第七章电子商务安全技术1．教学内容
（1）电子商务安全体系
（2）电子商务安全控制要素
（3）数据加密技术
（4）数据签名技术
（5）数字证书
（6）电子商务安全交易协议
2．重点难点
（1）电子商务系统对安全的需求
（2）电子商务安全体系的构成及各种技术的异同、作用3．教学方法
讲授，实例讲解，软件演示
4．课时分配
讲授4学时实验4学时
第一节电子商务安全概述
一、电子商务的安全问题
1．卖方面临的问题
对卖方而言，面临的安全威胁主要有以下几个方面：
(1)中央系统安全性被破坏。
(2)竞争对手检索商品递送状况。
(3)被他人假冒而损害公司的信誉。
(4)买方提交订单后不付款。
(5)获取他人的机密数据。
2．买方面临的问题
对买方而言，面临的安全问题主要有以下几个方面：
(1)付款后不能收到商品。
(2)机密性丧失。
(3)拒绝服务。
3．信息传输问题
(1)冒名偷窃。
(2)篡改数据。
(3)信息丢失。
(4)信息传递过程中的破坏。
(5)虚假信息。
4．信用问题
(1)来自买方的信用问题。
(2)来自卖方的信用风险。
(3)买卖双方都存在抵赖的情况。
二、电子商务安全体系
1．电子商务系统硬件安全
硬件安全是指保护计算机系统硬件(包括外部设备)的安全，保证其自身的可靠性和为系统提供基本安全机制。
2．电子商务系统软件安全
软件安全是指保护软件和数据不被篡改、破坏和非法复制。系统软件安全的目标是使计算机系统逻辑上安全，主要是使系统中信息的存取、处理和传输满足系统安全策略的要求。
3．电子商务系统运行安全
运行安全是指保护系统能连续和正常地运行。
4．电子商务安全立法
电子商务安全立法是对电子商务犯罪的约束，它是利用国家机器，通过安全立法，体现与犯罪斗争的国家意志。
三、电子商务的安全控制要求
1．信息传输的保密性
信息的保密性是指信息在传输过程或存储中不被他人窃取。
2．交易文件的完整性
信息的完整性是从信息传输和存储两个方面来看的。
3．信息的不可否认性
信息的不可否认性是指信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息。
4．交易者身份的真实性
交易者身份的真实性是指在虚拟市场中确定交易者的实际身份。
四、电子商务安全管理
1．保密制度
（1）绝密级：此部分网址、密码不在因特网上公开，只限高层管理人员掌握。如公司经营状况报告，订货/出货价格，公司发展规划等。
（2）机密级：此部分只限公司中层管理人员以上使用。如公司日常管理情况，会议通知等。
（3）秘密级：此部分在因特网上公开，供消费者浏览，但必须保护程序，防止黑客侵入。如公司简介，新产品介绍及订货方式等。
2．网络系统的日常维护制度
（1）硬件的日常管理和维护
（2）软件的日常维护和管理
（3）数据备份制度。
（4）用户管理
3．病毒防范制度。
（1）给电脑安装防病毒软件。防病毒软件有两种：一是单机版防病毒软件；另一种是联机版防病毒软件。联机版防毒软件能够在病毒入侵之前，及时阻止病毒侵入。
（2）不打开陌生电子邮件。电子邮件传播病毒的关键是附件，最好不要在进行网络交易时打开。
（3）认真执行病毒定期清理制度。许多病毒都有潜伏期，定期清理制度可以清除处于潜伏期的病毒，防止病毒突然爆发。
（4）控制权限。将网络系统中易感染病毒的文件属性、权限加以限制，对各终端用户允许只读权限，断绝病毒入侵的渠道。
（5）高度警惕网络陷阱。对非常诱人的广告和免费使用的承诺，应保持高度警惕。
4．应急措施。
（1）瞬时复制技术。
（2）远程磁盘镜像技术。
（3）数据库恢复技术。
5．浏览器安全设置
（1）管理Cookie的技巧
在IE 6.0中，打开IE的“工具”菜单的“Internet属性”中的“隐私”标签专门用来管理Cookie。
通过IE 6.0的Cookie策略，就能个性化地设定浏览网页时的Cookie规则，更好地保护自己的信息，增加使用IE的安全性。例如，在默认级别“中”时，IE允许网站将Cookies放入你的电脑，但拒绝第三方的操作。
（2）禁用或限制使用Java、Java小程序脚本、ActiveX控件和插件
选中IE “工具”菜单的“Internet属性”中的“安全”标签，在这里Internet Explorer 将Internet划分四个区域，分别是Internet、本地Intranet、受信任的站点和受限制的站点。用户可以将网站分配到具有适当安全级的区域。通过“自定义级别”对不同的区域设置不同的安全级别。
安全级别包括“ActiveX控件和插件”、“Microsoft VM”、“脚本”、“下载”、“用户验证”以及其他六项，每一项均可展开进行详细配置，对于一些不安全或不太安全的控件或插件以及下载操作，应该予以禁止、限制或至少要进行提示。
（3）调整自动完成功能的设置
第二节电子商务安全技术
一、数据加密技术
1．加密和解密
信息加密技术，就是采用数学方法对原始信息(通常称为“明文”)进行再组织，使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字(加密后的信息通常称为“密文”)。
加密：是指将数据进行编码，使它成为一种不可理解的形式
解密：解密是将密文还原成原来可理解的形式
2．密码系统的构成
密码系统的一般构成如图1所示。
图1 密码系统的构成
密码系统的工作过程是，发送方用加密密钥Ke和加密算法E，对明文M加密，得到的密文C=E(Ke，M)，传输密文C。接收方用解密密钥Kd(与加密密钥Ke成对)和解密算法D，对密文解密，得到原来的明文M=D(Kd，C)。
3．通用密钥密码体制
所谓通用密钥密码体制就是加密密钥Ke和解密密钥Kd是通用的，即发送方和接收方使用同样密钥的密码体制，也称之为“传统密码体制”。
以英语为例，恺撒密码的原理是，对于明文的各个字母，根据它在26个英文字母表中的排列位置，按某个固定间隔n变换字母，即得到对应的密文。这个固定间隔的数字n就是加密密钥，也是解密密钥。
例如英文单词：cryptography是明文，使用密钥n=4，加密过程如图2所示。
图2 恺撒密码
简单的多表式密码的例子如图3所示。
通用密钥密码体制用于公众通信网时，每对通信对象的密钥不同，必须用不被第三者知道的方式，事先通知对方。
图3通用密钥密码体制
在通用密钥密码体制中，目前得到广泛应用的典型算法是DES算法，DES算法为密码体制中的对称密码体制，又被成为美国数据加密标准，是1972年美国IBM
公司研制的对称密码体制加密算法。明文按64位进行分组, 密钥长64位，密钥事实上是56位参与DES运算（第8、16、24、32、40、48、56、64位是校验位，使得每个密钥都有奇数个）分组后的明文组和56位的密钥按位替代或交换的方法形成密文组的加密方法。（根据辅助材料详解）
4．公开密钥密码体制
公开密钥密码体制的加密密钥Ke与解密密钥Kd不同，只有解密密钥是保密的，称为私人密钥(private key)，而加密密钥完全公开，称为公共密钥(public key)。该系统也称为“非对称密码体制”。当然，对于从加密密钥破解出解密密钥的过程必须设计得足够复杂，以至难以实施。
Kex:X的加密密钥，Key:X的解密密钥，其他密钥依次类推…….
