第6章电子商务安全
电子商务安全主要考试内容
第一章1、电子商务（Electronic Commerce）是指政府、企业和个人利用现代电子计算机与网络技术实现商业交换和行政管理的全过程，是一种基于互联网，以交易双方为主体，以银行电子支付和结算为手段，以客户数据为依托的全新商务模式。
2、安全威胁可分为如下几类：信息截获和窃取、信息篡改、信息假冒、交易抵赖3、电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。
计算机网络安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。
4、图1-15（1）系统性。
（2）相对性。
（3）有代价性。
（4）动态性。
6、电子商务安全的需求，要求做到的各个方面，主要包括机密性、完整性、认证性、不可抵赖性、不可拒绝性、访问控制性等。
（1）机密性（Confidentiality）又叫保密性，是指信息在传送或存储的过程中不被他人窃取、不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。
机密性一般通过密码技术来对保密的信息进行加密处理来实现。
（2）完整性是保护数据不被未授权者修改、建立、嵌入、删除、重复传送或由于其他原因使原始数据被更改。
完整性一般可通过提取信息消息摘要的方式来获得。
（3）认证性是指网络两端的使用者在沟通之前相互确认对方的身份。
在电子商务中，认证性一般都通过证书机构CA和证书来实现。
（4）不可抵赖性是指信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息，这是一种法律有效性要求。
不可抵赖性可通过对发送的消息进行数字签名来获得。
（5）不可拒绝性是保证授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。
（6）访问控制性是指在网络上限制和控制通信链路对主机系统和应用的访问；第二章1、DES加密算法的原理：公式：DES(m)=IP-1. T16.T15. …T2.T1.IP(m)2、例子：若Bob选择了p=101和q＝113，那么，n=11413, ϕ(n)=100×112＝11200；然而11200＝26×52×7，一个正整数e能用作加密指数，当且仅当e不能被2，5，7所整除（事实上，Bob不会分解φ(n)，而且用辗转相除法（欧式算法）来求得e，使（e, φ(n)=1)。
《电子商务安全》课程教学大纲
《电子商务安全》课程教学大纲一、课程概述本课程主要讲述电子商务安全的基本知识与实际应用。
围绕保障电子商务活动的安全性，针对电子商务应用的基本安全问题及解决方案进行了详细的介绍与阐述。
本课程的主要内容分为8章，依次是：电子商务安全概述，信息安全技术，网络与应用系统安全技术，电子商务的认证与安全电子邮件技术，电子商务支付技术，安全电子交易协议（SET），安全套接层协议（SSL），以及安全电子商务应用等内容，并根据每章的具体内容安排有相应的练习与实训题。
本课程核心在于电子商务安全的技术保障措施方面，主要是信息技术方面的措施，如防火墙，网络防毒，信息加密，身份认证等。
本课程的重点章节是第二章至第七章，即：信息安全技术，网络与应用系统安全技术，电子商务的认证与安全电子邮件技术，电子商务支付技术，安全电子交易协议（SET），以及安全套接层协议（SSL）。
二、课程定位本课程适用于电子商务专业和信息管理专业的本科和专科学生，属于专业基础课程。
同时也可以作为市场营销、工商管理和经济贸易转移的本科和专科学生的公共选修课程。
三、学习目的本课程实用性强，希望通过本课程的学习，结合案例，对基本理论、基本技能和技术应用能力进行培养，使学生能及掌握电子商务安全知识及其应用技术，能对电子商务系统的安全问题做出系统性的分析、解释和处理。
四、与其它课程的关联本课程学习所需要具备的先期基本知识主要包括《电子商务概论》、《电子商务技术基础》这两门课程中所涉及到的内容。
本课程的学习为后续的《网络支付》、《系统设计与分析》、《电子商务案例分析》等课程奠定了基础。
五、知识体系与结构第一章电子商务安全概述1、本章摘要本章的主要知识点包括：电子商务的内涵及系统构成，电子商务的安全问题及系统构成，电子商务安全保障问题。
