d241ea632d854bb3e0bae7813af68473.ppt
- Количество слайдов: 92
• 了解电子商务面临的主要安全威胁 • 了解电子商务对安全的基本要求 • 熟悉电子商务常用的安全技术 • 了解电子商务常用的加密技术 • 了解电子商务的认证体系 2018/3/17 • 掌握SSL和SET的流程和 作原理 1
7. 1 电子商务安全 7. 2 防火墙技术 了解 7. 3 数据加密技术 7. 4 认证技术 掌握 7. 5 安全技术协议 重点掌握 2018/3/17 电 子 商 务 安 全 问 题 有 哪 些 ? 我 们 可 以 采 取 哪 些 有 效 措 施 去 保 证 其 安 全 ? 不 同 的 安 全 措 施 各 自 的 原 理 及 作 用 是 什 么 ? 2
7. 1 电子商务安全 7. 1. 1 电子商务的安全性问题 1、信息安全问题 (1)信息的截获和窃取 :银行帐号、密码以及商业机密等 (2)篡改: 删除/插入 破坏完整性 (3)伪造电子邮件 (4)假冒他人身份 (5)信息丢失 2018/3/17 3
2、信用安全问题 主要涉及交易抵赖 (1)发信者事后否认曾经发送过某条消息或内容 (2)收信者事后否认曾经收到过某条消息或内容 (3)购买者做了订货单不承认 (4)商家卖出的商品因价格差而不承认原有的交易 2018/3/17 4
3、安全的管理问题 4、安全的法律问题 5、电脑病毒及黑客问题 2018/3/17 5
安 全 问 题 对 电 子 商 务 的 影 响 2018/3/17 严重打击消费者对电子商务的信心 造成运营商巨大的经济损失 涉及的地域范围广 威胁个人及组织的资金安全、货物安全和信誉安全 6
7. 1. 2 电子商务对安全的基本要求 P 214 1、授权合法性: 安全管理人员能够控制用户的权限、分配 或终止用户的访问、操作、接入等权利,被授权用户的访问不 能被拒绝。 防火墙技术、口令 2、不可抵赖性(non-repudiation) 数字签名、CA证书 3、机密性(confidentiality): 信息发送和接收是在安全的 通道进行,保证通信双方的信息保密。 2018/3/17 加密技术 7
4、真实性(authenticity) 交易信息 交易方身份 数字签名、数字证书 5、信息的完整性(integrity) 数字摘要、时间戳 6、存储信息的安全性 2018/3/17 8
7. 1. 3 电子商务交易安全措施 1、交易安全技术 (1)身份认证:确定贸易伙伴的真实性 (2)数据加密和解密:保证电子单证的保密性 (3)数字摘要技术 :保证电子单证内容的完整性 (4)数字签名技术:保证电子单证的真实性 (5)CA认证 :不可抵赖性 (6)时间戳、消息的流水作业号:保证被传输的业务单 证不会丢失 2018/3/17 9
2、安全交易标准和技术 (1)安全超文本传输协议(S-HTTP) 保障WEB站点间的交易信息传输的安全性 (2)安全套接层协议(SSL, Secure Sockets Layer ) 提供加密、认证服务和保证报文的完整性 (Netscape) (3) 安全电子交易协议(SET,Secure Electronic Transaction 信用卡网上交易安全,提高网络支付服务的质量 2018/3/17 10
7. 2 防火墙技术 7. 2. 1 防火墙的含义及其分类 1、防火墙(Firewall):指 Internet上广泛应用的一种安 全措施,是指设置在互联网(Internet)与内部网(Intranet)之间 系统,通过控制内外网络间信息的流动,提高内部网络的安全 性。 防火墙可以阻止外界对内部资源的非法访问,也可以 防止内部对外部的不安全访问。 2018/3/17 11
防火墙系统组成示意图: Internet 2018/3/17 内 网 12
Web Server处于防火墙内 主机 主机 WEB 服务器 SERVER 防火墙 Internet 主机 主机 安全边界 2018/3/17 13
