电子商务安全导论知识点整理
第一章电子商务安全基础
商务：是经济领域特别是市场经济环境下的一种社会活动，它涉及货品、服务、金融、知识信息等的交易。
电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。
电子商务主客体关系分为：
1、B2B企业、机构之间
2、B2C企业与消费者之间
3、C2C个人用户之间
4、B2G企业政府之间。
电子商务的技术要素组成：
1、网络
2、应用软件
3、硬件。
电子商务的常见模式：
1、大字报或告示牌模式
2、在线黄页簿模式
3、电脑空间上的小册子模式
4、虚拟百货店模式
5、预定或订购模式
6、广告推销模式。
因特网的优劣势：
1、优势：广袤覆盖及开放结构，由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖率增长至几乎无限
2、劣势：因特网的管理松散，网上内容难以控制，私密性难以保障，从电子商务等应用看，安全性差也是因特网的又一大缺点。
内域网（Intranet）：是由某一企业或机构利用因特网的技术，即因特网的标准和协议等，建立起来的该企业专用的计算机网络。
防火墙：是一个介乎内域网和因特网其他部分之间的安全服务器。
外域网（Extranet）：用内域网同样的办法建立的一个连接相关企业、单位、机构的专用网络。
EDI的信息传输方式：存储-转发。
电子商务的驱动力：1、信息产品硬件制造商2、信息产品软件厂商3、大型网上服务厂商4、银行及金融机构5、大企业6、政府。
电子商务的安全隐患：
1、数据的安全
2、交易的安全。
电子商务系统可能遭受的攻击：
1、系统穿透
2、违反授权原则
3、植入
4、通信监视
5、通信窜扰
6、中断
7、拒绝服务
8、否认
9、病毒。电子商务安全的中心内容：
1、商务数据的机密性
2、完整性
3、商务对象的认证性
4、商务服务的不可否认性
5、商务服务的不可拒绝性
6、访问的控制性等。
产生电子商务安全威胁的原因：
1、internet在安全方面的缺陷
2、Internet的安全漏洞
3、TCP/IP协议极其不安全性
4、E-mail，Telnet及网页的不安全性。
Internet系统的构建组成：
1、客户端软件（Web浏览器）
2、客户端的操作系统
3、客户端的局域网（LAN）
4、Internet网络
5、服务器端的局域网（LAN）
6、服务器上的Web服务器软件。
对安全的攻击：主动攻击、被动攻击。
对internet攻击的四种类型：
1、截断信息
2、伪造
3、篡改
4、介入。
IP协议的安全隐患：
1、针对IP的拒绝服务攻击
2、IP地址的顺序号预测攻击
3、TCP协议劫持入侵
4、嗅探入侵。
HTTP协议：是客户机请求服务器和服务器如何应答请求的各种方法的定义。
WEB客户机的任务：
1、为客户提出一个服务请求
2、将客户的请求发送给服务器
3、解释服务器传送的HTML等格式文档，通过浏览器显示给客户。
WEB服务器的任务：
1、接收客户机来的请求
2、检查请求的合法性
3、针对请求，获取并制作数据，包括使用CGI脚本等程序、为文件设置适当的MIME 类型来对数据进行前期处理和后期处理
4、把信息发送给提出请求的客户机。
WEB站点的安全隐患：
1、机密信息被窃取
2、数据及软硬件系统被破坏。
攻击WEB站点的几种方式：
1、安全信息被破译
2、非法访问
3、交易信息被截获
4、软件漏洞被攻击者利用等。
E-mail和Telnet及网页的不安全性：
1、E-mail的不安全性
2、入侵Telnet会话
3、网页作假
4、电子邮件炸弹和电子邮件列表链接。
对电子商务威胁的相应对策：
1、保密业务
2、认证业务
3、接入控制业务
4、数据完整性业务
5、不可否认业务
6、加快我国自主知识产权的计算机网络和电子商务安全产品的研制和开发等。
《可信任的计算机安全评估标准》：美国，为计算机安全的不同等级制订了四个标准分别为D、C、B、A级，由低到高，C级氛围C1和C2两个子集，C2比C1提供更多的保护，总体由低到高为D、C1、C2、B1、B2、B3、A。
第二章电子商务安全需求与密码技术
电子商务的安全需求：
1、可靠性
2、真实性
3、机密性
4、完整性
5、有效性
6、不可抵赖性
7、内部网的严重性。
加密：用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。
加密的基本概念缩写：1、明文M2、密文C3、加密E4、解密D5、密钥K。加密的表示方法：C=Ek(M)密文=加密k（明文）。
解密的表示方法：M=Dk(C)明文=解密k（密文）。
加密方法：
1、替换加密（单字母加密方法、多字母加密方法）
2、转换加密。
单鈅密码体制特点：
1、加解密速度快，效率高
2、单鈅密码体制的加解密过程使用同一个密钥。
单鈅密码体制的几种算法：
1、DES加密算法
2、IDEA加密算法
3、RC-5加密算法
4、AES加密算法。
双鈅密码体制：又称作公共密钥体制或非对称加密体制，在加解密过程中要使用一对密钥，一个用于加密，一个用于解密。
双鈅密码体制的特点：
1、适合密钥的分配和管理
2、算法速度慢，只适合加密小数量的信息。
双鈅密码体制的几种算法：
1、RSA密码算法
2、ELGamal密码体制
3、椭圆曲线密码体制（ECC）
密钥管理包括：密钥的设置、产生、分配、存储、装入、保护、使用以及销毁等。密钥管理方案：一般采用层次的密钥设置。
多层次密钥系统中密钥的分类：1、数据加密密钥DK 2、密钥加密密钥KK。
多层次密钥系统中密钥的划分：按照他们的控制关系，划分为一级密钥、二级密钥、n级密钥，其中一级密钥用算法n保护二级密钥，二级密钥用算法n保护三级密钥，最底层密钥也叫做工作密钥，也就是数据加密密钥，所有上层密钥都是密钥加密密钥，最高层密钥也叫做主密钥。
自动密钥分配途径：1、集中式分配方案2、分布式分配方案。
集中式分配方案：利用网络中的密钥管理中心KMC来集中管理系统中的密钥，密钥管理中心接受系统中用户的请求，为用户提供安全分配密钥的服务。
分布式分配方案：网络中各主机具有相同的地位，它们之间的密钥分配取决于它们自己的协商，不接受任何其他方面的限制。
数据的完整性：在有自然或人为干扰的条件下，网络系统保持发送方和接收方传送数据一致性的能力，是保护数据不被未授权者修改、建立、嵌入、删除及重复传送，或防止由于其他原因使原始数据被更改。
数据完整性被破坏的后果：
1、造成直接的经济损失
2、影响一个供应链上许多厂商的经济活动
3、可能造成不过不了“关”
4、会牵涉到经济案件中
5、造成电子商务经营的混乱与不信任。
散列函数：是将一个长度不确定的输入串转换成一个长度确定的输出串（输出串要不输入串短），也称哈希值、杂凑值和消息摘要，其安全性在于它的单向性和无冲突性。
数字签名的原理：用散列函数处理消息得到消息摘要，再用双鈅密码体制的私鈅加密。
常用的散列函数：1、MD-4和MD-5散列算法2、安全散列算法SHA等。
数字签名：利用数字技术实现网络传送文件时，附加个人标记，完成传统上手书签名盖章的作用，以表示确认、负责、经手等。
各种技术的应用：保障传递文件的机密性用加密技术，保障其完整性用信息摘要技术，保障认证性和不可否认性用数字签名技术。
数字签名分为：确定性数字签名、随机化式数字签名。
数字签名应满足的要求：
1、接收方B能够确认或认证发送方A的签名，但不能由B或第三方C伪造
2、发送方A发出签名的消息给接收方B后，A就不能再否认自己所签发的消息
3、接收方B对已收到的签名消息不能否认，即有收报认证
4、第三者C可以确认收发双方之间的消息传送，但不能伪造这一过程。
数字签名可以解决的安全界别问题：
1、接收方伪造
2、发送者或接受者否认
3、第三方冒充
4、接收方篡改。
ELGamal签名体制：美国NIST把它作为数字签名标准DDS，是Rabin体制的变形。RSA签名体制：利用双鈅密码体制的RSA加密算法实现数字签名。
无可争辩签名：在没有签名者自己合作下不可能验证签名的签名。
盲签名：要某人对一个文件签名，而不让其知道文件内容。
数字信封：发送方用一个随机产生的DES密钥加密消息，然后用接受方的公钥加密DES密钥，称为消息的数字信封。
数字时戳应当保证：
1、数据文件加盖的时戳与存储数据的物理媒体无关
2、对已加盖时戳的文件不可能做丝毫改动
3、要相对某个文件加盖与当前日期和时间不同时戳是不可能的。
网络系统物理设备的安全包括：运行环境、容错、备份、归档、数据完整性预防。
计算机机房的设计依据文件：1、电子计算机房设计规范GB50174-932、计算机场、地、站安全要求GB9361-883、计算机房场、地、站技术要求GB2887-894、电气装置安装工程、接地装置施工及验收规范GB50169-925、建筑内部装修设计防火规范GB50222-956、气体灭火系统施工、验收规范7、闭路监控工程设计、施工规范8、高层建筑电气设计手册。
容错技术的目的：当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。
基本的备份系统：
1、简单的网络备份系统：在网络上的服务器直接把数据通过总线备份到
