【文章內(nèi)容簡介】 小李 老張 密文 小李 小李的私有 密匙 老張的私有 密匙 老張的公開 密匙 密文 鑒別 保密 用 RSA鑒別 ,只有老張能發(fā)出該信息 用 RSA保密 ,只有小李能解開該信息 非對稱密鑰密碼體制 非對稱密鑰密碼技術的優(yōu)缺點： 優(yōu)點： 第一，在多人之間進行保密信息傳輸所需的密鑰組合數(shù)量很??； 第二，密鑰的發(fā)布不成問題； 第三，公開密鑰系統(tǒng)可實現(xiàn)數(shù)字簽名。 缺點： 加密／解密比私有密鑰加密系統(tǒng)的速度慢得多。 ? 對稱密鑰技術，加密和解密雙方 使用相同的密鑰 。 ? 對稱密鑰密碼體系最著名的算法有 DES（美國數(shù)據(jù)加密標準）、 AES(高級加密標準 )和 IDEA（歐洲數(shù)據(jù)加密標準）。 對稱密鑰加密技術 明文 加密算法 解密算法 密文 明文 密鑰 K 密鑰 K A B ? 舉例 Happy New Year 每個字母用前一字母代替 ,例 G代替 H Gzoox Mdv Xdzq 密文 明文 明文 Happy New Year 每個字母用后一個字母代替 一個簡單的加密算法 —— ROT13 ? 最簡單的加密算法之一是 ROT13。在這種算法中，每個字母都被分配給一個數(shù)字。 A變成了 1， B變成了 2，等等以此類推。如果你現(xiàn)在寫下“ HELLO”，把每個字母轉換成數(shù)字，并加上 13，然后在把這個數(shù)字轉換成字母。如果數(shù)字大于 26，就相應把它減少 26，以便讓這個數(shù)字處于字母表的范圍內(nèi)。這樣 HELLO變成了 8， 5， 12， 12， 15。給每個數(shù)字加上 13，變成 21， 18， 25， 25， 28。由于 28大于 26，將其減去 26，這樣你最后得到的數(shù)字序列是 21， 18， 25， 25， 2。再轉換成字母后，就是 URYYB。 A B C D E F G H I J K L M 1 2 3 4 5 6 7 8 9 10 11 12 13 N O P Q R S T U V W X Y Z 14 15 16 17 18 19 20 21 22 23 24 25 26 圖為有 6個用戶的網(wǎng)絡其對稱密鑰的分發(fā)情況 。 對稱式密鑰加密技術的優(yōu)缺點： 優(yōu)點 ： 對稱密鑰密碼體系的優(yōu)點是加密、解密速度很快 (高效 ) 。 缺點 ： 對稱加密系統(tǒng)存在的最大問題是密鑰的分發(fā)和管理問題。 比如對于具有 n個用戶的網(wǎng)絡，需要 n(n－1)/2個密鑰，在用戶群不是很大的情況下，對稱加密系統(tǒng)是有效的，但是對于大型網(wǎng)絡，用戶群很大而且分布很廣時，密鑰的分配和保存就成了大問題，同時也就增加了系統(tǒng)的開銷。 對稱密鑰加密與非對稱密鑰加密體制對比 特 性 對稱密鑰加密 非對稱密鑰加密 密鑰的數(shù)目 單一密鑰 密鑰是成對的 密鑰種類 密鑰是秘密的 一個私有、一個公開 密鑰管理 簡單不好管理 需要數(shù)字證書及可靠第三者 相對速度 非常快 慢 用途 用來做大量資料的 加密 用來做加密小文件或對信息簽字等 不太嚴格保密的應用 （ 1）數(shù)字摘要（ Digital Digest） 數(shù)字摘要：是確保信息完整性的技術，它采用單向散列函數(shù)（ Hash函數(shù)）對文件中若干重要元素進行某種變換運算得到固定長度的摘要碼（也稱數(shù)字指紋 Finger Print） ,并在傳輸信息時將之加入原文件（明文）一同傳給接收方。 