導語：如何才能寫好一篇電子商務安全論文，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公文云整理的十篇范文，供你借鑒。

篇1

關鍵詞：電子商務；身份認證；防火墻

1引言

電子商務可以增加銷售額并降低成本的優(yōu)勢，使得政府與企業(yè)都十分重視并推動電子商務的建設和發(fā)展。電子商務發(fā)展到今天,主要問題在于時空的分離導致了安全問題的出現(xiàn),信息的安全性是當前發(fā)展電子商務最迫切需要解決的問題之一。研究和分析電子商務的安全性問題,特別是針對企業(yè)自身情況,充分借鑒以往電子商務系統(tǒng)開發(fā)的先進技術和經(jīng)驗,開發(fā)出符合企業(yè)特殊的電子商務系統(tǒng),已經(jīng)成為目前發(fā)展電子商務的關鍵，而安全體系的構建顯得尤為重要。

2電子商務的主要安全要素

目前電子商務工程正在全國迅速發(fā)展。實現(xiàn)電子商務的關鍵是要保證商務活動過程中系統(tǒng)的安全性，即應保證在基于Internet的電子交易轉變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關系。但在電子商務過程中，買賣雙方是通過網(wǎng)絡來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關系相當困難。時空的分離導致了安全問題的出現(xiàn)，電子商務交易雙方（銷售者和消費者）都面臨安全威脅，電子商務的安全要素主要體現(xiàn)在以下幾個方面：

2.1信息真實性、有效性

電子商務以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務的前提。電子商務作為貿(mào)易的一種形式，其信息的有效性和真實性將直接關系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

2.2信息機密性

電子商務作為貿(mào)易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務是建立在一個較為開放的網(wǎng)絡環(huán)境上的，商業(yè)防泄密是電子商務全面推廣應用的重要保障。

3.3信息完整性

電子商務簡化了貿(mào)易過程，減少了人為的干預，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為，可能導致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿(mào)易各方信息的不同。因此，電子商務系統(tǒng)應充分保證數(shù)據(jù)傳輸、存儲及電子商務完整性檢查的正確和可靠。

3.4信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當?shù)鼐芙^；不可否認要求即是能建立有效的責任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或實體的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預防抵賴行為的發(fā)生。

在無紙化的電子商務方式下，通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。在1nternet上每個人都是匿名的，電子商務系統(tǒng)應充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

3電子商務安全系統(tǒng)

網(wǎng)絡安全是電子商務的基礎。為了保證電子商務交易能順利進行，要求電子商務平臺要穩(wěn)定可靠，能不中斷地提供服務。任何系統(tǒng)的中斷，如硬件、軟件錯誤，網(wǎng)絡故障、病毒等都可能導致電子商務系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經(jīng)濟損失。

所以就整個電子商務安全系統(tǒng)而言，安全性可以劃分為四個層次，

1)網(wǎng)絡節(jié)點的安全

2)通訊的安全性

3)應用程序的安全性

4)用戶的認證管理

其中2、3、4是通過操作系統(tǒng)和Web服務器軟件實現(xiàn)，而網(wǎng)絡節(jié)點的安全性依靠防火墻保證，我們應該首先保證網(wǎng)絡節(jié)點的安全性。

3.1網(wǎng)絡節(jié)點的安全

防火墻是一種由計算機硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關，從而保護內(nèi)部網(wǎng)免受非法用戶的侵入，它其實就是一個把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。防火墻的應用可以有效的減少黑客的入侵及攻擊，為電子商務的施展提供個相對更安全的平臺。

防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監(jiān)視網(wǎng)絡的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運用這些功能，制定正確的安全策略，將能提供一個安全、高效的Intranet系統(tǒng)。應給予特別注意的是，防火墻不僅僅是路由器、堡壘主機或任何提供網(wǎng)絡安全的設備的組合，它是安全策略的一個部分。安全策略建立了全方位的防御體系來保護機構的信息資源，這種安全策略應包括：規(guī)定的網(wǎng)絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護措施，以及管理制度等。所有有可能受到網(wǎng)絡攻擊的地方都必須以同樣安全級別加以保護。僅設立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設。

3.2通訊的安全

在客戶端瀏覽器和電子商務WEB服務器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強度，也可以考慮將加密強度增加到128位。為在瀏覽器和服務器之間建立安全機制，SSL首先要求服務器向瀏覽器出示它的證書，證書包括一個公鑰，由一家可信證書授權機構（CA中心）簽發(fā)。瀏覽器要驗征服務器證書的正確性，必須事先安裝簽發(fā)機構提供的基礎公共密鑰（PKI）。建立SSL鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書（下載可以在訪問之前或訪問時）。驗證此證書是合法的服務器證書通過后利用該證書對稱加密算法（RSA）與服務器協(xié)商一個對稱算法及密鑰，然后用此對稱算法加密傳輸?shù)拿魑?。此時瀏覽器也會出進入安全狀態(tài)的提示。

3.3應用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計算機系統(tǒng)的安全性也是不充分的，因為編程錯誤也可能引致攻擊。程序錯誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時；程序員忘記最小特權的基本原則。整個程序都是在特權模式下運行，而不是只有有限的指令子集在特權模式下運行，其他的部分只有縮小的許可；程序員從這個特權程序使用范圍內(nèi)建立一個資源，如一個文件和目錄。不是顯式地設置訪問控制（最少許可），程序員認為這個缺省的許可是正確的。

這些缺點都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權程序做一些它本來不應該做的事情。緩沖溢出攻擊就是通過給特權程序輸入一個過長的字符串來實現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令，特權程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權的或是作為攻擊的原因寫的。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個用戶并賦予這個用戶特權。訪問控制系統(tǒng)中沒有什么可以檢測到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現(xiàn)象這些問題一樣的錯誤。

3.4用戶的認證管理

1)身份認證

電子商務企業(yè)用戶身份認證可以通過服務器CA證書與IC卡相結合實現(xiàn)的。CA證書用來認證服務器的身份，IC卡用來認證企業(yè)用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認機制。

2)CA證書

要在網(wǎng)上確認交易各方的身份以及保證交易的不可否認性，需要一份數(shù)字證書進行驗證，這份數(shù)字證書就是CA證書，它由認證授權中心（CA中心）發(fā)行。認證中心（CA）就是承擔網(wǎng)上安全交易認證服務，能簽發(fā)數(shù)字證書，并能確認用戶身份的服務機構。認證中心通常是企業(yè)性的服務機構，主要任務是受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書的管理。CA中心一般是社會公認的可靠組織，它對個人、組織進行審核后，為其發(fā)放數(shù)字證書，證書分為服務器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書（下載可以在訪問之前或訪問時進行）。

3)安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡傳輸層與應用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務器之間的安全連接技術。

SSL通過數(shù)字簽名和數(shù)字證書來實行身份驗證，數(shù)字證書是從認證機構（CA，CertificateAuthority）獲得的，通常包含有唯一標識證書所有者的名稱、唯一標識證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號等。在用數(shù)字證書對雙方的身份驗證后，雙方就可以用保密密鑰進行安全的會話了。

SSL協(xié)議在應用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應用協(xié)議（如Http、Ftp、Telnet等）以保證應用層數(shù)據(jù)傳輸?shù)陌踩浴?/p>

SSL協(xié)議握手流程由兩個階段組成：服務器認證和用戶認證。

①服務器認證

客戶端向服務器發(fā)送一個“Hello”信息，以便開始一個新的會話連接；服務器根據(jù)客戶的信息確定是否需要生成新的主密鑰，如需要則服務器在響應客戶的“Hello”信息時將包含生成主密鑰所需的信息；客戶根據(jù)收到的服務器響應信息，產(chǎn)生一個主密鑰，并用服務器的公開密鑰加密后傳給服務器；服務器恢復該主密鑰，并返回給客戶一個用主密鑰認證的信息，以此讓客戶認證服務器。這樣通過主密鑰引出的密鑰對一系列數(shù)據(jù)進行加密來認證服務器，從而建立安全的通信通道。

②用戶認證

經(jīng)認證的服務器發(fā)送一個提問給客戶，客戶則返回數(shù)字簽名后的提問和其公開密鑰，從而向服務器提供認證。SSL協(xié)議支持各種加密算法，實現(xiàn)簡單，獨立于應用層協(xié)議，且被大部分瀏覽器和Web服務器內(nèi)置，便于在電子交易中應用。但SSL是一個面向連接的協(xié)議，起初并不是為了支持電子商務而設計的，只能提供交易中客戶與服務器間的雙方認證，在涉及多方的電子交易中，SSL協(xié)議不能協(xié)調(diào)各方面的安全傳輸和信任關系。為此，開發(fā)出了在網(wǎng)絡應用層中專為電子商務而設計的SET協(xié)議。

