标签：
浅谈电子商务安全
【关键词】电子商务 安全技术 网络
【摘要】随着网络技术和信息技术的飞速发展，电子商务得到了越来越广泛的应用，越来越多的企业和个人用户依赖于电子商务的快捷、高效。它的出现不仅为Internet的发展壮大提供了一个新的契机，也给商业界注入了巨大的能量。但电子商务是以计算机网络为基础载体的，大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，在这样的情况下，安全性问题成为首要问题。
在现代社会里,个人隐私、商业机密已成为特别敏感的内容，商业活动中涉及法律方面的问题已得到充分的重视。如果信息被篡改、失窃，将会导致泄密、法律证据的破坏等恶性事件发生。因此，建立一套完善的加密、解密系统将有效地保证信息的真实性、不可否认性及不可更改性，保障电子商务的顺利发展。此外，必须高度重视网络安全问题，从法律保护和技术上采取一系列安全和保护措施。
一、目前电子商务存在的安全性问题
1.网络协议安全性问题：目前，TCP/IP协议是应用最广泛的网络协议，但由于TCP/IP本身的开放性特点，企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。
2.用户信息安全性问题：目前最主要的电子商务形式是基于B/S(Browser/Server)结构的电子商务网站，用户使用浏览器登录网络进行交易，由于用户在登录时使用的可能是公共计算机，如网吧、办公室的计算机等情况，那么如果这些计算机中有恶意木马程序或病毒，这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题：有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患，服务器操作系统本身也会有漏洞，不法攻击者如果进入电子商务网站，大量用户信息及交易信息将被窃取，给企业和用户造成难以估量的损失。
二、 电子商务安全性要求
1.服务的有效性要求：电子商务系统应能防止服务失败情况的发生，预防由于网络故障和病毒发作等因素产生的系统停止服务等情况，保证交易数据能准确快速的传送。
2.交易信息的保密性要求：电子商务系统应对用户所传送的信息进行有效的加密，防止因信息被截取破译，同时要防止信息被越权访问。
3.数据完整性要求：数字完整性是指在数据处理过程中，原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正，交易的文件是不可被修改的，否则必然会损害一方的商业利益。
4.身份认证的要求：电子商务系统应提供安全有效的身份认证机制，确保交易双方的信息都是合法有效的，以免发生交易纠纷时提供法律依据。
三、电子商务安全技术措施
1、密码技术。对数据进行加密（加密后的数据称为密文），这样即使别人窃取了数据，也会因为没有密钥而无法将之还原成明文，从而保证了数据的安全性。对数据进行加密是电子商务系统最基本的信息安全防范措施．其原理是利用加密算法将信息明文转换成按一定加密规则生成的密文后进行传输，从而保证数据的保密性。使用数据加密技术可以解决信息本身的保密性要求。数据加密技术可分为对称密钥加密和非对称密钥加密。
(1)对称密钥加密(SecretKey Encryption)。对称密钥加密也叫秘密/专用密钥加密，即发送和接收数据的双方必须使用相同的密钥对明文进行加密和解密运算。它的优点是加密、解密速度快，适合于对大量数据进行加密，能够保证数据的机密性和完整性；缺点是当用户数量大时，分配和管理密钥就相当困难。
(2)非对称密钥加密(PublicKey Encryption)。非对称密钥加密也叫公开密钥加密，它主要指每个人都有一对惟一对应的密钥:公开密钥(简称公钥)和私人密钥(简称私钥)公钥对外公开，私钥由个人秘密保存，用其中一把密钥来加密，就只能用另一把密钥来解密。非对称密钥加密算法的优点是易于分配和管理，缺点是算法复杂，加密速度慢。
2、数字化凭证。
（1）数字签名。数字签名（digital signature）是通过特定密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证所无法比拟的。数字签名技术可以保证信息传送的完整性和不可抵赖性。
（2）消息摘要。消息摘要方法（message digest）也称安全Hash编码法，通过单向散列函数（Hash函数）生成一个惟一的对应一个消息的值。不同的消息其摘要不同，相同消息其摘要相同。
（3）数字时间戳（DTS,Digital Time-stamp Service）。用户首先将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。书面签署文件的时间是由签署人自己写上的，而数字时间戳则由认证单位DTS来确认的，以DTS收到的文件的时间为认定依据。
