《第五章电子商务安全管理课件.ppt》由会员分享，可在线阅读，更多相关《第五章电子商务安全管理课件.ppt（82页珍藏版）》请在三一办公上搜索。
1、电子商务师,考证时间：12月24号、18年3月、18年6月24号,2023/1/12,1,电子商务师考证时间：12月24号、2022/9/241,考试形式,一、考试全部标准化二、理论知识考试由70个单项选择题、10个判断题和10个多项选择题目，共90题，单项选择题和判断题每小题1分，多项选择题每小题2分三、专业能力考试由30个单项选择题、10个判断题和10个多项选择题目，共50题，单项选择题每小题2分、判断题每小题1分，多项选择题每小题3分四、考试时间 理论知识90分钟，专业能力120分钟,2023/1/12,2,考试形式一、考试全部标准化2022/9/242,电子商务师理论知识主要内容与比重
2、表,2023/1/12,3,电子商务师理论知识主要内容与比重表2022/9/243范围电,电子商务安全管理,（一）电子商务安全管理考试比重,2023/1/12,4,电子商务安全管理（一）电子商务安全管理考试比重2022/9/,（二）电子商务安全管理鉴定点,1、电子商务安全基础知识2、防火墙3、病毒防治知识4、电子商务的安全要求5、密码知识6、基本加密方法7、安全认证手段8、安全交易协议,2023/1/12,5,（二）电子商务安全管理鉴定点1、电子商务安全基础知识2022,1、电子商务安全基础知识1（4/4）,1、电子商务安全是有效开展电子商务的前提和保证。2、电子商务安全的内容：（1）计算机网
3、络安全（2）商务交易安全（3）电子商务系统安全管理制度,2023/1/12,6,1、电子商务安全基础知识1（4/4）1、电子商务安全是有效开,5.2计算机网络安全,1、计算机网络面临的安全威胁（1）黑客攻击(hacker或cracker)非法入侵计算机系统的人，主要利用系统配置的缺陷、操作系统的安全漏洞或通信协议的安全漏洞，从网络的外部非法侵入，进行不法行为。常用手段：利用UNIX提供的缺省帐号（anonymous、guest）进行攻击截取口令寻找系统漏洞（系统自身的、管理员配置错误）偷取特权清理磁盘（回收站、临时文件夹）,2023/1/12,7,5.2计算机网络安全1、计算机网络面临的安全威
4、胁2022/9,5.2计算机网络安全,（2）计算机病毒病毒是能够破坏计算机系统正常运行，具有传染性的一段程序。（3）拒绝服务攻击(DoS)一个用户采用某种手段故意占用大量的网络资源，使系统没有剩余资源为其他用户提供服务的攻击。,2023/1/12,8,5.2计算机网络安全（2）计算机病毒2022/9/248,（3）拒绝服务攻击(DOS),主要利用TCP/IP协议的漏洞，将提供服务的系统资源耗尽，导致其无法提供正常服务，有些是消耗带宽，有些是消耗网络设备的CPU和内存，或是导致系统崩溃。最具有代表性的攻击手段包括SYN flood、ICMP flood、UDP flood等，使用大量伪造的连接请
5、求报文攻击网络服务所在的端口，造成服务器资源耗尽，系统停止响应甚至崩溃；,2023/1/12,9,（3）拒绝服务攻击(DOS)主要利用TCP/IP协议的漏洞，,（3）拒绝服务攻击(DOS),2种手段：（1）连接耗尽使用真实IP地址发起针对网络服务的大量真实连接来抢占带宽，造成服务器资源耗尽，服务终止；（2）利用网络协议本身缺陷进行攻击：Land攻击、WinNuke、Ping of Death、TearDrop,2023/1/12,10,（3）拒绝服务攻击(DOS)2种手段：2022/9/2410,5.2计算机网络安全,（4）网络内部的安全威胁主要是指来自网络内部的攻击或内部用户因误操作造成口令
6、失密而遭受的攻击，最难防范。已知的网络安全事件中，大约50%的攻击是来自内部网；导致内部安全威胁的主要有以下几种情况1）用户防范意识薄弱，或计算机操作技能有限，共享网络资源时没有辅以恰当的安全设施，造成数据泄露2）内网管理人员有意或无意泄露系统管理员的用户名、密码等关键信息，泄露内部网的结构及重要信息分布3）内部人员泄愤。,2023/1/12,11,5.2计算机网络安全（4）网络内部的安全威胁2022/9/2,5.2计算机网络安全,网络安全威胁的承受对象（1）对客户机的安全威胁；（2）对www服务器的安全威胁；（3）对数据库的安全威胁；（4）对通信设备、线路的安全威胁。,2023/1/12,1
