3.3网络安全认知(课件)《电子商务实务》（大连理工出版社）

电子商务实务 新世纪高职高专教材编审委员会 组编 主 编 王冠宁 兰维旺 学习情境三 电子支付系统及网络安全 新世纪高职高专 学前教育专业系列规划教材 目 录 子学习情境一 电子支付认知 子学习情境二 网上银行 子学习情境三 第三方支付平台 子学习情境四 网络安全认知 子学习情境五 与电子支付相关的法律法规 子学习情境四 网络安全认知 任务一 了解电子商务网络安全 任务一 了解电子商务网络安全 电子商务需要在开放的网络中进行交易,各种敏感的信息,如支付信息、订货信息、谈判信息、机密的商务往来文件等需要在计算机系统中存放、传输和处理。 一、电子商务的安全威胁 1.信息泄露 2.信息篡改 3.身份识别 4.信息破坏 5.信息无效 6.个人隐私泄露 任务一 了解电子商务网络安全 二、电子商务的安全要素 1.信息的保密性 2.信息的统一和完整性 3.信息的有效性 4.信息的不可抵赖性 5.交易者身份的真实性 6.系统的可靠性 任务一 了解电子商务网络安全 三、电子商务的安全体系 1.数据信息、软件系统和通信网络安全 任务一 了解电子商务网络安全 三、电子商务的安全体系 2.硬件系统和物理实体安全 (1)对自然灾害的防范:防火、防水、防震,如建立备份中心。 (2)防范计算机设备被盗:使用规定件、添加防盗锁、设置警铃、购置柜机、非管理人员不得入内等。 (3)尽量减少对硬件的损害:采用不间断电源、消除静电、系统有效接地等。 任务一 了解电子商务网络安全 三、电子商务的安全体系 3.管理细则、保护措施、法律制度和道德规范 (1)管理制度的建立与实施。这包括运行与维护的管理规范、系统保密管理的规章制度、安全管理人员的教育与培训、制度的落实、职责的检查等方面的内容。 (2)法律制度与道德规范。国家要尽快制定出严密的法律、政策、规范制约人们的思想和行为,将信息系统纳入规范化、法制化和科学化的轨道。目前有关的法律与条例有《中华人民共和国计算机信息系统安全保护条例》《计算机信息系统保密管理暂行规定》《中华人民共和国电子签名法》等。 任务二 熟悉电子商务网络安全策略 任务二 熟悉电子商务网络安全策略 一、防火墙技术 (一)防火墙的概念 是一种计算机硬件和软件的结合,使Internet与内部网之间建立起一个安全网关(Security Gateway),从而保护内部网免受非法用户的入侵。 (二)防火墙的类型 1.包过滤型防火墙 2.代理服务器型防火墙 3.复合型防火墙 4.其他类型防火墙 任务二 熟悉电子商务网络安全策略 一、防火墙技术 (三)防火墙的功能 (1)未经授权的内部访问: 在Internet上未被授权的用户访问内部网的数据或使用其中的服务。 (2)危害证明: 一个外部用户通过非法手段(如复制、复用密码)来取得访问权限。 (3)未经授权的外部访问: 内部用户试图在Internet上取得未经授权的访问权限或服务(如公司内部雇员试图访问一些娱乐网站)。 (4)电子欺骗: 攻击者通过伪装的Internet用户进行远程登录,从事各种破坏活动。 (5)特洛伊木马: 通过在合法命令中隐藏非法指令来达到破坏目的(如在用E-mail发送链接时将指令转为打开一个文件)。 (6)渗透: 攻击者通过一个假装的主机隐蔽其攻击企图。 (7)泛洪: 攻击者试图用增加访问服务器次数的方法使其超载。 任务二 熟悉电子商务网络安全策略 一、防火墙技术 (四)防火墙的优点和缺点 优点: 网络安全的屏障; 方便监视网络,发现问题及时报警; 审计和记录Internet使用量的一个最佳地方; 可以强化网络安全策略。 缺点: 不能用于防范来自内部的攻击; 一般防火墙不提供对外部病毒的防范。 任务二 熟悉电子商务网络安全策略 二、病毒防范技术 (一)计算机病毒的概念 计算机病毒(Computer Virus)是当今计算机领域的一大顽症,借助于计算机网络它可以传播到计算机世界的每一个角落,并大肆破坏计算机数据,更改操作程序,摧毁计算机硬件,具有强大的传染性和破坏性。 (二)计算机病毒的类别 1.按表现性质可以分为良性病毒和恶性病毒。 2.按激活的时间可以分为定时病毒和随机病毒。 任务二 熟悉电子商务网络安全策略 二、病毒防范技术 (三)计算机病毒的特点 (1)破坏性 (2)隐蔽性 (3)潜伏性 (4)传染性 任务二 熟悉电子商务网络安全策略 二、病毒防范技术 (四)计算机病毒的防治 1.基于网络安全体系的病毒管理措施 (1)尽量多用无盘工作站。通过网卡上的远程复位,用户只能执行服务器允许执行的操作。 (2)尽量少用超级用户登录。 (3)严格控制用户的网络使用权限。 (4)对某些频繁使用或非常重要的文件属性加以控制,以免被病毒传染。 (5)对远程工作站的登录权限实行严格限制,将其发来的数据按指定目录存放,待检查后方可使用。 任务二 熟悉电子商务网络安全策略 二、病毒防范技术 (四)计算机病毒的防治 2.网络病毒的清除方法 (1)通知所有用户退出网络,关闭文件服务器。 (2)用有写保护的“干净”的系统盘启动系统管理员工作站,并立即清除本机病毒。 (3)用有写保护的“干净”的系统盘启动文件服务器,管理员登录后禁止其他用户登录。 (4)将文件服务器硬盘中的重要资料备份。 (5)用杀毒软件(最好是网络杀毒软件)扫描服务器上所有卷的文件,恢复或删除发现被病毒感染的文件,重新安装被删文件。 (6)用杀毒软件扫描所有可能染上病毒的软盘并清除备份文件中的病毒。 (7)用杀毒软件扫描并清除所有工作站硬盘上的病毒。 (8)在确信病毒已经彻底清除后,重新启动网络和工作站。 任务二 熟悉电子商务网络安全策略 三、数据加密技术 利用一定的加密算法,将明文转换(移位、代替和置换以及它们的组 合)成为无意义的密文在网络上进行传输,阻止非法用户理解原始数据,从而确保数据的保密性。 任务二 熟悉电子商务网络安全策略 三、数据加密技术 (一)对称密钥加密技术 (二)非对称密钥加密技术 (三)混合密码技术 任务二 熟悉电子商务网络安全策略 三、数据加密技术 (三)混合密码技术 任务二 熟悉电子商务网络安全策略 四、数字签名技术 (一)数字签名的原理 任务二 熟悉电子商务网络安全策略 四、数字签名技术 (二)数字签名的功能 1.身份认证 2.文件加密 3.验证文件完整性 4.生成数字信封 5.将对称密钥与非对称密钥结合 任务二 熟悉电子商务网络安全策略 四、数字签名技术 (三)数字时间戳技术 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (一)SET协议 SET(Secure Electronic Transaction)协议被称为安全电子交易协议 SET交易分3个阶段进行: 购买请求阶段; 支付的认定阶段; 收款阶段 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (一)SET协议 1 .SET协议的设计指导思想 在网络边界安全被攻破时, 即使传输的数据被截取, 也无法识别和篡改 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (一)SET协议 2 .SET协议的优点 (1) 为商家提供保护手段, 使商家免受欺诈,运营成本降低。 (2) 保证了商家的合法性, 并且用户的信用卡号不会被窃取。 (3) 信用卡网上支付具有更低的欺骗概率,比其他支付方式具有更大的竞争力。 (4) 对于参与交易的各方定义了互操作接口, 一个系统可以由不同厂商的产品构筑。 (5) 可以用在系统的一部分或者全部 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (二)SSL协议 SSL(Secure Socket Layer,安 全 套 接 层 )协议主要适用于点对点之间的信息传输，通过在浏览器软件(如Internet Explorer、Netscape)和 WWW 服务器之间建立一条安全通道,从而实现在Internet中传输保密文件 。 