电子商务安全精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的电子商务安全主题范文，仅供参考，欢迎阅读并收藏。

第1篇：电子商务安全范文

关键词:移动电子商务IEEE802.11WAPWPKI

随着无线通信技术的发展,移动电子商务已经成为电子商务研究热点。移动电子商务是将现代信息科学技术和传统商务活动相结合,随时随地为用户提供各种个性化的、定制的在线动态商务服务。

但在无线世界里,人们对于进行商务活动安全性的考虑比在有线环境中要多。只有当所有的用户确信,通过无线方式所进行的交易不会发生欺诈或篡改、进行的交易受到法律的承认和隐私信息被适当的保护时,移动电子商务才有可能蓬勃开展。

移动电子商务通信安全的现状

由于无线通讯接入方式非常灵活,所以其对安全的要求更高。实际上,主要的无线通信技术都有各自的措施、协议和方法来保证各自体制下的通信安全。这里我们将从无线网络和电子商务应用两个方面作简要讨论。

无线局域网

无线局域网络是以无线连接至局域网络的通讯方式。它采用的是IEEE802.11系列标准。在该标准中,无线局域网的安全机制采用的是WEP协议(有线对等安全协议)。在数据链路用WEP加密数据,保证了信道上传送数据的安全。另外,无线局域网的网络管理员分配给每个授权用户一个基于WEP算法的密钥,这样就有效阻止了非授权用户的访问。

WAP(无线应用协议)技术

WAP由一系列协议组成,用来标准化无线通信设备,例如:移动电话、移动终端;它负责将Internet和移动通信网连接到一起,客观上已成为移动终端上网的标准。WAP协议可以广泛地运用于GSM、CDMA、TDMA、3G等多种网络。

WAP的安全机制是通过WTLS(无线传输层安全)协议来实现的。WTLS协议类似于互联网传输层安全协议。在无线技术的有限的发送功率、存储容量及带宽的条件下,WTLS能够实现鉴定,保证数据的完整性和提供保密服务的目标。

数字认证技术

对诸如移动电子商务和有重要使命的合作通信等活动,其安全性的一个关键方面是能否对信息发送者的身份进行论证,通常都要利用有线安全的公开密钥基本构架(PKI)。

PKI提供与加密和数字证书有关的一系列技术。但在无线通信环境中,PKI是很难实现的。在只有有限计算能力和低数据流通率的设备上实现PKI中的服务一直是一个有挑战性的难题。同时在PKI的基础上,要将无线设备与有线设备之间进行互通也是有难度的。因此无线PKI(WPKI)协议是要将标准的PKI进行修正和简化,使其在无线通信的环境下达到最优。

移动电子商务安全分析

IEEE802.11的安全

IEEE802.11标准规定了MAC层的存取控制规范,也定义了加密机制,即上述的WEP。WEP的目的是通过对信息流加密并利用WEP认证节点,使无线通信传输像有线网络一样安全。

WEP加密使用共享密钥和RC4加密算法。访问点(AP)和连接到该访问点的所有工作站必须使用同样的共享密钥。对于往任一方向发送的数据包,传输程序都将数据包的内容与数据包的检验组合在一起。然后,WEP标准要求传输程序创建一个特定于数据包的初始化向量(IV),后者与密钥k相组合在一起,用于对数据包进行加密。接收器生成自己的匹配数据包密钥并用之对数据包进行解密。在理论上,这种方法优于单独使用共享私钥的显式策略,应该使对方更难于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相当于有线局域网基本安全的安全级别,根本不是一种全面的安全方案。越来越多的安全专家和研究人员发现IEEE802.11存在安全漏洞,有经验的黑客会利用这些漏洞进行攻击。其缺陷主要有:RC4算法本身就有一个小缺陷。WEP标准允许IV重复使用(平均大约每5小时重复一次)。WEP标准不提供自动修改密钥的方法。

最早的WEP实施只提供40位加密,这使得它抗暴力攻击能力差。现代的系统提供128位的WEP,128位的密钥长度减去24位的IV后,实际上有效的密钥长度为104位。尽管如此,128位的WEP版本也不能保证绝对安全。最好的解决办法是把无线网络放在机构防火墙之外,这种防范措施会强制要求将无线连接当作不受信任的连接来看待,就像看待其他任何来自Internet的连接一样。

所以,WEP应该与其他安全机制一起应用才能提供较强的安全。

WAP的安全

WAP规范的安全特性包括几个部分:WTLS协议、用于存储用户证书的WAP身份模块(WIM)和允许WAP交易签名的SignText功能。

WTLS协议:WTLS基于IETF小组的SSL/TLS协议,提供了实体鉴别、数据加密和保护数据完整性的功能,所以可以确保在WAP装置和WAP网关之间的安全通信。有三种不同级别的WTLS:

1级:执行未经证实的Diffie-Hellman密钥交换以建立会话密钥。

2级:使用与SSL/TLS协议相类似的公开密钥证书机制进行服务器端鉴别。

3级:客户端和服务器端采用X.509格式证书相互进行鉴别。

早期WAP装置仅仅采用了第1级别的WTLS,这种级别的安全不够,所以不能用于电子商务。目前,支持第2和第3级别WTLS的移动装置从市场上可以得到,它们可以确保网上银行交易和购物等应用的机密性。

WIM:为了便于客户端的鉴别,新一代的WAP电话提供了WIM。WIM包含了WTLS3级的功能,并嵌入了对公开密钥加密技术的支持(RSA是强制的,而ECC是可选的)。生产厂家为WIM配备了两套公私密钥对(一套用于签名,另一套用于鉴别)和两个厂商的证书。用配置在WIM上的公匙把厂商的证书和厂商名字捆绑在一起。这样,通过WIM和WAP网关建立的所有WTLS会话都将使用相同的公匙用作初始会话。每一个会话都将包括与此密钥对应的一个不同的证书。WIM的基本要求是它们要具有抗篡改的能力。

SignText功能:这个功能为WAP用户提供了数字签名。同电子签名功能一样,这个功能可以被应用于其他无线设备,或者是手持设备,或者是内嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3级,多数情况下WTLS已足以确保WAP的安全。但是,由于WAP网关在WAP设备和Web服务器之间起着翻译的作用,相应的带来了安全问题:WTLS安全会话建立在手机与WAP网关之间,而与终端服务器无关。这意味着数据只在WAP手机与网关之间加密,网关将数据解密后,利用其他方法将数据再次加密,然后经过TLS连接发送给终端服务器。由于WAP网关可以看见所有的数据明文,而该WAP网关可能并不为服务器所有者所拥有,这样,潜在的第三方可能获得所有的传输数据。

目前,针对上述安全性问题,可以采用这样的措施来提高WAP的安全性:尽力确保WAP网关的安全。如果WAP网关位于WAP服务供应商范围之内,可以通过诸如在内存中对加密和解密过程进行最优化以减少数据明文存在的时间、在释放前覆盖加密解密进程使用的内存以确保数据的安全性。对于安全要求较高的公司可以拥有自己的WAP网关,从而保障数据端到端的安全性。通过WIM实现数据安全性。

WPKI技术

在有线通信中,电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题,但在应用PKI的同时要考虑到移动通信环境的特点,并据此对PKI技术进行改进。

WPKI技术满足移动电子商务安全的要求:即保密性、完整性、真实性、不可抵赖性,消除了用户在交易中的风险。WPKI技术主要包含以下几个方面:

认证机构(CA)CA系统是PKI的信任基础,负责分发和验证数字证书,规定证书的有效期,证书废除列表。

注册机构(RA)RA提供用户和CA之间的一个接口。作为认证机构的校验者,在数字证书分发给请求者之前对证书进行验证。

智能卡智能卡将具有存储、加密及数据处理能力的集成电路芯片镶嵌于塑料基片中,具有体积小、难于破解等特点,在生产过程、访问控制方面有很强的安全保障。很多种需要客户端认证的应用都可以使用智能卡来实现。并且智能卡也是存储移动电子商务密钥及相关数字证书的最佳选择。

加密算法加密算法越复杂,密钥越长则安全性越高,但执行运算所需的时间也越长(或需要计算能力更强的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制,因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的,ECC在这方面具有很大的优势。

综上所述,在WPKI机制下,数字证书非常重要,但是由于无线信道和移动终端的限制,如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以采用以下2种办法解决:WTLS证书,WTLS证书的功能与X.509证书相同,但更小、更简化,利于在资源受限的手持终端中处理。但所有证书必须含有与密钥交换算法相一致的密钥,除非特别指定,签名算法必须与证书中密钥的算法相同:移动证书标识,将标准的一个X.509证书与移动证书标识唯一对应,并且在移动终端中嵌入移动证书标识,用户每次只需要将自己的移动证书标识与签名数据一起提交给对方,对方再根据移动证书标识检索相应的数字证书即可。