图4 公开密钥密码体制
二、数字签名技术
1．数字摘要
数字摘要(digital digest)也称安全Hash(散列)编码法(SHA，Secure Hash Algorithm)或MD5(MD：Standards for Message Digest)，由Ron Rivest所设计。该编码法采用单向Hash函数将需加密的明文“摘要”成一串128bit的密文，这一串密文也称为数字指纹(Finger Print)。
2．数字签名
在书面文件上签名的作用有两点：一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。数字签名(digital signature)与书面文件签名有相同之处，也能确认以下两点：其一，信息是由签名者发送的；
其二，信息自签发后到收到为止未曾作过任何修改。
这样数字签名就可用来防止电子信息因易被修改而有人伪造；或冒用他人名义发送信息；或发出(收到)信件后又加以否认等情况发生。其原理如图5所示。图5数字签名
3．数字时间戳
数字时间戳是一个经加密后形成的凭证文档，它包括三个部分：一是需加时间戳的文件的摘要；二是DTS收到文件的日期和时间；三是DTS的数字签名。三、数字证书
1．数字证书原理
数字证书又称为数字凭证，数字标识，是一个经证书认证机构（CA）数字签名的包含用户身份信息以及公开密钥信息的电子文件，是用电子手段证实用户的身份。
2．数字证书的类型
常用的数字证书有以下几种类型：
个人身份证书：
单位证书
设备证书
代码签名证书
四、认证中心
认证中心（Certificate Authority, 简称CA），是电子商务的一个核心环节，是在电子交易中承担网上安全电子交易认证服务，签发数字证书，确认用户身份等工作的具有权威性和公正性的第三方服务机构。
认证中心的作用
证书的颁发
证书的更新
证书的查询
证书的作废
证书的归档
五、信息加密与数字认证的综合应用
数字摘要、数字签名、数字时间戳、数字证书、认证中心以及信息加密，是安全电子交易常用的6种手段。各种手段常常结合在一起使用，从而构成安全电子交易的体系。下面举出信息加密、数字签名、以及认证中心结合使用的实例，
见图6。
图6信息加密和数字认证的综合处理流程
六、防火墙技术
1、概念
防火墙技术是内部网最重要的安全技术之一，是一个由软件系统和硬件设备组合而成的在内部网和外部网之间的界面上构造的保护屏幕，它可以提供接入控制。
2、防火墙设计的基本原则
由内到外或由外到内的数据流均经过防火墙；
只允许本地安全政策认可的数据流通过防火墙，对于任何一个数据组，当不能明确是否允许通过时就拒绝通过，只让真正合法的数据组通过；
尽可能控制外部用户访问内部网，应当严格控制外部人进入内部网，如果有些文件要向INTERNET用户开放，则最好将这些文件放在防火墙外；
具有足够的透明性，保证正常业务流通；
具有抗穿透攻击能力、强化记录、审计和告警。
3、防火墙的分类
真正意义下的防火墙有两类，一类被称为标准防火墙，一类叫双家网关。标准防火墙系统包括一个Unix工作站，该工作站的两端各按一个路由器进行缓冲。双家网关则是对标准防火墙的扩充，双家网关又称堡叠主机或应用层网关，它是一个单个的系统，但却能同时完成标准防火墙的所有功能。
4、防火墙不能对付的威胁
（1）来自内部的攻击。
（2）绕过它的连接。
（3）新出现的网络威胁。
（4）病毒
示例：据统计，仅2009年上半年挂载木马网页数量累计达2.9亿个，共有11.2亿人次网民访问挂载木马，2010年元旦三天就新增电脑病毒50万。病毒的数量不仅增速变快，智能型，病毒变种更新速度快是本年度病毒的又一个特征。总体而言，目前的新木马不多，更多的是它的变种，因为目前反病毒软件的升级速度越来越快，病毒存活时间越来越短，因此，今天的病毒投放者不再投放单一的病毒，而是通过病毒下载器来进行病毒投放，可以自动从指定的网址上下载新病毒，并进行自动更新，永远也无法斩尽杀绝所有的病毒。同时病毒制造、传播者利用病毒木马技术进行网络盗窃、诈骗活动，通过网络贩卖病毒、木马，教授病毒编制技术和网络攻击技术等形式的网络犯罪活动明显增多，电子商务网络犯罪也逐
渐开始呈公开化、大众化的趋势。
第三节电子商务安全交易协议
一、SSL协议
1．SSL协议概述
SSL (Secure socket Layer)安全套接层协议主要适用于点对点之间的信息传输，通过在浏览器软件（例如Internet Explorer、Netacpe Navigator）和WWW服务器建立一条安全通道，从而实现在Internet中传输保密文件。
2．SSL的基本结构：
在TCP/IP协议族中，SSL位于TCP层之上，应用层之下。这使它可以独立与应用层，从而使应用层协议可以直接建立在SSL上。
SSL协议包括两个子协议：SSL记录协议和SSL握手协议。SSL记录协议建立在可靠的传输协议（例如：TCP）上，用来封装高层的协议。SSL握手协议准许服务器端与客户端在开始传输数据前，能够通过特定的加密算法相互鉴别。
3．认证服务器的身份
一个支持SSL的客户端软件通过下列步骤认证服务器的身份：
（1）服务器端传送的证书中获得相关信息；
（2）当天的时间是否在证书的合法期限内；
（3）签发证书的机关是否是客户端信任的；
（4）签发证书的公钥是否符合签发者的数字签名
（5）证书中的服务器域名是否符合服务器自己真正的域名？
（6）服务器被验证成功，客户继续进行握手过程。
4．认证客户端的身份
一个支持SSL的服务器通过下列步骤认证客户端的身份：
（1）客户端传送的证书中获得相关信息；
（2）用户的公钥是否符合用户的数字签名；
（3）当天的时间是否在证书的合法期限内；
（4）签发证书的机关是否服务器端信任的；
（5）用户的证书是否被列在服务器的LDAP里用户的信息中
（6）得到验证的用户是否仍然又权限访问请求的服务器资源
缺点：
SSL使用复杂的数学公式进行数据加密和解密，这些公式的复杂性根据密码的强度不同而不同。高强度的计算会使多数服务器停顿，导致性能下降。多数Web 服务器在执行SSL相关任务时，吞吐量会显著下降，性能比在只执行HTTP1.0连接时的速度慢50多倍。
二、SET协议
1．SET协议概述
SET提供对买方、商户和收单行的认证，确保交易数据的安全性、完整性和交易的不可否认性，特别是保证了不会将持卡人的信用卡号泄露给商户。
SET协议比SSL协议复杂许多，因为前者不仅加密两个端点间的单个会话，它还可以加密和认定三方间的多个信息。
SET交易分三个阶段进行：
在购买请求阶段，用户与商家确定所用支付方式的细节；
在支付的认定阶段，商家会与银行核实，随着交易的进展，他们将得到付款； 在受款阶段，商家向银行出示所有交易的细节，然后银行以适当方式转移存款。
2．SET协议的设计指导思想
SET协议的设计指导总的思想是：在网络边界安全被攻破时，即使传输的数据被劫取，也无法识别和篡改，具体体现在：
保证信息的加密性
验证交易各方
保证支付的完整性和一致性
保证互操作性
3．SET协议的优点
SET与SSL相比主要有以下四个方面的优点：
SET对商家提供了保护自己的手段，使商家免受欺诈的困扰，使商家的运营成本降低。
对买方而言，SET保证了商家的合法性，并且用户的信用卡号不会被窃取，SET替买方保守了更多的秘密使其在线购物更加轻松。