4安全管理

為了確保系統(tǒng)的安全性，除了采用上述技術手段外，還必須建立嚴格的內(nèi)部安全機制。對于所有接觸系統(tǒng)的人員，按其職責設定其訪問系統(tǒng)的最小權限。按照分級管理原則，嚴格管理內(nèi)部用戶帳號和密碼，進入系統(tǒng)內(nèi)部必須通過嚴格的身份確認，防止非法占用、冒用合法用戶帳號和密碼。

建立網(wǎng)絡安全維護日志，記錄與安全性相關的信息及事件，有情況出現(xiàn)時便于跟蹤查詢。定期檢查日志，以便及時發(fā)現(xiàn)潛在的安全威脅。

對于重要數(shù)據(jù)要及時進行備份，且對數(shù)據(jù)庫中存放的數(shù)據(jù)，數(shù)據(jù)庫系統(tǒng)應視其重要性提供不同級別的數(shù)據(jù)加密。

5結束語

安全實際上就是一種風險管理。任何技術手段都不能保證1OO％的安全。但是，安全技術可以降低系統(tǒng)遭到破壞、攻擊的風險。決定采用什么安全策略取決于系統(tǒng)的風險要控制在什么程度范圍內(nèi)。電子商務的安全運行必須從多方面入手，僅在技術角度防范是遠遠不夠的。安全只是相對的，而不是絕對的。因此，為進一步促進電子商務體系的完善和行業(yè)的健康快速發(fā)展，必須在實際運用中解決電子商務中出現(xiàn)的各類問題，使電子商務系統(tǒng)相對更安全。

參考文獻:

[1]吳洋.電子商務安全方法研究[D].天津大學,2006.

[2]李艷.電子商務信息安全策略研究[J].甘肅科技,2005,(06)

[3]成衛(wèi)青,龔儉.網(wǎng)絡安全評估[J].計算機工程,2003,(02).

篇2

[論文摘要]在如何對待信用卡套現(xiàn)的問題上,國內(nèi)領先的第三方支付平臺如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

在電子商務中，網(wǎng)上交易的支付問題的安全性問題越來越突出，為確保顧客在購買東西的時候不會錢財兩空，一種新的支付方式——第三方支付出現(xiàn)了，第三方支付平臺的出現(xiàn)解決了電子商務的瓶頸——網(wǎng)上支付信用與安全問題,充當商家與消費者之間的信用紐帶,作為交易各方與銀行的接口,消除消費者對商家的疑慮，提供方便快捷簡易的支付方式,在很大程度上推動了電子商務的發(fā)展。

那么，第三方支付具體指的是什么呢？所謂第三方支付，是指為了保障電子商務的支付安全，支付通過買賣雙方之間完全中立的一家企業(yè)來完成。用E-mail來進行網(wǎng)上支付；打個電話報上信用卡號就能預訂機票；用手機上網(wǎng)交水費電費游戲費……在中國人還沒有完全適應從紙制貨幣進化到“塑膠貨幣”（信用卡）的今天，網(wǎng)絡銀行、手機錢包等第三方支付工具已經(jīng)迫不及待地登場了。

近日，有媒體報道，有網(wǎng)民利用三方支付工具從信用卡套現(xiàn)。就此，該文進而對第三方支付的安全性問題提出質(zhì)疑，認為電子支付有可能被金融犯罪分子所利用，充當其洗錢的工具。且不管該文提到的套現(xiàn)現(xiàn)象是否屬于依然在可控范圍內(nèi)的小概率事件，也不提所謂的套現(xiàn)行為是否緣于第三方支付的安全漏洞，單就所謂洗錢的擔心而論，可以說，該文是嚴重低估了央行以及各商業(yè)銀行的風險控制能力，也大大低估了各大第三方支付公司的風險把控能力。

實際情況是，早在1996年4月1日，中國人民銀行就頒布并實施了《信用卡業(yè)務管理辦法》，其中明確規(guī)定，持卡人不允許利用信用卡套取現(xiàn)金以及惡意透支。對于信用卡套現(xiàn)這個問題，不光招商銀行等商業(yè)銀行關注有加，第三方支付公司支付寶、貝寶等亦是小心翼翼，如履薄冰，先后出臺了多項嚴格的風險控制系統(tǒng)，協(xié)助銀行解決問題。

在如何對待信用卡套現(xiàn)的問題上，國內(nèi)領先的第三方支付平臺如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

例如，PAYPAL(貝寶)在防止盜號、提供密碼加密以及減少信用卡套現(xiàn)等方面，已經(jīng)配合銀行做了大量工作;快錢除了從技術手段上防范盜卡之外，還在安全方面加設了用戶的認證系統(tǒng)等六道功能，試圖將安全隱患壓低到最小程度。

作為國內(nèi)最大的第三方支付平臺，支付寶的做法就更為完備。早在2006年7月，支付寶就推出“支付寶認證”服務，對所有使用支付寶的賣家進行雙重身份認證，即身份證認證和銀行卡認證。除了與公安部全國公民身份證號碼查詢服務中心合作校驗身份證的真?zhèn)?，支付寶還與各大商業(yè)銀行進行合作，利用銀行賬戶實名制信息來校驗用戶填寫的姓名和銀行賬戶號碼是否準確，摒棄了某些購物網(wǎng)站僅憑一個手機號碼或者身份證號碼進行簡單認證的模式。支付寶公司還在國內(nèi)率先推出了“全額賠付”制度和交易安全基金，網(wǎng)絡欺詐發(fā)生率僅為萬分之二。

為了保證支付寶的安全性，支付寶技術團隊還自發(fā)研制了數(shù)字證書，其安全性能得到各銀行認同。相對于目前國內(nèi)所有第三方認證公司采用的認證形式，支付寶的數(shù)字證書從技術上擺脫了普通6位密碼驗證，改以1024位加密的數(shù)字簽名技術，因而更為安全。而數(shù)字密碼的惟一性，也更有助于客戶身份的識別。

央行的《電子支付指引》規(guī)定，銀行通過互聯(lián)網(wǎng)為個人客戶辦理電子支付業(yè)務，除采用數(shù)字證書、電子簽名等安全認證方式外，單筆金額不應超過1000元人民幣，每日累計金額不應超過5000元人民幣，并規(guī)定信用卡的網(wǎng)上支付不得超過提現(xiàn)額度。國內(nèi)目前沒有一家銀行和任何一家網(wǎng)上支付公司允許網(wǎng)上“單日支付額度由信用卡額度決定”。在這方面，支付寶也早已主動和和很多發(fā)卡銀行聯(lián)手，針對套現(xiàn)現(xiàn)象做了信用卡網(wǎng)上支付單筆限額的規(guī)定，例如，招商銀行的信用卡支付限制的是單筆最高限額499元。為了保證支付寶的安全性，支付寶還有CTU風險控制系統(tǒng)來隨時掃描和監(jiān)控交易的進行，防范可能存在的盜卡及套現(xiàn)行為。

實際上，從2006年5月開始，支付寶就已委托中國工商銀行對支付寶公司開立在各家銀行的客戶交易保證金賬戶的余額進行核查，工行并定期出具《支付寶客戶交易保證金托管報告》。這是中國銀行界第一次為第三方支付平臺做資金托管的審核報告，也是當前唯一銀行愿意托管的第三方支付平臺。2006年12月8日，從工行對11月1日～11月30日期間所有發(fā)生的支付寶公司的客戶提現(xiàn)及余額支付進行的抽查情況看，支付寶存放在各家銀行的客戶交易保證金余額總和等于支付寶客戶存放在貴公司的資金余額與待處理款、未達款余額之和，報告期間內(nèi)未發(fā)現(xiàn)支付寶客戶交易保證金被挪用情況。

值得一提的是，截至目前工行、農(nóng)行都已經(jīng)開始把以支付寶為主的阿里巴巴中小企業(yè)信用體系作為他們給中小企業(yè)貸款的一個衡量指標;而浦東發(fā)展銀行等也看到了里面的巨大商機紛紛加入。

