引言：易發(fā)表網(wǎng)憑借豐富的文秘實(shí)踐，為您精心挑選了九篇電子商務(wù)安全論文范例。如需獲取更多原創(chuàng)內(nèi)容，可隨時(shí)聯(lián)系我們的客服老師。

第1篇

關(guān)鍵詞：電子商務(wù)；身份認(rèn)證；防火墻

1引言

電子商務(wù)可以增加銷售額并降低成本的優(yōu)勢(shì)，使得政府與企業(yè)都十分重視并推動(dòng)電子商務(wù)的建設(shè)和發(fā)展。電子商務(wù)發(fā)展到今天,主要問題在于時(shí)空的分離導(dǎo)致了安全問題的出現(xiàn),信息的安全性是當(dāng)前發(fā)展電子商務(wù)最迫切需要解決的問題之一。研究和分析電子商務(wù)的安全性問題,特別是針對(duì)企業(yè)自身情況,充分借鑒以往電子商務(wù)系統(tǒng)開發(fā)的先進(jìn)技術(shù)和經(jīng)驗(yàn),開發(fā)出符合企業(yè)特殊的電子商務(wù)系統(tǒng),已經(jīng)成為目前發(fā)展電子商務(wù)的關(guān)鍵，而安全體系的構(gòu)建顯得尤為重要。

2電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國迅速發(fā)展。實(shí)現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動(dòng)過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對(duì)面的，因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。時(shí)空的分離導(dǎo)致了安全問題的出現(xiàn)，電子商務(wù)交易雙方（銷售者和消費(fèi)者）都面臨安全威脅，電子商務(wù)的安全要素主要體現(xiàn)在以下幾個(gè)方面：

2.1信息真實(shí)性、有效性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實(shí)性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實(shí)性將直接關(guān)系到個(gè)人、企業(yè)或國家的經(jīng)濟(jì)利益和聲譽(yù)。

2.2信息機(jī)密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個(gè)人、企業(yè)或國家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報(bào)文來達(dá)到保守機(jī)密的目的。電子商務(wù)是建立在一個(gè)較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

3.3信息完整性

電子商務(wù)簡化了貿(mào)易過程，減少了人為的干預(yù)，同時(shí)也帶來維護(hù)商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲(chǔ)及電子商務(wù)完整性檢查的正確和可靠。

3.4信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^；不可否認(rèn)要求即是能建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個(gè)人、企業(yè)或國家提供可靠的標(biāo)識(shí)。在1nternet上每個(gè)人都是匿名的，電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

3電子商務(wù)安全系統(tǒng)

網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。為了保證電子商務(wù)交易能順利進(jìn)行，要求電子商務(wù)平臺(tái)要穩(wěn)定可靠，能不中斷地提供服務(wù)。任何系統(tǒng)的中斷，如硬件、軟件錯(cuò)誤，網(wǎng)絡(luò)故障、病毒等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時(shí)刻和地點(diǎn)的有效性得不到保證，往往會(huì)造成巨大的經(jīng)濟(jì)損失。

所以就整個(gè)電子商務(wù)安全系統(tǒng)而言，安全性可以劃分為四個(gè)層次，

1)網(wǎng)絡(luò)節(jié)點(diǎn)的安全

2)通訊的安全性

3)應(yīng)用程序的安全性

4)用戶的認(rèn)證管理

其中2、3、4是通過操作系統(tǒng)和Web服務(wù)器軟件實(shí)現(xiàn)，而網(wǎng)絡(luò)節(jié)點(diǎn)的安全性依靠防火墻保證，我們應(yīng)該首先保證網(wǎng)絡(luò)節(jié)點(diǎn)的安全性。

3.1網(wǎng)絡(luò)節(jié)點(diǎn)的安全

防火墻是一種由計(jì)算機(jī)硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個(gè)安全網(wǎng)關(guān)，從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入，它其實(shí)就是一個(gè)把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊，為電子商務(wù)的施展提供個(gè)相對(duì)更安全的平臺(tái)。

防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運(yùn)用這些功能，制定正確的安全策略，將能提供一個(gè)安全、高效的Intranet系統(tǒng)。應(yīng)給予特別注意的是，防火墻不僅僅是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個(gè)部分。安全策略建立了全方位的防御體系來保護(hù)機(jī)構(gòu)的信息資源，這種安全策略應(yīng)包括：規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施，以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級(jí)別加以保護(hù)。僅設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。

3.2通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強(qiáng)度，也可以考慮將加密強(qiáng)度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機(jī)制，SSL首先要求服務(wù)器向?yàn)g覽器出示它的證書，證書包括一個(gè)公鑰，由一家可信證書授權(quán)機(jī)構(gòu)（CA中心）簽發(fā)。瀏覽器要驗(yàn)征服務(wù)器證書的正確性，必須事先安裝簽發(fā)機(jī)構(gòu)提供的基礎(chǔ)公共密鑰（PKI）。建立SSL鏈接不需要一定有個(gè)人證書，實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書（下載可以在訪問之前或訪問時(shí)）。驗(yàn)證此證書是合法的服務(wù)器證書通過后利用該證書對(duì)稱加密算法（RSA）與服務(wù)器協(xié)商一個(gè)對(duì)稱算法及密鑰，然后用此對(duì)稱算法加密傳輸?shù)拿魑?。此時(shí)瀏覽器也會(huì)出進(jìn)入安全狀態(tài)的提示。

3.3應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計(jì)算機(jī)系統(tǒng)的安全性也是不充分的，因?yàn)榫幊体e(cuò)誤也可能引致攻擊。程序錯(cuò)誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時(shí)；程序員忘記最小特權(quán)的基本原則。整個(gè)程序都是在特權(quán)模式下運(yùn)行，而不是只有有限的指令子集在特權(quán)模式下運(yùn)行，其他的部分只有縮小的許可；程序員從這個(gè)特權(quán)程序使用范圍內(nèi)建立一個(gè)資源，如一個(gè)文件和目錄。不是顯式地設(shè)置訪問控制（最少許可），程序員認(rèn)為這個(gè)缺省的許可是正確的。

這些缺點(diǎn)都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個(gè)過長的字符串來實(shí)現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令，特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個(gè)用戶并賦予這個(gè)用戶特權(quán)。訪問控制系統(tǒng)中沒有什么可以檢測(cè)到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現(xiàn)象這些問題一樣的錯(cuò)誤。

3.4用戶的認(rèn)證管理

1)身份認(rèn)證

電子商務(wù)企業(yè)用戶身份認(rèn)證可以通過服務(wù)器CA證書與IC卡相結(jié)合實(shí)現(xiàn)的。CA證書用來認(rèn)證服務(wù)器的身份，IC卡用來認(rèn)證企業(yè)用戶的身份。個(gè)人用戶由于沒有提供交易功能，所以只采用ID號(hào)和密碼口令的身份確認(rèn)機(jī)制。

2)CA證書

要在網(wǎng)上確認(rèn)交易各方的身份以及保證交易的不可否認(rèn)性，需要一份數(shù)字證書進(jìn)行驗(yàn)證，這份數(shù)字證書就是CA證書，它由認(rèn)證授權(quán)中心（CA中心）發(fā)行。認(rèn)證中心（CA）就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu)，主要任務(wù)是受理數(shù)字證書的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書的管理。CA中心一般是社會(huì)公認(rèn)的可靠組織，它對(duì)個(gè)人、組織進(jìn)行審核后，為其發(fā)放數(shù)字證書，證書分為服務(wù)器證書和個(gè)人證書。建立SSL安全鏈接不需要一定有個(gè)人證書，實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書（下載可以在訪問之前或訪問時(shí)進(jìn)行）。

3)安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

SSL通過數(shù)字簽名和數(shù)字證書來實(shí)行身份驗(yàn)證，數(shù)字證書是從認(rèn)證機(jī)構(gòu)（CA，CertificateAuthority）獲得的，通常包含有唯一標(biāo)識(shí)證書所有者的名稱、唯一標(biāo)識(shí)證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號(hào)等。在用數(shù)字證書對(duì)雙方的身份驗(yàn)證后，雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如Http、Ftp、Telnet等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩浴?/p>

SSL協(xié)議握手流程由兩個(gè)階段組成：服務(wù)器認(rèn)證和用戶認(rèn)證。

①服務(wù)器認(rèn)證

客戶端向服務(wù)器發(fā)送一個(gè)“Hello”信息，以便開始一個(gè)新的會(huì)話連接；服務(wù)器根據(jù)客戶的信息確定是否需要生成新的主密鑰，如需要?jiǎng)t服務(wù)器在響應(yīng)客戶的“Hello”信息時(shí)將包含生成主密鑰所需的信息；客戶根據(jù)收到的服務(wù)器響應(yīng)信息，產(chǎn)生一個(gè)主密鑰，并用服務(wù)器的公開密鑰加密后傳給服務(wù)器；服務(wù)器恢復(fù)該主密鑰，并返回給客戶一個(gè)用主密鑰認(rèn)證的信息，以此讓客戶認(rèn)證服務(wù)器。這樣通過主密鑰引出的密鑰對(duì)一系列數(shù)據(jù)進(jìn)行加密來認(rèn)證服務(wù)器，從而建立安全的通信通道。

②用戶認(rèn)證

經(jīng)認(rèn)證的服務(wù)器發(fā)送一個(gè)提問給客戶，客戶則返回?cái)?shù)字簽名后的提問和其公開密鑰，從而向服務(wù)器提供認(rèn)證。SSL協(xié)議支持各種加密算法，實(shí)現(xiàn)簡單，獨(dú)立于應(yīng)用層協(xié)議，且被大部分瀏覽器和Web服務(wù)器內(nèi)置，便于在電子交易中應(yīng)用。但SSL是一個(gè)面向連接的協(xié)議，起初并不是為了支持電子商務(wù)而設(shè)計(jì)的，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，在涉及多方的電子交易中，SSL協(xié)議不能協(xié)調(diào)各方面的安全傳輸和信任關(guān)系。為此，開發(fā)出了在網(wǎng)絡(luò)應(yīng)用層中專為電子商務(wù)而設(shè)計(jì)的SET協(xié)議。

4安全管理

為了確保系統(tǒng)的安全性，除了采用上述技術(shù)手段外，還必須建立嚴(yán)格的內(nèi)部安全機(jī)制。對(duì)于所有接觸系統(tǒng)的人員，按其職責(zé)設(shè)定其訪問系統(tǒng)的最小權(quán)限。按照分級(jí)管理原則，嚴(yán)格管理內(nèi)部用戶帳號(hào)和密碼，進(jìn)入系統(tǒng)內(nèi)部必須通過嚴(yán)格的身份確認(rèn)，防止非法占用、冒用合法用戶帳號(hào)和密碼。

建立網(wǎng)絡(luò)安全維護(hù)日志，記錄與安全性相關(guān)的信息及事件，有情況出現(xiàn)時(shí)便于跟蹤查詢。定期檢查日志，以便及時(shí)發(fā)現(xiàn)潛在的安全威脅。

對(duì)于重要數(shù)據(jù)要及時(shí)進(jìn)行備份，且對(duì)數(shù)據(jù)庫中存放的數(shù)據(jù)，數(shù)據(jù)庫系統(tǒng)應(yīng)視其重要性提供不同級(jí)別的數(shù)據(jù)加密。

5結(jié)束語

安全實(shí)際上就是一種風(fēng)險(xiǎn)管理。任何技術(shù)手段都不能保證1OO％的安全。但是，安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險(xiǎn)。決定采用什么安全策略取決于系統(tǒng)的風(fēng)險(xiǎn)要控制在什么程度范圍內(nèi)。電子商務(wù)的安全運(yùn)行必須從多方面入手，僅在技術(shù)角度防范是遠(yuǎn)遠(yuǎn)不夠的。安全只是相對(duì)的，而不是絕對(duì)的。因此，為進(jìn)一步促進(jìn)電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展，必須在實(shí)際運(yùn)用中解決電子商務(wù)中出現(xiàn)的各類問題，使電子商務(wù)系統(tǒng)相對(duì)更安全。

參考文獻(xiàn):

[1]吳洋.電子商務(wù)安全方法研究[D].天津大學(xué),2006.

[2]李艷.電子商務(wù)信息安全策略研究[J].甘肅科技,2005,(06)

[3]成衛(wèi)青,龔儉.網(wǎng)絡(luò)安全評(píng)估[J].計(jì)算機(jī)工程,2003,(02).

