电子商务的安全问题及要求.ppt

《电子商务的安全问题及要求.ppt》由会员分享，可在线阅读，更多相关《电子商务的安全问题及要求.ppt（129页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、电子商务的安全管理（p255）企业利用电子商务面临的最重要问题就是安全问题，企业利用电子商务面临的最重要问题就是安全问题，保证安全是进行网上交易的基础和保障。保证安全是进行网上交易的基础和保障。电子商务的安全问题是一个电子商务的安全问题是一个系统性问题系统性问题，需要从，需要从技术技术上，管理上和法律上，管理上和法律上来综合建设和完善安全保障体系。上来综合建设和完善安全保障体系。电子商务的安全管理4.1电子商务的安全问题及要求电子商务的安全问题及要求 4.2电子商务安全技术电子商务安全技术 4.3电子商务安全制度电子商务安全制度 4.4防止非法入侵防止非法入侵4.1 电子商务的安全问题及要求

2、一、电子商务的安全问题一、电子商务的安全问题 （一）（一）电子商务交易带来的安全威胁电子商务交易带来的安全威胁 （二）（二）电子商务的安全风险来源电子商务的安全风险来源 二、电子商务的安全要求二、电子商务的安全要求 （一）（一）有效性有效性 （二）（二）机密性机密性 （三）完整性（三）完整性 （四）真实性和不可抵赖性的鉴别（四）真实性和不可抵赖性的鉴别 三、电子商务安全管理思路三、电子商务安全管理思路 一、电子商务的安全问题 （一）电子商务交易带来的安全威胁 在传统交易过程中，买卖双方是面对面的，很容易保证交易过程的安全性和建立起信任关系。但是在电子商务过程中，买卖双方通过网络来联系，建立交易

3、双方的安全和信任关系相当困难。因此，在电子商务交易双方都面临着安全威胁。1.销售者面临的威胁 2.购买者面临的威胁 1.销售者面临的威胁 （1）中央系统安全性被破坏 （2）竞争者检索商品递送状况 （3）系统中存储的客户资料被竞争者窃取。（4）被他人假冒而损害企业的信誉。（5）消费者提交订单后不付款。（6）竞争对手提交虚假订单。（7）被他人试探，丢失商业机密。入侵者假冒成合法入侵者假冒成合法用户来改变用户数据用户来改变用户数据（如商品的送达地址）、（如商品的送达地址）、解除用户订单或生产虚解除用户订单或生产虚假订单。假订单。有时恶意入侵者在有时恶意入侵者在一个很短的时间内以大一个很短的时间内以大

4、量的电子邮件配合，针量的电子邮件配合，针对银行或电子商务网站对银行或电子商务网站进行攻击，声称这个网进行攻击，声称这个网站站“正在维护中，请从正在维护中，请从这里访问您的账户这里访问您的账户”。恶恶意意竞竞争争者者以以他他人人的的名名义义来来订订购购商商品品，从从而而了了解解有有关关商商品品的的递递送送状况和货物的库存情况。状况和货物的库存情况。不不诚诚实实的的人人建建立立于于销销售售者者服服务务器器名名字字相相同同的的另另一一个个服服务器来假冒销售者。务器来假冒销售者。据中安在线据中安在线2010年年11月月20日报道，不法分子利用日报道，不法分子利用“taoba0”冒充冒充“taobao”

5、网站来窃取用户账号密网站来窃取用户账号密码，从而给淘宝客户造成了巨大的经济损失。码，从而给淘宝客户造成了巨大的经济损失。案例：2.2.购买者面临的威胁购买者面临的威胁 （1 1）虚假订单）虚假订单 （2 2）付款后不能收到商品）付款后不能收到商品 （3 3）丢失机密）丢失机密 （4 4）拒绝服务）拒绝服务 假冒者可能会以客户的假冒者可能会以客户的名义来订购商品，而客户却名义来订购商品，而客户却被要求付款或返还商品。被要求付款或返还商品。在要求客户付款后，销在要求客户付款后，销售商中的内部人员不将售商中的内部人员不将订单和钱转发给执行部订单和钱转发给执行部门，因而使客户不能收门，因而使客户不能收

6、到商品。到商品。用户在佯装的网页用户在佯装的网页上将秘密的个人数据发上将秘密的个人数据发送给冒充销售商的机构，送给冒充销售商的机构，这些信息可能会在传递这些信息可能会在传递过程中被窃取。过程中被窃取。恶意攻击者可能恶意攻击者可能向销售商的服务器发向销售商的服务器发送大量的虚假订单来送大量的虚假订单来穷竭它的资源，从而穷竭它的资源，从而使合法用户不能得到使合法用户不能得到正常的服务。正常的服务。张先生准备为自己买一个张先生准备为自己买一个3G手机，无奈自己看中的手机，无奈自己看中的一款产品目前在实体店中的销售价格超出了预算范围。一款产品目前在实体店中的销售价格超出了预算范围。于是，张先生准备在网