7、2,5.2计算机网络安全网络安全威胁的承受对象2022/9/24,练习,下面哪种方式设置密码才是安全的？(1分)（）A.使用连续的字母或数字B.使用用户本身的姓名、出生日期、电话号码、手机号码C.保证至少6个字符以上的密码长度D.使用固定密码电子商务安全的内容包括(2分)（）A.第三方交易平台安全B.计算机网络安全C.电子商务系统安全管理制度D.物流系统安全,2023/1/12,13,C,BC,练习下面哪种方式设置密码才是安全的？(1分)（）A.使用,计算机网络安全是指保护计算机网络系统中的硬件，软件和()。(1分)（）A.人员信息B.服务内容C.数据资源D.财务制度下面属于黑客在网上经常采用
8、的手段的是？(2分)A.寻找系统漏洞B.更改IPC.偷取特权D.截取口令计算机网络安全是指保护计算机网络系统中的硬件，()和数据资源(1分)（）A.软件B.密码C.浏览器D.客户机,2023/1/12,14,C,ADC,A,计算机网络安全是指保护计算机网络系统中的硬件，软件和()。,从网络安全威胁的承受对象看，网络安全威胁的来源来自(1分)（）A.对物流的安全威胁B.对交易平台的安全威胁C.对交易双方身份的安全威胁D.对客户机的安全威胁电子商务安全的内容不包括(1分)（）A.计算机网络安全B.电子商务系统安全管理制度C.商务交易安全D.交易平台安全,2023/1/12,15,D,D,从网络安全
9、威胁的承受对象看，网络安全威胁的来源来自(1分)（,3、网络安全管理的技术手段,（1）防火墙为了保护网络的安全而使用的技术，它采用隔离控制技术，在某个机构的网络和不安全的公共网络之间设置屏障，执行指定的安全控制策略，阻止外部用户对内部网络信息资源的非法访问，同时也可以阻止信息从企业的内部网络上被非法泄露出去。,2023/1/12,16,3、网络安全管理的技术手段（1）防火墙2022/9/2416,3、网络安全管理的技术手段,(1)防火墙的作用:限制他人进入内部网络，过滤掉不安全服务和非法用户。允许内部网的一部分主机被外部网访问，另一部分被保护起来。限定内部网的用户对互联网上特殊站点的访问。为监
10、视互联网安全提供方便。,2023/1/12,17,3、网络安全管理的技术手段(1)防火墙的作用:2022/,3、网络安全管理的技术手段,防火墙的类型：包过滤型：基于网络层，定义对哪些地址或端口的访问是允许或禁止的，从而有效控制数据的进出。代理服务器型：基于应用层，代理服务器对于内部网来说就象一台真正的服务器，接受所有内部用户的访问请求，同时将内部用户（满足防火墙设定要求）的请求转发到互联网上，并将结果返回给内部网用户，比包过滤型更为可靠。,2023/1/12,18,3、网络安全管理的技术手段防火墙的类型：2022/9/241,3、网络安全管理的技术手段,(2)防火墙的局限防火墙限制了有用的网络
11、服务。防火墙不能防范不经由防火墙的攻击。防火墙不能防范来自网络内部的攻击。防火墙不能防范新的网络安全问题。（被动防护）,2023/1/12,19,3、网络安全管理的技术手段(2)防火墙的局限2022/9/,3、网络安全管理的技术手段,防火墙的管理：本地管理：管理员通过console口或防火墙提供的键盘和显示器进行管理；远程管理：管理员通过以太网或防火墙提供的广域网接口进行管理；集中管理：用一个界面来管理网络中的多个防火墙；最常见的是通过SNMP（简单网络管理协议Simple Networks Management Protocol）进行管理,2023/1/12,20,3、网络安全管理的技术手段
12、 防火墙的管理：2022/9/24,3、网络安全管理的技术手段,（2）病毒防治1）计算机病毒的特点：传染性（衡量是否为病毒的首要条件）破坏性隐藏性潜伏性（潜伏时间越长，传染范围可能就越大）可触发性针对性,2023/1/12,21,3、网络安全管理的技术手段（2）病毒防治2022/9/242,3、网络安全管理的技术手段,2）计算机病毒的种类按照传染方式的不同可以分为：引导区病毒（磁盘引导区是计算机启动的开始部分，病毒占用系统引导区，并将系统原有的引导记录隐藏在磁盘的其他空间，从而使系统在开始运作的时候就被病毒控制）综合型病毒（既传染磁盘引导区，又传染可执行文件的综合病毒）,2023/1/12,2