银行和发卡机构以及各种信用卡组织（如VISA、Master Card）非常喜爱SET，因为SET帮助它们将业务扩展到Internet这个广阔的空间中，从而使得信用卡网上支付具有更低的欺骗概率，这使得它比其他支付方式具有更大的竞争力。
SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑。
4．SET协议的缺陷
(1)协议没有说明收单银行给在线商店付款前，是否必须收到买方的货物接受证书。否则的话，在线商店提供的货物不符合质量标准，买方提出疑义，责任由谁承担。
(2)协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是不是由签署证书的买方发出的。
(3)SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁此类数据，是否应当将数据保存在买方、在线商店或收单银行的计算机里。这些漏洞可能使这些数据以后受到潜在的攻击。
(4)在完成一个SET协议交易的过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行5次签名、4次对称加密和4次非对称加密。
(5)SET的证书格式比较特殊，虽然也遵循X．509标准，但它主要是由Visa和MasterCard开发并按信用卡支付方式来定义的。银行的支付业务不光是卡支付业务，而SET支付方式和认证结构适应于卡支付，对其他支付方式是有所限制的。
(6)一般认为，SET协议保密性好，具有不可否认性，SETCA是一套严密的认证体系，可保证电子商务交易安全顺利地进行。事实上，安全是相对的，我们提出电子商务中信息的保密性问题，即要保证支付和定单信息的保密性，也就是要求商户只能看到定单信息，支付网关只能解读支付信息。
三、两种协议的特性对比
浅谈电子商务中的安全技术 王海 （南京航空航天大学信息科学与技术学院 南京 210016） E-mail：wwanghaih@https://www.doczj.com/doc/cb12160236.html, 摘 要：电子商务的安全保障是电子商务发展的基础,本文分析了电子商务所采用的主要的安全技术, 包括现代加密理论(对称加密、公钥体制)、完整性保障、数字签名以及认证技术在电子商务中的应用。 关键词：电子商务；加密技术；完整性保障；数字签名认证技术 1.引言 所谓电子商务(Electronic Commerce)，是指通过电子手段来完成整个商业贸易活动的过程。电子商务主要涉及三方面内容：信息、电子数据交换和电子资金转帐。在电子商务中，安全性是一个至关重要的核心问题，它要求网络能提供一种端到端的安全解决方案，如加密机制、签名机制、安全管理、存取控制、防火墙、防病毒保护等等。电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的问题，实施网络安全增强方案，以保证计算机网络自身的安全为目标。商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，保障以电子交易和电子支付为核心的电子商务过程的顺利进行。即实现电子商务保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。计算机网络安全与商务交易安全实际上是密不可分的，两者相辅相成，缺一不可。 2.电子商务面临的安全威胁[1]及安全需求[2] 2.1电子商务面临的安全威胁 电子商务的安全性并不是一个孤立的概念，它不但面临着系统自身的安全性问题；而且，由于它是建立在计算机和通信网络基础上的，所以计算机及通信网络的安全性问题同样会蔓延到电子商务中来。电子商务在这样的环境中，时时处处受到安全的威胁，其安全威胁可分为以下四大类： 2.1.1信息的截获和窃取 如没有采取加密措施或加密强度不够，攻击者通过采用各种手段非法获得用户机密的信息。 2.1.2信息的篡改 攻击者利用各种技术和手段对网络中的信息进行中途修改，并发往目的地，从而破坏信息的完整性。这种破坏手段有三种： (1)篡改：改变信息流的次序。 (2)删除：删除某个消息或消息的某些部份。 - 1 -
5.2 电子商务网络安全技术 一、防火墙技术 1、什么是防火墙 防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦着火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。再电脑术语中，当然就不是这个意思了。 防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、具有潜在破坏性的侵入。防火墙示意图：
2、防火墙种类 从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长，具体使用哪一种或是否混合使用，要看具体需要。 3、防火墙的使用 防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。 二、病毒防范措施 1、用户应养成及时下载最新系统安全漏洞补丁的安全习惯，从根源上杜绝黑客利用系统漏洞攻击用户计算机的病毒。同时，升级杀毒软件、开启病毒实时监控应成为每日防范病毒的必修课。 2、请定期做好重要资料的备份，以免造成重大损失。 3、选择具备“网页防马墙”功能的杀毒软件（如KV2008），每天升级杀毒软件病毒库，定时对计算机进行病毒查杀，上网时开启杀毒软件全部监控。 4、请勿随便打开来源不明的Excel或Word文档，并且要及时升级病毒库，开启实时监控，以免受到病毒的侵害。 5、上网浏览时一定要开启杀毒软件的实时监控功能，以免遭到病毒侵害。
6、上网浏览时，不要随便点击不安全陌生网站，以免遭到病毒侵害。 7、及时更新计算机的防病毒软件、安装防火墙，为操作系统及时安装补丁程序。 8、在上网过程中要注意加强自我保护，避免访问非法网站，这些网站往往潜入了恶意代码，一旦用户打开其页面时，即会被植入木马与病毒。 9、利用Windows Update功能打全系统补丁，避免病毒从网页木马的方式入侵到系统中。 10、将应用软件升级到最新版本，其中包括各种IM即时通讯工具、下载工具、播放器软件、搜索工具条等；更不要登录来历不明的网站，避免病毒利用其他应用软件漏洞进行木马病毒传播。 11、开启江民杀毒软件“系统漏洞检查”功能，全面扫描操作系统漏洞，及时更新Windows操作系统，安装相应补丁程序，以避免病毒利用微软漏洞攻击计算机，造成损失。 5.3 加密技术 一、加密技术 1、概念 加密技术是电子商务采取的主要安全保密措施，是最常用的安全保密手段，利用技术手段把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。加密技术的应用是多
