电子商务安全技术 PPT.ppt

1、1,项目五 电子商务安全技术,2,项目五 电子商务安全技术,任务5.1 电子商务安全要求任务5.2 数据加密技术任务5.3 认证技术任务5.4 数字签名,3,任务5.1 电子商务安全要求,知识目标理解计算机安全与网络安全对电子商务的重要性掌握电子商务对信息安全的要求能力目标 能够为计算机和网络采取基本的安全防范措施能够对电子商务交易过程中存在的风险进行鉴别,4,任务5.1 电子商务安全要求,任务引入 前不久，家住成都的张女士收到远在俄罗斯的儿子发来的QQ信息，要求她转账5.8万元给同学。张女士转账之后才得知儿子的QQ号被盗，钱已被骗走。好在案件及时告破，骗子被依法逮捕。而此时，骗子已通过QQ盗

2、号诈骗的方式在半年内获利数十万元。张女士的案例并非个例，在百度搜索“留学生QQ被盗诈骗”，可以搜到多达278万条结果，海外留学生已经成为QQ盗号的重灾区。 作为我国普及程度最高的即时聊天工具，QQ的活跃账户数已经超过七亿，最高同时在线账户数达到1.454亿，这上亿的QQ号码形成一笔庞大的虚拟财产。过去QQ盗号以偷Q币、偷装备为主，如今借助Q,5,任务5.1 电子商务安全要求,任务引入 Q进行诈骗已成为盗窃QQ号的主要目的，案件频发，涉案金额很大。木马是QQ盗号最主要的手段。一些网站通过弹窗引诱用户点击，只要用户一点，电脑就会在不知不觉中感染木马。木马植入QQ用户的电脑后，在QQ打开时会激活。它

3、并不能直接截获用户的账号、密码，但是可以截获用户按键盘的过程，并发送给黑客。“钓鱼网站”也是盗取密码常用的形式,“克隆”QQ空间是近来新出现的伪装形式，一些网站看起来跟QQ空间一模一样，引诱用户输入账号和密码，进而将其窃取，360浏览器就曾大量截获这种假QQ空间。 （资料来源：第一财经日报）,6,任务5.1 电子商务安全要求,任务分析 这几年网络发展迅速，媒体不断的报道关于网络安全威胁方面的让人惊讶的事件。主要是计算机病毒，黑客的威胁，电子商务网站以及涉及到个人信息类的网站最容易被攻击。上述案例中的QQ盗号不仅侵犯了用户的隐私权，且极易导致诈骗。在一例例QQ盗号孤立事件的背后，隐藏由木马制作到

4、诈骗钱财的庞大黑色产业链。 从2011年CSDN泄露事件，到电商网站频现账户信息被盗，并且2012年315晚会又曝光了银行人员有偿出售客户信息，一系列的事件敲响了信息安全的警钟。据行业协会人士透露，我国目前信息安全投入仅占整个IT行业投资的1左右，远远低于欧美国家812的水平。,7,任务5.1 电子商务安全要求,任务分析 需要特别指出的是，黑客攻击、病毒的入侵、网络钓鱼虽然现阶段无法根除，但是建立起可靠的“技术屏障”（如防火墙和杀毒软件等）可以大大降低黑客的攻击及病毒入侵的风险，同时在电子商务交易过程中保持良好的习惯和必要的安全防范意识可以帮助我们远离网络交易陷阱，保证自己的财物尽量不受损失。

5、,8,任务5.1 电子商务安全要求,相关知识一、计算机的安全性 安全专家通常把计算机安全分成三类：保密、完整和即需。保密是指防止未经授权的数据暴露并确保数据源的可靠性；完整是防止未经授权的数据修改；即需是防止延迟或拒绝服务。计算机安全通常表现在两个方面：一个是对网络安全，另一个是数据安全。网络安全是计算机安全的重点也是难点，网络安全的性质决定了从来没有也不可能有绝对的安全状态。通常可以把网络面临的威胁分为下面四类：（1）中断：指系统的部分组件遭到破坏或使其不能发挥作用，例如切断系统主机对外的网络连线使其无法使用，这是对系统的可用性做攻击。（2）介入：指未经授权者授权取得系统的资源，其中的未经授