第2篇

隨著網(wǎng)絡(luò)的不斷普及和電子商務(wù)的迅猛發(fā)展，電子商務(wù)這種商務(wù)活動(dòng)新模式已經(jīng)逐漸改變了人們的經(jīng)濟(jì)活動(dòng)方式、工作方式和生活本論文由整理提供方式，越來越多的人們開始接受并喜愛網(wǎng)上購物，可是，電子商務(wù)發(fā)展的瓶頸——安全問題依然是制約人們進(jìn)行電子商務(wù)交易的最大問題，因此，安全問題是電子商務(wù)的核心問題，是實(shí)現(xiàn)和保證電子商務(wù)順利進(jìn)行的關(guān)鍵所在。校園電子商務(wù)是電子商務(wù)在校園環(huán)境下的具體應(yīng)用與實(shí)現(xiàn)，其安全性也同樣是其發(fā)展所不容忽視的關(guān)鍵問題，因此應(yīng)當(dāng)著重研究。

1校園電子商務(wù)概述

1.1校園電子商務(wù)的概念。

校園電子商務(wù)是電子商務(wù)在校園這個(gè)特定環(huán)境下的具體應(yīng)用，它是指在校園范圍內(nèi)利用校園網(wǎng)絡(luò)基礎(chǔ)、計(jì)算機(jī)硬件、軟件和安全通信手段構(gòu)建的滿足于校本論文由整理提供園內(nèi)單位、企業(yè)和個(gè)人進(jìn)行商務(wù)、工作、學(xué)習(xí)、生活各方面活動(dòng)需要的一個(gè)高可用性、伸縮性和安全性的計(jì)算機(jī)系統(tǒng)。

1.2校園電子商務(wù)的特點(diǎn)。

相對(duì)于一般電子商務(wù)，校園電子商務(wù)具有客戶群本論文由整理提供穩(wěn)定、網(wǎng)絡(luò)環(huán)境優(yōu)良、物流配送方便、信用機(jī)制良好、服務(wù)性大于盈利性等特點(diǎn)，這些特點(diǎn)也是校園開展電子商務(wù)的優(yōu)勢(shì)所在。與傳統(tǒng)校園商務(wù)活動(dòng)相比，校園電子商務(wù)的特點(diǎn)有：交易不受時(shí)間空間限制、快捷方便、交易成本較低。

2校園電子商務(wù)的安全問題

2.1校園電子商務(wù)安全的內(nèi)容。

校園電子商務(wù)安全內(nèi)容從整體上可分為兩大部分：校園網(wǎng)絡(luò)安全和校園支付交易安全。校園網(wǎng)絡(luò)安全內(nèi)容主要包括：計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備安全、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全、數(shù)據(jù)庫安全等。校園支付交易安全的內(nèi)容涉及傳統(tǒng)校園商務(wù)活動(dòng)在校園網(wǎng)應(yīng)用時(shí)所產(chǎn)生的各種安全問題，如網(wǎng)上交易信息、網(wǎng)上支付以及配送服務(wù)等。

2.2校園電子商務(wù)安全威脅。

校園電子商務(wù)安全威脅同樣來自網(wǎng)絡(luò)安全威脅與交易安全威脅。然而，網(wǎng)絡(luò)安全與交易安全并不是孤立的，而是密不可分且相輔相成的，網(wǎng)絡(luò)安全是基礎(chǔ)，是交易安全的保障。校園網(wǎng)也是一個(gè)開放性的網(wǎng)絡(luò)，它也面臨許許多多的安全威脅，比如：身份竊取、非本論文由整理提供授權(quán)訪問、冒充合法用戶、數(shù)據(jù)竊取、破壞數(shù)據(jù)的完整性、拒絕服務(wù)、交易否認(rèn)、數(shù)據(jù)流分析、旁路控制、干擾系統(tǒng)正常運(yùn)行、病毒與惡意攻擊、內(nèi)部人員的不規(guī)范使用和惡意破壞等。校園網(wǎng)的開放性也使得基于它的交易活動(dòng)的安全性受到嚴(yán)重的威脅，網(wǎng)上交易面臨的威脅可以歸納為：信息泄露、篡改信息、假冒和交易抵賴。信息泄露是非法用戶通過各種技術(shù)手段盜取或截獲交易信息致使信息的機(jī)密性遭到破壞；篡改信息是非法用戶對(duì)交易信息插入、刪除或修改，破壞信息的完整性；假冒是非法用戶冒充合法交易者以偽造交易信息；交易抵賴是交易雙方一方或否認(rèn)交易行為，交易抵賴也是校園電子商務(wù)安全面臨的主要威脅之一。

2.3校園電子商務(wù)安全的基本安全需求。

通過對(duì)校園電子商務(wù)安全威脅的分析，可以本論文由整理提供看出校園電子商務(wù)安全的基本要求是保證交易對(duì)象的身份真實(shí)性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否認(rèn)性。通過對(duì)校園電子商務(wù)系統(tǒng)的整體規(guī)劃可以提高其安全需求。

3校園電子商務(wù)安全解決方案

3.1校園電子商務(wù)安全體系結(jié)構(gòu)。

校園電子商務(wù)安全是一個(gè)復(fù)雜的系統(tǒng)工程，因此要從系統(tǒng)的角度對(duì)其進(jìn)行整體的規(guī)劃。根據(jù)校園電子商務(wù)的安全需求，通過對(duì)校園人文環(huán)境、網(wǎng)絡(luò)環(huán)境、應(yīng)用系統(tǒng)及管理等各方面的統(tǒng)籌考慮和規(guī)劃，再結(jié)合的電子商務(wù)的安全技術(shù)，總結(jié)校園電子商務(wù)安全體系本論文由整理提供結(jié)構(gòu)，如圖所示：

上述安全體系結(jié)構(gòu)中，人文環(huán)境層包括現(xiàn)有的電子商務(wù)法律法規(guī)以及校園電子商務(wù)特有的校園信息文化，它們綜合構(gòu)成了校園電子商務(wù)建設(shè)的大環(huán)境；基礎(chǔ)設(shè)施層包括校園網(wǎng)、虛擬專網(wǎng)VPN和認(rèn)證中心；邏輯實(shí)體層包括校園一卡通、支付網(wǎng)關(guān)、認(rèn)證服務(wù)器和本論文由整理提供交易服務(wù)器；安全機(jī)制層包括加密技術(shù)、認(rèn)證技術(shù)以及安全協(xié)議等電子商務(wù)安全機(jī)制；應(yīng)用系統(tǒng)層即校園電子商務(wù)平臺(tái)，包括網(wǎng)上交易、支付和配送服務(wù)等。

針對(duì)上述安全體系結(jié)構(gòu)，具體的方案有：

（1）營造良好校園人文環(huán)境。加強(qiáng)大學(xué)生本論文由整理提供的道德教育，培養(yǎng)校園電子商務(wù)參與者們的信息文化知識(shí)與素養(yǎng)、增強(qiáng)高校師生的法律意識(shí)和道德觀念，共

同營造良好的校園電子商務(wù)人文環(huán)境，防止人為惡意攻擊和破壞。

（2）建立良好網(wǎng)上支付環(huán)境。目前我國高校大都建立了校園一卡通工程，校園電子商務(wù)系統(tǒng)可以采用一卡通或校園電子帳戶作為網(wǎng)上支付的載體而不需要與銀行等金融系統(tǒng)互聯(lián)，由學(xué)校結(jié)算中心專門處理與金融機(jī)構(gòu)的業(yè)務(wù)，可以大大提高校園網(wǎng)上支付的安全性。

（3）建立統(tǒng)一身份認(rèn)證系統(tǒng)。建立校園統(tǒng)一身份認(rèn)證系統(tǒng)可以為校園電子商務(wù)系統(tǒng)提供安全認(rèn)證的功能。

（4）組織物流配送團(tuán)隊(duì)。校園師生居住地點(diǎn)相對(duì)集中，一般來說就在學(xué)校內(nèi)部或校園附近，只需要很少的人員就可以解決物流配送問題，而本論文由整理提供不需要委托第三方物流公司，在校園內(nèi)建立一個(gè)物流配送團(tuán)隊(duì)就可以準(zhǔn)確及時(shí)的完成配送服務(wù)。

3.2校園網(wǎng)絡(luò)安全對(duì)策。

保障校園網(wǎng)絡(luò)安全的主要措施有：

（1）防火墻技術(shù)。利用防火墻技術(shù)來實(shí)現(xiàn)校園局域網(wǎng)的安全性，以解決訪問控制問題，使只有授權(quán)的校園合法用戶才能對(duì)校園網(wǎng)的資源進(jìn)行訪問本論文由整理提供，防止來自外部互聯(lián)網(wǎng)對(duì)內(nèi)部網(wǎng)絡(luò)的破壞。

（2）病毒防治技術(shù)。在任何網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)病毒都具有不可估量的威脅性和破壞力，校園網(wǎng)雖然是局域網(wǎng)，可是免不了計(jì)算機(jī)病毒的威脅，因此，加強(qiáng)病毒防治是保障校園網(wǎng)絡(luò)安全的重要環(huán)節(jié)。

（3）VPN技術(shù)。目前，我國高校大都已經(jīng)建立了校園一卡通工程，如果能利用VPN技術(shù)建立校園一卡通專網(wǎng)就能大大提高校園信息安全、保證數(shù)據(jù)的本論文由整理提供安全傳輸。有效保證了網(wǎng)絡(luò)的安全性和穩(wěn)定性且易于維護(hù)和改進(jìn)。

3.3交易信息安全對(duì)策。

針對(duì)校園電子商務(wù)中交易信息安全問題，可以用電子商務(wù)的安全機(jī)制來解決，例如數(shù)據(jù)加密技術(shù)、認(rèn)證技術(shù)和安全協(xié)議技術(shù)等。通過數(shù)據(jù)加密，可以保證信息的機(jī)密性；通過采用數(shù)字摘要、數(shù)字簽名、數(shù)字信封、數(shù)字時(shí)間戳和數(shù)字證書等安全機(jī)制來解本論文由整理提供決信息的完整性和不可否認(rèn)性的問題；通過安全協(xié)議方法，建立安全信息傳輸通道來保證電子商務(wù)交易過程和數(shù)據(jù)的安全。

（1）數(shù)據(jù)加密技術(shù)。加密技術(shù)是電子商務(wù)中最基本的信息安全防范措施，其原理是利用一定的加密算法來保證數(shù)據(jù)的機(jī)密，主要有對(duì)稱加密和非對(duì)稱加密。對(duì)稱加密是常規(guī)的以口令為基礎(chǔ)的技術(shù)，加密運(yùn)算與解密運(yùn)算使用同樣的密鑰。不對(duì)稱加密，即加密密鑰不同于解密密鑰，加密密鑰公之于眾，而解密密鑰不公開。

（2）認(rèn)證技術(shù)。認(rèn)證技術(shù)是保證電子商務(wù)交易安全的一項(xiàng)重要技術(shù)，它是網(wǎng)上交易支付的前提，負(fù)責(zé)對(duì)交易各方的身份進(jìn)行確認(rèn)。在校園電子商務(wù)本論文由整理提供中，網(wǎng)上交易認(rèn)證可以通過校園統(tǒng)一身份認(rèn)證系統(tǒng)（例如校園一卡通系統(tǒng)）來進(jìn)行對(duì)交易各方的身份認(rèn)證。

（3）安全協(xié)議技術(shù)。目前，電子商務(wù)發(fā)展較成熟和實(shí)用的安全協(xié)議是SET和SSL協(xié)議。通過對(duì)SSL與SET兩種協(xié)議的比較和校園電子商務(wù)的需求分析，校園電子商務(wù)更適合采用SSL協(xié)議。SSL位于傳輸層與應(yīng)用層之間，能夠更好地封裝應(yīng)用層數(shù)據(jù)，不用改變位于應(yīng)用層的應(yīng)用程序，對(duì)用戶是透明的。而且SSL只需要通過一次“握手”過程就可以建立客戶與服務(wù)器之間的一條安全通信通道，保證傳輸數(shù)據(jù)的安全。

3.4基于一卡通的校園電子商務(wù)。

目前，我國高校校園網(wǎng)建設(shè)和校園一卡通工程建設(shè)逐步完善，使用校園一卡通進(jìn)行校園電子商務(wù)的網(wǎng)上支付可以增強(qiáng)校園電子商務(wù)的支付安全，可以避免或降低了使用銀行卡支付所出現(xiàn)的卡號(hào)被盜的風(fēng)險(xiǎn)等。同時(shí)，使用校園一卡通作為校園電子支付載體的安全保障有：

（1）校園網(wǎng)是一個(gè)內(nèi)部網(wǎng)絡(luò)，它自身已經(jīng)屏蔽了絕大多數(shù)來自公網(wǎng)的黑客攻擊及病毒入侵，由于有防火墻及反病毒軟件等安全防范設(shè)施，來自外部網(wǎng)絡(luò)人員的破壞可能性很小。同時(shí)，校園一卡通中心有著良好的安全機(jī)制，使得使用校園一卡通在校內(nèi)進(jìn)行網(wǎng)上支付被盜取賬號(hào)密碼等信息的可能性微乎其微。超級(jí)秘書網(wǎng)

（2）校園一卡通具有統(tǒng)一身份認(rèn)證系統(tǒng)，能夠?qū)⑴c交易的各方進(jìn)行身份認(rèn)證，各方的交易活動(dòng)受到統(tǒng)一的審計(jì)和監(jiān)控，統(tǒng)一身份認(rèn)證能夠保證網(wǎng)上工作環(huán)境的安全可靠。校園網(wǎng)絡(luò)管理中對(duì)不同角色的用戶享有不同級(jí)別的授權(quán)，使其網(wǎng)上活動(dòng)受到其身份的限制，有效防止一些惡意事情的發(fā)生。同時(shí)，由于校內(nèi)人員身份單一，多為學(xué)生，交易中一旦發(fā)生糾紛，身份容易確認(rèn)，糾紛就容易解決。

4結(jié)束語

開展校園電子商務(wù)是推進(jìn)校園信息化建設(shè)的重要內(nèi)容，隨著我國校園信息化建設(shè)的不斷深入，目前已有許多高校開展了校園電子商務(wù)，它極大的方便了校園內(nèi)師生員工的工作、學(xué)習(xí)、生活?？墒桥c此同時(shí)，安全問題成為制約校園電子商務(wù)發(fā)展的障礙。因此，如何建立一個(gè)安全、便捷的校園電子商務(wù)應(yīng)用環(huán)境，讓師生能夠方便可靠的進(jìn)行校園在線交易和網(wǎng)上支本論文由整理提供付，是當(dāng)前校園電子商務(wù)發(fā)展要著重研究的關(guān)鍵問題。

第3篇

論文摘要：電子商務(wù)安全問題已成為制約電子商務(wù)發(fā)展的重要問題，安全問題包括電子商務(wù)交易安全、計(jì)算機(jī)網(wǎng)絡(luò)安全等顯性的問題，還包括管理、法律和標(biāo)準(zhǔn)等方面的隱性問題。通過對(duì)電子商務(wù)安全體系的分析，研究電子商務(wù)安全策略，建立一個(gè)安全電子商務(wù)環(huán)境，將促進(jìn)電子商務(wù)健康快速地發(fā)展。

