電子商務安全精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的電子商務安全主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：電子商務安全范文

關鍵詞:移動電子商務IEEE802.11WAPWPKI

隨著無線通信技術的發(fā)展,移動電子商務已經成為電子商務研究熱點。移動電子商務是將現代信息科學技術和傳統(tǒng)商務活動相結合,隨時隨地為用戶提供各種個性化的、定制的在線動態(tài)商務服務。

但在無線世界里,人們對于進行商務活動安全性的考慮比在有線環(huán)境中要多。只有當所有的用戶確信,通過無線方式所進行的交易不會發(fā)生欺詐或篡改、進行的交易受到法律的承認和隱私信息被適當的保護時,移動電子商務才有可能蓬勃開展。

移動電子商務通信安全的現狀

由于無線通訊接入方式非常靈活,所以其對安全的要求更高。實際上,主要的無線通信技術都有各自的措施、協(xié)議和方法來保證各自體制下的通信安全。這里我們將從無線網絡和電子商務應用兩個方面作簡要討論。

無線局域網

無線局域網絡是以無線連接至局域網絡的通訊方式。它采用的是IEEE802.11系列標準。在該標準中,無線局域網的安全機制采用的是WEP協(xié)議(有線對等安全協(xié)議)。在數據鏈路用WEP加密數據,保證了信道上傳送數據的安全。另外,無線局域網的網絡管理員分配給每個授權用戶一個基于WEP算法的密鑰,這樣就有效阻止了非授權用戶的訪問。

WAP(無線應用協(xié)議)技術

WAP由一系列協(xié)議組成,用來標準化無線通信設備,例如:移動電話、移動終端;它負責將Internet和移動通信網連接到一起,客觀上已成為移動終端上網的標準。WAP協(xié)議可以廣泛地運用于GSM、CDMA、TDMA、3G等多種網絡。

WAP的安全機制是通過WTLS(無線傳輸層安全)協(xié)議來實現的。WTLS協(xié)議類似于互聯(lián)網傳輸層安全協(xié)議。在無線技術的有限的發(fā)送功率、存儲容量及帶寬的條件下,WTLS能夠實現鑒定,保證數據的完整性和提供保密服務的目標。

數字認證技術

對諸如移動電子商務和有重要使命的合作通信等活動,其安全性的一個關鍵方面是能否對信息發(fā)送者的身份進行論證,通常都要利用有線安全的公開密鑰基本構架(PKI)。

PKI提供與加密和數字證書有關的一系列技術。但在無線通信環(huán)境中,PKI是很難實現的。在只有有限計算能力和低數據流通率的設備上實現PKI中的服務一直是一個有挑戰(zhàn)性的難題。同時在PKI的基礎上,要將無線設備與有線設備之間進行互通也是有難度的。因此無線PKI(WPKI)協(xié)議是要將標準的PKI進行修正和簡化,使其在無線通信的環(huán)境下達到最優(yōu)。

移動電子商務安全分析

IEEE802.11的安全

IEEE802.11標準規(guī)定了MAC層的存取控制規(guī)范,也定義了加密機制,即上述的WEP。WEP的目的是通過對信息流加密并利用WEP認證節(jié)點,使無線通信傳輸像有線網絡一樣安全。

WEP加密使用共享密鑰和RC4加密算法。訪問點(AP)和連接到該訪問點的所有工作站必須使用同樣的共享密鑰。對于往任一方向發(fā)送的數據包,傳輸程序都將數據包的內容與數據包的檢驗組合在一起。然后,WEP標準要求傳輸程序創(chuàng)建一個特定于數據包的初始化向量(IV),后者與密鑰k相組合在一起,用于對數據包進行加密。接收器生成自己的匹配數據包密鑰并用之對數據包進行解密。在理論上,這種方法優(yōu)于單獨使用共享私鑰的顯式策略,應該使對方更難于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相當于有線局域網基本安全的安全級別,根本不是一種全面的安全方案。越來越多的安全專家和研究人員發(fā)現IEEE802.11存在安全漏洞,有經驗的黑客會利用這些漏洞進行攻擊。其缺陷主要有:RC4算法本身就有一個小缺陷。WEP標準允許IV重復使用(平均大約每5小時重復一次)。WEP標準不提供自動修改密鑰的方法。

最早的WEP實施只提供40位加密,這使得它抗暴力攻擊能力差?，F代的系統(tǒng)提供128位的WEP,128位的密鑰長度減去24位的IV后,實際上有效的密鑰長度為104位。盡管如此,128位的WEP版本也不能保證絕對安全。最好的解決辦法是把無線網絡放在機構防火墻之外,這種防范措施會強制要求將無線連接當作不受信任的連接來看待,就像看待其他任何來自Internet的連接一樣。

所以,WEP應該與其他安全機制一起應用才能提供較強的安全。

WAP的安全

WAP規(guī)范的安全特性包括幾個部分:WTLS協(xié)議、用于存儲用戶證書的WAP身份模塊(WIM)和允許WAP交易簽名的SignText功能。

WTLS協(xié)議:WTLS基于IETF小組的SSL/TLS協(xié)議,提供了實體鑒別、數據加密和保護數據完整性的功能,所以可以確保在WAP裝置和WAP網關之間的安全通信。有三種不同級別的WTLS:

1級:執(zhí)行未經證實的Diffie-Hellman密鑰交換以建立會話密鑰。

2級:使用與SSL/TLS協(xié)議相類似的公開密鑰證書機制進行服務器端鑒別。

3級:客戶端和服務器端采用X.509格式證書相互進行鑒別。

早期WAP裝置僅僅采用了第1級別的WTLS,這種級別的安全不夠,所以不能用于電子商務。目前,支持第2和第3級別WTLS的移動裝置從市場上可以得到,它們可以確保網上銀行交易和購物等應用的機密性。

WIM:為了便于客戶端的鑒別,新一代的WAP電話提供了WIM。WIM包含了WTLS3級的功能,并嵌入了對公開密鑰加密技術的支持(RSA是強制的,而ECC是可選的)。生產廠家為WIM配備了兩套公私密鑰對(一套用于簽名,另一套用于鑒別)和兩個廠商的證書。用配置在WIM上的公匙把廠商的證書和廠商名字捆綁在一起。這樣,通過WIM和WAP網關建立的所有WTLS會話都將使用相同的公匙用作初始會話。每一個會話都將包括與此密鑰對應的一個不同的證書。WIM的基本要求是它們要具有抗篡改的能力。

SignText功能:這個功能為WAP用戶提供了數字簽名。同電子簽名功能一樣,這個功能可以被應用于其他無線設備,或者是手持設備,或者是內嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3級,多數情況下WTLS已足以確保WAP的安全。但是,由于WAP網關在WAP設備和Web服務器之間起著翻譯的作用,相應的帶來了安全問題:WTLS安全會話建立在手機與WAP網關之間,而與終端服務器無關。這意味著數據只在WAP手機與網關之間加密,網關將數據解密后,利用其他方法將數據再次加密,然后經過TLS連接發(fā)送給終端服務器。由于WAP網關可以看見所有的數據明文,而該WAP網關可能并不為服務器所有者所擁有,這樣,潛在的第三方可能獲得所有的傳輸數據。

目前,針對上述安全性問題,可以采用這樣的措施來提高WAP的安全性:盡力確保WAP網關的安全。如果WAP網關位于WAP服務供應商范圍之內,可以通過諸如在內存中對加密和解密過程進行最優(yōu)化以減少數據明文存在的時間、在釋放前覆蓋加密解密進程使用的內存以確保數據的安全性。對于安全要求較高的公司可以擁有自己的WAP網關,從而保障數據端到端的安全性。通過WIM實現數據安全性。

WPKI技術

在有線通信中,電子商務交易的一個重要安全保障是PKI。PKI的系統(tǒng)概念、安全操作流程、密鑰、證書等同樣也適用于解決移動電子商務交易的安全問題,但在應用PKI的同時要考慮到移動通信環(huán)境的特點,并據此對PKI技術進行改進。

WPKI技術滿足移動電子商務安全的要求:即保密性、完整性、真實性、不可抵賴性,消除了用戶在交易中的風險。WPKI技術主要包含以下幾個方面:

認證機構(CA)CA系統(tǒng)是PKI的信任基礎,負責分發(fā)和驗證數字證書,規(guī)定證書的有效期,證書廢除列表。

注冊機構(RA)RA提供用戶和CA之間的一個接口。作為認證機構的校驗者,在數字證書分發(fā)給請求者之前對證書進行驗證。

智能卡智能卡將具有存儲、加密及數據處理能力的集成電路芯片鑲嵌于塑料基片中,具有體積小、難于破解等特點,在生產過程、訪問控制方面有很強的安全保障。很多種需要客戶端認證的應用都可以使用智能卡來實現。并且智能卡也是存儲移動電子商務密鑰及相關數字證書的最佳選擇。

加密算法加密算法越復雜,密鑰越長則安全性越高,但執(zhí)行運算所需的時間也越長(或需要計算能力更強的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有協(xié)處理器的芯片。而ECC使用較短的密鑰就可以達到和RSA算法相同的加密強度。由于智能卡受CPU處理能力和RAM大小的限制,因而采用一種運算量小同時能提供高加密強度的公鑰密碼體制對在智能卡上實現數字簽名應用是至關重要的,ECC在這方面具有很大的優(yōu)勢。

綜上所述,在WPKI機制下,數字證書非常重要,但是由于無線信道和移動終端的限制,如何安全、便捷地交換用戶的數字證書是WPKI所必須解決的問題?？梢圆捎靡韵?種辦法解決:WTLS證書,WTLS證書的功能與X.509證書相同,但更小、更簡化,利于在資源受限的手持終端中處理。但所有證書必須含有與密鑰交換算法相一致的密鑰,除非特別指定,簽名算法必須與證書中密鑰的算法相同:移動證書標識,將標準的一個X.509證書與移動證書標識唯一對應,并且在移動終端中嵌入移動證書標識,用戶每次只需要將自己的移動證書標識與簽名數據一起提交給對方,對方再根據移動證書標識檢索相應的數字證書即可。

目前,大多數移動電子商務采用的安全方式是非PKI的方式,這種方式主要采用對稱加密算法和單向散列函數來提供安全服務,其密鑰的管理是由移動運營商建立一套主密鑰管理系統(tǒng),為不同的服務提供商分配不同的密鑰,每次交易過程中,服務提供商與用戶協(xié)商產生會話加密密鑰。顯然,采用這種方式構建的系統(tǒng)的安全性主要取決于主密鑰的安全。

盡管非PKI方式對于無線終端有限的處理能力來說尤其適合,而且通過黑名單管理等方法可以使系統(tǒng)的安全得到較好的保障,但是從長遠來說,移動電子商務有必要逐步過渡到PKI方式。

移動電子商務隨著移動互聯(lián)網技術的成熟發(fā)展迅速,其獨特的應用領域使得其安全問題倍受關注。從技術角度上看,一方面無線通信的安全處在不斷地發(fā)展和完善之中,其應用到移動電子商務中時要與其它的安全機制相結合才能滿足實際應用的需要;另一方面有線電子商務的安全技術不能解決移動電子商務的安全問題,所以WPKI技術是一個現實的選擇。因此,將這兩方面進行改進并進行有機整合,才能營造一個安全的移動電子商務環(huán)境。

參考文獻:

1.儲節(jié)旺,郭春俠.移動電子商務研究[J].現代情報,2002,3(3)

2.姜志,聶志鋒.移動電子商務及其關鍵技術[J].湖北郵電技術,2002,9(3)

第2篇：電子商務安全范文

關鍵詞：電子商務安全套接層協(xié)議安全電子交易認證中心

1電子商務的主要安全要素

目前電子商務工程正在全國迅速發(fā)展。實現電子商務的關鍵是要保證商務活動過程中系統(tǒng)的安全性，即應保證在基于Internet的電子交易轉變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看,傳統(tǒng)的買賣雙方是面對面的,因此較容易保證交易過程的安全性和建立起信任關系。但在電子商務過程中，買賣雙方是通過網絡來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關系相當困難。電子商務交易雙方（銷售者和消費者）都面臨安全威脅。電子商務的安全要素主要體現在以下幾個方面：

信息有效性、真實性

電子商務以電子形式取代了紙張，如何保證這種電子形式的貿易信息的有效性和真實性則是開展電子商務的前提。電子商務作為貿易的一種形式，其信息的有效性和真實性將直接關系到個人、企業(yè)或國家的經濟利益和聲譽。

信息機密性

電子商務作為貿易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務是建立在一個較為開放的網絡環(huán)境上的，商業(yè)防泄密是電子商務全面推廣應用的重要保障。

