【正文】 脅 （ 3） 黑客 的惡意攻擊 （ 4）軟件的 漏洞 和 “ 后門 ” （ 5）網(wǎng)絡(luò)協(xié)議的 安全漏洞 （ 6）計算機 病毒 的攻擊 電子商務(wù)的安全需求 2. 計算機網(wǎng)絡(luò)系統(tǒng)的安全 （ 1）物理實體的安全 ?設(shè)備的功能失常 ?電源故障 ?由于電磁泄漏引起的信息失密 ?搭線竊聽 電子商務(wù)的安全需求 2. 計算機網(wǎng)絡(luò)系統(tǒng)的安全 （ 2）自然災(zāi)害的威脅 各種自然災(zāi)害、風暴、泥石流、建筑物破壞、火災(zāi)、水災(zāi)、空氣污染等對計算機網(wǎng)絡(luò)系統(tǒng)都構(gòu)成強大的威脅。” —— 《 中華人民共和國計算機信息系統(tǒng)安全保護條例 》 電子商務(wù)的安全需求 2. 計算機網(wǎng)絡(luò)系統(tǒng)的安全 （ 6）計算機病毒的攻擊 計算機病毒的破壞目標和攻擊部位： ?攻擊系統(tǒng)數(shù)據(jù)區(qū) ?攻擊文件 ?攻擊內(nèi)存 ?干擾系統(tǒng)運行 ?計算機速度下降 ?攻擊磁盤 ?擾亂屏幕顯示 ?干擾鍵盤操作 ?使計算機的喇叭發(fā)出響聲 ?攻擊 CMOS ?干擾打印機 ? 電子商務(wù)面臨的主要威脅： – 信息在網(wǎng)絡(luò)的傳輸過程中 被截獲 －破壞系統(tǒng)的有效性 – 傳輸?shù)奈募赡?被篡改 －破壞系統(tǒng)的完整性 – 偽造電子郵件 – 假冒他人身份 －破壞系統(tǒng)的真實性 – 不承認已經(jīng)做過的交易， 抵賴 －要求系統(tǒng)具備審查能力 電子商務(wù)的安全需求 ? 電子商務(wù)對安全的基本要求 – 授權(quán)的合法性 ：安全管理人員根據(jù)權(quán)限的分配，管理用戶的各種操作 – 不可抵賴性 ：不能否認在自己的交易行為，通過電子記錄和電子合同代替?zhèn)鹘y(tǒng)紙面交易 – 信息的保密性 ：確保對敏感文件、信息進行加密，保證信用卡的帳號和密碼不泄漏給未授權(quán)的他人 電子商務(wù)的安全需求 ? 電子商務(wù)對安全的基本要求（續(xù)） – 交易者 身份的真實性 ：雙方交換信息之前獲取對方的證書，來鑒別對方身份 – 信息的 完整性 ：避免信息在傳輸過程中出現(xiàn)丟失、次序顛倒等破壞其完整性的行為 – 存儲信息的安全性 電子商務(wù)的安全需求 ? 主要的電子商務(wù)安全技術(shù) – 數(shù)據(jù)加密技術(shù) – 數(shù)字簽名 – 數(shù)字證書 – 防火墻 – 安全電子交易規(guī)范（ SET） – 防病毒軟件技術(shù) –…… 電子商務(wù)的安全需求 電子商務(wù)基本安全技術(shù) ? 數(shù)據(jù)加密技術(shù) ? 認證技術(shù) ? 黑客防范技術(shù) ? 電子商務(wù)安全協(xié)議 電子商務(wù)基本安全技術(shù) 數(shù)據(jù)加密技術(shù) 加密技術(shù)是認證技術(shù)及其他許多安全技術(shù)的基礎(chǔ)。 ? 為了保證信息在網(wǎng)上傳輸過程中不被篡改，必須對所發(fā)送的信息進行 加密 。 ? 加密系統(tǒng)包括 信息 （ 明文和密文 ） 、 密鑰 （ 加密密鑰 和 解密密鑰 ） 、 算法 （ 加密算法 和 解密算法 ）三個組成部分 。 把加密過程和解密過程設(shè)計成不同的途徑，當算法公開時，在 計算上不可能由加密密鑰求得解密密鑰 ，因而 加密密鑰可以公開 ，而只需秘密保存解密密鑰即可。 – 對稱鑰匙加密系統(tǒng)是 加密 和 解密 均采用 同一把秘密鑰匙 ，而且通信雙方都必須獲得這把鑰匙，并保持鑰匙的秘密。 