电子商务课件之电子商务的安全问题18717.pptx

第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 网络安全问题网络安全问题 电子商务的安全性问电子商务的安全性问题题电子商务对安全控制电子商务对安全控制的要求的要求电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议网络安全问题网络安全问题计算机病毒：破坏功能或毁坏数据的计算机计算机病毒：破坏功能或毁坏数据的计算机指令或程序代码。指令或程序代码。拒绝服务：用数百条消息填塞某人的拒绝服务：用数百条消息填塞某人的E-mailE-mail信箱的一种在线袭扰的方法。信箱的一种在线袭扰的方法。黑客攻击：黑客攻击：口令攻击口令攻击 服务攻击服务攻击 IP欺骗欺骗第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题在网络的传输过程中信息被截获在网络的传输过程中信息被截获在网络的传输过程中信息被截获在网络的传输过程中信息被截获 电子商务面临的安全威胁电子商务面临的安全威胁电子商务面临的安全威胁电子商务面临的安全威胁 篡改传输的文件篡改传输的文件篡改传输的文件篡改传输的文件 假冒他人身份假冒他人身份假冒他人身份假冒他人身份 不承认或抵赖已经做过的交易不承认或抵赖已经做过的交易不承认或抵赖已经做过的交易不承认或抵赖已经做过的交易 电子商务的安全控制电子商务的安全控制要求概述要求概述 网络安全问题网络安全问题 电子商务的安全性问电子商务的安全性问题题电子商务对安全控制电子商务对安全控制的要求的要求电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题内部网的严密性内部网的严密性内部网的严密性内部网的严密性完整性完整性完整性完整性电子商务对安全控制的要求电子商务对安全控制的要求电子商务对安全控制的要求电子商务对安全控制的要求 保密性保密性保密性保密性不可修改性不可修改性不可修改性不可修改性交易者身份的确定性交易者身份的确定性交易者身份的确定性交易者身份的确定性交易的无争议性和不可抵赖性交易的无争议性和不可抵赖性交易的无争议性和不可抵赖性交易的无争议性和不可抵赖性有效性有效性有效性有效性授权合法性授权合法性授权合法性授权合法性电子商务的安全控制电子商务的安全控制要求概述要求概述 网络安全问题网络安全问题 电子商务的安全性问电子商务的安全性问题题电子商务对安全控制电子商务对安全控制的要求的要求电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性防火墙的定义防火墙的定义它是一种由计算机硬件和软件组成的一个或一组系统，它是一种由计算机硬件和软件组成的一个或一组系统，用于增强内部网络和用于增强内部网络和Internet之间的访问控制。之间的访问控制。防火墙具有如下属性：防火墙具有如下属性：所有从内到外的通信流量，都必须通过它；所有从内到外的通信流量，都必须通过它；仅仅被本地安全策略定义的且被授权的通信量允许通过；仅仅被本地安全策略定义的且被授权的通信量允许通过；系统对外部攻击具有高抵抗力。系统对外部攻击具有高抵抗力。第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题防火墙的工作原理防火墙的工作原理电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性防火墙的基本原理 防火墙的工作原理是：在内部网和外部网之间建立起一条隔离墙，检查进入内部网络的信息是否合法，或者是否允许用户的服务请求，从而阻止对内部网络的非法访问和非授权用户的进入，同时防火墙也可以禁止特定的协议通过相应的网络。第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题防火墙的安全控制基本准则防火墙的安全控制基本准则一切未被允许的都是禁止的一切未被允许的都是禁止的一切未被禁止的都是允许的一切未被禁止的都是允许的电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题网络安全的控制，保护易受攻击的服务网络安全的控制，保护易受攻击的服务网络安全的控制，保护易受攻击的服务网络安全的控制，保护易受攻击的服务防火墙的功能防火墙的功能防火墙的功能防火墙的功能屏蔽内部信息屏蔽内部信息屏蔽内部信息屏蔽内部信息控制对特殊站点的访问控制对特殊站点的访问控制对特殊站点的访问控制对特殊站点的访问集中化的安全管理集中化的安全管理集中化的安全管理集中化的安全管理提供日志和审计功能提供日志和审计功能提供日志和审计功能提供日志和审计功能提供报警服务提供报警服务提供报警服务提供报警服务电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题包过滤型防火墙包过滤型防火墙电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题代理服务器型防火墙代理服务器型防火墙电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题监测型防火墙监测型防火墙电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题防火墙的局限性防火墙的局限性防火墙不能保护绕过它的连接防火墙不能保护绕过它的连接防火墙无法完全防止新出现的网络威胁防火墙无法完全防止新出现的网络威胁防火墙不能阻止来止内部的破坏防火墙不能阻止来止内部的破坏防火墙不能防止病毒防火墙不能防止病毒电子商务的安全控制电子商务的安全控制要求概述要求概述 