淺談電子商務(wù)的安全性)

1、個人收集整理僅供參考學習淺談電子商務(wù)的安全性摘要：本文開始介紹了電子商務(wù)的發(fā)展趨勢，并由此引出電子商務(wù)中存在的安全性問題，接著對電子商務(wù)的信息安全問題進行探討，分析了信息安全的基本原理并對信息安全技術(shù)初步研究。關(guān)鍵詞：電子商務(wù)信息安全 安全技術(shù)一、 引言隨著社會信息化步伐的加快，利用計算機技術(shù)、網(wǎng)絡(luò)通信技術(shù)和英特網(wǎng)實現(xiàn)商務(wù)活動 的國際化、信息化和無紙化，已成為全球商務(wù)發(fā)展的趨勢。電子商務(wù)以英特網(wǎng)為基礎(chǔ)，可以提供跨國、多種語言、多種貨幣的在線服務(wù)（包括銀行、保險、旅游、購物 ），還可以提供包括產(chǎn)品尋求、討價還價、作出決定、支付、送貨及解決糾紛等全面的商業(yè)交易服務(wù)。特別是 信息產(chǎn)品還可以直接在線遞

2、送，從而大大降低了交易費用。成本低、及時性和互通性好，以及在拓展市場等方面的優(yōu)勢，使得電子商務(wù)受到全球的廣泛關(guān)注。據(jù)統(tǒng)計，1997年美國企業(yè)間通過電子商務(wù)的交易額已達80億美元，估計到 2000年在英特網(wǎng)上，公司對公司的交易額將增長到1340億美元，消費者購物將增長到100億美元，到2001年電子商務(wù)的交易額將達到3270億美元，其增長速度驚人地高達4000%。在我國，電子商務(wù)的發(fā)展速度也較快，深圳CHINAEDI是統(tǒng)一規(guī)劃和建設(shè)的龐大的公用電子商務(wù)系統(tǒng)，在北京、上海、天津、廣州、深圳、青島、沈陽、南京、杭州、西安、武漢、海口、鄭州13個城市也都建了 CHINAEDI 的節(jié)點，系統(tǒng)服務(wù)覆蓋全國

3、各地，并且與國際EDI網(wǎng)絡(luò)相連接。網(wǎng)上銀行也正在開通之中。電子商務(wù)不僅提供了進行商務(wù)活動的新方式，而且從更深的層面來看，由于通過它形成了與地域、空間無關(guān)的一體化市場，因而正在改變著全球的經(jīng)濟環(huán)境。資料個人收集整理，勿做商業(yè)用途但是，當今電子商務(wù)在全球貿(mào)易額中仍是極小的一部分。比如， 1997年美國的整個貿(mào) 易交易額為25200億美元，所以80億美元的電子商務(wù)顯得彳不足道，即使是 2001年的電 子商務(wù)估計貿(mào)易額 3270億美元也不到1997年美國兩個月的貿(mào)易交易額。這是什么原因呢？ 也許人們會將這一事實歸因于全球網(wǎng)絡(luò)化水平較低，但這只是部分原因。 從網(wǎng)絡(luò)化水平相當高的美國來看，事實上仍有大多數(shù)

4、網(wǎng)絡(luò)化水平很高的公司并未使用電子商務(wù)這種新的商業(yè)方 式。資料個人收集整理，勿做商業(yè)用途人們不禁要問，是什么因素阻礙了電子商務(wù)更廣泛的普及呢？為此，不少調(diào)查機構(gòu)進行了廣泛的調(diào)查。眾多的調(diào)查都發(fā)現(xiàn)，一個主要的障礙就是電子商務(wù)的安全問題。美國密執(zhí)安大學一個調(diào)查機構(gòu)通過對 23000名因特網(wǎng)用戶的調(diào)查顯示，超過60%的人由于擔心電子商務(wù)的安全問題而不愿進行網(wǎng)上購物。的確，由于英特網(wǎng)的全球性、開放性、無縫連通性、共 享性、動態(tài)性發(fā)展，使得任何人都可以自由地接入英特網(wǎng)，特別是黑客”們可能會采用各種攻擊手段進行破壞等犯罪活動。此外，網(wǎng)絡(luò)實體還要經(jīng)受諸如水災(zāi)、火災(zāi)、地震、電磁輻射 等方面的考驗。另外，黑客”的

