電子商務安全

《電子商務安全》按照電子商務安全的體系結構，全面介紹了電子商務安全有關技術和管理方面的問題，採用問題啓發式的敍述模式，對電子商務安全的基本原理和核心技術做了詳細通俗且符合認知邏輯的闡述。

本書分為11章，包括電子商務安全概論、密碼學基礎、認證技術、數字證書和PKI 、網絡安全基礎、防火牆和IDS、電子商務安全協議、電子支付及其安全、電子商務網站的安全、移動電子商務安全和電子商務安全管理的內容。

《電子商務安全》可作為高等院校電子商務、信息安全、信息系統與信息管理、國際貿易等專業本科生的教材，也可作為從事電子商務教學、科研和管理工作相關人員的參考用書。 ^[1] 

第1章電子商務安全概述... 11

1.1 電子商務安全的現狀... 11

1.1.1 電子商務安全的重要性... 11

1.1.2威脅電子商務安全的案例*. 14

1.1.3 我國電子商務安全現狀分析... 15

1.1.4電子商務安全課程的知識結構... 16

1.2 電子商務安全的內涵... 17

1.2.1計算機網絡安全... 18

1.2.2 電子交易安全... 19

1.2.3 電子商務安全的特點... 20

1.3 電子商務安全的基本需求... 21

1.3.1 電子商務面臨的安全威脅... 21

1.3.2 電子商務安全要素... 22

1.4 電子商務安全技術... 24

1.5 電子商務安全體系... 25

1.5.1 電子商務安全體系結構... 25

1.5.2 電子商務安全的管理架構... 26

1.5.3 電子商務安全的基礎環境... 27

習題... 28

第2章密碼學基礎... 29

2.1 密碼學的基本知識... 29

2.1.1 密碼學的基本概念... 29

2.1.2 密碼體制的分類... 31

2.1.3 密碼學的發展歷程... 32

2.1.4 密碼分析與密碼系統的安全性... 32

2.2 對稱密碼體制... 34

2.2.1 古典密碼... 34

2.2.2 分組密碼與DES. 40

2.2.3 流密碼... 44

2.3 密碼學的數學基礎... 46

2.3.1 數論的基本概念... 46

2.3.2 歐拉定理與費馬定理... 48

2.3.3 歐幾里得（Euclid）算法... 49

2.3.4 離散對數... 51

2.4 公鑰密碼體制... 52

2.4.1 公鑰密碼體制的基本思想... 52

2.4.2 RSA公鑰密碼體制... 54

2.4.3 Diffie-Hellman密鑰交換算法... 56

2.4.4 ElGamal算法... 58

2.5 公鑰密碼體制解決的問題... 59

2.5.1 密鑰分配... 59

2.5.2密碼系統密鑰管理問題... 61

2.5.3 數字簽名問題... 62

2.6數字信封(混合密碼體制)63

2.7單向散列函數(不可逆加密體制)64

2.7.1 單向散列函數的性質... 64

2.7.2 對散列函數的攻擊*. 64

2.7.3 散列函數的設計及MD5算法... 66

2.7.4 散列函數的分類... 68

2.7.5 散列鏈... 68

2.8 數字簽名... 69

2.8.1 數字簽名的特點... 70

2.8.2 數字簽名的過程... 70

2.8.3 RSA數字簽名算法... 71

2.8.4 ElGamal數字簽名算法... 72

2.8.5 Schnorr簽名體制... 74

2.8.6 前向安全數字簽名... 74

2.8.7 特殊的數字簽名... 76

2.9 密鑰管理與密鑰分配... 80

2.9.1 密鑰管理... 80

2.9.2 密鑰的分配... 82

2.10 信息隱藏技術... 86

習題... 87

第3章認證技術... 88

3.1 消息認證... 89

3.1.1 利用對稱密碼體制實現消息認證... 89

3.1.2 利用公鑰密碼體制實現消息認證... 90

3.1.3 基於散列函數的消息認證... 90

3.1.4 基於消息認證碼的消息認證... 92

3.2 身份認證... 93

3.2.1 身份認證的依據... 94

3.2.2 身份認證系統的組成... 94

3.2.3 身份認證的分類... 94

3.3 口令機制... 95

3.3.1 口令的基本工作原理... 95

3.3.2 對口令機制的改進... 96

3.3.3 對付重放攻擊的措施... 98

3.3.4基於挑戰-應答的口令機制... 103

3.3.5口令的維護和管理措施... 104

3.4 常用的身份認證協議... 105

3.4.1 一次性口令... 105

3.4.2 零知識證明... 107

3.4.3 認證協議設計的基本要求... 108

3.4.4 其他身份認證的機制... 109

3.5 單點登錄技術*. 111

3.5.1 單點登錄的好處... 111

