电子商务安全要素_范文大全

电子商务安全要素

【范文精选】电子商务安全要素

【范文大全】电子商务安全要素

【专家解析】电子商务安全要素

【优秀范文】电子商务安全要素

范文一:电子商务的安全要素 投稿:潘懊懋

电子商务的安全要素

1、有效性、真实性

有效性。真实性是指能对信息、实体的有效性。真实性进行鉴别

电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业和国家的经济利益和声誉。如何保证这种电子贸易信息的有效性和真实性成了经营电子商务的前提。因此,要对网络故障、操作失误、应用程序错误、硬件故障、系统软件错误及计算机病毒的潜在威胁加以控制和预防,保障贸易数据在确定的地点的有效性和真实性

2、机密性

机密性是指保证信息不会泄漏给非授权人或实体

电子商务作为一种贸易手段,其信息是个人、企业或国家的商业机密。网络交易必须保证发送者和接受者之间交换信息的保密性,而电子商务建立在一个较为开放的网络环境上,商业保密就成为电子商务全面推广应用的重点保护对象。因此,要预防非法信息存取和信息在传输过程中被非法窃取,确保只有合法的用户才能看到数据,防止泄密事件的发生

3、数据的完整性

数据的完整性要求防止数据非授权的输入、修改、删除或破

坏,保证数据的一致性

信息的完整性将影响到贸易各方的交易和经营策略,保持这种完整性是电子商务应用的基础,数据输入时的意外差错或欺诈行为可能导致贸易各方信息的差异。数据传输过程中的信息丢失、信息重发或信息传送次序的差异也会导致贸易各方信息不相同。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中和重复信息并保证信息传送次序的统一

4、可靠性、不可抵赖性

可靠性是要求保证合法用户对信息和资源的使用不会遭到不正当的拒绝;不可抵赖性是要求建立有效的责任机制,防止实体否认其行为

在互联网上每个人都是匿名的,原发方字发送数据后不能抵赖;接收方在接收数据后也不能抵赖。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已经不可能。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识,为了做交易,各方必须能够鉴别另一方的身份。一旦一方签订交易后。这项交易就应收到保护以防止被篡改或伪造

范文二:电子商务安全 投稿:张滲滳

第五章 电子商务安全技术

电子商务大量的商务活动是运作在公开的网络上,支付信息、订货信息、谈判信息、机密的商务往来文件等商务信息在计算机系统中存放、传输和处理,计算机诈骗、计算机病毒等造成的商务信息被窃、篡改和破坏、以及机器失效、程序错误、误操作、传输错误等造成的信息失误或失效,都严重危害着电子商务系统的安全。尤其是基于因特网之上的电子商务活动,对安全通信提出了前所未有的要求。

安全性是影响电子商务健康发展的关键。如何采取高效的安全措施保证电子商务的顺利展开,解决电子商务中存在的一系列法律问题,成为电子商务良好运作的基础。

第一节 电子商务安全的概念

一、电子商务安全的概念

电子商务是一个社会与技术相结合的综合性系统,其安全性是一个多层次、多方位的系统的概念:(1)广义上讲,它不仅与计算机系统结构有关,还与电子商务应用的环境、人员素质和社会因素有关,它包括电子商务系统的硬件安全、软件安全、运行安全及电子商务立法。(2)从狭义上讲,它是指电子商务信息的安全,主要包括两个方面:信息的存储安全和信息的传输安全。

1、电子商务系统硬件安全:硬件安全是指保护计算机系统硬件(包括外部设备)的安全,保证其自身的可靠性和为系统提供基本安全机制。

2、电子商务系统软件安全:软件安全是指保护软件和数据不被窜改、破坏和非法复制。系统软件安全的目标是使计算机系统逻辑上安全,主要是使系统中信息的存取、处理和传输满足系统安全策略的要求。根据计算机软件系统的组成,软件安全可分为:操作系统安全、数据库安全、网络软件安全和应用软件安全。

3、电子商务系统运行安全:运行安全是指保护系统能连续和正常地运行。

4、电子商务安全立法:电子商务安全立法是指对电子商务犯罪的约束,它是利用国家机器,通过安全立法,体现与犯罪斗争的国家意志。

综上所述,电子商务安全是一个复杂的系统问题。电子商务安全立法与电子商务应用的环境、人员素质、社会有关,基本上不属于技术上的系统设计问题,而硬件安全是目前硬件技术水平能够解决的问题。鉴于现代计算机系统软件的庞大和复杂性,软件安全成为电子商务系统安全的关键问题。这也是本章主要介绍的内容。

二、电子商务的安全需求

电子商务的安全主要是指通信安全与计算机安全。通信安全对从一个系统传送到另一个系统的信息进行保护。计算机安全对计算机系统中的信息进行保护,其中包括操作系统软件和数据库软件的安全特性。衡量这两大类的安全性常常要考察下述几个方面:

1、信息的保密性

信息的保密性是指信息在传输过程或存储中不被他人窃取。因此,信息需要加密以及在必要的节点上设置防火墙。例如信用卡号在网上传输时,如果非持卡人从网上拦截并知道了这个号码,他也可以用这个号码在网上购物。因此,必须对要保密的信息进行加密,然后再放到网上传输。

2、信息的完整性

信息的完整性是从信息传输和存储两个方面来看的。在存储时,要防止非法窜改和破坏网站上的信息。在传输过程中,接收端收到的信息与发送的信息完全一样,说明在传输过程中信息没有遭到破坏。尽管信息在传输过程中被加了密,能保证第三方看不到真正的信息,但并不能保证信息不被修改。例如,如果发送的信用卡号码是“9821”,接收端收到的却是“9864”,这样,信息的完整性就遭到了破坏。

3、信息的不可否认性

信息的不可否认性是指信息的发送方不能否认已发送的信息,接收方不能否认已收到的信息。由于商情的千变万化,交易达成后是不能否认的,否则,必然会损坏一方的利益。例如,买方向卖方订购钢铁,订货

时市场的价格较低,收到订单时价格上涨了,如果卖方否认收到的定单的时间,甚至否认收到定单,那么买方就会受到损失。再例如,买方在网上买了光盘,不能说没有买,谎称寄出的定单不是自己的,而是信用卡被盗用。

4、信息的可认证性/交易者身份的真实性

交易者身份的真实性是指交易双方确实是存在的,不是假冒的。网上交易的双方相隔很远,互不了解,要使交易成功,必须互相信任,确认对方是真实的,对商家要考虑客户不是骗子,对客户要考虑商店不是黑店,有信誉。

5、系统的可靠性

电子商务系统的可靠性是指防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失效或失误。

6、信息的有效性

要对各种事项进行防范和控制,以保证贸易数据在确定的时刻、确定的地点是有效的。

5.1.2 电子商务安全措施

适当设置防护措施可以降低或防止来自现实的威胁。在通信安全、计算机安全、物理安全、人事安全、管理安全和媒体安全方面均可采取一定的措施,整个系统的安全取决于系统中最薄弱环节的安全水平,这就需要从系统设计上进行全面的考虑,折中选取。电子商务中

的安全措施包括有下述几类:

(1)保证交易双方身份的真实性:常用的处理技术是身份认证,依赖某个可信赖的机构(CA认证中心)发放证书,并以此识别对方。目的是保证身份的精确性,分辨参与者身份的

真伪,防止伪装攻击。

(2)保证信息的保密性:保护信息不被泄露或被披露给未经授权的人或组织,常用的处理技术是数据加密和解密,其安全性依赖于使用的算法和密钥长度。常见的加密方法有对称

式密钥加密技术(如DES算法)和公开密钥加密技术(如RSA算法)。

(3)保证信息的完整性:常用数据杂凑等技术来实现。通过散列算法来保护数据不被未授权者(非法用户)建立、嵌入、删除、篡改、重放。典型的散列算法为美国国家安全局开发

的单向散列算法之一。

(4)保证信息的真实性:常用的处理手段是数字签名技术。目的是为了解决通信双方相互之间可能的欺诈,如发送用户对他所发送信息的否认、接收用户对他已收到信息的否认等,而不是对付未知的攻击者,其基础是公开密钥加密技术。目前,可用的数字签名算法较多,

如RSA数字签名、ELGamal数字签名等。

(5)保证信息的不可否认性:通常要求引入认证中心(CA)进行管理,由CA发放密钥,传

输的单证及其签名的备份发至CA保存,作为可能争议的仲裁依据。

(6)保证存储信息的安全性:规范内部管理,使用访问控制权限和日志,以及敏感信息的加密存储等。当使用WWW服务器支持电子商务活动时,应注意数据的备份和恢复,并采用

防火墙技术保护内部网络的安全性。

第二节 电子商务安全的常用技术

一、信息加密密技术

加密技术是通过使用代码或密码来保障信息数据的安全性。加密的目的是防止敌方破译信息系统中的机密信息。加密技术是电子商务中其他安全技术的基础。

1、加密与解密

加密是指将数据按照一定的规则进行编码,使它成为一种按常规不可理解的形式,这种不可理解的内容叫密文。解密是加密的逆过程,即将密文还原成原来可理解的形式。

加密处理过程比较简单,它依据加密公式(即算法),把明文转化成不可读的密文,然后再把密文翻译回明文。加密的核心是一个称为密钥的数值,它是加密算法的一个组成部分,引导整个加密过程。下面我们通过一个例子来理解加密,解密,算法和密钥。

例如,将字母的自然顺序保持不变,但使之分别相差4个字母的字母相对应。这条规则就是加密算法,其中4为密钥。若原信息为How are you,则按照这个加密算法和密钥,加密后的密文就是lsa evi csy。 算法和密钥在加密和解密过程中是相互配合的,二者缺一不可。一般来说,加密算法是不变的,存在的加密算法也是屈指可数的(主要有四大类:序列密码、分组密码、公开密钥密码、HASH函数),但是密钥是变化的。因此,加密技术的关键是密钥。这一道理的好处是:

(1)设计算法很困难,而密钥的变化解决了这一难题;

(2)信息的发送方只需使用一个算法,不同的密钥可以向多个接收方发送密文;

(3)如果密文被破译,换一个密钥就能解决问题。

2、密钥的长度

密钥的长度就是指密钥的位数。密文的破译实际是经过长时间的测算密钥,破获密钥后,解开密文。使用长钥,才能使加密系统牢固。例如,一个16位的密钥有2(65536)种不同的密钥。顺序猜测65536种密钥对于计算机来说是很容易的。如果100位的密钥,计算机猜测密钥的时间需要几个世纪了。因此,密钥的位数越长,加密系统就越牢固。

一个敌手虽然不知道系统所用的密钥,但可能从所截获的密文或其他信息推断出明文所用的密钥,这一过程称作密码分析。为了保护信息的保密性,抵抗密码分析,一个加密体制至少应满足以下要求:

(1)从截获的密文或明文—密文对,要确定密钥或任意明文在计算上是不可行的;

(2)系统的保密性不依赖于对加密体制的保密,而依赖于密钥;

(3)系统易于实现和使用方便。

3、对称密钥系统

对称密钥系统,又称常规密钥密码体制或单钥加密体制,是使用相同的密钥加密解密,发送者和接收者有相同的密钥。这样就解决了信息的保密性问题,其过程如图4.1所示。这是最早的加密方法。其典型代表美国的数据加密标准(DES)。

根据明文的加密方式的不同,又可将单钥加密体制分为两类:一类是流密码(又称流加密),在这类体制中,明文按字符逐位地被加密;另一类是分组密码(又称块加密),在这类体制中,先将明文分组(每组含有多个字符),然后逐组地加密。

由于计算机能力的不断增强,DES算法已经不能适应当前的信息安全要求。已经制造出了破译DES的专用机器。美国政府正在积极推动适用于21世纪的新的加密标准AES的研究。

长期以来,美国政府严格限制可出口的密码算法的密钥长度(64位),所以,对于我们国家来说,简单的采用国外算法等于把自己的安全拱手让他人控制。我们必须拥有自己的安全强度高的优秀分组密码,我们也有能力设计实现这样的自主算法,迅速发展的电子商务呼唤我们早日出台属于我们国家的分组密码算法标准,以满足广泛需要,保护公众和国家利益。

4、公钥和私钥系统

上述的对称密钥系统并没有真正解决问题。如果接收者不知道这个密钥怎么办,是否将密钥传过去?这又面临着把这个密钥加密的问题。于是就有了下面的公钥和私钥系统,又称公开密钥密码体制。它出现于197616

年,最主要的特点就是加密和解密使用不同的密钥,每个用户保存着一对密钥——公钥和私钥,因此,这种体制又称双钥或非对称密钥密码体制。

它使用两个密钥,如果一个用于加密,另一个可用于解密。较著名的是RSA算法,是由

Rivest,Shamir,Adleman三人发明的。两个密钥是两个很大的质数,用其中的一个质数与原信息相乘,对信息加密,可以用另一个质数与收到的信息相乘来解密。但不能用其中的一个质数求出另一个质数。每个网络上的用户都有一对公钥和私钥。公钥是公开的,可以公开传送给需要的人;私钥只有本人知道,是保密的。

在发送保密信息时,使用接收者的公钥进行加密,接收者使用自己的私钥即能解密,别人不知道接收者的私钥则无法窃取信息。在对发送者进行确认时,由发送者用自己的私钥对约定的可公开信息进行加密,接收者用发送者的公钥进行解密;由于别人不知道发送者的私钥,无法发出能用其公钥解得开的信息,因此发送者无法抵赖。其典型代表是RSA体制。

特点:

(1)密钥是成对生成的,这两个密钥互不相同,一个用于加密,另一个则用于解密;反之亦然;

(2)不能根据一个密钥推算得出另一个密钥;

(3)一个密钥对外公开,称为公钥,另一个仅持有人知道,称为私钥;

(4)每个用户只需一对密钥即可实现与多个用户的保密通信。

对称密码系统的缺陷之一是通信双方在进行通信之前需要通过一个安全信道事先交换密钥。这在实际应用中通常是非常困难的。而双钥密码体制可使通信双方无须事先交换密钥就可建立起保密通信。但是双钥体制算法要比单钥算法慢得多,因此,在实际通信中,一般利用双钥体制来保护和分配(交换)密钥,主要用于认证(比如数字签名、身份识别等),而利用单钥体制加密消息。

5、单、双钥体制的配合使用和双重加密技术

二、信息认证技术

信息的认证性是信息的安全性的另一个重要方面。认证的目的有两个:一是验证信息的发送者是真正的,而不是假冒的;二是验证信息的完整性,即验证信息在传递或存储过程中未被篡改、重放或延迟等。

1、消息摘要

消息摘要(message digest)方法也称安全Hash编码法或MD5,它是由Ron Rivest发明的。消息摘要是一个唯一的对应一个消息的值,它由单向Hash加密算法对一个消息作用而生成,有固定的长度。所谓单向是指不能被解密。不同的消息其摘要不同,相同消息摘要相同,摘要成为消息“指纹”,以验证消息是否是“真身”。发送端将消息和摘要一同发送,接收端收到后,Hash函数(即杂凑函数,EDI与电子商务P185)对收到的消息产生一个摘要,与收到的摘要对比,若相同,则说明收到消息是完整的,在传输过程中没有被修改,否则,就是被修改过,不是原消息,其加密解密过程如图4.5所示。消息摘要方法解决了信息的完整性问题。

2、数字签名

政治、军事、外交等活动中签署文件,商业上签定契约和合同,日常生活中在书信以及从银行取款等事务中的签字,传统上都采用手写签名或印章。随着信息时代的来临,人们希望通过数字通信网络进行远距离的贸易合同签名,数字或电子签名技术应运而生,并开始用于商业通信系统,如电子邮递、电子转帐、办公自动化等系统中。

一个数字签名算法至少应满足三个条件:(1)数字签名者事后不能否认自己的签名;(2)接受者能验证签名,而任何人都不能伪造签名;(3)当双方关于签名的真伪发生争执时,使用验证算法得出“真”或“假”的回答。

一个签名算法主要由两个算法组成,即签名算法和验证算法。签名者能使用(秘密)签名算法签一个消息,所得的签名可以通过公开的验证算法来验证。给定一个签名,使用验证算法得出“真”或“假”的回答。 目前已有大量的签名算法。比如RSA数字签名算法、椭圆曲线数字签名算法等。

数字签名(digital signature)技术是将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有发送者的公钥才能解密被加密的摘要,然后用Hash函数对收到的原文产生一个摘要,与解密的摘要对比,若相同,则说明收到的信息是完整的,在传输过程中没有被修改,否则,被修改过,不是原信息。同时,也证明发送者不能否认自己发送了信息,其过程如图4.6所示.这样,数字签名就保证了信息的完整性和不可否认性。

3、数字时间戳

交易文件中,时间和签名一样是十分重要的证明文件有效性的内容。数字时间戳(kigital time-stamep)就是用来证明消息的收发时间的。用户首先将需要加时间戳的文件用Hash函数加密形成摘要,然后将摘要发送到专门提供数字时间戳服务的权威机构,该机构对原摘要加上时间后,进行签数字名(用私钥加密),并发送给用户。原用户可以把它再发送给接收者。

4、数字证书

(1)认证中心

怎样证明公钥的真实性?即一个公钥匙实属于信息发送者,而不是冒充信息发送者的另一个人冒用他的公钥,这就要靠第三方证实该公钥确属于真正的信息发送者。认证中心(certificate authority)就是这样的第三方,它是一个权威机构,专门验证交易双方的身份。验证方法是接受个人、商家、银行等涉及交易的实体申请数字证书,核实情况,批准/拒绝申请,颁发数字证书。认证中心除了颁发数字证书外,还具有管理、搜索和验证证书的职能。通过证书管理,可以检查所申请证书的状态(等待、有效、过期等),并可以废除、更新证书;通过搜索证书,可以查找并下载某个持有人的证书;验证个人证书可帮助确定一张个人证书是否已经被其持有人废除。

(2)数字证书

数字证书(digital ID)又称为数字凭证、数字标识。它含有证书持有者的有关信息,以标识他们的身份。证书包括以下的内容:

证书拥有者的姓名;

证书拥有者的公钥;

公钥的有效期;

颁发数字证书的单位;

颁发数字证书单位的数字签名;

数字证书的序列号。

(3)数字证书的类型

数字证书有三种类型:个人数字证书、企业(服务器)数字证书、软件(开发者)数字证书。

个人数字证书 个人数字证书仅仅为某个用户提出供凭证,一般安装在客户浏览器上,以帮助其个人在网上进行安全交易额操作:访问需要客户验证安全的因特网站点;用自己的数字证书发送有自己签名的电子邮件;用对方的数字证书向对方发加密的邮件。

企业(服务器)数字证书 企业数字证书为网上的某个WEB服务器提供凭证,有服务器的企业就可以用具有凭证的WEB站点进行安全电子交易:开启服务器SSL安全通道,使用户和服务器之间的数字传送以加密的形式进行;要求客户出示个人证书,保证WEB服务器不被未授权的用户入侵。

软件(开发者)数字证书 软件数字证书为软件提供凭证,证明该软件的合法性。

(4)认证中心的树形验证结构

在双方通信时,通过出示由某个认证中心(CA)签发的证书来证明自己的身份,如果对签发证书的CA本身不信任,则可验证CA的身份,逐级进行,一直到公认的权威CA处,就可确信证书的有效性。每一个证书与数字化签发证书的认证中心的签名证书关联。沿着信任树一直到一个公认的信任组织,就可确认该证书是有效的。例如,C的证书是由名称B的CA签发的,而B 的证书以是由名称为A的CA签发的,A 是权威的机构,通常称为根(ROOT)CA。验证到了根CA处,就可确信C的证书是合法的.

5、防火墙

(1)、概念

防火墙技术是内部网最重要的安全技术之一,是一个由软件系统和硬件设备组合而成的在内部网和外部网之间的界面上构造的保护屏幕,它可以提供接入控制。所有的内部网和外部网之间的连接都必须经过该保护层,在此进行检查和连接。只有被授权的通信才能够通过此保护层,从而使内部网络与外部网络在一定意义下隔离,防止非法入侵、非法使用系统资源,执行安全管制措施,记录所有可疑的事件。

防火墙能保证只有授权的人才可以访问INTRANET,且保护其中的资源和有价值数据不会流出

INTRANET。

INTRANET和INTERNET连接会有几个方面的威胁:

① 信息可能被窃、被损坏;

② 资源可以受损或被滥用;

③ 公司名誉可能因其INTRANET不安全而受损。

即使在一个单位内部,各部门之间往往也需要相互隔离,例如在大学校园中,管理网和学生的计算机网要有一定的隔离,医院的管理网和病人病历记录网也要分开,以保护病人的隐私和人权,这些都要有防火墙来解决。

(2)、防火墙设计的基本原则

① 由内到外或由外到内的数据流均经过防火墙;

② 只允许本地安全政策认可的数据流通过防火墙,对于任何一个数据组,当不能明确是否允许通过时就拒绝通过,只让真正合法的数据组通过;

③ 尽可能控制外部用户访问内部网,应当严格控制外部人进入内部网,如果有些文件要向INTERNET用户开放,则最好将这些文件放在防火墙外;

④ 具有足够的透明性,保证正常业务流通;

⑤ 具有抗穿透攻击能力、强化记录、审计和告警。

(3)、防火墙的分类

防火墙软件通常是在TCP/IP网络软件的基础上进行改造和再开发形成的。目前使用的防火墙产品可以为两种类型:包过滤型和应用网关型。

包过滤型防火墙可以动态检查流过的TCP/IP报文头,检查报文头中的报文类型、源IP地址、目的IP地址、源端口号等域,根据事先定义的规则,决定哪些报文允许流过,哪些报文禁止通过。

应用网关型防火墙使用代理技术,在内部网和外部网之间设置一个物理屏障。对外部网用户或内部网用户的telnet,ftp等高层网络协议的服务请求,防火墙的代理服务机制对用户的真实身份和请求进行合法性检查,决定接受还是拒绝。对于合法的用户服务请求,代理服务机制连接内部网和外部网,并作为通信的中介,保护内部网络资源不受侵害代理服务机制是应用服务,称为代理服务程序,是根据需要编写的。因此,大部分应用网关型防火墙只能提供有限的基本应用服务。若要增加新的应用服务,则必须编写新的程序。 防火墙的安全策略有两种:

·没有被列为允许访问的服务都是被禁止的:意味着需要确定所有可以被提供的服务以及他们的安全特性,开放这些服务,并将所有其他未列入的服务排斥在外,禁止访问.

