ssl协议电子商务安全

⑴ SSL安全协议的主要功能不包括

SSL通信的工作原理
SSL协议的主要用途是在两个通信应用程序之间提供私密性和可靠性，这个过程通过3个元素来完成：

（1）握手协议：这个协议负责被子用于客户机和服务器之间会话的加密参数。当一个SSL客户机和服务器第一次开始通信时，它们在一个协议版本上达成一致，选择加密算法和认证方式，并使用公钥技术来生成共享密钥。

（2）记录协议：这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个MAC（消息认证代码），然后结果被加密并传输。接受方接受数据并对它解密，校验MAC，解压并重新组合，把结果提供给应用程序协议。

（3）警告协议：这个协议用于每时示在什么时候发生了错误或两个主机之间的会话在什么时候终止。

SSL协议通信的握手步骤如下：

第1步，SSL客户机连接至SSL服务器，并要求服务器验证它自身的身份；

第2步，服务器通过发送它的数字证书证明其身份。这个交换还可以包括整个证书链，直到某个根证书颁发机构（CA）。通过检查有效日期并确认证书包含可信任CA的数字签名来验证证书的有效性。

第3步，服务器发出一个请求，对客户端的证书进行验证，但是由于缺乏公钥体系结构，当今的大多数服务器不进行客户端认证。

第4步，协商用于加密的消息加密算法和用于完整性检查的哈希函数，通常由客户端提供它支持的所有算法列表，然后由服务器选择最强大的加密算法。

第5步，客户机和服务器通过以下步骤生成会话密钥：

·客户机生成一个随机数，并使用服务器的公钥（从服务器证书中获取）对它加密，以送到服务器上。

·服务器用更加随机的数据（客户机的密钥可用时则使用客户机密钥，否则以明文方式发送数据）响应。

·使用哈希函数从随机数据中生成密钥。
SSL VPN的主要优势和不足

上面我们介绍了有关SSL VPN的一些基本情况，但是就像任何新技术的产生一样，相对传统的技术肯定会存在一些重要的优点，当然不足之处通常也是有的，下面就分别予以介绍。

1．SSL VPN的主要优点

这样一种新型的VPN技术主要优势体现在哪里呢？目前这种VPN技术的应用正逐渐呈上升趋势，原因何在呢？下面就是几个主要的方面：

（1）无需安装客户端软件：在大多数执行基于SSL协议的远程访问是不需要在远程客户端设备上安装软件。只需通过标准的Web浏览器连接因特网，即可以通过网页访问到企业总部的网络资源。这样无论是从软件协议购买成本上，还是从维护、管理成本上都可以节省一大笔资金，特别是对于大、中型企业和网络服务提供商。

（2）适用大多数设备：基于Web访问的开放体系可以在运行标准的浏览器下可以访问任何设备，包括非传统设备，如可以上网的电话和PDA通讯产品。这些产品目前正在逐渐普及，因为它们在不进行远程访问时也是一种非常理想的现代时尚产品。

（3）适用于大多数操作系统：可以运行标准的因特网浏览器的大多数操作系统都可以用来进行基于Web的远程访问，不管操作系统是Windows、Macintosh、UNIX还是 Linux。可以对企业内部网站和Web站点进行全面的访问。用户可以非常容易地得到基于企业内部网站的资源，并进行应用。

（4）支持网络驱动器访问：用户通过SSL VPN通信可以访问在网络驱动器上的资源。

（5）良好的安全性：用户通过基于SSL的Web访问并不是网络的真实节点，就像IPSec安全协议一样。而且还可代理访问公司内部资源。因此，这种方法可以非常安全的，特别是对于外部用户的访问。

（6）较强的资源控制能力：基于Web的代理访问允许公司为远程访问用户进行详尽的资源访问控制。

（7）减少费用：为那些简单远程访问用户（仅需进入公司内部网站或者进行Email通信），基于SSL 的VPN网络可以非常经济地提供远程访问服务。

（8）可以绕过防火墙和代理服务器进行访问：基于SSL的远程访问方案中，使用NAT（网络地址转换）服务的远程用户或者因特网代理服务的用户可以从中受益，因为这种方案可以绕过防火墙和代理服务器进行访问公司资源，这是采用基于IPSec安全协议的远程访问所很难或者根本做不到的。

2．SSL VPN的主要不足之处

上面介绍SSL VPN技术这么多优势，那么为什么现在不是所有用户都使用SSL VPN，且据权威调查机构调查显示目前绝大多部分企业仍采用IPSec VPN呢？SSL VPN的主要不足在哪里呢？

