第四章电子商务安全

第四章电子商务安全

第一节电子商务安全概述 一、电子商务安全问题（一）物理安全问题（二）人员管理安全问题（三）信息内容安全问题（四）系统及网络传输安全问题（五）交易安全问题

二、电子商务安全威胁 （一）黑客攻击问题 1.攻击方式 2.攻击手段（二）计算机病毒的危害 1.病毒对计算机的危害 2.病毒对网络的主要危害 3.计算机病毒的防范

三、电子商务对安全的基本要求 电子商务系统对安全的要求主要包括：保密性、完整性、即需性、有效性、不可抵赖性等几方面。四、网络安全机制（一）加密（二）数字签名机制（三）访问控制机制（四）数据完整性机制（五）鉴别交换机制（六）通信量填充机制（七）路由选择控制机制（八）公证机制

数字签名、数字证书、CA认证 SET、SSL、S/HTTP、S/MIME 电子商务业务系统电子商务支付系统非对称密钥加密、对称密钥加密信息加密算法安全认证技术安全交易协议

五、电子商务的安全技术 电子商务的安全技术主要包括：防火墙技术，密码技术，安全协议，认证技术和防病毒技术等。

第二节防火墙技术 一、防火墙技术概述（一）防火墙的概念 “防火墙”是一种形象的说法，其实它是一种由计算机硬件和软件组成的一个或一组系统，用于增强内部网络和外部网络之间的访问控制。（二）防火墙的优缺点（三）防火墙主要功能

防火墙 内部客户机外部客户机 Intranet Internet 数据库防火墙工作流程图

防火墙的安全策略有两种： 凡是没有被列为允许访问的服务都是被禁止的。这是安全性高于一切的策略。在这个策略下，会有很多安全的用户和信息因未被列入允许服务清单而被拒之门外，使网络的应用范围和效率有所降低。　凡是没有被列入禁止访问的服务都是被允许的。这种策略只需确定那些不安全的客户和服务，以禁止他们访问。网络的灵活性得到保留，但容易出现漏网之鱼，使安全风险增大，所以网络员必须随时发现要禁止访问的服务，并增添到安全策略中去。

二、防火墙主要类型 （一）数据包过滤（二）代理技术防火墙

三、防火墙体系结构 （一）堡垒主机体系结构（二）被屏蔽主机体系结构（三）被屏蔽子网体系结构

四、虚拟专用网技术 所谓虚拟是指用户并没有拥有一个物理网，而是采用DDN（数字数据网）的部分网络资源所形成的一个用户可以管理监控的专用网络。

第三节密码技术 一、数据加密概述信息加密技术，就是采用数学方法对原始信息(通常称为“明文”)进行再组织，使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字(加密后的信息通常称为“密文”)。而对于合法的接收者，因为其掌握正确的密钥，可以通过解密过程得到原始数据(即“明文”)。

二、对称密钥加密体制 （一）基本概念称密码算法（symmetric encryption），又称单钥密码算法，是指加密密钥和解密密钥为同一密钥的密码算法。因此，信息的发送者和信息的接收者在进行信息的传输与处理时，必须共同持有该密码（称为对称密码）。（二）数据加密标准

三、非对称密钥加密体制 （一）基本概念非对称密钥加密算法，又称双钥密码算法、公钥密码算法，是指加密密钥和解密密钥为两个不同密钥的密码算法。（二）RSA公钥密码算法

原文密文密文原文 Internet 公钥加密私钥解密发送方接收方非对称加密过程

四、PGP软件的介绍 PGP（Pretty Good Privacy）是一个广泛应用于电子邮件和其他场合的加密软件。

第四节电子商务安全协议

一、安全套接层协议(SSL) （一）SSL协议概述安全套接层（SSL：Secure Sockets Layer）协议是由美国网景（Netscape）公司在网络传输层之上提供的一种基于RSA（遵守X.509标准）和私有密钥的用于浏览器和Web服务器之间的安全连接技术。SSL协议的主要目的是解决Internet之上TCP/IP协议难以确定用户身份的问题，以便保证Internet上通信服务的安全性。（二）SSL协议的优缺点

SSL (Secure socket Layer)安全套接层协议的最基本目标是在以服务器/客户机方式进行通讯的两个应用程序之间保证其通讯内容的保密性和数据的完整性。 SSL协议层包括两个协议子层： SSL记录协议 SSL握手协议 SSL适用于点对点之间的信息传输，通过在浏览器软件和WWW服务器建立一条安全通道，从而实现在Internet中传输保密文件。　　　　　　　

二、安全电子交易协议 （一）SET协议概述安全电子交易（SET：Secure Electronic Transaction）协议是由Visa和MasterCard两家信用卡公司联合多家网络公司，合作开发的专门用于网上信用卡支付的协议。（二）SET协议组成（三）SET利用的相关技术（四）SET的安全性分析

三、电子邮件的安全协议 电子邮件是Internet上主要的信息传输手段，也是电子商务应用的主要途径之一。但它并不具备很强的安全防范措施。Internet工程任务组（IEFT）为扩充电子邮件的安全性能已起草了相关的规范。

四、EDI标准（UN/EDIFACT）的安全 EDI是电子商务最重要的组成部分，是国际上广泛采用的自动交换和处理商业信息及管理信息的技术。UN/EDIFACT报文是唯一的国际通用的EDI标准。利用Internet进行EDI已成为人们日益关注的领域，保证EDI的安全成为主要解决的问题。

第五节认证技术 一、安全认证方法安全认证技术主要有数字摘要（Digital Digest）、数字信封（Digital Envelop）、数字签名（Digital Signature）、数字时间戳（DTS：Digital Time Stamp）、数字证书（Digital Certificate）等技术。

二、公钥基础结构 公钥基础结构（PKI：Public Key Infrastructure）是—个利用现代密码学中的公钥密码技术在开放的Internet网络环境中提供数据加密以及数字签名服务的统一的技术框架，支持SET、SSL协议，电子证书和数字签名等。

思考题 • 1．试述电子商务的安全问题有哪几类？ • 2．电子商务安全的要求主要是什么？ • 3．解释明文、密文、加密过程、解密过程、密码体制、密钥。 • 4．简述DES算法的过程。 • 5．什么是公开密钥密码体制？ • 6．简述RSA体制的基本原理及算法。 • 7．简述安全套接层协议（SSL）和安全电子交易协议（SET）的原理和功能。 • 8．认证中心的定义是什么，简述认证中心的职能。 • 9．什么是PKI，主要的功能是什么？ • 10．防火墙有几种类型？分别简述各类防火墙的特点。 • 11．简述病毒的概念、特点、分类。 • 12．常用的杀毒软件有哪些？掌握一种主流杀毒软件的使用。

第四章 电子商务安全