7. 3 数据加密技术 7. 3. 1 数据加密、解密基本过程 加密技术:解决数据的加密及其解密的技术,整个过程 组成一个加密系统。 加密:就是把信息转换为不可辨识的形式的过程。 明文 密文 解密:将信息内容转变为明文的过程 密文 2018/3/17 明文 14
恺撒算法——古老而简单的加密技术 CHINA 2018/3/17 每个字符后移 5位 HMNSF 15
明文 密文 加密系统 加密算法 算法 解密算法 密钥(加密/解密密钥) 明文P 2018/3/17 加密算 法E 加密密钥Ke 密文C 解密算 法D 明文P 解密密钥Kd 16
加密技术 对称密钥加密(Symmetric Cryptography) 非对称密钥加密(Asymmetric Cryptography) (公开密钥加密) 2018/3/17 17
7. 3. 2 对称密钥加密技术 1、对称密钥加密技术:加密和解密均采用同一把密钥,而 且通信双方必须都要获得这把钥匙并保持钥匙的秘密。 这时的密钥称为对称密钥,并且不对外发布,也称为私钥 密码。 2、 最典型的对称密钥加密算法:美国数据加密标准 (DES:Data Encrypt Standard)。 2018/3/17 18
图 7 -2 对称加密示意图 2018/3/17 19
2018/3/17 20
3、优点:加密速度快,适于大量数据的加密处理。 4、缺点 (1)密钥需传递给接受方,传递过程中的安全性得不到 保证。 (2)密钥数量急剧增加 (3)要求通信双方相互认识,保守密钥。 2018/3/17 21
2、公开密钥体系(非对称密钥加密体系) p 225 1、 信息加密和解密使用的是不同的两个密钥,称为“密钥对” 公开密钥(公钥PK ):加密 私用密钥(私钥SK): 解密 2、RSA加密算法(1979年) 2018/3/17 22
2018/3/17 23
2018/3/17 24
3、特点 –两个密钥 –加密密钥不能用来解密 – 公开密钥不需要管理,直接在网络上公开传输 – 加密速度较慢 4、优点 (1)密钥少便于管理 (2)密钥分配简单 (3)不需要秘密的通道和复杂的协议来传送密钥 (4)可实现数字签名和数字鉴别 2018/3/17 25
7. 4 认证技术 在网络上,什么样的信息交流才是安全的呢? Ø只有接收方才能解读信息,保密性 Ø接收方看到的信息未被篡改或替换,完整性 还差什么? 建立信任和信任验证机制 加密 ! 身份验证 交易不可抵赖 CA认证 数字证书 2018/3/17 26
7. 4. 1 基本概念 1、数字证书( digital Certificate, digital ID):网络通信 中标志通信各方身份信息的一系列数据。 用电子手段来证实用户的身份及分配公开密钥 2、RA(Release Auditing): 证书发放审核部门 对证书申请者进行资格审查,并决定是否对其发放证书 3、CP(Certificate Perform):证书发放执行部门 为已授权的申请者制作、发放和管理证书 2018/3/17 27
4、RS(Releasee):证书的受理者 接受用户的证书申请请求 5、CRL(Certificate Repeal List):证书作废表 记录尚未过期但已声明作废的用户证书的序列号 2018/3/17 28
6、CA 认证中心(Certificate Authority) 承担网上安全电子交易认证服务,能签发数字证书,并能 确认用户身份的服务机构。 证书发放 证书更新 CA的四大职能 证书撤销 证书验证 认证中心的核心职能就是发放和管理数字证书 2018/3/17 29
延伸阅读--中国CA认证中心的建设 • 尚没有明确国家级CA安全认证系统 • 行业性CA安全认证系统: –中国人民银行联合12家银行建立的金融CFCA安全认 证中心 – 中国电信建立的CTCA安全认证系统 –国家外贸部EDI中心建立的国富安CA安全认证中心 2018/3/17 30
世界著名的认证中心Verisign(www. verisign. com) 2018/3/17 认证中心Veri. Sign的主页 31
