电子商务和现代物流研究所制作课件.ppt
《电子商务和现代物流研究所制作课件.ppt》由会员分享,可在线阅读,更多相关《电子商务和现代物流研究所制作课件.ppt(79页珍藏版)》请在三一办公上搜索。
1、上海理工大学电子商务与现代物流研究所制作,1,上海理工大学电子商务与现代物流研究所制作1,第八章 电子商务安全管理,8.1 网络交易风险和安全管理的基本 思路 8.2 客户认证技术 8.3 防止黑客入侵 8.4 电子商务系统的安全管理制度 8.5 电子商务交易安全的法律保障,2,第八章 电子商务安全管理8.1 网络交易风险和安全管理的基本,8.1 网络交易风险和安全管理的基本思路,8.1.1 网络交易风险凸现8.1.2 网络交易风险源分析8.1.3 网络交易安全管理的基本思路,3,8.1 网络交易风险和安全管理的基本思路8.1.1 网络交易,8.1.1 网络交易风险凸现,2019年6月,湖南省
2、石门县刘政、覃业名等6人以石门县兴源公司的名义,利用Internet发布虚假商情,骗得深圳市威远工贸公司编制袋15万,价值20万元。在抗洪抢险期间,又采取订立虚假合同的方式,将所骗物资变卖到湖南津市、澧县、益阳等显示,获赃款9万余元,均被挥霍一空。 2019年4月19日至21日,由于温保成、王飞等人在互联网BBS站点上非法张贴帖子,带头散布谣言,严重损害了交通银行商业声誉,导致了交通银行郑州分行的重大挤兑事件。4月21日晚,郑州市公安局依照刑法第221条,刑事拘留了7名散布谣言、制造混乱、损害交通银行商业声誉的违法人员。,4,8.1.1 网络交易风险凸现2019年6月,湖南省石门县刘政,201
3、9年4月13日,我国某计算机用户发现其系统注册表被改动了,表里增加了一个新的启动程序。当用户登录工商银行的网上银行页面时,该程序就会自动监测到这个浏览动作,然后修改用户登录的合法页面。始作俑者就通过这个非法地址来搜集用户的网上银行账户信息。 2019年12月08日,中国银行发布声明,7日下午有不法分子制作该行的假网站,外观与真网站非常相似。而在此前,已有一个与中国工商银行网站十分相似的网站开始运行。真的工行网址与假的工商网址区别仅是字母i被换成了1。12月11日网上又发现一个假银联网站。假银联网站的主页上有中国银联的标志和一段有关银联的动画,要求用户填写姓名、账号、密码、持卡银行等信息,网页的
4、底栏还有各商业银行信用卡的标志(参见图8-1)。,5,2019年4月13日,我国某计算机用户发现其系统注册表被改动,图8-1 假银联网站主页,6,图8-1 假银联网站主页6,8.1.2 网络交易风险源分析,电子商务风险源分析主要是依据对网络交易整个运作过程的考察,确定交易流程中可能出现的各种风险,分析其危害性,旨在发现交易过程中潜在的安全隐患和安全漏洞,从而使网络交易安全管理有的放矢。 1.在线交易主体的市场准入问题 在电子商务环境下,任何人不经登记就可以借助计算机网络发出或接受网络信息,并通过一定程序与其他人达成交易。虚拟主体的存在使电子商务交易安全性受到严重威胁。电子商务交易安全首先要解决
5、的问题就是确保网上交易主体的真实存在,且确定哪些主体可以进入虚拟市场从事在线业务。,7,8.1.2 网络交易风险源分析电子商务风险源分析主要是依据对,2.信息风险 买卖双方都可能在网络上发布虚假的供求信息,或以过期的信息冒充现在的信息。 虚假信息包含有与事实不符和夸大事实两个方面。 从技术上看,网络交易的信息风险主要来自冒名偷窃、篡改数据、信息丢失等方面的风险。3.信用风险来自买方的信用风险。 来自卖方的信用风险。买卖双方都存在抵赖的情况。,8,2.信息风险 8,4. 电子合同问题电子商务法需要解决由于电子合同与传统合同的差别而引起的诸多问题,突出表现在书面形式,签字有效性、合同收讫、合同成立
6、地点、合同证据等方面。5.电子支付问题网上支付通过信用卡制服和虚拟银行的电子资金划拨来完成。而实现这一过程涉及网络银行与网络交易客户之间的协议、网络银行与网站之间的合作协议以及安全保障问题。,9,4. 电子合同问题9,6.在线消费者保护问题 在线市场的虚拟性和开放性,网上购物的便捷性使消费者保护成为突出的问题。在我国商业信用不高的状况下,网上出售的商品可能良莠不齐,质量难以让消费者信赖。7.电子商务中产品交付问题在线交易的标的物分两种,一种有形货物,另一种是无形的信息产品。有形货物的交付仍然可以沿用传统合同法的基本原理。信息产品的交付则具有不同于有形货物交付的特征,对于其权利的移转、退货、交付
