第6章电子商务安全技术.pptx

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,第,6,章 电子商务安全,第,6,章 电子商务安全,6.1,网络支付的安全问题,6.2,网络信息安全技术,6.3,网络与应用系统安全技术,6.4,网络安全协议,6.5,我国金融,CA,建设和体系结构,教学目的,通过本章的学习，使同学们对网络支付安全问题有正确清晰地认识，掌握电子商务安全的基本的知识，为进一步增强电子商务安全防范意识和学习相关安全技术打下一个良好的基础。,6.1,网络支付的安全问题,6.1.1,网络支付安全问题的提出,6.1.2,网络支付安全交易体系,6.1.3,网络支付安全技术应用,6.1.1,网络支付安全问题的提出,计算机网络安全，通俗来讲，是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改和泄漏。,电子商务面临的安全威胁按对象来源划分如下几种：,（,1,）,Internet,的威胁,（,2,）,Intranet,的威胁,（,3,）黑客攻击的威胁,（,4,）网络病毒的威胁,如何保证电子商务活动的安全性,交易的安全性是网络支付活动的关键,网络支付活动安全控制要求：,（,1,）有效性,（,2,）机密性,（,3,）完整性,（,4,）不可否认性,6.1.2,电子商务安全交易体系,网络支付活动大致包括,3,个方面：,一、交易信息必须通过计算机网络进行传输；,二、在网络上传输的信息需要进行加密；,三、进行商务活动的双方必须得到某种身份认证，保证交易的安全性。,网络支付安全交易体系,网络支付活动的信息安全体系包括,基本加密技术,、,安全认证技术,以及,安全应用标准与协议,3,大层次，在此安全体系之上便可以建立网络金融与商务活动的支付体系和各种业务应用系统。,6.1.3,网络支付安全技术应用,1,网络安全技术,加密技术,防火墙技术,入侵检测、漏洞检测技术,2,网络安全标准,安全电子交易协议,SET,安全套接层协议,SSL,6.2,网络信息安全技术,6.2.1,加密技术,6.2.2,数字认证技术,6.2.1,加密技术（例谍战片）,加密与解密过程,密钥,是由数字、字母或特殊符号组成的字符串组成的，用来控制加解密的过程。,加密和解密过程中使用的密钥分别称为加密密钥（,Encryption Key,），简称为,ke,，和解密密钥（,Decryption Key,），简称为,kd,。,相同的加密算法，密钥的位数越多，破译的难度就越大，安全性也就越好。,密码是明文和加密密钥相结合，然后经过加密算法运算的结果。,实际上，密码是含有一个参数,k,的数学变换，即,C=Ek,（,m,），其中，,m,是未加密的信息（明文），,C,是加密后的信息（密文），,E,是加密算法，参数,k,是密钥。密文,C,是明文,m,使用密钥,k,，经过加密算法计算后得到的结果。,常用概念,密码学（,Cryptography,）是研究计算机信息加密、解密及其变换的科学，是数学和计算机的交叉学科，主要包括编码学和密码分析学。,明文,(Plain text),是指通信的信息和数据。,密文,(Cipher Text),是指把明文转换成局外人难以识别的形式。,加密是指伪装明文的操作。,加密算法（,Encryption Algorithm,）是指加密时所使用的信息变换规则。,解密是指合法接收者将密文恢复出原明文的过程。,破译是指非法接收者将密文恢复出原明文的过程。,解密算法,(Decryption Algorithm),是指解密时所使用的信息变换规则。,网络加密方式分类,（,1,）链路加密方式,链路加密方式是一种把网络上传输的数据报文每一比特都进行加密，但是只对通信链路中的数据进行加密，而不对网络节点内的数据加密的网络加密方法。