资源预览内容
第1页 / 共78页
第2页 / 共78页
第3页 / 共78页
第4页 / 共78页
第5页 / 共78页
第6页 / 共78页
第7页 / 共78页
第8页 / 共78页
第9页 / 共78页
第10页 / 共78页
亲,该文档总共78页,到这儿已超出免费预览范围,如果喜欢就下载吧!
资源描述
第四章 电子商务安全技术,本章介绍电子商务系统安全的概念、基本要求、常用的安全技术以及主要的安全标准,内容提要,4.1电子商务的安全概念4.2加密学基础4.3电子商务安全协议技术4.4电子商务的安全框架,4.1电子商务的安全概念,电子商务的安全威胁电子商务的安全需求电子商务安全技术,电子商务的安全威胁,电脑犯罪: 50个国家有信息恐怖组织,计算机 犯罪增长率152%,银行抢劫案件 减少,英国网络解密专家小组,美 国第三方密钥管理, 巨大损失: 66万美元/每次计算机犯罪, 26美 元/每次抢劫,国防,银行,证券 网络战争: 中美网络之战,电子商务安全,网络面临的不安全因素越来越多向CERT(计算机紧急反应组,最早由卡内基.梅隆大学建议成立)报告的计算机攻击事件,电子商务安全,攻击方式越来越多 美国CSI(计算机安全局)2000年报告:11%金融诈骗;17的数据或者网络破坏20的专有数据盗窃25的外部入侵27的拒绝服务71%的内部人员未经授权访问85的病毒攻击,电子商务安全,1、攻击手段越来越平民化,技术要求越来越低 原因:广泛传播的免费入侵工具和代码2、安全性和易用性之间的矛盾3、安全性受到的市场压力(软件开发商只注意产品特性而忽视安全特性)4、安全的系统问题:各个环节都可以是被攻击的对象,电子商务安全,常见的安全问题:常见的安全问题:1)电子伪装(换IP)电子伪装是指某人装成他人或者将某个网站最优秀的虚拟浏览器:捍卫绝对隐私!.htm,电子商务安全,2)垃圾邮件: 垃圾邮件小知识:英文又称为:Spam。Spam 是美国的一种肉质罐头,由Hormel公司生产。而作为垃圾代名词的来源是Monty Python 的著名的歌曲 spam-loving vikings sketch。1994年12月开始指代垃圾邮件。(新世纪国庆:美国食品节,SPARM)垃圾邮件就是那些你并不希望收到,并且你也没有订阅过,但却被人利用电子邮件的特点强行塞入你的邮箱的商业广告,产品介绍,发财之道等内容的电子邮件。垃圾邮件一次发给很多人,在Internet上同时传送很多副本。通常归为两类:强行塞入的商业邮件和大体积邮件炸弹。,电子商务安全,(1)让收信人发送收条。厌恶指数:10 (2)自动弹出网页。厌恶指数:10(3)邮件携带病毒。厌恶指数:10(4)重复发送,同样信息每天发送5次以上。厌恶指数:9(5)将发信人设为收信人一样的邮件地址。厌恶指数:8(6)贩卖电子邮件地址或者收集邮件地址软件。厌恶指数:8(7)具有欺骗性或者故弄玄虚的邮件主题和内容。厌恶指数:7(8)隐藏发件人地址。厌恶指数:6,电子商务安全,利用垃圾邮件(未经证实,PCONLINE 2003.01.13报道):03年,美国媒体报道,美国政府利用垃圾邮件狂轰乱炸伊拉克政府官员的邮箱,要求他们提供信息给联合国特别小组哪里隐藏有大规模杀伤性武器,以及采取行动保护自己的家人云云。 搞笑:是美国很多的私人网站纷纷发表声明表示愿意提供反垃圾邮件的技术支援,如果伊拉克官方向他们寻求帮助的话,电子商务安全,3)拒绝访问人海战术 起因:2001.4.1海南撞机事件:4月1日上午,美国一架军用侦察机在中国海南岛东南海域上空活动时,撞毁中方对其进行跟踪监视的一架军用飞机。