電子商務安全

1. 電子商務安全

2. 本章內容 • 交易安全 • 資料加密/解密 • 數位簽章 • 個人網路安全 • 網站的安全

3. 網路交易

4. (1) 資料加密(encryption)/解密(decryption) • 消費者上網瀏覽，確定消費時，需傳資料給網路商店(如：購買商品、姓名、身分證字號、信用卡號、送貨地址…) • 為了避免資料在網際網路傳遞過程，被有心人擷取利用，故需做資料加密(encryption) • 網路商店取得資料後，需作解密(decryption) ，以得知消費者要購買的商品及消費者資料

5. (2) 數位簽章(Digital Signature) • 為了確定資料確實為該消費者者所傳送，可加上數位簽章；網路商店則做數位簽章的確認，以確保交易之誠信度

6. (3) 交易機制 • 交易完成後，網路商店向銀行或金融機構取得貨款，而銀行或金融機構也向消費者收取貨款

7. 資料加密/解密過程 加 密 密文(Ciphertext) 明文(Plaintext) 解 密 A B 範例： I love you I love you 所有字母 前進3個 所有字母 後退3個 加密 解密 L oryh brx L oryh brx

8. 加密方法 • DES (Data Encryption Standard) • RSA (Rivest-Shamir-Adleman)

9. 對稱式加密法 • 加密/解密用同一把鑰匙 • 鑰匙在傳輸過程中，若為有心人士竊取，加密將被破解 • 金鑰管理困難

10. 非對稱式加密法 • 公開金鑰加密法(Public key encryption) • 加密/解密使用不同鑰匙 • 加密金鑰：私鑰(Private key) ，自己保存，不公開 • 解密金鑰：公鑰，可向他人公開 加密金鑰 解密金鑰 明文 加密 密文 解密 明文

11. 數位簽章(Digital Signature) • 真實世界以簽名、蓋章表示對文件的負責 • 網路世界以數位簽章表示對文件的負責

12. 數位簽章的運作流程 Hash 函數 Hash 函數 網際網路 明文 訊息摘要 明文 明文 比對 數位簽章 數位簽章 訊息摘要 數位簽章 訊息摘要 (一起傳送) 簽章者私鑰 簽章者公鑰 接收端 發送端

13. 數位簽章可確保： • 數位簽章可由簽章者之公鑰解開為訊息摘要，則該份文件確實由簽章者所發出  傳輸資料來源辨識 及 不可否認性 • 明文及數位簽章者所解開產生之訊息摘要相同，則該份文件未被竄改 正確性 • 電子簽章未對明文加密，若欲達保密目的，明文需以加密方法(DES、RSA)做加密工作

14. 交易機制 • 保護消費者、商家、金融機構在安全無虞的環境下進行商業活動的機制 • 網際網路上常用的交易機制 • SET：Secure Electronic Transaction • SSL：Secure Socket Layer

15. SET：Secure Electronic Transaction安全電子交易 • 由VISA 、MasterCard、IBM、Microsoft、Netscape、Verisign等公司聯合制訂，保護消費者在網際網路上持卡付款交易安全的標準；運用RSA的公鑰加密技術，保護交易資料的安全及隱密性 • SET的架構 • 電子錢包(Electronic Wallet) • 數位憑證(Digital Certificate) • 付款閘道(Payment Gateway) • 認證中心(Certification Authority，CA)

16. 持卡購物 (訂單與付款資料) 參與 SET的交易成員 收單銀行 發卡銀行 銀 行 網 路 認證中心 查 驗 持 卡 人 資 料 internet 付款閘道 網路商店 持卡人 付款訊息 持卡購物 (電子錢包軟體)

17. 電子錢包(Electronic Wallet) • 一種電腦軟體，主要用於消費者進行電子交易與儲存交易記錄 • 消費者交易前，需先安裝符合SET標準的電子錢包 • 功能 • 數位憑證管理：數位憑證之申請、保存、刪除 • 交易的進行：消費者選擇SET交易時，電子錢包自動啟動、辨認商店身份並發送交易訊息 • 交易記錄保存：每筆交易記錄將被保存供日後查詢

18. 數位憑證(Digital Certificate) • SET的核心，用以建立電子交易中，各交易主體間的信任關係 • 由一公正單位擔任「認證中心」，簽發數位憑證給銀行、持卡人及特約商店 • 電子交易時，持卡人與特約商店兩邊符合SET規格的軟體，會先在電子資料交換前確認雙方身份(檢查由認證中心發給的數位憑證)

