《電子商務》課件-電子商務文件安全與保護

電子商務文件安全與保護2024/12/27電子商務的技術基礎2一、電子商務系統(tǒng)的安全問題1、安全隱患2、安全需求二、電子商務的安全技術1、病毒防范2、黑客防范3、認證技術4、安全協(xié)議2024/12/27電子商務的技術基礎3一、電子商務系統(tǒng)的安全問題

互聯(lián)網(wǎng)安全嗎？故事一：2004年12月7日，互聯(lián)網(wǎng)上出現(xiàn)了一個假的中國銀行網(wǎng)站，行標、欄目、新聞、地址，樣樣齊全，內蒙古呼和浩特一市民，因登錄了這個假網(wǎng)站，卡里的2.5萬元莫名其妙地不見了。隨后不久，假中國工商銀行、假銀聯(lián)、假農業(yè)銀行相繼出現(xiàn)，一時間網(wǎng)上銀行的安全話題成了網(wǎng)上熱議的焦點。同時，黑客入侵、病毒的襲擊也迅速增長。據(jù)統(tǒng)計，現(xiàn)在我國計算機病毒感染率仍然在70%以上。2024/12/27電子商務的技術基礎4故事二：世紀末的“二月黑客潮”2000年2月7日到9日，一伙神通廣大的神秘黑客在三天的時間里接連襲擊了互聯(lián)網(wǎng)上包括雅虎、美國有線新聞等在內的五個最熱門的網(wǎng)站，造成這些網(wǎng)站癱瘓長達數(shù)個小時“拒絕服務”。不停發(fā)送垃圾信息來阻止正常訪問。1999年6月，eBay網(wǎng)站因遭黑客襲擊而癱瘓了整整22個小時，從而使公司的股值在五天的時間內損失了26%！去年11月，該網(wǎng)站在三天的時間內因遭黑客襲擊再次癱瘓4個多小時。此后，公司被迫投資1800萬美元用于改善網(wǎng)絡的安全運作。我國：2000年春天，有人利用普通的技術，從電子商務網(wǎng)站竊取到8萬個信用卡號和密碼，標價26萬元出售。2024/12/27電子商務的技術基礎5我國歷年計算機病毒感染率

2016年83.98%

2017年85.57%

2018年87.93%

2019年80

%

2020年74%2024/12/27電子商務的技術基礎6故事三：熊貓燒香病毒

經(jīng)歷了幾次大規(guī)模爆發(fā)后，“熊貓燒香”掀起了電腦病毒蔓延的狂潮，成為眾多電腦用戶談之色變的詞匯?！度鹦?006安全報告》將其列為十大病毒之首，它的蔓延拷問著網(wǎng)絡的公共安全。犯罪嫌疑人李俊今年25歲，是武漢人，2004年畢業(yè)后，李俊曾多次到北京、廣州等地尋找工作，尤其鐘情于網(wǎng)絡安全公司，但均未成功。為了泄憤，李俊開始編寫病毒，2003年曾編寫過“武漢男生”病毒，2005年編寫了“武漢男生2005”病毒及“QQ尾巴”病毒。

李俊交代，他編寫“熊貓燒香”還具有強烈的商業(yè)目的：可以暗中盜取用戶游戲賬號、QQ賬號，以供出售牟利，還可以控制受感染電腦，暗中訪問一些按訪問流量付費的網(wǎng)站，從而獲利。部分變種中還含有盜號木馬。2024/12/27電子商務的技術基礎71．電子商務中存在的安全隱患

數(shù)據(jù)被非法截獲、讀取或者修改

冒名頂替和否認行為未經(jīng)授權訪問其他網(wǎng)絡計算機病毒2024/12/27電子商務的技術基礎8數(shù)據(jù)的非法截獲、讀取或者修改信源信宿(a)正常信源信宿(b)中斷信源信宿(c)截獲第三者信源信宿(d)篡改第三者2024/12/27電子商務的技術基礎9冒名頂替和否認行為信源信宿冒名頂替第三者不是我們買的！2024/12/27電子商務的技術基礎102．電子商務的安全性需求（1）交易者身份的可認證性（2）信息的保密性（3）信息的完整性（4）信息的不可抵賴（不可否認）性（5）不可偽造性2024/12/27電子商務的技術基礎11二、電子商務的安全技術1、病毒防范

