电子商务安全

第四章电子商务安全一、课题：电子商务安全二、教学时间：２三、教学重点：计算机病毒以及如何防范计算机病毒四、上机了解并查询资料第四章电子商务安全一、课题：电子商务安全二、教学时间：２三、教学重点：计算机病毒以及如何防范计算机病毒四、课堂讲解并结合案例分析五、课前提问（1）目前电子商务的发展存在哪些不安全因素？（2）目前网络又存在哪些不安全因素。4.1电子商务与网络安全4.1.1电子商务与网络安全的现状随着互联网的飞速发展与广泛应用，电子商务的应用前景越来越广阔，运作在互联网上的电子商务，每天都在进行数以百万次计的各类交易，由于互联网的高度开放性与电子商务所要求的保密性是矛盾的，而互联网本身又没有完整的网络安全体制，因此基于互联网的电子商务安全无疑会受到严重威胁。在电子商务的发展过程中，各产业（客户、商家、银行等）对网络已经出现了高度的依赖性。一旦计算机网络受到攻击而不能正常运作，整个社会就会陷入危机的泥沼，所以这种高度的依赖性使社会经济变得十分“脆弱”。随着信息化进程的加快、病毒泛滥、黑客破坏，交易欺诈等安全问题日益严重，发展电子商务必须考虑的安全要素：（1）计算机系统与网络通信系统的安全；（2）电子商务环境下的交易安全案例：（1）1997年、西安、杨州、80万、26（2）1999年调查资料（2009年）1、54%的单位发生过信息安全事件（22%/3）；2、感染病毒的占安全事件84%；3、网络攻击36%；4、垃圾邮件35%；例题：黑客（Hacker）源于英语动词Hack，意为“劈、砍”，引申的意思是“干了一件非常漂亮的事”。黑客则有“恶作剧”之意，尤其是指手法巧妙、技术高明的恶作剧。今天的黑客可分为两类：骇客:他们想引人注目，千方百计入侵计算机网络系统，轻则做一些无伤大雅的恶作剧，重则删除、修改网页及摧毁网站；窃客:他们的行为带有强烈的目的性，这些窃客的目标往往瞄准了银行的漏洞和电子交易的账号，试图盗窃他人的资金和虚拟财产。黑客行为已对经济秩序、经济建设、国家信息安全构成严重威胁。4-1-2电子商务安全体系电子商务的核心是通过网络技术来传递商业信息并开展交易。（1）电子商务硬件（物理）安全；（2）软件安全（操作系统安全、数据库安全、网络安全、通信软件安全和应用软件安全）（3）电子商务安全（客户端、服务器端、银行端、认证机构）4.1.3电子商务安全的要素电子商务安全是一个复杂的系统问题，在使用电子商务的过程中会涉及到以下几个有关安全方面的要素。1）可靠性2）真实性3）机密性\内部网的严密性4）完整性5）不可抵赖性4.2计算机病毒及其防范4.2.1计算机病毒的产生、种类及防范1983年美国科学家佛雷德·科恩最先证实电脑病毒的存在。计算机病毒是一种人为制造的寄生于计算机应用程序或操作系统中的可执行、可自行复制、具有传染性和破坏性的恶性程序。从1987年发现第一类流行电脑病毒起，病毒数每年正以40％的比率增加。一个小巧的病毒程序可令一台微型计算机、一个大型计算机系统或一个网络系统处于瘫痪。计算机病毒的类型：（1）按传染方式分为：引导区型病毒、文件型病毒、混合型病毒、宏病毒；（2）按连接方式分为：源码型病毒、入侵型病毒、操作系统型病毒、外壳型病病毒；（3）按破坏性来分：良性病毒、恶性病毒、极恶性病毒、灾难性病毒；（4）按机理分为：伴随型病毒、寄生型病毒、蠕虫型病毒、木马病毒。网络入侵典型案例〖案例分析〗电子邮件炸弹袭击网站2001年2月7日到9日，黑客们采用名为DDOS（分布式拒绝服务）的入侵方式，袭击了美国YAHOO（雅虎公司）、eBay（电子海湾公司）、CNN（美国有线新闻网）等互联网上的著名网站。在铺天盖地的邮包炸弹攻势下，被袭击者不得不关闭网站入口，致其瘫痪数小时，造成重大损失。〖案例分析〗网络病毒传播2001年，计算机病毒在我国感染情况严重，特别是“红色代码”二型、“尼姆达（Nimda）等恶性病毒在我国大面积传播，造成一些政府机构、教育科研单位等行业的网络通讯阻塞，甚至出现服务器瘫痪。