设备中，也可把数据通过对网络经过专用的工作站备份到工作站的设备中
2、服务器到服务器的备份：网络上的服务器除了把数据通过总线备份到自己设备中以外，同时有备份到另一个服务器上
3、使用专用的备份服务器。
数据备份：指为防止系统出现操作失误或系统故障导致数据丢失，而将全系统或部分数据集合从应用主机的硬盘或阵列复制到其他的存储介质的过程。
常见的备份方式：
1、定期磁带备份数据
2、远程磁带库、光盘库备份
3、远程关键数据并兼有磁带备份
4、远程数据库备份
5、网络数据镜像
6、远程镜像磁盘。
容灭方案：本地容灭、异地容灭。
归档：将文件从计算机的存储介质中转移到其他永久性的介质上，以便长期保存的过程。
提高数据完整性预防措施：1、镜像技术2、故障前兆分析3、奇偶校验4、隔离不安全的人员5、电源保障。
计算机病毒：指编制者在计算机程序中插入的破坏计算机功能，或毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
病毒特征：
1、非授权可执行性
2、隐蔽性
3、传染性
4、潜伏性
5、表现性或破坏性
6、可触发性。
计算机病毒的分类：
1、按寄生方式分为引导型病毒、文件型病毒和复合型病毒
2、按破坏性分为良性病毒和恶性病毒。
引导型病毒：寄生在磁盘引导区或主引导区的计算机病毒，按其寄生位置分为主引导记录病毒和分区引导记录病毒。
文件型病毒：指能够寄生在文件中的计算机病毒。
复合型病毒：指具有引导型病毒和文件型病毒寄生方式的计算机病毒。
良性病毒：指只是为了表现自身，并不彻底破坏系统数据，但会大量占用CPU时间，增加系统开销，降低系统工作效率的计算机病毒。
恶性病毒：指一旦发作后，就会破坏系统或数据，造成计算机系统瘫痪的计算机病毒。
病毒的主要来源：
1、引进的计算机系统和软件中带有病毒
2、各类出国人员带回的机器和软件染有病毒
3、一些染有病毒的游戏软件
4、非法拷贝中毒
5、计算机生产、经营单位销售的机器和软件染有病毒
6、维修部门交叉感染
7、有人研制、改造病毒
8、敌对分子以病毒进行宣传和破坏
9、通过互联网络传入。
计算机病毒的防治策略：
1、依法制毒
2、建立一套行之有效的病毒防治体系
3、制定严格的病毒防治技术规范。
防火墙：是一类防范措施的总称，它使得内部网络与internet之间或者与其他外部网络互相隔离、限制网络互访，用来保护内部网络。
防火墙的设计原则：
1、由内到外和由外到内的业务流必须经过防火墙
2、只允许本地安全政策认可的业务流通过防火墙
3、尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网
4、具有足够的透明性，保证正常业务的流通
5、具有抗穿透攻击能力、强化记录、审计和告警。
防火墙的基本组成：1、安全操作系统2、过滤器3、网管4、域名服务5、E-mail处理。
防火墙的分类：1、包过滤型2、包检验性3、应用层网管型。
防火墙不能解决的问题：1、无法防范通过防火墙意外的其他途径的攻击2、不能防止来自内部变节者和不经心的用户带来的威胁3、不能防止传送已感染病毒的软件或文件4、无法防范数据驱动型的攻击。
虚拟专用网VPN：通过一个公共网络建立一个临时的、安全的连接，是一条穿过混乱的功用网络的安全、稳定的隧道，它是对企业内部网的扩展。
VPN功能：
1、加密数据
2、信息认证和身份认证
3、提供访问控制。
VPN优点：
1、成本较低
2、网络结构灵活
3、管理方便。
隧道协议分为：第2层隧道协议PPTP、L2F、L2TP和第3层隧道协议GRE、IPSec，其本质区别在于用户的数据包是被封装在哪种数据包中传输的。
隧道协议主要包括：1、互联网协议安全IPSec 2、第2层转发协议L2F3、点对点隧道协议PPTP4、通用路由封装协议GRE。
隧道的基本组成：1、一个隧道启动器2、一个路由网络3、一个可选的隧道交换机4、一个或多个隧道终结器。
IPSec：是一系列保护IP通信的规则的集合，制定了通过公用网路传输私有加密信息的途径和方式。
IPSec提供的安全服务：私有性（加密）、真实性（验证发送者的身份）、完整性（放数据篡改）和重传保护（防治未经授权的数据重新发送）等，并制定了密钥管理的方法。
IPSec的两种工作模式：1、传输模式2、隧道模式。
VPN解决方案分为：VPN服务器和VPN客户端。
选择VPN解决方案时需要考虑：
1、认证方法
2、支持的加密算法
3、支持的认证算法
4、支持的IP压缩算法
5、易于部署
6、兼容分布式或个人防火墙的可用性。
VPN的适用范围：
1、位置众多
2、用户或站点分布范围广
3、带宽和时延要求相对适中的用户
4、对线路保密性和可用性有一定要求的用户。
VPN不适用于：
1、非常重视传输数据的安全性
2、不管价格多少，性能都被放在第一位的情况
3、采用不常见的协议，不能在IP隧道中传送应用的情况
4、大多数通信是是是通信的应用。
VPN的分类：
1、按部署模式分为端到端模式、供应商-企业模式、内部供应商模式
2、按服务类型分为Internet VPN、Access VPN、Extranet VPN
3、按接入方式分为虚拟专用拨号网络VPDN、虚拟专用路由网络VPRN、虚拟租用线路VLL、虚拟专用LAN子网段VPLS。
Internet VPN：即企业的总部与分支机构间通过公网构筑的虚拟网；其对用户的吸引力在于减少WAN带宽的费用、能使用灵活的拓扑结构，包括全网络连接、新的站点能更快更容易的被连接。
Access VPN：又称为拨号VPN，指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网；包括模拟、拨号、ISDN、数字用户线路、移动IP和电缆技术；其对用户的吸引力在于减少用于相关的调制解调器和终端服务设备的资金及费用，简化网络、实现本地拨号接入的功能来取代远距离接入或800电话接入，显著降低远距离通信的费用、极大地可扩展性，简便的对加入网络的新用户进行调度、远端验证拨入用户服务基于标准，基于策略功能的安全服务、将工作重心从管理和保留运作拨号网络的工作人员转到公司的核心业务上来。
Extranet VPN：即企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网；其对用户的吸引力在于能容易的对外部网进行部署和管理，外部网的连接可以使用与部署内部网和远端访问VPN相同的架构和协议进行部署；主要的不同是接入许可，外部网的用户被许可只有一次机会连接到其合作人的网络。
VPN的设计原则：1、安全性2、网络优化3、VPN管理。
VPN的管理目标：1、减少网络风险2、具有高扩展性、经济性、高可靠性等优点。
VPN管理主要包括：安全管理、设备管理、配置管理、访问控制列表管理、Qos
服务质量管理等。
VPN应用前景：1、客观因素（包括因特网带宽和服务质量Qos问题）2、主观因素（用户怕自己内部的数据在internet上传输不安全；客户自身的应用跟不上）接入控制：是保证网络安全的重要手段，它通过一组机制控制不同级别的主体对目标资源的不同授权访问，在对主体认证之后实施网络资源安全管理使用。
接入控制主要对付三类入侵者：1、伪装者2、违法者3、地下用户。
接入控制的功能：
1、组织非法用户进入系统
2、允许合法用户进入系统
3、使合法人按其权限进行各种信息活动。
接入控制机构的组成：1、用户的认证与识别2、对认证的用户进行授权。
接入控制机构的建立根据三种类型信息：主体、客体、接入权限。
接入控制策略包括：
1、最小权益策略：按主体执行任务所需权利最小化分配权力
2、最小泄露策略：按主体执行任务所知道的信息最小化原则分配权力
3、多级安全策略：主题和客体按普通、秘密、机密、绝密级划分，进行权限和流向控制。
接入控制的实现方式：
1、自主式接入控制DAC（由资源拥有者分配接入权）
2、强制式接入控制MAC（由系统管理员分配接入权限和实施控制）。
数据加密的必要性：
1、解决外部黑客侵入网络后盗窃计算机数据的问题
2、解决外部黑客侵入网络后篡改数据的问题
3、解决内部黑客在内连网上盗窃计算机数据的问题
4、解决内部黑客在内连网上篡改数据的问题
5、解决CPU、操作系统等预先安置了黑客软件或无线发射装置的问题。
数据加密的作用：
1、解决外部黑客侵入网络后盗窃计算机数据的问题
2、解决外部黑客侵入网络后篡改数据的问题
3、解决内部黑客在内部网上盗窃计算机数据的问题
4、解决内部黑客在内部网上篡改数据的问题
5、解决CPU、操作系统等预先安置了黑客软件或无线发射装置的问题。
对数据库加密的方法：
1、使用加密软件加密数据
2、使用专用软件加密数据库数据
3、加密桥技术。
加密桥技术：是一个数据库加密应用设计平台，根据应用系统开发环境不同，提供不同接口，实现对不同环境下数据库数据加密以后的数据操作。
身份证明系统的组成：1、出示证件的人2、验证者3、可信赖者。
实体认证与消息认证的差别：消息认证本身不提供时间性，而实体认证一般都是实时的，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。
对身份证明系统的要求：1、验证者正确识别合法示证者的概率极大化
2、不具可传递性
3、攻击者伪装示证者欺骗验证者成功的概率小到可以忽略
