電子商務(wù)安全交易體系培訓(xùn)教材課件

電子商務(wù)安全交易體系

1電子商務(wù)系統(tǒng)安全的概念

硬件安全、軟件安全、運行安全、電子商務(wù)安全立法2電子商務(wù)的安全要求

保密性、完整性、不可否認性、真實性3信息加密技術(shù)

通用密鑰密碼體制、公開密鑰密碼體制4電子商務(wù)安全交易方法

數(shù)字摘要、數(shù)字簽名、數(shù)字證書、認證中心

網(wǎng)上支付與安全交易

電子商務(wù)安全交易體系1電子商務(wù)系統(tǒng)安全的概念11電子商務(wù)系統(tǒng)安全的概念電子商務(wù)系統(tǒng)硬件安全電子商務(wù)系統(tǒng)軟件安全電子商務(wù)系統(tǒng)運行安全電子商務(wù)安全立法

網(wǎng)上支付與安全交易

1電子商務(wù)系統(tǒng)安全的概念電子商務(wù)系統(tǒng)硬件安全網(wǎng)22電子商務(wù)的安全要求信息傳輸?shù)谋Ｃ苄越灰孜募耐暾孕畔⒌牟豢煞裾J性交易者身份的真實性

網(wǎng)上支付與安全交易

2電子商務(wù)的安全要求信息傳輸?shù)谋Ｃ苄跃W(wǎng)上支付33信息加密技術(shù)加密和解密

加密是指將數(shù)據(jù)進行編碼，使它成為一種不可理解的形式，這種不可理解的內(nèi)容叫做密文。 解密是加密的逆過程，即將密文還原成原來可理解的形式。 加密和解密過程依靠兩個元素，缺一不可，這就是算法和密鑰。算法是加密或解密的一步一步的過程。在這個過程中需要一串數(shù)字，這個數(shù)字就是密鑰。

網(wǎng)上支付與安全交易

3信息加密技術(shù)加密和解密網(wǎng)上支付與安全交易43信息加密技術(shù)2、密碼系統(tǒng)的構(gòu)成

密碼系統(tǒng)的構(gòu)成如圖所示按密鑰的形式可以分為兩類：通用密鑰密碼體制和公開密鑰密

圖5-7密碼系統(tǒng)的構(gòu)成3信息加密技術(shù)2、密碼系統(tǒng)的構(gòu)成圖5-7密碼53信息加密技術(shù)3、通用密鑰密碼體制

通用密鑰密碼體制的加密密鑰Ke和解密密鑰Kd是通用的，即發(fā)送方和接收方使用同樣密鑰的密碼體制，也稱之為“傳統(tǒng)密碼體制”。

愷撒密碼：愷撒密碼是于明文的各個字母，根據(jù)它在26個英文字母表中的排列位置，按某個固定間隔n變換字母，即得到對應(yīng)的密文。這個固定間隔的數(shù)字n就是加密密鑰，也是解密密鑰。

例如英文單詞：cryptography是明文，使用密鑰n=4，加密過程如圖所示。3信息加密技術(shù)3、通用密鑰密碼體制63信息加密技術(shù)多表式密碼的算法：密鑰字串與明文同樣長度(也可不同長度)，明文中每一個字母往后移動的間隔，與它在密鑰字串中對應(yīng)的字母本身在字母表中的位置有關(guān)。

例如：對于HOWAREYOU明文，其密鑰為ENGLANDEN，具體算法如下：3信息加密技術(shù)多表式密碼的算法：73信息加密技術(shù)4、公開密鑰密碼體制

公開密鑰密碼體制的加密密鑰Ke與解密密鑰Kd不同，只有解密密鑰是保密的，稱為私人密鑰(privatekey)，而加密密鑰完全公開，稱為公共密鑰(publickey)。該系統(tǒng)也稱為“非對稱密碼體制”。

