电子商务信息安全主要包括电子商务信息安全威胁与防范、加密技术、认证技术、防止非法入侵、备份与恢复、计算机病毒与防治、物理环境安全与容灾七个部分。
3.1 电子商务信息安全威胁与防范
1.信息安全概述
（1）信息安全面临的威胁：信息截取和窃取、信息篡改、信息假冒、信息抵赖。速记词：截窃篡假赖。
（2）信息篡改主要表现为三种方式：篡改、删除、插入。
（3）信息安全的需求：保密性、完整性、不可否认性、身份可认证性、可用性和可控性。速记词：保完不用身用控。
2.电子商务安全体系
（1）计算机网络安全威胁有黑客攻击、计算机病毒、拒绝服务、身份窃取、冒充合法用户、数据窃取、物理安全、软件的漏洞、“后门”和网络协议的安全漏洞。速记词：黑毒拒窃冒数物软后网。
（2）商务交易安全威胁主要包括两部分，第一部分商家面临主要威胁（中央系统安全性被破坏、竞争者检索商品递送状况、被他人假冒、其它威胁）；第二部分消费者面临主要威胁(虚假订单、付款后不能收到商品、机密性丧失)
（3）电子商务安全威胁解决技术：加密技术、认证技术、电子商务安全协议。
（4）电子商务安全体系分为五层，从下到上分别为网络服务层（入侵检测技术、安全扫描、防火墙)、加密技术层（对称加密、非对称加密）、安全认证层（数字摘要、数字签名、数字证书、认证中心）、安全协议层（SSL协议、SET协议......）、应用系统层（保密性、完整性、可用性、可控性、不可否认性、身份可认证性
3.电子商务安全策略分为安全技术策略和安全管理策略两部分
（1）安全技术策略包括计算机及网络安全技术、信息加密技术（单钥密码机制、公开秘钥密码机制（DES算法、RSA算法））、数字摘要和数字签名技术、认证中心（CA）、安全协议（SSL协议、SET协议）
（2）安全管理策略包括交易安全管理制度、风险管理与控制机制、运行、维护和安全监控管理制度、授权、访问控制策略和责任、人员管理制度、保密制度、病毒防范机制、安全计划、应急机制和灾难恢复机制。
3.2加密技术
1.基本概念
（1）加密技术中，算法和密钥是两个核心要素。
（2）密码体制分为对称密码体制和非对称密钥密码体制
2.对称密钥密码体制
（1）对称密钥密码体制也称单钥密码体制。其基本原理是：加密密钥与解密密相同，或者加密密钥与解密秘钥虽不相同，但可以从其中一个推导出另一个。优点是算法简单，加密和解密速度快，效率高。
（2）对称密钥密码体制的典型算法是DES算法。EDS每次取明文中连续64位数据，其中8位是奇偶校验位，有效密钥长度是56位。
3.非对称密钥密码体制
（1）非对称密钥密码体制，又称为双钥密码体制或公钥密码体制。非对称密钥密码体制的基本原理是加密和解密采用不同的密钥，使用时其中一个密钥公开，称为公钥；另一个密钥由用户私有保存，称为私钥。
（2）非对称密钥密码体制的典型算法是RSA算法。
4.数字信封
数字信封对原文信息采用对称密钥进行加密，再利用非对称密钥加密传递对称密钥。
3.3认证技术
1.身份认证
（1）通过身份认证鉴别互联网上用户身份的真实性，保证访问的可控制性以及通信过程的不可抵赖性和信息的完整性。
（2）身份认证的方法：口令方式、标记方式、人体生物特征方式。
2.数字摘要与数字签名
（1）数字摘要要具有指纹特征，作用是验证信息的完整性。
（2）数字摘要的核心技术:哈希算法（MD5、SHA算法）
（3）数字签名的使用过程：签名和认证
（4）数字签名种类：RSA签名（标准算法）、ElGamal签名。
3.数字证书与认证机构
（1）电子商务活动中，真实身份证明通过数字证书及其发放机构认证中心实现。
