电子商务安全与管理复习总结

电子商务安全与管理总结

名词解释

密文：是明文经加密变换后的结果即消息被加密处理后的形式通常用c表示。

加密算法：是将明文变换为密文的变换函数，相应的变换过程称为加密，即编码的过程，通常用E表示即c=Ek(p)

对称密码体制

的基本特征是加密密钥与解密密钥相同。

Hash函数：Hash简单点讲就是把任意一段数据经过某种算法生成一段唯一的固定长题

误用检测：也叫特征检测，它假设入侵者活动可以用一种模式来表示，然后将观察对象与之比较，判别是否符合这些模式。

数字证书：就是互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Internet 上验证匿名身份的方式。

CA：

简答题

1.防火墙应五大基本任务：

过滤进出网络的数据包；

管理进出网络的访问行为；

封堵某些禁止的访问行为；

记录通过防火墙的信息内容和活动；

对网络攻击进行检测和告警

2.防火墙有哪些局限性：

不能防范恶意的知情者；

防火墙不能防范不通过它的连接；

防火墙不能防备全部的威胁；

防火墙不能防范病毒；

①限制有用的网络服务②防火墙防外不防内③Internet防火墙无法防范通过防火墙以外的其他途径的攻击④防火墙不能完全防止传送感染病毒的软件或文件⑤防火墙不能防止新的网络安全问题

3.评估防火墙的抗攻击能力

抗IP 假冒攻击；

抗特洛伊木马攻击；

抗口令字探寻攻击；

抗网络安全性分析；

4.PKI技术可运用领域

即公钥基础设施，包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。PKI技术可运用于众多领域，其中包括虚拟专用网络VPN，安全电子邮件，Web交互安全及倍受瞩目的电子商务安全领域。

5.在Internet上进行欺骗有哪些模式

采用假的服务器来欺骗用户的终端；

采用假的用户来欺骗服务器；

在信息的传输过程中截取信息；

在Web服务器及Web用户之间进行双方欺骗。

6.SET支付消息包括哪些？

7.电子商务系统安全三部分？

有三个层：

1）网络层安全服务标准：网络层的安全使用IPsec方案

2）传输层的安全服务：①安全套接层协议（security socket layer SSL）②传输层安全（transport layer secrity TLS）

3）应用层安全服务：应用层安全使用S-HTTP，SET，Kerberos、S/MIME、PEM等方案8.信息的安全的五方面安全内容？

信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。

9.加密系统的两种基本形式？

对策加密与非对称加密

10.密钥的生命周期？

密钥/证书的生命周期主要分初始化——颁发——取消三个阶段

初始化阶段

在使用

PKI的支持服务之前，必须经过初始化进入PKI

初始化阶段由以下几部分组成:

实体注册--密钥对产生--证书创建和密钥/证书分发--证书分发--密钥备份

综上所述密钥备份与恢复在整个密钥/证书的生命周期中贯穿于每一个阶段贯穿于每一个阶段贯穿于每一个阶段贯穿于每一个阶段,起着十分重要的作用。

11.验证方法一般有六种？

12.数字证书分为三种类型？

个人数字证书、企业Web服务器证书、软件开发者证书

13.按照处理对象，防火墙分为？

包过滤防火墙和代理防火墙

14.Internet安全分为三类？

15.电子商务应用安全协议有哪几种？

16.撤销数字证书的方法有哪几种？

17.SET参与交易的方式有哪些？

18.密钥的管理

密钥管理是处理密钥自产生到销毁整个过程中的有关问题：系统的初始化、密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、吊销和销毁等；

19.加密技术

对称加密算法是指使用同一个密钥来加密和解密数据。

公开密钥加密是指使用一对密钥来分别加密和解密操作。

20.数字签名

定义：指在数字电文中，以电子形式所含、所附或在逻辑上与数据电文有联系的数据，和与数据电文有关的任何方法，它可用于数据电文有关的签名持有人和表明此人认可数据电文所含信息

原理：（1）使用散列编码将发送文件加密产生固定长的数字摘要。（2）发送方用自己的专用密钥对摘要再加密，形成数字签名。（3）将原文和加密的摘要同时传给对方（4）接收方用发送方的公共密钥对摘要解密，同时对收到的文件用散列编码加密产生同一摘要（5）将解密后的摘要和收到的文件在接受方重新加密产生的摘要相互对比，如果两者一致，则说明在传送过程中信息没有被破坏和窜改；否则，说明信息已经失去安全性和保密性；解决哪些安全问题：身份认证、完整性、不可抵赖性，可用来防止伪造、篡改信息，或冒用别人名义发送信息，或发出（收到）信件后又加以否认等情况发生。

21.数字签名、数字证书、数字摘要、数字信封的区别

数学形式表达式：

数字签名：Dk公钥（Hash(m)）；数字摘要：Hash(m)；数字信封：Dk公钥（Km）；数字证书没有数学形式表达；

区别：

数字签名是为了验证数据发送者的身份而不是为了加密。

和数字签名不同，数字信封是利用数据接收者的公钥进行加密。要使用数字签名和数字信封，必须确保公钥拥有者身份的真实性。

为了保证公钥拥有者身份的真实性，使用公钥加密算法的双方需要一个第三方权威机构，这个机构就是身份认证权威。可以简单的把数字证书看作是由CA机构签名的公钥，数据传送双方通过交换数字证书，就可以实现上述的数字签名和数字信封

22.电子商务六大安全需求

机密性，完整性，认证性，不可抵赖性，不可拒绝性，访问控制性

23.电子商务面临的四大安全威胁

窃听，篡改，假冒和抵赖

24.SSL的概念、工作原理

1）概念：安全套接层协议（Secure Sockets Layer），是由网景公司设计开发的，主要用于提高应用程序之间的数据安全系数，实现兼容浏览器和服务器（通常是WWW服务器）之间安全通信的协议。

2）工作原理：①SSL需要认证服务器，并对两台计算机之间所有的传输进行加密②SSL用公开密钥（非对称）加密和私有密钥（对称）加密来实现信息的保密。虽然公开密钥非常方便，但速度较慢。这就是SSL对几乎所有的安全通讯都使用私有密钥加密的原因；

25.SET的概念、实现目标、安全特征、涉及对象、运行方式等.

