电子商务安全讲坐.ppt

身份认证的方式 用户身份认证可通过三种基本方式或其组合方式来实现。 （1）用户所知道的某个秘密信息，例如用户知道自己的口令。 （2）用户所持有的某个秘密信息（硬件），即用户必须持有合法的随身携带的物理介质。 （3）用户所具有的某些生物学特征，如指纹、声音、DNA图案、视网膜血管分布扫描等。 用户身份认证的最简单的方法就是口令。系统事先保存每个用户的二元组信息，进入系统时用户输入二元组信息，系统将保存的用户信息和用户输入的信息相比较，从而判断用户身份的合法性。 生物识别技术 . 口令加密 对口令进行加密传输是一种改进的方法。 最安全的身份认证机制是采用一次性口令机制，即每次用户登录系统时口令互不相同，主要有两种实现方式。第一种采用“请求响答”方式。第二种方法采用“时钟同步”机制。 Kerberos协议是一种共享秘密的验证协议，因为用户和密钥分配中心都知道用户的密码。 七、 防火墙 通常意义上的防火墙： ◆不同安全级别的网络或安全域之间的唯一通道 ◆只有被防火墙策略明确授权的通信才可以通过 ◆系统自身具有高安全性和高可靠性 注意区分个人防火墙、病毒防火墙 防火墙是位于两个(或多个)网络间，实施网络间访问控制的一组组件的集合。防火墙的英文名为“FireWall”，它是最重要的网络防护设备之一。 1、基本概念 防火墙在网络中的位置 安装防火墙后的网络 DMZ是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。 通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。这样，不管是外部还是内部与对外服务器交换信息数据也要通过防火墙，实现了真正意义上的保护。 防火墙在网络中的位置 DMZ区(demilitarized zone，也称非军事区) 电子商务安全中还需解决的问题 　　 　　(1)没有一种电子商务安全的完整解决方案和完整模型与体系结构。 　　(2)尽管大多数方案都使用了公钥密码,但多方安全受到的关注远远不够。没有建立一种解决争议的决策程序。 　　(3)客户的匿名性和隐私尚未得到充分的考虑。 　　  * 电子商务安全讲座 范兴昌 2009中国国内贸易额335353亿元，国内电子商务整体市场年交易额则仅有33,278亿元。也就是说电子商务在国内贸易额中仍是极小的一部分 人们不禁要问，是什么因素阻碍了电子商务更广泛的普及呢?为此，不少调查机构进行了广 泛的调查。众多的调查都发现，一个主要的障碍就是电子商务的安全问题。 第一节 电子商务安全概述 由于有关电子商务的立法和管理刚刚开始，有人开玩笑说“电子商务目前是个‘三无’行业：无法可依、无安全可言、无规可循”，当然这只有一定的道理，我国政府对电子商务的管理已经报上议事日程，各个部门都在抓紧制定推进电子商务的政策。 一、电子商务交易带来的安全问题 1. 销售者面临的威胁： 中央系统安全性被破坏。 客户资料被竞争者获悉。 被他人假冒而损害公司的信誉。 消费者提交定单后不付款。 2.购买者面临的威胁：付款后不能收到商品。 机密性丧失。 拒绝服务。 二、网络黑客攻击电子商务系统常用手段 中断、介入、篡改、假造。 三、为什么网络传输不安全 Web Server The Internet Encryption 线路安全 客户安全 连接安全 The Intranet Web Server Weakness : External access now granted. Are applications and network secure? 信息资本 Enterprise Network 没有边界 没有中央管理 是开放的、标准的 没有审计记录 INTERNET 四、电子商务安全风险来源 信息传输风险： 冒名窃听。 篡改数据。 信息丢失。 信息传递过程中的破坏。 信用风险： 来自买方的信用风险。 来自卖方的信用风险。 买卖双方都存在抵赖的情况。 管理方面的风险： 交易流程管理风险。 人员管理风险。 网络交易技术管理的漏洞也带来较大的交易风险。 法律方面的风险： 五、电子商务的安全控制要求 信息的必威体育官网网址性。 交易者身份的确定性。 不可否认性。 不可修改性 解决电子商务安全的主要策略 技术控制 政策、法律、守则、管理 政策、法律、守则、管理