电子商务安全交易

第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 问 题 1 卖 方 面 临 的 问 题(1)中 央 系 统 安 全 性 被 破 坏(2)竞 争 对 手 检 索 商 品 递 送 状 况(3)被 他 人 假 冒 而 损 害 公 司 的 信 誉(4)买 方 提 交 订 单 后 不 付 款 (5)获 取 他 人 的 机 密 数 据 2 买 方 面 临 的 问 题(1)付 款 后 不 能 收 到 商 品(2)机 密 性 丧 失(3)拒 绝 服 务 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 问 题 3 信 息 传 输 问 题(1)冒 名 偷 窃(2)篡 改 数 据(3)信 息 丢 失(4)信 息 传 递 过 程 中 的 破 坏(5)虚 假 信 息 4 信 用 问 题(1)来 自 买 方 的 信 用 问 题(2)来 自 卖 方 的 信 用 风 险(3)买 卖 双 方 都 存 在 抵 赖 的 情 况 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 体 系 1 电 子 商 务 系 统 硬 件 安 全2 电 子 商 务 系 统 软 件 安 全3 电 子 商 务 系 统 运 行 安 全4 电 子 商 务 安 全 立 法 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 控 制 要 求 信 息 传 输的 保 密 性 信 息 的 保 密 性 是 指 信 息 在 传 输 过 程 或 存 储 中 不 被 他 人 窃 取 交 易 文 件的 完 整 性 防 止 非 法 窜 改 和 破 坏 网 站 上 的 信 息 收 到 的 信 息 与 发 送 的 信 息 完 全 一 样 信 息 的 不可 否 认 性 发 送 方 不 能 否 认 已 发 送 的 信 息 接 收 方 不 能 否 认 已 收 到 的 信 息 交 易 者 身 份的 真 实 性 交 易 者 身 份 的 真 实 性 是 指 交 易 双 方 确 实 是 存 在 的 不 是 假 冒 的 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 管 理 1 保 密 制 度绝 密 级 ： 网 址 、 密 码 不 在 因 特 网 上 公 开 ， 只 限 高 层 管 理 人 员 掌 握机 密 级 ： 只 限 公 司 中 层 管 理 人 员 以 上 使 用秘 密 级 ： 在 因 特 网 上 公 开 ， 供 消 费 者 浏 览 ， 但 必 须 防 止 黑 客 侵 入2 网 络 系 统 的 日 常 维 护 制 度（ 1） 硬 件 的 日 常 管 理 和 维 护（ 2） 软 件 的 日 常 维 护 和 管 理 （ 3） 数 据 备 份 制 度 。（ 4） 用 户 管 理 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 管 理 3 病 毒 防 范 制 度（ 1） 给 电 脑 安 装 防 病 毒 软 件（ 2） 不 打 开 陌 生 电 子 邮 件（ 3） 认 真 执 行 病 毒 定 期 清 理 制 度（ 4） 控 制 权 限（ 5） 高 度 警 惕 网 络 陷 阱 3 病 毒 防 范 制 度（ 1） 给 电 脑 安 装 防 病 毒 软 件（ 2） 不 打 开 陌 生 电 子 邮 件（ 3） 认 真 执 行 病 毒 定 期 清 理 制 度 （ 4） 控 制 权 限（ 5） 高 度 警 惕 网 络 陷 阱 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 概 述 电 子 商 务 的 安 全 管 理 5 浏 览 器 安 全 设 置（ 1） 管 理 Cookie的 技 巧（ 2） 禁 用 或 限 制 使 用 Java、 Java小 程 序 脚 本 ActiveX控 件 和 插 件（ 3） 调 整 自 动 完 成 功 能 的 设 置 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 据 加 密 技 术 加 密 技 术 ， 就 是 采 用 数 