4、计算有效性
5、通信有效性 6.秘密参数安全存储7、交互识别
8、第三方的实时参与9、第三方的可信赖性10、可证明安全性。
身份证明的分类：1、身份证实2、身份识别。
实现身份证明的基本途径：1、所知2、所有3、个人特征。
身份证明系统的质量指标：1、拒绝率及非法用户为早身份成功的概率
2、漏报率。
一个大系统的通行字选择原则：1、易记2、难于被别人猜中或发现3、抗分析能力强。
通行字PIN的控制措施：1、系统消息2、限制试探次数3、通行字有效期4、双通行字系统5、最小长度6、封锁用户系统7、根通行字的保护8、通行字的检验。
通行字的安全存储：1、加密形式存储2、存储通行字的单向杂凑值。Kerberos：是一种典型的用于客户机和服务器认证的认证体系协议，它是一种基于对称密码体制的安全认证服务系统；其最大的优点是使用方便、易于实施。Kerberos的作用：提供中心认证服务，并应用传统的加密方法，在客户机和服务器之间构造起一个安全桥梁的作用。
Kerberos系统的组成：1、认证服务器AS2、票据授权服务器TGS3、用户Client 4、服务器Server。
Kerberos的认证服务包括：域内认证和域间认证。
Kerberos的局限性：
1、时间同步
2、重放攻击
3、认证域之间的信任
4、系统程序的安全性和完整性
5、口令猜测攻击
6、密钥的存储。
数字认证：指用数字办法确认、鉴定认证网络上参与信息交流者或服务器的身份。数字证书：是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档。公钥数字证书：是网络上的证明文件，证明双钥体制中的公钥所有者就是证书上所记录的使用者。
公钥证书体统的分类：单公钥证书系统、多公钥证书系统。
单公钥证书系统：一个系统中所有的用户公用同一个CA。
证书有效需满足的条件：
1、证书没有超过有效期
2、密钥没有被修改
3、证书不在CA发行的无效证书清单中。
公钥证书的类型：
1、客户证书
2、服务器证书
3、安全邮件证书
4、CA证书。
公钥证书的内容：申请证书个人的信息和发行证书的CA信息。
证书数据的组成：
1、版本信息
2、证书序列号
3、CA所使用的签名算法
4、发证者的识别码
5、有效使用期限
6、证书主题名称
7、公钥信息
8、使用者Subject
9、使用者识别码
10、额外的特别扩展信息。
密钥对生成的途径：1、密钥对持有者自己生成2、密钥对由通用系统生成。
公钥-私钥对的管理包括：公钥-私钥对生成、发行、分配、更新、暂停使用、吊销注册等。
证书吊销表CRL：包括名称、发布时间、已吊销证书号、吊销时戳、CA签名等；其吊销方式有广播、立即吊销。
VeriSign将数字证书分为：个人、服务器、软件三类。
证书机构CA：用于创建和发布证书，它通常为一个称为安全域的有限群体发放证书。CA的组成：1、安全服务器2、CA服务器3、注册机构RA
4、LDAP服务器
5、数据库服务器。
认证机构：指一些不直接从电子商务中获利的受法律承认的可信任的权威机构，负责发放和管理电子证书，使网上通信的各方能互相确认身份。
认证机构提供的服务：
1、证书申请
2、证书更新（包括证书的更换、证书的延期）
3、证书吊销或撤销（分为主动申请吊销、被动强制性吊销）
4、证书的公布和查询。
公钥基础设施PKI：是一种遵循既定标准的利用公钥密码技术为电子商务的开展提供一套安全基础平台的技术和规范，他能够为所有网络应用提供加密和数字签名等密码服务及所需的密钥和证书管理体系。
PKI的基础技术包括：加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
PKI的构成：
1、政策审批机构
2、证书使用规定
3、证书政策
4、证书中心CA
5、单位注册机构
6、密钥备份及恢复系统
7、证书作废系统
8、应用接口
9、端实体。
PKI的性能：
1、支持多政策
2、透明性和易用性
3、互操作性
4、简单的风险管理
5、支持多平台
6、支持多应用。
PKI服务：
1、认证
2、数据完整性服务（主要方法是数字签名）
3、数据保密性服务
4、不可否认性服务
5、公证服务。
PKI的应用：1、虚拟专用网络VPN2、安全电子邮件3、Web安全4、电子商务的应用5、应用编程接口API。
密钥管理的目的：维持系统中各实体之间的密钥关系。
密钥管理借助的技术：加密、认证、签字、协议、公证等。
不可否认业务的类型：源的不可否认性、递送的不可否认性、提交的不可否认性。实现不可否认性的证据机制：1、业务需求2、证据生成3、证据递送
4、证据证实
5、证据保存。
实现源的不可否认业务的方法：
1、源的数字签字
2、可信赖第三方的数字签字
3、可信赖第三方对消息的杂凑值进行签字
4、可信赖第三方的持证
5、线内可信赖第三方
6、组合。
实现递送的不可否认性的方式：
1、收信人签字认可
2、收信人利用持证认可
3、可信赖递送代理
4、逐级递送报告。
可信赖第三方在实现不可否认业务中的重要作用：1、公钥证书2、身份证实3、时戳4、证据保存5、中介递送6、解决纠纷7、仲裁
解决纠纷的步骤：
1、检索不可否认证据
2、向对方出示证据
3、向解决纠纷的仲裁人出示证据
4、裁决。
安全套接层协议SSL提供的安全内容：
1、SSL把客户机和服务器之间的所有通信都进行加密，保证了机密性
2、SSL提供完整性检验，可防止数据在通信过程中被改动
3、SSL提供认证性—使用数字证书—用以正确识别对方。
SSL的体系结构：1、SSL记录协议：定义了信息交换中所有数据项的格式
2、SSL更改密码规格协议：其目的是使未决状态拷贝为当前状态，更新用于当前连接的密码组
3、SSL警告协议：用于传送SSL的有关警告
4、SSL握手协议：用于客户-服务器之间相互认证，协商加密和MAC算法，传送所需的公钥证书，建立SSL记录协议处理完整性校验和加密所需的会话密钥。
安全数据交换协议SET的目标：
1、信息的安全传输
2、多方认证的解决
3、交易的实时性
4、效仿EDI贸易形势，规范协议和消息格式。
SET：一种以信用卡为基础的，在internet上交易的付款协议，是授权业务信息传输的安全标准；它采用RSA密码算法，利用公钥体系对通信双方进行认证，用DES等标准加密算法对信息加密传输，并用散列函数算法来鉴别信息的完整性。
参与SET交易的成员：1、持卡人-消费者2、网上商店3、收单银行
4、发卡银行-电子货币发行公司或兼有电子货币发行的银行
5、认证中心CA-可信赖、公正的组织
6、支付网关-支付转接站。
SET的技术范围：
1、加密算法的应用
2、证书信息和对象格式
3、购买信息和对象格式
4、认可信息和对象格式
5、划账信息和对象格式
6、对话实体之间消息的传输协议。SET软件的组件：1、电子钱包2、商店服务器3、支付网关4、认证中心软件。SET的认证过程：1、注册登记2、动态认证3、商业机构处理流程。
SET的安全保障来自于：
1、将所有消息文本用双钥密码体质加密
2、将密钥的公钥和私钥字长增加到512B-2048B
3、采用联机动态的授权和认证检查。
SET规范的电子钱包的功能：
1、与商店端的SET软件沟通，以激活SET交易
2、向商店端查询有关付款和订货的相关信息
3、接受来自商店端的响应信息
4、向认证中心要求申请数字证书，并下载数字证书的申请表
5、从认证中心下载持卡人的数字证书
6、与认证正中心沟通，查询数字证书目前的状态。
电子钱包功能分类：
1、电子证书的管理（电子证书的申请、存储以及删除等）
2、进行交易（SET交易时分辨商家身份并发送交易信息）
3、保存交易记录（保存交易记录以供查询）
商店服务器：是商店提供SET服务的软件。
SET商店服务器的功能：
1、联系客户端的电子钱包
2、联系支付网关
3、向商店的认证中心查询数字证书的状态
4、处理SET的错误信息。
支付网关：是Internet电子商务网络上的一个站点，负责接收来自商店服务器送来的SET付款数据，再转换成银行网络的格式，传送给收单银行处理。
SET购物步骤：1、安装电子钱包2、申请信用卡及电子证书SETID3、购物。SET购物过程：1、持卡人订货
2、通过电子商务服务器与有关在线商店联系，在线商店作出应答
3、持卡人选择付款方式，确认订单，签发付款指令
4、商店通过收单银行检查信用卡的有效性
5、收单银行的确认
6、在线商店发送订单确认信息给持卡人
7、结账。
SET与SSL的比较：
1、使用目的和场合；前者主要用于信用卡交易，传送电子现金，后者用于购买信息的交流，传送电子商贸信息
2、安全性；前者要求很高，整个交易过正中都要保护，后者要求很低，因为保护范围只是持卡人到商家一端的信息交换
3、必须具有认证资格对象；前者安全需求高，因此所有参与者与SET交易的成员都必须先申请数字证书来识别身份，后者通常只是商家一段的服务器，客户端认证是可选的
4、实施时所需的设置费用；前者较高，持卡人必须先申请数字证书，然后在计算机上安装符合SET规格的电子钱包软件，后者较低，不需要另外安装软件
5、当前使用情况；前者由于设置成本高和引入时间短，目前普及率较低，后者普及率较高。