7、的完成等需要有相应的安全保障措施。,10,6.在线消费者保护问题 10,8.1.3 网络交易安全管理的基本思路,电子商务是活动在Internet 平台上的一个涉及信息、资金和物资交易的综合交易系统,其安全对象不是一般的系统,而是一个开放的、人在其中频繁活动的、与社会系统紧密耦合的复杂巨系统(complex giant system)。它是由商业组织本身(包括营销系统、支付系统、配送系统等)与信息技术系统复合构成的。,11,8.1.3 网络交易安全管理的基本思路电子商务是活动在Int,电子商务交易安全要通过人网结合、人机结合,充分发挥各自优势的方法,才能经过综合集成,使系统表现出新的安全性质整体
8、大于部分之和。 与电子商务交易系统相适应,电子商务交易安全是一个系统工程。一个完整的网络交易安全体系,至少应包括三类措施,一是技术方面的措施,二是管理方面的措施,三是社会的政策与法律保障。,12,电子商务交易安全要通过人网结合、人机结合,充分发挥各自优势的,8.2 客户认证技术,8.2.1 身份认证 8.2.2 信息认证技术 8.2.3 通过认证机构认证,13,8.2 客户认证技术8.2.1 身份认证 13,8.2.1 身份认证,客户认证主要包括客户身份认证和客户信息认证。前者用于鉴别用户身份,保证通信双方的身份的真实性;后者用于保证通信双方的不可抵赖性和信息的完整性。1.身份认证的目标身份认
9、证包含识别和鉴别两个过程。身份标识是指定用户向系统出示自己的身份证明过程。身份鉴别是系统查核用户的身份证明的过程。身份认证的主要目标包括:(1)确保交易者是交易者本人,而不是其他人。(2)避免与超过权限的交易者进行交易。(3)访问控制。,14,8.2.1 身份认证客户认证主要包括客户身份认证和客户信息认,2.用户身份认证的基本方式用户身份认证可通过三种基本方式或其组合方式实现: (1)用户通过某个秘密信息,例如通过口令访问系统资源。(2)用户知道的某个秘密信息,并且利用包含这一秘密信息 的载体访问系统资源。 (3)用户利用自身所具有的某些生物学特征,如指纹、声音、 DNA图案、视网膜扫描等等。
10、根据在认证中采用因素的多少,可以分为单因素认证、双因素认证,多因素认证等方法。,15,2.用户身份认证的基本方式15,3.身份认证的单因素法用户身份认证的最简单方法就是口令。这种方法操作简单,但也最不安全。口令进行加密传输是一种改进的方法 。4.基于智能卡的用户身份认证基于智能卡的用户身份认证机制属于双因素法。用户的二元组信息预先存于智能卡中,然后在认证服务器中存入某个事先由用户选择的某个随机数。用户访问系统资源时,用户输入二元组信息。系统首先判断智能卡的合法性,然后由智能卡鉴别用户身份,若用户身份合法,再将智能卡中的随机数送给认证服务器作进一步认证。,16,3.身份认证的单因素法16,5.一
11、次口令机制 最安全的身份认证机制是采用一次口令机制,即每次用户登录系统时口令互不相同。主要有两种实现方式。一次口令机制主要有两种实现方式:(1)请求响答方式。(2)时钟同步机制。,17,5.一次口令机制 17,8.2.2 信息认证技术,1.信息认证的目标信息认证的主要目标包括:(1)可信性。信息的来源是可信的,即信息接收者能够确认所获得的信息不是由冒充者所发出的。(2)完整性。信息接收者能够确认所获得的信息在传输过程中没有被修改、延迟和替换。(3)不可抵赖性。要求通信双方不能否认自己所发出或接收的信息。(4)保密性。对敏感的文件进行加密,即使别人截获文件也无法得到其内容。,18,8.2.2 信
12、息认证技术1.信息认证的目标18,2.基于私有密钥体制的信息认证基于私有密钥体制采用了对称加密算法,即信息交换双方共同约定一个口令或一组密码,建立一个通讯双方共享的密钥。通信的甲方将要发送信息用私钥加密后传给乙方,乙方用相同的私钥解密后获得甲方传递的信息(参见图8-2)。对称加密算法有多种,最常用的是DES算法。对称加密算法在电子商务交易过程中存在三个问题:(1)要求提供一条安全的渠道使通讯双方在首次通讯时协商一个共同的密钥。(2)密钥的数目将快速增长而变得难于管理。(3)对称加密算法一般不提供信息完整性的鉴别。,19,2.基于私有密钥体制的信息认证19,图8-2 对称加密示意图,20,图8-
