电子商务安全实验报告.doc

实验名称：电子商务安全技术 2010081126 吕吕 一、实验目的： 通过本实验加深对电子商务安全威胁、重要性的理解，了解电子商务安全的措施及相关技术。 二、实验内容： （1）上网搜集电子商务安全威胁的案例，分析电子商务安全的协议及措施。 要求搜集的电子商务安全威胁案例不少于3个，了解不同类型电子商务网站所采取的电子商务安全措施和技术。 答: 电子商务安全的协议有： PKI协议：PKI是Public Key Infrastructure的缩写，是指用公钥概念和技术来实施和提供安全服务的具有普适性的安全基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。 安全协议技术：目前常用的安全协议主要有两种：SSL协议（安全套接层协议）和SET协议（安全电子交易协议）。SSL?协议是由Netscape公司提出的安全交易协议，该协议主要目的是解决T?C?P?/I?P?协议不能确认用户身份的问题，在Socket?上使用非对称的加密技术，以保证网络通信服务的安全性。4SET是由Visa?和MasterCard?两大信用卡公司联合IBM,?Microsoft,?GTE?,Verisign?,?SA?IC等公司与1996年6月共同推出的以信用卡支付为基础的电子商务安全协议,其中涵盖了电子交易中的交易协定、信息保密、数据完整、数字认证和数字签名等。它采用公钥密码体制和X?.?5?0?9?数字证书标准，主要应用于保障网上购物信息的安全性。 （2）访问不同类型的电子商务站点，上网搜集相关资料，了解国内网上支付在安全方面的解决方案。 答：目前中国所有电子支付服务提供商都还是使用简单的用户名 / 密码认证机制，虽然某些电子支付服务提供商增加了一个安全控件，但还是存在以下两大严重安全问题：(1)用户的身份认证问题：由于涉及到资金问题，越来越多的黑客和木马软件就盯上了电子支付服务，而电子支付服务提供商现有的用户登录系统是简单的用户名 / 密码单一认证机制，可以说毫无安全性可言，非常容易被非法窃取而导致用户的资金被盗。(2)电子邮件泄密问题：由于电子支付服务提供商的电子支付服务的原理是通过电子邮件通知来收款和付款的，而电子邮件在互联网上是明文传输的，非常容易被非法窃取，而一旦用户的电子邮件内容被非法窃取，则此笔交易款就极有可能也非常容易被非法盗走。由于以上两大问题，就开始采用“双重认证 (two-factor authentication) ”技术来解决电子支付的在线身份盗窃问题，其实就是使用用户的个人数字证书来实现安全的身份认证和电子邮件加密。具体解决方案是：(1)电子支付服务提供商为每个用户颁发一个全球通用的个人数字证书用于登录电子支付服务系统的真实身份认证和用于每个交易的数字签名，从而杜绝了口令泄露而造成的损失和提供了交易不可否认的证据。 (2)由于每个用户都有全球通用的个人数字证书，不仅可以用于身份认证快速安全登录电子支付服务系统，还可以用于电子邮件数字签名和电子邮件内容加密，所有电子支付服务提供商与用户之间的电子邮件通信内容都是使用数字证书加密的，只有用户本人使用其个人数字证书才能阅读，而其他人即使在电子邮件服务器端或电子邮件传输过程中非法窃取电子邮件支付内容数字证书是由权威公正的第三方机构即CA中心签发的，以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性。数字证书采用公钥密码体制，即利用一对互相匹配的密钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。 （3）进入阿里巴巴电子商务站点，浏览，查阅，体验站点的安全机制和支付功能。 总结阿里巴巴电子商务站点的安全机制和支付机制。 答：阿里巴巴电子商务安全1. 数据加密技术。对数据进行加密是电子商务系统最基本的信息安全防范措施．其原理是利用加密算法将信息明文转换成按一定加密规则生成的密文后进行传输，从而保证数据的保密性。使用数据加密技术可以解决信息本身的保密性要求。数据加密技术可分为对称密钥加密和非对称密钥加密。(1)对称密钥加密 (SecretKeyEncryption)。对称密钥加密也叫秘密/专用密钥加密，即发送和接收数据的双方必须使用相同的密钥对明文进行加密和解密运算。它的优点是加密、解密速度快，适合于对大量数据进行加密，能够保证数据的机密性和完整性；缺点是当用户数量大时，分配和管理密钥就相当困难。(2)