电子商务安全导论复习资料.doc

电子商务安全导论复习资料.doc

《电子商务安全导论复习资料.doc》由会员分享，可在线阅读，更多相关《电子商务安全导论复习资料.doc（8页珍藏版）》请在冰豆网上搜索。

电子商务安全导论电子商务：

顾名思义，是建立在电子技术基础上的商业运作，是利用民子技术加强，加快，扩展，增强，改变了其有关过程的商务。

Intranet：

是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。

intranet上提供的服务主要是面向的是企业内部。

Extranet：

是指基于TCP/IP协议的企业处域网，它是一种合作性网络。

商务数据的机密性：

商务数据的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。

邮件炸弹：

是攻击者向同一个邮件信箱发送大量的垃圾邮件，以堵塞该邮箱。

TCP劫持入侵：

是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。

HTTP协议的“有无记忆状态”：

即服务器在发送给客户机的应答后便遗忘了些次交互。

TLENET等协议是“有记忆状态”的，它们需记住许多关于协议双方的信息，请求与应答。

电子商务的模式1）大字报／告示牌模式。

2）在线黄页簿模式。

3）电脑空间上的小册子模式。

4）虚拟百货店模式。

5）预订／订购模式。

6）广告推销模式。

什么是保持数据的完整性？

商务数据的完整性或称正确性是保护数据不被未授权者修改，建立，嵌入，删除，重复传送或由于其他原因使原始数据被更改。

在存储时，要防止非法篡改，防止网站上的信息被破坏。

在传输过程中，如果接收端收到的信息与发送的信息完全一样则说明在传输过程中信息没有遭到破坏，具有完整性。

加密的信息在传输过程，虽能保证其机密性，但并不能保证不被修改。

网页攻击的步骤是什么？

第一步，创建一个网页第二步：

攻击者完全控制假网页。

第三步，攻击者利用网页做假的后果：

攻击者记录受害者访问的内容，当受害者填写表单发送数据时，攻击者可以记录下所有数据。

此外，攻击者可以记录下服务器响应回来的数据。

这样，攻击者可以偷看到许多在线商务使用的表单信息，包括账号，密码和秘密信息。

什么是Intranet?

Intranet是指基于TCP/IP协议的内连网络。

它通过防火墙或其他安全机制与Intranet建立连接。

Intranet上可提供所有Intranet的应用服务，如WWW，E-MAIL等，只不过服务面向的是企业内部。

和Intranet一样，Intranet具有很高的灵活性，企业可以根据自己的需求，利用各种Intranet互联技术建立不同规模和功能的网络。

为什么交易的安全性是电子商务独有的？

这也是电子商务系统所独有的。

在我们的日常生活中，进和一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。

但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎么能够向法院证明合同呢？

这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺诈。

攻击WEB站点有哪几种方式？

安全信息被破译非法访问：

交易信息被截获：

软件漏洞被攻击者利用：

当用CGI脚本编写的程序或其他涉及到远程用户从浏览中输入表格并进行像检索之类在主机上直接操作命令时，会给WEB主机系统造成危险。

WEB客户机和WEB服务器的任务分别是什么？

WEB客户机的任务是：

1）为客户提出一个服务请求——超链时启动2）将客户的请求发送给服务器3）解释服务器传送的HTML等格式文档，通过浏览器显示给客户。

WEB服务器的任务是：

1）接收客户机来的请求2）检查请求的合法性3）针对请求，获取并制作数据，包括使用CGI脚本等程序，为文件设置适当的MIME类型来对数据进行前期处理和后期处理4）把信息发送给提出请求的客户机。

电子商务安全的六项中心内容是什么？

1）商务数据的机密性或称保密性2）商务数据的完整性或称正确性3）商务对象的认证性4）商务服务的不可否认性5）商务服务的不可拒绝性或称可用性6）访问的控制性

Internet（因特网）、Intranet（内连网）和Extranet（外连网）的特点

（1）Internet（因特网）因特网的最大优势，是它的广袤覆盖及开放结构。

由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。

但它的优点也是它的缺点。

因特网的管理松散，网上内容难以控制，私密性难以保障。

从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。

（2）Intranet（内连网）Intranet（内连网）本书中选译为企业内域网。

企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。

这些保障内域网安全的硬件、软件措施，通常称为防火墙（Firewall）。

防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。

（3）Extranet（外连网）一般译为企业外域网，它是一种合作性网络。

一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。

明文：

原始的，未被伪装的消息称做明文，也称信源。

通常用M表示。

密文：

通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。

通常用C表示。

加密：

就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。

通常用E表示。

解密：

由密文恢复成明文的过程，称为解密。

通常用D表示。

加密算法：

对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。

解密算法：

消息传送给接收者后，要对密文进行解密时所采用的一组规则称做解密算法。

密钥：

加密和解密算法的操作通常都是在一组密钥的控制下进行的，分别称作加密密钥和解密密钥。

通常用K表示。

单钥密码体制：

是加密和解密使用桢或实质上等同的密钥的加密体制。

使用单钥密码体制时，通信双方AB必须相互交换密钥，当A发信息B时，A用自己的加密密钥匙进行加密，而B在接收到数据后，用A的密钥进行解密。

单钥密码体制又称为秘密密钥体制或对称密钥体制。

双钥密码体制又称作公共密钥体制或非对称加密体制，这种加密法在加密和解密过程中要使用一对密钥，一个用与加密，另一上用于解密。

即通过一个密钥加密的信息，只有使用另一个密钥才能够解密。

这样每个用户都拥有两个密钥：

公共密钥和个人密钥，公共密钥用于加密钥，个人密钥用于解密。

用户将公共密钥交给发送方或公开，信息发送者使用接收人的公共密钥加密的信息只有接收人才能解密。

电子商务的可靠性的含义是什么？

可靠性是指电子商务系统的可靠性，电子商务系统也就是计算机系统，其可靠性是指为防止由于计算机失效，程序错误，传输错误，硬件故障，系统软件错误，计算机病毒和自然灾害等听所产生的潜在威胁，并加以控制和预防，确保系统安全可靠性。