信息完整性

電子商務簡化了貿易過程，減少了人為的干預，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數據輸入時的意外差錯或欺詐行為，可能導致貿易各方信息的差異。此外，數據傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿易各方信息的不同。因此，電子商務系統(tǒng)應充分保證數據傳輸、存儲及電子商務完整性檢查的正確和可靠。

信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當地拒絕；不可否認要求即是能建立有效的責任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或實體的使用方式。在傳統(tǒng)的紙面貿易中，貿易雙方通過在交易合同、契約或貿易單據等書面文件上手寫簽名或印章來鑒別貿易伙伴，確定合同、契約、單據的可靠性并預防抵賴行為的發(fā)生。

在無紙化的電子商務方式下，通過手寫簽名和印章進行貿易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。在1nternet上每個人都是匿名的。原發(fā)方在發(fā)送數據后不能抵賴；接收方在接收數據后也不能抵賴。

2電子商務的安全技術討論

2．1電子商務的安全技術之一-----數據加密技術

加密技術用于網絡安全通常有二種形式，即面向網絡或面向應用服務。

面向網絡的加密技術通常工作在網絡層或傳輸層，使用經過加密的數據包傳送、認證網絡路由及其他網絡協(xié)議所需的信息，從而保證網絡的連通性和可用性不受損害。在網絡層上實現的加密技術對于網絡應用層的用戶通常是透明的。此外，通過適當的密鑰管理機制，使用這一方法還可以在公用的互聯(lián)網絡上建立虛擬專用網絡并保障虛擬專用網上信息的安全性。

面向網絡應用服務的加密技術使用則是目前較為流行的加密技術的使用方法，例如使用kerberos服務的telnet、nfs、rlogion等，以及用作電子郵件加密的pem（privacyenhancedmail）和pgp（prettygoodprivacy）。這一類加密技術的優(yōu)點在于實現相對較為簡單，不需要對電子信息（數據包）所經過的網絡的安全性能提出特殊要求，對電子郵件數據實現了端到端的安全保障。

1）常用的加密技術分類：

對稱密鑰密碼算法

對稱（傳統(tǒng)）密碼體制是從傳統(tǒng)的簡單換位代替密碼發(fā)展而來的，自1977年美國頒布des密碼算法作為美國數據加密標準以來，對稱密鑰密碼體制得到了迅猛發(fā)展，得到了世界各國關注和使用。對稱密鑰密碼體制從加密模式上可分為序列密碼和分組密碼兩大類。

不對稱型加密算法

也稱公用密鑰算法，其特點是有二個密鑰即公用密鑰和私有密鑰，只有二者配合使用才能完成加密和解密的全過程。

由于不對稱算法擁有二個密鑰，因此它特別適用于分布式系統(tǒng)中的數據加密，在Internet中得到了廣泛應用。其中公用密鑰在網上公布，為數據源對數據加密使用，而用于解密的相應私有密鑰則由數據的收信方妥善保管。

不可逆加密算法

其特征是加密過程不需要密鑰，并且經過加密的數據無法被解密，只有同樣的輸入數據經過同樣的不可逆加密算法才能得到相同的加密數據。不可逆加密算法不存在密鑰保管和分發(fā)問題，適合于分布式網絡系統(tǒng)上使用，但是其加密計算工作量大，所以通常用于數據量有限的情形的加密，例如計算機系統(tǒng)中的口令的加密。

2）電子商務領域常用的加密技術

數字摘要(digitaldigest)

這一加密方法亦稱安全Hash編碼法，由RonRivest所設計。該編碼法采用單向Hash函數將需加密的明文"摘要"成一串128bit的密文，這一串密文亦稱為數字指紋(FingerPrint)，它有固定的長度，且不同的明文摘要成密文，其結果總是不同的，而同樣的明文其摘要必定一致。這樣這串摘要便可成為驗證明文是否是"真身"的"指紋"了。

數字簽名(digitalsignature)

數字簽名將數字摘要、公用密鑰算法兩種加密方法結合起來使用。在書面文件上簽名是確認文件的一種手段，簽名的作用有兩點，一是因為自己的簽名難以否認，從而確認了文件已簽署這一事實；二是因為簽名不易仿冒，從而確定了文件是真的這一事實。

數字時間戳(digitaltime-stamp)

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關鍵性內容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數字時間戳服務(DTS)就能提供電子文件發(fā)表時間的安全保護。

數字時間戳服務(DTS)是網上安全服務項目，由專門的機構提供。時間戳(time-stamp)是一個經加密后形成的憑證文檔，它包括三個部分：1)需加時間戳的文件的摘要(digest),2)DTS收到文件的日期和時間，3)DTS的數字簽名。

數字證書(digitalcertificate,digitalID)

數字證書又稱為數字憑證，是用電子手段來證實一個用戶的身份和對網絡資源的訪問的權限。

數字憑證有三種類型：

·個人憑證(PersonalDigitalID)

·企業(yè)（服務器）憑證(ServerID)

·軟件（開發(fā)者）憑證(DeveloperID)

上述三類憑證中前二類是常用的憑證，第三類則用于較特殊的場合，大部分認證中心提供前兩類憑證。

3）與電子商務安全有關的協(xié)議技術討論：

SSL協(xié)議（SecureSocketsLayer）安全套接層協(xié)議

------面向連接的協(xié)議，當初不是為電子商務而設計

SSL協(xié)議主要是使用公開密鑰體制和X.509數字證書技術保護信息傳輸的機密性和完整性，它不能保證信息的不可抵賴性，主要適用于點對點之間的信息傳輸，常用WebServer方式。

SSL協(xié)議在應用層收發(fā)數據前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應用協(xié)議（如HTTP、FTP、TELNET等）以保證應用層數據傳輸的安全性。SSL協(xié)議獨立于應用層協(xié)議，因此，在電子交易中被用來安全傳送信用卡號碼。

SSL的應用及局限：中國目前多家銀行均采用SSL協(xié)議，從目前實際使用的情況來看，SSL還是人們最信賴的協(xié)議。但是SSL當初并不是為支持電子商務而設計的，所以在電子商務系統(tǒng)的應用中還存在很多弊端。它是一個面向連接的協(xié)議，在涉及多方的電子交易中，只能提供交易中客戶與服務器間的雙方認證，而電子商務往往是用戶、網站、銀行三家協(xié)作完成,SSL協(xié)議并不能協(xié)調各方間的安全傳輸和信任關系；還有，購貨時用戶要輸入通信地址，這樣將可能使得用戶收到大量垃圾信件。

SET協(xié)議（SecureElectronicTransaction）安全電子交易

------專門為電子商務而設計的協(xié)議，但仍然不能解決電子商務所遇到全部問題

電子商務在提供機遇和便利的同時，也面臨著一個最大的挑戰(zhàn)，即交易的安全問題。在網上購物的環(huán)境中，持卡人希望在交易中保密自己的帳戶信息，使之不被人盜用；商家則希望客戶的定單不可抵賴，并且，在交易過程中，交易各方都希望驗明其他方的身份，以防止被欺騙。針對這種情況，由美國Visa和MasterCard兩大信用卡組織聯(lián)合國際上多家科技機構，共同制定了應用于Internet上的以銀行卡為基礎進行在線交易的安全標準，這就是"安全電子交易"（SET）。它采用公鑰密碼體制和X.509數字證書標準，主要應用于保障網上購物信息的安全性。由于SET提供了消費者、商家和銀行之間的認證，確保了交易數據的安全性、完整可靠性和交易的不可否認性，特別是保證不將消費者銀行卡號暴露給商家等優(yōu)點，因此它成為了目前公認的信用卡/借記卡的網上交易的國際安全標準。

SET的局限性：SET是專門為電子商務而設計的協(xié)議，雖然它在很多方面優(yōu)于SSL協(xié)議，但仍然不能解決電子商務所遇到的全部問題。

2.2電子商務的安全技術之二------身份認證技術

為解決Internet的安全問題，世界各國對其進行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI（PublicKeyInfrastructure公鑰基礎設施）體系結構。PKI體系結構采用證書管理公鑰，通過第三方的可信機構CA，把用戶的公鑰和用戶的其他標識信息（如名稱、e-mail、身份證號等）捆綁在一起，在Internet網上驗證用戶的身份，PKI體系結構把公鑰密碼和對稱密碼結合起來，在Internet網上實現密鑰的自動管理，保證網上數據的機密性、完整性。

在電子交易中，無論是數字時間戳服務(DTS)還是數字證書(DigitalID)的發(fā)放，都不是靠交易的自己能完成的，而需要有一個具有權威性和公正性的第三方(thirdparty)來完成。認證中心(CertificateAuthority)就是承擔網上安全電子交易認證服務、能簽發(fā)數字證書、并能確認用戶身份的服務機構。認證中心通常是企業(yè)性的服務機構，主要任務是受理數字憑證的申請、簽發(fā)及對數字憑證的管理。認證中心依據認證操作規(guī)定(CertificationPracticeStatement)來實施服務操作。

1）認證系統(tǒng)的基本原理

利用RSA公開密鑰算法在密鑰自動管理、數字簽名、身份識別等方面的特性，可建立一個為用戶的公開密鑰提供擔保的可信的第三方認證系統(tǒng)。這個可信的第三方認證系統(tǒng)也稱為CA，CA為用戶發(fā)放電子證書，用戶之間（比如網銀服務器和某客戶之間）利用證書來保證信息安全性和雙方身份的合法性。

2）認證系統(tǒng)結構

整個系統(tǒng)是一個大的網絡環(huán)境，系統(tǒng)從功能上基本可以劃分為CA、RA和WebPublisher。

核心系統(tǒng)根CA放在一個單獨的封閉空間中，為了保證運行的絕對安全，其人員及制度都有嚴格的規(guī)定，并且系統(tǒng)設計為一離線網絡。CA的功能是在收到來自RA的證書請求時，頒發(fā)證書。一般的個人證書發(fā)放過程都是自動進行，無須人工干預。

證書的登記機構RegisterAuthority，簡稱RA，分散在各個網上銀行的地區(qū)中心。RA與網銀中心有機結合，接受客戶申請，并審批申請，把證書正式請求通過建設銀行企業(yè)內部網發(fā)送給CA中心。RA與CA雙方的通信報文也通過RSA進行加密，確保安全。系統(tǒng)的分布式結構適于新業(yè)務網點的開設，具有較好的擴充性。通信協(xié)議為TCP/IP。

證書的公布系統(tǒng)WebPublisher，簡稱WP，置于Internet網上，是普通用戶和CA直接交流的界面。對用戶來講它相當于一個在線的證書數據庫。用戶的證書由CA頒發(fā)之后，CA用E－mail通知用戶，然后用戶須用瀏覽器從這里下載證書。

證書鏈服務（有時也稱"交叉認證"）是一個CA擴展其信任范圍或被認可范圍的一種實現機制。如果企業(yè)或機構已經建立了自己的CA系統(tǒng)，通過第三方認證中心對該機構或企業(yè)的CA簽發(fā)CA證書，能夠使得該企業(yè)或機構的CA發(fā)放的證書被所有信任第三方認證中心的瀏覽器、郵件客戶所信任。

3）中國金融認證中心CFCA的建設情況

中國對電子商務的發(fā)展也給予了應有的重視。中國金融認證中心CFCA（ChinaFinancialCertificateAuthority）。已于2000年6月29日開始對社會各界提供證書服務，系統(tǒng)進入運行狀態(tài)。中國金融認證中心作為一個權威的、可信賴的、公正的第三方信任機構，為參與電子商務各方的各種認證需求提供證書服務，建立彼此的信任機制，為全國范圍內的電子商務及網上銀行等網上支付業(yè)務提供多種模式的認證服務，在不遠的將來實現與國外CA的交叉認證。

2．3電子商務的安全技術之三網上支付平臺及支付網關

網上支付平臺分為CTEC支付體系（基于CTCA/GDCS）和SET支付體系（基于CTCA/SET）。網上支付平臺支付型電子商務業(yè)務提供各種支付手段，包括基于SET標準的信用卡支付方式、以及符合CTEC標準的各種支付手段。

目前，在國內可以提供網上支付功能服務或者網上支付網關接口的銀行有：

中國工商銀行牡丹卡中國銀行長城借記卡

中國銀行長城信用卡招商銀行一網通卡

中國建設銀行龍卡MASTER/VISA/JCB卡（適用全球）

上述除中國銀行長城借記卡則采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付網關位于公網和傳統(tǒng)的銀行網絡之間，其主要功能為：將公網傳來的數據包解密，并按照銀行系統(tǒng)內部的通信協(xié)議將數據重新打包；接收銀行系統(tǒng)內部的傳回來的響應消息，將數據轉換為公網傳送的數據格式，并對其進行加密。即支付網關主要完成通信、協(xié)議轉換和數據加解密功能，并且可以保護銀行內部網絡。此外，支付網關還具有密鑰保護和證書管理等其它功能。