電子商務(wù)是一個(gè)跨國界，跨地區(qū)，跨行業(yè)的多種技術(shù)綜合集成與不同社會(huì)經(jīng)濟(jì)文化背景形成的各種習(xí)俗不斷沖突，不斷協(xié)調(diào)和不斷統(tǒng)一的綜合性社會(huì)系統(tǒng)工程。電子商務(wù)安全策略保障電子商務(wù)各個(gè)主體的切身利益。電子商務(wù)安全策略是以人為本，從各主體的角度思考，綜合協(xié)調(diào)了各個(gè)市場(chǎng)主體的行為，從根本上保障了消費(fèi)者、企業(yè)、電子商務(wù)網(wǎng)站等市場(chǎng)主體的切身利益，它為實(shí)現(xiàn)電子商務(wù)提供了統(tǒng)一的基礎(chǔ)平臺(tái)和安全屏障。

一、電子商務(wù)安全技術(shù)保障策略

安全技術(shù)保障技術(shù)是電子商務(wù)安全體系中的基本策略，目前相關(guān)的信息安全技術(shù)與專門的電子商務(wù)安全技術(shù)研究比較普遍和成熟。電子商務(wù)中常用到的安全技術(shù)有以下幾種：

1.密碼技術(shù)。密碼技術(shù)包括加密技術(shù)和解密技術(shù)。加密是將信息經(jīng)過加密密鑰及加密函數(shù)轉(zhuǎn)換，變成無意義的密文。而解密則是將密文經(jīng)過解密函數(shù)、解密密鑰處理還原成原文。密碼技術(shù)是網(wǎng)絡(luò)安全技術(shù)的基礎(chǔ)。

2.身份驗(yàn)證技術(shù)。電子商務(wù)主體向系統(tǒng)證明自己身份，并由系統(tǒng)查核該主體的過程，是確認(rèn)真實(shí)有效身份的重要環(huán)節(jié)，這個(gè)過程叫作身份驗(yàn)證。常用的驗(yàn)證技術(shù)有報(bào)文鑒別、身份鑒別和電子簽名。

3.訪問控制技術(shù)。訪問控制是指對(duì)電子商務(wù)網(wǎng)絡(luò)系統(tǒng)中各種資源訪問時(shí)的權(quán)限確認(rèn)，防止非法訪問。它包括有關(guān)的策略、模型、機(jī)制的基礎(chǔ)理論與實(shí)現(xiàn)方法。

4.防火墻技術(shù)。防火墻是用一組網(wǎng)絡(luò)設(shè)備來加強(qiáng)一個(gè)網(wǎng)絡(luò)與外界之間的訪問控制。防火墻整體可以分為三大類：分組過濾、應(yīng)用、電路網(wǎng)關(guān)。

二、企業(yè)電子商務(wù)安全運(yùn)營管理制度保障策略

企業(yè)電子商務(wù)安全運(yùn)營管理制度是用文字的形式對(duì)各項(xiàng)安全要求所做的規(guī)定，是保證企業(yè)取得電子商務(wù)成功的基礎(chǔ)，是企業(yè)電子商務(wù)人員工作的規(guī)范和準(zhǔn)則。這些制度主要包括人員管理制度，保密制度，跟蹤審計(jì)制度，系統(tǒng)維護(hù)制度、數(shù)據(jù)備份制度等。

1.人員管理制度人員管理制度主要從人員的選拔，工作責(zé)任的落實(shí)和安全運(yùn)作必須遵循的基本原則制定相應(yīng)的工作制度。

2.保密制度電子商務(wù)系統(tǒng)涉及企業(yè)的市場(chǎng)、生產(chǎn)、財(cái)務(wù)、供應(yīng)鏈等多方面的機(jī)密，這些方面都是需要很好地劃分信息安全級(jí)別，并確定安全防范重點(diǎn)，提出相應(yīng)的保密措施。

3.跟蹤審計(jì)制度跟蹤制度就是要求企業(yè)建立網(wǎng)絡(luò)交易的日志機(jī)制，來記錄網(wǎng)絡(luò)交易的全過程。而審計(jì)制度是對(duì)系統(tǒng)日志的經(jīng)常檢查、審核，及時(shí)發(fā)現(xiàn)對(duì)系統(tǒng)有安全隱患的記錄，監(jiān)控各種安全事故，維護(hù)和管理系統(tǒng)日志。

4.網(wǎng)絡(luò)系統(tǒng)的日常維護(hù)制度網(wǎng)絡(luò)系統(tǒng)的日常維護(hù)包括硬件的日常維護(hù)和軟件的日常維護(hù)，硬件維護(hù)主要是對(duì)網(wǎng)絡(luò)設(shè)備服務(wù)器和客戶機(jī)以及通信線路進(jìn)行定期規(guī)范地巡查、檢修；軟件維護(hù)主要是規(guī)范地對(duì)支撐軟件的定期清理和整理、監(jiān)測(cè)、處理特殊情況以及對(duì)應(yīng)用軟件的升級(jí)等。

5.數(shù)據(jù)備份制度數(shù)據(jù)備份主要是利用多種介質(zhì)對(duì)信息系統(tǒng)數(shù)據(jù)進(jìn)行存儲(chǔ)，定期為重要信息備份、系統(tǒng)設(shè)備備份，并定期更新，以減少安全事故發(fā)生時(shí)造成的損失。

三、電子商務(wù)立法策略

電子商務(wù)安全得到法律保障，首先必須完善電子商務(wù)安全相關(guān)的法律。如何構(gòu)建一個(gè)有針對(duì)性的健全的法律體系是擺在我們面前的迫切問題?？梢詮牧⒎康摹⒘⒎ㄔ瓌t、立法范圍和立法途徑上分析。

1.立法目的電子商務(wù)安全立法的目的主要是要消除電子商務(wù)發(fā)展的法律障礙；消除現(xiàn)有法律適用上的不確定性，保護(hù)合理的商業(yè)行為，保障電子交易安全；建立一個(gè)清晰的法律框架以統(tǒng)一調(diào)整電子商務(wù)的健康發(fā)展。

2.立法范圍電子商務(wù)安全方面需要的法律法規(guī)主要有：市場(chǎng)準(zhǔn)入制度、合同有效認(rèn)證辦法、電子支付系統(tǒng)安全措施、信息保密防范辦法，知識(shí)產(chǎn)權(quán)侵權(quán)處理規(guī)定、以及廣告的管制、網(wǎng)絡(luò)信息內(nèi)容過濾等；電子商務(wù)調(diào)整的對(duì)象是電子商務(wù)中的各種社會(huì)關(guān)系。

3.立法途徑電子商務(wù)法律仍然是調(diào)整社會(huì)關(guān)系，所以應(yīng)當(dāng)繼承傳統(tǒng)立法的合理內(nèi)核，尤其是基礎(chǔ)價(jià)值觀。具體的立法途徑主要是兩種：第一是制定新的法律規(guī)范。對(duì)于傳統(tǒng)法律沒有規(guī)定的，即由電子商務(wù)帶來的新的社會(huì)關(guān)系，應(yīng)盡快制定法律規(guī)范；第二是修改或重新解釋既定的法律規(guī)范。對(duì)于傳統(tǒng)法律的規(guī)定不明確，或與電子商務(wù)新型社會(huì)關(guān)系有沖突甚至存在缺欠的，可以修改或重新解釋既定的法律規(guī)范。

四、政府監(jiān)督管理策略

電子商務(wù)本質(zhì)是一種市場(chǎng)運(yùn)作模式，市場(chǎng)的正常健康有序地發(fā)展，必須有政府宏觀上的監(jiān)督與管理，以協(xié)調(diào)和規(guī)范各市場(chǎng)主體的行為，宏觀監(jiān)督與管理電子商務(wù)運(yùn)行中的安全保障體系。

1.計(jì)算機(jī)信息系統(tǒng)安全管理計(jì)算機(jī)信息系統(tǒng)，是指“由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)?！庇?jì)算機(jī)安全保護(hù)規(guī)范主要有計(jì)算機(jī)安全等級(jí)保護(hù)制度，計(jì)算機(jī)系統(tǒng)使用單位安全負(fù)責(zé)制度，計(jì)算機(jī)案件強(qiáng)行報(bào)告制度，計(jì)算機(jī)病毒及其有害數(shù)據(jù)的專管制度與計(jì)算機(jī)信息安全專用產(chǎn)品銷售許可證制度。對(duì)計(jì)算機(jī)信息系統(tǒng)安全的保護(hù)，有利于保障國家的安全和社會(huì)安定，促進(jìn)電子商務(wù)的安全交易過程，有利電子商務(wù)的健康發(fā)展。

2.網(wǎng)絡(luò)廣告和網(wǎng)絡(luò)服務(wù)業(yè)管理由于網(wǎng)絡(luò)的開放性，自由性等特征決定了網(wǎng)絡(luò)廣告監(jiān)管的難度，虛假廣告、廣告充斥著網(wǎng)絡(luò)空間，網(wǎng)絡(luò)廣告已經(jīng)發(fā)展成為一個(gè)社會(huì)問題。網(wǎng)絡(luò)廣告管理應(yīng)該從三個(gè)方面入手：第一，網(wǎng)絡(luò)廣告組織的管理，必須對(duì)網(wǎng)站廣告經(jīng)營主體資格進(jìn)行管制，第二，規(guī)范網(wǎng)絡(luò)廣告內(nèi)容，確保廣告內(nèi)容的真實(shí)性、合法性和科學(xué)性。第三，需要有具體的廣告審查管制、評(píng)估與監(jiān)測(cè)部門。

國家針對(duì)網(wǎng)絡(luò)服務(wù)業(yè)和網(wǎng)絡(luò)用戶管理已經(jīng)頒布了《中華人民共和國計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》，其中提出了詳細(xì)具體的限制條件。但是，網(wǎng)絡(luò)飛速發(fā)展，面對(duì)網(wǎng)絡(luò)中的新問題，還必須進(jìn)一步深入全面地研究。

3.認(rèn)證機(jī)構(gòu)管理認(rèn)證機(jī)構(gòu)是電子商務(wù)活動(dòng)中專門從事頒發(fā)認(rèn)證證書的機(jī)構(gòu)，對(duì)電子商務(wù)交易活動(dòng)順利進(jìn)行，電子商務(wù)活動(dòng)中交易參與各方身份和信息認(rèn)定，維護(hù)交易安全具有重要作用。對(duì)認(rèn)證機(jī)構(gòu)的管理主要是通過對(duì)設(shè)立的條件、撤消或者頒發(fā)許可證等營業(yè)資格而進(jìn)行審批監(jiān)督；同時(shí)，還要針對(duì)其資產(chǎn)和財(cái)務(wù)狀況定期審查，以免發(fā)生財(cái)務(wù)危機(jī)，對(duì)其信息披露與保密情況、安全系統(tǒng)運(yùn)行情況等方面進(jìn)行不定期或定期監(jiān)督檢查。

4.加強(qiáng)社會(huì)信用道德建設(shè)，構(gòu)建和諧安全電子商務(wù)電子商務(wù)安全問題其中有很大部分是由電子商務(wù)用戶或從業(yè)人員的信用道德問題引發(fā)的，在我國尤其嚴(yán)重，甚至大家感嘆電子商務(wù)在我國“水土不服”。對(duì)于新型的商業(yè)運(yùn)作模式，必然存在不少漏洞，這需要廣大電子商務(wù)市場(chǎng)主體有良好的電子商務(wù)道德意識(shí)。除了從法律上采取措施，更重要的是政府要加強(qiáng)電子商務(wù)市場(chǎng)主體自身的道德建設(shè),加強(qiáng)輿論監(jiān)督和企業(yè)自律，充分利用網(wǎng)絡(luò)新聞?shì)浾摫O(jiān)督，消費(fèi)者輿論監(jiān)督和行業(yè)協(xié)會(huì)的管理監(jiān)督。

五、結(jié)束語

電子商務(wù)安全不僅涉及到電子商務(wù)公司、企業(yè)、消費(fèi)者的利益，而且更加廣泛地涉及經(jīng)濟(jì)、政治、國防、文化等諸多方面，關(guān)系到國家的安全、和社會(huì)的穩(wěn)定。電子商務(wù)安全策略確保電子商務(wù)的快速、健康地發(fā)展。電子商務(wù)安全是目前電子商務(wù)發(fā)展的瓶頸，只有解決了電子商務(wù)安全，保障了市場(chǎng)主體的利益，才能得到網(wǎng)絡(luò)用戶的認(rèn)可和參與，電子商務(wù)自身也才能得到快速、健康地發(fā)展。

參考文獻(xiàn)

[1]林寧，吳志剛.我國信息安全技術(shù)標(biāo)準(zhǔn)化現(xiàn)狀[J].中國標(biāo)準(zhǔn)化，2007（4）

[2]胡艷春.電子商務(wù)網(wǎng)站建設(shè)中的安全問題研究[J].商場(chǎng)現(xiàn)代化，2006，（10）

第4篇

[論文摘要]在如何對(duì)待信用卡套現(xiàn)的問題上,國內(nèi)領(lǐng)先的第三方支付平臺(tái)如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

在電子商務(wù)中，網(wǎng)上交易的支付問題的安全性問題越來越突出，為確保顧客在購買東西的時(shí)候不會(huì)錢財(cái)兩空，一種新的支付方式——第三方支付出現(xiàn)了，第三方支付平臺(tái)的出現(xiàn)解決了電子商務(wù)的瓶頸——網(wǎng)上支付信用與安全問題,充當(dāng)商家與消費(fèi)者之間的信用紐帶,作為交易各方與銀行的接口,消除消費(fèi)者對(duì)商家的疑慮，提供方便快捷簡易的支付方式,在很大程度上推動(dòng)了電子商務(wù)的發(fā)展。