13、2,3、网络安全管理的技术手段2）计算机病毒的种类2022/9/,3、网络安全管理的技术手段,可执行文件病毒（隐藏在可执行文件中（com/exe），执行可执行文件时病毒就开始传染，其实宏/邮件/网页病毒都属于此类）宏病毒：寄存在文档或模板的宏中的病毒，打开文档宏自动执行，从而激活病毒邮件病毒：通过邮件传播，一般藏在附件里；网页病毒：通过浏览网页而感染的病毒，多是利用操作系统和浏览器的漏洞，利用ActiveX和JavaScript技术来实现的；,2023/1/12,23,3、网络安全管理的技术手段可执行文件病毒（隐藏在可执行文件中,3）计算机病毒的工作原理,各种计算机病毒的工作原理都大致相同：一
14、般来说病毒程序包括3个功能模块：引导模块、传染模块和破坏模块引导模块将病毒从光盘等外部媒体引入内存，使之处于活动状态，为传染和破坏创造条件。传染模块判断传染条件是否成立，若成立则复制传染其他文件。破坏模块则首先判断破坏条件是否成立，如成立则开始其破坏。,2023/1/12,24,3）计算机病毒的工作原理各种计算机病毒的工作原理都大致相同：,4）木马和病毒的区别,木马指网络上宣称有用的软件，通过免费下载或邮件附件引诱用户打开执行，潜伏到用户的计算机内，与远程的黑客里应外合，窃取信息，操纵电脑。区别：木马不具有传染性，不能复制自身，也不刻意感染其他文件，主要是窃取信息，而病毒是破坏信息。,2023
15、/1/12,25,4）木马和病毒的区别木马指网络上宣称有用的软件，通过免费下,5）蠕虫和病毒的区别,蠕虫是利用计算机系统设计上的漏洞，通过网络主动将自己扩散出去并进行破坏活动，主要传播途径：邮件、系统漏洞、聊天软件等。和普通病毒的区别：普通病毒需要传播受感染的驻留文件进行复制，蠕虫病毒不用通过可以直接自我复制；普通病毒主要传染计算机内的文件，蠕虫目标是传染互联网的所有计算机，破坏性更强,2023/1/12,26,5）蠕虫和病毒的区别蠕虫是利用计算机系统设计上的漏洞，通过,3）计算机病毒的工作原理,6）越来越多的恶意程序呈现混合型攻击的特性，兼具木马、蠕虫等病毒的特性。7）计算机病毒防范的基本原
16、则从管理上防范，从技术上防范。1、管理方面的防范措施：不要随意拷贝和使用未经安全检测的软件对于系统中的重要数据，不要存储在系统盘，并随时备份不要随意打开来历不明的邮件，不要访问不知底细的网站采取必要的病毒检测、监察系统，制定完善的管理制度,2023/1/12,27,3）计算机病毒的工作原理 6）越来越多的恶意程序呈现混合型攻,3）计算机病毒的工作原理,2、技术方面的防范措施：在系统开机设置中把“病毒报警”设为Enable及时下载安装操作系统补丁，升级系统软件；选用合适的防病毒软件对病毒进行实时监控；杀毒软件及时升级。3、选择防病毒软件主要考虑如下因素：技术支持程度技术的先进性和稳定性病毒的响应
17、程度用户的使用条件及应用环境,2023/1/12,28,3）计算机病毒的工作原理2、技术方面的防范措施：2022/9,3）计算机病毒的工作原理,常用防病毒软件：1）国内：KILL、KV3000、瑞星、金山毒霸2）国外：Norton Macfee PC-cillin 卡巴斯基。,2023/1/12,29,3）计算机病毒的工作原理常用防病毒软件：2022/9/242,练习,下面哪个关于防火墙的叙述是错误的？(1分)（）A.防火墙能防范来自网络任何位置的攻击。B.防火墙可以限定内部网的用户对互联网上特殊站点的访问。C.防火墙允许内部网的一部分主机被外部网访问，另一部分被保护起来。D.防火墙不能防范新
18、的网络安全问题。下面有关防火墙的叙述正确的是。(1分)（）A.防火墙是一种主动式的防护手段B.包过滤型是基于协议层的防火墙C.防火墙能防范不经由防火墙的攻击。D.防火墙不能防范来自网络内部的的攻击。,2023/1/12,30,A,D,练习下面哪个关于防火墙的叙述是错误的？(1分)（）A.防,对外服务的WWW服务器不能放在防火墙内部。（）A.对B.错()防火墙是基于网络层的防火墙。(1分)（）A.包过滤型B.层级型C.代理服务型D.安全服务型下面有关防火墙的叙述错误的是。(1分)（）A.远程管理是指管理员通过以太网或防火墙提供的广域网接口对防火墙进行管理B.防火墙能对未知的网络威胁起作用。C.代
19、理服务型是基于应用层的防火墙，D.防火墙能够限制他人进入内部网络，过滤掉不安全服务和非法用户。,2023/1/12,31,B,A,B,对外服务的WWW服务器不能放在防火墙内部。（）A.对,下面哪个有关计算机病毒的叙述是错误的？(1分)（）A.破坏模块属于病毒程序的功能模块。B.计算机病毒的防御应着重从两个方面进行，一是从管理上防范，二是从控制上防范C.选择防病毒软件时要考虑用户的使用条件及应用环境。D.蠕虫病毒可以通过网络传播。下面哪个关于防火墙的叙述是正确的？(1分)（）A.防火墙是一种被动式的防护手段。B.防火墙能防范来自网络内部的的攻击。C.防火墙限制了所有的网络服务。D.防火墙能防范不
