第10章電子商務(wù)安全應(yīng)用10.1在線電子銀行系統(tǒng)的體系結(jié)構(gòu)和安全需求10.1.1在線電子銀行系統(tǒng)的體系結(jié)構(gòu)圖10.1基于Internet的電子銀行系統(tǒng)構(gòu)架

圖10.2基無(wú)線應(yīng)用協(xié)議的在線電子銀行系統(tǒng)基本構(gòu)架10.1.2在線電子銀行系統(tǒng)的安全需求①

機(jī)密性②

實(shí)體鑒別數(shù)據(jù)鑒別④

不可抵賴性10.1.2在線電子銀行系統(tǒng)的安全需求①

機(jī)密性②

實(shí)體鑒別數(shù)據(jù)鑒別④

不可抵賴性10.2在線電子銀行系統(tǒng)的通信安全和客戶認(rèn)證10.2.1在線電子銀行系統(tǒng)的通信安全

SSL/TLS/WTLS協(xié)議：

SSL/TLS/WTLS協(xié)議在客戶和銀行之間提供一條安全通道。這意味著在客戶和銀行兩端間可以秘密地傳輸數(shù)據(jù)（數(shù)據(jù)的機(jī)密性）并且可以檢測(cè)出數(shù)據(jù)是否被篡改（數(shù)據(jù)完整性）。SSL/TLS/WTLS協(xié)議的優(yōu)點(diǎn)之一是能夠它們可以在不同的通信協(xié)議中使用，而不嚴(yán)格要求是http協(xié)議。但它們還不能實(shí)現(xiàn)不可抵賴性，所以電子銀行系統(tǒng)應(yīng)該在安全通道之上實(shí)現(xiàn)不可抵賴的安全機(jī)制。10.2.1在線電子銀行系統(tǒng)的通信安全

建立連接時(shí)，握手的目的：第一，客戶和銀行對(duì)所采用的加密算法達(dá)成一致；第二，生成密鑰；雙方相互鑒別。10.2.1在線電子銀行系統(tǒng)的通信安全

建立連接時(shí)，握手的目的：第一，客戶和銀行對(duì)所采用的加密算法達(dá)成一致；第二，生成密鑰；雙方相互鑒別。10.2.2在線電子銀行系統(tǒng)的客戶認(rèn)證常見的實(shí)現(xiàn)實(shí)體鑒別與事務(wù)鑒別的方法：（1）固定口令（2）動(dòng)態(tài)口令（3）詢問/應(yīng)答（4）SSL/TLS/WTLS協(xié)議（5）數(shù)字簽名（6）硬件標(biāo)識(shí)10.2.2在線電子銀行系統(tǒng)的客戶認(rèn)證常見的實(shí)現(xiàn)實(shí)體鑒別與事務(wù)鑒別的方法：（1）固定口令（2）動(dòng)態(tài)口令（3）詢問/應(yīng)答（4）SSL/TLS/WTLS協(xié)議（5）數(shù)字簽名（6）硬件標(biāo)識(shí)10.3在線電子銀行系統(tǒng)的其他安全問題10.3在線電子銀行系統(tǒng)的其他安全問題（1）登錄注冊(cè)（2）授權(quán)（3）支付網(wǎng)關(guān)的安全措施（4）（5）安全平臺(tái)（6）人為因素（7）日志和監(jiān)控10.4在線網(wǎng)絡(luò)證券交易系統(tǒng)的安全網(wǎng)絡(luò)證券交易系統(tǒng)的優(yōu)點(diǎn)①

系統(tǒng)中所有的交易與服務(wù)通過Web頁(yè)面或者有線電話、無(wú)線電話呼叫中心自動(dòng)進(jìn)行，跨越了時(shí)間與空間的界限。②

系統(tǒng)按照每個(gè)用戶的具體需求提供個(gè)性化服務(wù)，服務(wù)方式既可以是主動(dòng)服務(wù)又可以是被動(dòng)服務(wù)。③

所有交易的事務(wù)性工作均由計(jì)算機(jī)系統(tǒng)自動(dòng)完成，大大提高了處理效率、降低了運(yùn)營(yíng)成本。網(wǎng)絡(luò)證券交易系統(tǒng)的安全隱患對(duì)于在線網(wǎng)絡(luò)證券交易系統(tǒng)而言，它仍然存在著與在線電子銀行系統(tǒng)類似的安全問題，比如，它可能遭受黑客的入侵攻擊、拒絕服務(wù)，在因特網(wǎng)上傳輸?shù)臄?shù)據(jù)被非法竊取、篡改、假冒或者重傳，等等。

這些安全問題一方面有可能導(dǎo)致交易中斷甚至導(dǎo)致委托交易服務(wù)器癱瘓，另一方面也會(huì)導(dǎo)致股民缺乏對(duì)在線網(wǎng)絡(luò)證券交易系統(tǒng)的信任。

實(shí)際應(yīng)用中應(yīng)當(dāng)高度重視在線網(wǎng)絡(luò)證券交易系統(tǒng)的安全問題?？蛻襞c證券交易系統(tǒng)服務(wù)器進(jìn)行保密通信過程客戶端交易軟件生成隨機(jī)會(huì)話密鑰，并利用證券公司的證書加密此會(huì)話密鑰使用股民的私鑰對(duì)加密結(jié)果進(jìn)行數(shù)字簽名將簽名數(shù)據(jù)經(jīng)過因特網(wǎng)發(fā)送到證券交易系統(tǒng)服務(wù)器服務(wù)器收到簽名數(shù)據(jù)后，由服務(wù)器端交易軟件使用股民的證書驗(yàn)證交易股民的身份。通過身份驗(yàn)證，證券交易系統(tǒng)服務(wù)器利用私鑰解密還原出會(huì)話密鑰，并利用此會(huì)話密鑰進(jìn)行雙方的保密通信、完成相應(yīng)的操作并提供需要的服務(wù)；否則，拒絕進(jìn)行保密通信并斷開與連接。1、客戶認(rèn)證和事務(wù)鑒別在在線安全電子銀行系統(tǒng)中分別起到什么作用？2、試述在線電子銀行系統(tǒng)采用SSL/TLS/WTLS協(xié)議的優(yōu)缺點(diǎn)。3、試比較實(shí)現(xiàn)在線電子銀行系統(tǒng)客戶認(rèn)證的幾種常用方法的優(yōu)缺點(diǎn)。4、為了解決不可抵賴性問題，實(shí)現(xiàn)在線電子銀行系統(tǒng)時(shí)最好采用何種加密機(jī)制？5、