第二章节 电子商务支付中的安全.pptVIP

SSL协议 SSL协议的概念 SSL协议即安全套接层协议，是有Netscape公司推出的一种基于RAA和保密密钥的用于客户端Web浏览器和Internet上的服务器之间提供数据传输安全通道的协议，是国际上最早应用于电子商务的一种由消费者和商家双方参加的信用卡支付协议。 Web浏览器包括微软公司的IE浏览器、网景公司的Navigator浏览器等。 服务器包括网上商家的业务服务器、银行受理在线支付的服务器等。 验证技术 一、数字摘要 数字摘要是信息发送方利用某种数学算法对信息进行处理后，生成的一个有固定长度的特殊字符串。在传输信息时，将数字摘要一起发送给接收方，接收方可以根据数字摘要判断信息在传输过程中是否被篡改过。 原文与数字摘要是一一对应的关系，如果原文被篡改，数字摘要将无法匹配。 在生成数字摘要的数学算法中，Hash算法是最为常用的一种。 数字摘要的原理 发送方 接收方 信息 数字摘要A 信息 数字摘要A 如果二者相同， 说明接收到的 数据在传输过程 中没有被篡改。 1.Hash 数字摘要B 2.Hash 3.二者 比较 数字摘要的特点 在一定程度上保证信息的真实性，防止信息在传输过程中被篡改。 数字摘要 的特点 优点 缺点 单靠数字摘要并 不能保证信息的 完整性，必须和 信息加密等其他 安全技术结合起 来使用。 二、数字时间戳 数字时间戳就是对电子文件签署的日期和时间进行安全性保护和有效证明的技术，他必须由专门的数字时间戳服务中心来添加。 数字时间戳实际上是一个经过加密后形成的凭证文档。一般包括三个部分： 信息的数字摘要 数字时间戳服务中心收到数字摘要的时间和日期 数字时间戳服务中心的数字签名 数字时间戳的原理 发送方 数字时间戳服务中心 信息 数字摘要A 数字摘要A 数字时间戳 数字摘要A + 时间信息 2.加时间 3.数字 签名 数字时间戳 1.Hash 数字签名技术 一、签名 签名，是指一个人用手亲笔在一份文件上写下名字或留下印记、印章或其他特殊符号，以确定签名人的身份，并确定签名人对文件内容予以认可。 传统的签名必须依附于某种有形的介质，而在电子交易过程中，文件是通过数据电文的发送、交换、传输、储存来形成的，没有有形介质，这就需要通过一种技术手段来识别交易当事人、保证交易安全，以达到与传统的手写签名相同的功能。这种能够达到与手写签名相同功能的技术手段，称为电子签名。 传统手写签名主要功能 表明文件的来源，识别签名人 签名人对文件内容的确认 能够构成签名人对文件内容正确性和完整性负责的根据 二、数字签名 数字签名（又叫电子签名）是利用先进的加密技术，向传输的数据信息上附加一个代表发送者个人身份的标记，起到传统的签名、手印或印章的作用，保证发送方的真实身份和数据信息是真实的，并非由他人伪造。 所附加的标记只能由信息的发送者产生，别人无法伪造，就像人的指纹一样，每个发送者的标记在全世界都是唯一的。 数字签名概念的内容 数字签名是以电子形式出现的数据 数字签名是附着于数字信息（数据电文）的。电子签名可以是数据电文的一个组成部分，也可以是数据电文的附属。 数字签名必须能够识别签名人的身份并表明签名人认可与数据签名相联系的数据电文的内容。 数字签名解决的主要问题实在电子商务活动中确保信息、单据的真实性和不可抵赖性。 数字签名的原理 发送方 接收方 信息 数字摘要A 数字签名 数字摘要B 数字签名 数字摘要A 3.发送 5.Hash 信息 + 数字签名 信息 如果两者相同， 说明接收到的 数据是完整的， 即在传输过程 中没有被篡改 1.Hash 2.发送方私 人密钥加密 信息 + 数字签名 4.接收 6.发送方公 开密钥解 7.比较 两者 如果可以解密，说明发送者身份是真实的 数字签名的特点 不可 伪造 数字签名是由发送方的私人密钥加密产生的，而私人密钥只有发送方自己知道，如果发送方没有泄露，别人无法知道私人密钥，也就无法伪造数字签名 信息无 法篡改 数字签名是信息在发送方经过加密得到的，信息被篡改，对应的数字签名也将改变，接收方进行签名验证不会通过。 不可抵赖 私人/公开密钥对是一一对应的，一个私人密钥只分配给一个发送方。 数字签名的功能 防止发送方否认自己的行为 防止接收方伪造信息 防止他人 冒充身份 防止篡改 信息 如果发送方抵赖自己对某次交易的操作，那么接收方可以提供收到的数字签名作为证据，追究责任。 接收方伪造信息时，只需要简单地用发送方的公开密钥验证即可得知真伪。 用来签名的私人密钥只有发送方自己知道，用来验证签名的公开密钥只发送给了接收方，且发送时加密。 接收方通过对数字签名的验证，即可以判断出信息是否完整，接收方只信任完整的信息，而将被篡改