目前,大多数移动电子商务采用的安全方式是非PKI的方式,这种方式主要采用对称加密算法和单向散列函数来提供安全服务,其密钥的管理是由移动运营商建立一套主密钥管理系统,为不同的服务提供商分配不同的密钥,每次交易过程中,服务提供商与用户协商产生会话加密密钥。显然,采用这种方式构建的系统的安全性主要取决于主密钥的安全。

尽管非PKI方式对于无线终端有限的处理能力来说尤其适合,而且通过黑名单管理等方法可以使系统的安全得到较好的保障,但是从长远来说,移动电子商务有必要逐步过渡到PKI方式。

移动电子商务随着移动互联网技术的成熟发展迅速,其独特的应用领域使得其安全问题倍受关注。从技术角度上看,一方面无线通信的安全处在不断地发展和完善之中,其应用到移动电子商务中时要与其它的安全机制相结合才能满足实际应用的需要;另一方面有线电子商务的安全技术不能解决移动电子商务的安全问题,所以WPKI技术是一个现实的选择。因此,将这两方面进行改进并进行有机整合,才能营造一个安全的移动电子商务环境。

参考文献:

1.储节旺,郭春侠.移动电子商务研究[J].现代情报,2002,3(3)

2.姜志,聂志锋.移动电子商务及其关键技术[J].湖北邮电技术,2002,9(3)

第2篇：电子商务安全范文

关键词：电子商务安全套接层协议安全电子交易认证中心

1电子商务的主要安全要素

目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看,传统的买卖双方是面对面的,因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。电子商务交易双方（销售者和消费者）都面临安全威胁。电子商务的安全要素主要体现在以下几个方面：

信息有效性、真实性

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的。原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。

2电子商务的安全技术讨论

2．1电子商务的安全技术之一-----数据加密技术

加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。

面向网络的加密技术通常工作在网络层或传输层，使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。在网络层上实现的加密技术对于网络应用层的用户通常是透明的。此外，通过适当的密钥管理机制，使用这一方法还可以在公用的互联网络上建立虚拟专用网络并保障虚拟专用网上信息的安全性。

面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，例如使用kerberos服务的telnet、nfs、rlogion等，以及用作电子邮件加密的pem（privacyenhancedmail）和pgp（prettygoodprivacy）。这一类加密技术的优点在于实现相对较为简单，不需要对电子信息（数据包）所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。

1）常用的加密技术分类：

对称密钥密码算法

对称（传统）密码体制是从传统的简单换位代替密码发展而来的，自1977年美国颁布des密码算法作为美国数据加密标准以来，对称密钥密码体制得到了迅猛发展，得到了世界各国关注和使用。对称密钥密码体制从加密模式上可分为序列密码和分组密码两大类。

不对称型加密算法

也称公用密钥算法，其特点是有二个密钥即公用密钥和私有密钥，只有二者配合使用才能完成加密和解密的全过程。

由于不对称算法拥有二个密钥，因此它特别适用于分布式系统中的数据加密，在Internet中得到了广泛应用。其中公用密钥在网上公布，为数据源对数据加密使用，而用于解密的相应私有密钥则由数据的收信方妥善保管。

不可逆加密算法

其特征是加密过程不需要密钥，并且经过加密的数据无法被解密，只有同样的输入数据经过同样的不可逆加密算法才能得到相同的加密数据。不可逆加密算法不存在密钥保管和分发问题，适合于分布式网络系统上使用，但是其加密计算工作量大，所以通常用于数据量有限的情形的加密，例如计算机系统中的口令的加密。

2）电子商务领域常用的加密技术

数字摘要(digitaldigest)

这一加密方法亦称安全Hash编码法，由RonRivest所设计。该编码法采用单向Hash函数将需加密的明文"摘要"成一串128bit的密文，这一串密文亦称为数字指纹(FingerPrint)，它有固定的长度，且不同的明文摘要成密文，其结果总是不同的，而同样的明文其摘要必定一致。这样这串摘要便可成为验证明文是否是"真身"的"指纹"了。

数字签名(digitalsignature)

数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。在书面文件上签名是确认文件的一种手段，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。

数字时间戳(digitaltime-stamp)

交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。

数字时间戳服务(DTS)是网上安全服务项目，由专门的机构提供。时间戳(time-stamp)是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest),2)DTS收到文件的日期和时间，3)DTS的数字签名。

数字证书(digitalcertificate,digitalID)

数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。

数字凭证有三种类型：

·个人凭证(PersonalDigitalID)

·企业（服务器）凭证(ServerID)

·软件（开发者）凭证(DeveloperID)

上述三类凭证中前二类是常用的凭证，第三类则用于较特殊的场合，大部分认证中心提供前两类凭证。

3）与电子商务安全有关的协议技术讨论：

SSL协议（SecureSocketsLayer）安全套接层协议

------面向连接的协议，当初不是为电子商务而设计

SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用WebServer方式。

SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。

SSL的应用及局限：中国目前多家银行均采用SSL协议，从目前实际使用的情况来看，SSL还是人们最信赖的协议。但是SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。

SET协议（SecureElectronicTransaction）安全电子交易

------专门为电子商务而设计的协议，但仍然不能解决电子商务所遇到全部问题

电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。在网上购物的环境中，持卡人希望在交易中保密自己的帐户信息，使之不被人盗用；商家则希望客户的定单不可抵赖，并且，在交易过程中，交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国Visa和MasterCard两大信用卡组织联合国际上多家科技机构，共同制定了应用于Internet上的以银行卡为基础进行在线交易的安全标准，这就是"安全电子交易"（SET）。它采用公钥密码体制和X.509数字证书标准，主要应用于保障网上购物信息的安全性。由于SET提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。

SET的局限性：SET是专门为电子商务而设计的协议，虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。

2.2电子商务的安全技术之二------身份认证技术

为解决Internet的安全问题，世界各国对其进行了多年的研究，初步形成了一套完整的Internet安全解决方案，即目前被广泛采用的PKI（PublicKeyInfrastructure公钥基础设施）体系结构。PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。

在电子交易中，无论是数字时间戳服务(DTS)还是数字证书(DigitalID)的发放，都不是靠交易的自己能完成的，而需要有一个具有权威性和公正性的第三方(thirdparty)来完成。认证中心(CertificateAuthority)就是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理。认证中心依据认证操作规定(CertificationPracticeStatement)来实施服务操作。

1）认证系统的基本原理

利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。

2）认证系统结构

整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和WebPublisher。

核心系统根CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。

证书的登记机构RegisterAuthority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为TCP/IP。

证书的公布系统WebPublisher，简称WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。

证书链服务（有时也称"交叉认证"）是一个CA扩展其信任范围或被认可范围的一种实现机制。如果企业或机构已经建立了自己的CA系统，通过第三方认证中心对该机构或企业的CA签发CA证书，能够使得该企业或机构的CA发放的证书被所有信任第三方认证中心的浏览器、邮件客户所信任。

3）中国金融认证中心CFCA的建设情况

中国对电子商务的发展也给予了应有的重视。中国金融认证中心CFCA（ChinaFinancialCertificateAuthority）。已于2000年6月29日开始对社会各界提供证书服务，系统进入运行状态。中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构，为参与电子商务各方的各种认证需求提供证书服务，建立彼此的信任机制，为全国范围内的电子商务及网上银行等网上支付业务提供多种模式的认证服务，在不远的将来实现与国外CA的交叉认证。

2．3电子商务的安全技术之三网上支付平台及支付网关

网上支付平台分为CTEC支付体系（基于CTCA/GDCS）和SET支付体系（基于CTCA/SET）。网上支付平台支付型电子商务业务提供各种支付手段，包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段。

目前，在国内可以提供网上支付功能服务或者网上支付网关接口的银行有：

中国工商银行牡丹卡中国银行长城借记卡

中国银行长城信用卡招商银行一网通卡

中国建设银行龙卡MASTER/VISA/JCB卡（适用全球）

上述除中国银行长城借记卡则采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付网关位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。即支付网关主要完成通信、协议转换和数据加解密功能，并且可以保护银行内部网络。此外，支付网关还具有密钥保护和证书管理等其它功能。

3小结

本文分析了目前电子商务领域所使用的安全技术：数据加密技术，身份认证技术，网上支付平台及支付网关，指出了它们分别的使用范围及其优缺点，但必须强调说明的是，电子商务的安全运行，仅从技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。