2、黑客防范

3、認證技術

4、安全協(xié)議

2024/12/27電子商務的技術基礎121、病毒防范（1）常見的計算機病毒宏病毒引導型病毒腳本病毒文件型病毒特洛伊木馬2024/12/27電子商務的技術基礎13（2）病毒防范措施利用殺毒軟件定期監(jiān)測計算機建立嚴格的計算機使用制度不隨便打開網(wǎng)頁、謹慎下載軟件，不打開來歷不明的電子郵件等2024/12/27電子商務的技術基礎142、黑客（HACKER)防范定義：“非法入侵者”；駭客和竊客起源：60年代目的：基于興趣非法入侵基于利益非法入侵報復2024/12/27電子商務的技術基礎15有名的黑客

凱文·米特尼克KevinMitnick網(wǎng)絡世界迷失的男孩第一個在FBI“MostWanted”榜上有名的黑客。米特尼克首次被宣判有罪是因為非法侵入DigitalEquipment公司的計算機網(wǎng)絡，并竊取軟件。之后的兩年半時間里，米特尼克展開了瘋狂的黑客行動。他開始侵入計算機，破壞電話網(wǎng)絡，竊取公司商業(yè)秘密，并最終闖入了美國國防部預警系統(tǒng)。最終，他因為入侵計算機專家、黑客TsutomuShimomura的家用計算機而落網(wǎng)。在長達5年零8個月的單獨監(jiān)禁之后，米特尼克現(xiàn)在的身份是一位計算機安全作家、顧問和演講者。2024/12/27電子商務的技術基礎16TsutomuShimomura在SanDiego超級計算機中心從事計算物理和計算機安全的專家。二個月后，Tsutomu追蹤到Mitnick的位置。1995年2月15日在NorthCarolina的Raleigh,Mitnick被FBI逮捕。2024/12/27電子商務的技術基礎17RobertTappanMorris

莫里斯的父親是前美國國家安全局的一名科學家。莫里斯是莫里斯蠕蟲的制造者，這是首個通過互聯(lián)網(wǎng)傳播的蠕蟲。正因為如此，他成為了首位依據(jù)1986年《計算機欺詐和濫用法》被起訴的人。1988年，莫里斯在康奈爾大學就讀期間制作了蠕蟲，當時的目的僅僅是探究互聯(lián)網(wǎng)有多大。然而，莫里斯蠕蟲以無法控制的方式自我復制，造成很多計算機死機。據(jù)專家稱，約有6000臺計算機遭到破壞。他最后被判處3年緩刑、400小時社區(qū)服務和1.05萬美元罰款。

莫里斯目前是麻省理工大學計算機科學和人工智能實驗室的一名終身教授，主攻方向是計算機網(wǎng)絡架構。2024/12/27電子商務的技術基礎18凱文·鮑爾森

KevinPoulsen鮑爾森經(jīng)常被稱為“黑暗但丁”，他因非法入侵洛杉磯KIIS-FM電話線路而全美聞名，同時也因此獲得了一輛保時捷汽車。就連美國聯(lián)邦調查局(FBI)也開始追查鮑爾森，因為他闖入了FBI數(shù)據(jù)庫和聯(lián)邦計算機，目的是獲取敏感的竊聽信息。鮑爾森的專長是入侵電話線路，他經(jīng)常占據(jù)一個基站的全部電話線路。鮑爾森還經(jīng)常重新激活黃頁上的電話號碼，并提供給自己的伙伴用于出售。他最終在一家超市被捕，并被處以五年監(jiān)禁。在監(jiān)獄服刑期間，鮑爾森擔任了《連線》雜志的記者，并升任高級編輯。2024/12/27電子商務的技術基礎19阿德里安·拉莫