那么，第三方支付具體指的是什么呢？所謂第三方支付，是指為了保障電子商務(wù)的支付安全，支付通過買賣雙方之間完全中立的一家企業(yè)來完成。用E-mail來進(jìn)行網(wǎng)上支付；打個(gè)電話報(bào)上信用卡號(hào)就能預(yù)訂機(jī)票；用手機(jī)上網(wǎng)交水費(fèi)電費(fèi)游戲費(fèi)……在中國人還沒有完全適應(yīng)從紙制貨幣進(jìn)化到“塑膠貨幣”（信用卡）的今天，網(wǎng)絡(luò)銀行、手機(jī)錢包等第三方支付工具已經(jīng)迫不及待地登場(chǎng)了。

近日，有媒體報(bào)道，有網(wǎng)民利用三方支付工具從信用卡套現(xiàn)。就此，該文進(jìn)而對(duì)第三方支付的安全性問題提出質(zhì)疑，認(rèn)為電子支付有可能被金融犯罪分子所利用，充當(dāng)其洗錢的工具。且不管該文提到的套現(xiàn)現(xiàn)象是否屬于依然在可控范圍內(nèi)的小概率事件，也不提所謂的套現(xiàn)行為是否緣于第三方支付的安全漏洞，單就所謂洗錢的擔(dān)心而論，可以說，該文是嚴(yán)重低估了央行以及各商業(yè)銀行的風(fēng)險(xiǎn)控制能力，也大大低估了各大第三方支付公司的風(fēng)險(xiǎn)把控能力。

實(shí)際情況是，早在1996年4月1日，中國人民銀行就頒布并實(shí)施了《信用卡業(yè)務(wù)管理辦法》，其中明確規(guī)定，持卡人不允許利用信用卡套取現(xiàn)金以及惡意透支。對(duì)于信用卡套現(xiàn)這個(gè)問題，不光招商銀行等商業(yè)銀行關(guān)注有加，第三方支付公司支付寶、貝寶等亦是小心翼翼，如履薄冰，先后出臺(tái)了多項(xiàng)嚴(yán)格的風(fēng)險(xiǎn)控制系統(tǒng)，協(xié)助銀行解決問題。

在如何對(duì)待信用卡套現(xiàn)的問題上，國內(nèi)領(lǐng)先的第三方支付平臺(tái)如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

例如，PAYPAL(貝寶)在防止盜號(hào)、提供密碼加密以及減少信用卡套現(xiàn)等方面，已經(jīng)配合銀行做了大量工作;快錢除了從技術(shù)手段上防范盜卡之外，還在安全方面加設(shè)了用戶的認(rèn)證系統(tǒng)等六道功能，試圖將安全隱患?jí)旱偷阶钚〕潭取?/p>

作為國內(nèi)最大的第三方支付平臺(tái)，支付寶的做法就更為完備。早在2006年7月，支付寶就推出“支付寶認(rèn)證”服務(wù)，對(duì)所有使用支付寶的賣家進(jìn)行雙重身份認(rèn)證，即身份證認(rèn)證和銀行卡認(rèn)證。除了與公安部全國公民身份證號(hào)碼查詢服務(wù)中心合作校驗(yàn)身份證的真?zhèn)?，支付寶還與各大商業(yè)銀行進(jìn)行合作，利用銀行賬戶實(shí)名制信息來校驗(yàn)用戶填寫的姓名和銀行賬戶號(hào)碼是否準(zhǔn)確，摒棄了某些購物網(wǎng)站僅憑一個(gè)手機(jī)號(hào)碼或者身份證號(hào)碼進(jìn)行簡單認(rèn)證的模式。支付寶公司還在國內(nèi)率先推出了“全額賠付”制度和交易安全基金，網(wǎng)絡(luò)欺詐發(fā)生率僅為萬分之二。

為了保證支付寶的安全性，支付寶技術(shù)團(tuán)隊(duì)還自發(fā)研制了數(shù)字證書，其安全性能得到各銀行認(rèn)同。相對(duì)于目前國內(nèi)所有第三方認(rèn)證公司采用的認(rèn)證形式，支付寶的數(shù)字證書從技術(shù)上擺脫了普通6位密碼驗(yàn)證，改以1024位加密的數(shù)字簽名技術(shù)，因而更為安全。而數(shù)字密碼的惟一性，也更有助于客戶身份的識(shí)別。

央行的《電子支付指引》規(guī)定，銀行通過互聯(lián)網(wǎng)為個(gè)人客戶辦理電子支付業(yè)務(wù)，除采用數(shù)字證書、電子簽名等安全認(rèn)證方式外，單筆金額不應(yīng)超過1000元人民幣，每日累計(jì)金額不應(yīng)超過5000元人民幣，并規(guī)定信用卡的網(wǎng)上支付不得超過提現(xiàn)額度。國內(nèi)目前沒有一家銀行和任何一家網(wǎng)上支付公司允許網(wǎng)上“單日支付額度由信用卡額度決定”。在這方面，支付寶也早已主動(dòng)和和很多發(fā)卡銀行聯(lián)手，針對(duì)套現(xiàn)現(xiàn)象做了信用卡網(wǎng)上支付單筆限額的規(guī)定，例如，招商銀行的信用卡支付限制的是單筆最高限額499元。為了保證支付寶的安全性，支付寶還有CTU風(fēng)險(xiǎn)控制系統(tǒng)來隨時(shí)掃描和監(jiān)控交易的進(jìn)行，防范可能存在的盜卡及套現(xiàn)行為。

實(shí)際上，從2006年5月開始，支付寶就已委托中國工商銀行對(duì)支付寶公司開立在各家銀行的客戶交易保證金賬戶的余額進(jìn)行核查，工行并定期出具《支付寶客戶交易保證金托管報(bào)告》。這是中國銀行界第一次為第三方支付平臺(tái)做資金托管的審核報(bào)告，也是當(dāng)前唯一銀行愿意托管的第三方支付平臺(tái)。2006年12月8日，從工行對(duì)11月1日～11月30日期間所有發(fā)生的支付寶公司的客戶提現(xiàn)及余額支付進(jìn)行的抽查情況看，支付寶存放在各家銀行的客戶交易保證金余額總和等于支付寶客戶存放在貴公司的資金余額與待處理款、未達(dá)款余額之和，報(bào)告期間內(nèi)未發(fā)現(xiàn)支付寶客戶交易保證金被挪用情況。

值得一提的是，截至目前工行、農(nóng)行都已經(jīng)開始把以支付寶為主的阿里巴巴中小企業(yè)信用體系作為他們給中小企業(yè)貸款的一個(gè)衡量指標(biāo);而浦東發(fā)展銀行等也看到了里面的巨大商機(jī)紛紛加入。

第5篇

關(guān)鍵詞：電子商務(wù)信息安全安全技術(shù)

伴隨經(jīng)濟(jì)的迅猛發(fā)展，電子商務(wù)成為當(dāng)今世界商務(wù)活動(dòng)的新模式。要在國際競爭中贏得優(yōu)勢(shì)，必須保證電子商務(wù)中信息交流的安全。

一、電子商務(wù)的信息安全問題

電子商務(wù)信息安全問題主要有：

1.信息的截獲和竊?。喝绻捎眉用艽胧┎粔?，攻擊者通過互聯(lián)網(wǎng)、公共電話網(wǎng)在電磁波輻射范圍內(nèi)安裝截獲裝置或在數(shù)據(jù)包通過網(wǎng)關(guān)和路由器上截獲數(shù)據(jù)，獲取機(jī)密信息或通過對(duì)信息流量、流向、通信頻度和長度分析，推測(cè)出有用信息。2.信息的篡改：當(dāng)攻擊者熟悉網(wǎng)絡(luò)信息格式后，通過技術(shù)手段對(duì)網(wǎng)絡(luò)傳輸信息中途修改并發(fā)往目的地，破壞信息完整性。3.信息假冒：當(dāng)攻擊者掌握網(wǎng)絡(luò)信息數(shù)據(jù)規(guī)律或解密商務(wù)信息后，假冒合法用戶或發(fā)送假冒信息欺騙其他用戶。4.交易抵賴：交易抵賴包括多方面，如發(fā)信者事后否認(rèn)曾發(fā)送信息、收信者事后否認(rèn)曾收到消息、購買者做了定貨單不承認(rèn)等。

二、信息安全要求

電子商務(wù)的安全是對(duì)交易中涉及的各種信息的可靠性、完整性和可用性保護(hù)。信息安全包括以下幾方面:

1.信息保密性：維護(hù)商業(yè)機(jī)密是電子商務(wù)推廣應(yīng)用的重要保障。由于建立在開放網(wǎng)絡(luò)環(huán)境中，要預(yù)防非法信息存取和信息傳輸中被竊現(xiàn)象發(fā)生。2.信息完整性：貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)，影響到交易和經(jīng)營策略。要保證網(wǎng)絡(luò)上傳輸?shù)男畔⒉槐淮鄹?，預(yù)防對(duì)信息隨意生成、修改和刪除，防止數(shù)據(jù)傳送中信息的失和重復(fù)并保證信息傳送次序的統(tǒng)一。3.信息有效性：保證信息有效性是開展電子商務(wù)前提，關(guān)系到企業(yè)或國家的經(jīng)濟(jì)利益。對(duì)網(wǎng)絡(luò)故障、應(yīng)用程序錯(cuò)誤、硬件故障及計(jì)算機(jī)病毒的潛在威脅控制和預(yù)防，以保證貿(mào)易數(shù)據(jù)在確定時(shí)刻和地點(diǎn)有效。4.信息可靠性：確定要交易的貿(mào)易方是期望的貿(mào)易方是保證電子商務(wù)順利進(jìn)行的關(guān)鍵。為防止計(jì)算機(jī)失效、程序錯(cuò)誤、系統(tǒng)軟件錯(cuò)誤等威脅，通過控制與預(yù)防確保系統(tǒng)安全可靠。

三、信息安全技術(shù)

1.防火墻技術(shù)。防火墻在網(wǎng)絡(luò)間建立安全屏障，根據(jù)指定策略對(duì)數(shù)據(jù)過濾、分析和審計(jì)，并對(duì)各種攻擊提供防范。安全策略有兩條：一是“凡是未被準(zhǔn)許就是禁止”。防火墻先封閉所有信息流，再審查要求通過信息，符合條件就通過；二是“凡是未被禁止就是允許”。防火墻先轉(zhuǎn)發(fā)所有信息，然后逐項(xiàng)剔除有害內(nèi)容。

防火墻技術(shù)主要有：(1)包過濾技術(shù)：在網(wǎng)絡(luò)層根據(jù)系統(tǒng)設(shè)定的安全策略決定是否讓數(shù)據(jù)包通過，核心是安全策略即過濾算法設(shè)計(jì)。(2)服務(wù)技術(shù)：提供應(yīng)用層服務(wù)控制，起到外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)中間轉(zhuǎn)接作用。服務(wù)還用于實(shí)施較強(qiáng)數(shù)據(jù)流監(jiān)控、過濾、記錄等功能。(3)狀態(tài)監(jiān)控技術(shù)：在網(wǎng)絡(luò)層完成所有必要的包過濾與網(wǎng)絡(luò)服務(wù)防火墻功能。(4)復(fù)合型技術(shù)：把過濾和服務(wù)兩種方法結(jié)合形成新防火墻，所用主機(jī)稱為堡壘主機(jī)，提供服務(wù)。(5)審計(jì)技術(shù)：通過對(duì)網(wǎng)絡(luò)上發(fā)生的訪問進(jìn)程記錄和產(chǎn)生日志，對(duì)日志統(tǒng)計(jì)分析，對(duì)資源使用情況分析，對(duì)異?，F(xiàn)象跟蹤監(jiān)視。(6)路由器加密技術(shù)：加密路由器對(duì)通過路由器的信息流加密和壓縮，再通過外部網(wǎng)絡(luò)傳輸?shù)侥康亩私鈮嚎s和解密。2.加密技術(shù)。為保證數(shù)據(jù)和交易安全，確認(rèn)交易雙方的真實(shí)身份，電子商務(wù)采用加密技術(shù)。數(shù)據(jù)加密是最可靠的安全保障形式和主動(dòng)安全防范的策略。目前廣泛應(yīng)用的加密技術(shù)有：(1)公共密鑰和私用密鑰:也稱RSA編碼法。信息交換的過程是貿(mào)易方甲生成一對(duì)密鑰并將其中一把作為公開密鑰公開；得到公開密鑰的貿(mào)易方乙對(duì)信息加密后再發(fā)給貿(mào)易方甲：貿(mào)易方甲用另一把專用密鑰對(duì)加密信息解密。具有數(shù)字憑證身份人員的公共密鑰在網(wǎng)上查到或請(qǐng)對(duì)方發(fā)信息將公共密鑰傳給對(duì)方，保證傳輸信息的保密和安全。(2)數(shù)字摘要:也稱安全Hash編碼法。將需加密的明文“摘要”成一串密文亦稱數(shù)字指紋，有固定長度且不同明文摘要成密文結(jié)果不同，而同樣明文摘要必定一致。這串摘要成為驗(yàn)證明文是否真身的“指紋”。(3)數(shù)字簽名:將數(shù)字摘要、公用密鑰算法兩種加密方法結(jié)合。在書面文件上簽名是確認(rèn)文件的手段。簽名作用有兩點(diǎn)：一是因?yàn)樽约汉灻y以否認(rèn)，從而確認(rèn)文件已簽署；二是因?yàn)楹灻灰追旅埃瑥亩_定文件為真。(4)數(shù)字時(shí)間戳:電子交易中文件簽署日期和簽名是防止交易文件被偽造和篡改的關(guān)鍵性內(nèi)容，數(shù)字時(shí)間戳服務(wù)能提供電子文件發(fā)表時(shí)間的安全保護(hù)。

