第5章电子商务安全技术案例.ppt

第5章 电子商务安全 电子商务安全要求 电子商务安全防范技术 电子商务系统安全管理制度 计算机病毒 安全威胁事件 2000年2月，雅虎被黑客们以假的交易行为访问网站，造成网上交易阻塞，妨碍那些真正需要使用网站服务的用户，被迫中断长达3小时之久。 2005年6月18日，一家为万事达、VISA和美国运通卡等信用卡公司服务的数据处理中心—CardSystems公司遭到黑客攻击，造成多个国家的近70000个账户信息被用于非面对面的欺诈交易，影响面极大。 2006年12月初爆发的“熊猫烧香”病毒及其变种，造成直接和间接损失超过1亿元。 2007年，一种后门程序“灰鸽子”病毒在网络上大规模爆发，利用远程控制能力，控制别人的计算机。 …… 电子商务面临的安全威胁 计算机及网路的安全 硬件安全问题 软件漏洞 计算机病毒 网络攻击 安全管理不完善 商务交易的安全 买方面临的安全威胁：虚假订单、付款后不能收到商品、机密性丧失、拒绝服务； 卖方面临的安全威胁：系统中心安全性被破坏、竞争者的威胁、假冒的威胁、信用的威胁 第5章 电子商务安全 电子商务安全的要求 电子商务安全的防范技术 电子商务系统安全管理制度 防火墙技术—概念 防火墙技术—功能 包过滤型防火墙 代理服务型防火墙 防火墙技术—局限性 病毒防治技术 数据加密技术 加密技术，即采用合适的加密算法，把原始信息（明文）转换成不可理解的形式或者偏离信息原意的信息（密文），从而保障信息的保密性。 对称加密技术—实现原理 对称密钥加密又称为私钥密钥加密，这种加密体制信息的发送方和接收方使用同一个密钥去加密和解密数据，即一把钥匙开一把锁。最具有代表性的是美国数据加密标准，简称DES。 对称加密技术—优缺点 优点： 算法简单，加密、解密速度快、效率高，适合于对大数据量进行加密 加密和解密使用同一密钥，应用简单，适用于专用网络中通信各方相对固定的情况 存在问题： 通信参与者之间要确保密钥安全交换 密钥管理困难 无法鉴别贸易双方的身份 非对称加密技术—实现原理 非对称密钥加密体制又称为公开密钥加密，在这种加密体制中，存在“密钥对”，其中一个是公开密钥，可以对外公布；另一个是私用密钥，不能随便让他人获知，要保证其安全性。用其中任何一个密钥对信息进行加密后，都可以用另一个密钥对其进行解密。RSA是最著名和实用的一种，已成为事实上的工业标准。 非对称加密技术—优缺点 优点： 有效解决了对称加密技术中密钥的安全交换、难以管理，以及无法对身份进行确认等不足； 存在问题： 算法复杂，加密数据的速度慢，一般不适合对数据较大的文件进行加密，只适合对少量数据加密。 无法鉴别贸易双方的身份 二、身份认证技术 身份认证技术是防止信息被篡改、删除和伪造的一种有效方法。它使发送的信息具有被验证的能力，使接收者能够识别和确认信息的真伪。包括： 数字信封 数字摘要 数字签名 数字时间戳 数字证书 特点： 加密信息被分成密文和信封两部分 结合了对称加密方法和非对称加密方法的优点 只有规定的收信人才能阅读信的内容 提高了加解密速度 保证了密钥的安全性 数字签名 数字签名也称电子签名，是指利用加密技术在要发送的信息中附加一个特殊的唯一代表发送者身份的标记，用来证明信息是由发送者发出的，它是非对成加密和数字摘要技术的联合应用，在保证信息完整性的同时，保证信息的真实性和不可否认性，同时确认信息发送者的身份。 数字签名—应用原理 认证中心 认证中心就是承担网上安全电子交易认证服务、签发并管理数字证书、为交易各方提供身份认证服务的专门机构。 认证中心通常是企业性的服务机构。 认证中心的作用 证书颁发、更新、查询、验证、作废、归档 密钥托管、密钥恢复 核心功能是发放和管理数字证书 认证中心为每个使用公开密钥的用户发放一个数字证书，用以证明用户合法拥有证书中列出的公开密钥； CA机构的数字签名使攻击者不能伪造和篡改证书。 认证体系的结构 认证体系具有一定的层次结构。通过这种层次结构，用户可以逐级向上验证认证中心的可靠性。 SET协议的工作原理 SET交易的参与方 持卡人：必须是银行卡的持卡人，安装电子钱包软件；向SETCA申请数字证书； 商户：必须在收单银行开设账户，集成SET交易商家 软件，向SETCA申请数字证书； 支付网关：必须向SETCA申请数字证书，一般由收单银行来担任； 收单行：为商户建立账户并处理支付授权和支付； 发卡行：为持卡人建立账户并发行支付卡，保证对经过授权的交易进行付款； 认证机构：向持卡人、商户、支付网关颁发证书，用于判断交易方的真实身份。 第5章 电子商务安全 电子商务安全的要求 电子商务安全的防范技术 电子商务系统安全管理制度 三、电子商务系统安全管理制度 人员管理制度 保密制度 跟踪、审计、稽核制度 日常维护