篇3

關鍵詞:電子商務;身份認證;防火墻

一、有關電子商務的安全性要求

1.對電子商務活動安全性的要求:

(1)服務的有效性要求。電子商務系統(tǒng)應能防止服務失敗情況的發(fā)生,預防由于網(wǎng)絡故障和病毒發(fā)作等因素產(chǎn)生的系統(tǒng)停止服務等情況,保證交易數(shù)據(jù)能準確快速的傳送。

(2)交易信息的保密性要求。電子商務系統(tǒng)應對用戶所傳送的信息進行有效的加密,防止因信息被截取破譯,同時要防止信息被越權訪問。

(3)數(shù)據(jù)完整性要求。數(shù)字完整性是指在數(shù)據(jù)處理過程中,原來數(shù)據(jù)和現(xiàn)行數(shù)據(jù)之間保持完全一致。為了保障商務交易的嚴肅和公正,交易的文件是不可被修改的,否則必然會損害一方的商業(yè)利益。

(4)身份認證的要求。電子商務系統(tǒng)應提供安全有效的身份認證機制,確保交易雙方的信息都是合法有效的,以免發(fā)生交易糾紛時提供法律依據(jù)。

2.電子商務的主要安全要素

(1)信息真實性、有效性。電子商務以電子形式取代了紙張,如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務的前提。電子商務作為貿(mào)易的一種形式,其信息的有效性和真實性將直接關系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

(2)信息機密性。電子商務作為貿(mào)易的一種手段,其信息直接代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務是建立在一個較為開放的網(wǎng)絡環(huán)境上的,商業(yè)防泄密是電子商務全面推廣應用的重要保障。

(3)信息完整性。電子商務簡化了貿(mào)易過程,減少了人為的干預,同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為,可能導致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿(mào)易各方信息的不同。因此,電子商務系統(tǒng)應充分保證數(shù)據(jù)傳輸、存儲及電子商務完整性檢查的正確和可靠。

(4)信息可靠性、可鑒別性和不可抵賴性。可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當?shù)鼐芙^;不可否認要求即是能建立有效的責任機制,防止實體否認其行為;可控性要求即是能控制使用資源的人或實體的使用方式。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預防抵賴行為的發(fā)生。

在無紙化的電子商務方式下,通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。在internet上每個人都是匿名的,電子商務系統(tǒng)應充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴;接收方在接收數(shù)據(jù)后也不能抵賴。

二、電子商務采用的主要安全技術

1.網(wǎng)絡節(jié)點的安全

防火墻是一種由計算機硬件和軟件的組合,使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關,從而保護內(nèi)部網(wǎng)免受非法用戶的侵入,它其實就是一個把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)(通常指局域網(wǎng)或城域網(wǎng))隔開的屏障。防火墻的應用可以有效的減少黑客的入侵及攻擊,為電子商務的施展提供一個相對更安全的平臺。

防火墻是在連接Internet和Intranet保證安全最為有效的方法,防火墻能夠有效地監(jiān)視網(wǎng)絡的通信信息,并記憶通信狀態(tài),從而作出允許/拒絕等正確的判斷。通過靈活有效地運用這些功能,制定正確的安全策略,將能提供一個安全、高效的Intranet系統(tǒng)。應給予特別注意的是,防火墻不僅僅是路由器、堡壘主機或任何提供網(wǎng)絡安全的設備的組合,它是安全策略的一個部分。安全策略建立了全方位的防御體系來保護機構的信息資源,這種安全策略應包括:規(guī)定的網(wǎng)絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護措施,以及管理制度等。所有有可能受到網(wǎng)絡攻擊的地方都必須以同樣安全級別加以保護。僅設立防火墻系統(tǒng),而沒有全面的安全策略,那么防火墻就形同虛設。

2.通訊的安全

在客戶端瀏覽器和電子商務WEB服務器之間采用SSL協(xié)議建立安全鏈接,所傳遞的重要信息都是經(jīng)過加密的,這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強度,也可以考慮將加密強度增加到128位。為在瀏覽器和服務器之間建立安全機制,SSL首先要求服務器向瀏覽器出示它的證書,證書包括一個公鑰,由一家可信證書授權機構(CA中心)簽發(fā)。瀏覽器要驗征服務器證書的正確性,必須事先安裝簽發(fā)機構提供的基礎公共密鑰(PKI)。驗證個人證書是為了驗證來訪者的合法身份,而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書(下載可以在訪問之前或訪問時)。驗證此證書是合法的服務器證書通過后利用該證書對稱加密算法(RSA)與服務器協(xié)商一個對稱算法及密鑰,然后用此對稱算法加密傳輸?shù)拿魑?。此時瀏覽器也會出進入安全狀態(tài)的提示。[論/文/網(wǎng)LunWenNet/Com]

3.應用程序的安全性

即使正確地配置了訪問控制規(guī)則,要滿足計算機系統(tǒng)的安全性也是不充分的,因為編程錯誤也可能引致攻擊。程序錯誤有以下幾種形式:程序員忘記檢查傳送到程序的入口參數(shù);程序員忘記檢查邊界條件,特別是處理字符串的內(nèi)存緩沖時;程序員忘記最小特權的基本原則。整個程序都是在特權模式下運行,而不是只有有限的指令子集在特權模式下運行,其他的部分只有縮小的許可;程序員從這個特權程序使用范圍內(nèi)建立一個資源,如一個文件和目錄。不是顯式地設置訪問控制(最少許可),程序員認為這個缺省的許可是正確的。

這些缺點都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權程序做一些它本來不應該做的事情。緩沖溢出攻擊就是通過給特權程序輸入一個過長的字符串來實現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令,特權程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權的或是作為攻擊的原因寫的。例如,緩沖溢出攻擊可以向系統(tǒng)中增加一個用戶并賦予這個用戶特權。訪問控制系統(tǒng)中沒有什么可以檢測到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為,才能發(fā)現(xiàn)像這些問題一樣的錯誤。

4.用戶的認證管理

(1)身份認證。電子商務企業(yè)用戶身份認證可以通過服務器CA證書與IC卡相結合實現(xiàn)。CA證書用來認證服務器的身份,IC卡用來認證企業(yè)用戶的身份。個人用戶由于沒有提供交易功能,所以只采用ID號和密碼口令的身份確認機制。

(2)CA證書。要在網(wǎng)上確認交易各方的身份以及保證交易的不可否認性,需要一份數(shù)字證書進行驗證,這份數(shù)字證書就是CA證書,它由認證授權中心(CA中心)發(fā)行。認證中心(CA)就是承擔網(wǎng)上安全交易認證服務,能簽發(fā)數(shù)字證書,并能確認用戶身份的服務機構。認證中心通常是企業(yè)性的服務機構,主要任務是受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書的管理。CA中心一般是社會公認的可靠組織,它對個人、組織進行審核后,為其發(fā)放數(shù)字證書,證書分為服務器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書,實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書。

(3)安全套接層SSL協(xié)議。安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡傳輸層與應用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務器之間的安全連接技術。

SSL通過數(shù)字簽名和數(shù)字證書來實行身份驗證,數(shù)字證書是從認證機構(CA,CertificateAuthority)獲得的,通常包含有唯一標識證書所有者的名稱、唯一標識證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號等。在用數(shù)字證書對雙方的身份驗證后,雙方就可以用保密密鑰進行安全的會話了。

SSL協(xié)議在應用層收發(fā)數(shù)據(jù)前,協(xié)商加密算法、連接密鑰并認證通信雙方,從而為應用層提供了安全的傳輸通道;在該通道上可透明加載任何高層應用協(xié)議(如Ht2tp、Ftp、Telnet等)以保證應用層數(shù)據(jù)傳輸?shù)陌踩?。SSL協(xié)議握手流程由兩個階段組成:服務器認證和用戶認證。

三、電子商務安全需要進一步完善的配套措施

電子商務要真正成為一種主導的商務模式,尤其對發(fā)展中的中國來說,發(fā)展電子商務,就必須從以下幾個方面來完善配套措施:

(1)突破關鍵技術受制于人的瓶頸。

(2)我國應盡快對電子商務的有關細則進行立法。

(3)大力開發(fā)大型商務網(wǎng)站,發(fā)展與之相配套的物流公司。

(4)為了確保系統(tǒng)的安全性,除了采用技術手段外,還必須建立嚴格的內(nèi)部安全機制。

(5)建立網(wǎng)絡安全維護日志,記錄與安全性相關的信息及事件,有情況出現(xiàn)時便于跟蹤查詢。

(6)對于重要數(shù)據(jù)要及時進行備份,且對數(shù)據(jù)庫中存放的數(shù)據(jù),數(shù)據(jù)庫系統(tǒng)應視其重要性提供不同級別的數(shù)據(jù)加密。

安全實際上就是一種風險管理。任何技術手段都不能保證100%的安全。但是,安全技術可以降低系統(tǒng)遭到破壞、攻擊的風險。決定采用什么安全策略取決于系統(tǒng)的風險要控制在什么程度范圍內(nèi)。電子商務的安全運行必須從多方面入手,僅在技術角度防范是遠遠不夠的。安全只是相對的,而不是絕對的。因此,為進一步促進電子商務體系的完善和行業(yè)的健康快速發(fā)展,必須在實際運用中解決電子商務中出現(xiàn)的各類問題,使電子商務系統(tǒng)相對更安全。[論\文\網(wǎng)LunWenNet\Com]

參考文獻:

[1]吳洋.電子商務安全方法研究[D].天津:天津大學,2006.