参考文献

1覃征编著.电子商务导论.第一版.北京：人民邮电出版社，2001

第3篇：电子商务安全范文

【关键词】电子商务；安全；技术

1电子商务安全性需求

对于电子商务系统而言，系统的安全性，可靠性等一直是人们关注的问题。为了保障网上交易安全顺利的进行，电子商务系统安全性要求可归纳为：(1)机密性要求。电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。而电子商务建立在一个开放的网络环境(Internet)上，维护商业机密是电子商务全面推广应用的重要保障。因此，必须保障交易信息在存取和传输过程中不被泄露给非授权的人或实体。(2)完整性要求。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，因此电子交易的双方数据的完整是电子商务的基础。因此需防止对信息的随意生成、修改和删除，同时要防止数据传输过程中信息的丢失、信息重复，并保障信息传送的次序差的统一。(3)真实性要求。真实性是指网上交易双方身份信息的真实性，从电子商务的形式上看，电子交易中参加交易的各方是不见面的，他们是通过网络这个虚拟场所进行活动，因此需要对参加交易的人或实体的身份进行检验，保证交易双方身份的真实性，使参加交易的各方能够在相互不见面的情况下确认对方身份的真实性。(4)不可抵赖性要求。电子商务和传统商务在本质上是相同的，因此电子商务也需要建立相关的责任机制，防止交易双方交易过程出现的相互抵赖行为。在电子交易过程中需要为参加交易各方的对象（个人，企业或国家）提供可靠的标识。(5)有效性要求。电子商务的是指在电子交易的过程中，要保证在网络上传输的交易数据在确定的时刻、确定的地点是有效的。电子商务的有效性直接关系到交易活动的成败与否，它是能否开展电子交易活动的前提，直接影响到个人、企业或国家的经济利益和声誉。因此，需要对电子商务运行过程中有可能遇到的网络故障、操作过程中出现的错误、相关的应用程序运行时出现的错误、硬件系统可能出现的故障、系统软件产生的错误结果，以及计算机病毒等恶意代码攻击和威胁加以控制和预防。

2电子商务涉及的几种安全技术

2.1加密技术数据加密技术通过对数据进行重新编码，隐藏真实信息的内容，当非法用户截获该数据时，无法得到信息真实内容的一种技术，主要有对称加密和非对称加密两种形式。加密技术是保证电子商务安全的重要手段，除了实现传统信息保密之外，在网络鉴别、认证等方面都有很好的应用，加密算法是网络安全和电子商务信息安全的基础。2.2数字签名技术在电子商务系统中所有信息都是电子数据形式，如商业合同，交易信息，客户信息等，为了保证信息的真实，有效，完整，需要实现具有手写签名功能的签名即数字签名。数字签名技术的基础是加密技术为。2.3认证技术认证实现网络中对某个实体的身份加以鉴别、确认，以证明其是否是名副其实或是否是有效的过程。认证系统常用的验证方法可分为以下两类:“基于密码”的认证和“基于生理特征身份”的认证。2.4防火墙技术防火墙是在企业的内部网络和Internet之间置竖的一道安全屏障，通过预先设定的策略对数据对进出网络的数据进行过滤、分析和审计，可以防止非法用户进入内部网络，并能有效防范各种攻击行为，从而保护内部网免受非法用户的侵入。2.5VPN技术虚拟专用网VPN(VirtualPrivateNet)是以公用开放的网络(如Internet)作为基本的传输媒介，通过相关网络安全协议和隧道技术等多种技术在开放的公共网络建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全的、稳定的隧道，为用户提供类似于具有专用网络安全性的网络服务技术。通过VPN系统，可以帮助企业和远程用户、公司分支机构、商业伙伴及供应商与公司的内部网建立可信的安全通信连接，保护企业和个人敏感信息在互联网上传输的的安全，使得企业和个人利益得到保护。2.6公钥基础设施PKIPKI即“公钥基础设施”，是一种利用公钥理论和技术建立的提供网络安全服务基础设施平台，负责创建、管理、存储、分发和作废证书的软件、硬件、人员、策略和过程的集合。通过权威认证机构（CA）提供的数字证书为用户建立起一个安全的网络运行环境，用户可以在多种应用环境下方便地使用加密和数字签名技术，提供认证、数据完整性、保密性和不可否认等安全服务。2.7安全电子交易协议1)安全套阶层协议（SSL）SSL协议(SecureSocketLayer)提供三种安全连接服务：数据保密；身份真实性认证；数据的完整性。2)安全电子交易协议（SET）SET(SecureElectronicTransaction)安全电子交易协议提供了消费者、商家和银行之间的认证,确保交易的保密性、可靠性和不可否认性,保证在开放网络环境下使用信用卡进行在线购物的安全。2.8其他技术其他技术如入侵检测技术、智能卡技术和安全审计/日志技术等。

3总结

随着电子商务的飞速发展，人们逐步意识到，安全问题是一个核心问题，电子商务的安全问题一直受到人们的关注和安全专家的重视，因而安全技术不断的得到发展应用，如:加密技术，防火墙，安全认证协议等。这些技术的应用极大的促进了电子商务的发展。

参考文献

[1]宋少忠,郝莉萍等.电子商务安全与支付[M].北京:中国水利水电出版社,2009.

第4篇：电子商务安全范文

关键词：电子商务；信息安全；计算机网络

1 问题的提出

随着Internet网络技术飞速发展及普及，电子商务（Electronic Commerce，简称EC）已经逐渐成为人们进行商务活动的新模式，越来越多的人通过Internet进行商务活动。电子商务是利用网络技术、计算机技术和通信技术，实现数字化、电子化，商务化，网络化的整个商务过程，它与传统商业活动相比，最大的一个特征就是基于B/S方式下，交易双方在不见面的情况下完成商品贸易活动。

由于Internet自身的共享性、开放性、无缝性，那么以此为平台的在线商务交易安全也面临着日益严峻的挑战。据国家信息中心信息安全研究与服务中心统计，2012年发生了2起源代码被盗事件，2起重大黑客攻击事件，6起信息泄密事件，3起重大漏洞事件。2013年的棱镜门，谷歌抓取支付宝转账信息，酒店开房记录泄露等。据中国互联网产业统计，中国网民在2013年损近1500亿元。对于以上的这些问题，本文将对电子商务信息安全应用进行研究，并提出一些合理的安全解决方法，提高电子商务交易过程中的安全性，降低实施风险。

2 国内外电子商务安全研究现状

2.1 国际电子商务安全研究现状

在电子商务安全研究方面，美国是处于领先地位。美国国家安全局（NSA）在1983年正式颁布“受信计算机系统评量基准”，是目前颇具权威的计算机系统安全标准之一。自“911”恐怖袭击事件之后，美国公司增强了信息技术安全观念，投入大量的经费，同时加强信息技术安全方面的工作。从现在的网络安全研究情况的现实看，解决网络安全问题的根本途径和方向是网络技术创新，即研发新一代网络技术，采取“立体”措施，包括引入“中间件”层及其安全结构，在“网络层”增设面向连接的实时协议、强化整个网络系统的管控智能以及改进终端加密和反黑等措施。

2.2 我国电子商务安全研究现状

国务院在1996年了《中华人民共和国计算机信息网络国际联网管理暂行规定》，公安部在1997年了《计算机信息网络国际联网安全保护管理办法》，2000年由国家信息化推进工作办公室牵头起草的《关于发展我国电子商务的若干意见》上报国家最高决策层进行审议。网络信息安全问题不但得到了政府、企业的高度重视，同时国内的大专院校、研究所和有实力的大公司也纷纷进入网络信息安全问题的研究领域。

3 电子商务信息安全隐患

电子商务的信息存储安全隐患主要包括：（1）内部隐患。主要是网内用户未经许可随意增加、删除、修改或无意或故意地非授权调用电子商务信息。（2）外部隐患。主要是因为软件问题造成外部人员非法闯入内网，造成电子商务信息被增加、删除、修改或调用。

电子商务的信息流动安全隐患主要包括：（1）窃取商业机密。多数电子商务的信息是以明文的方式传输，那么攻击者很容易的对电子商务信息进行监听和截取。（2）攻击商务网站。攻击者通过传播计算机病毒，绕过电子商务网站的防火墙，篡改信息，使其无法正常运转。（3）实施商务诈骗。不法分子通过Internet虚假信息骗取帐号、现金，用户对电子商务产生不信任感，阻碍了电子商务的顺利发展。（4）传播不良信息。不法分子为了达到自己既有目的，在电子商务信息中推送不良信息。

电子商务交易双方的信息安全隐患主要是：（1）商家的信息安全隐患。不法分子冒充合法用户修改商务信息内容，致使电子商务活动中断，造成商家无法从事正常的业务活动。（2）用户的信息安全隐患。不法分子窃用拦截合法用户身份信息，以合法的用户进行电子商务活动，使用户蒙受损失。

4 电子商务信息安全管理

在电子商务活动中，有些信息属于商业秘密，如果失窃，将带来不可估量的损失，因此需有一个能不中断地提供服务及可靠稳定的电子商务平台，任何系统的中断，如软硬件错误，病毒，网络故障等都可能导致电子商务系统不能正常工作，所以电子商务信息的安全管理问题就成了电子商务顺利推进的保障。随着电子商务的深入应用，攻击网络技术和手段不断改进，这就对电子商务信息系统的安全性提出了更高的要求，必须保证外网用户不能对系统构成威胁，所以人们对这些基本技术进行了反复改进以适应更高的安全需求。

4.1 电子商务安全的法制建设及企业内部管理

为了保护用户信息在电子商务活动中不受侵犯，政府应该完善电子商务信息法规，同时，还需制定详尽、具体、具有可操作性的赔偿制度，包括精神赔偿和物质赔偿，为电子商务的发展提供必要的法律保证。

