電子商務(wù)安全精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的電子商務(wù)安全主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：電子商務(wù)安全范文

關(guān)鍵詞:移動電子商務(wù)IEEE802.11WAPWPKI

隨著無線通信技術(shù)的發(fā)展,移動電子商務(wù)已經(jīng)成為電子商務(wù)研究熱點。移動電子商務(wù)是將現(xiàn)代信息科學(xué)技術(shù)和傳統(tǒng)商務(wù)活動相結(jié)合,隨時隨地為用戶提供各種個性化的、定制的在線動態(tài)商務(wù)服務(wù)。

但在無線世界里,人們對于進行商務(wù)活動安全性的考慮比在有線環(huán)境中要多。只有當(dāng)所有的用戶確信,通過無線方式所進行的交易不會發(fā)生欺詐或篡改、進行的交易受到法律的承認和隱私信息被適當(dāng)?shù)谋Ｗo時,移動電子商務(wù)才有可能蓬勃開展。

移動電子商務(wù)通信安全的現(xiàn)狀

由于無線通訊接入方式非常靈活,所以其對安全的要求更高。實際上,主要的無線通信技術(shù)都有各自的措施、協(xié)議和方法來保證各自體制下的通信安全。這里我們將從無線網(wǎng)絡(luò)和電子商務(wù)應(yīng)用兩個方面作簡要討論。

無線局域網(wǎng)

無線局域網(wǎng)絡(luò)是以無線連接至局域網(wǎng)絡(luò)的通訊方式。它采用的是IEEE802.11系列標(biāo)準。在該標(biāo)準中,無線局域網(wǎng)的安全機制采用的是WEP協(xié)議(有線對等安全協(xié)議)。在數(shù)據(jù)鏈路用WEP加密數(shù)據(jù),保證了信道上傳送數(shù)據(jù)的安全。另外,無線局域網(wǎng)的網(wǎng)絡(luò)管理員分配給每個授權(quán)用戶一個基于WEP算法的密鑰,這樣就有效阻止了非授權(quán)用戶的訪問。

WAP(無線應(yīng)用協(xié)議)技術(shù)

WAP由一系列協(xié)議組成,用來標(biāo)準化無線通信設(shè)備,例如:移動電話、移動終端;它負責(zé)將Internet和移動通信網(wǎng)連接到一起,客觀上已成為移動終端上網(wǎng)的標(biāo)準。WAP協(xié)議可以廣泛地運用于GSM、CDMA、TDMA、3G等多種網(wǎng)絡(luò)。

WAP的安全機制是通過WTLS(無線傳輸層安全)協(xié)議來實現(xiàn)的。WTLS協(xié)議類似于互聯(lián)網(wǎng)傳輸層安全協(xié)議。在無線技術(shù)的有限的發(fā)送功率、存儲容量及帶寬的條件下,WTLS能夠?qū)崿F(xiàn)鑒定,保證數(shù)據(jù)的完整性和提供保密服務(wù)的目標(biāo)。

數(shù)字認證技術(shù)

對諸如移動電子商務(wù)和有重要使命的合作通信等活動,其安全性的一個關(guān)鍵方面是能否對信息發(fā)送者的身份進行論證,通常都要利用有線安全的公開密鑰基本構(gòu)架(PKI)。

PKI提供與加密和數(shù)字證書有關(guān)的一系列技術(shù)。但在無線通信環(huán)境中,PKI是很難實現(xiàn)的。在只有有限計算能力和低數(shù)據(jù)流通率的設(shè)備上實現(xiàn)PKI中的服務(wù)一直是一個有挑戰(zhàn)性的難題。同時在PKI的基礎(chǔ)上,要將無線設(shè)備與有線設(shè)備之間進行互通也是有難度的。因此無線PKI(WPKI)協(xié)議是要將標(biāo)準的PKI進行修正和簡化,使其在無線通信的環(huán)境下達到最優(yōu)。

移動電子商務(wù)安全分析

IEEE802.11的安全

IEEE802.11標(biāo)準規(guī)定了MAC層的存取控制規(guī)范,也定義了加密機制,即上述的WEP。WEP的目的是通過對信息流加密并利用WEP認證節(jié)點,使無線通信傳輸像有線網(wǎng)絡(luò)一樣安全。

WEP加密使用共享密鑰和RC4加密算法。訪問點(AP)和連接到該訪問點的所有工作站必須使用同樣的共享密鑰。對于往任一方向發(fā)送的數(shù)據(jù)包,傳輸程序都將數(shù)據(jù)包的內(nèi)容與數(shù)據(jù)包的檢驗組合在一起。然后,WEP標(biāo)準要求傳輸程序創(chuàng)建一個特定于數(shù)據(jù)包的初始化向量(IV),后者與密鑰k相組合在一起,用于對數(shù)據(jù)包進行加密。接收器生成自己的匹配數(shù)據(jù)包密鑰并用之對數(shù)據(jù)包進行解密。在理論上,這種方法優(yōu)于單獨使用共享私鑰的顯式策略,應(yīng)該使對方更難于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相當(dāng)于有線局域網(wǎng)基本安全的安全級別,根本不是一種全面的安全方案。越來越多的安全專家和研究人員發(fā)現(xiàn)IEEE802.11存在安全漏洞,有經(jīng)驗的黑客會利用這些漏洞進行攻擊。其缺陷主要有:RC4算法本身就有一個小缺陷。WEP標(biāo)準允許IV重復(fù)使用(平均大約每5小時重復(fù)一次)。WEP標(biāo)準不提供自動修改密鑰的方法。

最早的WEP實施只提供40位加密,這使得它抗暴力攻擊能力差。現(xiàn)代的系統(tǒng)提供128位的WEP,128位的密鑰長度減去24位的IV后,實際上有效的密鑰長度為104位。盡管如此,128位的WEP版本也不能保證絕對安全。最好的解決辦法是把無線網(wǎng)絡(luò)放在機構(gòu)防火墻之外,這種防范措施會強制要求將無線連接當(dāng)作不受信任的連接來看待,就像看待其他任何來自Internet的連接一樣。

所以,WEP應(yīng)該與其他安全機制一起應(yīng)用才能提供較強的安全。

WAP的安全

WAP規(guī)范的安全特性包括幾個部分:WTLS協(xié)議、用于存儲用戶證書的WAP身份模塊(WIM)和允許WAP交易簽名的SignText功能。

WTLS協(xié)議:WTLS基于IETF小組的SSL/TLS協(xié)議,提供了實體鑒別、數(shù)據(jù)加密和保護數(shù)據(jù)完整性的功能,所以可以確保在WAP裝置和WAP網(wǎng)關(guān)之間的安全通信。有三種不同級別的WTLS:

1級:執(zhí)行未經(jīng)證實的Diffie-Hellman密鑰交換以建立會話密鑰。

2級:使用與SSL/TLS協(xié)議相類似的公開密鑰證書機制進行服務(wù)器端鑒別。

3級:客戶端和服務(wù)器端采用X.509格式證書相互進行鑒別。

早期WAP裝置僅僅采用了第1級別的WTLS,這種級別的安全不夠,所以不能用于電子商務(wù)。目前,支持第2和第3級別WTLS的移動裝置從市場上可以得到,它們可以確保網(wǎng)上銀行交易和購物等應(yīng)用的機密性。

WIM:為了便于客戶端的鑒別,新一代的WAP電話提供了WIM。WIM包含了WTLS3級的功能,并嵌入了對公開密鑰加密技術(shù)的支持(RSA是強制的,而ECC是可選的)。生產(chǎn)廠家為WIM配備了兩套公私密鑰對(一套用于簽名,另一套用于鑒別)和兩個廠商的證書。用配置在WIM上的公匙把廠商的證書和廠商名字捆綁在一起。這樣,通過WIM和WAP網(wǎng)關(guān)建立的所有WTLS會話都將使用相同的公匙用作初始會話。每一個會話都將包括與此密鑰對應(yīng)的一個不同的證書。WIM的基本要求是它們要具有抗篡改的能力。

SignText功能:這個功能為WAP用戶提供了數(shù)字簽名。同電子簽名功能一樣,這個功能可以被應(yīng)用于其他無線設(shè)備,或者是手持設(shè)備,或者是內(nèi)嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3級,多數(shù)情況下WTLS已足以確保WAP的安全。但是,由于WAP網(wǎng)關(guān)在WAP設(shè)備和Web服務(wù)器之間起著翻譯的作用,相應(yīng)的帶來了安全問題:WTLS安全會話建立在手機與WAP網(wǎng)關(guān)之間,而與終端服務(wù)器無關(guān)。這意味著數(shù)據(jù)只在WAP手機與網(wǎng)關(guān)之間加密,網(wǎng)關(guān)將數(shù)據(jù)解密后,利用其他方法將數(shù)據(jù)再次加密,然后經(jīng)過TLS連接發(fā)送給終端服務(wù)器。由于WAP網(wǎng)關(guān)可以看見所有的數(shù)據(jù)明文,而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有,這樣,潛在的第三方可能獲得所有的傳輸數(shù)據(jù)。

目前,針對上述安全性問題,可以采用這樣的措施來提高WAP的安全性:盡力確保WAP網(wǎng)關(guān)的安全。如果WAP網(wǎng)關(guān)位于WAP服務(wù)供應(yīng)商范圍之內(nèi),可以通過諸如在內(nèi)存中對加密和解密過程進行最優(yōu)化以減少數(shù)據(jù)明文存在的時間、在釋放前覆蓋加密解密進程使用的內(nèi)存以確保數(shù)據(jù)的安全性。對于安全要求較高的公司可以擁有自己的WAP網(wǎng)關(guān),從而保障數(shù)據(jù)端到端的安全性。通過WIM實現(xiàn)數(shù)據(jù)安全性。

WPKI技術(shù)

在有線通信中,電子商務(wù)交易的一個重要安全保障是PKI。PKI的系統(tǒng)概念、安全操作流程、密鑰、證書等同樣也適用于解決移動電子商務(wù)交易的安全問題,但在應(yīng)用PKI的同時要考慮到移動通信環(huán)境的特點,并據(jù)此對PKI技術(shù)進行改進。

WPKI技術(shù)滿足移動電子商務(wù)安全的要求:即保密性、完整性、真實性、不可抵賴性,消除了用戶在交易中的風(fēng)險。WPKI技術(shù)主要包含以下幾個方面:

認證機構(gòu)(CA)CA系統(tǒng)是PKI的信任基礎(chǔ),負責(zé)分發(fā)和驗證數(shù)字證書,規(guī)定證書的有效期,證書廢除列表。

注冊機構(gòu)(RA)RA提供用戶和CA之間的一個接口。作為認證機構(gòu)的校驗者,在數(shù)字證書分發(fā)給請求者之前對證書進行驗證。

智能卡智能卡將具有存儲、加密及數(shù)據(jù)處理能力的集成電路芯片鑲嵌于塑料基片中,具有體積小、難于破解等特點,在生產(chǎn)過程、訪問控制方面有很強的安全保障。很多種需要客戶端認證的應(yīng)用都可以使用智能卡來實現(xiàn)。并且智能卡也是存儲移動電子商務(wù)密鑰及相關(guān)數(shù)字證書的最佳選擇。

加密算法加密算法越復(fù)雜,密鑰越長則安全性越高,但執(zhí)行運算所需的時間也越長(或需要計算能力更強的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有協(xié)處理器的芯片。而ECC使用較短的密鑰就可以達到和RSA算法相同的加密強度。由于智能卡受CPU處理能力和RAM大小的限制,因而采用一種運算量小同時能提供高加密強度的公鑰密碼體制對在智能卡上實現(xiàn)數(shù)字簽名應(yīng)用是至關(guān)重要的,ECC在這方面具有很大的優(yōu)勢。

綜上所述,在WPKI機制下,數(shù)字證書非常重要,但是由于無線信道和移動終端的限制,如何安全、便捷地交換用戶的數(shù)字證書是WPKI所必須解決的問題?？梢圆捎靡韵?種辦法解決:WTLS證書,WTLS證書的功能與X.509證書相同,但更小、更簡化,利于在資源受限的手持終端中處理。但所有證書必須含有與密鑰交換算法相一致的密鑰,除非特別指定,簽名算法必須與證書中密鑰的算法相同:移動證書標(biāo)識,將標(biāo)準的一個X.509證書與移動證書標(biāo)識唯一對應(yīng),并且在移動終端中嵌入移動證書標(biāo)識,用戶每次只需要將自己的移動證書標(biāo)識與簽名數(shù)據(jù)一起提交給對方,對方再根據(jù)移動證書標(biāo)識檢索相應(yīng)的數(shù)字證書即可。

目前,大多數(shù)移動電子商務(wù)采用的安全方式是非PKI的方式,這種方式主要采用對稱加密算法和單向散列函數(shù)來提供安全服務(wù),其密鑰的管理是由移動運營商建立一套主密鑰管理系統(tǒng),為不同的服務(wù)提供商分配不同的密鑰,每次交易過程中,服務(wù)提供商與用戶協(xié)商產(chǎn)生會話加密密鑰。顯然,采用這種方式構(gòu)建的系統(tǒng)的安全性主要取決于主密鑰的安全。

盡管非PKI方式對于無線終端有限的處理能力來說尤其適合,而且通過黑名單管理等方法可以使系統(tǒng)的安全得到較好的保障,但是從長遠來說,移動電子商務(wù)有必要逐步過渡到PKI方式。

移動電子商務(wù)隨著移動互聯(lián)網(wǎng)技術(shù)的成熟發(fā)展迅速,其獨特的應(yīng)用領(lǐng)域使得其安全問題倍受關(guān)注。從技術(shù)角度上看,一方面無線通信的安全處在不斷地發(fā)展和完善之中,其應(yīng)用到移動電子商務(wù)中時要與其它的安全機制相結(jié)合才能滿足實際應(yīng)用的需要;另一方面有線電子商務(wù)的安全技術(shù)不能解決移動電子商務(wù)的安全問題,所以WPKI技術(shù)是一個現(xiàn)實的選擇。因此,將這兩方面進行改進并進行有機整合,才能營造一個安全的移動電子商務(wù)環(huán)境。

參考文獻:

1.儲節(jié)旺,郭春俠.移動電子商務(wù)研究[J].現(xiàn)代情報,2002,3(3)

2.姜志,聶志鋒.移動電子商務(wù)及其關(guān)鍵技術(shù)[J].湖北郵電技術(shù),2002,9(3)

第2篇：電子商務(wù)安全范文

關(guān)鍵詞：電子商務(wù)安全套接層協(xié)議安全電子交易認證中心

1電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國迅速發(fā)展。實現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看,傳統(tǒng)的買賣雙方是面對面的,因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。電子商務(wù)交易雙方（銷售者和消費者）都面臨安全威脅。電子商務(wù)的安全要素主要體現(xiàn)在以下幾個方面：

信息有效性、真實性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實性將直接關(guān)系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

信息機密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務(wù)是建立在一個較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

信息完整性

電子商務(wù)簡化了貿(mào)易過程，減少了人為的干預(yù)，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲及電子商務(wù)完整性檢查的正確和可靠。

