電子商務(wù)信息安全要素與技術(shù)課件

第三章

電子商務(wù)信息安全

電子商務(wù)信息安全要素

1電子商務(wù)信息安全技術(shù)

2數(shù)字證書與認證中心

3信息安全協(xié)議

4第三章 電子商務(wù)信息安全電子商務(wù)信息安全要素1電子商務(wù)信13.1電子商務(wù)信息安全要素

3.1.1 信息的保密性

信息的保密性是指信息在傳輸過程或存儲過程中不被他人竊取。3.1電子商務(wù)信息安全要素3.1.1 信息的保密23.1電子商務(wù)信息安全要素

3.1.2 信息的完整性

信息的完整性是從信息傳輸和存儲兩個方面來看的。在存儲時，要防止非法篡改和破壞網(wǎng)站上的信息。在傳輸過程中，接收端收到的信息與發(fā)送的信息完全一樣，說明在傳輸過程中信息沒有遭到破壞。3.1電子商務(wù)信息安全要素3.1.2 信息的完整33.1電子商務(wù)信息安全要素

3.1.3 信息的不可否認性

信息的不可否認性是指信息的發(fā)送方不能否認已發(fā)送的信息，接收方不能否認已收到的信息。3.1電子商務(wù)信息安全要素3.1.3 信息的不可43.1電子商務(wù)信息安全要素

3.1.4 交易者身份的真實性

交易者身份的真實性是指交易雙方確實是存在的，不是假冒的。3.1電子商務(wù)信息安全要素3.1.4 交易者身份53.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

加密和解密加密是指將數(shù)據(jù)進行編碼，使它成為一種不可理解的形式，這種不可理解的內(nèi)容叫做密文。解密是加密的逆過程，即將密文還原成原來可理解的形式。加密和解密過程依靠兩個元素：算法和密鑰。算法是加密或解密的一步一步的過程，在這個過程中需要一串數(shù)字，這個數(shù)字就是密鑰。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技63.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技73.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成密碼系統(tǒng)的工作過程是，發(fā)送方用加密密鑰Ke和加密算法E，對明文M加密，得到的密文C，然后傳輸密文C。接收方用解密密鑰Kd（與加密密鑰Ke成對）和解密算法D，對密文解密，得到原來的明文M。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技83.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成密碼系統(tǒng)使用的密碼體制，按密鑰的形式可以分為兩類：通用密鑰密碼體制和公開密鑰密密碼體制。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技93.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

通用密鑰密碼體制通用密鑰密碼體制的加密密鑰Ke和解密密鑰Kd是通用的，即發(fā)送方和接收方使用同樣的密鑰，也稱之為“傳統(tǒng)密碼體制”。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技103.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

公開密鑰密碼體制公開密鑰密碼體制的加密密鑰Ke與解密密鑰Kd不同，只有解密密鑰是保密的，稱為私人密鑰（privatekey），而加密密鑰完全公開，稱為公共密鑰（publickey）。該系統(tǒng)也稱為“非對稱密碼體制”。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技113.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字摘要數(shù)字摘要（digitaldigest）也稱安全Hash（散列）編碼法（SHA，SecureHashAlgorithm）或MD5（MD：StandardsforMessageDigest）。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和123.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字摘要該編碼法采用單向Hash函數(shù)將需加密的明文“摘要”成一串128bit的密文，這一串密文也稱為數(shù)字指紋，它有固定的長度，且不同的明文摘要成密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。這樣，這串摘要便可成為驗證明文是否“真身”的“指紋”了。數(shù)字摘要的應(yīng)用使信息的完整性（不可修改性）得以保證。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和133.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名數(shù)字簽名能確認以下兩點：其一，信息是由簽名者發(fā)送的；其二，信息自簽發(fā)后到收到為止未曾作過任何 修改。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和143.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和153.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名①發(fā)送方用SHA編碼加密產(chǎn)生128bit的數(shù)字摘要；②發(fā)送方用自己的私人密鑰（PrivateKey）對摘要加密，形成數(shù)字簽名；③將原文和加密的摘要同時傳輸給對方；④接受方用授信方的公共密鑰（PublicKey）對摘要解密，同時對收到的信息用SHA編碼加密產(chǎn)生又一摘要；⑤將解密后的摘要和收到的信息在受信方重新加密產(chǎn)生的摘要互相對比。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和163.3數(shù)字證書與認證中心

3.3.1 數(shù)字證書

數(shù)字證書原理數(shù)字證書（digitalID）又稱為數(shù)字憑證，數(shù)字標識，是一個經(jīng)證書認證機構(gòu)（CA）數(shù)字簽名的包含用戶身份信息以及公開密鑰信息的電子文件，是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源訪問的權(quán)限，是各實體（消費者、商戶/企業(yè)、銀行等）在網(wǎng)上進行信息交流及商務(wù)活動的電子身份證。