2002年，以电子邮件、特洛伊木马、文件共享等为传播途径的混合性病毒肆虐，影响最大的“求职信”病毒持续六个月高居感染率第一。2003年8月11日，一种名为“冲击波”（WORMMSBLAST.A）的新型蠕虫病毒在国内互联网和部分专用信息网络上传播。全国有上万台电脑遭感染。其变种病毒WORM-MSBLAST.D在全球感染数百家企业。1）常见的计算机网络病毒可分为以下几种：（1）蠕虫它是一种短小的程序，通过在网络中连续高速地复制自己，长时间的占用系统资源，使系统因负担过重而瘫痪。如震荡波、冲击波、尼姆达、恶邮差等。（2）逻辑炸弹这是一个由满足某些条件（如时间、地点、特定名字的出现等）时，受激发而引起破坏的程序。逻辑炸弹是由编写程序的人有意设置的，它有一个定时器，由编写程序的人安装，不到时间不爆炸，一旦爆炸，将造成致命性的破坏。如欢乐时光，时间逻辑炸弹。（3）特洛伊木马当使用者通过网络引入自己的计算机后，它能将系统的私有信息泄露给程序的制造者，以便他能够控制该系统。如Ortyc.Trojan木马病毒，木马Backdoor.Palukka，酷狼，IE枭雄，腾讯QQ木马病毒。（4）陷阱入口陷阱入口是由程序开发者有意安排的。当应用程序开发完毕时，放入计算机中，实际运行后只有他自己掌握操作的秘密，使程序能正常完成某种事情，而别人则往往会进入死循环或其他歧路。（5）核心大战这是允许两个程序互相破坏的游戏程序，它能造成对计算机系统安全的威胁。2）计算机病毒的防范A、正确安装和使用杀毒软件；B、安装防火墙，防范病毒，阻止黑客攻击；C、修改系统配置，增强系统自身安全性来提高抵抗能力（卸载和删除系统不必要的系统功能和服务）；D、及时修补系统漏洞；防火墙技术防火墙概述1）防火墙的概念防火墙是在内部网和互联网之间构筑的一道屏障，是在内外设置有条件的隔离设备，用以保护内部网中的信息、资源等不受来自互联网中非法用户的侵犯。也控制和防止来自互联网的无用垃圾和有害数据流入内部网。简单地说，防火墙是一个进入内部网的信息都必须经过的限制点，它只允许授权信息通过2）防火墙系统的构成防火墙主要包括安全操作系统、过滤器、网关、域名服务和电子邮件处理5部分。防火墙常常被安装在受保护的内部网络连接到互联网的接点上。只允许合法的数据流通过，过滤器则是检验各数据组决定是否允许放行。4.4.2防火墙系统的功能和不足之处1）防火墙的主要功能（1）保护易受攻击的服务防火墙能过滤那些不安全的服务。只有预先被允许的服务才能通过防火墙，防止用户的非法访问和非法用户的访问。（2）控制对特殊站点的访问防火墙能控制对特殊站点的访问，如有些主机能被外部网络访问而有些则要被保护起来，防止不必要的访问。在内部网中只有电子邮件服务器、FTP服务器和服务器能被外部网访问，而其他访问则被防火墙禁止。（3）集中化的安全管理对于一个企业而言，使用防火墙比不使用防火墙可能更加经济一些。这是因为如果使用了防火墙，就可以将所有修改过的软件和附加的安全软件都放在防火墙上集中管理。（4）检测外来黑客攻击的行动集成了入侵检测功能，提供了监视互联网安全和预警的方便端点。（5）对网络访问进行日志记录和统计如果所有对互联网的访问都经过防火墙，那么防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑操作时，防火墙能够报警并提供网络是否受到监测和攻击的详细信息。2）防火墙系统的不足之处尽管防火墙有许多防范功能，但由于互联网的开放性，它也有一些力不能及的地方，主要表现在：（1）防火墙不能防范不经由防火墙（绕过防火墙）或者来自内部的攻击；（2）防火墙不能防止感染了病毒的软件或文件的传输；防火墙的类型从技术上看可以分为：包过滤型、代理服务器型、电路层网关、混合型、应用层网关（代理服务器）、自适应代理技术；一、课题：电子商务安全二、教学时间：２三、教学重点：如何防止网络安全四、上机（1）在华军软件园下载并安装配置防火墙；（2）浏览器安全设置；（3）系统备份与恢复；（4）硬盘数据恢复；（5）服务器安全配置；一、课题：电子商务安全技术二、教学时间：２三、教学重点：对称加密与非对称加密四、课堂讲解并结合例题实际练习五、总结上节课内容4.5电子商务安全技术4.5.1加密技术加密技术是实现电子商务安全的一种重要手段，目的是为了防止合法接收者之外的人获取机密信息，这就产生了一门学科——密码学。