在国内对个人信息安全保护的监管分别由公安部、工业与信息化部等部门管理，多头管理难免会出现监管漏洞。对此可以建议由国安委统一管理，只有权力清晰才能保证监管没有漏洞。

有些安全事件是“祸起萧墙”，这就要求加强企业内部安全管理，培育和加强企业安全意识，通过企业和用户的共同努力来实现。它的基本原则是在系统内发生的所有行为都必须被定义好的，并且符合相应的程序控制要求，所有行为的发生都有审计记录，可以解决许多技术层次解决不了的安全性问题。

4.2 防火墙技术

目前的防火墙分可为两大类，一类是简单的包过滤技术，它是在网络层对数据包实施有选择的通过。依据系统内事先制定好的过滤逻辑，检查数据流中每个数据包后，根据数据包的源地址、目的地址等因素来确定是否允许数据包通过。另一类是应用网管和服务器，其显著的优点是能提供小颗度的存取控制，可针对特别的数据过滤协议和网络应用服务，并且能够对数据包分析并形成相关的报告。通过防火墙技术，可以过滤掉不安全的服务，提高网络安全和减少网络中主机的风险。但防火墙是一种被动安全技术，不能阻止来自内部网络的攻击。唯一的解决办法就是，在每台计算机上都装反病毒软件。

4.3 病毒防范技术

计算机病毒实际上就是在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。病毒绕过系统或违反授权入侵成功后，在系统中植入木马等病毒程序，为以后攻击系统、窃取信息做好准备。网络防病毒技术的具体实现方法包括对网络服务器中的文件进行频繁的扫描和监测，工作站上对网络目录及文件设置访问权限等。

现在较流行的反病毒技术基于病毒的特征码扫描法、文件实时监控技术并辅以指令虚拟技术。扫描病毒：分析出病毒的特征病毒码并集中存放于病毒代码库文件中，在扫描时将扫描对象与特征代码库比较，如有吻合则判断为染上病毒。该技术实现简单有效，安全彻底。监控病毒：通过利用操作系统底层接口技术，对系统中的指定类型的文件进行实时的行为监控，一旦有病毒传染或发作时就及时报警。从而实现了对病毒的实时、永久、自动监控。删除病毒：在删除时采用虚拟技术对变种的病毒进行处理或编写出相应的程序，将病毒移除计算机内存。

4.4 认证技术

安全认证技术主要有：（1）数字摘要技术，也称安全HASH编码法。用于对所要传输的数据进行运算生成信息摘要，它并不是一种加密机制，但能产生信息的数字"指纹"，目的是为了确保数据没有被篡改，从而保证数据的完整性和有效性。（2）数字签名技术，又称电子签章、公钥数字签名。是一种类似写在纸上的普通的物理签名，就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。这种变换或数据允许数据单元的接收者用以确认完整性和数据单元的来源并保护数据，防止被人伪造。它是对电子形式的消息进行签名的一种方法，一个签名消息能在一个通信网络中传输。主要功能是保证信息传输的完整性、发送者的身份认证、防止交易中发生抵赖。（3）数字证书技术，又称为数字凭证。负责用电子手段来证实用户的身份和对网络资源访问的权限。（4）数字时间戳技术（DTS）。在文件交易中，时间是十分重要的信息，需对文件交易的时间和日期信息采取安全措施，而数字时间戳服务就能提供电子文件交易时间的安全保护。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件摘要，DTS的数字签名，DTS收到文件的日期和时间。（5）身份认证实际。是计算机系统通过审查用户身份证明的过程，提供确认和判别用户身份的机制，确定用户是否具有对系统资源操作和访问权限。本质是确认用户身份，用户必须能够证明其身份标识合法性。身份认证技术是访问控制、安全审计、入侵检测等安企机制的基础，在电子商务信息安全理论与技术中占有至关重要的位。目身份认证技术主要有基于口令的认证技术、基于密码学的认证技术、基于智能卡的认证技术以及基于生物学特征的认证技术等。

4.5 安全协议技术

电子商务安全问题的核心是电子交易的安全性，为了彻底解决电子商务的安全机制，人们开发了各种用于加强电子商务安全的协议。当前广泛应用的电子商务安全协议主要有SET协议（Secure Electronic Transaction，安全电子交易）和SSL协议（Secure Sockets Layer，安全套接层），二者都采用了RSA算法加密。

SSL协议提供加密的SSL会话服务、SSL服务器鉴别服务以及SEL客户鉴别服务，实现了浏览器等客户端应用软件与TC/IP协议之间的接口，可以对万维网客户与服务器之间传送的数据信息进行加密和鉴别，在双方握手阶段，对将要使用加密算法和双方共享的会话密朗进行协商，完成客户与服务器之间的鉴别。目前许多运营商利用本身的便利性，使用一些的数据收集工具，分析出客户的需求，并为客户提供同类商品信息，或者是分析其他运营商的数据，产生一种恶性竞争。对于客户来讲，提供相关的其他同类商品的信息，看似是一种个性化的服务，但是同时也是在侵犯用户的隐私，为此在应用层也就客户在浏览网页时，如果客户需要商家提供相关的同类商品的信息时，商家才能对客户的数据进行分析，否则不应任意分析用户的数据。

SET协议是基于应用层的协议，是一种新的电子支付模式，它保证了开放网络上使用信用卡进行在线购物的安全。SET协议具有强大的验证功能，主要是为了解决用户、银行、商家之间通过信用卡的交易而设计的，它具有保证交易数据的完整性，交易的不可抵赖性等优点，因此它成为目前公认的信用卡网上交易的国际标准。

5 结束语

电子商务信息的安全问题是一项复杂的系统工程，随着电子商务的发展，通过各种网络的交易手段也会更加多样化，安全问题变得更加突出。它不仅涉及到动态传输信息及静态存储信息的安全问题，还需要保证电子商务信息安全，加快电子商务的发展。还有在非技术方面，需要完善法律制度、管理制度和诚信制度，促进社会公众商务观念的转变等，营造电子商务信息安全的社会大环境。

[参考文献]

[1]金胜男.电子商务的信息安全技术研究.技术研发，2013年第12期.

[2]孟慧敏.电子商务对国际贸易的影响及应用.电脑知识与技术，2013年2月第9卷第5期.

[3]韩文虹.电子商务中安全技术的应用研究.电子商务，2013年2月.

[4]崔敏.基于电子商务的安全技术讨论.网络安全，2013年7月.

[5]龙爱民.电子商务的信息安全技术分析.信息技术，2013年9月.

[6]牟童.电子商务安全体系结构浅析.电子商务与电子政务，2013年3月.

第5篇：电子商务安全范文

关键词：电子商务；身份认证；防火墙

中图分类号：TP3 文献标识码：A文章编号：1009-3044(2008)30-0559-02

A Brief Analysis on the Security Strategy of E-business

WANG Gai-xiang

(Shanxi Professional College of Finance,Taiyuan 030008,China)

Abstract: With the rapid development of Internet applications, E-business based on Internet has become a new mode for people to pursue commerce. With more and more people execute their commerce through Internet, the prospect of E-businessis becoming more and more attracting,But the Chief Problem of E-business is the safety of Commerce information. For realizing an E-business basic frame of security, various kinds of safe practices in e-commerce are analysed in order to develop a kind of effective , safe realization E-business.

Key words:E-business; identity authentication; firewall

1 引言

电子商务可以增加销售额并降低成本的优势，使得政府与企业都十分重视并推动电子商务的建设和发展。电子商务发展到今天,主要问题在于时空的分离导致了安全问题的出现,信息的安全性是当前发展电子商务最迫切需要解决的问题之一。研究和分析电子商务的安全性问题,特别是针对企业自身情况,充分借鉴以往电子商务系统开发的先进技术和经验,开发出符合企业特殊的电子商务系统,已经成为目前发展电子商务的关键，而安全体系的构建显得尤为重要。

2 电子商务的主要安全要素

目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。时空的分离导致了安全问题的出现，电子商务交易双方（销售者和消费者）都面临安全威胁，电子商务的安全要素主要体现在以下几个方面：

2.1 信息真实性、有效性

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

2.2 信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

3.3 信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

3.4 信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的，电子商务系统应充分保证原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。

3 电子商务安全系统

网络安全是电子商务的基础。为了保证电子商务交易能顺利进行，要求电子商务平台要稳定可靠，能不中断地提供服务。任何系统的中断，如硬件、软件错误，网络故障、病毒等都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。

所以就整个电子商务安全系统而言，安全性可以划分为四个层次，

1) 网络节点的安全

2) 通讯的安全性

3) 应用程序的安全性

4) 用户的认证管理

其中2、3、4是通过操作系统和Web服务器软件实现，而网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

3.1 网络节点的安全

防火墙是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击，为电子商务的施展提供个相对更安全的平台。

防火墙是在连接Internet和Intranet保证安全最为有效的方法 ，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。 应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3.2 通讯的安全

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。 目前采用的是浏览器缺省的40位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

