密钥加密、对称密钥加密、DES、RSA 安全策略、防

8、火墙、查杀病毒、虚拟专用网安全策略、防火墙、查杀病毒、虚拟专用网安全应用安全应用信息安全信息安全网络安全网络安全电子商务安全技术结构示意图电子商务安全技术结构示意图11 第二节第二节 网络系统安全技术网络系统安全技术 一、网络安全策略一、网络安全策略 网络安全策略就是指构筑网络时考虑怎样采用网络网络安全策略就是指构筑网络时考虑怎样采用网络安全措施的基本原则。具有通用性的原则：安全措施的基本原则。具有通用性的原则： 最小特权最小特权 纵深防御纵深防御 阻塞点阻塞点 最薄弱环节最薄弱环节 失效保护状态失效保护状态 普遍参与普遍参与 防御多样化防御多样化 简单化简单化12 二、查杀病毒二、查杀病毒

9、据瑞星病毒样本统计，约有据瑞星病毒样本统计，约有90以上的病毒文件以上的病毒文件进行过进行过“加壳加壳”处理。处理。13 所谓加壳，是一种通过一系列数学运算，将可执行程序文件或动态链接库文件的编码进行改变（目前还有一些加壳软件可以压缩、加密驱动程序），以达到缩小文件体积或加密程序编码的目的。 我们还可以使用一款叫做Fileinfo的工具来查看文件具体加的是什么壳。目前，较常见到的壳有“UPX”、“ASPack”、“PePack”、“PECompact”、“UPack”、“NsPack”、“免疫007”、“木马彩衣”等等。 14 三、防火墙技术三、防火墙技术 1. 防火墙概念：防火墙是一种隔离控

10、制技术，防火墙概念：防火墙是一种隔离控制技术，通过在内部网络（可信赖的网络）和外部网络（不可通过在内部网络（可信赖的网络）和外部网络（不可信赖的网络）之间设置一个或多个电子屏障，提供安信赖的网络）之间设置一个或多个电子屏障，提供安全的网络环境。全的网络环境。 因特网因特网防火墙防火墙15 第三节第三节 网络信息安全技术网络信息安全技术加密技术加密技术 一、一、 早期的加密方法早期的加密方法 二、对称密钥二、对称密钥 三、公开密钥三、公开密钥16 第四节第四节 认证技术认证技术 一、信息认证的主要策略一、信息认证的主要策略 （1）身份认证：鉴别各参与交易的对象的身份。）身份认证：鉴别各参与交易的

11、对象的身份。（数字签名等）（数字签名等） （2）报文认证：鉴别通信内容的完整性。（数字）报文认证：鉴别通信内容的完整性。（数字摘要等）摘要等） （3）多方记录：保证各方交换信息的行为不可抵）多方记录：保证各方交换信息的行为不可抵赖。（数字时间戳等）赖。（数字时间戳等） 17 二、认证技术的种类二、认证技术的种类 1. 数字摘要数字摘要 （1）含义：）含义： 利用不可逆加密算法，如哈希函数（利用不可逆加密算法，如哈希函数（Hash），运），运算出一个固定长度（如算出一个固定长度（如128位）的短数据串，称此为位）的短数据串，称此为数字摘要。数字摘要。 （2）用途：）用途： 用于验证信息的完整性；

12、用于验证信息的完整性； 弥补非对称密码体制加密速度慢的缺陷，并弥补非对称密码体制加密速度慢的缺陷，并与非对称密码体制组合成数字签名技术。与非对称密码体制组合成数字签名技术。 18源源文文件件数数字字摘摘要要数数字字摘摘要要源源文文件件数数字字摘摘要要Hash算法算法Hash算法算法对比对比发送端发送端接收端接收端因特网因特网因特网因特网数字摘要验证信息的完整性数字摘要验证信息的完整性19 2. 数字签名（不可逆加密体制与非对称密码体制数字签名（不可逆加密体制与非对称密码体制 相结合的认证技术）相结合的认证技术） 在传统事务处理中采用书面签名，其形式有：手在传统事务处理中采用书面签名，其形式有：