中国金融认证中心CFCA：是国内唯一一家能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构；其认证系统采用基于PKI技术的双密钥机制；具有完善的证书管理功能，提供证书申请、审核、生成、颁发、存储、查询、废止等全程自动审计服务。
CFCA体系结构：
1、根CA
2、政策CA
3、运营CA（CA系统、整数注册审批机构RA）。CFCA证书：是CFCA用其私钥进行了数字签名的包含用户身份、公开密钥、有效期等许多相关信息的权威性的电子文件，是各实体在网上的电子身份证。
CFCA证书种类：企业高级证书、个人高级证书、企业普通证书、个人普通证书、服务器证书、手机证书、安全E-mail证书、VPN设备证书、代码签名证书。
网上证券交易分为：网上炒股和网上银证转账。
CTCA：中国电信CA安全认证系统。
CTCA体系：1、全国CA安全认证中心2、省级RA中心3、地市业务受理点。CTCA提供的几种证书：安全电子邮件证书、个人数字证书、企业数字证书、服务器数字证书、SSL服务器数字证书。
SHECA：上海市电子商务安全证书管理中心有限公司。
SHECA提供的证书系统：1、SET证书系统2、通用证书系统。
证书存放的介质：可以使硬盘、软盘、IC卡、加密卡、加密机。
证书管理器将证书分为：个人证书、他人证书、根证书。
CFCA金融认证服务相关业务规则：1、网关（银行）业务规则2、商户（企业）业务规则3、持卡人（个人）业务规则4、中介机构业务规则。持卡人证书申请分为：网上申请和面对面申请。
自考电子商务安全导论押密试题及答案(3)
自考电子商务安全导论押密试题及答案（3）第一部分选择题 一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。 1．电子商务，在相当长的时间里，不能少了政府在一定范围和一定程度上的介入，这种模式表示为 ( ) A．B-G B．B-C C．B-B D．C-C 2．在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人或实体指的是( ) A．可靠性 B．真实性 C．机密性 D．完整性 3．通过一个密钥和加密算法可将明文变换成一种伪装的信息，称为 ( ) A．密钥 B．密文 C．解密 D．加密算法 4．与散列值的概念不同的是 ( ) A．哈希值
B．密钥值 C．杂凑值 D．消息摘要 5．SHA的含义是 ( ) A．安全散列算法 B．密钥 C．数字签名 D．消息摘要 6．《电子计算机房设计规范》的国家标准代码是 ( ) A. GB50174-93 B.GB9361- 88 C. GB2887-89 D.GB50169- 92 7．外网指的是 ( ) A.非受信网络 B．受信网络 C．防火墙内的网络 D．局域网 8．IPSec提供的安全服务不包括 ( ) A．公有性 B．真实性 C．完整性
D．重传保护 9．组织非法用户进入系统使用 ( ) A．数据加密技术 B．接入控制 C．病毒防御技术 D．数字签名技术 10. SWIFT网中采用了一次性通行字，系统中可将通行字表划分成_______部分，每部分仅含半个通行字，分两次送给用户，以减少暴露的危险性。 ( ) A．2 B．3 C．4 D．5 11．Kerberos的域内认证的第一个步骤是 ( ) A. Client →AS B. Client ←AS C．Client AS D．AS Client 12．_______可以作为鉴别个人身份的证明：证明在网络上具体的公钥拥有者就是证书上记载的使用者。 ( ) A．公钥对 B．私钥对 C．数字证书
(完整版)工程经济学知识点整理
1、工程经济学 定义：在有限资源的条件下，运用有效的方法，对各种工程项目进行评价和选择，以确定出最佳方案，从而为实现正确的投资决策提供科学依据的一门应用性经济学科。 研究对象（P2）：工程项目的经济性（一个项目具有独立的功能和明确的费用投入）出发点：企业或投资者角度，以市场价格作为参照的财务评价； 地区或国家角度，综合考虑资源配置效率的国民经济评价； 考虑到就业率、分配公平和社会稳定等方面的社会评价。 研究特点（P3）：边缘性：自然科学和社会经济科学之间的边缘性学科； （编英语综述）应用性：对具体问题进行分析评价，为将要采取的行动提出决策的依据； 预测性：在问题决策之前进行的，有科学的依据才能有科学的决策； 综合性：研究处理技术经济问题需要运用多学科知识进行综合分析与评价； 数量性：为科学准确评价方案的经济效果，工程经济学采用许多定量分析。 2、时间价值 定义：资金时间价值是指资金在扩大再生产及其循环周转过程中，随着时间变化而产生的增值。 产生增值的两个条件： （1）货币作为资本或资金参加社会周转； （2）经历一定的时间。 影响增值的因素主要包括： （1）资金数量和投入的时间； （2）资金的周转速度； （3）资金效益高低； （4）资金使用代价的计算方式及利率高低等。 现金流量（现金流入、现金流出及净现金流量的统称） 三要素：大小、流向、发生时间 六个基本公式 已知量未知量系数表达式系数计算式P F （F/P，i，n）F=P×(1+i)n F P （P/F，i，n） P=F× 1 (1+i)n A F （F/A，i，n） F=A×(1+i)n?1 i F A （A/F，i，n） A=F× i (1+i)n?1 A P （P/A，i，n） P=A×(1+i)n?1 i×(1+i)n P A （A/P，i，n） A=P×i×(1+i)n (1+i)n?1 3、投资的估算固定资产投资估算增值形式 （1）借贷中的利息；（2）生产经营中的利润；（3）投资的收益； （4）占用资源的代价。
电子商务安全导论复习资料
电子商务安全导论电子商务：顾名思义，是建立在电子技术基础上的商业运作，是利用民子技术加强，加快，扩展，增强，改变了其有关过程的商务。Intranet：是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。intranet上提供的服务主要是面向的是企业内部。 Extranet：是指基于TCP/IP协议的企业处域网，它是一种合作性网络。 商务数据的机密性：商务数据的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。 邮件炸弹：是攻击者向同一个邮件信箱发送大量的垃圾邮件，以堵塞该邮箱。 TCP劫持入侵：是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。HTTP协议的“有无记忆状态”：即服务器在发送给客户机的应答后便遗忘了些次交互。TLENET等协议是“有记忆状态”的，它们需记住许多关于协议双方的信息，请求与应答。 电子商务的模式1)大字报／告示牌模式。2)在线黄页簿模式。3)电脑空间上的小册子模式。4)虚拟百货店模式。5)预订／订购模式。6)广告推销模式。什么是保持数据的完整性？商务数据的完整性或称正确性是保护数据不被未授权者修改，建立，嵌入，删除，重复传送或由于其他原因使原始数据被更改。在存储时，要防止非法篡改，防止网站上的信息被破坏。在传输过程中，如果接收端收到的信息与发送的信息完全一样则说明在传输过程中信息没有遭到破坏，具有完整性。加密的信息在传输过程，虽能保证其机密性，但并不能保证不被修改。 网页攻击的步骤是什么？第一步，创建一个网页第二步：攻击者完全控制假网页。第三步，攻击者利用网页做假的后果：攻击者记录受害者访问的内容，当受害者填写表单发送数据时，攻击者可以记录下所有数据。此外，攻击者可以记录下服务器响应回来的数据。这样，攻击者可以偷看到许多在线商务使用的表单信息，包括账号，密码和秘密信息。 什么是Intranet?Intranet是指基于TCP/IP协议的内连网络。它通过防火墙或其他安全机制与Intranet建立连接。Intranet上可提供所有Intranet 的应用服务，如WWW，E-MAIL等，只不过服务面向的是企业内部。和Intranet一样，Intranet具有很高的灵活性，企业可以根据自己的需求，利用各种Intranet互联技术建立不同规模和功能的网络。 为什么交易的安全性是电子商务独有的？这也是电子商务系统所独有的。在我们的日常生活中，进和一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎么能够向法院证明合同呢？这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺诈。 攻击WEB站点有哪几种方式？安全信息被破译非法访问：交易信息被截获：软件漏洞被攻击者利用：当用CGI脚本编写的程序或其他涉及到远程用户从浏览中输入表格并进行像检索之类在主机上直接操作命令时，会给WEB主机系统造成危险。 WEB客户机和WEB服务器的任务分别是什么？ WEB客户机的任务是： 1）为客户提出一个服务请求——超链时启动2）将客户的请求发送给服务器3）解释服务器传送的HTML等格式文档，通过浏览器显示给客户。 WEB服务器的任务是：1）接收客户机来的请求2）检查请求的合法性3）针对请求，获取并制作数据，包括使用CGI脚本等程序，为文件设置适当的MIME类型来对数据进行前期处理和后期处理4）把信息发送给提出请求的客户机。 电子商务安全的六项中心内容是什么？ 1）商务数据的机密性或称保密性2）商务数据的完整性或称正确性3）商务对象的认证性4）商务服务的不可否认性5）商务服务的不可拒绝性或称可用性6）访问的控制性 Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。(2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 明文：原始的，未被伪装的消息称做明文，也称信源。通常用M表示。 密文：通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。通常用C表示。 加密：就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。通常用E表示。 解密：由密文恢复成明文的过程，称为解密。通常用D表示。 加密算法：对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。