3.3 应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题 。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

3.4 用户的认证管理

1) 身份认证

电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。

2) CA证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

3) 安全套接层SSL协议

安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。

第6篇：电子商务安全范文

[关键词] 电子商务；安全性；安全套接层协议；安全电子交易协议

[中图分类号] F062．5 [文献标识码] A [文章编号] 1006-5024(2006)12-0136-03

[作者简介] 周 强，江西科技师范学院讲师，研究方向为计算机教学与管理；

邓晓辉，江西科技师范学院讲师，研究方向为计算机教学与管理。(江西 南昌 330038)

随着因特网的飞速发展，电子商务正得到越来越广泛的应用，进入21世纪，全球电子商务迎来了新的发展。电子商务的安全性是影响其成败的一个关键因素。对电子商务中存在的安全问题及安全技术加以分析，才能满足电子商务安全的基本需求，以推动电子商务的更快发展。

一、电子商务及其存在的问题

电子商务是指利用简单快捷低成本的电子通信方式，买卖双方不谋面而进行各种商业和贸易活动的新型贸易形式。它改变了传统贸易形式，不仅改变了企业本身的生产、经营、管理活动，而且将导致人类经济、社会和文化的一次新的革命。但目前电子商务的发展中还存在许多问题：

1．安全协议问题。我国大多数尚处在SSL(安全套接层协议)的应用上，SET协议的应用还只是刚刚试验成功，在信息的安全保密体制上还不成熟，对安全协议还没有全球性的标准和规范，相对制约了国际性的商务活动。

2．安全管理问题。在安全管理方面还存在很大隐患，究竟谁来管理，怎么管理，采取什么有序的管理办法，这些问题亟待解决。需要有一个安全可靠的信息网络普抵御黑客的攻击。

3．电子商务没有真正深入商务领域，而仅仅局限于信息领域。现在我国的电子商务好多只是停留在用计算机简单模拟原来的手工操作流程，提供单纯的技术产品为主，不擅长动态信息的跟踪和获取，个人用户比较少，企业用户还未大量出现。

4．技术人才短缺问题。电子商务是在近几年才得到了迅猛发展，许多地方都缺乏足够的技术人才来处理所遇到的各种问题。不少电子商务的开发商对网络技术很熟悉，但是对安全技术了解得偏少，因而难以开发出真正实用的、安全性的产品。

5．法律问题。电子交易衍生了一系列法律问题，例如网络交易纠纷的仲裁、网络交易契约等问题，急需为电子商务提供法律保障。

6．税收问题。电子商务的发展在促进贸易增加税收的同时又对税收制度及其管理手段提出了新要求。

二、电子商务中的安全性技术

安全性技术是保证电子商务健康有序发展的关键因素，也是目前大家十分关注的问题。虽然Internet的开放式的信息交换使之在安全方面存在脆弱性，但现在几乎网络的各个层次都制订了安全协议和具备了相应的安全技术，以保证电子商务的安全性。

(一)安全的网络平台。安全可靠的网络是实现电子商务的基础，常用的方法是在网络中采用防火墙技术，虚拟专用网(VPN)技术，防病毒保护等。防火墙技术是通过IP过滤和服务器软件方法保护企业内部网(Intranet)中数据，只有授权用户才能获准进入企业内部网的系统。虚拟专用网(VPN)技术通过IP隧道等方法来保证企业协作网(Extranet)中企业间数据和企业内部网的远程分支机构和外出职工对中央系统的远程访问数据的安全传递。单纯依靠这些方法保护网络的安全性是不够的，还必须与其它安全措施综合使用才能为为用户提供更为可靠的电子商务基石，例如现在的加密技术、数字签名技术、电子认证技术等。

(二)密码术概述。密码技术虽然在第二次世界大战期间开始流行，在当前才广泛应用于网络安全和电子商务安全之中，但其起源可追溯到几千年前。其思想目前还在使用，只是在处理过程中增加了数学上的复杂性。现代密码体制与传统密码体制的最大不同就在于：原文的保密性不再依赖于算法本身，而是依赖于密钥的保密性，其算法本身则是公开的。在网络上，计算机的数据以数据包的形式发送．为防止信息被窃取，应当对发送的全部信息进行加密。加密传输形式是一种将传送的内容变成一些不规则的数据，只有通过正确的密钥才可以恢复原文的传输形式。

根据密钥的特点，加密算法可以分为对称密钥加密算法和非对称密钥加密算法两类。

1．对称密钥加密算法是传统的加密手段。最著名的对称密钥加密算法DES(Data Encryption s七andard)是由IBM公司在70年展起来的，并经过政府的加密标准筛选后，于1976年11月被美国政府采用。DES随后被美国国家标准局和美国国家标准协会承认。在该类算法中，信息的发送方和接收方用同一个秘密密钥去加密和解密数据，一方用商定好的加密函数和秘密密钥加密明文，另一方用加密函数的逆函数和同一个秘密密钥对密文解密，得到原始明文。显然，通讯双方需要事先交换秘密密钥。这类加密算法执行效率高、速度快，适合对大数据量进行加/解密。但由于收发双方共享一个秘密密钥，密钥的传递和管理很困难。目前常用的对称密钥加密算法有DES算法和工DEA算法等。

2．非对称密钥加密算法又称公开密钥技术。它需要使用一对密钥来分别完成加密和解密操作，一个公开，称为公开密钥(Public-Key) ；另一个由用户自己秘密保存，称为私有密钥(Private-Key)。在该类算法中，每个用户都拥有一对密钥，一个是公开密钥，另一个是私有密钥。经用户公开密钥加密的信息只能通过他的私有密钥来解密，反过来，经用户私有密钥加密的信息也只能通过他的公开密钥来解密。当两用户通讯时，双方都用又于的公开密钥加密而用自己的私有密钥解密，就可以实现信息的保密传输。常用的公开密钥算法有RSA算法。

RSA算法是公开密钥加密算法中比较优秀的算法，已经得到广泛的应用。公开密钥加密算法的安全性依赖于一类特殊的数学函数一单向哈希函数，单向哈希函数的性质为：从一个方向求值容易，但逆向计算却很困难。公开密钥加密算法的优点是不需在用户之间传递私有密钥，可以适应开放性的使用环境，但计算复杂度高，加密和解密速度都比对称密钥算法慢得多。

3．混合密钥加密技术。为了充分利用公开密钥密码算法和私有密钥密码算法的优点，克服其缺点，解决每次传送更换密钥的问题，可以采用混合密码技术，即所谓的电子信封技术口发送者自动生成对称密钥，用对称密钥加密发送的信息，将生成的密文连同用接收方的公开密钥加密的对称密钥一起传送出去。收信者用自己的私有密钥解密被加密的密钥来得到对称密钥，并用它来解密密文。这样保证每次传送都可由发送方选定不同密钥进行，更好的保证了数据通讯的安全性。

混合密钥加密技术的加/解密过程如下：

a．加密方(或发方)：

a)生成明文；

b)用密钥生成算法产生特定长度的对称密钥：

c)使用对称密钥加密算法(DES/IDEA)和该对称密钥对明文进行加密，形成密文；

d)用收方(RSA)公开密钥加密对称密钥：

e)把加密后的对称密钥和密文一同发送给收方。

b．解密方(或收方)：

a)用收方的密钥解密收到的已加密的密钥，得到未加密的对称密钥；

b)用(a)中得到的对称密钥解密密文，得到明文。

从上面分析可以看出，把两者结合起来使用，就可以综合发挥两种加密体制的优点，即DES/IDEA高速简便性和RSA密钥管理的方便性和安全性。也就是说，既保证了数据安全，又提高了加密和解密的速度。

(三)在线支付的安全技术。电子商务的另一个关键问题是要保证在线支付的安全，它是网上购物的重要保证。目前采用的在线支付协议有两种：安全套接层SSL(Secure Sockets Layer)协议和安全电子交易SET(Secure Electronic Transac-tion)协议。

SSL协议

SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。SSL通过数字签名和数字证书来实行身份验证，数字证书是从认证机构(Certificate Authority，CA)获得的，通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。其运行机制是：

①在建立连接过程中采用公开密钥；

②在会话过程中使用专有密钥；

③加密的类型和强度则在两端之间建立连接过程中判断决定。

采用SSL协议的电子交易过程如下：

①表示客户购买的信息首先发往商家；②表示商家再将信息转发银行；③和⑤表示银行验证客户的信息的合法性后，再通知商家和客户付款成功；④表示商家再通知客户购买成功。

这个流程有两个方面的缺点：首先，客户的银行资料信息先送到商家，让商家阅读，这样，客户银行资料的安全性就得不到保证；其次，SSL只能保证资料传递过程的安全，而传递过程是否有人截取就无法保证了。所以，SSL并没有实现电子支付所要求的保密性、完整性，而多方互相认证也很困难的。