19. 付款閘道(Payment Gateway) • SET訊息與收單銀行的訊息轉接 • 功能 • 提供特約商店的註冊與認證 • 傳送及接收SET交易訊息 • 檢核交易訊息中之付款人資料及數位簽章 • 將SET訊息轉換成付款訊息

20. 認證中心(Certification Authority，CA) • 公正、公開的代理組織 • 功能 • 提供持卡人與特約商店之電子憑證申請服務 • 管理電子憑證的發行與取消 • 簽發交易憑證，以證明消費者公鑰之合法性

21. 網路商店 • 已獲得認證中心授權，並獲得數位憑證的特約商店 • 基本建置與功能 • 安裝符合SET規格的電子收銀機軟體於主機系統 • 建置符合SET規格的安全電子交易商店軟體 • 從網際網路向收單銀行認證中心註冊並取得數位憑證 • 提供網路消費者線上購物服務

22. 發卡/收單銀行 • 接受持卡人和特約商店線上的註冊申請，核驗發卡及收單銀行核對申請資料是否一致 • 線上核發數位憑證並存證 • 提供參與電子交易者身份驗證機制

23. SET 交易流程圖 收單銀行 發卡銀行 (4）請求授權/得到授權 （5)傳送訂單擷取權杖 認證中心 取得消費者金鑰 取得 網路 商店 金鑰 ( 3) 付款明細 (1) 訂單/訂單回應 付款閘道 (3) 付款明細 網路商店 持卡人 (2) 訂單確認 （5) 傳送訂單擷 　　 權杖 (6) 傳送收據 （7) 清算 (電子錢包軟體)

24. SSL：Secure Socket Layer • 原為Netscape(1994)公司所制定，現為大部份Web server及browser所使用 • IETF(Internet Engineering Task Force)1991年以SSL v 3.0開發出Transport Layer Security(TLS) • 確保訊息在internet上流通的安全性，避免傳輸過程中被監聽、竊取、竄改，以達到資料的完整性、機密性 • 內建於多數瀏覽器中 • 提供網路應用軟體安全可靠之傳輸服務 • 採公鑰技術認證

25. SSL 認證流程圖 收 送 商 店 端 伺 服 器 (1) 要求開始認證 客 戶 端 電 腦 (2) 同意進行認證 (3) 互傳認證資料，確認對方身份 (4) 查核無誤，承認對方身份

26. SET 與 SSL 機制的比較

27. SET 與 SSL 機制的比較

28. 本章內容 • 交易安全 • 個人網路安全 • 資料保密 • 病毒肆虐 • 被植入木馬程式 • 網站的安全

29. 資料保密 • 目前使用率高的Windows、Unix等作業系統資安全防範並不週延 • 有心人可從這些漏洞取得或破壞主機上的資料 • 防範之道 • 更新系統及程式 • 少開Windows之資源分享 • 裝設個人防火牆

30. 病毒(Virus)肆虐 • 病毒是一電腦程式，可自己複製並傳播到其他檔案 • 病毒類型： • 檔案型 • 巨集病毒 • Script 病毒

31. 如何防止病毒 • 安裝防毒軟體(Pc-cillin、Norton Antivirus)— • 常更新病毒碼及掃瞄引擎 • 小心閱讀電子郵件— • 來路不明的郵件直接刪除，不讀取、不開附件 • 警覺心要強— • 主機速度變慢、網路速度變慢、磁碟不正常讀取、有奇怪檔名的檔案…皆是可能中毒癥兆 • 正確的操作觀點— • 不讀取來路不明檔案、郵件；不任意開啟資訊分享

32. 被植入木馬程式 • 資料被盜取 • 行為被監視，喪失隱私權 • 防範之道 • 不執行不明程式及電子郵件所附的程式 • 不開資源分享及常更新系統，以防止被駭客侵入，植入木馬程式

33. 本章內容 • 交易安全 • 個人網路安全 • 網站的安全

34. 網站的安全 • 網站有漏洞，易被侵入，或成為攻擊目標 • 防範網站百分之百不被入侵，幾乎是不可能

35. 網站入侵防範 • 主機權限設定需嚴謹；使用者密碼檔需編號，以減低密碼檔被盜取破解的危險 • 主機服務單純化 • 隨時注意系統漏洞通報，儘快修補 • 了解網路攻擊模式，並視狀況予以防治 • 裝設網路安全監控工具(如：防火牆軟體)