5.1电子商务安全技术（课件）《电子商务基础与应用》（电子工业出版社）

电子商务运行 第五章 电子商务基础与应用 01 电子商务安全技术 口令安全与防范 （一）弱密码 （1）按一定顺序或重复的字符：“12345678”“111111”“abcdefg”“asdf”“qwer” （2）使用字符的外观类似字符替换，如使用数字“1”“0”替换英文字母“l”“O”，字符“@”替换字母“a”等。 （3）登录名的一部分：密码为登录名的一部分或完全与登录名相同。 （4）常用的单词：自己和熟人的名字及其缩写、常用的单词及其缩写、宠物的名字等。 （5）常用数字：自己或熟人的生日、证件编号等，及这些数字与名字、称号等字母的简单组合。 01 电子商务安全技术 （二）口令攻击的主要方法 （1）社会工程学。通过人际交往这一非技术手段欺骗、套取口令。避免此类攻击的对策是加强用户防范意识。 （2）猜测攻击。使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，如名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就完成了猜测攻击。 口令安全与防范 01 电子商务安全技术 口令安全与防范 （3）字典攻击。如果猜测攻击不成功，入侵者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据有关媒体报道，对于一个有着8万个英文单词的集合来说，入侵者不到一分半钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。 （4）穷举攻击。如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。 （5）混合攻击。结合了字典攻击和穷举攻击，先字典攻击，再穷举攻击。 01 电子商务安全技术 口令安全与防范 （6）直接破解系统口令文件。所有的攻击都不能够奏效时，入侵者会寻找目标主机的安全漏洞和薄弱环节，伺机偷走存放系统口令的文件，然后破译加密的口令，以便冒充合法用户访问主机。 （7）网络嗅探。通过嗅探器在局域网内嗅探明文传输的口令字符串。避免此类攻击的对策是网络传输采用加密传输的方式进行。 （8）键盘记录。在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件、木马等都可能会盗取你的口令。 （9）其他攻击方式，如中间人攻击、重放攻击、生日攻击等。 01 电子商务安全技术 （三）强密码 强密码通常长度足够长、排列随机，这样就需要花很多时间才能够破译出来。 一个10位长的随机密码，如“4pRte!ai@3”，由于常用键一共有95个，因此有9510种组合，是不可能在短时间内通过全部列举来破译的。 强密码应该包括14个字符或更长（至少8个字符或更长），是大小写字母、数字和符号的组合。 口令安全与防范 01 电子商务安全技术 口令安全与防范 （四）设置好记又难猜的密码 建议一：在一个低安全性的账号（如BBS）使用简单的密码，在高安全性的程序（如在线银行）使用强密码。 建议二：在建议一的基础上，分组复用密码。 建议三：可以记下密码，但一旦密码被写下来，用户不能将它放在一些明显的地方，如通讯录、抽屉等。（最糟糕可能也是最常见的情况是密码被写在一张便条纸上，放在计算机附近。比较安全的做法是放在保险箱里。） 01 电子商务安全技术 口令安全与防范 建议四：用统一规则记住多个不同的密码。 建议五：选择一个容易记忆的基础密码之后，键入时将手指在键盘上再向上移一格，如基础密码是“LNFX”，在稍做变化之后，就变成了“OHRS”。基础密码选取工作完成后，再根据不同的服务商名称来叠加不同信息。 建议六：使用密码生成器。 方法：使用百度搜索“密码生成器”即可。在生成后自动复制，方便你在登录框中粘贴。但要注意一点，使用密码生成器生成的密码，一定要记在某个地方。 01 电子商务安全技术 （五）信息安全的技术手段 新的操作系统或新的网络应用协议程序把用户账户和密码信息由以明文格式传输，改为以密文格式传输，并且在客户端和服务器上都以文件加密方式存储用户信息。 三次错误机制：通常情况下，连续输错密码3次后，用户账户会被锁定。 验证码机制：其作用是通过人为延迟登录时间，有效防止某非法用户用特定程序、暴力破解方式，进行不断的登录尝试。 口令安全与防范 01 电子商务安全技术 （六）密码与密码学 密码是一种用来混淆的技术，它希望将正常的（可识别的）信息转变为无法识别的信息。当然，对一小部分人来说，这种无法识别的信息是可以再加工并恢复的。 密码学已被应用于日常生活，包括自动柜员机的芯片卡、电脑使用者存取密码、电子商务等。安全问题是电子商务的瓶颈问题，本节所讲的口令安全问题本身也是相对较弱的安全解决方案。 口令安全与防范 01 电子商务安全技术 电子商务安全的要求 （一）电子商务存在的安全隐患 外部威胁：恶意代码，包括计算机病毒（比如蠕虫病毒、木马病毒、僵尸网络）等；不受欢迎的软件，包括广告软件、间谍软件、钓鱼软件等。 内部威胁：过度访问权的用户太多、访问敏感数据的设备数量过多，以及信息技术越来越复杂。 （二）电子商务系统可能遭受的攻击 （1）系统穿透：未经授权进入系统，对信息进行篡改、窃取、使用。 （2）违反授权原则：超越权限的应用。 01 电子商务安全技术 电子商务安全的要求 （3）植入：病毒（木马）。 （4）通信监视：以窃听方式获取数据。 （5）通信串扰：非法干预，破坏数据的完整性。 （6）中断：对可用性进行的攻击，通过破坏硬件等使系统不能正常工作。 （7）拒绝服务：使合法信息传输受阻的方式。 （8）否认：否认交易。 （9）病毒：破坏系统及数据。 01 电子商务安全技术 （三）计算机安全等级 1993年8月，美国国防部计算机安全局出版了《可信任的计算机安全评估标准》，因封面为橙色，称为“橙皮书”。橙皮书为计算机安全的不同级别制定了不同标准：D、C、B、A级。其中，C级又分为C1和C2两个子集，B级分为B1、B2和B3三个子集，D级一般标为D1级。 1．D1级是计算机安全的最低一级 整个计算机系统是不可信任的，硬件和操作系统很容易被侵袭。D1级计算机对用户没有验证，也就是任何人都可以使用该计算机系统而不会有任何障碍。 电子商务安全的要求 01 电子商务安全技术 电子商务安全的要求 2．C1级酌情安全保护 C1级为自主安全保护级，要求硬件有一定的安全级（如计算机带锁），用户必须通过登录认证方可使用系统，并建立了访问许可权限机制。 3．C2级访问控制保护 C2级为受控存取保护级。它比C1级增加了几个特性：引进了受控访问环境（用户权限级别），进一步限制了用户执行某些系统指令；授权分级使系统管理员给用户分组，授予他们访问某些程序的权限或访问分级目录，数据访问控制为目录级；采用系统审计，跟踪记录所有安全事件及系统管理员的工作。 01 电子商务安全技术 4．B1级带标签的安全性保护 B1级系统支持多级安全，多级是指这一安全保护安装在不同级别的系统中（网络、应用程序、工作站等），它对敏感信息提供更高级的保护。 5．B2级结构化的保护 B2级安全要求计算机系统中所有对象加标签，而且给设备（如工作站、终端和磁盘驱动器）分配安全级别。如用户可以访问一台工作站，但可能不允许访问装有人员工资资料的磁盘子系统。 电子商务安全的要求 01 电子商务安全技术 电子商务安全的要求 6．B3级安全域 B3级要求用户工作站或终端通过可信任途径连接网络系统，这一级必须采用硬件来保护安全系统的存储区。 7．A级是最高安全级别 这一级有时也称为验证设计。与前面提到各级级别一样，这一级包括了它下面各级的所有特性。A级还附加一个安全系统受监视的设计要求，合格的安全个体必须分析并通过这一设计。另外，必须采用严格的形式化方法来证明该系统的安全性。 01 电子商务安全技术 （四）电子商务的安全性要求 1．可靠性。可靠性是指计算机系统的可靠性，如防止由计算机失效、程序错误、传输错误、硬件故障、系统软件错误、计算机病毒及自然灾害等引起的计算机信息失效或失误，保证存储在介质上的信息的正确性。 2．真实性。真实性是指网上交易双方身份的真实性，双方通过数字签名、身份认证、数字证书等辨别交易者的身份。 电子商务安全的要求 01 电子商务安全技术 3．机密性。保证信息不会泄露给非授权的人或实体。一般通过密码技术对传输的信息进行加密处理来实现。 4．完整性。保证数据在输入、传输过程中的一致性，防止数据被非授权用户建立、修改和破坏。 5．有效性。要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确定价格、期限、数量及时间、地点时是有效的。 电子商务安全的要求 01 电子商务安全技术 电子商务安全的要求 6．不可否认性 不可否认性：在交易信息传输过程中，对参与交易的人、企业或国家身份进行标识，保证信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息，防止通信双方对已进行业务的否认。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴。在电子商务系统中一般通过数字签名、证书机构CA和证书来实现。 7．内部网络的严密性 确保企业内部网络的安全。 01 电子商务安全技术 电子商务安全技术体系 （一）加密技术 加密技术是利用技术手段把原始信息变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）信息。原始信息通常被称为明文，加密后的信息通常被称为密文。 加密技术涉及两个元素：算法和密钥。算法是将明文与一串字符（密钥）结合起来，进行加密运算后形成密文。密钥是在将明文转换为密文或将密文转换为明文的算法中输入的一串字符，可以是数字、字母、词汇或短语。 01 电子商务安全技术 1．古典加密方式 （1）替换加密法。 最初级、最简单、最广为人知的加密技术是恺撒加密法，恺撒加密法就属于替换加密法。加密方式是明文中的所有字母都在字母表上向后（或向前）按照一个固定数目进行偏移后被替换成密文。这种替换是设想有一个由两个同心圆所组成的密码转盘，通过旋转到不同的位置，完成对应替换。替换加密法的本质是可以旋转的转盘。 电子商务安全技术体系 01 电子商务安全技术 电子商务安全技术体系 （2）换位加密法。 