9.1电子商务安全（课件）《电子商务基础与实务》（电子工业出版社）

项目九 电子商务安全 电子商务基础与实务 主讲：XXX 1 初识电子商务安全 01. 电子商务安全技术 02. 电子商务安全管理 03. Content 目 录 2 任务一 电子商务面临的安全威胁/电子商务的安全性要求　 初识电子商务安全 3 任务描述 电子商务简单而言就是利用互联网进行的交易活动，是“电子+商务”的有机结合，从电子商务的定义可知电子商务的安全相应的也包括两个方面的安全：一是“电子”方面的安全，即计算机网络的安全。它包括计算机网络硬件的安全与计算机网络软件的安全，计算机网络存在着很多安全威胁，也就给电子商务带来了安全威胁；二是“商务”方面的安全，即商务交易安全。这两个方面的安全威胁都给电子商务带来了很多安全问题。 学习目标 1. 了解电子商务面临的安全威胁 2. 明确电子商务对安全性的要求 任务一 初识电子商务安全 4 任务分配 本任务分组任务，全班共分三组，每组由一位组长和若干组员构成，组员在组长的带领下，根据【任务准备】板块的若干引导问题进行任务分工，学习电子商务面临的安全威胁及安全性要求。 任务准备 引导问题1：通过网络查阅相关资料，对2017年5月12日晚上全球爆发的大规模勒索软件永恒之蓝病毒感染事件进行了解，并说明其特征及给社会、企业等带来的损失。 引导问题2：通过网络查阅相关资料，了解2010年百度域名被劫持事件，并说明其过程。 引导问题2：通过网络查阅2006年“熊猫烧香”病毒的相关资料，并说明其特征。 任务一 初识电子商务安全 5 一、电子商务面临的安全威胁 6 一、电子商务面临的安全威胁 信息泄露 A F B D E C 篡改 身份识别 泄露个人隐私 破坏信息的有效性 信息破坏 电子商务的安全问题 7 二、电子商务的安全性要求 机密性 完整性 不可否认性 可鉴别性 可靠性 电子商务的安全要求 8 拓展练习40% 教师评价30% 生生互评20% 学生自评10% Wi-Fi是移动互联网最大入口，免费公共Wi-Fi呈普及化现象，但随之而来的安全风险也必须引起足够的重视。查阅资料了解防范钓鱼Wi-Fi陷阱的措施。 拓展练习 任务一 初识电子商务安全 9 任务二 加密技术/认证技术/安全协议 电子商务安全技术 10 任务描述 电子商务安全技术在电子商务系统中的作用非常重要，它守护着商家和客户的重要秘密，维护着电子商务系统的信誉和财产，同时为服务对象和被服务对象提供了极大的便利。只有采取了必要和恰当的技术手段，才能充分增强电子商务系统的可鉴别性和可靠性。通过对电子商务安全技术的学习，熟悉对称加密体制和非对称加密体制的优点、缺点及应用，掌握数字签名的工作原理，了解SSL和SET安全协议标准，能运用防火墙技术对内部网进行安全隔离。 学习目标 1. 了解SSL和SET安全协议标准 2.熟悉对称加密体制和非对称加密体制的优点、缺点及应用 3.掌握数字签名的工作原理 4.能运用防火墙技术对内部网进行安全隔离设置 任务二 电子商务安全技术 11 任务分配 本任务分组任务，全班共分三组，每组由一位组长和若干组员构成，组员在组长的带领下，根据【任务准备】板块的若干引导问题进行任务分工，查阅资料了解对称加密技术、非对称加密技术和数字签名技术的优缺点和应用情况，达到学习电子商务安全技术知识的目的。 任务准备 引导问题1：提前查阅相关资料，了解对称加密技术的优缺点，并举例说明其适用的情况。 引导问题2：提前查阅相关资料，了解非对称加密技术的优缺点，并举例说明其适用的情况。 引导问题3：提前查阅相关资料，了解数字签名是对称加密技术和非对称加密技术的有机结合，并说明其工作原理。 任务二 电子商务安全技术 12 一、加密技术 加密技术是利用技术手段把原始信息变为乱码(加密)传送、到达目的地后再用相同或不同的手段还原(解密)信息。 