《電子商務(wù)信息安全》PPT課件.ppt

《《電子商務(wù)信息安全》PPT課件.ppt》由會員分享，可在線閱讀，更多相關(guān)《《電子商務(wù)信息安全》PPT課件.ppt（34頁珍藏版）》請?jiān)谘b配圖網(wǎng)上搜索。

第四講電子商務(wù)信息安全,電子商務(wù)信息安全要素電子商務(wù)信息安全技術(shù)數(shù)字證書與認(rèn)證中心信息安全協(xié)議,網(wǎng)絡(luò)攻擊的常用方法,違反授權(quán)原則通信監(jiān)聽通信竄擾中斷拒絕服務(wù)電子郵件轟炸病毒技術(shù),電子商務(wù)系統(tǒng)安全,保證信息安全是開展電子商務(wù)的前提電子商務(wù)系統(tǒng)硬件安全——目前的技術(shù)水平可以解決電子商務(wù)系統(tǒng)軟件安全——是關(guān)鍵電子商務(wù)系統(tǒng)運(yùn)行安全——規(guī)范性電子商務(wù)安全立法——尚待完善,電子商務(wù)的安全要求,信息傳輸?shù)谋Ｃ苄越灰孜募耐暾孕畔⒌牟豢煞裾J(rèn)性交易者身份的真實(shí)性,信息加密技術(shù),加密和解密密碼系統(tǒng)的構(gòu)成,,圖4-1密碼系統(tǒng)的構(gòu)成,加密技術(shù),密碼學(xué)概述密碼學(xué)就是在破譯和反破譯的過程中發(fā)展起來的。加密算法就是用基于數(shù)學(xué)計(jì)算方法與一串?dāng)?shù)字（密鑰）對普通的文本（信息）進(jìn)行編碼，產(chǎn)生不可理解的密文的一系列步驟。發(fā)送方將消息在發(fā)送到公共網(wǎng)絡(luò)或互聯(lián)網(wǎng)之前進(jìn)行加密，接收方收到消息后對其解碼或稱為解密，所用的程序稱為解密程序，這是加密的逆過程。,加密和解密的示范以一個(gè)簡單實(shí)例來看看加密和解密的過程。一個(gè)簡單的加密方法是把英文字母按字母表的順序編號作為明文，將密鑰定為17，加密算法為將明文加上密鑰17，就得到一個(gè)密碼表一個(gè)簡單的密碼表,數(shù)字簽名技術(shù),數(shù)字簽名的概念數(shù)字簽名（DigitalSignature）技術(shù)是將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。數(shù)字簽名主要有3種應(yīng)用廣泛的方法：RSA簽名、DSS簽名和Hash簽名。Hash簽名是最主要的數(shù)字簽名方法。它的主要方式是，報(bào)文的發(fā)送方從明文文件中生成一個(gè)128比特的散列值（數(shù)字摘要）。發(fā)送方用自己的私鑰對這個(gè)散列值進(jìn)行加密來形成發(fā)送方的數(shù)字簽名。然后該數(shù)字簽名將作為附件和報(bào)文一起發(fā)送給接收方。報(bào)文的接收方首先從接收到的原始報(bào)文中計(jì)算出128比特的散列值（數(shù)字摘要），接著用發(fā)送方的公鑰來對報(bào)文附加的數(shù)字簽名解密。,數(shù)字簽名的使用方法,（1）發(fā)送方首先用哈希函數(shù)從明文文件中生成一個(gè)數(shù)字摘要，用自己的私鑰對這個(gè)數(shù)字摘要進(jìn)行加密來形成發(fā)送方的數(shù)字簽名。（2）發(fā)送方選擇一個(gè)對稱密鑰對文件加密，然后通過網(wǎng)絡(luò)傳輸?shù)浇邮辗?，最后通過網(wǎng)絡(luò)將該數(shù)字簽名作為附件和報(bào)文密文一起發(fā)送給接收方。（3）發(fā)送方用接收方的公鑰給對稱密鑰加密，并通過網(wǎng)絡(luò)把加密后的對稱密鑰傳輸?shù)浇邮辗?。?）接收方使用自己的私鑰對密鑰信息進(jìn)行解密，得到對稱密鑰。（5）接收方用對稱密鑰對文件進(jìn)行解密，得到經(jīng)過加密的數(shù)字簽名。（6）接收方用發(fā)送方的公鑰對數(shù)字簽名進(jìn)行解密，得到數(shù)字簽名的明文。