6、权者可以是一台计算机、一个人，或是一组程序，例如，利用软件窃取网络上传送的机密数据，就是对数据机密性的攻击。,9,任务5.1 电子商务安全要求,相关知识（3）篡改：指系统资源被未经授权的人所取得、乃至篡改内容，例如在网络上传送的订单遭到任意改变，是对数据的正确性的攻击。（4）假造：指未经授权者授权将假造数据放入系统中，这是对数据的真实性的攻击，如在网络上假造身份证明文件以假冒他人。如前面任务引入中提到的网络钓鱼在淘宝上的一种表现形式就是，骗子通过阿里旺旺，惯用的手法是询问卖家“这件商品有货么？” ， “你的这个商品链接怎么打不开？”，然后发过来一个网址，和淘宝的商品链接很类似，如图5-1。,1

7、0,任务5.1 电子商务安全要求,相关知识 图5-1 不明链接,11,任务5.1 电子商务安全要求,相关知识 当你把鼠标移动到这个链接上面，有个明显的警告提醒“阿里旺旺无法确定该链接的安全性”，如图5-2。 图5-2 阿里旺旺安全提示,12,任务5.1 电子商务安全要求,相关知识 如果你用鼠标点击这个链接，会再次弹出一个警告对话框：提醒你是否要打开？但是很多用户根本不看这个警告，照样打开，如图5-3。 图5-3 对话框提示,13,任务5.1 电子商务安全要求,相关知识 打开了这个链接之后，会打开一个新的要求输入淘宝登录的页面，如图5-4。 图5-4 钓鱼网站,14,任务5.1 电子商务安全要求

8、,相关知识 这是一个虚假的淘宝页面，而且高度相似，但是其域名和淘宝网却有不同。这是一个钓鱼网站，一旦用户没有察觉，继续输入用户名和密码，其基本信息就被不法分子获取了，用户的淘宝账户就会面临损失的风险。一般情况下，阿里旺旺会对超链接进行识别分析，能过确定的安全链接通常会给出相应的提示，如图5-5所示。 图5-5 安全链接,15,任务5.1 电子商务安全要求,相关知识 当前防护措施未必能够抵御将来的入侵手段，入侵是动态的，防护也必然随之而动。实现安全的网络环境依赖于许多因素，例如：人员的调整、新业务应用的实施、新攻击技术和工具的导入和安全漏洞的发现等。在这个意义上，网络安全是一个过程而不是目的，同

9、时在上网过程中保持必要的安全防范意识也是非常重要的。目前实现网络安全，常用的网络安全产品有防火墙、杀毒软件、系统安全卫士等。 数据安全指的是计算机中存储的数据不因电源中断、计算机硬件设备故障等而出现数据丢失等现象，对此应当采取适当措施，如服务器的双电源设计、双机热备与数据备份等。,16,任务5.1 电子商务安全要求,相关知识二、杀毒软件工作原理 计算机网络安全的一大因素就在于病毒，要了解杀毒软件的工作原理，首先要清楚计算机病毒的工作原理。 计算机病毒概述。 计算机病毒就是一段代码，制作者令其具有了自我复制和定时发作进行破坏功能。一般病毒都在1K到数K大小。目前计算机病毒可以分为引导型病毒、文件

10、型病毒、宏病毒等三类。 引导型病毒是IBM PC兼容机上最早出现的病毒。引导型病毒传染的对象是磁盘引导区，引导型病毒首先写入磁盘引导区，只要磁盘被读写，就可以把病毒读入内存，并立即把自己写入硬盘引导区，当然这时候如果计算机安装有杀毒软件检测系统，就会立即进行检测清理病毒，相反如果没有检测系统，病毒将进入硬盘引导区，等待计算机下次启动时，该病毒优先于正常系统的引导将其自身装入系统中，获得对系统的控制权。,17,任务5.1 电子商务安全要求,相关知识 文件型病毒是目前最多的一类病毒，有广义与狭义之分，广义的文件型病毒包括了通常所说的可执行文件病毒、源码病毒和宏病毒。狭义的文件病毒包括COM型和EX

11、E型等可执行文件病毒。文件型病毒主要感染可执行文件，可分为寄生病毒、覆盖病毒和伴随病毒。寄生病毒在感染时，将病毒代码加入正常程序中，原来程序的功能部分或者全部被保留；覆盖病毒直接用病毒程序替换被感染的程序；伴随病毒不改变原来的文件，只是伴随创建一个病毒文件。文件型病毒传播最主要的途径是网络，还有软盘和光盘。比如，有一个带有文件型病毒的U盘，该病毒感染了U盘中的文件A，当计算机打开U盘，运行文件A时，病毒就被读入内存，并获取了内存控制权，开始感染所有之后运行的文件，实现病毒的传播。 宏病毒是计算机病毒历史上发展最快病毒，也是传播最广泛的。宏病毒是一类使用宏语言编写的程序，依赖于微软office办

