电子商务安全立法安徽工贸职业技术学院课件.ppt

1、电子商务精品课程组项目三项目三电子商务安全技术电子商务安全技术电子商务精品课程组熊猫烧香熊猫烧香 提起提起“熊猫烧香熊猫烧香”，很多人都记忆犹新，其制，很多人都记忆犹新，其制作者李俊被众多网民口诛笔伐，此案经公安部作者李俊被众多网民口诛笔伐，此案经公安部门统一部署，由湖北网监在十个省市公安机关门统一部署，由湖北网监在十个省市公安机关的配合下侦破。资料显示，李俊每次要价的配合下侦破。资料显示，李俊每次要价3000元将该病毒销售给元将该病毒销售给120余人，非法获利余人，非法获利10万余元，而损失估计则达到了上亿美元。万余元，而损失估计则达到了上亿美元。安徽工贸电子商务精品课程组第第11讲讲电子商

2、务中的安全要求和措施电子商务中的安全要求和措施 电子商务精品课程组本章目录本章目录电子商务精品课程组4.1.1 电子商务安全的概念和特点电子商务安全的概念和特点4.1 电子商务安全概述电子商务安全概述u电子商务系统硬件安全硬件安全：是指保护计算机系统中硬件（包括外部设备）的安全，保证其自身的可靠性和为系统提供基本安全机制。u 电子商务系统软件安全软件安全：是指保护软件和数据不被篡改、破坏和非法复制。根据计算机软件系统的组成，软件安全可分为操作系统安全、数据库安全、网络软件安全和应用软件安全。电子商务精品课程组u电子商务系统电子商务系统运行安全运行安全：是指保护系统能连续和正常：是指保护系统能连

3、续和正常地运行。地运行。u电子商务电子商务安全立法安全立法：是对电子商务犯罪的约束，它是：是对电子商务犯罪的约束，它是利用国家机器，通过安全立法，体现与犯罪斗争的国利用国家机器，通过安全立法，体现与犯罪斗争的国家意志。家意志。电子商务精品课程组u本章讨论的电子商务安全是本章讨论的电子商务安全是 以网络为基础的信息安全以网络为基础的信息安全u电子商务安全是一个系统概念u电子商务安全是发展、动态的u电子商务安全是相对的u电子商务安全是有代价的电子商务精品课程组4.1.2 电子商务安全的需求电子商务安全的需求u保密性：信息在传输保密性：信息在传输过程中不被他人窃取过程中不被他人窃取电子商务精品课程组

4、u完整性：完整性：u1、存储的时候防止非法篡改和破坏。u2、传输的时候发送和接收的应该一致。电子商务精品课程组不可否认性：不可否认性：u信息的发送方不能否认自己发送的信息；信息的接收方也不能够否认自己接收的信息。电子商务精品课程组交易者身份的交易者身份的真实性：真实性：n 交易双方确实存在,而不是假冒的电子商务精品课程组u系统的可靠性系统的可靠性u防止计算机系统出现失效、程序错误、传输错误、自然灾害等引起的计算机信息失误或者失效。电子商务精品课程组4.2 电子商务安全技术电子商务安全技术u4.2.1 加密技术加密技术u1、基本概念u加密是指将数据进行编码，使它成为一种不可理解的形式，这种不可理

5、解的内容叫做密文。解密是加密的逆过程，即将密文还原成原来可理解的形式（也就是明文）u加密和解密过程依靠两个元素，缺一不可，这就是算法和密钥。算法是加密或解密的一步一步的过程。在这个过程中需要一串数字，这个数字串就是密钥。电子商务精品课程组u 密钥的长度是指密钥的位数。u密文的破译通常是黑客经过长时间的测试密钥，破获密钥后，解开密文。u 怎样才能使得加密系统牢固，让黑客位难以破获密钥呢？这就是要使用长密钥。例如一个16位的密钥有2的16次方（65536）种不同的密钥。顺序猜测65536种密钥对于计算机来说是很容易的。如果100位的密钥，计算机猜测密钥的时间需要好几个世纪了。因此，密钥的位数越长，

6、加密系统就越牢固。电子商务精品课程组my card number is secret a b c d e f g h i j k l m n o p q r s t u v w x y z jvzxoakrjybofppbzobq 字母移位加密密钥是3电子商务精品课程组电子商务精品课程组u迄今为止，对网络和通信安全最重要的技术是加密。迄今为止，对网络和通信安全最重要的技术是加密。u通常使用的加密方法分为两大类：通常使用的加密方法分为两大类：对称加密和非对称对称加密和非对称加密。加密。u2、对称密钥系统、对称密钥系统电子商务精品课程组对称密钥系统的特点对称密钥系统的特点u1在首次通信前，双方必须

