第五章 电子商务安全技术

1. 第五章 电子商务安全技术

2. 【教学目标与要求】 • 通过本章学习，使学生掌握电子商务系统软硬件安全内容，了解电子商务及计算机的安全制度。理解并掌握密码含义、算法、破解、设置，掌握电子商务文件加解密的方法。掌握浏览器的安全设置方法。了解数字证书的概念、类型、申请方法、用途。掌握数字证书的使用的方法。了解各种计算机病毒及相关杀毒软件，会熟练安装、使用、更新杀毒软件。 • 【教学重点】 • 电子商务系统软硬件安全内容；电子商务文件加密密码含义、算法、破解、设置，电子商务文件加解密的方法；浏览器的安全设置方法。数字证书申请方法与使用；杀毒软件的安装、使用、更新方法。 • 【教学难点】 • 文件加密算法、破解、设置，文件加解密的方法；浏览器的安全设置。数字证书申请方法与使用；杀毒软件的安装、使用、更新方法。 • 【教学授课学时数】 • 6学时理论教学 • 4学时实践学时

3. 理论知识与技能要求： （1）了解电子商务的重要性、安全的内容，了解和学习如何设置密码，掌握密码的基础知识。熟练地给电子邮件设置密码，掌握数字签名技术。 （2）了解并掌握本地文件的加密原理和技术，学习电子邮件加密解密方法，熟练加密和解密操作。掌握基本的电子邮件的加密解密技术。 （3）了解数字证书的概念，会如何申请数字证书，掌握数字证书的工作原理。熟练数字证书的管理操作，掌握安全电子邮件知识，学习认证中心CA的相关知识。 （4）了解并掌握数字签名的技术。 （5）了解病毒的概念和危害，学会如何防范病毒。掌握查杀病毒的基本技巧。 （6）了解防火墙的概念及目前流行的防火墙软件。熟练安装使用防火墙软件。 （7）学习如何升级杀毒软件，掌握病毒的工作原理和清除技术。熟练防火墙的更新升级设置技术，了解和学习防火墙技术。

4. 第一节 电子商务安全概述 20世纪90年代以来，计算机进入到网络应用阶段，呈现出前所未有的社会化趋势。在因特网有力地推动社会发展的同时，也面临着越来越严重的威胁和攻击。网络安全问题越来越受到重视。 一、电子商务安全的重要性 计算机诈骗、计算机病毒等造成的商务信息被窃、篡改和破坏，以及机器失效、程序错误、误操作、传输错误等造成的信息失误或失效，都严重地危害着电子商务系统的安全。因此，保证商务信息的安全是进行电子商务的前提。

5. 二、电子商务安全的内容 1．电子商务系统硬件安全 2．电子商务系统软件安全 3．电子商务系统运行安全 4．电子商务安全立法 三、计算机安全术语 常用的计算机安全术语主要包括漏洞、威胁、威胁代理、攻击、对策等

6. 四、计算机安全制度 （一）计算机安全控制制度 1、计算机信息系统安全等级保护制度 2、计算机机房安全管理制度 3、计算机信息系统国际联网备案制度 4、计算机信息媒体进出境申报制度 5、计算机信息系统使用单位安全负责制度 6、计算机案件强行报告制度 7、计算机病毒及其有害数据的专管制度 8、计算机信息系统安全专用产品销售许可证制度 （二）防范计算机犯罪的法律手段 我国的新《刑法》确定了计算机犯罪的5种主要形式。 新《刑法》有关计算机犯罪的规定，是惩处计算机犯罪最有力的武器和最基本的依据：

7. 第二节 密码管理与文件加密 一、密码设置与修改 （一）密码含义 密码是由一串字符组成的，用来保护用户的信息。 （二）密码算法 （三）密码破解 1．暴力解密 2．字典解密 3．利用技术漏洞 （四）密码设置 1．保证足够的口令长度 2．保证密码的复杂性 3．密码定期更改 4．避免使用重复的密码 5．密码选择应该避免的情况

8. 二、电子邮件密码的管理 1、电子邮件密码的管理方法与步骤 首先导出Outlook中的账号，其操作步骤如下： （1）打开Outlook Express如图5-1所示。 图5-1 Outlook

