第一篇：《電子商務安全導論》讀書筆記13

《電子商務安全導論》讀書筆記13

9，CA證書：證實CA身份和CA的簽名密鑰。

10，證書機構CA用于創建和發布證書，它通常為一個稱為安全域的有限群體發放證書。11，安全服務器：面向普通用戶，用于提供證書的申請，瀏覽，證書吊銷表以及證書下載等安全服務。

12，CA服務器：是整個證書機構的核心，負責證書的簽發。

13，LDAP服務器：提供目錄瀏覽服務，負責將注冊機構服務器傳輸過來的用戶信息以及數字證書加入到服務器上。

14，數據庫服務：是認證機構的核心部分，用于認證機構數據，日志和統計信息的存儲和管理。

15，公鑰用戶需要知道公鑰的實體為公鑰用戶。

16，證書更新當證書持有者的證書過期，證書被竊取，受到攻擊時通過更新證書的方法，使其用新的證書繼續參與網上認證。證書的更新包括證書的更換和證書的延期兩種情況。簡答題：

1，有效證書應滿足的條件有哪些？

答：（1）證書沒有超過有效期。（2）密鑰沒有被修改。如果密鑰被修改后，原證書就應當收回，不再使用。如果雇員離開了其公司，對應的證書就可收回，如果不收回，且密鑰沒被修改，則可繼續使用該證書；（3）證書不在CA發行的無效證書清單中。CA負責回收證書，并發行無效證書清單。用戶一旦發現密鑰泄露就應及時將證書吊銷。并由CA通知停用并存檔備案。

2，密鑰對生成的兩種途徑是什么？

答：（1）密鑰對持有者自己生成：用戶自己用硬件或軟件生成密鑰對。如果該密鑰對用于數字簽名時，應支持不可否認性。（2）密鑰對由通用系統生成：由用戶依賴，可信賴的某一中心機構生成，然后安全地送到特定用戶的設備中。利用這類中心的資源，可產生高質量密鑰對，易于備份和管理。

3，證書有哪些類型？

答：（1）個人證書：證實客戶身份和密鑰所有權。在一些情況下，服務器會在建立SSL邊接時要求用個人證書來證實客戶身份。用戶可以向一個CA申請，經審查后獲得個人證書。

（2）服務器證書：證實服務器的身份和公鑰。當客戶請求建立SSL連接時，服務器把服務器證書傳給客戶。客戶收到證書后，可以檢查發行該證書的CA是否應該信任。對于不信任的CA，瀏覽器會提示用戶接受或拒絕這個證書。

（3）郵件證書：證實電子郵件用戶的身份和公鑰。一些有安全功能的電了郵件應用程序能使用郵件證書來驗證用戶身份和加密解密信息。

（4）CA證書：證實CA身份和CA的簽名密鑰。在Netscape瀏覽器里，服務器管理員可以看到服務受接受的CA證書，并選擇是否信任這些證書。CA證書允許CA發行其他類型的證書。

4，如何對密鑰進行安全保護？

第二篇：《電子商務安全導論》讀書筆記8

《電子商務安全導論》讀書筆記8，目前防火墻的控制技術可分為：包過濾型，包檢驗型以及應用層網關型三種。7，防火墻不能解決的問題有哪些？

答：（1）如果網絡管理員不能及時響應報警并審查常規記錄，防火墻就形同虛設。在這種情況下，網絡管理員永遠不會知道防火墻是否受到攻擊。

（2）防火墻無法防范通過防火墻以外的其他途徑的攻擊。

（3）防火墻不能防止來自內部變節者和不經心的用戶帶來的威脅。

（4）防火墻也不能防止傳送已感染病毒的軟件或文件。

（5）防火墻無法防范數據驅動型的攻擊。

8，VPN提供哪些功能？

答：加密數據：以保證通過公網傳輸的信息即使被他人截獲也不會泄露。

信息認證和身份認證：保證信息的完整性，合法性，并能鑒用戶的身份。

提供訪問控制：不同的用戶有不同的訪問權限。

9，簡述隧道的基本組成。

答：一個隧道啟動器，一個路由網絡，一個可選的隧道交換機，一個或多個隧道終結器。11，IPSec提供的安全服務包括：私有性（加密），真實性（驗證發送者的身份），完整性（防數據篡改）和重傳保護（防止未經授權的數據重新發送）等，并制定了密鑰管理的方法。12，選擇VPN（虛擬專用網）解決方案時需要考慮哪幾個要點？

