【正文】 相應(yīng)的根證書。 ? 2） 中國數(shù)字認(rèn)證網(wǎng) ? （ ） ：是北京三六五科技有限公司為廣大客戶提供數(shù)字認(rèn)證服務(wù)的站點(diǎn) ， 可用于安全電子郵件 ， 服務(wù)器身份認(rèn)證 ， 客戶身份認(rèn)證 ， 代碼簽名等 。認(rèn)證中心除了檢驗(yàn)外，還具有管理、搜索和驗(yàn)證證書等職能。 ? CA認(rèn)證中心作為權(quán)威的、可信賴的、公正的第三方機(jī)構(gòu)，專門負(fù)責(zé)為各種認(rèn)證需求提供數(shù)字證書服務(wù)。 ? 數(shù)字證書也稱公開密鑰證書 Company name ? 數(shù)字證書主要由以下兩部分組成： ? （ 1）證書數(shù)據(jù) ? 版本信息，用來與 ； ? 證書序列號，每一個由 CA發(fā)行的證書必須有一個唯一的序列號； ? CA所使用的簽名算法； ? 發(fā)行證書 CA的名稱； ? 證書的有效期限； ? 證書主題名稱； ? 被證明的公鑰信息，包括公鑰算法、公鑰的位字符串表示； ? 包含額外信息的特別擴(kuò)展。 Company name 獲得數(shù)字時間戳的過程 Hash 算法 原文 摘要 1 加時間 數(shù)字 時間戳 Inter 用 DTS 機(jī)構(gòu)的私鑰加密 發(fā)送方 DTS機(jī)構(gòu) Hash 算法 加了時間后 的新摘要 摘要 1 摘 要 1 + 時間 數(shù)字 時間戳 數(shù)字時間戳組成 ?數(shù)字時間戳服務(wù)（ DTS）是網(wǎng)上安全服務(wù)項(xiàng)目，由專門的機(jī)構(gòu)提供。 ? 電子交易文件中，時間是十分重要的信息，在經(jīng)過數(shù)字簽名的交易上打上一個可信賴的時間戳，從而解決一系列的實(shí)際和法律問題。 Company name 數(shù)字信封技術(shù) 加密過程對稱密鑰明文 數(shù)據(jù)密文發(fā)送方解密過程接收方私鑰接收方加密過程接收方公鑰被加密的密鑰數(shù)據(jù)密文解密過程對稱密鑰明文密文 密文對稱密鑰被加密的密鑰對稱密鑰Company name ，發(fā)送方先產(chǎn)生一個通信密鑰，并用這一通信密鑰對文件原文進(jìn)行加密后，再通過網(wǎng)絡(luò)將加密后的文件傳送到接收方； 開密鑰進(jìn)行加密，即生成數(shù)字信封，然后通過網(wǎng)絡(luò)傳送到接收方； ，用自己的私鑰對其進(jìn)行解密，從而得到發(fā)送方的通信密鑰； ，從而得到文件的原文。 Company name 解答：哈希函數(shù) +數(shù)字簽名 ?郭靖用哈希算法生成九陰真經(jīng)的摘要，用 自己的私鑰加密摘要 ?把加密的摘要和九陰真經(jīng)（明文）發(fā)給黃蓉 ?用郭靖的 公鑰解密摘要 ， 恢復(fù)摘要 ?對收到九陰真經(jīng)采用相同算法創(chuàng)建一個新摘要 ?比較兩個摘要： 如果摘要匹配，發(fā)送者是作者；明文在發(fā)送過程中沒有被改動。 (2)發(fā)方發(fā)出簽名的消息送收方后，就不能再否認(rèn)他所簽發(fā)的消息： (3)收方對已收到的簽名消息不能否認(rèn)，即有收到認(rèn)證。 數(shù)字簽名 政治、軍事、外交等領(lǐng)域的文件、命令和條約，商業(yè)中的契約，以及個人之間的書信等，傳統(tǒng)上都采用手書簽名或印章，以便在法律上能認(rèn)證、核準(zhǔn)和生效。 ?密碼學(xué)中使用的哈希算法都被設(shè)計(jì)為具有某些特殊的性質(zhì)： ? 無法反向執(zhí)行哈希算法來恢復(fù)出哪怕是一點(diǎn)兒最初的明文。 Hash算法是把 任意長度 的輸入數(shù)據(jù)經(jīng)過算法壓縮，輸出一個尺寸 小了很多的固定長度的數(shù)據(jù)，即哈希值。 