9. （2）点击菜单中“工具”下的“账户”按钮，如图5-2所示。（2）点击菜单中“工具”下的“账户”按钮，如图5-2所示。 图5-2导出账户

10. （3）选择需要导出的邮件账户，然后点击“导出”按钮，如图5-3所示。选择保存的路径，输入文件名，再保存。这样就完成了电子邮件账号的导出工作。（3）选择需要导出的邮件账户，然后点击“导出”按钮，如图5-3所示。选择保存的路径，输入文件名，再保存。这样就完成了电子邮件账号的导出工作。 图5-3 填写文件名

11. 再次使用该账号或者重装系统，或者换了其他计算机使用后，可以将上面的账号文件导入到Outlook后继续使用。其操作步骤如下：再次使用该账号或者重装系统，或者换了其他计算机使用后，可以将上面的账号文件导入到Outlook后继续使用。其操作步骤如下： （1）打开Outlook点击菜单“工具”下的“账户”按钮，如图5一4所示。 图5-4导入账户

12. （2）点击“导入”按钮，选择要导入的账户文件，如图5-5所示。点击“打开”则可以看到并使用导入的电子邮件账户。（2）点击“导入”按钮，选择要导入的账户文件，如图5-5所示。点击“打开”则可以看到并使用导入的电子邮件账户。 图5-5 选择导入账户文件 （3）点击“导入”按钮，选择要导入的账户文件

13. 2、电子邮件密码的保存介质 1）存储介质的分类 （1）光存储器主要有CD，DVD （2）磁盘存储器主要有软盘、硬盘 （3）半导体存储器主要有计算机中的内存、USB盘 2）存储介质的使用 常用的存储介质是只读光盘、USB盘、硬盘

14. 三、文件加密 （一）对本地文件进行加密和解密 1、加密的概念 数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的代码，通常称为“密文” 2、现代密码体制 1）对称密码体制和非对称密码体制 根据密码算法使用的加密密钥和解密密钥是否相同，将密码体制分为对称和非对称两种。对称密码体制又称为秘密密码体制，加密密钥和解密密钥相同或者一个可由另一个导出

15. 2）分组密码体制和序列密码体制 密文仅与给定的密码算法和密钥有关，与被处理的明文数据段在整个明文或者密文中所处的位置无关，则称为分组密码体制。 密文不仅与给定的密码算法和密钥有关，同时也是被处理的明文数据段在整个明文或者密文中所处的位置的函数，则称为序列密码体制 3）加密技术中的摘要函数 摘要是一种防止改动的方法，其中用到的函数叫摘要函数。 数字签名可以用于防止有人从一个签名上获取文本信息或改变文本信息内容和进行身份认证。

16. 3、Office文件格式加密 1）Word文件加密 2）Excel文件加密 3）Access文件加密 4、压缩软件加密 1）Winzip 加密 2）Winrar加密 5、Windows 2000/XP的加密 1）加密文件与文件夹 2）赋予或撤销其他用户的权 3）禁止加密功能

17. （二）对邮件进行加密和解密 1、端到端的安全电子邮件技术 1）身份验证 2）保密性 3）压缩 4）电子邮件兼容性 5）分段和重组 2、传输层的安全电子邮件技术 3、邮件服务器的安全与可靠性 4、邮件加密与解密实例 1）PGP软件 2）加密邮件 3）解密邮件 4）管理密钥对

18. 第三节 浏览器安全设置 一、管理Cookie的技巧 图5-1 Cookie的6个安全级别 图5-2安全级别

19. 二、禁用或限制使用Java，Java小程序脚本、ActiveX控件和插件二、禁用或限制使用Java，Java小程序脚本、ActiveX控件和插件 图5-2安全级别

20. 三、调整自动完成功能的设置 图5-4 功能的设置

21. 第四节 数字证书使用 一、数字证书的申请 （一）数字证书的概念 数字证书（digitalID）又称为数字凭证、数字标识，是一个经证书认证机构（CA）数字签名的包含用户身份信息以及公开密钥信息的电子文件。 （二）数字证书的类型 1．个人凭证 2．企业（服务器）凭证（ 3．软件（开发者）凭证

