2022年信息安全工程师考试知识点（二十五）：电子商务安全-编程学习网

　　为帮助考生备考2022年信息安全工程师考试，编程学习网小编为考生整理了2022年信息安全工程师考试知识点(二十五)：电子商务安全，希望对大家备考有帮助。

　　很多考生在备考2022年信息安全工程师考试，编程学习网小编为考生整理了2022年信息安全工程师考试知识点(二十五)：电子商务安全，希望对大家备考信息安全工程师考试会有帮助。

　　电子商务安全

　　【考法分析】

　　本考点主要是对电子商务安全相关内容的考查。

　　【要点分析】

　　1.电子商务安全概念、特点：电子商务安全从整体上可分为两大部分：网络安全和商务交易安全。

　　2.网络安全的内容包括：网络设备安全、网络系统安全、数据库安全等。

　　3.电子商务安全是以网络安全为基础的。电子商务安全与肉络安全又是有区别的：首先，网络不可能绝对安全，在这种情况下，还需要运行安全的电子商务。其次，即使网络绝对安全，也不能保障电子离务的安全。

　　4.电子商务安全具有如下四大特性：

　　① 电子离务安全是一个系统概念;

　　② 电子商务安全是柏对的;

　　③ 电子商务安全是有代价的;

　　④ 电子商务安全是发展的、动态的。

　　5.安全需求：

　　① 交易实体身份可认证性需求;

　　② 信息保密性的需求;

　　③ 信息完整性的需求;

　　④ 交易信息的不可抵赖性需求;

　　⑤ 商务服务的有效性需求;

　　⑥ 访问控制性需求。

　　电子商务要安全地展开，以上几个最基本的安全要素必须实现。也就是说，数据和信息的隐私必须受到保护，交易者身份必须得到认证，并且具有可认证性，未被授权的进入应该进行控制和拒绝。

　　6.身份认证过程指的是当用户试匮访问资源的时候，系统确定用户的身份是否真实的过程。认证对所有需要安全的服务来说是至关重要的，因为认证是访问控制执行的前提，是判断用户是否有权访问信息的先决条件，同时也为日后追究责任提供不可抵赖的证据。

　　7.通常可以根据以下5 种信息进行认证：

　　① 用户所知道的。

　　② 用户所拥有的。

　　③ 用户本身的特征。

　　④ 根据特定地点(或特定时间)。

　　⑤ 通过信任的第三方。

　　认证技术决定了系统的安全程度。

　　8.所谓数字证书就是在互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Intemet 上验证用户身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构一CA机构，又称为证书授权中心发行的，人们可以在网上用它来识别彼此的身份。

　　9.CA机构，又称为证书授权中心，作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。

　　10.数字证书采用公钥体制，即利用一对互相匹配的密铝进行加密、解密。

　　11.数字证书与传输密钥和签名密钥对的产生相对应。对每一个公钥做一张数字证书，私钥用最安全的方式交给用户或用户自己生产密钥对。在公开密钥密码体制中，常用的一种是RSA体制。

　　12.目前有两种安全在线支付协议被广泛采用，分别为安全电子交易协议(SET) 和安全套接字协议(SSL) ，二者均是成熟和实用的安全协议。

　　13.SET 协议是应用层的协议，是一种基于消息流的协议，它是面向B2C (企业对消费者)模式的，完全针对信用卡来制定，涵盖了信用卡在电子商务交易中的交易协议信息保密、资料完整等各个方面。

　　14.SET 协议主要使用的技术包括：对称密钥加密、公钥加密、Hash 算法、数字签名、数字信封以及数字证书等技术。

　　15.SET 协议是一个基于可信的第三方认证中心的方案，其主要的实现目标是：

　　① 保证电子离务参与者信息的相互隔离;

　　② 保证信息在Internet 上安全传输;

　　③ 解决多方认证问题;

　　④ 保证网上交易的实时性;

　　⑤ 提供一个开放式的标准。

　　16.SET交易的参与方包括持卡人、发卡机构、离家、收单银行、支付网关和数字证书认证中心CA。

　　17.SET 协议分为三个部分：

　　① 商业描述;② 程序员指导;③ 正式的协议定义。

　　18.SET 协议是一种电子支付系统的安全协议，因此它涉及加密、认证等多种技术。

　　① 加密技术：加密技术是SET 协议中的核心技术，在SET 中使用的主要包括对称加密、非对称加密、数字签名、消息摘要、数字信封、双重签名等。

　　② 认证技术：网上交易的买卖双方在进行每一笔交易时，为了保证交易的可靠性，买方和卖方都要鉴别对方的身份。

　　19.CA的主要功能有：收注册请求处理、批准/拒绝请求、发行证书。

　　20.认证技术具体涉及以下一些内容：

　　① 证书信息：

　　持卡人证书：持卡人证书表明持卡人拥有的支付卡是合法的，它是由权威的金融机构数字签署的，不能由其他非法第三方产生。

　　商家证书：商家证书与持卡人证书基本一样。

　　支付网关证书：支付网关证书由收单行或收单行的处理系统拥有。

　　收单行证书：一个收单银行必须拥有证书，才能使一个CA 接收和处理商家从公共和专用网络发出的证书请求。

　　发卡行证书：一个发卡银行必须拥有证书， CA 才能接收和处理来自持卡人的证书请求(通过公共或专用网络)，那些选择支付卡品牌来代理处理证书请求的发卡行不需要证书。

　　② 证书的发行。

　　③ 认证信息和验证结构：

　　认证信息：在SET 中，交易双方的身份必须要验证， CA 是提供身份验证的第三方机构。

　　21.SET协议主要是通过使用密码技术和数字证书方式来保证信息的机密性和安全性，它实现了电子交易的机密性、数据完整性、身份的合法性和不可否认性。

　　22.SSL 安全套接层协议是安全通信协议。在SSL中，采用了公开密钥和私有密钥两种加密方式，它对计算机之间整个会话进行加密，从而保证了安全传输。SSL 的安全服务位于TCP 和应用层之间，可为应用层(如HTTP 、FTP 、SMTP) 提供安全业务，服务对象主要是Web 应用，即客户浏览器和服务器。

　　23.SSL 服务器认证允许用户确认服务器身份。SSL 客户机认证允许服务器确认用户身份。

　　24.一个加密的SSL 连接要求所有在客户机与服务器之间发送的信息由发送方软件加密和由接受方软件解密，对称加密法用于数据如密(如用DES 和RC4 等)，从而连接是保密的。

　　25.SSL主要工作流程包括：网络连接建立;与该连接柜关的加密方式和压缩方式选择;双方的身份识别;本次传输密钙的确定;加密的数据传输;网络连接的关闭。

　　26.SSL是一个两层协议，包括SSL 握手层协议和SSL 记录层协议。

　　27.SSL协议提供的服务可以归纳为如下三个方面：

　　① 用户和服务器的合法性认证;

　　② 加密数据以隐藏被传送的数据;

　　③ 维护数据的完整性。

　　28.SSL 协议自身的缺陷：

　　① 客户端假冒;

　　② SSL 协议无法提供基于四P 应用的安全保护;

　　③ SSL 协议不能对抗通信流量分析;