原始信息通常被称为“明文”、加密后的信息通常被称为“密文” 加密技术涉及两个元素：算法和密钥。 一、加密技术 1. 对称加密体制 对称加密体制是指发送方和接收方使用同样密钥的加密体制，即文件加密和解密使用相同的密钥。这种加密体制要求发送者和接收者在安全通信之前商定一个密钥。由于对称加密体制的安全性依赖于密钥，因此，只要通信过程中采用了对称加密，密钥就必须保密。 一、加密技术 1. 非对称加密体制 非对称加密体制使用的是密钥对，即加密密钥和解密密钥不同。公钥（public key）是公开的，可以像电话簿一样，存储于文件中，文件保存在密钥中心；私钥（private key）由用户自己保存，只有自己才能知道。通常用公钥加密，私钥解密来保证信息的机密性；用私钥加密，公钥解密来保证身份认证。 一、加密技术 3. 对称加密体制与非对称加密体制的比较 二、认证技术 1.身份认证 身份认证也叫用户认证，主要用于鉴别用户的身份的合法性；身份认证的基本思想是通过验证被认证对象的属性来来确保被认证对象的真实性。 用户所知道的 A C B 用户所拥有的 用户所具有的特征 实现身份认证的物理基础： 二、认证技术 2.消息认证 消息认证是指验证消息的完整性，当接收方收到发送方的报文时，接收方能够验证收到的报文是真实的和未被篡改的。消息认证常用的方法就是消息摘要，即发送方在发送的消息中附加一个鉴别码，并经加密后发送给接收方。接收方利用约定的算法对解密后的消息进行鉴别运算，将得到的鉴别码与收到的鉴别码进行比较，若两者相等，则接收，否则拒绝接收。 二、认证技术 3.数字签名 数字签名能够确认两点： 其一，信息是由签名者发送的； 其二，信息自签发后到收到为止未曾被做过任何修改。 二、认证技术 3.数字签名 数字签名的工作原理 二、认证技术 4.数字时间戳 数字时间戳服务（Digital Time-Stamp Service，DTS）由专门的机构提供。能提供电子文件发表时间的安全保护。数字时间戳是一个经加密后形成的凭证文档，它包括三个部分： （1）需加时间戳的文件的摘要； （2）DTS收到文件的日期和时间； （3）DTS的数字签名。 三、安全协议 (1) 安全套接层(Secure Socket Layer，SSL) 协议是指使用公钥和私钥技术相组合的安全网络通信协议，是网景公司(Netscape) 推出的基于互联网应用的安全协议。安全套接层协议指定了一种在应用层协议(如HTTP、Telnet和FTP等) 和TCP/IP之间提供数据安全性分层的机制。 (2) 安全电子交易(Secure Electronic Transaction，SET) 协议是由万事达卡(MasterCard)和维萨(Visa) 联合网景、微软等公司，于1997年6月1日推出的。该协议理论上假设开放的网络是不可信的，主要是为了实现更加完善的即时电子支付。安全电子交易协议是B2C基于信用卡支付模式设计的，它在保留对客户信用卡认证的前提下，增加了对商家身份的认证，凸显了客户、商家、银行之间通过信用卡交易的数据完整性和不可否认性等优点。 四、防火墙技术 防火墙是一种将内部网和外部网（如互联网）相互隔离的技术。防火墙的主要作用有以下几项：通过过滤不安全的服务降低风险，强化网络安全；对网络存取和访问进行监控；防止内部信息外泄，防止外部用户非法访问或占用内部资源。另外，防火墙还支持具有互联网服务特性的企业内部网络技术体系虚拟专用网(Virtual Private Network，VPN) 。 拓展练习40% 教师评价30% 生生互评20% 学生自评10% 并根据所学内容，并查阅相关资料，回答指纹锁运用了什么样的身份认证技术？指纹锁在使用过程中一般会出现什么问题，请举例。 拓展练习 任务二 电子商务安全技术 24 任务三 组织机构管理/法律制度管理/日常安全防范管理 电子商务安全管理 25 任务描述 电子商务的安全问题是电子商务发展的关键所在。