基本要求：掌握电子商务安全的综述性知识，理解电子商务安全在电子商务活动过程中的重要性。
预期目标：通过本章学习，学生要掌握电子商务安全相关的一些基本概念。
电子商务安全与管理第二版课后习题答案
关键术语第一章电子商务安全导论1)电子商务安全问题：主要涉及信息的安全、信用的安全、安全的管理问题以及安全的法律法规保障问题。
2)完整性：防止信息在传输过程中丢失、重复及非法用户对信息的恶意篡改。
3)电子商务系统安全：从计算机信息系统的角度来阐述电子商务系统的安全，认为电子商务系统的安全是由系统实体安全、系统运行安全和系统信息安全这三个部分组成。
4)认证性：确保交易信息的真实性和交易双方身份的合法性。
5)电子商务安全保障：电子商务安全需要一个完整的保障体系，应当采用综合防范的思路，从技术、管理、法律等方面去认识、去思考，并根据我国的实际和国外的经验，提出行之有效的综合解决的办法和措施。
6)可控性：保证系统、数据和服务能由合法人员访问，保证数据的合法使用。
7)保密性：保护机密信息不被非法取存以及信息在传输过程中不被非法窃取8)不可否认性：有效防止通信或交易双方对已进行的业务的否认。
第二章：1.链路——链路加密链路加密(又称在线加密)是传输数据仅在物理层前的数据链路层进行加密。
接收方是传送路径上的各台节点机，信息在每台节点机内都要被解密和再加密，依次进行，直至到达目的地。
2.对称加密称加密又叫秘密密钥加密，其特点是数据的发送方和接收方使用的是同一把密钥，即把明文加密成密文和把密文解密成明文用的是同一把密钥。
3、节点加密节点加密是指每对节点共用一个密钥，对相邻两节点间（包括节点本身）传送的数据进行加密保护。
尽管节点加密能给网络数据提供较高的安全性，但它在操作方式上与链路加密是类似的：两者均在通信链路上为信息提供安全性；都在中间节点先对信息进行解密，然后进行加密。
4、公开密钥加密不对称加密又叫做公开密钥加密，需要采用两个在数学上相关的密钥对——公开密钥和私有密钥来对信息进行加解密。
5、端——端加密端—端加密允许数据在从源点到终点的传输过程中始终以密文形式存在。
采用端到端加密(又称脱线加密或包加密),消息在被传输时到达终点之前不进行解密,因为消息在整个传输过程中均受到保护,所以即使有节点被损坏也不会使消息泄露。
电子商务安全复习题(答案)
第1章 概论1、电子商务安全问题主要涉及哪些方面? p5答：信息的安全问题、信用的安全问题、安全的管理问题、安全的法律问题。
2、电子商务系统安全由系统有哪些部分组成? p7答：实体安全、系统运行安全、系统信息安全。
3、电子商务安全的基本需求包括哪些? P16答：保密性、完整性、认证性、可控性、不可否认性。
4、电子商务安全依靠哪些方面支持? P17答：技术措施、管理措施、法律环境。
5、什么是身份鉴别，什么是信息鉴别？ p15答：所谓身份鉴别，是提供对用户身份鉴别，主要用于阻止非授权用户对系统资源的访问。
信息鉴别则是提供对信息的正确性、完整性和不可否认性的鉴别。
第2章 信息安全技术1、信息传输中的加密方式主要有哪些? P27答：链路-链路加密、节点加密、端-端加密。
2、简述对称加密和不对称加密的优缺点。
P35 p40答：（1）对称加密优点：由于加密算法相同，从而计算机速度非常快，且使用方便、 计算量小 、加密与解密效率高。
缺点：1)密钥管理较困难；2)新密钥发送给接收方也是件较困难的事情，因为需对新密钥进行加密；3）其规模很难适应互联网这样的大环境。
（2）不对称加密优点：由于公开密钥加密必须由两个密钥的配合使用才能完成加密和解密的全过程，因此有助于加强数据的安全性。
缺点：加密和解密的速度很慢，不适合对大量的文件信息进行加密。
3、常见的对称加密算法有哪些? P35答：DES、AES、三重DES。
4、什么是信息验证码，有哪两种生成方法？ P36答：信息验证码（MAC）校验值和信息完整校验。
MAC是附加的数据段，是由信息的发送方发出，与明文一起传送并与明文有一定的逻辑联系。
两种生成方式:1)j基于散列函数的方法；2）基于对称加密的方法。
5、如何通过公开密钥加密同时实现信息的验证和加密？P39答：1）发送方用自己的私有密钥对要发送的信息进行加密，得到一次加密信息。
2）发送方用接收方的 公开密钥对已经加密的信息再次加密；3）发送方将两次加密后的信息通过 网络传送给接收方；4）接收方用自己的私有密钥对接收到的两次加密信息进行解密，得到一次加密信息；5）接收方用发送方的公开密钥对一次加密信息进行解密，得到信息明文。