SET协议

SET协议是一个能保证通过开放网络进行安全资金支付的技术标准。采用这种协议它主要解决了以下问题。

首先是客户资料虽然通过商家到达银行，但商家不能阅读这些资料，解决了客户资料的安全性问题；其次是协议解决了网上交易存在的客户与银行之间、客户与商家之间、商家与银行之间的多方认证问题；再其次是由于整个交易过程是建立在Intranet，Extranet和Internet的网络基础上的，保证了网上交易的实时性。

SET协议下的交易模式如下：

SET使订单信息和信用卡信息的隔离。在把包含信用卡号码信息的订单送到商家时，商家只能看到订单信息，却看不到信用卡号码信息，并且需要持卡人和商家相互认证，确定通信双方身份，一般由认证中心为双方提供信用担保。

SET定义了一个完备的电子交易流程，较好地解决了电子交易中各方间复杂的信任关系和安全连接，确保了电子交易中信息的真实性、保密性、防抵赖性和不可更改性。但由于SET协议庞大而又复杂，银行、商家和客户均需改造才能实现互操作，使得SET协议被普遍使用还需有一个过程。在我国，大多尚处在对SSL协议的应用上，要完全实现SET协议安全支付还要有一个过程。

(3)其它安全问题

对于电子商务的安全性来讲，有了防火墙与安全协议和规范还不够，一方面，网络本身的物理差错是难以避免的；另一方面，Internet主干网和DNS服务器的可靠性，拨号连接质量与速度还不能满足人们的需求；另外，恶意代码对网络系统的威胁，单纯依赖技术是很难解决的，从某种意义上讲，依靠管理加强内部人员的安全防范意识等比安全技术更为重要。因此，要加强电子商务的安全性应从多方面入手。

三、对我国电子商务发展的几点建议

1．提高服务的安全性

电子商务飞快的发展速度，致使其安全技术和安全管理都跟不上，这已成为越来越突出的问题，但不能因为安全问题而制约了电子商务的发展，使安全成为发展的瓶颈，发展是首位的，没有发展安全就无从谈起。

2．加快网络基础设施建设和网络普及程度

发展电子商务的目的在于降低交易成本，提高交易效率，因此应积极发展高速宽带通信信道，重点建设光缆和卫星通信，同时积极利用现有通信线路发展ISDN和ADSL接入，利用有线电视线路，试验发展HFC接入网。

3．尽快完善有关网络安全等方面的法律

我国政府在《中华人民共和国合同法》中规定了以电子媒体为载体的合同具有法律约束力，对推广电子商务有很大的促进作用，但是在诸多方面还需顺应网络技术的发展而不断完善。

4．加快银行、税务以及邮政等物流环节的信息化建设步伐，建立企业到企业(BtoB)、企业到客户(BtoC)的商务沟通，实现网上资金流动，解决目前有形商品交易环节中的流通因难。

5．转变人们面对面交易的消费习惯

目前，基于Internet的电子商务应用还刚刚开始，许多方面都还不够完善，并且，我国和发达国家之间的差距很大，这就要求我们密切关注电子商务的动向，探讨电子商务中存在的技术问题，加大推广力度，以把握住网络经济时代这一良好的发展时机，让电子商务在我国经济建设中发挥它最大的作用。

参考文献：

第7篇：电子商务安全范文

1.1电子商务环境下用户数据存在的技术风险

1.1.1硬件风险

自从1946年世界上第一台计算机诞生后，计算机一直都被称为西方世界的产物。计算机和有关产品的制造技术，大部分都是国外产商在控制，中国的计算机制造业，很多就是停驻在周边的产品上，没有自主知识产权的意识。处于电子商务环境中，用户数控的管理与计算机技术息息相关。由于计算机技术的迅速发展，所以硬件的更新也要不停地加快速度。如果一个老化的设备没有得到及时的更新，就会使存储数据无法得到稳定，电子商务系统的兼容性也会降低，会造成用户数据的质量与应用受到影响。因此，这种过时的装备会成为不法份子所要攻击的对象。

1.1.2软件风险

这几年，软件平台经常改朝换代，被淘汰掉的软件环境，可能是因为没有相对应的运行环境造成不能操作的情况，导致原有数据被损坏。所以，对于运行用户数据的软件平台一定要实施定期有效的检测和维护，才能保证数据的可靠性和完整性。目前网络在线的升级与维护，深受广大用户的喜爱。但是这样的方式会使电子商务系统的信息存在极大的安全风险，因为升级与维护数据包，传输路线，数据发送方都无法确定身份和来源，那就很难实施第三方的测试，所以也就不能保证安全性与可靠性，因此一定要选择具有相当高的可靠性方式。在升级维护的时候，这些数据可能会被不法份子利用，这样就会成为直接攻击用户数据的捷径。

1.2电子商务环境下用户数据存在的管理风险

1.2.1制度缺失

2012中国个人信息保护大会于2012年3月15日在京召开。由中国电子信息产业发展研究院，中国软件评测中心举办的会议“，保护个人信息，增强行业自律”是这个会议所要宣扬的主题。工业与信息化部电子科学技术情报研究所副所长刘九如在会上表明，自2011年下半年开始，电子科学情报研究所对个人信息保护也展开了研究工作，2500多份调查问卷交予社会公众，而且拜访了腾讯和百度等很多公司。从调查中发现，中国的信息存在着严重的安全风险，调查中大约有75%的公众提出要增强立法保护个人信息。笔者急切地希望我国对于法律法规方面加强完善，最好能够制定关于个人信息的保护法。

1.2.2重视不足

电子商务行业在繁荣发展的时候，也有着激烈的竞争力。电子商务的从业者为了能够在竞争中得到有利的位置，都会使用降低成本的手段，从而提升利润。所以在这种过程中，往往只追求利益的存在而忽略安全的问题。首先是由于安全工作无法直接带来有效的效益，乃至只能投入而无法产出的情况；其次是由于安全工作中具有长期性与复杂性，需要的资金量是很大的，因为这是一个漫长的过程，所以在短时间里是不能够获取收益的；最后是因为中国的电子商务从业者都存在缺乏经验的情况，对于安全问题没有完全的认知能力。

1.2.3用户安全意识淡薄

用户对于安全的意识很薄弱也会影响到用户数据安全。由于数据的所有者就是用户，若用户自己对于个人信息都没有安全意识，那就更谈不上数据安全了。中国用户对于个人信息的保护意识与能力一点都不符合电子商务高速的发展。存在的主要问题有：对于杀毒软件没有进行及时的升级和查杀；随便安装来路不明的软件和插件；访问没有安全性的网站或者是被“钓鱼”；密码设置的过于简单或者是长时间不更换；对于个人信息随意散布或者主动透露；网络交友不慎，轻信谣言导致受骗等。

二、电子商务环境下用户数据安全管理的对策建议

2.1用户数据安全管理的目标

用户数据的安全管理目标是为了保障用户数据在收集、加工、存储、利用的全部生命周期中，其中原始性、真实性、完整性与有效性都不要受到外界原因的影响，不因为突发事件和恶意的因素而受到破坏，更改与泄露。主要包含了以下几个方面。

2.1.1保证用户数据支撑环境的完整可用

用户数据的支撑环境是指对于用户数据实施读取、修改、输出、维护之类操作的计算机系统与网络系统。处于电子商务环境中，用户数据的管理脱离不了计算机系统与网络系统。如果脱离支撑环境，用户数据就没有了存在的价值与意义，就存在着看不到也摸不到的情况。所以想要保障用户数据的安全，就要实施保护支撑环境，保证系统的正常运作并且安全具有可靠性。

2.1.2保证用户数据载体的安全

用户数据是根据磁、光之类的介质作为保存载体的，若离开了载体，用户数据是不可能独立存在的。载体是用户可以一直生存下去的基本环境。用户数据的安全性是和载体的可靠性与安全性密切相关的。因为载体需要存储用户数据的数量很大，所以经常被作为主要的攻击对象。若载体出现故障或者被恶意攻击，就会导致用户数据不能读取或被泄露，受到不能弥补的损失。所以，确保用户数据载体的实体安全性，是用户数据必须具有的管理。

2.2用户数据安全管理体系设计

2.2.1技术方面

(1)反病毒和安全扫描技术。在计算机网络中病毒是很常见的，也是最大的安全问题。计算机病毒会因为计算机的发展而变化，也会因为网络的繁荣而有效地得到大规模传播与扩散。计算机和网络系统一直都存在安全漏洞的问题，这是无法泯灭的，只能减少安全隐患。在防御病毒攻击与填补安全漏洞中用到的主要手段就是反病毒与安全扫描技术。利用病毒查杀与实时防御，不仅可以及时地将已经存在的病毒清除掉，还可以防御新病毒的侵入和病毒对数据所造成的破坏和泄露。通过安全扫描会发现软件中会有漏洞和“后门”程序的存在，可以安装补丁，预防漏洞与“后门”被不法分子利用，给数据造成安全隐患。

