第五章電子商務安全管理(電子商務師三四級)課件

第五章電子商務安全管理

5.1電子商務安全概述

5.2計算機網(wǎng)絡安全

5.3商務交易安全

5.4電子商務系統(tǒng)安全管理制度

本章所占的分值:15分第五章電子商務安全管理5.1電子商務安全概述電子商務安全是有效開展電子商務的前提和保證。5.1.2電子商務安全的內(nèi)容電子商務安全的內(nèi)容概括為三個方面內(nèi)容：1、計算網(wǎng)絡安全；2、商務交易安全；3、電子商務系統(tǒng)安全管理制度。第五章電子商務安全管理計算機網(wǎng)絡安全是指保護計算機網(wǎng)絡系統(tǒng)中的硬件、軟件和數(shù)據(jù)資源。計算機網(wǎng)絡安全主要包括:防火墻、入侵檢測、虛擬專用網(wǎng)和病毒防治。商務交易安全主要包括：基本加密方法、安全認證手段、安全交易協(xié)議。第五章電子商務安全管理5.2計算機網(wǎng)絡安全5.2.1網(wǎng)絡安全威脅的來源1）黑客攻擊指非法入侵計算機系統(tǒng)的人。主要利用計算機系統(tǒng)的缺陷、操作系統(tǒng)的安全漏洞或通信協(xié)議的安全漏洞。第五章電子商務安全管理常采用的手段：A利用UNIX提供的缺省賬戶進行攻擊。B截取口令；C錄找系統(tǒng)漏洞；D偷取特權；E清理磁盤。第五章電子商務安全管理2）計算機病毒計算機病毒是隱藏在計算機系統(tǒng)中的程序，它不僅能夠破壞計算機系統(tǒng)的正常運行，而且還具有很強的傳染性。計算機病毒的特點：隱蔽性傳染性破壞性潛伏性可觸發(fā)性針對性第五章電子商務安全管理計算機病毒的種類：1）引導區(qū)病毒；2）可執(zhí)行文件病毒；宏病毒；郵件病毒；網(wǎng)頁病毒；3）綜合型病毒。第五章電子商務安全管理4）計算機病毒的傳播途徑網(wǎng)絡5）計算機病毒的工作原理引導模塊傳染模塊破壞模塊第五章電子商務安全管理6）計算機病毒、蠕蟲與木馬之間的區(qū)別（1）木馬通過免費下載或郵件附件引誘用戶打開執(zhí)行，潛伏到用戶的計算機內(nèi)，與遠程的黑客程序里應外合，毀壞用戶文件、竊取用戶信息甚至遠程操控用戶電腦。區(qū)別：不具傳染性，不能復制自身，不“刻意”去感染其他文件，多為竊取信息第五章電子商務安全管理（2）蠕蟲病毒（Worm）

是一種通過網(wǎng)絡傳播的惡性病毒，主要利用計算機設計上的漏洞，通過網(wǎng)絡主動將自己擴散出去并進行破壞活動。途徑：電子郵件、系統(tǒng)漏洞、聊天軟件區(qū)別：不使用駐留文件即可在系統(tǒng)之間進行自我復制；傳染目標是所有計算機；自行傳播、復制，導致網(wǎng)絡堵塞、計算機崩潰第五章電子商務安全管理7）病毒防范的基本原則從管理上防范，從技術上防范第五章電子商務安全管理(1)管理方面的防范措施*不隨意拷貝和使用未經(jīng)安全檢測的軟件*對于系統(tǒng)中的重要數(shù)據(jù)，最好不要存儲在系統(tǒng)盤上，并且隨時進行備份*不要隨意打開不明來歷的郵件，更不要訪問不知底細的網(wǎng)站。*采取必要的病毒檢測、監(jiān)察措施，制定完善的管理準則。第五章電子商務安全管理(2)技術方面的防范措施*在系統(tǒng)開機設置中將病毒報警一欄設為“Enable”,以防止病毒感染硬盤引導區(qū)。*及時升級系統(tǒng)軟件，以防止病毒利用軟件的漏洞進行傳播。*選用合適的防病毒軟件進行實時監(jiān)測。*及時更新防病毒軟件及病毒特征庫，防止新病毒的侵入。第五章電子商務安全管理8）常見的計算機病毒CIHILOVEYOUMelissaCodeRed2NimdaW32.Sircam第五章電子商務安全管理9）防病毒軟件的選擇1）技術支持程度2）技術的先進性和穩(wěn)定性3）病毒的響應速度4）用戶的使用條件及應用環(huán)境第五章電子商務安全管理10）常用的防病毒軟件國內(nèi)產(chǎn)品金山毒霸、瑞星、KV國外產(chǎn)品

