电子商务系统的安全控制

《电子商务系统的安全控制》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第五章电子商务系统的安全控制要求和基本安全控制方法电子商务应用服务层的核心问题是交易的安全性，它涉及用户，数据，通信和交易过程本身。本章首先提出电子商务的安全基本要求然后介绍安全控制方法(加密技术的概念,原理以及实现的方式),相关的协议等，使大家对电子交易的安全体系有一个基本的认识。本章内容1.电子商务的安全控制要求2.安全控制方法3.支持安全交易的协议4.电子支付的类型中银电子钱包网上购物流程IBM电子商城软件支持的电子现金流图5.1电子商务的安全控制要求电子贸易操作的安全基本要求：信息的保密性交易者身份的认证（确认和鉴别）不可否认性（交易的确定

2、性）信息的完整性（信息的准确可靠,不可修改）它涉及到两个方面的问题：加密和鉴定5.2安全控制方法1.密码技术2.数字签名3.数字证书与认证机构1.密码技术采用密码技术对信息加密:加密:对信息进行编码,使它成为不可理解的内容即:密文解密:加密的逆过程,将密文还原为原来的信息明文(原有信息)密文明文加密:对信息进行编码解密:对信息解码HappyNewYear每个字母用前一字母代替,例G代替HGzooxMdvXdzq密文HappyNewYear明文明文每个字母用后一个字母代替换位是简单的编码方法加密方法基于密钥的加密方法有两个元素：算法与密钥加密算法是将

3、普通文本或信息与一串数字（密钥）相结合而产生密文的规则。是加密解密的一步一步过程密钥:这个规则需要一串数字,这个数字是密钥.例如,将字母a、b、c、d…….w、x、y、z的自然顺序保持不变,使之与E、F、G、H……..Z、A、B、C、D分别对应，即相差4个字母。这条规则就是加密算法，其中的4为密钥。若原信息为Howareyou，按照这个加密算法和密钥，加密后的密文是LSAEVICSY基于密钥的加密方法的优点加密技术的关键是密钥，加密算法设计困难，而且算法一般公开，基于密钥的变化解决了这一难题。采用一种算法与许多人实现保密通信。发送方基于一个算法，使

4、用不同的密钥向多个接收者发送密文。密文被破译，只需更换一个新的密钥，继续通信。密钥的位数决定加密系统的坚固性。密钥的位数越长，破译的时间越长，难度越大。例如，一个16位的密钥有2的16次方（65536）种不同的密钥。顺序猜测65536种密钥对于计算机是容易的。如果100位的密钥，计算机猜测密钥的时间需要好几个世纪。加密方法的类别对称密钥加密非对称密钥加密(公钥/私钥)消息摘要1)对称密钥加密接、收双方采用同一密钥加密和解密。缺点:密钥的保管复杂：通信方越多,冒用密钥的机率越高，可相互读取别人的信件，无保密性.无身份鉴别：无法验证消息的发送者和接收者

5、的身份明文密文明文密钥加密密钥解密2)非对称加密（公钥/私钥）非对称加密基于一对密钥,要求密钥成对使用密钥对的特征：加密和解密分别采用两个密钥实现，不能由一方推导出另一方。用一个密钥进行加密的信息只有采用另一个密钥才能解开。一对密钥中，一个称为私钥（私有密钥），一个称为公钥（公共密钥）。用公钥加密的信息只能用私有密钥解密，反之亦然。常用的公钥/私钥算法：RSA算法非对称加密过程原来的信息（明文）明文加密的信息（密文）密文Internet收件者的公钥收件者的私钥加密解密非对称加密的优点公开发布公钥：企业可以通过服务器等方式发布公钥，其不同的合作者可以

6、方便地获得公钥，采用公钥发送信息，企业只需保管好私钥，利用私钥接收信息。既减低密钥传递风险，又保证了信息的保密性。身份鉴别功能：识别私钥使用者的身份。如：使用用户A的公钥解开某条密文，可证明该密文只能是用户A发送（用户A使用私钥发送）。公钥/私钥的应用：保密：李明刘立李明的私钥刘立的私钥密文确保只有刘立能够解读该信息鉴别：刘立李明密文李明的公钥鉴别发件人：只有李明能够发送该信息刘立的公钥3)消息摘要此加密方法不采用密钥,采用一种安全散列(Hash函数)算法将明文“摘要”成一串固定长度的密文(亦称数字指纹)。明文Hash函数输入消息摘要输出SHA：1

7、60位MD5；128位消息摘要性质：如果改变输入消息（明文）中的任何内容，输出的摘要将发生变化。即：输入消息的每一位变动对输出摘要的每一位都有影响。同样的明文其消息摘要必定一致，不同的明文其消息摘要总是不同。目的：验证明文是否为原文。明文Hash函数消息摘要一一对应2数字签名证明发件人的身份和文件的有效性：1.身份的验证：信息是由签名者发送2.信息的完整性：信息自签发后到收到为止未作任何修改实现方法:非对称加密+信息摘要数字签名数字签名是实现认证的重要工具数字签名的产生首先进行明文处理：用Hash函数将明文（原来的信息）处理为信息摘要（数字串），用

8、你的私钥加密信息摘要得到了你的数字签名。发送：数字签名和明文一起发送到接收端确认数字签名使用你的公钥解密数字签名得到信息摘