[2]李艷.電子商務信息安全策略研究[J].甘肅科技,2005(6).

[3]成衛(wèi)青,龔儉.網(wǎng)絡安全評估[J].計算機工程,2003(2).

[4]甘悅.淺議電子商務信息安全體系的構建[J].西北成人教育學報,2007(2).

[5]周明,黃元江,李建設.電子商務中的安全技術研究[J].株洲工學院學報,2005(1).

[6]張娟.電子商務網(wǎng)絡安全技術探究[J].甘肅科技縱橫,2005(4).

[7]趙乃真.電子商務技術與應用[M].北京:中國鐵道出版社,2003.

篇4

EC以電子形式取代了紙張,那么如何保證這種電子形式的貿(mào)易信息的有效性則是開展E的前提。EC作為貿(mào)易的一種形式,其信息的有效性將直接關系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。因此,要對網(wǎng)絡故障、操作錯誤、應用程序錯誤、硬件故障、系統(tǒng)軟件錯誤及計算機病毒所產(chǎn)生的潛在威脅加以控制和預防,以保證貿(mào)易數(shù)據(jù)在確定的時刻、確定的地點是有效的。

（2）機密性

EC作為貿(mào)易的一種手段,其信息直接代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。EC是建立在一個較為開放的網(wǎng)絡環(huán)境上的(尤其Internet是更為開放的網(wǎng)絡),維護商業(yè)機密是EC全面推廣應用的重要保障。因此,要預防非法的信息存取和信息在傳輸過程中被非法竊取。電子商務

（3）完整性

EC簡化了貿(mào)易過程,減少了人為的干預,同時也帶來維護貿(mào)易各方商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為,可能導致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿(mào)易各方信息的不同。貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營策略,保持貿(mào)易各方信息的完整性是EC應用的基礎。因此,要預防對信息的隨意生成、修改和刪除,同時要防止數(shù)據(jù)傳送過程中信息的丟失和重復并保證信息傳送次序的統(tǒng)一。

（4）可靠性/不可抵賴性/鑒別

EC可能直接關系到貿(mào)易雙方的商業(yè)交易,如何確定要進行交易的貿(mào)易方正是進行交易所期望的貿(mào)易方這一問題則是保證EC順利進行的關鍵。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預防抵賴行為的發(fā)生。這也就是人們常說的"白紙黑字"。在無紙化的EC方式下,通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。

篇5

[關鍵詞]電子商務反向網(wǎng)站資源安全DNS

一、引言

電子商務是利用先進的電子技術進行商務活動的總稱。它通過網(wǎng)絡、使用先進的信息處理工具，利用計算機這種載體，將買賣雙方的商務信息、產(chǎn)品信息、銷售信息、服務信息，以及電子支付等活動，用相互認同的交易標準來實現(xiàn)。進行電子商務活動的最基礎平臺是電子商務網(wǎng)站，電子商務網(wǎng)站在企業(yè)的電子商務體系中有著重要的作用，其安全直接關系企業(yè)實施電子商務能否成功。

目前，對電子商務網(wǎng)站的保護，采用最多的方法是使用防火墻技術，只允許用戶訪問網(wǎng)站的WEB服務，過濾掉對網(wǎng)站服務器其他服務的訪問。這種方法有一個問題：網(wǎng)站的WEB服務對外來說是完全暴露的，用戶可以直接和網(wǎng)站服務器通信。

二、反向技術

通常的一般稱為正向，只用于內(nèi)部網(wǎng)絡對外部網(wǎng)絡的連接請求，不支持外部網(wǎng)絡對內(nèi)部網(wǎng)絡的訪問請求（因為內(nèi)部網(wǎng)絡對外部網(wǎng)絡來說是不可見的）。當一個服務器能夠外部網(wǎng)絡上的主機訪問內(nèi)部網(wǎng)絡時，這種的方式稱為反向。

反向就是通常所說的WEB服務器加速，它是一種通過在繁忙的WEB服務器和外部網(wǎng)絡之間增加一個高速的WEB緩沖服務器來降低實際的WEB服務器的負載的一種技術。反向是針對WEB服務器提供加速功能的，作為緩存，它并不是針對瀏覽器用戶，而針對一臺或多臺特定WEB服務器，它可以外部網(wǎng)絡對內(nèi)部網(wǎng)絡的訪問請求。

反向服務器會強制將外部網(wǎng)絡對要的服務器的訪問經(jīng)過它，這樣反向服務器負責接收客戶端的請求，然后到源服務器上獲取內(nèi)容，把內(nèi)容返回給用戶并把內(nèi)容保存到本地，以便日后再收到同樣的信息請求時，它會把本地緩存里的內(nèi)容直接發(fā)給用戶，以減少后端WEB服務器的壓力，提高響應速度，的服務器對外部網(wǎng)絡來說是不可見的。

反向服務器的工作流程歸納如下：

1.用戶通過域名發(fā)出訪問WEB服務器的請求，該域名被DNS服務器解析為反向服務器的IP地址，因此用戶的請求被重定向到反向服務器。

2.反向服務器接受用戶的請求。

3.反向服務器在本地緩存中查找請求的內(nèi)容，找到后直接把內(nèi)容發(fā)送給用戶。

4.如果本地緩存里沒有用戶所請求的信息內(nèi)容，反向服務器會代替用戶向源WEB服務器請求同樣的信息內(nèi)容，并把信息內(nèi)容轉發(fā)給用戶，如果信息內(nèi)容是可緩存的還會把它保存到緩存中。

實施反向，只要將反向服務器放置在要的WEB服務器前端并在DNS系統(tǒng)中將要的服務器域名解析為反向服務器IP地址（達到強制將外部網(wǎng)絡對要服務器的訪問經(jīng)過反向服務器的目的）即可，如圖1所示：

在企業(yè)的電子商務網(wǎng)站建設中采用反向技術后，解決了網(wǎng)站服務器對外可見的問題，還有如下幾個突出優(yōu)點：

1.節(jié)約了有限的IP地址資源。企業(yè)內(nèi)所有的網(wǎng)站共享一個在Internet中注冊的IP地址，這些服務器分配私有地址，采用虛擬主機的方式對外提供服務。

2.保護了真實的WEB服務器。企業(yè)內(nèi)所有網(wǎng)站服務器對外都不可見，外網(wǎng)只能看到反向服務器，而反向服務器上并沒有存放實際的資源，因此，可以保證真實WEB服務器上資源的安全。

3.加快了對網(wǎng)站的訪問速度，減輕WEB服務器的負擔。反向服務器具有緩存網(wǎng)頁的功能，如果用戶需要的內(nèi)容在緩存中，則可以直接從服務器中取得，減輕了WEB服務器的負荷，同時也加快了用戶的訪問速度。

三、反向服務器的部署

目前，能夠實現(xiàn)反向的軟件有很多，但用的最多還是由美國政府大力助的Squid開源免費軟件，該軟件可運行在任何平臺上，本文選擇Linux操作系統(tǒng)來部署Squid，因為Linux系統(tǒng)也是開源免費的。

1.Squid軟件的獲取。可以從squid-網(wǎng)站下載squid軟件的最新版本，本文下載的是squid-2.6.STABLE13.tar.gz。2.Squid軟件的安裝。

