第五章-电子商务安全--电子商务概论-教学课件.ppt

第五章第五章电子商务安全技术电子商务安全技术n n 电子商务安全概述 n n 电子商务安全的常用技术n n 申请数字证书n n 防火墙技术n n 电子商务交易标准第一节第一节电子商务安全概述电子商务安全概述 据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展据权威机构调查表明，目前国内企业发展电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。电子商务的最大顾虑是网上交易的安全问题。电子商务安全结构电子商务安全结构安全措施安全措施问题问题问题问题数据被非法截获、读取或者修改数据被非法截获、读取或者修改数据被非法截获、读取或者修改数据被非法截获、读取或者修改 冒名顶替和否认行为冒名顶替和否认行为冒名顶替和否认行为冒名顶替和否认行为 一个网络的用户未经授权访问了一个网络的用户未经授权访问了一个网络的用户未经授权访问了一个网络的用户未经授权访问了另一个网络另一个网络另一个网络另一个网络 计算机病毒计算机病毒计算机病毒计算机病毒 措施措施措施措施数据加密数据加密数据加密数据加密 数字签名、加密、认证等数字签名、加密、认证等数字签名、加密、认证等数字签名、加密、认证等 防火墙防火墙防火墙防火墙计算机病毒防治措施计算机病毒防治措施计算机病毒防治措施计算机病毒防治措施 公钥和私钥系统公钥和私钥系统 消息摘要消息摘要 数字签名数字签名数字证书概述数字证书概述 数字证书是一个经证书认证中心（数字证书是一个经证书认证中心（数字证书是一个经证书认证中心（数字证书是一个经证书认证中心（CACACACA）数）数）数）数字签名的包含公开密钥拥有者信息以及公开密字签名的包含公开密钥拥有者信息以及公开密字签名的包含公开密钥拥有者信息以及公开密字签名的包含公开密钥拥有者信息以及公开密钥的文件。钥的文件。钥的文件。钥的文件。数字证书实质上就是一系列密钥，数字证书实质上就是一系列密钥，数字证书实质上就是一系列密钥，数字证书实质上就是一系列密钥，用于签名和加密数字信息。用于签名和加密数字信息。用于签名和加密数字信息。用于签名和加密数字信息。数字证书由专门的机构（数字证书由专门的机构（数字证书由专门的机构（数字证书由专门的机构（CACACACA）负责发放和）负责发放和）负责发放和）负责发放和管理，其作用是证明证书中列出的用户名称与管理，其作用是证明证书中列出的用户名称与管理，其作用是证明证书中列出的用户名称与管理，其作用是证明证书中列出的用户名称与证书中列出的公开密钥相对应。证书中列出的公开密钥相对应。证书中列出的公开密钥相对应。证书中列出的公开密钥相对应。CACACACA的数字签名的数字签名的数字签名的数字签名使得攻击者不能伪造和篡改数字证书。使得攻击者不能伪造和篡改数字证书。使得攻击者不能伪造和篡改数字证书。使得攻击者不能伪造和篡改数字证书。数字信息的安全要求数字信息的安全要求数字信息的安全要求数字信息的安全要求 身份验证身份验证身份验证身份验证信息保密性（存储与交易）信息保密性（存储与交易）信息保密性（存储与交易）信息保密性（存储与交易）信息完整性信息完整性信息完整性信息完整性交易的不可否认性交易的不可否认性交易的不可否认性交易的不可否认性 解决方案解决方案解决方案解决方案数字证书与数字签名数字证书与数字签名数字证书与数字签名数字证书与数字签名加密加密加密加密 数字签名数字签名数字签名数字签名 数字签名数字签名数字签名数字签名对数字证书的验证对数字证书的验证 对数字证书的验证包括以下几个步骤：对数字证书的验证包括以下几个步骤：对数字证书的验证包括以下几个步骤：对数字证书的验证包括以下几个步骤：CACA签名真实？签名真实？证书在有效期内？证书在有效期内？证书在证书在CACA发布的发布的证书撤消列表内？证书撤消列表内？Y伪造的证书伪造的证书伪造的证书伪造的证书N失效的证书失效的证书失效的证书失效的证书NY失效的证书失效的证书失效的证书失效的证书YN有效的证书有效的证书有效的证书有效的证书数字证书的类型数字证书的类型 申请数字证书申请数字证书快钱的申请数字证书步骤快钱的申请数字证书步骤 SSL SSL SSL SSL协议向基于协议向基于协议向基于协议向基于TCP/IPTCP/IPTCP/IPTCP/IP的的的的C/SC/SC/SC/S应用程序提供了客应用程序提供了客应用程序提供了客应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等户端和服务器的鉴别、数据完整性及信息机密性等户端和服务器的鉴别、数据完整性及信息机密性等户端和服务器的鉴别、数据完整性及信息机密性等安全措施。安全措施。安全措施。安全措施。第五节第五节电子商务交易标准电子商务交易标准SSLSSLSSLSSL提供了如下三种基本的安全服务：提供了如下三种基本的安全服务：提供了如下三种基本的安全服务：提供了如下三种基本的安全服务：秘密性秘密性秘密性秘密性 完整性完整性完整性完整性 认证性认证性认证性认证性双向认证双向认证SSLSSL协议的具体过程协议的具体过程 双向认证双向认证双向认证双向认证SSLSSLSSLSSL协议的具体通讯过程，要求服务器和用户协议的具体通讯过程，要求服务器和用户协议的具体通讯过程，要求服务器和用户协议的具体通讯过程，要求服务器和用户双方都有证书。单向认证双方都有证书。单向认证双方都有证书。单向认证双方都有证书。单向认证SSLSSLSSLSSL协议不需要客户拥有协议不需要客户拥有协议不需要客户拥有协议不需要客户拥有CACACACA证书。证书。证书。证书。基于基于基于基于SSLSSLSSLSSL协议，双方的通讯内容是经过加密的数据，这协议，双方的通讯内容是经过加密的数据，这协议，双方的通讯内容是经过加密的数据，这协议，双方的通讯内容是经过加密的数据，这时候的安全就依赖于密码方案的安全。时候的安全就依赖于密码方案的安全。时候的安全就依赖于密码方案的安全。时候的安全就依赖于密码方案的安全。SSLSSL协议协议 “SET “SET协议协议”实质是一种应用在实质是一种应用在InternetInternet上、以上、以信用卡为基础的电子付款系统规范，目的就是为了信用卡为基础的电子付款系统规范，目的就是为了保证网络交易的安全。保证网络交易的安全。SETSET协议协议SETSETSETSET要达到的最主要目标是：要达到的最主要目标是：要达到的最主要目标是：要达到的最主要目标是：（1 1）信息在公共因特网上安全）信息在公共因特网上安全）信息在公共因特网上安全）信息在公共因特网上安全传输传输传输传输（2 2 2 2）订单信息和个人账号信息隔离）订单信息和个人账号信息隔离）订单信息和个人账号信息隔离）订单信息和个人账号信息隔离（3 3 3 3）持卡人和商家相互认证）持卡人和商家相互认证）持卡人和商家相互认证）持卡人和商家相互认证 SET SET SET SET协议涉及的当事人包括持卡人、发卡机构、协议涉及的当事人包括持卡人、发卡机构、协议涉及的当事人包括持卡人、发卡机构、协议涉及的当事人包括持卡人、发卡机构、商家、银行以及支付网关。商家、银行以及支付网关。商家、银行以及支付网关。商家、银行以及支付网关。SETSET协议协议安全电子商务模型安全电子商务模型 SSLSSL与与SETSET的比较的比较