学 方 法 对 原 始 信 息 (通 常 称 为 “ 明 文 ” )进 行 再 组 织 ， 使 得 加 密 后 在 网 络 上 公 开 传 输 的 内 容 对 于 非 法接 收 者 来 说 成 为 无 意 义 的 文 字 (加 密 后 的 信 息 通 常 称 为 “ 密 文 ” ) 加 密 和 解 密 加 密 E 解 密 D明 文 M 明 文 MKd解 密 密 钥Ke加 密 密 钥 密 文 C 密 码 系 统 的 构 成 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 据 加 密 技 术 通 用 密 钥 密 码 体 制 通 用 密 钥 密 码 体 制 就 是 加 密 密 钥 Ke和 解 密 密钥 Kd是 通 用 的 ， 即 发 送 方 和 接 收 方 使 用 同 样密 钥 的 密 码 体 制 ， 也 称 之 为 “ 传 统 密 码 体 制 ” 明 文 ： C R Y P T O G R A P H Y F U B S W R J U D S K B密 文 ： 密 钥 ： n=4 恺 撒 密 码 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 据 加 密 技 术 公 开 密 钥 密 码 体 制 公 开 密 钥 密 码 体 制的 加 密 密 钥 Ke与 解密 密 钥 Kd不 同 ， 只有 解 密 密 钥 是 保 密的 ， 称 为 私 人 密 钥而 加 密 密 钥 完 全 公 开 ， 称 为 公 共 密 钥 Kdz私 人 密 钥Kdy私 人 密 钥 Kdx私 人 密 钥公 众 通 信 网X ZY 密 钥 中 心Kex, Key, Kez, 公 共 密 钥 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 字 摘 要 安 全 Hash编 码 法 (SHA) 数 字 指 纹 SHA编 码 法 采 用 单 向 Hash函 数 将 需 加 密 的 明 文 “ 摘 要 ” 成 一 串 128bit的 密 文 数 字 签 名 信息 数 字签 名 信息被确认信息摘 要 摘 要摘 要数 字签 名SHA加 密 Private Key加 密 发 送 Public Key解 密SHA加 密 比 较 二 者若 一 致发 送 方 接 受 方数 字 签 名 技 术 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 字 签 名 技 术 数 字 时 间 戳 是 一 个 经 加 密 后 形 成的 凭 证 文 档 ， 它 包 括 三 个 部 分 ：一 是 需 加 时 间 戳 的 文 件 的 摘 要 ；二 是 DTS收 到 文 件 的 日 期 和 时 间三 是 DTS的 数 字 签 名 。 数 字 时 间 戳 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 字 证 书 数 字 证 书 又 称 为 数 字 凭 证 ， 数 字 标 识 是一 个 经 证 书 授 权 中 心 数 字 签 名 的 包 含 公开 密 钥 拥 有 者 信 息 以 及 公 开 密 钥 的 文 件 证 书 的 版 本 信 息 ；证 书 的 序 列 号 ；证 书 所 使 用 的 签 名 算 法 ；证 书 的 发 行 机 构 名 称 ；证 书 的 有 效 期 ；证 书 所 有 人 的 名 称 ； 证 书 所 有 人 的 公 开 密 钥 ；证 书 发 行 者 对 证 书 的 签 名 。X.509数 字 证 书 包 含 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 数 字 证 书 （ 1） 个 人 身 份 证 书（ 2） 个 人 Email证 书（ 3） 单 位 证 书（ 4） 单 位 Email证 书（ 5） 应 用 服 务 器 证 书（ 6） 代 码 签 名 证 书数 字 证 书 的 类 型 （ 1） 证 书 的 颁 发（ 2） 证 书 的 更 新（ 3） 证 书 的 查 询（ 4） 证 书 的 作 废（ 5） 证 书 的 归 档认 证 中 心 的 作 用 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 