,（,2,）节点对节点加密方式,为了解决采用链路加密方式时，在中间节点上数据报文是以明文出现的缺点，在中间节点里装有一个用于加密、解密的保护装置，即由这个装置来完成一个密钥向另一个密钥的变换。,（,3,）端对端加密方式（面向协议加密方式）,端对端加密方式是由发送方加密的数据在没有到达最终目的地接收节点之前是不被解密的，且加密和解密只在源节点和目的地节点之间进行。,6.2.2,数字认证技术,1,数字签名,2,数字信封,3,数字摘要,4,数字时间邮戳,5,数字证书,6,认证中心,7,生物统计学身份识别,1,数字签名,所谓数字签名，就是只有信息的发送者才能产生的，而别人无法伪造的一段数字串，这段数字串同时也是对发送者发送信息的真实性的一个有效凭证。它一般选用,RSA,算法作为数字签名的公开密钥密码算法。,2,数字信封,数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。,在数字信封中，发送者自动生成对称密钥，用对称密钥加密发送的信息，将生成的密文连同用自己的私钥和接收方公钥加密后的对称密钥一起传送出去。收信者用发送方公钥和自己的私钥解密被加密的密钥来得到对称密钥，并用它来解密密文。,3,数字摘要,这一加密方法亦称安全,Hash,编码法或,MD5,，它由,Rivest,设计。,数字摘要技术是采用单向,Hash,函数对明文文件中若干重要元素进行某种运算得到固定长度的摘要码，也就是数字指纹（,Finger Print,），并在传输信息时将它加入文件一起发送给接收方，接收方收到文件后，用相同的方法进行变换计算，若得出的结果与发送来的摘要码相同，则可断定文件末被篡改。,4,数字时间邮戳,数字时间戳服务是网上安全服务项目，时间戳是一个经加密后形成的凭证文档，它包括,3,个部分：需加时间戳的文件的摘要、,DTS,收到文件的日期和时间、,DTS,的数字签名。,数字时间戳的签署与签署人自己写在书面文件的时间不同，它是由专门的认证机构如,CA,来加的，并以认证机构收到文件的时间为依据。,5,数字证书,如何解决公钥与合法拥有者身份的绑定问题？,所谓数字证书，就是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。,数字证书的实质是公开密钥体制的一种密钥管理媒介，它是一种权威性的电子文档，形同网络计算机环境中的身份证，用于证明交易主体的身份及其公开密钥的合法性等问题。,6,认证中心,CA,是一个可信的第三方实体，其主要职能是保证用户的真实性。它通过向电子商务各参与方发放数字证书，来确认各方的身份，保证在,Internet,及内部网上传送数据的安全及网上支付的安全性。,本质上，,CA,的作用同政府机关的护照颁发机构类似。,认证中心的主要任务是受理数字凭证的申请、签发数字证书并进行管理。,6,认证中心的构成,接收用户证书申请的证书受理者（,RS,）,证书发放的审核部门（,RA,）,证书发放的操作部门（,CP,），一般称这部分为,CA,，,以及记录、作废证书的证书作废表（,CRL,）,在证书申请被审批部门批准后，,CA,通过登记服务器将证书发放给申请者,。,电子商务,CA,体系包括两大部分，即“金融,CA”,体系（如,SETCA,体系）和“非金融,CA”,体系（如,PKICA,体系）。,7,生物统计学身份识别,生物统计学技术包括指纹、虹膜、视网膜扫描以及语音识别等，它依据人的物理特性且不依赖任何能被拷贝的文件或可被破译的口令，不需要用户记忆任何口令，若能解决成本问题，随着技术发展日益成熟，将是一项可以广泛应用的身份识别技术，从而为目前网络金融交易中的身份验证提供了一个可行的解决方案。