5、犯罪行為大都具有瞬時性、廣域性、專業(yè)性、時空分離性等特點。通常 黑客”很難留下犯罪證據(jù)，這大大刺激了黑客”們以身試法?？梢?，以英特網(wǎng)為基礎(chǔ)的電子商務(wù)所帶來的安全問題遠比傳統(tǒng)商務(wù)的安全問題復(fù)雜得多。因此，我國在建立電子商務(wù)應(yīng)用系統(tǒng)時，必須將安全作為一個重要方面來加以考慮。資料個人收集整理，勿做商業(yè)用途二、電子商務(wù)概況目前尚未有一個關(guān)于電子商務(wù)的準確定義。廣義地講，電子商務(wù)是指在計算機與通信網(wǎng)絡(luò)基礎(chǔ)上，利用電子工具實現(xiàn)商業(yè)交換和商業(yè)作業(yè)活動的全過程。一般情況下，電子商務(wù)主要是指將購物和商業(yè)談判等傳統(tǒng)商務(wù)活動的網(wǎng)絡(luò)化。直觀地看，電子商務(wù)就是將傳統(tǒng)商務(wù)移植到信息網(wǎng)絡(luò)上。與傳統(tǒng)商務(wù)相似，電子商務(wù)為銷售者

6、和消費者建立交易關(guān)系，使他們能商談和進行交易。電子商務(wù)應(yīng)對所有用戶都是開放的，且至少應(yīng)像傳統(tǒng)商務(wù)那樣方便、可靠和安全。 早在80年代后期和90年代初期，電子商務(wù)就以建立在專用網(wǎng)絡(luò)基礎(chǔ)上的EDI形式出現(xiàn)，當時主要解決企業(yè)間的商務(wù)活動。90年代中期，基于英特網(wǎng)的電子商務(wù)成為主流。它利用TCP/IP公眾網(wǎng)絡(luò)和技術(shù)進行在線交易和商業(yè)作業(yè)，涉及的對象包括：金融機構(gòu)、商 家、生產(chǎn)企業(yè)，網(wǎng)絡(luò)服務(wù)提供商家、個人用戶、政府部門和事業(yè)單位等。資料個人收集整理，勿做商業(yè)用途電子商務(wù)業(yè)務(wù)可以分為兩大類：非支付型業(yè)務(wù)和支付型業(yè)務(wù)。前者包括稅務(wù)申報、 電子選舉、證書發(fā)放、在線報表、安全政務(wù)等業(yè)務(wù)。后者包括各種電子銀行業(yè)務(wù)

7、、代繳代付業(yè) 務(wù)、銀證轉(zhuǎn)賬業(yè)務(wù)、銀企轉(zhuǎn)賬業(yè)務(wù)、電子證券業(yè)務(wù)、網(wǎng)上購物業(yè)務(wù)等。消費者企業(yè)FY（NFY）政府消費者FY（NFY）政府。 二、電子商務(wù)的安全需求從安全和信任關(guān)系來看，在傳統(tǒng)交 易過程中，買賣雙方是面對面的， 因此很容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中， 買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系的，彼此遠隔千山萬水，由于英特網(wǎng)既不安全，也不可信，因而建立交 資料個人收集整理，勿做商業(yè)用途易雙方的安全和信任關(guān)系相當困難。電子商務(wù)交易雙方（銷售者和消費者）都面臨不同的安全威脅。1 .對銷售者而言，他面臨的安全威脅主要有：（1）中央系統(tǒng)安全性被破壞：入侵者假冒成合法用戶來改變用戶數(shù)據(jù)