·没有被列为禁止访问的服务都是被允许的:这意味着首先确定那些被禁止的、不安全的服务,以禁止他们被访问,而其他服务则被认为是安全的,允许访问。

(4)、防火墙不能对付的威胁

① 来自内部的攻击。防火墙不能防止INTRANET内部用户对资源的攻击,防火墙只是设在INTRANET和INTERNET之间,对其间的信息流进行干预的安全措施,在一个单位内部,各部门之间设置的防火墙也具有类似特点,都不能用于防范内部的攻击。这些要由内部系统的认证和接入控制机构来解决。

② 直接的INTERNET数据流。如果INTRANET中有些资源绕过防火墙直接与INTERNET相通,则得不到防火墙的保护,因此,必须保证INTRNET中任何用户没有直通INTERNET的通道。

③ 病毒防护。一般防火墙不提供防护外部病毒的侵犯。病毒可以通过FTP或其他工具传至INTRANET,如果要实现这种保护,防火墙中应设置检测病毒的逻辑。

第三节 电脑病毒及其防治

一、电脑病毒的基本知识

1.概念

计算机病毒(Computer Virus)的概念是由Fred Coben在1983年11月3日的一次计算机安全学术讨论会上首次提出的。当时,他对计算机病毒的定义是:能够通过修改程序,把自身复制进去而“传染”其他程序的程序。这一定义强调了病毒的两大特征:首先,病毒是人为编制的程序;其次,病毒具有传染性。1987年10月,世界上第一例计算机病毒在(Brian)在美国发现,它是一种系统引导型病毒,并以强劲的势头蔓延开来。与此同时,世界各地的计算机用户也发现了形形色色的计算机病毒,如大麻、IBM圣诞树、黑色星期五等。

1988年11月3日,美国23岁的大学生罗伯特。莫里斯将自己编制的病毒程序(“蠕虫”)通过INTERNET感染了6000多台计算机,这是一次非常典型的计算机病毒入侵计算机网络事件。这次病毒入侵影响到美国东西海岸,甚至波及了包括美国国防部和航空航天局的几千台计算机,直接经济损失9600万美元,间接损失约9.7亿美元。这次计算机领域的灾难,导致了在以后短短的几年中,计算机病毒在全世界的蔓延传播,从而才引起了人们的普遍关注和重视。计算机病毒的研究和防治也随之成为计算机科学研究领域里的新课题。

2、消除方法

计算机病毒消毒可分为手工消毒和自动消毒两种方法。

手工消毒方法使用DEBUG、PCTOOLS等简单工具,借助于对某种病毒的具体认识,从感染病毒的文件中,清除病毒代码,使之康复。手工消毒操作复杂,速度慢,风险大,需要熟练的技能和丰富的知识。 自动消毒方法使用自动消毒软件自动清除患病文件中的病毒代码,使之康复。自动消毒方法简单、效率高、风险小。当遇到被病毒感染的文件急需恢复又找不到解毒软件或解毒软件无效时,才要用到手工恢复的方法。从与病毒对抗的全局看,人们总是从手工消毒开始,获取消毒成功后,再研制相应的软件产品,使计算机自动地完成全部消毒操作。目前,常用的查、杀毒软件主要有瑞星、KV3000、金山毒霸等。

如果自动消毒和手工消毒方法仍不奏效,最后一种方法就是对软盘或硬盘进行格式化,这样再厉害的病毒也跑不掉,但却要以软盘或硬盘上所有文件的丢失为代价。

二、计算机病毒的分类

计算机病毒按其表现性质可以分为良性的和恶性的。良性的危害小,不破坏系统和数据,但大量占用系统开销,将使机器陷入瘫痪而无法正常工作。如国内出现的圆点病毒就是良性的。恶性病毒可能会毁坏数据,也可能使计算机停止工作。若按激活的时间可分为定时病毒和随机病毒。定时病毒仅在某一特定时间才发作,而随机病毒一般不是由时钟来激活。若按其侵入方式可分为:

1、操作系统型病毒

大麻病毒就是典型的操作系统病毒,这种病毒具有很强的破坏力(用它自己的程序意图加入或取代部分操作系统进行工作),可以导致整个系统瘫痪。

2、源码病毒

在程序被编译之前插入到FORTRAN、C或PASCAL等语言编制的源程序,完成这一工作的病毒程序一般是在语言处理程序或连接程序中。

3、外壳病毒

常附在主程序的首尾,对源程序不作修改。这种病毒较常见,易于编写,也易于发现,一般测试可执行文件大小即可知。

4、入侵病毒

侵入到主程序之中,并替代主程序中部分不常用的功能模块或推栈区,这种病毒一般是针对某些特定程序而编写的。若按其是否有传染性可分为不可传染性和传染性病毒。不可传染性病毒有可能比传染性病毒更具有危险性且难于预防。若按传染方式可分为磁盘引导区传染性的计算机病毒、操作系统传染的病毒和一般应用程序传染的计算机病毒。若按病毒攻击的机种分类有攻击微型计算机的,攻击小型机的,攻击工作站的。其中,攻击微型计算机的病毒最多,世界上出现的病毒几乎90%以上是攻击IBM PC机及其兼容机。 当然,按照计算机病毒的特点及特性,计算机病毒的分类还有其他的方法,例如,按攻击的程度分、按寄生方式分等等。因此,同一种病毒可以有不同的分法。

三、计算机病毒的特点

从已经发现的计算机病毒来看,不管哪种病毒,它们往往都具有一些共同的特性。

1、破坏性

凡是由软件手段能触及到计算机资源的地方均可能受到计算机病毒的破坏。其表现:占用CPU的时间和内存开销,从而造成进程堵塞;对数据或文件进行破坏;打乱屏幕的显示等。

2、隐蔽性

病毒程序大多夹在正常程序之中,很难被发现。

3、潜伏性

病毒侵入后,一般不立即活动,需要等条件成熟后才作用。

4、传染性

对于绝大多数计算机病毒来说,传染是它的一个重要特性。它通过修改别的程序,并把自身的拷贝包括进去,从而达到扩散的目的。

四、计算机感染病毒后的一般表现

一般来说,当计算机出现以下不正常现象时,才应当怀疑其是否感染了病毒:

1、文件的大小和日期是否变化;

2、系统启动速度是否比平时慢;

3、没做写操作时出现“磁盘有写保护”的提示信息;

4、对贴有写保护的软磁盘操作时音响很大;

5、系统运行速度异常慢;

6、键盘、打印、显示有异常现象;

7、有特殊文件自动生成;

8、磁盘空间自动产生坏簇或磁盘空间减少;

9、文件莫名其妙有丢失;

10、系统异常死机的次数增加;

11、COMMAND.COM文件被修改;

12、AUTOEXEC.BAT、CONFIG.SYS被修改;

13、程序装入时间比平时长,访问磁盘时间比平时长;

14、用户并没有访问的设备出现“忙”信号;

15、出现莫名其妙的隐藏文件。

五、计算机病毒的防范

计算机病毒的防范可以从以下几个方面进行:

1、备份:对所有的软件(甚至操作系统)进行备份,并制定应付突发情况的应急方案。

2、预防:提高警惕性,实行安全制度,例如,使用正版软件等。

3、检测:使用杀病毒软件来检测、报告并杀死病毒。

4、隔离:确认并隔离携带病毒的部件。

5、恢复:杀毒或清除被病毒感染的文件。

第四节 电子商务交易标准

近年来,金融界与信息业共同推出了多种有效的安全交易标准。目前,INETRNET上有几种加密电协议在使用,对应七层网络模型的每一层都有提出出相应的协议。对应用层有SET 协议、S-HTTP协议、S/MIME协议,对会话层有SSL 协议。

一、安全超文本传输协议

安全超文本传输协议(S-HTTP)用密钥对来加密,以保障WEB站点上的信息的安全。也就是说,S-HTTP支持超文本传输协议(WET))文档提供安全和鉴别,保证数据的安全。如果主页的URL为HTTPS://开始,说明该页按照超文本传输协议。例如,在前面申请数字凭证的过程中,VERISIGN的每个页面的URL为HTTPS://开始,这就表示该站点的WEB 页面是安全的,能够保证申请人的个人信息、信用卡信息在WEB站点上是安全的。

二、安全套接层协议

如果说S-HTTP保证了站点数据的安全,那么安全套接层协议(SSL,CDCURE SOCKETS LAYER)则保证了WEB站点之间通信信道的安全,面向网络协议栈的低层通道进行安全监控。该协议由NETSCAPE公司提出,提供加密、认证服务和保证报文的完整性。SSL 被用于NETSCAPE浏览器和IE浏览器。 SSL是对计算机之间整个会话进行加密的协议。在SSL 中,采用了公开密钥和私钥两种加密方式:

(1)在建立连接过程中采用公开密钥。

(2)在会话过程中使用专有密钥。

加密的类型和强度则在两端之间建立连接的过程中判断决定。在所有情况下,服务器通过以下方法向客户机证实自身:

(1)给予出包含公开密钥的、可验证的证明;

(2)演示它能对用此公开密码加密的报文进行解密。

有时,客户机可以提供表明它本身(用户)身份的证明。会话密钥是从客户机选择的数据中推导出来的,该数据用服务台器的公开密钥加密。在每个SSL 会话(其中客户机和服务器都被证实身份)中,要求服务器完成一次使用服务器私钥的操作和一次使用客户机公开密钥的操作。

三、安全电子交易协议

安全电子交易协议(SET,secure electronic transaction)是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的。SET包含多个部分,解决交易中不同阶段的问题。1995年,信用卡国际组织、信息服务商及网络安全团体等开始组成策略同盟,共同研究开发电子商务的安全交易。SET在1996年2月由VISA和MasterCard提出,加入SET协议的包括微软、Netscape、GTE、IMB、SAIC、Terisa和Verisign等公司。SET是基于来源程序于RSA数据安全的公共加密和身份确认技术,使用数字签名和持卡人证书,对商户进行认证;使用加密技术确保交易数据的安全性;使用数字签名确保支付信息的完整性和各方对有关交易事项的不可否认性;使用双重签名保证购物信息和支付信息的私密性,使商户看不到持卡人的信用卡号。SET有望成为未来电子商务的规范。

SET交易分以下三个阶段进行:

·购买请求阶段 用户与商家确定所用支付方式的细节;

·支付认定阶段 商家与银行核实,随着交易的进展,他们将得到付款;

·受款阶段 商家向银行出示所有交易的细节,然后银行以适当方式转移货款

用户只和第一阶段交易有关,银行与第二、三阶段有关,而商家与三个阶段都要发生关系。每个阶段都涉及到RSA对数据加密,以及RSA数字签名。因此,使用SET协议,在一次交易中要完成多次加密与解密操作。具体SET标准信息详见www.visa.com。

五、 计算机安全术语

常用的计算机安全术语主要包括漏洞、威胁、威胁代理、攻击、对策等

1、漏洞:软件、硬件或策略上的缺陷,这种缺陷导致非法用户末经授权而获得访问系统的权限或提

高权限。

2、威胁:危险源。见下表:

3、威胁代理:通过漏洞攻击系统的人或程序,分为恶意和非恶意两种。具体见下表:

4、攻击:企图利用漏洞达到恶意目的的威胁代理。

5、对策:减少计算机环境中风险的软件配置、硬件或程序。

思考题

1、简述电子商务安全需求的组成内容。

2、电子商务系统安全常用的方法有哪些?

3、数字证书的申请过程。

4、SET协议的工作原理。

电子教案——第五章 电子商

务安全(授课教案)

【教学目标与要求】

①了解电子商务安全的概念,掌握电子商务的安全需求;

②掌握常用的安全技术;

③了解计算机病毒的的防范;

④熟悉数字证书的申请、使用。

【教学重点与难点】

①电子商务安全常用技术;

②数字数字证书的申请、使用。

【教学授课学时数】

8学时

【教学过程】

第五章 电子商务安全技术

第一节 电子商务安全的概念

一、电子商务安全的概念

二、电子商务的安全需求

1、信息的保密性

2、信息的完整性

3、信息的不可否认性

4、信息的可认证性/交易者身份的真实性

第二节 电子商务安全的常用技术

一、信息加密技术

1、加密与解密

算法和密钥在加密和解密过程中是相互配合的,二者缺一不可。

2、密钥的长度

密钥的长度就是指密钥的位数。

3、对称密钥系统

对称密钥系统,又称常规密钥密码体制或单钥加密体制,是使用相同的密钥加密解密,发送者和接收者有相同的密钥。这是最早的加密方法。其典型代表美国的数据加密标准(DES)

4、公钥和私钥系统

出现于1976年,最主要的特点就是加密和解密使用不同的密钥,每个用户保存着一对密钥——公钥和私钥,因此,这种体制又称双钥或非对称密钥密码体制。

非对称密钥加密解密特点:

(1)密钥是成对生成的,两个密钥互不相同,一个用于加密,另一个用于解密;反之亦然;

(2)不能根据一个密钥推算得出另一个密钥;

(3)一个密钥对外公开,称为公钥,另一个仅持有人知道,称为私钥;

(4)每个用户只需一对密钥即可实现与多个用户的保密通信。

5、单、双钥体制的配合使用和双加密技术

二、信息认证技术

? 信息的认证性是信息的安全性的另一个重要方面。认证的目的有两个:一是验证信息的发送者是真正的,而不是假冒的;二是验证信息的完整性,即验证信息在传递或存储过程中未被篡改、重放或延迟等。

1、消息摘要

消息摘要(message digest)方法也称安全Hash编码法或MD5,它是由Ron Rivest发明的。消息摘要是一个唯一的对应一个消息的值,它由单向Hash加密算法对一个消息作用而生成,有固定的长度。

2、数字签名

一个数字签名算法至少应满足三个条件:(1)数字签名者事后不能否认自己的签名;(2)接受者能验证签名,而任何人都不能伪造签名;(3)当双方

关于签名的真伪发生争执时,使用验证算法得出“真”或“假”的回答 一个签名算法主要由两个算法组成,即签名算法和验证算法。

目前已有大量的签名算法。比如RSA数字签名算法、椭圆曲线数字签名算法等。

3、数字时间戳

4、数字证书

(1)认证中心

认证中心(certificate authority)是这样的第三方,它是一个权威机构,专门验证交易双方的身份。

认证中心除了颁发数字证书外,还具有管理、搜索和验证证书的职能。通过证书管理,可以检查所申请证书的状态(等待、有效、过期等),并可以废除、更新证书;通过搜索证书,可以查找并下载某个持有人的证书;验证个人证书可帮助确定一张个人证书是否已经被其持有人废除。

(2)数字证书

数字证书(digital ID)又称为数字凭证、数字标识。它含有证书持有者的有关信息,以标识他们的身份。证书包括以下的内容:

证书拥有者的姓名;

证书拥有者的公钥;

公钥的有效期;

颁发数字证书的单位;

颁发数字证书单位的数字签名;

数字证书的序列号。

(3)数字证书的类型

(4)认证中心的树形验证结构

三、防火墙技术

(1)、概念

防火墙技术是内部网最重要的安全技术之一,是一个由软件系统和硬件设备组合而成的在内部网和外部网之间的界面上构造的保护屏幕,它可以提供接入控制。

(2)、防火墙设计的基本原则

①由内到外或由外到内的数据流均经过防火墙;

②只允许本地安全政策认可的数据流通过防火墙,对于任何一个数据组,当不能明确是否允许通过时就拒绝通过,只让真正合法的数据组通过;

③尽可能控制外部用户访问内部网,应当严格控制外部人进入内部网,如果有些文件要向INTERNET用户开放,则最好将这些文件放在防火墙外; ④具有足够的透明性,保证正常业务流通;

⑤具有抗穿透攻击能力、强化记录、审计和告警。

(3)、防火墙的分类

防火墙软件通常是在TCP/IP网络软件的基础上进行改造和再开发形成的。目前使用的防火墙产品可以为两种类型:包过滤型和应用网关型。

(4)、防火墙不能对付的威胁

① 来自内部的攻击。

② 直接的INTERNET数据流。

四、数字水印技术

第三节 申请数字证书

我们以WWW.SHECA.COM为例学习数字证书的申请与使用。

第四节 电脑病毒及其防治*

一、电脑病毒的基本知识

二、计算机病毒的分类

1、操作系统型病毒

2、源码病毒

3、外壳病毒

4、入侵病毒

三、计算机病毒的特点

四、计算机感染病毒后的一般表现

五、计算机病毒的防范

【思考题】

1. 简述电子商务安全需求的组成内容。

2. 电子商务系统安全常用的方法有哪些?

3. 数字证书的申请过程。

4. SET协议的工作原理

范文三:电子商务安全论文 投稿:陈阄阅

内容摘要:电子商务是21世纪信息化社会的重要组成部分,所面临的信息安全现状不容乐观。虚假交易、假冒行为、合同诈骗、网上拍卖哄抬标的、侵犯消费者合法权益等各种违法违规行为屡屡发生,这些现象在很大程度上制约了我国电子商务乃至全球电子商务快速、健康的发展。

关键词:电子商务 信息安全 安全机制

一、电子商务信息安全现状 [1]

现如今,网上购物已经成为普通消费者的购物选择之一,逐渐成为消费的主流。我国互联网用户已经从截至2010年12月底,我国网民规模达到4.57亿,较2009年底增加7330万人。

可见网上购物拥有很大的一批消费群。在网购盛行的时代,理智的消费者已经逐渐意识到,网上购物为我们带来方便的同时,由于网络安全问题,也带给我们更多危险的可能。电子商务所面临的信息安全现状不容乐观。所据美国网络界权威杂志《信息安全杂志》披露,从事电子商务的企业比一般企业承担着更大的信息风险。其中,前者遭黑客攻击的比例高出一倍,感染病毒、恶意代码的可能性高出9%,被非法入侵的频率高出10%,而被诈骗的可能性更是比一般企业高出2.2倍作为网上购物核心环节的“支付环节”,其安全性、便捷性是买卖双方都想追求的目标。电子商务交易的信用危机也悄然袭来,虚假交易、假冒行为、合同诈骗、网上拍卖哄抬标的、侵犯消费者合法权益等各种违法违规行为屡屡发生,这些现象在很大程度上制约了我国电子商务乃至全球电子商务快速、健康的发展。

二、主要面临的安全问题

1. 网络环境安全问题

一般来说,计算机网络安全问题是计算机系统本身存在的漏洞和其他人为因素构成了计算机网络的潜在威胁。一方面,计算机系统硬件和通信设施极易遭受自然环境的影响(如温度、湿度、电磁场等)以及自然灾害和人为(包括故意破坏和非故意破坏)的物理破坏;另一方面计算机内的软件资源和数据易受到非法的窃取、复制、篡改和毁坏等攻击;同时计算机系统的硬件、软件的自然损耗等

同样会影响系统的正常工作,造成计算机网络系统内信息的损坏、丢失和安全事故。网络安全是电子商务系统安全的基础,涉及的方面较广,如防火墙技术、网络监控、网络隐患扫描及各种反黑客技术等,其中最重要的就是防火墙技术。防火墙的主要功能是加强网络之间的访问控制,防止外部网络用户以非法手段通过外部网络侵入内部网络(被保护网络)。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略对其进行检查,来决定网络之间的通信是否被允许,并监视网络运行状态。简单防火墙技术可以在路由器上实现,而专用防火墙提供更加可靠的网络安全控制方法。

2. 系统安全问题

对于任何一个系统来说,安全都是相对的。作为网站的管理者要始终保持清醒的头脑,针对出现的隐患和问题不断研究新的安全措施。对敏感的设备和数据要建立必要的物理或逻辑隔离措施;对在公共网络上传输的敏感信息要进行强度的数据加密;安装防病毒软件,加强内部网的整体防病毒措施;建立详细的安全审计日志,以便检测并跟踪入侵攻击等。

3. 交易者身份安全问题

(1)卖方面临的信息安全威胁主要有:恶意竞争者冒名订购商品或侵入网络内部以获取营销信息和客户信息;假冒合法用户名义改变商务信息内容,致使电子商务活动中断,造成商家名誉和用户利益等方面的受损;信息间谍通过技术手段窃取商业秘密;黑客入侵并攻击服务器,产生大量虚假订单挤占系统资源,令其无法响应正常的业务操作。

(2)买方面临的信息安全威胁主要有:发送的商务信息不完整或被篡改,用户无法收到商品;用户身份证明信息被拦截窃用,以致被要求付帐或返还商品;域名信息被监听和扩散,被迫接收许多无用信息甚至个人隐私被泄露;受虚假广告信息误导购买假冒伪劣商品或被骗钱财;遭黑客破坏,计算机设备发生故障导致信息丢失。

三、电子商务的安全保障

1. 建立完善的信用体系

建立信用体系作为完善市场经济体系的一项重要内容逐渐得到了更多部

门和企业的关注。各地都逐渐出台了一些关于信用体系建设的法律和规范。这些法规的先后出台,提出了依法披露、合法征集、信用服务、失信惩戒、信用管理等推动以中小企业为主体的社会信用体系建设的一系列设想和指导意见,在政府立法规范信用征信领域做了一些探索,电子商务作为一种商业活动,信用同样是其存在和发展的基础。因为电子商务对信用体系的需求最强,没有信用体系支持的电子商务风险极高;而在电子商务的基础上又很容易建立信用体系,电子商务的信息流、资金流、物流再加上电子签章四者相互呼应交叉形成一个整体,在这个整体之上,只要稍加整合分析,进行技术处理,就可以建立信用体系,并且该信用体系对电子商务是可控的。

2. 开发电子商务的信息安全技术

我国信息网络安全研究历经了通信保密、数据保护两个阶段,正在进入网络信息安全研究阶段,现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域,它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果,提出系统的、完整的和协同的解决信息网络安全的方案,从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究,各部分相互协同形成有机整体。

目前电子商务的安全性已是当前人们普遍关注的焦点,它正处于研究和发展阶段,并带动了论证理论、密钥管理等研究。由于计算机运算速度的不断提高,各种密码算法面临着新的密码体制,如量子密码、DNA密码、混沌理论等密码新技术出处于探索之中。在我国,信息网络安全技术的研究和产品开发虽处于起步阶段,有大量的工作需要我们去研究、开发和探索,但我们相信在不久的将来,会走出一条有中国特色的产学研联合发展之路,赶上或超过发达国家的水平,以此保证我国信息网络的安全,推动我国国民经济的高速发展。

3. 构建良好的电子商务环境

电子认证、在线支付、现代物流、信用等电子商务支撑体系建设全面展开,初具规模,呈现出支撑体系建设与电子商务应用相互促进、协调发展的新局面。近20家电子认证机构获得电子认证服务许可,在电子商务和电子政务应用中开展了电子认证及数字签名应用服务。近20家商业银行开办网络银行业务,第三

方在线支付平台不断涌现,在线支付业务稳步上升。

4. 强化交易安全保护的法律制度

国务院颁布的关于加快电子商务发展的若干意见,确立了我国发展电子商务的指导思想和基本原则,明确了发展方向和战略重点。全社会电子商务的应用意识不断增强,对电子商务在国民经济和社会发展中重要作用的认识进一步提高,形成了发展电子商务的良好社会氛围。

四、立法分析及对策

在联合国《电子商务示范法》制定之后,一些国际组织与国家纷纷合作,制订各种法律规范,形成了国际电子商务立法的高速发展期,其成果主要体现在四个方面:1. WTO的三大突破性协议

2. 国际性组织加快制定电子商务指导性交易规则。

3. 地区性组织积极制定各项电子商务的政策

4.世界各国积极制订电子商务的法律法规

全社会电子商务的应用意识不断增强,对电子商务在国民经济和社会发展中重要作用的认识进一步提高,形成了发展电子商务的良好社会氛围。

例如:韩国将信息安全视为关系国防安全的重大战略问题,加大信息保障系统管理力度,加快信息安全系统建设步伐。

1. 建立网络防护应急反应机制。

网络攻击具有突发性和毁灭性,只有建立应急反应机制,才能提高网络防护的快速反应能力。韩国军队为适应现代化信息安全保密的要求,建立以参谋本部为中心,以国防情报本部、指挥通信司令部以及各军种网络管理部门为主干,横联国家信息保护中心,纵联全军各级部队的信息战预警体系。韩军在国防部设立“网络情况室”,建立由国防部统一管理、24小时不间断值守的全军网络安全值班监视系统。师以上各级指挥机关组建有国防信息通信网预防入侵机构。

2. 出台严厉保护制度。

韩国国防部为从根源上杜绝国防电子信息泄漏,完善信息化条件下的军事保密体系,采用为中央控制计算机安装认证管理系统、为各种资料及辅助存储装置加密、隐藏复制标志、防止非法拷贝等新技术,在全军建立并颁布实行《电子信息防泄露安全对策》。利用中央认证管理系统,限制在非认可微机用户联接;改

进文件拟定者和管理者的电脑口令,禁止在非认可电脑上使用软件;对软盘和电脑中的资料加密,使其只能在指定电脑中判读;对电子邮件资料加密,使系统具备跟踪识别泄露者姓名的功能;非法拷贝时将显示第一个泄露者的个人情况。

3. 加强C4ISR保密系统建设。

为切实有效地保护国防信息网络安全,韩国军队花费数千亿韩元开发和引进了防火墙、安全认证、持续管理、网络监控、网络安全预警以及清除网络病毒等有关网络安全方面的技术和装备,相继建立了按不同类别和等级实施层次管理的国防信息网合成控制系统、全军统一的合成控制防病毒联网系统,以及军民联合覆盖全国的网络安全预警检测系统等一系列国防信息保护体系,使其国防信息网络安全得到了进一步加强。韩国国防部目前正在建立自动化防病毒系统,系统建成后,用户收到病毒警报时,无需手工操作,就能即刻自动传播系统病毒信息并做出处理。为及时发现并应对军队计算机网络遭受“黑客”或病毒攻击,韩军在国防部、陆海空三军本部等高层指挥机关构筑24小时联合安全管制系统,并逐步将该系统配备至旅级部队。该系统可不间断跟踪进入国防计算机网络的各种信息,及时发现并捕捉病毒信息,采取适当措施阻止非法用户接近,探测合法用户的非法行为,阻断计算机病毒。

五、总结

电子商务是以互联网为活动平台的电子交易,计算机网络的发展与普及,直接带动电子商务的发展。创造良好的电子商务环境是发展的趋势! 参考文献:

[2]http://www.cfca.com.cn/

2 祁明.电子商务安全与保密[M].北京:高等教育出版社,2001

3 徐汉超.计算机网络安全与数据完整性技术[M].北京:北京电子工业出版社,1999 4 瞿裕忠.电子商务应用开发技术[M]. 北京:高等教育出版社,2000

5佚名.解析电子商务安全[EB/OL].