12、公室套件Word、Excel和PowerPoint等应用程序传播，只要使用这些应用程序的计算机就有可能传染宏病毒，并且大多数都有发作日期。轻则影响正常工作，重则破坏硬盘信息，甚至格式化硬盘，危害极大。,18,任务5.1 电子商务安全要求,相关知识 病毒的传播性与破坏性固然可怕，但人们对病毒的防御也在不断的发展中，如安装最新版本的、有实时监控文件系统功能的防杀计算机病毒软件，可以更好检测和清除计算机病毒。2杀毒软件工作原理。 杀毒软件主要的功能即为检测和清除计算机病毒，目前常用的病毒检测方法有特征代码法、检验和法、行为检测法和模拟法等。 特征代码法。该方法是基于计算机病毒本身的特点，一般每一种计

13、算机病毒自身存在其特有的一段或一些独一无二的代码，当杀毒软件运行时，打开病毒样本库，病毒样本库中已经发现的病毒代码样本。杀毒软件把计算机中所有的文件从头到尾进行检测，检查文件中是否含有病毒数据库中的病毒特征代码。如果发现，则判定该文件染有病毒。此方法只能检测已知病毒。,19,任务5.1 电子商务安全要求,相关知识 校验和法。对正常文件的内容，计算机校验和，将检测和写入该文件或别的文件中保存。在文件使用过程中，定期地或在每次使用文件前，检查文件现在内容算出的检验和与原来保存的校验和进行比较，来发现文件是否被感染，这种方法叫检验和法。此方法可以发现已知病毒，也可以发现未知病毒。行为检测法。利用病毒

14、行为的特性来检测病毒的方法。软件模拟法。多态性病毒每次感染都变化其病毒代码，对付这种病毒，特征代码无效。这类病毒实施密码化，而且每次密钥都不同，把感染的病毒代码相互比较，也无法识别。软件模拟法是一个软件分析器，用软件的方法来模拟和分析程序的运行，待病毒自身的密码译码后，再运用特征代码发来识别病毒的种类。,20,任务5.1 电子商务安全要求,相关知识 不管是哪种类型的杀毒软件都包括两个主要的部分，一是杀毒引擎，另一个是病毒数据库。杀毒引擎使杀毒软件能准确的、快速的从计算机的文件中检测出是否有病毒，不同类型的杀毒软件有着不同的杀毒引擎，因此对病毒的检索方法也不同，这样就会出现不同的杀毒软件检测出的

15、病毒不一样；病毒数据库是存放已知病毒的代码样本库，为杀毒引擎提供查找病毒的样本依据，不断的有新病毒被发现与破解，病毒库也在不断更新，因此要求杀毒软件不断进行更新。,21,任务5.1 电子商务安全要求,相关知识三、防火墙 防火墙（Firewall）是指一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，是一种与杀毒软件一样，能获取网络安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，如图5-6所示。 防火墙位于计算机与他所

16、连接的网络之间，所有流入流出的信息须通过防火墙，因此当有黑客、不良信息流进计算机，在通过防火墙时，就可以把它们挡在门外，使计算机免受干扰。 目前使用的防火墙种类很多，种类划分标准也比较多，在这里我们从软、硬件形式上进行划分： 第一种：软件防火墙,22,任务5.1 电子商务安全要求,相关知识 软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关，俗称“个人防火墙”。该类防火墙像其他计算机软件一样，需要在计算机安装配置好才可以起到防预作用，成为计算机的安全网关。 第二种：硬件防火墙 硬件防火墙和软件防火墙一样基于安装好操作系统的计算机上，

17、只是这些操作系统是经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux 和FreeBSD系统，与软件防火墙的区别还在于，这台安装有防火墙的计算机是专用的防火墙硬件设备，而非客户端计算机。 第三种：芯片级防火墙 芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。这类防火墙本身的漏洞比较少，安全性较高，但价格相对比较昂贵。,23,任务5.1 电子商务安全要求,相关知识 图5-6防火墙,24,任务5.1 电子商务安全要求,相关知识四、电子商务安全的要求 在电子商务的交易过程中除了上述的计算机网络安全，此外由于交易双