事发后,美机未经中方允许,擅自侵入中国领空,并降落在海南陵水军用机场 2002年中美黑客战争.doc,电子商务安全,电子商务需要考虑的基本安全问题对于用户:如何确保该网站服务器是由合法公司拥有并运作用户如何才能知道网页中的表格和内容不包含恶意代码或者危险内容用户如何才能知道自己提供的信息不被提供给别的机构和人员对于公司:如何才能知道用户不会入侵服务器并更改内容如何才能知道在服务器和浏览器传递过程中不被更改,电子商务安全,其他安全问题: 认证:登陆到一个网站如何确保它不是假的,收到一封邮件如何确保是署名者发出的。 授权:某人或者某程序经过认证后是否有权访问相应的资源或者特定数据 审查:当个人、程序访问网站、数据库时,其相关信息是否已经记录到日志中。审查可以帮助管理人员追踪特定的操作。 完整性:数据受到保护,而不会在传输、存储过程中被偶然破坏或者有意变更。 可获得性:授权用户可以顺利的访问需要的资源 防抵赖:需要签名,电子商务法律环境,1、我国电子商务的主要法规问题电子商务操作规范1)电子合同成立的形式及效力2)数字签字、认证及公共钥匙设施3)电子支付4)电子邮件广告5)电子商务特定区域,电子商务法律环境,电子商务的安全法规1)用户隐私权2)加密和解密系统3)安全性认证4)计算机犯罪信息基础设施和市场准入法规1)电信市场的有效竞争2)政府与服务商的角色3)三网融合,电子商务法律环境,电子商务中的知识产权保护1)网上著作权2)网上商标的保护司法管辖及法律冲突跨国际的业务电子商务中的赋税和关税NAPSTER.DOC,电子商务法律环境,2、我国电子商务的立法框架1)网络环境:互联网运行管理法律、信息基础设施建设、电子商务技术标准2)金融服务体系:电子货币、银行3)安全保证体系:电子认证中心(CA)、支付中心(PC)4)管理与服务体系:电子数据交换管理、电子税收5)知识产权保护6)其他相关法律法规,电子商务法律环境,3、电子商务交易方面的法规国际惯例:1)联合国贸易法委员会电子商业示范法2)经合组织(OECD)关于电子商务中消费者保护指南的建议3)服务贸易总协定电讯服务的附件4)国际海事委员会电子提单规则,电子商务法律环境,国内法规1)中国人民银行网上银行业务管理暂行办法20032)文化部关于加强互联网上网服务场所连锁经营管理的通知3)关于开展网络广告经营登记试点的通知4)文化部关于音响制品网上经营活动有关问题的通知,电子商务法律环境,地方法规广东省电子交易条例北京:电子商务监督管理暂行办法经营性网站备案登记管理暂行办法北京市网络广告管理暂行办法关于对利用电子邮件发送商业信息的行为进行规范的通告,电子商务法律环境,上海:上海营业执照副本网络版管理试行办法上海电子商务价格管理暂行办法上海国际经贸电子数据交换收费规则上海国际经贸电子数据交换管理规定,电子商务法律环境,4、电子商务安全方面的法规国际1)联合国贸易法委员会电子签名统一规则(草案)2)联合国贸易法委员会电子签名统一规则附条例指南3)经合组织(OECD)关于电子商务中消费者保护指南的建议,电子商务法律环境,国内法规1)信息技术安全标准目录2)商用密码研制合生产单位名单3)关于通过邮寄方式办理计算机安全专用产品销售许可证的通知4)中国互联网行业自律公约5)维护互联网安全的决定(全国人大常委2000),电子商务法律环境,5、电子商务知识产权方面的法规国际规则ICANN:统一域名争议解决政策ICANN:统一域名争议解决办法程序规则,电子商务法律环境,国内:1)著作权行政处罚实施办法2)中国互联网信息中心域名争议解决办法程序规则3)保护网络作品权利信息公约4)软件著作权登记办法,电子商务的安全威胁,系统破坏信息窃取信息窜改非法侵入非法冒用信息抵赖,网络安全攻击,中断可用性介入机密性篡改真确性假造真实性,电子商务安全,机密性个体识别性真确性不可抵赖性,电子商务的安全需求,计算机系统安全网络系统安全信息安全电子商务交易安全,电子商务安全技术,加密技术(Encryption)报文摘要(Message Digest)数字签名(Digital Signature)安全协议(Secure Protocol)认证技术(Authentication Certificate)防火墙(Firewall),4.2 密码学基础,密码与密码学密码系统及分类密码算法数字签名,密码与密码学,密码(Cryptogram):它与“明码”相对,用基于数学算法的程序和保密的密钥对信息进行编码,生成难以理解的字符串。 