荆州职业技术学院 电子商务概论 课程教案
. 电子商务 专业 班级 教师 授课时间
教学课题
电子商务的安全概述、防火墙技术
学时
2学时
教学目的
通过本次课的学习，分析网络安全问题及其产生根源，掌握电子商务安全要求；熟悉防火墙技术。
教材分析
重点
电子商务的安全要求
难点
几种防火墙技术的区别
教学方法
讲授法、案例分析法
教学手段
板书
教学过程及时间分配
[导入新课]从黑客攻击事件谈电子商务安全（10′）
[主要教学内容]
第四章 电子商务安全技术
4.1 电子商务的安全概述
1．电子商务的安全威胁（5′）
2．电子商务的安全要求（15′）
3．电子商务的安全体系（25′）
4.2 电子商务的安全技术
4．防火墙技术（20′）
5．课堂讨论与练习（10′）
[小结与作业布置] （5′）
教研室主任检查签字
第四章 电子商务安全技术
内容提要：本章从电子商务的安全要求入手，介绍电子商务的几种安全技术，从而说明电子商务安全问题有哪些，其根源何在、带来哪些风险、如何应用安全技术等。
教材分析：重点是防火墙技术、加密技术、认证技术的基础知识
难点是这几种技术运用
节次安排：本章设三节，即：电子商务的安全概述、电子商务的安全技术、电子商务安全交易标准
课时计划：本章拟用8学时，其中理论6学时，实验2学时
第一节 电子商务的安全概述
一、电子商务的安全威胁
1、信息泄露 2、信息完整性破坏 3、业务拒绝
4、非法使用 5、系统穿透 6、植入 7、否认
二、电子商务的安全要求
1、信息传输的保密性
交易文件的完整性
3、信息的不可否认性
4、交易者身份的真实性
三、电子商务的安全体系
1、管理上的安全措施
2、法律上的安全保障
3、技术上的安全保证
4、安全层次模型
数据信息安全
软件系统安全措施
通讯网络安全措施
硬件系统安全措施
物理实体安全环境
管理细则 保护措施
法律 规范 道德 纪律
（1）第一层是法律制度与道德规范
（2）第二层是管理制度的建立与实施
安全管理制度的建立与实施，是实现计算机信息系统安全的重要保证。主要包括：安全管理人员的教育培训、制度的落实、职责的检查等方面的内容。
（3）第三、四层是物理实体的安全与硬件系统保护
（4）第五至七层是网络、软件、信息安全
通信网络、系统软件、信息安全保密技术，是计算机系统安全的关键，也是信息安全技术主要的研究内容，这三层是计算机信息系统安全的关键。包括：
数据的加密解密、密钥管理及加密解密算法；
操作系统、应用软件的安全；
数据库安全
数据的完整性
网络安全
病毒防范
第二节 电子商务的安全技术
一、防火墙技术（Firewall）
（一）概念和作用
1、概念：防火墙技术是由软件系统和硬件设备组成的在内部网和外部网之间的界面上构造的保护层，是保护计算机网络安全的隔离控制技术。
2、作用：隔离系统可能遭到伤害的危险。
（二）安全策略
1、一切未被允许的访问服务都是禁止的。 防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。
2、一切未被禁止的访问服务都是允许的。 防火墙应转发所有信息流，然后逐项屏蔽可能有害的服务。
（三）结构
（四）类型
1、网络级防火墙（包过滤防火墙）
（1）原理：一般是基于源地址和目的地址，应用协议（TCP/IP）以及每个IP包的端口来作出通过与否的判断。
（2）应用方式：一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的数据包进行转发。
（3）优点：简洁、速度快、费用低、对用户透明
（4）缺点：对网络保护有限（只检查地址和端口，对网络更高协议层的信息无理解能力）
应用级网关
（1）原理：能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。
（2）应用方式：在实际工作中，应用级网关一般由专用工作站系统来完成。
（3）缺点：每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。