信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當(dāng)?shù)鼐芙^；不可否認要求即是能建立有效的責(zé)任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標(biāo)識。在1nternet上每個人都是匿名的。原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

2電子商務(wù)的安全技術(shù)討論

2．1電子商務(wù)的安全技術(shù)之一-----數(shù)據(jù)加密技術(shù)

加密技術(shù)用于網(wǎng)絡(luò)安全通常有二種形式，即面向網(wǎng)絡(luò)或面向應(yīng)用服務(wù)。

面向網(wǎng)絡(luò)的加密技術(shù)通常工作在網(wǎng)絡(luò)層或傳輸層，使用經(jīng)過加密的數(shù)據(jù)包傳送、認證網(wǎng)絡(luò)路由及其他網(wǎng)絡(luò)協(xié)議所需的信息，從而保證網(wǎng)絡(luò)的連通性和可用性不受損害。在網(wǎng)絡(luò)層上實現(xiàn)的加密技術(shù)對于網(wǎng)絡(luò)應(yīng)用層的用戶通常是透明的。此外，通過適當(dāng)?shù)拿荑€管理機制，使用這一方法還可以在公用的互聯(lián)網(wǎng)絡(luò)上建立虛擬專用網(wǎng)絡(luò)并保障虛擬專用網(wǎng)上信息的安全性。

面向網(wǎng)絡(luò)應(yīng)用服務(wù)的加密技術(shù)使用則是目前較為流行的加密技術(shù)的使用方法，例如使用kerberos服務(wù)的telnet、nfs、rlogion等，以及用作電子郵件加密的pem（privacyenhancedmail）和pgp（prettygoodprivacy）。這一類加密技術(shù)的優(yōu)點在于實現(xiàn)相對較為簡單，不需要對電子信息（數(shù)據(jù)包）所經(jīng)過的網(wǎng)絡(luò)的安全性能提出特殊要求，對電子郵件數(shù)據(jù)實現(xiàn)了端到端的安全保障。

1）常用的加密技術(shù)分類：

對稱密鑰密碼算法

對稱（傳統(tǒng)）密碼體制是從傳統(tǒng)的簡單換位代替密碼發(fā)展而來的，自1977年美國頒布des密碼算法作為美國數(shù)據(jù)加密標(biāo)準以來，對稱密鑰密碼體制得到了迅猛發(fā)展，得到了世界各國關(guān)注和使用。對稱密鑰密碼體制從加密模式上可分為序列密碼和分組密碼兩大類。

不對稱型加密算法

也稱公用密鑰算法，其特點是有二個密鑰即公用密鑰和私有密鑰，只有二者配合使用才能完成加密和解密的全過程。

由于不對稱算法擁有二個密鑰，因此它特別適用于分布式系統(tǒng)中的數(shù)據(jù)加密，在Internet中得到了廣泛應(yīng)用。其中公用密鑰在網(wǎng)上公布，為數(shù)據(jù)源對數(shù)據(jù)加密使用，而用于解密的相應(yīng)私有密鑰則由數(shù)據(jù)的收信方妥善保管。

不可逆加密算法

其特征是加密過程不需要密鑰，并且經(jīng)過加密的數(shù)據(jù)無法被解密，只有同樣的輸入數(shù)據(jù)經(jīng)過同樣的不可逆加密算法才能得到相同的加密數(shù)據(jù)。不可逆加密算法不存在密鑰保管和分發(fā)問題，適合于分布式網(wǎng)絡(luò)系統(tǒng)上使用，但是其加密計算工作量大，所以通常用于數(shù)據(jù)量有限的情形的加密，例如計算機系統(tǒng)中的口令的加密。

2）電子商務(wù)領(lǐng)域常用的加密技術(shù)

數(shù)字摘要(digitaldigest)

這一加密方法亦稱安全Hash編碼法，由RonRivest所設(shè)計。該編碼法采用單向Hash函數(shù)將需加密的明文"摘要"成一串128bit的密文，這一串密文亦稱為數(shù)字指紋(FingerPrint)，它有固定的長度，且不同的明文摘要成密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。這樣這串摘要便可成為驗證明文是否是"真身"的"指紋"了。

數(shù)字簽名(digitalsignature)

數(shù)字簽名將數(shù)字摘要、公用密鑰算法兩種加密方法結(jié)合起來使用。在書面文件上簽名是確認文件的一種手段，簽名的作用有兩點，一是因為自己的簽名難以否認，從而確認了文件已簽署這一事實；二是因為簽名不易仿冒，從而確定了文件是真的這一事實。

數(shù)字時間戳(digitaltime-stamp)

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數(shù)字時間戳服務(wù)(DTS)就能提供電子文件發(fā)表時間的安全保護。

數(shù)字時間戳服務(wù)(DTS)是網(wǎng)上安全服務(wù)項目，由專門的機構(gòu)提供。時間戳(time-stamp)是一個經(jīng)加密后形成的憑證文檔，它包括三個部分：1)需加時間戳的文件的摘要(digest),2)DTS收到文件的日期和時間，3)DTS的數(shù)字簽名。

數(shù)字證書(digitalcertificate,digitalID)

數(shù)字證書又稱為數(shù)字憑證，是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源的訪問的權(quán)限。

數(shù)字憑證有三種類型：

·個人憑證(PersonalDigitalID)

·企業(yè)（服務(wù)器）憑證(ServerID)

·軟件（開發(fā)者）憑證(DeveloperID)

上述三類憑證中前二類是常用的憑證，第三類則用于較特殊的場合，大部分認證中心提供前兩類憑證。

3）與電子商務(wù)安全有關(guān)的協(xié)議技術(shù)討論：

SSL協(xié)議（SecureSocketsLayer）安全套接層協(xié)議

------面向連接的協(xié)議，當(dāng)初不是為電子商務(wù)而設(shè)計

SSL協(xié)議主要是使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護信息傳輸?shù)臋C密性和完整性，它不能保證信息的不可抵賴性，主要適用于點對點之間的信息傳輸，常用WebServer方式。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如HTTP、FTP、TELNET等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩?。SSL協(xié)議獨立于應(yīng)用層協(xié)議，因此，在電子交易中被用來安全傳送信用卡號碼。

SSL的應(yīng)用及局限：中國目前多家銀行均采用SSL協(xié)議，從目前實際使用的情況來看，SSL還是人們最信賴的協(xié)議。但是SSL當(dāng)初并不是為支持電子商務(wù)而設(shè)計的，所以在電子商務(wù)系統(tǒng)的應(yīng)用中還存在很多弊端。它是一個面向連接的協(xié)議，在涉及多方的電子交易中，只能提供交易中客戶與服務(wù)器間的雙方認證，而電子商務(wù)往往是用戶、網(wǎng)站、銀行三家協(xié)作完成,SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系；還有，購貨時用戶要輸入通信地址，這樣將可能使得用戶收到大量垃圾信件。

SET協(xié)議（SecureElectronicTransaction）安全電子交易

------專門為電子商務(wù)而設(shè)計的協(xié)議，但仍然不能解決電子商務(wù)所遇到全部問題

電子商務(wù)在提供機遇和便利的同時，也面臨著一個最大的挑戰(zhàn)，即交易的安全問題。在網(wǎng)上購物的環(huán)境中，持卡人希望在交易中保密自己的帳戶信息，使之不被人盜用；商家則希望客戶的定單不可抵賴，并且，在交易過程中，交易各方都希望驗明其他方的身份，以防止被欺騙。針對這種情況，由美國Visa和MasterCard兩大信用卡組織聯(lián)合國際上多家科技機構(gòu)，共同制定了應(yīng)用于Internet上的以銀行卡為基礎(chǔ)進行在線交易的安全標(biāo)準，這就是"安全電子交易"（SET）。它采用公鑰密碼體制和X.509數(shù)字證書標(biāo)準，主要應(yīng)用于保障網(wǎng)上購物信息的安全性。由于SET提供了消費者、商家和銀行之間的認證，確保了交易數(shù)據(jù)的安全性、完整可靠性和交易的不可否認性，特別是保證不將消費者銀行卡號暴露給商家等優(yōu)點，因此它成為了目前公認的信用卡/借記卡的網(wǎng)上交易的國際安全標(biāo)準。

SET的局限性：SET是專門為電子商務(wù)而設(shè)計的協(xié)議，雖然它在很多方面優(yōu)于SSL協(xié)議，但仍然不能解決電子商務(wù)所遇到的全部問題。

2.2電子商務(wù)的安全技術(shù)之二------身份認證技術(shù)

為解決Internet的安全問題，世界各國對其進行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI（PublicKeyInfrastructure公鑰基礎(chǔ)設(shè)施）體系結(jié)構(gòu)。PKI體系結(jié)構(gòu)采用證書管理公鑰，通過第三方的可信機構(gòu)CA，把用戶的公鑰和用戶的其他標(biāo)識信息（如名稱、e-mail、身份證號等）捆綁在一起，在Internet網(wǎng)上驗證用戶的身份，PKI體系結(jié)構(gòu)把公鑰密碼和對稱密碼結(jié)合起來，在Internet網(wǎng)上實現(xiàn)密鑰的自動管理，保證網(wǎng)上數(shù)據(jù)的機密性、完整性。

在電子交易中，無論是數(shù)字時間戳服務(wù)(DTS)還是數(shù)字證書(DigitalID)的發(fā)放，都不是靠交易的自己能完成的，而需要有一個具有權(quán)威性和公正性的第三方(thirdparty)來完成。認證中心(CertificateAuthority)就是承擔(dān)網(wǎng)上安全電子交易認證服務(wù)、能簽發(fā)數(shù)字證書、并能確認用戶身份的服務(wù)機構(gòu)。認證中心通常是企業(yè)性的服務(wù)機構(gòu)，主要任務(wù)是受理數(shù)字憑證的申請、簽發(fā)及對數(shù)字憑證的管理。認證中心依據(jù)認證操作規(guī)定(CertificationPracticeStatement)來實施服務(wù)操作。

1）認證系統(tǒng)的基本原理

利用RSA公開密鑰算法在密鑰自動管理、數(shù)字簽名、身份識別等方面的特性，可建立一個為用戶的公開密鑰提供擔(dān)保的可信的第三方認證系統(tǒng)。這個可信的第三方認證系統(tǒng)也稱為CA，CA為用戶發(fā)放電子證書，用戶之間（比如網(wǎng)銀服務(wù)器和某客戶之間）利用證書來保證信息安全性和雙方身份的合法性。

2）認證系統(tǒng)結(jié)構(gòu)

整個系統(tǒng)是一個大的網(wǎng)絡(luò)環(huán)境，系統(tǒng)從功能上基本可以劃分為CA、RA和WebPublisher。

核心系統(tǒng)根CA放在一個單獨的封閉空間中，為了保證運行的絕對安全，其人員及制度都有嚴格的規(guī)定，并且系統(tǒng)設(shè)計為一離線網(wǎng)絡(luò)。CA的功能是在收到來自RA的證書請求時，頒發(fā)證書。一般的個人證書發(fā)放過程都是自動進行，無須人工干預(yù)。

證書的登記機構(gòu)RegisterAuthority，簡稱RA，分散在各個網(wǎng)上銀行的地區(qū)中心。RA與網(wǎng)銀中心有機結(jié)合，接受客戶申請，并審批申請，把證書正式請求通過建設(shè)銀行企業(yè)內(nèi)部網(wǎng)發(fā)送給CA中心。RA與CA雙方的通信報文也通過RSA進行加密，確保安全。系統(tǒng)的分布式結(jié)構(gòu)適于新業(yè)務(wù)網(wǎng)點的開設(shè)，具有較好的擴充性。通信協(xié)議為TCP/IP。

證書的公布系統(tǒng)WebPublisher，簡稱WP，置于Internet網(wǎng)上，是普通用戶和CA直接交流的界面。對用戶來講它相當(dāng)于一個在線的證書數(shù)據(jù)庫。用戶的證書由CA頒發(fā)之后，CA用E－mail通知用戶，然后用戶須用瀏覽器從這里下載證書。

證書鏈服務(wù)（有時也稱"交叉認證"）是一個CA擴展其信任范圍或被認可范圍的一種實現(xiàn)機制。如果企業(yè)或機構(gòu)已經(jīng)建立了自己的CA系統(tǒng)，通過第三方認證中心對該機構(gòu)或企業(yè)的CA簽發(fā)CA證書，能夠使得該企業(yè)或機構(gòu)的CA發(fā)放的證書被所有信任第三方認證中心的瀏覽器、郵件客戶所信任。

3）中國金融認證中心CFCA的建設(shè)情況

中國對電子商務(wù)的發(fā)展也給予了應(yīng)有的重視。中國金融認證中心CFCA（ChinaFinancialCertificateAuthority）。已于2000年6月29日開始對社會各界提供證書服務(wù)，系統(tǒng)進入運行狀態(tài)。中國金融認證中心作為一個權(quán)威的、可信賴的、公正的第三方信任機構(gòu)，為參與電子商務(wù)各方的各種認證需求提供證書服務(wù)，建立彼此的信任機制，為全國范圍內(nèi)的電子商務(wù)及網(wǎng)上銀行等網(wǎng)上支付業(yè)務(wù)提供多種模式的認證服務(wù)，在不遠的將來實現(xiàn)與國外CA的交叉認證。

2．3電子商務(wù)的安全技術(shù)之三網(wǎng)上支付平臺及支付網(wǎng)關(guān)

網(wǎng)上支付平臺分為CTEC支付體系（基于CTCA/GDCS）和SET支付體系（基于CTCA/SET）。網(wǎng)上支付平臺支付型電子商務(wù)業(yè)務(wù)提供各種支付手段，包括基于SET標(biāo)準的信用卡支付方式、以及符合CTEC標(biāo)準的各種支付手段。

目前，在國內(nèi)可以提供網(wǎng)上支付功能服務(wù)或者網(wǎng)上支付網(wǎng)關(guān)接口的銀行有：

中國工商銀行牡丹卡中國銀行長城借記卡

中國銀行長城信用卡招商銀行一網(wǎng)通卡

中國建設(shè)銀行龍卡MASTER/VISA/JCB卡（適用全球）

上述除中國銀行長城借記卡則采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付網(wǎng)關(guān)位于公網(wǎng)和傳統(tǒng)的銀行網(wǎng)絡(luò)之間，其主要功能為：將公網(wǎng)傳來的數(shù)據(jù)包解密，并按照銀行系統(tǒng)內(nèi)部的通信協(xié)議將數(shù)據(jù)重新打包；接收銀行系統(tǒng)內(nèi)部的傳回來的響應(yīng)消息，將數(shù)據(jù)轉(zhuǎn)換為公網(wǎng)傳送的數(shù)據(jù)格式，并對其進行加密。即支付網(wǎng)關(guān)主要完成通信、協(xié)議轉(zhuǎn)換和數(shù)據(jù)加解密功能，并且可以保護銀行內(nèi)部網(wǎng)絡(luò)。此外，支付網(wǎng)關(guān)還具有密鑰保護和證書管理等其它功能。

3小結(jié)