答：（1）認證方法；（2）支持的加密算法。（3）支持的認證算法。（4）支持IP壓縮算法。

（5）易于部署。（6）兼容分布式或個人防火墻的可用性。

13，簡述VPN的分類。

答：按VPN的部署模式分，VPN的部署模式從本質上描述了VPN的通道是如何建立和終止的，一般有三種VPN部署模式：端到端模式；供應商到企業模式；內部供應商模式。按VPN的服務類型分，VPN業務大致可分為三類：internetVPN AccessVPN和ExtranetVPN。14，簡述VPN的具體實現即解決方案有哪幾種？

答：（1）虛擬專用撥號網絡，用戶利用撥號網絡訪問企業數據中心，用戶從企業數據中心獲得一個私有地址，但用戶數據可跨公共數據網絡傳輸。

（2）虛擬專用路由網絡，它是基于路由的VPN接入方式。

（3）虛擬租用線路，是基于虛擬專線的一種VPN

第三篇：《電子商務安全導論》讀書筆記3

《電子商務安全導論》讀書筆記

3第二章 電子商務安全需求和密碼技術

名詞解釋

1，明文：原始的，未被偽裝的消息稱做明文，也稱信源。通常用M表示。

2，密文：通過一個密鑰和加密算法將明文變換成一種偽信息，稱為密文。通常用C表示。3，加密：就是用基于數學算法的程序和加密的密鑰對信息進行編碼，生成別人難以理解的符號，即把明文變成密文的過程。通常用E表示。

4，解密：由密文恢復成明文的過程，稱為解密。通常用D表示。

5，加密算法：對明文進行加密所采用的一組規則，即加密程序的邏輯稱做加密算法。

6，解密算法：消息傳送給接收者后，要對密文進行解密時所采用的一組規則稱做解密算法。7，密鑰：加密和解密算法的操作通常都是在一組密鑰的控制下進行的，分別稱作加密密鑰和解密密鑰。通常用K表示。

8，單鑰密碼體制：是加密和解密使用楨或實質上等同的密鑰的加密體制。使用單鑰密碼體制時，通信雙方A B必須相互交換密鑰，當A發信息B時，A用自己的加密密鑰匙進行加密，而B在接收到數據后，用A的密鑰進行解密。單鑰密碼體制又稱為秘密密鑰體制或對稱密鑰體制。

9，雙鑰密碼體制又稱作公共密鑰體制或非對稱加密體制，這種加密法在加密和解密過程中要使用一對密鑰，一個用與加密，另一上用于解密。即通過一個密鑰加密的信息，只有使用另一個密鑰才能夠解密。這樣每個用戶都擁有兩個密鑰：公共密鑰和個人密鑰，公共密鑰用于加密鑰，個人密鑰用于解密。用戶將公共密鑰交給發送方或公開，信息發送者使用接收人的公共密鑰加密的信息只有接收人才能解密。

簡答題材、1，電子商務的可靠性的含義是什么？

答：可靠性是指電子商務系統的可靠性，電子商務系統也就是計算機系統，其可靠性是指為防止由于計算機失效，程序錯誤，傳輸錯誤，硬件故障，系統軟件錯誤，計算機病毒和自然災害等聽所產生的潛在威脅，并加以控制和預防，確保系統安全可靠性。

2，電子商務的真實性的含義是什么？

答：真實性蝗旨商務活動中交易身份的真實性，亦即是交易雙方確實存在的，不是假冒的。3，單鑰密碼體制的特點是什么？

答：第一，加密和解密的速度快，效率高；第二，單鑰密碼體制的加密和解密過程使用同一個密鑰。發送者的接收者都需要知道密鑰，需要安全渠道進行密鑰的傳遞，單鑰密碼體制無法適應互聯網大環境多人相互通信要求。

4，雙鑰密鑰體制最大的特點是什么？

答：第一，適合密鑰的分配和管理。第二，算法速度慢，只適合加密小數量的信息。5，替換加密和轉換加密的主要區別是什么？

答：在替換加密法中，原文的順序沒被改變，而是通過各種字母映射關系把原文隱藏了起來。轉換加密法是將原字母的順序打亂，將其重新排列。

6，簡述密碼系統的理論安全性的實用安全性。

答：由于計算機技術的發展，人們借且于計算機進行分析處理，密碼的破譯能力也不斷提高。一個密碼體制的安全性取決于破譯者具備的能力，如若它對于擁有無限計算資源的破譯者來說是安全的，則稱這樣的密碼體制是無條件安全的，它意味著不論破譯者擁有多大的資源，都不可能破譯；如若一個密碼體制對于擁有限計算資源的破澤者來說是安全的，則稱這樣的密碼體制是計算上安全的，計算上安全的密碼表明破譯的難度很大。