7、上看看是否有更便宜的。结果功于是，张先生准备在网上看看是否有更便宜的。结果功夫不负有心人，张先生在一个论坛中，发现有人介绍这夫不负有心人，张先生在一个论坛中，发现有人介绍这款手机，而且价格仅是实体店中的三分之一，张先生迫款手机，而且价格仅是实体店中的三分之一，张先生迫不及待地登陆了帖子中提到的网页，并按照网页上的提不及待地登陆了帖子中提到的网页，并按照网页上的提示完成了购买，并向页面上指定的帐户汇了钱。结果，示完成了购买，并向页面上指定的帐户汇了钱。结果，两周过去了，张先生依然没有是收到手机，而再次登陆两周过去了，张先生依然没有是收到手机，而再次登陆该网页的时候，已经无法打开。该网页的时候，已

8、经无法打开。案例：（二）（二）电子商务的安全风险来源电子商务的安全风险来源 1.1.网络系统自身的安全风险网络系统自身的安全风险 2.2.信息传输风险信息传输风险 3.3.信用风险信用风险 4.4.管理风险管理风险 5.5.法律风险法律风险1.网络系统自身的安全风险网络系统自身的安全风险物理物理实体的安实体的安全风险全风险计算计算机软件系机软件系统风险统风险网络网络协议的安协议的安全漏洞全漏洞黑客的黑客的恶意攻击恶意攻击计算计算机病毒机病毒攻击攻击1 1）设备故障）设备故障2 2）电源故障：丢失数据、损坏硬件）电源故障：丢失数据、损坏硬件3 3）电磁泄漏导致信息失密）电磁泄漏导致信息失密4 4

9、）搭线窃听）搭线窃听5 5）自然灾害）自然灾害1.1.网络系统自身的安全风险网络系统自身的安全风险物理物理实体的安实体的安全风险全风险计算计算机软件系机软件系统风险统风险网络网络协议的安协议的安全漏洞全漏洞黑客的黑客的恶意攻击恶意攻击计算计算机病毒机病毒攻击攻击 网络软件的漏洞和网络软件的漏洞和“后门后门”是进行网络攻击的首选目标。是进行网络攻击的首选目标。应该及时安装补丁程序应该及时安装补丁程序1.1.网络系统自身的安全风险网络系统自身的安全风险 物理实体的安全风险 计算机软件系统风险 网络协议的安全漏洞 黑客的恶意攻击 计算机病毒攻击 网络服务是通过各种各样的协议完成的，协议的安全网络服务

10、是通过各种各样的协议完成的，协议的安全性是网络安全的一个重要方面。性是网络安全的一个重要方面。如果网络通信协议存在安全上的缺陷，攻击者会利用如果网络通信协议存在安全上的缺陷，攻击者会利用协议的安全漏洞得逞的。协议的安全漏洞得逞的。1.1.网络系统自身的安全风险网络系统自身的安全风险物理物理实体的安实体的安全风险全风险计算计算机软件机软件系统风系统风险险网络网络协议的安协议的安全漏洞全漏洞黑客的黑客的恶意攻击恶意攻击计算计算机病毒机病毒攻击攻击黑客（hacking）是指非法入侵计算机系统的人。黑客在网络上经常采用的手段有：利用操作系统提供的缺省账户进行攻击；截取口令方法：通过网络监听或记录用户的

11、击键得到用户的口令。寻找系统漏洞 偷取特权 清理磁盘等案例：96年初CHINANET受到某高校的一个研究生的攻击；96年秋，北京某ISP 和它的用户发生了一些矛盾，此用户便攻击该ISP的服务器，致使服务中断了数小时。97年初，北京某ISP被黑客成功侵入，并在清华大学“水木清华”BBS站 的“黑客与解密”讨论区张贴有关如何免费通过该ISP进入Internet的文章。1.1.网络系统自身的安全风险网络系统自身的安全风险物理物理实体的安实体的安全风险全风险计算计算机软件系机软件系统风险统风险网络网络协议的安协议的安全漏洞全漏洞黑客的黑客的恶意攻击恶意攻击计算计算机病毒机病毒攻击攻击 计算机病毒是编制

12、或者在计算机程序计算机病毒是编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并且能自我复制的一组影响计算机使用，并且能自我复制的一组计算机指令或程序代码。计算机指令或程序代码。怎么感染病毒呢？怎么感染病毒呢？从互联网上下载软件从互联网上下载软件运行电子邮件中的附件运行电子邮件中的附件通过交换磁盘来交换文件通过交换磁盘来交换文件将文件在局域网中进行复制将文件在局域网中进行复制案例：案例：网络病毒与网络犯罪网络病毒与网络犯罪 2006年年12月初，我国互联网上大规模爆发月初，我国互联网上大规模爆发“熊猫烧香熊猫烧香”病毒及其变种。一只憨态