中国知名的认证中心 ① 中国数字认证网(www. ca 365. com ) ② 中国金融认证中心(www. cfca. com. cn ) ③中国电子邮政安全证书管理中心(www. chinapost. com. cn) ④ 北京数字证书认证中心(www. bjca. org. cn) ⑤ 广东省电子商务认证中心(www. cnca. net) 2018/3/17 32
7. 4. 2 基本认证技术 数字信封:保证数据的传输安全 数字签名:身份认证并保证数据的完整性、预防交易抵赖 数字证书(公开密钥技术):身份认证 数字时间戳 2018/3/17 33
1、数字信封 (1)“数字信封”:用加密技术来保证只有规定的特定收 信人才能阅读信息。 数字信封 (2)具体做法 发送方采用对称密钥加密信息 将此对称密钥用接收 方的公开密钥加密之后,将它和信息一起发送给接收方 接收方先用相应的私有密钥打开数字信封,得到对称密钥 使用对称密钥解开信息 2018/3/17 34
对称密钥技术:高效性(用时短) (3)数字信封特点 1 原 信 息 对称 密钥 加密 4 密 2018/3/17 发送端 internet 文 接收者 对称 公钥加 数字 密 密钥 信封 2 公开密钥技术:灵活性 密 对称 密钥 解密 文 internet 数字 信封 原 信 息 3 对称 接收者 密钥 私钥解 密 接收端 35
2、数字签名 实现的基础 加密技术 (1)什么是数字签名 Digital Signature 数字签名是通过一个单向函数对要传送的报文进行处理得 到的用以认证报文来源并核实报文是否发生变化的一个字母数 字串。 (2)数字签名的作用 --保证信息完整 --信息发送者身份的验证 2018/3/17 36
数字签名 2018/3/17 37
信息完整 数字摘要技术就是利用hash函数把任意长度的输入映 射为固定长度的输出。这个固定长度的输出就叫做消息 摘要。 hash函数是把任意长的输入串x变化成固定长的输出 串y的一种函数,并满足下述条件: 1)已知哈希函数的输出,求解它的输入是困难的,即已知 y=Hash(x), 求x是困难的; 2)已知x 1, 计算y 1=Hash(x 1),构造x 2使Hash(x 2)=y 1是困难的; 3)y=Hash(x), y的每一比特都与x的每一比特相关,并有高度敏 感性。即每改变x的一比特,都将对y产生明显影响。 2018/3/17 38
数字摘要技术 消息摘要 2018/3/17 39
消息验证 2018/3/17 40
原 Hash 函数 加密 摘 要 信 internet 签 名 internet 息 发送端 2018/3/17 发送者 私钥加 数 密 字 数 字 签 名 原 信 息 发送者 公钥解 摘 密 要 Hash函 数加密 对比 摘 要 接收端 41
步骤一 电子签名和印章的制作 2018/3/17 42
2018/3/17 43
2018/3/17 44
2018/3/17 45
步骤二 电子签名和印章的使用 2018/3/17 46
2018/3/17 47
2018/3/17 48
2018/3/17 49
2018/3/17 50
步骤三 文档验证 2018/3/17 51
2018/3/17 52
2018/3/17 53
2018/3/17 54
签名无效 2018/3/17 55
步骤四 锁定文档 2018/3/17 56
2018/3/17 57
3、数字证书( digital Certificate, digital ID) (1)数字证书:经CA认证中心数字签名的包含公开密钥 拥有者信息以及公开密钥的文件。数字证书实质上就是一系 列密钥,用于签名和加密数字信息。 数字证书由专门的机构(CA)负责发放和管理,Q其作用 是证明证书中列出的用户名称与证书中列出的公开密钥相对应。 CA的数字签名使得攻击者不能伪造和篡改数字证书。 2018/3/17 58