3小結

本文分析了目前電子商務領域所使用的安全技術：數據加密技術，身份認證技術，網上支付平臺及支付網關，指出了它們分別的使用范圍及其優(yōu)缺點，但必須強調說明的是，電子商務的安全運行，僅從技術角度防范是遠遠不夠的，還必須完善電子商務立法，以規(guī)范飛速發(fā)展的電子商務現實中存在的各類問題，從而引導和促進我國電子商務快速健康發(fā)展。

參考文獻

1覃征編著.電子商務導論.第一版.北京：人民郵電出版社，2001

第3篇：電子商務安全范文

【關鍵詞】電子商務；安全；技術

1電子商務安全性需求

對于電子商務系統(tǒng)而言，系統(tǒng)的安全性，可靠性等一直是人們關注的問題。為了保障網上交易安全順利的進行，電子商務系統(tǒng)安全性要求可歸納為：(1)機密性要求。電子商務作為貿易的一種手段，其信息直接代表著個人、企業(yè)或國家的商業(yè)機密。而電子商務建立在一個開放的網絡環(huán)境(Internet)上，維護商業(yè)機密是電子商務全面推廣應用的重要保障。因此，必須保障交易信息在存取和傳輸過程中不被泄露給非授權的人或實體。(2)完整性要求。貿易各方信息的完整性將影響到貿易各方的交易和經營策略，因此電子交易的雙方數據的完整是電子商務的基礎。因此需防止對信息的隨意生成、修改和刪除，同時要防止數據傳輸過程中信息的丟失、信息重復，并保障信息傳送的次序差的統(tǒng)一。(3)真實性要求。真實性是指網上交易雙方身份信息的真實性，從電子商務的形式上看，電子交易中參加交易的各方是不見面的，他們是通過網絡這個虛擬場所進行活動，因此需要對參加交易的人或實體的身份進行檢驗，保證交易雙方身份的真實性，使參加交易的各方能夠在相互不見面的情況下確認對方身份的真實性。(4)不可抵賴性要求。電子商務和傳統(tǒng)商務在本質上是相同的，因此電子商務也需要建立相關的責任機制，防止交易雙方交易過程出現的相互抵賴行為。在電子交易過程中需要為參加交易各方的對象（個人，企業(yè)或國家）提供可靠的標識。(5)有效性要求。電子商務的是指在電子交易的過程中，要保證在網絡上傳輸的交易數據在確定的時刻、確定的地點是有效的。電子商務的有效性直接關系到交易活動的成敗與否，它是能否開展電子交易活動的前提，直接影響到個人、企業(yè)或國家的經濟利益和聲譽。因此，需要對電子商務運行過程中有可能遇到的網絡故障、操作過程中出現的錯誤、相關的應用程序運行時出現的錯誤、硬件系統(tǒng)可能出現的故障、系統(tǒng)軟件產生的錯誤結果，以及計算機病毒等惡意代碼攻擊和威脅加以控制和預防。

2電子商務涉及的幾種安全技術

2.1加密技術數據加密技術通過對數據進行重新編碼，隱藏真實信息的內容，當非法用戶截獲該數據時，無法得到信息真實內容的一種技術，主要有對稱加密和非對稱加密兩種形式。加密技術是保證電子商務安全的重要手段，除了實現傳統(tǒng)信息保密之外，在網絡鑒別、認證等方面都有很好的應用，加密算法是網絡安全和電子商務信息安全的基礎。2.2數字簽名技術在電子商務系統(tǒng)中所有信息都是電子數據形式，如商業(yè)合同，交易信息，客戶信息等，為了保證信息的真實，有效，完整，需要實現具有手寫簽名功能的簽名即數字簽名。數字簽名技術的基礎是加密技術為。2.3認證技術認證實現網絡中對某個實體的身份加以鑒別、確認，以證明其是否是名副其實或是否是有效的過程。認證系統(tǒng)常用的驗證方法可分為以下兩類:“基于密碼”的認證和“基于生理特征身份”的認證。2.4防火墻技術防火墻是在企業(yè)的內部網絡和Internet之間置豎的一道安全屏障，通過預先設定的策略對數據對進出網絡的數據進行過濾、分析和審計，可以防止非法用戶進入內部網絡，并能有效防范各種攻擊行為，從而保護內部網免受非法用戶的侵入。2.5VPN技術虛擬專用網VPN(VirtualPrivateNet)是以公用開放的網絡(如Internet)作為基本的傳輸媒介，通過相關網絡安全協(xié)議和隧道技術等多種技術在開放的公共網絡建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全的、穩(wěn)定的隧道，為用戶提供類似于具有專用網絡安全性的網絡服務技術。通過VPN系統(tǒng)，可以幫助企業(yè)和遠程用戶、公司分支機構、商業(yè)伙伴及供應商與公司的內部網建立可信的安全通信連接，保護企業(yè)和個人敏感信息在互聯(lián)網上傳輸的的安全，使得企業(yè)和個人利益得到保護。2.6公鑰基礎設施PKIPKI即“公鑰基礎設施”，是一種利用公鑰理論和技術建立的提供網絡安全服務基礎設施平臺，負責創(chuàng)建、管理、存儲、分發(fā)和作廢證書的軟件、硬件、人員、策略和過程的集合。通過權威認證機構（CA）提供的數字證書為用戶建立起一個安全的網絡運行環(huán)境，用戶可以在多種應用環(huán)境下方便地使用加密和數字簽名技術，提供認證、數據完整性、保密性和不可否認等安全服務。2.7安全電子交易協(xié)議1)安全套階層協(xié)議（SSL）SSL協(xié)議(SecureSocketLayer)提供三種安全連接服務：數據保密；身份真實性認證；數據的完整性。2)安全電子交易協(xié)議（SET）SET(SecureElectronicTransaction)安全電子交易協(xié)議提供了消費者、商家和銀行之間的認證,確保交易的保密性、可靠性和不可否認性,保證在開放網絡環(huán)境下使用信用卡進行在線購物的安全。2.8其他技術其他技術如入侵檢測技術、智能卡技術和安全審計/日志技術等。

3總結

隨著電子商務的飛速發(fā)展，人們逐步意識到，安全問題是一個核心問題，電子商務的安全問題一直受到人們的關注和安全專家的重視，因而安全技術不斷的得到發(fā)展應用，如:加密技術，防火墻，安全認證協(xié)議等。這些技術的應用極大的促進了電子商務的發(fā)展。

參考文獻

[1]宋少忠,郝莉萍等.電子商務安全與支付[M].北京:中國水利水電出版社,2009.

第4篇：電子商務安全范文

關鍵詞：電子商務；信息安全；計算機網絡

1 問題的提出

隨著Internet網絡技術飛速發(fā)展及普及，電子商務（Electronic Commerce，簡稱EC）已經逐漸成為人們進行商務活動的新模式，越來越多的人通過Internet進行商務活動。電子商務是利用網絡技術、計算機技術和通信技術，實現數字化、電子化，商務化，網絡化的整個商務過程，它與傳統(tǒng)商業(yè)活動相比，最大的一個特征就是基于B/S方式下，交易雙方在不見面的情況下完成商品貿易活動。

由于Internet自身的共享性、開放性、無縫性，那么以此為平臺的在線商務交易安全也面臨著日益嚴峻的挑戰(zhàn)。據國家信息中心信息安全研究與服務中心統(tǒng)計，2012年發(fā)生了2起源代碼被盜事件，2起重大黑客攻擊事件，6起信息泄密事件，3起重大漏洞事件。2013年的棱鏡門，谷歌抓取支付寶轉賬信息，酒店開房記錄泄露等。據中國互聯(lián)網產業(yè)統(tǒng)計，中國網民在2013年損近1500億元。對于以上的這些問題，本文將對電子商務信息安全應用進行研究，并提出一些合理的安全解決方法，提高電子商務交易過程中的安全性，降低實施風險。

2 國內外電子商務安全研究現狀

2.1 國際電子商務安全研究現狀

在電子商務安全研究方面，美國是處于領先地位。美國國家安全局（NSA）在1983年正式頒布“受信計算機系統(tǒng)評量基準”，是目前頗具權威的計算機系統(tǒng)安全標準之一。自“911”恐怖襲擊事件之后，美國公司增強了信息技術安全觀念，投入大量的經費，同時加強信息技術安全方面的工作。從現在的網絡安全研究情況的現實看，解決網絡安全問題的根本途徑和方向是網絡技術創(chuàng)新，即研發(fā)新一代網絡技術，采取“立體”措施，包括引入“中間件”層及其安全結構，在“網絡層”增設面向連接的實時協(xié)議、強化整個網絡系統(tǒng)的管控智能以及改進終端加密和反黑等措施。

2.2 我國電子商務安全研究現狀

國務院在1996年了《中華人民共和國計算機信息網絡國際聯(lián)網管理暫行規(guī)定》，公安部在1997年了《計算機信息網絡國際聯(lián)網安全保護管理辦法》，2000年由國家信息化推進工作辦公室牽頭起草的《關于發(fā)展我國電子商務的若干意見》上報國家最高決策層進行審議。網絡信息安全問題不但得到了政府、企業(yè)的高度重視，同時國內的大專院校、研究所和有實力的大公司也紛紛進入網絡信息安全問題的研究領域。

3 電子商務信息安全隱患

電子商務的信息存儲安全隱患主要包括：（1）內部隱患。主要是網內用戶未經許可隨意增加、刪除、修改或無意或故意地非授權調用電子商務信息。（2）外部隱患。主要是因為軟件問題造成外部人員非法闖入內網，造成電子商務信息被增加、刪除、修改或調用。

電子商務的信息流動安全隱患主要包括：（1）竊取商業(yè)機密。多數電子商務的信息是以明文的方式傳輸，那么攻擊者很容易的對電子商務信息進行監(jiān)聽和截取。（2）攻擊商務網站。攻擊者通過傳播計算機病毒，繞過電子商務網站的防火墻，篡改信息，使其無法正常運轉。（3）實施商務詐騙。不法分子通過Internet虛假信息騙取帳號、現金，用戶對電子商務產生不信任感，阻礙了電子商務的順利發(fā)展。（4）傳播不良信息。不法分子為了達到自己既有目的，在電子商務信息中推送不良信息。

電子商務交易雙方的信息安全隱患主要是：（1）商家的信息安全隱患。不法分子冒充合法用戶修改商務信息內容，致使電子商務活動中斷，造成商家無法從事正常的業(yè)務活動。（2）用戶的信息安全隱患。不法分子竊用攔截合法用戶身份信息，以合法的用戶進行電子商務活動，使用戶蒙受損失。

4 電子商務信息安全管理

在電子商務活動中，有些信息屬于商業(yè)秘密，如果失竊，將帶來不可估量的損失，因此需有一個能不中斷地提供服務及可靠穩(wěn)定的電子商務平臺，任何系統(tǒng)的中斷，如軟硬件錯誤，病毒，網絡故障等都可能導致電子商務系統(tǒng)不能正常工作，所以電子商務信息的安全管理問題就成了電子商務順利推進的保障。隨著電子商務的深入應用，攻擊網絡技術和手段不斷改進，這就對電子商務信息系統(tǒng)的安全性提出了更高的要求，必須保證外網用戶不能對系統(tǒng)構成威脅，所以人們對這些基本技術進行了反復改進以適應更高的安全需求。

4.1 電子商務安全的法制建設及企業(yè)內部管理

為了保護用戶信息在電子商務活動中不受侵犯，政府應該完善電子商務信息法規(guī)，同時，還需制定詳盡、具體、具有可操作性的賠償制度，包括精神賠償和物質賠償，為電子商務的發(fā)展提供必要的法律保證。

在國內對個人信息安全保護的監(jiān)管分別由公安部、工業(yè)與信息化部等部門管理，多頭管理難免會出現監(jiān)管漏洞。對此可以建議由國安委統(tǒng)一管理，只有權力清晰才能保證監(jiān)管沒有漏洞。

有些安全事件是“禍起蕭墻”，這就要求加強企業(yè)內部安全管理，培育和加強企業(yè)安全意識，通過企業(yè)和用戶的共同努力來實現。它的基本原則是在系統(tǒng)內發(fā)生的所有行為都必須被定義好的，并且符合相應的程序控制要求，所有行為的發(fā)生都有審計記錄，可以解決許多技術層次解決不了的安全性問題。