电路知识点总结
电路知识点总结 初二物理电路的组成知识点总结 1.定义：把电源、用电器、开关、导线连接起来组成的电流的路径。 2.各部分元件的作用：(1)电源：提供电能的装置;(2)用电器：工作的设备;(3)开关：控制用电器或用来接通或断开电路;(4)导线：连接作用，形成让电荷移动的通路 二、电路的状态：通路、开路、短路 以阿拉伯人为主的国家(阿拉伯人占人口多数的国家)被称为阿拉伯国家。西亚是世界 上阿拉伯人的主要聚居地区之一。除了阿富汗、伊朗、土耳其、塞浦路斯、以色列、格鲁 吉亚、亚美尼亚、阿塞拜疆8个国以外，其他国家和地区的居民主要是阿拉伯人，均属于 阿拉伯国家。此外，非洲北部地中海沿岸的埃及、利比亚、突尼斯、阿尔及利亚、摩洛哥 等五个国家也属于阿拉伯国家。 1.定义：(1)通路：处处接通的电路;(2)开路：断开的电路;(3)短路：将导线直接连 接在用电器或电源两端的电路。 2.正确理解通路、开路和短路 三、电路的基本连接方式：串联电路、并联电路 四、电路图(统一符号、横平竖直、简洁美观) 五、电工材料：导体、绝缘体 1. 导体 (1) 定义：容易导电的物体;(2)导体导电的原因：导体中有自由移动的电荷; 2. 绝缘体 (1)定义：不容易导电的物体;(2)原因：缺少自由移动的电荷 六、电流的形成 这句话的问题在于代词使用不一致。请看one must be so dedicated that you will practice six hours a day，前面用的代词是one，但是后文使用的是you，再理解句意，不难发现两个代词其实是在指代同一个人。所以应该把you改成one. 1.电流是电荷定向移动形成的; 由于石油生产、出口是的这些国家成为世界上“最富有的国家”。但经济结构单一， 近几年各国努力促进经济多样化的发展，加强基础设施和城市建设，发展制造业和农业。
电子商务安全导论知识点整理
第一章电子商务安全基础 商务：是经济领域特别是市场经济环境下的一种社会活动，它涉及货品、服务、金融、知识信息等的交易。 电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 电子商务主客体关系分为： 1、B2B企业、机构之间 2、B2C企业与消费者之间 3、C2C个人用户之间 4、B2G企业政府之间。 电子商务的技术要素组成： 1、网络 2、应用软件 3、硬件。 电子商务的常见模式： 1、大字报或告示牌模式 2、在线黄页簿模式 3、电脑空间上的小册子模式 4、虚拟百货店模式 5、预定或订购模式 6、广告推销模式。 因特网的优劣势： 1、优势：广袤覆盖及开放结构，由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖率增长至几乎无限 2、劣势：因特网的管理松散，网上容难以控制，私密性难以保障，从电子商务等应用看，安全性差也是因特网的又一大缺点。 域网（Intranet）：是由某一企业或机构利用因特网的技术，即因特网的标准和协议等，建立起来的该企业专用的计算机网络。 防火墙：是一个介乎域网和因特网其他部分之间的安全服务器。 外域网（Extranet）：用域网同样的办法建立的一个连接相关企业、单位、机构的专用网络。 EDI的信息传输方式：存储-转发。 电子商务的驱动力：1、信息产品硬件制造商2、信息产品软件厂商3、大型网上服务厂商4、银行及金融机构5、大企业6、政府。 电子商务的安全隐患： 1、数据的安全 2、交易的安全。 电子商务系统可能遭受的攻击： 1、系统穿透 2、违反授权原则 3、植入 4、通信监视 5、通信窜扰 6、中断 7、拒绝服务 8、否认 9、病毒。电子商务安全的中心容： 1、商务数据的性 2、完整性 3、商务对象的认证性 4、商务服务的不可否认性 5、商务服务的不可拒绝性 6、访问的控制性等。 产生电子商务安全威胁的原因： 1、internet在安全方面的缺陷 2、Internet的安全漏洞 3、TCP/IP协议极其不安全性 4、E-mail，Telnet及网页的不安全性。
2019年10月全国自考电子商务安全导论试题
2019年10月全国自考电子商务安全导论试题 一、单项选择题: 1.美国的橘皮书中为计算机安全的不同级别制定了4个标准:A、B、C、D级,其中B级又分为B1、B2、B3三个子级,C级又分为C1、C2两个子级。以下按照安全等级由低到高排列正确的是 A.A、B1、B2、B3、C1、C2、D B.A、B3、B2、B1、C2、C1、D C.D、C1、C2、B1、B2、B3、A D.D、C2、C1、B3、B2、B1、A 2.以下不属于电子商务遭受的攻击是 A.病毒 B.植入 C.加密
D.中断 3.第一个既能用于数据加密、又能用于数字签名的算法是 A. DES B.EES C.IDEA D. RSA 4.下列属于单钥密码体制算法的是 A.RC-5加密算法 B.rs密码算法 C. ELGamal密码体制 D.椭圆曲线密码体制
5.MD5散列算法的分组长度是 A.16比特 B.64比特 C.128比特 D.512比特 6.充分发挥了DES和RSA两种加密体制的优点,妥善解决了密钥传送过程中的安全问题的技术是 A.数字签名 B.数字指纹 C.数字信封 D.数字时间戳 7.《电气装置安装工程、接地装置施工及验收规范》的国家标准代码
是 A.GB50174-93 B.GB9361-88 C.GB2887-89 D.GB50169-92 8.按照《建筑与建筑群综合布线系统工程设计规范》(CECS72:97)的要求,设备间室温应保持的温度范围是 A.0℃-10℃ B.10℃-25℃ C.0℃-25℃ D.25℃-50℃ 9.内网是指
A.受信网络 B.非受信网络 C.防火墙外的网络 D.互联网 10.检查所有进出防火墙的包标头内容的控制方式是 A.包过滤型 B.包检验型 C.应用层网关型 D.代理型 11.对数据库的加密方法通常有多种,以下软件中,属于使用专用加密软件加密数据库数据的软件是 A. Microsoft Access B. Microsoft Excel
大学电路知识点总结
大学电路知识点总结 【篇一：大学电路知识点总结】 电路理论总结 第一章 一、重点： 1、电流和电压的参考方向 2、电功率的定义：吸收、释放功率的计算 3、电路元件：电阻、电感、电容 4、基尔霍夫定律 5、电源元件 二、电流和电压的参考方向： 1、电流（current） : i ①符号 :i ②计算公式 i(t)?dq(t)/dt a、说明：电流的参考方向是人为假定的电流方向，与实际 电流方向无关，当实际电流方向与参考方向一致时电流取正，相反地，当实际电流方向与参考方向不一致时电流取负。 b、表示方法：在导线上标示箭头或用下标表示 c、例如： 参考方向（iab） ———— ———— 实际方向 实际方向 i 0 2、电压（voltage） ①符号：u ②计算公式： i 0 u=dw/dq 荷从一点移动到另一点所做的功的大小。 ③定义：两点间的电位（需确定零电位点?）差，即将单位正电 ④单位：伏特v 1v=1j/1c a、说明：电压的实际方向是指向电位降低的方向，电压的 参考方向是人为假定的，与实际方向无关。若参考方向与实际方向一致则电压取正，反之取负。 b、表示方法：用正极性(＋)表示高电位，用负极性（－）
表示低电位，则人为标定后，从正极指向负极的方向即为电压的参 考方向或用下标表示（uab）。 c、例如： 参考方向参考方向 i u 实际方向 – + i 实际方向 – + + u 0 3、关联与非关联参考方向 u 0 ①说明：一个元件的电流或电压的参考方向可以独立的任意的 人为指定。无论是关联还是非关联参考方向，对实际方向都无影响。 ②关联参考方向：电流和电压的参考方向一致，即电流从 所标的正极流出。 非关联参考方向：电流和电压的参考方向不一致。 ③例如： r i r i + u 关联参考方向 u 非关联参考方向 u=ir 三、电功率 1、符号：p 2、计算公式： u=－ir 4、相关习题：课件上的例题，1-1,1-2，1-7 dwp??ui dt
电子商务安全导论-结课论文.