13、可掬、颔首敬病毒及其变种。一只憨态可掬、颔首敬香的香的“熊猫熊猫”在互联网上疯狂在互联网上疯狂“作案作案”。在病毒卡。在病毒卡通化的外表下，隐藏着巨大的传染潜力，短短三四通化的外表下，隐藏着巨大的传染潜力，短短三四个月，个月，“烧香烧香”潮波及上千万个人用户、网吧及企潮波及上千万个人用户、网吧及企业局域网用户，造成直接和间接损失超过业局域网用户，造成直接和间接损失超过1亿元。亿元。2007年年2月月3日，日，“熊猫烧香熊猫烧香”病毒的制造者李病毒的制造者李俊落网。李俊向警方交代，他曾将俊落网。李俊向警方交代，他曾将“熊猫烧香熊猫烧香”病病毒出售给毒出售给120余人，而被抓获的主要嫌疑人仅有余人

14、，而被抓获的主要嫌疑人仅有6人，人，所以不断会有所以不断会有“熊猫烧香熊猫烧香”病毒的新变种出现。病毒的新变种出现。有关法律专家称，有关法律专家称，“熊猫烧香熊猫烧香”病毒的制造者是病毒的制造者是典型的故意制作、传播计算机病毒等破坏性程序，典型的故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行的行为。根据刑法规定，影响计算机系统正常运行的行为。根据刑法规定，犯此罪后果严重的，处犯此罪后果严重的，处5年以下有期徒刑或者拘役；年以下有期徒刑或者拘役；后果特别严重的，处后果特别严重的，处5年以上有期徒刑。年以上有期徒刑。通过上述案例可以看出随着互联网和电子商务的通过上述案例可以看出随着互

15、联网和电子商务的快速发展，利用网络犯罪的行为会大量出现，为快速发展，利用网络犯罪的行为会大量出现，为了保证电子商务的顺利发展，法律保障是必不可了保证电子商务的顺利发展，法律保障是必不可少的。少的。2.信息传输风险信息传输风险冒名冒名偷窃偷窃 篡改篡改数据数据 信息信息丢失丢失 信息传递过程信息传递过程中的破坏中的破坏 虚假虚假信息信息 如如“黑客黑客”为了获取重要的商业机密、为了获取重要的商业机密、资源和信息，常采用源资源和信息，常采用源IPIP地址欺骗攻击。地址欺骗攻击。信息传输风险是指进行网上交易时，因信息传输风险是指进行网上交易时，因传输的信息失传输的信息失真或者信息被非法地窃取、篡改和

16、丢失真或者信息被非法地窃取、篡改和丢失，而导致网上交易，而导致网上交易的不必要损失。的不必要损失。2.信息传输风险信息传输风险冒名冒名偷窃偷窃 篡改篡改数据数据 信息信息丢失丢失 信息传递过程信息传递过程中的破坏中的破坏 虚假虚假信息信息 攻击者未经授权进入网络交易系统，攻击者未经授权进入网络交易系统，使用非法手段，删除、修改、重发某些重使用非法手段，删除、修改、重发某些重要信息，破坏数据的完整性，损害他人的要信息，破坏数据的完整性，损害他人的经济利益，或干扰对方的正确决策，造成经济利益，或干扰对方的正确决策，造成网上交易的信息传输风险。网上交易的信息传输风险。请给丁汇100元乙乙甲甲请给丁汇

17、100元请给丙汇100元丙丙请给丙汇100元2.信息传输风险信息传输风险冒名冒名偷窃偷窃 篡改篡改数据数据 信息信息丢失丢失 信息传递过程信息传递过程中的破坏中的破坏 虚假虚假信息信息 交易信息的丢失，可能有三种情况：交易信息的丢失，可能有三种情况：一是因为线路问题造成信息丢失；一是因为线路问题造成信息丢失；二是因为安全措施不当而丢失信息；二是因为安全措施不当而丢失信息；三是在不同的操作平台上转换操作不三是在不同的操作平台上转换操作不当而丢失数据。当而丢失数据。2.信息传输风险信息传输风险冒名冒名偷窃偷窃 篡改篡改数据数据 信息信息丢失丢失 信息传递过信息传递过程中的破坏程中的破坏 虚假虚假信

18、息信息 信息在网上传递时，要经过多个环节信息在网上传递时，要经过多个环节和渠道，许多因素可能会影响到数据的真和渠道，许多因素可能会影响到数据的真实性和完整性。实性和完整性。2.信息传输风险信息传输风险冒名冒名偷窃偷窃 篡改篡改数据数据 信息信息丢失丢失 信息传递过程信息传递过程中的破坏中的破坏 虚假虚假信息信息 用户以合法身份进入系统后，可能发用户以合法身份进入系统后，可能发布虚假的供求信息，或以过期的信息冒充布虚假的供求信息，或以过期的信息冒充现在的信息，以骗取对方的钱款或货物。现在的信息，以骗取对方的钱款或货物。3.信用风险信用风险来自买方的来自买方的信用风险信用风险 来自卖方的信来自卖方