4.2 防火墻技術

目前的防火墻分可為兩大類，一類是簡單的包過濾技術，它是在網絡層對數據包實施有選擇的通過。依據系統(tǒng)內事先制定好的過濾邏輯，檢查數據流中每個數據包后，根據數據包的源地址、目的地址等因素來確定是否允許數據包通過。另一類是應用網管和服務器，其顯著的優(yōu)點是能提供小顆度的存取控制，可針對特別的數據過濾協(xié)議和網絡應用服務，并且能夠對數據包分析并形成相關的報告。通過防火墻技術，可以過濾掉不安全的服務，提高網絡安全和減少網絡中主機的風險。但防火墻是一種被動安全技術，不能阻止來自內部網絡的攻擊。唯一的解決辦法就是，在每臺計算機上都裝反病毒軟件。

4.3 病毒防范技術

計算機病毒實際上就是在計算機程序中插入的破壞計算機功能或者破壞數據，影響計算機使用并且能夠自我復制的一組計算機指令或者程序代碼。病毒繞過系統(tǒng)或違反授權入侵成功后，在系統(tǒng)中植入木馬等病毒程序，為以后攻擊系統(tǒng)、竊取信息做好準備。網絡防病毒技術的具體實現方法包括對網絡服務器中的文件進行頻繁的掃描和監(jiān)測，工作站上對網絡目錄及文件設置訪問權限等。

現在較流行的反病毒技術基于病毒的特征碼掃描法、文件實時監(jiān)控技術并輔以指令虛擬技術。掃描病毒：分析出病毒的特征病毒碼并集中存放于病毒代碼庫文件中，在掃描時將掃描對象與特征代碼庫比較，如有吻合則判斷為染上病毒。該技術實現簡單有效，安全徹底。監(jiān)控病毒：通過利用操作系統(tǒng)底層接口技術，對系統(tǒng)中的指定類型的文件進行實時的行為監(jiān)控，一旦有病毒傳染或發(fā)作時就及時報警。從而實現了對病毒的實時、永久、自動監(jiān)控。刪除病毒：在刪除時采用虛擬技術對變種的病毒進行處理或編寫出相應的程序，將病毒移除計算機內存。

4.4 認證技術

安全認證技術主要有：（1）數字摘要技術，也稱安全HASH編碼法。用于對所要傳輸的數據進行運算生成信息摘要，它并不是一種加密機制，但能產生信息的數字"指紋"，目的是為了確保數據沒有被篡改，從而保證數據的完整性和有效性。（2）數字簽名技術，又稱電子簽章、公鑰數字簽名。是一種類似寫在紙上的普通的物理簽名，就是附加在數據單元上的一些數據，或是對數據單元所作的密碼變換。這種變換或數據允許數據單元的接收者用以確認完整性和數據單元的來源并保護數據，防止被人偽造。它是對電子形式的消息進行簽名的一種方法，一個簽名消息能在一個通信網絡中傳輸。主要功能是保證信息傳輸的完整性、發(fā)送者的身份認證、防止交易中發(fā)生抵賴。（3）數字證書技術，又稱為數字憑證。負責用電子手段來證實用戶的身份和對網絡資源訪問的權限。（4）數字時間戳技術（DTS）。在文件交易中，時間是十分重要的信息，需對文件交易的時間和日期信息采取安全措施，而數字時間戳服務就能提供電子文件交易時間的安全保護。時間戳是一個經加密后形成的憑證文檔，它包括三個部分：需加時間戳的文件摘要，DTS的數字簽名，DTS收到文件的日期和時間。（5）身份認證實際。是計算機系統(tǒng)通過審查用戶身份證明的過程，提供確認和判別用戶身份的機制，確定用戶是否具有對系統(tǒng)資源操作和訪問權限。本質是確認用戶身份，用戶必須能夠證明其身份標識合法性。身份認證技術是訪問控制、安全審計、入侵檢測等安企機制的基礎，在電子商務信息安全理論與技術中占有至關重要的位。目身份認證技術主要有基于口令的認證技術、基于密碼學的認證技術、基于智能卡的認證技術以及基于生物學特征的認證技術等。

4.5 安全協(xié)議技術

電子商務安全問題的核心是電子交易的安全性，為了徹底解決電子商務的安全機制，人們開發(fā)了各種用于加強電子商務安全的協(xié)議。當前廣泛應用的電子商務安全協(xié)議主要有SET協(xié)議（Secure Electronic Transaction，安全電子交易）和SSL協(xié)議（Secure Sockets Layer，安全套接層），二者都采用了RSA算法加密。

SSL協(xié)議提供加密的SSL會話服務、SSL服務器鑒別服務以及SEL客戶鑒別服務，實現了瀏覽器等客戶端應用軟件與TC/IP協(xié)議之間的接口，可以對萬維網客戶與服務器之間傳送的數據信息進行加密和鑒別，在雙方握手階段，對將要使用加密算法和雙方共享的會話密朗進行協(xié)商，完成客戶與服務器之間的鑒別。目前許多運營商利用本身的便利性，使用一些的數據收集工具，分析出客戶的需求，并為客戶提供同類商品信息，或者是分析其他運營商的數據，產生一種惡性競爭。對于客戶來講，提供相關的其他同類商品的信息，看似是一種個性化的服務，但是同時也是在侵犯用戶的隱私，為此在應用層也就客戶在瀏覽網頁時，如果客戶需要商家提供相關的同類商品的信息時，商家才能對客戶的數據進行分析，否則不應任意分析用戶的數據。

SET協(xié)議是基于應用層的協(xié)議，是一種新的電子支付模式，它保證了開放網絡上使用信用卡進行在線購物的安全。SET協(xié)議具有強大的驗證功能，主要是為了解決用戶、銀行、商家之間通過信用卡的交易而設計的，它具有保證交易數據的完整性，交易的不可抵賴性等優(yōu)點，因此它成為目前公認的信用卡網上交易的國際標準。

5 結束語

電子商務信息的安全問題是一項復雜的系統(tǒng)工程，隨著電子商務的發(fā)展，通過各種網絡的交易手段也會更加多樣化，安全問題變得更加突出。它不僅涉及到動態(tài)傳輸信息及靜態(tài)存儲信息的安全問題，還需要保證電子商務信息安全，加快電子商務的發(fā)展。還有在非技術方面，需要完善法律制度、管理制度和誠信制度，促進社會公眾商務觀念的轉變等，營造電子商務信息安全的社會大環(huán)境。

[參考文獻]

[1]金勝男.電子商務的信息安全技術研究.技術研發(fā)，2013年第12期.

[2]孟慧敏.電子商務對國際貿易的影響及應用.電腦知識與技術，2013年2月第9卷第5期.

[3]韓文虹.電子商務中安全技術的應用研究.電子商務，2013年2月.

[4]崔敏.基于電子商務的安全技術討論.網絡安全，2013年7月.

[5]龍愛民.電子商務的信息安全技術分析.信息技術，2013年9月.

[6]牟童.電子商務安全體系結構淺析.電子商務與電子政務，2013年3月.

第5篇：電子商務安全范文

關鍵詞：電子商務；身份認證；防火墻

中圖分類號：TP3 文獻標識碼：A文章編號：1009-3044(2008)30-0559-02

A Brief Analysis on the Security Strategy of E-business

WANG Gai-xiang

(Shanxi Professional College of Finance,Taiyuan 030008,China)

Abstract: With the rapid development of Internet applications, E-business based on Internet has become a new mode for people to pursue commerce. With more and more people execute their commerce through Internet, the prospect of E-businessis becoming more and more attracting,But the Chief Problem of E-business is the safety of Commerce information. For realizing an E-business basic frame of security, various kinds of safe practices in e-commerce are analysed in order to develop a kind of effective , safe realization E-business.

Key words:E-business; identity authentication; firewall

1 引言

電子商務可以增加銷售額并降低成本的優(yōu)勢，使得政府與企業(yè)都十分重視并推動電子商務的建設和發(fā)展。電子商務發(fā)展到今天,主要問題在于時空的分離導致了安全問題的出現,信息的安全性是當前發(fā)展電子商務最迫切需要解決的問題之一。研究和分析電子商務的安全性問題,特別是針對企業(yè)自身情況,充分借鑒以往電子商務系統(tǒng)開發(fā)的先進技術和經驗,開發(fā)出符合企業(yè)特殊的電子商務系統(tǒng),已經成為目前發(fā)展電子商務的關鍵，而安全體系的構建顯得尤為重要。

2 電子商務的主要安全要素

目前電子商務工程正在全國迅速發(fā)展。實現電子商務的關鍵是要保證商務活動過程中系統(tǒng)的安全性，即應保證在基于Internet的電子交易轉變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關系。但在電子商務過程中，買賣雙方是通過網絡來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關系相當困難。時空的分離導致了安全問題的出現，電子商務交易雙方（銷售者和消費者）都面臨安全威脅，電子商務的安全要素主要體現在以下幾個方面：

2.1 信息真實性、有效性

電子商務以電子形式取代了紙張，如何保證這種電子形式的貿易信息的有效性和真實性則是開展電子商務的前提。電子商務作為貿易的一種形式，其信息的有效性和真實性將直接關系到個人、企業(yè)或國家的經濟利益和聲譽。

2.2 信息機密性

電子商務作為貿易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務是建立在一個較為開放的網絡環(huán)境上的，商業(yè)防泄密是電子商務全面推廣應用的重要保障。

3.3 信息完整性

電子商務簡化了貿易過程，減少了人為的干預，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數據輸入時的意外差錯或欺詐行為，可能導致貿易各方信息的差異。此外，數據傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿易各方信息的不同。因此，電子商務系統(tǒng)應充分保證數據傳輸、存儲及電子商務完整性檢查的正確和可靠。

3.4 信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當地拒絕；不可否認要求即是能建立有效的責任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或實體的使用方式。在傳統(tǒng)的紙面貿易中，貿易雙方通過在交易合同、契約或貿易單據等書面文件上手寫簽名或印章來鑒別貿易伙伴，確定合同、契約、單據的可靠性并預防抵賴行為的發(fā)生。

在無紙化的電子商務方式下，通過手寫簽名和印章進行貿易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。在1nternet上每個人都是匿名的，電子商務系統(tǒng)應充分保證原發(fā)方在發(fā)送數據后不能抵賴；接收方在接收數據后也不能抵賴。

3 電子商務安全系統(tǒng)

網絡安全是電子商務的基礎。為了保證電子商務交易能順利進行，要求電子商務平臺要穩(wěn)定可靠，能不中斷地提供服務。任何系統(tǒng)的中斷，如硬件、軟件錯誤，網絡故障、病毒等都可能導致電子商務系統(tǒng)不能正常工作，而使貿易數據在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經濟損失。

所以就整個電子商務安全系統(tǒng)而言，安全性可以劃分為四個層次，

1) 網絡節(jié)點的安全

2) 通訊的安全性

3) 應用程序的安全性

4) 用戶的認證管理

其中2、3、4是通過操作系統(tǒng)和Web服務器軟件實現，而網絡節(jié)點的安全性依靠防火墻保證，我們應該首先保證網絡節(jié)點的安全性。

3.1 網絡節(jié)點的安全

防火墻是一種由計算機硬件和軟件的組合，使互聯(lián)網與內部網之間建立起一個安全網關，從而保護內部網免受非法用戶的侵入，它其實就是一個把互聯(lián)網與內部網（通常指局域網或城域網）隔開的屏障。防火墻的應用可以有效的減少黑客的入侵及攻擊，為電子商務的施展提供個相對更安全的平臺。

防火墻是在連接Internet和Intranet保證安全最為有效的方法 ，防火墻能夠有效地監(jiān)視網絡的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運用這些功能，制定正確的安全策略，將能提供一個安全、高效的Intranet系統(tǒng)。 應給予特別注意的是，防火墻不僅僅是路由器、堡壘主機或任何提供網絡安全的設備的組合，它是安全策略的一個部分。安全策略建立了全方位的防御體系來保護機構的信息資源，這種安全策略應包括：規(guī)定的網絡訪問、服務訪問、本地和遠地的用戶認證、撥入和撥出、磁盤和數據加密、病毒防護措施，以及管理制度等。所有有可能受到網絡攻擊的地方都必須以同樣安全級別加以保護。僅設立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設。

3.2 通訊的安全

在客戶端瀏覽器和電子商務WEB服務器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經過加密的，這在一定程度上保證了數據在傳輸過程中的安全。 目前采用的是瀏覽器缺省的40位加密強度，也可以考慮將加密強度增加到128位。 為在瀏覽器和服務器之間建立安全機制，SSL首先要求服務器向瀏覽器出示它的證書，證書包括一個公鑰，由一家可信證書授權機構（CA中心）簽發(fā)。瀏覽器要驗征服務器證書的正確性，必須事先安裝簽發(fā)機構提供的基礎公共密鑰（PKI）。建立SSL鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書（下載可以在訪問之前或訪問時）。驗證此證書是合法的服務器證書通過后利用該證書對稱加密算法（RSA）與服務器協(xié)商一個對稱算法及密鑰，然后用此對稱算法加密傳輸的明文。此時瀏覽器也會出進入安全狀態(tài)的提示。