18、方不是面对面的，导致买房付款、卖房发货和买方收货不是同时完成的，因此电子商务对安全还有以下几个方面的安全要求： 1.可靠性 可靠性是指电子商务系统的可靠程度。是指为防止潜在威胁，采取了一系列的控制和预防措施来防止数据信息资源不受到破坏的可靠程度。 2.真实性 真实性是指商务活动中交易者身份的真实性，确保交易双方确实是存在的，不是假冒的。 3. 保密性 保密性是指交易过程中必须保证信息不会泄露给非授权的人或实体。 4. 完整性,25,任务5.1 电子商务安全要求,相关知识 完整性是指数据在输入、输出和传输过程中，要求能保证数据的一致性，防止数据被非授权建立、修改和破坏。信息的完整性将影响到交易各

19、方的交易和经营策略，保持这种完整性是电子商务应用的基础。 5. 有效性 电子形式的交易信息为交易各方共同认可是开展电子商务的前提。一旦签订交易后，这项交易就应受到保护，以防止被篡改或伪造。交易的有效性在其价格、期限及数量作为协议一部分时尤为重要。 6. 不可抵赖性 一旦交易开展后便不可撤销，交易中的任何一方都不得否认其在该交易中的作为。要求在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识，使原发送方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。 以上电子商务安全的要求在目前阶段主要通过实名认证、加密、数字证书等手段来进行保障，在后续内容中会展开介绍。,26,任务实施 【任

20、务实施1】杀毒软件安装及使用 目前使用的杀毒软件有很多，有金山毒霸、江民杀毒软件、瑞星杀毒软件、卡巴斯基、360杀毒等。下面我们以360杀毒软件为例，看看如何安装杀毒软件、升级杀毒软件及使用杀毒软件，具体操作步骤如下： 1.安装360杀毒 目前360杀毒支持的操作系统有Windows XP SP2以上(32位简体中文版) 、Windows Vista (32位简体中文版) 、Windows 7 (32位简体中文版)。 （1）安装360杀毒，首先请通过360杀毒官方网站 下载最新版本的360杀毒安装程序。下载完成后，运行下载的安装程序，这时会看到欢迎窗口。,任务5.1 电子商务安全要求,27,任

21、务实施 图5-7“360杀毒”欢迎窗口 图5-8“360杀毒”协议窗口 （2）点击图5-7中的“下一步”按钮，会出现最终用户使用协议窗口，如图5-8所示。,任务5.1 电子商务安全要求,28,任务实施 （3）阅读许可协议后，点击“我接受”。如果不同意许可协议，请点击“取消”退出安装。接下来出现选择安装路径的窗口，如图5-9所示：图5-9“360杀毒”安装路径窗口图5-10“360杀毒“安装选项窗口,任务5.1 电子商务安全要求,29,任务实施 （4）可以选择将360杀毒安装到哪个目录下，建议按照默认设置即可。也可以点击“浏览”按钮选择安装目录。（5）接下来会出现安装选项窗口，如图5-10所示：

22、输入想在开始菜单显示的程序组名称，然后点击“安装”，安装程序会开始复制文件，并安装杀毒软件，如图5-11所示：之后会显示安装完成窗口，如图5-12所示。请点击“完成”，360杀毒就已经成功的安装到计算机上了。图5-11“360杀毒”安装进程窗口图5-12“360杀毒”安装完成窗口,任务5.1 电子商务安全要求,30,任务实施 2.病毒库更新 360杀毒具有自动升级功能，如果开启了自动升级功能，如图5-13所示，选择“设置”-“其他设置”-“自动升级设置”进行设置病毒库自动更新功能。360杀毒会在有升级可用时自动下载并安装升级文件。自动升级完成后会通过气泡窗口提示：图5-13“360杀毒”自动升

23、级设置图5-14“360杀毒”手动升级设置,任务5.1 电子商务安全要求,31,任务实施 图5-15“360杀毒”下载安装升级文件图5-16“360杀毒”升级完成,任务5.1 电子商务安全要求,32,任务实施 如果想手动进行升级，请在360杀毒主界面点击“升级”标签，进入升级界面，并点击“检查更新”按钮。如图5-14所示。升级程序会连接服务器检查是否有可用更新，如果有的话就会下载并安装升级文件，如图5-15所示：升级完成后会有提示信息，如图5-16所示。 3.病毒查杀 360杀毒具有实时病毒防护和手动扫描功能，为系统提供全面的安全防护。实时防护功能在文件被访问时对文件进行扫描，及时拦截活动的病

