基于電子商務(wù)的計(jì)算機(jī)網(wǎng)絡(luò)安全研究

1、基于電子商務(wù)的計(jì)算機(jī)網(wǎng)絡(luò)安全研究摘要： 作為20世紀(jì)90年代出現(xiàn)的新生事物, 電子商務(wù)正以其便捷、高效、低成本的優(yōu)勢(shì),成為新興的商務(wù)活動(dòng)模式，并且在世界范圍內(nèi)對(duì)各國(guó)經(jīng)濟(jì)發(fā)展帶來(lái)了深刻的影響，成為了世界各國(guó)制定其經(jīng)濟(jì)政策的重要依據(jù)。由于電子商務(wù)是建立在開(kāi)放的Internet平臺(tái)上的,而在開(kāi)放的網(wǎng)絡(luò)上傳輸?shù)娜魏涡畔⒍伎赡鼙凰私厝?因此,要發(fā)展電子商務(wù)必須解決計(jì)算機(jī)網(wǎng)絡(luò)安全問(wèn)題。關(guān)鍵詞：電子商務(wù)；計(jì)算機(jī)網(wǎng)絡(luò)；安全技術(shù)溫家寶總理在2010 年政府工作報(bào)告中明確提出要加強(qiáng)商貿(mào)流通體系等基礎(chǔ)設(shè)施建設(shè)，積極推動(dòng)發(fā)展電子商務(wù)。作為新經(jīng)濟(jì)時(shí)代先進(jìn)生產(chǎn)力的代表，電子商務(wù)的發(fā)展水平已成為衡量一個(gè)國(guó)家現(xiàn)代化水平和綜

2、合實(shí)力的重要標(biāo)志之一，也是加快實(shí)現(xiàn)經(jīng)濟(jì)體制和經(jīng)濟(jì)增長(zhǎng)方式的根本性轉(zhuǎn)變、推動(dòng)產(chǎn)業(yè)結(jié)構(gòu)的升級(jí)、提高城市現(xiàn)代化水平和增強(qiáng)國(guó)際競(jìng)爭(zhēng)力的重要手段。 1我國(guó)電子商務(wù)的發(fā)展 電子商務(wù)是一種在普遍推廣應(yīng)用的前提下，將現(xiàn)代信息產(chǎn)業(yè)技術(shù)與傳統(tǒng)的商務(wù)活動(dòng)相結(jié)合，通過(guò)互聯(lián)網(wǎng)進(jìn)行交易的一種動(dòng)態(tài)商務(wù)活動(dòng)，包括上網(wǎng)購(gòu)物、電子貿(mào)易、電子銀行等，也包括政府職能部門(mén)在網(wǎng)上提供的電子化服務(wù)等等，可以有效降低成本，增加貿(mào)易機(jī)會(huì)，簡(jiǎn)化貿(mào)易流通過(guò)程，提高生產(chǎn)力，改善物流和金流、商品流、信息流的環(huán)境與系統(tǒng)。 我國(guó)的電子商務(wù)發(fā)展相對(duì)滯后，中國(guó)人民銀行建成的全國(guó)認(rèn)證中心，為電子商務(wù)提供了權(quán)威的第三方，此后，我國(guó)電子商務(wù)才逐步進(jìn)入高速發(fā)展期并穩(wěn)