8、（如商品送達地方 卜解除用戶訂單或生成虛假訂單。（2）競爭者檢索商品遞送狀況： 惡意競爭者以他人的名義來訂購商品，從而了解有關(guān)商品的遞送狀況及貨物和庫存情況。（3）客戶資料被競爭者獲悉。（4）被他人假冒而損害公司的信譽：不誠實的人建立與銷售者服務(wù)器名字相同的另一個WWW服務(wù)器來假冒銷售者。（5）消費者提交訂單后不付款。6）虛假訂單。（7）獲取他人的機密數(shù)據(jù)：比如，某人想要了解另一人在銷售商處的信譽時，他以另一人的名字向銷售商訂購昂貴的商品，然后觀察銷售商的行動。假如銷售商認可該定單，則說明被觀察的信譽高，否則，則說明被觀察者的彳言譽不高。資料個人收集整理，勿做商業(yè)用途2 .對消費者而言，他面臨

9、的安全威脅主要有：（1）虛假訂單：一個假冒者可能會以客戶的名字來訂購商品， 而且有可能收到商品，而此時客戶卻被要求付款或返還商品。（2）付款后不能收到商品： 在要求客戶付款后，銷售商中的內(nèi)部人員不將定單和錢轉(zhuǎn)發(fā)給執(zhí)行部 門，因而使客戶不能收到商品。（3）機密性喪失：客戶可能將秘密的個人數(shù)據(jù)或自己的身份數(shù)據(jù)（如PIN、口令等）發(fā)送給冒充銷售商的機構(gòu)，這些信息也可能會在傳遞過程中被竊聽（4）拒絕服務(wù)：攻擊者可能向銷售商的服務(wù)器發(fā)送大量的虛假定單來窮竭它的資源，從而使合法用戶不能得到正常的服務(wù)。資料個人收集整理，勿做商業(yè)用途由此可見， 黑客”們攻擊電子商務(wù)系統(tǒng)的手段可以大致有以下幾種：一是中斷（攻擊

10、 破壞系統(tǒng)中的硬件、硬盤、線路、文件系統(tǒng)等，使系統(tǒng)不能正常工作。二是竊聽（攻擊系統(tǒng)的機密性）：通過搭線和電磁泄漏等手段造成泄密，或?qū)I(yè)務(wù)流量進行 分析，獲取有用情報。資料個人收集整理，勿做商業(yè)用途三是竄改（攻擊系統(tǒng)的完整性）：竄改系統(tǒng)中數(shù)據(jù)內(nèi)容，修正消息次序、時間（延時和重放）。四是偽造（攻擊系統(tǒng)的真實性）：將偽造的假消息注入系統(tǒng)、假冒合法人接入系統(tǒng)、重放 截獲的合法消息實現(xiàn)非法目的，否認消息的接收或發(fā)送等。資料個人收集整理，勿做商業(yè)用途綜合而言，電子商務(wù)系統(tǒng)的安全性要求可歸納為：1 .信息保密性：維護商業(yè)機密是電子商務(wù)推廣應(yīng)用的重要保障。由于建立在開放網(wǎng)絡(luò)環(huán)境中，要預(yù)防非法信息存取和信息傳輸

11、中被竊現(xiàn)象發(fā)生。資料個人收集整理，勿做商業(yè)用途2 .信息完整性：貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)， 影響到交易和經(jīng)營策略。 要保證網(wǎng)絡(luò)上傳輸?shù)男畔⒉槐淮鄹模?預(yù)防對信息隨意生成、修改和刪除，防止數(shù)據(jù)傳送中信 息的失和重復(fù)并保證信息傳送次序的統(tǒng)一。 資料個人收集整理,勿做商業(yè)用途3 .信息有效性：保證信息有效性是開展電子商務(wù)前提，關(guān)系到企業(yè)或國家的經(jīng)濟利益。 對網(wǎng)絡(luò)故障、應(yīng)用程序錯誤、硬件故障及計算機病毒的潛在威脅控制和預(yù)防，以保證貿(mào)易數(shù)據(jù)在確定時亥U和地點有效。資料個人收集整理，勿做商業(yè)用途4 .信息可靠性：確定要交易的貿(mào)易方是期望的貿(mào)易方是保證電子商務(wù)順利進行的關(guān)鍵。 為防止計算機失