单项选择题 1．在电子商务系统可能遭受的攻击中，从信道进行搭线窃听的方式被称为( ) A．植入B．通信监视C．通信窜扰D．中断 2．消息传送给接收者后，要对密文进行解密是所采用的一组规则称作( ) A．加密B．密文C．解密D．解密算法 3．在以下签名机制中，一对密钥没有与拥有者的真实身份有唯一的联系的是( ) A．单独数字签名B．RSA签名C．ELGamal签名D．无可争辩签名4．MD-5是____轮运算，各轮逻辑函数不同。A．2 B．3 C．4 D．5 5．综合了PPTP和L2F的优点，并提交IETF进行标准化操作的协议是( ) A．IPSec B．L2TP C．VPN D．GRE 6．VPN按服务类型分类，不包括的类型是( ) A. Internet VPN B.Access VPN C. Extranet VPN D.Intranet VPN 7.目前发展很快的安全电子邮件协议是_______ ，这是一个允许发送加密和有签名 邮件的协议。( ) A．IPSec B．SMTP C．S/MIME D．TCP/1P 8. 对SET软件建立了一套测试的准则。( ) A．SETCo B．SSL C．SET Toolkit D．电子钱包 9．CFCA认证系统的第二层为( ) A．根CA B．政策CA C．运营CA D．审批CA 10. SHECA提供了_____种证书系统。A．2 B．4 C．5 D．7 11.以下说法不正确的是( ) A.在各种不用用途的数字证书类型中最重要的是私钥证书 B．公钥证书是由证书机构签署的，其中包含有持证者的确切身份 C．数字证书由发证机构发行 D．公钥证书是将公钥体制用于大规模电子商务安全的基本要素 12.以下说法不正确的是( ) A. RSA的公钥一私钥对既可用于加密，又可用于签名 B．需要采用两个不同的密钥对分别作为加密一解密和数字签名一验证签名用C．一般公钥体制的加密用密钥的长度要比签名用的密钥长 D．并非所有公钥算法都具有RSA的特点 13. _______是整个CA证书机构的核心，负责证书的签发。( ) A．安全服务器B．CA服务器C．注册机构RA D．LDAP服务器14．能够有效的解决电子商务应用中的机密性、真实性、完整性、不可否认性和存取控制等安全问题的是( ) A. PKI B．SET C．SSL D．ECC 15. _______在CA体系中提供目录浏览服务。( ) A．安全服务器B．CA服务器C．注册机构RA D．LDAP服务器 16. Internet上很多软件的签名认证都来自_______公司。( ) A．Baltimore B．Entrust C．Sun D．VeriSign 17．SSL支持的HTTP，是其安全版，名为( ) A．HTTPS B．SHTTP C．SMTP D．HTMS 18. SET系统的运作是通过个软件组件来完成的。A．2 B．3 C．4 D．5 19．设在CFCA本部，不直接面对用户的是( ) A．CA系统B．RA系统C．LRA系统D．LCA系统 20. CTCA的个人数字证书，用户的密钥位长为( ) A．128 B．256 C．512 D．1024
电子商务安全技术试卷
————————————————————————————————作者：————————————————————————————————日期：
XX 大学2009-2010学年第一学期考试试卷 电子商务安全技术 注意事项： 1. 请考生按要求在试卷装订线内填写姓名、学号和年级专业。 2. 请仔细阅读各种题目的回答要求，在规定的位置填写答案。 3. 不要在试卷上乱写乱画，不要在装订线内填写无关的内容。 4. 满分100分，考试时间为120分钟。 题 号 一 二 三 四 总 分 统分人 得 分 一、填空题（共10分，每空1分）： 1．电子商务安全从整体上分为（ ）和电子商务交易安全两大部分。 2．所谓加密，就是用基于（ ）方法的程序和保密的密钥对信息进行编码，把明文变成密文。 3．密码体制从原理上可分为单钥体制和（ ）。 4．链路-链路加密中，由于传送的信息在每个节点处都将以（ ）形式存在，故要加强每个节点的实体安全。 5． 电子商务活动是需要诚信的，如何来确定交易双方的身份就显得特别重要。目前，是通过认证中心（CA ）发放（ ）来实现的。 6． 数字证书是利用数字签名和（ ）来分发的。 7． （ ）允许一台机器中的程序像访问本地服务器那样访问远程另一台主机中的资源。 8． 分布式防火墙是一种（ ）的安全系统，用以保护企业网络中的关键节点服务器、数据及工作站免受非法入侵的破坏。 9． （ ）又称灾难恢复，是指灾难产生后迅速采取措施恢复网络系统的正常运行。 得 分 评分人
10． 信息安全等级的具体划分主要从信息完整性、保密性和( )三个方面 综合考虑 。 二、判断题（共10分，每题1分） 1．故意攻击网站触发安全问题，以此来研究新的安全防范措施是对电子商务安全善意 的攻击。 （ ） 2．分组密码是一种重要的对称加密机制，它是将明文按一定的位长分组，输出不定长 度的密文。 （ ） 3．在代理多重签名中，一个代理签名可以代表多个原始签名人。 （ ） 4．数字签名使用的是发送方的密钥对，发送方用自己的私有密钥进行加密，接受方用 发送方的公开密钥进行解密。 （ ） 5．SSL 建立在TCP 协议之上，它与应用层协议独立无关，应用层协议能透明地建立于 SSL 协议之上。 （ ） 6．认证机构CA 和注册机构RA 都可以发放数字证书。 （ ） 7．实现防火墙的网络安全策略时，可以遵循的两条原则是：一是未被明确允许的一定 都将被禁止；二是未被明确禁止的未必都被允许。 （ ） 8．不连网的计算机不会感染计算机病毒。 （ ） 9．为了确保系统管理人员的忠诚可靠，系统管理的工作应当长期由一人来负责。（ ） 10．计算机信息媒体出入境的普遍办理过程一般为先申报，后检测，最后报送。 （ ） 三、选择题（共40分，每小题2分） 1． 软件开发人员为了方便，通常也会在软件里留下“后门”，通过在后门里植入 （ ），很容易就可获取用户隐私。 A.木马程序 B.反击程序 C.跟踪程序 D.蠕虫程序 2．确保交易信息的真实性和交易双方身份的合法性是电子商务安全需求中的 （ ） A 、不可否认性 B 、完整性 C 、认证性 D 、保密性 3. 小雪想要加密一封E-mail 发给她的朋友小刚。为了只让小刚看到这封信，她需要用 什么来加密 （ ） A 、她的公钥 B 、她的私钥 C 、小刚的公钥 D 、小刚的私钥 4. 下列对于数字签名要求的说法中，不正确的是 （ ） A 、收方能够确认或证实发方的签名，但不能伪造 得 分 评分人 得 分 评分人
电子商务安全技术试卷A 考试时间：120 分钟考试方式：开卷 一、单项选择题（每小题1.5分，共计30分；请将答案填在下面 1.电子商务的安全需求不包括( B ) A.可靠性 B.稳定性 C.匿名性 D.完整性 2.以下哪个不是常用的对称加密算法( D ) A.DES B.AES C.3DES D.RSA 3.访问控制的要素有几种( D ) A.2 B.3 C.4 D.5 4. 下面关于病毒的叙述正确的是（ D ）。 A．病毒可以是一个程序 B．病毒可以是一段可执行代码 C．病毒能够自我复制 D． ABC都正确 5. 根据物理特性，防火墙可分为（ A ）。 A. 软件防火墙和硬件防火墙 B.包过滤型防火墙和双宿网关 C. 百兆防火墙和千兆防火墙 D.主机防火墙和网络防火墙 6.目前公认的保障网络社会安全的最佳体系是( A ) A.PKI B.SET C.SSL D.ECC 7.防火墙软件不能对付哪类破坏者? ( C ) A.未经授权的访问者 B.违法者 C.内部用户 D.地下用户 8.数据的备份类型不包括? ( B )