（4）认证机构和数字证书。由于电子商务中的交易一般不会有使用者面对面进行，所以对交易双方身份的认定是保障电子商务交易安全的前提。认证机构是一个公立可信的第三方，用以证实交易双方的身份，数字证书是由认证机构签名的包括公开密钥拥有者身份信息以及公开密钥的文件。在交易支付过程中，参与方必须利用认证中心签发的数字证书来证明自己的身份。
（5）使用安全电子交易协议(SET:Secure Electronic Transactions)。是由VISA 和MasterCard两大信用卡组织指定的标准。SET用于划分与界定电子商务活动中各方的权利义务关系，给定交易信息传送流程标准。SET协议保证了电子商务系统的保密性、完整性、不可否认性和身份的合法性。
（6）密钥管理。密钥管理是处理密钥自产生开始到最终销毁的全过程中的有关问题，包括密钥的产生、存储、备份、更新、销毁等内容。
3、网络安全技术。
（1）防火墙技术。防火墙（Firewall）是一个由软件和硬件设备组合而成用来实施访问控制策略的系统。它在内部网和外部网之间的界面上构造一个保护层，使内部网络与外部网络在一定意义下隔离，以防止非法用户访问内部网络上的资源和非法向外部网络传递内部信息，执行安全管制措施，记录所有可疑的事件。
（2）包过滤技术。包过滤技术(IP Filtering or packet filtering) 的原理在于监视并过滤网络上流入流出的IP包，拒绝发送可疑的包。基于协议特定的标准，路由器在其端口能够区分包和限制包的能力叫包过滤（Packet Filtering）。由于Internet 与Intranet 的连接多数都要使用路由器，所以Router成为内外通信的必经端口，Router的厂商在Router上加入IP 过滤 功能，过滤路由器也可以称作包过滤路由器或筛选路由器（Packet Filter Router）。防火墙常常就是这样一个具备包过滤功能的简单路由器，这种Firewall应该是足够安全的，但前提是配置合理。然而一个包过滤规则是否完全严密及必要是很难判定的，因而在安全要求较高的场合，通常还配合使用其它的技术来加强安全性。
（3）代理服务技术。代理服务具有网络地址转换（NAT）的功能，NAT对所有内部地址作转换，使外部网络无法了解内部网络的内部结构，同时使用NAT的网络，与外部网络的连接只能由内部网络发起，极大地提高了内部网络的安全性。NAT的另一个的用途是解决IP地址匮乏问题。防火墙利用NAT技术，不同的内部主机向外连接时可以使用相同的IP地址；而内部网络内的计算机互相通讯时则使用内部IP地址。两个IP地址不会发生冲突，内部网络对外部网络来说是透明的，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。代理防火墙对互联网暴露，又是内部网络用户的主要连接点。代理程序将用户对互联网络的服务请求依据己制定的安全规则向外提交。代理服务替代了用户与互联网络的连接。在代理服务中，内外各个站点之间的连接被切断了，都必须经过代理方才能相互连通。代理服务在幕后操纵着个站点间的连接。
四、电子商务安全需要进一步完善的配套措施
电子商务要真正成为一种主导的商务模式，尤其对发展中的中国来说，发展电子商务，就必须从以下几个方面来完善配套措施：
1. 突破关键技术受制于人的瓶颈。当前不仅国内几乎所有的主机、交换机、路由器、网络操作系统都来自国外，而且美国对出口别国的产品实行密钥信前控制和长密钥限制，因此我们必须依靠自身的力量研制自己的加密算法，以保证中国电子商务的正常发展。[本文转自：lunwen.1kejian.com]
2. 我国应尽快对电子商务的有关细则进行立法。当前大多数人信息安全意识淡薄，以银行和金融界来看，大家对安全方面的重视还不够，由于有关电子商务的立法和管理刚刚开始，有人开玩笑说“电子商务目前是个‘三无’行业：无法可依、无安全可言、无规可循”，当然这种说法欠妥，但目前我国关于网络安全的法律的确还有待完善。
3. 大力开发大型商务网站、发展与之相配套的物流公司。目前我国的电子商务没有真正深入商务领域而仅仅局限于信息领域，这必将影响我国电子商务进一步的发展。
五、结束语
电子商务是国民经济和社会信息化的重要组成部分，而安全性则是关系电子商务能否迅速发展的重要因素。电子商务的安全是一个复杂系统工程，仅从技术角度防范是远远不够的，还必须完善电子商务方面的立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进电子商务又好又快地发展。
【参考文献】
[1]乔正洪、葛武滇，计算机网络技术与应用[M]，北京，清华大学出版社，2008.1
[2]张李义、李枫林，电子商务概论[M]，武汉：武汉大学出版社，2002.9
标签：
原文地址：http://www.cnblogs.com/cangqiongbingchen/p/4531902.html