范文四:电子商务安全论文 投稿:萧蛤蛥

信息技术学院

姓 名:张 静 学 号:071144038 班 级:07级电子商务

目 录

一、 电子商务安全现状

二、 主要面临的安全问题

1. 网络环境安全问题

2. 系统安全问题

3. 交易者身份安全问题

三、 电子商务的安全保障

1. 建立完善的信用体系

2. 开发电子商务的信息安全技术

3. 构建良好的电子商务环境

4. 强化交易安全保护的法律制度

四、 立法分析及对策

1. 建立网络防护应急反应机制

2. 出台严厉保护制度。

3. 加强C4ISR保密系统建设。

五、 总结

内容摘要:电子商务所面临的信息安全现状不容乐观。虚假交易、假冒行为、合同诈骗、网上拍卖哄抬标的、侵犯消费者合法权益等各种违法违规行为屡屡发生,这些现象在很大程度上制约了我国电子商务乃至全球电子商务快速、健康的发展。

关键词:电子商务环境 安全机制

一、电子商务信息安全现状

现如今,网上购物已经成为普通消费者的购物选择之一,逐渐成为消费的主流。截至2007年6月,我国互联网用户已经从2001年的2650万户激增到目前的1.62亿户,仅次于美国2.11亿户的网民规模,位居世界第二。可见网上购物拥有很大的一批消费群。在网购盛行的时代,理智的消费者已经逐渐意识到,网上购物为我们带来方便的同时,由于网络安全问题,也带给我们更多危险的可能。电子商务所面临的信息安全现状不容乐观。所据美国网络界权威杂志《信息安全杂志》披露,从事电子商务的企业比一般企业承担着更大的信息风险。其中,前者遭黑客攻击的比例高出一倍,感染病毒、恶意代码的可能性高出9%,被非法入侵的频率高出10%,而被诈骗的可能性更是比一般企业高出2.2倍作为网上购物核心环节的“支付环节”,其安全性、便捷性是买卖双方都想追求的目标。电子商务交易的信用危机也悄然袭来,虚假交易、假冒行为、合同诈骗、网上拍卖哄抬标的、侵犯消费者合法权益等各种违法违规行为屡屡发生,这些现象在很大程度上制约了我国电子商务乃至全球电子商务快速、健康的发展。

二、主要面临的安全问题

1. 网络环境安全问题

一般来说,计算机网络安全问题是计算机系统本身存在的漏洞和其他人为因素构成了计算机网络的潜在威胁。一方面,计算机系统硬件和通信设施极易遭受自然环境的影响(如温度、湿度、电磁场等)以及自然灾害和人为(包括故意破坏和非故意破坏)的物理破坏;另一方面计算机内的软件资源和数据易受到非法的窃取、复制、篡改和毁坏等攻击;同时计算机系统的硬件、软件的自然损耗等同样会影响系统的正常工作,造成计算机网络系统内信息的损坏、丢失和安全事故。网络安全是电子商务系统安全的基础,涉及的方面较广,如防火墙技术、网

络监控、网络隐患扫描及各种反黑客技术等,其中最重要的就是防火墙技术。防火墙的主要功能是加强网络之间的访问控制,防止外部网络用户以非法手段通过外部网络侵入内部网络(被保护网络)。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略对其进行检查,来决定网络之间的通信是否被允许,并监视网络运行状态。简单防火墙技术可以在路由器上实现,而专用防火墙提供更加可靠的网络安全控制方法。

2. 系统安全问题

对于任何一个系统来说,安全都是相对的。作为网站的管理者要始终保持清醒的头脑,针对出现的隐患和问题不断研究新的安全措施。对敏感的设备和数据要建立必要的物理或逻辑隔离措施;对在公共网络上传输的敏感信息要进行强度的数据加密;安装防病毒软件,加强内部网的整体防病毒措施;建立详细的安全审计日志,以便检测并跟踪入侵攻击等。

3. 交易者身份安全问题

(1)卖方面临的信息安全威胁主要有:恶意竞争者冒名订购商品或侵入网络内部以获取营销信息和客户信息;假冒合法用户名义改变商务信息内容,致使电子商务活动中断,造成商家名誉和用户利益等方面的受损;信息间谍通过技术手段窃取商业秘密;黑客入侵并攻击服务器,产生大量虚假订单挤占系统资源,令其无法响应正常的业务操作。

(2)买方面临的信息安全威胁主要有:发送的商务信息不完整或被篡改,用户无法收到商品;用户身份证明信息被拦截窃用,以致被要求付帐或返还商品;域名信息被监听和扩散,被迫接收许多无用信息甚至个人隐私被泄露;受虚假广告信息误导购买假冒伪劣商品或被骗钱财;遭黑客破坏,计算机设备发生故障导致信息丢失。

三、电子商务的安全保障

1. 建立完善的信用体系

建立信用体系作为完善市场经济体系的一项重要内容逐渐得到了更多部门和企业的关注。各地都逐渐出台了一些关于信用体系建设的法律和规范。这些法规的先后出台,提出了依法披露、合法征集、信用服务、失信惩戒、信用管理

等推动以中小企业为主体的社会信用体系建设的一系列设想和指导意见,在政府立法规范信用征信领域做了一些探索,电子商务作为一种商业活动,信用同样是其存在和发展的基础。因为电子商务对信用体系的需求最强,没有信用体系支持的电子商务风险极高;而在电子商务的基础上又很容易建立信用体系,电子商务的信息流、资金流、物流再加上电子签章四者相互呼应交叉形成一个整体,在这个整体之上,只要稍加整合分析,进行技术处理,就可以建立信用体系,并且该信用体系对电子商务是可控的。

2. 开发电子商务的信息安全技术

我国信息网络安全研究历经了通信保密、数据保护两个阶段,正在进入网络信息安全研究阶段,现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域,它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果,提出系统的、完整的和协同的解决信息网络安全的方案,从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究,各部分相互协同形成有机整体。

目前电子商务的安全性已是当前人们普遍关注的焦点,它正处于研究和发展阶段,并带动了论证理论、密钥管理等研究。由于计算机运算速度的不断提高,各种密码算法面临着新的密码体制,如量子密码、DNA密码、混沌理论等密码新技术出处于探索之中。在我国,信息网络安全技术的研究和产品开发虽处于起步阶段,有大量的工作需要我们去研究、开发和探索,但我们相信在不久的将来,会走出一条有中国特色的产学研联合发展之路,赶上或超过发达国家的水平,以此保证我国信息网络的安全,推动我国国民经济的高速发展。

3. 构建良好的电子商务环境

电子认证、在线支付、现代物流、信用等电子商务支撑体系建设全面展开,初具规模,呈现出支撑体系建设与电子商务应用相互促进、协调发展的新局面。近20家电子认证机构获得电子认证服务许可,在电子商务和电子政务应用中开展了电子认证及数字签名应用服务。近20家商业银行开办网络银行业务,第三方在线支付平台不断涌现,在线支付业务稳步上升。

4. 强化交易安全保护的法律制度

国务院颁布的关于加快电子商务发展的若干意见,确立了我国发展电子商务的指导思想和基本原则,明确了发展方向和战略重点。全社会电子商务的应用意识不断增强,对电子商务在国民经济和社会发展中重要作用的认识进一步提高,形成了发展电子商务的良好社会氛围。

四、立法分析及对策

在联合国《电子商务示范法》制定之后,一些国际组织与国家纷纷合作,制订各种法律规范,形成了国际电子商务立法的高速发展期,其成果主要体现在四个方面:1. WTO的三大突破性协议

2. 国际性组织加快制定电子商务指导性交易规则。

3. 地区性组织积极制定各项电子商务的政策

4.世界各国积极制订电子商务的法律法规

全社会电子商务的应用意识不断增强,对电子商务在国民经济和社会发展中重要作用的认识进一步提高,形成了发展电子商务的良好社会氛围。

例如:韩国将信息安全视为关系国防安全的重大战略问题,加大信息保障系统管理力度,加快信息安全系统建设步伐。

1. 建立网络防护应急反应机制。

网络攻击具有突发性和毁灭性,只有建立应急反应机制,才能提高网络防护的快速反应能力。韩国军队为适应现代化信息安全保密的要求,建立以参谋本部为中心,以国防情报本部、指挥通信司令部以及各军种网络管理部门为主干,横联国家信息保护中心,纵联全军各级部队的信息战预警体系。韩军在国防部设立“网络情况室”,建立由国防部统一管理、24小时不间断值守的全军网络安全值班监视系统。师以上各级指挥机关组建有国防信息通信网预防入侵机构。

2. 出台严厉保护制度。

韩国国防部为从根源上杜绝国防电子信息泄漏,完善信息化条件下的军事保密体系,采用为中央控制计算机安装认证管理系统、为各种资料及辅助存储装置加密、隐藏复制标志、防止非法拷贝等新技术,在全军建立并颁布实行《电子信息防泄露安全对策》。利用中央认证管理系统,限制在非认可微机用户联接;改进文件拟定者和管理者的电脑口令,禁止在非认可电脑上使用软件;对软盘和电脑中的资料加密,使其只能在指定电脑中判读;对电子邮件资料加密,使系统具

备跟踪识别泄露者姓名的功能;非法拷贝时将显示第一个泄露者的个人情况。

3. 加强C4ISR保密系统建设。

为切实有效地保护国防信息网络安全,韩国军队花费数千亿韩元开发和引进了防火墙、安全认证、持续管理、网络监控、网络安全预警以及清除网络病毒等有关网络安全方面的技术和装备,相继建立了按不同类别和等级实施层次管理的国防信息网合成控制系统、全军统一的合成控制防病毒联网系统,以及军民联合覆盖全国的网络安全预警检测系统等一系列国防信息保护体系,使其国防信息网络安全得到了进一步加强。韩国国防部目前正在建立自动化防病毒系统,系统建成后,用户收到病毒警报时,无需手工操作,就能即刻自动传播系统病毒信息并做出处理。为及时发现并应对军队计算机网络遭受“黑客”或病毒攻击,韩军在国防部、陆海空三军本部等高层指挥机关构筑24小时联合安全管制系统,并逐步将该系统配备至旅级部队。该系统可不间断跟踪进入国防计算机网络的各种信息,及时发现并捕捉病毒信息,采取适当措施阻止非法用户接近,探测合法用户的非法行为,阻断计算机病毒。

五、总结

电子商务是以互联网为活动平台的电子交易,计算机网络的发展与普及,直接带动电子商务的发展。创造良好的电子商务环境是发展的趋势! 参考文献:

1 徐雪梅.浅谈保障电子商务活动中的信息安全[J].科技情报开发与经济,2003(5) 2 祁明.电子商务安全与保密[M].北京:高等教育出版社,2001

3 徐汉超.计算机网络安全与数据完整性技术[M].北京:北京电子工业出版社,1999 4 瞿裕忠.电子商务应用开发技术[M]. 北京:高等教育出版社,2000

5佚名.解析电子商务安全[EB/OL].http://www.it386.cn/it386/dnwl/,2006-07-25.

范文五:电子商务安全浅论 投稿:林摳摴

电子商务信息安全技术浅论

论文关键词:电子商务;信息安全;加密技术;数字认证

论文摘要:电子商务技术的广泛应用,给中小型公司提供便利和商机。同时,由于Internel的开放性、共享性使电子商务信息安全面临威胁。阐述了电子商务可采用加密技术、数字签名和数字证书技术、防火墙技术等技术和SSL协议、SET协议,提高电子商务信息安全系数,并对今后电子商务信息技术发展提出了自己的见解。

引言:近年来,随着通讯技术、网络技术的迅速发展促使电子商务技术应运而生。电子商务具有高效率、低成本的特性,为中小型公司提供各种各样的商机而迅速普及。电子商务主要依托Intemet平台完成交易过程中双方的身份、资金等信息的传输。由于Imemet的开放性、共享性、无缝连通性,使得电子商务信息安全面临着威胁:如1)截获和窃取用户机密的信息。2)篡改网络传输途中的信息,破坏信息的完整性。3)假冒合法用户或发送假冒信息来欺骗用户。4)交易抵赖否认交易行为等。因此,电子商务技术的推广,很大程度依赖信息安全技术的完善和提高。

l电子商务安全技术

1.1加密技术。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据。通过使用不同的密钥,可用同一加密算法,将同一明文加密成不同的密文。当需要时可使用密钥将密文数据还原成明文数据,称为解密。数据加密被认为是最可靠的安全保障形式,它可以从根本上满足信息完整性的要求,是一种主动安全防范策略。  密钥加密技术分为对称密钥加密和非对称密钥加密两类。对称加密技术是在加密与解密过程中使用相同的密钥加以控制,它的保密度主要取决于对密钥的保密。它的特点是数字运算量小,加密速度快,弱点是密钥管理困难,一旦密钥泄露,将直接影响到信息的安全。非对称密钥加密法是在加密和解密过程中使用不同的密钥加以控制,加密密钥是公开的,解密密钥是保密的。它的保密度依赖于从公开的加密密钥或密文与明文的对照推算解密密钥在计算上的不可能性。算法的核心是运用一种特殊的数学函数——单向陷门函数。即从—个方向求值是容易的,但其逆向计算却很困难,从而在实际上成为不可能。

1.2数字签名和数字证书。1)数字签名。数字加密是非对称加密技术的一类应用。数字签名是用来保证文档的真实性、有效性的一种措施.如同出示手写签名一样。将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。通过数字签名能够实现对原始报文的鉴别与验证,保证报文的完整性、权威性和发送者对所发报文的不可抵赖性。数字签名机制提供了一种鉴别方法,保证了网络数据的完整性和真实性。2)数字证书。数字证书就是标志网络用户身份信息的一系列数据,用来在网络直用中识别通讯各方的身份,其作用类似于现实生活中的身份证。数字证书由可信任的、公正的权威机构CA中心颁发,以数字证书为杨的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证,确保网上传递信息的机密性、完整性,交易实体身份的真实性,签名信息的不可否认性,从而保障网络应用的安全性。

1.3防火墙技术。防火墙主要功能是建立网络之间的—个安全屏障,从而起到内部网络与外部公网的隔离,加强网络之间的访问控制,防止外部网络用户以非法手酾百:过外部网络进入内部网络。根据制定的策略对两个或多个网络、分析和审计,按照—定的安全策略限制外界用户对内部网络的访问,只有被允许的通信才能通过防火墙,管理内部用户访问外界网络的权限,监视网络运行状态并对各种攻击提供有效的防范。

2电子商务安全交易协议

2.l(SSL)安全套接层协议。主要用于提高应用程序之间的数据的安全系数,保证任何

安装了安全套接层的客户和服务器之间事务安全的协议,该协议向基于TCP/IP的客户假务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。SSL安全协议主要提供三方面的服务。—是用户和服务器的尝陛保证,使得用户与服务器能够确信渤据将被发送到正确的客户机和服务器上。客户机与服务器都有各自的识别号,由公开密钥编排。为了验证用户,安全套接层协议要求在握手交换数据中作数字认证,以此来确保用户的合法性;二是加密数据以隐藏被传递的数据。安全套接层协议采用的加密技术既有对称密钥,也有公开密钥,在客户机和服务器交换数据之前,先交换SSL初始握手信息。在SSL握手信息中采用了各种加密技术,以保证其机密性与数据的完整性,并且经数字证书鉴别:三是维护数据的完整性。安全垂接层协议采用Hash函数和机密共享的力怯来提供完整的信息服务,建立客户机与服务器之间的安全通道,使所有经过安全套接层协议处理的业务能全部准确无误地到达月的地。

2.2(SET)安全电子交易公告。为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。SET在保留对客户信用卡认证的前提下,又增加了对商家身份的认证。SET已成为全球网络的工业标准。

SET安全协议主要对象包括:消费者(包括个人和团体),按照在线商店的要求填写定货单,用发卡银行的信用卡付款;在线商店,提供商品或服务,具备使用相应电子货币的条件;收单银行,通过支付网关处理消费者与在线商店之间的交易付款;电子货币发行公司以及某些兼有电子货币发行的银行。负责处理智能卡的审核和支付;认证中心,负责确认交易对方的身份和信誉度,以及对消费者的支付手段认证。SET协议规范技术范围包括:加密算法的应用,证书信息与对象格式,购买信息和对象格式,认可信息与对象格式。SET协议要达到五个目标:保证电子商务参与者信息的相应隔离;保证信息在互联网上安全传输,防止数据被黑客或被内部人员窃取;解决多方认证问题;保证网上交易的实时性,使所有的支付过程都是在线的;效仿BDZ贸易的形式,规范协议和消息格式,促使不同厂家开发的软件具有兼容性与交互操作功能,并且可以运行在不同的硬件和操作系统平台上。

3电子商务信息安全有待完善和提高

3.1提高网络信息安全意识。以有效方式、途径在全社会普及网络安全知识,提高公民的网络安全意识与自觉陡,学会维护网络安全的基本技能。并在思想上萤把信息资源共享与信息安全防护有机统一起来,树立维护信息安全就是保生存、促发展的观念。

3.2加强网络安全管理。建立信息安全领导机构,有效统一、协调和研究未来趋势,制定宏观政策,实施重大决定。严格执行《中华人民共和国计算机信息系统安全保护条例》与《计算机信息网络安全保护管理办法》,明确责任、规范岗位职责、制定有效防范措施,并目严把用户人网关、合理设置访问权限等。

3.3加快网络安全专业人才的培养。加大对有良好基础的科研教育基地的支持和投入,加强与国外的经验技术交流,及时掌握国际上最先进的安全防范手段和技术措施,确保在较高层次上处于主动,加强对内部人员的网络安全培洲,防止堡垒从内部攻破。使高素质的人才在高水平的教研环境中迅速成长和提高。

3.4开展网络安全立法和执法。吸取和借鉴国外网络信息安全立法的先进经验,结合我国国情对现行法律体系进行修改与补充,使法律体系更加科学和完善;并建立有利于信息安全案件诉讼与公、检、法机关办案制度,提高执法效率和质量。对违犯国家法律法规,对计算机信息存储系统、应用程序或传输的数据进行删除、修改、增加、干扰的行为依法惩处。

3.5强化网络技术创新。组织现有信息安全研究、应用的人才,创造优良环境,创新思想、超越约束,利用国内外资源,建立具有中国特色的信息安全体系。特别要重点研究关键芯片与内核编程技术和安全基础理论。

结束语:电子商务模式相对传统商务模式,具有便捷、高效的特点。但现今全球通过电

子商务渠道完成的贸易额仍只是同期全球贸易额中的小部分。因此,电子商务信息安全问题有赖于对公钥基础设施PKI、开发与应用,支付协议、物流配送协议、XML和标准化等方面深入研究和完善才能良好的促进电子商务技术的应用和推广。

范文六:电子商务安全 投稿:卢缧缨

1●1黑客常用的攻击手段

第一类是信息收集型攻击,主要采用刺探、扫描和监听技术。包括 地址扫描:运用ping、端口扫描、体系结构探测、DNS域名转换、LDAP服务(轻量目录访问协议LDAP)、伪造电子邮件。

第二类是利用型攻击,利用操作系统、网络服务协议、系统软件、数据库的漏洞进行攻击。包括口令猜测、特洛伊木马、缓冲区溢出。

第三类是拒绝服务攻击,拒绝服务目的在于使系统瘫痪,最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源,从而使合法用户无法得到服务的响应。包括死亡之ping、泪滴(teardrop) 、UDP洪水、电子邮件炸弹。 2电子商务安全要素 7个

真实性、保密性、完整性、不可否认性、可靠性、及时性、不可拒绝性 3电子商务安全措施

1.保证交易双方身份的真实性:常用技术是身份认证,依赖于认证中心发放的数字证书。2.保证信息的机密性:常用加密和解密技术,安全性依赖于算法种类和密钥长度。3.保证信息的完整性:常用散列函数实现,4.保证信息的真实性、不可否认性:常用数字签名技术,5.保证信息存储、传输的安全性:规范管理、建立日志、加密存储、数据备份和恢复。