1)概念：安全电子交易协议SET（Secure Electronic Transaction）是由Visa和Master Card 所开发的，为了在Internet上进行在线交易时，保证信用卡支付的安全性而设计的开放规范，已得到IBM、HP、Microsoft等大公司的支持，已成为事实标准，并获得IETF标准认可。2）实现目标：提供消费者、商家和银行之间的认证，确保网上交易数据的保密性、完整性和不可抵赖性。

3）安全特征：①信息的机密性：对持卡人的帐户信息和订购信息进行加密，通常用DES 加密②数据的完整性：采用SHA-1哈希编码及RSA数字签名；采用SHA-1的HMAC保护③持卡人的帐户认证：采用RSA数字签名的X.509v3证书④商家认证：采用RSA数字签名的X.509v3证书

4）涉及对象：①消费者在线商店②在线商店③收单银行④电子货币⑤认证中心

5）运行方式：①在消费者与特约商店之间,持卡人消费前先确认商店合法性,由商店出示它的证书. ②持卡人确认后即可下订单,其订单经消费者以数字签名的方式确认,而消费者所提供的信用卡资料则由收单银行以公钥加密.这里,特约商店会收到两个加密过的资料,其中一个是订单资料,另一个是关于支付的资料,特约商店可以解密前者,但无法解密后者,避免特约商店搜集持卡人资料. ③特约商店将客户的资料连同自己的SET证书给收单银行,向银行请求交易授权及授权回复. ④收单银行会同时检查两个证书来决定是否为合法的持卡人及特约商店.所以收单银行会有支付系统网关来解密,核对资料无误后,再连接到传统的网络进行交易授权及清算. ⑤授权确认后由特约商店向消费者进行订单确认,交易完成.

⑥至于特约商店与收单银行间,则基于该授权提出请款要求并由银行付款

26.SET与SSL区别

1）定义不同：①安全套接层协议（Secure Sockets Layer），是由网景公司设计开发的，主要用于提高应用程序之间的数据安全系数，实现兼容浏览器和服务器（通常是WWW服务器）之间安全通信的协议②安全电子交易协议SET（Secure Electronic Transaction）是由Visa 和Master Card所开发的，为了在Internet上进行在线交易时，保证信用卡支付的安全性而设计的开放规范，已得到IBM、HP、Microsoft等大公司的支持，已成为事实标准，并获得IETF标准认可

2）工作原理不同：①SSL需要认证服务器，并对两台计算机之间所有的传输进行加密。SSL用公开密钥（非对称）加密和私有密钥（对称）加密来实现信息的保密。虽然公开密钥非常方便，但速度较慢。这就是SSL对几乎所有的安全通讯都使用私有密钥加密的原因。②在SET中采用了双重签名技术，支付信息和订单信息是分别签署的，这样保证了商家看不到支付信息，而只能看到订单信息。支付指令中包括了交易ID、交易金额、信用卡数据等信息，这些涉及到与银行业务相关的保密数据对支付网关是不保密的，因此支付网关必须由收单银行或其委托的信用卡组织来担当。

27.如何判断一份数字证书的真伪？

从CA那里获得CA的公钥存放在本地，通过检查证书中CA用私钥的签名来验证证书的合法性。CA签名合法后，接着再使用需要验证的证书中的公钥加密一随机信息发送给对方，对方可以用私钥解密并返回结果，根据对方的响应结果来判断对方是否证书中所声称的人思考题

用图形表示SET协议的购物系统的协商、审核关系及确认过程。（其中包括持卡人、商家、支付网关、CA认证中心、收单银行、发卡银行）

请给出公开密钥加密系统中加密模式的加解密流程图。

请给出利用数字证书实现信息安全中发送方的工作流程图

论述题

请论述SSL协议和SET协议的差别

SSL协议和SET协议的差别主要体现在以下几个方面

用户接口：

SSL协议已被浏览器和WEB服务器内置，无需安装专门软件。SET协议中客户端需安装专门的电子钱包软件，在商家服务器和银行网络上也需安装相应的软件。

处理速度：

SET

认证要求：

SSL协议并没有提供身份认证机制，不能实现多方认证，而且SSL中只有商家服务器的认证是必须的，客户端认证则是可选的。SET协议的认证要求较高，所有参与SET交易的成员都必须申请数字证书，并且解决了客户与银行、客户与商家、商家与银行之间的多方认证问题。

安全性：

SET协议由于采用了公钥加密、信息摘要和数字签名可以确保信息的保密性、可鉴别性、完整性和不可否认性，且SET协议采用了双重（双联）签名来保证各参与方信息的相互隔离，使商家只能看到持卡人的订购数据，而银行只能取得持卡人的信用卡信息。SSL协议虽也采用了公钥加密、信息摘要和MAC检测，可以提供保密性、完整性和一定程度的身份鉴别功能，但缺乏一套完整的认证体系，不能提供完备的防抵赖功能。因此SET的安全性远比SSL 高

协议层次和功能：

SSL属于传输层的安全技术规范，它不具备电子商务的商务性、协调性和集成性功能。SET

具备商务性、协调性和集成性功能。