3.3 應用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計算機系統(tǒng)的安全性也是不充分的，因為編程錯誤也可能引致攻擊。程序錯誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數；程序員忘記檢查邊界條件，特別是處理字符串的內存緩沖時；程序員忘記最小特權的基本原則。整個程序都是在特權模式下運行，而不是只有有限的指令子集在特權模式下運 行，其他的部分只有縮小的許可；程序員從這個特權程序使用范圍內建立一個資源，如一個文件和目錄。不是顯式地設置訪問控制（最少許可），程序員認為這個缺省的許可是正確的。

這些缺點都被使用到攻擊系統(tǒng)的行為中。不正確地輸入參數被用來騙特權程序做一些它本來不應該做的事情。緩沖溢出攻擊就是通過給特權程序輸入一個過長的字符串來實現的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令，特權程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權的或是作為攻擊的原因寫的。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個用戶并賦予這個用戶特權。 訪問控制系統(tǒng)中沒有什么可以檢測到這些問題 。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現象這些問題一樣的錯誤。

3.4 用戶的認證管理

1) 身份認證

電子商務企業(yè)用戶身份認證可以通過服務器CA證書與IC卡相結合實現的。CA證書用來認證服務器的身份，IC卡用來認證企業(yè)用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認機制。

2) CA證書

要在網上確認交易各方的身份以及保證交易的不可否認性，需要一份數字證書進行驗證，這份數字證書就是CA證書，它由認證授權中心（CA中心）發(fā)行。認證中心（CA）就是承擔網上安全交易認證服務，能簽發(fā)數字證書，并能確認用戶身份的服務機構。認證中心通常是企業(yè)性的服務機構，主要任務是受理數字證書的申請、簽發(fā)及對數字證書的管理。CA中心一般是社會公認的可靠組織，它對個人、組織進行審核后，為其發(fā)放數字證書，證書分為服務器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務器證書（下載可以在訪問之前或訪問時進行）。

3) 安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網絡傳輸層與應用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務器之間的安全連接技術。

第6篇：電子商務安全范文

[關鍵詞] 電子商務；安全性；安全套接層協(xié)議；安全電子交易協(xié)議

[中圖分類號] F062．5 [文獻標識碼] A [文章編號] 1006-5024(2006)12-0136-03

[作者簡介] 周 強，江西科技師范學院講師，研究方向為計算機教學與管理；

鄧曉輝，江西科技師范學院講師，研究方向為計算機教學與管理。(江西 南昌 330038)

隨著因特網的飛速發(fā)展，電子商務正得到越來越廣泛的應用，進入21世紀，全球電子商務迎來了新的發(fā)展。電子商務的安全性是影響其成敗的一個關鍵因素。對電子商務中存在的安全問題及安全技術加以分析，才能滿足電子商務安全的基本需求，以推動電子商務的更快發(fā)展。

一、電子商務及其存在的問題

電子商務是指利用簡單快捷低成本的電子通信方式，買賣雙方不謀面而進行各種商業(yè)和貿易活動的新型貿易形式。它改變了傳統(tǒng)貿易形式，不僅改變了企業(yè)本身的生產、經營、管理活動，而且將導致人類經濟、社會和文化的一次新的革命。但目前電子商務的發(fā)展中還存在許多問題：

1．安全協(xié)議問題。我國大多數尚處在SSL(安全套接層協(xié)議)的應用上，SET協(xié)議的應用還只是剛剛試驗成功，在信息的安全保密體制上還不成熟，對安全協(xié)議還沒有全球性的標準和規(guī)范，相對制約了國際性的商務活動。

2．安全管理問題。在安全管理方面還存在很大隱患，究竟誰來管理，怎么管理，采取什么有序的管理辦法，這些問題亟待解決。需要有一個安全可靠的信息網絡普抵御黑客的攻擊。

3．電子商務沒有真正深入商務領域，而僅僅局限于信息領域?，F在我國的電子商務好多只是停留在用計算機簡單模擬原來的手工操作流程，提供單純的技術產品為主，不擅長動態(tài)信息的跟蹤和獲取，個人用戶比較少，企業(yè)用戶還未大量出現。

4．技術人才短缺問題。電子商務是在近幾年才得到了迅猛發(fā)展，許多地方都缺乏足夠的技術人才來處理所遇到的各種問題。不少電子商務的開發(fā)商對網絡技術很熟悉，但是對安全技術了解得偏少，因而難以開發(fā)出真正實用的、安全性的產品。

5．法律問題。電子交易衍生了一系列法律問題，例如網絡交易糾紛的仲裁、網絡交易契約等問題，急需為電子商務提供法律保障。

6．稅收問題。電子商務的發(fā)展在促進貿易增加稅收的同時又對稅收制度及其管理手段提出了新要求。

二、電子商務中的安全性技術

安全性技術是保證電子商務健康有序發(fā)展的關鍵因素，也是目前大家十分關注的問題。雖然Internet的開放式的信息交換使之在安全方面存在脆弱性，但現在幾乎網絡的各個層次都制訂了安全協(xié)議和具備了相應的安全技術，以保證電子商務的安全性。

(一)安全的網絡平臺。安全可靠的網絡是實現電子商務的基礎，常用的方法是在網絡中采用防火墻技術，虛擬專用網(VPN)技術，防病毒保護等。防火墻技術是通過IP過濾和服務器軟件方法保護企業(yè)內部網(Intranet)中數據，只有授權用戶才能獲準進入企業(yè)內部網的系統(tǒng)。虛擬專用網(VPN)技術通過IP隧道等方法來保證企業(yè)協(xié)作網(Extranet)中企業(yè)間數據和企業(yè)內部網的遠程分支機構和外出職工對中央系統(tǒng)的遠程訪問數據的安全傳遞。單純依靠這些方法保護網絡的安全性是不夠的，還必須與其它安全措施綜合使用才能為為用戶提供更為可靠的電子商務基石，例如現在的加密技術、數字簽名技術、電子認證技術等。

(二)密碼術概述。密碼技術雖然在第二次世界大戰(zhàn)期間開始流行，在當前才廣泛應用于網絡安全和電子商務安全之中，但其起源可追溯到幾千年前。其思想目前還在使用，只是在處理過程中增加了數學上的復雜性?，F代密碼體制與傳統(tǒng)密碼體制的最大不同就在于：原文的保密性不再依賴于算法本身，而是依賴于密鑰的保密性，其算法本身則是公開的。在網絡上，計算機的數據以數據包的形式發(fā)送．為防止信息被竊取，應當對發(fā)送的全部信息進行加密。加密傳輸形式是一種將傳送的內容變成一些不規(guī)則的數據，只有通過正確的密鑰才可以恢復原文的傳輸形式。

根據密鑰的特點，加密算法可以分為對稱密鑰加密算法和非對稱密鑰加密算法兩類。

1．對稱密鑰加密算法是傳統(tǒng)的加密手段。最著名的對稱密鑰加密算法DES(Data Encryption s七andard)是由IBM公司在70年展起來的，并經過政府的加密標準篩選后，于1976年11月被美國政府采用。DES隨后被美國國家標準局和美國國家標準協(xié)會承認。在該類算法中，信息的發(fā)送方和接收方用同一個秘密密鑰去加密和解密數據，一方用商定好的加密函數和秘密密鑰加密明文，另一方用加密函數的逆函數和同一個秘密密鑰對密文解密，得到原始明文。顯然，通訊雙方需要事先交換秘密密鑰。這類加密算法執(zhí)行效率高、速度快，適合對大數據量進行加/解密。但由于收發(fā)雙方共享一個秘密密鑰，密鑰的傳遞和管理很困難。目前常用的對稱密鑰加密算法有DES算法和工DEA算法等。

2．非對稱密鑰加密算法又稱公開密鑰技術。它需要使用一對密鑰來分別完成加密和解密操作，一個公開，稱為公開密鑰(Public-Key) ；另一個由用戶自己秘密保存，稱為私有密鑰(Private-Key)。在該類算法中，每個用戶都擁有一對密鑰，一個是公開密鑰，另一個是私有密鑰。經用戶公開密鑰加密的信息只能通過他的私有密鑰來解密，反過來，經用戶私有密鑰加密的信息也只能通過他的公開密鑰來解密。當兩用戶通訊時，雙方都用又于的公開密鑰加密而用自己的私有密鑰解密，就可以實現信息的保密傳輸。常用的公開密鑰算法有RSA算法。

RSA算法是公開密鑰加密算法中比較優(yōu)秀的算法，已經得到廣泛的應用。公開密鑰加密算法的安全性依賴于一類特殊的數學函數一單向哈希函數，單向哈希函數的性質為：從一個方向求值容易，但逆向計算卻很困難。公開密鑰加密算法的優(yōu)點是不需在用戶之間傳遞私有密鑰，可以適應開放性的使用環(huán)境，但計算復雜度高，加密和解密速度都比對稱密鑰算法慢得多。

3．混合密鑰加密技術。為了充分利用公開密鑰密碼算法和私有密鑰密碼算法的優(yōu)點，克服其缺點，解決每次傳送更換密鑰的問題，可以采用混合密碼技術，即所謂的電子信封技術口發(fā)送者自動生成對稱密鑰，用對稱密鑰加密發(fā)送的信息，將生成的密文連同用接收方的公開密鑰加密的對稱密鑰一起傳送出去。收信者用自己的私有密鑰解密被加密的密鑰來得到對稱密鑰，并用它來解密密文。這樣保證每次傳送都可由發(fā)送方選定不同密鑰進行，更好的保證了數據通訊的安全性。

混合密鑰加密技術的加/解密過程如下：

a．加密方(或發(fā)方)：

a)生成明文；

b)用密鑰生成算法產生特定長度的對稱密鑰：

c)使用對稱密鑰加密算法(DES/IDEA)和該對稱密鑰對明文進行加密，形成密文；

d)用收方(RSA)公開密鑰加密對稱密鑰：

e)把加密后的對稱密鑰和密文一同發(fā)送給收方。

b．解密方(或收方)：

a)用收方的密鑰解密收到的已加密的密鑰，得到未加密的對稱密鑰；

b)用(a)中得到的對稱密鑰解密密文，得到明文。

從上面分析可以看出，把兩者結合起來使用，就可以綜合發(fā)揮兩種加密體制的優(yōu)點，即DES/IDEA高速簡便性和RSA密鑰管理的方便性和安全性。也就是說，既保證了數據安全，又提高了加密和解密的速度。

(三)在線支付的安全技術。電子商務的另一個關鍵問題是要保證在線支付的安全，它是網上購物的重要保證。目前采用的在線支付協(xié)議有兩種：安全套接層SSL(Secure Sockets Layer)協(xié)議和安全電子交易SET(Secure Electronic Transac-tion)協(xié)議。

SSL協(xié)議

SSL協(xié)議是Netscape公司在網絡傳輸層與應用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務器之間的安全連接技術。SSL通過數字簽名和數字證書來實行身份驗證，數字證書是從認證機構(Certificate Authority，CA)獲得的，通常包含有唯一標識證書所有者的名稱、唯一標識證書者的名稱、證書所有者的公開密鑰、證書者的數字簽名、證書的有效期及證書的序列號等。在用數字證書對雙方的身份驗證后，雙方就可以用保密密鑰進行安全的會話了。其運行機制是：

①在建立連接過程中采用公開密鑰；

②在會話過程中使用專有密鑰；

③加密的類型和強度則在兩端之間建立連接過程中判斷決定。

采用SSL協(xié)議的電子交易過程如下：

①表示客戶購買的信息首先發(fā)往商家；②表示商家再將信息轉發(fā)銀行；③和⑤表示銀行驗證客戶的信息的合法性后，再通知商家和客戶付款成功；④表示商家再通知客戶購買成功。

這個流程有兩個方面的缺點：首先，客戶的銀行資料信息先送到商家，讓商家閱讀，這樣，客戶銀行資料的安全性就得不到保證；其次，SSL只能保證資料傳遞過程的安全，而傳遞過程是否有人截取就無法保證了。所以，SSL并沒有實現電子支付所要求的保密性、完整性，而多方互相認證也很困難的。

SET協(xié)議

SET協(xié)議是一個能保證通過開放網絡進行安全資金支付的技術標準。采用這種協(xié)議它主要解決了以下問題。

首先是客戶資料雖然通過商家到達銀行，但商家不能閱讀這些資料，解決了客戶資料的安全性問題；其次是協(xié)議解決了網上交易存在的客戶與銀行之間、客戶與商家之間、商家與銀行之間的多方認證問題；再其次是由于整個交易過程是建立在Intranet，Extranet和Internet的網絡基礎上的，保證了網上交易的實時性。