,6.3,网络与应用系统安全技术,6.3.1,防火墙技术,6.3.2,入侵监测系统（,IDS,）,6.3.1,防火墙技术,防火墙就是介于内部网络和不可信任的外部网络之间的一系列部件的组合，它是不同网络或网络安全域之间信息的唯一出入口，根据企业的总体安全策略控制（如允许、拒绝）出入内部可信任网络的信息流，而且防火墙本身具备很强的抗攻击能力，是提供信息安全服务和实现网络和信息安全的基础设施。,在逻辑上，防火墙是一个过滤器、限制器，而且还是一个智能分析器。在安全策略的指导和保证网络畅通得前提下，从逻辑上有效的隔离内部网络和外部网之间的活动，尽可能得保证内部网络的安全。,防火墙是在安全策略指导下的一种安全防御措施，策略是防火墙的核心。,防火墙具有两种默认的策略，在策略的指导下实施安全服务,:,默认禁止策略。拒绝所有的流量，特殊指定能够进入和出去的流量的一些类型；,默认允许策略。允许所有的流量，特殊指定要拒绝的流量的类型。,防火墙的逻辑位置图,应用防火墙的目的,限制他人进入内部网络；,过滤掉不安全的服务和非法用户；,防止入侵者接近你的防御设施；,限定人们访问特殊站点；,为监视局域网安全提供方便。,防火墙的功能,强化公司的安全策略,实现网络安全的集中控制,实现网络边界安全,记录网络之间的数据包,防火墙的扩展功能：,减少可信任网络的暴露程度,实现流量控制,集成,VPN,（虚拟专用网）功能,双重,DNS,（域名服务）服务,防火墙的分类,从防火墙实现技术方式来分：,数据包过滤型防火墙,代理服务器型防火墙,状态检测型防火墙,从物理形态来分：,软件防火墙,硬件防火墙,防火墙的关键技术,数据包过滤技术,分组过滤技术工作在,OSI,模型网络层，根据网络层分组报头存储的信息，来控制网络的通信。,当防火墙接收到数据分组后，会自动把分组中存储的数据属性和自己的访问控制策略来比对，从而决定分组是丢弃还是通过的一种防范机制,代理服务器技术,WEB,代理,应用层代理,电路层代理,状态检测技术,状态检测防火墙，试图跟踪通过防火墙的网络连接和分组，这样防火墙就可以使用一组附加的标准，以确定是否允许和拒绝通信,6.3.2,入侵监测系统（,IDS,）,1,入侵检测概念,入侵检测系统全称为,Intrusion Detection System,，它从计算机网络系统中的关键点收集信息，并分析这些信息，利用模式匹配或异常检测技术来检查网络中是否有违反安全策略的行为和遭到袭击的迹象。,入侵检测系统是信息与网络系统安全的主要设备之一，是防火墙系统的一个重要的补充，是一个实时的网络违规识别和响应系统。它位于被保护的内部网络和不安全的外部网络之间或位于内部网络的敏感部位，通过实时截获网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规或未授权访问时，入侵检测系统能够根据系统安全策略做出反应，包括实时报警，事件记录，自动阻断通信连接或执行用户自定的策略程序等。入侵检测系统能够生成系统安全日志以利于系统安全审计，并以开放数据库方式支持安全分析决策系统，从而为网络安全提供有效的保障。,6.3.2,入侵监测系统（,IDS,）,2,入侵检测系统的功能,入侵检测系统被认为是防火墙系统之后的第二道安全闸门，是一种动态的安全检测技术。,一个合格的入侵检测系统应该具备以下功能：,（,1,）监视用户和系统的运行状况，查找非法用户和合法用户的,越权操作。,（,2,）检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞。,（,3,）对用户的非正常活动进行统计分析，发现入侵行为的规律。,（,4,）系统程序和数据的一致性与正确性。,（,5,）识别攻击的活动模式，并向网管人员报警。,（,6,）对异常活动的统计分析。,（,7,）操作系统审计跟踪管理，识别违反政策的用户活动。