A.完全备份 B.部分备份 C.增量备份 D.差别备份 9.针对木马病毒的防范，以下正确的是( A ) A.设置复杂密码，最好包含特殊符号 B.随意打开不明邮件的附件 C.浏览不健康网站 D.网上下载的软件未经扫描就使用 10.以下那个不是杀毒软件的正确使用方法( A ) A.中毒之后再下载杀毒软件来安装 B.设置开机自动运行杀毒软件 C.定期对病毒库进行升级 D.经常针对电脑进行全盘扫描 11.关于密码学的术语描述错误的是( B ) A.最初要发送的原始信息叫做明文 B.算法是在加密过程中使用的可变参数 C.密文是被加密信息转换后得到的信息 D.解密是将密文转换为明文的过程 12.以下说法错误的是? ( D ) A.电子商务中要求用户的定单一经发出，具有不可否认性 B.电子商务中的交易信息要防止在传输工程中的丢失和重复 C.电子商务系统应保证交易过程中不泄漏用户的个人信息 D.电子商务系统应该完全杜绝系统延迟和拒绝服务的情况发生。 13.使用计算机应遵循的完全原则不包括如下哪一个（ D ） A.密码安全原则 B.定期升级系统 C.禁止文件共享 D.允许远程访问 14.HTTPS是使用以下哪种协议的HTTP?（ C ） A.SSH B.SET C.SSL D.TCP 15.下列哪一项不属于电子商务使用的主要安全技术( C ) A.加密 B.电子证书 C.实名认证 D.双重签名 16.典型的DES以( A )位为分组对数据进行加密？ A.64 B.128 C.256 D.512 17.VPN的含义是( B ) A.局域网 B.虚拟专用网络 C.广域网 D.城域网 18.移动电子商务对系统的安全需求不包括( C ) A.身份认证 B.接入控制 C.数据可靠性 D.不可否认性 19.以下那种情况可以放心的使用在线电子支付系统( D ) A.在单位的公用电脑 B.在网吧 C.在肯德基使用免费WIFI D.在家庭的网络中 20.以下哪种操作可以有效防护智能手机操作系统安全( B ) A.下载安装腾讯QQ B.使用专门软件实时监控手机运行状态 C.给手机设置密码，密码是自己的生日 D.经常打开微信，链接各种网站。
第8章电子商务安全技术 (一) 单项选择 1、（）是确保电子商务参与者无法抵赖（或否认）其网上行为的能力。 A 不可否认性 B 真实性 C 机密性 D 完整性 2、（）是确认与你在Internet上交易的个人或者试题的身份的能力。 A 不可否认性 B 真实性 C 机密性 D 完整性 3、（）是确保信息和数据只能被得到授权的人读取的能力。 A 不可否认性 B 真实性 C 机密性 D 完整性 4、SET是指（） A 安全电子交易 B 安全套接层协议 C 安全HTTP D 安全电子技术 5、（）是可以组织远程客户机登录到你的内部网络。 A 代理服务器 B 防病毒软件 C 操作系统控制 D 防火墙 6、（）可以监视通过网络传递的信息，从网络上任何地方盗取企业的专有信息。 A 恶意代码 B 电子欺骗 C 网络窃听 D 内部人行为 7、（）是用来保护信道安全的最常用的方式。 A 安全超文本传输协议 B 安全套接层协议 C 虚拟专用网 D 公共网络 8、（）很可能成为电子商务中最典型的犯罪行为。 A 网上信用卡诈骗 B 电子欺骗 C 网络窃听 D 恶意代码 9、（）通常感染可执行文件。 A 宏病毒 B 脚本病毒 C 文件感染型病毒 D 特洛伊木马 10、（）向网站大量发送无用的通信流量从而淹没网络并使网络瘫痪。 A 拒绝服务攻击 B 阻止服务攻击 C 分布式拒绝服务攻击 D 分散式拒绝服务攻击 11．以下攻击手段中不属于欺骗攻击的是（） A．伪装B．会话劫持C．洪水攻击D．中间人攻击 12．签名者在不知道签名具体信息的情况下所做的签名称为（）。 A．群签名B．盲签名C．团体签名D．防失败签名 13．以下匿名的实现机制中，（）通过在群内随机转发消息来隐藏消息的发送者。A．群方案B．匿名转发器链C．假名D．代理机制 14．以下电子现金方案中，（）系统的数字现金证书当天有效。 A．E--Cash B．Mini--Pay C．CyberCash D．Mondex 15．（）是对计算机和网络资源的恶意使用行为进行识别和响应的处理过程。 A．漏洞扫描B．入侵检测C．安全审计D．反病毒 16．散列函数对同一报文M，无论何时何地，反复执行该函数得到的输出结果都是一样的，是指散列函数的（）。 A．单向性B．普适性C．不变性D．唯一性 17使用密钥将密文数据还原成明文数据，称为：（）。 A：解码；B：解密C：编译；D：加密； 18、所谓对称加密系统就是指加密和解密用的是（）的密钥。 A、不同 B、互补 C、配对D相同 19、在下面的选项中不符合非对称密钥体制特点的是（）。 A、密钥分配简单 B、密钥的保存量少 C、密钥的保存量多 D、可实现身份识别 20、电子支票在使用过程中，需要通过（）来鉴定电子支票的真伪。
E-business电子商务 0802013年1月 https://www.doczj.com/doc/cb12160236.html, 电子商务交易的安全技术浅析 浙江财经学院信息学院 程亚星 摘 要：在当今人们的生活中，电子商务已成为不可或缺的元素。随着电子商务的迅速发展，电子商务交易、支付的迅猛增加，一些网络黑客任意截获、盗取或者恶意攻击电子商务网站，给电子商务交易的安全造成了威胁。在预防电子商务交易中个人信息泄露，防止信息被恶意篡改的技术探索中，得出了防火墙与入侵检测技术的恰当结合是解决电子商务交易网络安全的有效方法之一。本文主要探讨防火墙、入侵检测技术及二者联动在电子商务交易安全中的应用。 关键词：电子商务交易 防火墙 入侵检测 信息安全 中图分类号：F724 文献标识码：A 文章编号：1005-5800(2013)01(b)-080-02 近年来，随着越来越多的商家与企业加入电子商务大军，2012年天猫、京东、苏宁易购、腾讯都进行了不断的收购，腾讯投资10亿元到电商业务。据艾瑞咨询发布的统计数据，截至2012年6月底，中国网民数量达到5.38亿，受益于网购市场的高速发展全年网购交易规模突破13000亿，电子商务产业已成为我国经济中的亮丽风景。同时，电子商务交易安全问题日益严重，信息安全已成为未来电子商务顺利发展的重要保证，确保商务交易中的安全是当前电子商务发展面临的巨大挑战。近年来已经逐渐发展成熟的防火墙与入侵检测技术已颇具成效，成为解决电子商务交易网络安全的重要手段。其中，防火墙技术因其静态防御的特性而在策略完善和攻击的识别上还存在很多不足之处，入侵检测技术能够很好地对恶意攻击网络行为进行有效的识别，可以对防火墙的不足进行补充。它若与防火墙技术结合使用，便可对电子商务交易安全发挥重要作用。 1 防火墙的关键技术 防火墙是利用了IP封包过滤技术，被放置在Internet与被保护的网络两者之间的屏障。它可以对过往的信息与数据进行不安全因素监测与分析，对不良数据与恶意信息进行过滤，对各种病毒与木马入侵进行拦截；防止网络信息被攻击和篡改。一般的防火墙系统主要包括Telnet、Email、WWW、FTP等代理服务器，以及用户登录、加密、审计、过滤路由、身份审核与验证、堡垒主机等基本功能模块组成。各个服务器与各个功能模块分工明确，经过有效的配合，能够实现共同抵御不安全网络攻击行为的目标。 防火墙具有很多功能，主要体现在：(1)防火墙可以将网络内部的信息屏蔽起来，避免外界干扰和攻击。