第5章 电子商务安全

经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce第五章电子商务安全5.2电子商务系统的安全措施5.1电子商务系统存在的安全问题经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce第五章电子商务安全5.1电子商务系统存在的安全问题5.1.1电子商务安全要素5.1.2电子商务系统的安全隐患经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce5.1.1电子商务安全要素1.信息的保密性2.信息的完整性3.信息的即需性4.信息的不可抵赖性5.交易身份的真实性6.系统的可靠性经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce第五章电子商务安全5.1电子商务系统存在的安全问题5.1.1电子商务安全要素5.1.2电子商务系统的安全隐患经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce硬件系统软件系统人为破坏对电子商务安全的威胁主要来自病毒（viruses）黑客行为（Hacker）经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce病毒特征：潜伏性、传染性、破坏性20世纪70年代：科幻小说《P1的青春》贝尔实验室，核心大战游戏病毒CIH病毒爱虫病毒熊猫烧香病毒典型病毒经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒ElectroniccommerceCIH病毒破坏硬件焊接在主板上的BIOS芯片经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce爱虫(VBS.LoveLetter)病毒“在2000年的青年节（5月4日）通过互联网传遍全球，它会给每一个渴望爱情的人们发送一封附件名为：Love-Letter-for-you.txt.vbs的病毒邮件，如果用户以为是一封情书而观看的话，病毒便被激活，它会使机器中的文件全部“打上病毒的烙印”，病毒的充分传染，最终会使您的系统崩溃。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce中国破获的国内首例制作计算机病毒大案。2006年10月16日由25岁的武汉人李俊编写，2007年1月初肆虐网络，有数百万个人计算机用户和企业局域网遭受感染。熊猫烧香病毒该蠕虫感染计算机系统后，可使系统中所有.exe文件都变成了一种奇怪的图案，该图案显示为“熊猫烧香”，同时受感染的计算机系统会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce杀毒软件浏览器的安全级别邮件附件不明链接下载软件及时升级软件如何防范病毒？经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce黑客对网络的蓄意破坏，也就是熟知的“黑客”行为，是电子商务安全的又一严重威胁。由于互联网赖以存在的TCP/IP协议在最初设计时就缺乏安全考虑，而计算机的操作系统和软件也都或多或少隐藏着安全漏洞和“后门”，这些缺陷为技术精湛的“黑客”们提供了大显身手的舞台。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce2000年2月7日上午10点半，Yahoo！遭到黑客攻击，蒙受了停机3个小时的耻辱。2月8日，最大的网络零售商Buy．com受到攻击，服务器陷于瘫痪。5个半小时之后，eBay也遭到攻击，服务器停机持续了整整一个下午。几乎与此同时，Amazon和著名的有线新闻网站CNN．com也未能幸免于难。在35个小时之内，网站排名名列前茅的公司几乎全部罹难。2月8日下午4：20，新浪被袭，直到第二天下午才恢复正常。黑客攻击电子商务网站案例经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce据统计，这次黑客的大规模攻击给这些美国的大型商业网站造成了惊人的损失，在情况最严重的2月9日，全美因特网的运行性能下降了26.8%。在2月7、8、9日这短短的三天里，这些受害公司的损失就超过了10亿美元。据悉，这次大规模攻击使用的是一种叫“分布式拒绝服务”的新方法。黑客攻击电子商务网站案例经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce什么是拒绝服务？“拒绝服务”是一种令电子商务企业深感苦恼的安全问题。由于某种外界破坏，导致系统无法完成应有的网络服务项目（例如电子邮件或是联机功能等），即称为“拒绝服务”问题。此类破坏虽未直接威胁到信息的安全，然而企业却往往需要耗费大量时间和精力来弥补错误，以恢复正常的服务。而在此期间，许多商机白白错过了，企业的商誉和形象也会大打折扣。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce分布式拒绝服务攻击Yahoo1.探测扫描大量主机以寻找可入侵的目标。2.入侵有安全漏洞的主机并获取控制权，在每台入侵主机中安装攻击程序。3.构造庞大的、分布式的攻网。4.在同一时刻，由分布的成千上万台主机向同一目标地址发出攻击，目标系统全线崩溃。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce第五章电子商务安全5.2电子商务系统的安全措施5.2.1现代加密技术5.2.2公钥基础设施5.2.3防火墙技术经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce5.2.1现代加密技术1.密码学概述2.传统的密码体制3.现代加密方法经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce密码学概述密码学是数学、计算机科学、电子与通信等多学科相融合的科学。密码技术既具有信息的保密性功能，也可以保证信息的完整性和有效性。