换位加密法主要有铁轨法、路游法和密钥法等。限于篇幅，此处不做介绍。感兴趣的同学可自行上网搜索。 （3）一次性密码本。 一次性密码本是一个大的、不重复的随机密钥字母集，这个密钥字母集被写在几张纸上，并被粘成一个密码本。它最初用于电传打字机。发送者用密码本中的每一密钥字母准确地加密一个明文字符。加密是明文字符和一次性密码本密钥字符的模26加法。 01 电子商务安全技术 电子商务安全技术体系 2．对称密码体制 （1）美国数据加密标准。美国数据加密标准（Data Encryption Standard，DES）是20世纪70年代中期由美国IBM公司的一个密码算法发展而来的，1977年美国国家标准局公布数据加密标准密码算法作为美国除国防部以外的其他部门的计算机系统的数据加密标准。 （2）国际数据加密算法。国际数据加密算法（International Data Encryption Algorithm，IDEA）是由瑞士联邦理工学院来学嘉和James Massey在1990年提出的，是用来替代数据加密标准的许多算法中的一种，是一个对称分组密码算法。 01 电子商务安全技术 （3）高级加密标准。Rijndael加密算法是由比利时的两个学者Joan Daemen和Vincent Rijmen提出的，为21世纪的美国高级加密标准推荐算法。 3．非对称密码体制 非对称密码体制又称公开密钥密码体制，是用一对密钥（一个为用户私有，一个为公开）对信息进行加密、解密的密码体制。用户用公钥加密信息，只能用与其对应的私钥才能解开，即加密密钥公开，解密密钥不公开，从一个推导出另一个是不可行的。 电子商务安全技术体系 01 电子商务安全技术 4．散列函数与数字签名 （1）散列函数。 散列函数指将哈希表中元素的关键键值映射为元素存储位置的函数，也叫哈希函数、杂凑函数、数字指纹、压缩函数、消息摘要等。 （2）数字签名。 数字签名可用多种技术的组合来认证消息的完整性。为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。 电子商务安全技术体系 01 电子商务安全技术 电子商务安全技术体系 （3）安全协议。 ① 安全套接层（Secure Socket Layer，SSL）协议是指使用公钥和私钥技术相组合的安全网络通信协议，是网景公司推出的基于互联网应用的安全协议。 ② 安全电子交易（Secure Electronic Transaction，SET）协议是由万事达卡（Master Card）和维萨（Visa）联合网景、微软等公司，于1997年推出的。 （4）防火墙技术。 防火墙是一种将内部网和外部网（如互联网）相互隔离的技术。 01 电子商务安全技术 电子商务安全管理体系 （一）数字证书CA 1．CA。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是交易双方自己能完成的，而是需要具有权威性和公正性的第三方机构来完成的。CA就是承担网上安全电子交易认证服务、签发数字证书并确认用户身份的服务机构。 2．数字证书 。数字证书又称为数字凭证或数字标识，是由CA发行的、能在互联网上进行身份验证的电子文档。人们可以用它来表明自己在互联网中的身份或识别对方的身份。数字证书的格式遵循ITU-T X.509国际标准。 01 电子商务安全技术 （二）公钥基础设施 1．基本概念。公钥基础设施（Public Key Infrastructure，PKI）是一种遵循既定标准的、利用公钥密码技术为电子商务的开展提供一套安全基础平台的技术和规范，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。 2．应用现状与发展趋势。美国的PKI建设过程经历了1996年之前的无序、1996年至2002年间以FBCA为核心的体系搭建、2003年之后策略管理和体系建设并举的三个阶段。 电子商务安全管理体系 01 电子商务安全技术 电子商务安全管理体系 3．系统组成 （1）PKI安全策略。其建立和定义了一个组织信息安全方面的指导方针，同时也定义了密码系统使用的方法和原则。具体包括一个组织怎样处理密钥和有价值的信息，根据风险的级别定义安全控制的级别。 （2）软硬件系统。计算机的软件与硬件，是计算机网络的基本设备。 （3）CA。CA是PKI的信任基础，它管理公钥的整个生命周期，其作用包括发放证书、规定证书的有效期和通过发布证书废除列表确保必要时可以废除证书。 01 电子商务安全技术 电子商务安全管理体系 （4）RA。RA是用户和CA之间的一个接口，它获取并认证用户的身份，向CA提出证书请求。它主要具有收集用户信息和确认用户身份的功能。这里的用户，是指将要向CA申请数字证书的客户，可以是个人，也可以是集团或团体、某政府机构等。 （5）证书发布系统。证书发布系统负责证书的发放，如可以通过用户自己或通过目录服务器发放。目录服务器可以是一个组织中现存的，也可以是PKI方案中提供的。 （6）PKI应用。PKI的应用非常广泛，包括应用在Web服务器和浏览器之间的通信、电子邮件、EDI、在互联网上的信用卡交易和VPN等。 01 电子商务安全技术 感谢观看，再见！ 电子商务基础与应用 $$