AdrianLamo拉莫專門找大公司或組織下手，例如入侵微軟和《紐約時報》的內部網(wǎng)絡。他經(jīng)常利用咖啡店、金考復印店或圖書館的網(wǎng)絡來從事黑客行為，因此他獲得了一個“不回家的黑客”的綽號。拉莫經(jīng)常能發(fā)現(xiàn)安全漏洞，并對其加以利用。通常情況下，他會通知企業(yè)有關漏洞的信息。在拉姆的受害者名單上包括雅虎、花旗銀行、美洲銀行和Cingular等知名公司。由于侵入《紐約時報》內部網(wǎng)絡，拉莫成為頂尖數(shù)碼罪犯之一。也正是因為這一罪行，他被處以6.5萬美元罰款，以及六個月家庭禁閉和兩年緩刑。拉莫現(xiàn)在是一位著名公共發(fā)言人，同時還是一名獲獎記者。2024/12/27電子商務的技術基礎20喬納森·詹姆斯

JonathanJames

在16歲時，詹姆斯成為了第一名因為黑客行為而被送入監(jiān)獄的未成年人，并因此惡名遠播。他此后承認自己當初只是為了好玩和尋求挑戰(zhàn)。詹姆斯曾經(jīng)入侵過很多著名組織，包括美國國防部下設的國防威脅降低局。通過此次黑客行動，他可以捕獲用戶名和密碼，并瀏覽高度機密的電子郵件。詹姆斯還曾入侵過美國宇航局的計算機，并竊走價值170萬美元的軟件。據(jù)美國司法部長稱，他所竊取的軟件主要用于維護國際空間站的物理環(huán)境，包括對濕度和溫度的控制。當詹姆斯的入侵行為被發(fā)現(xiàn)后，美國宇航局被迫關閉了整個計算機系統(tǒng)，并因此花費了納稅人的4.1萬美元。目前，詹姆斯正計劃成立一家計算機安全公司。2024/12/27電子商務的技術基礎21VladimirLevin領導了第一次網(wǎng)絡銀行搶劫。Levin是St.Petersburg’sTekhnologicheskyUniversity的生物化學的研究生。Levin在英國倫敦使用筆記本電腦訪問CITIBANK網(wǎng)絡，得到了大量的客戶代碼和口令。在數(shù)周時間內通過18次登錄，共計將$3.7m的資金轉移到theUnitedStates,Finland,theNetherlands,Germany,andIsrael等由他控制的帳戶中。CITIBANK發(fā)現(xiàn)了這一情況并馬上報警，1995年3月Levin在倫敦希思羅機場被捕。CITIBANK只追回了$400,000。2024/12/27電子商務的技術基礎22黑客防范（1）安全評估技術黑客ping入安全性檢查：系統(tǒng)漏洞、網(wǎng)絡設置、系統(tǒng)設置等等2024/12/27電子商務的技術基礎23（2）防火墻技術

防火墻是指一個由軟件和硬件設備組合而成，在Intranet和Internet之間構筑的一道屏障，用于加強內部網(wǎng)絡和公共網(wǎng)絡之間安全防范的系統(tǒng)。目前使用的防火墻主要可分為包過濾型和應用網(wǎng)關型兩種類型。2024/12/27電子商務的技術基礎24防火墻外部WWW客戶客戶機Intranet數(shù)據(jù)庫電子郵件服務器Web服務器由軟件系統(tǒng)和硬件設備組合而成的，在內外部之間的保護屏障2024/12/27電子商務的技術基礎25包過濾型防火墻包過濾型防火墻往往可以用一臺過濾路由器來實現(xiàn)，對所接收的每個數(shù)據(jù)包做允許或拒絕的決定。包過濾路由器型防火墻的優(yōu)點：處理包的速度要比代理服務器快；包過濾路由器型防火墻的缺點：防火墻的維護比較困難等過濾路由器Internet內部網(wǎng)絡2024/12/27電子商務的技術基礎26雙宿網(wǎng)關防火墻雙宿網(wǎng)關是一種擁有兩個連接到不同網(wǎng)絡上的網(wǎng)絡接口的防火墻。兩個網(wǎng)絡之間的通信可通過應用層數(shù)據(jù)共享或應用層代理服務來完成。所以為了保證內部網(wǎng)的安全，雙重宿主主機應具有強大的身份認證系統(tǒng)，才可以阻擋來自外部不可信網(wǎng)絡的非法登錄。NIC代理服務器NICInternet內部網(wǎng)絡2024/12/27電子商務的技術基礎27防火墻的安全策略有兩種：（1）凡是沒有被列為允許訪問的服務都是被禁止的。（2）凡是沒有被列為禁止訪問的服務都是被允許的。2024/12/27電子商務的技術基礎28（3）入侵監(jiān)測用單一防火墻產品作為阻止黑客攻擊的一種手段，越來越局限性，主要體現(xiàn)在：防火墻無法附上內部人員所做的攻擊，對信息流的控制缺乏靈活性，在攻擊發(fā)生后，利用防火墻保存的信息難以調查和取證，為了解決這些問題，就產生了IDS入侵檢測系統(tǒng)。入侵檢測系統(tǒng)如同網(wǎng)絡中的雷達，只要在一個網(wǎng)絡中安入一臺或多臺入侵檢測引擎，就可以監(jiān)視整個網(wǎng)絡的情況，在黑客攻擊造成破壞之前，預先發(fā)出警報，由于本身自成體系，因此不會給原系統(tǒng)和網(wǎng)絡增加負擔。2024/12/27電子商務的技術基礎29

