9第九章-電子商務(wù)安全0

1、第九章 電子商務(wù)安全,主要內(nèi)容,電子商務(wù)過程中主要安全問題社會工程學攻擊分布式拒絕服務(wù)攻擊（DDOS）釣魚網(wǎng)站惡意代碼（malware）入侵監(jiān)測技術(shù)防火墻技術(shù)認證技術(shù),引導案例,146頁 釣魚網(wǎng)站,第一節(jié) 電子商務(wù)安全概述,一、電子商務(wù)安全的定義,一、電子商務(wù)安全的定義,A 廠商向B用戶發(fā)了一個電子同，大意是：同意以低于市場價格10%的價格向B用戶提供10噸的產(chǎn)品，并同意在貨款付清一半時于兩天內(nèi)交貨。B用戶也以電子合

2、同的方式同意了這次交易 你認為這個電子合同應做到哪些才能保證安全可靠的進行？,二、信息安全的基本特征,A 廠商向B用戶發(fā)了一個電子同，大意是：同意以低于市場價格10%價格向B用戶提供10噸的產(chǎn)品，并同意在貨款付清一半時于兩天內(nèi)交貨 B用戶也以電子合同的方式同意了這次交易,二、信息安全的基本特征,內(nèi)容不被他人竊取,內(nèi)容不丟失、不缺損、不被篡改,時間、地點有效,內(nèi)容不能否認,身份可認證,機密 性,完整性,不可抵

3、 賴性,有效 性,認證性,認證性,機密 性,有效 性,完整性,不可抵 賴性,二、信息安全的基本特征,三、電子商務(wù)的安全管理策略,(一)物理安全策略,(一)物理安全策略,(一)物理安全策略,(二)網(wǎng)絡(luò)安全策略,1．技術(shù)策略,2．管理策略,(三)災難恢復策略,第二節(jié) 電子商務(wù)的主要安全威脅,電子商務(wù)面臨的安全攻擊可以分為兩種類型,一、社會工程學攻擊,幾種社會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,幾種社

4、會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,幾種社會工程學攻擊伎倆,1．社會工程學原理和特點,1．社會工程學原理和特點,社會工程學攻擊步驟,2．社會工程學攻擊防御策略,二、技術(shù)型攻擊,(一)分布式拒絕服務(wù)攻擊（ddos）,(一)分布式拒絕服務(wù)攻擊（ddos）,知識拓展,151頁 百帽子黑客,分布式拒絕服務(wù)攻擊表現(xiàn)形式,(一)分布式拒絕服務(wù)攻擊（ddos）,(二）惡意代碼（malware）,

5、近年惡意代碼趨勢,2015年惡意代碼趨勢,1、計算機病毒（Virus）,1、計算機病毒（Virus）,2、蠕蟲（Worm）,2、蠕蟲（Worm）,3、木馬程序（Trojan horse）,木馬程序運行方法,3、木馬程序（Trojan horse）,閱讀案例,152頁 大學生利用“木馬程序”盜竊,黑色產(chǎn)業(yè)鏈,十大病毒集團,十大病毒集團,第二大病毒集團HYC案,（三）釣魚網(wǎng)站,釣魚網(wǎng)站實例,近期QQ安全中心收到大量用戶舉報：很多壞人利用

6、CNTV、和訊網(wǎng)、鳳凰網(wǎng)等知名網(wǎng)站生成“跳轉(zhuǎn)短連接”以逃過安全提示，然后利用美女誘惑、租房交友、博取同情等各種手段引誘用戶點擊鏈接跳轉(zhuǎn)到“釣魚網(wǎng)站”上，再盜取用戶的QQ，冒充好友進行詐騙,釣魚網(wǎng)站實例,壞人生成跳轉(zhuǎn)鏈接是想借用知名網(wǎng)站逃過安全檢測提示，但其實這些鏈接跳轉(zhuǎn)的結(jié)果與知名網(wǎng)站并無關(guān)系，為降低用戶被釣魚的風險，QQ安全中心中將不會對此類網(wǎng)站的跳轉(zhuǎn)地址提示安全可信。目前QQ安全中心對網(wǎng)址安全性提示有以下三種： 安全網(wǎng)址&

7、#160;   已經(jīng)安全檢測，可以放心訪問。 可疑網(wǎng)址    可能存在安全風險，請謹慎訪問，勿輕易輸入帳號密碼。 危險網(wǎng)址    已被大量用戶舉報，建議不要訪問。,釣魚網(wǎng)站,第三節(jié) 訪問控制、加密和公鑰基礎(chǔ)設(shè)施,如何保證網(wǎng)絡(luò)資源和信息安全？,訪問控制,如何進行訪問控制？,身份認證,如何進行身份認證？,建立識別系

8、統(tǒng),一、訪問控制與身份認證,識別 系統(tǒng)具體技術(shù),指紋識別,讀取指紋圖象提取特征保存數(shù)據(jù)比對,任何兩個人有相同指紋模版的可能性只有十億分之一,虹膜掃描,任何兩個具有相同虹膜模版的概率比具有相同指紋模版的概率還要低,語音掃描,不同的兩個人發(fā)出的聲音在生理特征方面的不同點會產(chǎn)生不同的聲音模式。,按鍵監(jiān)控,A 廠商向B用戶發(fā)了一個電子同，大意是：同意以低于市場價格10%價格向B用戶提供10噸的產(chǎn)品，并同意在貨款付清一半時于兩天內(nèi)交貨