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (二)SSL协议 SSL的基本结构 在 TCP/IP协议簇中,SSL位于 TCP层之上,应用层之下。 独立于应用层, 从而使应用层协议可以直接建立在 SSL 上。 SSL 协议包括两个子协议:SSL 记录协议和 SSL握手协议。 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (二)SSL协议 2. 认证服务器的身份 (1)从服务器传送的证书中获得相关信息 。 (2)确定当天的时间是否在证书的合法期限内。 (3)确定签发证书的机关是否是客户端信任的。 (4)确定签发证书的公钥是否符合签发者的数字签名。 (5)确定证书中的服务器域名是否是服务器自己真正的域名。 任务二 熟悉电子商务网络安全策略 五、安全认证协议 (二)SSL协议 3. 认证客户端的身份 (1)从客户端传送 的证书中获得相关信息。 (2)确定用户的公钥是否符合用户的数字签名。 (3)确定当天的时间是否在证书的合法期限内。 (4)确定签发证书的机关是否是服务器信任的。 (5)确定用户的证书是否被列在服务器的 LDAP用户信息中。 (6)确定得到认证的用户是否仍然有权限访问请求的服务器资源。 任务二 熟悉电子商务网络安全策略 六、认证机构和数字证书 (一)认证及认证机构 认证是权威的、中立的、与当事人没有直接利害关系的第三人或机构,对当事人提出的包括文件、身份、物品及其产地、品质等具有法律意义的事实与资格,经审查属实后做出的证明。 认证机构(CA)是指一个由可信赖的第三方建立,并能够独立地、权威地和公正地为参 与电子商务的用户提供认证服务的公益性企业。 任务二 熟悉电子商务网络安全策略 六、认证机构和数字证书 (二)数字证书 又称为数字凭证、数字标识,是一个经证书认证机构数字签名的包含用户身份 信息以及公开密钥信息的电子文件,用电子手段来证实一个用户的身份和对网络资源访问 的权限,是各实体(消费者、商户/企业、银行等)在网上进行信息交流及商务活动的电子身份证。 任务二 熟悉电子商务网络安全策略 六、认证机构和数字证书 (二)数字证书 数字证书有以下3种类型: (1)个人数字证书 (2)企业(服务器)数字证书 (3)软件(开发者)数字证书 任务三 识别与防范电子商务交易风险 任务三 识别与防范电子商务交易风险 一、电子商务交易风险的种类 1.产品识别风险 2.质量控制风险 3.网上支付风险 4.物权转移风险 5.信息传送风险 任务三 识别与防范电子商务交易风险 二、电子商务交易风险的识别和防范 最为关键的防范措施是准确识别交易风险,特别是交易对方的身份识别。 主要防范方法有注意账户密码安全、防止陷入交易陷阱、采用第三方支付等。 子学习情境五 与电子支付相关的法律法规 任务一 了解电子支付相关法律法规产生的必然性 任务一 了解电子支付相关法律法规产生的必然性 支付是为了清偿债务关系而将资金从付款人账户转移到收款人账户的过程,支付工具和支付系统的演变和发展是与人类文明的演变过程相一致的。 任务二 分析电子货币发行与使用方面的法律问题 任务二 分析电子货币发行与使用方面的法律问题 一、安全问题 二、隐私问题 三、拥塞问题 四、监控中的法律问题 1.电子货币产品影响货币政策 2.电子货币的非法使用 3.因地域性“消失”而产生的问题 任务三 分析电子支付各方的法律关系 任务三 分析电子支付各方的法律关系 1. 电子商务交易中买卖双方的权利和义务 2. 对买卖双方不履行合同义务的救济 3. 网络交易中心的法律地位 4. 网络交易客户与虚拟银行间的法律关系 5. 认证机构在电子商务中的法律地位 电子商务实务 学习情境三 电子支付系统及网络安全 新世纪高职高专 学前教育专业系列规划教材 Thank You! $$