電子商務安全（第2版）

本書全面、系統地分析了電子商務面臨的安全問題，以及問題產生的根源。在此基礎上，本書從技術和管理兩個方面，深入闡述了實現電子商務安全的思想、技術、方法和策略。本書共13章，主要內容有電子商務及安全體系、密碼學基礎、密鑰管理、公鑰基礎設施與應用、身份認證技術、訪問控制技術、互聯網安全技術、電子商務安全協議、移動電子商務安全、數據高可用技術、區塊鏈技術、電子商務安全評估與管理和電子商務安全解決方案。通過本書的學習，讀者可具備確保電子商務安全的能力。本書既可作為電子商務及IT等相關專業本科生、研究生的參考書，又可供專業科研人員、管理人員參考使用。

王麗芳，教授，任職於西北工業大學計算機學院。
2018-2022、2013-2017連任兩屆教育部高等學校電子商務類教學指導委員會委員，工信部網絡空間安全重點專項核心專家，中國信息經濟學會電子商務專業委員會副秘書長。主持項目多項。
曾出版《電子商務安全技術》（工業和信息化部"十二五”規劃教材）、《模糊數學理論與方法》（工業和信息化部"十二五”規劃教材）、《電子商務安全》（普通高等教育"十一五”國家及規劃教材）等。

第1章 電子商務及安全體系 1
1．1 電子商務的產生和發展 1
1．1．1 電子商務的產生 1
1．1．2 電子商務的概念 2
1．1．3 電子商務的蓬勃發展 2
1．2 電子商務的類型、環境和基礎設施 4
1．2．1 電子商務的類型 4
1．2．2 電子商務的環境 4
1．2．3 電子商務基礎設施 5
1．3 電子商務安全 6
1．3．1 電子商務的風險和威脅 7
1．3．2 電子商務安全的要素 8
1．3．3 電子商務安全體系 11
1．4 電子交易中的常見問題及解決方法 11
本章小結 12
思考題 13

第2章 密碼學基礎 14
2．1 密碼學基礎 14
2．1．1 密碼學的基本概念 14
2．1．2 傳統加密技術 15
2．2 對稱密碼技術 16
2．2．1 對稱密碼技術概論 16
2．2．2 數據加密標準 17
2．2．3 高級加密標準 19
2．2．4 SM4算法 20
2．2．5 流密碼與RC4 20
2．3 單向散列函數 23
2．3．1 MD5算法 24
2．3．2 SHA家族 25
2．3．3 SM3密碼Hash算法 26
2．3．4 MAC算法 29
2．4 非對稱密碼技術 31
2．4．1 公鑰密碼體制的原理 31
2．4．2 RSA密碼 32
2．4．3 ELGamal密碼 33
2．4．4 橢圓曲線密碼體制 34
2．4．5 數字簽名 38
本章小結 42
思考題 42

第3章 密鑰管理 43
3．1 密鑰管理的目標和內容 43
3．2 密鑰的組織 43
3．3 密鑰的產生 44
3．3．1 密鑰的隨機性要求 44
3．3．2 噪聲源產生密鑰 44
3．4 密鑰分配 45
3．5 密鑰保護 46
本章小結 48
思考題 48

第4章 公鑰基礎設施與應用 49
4．1 公鑰基礎設施基礎 49
4．1．1 安全基礎設施的概念 49
4．1．2 公鑰基礎設施的概念 50
4．1．3 PKI的意義 51
4．2 數字證書 52
4．2．1 數字證書的概念 52
4．2．2 數字證書的格式 53
4．2．3 證書撤銷列表 54
4．2．4 數字證書的存放 55
4．3 PKI的內容 55
4．3．1 CA 55
4．3．2 證書庫 58
4．3．3 密鑰備份及恢復 58
4．3．4 證書撤銷 59
4．3．5 密鑰更新 60
4．3．6 應用接口系統 60
4．4 PKI信任模型 61
4．4．1 什麼是信任模型 61
4．4．2 交叉認證 63
4．4．3 常用的信任模型 63
4．5 PKI的服務和實現 66
4．6 PKI應用 70
4．6．1 PKI相關標準 70
4．6．2 基於PKI的應用領域 73
4．6．3 PKI技術的發展 75
本章小結 77
思考題 78

第5章 身份認證技術 79
5．1 身份認證技術概述 79
5．1．1 身份認證的含義及其重要性 79
5．1．2 身份認證的原理 80
5．1．3 身份認證的方法 80
5．2 認證口令 81
5．2．1 關鍵問題 81
5．2．2 挑戰/響應認證機制 82
5．3 認證令牌 83
5．3．1 術語 83
5．3．2 時間令牌 83
5．4 生物特徵認證 84
本章小結 87
思考題 87

第6章 訪問控制技術 88
6．1 訪問控制的概念與原理 88
6．1．1 訪問控制的概念 88
6．1．2 訪問控制的原理 89
6．2 訪問控制的結構 89
6．2．1 訪問控制矩陣 89
6．2．2 訪問能力表 90
6．2．3 訪問控製表 91
6．2．4 授權關係表 91
6．3 訪問控制策略 92
6．3．1 基於身份的策略 92
6．3．2 基於規則的策略 93
6．4 訪問控制模型 94
6．4．1 自主訪問控制模型 94
6．4．2 強制訪問控制模型 95
6．4．3 基於角色的訪問控制模型 96
本章小結 98
思考題 98