密码学两大分支密码编码学：密码体制设计密码分析学：密码体制破译经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce加解密过程加密解密明文明文密文经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce密码学举例加密、解密、算法、密钥–a,b,c,d,…,w,x,y,z–E,F,G,H,…,Z,A,B,C,D–明文：Howareyou——〉密文：LSAEVICSY–算法：S=M+K–密钥:K=4经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce替换加密法（1）单字母加密法例：Caesar(恺撒)密码（2）多字母加密法例：Vigenere密码转换加密法2.传统的密码体制经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce例1：Caesar（恺撒）密码，见表1。表1Caesar（恺撒）密码表明文字母abcdefghijklm密文字母DEFGHIJKLMNOP明文字母nopqrstuvwxyz密文字母QRSTUVWXYZABC例：明文（记做m）为“important”，Key=3，则密文（记做C）则为“LPSRUWDQW”。（1）单字母加密法经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce多字母加密是使用密钥进行加密。密钥是一串字符。例：Vigenere密码，加密方法如下：假设明文m=m1m2m3......mn，密钥Key=K1K2K3......Kn，对应密文C=C1C2C3......Cn，则：Ci=mi+Kimod26，i=1，2，......n，其中，26个字母A------Z的序号对应是0------25，Ci是密文中第i个字母的序号，mi是明文中第i个字母的序号，Ki是密钥Key中第i个字母的序号，如果m=informationKey=STAR则C=AGFFJFAKAHN（2）多字母加密法经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce转换加密法在替换加密法中，原文的顺序没被改变，而是通过各种字母映射关系把原文隐藏了起来。转换加密法是将原字母的顺序打乱，将其重新排列。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerceitcanallowstudentstogetcloseupviews将其按顺序分为5个字符的字符串：itcanallowstudentsto再将其按先列后行的顺序排列，就形成了密文：密文C为“IASNGOVTLTTESICLUSTEEAODTCUWNWEOLPS”如果将每一组的字母倒排，也形成一种密文：C=NACTIWOLLAEDUTSOTSTNLCTEGPUESOSWEIV转换加密法经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce（1）对称加密（2）非对称加密3.现代加密方法经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce（1）对称加密MessageText密文MessageTextSenderReceiverEncryptionDecryptionPrivateKeyPrivateKey私钥私钥加密解密加密解密经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce对称加密算法（DES）DES（dataencryptionstandard）算法原是IBM公司为保护产品机密于1971年至1972年研制成功的，被美国国家标准局和国家安全局选为联邦信息标准中的一项，并于1977年颁布使用。83年ISO也已将DES作为数据加密标准。DES的密钥为56位，97年、98年分别被攻破，一重DES已经不再保证安全，三重加密（TripleDES）为DES的改进，密钥为128位，三重DES仍在广泛使用。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒ElectroniccommerceDES原理加密时，先对64比特长的明文块（8行8列）进行初始置换，然后将其分割成左右各32比特长的子块，经过16次迭代，进行循环移位与变换，最后再进行逆变换得出64比特长的密文。经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒ElectroniccommerceMessageText密文MessageTextSenderReceiverEncryptionDecryptionPublicKeyofRecipientPrivateKeyofRecipient（2）非对称加密公钥私钥加密解密经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce是PKI（Public-KeyInfrastructure）的基础.最常用的算法是RSA，RSA由RonRivest,AdiShamir,LeonardAdleman于1977年针对加密及认证功能而提出的。（2）非对称加密经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce两种加密方法比较特性对称非对称密钥的数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有、一个公开密钥管理简单不好管理需要数字证书及可靠第三者相对速度非常快慢用途用来做大量资料的加密用来做加密小文件或对信息签字等不太严格保密的应用经济管理学院吴剑东电子商务·CH5电子商务安全电子商务﹒Electroniccommerce两种加密方法密钥数比较10方通信：A、B、C、D、E、F、G、H、I、J对称密钥系统：–需要密钥发布–(A,B,1)；(A,C,2)；(A,D,3)；(A,E,4)；(B,C,5)…。10*9/2=45对密钥–A用1加密，B用1解密–B用1加密，A用1解密公开密钥系统：–一个密钥公开，另一个