不同的明文，其數(shù)字摘要不同； 相同的明文，其數(shù)字摘要一定相同！！ 摘要原文H a s h 算法發(fā)送方I n t e r n e t摘要摘要原文對比？H a s h 算法接收方數(shù)字摘要過程 （ 1）數(shù)字摘要（ Digital Digest） 數(shù)字摘要的一般過程為： (1)對原文使用 Hash算法得到信息摘要； (2)發(fā)送端將消息（明文）和摘要一同發(fā)送； (3)接收方收到后，用同樣的 Hash函數(shù)對所收到的消息產(chǎn)生一個摘要； (4)用接收方產(chǎn)生的摘要與發(fā)送方發(fā)來的摘要進行對比，若兩者相同則表明所收到的消息是完整的，原文在傳輸過程中沒有被修改，否則就說明原文被修改過，不是原消息。 數(shù)字摘要解決了信息傳輸?shù)耐暾允欠癖黄茐牡陌踩珕栴}，但是沒有解決信息的保密問題。 ? 三、身份和信息認證技術 客戶認證技術 是保證網(wǎng)上交易安全的一項重要技術。 從認證途徑來看，客戶認證主要包括： （一） 身份認證 （二） 信息認證 （三）通過認證機構認證 身份認證和認證機構認證常常用于鑒別用戶身份，而信息認證常用于保證通信雙方的不可抵賴性和信息的完整性。 身份認證就是在交易過程中判明和確認貿(mào)易雙方的真 實身份。 某些非法用戶常采用竊取口令、修改或偽造、阻斷服 務等等方式對網(wǎng)上交易系統(tǒng)進行攻擊，阻止系統(tǒng)資源的合 法管理和使用。 身份認證 信息認證 通過認證機構認證 因此，要求認證機構或信息服務商應當提供如下認證 的功能： 1）可信性：信息來源可信，接收者能確認發(fā)送者； 2）完整性：信息在傳輸過程中沒有被修改、替換等； 3）不可抵賴性：發(fā)送者和接受者不能否認各自行為； 4）訪問控制：拒絕非法用戶訪問系統(tǒng)資源，合法用戶 只能訪問系統(tǒng)授權和指定的資源。 身份認證 信息認證 通過認證機構認證 一般來說，用戶身份認證可通過三種基本方式或其組 合方式來實現(xiàn)： 1）用戶所知道的某個秘密信息，如 口令 ； 2）用戶所持有的某個秘密信息（硬件），即用戶必須 持有合法的隨身攜帶的 物理介質 ，例如智能卡中存儲用戶 的個人化參數(shù)，以及訪問系統(tǒng)資源時必須有的智能卡。 3）用戶所具有的某些 生物學特征 ，如指紋。成本高， 多用于保密程度很高的場合。 身份認證 信息認證 通過認證機構認證 商務活動通過公開網(wǎng)絡進行數(shù)據(jù)傳輸，對傳輸過程中 信息的保密性、完整性和不可抵賴性提出了更高的要求。 1）對敏感的文件進行加密（加密技術） 2）保證數(shù)據(jù)的完整性（數(shù)據(jù)摘要技術） 3） 對數(shù)據(jù)和信息的來源進行驗證（ 數(shù)字簽名技術 ） 身份認證 信息認證 通過認證機構認證 第二節(jié) 電子商務安全技術 ? 身份和信息認證技術 通過認證機構提供認證服務的基本原理和流程是：在 做交易時，應向對方提交一個由 CA簽發(fā)的包含個人身份的 證書，以使對方相信自己的身份。 顧客向 CA申請證書時，可提交自己的駕駛執(zhí)照、身份 證或護照，經(jīng)驗證后，頒發(fā)證書。證書包含了顧客的名字 和他的公鑰，以此作為網(wǎng)上證明自己的身份的依據(jù)。 身份認證 信息認證 通過認證機構認證 第二節(jié) 電子商務安全技術 ? 交易方自身網(wǎng)絡安全保障技術 （一）用戶賬號管理和網(wǎng)絡殺毒技術 （二）防火墻技術 （三）虛擬專用技術 （四）入侵檢測技術 ? 