3.認(rèn)證技術(shù)。安全認(rèn)證的作用是進(jìn)行信息認(rèn)證。信息認(rèn)證是確認(rèn)信息發(fā)送者的身份，驗(yàn)證信息完整性，確認(rèn)信息在傳送或存儲(chǔ)過程中未被篡改。(1)數(shù)字證書:也叫數(shù)字憑證、數(shù)字標(biāo)識(shí)，用電子手段證實(shí)用戶身份及對(duì)網(wǎng)絡(luò)資源的訪問權(quán)限，可控制被查看的數(shù)據(jù)庫，提高總體保密性。交易支付過程中，參與各方必須利用認(rèn)證中心簽發(fā)的數(shù)字證書證明身份。(2)安全認(rèn)證機(jī)構(gòu):電子商務(wù)授權(quán)機(jī)構(gòu)也稱電子商務(wù)認(rèn)證中心。無論是數(shù)字時(shí)間戳服務(wù)還是數(shù)字證書發(fā)放，都需要有權(quán)威性和公正性的第三方完成。CA是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)、簽發(fā)數(shù)字證書并確認(rèn)用戶身份的企業(yè)機(jī)構(gòu)，受理數(shù)字證書的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書管理。

4.防病毒技術(shù)。(1)預(yù)防病毒技術(shù)，通過自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲取系統(tǒng)控制權(quán)，監(jiān)視系統(tǒng)中是否有病毒，阻止計(jì)算機(jī)病毒進(jìn)入計(jì)算機(jī)系統(tǒng)和對(duì)系統(tǒng)破壞。(2)檢測(cè)病毒技術(shù)，通過對(duì)計(jì)算機(jī)病毒特征進(jìn)行判斷的偵測(cè)技術(shù)，如自身校驗(yàn)、關(guān)鍵字、文件長度變化。(3)消除病毒技術(shù)，通過對(duì)計(jì)算機(jī)病毒分析，開發(fā)出具有殺除病毒程序并恢復(fù)原文件的軟件。另外要認(rèn)真執(zhí)行病毒定期清理制度，可以清除處于潛伏期的病毒，防止病毒突然爆發(fā)，使計(jì)算機(jī)始終處于良好工作狀態(tài)。

四、結(jié)語

信息安全是電子商務(wù)的核心。要不斷改進(jìn)電子商務(wù)中的信息安全技術(shù)，提高電子商務(wù)系統(tǒng)的安全性和可靠性。但電子商務(wù)的安全運(yùn)行，僅從技術(shù)角度防范遠(yuǎn)遠(yuǎn)不夠，還必須完善電子商務(wù)立法，以規(guī)范存在的各類問題，引導(dǎo)和促進(jìn)我國電子商務(wù)快速健康發(fā)展。

參考文獻(xiàn):

[1]譚衛(wèi):電子商務(wù)中安全技術(shù)的研究.哈爾濱工業(yè)大學(xué),2006

第6篇

密碼是一個(gè)人的私有信息，通過設(shè)置密碼可以在一定程度上保證信息的安全性。在電子商務(wù)中會(huì)涉及到的銀行賬號(hào)的安全、交易信息的安全，都可以通過設(shè)置不同類型的密碼來保護(hù)。在設(shè)置密碼時(shí)可以設(shè)置不同的密碼，增加所設(shè)密碼的難度，定期修改密碼，以及登陸密碼和手機(jī)綁定密碼等多種途徑來保護(hù)賬號(hào)的安全。有很大一部分人喜歡用同樣的密碼，這是一種不好的習(xí)慣?？赡苡腥藭?huì)說：“如果不設(shè)置相同的密碼就記不住。”在這種情況下可以采取多種加密形式來保證賬戶安全?，F(xiàn)在為了解決安全問題，不同的機(jī)構(gòu)，包括電子商務(wù)公司、各大銀行都推出許多加密設(shè)備，我們可以選用。

二、數(shù)字簽名

在網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)安全的最基本要求就是通信信息的真實(shí)和不可否認(rèn)性，它要求通信雙方能互相證實(shí)，以防止第三者假冒通信的一方竊取、偽造信息。在網(wǎng)絡(luò)中實(shí)現(xiàn)通信真實(shí)性的方法是數(shù)字簽名（DigitalSignature)。我們?cè)诮虒W(xué)過程中讓學(xué)生能掌握的是正確使用自己的數(shù)字簽名，學(xué)生走上社會(huì)做的不是科學(xué)研究，是應(yīng)用型電子商務(wù)，主要包括銀行賬號(hào)的安全、交易賬號(hào)的安全，可以使用不同的認(rèn)證方法保證信息安全，數(shù)字簽名就是一種很好的方法。例如，作為商業(yè)機(jī)構(gòu)可以選擇一家公信度較強(qiáng)、通過國際認(rèn)證的CA認(rèn)證中心，CA認(rèn)證中心會(huì)對(duì)于你每次交易中數(shù)字簽名進(jìn)行處理，證明交易中的身份，保證簽名的不可否認(rèn)性，加快交易速度，節(jié)省交易時(shí)間。

三、不輕易打開網(wǎng)站鏈接

在日常店鋪管理中，交易身份的假冒和網(wǎng)站的假冒時(shí)有發(fā)生，為了防范這種騙局，我們要做的就是不打開不信任的網(wǎng)站，不打開別人發(fā)來的鏈接?，F(xiàn)在有一些騙子不僅是把自己偽裝成購物網(wǎng)站去騙買家，從而盜取買家的賬號(hào)、密碼。也有一些騙子專門去搜索一些新開的網(wǎng)店去欺騙賣家，一是因?yàn)樾沦u家經(jīng)驗(yàn)不足防騙知識(shí)薄弱，二是新賣家急于讓店鋪發(fā)生買賣，因此在交易時(shí)當(dāng)這些不法分子告訴賣家自己進(jìn)行的交易出現(xiàn)問題而發(fā)送鏈接時(shí)，賣家沒有仔細(xì)查看確認(rèn)交易就貿(mào)然打開了鏈接，給店鋪造成了損失。

四、防火墻設(shè)置

近年來，作為保護(hù)計(jì)算機(jī)系統(tǒng)網(wǎng)絡(luò)安全的重要措施，防火墻技術(shù)正日趨成熟。對(duì)于一些與防火墻相沖突的軟件，需要關(guān)閉防火墻，有時(shí)網(wǎng)絡(luò)安全有問題時(shí)，又需要啟用防火墻。我們作為專業(yè)電子商務(wù)人員，要會(huì)對(duì)自己的電腦進(jìn)行防火墻設(shè)置，設(shè)置時(shí)可以通過電腦的“控制面板”找到“防火墻”，打開“防火墻”自行設(shè)置。防火墻應(yīng)該一直都處于打開的狀態(tài)。

五、計(jì)算機(jī)病毒防范

電子商務(wù)強(qiáng)調(diào)企業(yè)與商家通過網(wǎng)絡(luò)進(jìn)行實(shí)時(shí)交流，安全防護(hù)的一點(diǎn)疏漏就可能使計(jì)算機(jī)病毒擴(kuò)散到整個(gè)企業(yè)的網(wǎng)絡(luò)，可能感染客戶的計(jì)算機(jī)。因此應(yīng)對(duì)計(jì)算機(jī)病毒進(jìn)行防范。要想安全、可靠地防殺病毒，至少應(yīng)該進(jìn)行如下的工作：選擇好的防殺病毒軟件保護(hù)工作站、服務(wù)器；定期進(jìn)行文件備份工作；定期對(duì)網(wǎng)絡(luò)進(jìn)行病毒掃描，異常檢測(cè)；盡量多用無盤工作站；對(duì)遠(yuǎn)程工作站的登陸權(quán)限實(shí)施嚴(yán)格控制，盡量少用超級(jí)用戶登錄；定期更新病毒庫；對(duì)網(wǎng)絡(luò)設(shè)備的安全隔離。

六、結(jié)語

第7篇

關(guān)鍵詞:電子商務(wù);身份認(rèn)證;防火墻

一、有關(guān)電子商務(wù)的安全性要求

1.對(duì)電子商務(wù)活動(dòng)安全性的要求:

(1)服務(wù)的有效性要求。電子商務(wù)系統(tǒng)應(yīng)能防止服務(wù)失敗情況的發(fā)生,預(yù)防由于網(wǎng)絡(luò)故障和病毒發(fā)作等因素產(chǎn)生的系統(tǒng)停止服務(wù)等情況,保證交易數(shù)據(jù)能準(zhǔn)確快速的傳送。

(2)交易信息的保密性要求。電子商務(wù)系統(tǒng)應(yīng)對(duì)用戶所傳送的信息進(jìn)行有效的加密,防止因信息被截取破譯,同時(shí)要防止信息被越權(quán)訪問。

(3)數(shù)據(jù)完整性要求。數(shù)字完整性是指在數(shù)據(jù)處理過程中,原來數(shù)據(jù)和現(xiàn)行數(shù)據(jù)之間保持完全一致。為了保障商務(wù)交易的嚴(yán)肅和公正,交易的文件是不可被修改的,否則必然會(huì)損害一方的商業(yè)利益。

(4)身份認(rèn)證的要求。電子商務(wù)系統(tǒng)應(yīng)提供安全有效的身份認(rèn)證機(jī)制,確保交易雙方的信息都是合法有效的,以免發(fā)生交易糾紛時(shí)提供法律依據(jù)。

2.電子商務(wù)的主要安全要素

(1)信息真實(shí)性、有效性。電子商務(wù)以電子形式取代了紙張,如何保證這種電子形式的貿(mào)易信息的有效性和真實(shí)性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式,其信息的有效性和真實(shí)性將直接關(guān)系到個(gè)人、企業(yè)或國家的經(jīng)濟(jì)利益和聲譽(yù)。

(2)信息機(jī)密性。電子商務(wù)作為貿(mào)易的一種手段,其信息直接代表著個(gè)人、企業(yè)或國家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報(bào)文來達(dá)到保守機(jī)密的目的。電子商務(wù)是建立在一個(gè)較為開放的網(wǎng)絡(luò)環(huán)境上的,商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

(3)信息完整性。電子商務(wù)簡化了貿(mào)易過程,減少了人為的干預(yù),同時(shí)也帶來維護(hù)商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為,可能導(dǎo)致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。因此,電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲(chǔ)及電子商務(wù)完整性檢查的正確和可靠。

(4)信息可靠性、可鑒別性和不可抵賴性?？煽啃砸蠹词悄鼙ＷC合法用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^;不可否認(rèn)要求即是能建立有效的責(zé)任機(jī)制,防止實(shí)體否認(rèn)其行為;可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下,通過手寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個(gè)人、企業(yè)或國家提供可靠的標(biāo)識(shí)。在internet上每個(gè)人都是匿名的,電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴;接收方在接收數(shù)據(jù)后也不能抵賴。

二、電子商務(wù)采用的主要安全技術(shù)

1.網(wǎng)絡(luò)節(jié)點(diǎn)的安全

防火墻是一種由計(jì)算機(jī)硬件和軟件的組合,使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個(gè)安全網(wǎng)關(guān),從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入,它其實(shí)就是一個(gè)把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)(通常指局域網(wǎng)或城域網(wǎng))隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊,為電子商務(wù)的施展提供一個(gè)相對(duì)更安全的平臺(tái)。

防火墻是在連接Internet和Intranet保證安全最為有效的方法,防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息,并記憶通信狀態(tài),從而作出允許/拒絕等正確的判斷。通過靈活有效地運(yùn)用這些功能,制定正確的安全策略,將能提供一個(gè)安全、高效的Intranet系統(tǒng)。應(yīng)給予特別注意的是,防火墻不僅僅是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合,它是安全策略的一個(gè)部分。安全策略建立了全方位的防御體系來保護(hù)機(jī)構(gòu)的信息資源,這種安全策略應(yīng)包括:規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施,以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級(jí)別加以保護(hù)。僅設(shè)立防火墻系統(tǒng),而沒有全面的安全策略,那么防火墻就形同虛設(shè)。

2.通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接,所傳遞的重要信息都是經(jīng)過加密的,這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強(qiáng)度,也可以考慮將加密強(qiáng)度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機(jī)制,SSL首先要求服務(wù)器向?yàn)g覽器出示它的證書,證書包括一個(gè)公鑰,由一家可信證書授權(quán)機(jī)構(gòu)(CA中心)簽發(fā)。瀏覽器要驗(yàn)征服務(wù)器證書的正確性,必須事先安裝簽發(fā)機(jī)構(gòu)提供的基礎(chǔ)公共密鑰(PKI)。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份,而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書(下載可以在訪問之前或訪問時(shí))。驗(yàn)證此證書是合法的服務(wù)器證書通過后利用該證書對(duì)稱加密算法(RSA)與服務(wù)器協(xié)商一個(gè)對(duì)稱算法及密鑰,然后用此對(duì)稱算法加密傳輸?shù)拿魑摹４藭r(shí)瀏覽器也會(huì)出進(jìn)入安全狀態(tài)的提示。[論/文/網(wǎng)LunWenNet/Com]