13、手签、印章、指印等。签、印章、指印等。 在用计算机处理事务时，则要采用电子签名的方在用计算机处理事务时，则要采用电子签名的方式来替代传统方式。式来替代传统方式。 （1）数字签名的作用）数字签名的作用 收方能够证实发方的真实身份；收方能够证实发方的真实身份； 发方事后不能否认所发送过的报文；发方事后不能否认所发送过的报文； 收方或非法者不能伪造、篡改报文。收方或非法者不能伪造、篡改报文。20 （2）数字签名的实现过程）数字签名的实现过程 发送方：发送方： 先从明文中生成数字摘要；先从明文中生成数字摘要； 用用发送方秘密私钥发送方秘密私钥对数字摘要加密，形成数对数字摘要加密，形成数字签名；字签名；

14、 把明文和数字签名一同发给接收方。把明文和数字签名一同发给接收方。 接收方：接收方： 先从收到的明文中生成数字摘要（用与发送先从收到的明文中生成数字摘要（用与发送方同样的哈希算法）；方同样的哈希算法）； 用发送方的公钥对数字签名解密，获得发来用发送方的公钥对数字签名解密，获得发来的数字摘要；的数字摘要； 将自己生成的数字摘要与发来的数字摘要相将自己生成的数字摘要与发来的数字摘要相对比，以验证信息的完整性。对比，以验证信息的完整性。21数字摘要数字摘要对比A方方B方方A私钥哈希算法数字摘要数字签名A公钥哈希算法明文明文明文数字签名数字签名数字签名实现过程示意图数字签名实现过程示意图22 3. 数

15、字信封（对称密码体制与非对称密码体制数字信封（对称密码体制与非对称密码体制 相结合的认证技术）相结合的认证技术） 数字信封的实现过程：数字信封的实现过程： 发送方：发送方： 用对称密钥对明文加密，形成密文；用对称密钥对明文加密，形成密文； 再用再用接收方的公钥接收方的公钥对对称密钥加密，形成密对对称密钥加密，形成密钥密文；钥密文； 将密文和密钥密文一同发给接收方。将密文和密钥密文一同发给接收方。 接收方：接收方： 用自己的私钥对密钥密文解密，得到对称密用自己的私钥对密钥密文解密，得到对称密钥；钥； 再用对称密钥对密文解密，得到明文。再用对称密钥对密文解密，得到明文。 23对称密钥明文密文密钥密

16、文密文密钥密文明文对称密钥B方私钥B方公钥对称密钥A方方B方方数字信封实现过程示意图数字信封实现过程示意图244. 数字时间戳（数字时间戳（Digital time-stamp service， TDS） （1）使用数字时间戳的意义：）使用数字时间戳的意义： 在传统交易中，文件签署的日期是十分重要的信息，不容在传统交易中，文件签署的日期是十分重要的信息，不容随意伪造和篡改。在电子交易中更需要对时间采取安全措施。随意伪造和篡改。在电子交易中更需要对时间采取安全措施。 （2）数字时间戳服务：是网上安全服务项目之一，由专门）数字时间戳服务：是网上安全服务项目之一，由专门机构（认证中心）提供。机构（认证中心）提供。 （3）实现过程）实现过程：（：（用户与专门机构之间的关系）用户与专门机构之间的关系） 用户将明文生成数字摘要；用户将明文生成数字摘要； 用户将数字摘要发送给专门机构的用户将数字摘要发送给专门机构的DTS； DTS加入日期和时间信息，再对它们加密（数字签加入日期和时间信息，再对它们加密（数字签 名），最后返回给用户。名），最后返回给用户。25源源文文件件数数字字摘摘要要数数字字摘摘要