3.5.2 單點登錄系統的分類... 112

3.5.3 單點登錄的實現方式... 113

3.5.4 Kerberos認證協議... 114

3.5.5 SAML標準... 118

習題... 122

第4章數字證書和PKI123

4.1 數字證書... 123

4.1.1 數字證書的概念... 124

4.1.2 數字證書的原理... 125

4.1.3 數字證書的生成步驟... 126

4.1.4 數字證書的驗證過程... 127

4.1.5 數字證書的內容和格式... 130

4.1.6 數字證書的類型... 132

4.2 數字證書的功能... 133

4.2.1 數字證書用於加密和簽名... 133

4.2.2 利用數字證書進行身份認證... 134

4.3 公鑰基礎設施(PKI)136

4.3.1 PKI的組成和部署... 136

4.3.2 PKI管理機構——CA.. 139

4.3.3 註冊機構——RA.. 141

4.3.4證書/CRL存儲庫... 142

4.3.5 PKI的信任模型... 143

4.3.6 PKI的技術標準*. 145

4.4 個人數字證書的使用... 146

4.4.1 申請數字證書... 146

4.4.2 查看個人數字證書... 148

4.4.3 證書的導入和導出... 149

4.4.4 USB Key的原理... 151

4.4.5 利用數字證書實現安全電子郵件... 152

4.5 安裝和使用CA服務器... 155

習題... 159

第5章網絡安全基礎... 160

5.1 網絡安全體系模型... 160

5.1.1 網絡體系結構及其安全缺陷... 161

5.1.2 ISO/OSI安全體系結構... 162

5.1.3 網絡安全的分層配置... 164

5.1.4 網絡安全的加密方式... 165

5.2 網絡安全的常見威脅... 167

5.2.1 漏洞掃描... 167

5.2.2 Windows網絡檢測和管理命令... 168

5.2.3 拒絕服務攻擊(DoS)171

5.2.4 嗅探... 173

5.2.5 欺騙... 175

5.2.6 偽裝... 176

5.3 計算機病毒及其防治... 176

5.3.1 計算機病毒的定義和特徵... 177

5.3.2 計算機病毒的分類... 177

5.3.3 計算機病毒的防治... 179

5.3.4 計算機病毒的發展趨勢... 181

習題... 181

第6章防火牆和IDS. 182

6.1 訪問控制概述... 182

6.1.1 訪問控制和身份認證的區別... 182

6.1.2 訪問控制的相關概念... 182

6.1.3 訪問控制的具體實現機制... 184

6.1.4 訪問控制策略... 185

6.1.5 屬性證書與PMI187

6.2 防火牆... 188

6.2.1 防火牆的概念... 189

6.2.2 防火牆的用途... 189

6.2.3 防火牆的弱點和侷限性... 191

6.2.4 防火牆的設計準則... 191

6.3 防火牆的主要技術... 192

6.3.1 靜態包過濾技術... 192

6.3.2 動態包過濾技術... 194

6.3.3 應用層網關... 194

6.3.4 防火牆的實現技術比較... 195

6.4 防火牆的體系結構... 195

6.4.1 包過濾防火牆... 196

6.4.2 雙重宿主主機防火牆... 196

6.4.3屏蔽主機防火牆... 196

6.4.4 屏蔽子網防火牆... 197

6.5 入侵檢測系統(IDS)198

6.5.1 入侵檢測系統概述... 198

6.5.2 入侵檢測系統的數據來源... 200

6.5.3 入侵檢測技術... 201

6.5.4 入侵檢測系統的結構... 202

6.5.5 入侵檢測系統面臨的問題... 204

習題... 204

第7章電子商務安全協議... 205

7.1 SSL協議概述... 205

7.2 SSL協議的工作過程... 206

7.2.1 SSL握手協議... 207

7.2.2 SSL記錄協議... 211

7.2.3 SSL協議的應用模式... 212

7.2.4 為IIS網站啓用SSL協議... 213

7.3 SET協議... 215

7.3.1 SET協議概述... 216

7.3.2 SET系統的參與者... 216

7.3.3 SET協議的工作流程... 218

7.3.4 對SET協議的分析... 222

7.4 3-D Secure協議及各種協議的比較... 223

7.4.1 3-D Secure協議... 223

7.4.2 SSL與SET協議的比較... 224

7.4.3 SSL在網上銀行的應用案例... 225

7.5 IPSec協議... 226

7.5.1 IPSec協議概述... 226

