第4章 电子商务交易安全 电子商务安全概述 电子商务的安全问题 1．卖方面临的问题 (1)中央系统安全性被破坏

Presentation on theme: "第4章 电子商务交易安全 电子商务安全概述 电子商务的安全问题 1．卖方面临的问题 (1)中央系统安全性被破坏"— Presentation transcript:

1 第4章 电子商务交易安全 电子商务安全概述 电子商务的安全问题 1．卖方面临的问题 (1)中央系统安全性被破坏
(2)竞争对手检索商品递送状况 (3)被他人假冒而损害公司的信誉 (4)买方提交订单后不付款 (5)获取他人的机密数据 2．买方面临的问题 (1)付款后不能收到商品 (2)机密性丧失 (3)拒绝服务 实例说明确：任何时间、任何时间都能创造市场机会 满足个性化消费、提高消费都满意度

2 第5章 电子商务安全交易 电子商务安全概述 电子商务的安全问题 3．信息传输问题 (1)冒名偷窃 (2)篡改数据 (3)信息丢失
(4)信息传递过程中的破坏 (5)虚假信息 4．信用问题 (1)来自买方的信用问题 (2)来自卖方的信用风险 (3)买卖双方都存在抵赖的情况

3 1．电子商务系统硬件安全 2．电子商务系统软件安全 3．电子商务系统运行安全 4．电子商务安全立法 第5章 电子商务安全交易
电子商务安全概述 电子商务的安全体系 1．电子商务系统硬件安全 2．电子商务系统软件安全 3．电子商务系统运行安全 4．电子商务安全立法

4 第5章 电子商务安全交易 电子商务安全概述 电子商务的安全控制要求 信息传输 的保密性 信息的保密性是指信息在传输 过程或存储中不被他人窃取
交易文件 的完整性 防止非法窜改和破坏网站上的信息 收到的信息与发送的信息完全一样 信息的不 可否认性 发送方不能否认已发送的信息 接收方不能否认已收到的信息 交易者身份 的真实性 交易者身份的真实性是指交易 双方确实是存在的不是假冒的

5 第5章 电子商务安全交易 电子商务安全概述 电子商务的安全管理 1．保密制度 绝密级：网址、密码不在因特网上公开，只限高层管理人员掌握
机密级：只限公司中层管理人员以上使用 秘密级：在因特网上公开，供消费者浏览，但必须防止黑客侵入 2．网络系统的日常维护制度 （1）硬件的日常管理和维护 （2）软件的日常维护和管理 （3）数据备份制度。 （4）用户管理

6 第5章 电子商务安全交易 电子商务安全概述 电子商务的安全管理 3．病毒防范制度 （1）给电脑安装防病毒软件 （2）不打开陌生电子邮件
（3）认真执行病毒定期清理制度 （4）控制权限 （5）高度警惕网络陷阱 3．病毒防范制度 （1）给电脑安装防病毒软件 （2）不打开陌生电子邮件 （3）认真执行病毒定期清理制度 （4）控制权限 （5）高度警惕网络陷阱

7 第5章 电子商务安全交易 电子商务安全概述 4．应急措施 （1）瞬时复制技术 （2）远程磁盘镜像技术 （3）数据库恢复技术
电子商务的安全管理 4．应急措施 （1）瞬时复制技术 （2）远程磁盘镜像技术 （3）数据库恢复技术 由传统企业转向电子商务企业 三个方向的转移 第一是管理方向的转移(从直线职能性组织结构向业务流程再造的市场链转移)； 第二是市场方向的转移(从国内市场向国外市场转移)； 第三是产业的转移(从制造业向服务业转移)。 2．海尔电子商务的运作方式 （ 1999：物流、商流 2000：B2B、B2C 3．后台的支持系统 电子商务是以企业管理信息化和业务重组为基础 网络化管理、网络化营销、网络化服务和网络化采购

8 第5章 电子商务安全交易 电子商务安全概述 5．浏览器安全设置 （1）管理Cookie的技巧
电子商务的安全管理 5．浏览器安全设置 （1）管理Cookie的技巧 （2）禁用或限制使用Java、Java小程序脚本 ActiveX控件和插件 （3）调整自动完成功能的设置 由传统企业转向电子商务企业 三个方向的转移 第一是管理方向的转移(从直线职能性组织结构向业务流程再造的市场链转移)； 第二是市场方向的转移(从国内市场向国外市场转移)； 第三是产业的转移(从制造业向服务业转移)。 2．海尔电子商务的运作方式 （ 1999：物流、商流 2000：B2B、B2C 3．后台的支持系统 电子商务是以企业管理信息化和业务重组为基础 网络化管理、网络化营销、网络化服务和网络化采购

9 电子商务安全技术 这仅仅是单纯的图画吗？

10 第5章 电子商务安全交易 电子商务安全技术 数据加密技术 加密和解密 加密技术，就是采用数学方法对原始信息(通常称为“明文”)
进行再组织，使得加密后在网络上公开传输的内容对于非法 接收者来说成为无意义的文字(加密后的信息通常称为“密文”) 1．传统的柜台式售货 2．开架与自选的新方式 3．无店铺销售与电子购物 密码系统的构成