3信息加密技術(shù)4、公開密鑰密碼體制83信息加密技術(shù)Kex:X的加密密鑰，Key:X的解密密鑰，其他密鑰依次類推…….圖5-10公開密鑰密碼體制3信息加密技術(shù)Kex:X的加密密鑰，Key:X的解93信息加密技術(shù)RSA算法*利用質(zhì)因數(shù)分解的困難性開發(fā)的算法加密密鑰：e和n(公開)

解密密鑰：d和n(d值保密)加密：C=E(M)=Memodn(由明文M到密文C)解密：M=D(C)=Cdmodn(由密文C到明文M)第五章

網(wǎng)上支付與安全交易

3信息加密技術(shù)RSA算法*第五章網(wǎng)上支付與104電子商務(wù)安全交易方法1、數(shù)字摘要

數(shù)字摘要(digitaldigest)也稱安全Hash編碼法(SHA)。

該編碼法采用單向Hash函數(shù)將需加密的明文“摘要”成一串128bit的密文，這一串密文也稱為數(shù)字指紋(FingerPrint)，它有固定的長度，且不同的明文摘要成密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。

4電子商務(wù)安全交易方法1、數(shù)字摘要114電子商務(wù)安全交易方法2、數(shù)字簽名數(shù)字簽名(digitalsignature)與書面文件簽名有相同之處，作用如下：其一，信息是由簽名者發(fā)送的；其二，信息自簽發(fā)后到收到為止未曾作過任何修改。原理如圖所示4電子商務(wù)安全交易方法2、數(shù)字簽名原理如圖所示124電子商務(wù)安全交易方法3、數(shù)字時間戳

數(shù)字時間戳服務(wù)(DTS，DigitalTimestampService)提供電子文件發(fā)表時間的安全保護。時間戳是一個經(jīng)加密后形成的憑證文檔，它包括三個部分：一是需加時間戳的文件的摘要；二是DTS收到文件的日期和時間；三是DTS的數(shù)字簽名。

4電子商務(wù)安全交易方法3、數(shù)字時間戳133、數(shù)字時間戳 時間戳產(chǎn)生的過程為：用戶首先將需要加時間戳的文件用HASH編碼加密形成摘要，然后將該摘要發(fā)送到DTS，DTS在加入了收到文件摘要的日期和時間信息后，再對該文件加密(數(shù)字簽名)，然后送回用戶。3、數(shù)字時間戳145數(shù)字證書與認證中心1、數(shù)字證書原理

數(shù)字證書(digitalID)又稱為數(shù)字憑證，數(shù)字標識，是一個經(jīng)證書認證機構(gòu)（CA）數(shù)字簽名的包含用戶身份信息以及公開密鑰信息的電子文件，是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源訪問的權(quán)限。是各實體(消費者、商戶/企業(yè)、銀行等)在網(wǎng)上進行信息交流及商務(wù)活動的電子身份證。5數(shù)字證書與認證中心1、數(shù)字證書原理155數(shù)字證書與認證中心2、數(shù)字證書的類型個人憑證(PersonalDigitalID)： 它僅僅為某一個用戶提供憑證，以幫助其個人在網(wǎng)上進行安全交易操作。個人身份的數(shù)字證書通常是安裝在客戶端的瀏覽器內(nèi)的。并通過安全的電子郵件來進行交易操作。5數(shù)字證書與認證中心2、數(shù)字證書的類型162、數(shù)字證書的類型企業(yè)(服務(wù)器)憑證(ServerID)： 它通常為網(wǎng)上的某個Web服務(wù)器提供憑證，擁有Web服務(wù)器的企業(yè)就可以用具有憑證的萬維網(wǎng)站點(WebSite)來進行安全電子交易。有憑證的Web服務(wù)器會自動地將其與客戶端Web瀏覽器通信的信息加密。2、數(shù)字證書的類型172、數(shù)字證書的類型軟件(開發(fā)者)憑證(DeveloperID)： 它通常為因特網(wǎng)中被下載的軟件提供憑證，該憑證用于和微軟公司Authenticode技術(shù)(合法化技術(shù))結(jié)合的軟件，以使用戶在下載軟件時能獲得所需的信息。數(shù)字證書由認證中心發(fā)行。2、數(shù)字證書的類型185數(shù)字證書與認證中心3、認證中心認證中心(CA，CertificationAuthority)就是承擔網(wǎng)上安全電子交易認證服務(wù)、簽發(fā)數(shù)字證書、并能確認用戶身份的服務(wù)機構(gòu)。中國協(xié)卡認證體系中國金融認證中心廣東省電子商務(wù)認證中心湖北省電子商務(wù)認證中心美國的Verisign第五章