24、毒。在发现病毒时会通过提示窗口警告您，如图5-17所示。 360杀毒提供了四种手动病毒扫描方式：快速扫描、全盘扫描、指定位置扫描及右键扫描。其中前三种扫描都已经在360杀毒主界面中作为快捷任务列出，只需点击相关任务就可以开始扫描。,任务5.1 电子商务安全要求,33,任务实施 图5-17发现病毒提示窗口图5-18“360杀毒”主界面,任务5.1 电子商务安全要求,34,任务实施 4. 卸载360杀毒软件从Windows的开始菜单中，点击“开始-程序-360杀毒”，点击“卸载360杀毒”菜单项。360杀毒会询问是否要卸载程序，请点击“是”开始进行卸载，如图5-19所示：图5-19“360杀毒”卸

25、载程序（1）图5-20“360杀毒”卸载程序（2）,任务5.1 电子商务安全要求,35,任务实施 卸载程序会开始删除程序文件。在卸载过程中，卸载程序会询问是否删除文件恢复区中的文件。如果是准备重装360杀毒，建议选择“否”保留文件恢复区中的文件，否则请选择“是”删除文件，如图5-20所示。卸载完成后，会提示重启系统。此时可根据情况选择是否立即重启。【任务实施2】Windows防火墙的基本设置 Windows防火墙是Windows自带一个防火墙，下面我们以Windows自带的防火墙的基本设置为例，进行基本的防火墙设置： 当安装完Windows 系列的系统后，将在控制面板出现一个“防火墙”，这个就

26、是Windows自带的防火墙功能。如图5-21所示，单击Windows防火墙进入防火墙启用页面，如图5-22所示。,任务5.1 电子商务安全要求,36,任务实施 在“常规”选项下，防火墙默认是“启用”状态。你可以选择关闭防火墙，或者选择“不允许例外”来增强配置。该选项是当你连接到公网时，如在机场、酒店等不安全的公共网络可以使用，防火墙将给你额外的保护。 图5-21Windows自带的防火墙图,任务5.1 电子商务安全要求,37,任务实施 图5-22“例外”选项卡 图5-23“高级”选项卡,任务5.1 电子商务安全要求,38,任务实施 在“例外”选项下，如图5-22所示，允许你对当前防火墙设置之

27、外的指定程序和服务进行设置。也可以改变许多端口的开启和关闭。所有这些配置的设置要求高级专家对其进行设置，在这方面没有丰富知识的，不应该对其进行随意的更改。 在“高级”选项中，如图5-23所示，在这里你能对系统里已经激活的每个连接进行额外的配置。当你遇到故障冲突时，在高级属性里你能够调整安全日志，并且当共享网络状态信息时，配置ICMP协议。对于这些特殊的设置，改变这些设置需要你擅长网络安全技术，而且应该十分谨慎。【任务实施3】任选一家网银，分析其采取了哪些安全措施？,任务5.1 电子商务安全要求,39,任务5.2 数据加密技术,知识目标理解加密的原理与技术 能力目标 掌握本地文件加密与解密操作,

28、40,任务5.2 数据加密技术,任务引入 腾讯QQ引入IP加密策略 杜绝非法截获IP地址 腾讯日前宣布，将在QQ软件中引入IP加密策略，以更好地保护用户隐私及信息安全。腾讯安全中心负责人表示，使用官方版本QQ的用户不必再担心自己的IP地址被非法截获，同时有需要的用户仍然可以自由选择是否对好友开放自己的地理位置信息。 IP地址用来标识用户在网络上的唯一身份，方便网站向用户提供个性化服务，但与此同时也带来系列安全隐患。一方面，每个IP地址都对应特定的地理位置，恶意用户可能通过IP地址探查用户真实地址，直接侵害用户隐私甚至危及人身安全；另一方面，IP地址被黑客获得后，就有可能对,41,任务5.2 数

