7审视电子商务安全（教案）《电子商务基础与实务》（中国财富出版社）

审视电子商务安全 教学要求 学习目标： 了解电子商务安全的隐患及需求； 掌握防火墙技术和防病毒技术； 认知加密技术、认证技术和数字签名； 掌握SSL协议和SET协议的运行原理。 教学重点 电子商务加密技术的工作原理、电子商务认证技术的工作原理、SSL和SET的基本原理。 教学难点 加密技术的工作原理、SET处理流程。 课时安排 本章安排8课时，其中理论版块4课时，实训版块4课时。 教学大纲 模块一 电子商务的安全问题 一、电子商务的安全隐患 电子商务的安全不仅仅是狭义上的网络安全，如防病毒、防黑客、入侵检测等；从广义上讲，还包括信息的完整性以及交易双方身份的不可抵赖性。 电子商务中的安全隐患可分为五类：信息的篡改，信息的假冒，信息的截获和窃取，信息的中断，交易抵赖。 二、电子商务的安全需求 要求电子商务必须具备有效性、可靠性、机密性、完整性和交易者身份的真实性。 模块二 电子商务的安全技术 一、 防火墙技术 概念：防火墙是指两个网络之间执行访问控制策略（允许、拒绝和检测）的一系列部件的组合，包括计算机硬件和计算机软件。其目的是在安全的企业内部网和不安全的外部互联网之间构筑一道防护屏障，保护网络不受外部侵扰。 组成：过滤器、网关，有的还包括域名服务和电子邮件过滤处理模块等。 功能：作为网络安全的屏障，强化网络安全策略，对网络存取和访问进行监控与审计，防止内部信息外泄。 二、 防病毒技术 病毒来源：一种威胁来自文件下载，另一种威胁来自电子邮件。 病毒防治办法：备份、预防、检测、隔离、恢复。 三、 加密技术 基本概念：加密和解密、算法和密钥、 种类：对称密钥加密体制、非对称密钥加密体制 四、 认证技术 防止信息被篡改、删除、重放和伪造的有效解决方法是让发送的信息有被验证的可能，使信息接收者或第三者能识别和确认信息的真伪。能够实现这项功能的保密系统称为认证系统。 身份认证、信息认证、认证机构认证 五、 数字签名 数字签名的具体做法如下： （1） 将报文按双方约定的哈希算法计算，得到一个固定位数的报文摘要。在数学上保证只要改动报文中的任何一位数，重新计算出的报文摘要值会与原来的值不相符。这样就保证了报文的不可更改性。 （2） 将该报文摘要值用发送者的私有密钥加密，然后连同原报文一起发送给接收者，这样产生的报文就是数字签名。 （3） 接收者收到数字签名后，用同样的哈希算法计算报文摘要值，然后与用发送者的公开密钥进行解密得到的报文摘要值进行对比，如果相等，则说明报文的确是来自所称的发送者。 模块三 电子商务安全协议 一、 SSL协议 SSL协议包含两层协议，分别为SSL记录协议和SSL握手协议。 SSL协议的运行主要包括六个阶段：建立连接阶段、交换密码阶段、会谈密码阶段、检验阶段、客户认证阶段、结束阶段。 SSL协议提供三种基本的安全服务：加密处理、保证信息的完整性、提供较完善的认证服务。 二、 SET协议 SET协议能在电子交易环节提供更大的信任度、更完整的交易信息、更高的安全性和更少受欺诈的可能性。它支持B2C电子商务模式，即消费者持卡在网上购物与交易的模式。 SET协议的交易分为三个阶段：购买请求阶段、支付认定阶段、受款阶段。 作用：（1） 保证信息在Internet上安全传输，防止网上传输的数据被黑客和内部人员窃取。 （2） 保证电子商务参与者的信息相互隔离，使商家看不到消费者的账户和密码。 （3） 完成多方认证，不仅要进行消费者的信用卡认证，还要进行在线商家认证，以及消费者、商家和银行间的相互认证。 （4） 保证网上交易的实时性，确保实时在线进行支付。 （5） 规范协议和消息格式，促进各商家开发出具有兼容性和互操作性，且可运行在不同的硬件和操作系统平台上的软件。 运行：基于SET协议的处理流程可以分为以下九个步骤： （1） 消费者向商家发出购买初始化请求，包括消费者的信息和证书。 （2） 商家在接收到请求后验证消费者的身份，将商家和支付网关的有关信息与证书生成回复消息并发给消费者。 （3） 消费者在接收到消息后验证商家和支付网关的身份。然后，消费者利用自己的支付信息（包括账户信息）生成购买请求消息并发送给商家。 （4） 商家在接收到消息后，连同自己的信息生成授权请求消息，发给支付网关，请求支付网关授权该交易。 （5） 支付网关在接收到消息后取出支付信息，通过银行内部网络连接收单银行和发卡银行，对该交易进行授权。授权完成后，支付网关产生授权响应消息并发给商家。 （6） 商家在接收到消息后，定期向支付网关发出转账请求消息，请求进行转账。 （7） 支付网关在接收到消息后，通过银行内部网络连接收单银行和发卡银行，将资金从消费者账户转到商家账户，然后向商家发出消息。 （8） 商家接收到消息后，知道已经完成转账，然后发送消息给消费者。 （9） 消费者接收到消息，知道该交易已经完成。 优点：（1） SET协议为商家提供保护手段，使得商家免受欺诈的困扰。 （2） 对消费者而言，SET协议保证了商家的合法性，并且消费者的信用卡号不会被窃取，为消费者保护了更多的秘密，从而使消费者在线购物时更加轻松。 （3） 银行和发卡机构及各种信用卡组织推荐SET协议，因为SET协议帮助他们将业务扩展到Internet这个广阔的空间，从而减少信用卡网上支付的欺骗概率，这使得它比其他支付方式具有更大的竞争优势。 缺点：协议过于复杂，开发和使用都比较麻烦，使得运行速度较慢。 三、 SET协议与SSL协议的比较 SET协议是一个多方的消息报文协议，它定义了银行、商家、持卡人之间必需的报文规范；而SSL协议只是简单地在两方之间建立了一个安全连接。SSL协议是面向连接的，而SET协议允许各方之间的报文交换不是实时的。SET报文能够在银行内部网络或者其他网络上传输，而基于SSL协议之上的支付卡系统只能与Web浏览器捆绑在一起。 此外，SSL协议和SET协议在网络各层的位置与功能并不相同。SSL协议是基于传输层的通用安全协议，它只占电子商务体系中的一部分，可看作用于传输的那部分技术规范，并不具备电子商务的商务性、服务性、协调性和集成性。而SET协议位于应用层，对网络上其他各层也有涉及。SET协议规范了整个商务的活动流程，从信用卡持卡人，到商家，到支付网关，到认证中心及信用卡结算中心之间的信息流向，以及对必须参与的加密、认证都制定了严密的标准，最大限度地保证了电子商务的商务性、服务性、协调性和集成性。 项目实训 实训一 加密技术的应用之发送加密邮件 实训二 杀毒软件的使用 学科网（北京）股份有限公司 $$