电子商务安全与管理.ppt

《电子商务安全与管理.ppt》由会员分享，可在线阅读，更多相关《电子商务安全与管理.ppt（33页珍藏版）》请在课桌文档上搜索。

1、关于本课程的说明,开课目的：了解和认识电子商务存在的各类安全问题，明确 电子商务的安全需求，掌握解决相关问题的思路 和方法。主要内容：信息安全、网络安全、数字证书、电子商务安全 管理、电子商务安全风险管理等内容。主要教学方式：课堂讲述、课堂讨论、专题写作、作业和思 考题。考核评价方式：闭卷考试,第一章 电子商务安全导论,本章学习目的：了解电子商务面临的安全问题 掌握电子商务系统安全的构成要素 了解电子商务安全的主要需求 理解电子商务安全的保障手段第一节 电子商务面临的安全问题1、安全问题的提出 伴随着互联网经济的不断发展，电子商务活动越来越普遍，与此相对应的各类安全问题也越来越引起人们的重视，

2、有必要采取一系列针对性的措施解决这类问题。,2、电子商务涉及的安全问题主要有以下几个方面：1）信息安全问题2）信用的安全问题3）安全的管理问题4）安全的法律法规保障问题,第二节 电子商务系统安全的构成,1、电子商务系统 电子商务系统是指人们用于开展电子商务活动所依赖的基于计算机网络的计算机信息管理系统，主要由硬件及相关功能软件所构成，是开展电子商务活动的运作平台。2、电子商务系统的安全组成 实体安全、运行安全、信息安全,（一）实体安全 保障设备、设施的正常运行和数据的安全。1、环境安全：系统运行周边环境的保障。2、设备安全：系统中各运行设备自身的安 全运行。3、媒体安全：主要是指存放数据的介质

3、的 安全保障。,（二）系统运行安全 提供安全措施保障系统功能的安全实现。1、风险分析：对系统运行中可能出现的各类 安全风险进行预测和分析 2、审计跟踪：完善系统运行的各类记录，了 解系统运行状况。3、备份与恢复 4、应急措施,（三）信息安全 防止信息被非法泄露、更改、破坏等。1、操作系统安全2、数据库安全3、网络安全4、病毒防护安全5、访问控制安全6、加密7、鉴别,第四节 电子商务安全的保障,电子商务的安全保障应从综合防范的角度出发，从技术、管理、法律等多个方面采取措施，才能够有效地保障电子商务的安全。1、技术措施 信息加密、数字签名技术、TCP/IP服务、防火墙的构造2、管理措施人员管理制度

4、、保密制度、跟踪审计制度、系统维护制度、数据容灾技术、病毒防范技术、应急措施3、法律环境,上次课内容回顾,1、电子商务面临的主要安全问题 信息安全、信用安全、安全管理、安全的法律法规保障2、电子商务系统的安全构成 实体安全、运行安全、信息安全3、电子商务安全的需求 保密性、完整性、认证性、可控性、不可否认性4、电子商务的安全保障 技术措施、管理措施、法律环境,第二章 信息安全技术,2.1 信息安全概述电子商务中信息安全主要涉及以下五个方面1、信息的机密性2、信息的完整性3、对信息的验证4、信息的不可否认性5、对信息的访问控制,一、信息的机密性要求：信息的保密，如项目的投标、产品的报价、银行的账

5、号和密码等重要的商业信息。技术对策：信息加密（对称加密与非对称加密）二、信息的完整性要求：能够对信息进行检测，并识别信息是否被更改。技术对策：利用数字摘要技术（Hash函数、SSL协议）,三、对信息的验证要求：能够对电子商务活动参与者或主体身份 的真实性进行验证及确认。技术对策：设定口令、数字签名、数字证书等。四、不可否认性要求：任何一方对信息的真实性不能否认和抵 赖。技术对策：数字签名、数字证书等,五、访问控制要求：只允许授权用户访问相关信息。技术策略：设定用户及权限、访问账号、口令 等。,2.2 信息传输中的加密方式,信息加密主要分为传输加密和存储加密。信息传输加密：是指传输过程中对信息进

6、行加 密的过程。一、几种常用的加密方式1、链路-链路加密 在通信节点对信息进行加密处理，以保证在链路上传递的信息是加密过的。,2、节点加密 在各节点设专用的加密装置对信息加密和解密，实现信息在链路上的加密传输。3、端-端 加密 在发送端和接收端分别对信息进行加密和解密操作。,二、加密方式的选择策略 见 表 2-2,2.3 对称加密与非对称加密,加密：利用一定的加密算法和密钥对数据对象进行处 理，得到与原文截然不同的数据对象方法。加密形式：对称加密、非对称加密对称加密：存在一个密钥，加密密钥与解密密钥相同。非对称加密：存在一个密钥对（公开密钥、私有密 钥），均可对数据进行加密和解密操作。可运用在