20、经由防火墙的攻击。,2023/1/12,32,B,A,2022/9/2432BA,蠕虫病毒(Worm)是一种通过()传播的恶性病毒。(1分)A.软盘B.U盘C.网络D.CPU防火墙主要包括层过滤型和代理服务型两种类型。(1分)（）A.对B.错防火墙不能限定内部网的用户对互联网上特殊站点的访问。(1分)（）A.对B.错,2023/1/12,33,C,B,B,蠕虫病毒(Worm)是一种通过()传播的恶性病毒。(1分),防火墙的管理一般分为本地管理、远程管理和()(1分)（）A.第三方管理 B.集中管理C.分散管理 D.分类管理蠕虫病毒是通过()传播的恶性病毒。(1分)（）A.网络B.电波C.数据库
21、D.光盘蠕虫病毒的传染目标是互联网内的计算机。(1分)A.对B.错,2023/1/12,34,B,A,A,防火墙的管理一般分为本地管理、远程管理和()(1分),下面哪个属于常用的防病毒软件？(1分)（）A.Oracle B.Windows7C.Norton D.Firefox下面哪个属于常用防病毒软件？(1分)（）A.QQ B.NortonC.MSN D.SQL下述哪项不是常用防病毒软件?(1分)（）A.Norton B.卡巴斯基C.金山毒霸 D.Acdsee下面哪个不属于病毒程序的功能模块？(1分)（）A.破坏模块 B.引导模块 C.传染模块 D.管理模块,2023/1/12,35,C,B,
22、D,D,下面哪个属于常用的防病毒软件？(1分)（）A.Orac,下述哪个是计算机病毒的特点？(1分)（）A.加强性B.易用性C.破坏性D.脆弱性计算机病毒防御应着重从哪两方面进行？(1分)（）A.管理上防范、技术上防范B.从硬件防范、从软件防范C.物理防范、软件防范D.从外部防范、从内部防范下述哪个是病毒程序的功能模块？(1分)（）A.引导模块、触发模块、传染模块B.引导模块、破坏模块、传染模块C.感染模块、引述模块、触发模块D.破坏模块、感染模块、引用模块,2023/1/12,36,C,A,B,下述哪个是计算机病毒的特点？(1分)（）A.加强性B.,5.3商务交易安全,1、电子商务的安全要求
23、：信息的保密性（商务信息传播一般都有加密要求）信息的完整性（不被篡改、不被遗漏、）通信的不变动性（保证收发双方都有足够证据证明收/发操作已经发生）交易各方身份的认证（方便可靠的确认对方身份是实现电子交易的一个前提）信息的有效性（保证电子信息有效性是开展电子商务的前提 可呈现的 可接受的）,2023/1/12,37,5.3商务交易安全1、电子商务的安全要求：2022/9/24,5.3商务交易安全,2、密码：隐蔽了真实内容的符号序列，通过数学函数来实现C=F(M，Key)C是加密后的字符串，F是加密的算法，M是需加密的原文，Key是密钥。密码泄露的途径：网上骗取（钓鱼）、终端盗取（木马）、网络截获
24、。,2023/1/12,38,5.3商务交易安全2、密码：2022/9/2438,5.3商务交易安全,(2)密码安全的要素:保证至少6个字符以上的密码长度。密码尽量使用英文字母及数字和标点、特殊符号等多种字符的组合。不要使用安全性过低的密码，如连续的字母或数字、简单有规律的字母或数字，以及用户本身的姓名、出生日期、电话号码、手机号码等。定期更改密码。5、避免使用重复的密码。,2023/1/12,39,5.3商务交易安全(2)密码安全的要素:2022/9/24,5.3商务交易安全,(3)密码泄漏的途径 密码泄漏一般分两种情况：一种是窃取密码，另外一种是别人猜出了你的密码。在互联网世界，攻击者通常
25、使用网上骗取、终端盗取、网络截获等途径得到密码。,2023/1/12,40,5.3商务交易安全(3)密码泄漏的途径2022/9/244,5.3商务交易安全,3、基本加密技术 利用密码技术对信息进行加密，是最常用的安全手段。对称加密体制 对信息的加密和解密都用相同的密钥，即一把钥匙开一把锁。目前最具有代表性的是美国数据加密标准DES（Data Encrypt Standard），目前全世界普密级的计算机数据加密基本上都采用了DES算法。,2023/1/12,41,5.3商务交易安全3、基本加密技术2022/9/2441,5.3商务交易安全,主要优点：简化加密的处理，贸易双方采用相同的加密算法，只