部分告之：在網(wǎng)上交易中將最關鍵的數(shù)據(jù)略去，再告之。另行確認：交易后，用電子郵件對交易進行確認。在線服務：用企業(yè)提供的內部網(wǎng)來提供聯(lián)機服務。電子商務中為保障信息安全早期曾采用過的方法3、認證技術 2024/12/27電子商務的技術基礎30認證技術（1）信息加密技術（2）信息摘要技術（3）數(shù)字簽名（4）CA認證2024/12/27電子商務的技術基礎31（1）信息加密技術

1）密鑰的概念將明文數(shù)據(jù)進行某種變換，使其成為不可理解的形式，這個過程就是加密，這種不可理解的形式稱為密文。解密是加密的逆過程，即將密文還原成明文。加密和解密必須依賴兩個要素，這兩個要素就是算法和密鑰。算法是加密和解密的計算方法；密鑰是加密和加密所需的一串數(shù)字。2024/12/27電子商務的技術基礎32例如：將字母a，b，c，d，e，…x，y，z的自然順序保持不變，但使之與D，E，F(xiàn)，G，H，…，Y，Z，A，B分別對應（即相差3個字符）。若明文為and，則對應密文為DQG。（接收方知其密碼為3，它就能解開此密文）。2024/12/27電子商務的技術基礎332）對稱加密技術a.在首次通信前，雙方必須通過除網(wǎng)絡以外的另外途徑傳遞統(tǒng)一的密鑰。b.當通信對象增多時，需要相應數(shù)量的密鑰。

c.對稱加密是建立在共同保守秘密的基礎之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會造成密鑰的失效，存在著潛在的危險和復雜的管理難度。2024/12/27電子商務的技術基礎34對稱密鑰DES

dataencryptionstandard信息明文信息密文加密信息密文信息明文解密SR網(wǎng)絡2024/12/27電子商務的技術基礎353）非對稱加密技術（公—私鑰加密技術RSA)

非對稱加密技術采用RSA算法，加密和解密使用兩把密鑰，一把稱公鑰，另一把稱私鑰，兩把密鑰實際上是兩個很大的質數(shù)，用其中的一個質數(shù)與明文相乘，可以加密得到密文；用另一個質數(shù)與密文相乘可以解密，但不能用一個質數(shù)求得另一個質數(shù)。

2024/12/27電子商務的技術基礎36信息明文信息密文公鑰加密信息密文信息明文私鑰解密SR網(wǎng)絡2024/12/27電子商務的技術基礎37信息明文信息密文私鑰加密信息密文信息明文公鑰解密SR網(wǎng)絡2024/12/27電子商務的技術基礎38（2）信息摘要技術信息摘要過程