防火墙的概念防火墙的概念 防火墙的体系结构与防火墙的体系结构与功能功能防火墙的分类防火墙的分类电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议防火墙的局限性防火墙的局限性第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题源信息(明文)密钥加密加密后的信息(密文)解密后的信息(明文)加密后的信息(密文)因特网密钥解密数据加密过程数据加密过程电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议对称式密钥加密技术对称式密钥加密技术所谓对称加密，是指使用同一把密钥对信息所谓对称加密，是指使用同一把密钥对信息加密，而对信息解密，同样采用该密钥即可。加密，而对信息解密，同样采用该密钥即可。明文密文密文明文私钥私钥发送发送方接收方第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题对称加密算法对称加密算法IDEA：是一个分组大小为：是一个分组大小为64位，位，密钥为密钥为128位，迭代轮数为位，迭代轮数为8轮的迭代型轮的迭代型密码体制密码体制.DES：一种：一种数据数据分组加密方法。分组加密方法。使用密钥长度为使用密钥长度为64位，其中有效的密钥位，其中有效的密钥长度为长度为56位，位，8位为奇偶校验位为奇偶校验.电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题对称式密钥加密技术的优缺点对称式密钥加密技术的优缺点 缺点：密钥传递存在安全隐患、缺点：密钥传递存在安全隐患、密钥分发复杂、不认识的人之间无法使用、密钥分发复杂、不认识的人之间无法使用、无法解决数字签名验证的问题。无法解决数字签名验证的问题。优点：加密速度快、保密度高优点：加密速度快、保密度高电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题公开密钥密码体制公开密钥密码体制信息保密原理：信息保密原理：公钥与私钥公钥与私钥,这两个密钥是互补的，这两个密钥是互补的，即用公钥加密的密文可以用私钥解密，而用私钥即用公钥加密的密文可以用私钥解密，而用私钥加密的密文可以用公钥解密。加密的密文可以用公钥解密。签名认证原理：发送方使用自己的私钥加密，可以签名认证原理：发送方使用自己的私钥加密，可以确认发送人身份。确认发送人身份。RSA算法算法：既能用于数据加密，也能用于：既能用于数据加密，也能用于数字签名的算法。数字签名的算法。电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议数字摘要过程第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题Hash函数应该满足的个条件函数应该满足的个条件对同一数据使用同一Hash函数，其运算结果应该是一样的。Hash函数应具有运算结果不可预见性，即从源文件的变化不能推导出缩影结果的变化。Hash函数具有不可逆性，即不能通过文件缩影反算出源文件的内容。电子商务的安全控制电子商务的安全控制要求概述要求概述 对称式密钥加密技术对称式密钥加密技术 公开密钥密码体制公开密钥密码体制数字摘要数字摘要电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议数字签名数字签名数字签名过程示意图（1）发送方首先用哈希函数将需要传送的内容加密产生报文的数字摘要；（2）送方采用自己的私有密钥对摘要进行加密，形成数字签名；（3）发送方把原文和加密的摘要同时传递给接收方；（4）接受方使用发送方的公共密钥对数字签名进行解密，得到发送方形成的报文摘要；（5）接收方用哈希函数将接收到的报文转换成报文摘要，与发送方形成的摘要相比较，若相同，说明文件在传输过程中没有被破坏；第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题数字信封数字信封电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议数字信封工作过程 1.在发送文件时，发送方先产生一个通信密钥，并用这一通信密钥对文件原文进行加密后，再通过网络将加密后的文件传送到接收方；2.发送方再把对文件加密时使用的通信密钥用接收方的公开密钥进行加密，即生成数字信封，然后通过网络传送到接收方；3.接收方收到发送方传来的经过加密的通信密钥后，用自己的私钥对其进行解密，从而得到发送方的通信密钥；4.接收方再用发送方的通信密钥对加密文件进行解密，从而得到文件的原文。第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题数字时间戳（）包括：数字时间戳（）包括：需要加时间戳的文件的摘要需要加时间戳的文件的摘要收到文件的日期和时间收到文件的日期和时间的数字签名的数字签名电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题数字证书数字证书证书拥有者的姓名证书拥有者的姓名证书拥有者的姓名证书拥有者的姓名数字证书的内部格式数字证书的内部格式数字证书的内部格式数字证书的内部格式证书拥有者的公共密钥证书拥有者的公共密钥证书拥有者的公共密钥证书拥有者的公共密钥公共密钥的有效期公共密钥的有效期公共密钥的有效期公共密钥的有效期颁发数字证书的单位颁发数字证书的单位颁发数字证书的单位颁发数字证书的单位数字证书的序列号数字证书的序列号数字证书的序列号数字证书的序列号颁发数字证书单位的数字签名颁发数字证书单位的数字签名颁发数字证书单位的数字签名颁发数字证书单位的数字签名电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题认证中心的层次结构认证中心的层次结构电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的认证体系电子商务的认证体系PKI CA：PKI（Public Key Infrastructure，公钥基础公钥基础设施）是提供公钥加密和数字签字服务的安全基础平台，设施）是提供公钥加密和数字签字服务的安全基础平台，目的是管理密钥和证书。