4电子商务安全问题分类

从技术上看,电子商务安全主要包括:网络安全技术、信息加密技术、公钥基础设施、电子安全交易协议网络安全和数据库安全是最重要的。

从整体上电子商务安全可分为两大部分,计算机网络安全和电子商务交易安全。 5电子商务安全问题

电子商务的交易特征所带来的安全问题,即网络安全。

安全技术、人员和设备管理、法律法规等安全问题。

安全问题是制约电子商务发展的关键问题。

6目前存在的主要安全问题 4类

黑客恶意攻击、软件的漏洞和后门、网络协议的安全漏洞、计算机病毒的攻击 7设备的安全问题

一是:物理实体的安全:1设备的功能失常2意外原因3由电磁泄漏引起的信息失密4搭线窃听。

二是:自然灾害的威胁。

8电子商务安全技术

信息加密技术、认证技术、数字签名、防火墙技术、虚拟专用网、身份认证、数字时间戳

2●9信息加密技术是电子商务安全交易的核心,可实现电子商务交易的保密性、完整性、可用性,不可否认性等。

EC包括三个实体:买方、卖方和金融中介。

在信息的传输过程中,信息保密的任务由密码技术来完成。数字签名、认证技术也由密码技术来完成。

10密码学的概念和分类

密码学是研究通信安全保密的学科。分类:密码编码学、密码分析学。 11密码系统的组成

明文空间:加密的信息为明文,明文的全体称为明文空间。用M(Message)表示

密文空间:经过伪装后的明文,密文的集合称为密文空间,用C(Cipher)表示,可被认为是字符流或比特流。

密码方案:描述加密和解密的具体规则(加密算法和解密算法)。

密钥空间:密钥是控制加密和解密算法操作的元素,用K(Key)表示,密钥的全体成为密钥空间

12加密、解密概念:

加密算法:对明文进行加密时所使用的规则。

加密:对明文实施的变化过程,记为E(X)(X为明文)。

解密算法:对密文还原时所使用的规则。

解密:对密文实施的变换过程,记为D(X)(X为加密后的密文)。

13密码体制的分类

根据密码的发展史:古典密码、近现代密码

根据加解密算法所使用的密钥是否相同:对称密钥密码体制(加密密钥和解密密钥相同)、非对称密钥密码体制(加密密钥和解密密钥不同)

根据加密方式:流密码(逐位地加密明文消息字符(二进制))、分组密码(把明文消息分组,逐组加密)

根据加密变换是否可逆:单向函数密码(明文-容易-密文,密文-困难-明文单向函数包括:MD4、MD5、SHA-1。)、双向变换密码体制

14密码攻击类别(强度按序递增,唯密文最弱)

唯密文攻击:分析者有一个或一些密文。

已知明文攻击:分析者有一些明文及对应的密文。

选择明文攻击:分析者选择一些对攻击有利的特定明文,并产生对应的密文。 选择密文攻击:分析者选择一些对攻击有利的特定密文,并得到对应的明文。 15对称密码体制的概念及分类(ppt44-82)

对称密码体制(单钥密码体制、秘密密钥密码体制):加密密钥与解密密钥的密码体制相同,这种体制中只要知道家(解)密算法,就可以反推(解)加密算法。 分类:古典密码、流密码、分组密码

古典密码:移位密码、代换密码、仿射密码、维吉尼亚密码、置换密码。 流密码:算法:流密码采用密钥生成器,根据初始密钥生成一系列密钥流来加密信息,每个明文可以选用不同的密钥加密。典型二进制流密码:A5、SEAL。 分组密码:特点:加密时,先对明文分组,每组长度都相同,然后对分组加密得到等长的密文,分组密码的特点是加密密钥与解密密钥相同。安全性主要依赖于密钥。对密码算法的要求:分组长度m足够大、密钥空间足够大、密码变换必须足够复杂。典型的分组密码DES、AES。

16非对称密码体制概念(ppt83-106)

使用两个密钥:公开密钥、私有密钥;加解密的非对称性

有:RSA公钥密码体制。单向陷门函数。(Ppt89-103)

公钥密码体制特点(与对称密码体制相比):密钥分发和管理简单。用户保存的密钥量减少。满足互不相识的的用户之间进行保密通信。容易完成数字签名和认证。加密和解密的效率比对称密码体制差。

3●17认证技术的分类

认证可分为消息认证(也称数据源认证)和身份认证。

消息认证用于保证信息的完整性与抗否认性;这消息真的是他发出来的吗?是不是假冒的?

身份认证则用于鉴别用户身份。和我通话/信的这个人真的是他吗? 18常见的身份认证技术

基于口令的身份认证(口令)、基于硬件令牌的认证方式(持证)、生物特征识别认证(生物识别)。

19数字签名的概念、作用、方法

概念:数字签名就是通过一个单向函数对要传送的报文进行处理,得到用于认证报文来源并核实报文是否发生变化的一个字符串,用这个字符串来代替手写签名或印章,起到与手写签名或印章同样的法律效用。

作用:数字签名是实现电子交易安全的核心技术之一,它在身份认证、数据完整性、不可否认性以及匿名性等方面有着重要的应用。

方法:数字签名算法有很多种,目前应用最广泛的三种是:RSA签名、DSS签名和基于ECC密码体制的ECDSA数字签名。

数字签名必须能保证:接收者能够核实发送者对报文的签名;发送者事后不能抵赖对报文的签名;接收者不能伪造对报文的签名。

19消息认证机制的方法、概念

消息认证是指消息的接收者能够检验收到的消息是否真实的方法。消息认证具有两层含义:检验消息来源的真实,即对消息的发送者的身份进行认证;检验消息的完整性,即验证消息在传送或存储过程中是否被篡改、重放或延迟等。 在对消息提供完整性检验时,根据所使用的密码算法的不同,可以分为基于对称密码体制的消息认证和基于非对称密码体制的消息认证。

4●20密钥管理遵循的原则

1密钥难以被窃取;

2在一定条件下窃取了密钥也没有用,密钥有使用范围和时间的限制;

3密钥的分配和更换过程对用户透明,用户不一定要亲自掌管密钥;密钥永远不可以以明文的形式出现在密码装置之外;

4密码装置是一种保密工具,即可以是硬件,也可以是软件。

21密钥保护的基本原则

1密钥永远不可以以明文的形式出现在密码装置之外。

2密码装置是一种保密工具,既可以是硬件,也可以是软件。

22密钥分类

三个等级:初级密钥、二级密钥、主密钥(高级密钥)

23密钥管理过程

密钥的产生、密钥的分配、密钥的存储、密钥的备份、密钥的更新、密钥的恢复、密钥的销毁。

24非对称密钥管理

又称公钥密码体制。公共密钥加密的用途:公共密钥的分配,使用公开密钥加密方法分配秘密密钥。

25公开密钥的分配

公钥的公开发布、公开可访问目录、公开密钥管理机构、公钥证书

5●26网络安全体系

从层次体系上,可以将网络安全分成四个层次上:

1、物理安全;2、逻辑安全;3、操作系统安全;4、联网安全。

物理安全有:1)防盗;2)防火;3)防静电;4)防雷击;5)防电磁泄漏: 27网络安全的必要性

网络需要与外界联系,受到许多方面的威胁

物理威胁、系统漏洞造成的威胁、身份鉴别威胁、线缆连接威胁、有害程序等方面威胁。

28网络安全级别

我国评价标准:5个级别

第一级为用户自主保护级:保护用户的信息免受非法的读写破坏。

第二级为系统审计保护级:要求创建和维护访问的审计跟踪记录,使所有的用户对自己的行为的合法性负责。

第三级为安全标记保护级:要求以访问对象标记的安全级别限制访问者的访问权限,实现对访问对象的强制保护。

第四级为结构化保护级:将安全保护机制划分为关键部分和非关键部分。 第五级为访问验证保护级:这一个级别特别增设了访问验证功能,负责仲裁访问者对访问对象的所有访问活动。

国际评价标准:4个级别,A、B、C、D。

29防火墙的概念

防火墙是用于企业内部网和因特网之间实施安全策略的一个系统或一组系统,它决定内部服务中那些可被外界访问,外界的哪些人可以访问内部的哪些服务,同时决定内部人员可以访问哪些外部服务。

30防火墙的用途

管理因特网和公司内部网之间互相访问。简化安全管理,安全管理措施可以从防火墙上实施。监视网络安全并产生安全报警。是逻辑上的网络地址转换器。审计、记录因特网使用量最佳位置。部署Web和FTP服务器的理想位置。 31防火墙的局限性|。

不能防止不经过防火墙的攻击。不能防止公司泄密者或职员错误操作产生的安全威胁。不能防范已感染病毒软件或文件的传送。不能防止数据驱动型攻击,指表面上看来无害的数据,被邮寄或复制到内部网主机中,一旦执行就发起攻击。 32防火墙的设计准则。

1.防火墙的姿态(拒绝每件未被特别许可的事情(限制政策)、允许未被特别据绝的每—件事情(宽松政策) 多数防火墙都在两种之间采取折衷。)2.机构的安全策略3.防火墙的费用4.防火墙系统的基本成份和基本构件

33包过滤防火墙的概念。

包过滤防火墙对收到的每一数据包作许可或拒绝决定。

34包过滤防火墙的优点、缺点。

包过滤路由器的优点:1速度快,性能高 2 对用户透明3 网络地址转换 包过滤路由器的局限性:1维护比较困难(需要对TCP/IP了解) 2安全性低(IP欺骗等)3不提供有用的日志,或根本就不提供4不防范数据驱动型攻击(缓冲区溢出和输入验证攻击)5不能根据状态信息进行控制6不能处理网络层以上的信息 7无法对网络上流动的信息提供全面的控制

35应用层网关的概念、优点、缺点,堡垒主机。

应用层网关以存储转发方式,检查和确定网络请求的合法性,以决定是否转发或丢失。

优点:网络管理者对每一服务进行完全控制;应用层网关有能力支持用户强制认证并能提供详细的记录信息;应用层网关也比过滤路由器容易配置和检查。 缺点:通过应用层网关的Telent访问要求用户通过两步而不是一步来建立连接;每个应用程序都必须有一个代理服务程序来进行完全控制,每一种应用升级时,一般代理服务程序也要升级。

堡垒主机是处于防火墙关键部位、运行应用层网关软件的计算机系统。 36线路层网关。

是能被应用层执行专门功能的组件,它只是简单地被用作TCP连接的中继点,而不对传输的数据包进行处理和过滤。

37防火墙举例:包过滤路由器、屏蔽主机防火墙、屏蔽子网防火墙。 38屏蔽子网防火墙优点

1.入侵者必须闯三关:外部路由器、堡垒主机、内部路由器

2.外部路由器是DMZ网与因特网的唯一接口,内部网对因特网来说是“不可见的”,因特网只有通过路由表和域名系统信息交换才能知道DMZ的某些系统。

3.保证内部网用户必须通过堡垒主机中的代理服务才能访问因特网。 39VPN的概念|

虚拟专用网就是建立在公共网络上的私有专用网,它是一个利用基于公共基础架构的网络。

40VPN的三个关键。

安全:包括访问控制、认证和加密技术以保证网络连接的安全、用户的真实性和数据通信的隐秘及完整性;

通信控制:包括带宽管理和服务质量管理以保证VPN的可靠和高速;

管理:保证VPN和企业安全策略的集成,近程或远程集成的管理和解决方案的可伸缩性。

41隧道及其基本组成。

VPN是在共享网络上建立的专用连接,连接技术称为隧道。是跨越网络端到端的连接,实际的通信通过该连接进行。

基本组成:①隧道启动器;②路由网络;③可选的隧道交换机;④一个或多个隧道终结器。

42VPN的三种类型。

远程访问网络。虚拟专线网络。虚拟存在点。

43VPN协议。

点对点隧道协议PPTP;第二层转发协议L2F;第二层隧道协议L2TP

44VPN的安全性。

1.微软的点对点加密技术2.IPSec协议3.隧道交换

45入侵、入侵活动、入侵检测的概念。

入侵:指试图破坏计算机的保密性、完整性、可用性或可控性的一系列活动。 入侵活动:非授权用户试图存取数据、处理数据、干扰计算机的运行。

入侵检测系统(IDS)是对计算机和网络资源的恶意使用行为进行识别的系统; 46入侵检测系统的功能。

监控、分析用户和系统的行为;检查系统的配置和漏洞;评估重要的系统和数据文件的完整性;对异常行为的统计分析,识别攻击类型,并向网络管理人员报警;对操作系统进行审计、跟踪管理,识别违反授权的用户活动。

47入侵检测系统的分类。

网络IDS、主机IDS

48入侵检测系统的部署。

1.基于网络入侵检测系统的部署2.基于主机入侵检测系统的部署

3.入侵检测系统与防火墙的结合

49入侵检测系统的优点、缺点。

优点:1可以检测和分析系统事件以及用户的行为;2可以测试系统设置的安全状态;3以系统的安全状态为基础,跟踪任何对系统安全的修改操作;4通过模式识别等技术从通信行为中检测出已知的攻击行为;5可以对网络通信行为进行统计,并进行检测分析;6管理操作系统认证和日志机制并对产生的数据进行分析处理;7在检测到攻击的时候,通过适当的方式进行适当的报警处理;8通过对分析引擎的配置对网络的安全进行评估和监督;9允许非安全领域的管理人员对重要的安全事件进行有效的处理。

局限:1入侵检测系统无法弥补安全防御系统中的安全缺陷和漏洞。2对于高负载的网络或主机,很难实现对网络入侵的实时检测、报警和迅速的进行攻击响应。3基于知识的入侵检测系统很难检测到未知的攻击行为,也就是说,检测具有一定的后滞性,而对于已知的报警,一些没有明显特征的攻击行为也很难检测到,或需要付出提高误警报率的代价才能够正确检测。

50计算机病毒的概念。

计算机病毒指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。 51计算机病毒的特点。

书:是一段可执行的程序、传染性、潜伏性、可触发性、破坏性、攻击的主动性、针对性、衍生性。PPT:自我复制能力感染性潜伏性触发性破坏性 52计算机病毒的类型。

病毒类型按寄生方式分为引导型,病毒文件型病毒和复合型病毒

按破坏性分为良性病毒和恶性病毒。

53计算机病毒的检测方法。

(1)特征代码法(2)校验和法(3)行为监测法(4)软件模拟法

54计算机病毒的清除方法。

1用保存主引导扇区信息恢复的方法2程序覆盖方法3低级格式化或格式化磁盘4手工清除法

55电子邮件安全的几个协议:PGP、RFC 822、MIME。

56S/MIME的安全功能。

S/MIME的安全功能与PGP的安全功能相同,有加密和签字,即:

(1)数据的封装:被封装的数据包括被加密的消息内容和被加密的消息加密密钥。

(2)数据的签字:发方用自己的秘密钥对消息摘要的签字。或者签字和消息内容一起经编码变换后,发给收方,仅当收方也具有S/MIME的安全功能时,才能解读消息。

S/MIME使用的密码算法有:消息摘要算法、 签字算法、加密会话密钥的加密算法和加密消息的加密算法。

S/MIME只保护邮件的邮件主体,对头部信息则不进行加密,以便让邮件成功地在发送者和接收者的网关之间传递

6●1PKI的概念。

PKI是利用公共密码理论和技术为电子商务、电子政务、网上银行和网上证券等所有网络应用提供一整套安全基础平台,它是创建、颁发、管理、撤销公钥证书等一系列基础服务的所有软件、硬件的集合体

2 PKI的功能、性能。

PKI的性能有:可扩展性、方便经济性、多政策性、透明性和易用性、互操作性、兼容性、简单的风险管理。

3 PKI的组成。

认证机构CA、证书库CR、应用程序接口API、密钥备份和恢复系统、证书废除系统、客户端证书处理系统、注册机构。

4 PKI的核心?CA

5证书库的功能:存储证书;提供证书;确认证书状态

6 PKI的数字证书

数字证书(Digital ID)又叫“网络身份证”、“数字身份证”;由认证中心发放并经认证中心数字签名的;包含公开密钥拥有者以及公开密钥相关信息的一种电子文件;可以用来证明数字证书持有者的真实身份;是PKI体系中最基本的元素; 证书是一个机构颁发给个体的证明,所以证书的权威性取决于该机构的权威性。 数字证书的功能

1. 文件加密;通过使用数字证书来对信息进行加密来保证文件的保密性,采用基于公钥密码体制的数字证书能很好解决网络文件的加密通信;

2. 数字签名;数字证书可以用来实现数字签名,以防止他人篡改文件,保证文件的正确性、完整性、可靠性和不可抵赖性;

3. 身份认证;利用数字证书实现身份认证可以解决网络上的身份验证,能很好的保障电子商务活动中交易的安全问题。

数字证书的分类:个人数字证书;企业数字证书;服务器数字证书;安全邮件数字证书;web站点数字证书;安全代码证书

7 CA(认证机构):提供网络身份认证服务,负责签发和管理数字证书的机构 具有权威性和公正性的第三方信任机构

作用类似于颁发证件的公司— 如护照办理机构

如同电厂对于电力基础设施一样,CA是PKI基础设施的核心

CA的功能

(1)证书申请:接收证书申请者的申请并验证身份;

(2)证书审批和发放:产生证书申请的审批,确定是否给申请者发放证书,若同意则发放公钥证书,反之,拒绝发放;

(3)证书更新:接收并处理申请者的证书更新请求;

(4)接收并处理合法身份者的证书查询和撤消申请;

(5)产生并管理证书废止列表CRL;

(6)将各用户的数字证书归档;

(7)产生并管理密钥,包括密钥备份及恢复;

(8)将用户的历史数据归档。

CA的组成|。

注册机构RA服务器;证书申请受理和审核机构;认证中心服务器。

8数字证书生成的2种模式。

集中生成模式、分布式生成模式

9证书的使用

持证人甲向持证人乙传送数字信息,为保证信息传送的真实性、完整性和不否认性,需要对要传送的信息进行数字加密和数字签名,传送过程如下:

1.甲准备好传送的明文。

2.甲对数字信息进行Hash运算,得到一个信息摘要。

3.甲用自己的私钥对信息摘要加密得到甲的数字签名,并将其附在数字信息上。

4.甲随机产生一个加密密钥,并用此密钥对发送的信息加密。

5.甲用乙的公钥对随机产生的加密密钥进行加密,将加密后的密文同密文一起传给乙。

6.乙收到甲传过来的密文和加密密钥,先用自己的私钥对加密的密钥进行 解密,得到会话密钥。

7.乙用密钥对收到的密文进行解密,得到明文的数字信息,并将密钥抛弃。

8.乙用甲的公钥对甲的数字签名进行解密,得到信息摘要。乙用相同的Hash算法对收到的明文再进行一次Hash运算,得到一个新的信息摘要。

9.乙将收到的信息摘要和新产生的信息摘要进行比较,如果一致,说明收到的信息没有被修改过。

证书的存放

存放在硬盘上:PC必须受到安全保护

存放在软盘上:被窃取的可能性降低,但容易损坏

存放在IC卡中:成本低,不易损坏,但密钥会出卡,造成安全隐患

存放在CPU卡上:有处理器和内存,可对数据加密,适用于安全较高的场合。 10证书的撤销。

撤消数字证书的方法有:定期公布数字证书撤销表、广播数字证书撤销表、在线查询CRL机制、发行短期数字证书。

11 CA、证书策略CP和证书实施说明CPS。

通常情况下,认证机构会根据实际情况签发不同级别或类别的数字证书,并据此提供不同级别或类别的服务。

这样不同级别或类别的证书必须使用不同的证书

策略(Certificate Policy,CP)来定义其基本属性,以适应不同的使用目的;而这些不同级别或类别的服务则是证书使用过程中必须遵循的操作程序,这就是证书实施说明

证书策略(Certificate Policy,CP)是一套指定的规则,用来说明满足一般安全性要求的数字证书在某个特定的使用情况下的应用能力。

证书实施说明(Certificate Practice Statement,CPS)则是认证机构公布一份声明,它规定了在认证过程中要遵循的操作程序。

12保证等级的4层。

(1)初级:通过网络来申请数字证书,仅需提供E-mail地址。私钥可以存放在软件或硬件中。

(2)基本级:可以亲自或通过网络提出申请,但认证中心会通过比较已知数据库中的可信信息或通过其他可信的方法来审核申请者。

(3)中级:必须亲自到注册机构、委托代理机构或已被授权证实用户身份的州或联邦机构认证的办公室去办理注册手续,并且申请人必须出示一个由联邦政府发行的图片身份标识或至少两种非联邦政府发行的身份标识(其中至少有一个必须是图片身份标识)以证实其身份。

(4)高级:申请人必须亲自到注册机构或委托代理机构去办理注册手续。对申请人身份证实的要求与中级一致。私钥必须存放于硬件中。

13 PKI的运行模型。

管理实体、端实体和证书库三类实体。

14 PKI的信任模型。

严格等级结构的信任模型;网状信任模型;web信任模型;桥信任模型 15 PKI的应用。

虚拟专网(VPN);安全的电子邮件;安全的Web浏览;应用编程接口

16.PKI的国内外发展。

国家电子政务PKI是服务于国家各级机构、组织和部门的内部电子政务业务(如文件流转,权威信息发布等)的PKI体系。它负责向参与这些业务的各实体(包括人、机构和设备)提供信任和安全服务。国家电子政务PKI体系采用严格的层次结构任模型,由政务根中心(GRCA)、政务认证中心(GCA)和注册机构(RA)组成。 服务于各种公众网上业务(包括电子商务业务、政府面向公众服务的电子政务业务和其他信息化应用)的 PKI体系。它是与国外 PKI体系互联互通的主要窗口。 国家公共 PKI体系采用网状信任模型,由国家桥中心(NBCA )、地区桥中心LBCA )、公众服务认证中心(SCA )和注册机构(RA )组成。 上面两个体系之间的沟通可以采用桥接技术加以实现。通过政务根 CA 对国家桥的有限制的信任,可以在确保电子政务的信任源来自政府的前提下,使经过审核的公众服务 CA 为政府所用,在政府面向公众服务的电子政务中发挥作用 全国性的行业CA中心有中国金融认证中心(CFCA)、中国电信认证中心(CTCA)等

7●1电子支付定义:是指从事电子商务交易的当事人,包括消费者、厂商和金融机构,使用安全电子支付手段通过网络进行的货币支付或资金流转。从广义上说,电子支付就是资金或与资金有关的信息通过网络进行交换的行为。

2电子支付所具有的特征:1)、电子支付是采用先进的技术通过数字流转来完成信息传输的,其各种支付方式都是采用数字化的方式进行款项支付的。2)、电子

支付的工作环境是基于一个开放的系统平台之中,而传统支付则是在较为封闭的系统中运作。3)、电子支使用的是最先进的通信手段,如Internet\Extranet;而传统支付使用的则是传统的通信媒介。4)、电子支付具有方便、快捷、高效、经济的优势。电子支付费用仅为传统方式的几十分之一,甚至几百分之一。 3电子支付的发展阶段

第一阶段是银行利用计算机处理银行之间的业务,办理结算;

第二阶段是银行计算机与其他机构计算机之间资金的结算,如代发工资等业务;