,6.3.2,入侵监测系统（,IDS,）,3,入侵检测系统的分类,根据信息源的不同，分为,:,（,1,）基于主机的入侵检测系统,20,世纪,80,年代初期，出现基于主机的入侵检测技术，它在发展过程中融入了其他技术；,对关键系统文件和可执行文件的入侵检测的一个常用方法，是通过定期检查校验和来进行的，以便发现意外的变化；,基于主机的入侵检查系统具有检测准确率高、适用于被加密的以及切换的环境、近于实时的检测和响应、不要求额外的硬件设备、能够检查到基于网络的系统检查不出的攻击、监视特定的系统活动等优点。,（,2,）基于网络的入侵检测系统,基于网络的入侵检测系统使用原始网络包作为数据源。基于网络的,IDS,通常利用一个运行在混杂模式下网络的适配器来实时监视并分析通过网络的所有通信业务。,6.4,网络安全协议,6.4.1,安全套接层协议,SSL,6.4.2,安全电子交易协议,SET,6.4.1,安全套接层协议,SSL,1,SSL,协议概述,2,SSL,原理,3,SSL,协议的加密和认证算法,1,SSL,协议概述,目前，,Internet,上对应的七层网络模型的每一层都已经提出了相应的加密协议，,SSL,协议是应用于网络会话层（,Socket Layer,）的网络安全协议。,目前，利用公开密钥的,SSL,协议已经基本上成为,Internet,上保密通信的工业标准。,现在使用的,Web,浏览器基本上都是使用,HTTP,和,SSL,相结合的办法来实现安全通信的。,（,1,）,SSL,协议,SSL,协议是一种在可持有证书的浏览器软件上和,WWW,服务器之间构造的安全通道中传输数据的协议。,该协议由两个部分组成：,底层是建立在可靠的传输协议（,TCP/IP,）上的,SSL,的记录协议，为高层协议提供数据的封装、压缩、加密等基本功能；,上层是位于应用层（,HTTP,、,LDAP,、,LMAP,）之下的握手协议，用于服务器与客户在开始传输数据之前，通信双方进行身份认证、协商加密算法和交换加密密钥等。,SSL,有一个特点就是：它本身是一个具有独立性的应用协议，其他高层协议可以建立在,SSL,之上。,SSL,可以采用一种公开密钥加密技术（,RSA,）作为用户端与服务器端传送保密资料时的加密通信协议。,此技术基于公开密钥和私有密钥两种加密方法。在连接过程中使用公开密钥加密方法，在会话过程中采用私有密钥加密方法。加密的类型和强度则在两端之间建立连接的过程中判断决定。,（,2,）,SSL,协议的安全交易过程,在这个过程中，,SSL,协议会为各方传送的信息进行加密处理，以保证数据的安全性和完整性。并向客户保证，服务器端的身份是真实可靠的。,SSL,协议通过加密来保证数据的完整性和安全性，通过数字签名和数字证书来为交易双方提供身份的证明和身份的验证。,（,3,）,SSL,协议的安全通道,SSL,协议不仅提供了编程界面，而且还向上层（应用层）提供相应的安全服务。,SSL,提供的安全通道具有三个特征：,具有私密性,具有确认性,具有可靠性,（,4,）,SSL,协议的基本安全服务,提供认证服务,提供加密服务,保证数据的完整性,2,SSL,原理,SSL,协议是由,SSL,握手协议（,SSL Hand Shake Protocol,）和,SSL,记录协议（,SSL Record Protocol,）两个子协议构成的。,前者制定数据以什么样的加密格式传输。,后者在前者建立好通道以后提供一系列的消息，以实现信息交流的通信与认证功能。,3,SSL,协议的加密和认证算法,SSL,协议在工作的过程中，涉及到安全的技术基本上可以分为两类，即用来保护数据安全的加密算法和用来鉴定用户身份的认证技术。,（,1,）加密算法,SSL,协议支持很多的加密算法，比如说对称加密体制（,DES,加密算法）、,RC2,RC4,和,IDEA,。,这些算法用来加密数据的密钥则是由消息散列函数,MD5,生成的。,RC2,RC4,是由非对称加密体制（,RSA,算法）定义的，其中的,RC2,用于块加密，,RC4,用于流加密。