自考电子商务安全导论实践考核重点

1、单钥密码体制

单钥密码体制：又称秘密密钥体制或对称密钥体制，是加密和解密使用相同或实质上等同的密钥的加密体制。

特点：加密和解密的速度快，效率高；加密和解密过程使用同一个密钥

单钥密码体制的几种算法：DES 加密算法（通过反复应用这种技术，将一种基本算法施于另一种基本算法之上，并进行16次循环迭代来完成的）、IDEA 加密算法、RC-5加密算法、AES 加密算法

2、双钥密码体制

双钥密码体制：又称公共密钥体制或非对称加密体制，通过一个密钥加密的信息，只有使用另一个密钥才能够解密。

特点：适合密钥的分配和管理；算法速度慢，只适合加密小数量的信息

双钥密码体制的几种算法：RSA 密码算法（既能用于数据加密也能用于数字签名的算法）、ELGamal 密码体制、椭圆曲线密码体制ECC

3、数字签名的必要性

①传统手书签名仪式要专门预订日期时间，契约各方到指定地点共同签署一个合同文件，短时间的签名工作需要长时间的前期准备工作。这种状况对于管理者是延误时机，对于合作伙伴是丢失商机，对于政府机关是办事效率低下。

②电子商务时代各种单据的管理必须实现网络化的传递。保障传递文件的机密性应使用加密技术，保障其完整性则用信息摘要技术，而保障认证性和不可否认性则应使用数字签名技术。

③数字签名可做到高效而快速的响应，任意时刻，在任何地点，只要有Internet 就可以完成签署工作。

④数字签名除了可用于电子商务中的签署外，还可用于电子办公、电子转账及电子邮递等系统。

4、数字签名的原理

发送者用自己的私钥对消息加密后，得到密文，接受者收到密文后，用发送者的公钥解密后，得到消息。如果可得到消息，如两个消息一致，则说明此消息没有

被修改过。

5、混合加密系统

混合加密系统综合利用了消息加密、数字信封、散列函数和数字签名等技术，实现电子商务的保密性、完整性、可鉴别性和不可否认性。

具体的实施过程：发送方对明文消息求其消息散列值；发送方使用自己的私钥对散列值进行数字签名；将明文和散列值进行合并形成文档；随机产生一个DES 密码，用此密码对合并的文档进行DES 加密；用接收方的公钥对DES 密码进行加密。

接收方收到消息后：使用私钥解密，得到DES 解密密码；用DES 密码解密接收到的加密消息；从解密的消息中分离出明文和消息的散列值；对消息求其散列值；对比两个散列值，相同则接受消息。

6、数据完整性预防措施

①镜像技术。将数据原样从一台设备机器拷贝到另一台设备机器上。

②故障前兆分析。在出故障之前往往有些征兆，进行故障前兆分析有利于系统安全。③奇偶校验。提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据完整性的丧失。

④隔离不安全人员。⑤电源保障。使用不间断电源是组成一个完整的服务器系统的良好方案。

7、计算机病毒的来源

①引进的计算机系统和软件中带有病毒；②各类出国人员带回的机器和软件染有病毒；③一些染有病毒的游戏软件；④非法拷贝中毒；⑤计算机生产、经营单位销售的机器和软件染有病毒；⑥维修部门交叉感染；⑦有人研制、改造病毒；⑧敌对分子以病毒进行宣传和破坏；⑨通过互联网络传入

8、防火墙

防火墙：使得内部网络与Internet 之间或者与其他外部网络互相隔离、限制网络互访，用来保护内部网络。

防火墙设计原则：

①由内到外或由外到内的业务流必须经过防火墙；②只允许本地安全政策认可的业务流通过防火墙；③尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网；④具有足够的透明性，保证正常业务的流通；⑤具有抗穿透攻击能力、强化记录、审计和告警

9、VPN 技术

虚拟专用网，通过一个公共网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道，以完成数据信息的安全传输，它是对企业内部网的扩展。提供加密数据、信息认证和身份认证、提供访问控制等功能。 优点：成本较低、网络结构灵活、管理方便

主要包括以下几种：互联网协议安全IPSec 、第2层转发协议L2F 、点对点隧道协议PPTP 、通用路由封装协议

10、公钥证书

公钥证书：是网络上的证明文件，证明双钥体制中的公钥所有者就是证书上所记录的使用者。可分为单公钥证书系统和多公钥证书系统。

类型：客户证书、服务器证书、安全邮件证书、CA 证书。

11、证书机构

证书机构CA ：用于创建和发布证书，通常为一个称为安全域的有限群体发放证书。提供证书申请（新证书的发放）、证书更新、证书吊销或撤销、证书的公布和查询功能。分别由安全服务器、CA 服务器、注册机构RA 、LDAP 服务器、数据库服务器组成。

12、PKI

公钥基础设施，为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。

PKI 是公钥的一种管理机制，每个PKI 都有一定的覆盖范围，形成一个管理域；这些管理域通过交互证书相关关联，构成更大的管理域，最终形成全局性的公钥管理体系；不同的管理域对公钥的使用具有不同的要求，通过对政策来表达；每个PKI 都包含政策审批机构；任何一个管理域都有能力决定在别的域内那一个证书管理是可以信任以及为什么可以信任；PKI 的最高管理是通过一个政策管理机构来体现

13、身份验证系统

是采用电子方式实现个人身份证明的方法。一个身份证明系统一般由3方组成，一方是出示证件的人，提出某种要求；另一方是验证者，决定是否满足其要求；第三方是可信赖者，用以调解纠纷。

14、SSL 协议

安全套接层协议，是用于到购物网站上交易的，并保障交易的安全性。SSL 依靠证书来检验通信双方的身份，在检验证书时，浏览器和服务器都检验证书。

15、SET 协议

是一种以信用卡为基础的、在Internet 上交易的付款协议

16、SSL 和SET 对比

使用目的和场合不同、安全性不同、必须具有认证资格对象不同、实施时所需的设置费用不同、当前使用情况不同

17、CFCA

中国金融认证中心，由中国人民银行牵头，联合14家全国性商业银行共同建立的国家级权威金融认证机构，是国内惟一一家能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构。适用于银行、证券、税务、保险、企业集团、政府机构、电子商务平台等金融和非金融行业。

18、CTCA

中国电信CA 安全认证系统，采用分级结构管理，形成覆盖全国的CA 证书申请、发放和管理的完整体系，为全国用户提供CTCA 证书服务，使各类电子商务用户可以放心步入电子商务时代。由全国CA 中心、省RA 中心系统、地市级业务受理点组成。

19、SHECA

上海市电子商务安全证书管理中心有限公司，是信任服务和安全认证服务的专业提供商，通过提供在线的信任服务，为电子商务和网上作业保驾护航。