第三阶段是利用网络终端向客户提供各项银行服务,如客户在自动柜员机(ATM)上进行取、存款操作等;

第四阶段是利用银行销售终端(POS)向客户提供自动的扣款服务,这是现阶段电子支付的主要方式;

第五阶段是网上支付。通过Internet进行直接转账结算,这是电子支付发展的最新阶段。

4电子支付系统的概念:是指消费者、商家和金融机构之间使用安全电子手段把支付手段把支付信息通过网络安全传送到银行或相应的处理机构,来实现的电子支付。是融购物流程、支付工具、安全技术、认证体系以及金融体系为一体的综合系统。

5传统信用卡支付系统与网上银行卡支付系统的差别

使用的信息传递通道不同:传统信用卡支付系统使用专用网,因此较安全;网上银行卡支付系统的消费者和商家均使用Internet。

⑵付款地点不同:传统信用卡支付系统必须在商场使用商场的POS机进行付款;网上银行卡支付系统可以在家庭或办公室使用自己的个人计算机进行购物和付款。

⑶身份认证方式不同:传统信用卡支付系统在购物现场使用身份证或其他身份证明验证持卡人的身份;网上银行卡支付系统在计算机网络上使用CA中心提供的数字证书验证持卡人、商家、支付网关以及银行的身份。

⑷付款授权方式不同:传统信用卡支付系统在购物现场使用手写签名的方式授权商家扣款;网上银行卡支付系统使用数字签名进行远程授权。

⑸商品和支付信息采集方式不同:传统信用卡支付系统使用商家的POS机、条形码扫描仪和读卡设备采集商品和信用卡信息;网上银行卡支付系统直接使用自己的计算机,通过鼠标和键盘输入商品和银行卡信息。

6电子支付系统的功能。⑴使用数字签名和数字证书实现对各方的认证:使用X.509和数字签名实现对各方的认证。

⑵对业务进行加密确保数据的完整性:安全套接层SSL和安全的超文本传输协议S-HTTP完成数据交换。

⑶保证业务的完整性和不可否认性 :使用消息摘要算法以保证业务的完整性和不可否认性。⑷处理多方贸易业务的多边支付问题:

这种多边支付的关系可以通过双重签名等技术来实现。

由于网上贸易的支付要牵涉到客户、商家和银行等多方,其中传送的购货信息与支付信息必须连接在一起,因为商家只有确认了支付信息后才会继续交易,银行也只有确认了购货信息后才会提供支付。

同时,商家不能读取客户的支付信息、银行不能读取商家的订单信息。

7电子支付系统的基本构成客户:商品交易中负有债务的一方,使用支付工具进行电子支付,是支付系统运作的原因和起点。

商家:商品交易中负有债权的一方,根据客户发出的支付指令向金融体系请求资金入账。

银行:包括客户开户行、商家开户行、银行专用网。

支付网关:是商家授权并以此获取支付信息进行交易的平台。 是连接因特网和金融专用网的中介,由金融机构或第三方非金融机构设立。

CA认证机构:公开安全的第3方认证体系,这一体系可以在商家与用户进行网上交易时为他们颁发电子证书,在交易行为发生时对电子证书和数字签名进行验证。

8发 卡 行客户的开户行:是指客户在其中拥有自己账户的银行,客户所拥有的支付工具一般就是由开户行提供的,客户开户行在提供支付工具的同时也提供了银行信用,保证支付工具的兑付。在信用卡支付体系中把客户开户行称为发卡行。

9收 单 行商家开户行:是指商家在其中拥有自己账户的银行。商家将客户的支付指令提交给其开户行后,就由商家开户行进行支付授权的请求以及银行间的清算等工作。商家开户行是依据商家提供的合法账单(客户的支付指令)来操作,因此又称为收单行。

10支付网关的安全管理功能

1、通过采用RSA公匙加密和SET协议,可以确保网络交易的安全性;

2、提供完整的商户支付处理功能,包括授权、数据捕获和结算、对账等;

3、通过对因特网上交易的报告和跟踪,对网上活动进行监视。

11支付网关的工作流程

1、用户发往网上商店的购物请求;2、网上商店发往支付网关的授权请求;

3、支付网关发往银行卡交换中心的授权请求;4、银行卡交换中心发往发卡银行的授权请求;5、发卡银行发给银行卡交换中心的授权应答消息;6、银行卡交换中心发给支付网关的授权应答消息;7、支付网关发给网上商店的授权应答消息;

8、网上商店发给用户的应答消息。

12客户电子支付流程

1浏览网站,访问商家主页。2选择商品,填写订单3商家申请授权4核实后,信用卡中心决定是否授权。5货物配送6在规定的时间内将转账结算数据传往收单行。7收单行将转账数据传往发卡行进行认证。8转账业务经发卡行传回收单行。9转账结果在分别由发卡行和收单行传往信用卡信息中心。

13电子货币的概念|

是指以金融电子化网络为基础,以商用电子化工具和各类交易卡为媒介,以计算机技术为手段,以电子数据(二进制数据)形式存储在银行的计算机系统中,并通过计算机网络系统以电子信息形式传递支付功能的货币。

14电子货币的特征

电子货币作作为现代金融业务与现代计算机技术相结合的产物,具有如下特征: ⑴融储蓄、信贷和非现金结算等多种功能为一体。

⑵传统货币以实物形式存在,而且形式比较单一,而电子货币则不同,它是一种电子符号,其存在形式随处理的媒体而不断变化,如在磁盘上存储时是磁介质,在网络中传播时是电磁波,在CPU处理器中是电脉冲,现阶段电子货币的使用通常以银行卡(磁卡、智能卡)为媒体。

⑶电子货币以计算机技术为依托,进行储存,支付和流通,新的技术和设备也引发了电子货币新的业务形式的出现。

⑷电子货币的安全性,不是依靠普通的防伪技术,而是通过用户密码、软硬件加密、解密系统以及防火墙等网络安全保护功能来实现的。

15电子货币主要功能

1帐结算功能:直接消费结算,代替现金转帐;

2储蓄功能:使用电子货币存款和取款;

3兑现功能:异地使用货币时,进行货币汇兑;

4消费贷款功能:先向银行贷款,提前使用货币。

16电子支付的主要方式在电子商务支付体系中,可以将支付方式分为三类:一类是电子货币类,如电子现金、电子钱包等;另一类是电子信用卡类,如信用卡、智能卡、借记卡、电话卡等;还有一类是电子支票、电子汇款等。电子货币常用于小额购物环境,具有安全、匿名、使用方便等特点。

1.信用卡2.电子现金3.电子钱包4.电子支票

17信用卡一般定义:信用卡是银行或其它财务机构签发给那些资信状况良好的人士,用于在指定的商家购物和消费、或在指定银行机构存取现金的特制卡片,是一种特殊的信用凭证。

18信用卡的基本功能识别能力:识别持卡人的身份,确认是否持卡人本人。 信息和数据存储功能:将持卡人的身份、密码、使用记录、货币数据的收付等数据存储起来。

结算和提取现金:消费时可以使用信用卡结算,必要时可以提现。

其它附加功能:用作电话卡、乘车卡、医疗卡、加油卡等。

19信用卡电子支付的4种方式

直接传输方式、专用帐号方式、专用协议方式、SET协议方式。

信用卡不需存款即可透支消费,并可享有20-50天的免息期按时还款分文利息不收。

20电子支票是客户向收款人签发的、无条件的数字化支付指令。是网络银行常用的一种电子支付工具。

21电子支票支付流程.

1开具电子支票。在银行注册申请,

2电子支票付款。买方用私钥在电子支票上签名,用卖方的公钥加密,向卖方支付;卖方收到用卖方公钥加密的电子支票,用买方的公钥确认买方的数字签名,再向银行认证电子支票,然后即可发货。

3清算。卖方将电子支票存到银行,需要时再发送。

22电子现金.

是一种以数据形式存在的现金货币,又称为数字现金。它把现金数值转换成为一系列的加密序列数,通过这些序列数来表示现实中各种金额的币值。

23电子现金的支付流程

(1) 预备工作:付款人、收款人(商家)、发行者都要在认证中心申请数字证书,并安装专用软件。付款人从发行者处开设电子现金账号,并用其它电子支付方式存入一定数量的资金(例如使用银行转帐或信用卡支付方式),利用客户端软件兑换一定数量的电子现金。接受电子现金付款的商家也在发行者处注册,并签约收单行用于兑换电子现金。

(2) 付款人与收款达成购销协议,付款人验证收款人身份并确定对方能够接受相应的电子现金支付。

(3) 付款人将订单与电子现金一起发给收款人。这些信息使用收款人的公开密

钥加密,收款人使用自己的私钥解密。

(4) 收款人收到电子现金后,可以要求发行者兑换成实体现金。发行者通过银行转帐的方式将实体资金转到收单行,收款人与收单行清算。

24电子钱包有两种概念:一是纯粹的软件,主要用于网上消费、帐户管理, 这类软件通常与银行账户或银行卡账户是连接在一起的。二是小额支付的智能储值卡,持卡人预先在卡中存入一定的金额,交易时直接从储值帐户中扣除交易金额。 25网上银行概述. 是指银行利用Internet技术,通过Internet向客户提供开户、销户、查询、对账、转账、信贷、投资理财、证券等服务项目。又称网络银行、电子银行、在线银行。

26网上银行的特点. 1)采用Internet/Intranet技术,建立在计算机技术、计算机网络技术和通信技术基础之上。

2)把银行的业务从店堂柜台前移到Internet上虚拟柜台的电子交易模式。

3)使用简单,只要能联网的计算机就能办理银行业务。

4)服务多样化,可以满足支票报失、查询、汇款、网上购物、转账、维护金融秩序。

5)使用成本低廉,省去交通费、等待时间、减少银行中间环节,大大降低成本。

6)银行成本降低,节省网点建设投资、人财物都得到精简,

7)提高工作效率,延长服务时间,突破空间和时间限制,365-24时时提供服务。 27网上银行的功能. 银行业务:个人银行业务,企业银行业务,银行转账;商业服务:包括投资理财、融资理财、投资银行、资金清算、资本市场、政府服务等功能;信息发布:通过Internet发布的公共信息主要包括:国际市场外汇行情、对公利率、储蓄利率、汇率、国际金融信息、证券行情及银行的历史背景、机构设置、经营状况、业务品种,国内外经济金融信息、新闻信息等。 28网上银行系统业务模块组成(网上银行的组成)

账户申请处理模块、 支付授权处理模块、网上支付处理模块、系统管理模块。 29网上银行系统的安全性|.

网络设备安全;数据管理和网络通信安全;应用系统安全;网络安全评估。 8●1SSL协议安全套接层协议是一种国际标准的加密及身份认证通信协议。 最初由美国Netscape公司为互联网上保密文档传送而研究开发的

2HTTPS和HTTP的区别

一、https协议需要到ca申请证书,一般免费证书很少,需要交费。

二、http是超文本传输协议,信息是明文传输,https 则是具有安全性的ssl加密传输协议。

三、http和https使用的是完全不同的连接方式,用的端口也不一样,前者是80,后者是443。

四、http的连接很简单,是无状态的,HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议 要比http协议安全。

3SSL通过加密传输来确保数据的机密性,通过信息验证码MAC)机制来保护信息的完整性,通过数字证书来对发送和接收者的身份进行认证

4SSL提供的三方面安全服务|

用户和服务器的合法性认证,在握手交换数据时进行数字认证,来确保客户的合法性;加密数据以隐藏被传送的数据(机密性),采用对称密钥技术和公开密钥技术,算法DES,IDEA,RC2,RC4,„;保护数据的完整性,SSL采用Hash函数和机密共享的方法提供信息的完整性服务。

5SSL协议实现的六步骤接通阶段,客户机通过网络向服务器打招呼,服务器回应;密码交换阶段,客户机与服务器之间交换双方认可的密码,一般选用RSA密码算法;会谈密码阶段,客户机器与服务器间产生彼此交谈的会谈密码;检验阶段,客户机检验服务器取得的密码;客户机认证阶段,服务器验证客户机的可信度;结束阶段,客户机与服务器之间相互交换结束的信息。

6SSL协议具有两层结构:

其底层是SSL记录协议层,简称记录层。

其高层是SSL握手协议层

7SSL协议定义了两个通信主体:客户(Client)和服务器(Server) 8SSL协议采用的加密和认证算法

加密算法中,RC2适用于块加密,RC4适用于流加密

认证算法采用X.509电子证书标准,通过使用RSA算法进行数字签名来实现的。 ⑴ 服务器的认证:服务器方的写密钥和客户方的读密钥、客户方的写密钥和服务器方的读密钥分别是一对私有、公有密钥。⑵ 客户的认证

9●1SET协议(安全电子交易)是由VISA和Master Card两大信用卡公司联合推出的规范

2SET中的核心技术主要有公开密钥加密、数字签名、数字信封、数字安全证书 3SET能够在TCP/IP层上安全的运行

4SET协议分为三个阶段

第一阶段为购买请求阶段,持卡人与商家确定所用支付方式的细节;第二阶段是支付的认定阶段,商家与银行核实,随着交易的进行,他们将得到支付;第三阶段为受款阶段,商家向银行出示所有交易的细节,然后银行以适当方式转移货款。 5SET协议的功能

⑴ 机密性:采用公开密钥密码算法来保证传输信息的机密性,避免Internet上任何有关或无关的窥探。SET也可以通过双重签名的方法,将信用卡信息直接从持卡人通过商家发送到商家的开户行,不允许商家访问客户的账号信息。 ⑵ 数据完整性:信息加密后,将产生一个唯一的报文消息摘要值,如果有人篡改报文中的数据,接受方计算出的摘要值将改变,从而北检测到,这样保证了信息的完整性。

⑶ 身份认证:使用数字证书确认交易各方的身份,为在线交易提供一个完整的可信赖环境。

⑷ 不可否认性:SET在交易过程中的数字证书的发布过程包含了商家和持卡人在交易中的信息。因此,持卡人和商家都不能否认商品订单。

6OI及PI的含义

PI是发送支付命令,OI是发送订单信息。

7SET协议的安全性分析。

鉴别安全:必须依赖公开密钥的运转体系,使得系统是否能实际运转必须依赖整体大环境是否成熟而定;完整性安全:使用数字签名与哈希函数技术来达成完整性的要求,运转方式为发送方先将交易信息经过哈希函数的计算产生消息摘要后,再使用发送方的私钥加密产生签名;机密性安全:采用了对称性与非对称性的密码系统;抗抵赖性:可利用数字签名技术来产生不可否认的证据,其中双重签名也隐含了这个功能;隐私权的安全保护:为了提供消费者隐私权的保护,使用了一个重要的创新技术—双重签名。

8SSL与SET协议的比较

在工作层次上,SSL协议是传输层与应用层之间,SET协议是应用层; 是否透明上,SSL为透明,SET为不透明;

在过程上,SSL为简单,SET为复杂;

在效率上,SSL为高,SET为低;

在安全性上,SSL为商家掌握消费者,SET为消费者对商家保密;

在认证机制上,SSL为双方认证,SET为多方认证;

在是否为EC设计上,SSL为否,SET为是。

9认证中心(CA) 采用X.509标准.

10●1移动电子商务的概念

利用手机、PDA、移动PC等移动通信设备与无线网络技术结合进行的上午活动。 2无线局域网

无线局域网技术标准-蓝牙是一种用于替代便携或固定电子设备上使用的电缆或连线的短距离无线连接技术。

蓝牙技术成功的主要推动力之一来自于它的低成本和无线电波尺寸。一微微网的形式组织网络

3移动电子商务安全问题

安全要素

用户身份的匿名性;双向认证;机密性;完整性;及时性;不可抵赖性。 安全威胁

存在于三方面:对传递信息、用户、网络的威胁信息的窃听;信息的截取、篡改;假冒用户和假冒攻击;交易抵赖;拒绝服务

4移动电子商务安全解决方案

上层是下层的扩展和递进。各层次之间相互依赖、相互关联构成统一整体,实现移动电子商务系统的安全。 安全技术

主要包括WAP(无线应用协议)技术、无线公共密钥技术(WPKI)、蓝牙技术、移动IP技术、无线局域网技术等

范文七:电子商务安全导论 投稿:姚瓾瓿

电子务安全导论商复习料资一(

第一)章

名解释词

1,电子商务:顾思名,义是建在立子电技术基础上的商业运,是利作民用技子加强术加快,,展,增扩强,变改其有了过关的程务。

5,i商nrtant:是指基于eCPTI/协议P的业内部企络,它通网过火防墙或其他安全机与in制rtnat建立e连接。nirantt上e提的服务供要主面向是是的企内业部。

,6xEtanrt:e是指基TC于/PP协I的企议业处域,网是它一种作性网络合。

,7商务数的据机密:性务数商的机据性或称保密密是性信指息在网上传送络或储的过存中不程他被人取窃不,泄露被或露给披经授权的未人组或织,者经或过密伪加后装使未,授权经者无法了其内容。解

8邮,件炸弹:是攻击者向一同个邮件箱信发大送的垃量圾件,邮以塞堵该箱。邮

,9TP劫C持侵:入是服务对器最大的胁之威一,基本其想思是控一台制连于接入目标网侵计算的机然后,从上断网开让,络服网务器误为以黑就是客际的实户客端

。0,1THPT协的议“无有记状态”:忆服务器在发送给即户客的机答应后遗忘便些了次交互TL。ENET等议协“有是忆记状”态,它的们需记许多住于协关双议方的息,请求与信应。答1

1.子电务系商统能遭受的攻可击(有统穿透系、反违权原授、植入、则信通视、监信串通)扰1

2.密双钥制体算法的特点包(括算速法慢度、合适加密数量小信息、的合密适的钥分配适合、钥密的理管)

常见电子的务商模式有(的大报/字告牌模示式、线黄页薄模式在电脑、空上间的小册模子式虚、拟百货模式、店告广推模销)

简答式题1

,什么是持数据保的完性整?

:答务商据的数整完性或正确性称保护是数据不被授权者未改修建立,嵌入,删除,,复传重送由或其于原他使因始数原据更改。被存在储时要,防非止篡改,防法网止站上信的被息破坏。传输在程过,中果接收如收端到信息的与送发的信完全一样息则说在明输传程过信中没息遭到有破,坏具完有性整加密。的信在息输过传程,虽保证其能密性机,但并能保证不不被改。修

2,页攻网击的步是骤什么?

:答一步,创建一个第页第二网:步击者完攻全控制网假。第三步,攻页者击利网用做页的后假:果攻击记录者害受访者的问内容当受,害者写填单发送表数时,据攻者可击以记录所下数有据。此外攻击者可以,记录下务器服响回应来数据的。样这,攻者可击偷以到许多看线商在使务用的表信单息,包账括号密,码和密信秘。息

3,什么是nItarnte?答:

nItraet是指n于基TPC/IP议协内连网的络它通过。火墙或其他安防机制全与Itranet建n连立。接Inrantt上e

可提供有I所tranent应的服用务如W,W,WEM-ILA等只,过服不务面向是的业内部企。和nItarne一样,tnItanet具r很有高灵的性,企活可业以根据己自需求的,用利种Intr各anet联技互建术立同不模规和功能的网络。

4为什,么易交安全性的是电商务子有的?独:答也是这子电商系统所务独有的。在我的们常日生活,中进一次和易必交办须一理的定续手由,方双签各发收据种证,并签名盖章凭作为以法律据。但凭在子电务中商,易交网在上行进双方,甚至会不面,那么一见旦方反悔,另一一方么能怎够法向院证合同明?这呢需就要一网上个认证构对每一笔业机进务认证行,以保交易确安的全,避免恶意欺诈。

5,攻击EBW点站哪有种方几式答?安:信息全破被译 非 访法:问 交易信息截被获: 件软洞被攻击漏利者用:当用GIC脚编本的写程或序他涉其及远到程户从用浏览输入中格并表进行像检索之类在机主直接上作操令时命,会给EW主机B系统造成危。

险,6WE客户B和W机E服B器的务务任别分是么?什答:EB客W机的户任是务(:1为)客户提出一服务个请求——链超时启;(2动将)户的客请求发送给务器服(3;)释服务器解送的HTM传L格式文等档通过,览器显浏示给客户。EBW务服器的务是:任1)接收客(户来机请的求(;2检查)请的求法性;(合)3针对求请,获并制作数据,包取使括用GC脚I本等程序,为件文置设当的MI适EM型来类数对进行前据处理期和后期理;(处)4信把发息送给出请提求的户机客。7

电,商务安全子六的中心项内是容么?答什1(商务数)据机密性的称或密保性 ()商务数据2的整完或称正性确性 (3 商)对象务的证性认 ()商4务务的服可否不性认 (5 商)务服务不的可绝性或拒可用称 性(6) 访的问控性制

二章 电子商务第安需全求密码和术技

名词解释

1,明:原始文,的未伪被的消息装做称文,明称信也。源通用M表常示

。,2文密通:过一密钥和加密个法算将文明变换成种一伪息,称信密为。通常文C表用。示3,加密

:就是用基数学于法的程序算加和密密的钥对息信行编码,生进别成难以理解人符的,即号明文把变密成的文程过通常。用E表。示

,4解密:由文恢密成明复的文过程称为,解。通常密用D表。示

,5加密法:对算文进明加行密所采用一组的则,规即密程加的序逻称辑加做密法。算

6,解密法算消息:送传给接收者后,对密要进行文密时解所用采的一组规则做称密解算法。

,密钥:7加和密密算解的操作通法常是都一在密组的钥制下进行控,的分别称作加密钥密解和密密。通常钥K表示。用

8单,密码

钥体制是:密加和解密用桢或使实质等上的密钥同加密体的。使制用钥密单码体时,通制双方A B必须信相交换互钥,当密A发息信时,AB用自的己密加密匙钥进行密,而B加接在到收数后,据A用密钥的行进密。单钥解密码制体又称秘为密钥密体或对制密称体钥制。

9,双钥码体密制又作称共密钥公制或非体称加对密制体,种加这法密在加和密密解程过要中用使一对钥密一个用,与密,另一上用加解于。密即通过一密个加密的钥息信,有使只用另个密钥一能够解才密这样。个每户用拥有两都个密:钥共公钥密和人个钥密,共公钥用密于加密钥,个密人钥用解于。密用将公户密钥交共给发方送或开公,信息发送使用接者人的公共收钥加密密信息的有只接人才收能解密。简答题

材、

1电子商,的可靠性的含义务是什?

么:答可靠是性电指商务系统子可靠的性,子商电系统务就是计算也机统系其,可性靠指为是止由于计防算机失,效程错误序传,错输,误件故硬,系统障件软误错,计机算毒病和自然灾等听害产生所的潜在胁,并加威控以和制防预确保系,统全可靠安。

2,电性子商务真实的的含义性什是?

么:真实性答蝗旨务商活中动交易份的真身实性,即是亦易双交方确实在的,存不是冒的。假3

,钥密码单体制特的是什么?点

答:一第,加和解密密速度的快,率效高;第二,单密钥体码制加的密和解密过使用同程一个钥密发送。者接的者收都需要知道密钥需,要安渠道全进行密的钥传递,单密码体制无钥适应互联法大环境多人相网通互要信。求4

,钥双钥体密制大的特最是点么?