19、的信用风险用风险买卖双方都存在买卖双方都存在抵赖的情况抵赖的情况 使用信用卡进行恶意透支，或使用伪使用信用卡进行恶意透支，或使用伪造的信用卡骗取卖方的货物；拖延货款。造的信用卡骗取卖方的货物；拖延货款。3.信用风险信用风险来自买方的来自买方的信用风险信用风险 来自卖方的信来自卖方的信用风险用风险买卖双方都存在买卖双方都存在抵赖的情况抵赖的情况 卖方不能按质、按量、按时寄送消费者卖方不能按质、按量、按时寄送消费者购买的货物。购买的货物。3.信用风险信用风险来自买方的来自买方的信用风险信用风险 来自卖方的信来自卖方的信用风险用风险买卖双方都存在买卖双方都存在抵赖的情况抵赖的情况 网上交易双方必须有

20、良好的信用，而且网上交易双方必须有良好的信用，而且有一套有效的信用机制降低信用风险。有一套有效的信用机制降低信用风险。4.网上交易管理风险网上交易管理风险交易流程交易流程管理风险管理风险人员管理人员管理风险风险网络交易技术管理的漏网络交易技术管理的漏洞的交易风险洞的交易风险 在网络商品中介交易的过程中，客户进入交易在网络商品中介交易的过程中，客户进入交易中介中心，买卖双方签订合同，交易中心不仅要监中介中心，买卖双方签订合同，交易中心不仅要监督买方按时付款，还要监督卖方按时提供符合合同督买方按时付款，还要监督卖方按时提供符合合同要求的货物。要求的货物。在这些环节上，存在大量管理问题，管理不善在这

21、些环节上，存在大量管理问题，管理不善会造成巨大的潜在风险。为防止此类风险，会造成巨大的潜在风险。为防止此类风险，需要有需要有完善的制度设计完善的制度设计，形成一套相互关联、相互制约的，形成一套相互关联、相互制约的制度。制度。4.管理风险管理风险交易流程交易流程管理风险管理风险人员管理人员管理风险风险网络交易技术管理的漏洞的网络交易技术管理的漏洞的交易风险交易风险 人员管理常常是网上交易安全管理上的最薄弱人员管理常常是网上交易安全管理上的最薄弱的环节，内部犯罪现象明显，的环节，内部犯罪现象明显，工作人员职业道德修工作人员职业道德修养不高，安全教育和管理松懈。养不高，安全教育和管理松懈。一些竞争对

22、手还利用企业招募新人的方式潜入一些竞争对手还利用企业招募新人的方式潜入该企业，或利用不正当的方式收买企业网络交易管该企业，或利用不正当的方式收买企业网络交易管理人员，窃取企业的用户识别码、密码、传递方式理人员，窃取企业的用户识别码、密码、传递方式以及相关的机密文件资料。以及相关的机密文件资料。4.管理风险管理风险交易流程管交易流程管理风险理风险人员管理人员管理风险风险网络交易技术管理的漏洞网络交易技术管理的漏洞的交易风险的交易风险 有些操作系统中的某些用户是无口令的，如匿有些操作系统中的某些用户是无口令的，如匿名名FTP，利用远程登录（，利用远程登录（Telnet）命令登录的这些无）命令登录的

23、这些无口令用户，有可能恶意地把自己升级为超级用户。口令用户，有可能恶意地把自己升级为超级用户。5.法律风险法律风险法律滞后的风险法律滞后的风险法律的事后完善的风险法律的事后完善的风险 在网上交易可能会承担由于法律滞后，在网上交易可能会承担由于法律滞后，即目前尚没有相关法律进行规范，因而无即目前尚没有相关法律进行规范，因而无法保证合法交易的权益所造成的风险。法保证合法交易的权益所造成的风险。5.法律风险法律风险法律滞后的风险法律滞后的风险法律的事后完善的风险法律的事后完善的风险 在网上交易可能承担由于法律的事后在网上交易可能承担由于法律的事后完善所带来的风险，即在原来法律条文没完善所带来的风险，

24、即在原来法律条文没有明确规定下而进行的网上交易，在后来有明确规定下而进行的网上交易，在后来颁布新的法律条文下属于违法经营所造成颁布新的法律条文下属于违法经营所造成的损失。如，证券交易的主体的规定。的损失。如，证券交易的主体的规定。二、二、电子商务的安全要求电子商务的安全要求 电子商务发展的核心和关键问题是交易的电子商务发展的核心和关键问题是交易的安全性。由于安全性。由于InternetInternet本身的开放性，使网上本身的开放性，使网上交易面临了种种危险，由此提出了相应的安全交易面临了种种危险，由此提出了相应的安全控制要求。控制要求。（一）（一）有效性有效性 （二）（二）机密性机密性 （三