信 息 加 密 与 数 字 认 证 的 综 合 应 用 明文 数 字签 名摘 要DES加 密 密 文通 用密 钥 RSA 加 密 已 加 密 的 通用 密 钥B公 司 的公 用 密 钥 认 证 中 心 RSA加 密A公 司 的私 人 密 钥SHA加 密 认 证 中 心数 字 签 名 RSA解 密A公 司 的 公用 密 钥 摘 要密 文 已 加密 的通 用密 钥 RSA解 密B公 司 的私 人 密 钥 通 用密 钥DES解 密 明 文 摘 要SHA加 密信息 信息 比 较 二 者 是 否 一致 ， 若 一 致 则 信息 被 确 认A公 司 B公 司5 6 97 8 51 6 9 71 4 1 4发送 SSL协 议 SSL 安 全 套 接 层 协 议 适 用 于 点 对 点 之 间 的 信 息 传 输 通 过 在 浏 览 器 软 件 和 WWW服 务 器 建 立 一 条 安 全 通 道 SSL协 议 基 本 结 构 SSL记 录 协 议 用 来 封 装 高 层 的 协 议 。 SSL握 手 协 议 能 够 通 过 特 定 的 加 密 算 法 相 互 鉴 别第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 安 全 交 易 协 议 SSL协 议 SET协 议 SET协 议 提 供 对 消 费 者 、 商 家 和 收 单 行 的 认 证 确 保 交 易 数 据 的 安 全 性 、 完 整 性 和 交 易 的 不 可 否 认 性SET协 议 设 计 思 想 保 证 信 息 的 加 密 性 、 验 证 交 易 各 方 保 证 支 付 的 完 整 性 和 一 致 性 、 保 证 互 操 作 性 收 单 行 商 家 用 户 购 物 信 息 支 付 信 息 转 移 存 款 SET保 证 商 家 看 不 到卡 号 ， 数 字 签 名商 家 的 信 息 用 商 家 公 钥 加 密 银 行 的 信 息 用 银 行 的 公 钥 加 密 用 户 的 信 息 用 自 己 的 私 钥 加 密 第 5章 电 子 商 务 安 全 交 易电 子 商 务 安 全 技 术 安 全 交 易 协 议 SET协 议 SSL协 议 SEL协 议参 与 方 客 户 、 商 家 和 网 上 银 行 客 户 、 商 家 、 支 付 网 关 、 认 证 中 心 和 网 上银 行软 件 费 用 已 被 大 部 分 Web浏 览 器 和 Web服 务 器 所 内 置 ， 因 此 可 直接 投 入 使 用 ， 无 需 额 外 的附 加 软 件 费 用 必 须 在 银 行 网 络 、 商 家 服 务 器 、 客 户 机 上安 装 相 应 的 软 件 ， 而 不 是 象 SSL协 议可 直 接 使 用 ， 因 此 增 加 了 许 多 附 加 软件 费 用便 捷 性 SSL在 使 用 过 程 中 无 需 在 客 户端 安 装 电 子 钱 包 ， 因 此 操作 简 单 ； 每 天 交 易 有 限 额规 定 ， 因 此 不 利 于 购 买 大宗 商 品 ； 支 付 迅 速 ， 几 秒钟 便 可 完 成 支 付 SET协 议 在 使 用 中 必 须 使 用 电 子 钱 包 进 行付 款 ， 因 此 在 使 用 前 ， 必 须 先 下 载 电子 钱 包 软 件 ， 因 此 操 作 复 杂 ， 耗 费 时间 ； 每 天 交 易 无 限 额 ， 利 于 购 买 大 宗商 品 ； 由 于 存 在 着 验 证 过 程 ， 因 此 支付 缓 慢 ， 有 时 还 不 能 完 成 交 易安 全 性 只 有 商 家 的 服 务 器 需 要 认 证 ， 客 户 端 认 证 则 是 有 选 择 的 ；缺 少 对 商 家 的 认 证 ， 因 此客 户 的 信 用 卡 号 等 支 付 信息 有 可 能 被 商 家 泄 漏 安 全 需 求 高 ， 因 此 所 有 参 与 交 易 的 成 员 ：客 户 、 商 家 、 支 付 网 关 、 网 上 银 行 都必 须 先 申 请 数 字 证 书 来 认 识 身 份 ； 保证 了 商 家 的 合 法 性 ， 并 且 客 户 的 信 用卡 号 不 会 被 窃 取 ， 替 消 费 者 保 守 了 更多 的 秘 密 ， 使 其 在 结 购 物 和 支 付 更 加放 心 SSL协 议 与 SET比 较