第3章电子商务的关键技术祥解.ppt

数字证书 2.数字证书内容 认证中心所颁发的数字证书均遵循X.509 V3标准，根据这项标准，数字证书包括证书申请者的信息和发放证书CA的信息。 数字证书 3.对数字证书的验证 对数字证书的验证包括以下几个步骤： CA签名真实？ 证书在有效期内？ 证书在CA发布的 证书撤消列表内？ Y 伪造的证书 N 失效的证书 N Y 失效的证书 Y N 有效的证书 数字证书 4. 数字证书的类型 3.2.6 电子商务安全协议 为了保障电子商务的安全性，一些公司和机构制定了电子商务的安全协议，来规范在Internet上从事商务活动的流程。 目前，典型的电子商务安全协议有： SSL（安全套接层）协议 SET（安全电子交易）协议 SSL协议 SSL协议（Security Socket Layer， 安全套接层协议）是Netscape公司提出的基于Web应用的安全协议，该协议向基于TCP/IP的C/S应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。 1. 协议简介 SSL协议 SSL采用对称密码技术和公开密码技术相结合，提供了如下三种基本的安全服务： 秘密性。SSL客户机和服务器之间通过密码算法和密钥的协商，建立起一个安全通道。以后在安全通道中传输的所有信息都经过了加密处理。 完整性。SSL利用密码算法和hash函数，通过对传输信息特征值的提取来保证信息的完整性。 认证性。利用证书技术和可信的第三方CA，可以让客户机和服务器相互识别对方的身份。 1. 协议简介 SSL协议 SSL协议的关键是要解决以下几个问题： 客户对服务器的身份确认：容许客户浏览器，使用标准的公钥加密技术和一些可靠的认证中心（CA）的证书，来确认服务器的合法性。 服务器对客户的身份确认：容许客户服务器的软件通过公钥技术和可信赖的证书，来确认客户的身份。 建立起服务器和客户之间安全的数据通道：要求客户和服务器之间的所有的发送数据都被发送端加密，所有的接收数据都被接收端解密，同时SSL协议会在传输过程中解查数据是否被中途修改。 2. SSL协议的作用 SSL协议 3. 双向认证SSL协议的具体过程 双向认证SSL协议的具体通讯过程，要求服务器和用户双方都有证书。单向认证SSL协议不需要客户拥有CA证书。 基于SSL协议，双方的通讯内容是经过加密的数据，这时候的安全就依赖于密码方案的安全。 SET协议 1. SET概述 SET协议（Secure Electronic Transaction，安全电子交易协议）是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范。其实质是一种应用在Internet上、以信用卡为基础的电子付款系统规范，目的就是为了保证网络交易的安全。 SET协议采用公钥密码体制和X.509数字证书标准，提供了消费者、商家和银行之间的认证，确保了交易数据的机密性、真实性、完整性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。 SET协议 2. SET协议的目标 SET要达到的最主要目标是： （1）信息在公共因特网上安全传输 （2）订单信息和个人账号信息隔离 （3）持卡人和商家相互认证 SET协议涉及的当事人包括持卡人、发卡机构、商家、银行以及支付网关。 3.2.3 电子商务基本安全技术 用户所知道的某种秘密信息 用户持有的某种秘密信息（硬件） 用户所具有的某些生物学特征 身份认证：用于鉴别用户身份 报文认证：用于保证通信双方的不可抵赖性和信息完整性 实现方式 验证内容 证实报文是由指定的发送方产生的 证实报文的内容没有被修改过 确认报文的序号和时间是正确的 认证技术 3.2.3 电子商务基本安全技术 数字签名 数字摘要 数字证书 CA安全认证体系 广泛使用的认证技术 认证技术 3.2.3 电子商务基本安全技术 安全电子交易协议 目前有两种安全在线支付协议被广泛采用 SSL(Secure Sockets Layer，安全套接层)协议 SET(Secure Elecronic Transaction，安全电子交易)协议 3.2.3 电子商务基本安全技术 黑客防范技术 （1）安全评估技术 通过扫描器发现远程或本地主机所存在的安全问题。 扫描器的一般功能： 发现一个主机或网络的能力 发现什么服务正运行在这台主机上的能力 通过测试这些服务，发现漏洞的能力 扫描器的种类 基于服务器的扫描器 基于网络的扫描器 3.2.3 电子商务基本安全技术 黑客防