(1)將獲取的文件squid-2.6.STABLE13.tar.gz拷貝到/tmp目錄；

(2)解壓該文件，運行tarxvzfsquid-2.6.STABLE13.tar.gz命令，在/tmp目錄中生成名為squid-2.6.STABLE13的目錄；

(3)進入該目錄，執(zhí)行./configure，系統(tǒng)缺省將軟件安裝在/usr/local/Squid目錄，用戶也可以用--prefix=目錄，指定安裝目錄；

(4)運行make；

(5)運行makeinstall；

(6)如沒有錯誤，安裝結束，Squid的可執(zhí)行文件在安裝目錄的bin子目錄下，配置文件在ctc子目錄下。

3.Squid軟件的配置。通過squid配置反向主要就是配置“squid.conf”這個配置文件，Squid2.6中和反向配置相關的主要包含以下三項（詳細配置可參考squid-）：

(1)http_port配置反向服務器的IP地址（和外網(wǎng)相連地址）和監(jiān)聽端口http_port202.115.144.30:80vhostvport。

(2)cache_peer配置內(nèi)部的WEB服務資源，該資源可以是真實WEB服務器的IP地址，也可以是的域名（內(nèi)部可見的域名），一般都采用IP地址,需要反向幾個WEB服務器就要有幾個對應。的配置cache_peer192.168.1.254parent800no-queryoriginserver

(3)cache_peer_domain指定對外部的資源（外網(wǎng)可見的域名）與真實資源的對應關系，同樣，需要反向幾個WEB服務器就要有幾個對應的配置。

4.DNS系統(tǒng)的配置。在DNS服務器中將所有需要的真實WEB服務器的域名對應于反向服務器的IP地址INA202.115.144.30，經(jīng)過這樣對Squid配置和DNS的修改后，對的訪問都會由反向服務器202.115.144.30定向到192.168.1.254這臺真實的WEB服務器。

四、反向服務器的安全

Squid本身不具有認證程序，但是可以通過外部認證程序來實現(xiàn)用戶認證，最常用的是采用NCSA認證，因為NCSA認證是Squid源代碼包自帶的一個外部認證程序。操作方法如下：

1.cd/tmp/squid-2.6.STABLE13/auth-modules/NCSA。

2.make；makeinstall。

3.編譯成功后，會生成ncsa-auth的可執(zhí)行文件，拷貝生成的執(zhí)行文件ncsa-auth到/usr/local/squid/bin目錄cpncsa_auth/usr/local/squid/bin。

4.修改squid．conf中的相關選項如下所示：

Authenticate_program/usr/local/squid/bin/ncsa_auth/usr/local/squid/etc/passwd。

5.定義相關的用戶類aclauth_userproxy_authREQUIRED。

注意，REQUIRED關鍵字指明了接收所有合法用戶的訪問。

6.設置http_access。

http_accessallowauth_user。

7.利用apache攜帶的工具軟件htpasswd在/usr/local/squid/etc下生成密碼文件并添加相應的用戶信息，該密碼文件每行包含一個用戶的用戶信息，即用戶名和密碼；htpasswd-c/usr/local/squid/etc/passwdtesttest。這樣就在密碼文件passwd中添加用戶和密碼都是test的用戶。然后重新啟動Squid，密碼認證就生效了，訪問服務器就需要輸入賬號和密碼。

五、結束語

反向方式不單是一種WEB服務器加速器，而且使也一種對外提供WEB時使用的有效的防火墻技術，使用它不但能節(jié)約緊缺的IP地址資源，加速WEB服務器的訪問速度，而且能夠保護WEB服務器，因此能夠適應多種應用場合,特別是應用在電子商務這種對安全要求特別高的場合。

參考文獻:

篇6

電子商務作為新經(jīng)濟的代言人，集中了當今世界最先進的技術，實現(xiàn)著最快捷的傳播和溝通方式。在世界經(jīng)濟一體化中，它改變著人們的思維觀念、消費方式和創(chuàng)業(yè)模式。電子商務的出現(xiàn)和發(fā)展讓所有的傳統(tǒng)產(chǎn)業(yè)面臨著巨大的挑戰(zhàn)，以互聯(lián)網(wǎng)為代表的新經(jīng)濟必將成為未來社會發(fā)展的主流。由于因特網(wǎng)的開放性，網(wǎng)絡安全問題也越來越引起人們的普遍關注。據(jù)報道，中國已經(jīng)成為受到互聯(lián)網(wǎng)攻擊最嚴重的國家。而電子商務往往和金融系統(tǒng)有著千絲萬縷的聯(lián)系，因而也成為了網(wǎng)絡黑客重點攻擊的目標。據(jù)權威機構調(diào)查表明，國內(nèi)電子商務發(fā)展的最大隱患就是網(wǎng)絡交易的安全問題。這也是當前發(fā)展電子商務最迫切需要解決的問題。

二、電子商務信息安全機制問題

在電子商務領域，最核心的安全問題就是電子交易的安全。如何解決電子交易過程中所面臨的身份驗證、保護信息機密性、防止信息的非法篡改以及防止交易抵賴等問題，成為了保護電子交易安全機制的關鍵問題。

（一）身份驗證在傳統(tǒng)交易方式中，驗證雙方的真實身份并不是一件非常困難的事情。交易是雙方面對面所進行的的活動，因此可以通過查看身份證、出示交易印章等方式驗證對方的真實身份。但是在電子交易環(huán)境中，雙方未曾謀面、相隔遙遠，更容易出現(xiàn)假冒、欺詐等違法行為。因此電子商務安全的首要問題就是驗證交易雙方的身份。

（二）信息機密性電子商務的交易過程通常都是直接在互聯(lián)網(wǎng)上進行的，如前所述互聯(lián)網(wǎng)的開放性雖然帶來通信與交流的便捷，但也給黑客提供了竊取個人或組織機密信息的可能性。當電子交易雙方通過網(wǎng)絡交換信息的時候，他們之間傳遞的機密信息就有可能竊取。進而威脅到個人的隱私或企業(yè)單位的經(jīng)濟利益，甚至可能導致商業(yè)的巨額損失。因此電子交易雙方必須解決如何保護傳遞的敏感信息，使黑客即使截獲了數(shù)據(jù)也無法破譯，進而無法獲得真實的通信內(nèi)容。

（三）信息完整性在電子商務交易過程中，攻擊者除了可以破譯通信內(nèi)容，直接威脅通信的機密性之外，還可以通過篡改通信內(nèi)容實現(xiàn)網(wǎng)絡的主動攻擊。通過篡改通信內(nèi)容，是交易雙方產(chǎn)生誤判，從而使攻擊者實現(xiàn)非法目的。因此電子交易雙方如何鑒別通信數(shù)據(jù)是否被篡改過，也成為了保護通信安全的一個重要環(huán)節(jié)。

（四）信息的不可抵賴性在商務活動中，商業(yè)形式千變?nèi)f化，為了防止交易雙方的抵賴行為，人們往往要訂立合同，在合同內(nèi)明確雙方同意的條款內(nèi)容，并要求雙方簽字蓋章。這些手段都是為了防止交易抵賴。但這樣的手段在電子交易中就無法實施。電子交易的雙方由于互不見面，某方完全有可能出于個人的私利，否認參與過整個交易過程。從而使對方遭受巨大的經(jīng)濟損失。因此，如何防止交易抵賴，保證交易的嚴肅性和公正性，成為電子商務發(fā)展所亟待解決的急切問題。

