《電子商務信息安全》PPT課件.ppt

《《電子商務信息安全》PPT課件.ppt》由會員分享，可在線閱讀，更多相關《《電子商務信息安全》PPT課件.ppt（34頁珍藏版）》請在裝配圖網(wǎng)上搜索。

第四講電子商務信息安全,電子商務信息安全要素電子商務信息安全技術數(shù)字證書與認證中心信息安全協(xié)議,網(wǎng)絡攻擊的常用方法,違反授權原則通信監(jiān)聽通信竄擾中斷拒絕服務電子郵件轟炸病毒技術,電子商務系統(tǒng)安全,保證信息安全是開展電子商務的前提電子商務系統(tǒng)硬件安全——目前的技術水平可以解決電子商務系統(tǒng)軟件安全——是關鍵電子商務系統(tǒng)運行安全——規(guī)范性電子商務安全立法——尚待完善,電子商務的安全要求,信息傳輸?shù)谋Ｃ苄越灰孜募耐暾孕畔⒌牟豢煞裾J性交易者身份的真實性,信息加密技術,加密和解密密碼系統(tǒng)的構成,,圖4-1密碼系統(tǒng)的構成,加密技術,密碼學概述密碼學就是在破譯和反破譯的過程中發(fā)展起來的。加密算法就是用基于數(shù)學計算方法與一串數(shù)字（密鑰）對普通的文本（信息）進行編碼，產(chǎn)生不可理解的密文的一系列步驟。發(fā)送方將消息在發(fā)送到公共網(wǎng)絡或互聯(lián)網(wǎng)之前進行加密，接收方收到消息后對其解碼或稱為解密，所用的程序稱為解密程序，這是加密的逆過程。,加密和解密的示范以一個簡單實例來看看加密和解密的過程。一個簡單的加密方法是把英文字母按字母表的順序編號作為明文，將密鑰定為17，加密算法為將明文加上密鑰17，就得到一個密碼表一個簡單的密碼表,數(shù)字簽名技術,數(shù)字簽名的概念數(shù)字簽名（DigitalSignature）技術是將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。數(shù)字簽名主要有3種應用廣泛的方法：RSA簽名、DSS簽名和Hash簽名。Hash簽名是最主要的數(shù)字簽名方法。它的主要方式是，報文的發(fā)送方從明文文件中生成一個128比特的散列值（數(shù)字摘要）。發(fā)送方用自己的私鑰對這個散列值進行加密來形成發(fā)送方的數(shù)字簽名。然后該數(shù)字簽名將作為附件和報文一起發(fā)送給接收方。報文的接收方首先從接收到的原始報文中計算出128比特的散列值（數(shù)字摘要），接著用發(fā)送方的公鑰來對報文附加的數(shù)字簽名解密。,數(shù)字簽名的使用方法,（1）發(fā)送方首先用哈希函數(shù)從明文文件中生成一個數(shù)字摘要，用自己的私鑰對這個數(shù)字摘要進行加密來形成發(fā)送方的數(shù)字簽名。（2）發(fā)送方選擇一個對稱密鑰對文件加密，然后通過網(wǎng)絡傳輸?shù)浇邮辗剑詈笸ㄟ^網(wǎng)絡將該數(shù)字簽名作為附件和報文密文一起發(fā)送給接收方。（3）發(fā)送方用接收方的公鑰給對稱密鑰加密，并通過網(wǎng)絡把加密后的對稱密鑰傳輸?shù)浇邮辗健＃?）接收方使用自己的私鑰對密鑰信息進行解密，得到對稱密鑰。（5）接收方用對稱密鑰對文件進行解密，得到經(jīng)過加密的數(shù)字簽名。（6）接收方用發(fā)送方的公鑰對數(shù)字簽名進行解密，得到數(shù)字簽名的明文。,數(shù)字簽名,數(shù)字簽名,認證技術(CA),由于電子商務是在網(wǎng)絡中完成，交易雙方互相之間不見面，為了保證每個人及機構（如銀行、商家）都能唯一而且被無誤地識別，這就需要進行身份認證。認證中心（CA）電子商務認證授權機構也稱為電子商務認證中心（CertificateAuthority，CA）。CA就是承擔網(wǎng)上安全電子交易的認證服務，它能簽發(fā)數(shù)字證書，并能確認用戶身份的服務機構。CA通常是一個服務性機構，主要任務是受理數(shù)字證書的申請，簽發(fā)及管理數(shù)字證書。,認證中心的職能,認證中心具有下列4大職能：（1）證書發(fā)放可以有多種方法向申請者發(fā)放證書，可以發(fā)放給最終用戶簽名的或加密的證書。（2）證書更新持卡人證書、商戶和支付網(wǎng)關證書應定期更新，更新過程與證書發(fā)放過程是一樣的。（3）證書撤消證書的撤消可以有許多理由，如私鑰被泄密，身份信息的更新或終止使用等。（4）證書驗證認證證書是通過信任分級體系來驗證的，每一種證書與簽發(fā)它的單位相聯(lián)系，沿著該信任樹直接到一個認可信賴的組織，就可以確定證書的有效性。,認證的分級體系,,CA證書信任分級體系,數(shù)字證書,（1）數(shù)字證書的概念數(shù)字證書是一個擔保個人、計算機系統(tǒng)或者組織的身份和密鑰所有權的電子文檔。（2）數(shù)字證書的類型①客戶證書證實客戶身份和密鑰所有權。②服務器證書證實服務器的身份和公鑰。