（2）数字证书分类：个人证书、单位证书、服务器证书、代码签名证书、CA证书。
（3）缩略图：即该证书的数字摘要，用以验证证书的完整性。
（4）颁发数字证书的CA的信息主要包括CA的，名称、CA的签名、CA的算法。
（5）认证中心是数字证书的颁发机构。核心职能是发放和管理数字证书，包括证书的颁发、证书的更新、证书的查询、证书的作废、证书的归档等。
3.4防止非法入侵
1.防火墙
（1）防火墙的功能：保护那些易受攻击的服务、控制对特殊站点的访问、集中化的安全管理、对网络访问进行记录和统计。
（2）防火墙的分类：基于包过滤的防火墙、基于代理服务的防火墙和复合型防火墙。
（3）防火墙通常有两种安全模型可以选择：没有被列为允许访问的服务都是被禁止的；没有被列为禁止访问的服务都是被允许的。
（4）防火墙与Web服务器的三种配置：Web服务器置于防火墙之内、Web服务器置于防火墙之外（保护内网安全）、Web服务器置于防火墙至上。
2.入侵检测
（1）入侵检测系统的组成：事件发生器、事件分析器、事件数据库、响应单元。
（2）入侵检测系统分为三类，分别是根据检测原理（异常入侵检测系统、误用入侵检测系统）、根据体系结构（集中式入侵检测系统、等级式入侵检测系统、协助式入侵检测系统）、根据工作方式（离线检测系统、在线检测系统）
3.安全协议
（1）SSL协议用于TCP/IP协议确定用户身份，为TCP/IP 连接提供了数据加密、服务器端身份验证、信息完整性和可选择的客户端身份验证等功能。
（2）SSL协议在TCP/IP网络分层结构中位于应用层和TCP层之间，由SSL记录协议和SSL握手协议组成。
（3）SSL协议基本安全服务功能：信息机密性、信息完整性、认证性。
（4）SET协议采用对称加密技术和非对称加密技术提供数据加密、数字签名、数字信封等功能。
（5）基于SET协议的网络支付过程参与方：客户、商家、银行（发卡银行、收单银行）、支付网关、CA认证中心。
（6）SET和SSL都采用RSA公钥算法。
3.5备份与恢复
1.数据备份技术
（1）数据备份类型按照备份数据量分为完全备份。增量备份、差分备份和按需备份；按照备份状态分为物理备份和逻辑备份。
（2）数据备份设备有磁盘阵列、光盘塔、光盘库、光盘网络镜像服务器。
2.灾难恢复技术
（1）灾难恢复是指在发生灾难性事故时，能够利用已备份的数据或其他手段，及时对原系统进行恢复，以保证数据的安全性以及业务的连续性。
（2）灾难恢复策略：恢复硬件故障；重新安装操作系统；应用系统恢复；恢复已备份的数据。
3.6计算机病毒与防治
1.计算机病毒概述
计算机病毒的特征数据：传染性、非授权性、隐蔽性、潜伏性、破坏性、不可预见性、速记词：传非隐潜破不。
2.计算机病毒分类
按攻击的操作系统分类，分为攻击DOS系统病毒、攻击Windows系统病毒、攻击UNIX或OS/2的病毒
按传播媒介分类，分为单机病毒和网络病毒。
按链接方式分类，分为源码型病毒、入侵型病毒、外壳型病毒和操作系统型病毒。
3.计算机病毒检测及防范
（1）识别病毒的技术主要有特征判定技术（静态判定技术）、行为判定技术（动态判定技术）。
（2）特征判定技术的方法：比较法、检验和检测法、特征扫描法和启发式扫描法。
（3）病毒防治方法：把各种查杀病毒的新技术应用于反病毒软件、网络杀毒、个人防火墙、邮件杀毒、数据备份恢复系统。
3.7物理环境安全与容灾
（1）物理环境安全包括场地安全和运行环境安全。
（2）容灾系统主要表现在两方面：一是保证企业数据的安全；二是保证业务的连接性。
（3）容灾方案包括数据容灾和应用容灾。