22. （三）数字证书的申请 申请过程如下： （1）持卡人首先生成一对密钥对，将私人密钥保存在安全的地方，将公开密钥连同自己的基本情况表格一起发送到CA。 （2）CA根据持卡人所填表格，与发卡银行联系，对持卡人进行认证。 （3）生成持卡人的数字证书，并将持卡人送来的公开密钥放入数字证书中。 （4）对证书进行HASH运算，生成消息摘要。 （5）用CA的私人密钥对消息摘要加密，对证书进行数字签名。 （6）将带有CA数字签名的证书发给持卡人。

23. （四）数字证书的用途 1．网上办公 2．电子政务 3．网上交易 4．安全电子邮件 5．网上招标 6．其他应用

24. 二、数字证书的管理 （一）CA整体框架 （1）安全服务器 （2）CA服务器 （3）注册机构RA （4）LDAP服务器 （5）数据库服务器 （二）CA的功能 （1）证书的颁发 （2）证书的更新 （3）证书的查询 （4）证书的作废 （5）证书的归档

25. （三）CA体系结构

26. 第五节 交易安全技术 通过上一节课的学习，我们知道了电子商务发展的核心和关键问题是交易的安全性。由于Internet本身的开放性，使电子商务的安全受到了威胁，这威胁主要来自两个方面。

27. 一是计算机网络系统本身的安全问题 • 1、黑客攻击：口令和服务攻击、IP欺骗。 • 2、恶意代码：用计算机编写恶意程序。 • 3、拒绝服务攻击：黑客向网站发送大量信息，来占有网络。

28. 二是电子商务本身的安全问题 • 1.在网络的传输过程中信息被截获： • 2.传输的文件可能被篡改：篡改 、删除 、插入 • 3.伪造电子邮件 ： • 4.假冒他人身份； • 5.不承认或抵赖已经做过的交易；

29. 由于这些安全威胁的存在，阻碍了电子商务的发展由于这些安全威胁的存在，阻碍了电子商务的发展

30. 交易安全技术 安 全 管 理 中 心 网络安全技术 安全应用协议 病毒的防范 平台 的 安全 安全认证协议 身份的识别 加密技术 防火墙技术 法 律 法 规 技 术 政 策 电子商务安全交易的框架

31. 一、加密技术 采用密码技术对信息加密.这是最常用的安全交易手段。

32. 所谓密码技术就是通过信息的变换或编码，将机密的敏感消息变换成黑客难以读懂的乱码文字，以此来达到两个目的： • 一是使不知道如何解密的黑客不可能由其截获的乱码中得到任何有意义的信息， • 二，使黑客不可能伪造任何乱码的信息。 • 可见，采用密码方法可以隐蔽和保护机要消息，使未授权者不能提取信息 。 • 被隐蔽的消息称为明文，密码可将明文变换成另一种隐蔽形式，称为密文。这种由明文到密文的变换称为加密。由合法接收者从密文恢复出明文的过程称为解密（或脱密）。

33. 明文 F(x) 密文密文 F(x) 明文 注意：加密和解密过程的算法不保密，只有算法的钥匙保密。 例如：dijob可以推出China，它是将每个字母的前一位字母的组合在一起而成的。密钥：n=-1。 例如： 明文：C R Y P T O G R A P H Y 密钥：n=4 对每个字母向前或向后间隔4进行置换 密文：F U B S W R J U D S K B

34. 使用密钥加密方法目前已经设计出各种各样的密码系统。根据加密使用密钥的不同，可以将加密技术分为两类：对称加密体制和非对称加密体制。

35. 明文 密文 密文 明文 1、对称密钥加密法： 是指发送和接受数据的双方必须使用相同的密钥进行加密处理和解密运算。 优点：加密速度快，适用于对大量数据的加密处理。

36. 图1 对称加密技术示意图

37. 其缺点有： • （1）密钥是保密通信安全的关键，发信方必须安全、妥善地把钥匙护送到收信方，不能泄露其内容，如何才能把密钥安全地送到收信方，是对称密钥加密技术的突出问题。 • （2）多人通信时密钥的组合数量会出现爆炸性的膨胀，使密钥分发更加复杂化。 • （3）通信双方必须统一密钥，才能发送保密的信息。如果发信者与收信人是素不相识的，就无法向对方发送秘密信息了。 • （4）对称密钥体制难以解决电子商务系统中的数字签名认证问题。对于开放的计算机网络来说，存在着安全隐患，不适合网络环境邮件加密的需要。