③安全郵件證書證實電子郵件用戶的身份和公鑰。④CA機構證書證實認證中心身份和認證中心的簽名密鑰。,數(shù)字證書的內(nèi)容,①證書數(shù)據(jù)版本信息；證書序列號；CA所使用的簽名算法；發(fā)行證書CA的名稱；證書的有效期限；證書主題名稱；被證明的公鑰信息的特別擴展。②發(fā)行證書的CA簽名,數(shù)字證書的有效性,只有下列條件為真時，數(shù)字證書才有效。①證書沒有過期②密鑰沒有修改③用戶有權使用這個密鑰④證書必須不在無效證書清單中,信息加密和數(shù)字簽名的綜合處理流程,信息加密和數(shù)字簽名的綜合處理流程,中國知名的認證中心,①中國數(shù)字認證網(wǎng)（）②中國金融認證中心（）③中國電子郵政安全證書管理中心（,電子商務信息安全協(xié)議,SSL:安全套層協(xié)議（會話層）在建立連接的過程中采用公開密鑰；在會話過程中采用專用密鑰；每一次會話都要求服務器使用專用密鑰的操作和一次使用客戶機公開密鑰的操作。SET:安全電子交易協(xié)議（應用層）對消費者、商戶、收單行進行認證。,提出SSL的目的,SSL主要目的是解決Internet上主要協(xié)議TCP／IP難以確定用戶身份的問題，以便保證Internet上通信服務的安全性。通過數(shù)字簽名和數(shù)字證書可實現(xiàn)瀏覽器和Web服務器雙方的身份驗證。在用數(shù)字證書對雙方的身份驗證后，雙方就可以用私有密鑰進行安全的會話了。SSL協(xié)議在應用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應用層提供了安全的傳輸通道。在該通道上可透明加載任何高層應用協(xié)議（如FTP、TELNET等）以保證應用層數(shù)據(jù)傳輸?shù)陌踩浴?在Internet上進行欺騙的模式,采用假的服務器來欺騙用戶的終端；采用假的用戶來欺騙服務器；在信息的傳輸過程中截取信息；在Web服務器及Web用戶之間進行雙方欺騙,安全套接層協(xié)議的概念,安全套接層協(xié)議（SecureSocketsLayer）是由網(wǎng)景公司設計開發(fā)的，主要用于提高應用程序之間的數(shù)據(jù)安全系數(shù)，實現(xiàn)兼容瀏覽器和服務器（通常是WWW服務器）之間安全通信的協(xié)議。SSL在客戶機和服務器開始交換一個簡短信息時提供一個安全的握手信號。在開始交換的信息中，雙方確定將使用的安全級別并交換數(shù)字證書。每個計算機都要正確識別對方。SSL支持的客戶機和服務器間的所有通訊都加密了。在SSL對所有通訊都加密后，竊聽者得到的是無法識別的信息。,安全套接層協(xié)議的工作原理,SSL需要認證服務器，并對兩臺計算機之間所有的傳輸進行加密。SSL用公開密鑰（非對稱）加密和私有密鑰（對稱）加密來實現(xiàn)信息的保密。雖然公開密鑰非常方便，但速度較慢。這就是SSL對幾乎所有的安全通訊都使用私有密鑰加密的原因。,安全電子交易協(xié)議SET,為了克服SSL安全協(xié)議的缺點，更為了達到交易安全及合乎成本效益之市場要求，VISA和MasterCard聯(lián)合其他國際組織，共同制定了安全電子交易（SecureElectronicTransaction，SET）協(xié)議。在SET中采用了雙重簽名技術，支付信息和訂單信息是分別簽署的，這樣保證了商家看不到支付信息，而只能看到訂單信息。支付指令中包括了交易ID、交易金額、信用卡數(shù)據(jù)等信息，這些涉及到與銀行業(yè)務相關的保密數(shù)據(jù)對支付網(wǎng)關是不保密的，因此支付網(wǎng)關必須由收單銀行或其委托的信用卡組織來擔當。,SET安全技術,SET協(xié)議的作用?個人賬號信息與訂單信息的隔離。?商家只能看到定貨信息,而看不到持卡人的帳戶信息。?對交易者的身份進行確認和擔保。?持卡人、商家和銀行等交易者通過第三方權威機構的身份認證服務。?統(tǒng)一協(xié)議和報文的格式。?使不同廠家開發(fā)的軟件能相互兼容。,SET的優(yōu)點,SET保證了商家的合法性，并且用戶的信用卡號不會被竊取。SET對于參與交易的各方定義了互操作接口，一個系統(tǒng)可以由不同廠商的產(chǎn)品構筑。SET可以用在系統(tǒng)的一部分或者全部。,SET與SSL的比較,SET解決了客戶資料的安全性問題；解決了網(wǎng)上交易存在的客戶與銀行之間、客戶與商家之間、商家與銀行之間的多方認證問題；保證了網(wǎng)上交易的實時性問題等，這些都是SSL所無法解決的，可見SET協(xié)議是進行電子商務的最佳協(xié)議標準。但SET也有自己的缺陷，就是實現(xiàn)過于復雜，對消費者、商家和銀行要求都非常高，比較難于推廣。SSL協(xié)議提供交易中客戶與服務器間的雙方認證，但在涉及多方的電子交易中，并不能協(xié)調各方間的安全傳輸和認證服務；SSL能保證資料傳遞過程的安全。,