,（,2,）身份认证,SSL,协议采用的是,X.509,电子证书标准，通过公开密钥加密算法来实现数字签名。,服务器认证,客户端认证阶段,（,3,）会话层的密钥分配协议,IETF,（,Internet Engineering Task Force,）要求对任何,TCP/IP,都要支持密钥分配，现在主要使用的是三个协议：,SKEIP,（,Simple Key Exchange For Internet Protocol,）,Photuris,ISAKMP,（互联网安全协会的密钥管理协议）,6.4.2,安全电子交易协议,SET,1,SET,协议概述,2,SET,的相关技术,3,SET,购物与支付处理流程,（,1,）,SET,的主要内容,SET,协议的内容包括,SET,的交易流程、程序设计规格与,SET,协议的完整描述三部分，其中第一部分提供处理的总述；第二部分介绍数据区、消息以及处理流程，具体又分为系统设计考虑、证书管理、支付系统三部分和附录；第三部分提供,SET,消息和数据区的最严格描述。,在,SET,协议中主要定义了以下内容：,加密算法（如,RSA,和,DES,）的应用。,证书消息和对象格式。,购买消息和对象格式。,请款消息和对象格式。,参与者之间的消息协议。,SET,协议中的核心技术主要有共享密钥加密（,Secret-Key Cryptography,）技术、公开密钥加密（,Public-Key Cryptography,）技术、电子数字签名（,Digital Signature,）技术和数字信封（,Digital Envelope,）技术等。,SET,通过使用公共密钥和对称密钥方式加密保证了数据的保密性，通过使用数字签名来确定数据是否被篡改、保证数据的一致性和完整性，并可以完成交易防止抵赖。,（,2,）,SET,的主要目标,保障付款安全,确定应用的互通性,达到全球市场的接受性,（,3,）,SET,协议中的相关成员,持卡人（,Cardholder,）,发卡机构（,Card Issuer,）,商家（,Merchant,）,收单银行（,Acquiring Bank,）,支付网关（,Payment Gateway,）,认证中心（,Certificate Authority,，,CA,）,2,SET,的相关技术,（,1,）,SET,的双重签名技术,首先,C,产生发往,M,的订购信息,OI,和发往,B,的支付指令,PI,，并分别产生,OI,、,PI,的摘要,H,（,OI,），,H,（,PI,），其中摘要由一个单向,Hash,函数产生。连接,H,（,OI,）和,H,（,PI,）得到,OP,，再生在,OP,的摘要,H,（,OP,），用,C,的,RSA,私钥,Krc_priv,签名,H,（,OP,），得到,signH,（,OP,）,，称为双重签名。,然后，,C,将消息,OI,，,H,（,PI,），,signH,（,OP,）,发给,M,，将,PI,，,H,（,OI,），,signH,（,OP,）,发给,B,。在验证双重签名时，接收者,M/B,分别创建消息摘要，,M,生成,H,（,OI,），,B,生成,H,（,PI,），再分别将,H,（,OI,）,/H,（,PI,）与另一接受到的摘要,H,（,PI,）,/H,（,OI,）连接，生成,OP,及其摘要,H,（,OP,）,，接收者,M/B,用,C,的,RSA,公钥,Krc_pub,解开,signH,（,OP,）,，得到,H,（,OP,），比较,H,（,OP,）,.,与,H,（,OP,）是否相同，如果相同，则表示数据完整且末被篡改。