电子商务那些事_中南财经政法大学_6 第六章揭秘电商安全_(6.4.1) 6.4(课件)你真的有隐私吗
第六章电子商务安全
第四节
你真的有隐私吗？
在网上你真的有“隐私”么？
1庞大的上网人群
2多样的网上业务
3海量的用户数据
4大数据分析的普遍应用
网上业务的多样性给用户隐私保护带来冲击
分布式存储
一种数据存储技术，通过网络使用不同位置机器上的磁盘空间，并将这些分散的存储资源构成一个虚拟的存储设备，数据分散存储在网络的各个角落
大数据
无法在一定时间范围内用常规软件工具进行捕捉、管理和处理的数据集合，是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产
大数据在商务领域的含义
采用找到有效方法分析海量的用户相关数据获得有价值的“知识”
大数据时代的要求
Keep secret
Take advantage
地下经济
一个明确的工作分工
多条价值链条
网络犯罪同时也在互联网的黑暗角落建立了大量黑市。
四条价值链条
1.实际资产盗窃产业(Real assets theft)
—偷窃银行帐号和信用卡，用来盗窃金钱
2.网络虚拟资产盗窃产业(Network virtual assets theft)
—偷窃在线游戏账号用以盗窃虚拟货币或装备，将其售卖获得真实金钱
3.互联网资源和服务的滥用(Internet resources and services abuse)
4.“黑帽”产业--“Blackhat” (邪恶黑客malicious hacker) techniques, tools, and training
小结
隐私泄露的根本原因：经济利益的驱使
四个产业的驱动因素为巨大
的非法收入刺激在线地下经济的不断发展和膨胀。
电子商务第6章
第6章雇佣出价人( shill bidder): 有些拍卖中,由卖家或拍卖员雇佣的人会朝着有利于卖家的方向出价,这些人被称为雇佣出价人.出价逐升式拍卖( ascending-price auction):在英式拍卖中,出价人叫一个比前一个出价更高的价格,直到没人出更高的价格为止.这时,拍卖员就宣布,这件物品按最后一个出价,卖给了出价最高的出价人.这类拍卖也称为出价逐升式拍卖.英式拍卖（English auction ）: 开放式拍卖或开放出价的拍卖,因为出价是公开宣布的。
开放式拍卖( open auction)/开放出价拍卖( open-outcry auction ):出价是公开宣布的.出价的起价（minimum bid）: 开始拍卖的价格.美式拍卖( Yankee auction): 如果每种拍卖品有很多数量,允许出价人指定购买量的英式拍卖.胜者的苦恼( winner’s curse): 某些出价人可能会被令人兴奋的竞争出价过程吸引,出价超出了预估价格,这种心理现象称为胜者的苦恼. 荷兰式拍卖( Dutch auction): 荷兰式拍卖是开放式拍卖的一种形式,它的出价从高价开始,一直降到有出价人接受这个价格为止. 因为价格要降到有出价人要这件拍卖品为止,所以荷兰式拍卖也被称为出价逐降式拍卖.出价逐降式拍卖（descending-price auction）: 荷兰式拍卖是开放式拍卖的一种形式,它的出价从高价开始,一直降到有出价人接受这个价格为止. 因为价格要降到有出价人要这件拍卖品为止,所以荷兰式拍卖也被称为出价逐降式拍卖.密封递价最高价拍卖( first-price sealed-bid auction):.在密封递价最高价拍卖中,出价最高的出价人获胜.如果拍卖的有很多物品,出价低于前一个的出价人购得剩余的拍卖品.密封递价拍卖（sealed-bid auction）:在密封递降最高价拍卖方式中,出价人各自递交自己的出价,通常不允许相互协商密封递价次高价拍卖（second-price sealed-bid auction）: 与密封递价最高价拍卖类似,只是出价最高的出价人是按照出价第二高的出价人所出的价格来购买拍卖品.开放出价双重拍卖（open-outcry double auction）: 买卖双方的要约要站在交易所中交易场地上的交易人喊出来.双重拍卖( double auction): 买家和卖家都向拍卖员同时递交价格和数量来出价.出价的最小增价( minimum bid increment): 下一个出价必须高于前一个出价的量.