傳統(tǒng)密鑰密碼體制的分類和工作原理 傳統(tǒng)密鑰密碼體制中，密碼按加密方式不同可以分為序列密碼 與 分組密碼 著名的 DES算法就屬于分組加密算法。 分組密碼 ? 它將明文劃分成固定的 n 比特的數(shù)據(jù)組 ， 然后以組為單位 ， 在密鑰的控制下進行一系列的線性或非線性的變化而得到密文 。 分組密碼體制 輸入 輸出 加密 算法 密鑰 明文 輸入 輸出 解密 算法 密鑰 明文 n bit n bit n bit n bit 密文 密文 公開密鑰密碼體系 ? 非對稱密鑰密碼體系 (Asymmetric Cryptography)也稱公開密鑰技術(shù)。 ? 弱點 在于要取得較好的加密效果和強度，必須使用 較長的密鑰 。 合數(shù)分解問題目前仍然是數(shù)學(xué)領(lǐng)域尚未解決的一大難題，至今沒有任何高效的分解方法。 n 稱為 RSA算法的模數(shù)。用戶再計算出 n 的歐拉函數(shù) ?(n) ? (p ? 1)(q ? 1) (99) ?(n) 定義為不超過 n 并與 n 互素的數(shù)的個數(shù)。用戶計算出滿足下式的 d ed ? 1 mod ?(n) (910) 作為解密指數(shù)。 從 [0, 95]中選擇一個與 96 互素的數(shù) e。 于是，公開密鑰 PK ? (e, n) ? {5, 119}, 秘密密鑰 SK ? {77, 119}。用公開密鑰加密時，先計算 Xe ? 195 ? 2476099。 再除以 119，得出商為 ...? 10138，余數(shù)為 19。（但要做到這一點，需要 300400臺設(shè)備，每臺設(shè)備價值 5000美圓）。數(shù)字指紋的應(yīng)用使交易文件的完整性（不可修改性）得以保證。 什么是數(shù)字信封 ？ 發(fā)送方將隨機產(chǎn)生的對稱秘鑰用接收方的公鑰加密就形成了 數(shù)字信封 。 – 數(shù)字證書是一個經(jīng)證書授權(quán)中心數(shù)字簽名的 包含擁有者信息 以及 公開密鑰 的文件。 3. 數(shù)字證書原理簡介 數(shù)字證書利用一對互相匹配的密鑰進行加密、解密。 電子商務(wù)安全認證體系是一套融合了各種先進的加密技術(shù)和認證技術(shù)的安全體系，它主要定義和建立自身認證和授權(quán)規(guī)則，然后分發(fā)、交換這些規(guī)則，并在網(wǎng)絡(luò)之間解釋和管理這些規(guī)則 。 根 CA 各級 CA 認證中心 2. CA功能 認證中心 的核心功能就是發(fā)放和管理數(shù)字證書。 – 為了安全把 A用戶隨機產(chǎn)生的對稱密鑰送達 B用戶， A用戶用 B用戶的公開密鑰對其進行加密，形成了 數(shù)字信封 。 – 同時 B用戶把 A用戶的數(shù)字簽名用 A用戶的公開密鑰進行解密，從而形成另一 “ 信息摘要 1”。 防火墻能有效地控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問及數(shù)據(jù)傳輸，從而達到保護內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問和 過濾不良信息 的目的。 ?服務(wù)器對客戶的身份確認： 容許服務(wù)器的軟件通過公鑰技術(shù)和可信賴的證書，來確認客戶的身份。 SET協(xié)議采用 公鑰密碼體制 和 ，提供了消費者、商家和銀行之間的認證，確保了交易數(shù)據(jù)的機密性、真實性、完整性和交易的不可否認性，特別是保證不將消費者銀行卡號暴露給商家等優(yōu)點，因此它成為了目前公認的信用卡 /借記卡的網(wǎng)上交易的國際安