3、电路级网关
原理：用来监控受信任的客户机或服务器与不受信任的主机间的TCP握手信息。
4、规则检查防火墙
（1）原理：结合了前三者的特点，它同包过滤防火墙一样能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。目前在市场上流行的防火墙大多属于此类。
（2）优点：对用户透明，在OSI最高层上加密数据，不需要用户修改客户端的程序，也不需要额外增加代理。
总结：结合上述几种防火墙技术的优点，可以产生通用、高效和安全的防火墙。例如将网络级和应用级防火墙结合起来，将保证应用层安全性、统一支持处理所有协议、审计和预警等，其运转对于用户和建立系统都是透明的，并且包括了面向所有的图形用户接口，便于配置和管理。
[课程小结]
电子商务的安全威胁主要有信息泄露、信息完整性破坏、业务拒绝 、非法使用、系统穿透、植入和否认。
电子商务的安全要求主要有信息传输的机密性、交易文件的完整性、信息的不可否认性和交易者身份的真实性。
电子商务的安全体系包括管理上的安全措施、法律上的安全保障、技术上的安全保证和安全层次模型。
防火墙技术是一种保护计算机网络安全的隔离控制技术。
[课后作业]
论述电子商务信息安全的重要性，分析电子商务信息安全需求。 荆州职业技术学院 电子商务概论 课程教案
.电子商务专业 班级 教师 授课时间
教学课题
加密技术、认证技术
学时
2学时
教学目的
通过本次课的学习，使同学们掌握加密技术的三种具体方法及加密原理，了解数字指纹、数字时间戳等几种安全交易控制技术。
教材分析
重点
加密技术、数字证书
难点
非对称密钥加密法
教学方法
讲授法
教学手段
板书
教学过程及时间分配
[导入新课] 上节主要介绍了电子商务的安全问题、要求以及防火墙技术的基础知识，本节重点介绍加密技术和交易控制技术。（5′）
[主要教学内容]
4.2 电子商务安全技术
1．加密技术（40′）
2．认证技术（30′）
3．课堂讨论与练习（10′）
[小结与作业布置] （5′）
教研室主任检查签字
[正式讲授]
第二节 电子商务安全技术
二、加密技术
相关概念：
加密、解密；密文、明文；密钥、算法；密码系统
（一）对称密钥加密法（私钥加密）
1、概念：也“单密钥体制”，即加密所使用的密钥和解密所使用的密钥相同或相对。
对称密钥的算法是公开的，交换信息的双方不必须交换加密算法，而是采用相同的加密算法，但需要交换加密密钥。
2、算法---DES算法（置换算法）Data Encryption Standard
3、过程：
4、特点： ①由于算法公开，其安全性完全依赖于对密钥的保护；
②密钥数量多，且保管困难；
③难以进行身份认证；
④加解密速度快。
（二）非对称密钥加密法（公钥加密）
1、概念：
2、算法---RSA算法：基于数论中大素数因式分解困难的思想
3、过程：
4、特点： ①密钥分配简单；
②密钥的保管量少；
③可以实现身份认证；
④加解密速度慢。
（三）数字信封技术---RSA与DES的互补
三、认证技术
（一）数字签名---信息的不可否认性
1、数字签名技术的含义
2、数字签名的作用
3、数字签名的方法
（二）数字摘要---交易文件的完整性
（三）数字时间戳---信息的不可否认性
说明：电子商务的安全认证包括：身份认证和信息认证。
（四）数字证书（Digital ID）
1、概念：
又称为数字凭证、数字标识，是一个经证书认证机构（CA）数字签名的包含用户身份信息以及公开密钥信息的电子文件，是用电子手段来证实一个用户的身份和对网络资源访问的权限。是各实体在网上进行信息交流及商务活动的电子身份证。
2、内容：
①证书版本号 ②证书序列号 ③签名算法标识 ④证书签发者CA名称
⑤证书有效期 ⑥用户名称 ⑦用户公钥信息
3、类型：
①个人凭证（Personal Digital ID）
仅为个人用户提供，以帮助其在网上进行安全交易操作。个人身份的数字证书通常是安装在客户端的浏览器内的，并通过安全电子邮件来进行交易操作。