無條件安全的密碼體制是理論上安全的；計算上安全的密碼體制是實用的安全性。但目前已知的無條件安全的密碼體制都是不實用的；同時還沒有一個實用的密碼體制被證明是計算上安全的。

第三章 密碼技術的應用

第四篇：《電子商務安全導論》讀書筆記2

《電子商務安全導論》讀書筆記2

4，為什么交易的安全性是電子商務獨有的？

答：這也是電子商務系統所獨有的。在我們的日常生活中，進行一次交易必須辦理一定的手續，由雙方簽發各種收據憑證，并簽名蓋章以作為法律憑據。但在電子商務中，交易在網上進行，雙方甚至不會見面，那么一旦一方反悔，另一方怎么能夠向法院證明合同呢？這就需要一個網上認證機構對每一筆業務進行認證，以確保交易的安全，避免惡意欺詐。5，攻擊WEB站點有哪幾種方式？

答：安全信息被破譯：WEB服務器的安全信息，如口令，密鑰等被破譯，導致攻擊者進入WEB服務器。瀏覽器的強大功能，可以以不同形式訪問WEB站點的數據，這不僅為用戶，同時也為攻擊者打開了許多方便之門。攻擊者試圖在內部網上獲取信息或利用；計算機資源。因此，必須保護WEB站點，防止闖入者的襲擊。最常見，也是最有效的保護是使用防火墻。非法訪問：未授權者非法訪問了WEB上的文件，損害了電子商務中的隱私性，機密截獲。交易信息被截獲：當用戶向服務器傳輸交易信息時被截獲。

軟件漏洞被攻擊者利用：系統中的軟件錯誤，使得攻擊者可以對WEB服務器發出指令，致使系統被修改和損壞，甚至引起整個系統的崩潰。

當用CGI腳本編寫的程序或其他涉及到遠程用戶從瀏覽中輸入表格并進行像檢索之類在主機上直接操作命令時，會給WEB主機系統造成危險。

6，WEB客戶機和WEB服務器的任務分別是什么？

答：WEB客戶機的任務是：（1）為客戶提出一個服務請求——超鏈時啟動；（2）將客戶的請求發送給服務器；（3）解釋服務器傳送的HTML等格式文檔，通過瀏覽器顯示給客戶。WEB服務器的任務是：（1）接收客戶機來的請求；（2）檢查請求的合法性；（3）針對請求，獲取并制作數據，包括使用CGI腳本等程序，為文件設置適當的MIME類型來對數據進行前期處理和后期處理；（4）把信息發送給提出請求的客戶機。

7，電子商務安全的六項中心內容是什么？

答（1）商務數據的機密性或稱保密性是指信息在網絡上傳送或存儲的過程中不被他人竊取，不被泄露或披露給未經授權的人或組織，或者經過加密偽裝后，使未經授權者無法了解其內容。

（2）商務數據的完整性或稱正確性是保護數據不被未經授權者修改，建立，嵌入，刪除，重復傳送或由于其他原因使原始數據被更改。

（3）商務對象的認證性是指網絡兩端的使用者在溝通之前相互確認對方的身份。

（4）商務服務的不可否認性是指信息的發送方面不能否認已發送的信息，接收方不能否認已收到的信息，這是一種法津有效性要求。

（5）商務服務的不可拒絕性或稱可用性是保證授權用戶在正常訪問信息和資源時不被拒絕，即保證為用戶提供穩定的服務。

（6）訪問的控制性是指在網絡上限制和控制通信鏈路對主機系統和應用的訪問：用于保護計算機系統的資源（信息，計算和通信資源）不被未經授權人或以未經授權方式接入，使用，修改，發出指令或植入程序等。

第五篇：《電子商務安全導論》讀書筆記5

《電子商務安全導論》讀書筆記5。

3，數字簽名與消息的真實性認證有什么不同？

答：數字簽名與消息的真實性認證是不同的。消息認證是使接收方能驗證消息發送者及所發信息內容是否被篡改過。當收發者之間沒有利害沖突時，這對于防止第三者的破壞來說是足夠了。但當接收者和發送者之間相互有利害沖突時，單純用消息認證技術就無法解決他們之間的糾紛，此是需借助數字簽名技術。