12、效、程序錯誤、系統(tǒng)軟件錯誤等威脅，通過控制與預(yù)防確保系統(tǒng)安全可靠。 三、電子商務(wù)安全體系結(jié)構(gòu) 資料個人收集整理，勿做商業(yè)用途由于英特網(wǎng)在物理上覆蓋全球、在信息內(nèi)容上無所不包、其用戶群結(jié)構(gòu)復(fù)雜，因此幾乎 不可能對其進行集中統(tǒng)一管理、控制通信路由選擇、追蹤和監(jiān)控通信過程、控制和封閉信息流通、保證通信的可靠性和敏感信息的安全、提供源和目標的認證、 實施法律意義上的公證和仲裁等。面對如此嚴峻的現(xiàn)實，必須花大力氣對安全問題進行認真研究，除了加強制度、 法規(guī)等管理措施外，還要強化信息系統(tǒng)的安全能力。資料個人收集整理，勿做商業(yè)用途當前的主流思路是從內(nèi)聯(lián)網(wǎng)出發(fā)來考慮以英特網(wǎng)為基礎(chǔ)的電子商務(wù)安全問題。內(nèi)聯(lián)網(wǎng)將英

13、特網(wǎng)技術(shù)用于單位、 部門和企業(yè)專用網(wǎng)，它在原有專用網(wǎng)的基礎(chǔ)上增加了服務(wù)器和服務(wù)器 軟件，Web內(nèi)容制作工具和瀏覽器，并與英特網(wǎng)聯(lián)通。內(nèi)聯(lián)網(wǎng)為公司和單位信息的傳播和 利用提供了極為便利的條件。內(nèi)聯(lián)網(wǎng)中存有大量的內(nèi)部敏感信息，具有極高的商業(yè)、 政治和軍事價值。內(nèi)聯(lián)網(wǎng)是一種半封閉的集中式可控網(wǎng)。既要保證內(nèi)聯(lián)網(wǎng)不被非法入侵和破壞，網(wǎng)中的敏感信息不被非法竊取和竄改，同時還要保證網(wǎng)內(nèi)用戶和網(wǎng)外用戶之間正常聯(lián)通，并提供應(yīng)有的服務(wù)。要保證英特網(wǎng)基礎(chǔ)上建立的電子商務(wù)安全性，最根本的資料個人收集整理，勿做商業(yè)用途是要發(fā)展各商家、各部門的內(nèi)聯(lián)網(wǎng)并保證它們的安全性。由于電子商務(wù)系統(tǒng)把服務(wù)商、客戶和銀行三方通過英特網(wǎng)連

14、接起來，并實現(xiàn)具體的業(yè)務(wù)操作， 因此電子商務(wù)安全系統(tǒng)可由三個安全代理服務(wù)器及 CA認證系統(tǒng)構(gòu)成，它們遵循相同的協(xié)議，協(xié)調(diào)工作，來實現(xiàn)整個電 子商務(wù)交易數(shù)據(jù)的完整性、保密性、不可否認性等安全功能。銀行方資料個人收集整理，勿做商業(yè)用途主要包括銀行端安全代理、數(shù)據(jù)庫管理系統(tǒng)、審計信息管理系統(tǒng)業(yè)務(wù)系統(tǒng)等幾部分組成。 它與服務(wù)商或客戶進行通信，實現(xiàn)對服務(wù)商或者客戶的身份認證機制，認證客戶和服務(wù)商的身份及賬號的合法性，保證業(yè)務(wù)的安全進行。資料個人收集整理，勿做商業(yè)用途服務(wù)商方主要包括服務(wù)商端安全代理、數(shù)據(jù)庫管理系統(tǒng)、審計信息管理系統(tǒng)、Web服務(wù)器系統(tǒng)等幾部分組成。 在進行電子商務(wù)活動時， 服務(wù)商的服務(wù)器與