除了技术，还需要从管理和法律等方面进行综合考虑。除了组织、法律制度电子商务保驾护航，作为用户个人也要有日常安全防范意识，学会计算机端和移动端的日常安全措施。 学习目标 1.熟悉电子商务安全方面不断完善的管理制度与法律法规 2.掌握认证中心的职能 3.具备Office文件加密的能力，学会计算机端和移动端的日常安全措施 任务三 电子商务安全管理 26 任务分配 本任务分组任务，由每一位学生独立完成，根据【任务准备】板块的若干引导问题，总结分析手机端日常防范面临的问题，并寻求合理化建议，并将合理化建议形成文字文档。从而达到学习电子商务安全管理知识的目的。 任务准备 引导问题1：你认为你的手机安全吗？请举例。 引导问题2：你认为你手机的安全防范意识充分吗？请举例。 引导问题3：如果你的手机出现了安全问题，你一般会采取什么措施或向谁寻求帮助。请举例。 引导问题4：你对《电子商务法》熟悉吗？ 任务三 电子商务安全管理 27 一、组织机构管理 1. 数字认证中心的功能和作用： 数字认证中心的功能和作用 数字证书的颁发 数字证书的更新 数字证书的查询 数字证书的作废 数字证书的归档 28 一、组织机构管理 2. 数字证书的定义与工作原理 数字证书是指在互联网通讯中标志通讯各方身份信息的一个数字认证，人们可以在网上用它来识别对方的身份。数字证书又称为数字标识。数字证书的内容如下： 证书拥有者的姓名 证书的版本信息 证书的序列号 证书的有效期限 证书发行机构的名称 证书所使用的签名算法 证书所有人的公钥 证书发行者对证书的签名 29 一、组织机构管理 2. 数字证书的定义与工作原理 数字证书的基本工作原理主要体现： 发送方在发送信息前，需先与接收方联系，同时利用公钥加密信息，信息在进行传输的过程当中一直是处于密文状态，包括接收方接收后也是加密的，确保了信息传输的单一性，若信息被窃取或截取，也必须利用接收方的私钥才可解读数据，而无法更改数据，这也有利保障信息的完整性和安全性。 数字证书的数据签名类似于加密过程，数据在实施加密后，只有接收方才可打开或更改数据信息，并加上自己的签名后再传输至发送方，而接收方的私钥具唯一性和私密性，这也保证了签名的真实性和可靠性，进而保障信息的安全性。 30 二、法律制度管理 确立电子签名的法律效力。《中华人民共和国电子签名法》自2005年4月1日起施行。 规范电子认证服务行为。《电子认证服务管理办法》自2005年4月1日起施行。 加强电子银行业务的风险管理。《电子银行业务管理办法》自2006年3月1日起施行。 规范网络商品交易及有关服务行为。《网络商品交易及有关服务行为管理暂行办法》自2010年7月1日起施行。 规范非金融机构支付服务行为，防范支付风险。《非金融机构支付服务管理办法》自2010年9月1日起施行。 保障网络安全。《中华人民共和国网络安全法》自2017年6月1日起施行。 电子商务综合性法律。《中华人民共和国电子商务法》自2019年1月1日起施行。 31 三、日常安全防范管理 计算机端的安全防范 加强个人计算机安全防护 创建没有权限的管理员用户 禁止磁盘自动运行 加强防范意识 备份与加密 32 三、日常安全防范管理 移动端安全防范管理 不要对手机刷机 公共场合避免随意连接免费无密码W-Fi 谨慎下载安装手机软件 不要随便打开短信中的链接或扫描二维码 33 拓展练习40% 教师评价30% 生生互评20% 学生自评10% 通过互联网查询2018-2021年期间国内外发生的关于个人隐私泄露或电子商务的相关重大事件，结合2019年1月1日实施的《电子商务法》，分析其产生的原因和造成的危害以及相应的处罚等。 拓展练习 任务三 电子商务安全管理 34 感谢聆听 项目九 电子商务安全 主讲：XXX 35 $$