3.應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則,要滿足計(jì)算機(jī)系統(tǒng)的安全性也是不充分的,因?yàn)榫幊体e(cuò)誤也可能引致攻擊。程序錯(cuò)誤有以下幾種形式:程序員忘記檢查傳送到程序的入口參數(shù);程序員忘記檢查邊界條件,特別是處理字符串的內(nèi)存緩沖時(shí);程序員忘記最小特權(quán)的基本原則。整個(gè)程序都是在特權(quán)模式下運(yùn)行,而不是只有有限的指令子集在特權(quán)模式下運(yùn)行,其他的部分只有縮小的許可;程序員從這個(gè)特權(quán)程序使用范圍內(nèi)建立一個(gè)資源,如一個(gè)文件和目錄。不是顯式地設(shè)置訪問控制(最少許可),程序員認(rèn)為這個(gè)缺省的許可是正確的。

這些缺點(diǎn)都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個(gè)過長的字符串來實(shí)現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令,特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例?緩沖溢出攻擊可以向系統(tǒng)中增加一個(gè)用戶并賦予這個(gè)用戶特權(quán)。訪問控制系統(tǒng)中沒有什么可以檢測(cè)到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為,才能發(fā)現(xiàn)像這些問題一樣的錯(cuò)誤。

4.用戶的認(rèn)證管理

(1)身份認(rèn)證。電子商務(wù)企業(yè)用戶身份認(rèn)證可以通過服務(wù)器CA證書與IC卡相結(jié)合實(shí)現(xiàn)。CA證書用來認(rèn)證服務(wù)器的身份,IC卡用來認(rèn)證企業(yè)用戶的身份。個(gè)人用戶由于沒有提供交易功能,所以只采用ID號(hào)和密碼口令的身份確認(rèn)機(jī)制。

(2)CA證書。要在網(wǎng)上確認(rèn)交易各方的身份以及保證交易的不可否認(rèn)性,需要一份數(shù)字證書進(jìn)行驗(yàn)證,這份數(shù)字證書就是CA證書,它由認(rèn)證授權(quán)中心(CA中心)發(fā)行。認(rèn)證中心(CA)就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù),能簽發(fā)數(shù)字證書,并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu),主要任務(wù)是受理數(shù)字證書的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書的管理。CA中心一般是社會(huì)公認(rèn)的可靠組織,它對(duì)個(gè)人、組織進(jìn)行審核后,為其發(fā)放數(shù)字證書,證書分為服務(wù)器證書和個(gè)人證書。建立SSL安全鏈接不需要一定有個(gè)人證書,實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書。

(3)安全套接層SSL協(xié)議。安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

SSL通過數(shù)字簽名和數(shù)字證書來實(shí)行身份驗(yàn)證,數(shù)字證書是從認(rèn)證機(jī)構(gòu)(CA,CertificateAuthority)獲得的,通常包含有唯一標(biāo)識(shí)證書所有者的名稱、唯一標(biāo)識(shí)證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號(hào)等。在用數(shù)字證書對(duì)雙方的身份驗(yàn)證后,雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前,協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方,從而為應(yīng)用層提供了安全的傳輸通道;在該通道上可透明加載任何高層應(yīng)用協(xié)議(如Ht2tp、Ftp、Telnet等)以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩浴SL協(xié)議握手流程由兩個(gè)階段組成:服務(wù)器認(rèn)證和用戶認(rèn)證。

三、電子商務(wù)安全需要進(jìn)一步完善的配套措施

電子商務(wù)要真正成為一種主導(dǎo)的商務(wù)模式,尤其對(duì)發(fā)展中的中國來說,發(fā)展電子商務(wù),就必須從以下幾個(gè)方面來完善配套措施:

(1)突破關(guān)鍵技術(shù)受制于人的瓶頸。

(2)我國應(yīng)盡快對(duì)電子商務(wù)的有關(guān)細(xì)則進(jìn)行立法。

(3)大力開發(fā)大型商務(wù)網(wǎng)站,發(fā)展與之相配套的物流公司。

(4)為了確保系統(tǒng)的安全性,除了采用技術(shù)手段外,還必須建立嚴(yán)格的內(nèi)部安全機(jī)制。

(5)建立網(wǎng)絡(luò)安全維護(hù)日志,記錄與安全性相關(guān)的信息及事件,有情況出現(xiàn)時(shí)便于跟蹤查詢。

(6)對(duì)于重要數(shù)據(jù)要及時(shí)進(jìn)行備份,且對(duì)數(shù)據(jù)庫中存放的數(shù)據(jù),數(shù)據(jù)庫系統(tǒng)應(yīng)視其重要性提供不同級(jí)別的數(shù)據(jù)加密。

安全實(shí)際上就是一種風(fēng)險(xiǎn)管理。任何技術(shù)手段都不能保證100%的安全。但是,安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險(xiǎn)。決定采用什么安全策略取決于系統(tǒng)的風(fēng)險(xiǎn)要控制在什么程度范圍內(nèi)。電子商務(wù)的安全運(yùn)行必須從多方面入手,僅在技術(shù)角度防范是遠(yuǎn)遠(yuǎn)不夠的。安全只是相對(duì)的,而不是絕對(duì)的。因此,為進(jìn)一步促進(jìn)電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展,必須在實(shí)際運(yùn)用中解決電子商務(wù)中出現(xiàn)的各類問題,使電子商務(wù)系統(tǒng)相對(duì)更安全。[論\文\網(wǎng)LunWenNet\Com]

參考文獻(xiàn):

[1]吳洋.電子商務(wù)安全方法研究[D].天津:天津大學(xué),2006.

[2]李艷.電子商務(wù)信息安全策略研究[J].甘肅科技,2005(6).

[3]成衛(wèi)青,龔儉.網(wǎng)絡(luò)安全評(píng)估[J].計(jì)算機(jī)工程,2003(2).

[4]甘悅.淺議電子商務(wù)信息安全體系的構(gòu)建[J].西北成人教育學(xué)報(bào),2007(2).

[5]周明,黃元江,李建設(shè).電子商務(wù)中的安全技術(shù)研究[J].株洲工學(xué)院學(xué)報(bào),2005(1).

[6]張娟.電子商務(wù)網(wǎng)絡(luò)安全技術(shù)探究[J].甘肅科技縱橫,2005(4).

[7]趙乃真.電子商務(wù)技術(shù)與應(yīng)用[M].北京:中國鐵道出版社,2003.

第8篇

通過對(duì)影響電子商務(wù)交易的網(wǎng)絡(luò)信息安全要素進(jìn)行分析和研究，能夠?qū)﹄娮由虅?wù)的網(wǎng)絡(luò)信息安全問題進(jìn)行有效解決和保障。下文對(duì)網(wǎng)絡(luò)信息安全的幾方面要素進(jìn)行分析。

1.1電子商務(wù)交易系統(tǒng)的可靠性

確保電子商務(wù)系統(tǒng)的可靠性主要是為了通過一定的控制及預(yù)防措施對(duì)其系統(tǒng)安全性進(jìn)行保證，以防出現(xiàn)計(jì)算機(jī)癱瘓、硬件故障、軟件失效及信息傳輸錯(cuò)誤等現(xiàn)象的發(fā)生。電子商務(wù)系統(tǒng)的可靠性及安全性對(duì)其傳輸、存儲(chǔ)的信息數(shù)據(jù)有著十分重要的保證作用，同時(shí)對(duì)系統(tǒng)的完整性也能夠起到監(jiān)測(cè)作用，利用網(wǎng)絡(luò)安全技術(shù)能夠有效提高電子商務(wù)系統(tǒng)的可靠性。

1.2電子商務(wù)交易中的信息真實(shí)性

在電子商務(wù)交易過程中，交易雙方的身份信息安全性及真實(shí)性必須得到保證，即交易雙方必須是實(shí)際存在的。由于電子商務(wù)交易模式的特殊性，使得交易雙方能夠不同時(shí)出現(xiàn)在同地點(diǎn)就能夠通過網(wǎng)絡(luò)進(jìn)行交易，因此在交易前必須先確定雙方建立起信任的關(guān)系，并對(duì)身份可靠性進(jìn)行確認(rèn)。在電子商務(wù)交易過程中供應(yīng)商在履行約定后是否能準(zhǔn)時(shí)收到貨款，而采購方在交付貨款后收到的貨物質(zhì)量等問題是否與約定的內(nèi)容相符，這兩方面的問題對(duì)電子商務(wù)交易中的信息真實(shí)性提出了很高的要求。

1.3電子商務(wù)交易中的數(shù)據(jù)安全性

在電子商務(wù)交易過程中所傳輸?shù)臄?shù)據(jù)信息，其安全性必須得到保證。信息若被泄露給未授權(quán)方會(huì)直接導(dǎo)致經(jīng)濟(jì)等方面的損失。電子商務(wù)這種新型的交易方式，其交易信息能夠直接反映出個(gè)人、公司或機(jī)構(gòu)等的商業(yè)機(jī)密。因此，保證傳輸數(shù)據(jù)不被非法竊取是其交易過程中的關(guān)鍵問題之一。

1.4電子商務(wù)交易中信息的完整性

在交易過程中通過網(wǎng)絡(luò)產(chǎn)生的數(shù)據(jù)信息完成性須得到保證，并且不能被隨意篡改。相較于傳統(tǒng)的交易方式，電子商務(wù)的交易過程具有較大的簡便性，相對(duì)簡化的交易程序?qū)θ藶楦蓴_因素進(jìn)行了有效避免。但是，在其交易信息的傳輸過程中常常存在數(shù)據(jù)丟失、交易方欺詐行為等現(xiàn)象，導(dǎo)致最終交易雙方確認(rèn)的信息不一致。因此，保證資料信息的完整性作為電子商務(wù)交易的基礎(chǔ)必須進(jìn)行提高。

1.5電子商務(wù)交易的不可否認(rèn)性

相較于傳統(tǒng)交易方式通過實(shí)際簽字或蓋章的形式對(duì)交易信息進(jìn)行確認(rèn)，在電子商務(wù)交易過程中，交易雙方需要以一種特定的形式對(duì)信息進(jìn)行確認(rèn)，并且承認(rèn)信息的發(fā)送或者接受，不能隨意抵賴。這就要求電子商務(wù)交易中對(duì)交易雙方的信息交換通過利用無法復(fù)制、具有特點(diǎn)的信息對(duì)交易進(jìn)行確認(rèn)和保證。

2網(wǎng)絡(luò)信息安全對(duì)電子商務(wù)交易產(chǎn)生影響的主要問題

隨著計(jì)算機(jī)信息技術(shù)的廣泛使用，電子商務(wù)通過對(duì)其技術(shù)進(jìn)行應(yīng)用使得自身發(fā)展得到促進(jìn)，同時(shí)其便捷性得到了人們的高度認(rèn)可。電子商務(wù)的未來發(fā)展空間十分可觀。同時(shí)，其交易信息的安全性引起了人們的重視。在網(wǎng)絡(luò)信息安全技術(shù)的基礎(chǔ)上，電子商務(wù)通過利用互聯(lián)網(wǎng)信息的開放性特點(diǎn)，實(shí)現(xiàn)了不同地域的線上交易形式及其他商業(yè)活動(dòng)的交易全部過程。電子商務(wù)這一新型交易模式成為了新時(shí)期全球的經(jīng)濟(jì)熱點(diǎn)。由于其交易過程的開放性特征，以及其交易的全球性、共享性及發(fā)展動(dòng)態(tài)性的特點(diǎn)，使得電子商務(wù)發(fā)展中的安全問題受到了社會(huì)各界的關(guān)注，同時(shí)對(duì)其自身發(fā)展也有一定的制約性。因此，對(duì)網(wǎng)絡(luò)信息安全對(duì)電子商務(wù)交易產(chǎn)生影響的主要問題進(jìn)行研究十分必要。

2.1電子商務(wù)系統(tǒng)在運(yùn)行過程中其網(wǎng)絡(luò)信息常常會(huì)遭到外界的攻擊，其中有服務(wù)性攻擊與非服務(wù)性攻擊兩種

非服務(wù)性攻擊是指指攻擊者通過利用各種非法手段對(duì)網(wǎng)絡(luò)的路由器等通信設(shè)名進(jìn)行篡改，導(dǎo)致網(wǎng)絡(luò)通信設(shè)備無法正常使用或網(wǎng)絡(luò)無法正常工作；服務(wù)性攻擊即攻擊者通過利用服務(wù)器提供某類服務(wù)從而使網(wǎng)絡(luò)無法運(yùn)行。拒絕服務(wù)是最典型的攻擊行為，通過使電子商務(wù)系統(tǒng)的網(wǎng)絡(luò)服務(wù)器充斥大量待回復(fù)的消息致使系統(tǒng)負(fù)荷超載、網(wǎng)絡(luò)癱瘓。

2.2計(jì)算機(jī)軟件、硬件的各方面情況對(duì)電子商務(wù)交易中的網(wǎng)絡(luò)信息系統(tǒng)會(huì)直接產(chǎn)生影響

計(jì)算機(jī)硬件主要有交換機(jī)、服務(wù)器及客戶端等；計(jì)算機(jī)軟件主要包括應(yīng)用軟件、網(wǎng)絡(luò)操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)等。軟件漏洞是其網(wǎng)絡(luò)信息系統(tǒng)中最為典型的問題之一，緩沖區(qū)溢出現(xiàn)象時(shí)常發(fā)生并且會(huì)造成很嚴(yán)重的影響，使得系統(tǒng)程序運(yùn)行失敗、計(jì)算機(jī)死機(jī)及系統(tǒng)重啟等。因此，必須通過有效措施對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的硬件及軟件工作情況進(jìn)行保證，以確保電子商務(wù)系統(tǒng)的正常操作。