3.3數(shù)字證書與認證中心3.3.1 數(shù)字證書173.3數(shù)字證書與認證中心

3.3.1 數(shù)字證書

數(shù)字證書的類型個人數(shù)字證書企業(yè)（服務(wù)器）數(shù)字證書軟件（開發(fā)者）數(shù)字證書3.3數(shù)字證書與認證中心3.3.1 數(shù)字證書183.3數(shù)字證書與認證中心

3.3.2 認證中心

基本概念認證中心(CA，CertificationAuthority)就是承擔網(wǎng)上安全電子交易認證服務(wù)、簽發(fā)數(shù)字證書、并能確認用戶身份的服務(wù)機構(gòu)。3.3數(shù)字證書與認證中心3.3.2 認證中心193.3數(shù)字證書與認證中心

3.3.2 認證中心

認證中心的作用

證書的頒發(fā)證書的更新證書的查詢證書的作廢證書的歸檔3.3數(shù)字證書與認證中心3.3.2 認證中心203.3數(shù)字證書與認證中心

3.3.2 認證中心

認證分級體系3.3數(shù)字證書與認證中心3.3.2 認證中心213.3數(shù)字證書與認證中心

3.3.3 數(shù)字證書的申請和使用

目前，在上海市數(shù)字證書認證中心，用戶可以申請數(shù)字證書。

3.3數(shù)字證書與認證中心3.3.3 數(shù)字證書的申223.3數(shù)字證書與認證中心

3.3.3 數(shù)字證書的申請和使用

3.3數(shù)字證書與認證中心3.3.3 數(shù)字證書的申233.4信息安全協(xié)議

3.4.1 SSL安全協(xié)議

SSL（SecureSocketsLayer）的中譯名叫安全套接層協(xié)議，是1994年底由Netscape研制并實現(xiàn)。SSL協(xié)議的最基本目標是進行服務(wù)器/客戶機方式進行通訊的兩個應(yīng)用程序之間保證其通訊內(nèi)容的保密性和數(shù)據(jù)的完整性。SSL協(xié)議層包括兩個協(xié)議子層：SSL記錄協(xié)議與SSL握手協(xié)議。

3.4信息安全協(xié)議3.4.1 SSL安全協(xié)議 243.4信息安全協(xié)議

3.4.1 SSL安全協(xié)議

SSL安全協(xié)議提供三個方面的保障：認證客戶機和服務(wù)器的合法性。加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)。維護數(shù)據(jù)的完整性。3.4信息安全協(xié)議3.4.1 SSL安全協(xié)議 253.4信息安全協(xié)議

3.4.2 SET安全協(xié)議

SET協(xié)議，即“安全電子交易”協(xié)議，是為了確保網(wǎng)上交易的安全可靠，由兩個國際信用卡集團VISA和MasterCard聯(lián)合發(fā)起制定的。3.4信息安全協(xié)議3.4.2 SET安全協(xié)議 263.4信息安全協(xié)議

3.4.2 SET安全協(xié)議

SET安全協(xié)議提供五個方面的保障：保證信息在Internet上安全傳輸。保證電子商務(wù)參與者信息的相互隔離。解決多方認證問題。保證網(wǎng)上交易的實時性，使所有的支付過程都是在線的。

要求軟件遵循相同協(xié)議和消息格式。3.4信息安全協(xié)議3.4.2 SET安全協(xié)議 27第三章

電子商務(wù)信息安全

電子商務(wù)信息安全要素

1電子商務(wù)信息安全技術(shù)

2數(shù)字證書與認證中心

3信息安全協(xié)議

4第三章 電子商務(wù)信息安全電子商務(wù)信息安全要素1電子商務(wù)信283.1電子商務(wù)信息安全要素

3.1.1 信息的保密性

信息的保密性是指信息在傳輸過程或存儲過程中不被他人竊取。3.1電子商務(wù)信息安全要素3.1.1 信息的保密293.1電子商務(wù)信息安全要素

3.1.2 信息的完整性

信息的完整性是從信息傳輸和存儲兩個方面來看的。在存儲時，要防止非法篡改和破壞網(wǎng)站上的信息。在傳輸過程中，接收端收到的信息與發(fā)送的信息完全一樣，說明在傳輸過程中信息沒有遭到破壞。3.1電子商務(wù)信息安全要素3.1.2 信息的完整303.1電子商務(wù)信息安全要素

3.1.3 信息的不可否認性

信息的不可否認性是指信息的發(fā)送方不能否認已發(fā)送的信息，接收方不能否認已收到的信息。3.1電子商務(wù)信息安全要素3.1.3 信息的不可313.1電子商務(wù)信息安全要素

3.1.4 交易者身份的真實性

交易者身份的真實性是指交易雙方確實是存在的，不是假冒的。3.1電子商務(wù)信息安全要素3.1.4 交易者身份323.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

