电子商务的安全.ppt

第04章：电子商务的安全 安全概述 对版权和知识产权的保护 保护客户机 保护通讯信道的安全 保护服务器的安全 /dzsw/dzsw.htm 4.1 安全概述（1） 计算机安全 安全威胁 安全分类 安全措施 安全策略 4.1 安全概述（2） 计算机安全：保护企业资产不受未经授权的访问、使用、篡改或破坏。 综合安全：将所有安全措施协同起来以防止未经授权的资产暴露、破坏或修改。 安全保护方式分类： 物理安全：指可触及的保护设施，如：警铃、保卫、保险箱等 逻辑安全：使用非物理手段对资产进行保护 安全威胁：对计算机资产带来危险的任何行动或对象。 4.1 安全概述（3） 安全分类： 保密：防止未授权的数据暴露并确保数据源的可靠性。 完整：防止未经授权的数据修改。 即需：防止延迟或拒绝服务。 4.1 安全概述（4） 安全措施：识别、降低或消除安全威胁的物理或逻辑步骤的总称。 安全成本：保护资产免受安全威胁的成本。 4.1 安全概述（5） 安全策略：对所需保护的资产、保护的原因、谁负责进行保护、哪些行为可接受、哪些不可接受等的书面描述。 内容： 认证：谁想访问电子商务网站？ 访问控制：允许谁登录电子商务网站并访问它？ 保密：谁有权利查看特定的信息？ 数据完整性：允许谁修改数据，不允许谁修改数据？ 审计：在何时由何人导致了何事？ 4.2 对版权和知识产权的保护4.2.1 对知识产权的安全威胁 版权：是对表现的保护，一般保护对象包括文学和音乐作品、戏曲和舞蹈作品、等等 知识产权：思想的所有权和对思想的实际或虚拟表现的控制权。 在Internet上产权保护困难： 很多人不了解保护知识产权方面的版权规定 容易复制，而查找非法使用困难 版权网站： / 侵权实例： 抢注域名：用别人公司的商标来注册一个域名。 4.2.2 保护知识产权（1） 保护数字化知识产权：在网站上发表知识产权作品而又能保护这些作品。 方法一：ISP可用IP阻塞、包过滤或代理服务器来阻止某个违法网站的访问。 方法二：采用信息隐藏法来生成数字水印。 数字水印：隐藏地嵌入在数字图像或声音文件里的数字码或数字流。可对其内容加密或简单地隐藏在图像或声音文件的字节里。 4.2.2 保护知识产权（2） ARIS公司的MusiCode,SoniCode Digimarc 公司也提供数字水印保护系统和软件，Digimarc系统可在WWW跟踪嵌入数字水印的作品。 SoftLock服务公司可锁住要在 WWW 上出售的数字信息文件。/ 4.3 保护客户机4.3.1 对客户机的安全威胁 活动内容 Java、Java小程序和JavaScript ActiveX控件 图形文件、插件和电子邮件的附件 1）活动内容 定义：活动内容是指在页面中嵌入的对用户透明的程序。 形式：Java小程序、ActiveX控件、JavaScript 和 VBScript；图形和WWW浏览器插件。 安全威胁： 特洛伊木马程序 Cookie中的信息（信用卡号、用户名、密码等） 2）Java、Java小程序和JavaScript Java：OOPL、支持代码重用、与平台无关。普遍应用在 WWW 页面中。 安全威胁： 下载的Java程序可在客户机上运行。 解决方法： Java“运行程序安全区”：约束Java小程序处理资源的能力 安全级别：可信、“签名”、“不可信” JavaScript：可嵌入到页面中的程序 3）ActiveX控件 定义：是一个对象（控件），由页面设计者放在页里来执行特定任务的程序。可由多种语言开发，但只能在 Windows系统上运行。 示例：日历控件及各种游戏 安全威胁： 一旦下载，可访问客户机的所有资源。 4）图形文件、插件和电子邮件的附件 图形文件：有些图像文件的格式是专门设计的，能够包含确定图像显示方式的指令。 插件：是增强浏览器功能的程序，即完成浏览器不能处理的页面内容。如播放音乐、电影或动画等。 许多插件都是通过执行相应媒体里的指令来完成其职责。 电子邮件的附件：如Office文档 4.3.2 保护客户机 Navigator、IE都能识别带有活动内容的页面。 数字证书 使用防病毒软件 1）数字证书 参阅IE 帮助（证书） 定义：证书是担保个人身份或网站安全性的声明。 “个人证书”用于证明您的确是自称的那个人。 “网站证书”声明特定的网站是安全的而且的确是这个站点。 安全证书的工作原理 如何获得自己的安全证书？ 2）IE Authenticode：核实下载程序的身份 工作原理：验证程序是否有有效的证书 软件发布者的身份与证书匹配， 证书有效期。 安全级别 四个区：外部、本地、可信和受限 四级：低、中低、中、高 3）Navigator 可查看附在 Java 或 JavaScript 控件上的签名 安全级别可在