(2)防火墙和入侵检测技术。防火墙属于一种隔离技术，位于特定区域和外界环境的中心处，可以掌控特定区域和外界的沟通，起到了保护特定区域安全的作用。计算机与网络的环境中，软件和硬件的结合就形成了防火墙，能够依据安全策略掌控进出网络数据的行为和流向，并且可以将日志保存，实施审核。在电子商务中，像计算机、服务器这些用户数据存储与运行的设备都需要安装防火墙，因为防火墙可以作为不安全因素的过滤器。能够对数据实施实时的监控，并且可以对那些数据访问的请求实施判别，还能及时地拒绝、中断、防御有可疑性的访问与传输行为。实时检测和事后检测都属于入侵检测技术。

2.2.2管理方面

电子商务环境中的用户数据所存在的安全隐患，大部分都是因为管理的原因。这就是“千里之堤，溃于蚁穴”。管理方面出现一个小漏洞，都会给用户数据带来安全隐患。所以，在管理用户数据的制度中，要做好很多保护策略，确保数据的安全性。只有将法律法规进行深度的完善，加强执法力度，提升制度的适用性与可操作性，建立完整的监督制度，将社会监督发展下去，这样才能够推动个人信息安全的保护工作。在有需要的时候，也可以借助其他国家的经验，将第三方评测机构引进我国，可以对收集与个人信息企业的安全管理水准实施鉴定，可以提供可靠的信息给政府执法，将企业的信息保护制度做到更好。关于用户数据的安全管理体系，所介入的范围很广泛，涵盖层面也比较多。利用多措并举的方式，实施齐抓并管，这样就可以保证这个体系的正常运作，还能够从根源上保护用户数据的安全。

三、结语

第8篇：电子商务安全范文

要加强电子商务的安全，需要企业本身采取更为严格的管理措施，需要国家建立健全法律制度，更需要有科学的先进的安全技术。

在电子商务的交易中，经济信息、资金都要通过网络传输，交易双方的身份也需要认证，因此，电子商务的安全性主要是网络平台的安全和交易信息的安全。而网络平台的安全是指网络操作系统对抗网络攻击、病毒，使网络系统连续稳定的运行。常用的保护措施有防火墙技术、网络入侵检测技术、网络防毒技术。交易信息的安全是指保护交易双方的不被破坏、不泄密，和交易双方身份的确认。可以用数据加密、数字签名、数字证书、ssl、set安全协议等技术来保护。

在这里我想重点谈谈防火墙技术和数据加密技术。

一、防火墙技术。

防火墙就是在网络边界上建立相应的网络通信监控系统,用来保障计算机网络的安全,它是一种控制技术,既可以是一种软件产品,又可以制作或嵌入到某种硬件产品中。从逻辑上讲,防火墙是起分隔、限制、分析的作用。实际上,防火墙是加强Intranet(内部网)之间安全防御的一个或一组系统,它由一组硬件设备(包括路由器、服务器)及相应软件构成。所有来自Internet的传输信息或你发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。防火墙是网络安全策略的有机组成部分,它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具有以下五大基本功能:(1)过滤进、出网络的数据;(2)管理进、出网络的访问行为;(3)封堵某些禁止行为;(4)记录通过防火墙的信息内容和活动;(5)对网络攻击进行检测和告警。

新一代的防火墙产品一般运用了以下技术：

(1)透明的访问方式。

以前的防火墙在访问方式上要么要求用户做系统登录,要么需要通过SOCKS等库路径修改客户机的应用。而现在的防火墙利用了透明的系统技术,从而降低了系统登录固有的安全风险和出错概率。

(2)灵活的系统。

系统是一种将信息从防火墙的一侧传送到另一侧的软件模块。采用两种机制:一种用于从内部网络到外部网络的连接;另一种用于从外部网络到内部网络的连接。前者采用网络地址转接(NIT)技术来解决,后者采用非保密的用户定制或保密的系统技术来解决。

(3)多级过滤技术。

为保证系统的安全性和防护水平,防火墙采用了三级过滤措施,并辅以鉴别手段。在分组过滤一级,能过滤掉所有的源路由分组和假冒IP地址;在应用级网关一级,能利用FTP、SMTP等各种网关,控制和监测Internet提供的所有通用服务;在电路网关一级,实现内部主机与外部站点的透胆连接,并对服务的通行实行严格控制。

(4)网络地址转换技术。

防火墙利用NAT技术能透明地对所有内部地址做转换,使得外部网络无法了解内部网络的内部结构,同时允许内部网络使用自己编的IP源地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。

(5)Internet网关技术。

由于是直接串联在网络之中,防火墙必须支持用户在Internet互联的所有服务,同时还要防止与Internet服务有关的安全漏洞,故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。在域名服务方面,新一代防火墙采用两种独立的域名服务器:一种是内部DNS服务器,主要处理内部网络和DNS信息;另一种是外部DNS服务器,专门用于处理机构内部向Internet提供的部分DNS信息。在匿名FTP方面,服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中,只支持静态的网页,而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中,对外部访问,防火墙只提供可由内部用户配置的基本的文本信息,而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理,网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。

(6)安全服务器网络(SSN)。

为了适应越来越多的用户向Internet上提供服务时对服务器的需要,新一代防火墙采用分别保护的策略对用户上网的对外服务器实施保护,它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网络的一部分,又与内部网关完全隔离,这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理,也可设置成通过FTP、Telnet等方式从内部网上管理。SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多,因为SSN与外部网之间有防火墙保护,SSN与内部网之间也有防火墙的保护,而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之,一旦SSN受破坏,内部网络仍会处于防火墙的保护之下,而一旦DMZ受到破坏,内部网络便暴露于攻击之下。

(7)用户鉴别与加密。

为了降低防火墙产品在Ielnet、FTP等服务和远程管理上的安全风险,鉴别功能必不可少。新一代防火墙采用一次性使用的口令系统来作为用户的鉴别手段,并实现了对邮件的加密。

(8)用户定制服务。

为了满足特定用户的特定需求,新一代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用TCP、出站UDP、FTP、SMTP等,如果某一用户需要建立一个数据库的,便可以利用这些支持,方便设置。

(9)审计和告警。

新一代防火墙产品采用的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站、FTP、出站、邮件服务器、域名服务器等。告警功能会守住每一个TCP或UDP探寻,并能以发出邮件、声响等多种方式报警。此外,防火墙还在网络诊断、数据备份保全等方面具有特色。

目前的防火墙主要有两种类型。其一是包过滤型防火墙。它一般由路由器实现，故也被称为包过滤路由器。它在网络层对进入和出去内部网络的所有信息进行分析，一般检查数据包的IP源地址、IP目标地址、TCP端口号、ICMP消息类型，并按照信息过滤规则进行筛选，若符合规则，则允许该数据包通过防火墙进入内部网，否则进行报警或通知管理员，并且丢弃该包。这样一来，路由器能根据特定的刿则允许或拒绝流动的数据，如：Telnet服务器在TCP的23号端口监听远程连接，若管理员想阻塞所有进入的Telnet连接，过滤规则只需设为丢弃所有的TCP端口号为23的数据包。采用这种技术的防火墙速度快，实现方便，但由于它是通过IP地址来判断数据包是否允许通过，没有基于用户的认证，而IP地址可以伪造成可信任的外部主机地址，另外它不能提供日志，这样一来就无法发现黑客的攻击纪录。

其二是应用级防火墙。大多数的应用级防火墙产品使用的是应用机制，内置了应用程序，可用服务器作内部网和Internet之间的的转换。若外部网的用户要访问内部网，它只能到达服务器，若符合条件，服务器会到内部网取出所需的信息，转发出去。同样道理，内部网要访问Internet,也要通过服务器的转接，这样能监控内部用户访问Internet.这类防火墙能详细记录所有的访问纪录，但它不允许内部用户直接访问外部，会使速度变慢。且需要对每一个特定的Internet服务安装相应的服务器软件，用户无法使用未被服务器支持的服务。

防火墙技术从其功能上来分，还可以分为FTP防火墙、Telnet防火墙、Email防火墙、病毒防火墙等等。通常几种防火墙技术被一起使用，以弥补各自的缺陷和增加系统的安全性能。

防火墙虽然能对外部网络的功击实施有效的防护，但对来自内部网络的功击却无能为力。网络安全单靠防火墙是不够的，还需考虑其它技术和非技术的因素，如信息加密技术、制订法规、提高网络管理使用人员的安全意识等。就防火墙本身来看，包过滤技术和访问模式等都有一定的局限性，因此人们正在寻找更有效的防火墙，如加密路由器、“身份证”、安全内核等。但实践证明，防火墙仍然是网络安全中最成熟的一种技术。

二、数据加密技术

在电子商务中，信息加密技术是其它安全技术的基础，加密技术是指通过使用代码或密码将某些重要信息和数据从一个可以理解的明文形式变换成一种复杂错乱的、不可理解的密文形式（即加密），在线路上传送或在数据库中存储，其他用户再将密文还原成明文（即解密），从而保障信息数据的安全性。