7、加密模式和验证模式上。,2.4 数字签名,1、数字签名的概念：利用非对称加密技术实现身份认证的一种技术手段，可以解决不可否认性等安全问题。2、数字签名的要求3、数字签名的使用,思考题,1、什么是信息的完整性的，保证信息完整性的技术手段和原理是什么？2、比较端-端加密与链路-链路加密两者的主要区别是什么，从实施角度哪一种更容易实现，为什么？3、数字签名技术是如何实现不可否认性的安全保障的？4、简要说明一下，为什么说对称加密技术不适用于电子商务活动。,2.3 密钥管理技术,一、密钥管理概述 密钥的使用是有生命周期的，一旦时间到了则应密钥的价值。密钥生命周期的构成：1、密钥的建立（生成、发布）：强调

8、密钥的随机性。2、密钥的备份、恢复：密钥管理者选择。3、密钥的替换、更新：密钥的重新建立4、密钥吊销：密钥的停止使用。5、密钥期满、终止：密钥归档和销毁。,二、RSA密钥的传输 对称密钥的分发应考虑其机密性，可利用RSA加密算法进行分发和传输。三、公开密钥的分发 公开密钥的分发可不考虑机密性，但要注意其完整性，应采用数字证书形式进行分发。,2.6 验证技术,验证：是对通过网络进行资源访问的对象，进行的资格（身份、权限）的审查。常用的验证方法：1、基于口令的验证2、基于协议的验证3、基于个人令牌的验证4、基于生物特征的验证5、基于地址的验证6、数字时间戳验证,第三章 Internet 安全,一、

9、Internet 安全概述1、网络层安全 不同网络终端间的信息传输安全问题。存在的问题:数据篡改、非正确来源、数据不能传送到指定地址、数据泄漏解决的策略：认证和完整性、保密性、访问控制、协议保护,二、应用层安全 特定程序可能存在的安全问题，主要是运行在相互通信的终端进程中可能存在的安全问题。如间谍软件、木马程序等。三、系统安全 设备平台实体及工作环境的安全问题。,3.2 防火墙技术,1、防火墙的概念 利用硬件或软件技术实现网络间的可控制访问的系统。2、基本分类及原理包过滤防火墙：对传输的数据包进行检测的防范方式。应用网关防火墙：在应用层对数据进行过滤检测。,3.3、VPN 技术,通过公用网络实

10、现内部专用网络间的数据传输技术。（虚拟专用网络技术）,3.4 网络入侵检测,1、检测策略和方式2、主要方法,3.5 IP 协议安全（IPsec）,针对ip 协议存在的安全问题采取的相应措施。一、IP安全体系结构概念：基于加密技术的安全机制和标准，包括认证、完整性、访问控制、机密性等。功能：在IP层提供安全服务 选择需要的安全协议 决定使用的算法 保存加密使用的密钥,服务：通过提供安全协议选择、决定算法、提供密钥等方式实现以下服务：访问控制 无连接完整性 数据源的鉴别 拒绝重放的分组,1、认证头协议 提供数据源认证的服务2、分组加密协议 提供数据源加密服务3、安全关联 实现发、收双方的安全连接和

11、数据传输。,3.6 电子商务应用安全协议,一、涉及电子邮件的安全问题 发送者身份的认证 不可否认性 邮件的完整性 邮件的保密性二、解决方案1、增强的私密电子邮件 PEM 通过对邮件加密及建立基于非对称密钥机制的系统设施，实现电子邮件加密传输的一种方式。2、MIME、S/MIME 标准 信息格式信息加密标准数字签名标准数字证书格式,3、安全超文本传输协议（S_HTTP）利用密钥对加密的方式，针对商务网站的信息安全进行加密保障处理。4、安全套接层协议（SSL）ssl 服务器认证 用户身份确认 数据传输的机密性和完整性5、安全电子交易协议 以信用卡为基础的安全电子支付协议，保证商户和消费者的身份和行为的认证和不可否认性。,3.6.5 安全电子交易协议（set）一、概述 set 是以信用卡为基础的，应用于因特网环境的安全电子支付协议。1、SET协议使用数字证书和数字签名技术确保商户和 消费者的身份和行为的认证和不可抵赖。2、利用双重签名技术确保订购信息和支付信息的安全。,