电子商务安全问题初探 随着电子信息技术的迅速普及和广泛应用，电子商务以其快捷、便利等优点越来越受到社会的认可。电子商务的发展前景十分诱人，但商业信息的安全依然是电子商务的首要问题。本文从实现电子商务安全性的基本框架出发，对电子商务中的各种安全技术进行了分析，以探讨一种有效、安全的实现电子商务的途径。 一、电子商务的安全问题 电子商务安全问题主要有： 1?信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取 机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。 2.信息的篡改:当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。 3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。 4.交易抵赖:交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。 二、电子商务的安全性要求 要使电子商务健康、顺利发展，必须解决好以下六种关键的安全性要求： (1可靠性要求：可靠性要求是指为了防止计算机的软件错误、硬件故障、网络中断、计算机病毒和自然灾害等突发事件，采取的一系列控制和预防措施来防止数据信息资源部受破坏的可靠程度。
(2保密性要求：信息的存取时在安全的环境中进行，不能被非法窃取、泄露；信息的发送和接收是在安全的网络中进行，交易双方在信息交换过程中没有被窃听的危险，非参与方不能获取交易的信息，保证交易双方的信息安全。 (3完整性要求：完整性是指数据在发送、接收和传递过程中，要求保证数据的一致性，防止非法用户对数据的随意生成、修改和删除，同时还要保证数据传递次序的统一。信息的完整性是从事电子商务交易双方的经营基础。 (4真实性要求：从事电子商务的交易双方的身份不能被假冒或伪装，能够有效鉴别、确定交易双份的真实身份。能否方便而有可靠地确认交易双方身份的真实性，是顺利进行电子商务交易的前提。 (5不可抵赖性要求:在电子商务环境下，通过手写签名和个人印章进行交易双方的鉴别已是不可能的了，必须在交易信息的传递过程中参与交易的个人、企业、商家或其他部门提供可靠的标识，有第三方提供有效的数字化过程记录，使交易各方不能事后抵赖。 (6有效性要求：在网络交易中，交易双方的信息交流(如双方的购销合同、签名、时间等都是以数字化的形式出现的，数字化的文件取代了原有的纸张，那么保证这种数字信息的有效性并为交易双方共同认可，就显得格外重要。一旦签订交易合同后，这项交易就受到法律保护，并防止被篡改或伪造。 三、电子商务信息安全技术 1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。 防火墙技术主要有：(1包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2代理服务技术:提供应用层服务控制，起
工程经济与项目管理(工程经济学)重点要点
1.工程经济学的研究对象:项目的经济性 2.出发点：(1)从企业或投资者的角度以市场价格为参照系的财务评价(2)从地区或国家的角度综合考虑资源配置效率的国民经济评价(3)考虑就业率分配公平和社会稳定等方面的社会评价 3.建设项目周期是指一个建设项目从提出投资意向开始直到竣工验收投产和总结评价的投资权过程。分四个阶段：决策阶段、设计阶段、施工阶段、总结评价阶段 4.机会成本：在互斥方案中选择其中一个而非另一个，所放弃的最佳效益 5.沉没成本：过去已经发生的一种成本，已经花费的金钱和资源，沉没成本属于过去，是不可改变的 6.基准贴现率的确定: 资金成本，机会成本，投资风险，通货膨胀 7.内部收益率的优缺点:优点是不需要事先确定基准收益率，用百分比表示较形象直观;缺点是计算较复杂 8.IRR是寿命期末全部恢复占用资金的利率，表明资金的恢复能力或收益能力。越大表明项目的恢复能力越强，这个能力取决于项目内部的生产经营状况 9.研究期法:一般取方案中寿命短的那个寿命期为研究期，仅考虑这一研究期内两个方案的效果比较，而把研究期后的效果影响以残值的形式放在研究期末 10.最小公倍数法:两个方案服务寿命的最小公倍数作为一个共同的期限，并假定各方案均在这一共同计算期内重复进行，求共同计算期的NPV，大者为优 11.价值工程是以提高实用价值为目的，以功能分析为核心，以最低的寿命周期成本实现产品的必要功能的有组织的活动 12.货币等值三要素：金额，金额发生的时间，利率 13.备选方案关系：互斥方案，独立方案，依存方案 14.经济寿命：技术寿命，物理寿命，经济寿命 15.固定资产折旧额三要素：原值，残值，折旧年限 16.现金流量图三要素：方向，大小，时点 17.审批程序:项目建议书，可行性研究报告，初步设计审批，投资计划下达 18.功能分类:(1)按重要性程度分为基本功能和辅助功能(2)按性质分为使用功能和美学功能(3)按需求分必要功能和不必要功能(4)从数量是否恰当分过剩功能和不足功能 19.提出改进方案的方法:头脑风暴法，哥顿法，德尔菲法 20.评价改进选择:从技术，经济，社会三方面评价
00997电子商务安全导论试题
绝密★考试结束前 全国2013年10月高等教育自学考试 电子商务安全导论试题 课程代码：00997 请考生按规定用笔将所有试题的答案涂、写在答题纸上。 选择题部分 注意事项： 1．答题前，考生务必将自己的考试课程名称、姓名、准考证号用黑色字迹的签字笔或钢笔填写在答题纸规定的位置上。 2．每小题选出答案后，用2B铅笔把答题纸上对应题目的答案标号涂黑。如需改动，用橡皮擦干净后，再选涂其他答案标号。不能答在试题卷上。 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题纸” 的相应代码涂黑。错涂、多涂或未涂均无分。 1．病毒按破坏性划分可以分为 A．良性病毒和恶性病毒B．引导型病毒和复合型病毒 C．文件型病毒和引导型病毒D．复合型病毒和文件病毒 2．在进行身份证明时，用个人特征识别的方法是 A．指纹B．密码 C．身份证D．密钥 3．下列选项中，属于电子邮件的安全问题的是 A．传输到错误地址B．传输错误 C．传输丢失D．网上传送时随时可能被人窃取到 4．RC-5加密算法中的可变参数不包括 ．．． A．校验位B．分组长 C．密钥长D．迭代轮数 5．一个明文可能有多个数字签名的算法是 00997# 电子商务安全导论试题第1页共5页
A．RSA B．DES C．Rabin D．ELGamal 6．数字信封技术中，加密消息密钥形成信封的加密方法是 A．对称加密B．非对称加密 C．对称加密和非对称加密D．对称加密或非对称加密 7．防火墙的组成中不包括 ．．．的是 A．安全操作系统B．域名服务 C．网络管理员D．网关 8．下列选项中，属于加密桥技术的优点的是 A．加密桥与DBMS是不可分离的B．加密桥与DBMS是分离的 C．加密桥与一般数据文件是不可分离的D．加密桥与数据库无关 9．在不可否认业务中保护收信人的是 A．源的不可否认性B．提交的不可否认性 C．递送的不可否认性D．A和B 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是 A．SSL B．TLS C．SET D．PKI 11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是 A．CFCA B．CTCA C．SHECA D．PKI 12．下列选项中，属于中国电信CA安全认证系统结构的是 A．地市级CA中心B．地市级RA中心系统 C．省CA中心D．省RA中心系统 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是 A．B1级B．Cl级 C．B2级D．C2级 14．下列选项中，属于提高数据完整性的预防性措施的是 A．加权平均B．信息认证 C．身份认证D．奇偶校验 00997# 电子商务安全导论试题第2页共5页
初三物理电流和电路知识点总结.