,2,SET,的相关技术,（,2,）,SET,的认证技术,身份验证问题,电子证书（,Certificate,）,认证中心（,CA,）,3,SET,购物与支付处理流程,（,1,）,SET,购物流程,SET,协议的简易工作流程图,基于,SET,的交易图,（,2,）支付处理流程,网上支付模式主要是以下三种：,面向商家的,SET,（,Merchant-oriented SET,，,MOSET,）模式,无证书,SET,（,CertLess,）模式,完全,SET,6.4.3 SET,协议与,SSL,协议的比较,SET,协议比,SSL,协议复杂，在理论上安全性也更高，因为前者不仅加密两个端点间的单人会话，还可以加密和认定三方的多个信息，而这是,SSL,协议所未能解决的问题。,SET,标准的安全程度很高，它结合了数据加密标准（,DES,）、,RSA,算法和安全超文本传输协议（,S-HTTP,），为每一项交易都提供了多层加密。,SET,也有自己的缺陷，例如目前大多数基于,SET,的交易都要通过信用卡进行处理。此外,SET,过于复杂，所以对商户、用户和银行的要求都比较高，推行起来遇到的阻力也比较大。,6.5,我国金融,CA,建设和体系结构,6.5.1,中国金融认证中心（,CFCA,）简介,6.5.2,中国金融认证中心（,CFCA,）体系结构,6.5.3 CFCA,证书的类型,6.5.1,中国金融认证中心（,CFCA,）简介,中国金融认证中心（,China Financial Certification Authority,，简称,CFCA,），是由中国人民银行牵头，联合工商行、农行、中国银行、建行等十四家全国性商业银行共同建立的国家级权威金融认证机构。,中国金融认证中心专门负责为电子商务的各种认证需求提供数字证书服务，为参与网上交易的各方提供信息安全保障，建立彼此信任的机制，实现互联网上电子交易的保密性、真实性、完整性和不可否认性。同时参与制定有关网上安全交易规则，确立相应技术规范和运作规范，提供网上支付，特别是网上跨行支付的相互认证等服务。,中国金融认证中心认证系统采用基于,PKI,（公钥基础设施）技术的双密钥机制，在保证核心加密模块国产化的前提下，通过国际招标建立了具有世界先进水平的认证系统，并通过了国家信息安全产品测评认证中心的安全评测。,CFCA,认证系统具有完善的证书管理功能，提供证书申请、审核、生成、颁发、存储、查询、废止等全程自动审计服务。,中国金融认证中心的突出特点是其金融特色，,CFCA,证书发放前须经过金融机构审批以规避交易中可能发生的支付风险，证书申请者必须具备合格的金融资信和支付能力才能获得,CFCA,证书。,6.5.2,中国金融认证中心（,CFCA,）体系结构,CFCA,认证系统采用国际领先的,PKI,技术，总体为三层,CA,结构：第一层为根,CA,；第二层为政策,CA,，可向不同行业、领域扩展信用范围；第三层为运营,CA,，根据证书运作规范（,CPS,）发放证书。运营,CA,由,CA,系统和证书注册审批机构（,RA,）两大部分组成：,（,1,）,CA,系统,CA,系统承担证书签发、审批、废止、查询、数字签名、证书,/,黑名单发布、密钥恢复与管理、证书认定和政策制定，,CA,系统设在,CFCA,本部，不直接面对用户；,（,2,）,RA,系统,RA,系统直接面向用户，负责用户身份申请审核，并向,CA,申请为用户转发证书；,RA,系统一般设置在商业银行的总行、证券公司、保险公司总部及其他应用证书的机构总部；,受理点（,LRA,）设置在商业银行的分,/,支行、证券、保险营业部及其他应用证书机构的分支机构，,RA,系统可方便集成到其业务应用系统。,CFCA,系统体系结构示意图,6.5.3 CFCA,证书的类型,（,1,）企业高级证书,（,2,）企业普通证书,（,3,）个人高级证书,（,4,）个人普通证书,（,5,）,Web Server,证书,（,6,）,Direct Server,证书,思考：,网络支付安全的体系？,SSL,协议与,SET,协议的异同点？,