25、）完整性（三）完整性 （四）真实性和不可抵赖性的鉴别（四）真实性和不可抵赖性的鉴别 电子商务以电子形式取代了纸张，要对网络故障、操作电子商务以电子形式取代了纸张，要对网络故障、操作失误、应用程序错误、硬件故障、系统软件错误及计算机病失误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时间、确定的地点是有效的。定的时间、确定的地点是有效的。有效性有效性 机密性机密性 完整性完整性 真实性和不可抵赖性的鉴别真实性和不可抵赖性的鉴别 存存存存1000100010001000美元到美元到美元到美

26、元到BobBobBobBob的账号的账号的账号的账号客户客户银银行行存存存存900900900900美元到美元到美元到美元到MalletMalletMalletMallet的账号的账号的账号的账号存存存存100100100100美元到美元到美元到美元到BobBobBobBob账号账号账号账号数据篡改 作为贸易的一种手段，电子商务的信息直接代表着个人、作为贸易的一种手段，电子商务的信息直接代表着个人、企业或国家的商业机密。电子商务是建立在一个较为开放的企业或国家的商业机密。电子商务是建立在一个较为开放的网络环境上的，维护商业机密是电子商务全面推广应用的重网络环境上的，维护商业机密是电子商务全面推

27、广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。被非法窃取。有效性有效性 机密性机密性 完整性完整性 真实性和不可抵赖性的鉴别真实性和不可抵赖性的鉴别 登录：登录：登录：登录：foo.bar.orgfoo.bar.org用户名：用户名：用户名：用户名：dandan密码：密码：密码：密码：M-y-p-a-s-s-w-o-r-d d-a-nM-y-p-a-s-s-w-o-r-d d-a-n 电子商务简化了贸易过程，减少了人为的干预，同时也电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一

28、的问题。贸易各方带来维护贸易各方商业信息的完整、统一的问题。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生产、修改和删除，同时要防止数据传送过程对信息的随意生产、修改和删除，同时要防止数据传送过程中信息的丢失和重复。中信息的丢失和重复。有效性有效性 机密性机密性 完整性完整性 真实性和不可抵赖性的鉴别真实性和不可抵赖性的鉴别 要在交易信息的传输过程中为参与交易的个人、企业或要在交易信息的传输过程中为参与交易的个人

29、、企业或国家甚至是交易信息本身提供可靠的标识，如电子签名、时国家甚至是交易信息本身提供可靠的标识，如电子签名、时间戳等。间戳等。有效性有效性 机密性机密性 完整性完整性 真实性和不可抵赖性的鉴别真实性和不可抵赖性的鉴别 有效性有效性 机密性机密性 完整性完整性 真实性和不可抵赖性的鉴别真实性和不可抵赖性的鉴别 我是我是我是我是BobBobBobBob，将公，将公，将公，将公司与思科公司司与思科公司司与思科公司司与思科公司的所有通信记录的所有通信记录的所有通信记录的所有通信记录发送给我发送给我发送给我发送给我BobBobMalletMalletDataBaseDataBase三、电子商务安全管理

30、思路三、电子商务安全管理思路 电子商务的安全管理电子商务的安全管理，就是通过一个完整的综合，就是通过一个完整的综合保障体系，规避各种风险，以保证网上交易的顺利进保障体系，规避各种风险，以保证网上交易的顺利进行。行。无论从保护合法市场交易利益，还是市场本身的无论从保护合法市场交易利益，还是市场本身的发展来看，确保网上交易安全是电子虚拟市场要解决发展来看，确保网上交易安全是电子虚拟市场要解决的首先问题和基本问题，需要各方配合加强对网上交的首先问题和基本问题，需要各方配合加强对网上交易安全性的监管。易安全性的监管。网上交易安全管理，应采用综合防范的思路，从技术、管理、法律等方面建立一个完整的网络交易

31、安全体系。（1）技术方面：防火墙技术、网络防毒等。（2）加强监管：建立各种有关的合理制度，并严格监督。（3）社会的法律政策与法律保障：尽快出台和完善相关的法律制度，严惩破坏合法网上交易权益的行为。4.2 电子商务安全技术 交易方自身网络安全保障技术交易方自身网络安全保障技术 （一）用户账号管理和网络杀毒技术（一）用户账号管理和网络杀毒技术 （二）防火墙技术（二）防火墙技术 （三）虚拟专用技术（三）虚拟专用技术 （四）入侵检测技术（四）入侵检测技术电子商务信息传输安全保障技术电子商务信息传输安全保障技术 （一）（一）加密技术加密技术 （二）（二）数字摘要技术数字摘要技术身份和信息认证技术身份和信