2.3在電子商務(wù)交易中對(duì)信息的存儲(chǔ)和傳輸安全性要進(jìn)行有效保證

信息的存儲(chǔ)安全性即對(duì)聯(lián)網(wǎng)狀態(tài)中的計(jì)算機(jī)存儲(chǔ)的信息安全進(jìn)行保證，以實(shí)現(xiàn)未經(jīng)授權(quán)的網(wǎng)絡(luò)用戶無法獲得存儲(chǔ)信息。未授權(quán)用戶通常會(huì)對(duì)用戶密碼進(jìn)行猜測(cè)或者竊取，通過各種手段繞過網(wǎng)絡(luò)系統(tǒng)的安全認(rèn)證，并對(duì)未授權(quán)信息進(jìn)行非法修改、查看或者刪除；信息的傳輸安全性即對(duì)網(wǎng)絡(luò)傳輸中的信息數(shù)據(jù)的安全性進(jìn)行保證，使其免遭攻擊或者泄露。

2.4電子商務(wù)的網(wǎng)絡(luò)系統(tǒng)有時(shí)也會(huì)受到內(nèi)部的授權(quán)用戶的破壞

部分授權(quán)的合法用戶在運(yùn)行電子商務(wù)網(wǎng)絡(luò)系統(tǒng)時(shí)，警惕性較低，將系統(tǒng)的安全密碼等機(jī)密信息無意泄露出去，從而導(dǎo)致安全性降低或者網(wǎng)絡(luò)受到攻擊。由于系統(tǒng)內(nèi)部授權(quán)用戶自身的專業(yè)計(jì)算機(jī)知識(shí)缺乏，錯(cuò)刪系統(tǒng)文件等行為都會(huì)直接對(duì)電子商務(wù)網(wǎng)絡(luò)信息系統(tǒng)的安全性造成破壞。

3提高電子商務(wù)中網(wǎng)絡(luò)信息安全性的對(duì)策

在電子商務(wù)交易平臺(tái)中，網(wǎng)絡(luò)信息的安全問題會(huì)出現(xiàn)各種需要解決的情況，為了保證電子商務(wù)交易能夠順利進(jìn)行，對(duì)其網(wǎng)絡(luò)信息安全必須采取相應(yīng)措施進(jìn)行保證，當(dāng)前主要有以下幾種解決對(duì)策：

3.1防火墻

防火墻的由來是中世紀(jì)的城堡防御技術(shù)，想要進(jìn)入城堡的人必須通過吊橋并且接受士兵的檢查。從而引申出網(wǎng)絡(luò)防火墻技術(shù)的概念，即電子商務(wù)系統(tǒng)需要以一定的防護(hù)措施對(duì)用戶的授權(quán)等進(jìn)行把關(guān)。

3.2黑客

隨著科學(xué)技術(shù)水平的提升，很多電腦愛好者的計(jì)算機(jī)水平也逐漸提高。目前已出現(xiàn)部分計(jì)算機(jī)水平較高的黑客設(shè)法繞過防火墻技術(shù)的控制，對(duì)電子商務(wù)網(wǎng)路系統(tǒng)進(jìn)行干擾和入侵。因此，應(yīng)利用相關(guān)入侵檢測(cè)技術(shù)即時(shí)地對(duì)外界產(chǎn)生的入侵或攻擊進(jìn)行主動(dòng)防御，以彌補(bǔ)防火墻技術(shù)的漏洞。通過在應(yīng)用中采取監(jiān)控措施、在電腦主機(jī)上進(jìn)行監(jiān)控措施及對(duì)網(wǎng)絡(luò)信息系統(tǒng)進(jìn)行監(jiān)控等辦法能夠有效抵御外界攻擊。

3.3病毒防御軟件

網(wǎng)絡(luò)病毒的數(shù)量及多樣性對(duì)計(jì)算機(jī)系統(tǒng)及信息等多方面都造成了嚴(yán)重的影響。網(wǎng)絡(luò)病毒對(duì)電子商務(wù)系統(tǒng)的運(yùn)行也造成了惡劣影響。為保證電子商務(wù)網(wǎng)絡(luò)信息系統(tǒng)的安全運(yùn)行應(yīng)利用網(wǎng)絡(luò)病毒防御軟件進(jìn)行保護(hù)，并保證交易信息的安全可靠性及速度。

3.4加密和秘鑰

為保證電子商務(wù)信息的安全性，應(yīng)通過使用加密算法對(duì)其進(jìn)行加密，將信息含義隱藏起來，以防外界入侵者的攻擊行為。同時(shí)利用密鑰管理技術(shù)作為加密信息的解密手段，只有授權(quán)合法的使用者能夠操作。

3.5數(shù)字信封

在公共網(wǎng)絡(luò)上使用傳統(tǒng)的信息加密技術(shù)及密鑰管理技術(shù)進(jìn)行信息傳輸十分容易遭到外界的攻擊，可以通過數(shù)字信封技術(shù)來解決這一問題，能夠?qū)π畔⒃趥鬏斶^程中的安全性進(jìn)行保證。同時(shí)，為保證電子商務(wù)交易中的交易雙方能有有效辨識(shí)身份信息，通過數(shù)字簽名技術(shù)能夠?qū)崿F(xiàn)這一目的，并且對(duì)交易信息的可靠性、安全性進(jìn)行保障，最大程度地提高電子商務(wù)交易的效率及質(zhì)量。

4通過建立電子商務(wù)安全機(jī)制保證其交易過程

信息及結(jié)算信息。同時(shí)商務(wù)主機(jī)需要向相關(guān)交易認(rèn)證機(jī)構(gòu)對(duì)客戶的訂單信息進(jìn)行確認(rèn)和反饋。因此，保證信息的安全性及完整性十分重要，以避免信息在傳輸?shù)闹型颈淮鄹幕蛘吒`取，這對(duì)交易雙方來說極為重要。確保交易信息的完整性、有效性需要考慮的因素有很多，例如安全管理問題、物理安全問題、介質(zhì)安全等各種問題，同時(shí)在技術(shù)上還需保證高要求。應(yīng)采取相應(yīng)措施對(duì)電子商務(wù)系統(tǒng)的訪問權(quán)限進(jìn)行設(shè)置并建立安全防務(wù)機(jī)制。采取驗(yàn)證身份信息等手段以杜絕信息竊取等危險(xiǎn)的發(fā)生。通過對(duì)數(shù)據(jù)信息文件進(jìn)行加密并提升防護(hù)安全的級(jí)別也可以對(duì)信息進(jìn)行有效保護(hù)。在保障信息完整性時(shí)即通過建立安全機(jī)制確保數(shù)據(jù)信息不會(huì)被篡改或者盜取。安全機(jī)制包括訪問限制機(jī)制、信息完整性機(jī)制及交換鑒別機(jī)制等。

4.1無權(quán)限訪問控制機(jī)制

訪問控制指的是根據(jù)已確定好的過濾規(guī)則來判定決定訪問者是否擁有對(duì)于服務(wù)器的訪問權(quán)限。訪問控制可確保未無授權(quán)權(quán)限的訪問者或以未經(jīng)授權(quán)的方式對(duì)數(shù)據(jù)、服務(wù)器以及通信系統(tǒng)等資源進(jìn)行非法的修改、破壞與運(yùn)行惡意代碼。

4.2數(shù)據(jù)單元的完整性機(jī)制

數(shù)據(jù)的完整性指的是數(shù)據(jù)單元的完整性與其序列的完整性。為確保數(shù)據(jù)的完整性，通常使用如下方式：發(fā)送者會(huì)在某個(gè)數(shù)據(jù)單元中加上一個(gè)經(jīng)過加密的類似分組校驗(yàn)、密碼校驗(yàn)函數(shù)等數(shù)據(jù)自身函數(shù)的標(biāo)記。接收者擁有對(duì)應(yīng)的加密標(biāo)記，在受到數(shù)據(jù)后可將對(duì)應(yīng)的加密標(biāo)記跟接收數(shù)據(jù)中的標(biāo)記進(jìn)行比對(duì)，便可以保證數(shù)據(jù)在傳輸時(shí)的完整性。數(shù)據(jù)單元的序列完整性指的是確定數(shù)據(jù)的時(shí)間標(biāo)記的正確性與數(shù)據(jù)的編號(hào)連續(xù)性，這樣可確保無權(quán)限者不會(huì)對(duì)數(shù)據(jù)進(jìn)行創(chuàng)建、刪除、修改等非法操作。如果發(fā)生這類對(duì)數(shù)據(jù)的非法修改等惡意操作，會(huì)對(duì)經(jīng)濟(jì)產(chǎn)生巨大的沖擊。

4.3信息交換鑒別機(jī)制

交換鑒別指的是通過進(jìn)行信息交換的方法來確保實(shí)體身份有效合法的機(jī)制。進(jìn)行信息交換鑒別時(shí)，通常用到的技術(shù)有以下幾種：①口令：發(fā)送方設(shè)置口令，然后由接收方進(jìn)行校驗(yàn)。②數(shù)據(jù)加密：對(duì)將要進(jìn)行交換的數(shù)據(jù)進(jìn)行加密處理，只有擁有權(quán)限的用戶方可進(jìn)行解密，從而得到正確的明文數(shù)據(jù)。通常實(shí)際中，數(shù)據(jù)加密往往與以下兩種技術(shù)混合使用：雙方、三方“握手”或是時(shí)間標(biāo)記。③經(jīng)公證機(jī)構(gòu)認(rèn)可的數(shù)字簽名：數(shù)字簽名指的是通過實(shí)體的法律所有權(quán)與生理特征進(jìn)行實(shí)體身份的鑒別，實(shí)際中一般使用指紋識(shí)別與身份信息卡等。

4.4隨機(jī)數(shù)據(jù)發(fā)送機(jī)制

隨機(jī)數(shù)據(jù)發(fā)送指的是保密裝置會(huì)網(wǎng)絡(luò)中無信息傳輸?shù)娜蝿?wù)時(shí)，無目的性的發(fā)出隨機(jī)的數(shù)據(jù)序列。這樣可以迷惑非法的監(jiān)聽者，使其無法得知監(jiān)聽到的數(shù)據(jù)序列中是否存在有用信息。此種方式一般用來阻止非法的監(jiān)聽者在傳輸時(shí)對(duì)數(shù)據(jù)序列進(jìn)行監(jiān)聽、流量流向分析等。

4.5路由器選擇機(jī)制

實(shí)際中的大型網(wǎng)絡(luò)中往往從源節(jié)點(diǎn)到目標(biāo)節(jié)點(diǎn)之間會(huì)存在很多線路，這其中就存在各條線路安全與否的問題。路由器選擇機(jī)制可以為發(fā)送方提供選擇安全路由的選項(xiàng)，為數(shù)據(jù)的安全提供保障。

5結(jié)束語

第9篇

關(guān)鍵詞:移動(dòng)電子商務(wù)IEEE802.11WAPWPKI

隨著無線通信技術(shù)的發(fā)展,移動(dòng)電子商務(wù)已經(jīng)成為電子商務(wù)研究熱點(diǎn)。移動(dòng)電子商務(wù)是將現(xiàn)代信息科學(xué)技術(shù)和傳統(tǒng)商務(wù)活動(dòng)相結(jié)合,隨時(shí)隨地為用戶提供各種個(gè)性化的、定制的在線動(dòng)態(tài)商務(wù)服務(wù)。

但在無線世界里,人們對(duì)于進(jìn)行商務(wù)活動(dòng)安全性的考慮比在有線環(huán)境中要多。只有當(dāng)所有的用戶確信,通過無線方式所進(jìn)行的交易不會(huì)發(fā)生欺詐或篡改、進(jìn)行的交易受到法律的承認(rèn)和隱私信息被適當(dāng)?shù)谋Ｗo(hù)時(shí),移動(dòng)電子商務(wù)才有可能蓬勃開展。

移動(dòng)電子商務(wù)通信安全的現(xiàn)狀

由于無線通訊接入方式非常靈活,所以其對(duì)安全的要求更高。實(shí)際上,主要的無線通信技術(shù)都有各自的措施、協(xié)議和方法來保證各自體制下的通信安全。這里我們將從無線網(wǎng)絡(luò)和電子商務(wù)應(yīng)用兩個(gè)方面作簡要討論。

無線局域網(wǎng)

無線局域網(wǎng)絡(luò)是以無線連接至局域網(wǎng)絡(luò)的通訊方式。它采用的是IEEE802.11系列標(biāo)準(zhǔn)。在該標(biāo)準(zhǔn)中,無線局域網(wǎng)的安全機(jī)制采用的是WEP協(xié)議(有線對(duì)等安全協(xié)議)。在數(shù)據(jù)鏈路用WEP加密數(shù)據(jù),保證了信道上傳送數(shù)據(jù)的安全。另外,無線局域網(wǎng)的網(wǎng)絡(luò)管理員分配給每個(gè)授權(quán)用戶一個(gè)基于WEP算法的密鑰,這樣就有效阻止了非授權(quán)用戶的訪問。

WAP(無線應(yīng)用協(xié)議)技術(shù)

WAP由一系列協(xié)議組成,用來標(biāo)準(zhǔn)化無線通信設(shè)備,例如:移動(dòng)電話、移動(dòng)終端;它負(fù)責(zé)將Internet和移動(dòng)通信網(wǎng)連接到一起,客觀上已成為移動(dòng)終端上網(wǎng)的標(biāo)準(zhǔn)。WAP協(xié)議可以廣泛地運(yùn)用于GSM、CDMA、TDMA、3G等多種網(wǎng)絡(luò)。

WAP的安全機(jī)制是通過WTLS(無線傳輸層安全)協(xié)議來實(shí)現(xiàn)的。WTLS協(xié)議類似于互聯(lián)網(wǎng)傳輸層安全協(xié)議。在無線技術(shù)的有限的發(fā)送功率、存儲(chǔ)容量及帶寬的條件下,WTLS能夠?qū)崿F(xiàn)鑒定,保證數(shù)據(jù)的完整性和提供保密服務(wù)的目標(biāo)。