,數(shù)字簽名,數(shù)字簽名,認(rèn)證技術(shù)(CA),由于電子商務(wù)是在網(wǎng)絡(luò)中完成，交易雙方互相之間不見面，為了保證每個(gè)人及機(jī)構(gòu)（如銀行、商家）都能唯一而且被無誤地識別，這就需要進(jìn)行身份認(rèn)證。認(rèn)證中心（CA）電子商務(wù)認(rèn)證授權(quán)機(jī)構(gòu)也稱為電子商務(wù)認(rèn)證中心（CertificateAuthority，CA）。CA就是承擔(dān)網(wǎng)上安全電子交易的認(rèn)證服務(wù)，它能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。CA通常是一個(gè)服務(wù)性機(jī)構(gòu)，主要任務(wù)是受理數(shù)字證書的申請，簽發(fā)及管理數(shù)字證書。,認(rèn)證中心的職能,認(rèn)證中心具有下列4大職能：（1）證書發(fā)放可以有多種方法向申請者發(fā)放證書，可以發(fā)放給最終用戶簽名的或加密的證書。（2）證書更新持卡人證書、商戶和支付網(wǎng)關(guān)證書應(yīng)定期更新，更新過程與證書發(fā)放過程是一樣的。（3）證書撤消證書的撤消可以有許多理由，如私鑰被泄密，身份信息的更新或終止使用等。（4）證書驗(yàn)證認(rèn)證證書是通過信任分級體系來驗(yàn)證的，每一種證書與簽發(fā)它的單位相聯(lián)系，沿著該信任樹直接到一個(gè)認(rèn)可信賴的組織，就可以確定證書的有效性。,認(rèn)證的分級體系,,CA證書信任分級體系,數(shù)字證書,（1）數(shù)字證書的概念數(shù)字證書是一個(gè)擔(dān)保個(gè)人、計(jì)算機(jī)系統(tǒng)或者組織的身份和密鑰所有權(quán)的電子文檔。（2）數(shù)字證書的類型①客戶證書證實(shí)客戶身份和密鑰所有權(quán)。②服務(wù)器證書證實(shí)服務(wù)器的身份和公鑰。③安全郵件證書證實(shí)電子郵件用戶的身份和公鑰。④CA機(jī)構(gòu)證書證實(shí)認(rèn)證中心身份和認(rèn)證中心的簽名密鑰。,數(shù)字證書的內(nèi)容,①證書數(shù)據(jù)版本信息；證書序列號；CA所使用的簽名算法；發(fā)行證書CA的名稱；證書的有效期限；證書主題名稱；被證明的公鑰信息的特別擴(kuò)展。②發(fā)行證書的CA簽名,數(shù)字證書的有效性,只有下列條件為真時(shí)，數(shù)字證書才有效。①證書沒有過期②密鑰沒有修改③用戶有權(quán)使用這個(gè)密鑰④證書必須不在無效證書清單中,信息加密和數(shù)字簽名的綜合處理流程,信息加密和數(shù)字簽名的綜合處理流程,中國知名的認(rèn)證中心,①中國數(shù)字認(rèn)證網(wǎng)（）②中國金融認(rèn)證中心（）③中國電子郵政安全證書管理中心（,電子商務(wù)信息安全協(xié)議,SSL:安全套層協(xié)議（會話層）在建立連接的過程中采用公開密鑰；在會話過程中采用專用密鑰；每一次會話都要求服務(wù)器使用專用密鑰的操作和一次使用客戶機(jī)公開密鑰的操作。SET:安全電子交易協(xié)議（應(yīng)用層）對消費(fèi)者、商戶、收單行進(jìn)行認(rèn)證。,提出SSL的目的,SSL主要目的是解決Internet上主要協(xié)議TCP／IP難以確定用戶身份的問題，以便保證Internet上通信服務(wù)的安全性。通過數(shù)字簽名和數(shù)字證書可實(shí)現(xiàn)瀏覽器和Web服務(wù)器雙方的身份驗(yàn)證。在用數(shù)字證書對雙方的身份驗(yàn)證后，雙方就可以用私有密鑰進(jìn)行安全的會話了。SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道。