背包問題：一個背包放進(jìn) 10公斤碎石頭容易，要知道這十公斤石頭的每一塊的重量比較困難 Company name 私有密鑰加密法和私有密鑰加密法的比較 特性 對稱 非對稱 密鑰的數(shù)目 單一密鑰 密鑰是成對的 密鑰種類 密鑰是秘密的 一個秘密，一個公開 密鑰管理 簡單不好管理 需要數(shù)字證書及可靠第三者 相對速度 非?？? 慢 用途 用來做大量資料的加密 用來做小文件的加密 Company name 數(shù)據(jù)完整性技術(shù) ? 數(shù)字摘要：保證數(shù)據(jù)的完整性 ? 數(shù)字簽名：保證數(shù)據(jù)的完整性和不可否認(rèn)性 ? 數(shù)字信封 ? 數(shù)字時間戳 Company name 數(shù)字摘要 ? 數(shù)字摘要也叫 數(shù)字指紋 ，即從原文中 通過 Hash算法 而得到的一個固定長度（ 126bit） 的摘要值，并將此摘要與原始信息報(bào)文一起通過網(wǎng)絡(luò)傳送給接受者，接收者收到文件后，用相同的方法進(jìn)行變換運(yùn)算，若得到的結(jié)果與發(fā)送來的摘要值相同，則可斷定文件未被篡改。 公開密鑰加密技術(shù)的優(yōu)點(diǎn)： Company name 公鑰加密體制的基本思想 ?公鑰技術(shù)是二十世紀(jì)最偉大的思想之一 ?改變了密鑰分發(fā)的方式?！纭螅?⊕ ☆ 支付確認(rèn)明文 支付確認(rèn)密文 支付確認(rèn)密文 公開密鑰解密 私人密鑰加密 客戶甲： 本行已將 200元資金從你賬號轉(zhuǎn)移到 kxs賬號上?！纭螅?⊕ ☆ ※ ň④『 ﹠ 』 ∥ ◎ ＆↘ ＊ ǖ￠＠ ℉⊙㏒ ﹛※﹜ 支付通知明文 支付通知密文 支付通知密文 支付通知明文 公開密鑰加密 私人密鑰解密 ④『 ﹠ 』 ∥ ◎＆ ↘ ＊ ǖ￠＠℉⊙ ㏒ ※﹜＊ ?！痬g■ ℅﹌︽ ⊙≌ ︾ ǘ225。 ? （ 3）交易方甲再用自己保存的另一把專用密鑰對加密后的信息進(jìn)行解密。 ?是由美國的 Rivest、 Shamir和 Adleman三人發(fā)明的。 現(xiàn)代密碼 Company name ? 對稱密鑰加密技術(shù)利用一個密鑰對數(shù)據(jù)進(jìn)行加密，對方接收到數(shù)據(jù)后，需要用同一密鑰來進(jìn)行解密。 置換 (Permutation)： 又稱 換位（ Transposition)，明文的字母保持相同，但順序被打亂了。代理服務(wù)器隔離在外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間，內(nèi)外不能直接交換數(shù)據(jù)，數(shù)據(jù)交換由代理服務(wù)器“代理”完成。 Company name 網(wǎng)絡(luò)級防火墻（包過濾型防火墻） ? 一般是基于源地址和目的地址、應(yīng)用或協(xié)議以及每個 IP包的端口來作出通過與否的判斷，一個路由器便是一個“傳統(tǒng)”的網(wǎng)絡(luò)級防火墻。 ? 所有風(fēng)險(xiǎn)可集中到防火墻系統(tǒng)上，安全管理者可針對網(wǎng)絡(luò)的某個方面進(jìn)行管理。 ?（ 2） 防火墻不能保護(hù)繞過它的連接 。從安全性角度考慮，第一種安全策略更可取。 防火墻技術(shù) Inter Firewall Intra BBS 服務(wù)器 Email 服務(wù)器 PC機(jī) PC機(jī) 數(shù)據(jù)庫 服務(wù)器 DNS 服務(wù)器 Web 服務(wù)器 防火墻 外部網(wǎng)對內(nèi)部網(wǎng)的訪問控制 內(nèi)部網(wǎng)對外部網(wǎng)的訪問控制 網(wǎng)絡(luò)訪問記錄 FTP 服務(wù)器 Company name 防火墻功能 ?外部網(wǎng)對內(nèi)部網(wǎng)的訪問控制 ：防止外界的非法用戶進(jìn)入 ? 