7.5.2 IPSec的體系結構... 227

7.5.3 IPSec的工作模式... 228

7.6 虛擬專用網VPN.. 230

7.6.1 VPN概述... 231

7.6.2 VPN的類型... 232

7.6.3 VPN的關鍵技術... 233

7.6.4 隧道技術*. 233

習題... 235

第8章電子支付及其安全... 236

8.1 電子支付安全概述... 236

8.1.1 電子支付與傳統支付的比較... 237

8.1.2 電子支付系統的分類... 237

8.1.3 電子支付的安全性需求... 238

8.2 電子現金... 239

8.2.1 電子現金的基本特性... 239

8.2.2 電子現金系統中使用的密碼技術... 240

8.2.3 電子現金的支付模型和實例... 241

8.3電子現金安全需求的實現... 243

8.3.1 不可偽造性和獨立性... 243

8.3.2 匿名性... 244

8.3.3 多銀行性... 246

8.3.4 不可重用性... 247

8.3.5 可轉移性... 248

8.3.6 可分性... 248

8.3.7 電子現金的發展趨勢... 249

8.4 電子支票*. 250

8.4.1電子支票的支付過程... 251

8.4.2 電子支票的安全方案和特點... 252

8.4.3 NetBill電子支票... 252

8.5 微支付... 253

8.5.1 微支付的交易模型... 254

8.5.2 基於票據的微支付系統... 255

8.5.3 MicroMint微支付系統... 258

8.5.4 基於散列鏈的微支付模型... 260

8.5.5 Payword微支付系統... 261

習題... 264

第9章電子商務網站的安全... 264

9.1 網站的安全風險和防禦措施... 265

9.1.1 網站的安全性分析... 265

9.1.2 網站服務器的基本安全設置... 266

9.2 SQL注入攻擊... 271

9.2.1 SQL注入攻擊的特點... 271

9.2.2 SQL注入攻擊的方法... 272

9.2.3 SQL注入攻擊的檢測與防範... 274

9.2.4 防止數據庫被下載的方法... 278

9.3 跨站腳本攻擊(XSS)*. 279

9.3.1 跨站腳本攻擊的原理及危害... 280

9.3.2 防範跨站腳本攻擊的方法... 281

9.4 網頁掛馬及防範... 283

9.4.1 網頁掛馬的常見形式... 283

9.4.2 網頁掛馬的方法... 284

習題... 285

第10章移動電子商務安全... 285

10.1 移動電子商務的實現技術... 285

10.1.1無線應用通信協議(WAP)286

10.1.2 WAP的應用模型和結構... 287

10.1.3移動網絡技術... 290

10.2移動電子商務面臨的安全威脅... 291

10.2.1 無線網絡面臨的安全威脅... 292

10.2.2 移動終端面臨的安全威脅... 293

10.2.3 移動商務管理面臨的安全威脅... 294

10.3 移動電子商務的安全需求... 295

10.4 移動電子商務安全技術... 296

10.4.1 無線公鑰基礎設施(WPKI)296

10.4.2 WPKI與PKI的技術對比... 299

10.4.3 WTLS協議... 301

10.4.4 無線網絡的物理安全技術... 306

習題... 307

第11章電子商務安全管理... 307

11.1 電子商務安全管理體系... 307

11.1.1 電子商務安全管理的內容... 308

11.1.2 電子商務安全管理策略... 309

11.1.3 安全管理的PDCA模型... 309

11.2 電子商務安全評估... 310

11.2.1 電子商務安全評估的內容... 310

11.2.2 安全評估標準... 311

11.2.3 信息管理評估標準... 312

11.3 電子商務安全風險管理... 313

11.3.1 風險管理概述... 313

11.3.2 風險評估... 314

11.4 電子商務信用管理... 316

11.4.1 電子商務信用管理概述... 316

11.4.2 電子商務信用管理的必要性... 317

11.4.3 信用管理體系的構成... 318

11.4.4 信用保障和評價機制... 319

習題... 320

附錄A：實驗... 321

A.1 實驗1：密碼學軟件的使用和開發... 321

A.2 實驗2：個人數字證書的使用... 322

A.3 實驗3：CA的安裝和使用... 322

A.4 實驗4：網絡掃描和網絡嗅探... 323

A.5 實驗5：為IIS網站配置SSL. 323

A.6 實驗6：配置安全Web服務器和網站 ^[1]