38. 针对以上缺点，在1976年发明了一种完全崭新的消息加密方法，称为公钥加密体系针对以上缺点，在1976年发明了一种完全崭新的消息加密方法，称为公钥加密体系

39. 2、非对称密钥加密法（公开对称加密法） 1）定义：是指信息加密和解密所使用的不同的密钥，即有两个密钥，一个是公开密钥，一个是私有密钥。 2）非对称加密与解密的原则： a、公钥加密私钥解密，私钥加密公钥解密。 b、公钥是共用的、公开的，私钥是保密的、个人的。 c、本身得有公钥和私钥，公钥和私钥不能相互推出。

40. 图2 非对称加密技术示意图

41. 使用公开密钥对文件进行加密传输的过程包括以下四步：使用公开密钥对文件进行加密传输的过程包括以下四步： • （1）发送方生成一个自己的加密密钥并用接收方的公开密钥对自己的加密密钥进行加密，然后通过网络传输到接收方； • （2）发送方对需要传输的文件用自己的加密密钥进行加密，然后通过网络把加密后的文件传输到接收方； • （3）接收方用自己的私有密钥进行解密后得到发送方的加密密钥； • （4）接收方用发送方的加密密钥对文件进行解密得到文件的明文形式。

42. 因为只有接收方才拥有自己的私有密钥，所以即使其他人得到了经过加密的发送方文件，也因为无法进行解密而保证了私有文件的安全性，从而也保证了传输文件的安全性。实际上，在上述文件传输过程中实现了两个加密解密过程：文件本身的加密解密与加密密钥的加密解密，它们分别通过私有密钥和公开密钥来实现。因为只有接收方才拥有自己的私有密钥，所以即使其他人得到了经过加密的发送方文件，也因为无法进行解密而保证了私有文件的安全性，从而也保证了传输文件的安全性。实际上，在上述文件传输过程中实现了两个加密解密过程：文件本身的加密解密与加密密钥的加密解密，它们分别通过私有密钥和公开密钥来实现。 • 公开密钥技术解决了密钥的发布问题和管理问题，商户可以公开其公开密钥，而保留私有密钥。购物者可以用商户的公开密钥对信息进行加密，安全地传给该商户，然后由该商户使用自己的私有密钥进行解密。

43. 特性 对称 非对称 密钥管理 密码多不易管理 密码少易管理 相对速度 速度快 速度慢 用途 适合大量数据 适合少量数据 3、对称和非对称的特点： 思考题：能否将对称与非对称加密合起来使用？

44. 答案是肯定的，人们就是利用了对称密钥加密和非对称密钥加密体制开发了数字摘要、数字签名、数字信封等来保证电子交易过程中的安全性。

45. 二、交易者身份的确认 • （一）数字签名 • 对文件进行加密只解决了传送信息的保密问题，而防止他人对传输文件进行破坏以及如何确定发信的身份还需要采取其他的手段，这种手段就是数字签名。

46. （二）数字签名使用原理

47. 三、制定交易安全管理制度 （一）电子商务安全需求 1．交易实体身份真实性的需求 2．信息保密性的需求 3．信息完整性的需求 4．交易信息认可的需求 5．访问控制的需求 6．信息的有效性需求 （二）电子商务安全隐患 （三）安全电子商务结构 1．OSI安全体系 2．安全交易体系

48. （四）人员管理制度 （1）工作人员严格选拔 （2）落实工作责任制 （3）贯彻电子商务安全运作基本原则 1）双人负责原则 2）任期有限原则 3）最小权限原则

49. （五）保密制度 （1）绝密级 （2）机密级 （3）秘密级 （六）跟踪、审计、稽核制度 （七）网络系统的日常维护制度 1．硬件的日常管理和维护 2．软件的日常维护和管理 3．数据备份制度

50. （八）病毒防范制度 （1）给电脑安装防病毒软件 （2）不打开陌生电子邮件 （3）认真执行病毒定期清理制度 （4）控制权限 （5）高度警惕网络陷阱 （九）应急措施 （1）瞬时复制技术 （2）远程磁盘镜像技术 （3）数据库恢复技术