7、通过安全途径传递统一的密钥。u2当通信对象增多时，需要相应数量的密钥。例如一个拥有100个贸易伙伴的企业，必须要有100个密钥，这就使密钥管理和使用的难度增大。u3对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。电子商务精品课程组3、公开密钥系统、公开密钥系统电子商务精品课程组公开密钥系统的特点公开密钥系统的特点u（1）RSA算法的优点是：易于实现，使用灵活，密钥较少，在网络中容易实现密钥管理，便于进行数字签名，从而保证数据的不可抵赖性；u（2）缺点是要取得较好的加密效果和强度，必须使用较长的密钥，从而加重系

8、统的负担和减慢系统的吞吐速度，这使得非对称密钥技术不适合对数据量较大的报文进行加密。电子商务精品课程组RSA和和DES相结合的综合保密系统相结合的综合保密系统u在实践中，为了保证电子商务系统的安全、可靠以及使用效率，一般可以采用由RSA和DES相结合实现的综合保密系统。在该系统中，用DES算法作为数据的加密算法对数据进行加密，用RSA算法作为DES密钥的加密算法，对DES密钥进行加密。这样的系统既能发挥DES算法加密速度快、安全性好的优点，又能发挥RSA算法密钥管理方便的优点，扬长避短。电子商务精品课程组4、数字摘要、数字摘要验证信息的完整性验证信息的完整性电子商务精品课程组5、数字签名数字签

9、名验证信息的不可否认性验证信息的不可否认性电子商务精品课程组6、数字时间戳、数字时间戳验证信息发送的时间验证信息发送的时间u在书面合同文件中，日期和签名均是十分重要的防在书面合同文件中，日期和签名均是十分重要的防止被伪造和篡改的关键性内容。止被伪造和篡改的关键性内容。u在电子交易中，时间和签名同等重要。数字时间戳在电子交易中，时间和签名同等重要。数字时间戳技术是数字签名技术一种变种的应用，是由技术是数字签名技术一种变种的应用，是由DTS服服务机构务机构提供的电子商务安全服务项目，专门用于证提供的电子商务安全服务项目，专门用于证明信息的发送时间。明信息的发送时间。Digital Time-sta

10、mp Service电子商务精品课程组电子商务精品课程组4.2.2 认证技术认证技术u1、认证中心（CA)：承担网上安全电子交易的认证服务。其主要u任务是受理数字证书的申请、签发和管理数字证书。u2、认证中心的功能 （1）证书发放 （2）证书管理证书更新证书撤销证书验证电子商务精品课程组3、CA的层次结构的层次结构电子商务精品课程组电子商务精品课程组u个人数字证书个人数字证书 u服务器证书服务器证书 u软件数字证书软件数字证书 u安全邮件证书安全邮件证书 u4、数字证书：是一个担保个人、计算机系统或者组织、数字证书：是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档的身份和密钥所有

11、权的电子文档 u证书所有者的姓名证书所有者的姓名u证书所有者的公钥证书所有者的公钥u公钥的有效期公钥的有效期u颁发数字证书的单位颁发数字证书的单位u颁发数字证书单位的数字签名颁发数字证书单位的数字签名u数字证书的序列号数字证书的序列号电子商务精品课程组电子商务精品课程组电子商务精品课程组5、我国的认证中心、我国的认证中心u我国的CA又可分为行业性CA和区域性CA两大类。u行业性CA有中国金融认证中心（CFCA）、中国电信认证中心（CTCA）、中国邮政认证中心、外经贸部CA等。其中中国金融认证中心（CFCA）和中国电信认证中心（CTCA）是行业性CA中影响最大的两家。u区域性CA大多以地方政府为

12、背景，以公司机制来运作，如广东CA中心（CNCA）、上海CA中心(SHECA)、深圳CA中心(SZCA)等，各地还在继续建设。其中影响最大的是广东CA中心（CNCA）和上海CA中心(SHECA)。电子商务精品课程组中国金融认证中心（中国金融认证中心（CFCA）uCFCA 是全国惟一的金融根认证中心，由中国人民银行负责统一规划管理，中国工商银行、中国银行、中国农业银行、中国建设银行、交通银行、招商银行、中信实业银行、华夏银行、广东发展银行、深圳发展银行、光大银行、民生银行和福建兴业银行共十三家商业银行联合建设，由银行卡信息交换总中心承建，建立了SETCA和Non-SETCA两套系统，于2000年