26、交换共享的专用密钥，不必彼此研究和交换专用的加密算法。只要双方能保证专用密钥在密钥交换阶段的安全保密，报文的机密性和完整性就能保证。主要问题：密钥安全交换和管理问题（密钥安全交换问题，多个密钥管理困难）无法鉴别贸易双方的身份。,2023/1/12,42,5.3商务交易安全 主要优点：简化加密的处理，贸易双方采用相,5.3商务交易安全,非对称加密体制（公钥加密体制）一对密钥1个公开密钥 1个私用密钥用其中任何一个加密以后，都可以用另外一个解密，公钥可以对外发布，私钥要保证安全。基本过程：1、甲方生成一对密钥，公开公钥；2、乙方用这个公钥加密，然后发回给甲方；3、甲方用私钥解密，得到明文RSA是最
27、著名和实用的一种非对称加密体制。优点：有效解决了密钥安全交换和管理的问题，而且能够非常方便的鉴别双方的身份，但是算法复杂，速度非常慢，实际运用中常结合使用。,2023/1/12,43,5.3商务交易安全非对称加密体制（公钥加密体制）2022/9,5.3商务交易安全,文件加密Word和 Excel：工具-选项-安全性设置打开密码和修改密码；Winrar：高级-设置密码。,2023/1/12,44,5.3商务交易安全文件加密2022/9/2444,练习,怎样设置密码才是安全的？(1分)（）A.保证至少4个字符以上的密码长度B.定期更改密码C.使用简单有规律的字母或数字D.使用与用户登录名、邮件地址
28、一致或是其中一部分设置密码时要保证至少()个字符以上的密码长度。(1分)A.4B.5C.7D.6要设置安全的密码应该避免使用重复的密码。(1分)A.对B.错,2023/1/12,45,B,D,A,练习怎样设置密码才是安全的？(1分)（）A.保证至少4,信息的完整性包括信息()、不被遗漏。(1分)（）A.不被泄露B.不可抵赖C.不被篡改D.可被认证一条信息被发送或被接收后，应该通过一定的方式，保证信息的收发各方都有足够的证据证明接收或发送的操作已经发生是属于电子商务安全要求中哪个要求？(1分)（）A.信息的完整性要求B.信息的保密性要求C.信息的有效性要求D.通信的不可抵赖、不可否认要求,202
29、3/1/12,46,C,D,信息的完整性包括信息()、不被遗漏。(1分)（）A.不被,信息内容不能随便被他人获取，尤其是涉及到一些商业机密及有关支付等敏感信息是属于电子商务安全要求中哪个要求？(1分)（）A.通信的不可抵赖、不可否认要求B.信息的保密性要求C.信息的有效性要求D.信息的完整性要求电子商务交易的安全要求包括(1分)（D）A.信息的易用性 B.信息的公开性 C.信息的标准性 D.信息的有效性,2023/1/12,47,B,D,信息内容不能随便被他人获取，尤其是涉及到一些商业机密及有关支,安全认证手段(0/2),(1)数字信封：数字信封是结合对称加密方法和非对称加密方法实现信息保密传
30、送的技术。加密信息被分成密文和信封两部分，对文件进行加密传输的过程参见教材P145。1、数字信封结合对称加密方法和非对称加密方法实现信息保密传送。加密信息密文 信封公钥加密，私钥解密，只有贸易双方有自己的密钥，安全，提高了速度。,2023/1/12,48,安全认证手段(0/2)(1)数字信封：数字信封是结合对称加,2、数字摘要,用于验证通过网络传输收到的文件是否是原始的、未被篡改的文件原文。利用了著名的Hash函数固定长度（128位）的摘要（digest）也叫数字指纹，不可逆转发送信息摘要原文 收到后再次生成摘要并比较目前广泛使用的Hash函数有MD-5、SHA。,2023/1/12,49,2
31、、数字摘要 用于验证通过网络传输收到的文件是否是原始的、未,3、数字签名（DIGITAL SIGNATURE）,只有信息发送者才能产生的别人无法伪造的一段数字串。可以确认对方身份，防抵赖；完整性（未做修改）、防篡改性。可以解决信息安全的保密性、完整性、防抵赖性及身份认证问题hash（信息原文）数字摘要用私钥加密数字摘要数字签名数字签名是私钥加密，公钥解密,2023/1/12,50,3、数字签名（DIGITAL SIGNATURE）只有信息发,4、数字证书,身份认证是电子商务安全需要解决的首要问题，也是其他安全业务赖以实现的基础。数字证书也叫数字凭证，是用电子手段来证实一个用户的身份的方法，必须