卡巴斯基、Norton、Mcafee、PC-cillin第五章電子商務安全管理3）拒絕服務攻擊一種破壞性的攻擊，用戶采用某種手段故意占用大量的網(wǎng)絡資源，使系統(tǒng)沒有剩余資源為其他用戶提供服務的攻擊。第五章電子商務安全管理4）網(wǎng)絡內(nèi)部的安全威脅來自網(wǎng)絡內(nèi)部的用戶攻擊或內(nèi)部用戶因誤操作造成口令失密而遭受的攻擊，是最難防御的攻擊。2.網(wǎng)絡安全威脅的承受對象1）對客戶機的安全威脅2）對WWW服務器的安全威脅3）對數(shù)據(jù)庫的安全威脅4）對通訊設備、線路的安全威脅第五章電子商務安全管理防火墻防火墻就是為了保護網(wǎng)絡的安全而是用的技術，它是一種硬件和軟件的結合，通過在內(nèi)網(wǎng)和外網(wǎng)之間建立網(wǎng)關，執(zhí)行指定的安全控制策略，達到保護內(nèi)部網(wǎng)免受外部非法用戶侵入的目的。FirewallLANInternet第五章電子商務安全管理防火墻的作用1、限制他人進入內(nèi)部網(wǎng)絡，過濾掉不安全服務和非法用戶；2、允許內(nèi)部網(wǎng)的一部分主機被外部網(wǎng)訪問，另一部分被保護起來；3、限定內(nèi)部網(wǎng)的用戶對互聯(lián)網(wǎng)上特殊站點的訪問；4、為監(jiān)視互聯(lián)網(wǎng)安全提供方便。第五章電子商務安全管理防火墻的類型1）包過濾型基于網(wǎng)絡層的防火墻2）代理服務型基于應用層的防火墻第五章電子商務安全管理防火墻的局限性1、限制了有用的網(wǎng)絡服務；2、不能防范不經(jīng)由防火墻的攻擊；3、不能防范來自網(wǎng)絡內(nèi)部的攻擊；4、不能防范新的網(wǎng)絡安全問題。防火墻的管理本地管理、遠程管理、集中管理第五章電子商務安全管理5.3商務交易安全5.3.1電子商務交易安全基礎1、電子商務交易的安全要求1）信息的保密性。2）信息的完整性。3）通信的不變動性。4）交易各方身份的認證。5）信息的有效性。第五章電子商務安全管理信息的保密性：是指信息內(nèi)容不能隨便被他人獲取。信息的完整性：是指信息不被篡改、不被遺漏。信息的不可抵賴、不可否認性：一條信息被發(fā)送或被接受后，應該通過一定的方式，保證信息的收發(fā)各方都有足夠的證據(jù)證明接收或發(fā)送的操作已經(jīng)發(fā)生。交易雙方各身份的認證：要使網(wǎng)上交易成功，參與交易的人首先要能能夠確認對方的身份，確定對方的身份與對方所聲稱的是否一致。信息的有效性：信息的有效性受法律、社團或行業(yè)等組織的保護。第五章電子商務安全管理1、密碼知識1）密碼的概念：密碼是隱蔽了真實內(nèi)容的符號序列。通過數(shù)學函數(shù)來實現(xiàn)2）密碼安全的要素保證至少6個字符以上的密碼長度。密碼盡量使用英文字母及數(shù)字和標點、特殊符號等多種字符的組合。不要使用安全性過低的密碼。定期更改密碼避免使用重復的密碼第五章電子商務安全管理3）密碼泄漏的途徑有兩種竊取密碼；別人猜出密碼；攻擊者獲取密碼的途徑：網(wǎng)上騙取終端盜取網(wǎng)絡截取第五章電子商務安全管理3.基本加密方法1）對稱加密體制2）非對稱加密體制（又稱公鑰加密體制）第五章電子商務安全管理特點：加密密鑰和解密密鑰相同注意：由于加密、解密的密鑰相同，因此必須妥善保管，防止發(fā)送者與接收者之外的其他人獲得，又稱秘密密鑰。對稱加密技術(代表性DES)第五章電子商務安全管理對稱加密體制的優(yōu)缺點優(yōu)點：簡化加密的處理缺點：密鑰安全交換和管理問題無法鑒別貿(mào)易雙方的身份第五章電子商務安全管理非對稱加密技術(公鑰加密體制)(代表RSA)每個用戶都有一對密鑰：一個私鑰由所有者秘密持有，一個公鑰由所有者公開。加密明文密文明文解密第五章電子商務安全管理非對稱加密體制的優(yōu)缺點缺點：加密算法復雜，加密和解密的速度比較慢。優(yōu)點：有效地解決了密鑰的安全交換和管理問題;能方便地鑒別貿(mào)易雙方的身份。第五章電子商務安全管理4文件加密Word文件加密工具—選項—安全性—打開/修改文件時的密碼Excel文件加密工具—選項—安全性—打開/修改權限密碼WinRar文件加密第五章電子商務安全管理5.3.2安全認證手段1、數(shù)字信封數(shù)字信封是結合對稱加密方法和非對稱加密方法實現(xiàn)信息保密傳送的技術。第五章電子商務安全管理明文密文明文會話密鑰會話密鑰數(shù)字信封會話密鑰乙方公開鑰乙方私鑰第五章電子商務安全管理2、數(shù)字摘要數(shù)字摘要是可用于驗證通過網(wǎng)絡傳輸收到的文件是否是原始的、未被篡改的文件原文。利用著名的HASH函數(shù)任意大小的信息經(jīng)過HASH變成固定長度的“摘要”不同的信息生成的摘要不同不能通過數(shù)字摘要逆運算生成源數(shù)據(jù)廣泛使用HASH函數(shù)有MD-5、SHA第五章電子商務安全管理3、數(shù)字簽名概念：只有信息發(fā)送者才能產(chǎn)生的別人無法偽造的一段數(shù)字串，這段數(shù)字串同時也是對發(fā)送者發(fā)送的信息的真實性的一個證明。作用:

