第四章电子商务安全技术1.ppt

第4章 电子商务安全技术;4.1 电子商务安全概述;客户信息的安全威胁 ;传输信息的安全威胁 ;;电子商务服务器的安全威胁 ;电子商务安全的需求 ;电子商务安全的内容 ;4.2 信息加密技术; 由于英文字母中各字母出现的频度早已有人进行过统计，所以根据字母频度表可以很容易对这种代替密码进行破译。;再看一个加密的例子： 中国的网络企业70%以上没有信息安全保障 密钥：864513279 ; 现在常用的加密方法按加密程序类型分为三类：散列编码、对称加密和非对称加密 ; 如： （1）“我们7月30号去旅游”——AD3D3DFVAF （2）一个实现算法： input?=?Let?us?meet?at ?9?o?clock?at?the?secret?place.; $hash?=?mhash(MHASH_SHA1,?$input);print?散列值为?.bin2hex($hash).\n; 散列值为 d3b85d710d8f6e4e5efd4d5e67d041f9cecedafe ;请看下面示意图：;(2)对称密钥加密体制;;(3)非对称密钥加密体制;RSA公钥密码(1);RSA公钥密码(2);非对称加密示意图;如何保证交易的完整性？？;数字摘要（Digital Digest）;问题： 散列算法是公开的，如何有人修改了订单中的送货地址和商品数量，重新生成信息摘要，然后把修改后的信息和新的信息摘要发给商家。商家收到信息后检查，发觉是匹配的，也就是说，修改后也没人发现。 那么，我们该如何提出改进方案，保证发信息的人是商家所期待的客户？就是说，我们要让商家能确认发送订单的客户的身份。  解决办法：数字签名;数字签名(digital signature);数字签名并非用“手书签名”类型的图型标志，它采用了双重加密的方法来实现防伪、防赖。其原理为： ①　被发送文件用SHA编码加密产生128Bit的数字摘要。 ②　发送方用自己的私用密钥对摘要再加密，这就形成了数字签名。 ③　将原文和加密的摘要同时传给对方。 ④　对方用发送方的公共密钥对摘要解密，同时对收到的文件用SHA编码加密产生又一摘要。 ⑤　将解密后的摘要和收到的文件在接收方重新加密产生的摘要互对比。如两者一致，则说明传送过程中信息没有被破坏或篡改过。否则不然。;第二.公钥可帮助我们实现数字签名。;我们看看安全交易的示意图：;数字信封(Digital Envelope);金融交易所使用的密钥必须经常更换，但是为了解决每次更换密钥的问题， 数字信封克服了秘密密钥加密中秘密密钥分发困难和公开密钥加密中加密时间长的问题，使用两个层次的加密来获得公开密钥技术的灵活性和秘密密钥技术的高效性。 信息发送方使用密码对信息进行加密，从而保证只有规定的收信人才能阅读信的内容。采用数字信封技术后，即使加密文件被他人非法截获，因为截获者无法得到发送方的通信密钥，故不可能对文件进行解密。;数字时间戳（digital time-stamp）;时间戳产生的过程为：用户首先将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。 由 Bellcore 创造的DTS采用如下的过程：加密时将摘要信息归并到二叉树的数据结构；再将二叉树的根值发表在报纸上，这样更有效地为文件发表时间提供了佐证。注意，书面签署文件的时间是由签署人自己写上的，而数字时间戳则不然，它是由认证单位DTS来加的，以DTS收到文件的时间为依据。因此，时间戳也可作为科学家的科学发明文献的时间认证。 ;数字证书（Digital certificate）;数字证书是以INTERNET为背景，在新的商务运作模式下产 生的。我们必须以新的思维来接受，理解它。在使用数字证书的 过程中，通过运用对称和非对称密码体制等密码技术建立起一套 严密的身份认证系统，能够保证信息除发送方和接收方外不被其 它人窃取；信息在传输过程中不被篡改；发送方能够通过数字证 书来确认接收方的身份；发送方对于自己发送的信息不能抵赖。 数字证书可用于：方便，快捷，安全的，发送电子邮件；访问 安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、 网上办公、网上缴费、网上缴税、网上购物等网上的安全电子事务处 理和安全电子交易活动。;认证中心 (CA Certification Authority);认证中心; 防火墙（Firewall）是一类防范措施的总称,是一种非