(2)防火墙可以监测、审计和分析进入和流出网络的数据信息，对恶意信息进行筛选。(3)壁垒主机功能模块可以有效阻断外部入侵。(4)防火墙可以阻止所有可疑的对网络的访问，拦截所有携带病毒攻击的报文，并且可以预防这些病毒与木马的传播和扩散。但是，具有了这些功能网络也并不是绝对安全的，实践证明防火墙体系还存在许多漏洞，诸如尽管防火墙可以记录一切网络访问的活动，但是却也为黑客提供了入侵的端口，也有些黑客也能够绕过防火墙而进入网络，这些漏洞需要我们认真对待，及时完善防火墙技术。 1.1 包过滤技术 包过滤技术是防火墙技术中的一种，该技术的主要通过数据包过滤来实现的。其作用是阻塞某些主机及网络对内部网络的连接，这种技术主要工作在网络层。它为危机四伏的网络提供着过滤路由器的技术。例如，利用这种技术可以限制网络访问者去访问非法、色情站点等。可以通过选择系统内部的访问控制表Access Control List，选取恰当的网络位置，并在这个位置对数据包选择性的滤取，满足网络传输要求的数据包被过滤出来，并且可以通过一些网络安全协议在网络间进行有序的传输，其余不符合网络传输要求的数据包则被过滤出来，并最终在数据流中彻底删除，避免危害网络安全。 数据包过滤技术也存在一定漏洞，例如它只能通过数据包的端口号码、目的地址及协议类型等对数据包进行分析和判断，是只工作在网络层的过滤技术。这就决定了该技术不能对网络应用层的数据进行筛选和分析，对于应用层内的不良网络入侵不发挥功效。 1.2 代理(Proxy)技术 代理(Proxy)技术是完全不同于数据包过滤技术的应用网关技术——Application Gateway。它主要拦截一切信息流，工作在网络层，不同的应用配有不同的程序实现防护功能。代理技术以状态性为主要特征，目标是在网络应用层实现不安全访问的防范。代理技术能够展现与应用和传输相关联的所有信息与数据的状态，并且能够规范管理甚至及时处理这些传输应用信息。 代理是内外网间的网关，是工作在网络应用层上的特殊服务，且网络应用服务与应用代理具有一对一的关系。这让通信的网络服务器与客户之间不会进行直接的联系，而是通过代理进行转接与中继。代理服务器主要分为服务器代理和客户代理两大分支，前者负责完成与服务器间的通讯，后者负责完成与客户的对接通讯。随之而来的是代理服务器与服务器方面以及地理服务器和客户方面的两大类连接，这些连接都需要代理技术来进行维持。对服务器方面而言，代理是客户端，负责访问服务。对客户方面，代理是服务器，负责目的服务器与客户的对接。 1.3 状态检测技术 状态检测技术是采用对网络通信各层的数据传输进行检测的手段，是利用检测模块对动态数据包过滤技术的完善。状态检测技术可以提取一些数据的状态信息，并能够将这些信息进行动态保存，目的是方便以后做出安全决策。这种技术本质上讲采用的还是以会话为基本原色的一种连接检测机制，将属于同一连接性质的数据包同一成一个数据流整体后形成连接状态表。通过这些表的相互协作达成对表中各个连接元素的分析和甄别，为提高传输效率可随意排列这些表中的记录。用户的访问到达网关以前，检测设备要对数据进行分析和提取，根据网络协议与传输要素，对这些用户数据进行分析、鉴定、识别和过滤。这样，提高了网络的安全级别。
电子商务安全技术 简介:这就是大学上课时学习得电子商务安全技术,就是全书得概要,总结。大学期末考试，可以拿它做为参考。 第一篇电子商务安全概述 电子商务就是由计算机、通信网络及程序化、标准化得商务流程与一系列安全、认证法律体系所组成得一个集合。 电子商务系统就是由Ｉnteｒｎｅt、用户、配送中心、认证中心、银行与商家等组成 TCP/IP协议, 第１章电子商务安全基础 乙发送一条信息甲,信息内容就是：请给乙向银行中打入１0000元。落款:乙、 甲收到:信息为：请给丙向银行中打入10０００元,乙。 其实在传递信息得过程中已被丙修改了信息。 1.1电子商务安全概念 电子商务安全就就是保护在电子商务系统里得企业或个人资产不受未经授权得访问、使用、窜改或破坏。电子商务安全覆盖了电子商务得各个环节。涉及到三方面:客户端-通信传输-服务器端。
电子商务安全得六项中心内容: １、商务数据得机密性或保密性 通过加密来实现得。 2.电子商务数据得完整性或正确性 一定要保证数据没有被更改过。 ３.商务对象得认证性 第三方认证。 CA认证中心。 4.商务服务得不可否认性 5.商务服务得不可拒绝性或可用性。６．访问得控制性 1、２电子商务安全问题 技术上得安全性,安全技术得实用可行性。要考虑以下三方面得问题: 1)安全性与方便性 2)安全性与性能 ３）安全性与成本
一、问题得提出 二、电子商务得安全隐患 1、数据被非法截获,读取或修改 数据加密 ２、冒名顶替与否认行为 数字签名、加密、认证 ３.一个用户未经授权访问了另一个网络。 Intraneｔ:企业内部网 Ｉnterneｔ:因特网 防火墙 ４．计算机病毒 杀毒软件 1.3电子商务安全需求 一、电子交易得安全需求 1、身份得可认证性 保证交易双方身份就是真实得,可靠得，不被冒名顶替。２．信息得保密性
浅谈电子商务中的安全问题(一) 摘要]Intenet所具有的开放性是电子商务方便快捷、广泛传播的基础，而开放性本身又会使网上交易面临种种危险。安全问题始终是电子商务的核心和关键问题。 关键词]电子商务安全网络安全商务安全 2003年对中国来说是个多事之秋，先是SARS肆虐后接高温威胁。但对电子商务来说，却未必不是好事：更多的企业、个人及其他各种组织，甚至包括政府都在积极地推动电子商务的发展，越来越多的人投入到电子商务中去。电子商务是指发生在开放网络上的商务活动，现在主要是指在Internet上完成的电子商务。 Intenet所具有的开放性是电子商务方便快捷、广泛传播的基础，而开放性本身又会使网上交易面临种种危险。一个真正的电子商务系统并非单纯意味着一个商家和用户之间开展交易的界面，而应该是利用Web技术使Web站点与公司的后端数据库系统相连接，向客户提供有关产品的库存、发货情况以及账款状况的实时信息，从而实现在电子时空中完成现实生活中的交易活动。这种新的完整的电子商务系统可以将内部网与Internet连接，使小到本企业的商业机密、商务活动的正常运转，大至国家的政治、经济机密都将面临网上黑客与病毒的严峻考验。因此，安全性始终是电子商务的核心和关键问题。 电子商务的安全问题，总的来说分为二部分：一是网络安全，二是商务安全。计算机网络安全的内容包括：计算机网络设备安全，计算机网络系统安全，数据库安全，工作人员和环境等。其特征是针对计算机网络本身可能存在的安全问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。商务安全则紧紧围绕传统商务在Internet上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。即实现电子商务的保密性，完整性，可鉴别性，不可伪造性和不可依赖性。 一、网络安全问题 一般来说，计算机网络安全问题是计算机系统本身存在的漏洞和其他人为因素构成了计算机网络的潜在威胁。一方面，计算机系统硬件和通信设施极易遭受自然环境的影响（如温度、湿度、电磁场等）以及自然灾害和人为（包括故意破坏和非故意破坏）的物理破坏；另一方面计算机内的软件资源和数据易受到非法的窃取、复制、篡改和毁坏等攻击；同时计算机系统的硬件、软件的自然损耗等同样会影响系统的正常工作，造成计算机网络系统内信息的损坏、丢失和安全事故。 