电子支付精简版

名词解释：防火墙：防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。入侵检测：入侵检测是对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。非对称密码学：也被称作公钥密码学，它在加/解密时，分别使用了两个不同的密钥：一个可对外界公开，称为“公钥”；一个只有所有者知道，称为“私钥”。公钥和私钥之间具有紧密联系，用公钥加密的信息只能用相应的私钥解密，反之亦然。同时，要想由一个密钥推知另一个密钥，在计算上是不可能的。对称密码学：对信息的加密与解密都使用相同的密钥，加密方与解密方必须使用同一种加密算法和相同的密钥。杂凑函数（哈希hash函数）：就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。数字签名：数字签名是手写签名的电子模拟，是通过电子信息计算处理（杂凑函数），产生的一段特殊消息，该消息具有与手写签名一样的特点，是可信的、不可否认的、不可伪造的、不可重用的、不可抵赖的以及不可修改的。数字证书：就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。电子钱包：所谓电子钱包是指装入电子现金，电子零钱，安全零钱，电子信用卡，在线货币，数字货币和数字现金等电子货币，集多种功能于一体的电子货币支付方式。它是顾客在电子商务活动中使用的一种支付工具，是在小额购物时常用的新式钱包。电子支付：是指单位、个人直接或授权他人通过电子终端发出支付指令，实现货币支付与资金转移的行为。网上银行：是指银行利用Internet技术，通过Internet向客户提供开户、查询、对帐、行内转帐、跨行转账、信贷、网上证劵、投资理财等传统服务项目，使客户可以足不出户就能够安全便捷地管理活期和定期存款、支票、信用卡及个人投资等。POS终端：是指摆放在商户收银台，可受理银行卡的设备。消费者消费时，无须携带现金，即可持银行卡付款。商户接受消费者用银行卡付款，可任意选择一家银行开立帐户作为资金清算帐户，所有上网卡交易的资金即可在结算后一个工作日内轻松划转至该帐户上。NFC（近距离无线通讯技术）：近场通信又称近距离无线通信，是一种短距离的高频无线通信技术，允许电子设备之间进行非接触式点对点数据传输（在十厘米内）交换数据。

简答：攻击密码体制的方法：a. 穷举攻击。密码分析者通过试遍所有的密钥来进行破译。显然，可以通过增大密钥量来对抗穷举攻击。b. 统计分析攻击。密码分析者通过分析密文和明文的统计规律来破译密码。对抗这种攻击的方法是设法使明文的统计特性与密文的统计特性不一样。 c. 解密变换攻击。密码分析者针对加密变换的数学基础，通过数学求解的放法设法找到相应的解密变换。对抗这种攻击，应该选择具有坚实的数学基础和足够复杂的加密算法。

加密系统的组成：一个加密系统可以用以下集合表示： S = ｛P, C, K, E, D｝ P: 明文空间，表示全体可能出现的明文集合； C: 密文空间，表示全体可能出现的密文集合； K: 密钥空间，是加密算法中的可变参数； E: 加密算法，由一些公式、法则或程序构成； D: 解密算法，E的逆运算

在信息传输过程中，使用组合加密和数字签名的流程说明：

组合加密：加密过程—— a. 发送者A利用对称密钥对明文加密； b. 发送者A在相关目录中查找接收者B的公钥，利用此公钥加密对称密钥c. 将打包的密钥附在密文后面发送给接收者B。解密过程—— a. 接收者B将数字信封拆开：得到被加密的密文和被加密的密钥； b. 用自己的私钥对被打包的密钥解密，得到对称密钥； c. 用对称密钥解密密文，恢复明文； d. 丢弃该对称密钥。 数字签名：发送过程——第一，Alice使用Hash函数将电子合同文件生成一个消息摘要。第二，Alice使用自己的私钥，把消息摘要加密，形成一个数字签名。第三，Alice把电子合同文件和数字签名一同发送给Bob。 验证步骤——第一，Bob使用与Alice相同的Hash算法，计算出所收到电子合同文件的消息摘要。第二，Bob使用Alice的公钥，解密来自Alice的消息摘要，恢复出明文形式的消息摘要。第三，Bob比较自己产生的消息摘要和恢复出来的消息摘要之间的异同。若两个消息摘要相同，则表明电子合同文件来自Alice。如果两个消息摘要的比较结果不一致，则表明电子合同文件已被篡改。