数据加密的方法很多，常用的有两大类。一种是对称加密。一种是非对称密钥加密。对称加密也叫秘密密钥加密。发送方用密钥加密明文，传送给接收方，接收方用同一密钥解密。其特点是加密和解密使用的是同一个密钥。典型的代表是美国国家安全局的DES。它是IBM于1971年开始研制，1977年美国标准局正式颁布其为加密标准，这种方法使用简单，加密解密速度快，适合于大量信息的加密。但存在几个问题：第一，不能保证也无法知道密钥在传输中的安全。若密钥泄漏，黑客可用它解密信息，也可假冒一方做坏事。第二，假设每对交易方用不同的密钥，N对交易方需要N*(N-1)/2个密钥，难于管理。第三，不能鉴别数据的完整性。

非对称密钥加密也叫公开密钥加密。公钥加密法是在对数据加解密时，使用不同的密钥，在通信双方各具有两把密钥，一把公钥和一把密钥。公钥对外界公开，私钥自己保管，用公钥加密的信息，只能用对应的私钥解密，同样地，用私钥解密的数据只能用对应的公钥解密。具体加密传输过程如下：

（1）发送方甲用接收方乙的公钥加密自己的私钥。

（2）发送方家用自己的私钥加密文件，然后将加密后的私钥和文件传输给接收方。

（3）接收方乙用自己的私钥解密，得到甲的私钥。

（4）接收方乙用甲的公钥解密，得到明文。

这个过程包含了两个加密解密过程：密钥的加解密和文件本身的加解密。在密钥的加密过程中，由于发送方甲用乙的公钥加密了自己的私钥，如果文件被窃取，由于只有乙保管自己的私钥，黑客无法解密。这就保证了信息的机密性。另外，发送方甲用自己的私钥加密信息，因为信息是用甲的私钥加密，只有甲保管它，可以认定信息是甲发出的，而且没有甲的私钥不能修改数据。可以保证信息的不可抵赖性。

第9篇：电子商务安全范文

关键词： 电子商务 安全套接层协议 安全电子交易 认证中心

1 电子商务的主要安全要素

目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。电子商务交易双方（销售者和消费者）都面临安全威胁。电子商务的安全要素主要体现在以下几个方面：

信息有效性、真实性

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的。原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。

2 电子商务的安全技术讨论

2．1 电子商务的安全技术之一-----数据加密技术

加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。

面向网络的加密技术通常工作在网络层或传输层，使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。在网络层上实现的加密技术对于网络应用层的用户通常是透明的。此外，通过适当的密钥管理机制，使用这一方法还可以在公用的互联网络上建立虚拟专用网络并保障虚拟专用网上信息的安全性。

面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，例如使用kerberos服务的telnet、nfs、rlogion等，以及用作电子邮件加密的pem（privacy enhanced mail）和pgp（pretty good privacy）。这一类加密技术的优点在于实现相对较为简单，不需要对电子信息（数据包）所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。

1） 常用的加密技术分类：

对称密钥密码算法

对称（传统）密码体制是从传统的简单换位代替密码发展而来的，自1977年美国颁布des密码算法作为美国数据加密标准以来，对称密钥密码体制得到了迅猛发展，得到了世界各国关注和使用。对称密钥密码体制从加密模式上可分为序列密码和分组密码两大类。

不对称型加密算法

也称公用密钥算法，其特点是有二个密钥即公用密钥和私有密钥，只有二者配合使用才能完成加密和解密的全过程。

由于不对称算法拥有二个密钥，因此它特别适用于分布式系统中的数据加密，在Internet中得到了广泛应用。其中公用密钥在网上公布，为数据源对数据加密使用，而用于解密的相应私有密钥则由数据的收信方妥善保管。

不可逆加密算法

其特征是加密过程不需要密钥，并且经过加密的数据无法被解密，只有同样的输入数据经过同样的不可逆加密算法才能得到相同的加密数据。不可逆加密算法不存在密钥保管和分发问题，适合于分布式网络系统上使用，但是其加密计算工作量大，所以通常用于数据量有限的情形的加密，例如计算机系统中的口令的加密。

2） 电子商务领域常用的加密技术

数字摘要(digital digest)

这一加密方法亦称安全Hash编码法，由Ron Rivest所设计。该编码法采用单向Hash 函数将需加密的明文"摘要"成一串128bit的密文，这一串密文亦称为数字指纹(Finger Print)，它有固定的长度，且不同的明文摘要成密文，其结果总是不同的，而同样的明文其摘要必定一致。这样这串摘要便可成为验证明文是否是"真身"的"指纹"了。

数字签名(digital signature)

数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。在书面文件上签名是确认文件的一种手段，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。

数字时间戳(digital time-stamp)

交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。

数字时间戳服务(DTS)是网上安全服务项目，由专门的机构提供。时间戳(time-stamp) 是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest)，2)DTS收到文件的日期和时间，3)DTS的数字签名。

数字证书(digital certificate，digital ID)

数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。

数字凭证有三种类型：

·个人凭证(Personal Digital ID)

·企业（服务器）凭证(Server ID)

·软件（开发者）凭证(Developer ID)

上述三类凭证中前二类是常用的凭证，第三类则用于较特殊的场合，大部分认证中心提供前两类凭证。

3） 与电子商务安全有关的协议技术讨论：

SSL协议（Secure Sockets Layer）安全套接层协议

------面向连接的协议，当初不是为电子商务而设计

SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用Web Server方式。

SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。

SSL的应用及局限：中国目前多家银行均采用SSL协议，从目前实际使用的情况来看，SSL还是人们最信赖的协议。但是SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成， SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。

SET协议（Secure Electronic Transaction）安全电子交易

------专门为电子商务而设计的协议，但仍然不能解决电子商务所遇到全部问题

电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。在网上购物的环境中，持卡人希望在交易中保密自己的帐户信息，使之不被人盗用；商家则希望客户的定单不可抵赖，并且，在交易过程中，交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国Visa和MasterCard两大信用卡组织联合国际上多家科技机构，共同制定了应用于Internet上的以银行卡为基础进行在线交易的安全标准，这就是"安全电子交易"（SET）。它采用公钥密码体制和X.509数字证书标准，主要应用于保障网上购物信息的安全性。 由于SET 提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。

SET的局限性：SET是专门为电子商务而设计的协议，虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。

2.2 电子商务的安全技术之二------身份认证技术

为解决Internet的安全问题，世界各国对其进行了多年的研究，初步形成了一套完整的Internet安全解决方案，即目前被广泛采用的PKI（Public Key Infrastructure公钥基础设施）体系结构。PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。

在电子交易中，无论是数字时间戳服务(DTS)还是数字证书(Digital ID)的发放，都不是靠交易的自己能完成的，而需要有一个具有权威性和公正性的第三方(third party)来完成。认证中心(Certificate Authority)就是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理。认证中心依据认证操作规定(Certification Practice Statement)来实施服务操作。

1 ）认证系统的基本原理

利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。

2 ）认证系统结构

整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和Web Publisher。

核心系统根CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。

证书的登记机构Register Authority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为TCP/IP。

证书的公布系统Web Publisher，简称WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。

证书链服务（有时也称"交叉认证"）是一个CA扩展其信任范围或被认可范围的一种实现机制。如果企业或机构已经建立了自己的CA系统，通过第三方认证中心对该机构或企业的CA签发CA证书，能够使得该企业或机构的CA发放的证书被所有信任第三方认证中心的浏览器、邮件客户所信任。

3） 中国金融认证中心CFCA的建设情况

中国对电子商务的发展也给予了应有的重视。中国金融认证中心CFCA（China Financial Certificate Authority）。已于2000年6月29日开始对社会各界提供证书服务，系统进入运行状态。中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构，为参与电子商务各方的各种认证需求提供证书服务，建立彼此的信任机制，为全国范围内的电子商务及网上银行等网上支付业务提供多种模式的认证服务，在不远的将来实现与国外CA的交叉认证。

2．3电子商务的安全技术之三 网上支付平台及支付网关

网上支付平台 分为CTEC支付体系（基于CTCA/GDCS）和SET支付体系（基于CTCA/SET）。网上支付平台支付型电子商务业务提供各种支付手段，包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段。

目前，在国内可以提供网上支付功能服务或者网上支付网关接口的银行有：

中国工商银行牡丹卡

中国银行长城借记卡

中国银行长城信用卡

招商银行一网通卡

中国建设银行龙卡

MASTER/VISA/JCB卡（适用全球）

上述除中国银行长城借记卡则采用了SET1.2的加密方式外，其余全部采用SSL-128加密方式。

支付网关 位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。即支付网关主要完成通信、协议转换和数据加解密功能，并且可以保护银行内部网络。此外，支付网关还具有密钥保护和证书管理等其它功能。

3 小结

本文分析了目前电子商务领域所使用的安全技术：数据加密技术，身份认证技术 ，网上支付平台及支付网关，指出了它们分别的使用范围及其优缺点，但必须强调说明的是，电子商务的安全运行，仅从技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。

参考文献

1 覃征编著. 电子商务导论. 第一版. 北京：人民邮电出版社，2001