（1）必须依靠因特网进行访问：为了通过基于SSL VPN进行远程工作，当前必须与因特网保持连通性。因为此时Web浏览器实质上是扮演客户服务器的角色，远程用户的Web浏览器依靠公司的服务器进行所有进程。正因如此，如果因特网没有连通，远程用户就不能与总部网络进行连接，只能单独工作。

（2）对新的或者复杂的Web技术提供有限支持：基于SSL的VPN方案是依赖于反代理技术来访问公司网络的。因为远程用户是从公用因特网来访问公司网络的，而公司内部网络信息通常不仅是处于防火墙后面，而且通常是处于没有内部网IP地址路由表的空间中。反代理的工作就是翻译出远程用户Web浏览器的需求，通常使用常见的URL地址重写方法，例如，内部网站也许使用内部DNS服务器地址链接到其他的内部网链接，而URL地址重写必需完全正确地读出以上链接信息，并且重写这些URL地址，以便这些链接可以通过反代理技术获得路由，当有需要时，远程用户可以轻松地通过点击路由进入公司内部网络。对于URL地址重写器完全正确理解所传输的网页结构是极其重要的，只有这样才可正确显示重写后的网页，并在远程用户计算机浏览器上进行正确地操作。

（3）只能有限地支持Windows应用或者其它非Web系统：因为大多数基于SSL的VPN都是基Web浏览器工作的，远程用户不能在Windows,、UNIX、Linux、AS400或者大型系统上进行非基于Web界面的应用。虽然有些SSL提供商已经开始合并终端服务来提供上述非Web应用，但不管如何，目前SSL VPN还未正式提出全面支持，这一技术还有待讨论，也可算是一个挑战。

（4）只能为访问资源提供有限安全保障：当使用基于SSL协议通过Web浏览器进行VPN通信时，对用户来说外部环境并不是完全安全、可达到无缝连接的。因为SSL VPN只对通信双方的某个应用通道进行加密，而不是对在通信双方的主机之间的整个通道进行加密。在通信时，在Web页面中呈现的文件很难也基本上无法保证只出现类似于上传的文件和邮件附件等简单的文件，这样就很难保证其它文件不被暴露在外部，存在一定的安全隐患

⑵ 电子商务中的安全协议是什么意思

安全协议是以密码学为基础的消息交换协议，其目的是在网络环境中提供各种安全服务。密码学是网络安全的基础，但网络安全不能单纯依靠安全的密码算法。安全协议是网络安全的一个重要组成部分，我们需要通过安全协议进行实体之间的认证、在实体之间安全地分配密钥或其它各种秘密、确认发送和接收的消息的非否认性等。

安全协议是建立在密码体制基础上的一种交互通信协议，它运用密码算法和协议逻辑来实现认证和密钥分配等目标。

安全协议可用于保障计算机网络信息系统中秘密信息的安全传递与处理，确保网络用户能够安全、方便、透明地使用系统中的密码资源。安全协议在金融系统、商务系统、政务系统、军事系统和社会生活中的应用日益普遍，而安全协议的安全性分析验证仍是一个悬而未决的问题。在实际社会中，有许多不安全的协议曾经被人们作为正确的协议长期使用，如果用于军事领域的密码装备中，则会直接危害到军事机密的安全性，会造成无可估量的损失。这就需要对安全协议进行充分的分析、验证，判断其是否达到预期的安全目标。

网络安全是实现电子商务的基础，而一个通用性强，安全可靠的网络协议则是实现电子商务安全交易的关键技术之一，它也会对电子商务的整体性能产生很大的影响。由美国Netscape公司开发和倡导的SSL协议（Secure Sockets Layer，安全套接层），它是目前安全电子商务交易中使用最多的协议之一，内容主要包括协议简介、记录协议、握手协议、协议安全性分析以及应用等。本文在简单介绍SSL协议特点和流程的基础上，详细介绍了SSL协议的应用和配置过程。

1 、SSL协议简介

SSL作为目前保护Web安全和基于HTTP的电子商务交易安全的事实上的，被许多世界知名厂商的Intranet和Internet网络产品所支持，其中包括Netscape、Microsoft、IBM 、Open Market等公司提供的支持SSL的客户机和服务器产品，如IE和Netscape浏览器，IIS、Domino Go WebServer、Netscape Enterprise Server和Appache等Web Server等。

SSL采用对称密码技术和公开密码技术相结合，提供了如下三种基本的安全服务：秘密性。SSL客户机和服务器之间通过密码算法和密钥的协商，建立起一个安全通道。以后在安全通道中传输的所有信息都经过了加密处理，网络中的非法窃听者所获取的信息都将是无意义的密文信息。