本文分析了目前電子商務(wù)領(lǐng)域所使用的安全技術(shù)：數(shù)據(jù)加密技術(shù)，身份認證技術(shù)，網(wǎng)上支付平臺及支付網(wǎng)關(guān)，指出了它們分別的使用范圍及其優(yōu)缺點，但必須強調(diào)說明的是，電子商務(wù)的安全運行，僅從技術(shù)角度防范是遠遠不夠的，還必須完善電子商務(wù)立法，以規(guī)范飛速發(fā)展的電子商務(wù)現(xiàn)實中存在的各類問題，從而引導(dǎo)和促進我國電子商務(wù)快速健康發(fā)展。

參考文獻

1覃征編著.電子商務(wù)導(dǎo)論.第一版.北京：人民郵電出版社，2001

第3篇：電子商務(wù)安全范文

【關(guān)鍵詞】電子商務(wù)；安全；技術(shù)

1電子商務(wù)安全性需求

對于電子商務(wù)系統(tǒng)而言，系統(tǒng)的安全性，可靠性等一直是人們關(guān)注的問題。為了保障網(wǎng)上交易安全順利的進行，電子商務(wù)系統(tǒng)安全性要求可歸納為：(1)機密性要求。電子商務(wù)作為貿(mào)易的一種手段，其信息直接代表著個人、企業(yè)或國家的商業(yè)機密。而電子商務(wù)建立在一個開放的網(wǎng)絡(luò)環(huán)境(Internet)上，維護商業(yè)機密是電子商務(wù)全面推廣應(yīng)用的重要保障。因此，必須保障交易信息在存取和傳輸過程中不被泄露給非授權(quán)的人或?qū)嶓w。(2)完整性要求。貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營策略，因此電子交易的雙方數(shù)據(jù)的完整是電子商務(wù)的基礎(chǔ)。因此需防止對信息的隨意生成、修改和刪除，同時要防止數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)，并保障信息傳送的次序差的統(tǒng)一。(3)真實性要求。真實性是指網(wǎng)上交易雙方身份信息的真實性，從電子商務(wù)的形式上看，電子交易中參加交易的各方是不見面的，他們是通過網(wǎng)絡(luò)這個虛擬場所進行活動，因此需要對參加交易的人或?qū)嶓w的身份進行檢驗，保證交易雙方身份的真實性，使參加交易的各方能夠在相互不見面的情況下確認對方身份的真實性。(4)不可抵賴性要求。電子商務(wù)和傳統(tǒng)商務(wù)在本質(zhì)上是相同的，因此電子商務(wù)也需要建立相關(guān)的責(zé)任機制，防止交易雙方交易過程出現(xiàn)的相互抵賴行為。在電子交易過程中需要為參加交易各方的對象（個人，企業(yè)或國家）提供可靠的標(biāo)識。(5)有效性要求。電子商務(wù)的是指在電子交易的過程中，要保證在網(wǎng)絡(luò)上傳輸?shù)慕灰讛?shù)據(jù)在確定的時刻、確定的地點是有效的。電子商務(wù)的有效性直接關(guān)系到交易活動的成敗與否，它是能否開展電子交易活動的前提，直接影響到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。因此，需要對電子商務(wù)運行過程中有可能遇到的網(wǎng)絡(luò)故障、操作過程中出現(xiàn)的錯誤、相關(guān)的應(yīng)用程序運行時出現(xiàn)的錯誤、硬件系統(tǒng)可能出現(xiàn)的故障、系統(tǒng)軟件產(chǎn)生的錯誤結(jié)果，以及計算機病毒等惡意代碼攻擊和威脅加以控制和預(yù)防。

2電子商務(wù)涉及的幾種安全技術(shù)

2.1加密技術(shù)數(shù)據(jù)加密技術(shù)通過對數(shù)據(jù)進行重新編碼，隱藏真實信息的內(nèi)容，當(dāng)非法用戶截獲該數(shù)據(jù)時，無法得到信息真實內(nèi)容的一種技術(shù)，主要有對稱加密和非對稱加密兩種形式。加密技術(shù)是保證電子商務(wù)安全的重要手段，除了實現(xiàn)傳統(tǒng)信息保密之外，在網(wǎng)絡(luò)鑒別、認證等方面都有很好的應(yīng)用，加密算法是網(wǎng)絡(luò)安全和電子商務(wù)信息安全的基礎(chǔ)。2.2數(shù)字簽名技術(shù)在電子商務(wù)系統(tǒng)中所有信息都是電子數(shù)據(jù)形式，如商業(yè)合同，交易信息，客戶信息等，為了保證信息的真實，有效，完整，需要實現(xiàn)具有手寫簽名功能的簽名即數(shù)字簽名。數(shù)字簽名技術(shù)的基礎(chǔ)是加密技術(shù)為。2.3認證技術(shù)認證實現(xiàn)網(wǎng)絡(luò)中對某個實體的身份加以鑒別、確認，以證明其是否是名副其實或是否是有效的過程。認證系統(tǒng)常用的驗證方法可分為以下兩類:“基于密碼”的認證和“基于生理特征身份”的認證。2.4防火墻技術(shù)防火墻是在企業(yè)的內(nèi)部網(wǎng)絡(luò)和Internet之間置豎的一道安全屏障，通過預(yù)先設(shè)定的策略對數(shù)據(jù)對進出網(wǎng)絡(luò)的數(shù)據(jù)進行過濾、分析和審計，可以防止非法用戶進入內(nèi)部網(wǎng)絡(luò)，并能有效防范各種攻擊行為，從而保護內(nèi)部網(wǎng)免受非法用戶的侵入。2.5VPN技術(shù)虛擬專用網(wǎng)VPN(VirtualPrivateNet)是以公用開放的網(wǎng)絡(luò)(如Internet)作為基本的傳輸媒介，通過相關(guān)網(wǎng)絡(luò)安全協(xié)議和隧道技術(shù)等多種技術(shù)在開放的公共網(wǎng)絡(luò)建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全的、穩(wěn)定的隧道，為用戶提供類似于具有專用網(wǎng)絡(luò)安全性的網(wǎng)絡(luò)服務(wù)技術(shù)。通過VPN系統(tǒng)，可以幫助企業(yè)和遠程用戶、公司分支機構(gòu)、商業(yè)伙伴及供應(yīng)商與公司的內(nèi)部網(wǎng)建立可信的安全通信連接，保護企業(yè)和個人敏感信息在互聯(lián)網(wǎng)上傳輸?shù)牡陌踩沟闷髽I(yè)和個人利益得到保護。2.6公鑰基礎(chǔ)設(shè)施PKIPKI即“公鑰基礎(chǔ)設(shè)施”，是一種利用公鑰理論和技術(shù)建立的提供網(wǎng)絡(luò)安全服務(wù)基礎(chǔ)設(shè)施平臺，負責(zé)創(chuàng)建、管理、存儲、分發(fā)和作廢證書的軟件、硬件、人員、策略和過程的集合。通過權(quán)威認證機構(gòu)（CA）提供的數(shù)字證書為用戶建立起一個安全的網(wǎng)絡(luò)運行環(huán)境，用戶可以在多種應(yīng)用環(huán)境下方便地使用加密和數(shù)字簽名技術(shù)，提供認證、數(shù)據(jù)完整性、保密性和不可否認等安全服務(wù)。2.7安全電子交易協(xié)議1)安全套階層協(xié)議（SSL）SSL協(xié)議(SecureSocketLayer)提供三種安全連接服務(wù)：數(shù)據(jù)保密；身份真實性認證；數(shù)據(jù)的完整性。2)安全電子交易協(xié)議（SET）SET(SecureElectronicTransaction)安全電子交易協(xié)議提供了消費者、商家和銀行之間的認證,確保交易的保密性、可靠性和不可否認性,保證在開放網(wǎng)絡(luò)環(huán)境下使用信用卡進行在線購物的安全。2.8其他技術(shù)其他技術(shù)如入侵檢測技術(shù)、智能卡技術(shù)和安全審計/日志技術(shù)等。

3總結(jié)

隨著電子商務(wù)的飛速發(fā)展，人們逐步意識到，安全問題是一個核心問題，電子商務(wù)的安全問題一直受到人們的關(guān)注和安全專家的重視，因而安全技術(shù)不斷的得到發(fā)展應(yīng)用，如:加密技術(shù)，防火墻，安全認證協(xié)議等。這些技術(shù)的應(yīng)用極大的促進了電子商務(wù)的發(fā)展。

參考文獻

[1]宋少忠,郝莉萍等.電子商務(wù)安全與支付[M].北京:中國水利水電出版社,2009.

第4篇：電子商務(wù)安全范文

關(guān)鍵詞：電子商務(wù)；信息安全；計算機網(wǎng)絡(luò)

1 問題的提出

隨著Internet網(wǎng)絡(luò)技術(shù)飛速發(fā)展及普及，電子商務(wù)（Electronic Commerce，簡稱EC）已經(jīng)逐漸成為人們進行商務(wù)活動的新模式，越來越多的人通過Internet進行商務(wù)活動。電子商務(wù)是利用網(wǎng)絡(luò)技術(shù)、計算機技術(shù)和通信技術(shù)，實現(xiàn)數(shù)字化、電子化，商務(wù)化，網(wǎng)絡(luò)化的整個商務(wù)過程，它與傳統(tǒng)商業(yè)活動相比，最大的一個特征就是基于B/S方式下，交易雙方在不見面的情況下完成商品貿(mào)易活動。

由于Internet自身的共享性、開放性、無縫性，那么以此為平臺的在線商務(wù)交易安全也面臨著日益嚴峻的挑戰(zhàn)。據(jù)國家信息中心信息安全研究與服務(wù)中心統(tǒng)計，2012年發(fā)生了2起源代碼被盜事件，2起重大黑客攻擊事件，6起信息泄密事件，3起重大漏洞事件。2013年的棱鏡門，谷歌抓取支付寶轉(zhuǎn)賬信息，酒店開房記錄泄露等。據(jù)中國互聯(lián)網(wǎng)產(chǎn)業(yè)統(tǒng)計，中國網(wǎng)民在2013年損近1500億元。對于以上的這些問題，本文將對電子商務(wù)信息安全應(yīng)用進行研究，并提出一些合理的安全解決方法，提高電子商務(wù)交易過程中的安全性，降低實施風(fēng)險。

2 國內(nèi)外電子商務(wù)安全研究現(xiàn)狀

2.1 國際電子商務(wù)安全研究現(xiàn)狀

在電子商務(wù)安全研究方面，美國是處于領(lǐng)先地位。美國國家安全局（NSA）在1983年正式頒布“受信計算機系統(tǒng)評量基準”，是目前頗具權(quán)威的計算機系統(tǒng)安全標(biāo)準之一。自“911”恐怖襲擊事件之后，美國公司增強了信息技術(shù)安全觀念，投入大量的經(jīng)費，同時加強信息技術(shù)安全方面的工作。從現(xiàn)在的網(wǎng)絡(luò)安全研究情況的現(xiàn)實看，解決網(wǎng)絡(luò)安全問題的根本途徑和方向是網(wǎng)絡(luò)技術(shù)創(chuàng)新，即研發(fā)新一代網(wǎng)絡(luò)技術(shù)，采取“立體”措施，包括引入“中間件”層及其安全結(jié)構(gòu)，在“網(wǎng)絡(luò)層”增設(shè)面向連接的實時協(xié)議、強化整個網(wǎng)絡(luò)系統(tǒng)的管控智能以及改進終端加密和反黑等措施。

2.2 我國電子商務(wù)安全研究現(xiàn)狀

國務(wù)院在1996年了《中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》，公安部在1997年了《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》，2000年由國家信息化推進工作辦公室牽頭起草的《關(guān)于發(fā)展我國電子商務(wù)的若干意見》上報國家最高決策層進行審議。網(wǎng)絡(luò)信息安全問題不但得到了政府、企業(yè)的高度重視，同時國內(nèi)的大專院校、研究所和有實力的大公司也紛紛進入網(wǎng)絡(luò)信息安全問題的研究領(lǐng)域。

3 電子商務(wù)信息安全隱患

電子商務(wù)的信息存儲安全隱患主要包括：（1）內(nèi)部隱患。主要是網(wǎng)內(nèi)用戶未經(jīng)許可隨意增加、刪除、修改或無意或故意地非授權(quán)調(diào)用電子商務(wù)信息。（2）外部隱患。主要是因為軟件問題造成外部人員非法闖入內(nèi)網(wǎng)，造成電子商務(wù)信息被增加、刪除、修改或調(diào)用。

電子商務(wù)的信息流動安全隱患主要包括：（1）竊取商業(yè)機密。多數(shù)電子商務(wù)的信息是以明文的方式傳輸，那么攻擊者很容易的對電子商務(wù)信息進行監(jiān)聽和截取。（2）攻擊商務(wù)網(wǎng)站。攻擊者通過傳播計算機病毒，繞過電子商務(wù)網(wǎng)站的防火墻，篡改信息，使其無法正常運轉(zhuǎn)。（3）實施商務(wù)詐騙。不法分子通過Internet虛假信息騙取帳號、現(xiàn)金，用戶對電子商務(wù)產(chǎn)生不信任感，阻礙了電子商務(wù)的順利發(fā)展。（4）傳播不良信息。不法分子為了達到自己既有目的，在電子商務(wù)信息中推送不良信息。

電子商務(wù)交易雙方的信息安全隱患主要是：（1）商家的信息安全隱患。不法分子冒充合法用戶修改商務(wù)信息內(nèi)容，致使電子商務(wù)活動中斷，造成商家無法從事正常的業(yè)務(wù)活動。（2）用戶的信息安全隱患。不法分子竊用攔截合法用戶身份信息，以合法的用戶進行電子商務(wù)活動，使用戶蒙受損失。

4 電子商務(wù)信息安全管理

在電子商務(wù)活動中，有些信息屬于商業(yè)秘密，如果失竊，將帶來不可估量的損失，因此需有一個能不中斷地提供服務(wù)及可靠穩(wěn)定的電子商務(wù)平臺，任何系統(tǒng)的中斷，如軟硬件錯誤，病毒，網(wǎng)絡(luò)故障等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，所以電子商務(wù)信息的安全管理問題就成了電子商務(wù)順利推進的保障。隨著電子商務(wù)的深入應(yīng)用，攻擊網(wǎng)絡(luò)技術(shù)和手段不斷改進，這就對電子商務(wù)信息系統(tǒng)的安全性提出了更高的要求，必須保證外網(wǎng)用戶不能對系統(tǒng)構(gòu)成威脅，所以人們對這些基本技術(shù)進行了反復(fù)改進以適應(yīng)更高的安全需求。

4.1 電子商務(wù)安全的法制建設(shè)及企業(yè)內(nèi)部管理

為了保護用戶信息在電子商務(wù)活動中不受侵犯，政府應(yīng)該完善電子商務(wù)信息法規(guī)，同時，還需制定詳盡、具體、具有可操作性的賠償制度，包括精神賠償和物質(zhì)賠償，為電子商務(wù)的發(fā)展提供必要的法律保證。