3、步成長(zhǎng)。尤其是21世紀(jì)初，我國(guó)計(jì)算機(jī)網(wǎng)絡(luò)的高速發(fā)展和普及直接帶動(dòng)了電子商務(wù)的發(fā)展。2009 年 3 月在北京召開(kāi)的中國(guó)互聯(lián)網(wǎng)市場(chǎng)年會(huì)上，根據(jù)專(zhuān)家們的統(tǒng)計(jì)，中國(guó) 2009 年 B2B 市場(chǎng)交易額達(dá)到 30764 億元,C2C 市場(chǎng)規(guī)模達(dá)到 1078 億元，同比增長(zhǎng) 44.9%，預(yù)計(jì)未來(lái)三年中國(guó) B2C 市場(chǎng)復(fù)合增長(zhǎng)率可達(dá)到 41%，2011 年市場(chǎng)規(guī)模有望達(dá)到 4982 億元。 2電子商務(wù)的網(wǎng)絡(luò)安全現(xiàn)狀 目前，在因特網(wǎng)上，還沒(méi)有一種完備的方案、模型或體系結(jié)構(gòu)來(lái)解決電子商務(wù)的安全問(wèn)題。各廠商和專(zhuān)業(yè)網(wǎng)站在技術(shù)上普遍采用的數(shù)字證書(shū)、訪問(wèn)控制、防火墻、長(zhǎng)密鑰位通訊、流量填充、路由控制、認(rèn)證交換、公證等加

4、密或認(rèn)證措施以及入侵探測(cè)系統(tǒng)等都起了較好作用有的使用網(wǎng)絡(luò)防毒軟件或防黑客攻擊的網(wǎng)絡(luò)安全軟件，也有較好的效果。比如阿里巴巴和淘寶網(wǎng)都是使用“支付寶”來(lái)確保用戶(hù)的交易安全。支付寶網(wǎng)站采用了先進(jìn)的位加密技術(shù)參照國(guó)內(nèi)銀行網(wǎng)站的普遍做法，確保用戶(hù)在支付寶頁(yè)面上輸入的任何信息可以安全傳送到支付寶，而不用擔(dān)心有人會(huì)通過(guò)網(wǎng)絡(luò)竊取您的敏感信息。當(dāng)當(dāng)網(wǎng)使用的網(wǎng)上支付平臺(tái)，是由銀行和相關(guān)金融部門(mén)提供的，非常安全、可靠。在銀行端使用的是位加密算法和安全電子交易協(xié)議，這樣就保障了用戶(hù)的帳號(hào)等信息在傳輸過(guò)程中的安全性。而易趣則使用實(shí)名標(biāo)記，用戶(hù)的身份證或信用卡信息己通過(guò)了國(guó)家相關(guān)部門(mén)的認(rèn)證，身份真實(shí)可信。買(mǎi)家不是直接匯給

5、賣(mài)家，而是先匯給易趣，由易趣代為安全保管。買(mǎi)家收貨滿(mǎn)意后，才通知易趣支付貨款給賣(mài)家。 盡管針對(duì)電子商務(wù)的安全問(wèn)題，各個(gè)網(wǎng)站提出了很多技術(shù)解決方案，但離真正的安全電子商務(wù)還有一段距離。大多數(shù)系統(tǒng)都將銷(xiāo)售商的服務(wù)器和消費(fèi)者的瀏覽器間的關(guān)系假設(shè)為主從關(guān)系，這種非對(duì)稱(chēng)關(guān)系限制了在這些系統(tǒng)中執(zhí)行復(fù)雜的協(xié)議，而且不允許用戶(hù)間進(jìn)行直接交易，客戶(hù)的匿名性和隱私尚未得到充分的考慮，安全管理存在很大的隱患。電子商務(wù)的交易安全和運(yùn)作需要法律的保護(hù)和規(guī)范，而電子商務(wù)作為一種新的商業(yè)方式，現(xiàn)行的法律是不適用的或是不能完全解決問(wèn)題的。另外，盡管大多數(shù)方案都使用了公鑰密碼，但多方安全受到的關(guān)注遠(yuǎn)遠(yuǎn)不夠，沒(méi)有建立一種解決爭(zhēng)議