13、2 对称加密示意图 20,3.基于公开密钥体制的信息认证公开密钥加密体系采用的是非对称加密算法。使用公开密钥算法需要两个密钥:公开密钥和私有密钥。公开密钥体制常用的加密算法是RSA算法。图8-3是使用公钥加密和对应的私钥解密的示意图。,图8-3使用公钥加密和对应的私钥解密的示意图,21,3.基于公开密钥体制的信息认证图8-3使用公钥加密和对应的,4.数字签字和验证文件的数字签字过程实际上是通过一个哈希函数来实现的。哈希函数将需要传送的文件转化为一组具有固定长度的单向Hash值,形成报文摘要。发送方用自己的私有密钥对报文摘要进行加密,然后将其与原始的报文附加在一起,即合称为数字签字。数字签字代表
14、了文件的特征,文件如果发生改变,数字签字的值也将发生变化。数字签字机制提供一种鉴别方法,通过它能够实现对原始报文的鉴别和验证。,22,4.数字签字和验证22,图8-4 数字签字和验证过程示意图,图8-4显示了数字签字和验证的传输过程。,23,图8-4 数字签字和验证过程示意图 图8-4显示了数字签字和,图8-4的运作步骤如下:(1)发送方首先用哈希函数,将需要传送的消息转换成报文摘要。(2)发送方采用自己的私有密钥对报文摘要进行加密,形成数字签字。(3)发送方把加密后的数字签字附加在要发送的报文后面,传递给接收方。(4)接受方使用发送方的公有密钥对数字签字进行解密,得到发送方形成的报文摘要。(
15、5)接收方用哈希函数将接收到的报文转换成报文摘要,与发送方形成的报文摘要相比较,若相同,说明文件在传输过程中没有被破坏。,24,图8-4的运作步骤如下:24,5.时间戳时间戳(time-stamp)是一个经加密后形成的凭证文档,它包括需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签字三个部分。时间戳产生的过程为:用户首先将需要加时间戳的文件用Hash函数转化为报文摘要,然后将该摘要加密后发送到提供时间戳服务的机构,DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密(数字签字),然后送回用户。,25,5.时间戳25,8.2.3 通过认证机构认证,1.数字证书 数字证书作
16、为网上交易双方真实身份证明的依据,是一个经证书授权中心(CA)数字签名的、包含证书申请者(公开密钥拥有者)个人信息及其公开密钥的文件,由可信任的、公正的权威机构CA颁发。数字证书按照不同的分类有多种形式,如个人数字证书和单位数字证书,SSL数字证书和SET数字证书等。数字证书由两部分组成:申请证书主体的信息和发行证书的CA签字(参见图8-5)。,26,8.2.3 通过认证机构认证1.数字证书 26,图8-5 数字证书的组成,27,图8-5 数字证书的组成 27,2.认证机构(Certificate Authority,CA)认证机构是为了从根本上保障电子商务交易活动顺利进行而设立的,主要是解决
17、电子商务活动中交易参与各方身份、资信的认定,维护交易活动的安全。CA 是提供身份验证的第三方机构,由一个或多个用户信任的组织实体构成。CA 的功能主要有:接收注册请求,处理、批准/拒绝请求,颁发证书。在实际运作中,CA也可由大家都信任的一方担当,例如在客户、商家、银行三角关系中,客户使用的是由某个银行发的卡,而商家又与此银行有业务关系。在此情况下,客户和商家都信任该银行,可由该银行担当CA角色,接收、处理他的卡客户证书和商家证书的验证请求。,28,2.认证机构(Certificate Authority,,图8-6 CA认证,持卡人要与商家通信,持卡人从公开媒体上获得了商家的公开密钥,但持卡人