11 例: 算法: 1—前进 2—固守 3—撤军 4—求援 密钥: 夜来风雨声,花落知多少 密文: 风 明文: 撤军

12 第5章 电子商务安全交易 电子商务安全技术 数据加密技术 通用密钥密码体制就是加密密钥Ke和解密密 钥Kd是通用的，即发送方和接收方使用同样
密钥的密码体制，也称之为“传统密码体制” 1．对流通业的直接性影响 生产制造商直接参与流通活动，成为流通的主体 “产销合一”，“批零一体”的销售模式（DELL公司） 一体化经营模式 (1)前向一体化 企业控制销售渠道，减少流通的中间环节 (2)后向一体化 企业向后控制自己的原料供应企业，建立自己的供应网络 (3)水平一体化 企业运用并购或契约形式，控制同类竞争企业 恺撒密码

13 DES密码体制 电子商务安全技术 最有名的分组乘积密码算法 第一个被公开的现代密码 由IBM于1971年至1972年研制成功
分组长度：64比特 密钥长度：56比特，对称加密体制 目前DES已被视为不安全，普遍使用的是变种triple DES，即对64比特分组加密三次，每次用不同的密钥，密钥长度总共168比特。

14 第5章 电子商务安全交易 电子商务安全技术 数据加密技术 公开密钥密码体制 公开密钥密码体制 的加密密钥Ke与解 密密钥Kd不同，只
有解密密钥是保密 的，称为私人密钥 而加密密钥完全公 开，称为公共密钥

15 RSA的密钥体制 电子商务安全技术 一种非对称密钥体制，加密和解密密钥不同 加密密钥公诸于世，称为公开密钥（PK）
解密密钥保管在加密人手中，不公开，称为私人密钥（SK） RSA体制是根据寻求两个大素数容易，而将他们的乘积分解开则极其困难这一原理来设计的

16 RSA算法的安全性 电子商务安全技术 RSA安全性取决于对模n因数分解的困难性。
1999年8月，荷兰国家数学与计算机科学研究所家们的一组科学家成功分解了512bit的整数，大约300台高速工作站与PC机并行运行，整个工作花了7个月。 现有的RSA密码体制支持的密钥长度有512、1024、2048、4096等

17 电子商务安全技术 两种密钥体制的优缺点比较 对称加密体制的编码效率高 对称密码体制在密钥分发与管理上存在困难，而非对称密码体制可以很好的解决这个问题

18 第5章 电子商务安全交易 电子商务安全技术 数字签名技术 数字摘要 数字指纹 安全Hash编码法(SHA)
SHA编码法采用单向Hash函数将需 加密的明文“摘要”成一串128bit的密文 数字签名

19 第5章 电子商务安全交易 电子商务安全技术 数字签名技术 数字时间戳是一个经加密后形成 的凭证文档，它包括三个部分：
一是需加时间戳的文件的摘要； 二是DTS收到文件的日期和时间 三是DTS的数字签名。 数字时间戳

20 第5章 电子商务安全交易 电子商务安全技术 数字证书 数字证书又称为数字凭证，数字标识是 一个经证书授权中心数字签名的包含公
开密钥拥有者信息以及公开密钥的文件 证书的版本信息； 证书的序列号； 证书所使用的签名算法； 证书的发行机构名称； 证书的有效期； 证书所有人的名称； 证书所有人的公开密钥； 证书发行者对证书的签名。 X.509数字证书包含

21 第5章 电子商务安全交易 电子商务安全技术 数字证书 （1）证书的颁发 （2）证书的更新 （3）证书的查询 （4）证书的作废
（1）个人身份证书 （2）个人 证书 （3）单位证书 （4）单位 证书 （5）应用服务器证书 （6）代码签名证书 （1）证书的颁发 （2）证书的更新 （3）证书的查询 （4）证书的作废 （5）证书的归档 数字证书的类型 认证中心的作用

22 第5章 电子商务安全交易 电子商务安全技术 信息加密与数字认证的综合应用

23 第5章 电子商务安全交易 电子商务安全技术 安全交易协议 SSL协议 SSL握手协议能够通过特定的加密算法相互鉴别
通过在浏览器软件和WWW服务器建立一条安全通道 SSL协议 基本结构 SSL记录协议用来封装高层的协议。 SSL握手协议能够通过特定的加密算法相互鉴别 SSL协议

24 SSL协议的工作流程

25 第5章 电子商务安全交易 电子商务安全技术 安全交易协议 SET协议 SET协议 SET协议提供对消费者、商家和收单行的认证
确保交易数据的安全性、完整性和交易的不可否认性 SET协议 SET协议 设计思想 保证信息的加密性 、验证交易各方 保证支付的完整性和一致性 、保证互操作性 收单行 银行的信息用银行的公钥加密 转移存款 支付信息 SET保证商家看不到卡号，数字签名 商家 用户 购物信息 商家的信息用商家公钥加密 用户的信息用自己的私钥加密

26 SSL协议与SET比较 SSL协议 SEL协议 参与方 客户、商家和网上银行 客户、商家、支付网关、认证中心和网上银行 软件费用
已被大部分Web浏览器和Web服务器所内置，因此可直接投入使用，无需额外的附加软件费用 必须在银行网络、商家服务器、客户机上安装相应的软件，而不是象SSL协议可直接使用，因此增加了许多附加软件费用 便捷性 SSL在使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟便可完成支付 SET协议在使用中必须使用电子钱包进行付款，因此在使用前，必须先下载电子钱包软件，因此操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易 安全性 只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏 安全需求高，因此所有参与交易的成员：客户、商家、支付网关、网上银行都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，替消费者保守了更多的秘密，使其在结购物和支付更加放心

27 SET协议与SSL协议的比较