6、的決策程序。 3電子商務(wù)面臨的威脅及安全要求 隨著電子商務(wù)蓬勃發(fā)展，其網(wǎng)絡(luò)安全問(wèn)題日益突出。據(jù)中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)統(tǒng)計(jì)表明，30%的用戶(hù)認(rèn)為目前網(wǎng)上購(gòu)物最大的問(wèn)題是安全問(wèn)題。網(wǎng)絡(luò)攻擊者可能通過(guò)互聯(lián)網(wǎng)、公共電話網(wǎng)、在電磁波輻射范圍內(nèi)安裝接收裝置等方式，截獲傳輸?shù)臋C(jī)密信息，或通過(guò)對(duì)信息流量和流向、通信頻度和長(zhǎng)度等參數(shù)的分析，獲取有用信息，如消費(fèi)者的銀行賬號(hào)、密碼等；也有可能給偽造的用戶(hù)發(fā)惡意的電子郵件，窮盡商家資源，使合法用戶(hù)不能正常訪問(wèn)網(wǎng)絡(luò)資源，使有嚴(yán)格時(shí)間要求的服務(wù)不能及時(shí)得到響應(yīng)；以及冒充網(wǎng)絡(luò)控制程序，套取或修改使用權(quán)限、通行宇、密鑰等信息，接管合法用戶(hù)，欺騙系統(tǒng)，占用合法用戶(hù)

7、的資源等等。 為了在Internet上方便、安全地進(jìn)行電子商務(wù)，必須采用一系列的安全技術(shù)來(lái)進(jìn)行安全建設(shè)，比如針對(duì)“黑客”入侵，必須采取防火墻技術(shù)；針對(duì)信息數(shù)據(jù)的真實(shí)性、完整性、機(jī)密性和真實(shí)身份的認(rèn)證以及服務(wù)的不可抵賴(lài)性，必須采取數(shù)據(jù)加密技術(shù)、身份認(rèn)證技術(shù)以及數(shù)字簽名技術(shù)；針對(duì)計(jì)算機(jī)病毒，必須采取網(wǎng)絡(luò)反病毒技術(shù)等等。具體而言，電子商務(wù)信息安全要求包括以下幾點(diǎn)：信息的完整性，即數(shù)據(jù)在傳輸或儲(chǔ)存的過(guò)程中不會(huì)受到非法的修改、刪除或重放，預(yù)防對(duì)信息的隨意生成、修改和刪除，同時(shí)要防止數(shù)據(jù)傳送過(guò)程中信息的丟失和重復(fù)并保證信息傳送次序的統(tǒng)一，確保信息的順序完整性和內(nèi)容的完整性；信息的保密性，電子商務(wù)作為貿(mào)易的

8、一種手段，其信息直接代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密，因此要保證數(shù)據(jù)在傳送過(guò)程中不被泄漏且數(shù)據(jù)不為他人所讀懂；信息的可鑒別性，即需要確認(rèn)發(fā)出信息者的易份，防止假冒者和偽造信息的進(jìn)入，在交易信息的傳輸過(guò)程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)；信息的可靠傳輸性，即數(shù)據(jù)在傳輸時(shí)不因網(wǎng)絡(luò)的故障而丟失信息；信息的不可抵賴(lài)性，即發(fā)送方對(duì)發(fā)出的信息不可抵賴(lài)，收取方對(duì)已收到的信息不可否認(rèn)。 4電子商務(wù)中網(wǎng)絡(luò)安全技術(shù)的優(yōu)化 4.1構(gòu)建電子商務(wù)安全框架體系 完善的電子商務(wù)的安全框架體系應(yīng)該由網(wǎng)絡(luò)服務(wù)層、加密技術(shù)層、安全認(rèn)證層、交易協(xié)議層、商務(wù)系統(tǒng)層組成。其中，網(wǎng)絡(luò)服務(wù)層是各種電子商務(wù)應(yīng)用系統(tǒng)的基礎(chǔ)，并提供