32、息认证技术 （一）（一）身份认证身份认证 （二）（二）信息认证信息认证 （三）（三）通过认证机构认证通过认证机构认证 电子商务安全支付技术电子商务安全支付技术 （一）（一）SSL安全协议安全协议 （二）（二）SET安全协议安全协议 一、交易方自身网络安全保障技术一、交易方自身网络安全保障技术 （一）用户账号管理和网络杀毒技术（一）用户账号管理和网络杀毒技术 （二）防火墙技术（二）防火墙技术 （三）虚拟专用技术（三）虚拟专用技术 （四）入侵检测技术（四）入侵检测技术 获取合法的账号和密码是黑客攻击网络系统最常使用的方法。因此，获取合法的账号和密码是黑客攻击网络系统最常使用的方法。因此，用户账号的

33、安全管理措施包括：用户账号的安全管理措施包括：（1）技术层面的安全支持技术层面的安全支持，即针对用户账号完整性的技术，包括用户，即针对用户账号完整性的技术，包括用户分组管理分组管理（对不同的成员赋予不同的权限）（对不同的成员赋予不同的权限）、单一登录密码制、单一登录密码制（用户在企（用户在企业计算机网络任何地方都使用同一个用户名和密码）业计算机网络任何地方都使用同一个用户名和密码）、用户认证（、用户认证（结合多结合多种手段如电话号码、种手段如电话号码、IP地址、用户使用的时间等精确地确认用户）。地址、用户使用的时间等精确地确认用户）。（2）在企业）在企业信息管理的政策方面信息管理的政策方面有相

34、应的措施，即划分不同的用户级有相应的措施，即划分不同的用户级别，制定密码政策别，制定密码政策（如密码的长度、密码定期更换、密码的组成等），（如密码的长度、密码定期更换、密码的组成等），对对职员的流动采取必要的措施，以及对职员进行计算机安全的教育。职员的流动采取必要的措施，以及对职员进行计算机安全的教育。两者相互作用才能在一定程度上真正有效地保证用户账号的保密性。两者相互作用才能在一定程度上真正有效地保证用户账号的保密性。采取多方面的防治措施预防病毒、检查病毒、消除病毒。采取多方面的防治措施预防病毒、检查病毒、消除病毒。用户账号管理和网络杀毒技术用户账号管理和网络杀毒技术 防火墙技术防火墙技术虚

35、拟专用技术虚拟专用技术 入侵检测技术入侵检测技术 防火墙防火墙是由软件和硬件设备组合而成的，是处于企业内部网和外部网是由软件和硬件设备组合而成的，是处于企业内部网和外部网之间，用户加强内外之间安全防范的一个或一组系统。之间，用户加强内外之间安全防范的一个或一组系统。一个好的防火墙系统应具有以下几方面的作用：一个好的防火墙系统应具有以下几方面的作用：1、限制他人进入内部网络，过滤掉不安全服务和非法用户、限制他人进入内部网络，过滤掉不安全服务和非法用户2、允许内部网的一部分被外部网访问，另一部分被保护起来。、允许内部网的一部分被外部网访问，另一部分被保护起来。3、限定内部网对特殊的站点访问、限定内

36、部网对特殊的站点访问4、为监视互联网的安全提供方便、为监视互联网的安全提供方便用户账号管理和网络杀毒技术用户账号管理和网络杀毒技术 防火墙技术防火墙技术虚拟专用技术虚拟专用技术 入侵检测技术入侵检测技术防火墙有没有缺陷呢？防火墙有没有缺陷呢？u防火墙限制了有用的网络服务防火墙限制了有用的网络服务u防火墙不能防范不经由防火墙的攻击防火墙不能防范不经由防火墙的攻击u防火墙不能防范来自网络内部的攻击防火墙不能防范来自网络内部的攻击 虚拟专用网（虚拟专用网（VPNVPN），这是指利用隧道技术把两个或多个专用网络通），这是指利用隧道技术把两个或多个专用网络通过公共网（通常指过公共网（通常指Interne

37、tInternet）安全地连接到一起，组成虚拟的统一的专用）安全地连接到一起，组成虚拟的统一的专用网的技术。网的技术。其之所以称为虚拟网，主要是因为整个其之所以称为虚拟网，主要是因为整个VPNVPN网络的任意两个节点之间网络的任意两个节点之间的连接并没有传统专用网络所需的端到端物理链路，而是架构在公用网络的连接并没有传统专用网络所需的端到端物理链路，而是架构在公用网络服务商所提供的网络平台，如服务商所提供的网络平台，如InternetInternet、ATM(ATM(异步传输模式异步传输模式)、帧中继等之、帧中继等之上的逻辑网络，用户数据在逻辑链路中传输。上的逻辑网络，用户数据在逻辑链路中传输