三、電子商務信息的安全機制

（一）對稱和非對稱加密機制為了保護電子交易的機密性，我們必須對雙方的數(shù)據(jù)進行加密，防止被截獲的數(shù)據(jù)被輕松破譯。加密算法有對稱和非對稱兩種。對稱加密算法主要特點是：電子交易雙方都必須要擁有共同的共享密鑰（即加密密鑰和解密密鑰相同），并且對稱加密算法的運算速度很高，適合大量數(shù)據(jù)的加密和解密工作。但是對稱算法存在的一個重大問題在于：如何安全的傳遞密鑰給通信對方。因為共享密鑰是需要在不安全的互聯(lián)網(wǎng)上直接傳遞的，如果密鑰被截獲，那整個加密體制就完全崩潰。非對稱加密機制是利用兩個不同的密鑰來完成數(shù)據(jù)的加密和解密工作（即公約和私鑰），公約和私鑰是成對產(chǎn)生的，但公約和私鑰相互之間無法直接推算出來。因此，為了保護信息的機密性，我們?nèi)绻s來加密的數(shù)據(jù)，則必須用相應的私鑰才能解密；反之，用私鑰來加密的數(shù)據(jù)則只能用對應的公約來解密。公約是完全公開的，任何人均可以獲得，而私鑰則必須由持有人妥善保管。這樣的非對稱機制的主要特點在于，為了保護信息的機密性，發(fā)送方用對方的公約加密，接收方用自己的私鑰解密，在加密數(shù)據(jù)的傳遞過程中，即使被截獲，截獲者也因為無法獲得接受者的私鑰而無法解密。同時非對稱機制可鑒別發(fā)送方的身份，使交易不可抵賴，發(fā)送方需要用自己的私鑰加密數(shù)據(jù)，將加密數(shù)據(jù)傳遞給接收方。接收方如果能夠用發(fā)送方的公鑰解密，則可以充分證明這些數(shù)據(jù)一定是來自發(fā)送方，而不是某個自稱發(fā)送方的假冒者，因為用發(fā)送方的公約能夠解密，則完全可以說明數(shù)據(jù)一定是發(fā)送方的私鑰加了密。而發(fā)送方的私鑰只有持有人才知道，因而可以推導出這些數(shù)據(jù)一定是發(fā)送方本人親自發(fā)送的。從而有效地解決了身份驗證和防止交易抵賴問題。但非對稱體制的缺點在于，加密和解密的運算量非常大，計算速度往往比對稱體制慢上百倍。因此實際在電子商務應用中，往往是把對稱和非對稱加密體制結合起來使用，即發(fā)送方用對稱體制的共享密鑰對數(shù)據(jù)加密，然后用非對稱體制的接收方的公鑰對共享密鑰加密，然后傳給接收方，接收方用自己的私鑰將共享密鑰解密，再用共享密鑰對大量的數(shù)據(jù)解密。這樣的安全設計，既充分發(fā)揮了對稱體制運算速度快的優(yōu)勢，也利用了非對稱傳遞數(shù)據(jù)安全的優(yōu)勢。

（二）散列運算防止信息被篡改為了防止電子商務信息被篡改，發(fā)送方需要對數(shù)據(jù)進行散列運算，將散列值（即摘要）連同數(shù)據(jù)本身發(fā)給對方，接收方也將數(shù)據(jù)重新計算散列值，并將新散列值與傳遞而來的散列值對照，如果兩個散列值相同，則證明數(shù)據(jù)在傳遞過程中沒有被篡改。因此接受方只要對照散列值，就可以判斷電子商務信息信息是否被篡改過。從而有效地解決了信息的完整性問題。

四、結論

篇7

1盜取信息

保存著互聯(lián)網(wǎng)上的信息在傳輸過程中，通常情況下都需要進行加密處理，一旦發(fā)生加密措施不到位或者缺少保護措施，那么就給了入侵者可乘之機，他們可以掌握信息的傳輸格式和規(guī)律等，將截取的信息進行分析對比，這樣就能夠得到消費者的個人身份信息甚至個人銀行卡密碼等重要私密信息。或者經(jīng)過非法手段盜取企業(yè)的商業(yè)機密，將信息外泄，給個人和企業(yè)的安全帶來了極大的威脅和困擾。

2篡改信息

我們在進行電子商務交易之前首先需要在網(wǎng)上進行個人基本信息注冊，某些甚至需要實名制，填寫身份證號和銀行卡號等重要信息，方可完成注冊。這樣一來，一旦相關網(wǎng)絡企業(yè)的系統(tǒng)被不法分子攻擊，就很有可能導致個人信息泄露。而入侵者借機利用技術手段對信息進行肆意篡改，或者增添內(nèi)容或者刪除內(nèi)容，或修改內(nèi)容，最后再將所有信息打包整理發(fā)送到指定接收地點。這種做法既嚴重阻礙了電子商務交易的正常操作，又破壞了信息的完整性和真實性。

3假冒信息

由于不法分子入侵網(wǎng)絡得逞之后，掌握了全部消費者信息，這時可以在按自己意愿篡改信息后假冒合法的客戶對信息進行接收和發(fā)送。而計算機網(wǎng)絡本身具有的虛擬特性使得交易雙方很難識別信息的真?zhèn)?，侵害了消費者的合法權益。慣用的手法是偽造客戶的收貨單據(jù)或訂貨憑證，隨意更改交易流程的允許訪問權限設置等。

二計算機安全技術在電子商務中的應用

1防火墻技術

防火墻技術好比保護電子商務交易安全進行的一道隔離墻，有效防止外部違法入侵，同時對計算機病毒進行全程時時隔離，將本機與復雜、危險的外部網(wǎng)絡進行隔離控制。主要包括包過濾技術防火墻、服務防火墻和地址遷移防火墻。

2數(shù)據(jù)加密技術

防火墻技術本身也有一些不可避免的缺陷：對于一些靠數(shù)據(jù)驅動的入侵無法進行攔截；對一些不易被察覺的攜帶病毒的文件沒有抵抗力，一旦進行下載就會使病毒迅速擴撒，導致計算機中毒；對一些繞過防火墻攔截的軟件，對電腦主機實行攻擊，找計算機漏洞進行病毒攻擊。而這時就需要數(shù)據(jù)加密技術來彌補防火墻技術的缺憾，運用對稱加密和分對稱加密，在信息交換環(huán)節(jié)通過公開密鑰體系進行完整的加密，保證電子商務交易與信息傳送的安全、暢通。

3身份識別技術

用戶需要在首次注冊時填寫個人身份證信息，網(wǎng)絡管理員對個人信息進行綜合審核后，合格者允許通行，放開其對網(wǎng)絡資源的使用權限。在電子商務中身份鑒別是必不可少的環(huán)節(jié)，通過此技術可以準確的識別對方身份的真實性，可以保證交易的安全。隨著技術的發(fā)展，身份識別技術的種類也在不斷擴大，包括智能卡鑒別技術、口令身份識別技術。盡管如此，但是這種技術仍然處在發(fā)展階段，需要不斷改進，但是研究成本較高，花費時間較長，受到各方面因素的限制，需要我們共同努力進行技術研發(fā)。

三結束語

篇8

[關鍵詞]電子商務計算機安全技術

隨著電子商務不斷的擴大影響，勢必將成為一種新型的交易模式走入人們?nèi)粘Ｉ?，計算機技術與其是密不可分，相輔相成的。電子商務的發(fā)展將帶動計算機技術應用的更加廣泛，計算機技術的進步將推動電子商務的蓬勃發(fā)展。而其在發(fā)展的過程中安全問題也變得越來越突出，可以說，沒有安全就沒有電子商務。

一、電子商務網(wǎng)絡的安全隱患

1.竊取信息。（1）交易雙方進行交易的內(nèi)容被第三方竊取。(2)交易一方提供給另一方使用的文件被第三方非法使用。

2.篡改信息。電子的交易信息在網(wǎng)絡傳輸?shù)倪^程中，可能被他人非法的修改、刪除這樣就使信息失去了真實性和完整性。

3.假冒。第三方可以冒充合法用戶發(fā)送假冒的信息或者主動獲取信息，有可能假冒一方的信謄或盜取被假冒一方的交易成果等。

4.惡意破壞。由于攻擊者可以接入網(wǎng)絡，則可能對網(wǎng)絡中的信息進行修改，掌握網(wǎng)上的機要信息，甚至可以潛入網(wǎng)絡內(nèi)部，破壞網(wǎng)絡的硬件或軟件而導致交易信息傳遞丟失與謬誤。計算機網(wǎng)絡本身容易遭到一些惡意程序的破壞，而使電子商務信息遭到破壞。

二、電子商務的安全要求

1.交易者身份的可認證性。在傳統(tǒng)的交易中，交易雙方往往是面對面進行活動的，這樣很容易確認對方的身份。即使開始不熟悉，不能確信對方，也可以通過對方的簽名、印章、證書等一系列有形的身份憑證來鑒別身份。然而，在進行網(wǎng)上交易時，情況就大不一樣了，因為網(wǎng)上交易的雙方可能素昧平生，相隔千里，并且在整個交易過程中都可能不見一面。要使交易成功，首先要能驗證對方的身份，對商家要考慮客戶端不能是騙子，而客戶也會擔心網(wǎng)上的商店是不是一個玩弄欺詐的黑店。因此能方便而可靠地確認對方身份是交易的前提。