32、包含：版本号序列号拥有者姓名拥有者公钥公钥的有效期签名算法颁发数字证书的单位颁发数字证书的单位的数字签名,2023/1/12,51,4、数字证书身份认证是电子商务安全需要解决的首要问题，也是其,4、数字证书,数字证书的类型：按应用对象分：个人用户证书、企业用户证书、安全邮件证书、服务器证书及代码签名证书等；按业务类型分：A类证书（SET）、B类证书（X.509）；按安全等级分：一级（支付网关证书、行业证书）；二级证书：商家证书、服务器证书；三级证书：个人用户证书；四级证书：测试证书或对安全性要求不高的个人用户证书。,2023/1/12,52,4、数字证书数字证书的类型：2022/9/2452,
33、安全认证手段(0/2),5、认证中心承担网上安全电子交易认证服务、发放数字证书并能确认用户身份的服务机构。，国内的主要分区域性CA和行业性CA。认证中心体系结构是一个倒置树形结构。每位同学自己把P150的图补上来。,2023/1/12,53,安全认证手段(0/2)5、认证中心2022/9/2453,5.3.3安全交易协议,1、SSL协议（安全套接层协议Secure Sockets Layer）Netscape Communication公司设计开发，主要用于提高应用程序之间数据交换的安全系数，可以被总结为一个保证在所有安装了SSL的客户和服务器间通信安全的协议。提供的服务：提供用户和服务器的身
34、份认证（利用证书和CA）；保证数据的保密性（对称加非对称加密）；维护数据的完整性（Hash函数）；,2023/1/12,54,5.3.3安全交易协议1、SSL协议（安全套接层协议Sec,5.3.3安全交易协议,运行过程；接通阶段（客户向服务商打招呼，服务商回应）；密码交换阶段（双方交换密码，一般用RSA算法）；会谈密码阶段（双方交换会谈密码）；检验阶段（检验服务商取得的密码）；客户认证阶段（检验客户的可信度）；结束阶段（相互交换验证结束的信息）。客户的购买信息首先发给商家，商家再发给银行，银行验证客户信息的合法性之后通知商家付款成功。,2023/1/12,55,5.3.3安全交易协议运行过程；
35、2022/9/2455,5.3.3安全交易协议,评价最早应用于电子商务的网络安全协议，已经成为事实上的工业标准，几乎所有的浏览器和服务器都支持SSL协议，所以使用SSL协议方便、经济还能保证数据的安全性、保密性和完整性。缺点：不符合国内商用密码产品不得使用国外密码算法的规定，通过审批困难；系统安全性差（建立在RSA算法基础上）；运行的基点是商家对客户信息保密的承诺，有利于商家，不利于客户。将逐渐被SET取代。,2023/1/12,56,5.3.3安全交易协议评价2022/9/2456,5.3.3安全交易协议,2、SET协议：安全电子交易协议（Secure Electronic Transact
36、ion），为了保证在互联网上进行在线交易时保证信用卡支付的安全而设立的一个开放的规范。Visa和Master Card共同开发，保证通过开放网络（包括互联网）进行安全资金支付。由于设计合理，得到多家大公司支持，成为B2C业务事实上的工业标准，其交易形态成为事实上的工业标准。主要由3个文件组成：1）SET业务描述；2）SET程序员指南；3)SET协议描述。,2023/1/12,57,5.3.3安全交易协议2、SET协议：安全电子交易协议（Se,5.3.3安全交易协议,目标 1）保证电子商务参与者信息的相互隔离。客户的资料加密或打包后通过商家到达银行，但是商家不能看到客户的帐户和密码信息。（2）保
37、证信息在因特网上安全传输，防止数据被黑客或被内部人员窃取。（3）解决多方认证问题，不仅要对消费者的信用卡认证，而且要对在线商店的信誉程度认证，同时还有消费者、在线商店与银行间的认证。(4)保证了网上交易的实时性，使所有的支付过程都是在线的。(5)效仿EDI贸易的形式，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上。,2023/1/12,58,5.3.3安全交易协议目标2022/9/2458,5.3.3安全交易协议,工作原理（记住各步骤的先后顺序）(1)消费者利用自己的pc机通过互联网选所要购买的物品，并在计算机上输入订货单。订货单上需
38、包括在线商店、购买物品名称及数量、交货时间及地点等相关信息。(2)通过电子商务服务器与有关在线商店联系，在线商店做出应答，告诉消费者所填订货单的货物单价、应付款数、交货方式等信息是否准确，是否有变化。,2023/1/12,59,5.3.3安全交易协议工作原理（记住各步骤的先后顺序）202,5.3.3安全交易协议,(3)消费者选择付款方式，确认订单，签发付款指令。此时SET开始介入。(4)在set中，消费者必须对订单和付款指令进行数字签名，同时利用双重签名技术保证商家看不到消费者的账号信息。(5)在线商店接受订单后，向消费者所在银行请求支付认可。信息通过支付网关到收单银行，再到电子货币发行公司确