SET協(xié)議下的交易模式如下：

SET使訂單信息和信用卡信息的隔離。在把包含信用卡號碼信息的訂單送到商家時，商家只能看到訂單信息，卻看不到信用卡號碼信息，并且需要持卡人和商家相互認證，確定通信雙方身份，一般由認證中心為雙方提供信用擔保。

SET定義了一個完備的電子交易流程，較好地解決了電子交易中各方間復雜的信任關系和安全連接，確保了電子交易中信息的真實性、保密性、防抵賴性和不可更改性。但由于SET協(xié)議龐大而又復雜，銀行、商家和客戶均需改造才能實現互操作，使得SET協(xié)議被普遍使用還需有一個過程。在我國，大多尚處在對SSL協(xié)議的應用上，要完全實現SET協(xié)議安全支付還要有一個過程。

(3)其它安全問題

對于電子商務的安全性來講，有了防火墻與安全協(xié)議和規(guī)范還不夠，一方面，網絡本身的物理差錯是難以避免的；另一方面，Internet主干網和DNS服務器的可靠性，撥號連接質量與速度還不能滿足人們的需求；另外，惡意代碼對網絡系統(tǒng)的威脅，單純依賴技術是很難解決的，從某種意義上講，依靠管理加強內部人員的安全防范意識等比安全技術更為重要。因此，要加強電子商務的安全性應從多方面入手。

三、對我國電子商務發(fā)展的幾點建議

1．提高服務的安全性

電子商務飛快的發(fā)展速度，致使其安全技術和安全管理都跟不上，這已成為越來越突出的問題，但不能因為安全問題而制約了電子商務的發(fā)展，使安全成為發(fā)展的瓶頸，發(fā)展是首位的，沒有發(fā)展安全就無從談起。

2．加快網絡基礎設施建設和網絡普及程度

發(fā)展電子商務的目的在于降低交易成本，提高交易效率，因此應積極發(fā)展高速寬帶通信信道，重點建設光纜和衛(wèi)星通信，同時積極利用現有通信線路發(fā)展ISDN和ADSL接入，利用有線電視線路，試驗發(fā)展HFC接入網。

3．盡快完善有關網絡安全等方面的法律

我國政府在《中華人民共和國合同法》中規(guī)定了以電子媒體為載體的合同具有法律約束力，對推廣電子商務有很大的促進作用，但是在諸多方面還需順應網絡技術的發(fā)展而不斷完善。

4．加快銀行、稅務以及郵政等物流環(huán)節(jié)的信息化建設步伐，建立企業(yè)到企業(yè)(BtoB)、企業(yè)到客戶(BtoC)的商務溝通，實現網上資金流動，解決目前有形商品交易環(huán)節(jié)中的流通因難。

5．轉變人們面對面交易的消費習慣

目前，基于Internet的電子商務應用還剛剛開始，許多方面都還不夠完善，并且，我國和發(fā)達國家之間的差距很大，這就要求我們密切關注電子商務的動向，探討電子商務中存在的技術問題，加大推廣力度，以把握住網絡經濟時代這一良好的發(fā)展時機，讓電子商務在我國經濟建設中發(fā)揮它最大的作用。

參考文獻：

第7篇：電子商務安全范文

1.1電子商務環(huán)境下用戶數據存在的技術風險

1.1.1硬件風險

自從1946年世界上第一臺計算機誕生后，計算機一直都被稱為西方世界的產物。計算機和有關產品的制造技術，大部分都是國外產商在控制，中國的計算機制造業(yè)，很多就是停駐在周邊的產品上，沒有自主知識產權的意識。處于電子商務環(huán)境中，用戶數控的管理與計算機技術息息相關。由于計算機技術的迅速發(fā)展，所以硬件的更新也要不停地加快速度。如果一個老化的設備沒有得到及時的更新，就會使存儲數據無法得到穩(wěn)定，電子商務系統(tǒng)的兼容性也會降低，會造成用戶數據的質量與應用受到影響。因此，這種過時的裝備會成為不法份子所要攻擊的對象。

1.1.2軟件風險

這幾年，軟件平臺經常改朝換代，被淘汰掉的軟件環(huán)境，可能是因為沒有相對應的運行環(huán)境造成不能操作的情況，導致原有數據被損壞。所以，對于運行用戶數據的軟件平臺一定要實施定期有效的檢測和維護，才能保證數據的可靠性和完整性。目前網絡在線的升級與維護，深受廣大用戶的喜愛。但是這樣的方式會使電子商務系統(tǒng)的信息存在極大的安全風險，因為升級與維護數據包，傳輸路線，數據發(fā)送方都無法確定身份和來源，那就很難實施第三方的測試，所以也就不能保證安全性與可靠性，因此一定要選擇具有相當高的可靠性方式。在升級維護的時候，這些數據可能會被不法份子利用，這樣就會成為直接攻擊用戶數據的捷徑。

1.2電子商務環(huán)境下用戶數據存在的管理風險

1.2.1制度缺失

2012中國個人信息保護大會于2012年3月15日在京召開。由中國電子信息產業(yè)發(fā)展研究院，中國軟件評測中心舉辦的會議“，保護個人信息，增強行業(yè)自律”是這個會議所要宣揚的主題。工業(yè)與信息化部電子科學技術情報研究所副所長劉九如在會上表明，自2011年下半年開始，電子科學情報研究所對個人信息保護也展開了研究工作，2500多份調查問卷交予社會公眾，而且拜訪了騰訊和百度等很多公司。從調查中發(fā)現，中國的信息存在著嚴重的安全風險，調查中大約有75%的公眾提出要增強立法保護個人信息。筆者急切地希望我國對于法律法規(guī)方面加強完善，最好能夠制定關于個人信息的保護法。

1.2.2重視不足

電子商務行業(yè)在繁榮發(fā)展的時候，也有著激烈的競爭力。電子商務的從業(yè)者為了能夠在競爭中得到有利的位置，都會使用降低成本的手段，從而提升利潤。所以在這種過程中，往往只追求利益的存在而忽略安全的問題。首先是由于安全工作無法直接帶來有效的效益，乃至只能投入而無法產出的情況；其次是由于安全工作中具有長期性與復雜性，需要的資金量是很大的，因為這是一個漫長的過程，所以在短時間里是不能夠獲取收益的；最后是因為中國的電子商務從業(yè)者都存在缺乏經驗的情況，對于安全問題沒有完全的認知能力。

1.2.3用戶安全意識淡薄

用戶對于安全的意識很薄弱也會影響到用戶數據安全。由于數據的所有者就是用戶，若用戶自己對于個人信息都沒有安全意識，那就更談不上數據安全了。中國用戶對于個人信息的保護意識與能力一點都不符合電子商務高速的發(fā)展。存在的主要問題有：對于殺毒軟件沒有進行及時的升級和查殺；隨便安裝來路不明的軟件和插件；訪問沒有安全性的網站或者是被“釣魚”；密碼設置的過于簡單或者是長時間不更換；對于個人信息隨意散布或者主動透露；網絡交友不慎，輕信謠言導致受騙等。

二、電子商務環(huán)境下用戶數據安全管理的對策建議

2.1用戶數據安全管理的目標

用戶數據的安全管理目標是為了保障用戶數據在收集、加工、存儲、利用的全部生命周期中，其中原始性、真實性、完整性與有效性都不要受到外界原因的影響，不因為突發(fā)事件和惡意的因素而受到破壞，更改與泄露。主要包含了以下幾個方面。

2.1.1保證用戶數據支撐環(huán)境的完整可用

用戶數據的支撐環(huán)境是指對于用戶數據實施讀取、修改、輸出、維護之類操作的計算機系統(tǒng)與網絡系統(tǒng)。處于電子商務環(huán)境中，用戶數據的管理脫離不了計算機系統(tǒng)與網絡系統(tǒng)。如果脫離支撐環(huán)境，用戶數據就沒有了存在的價值與意義，就存在著看不到也摸不到的情況。所以想要保障用戶數據的安全，就要實施保護支撐環(huán)境，保證系統(tǒng)的正常運作并且安全具有可靠性。

2.1.2保證用戶數據載體的安全

用戶數據是根據磁、光之類的介質作為保存載體的，若離開了載體，用戶數據是不可能獨立存在的。載體是用戶可以一直生存下去的基本環(huán)境。用戶數據的安全性是和載體的可靠性與安全性密切相關的。因為載體需要存儲用戶數據的數量很大，所以經常被作為主要的攻擊對象。若載體出現故障或者被惡意攻擊，就會導致用戶數據不能讀取或被泄露，受到不能彌補的損失。所以，確保用戶數據載體的實體安全性，是用戶數據必須具有的管理。

2.2用戶數據安全管理體系設計

2.2.1技術方面

(1)反病毒和安全掃描技術。在計算機網絡中病毒是很常見的，也是最大的安全問題。計算機病毒會因為計算機的發(fā)展而變化，也會因為網絡的繁榮而有效地得到大規(guī)模傳播與擴散。計算機和網絡系統(tǒng)一直都存在安全漏洞的問題，這是無法泯滅的，只能減少安全隱患。在防御病毒攻擊與填補安全漏洞中用到的主要手段就是反病毒與安全掃描技術。利用病毒查殺與實時防御，不僅可以及時地將已經存在的病毒清除掉，還可以防御新病毒的侵入和病毒對數據所造成的破壞和泄露。通過安全掃描會發(fā)現軟件中會有漏洞和“后門”程序的存在，可以安裝補丁，預防漏洞與“后門”被不法分子利用，給數據造成安全隱患。

(2)防火墻和入侵檢測技術。防火墻屬于一種隔離技術，位于特定區(qū)域和外界環(huán)境的中心處，可以掌控特定區(qū)域和外界的溝通，起到了保護特定區(qū)域安全的作用。計算機與網絡的環(huán)境中，軟件和硬件的結合就形成了防火墻，能夠依據安全策略掌控進出網絡數據的行為和流向，并且可以將日志保存，實施審核。在電子商務中，像計算機、服務器這些用戶數據存儲與運行的設備都需要安裝防火墻，因為防火墻可以作為不安全因素的過濾器。能夠對數據實施實時的監(jiān)控，并且可以對那些數據訪問的請求實施判別，還能及時地拒絕、中斷、防御有可疑性的訪問與傳輸行為。實時檢測和事后檢測都屬于入侵檢測技術。

2.2.2管理方面

電子商務環(huán)境中的用戶數據所存在的安全隱患，大部分都是因為管理的原因。這就是“千里之堤，潰于蟻穴”。管理方面出現一個小漏洞，都會給用戶數據帶來安全隱患。所以，在管理用戶數據的制度中，要做好很多保護策略，確保數據的安全性。只有將法律法規(guī)進行深度的完善，加強執(zhí)法力度，提升制度的適用性與可操作性，建立完整的監(jiān)督制度，將社會監(jiān)督發(fā)展下去，這樣才能夠推動個人信息安全的保護工作。在有需要的時候，也可以借助其他國家的經驗，將第三方評測機構引進我國，可以對收集與個人信息企業(yè)的安全管理水準實施鑒定，可以提供可靠的信息給政府執(zhí)法，將企業(yè)的信息保護制度做到更好。關于用戶數據的安全管理體系，所介入的范圍很廣泛，涵蓋層面也比較多。利用多措并舉的方式，實施齊抓并管，這樣就可以保證這個體系的正常運作，還能夠從根源上保護用戶數據的安全。

三、結語

第8篇：電子商務安全范文

要加強電子商務的安全，需要企業(yè)本身采取更為嚴格的管理措施，需要國家建立健全法律制度，更需要有科學的先進的安全技術。

在電子商務的交易中，經濟信息、資金都要通過網絡傳輸，交易雙方的身份也需要認證，因此，電子商務的安全性主要是網絡平臺的安全和交易信息的安全。而網絡平臺的安全是指網絡操作系統(tǒng)對抗網絡攻擊、病毒，使網絡系統(tǒng)連續(xù)穩(wěn)定的運行。常用的保護措施有防火墻技術、網絡入侵檢測技術、網絡防毒技術。交易信息的安全是指保護交易雙方的不被破壞、不泄密，和交易雙方身份的確認?？梢杂脭祿用?、數字簽名、數字證書、ssl、set安全協(xié)議等技術來保護。