29、据加密技术,任务引入 用户发起攻击，并获取用户电脑的控制权，盗取敏感信息或植入木马病毒等，造成严重的安全问题。 在成熟的欧美市场上，网络监管当局和企业对互联网用户隐私保护问题高度关注，但在中国，网络隐私保护还在朦胧的认知阶段，不仅没有相关立法或行业规范，很多用户自身对隐私问题也缺乏认识。 在隐私保护方面，腾讯QQ一直坚持采用密文传输，对QQ用户之间的对话进行加密处理，即使不法分子截获对话信息，也只能看到一堆乱码；在QQ客户端集成QQ医生，定期查杀针对QQ的盗号木马病毒和恶意软件。 （资料来源：中国证券报-中证网）,42,任务5.2 数据加密技术,任务分析 基于电子商务在开放的网络中进行交易，商

30、务沟通信息、客户信息、订单信息、支付信息等机密的商务资料都通过开放的网络进行传送，在传送的过程中信息如果被他人获取将给交易双方带来重大的损失。在上面的案例中，腾讯公司采用了加密的方式，密文传送保障了信息传递的安全。 什么是加密？什么密文？为什么密文传递能保障信息传递过程的安全呢？,43,任务5.2 数据加密技术,相关知识一、加密与解密的基本过程 1加密的解密 为保护数据信息在网络中传递时不被别人窃取或修改，加密技术应运而生。加密是指将有关信息进行编码，使其成为一种不可理解的形式，这种不可理解的内容被称为密文。这样即使有人在网络中窃取到信息，也是一段加密之后的密文，在没有解密方法的情况下，就像一

31、堆乱码，从而保证了信息的安全。解密则是加密的逆过程，把密文通过编码后还原成加密前的信息。当接收者收到加密后的密文时，用其拥有的解决方式进行解密，就可以看到传递者所传送出的信息内容。2加解和解密的基本过程加密和解密过程依靠两个元素，缺一不可，这两个元素就是算法和密钥。算法是加密和解密的一步一步过程，在这个过程中需要一串数字，这个数字就是密钥。以下是一个加密和解密基础流程图，如图5-24所示。,44,任务5.2 数据加密技术,相关知识 图5-24加密与解密的基础流程图其中：X明文，即需要安全传递的信息； E加密算法，解密的一步步运算过程；Ke加密的密钥，即加密的数字； Y密文，加密后形成的可不理解

32、信息； D解密的算法； Kd解密密钥；,45,任务5.2 数据加密技术,相关知识 下来通过一个例子来了解一下加密和解密的过程。例：采用移位加密法，使移动3位后的英文字母表示原来的英文字母，用移位以后的字母去表示“HOW DO YOU DO”，就会变成“KRZ GR BRX GR”。例中的“HOW DO YOU DO”即为明文，“KRZ GR BRX GR”即为密文，移位的规则即为算法，移动位数3即为密钥。 对于没有解密密钥的截取者，获得的只是加密之后一堆不可理解的密文。而如果截取者也掌握了解密的密钥，当他截取了信息之后就可用解密密钥进行解密，从而窃取传递的信息。因此为保证密钥的安全，防止黑客破

33、解密钥，就必须增加密钥的长度，使黑客无法用穷举法测试获取密钥。当密钥超过100 位（bit），即使是使用高速计算机，也要几个世纪才能破译密钥。因此现在采用了密钥至少都有128位（bit）。 根据密码算法使用的加密密钥和解密密钥是否相同，将加密技术分为两类，即对称密钥加密技术和公开密钥加密技术。,46,任务5.2 数据加密技术,相关知识二、对称密钥加密技术 对称密钥又称私有密钥加密，即加密密钥和解密密钥相同或者一个可由另一个导出。这种体制需要有可靠的密钥传递渠道。常用的对称密钥加密算法有DES、IDEA、AES等。其中DES算法是目前常用的种形式，它是由IBM公司在20世纪70年代研制的，并经过

34、政府的加密标准筛选后，于1976年11月被美国正府采用，随后被美国国家标准局和美国家标准协会(ANSI)所认可。该算法是采用二进制数字化信息加密及解密的算法。 图5-25 对称加密流程,47,任务5.2 数据加密技术,相关知识 对称密钥加密最大优点在于对信息的加密与解密速度很快，工作效率很高。但也有不足之处：(1)密钥传递困难。对称密钥加密虽然解决了信息的保密问题，但也引出了新问题，密文可以通过网络直接传递给对方，加密的密钥如果同样以网络直接传递，传递过程中，一旦被截取者盗获，将无法保障信息传递的保密性，因此密钥必须通过除网络以外的途径传递给对方。(2)密钥管理和使用的难度大。因为每个通讯对象