數(shù)字認(rèn)證技術(shù)

對(duì)諸如移動(dòng)電子商務(wù)和有重要使命的合作通信等活動(dòng),其安全性的一個(gè)關(guān)鍵方面是能否對(duì)信息發(fā)送者的身份進(jìn)行論證,通常都要利用有線安全的公開密鑰基本構(gòu)架(PKI)。

PKI提供與加密和數(shù)字證書有關(guān)的一系列技術(shù)。但在無線通信環(huán)境中,PKI是很難實(shí)現(xiàn)的。在只有有限計(jì)算能力和低數(shù)據(jù)流通率的設(shè)備上實(shí)現(xiàn)PKI中的服務(wù)一直是一個(gè)有挑戰(zhàn)性的難題。同時(shí)在PKI的基礎(chǔ)上,要將無線設(shè)備與有線設(shè)備之間進(jìn)行互通也是有難度的。因此無線PKI(WPKI)協(xié)議是要將標(biāo)準(zhǔn)的PKI進(jìn)行修正和簡化,使其在無線通信的環(huán)境下達(dá)到最優(yōu)。

移動(dòng)電子商務(wù)安全分析

IEEE802.11的安全

IEEE802.11標(biāo)準(zhǔn)規(guī)定了MAC層的存取控制規(guī)范,也定義了加密機(jī)制,即上述的WEP。WEP的目的是通過對(duì)信息流加密并利用WEP認(rèn)證節(jié)點(diǎn),使無線通信傳輸像有線網(wǎng)絡(luò)一樣安全。

WEP加密使用共享密鑰和RC4加密算法。訪問點(diǎn)(AP)和連接到該訪問點(diǎn)的所有工作站必須使用同樣的共享密鑰。對(duì)于往任一方向發(fā)送的數(shù)據(jù)包,傳輸程序都將數(shù)據(jù)包的內(nèi)容與數(shù)據(jù)包的檢驗(yàn)組合在一起。然后,WEP標(biāo)準(zhǔn)要求傳輸程序創(chuàng)建一個(gè)特定于數(shù)據(jù)包的初始化向量(IV),后者與密鑰k相組合在一起,用于對(duì)數(shù)據(jù)包進(jìn)行加密。接收器生成自己的匹配數(shù)據(jù)包密鑰并用之對(duì)數(shù)據(jù)包進(jìn)行解密。在理論上,這種方法優(yōu)于單獨(dú)使用共享私鑰的顯式策略,應(yīng)該使對(duì)方更難于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相當(dāng)于有線局域網(wǎng)基本安全的安全級(jí)別,根本不是一種全面的安全方案。越來越多的安全專家和研究人員發(fā)現(xiàn)IEEE802.11存在安全漏洞,有經(jīng)驗(yàn)的黑客會(huì)利用這些漏洞進(jìn)行攻擊。其缺陷主要有:RC4算法本身就有一個(gè)小缺陷。WEP標(biāo)準(zhǔn)允許IV重復(fù)使用(平均大約每5小時(shí)重復(fù)一次)。WEP標(biāo)準(zhǔn)不提供自動(dòng)修改密鑰的方法。

最早的WEP實(shí)施只提供40位加密,這使得它抗暴力攻擊能力差?，F(xiàn)代的系統(tǒng)提供128位的WEP,128位的密鑰長度減去24位的IV后,實(shí)際上有效的密鑰長度為104位。盡管如此,128位的WEP版本也不能保證絕對(duì)安全。最好的解決辦法是把無線網(wǎng)絡(luò)放在機(jī)構(gòu)防火墻之外,這種防范措施會(huì)強(qiáng)制要求將無線連接當(dāng)作不受信任的連接來看待,就像看待其他任何來自Internet的連接一樣。

所以,WEP應(yīng)該與其他安全機(jī)制一起應(yīng)用才能提供較強(qiáng)的安全。

WAP的安全

WAP規(guī)范的安全特性包括幾個(gè)部分:WTLS協(xié)議、用于存儲(chǔ)用戶證書的WAP身份模塊(WIM)和允許WAP交易簽名的SignText功能。

WTLS協(xié)議:WTLS基于IETF小組的SSL/TLS協(xié)議,提供了實(shí)體鑒別、數(shù)據(jù)加密和保護(hù)數(shù)據(jù)完整性的功能,所以可以確保在WAP裝置和WAP網(wǎng)關(guān)之間的安全通信。有三種不同級(jí)別的WTLS:

1級(jí):執(zhí)行未經(jīng)證實(shí)的Diffie-Hellman密鑰交換以建立會(huì)話密鑰。

2級(jí):使用與SSL/TLS協(xié)議相類似的公開密鑰證書機(jī)制進(jìn)行服務(wù)器端鑒別。

3級(jí):客戶端和服務(wù)器端采用X.509格式證書相互進(jìn)行鑒別。

早期WAP裝置僅僅采用了第1級(jí)別的WTLS,這種級(jí)別的安全不夠,所以不能用于電子商務(wù)。目前,支持第2和第3級(jí)別WTLS的移動(dòng)裝置從市場(chǎng)上可以得到,它們可以確保網(wǎng)上銀行交易和購物等應(yīng)用的機(jī)密性。

WIM:為了便于客戶端的鑒別,新一代的WAP電話提供了WIM。WIM包含了WTLS3級(jí)的功能,并嵌入了對(duì)公開密鑰加密技術(shù)的支持(RSA是強(qiáng)制的,而ECC是可選的)。生產(chǎn)廠家為WIM配備了兩套公私密鑰對(duì)(一套用于簽名,另一套用于鑒別)和兩個(gè)廠商的證書。用配置在WIM上的公匙把廠商的證書和廠商名字捆綁在一起。這樣,通過WIM和WAP網(wǎng)關(guān)建立的所有WTLS會(huì)話都將使用相同的公匙用作初始會(huì)話。每一個(gè)會(huì)話都將包括與此密鑰對(duì)應(yīng)的一個(gè)不同的證書。WIM的基本要求是它們要具有抗篡改的能力。

SignText功能:這個(gè)功能為WAP用戶提供了數(shù)字簽名。同電子簽名功能一樣,這個(gè)功能可以被應(yīng)用于其他無線設(shè)備,或者是手持設(shè)備,或者是內(nèi)嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3級(jí),多數(shù)情況下WTLS已足以確保WAP的安全。但是,由于WAP網(wǎng)關(guān)在WAP設(shè)備和Web服務(wù)器之間起著翻譯的作用,相應(yīng)的帶來了安全問題:WTLS安全會(huì)話建立在手機(jī)與WAP網(wǎng)關(guān)之間,而與終端服務(wù)器無關(guān)。這意味著數(shù)據(jù)只在WAP手機(jī)與網(wǎng)關(guān)之間加密,網(wǎng)關(guān)將數(shù)據(jù)解密后,利用其他方法將數(shù)據(jù)再次加密,然后經(jīng)過TLS連接發(fā)送給終端服務(wù)器。由于WAP網(wǎng)關(guān)可以看見所有的數(shù)據(jù)明文,而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有,這樣,潛在的第三方可能獲得所有的傳輸數(shù)據(jù)。

目前,針對(duì)上述安全性問題,可以采用這樣的措施來提高WAP的安全性:盡力確保WAP網(wǎng)關(guān)的安全。如果WAP網(wǎng)關(guān)位于WAP服務(wù)供應(yīng)商范圍之內(nèi),可以通過諸如在內(nèi)存中對(duì)加密和解密過程進(jìn)行最優(yōu)化以減少數(shù)據(jù)明文存在的時(shí)間、在釋放前覆蓋加密解密進(jìn)程使用的內(nèi)存以確保數(shù)據(jù)的安全性。對(duì)于安全要求較高的公司可以擁有自己的WAP網(wǎng)關(guān),從而保障數(shù)據(jù)端到端的安全性。通過WIM實(shí)現(xiàn)數(shù)據(jù)安全性。

WPKI技術(shù)

在有線通信中,電子商務(wù)交易的一個(gè)重要安全保障是PKI。PKI的系統(tǒng)概念、安全操作流程、密鑰、證書等同樣也適用于解決移動(dòng)電子商務(wù)交易的安全問題,但在應(yīng)用PKI的同時(shí)要考慮到移動(dòng)通信環(huán)境的特點(diǎn),并據(jù)此對(duì)PKI技術(shù)進(jìn)行改進(jìn)。

WPKI技術(shù)滿足移動(dòng)電子商務(wù)安全的要求:即保密性、完整性、真實(shí)性、不可抵賴性,消除了用戶在交易中的風(fēng)險(xiǎn)。WPKI技術(shù)主要包含以下幾個(gè)方面:

認(rèn)證機(jī)構(gòu)(CA)CA系統(tǒng)是PKI的信任基礎(chǔ),負(fù)責(zé)分發(fā)和驗(yàn)證數(shù)字證書,規(guī)定證書的有效期,證書廢除列表。

注冊(cè)機(jī)構(gòu)(RA)RA提供用戶和CA之間的一個(gè)接口。作為認(rèn)證機(jī)構(gòu)的校驗(yàn)者,在數(shù)字證書分發(fā)給請(qǐng)求者之前對(duì)證書進(jìn)行驗(yàn)證。

智能卡智能卡將具有存儲(chǔ)、加密及數(shù)據(jù)處理能力的集成電路芯片鑲嵌于塑料基片中,具有體積小、難于破解等特點(diǎn),在生產(chǎn)過程、訪問控制方面有很強(qiáng)的安全保障。很多種需要客戶端認(rèn)證的應(yīng)用都可以使用智能卡來實(shí)現(xiàn)。并且智能卡也是存儲(chǔ)移動(dòng)電子商務(wù)密鑰及相關(guān)數(shù)字證書的最佳選擇。

加密算法加密算法越復(fù)雜,密鑰越長則安全性越高,但執(zhí)行運(yùn)算所需的時(shí)間也越長(或需要計(jì)算能力更強(qiáng)的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有協(xié)處理器的芯片。而ECC使用較短的密鑰就可以達(dá)到和RSA算法相同的加密強(qiáng)度。由于智能卡受CPU處理能力和RAM大小的限制,因而采用一種運(yùn)算量小同時(shí)能提供高加密強(qiáng)度的公鑰密碼體制對(duì)在智能卡上實(shí)現(xiàn)數(shù)字簽名應(yīng)用是至關(guān)重要的,ECC在這方面具有很大的優(yōu)勢(shì)。

綜上所述,在WPKI機(jī)制下,數(shù)字證書非常重要,但是由于無線信道和移動(dòng)終端的限制,如何安全、便捷地交換用戶的數(shù)字證書是WPKI所必須解決的問題?？梢圆捎靡韵?種辦法解決:WTLS證書,WTLS證書的功能與X.509證書相同,但更小、更簡化,利于在資源受限的手持終端中處理。但所有證書必須含有與密鑰交換算法相一致的密鑰,除非特別指定,簽名算法必須與證書中密鑰的算法相同:移動(dòng)證書標(biāo)識(shí),將標(biāo)準(zhǔn)的一個(gè)X.509證書與移動(dòng)證書標(biāo)識(shí)唯一對(duì)應(yīng),并且在移動(dòng)終端中嵌入移動(dòng)證書標(biāo)識(shí),用戶每次只需要將自己的移動(dòng)證書標(biāo)識(shí)與簽名數(shù)據(jù)一起提交給對(duì)方,對(duì)方再根據(jù)移動(dòng)證書標(biāo)識(shí)檢索相應(yīng)的數(shù)字證書即可。

目前,大多數(shù)移動(dòng)電子商務(wù)采用的安全方式是非PKI的方式,這種方式主要采用對(duì)稱加密算法和單向散列函數(shù)來提供安全服務(wù),其密鑰的管理是由移動(dòng)運(yùn)營商建立一套主密鑰管理系統(tǒng),為不同的服務(wù)提供商分配不同的密鑰,每次交易過程中,服務(wù)提供商與用戶協(xié)商產(chǎn)生會(huì)話加密密鑰。顯然,采用這種方式構(gòu)建的系統(tǒng)的安全性主要取決于主密鑰的安全。

盡管非PKI方式對(duì)于無線終端有限的處理能力來說尤其適合,而且通過黑名單管理等方法可以使系統(tǒng)的安全得到較好的保障,但是從長遠(yuǎn)來說,移動(dòng)電子商務(wù)有必要逐步過渡到PKI方式。

移動(dòng)電子商務(wù)隨著移動(dòng)互聯(lián)網(wǎng)技術(shù)的成熟發(fā)展迅速,其獨(dú)特的應(yīng)用領(lǐng)域使得其安全問題倍受關(guān)注。從技術(shù)角度上看,一方面無線通信的安全處在不斷地發(fā)展和完善之中,其應(yīng)用到移動(dòng)電子商務(wù)中時(shí)要與其它的安全機(jī)制相結(jié)合才能滿足實(shí)際應(yīng)用的需要;另一方面有線電子商務(wù)的安全技術(shù)不能解決移動(dòng)電子商務(wù)的安全問題,所以WPKI技術(shù)是一個(gè)現(xiàn)實(shí)的選擇。因此,將這兩方面進(jìn)行改進(jìn)并進(jìn)行有機(jī)整合,才能營造一個(gè)安全的移動(dòng)電子商務(wù)環(huán)境。

參考文獻(xiàn):

1.儲(chǔ)節(jié)旺,郭春俠.移動(dòng)電子商務(wù)研究[J].現(xiàn)代情報(bào),2002,3(3)

2.姜志,聶志鋒.移動(dòng)電子商務(wù)及其關(guān)鍵技術(shù)[J].湖北郵電技術(shù),2002,9(3)