在國內(nèi)對個人信息安全保護的監(jiān)管分別由公安部、工業(yè)與信息化部等部門管理，多頭管理難免會出現(xiàn)監(jiān)管漏洞。對此可以建議由國安委統(tǒng)一管理，只有權(quán)力清晰才能保證監(jiān)管沒有漏洞。

有些安全事件是“禍起蕭墻”，這就要求加強企業(yè)內(nèi)部安全管理，培育和加強企業(yè)安全意識，通過企業(yè)和用戶的共同努力來實現(xiàn)。它的基本原則是在系統(tǒng)內(nèi)發(fā)生的所有行為都必須被定義好的，并且符合相應(yīng)的程序控制要求，所有行為的發(fā)生都有審計記錄，可以解決許多技術(shù)層次解決不了的安全性問題。

4.2 防火墻技術(shù)

目前的防火墻分可為兩大類，一類是簡單的包過濾技術(shù)，它是在網(wǎng)絡(luò)層對數(shù)據(jù)包實施有選擇的通過。依據(jù)系統(tǒng)內(nèi)事先制定好的過濾邏輯，檢查數(shù)據(jù)流中每個數(shù)據(jù)包后，根據(jù)數(shù)據(jù)包的源地址、目的地址等因素來確定是否允許數(shù)據(jù)包通過。另一類是應(yīng)用網(wǎng)管和服務(wù)器，其顯著的優(yōu)點是能提供小顆度的存取控制，可針對特別的數(shù)據(jù)過濾協(xié)議和網(wǎng)絡(luò)應(yīng)用服務(wù)，并且能夠?qū)?shù)據(jù)包分析并形成相關(guān)的報告。通過防火墻技術(shù)，可以過濾掉不安全的服務(wù)，提高網(wǎng)絡(luò)安全和減少網(wǎng)絡(luò)中主機的風(fēng)險。但防火墻是一種被動安全技術(shù)，不能阻止來自內(nèi)部網(wǎng)絡(luò)的攻擊。唯一的解決辦法就是，在每臺計算機上都裝反病毒軟件。

4.3 病毒防范技術(shù)

計算機病毒實際上就是在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復(fù)制的一組計算機指令或者程序代碼。病毒繞過系統(tǒng)或違反授權(quán)入侵成功后，在系統(tǒng)中植入木馬等病毒程序，為以后攻擊系統(tǒng)、竊取信息做好準備。網(wǎng)絡(luò)防病毒技術(shù)的具體實現(xiàn)方法包括對網(wǎng)絡(luò)服務(wù)器中的文件進行頻繁的掃描和監(jiān)測，工作站上對網(wǎng)絡(luò)目錄及文件設(shè)置訪問權(quán)限等。

現(xiàn)在較流行的反病毒技術(shù)基于病毒的特征碼掃描法、文件實時監(jiān)控技術(shù)并輔以指令虛擬技術(shù)。掃描病毒：分析出病毒的特征病毒碼并集中存放于病毒代碼庫文件中，在掃描時將掃描對象與特征代碼庫比較，如有吻合則判斷為染上病毒。該技術(shù)實現(xiàn)簡單有效，安全徹底。監(jiān)控病毒：通過利用操作系統(tǒng)底層接口技術(shù)，對系統(tǒng)中的指定類型的文件進行實時的行為監(jiān)控，一旦有病毒傳染或發(fā)作時就及時報警。從而實現(xiàn)了對病毒的實時、永久、自動監(jiān)控。刪除病毒：在刪除時采用虛擬技術(shù)對變種的病毒進行處理或編寫出相應(yīng)的程序，將病毒移除計算機內(nèi)存。

4.4 認證技術(shù)

安全認證技術(shù)主要有：（1）數(shù)字摘要技術(shù)，也稱安全HASH編碼法。用于對所要傳輸?shù)臄?shù)據(jù)進行運算生成信息摘要，它并不是一種加密機制，但能產(chǎn)生信息的數(shù)字"指紋"，目的是為了確保數(shù)據(jù)沒有被篡改，從而保證數(shù)據(jù)的完整性和有效性。（2）數(shù)字簽名技術(shù)，又稱電子簽章、公鑰數(shù)字簽名。是一種類似寫在紙上的普通的物理簽名，就是附加在數(shù)據(jù)單元上的一些數(shù)據(jù)，或是對數(shù)據(jù)單元所作的密碼變換。這種變換或數(shù)據(jù)允許數(shù)據(jù)單元的接收者用以確認完整性和數(shù)據(jù)單元的來源并保護數(shù)據(jù)，防止被人偽造。它是對電子形式的消息進行簽名的一種方法，一個簽名消息能在一個通信網(wǎng)絡(luò)中傳輸。主要功能是保證信息傳輸?shù)耐暾?、發(fā)送者的身份認證、防止交易中發(fā)生抵賴。（3）數(shù)字證書技術(shù)，又稱為數(shù)字憑證。負責(zé)用電子手段來證實用戶的身份和對網(wǎng)絡(luò)資源訪問的權(quán)限。（4）數(shù)字時間戳技術(shù)（DTS）。在文件交易中，時間是十分重要的信息，需對文件交易的時間和日期信息采取安全措施，而數(shù)字時間戳服務(wù)就能提供電子文件交易時間的安全保護。時間戳是一個經(jīng)加密后形成的憑證文檔，它包括三個部分：需加時間戳的文件摘要，DTS的數(shù)字簽名，DTS收到文件的日期和時間。（5）身份認證實際。是計算機系統(tǒng)通過審查用戶身份證明的過程，提供確認和判別用戶身份的機制，確定用戶是否具有對系統(tǒng)資源操作和訪問權(quán)限。本質(zhì)是確認用戶身份，用戶必須能夠證明其身份標(biāo)識合法性。身份認證技術(shù)是訪問控制、安全審計、入侵檢測等安企機制的基礎(chǔ)，在電子商務(wù)信息安全理論與技術(shù)中占有至關(guān)重要的位。目身份認證技術(shù)主要有基于口令的認證技術(shù)、基于密碼學(xué)的認證技術(shù)、基于智能卡的認證技術(shù)以及基于生物學(xué)特征的認證技術(shù)等。

4.5 安全協(xié)議技術(shù)

電子商務(wù)安全問題的核心是電子交易的安全性，為了徹底解決電子商務(wù)的安全機制，人們開發(fā)了各種用于加強電子商務(wù)安全的協(xié)議。當(dāng)前廣泛應(yīng)用的電子商務(wù)安全協(xié)議主要有SET協(xié)議（Secure Electronic Transaction，安全電子交易）和SSL協(xié)議（Secure Sockets Layer，安全套接層），二者都采用了RSA算法加密。

SSL協(xié)議提供加密的SSL會話服務(wù)、SSL服務(wù)器鑒別服務(wù)以及SEL客戶鑒別服務(wù)，實現(xiàn)了瀏覽器等客戶端應(yīng)用軟件與TC/IP協(xié)議之間的接口，可以對萬維網(wǎng)客戶與服務(wù)器之間傳送的數(shù)據(jù)信息進行加密和鑒別，在雙方握手階段，對將要使用加密算法和雙方共享的會話密朗進行協(xié)商，完成客戶與服務(wù)器之間的鑒別。目前許多運營商利用本身的便利性，使用一些的數(shù)據(jù)收集工具，分析出客戶的需求，并為客戶提供同類商品信息，或者是分析其他運營商的數(shù)據(jù)，產(chǎn)生一種惡性競爭。對于客戶來講，提供相關(guān)的其他同類商品的信息，看似是一種個性化的服務(wù)，但是同時也是在侵犯用戶的隱私，為此在應(yīng)用層也就客戶在瀏覽網(wǎng)頁時，如果客戶需要商家提供相關(guān)的同類商品的信息時，商家才能對客戶的數(shù)據(jù)進行分析，否則不應(yīng)任意分析用戶的數(shù)據(jù)。

SET協(xié)議是基于應(yīng)用層的協(xié)議，是一種新的電子支付模式，它保證了開放網(wǎng)絡(luò)上使用信用卡進行在線購物的安全。SET協(xié)議具有強大的驗證功能，主要是為了解決用戶、銀行、商家之間通過信用卡的交易而設(shè)計的，它具有保證交易數(shù)據(jù)的完整性，交易的不可抵賴性等優(yōu)點，因此它成為目前公認的信用卡網(wǎng)上交易的國際標(biāo)準。

5 結(jié)束語

電子商務(wù)信息的安全問題是一項復(fù)雜的系統(tǒng)工程，隨著電子商務(wù)的發(fā)展，通過各種網(wǎng)絡(luò)的交易手段也會更加多樣化，安全問題變得更加突出。它不僅涉及到動態(tài)傳輸信息及靜態(tài)存儲信息的安全問題，還需要保證電子商務(wù)信息安全，加快電子商務(wù)的發(fā)展。還有在非技術(shù)方面，需要完善法律制度、管理制度和誠信制度，促進社會公眾商務(wù)觀念的轉(zhuǎn)變等，營造電子商務(wù)信息安全的社會大環(huán)境。

[參考文獻]

[1]金勝男.電子商務(wù)的信息安全技術(shù)研究.技術(shù)研發(fā)，2013年第12期.

[2]孟慧敏.電子商務(wù)對國際貿(mào)易的影響及應(yīng)用.電腦知識與技術(shù)，2013年2月第9卷第5期.

[3]韓文虹.電子商務(wù)中安全技術(shù)的應(yīng)用研究.電子商務(wù)，2013年2月.

[4]崔敏.基于電子商務(wù)的安全技術(shù)討論.網(wǎng)絡(luò)安全，2013年7月.

[5]龍愛民.電子商務(wù)的信息安全技術(shù)分析.信息技術(shù)，2013年9月.

[6]牟童.電子商務(wù)安全體系結(jié)構(gòu)淺析.電子商務(wù)與電子政務(wù)，2013年3月.

第5篇：電子商務(wù)安全范文

關(guān)鍵詞：電子商務(wù)；身份認證；防火墻

中圖分類號：TP3 文獻標(biāo)識碼：A文章編號：1009-3044(2008)30-0559-02

A Brief Analysis on the Security Strategy of E-business

WANG Gai-xiang

(Shanxi Professional College of Finance,Taiyuan 030008,China)

Abstract: With the rapid development of Internet applications, E-business based on Internet has become a new mode for people to pursue commerce. With more and more people execute their commerce through Internet, the prospect of E-businessis becoming more and more attracting,But the Chief Problem of E-business is the safety of Commerce information. For realizing an E-business basic frame of security, various kinds of safe practices in e-commerce are analysed in order to develop a kind of effective , safe realization E-business.

Key words:E-business; identity authentication; firewall

1 引言

電子商務(wù)可以增加銷售額并降低成本的優(yōu)勢，使得政府與企業(yè)都十分重視并推動電子商務(wù)的建設(shè)和發(fā)展。電子商務(wù)發(fā)展到今天,主要問題在于時空的分離導(dǎo)致了安全問題的出現(xiàn),信息的安全性是當(dāng)前發(fā)展電子商務(wù)最迫切需要解決的問題之一。研究和分析電子商務(wù)的安全性問題,特別是針對企業(yè)自身情況,充分借鑒以往電子商務(wù)系統(tǒng)開發(fā)的先進技術(shù)和經(jīng)驗,開發(fā)出符合企業(yè)特殊的電子商務(wù)系統(tǒng),已經(jīng)成為目前發(fā)展電子商務(wù)的關(guān)鍵，而安全體系的構(gòu)建顯得尤為重要。

2 電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國迅速發(fā)展。實現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。時空的分離導(dǎo)致了安全問題的出現(xiàn)，電子商務(wù)交易雙方（銷售者和消費者）都面臨安全威脅，電子商務(wù)的安全要素主要體現(xiàn)在以下幾個方面：

2.1 信息真實性、有效性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實性將直接關(guān)系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

2.2 信息機密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務(wù)是建立在一個較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

3.3 信息完整性

電子商務(wù)簡化了貿(mào)易過程，減少了人為的干預(yù)，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲及電子商務(wù)完整性檢查的正確和可靠。

3.4 信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當(dāng)?shù)鼐芙^；不可否認要求即是能建立有效的責(zé)任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標(biāo)識。在1nternet上每個人都是匿名的，電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

3 電子商務(wù)安全系統(tǒng)

網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。為了保證電子商務(wù)交易能順利進行，要求電子商務(wù)平臺要穩(wěn)定可靠，能不中斷地提供服務(wù)。任何系統(tǒng)的中斷，如硬件、軟件錯誤，網(wǎng)絡(luò)故障、病毒等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經(jīng)濟損失。

所以就整個電子商務(wù)安全系統(tǒng)而言，安全性可以劃分為四個層次，

1) 網(wǎng)絡(luò)節(jié)點的安全

2) 通訊的安全性

3) 應(yīng)用程序的安全性

4) 用戶的認證管理

其中2、3、4是通過操作系統(tǒng)和Web服務(wù)器軟件實現(xiàn)，而網(wǎng)絡(luò)節(jié)點的安全性依靠防火墻保證，我們應(yīng)該首先保證網(wǎng)絡(luò)節(jié)點的安全性。

3.1 網(wǎng)絡(luò)節(jié)點的安全

防火墻是一種由計算機硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關(guān)，從而保護內(nèi)部網(wǎng)免受非法用戶的侵入，它其實就是一個把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊，為電子商務(wù)的施展提供個相對更安全的平臺。

防火墻是在連接Internet和Intranet保證安全最為有效的方法 ，防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運用這些功能，制定正確的安全策略，將能提供一個安全、高效的Intranet系統(tǒng)。 應(yīng)給予特別注意的是，防火墻不僅僅是路由器、堡壘主機或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個部分。安全策略建立了全方位的防御體系來保護機構(gòu)的信息資源，這種安全策略應(yīng)包括：規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護措施，以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級別加以保護。僅設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。

3.2 通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。 目前采用的是瀏覽器缺省的40位加密強度，也可以考慮將加密強度增加到128位。 為在瀏覽器和服務(wù)器之間建立安全機制，SSL首先要求服務(wù)器向瀏覽器出示它的證書，證書包括一個公鑰，由一家可信證書授權(quán)機構(gòu)（CA中心）簽發(fā)。瀏覽器要驗征服務(wù)器證書的正確性，必須事先安裝簽發(fā)機構(gòu)提供的基礎(chǔ)公共密鑰（PKI）。建立SSL鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務(wù)器證書（下載可以在訪問之前或訪問時）。驗證此證書是合法的服務(wù)器證書通過后利用該證書對稱加密算法（RSA）與服務(wù)器協(xié)商一個對稱算法及密鑰，然后用此對稱算法加密傳輸?shù)拿魑?。此時瀏覽器也會出進入安全狀態(tài)的提示。

3.3 應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計算機系統(tǒng)的安全性也是不充分的，因為編程錯誤也可能引致攻擊。程序錯誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時；程序員忘記最小特權(quán)的基本原則。整個程序都是在特權(quán)模式下運行，而不是只有有限的指令子集在特權(quán)模式下運 行，其他的部分只有縮小的許可；程序員從這個特權(quán)程序使用范圍內(nèi)建立一個資源，如一個文件和目錄。不是顯式地設(shè)置訪問控制（最少許可），程序員認為這個缺省的許可是正確的。