35、需要一个专属的密钥，当通讯对象增多时，需要管理的密钥数量也就增多了。例如一个拥有100个贸易伙伴的企业，必须要有100个密钥，这在管理密钥上非常麻烦。(3)对称加密是建立在共同保守秘密的前提上，在管理和分发密钥过程中，必须保证密钥交换与存储的安全，当有一方的密钥被泄露时，密钥将会失效。,48,任务5.2 数据加密技术,相关知识三、公开密钥加密技术 对称密钥加密技术存在的管理与传递问题，阻碍了信息加密技术的发展。针对这一问题，1976年，美国学者Diffre和Hellman提出了一种新的密钥加密技术公开密钥密码体制，也叫非对称密钥密码技术。这种技术把加密与解密的密钥分开形成两把密钥，一把称为公钥

36、，即公开其算法和密钥，让公众知道；另一把称为私钥，只有自己知道的密钥。两把密钥之间无法推算得到相互密钥。通信时，用接收着的公钥加密然后传递给对方，对方接收到信息后，用自己掌握的私钥解密，从而了解到传递的信息内容，如图5-26所示。在这一过程中只有接收着知道解密的密钥，因此只有接收能查看到信息，截取者没有办法查看到信息的原文。这样就可以有效的保护信息传递的安全，同时也解决了密钥传递困难的问题。,49,任务5.2 数据加密技术,相关知识 图5-26公开密钥密钥加密解密过程,50,任务5.2 数据加密技术,相关知识 公开密钥加密技术除了具有解决对称密钥加密技术中的密钥管理和传递难之外，还具有以下的优

37、点：(1)密钥管理难度大大降低。只要保管好自己的私有密钥，把公钥公布于众。例如，当A传递信息给B时，只要用B公布的公有密钥加密传递B即可，B接收到信息后用其私钥解密即可查到信息原文。(2)密钥的保密制度无需建立在对方的基础。公有密钥及算法虽然对外公布，但无法通过公钥推算出私钥及算法，因此只要严格保管好自己的密钥，就可以保证密钥的安全。(3)公开密钥密码技术还可以实现数字签名、数字摘要等技术。公开密钥加密技术也有不足之处：加密解密的速度要比对称加密速度慢得多。如RSA算法比DES算法大约慢一千到五千倍左右。虽然公开密钥密码技术解决了对称密钥密码技术存在的一些问题，但也不能替代公开密钥加密技术，两

38、者在实际应用中，往往相互结合使用，避其短处，扬其长处。,51,任务5.2 数据加密技术,相关知识 以下是一个公开密钥密码技术和对称密钥密码技术结合使用的流程图，如图5-27 所示。 图5-27 对称加密与公开加密综合使用流程图,52,任务5.2 数据加密技术,相关知识四、电子商务安全协议 SSL(Secure Sockets Layer)安全套接层协议是Netscape公司1995年推出的一种安全通信协议。SSL提供了两台计算机之间的安全连接，对整个会话进行了加密，从而保证了安全传输。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输，当前版本为3.0。就目前所有最新版本的浏览器

39、，都支持SSL，如图5-28所示。 图5-28浏览器和SSL协议的集成,53,任务5.2 数据加密技术,相关知识 SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层： SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。 SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。SSL协议提供的服务主要有：1.认证用户和服务器，确保数据发送

40、到正确的客户机和服务器；2.加密数据以防止数据中途被窃取； 3.维护数据的完整性，确保数据在传输过程中不被改变。一个网站是否加密的区别是观察地址栏的http协议后面有没有变成https，如果是后者说明这个网站是有加密的，否则没加密。通常登录页面和支付页面，都需要借助SSL协议来帮助我们实现信息的安全传输，此时浏览器地址栏有一把黄色加密锁图标，如图5-29所示。,54,任务5.2 数据加密技术,相关知识 图5-29SSL协议在支付页面的应用,55,任务实施 对本地文件进行加密和解密1.Word文件加密与解密加密的操作步骤如下：(1)打开需要加密的word文档，点击菜单栏中的“工具”选项，点击下拉