39、认。批准交易后，返回确认信息给在线商店。,2023/1/12,60,5.3.3安全交易协议(3)消费者选择付款方式，确认订单，签,5.3.3安全交易协议,(6)在线商店发送订单确认信息给消费者。消费者端软件可记录交易日志，以备查询。(7)在线商店发送货物或提供服务，并通知收单银行将钱从消费者的账号转移到商店账号，或通知发卡银行请求支付。,2023/1/12,61,5.3.3安全交易协议(6)在线商店发送订单确认信息给消费者,5.3.3安全交易协议,SET安全协议中的角色(1)消费者(2)商家(3)发卡银行；(4)收单银行(5)支付网关；(6)认证中心,2023/1/12,62,5.3.3安全交
40、易协议SET安全协议中的角色2022/9/2,5.3.3安全交易协议,评价与SSL相比，有以下几个优点：对商家而言，SET为商家提供了保护自己的手段，使商家免受欺诈的困扰，使商家的运营成本降低。对消费者而言，SET保证了商家的合法性，并且用户的信用卡号不会被窃取，SET替消费者保守了更多的秘密使其在线购物更加轻松。银行和发卡机构以及各种信用卡组织来说，因为SET可以帮助它们将业务扩展到Internet这个广阔的空间，从而使得信用卡网上支付具有更低的欺骗概率，这使得它比其他支付方式具有更大的竞争力。SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑。,2023/1/12,
41、63,5.3.3安全交易协议评价2022/9/2463,5.3.3安全交易协议,问题：(1)SET要求在银行网络、商家服务器、顾客的PC上安装相应的软件，同时SET还要求必须向各方发放证书，这使SET要比SSL昂贵的多，从而阻止了SET 的广泛发展。(2)协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接受证书。否则的话，在线商店提供的货物不符合质量标准，消费者提出疑义，责任由谁承担。,2023/1/12,64,5.3.3安全交易协议问题：2022/9/2464,5.3.3安全交易协议,(3)协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是不是由签署证书的消费者发出
42、的。(4)SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁此类数据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。这些漏洞可能使这些数据以后受到潜在的攻击。SET协议过于复杂，使用麻烦，成本高，且只适用于客户具有电子钱包的场合。,2023/1/12,65,5.3.3安全交易协议(3)协议没有担保“非拒绝行为”，这,5.3.3安全交易协议,其他安全协议HTTPS（建立在SSL协议上，易实现，不够灵活）、S-HTTP，用于邮件的安全协议（S/MIME、PGP、PEM）、用于EDI的安全协议（X.402、X.435），用于安全目录检索的X.509。,2023/1/12,66,
43、5.3.3安全交易协议其他安全协议2022/9/2466,5.3.3安全交易协议,网上贸易安全防骗网上银行常用安全手段（1）软键盘输入密码（2）ActiveX控件输入密码（3）动态密码口令卡手机短信动态密码锁（4）数字证书本地下载使用 USB key,2023/1/12,67,5.3.3安全交易协议网上贸易安全防骗2022/9/2467,5.3.3安全交易协议,网上银行进行安全交易的方法设置保护好网银密码谨防网络钓鱼定期查询详细交易利用银行提供的各种增值服务配置安全软件第三方支付安全（以支付宝为例）不要看到支持支付宝的产品就放松警惕货到付款注意事项交易期限，快递7天，平邮30天自动付款给卖家小
44、心实时到帐功能,2023/1/12,68,5.3.3安全交易协议网上银行进行安全交易的方法2022/9,5.3.3安全交易协议,网上贸易防骗方法验明对方身份通过联系方式判断真伪完善必要的买卖手续汇款注意事项需要警惕的：营业执照和联系地址不一，身份证是假的不肯提供营业执照和身份证复印件的不肯签合同或协议的没有详细地址的联系电话和经营地址不一的使用铁通一号通的,2023/1/12,69,5.3.3安全交易协议网上贸易防骗方法2022/9/2469,练习,数字证书包含颁发数字证书单位的数字签名。(1分A.对B.错CA是()的缩写。(1分)（）A.Certification AuthorityB.Ce