(2) 数字证书的类型 2018/3/17 59
(3)数字证书的内容 ◆凭证拥有者的姓名:证明用户身份 ◆凭证拥有者的公共密钥:用于对每笔交易数据进行 加密和数字签名,可以保证每笔交易的安全和不可抵赖; ◆公共密钥的有效期 ◆颁发数字凭证的单位:证书的来源 ◆证书的编号:保证证书的真实性 2018/3/17 60
2018/3/17 61
2018/3/17 62
2018/3/17 63
2018/3/17 64
(4)对数字证书的验证 CA签名真实? N 伪造的证书 Y 证书在有效期内? N 失效的证书 Y 证书在CA发布的 证书撤消列表内? 2018/3/17 N 有效的证书 Y 失效的证书 65
4、数字时间戳(Digital Time-Stamp,DTS) 时间戳:提供电子文件发表时间的安全保护,是一个经 过加密后形成的凭证文档。 三 大 组 成 2018/3/17 需加时间戳的文件摘要 DTS收到文件的日期和时间 保证文件签署日期的真实性 DTS的数字签名 66
n 需要数字时间戳的用户首先将文件用Hash算法加密 得到摘要,然后将摘要发送到提供数字时间戳服务的专 门 机 构 , DTS机 构 对 原 摘 要 加 上 时 间 以 后 , 用 自 己 的 私 钥 加 密 (即 数 字 签 名 )再 发 还 给 原 用 户 , 获 得 数 字 时 间 戳 的 用户就可以将它再发送给自己的商业伙伴以证明信息的 发送时间。 2018/3/17 67
2 3 2018/3/17 4 1 5 68
7. 5 安全技术协议 7. 5. 1 安全套接层协议(SSL) 1、SSL(Secure Sockets Layer),称为安全套接层协议, 是一种安全通信协议。 应用层 SSL 传输层 (1)提供了客户机与服务器之间的安全连接,对整个会 话进行了加密,从而保证了安全传输。 (2)对服务器进行认证,还可选择对客户机进行认证。 2018/3/17 69
实现SSL协议的是HTTP的安全版,名为HTTPS。 2018/3/17 70
2018/3/17 71
2018/3/17 72
2、SSL协议分为两层:SSL握手协议和SSL记录协议 HTTP、FTP SSL握手协议(协商密钥) SSL记录协议(定义传输格式) TCP/IP协议 2018/3/17 73
3、 SSL协议是目前电子商务中应用最为广泛的安全协 议之一。 (1)应用范围广:几乎所有操作平台上的WEB浏览器 (IE、Netscape)以及Web服务器都支持SSL协议。 (2)被大部分WEB浏览器和服务器所内置 2018/3/17 74
4、SSL协议的功能 • SSL服务器认证:客户机对服务器数字证书的检查 • 确认用户身份:服务器检查客户机数字证书的合法性 • 保证数据传输的机密性和完整性:加密技术 中国银行:http: //www. boc. cn/ 2018/3/17 75
双向认证SSL协议的具体过程 双向认证SSL协议的具体通讯过程,要求服务器和用户双方 都有证书。单向认证SSL协议不需要客户拥有CA证书。 基于SSL协议,双方的通讯内容是经过加密的数据,这时候 的安全就依赖于密码方案的安全。 2018/3/17 76
演示--建立SSL安全连接的过程 (1)显示在e. Coin上在登陆(Login)用户名时即进入SSL安全 连接 2018/3/17 77
(2)这时浏览器发出安全警报,开始建立安全连接 浏览器开始建立安全连接 2018/3/17 78
(3)同时验证安全证书,用户单击“确定”键即进入安全连接 2018/3/17 浏览器验证服务器安全证书 79
(4)显示在e. Coin上的安全连接已经建立,浏览器右下角状态 栏的锁型图案表示用户通过网页传输的用户名和密码都将通过加密 方式传送。 2018/3/17 80
(5) 当加密方式传送结束后,浏览器会离开交换敏感信息 的页面,自动断开安全连接。 离开交换敏感信息的页面,浏览器自动断开安全连接 2018/3/17 81