41、菜单中的“选项”，单出“选项”对话框。选择“安全性”标签。如图5-30所示。(2)在“打开文件夹时的密码”的输入框中设定打开word文档的密码，在“修改文件时的密码”的输入框中设定修改word文档权限的密码。如果只设定“打开文件夹时的密码”，只要打开了word文档就可以对word文档进行修改，当两者都设有密码时，则需同时输入“修改文件时的密码”，否则文档只能以只读方式打开。,任务5.2 数据加密技术,56,任务实施 图5-30安全性选项标签,任务5.2 数据加密技术,57,任务实施 解密步骤如下： 选择已进行加密的文档，双击，出现如图5-31所示对话框，输入对应的密码，再出现如图5-32所示对

42、话框，可以选“只读”方式浏览文档，也可以输入相应密码，以文档进行编辑。 图5-31打开文件密码对话框 图5-32修改文件密码对话框,任务5.2 数据加密技术,58,任务实施 2. Excel文件、Powerpoint 文件加密与word一样。 压缩软件加密应用以winrar压缩软件为例说明其加密过程，步骤如下：(1)选择需要压缩的文件及文件夹（可以一个也可以多个），右键单击，在弹出快捷菜单中选中“添加到压缩文件”，打开“文件名和参数”对话框。如图5-33所示，在压缩文件名文本框中设定一个压缩文件名；(2)选择“高级”标签，单击“设置密码”按钮，打开“带密码压缩”对话框，如图5-34所示。设定密

43、码。如果需要加密文件名，则“加密文件名”选项打钩。,任务5.2 数据加密技术,59,任务实施 图5-33 压缩文件参数对话框 图5-34压缩文件密码设置对话框,任务5.2 数据加密技术,60,任务5.3 认证技术,知识目标掌握数字证书的作用了解认证中心组织结构及工作原理能力目标 掌握申请数字证书的流程能够申请支付宝数字证书，并正确使用数字证书,61,任务5.3 认证技术,任务引入 最新发布的2012年中国网络支付安全状况报告显示，在网购盛行的今天，仍然有半数用户称不知如何保障自己的支付安全。中国互联网络信息中心分析师孟凡新告诉记者，从调查来看，目前国内用户的安全意识和安全知识依然存在不足。有4

44、7.2%的用户对网上支付安全问题表示非常不关注或较不关注。此外，有57.6%的用户表示不知道保障网上支付安全的办法。 据悉，在不提示的情况下，消费者表示了解最多的安全保障方式是电脑杀毒和防火墙，也仅占30.8%；此外，表示知道使用动态密码、动态口令卡的有30.6%；知道设置强安全密码的有29.9%，知道绑定手机的有25.1%，而知道安装数字证书认证的只有19.6%。,62,任务5.3 认证技术,任务引入 国务院日前印发服务业发展“十二五”规划，规划指出要推进交易保障设施建设，强化对电子商务交易主体、客体及交易行为的在线监测，完善交易保障服务体系。健全电子商务支撑体系，促进数字证书在电子商务全过

45、程、各环节的深化应用，规范网上银行、网上支付平台等在线支付服务，鼓励电子商务服务企业建立交易诚信档案，为改善电子商务环境提供有力支撑。 （资料来源：中国互联网络信息中心）,63,任务5.3 认证技术,任务分析 为什么数字证书可以在虚拟的网络上证明交易主体的身份？如何证明？,64,任务5.3 认证技术,相关知识 一、认证中心 在网上做交易时，由于交易双方并不现场交易，怎样保证交易双方身份的真实性和交易的不可抵赖性，就成为人们迫切关心的一个问题。因此，在电子商务中，必须从技术上保证在交易过程中能够实现：身份认证、安全传输、不可否认性、数据一致性。因此在电子商务活动中，采用CA认证来保证交易能够得到

46、正常的执行。 认证技术是保证电子商务交易安全的一项重要技术。主要包括身份认证和信息认证。前者用于鉴别用户身份，后者用于保证通信双方的不可抵赖性以及信息的完整性。 所谓（Certificate AuthorityCA）认证中心，它是采用PKI（Public KeyInfrastructure）公开密钥基础架构技术，专门提供网络身份认证服务，负责签发和管理数字证书，且具有权威性和公正性的第三方信任机构，它的作用就像我们现实生活中颁发证件的公司，如护照办理机构。目前国内的CA认证中心主要分为区域性CA认证中心和行业性CA认证中心，广东省电子商务认证有限公司是由广东省人民政府批准建立的国内较为著名的一家区域性认证机构。,