目的是管理密钥和证书。用户自己认定的用户自己认定的CA。SET CA：所颁发的数字证书主要有持卡人证书、商户：所颁发的数字证书主要有持卡人证书、商户证书和支付网关证书。证书和支付网关证书。电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题安全交易的过程安全交易的过程电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议安全交易的过程图示第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 基本认证技术基本认证技术 认证中心与认证体系认证中心与认证体系安全交易的过程安全交易的过程电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议(1)在甲方，要发送的信息通过哈希函数变换成预先设定长度的报文数字摘要；(2)数字摘要用甲方的私钥通过RSA算法加密，其结果是一个数字签名；(3)数字签名和甲方的证书，附着在原始信息上打包；同时，在甲方的计算机上，使用DES算法生成对称密钥给这个信息包加密；(4)甲方预先收取乙方的证书，并通过其中的公钥为甲方的对称密钥加密，形成一 个数字信封；(5)加密的信息和数字信封通过因特网传输给乙方的计算机；(6)乙方用自己的私钥解密数字信封，得到甲方的对称密钥；(7)通过这个密钥，从甲方收到的加密的信息被解密成原始信息、数字签名和甲方 的数字证书；(8)用甲方的公钥（包含在甲方的证书中）解密数字签名，得到报文摘要；(9)将收到的原始信息通过哈希函数变换成报文摘要；(10)分别由第(8)步和第(9)步所产生的报文摘要被比较，以确定在传输过程中是否 有什么改变，这一步确定信息的完整性。安全交易过程的步骤安全交易过程的步骤安全交易过程的步骤安全交易过程的步骤第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 SSL安全协议安全协议SETSET安全交易协议安全交易协议电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议安全套接层协议（）安全套接层协议（）SSL协议可以分为两个子协议：协议可以分为两个子协议：SSL握手协议握手协议（Handshake protocol）和和SSL纪录协议纪录协议（Record protocol）。）。SSL协议基于协议基于TCP/IP，SSL连接可以看成在连接可以看成在TCP/IP连接连接的基础上建立一个安全通道，在这一通道中，所有点对的基础上建立一个安全通道，在这一通道中，所有点对点的信息都将加密，从而确保信息在点的信息都将加密，从而确保信息在Internet上传输时，上传输时，不会被第三方窃取。不会被第三方窃取。SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题的工作过程的工作过程的工作过程的工作过程电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议（1）浏览器请示与服务器建立安全会话。（2）浏览器与Web服务器交换密钥证书以便双方相互确认。（3）Web服务器与测览器协商密钥位数（40位或128位）；客户机提供自己支持的所有 算法清单，服务器选择它认为最有效的密钥生成算法。（4）浏览器将产生的会话密钥用Web服务器的公钥加密传给Web服务器。（5）Web服务器用自己的私钥解密。（6）Web服务器和浏览器用会话密钥加密和解密，实现加密传输。SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题提供的安全服务提供的安全服务信息完整：利用机密共享和信息完整：利用机密共享和ash组提供信息组提供信息完整性服务完整性服务相互认证：这是客户机与服务器相互识别的过程相互认证：这是客户机与服务器相互识别的过程信息保密：通过使用公开密钥和对称密钥技术以信息保密：通过使用公开密钥和对称密钥技术以达到数据加密达到数据加密电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题SET协议的工作原理协议的工作原理 电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议支付网关收 单 银行在线商店消费者订单确认审核请求确认协商发 卡 银行认证认证认证审核批准确认SET协议工作原理图SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题SET协议的工作原理协议的工作原理 电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议（1）消费者使用浏览器在商家的Web主页上查看在线商品目录测览商品；（2）消费者选择要购买的商品；（3）消费者填写订单，包括项目列表、价格、总价、运费、搬运费、税费。