網(wǎng)上支付與安全交易

5數(shù)字證書與認證中心3、認證中心第五章網(wǎng)上支付與195數(shù)字證書與認證中心4、認證中心的作用證書的頒發(fā)、更新、查詢、作廢和歸檔。

證書的頒發(fā) 認證中心接收、驗證用戶(包括下級認證中心和最終用戶)的數(shù)字證書的申請，將申請的內(nèi)容進行備案，并根據(jù)申請的內(nèi)容確定是否受理該數(shù)字證書申請。5數(shù)字證書與認證中心4、認證中心的作用205數(shù)字證書與認證中心4、認證中心的作用證書的頒發(fā)、更新、查詢、作廢和歸檔。

證書的更新

認證中心可以定期更新所有用戶的證書，或者根據(jù)用戶的請求來更新用戶的證書。

證書的查詢

認證中心根據(jù)用戶的請求返回適當?shù)淖C書。5數(shù)字證書與認證中心4、認證中心的作用215數(shù)字證書與認證中心4、認證中心的作用證書的頒發(fā)、更新、查詢、作廢和歸檔。

證書的作廢

當用戶的私鑰由于泄密等原因造成用戶證書需要申請作廢時，用戶需要向認證中心提出證書作廢的請求，認證中心根據(jù)用戶的請求確定是否將該證書作廢。另外一種證書作廢的情況是證書已經(jīng)過了有效期，認證中心自動將該證書作廢。5數(shù)字證書與認證中心4、認證中心的作用225數(shù)字證書與認證中心4、認證中心的作用證書的頒發(fā)、更新、查詢、作廢和歸檔。

證書的歸檔

證書具有一定的有效期，證書過了有效期之后就將作廢，但是我們不能將作廢的證書簡單地丟棄，因為有時我們可能需要驗證以前的某個交易過程中產(chǎn)生的數(shù)字簽名，這時我們就需要查詢作廢的證書。5數(shù)字證書與認證中心4、認證中心的作用235數(shù)字證書與認證中心5、認證的分級體系

CA證書是通過信任分級體系來驗證的，每一種證書與簽發(fā)它的單位相聯(lián)系，沿著該信任樹直到一個公認可信賴的組織，就可以確定證書的有效性。5數(shù)字證書與認證中心5、認證的分級體系

245數(shù)字證書與認證中心圖5-12CA證書信任分級體系5數(shù)字證書與認證中心圖5-12CA證書信任分255數(shù)字證書與認證中心6、數(shù)字證書申請責任書

數(shù)字證書是用于標識在網(wǎng)上交易和網(wǎng)上作業(yè)的身份。為確保電子商務(wù)和網(wǎng)上作業(yè)中，能正確標識身份，認證體系為個人、單位持卡人、商戶、支付網(wǎng)關(guān)發(fā)放數(shù)字證書。所有用戶必須遵循一定的規(guī)程。5數(shù)字證書與認證中心6、數(shù)字證書申請責任書

267、綜合應(yīng)用

數(shù)字摘要、數(shù)字簽名、數(shù)字時間戳、數(shù)字證書、認證中心以及信息加密，是安全電子交易常用的6種手段。各種手段常常結(jié)合在一起使用，從