15、客戶和銀行進行雙方通 信。 在客戶方，電子商務(wù)的用戶通過自己的計算機與英特網(wǎng)相連，在客戶計算機中，除了WWW瀏覽器軟件外，還裝有電子商務(wù)系統(tǒng)的客戶安全代理軟件?？蛻舳税踩淼闹饕蝿?wù)是負責對客戶敏感信息（如交易信息等）進行加密、解密和數(shù)字簽名，以密文的形式與服務(wù) 商或銀行進行通信，并通過CA和服務(wù)器端安全代理或銀行端安全代理一起實現(xiàn)用戶身份認 證機。 CA認證系統(tǒng)是為用戶簽發(fā)證書的機構(gòu)。CA服務(wù)器由5個部分組成：用戶注冊機構(gòu)、證書管理機構(gòu)、存放有效證書和作廢證書的數(shù)據(jù)庫、密鑰恢復(fù)中心及CA自身密鑰和證書管理中心、。 資料個人收集整理，勿做商業(yè)用途電子商務(wù)系統(tǒng)的安全體系結(jié)構(gòu)主要包括：1.支持服

16、務(wù)層。包括密碼服務(wù)、通信、歸檔、用戶接口和訪問控制等模塊，它提供了實現(xiàn)安全服務(wù)的安全通信服務(wù)。資料個人收集整理，勿做商業(yè)用途5 .傳輸層。傳輸層發(fā)送、接收、組織商業(yè)活動所需的封裝數(shù)據(jù)條，實現(xiàn)客戶和服務(wù)器之 間根據(jù)規(guī)定的安全角色來傳遞信息。數(shù)據(jù)條的基本類型為：簽名文本、證書、收據(jù)、已簽名的陳述、信息、數(shù)字化的商品、訪問某種服務(wù)所需的信息、獲得物理商品所需的信息、電子錢。傳輸層包括付款模塊、文檔服務(wù)模塊和證書服務(wù)模塊。資料個人收集整理，勿做商業(yè)用途6 .交換層。交換層提供封裝數(shù)據(jù)的公平交換服務(wù)。 所謂公平是指，A和B同意進行交換, 則A收到B的封裝數(shù)據(jù)條的充要條件是 B收到A的封裝數(shù)據(jù)條。 資料個

17、人收集整理，勿做商 業(yè)用途7 .商務(wù)層。商務(wù)層提供了商業(yè)方案，如郵購零售”、在線銷售信息等。四、電子商務(wù)中使用的核心安全技術(shù)1.防火墻技術(shù)。防火墻在網(wǎng)絡(luò)間建立安全屏障，根據(jù)指定策略對數(shù)據(jù)過濾、分析和審計， 并對各種攻擊提供防范。安全策略有兩條：一是凡是未被準許就是禁止防火墻先封閉 所有信息流，再審查要求通過信息，符合條件就通過；二是凡是未被禁止就是允許防火墻先轉(zhuǎn)發(fā)所有信息，然后逐項剔除有害內(nèi)容。資料個人收集整理，勿做商業(yè)用途防火墻技術(shù)主要有：（1）包過濾技術(shù)：在網(wǎng)絡(luò)層根據(jù)系統(tǒng)設(shè)定的安全策略決定是否讓數(shù) 據(jù)包通過，核心是安全策略即過濾算法設(shè)計。（2）代理服務(wù)技術(shù)：提供應(yīng)用層服務(wù)控制，起到外部網(wǎng)絡(luò)

18、向內(nèi)部網(wǎng)絡(luò)申請服務(wù)時中間轉(zhuǎn)接作用。代理服務(wù)還用于實施較強數(shù)據(jù)流監(jiān) 控、過濾、記錄等功能。（3）狀態(tài)監(jiān)控技術(shù)：在網(wǎng)絡(luò)層完成所有必要的包過濾與網(wǎng)絡(luò)服務(wù) 代理防火墻功能。（4）復(fù)合型技術(shù)：把過濾和代理服務(wù)兩種方法結(jié)合形成新防火墻，所用 主機稱為堡壘主機，提供代理服務(wù)。（5）審計技術(shù)：通過對網(wǎng)絡(luò)上發(fā)生的訪問進程記錄和產(chǎn)生日志，對日志統(tǒng)計分析，對資源使用情況分析，對異常現(xiàn)象跟蹤監(jiān)視。（6）路由器加密技術(shù)：加密路由器對通過路由器的信息流加密和壓縮，再通過外部網(wǎng)絡(luò)傳輸?shù)侥康亩私鈮嚎s和角軍密。資料個人收集整理，勿做商業(yè)用途2 .加密技術(shù)。為保證數(shù)據(jù)和交易安全，確認交易雙方的真實身份，電子商務(wù)采用加密技 術(shù)。數(shù)