電子商務信息傳輸安全保障技術 （一） 加密技術 （二） 數(shù)字摘要技術 ? 身份和信息認證技術 （一） 身份認證 （二） 信息認證 （三） 通過認證機構認證 ? 電子商務安全支付技術 （一） SSL安全協(xié)議 （二） SET安全協(xié)議 第二節(jié) 電子商務安全技術 ? 電子商務安全支付技術 （一） SSL安全協(xié)議 （二） SET安全協(xié)議 如何通過電子支付安全地完成整個交易過程？目 前雖然還沒有形成公認成熟的解決辦法，但人們還是 不斷通過各種途徑進行大量的探索， SSL安全協(xié)議和 SET安全協(xié)議已廣泛應用于電子支付。 第二節(jié) 電子商務安全技術 ? 電子商務安全支付技術 SSL安全協(xié)議（安全套接層）是一種安全通信協(xié)議，它 能夠對信用卡信息和個人信息提供較強的保護。 此協(xié)議假定商家是可信的，協(xié)議運行的基點是商家對 客戶信息保密的承諾。 SSL安全協(xié)議有利于商家而不利于客 戶。整個過程缺少客戶對商家的認證。 SSL安全協(xié)議逐漸被 SET協(xié)議所取代。 SSL安全協(xié)議 SET安全協(xié)議 第二節(jié) 電子商務安全技術 ? 電子商務安全支付技術 SET安全協(xié)議（安全電子交易）是由信息卡公司推出的 規(guī)范。 SET在保留對客戶信用卡認證的前提下，又增加了對 商家身份的認證。 SET安全協(xié)議能夠保證信息在網(wǎng)上安全傳輸；保證電子 商務參與者信息的相互隔離（商家看不到信用卡信息）； 解決多方認證問題；保證交易的實時性；可以運行在不同 的硬件和操作系統(tǒng)平臺上。 SSL安全協(xié)議 SET安全協(xié)議 第二節(jié) 電子商務安全技術 ? 交易方自身網(wǎng)絡安全保障技術 （一）用戶賬號管理和網(wǎng)絡殺毒技術 （二）防火墻技術 （三）虛擬專用技術 （四）入侵檢測技術 ? 電子商務信息傳輸安全保障技術 （一） 加密技術 （二） 數(shù)字摘要技術 ? 身份和信息認證技術 （一） 身份認證 （二） 信息認證 （三） 通過認證機構認證 ? 電子商務安全支付技術 （一） SSL安全協(xié)議 （二） SET安全協(xié)議 第三節(jié) 電子商務安全制度 ? 安全管理制度 （一） 人員管理制度 （二） 保密制度 （三） 跟蹤、審計、稽核制度 （四） 系統(tǒng)維護制度 （五）病毒防范制度 ? 法律制度 （一） 美國保證電子商務安全的相關法律 （二） 我國保證電子商務安全的相關法律 第三節(jié) 電子商務安全制度 ? 安全管理制度 （一） 人員管理制度 （二） 保密制度 （三） 跟蹤、審計、稽核制度 （四） 系統(tǒng)維護制度 （五）病毒防范制度 ? 法律制度 （一） 美國保證電子商務安全的相關法律 （二） 我國保證電子商務安全的相關法律 第三節(jié) 電子商務安全制度 ? 安全管理制度 （一） 人員管理制度 （二） 保密制度 （三） 跟蹤、審計、稽核制度 （四） 系統(tǒng)維護制度 （五）病毒防范制度 網(wǎng)上交易系統(tǒng)安全管理制度是用文字形式 對各項安全要求的規(guī)定，它是保證企業(yè)在網(wǎng)上 經(jīng)營管理取得成功的基礎。是否健全及實施安 全管理制度，關系到網(wǎng)上交易是否安全地、順 利地進行。 安全制度包括： 第三節(jié) 電子商務安全制度 ? 安全管理制度 首先，對有關人員進行上崗培訓。 其次，落實工作責任制，對違反網(wǎng)上交易安全規(guī)定的 行為應堅決進行打擊，對有關人員要進行及時