在該通道上可透明加載任何高層應(yīng)用協(xié)議（如FTP、TELNET等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩浴?在Internet上進(jìn)行欺騙的模式,采用假的服務(wù)器來欺騙用戶的終端；采用假的用戶來欺騙服務(wù)器；在信息的傳輸過程中截取信息；在Web服務(wù)器及Web用戶之間進(jìn)行雙方欺騙,安全套接層協(xié)議的概念,安全套接層協(xié)議（SecureSocketsLayer）是由網(wǎng)景公司設(shè)計(jì)開發(fā)的，主要用于提高應(yīng)用程序之間的數(shù)據(jù)安全系數(shù)，實(shí)現(xiàn)兼容瀏覽器和服務(wù)器（通常是WWW服務(wù)器）之間安全通信的協(xié)議。SSL在客戶機(jī)和服務(wù)器開始交換一個(gè)簡短信息時(shí)提供一個(gè)安全的握手信號。在開始交換的信息中，雙方確定將使用的安全級別并交換數(shù)字證書。每個(gè)計(jì)算機(jī)都要正確識別對方。SSL支持的客戶機(jī)和服務(wù)器間的所有通訊都加密了。在SSL對所有通訊都加密后，竊聽者得到的是無法識別的信息。,安全套接層協(xié)議的工作原理,SSL需要認(rèn)證服務(wù)器，并對兩臺計(jì)算機(jī)之間所有的傳輸進(jìn)行加密。SSL用公開密鑰（非對稱）加密和私有密鑰（對稱）加密來實(shí)現(xiàn)信息的保密。雖然公開密鑰非常方便，但速度較慢。這就是SSL對幾乎所有的安全通訊都使用私有密鑰加密的原因。,安全電子交易協(xié)議SET,為了克服SSL安全協(xié)議的缺點(diǎn)，更為了達(dá)到交易安全及合乎成本效益之市場要求，VISA和MasterCard聯(lián)合其他國際組織，共同制定了安全電子交易（SecureElectronicTransaction，SET）協(xié)議。在SET中采用了雙重簽名技術(shù)，支付信息和訂單信息是分別簽署的，這樣保證了商家看不到支付信息，而只能看到訂單信息。支付指令中包括了交易ID、交易金額、信用卡數(shù)據(jù)等信息，這些涉及到與銀行業(yè)務(wù)相關(guān)的保密數(shù)據(jù)對支付網(wǎng)關(guān)是不保密的，因此支付網(wǎng)關(guān)必須由收單銀行或其委托的信用卡組織來擔(dān)當(dāng)。,SET安全技術(shù),SET協(xié)議的作用?個(gè)人賬號信息與訂單信息的隔離。?商家只能看到定貨信息,而看不到持卡人的帳戶信息。?對交易者的身份進(jìn)行確認(rèn)和擔(dān)保。?持卡人、商家和銀行等交易者通過第三方權(quán)威機(jī)構(gòu)的身份認(rèn)證服務(wù)。?統(tǒng)一協(xié)議和報(bào)文的格式。?使不同廠家開發(fā)的軟件能相互兼容。,SET的優(yōu)點(diǎn),SET保證了商家的合法性，并且用戶的信用卡號不會被竊取。SET對于參與交易的各方定義了互操作接口，一個(gè)系統(tǒng)可以由不同廠商的產(chǎn)品構(gòu)筑。SET可以用在系統(tǒng)的一部分或者全部。,SET與SSL的比較,SET解決了客戶資料的安全性問題；解決了網(wǎng)上交易存在的客戶與銀行之間、客戶與商家之間、商家與銀行之間的多方認(rèn)證問題；保證了網(wǎng)上交易的實(shí)時(shí)性問題等，這些都是SSL所無法解決的，可見SET協(xié)議是進(jìn)行電子商務(wù)的最佳協(xié)議標(biāo)準(zhǔn)。但SET也有自己的缺陷，就是實(shí)現(xiàn)過于復(fù)雜，對消費(fèi)者、商家和銀行要求都非常高，比較難于推廣。SSL協(xié)議提供交易中客戶與服務(wù)器間的雙方認(rèn)證，但在涉及多方的電子交易中，并不能協(xié)調(diào)各方間的安全傳輸和認(rèn)證服務(wù)；SSL能保證資料傳遞過程的安全。,