9、信息傳送的載體和用戶(hù)接入手段及安全通信服務(wù)，保證網(wǎng)絡(luò)最基本的運(yùn)行安全。為確保電子商務(wù)系統(tǒng)全面安全，必須建立完善的加密技術(shù)和認(rèn)證機(jī)制。加密技術(shù)是保證電子商務(wù)系統(tǒng)安全所采用的最基本的安全措施，它用于滿(mǎn)足電子商務(wù)對(duì)保密性的要求。安全認(rèn)證層中的認(rèn)證技術(shù)是保證電子商務(wù)安全的又一必要手段，它對(duì)加密技術(shù)層中提供的多種加密算法進(jìn)行綜合運(yùn)用，進(jìn)一步滿(mǎn)足電子商務(wù)對(duì)完整性、抗否認(rèn)性、可靠性的要求。除了各種安全控制技術(shù)外，電子商務(wù)的運(yùn)行還需要一套完善的交易安全協(xié)議，如NetBill、NetCheque等基于支票的交易協(xié)議，SET、SSL、iKP等基于信用卡的交易協(xié)議， Digicash、Netcash等基于現(xiàn)金的交易

10、協(xié)議等等。安全框架體系中的各層次之間相互依賴(lài)、相互關(guān)聯(lián)構(gòu)成統(tǒng)一整體，各層通過(guò)控制技術(shù)的遞進(jìn)實(shí)現(xiàn)電子商務(wù)的安全。 4.2防火墻技術(shù)的完善 防火墻技術(shù)是目前計(jì)算機(jī)網(wǎng)絡(luò)采用的主要安全措施，能有效地保護(hù)企業(yè)內(nèi)部網(wǎng)絡(luò)不受黑客入侵和攻擊， 為電子商務(wù)交易的施展提供了一個(gè)更安全的平臺(tái)。傳統(tǒng)防火墻主要實(shí)現(xiàn)對(duì)內(nèi)部網(wǎng)絡(luò)和服務(wù)器的保護(hù)，利用三端口防火墻可將網(wǎng)絡(luò)隔離為內(nèi)部網(wǎng)、中立區(qū)、公共網(wǎng)絡(luò)。防火墻的實(shí)現(xiàn)技術(shù)包括三種，第一種是電路級(jí)網(wǎng)關(guān)技術(shù):依賴(lài)于TCP聯(lián)接，只對(duì)數(shù)據(jù)包起轉(zhuǎn)發(fā)作用，不進(jìn)行任何附加的包處理和過(guò)濾。缺點(diǎn)是新的應(yīng)用出現(xiàn)要求對(duì)網(wǎng)關(guān)的代碼做相應(yīng)的修改。第二種是數(shù)據(jù)包過(guò)濾技術(shù)，這是防火墻最常用的技術(shù)，通過(guò)檢查IP

11、數(shù)據(jù)包的源地址、目的地址、所用的端口號(hào)和封裝協(xié)議來(lái)決定是否允許該數(shù)據(jù)包通過(guò)，缺點(diǎn)是無(wú)法防止外部主機(jī)的珍欺騙和DNS欺騙，維護(hù)比較困難，不支持用戶(hù)認(rèn)證。第三種是代理網(wǎng)關(guān)技術(shù)，是建立在應(yīng)用層上的協(xié)議過(guò)濾和轉(zhuǎn)發(fā)控制，缺點(diǎn)是能提供的服務(wù)是有限的，在性能和透明度上比較差。根據(jù)現(xiàn)有防火墻的缺點(diǎn)，研究者應(yīng)該致力于開(kāi)發(fā)新型的防火墻技術(shù)，利用智能防御核心，自動(dòng)統(tǒng)計(jì)、分析通過(guò)防火墻的各種連接數(shù)據(jù)，探測(cè)出各種掃描、攻擊，一旦出現(xiàn)這種情況，立即斷開(kāi)與該主機(jī)的任何連接，保護(hù)內(nèi)部服務(wù)器和主機(jī)的安全。 4.3數(shù)字水印的使用 防火墻技術(shù)是一種被動(dòng)的防衛(wèi)技術(shù)，它難以對(duì)電子商務(wù)活動(dòng)中不安全的因素進(jìn)行有效的防衛(wèi)，因此電子商務(wù)系統(tǒng)使