什:答第,适合一钥密的分和管配。理第二,法速度算,慢只合适加密数量的小信息

。5替换加密,转换和密的加主区要别是么?答什:替换加密在法中原文的顺,没序被改变而是,过通各种母字映关射系原文把藏隐了起。来换转加密是将法原母字顺序打的,乱将其新排列。重

6,述简密系码统理的论安性全的用实安性。全答由:计算于技机术发展,的人借们于且算机进计行析处分理密,的破码能译也力不断提。一高个密体码制的全安取性于决破译具者的能备,如若它力于对有拥限计无资源的算破译来说是安者全,则称这的样的密码制是无体件条安全的它,味着意不破译者拥有论大多资源的都,不能可译;如破一若密码个制体对于有拥限计算源资的泽破来说是安全者,则的这样称的密码体制计是上安全算的,计上算全的密安码明表译的破度很大。难条无件全的安密码体制是理上安论的全计算上;安全的码密体是实制用安的性。但目全已知前的条件安无全

的密码体都是不实用的;制同时还没有个一实用密码体的被制证明计是算上全安的。第

章三 码技术密应的

名解释词

,1据的完整数性:数据的整性是指数据处完“于种未一受损的状态和”“保持整或完被分未割的品或状质”态。

2数字签,名是:利用字数技术现实在络网送传文时件附,加个标人记完,成统系上手签书盖章名作用的,表以示认,负责,确手等经。3

,密码双加密:它一对匹配是使的用密钥一。是个钥,是公公开的,他其人以得可;到另一是个钥,私个人所有。这为密钥对常一个经来加密用,一用个来密。解

4,字信数:封发送用方个随机产一生的DES密钥加消密息,后用接收然的方公钥密DE加密钥S,称为息消“数字的封”,信数字将信与D封SE密加的后息消起发一给收方。接接者收到消收息,先后其用私找钥开数字信封得,到送方的D发E密S,再用钥此钥去解密消息。密有只用收方接R的AS钥私能够找才此开字数信封,确了保收者接身份的。5

,合加混系统密综合:用利息消密,数加信封字散列函,和数数签名实字安现全性完整,性,鉴别和可可不认。否为成前目息安信传送的标全准模,式般把一叫它作“混加密系统”合被,广泛用采。

6数字时间戳,:如对何文件加不盖篡可的数字时间改戳是项一重要的安全术技数。字间戳时当应保证

(:1数据)文加件盖时间的戳存储与据的数物理体媒关。无(

)对2已加盖时间戳文件不可能做丝毫改的。

动3)要想(某个对文件盖与当加日期前时和不同间间时戳不可是的能。

,7可无辩争名:是签没有在名签自者己合作下不可的验证签能的名名签。无争可辩签是名为防了止所签文件被复,有利于制权产拥者有控制品的散产。发8,消

认息证是使接:方收能证消验发息送者及发信息所内容否是被篡过改

9,确。性数定签名字其:文明与文密一对一,应它一特定对消息签的不变化名。

10,随机数式字名:签据签根名算中的随法机参,值同一对息的签消名有对应的也化变。1

1盲,签:名一数般字名中签,是总要先知文道件内容后才而署签,这正通是所需要常。的有但需时要人某一对文个件名签,但又让不他道知件内容,称文为盲签名。

2,完全1盲名:签设1一是仲裁人,位21签要署个一件文,但不让想他道所知签的文件容内什么,而是并不关心1签所的内,他只是确保容在需时可要以此对行仲进,这时裁可便过通全盲完签名协实现议完。全盲签就是名当对所签前的文署内容不件心关,知道不只,是后以要时,需可作证进行仲以。裁

1,双3签名:联在一次电子务活动商程中可过

能同时有个联系的消两息M和1M,要对2它们时进行数字同名。签简答

1简述保,护据完数整的性目的以,被有破坏带来会的重后严果。

答:保护据数整完的性的就是目保计算机系证上的统据和数息处于信一种整完和未损受的害态状。这意着味数不据会由于意有无意的事件或被改而变和丢。

失数据完性被整破坏带来会严的后重:果(

1造)成接直经的济失损,(

)影响一个2供链应上多许商的经济厂动。 活 3)(可造成能不过了关”“。(4)会涉到经牵案济件中。()5成造子商务经营电的乱混不与任信

2简述,散函数应列于数用的据整性完

答。可:用多种术的技组来认合证息的消整完性为。除消因息消被更而改致的欺诈和滥用导行,可将两为算法个同应时到用息上。消首先散列用算法由,散函列数算机计散列出值后,将就此值——消息要摘附加到条消息这上当。接收收者到消息及加的消附息摘后,要用此就消独息再自计出一算个息摘要。如果消接收所计算出的消息者摘要消同所附的消息息摘一要,接致收者知道就消息此有被没篡。改

3,数签名字消息与真的性实证有认什不么同

?答数:字签名消与息真实的认性是证同不。的消认息是使接收证能验证消方息送者发所及信发内容息是否篡改被。过收当者发之没有利间害突时,冲对于防这第止者的破坏来说是足够三。了当接收但者和送发之间相互有者利害冲突时,纯用消息单认证技就术法无决解他们间之的纠,纷此需是借数字助签技名术

。4,字签名数和手签名书有么不什?同

答数:签字和手名签名的书区在于别手:书签是模拟的,名因而异,即使人同个一也有细人差微别比,较容伪易,要造别区否是伪造,是往需往特要殊专。家数而签字是0和1的名数串字,极伪难,造不专家。需对不的同息信要摘即,是使同一人,数字签名其是不也同的。这就实现样了文与件署签最的紧密“的捆”。

绑,数字签名5以可解哪决安全些鉴别题?问答:

字数名可以解签决下述安鉴别全题问:

1(接收)方造伪:2(发)送者收或者否:认()3第方冒三:充或接送收件;(文)4收方接改篡

6,无可争辩名签有优何点?缺

:无可答争签名是在没有签名辩自者的合作下不可己能验签名的证名签。

可争无签辩是为名防了止所文签被复件制,利有产于拥有权控制产者的散发品适。于用某些用,如电应子出系版统,利于对知以产识权保护的。

签名人合作在才能验下证签名又会给,签者一名机会,种不在利他时于可拒绝作合因而不具有,不“否可性”。认可争无辩签除名一般签了名制体的签中算名法

和验证法外算,还需第要个三成组部分,即认否议协签:者名利用可争辩无签可向名法或庭公众证一明伪造的签个名的是假确;的但果签名者拒绝参如执与行否认议,就协明表名签真由他的署签

论述题。

,1比传对手统签书来名论数述字名的必要性签。

答:商业的中约契合同,件,公文司令和指约,以条商及务书等信,传统用手书签名或采印章,以在便法上能认律证核准,,生。传统效手书名签仪式专要门定日预期间时,契约方到各指定地共同点签一署个合文件同,短间的时名签作量工需要很长时间前的准备工期。作由于某个人不要在签文件的署当,地是要于待,等等再。待这种况状对于管者,是延理时误;对机于合伙作,是丢失伴机商对于政;机府关,办事是效率低下。电子商的务发展大地加快了大务的商流,程已不能容忍经这“种慢条斯”理的传统书签名方式。手在子商电时务,代为了使商,贸政府,机和直构接消者各方费交商流务息更信快更准,和确更于便动化自处,理各凭证,种文件契约,合,同,令,条指,书信约,单订企,内业部的理管等必须现网实络的传递。化保传递障文件的机密性使应用密技术,加保其完障整则用信性摘息要技术,要而保认障性和证不可认性则应使否数字签用名技术。

数字签名可做高效而到快的响速,应任时意刻在,地球何任方——地要只i有tnerent,可就成签署完工作数

签字除名可用于电子了务中的商签署,外可还用电子办于,电子公账转电子邮递及系统等。

第四章络系网统物理安与计全算病毒机防治的

名解释词1

备份,是恢:出错复统系的法之一,可以用办备份系统将近的最次系一统份恢备到机器复上。

去,2归档是:将文指从件算计机存的介储质转移到中他其久性永的质介的,以便长期上保存的程。过

,计3算机病:是毒指编制者在算机程计序插入中的破坏计机功能的算程,序或者灭数据,毁响计影算使机用并,能我自复的一制计组机指算或令程序代码。者

4镜,技像术是数据备:份术技一的,种要主有网数络据镜,像程镜像磁远盘。等

5,网络物理全安:物指理备设可,稳定运行环境靠容错,,备份归档,数和完据整性预。防6,奇

校偶验也:服是务的一器特性。个提它供种机一机器制保来对证内存误的检测,因此,错会引起由于不服务出器而造成数据完整错的性失。

7,丧导引病毒型是:寄指在磁盘生导引或区主导引的区算机病毒。计

8,文件病毒是指:能寄存在文够件的计中机病算。这类毒病毒序感染可程行执文件或数据文。件

9良,病毒性是:那指些只为是表现

了自身,不并彻破底坏系和数据统但会大量,用CPU时占间,加增系开销统降,系低工统作效的率类一计机算毒病

10。,性恶毒病是:指那些一发旦作,就后破坏系会或数统,造据成算机系统瘫计的痪类一计机病算。

毒答题简

1UP,S的用是防止突然作电造停网成通讯中断络。

2计算机病,毒是何产生如的

?答:计算机毒病人为产生的是是编,制在者算机计程序中入插破的坏算机计能,或进毁坏功据,数影响算机计用,使并能自我复制一组的算计指令机者或序代程码。

,计3算机性病毒恶危的害破是系坏或统据,数成造计算系机统瘫痪

4。,简述错技容的术目的其及用常的错技容术。

答:容错技术的目的是系当统生某些错误发或故障时,不在除排错和故误的障件条下使统能系够继正常工续作者进入应或急工状作。态

容错术技实用最的一技术是组种成余系冗统冗余。统系是系统中除了置配正常的部件外以还配制,的备份出件部当。正的部常出现件障故时备份部件,够能即取立代继它工续作。当然统系中必另须冗余有统系管的机理制设和。另备一有容种错技术是使用双系统用两。相同的个统共同系承担同一任项,当一务系统个出现障故,另一时统系担承部任务全。5,现在网

络系的备统工份作得越来变越困难,其原因是什么

答?其:因原是网络系的统杂复性随不同的着操作系统网络应用软和件的增而增加。加此外,各操作种统系,自都带内软置的件份备但自,动备份文件和理管都上是很本基,功能不足的。

6,简述种三基的本备份系统

。:答()简单的网络备1系统: 份 2)服务器到(务服器备份的: (3)使用用的备份专服器务

7,简数述备份据传与统数的据备的概份。念

答:数备据,是份为指止防系出现统作失操或系误统障导致数据故丢,而失全将统或系分数据部合从集用主机的硬盘应或列阵复到其他的制储存介的过质程。

统传数的备份主要是据用采据数内或置置外磁的机带进行冷份。备

8,列举算机计病毒主要的来源。

答:1,引进计算的病机和毒件中软有带病的毒。,2各类出人员国带回机的和软件染器有病。毒3,些染有一毒病游戏的件软。4,非拷法贝引的起毒。5病计算机,生产,营单经位销售的机和软件器有病毒。染6维,修部交门感染。7,叉人研制有,改造病毒。8敌对份,以病子进毒宣传行和坏破9,。过互通网络联入。传

,9据文数件和统的备份系注意什么要?

答:日的常时,定期备定;定份期查备检的份质量重要;的备最好存放份在不同介质;上意注备份本的身防窃防盗和多;重份,备分散存,放

由不人同分员别保。管

1,一套0整的完灾容案方应该括本包容灾地和异地容两套灾统系。

11简述归,与档备的区别份。答

:档是归指文件从计将算机的存储介中转质移其他永久到性介质上的,以的便期保长的过存程备。的目的是从份灾中难复恢归档是把。需要的数拷贝据或包,用打于长时的历史性间的放存,归档可以清和整理理务服中的器据。数归也是档高数提完据整的一种性预性措施防。

21病,有毒些哪特征?

:非答授可执权性行隐;藏;传性染;潜伏性性;现表性破坏或;可性发触性。

13,简述算机计毒病的分类方。法

答按寄:生方式为,引导分型,病毒件型和复合型病毒文。按破坏

分性为,性病毒良和恶性病

14毒,述计简机病算的毒防治策?略

:答法依毒治建,一立行套有效之的毒病治防系,制体定严格的毒病防技治术范规。

5,1保数证完据性的措施有:有效防毒,整及时备份,充考虑系统的容分错和冗余。论述

1,目前比较见常的份方式有备些哪?

答(:)1期定磁备带数据。(2)份远程磁带,库光库盘备。(3)远程份键关数据+磁带份备(4。远程)数据备库份。5)(网络数据镜。像6(远程)像磁盘。镜2

,试述提数高据整性完的预防性措施有些?哪

答:预防措性是用施防来危止到及据完数性事整的情发。可生用以采下措施“

像技镜:术是将数指原据样地一台从设备器机贝到拷一台另设备器机。上

故障前分析:有些部件不是兆下一完子坏了全例如磁,驱动盘,在器故出障之前往有往些兆,进征行障故前分兆有析利于系统的全。安

奇偶校验:是务服器一的个征。它特供一种提机机制器来保证内对存错误的测检因此,不,引会起于服务由器错而造成数据出整性的丧完。失

离不安隔的人员全对本系:有统安不的潜全在威胁人员应设,法本与统系隔离

。电保障源使:用间不断源是组电一个成整完服的器系统的务好方案良。

五章第 防 火墙V与N技术

名P解词

1,防释火:是墙一防类措范施总的称。

,非2信网受:络一指般的是部网络。外3

,制扼点提:内,供外个网络两间的访控制。

4,问信受网一络指的般内是网络部

。,5局域网指一定域范围内的区络。网

6V,PN(虚拟用专网)是指:过通个一公共网建络立一临时的个安,链全。接

简答题

1,制点扼的作用控是访问制。

2防火,不墙防止的安全能患隐:不能有止已感染病毒阻软件的文或件传的;输部人员内工的作误失。

3防火墙,VPN之与间的本区质别:是堵通/;防范别人/保护自己。

4,设或防置墙火的的目主及要用是

作什么?

答:设防火置墙目的的为是了内在网与外部部之网设立间一惟道通允许,络网管理员定义一中心“扼制个”点提供两网络个的访间问的控,制得使只被安全有策略明授权确信的流才息被允许过,通对个两向方信息流的都控能。它制的主要作用防是发生网络止全安件引起事损的害使入,更侵实难现来,防非法止户用比,如防止黑,网络破客坏等者进内入部网络。止存在安全禁脆弱的服务性出网进络并,击来抗自种路各线攻击。的

5,述防简火墙的设计须遵循基的原则本

。答(1:由)到外内由外和内的业到务必流须经过防墙。火()只2允本地安许全政认策可业的流务必须经过防墙火。3)(尽能可控制部外用访户内域问网,严应限格外部用制户进内域网。入4(具)有足的透明够,性保证常业务的正流通。5)具(有抗透性攻穿能力击,化强记,录审和告计警。

,6前防目火墙的制技控术可为分包过滤型:包检验,型以及用层网应关型种三。7

防,火墙不解能决问的题哪有?些

:(1答)果网如管理员不络能时及响报警并应审常查规记录,火墙防就形同虚设。在种情况下,这络网管理员永远不会道防火知是否受到墙击。攻

(2)火防无法墙范防通防过墙火以外其他途径的攻的击。

(3)防墙火不防能来自止部内变者和节不经心的用带来的户威。胁(4)防火

墙也能防不传送止已染感病的软件或文毒。件

(5)防火无法防墙范数驱动型据攻的击。8

,VN提供哪P功些能

?答加:密据数: 息认证和信份身证:认 提 供访问制:

控9简述,道的基隧组成本

。:一答隧道启动个器一个,路由网络一,可选的隧个道换交机一个,多个隧或道终结器。

1,IP1ecS提供的全服务包括安私有:性(加),真密实性验(发送者的身证份)完,整(防数据篡改性和)传重保(防止未护经授权数据的重发送)等新并制,了密钥管理定的法。方

1,选2择VPN(拟专用虚网)决方案时需解考要哪几虑要点?

答:(个)认证1法方(;2支持的加)算密。(3)支法的持证认算。法()4持支I压P算缩。法5)易(部于署(6。)容分布式兼或个人防墙火的用可。性

13简述,VP的N类。分答

:按PVN部的署模式分V,P的N部署模式本从上质述描VPN的通道是如何建了立和止终的,般一有种VP三部N署式:模到端模式端供;商到应业模式;内企供部商应模。式按

VN的服P类务型分V,NP务业大可分致为类:in三terntVeNP AcecssPN和EVtxanetVPNr

14,。简述VPN的具实体现即解方案决哪有几种?

:答(1虚拟)专拨用网号, 络( )虚拟2用路由专网 络()3虚租用拟路,线 (4)虚拟 专用

LA子N网段

论述题

1,试防述墙火分类的及有它分们别在全安或效率上有性特其的优点。别答

:前目火防的控墙技术大制概分为:可包滤过,型检包型验以及应用层关网三种型。(

)1过滤包:型过滤包的控型制方会检式查所进出防火墙有的包头内标容,如来源目的地及使用,定等协息。现在的信路由器,换交式路由器及以些操某作系统经已有用包过滤具控的制能。包过力型滤控制方式的最的大好处是率最效,高却有但个严重几缺:点管理杂复无,对法连线完全作的控,规则设置制先的顺序后会严影重结果响,易不护以维记录及能功少

。2)(包检验:型包检验的型制机制控是过一个通验模检组包中对各的层个次检验作包检验型可谓。包是滤过型的加版强目的在增,包加滤型的过全性,安加增制“控连”线的能力但由。于包检验主的要象对仍是个别包的,同不包检验的式方可能产生极大会的异差。检查层其越广越面安全,但其相效率也越低对。检包型验火防墙检查不完在全的况下,可情难会造成来原以只为特有定服的务可以过,通通过心精设计的数包据,可在达目到的时因地组而被转重变原杨来并不允许通的连过请求线这。个为了加增率效的设计反而了成安全弱。

(3)点应层用网型:应关用层关型的网防火采墙用将连动作线拦截由,一特个的代殊理序程处理两来端的间线方边式并分析其,边线内是容否合应用符协定的准。标这种式的方制控制机以可头从尾到效有控地制整个线的动作连,而不会客被户或服务端器欺骗,在理管上也不般用会途的理代序来程理处大部连线分。这种运作式是最方安的全方式,但是效也最低的率种方式一。

2试,VPN的优述有哪点些?答

成:本低:较 网 络构结活灵: 管方理便: VPN 一是连种接从表面上看它,类一似种用专连接,实际上是在但享网共上实络现。它的往使用往一被种称“作道”的隧技,术据数包在公网共上络用专的“隧道内传输”专用,隧“道用于”立建对点的连接。点来不同数据的网自业务络由不同经的道在隧相同体系结的上传输,并构许网络允协议穿越不容的兼系体结,还可区构分来不自数据同源的务业因,而将该业务可发指定往的目地,的并收接定指等级服务的

。3组建,VN应P遵该循设的计则。原

:答PN的V设计应遵循下以则原安:全,网络优化,V性PN理等。管

章六 接 入控制数与据密加名词

解释(1)

接入控:制接入或访问制是控保网证络安全的重手段要它,过一通机组控制制同不别的主体级以目标源资不同的权授问,在访主对认体之后证实

网施资源络全安理管用。使

2)自主(接式入制:简控为D记A。C它由源拥资有者分接配入权,在别辨用户的基础各上现接实入控。每制个用户接入的权数据由拥有者的建立,来常接以控入表制权或表实限。现(3)

制式接强控制:简入记为ACM它。由统管系理员分来配入权限接实施和控,制于易网与的络全安略策协,常调敏感用记标实现级多全安制。控

(4)加密技术桥:一种/加密卡的解基上开础加密桥的技发可术实现不存在在降低密加安全强度路条件下旁为,据数库加字密段的存储,索检,索,引算,运除,修删改等功能的实到现供接口,提且它并的实现与是密码算,密码设法备关的。

无(5)接权入限表示主:体客对访体时可问有的权拥利。接权要按每一入主对体客体别分限,权利包定括,写读执,行,读等含写明确,义执而行指目权标为个程序一时它对件的文查和执找。行论

述题1

试述数,据加密必要的性。

答 :目技术前可到“达几分,一钟块动活盘可硬盗3走00字的数据亿,一旦”黑攻客破络,如网数据果未加,计密算机数是据可读的则数据即盗,即用。客还黑可以针对地盗窃性和改黑客关心篡的件文和据库记录数(坏破据数完整性的)。而黑客且一旦握了掌破方攻以法,后不断地会续盗走和继改数据,而用篡很难察觉户

。数加密的作据用

(1)解决:部外客黑侵网入后络盗窃计算数机的问题据;

(2)解决啊外客侵入黑络网篡改数后的问据题;

3()解内部黑决在内部网客盗上窃算计机据数问的题;

4)解(内决部客黑内部在上网篡改据的问题;数

()解5决CP,操U作系等统预安先了置黑软客件或无线发装射置的问。

数据加密可题解决网以络部信息“看不懂内,改不了,盗走也用”没的题问,是络安网最全后道防一,也是线价格性比能好的网最安络全题的根问本解手段决。简

述密加技术桥的点?答:加优密与桥BDM实S是离分,的可以解决密加特有的桥安性全;决了解数据库加密数据有没密非旁路漏的问题洞便、解决于“据数加库应用密体系统”群不在D同MBS之的间通用性便、于解决统系D在MB不S版本之间的同通性、用必去不分析DBSM源的码代、加桥是密用C++写的,成便于不同在操作系统的间之移植、密加与D桥BMS分离的,可以解是决入各嵌种自知识主产加权方法密的问题

。七章第 证 书统与系身份确

认名解释词

,拒1率或绝虚报:率是身份指证明统的质系指量为合标用法户拒绝遭的概。率

2,报率漏:指是非用法伪户造份身成功概的。

率3,行字通通行字是:一根据种已事物知证验份身

的方,也是一种研究法和用使广最身份验的法证

。,域4内认:证是CLIENT指本向KREEROS的B认域证内以SE的RER申请V务。服5

域间认,:是证C指IELT向本KERBNEOSR的认证域内的以ESVRRE申服请务。

简题答

1,实体认与证息认证消的要差别是什主么?答

实:体证与认消认证的息别在差于,息认证消身不提供时间性,本而实认证体般一都实是时。另的一面,实方认体证通常证实体本身实,而消认证除了息证实息消的合法性和完整外,还要性道知消息的含。义

,2行字的选通择则原什是么?

答:易记;于难别被人中或猜发;现分抗能力析。在强际实统系,中要考需和规虑定择方选,使用法限,期符字度长,分配管和理以及在计机算系统的保内等护根据。统对安全系平的水求要可不同的有取。

3,选行字的通安全存储有二哪种方法?