①確認當事人的身份，起到了簽名或蓋章的作用。②能夠鑒別信息自簽發(fā)后到收到為止是否被篡改。初始文件數(shù)字摘要數(shù)字簽名初始文件簽名文件加密簽名文件數(shù)字簽名初始文件數(shù)字摘要數(shù)字摘要一致數(shù)字信封KeyKeyB公KeyKeyB私正確初始文件KeyA私keyKey公發(fā)送方A接收方B第五章電子商務安全管理4、數(shù)字證書數(shù)字證書又稱數(shù)字憑證，就是用電子手段來證實一個用戶的身份。數(shù)字證書的內(nèi)部包括：

證書的版本號；

數(shù)字證書的序列號；

證書擁有者的姓名；

證書擁有者的公開密鑰；

公開密鑰的有效期；

簽名算法；

辦理數(shù)字證書的單位；

辦理數(shù)字證書單位的數(shù)字簽名。第五章電子商務安全管理數(shù)字證書的類型和等級（1）按應用對象分為個人用戶證書、企業(yè)用戶證書、安全郵件證書、服務器證書及代碼簽名證書（2）按業(yè)務類型分為A類證書、B類證書（3）數(shù)字證書按安全等級可分為一級證書二級證書三級證書四級證書第五章電子商務安全管理5、認證中心電子商務授權機構（CA）也稱為電子商務認證中心（CertificateAuthority）。認證中心主要任務是受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書的管理。認證機構的核心職能是發(fā)放和管理用戶的數(shù)字證書。是一個倒置樹形結構第五章電子商務安全管理RCABCAGCACCAMCAPCA第五章電子商務安全管理5.3.3安全交易協(xié)議1、安全套接層協(xié)議（SSL）1）安全套接層協(xié)議是由Netscape公司1994年設計開發(fā)的安全協(xié)議，主要用于提高應用程序之間的數(shù)據(jù)的安全系數(shù)。保證在所有安裝了SSL的客戶和服務器通信安全的協(xié)議。第五章電子商務安全管理2）提供的服務用戶和服務器的身份認證保證數(shù)據(jù)的保密性維護數(shù)據(jù)的完整性第五章電子商務安全管理4）SSL協(xié)議的評價1）不符合國務院最新頒布的《商用密碼管理條例》2）系統(tǒng)安全性差3）運行的基點是商家對客戶信息保密的承諾，有利于商家不利于客戶。第五章電子商務安全管理2.安全電子交易協(xié)議（SET）1）由VISA和MasterCard組織共同制定，1997年5月聯(lián)合推出。SET是為了在互聯(lián)網(wǎng)上進行在線交易時保證信用卡支付的安全而設立的一個開放的規(guī)范。第五章電子商務安全管理2）SET協(xié)議的目標A.保證參與各方相互隔離；B.保證信息安全傳輸；C.解決了多方認證問題；D.保證了交易的實時性；E.規(guī)范協(xié)議和消息格式。“相互隔離”是指商家不能看到客戶的帳戶和密碼信息。3）SET的工作原理消費者定單在線商店支付網(wǎng)關收單銀行發(fā)卡銀行認證中心協(xié)商確認審核確認請求確認審核批準認證認證認證第五章電子商務安全管理第五章電子商務安全管理4）SET協(xié)議中的角色①持卡人②網(wǎng)上商店③發(fā)卡銀行④收單銀行⑤支付網(wǎng)關⑥CA認證中心第五章電子商務安全管理SET不足之處：A.在交易各方安裝相應軟件、發(fā)放證書。B.協(xié)議沒有說明收單銀行給在線商店付款前，是否必須收到消費者的貨物接收證書。C.協(xié)議沒有擔?！胺蔷芙^行為”。D.沒有提及在事務處理完成后如何安全地保存或銷毀此類數(shù)據(jù)。第五章電子商務安全管理4.4.3其他安全協(xié)議用于網(wǎng)站的S-HTTP、HTTPS用于email的S/MIME、PGP、PEM用于EDI的X.402、X.435用于安全目錄檢索的X.509第五章電子商務安全管理5.3.5網(wǎng)上貿(mào)易安全防騙1.網(wǎng)上銀行常用安全手段1）軟鍵盤輸入密碼方式2）ACTIVEX控件輸入密碼方式3）動態(tài)密碼方式口令卡手機短信動態(tài)密碼鎖4）數(shù)字證書方式根據(jù)數(shù)字證書存放位置不同，分為本地下載和USBkey兩種方式。第五章電子商務安全管理2.網(wǎng)上銀行進行安全交易的方法1）設置、保護好網(wǎng)銀