电子商务技术基础课件第6章 电子商务安全技术

一、本章学习目标

通过本章学习，学生应能够：

1. 理解电子商务安全的基本概念和体系结构；
2. 掌握对称加密与非对称加密的基本原理及应用场景；
3. 了解数字签名、数字证书与PKI体系的工作机制；
4. 熟悉SSL/TLS、SET等电子商务安全协议；
5. 认识电子商务中常见的安全威胁及防护措施。

二、电子商务安全概述

1. 电子商务面临的安全威胁
（1）信息泄露：交易数据、用户隐私在传输或存储过程中被窃取。
（2）信息篡改：订单信息、支付金额等被非法修改。
（3）身份假冒：攻击者冒充合法用户或商家进行欺诈。
（4）拒绝服务：系统被恶意攻击导致无法正常提供服务。
（5）交易抵赖：交易一方事后否认已发生的交易行为。

2. 电子商务安全需求
（1）保密性：确保信息不被未授权方获取。
（2）完整性：确保信息在传输和存储过程中未被篡改。
（3）可用性：确保系统和服务在需要时可正常使用。
（4）真实性：确保交易双方身份的真实可靠。
（5）不可否认性：确保交易行为不可抵赖。

3. 电子商务安全体系结构
电子商务安全体系是一个多层次、多维度的综合体系，通常包括：
（1）物理安全层：机房、设备、网络基础设施的安全防护。
（2）网络安全层：防火墙、入侵检测、VPN等技术。
（3）系统安全层：操作系统安全、数据库安全、漏洞管理。
（4）应用安全层：身份认证、访问控制、安全审计。
（5）交易安全层：加密传输、数字签名、安全支付协议。
（6）管理安全层：安全策略、制度规范、人员培训。

三、密码学基础

1. 对称加密技术
（1）基本概念：加密和解密使用同一把密钥。
（2）典型算法：DES、3DES、AES、SM4。
（3）优点：加密速度快，适合大量数据加密。
（4）缺点：密钥分发和管理困难，难以实现数字签名。
（5）应用场景：数据存储加密、会话密钥加密等。

2. 非对称加密技术
（1）基本概念：加密和解密使用不同的密钥（公钥和私钥）。
（2）典型算法：RSA、ECC、SM2。
（3）优点：密钥管理方便，可实现数字签名和身份认证。
（4）缺点：加密速度慢，不适合大量数据加密。
（5）应用场景：密钥交换、数字签名、数字证书等。

3. 混合加密体制
实际电子商务应用中，通常采用混合加密方式：用非对称加密传递对称会话密钥，再用对称加密加密大量交易数据，兼顾安全性与效率。

4. 哈希函数
（1）作用：将任意长度输入映射为固定长度输出，用于完整性校验。
（2）典型算法：MD5、SHA-1、SHA-256、SM3。
（3）特性：单向性、抗碰撞性、雪崩效应。

四、认证与数字签名技术

1. 数字签名
（1）原理：用发送方私钥对消息摘要进行加密，接收方用发送方公钥验证。
（2）功能：身份认证、完整性校验、不可否认性。
（3）典型流程：发送方生成消息摘要→用私钥加密摘要形成签名→附在消息后发送→接收方用公钥解密签名→比对摘要。

2. 数字证书
（1）概念：由权威认证机构（CA）签发的电子凭证，用于绑定公钥与身份信息。
（2）内容：版本号、序列号、签名算法、颁发者、有效期、主体信息、公钥信息、CA签名等。
（3）作用：解决公钥真实性问题，防止公钥被假冒。

3. PKI体系
（1）组成：认证机构CA、注册机构RA、证书库、密钥备份与恢复系统、证书撤销系统。
（2）功能：证书签发、证书更新、证书撤销、证书验证。
（3）应用：网上银行、电子政务、企业信息化等。

五、电子商务安全协议

1. SSL/TLS协议
（1）位置：位于传输层与应用层之间。
（2）功能：加密传输、身份认证、完整性保护。
（3）工作过程：握手阶段协商加密算法和密钥→记录阶段加密传输数据。
（4）应用：HTTPS、网上支付、电子邮件等。

2. SET协议
（1）目标：专为信用卡支付设计的安全电子交易协议。
（2）特点：双签名机制，隔离订单信息与支付信息；商家无法获取用户信用卡号。
（3）组成：持卡人、商家、支付网关、发卡行、收单行、认证中心。
（4）局限：实现复杂、成本高，实际应用不如SSL广泛。

3. 其他安全协议
（1）IPSec：网络层安全协议，用于构建VPN。
（2）S/MIME：电子邮件安全协议。
（3）HTTPS：HTTP与SSL/TLS结合的安全传输协议。

六、电子商务安全管理与防护

1. 防火墙技术
（1）包过滤防火墙：基于IP、端口等信息过滤。
（2）应用代理防火墙：在应用层代理连接。
（3）状态检测防火墙：跟踪连接状态进行动态过滤。

2. 入侵检测与防御
（1）入侵检测系统（IDS）：监测异常行为并报警。
（2）入侵防御系统（IPS）：检测并主动阻断攻击。

3. 虚拟专用网（VPN）
通过加密隧道技术在公共网络上建立安全专用通道，常用于企业远程办公和分支机构互联。

4. 安全管理措施
（1）建立安全管理制度和操作规程。
（2）定期进行安全评估和漏洞扫描。
（3）加强人员安全培训和意识教育。
（4）制定应急响应和灾难恢复预案。

七、本章小结

本章围绕电子商务安全需求，系统介绍了电子商务安全体系结构、密码学基础、数字签名与PKI、SSL/TLS与SET协议以及常见安全防护技术。电子商务安全是一个技术与管理并重的综合体系，需要从物理、网络、系统、应用、交易和管理多个层面构建纵深防御，才能有效保障电子商务活动的保密性、完整性、可用性、真实性和不可否认性。

八、思考与练习

1. 简述电子商务面临的主要安全威胁及对应的安全需求。
2. 比较对称加密与非对称加密的优缺点及适用场景。
3. 说明数字签名的实现原理及其在电子商务中的作用。
4. 描述数字证书的组成及PKI体系的主要功能。
5. 分析SSL/TLS协议的工作过程及其应用场景。
6. 讨论SET协议的双签名机制及其现实意义。