9、 B用戶也以電子合同的方式同意了這次交易,內(nèi)容不被他人竊取,內(nèi)容不丟失、不缺損、不被篡改,時間、地點有效,內(nèi)容不能否認,身份可認證,機密 性,完整性,不可抵 賴性,有效 性,認證性,機密性,完整性,有效 性,不可抵 賴性,認證性,加密技術(shù)基本概念,12345,Y=x+1,23456,明文,密鑰,加密函數(shù),密文,發(fā)信方,23456,密文,Y=x-1,解密算法,12345,明文,,,解密函數(shù),密鑰,,,加密算法,

10、接收方,加密技術(shù)基本概念,,,,,加密技術(shù)基本概念,加密技術(shù)基本概念,(一)對稱加密技術(shù),,(一)對稱加密技術(shù),(一)對稱加密技術(shù),(一)對稱加密技術(shù),(一)對稱加密技術(shù),（二）非對稱加密技術(shù),（二）非對稱加密技術(shù),（二）非對稱加密技術(shù),（二）非對稱加密技術(shù),（二）非對稱加密技術(shù),（二）非對稱加密技術(shù),(三）數(shù)字信封技術(shù),(三）數(shù)字信封技術(shù),(三）數(shù)字信封技術(shù),認證性,機密 性,有效 性,完整性,不可抵 賴性,（四）數(shù)字摘要

11、技術(shù),（四）數(shù)字摘要技術(shù),（四）數(shù)字摘要技術(shù),更改原文,認證性,機密 性,有效 性,完整性,不可抵 賴性,原文,發(fā)送方,發(fā)送方的私鑰加密,密文,接收方用公鑰解密,原文,(五)數(shù)字簽名技術(shù),數(shù)字簽名與非對稱加密過程的比較,原文,發(fā)送方,發(fā)送方的私鑰加密,密文,接收方用公鑰解密,原文,數(shù)字簽名,非對稱加密,(五)數(shù)字簽名技術(shù),原文,發(fā)送方,發(fā)送方的私鑰加密,密文,接收方用公鑰解密,原文,(五)數(shù)字簽名技術(shù),（六）數(shù)字摘要與數(shù)字簽

12、名結(jié)合的技術(shù),數(shù)字簽名,數(shù)字摘要,數(shù)字摘要,（六）數(shù)字摘要與數(shù)字簽名結(jié)合的技術(shù),（六）數(shù)字摘要與數(shù)字簽名結(jié)合的技術(shù),小結(jié),機密性,完整性,有效 性,不可抵 賴性,認證性,（七）數(shù)字證書和認證中心,（七）數(shù)字證書和認證中心,認證過程,數(shù)字證書和認證中心,機密性,完整性,有效 性,不可抵 賴性,認證性,(八)數(shù)字時間戳技術(shù),(八)數(shù)字時間戳技術(shù),(八)數(shù)字時間戳技術(shù),機密性,完整性,有效 性,不可抵 賴性

13、,認證性,(九）安全套接層協(xié)議（SSL),(九）安全套接層協(xié)議（SSL),STEP 1: B——〉S（發(fā)起對話，協(xié)商傳送加密算法）    你好,S！我想和你進行安全對話，我的對稱加密算法有DES,RC5，我的密鑰交換算法有RSA和DH，摘要算法有MD5和SHA。STEP2: S——〉B（發(fā)送服務(wù)器數(shù)字證書）    你好,B！那我們就使用DES－RSA－SHA這對組合進行通

14、訊，為了證明我確實是S，現(xiàn)在發(fā)送我的數(shù)字證書給你，你可以驗證我的身份。STEP 3: B——〉S（傳送本次對話的密鑰）    （檢查S的數(shù)字證書是否正確，通過CA機構(gòu)頒發(fā)的證書驗證了S證書的真實有效性后。生成了利用S的公鑰加密的本次對話的密鑰發(fā)送給S）    S, 我已經(jīng)確認了你的身份，現(xiàn)在將我們本次通訊中使用的對稱加密算法的密鑰發(fā)送給你。STEP4: S——〉B（獲取

15、密鑰）    （S用自己的私鑰解密獲取本次通訊的密鑰）。    B, 我已經(jīng)獲取了密鑰。我們可以開始通信了。STEP5: SB（進行通訊）,(九）安全套接層協(xié)議（SSL),(九）安全套接層協(xié)議（SSL),機密性,完整性,有效 性,不可抵 賴性,認證性,（十）公鑰基礎(chǔ)設(shè)施（PKI),（十）公鑰基礎(chǔ)設(shè)施（PKI),三、公鑰基礎(chǔ)設(shè)施（PKI),PKI的基本組成,PK

16、I的基本組成,PKI的優(yōu)勢,PKI的優(yōu)勢,PKI的優(yōu)勢,第四節(jié) 電子商務(wù)網(wǎng)絡(luò)安全,一、防火墻技術(shù)（Firewall）,,,個人防火墻,防火墻的構(gòu)成,防火墻系統(tǒng)可以保護計算機免受以下幾類攻擊,防火墻的作用,二、虛擬專用網(wǎng)（VPN),虛擬專用網(wǎng)特點,三、入侵檢測技術(shù),入侵檢測技術(shù),思科（Cisco）的NetRanger是一種企業(yè)級規(guī)模的實時入侵檢測系統(tǒng)，用于檢測、報告和終止整個網(wǎng)絡(luò)中未經(jīng)授權(quán)的活動。,1．入侵檢測系統(tǒng)的功能,2、入侵檢測系