18、无法确定商家不是冒充的,于是持卡人请求CA对商家认证,CA对商家进行调查、验证和鉴别后,将包含商家公钥的证书传给持卡人。同样,商家也可对持卡人进行验证,如图8-6所示。,29,图8-6 CA认证持卡人要与商家通信,持卡人从公开媒体上获得,3.电子商务的CA认证体系电子商务CA体系包括两大部分,即符合SET标准的SET CA认证体系(又叫金融CA体系)和基于X.509的 PKI CA体系(又叫非金融CA体系)。 1)SET CA SET协议中可以看出,由于采用公开密钥加密算法,认证中心(CA)就成为整个系统的安全核心。 在SET中,CA所颁发的数字证书主要有持卡人证书、商户证书和支付网关证书。S
19、ET中CA的层次结构如图8-7所示。,30,3.电子商务的CA认证体系30,图8-7 SET中CA的层次结构,31,图8-7 SET中CA的层次结构31,2)PKI CAPKI是提供公钥加密和数字签字服务的安全基础平台,目的是管理密钥和证书。PKI 是创建、颁发、管理、撤消公钥证书所涉及到的所有软件、硬件的集合体。PKI将公开密钥技术、数字证书、证书发放机构(CA)和安全策略等安全措施整合起来,成为目前公认的在大型开放网络环境下解决信息安全问题最可行、最有效的方法。图8-8是PKI的主要功能和服务的汇总。,32,2)PKI CA32,图8-8 PKI的主要功能和服务,33,图8-8 PKI的主
20、要功能和服务 33,图8-9 PKI体系的构成,一个典型的PKI应用系统包括五个部分:密钥管理子系统、证书受理子系统、证书签发子系统、证书发布子系统、目录服务子系统。,34,图8-9 PKI体系的构成 一个典型的PKI应用系统包括五,4.证书的树形验证结构在双方通信时,通过出示由某个 CA 签发的证书来证明自己的身份,如果对签发证书的CA本身不信任,则可验证CA的身份,依次类推,一直到公认的权威CA处(参见图8-10)。,图8-10 证书的树形验证结构,35,4.证书的树形验证结构图8-10 证书的树形验证结构35,5.带有数字签字和数字证书的加密系统安全电子商务使用的文件传输系统大都带有数字
21、签字和数字证书,其基本流程如图8-11所示。,图8-11 带有数字签字和数字证书的加密系统,36,5.带有数字签字和数字证书的加密系统图8-11 带有数字签字,图8-11显示了整个文件加密传输的10个步骤:(1)在发送方的网站上,将要传送的信息通过哈什函数变换为预先设定长度的报文摘要;(2)利用发送方的私钥给报文摘要加密,结果是数字签字;(3)将数字签字和发送方的认证证书附在原始信息上打包,使用DES算法生成的对称密钥在发送方的计算机上为信息包加密,得到加密信息包。(4)用预先收到的接收方的公钥为对称密钥加密,得到数字信封;(5)加密信息和数字信封合成一个新的信息包,通过互联网将加密信息和数字
22、信封传导接收方的计算机上;,37,图8-11显示了整个文件加密传输的10个步骤:37,(6)用接收方的私钥解密数字信封,得到对称密钥;(7)用还原的对称密钥解密加密信息,得到原始信息、数字签字和发送方的认证证书;(8)用发送方公钥(置于发送方的认证证书中)解密数字签字,得到报文摘要;(9)将收到的原始信息通过哈什函数变换为报文摘要;(10)将第8步和第9步得到的信息摘要加以比较,以确认信息的完整性。,38,(6)用接收方的私钥解密数字信封,得到对称密钥;38,8.3 防止黑客入侵,8.3.1 黑客的基本概念 8.3.2 网络黑客常用的攻击手段8.3.3 防范黑客攻击的主要技术手段,39,8.3
23、 防止黑客入侵8.3.1 黑客的基本概念 39,8.3.1 黑客的基本概念,黑客(hacker),源于英语动词hack,分为骇客和窃客。骇客只想引人注目,证明自己的能力,不会去破坏系统。他们追求的是从侵入行为本身获得巨大的成功的满足。窃客的行为带有强烈的目的性。主要是窃取国家情报、科研情报;也瞄准了银行的资金和电子商务的整个交易过程。,40,8.3.1 黑客的基本概念黑客(hacker),源于英语动词,8.3.2 网络黑客常用的攻击手段,1.口令攻击 黑客首先通过进入系统的常用服务,或对网络通信进行监视,使用扫描工具获取目标主机的有用信息。2.服务攻击 和目标主机建立大量的连接。 向远程主机发
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 电子商务 现代 物流 研究所 制作 课件
链接地址:https://www.31ppt.com/p-2027089.html