1）密码学概述密码学又分为两类，密码编码学和密码分析学。密码编码学研究设计出安全的密码体制，防止被破译，而密码分析学则研究如何破译密文。加密包含两个元素：加密算法和密钥。加密算法就是用基于数学计算方法与一串数字（密钥）对普通的文本（信息）进行编码，产生不可理解的密文的一系列步骤。密钥是用来对文本进行编码和解码的数字。将这些文字（称为明文）转成密文的程序称作加密程序。发送方将消息在发送到公共网络或互联网之前进行加密，接收方收到消息后对其解码或称为解密，所用的程序称为解密程序。2）加密和解密的示范一个简单的加密方法是把英文字母按字母表的顺序编号作为明文，将密钥定为17，加密算法为将明文加上密钥17，就得到一个密码表。例如，将英文信息“Thisisasecret.”加密后得到密文。解密算法则是将密文减去密钥17，得到明文，再翻译成对应的字母和符号。字母ABC…Z空格,./：？明文010203…26272829303132密文181920…43444546474849信息Thisisasecret.明文2008091927091927012719050318052029密文37252636442636441844362220352237463）加密的分类按密钥和相关加密程序类型可把加密分为2类：对称加密和非对称加密。（1）对称加密它用且只用一个密钥对信息进行加密和解密，由于加密和解密用的是同一密钥，所以发送者和接收者都必须知道密钥。对称加密方法对信息编码和解码的速度很快，效率也很高，但需要细心保存密钥。如果密钥泄露，以前的所有信息都失去了保密性，致使以后发送者和接收者进行通讯时必须使用新的密钥。将新密钥发给授权双方是很困难的，关键是传输新密码的信息必须进行加密，这又要求有另一个新密钥。对称加密的另一个问题是其规模无法适应互联网这类大环境的要求。想用互联网交换保密信息的每对用户都需要一个密钥，这时密钥组合就会是一个天文数字。因为密钥必须安全地分发给通信各方，所以对称加密的主要问题就出在密钥的分发上，包括密钥的生成、传输和存放。图4.1对称加密技术示意图（2）非对称加密也叫公开密钥加密，它用两个数学相关的密钥对信息进行编码。1977年麻省理工学院的三位教授（Rivest、Shamir和Adleman）发明了RSA公开密钥密码系统。他们的发明为敏感信息的交换方式带来了新的途径。在此系统中有一对密码，给别人用的就叫公钥，给自己用的就叫私钥。这两个可以互相并且只有为对方加密或解密，用公钥加密后的密文，只有私钥能解。RSA的算法如下：①选取两个足够大的质数P和Q；②计算P和Q相乘所产生的乘积n＝P×Q；③找出一个小于n的数e，使其符合与（P－1）×（Q－1）互为质数；另找一个数d，使其满足（e×d）MOD［（P－1）×（Q－l）］＝1其中MOD（模）为相除取余；（n，e）即为公钥；（n，d）为私钥。加密和解密的运算方式为：明文M＝Cd（MODn）；密文C＝Me（MODn）。这两个质数无论哪一个先与明文密码相乘，对文件加密，均可由另一个质数再相乘来解密。但要用一个质数来求出另一个质数，则是非常困难的，因此将这一对质数称为密钥对，举例来说，假定P＝3，Q＝11，则n=P×Q＝33，选择e=3，因为3和20没有公共因子。（3×d）MOD（20）＝1，得出d＝7。从而得到（33，3）为公钥；（33，7）为私钥。加密过程为将明文M的3次方模33得到密文C，解密过程为将密文C的7次方模33得到明文。表4.