加密和解密加密是指將數(shù)據(jù)進行編碼，使它成為一種不可理解的形式，這種不可理解的內(nèi)容叫做密文。解密是加密的逆過程，即將密文還原成原來可理解的形式。加密和解密過程依靠兩個元素：算法和密鑰。算法是加密或解密的一步一步的過程，在這個過程中需要一串數(shù)字，這個數(shù)字就是密鑰。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技333.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技343.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成密碼系統(tǒng)的工作過程是，發(fā)送方用加密密鑰Ke和加密算法E，對明文M加密，得到的密文C，然后傳輸密文C。接收方用解密密鑰Kd（與加密密鑰Ke成對）和解密算法D，對密文解密，得到原來的明文M。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技353.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

密碼系統(tǒng)的構(gòu)成密碼系統(tǒng)使用的密碼體制，按密鑰的形式可以分為兩類：通用密鑰密碼體制和公開密鑰密密碼體制。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技363.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

通用密鑰密碼體制通用密鑰密碼體制的加密密鑰Ke和解密密鑰Kd是通用的，即發(fā)送方和接收方使用同樣的密鑰，也稱之為“傳統(tǒng)密碼體制”。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技373.2電子商務(wù)信息安全技術(shù)

3.2.1 信息加密技術(shù)

公開密鑰密碼體制公開密鑰密碼體制的加密密鑰Ke與解密密鑰Kd不同，只有解密密鑰是保密的，稱為私人密鑰（privatekey），而加密密鑰完全公開，稱為公共密鑰（publickey）。該系統(tǒng)也稱為“非對稱密碼體制”。3.2電子商務(wù)信息安全技術(shù)3.2.1 信息加密技383.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字摘要數(shù)字摘要（digitaldigest）也稱安全Hash（散列）編碼法（SHA，SecureHashAlgorithm）或MD5（MD：StandardsforMessageDigest）。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和393.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字摘要該編碼法采用單向Hash函數(shù)將需加密的明文“摘要”成一串128bit的密文，這一串密文也稱為數(shù)字指紋，它有固定的長度，且不同的明文摘要成密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。這樣，這串摘要便可成為驗證明文是否“真身”的“指紋”了。數(shù)字摘要的應(yīng)用使信息的完整性（不可修改性）得以保證。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和403.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名數(shù)字簽名能確認以下兩點：其一，信息是由簽名者發(fā)送的；其二，信息自簽發(fā)后到收到為止未曾作過任何 修改。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和413.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和423.2電子商務(wù)信息安全技術(shù)

3.2.2 數(shù)字摘要和數(shù)字簽名

數(shù)字簽名①發(fā)送方用SHA編碼加密產(chǎn)生128bit的數(shù)字摘要；②發(fā)送方用自己的私人密鑰（PrivateKey）對摘要加密，形成數(shù)字簽名；③將原文和加密的摘要同時傳輸給對方；④接受方用授信方的公共密鑰（PublicKey）對摘要解密，同時對收到的信息用SHA編碼加密產(chǎn)生又一摘要；⑤將解密后的摘要和收到的信息在受信方重新加密產(chǎn)生的摘要互相對比。3.2電子商務(wù)信息安全技術(shù)3.2.2 數(shù)字摘要和433.3數(shù)字證書與認證中心

3.3.1 數(shù)字證書

數(shù)字證書原理數(shù)字證書（digitalID）又稱為數(shù)字憑證，數(shù)字標識，是一個經(jīng)證書認證機構(gòu)（CA）數(shù)字簽名的包含用戶身份信息以及公開密鑰信息的電子文件，是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源訪問的權(quán)限，是各實體（消費者、商戶/企業(yè)、銀行等）在網(wǎng)上進行信息交流及商務(wù)活動的電子身份證。

3.3數(shù)字證書與認證中心3.3.1 數(shù)字證書443.3數(shù)字證書與認證中心

3.3.1 數(shù)字證書

數(shù)字證書的類型個人數(shù)字證書企業(yè)（服務(wù)器）數(shù)字證書軟件（開發(fā)者）數(shù)字證書3.3數(shù)字證書與認證中心3.3.1 數(shù)字證書453.3數(shù)字證書與認證中心

3.3.2 認證中心

基本概念認證中心(CA，CertificationAuthority)就是承擔網(wǎng)上安全電子交易認證服務(wù)、簽發(fā)數(shù)字證書、并能確認用戶身份的服務(wù)機構(gòu)。3.3數(shù)字證書與認證中心3.3.2 認證中心463.3數(shù)字證書與認證中心

3.3.2 認證中心

認證中心的作用

證書的頒發(fā)證書的更新證書的查詢證書的作廢證書的歸檔3.3數(shù)字證書與認證中心3.3.2 認證中心473.3數(shù)字證書與認證中心

3.3.2 認證中心

認證分級體系3.3數(shù)字證書與認證中心3.3.2 認證中心483.3數(shù)字證書與認證中心

3.3.3 數(shù)字證書的申請和使用

目前，在上海市數(shù)字證書認證中心，用戶可以申請數(shù)字證書。

3.3數(shù)字證書與認證中心