第十五章电流和电路 摩擦起电：摩擦过的物体具有吸引轻小物体的现象——带电体==本质：电荷 的转移 正电荷：被丝绸摩擦过的玻璃棒带的电荷 种类 电荷 负电荷：被毛皮摩擦过的橡胶棒带的电荷 性质：同种电荷互相排斥，异种电荷互相排斥 检验：验电器——原理：同种电荷互相排斥 电量：q 单位：库伦 简称：库 符号：C 元电荷：最小电荷：e=1.6×1019 - C 组成：电源、开关、导线、用电器 电源：提供电能 开关：控制电路通断 作用 用电器：消耗电能 导线：传输电能的路径 导体：金属、人体、食盐水 两种材料 绝缘体：橡胶、玻璃、塑料 电流产生条件 ①电路闭合 ②保持通路 定义：正电荷移动的方向 电路 电流的方向 在电源中电源的正极→用电器→电源的负极 单位：A ?→?310mA ?→?310A μ 工具：电流表 ○A 测量 使用方法 ①电流表必须和被测的用电器串联 电流的大小（I ） ②看清量程、分度值，不准超过电流 表的量程 ③必须正入负出 ④任何情况下都不能直接连到电源 的两极 电路的连接：先串后并，就近连线，弄清首尾 通路：接通的电路 三种状态 断路：断开的电路 短路：电流不经过用电器直接回到电源的负极
1、物体有了吸引轻小物体的性质，我们就说物体带了电荷；换句话说，带电体具有吸引 轻小物体的性质。 2、用摩擦的方法使物体带电叫摩擦起电； 3、摩擦起电的实质：摩擦起电并不是创生了电，而是电子从一个物体转移到了另一个物 体，失去电子的带正电；得到电子的带负电。 二、两种电荷： 1、把用丝绸摩擦过的玻璃棒带的电荷叫正电荷；电子从玻璃棒转移到丝绸。 2、把用毛皮摩擦过的橡胶棒带的电荷叫负电荷；电子从毛皮转移到橡胶棒。 3、基本性质：同种电荷相互排斥，异种电荷相互吸引； 4、带电体排斥带同种电荷的物体;带电体吸引带异种电荷的物体和轻小物体。 例：1、A带正电，A排斥B，B肯定带正电； 2、A带正电，A吸引B，B可能带负电也可能不带电。（A、B都是轻小物体） 三、验电器 1、用途：用来检验物体是否带电；从验电器张角的大小，可以粗略的判断带电体所带电荷的多少。 2、原理：利用同种电荷相互排斥； 四、电荷量（电荷）电荷的多少叫电荷量，简称电荷；单位：库仑（C）简称库； 五、原子的结构质子（带正电） 原子核 原子中子（不带电） 电子（带负电） 原子核所带的正电荷与核外所有电子总共带的负电荷数在数量上相等，整个院子呈中性，原子对外不显带电的性质。 六、元电荷 1、最小的电荷叫做元电荷，用符号e表示，e=1.6*10-19C。 2、电子电荷量的大小是最小的。 七、导体、绝缘体 1、善于导电的物体叫导体；如：金属、人体、大地、石墨、酸碱盐溶液； 2、不善于导电的物体叫绝缘体，如：橡胶、玻璃、塑料、陶瓷、油、空气等； 3、导体和绝缘体在一定条件下可以相互转换； 例如：1、干木头（绝缘体）、湿木头（导体）2、玻璃通常是绝缘体、加热到红炽状态（导体） 一、电流 1、电荷的定向移动形成电流；（电荷包括正电荷和负电荷定向移动都可以形成电流）3、规定：正电荷定向移动的方向为电流的方向（负电荷定向移动的方向与电流方向相反，尤其注意电子是负电荷，电子的移动方向与电流的方向相反）
电子商务安全导论实践试题及答案
电子商务安全导论实践试题及答案 1.简单的加密算法的代码编写（凯撒密码） 2.电子商务安全认证证书的网上申请以及使用说明 3.你使用的机器上本地安全设置中的密码策略如何 4.说明你所使用的机器上的公钥策略基本情况 5.本机IP安全策略中的安全服务器（要求安全设置）属性以及基本情况 6.本机IP安全策略中的客户端（只响应）属性的基本情况 7.本机IP安全策略中的服务器（请求安全设置）属性和基本情况如何（编辑规则常规高级方法） 8.说明智能卡是是如何进行用户鉴别的 9.本机上证书的使用情况 10.上网查询江苏省电子商务安全证书的基本情况 11.说明木马在win.ini条件下的症状如何 12.举例说明你所使用的个人防火墙的功能项目以及使用方法 13.介绍一种你所熟悉的黑客攻击技术 14.你的手头没有什么专用安全软件工具如何手动检查系统出现的安全问题 15.查阅有关资料分析极速波I-WORM/ZOBOT 的技术方法 解答 《一》简单的加密算法的代码编写（凯撒密码） 凯撒密文的破解编程实现 凯撒密文的破解编程实现 近来安全的发展，对密码学的研究越来越重要，虽然我们现在大多采用的是 非对称密码体制，但是同时由于处理及其它的一些重要原因，对传统密码仍然 是在大量的使用，如移位，替代的基本思想仍然没有改变，我个人认为，将来 的很长时间内，我们必将会花大量的时间对密码学进行研究，从而才能促进我
们的电子政务，电子商务的健康发展，下面我要谈的是对一个古典密码----- 凯撒（kaiser)密码的的解密，也就是找出它的加密密钥，从而进行解密，由于 它是一种对称密码体制，加解密的密钥是一样的，下边简单说明一下加解密 加密过程： 密文：C=M+K (mod 26) 解密过程： 明文：M=C-K (mod 26) 详细过程请参考相关资料 破解时主要利用了概率统计的特性，E字母出现的概率最大。 加密的程序实现我就不说了， 下面重点说一下解密的程序实现：我是用C写的，在VC6.0下调试运行正确 #include"stdio.h" #include"ctype.h" #include"stdlib.h" main(int argc ,char *argv[]) { FILE *fp_ciper,*fp_plain; //密文与明文的文件指针 char ch_ciper,ch_plain; int i,temp=0; //i用来存最多次数的下标 //temp用在求最多次数时用 int key; //密钥 int j; int num[26]; //保存密文中字母出现次数 for(i = 0;i < 26; i++) num = 0; //进行对num[]数组的初始化 printf("======================================================\n"); printf("------------------BY 安美洪design--------------------\n"); printf("======================================================\n"); if(argc!=3) { printf("此为KAISER解密用法：[文件名] [密文路径] [明文路径]\n"); printf("如：decryption F:\ciper_2_1.txt F:\plain.txt\n"); } //判断程序输入参数是否正确
工程经济学期末考试重点
工程经济学 一、单选题（共10小题，每题1分，共计10分） 二、多选题（共 5 小题，每题2分，共计10分） 三、判断题（共 5 小题，每题2分，共计10分） 四、简答题（共 5 小题，每题6分，共计30分） 五、计算题（共 4 小题，每题10分，共计40分） 注：可以使用计算器 试 题 举 例 一、单选题 （ A ） A ． B ．0 C. 1 D. 三、判断题 无论对常规项目还是非常规项目，其内部收益率具有唯一性。 （ √ ） 二、多选题 以下关于差额内部收益率的说法，正确的是（ ABCE ）。 A ．寿命期相等的方案，净现值相等时的收益率 B ．寿命期不等的方案，净年值相等时的收益率 C. 差额收益率大于基准收益率，则投资大的方案为优选方案 D. 差额收益率大于基准收益率，则投资小的方案为优选方案 E. 差额收益率大于基准收益率，差额净现值大于零 净现值与内部收益率两个指标比较 净现值是投资项目在整个寿命期内的、按基准折现率计算的超额净收益现值；内部收益率是投资项目在寿命期内的尚未回收的投资的赢利率。二者的优点是：①二者都考虑了投资项目在整个寿命期内的经济效果，不同之处在于，净现值是一种价值量指标，内部收益率是一个效率类指标；②二者都考虑了投资项目在整个经济寿命期内的更新或追加投资；③二者都反映了纳税后的投资效果；④净现值指标既能用于投资方案在费用效益对比上的评价，又能和其他投资方案进行直接的比较；⑤内部收益率是反映项目的内生经济特性的指标，不需要预先确定基准收益率。二者的缺点是：①运用净现值指标需要预先确定基准折现率，这给项目决策带来的困难；②用净现值指标比选方案时，没有考虑各方案投资额的大小；③运用内部收益率指标进行方案比选时，不能总是给出正确的评价结果，需要采用差额内部收益率指标。 基准折现率与社会折现率 社会折现率是社会对资金时间价值的估值，代表投资项目的社会资金所应达到的按复利计算的最低收益水平，即资金的影子利率；基准折现率是投资者或项目主持人对资金时间价值的估值，代表项目投资所应达到的按复利计算的最低期望收益水平； 可见，它们的相同之处是，基准收益率与社会折现率都是对资金时间价值的估值，都代表了对项目的最低期望收益水平；不同之处在于代表的利益主体不同，因而视角不同，前者是国家层面，后者是企业或投资者层面。 ()()=-n i F A n i P A ,,/,,/i
