網(wǎng)絡(luò)安全技術(shù)08

第8章Web與電子商務(wù)安全8.1Web與電子商務(wù)安全分析8.2Web安全防護(hù)技術(shù)8.3SSL8.4SET協(xié)議與電子商務(wù)安全18.1Web與電子商務(wù)安全分析安全電子交易認(rèn)證技術(shù)安全認(rèn)證協(xié)議PKI用戶私人信息保護(hù)技術(shù)2安全電子交易認(rèn)證技術(shù)數(shù)字摘要重要信息Hash后的摘要碼。數(shù)字信封用加密技術(shù)來保證只有規(guī)定的收件人才能夠閱讀信的內(nèi)容。加密的密鑰被具體稱為數(shù)字信封。數(shù)字簽名只有信息發(fā)送者才能產(chǎn)生，而別人無法偽造的符號串，能同時(shí)證明發(fā)送者和信息真實(shí)性。數(shù)字時(shí)間戳對電子文件簽署的日期和時(shí)間進(jìn)行安全保護(hù)和有效證明的技術(shù)。一般由專門的認(rèn)證機(jī)構(gòu)來生成。數(shù)字證書用于證明用戶身份及屬性的數(shù)字文件。生物統(tǒng)計(jì)學(xué)身份識別基于人員的物理或行為特征進(jìn)行身份識別。3安全認(rèn)證協(xié)議SSL安全套接字層（SecureSocketsLayer）協(xié)議，是由Netscape提出的用于保證瀏覽器和Web服務(wù)器間安全連接的技術(shù)。SSL通過數(shù)字證書和數(shù)字簽名實(shí)現(xiàn)瀏覽器和Web服務(wù)器間的雙向認(rèn)證，并在應(yīng)用發(fā)送數(shù)據(jù)前為安全的傳輸協(xié)商加密算法和會(huì)話密鑰。SSL可以應(yīng)用于大量的應(yīng)用中，如等。SET安全電子交易（SecureElectronicTransaction）協(xié)議是由多家公司共同制定和支持的，用于電子商務(wù)的開放標(biāo)準(zhǔn)。SET保護(hù)電子交易機(jī)密性數(shù)據(jù)完整身份驗(yàn)證防抵賴4PKICA證書庫密鑰生成和管理系統(tǒng)（KMC）證書管理系統(tǒng)應(yīng)用接口（API）PKCS#11Public-KeyCryptographyStandards(PKCS)5用戶私人信息保護(hù)技術(shù)網(wǎng)上足跡TRUSTeTrustmark聯(lián)機(jī)圖章。保密優(yōu)先權(quán)平臺(tái)PlateformforPrivacyPreferenceProject(P3P)Internet上的匿名Web面臨的挑戰(zhàn)Web非常重要對外公開實(shí)現(xiàn)復(fù)雜雙向數(shù)據(jù)流動(dòng)用戶安全意識和能力差68.2Web安全防護(hù)技術(shù)Web的安全威脅78.2Web安全防護(hù)技術(shù)（1）Web流量安全I(xiàn)PSecIP層實(shí)現(xiàn)。SSL/TLS（TransportLayerSecurity）TCP層實(shí)現(xiàn)。88.3SSLSSL由Netscape發(fā)起，TLS由IETF制定。體系結(jié)構(gòu)記錄協(xié)議改變加密規(guī)格協(xié)議報(bào)警協(xié)議握手協(xié)議密碼計(jì)算TLS9體系結(jié)構(gòu)兩層第1層：握手、改變密鑰、報(bào)警、規(guī)格第2層：記錄協(xié)議連接與會(huì)話連接：提供某種類型服務(wù)的傳輸載體；會(huì)話：兩端的一種關(guān)聯(lián)，定義密碼參數(shù)集，可被多個(gè)連接共享。10記錄協(xié)議機(jī)密性握手協(xié)議定義一個(gè)共享密鑰，可用于負(fù)載的加密。完整性握手協(xié)議還定義了一個(gè)用于生成MAC（MessageAuthenticationCode）的共享密鑰。11改變加密規(guī)格協(xié)議用1個(gè)字節(jié)值為1的消息，使延遲狀態(tài)改變?yōu)楫?dāng)前狀態(tài)。12報(bào)警協(xié)議用于向?qū)Φ葘?shí)體傳送警告。第1字節(jié)1：警告，2：致命，終止連接，并禁止新的連接。第2字節(jié)報(bào)警編碼13握手協(xié)議功能實(shí)現(xiàn)通信雙方的相互認(rèn)證，確定加密算法、MAC算法、密鑰等。消息格式14握手協(xié)議（1）第一階段：客戶端發(fā)起連接；第二階段：服務(wù)器認(rèn)證和密鑰交換；第三階段：客戶機(jī)認(rèn)證和密鑰交換；第四階段：結(jié)束。15密碼計(jì)算主密鑰生成密碼參數(shù)產(chǎn)生16TLSRFC2246定義了TLS，和SSLv3非常相似。178.4SET協(xié)議與電子商務(wù)安全SET概述SET協(xié)議工作流程SET加密SET認(rèn)證SET的不足與改進(jìn)SET與SSL比較18SET概述SET(SecureElectronicTransaction)是應(yīng)用于Internet上的以信用卡為基礎(chǔ)的電子支付系統(tǒng)協(xié)議，采用公鑰密碼體制和X.509證書標(biāo)準(zhǔn)，適用于BtoC模式。目標(biāo)網(wǎng)絡(luò)傳輸?shù)臋C(jī)密性；訂單信息和個(gè)人帳號信息隔離；持卡人和商家雙向認(rèn)證；兼容性和互相操作。涉及的范圍加密算法；證書信息和對象格式；購買信息和對象格式；認(rèn)可信息和對象格式；劃帳信息和對象格式；消息傳送協(xié)議。系統(tǒng)組成持卡人；發(fā)卡機(jī)構(gòu)；商家；銀行；支付網(wǎng)關(guān)。特點(diǎn)信息保密；數(shù)據(jù)完整；持卡人帳號鑒別；商家鑒別。19SET協(xié)議工作流程階段購買請求支付確認(rèn)收款步驟20SET加密幾種加密技術(shù)密鑰系統(tǒng)公鑰系統(tǒng)數(shù)字信封數(shù)字簽名消息摘要加密技術(shù)在SET中的具體實(shí)現(xiàn)21SET認(rèn)證涉及證書持卡人證書商家證書支付網(wǎng)關(guān)證書銀行證書發(fā)卡行證書22SET的不足與改進(jìn)缺乏對不可抵賴的描述銀行網(wǎng)關(guān)權(quán)力過大缺乏對證書擴(kuò)展域的規(guī)范描述安全依賴于外部環(huán)境23SET與SSL比較除都使用RSA外，沒有別的共同之處SET比SSL要復(fù)雜許多SET涉及多方定義了具體的消息序列定義了具體的消息格式24思考和討論什么是https？它和SSL有什么關(guān)系？使用