chp3电子商务安全技术系统

连远强管理学院WELCOMETOINTRODUCTIONOFELECTRONICBUSINESS第三章电子商务的安全技术系统YangzhouUniversityCollegeofManagement2019/8/1扬州大学管理学院•连远强1第三章电子商务的安全技术系统3.1电子商务的安全问题3.2电子商务的安全技术◈信息加密技术◈认证技术◈安全技术协议◈防火墙技术2019/8/1扬州大学管理学院•连远强2案例国外2000年2月7日－9日，Yahoo,ebay,Amazon等著名网站被黑客攻击，直接和间接损失10亿美元。国内2000年春天，有人利用普通的技术，从电子商务网站窃取到8万个信用卡号和密码，标价26万元出售。中国首例网络攻击案。8848向百度索赔1500万元。8848：店门口被堵死了。8848称，2005年1月21日下午至1月22日晚，百度公司采用分布式拒绝服务攻击(通称为DDOS攻击)手段，借助几千家百度搜索联盟网站的巨大访问量,集中攻击8848的服务器，使其瘫痪，无法被正常访问。2019/8/1扬州大学管理学院•连远强3用户认为目前网上交易存在的最大问题统计日期2000.72001.12001.72002.12002.72003.12003.7产品质量、售后服务及厂商信用得不到保障28.3%32.0%33.0%30.2%36.9%39.3%40.0%安全性得不到保障31.8%31.2%33.4%31.0%22.1%23.4%25.1%价格不够诱人7.7%7.4%6.6%6.3%11.1%10.8%10.3%付款不方便13.3%12.6%11.5%11.8%13.0%10.8%9.9%资料来源：根据CNNIC《中国互联网络发展状况统计报告》（2000.7-2003.7）整理CNNIC调查结果2019/8/1扬州大学管理学院•连远强4电子商务面临的安全性挑战内部、外部泄密拒绝服务攻击逻辑炸弹特洛伊木马黑客攻击计算机病毒信息丢失、篡改、销毁后门、隐蔽通道蠕虫2019/8/1扬州大学管理学院•连远强53.1电子商务的安全问题3.1.1电子商务面临的安全隐患系统中断破坏系统的有效性窃听信息破坏系统的机密性篡改信息破坏系统的完整性伪造信息破坏系统的真实性对交易行为进行抵赖要求系统具备审查能力安全隐患的类型物理安全问题网络安全问题数据的安全性对交易不同方表现的不同安全问题2019/8/1扬州大学管理学院•连远强61．卖方面临的问题(1)中央系统安全性被破坏(2)竞争对手检索商品递送状况(3)被他人假冒而损害公司的信誉(4)买方提交订单后不付款(5)获取他人的机密数据2．买方面临的问题(1)付款后不能收到商品(2)机密性丧失(3)拒绝服务2019/8/1扬州大学管理学院•连远强73．信息传输问题(1)冒名偷窃(2)篡改数据(3)信息丢失(4)信息传递过程中的破坏(5)虚假信息4．信用问题(1)来自买方的信用问题(2)来自卖方的信用风险(3)买卖双方都存在抵赖的情况2019/8/1扬州大学管理学院•连远强83.1.2电子安全交易的基本要求信息的保密性信息的完整性交易者身份的真实性不可抵赖性系统的可靠性交易的及时性2019/8/1扬州大学管理学院•连远强9信息传输的保密性信息的保密性是指信息在传输过程或存储中不被他人窃取交易文件的完整性防止非法窜改和破坏网站上的信息收到的信息与发送的信息完全一样信息的不可否认性发送方不能否认已发送的信息接收方不能否认已收到的信息交易者身份的真实性交易者身份的真实性是指交易双方确实是存在的不是假冒的2019/8/1扬州大学管理学院•连远强10电子商务安全的攻与防信息窃取信息冒充信息篡改信息抵赖加密技术完整性技术认证技术数字签名2019/8/1扬州大学管理学院•连远强113.1.3电子商务安全体系信息系统安全层次模型数据信息安全软件系统安全措施通信网络安全措施硬件系统安全措施物理实体安全措施管理细则保护措施法律规范道德纪律1．