完整性。SSL利用密码算法和hash函数，通过对传输信息特征值的提取来保证信息的完整性，确保要传输的信息全部到达目的地，可以避免服务器和客户机之间的信息内容受到破坏。

认证性。利用证书技术和可信的第三方CA，可以让客户机和服务器相互识别的对方的身份。为了验证证书持有者是其合法用户(而不是冒名用户)，SSL要求证书持有者在握手时相互交换数字证书，通过验证来保证对方身份的合法性。

SSL协议的实现属于SOCKET层，处于应用层和传输层之间，由SSL记录协议（SSL RECORD PROTOCOL）和SSL握手协议（SSL HAND-SHAKE PROTOCOL）组成的，其结构如图1所示：

SSL可分为两层，一是握手层，二是记录层。SSL握手协议描述建立安全连接的过程，在客户和服务器传送应用层数据之前，完成诸如加密算法和会话密钥的确定，通信双方的身份验证等功能；SSL记录协议则定义了数据传送的格式，上层数据包括SSL握手协议建立安全连接时所需传送的数据都通过SSL记录协议再往下层传送。这样，应用层通过SSL协议把数据传给传输层时，已是被加密后的数据，此时TCP/IP协议只需负责将其可靠地传送到目的地，弥补了 TCP/IP协议安全性较差的弱点。

Netscape公司已经向公众推出了SSL的参考实现（称为SSLref）。另一免费的SSL实现叫做SSLeay。SSLref和SSLeay均可给任何TCP/IP应用提供SSL功能，并且提供部分或全部源代码。Internet号码分配当局（IANA）已经为具备SSL功能的应用分配了固定端口号，例如，带SSL的HTTP（https）被分配以端口号443，带SSL的SMTP（ssmtp）被分配以端口号465，带SSL的NNTP （snntp）被分配以端口号563。

微软推出了SSL版本2的改进版本，叫做PCT（私人通信技术）。SSL和PCT非常类似。它们的主要差别是它们在版本号字段的最显著位（The Most Significant Bit）上的取值有所不同：SSL该位取0，PCT该位取1。这样区分之后，就可以对这两个协议都给予支持。

1996年4月，IETF授权一个传输层安全（TLS）工作组着手制订一个传输层安全协议（TLSP），以便作为标准提案向IESG正式提交。TLSP将会在许多地方酷似SSL。

2 、SSL安全性

目前，几乎所有操作平台上的WEB浏览器（IE、Netscatp）以及流行的Web服务器（IIS、Netscape Enterprise Server等）都支持SSL协议。因此使得使用该协议便宜且开发成本小。但应用SSL协议存在着不容忽视的缺点：

1. 系统不符合国务院最新颁布的《商用密码管理条例》中对商用密码产品不得使用国外密码算法的规定，要通过国家密码管理委员会的审批会遇到相当困难。

2. 系统安全性差。SSL协议的数据安全性其实就是建立在RSA等算法的安全性上，因此从本质上来讲，攻破RSA等算法就等同于攻破此协议。由于美国政府的出口限制，使得进入我国的实现了SSL的产品（Web浏览器和服务器）均只能提供512比特RSA公钥、40比特对称密钥的加密。目前已有攻破此协议的例子：1995年8月，一个法国学生用上百台工作站和二台小型机攻破了Netscape对外出口版本；另外美国加州两个大学生找到了一个“陷门”，只用了一台工作站几分钟就攻破了Netscape对外出口版本。

但是，一个安全协议除了基于其所采用的加密算法安全性以外，更为关键的是其逻辑严密性、完整性、正确性，这也是研究协议安全性的一个重要方面，如果一个安全协议在逻辑上有问题，那么它的安全性其实是比它所采用的加密算法的安全性低，很容易被攻破。从目前来看，SSL比较好地解决了这一问题。不过SSL协议的逻辑体现在SSL握手协议上，SSL握手协议本身是一个很复杂的过程，情况也比较多，因此我们并不能保证SSL握手协议在所有的情况下逻辑上都是正确的，所以研究SSL协议的逻辑正确性是一个很有价值的问题。

另外，SSL协议在“重传攻击”上，有它独到的解决办法。SSL协议为每一次安全连接产生了一个128位长的随机数——“连接序号”。理论上，攻击者提前无法预测此连接序号，因此不能对服务器的请求做出正确的应答。但是计算机产生的随机数是伪随机数，它的实际周期要远比2128小，更为危险的是有规律性，所以说SSL协议并没有从根本上解决“信息重传”这种攻击方法，有效的解决方法是采用“时间戳”。但是这需要解决网络上所有节点的时间同步问题。