12、用加密技術(shù)來(lái)保證交易過(guò)程的安全性，并提供數(shù)據(jù)可靠性、認(rèn)證、數(shù)據(jù)授權(quán)和付款，用這種加密技術(shù)，使內(nèi)容提供者和消費(fèi)者都知道他們交易雙方是誰(shuí)，傳輸?shù)膬?nèi)容是安全的和授權(quán)的。然而傳統(tǒng)的加密技術(shù)不能完全滿(mǎn)足電子商務(wù)安全性的要求，如有創(chuàng)意的廣告信息在網(wǎng)上既能讓人閱讀，也能保護(hù)其知識(shí)產(chǎn)權(quán)，同時(shí)保護(hù)內(nèi)容被解密以后脫離了用戶(hù)控制的范圍，消費(fèi)者可以獲得有用的形式。而數(shù)字水印正是處理安全問(wèn)題的一個(gè)合適技術(shù)，它是密碼方法的一種有效補(bǔ)充，可以很好地應(yīng)用在電子商務(wù)中的票據(jù)防偽上，可以在每個(gè)打印機(jī)輸出圖象中嵌入能夠標(biāo)識(shí)打印機(jī)的序列號(hào)，作為追蹤偽造票據(jù)的線索。由于在使用水印方法時(shí)，為了驗(yàn)證數(shù)字水印的存在性，版權(quán)所有者不可避免地要

13、泄露水印的有關(guān)信息，這樣就無(wú)法保證攻擊者不破壞水印或自制水印，用戶(hù)使用的水印化數(shù)字產(chǎn)品的合法性不能保證，因此，使用者可以利用加密技術(shù)中的零知識(shí)證明協(xié)議來(lái)解決在不泄露水印信息就能證明水印存在的問(wèn)題，從而保證了水印應(yīng)用中的安全性。 4.4、入侵檢測(cè)保護(hù)策略 隨著網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的不斷提高，單純的防火墻策略已經(jīng)不能滿(mǎn)足人們對(duì)網(wǎng)絡(luò)安全的需求。而入侵檢測(cè)是對(duì)入侵行為的檢測(cè)，可以通過(guò)收集和分析安全日志、網(wǎng)絡(luò)行為、審計(jì)數(shù)據(jù)、其它網(wǎng)絡(luò)上可以獲得的信息以及計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)的信息，檢查系統(tǒng)中或網(wǎng)絡(luò)是否存在被攻擊的跡象和違反安全策略的行為，能夠幫助網(wǎng)絡(luò)系統(tǒng)快速發(fā)現(xiàn)網(wǎng)絡(luò)攻擊的發(fā)生，擴(kuò)展了系統(tǒng)管理員的安全管理能力，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。入侵檢測(cè)策略作為一種積極主動(dòng)地安全防護(hù)技術(shù)，提供了對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵，被認(rèn)為是防火墻之后的第二道安全閘門(mén)。而且入侵檢測(cè)系統(tǒng)在發(fā)現(xiàn)入侵后，會(huì)及時(shí)做出響應(yīng)，包括記錄事件、切斷網(wǎng)絡(luò)連接和報(bào)警等。 5結(jié)語(yǔ) 電子商務(wù)的計(jì)算機(jī)網(wǎng)絡(luò)安全問(wèn)題是電子商務(wù)的核心問(wèn)題，而電子商務(wù)作為全球商務(wù)發(fā)展的趨勢(shì)，將給全球的經(jīng)濟(jì)、政治和法律帶來(lái)深刻的影響。計(jì)算機(jī)網(wǎng)絡(luò)在發(fā)展，入侵和破壞的手段