45、nter AdvistmentC.Center AuthorityD.Catch Aman数字证书包含颁发数字证书单位的私钥。(1分)（）A.对B.错,70,A,A,B,练习数字证书包含颁发数字证书单位的数字签名。(1分A.,下面有关数字信封的说法哪些是正确的？(2分)（A.数字信封可以保障发送的信息不被泄露B.数字信封要使用发送方的公钥C.数字信封中会话密钥对发送方和接收方都是一致的D.数字信封采用非对称加密算法对传输的文件进行加密认证中心认证体系结构是一个()结构(1分)（）A.网形B.倒置树形C.总线形D.星形,2023/1/12,71,AC,B,下面有关数字信封的说法哪些是正确的？(2
46、分)（A.数字,下列证书中属于一级证书的是()。(1分)）A.个人用户证书B.测试证书C.支付网关证书D.服务器证书把数字证书划分为一级证书、二级证书、三级证书和四级证书，这是按照()划分的。(1分)（）A.应用对象B.业务类型C.安全等级D.身份等级HTTPS是建立在()协议之上的，易于实现但不够灵活。(1分)（）A.SSL B.SETC.HTTP D.X.435,2023/1/12,72,D,C,A,下列证书中属于一级证书的是()。(1分)）A.个人用户证,认证中心的主要任务有()。(2分)（）A.受理证书的申请B.签发数字证书C.办理银行业务D.对数字证书进行管理SET安全协议中的角色包
47、括()。(2分)（）A.消费者B.商家C.支付网关D.认证中心最安全的动态密码使用方式是()。(1分)（）A.口令卡B.手机短信C.动态密码锁D.数字证书,2023/1/12,73,ABD,ABCD,C,认证中心的主要任务有()。(2分)（）A.受理证书的申请,网上贸易防骗的方法有哪些？(2分)（）A.验明对方身份B.通过联系方式判断真伪C.完善必要的买卖手续D.汇款方面如果对方提供的是卡号或存折账号汇款，不管对方要求你把款项汇给谁，移动要取得他们的授权证明网上银行进行安全交易的方法有哪些？(2分)A.设置、保护好网银密码B.定期查询详细交易C.利用银行提供的各种增值服务D.配置安全软件,20
48、23/1/12,74,ABCD,ABCD,网上贸易防骗的方法有哪些？(2分)（）A.验明对方身份,电子商务系统安全管理制度,人员管理制度：电子商务员要严格选拔落实工作责任制贯彻电子商务安全运作基本原则：双人负责原则任期有限原则最小权限原则（只有网管才可以进行物理访问，只有网络人员才可以安装软件）,2023/1/12,75,电子商务系统安全管理制度人员管理制度：2022/9/2475,电子商务系统安全管理制度,保密制度：机密：放在内部网最高安全区域，特殊保护，高层人员授权掌握秘密：内部网，不对外，根据权限使用普通：可公布，防黑客密钥管理也非常重要，产生、传递和销毁的全过程都要管理密钥需要定期更换
49、,2023/1/12,76,电子商务系统安全管理制度保密制度：2022/9/2476,电子商务系统安全管理制度,跟踪、审计制度要求企业建立网络交易系统日志机制，保存，维护和管理系统日志网络系统的日常维护制度硬件的日常管理和维护建立系统设备档案网络设备管理与维护通信线路维护,2023/1/12,77,电子商务系统安全管理制度跟踪、审计制度2022/9/2477,电子商务系统安全管理制度,软件的日常管理和维护系统软件定期清理日志文件和临时文件定期整理文件系统监测服务器上的活动状态和用户注册数处理运行中的死机情况等应用软件主要是版本控制数据备份制度利用多种介质对信息系统进行存储、备份和恢复,2023
50、/1/12,78,电子商务系统安全管理制度软件的日常管理和维护2022/9/2,电子商务系统安全管理制度,病毒防范制度1、给企业的计算机安装网络版的防病毒软件，并定期更新病毒库2、认真执行病毒定期清理制度3、对于系统中的重要数据最好不要存在系统盘上，并随时备份4、不要随意拷贝和使用未经安全检测的软件5、不要随意打开来历不明的邮件，更不要访问不知底细的网站。,2023/1/12,79,电子商务系统安全管理制度病毒防范制度2022/9/2479,练习,下面哪个属于电子商务系统安全管理制度(1分)（）A.跟踪审计制度B.事务管理制度C.财务监管制度D.财产申报制度电子商务系统安全管理制度包括(2分)
