电子商务技术基础(三)

二、电子商务的安全问题 1、电子商务中存在的安全问题 由于非法入侵者的侵入，造成商务信 息被篡改、盗窃或丢失；商业机密在传输 过程中被第三方获悉，甚至被恶意窃取、 篡改和破坏；虚假身份的交易对象及虚假 订单、合同；贸易对象的抵赖；由于计算 机系统故障对交易过程和商业信息安全所 造成的破坏。
2、电子商务的安全要素 （1）完整性 （2）机密性 （3）不可否认性 （4）真实性 （5）可靠性 （6）可用性
GOOD 明文
加密
JRRG 密文
二、对称加密技术 • 对称密钥加密技术利用一个密钥对数据进 行加密，对方接收到数据后，需要用同一 密钥来进行解密。 • 对称密钥加密技术中最具有代表性的算法 是IBM公司提出的DES算法，该算法于 1977年被美国国家标准局NBS颁布为商用 数据加密标准。 • DES综合运用了置换、代替、代数等多种密 码技术，把消息分成64位大小的块，使用 56位密钥，加密算法的迭代轮数为l6轮.
5 电子商务安全技术
1 电子商务安全的概述 一、电子商务安全的概念 电子商务安全是一个系统的概念，不仅 与计算机信息网络系统有关，还与电子商务 应用的环境、人员素质和社会因素有关。它 是物理安全、网络安全、数据安全、信息内 容安全、信息基础设施安全与公共及国家信 息安全的总和。可从以下几方面来理解： 1、安全是一个系统的概念； 2、安全是相对的； 3、安全是有成本的和代价的； 4、安全是发展的、动态的。
三、非对称加密技术（公—私钥加密技术） 非对称加密技术采用RSA算法，加密 和解密使用两把密钥，一把称公钥，另一 把称私钥，两把密钥实际上是两个很大的 质数，用其中的一个质数与明文相乘，可 以加密得到密文；用另一个质数与密文相 乘可以解密，但不能用一个质数求得另一 个质数。
明 加密 密 文 公钥A 文
发送方
密 解密 明 文 私钥B 文
接收方
图 非对称密钥加解密的过程
• • •
•
交易双方利用该方案实现机密信息交换 的基本过程如下： 1. 交易方甲生成一对密钥，将其中的一把作 为公开密钥向其他交易方公开。 2. 得到了该公开密钥的交易方乙使用该密钥 对机密信息进行加密后再发送给交易方甲。 3. 交易方甲再用自己保存的另一把专用密钥 对加密后的信息进行解密。 4.交易方甲只能用其专用密钥解密由其公开 密钥加密后的任何信息。
明 加密 密 文 密钥A 文
发送方
密 解密 明 文 密钥A 文
接收方
图
对称密钥加解密的过程
对称加密算法在电子商务交易过程中 存在几个问题： （1）在首次通信前，双方必须通过除网络以 外的另外途径传递统一的密钥。 （2）当通信对象增多时，需要相应数量的密 钥。
（3）对称加密是建立在共同保守秘密的基础 之上的，在管理和分发密钥过程中，任何 一方的泄密都会造成密钥的失效，存在着 潜在的危险和复杂的管理难度。
三、VPN(虚拟专用网)技术 （一）VPN的概念 VPN技术是一种在公用互联网络上构造 专用网络的技术，将物理上分布在不同地 点的专用网络，通过公共网络造成逻辑上 的虚拟子网，进行安全的通信。
（二）VPN的优势
安全通道 低成本 可扩展性
灵活性 便于管理服务质量保证
四、病毒防范技术 （一）计算机病毒定义 计算机病毒是一种人为编制的程序或指 令集合，这种程序能潜伏在计算机系统中， 并通过自我复制传播和扩散，在一定条件 下被激活，给计算机带来故障和破坏。 （二）计算机病毒的分类 引导区病毒、文件型病毒、复合型病毒、宏 病毒、特洛伊木马、蠕虫及其他病毒
1、数字证书的内容 证书拥有者的姓名； 证书拥有者的公钥； 公钥的有限期； 颁发数字证书的单位； 颁发数字证书单位的数字签名； 数字证书的序列号等。
图 查看证书内容（1）
图 查看证书内容（2）
图 查看证书内容（3）
2、数字证书的类型 （1）从证书的使用者分类： 个人数字证书 机构数字证书 设备数字证书 （2）从证书的用途分类： 签名证书 加密证书
摘要 1
加时间
摘要1 +时间
Hash 算法
加了时间后 的新摘要
数字 时间戳
用 DTS 机构的私钥加密
发送方
DTS 机构
（四）数字证书 数字证书是用电子手段来证实一个用户 的身份及用户对网络资源的访问权限。在 电子商务交易中，任何信用卡持卡人只有 申请到相应的数字证书，才能参加安全的 电子商务网上交易。 （五）数字信封
