第章旅游电子商安全技术.pptVIP

第3章 旅游电子商务安全技术 第3章 电子商务安全技术 3.1 电子商务系统安全的概念 3.2 电子商务安全技术 3.2.1 密钥加密技术 3.2.2 信息摘要 3.2.3 数字签名 3.2.4 数字时间戳 3.2.5 CA认证与数字证书 3.3 电子商务安全交易标准 3. 1 电子商务系统安全的概念 3.1.1 电子商务中存在的安全威胁 由于非法入侵者的侵入，造成商务信息被篡改、盗窃或丢失； 商业机密在传输过程中被第三方获悉，甚至被恶意窃取、篡改和破坏； 虚假身份的交易对象及虚假订单、合同；贸易对象的抵赖； 由于计算机系统故障对交易过程和商业信息安全所造成的破坏。 3.1.1 对于电子商务的四类威胁 中断---不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用。 窃取---指敏感数据在有意或无意中被泄漏或丢失，通常包括信息在传输中丢失或泄漏，信息在存储介质中丢失或泄漏，通过建立隐蔽隧道等。 更改---以非法手段窃得对数据的使用权，删除、修改、插入信息，以取得有益于攻击者的响应，以干扰用户的正常使用。 伪造---以非法手段窃得对数据的使用权，恶意修改数据，以假冒。 买方面临的安全威胁 虚假订单：假冒者可能会以客户的名字来订购商品，而且有可能收到商品，而此时客户却被要求付款或返还商品。 付款后不能收到商品：在要求客户付款后，销售商中的内部人员不将订单和钱转发给执行部门，因而使客户不能收到商品。 机密性丧失：客户有可能将秘密的个人数据或自己的身份数据（如PIN，口令等）发送给冒充销售商的机构，这些信息也可能会在传递过程中被窃听。 拒绝服务：攻击者可能向销售商的服务器发送大量的虚假定单来挤占它的资源，从而使合法用户不能得到正常服务。 卖方面临的安全威胁 系统中心安全性被破坏：入侵者假冒成合法用户来改变用户数据、解除用户订单或生成虚假订单。 竞争者的威胁：恶意竞争者以他人的名义来订购商品，从而了解有关商品的递送状况和货物的库存情况。 商业机密的安全：客户资料被竞争者获悉。 假冒的威胁：不诚实的人建立与销售者服务器名字相同的另一个www服务器来假冒销售者；虚假订单；获取他人的机密数据，比如，某人想要了解另一人在销售商处的信誉时，他以另一人的名字向销售商订购昂贵的商品，然后观察销售商的行动，假如销售商认可该定单，则说明彼观察者的信誉高，否则，则说明被观察者的信誉不高。 信用的威胁：买方提交订单后不付款 3.1.2 电子商务的安全性需求 信息的保密性 数据的完整性 用户身份的鉴别 数据原发者鉴别 数据源发者的不可抵赖性 合法用户的安全性 3.1.3 电子商务安全的概念 密码安全---由技术上提供强韧的密码系统及其正确应用来实现，是通信安全的最核心部分。 计算机安全---计算机数据和程序文件不至被非授权人员，计算机和程序访问，获取和修改，可以通过限制使用的物理范围，利用特殊软件和安全功能构造来实现。 网络安全---通过物理设施的保护，软件及职员的安全防止非授权的访问，偶发或蓄意的干扰或破坏。 信息安全---保护信息免遭非授权泄密或处理能力的丧失。 3.1.5 解决电子商务安全问题的策略 电子商务安全交易体系 3.2 电子商务安全技术 防火墙(Firewall) 加密技术（Encryption) 数字摘要(Message Digest) 数字签名(Digital Signature) 安全协议(Secure Protocol) 认证技术(Authentication Certificate) 3.2.1 防火墙技术 防火墙是指一个由软件或和硬件设备组合而成，是加强因特网与内部网之间安全防范的一个或一组系统。 它具有限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。它可以确定哪些内部服务允许外部访问，哪些外部服务可由内部人员访问，即它能控制网络内外的信息交流，提供接入控制和审查跟踪，是一种访问控制机制。 防火墙是具有以下特征的计算机： 同内到外和由外到内的所有访问都必须通过它 只有本地安全策略所定义的合法访问才被允许通过它。 防火墙本身无法被穿透 防火墙内的网络通常叫可信网络，而防火墙外的网络叫不可信网络。防火墙相当于一个过滤设备，它允许特定的信息流入或流出被保护的网络。 防火墙的安全策略有两种： 凡是没有被列为允许访问的服务都是被禁止的。 凡是没有被列为禁止访问的服务都是被允许的 。 防火墙的分类 防火墙分类：包过滤、网关服务器和代理服务器。 包过滤：检查可信网络和互联网之间传输的所有数据（源、目标地址、端口），并设定规则。 网关服务器：根据所请求的应用对访问进行过滤的防火墙。如约束Telnet,ftp