顯式的方法：用戶名和口令 ? 隱式的方法： ? （ 1） IP地址 :把 IP登記到防火墻的 IP列表里（內(nèi)部 IP） ? （ 2） MAC網(wǎng)卡地址： IPCONFIG/ALL ?內(nèi)部網(wǎng)對外部網(wǎng)的訪問控制 ：限制內(nèi)部出去 ?網(wǎng)絡(luò)訪問記錄 ：所有的訪問記錄，都記錄在防火墻里面 “門” “閘” Company name ?過濾器：用于阻斷某些信息的通過 ?網(wǎng)關(guān)：協(xié)議轉(zhuǎn)換 ， 如銀行網(wǎng)與其他網(wǎng)絡(luò)相連時要使用 防火墻的組成 Inter 網(wǎng)關(guān) 外部過濾器 內(nèi)部過濾器 Intra Company name 防火墻的組成 Company name ? 防火墻的安全策略有兩種可供選擇： ? 1） 沒有被列為允許訪問的服務(wù)都是被禁止的 。 ? 從狹義上來講，防火墻是指 安裝了防火墻軟件的主機(jī)或路由器系統(tǒng) ；從廣義上講，防火墻還包括了整個網(wǎng)絡(luò)的安全策略和安全行為。 戰(zhàn)爭中的信息戰(zhàn) Company name 術(shù)語 定義 保密 性 完整性 認(rèn)證性 不可否認(rèn)性 有效性 保持個人的 、 專用的和高度敏感數(shù)據(jù)的機(jī)密 保證所有存儲和管理的信息不被篡改 確認(rèn)通信雙方的合法身份 防止通信或交易雙方對已進(jìn)行業(yè)務(wù)的否認(rèn) 保證信息和信息系統(tǒng)隨時為授權(quán)者提供服務(wù) 電子商務(wù)的安全需求 Company name 電子商務(wù)的安全需求 Company name ? 保密性：加密技術(shù)（對稱密鑰、非對稱密鑰） ? 完整性：數(shù)字摘要 ? 認(rèn)證性：認(rèn)證中心 ? 不可否認(rèn)性：數(shù)字簽名、數(shù)字時間戳 ? 有效性：防火墻、管理制度，法律保障 保證電子商務(wù)安全的解決方法簡述 Company name ? 網(wǎng)絡(luò)平臺的構(gòu)成及主要完全威脅 ? Inter網(wǎng)絡(luò)平臺系統(tǒng)的安全措施 ? 防火墻技術(shù) Company name ? 截?cái)喽氯簹挠布⒉《景c瘓軟件、冗余信息堵塞支付網(wǎng)關(guān) ? 偽造：假冒身份騙取財(cái)物 ? 篡改：對交易信息進(jìn)行篡改，價格、數(shù)量等 ? 介入：非法進(jìn)入系統(tǒng)，進(jìn)行破壞、拷貝等 網(wǎng)絡(luò)平臺的構(gòu)成及主要完全威脅 Inter 銀行專網(wǎng) Intra 商家服務(wù)器 客戶機(jī) 支付網(wǎng)關(guān) Company name ?EC交易安全的保障體系，三個層面： ?國家法律法規(guī) ?加強(qiáng)各項(xiàng)制度的管理 ?技術(shù)對策： 防火墻、加密技術(shù)、認(rèn)證技術(shù) ? 根本的辦法是重新設(shè)計(jì) TCP/IP協(xié)議，解決網(wǎng)絡(luò)平臺的安全問題。 “ 91年 海灣戰(zhàn)爭把信息戰(zhàn)搬上了戰(zhàn)場 ” 觸發(fā)安全問題的原因 Company name 1991年的海灣戰(zhàn)爭，首次把網(wǎng)絡(luò)攻擊手段引入到戰(zhàn)爭中并發(fā)揮作用。 ?軟件的漏洞或 “ 后門 ” —— 操作系統(tǒng)和應(yīng)用軟件往往存在漏洞或“ 后門 ” ， 特別是盜版軟件 。他們做的工作就是收集鍵盤按下時釋放的電磁輻射，然后攔截有線鍵盤發(fā)出的信息并進(jìn)行解析。 ? 受利益的驅(qū)動，從寫程序到傳播，到銷售再到洗錢分賬，病毒買賣已形成了一條完整的產(chǎn)業(yè)鏈。 