订单可通过电 子化方式从商家传过来，或由消费者的电子购物软件建立。（4）消费者选择付款方式。此时SET开始介入。（5）消费者发送给商家一个完整的订单及要求付款的指令。在SET中，订单和付款指令由消 费者进行数字签名。同时，利用双重签名技术保证商家看不到消费者的账号信息。（6）商家接受订单后，向消费者的金融机构请求支付认可。（7）通过 GateWay到银行，再到发卡机构确认，批准交易。然后返回确认信息给商家。（8）商家发送订单确认信息给顾客。顾客端软件可记录交易日志，以备将来查询。（9）商家给顾客装运货物或完成订购的服务。到此为止，一个购买过程已经结束。商家可 以立即请求银行将钱从购物者的账号转移到商家账号，也可以等到某一时间，请求成 批划账处理。（10）商家从消费者的金融机构请求支付。在认证操作和支付操作中间一般会有一个时间间 隔，例如，在每天的下班前请求银行结一天的帐。SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题SET协议的核心技术协议的核心技术采用采用RSA算法的非对称密钥技术。算法的非对称密钥技术。采用电子数字签名。采用电子数字签名。采用采用DES算法的对称密钥技术。算法的对称密钥技术。采用电子信封。采用电子信封。电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题协议的安全动态认证协议的安全动态认证首先，在网上成立网络动态认证中心。首先，在网上成立网络动态认证中心。首先，在网上成立网络动态认证中心。首先，在网上成立网络动态认证中心。安全动态认证注册方法安全动态认证注册方法安全动态认证注册方法安全动态认证注册方法 所有希望参加电子商务并希望完成支付环节所有希望参加电子商务并希望完成支付环节所有希望参加电子商务并希望完成支付环节所有希望参加电子商务并希望完成支付环节的公司，都必须向网络动态认证中心进行网络的公司，都必须向网络动态认证中心进行网络的公司，都必须向网络动态认证中心进行网络的公司，都必须向网络动态认证中心进行网络注册。注册。注册。注册。注册完以后，网络会自动把个人私钥、加密算法、注册完以后，网络会自动把个人私钥、加密算法、注册完以后，网络会自动把个人私钥、加密算法、注册完以后，网络会自动把个人私钥、加密算法、解密算法等内容通过网络发到用户的计算机上。解密算法等内容通过网络发到用户的计算机上。解密算法等内容通过网络发到用户的计算机上。解密算法等内容通过网络发到用户的计算机上。电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题SSLSSL协议与协议与协议与协议与SETSET协议的比较协议的比较协议的比较协议的比较 电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议相对于SSL协议来说，SET协议更为安全；但是SET协议过于夏杂，处理速度慢，支持SET系统的费用较高。而使用SSL则较为便宜（被大部分Web浏览器所内置）。SET和SSL都要求使用密码技术和算法，都要增加计算机系统的负载，但与SSL比较,SET需要更高的处理能力。SET还将引入除信用卡以外的结算方式，加上先进的加密算法，SET有可能在未来的电子商务中扮演更为重要的角色。然而由于SSL的简洁性及通用性，它也必然长期存在。SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较第四章第四章第四章第四章 电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全问题电子商务的安全控制电子商务的安全控制要求概述要求概述 电子商务的认证技术电子商务的认证技术 防火墙技术防火墙技术数据加密技术数据加密技术安全技术协议安全技术协议1 1电子商务有哪些安全控制要求？电子商务有哪些安全控制要求？电子商务有哪些安全控制要求？电子商务有哪些安全控制要求？2 2试述防火墙在网络安全中所起的作用。试述防火墙在网络安全中所起的作用。试述防火墙在网络安全中所起的作用。试述防火墙在网络安全中所起的作用。3 3什么是数字证书？它包括什么内容？什么是数字证书？它包括什么内容？什么是数字证书？它包括什么内容？什么是数字证书？它包括什么内容？4 4SETSET协议中包含了哪些参与方？他们是如何协同工作的？协议中包含了哪些参与方？他们是如何协同工作的？协议中包含了哪些参与方？他们是如何协同工作的？协议中包含了哪些参与方？他们是如何协同工作的？5.5.SETSETSETSET协议中应用了哪些加密技术协议中应用了哪些加密技术协议中应用了哪些加密技术协议中应用了哪些加密技术,它们是如何工作的它们是如何工作的它们是如何工作的它们是如何工作的?6.6.6.6.试比较试比较试比较试比较SSLSSLSSLSSL协议与协议与协议与协议与SETSETSETSET协议的工作原理。协议的工作原理。协议的工作原理。协议的工作原理。7.7.7.7.试说明一个完整的安全电子交易过程。试说明一个完整的安全电子交易过程。试说明一个完整的安全电子交易过程。试说明一个完整的安全电子交易过程。8.8.8.8.请说明安全动态认证的工作过程。请说明安全动态认证的工作过程。请说明安全动态认证的工作过程。请说明安全动态认证的工作过程。复习思考题SSL安全协议安全协议SETSET安全交易协议安全交易协议SSLSSL协议与协议与SETSET协议协议的比较的比较