13、6月29日正式开始为全国的用户提供证书服务。电子商务精品课程组电子商务精品课程组电子商务精品课程组安徽工贸电子商务精品课程组第第13讲讲 电子商务精品课程组4.3 电子商务安全协议电子商务安全协议u1、SSL协议uSSL(secure sockets layer)是由Netscape Communication公司是由设计开发的，其目的是通过在收发双方建立安全通道来提高应用程序间交换数据的安全性，从而实现浏览器和服务器（通常是Web服务器）之间的安全通信。电子商务精品课程组IPSSL ChangeCipher SpecProtocolSSL AlertProtocolApplication P

14、rotocolTCPSSL Record ProtocolSSL HandshakeProtocolSSL位于位于TCP/IP协议和应用协议之间协议和应用协议之间 HTTPLDAPIMAP电子商务精品课程组u凡是支持送SSL协议的网页，都会以https:/作为URL的开头。客户在与服务器进行SSL会话中，如果使用的是微软的IE浏览器，可以在右下方状态栏中看到一只金黄色的锁形安全标志，用鼠标双击该标志，就会弹出服务器证书信息。电子商务精品课程组uSSL协议包括了两个子协议协议包括了两个子协议:1、SSL记录协议记录协议 SSL记录协议建立在可靠的传输协议（如记录协议建立在可靠的传输协议（如TCP

15、）上，用来封装高层协议。）上，用来封装高层协议。SSL握手协议。握手协议。2、SSL握手协议则准许服务器与客户端在开始握手协议则准许服务器与客户端在开始传输数据前，能通过特定的加密算法互相鉴别。传输数据前，能通过特定的加密算法互相鉴别。电子商务精品课程组电子商务精品课程组电子商务精品课程组SSL协议的特性协议的特性u保密性：握手之后，采用单钥体制进行数据加密、采用双钥体制进行身份鉴别u可靠性：采用消息摘要算法进行完整性检查u确认性：尽管会话的客户端认证是可选的，但是服务器端始终是被认证的u灵活性：通信双方可选择密码算法；允许多种形式各种级别的身份鉴别电子商务精品课程组SSL协议在电子商务使用中

16、的缺点协议在电子商务使用中的缺点u首先，客户的银行资料信息先送到商家，让商家阅读，这样，客户银行资料的安全性就得不到保证。u其次，SSL服务器允许客户的浏览器使用标准的公钥加密技术和一些可靠的认证中心(CA)的证书,来确认服务器的合法性.但无法完成多方认证。尤其是缺少商家对客户的认证。电子商务精品课程组u2、SET协议u安全交易协议，由Visa、Master-card两大国际信用卡组织共同开发，它实质上是一种应用在Internet上，以信用卡为基础的电子支付系统规范。电子商务精品课程组信息在Internet上安全传输不被黑客窃取u订单信息和个人账号信息的隔离，当包含持卡人账号信息的订单送到商家

17、时，商家只能看到订单而看不到账号信息u商家和持卡人相互确认以确定双方的身份u要求软件遵循相同的协议和报文格式，是不同的软件与邮件融合互操作功能，并可以运行在不同的硬件和操作平台上 电子商务精品课程组（2）参与者）参与者u持卡人：持信用卡在网上购物的人。u网上商店。u发卡银行。u收单银行。u支付网关。uCA认证中心。电子商务精品课程组(3)SET协议安全措施电子商务精品课程组电子商务精品课程组SET标准的应用与局限性uSET协议为了保证安全性而牺牲了简便性、操作过于复杂、成本较高。uSET协议提供了多层次安全保障，复杂程度显著增加；用户必须下载或从光盘上安装一个电子钱包，以便在浏览器上加入付款功

18、能；用户还必须向金融机构或信赖的认证中心付费申请数字证书，以供持卡人和商家之间互相确认。这些安全环节在一定程度上增加了交易的复杂性。电子商务精品课程组电子商务精品课程组防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信均要经过此防火墙。电子商务精品课程组电子商务精品课程组防火墙是在网络层检查所有通过的信息包中的IP地址，并按照系统管理员所给定的过滤规则进行过滤。u常用攻击方法:IP地址欺骗电子商务精品课程组应用层网络层物理层内部网外部网电子商务精品课程组u是在网络应用层上建立协议过滤和转发功能。是在网络应用层上建立协议过滤和转发功能。应 用 层应 用 网 关 物 理 层内 部 网外 部 网电子商务精品课程组u代理服务是针对数据包过滤和应用网关技术的代理服务是针对数据包过滤和应用网关技术的缺点而引入的防火墙技术，其特点是将所有跨缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。从外部只越防火墙的网络通信链路分为两段。从外部只能看到该代理服务器而无法获知内部用户能看到该代理服务器而无法获知内部用户IP数数据等任何内部资源。据等任何内部资源。电子商务精品课程组客 户防 火 墙 代 理服 务 器请 求转 发 应 答请 求 转 发应 答