②企业（服务器）凭证（Server ID）
为网上的某个Web服务器提供凭证，拥有Web服务器的企业就可以用具有凭证的万维网站点来进行安全电子交易。
③软件（开发者）凭证（Developer ID）
为Internet中被下载的软件提供凭证，以使用户在下载软件时能获得所需的信息。
（五）认证中心（CA ，Certificate Authority）
1、概念：
是承担网上安全电子交易认证服务、签发数字证书、并能确认用户身份的服务机构。
2、职能：
①证书发放 ②证书更新 ③证书查询 ④证书撤消 ⑤证书归档
3、认证分级体系
4、安全解决方案的内容 ：①认证中心的建立
②密码体制的选择
③安全协议的选择
5、基本构架： ①技术方案 ②基础设施 ③运作管理
[课程小结]
加密技术包括对称密钥加密法和非对称密钥加密法，主要保障信息传输的机密性。
认证技术包括数字指纹、数字签名、数字时间戳、数字证书，分别保障电子商务活动中信息的完整性、不可否认性和交易身份的真实性。
[课后作业]
加密技术中对称加密和非对称加密的区别。
数字证书获取的方法和过程。
荆州职业技术学院 电子商务概论 课程教案
.电子商务专业 班级 教师 授课时间
教学课题
电子商务安全交易标准
学时
2学时(90)
教学目的
通过本次课的学习，了解各种病毒防治技术；同时掌握SSL协议和SET协议的基础知识及应用。
教材分析
重点
SSL和SET的基本应用
难点
SSL和SET的主要区别
教学方法
讲授法
教学手段
板书
教学过程及时间分配
[导入新课] 数字证书的概念、基本内容、类型及作用 （5′）
[主要教学内容]
4.2 EC安全技术
1．病毒防治技术（20′）
4.3 EC安全交易协议
2．SSL协议（25′）
3．SET协议（25′）
4．课堂讨论与练习（10′）
[小结与作业布置] （5′）
教研室主任检查签字
[正式讲授]
第二节 EC安全技术
四、病毒防治技术
（一）概念
计算机病毒（Computer Virus）的概念是在1983年的一次计算机安全学术讨论会上首次提出的，即能够通过修改程序，把自身复制进去进而“传染”其他程序的程序。这一定义强调了病毒的两大特征：首先，病毒是人为编制的程序；其次，病毒具有传染性。
（二）特点
1.破坏性 2.隐蔽性 3.潜伏性 4.传染性
（三）类型
按其入侵方式可分为：
1.操作系统型病毒
这种病毒具有很强的破坏力（用它自己的程序意图加入或取代部分操作系统进行工作），可以导致整个系统的瘫痪。大麻病毒就是典型的操作系统病毒。
2.源码病毒
在程序被编译之前插入到FORTRAN、C或PASCAL等语言编制的源程序，完成这一工作的病毒程序一般是在语言处理程序或连接程序之中。
3.外壳病毒
常附在主程序的首尾，对源程序不作修改，这种病毒较常见，易于编写，也易于发现，一般测试可执行文件的大小即可知。
4.入侵病毒
侵入到主程序之中，并替代主程序中部分不常用的功能模块，这种病毒是针对特定程序而编写的。
（四）防范
1.计算机病毒消毒方法
（1）手工消毒方法：使用DEBUG、PCTOOLS等简单工具，借助于对某种病毒的具体认识，从感染病毒的文件中，清除病毒代码，使之康复。手工消毒操作复杂，速度慢，风险大，需要熟练的技能和丰富的知识。
（2）自动消毒方法：使用自动消毒软件自动清除患病文件中的病毒代码，使之康复。自动消毒方法操作简单、效率高、风险小。
（3）格式化：在前两种方法不奏效的情况下，采用此方法对软盘进行格式化，或对硬盘进行低级格式化。
2、计算机病毒的防范
（1）备份：对所有的软件进行备份，并制定应付突发情况的应急方案。
（2）预防：提高警惕性，实行安全制度，例使用正版软件等。
（3）检测：使用杀病毒软件来检测、报告并杀死病毒。
（4）隔离：确认并隔离携带病毒的部件。
（5）恢复：杀毒或清除被病毒感染的文件。
第三节 EC安全管理制度及安全交易标准
一、EC安全管理制度
1.人员管理制度
2.保密安全管理制度
3.跟踪、审计、稽核制度