电子商务的真实性的含义是什么？

真实性蝗旨商务活动中交易身份的真实性，亦即是交易双方确实存在的，不是假冒的。

单钥密码体制的特点是什么？

第一，加密和解密的速度快，效率高；第二，单钥密码体制的加密和解密过程使用同一个密钥。

发送者的接收者都需要知道密钥，需要安全渠道进行密钥的传递，单钥密码体制无法适应互联网大环境多人相互通信要求。

双钥密钥体制最大的特点是什么？

第一，适合密钥的分配和管理。

第二，算法速度慢，只适合加密小数量的信息。

替换加密和转换加密的主要区别是什么？

在替换加密法中，原文的顺序没被改变，而是通过各种字母映射关系把原文隐藏了起来。

转换加密法是将原字母的顺序打乱，将其重新排列。

简述密码系统的理论安全性的实用安全性。

由于计算机技术的发展，人们借且于计算机进行分析处理，密码的破译能力也不断提高。

一个密码体制的安全性取决于破译者具备的能力，如若它对于拥有无限计算资源的破译者来说是安全的，则称这样的密码体制是无条件安全的，它意味着不论破译者拥有多大的资源，都不可能破译；如若一个密码体制对于拥有限计算资源的破泽者来说是安全的，则称这样的密码体制是计算上安全的，计算上安全的密码表明破译的难度很大。

无条件安全的密码体制是理论上安全的；计算上安全的密码体制是实用的安全性。

但目前已知的无条件安全的密码体制都是不实用的；同时还没有一个实用的密码体制被证明是计算上安全的。

数据的完整性：

数据的完整性是指数据处于“一种未受损的状态”和“保持完整或未被分割的品质或状态”。

数字签名：

是利用数字技术实现在网络传送文件时，附加个人标记，完成系统上手书签名盖章的作用，以表示确认，负责，经手等。

双密码加密：

它是一对匹配使用的密钥。

一个是公钥，是公开的，其他人可以得到；另一个是私钥，为个人所有。

这对密钥经常一个用来加密，一个用来解密。

数字信封：

发送方用一个随机产生的DES密钥加密消息，然后用接收方的公钥加密DES密钥，称为消息的“数字信封”，将数字信封与DES加密后的消息一起发给接收方。

接收者收到消息后，先用其私钥找开数字信封，得到发送方的DES密钥，再用此密钥去解密消息。

只有用接收方的RSA私钥才能够找开此数字信封，确保了接收者的身份。

混合加密系统：

综合利用消息加密，数字信封，散列函数和数字签名实现安全性，完整性，可鉴别和不可否认。

成为目前信息安全传送的标准模式，一般把它叫作“混合加密系统”，被广泛采用。

数字时间戳：

如何对文件加盖不可篡改的数字时间戳是一项重要的安全技术。

数字时间戳应当保证：

1）数据文件加盖的时间戳与存储数据的物理媒体无关。

2）对已加盖时间戳的文件不可能做丝毫改动。

3）要想对某个文件加盖与当前日期和时间不同时间戳是不可能的。

无可争辩签名：

是在没有签名者自己的合作下不可能验证签名的签名。

无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。

消息认证：

是使接收方能验证消息发送者及所发信息内容是否被篡改过。

确定性数字签名：

其明文与密文一一对应，它对一特定消息的签名不变化。

随机式数字签名：

根据签名算法中的随机参值，对同一消息的签名也有对应的变化。

盲签名：

一般数字签名中，总是要先知道文件内容而后才签署，这正是通常所需要的。

但有时需要某人对一个文件签名，但又不让他知道文件内容，称为盲签名。

完全盲签名：

设1是一位仲裁人，2要1签署一个文件，但不想让他知道所签的文件内容是什么，而1并不关心所签的内容，他只是确保在需要时可以对此进行仲裁，这时便可通过完全盲签名协议实现。

完全盲签名就是当前对所签署的文件内容不关心，不知道，只是以后需要时，可以作证进行仲裁。

双联签名：

在一次电子商务活动过程中可能同时有两个联系的消息M1和M2，要对它们同时进行数字签名。

简述保护数据完整性的目的，以有被破坏会带来的严重后果。

保护数据完整性的目的就是保证计算机系统上的数据和信息处于一种完整和未受损害的状态。

这意味着数据不会由于有意或无意的事件而被改变和丢失。

数据完整性被破坏会带来严重的后果：

1）造成直接的经济损失，2）影响一个供应链上许多厂商的经济活动。

3）可能造成过不了“关”。

4）会牵涉到经济案件中。

5）造成电子商务经营的混乱与不信任。

简述散列函数应用于数据的完整性。

可用多种技术的组合来认证消息的完整性。

为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。

首先用散列算法，由散列函数计算机出散列值后，就将此值——消息摘要附加到这条消息上。

当接收者收到消息及附加的消息摘要后，就用此消息独自再计算出一个消息摘要。

如果接收者所计算出的消息摘要同消息所附的消息摘要一致，接收者就知道此消息没有被篡改。

数字签名与消息的真实性认证有什么不同？

数字签名与消息的真实性认证是不同的。

消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。

当收发者之间没有利害冲突时，这对于防止