4，數字簽名和手書簽名有什么不同？

答：數字簽名和手書簽名的區別在于：手書簽名是模擬的，因人而異，即使同一個人也有細微差別，比較容易偽造，要區別是否是偽造，往往需要特殊專家。而數字簽名是0和1的數字串，極難偽造，不需專家。對不同的信息摘要，即使是同一人，其數字簽名也是不同的。這樣就實現了文件與簽署的最緊密的“捆綁”。

5，數字簽名可以解決哪些安全鑒別問題？

答：數字簽名可以解決下述安全鑒別問題：

（1）接收方偽造：接收方偽造一份文件，并聲稱這是發送方發送的；（2）發送者或收者否認：發送者或接收者事后不承認自己曾經發送或接收過文件；（3）第三方冒充：網上的第三方用戶冒充發送或接收文件；（4）接收方篡改：接收方對收到的文件進行改動。6，無可爭辯簽名有何優缺點？

答：無可爭辯簽名是在沒有簽名者自己的合作下不可能驗證簽名的簽名。

無可爭辯簽名是為了防止所簽文件被復制，有利于產權擁有者控制產品的散發。適用于某些應用，如電子出版系統，以利于對知識產權的保護。

在簽名人合作下才能驗證簽名，又會給簽名者一種機會，在不利于他時可拒絕合作，因而不具有“不可否認性”。無可爭辯簽名除了一般簽名體制中的簽名算法和驗證算法外，還需要第三個組成部分，即否認協議：簽名者利用無可爭辯簽名可向法庭或公眾證明一個偽造的簽名的確是假的；但如果簽名者拒絕參與執行否認協議，就表明簽名真的由他簽署。論述題

1，對比傳統手書簽名來論述數字簽名的必要性。

答：商業中的契約，合同文件，公司指令和條約，以及商務書信等，傳統采用手書簽名或印章，以便在法律上能認證，核準，生效。傳統手書簽名儀式要專門預定日期時間，契約各方到指定地點共同簽署一個合同文件，短時間的簽名工作量需要很長時間的前期準備工作。由于某個人不在要簽署文件的當地，于是要等待，再等待。這種狀況對于管理者，是延誤時機；對于合作伙伴，是丟失商機；對于政府機關，是辦事效率低下。

電子商務的發展大大地加快了商務的流程，已經不能容忍這種“慢條斯理”的傳統手書簽名方式。在電子商務時代，為了使商，貿，政府機構和直接消費者各方交流商務信息更快，更準確和更便于自動化處理，各種憑證，文件，契約，合同，指令，條約，書信，訂單，企業內部的管理等必須實現網絡化的傳遞。保障傳遞文件的機密性應使用加密技術，保障其完整性則用信息摘要要技術，而保障認證性和不可否認性則應使用數字簽名技術。

數字簽名可做到高效而快速的響應，任意時刻，在地球任何地方——只要有internet，就可完成簽署工作

數字簽名除了可用于電子商務中的簽署外，還可用于電子辦公，電子轉賬及電子郵遞等系統。

第四章 網絡系統物理安全與計算機病毒的防治

名詞解釋

1，備份：是恢復出錯系統的辦法之一，可以用備份系統將最近的一次系統備份恢復到機器

上去。

2，歸檔：是指將文件從計算機的存儲介質中轉移到其他永久性的介質上的，以便長期保存的過程。

3，計算機病毒：是指編制者在計算機程序中插入的破壞計算機功能的程序，或者毀滅數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。

4，鏡像技術：是數據備份技術的一種，主要有網絡數據鏡像，遠程鏡像磁盤等。

5，網絡物理安全：指物理設備可靠，穩定運行環境，容錯，備份，歸檔和數據完整性預防。6，奇偶校驗：也是服務器的一個特性。它提供一種機器機制來保證對內存錯誤的檢測，因此，不會引起由于服務器出錯而造成數據完整性的喪失。

7，引導型病毒：是指寄生在磁盤引導區或主引導區的計算機病毒。

8，文件病毒：是指能夠寄存在文件中的計算機病毒。這類病毒程序感染可執行文件或數據文件。

9，良性病毒：是指那些只是為了表現自身，并不徹底破壞系統和數據，但會大量占用CPU時間，增加系統開銷，降低系統工作效率的一類計算機病毒。

10，惡性病毒：是指那些一旦發作后，就會破壞系統或數據，造成計算機系統癱瘓的一類計算機病毒。

簡答題