（一）操作系统安全分类 1、按安全级别：低、中、高 2、按安全机制：具体的和广义的
（二）操作系统安全性威胁的因素 1、桌面操作系统的安全因素； 2、系统安全性攻击。
（三）操作系统安全管理 1、系统级安全管理 2、用户级安全管理 3、文件级安全管理
二、防火墙技术 （一）防火墙的定义 防火墙是一种将内部网和公众访问网分 开的方法，实际上是一种隔离技术，是安全 网络和非安全网络的之间的一道屏障，以防 不可预测的、潜在的网络入侵。 （二）防火墙的分类 包过滤型 NAT型 代理型 监测型
5 安全电子交易技术
一、SSL协议 安全套接层协议SSL（Secure Sockets Layer）位于 TCP/IP 协议与各种应用层协 议之间，使用公开密钥体制和数字证书技 术来确保数据在传输过程中不会被截取及 窃听。
SSL协议的缺陷：支付过程的单一认 证，有利于商家，不利于消费者。
二、SET协议 安 全 电 子 交 易 协 议 SET（Secure Electronic Transaction） 的核心技术有 对称加密技术、 非对称加密技术、数字签 名技术、 Hash算法及公共密钥授权机制等。 SET协议比较复杂、设计严格、安全性 高，解决了SSL协议的缺陷，成为目前公认 的信用卡网上交易的国际安全标准。
1、认证机构的功能：核发证书、管理证书、 搜索证书、验证证书 2、例子：中国数字认证网
下载根 CA
三、数字证书 数字证书采用公－私钥密码体制，用户 拥有一把仅为本人所掌握的私钥，用它进行 解密和数字签名；同时拥有一把公钥，并可 以对外公开，用于信息加密和签名验证。 数字证书可用于：发送安全电子邮件、 访问安全站点、网上证券交易、网上采购招 标、网上办公、网上保险、网上税务、网上 签约和网上银行等安全电子事务处理和安全 电子交易活动。
三、我国电子商务安全的现状
1、基础技术相对薄弱
2、体系结构不完整 3、支持产品不过硬 4、多种“威胁”纷杂交织、频频发 生
2 网络安全技术
一、操作系统安全 操作系统是计算机的核心软件，操作系 统的安全对计算机的安全起着至关重要的 作用，操作系统的安全性主要是对外部攻 击的防范，保证数据的保密性、完整性和 可用性。
Hash 算法
摘要 Internet
摘要 对比？
原文 原文 Hash 算法 摘要 发送方 接收方
（二）数字签名
Hash 算法 摘要 发送者 私钥加密 数字 签名 Internet 原文 原文 Hash 算法 摘要 数字 签名 发送者 公钥解密 摘要 对比？
发送方
接收方
（三）数字时间戳
Hash 算法 摘要 1 Internet 原文 数字 时间戳
• 数据加密技术发展的历程 ： 密码学可以上溯到若干个世纪以前，甚 至在凯撒大帝的年代，密码术就被用来防 止泄露机密信息。 1977年，美国国家标准局颁布了用于非 国家保密机关的数据加密标准DES算法， 该系统完全公开了加密、解密算法 。我国 很多领域也在广泛使用D后的 英文字母表示原来的英文字母，对应关 系如下：
5 电子商务的认证技术 一、认证技术概述 认证技术是整个信息安全体系的基础。 认证技术主要用于信息认证，确认信息发 送者的身份，防止假冒；验证信息的完整 性，即确认信息在传送或存储过程中未被 篡改过。常用的安全认证技术主要有数字 摘要、数字签名、数字证书、数字时间戳、 数字信封等。
（一）数字摘要
（三）计算机病毒的特点 隐蔽性、传染性、潜伏性、 可激发性、 破坏性 （四）计算机病毒的防治方法 1、定期使用杀毒软件杀毒； 2、及时升级杀毒软件； 3、不预览可疑邮件； 4、使用外来磁盘前先查杀病毒； 5、备份重要数据。
4 信息安全技术
一、密码学概述
将明文数据进行某种变换，使其成为 不可理解的形式，这个过程就是加密，这种 不可理解的形式称为密文。解密是加密的逆 过程，即将密文还原成明文。 加密和解密必须依赖两个要素，这两 个要素就是算法和密钥。算法是加密和解密 的计算方法；密钥是加密和加密所需的一串 数字。
用来保证只有规定的收信人才能阅读到 信的内容。
二、认证机构 认证机构担负着身份认证的重要职责， 主要包括三部分：注册服务器、注册管理机 构、证书管理机构。
我国的CA认证建设还处于起步阶段，没 有完整的统筹和协调，存在交叉认证的互不 兼容情况，急需一个全国性的、完整的和层 次性合理的CA基础设施为电子商务的发展 保驾护航。