1 / 75

第五章 电子商务安全技术

WELCOME TO INTRODUCTION OF ELECTRONIC BUSINESS. 高职教育系列教材. 第五章 电子商务安全技术. 主编：缪启军 立信会计出版社 ISBN ： 7-5429-1515-0/F.1364 网络支持： www.zgcjzx.com E-mail:zgcjzx@163.com. 第五章 电子商务安全技术. 5.1 电子商务的安全概述 5.2 安全认证 5.3 数字签名及数字证书 5.4 防火墙. 【 本章主要内容 】. 网络安全的种类、威胁、信息传输安全的问题 通信安全涉及的范围及电子商务系统的安全技术

dinos
Download Presentation

第五章 电子商务安全技术

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. WELCOME TOINTRODUCTION OF ELECTRONIC BUSINESS 高职教育系列教材 第五章 电子商务安全技术 主编：缪启军 立信会计出版社ISBN：7-5429-1515-0/F.1364 网络支持：www.zgcjzx.comE-mail:zgcjzx@163.com

  2. 第五章 电子商务安全技术 • 5.1 电子商务的安全概述 • 5.2 安全认证 • 5.3数字签名及数字证书 • 5.4 防火墙

  3. 【本章主要内容】 • 网络安全的种类、威胁、信息传输安全的问题 • 通信安全涉及的范围及电子商务系统的安全技术 • 安全认证的作用及认证机构的地位、体系、SSL和SET协议 • 数字签名 • 数字证书 • 防火墙

  4. 【本章重点难点】 • 了解网络安全的种类、威胁、信息传输安全的问题 • 了解通信安全涉及的范围及电子商务系统的安全技术 • 掌握安全认证的作用及认证机构的地位、体系、 • 了解SSL和SET协议 • 掌握数字签名原理、数字证书应用技术 • 了解防火墙原理

  5. 【本章计划课时】 • 理论：２学时 • 实践与讨论：２学时

  6. 5.1 电子商务的安全概述 • 5.1.1网络安全的种类 • 5.1.2网络的安全威胁 • 5.1.3信息传输安全的问题 • 5.1.4通信安全涉及的范围 • 5.1.5 电子商务系统的安全技术

  7. 5.1.1网络安全的种类 • 物理层安全 • 主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击(干扰)等。 • 链路层安全 • 需要保证通过网络链路传送的数据不被窃听。主要采用划分 • 电子商务概论VAN、加密通信(远程网)等手段。 • 网络层安全 • 需要保证网络只给授权客户使用授权的服务，保证网络路由正确，避免被拦截或监听。

  8. 操作系统安全 • 保证操作系统访问控制的安全、客户资料的安全，同时能够对该操作系统上的应用进行审计。 • 应用平台安全 • 应用平台指建立在网络系统之上的应用软件服务器，如电子邮件服务器、数据库服务器、Web服务器等。通常采用多种技术来增强应用平台的安全系统。 • 应用系统安全 • 使用应用平台提供的安全服务来保证基本安全，如通过通信双方的认证、审计等手段。

  9. 5.1.2网络的安全威胁 • 网络的外部威胁 • 信息间谍的恶意闯入 • 怀有恶意用户的闯入 • 闲散用户的好奇闯入 • 用户的恶性破坏。 • 网络的内部威胁 • 内部用户有意的安全威胁 • 无意用户的安全威胁

  10. 5.1.3信息传输安全的问题 • 对网上信息的监听 • 对用户身份的仿冒 • 对网络上信息的篡改 • 对发出信息予以否认 • 对信息进行重发

  11. 5.1.4通信安全涉及的范围 • 数据完整性 • 通信过程必须保证数据完整。 • 数据一致性 • 保证数据传输过程中不会被篡改。即使发生了数据篡改，接收方也应能够及时检测出。 • 数据保密性 • 通信内容只有特定方才能够了解。 • 数据可鉴别性 • 指通信双方能够识别对方的真实身份，而不会被假冒和欺骗。 • 数据不可否认性 • 指数据的发送方无法否认数据传输行为