在這里我想重點談談防火墻技術和數據加密技術。

一、防火墻技術。

防火墻就是在網絡邊界上建立相應的網絡通信監(jiān)控系統(tǒng),用來保障計算機網絡的安全,它是一種控制技術,既可以是一種軟件產品,又可以制作或嵌入到某種硬件產品中。從邏輯上講,防火墻是起分隔、限制、分析的作用。實際上,防火墻是加強Intranet(內部網)之間安全防御的一個或一組系統(tǒng),它由一組硬件設備(包括路由器、服務器)及相應軟件構成。所有來自Internet的傳輸信息或你發(fā)出的信息都必須經過防火墻。這樣,防火墻就起到了保護諸如電子郵件、文件傳輸、遠程登錄、在特定的系統(tǒng)間進行信息交換等安全的作用。防火墻是網絡安全策略的有機組成部分,它通過控制和監(jiān)測網絡之間的信息交換和訪問行為來實現對網絡安全的有效管理。從總體上看,防火墻應該具有以下五大基本功能:(1)過濾進、出網絡的數據;(2)管理進、出網絡的訪問行為;(3)封堵某些禁止行為;(4)記錄通過防火墻的信息內容和活動;(5)對網絡攻擊進行檢測和告警。

新一代的防火墻產品一般運用了以下技術：

(1)透明的訪問方式。

以前的防火墻在訪問方式上要么要求用戶做系統(tǒng)登錄,要么需要通過SOCKS等庫路徑修改客戶機的應用。而現在的防火墻利用了透明的系統(tǒng)技術,從而降低了系統(tǒng)登錄固有的安全風險和出錯概率。

(2)靈活的系統(tǒng)。

系統(tǒng)是一種將信息從防火墻的一側傳送到另一側的軟件模塊。采用兩種機制:一種用于從內部網絡到外部網絡的連接;另一種用于從外部網絡到內部網絡的連接。前者采用網絡地址轉接(NIT)技術來解決,后者采用非保密的用戶定制或保密的系統(tǒng)技術來解決。

(3)多級過濾技術。

為保證系統(tǒng)的安全性和防護水平,防火墻采用了三級過濾措施,并輔以鑒別手段。在分組過濾一級,能過濾掉所有的源路由分組和假冒IP地址;在應用級網關一級,能利用FTP、SMTP等各種網關,控制和監(jiān)測Internet提供的所有通用服務;在電路網關一級,實現內部主機與外部站點的透膽連接,并對服務的通行實行嚴格控制。

(4)網絡地址轉換技術。

防火墻利用NAT技術能透明地對所有內部地址做轉換,使得外部網絡無法了解內部網絡的內部結構,同時允許內部網絡使用自己編的IP源地址和專用網絡,防火墻能詳盡記錄每一個主機的通信,確保每個分組送往正確的地址。

(5)Internet網關技術。

由于是直接串聯(lián)在網絡之中,防火墻必須支持用戶在Internet互聯(lián)的所有服務,同時還要防止與Internet服務有關的安全漏洞,故它要能夠以多種安全的應用服務器(包括FTP、Finger、mail、Ident、News、WWW等)來實現網關功能。為確保服務器的安全性,對所有的文件和命令均要利用“改變根系統(tǒng)調用(chroot)”做物理上的隔離。在域名服務方面,新一代防火墻采用兩種獨立的域名服務器:一種是內部DNS服務器,主要處理內部網絡和DNS信息;另一種是外部DNS服務器,專門用于處理機構內部向Internet提供的部分DNS信息。在匿名FTP方面,服務器只提供對有限的受保護的部分目錄的只讀訪問。在WWW服務器中,只支持靜態(tài)的網頁,而不允許圖形或CGI代碼等在防火墻內運行。在Finger服務器中,對外部訪問,防火墻只提供可由內部用戶配置的基本的文本信息,而不提供任何與攻擊有關的系統(tǒng)信息。SMTP與POP郵件服務器要對所有進、出防火墻的郵件做處理,并利用郵件映射與標頭剝除的方法隱除內部的郵件環(huán)境。Ident服務器對用戶連接的識別做專門處理,網絡新聞服務則為接收來自ISP的新聞開設了專門的磁盤空間。

(6)安全服務器網絡(SSN)。

為了適應越來越多的用戶向Internet上提供服務時對服務器的需要,新一代防火墻采用分別保護的策略對用戶上網的對外服務器實施保護,它利用一張網卡將對外服務器作為一個獨立網絡處理,對外服務器既是內部網絡的一部分,又與內部網關完全隔離,這就是安全服務器網絡(SSN)技術。而對SSN上的主機既可單獨管理,也可設置成通過FTP、Telnet等方式從內部網上管理。SSN方法提供的安全性要比傳統(tǒng)的“隔離區(qū)(DMZ)”方法好得多,因為SSN與外部網之間有防火墻保護,SSN與內部網之間也有防火墻的保護,而DMZ只是一種在內、外部網絡網關之間存在的一種防火墻方式。換言之,一旦SSN受破壞,內部網絡仍會處于防火墻的保護之下,而一旦DMZ受到破壞,內部網絡便暴露于攻擊之下。

(7)用戶鑒別與加密。

為了降低防火墻產品在Ielnet、FTP等服務和遠程管理上的安全風險,鑒別功能必不可少。新一代防火墻采用一次性使用的口令系統(tǒng)來作為用戶的鑒別手段,并實現了對郵件的加密。

(8)用戶定制服務。

為了滿足特定用戶的特定需求,新一代防火墻在提供眾多服務的同時,還為用戶定制提供支持,這類選項有:通用TCP、出站UDP、FTP、SMTP等,如果某一用戶需要建立一個數據庫的,便可以利用這些支持,方便設置。

(9)審計和告警。

新一代防火墻產品采用的審計和告警功能十分健全,日志文件包括:一般信息、內核信息、核心信息、接收郵件、郵件路徑、發(fā)送郵件、已收消息、已發(fā)消息、連接需求、已鑒別的訪問、告警條件、管理日志、進站、FTP、出站、郵件服務器、域名服務器等。告警功能會守住每一個TCP或UDP探尋,并能以發(fā)出郵件、聲響等多種方式報警。此外,防火墻還在網絡診斷、數據備份保全等方面具有特色。

目前的防火墻主要有兩種類型。其一是包過濾型防火墻。它一般由路由器實現，故也被稱為包過濾路由器。它在網絡層對進入和出去內部網絡的所有信息進行分析，一般檢查數據包的IP源地址、IP目標地址、TCP端口號、ICMP消息類型，并按照信息過濾規(guī)則進行篩選，若符合規(guī)則，則允許該數據包通過防火墻進入內部網，否則進行報警或通知管理員，并且丟棄該包。這樣一來，路由器能根據特定的劌則允許或拒絕流動的數據，如：Telnet服務器在TCP的23號端口監(jiān)聽遠程連接，若管理員想阻塞所有進入的Telnet連接，過濾規(guī)則只需設為丟棄所有的TCP端口號為23的數據包。采用這種技術的防火墻速度快，實現方便，但由于它是通過IP地址來判斷數據包是否允許通過，沒有基于用戶的認證，而IP地址可以偽造成可信任的外部主機地址，另外它不能提供日志，這樣一來就無法發(fā)現黑客的攻擊紀錄。

其二是應用級防火墻。大多數的應用級防火墻產品使用的是應用機制，內置了應用程序，可用服務器作內部網和Internet之間的的轉換。若外部網的用戶要訪問內部網，它只能到達服務器，若符合條件，服務器會到內部網取出所需的信息，轉發(fā)出去。同樣道理，內部網要訪問Internet,也要通過服務器的轉接，這樣能監(jiān)控內部用戶訪問Internet.這類防火墻能詳細記錄所有的訪問紀錄，但它不允許內部用戶直接訪問外部，會使速度變慢。且需要對每一個特定的Internet服務安裝相應的服務器軟件，用戶無法使用未被服務器支持的服務。

防火墻技術從其功能上來分，還可以分為FTP防火墻、Telnet防火墻、Email防火墻、病毒防火墻等等。通常幾種防火墻技術被一起使用，以彌補各自的缺陷和增加系統(tǒng)的安全性能。

防火墻雖然能對外部網絡的功擊實施有效的防護，但對來自內部網絡的功擊卻無能為力。網絡安全單靠防火墻是不夠的，還需考慮其它技術和非技術的因素，如信息加密技術、制訂法規(guī)、提高網絡管理使用人員的安全意識等。就防火墻本身來看，包過濾技術和訪問模式等都有一定的局限性，因此人們正在尋找更有效的防火墻，如加密路由器、“身份證”、安全內核等。但實踐證明，防火墻仍然是網絡安全中最成熟的一種技術。

二、數據加密技術

在電子商務中，信息加密技術是其它安全技術的基礎，加密技術是指通過使用代碼或密碼將某些重要信息和數據從一個可以理解的明文形式變換成一種復雜錯亂的、不可理解的密文形式（即加密），在線路上傳送或在數據庫中存儲，其他用戶再將密文還原成明文（即解密），從而保障信息數據的安全性。

數據加密的方法很多，常用的有兩大類。一種是對稱加密。一種是非對稱密鑰加密。對稱加密也叫秘密密鑰加密。發(fā)送方用密鑰加密明文，傳送給接收方，接收方用同一密鑰解密。其特點是加密和解密使用的是同一個密鑰。典型的代表是美國國家安全局的DES。它是IBM于1971年開始研制，1977年美國標準局正式頒布其為加密標準，這種方法使用簡單，加密解密速度快，適合于大量信息的加密。但存在幾個問題：第一，不能保證也無法知道密鑰在傳輸中的安全。若密鑰泄漏，黑客可用它解密信息，也可假冒一方做壞事。第二，假設每對交易方用不同的密鑰，N對交易方需要N*(N-1)/2個密鑰，難于管理。第三，不能鑒別數據的完整性。

非對稱密鑰加密也叫公開密鑰加密。公鑰加密法是在對數據加解密時，使用不同的密鑰，在通信雙方各具有兩把密鑰，一把公鑰和一把密鑰。公鑰對外界公開，私鑰自己保管，用公鑰加密的信息，只能用對應的私鑰解密，同樣地，用私鑰解密的數據只能用對應的公鑰解密。具體加密傳輸過程如下：

（1）發(fā)送方甲用接收方乙的公鑰加密自己的私鑰。

（2）發(fā)送方家用自己的私鑰加密文件，然后將加密后的私鑰和文件傳輸給接收方。

（3）接收方乙用自己的私鑰解密，得到甲的私鑰。

（4）接收方乙用甲的公鑰解密，得到明文。

這個過程包含了兩個加密解密過程：密鑰的加解密和文件本身的加解密。在密鑰的加密過程中，由于發(fā)送方甲用乙的公鑰加密了自己的私鑰，如果文件被竊取，由于只有乙保管自己的私鑰，黑客無法解密。這就保證了信息的機密性。另外，發(fā)送方甲用自己的私鑰加密信息，因為信息是用甲的私鑰加密，只有甲保管它，可以認定信息是甲發(fā)出的，而且沒有甲的私鑰不能修改數據?？梢员ＷC信息的不可抵賴性。

第9篇：電子商務安全范文

關鍵詞： 電子商務 安全套接層協(xié)議 安全電子交易 認證中心

1 電子商務的主要安全要素

目前電子商務工程正在全國迅速發(fā)展。實現電子商務的關鍵是要保證商務活動過程中系統(tǒng)的安全性，即應保證在基于Internet的電子交易轉變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關系。但在電子商務過程中，買賣雙方是通過網絡來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關系相當困難。電子商務交易雙方（銷售者和消費者）都面臨安全威脅。電子商務的安全要素主要體現在以下幾個方面：

信息有效性、真實性

電子商務以電子形式取代了紙張，如何保證這種電子形式的貿易信息的有效性和真實性則是開展電子商務的前提。電子商務作為貿易的一種形式，其信息的有效性和真實性將直接關系到個人、企業(yè)或國家的經濟利益和聲譽。

信息機密性

電子商務作為貿易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務是建立在一個較為開放的網絡環(huán)境上的，商業(yè)防泄密是電子商務全面推廣應用的重要保障。

信息完整性

電子商務簡化了貿易過程，減少了人為的干預，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數據輸入時的意外差錯或欺詐行為，可能導致貿易各方信息的差異。此外，數據傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿易各方信息的不同。因此，電子商務系統(tǒng)應充分保證數據傳輸、存儲及電子商務完整性檢查的正確和可靠。

信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當地拒絕；不可否認要求即是能建立有效的責任機制，防止實體否認其行為；可控性要求即是能控制使用資源的人或實體的使用方式。在傳統(tǒng)的紙面貿易中，貿易雙方通過在交易合同、契約或貿易單據等書面文件上手寫簽名或印章來鑒別貿易伙伴，確定合同、契約、單據的可靠性并預防抵賴行為的發(fā)生。

在無紙化的電子商務方式下，通過手寫簽名和印章進行貿易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標識。在1nternet上每個人都是匿名的。原發(fā)方在發(fā)送數據后不能抵賴；接收方在接收數據后也不能抵賴。