Hash算法

原文

摘要

摘要

對比？

原文

摘要

Internet

Hash算法

發(fā)送方

接收方

2024/12/27電子商務的技術基礎39(3)數(shù)字簽名

數(shù)字簽名過程

Hash

算法

原文

摘要

摘要

對比？

原文

摘要

Internet

發(fā)送方

接收方

Hash算法

數(shù)字

簽名

發(fā)送者

私鑰加密

數(shù)字

簽名

發(fā)送者

公鑰解密

2024/12/27電子商務的技術基礎40(4)數(shù)字證書與CA認證

1．數(shù)字證書（DigitalCertificate或DigitalID）數(shù)字證書采用公－私鑰密碼體制，每個用戶擁有一把僅為本人所掌握的私鑰，用它進行信息解密和數(shù)字簽名；同時擁有一把公鑰，并可以對外公開，用于信息加密和簽名驗證。數(shù)字證書可用于：發(fā)送安全電子郵件、訪問安全站點、網(wǎng)上證券交易、網(wǎng)上采購招標、網(wǎng)上辦公、網(wǎng)上保險、網(wǎng)上稅務、網(wǎng)上簽約和網(wǎng)上銀行等安全電子事務處理和安全電子交易活動。

2024/12/27電子商務的技術基礎412．數(shù)字證書的內容數(shù)字證書包括以下內容：l

證書擁有者的姓名；l

證書擁有者的公鑰；l

公鑰的有限期；l

頒發(fā)數(shù)字證書的單位；l

頒發(fā)數(shù)字證書單位的數(shù)字簽名；l

數(shù)字證書的序列號等。2024/12/27電子商務的技術基礎42查看證書內容（1）2024/12/27電子商務的技術基礎43查看證書內容（2）2024/12/27電子商務的技術基礎44查看證書內容（3）2024/12/27電子商務的技術基礎453．認證中心CA（CertificateAuthority）（1）認證中心的功能：核發(fā)證書、管理證書、搜索證書、驗證證書（2）CA的樹形驗證結構2024/12/27電子商務的技術基礎46CA的樹形結構2024/12/27電子商務的技術基礎47（3）國內外CA中心簡介國外常見的CA有VeriSign、GTECyberTrust、Thawte等。國內常見的CA有

中國商務在線l中國數(shù)字認證網(wǎng)（），數(shù)字認證，數(shù)字簽名，CA認證，CA證書，數(shù)字證書，安全電子商務。l北京數(shù)字證書認證中心

（），為網(wǎng)上電子政務和電子商務活動提供數(shù)字證書服務。2024/12/27電子商務的技術基礎484．數(shù)字證書的類型數(shù)字證書主要有以下類型：（1）個人數(shù)字證書（2）單位證書（3）軟件數(shù)字證書2024/12/27電子商務的技術基礎495．數(shù)字證書的申請（1）下載并安裝根證書（2）申請證書（3）將個人身份信息連同證書序列號一并郵寄到中國數(shù)字認證網(wǎng)2024/12/27電子商務的技術基礎50下載根證書（1）2024/12/27電子商務的技術基礎51下載根證書（2）2024/12/27電子商務的技術基礎52安裝根證書（1）2024/12/27電子商務的技術基礎53安裝根證書（2）2024/12/27電子商務的技術基礎54查看根證書2024/12/27電子商務的技術基礎55申請個人免費證書2024/12/27電子商務的技術基礎56下載個人證書2024/12/27電子商務的技術基礎57查看個人證書2024/12/27電子商務的技術基礎58案例2：數(shù)字證書在網(wǎng)上招標系統(tǒng)中的應用(1)網(wǎng)上招標是指在公網(wǎng)上利用電子商務基礎平臺提供的安全通道進行招標項目中各種信息的傳遞和處理，包括招標信息的公布、標書的發(fā)放、應標書的收集、投標結果的通知以及項目合同或協(xié)議的簽訂等完整的過程。網(wǎng)上招標有公開招標和邀請招標兩種招標方式，對招標方提供發(fā)布招標公告、發(fā)布招標邀請、發(fā)布中標信息、電子標書管理、標箱管理等功能；對投標方提供招標信息查詢、在線投標、在線購買標書等功能2024/12/27電子商務的技術基礎59數(shù)字證書在網(wǎng)上招標系統(tǒng)中的應用(2)身份確定？傳輸安全？抵賴？2024/12/27電子商務的技術基礎60數(shù)字證書在網(wǎng)上招標系統(tǒng)中的應用(3)招投標雙方在CA中心獲得客戶端事務型證書，并在Web服務器上綁定服務器端證書，同時在服務器端和客戶端建立SSL通道。在網(wǎng)上招標系統(tǒng)中設置Email服務器，并在Email服務器上設定專門的用戶帳號接收投標機構的附有標書的安全電子郵件。投標用戶將投標書利用安全電子郵件（簽名/加密，S/MIME協(xié)議）發(fā)送給招標方設定的郵箱中2024/12/27電子商務的技術基礎61電子商務安全協(xié)議1．安全套接層協(xié)議SSL（SecureSocketsLayer）