這些缺點都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個過長的字符串來實現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令，特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個用戶并賦予這個用戶特權(quán)。 訪問控制系統(tǒng)中沒有什么可以檢測到這些問題 。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現(xiàn)象這些問題一樣的錯誤。

3.4 用戶的認證管理

1) 身份認證

電子商務(wù)企業(yè)用戶身份認證可以通過服務(wù)器CA證書與IC卡相結(jié)合實現(xiàn)的。CA證書用來認證服務(wù)器的身份，IC卡用來認證企業(yè)用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認機制。

2) CA證書

要在網(wǎng)上確認交易各方的身份以及保證交易的不可否認性，需要一份數(shù)字證書進行驗證，這份數(shù)字證書就是CA證書，它由認證授權(quán)中心（CA中心）發(fā)行。認證中心（CA）就是承擔(dān)網(wǎng)上安全交易認證服務(wù)，能簽發(fā)數(shù)字證書，并能確認用戶身份的服務(wù)機構(gòu)。認證中心通常是企業(yè)性的服務(wù)機構(gòu)，主要任務(wù)是受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書的管理。CA中心一般是社會公認的可靠組織，它對個人、組織進行審核后，為其發(fā)放數(shù)字證書，證書分為服務(wù)器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務(wù)器證書（下載可以在訪問之前或訪問時進行）。

3) 安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

第6篇：電子商務(wù)安全范文

[關(guān)鍵詞] 電子商務(wù)；安全性；安全套接層協(xié)議；安全電子交易協(xié)議

[中圖分類號] F062．5 [文獻標(biāo)識碼] A [文章編號] 1006-5024(2006)12-0136-03

[作者簡介] 周 強，江西科技師范學(xué)院講師，研究方向為計算機教學(xué)與管理；

鄧曉輝，江西科技師范學(xué)院講師，研究方向為計算機教學(xué)與管理。(江西 南昌 330038)

隨著因特網(wǎng)的飛速發(fā)展，電子商務(wù)正得到越來越廣泛的應(yīng)用，進入21世紀，全球電子商務(wù)迎來了新的發(fā)展。電子商務(wù)的安全性是影響其成敗的一個關(guān)鍵因素。對電子商務(wù)中存在的安全問題及安全技術(shù)加以分析，才能滿足電子商務(wù)安全的基本需求，以推動電子商務(wù)的更快發(fā)展。

一、電子商務(wù)及其存在的問題

電子商務(wù)是指利用簡單快捷低成本的電子通信方式，買賣雙方不謀面而進行各種商業(yè)和貿(mào)易活動的新型貿(mào)易形式。它改變了傳統(tǒng)貿(mào)易形式，不僅改變了企業(yè)本身的生產(chǎn)、經(jīng)營、管理活動，而且將導(dǎo)致人類經(jīng)濟、社會和文化的一次新的革命。但目前電子商務(wù)的發(fā)展中還存在許多問題：

1．安全協(xié)議問題。我國大多數(shù)尚處在SSL(安全套接層協(xié)議)的應(yīng)用上，SET協(xié)議的應(yīng)用還只是剛剛試驗成功，在信息的安全保密體制上還不成熟，對安全協(xié)議還沒有全球性的標(biāo)準和規(guī)范，相對制約了國際性的商務(wù)活動。

2．安全管理問題。在安全管理方面還存在很大隱患，究竟誰來管理，怎么管理，采取什么有序的管理辦法，這些問題亟待解決。需要有一個安全可靠的信息網(wǎng)絡(luò)普抵御黑客的攻擊。

3．電子商務(wù)沒有真正深入商務(wù)領(lǐng)域，而僅僅局限于信息領(lǐng)域?，F(xiàn)在我國的電子商務(wù)好多只是停留在用計算機簡單模擬原來的手工操作流程，提供單純的技術(shù)產(chǎn)品為主，不擅長動態(tài)信息的跟蹤和獲取，個人用戶比較少，企業(yè)用戶還未大量出現(xiàn)。

4．技術(shù)人才短缺問題。電子商務(wù)是在近幾年才得到了迅猛發(fā)展，許多地方都缺乏足夠的技術(shù)人才來處理所遇到的各種問題。不少電子商務(wù)的開發(fā)商對網(wǎng)絡(luò)技術(shù)很熟悉，但是對安全技術(shù)了解得偏少，因而難以開發(fā)出真正實用的、安全性的產(chǎn)品。

5．法律問題。電子交易衍生了一系列法律問題，例如網(wǎng)絡(luò)交易糾紛的仲裁、網(wǎng)絡(luò)交易契約等問題，急需為電子商務(wù)提供法律保障。

6．稅收問題。電子商務(wù)的發(fā)展在促進貿(mào)易增加稅收的同時又對稅收制度及其管理手段提出了新要求。

二、電子商務(wù)中的安全性技術(shù)

安全性技術(shù)是保證電子商務(wù)健康有序發(fā)展的關(guān)鍵因素，也是目前大家十分關(guān)注的問題。雖然Internet的開放式的信息交換使之在安全方面存在脆弱性，但現(xiàn)在幾乎網(wǎng)絡(luò)的各個層次都制訂了安全協(xié)議和具備了相應(yīng)的安全技術(shù)，以保證電子商務(wù)的安全性。

(一)安全的網(wǎng)絡(luò)平臺。安全可靠的網(wǎng)絡(luò)是實現(xiàn)電子商務(wù)的基礎(chǔ)，常用的方法是在網(wǎng)絡(luò)中采用防火墻技術(shù)，虛擬專用網(wǎng)(VPN)技術(shù)，防病毒保護等。防火墻技術(shù)是通過IP過濾和服務(wù)器軟件方法保護企業(yè)內(nèi)部網(wǎng)(Intranet)中數(shù)據(jù)，只有授權(quán)用戶才能獲準進入企業(yè)內(nèi)部網(wǎng)的系統(tǒng)。虛擬專用網(wǎng)(VPN)技術(shù)通過IP隧道等方法來保證企業(yè)協(xié)作網(wǎng)(Extranet)中企業(yè)間數(shù)據(jù)和企業(yè)內(nèi)部網(wǎng)的遠程分支機構(gòu)和外出職工對中央系統(tǒng)的遠程訪問數(shù)據(jù)的安全傳遞。單純依靠這些方法保護網(wǎng)絡(luò)的安全性是不夠的，還必須與其它安全措施綜合使用才能為為用戶提供更為可靠的電子商務(wù)基石，例如現(xiàn)在的加密技術(shù)、數(shù)字簽名技術(shù)、電子認證技術(shù)等。

(二)密碼術(shù)概述。密碼技術(shù)雖然在第二次世界大戰(zhàn)期間開始流行，在當(dāng)前才廣泛應(yīng)用于網(wǎng)絡(luò)安全和電子商務(wù)安全之中，但其起源可追溯到幾千年前。其思想目前還在使用，只是在處理過程中增加了數(shù)學(xué)上的復(fù)雜性?，F(xiàn)代密碼體制與傳統(tǒng)密碼體制的最大不同就在于：原文的保密性不再依賴于算法本身，而是依賴于密鑰的保密性，其算法本身則是公開的。在網(wǎng)絡(luò)上，計算機的數(shù)據(jù)以數(shù)據(jù)包的形式發(fā)送．為防止信息被竊取，應(yīng)當(dāng)對發(fā)送的全部信息進行加密。加密傳輸形式是一種將傳送的內(nèi)容變成一些不規(guī)則的數(shù)據(jù)，只有通過正確的密鑰才可以恢復(fù)原文的傳輸形式。

根據(jù)密鑰的特點，加密算法可以分為對稱密鑰加密算法和非對稱密鑰加密算法兩類。

1．對稱密鑰加密算法是傳統(tǒng)的加密手段。最著名的對稱密鑰加密算法DES(Data Encryption s七andard)是由IBM公司在70年展起來的，并經(jīng)過政府的加密標(biāo)準篩選后，于1976年11月被美國政府采用。DES隨后被美國國家標(biāo)準局和美國國家標(biāo)準協(xié)會承認。在該類算法中，信息的發(fā)送方和接收方用同一個秘密密鑰去加密和解密數(shù)據(jù)，一方用商定好的加密函數(shù)和秘密密鑰加密明文，另一方用加密函數(shù)的逆函數(shù)和同一個秘密密鑰對密文解密，得到原始明文。顯然，通訊雙方需要事先交換秘密密鑰。這類加密算法執(zhí)行效率高、速度快，適合對大數(shù)據(jù)量進行加/解密。但由于收發(fā)雙方共享一個秘密密鑰，密鑰的傳遞和管理很困難。目前常用的對稱密鑰加密算法有DES算法和工DEA算法等。

2．非對稱密鑰加密算法又稱公開密鑰技術(shù)。它需要使用一對密鑰來分別完成加密和解密操作，一個公開，稱為公開密鑰(Public-Key) ；另一個由用戶自己秘密保存，稱為私有密鑰(Private-Key)。在該類算法中，每個用戶都擁有一對密鑰，一個是公開密鑰，另一個是私有密鑰。經(jīng)用戶公開密鑰加密的信息只能通過他的私有密鑰來解密，反過來，經(jīng)用戶私有密鑰加密的信息也只能通過他的公開密鑰來解密。當(dāng)兩用戶通訊時，雙方都用又于的公開密鑰加密而用自己的私有密鑰解密，就可以實現(xiàn)信息的保密傳輸。常用的公開密鑰算法有RSA算法。

RSA算法是公開密鑰加密算法中比較優(yōu)秀的算法，已經(jīng)得到廣泛的應(yīng)用。公開密鑰加密算法的安全性依賴于一類特殊的數(shù)學(xué)函數(shù)一單向哈希函數(shù)，單向哈希函數(shù)的性質(zhì)為：從一個方向求值容易，但逆向計算卻很困難。公開密鑰加密算法的優(yōu)點是不需在用戶之間傳遞私有密鑰，可以適應(yīng)開放性的使用環(huán)境，但計算復(fù)雜度高，加密和解密速度都比對稱密鑰算法慢得多。

3．混合密鑰加密技術(shù)。為了充分利用公開密鑰密碼算法和私有密鑰密碼算法的優(yōu)點，克服其缺點，解決每次傳送更換密鑰的問題，可以采用混合密碼技術(shù)，即所謂的電子信封技術(shù)口發(fā)送者自動生成對稱密鑰，用對稱密鑰加密發(fā)送的信息，將生成的密文連同用接收方的公開密鑰加密的對稱密鑰一起傳送出去。收信者用自己的私有密鑰解密被加密的密鑰來得到對稱密鑰，并用它來解密密文。這樣保證每次傳送都可由發(fā)送方選定不同密鑰進行，更好的保證了數(shù)據(jù)通訊的安全性。

混合密鑰加密技術(shù)的加/解密過程如下：

a．加密方(或發(fā)方)：

a)生成明文；

b)用密鑰生成算法產(chǎn)生特定長度的對稱密鑰：

c)使用對稱密鑰加密算法(DES/IDEA)和該對稱密鑰對明文進行加密，形成密文；

d)用收方(RSA)公開密鑰加密對稱密鑰：

e)把加密后的對稱密鑰和密文一同發(fā)送給收方。

b．解密方(或收方)：

a)用收方的密鑰解密收到的已加密的密鑰，得到未加密的對稱密鑰；

b)用(a)中得到的對稱密鑰解密密文，得到明文。

從上面分析可以看出，把兩者結(jié)合起來使用，就可以綜合發(fā)揮兩種加密體制的優(yōu)點，即DES/IDEA高速簡便性和RSA密鑰管理的方便性和安全性。也就是說，既保證了數(shù)據(jù)安全，又提高了加密和解密的速度。

(三)在線支付的安全技術(shù)。電子商務(wù)的另一個關(guān)鍵問題是要保證在線支付的安全，它是網(wǎng)上購物的重要保證。目前采用的在線支付協(xié)議有兩種：安全套接層SSL(Secure Sockets Layer)協(xié)議和安全電子交易SET(Secure Electronic Transac-tion)協(xié)議。

SSL協(xié)議

SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。SSL通過數(shù)字簽名和數(shù)字證書來實行身份驗證，數(shù)字證書是從認證機構(gòu)(Certificate Authority，CA)獲得的，通常包含有唯一標(biāo)識證書所有者的名稱、唯一標(biāo)識證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號等。在用數(shù)字證書對雙方的身份驗證后，雙方就可以用保密密鑰進行安全的會話了。其運行機制是：

①在建立連接過程中采用公開密鑰；

②在會話過程中使用專有密鑰；

③加密的類型和強度則在兩端之間建立連接過程中判斷決定。

采用SSL協(xié)議的電子交易過程如下：

①表示客戶購買的信息首先發(fā)往商家；②表示商家再將信息轉(zhuǎn)發(fā)銀行；③和⑤表示銀行驗證客戶的信息的合法性后，再通知商家和客戶付款成功；④表示商家再通知客戶購買成功。

這個流程有兩個方面的缺點：首先，客戶的銀行資料信息先送到商家，讓商家閱讀，這樣，客戶銀行資料的安全性就得不到保證；其次，SSL只能保證資料傳遞過程的安全，而傳遞過程是否有人截取就無法保證了。所以，SSL并沒有實現(xiàn)電子支付所要求的保密性、完整性，而多方互相認證也很困難的。

SET協(xié)議

SET協(xié)議是一個能保證通過開放網(wǎng)絡(luò)進行安全資金支付的技術(shù)標(biāo)準。采用這種協(xié)議它主要解決了以下問題。

首先是客戶資料雖然通過商家到達銀行，但商家不能閱讀這些資料，解決了客戶資料的安全性問題；其次是協(xié)議解決了網(wǎng)上交易存在的客戶與銀行之間、客戶與商家之間、商家與銀行之間的多方認證問題；再其次是由于整個交易過程是建立在Intranet，Extranet和Internet的網(wǎng)絡(luò)基礎(chǔ)上的，保證了網(wǎng)上交易的實時性。

SET協(xié)議下的交易模式如下：

SET使訂單信息和信用卡信息的隔離。在把包含信用卡號碼信息的訂單送到商家時，商家只能看到訂單信息，卻看不到信用卡號碼信息，并且需要持卡人和商家相互認證，確定通信雙方身份，一般由認證中心為雙方提供信用擔(dān)保。

SET定義了一個完備的電子交易流程，較好地解決了電子交易中各方間復(fù)雜的信任關(guān)系和安全連接，確保了電子交易中信息的真實性、保密性、防抵賴性和不可更改性。但由于SET協(xié)議龐大而又復(fù)雜，銀行、商家和客戶均需改造才能實現(xiàn)互操作，使得SET協(xié)議被普遍使用還需有一個過程。在我國，大多尚處在對SSL協(xié)議的應(yīng)用上，要完全實現(xiàn)SET協(xié)議安全支付還要有一個過程。