2 電子商務的安全技術討論

2．1 電子商務的安全技術之一-----數據加密技術

加密技術用于網絡安全通常有二種形式，即面向網絡或面向應用服務。

面向網絡的加密技術通常工作在網絡層或傳輸層，使用經過加密的數據包傳送、認證網絡路由及其他網絡協(xié)議所需的信息，從而保證網絡的連通性和可用性不受損害。在網絡層上實現的加密技術對于網絡應用層的用戶通常是透明的。此外，通過適當的密鑰管理機制，使用這一方法還可以在公用的互聯(lián)網絡上建立虛擬專用網絡并保障虛擬專用網上信息的安全性。

面向網絡應用服務的加密技術使用則是目前較為流行的加密技術的使用方法，例如使用kerberos服務的telnet、nfs、rlogion等，以及用作電子郵件加密的pem（privacy enhanced mail）和pgp（pretty good privacy）。這一類加密技術的優(yōu)點在于實現相對較為簡單，不需要對電子信息（數據包）所經過的網絡的安全性能提出特殊要求，對電子郵件數據實現了端到端的安全保障。

1） 常用的加密技術分類：

對稱密鑰密碼算法

對稱（傳統(tǒng)）密碼體制是從傳統(tǒng)的簡單換位代替密碼發(fā)展而來的，自1977年美國頒布des密碼算法作為美國數據加密標準以來，對稱密鑰密碼體制得到了迅猛發(fā)展，得到了世界各國關注和使用。對稱密鑰密碼體制從加密模式上可分為序列密碼和分組密碼兩大類。

不對稱型加密算法

也稱公用密鑰算法，其特點是有二個密鑰即公用密鑰和私有密鑰，只有二者配合使用才能完成加密和解密的全過程。

由于不對稱算法擁有二個密鑰，因此它特別適用于分布式系統(tǒng)中的數據加密，在Internet中得到了廣泛應用。其中公用密鑰在網上公布，為數據源對數據加密使用，而用于解密的相應私有密鑰則由數據的收信方妥善保管。

不可逆加密算法

其特征是加密過程不需要密鑰，并且經過加密的數據無法被解密，只有同樣的輸入數據經過同樣的不可逆加密算法才能得到相同的加密數據。不可逆加密算法不存在密鑰保管和分發(fā)問題，適合于分布式網絡系統(tǒng)上使用，但是其加密計算工作量大，所以通常用于數據量有限的情形的加密，例如計算機系統(tǒng)中的口令的加密。

2） 電子商務領域常用的加密技術

數字摘要(digital digest)

這一加密方法亦稱安全Hash編碼法，由Ron Rivest所設計。該編碼法采用單向Hash 函數將需加密的明文"摘要"成一串128bit的密文，這一串密文亦稱為數字指紋(Finger Print)，它有固定的長度，且不同的明文摘要成密文，其結果總是不同的，而同樣的明文其摘要必定一致。這樣這串摘要便可成為驗證明文是否是"真身"的"指紋"了。

數字簽名(digital signature)

數字簽名將數字摘要、公用密鑰算法兩種加密方法結合起來使用。在書面文件上簽名是確認文件的一種手段，簽名的作用有兩點，一是因為自己的簽名難以否認，從而確認了文件已簽署這一事實；二是因為簽名不易仿冒，從而確定了文件是真的這一事實。

數字時間戳(digital time-stamp)

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關鍵性內容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數字時間戳服務(DTS)就能提供電子文件發(fā)表時間的安全保護。

數字時間戳服務(DTS)是網上安全服務項目，由專門的機構提供。時間戳(time-stamp) 是一個經加密后形成的憑證文檔，它包括三個部分：1)需加時間戳的文件的摘要(digest)，2)DTS收到文件的日期和時間，3)DTS的數字簽名。

數字證書(digital certificate，digital ID)

數字證書又稱為數字憑證，是用電子手段來證實一個用戶的身份和對網絡資源的訪問的權限。

數字憑證有三種類型：

·個人憑證(Personal Digital ID)

·企業(yè)（服務器）憑證(Server ID)

·軟件（開發(fā)者）憑證(Developer ID)

上述三類憑證中前二類是常用的憑證，第三類則用于較特殊的場合，大部分認證中心提供前兩類憑證。

3） 與電子商務安全有關的協(xié)議技術討論：

SSL協(xié)議（Secure Sockets Layer）安全套接層協(xié)議

------面向連接的協(xié)議，當初不是為電子商務而設計

SSL協(xié)議主要是使用公開密鑰體制和X.509數字證書技術保護信息傳輸的機密性和完整性，它不能保證信息的不可抵賴性，主要適用于點對點之間的信息傳輸，常用Web Server方式。

SSL協(xié)議在應用層收發(fā)數據前，協(xié)商加密算法、連接密鑰并認證通信雙方，從而為應用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應用協(xié)議（如HTTP、FTP、TELNET等）以保證應用層數據傳輸的安全性。SSL協(xié)議獨立于應用層協(xié)議，因此，在電子交易中被用來安全傳送信用卡號碼。

SSL的應用及局限：中國目前多家銀行均采用SSL協(xié)議，從目前實際使用的情況來看，SSL還是人們最信賴的協(xié)議。但是SSL當初并不是為支持電子商務而設計的，所以在電子商務系統(tǒng)的應用中還存在很多弊端。它是一個面向連接的協(xié)議，在涉及多方的電子交易中，只能提供交易中客戶與服務器間的雙方認證，而電子商務往往是用戶、網站、銀行三家協(xié)作完成， SSL協(xié)議并不能協(xié)調各方間的安全傳輸和信任關系；還有，購貨時用戶要輸入通信地址，這樣將可能使得用戶收到大量垃圾信件。

SET協(xié)議（Secure Electronic Transaction）安全電子交易

------專門為電子商務而設計的協(xié)議，但仍然不能解決電子商務所遇到全部問題

電子商務在提供機遇和便利的同時，也面臨著一個最大的挑戰(zhàn)，即交易的安全問題。在網上購物的環(huán)境中，持卡人希望在交易中保密自己的帳戶信息，使之不被人盜用；商家則希望客戶的定單不可抵賴，并且，在交易過程中，交易各方都希望驗明其他方的身份，以防止被欺騙。針對這種情況，由美國Visa和MasterCard兩大信用卡組織聯(lián)合國際上多家科技機構，共同制定了應用于Internet上的以銀行卡為基礎進行在線交易的安全標準，這就是"安全電子交易"（SET）。它采用公鑰密碼體制和X.509數字證書標準，主要應用于保障網上購物信息的安全性。 由于SET 提供了消費者、商家和銀行之間的認證，確保了交易數據的安全性、完整可靠性和交易的不可否認性，特別是保證不將消費者銀行卡號暴露給商家等優(yōu)點，因此它成為了目前公認的信用卡/借記卡的網上交易的國際安全標準。

SET的局限性：SET是專門為電子商務而設計的協(xié)議，雖然它在很多方面優(yōu)于SSL協(xié)議，但仍然不能解決電子商務所遇到的全部問題。

2.2 電子商務的安全技術之二------身份認證技術

為解決Internet的安全問題，世界各國對其進行了多年的研究，初步形成了一套完整的Internet安全解決方案，即目前被廣泛采用的PKI（Public Key Infrastructure公鑰基礎設施）體系結構。PKI體系結構采用證書管理公鑰，通過第三方的可信機構CA，把用戶的公鑰和用戶的其他標識信息（如名稱、e-mail、身份證號等）捆綁在一起，在Internet網上驗證用戶的身份，PKI體系結構把公鑰密碼和對稱密碼結合起來，在Internet網上實現密鑰的自動管理，保證網上數據的機密性、完整性。

在電子交易中，無論是數字時間戳服務(DTS)還是數字證書(Digital ID)的發(fā)放，都不是靠交易的自己能完成的，而需要有一個具有權威性和公正性的第三方(third party)來完成。認證中心(Certificate Authority)就是承擔網上安全電子交易認證服務、能簽發(fā)數字證書、并能確認用戶身份的服務機構。認證中心通常是企業(yè)性的服務機構，主要任務是受理數字憑證的申請、簽發(fā)及對數字憑證的管理。認證中心依據認證操作規(guī)定(Certification Practice Statement)來實施服務操作。

1 ）認證系統(tǒng)的基本原理

利用RSA公開密鑰算法在密鑰自動管理、數字簽名、身份識別等方面的特性，可建立一個為用戶的公開密鑰提供擔保的可信的第三方認證系統(tǒng)。這個可信的第三方認證系統(tǒng)也稱為CA，CA為用戶發(fā)放電子證書，用戶之間（比如網銀服務器和某客戶之間）利用證書來保證信息安全性和雙方身份的合法性。

2 ）認證系統(tǒng)結構

整個系統(tǒng)是一個大的網絡環(huán)境，系統(tǒng)從功能上基本可以劃分為CA、RA和Web Publisher。

核心系統(tǒng)根CA放在一個單獨的封閉空間中，為了保證運行的絕對安全，其人員及制度都有嚴格的規(guī)定，并且系統(tǒng)設計為一離線網絡。CA的功能是在收到來自RA的證書請求時，頒發(fā)證書。一般的個人證書發(fā)放過程都是自動進行，無須人工干預。

證書的登記機構Register Authority，簡稱RA，分散在各個網上銀行的地區(qū)中心。RA與網銀中心有機結合，接受客戶申請，并審批申請，把證書正式請求通過建設銀行企業(yè)內部網發(fā)送給CA中心。RA與CA雙方的通信報文也通過RSA進行加密，確保安全。系統(tǒng)的分布式結構適于新業(yè)務網點的開設，具有較好的擴充性。通信協(xié)議為TCP/IP。

證書的公布系統(tǒng)Web Publisher，簡稱WP，置于Internet網上，是普通用戶和CA直接交流的界面。對用戶來講它相當于一個在線的證書數據庫。用戶的證書由CA頒發(fā)之后，CA用E－mail通知用戶，然后用戶須用瀏覽器從這里下載證書。

證書鏈服務（有時也稱"交叉認證"）是一個CA擴展其信任范圍或被認可范圍的一種實現機制。如果企業(yè)或機構已經建立了自己的CA系統(tǒng)，通過第三方認證中心對該機構或企業(yè)的CA簽發(fā)CA證書，能夠使得該企業(yè)或機構的CA發(fā)放的證書被所有信任第三方認證中心的瀏覽器、郵件客戶所信任。

3） 中國金融認證中心CFCA的建設情況

中國對電子商務的發(fā)展也給予了應有的重視。中國金融認證中心CFCA（China Financial Certificate Authority）。已于2000年6月29日開始對社會各界提供證書服務，系統(tǒng)進入運行狀態(tài)。中國金融認證中心作為一個權威的、可信賴的、公正的第三方信任機構，為參與電子商務各方的各種認證需求提供證書服務，建立彼此的信任機制，為全國范圍內的電子商務及網上銀行等網上支付業(yè)務提供多種模式的認證服務，在不遠的將來實現與國外CA的交叉認證。

2．3電子商務的安全技術之三 網上支付平臺及支付網關

網上支付平臺 分為CTEC支付體系（基于CTCA/GDCS）和SET支付體系（基于CTCA/SET）。網上支付平臺支付型電子商務業(yè)務提供各種支付手段，包括基于SET標準的信用卡支付方式、以及符合CTEC標準的各種支付手段。

目前，在國內可以提供網上支付功能服務或者網上支付網關接口的銀行有：

中國工商銀行牡丹卡

中國銀行長城借記卡

中國銀行長城信用卡

招商銀行一網通卡

中國建設銀行龍卡

MASTER/VISA/JCB卡（適用全球）

上述除中國銀行長城借記卡則采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付網關 位于公網和傳統(tǒng)的銀行網絡之間，其主要功能為：將公網傳來的數據包解密，并按照銀行系統(tǒng)內部的通信協(xié)議將數據重新打包；接收銀行系統(tǒng)內部的傳回來的響應消息，將數據轉換為公網傳送的數據格式，并對其進行加密。即支付網關主要完成通信、協(xié)議轉換和數據加解密功能，并且可以保護銀行內部網絡。此外，支付網關還具有密鑰保護和證書管理等其它功能。

3 小結

本文分析了目前電子商務領域所使用的安全技術：數據加密技術，身份認證技術 ，網上支付平臺及支付網關，指出了它們分別的使用范圍及其優(yōu)缺點，但必須強調說明的是，電子商務的安全運行，僅從技術角度防范是遠遠不夠的，還必須完善電子商務立法，以規(guī)范飛速發(fā)展的電子商務現實中存在的各類問題，從而引導和促進我國電子商務快速健康發(fā)展。

參考文獻

1 覃征編著. 電子商務導論. 第一版. 北京：人民郵電出版社，2001