第六章电子商务安全保障体系.docVIP

第六章电子商务安全保障体系 本章提要 电子商务的安全控制 安全电子交易的数据加密 安全电子交易的认证技术与数字证书 安全电子交易（ SET ）标准 安全电子交易的操作技术和网络建设的安全性 学习目标 掌握电子商务的安全控制的要求和安全交易标准和实施方法 了解安全电子交易的数据加密，理解一般的数据加密模型 掌握认证技术与数字证书和安全电子交易的相关知识 掌握网络建设的安全性中的网络安全面临的威胁和网络安全机制的实现 知识结构图 6、1电子商务的安全控制 1、电子商务的安全控制 电子商务顺利开展的核心和关键问题是保证交易的安全性，这是网上交易的基础，也是电子商务技术的难点。用户对于安全的需要主要包括以下五个方面，（见下图）所示。 交易的不可否认性主要包括 1、源点不可否认性，即信息发送者事后无法否认其发送的信息； 2、接受不可否认性，即信息接收方无法否认其受到信息； 3、回执不可否认性，即发送责任回执的各个环节均无法推脱其应负的责任。 2、电子商务安全交易标准与实施方法 近年来，信息技术业界与金融行业为适应电子商务需要，共同研究颁布了一些 Internet 标准，以保障交易的安全性，（见下图）所示。 安全电子交易协议 涵盖了信用卡在电子商务交易中的交易协定、信息保密、资料完整及数字认证、数字签名等。这一标准被公认为全球网际网络的标准，其交易形态成为未来“电子商务”的规范。 安全超文本传输协议 依靠密钥加密，保障Web站点间的交易信息传输的安全性。 安全交易技术协议 由Microsoft公司提出的安全交易协议，STT将认证和解密在浏览器中分离开，用以提高安全控制能力。 安全套接层协议 由Netscape公司提出的安全交易协议，提供加密、认证服务和报文完整性。 6、2安全电子交易的数据加密 1、数据加密技术综述 加密技术与密码学紧密相连，利用密码技术可以把某些重要信息或数据从一个可理解的明文形式变换成为一种错乱的、不可理解的密文形式，称为加密过程；密文经过线路传送到达目的端后，用户按特定的解密方法将密文还原为明文，称为解密的过程。一般的数据加密模型，（见下图）所示。 2、对称密钥加密与数据加密标准（ DES ） 对称密钥加密算法是指文件加密和解密使用一个相同秘密密钥，也叫会话密钥。 DES 算法的基本思想来自于 分组密码 ，（见下图）所示。 DES 算法有其一定的 优势 ，但也存在很多 不足。 分组密码即将明文划分成固定的n比特的数据组，然后以组为单位，在密钥的控制下进行一系列的线性或非线性的变化而得到密文，这就是分组密码体制。 优势是加密/解密速度快，算法容易实现，安全性好，迄今未知尚未找到一种理论上破译DES的行之有效的方法。 不足是密钥量短，容易被穷尽，在复杂网络中难于实现密钥管理。 3、公开密钥加密与 RSA 算法 　　公开密钥密码体制简称公钥体制，它与传统密码体制不同的是，用户的加密密钥与解密密钥不再相同。 RSA 编码法是建立在 “大数分解和素数检测” 的理论基础上的。 RSA 算法有在使用中有很多 优点 同时又存在很多 缺点 ， RSA 体系的基础在于大素数因子分解困难。如果能有办法或者在一定条件下对大素数进行因子分解，就能够对密文进行破译。 大数分解和素数检测即两个大素数相乘在计算上是容易实现的，但将该乘积分解为两个大素数因子的计算量却相当巨大，大到甚至在计算机上也不可能实现。素数检测就是判定一个给定的正整数是否为素数。 优点是在网络中容易实现密钥管理，便于进行数字签名，从而保证数据的不可抵赖性。 缺点是算法复杂，加密、解密速度慢。 3、 DES 与 RSA 相结合的综合保密系统 为了保证电子商务系统的安全、可靠以及使用效率，一般可以采用由 RSA 算法和 DES 算法相结合实现的综合保密系统，（见下图）所示。这样就构成一个简单的具有安全功能的电子商务系统。 4、安全套接协议 SSL 　　SSL 是对 Internet 上计算机之间对话进行加密的协议，用于 Internet 上金融信息的保密处理。 SSL 同时使用公共密钥和私有密钥加密技术，其运行机制，（见下图）所示。 采用 SSL 协议的电子交易过程，（见下图）所示。 ① 表示客户购买的信息首先发往商家； ② 表示商家再将信息转发银行； ③ 和⑤表示银行验证客户信息的合法性后，再通知商家和客户付款成功； ④ 表示商家再通知客户购买成功。 6、3认证技术与数字证书 1、身份认证 身份认证是判明和确认贸易双方真实身份的重要环节，也是电子商务交易过程中最薄弱的环节。用户身份认证可通过以下 三种基本方式 或其组合方式来实现。 第一，用户所知道的某个秘密信息； 第二，用户所持有的某个秘密信息（硬件），即