2.信息的機密性。由于電子商務是建立在一個開放的網(wǎng)絡環(huán)境上的，維護商業(yè)機密是電子商務全面推廣應用的重要保障。當交易雙方通過Internet交換信息時，如果不采取適當?shù)谋Ｃ艽胧?，就可能將通信?nèi)容泄密；另外，在網(wǎng)絡上的文件信息如果不加密的話，也有可能被黑客竊取。上述種種情況都有可能造成敏感商業(yè)信息的泄漏，導致商業(yè)上的巨大損失。因此，電子商務一個重要的安全需求就是信息的保密性。這意味著，一定要對敏感信息進行加密，即使別人截獲或竊取了數(shù)據(jù)，也無法識別信息的真實內(nèi)容，以使商業(yè)機密信息難以被泄漏。

3.信息的真實完整性。信息輸入時的意外差錯或欺詐行為、傳輸過程中信息的丟失、重復或傳送次序差異都會導致貿(mào)易各方信息的不同。交易的文件是不可被修改的，應該保證接受方收到的信息確實是發(fā)送方發(fā)送的，中途沒有被非法用戶篡改過。電子交易文件必須做到不可修改，以保障交易的嚴肅和公正。

三、電子商務交易中的一些網(wǎng)絡安全技術

針對以上問題現(xiàn)在廣泛采用了身份識別技術、數(shù)據(jù)加密技術、數(shù)字簽名技術和放火墻技術。

1.身份識別技術。通過電子網(wǎng)絡開展電子商務，身份識別問題是一個必須解決的問題。一方面，只有合法用戶才可以使用網(wǎng)絡資源，所以網(wǎng)絡資源管理要求識別用戶的身份;另一方面，傳統(tǒng)的交易方式，交易雙方可以面對面地談判交涉，很容易識別對方的身份。通過電子網(wǎng)絡交易方式，交易雙方不見面，并且通過普通的電子傳輸信息很難確認對方的身份。因此，電子商務中的身份識別問題顯得尤為突出。

2.數(shù)據(jù)加密技術。加密技術是電子商務中采取的主要安全措施，貿(mào)易方可根據(jù)需要在信息交換的階段使用。目前，加密技術分為兩類，即對稱加密/對稱密鑰加密/專用密鑰加密和非對稱加密/公開密鑰加密?，F(xiàn)在許多機構運用PKI(publickeyInfrastructur的縮寫，即“公開密鑰體系”）技術實施構建完整的加密/簽名體系，更有效地解決上述難題，在充分利用互聯(lián)網(wǎng)實現(xiàn)資源共享的前提下從真正意義上確保了網(wǎng)上交易與信息傳遞的安全。3.智能化防火墻技術。智能防火墻從技術特征上，是利用統(tǒng)計、記憶、概率和決策的智能方法來對數(shù)據(jù)進行識別，并達到訪問控制的目的。新的方法，消除了匹配檢查所需要的海量計算，高效發(fā)現(xiàn)網(wǎng)絡行為的特征值，直接進行訪問控制。智能防火墻成功地解決了普遍存在的拒絕服務攻擊(DDOS)的問題、病毒傳播問題和高級應用入侵問題，代表著防火墻的主流發(fā)展方向。新型智能防火墻自身的安全性較傳統(tǒng)的防火墻有很大的提高，在特權最小化、系統(tǒng)最小化、內(nèi)核安全、系統(tǒng)加固、系統(tǒng)優(yōu)化和網(wǎng)絡性能最大化方面，與傳統(tǒng)防火墻相比較有質(zhì)的飛躍。

四、結束語

電子商務安全對計算機網(wǎng)絡安全與商務安全提出了雙重要求，其復雜程度比大多數(shù)計算機網(wǎng)絡都高。在電子商務的建設過程中涉及到許多安全技術問題，制定安全技術規(guī)則和實施安全技術手段不僅可以推動安全技術的發(fā)展，同時也促進安全的電子商務體系的形成。當然，任何一個安全技術都不會提供永遠和絕對的安全，因為網(wǎng)絡在變化，應用在變化，入侵和破壞的手段也在變化，只有技術的不斷進步才是真正的安全保障。

參考文獻:

篇9

[關鍵詞] 計算機網(wǎng)絡 互聯(lián)網(wǎng) 電子商務 安全 保護

一、安全的重要性以及存在的安全問題及其原因

計算機網(wǎng)絡之所以存在著脆弱性，主要是由于技術本身存在著安全弱點、系統(tǒng)的安全性差、缺乏安全性實踐等。此外，信息安全處在初期發(fā)展階段，缺少網(wǎng)絡環(huán)境下用于產(chǎn)品評價的安全性準則和評價工具。系統(tǒng)管理人員的安全意識和安全管理培訓等也相對缺乏。在系統(tǒng)安全受到威脅時，缺少應有的完整的安全管理方法、步驟和安全對策，如事故通報、風險評估、改正安全缺陷、評估損失、相應的補救恢復措施等。

根據(jù)攻擊能力的組織結構程度和使用的手段，可以將威脅歸納為四種基本類型：無組織結構的內(nèi)部和外部威脅與有組織結構的內(nèi)部和外部威脅。一般來講，對外部威脅，安全性強調(diào)防御；對內(nèi)部威脅，安全性強調(diào)威懾。

1.病毒。病毒是由一些不正直的程序員所編寫的計算機程序，它采用了獨特的設計，可以在受到某個事件觸發(fā)時，復制自身，并感染計算機。如果在病毒可以通過某個外界來源進入網(wǎng)絡時（大多數(shù)是通過某個受到感染的磁盤或者某個從互聯(lián)網(wǎng)上下載的文件），網(wǎng)絡才會感染病毒。當網(wǎng)絡上的一臺計算機被感染時，網(wǎng)絡上的其他計算機就非常有可能感染到這種病毒。2.特洛伊木馬程序。特洛伊木馬程序，是破壞性代碼的傳輸工具。特洛伊表面上看起來是無害的或者有用的軟件程序，例如計算機游戲，但是它們實際上是偽裝的敵人。特洛伊可以刪除數(shù)據(jù)，將自身的副本發(fā)送給電子郵件地址簿中的收件人，以及開啟計算機進行其他攻擊。只有通過磁盤，從互聯(lián)網(wǎng)上下載文件，或者打開某個電子郵件附件，將特洛伊木馬程序復制到一個系統(tǒng)，才可能感染特洛伊。無論是特洛伊還是病毒并不能通過電子郵件本身傳播――它們只可能通過電子郵件附件傳播。3.惡意破壞程序。網(wǎng)站會提供一些軟件應用（例如ActiveX和Java Applet）的開發(fā)而變得更加活潑。這些應用可以實現(xiàn)動畫和其他一些特殊效果，從而使網(wǎng)站更具有吸引力和互動性。但是，由于這些應用非常便于下載和運行，從而提供了一種造成損害的新工具。惡意破壞程序是指會導致不同程度破壞的軟件應用或者Java小程序。一個惡意破壞程序可能只會損壞一個文件，也可能損壞大部分計算機系統(tǒng)。4.攻擊。目前已經(jīng)出現(xiàn)了各種類型的網(wǎng)絡攻擊，它們通常被分為三類：探測式攻擊，訪問攻擊和拒絕服務（DoS）攻擊。(1)探測式攻擊實際上是信息采集活動，黑客們通過這種攻擊搜集網(wǎng)絡數(shù)據(jù)，用于以后進一步攻擊網(wǎng)。(2)訪問攻擊用于發(fā)現(xiàn)身份認證服務、文件傳輸協(xié)議（FTP）功能等網(wǎng)絡領域的漏洞，以訪問電子郵件賬號、數(shù)據(jù)庫和其他保密信息。(3)DoS攻擊可以防止用戶對于部分或者全部計算機系統(tǒng)的訪問。它們的實現(xiàn)方法通常是：向某個連接到企業(yè)網(wǎng)絡或者互聯(lián)網(wǎng)的設備發(fā)送大量的雜亂的或者無法控制的數(shù)據(jù)，從而讓正常的訪問無法到達該主機。更惡毒的是分布式拒絕服務攻擊（DDoS），在這種攻擊中攻擊者將會危及到多個設備或者主機的安全。5.數(shù)據(jù)阻截。通過任何類型的網(wǎng)絡進行數(shù)據(jù)傳輸都可能會被未經(jīng)授權的一方截取。犯罪分子可能會竊聽通信信息，甚至更改被傳輸?shù)臄?shù)據(jù)分組。犯罪分子可以利用不同的方法來阻截數(shù)據(jù)。6.社會活動。社會活動是一種越來越流行的通過非技術手段獲取保密的網(wǎng)絡安全信息的手段。7.垃圾信件。垃圾信件被廣泛用于表示那些主動發(fā)出的電子郵件或者利用電子郵件廣為發(fā)送未經(jīng)申請的廣告信息的行為。垃圾信件通常是無害的，但是它可能會浪費接收者的時間和存儲空間，帶來很多麻煩。

