第8章_电子商务的安全问题.pptVIP

不安全口令的分析 使用用户名（帐号）作为口令 使用用户名（帐号）的变换形式作为口令 使用自己或者亲友的生日作为口令 使用学号、身份证号、单位内的员工号码作为口令 使用常用的英文单词作为口令 包过滤路由器设置实例 按地址 按服务 采用两个在数学上相关的密钥对——公开密钥和私有密钥来对信息进行加解密。通常人们也将这种密码体制称为双钥密码体制或非对称密码体制 加密密钥可以公开，又称公开密钥（public key），简称公钥 解密密钥必须保密，又称私人密钥（private key），简称私钥。 （1）加密模式 发送方用接收方公开密钥对要发送的信息进行加密 发送方将加密后的信息通过网络传送给接收方 接收方用自己的私有密钥对接收到的加密信息进行解密，得到信息明文 （2）验证模式（奠定了数字签名的基础） 发送方用自己的私有密钥对要发送的信息进行加密 发送方将加密后的信息通过网络传送给接收方 接收方用发送方公开密钥对接收到的加密信息进行解密，得到信息明文 电子商务的ＣＡ认证体系 PKI CA ： PKI（Public Key Infrastructure，公钥基础 设施）是提供公钥加密和数字签字服务的安全基础平台， 目的是管理密钥和证书。 用户自己认定的CA。 SET CA ：所颁发的数字证书主要有持卡人证书、商户 证书和支付网关证书。 电子商务的安全控制要求概述 基本认证技术 认证中心与认证体系 安全交易的过程 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 案例分析 安全交易的过程（机密、完整、不可否认、验证） 电子商务的安全控制要求概述 基本认证技术 认证中心与认证体系 安全交易的过程 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 安全交易的过程图示 案例分析 对称加密？ 非对称加密？ 电子商务的安全控制要求概述 基本认证技术 认证中心与认证体系 安全交易的过程 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 在甲方，要发送的信息通过哈希函数变换成数字摘要； 数字摘要用甲方的私钥通过RSA算法加密，其结果是一个数字签名； 数字签名和甲方的证书，附着在原始信息上打包；同时，在甲方的计算机上，使用DES算法生成对称密钥给这个信息包加密； 甲方预先收取乙方的证书，并通过其中的公钥为甲方的对称密钥加密，形成一个数字信封； 加密的信息和数字信封通过因特网传输给乙方的计算机； 乙方用自己的私钥解密数字信封，得到甲方的对称密钥； 通过这个密钥，从甲方收到的加密的信息被解密成原始信息、数字签名和甲方的数字证书； 用甲方的公钥（包含在甲方的证书中）解密数字签名，得到报文摘要； 将收到的原始信息通过哈希函数变换成报文摘要； 分别由第(8)步和第(9)步所产生的报文摘要被比较，以确定在传输过程中是否有什么改变，这一步确定信息的完整性。 安全交易过程的步骤 案例分析 电子商务的安全控制要求概述 SSL安全协议 SET安全交易协议 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 安全套接层协议（ＳＳＬ） SSL协议可以分为两个子协议：SSL握手协议 （Handshake protocol）和SSL纪录协议 （Record protocol）。 SSL协议基于TCP/IP ，SSL连接可以看成在TCP/IP连接 的基础上建立一个安全通道，在这一通道中，所有点对 点的信息都将加密，从而确保信息在Internet上传输时， 不会被第三方窃取。 SSL协议与SET协议 的比较 案例分析 * 第8章 电子商务的安全问题 * * 电子商务的安全控制要求概述 网络安全问题 电子商务的安全性问题 电子商务对安全控制的要求 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 网络安全问题 计算机病毒：破坏计算机功能或毁坏数据，影响 计算机使用，能自我复制的计算机指令或程序代 码。 拒绝服务：用数百条消息填塞某人的E-mail 信箱的一种在线袭扰的方法。 黑客攻击： ① 口令攻击 ② 服务攻击 ③ IP欺骗 案例分析 在网络的传输过程中信息被截获 电子商务面临的安全威胁 篡改传输的文件 假冒他人身份 不承认或抵赖已经做过的交易 电子商务的安全控制要求概述 网络安全问题 电子商务的安全性问题 电子商务对安全控制的要求 电子商务的认证技术 防火墙技术 数据加密技术 安全技术协议 案例分析 防止通信或交易双方对已进行的业务的否认 不可否认性（non-repudiation） 保证系统、数据和服务能由合法人员访问 可控性（access control）或可访问性 确保通信双方的真实性和合法性 认证性（authenticity）或验证 保证所有存储和管理的信