4.网络系统的日常维护制度
5.法律制度
二、EC安全交易标准
电子商务活动中常用的系统安全协议：SSL、SET、S－HTTP、S/M I M E等
（一）SSL协议——处于传输层
1.概念：
又称安全套接层协议（Secure Sockets Layer），是采用非对称密钥技术，保证两个应用（客户、服务器）之间通讯内容的保密性和数据完整性的协议。它涉及所有TCP/IP应用程序。
(1)提供的安全服务
? 认证用户和服务器：确保数据被发送到指定的客户机和服务器，其中客户端认证是可选的，服务器端始终被认证。
? 加密数据，以隐藏被传递的数据
? 维护数据的完整性，确保数据在传输过程中不被改变。
(2)运行过程：密码交换阶段、会谈密码、验证阶段、结束阶段
(3)SSL协议的应用
在Internet网上被广泛用于处理财务上敏感的信息；在信用卡交易方面，商家可以通过SSL在Web上实现对信用卡定单的加密。
（二）SET协议——处于应用层
1.概念（SET—Secure Electronic Trensaction）
又称安全电子交易协议，它是一种应用在Internet网上，以信用卡为基础的电子付款系统规范，目的是为了实现用户、商家和银行之间通过信用卡支付的交易安全，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份以及可操作性。
核心技术：对称密钥、非对称密钥技术--→信息的保密
数字证书-------------→交易各方的全法性
消息摘要、数字签名----→信息的完整性和不可否认性
对称签名---→对消费者的支付信息和定单信息分别签名，使得商家看不到支付信息，只对订单信息解密，而金融机构只对支付和账户信息解密。
2.作用——提供的安全服务
(1)信息安全传输
(2)订单信息和个人账号信息的隔离
(3)提供交易者的身份认证
(4)统一的协议和报文格式
4.SET支付过程
应用案例:
“网上南京路”（www.nanjingroad.sh.cn）SET支付形式已获准在线使用的有：牡丹卡、金穗卡、长城卡、太平洋卡等
“网上南京路”（www.nanjingroad.sh.cn）SSL支付形式已获准在线使用的有：长城卡、太平洋卡、龙卡、白玉兰储蓄卡、一卡通、阳光卡、民生卡、华夏卡、发展卡。
[本章小结]
电子商务交易系统对网络信息的机密性、完整性、不可否认性和交易身份的真实性具有很高的要求，本章从电子商务的安全要求入手，介绍电子商务的几种安全技术，从而说明电子商务安全问题有哪些，其根源何在、带来哪些风险、如何应用安全技术，各安全技术分别可保障的安全要求等。
[课后作业]
试比较SSL协议与SET协议
荆州职业技术学院 电子商务概论 课程教案
.电子商务专业 班级 教师 授课时间
教学课题
实验：数字证书及CA中心
学时
2学时
教学目的
通过本次实验课，使学生熟悉各种数字证书及CA认证中心，并能申请个人数字证书。
教材分析
重点
难点
教学方法
动手实践
教学手段
演练
教学过程及时间分配
实践资料：课后习题（教材P218）
实践过程：练习70′
讲解20′
教研室主任检查签字
实训一：熟悉各种数字证书及CA中心
实训目的
通过本次实验，熟悉各种数字证书的功能、申请流程、使用方法以及CA中心的职责。
实训过程
1.打开IE，输入广东省电子商务认证中心网址。
2.点击首页上的个人证书介绍、购买流程。
3.进入单位证书介绍、购买流程。
4.进入服务器证书介绍、购买流程。
5.进入安全电子邮件证书介绍、购买流程。
6.进入代码证书介绍、购买流程。
7.进入解决方案中的应用方案，了解各种电子商务安全解决方案的特点、适用环境等。
8.进入北京数字证书认证中心，查看各相关页面，比较与广东电子商务认证中心所提供的各种服务的异同。
9.通过搜索引擎查找我国其他的CA中心的网址，了解各CA中心提供的数字证书的特点、申请流程等。
实训二：申请个人用户数字证书
实训目的
通过实际操作，掌握申请人个用户数字证书的流程、方法等。
实训步骤