二、技術保障策略

1.加密。加密方法多種多樣，在網(wǎng)絡信息中一般是利用信息變換規(guī)則把明文的信息變成密文的信息。既可對傳輸信息加密，也可對存儲信息加密，把計算機數(shù)據(jù)變成一堆亂七八糟的數(shù)據(jù)，攻擊者即使得到經(jīng)過加密的信息，也不過是一串毫無意義的字符。加密可以有效地對抗截收、非法訪問等威脅。2.數(shù)字簽名。數(shù)字簽名機制提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等安全問題。數(shù)字簽名采用一種數(shù)據(jù)交換協(xié)議，使得收發(fā)數(shù)據(jù)的雙方能夠滿足兩個條件：接受方能夠鑒別發(fā)送方宣稱的身份；發(fā)送方以后不能否認他發(fā)送過數(shù)據(jù)這一事實。數(shù)據(jù)簽名一般采用不對稱加密技術，發(fā)送方對整個明文進行加密變換，得到一個值，將其作為簽名。接收者使用發(fā)送者的公開密鑰對簽名進行解密運算，如其結果為明文，則簽名有效，證明對方身份是真實的。3.鑒別。鑒別的目的是驗明用戶或信息的正身。對實體聲稱的身份進行惟一識別，以便驗證其訪問請求，或保證信息來源以驗證消息的完整性，有效地對抗冒充、非法訪問、重演等威脅。按照鑒別對象的不同，鑒別技術可以分為消息鑒別和通信雙方相互鑒別；按照鑒別內(nèi)容不同，鑒別技術可以分為用戶身份鑒別和消息內(nèi)容鑒別。鑒別的方法很多：利用鑒別碼驗證消息的完整性；利用通行字、密鑰、訪問控制機制等鑒別用戶身份，防止冒充、非法訪問；當今最佳的鑒別方法是數(shù)字簽名。4.訪問控制。訪問控制的目的是防止非法訪問。訪問控制是采取各種措施保證系統(tǒng)資源不被非法訪問和使用。一般采用基于資源的集中式控制、基于資源和目的地址的過濾管理以及網(wǎng)絡簽證等技術來實現(xiàn)。5.防火墻。防火墻技術是建立在現(xiàn)代通信網(wǎng)絡技術和信息安全技術基礎上的應用性安全技術，越來越多地應用于專用網(wǎng)絡與公共網(wǎng)絡的互聯(lián)環(huán)境中。大型網(wǎng)絡系統(tǒng)與Internet互聯(lián)的第一道屏障就是防火墻。防火墻通過控制和監(jiān)測網(wǎng)絡之間的信息交換和訪問行為來實現(xiàn)對網(wǎng)絡安全的有效管理，其基本功能為：過濾進、出網(wǎng)絡的數(shù)據(jù)；管理進、出網(wǎng)絡的訪問行為；封堵某些禁止行為；記錄通過防火墻的信息內(nèi)容和活動；對網(wǎng)絡攻擊進行檢測和告警。

總之，隨著時間的推移，越來越多的新技術將用于進一步地提高業(yè)務和通信的效率。如果企業(yè)始終站在這種新型技術的前列，并能夠防御最新的安全威脅和攻擊，網(wǎng)絡所帶來的好處必然將遠遠超過它所帶來的風險。

參考文獻：

篇10

    關鍵詞:中國移動電子商務;現(xiàn)狀;問題及對策;趨勢

    移動電子商務是傳統(tǒng)互聯(lián)網(wǎng)電子商務在移動領域的延伸和發(fā)展,是指通過手機、PDA、筆記本電腦等移動通信設備與因特網(wǎng)結合進行信息查詢、商務交易及對信息、服務和商品的價值交換等電子商務活動的過程和行為。隨著移動通信技術、互聯(lián)網(wǎng)技術和信息處理技術的快速發(fā)展,人們已經(jīng)不再滿足于傳統(tǒng)的商務活動,而是希望隨時隨地進行收發(fā)電郵、移動支付、定購各種商品等商務活動,所以移動電子商務成為人們關注和研究的熱點。與傳統(tǒng)通過臺式電腦平臺開展的電子商務相比,移動電子商務擁有更為廣泛的用戶基礎,因此,也具有更為廣闊的應用前景,特別是在當前3G背景下,移動電子商務正逐漸憑借技術和應用上的優(yōu)越性,顯示出強大的生命力。

    一、中國移動電子商務現(xiàn)狀

    迄今為止,我國移動電子商務技術的發(fā)展經(jīng)歷了三個階段。第一個階段是以短訊為基礎的技術;第二個階段的移動電子商務采用基于WAP技術的方式;第三個階段是以2009年發(fā)放牌照為標志、能夠實現(xiàn)無縫漫游和移動寬帶的3G時代。3G背景下,無線通信產(chǎn)品能夠為人們提供速度高達2Mb/s的寬帶多媒體業(yè)務,支持高質(zhì)量的語音分組交換數(shù)據(jù)多媒體業(yè)務和多用戶速率通信。

    (一)移動客戶群龐大

    根據(jù)工業(yè)和信息化部的數(shù)據(jù)顯示,2009年中國手機終端的數(shù)量已經(jīng)達到7.74億,接近上網(wǎng)用戶數(shù)量的3倍,而來自CNNIC的數(shù)據(jù)顯示,2009年底中國手機網(wǎng)民的數(shù)量已突破2.33億,手機網(wǎng)民規(guī)模呈現(xiàn)迅速增長的勢頭。這表明我國移動電子商務業(yè)務的發(fā)展具有巨大的潛力。艾瑞咨詢預計,2011年移動電子商務營收規(guī)模將達到1.7億元。

    (二)國家政策支持

    包括移動電子商務在內(nèi)的電子商務被列入了2006年3月頒布的《國民經(jīng)濟和社會發(fā)展信息化“十一五”規(guī)劃》。2007年6月,發(fā)改委與原國務院信息辦又專門出臺了《電子商務發(fā)展“十一五”規(guī)劃》,其中移動電子商務試點工程作為六大重點引導工程之一。規(guī)劃中明確指出“鼓勵基礎電信運營商、電信增值業(yè)務服務商、內(nèi)容服務提供商和金融服務機構相互協(xié)作,建設移動電子商務服務平臺”、“發(fā)展小額支付服務、便民服務和商務信息服務,探索面向不同層次消費者的新型服務模式”,并確定了轉變經(jīng)濟發(fā)展方式、方便百姓生活和帶動戰(zhàn)略產(chǎn)業(yè)發(fā)展的三大目標,三大目標正在逐步實現(xiàn),初步顯現(xiàn)了移動電子商務巨大的效益和潛力。

    (三)無線基礎設施建設迅速

    近年來,政府加大了對電信基礎建設的投資力度,中國移動、中國電信和中國聯(lián)通三大電信運營商在2009年8月前完成了其3G網(wǎng)絡的第一階段部署工作?；贑DMA的3G服務,即中國電信的CDMA2000和中國聯(lián)通的WCDMA,發(fā)展迅速。相比之下,中國移動的TD-SCDMA3G技術的商業(yè)化進程比預期緩慢。在網(wǎng)絡部署方面,中國電信在3G領域方面動作最快,預計它將發(fā)動價格戰(zhàn)以吸引更多的用戶。3G網(wǎng)絡的鋪設,加速了我國移動電子商務的發(fā)展。

    二、目前中國移動電子商務所面臨的問題及對策

    (一)理論研究欠缺

    綜觀近年來研究移動電子商務的學術論文,雖然論文的數(shù)量呈現(xiàn)增長趨勢,但是研究內(nèi)容大都是“移動安全”和“無線移動通信系統(tǒng)”方面的論文,而且研究方法僅僅停留在非實證研究的層次上,研究深度不夠,顯示出移動電子商務新應用研究創(chuàng)新的不足。應根據(jù)我國移動電子商務的發(fā)展,采取實證的方法,加強對移動電子商務行為、模式、安全和跨文化等方面的研究。