委托出价( proxy bid ): 出价人给出一个出价上限.代管契约服务( escrow service): 购买更贵物品的买家通过第三方的代管契约服务来保护自己.代管契约服务先会保存买家的付款,直到收到所购物品并对质量满意后,再把货款付给卖家.清算经纪公司( liquidation broker): 专为过剩的存货寻找买家的公司. 狙击软件( sniping software): 狙击软件一直监视拍卖过程,直到拍卖结束前的一两秒再出一个刚好高一点的价格来赢得拍卖.狙击（snipe）:最后一秒出价叫狙击.拍卖委托服务（auction consignment service）: 有些个人或小企业希望通过网上拍卖销售商品，但有没有拍卖技能，满足这些客户的需求就产生了一个新的拍卖相关服务市场。
第六章电子商务安全保障体系总结
第六章电子商务安全保障系统本章概要电子商务的安全控制安全电子交易的数据加密安全电子交易的认证技术与数字证书安全电子交易（SET ）标准安全电子交易的操作技术和网络建设的安全性学习目标掌握电子商务的安全控制的要乞降安全交易标准和实行方法认识安全电子交易的数据加密，理解一般的数据加密模型掌握认证技术与数字证书和安全电子交易的有关知识掌握网络建设的安全性中的网络安全面对的威迫和网络安全体制的实现知识构造图6、 1 电子商务的安全控制1、电子商务的安全控制电子商务顺利展开的中心和重点问题是保证交易的安全性，这是网上交易的基础，也是电子商务技术的难点。
用户关于安全的需要主要包含以下五个方面，（见下列图）所示。
交易的不能否定性主要包含1、源点不能否定性，即信息发送者过后没法否定其发送的信息；2、接受不能否定性，即信息接收方没法否定其遇到信息；3、回执不能否定性，即发送责任回执的各个环节均没法推辞其应负的责任。
2、电子商务安全交易标准与实行方法最近几年来，信息技术业界与金融行业为适应电子商务需要，共同研究公布了一些 Internet 标准，以保障交易的安全性，（见下列图）所示。
安全电子交易协议涵盖了信誉卡在电子商务交易中的交易协议、信息保密、资料完好及数字认证、数字署名等。
这一标准被公以为全世界网际网络的标准，其交易形态成为将来“电子商务”的规范。
安全超文本传输协议依赖密钥加密，保障Web 站点间的交易信息传输的安全性。
安全交易技术协议由 Microsoft 公司提出的安全交易协议， STT 将认证和解密在阅读器中分别开，用以提升安全控制能力。
安全套接层协议由 Netscape 公司提出的安全交易协议，供给加密、认证服务和报文完好性。
6、 2 安全电子交易的数据加密1、数据加密技术综述加密技术与密码学密切相连，利用密码技术能够把某些重要信息或数据从一个可理解的明文形式变换成为一种错杂的、不行理解的密文形式，称为加密过程；密文经过线路传递到达目的端后，用户按特定的解密方法将密文复原为明文，称为解密的过程。
第六章 电子商务法律法规基本知识
采用公开密钥的电子商务系统中，对文件 进行传输过程的6个步骤： ① 买方从虚拟市场寻找欲购买商品，确定需 联系的卖方，从认证机构获得卖方的公钥 ② 买方生成一个自己的私钥并用从认证机构 得到的卖方的公钥对自己的私钥进行加密 ，再通过网络传输给卖方。 ③ 卖方用自己的公钥进行解密后得到买方的 私钥。
④ 买方对需传输的文件用自己的私钥进行加 密，后通过网络把加密后的文件传输给卖 方。 ⑤ 卖方用买方的私钥对文件进行解密得到文 件的明文形式。 ⑥ 卖方重复上述步骤向买方传输文件。
在上述过程中，只有卖方和认证中心才拥有 卖方的公钥，或只有买方和认证中心才拥 有买方的公钥。
认证过程同样可以运行在电子支付过程中： 持卡人要付款给商家，在无法确认商家身份 和信誉时，请求CA认证中心对商家认证， CA对商家进行调查、验证和鉴别后，将包 含商家公钥的证书传给持卡人。同样，商家 也可对持卡人进行验证。证书一般包含拥有 者的标识名称和公钥，并由CA进行过数字 签名。
1、提起争议的域名与投诉人所持有的商标 或服务标记相同或具有误导性的相似；且 2、域名持有人对该域名本身并不享有正当 的权利或合法的利益；且 3、域名持有人对域名的注册和使用均为恶 意。