总的来讲，SSL协议的安全性能是好的，而且随着SSL协议的不断改进，更多的安全性能、好的加密算法被采用，逻辑上的缺陷被弥补，SSL协议的安全性能会不断加强。

3、 windows 2000中SSL的配置与应用SSL的典型应用主要有两个方面，一是客户端，如浏览器等；另外一个就是服务器端，如Web服务器和应用服务器等。目前，一些主流浏览器（如IE和 Netscape等）和IIS、Domino Go WebServer、Netscape Enterprise Server、Appache等Web服务器都提供了对SSL的支持。要实现浏览器（或其他客户端应用）和Web服务器（或其他服务器）之间的安全SSL 信息传输，必须在Web服务器端安装支持SSL的Web服务器证书，在浏览器端安装支持SSL的客户端证书（可选），然后把URL中的“http://” 更换。

⑶ ssl安全协议提供的服务有哪些

SSL记录协议（Record Protocol）为SSL连提供两种服务。

1、保密性：利用握手协议所定义的共享密钥对SSL净荷（Payload）加密。

2、完整性：利用握手协议所定义的共享的MAC密钥来生成报文的鉴别码（MAC）。

SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层： SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。

SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

(3)ssl协议电子商务安全扩展阅读：

SSL安全协议能够对 TCP/IP 以上的网络应用协议数据流加密。SLL 协议只负责端到端的安全连接，只保证信息传输过程中不被窃取、篡改，但不提供其他安全保证；

因而 SLL 实质上仅仅提供对浏览器和服务器的鉴别，不能细化到对商家和客户的身份认证，这个缺陷会导致交易的假冒欺诈行为出现，又由于 SSL 协议早已嵌入 Web 浏览器和服务器，使用方便，因此对进行电子商务交易的广大用户而言，SSL 使用非常方便，这是其优点。

⑷ 电子商务协议SSL协议有几种模式，找出一个启用了SSL安全的网站（写出网址）。

SSL（安全套接层协议）SET（安全电子交易协议）电子商务的定义：
B2B、B2C、C2C、B2M、M2C、B2A（即B2G）、C2A（即C2G）七类电子商务模式等等

⑸ 什么是SSL安全协议

SSL安全协议 国际上通行的银行卡密码校验技术和标准之一 又称为“安全套接层”（Secure Sockets Layer）协议，是Netscape Communication公司1996年设计开发的，主要用于提高应用程序之间的数据安全系数。SSL安全协议主要提供三方面的服务：一是用户和服务器的合法性认证，二是加密数据以隐蔽被传送的数据，三是保护数据的完整性。SSL协议涉及所有TCP/IP应用程序，是一个保证任何安装了安全套接层的客户和服务器之间安全的协议。但是随着电子商务参与的场上迅速增加，对厂商认证的问题越来越突出，因此SSL安全协议逐渐被SET协议所取代。
给分啊 对的，放心

⑹ 安全电子商务交易协议有ssl和set两种，各有哪些优缺点

SSL(Secure Socket Layer)

SSL协议是由首先发表的网络资料安全传输协定,其首要目的是在两个通信间提供秘密而可靠的连接。该协议由两层组成，底层是建立在可靠的传输协议(例如：TCP)上的是SSL的记录层，用来封装高层的协议。SSL握手协议准许服务器端与客户端在开始传输数据前，能够通过特定的加密算法相互鉴别。SSL的先进之处在于它是一个独立的应用协议，其它更高层协议能够建立在SSL协议上。

目前大部分的Web
Server及Browser大多支持SSL的资料加密传输协定。因此，可以利用这个功能，将部分具有机密性质的网页设定在加密的传输模式，如此即可避免资料在网络上传送时被其他人窃听。

SSL是利用公开密钥的加密技术(RSA)来作为用户端与主机端在传送机密资料时的加密通讯协定。目前，大部分的Web
Server及Browser都广泛使用SSL 技术。

SET(Secure Electronic Transaction)

SET是IBM、信用卡国际组织(VISA/MasterCard)以及相关厂商针对网络电子交易共同制定的安全协议，它运用了RSA安全的公钥加密技术，具有资料保密性、资料完整性、资料来源可辨识性及不可否认性，是用来保护消费者在Internet持卡付款交易安全中的标准。SET
1.0版于1997年6月正式问世。现在，SET已成为国际上所公认的在Internet电子商业交易中的安全标准。