电子商务安全技术中，三种主要的访问控制类型：自主访问控制（DAC）是一种接入控制服务，通过执行基于系统实体身份及其到系统资源的接入授权。包括在文件，文件夹和共享资源中设置许可。用户有权对自身所创建的文件、数据表等访问对象进行访问，并可将其访问权授予其他用户或收回其访问权限。允许访问对象的属主制定针对该对象访问的控制策略，通常，可通过访问控制列表来限定针对客体可执行的操作。强制访问控制（MAC）是系统强制主体服从访问控制策略。是由系统对用户所创建的对象，按照规定的规则控制用户权限及操作对象的访问。主要特征是对所有主体及其所控制的进程、文件、段、设备等客体实施强制访问控制。在MAC中，每个用户及文件都被赋予一定的安全级别，只有系统管理员才可确定用户和组的访问权限，用户不能改变自身或任何客体的安全级别。系统通过比较用户和访问文件的安全级别，决定用户是否可以访问该文件。角色是一定数量的权限的集合。指完成一项任务必须访问的资源及相应操作权限的集合。角色作为一个用户与权限的代理层，表示为权限和用户的关系，所有的授权应该给予角色而不是直接给用户或用户组。基于角色的访问控制（RBAC）是通过对角色的访问所进行的控制。使权限与角色相关联，用户通过成为适当角色的成员而得到其角色的权限。可极大地简化权限管理。为了完成某项工作创建角色，用户可依其责任和资格分派相应的角色，角色可依新需求和系统合并赋予新权限，而权限也可根据需要从某角色中收回。减小了授权管理的复杂性，降低管理开销，提高企业安全策略的灵活性。

ATM系统的网络结构分类以及各类型的特点：后方交换型—— 这种系统的特点是：交换中心位于各成员行之后；各成员行都可拥有自己的CD和ATM终端机；自己的持卡人在自有系统的CD和ATM上所作的交易，留在自己行内处理；在共享ATM系统上所作的跨行交易，均送交换中心转发到相应的发卡银行去处理；发卡行收到代理行经交换中心送交的交易请求信息后，经必要的确认处理和账务处理，再将授权信息经交换中心发给代理行，请其按指示代为处理。前方交换型 ——这种网络结构的特点是：交换中心位于银行主机和ATM／CD终端机之间；系统中所有的终端设备，原则上由交换中心投资；所有的ATM交易，全由交换中心直接转发到相应的发卡行进行处理，因此没有跨行交易；发卡行收到交换中心发来的交易信息后，经确认处理，发送授权信息给交换中心，请其指令终端设备按指示要求进行处理。

ATM使用过程中，常见的安全问题或诈骗手段，并给出相应的解决方法：

常见问题：ATM“吞卡”；解决方案：如果是正常“吞卡”现象，那么在吞卡后会出一张凭条，并在屏幕上提示“吞卡”原因，用户需要拿着凭条到相应的开户行进行咨询。如果是非正常“吞卡”，那肯定是不法分子所为。如果发生这种吞卡事件，客户一定不要离开ATM机，同时赶紧打银行客服电话或报警电话。其他诈骗手段：安装假门禁刷卡器盗取银行卡信息、封堵ATM机出钞口、销售ATM干扰器、张贴虚假告示诈骗、冒充银行员工或热心人、银行卡掉包等。解决方案：设置复杂密码、防范密码被偷窥、堤防ATM被非法改装、操作前多看、操作时专心、操作后核对、及时挂失、防范假门禁、防范插卡口被改装、妥善处理ATM凭条、不泄露卡号、及时核对银行对账单，关注银行短信通知服务、保管好卡和密码等。

中国国家现代化支付系统的金融应用系统包括哪些：大额实时支付系统；小额批量电子支付系统；中央银行会计集中核算系统；全国支票影像交换系统；银行业金融机构行内支付系统；银行卡支付系统 。

对称密码学和非对称密码学的优缺点：

对称密码学——优点：a. 原理简单，“一钥双用”；b. 加密速度快；c. 安全；d. 加密得到的密文是紧凑的。缺点： a.密钥分发过程中会受到拦截窃听的攻击；b.密钥量巨大，难以运用到大范围的人群中；c.需要复杂的密钥管理系统；d.不适于数字签名

非对称密码学——优点： 1.非对称加密是安全的；2.不必在网络中发送密钥，因此不必担心中途拦截的问题； 3.密钥量小； 4.不需要事先在各参与方之间建立联系； 5.支持数字签名和不可否认性； 缺点：1.加密速度慢。非对称加密要比同等强度的对称加密算法慢 10-100倍。 2.加密后得到的密文长度要大于明文的长度，因此密文不是紧凑的。

大题：1）移动支付在我国的发展阶段划分：a.2003—2004年，移动支付服务市场的起步阶段b.2005年，市场预期的快速发展阶段c.2006—2008年，商业模式探索阶段d.2009年以后，稳定发展阶段。。2）移动支付业务主要包括哪些：a.手机小额服务；b.金融移动服务；c.公共事业缴费；d.产业链。。3）移动支付目前存在的主要障碍及相应解决办法：

主要障碍：a.技术问题；b.服务单一、支付内容不丰富；c.移动支付的利益机制尚待建立和完善；d.消费习惯；e.法律问题。。解决办法：a.支付额度细分；b.使用更安全传输技术；c.加强行业协同，规避政策风险；d.商业模式创新；e.法律完善