恶意注册和使用域名的行为包括： ① 有证据证明，域名持有人注册或获得域名 的主要目的是为了向商标或服务标记的所 有者或所有者的竞争者出售、出租或以其 他任何形式转让域名，以期从中获得额外 价值。 ② 根据域名持有人的行为可以证明，域名持 有人注册或获得域名的目的是为了阻止商 标和服务标记持有人通过一定形式的域名 在互联网上反映其商标。
第二节 电子商务参与各方的法律关系
① ② ③ ① ② 一、电子商务交易中买卖双方当事人的权利和 义务。 1、卖方的义务： 按照合同的规定提交标的物及单据。 对标的物的权利承担担保义务。 对标的物的质量承担担保义务。 2、买方的义务： 应承担按交易规定方式支付价款的义务。 应承担按合同规定的时间、地点和方式接受标 的物的义务。 应承担对标的物验收的义务。
电子商务应用实验指导手册-第6章 电子安全实践-奥派软件
第6章电子商务安全实践6.1 CA认证【实践情景】南京奥派科技想申请CA证书，在CA认证平台中，申请了3个CA证书。
服务商（CA 证书颁发机构）颁发了其中的2个，吊销了其中的1个。
【实践步骤】6.1.1 CA证书实现的流程进入CA证书申请页面，南京奥派科技提出CA证书的申请，并查看其挂起的申请证书。
1.进入CA认证平台。
点击“电子商务安全实践”中的【CA认证】，点击CA认证平台后面的【进入】，进入CA认证平台。
2.申请证书。
进入系统，点击页面上面【申请一个证书】，进入证书申请页面。
在证书申请页面中填写证书识别信息，点击【提交】按钮即可。
在这里，同样的步骤，我们操作4次，申请4个证书（下面删除一个挂起的申请）。
提交后，可查看到您申请的证书。
点击证书标题，查看证书申请的状态详情。
如图，系统提示“您的证书申请仍然挂起。
您必须等待管理员颁发您申请的证书”。
点击此处的【删除】按钮，则删除挂起的申请。
6.1.2 CA颁发机构功能进入CA证书颁发机构平台。
先在挂起的申请中颁发2个证书，拒绝1个证书；再在颁发的2个证书中吊销1个证书。
客户端查看证书状态，下载证书。
1.进入CA证书颁发机构平台。
点击服务商平台后面的【进入】，进入CA证书颁发机构平台。
2.CA证书颁发机构颁发证书。
点击【挂起的申请】可查看到客户端申请的所有证书记录。
鼠标放在记录上右击，选择“颁发”即可。
此时在“颁发的证书”中就可看到该记录了。
若右击后选择“拒绝”则在“失败的申请”中可看到该记录。
3.CA证书颁发机构吊销证书。
点击【颁发的证书】可查看到所有已经颁发的证书。
鼠标放在记录上，右击选择“吊销证书”。
系统弹出“吊销原因”的对话框，选择吊销的原因，点击【是】。
这样证书就被吊销了。
（注意，只有在吊销证书时原因选择“证书待定”的，接下来才能解除吊销）4.用户端查看证书状态，并下载已颁发的证书。
进入CA认证平台，点击【查看挂起的证书申请的状态】，进入查看挂起的证书申请的状态页面。
15《电子商务安全认证》网上考试题库
答案：AB
三、判断题
1、仅仅依靠单钥加密体制不能实现用户身份的验证（）
答案：正确
2、用户识别就是用户向计算机系统证明自己的真实身份（）
答案：正确
3、计算机系统中用户密码的选择应当以易于记忆为主（）
答案：错误
4、生物特征识别技术是身份认证技术的一种（）
答案：正确
5、在线购物网站使用身份认证技术即可确定某个用户是否能够修改商品价格（）
A．认证
B．数据完整性 C．数据保密性 D．不可否认性
答案：D
4、以下不可否认业务中为了保护发信人的是（）
A．源的不可否认性
B．递送的不可否认性
C．提交的不可否认性
D．B 和 C
答案：D
5、确保发送者时候无法否认发送过这条信息是以下哪一个安全要素？（）
A. 保密性
B. 认证性
C. 完整性
D. 不可否认性
《电子商务安全认证》课程网上考试题库
第一章 电子商务安全的现状与趋势
一、单项选择题
1、以下关于电子商务安全的描述哪一条是错误的？（）
A. 应尽力提高电子商务系统的安全性，以达到绝对的安全。
B. 电子商务的安全性必须依赖整个网络的安全性。
C. 电子商务的安全性除了软件系统的安全，还必须考虑到硬件的物理安全。
答案：D
6、保密性主要依靠以下哪种技术来实现（）？
A. 加解密算法 B. 数字证书
C. 数字签名
D. 消息摘要
答案：A
7、不可否认性主要依靠以下哪种技术来实现？（）
A. 加解密算法
B. 数字证书
C. 数字签名
D. 消息摘要
答案：C
8、在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人