电子商务安全保密6--13讲452剖析.ppt

电子商务安全保密技术与应用 第6章 安全协议与安全标准 [本章要点] 1.电子商务安全服务支撑协议：安全套接层协议SSL、安全电子传输规范SET协议、安全通信协议S-HTTP、Internet 电子数据交换协议、互联网安全协议IPSec 2.电子支付协议：Netbill协议、First Virtual协议、iKP协议 3.电子邮件协议：PEM和S/MIME 4.Windows 2000的IPSec策略和SSL配置策略 5.国际安全评估的6个准则 第6章 安全协议与安全标准 引例6 匿名汇票“双重花费”问题 6.1 商务安全协议概述 6.2 安全套接层协议SSL 6.3 安全电子交易规范SET 6.4 电子支付专用协议NetBill和iKP 6.5 安全超文本传输协议S-HTTP 6.6 安全电子邮件协议 6.7 Internet 电子数据交换协议EDI 6.8 IPSec安全协议 6.9 安全技术评估标准 6.1 商务安全协议概述 作用：用于加强Internet通信安全性 分类：目前国际上流行的电子商务所采用的协议 (1)通信安全协议 (2)支付安全协议 (3)邮件安全协议 包括：用于接入控制的SSL、基于信用卡交易的安全电子协议SET、安全超文本传输协议S-HTTP、公对公交易的Internet EDI、专用小型支付安全协议Netbill、First Virtual和iKP协议、安全电子邮件协议PEM和S/MIME等。 6.2 安全套接层协议SSL 1. 背景 由美国Netscape公司1995年开发和倡导的安全套接层协议SSL ，是国际上最早应用于电子商务的一种网络安全协议，至今仍然有很多网上商店使用，是目前安全电子商务交易中使用最多的协议之一。 SSL主要用于提高应用程序之间的数据的安全系数。SSL协议的实现属于SOCKET层，在Internet网络层次中的位置处于应用层和传输层之间。SSL安全协议被许多世界知名厂商的Intranet和Internet网络产品所支持，其中包括Netscape、Microsoft、IBM 、Open Market等公司提供的支持SSL的客户机和服务器产品，如IE和Netscape浏览器，IIS、Domino Go WebServer、Netscape Enterprise Server和Appache等Web Server等 6.2 安全套接层协议SSL（续） 6.2.1 SSL提供的安全服务 6.2.2 SSL协议的运行步骤 6.2.3 SSL体系结构 6.2.4 SSL的安全措施 6.2.5 Windows 2000中SSL的配置与应用 6.2.1 SSL提供的安全服务 1.用户和服务器的合法性认证 用户和服务器分别有自己的识别码，由SSL的握手协议进行数字认证实现 2.加密数据以隐藏被传送的数据 采用对称密钥、公开密钥技术，保证机密性和完整性，用数字证书鉴别，防止破译 3.保护数据的完整性 采用Hash函数和机密共享方式，对服务器、客户认证，保证机密性，防止窃听，， 6.2.2 SSL协议的运行步骤 ①接通阶段：客户通过网络向服务商打招呼，服务商回应； ②密钥交换阶段：客户与服务器之间交换双方认可的密钥，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法； ③协商密钥阶段：客户与服务商间产生彼此交谈的会话密钥； ④检验阶段：检验服务商取得的密钥； ⑤客户认证阶段：验证客户的可信度； ⑥结束阶段，客户与服务商之间相互交换结束的信息。 6.2.2 SSL协议的运行步骤 分析 SSL基点：商家对客户承诺保密 商家对客户认证，缺乏客户对商家的认证 6.2.3 SSL体系结构 6.2.3 SSL体系结构 1.SSL记录协议 （1）记录头格式 是2-3字节的编码，包括：记录头长度、数据长度、数据中包括的填充数据（满足加密算法） （2）记录数据格式 MAC数据（16字节）+实际数据+填充数据 MAC数据=Hash[密钥，实际数据，填充数据，序号] 2.更改密文规范协议CCSP 作用：使挂起状态被复制到当前状态，改变连接将