19、據(jù)加密是最可靠的安全保障形式和主動安全防范的策略。目前廣泛應(yīng)用的加密技術(shù)有：（1）公共密鑰和私用密鑰：也稱RSA編碼法。信息交換的過程是貿(mào)易方甲生成一對密鑰并將 其中一把作為公開密鑰公開；得到公開密鑰的貿(mào)易方乙對信息加密后再發(fā)給貿(mào)易方甲：貿(mào)易方甲用另一把專用密鑰對加密信息解密。具有數(shù)字憑證身份人員的公共密鑰在網(wǎng)上查到或請對方發(fā)信息將公共密鑰傳給對方，保證傳輸信息的保密和安全。（2）數(shù)字要：也稱安全Hash編碼法。將需加密的明文摘要”成一串密文亦稱數(shù)字指紋，有固定長度且不同明文摘要成密文結(jié)果不同，而同樣明文摘要必定一致。這串摘要成為驗證明文是否真身的指紋”。（3）數(shù)字簽名：將數(shù)字摘要、公用密鑰算

20、法兩種加密方法結(jié)合。在書面文件上簽名是確認文件的手段。簽名作用有兩點：一是因為自己簽名難以否認，從而確認文件已簽署；二是因為簽名不易仿冒，從而確定文件為真。（4）數(shù)字時間戳：電子交易中文件簽署日期和簽名是防止交易文件被偽造和篡改的關(guān)鍵性內(nèi)容，數(shù)字時間戳服務(wù)能提供電子文件發(fā)表時間的安全保 護。3 .認證技術(shù)。安全認證的作用是進行信息認證。信息認證是確認信息發(fā)送者的身份，驗證信息完整性，確認信息在傳送或存儲過程中未被篡改。（1）數(shù)字證書：也叫數(shù)字憑證、數(shù)字標識，用電子手段證實用戶身份及對網(wǎng)絡(luò)資源的訪問權(quán)限，可控制被查看的數(shù)據(jù)庫，提高總體保密性。交易支付過程中，參與各方必須利用認證中心簽發(fā)的數(shù)字證書

21、證明身份。（2）安全認證機構(gòu)：電子商務(wù)授權(quán)機構(gòu)也稱電子商務(wù)認證中心。無論是數(shù)字時間戳服務(wù)還是數(shù)字證 書發(fā)放，都需要有權(quán)威性和公正性的第三方完成。CA是承擔網(wǎng)上安全交易認證服務(wù)、簽發(fā)數(shù)字證書并確認用戶身份的企業(yè)性服務(wù)機構(gòu)，受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書管理。4 .防病毒技術(shù)。（1）預(yù)防病毒技術(shù)，通過自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲取系統(tǒng)控制權(quán)，監(jiān) 視系統(tǒng)中是否有病毒，阻止計算機病毒進入計算機系統(tǒng)和對系統(tǒng)破壞。（2）檢測病毒技術(shù)，通過對計算機病毒特征進行判斷的偵測技術(shù)，如自身校驗、關(guān)鍵字、文件長度變化。（3）消除病毒技術(shù)，通過對計算機病毒分析， 開發(fā)出具有殺除病毒程序并恢復(fù)原文件的軟件。另外要認真執(zhí)行病毒定期清理制度， 可以清除處于潛伏期的病毒， 防止病毒突然爆發(fā)， 使計算機 始終處于良好工作狀態(tài)。 資料個人收集整理，勿做商業(yè)用途五、電子商務(wù)安全還需要解決的問題安全電子商務(wù)在如下幾個方面還沒有滿意的結(jié)果：1 .沒有一種電子商務(wù)安全的完整解決方案和完整模型與體系結(jié)構(gòu)。2 .盡管一些系統(tǒng)正逐漸成為標準，但僅有很少幾個標準的API。從開放市場的角度來看，協(xié)議間的通用 API和網(wǎng)關(guān)是絕對需要的。資料個人收集整理，勿做商業(yè)用途3 .大多數(shù)電子商務(wù)系統(tǒng)