相關(guān)的數(shù)據(jù)和統(tǒng)計(jì)： Company name 揭秘：網(wǎng)絡(luò)攻擊事件頻繁出現(xiàn)真相 ?黑客年輕化 ? “攻擊百度、新浪這些網(wǎng)站，小孩子也能做到。 莊小姐用自己的賬號和密碼登錄 ，卻無法進(jìn)入 。 ?警方調(diào)查發(fā)現(xiàn) ， 在買家拍下 30張百元手機(jī)充值卡后 ， 有人登錄賣家網(wǎng)站， 將交易價格修改成了 。 黑客事件 Company name ?2022年 10月 6日 ， 江民反病毒中心監(jiān)測到 ， 國慶期間約有 2萬 4千余種計(jì)算機(jī)病毒發(fā)作 ， 全國近百萬臺電腦感染計(jì)算機(jī)病毒 。 在獲得大量網(wǎng)絡(luò)虛擬財(cái)產(chǎn)后 ， 向騰訊公司及其總裁進(jìn)行敲詐勒索 。尤其是對于一些中小型電子商務(wù)網(wǎng)站而言，比如數(shù)量龐大的團(tuán)購網(wǎng)站，對抗黑客入侵更是有些力不從心。攻擊電子商務(wù)平臺，黑客可以輕松賺取巨大的、實(shí)實(shí)在在的經(jīng)濟(jì)利益。 ?阿里巴巴網(wǎng)站也曾確認(rèn)受到不明身份的網(wǎng)絡(luò)黑客攻擊，這些黑客采取多種手段攻擊了阿里巴巴在我國大陸和美國的服務(wù)器，企圖破壞阿里巴巴全球速賣通臺的正常運(yùn)營。然而，監(jiān)管不力導(dǎo)致消費(fèi)者權(quán)益難以保護(hù)。”這起“錯價門”事件發(fā)生至今已有兩周，導(dǎo)致“錯價門”的真實(shí)原因依然是個謎，但與此同時，這一事件暴露出來的我國電子商務(wù)安全問題不容小覷。第 06 章 電子商務(wù)安全 Company name 第 1節(jié) 電子商務(wù)的安全問題與需求 第 2節(jié) 電子商務(wù)網(wǎng)絡(luò)平臺的安全與防火墻技術(shù) 內(nèi)容 第 3節(jié) 數(shù)據(jù)機(jī)密性技術(shù) 第 4節(jié) 數(shù)據(jù)完整性技術(shù) 第 5節(jié) 數(shù)字證書與認(rèn)證中心 第 6節(jié) SSL與 SET協(xié)議 Company name 知識目標(biāo) ?電子商務(wù)的安全隱患及安全需求 ?電子商務(wù)安全保障體系 ?防火墻技術(shù) ?數(shù)據(jù)機(jī)密性技術(shù) ?數(shù)據(jù)完整性技術(shù) ?數(shù)字證書與認(rèn)證中心 ?SSL與 SET協(xié)議 Company name 視頻：瘋狂的肉雞 資料： 2022年最受關(guān)注的 12個安全事件 資料：電子商務(wù)安全案例 資料： 19662022年 20年安全事件回顧 案例一： 淘寶“錯價門”引發(fā)爭議 互聯(lián)網(wǎng) 上從來不乏標(biāo)價 1元的商品。部分網(wǎng)民和商戶詢問“團(tuán)購寶”客服得到自動回復(fù)稱：“服務(wù)器可能被攻擊，已聯(lián)系技術(shù)緊急處理。 Company name 總結(jié) ?目前，我國電子商務(wù)領(lǐng)域安全問題日益凸顯，比如，支付寶或者網(wǎng)銀被盜現(xiàn)象頻頻發(fā)生，給用戶造成越來越多的損失，這些現(xiàn)象對網(wǎng)絡(luò)交易和電子商務(wù)提出了警示。 ?浙江義烏一些大型批發(fā)網(wǎng)站曾經(jīng)遭到黑客近一個月的輪番攻擊，網(wǎng)站圖片幾乎都不能顯示，每天流失訂單金額達(dá)上百萬元。 Company name 總結(jié) ?黑客攻擊可以是多層次、多方面、多種形式的。攻擊電子商務(wù)企業(yè)后臺系統(tǒng)的往往是專業(yè)的黑客團(tuán)隊(duì)，要想防范其入侵，難度頗大。 Company name ?1996年 6月 16