是由Netscape公司開發(fā)的為實現(xiàn)網(wǎng)上客戶機和服務器之間文件的安全傳輸而推出的傳輸層安全協(xié)議。

SSL提供的安全服務：

(1)加密信息：對發(fā)送的數(shù)據(jù)進行加密處理

(2)保證信息的完整性：數(shù)據(jù)傳輸過程沒有改變

(3)提供較完善的認證服務：認證客戶和服務器，確信信息能發(fā)到正確的客戶機和服務器。2024/12/27電子商務的技術基礎62SSL的會話過程

（1）接通階段：客戶機通過網(wǎng)絡向服務器打招呼，服務器回應；（2）密碼交換階段：客戶機與服務器之間交換雙方認可的公鑰，一般選用RSA密碼算法；

（3）會話密碼階段：客戶機器與服務器間產生彼此會話專用秘鑰；

（4）檢驗階段：客戶機檢驗服務器取得的密鑰；服務器驗證客戶機的可信度；

（5）會話階段：雙方使用專用秘鑰進行會話；

（6）結束階段：客戶機與服務器之間相互交換結束的信息。

2024/12/27電子商務的技術基礎63在eCoin上在登陸（Login）用戶名時即進入SSL安全連接。在eCoin上連接交換敏感信息的頁面

2024/12/27電子商務的技術基礎64

這時瀏覽器發(fā)出安全警報，開始建立安全連接，。同時驗證安全證書，。用戶單擊“確定”鍵即進入安全連接。

瀏覽器開始建立安全連接瀏覽器驗證服務器安全證書2024/12/27電子商務的技術基礎65

該圖顯示在eCoin上的安全連接已經(jīng)建立，瀏覽器右下角狀態(tài)欄的鎖型圖案表示用戶通過網(wǎng)頁傳輸?shù)挠脩裘兔艽a都將通過加密方式傳送。2024/12/27電子商務的技術基礎66

當加密方式傳送結束后，瀏覽器會離開交換敏感信息的頁面，自動斷開安全連接。2024/12/27電子商務的技術基礎672．安全電子交易協(xié)議SET（SecureElectronicTransaction）安全電子交易(SecureElectronicTransaction)協(xié)議是由VISA、MasterCard兩大信用卡公司以及IBM等公司共同推出的用于開放網(wǎng)絡進行安全資金支付的技術標準初衷是將傳統(tǒng)的信用卡交易模式移植到互聯(lián)網(wǎng)上，同時又保證這種新的交易方式有足夠的安全性SET協(xié)議要解決持卡人、商家和銀行三角關系的單向或雙向的安全數(shù)據(jù)傳輸和對方身份認證等一系列安全問題。2024/12/27電子商務的技術基礎68SET協(xié)議中的角色消費者：通過計算機與商家交流，通過發(fā)卡機構頒發(fā)的付款卡（如信用卡和借記卡）進行結算發(fā)卡機構：為每個用戶頒發(fā)付款卡，保證對每一筆交易的付款商家：提供商品和服務銀行：在線交易的商家必須在銀行開立帳號，并且處理支付寺上的認證與支付支付網(wǎng)關：將INTERNET的數(shù)據(jù)轉化為金融機構內部的數(shù)據(jù)的設備，或指派第三方處理商家支付信息和顧客的支付指令2024/12/27電子商務的技術基礎69SET協(xié)議的參與對象將INTERNET的數(shù)據(jù)轉化為金融機構內部的數(shù)據(jù)的設備，或指派第三方處理商家支付信息和顧客的支付指令2024/12/27電子商務的技術基礎70最主要的目標 信息在INTERNET上安全的傳輸，不為黑客所竊聽訂單信息和個人帳號信息隔離消費者和商家相互認證，以確定對方