电子商务安全5章.ppt

电子商务安全5章 Still waters run deep.流静水深流静水深,人静心深人静心深 Where there is life,there is hope。有生命必有希望。有生命必有希望5.1 SSL协议协议5.1.1 SSL协议的概念协议的概念5.1.2 SSL协议的工作原理协议的工作原理5.1.3 SSL协议的优缺点协议的优缺点5.1.4 SSL协议的应用协议的应用5.1.1 SSL协议的概念协议的概念 SSL协议（协议（Secure Sockets Layer，即安全套，即安全套接层协议）是由网景（接层协议）是由网景（Netscape）公司研制开）公司研制开发的网络安全传输协议。主要适用于点对点发的网络安全传输协议。主要适用于点对点之间的信息传输，常用之间的信息传输，常用Web Server方式。方式。由于由于SSL协议具有应用面广、实施成本低、协议具有应用面广、实施成本低、安全高效、操作简单等优点，它已经成为电安全高效、操作简单等优点，它已经成为电子商务系统中应用最广泛的协议。子商务系统中应用最广泛的协议。SSL协议协议采用数据加密技术和采用数据加密技术和X.509数字证书技术来保数字证书技术来保护信息传输的机密性和完整性，但它不能保护信息传输的机密性和完整性，但它不能保证信息的不可抵赖性。证信息的不可抵赖性。5.1.1 SSL协议的概念协议的概念 有鉴于此，网景公司在从有鉴于此，网景公司在从Communicator 4.04版开始的所有浏览器中引入了一种被称版开始的所有浏览器中引入了一种被称作作“表单签名（表单签名（Form Signing）”的功能，在的功能，在电子商务中，可利用这一功能来对包含购买电子商务中，可利用这一功能来对包含购买者的订购信息和付款指令的表单进行数字签者的订购信息和付款指令的表单进行数字签名，从而保证交易信息的不可否认性。名，从而保证交易信息的不可否认性。安全套接层协议（安全套接层协议（Secure Sockets Layer，SSL）是一种安全协议，它为网络（例如因）是一种安全协议，它为网络（例如因特网）的通信提供私密性。特网）的通信提供私密性。SSL使应用程序使应用程序在通信时不用担心被窃听和篡改。在通信时不用担心被窃听和篡改。5.1.1 SSL协议的概念协议的概念 SSL协议处于应用层和传输层之间，相当协议处于应用层和传输层之间，相当于一种会话层安全协议，支持于一种会话层安全协议，支持X.509V3体系体系证书规范，由证书规范，由SSL记录协议（记录协议（SSL Record Protocol）和）和SSL握手协议（握手协议（SSL Handshake Protocol）组成。）组成。SSL安全代理系统，具有自主知识产权，安全代理系统，具有自主知识产权，实现实现SSL3.0规范，支持规范，支持128位以上的高强度加位以上的高强度加密算法。该系统于密算法。该系统于1999年年12月通过了中国国月通过了中国国家信息安全测评认证中心的测试、检验，获家信息安全测评认证中心的测试、检验，获得国家信息安全产品型号证书认证。得国家信息安全产品型号证书认证。5.1.2 SSL协议的工作原理协议的工作原理 SSL安全代理软件与安全代理软件与Web浏览器安装在客浏览器安装在客户电脑上，当浏览器要与远端服务器建立安户电脑上，当浏览器要与远端服务器建立安全连接时，它向安全代理发出请求，由安全全连接时，它向安全代理发出请求，由安全代理负责与远端服务器建立连接。连接建立代理负责与远端服务器建立连接。连接建立后，浏览器与服务器之间的数据传输经过安后，浏览器与服务器之间的数据传输经过安全代理转发完成。浏览器与服务器之间的数全代理转发完成。浏览器与服务器之间的数据传输是用浏览器本身支持的据传输是用浏览器本身支持的40位以下的弱位以下的弱加密算法加密的，而安全代理与远端加密算法加密的，而安全代理与远端Web服服务器之间的数据传输则是用高强度的加密算务器之间的数据传输则是用高强度的加密算法加密的。法加密的。5.1.3 SSL协议的优缺点协议的优缺点 优点：优点：1、机密性。在握手协议定义了会话密钥后，、机密性。在握手协议定义了会话密钥后，所有的消息都被加密。所有的消息都被加密。2、确认性。尽管会话的客户端认证是可选、确认性。尽管会话的客户端认证是可选的，但是服务器端始终是被认证的。的，但是服务器端始终是被认证的。3、可靠性。