  12. 5.1.5 电子商务系统的安全技术 • 加密技术 • 设置虚拟专用网 • 路由选择机制 • 保护传输线路安全 • 采用端口保护设备 • 使用安全访问设备 • 防火墙 • 数据完整性机制 • 访问控制 • 鉴别机制 • 审计追踪机制 • 入侵检测机制

  13. 加密技术 • 1．密钥的概念 • 将明文数据进行某种变换，使其成为不可理解的形式，这个过程就是加密，这种不可理解的形式称为密文。解密是加密的逆过程，即将密文还原成明文。 • 加密和解密必须依赖两个要素，这两个要素就是算法和密钥。算法是加密和解密的计算方法；密钥是加密和加密所需的一串数字。

  14. 2．对称加密技术 • 1）在首次通信前，双方必须通过除网络以外的另外途径传递统一的密钥。 • 2）当通信对象增多时，需要相应数量的密钥。 3）对称加密是建立在共同保守秘密的基础之上的，在管理和分发密钥过程中，任何一方的泄密都会造成密钥的失效，存在着潜在的危险和复杂的管理难度。

  15. 3．非对称加密技术（公—私钥加密技术） • 非对称加密技术采用RSA算法，加密和解密使用两把密钥，一把称公钥，另一把称私钥，两把密钥实际上是两个很大的质数，用其中的一个质数与明文相乘，可以加密得到密文；用另一个质数与密文相乘可以解密，但不能用一个质数求得另一个质数。

  16. 例如：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，对应关系如下：例如：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，对应关系如下： 返回本节

  17. 5.2 安全认证 • 5.2.1认证的作用及认证机构的地位 • 5.2.2 SSL和SET协议 • 5.2.3 CA认证体系

  18. 5.2.1认证的作用及认证机构的地位 • 1.可以保证信息的来源是可信的 • 即信息接收者能够确认所获得的信息不是由冒充者所发出的。 • 2.可以保证信息在传输过程中的完整性 • 即信息接收者能够确认所获得的信息在传输过程中没有被修改、延迟和替换。 • 3.可以保证信息的发送方不能否认自己所发出的信息，同样，信息的接收方不能否认已收到了信息。 • 4.可以实现访问控制 • 认证可以拒绝非法用户访问系统资源，同时使合法用户只能访问系统授权和指定的资源。

  19. 5.2.2 SSL和SET协议 • 1.安全套接层协议(SSL) • 2.安全电子交易协议(SET协议)

  20. 电子商务安全交易标准 • 1．安全套接层协议SSL（Secure Sockets Layer） • （1）SSL协议的通信过程 • （2）电子商务网站的Web服务器安装SSL协议步骤

  21. 2．安全电子交易协议SET（Secure Electronic Transaction） • （1）SET协议提供的安全保障 • （2）参与SET协议的交易对象（各参与对象的关系见图3-51） • （3）SET协议的工作程序

  22. SET协议的参与对象

  23. 3．其他安全协议 • （1）安全超文本传输协议（S-HTTP） • （2）安全多媒体Internet邮件扩展协议（S/MIME） 返回本节

  24. 5.2.3 CA认证体系 • 1. CA的含义 • 2. CA的主要职能 • 3. CA的基本构架

  25. 1. CA的含义 • 认证中心(Certificate Authority，简称CA) • 是电子商务中的一个核心环节，是在电子交易中承担网上安全电子交易认证服务、签发数字证书、确认用户身份等工作的具有权威性和公正性的第三方(third party)服务机构， • 它是实现网上交易和网上支付的重要安全保障。认证中心通常是企业性的服务机构， • 主要任务是受理数字证书的申请、签发以及对数字证书的管理。