电子商务系统硬件安全2．电子商务系统软件安全3．电子商务系统运行安全4．电子商务安全立法2019/8/1扬州大学管理学院•连远强121．保密制度绝密级：网址、密码不在因特网上公开，只限高层管理人员掌握机密级：只限公司中层管理人员以上使用秘密级：在因特网上公开，供消费者浏览，但必须防止黑客侵入2．网络系统的日常维护制度（1）硬件的日常管理和维护（2）软件的日常维护和管理（3）数据备份制度。（4）用户管理3.1.4电子商务的安全管理2019/8/1扬州大学管理学院•连远强133．病毒防范制度（1）给电脑安装防病毒软件（2）不打开陌生电子邮件（3）认真执行病毒定期清理制度（4）控制权限（5）高度警惕网络陷阱4．应急措施（1）瞬时复制技术（2）远程磁盘镜像技术（3）数据库恢复技术2019/8/1扬州大学管理学院•连远强145．浏览器安全设置（1）管理Cookie的技巧（2）禁用或限制使用Java、Java小程序脚本ActiveX控件和插件（3）调整自动完成功能的设置2019/8/1扬州大学管理学院•连远强153.2电子商务的安全技术信息加密技术对称式密钥加密技术、公开密钥加密技术认证技术数字信封、数字摘要、数字签名、数字时间戳、数字证书、身份认证安全技术协议安全超文本传输协议S-HTTP安全因特网电子邮件扩充协议S-MIME安全套接层协议SSL安全交易技术协议STT安全电子交易协议SET公开密钥体制PKIX.509标准防火墙技术包过滤路由器、应用层网关、电路层网关2019/8/1扬州大学管理学院•连远强16部分告之：在网上交易中将最关键的数据略去，再告之。另行确认：交易后，用电子邮件对交易进行确认。在线服务：用企业提供的内部网来提供联机服务。早期曾采用过的方法2019/8/1扬州大学管理学院•连远强173.2.1数据加密技术1.数据加密技术的基本概念明文（Plaintext）:人们将可懂的文本称为明文。密文（Ciphertext）：将明文变换成的不可懂形式的文本称为密文。加密（Encipher）:把明文变换成密文的过程。解密（Decipher）:其逆过程把密文变换成明文的过程。密钥（Keyword）:用于加解密的一些特殊信息，它是控制明文与密文之间变换的关键，它可以是数字、词汇或语句。密钥分为加密密钥（EncryptionKey）和解密密钥（DecryptionKey）。密码体制（CipherSystem）:完成加密和解密的算法。对称式密钥加密技术：密码体制所用的加密密钥和解密密钥相同。非对称式密钥加密技术：密码体制所用的加密密钥和解密密钥不同。即：公开密钥加密技术。2019/8/1扬州大学管理学院•连远强18加密运算实际上加密就是含有一个参数k的变换，即C＝Ek(m)其中:m是信息，也叫做明文，C是密文，Ek是含有参数k的变换，参数k叫做密钥。在不掌握密钥时，第三者纵然截获了密文C，仍无法获得明文m。通过公共信道的信息不是m本身，而是它的密文C。解密运算E是加密运算，D是解密运算。发信方在传输明文前，需先将m加密成密文C＝Ek(m)收信方收到密文后，通过解密获得明文m，即m=Dk(C)EDC=Ek(m)mm公用信道秘密信道发信方收信方2.数据加密、解密基本过程2019/8/1扬州大学管理学院•连远强193.加密技术的分类散列编码（Hashing）对称式密钥加密技术（SymmetricCryptography）公开密钥加密技术（AsymmetricCryptography）2019/8/1扬州大学管理学院•连远强20散列就是通过把一个叫做散列算法的单向数学函数应用于数据，将任意长度的一块数据转换为一个定长的、不可逆转的数字。散列算法是单向函数，即无法根据散列值得到原消息。如果散列算法设计得好，由两个不同消息计算得出同一散列值（即引起冲突）的概率是极小的。散列值相当于消息的指纹，因为它对每条消息都是唯一的。（1）散列编码常用的单向散列函数：◈MD5:MD5是由RonRivest设计的可产生一个128位的散列值的散列算法。