传送的信息包括信息完整性检、可靠性。传送的信息包括信息完整性检查。查。4、应用面广、实施成本低、安全高效、操、应用面广、实施成本低、安全高效、操作简单等。作简单等。缺点：缺点：不能保证信息的不可抵赖性。不能保证信息的不可抵赖性。5.1.4 SSL协议的应用协议的应用 企业网上银行企业网上银行 5.2 SET协议协议5.2.1 SET协议的概念协议的概念5.2.2 SET协议的工作原理协议的工作原理5.2.3 SET协议的优缺点协议的优缺点5.2.4 SET协议的应用协议的应用5.2.1 SET协议的概念协议的概念 电子商务在提供机遇和便利的同时，也面临电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。在着一个最大的挑战，即交易的安全问题。在网上购物的环境中，持卡人希望在交易中保密网上购物的环境中，持卡人希望在交易中保密自己的帐户信息，使之不被人盗用；商家则希自己的帐户信息，使之不被人盗用；商家则希望客户的定单不可抵赖，并且，在交易过程中，望客户的定单不可抵赖，并且，在交易过程中，交易各方都希望验明其他方的身份，以防止被交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国欺骗。针对这种情况，由美国Visa和和MasterCard两大信用卡组织联合国际上多家科两大信用卡组织联合国际上多家科技机构技机构(IBM、HP、Microsoft、Netscape、RSA等等)，共同制定了应用于共同制定了应用于Internet上的以银行卡上的以银行卡为基础进行在线交易的安全标准，这就是为基础进行在线交易的安全标准，这就是5.2.1 SET协议的概念协议的概念“安全电子交易安全电子交易”（Secure Electronic Transaction，SET）。它采用公钥密码体制和）。它采用公钥密码体制和X.509数字证书标准，主要应用于保障网上购物数字证书标准，主要应用于保障网上购物信息的安全性。信息的安全性。由于由于SET 提供了消费者、商家和银行之间的提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡前公认的信用卡/借记卡的网上交易的国际安全借记卡的网上交易的国际安全标准。标准。5.2.1 SET协议的概念协议的概念 SET协议是由美国协议是由美国Visa和和MasterCard两大信两大信用卡组织提出的应用于用卡组织提出的应用于Internet上的以信用卡为上的以信用卡为基础的电子支付系统协议。它采用公钥密码体基础的电子支付系统协议。它采用公钥密码体制和制和X.509数字证书标准，主要应用于数字证书标准，主要应用于B2C模式模式中保障支付信息的安全性。中保障支付信息的安全性。SET协议本身比较协议本身比较复杂，设计比较严格，安全性高，它能保证信复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认息传输的机密性、真实性、完整性和不可否认性。性。5.2.2 SET协议的工作原理协议的工作原理 SET协议的工作流程如下：协议的工作流程如下：1、支付初始化请求和响应阶段、支付初始化请求和响应阶段 2、支付请求阶段、支付请求阶段 3、授权请求阶段、授权请求阶段 4、授权响应阶段、授权响应阶段 5、支付响应阶段、支付响应阶段5.2.3 SET协议的优缺点协议的优缺点 优点：优点：1、保证信息的机密性，即保证信息安全传输，不会、保证信息的机密性，即保证信息安全传输，不会被窃听，只有收件人才能得到和解密信息。被窃听，只有收件人才能得到和解密信息。2、保证支付信息的完整性，即保证传输数据完整地、保证支付信息的完整性，即保证传输数据完整地接受，在中途不被篡改。接受，在中途不被篡改。3、保证认证银行和客户，即验证公共网络上进行交、保证认证银行和客户，即验证公共网络上进行交易活动的银行、持卡人及交易活动的合法性。易活动的银行、持卡人及交易活动的合法性。4、确保商家、客户和银行等交易行为的不可抵赖性。、确保商家、客户和银行等交易行为的不可抵赖性。缺点：缺点：整个交易流程太复杂，参加实体多，程序设计麻烦，整个交易流程太复杂，参加实体多，程序设计麻烦，执行要花费大量时间。执行要花费大量时间。5.2.4 SET协议的应用协议的应用 5.3 两个协议的比较两个协议的比较 P215219