  26. 在电子交易中为了保证交易的安全性、公正性，身份认证等工作都不是靠交易的双方自己完成的，而是由一个第三方机构来完成，认证中心就是这样一个服务机构。在电子交易中为了保证交易的安全性、公正性，身份认证等工作都不是靠交易的双方自己完成的，而是由一个第三方机构来完成，认证中心就是这样一个服务机构。 • 认证中心机构主要包括三个组成部分：注册服务器(RS)、注册管理机构(RA)和证书管理机构(CA)

  27. 2. CA的主要职能 • (1)证书的颁发 • (2)证书的更新 • (3)证书的查询 • (4)证书的作废 • (5)证书的归档

  28. 3. CA的基本构架 • 技术方案 • 基础设施 • 运作管理

  29. 国内外CA中心简介 • 国外常见的CA有VeriSign、GTE Cyber Trust、Thawte等。 • 国内常见的CA有中国商务在线 • l中国数字认证网（www.ca365.com），数字认证，数字签名，CA认证，CA证书，数字证书，安全电子商务。 • l北京数字证书认证中心（www.bjca.org.cn），为网上电子政务和电子商务活动提供数字证书服务。

  30. 5.4 数字签名及数字证书 • 5.4.1数宇签名 • 5.4.2数字证书

  31. 5.4.1数宇签名 • 1.数字签名的原理 • 2.数宇签名的种类

  32. 1.数字签名的原理 • 数字签名，也叫电子签名，在信息安全(包括身份认证、数据完整性、不可否认性以及匿名性等)方面有重要应用，特别是在大型网络安全通信中的密钥分配、认证以及电子商务系统中具有重要作用。

  33. 信息摘要 信息摘要过程 返回本节

  34. 数字签名 数字签名的原理 返回本节

  35. 数字时间戳 获得数字时间戳的过程 返回本节

  36. 2.数宇签名的种类 • 一种是对整体消息的签名 • 它是消息经过密码变换的被签名消息整体。 • 一种是对压缩消息的签名 • 它是附加在被签名消息之后或某一特定位置上的一段签名图样。 • 若按明、密文的对应关系划分，每一种中又可分为两个子类

  37. 5.4.2数字证书 • 1. 数字证书的作用 • 2.数字凭证的分类

  38. 1. 数字证书的作用 • 数字证书采用公－私钥密码体制，每个用户拥有一把仅为本人所掌握的私钥，用它进行信息解密和数字签名；同时拥有一把公钥，并可以对外公开，用于信息加密和签名验证。数字证书可用于：发送安全电子邮件、访问安全站点、网上证券交易、网上采购招标、网上办公、网上保险、网上税务、网上签约和网上银行等安全电子事务处理和安全电子交易活动。

  39. 数字证书的作用 • 证实在电子商务或信息交换中参加者的身份； • 授权交易，如信用卡支付； • 授权接人重要信息库，代替口令或其他传统的进入方式； • 提供经过互联网发送信息的不可抵赖性的证据； • 验证通过互联网交换的信息的完整性。

  40. 2.数字凭证的分类 • 个人凭证(Personal Digital ID) • 企业(服务器)凭证(Server ID) • 软件(开发者)凭证(Developer ID)

  41. 数字证书的内容 • 数字证书包括以下内容如图3-30~3-32所示 ： • 证书拥有者的姓名； • 证书拥有者的公钥； • 公钥的有限期； • 颁发数字证书的单位； • 颁发数字证书单位的数字签名； • 数字证书的序列号等。

  42. 查看证书内容（1）

  43. 查看证书内容（2）

  44. 查看证书内容（3）

  45. 数字证书的申请 • （1）下载并安装根证书（） • （2）申请证书（） • （3）将个人身份信息连同证书序列号一并邮寄到中国数字认证网

  46. 下载根证书（1）

  47. 下载根证书（2）

  48. 安装根证书（1）

  49. 安装根证书（2）

  50. 查看根证书

More Related