:答1)(户的用通行字以加多形式密储,存入侵要得到通者字行,必须道知密算法加和密。钥()许多2统可系以储通行存字单向杂凑值的,入侵即者使行此到凑也杂于推难通行字出。4,通行

的控字制施措哪是些?:答行字通口即的控令措制有:施系消息统、限试制次探数、通行字有效期、通双行字系、统小长最、度锁封用系统户根通、行的字保护、统系生通成字、行行字的检通。验

述题论1,

述试下身一份证系统明相关的求要。答

对:份身明证统的系关要相:求(

1验)证正者认别合确示法者证概的极率大。(2化不具可)递性(传3攻)击伪装者证者示欺验骗证成功的概者小到率可忽略(4)计算有以效性,。

(5)信通效有,(性)秘密参数6全存储。安

()交7互别识 8()第方三实时参与(9)三第的方可信性。赖1(0)可证安全性。明第八

章 公 钥证书与证机构

书名词解释

1,数字证认:是指用数字办法认,确定,认证鉴网络参与信息交上流者或务器服身份的。2

,公证书:它将公钥密开与钥定特的人器件或其,他实体联起来系公钥证书是。由证书机签署构的,中其含包持有者的确证切身份

3,公。钥字证书:网络上的数明证件,证文双明体制中钥的公所钥有者是就证上所记录的使用书者

。,单4钥证公系统书一个系:中统有所的户用用同一公个A。C

,多5公钥书系证统:于不同用书的用户证互的认相。证6,客户证书:

证实户身客份和密钥所权。有7

服务器,书:证证服实务的器身和份钥。公8

,安全件证邮书证:实电子邮件作的户份和公身钥

。,CA证9:证书实AC身份和A的C名密钥。签

1,证0机构C书A用创建于发和布书,它通常证为一个称安为域的全限有群体发证书放

1,1全服安务器面向:通普户,用于用供提证申请书济览,,证书销表以吊证书及下等安载全务。服

12,A服C器:是整个务书证构机核心的,负责证的书签发。

1,数据库3务服器是认证机构中:核心的部分,用认证机构于数据(密如钥和户用信息),等志日统计信息的和储存和管。理

4,公1用户钥要需道公钥知实体的公为用户钥

15。证,书更新当:书持有证者证收过的期,证书被窃取,到受击时攻通更过新书证方法,使其用的的新书继续证与网参上证。认证书的更包新证书的更括和换书证的延期种两情。况

答简题1,有

证书应效足满的条件哪些有?

:(1)证书没有超过答有期效(2)密。钥有没被修。改3)(书证在CA发不的无行证效清单中

书.密2对钥成生的两途种径什么是

?:(1答)密钥持有者对己自成生 ( )2密钥由对通系用统生:成

3,书有证哪类些?型

答:1()人证个 书 (2服务)器书 证(3 )邮证件 书(4CA证书)4

如,何对密钥进行全安护保

?:答钥密按算产法后,首先生将私送给用钥,如户需备,份保应安证全,将性公送钥C给A用,生以相成证应,书为

防了止授权未户用密对的钥问,访应将密钥存入防窜扰硬或卡件,或加中后密存计入机的算文中件。此

,处期定更密换码对保是安全证的要措重施

。5,C认证A申者的身请份,生后成书证步的有骤些哪?

答:(1)A检C索所需的证书内容信;(2)息C证实这些A息信正的确性(3)回C;A用其签密名对钥书证名签;4()将书证的个一贝送拷给册者注,要需要求时注册者回证送的书据;收(5)A将证书C入证书数据库,向公用检送业务索机颂;构6()通,常CA证将书存档;7)C(将A证书成生过中的程一些节细入审记记记中。录

6,钥公书的基本作用?证答:将

钥与个人公身的,个人份息件信其他或体的有关实份身息联系起信来在,用钥公实证数字名签,在确时签名之前信,有时还需要有签关人名其他信息,的特别要知是签名道是者已否授权为对被某特目定的签名的人。

授权信的分息也配用需书实现证,以通可发过放证书宣某布人或体实具特有权限或权威定,别使人可以别和鉴认。承

7,双钥密码体加制密什为可以保么数证的据密机性?答:双钥密码体

制加时密一有公钥对私钥和公,钥可公以,开私由钥持者有存保公,加密过钥的数中据持有有的者钥能私解,这样就开证保了数据机的性密。私钥经密加过的据数—数字—签名可所具有公钥的人解开被由,私钥于有持有者一只保存人就,样证明就信息自发私钥有持者,具不可有认否和完整证。性

8

.公钥书的证申方式请有W(be申、E-请Mai申请l、到证机构认请申

)论述题1,

论证述机构书管理功能。的

:答书证构用机于创和建布证发书,通它常为一称个安全域的为有限体发放证群书。建证书的创候时。CA系首先统取获户用请的信求,息中包其括户公钥,用AC根据将用的请户求信息生证书产,并用己的自钥对证私进行签书名其他用。户应,程序用或实体使将用A的C钥公证对进书行验。证果如个一AC系统是可的,信则证证验的用户可书以确信,所他证的证书中验公钥属的证书所代于的那个实表。体

AC负还责护和维布发书吊证表销。一个当书证,特别是其中公钥的因为其他因无原效,C时R提供了一种通知用L户的心中理方式。CA系统生管成CRL后,要以是么放到LDPA务服器中供用户接查询或直载下,要么放是置W在EB务器服合适的位置以页,面级连超接方式的供户直用接询或查下载。2

对于公,/私钥钥对的同不功,在要能求上要考不一虑致的情有哪些况?

:答()需要采用两个不同1的钥对分密作为加密/解密别数字签和名/证验名用签。(

2一般)公体制的钥加密密钥的长用要比签度用名的密短,钥有的国对家口出加密用算的法密的钥长有限制度,而签对名密用钥无制。

限3(由)于际实务商需要的或其他因,原要需用不的密钥同和证,例书,如一消息加般用的密密钥比短较加,时间密可快一;而些对消短息加用的密钥密以长可些一有利,于止防击。

(4)攻钥密的对使期限不用:同加密密使钥用频度签比名密用的钥用使频大得多,度因更换周期要短。此

()并5所非公有算法都钥有具SR的特点,A如DS例算A法可做签以名,但无须建立密。未来钥统系能支要多种持算法,而应支持因采用不签名密钥同和不对密钥同建立。的

(6)加密算可法支持能密钥托和密钥管复,恢以及可能的法监听。但数字签名的律钥密不允则泄露给他人许,中其包法括机律构。第

章九公基钥础施设1.

PI:K钥公基础设施是种一遵循定既标准的利公钥密码技术为用子电务的开展提商一套安供基全础平的台术规范技

2证书政策:是一种.则指规出个证书被特定一用户应用或的可适性用表明他对一特定个应的和用目是的否用可他成构交叉验了的证基础

3.书证批机审:是制构整定个体系构结安的政全策并制所有下定机级构都需遵循的规要章度主制是证书要策政证书使和规用

定4证书.使规用:定综描述了CA合对证书政的策各要求的实项现方式

5认证服务.:身份识与鉴别别就是确实认体即自为所声明的己体鉴实身份的真别伪

6.不否认性服可:从务技上术证

明实体其对行为的可

7认.钥服公:务“据数证认,也就”,公证是人要明数证据有效性和正的确这种公证性决于数取验证据方式的

.8源不的否认性:用于防止可解决或出现有关是的一否特个定实体发的了一特个的数定,据源在个某特定的时刻出现,或两都者有歧分9

.递传不可否认的:用于防性后止决解现的有关出否一是个定特实体到了一个收定的数据特,传项递特在时刻出现定或,两者皆有分歧的,目是的保护信人。发1

0提.交不的可否性:认于用止或解决防出现关有是一个特定否与者传参,或提递了一个交定特的据数,提交出现的时刻项两者情况的分或提歧交的可否不性认于用护发保人

1信.1虚拟用网:(专pv)n是种构一架在用通公基用础设施的专用上据数通网络信利,用络层网安全议协和建在PKI上的加密与签名技术立获来得机密性保护

21.单注位册机构:帮助远离CA端实体在的C处注A册获得证书

并3.公1钥证的书类有(型户证客、书务服器书、安证邮件证书全、AC证)

简书答:1.P

I K应用范围:ww的w务器和服览浏之器的间信通,安全的电子邮件电子,据交换数。nteirne上的信用t卡易交及以pnv

2.简述等证政策的书作用和义:证意书策政信息管是理信息技和术础设基施一部的分使,这个的基设施从础整上体够安能的实全现开环境的服公提务管供和理通用信子形式的人证代电替书形式面认证从而加的快信流通速息度提高效,,率低成本降;励使用基鼓于开放准的技术标建立与其;开他安全环境的放操互。

作3.简P述I保K密性务服用采“数字信封的机”制原理发:送先产生方个一称密钥对并,该对用密钥称加密敏数据。感时,发送方同还接收用方的密加对称密钥,向就他装进把一“个字信数”封然后,把加被密对称的钥和被密加的密感敏信一起息送给发收接。方收方用接自己的私钥开“拆字数信”得到对称密封,使钥用对密钥解称开被密的敏加数据感

4检.密束管钥中存理在威胁的1)密钥的:泄露)密钥或公2钥确的性定的丧失3密)钥公钥未经授权使用或5

.述实现源的简可不认性否制机方的:1法源的数)字签字2可)信的第三方的数赖字名3)签性赖可第方三对消息的对杂凑进值行字4)签可赖信三第的方证持)线内5可信第赖方6三)上述法的适当方组

合6.简述现实递传的不可否性认机的方法:制)1信人签字收可认2)收信利用人证持认3)可可信递送赖理4)代级递送逐告

报7仲.包裁的括活有那动:些)1取认可证收2据)进行证实定确件文的实性真)作3或证公布签名4证)或实布公件文本副

。.8简解决述纷的步纠1)检索骤可不否认证据)2向

对方示出据证)3向解决纷的仲裁纠出示证据4)人裁决

论:述1.P

IK 在电子务商活动中应有的具性:1)支能多政策持)透2明和易性用3性)操作性互)简4单风险管的5理支持)平台多6)持多支应用2.试述

PIK不同用户提供的安为服务全1:)人2证数据)整性服完务3保密性)务4)服不否可认服性5)公证务服务3

.出三举个实例说VP明I应的用:)虚1专用网拟)2全电子安件3)邮eb安全4)电子商务w的应5)应用用接编P口IK4

.请明从说制机如何实上现子电务的商可不否认:实现不性可认性,从机否上制应看依当完次下成业务述活动1):业需务2)证据生求3成)证据递4传)数据实5证证据保)存

十电子商章的务安全

词解名:释1.

SSL协:议安套全层协议接是服务,器课与机之间安户全信通的机,制一用密个加密在S钥L连接S上传输数的据2.TL

协S议:传层安输全议协3.

STE议协安:数据交全协议

4.电换钱子:包是安装在课端户算计上,机符合并EST格规软件,的电钱包处理课子户的端有S所T信息

5.E支付管网他是一:个STE付信息与现款有银行网络转接的,处是必不可的少机

构6.SLS记录协:定义议了息信交中所有换数项的格据式

.7SL握手协议:用S客户/服务于之器互相间认,协商加密和证mc算a法,传送所需公的证书钥,建在立SLS录协记处理完整议校验性和加所密需会的话钥密

.持卡人:8持用信卡买商品的购人

9.网商店:上在网的上符合SE规格T的子商电,提店商供和服务品须必备相应具电的货币使子条件用从,事业商交易的公组织司

1.0收单行银:过支付网通关持人卡和商家间之的交负易问款事务接受题来自店端商来的交易传款数据付,发向卡行验证无银后误得信取卡支付用权授供商以店清。算1

.发卡1银行子货币电行发公或司兼有子电币发货的银行行

1.2证认中CA:可心赖信,正的组织。接受公持卡、银人行以及支、付网的数关认字证请,并申理数字管证的相书关事

宜3.1tthp协s议:使了用SSL的tthp目是在的SS连接L安全上的传单个文件输1

.商4服店务是器商提店供SET服的软件务。包括客户与的电端钱子软包的沟通,件取得客户的信卡相用关据数另,外必与须支付关联网取得银系行传来支的付息

简信:答

1.SS加密L议协的途用:安

套接全层协是用于到购议物站上网交易并保障的交的安易性。全俗通说:的SLS是客就和户商家在通讯之前in在treen上建立t个一“秘密输传信息通道”,的障保了信的息完性整、机密性认证性和

2如.认何“准ET”商业网站S

ivsam和stae rCrA公d司了确保SET为软件符合范要规求在SE,T发表,成立了S后EcTo。对s它r软件建立t了套一测试标准如,测

试通过就可获得后ETS商店的商。标STE约特商店商的就成标S为T网站E安全购的物重手要段3

.SL协议S使了用那些密技加术rsa、

ifdfi-heellmna钥密协以议及美的国kea算法

.SSL4通过么来验证什讯通双的方身份SS

提L供认性证使数用字书证用正确以别识方对,首先是利服务器证书用验来商证的家资格5

.SS保L证浏器览服/务会话器那三大中全内安及使容了用么技术达什目到的

三中大内心是:机密容性整完性和证性认

1.SLS客户把和服机务器间的通之都信进了行密加解和保密证机了性2.密SSL提供整性完验防证数据在传输止中改动3被.SLS提供认性使证用字签数名用正于确别对方识5

试述S.TE实操际的全作过程?:答买双卖的方备工准作;网注络册登记过;信程用及电子卡书证ES TI的D请申程过;电证书子STIED的申请例。案。6

SS.体L结系构由是几层议协成的组有几共个?共

有个协4议组成他们是SSL录记议协、SLS更密改规码格议、S协LS告警议协、SLS手协议

握.7ES的T购过程物1.持卡人

货2定通过.子电务商务器服与有在关商线店系联3持.人卡选择付支方式确认定,签发付单款指4.令商b店过通收银单检查信用行卡的有性5.收单效银行确认6.的线在商发店确认送单定持卡人7.给结帐

8.SE协议要T到那达个五标目1信.的息安传输2全信.息相互的隔离.多3认证的解方决4.易交适的时性.5效e仿di贸模式易

.参与9SET交的易成员1.持

人卡-消者2费网.上商3店.单银收4行.卡发行银.认5证中C心A.支6网关付10.

支付关的网用作是么?什

付转接款站:受接由商传来了店付信息,并转换到银行网款络理的组处

1织1.ETS统系做运通是过那几软个组件的成

子钱电、商店包务器、支付服网关、认中心证件软四个着软分件放别持卡人、在上网商、店银行认及中证计算机心上

12SE.T证认心中的管结理层构次

最层高CA下r层一bC基层AA是C.办理1卡持数字人书CA2.办证商理店字证书CA3.办数理支付网关数证书字CA

13基.S于TE的子商务电业务的流有程.1册登记注.动态2认3.证业机构处理商

4.密1对的用钥处1.

对持人卡买购者的用作:用私解密钥函,用商回家公钥发定填单用,银公行填钥付款发单和字数签2名.对行的银用作:用私解密付款及金融数据;用商家公钥加钥密购买者款付通知3对供应商的作用.用私钥解:定密和单款通付;知用购买公钥发者出付款知和代通银行公理

15钥SET的.要主安全障来保哪自三方面个?1答将.所有信文息用本密钥双体制加密.2上述密钥将的公和钥钥私字长增加的到521b-0482b.采用3联动机态授的权和认证查检以确保交过易程安的可靠全.

6.1子电包的钱能功

.电子1书的证理2.管进行易交3.存交保易录记17.

SET和SLS的异同在使

场用合,上ETS要用主于信用卡易交,送传子现电,S金S主L用要购买于息信的交流传,电子送商贸息信;安全在面,方SET要求很,高整个易交过程都中要保,所以参护S与E交易的T员成必都先须请申数证书字来别身份识SL要求很低因S为保范护只围持卡人是到商一端家信的交换息,通常只是商一端家服的器,务客户而认证端可是选,在实的施置设面方,ST要E持求人卡先申请字证书数然在后计机上算安符装SE合T格的规电子包钱件,软而SL不需要另S外安装件软。第十一章

词1中.国金融证中心(CFCA认是中)国民人银行牵的,头联合十四家全国性商了业行共同银立的国家建级威认权证构是国机内家一唯能一持支电子务商全安支业务的付三方网第专上业任信务机服构2

中国.电C信安A全认证统系(CCA)通T过国密家码委会员信和产业部的联合息定鉴,并获得国家信息产品安全证认中心发的认证证颁书。

3.CFC的体A结系:构总分为三体第层层为根CA一二层为第策CA第政层三运营为A,C运营CA由C

系A和统证注册审批书构ra两大部分组机成

5网上银.:行上银行网业务商业行银其将传统柜的台务拓展到业intrnee上t用户问访web s其rvee进行r在线实的查现询转帐、汇款、开户、业等务

6.上证网劵网上证:交券易分为可网炒股上网上和证银转帐网上炒,股是民和股券公司发生的两证交易方。网银上转证是帐过int通enrt将e行股银帐民户和券证公司帐户间之入划划或,出涉是及股、证券民司公、银行方三易交简

1.TCA的C组及功成能答?中:电信国AC安认证全统(系CCTA)采分级用结管理,构形成覆全国的CA盖书证申请、发、放管、的理完整系体,以可为国全的用户提CTCA供书服证务使各类,子商务用电户以可放步心入子电务时代,享受电子商商为务带来的丰厚回报和巨大便利。其国电信中电子商CA务证系统认全国由AC中心、省AR心中系统、地市级务业受点组理。

成.2.SECHA证的书点S特HCAE安全电子商的解务决案方既有与世拥接轨界的符合SE协议的TSET证系书统拥又结有国合内特点自设行计发开的用通证书系统字数书证据根应对用将其象为个分人户证用、企书业用证户、书服务器证、书码代证。书

论述1CF.CA书的证型应用典

.1上网行银2.网上证3.券上网申报税4缴.网上企业销5.购安移动商务全.6于基数签名字的安全-Emali安全、文管档理统系.7业级vpn部署企8.于数基签字的名ruteasps统9系C.CAF时间戳务服

2.TCCA数字书业证务

.安全1电邮子证件书.个2数人证字书.3业企数字证4书服务器证.5书.SL服S务器证

1书对Int.rnet的攻e击多种类有型,括包(截断息、信伪造、入)介

2.

属于构成C系A的服务器统有(安全务器、注服机册RA、构AC务服器LD、A目录服务器和数据库服P务等)器

.3认证构机应提供四个方的面务服(证颁发书、证更书、新证书废、证除的公书和布询查

4)属于.据数通的信可否认不性业务是的递(的不送否认可、性交提不可的认否、传送性不可的认性、源否的不可否认性)5.S

E要T达的主要目标有到(信的安全息输传交、的易实性、时方多认的解证决)

1,对 比统传书签手名论述数来字签名必要性的 。

  答商:中业的契约,同合件文,司公指令和约条以及,商务书等,信传统采手用书名或签印章,以在法律便上能认证核,,生准效。统传手书名签仪要式专门定预期日时间契,约方到指定各点共同签署一个合地同件文短,间的签时工作名量要需很长间的时期准备前作。工于某由人个在不签要文署件的当,地于要是等待,再等待这种状况对于。管理,者延是时误;机对于合作伙伴,丢失是商;对机政府于机关,办事是效低率。 下 电子 商务的发大展地大快加商务的流了,已经程能不容忍种这慢“斯条”的传统理书签名方式。在电手子商务时代为了,商使,,贸府机政构和直消费接各方交者流商务息更信快更准,和更便于自动确处理,各种化证,凭文,契件,约同,指合令,条约书,,信单,企订业部内的理管等必实现须网化络的递。传障保传递件的文密性机应用加密使术,保障技其整性完用信则息摘要要技,而术保认证性障和不可认性则否使应用字签名技术。数 数 字签可做到名高而快速的效响,任意应时刻,地在任何地球方——要有int只rnee,t就可成签署工完。数作签名字了可除于用子电务商中的签外署还,可用于电子公,电办转账子电及邮子等递统系

  ,2对公于/私钥对的钥同功不能,要求在要考上不一虑的致情有哪况些

  答(1:需要)采两用个同的不密钥对别作为加分/密解和密数字签/名证签名用验(2。一般公钥)制体的密加密钥的长度要比签用用的密名短钥有,国家对出口的密加算法的用钥的密长度限制有而,对签用密钥无名限。制()3于由际实务商需要或的他其因,需要原不同用密钥和的证书,例如一,般息消加用的密密比钥短,较加密间时可一些快;对短而消加密息的用密可以长钥一些,有于利止攻防击(4)。钥对的使密用限期不同加:密钥密使频用比签名度密用钥的用使频度得多,因大此换更周期要短 (5)并非。所公钥算法有都有R具SA的特点例如,SA算法D可以签做名但无,须建密钥立。未来统系要能支持多种算法因而,应支采用不同签名密钥对持不和

同密钥的建。(6立)密加算可法能持支密托钥和密管钥恢复,以及能的可律监法。但数听字名签密的则不钥许允露泄他人,其中包给法括机构律。

  

3试述提高,数完整据的性防预措施性哪些有 ?:答预性防施是用来措防止危到数及完据整事性情的生。可采发以用下措施“

 镜像技 :术是指数将据原样从一地台设备器机贝到拷一另设备台器上机。

 故障 兆前析分有些部:件不是下一完全坏子了例,磁如驱盘动器在,故障出之往前有往些征,兆行故障前进兆分有析利系于的统全安。

  奇

校偶:是服验器务的个一特征它。供提种机一器机制来证保对内错存的误测检,因,此会引起不由服务于出器错而造数据成整完的性失丧。

  离隔安全的人员:对本不统系不有全的安在潜威胁员,人设应法与本统系离隔

  源保电:障使用间不断源电组是一个完成的整务服系器的统良好案方。

  4试,述火防墙分的有类及们它别在安全性分效率上或有特别的优其。 点 答目前:火墙防控制的技术大概可为分:过滤型,包包验型以及检用层网关应型三种。(1) 包滤过:型包滤过型的制控式方检会所查有出防火墙的包进标内头,如来容源及的地,使用目定协信息。等在的现路器,由交式换由路器以及些操某系统已经具有用作过滤包制的能力。控包滤型的过制控方式大的最好是效处最高,但却有几个率严重缺点:管理杂,复法对无连作线全的控制,规则设完的置先后序顺严会重响影结果,不易维以及护录功记少。能(2)检包型验:包检验的型制机制控是过通一检个验模组对中的各包层次个检作。验检验包型谓是包过滤型的可强加版,目在的加包过增型的滤全性安增加控,制“连线的能力”。但由于检包的验要主象对是仍个的别,不同的包包检方式可能验产生极大会的差。其检异查层越广越安面全但,其对效率相越也。低包检验型防火墙在查不检完的全况情下可难会造成原,以来只为特定的有服务可以过通通过,心设精计数据包,的可在达到的目地时重因组被而转变原杨并不来允许过通的线请连。求这为了个加增率效设的计而反了安成全弱点。(3)用应网关层:应用层型网关型防火的采用将墙连动线拦截,由作个一殊的特代程序理来理处端两间边线方的,并式分其边线内容析是否符合用协定应标准的这。种式方控的制机可以从头制尾有效到地制整控连线个动作的,而不会被户或服客务器端骗欺,在管理上不会也用般的代途程理来处理大序分部线。这种连作运式是方最全的安式方但,也效率是最低的一方式种。