第7章 互聯網安全技術 99
7．1 網絡安全概述 99
7．1．1 網絡安全的概念 99
7．1．2 網絡系統面臨的威脅 100
7．1．3 網絡安全的基本原則 101
7．1．4 網絡安全關鍵技術 101
7．2 防火牆 102
7．2．1 防火牆概述 102
7．2．2 防火牆實現技術 103
7．2．3 防火牆結構 108
7．3 入侵檢測系統 110
7．3．1 入侵檢測系統概述 110
7．3．2 入侵檢測系統的數據源 112
7．3．3 入侵檢測技術 113
7．3．4 入侵檢測系統結構 116
7．4 虛擬專用網絡 118
7．4．1 虛擬專用網絡概述 118
7．4．2 VPN的分類 120
7．4．3 隧道技術 121
7．4．4 常用的隧道協議 123
7．5 計算機病毒及其防護 126
7．5．1 計算機病毒的產生和發展 126
7．5．2 計算機病毒及其類型 127
7．5．3 計算機病毒防護 130
本章小結 131
思考題 132

第8章 電子商務安全協議 133
8．1 電子商務安全協議概述 133
8．2 SET協議 134
8．2．1 SET協議概述 134
8．2．2 SET協議交易的參與者 135
8．2．3 SET協議的相關技術 135
8．2．4 SET協議的交易流程 138
8．3 SSL協議 139
8．3．1 SSL協議概述 139
8．3．2 SSL握手協議 140
8．3．3 SSL記錄協議 141
8．3．4 SSL協議與SET協議的比較 142
8．4 HTTPS協議 143
8．4．1 HTTPS協議概述 143
8．4．2 HTTPS協議結構 144
8．4．3 HTTPS協議的工作原理 144
8．4．4 HTTPS協議的安全性分析 145
本章小結 147
思考題 147

第9章 移動電子商務安全 148
9．1 移動電子商務 148
9．2 移動電子商務的安全威脅 149
9．2．1 移動通信系統威脅 149
9．2．2 移動設備自身隱患 149
9．2．3 外部因素的威脅 150
9．3 IEEE 802．11協議及其安全機制 151
9．3．1 IEEE 802．11協議 151
9．3．2 無線局域網的組網方式 152
9．3．3 IEEE 802．11協議的安全機制 153
本章小結 155
思考題 155

第10章 數據高可用技術 156
10．1 數據備份和恢復技術 156
10．1．1 數據備份 156
10．1．2 數據恢復 157
10．2 網絡備份系統 158
10．2．1 單機備份和網絡備份 158
10．2．2 網絡備份系統的組成 159
10．2．3 網絡備份系統方案 160
10．3 數據容災 162
10．3．1 數據容災概述 162
10．3．2 數據容災技術 162
本章小結 164
思考題 164

第11章 區塊鏈技術 165
11．1 區塊鏈的產生與發展 165
11．1．1 區塊鏈的產生 165
11．1．2 比特幣的關鍵要素 166
11．1．3 區塊鏈與比特幣交易 168
11．2 區塊與區塊鏈 170
11．2．1 區塊的數據結構 170
11．2．2 區塊鏈的特點 171
11．2．3 區塊鏈的應用 172
11．2．4 區塊鏈的類型 173
11．2．5 區塊鏈平台 173
11．3 區塊鏈的核心技術 174
11．3．1 公鑰密碼學 174
11．3．2 分佈式交互 175
11．3．3 共識機制 176
11．3．4 加密Hash函數 176
11．3．5 計算機體系結構 177
11．4 區塊鏈安全問題與防禦技術 177
11．4．1 區塊鏈現存安全隱患 177
11．4．2 區塊鏈安全攻擊的主要方式 180
11．4．3 區塊鏈安全目標 182
11．4．4 傳統的區塊鏈防禦技術 185
11．4．5 新型區塊鏈防禦技術 186
11．5 新興區塊鏈技術 186
11．5．1 公鏈解決方案 186
11．5．2 聯盟鏈解決方案 189
11．5．3 跨鏈技術 190
11．6 典型區塊鏈解決方案 191
11．6．1 騰訊區塊鏈方案 191
11．6．2 京東區塊鏈方案 193
本章小結 196
思考題 196

第12章 電子商務安全評估與管理 197
12．1 電子商務安全評估與管理的基本概念 197
12．2 電子商務安全風險評估 197
12．2．1 安全風險分析 197
12．2．2 安全風險評估 203
12．3 電子商務安全風險評估方法 204
12．3．1 層次分析法 205
12．3．2 模糊綜合評價法 206
12．3．3 貝葉斯網絡方法 208
12．3．4 故障樹分析法 209
12．4 電子商務安全管理 210
12．4．1 安全管理的目標 211
12．4．2 安全意識和培訓 212
12．4．3 創建安全域 213
12．4．4 應急預案 213
本章小結 214
思考題 214

第13章 電子商務安全解決方案 215
13．1 IBM電子商務安全解決方案 215
13．1．1 身份管理 215
13．1．2 單點登錄 217
13．1．3 IBM預防性安全方案ISS 217
13．2 阿里雲安全解決方案 220
13．2．1 數據安全 220
13．2．2 訪問控制 221
13．2．3 雲安全服務 222
13．2．4 系統安全及開發維護 223
13．2．5 其他安全措施 223
13．3 Microsoft Azure安全解決方案 224
13．3．1 計算、存儲和服務管理 224
13．3．2 Microsoft Azure的視角：Fabric 226
13．3．3 雲安全設計 226
13．3．4 安全開發生命週期 231
本章小結 231
思考題 232

附錄Ａ 233
參考文獻 238