二、计算机网络安全体系 一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，极大地增加了恶意攻击的难度，并增加了审核信息的数量，利用这些审核信息可以跟踪入侵者。 在实施网络安全防范措施时，首先要加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；其次要用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；利用RAID5等数据存储技术加强数据备份和恢复措施。 对敏感的设备和数据要建立必要的物理或逻辑隔离措施；对在公共网络上传输的敏感信息要进行强度的数据加密；安装防病毒软件，加强内部网的整体防病毒措施；建立详细的安全审计日志，以便检测并跟踪入侵攻击等。 网络安全技术是伴随着网络的诞生而出现的，但直到80年代末才引起关注，90年代在国外获得了飞速的发展。近几年频繁出现的安全事故引起了各国计算机安全界的高度重视，计算机网络安全技术也因此出现了日新月异的变化。安全核心系统、VPN安全隧道、身份认证、
电子商务安全技术分析 摘要： 本文主要针对现在电子商务行业中存在的问题，从安全问题、安全要素、病毒与黑客防范技术、安全技术、安全电子交易等几个方面全面的阐述了电子商务的安全问题，重点分析了安全电子交易规范(SET)，并对电子商务安全的未来进行了分析。 一、引言 电子商务为全球客户提供丰富商务信息、快捷的交易服务和低廉交易成本的同时，也给电子商务参与的主体带来了许多安全问题。电子商务所依赖的Internet具有虚拟性、动态性、高度开放性等特点，使电子商务面临众多的威胁与安全隐患，严重制约其进一步发展和应用。目前，电子商务的安全问题已经是制约电子商务广泛应用的主要瓶颈之一，所以电子商务安全技术也成为各界关注、研究的热点。 二、电子商务安全问题 由于电子商务师以计算机网络为基础的，因此它不可避免面临着一系列的安全问题。一般会遇到以下的五种安全问题。 2.1、信息泄露 在电子商务中表现为商业机密的泄露，也就是说电子商务的数据信息在未采用加密措施情况下，以明文形式在网络上传送，攻击者在传输信道上对数据进行非法截获、监听，获取通信中的敏感信息，造成网上传输信息泄露。即使数据经过加密，但若加密强度不够，攻击者也可通过密码破译得到信息内容，造成信息泄露。 2.2、信息篡改 在电子商务中表现为商业信息的真实性和完整性的问题。攻击者在掌握了信息格式和规律后，采用各种手段对截取的信息进行篡改，破坏商业信息的真实性和完整性。 2.3、身份识别问题 如果不进行身份的识别，第三方就有可能假冒用户身份信息，利用仿冒的身
份与他人交易，获取非法利益，从而破坏交易的可靠性。进行识别后就可防止“相互猜忌”的情况。 2.4、病毒 病毒问世二十几年来，各种新型病毒及其变种迅速增加，特别是互联网的发展，大大加速了病毒的传播，同时病毒的破坏性越来越大，严重威胁着电子商务的发展。 2.5、黑客问题 随着各种应用工具的传播，黑客已经大众化了，不想过去那样费计算机的高手不能成为黑客，现在只需要下载几个攻击软件并学会怎么使用，就可以互联网上大干一场，所以黑客问题也严重威胁着电子商务的发展。 三、电子商务的安全要素 3.1、有效性 电子商务以电子形式取代了纸张，那么如何保证这种电子形式贸易信息的有效性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此，要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时刻、确定的地点是有效的。 3.2、机密性 电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个开放的网络环境（如Internet）上的，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。 3.3、完整性 电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因
电子商务安全技术 简介：这是大学上课时学习的电子商务安全技术，是全书的概要，总结。大学期末考试，可以拿它做为参考。 第一篇电子商务安全概述 电子商务是由计算机、通信网络及程序化、标准化的商务流程和一系列安全、认证法律体系所组成的一个集合。 电子商务系统是由Internet、用户、配送中心、认证中心、银行和商家等组成 TCP/IP协议， 第1章电子商务安全基础 乙发送一条信息甲，信息内容是：请给乙向银行中打入10000元。落 款：乙. 甲收到：信息为：请给丙向银行中打入10000元，乙。 其实在传递信息的过程中已被丙修改了信息。 1．1电子商务安全概念 电子商务安全就是保护在电子商务系统里的企业或个人资产不受未经授权的访问、使用、窜改或破坏。电子商务安全覆盖了电子商务的各个环节。涉及到三方面：客户端-通信传输-服务器端。 电子商务安全的六项中心内容： 1.商务数据的机密性或保密性
通过加密来实现的。 2．电子商务数据的完整性或正确性 一定要保证数据没有被更改过。 3．商务对象的认证性 第三方认证。 CA认证中心。 4．商务服务的不可否认性 5．商务服务的不可拒绝性或可用性。6．访问的控制性 1.2电子商务安全问题 技术上的安全性，安全技术的实用可行性。要考虑以下三方面的问题： 1)安全性与方便性 2)安全性与性能 3)安全性与成本 一、问题的提出 二、电子商务的安全隐患 1.数据被非法截获，读取或修改 数据加密
2.冒名顶替和否认行为 数字签名、加密、认证 3．一个用户未经授权访问了另一个网络。 Intranet:企业内部网 Internet:因特网 防火墙 4．计算机病毒 杀毒软件 1．3电子商务安全需求 一、电子交易的安全需求 1.身份的可认证性 保证交易双方身份是真实的，可靠的，不被冒名顶替。2．信息的保密性 加密，即使泄露，别人也看不懂。 原文-密文 3.信息的完整性 正确性，一定要保存传递的信息，到达接收方没有被更改。4．可靠性/不可抵赖性 5．审查能力/不可假造。
电子商务安全技术 一、主要内容与重点 1.网络交易风险和安全管理的基本思路：如今，网络交易风险凸现，国内的犯罪分 子也将触角伸向电子商务领域。为了保证交易的安全进行，通过对网络交易风险源 分析，从技术、管理、法律等方面对网络交易安全管理进行思考，进而形成网络交 易安全管理的基本思路。 2.客户认证技术：客户认证主要包括客户身份认证和客户信息认证。前者用于鉴别 用户身份，保证通信双方的身份的真实性；后者用于保证通信双方的不可抵赖性和 信息的完整性。为此建立认证机构，通过数字签名等技术，保证交易的安全。在此 介绍了对我国电子商务认证机构的建设的设想。 3.防止黑客入侵：介绍了黑客的概念及网络黑客常用的攻击手段，同时也介绍了一 些防范黑客攻击的主要技术手段。 4.网络交易系统的安全管理制度：本节中，我们主要针对企业的网络交易系统加以 讨论，这些制度应当包括人员管理制度、保密制度、跟踪审计制度、系统维护制度、数据备份制度、病毒定期清理制度等。 5.电子商务交易安全的法律保障：介绍了电子合同法律制度和电子签字法律制度， 对我国电子商务交易安全的法律和我国电子商务立法的若干基本问题提出设想。 通过本章的学习，要求了解网络交易的基本思路；掌握身份认证、基于对称密钥的信息认证及基于非对称密钥的信息认证的原理；了解认证机构的设置及证书，以及了解网络黑客常用的攻击手段及交易防范黑客攻击的主要技术手段。掌握网络交易系统的安全管理系统；了解电子商务安全的法律保障。 学习流程