MD5设计经过优化以用于Intel处理器。这种算法的基本原理已经公开。◈SHA-1:Hash编码法（SecureHashAlgorithm，SHA）,安全散列算法1(SHA-1)是由美国国家安全署(UnitedStatesNationalSecurityAgency,NSA)设计的，并由NIST将其收录到FIPS中，作为散列数据的标准。它可产生一个160位的散列值。SHA-1是流行的用于创建数字签名的单向散列算法。2019/8/1扬州大学管理学院•连远强21（2）对称式密钥加密技术加密明文密文密钥解密密文明文(发送者)(接收者)ALBERT'SALBERT'S2019/8/1扬州大学管理学院•连远强22加密原文加了密原文原文密钥解密texttext+1-1ufyu对称加密2019/8/1扬州大学管理学院•连远强23对称式密钥加密技术的优缺点优点：加密速度快、信息保密高缺点：密钥是保密通信安全问题。多人通信时密钥的数量太多，使密钥分发更加复杂化。通信双方必须统一密钥，才能发送保密的信息。如果发信者与收信人是素不相识的，这就无法向对方发送秘密信息了。对称式加密算法◈DES（DataEncryptionStrandard）算法DES即数据加密标准，综合运用了置换、代替、代数多种密码技术。把信息分成64位大小的块，使用56位密钥，迭代轮数为16轮的加密算法。◈IDEA（InternationalDataEncryptionAlgorithm）算法IDEA是一种国际信息加密算法，是一个分组大小为64位，密钥为128位。迭代数为8轮的迭代型密码体制。2019/8/1扬州大学管理学院•连远强24（3）非对称密钥密码体系公钥密码体制的概念是由迪弗尔（Diffre）和赫尔曼（Hellmen）于1976年首次提出的。公开密钥加密技术要求密钥成对使用，即加密和解密分别由两个密钥来实现。每个用户都有一对选定的密钥，一个可以公开，即公共密钥，用于加密。另一个由用户安全拥有，即秘密密钥，用于解密。2019/8/1扬州大学管理学院•连远强25非对称加密加密明文密文解密密文明文自己私钥(接收者)(发送者)对方公钥ALBERT'SALBERT'S2019/8/1扬州大学管理学院•连远强262019/8/1扬州大学管理学院•连远强27三种常用的公钥算法：◈RSA-适用于数字签名和密钥交换。Rivest-Shamir-Adleman(RSA)加密算法是目前应用最广泛的公钥加密算法，特别适用于通过Internet传送的数据。◈DSA-仅适用于数字签名。(DigitalSignatureAlgorithm,DSA)。◈Diffie-Hellman仅适用于密钥交换。Diffie-Hellman是发明的第一个公钥算法，以其发明者WhitfieldDiffie和MartinHellman的名字命名。公开密钥加密技术的优缺点优点：*密钥少便于管理。网络中的每一用户只需保存自己的解密密钥，n个用户仅需产生n对密钥。*密钥分配简单。加密密钥分发给其它用户，而解密密钥则由用户自己保管。*不需要秘密的通道和复杂的协议来传送密钥。*可以实现数字签名和数字鉴别。缺点：加解密速度慢。2019/8/1扬州大学管理学院•连远强28加密算法——RSA加密算法它是第一个成熟的，迄今为止理论上最为成功的公开密钥密码体制。它的安全性基于数论中的Euler定理和计算复杂性理论中的下述诊断：求两个大素数的乘积是容易的，但要分解两个大素数的乘积，求出它们的素因子则是非常困难的。RSA算法依据著名的欧拉定理：根据现在已知的结果，因子分解n的复杂性为：若n为200位10进制数，则用每秒107次运算的超高速计算机，也要108年才能得到计算结果,目前为止还没有出现新的攻击RSA的算法。RSA对称算法，两个密钥是两个很大的质数，用其中一个质数与原信息相乘，对信息加密；而用另一个质数与收到的信息相乘来解密。