(3)其它安全問題

對于電子商務(wù)的安全性來講，有了防火墻與安全協(xié)議和規(guī)范還不夠，一方面，網(wǎng)絡(luò)本身的物理差錯是難以避免的；另一方面，Internet主干網(wǎng)和DNS服務(wù)器的可靠性，撥號連接質(zhì)量與速度還不能滿足人們的需求；另外，惡意代碼對網(wǎng)絡(luò)系統(tǒng)的威脅，單純依賴技術(shù)是很難解決的，從某種意義上講，依靠管理加強內(nèi)部人員的安全防范意識等比安全技術(shù)更為重要。因此，要加強電子商務(wù)的安全性應(yīng)從多方面入手。

三、對我國電子商務(wù)發(fā)展的幾點建議

1．提高服務(wù)的安全性

電子商務(wù)飛快的發(fā)展速度，致使其安全技術(shù)和安全管理都跟不上，這已成為越來越突出的問題，但不能因為安全問題而制約了電子商務(wù)的發(fā)展，使安全成為發(fā)展的瓶頸，發(fā)展是首位的，沒有發(fā)展安全就無從談起。

2．加快網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)和網(wǎng)絡(luò)普及程度

發(fā)展電子商務(wù)的目的在于降低交易成本，提高交易效率，因此應(yīng)積極發(fā)展高速寬帶通信信道，重點建設(shè)光纜和衛(wèi)星通信，同時積極利用現(xiàn)有通信線路發(fā)展ISDN和ADSL接入，利用有線電視線路，試驗發(fā)展HFC接入網(wǎng)。

3．盡快完善有關(guān)網(wǎng)絡(luò)安全等方面的法律

我國政府在《中華人民共和國合同法》中規(guī)定了以電子媒體為載體的合同具有法律約束力，對推廣電子商務(wù)有很大的促進作用，但是在諸多方面還需順應(yīng)網(wǎng)絡(luò)技術(shù)的發(fā)展而不斷完善。

4．加快銀行、稅務(wù)以及郵政等物流環(huán)節(jié)的信息化建設(shè)步伐，建立企業(yè)到企業(yè)(BtoB)、企業(yè)到客戶(BtoC)的商務(wù)溝通，實現(xiàn)網(wǎng)上資金流動，解決目前有形商品交易環(huán)節(jié)中的流通因難。

5．轉(zhuǎn)變?nèi)藗兠鎸γ娼灰椎南M習(xí)慣

目前，基于Internet的電子商務(wù)應(yīng)用還剛剛開始，許多方面都還不夠完善，并且，我國和發(fā)達國家之間的差距很大，這就要求我們密切關(guān)注電子商務(wù)的動向，探討電子商務(wù)中存在的技術(shù)問題，加大推廣力度，以把握住網(wǎng)絡(luò)經(jīng)濟時代這一良好的發(fā)展時機，讓電子商務(wù)在我國經(jīng)濟建設(shè)中發(fā)揮它最大的作用。

參考文獻：

第7篇：電子商務(wù)安全范文

1.1電子商務(wù)環(huán)境下用戶數(shù)據(jù)存在的技術(shù)風(fēng)險

1.1.1硬件風(fēng)險

自從1946年世界上第一臺計算機誕生后，計算機一直都被稱為西方世界的產(chǎn)物。計算機和有關(guān)產(chǎn)品的制造技術(shù)，大部分都是國外產(chǎn)商在控制，中國的計算機制造業(yè)，很多就是停駐在周邊的產(chǎn)品上，沒有自主知識產(chǎn)權(quán)的意識。處于電子商務(wù)環(huán)境中，用戶數(shù)控的管理與計算機技術(shù)息息相關(guān)。由于計算機技術(shù)的迅速發(fā)展，所以硬件的更新也要不停地加快速度。如果一個老化的設(shè)備沒有得到及時的更新，就會使存儲數(shù)據(jù)無法得到穩(wěn)定，電子商務(wù)系統(tǒng)的兼容性也會降低，會造成用戶數(shù)據(jù)的質(zhì)量與應(yīng)用受到影響。因此，這種過時的裝備會成為不法份子所要攻擊的對象。

1.1.2軟件風(fēng)險

這幾年，軟件平臺經(jīng)常改朝換代，被淘汰掉的軟件環(huán)境，可能是因為沒有相對應(yīng)的運行環(huán)境造成不能操作的情況，導(dǎo)致原有數(shù)據(jù)被損壞。所以，對于運行用戶數(shù)據(jù)的軟件平臺一定要實施定期有效的檢測和維護，才能保證數(shù)據(jù)的可靠性和完整性。目前網(wǎng)絡(luò)在線的升級與維護，深受廣大用戶的喜愛。但是這樣的方式會使電子商務(wù)系統(tǒng)的信息存在極大的安全風(fēng)險，因為升級與維護數(shù)據(jù)包，傳輸路線，數(shù)據(jù)發(fā)送方都無法確定身份和來源，那就很難實施第三方的測試，所以也就不能保證安全性與可靠性，因此一定要選擇具有相當(dāng)高的可靠性方式。在升級維護的時候，這些數(shù)據(jù)可能會被不法份子利用，這樣就會成為直接攻擊用戶數(shù)據(jù)的捷徑。

1.2電子商務(wù)環(huán)境下用戶數(shù)據(jù)存在的管理風(fēng)險

1.2.1制度缺失

2012中國個人信息保護大會于2012年3月15日在京召開。由中國電子信息產(chǎn)業(yè)發(fā)展研究院，中國軟件評測中心舉辦的會議“，保護個人信息，增強行業(yè)自律”是這個會議所要宣揚的主題。工業(yè)與信息化部電子科學(xué)技術(shù)情報研究所副所長劉九如在會上表明，自2011年下半年開始，電子科學(xué)情報研究所對個人信息保護也展開了研究工作，2500多份調(diào)查問卷交予社會公眾，而且拜訪了騰訊和百度等很多公司。從調(diào)查中發(fā)現(xiàn)，中國的信息存在著嚴重的安全風(fēng)險，調(diào)查中大約有75%的公眾提出要增強立法保護個人信息。筆者急切地希望我國對于法律法規(guī)方面加強完善，最好能夠制定關(guān)于個人信息的保護法。

1.2.2重視不足

電子商務(wù)行業(yè)在繁榮發(fā)展的時候，也有著激烈的競爭力。電子商務(wù)的從業(yè)者為了能夠在競爭中得到有利的位置，都會使用降低成本的手段，從而提升利潤。所以在這種過程中，往往只追求利益的存在而忽略安全的問題。首先是由于安全工作無法直接帶來有效的效益，乃至只能投入而無法產(chǎn)出的情況；其次是由于安全工作中具有長期性與復(fù)雜性，需要的資金量是很大的，因為這是一個漫長的過程，所以在短時間里是不能夠獲取收益的；最后是因為中國的電子商務(wù)從業(yè)者都存在缺乏經(jīng)驗的情況，對于安全問題沒有完全的認知能力。

1.2.3用戶安全意識淡薄

用戶對于安全的意識很薄弱也會影響到用戶數(shù)據(jù)安全。由于數(shù)據(jù)的所有者就是用戶，若用戶自己對于個人信息都沒有安全意識，那就更談不上數(shù)據(jù)安全了。中國用戶對于個人信息的保護意識與能力一點都不符合電子商務(wù)高速的發(fā)展。存在的主要問題有：對于殺毒軟件沒有進行及時的升級和查殺；隨便安裝來路不明的軟件和插件；訪問沒有安全性的網(wǎng)站或者是被“釣魚”；密碼設(shè)置的過于簡單或者是長時間不更換；對于個人信息隨意散布或者主動透露；網(wǎng)絡(luò)交友不慎，輕信謠言導(dǎo)致受騙等。

二、電子商務(wù)環(huán)境下用戶數(shù)據(jù)安全管理的對策建議

2.1用戶數(shù)據(jù)安全管理的目標(biāo)

用戶數(shù)據(jù)的安全管理目標(biāo)是為了保障用戶數(shù)據(jù)在收集、加工、存儲、利用的全部生命周期中，其中原始性、真實性、完整性與有效性都不要受到外界原因的影響，不因為突發(fā)事件和惡意的因素而受到破壞，更改與泄露。主要包含了以下幾個方面。

2.1.1保證用戶數(shù)據(jù)支撐環(huán)境的完整可用

用戶數(shù)據(jù)的支撐環(huán)境是指對于用戶數(shù)據(jù)實施讀取、修改、輸出、維護之類操作的計算機系統(tǒng)與網(wǎng)絡(luò)系統(tǒng)。處于電子商務(wù)環(huán)境中，用戶數(shù)據(jù)的管理脫離不了計算機系統(tǒng)與網(wǎng)絡(luò)系統(tǒng)。如果脫離支撐環(huán)境，用戶數(shù)據(jù)就沒有了存在的價值與意義，就存在著看不到也摸不到的情況。所以想要保障用戶數(shù)據(jù)的安全，就要實施保護支撐環(huán)境，保證系統(tǒng)的正常運作并且安全具有可靠性。

2.1.2保證用戶數(shù)據(jù)載體的安全

用戶數(shù)據(jù)是根據(jù)磁、光之類的介質(zhì)作為保存載體的，若離開了載體，用戶數(shù)據(jù)是不可能獨立存在的。載體是用戶可以一直生存下去的基本環(huán)境。用戶數(shù)據(jù)的安全性是和載體的可靠性與安全性密切相關(guān)的。因為載體需要存儲用戶數(shù)據(jù)的數(shù)量很大，所以經(jīng)常被作為主要的攻擊對象。若載體出現(xiàn)故障或者被惡意攻擊，就會導(dǎo)致用戶數(shù)據(jù)不能讀取或被泄露，受到不能彌補的損失。所以，確保用戶數(shù)據(jù)載體的實體安全性，是用戶數(shù)據(jù)必須具有的管理。

2.2用戶數(shù)據(jù)安全管理體系設(shè)計

2.2.1技術(shù)方面

(1)反病毒和安全掃描技術(shù)。在計算機網(wǎng)絡(luò)中病毒是很常見的，也是最大的安全問題。計算機病毒會因為計算機的發(fā)展而變化，也會因為網(wǎng)絡(luò)的繁榮而有效地得到大規(guī)模傳播與擴散。計算機和網(wǎng)絡(luò)系統(tǒng)一直都存在安全漏洞的問題，這是無法泯滅的，只能減少安全隱患。在防御病毒攻擊與填補安全漏洞中用到的主要手段就是反病毒與安全掃描技術(shù)。利用病毒查殺與實時防御，不僅可以及時地將已經(jīng)存在的病毒清除掉，還可以防御新病毒的侵入和病毒對數(shù)據(jù)所造成的破壞和泄露。通過安全掃描會發(fā)現(xiàn)軟件中會有漏洞和“后門”程序的存在，可以安裝補丁，預(yù)防漏洞與“后門”被不法分子利用，給數(shù)據(jù)造成安全隱患。

(2)防火墻和入侵檢測技術(shù)。防火墻屬于一種隔離技術(shù)，位于特定區(qū)域和外界環(huán)境的中心處，可以掌控特定區(qū)域和外界的溝通，起到了保護特定區(qū)域安全的作用。計算機與網(wǎng)絡(luò)的環(huán)境中，軟件和硬件的結(jié)合就形成了防火墻，能夠依據(jù)安全策略掌控進出網(wǎng)絡(luò)數(shù)據(jù)的行為和流向，并且可以將日志保存，實施審核。在電子商務(wù)中，像計算機、服務(wù)器這些用戶數(shù)據(jù)存儲與運行的設(shè)備都需要安裝防火墻，因為防火墻可以作為不安全因素的過濾器。能夠?qū)?shù)據(jù)實施實時的監(jiān)控，并且可以對那些數(shù)據(jù)訪問的請求實施判別，還能及時地拒絕、中斷、防御有可疑性的訪問與傳輸行為。實時檢測和事后檢測都屬于入侵檢測技術(shù)。

2.2.2管理方面

電子商務(wù)環(huán)境中的用戶數(shù)據(jù)所存在的安全隱患，大部分都是因為管理的原因。這就是“千里之堤，潰于蟻穴”。管理方面出現(xiàn)一個小漏洞，都會給用戶數(shù)據(jù)帶來安全隱患。所以，在管理用戶數(shù)據(jù)的制度中，要做好很多保護策略，確保數(shù)據(jù)的安全性。只有將法律法規(guī)進行深度的完善，加強執(zhí)法力度，提升制度的適用性與可操作性，建立完整的監(jiān)督制度，將社會監(jiān)督發(fā)展下去，這樣才能夠推動個人信息安全的保護工作。在有需要的時候，也可以借助其他國家的經(jīng)驗，將第三方評測機構(gòu)引進我國，可以對收集與個人信息企業(yè)的安全管理水準實施鑒定，可以提供可靠的信息給政府執(zhí)法，將企業(yè)的信息保護制度做到更好。關(guān)于用戶數(shù)據(jù)的安全管理體系，所介入的范圍很廣泛，涵蓋層面也比較多。利用多措并舉的方式，實施齊抓并管，這樣就可以保證這個體系的正常運作，還能夠從根源上保護用戶數(shù)據(jù)的安全。

三、結(jié)語

第8篇：電子商務(wù)安全范文

要加強電子商務(wù)的安全，需要企業(yè)本身采取更為嚴格的管理措施，需要國家建立健全法律制度，更需要有科學(xué)的先進的安全技術(shù)。

在電子商務(wù)的交易中，經(jīng)濟信息、資金都要通過網(wǎng)絡(luò)傳輸，交易雙方的身份也需要認證，因此，電子商務(wù)的安全性主要是網(wǎng)絡(luò)平臺的安全和交易信息的安全。而網(wǎng)絡(luò)平臺的安全是指網(wǎng)絡(luò)操作系統(tǒng)對抗網(wǎng)絡(luò)攻擊、病毒，使網(wǎng)絡(luò)系統(tǒng)連續(xù)穩(wěn)定的運行。常用的保護措施有防火墻技術(shù)、網(wǎng)絡(luò)入侵檢測技術(shù)、網(wǎng)絡(luò)防毒技術(shù)。交易信息的安全是指保護交易雙方的不被破壞、不泄密，和交易雙方身份的確認?？梢杂脭?shù)據(jù)加密、數(shù)字簽名、數(shù)字證書、ssl、set安全協(xié)議等技術(shù)來保護。