二、网络交易风险和安全管理的基本思路 1．网络交易风险凸现 2．网络交易风险源分析 1．在线交易主体的市场准入问题。 2．信息风险。 3. 信用风险。 4. 网上欺诈犯罪。 5．电子合同问题。 6．电子支付问题 7．在线消费者保护问题 8．电子商务中产品交付问题 3．网络交易安全管理的基本思路 电子商务交易安全是也一个系统工程，一个完整的网络交易安全体系，至少应包括三类措施，并且三者缺一不可。一是技术方面的措施，二是管理方面的措施，三是社会的法律政策与法律保障。 三、客户认证技术 客户认证主要包括客户身份认证和客户信息认证。前者用于鉴别用户身份，保证通信双方的身份的真实性；后者用于保证通信双方的不可抵赖性和信息的完整性。 1、身份认证 1) 身份认证的目标 (1)确保交易者是交易者本人，而不是其他人。 (2)避免与超过权限的交易者进行交易。 (3)访问控制。 2）用户身份认证的基本方式 (1)用户通过某个秘密信息。
电子商务网站的安全防范技术 摘要:论述了在构建电子商务网站时应采取的安全措施:防火墙技术、入侵检测系统、网络漏洞扫描器、防病毒系统和安全认证系统,以及它们之间的相互配合。关键词:网站;安全;电子商务前言由于电子商务网站是在Internet这个完全开放的网络中运行,大量的支付信息、订货信息、谈判信息、商业机密文件等在计算机系统中存放、传输和处理,而网络黑客、入侵者、计算机病毒在网上随处可见,它们窃取、篡改和破坏商务信息。为了确保电子商务活动的健康发展和正常进行,除了应加大对黑客和计算机犯罪的打击力度外,加强电子商务网站自身的安全防护也是非常重要的。因此,当一个企业架设电子商务网站时,应选择有效的安全措施。 1电子商务网站安全的要求影响 电子商务网站安全的因素是多方面的。从网站内部看,网站计算机硬件、通信设备的可靠性、操作系统、网络协议、数据库系统等自身的安全漏洞,都会影响到网站的安全运行。从网站外部看,网络黑客、入侵者、计算机病毒也是危害电子商务网站安全的重要因素。电子商务网站的安全包括三个方面的要求: 1.1网站硬件的安全要求网站的计算机硬件、附属通信设备及网站传输线路稳定可靠,只有经过授权的用户才能使用和访问。1.2网站软件的安全网站的软件不被非法篡改,不受计算机病毒的侵害;网站的数据信息不被非法复制、破坏和丢失。1.3网站传输信息的安全指信息在传输过程中不被他人窃取、篡改或偷看;能确定客户的真实身份。本文主要论述当电子商务网站面对来自网站外部的安全威胁时,应采取哪些有效的安全措施保护网站的安全。 2电子商务网站的安全措施 2.1防火墙技术防火墙是指一个由硬件设备或软件、或软硬件组合而成的,在内部网与外部网之间构造的保护屏障。所有的内部网和外部网之间的连接都必须经过此保护层,并由它进行检查和连接。只有被授权的通信才能通过防火墙,从而使内部网络与外部网络在一定意义下隔离,防止非法入侵、非法使用系统资源、执行安全管制措施。防火墙基本分为两类:包过滤和基于代理的防火墙。包过滤防火墙对数
电子商务交易过程中的网络安全技术 本文分析了电子商务首要的安全要素，以及将面临的一系列安全问题,并从网络平台和数据传输两个方面完整地介绍了一些相关的安全技术,通过它们来消除电子商务活动中的安全隐患。 一、引言 随着信息技术和计算机网络的迅猛发展，基于Internet的电子商务也随之而生，并在近年来获得了巨大的发展。电子商务作为一种全新的商业应用形式，改变了传统商务的运作模式，极大地提高了商务效率，降低了交易的成本。然而，由于互联网开放性的特点，安全问题也自始至终制约着电子商务的发展。因此，建立一个安全可靠的电子商务应用环境，已经成为影响到电子商务发展的关键性课题。 二、电子商务面临的安全问题 1.信息泄漏。在电子商务中主要表现为商业机密的泄露，包括两个方面:一是交易双方进行交易的内容被第三方窃取；二是交易一方提供给另一方使用的文件被第三方非法使用。 2.信息被篡改。电子的交易信息在网络上传输的过程中，可能被他人非法修改、删除或被多次使用，这样就使信息失去了真实性和完整性。 3.身份识别。身份识别在电子商务中涉及两个方面的问题：一是如果不进行身份识别，第三方就有可能假冒交易一方的身份，破坏交易、败坏被假冒一方的信誉或盗取交易成果；二是不可抵赖性，交易双方对自己的行为应负有一定的责任，信息发送者和接受者都不能对此予以否认。进行身份识别就是防止电子商务活动中的假冒行为和交易被否认的行为。 4.信息破坏。一是网络传输的可靠性，网络的硬件或软件可能会出现问题而导致交易信息丢失与谬误；二是恶意破坏，计算机网络本身遭到一些恶意程序的破坏，例如病毒破坏、黑客入侵等。 三、电子商务的安全要素 1.有效性。电子商务作为贸易的一种形式，其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此，要对一切潜在的威胁加以控制和预防，以保证贸易数据在确定的时刻和地点是有效的。 2.机密性。电子商务是建立在一个较为开放的网络环境上的，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。解决数据机密性的一般方法是采用加密手段。
第七章电子商务安全技术 三、单项选择题 1.身份认证的主要目标包括：确保交易者是交易者本人、避免与超过权限的交易者进行交易和_______。 (A)可信性 (B)访问控制 (C)完整性 (D)保密性 答案：B； 2.目前最安全的身份认证机制是_______。 (A)一次口令机制 (B)双因素法 (C)基于xx的用户身份认证 (D)身份认证的单因素法 答案：A； 3.下列是利用身份认证的双因素法的是_______。 (A)电话卡 (B)交通卡 (C)校园饭卡 (D)xx 答案：D；
4.下列环节中无法实现信息加密的是_______。 (A)链路xx (B)上传xx (C)节点xx (D)端到端xx 答案：B； 5.基于私有密钥体制的信息认证方法采用的算法是_______。 (A)素数检测 (B)非对称算法 (C) RSA算法 (D)对称加密算法 答案：D； 6.RSA算法建立的理论基础是_______。 (A) DES (B)替代相组合 (C)大数分解和素数检测 (D)哈希函数 答案：C； 7.防止他人对传输的文件进行破坏需要_______。 (A)数字签字及验证 (B)对文件进行xx
(C)身份认证 (D)时间戳 答案：A； 8.下面的机构如果都是认证中心，你认为可以作为资信认证的是_______。 (A)国家工商局 (B)著名企业 (C)商务部 (D)人民银行 答案：D； 9.属于黑客入侵的常用手段_______。 (A)口令设置 (B)邮件群发 (C)窃取情报 (D) IP欺骗 答案：D； 10.我国电子商务立法目前所处的阶段是_______。 (A)已有《电子商务示范法》 (B)已有多部独立的电子商务法 (C)成熟的电子商务法体系 (D)还没有独立的电子商务法 答案：D；