SET协议用在安全电子银行卡的支付系统中，使用客户端的浏览器，应用于从商业站点到商业银行中。网上银行使用已经存在的程序和设备通过确认信用卡，清算客户银行户头完成交易。SET协议则通过隐藏信用卡号来保证整个支付过程的安全。所以，SET必须保证信用卡持有者与银行在现存系统和网络上，能够保持持续的联系。SET协议为在不同的系统中使用信用卡创建了一套完整的解决办法。可靠的身份验证使SET成为一个非常好的在线支付系统。它使交易中每个合法参与者能够拥有一个合理的身份，而对持卡者的身份验证是由银行来进行的。当然这其中还包括其它服务，比如：身份认证、客户服务等。这是建立另外一个可靠的用户连接的方法。同时可以方便在发生纠纷时进行仲裁。

SET与SSL都是做消费者的认证工作的，也就是说不仅全球数据网购物站需要在认证单位进行认证，消费者也必须从认证机构获取认证。

SET是由Electronic Wallet(电子钱包)、Merchant Server(商店端服务机)、Payment
Gateway(付款转接站)和Certification Authority(认证中心)组成的，它们构成了Internet
上符合SET标准的信用卡授权交易。

一般来说，在开放式网络上进行金融交易以SSL及SET交易协定为主，其中又以
SET被国际公认为最安全的。有鉴于此，VISA/MASTER在1997年6月提出了名为电子交易(SET：Secure Electronic
Transaction)的网络交易安全规格，这个规格基本上也是利用与SSL同样的大数值编码技术，来保证资料保密与使用者认证的工作。

目前信用卡的安全交易标准SET仍在进行前期建设。在该系统尚未正式运作前，消费者在网络上利用信用卡进行购物时，仍须承担信用卡资料被盗用的风险。

敏感性资料在传递过程中被窃听，交易资料在传递过程中被篡改，交易的双方身份被假冒，完全相同的订单重复送出，这些问题即使对于目前SET安全交易标准来说仍旧有一定困难。利用WWW给用户提供机密性的资料时更多的会使用User
Profile、SSL或CA，以避免资料在网络上传送时被其他人窃听。
SSL（Secure Sockets Layer 安全套接层）

SSL及其继任者传输层安全(Transport Layer
Security，TLS)是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层对网络连接进行加密。

SSL (Secure Socket
Layer)为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。目前一般通用之规格为40
bit之安全标准，美国则已推出128 bit之更高安全标准，但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。

当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。
SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：
SSL记录协议(SSL Record Protocol)：它建立在可靠的传输协议(如TCP)之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。
SSL握手协议(SSL Handshake
Protocol)：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

SET协议为电子交易提供了许多保证安全的措施。它能保证电子交易的机密性，数据完整性，交易行为的不可否认性和身份的合法性。SET协议设计的证书中包括：银行证书及发卡机构证书、支付网关证书和商家证书。

(1)保证客户交易信息的保密性和完整性

SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息;而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。

(2)确保商家和客户交易行为的不可否认性

SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其理论基础就是不可否认机制，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。

(3)确保商家和客户的合法性

SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。

电商网站要实现SSL协议即https加密访问，需要到合法第三方CA机构申请SSL证书，必须是第三方合法CA，比如沃通CA等，自签名SSL证书不能保证电商网站的数据安全。

⑺ SSL安全协议主要用于： A、电子商务和银行等一系列网站的安全登录保护 B、数字签名

你好，选择A.
SSL（Secure Socket Layer）安全套接层是Netscape公司率先采用的网络安全协议。它是在传输通信协议（TCP/IP）上实现的一种安全协议，采用公开密钥技术。SSL广泛支持各种类型的网络，同时提供三种基本的安全服务，它们都使用公开密钥技术。

⑻ 电子商务最常见之安全机制有SSL（安全套接层协议）及SET(安全电子交易协议）两种。什么原理

中国电子商务协会IECE第一[国家认证SEO工程师考试中心]李汇SEO培训
创始人：姜辉，陈惠民（网络，检查他们的介绍）

14人实战派讲师，终身培训体系。

培训课程：

1，做自己的项目

覆盖了整个互联网行业的知识，经验，技术

知识，通过学习SEO和网络营销的思维，个别行业领域，包括淘宝

如何在淘宝开一个成功的店

5，如何让钱用在微博

6，如何进行邮件群发营销知识渗透 7，提前了一个月课程，课程时间超过100小时每月

加入丽汇接待组：16 371 12 94
入门教程和免费讲座的机会