在這里我想重點談?wù)劮阑饓夹g(shù)和數(shù)據(jù)加密技術(shù)。

一、防火墻技術(shù)。

防火墻就是在網(wǎng)絡(luò)邊界上建立相應(yīng)的網(wǎng)絡(luò)通信監(jiān)控系統(tǒng),用來保障計算機網(wǎng)絡(luò)的安全,它是一種控制技術(shù),既可以是一種軟件產(chǎn)品,又可以制作或嵌入到某種硬件產(chǎn)品中。從邏輯上講,防火墻是起分隔、限制、分析的作用。實際上,防火墻是加強Intranet(內(nèi)部網(wǎng))之間安全防御的一個或一組系統(tǒng),它由一組硬件設(shè)備(包括路由器、服務(wù)器)及相應(yīng)軟件構(gòu)成。所有來自Internet的傳輸信息或你發(fā)出的信息都必須經(jīng)過防火墻。這樣,防火墻就起到了保護諸如電子郵件、文件傳輸、遠程登錄、在特定的系統(tǒng)間進行信息交換等安全的作用。防火墻是網(wǎng)絡(luò)安全策略的有機組成部分,它通過控制和監(jiān)測網(wǎng)絡(luò)之間的信息交換和訪問行為來實現(xiàn)對網(wǎng)絡(luò)安全的有效管理。從總體上看,防火墻應(yīng)該具有以下五大基本功能:(1)過濾進、出網(wǎng)絡(luò)的數(shù)據(jù);(2)管理進、出網(wǎng)絡(luò)的訪問行為;(3)封堵某些禁止行為;(4)記錄通過防火墻的信息內(nèi)容和活動;(5)對網(wǎng)絡(luò)攻擊進行檢測和告警。

新一代的防火墻產(chǎn)品一般運用了以下技術(shù)：

(1)透明的訪問方式。

以前的防火墻在訪問方式上要么要求用戶做系統(tǒng)登錄,要么需要通過SOCKS等庫路徑修改客戶機的應(yīng)用。而現(xiàn)在的防火墻利用了透明的系統(tǒng)技術(shù),從而降低了系統(tǒng)登錄固有的安全風(fēng)險和出錯概率。

(2)靈活的系統(tǒng)。

系統(tǒng)是一種將信息從防火墻的一側(cè)傳送到另一側(cè)的軟件模塊。采用兩種機制:一種用于從內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的連接;另一種用于從外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)的連接。前者采用網(wǎng)絡(luò)地址轉(zhuǎn)接(NIT)技術(shù)來解決,后者采用非保密的用戶定制或保密的系統(tǒng)技術(shù)來解決。

(3)多級過濾技術(shù)。

為保證系統(tǒng)的安全性和防護水平,防火墻采用了三級過濾措施,并輔以鑒別手段。在分組過濾一級,能過濾掉所有的源路由分組和假冒IP地址;在應(yīng)用級網(wǎng)關(guān)一級,能利用FTP、SMTP等各種網(wǎng)關(guān),控制和監(jiān)測Internet提供的所有通用服務(wù);在電路網(wǎng)關(guān)一級,實現(xiàn)內(nèi)部主機與外部站點的透膽連接,并對服務(wù)的通行實行嚴格控制。

(4)網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)。

防火墻利用NAT技術(shù)能透明地對所有內(nèi)部地址做轉(zhuǎn)換,使得外部網(wǎng)絡(luò)無法了解內(nèi)部網(wǎng)絡(luò)的內(nèi)部結(jié)構(gòu),同時允許內(nèi)部網(wǎng)絡(luò)使用自己編的IP源地址和專用網(wǎng)絡(luò),防火墻能詳盡記錄每一個主機的通信,確保每個分組送往正確的地址。

(5)Internet網(wǎng)關(guān)技術(shù)。

由于是直接串聯(lián)在網(wǎng)絡(luò)之中,防火墻必須支持用戶在Internet互聯(lián)的所有服務(wù),同時還要防止與Internet服務(wù)有關(guān)的安全漏洞,故它要能夠以多種安全的應(yīng)用服務(wù)器(包括FTP、Finger、mail、Ident、News、WWW等)來實現(xiàn)網(wǎng)關(guān)功能。為確保服務(wù)器的安全性,對所有的文件和命令均要利用“改變根系統(tǒng)調(diào)用(chroot)”做物理上的隔離。在域名服務(wù)方面,新一代防火墻采用兩種獨立的域名服務(wù)器:一種是內(nèi)部DNS服務(wù)器,主要處理內(nèi)部網(wǎng)絡(luò)和DNS信息;另一種是外部DNS服務(wù)器,專門用于處理機構(gòu)內(nèi)部向Internet提供的部分DNS信息。在匿名FTP方面,服務(wù)器只提供對有限的受保護的部分目錄的只讀訪問。在WWW服務(wù)器中,只支持靜態(tài)的網(wǎng)頁,而不允許圖形或CGI代碼等在防火墻內(nèi)運行。在Finger服務(wù)器中,對外部訪問,防火墻只提供可由內(nèi)部用戶配置的基本的文本信息,而不提供任何與攻擊有關(guān)的系統(tǒng)信息。SMTP與POP郵件服務(wù)器要對所有進、出防火墻的郵件做處理,并利用郵件映射與標(biāo)頭剝除的方法隱除內(nèi)部的郵件環(huán)境。Ident服務(wù)器對用戶連接的識別做專門處理,網(wǎng)絡(luò)新聞服務(wù)則為接收來自ISP的新聞開設(shè)了專門的磁盤空間。

(6)安全服務(wù)器網(wǎng)絡(luò)(SSN)。

為了適應(yīng)越來越多的用戶向Internet上提供服務(wù)時對服務(wù)器的需要,新一代防火墻采用分別保護的策略對用戶上網(wǎng)的對外服務(wù)器實施保護,它利用一張網(wǎng)卡將對外服務(wù)器作為一個獨立網(wǎng)絡(luò)處理,對外服務(wù)器既是內(nèi)部網(wǎng)絡(luò)的一部分,又與內(nèi)部網(wǎng)關(guān)完全隔離,這就是安全服務(wù)器網(wǎng)絡(luò)(SSN)技術(shù)。而對SSN上的主機既可單獨管理,也可設(shè)置成通過FTP、Telnet等方式從內(nèi)部網(wǎng)上管理。SSN方法提供的安全性要比傳統(tǒng)的“隔離區(qū)(DMZ)”方法好得多,因為SSN與外部網(wǎng)之間有防火墻保護,SSN與內(nèi)部網(wǎng)之間也有防火墻的保護,而DMZ只是一種在內(nèi)、外部網(wǎng)絡(luò)網(wǎng)關(guān)之間存在的一種防火墻方式。換言之,一旦SSN受破壞,內(nèi)部網(wǎng)絡(luò)仍會處于防火墻的保護之下,而一旦DMZ受到破壞,內(nèi)部網(wǎng)絡(luò)便暴露于攻擊之下。

(7)用戶鑒別與加密。

為了降低防火墻產(chǎn)品在Ielnet、FTP等服務(wù)和遠程管理上的安全風(fēng)險,鑒別功能必不可少。新一代防火墻采用一次性使用的口令系統(tǒng)來作為用戶的鑒別手段,并實現(xiàn)了對郵件的加密。

(8)用戶定制服務(wù)。

為了滿足特定用戶的特定需求,新一代防火墻在提供眾多服務(wù)的同時,還為用戶定制提供支持,這類選項有:通用TCP、出站UDP、FTP、SMTP等,如果某一用戶需要建立一個數(shù)據(jù)庫的,便可以利用這些支持,方便設(shè)置。

(9)審計和告警。

新一代防火墻產(chǎn)品采用的審計和告警功能十分健全,日志文件包括:一般信息、內(nèi)核信息、核心信息、接收郵件、郵件路徑、發(fā)送郵件、已收消息、已發(fā)消息、連接需求、已鑒別的訪問、告警條件、管理日志、進站、FTP、出站、郵件服務(wù)器、域名服務(wù)器等。告警功能會守住每一個TCP或UDP探尋,并能以發(fā)出郵件、聲響等多種方式報警。此外,防火墻還在網(wǎng)絡(luò)診斷、數(shù)據(jù)備份保全等方面具有特色。

目前的防火墻主要有兩種類型。其一是包過濾型防火墻。它一般由路由器實現(xiàn)，故也被稱為包過濾路由器。它在網(wǎng)絡(luò)層對進入和出去內(nèi)部網(wǎng)絡(luò)的所有信息進行分析，一般檢查數(shù)據(jù)包的IP源地址、IP目標(biāo)地址、TCP端口號、ICMP消息類型，并按照信息過濾規(guī)則進行篩選，若符合規(guī)則，則允許該數(shù)據(jù)包通過防火墻進入內(nèi)部網(wǎng)，否則進行報警或通知管理員，并且丟棄該包。這樣一來，路由器能根據(jù)特定的劌則允許或拒絕流動的數(shù)據(jù)，如：Telnet服務(wù)器在TCP的23號端口監(jiān)聽遠程連接，若管理員想阻塞所有進入的Telnet連接，過濾規(guī)則只需設(shè)為丟棄所有的TCP端口號為23的數(shù)據(jù)包。采用這種技術(shù)的防火墻速度快，實現(xiàn)方便，但由于它是通過IP地址來判斷數(shù)據(jù)包是否允許通過，沒有基于用戶的認證，而IP地址可以偽造成可信任的外部主機地址，另外它不能提供日志，這樣一來就無法發(fā)現(xiàn)黑客的攻擊紀錄。

其二是應(yīng)用級防火墻。大多數(shù)的應(yīng)用級防火墻產(chǎn)品使用的是應(yīng)用機制，內(nèi)置了應(yīng)用程序，可用服務(wù)器作內(nèi)部網(wǎng)和Internet之間的的轉(zhuǎn)換。若外部網(wǎng)的用戶要訪問內(nèi)部網(wǎng)，它只能到達服務(wù)器，若符合條件，服務(wù)器會到內(nèi)部網(wǎng)取出所需的信息，轉(zhuǎn)發(fā)出去。同樣道理，內(nèi)部網(wǎng)要訪問Internet,也要通過服務(wù)器的轉(zhuǎn)接，這樣能監(jiān)控內(nèi)部用戶訪問Internet.這類防火墻能詳細記錄所有的訪問紀錄，但它不允許內(nèi)部用戶直接訪問外部，會使速度變慢。且需要對每一個特定的Internet服務(wù)安裝相應(yīng)的服務(wù)器軟件，用戶無法使用未被服務(wù)器支持的服務(wù)。

防火墻技術(shù)從其功能上來分，還可以分為FTP防火墻、Telnet防火墻、Email防火墻、病毒防火墻等等。通常幾種防火墻技術(shù)被一起使用，以彌補各自的缺陷和增加系統(tǒng)的安全性能。

防火墻雖然能對外部網(wǎng)絡(luò)的功擊實施有效的防護，但對來自內(nèi)部網(wǎng)絡(luò)的功擊卻無能為力。網(wǎng)絡(luò)安全單靠防火墻是不夠的，還需考慮其它技術(shù)和非技術(shù)的因素，如信息加密技術(shù)、制訂法規(guī)、提高網(wǎng)絡(luò)管理使用人員的安全意識等。就防火墻本身來看，包過濾技術(shù)和訪問模式等都有一定的局限性，因此人們正在尋找更有效的防火墻，如加密路由器、“身份證”、安全內(nèi)核等。但實踐證明，防火墻仍然是網(wǎng)絡(luò)安全中最成熟的一種技術(shù)。

二、數(shù)據(jù)加密技術(shù)

在電子商務(wù)中，信息加密技術(shù)是其它安全技術(shù)的基礎(chǔ)，加密技術(shù)是指通過使用代碼或密碼將某些重要信息和數(shù)據(jù)從一個可以理解的明文形式變換成一種復(fù)雜錯亂的、不可理解的密文形式（即加密），在線路上傳送或在數(shù)據(jù)庫中存儲，其他用戶再將密文還原成明文（即解密），從而保障信息數(shù)據(jù)的安全性。

數(shù)據(jù)加密的方法很多，常用的有兩大類。一種是對稱加密。一種是非對稱密鑰加密。對稱加密也叫秘密密鑰加密。發(fā)送方用密鑰加密明文，傳送給接收方，接收方用同一密鑰解密。其特點是加密和解密使用的是同一個密鑰。典型的代表是美國國家安全局的DES。它是IBM于1971年開始研制，1977年美國標(biāo)準局正式頒布其為加密標(biāo)準，這種方法使用簡單，加密解密速度快，適合于大量信息的加密。但存在幾個問題：第一，不能保證也無法知道密鑰在傳輸中的安全。若密鑰泄漏，黑客可用它解密信息，也可假冒一方做壞事。第二，假設(shè)每對交易方用不同的密鑰，N對交易方需要N*(N-1)/2個密鑰，難于管理。第三，不能鑒別數(shù)據(jù)的完整性。

非對稱密鑰加密也叫公開密鑰加密。公鑰加密法是在對數(shù)據(jù)加解密時，使用不同的密鑰，在通信雙方各具有兩把密鑰，一把公鑰和一把密鑰。公鑰對外界公開，私鑰自己保管，用公鑰加密的信息，只能用對應(yīng)的私鑰解密，同樣地，用私鑰解密的數(shù)據(jù)只能用對應(yīng)的公鑰解密。具體加密傳輸過程如下：

（1）發(fā)送方甲用接收方乙的公鑰加密自己的私鑰。

（2）發(fā)送方家用自己的私鑰加密文件，然后將加密后的私鑰和文件傳輸給接收方。

（3）接收方乙用自己的私鑰解密，得到甲的私鑰。

（4）接收方乙用甲的公鑰解密，得到明文。

這個過程包含了兩個加密解密過程：密鑰的加解密和文件本身的加解密。在密鑰的加密過程中，由于發(fā)送方甲用乙的公鑰加密了自己的私鑰，如果文件被竊取，由于只有乙保管自己的私鑰，黑客無法解密。這就保證了信息的機密性。另外，發(fā)送方甲用自己的私鑰加密信息，因為信息是用甲的私鑰加密，只有甲保管它，可以認定信息是甲發(fā)出的，而且沒有甲的私鑰不能修改數(shù)據(jù)?？梢员ＷC信息的不可抵賴性。

第9篇：電子商務(wù)安全范文

關(guān)鍵詞： 電子商務(wù) 安全套接層協(xié)議 安全電子交易 認證中心

1 電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國迅速發(fā)展。實現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。電子商務(wù)交易雙方（銷售者和消費者）都面臨安全威脅。電子商務(wù)的安全要素主要體現(xiàn)在以下幾個方面：

信息有效性、真實性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實性將直接關(guān)系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

信息機密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務(wù)是建立在一個較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

信息完整性

電子商務(wù)簡化了貿(mào)易過程，減少了人為的干預(yù)，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲及電子商務(wù)完整性檢查的正確和可靠。

信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當(dāng)?shù)鼐芙^；不可否認要求即是能建立有效的責(zé)任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標(biāo)識。在1nternet上每個人都是匿名的。原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

2 電子商務(wù)的安全技術(shù)討論

2．1 電子商務(wù)的安全技術(shù)之一-----數(shù)據(jù)加密技術(shù)

加密技術(shù)用于網(wǎng)絡(luò)安全通常有二種形式，即面向網(wǎng)絡(luò)或面向應(yīng)用服務(wù)。

面向網(wǎng)絡(luò)的加密技術(shù)通常工作在網(wǎng)絡(luò)層或傳輸層，使用經(jīng)過加密的數(shù)據(jù)包傳送、認證網(wǎng)絡(luò)路由及其他網(wǎng)絡(luò)協(xié)議所需的信息，從而保證網(wǎng)絡(luò)的連通性和可用性不受損害。在網(wǎng)絡(luò)層上實現(xiàn)的加密技術(shù)對于網(wǎng)絡(luò)應(yīng)用層的用戶通常是透明的。此外，通過適當(dāng)?shù)拿荑€管理機制，使用這一方法還可以在公用的互聯(lián)網(wǎng)絡(luò)上建立虛擬專用網(wǎng)絡(luò)并保障虛擬專用網(wǎng)上信息的安全性。