38、。用户账号管理和网络杀毒技术用户账号管理和网络杀毒技术 防火墙技术防火墙技术虚拟专用技术虚拟专用技术 入侵检测技术入侵检测技术内部网内部网互联网通过VPN组建的企业内部网 入侵检测（入侵检测（“IDS”）是一种对网络传输进行）是一种对网络传输进行即时监视即时监视，在发，在发现可疑传输时现可疑传输时发出警报发出警报或者采取或者采取主动反应主动反应措施的网络安全设备。措施的网络安全设备。u入侵检测通过执行以下任务来实现：入侵检测通过执行以下任务来实现：监视、分析用户及系统活动；监视、分析用户及系统活动；系统构造和弱点的审计；系统构造和弱点的审计；识别反映已知进攻的活动模式并向相关人士识别反映已知进

39、攻的活动模式并向相关人士报警；报警；异常行为模式的统计分析；异常行为模式的统计分析；评估重要系统和数据文件的完整性；评估重要系统和数据文件的完整性；操作系统的审计跟踪管理，并识别用户违反操作系统的审计跟踪管理，并识别用户违反安全策略的行为。安全策略的行为。用户账号管理和网络杀毒技术用户账号管理和网络杀毒技术 防火墙技术防火墙技术虚拟专用技术虚拟专用技术 入侵检测技术入侵检测技术实时监控非法入侵的过程示意图报警报警日志记录日志记录攻击检测攻击检测记录入侵记录入侵过程过程 重新配置重新配置防火墙防火墙路由器路由器内部入侵内部入侵入侵检测入侵检测记录记录终止入侵终止入侵二、电子商务信息传输安全保障技

40、术二、电子商务信息传输安全保障技术 （一）（一）加密技术加密技术 （二）（二）数字摘要技术数字摘要技术（一）、加密技术 加密技术是认证技术及其他许多安全技术的基础。加密技术是认证技术及其他许多安全技术的基础。加密技术是认证技术及其他许多安全技术的基础。加密技术是认证技术及其他许多安全技术的基础。“加密加密加密加密”，简单地说，就是使用数学的方法将原始，简单地说，就是使用数学的方法将原始，简单地说，就是使用数学的方法将原始，简单地说，就是使用数学的方法将原始信息（明文）重新组织与变换成只有授权用户才能解读信息（明文）重新组织与变换成只有授权用户才能解读信息（明文）重新组织与变换成只有授权用户才能

41、解读信息（明文）重新组织与变换成只有授权用户才能解读的密码形式（密文）。的密码形式（密文）。的密码形式（密文）。的密码形式（密文）。而而而而“解密解密解密解密”就是将密文重新恢复成明文。就是将密文重新恢复成明文。就是将密文重新恢复成明文。就是将密文重新恢复成明文。加密技术包括两个元素：算法是在加密和解密时所使用的信息变换规则。算法是在加密和解密时所使用的信息变换规则。(如公式、法则或程序如公式、法则或程序)。密钥是控制加密和解密过程的一组随机数码密钥是控制加密和解密过程的一组随机数码(控控制只是指与密钥有关，而与算法无关制只是指与密钥有关，而与算法无关)。现代密码学的一个基本原则是：现代密码学

42、的一个基本原则是：一切秘密寓一切秘密寓于密钥之中于密钥之中。密码算法可以公开，真正需要保密的。密码算法可以公开，真正需要保密的是密钥。因此，称是密钥。因此，称密钥密钥是加密或解密过程中的关键是加密或解密过程中的关键要素。要素。古典加密技术 替代算法恺撒密码恺撒密码(单字母替换单字母替换)明文：明文：abcdefghijklmnopq密文：密文：defghijklmnopqrst此时密钥为此时密钥为3，即每个字母顺序推后，即每个字母顺序推后3个。个。解密使用相同的方法，密钥为解密使用相同的方法，密钥为-3。例如：例如：将字母的自然顺序保持不变，但使之分别与将字母的自然顺序保持不变，但使之分别与相

43、差相差4个字母的字母相对应。个字母的字母相对应。HowareyouLsaevicsy对称密钥密码体制对称密钥密码体制对称密钥密码体制对称密钥密码体制加密技术的类型加密技术的类型 非对称密钥密码体制非对称密钥密码体制非对称密钥密码体制非对称密钥密码体制加密密钥与解密密钥是加密密钥与解密密钥是加密密钥与解密密钥是加密密钥与解密密钥是相同相同相同相同的。密钥必须通的。密钥必须通的。密钥必须通的。密钥必须通过安全可靠的途径传递。由于密钥管理成为过安全可靠的途径传递。由于密钥管理成为过安全可靠的途径传递。由于密钥管理成为过安全可靠的途径传递。由于密钥管理成为影响系统安全的关键性因素，使它难以满足影响系统

44、安全的关键性因素，使它难以满足影响系统安全的关键性因素，使它难以满足影响系统安全的关键性因素，使它难以满足系统的开放性要求。系统的开放性要求。系统的开放性要求。系统的开放性要求。把加密过程和解密过程设计成不同的途径，把加密过程和解密过程设计成不同的途径，把加密过程和解密过程设计成不同的途径，把加密过程和解密过程设计成不同的途径，当算法公开时，在计算上不可能由加密密当算法公开时，在计算上不可能由加密密当算法公开时，在计算上不可能由加密密当算法公开时，在计算上不可能由加密密钥求得解密密钥，因而加密密钥可以公开，钥求得解密密钥，因而加密密钥可以公开，钥求得解密密钥，因而加密密钥可以公开，钥求得解密密