2010年1月自学考试电子商务安全导论试题
全国2010年1月高等教育自学考试 电子商务安全导论试题 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 l.美国的橘皮书中计算机安全B级的子级中，从高到低依次是（） A.Bl B2 B.B2 B1 C.B1 B2 B3 D.B3 B2 B1 2.现在常用的密钥托管算法是（） A.DES算法 B.EES算法 C.RAS算法 D.SHA算法 3.SHA算法输出的哈希值长度为（） A.96比特 B.128比特 C.160比特 D.192比特 4.使用数字摘要和数字签名技术不．能．解决的电子商务安全问题是（） A.机密性 B.完整性 C.认证性 D.不可否认性 5.在服务器中经常使用偶数块硬盘，通过磁盘镜像技术来提升系统的安全性，这种磁盘冗余技术称为（） A.RAID 0 B.RAID 1 C.RAID 3 D.RAID 5 6.防火墙技术中处理效率最低的是（） A.包过滤型 B.包检验型 C.应用层网关型 D.状态检测型 7.目前，对数据库的加密方法主要有（） A.2种 B.3种 C.4种 D.5种 8.身份证明系统的质量指标中的II型错误率是（） A.通过率 B.拒绝率 C.漏报率 D.虚报率 9.在对公钥证书格式的定义中已被广泛接受的标准是（） A.X.500 B.X.502 C.X.509 D.X.600 10.使用者在更新自己的数字证书时不可以 ．．．采用的方式是（） A.电话申请 B.E-Mail申请 C.Web申请 D.当面申请 11.在PKI的构成模型中，其功能不包含 ．．．在PKI中的机构是（） A.CA B.ORA C.PAA D.PMA 12.用于客户——服务器之间相互认证的协议是（）
工程经济学重点整理
1.工程经济学的基本原理:①工程经济分析的目的是提高工程经济活动的经济效果；②技术与经济之间是对立统一的辩证关系；③工程经济分析的重点是科学预见活动的结果；④工程经济分析是对工程经济活动的系统评价；⑤满足可比条件是技术方案比较的前提。 2.通常用利息作为衡量资金时间价值的绝对尺度，用利率作为衡量资金时间价值的相对尺度。 3.利息常常被看成是资金的一种机会成本。5.复利计息有间断复利和连续复利之分。 4.利息是指占用资金所付的代价或者是放弃近期消费所得的补偿。 6.把计息周期为一年的利率为名义利率。实际利率则是在具体计息周期下计算的利率。 i与r相差越大，所以，在工程经济分析中，如果各方案的计息期7.每年计息期m越多，eff 不同，就不能简单地使用名义利率来评价，而必须换算成实际利率进行评价，否则会得出不正确的结论。 7.资金有时间价值，即使金额相同，因其发生在不同时间点，其价值就不相同；反之，不同时间点绝对值不等的资金在时间价值的作用下却可能具有相等的价值。这些不同时期、不同数额但其“价值等效”的资金称为等值。 8.工程项目投资，一般是指某工程项目从筹建开始到全部竣工投产为止所发生的全部资金投入。9.工程项目总投资包括建设投资、建设期利息和流动资金。 10.基本预备费：在项目实施过程中发生的难以预料的支出，又称为工程建设不可预见费，主要指设计变更及施工过程中可能增加工程量的费用。 11.涨价预备费：是指对工期较长的项目，由于在建设期内可能发生材料、设备、人工等价格上涨引起投资增加，工程建设其他费用调整，利率、汇率调整等，需要事先预留的费用，又称为价格变动不可预见费。 12.折旧是指在固定资产的使用过程中，随着资产的损耗而逐渐转移到产品成本费用中的那部分价值。 13.固定资产：在社会再生产过程中较长时间为生产和人民生活服务的物质资料。通常要求使用期限在一年以上，单位价值在规定限额以上。 14.折旧①平均年限法（直线折旧法）：静态：年折旧额 动态：D=P(A/P,i,n) －F(A/F,i,n)=(P－F)(A/P,i,n)+Fi特点：每年的折旧率和折旧额都相同。 ②双倍余额递减法： D=固定资产净值×年折旧率 特点：年折旧率除最后两年外其余均相同，而折旧额均不同。 ③年数总和法 t——已使用的年数D=(P－F) ×年折旧率 特点：年折旧率和年折旧额每年均不同。 ④工作量法 (n ——规定的总工作量） 年折旧额=年实际完成工作量×单位工作量折旧额月折旧额=年折旧额/12 15.经营成本是指项目从成本中扣除折旧费、摊销费和利息支出以后的成本。 经营成本=外购原材料、燃料和动力费+工资及福利费+修理费+其他费用
全国2010年10月自学考试电子商务安全导论试题及答案
做试题,没答案?上自考365,网校名师为你详细解答! 全国2010年10月自学考试电子商务安全导论试题及答案 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.计算机安全等级中，C2级称为（） A.酌情安全保护级 B.访问控制保护级 C.结构化保护级 D.验证保护级 2.在电子商务的发展过程中，零售业上网成为电子商务发展的热点，这一现象发生在 （）A.1996年 B.1997年 C.1998年 D.1999年 3.电子商务的安全需求中，保证电子商务系统数据传输、数据存储的正确性的根基是 （）A.可靠性 B.完整性 C.真实性 D.有效性 4.最早提出的公开的密钥交换协议是（） A.Blom B.Diffie-Hellman C.ELGamal D.Shipjack 5.ISO/IEC9796和ANSI X9.30-199X建议的数字签名的标准算法是（） A.HA V AL B.MD-4 C.MD-5 D.RSA 6.发送方使用一个随机产生的DES密钥加密消息，然后用接受方的公钥加密DES密钥，这种技术称为（） A.双重加密 B.数字信封 C.双联签名 D.混合加密 7.在以下主要的隧道协议中，属于第二层协议的是（） 1 全国2010年10月自学考试电子商务安全导论试题
全国2010年10月自学考试电子商务安全导论试题 2 A.GRE B.IGRP C.IPSec D.PPTP 8.使用专有软件加密数据库数据的是（ ） A.Access B.Domino C.Exchange D.Oracle 9.在下列选项中，不是．．每一种身份证明系统都必须要求的是（ ） A.不具可传递性 B.计算有效性 C.通信有效性 D.可证明安全性 10.Kerberos 的局限性中，通过采用基于公钥体制的安全认证方式可以解决的是（ ） A.时间同步 B.重放攻击 C.口令字猜测攻击 D.密钥的存储 11.在下列选项中，不属于．．．公钥证书的证书数据的是（ ） A.CA 的数字签名 B.CA 的签名算法 C.CA 的识别码 D.使用者的识别码 12.在公钥证书发行时规定了失效期，决定失效期的值的是（ ） A.用户根据应用逻辑 B.CA 根据安全策略 C.用户根据CA 服务器 D.CA 根据数据库服务器 13.在PKI 的性能要求中，电子商务通信的关键是（ ） A.支持多政策 B.支持多应用 C.互操作性 D.透明性 14.主要用于购买信息的交流，传递电子商贸信息的协议是（ ） A.SET B.SSL C.TLS D.HTTP 15.在下列计算机系统安全隐患中，属于电子商务系统所独有的是（ ） A.硬件的安全 B.软件的安全 C.数据的安全 D.交易的安全 16.第一个既能用于数据加密、又能用于数字签名的算法是（ ） A.DES B.EES C.IDEA D.RSA 17.在下列安全鉴别问题中，数字签名技术不能．．解决的是（ ）