面向網(wǎng)絡(luò)應(yīng)用服務(wù)的加密技術(shù)使用則是目前較為流行的加密技術(shù)的使用方法，例如使用kerberos服務(wù)的telnet、nfs、rlogion等，以及用作電子郵件加密的pem（privacy enhanced mail）和pgp（pretty good privacy）。這一類加密技術(shù)的優(yōu)點在于實現(xiàn)相對較為簡單，不需要對電子信息（數(shù)據(jù)包）所經(jīng)過的網(wǎng)絡(luò)的安全性能提出特殊要求，對電子郵件數(shù)據(jù)實現(xiàn)了端到端的安全保障。

1） 常用的加密技術(shù)分類：

對稱密鑰密碼算法

對稱（傳統(tǒng)）密碼體制是從傳統(tǒng)的簡單換位代替密碼發(fā)展而來的，自1977年美國頒布des密碼算法作為美國數(shù)據(jù)加密標(biāo)準以來，對稱密鑰密碼體制得到了迅猛發(fā)展，得到了世界各國關(guān)注和使用。對稱密鑰密碼體制從加密模式上可分為序列密碼和分組密碼兩大類。

不對稱型加密算法

也稱公用密鑰算法，其特點是有二個密鑰即公用密鑰和私有密鑰，只有二者配合使用才能完成加密和解密的全過程。

由于不對稱算法擁有二個密鑰，因此它特別適用于分布式系統(tǒng)中的數(shù)據(jù)加密，在Internet中得到了廣泛應(yīng)用。其中公用密鑰在網(wǎng)上公布，為數(shù)據(jù)源對數(shù)據(jù)加密使用，而用于解密的相應(yīng)私有密鑰則由數(shù)據(jù)的收信方妥善保管。

不可逆加密算法

其特征是加密過程不需要密鑰，并且經(jīng)過加密的數(shù)據(jù)無法被解密，只有同樣的輸入數(shù)據(jù)經(jīng)過同樣的不可逆加密算法才能得到相同的加密數(shù)據(jù)。不可逆加密算法不存在密鑰保管和分發(fā)問題，適合于分布式網(wǎng)絡(luò)系統(tǒng)上使用，但是其加密計算工作量大，所以通常用于數(shù)據(jù)量有限的情形的加密，例如計算機系統(tǒng)中的口令的加密。

2） 電子商務(wù)領(lǐng)域常用的加密技術(shù)

數(shù)字摘要(digital digest)

這一加密方法亦稱安全Hash編碼法，由Ron Rivest所設(shè)計。該編碼法采用單向Hash 函數(shù)將需加密的明文"摘要"成一串128bit的密文，這一串密文亦稱為數(shù)字指紋(Finger Print)，它有固定的長度，且不同的明文摘要成密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。這樣這串摘要便可成為驗證明文是否是"真身"的"指紋"了。

數(shù)字簽名(digital signature)

數(shù)字簽名將數(shù)字摘要、公用密鑰算法兩種加密方法結(jié)合起來使用。在書面文件上簽名是確認文件的一種手段，簽名的作用有兩點，一是因為自己的簽名難以否認，從而確認了文件已簽署這一事實；二是因為簽名不易仿冒，從而確定了文件是真的這一事實。

數(shù)字時間戳(digital time-stamp)

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數(shù)字時間戳服務(wù)(DTS)就能提供電子文件發(fā)表時間的安全保護。

數(shù)字時間戳服務(wù)(DTS)是網(wǎng)上安全服務(wù)項目，由專門的機構(gòu)提供。時間戳(time-stamp) 是一個經(jīng)加密后形成的憑證文檔，它包括三個部分：1)需加時間戳的文件的摘要(digest)，2)DTS收到文件的日期和時間，3)DTS的數(shù)字簽名。

數(shù)字證書(digital certificate，digital ID)

數(shù)字證書又稱為數(shù)字憑證，是用電子手段來證實一個用戶的身份和對網(wǎng)絡(luò)資源的訪問的權(quán)限。

數(shù)字憑證有三種類型：

·個人憑證(Personal Digital ID)

·企業(yè)（服務(wù)器）憑證(Server ID)

·軟件（開發(fā)者）憑證(Developer ID)

上述三類憑證中前二類是常用的憑證，第三類則用于較特殊的場合，大部分認證中心提供前兩類憑證。

3） 與電子商務(wù)安全有關(guān)的協(xié)議技術(shù)討論：

SSL協(xié)議（Secure Sockets Layer）安全套接層協(xié)議

------面向連接的協(xié)議，當(dāng)初不是為電子商務(wù)而設(shè)計

SSL協(xié)議主要是使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護信息傳輸?shù)臋C密性和完整性，它不能保證信息的不可抵賴性，主要適用于點對點之間的信息傳輸，常用Web Server方式。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如HTTP、FTP、TELNET等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩?。SSL協(xié)議獨立于應(yīng)用層協(xié)議，因此，在電子交易中被用來安全傳送信用卡號碼。

SSL的應(yīng)用及局限：中國目前多家銀行均采用SSL協(xié)議，從目前實際使用的情況來看，SSL還是人們最信賴的協(xié)議。但是SSL當(dāng)初并不是為支持電子商務(wù)而設(shè)計的，所以在電子商務(wù)系統(tǒng)的應(yīng)用中還存在很多弊端。它是一個面向連接的協(xié)議，在涉及多方的電子交易中，只能提供交易中客戶與服務(wù)器間的雙方認證，而電子商務(wù)往往是用戶、網(wǎng)站、銀行三家協(xié)作完成， SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系；還有，購貨時用戶要輸入通信地址，這樣將可能使得用戶收到大量垃圾信件。

SET協(xié)議（Secure Electronic Transaction）安全電子交易

------專門為電子商務(wù)而設(shè)計的協(xié)議，但仍然不能解決電子商務(wù)所遇到全部問題

電子商務(wù)在提供機遇和便利的同時，也面臨著一個最大的挑戰(zhàn)，即交易的安全問題。在網(wǎng)上購物的環(huán)境中，持卡人希望在交易中保密自己的帳戶信息，使之不被人盜用；商家則希望客戶的定單不可抵賴，并且，在交易過程中，交易各方都希望驗明其他方的身份，以防止被欺騙。針對這種情況，由美國Visa和MasterCard兩大信用卡組織聯(lián)合國際上多家科技機構(gòu)，共同制定了應(yīng)用于Internet上的以銀行卡為基礎(chǔ)進行在線交易的安全標(biāo)準，這就是"安全電子交易"（SET）。它采用公鑰密碼體制和X.509數(shù)字證書標(biāo)準，主要應(yīng)用于保障網(wǎng)上購物信息的安全性。 由于SET 提供了消費者、商家和銀行之間的認證，確保了交易數(shù)據(jù)的安全性、完整可靠性和交易的不可否認性，特別是保證不將消費者銀行卡號暴露給商家等優(yōu)點，因此它成為了目前公認的信用卡/借記卡的網(wǎng)上交易的國際安全標(biāo)準。

SET的局限性：SET是專門為電子商務(wù)而設(shè)計的協(xié)議，雖然它在很多方面優(yōu)于SSL協(xié)議，但仍然不能解決電子商務(wù)所遇到的全部問題。

2.2 電子商務(wù)的安全技術(shù)之二------身份認證技術(shù)

為解決Internet的安全問題，世界各國對其進行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI（Public Key Infrastructure公鑰基礎(chǔ)設(shè)施）體系結(jié)構(gòu)。PKI體系結(jié)構(gòu)采用證書管理公鑰，通過第三方的可信機構(gòu)CA，把用戶的公鑰和用戶的其他標(biāo)識信息（如名稱、e-mail、身份證號等）捆綁在一起，在Internet網(wǎng)上驗證用戶的身份，PKI體系結(jié)構(gòu)把公鑰密碼和對稱密碼結(jié)合起來，在Internet網(wǎng)上實現(xiàn)密鑰的自動管理，保證網(wǎng)上數(shù)據(jù)的機密性、完整性。

在電子交易中，無論是數(shù)字時間戳服務(wù)(DTS)還是數(shù)字證書(Digital ID)的發(fā)放，都不是靠交易的自己能完成的，而需要有一個具有權(quán)威性和公正性的第三方(third party)來完成。認證中心(Certificate Authority)就是承擔(dān)網(wǎng)上安全電子交易認證服務(wù)、能簽發(fā)數(shù)字證書、并能確認用戶身份的服務(wù)機構(gòu)。認證中心通常是企業(yè)性的服務(wù)機構(gòu)，主要任務(wù)是受理數(shù)字憑證的申請、簽發(fā)及對數(shù)字憑證的管理。認證中心依據(jù)認證操作規(guī)定(Certification Practice Statement)來實施服務(wù)操作。

1 ）認證系統(tǒng)的基本原理

利用RSA公開密鑰算法在密鑰自動管理、數(shù)字簽名、身份識別等方面的特性，可建立一個為用戶的公開密鑰提供擔(dān)保的可信的第三方認證系統(tǒng)。這個可信的第三方認證系統(tǒng)也稱為CA，CA為用戶發(fā)放電子證書，用戶之間（比如網(wǎng)銀服務(wù)器和某客戶之間）利用證書來保證信息安全性和雙方身份的合法性。

2 ）認證系統(tǒng)結(jié)構(gòu)

整個系統(tǒng)是一個大的網(wǎng)絡(luò)環(huán)境，系統(tǒng)從功能上基本可以劃分為CA、RA和Web Publisher。

核心系統(tǒng)根CA放在一個單獨的封閉空間中，為了保證運行的絕對安全，其人員及制度都有嚴格的規(guī)定，并且系統(tǒng)設(shè)計為一離線網(wǎng)絡(luò)。CA的功能是在收到來自RA的證書請求時，頒發(fā)證書。一般的個人證書發(fā)放過程都是自動進行，無須人工干預(yù)。

證書的登記機構(gòu)Register Authority，簡稱RA，分散在各個網(wǎng)上銀行的地區(qū)中心。RA與網(wǎng)銀中心有機結(jié)合，接受客戶申請，并審批申請，把證書正式請求通過建設(shè)銀行企業(yè)內(nèi)部網(wǎng)發(fā)送給CA中心。RA與CA雙方的通信報文也通過RSA進行加密，確保安全。系統(tǒng)的分布式結(jié)構(gòu)適于新業(yè)務(wù)網(wǎng)點的開設(shè)，具有較好的擴充性。通信協(xié)議為TCP/IP。

證書的公布系統(tǒng)Web Publisher，簡稱WP，置于Internet網(wǎng)上，是普通用戶和CA直接交流的界面。對用戶來講它相當(dāng)于一個在線的證書數(shù)據(jù)庫。用戶的證書由CA頒發(fā)之后，CA用E－mail通知用戶，然后用戶須用瀏覽器從這里下載證書。

證書鏈服務(wù)（有時也稱"交叉認證"）是一個CA擴展其信任范圍或被認可范圍的一種實現(xiàn)機制。如果企業(yè)或機構(gòu)已經(jīng)建立了自己的CA系統(tǒng)，通過第三方認證中心對該機構(gòu)或企業(yè)的CA簽發(fā)CA證書，能夠使得該企業(yè)或機構(gòu)的CA發(fā)放的證書被所有信任第三方認證中心的瀏覽器、郵件客戶所信任。

3） 中國金融認證中心CFCA的建設(shè)情況

中國對電子商務(wù)的發(fā)展也給予了應(yīng)有的重視。中國金融認證中心CFCA（China Financial Certificate Authority）。已于2000年6月29日開始對社會各界提供證書服務(wù)，系統(tǒng)進入運行狀態(tài)。中國金融認證中心作為一個權(quán)威的、可信賴的、公正的第三方信任機構(gòu)，為參與電子商務(wù)各方的各種認證需求提供證書服務(wù)，建立彼此的信任機制，為全國范圍內(nèi)的電子商務(wù)及網(wǎng)上銀行等網(wǎng)上支付業(yè)務(wù)提供多種模式的認證服務(wù)，在不遠的將來實現(xiàn)與國外CA的交叉認證。

2．3電子商務(wù)的安全技術(shù)之三 網(wǎng)上支付平臺及支付網(wǎng)關(guān)

網(wǎng)上支付平臺 分為CTEC支付體系（基于CTCA/GDCS）和SET支付體系（基于CTCA/SET）。網(wǎng)上支付平臺支付型電子商務(wù)業(yè)務(wù)提供各種支付手段，包括基于SET標(biāo)準的信用卡支付方式、以及符合CTEC標(biāo)準的各種支付手段。

目前，在國內(nèi)可以提供網(wǎng)上支付功能服務(wù)或者網(wǎng)上支付網(wǎng)關(guān)接口的銀行有：

中國工商銀行牡丹卡

中國銀行長城借記卡

中國銀行長城信用卡

招商銀行一網(wǎng)通卡

中國建設(shè)銀行龍卡

MASTER/VISA/JCB卡（適用全球）

上述除中國銀行長城借記卡則采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付網(wǎng)關(guān) 位于公網(wǎng)和傳統(tǒng)的銀行網(wǎng)絡(luò)之間，其主要功能為：將公網(wǎng)傳來的數(shù)據(jù)包解密，并按照銀行系統(tǒng)內(nèi)部的通信協(xié)議將數(shù)據(jù)重新打包；接收銀行系統(tǒng)內(nèi)部的傳回來的響應(yīng)消息，將數(shù)據(jù)轉(zhuǎn)換為公網(wǎng)傳送的數(shù)據(jù)格式，并對其進行加密。即支付網(wǎng)關(guān)主要完成通信、協(xié)議轉(zhuǎn)換和數(shù)據(jù)加解密功能，并且可以保護銀行內(nèi)部網(wǎng)絡(luò)。此外，支付網(wǎng)關(guān)還具有密鑰保護和證書管理等其它功能。

3 小結(jié)

本文分析了目前電子商務(wù)領(lǐng)域所使用的安全技術(shù)：數(shù)據(jù)加密技術(shù)，身份認證技術(shù) ，網(wǎng)上支付平臺及支付網(wǎng)關(guān)，指出了它們分別的使用范圍及其優(yōu)缺點，但必須強調(diào)說明的是，電子商務(wù)的安全運行，僅從技術(shù)角度防范是遠遠不夠的，還必須完善電子商務(wù)立法，以規(guī)范飛速發(fā)展的電子商務(wù)現(xiàn)實中存在的各類問題，從而引導(dǎo)和促進我國電子商務(wù)快速健康發(fā)展。

參考文獻

1 覃征編著. 電子商務(wù)導(dǎo)論. 第一版. 北京：人民郵電出版社，2001