复旦电子商务课件04电子商务安全

电子商务安全电子商务安全TheSecurityinTheSecurityinee--CommerceCommerce•电子商务安全问题•防火墙与加密技术•网络安全系统设计•研讨题：拇指花运营系统安全分析议程议程Internet电子商店消费者Browser/Wallet$$$$发卡银行银行网络认证中心(CA)MERCHANTMERCHANT&&COMPANYCOMPANYSET/SSLSET/SSLSET/SSL$$收单银行物流公司SET/SSL电子商务的交易过程电子商务的交易过程电子商务交易中的相关主体电子商务交易中的相关主体电子商务安全问题的产生电子商务安全问题的产生一、交易主体：•电子商店；•网上银行；•消费者；•其它。二、通讯过程：•通讯线路；•支付过程；•信息交互内容。三、设备管理•银行卡；•上网终端；•Web服务器；•其它网络设备。电子商务中各方的义务电子商务中各方的义务•1）认证中心：发布用户认证证书、管理认证证书、保证认证的安全可靠，其本身必须满足管理、操作于系统的有关要求。z对参与者进行严格的审查和认证z保证发放的证书具有可靠的权威性和信任度z发布可靠及时的认证信息•2）认证用户（商家、消费者等）：合法使用认证机制、获得证书，开展电子商务活动。z报出本身准确的相关信息z及时检查证书内容和信息z妥善包管好私人密钥z及时汇报出现的问题，例如密钥泄露、交易异常等现象•3）参与者（银行等其他相关方）：合法使用认证机制，按照有关规定进行电子商务操作。z检查证书本身的合法有效性、进行证书失效检查z通过其他方法确认证书的可靠性、保证业务24小时正常运行安全报告安全报告•FBI统计：每年因信息安全损失75亿；•美国金融时报：每20秒发生一次Internet入侵事件。变鹿为马变鹿为马AliSeyalBaowlrr伪造工具互联网的公式互联网的公式::计算机+高价值的在线交易+开放的互联网+不道德的人们=无限的欺诈机会WebServer正常连接InternetSpyID：DAIPassword：1966ID：DAIPassword：1966信息被截获安全InternetInternet间谍间谍假冒假冒WebWeb站点站点WebsiteA连接，访问站点://，thenyourIDandpasswordmaybestolenbythewebma-sterofB.不安全不安全的的EmailEmailDr.DaiTheragger邮件在传送过程中被截取偷盗者篡改邮件后以甲的身份重新发送乙收到该Email甲给乙发出Email安全抵赖抵赖IwantaTVSet,pleasesentittomyhomewhereis:No.220HandanRoad.甲否认发送过No,IhaveneverboughtaTVSet.商家否认收到过来自甲的购货款安全可信任的网络环境可信任的网络环境可以满足信任环境建设的上述基本要求（公开的加密算法、加密技术和机制）私有性私有性身份的真实性身份的真实性信息的完整性信息的完整性不可抵赖性不可抵赖性如何解决安全问题如何解决安全问题::防火墙防火墙加密与解密加密与解密对称加密与非对称加密对称加密与非对称加密应用于电子商务安全的两种加密技术应用于电子商务安全的两种加密技术公钥密钥•数字信封发送方产生随机对称密码，将传送的信息用该对称密码加密，该对称密码用接收方的公钥加密，一同发送给接收方。•数字签名比真实的签名更具有不可伪造性。数字签名是一段数据，与发送的数据相关，并用自己私钥加密，发送的数据一旦更改，数据签名肯定更改，并没有第二个人可以作出同样的签名。数字证书数字证书9CA数据库给每一位用户登记一个唯一的证书电子标识9电子标识»以保护格式存储»通过使用用户口令进行合法操作»或采用PCMCIA令牌卡，高安全级别磁盘介质存储好游先生IC卡介质存储证书信任机构举例公安局(身份证、护照、驾驶证)院校（毕业文凭）银行（信用卡）第三方信任CA（证书认证中心）互相信任互相信任第三方信任的模型第三方信任的模型证书类型证书类型•个人身份证书：该类证书证明客户的公钥和身份。在某些场合，如建立SSL连接或交易服务时，服务器可能需要客户端的证书•企业身份证书：该类证书证明企业的公钥和身份。在某些场合，如建立SSL连接或交易服务时，服务器可能需要客户端的证书•服务器身份证书：该类证书证明服务器的身份和公钥。在与客户端建立SSL连接的场合，服务器将它的证书发给客户•CA证书：证书认证中心签名密钥的证书。•软件代码证书：对软件进行签名•信用卡身份证书：符合SET协议SecureElectronicTransactions(SET)SecureElectronicTransactions(SET)协议协议1.应用于信用卡支付机制；2.由Visa公司与MasterCard公司联合开发；3.使用双重验证，有效鉴别发送方与接收方；4.委托客户选定的金融机构管理数字证书；5.需要双方数字证书。SetSet协议与协议与SSLSSL协议的比较协议的比较特性SETSSL数据安全传输YesYes验证客户身份YesNo验证帐户的合法性YesNo为商家验证支付方式YesNo跟踪交易总额YesNo验证商家的信用政策YesNo基于数字证书的身份认证系统模型基于数字证书的身份认证系统模型监听模块处理模块Server接受预请求解密提取随机字符串生成随机字符串并加密签名随机字符串再次加密签名发出预请求Client提取随机字符串验证字符串是否一致终止服务提供服务NOYES电子商务支付网关电子商务支付网关INTERNET电子政务系统网络结构外网设计：•连接国际互联网•由外WEB系统和邮件系统等组成•安全性方面的问题和考虑•可扩展性方面的考虑内网设计：•分为核心层和接入层•划分多个功能区，分别提供不同功能•核心交换机采用CISCOCatalyst4506双机集群•重要服务器做集群•存储区域网做存储备份内外网的互连：ƒ将外网的防火墙和内网的防火墙（两个不同厂商的防火墙）之间进行互连，来满足内网在安全性方面更高的要求远程访问和维护：对于移动办公用户采用VPN隧道方式，保证通过互联网传送的数据的安全保密性（资料来源：戴伟辉，《浙江省宁波市交通信息网络平台设计》）研讨题：研讨题：拇指花运营系统安全分析拇指花运营系统安全分析•根据本课程讲述过的拇指花运营系统，思考以下问题：•上述系统中可能存在哪些安全问题？•你认为应采取什么样的措施来解决上述安全问题？•在以上措施中运用了哪些电子商务的安全技术？¾¾拇指花彩信业务拇指花彩信业务““拇指花拇指花””是一种以鲜花束为视觉主体的全新的彩信产品，旨是一种以鲜花束为视觉主体的全新的彩信产品，旨在使彩信成为特定的日常交际媒介，它给用户一种用手机送花在使彩信成为特定的日常交际媒介，它给用户一种用手机送花的特别体验。的特别体验。借用鲜花的符号价值创造基于手机发送的情感礼物形成手机问候的规则将短信问候升级为彩信问候挖掘“非接触时代”的快速情感消费市场拇指花的创意拇指花的创意运营流程运营流程