密码学(Cryptography):研究加密的科学,密码学是数字数据的实际保护、控制和标识 密码分析(Cryptanalysis):密码分析学是由被开 发用来破坏、避开和或破解第一部分(密码)试图完成的工作的所有尝试组成的,密码系统,加密系统,解密系统,密码分析,明文(M),加密密钥(K1),解密密钥(K2),密文(C),明文(M),明文(M),加密系统的分类,对称式加密系统(K1=K2)也称为私钥(Private Key)系统非对称式加密系统(K1K2)也称为公钥(Public Key)系统混合加密系统,即采用公钥对私钥进行加密,用私钥对信息进行加密。,加密算法,古典密码算法数据加密标准(DES)RSA公钥密码系统,古典密码算法,移位加密算法(恺撒密码)词组密钥密码分组密钥密码,移位加密算法(恺撒密码),对于任意密钥k将明文的每个字母循环后移k位得到密文,例如:设k=3明文:secure message密文:vhfxuh phvvdjh,词组密钥密码,密钥为字母的词组,置换规则为: abcdefghijklmnopqrstuvwxyzk=fivestarbcdghjklmnopquwxzy明文:secure message密文:osvqns hsoofas,分组加密算法,设k为n位二进制数,将明文长度为n的分组进行加密,加密过程为:,encrypt,m1mn,k1kn,c1cn,数据加密标准(DES),DES是由IBM公司在1970年研制的,1977年1月15日美国国家标准局批准为作为非机密机构的加密标准。DES是采用传统换位与置换的加密方法的分组密码系统,其基本原理是:混淆:将名文转化成其他样子扩散:明文中的任何一个小地方的变更都将扩散到密文的各部分,DES的特点,加解密速度快可以结合硬件加密密钥的传输必须安全,不能和密文使用相同的传输渠道,RSA公钥密码系统,R. Rivest、A. Shamir 、L. Adleman,1977RSA Data Security Inc., RSA Lab. 1982RSA公司和RSA实验室在公开密钥密码系统的研究和商业应用推广方面有举足轻重的地位。,RSA密码系统的实现,加密系统,解密系统,明文(M),乙方公钥,乙方密钥,密文(C),明文(M),甲方,乙方,RSA算法的安全性:n 该多大?,最简单的考虑是加厚我们的“盾”,即n 取得更大。RSA实验室认为,512比特的n已不安全,在1998年后应停止使用。RSA实验室建议个人应用需用768比特的n,公司要用1026比特的n,极其重要的场合应该用2068比特的n 。RSA实验室还认为,768比特的n可望到2006年保持安全。,RSA的特点,解密速度慢密钥生成费时初期系统成本高,数字签名,保证信息的完整性保证信息来源的可靠性保证信息的不可否认性,用公钥系统实现数字签名,签名系统,验证系统,明文(M),甲方密钥,甲方公钥,密文(C),明文(M),甲方,乙方,报文摘要(Message Digest)算法,报文摘要算法,即生成数字指纹的方法在数字签名中有重要作用。报文摘要算法是一类特殊的散列函数(hash函数),要求:接受的输入报文数据没有长度的限制;对任何输入报文数据生成固定长度数字指纹输出;由报文能方便地算出摘要;难以对指定的摘要生成一个报文,由该报文可以得出指定的摘要;难以生成两个不同的报文具有相同的摘要。报文摘要算法的适用性和单向性,
网站客服QQ:2055934822
金锄头文库版权所有
经营许可证:蜀ICP备13022795号 | 川公网安备 51140202000112号