  5,试

述VP的优N有点些哪

 答 成:较本:VP低N在设备的使用量及广网域络的频宽使上用,比均线专的式构节架省故能使,企网业络的总成降低。 网络本结构灵活:VPN专线式比架的构弹有,当有性必要网络扩充或将变是网络更构时,架VP可以轻N易达到目的;相对而言,传地统的线式专架便需构费大脑了。筋 管理 方便V:PN较的少络设网及物备线理路,网络的使理较为管轻松不论分公司或;是程远访用户问再,多均只要需过通互网联路径的进企业网入 络PNV一种连接,是从表面上看类它似种一用连接,但专际上是在实享共络上网现的实它往。使用一往种称作“隧被”的道技术数,包据公共网络上在专用的隧道”内传“输专用“隧道”,用建立点对于的点接连。自来不同据的数络网业务经由同不隧道在相的同体系结的构上输传并允许,络协议网穿越兼不容体的系构结,可区还来自分同不数据的源业务因,可将该而务业往发定的指目的,地并收指接定级的等务服。

 6, 组VP建N应遵循的该设原计。则

  答:VNP的设应计循遵以下原则安全性:网,络优化V,P管理等N

 在 全安性面,方由于PV直接N建在构公用上网实现,单,方简,便灵,活同时其但安全题也问更突出为由于VPN,直接构在公建用网,上实简单,方便,灵活,现但时其同安问全也题更为出。突企必业确须保VPN上传送其的据数不攻击者被视窥和改,并且篡在止非防法户用对网络资或私源有信的息问。Ex访rtanVPtN将企网业扩到合作伙展伴客和户对,安全提性了出更的高要求。安全题是VPN问的心问题。核前,目VP的N安保全主要证是通过防墙技术,火由路器以隧配道术技加,协密和安全密钥来议实现,可的保证企业以员工全地安问公访司网络。

 

 网在优络化方,构面V建P的另N一重需要是求充分有效地利用有的广限域网资,源重为要据提数供可的带靠宽广。域网流的量确不定性其使带的宽利用率很,在流低量高峰时起引网阻塞,产生网络瓶络颈使实,时要性求高数据得不的到时及发;送在而量低流谷时又成大造量网的络宽带闲空。OSQ通过流量测与预量控制流策略可以,照优先级按分带配宽源,资实现宽管理带使,各类数据能得被合理地够后先送发并预,阻防的发生塞。

 在 VNP管理方,面PV要求N业将企其网络管理能功从域网无局缝延伸到地用公网甚至是,客户和合作伴伙。虽可然以将一些次要的络管理网务任交服务提供给商完去成企,业自仍需要完成己许多络管网理任务所以。一,完善的VPN管个系理统必不可少的。是VP管理的N目为:标小减网络险风,有高扩展性具,经

济性,可靠高性等点优事实上。VPN管,理要主括安包管理全,备设理,配置管理,管问控制访表列管理服,务量管质等理容。内

  ,7试数述据加的密要性必

。 

 :由于答络技网,术网协议络,要技主术公是开,所有的的网安全络技出术基是这于些开的技术公黑客,用利这公些技开术的漏洞,对网中和络数进行据击;攻任操作系统无论何技其是术公开否都是,有洞的漏因为安,全运与行率是效一个综合要衡的平盾。矛 络网安全是个一解不决了的题,黑客问技已是某些术家控制国和督别国网监的络力武器,黑客有已是取窃治政经情济服的务最安,全有效最,快捷最手的段。我在的网络国术远技落远国后先进际平的水情下况外和部内部客黑入进我计国算网机窃络取用情有,报如更入人之无境,中其主原因要是网被攻破以后络计机文算件据和数数据中库的数是据以看懂的明可文。

  前技术可目达到几“钟,一分活块动硬可盗走3盘00亿字数据的,”一旦客攻黑网破,络果数据如加未密,算机计据数是读的可则数据,盗即用即黑客。可以还对性针盗窃地篡改黑客和心关的文和数据件库录记(破坏据数完的整)。性且黑客一而掌握旦攻了破法以方后,不断会继续盗地走和改数篡,而用据户很难察觉。

  数据密的加用:(1)作决外解部黑侵入网络客后盗计窃机数算的据题; 问2)(决外啊解黑侵客入网络后改数据篡问题;的(3解)内决部客在内部网上黑窃盗算计机数据的问题;4)(决解部黑客内在内网部篡上改数的问题据(5)解决;CPU,作系统等操预安置了黑先客件软或线发无装置的射问题。

 数 加据可以解决网密络部内息“看不懂,改信了,盗走不没也用”的问,题是络安全网后最一防道线也,是价性能格比最的好网安全问题络根的本解手决。

段 

 8,试述一身份证下明系的统相要求关。

  答对:身份明系证统的关相求要: ( )验1证正确认别者合法示者证的率极大化概。2(不具)可递传性,验者B不证可重能示证用者A供给提他的息信,伪装示证A成者地骗功取他其的人证,验到得任。(信)攻3者伪装击证示欺者验骗证者成的概率小到可功以略,忽别是特要能已抗密文攻知,即击击者攻在截到示证获者和证验多次者通信,下伪示装者欺骗验证证。者4(计算)有效,性实为现身证明份需所的算量要小计(5。通信有)效性为,实现份身证明需所信通次和数数据量要。小6)秘密参(安全存储。(数)交互7识别有些,用中要应双方求相互行进份认证身(。8)第三实时参方,如与在线钥公检索服。务9(第三方的)

可信赖。(性10)可证安明性全。

  后条四是些有身误份用系别统出的提求。 要身 识别与份字数字签密相关,切字签数是实现名身识份的一个途径别,在身但份识别息的消义基语本是固上的定,是前当时的申请者的刻份验身者证据规根定或受或拒绝接请。一申签字不般是终“生的,但”是长应期效的有未,来可启仍用的。

  

,9论述证书机的管理构功能

  答:书证机构用创建于发布和证书,它通常一为个为称安域全的限有群发体证放书。建证书创时候的CA系。首先统取获用户请的信息,其求包括用中户钥公CA,根据将户用的请求信息产生证书,并自己用的私钥证书对进签行。其他用名,应户用序或程体将使实CA用公钥对证书进行验的。如果一证个C系A是统信的,则可验证证书用户可以确信的他,所证验证书中的的公属于钥证书代表所的那实体。个

  AC还责负维护和布证书吊发表。销一个当证,书别特是其的中公钥为其他原因因无时效C,L提R了供种通知一户的用中管理方心。CA式系生统CRL成后,以么要放到L是DAP服器中供用务户直接询查下或,载要么放置是在WE服务器B的合适置,位以页超级面连的接方式用户供接查直询或载。下

范文八:电子商务安全的要求 投稿:范坖块

电子商务安全的要求

内容摘要因特网上商机无限,电子商务前景诱人,但许多商业机构对采用他仍有疑虑主要是其安全问题变得越来越严重,如何建立一个安全便捷的电子商务方案,如何创造一个安全的电子商务应用环境,已经成为广大商家和消费者都十分关心的焦点。从安全和信任关系来看,在传统交易过程中,买卖双方是面对面的,因此很容易保证交易过 程的安全性和建立起信任关系。但在电子商务过程中,买卖双方是通过网络来联系的,彼此远 隔千山万水,由于英特网既不安全,也不可信,因而建立交易双方的安全和信任关系相当困 难。电子商务交易双方(销售者和消费者)都面临不同的安全威胁。

关键词 电子商务,安全性,保密性,身份确定性

1.1内部网的严密性

对于一个电子商务系统严密性主要是指保证一些敏感的商业资讯不被泄露。资讯加密主要就是解決這方面的問題。事實上,現存的任何一种加密方法在理論上都是可以破解的,只是时间长短的问题。尤其是硬件设备的快速发展,給密碼破译带來越來越多的便利。

因此在一个电子商务系统中,要对客户信息,商家信息加密防止泄露。一个电子商务系统的内部网严密性尤为重要,他只能被公司内部访问,修改,若是被入侵造成商业信息泄露将很危险。比如美团网的用户密码泄露,入侵者可能会用这个账号下虚假订单,给商家造成损失,或者支付宝密码泄露,那么用户将直接损失金钱。还有如商家的大宗交易信息泄露被对手知道后可能会造成大规模损失。这些活生生的例子都在威胁着电子商务安全,阻碍交易活动的开展。

在电子商务系统的内部网可以对特殊网段加密,进行身份验证,在有因特网相接处设立防火墙禁止外网访问。网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障,是最先受到人们重视的网络安全技术,它可以阻止对信息资源的非法访问,也可以使用防火墙阻止专利信息从企业的网络上被非法输出,是最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络。防火墙有两个基本准则:一是未被允许的就是禁止的;二是未被禁止的就是允许的。基于该准则, 防火墙应转发所有信息流, 然后逐项屏蔽可能有

害的服务。这种方法构成了一种更为灵活的应用环境, 可为用户提供更多的服务。

1.2完整性

完整性包括信息的完整性,数据和交易的完整性。

电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是电子商务应用的基础。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。完整性一般可通过提取信息的数据摘要方式来获得。

1.3保密性

电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的(尤其Internet 是更为开放的网络),维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。机密性一般通过加密技术对传输的信息进行加密处理来实现。加密技术解决了传送信息的保密问题,可分对称加密和非对称加密。对称加密是一种传统的信息认证方法,通过信息交换的双方共同约定一个口令或一组密码,建立一个通信双方共享的密钥。非对称加密又称公开密钥加密,它使用一把公开发布的公开密钥和一把只能由生成密钥对的贸易方掌握的私用密钥来分别完成加密和解密操作。

加密技术对用户的密码、口令、数字证书、等信息加密,重要信息等加密,防止被盗取。而不需要对卖家的产品信息,买家的留言,评论等信息加密。从交易环节开始确保双方安全交易。

1.4不可修改性

对于某些信息商家和消费者都不能修改,如规定运费,商品信息,还有用户提交的订单等信息不可修改。

1.5身份确定性

由于网络电子商务交易系统的特殊性,企业或个人的交易通常都是在虚拟的网络环境中进行,所以对个人或企业实体进行身份性确认成了电子商务中十分重要的一环。对人或实体的身份进行鉴别,为身份的真实性提供保证,即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某人或实体声称具有某个特定的身份时,鉴别服务将提供一种方法来验证其声明的正确性,一般都通过证书机构CA和数字证书来实现。

1.6交易的无争议和不可抵赖性

无争议性是指交易的双方达成了协议,我愿意以多少钱的价格购买你的产品,而你也同意的这样的条件,在此条件下我们可以做成交易,如货到付款啊,或者先付款等等条件都说明白了没争议。

不可抵赖性:电子商务关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是所期望的贸易伙伴这一问题则是保证电子商务顺利进行的关键。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴身份,确定合同、契约、单据的可靠性,并预防抵赖行为的发生。这也就是人们常说的

1.7有效性

电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。

1.8授权的合法性

交易的双方要遵循相关的法律法规,有合法的授权卖东西或支付。

范文九:电子商务安全分析 投稿:贺糱糲

  【摘 要】电子商务安全是电子商务活动的基础和关键。文章从电子商务所面临的安全威胁入手,提出了开展电子商务活动必须满足的安全需求,最后探讨了电子商务安全解决方案及其实现技术。  【关键词】电子商务安全;加密;数字签名;认证;协议  随着网络通信技术的迅猛发展和Internet的不断普及,电子商务作为一种新型的商务模式,在全球范围内正以惊人的速度迅猛发展。然而由于它是基于Internet开展的商务活动,大量重要的信息都需要在互联网上进行传递,尤其还涉及到资金的流动,必然要求传递信息的过程足够安全。因此如何保障交易过程和传递信息的安全性就成为影响电子商务发展的一个至关重要的问题,也是技术难点。  一、电子商务的安全威胁  电子商务是基于网络信息传输的,依靠从信息终端之间信息的传递完成商务交易。与传统商务的面对面交易不同,电子商务的安全就是要确保这些信息的传递是稳定的、完整的、可靠的、保密的,是反映信息发送者的真实意愿的。而威胁互联网安全的因素很多。  1.截获  攻击者获取了对资源的访问权,这是对机密性的攻击。例如,在网络上搭线或安装电磁波截获装置以获取银行账号、用户密码等有用数据。  2.篡改  攻击者不仅获得了访问权而且篡改了某些资源,这是对完整性的攻击。例如,修改资金额度、货物数量、商品价格等交易信息。  3.伪造  攻击者将伪造的对象插入系统,这是对真实性的攻击。例如,冒充合法用户进行交易,给合法用户造成损失。  4.否认或抵赖  商家或用户否认自己曾经发送或接收到信息,这是对不可抵赖性的攻击。例如,合法用户可能会赖账,商家也有可能因为商品价格差而不承认原有交易。  二、电子商务的安全需求  在电子商务面临上述安全隐患的情况下,要在因特网中建立并维持一个令人可以信任的环境和机制,也为了保障交易各方的合法权益,需要满足以下几个方面的安全需求。  1.信息的机密性  信息的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取、不被泄露或披露给未经授权的人或组织,或者经过加密伪装后,使未经授权者无法了解其内容。机密性可用加密和信息隐匿技术实现,使截获者不能解读加密信息的内容。机密性的另一方面是保护通信流特性以防止被分析。  2.信息的完整性  信息的完整性或称正确性是保护数据不被伪授权者修改、建立、嵌入、删除、重复传送或由于其他的原因使原始数据被更改。在存储时,要防止非法篡改,防止网站上的信息被破坏。在传输过程中,如果接收方收到的信息与发送方的信息完全一样则说明在传输过程中信息没有遭到破坏,具有完整性。针对信息的完整性,目前的主要措施是通过散列算法(也称消息摘要算法)来检查信息的完整性。  3.商务对象的认证性  商务对象的认证性是指网络两端的使用者在沟通之前相互确认对方的身份,保证身份的正确性。分辨参与者声称身份的真伪,防止伪装攻击。认证性采用由认证中心向各交易主体发放数字证书并进行验证。  4.信息的不可抵赖性  信息的不可抵赖性是指信息的发送方不能否认已发送的信息,信息的接受方不能否认已收到的信息。这是一种法律有效性要求。交易一旦达成是不能被否认的。否则必然会损害一方的利益。目前的主要措施是采用数字签名技术。  三、电子商务安全技术  1.加密技术  加密技术是电子商务的最基本信息安全防范措施,其原理是利用一定的加密算法,将明文转换成难以识别和理解的密文并进行传输,从而确保数据的机密。主要有对称加密技术、非对称加密技术和数字信封技术。  (1)对称加密技术  对称加密技术,即信息的发送方和接收方用一个密钥去加密和解密数据,也就是说加密和解密用同一个密钥。它要求发送方、接收方在安全通信之前,商定一个密钥,对称密钥算法的安全性依赖于密钥,泄露密钥就意味着任何人都能对消息进行加、解密。只要通信需要保密,密钥就必须保密。它的最大优势是加、解密速度快,便于用硬件实现、适合于对大数据量进行加密等,但密钥管理困难。  (2)非对称加密技术  非对称加密技术就是加密和解密所使用的不是同一个密钥,通常有两个密钥,称为“公钥”和“私钥”。“公钥”和“私钥”不能由一个推出另一个,但是“公钥”加密的信息只能由“私钥”解密,反之亦然。非对称密钥机制灵活,但加密和解密速度比对称密钥加密慢得多,所以它不适合于对文件进行加密,而只适用于对少量数据进行加密。  (3)数字信封技术  鉴于对称加密技术和非对称加密技术各自的特点,在实际应用中将两种加密技术结合使用,从而获得对称加密技术的高效性和非对称加密技术的灵活性。这种把对称加密技术和非对称加密技术结合使用的技术称数字信封技术。  2.数字签名技术  数字签名技术主要解决电子商务中信息的不可抵赖性问题。其工作原理是:将报文按双方约定的HASH算法计算,得到一个固定位数的HASH值,在数学上保证只要改动报文的任何一位,重新计算出的HASH值就会与原值不符。然后把该HASH值用发送者的私钥加密,然后将该密文同原报文一起发送给接收者,产生的报文即数字签名。接收方收到数字签名后,用同样的HASH算法对报文计算HASH值,然后与用发送者的公钥进行解密解开的HASH值进行比较,如相等则说明报文确实来自发送者从而保证了数据的真实性。通过数字签名还能够实现对原信息的鉴别,从而保证信息在传输过程中的信息完整性和信息发送方的不可抵赖性。  3.认证技术  对数字签名和公开密钥加密技术来说,都会面临公钥的分发问题。这就要求管理公钥的系统必须是值得信赖的,数字证书就是解决这一问题的有效方法。它通常是一个签名文档,标记特定对象的公开密钥。由认证中心CA签发,CA通常是一个服务性机构,主要任务是受理数字证书的申请、签发和管理数字证书,是一个普遍可信的第三方。当通信双方都信任同一个CA时,两者就可以相互得到对方的公钥从而能进行秘密通信、数字签名和认证。

  4.数字时间戳技术  在电子商务交易中,时间是十分重要的信息。数字时间戳服务DTS就是为电子文件的时间信息进行安全保护的网上安全服务项目。时间戳是经过加密后形成的文档,它包括三部分内容:①需加时间戳的文件的摘要;②DTS收到文件的日期和时间;③DTS的数字签名。  5.与电子商务安全有关的协议技术  (1)SSL-安全套接层协议  SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和加密密钥的用于浏览器和Web服务器之间的安全连接技术。它在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议以保证应用层数据传输的安全性。SSL协议独立于应用层协议,且被大部分的浏览器和Web服务器所内置,便于在电子交易中应用,因此,在电子交易中被用来安全传送信用卡号码。国际著名的CyberCash信用卡支付系统就支持这种简单加密模式,IBM等公司也提供了这种简单加密模式的支付系统。  但SSL协议它是一个面向连接的协议,在涉及多方的电子交易中,只能提供交易中客户与服务器间的双方认证,而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系。因此,为了实现更加完善的电子交易,制订发布了SET协议。  (2)SET-安全电子交易协议  SET协议是目前唯一保证信用卡信息能安全可靠地通过因特网传输的新协议。它为在Internet上进行安全的电子商务活动提供了一个开放的标准,为Internet上支付交易提供高层的安全和反欺诈保证。SET协议为基于信用卡进行电子交易的应用提供了安全措施,保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。SET是专门为电子商务而设计的协议,它在很多方面优于SSL协议,但仍不能解决电子商务所遇到的全部问题。  四、结束语  电子商务安全是电子商务活动的核心,我们要坚持引进和吸收的原则,组织各方面力量,研制和开发出具有自主知识产权的网络安全和电子商务安全产品,逐步掌握电子商务安全的核心技术,我国的电子商务安全现状一定会得到极大的改善,从而为我国电子商务的发展创建良好的安全环境。  参考文献:  [1]陈建斌.电子商务与电子政务[M].北京:机械工业出版社,2008.  [2]杨爱民.电子商务安全现状及对策探讨[J].科技资讯,2006(6).  [3]张斌.电子商务中的信息安全[J].晋中师范高等专科学校学报,2003(2).

范文十:电子商务安全管理 投稿:周渱渲

摘要:目前电子商务安全是互联网上的首要问题,这就涉及了无线局域网安全漏洞分析。现在无线局域网的技术主要有IEEE802.11、HomeRF和蓝牙。相对于蓝牙、HomeRF等无线技术,基于IEEE802.11的无线局域网正成为当前无线领域中一个引入关注的热点,相应的基于IEEE802.11的无线局域网的安全问题也成为目前人们主要争论的焦点。

  关键词:电子商务;IEEE802.11;HomeRF;蓝牙

  中图分类号:TP393 文献标识码:A 文章编号:1005-6432(2008)41-0042-02

  

  随着电子商务在网络上的飞速发展,无线局域网逐渐发展壮大起来。安全性将是在无线局域网中被考虑的一个重要的部分,全面了解无线局域网的安全机制之前,首先应该正确地认识到无线局域网可能存在的安全问题。

  

  一、无线局域网概念

  

  无线局域网(Wireless Local-area Network,WLAN)是计算机网络与无线通信技术相结合的产物。利用红外线、微波等无线技术进行信息的传递,无线局域网可以从广义和狭义上进行定义:GSM/GPRS和CDMA,定义了多种类型的无线局域网,涉及多种标准,但大致可分为两大发展方向:以高速传输应用发展为主(IEEE802.11a、IEEE802.11b和IEEE802.11g等);以低速短距离的应用为主(Bluetooth、HomeRF和HiperLAN等),从发展趋势来看,IEEE802.11协议系列大有一统无线局域网协议标准之势。从狭义上讲,无线局域网(WLAN)一般指的是遵循IEEE802.11系列协议的无线局域技术的网络。

  

  二、IEEE802.11无线局域网安全综述

  

  在了解无线局域网的安全机制之前,应该考虑到无线局域网可能存在的安全漏洞。某个网络用户(即黑客)能够通过偷听(被动攻击)、非法登录、链接、侦测和配置网络(主动攻击)、人为干扰等方式破坏无线局域 网。

  非法登录是通过一个无线基站连接到一个无线局域网上,某个用户可能更深入地穿透或进入一个网络,为了获取对于服务器的访问以得到有价值的数据,为了恶意的目的使用公司的Internet访问,甚至改变网络的界面配置,从而改变无线局域网自身,这是一种主动攻击。方式如下图所示:

  

  干扰攻击则并不是为了网络中的数据而来,可能只是为了使我们的无线局域网瘫痪。某个用户利用压制性的微波信号(不明的高功率发射物)对原来信号产生影响,并且信号发生设备可能是可移除的或是不可移除的。若这个信号来源是无目的的,我们称之为干扰源;而如果它是有目的地破坏和影响当前网络,我们则称之为干扰攻击。

  无线局域网由于媒介的不同,在自由空间中进行传输,是相对开放的,所以对于网络的访问就少了一层障碍,无法通过对传输媒介的接入控制来保证数据不会被未经授权的用户获取。所以在无线局域网被广泛采用之前,最需要解决的就是网络安全问题。网络的完全性是IT专业人士、业务管理者、承担无线基础设施安全责任的相关人员所必须关注的。

  

  三、结束语

  

  无论是在有线局域网还是无线局域网实施电子商务,在组网之前应该首先考虑到网络的安全问题,使用恰当的安全机制,配备响应的网络管理员,有效防止网络安全漏洞。建立一个有线、无线网络安全框架是整个业界的目标。安全问题对于公共无线局域网的重要性要远超过专用网络。

   作者单位:张奇华北电力大学

  杨宁侠邹智凯河北软件职业技术学院

  

  参考文献:

  钱进.无线局域网技术与应用[M].北京:电子工业出版社,2007:35-37.

字典词典最新计划生育条例最新计划生育条例【范文精选】最新计划生育条例【专家解析】两会教师待遇两会教师待遇【范文精选】两会教师待遇【专家解析】五子棋社团活动总结五子棋社团活动总结【范文精选】五子棋社团活动总结【专家解析】