7. 6. 2 安全电子交易规范(SET) 1、SET协议是针对开放网络上安全、有效的银行卡交 易,由Visa和Master. Card联合研制的,制定的安全电子交易的 一个国际标准。 主要目的是解决信用卡电子付款的安全保障性问题 2、SET协议主要是针对B to C电子商务的一个协议,而且 依赖于银行卡这种目前使用较为广泛的支付 具。 2018/3/17 82
3、SET的特点 (1) 信息的机密性: 对称密钥和非对称密钥相结合 (2)交易的不可否认性:数字证书/签名 (3)数据的完整性: 数字签名 (4)身份的验证: 保证信息的真实性 2018/3/17 83
4、SET的目标 (1)订单和个人账号信息在Internet上安全传输,保证网 上传输的数据不被黑客窃取。 (2)订单信息和支付信息的隔离 (3)解决网络认证问题:消费者、商店、银行、网关 (4)要求软件遵循相同协议和消息格式,使不同厂家开 发的软件具有兼容和互操作功能。 2018/3/17 84
在SET中采用了双重签名技术,支付信息和订单信息是分 别签署。 保证了商家看不到支付信息,而只能看到订单信息 保证了银行看不到交易内容,只能看到支付信息中包括了交易ID、交易金额、信用卡数据等信 息,这些涉及到与银行业务相关的保密数据对支付网关是不 保密的,因此支付网关必须由收单银行或其委托的信用卡组 织来担当。 2018/3/17 85
6、SET涉及的主要角色 (1)持卡人: 网上消费者或客户,首先应向发卡行提出申 请,并安装电子钱包软件。 (2)商家:必须在收单行开设帐户并且安装SET商家软件 (3)支付网关:收单银行或指定的第三方操作的专用系 统,用于处理支付授权和支付。 银行金融网络 2018/3/17 支付网关 公共网络 86
(4)收单行:为商户建立帐户并处理支付授权和支付 (5)发卡行:为持卡人建立一个帐户并发行支付卡 (6)认证机构:向各交易主体颁发证书,进行身份识别 2018/3/17 87
发卡银行 收单银行 银行网络 认证中心 支付网关 持卡人 Internet 2018/3/17 在线商家 88
SET的运 作 流程 持 卡 人 选购商品 订单与信用卡信息 订单成立信息 电 子 商 家 信用卡信息 确认信息 收 单 银 行 信用卡信息 确认信息 1、A先生进入网络商家订购书籍,并填写订购数量、送货 日期等信息; 2、A先生准备结帐,这时计算机中具有SET规格的“电子钱 包”软件自动启动,并将信用卡信息连同订单信息分别加 密后传送给商家; 3、商家B收到该订单及信用卡信息后,将信用卡信息原封 不动的传给收单银行,以检查信用卡是否有效; 4、收单银行向发卡银行确认该信用卡数据无误后,发出信 息通知商家可以接下此笔订单; 5、到了结帐日, A先生会接到发卡银行的信用帐单,而商 家则可以拿信用卡授权码向收单银行划款。 2018/3/17 发 卡 银 行 89
7、SET与SSL机制的比较 • 认证机制:SET要求所有参与交易各方均必须先申请数字 证书以识别身份,而SSL只有商家 的服务器需要认证,客 户端的认证是可选择的(optional); • 设置成本:希望申请SET交易者除必须申请数字证书之外, 也必须在计算机上安装符合SET规格的电子钱包软件,而 SSL交易无须另外安装软件; • 安全性:SET的安全性比SSL高,SSL的安全范围只限于 持卡人到商家的信息交换; • 目前采用率:SET的成本较高,目前SSL的普及率较高。 比较项目 SSL 认证机制 所有参与SET的成员 商家服务器 设置成本 较高 较低 安全性 2018/3/17 SET 较高 较低 采用比率 约15% 约 70% 90
电子商务对安全的要求 数据加密体系的构成及运作原理 电子安全认证体系及技术 SET与SSL 2018/3/17 91
1、简述电子商务安全需求的组成内容? 2、电子商务系统安全常用的方法有哪些? 3、数字证书的申请过程? 4、SET协议的 作原理? 2018/3/17 92
d241ea632d854bb3e0bae7813af68473.ppt