45、钥，因而加密密钥可以公开，而只需秘密保存解密密钥即可。而只需秘密保存解密密钥即可。而只需秘密保存解密密钥即可。而只需秘密保存解密密钥即可。公开密钥密码体制产生于公开密钥密码体制产生于公开密钥密码体制产生于公开密钥密码体制产生于19761976年，又称双钥或年，又称双钥或年，又称双钥或年，又称双钥或非对称密钥密码体制。非对称密钥密码体制。非对称密钥密码体制。非对称密钥密码体制。19771977年麻省理工学院的三位年麻省理工学院的三位年麻省理工学院的三位年麻省理工学院的三位科学家科学家科学家科学家R Rivestivest、S Shamirhamir和和和和A Adlemandleman提出最著名

46、和使用提出最著名和使用提出最著名和使用提出最著名和使用最广泛的最广泛的最广泛的最广泛的公钥加密公钥加密公钥加密公钥加密方法方法方法方法RSARSA公开密钥密码系统。公开密钥密码系统。公开密钥密码系统。公开密钥密码系统。非对称密钥算法的加密解密流程非对称密钥算法的加密解密流程非对称密钥算法的加密解密流程非对称密钥算法的加密解密流程 加密原文 密文原文解密公钥私钥非对称密钥密码体制非对称密钥密码体制非对称加密方式中密钥的分发与管理非对称密钥密码体制非对称密钥密码体制老张老张小李的公开小李的公开密匙密匙小李小李老张老张密文密文小李小李小李的私有小李的私有密匙密匙老张的私有老张的私有密匙密匙老张的公开

47、老张的公开密匙密匙密文密文鉴鉴别别保保密密用用RSA鉴别鉴别,只有老张能发出该信息只有老张能发出该信息用用RSA保密保密,只有小李能解开该信息只有小李能解开该信息非对称密钥密码体制非对称密钥密码体制非对称密钥密码技术的优缺点：优点：第一，在多人之间进行保密信息传输所需的密钥组合数量很小；第二，密钥的发布不成问题；第三，公开密钥系统可实现数字签名。缺点：加密解密比私有密钥加密系统的速度慢得多。对称密钥技术，加密和解密双方对称密钥技术，加密和解密双方对称密钥技术，加密和解密双方对称密钥技术，加密和解密双方使用相同的密钥使用相同的密钥使用相同的密钥使用相同的密钥。对称密钥密码体系最著名的算法有对称密

48、钥密码体系最著名的算法有对称密钥密码体系最著名的算法有对称密钥密码体系最著名的算法有DESDES（美国数据加密（美国数据加密（美国数据加密（美国数据加密标准）、标准）、标准）、标准）、AES(AES(高级加密标准高级加密标准高级加密标准高级加密标准)和和和和IDEAIDEA（欧洲数据加密标准（欧洲数据加密标准（欧洲数据加密标准（欧洲数据加密标准）。）。）。）。对称密钥加密技术明文明文加密算加密算法法解密算解密算法法密文密文明文明文密钥密钥K密钥密钥KAB举例举例Happy New Year每个字母用前一字每个字母用前一字母代替母代替,例例G代替代替HGzoox Mdv Xdzq密文密文明文明文

49、明文明文明文明文明文明文Happy New Year每个字每个字母用后母用后一个字一个字母代替母代替一个简单的加密算法一个简单的加密算法ROT13最简单的加密算法之一是最简单的加密算法之一是ROT13。在这种算法中，每个字母。在这种算法中，每个字母都被分配给一个数字。都被分配给一个数字。A变成了变成了1，B变成了变成了2，等等以此类推。，等等以此类推。如果你现在写下如果你现在写下“HELLO”，把每个字母转换成数字，并加上，把每个字母转换成数字，并加上13，然后在把这个数字转换成字母。如果数字大于，然后在把这个数字转换成字母。如果数字大于26，就相，就相应把它减少应把它减少26，以便让这个数字

50、处于字母表的范围内。这样，以便让这个数字处于字母表的范围内。这样HELLO变成了变成了8，5，12，12，15。给每个数字加上。给每个数字加上13，变，变成成21，18，25，25，28。由于。由于28大于大于26，将其减去，将其减去26，这，这样你最后得到的数字序列是样你最后得到的数字序列是21，18，25，25，2。再转换成。再转换成字母后，就是字母后，就是URYYB。ABCDEFGHIJKLM12345678910 11 12 13NOPQRSTUVWXYZ14 15 16 17 18 19 20 21 22 23 24 25 26图为有图为有6 6个用户的网络其对称密钥的分发情况个用户