论浅议电子商务信息中的安全问题.docx

《论浅议电子商务信息中的安全问题.docx》由会员分享，可在线阅读，更多相关《论浅议电子商务信息中的安全问题.docx（5页珍藏版）》请在第一文库网上搜索。

1、论浅议电子商务信息中的安全问题摘要随着高科技的时代的到来网上贸易也越来越发达，对于很多的企业和消费者来说电子商务中的信息安全很重要，所以建立一个很好的电子商务信息安全是必要的，才能更好的保证企业和消费者的合法权益。电子商务对人类社会经济产生重大的影响，在带来巨大的经济效益的同时，也在根本上改变了整个社会经济形势的发展进程。我国电子商务正在蓬勃的发展，同时也带来了诸多的问题。本论文客观地分析了电子商务的安全需求，安全技术发展现状存在的问题，对加快电子商务的发展步伐提出了一些重要的见解。关键词电子商务；安全需求；网咯安全；协议技术电子商务电子商务通常是指是在全球各地广泛的商业贸易活动中，在因特网开

2、放的网络环境下，基于浏览器、服务器应用方式，买卖双方不谋面地进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动的一种新型的商业运营模式。电子商务是一个不断发展的概念，电子商务的先驱IBM公司于1996年提出了E1ectronicCommerce(E-Commerce)的概念，到了1997年，该公司又提出了E1ectronicBusiness(E-Business)的概念。但我国在引进这些概念的时候都翻译成电子商务，很多人对这两者的概念产生了混淆。事实上这两个概念及内容是有区别的，E-CoIninerCe应翻译成电子商

3、业，有人将E-COmmerCe称为狭义的电子商务。将E-Business称为广义的电子商务。E-Coerce是指实现整个贸易过程中各阶段贸易活动的电子化E-Business是利用网络实现所有商务活动业务流程的电子化。E-CominerCe集中于电子交易，强调企业与外部的交易与合作，而E-BUSineSS则把涵盖范围扩大了很多。广义上指使用各种电子工具从事商务或活动。狭义上指利用Internet从事商务或活动。一、电子商务的安全需求电子商务面临的威胁的出现导致了对电子商务安全的需求，也是真正实现一个安全电子商务系统所要求做到的各个方面，主要包括机密性、完整性、认证性和不可抵赖性O1信息有效性、真

4、实性电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。2、信息机密性电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障3、信息完整性电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可

5、能导致贸易各信息的差异。因此,电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。4、信息可靠性、不可抵赖性和可鉴别性可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可抵赖性要求即是能建立有效的责任机制，防止实体否认其行为；可鉴别性要求即是能控制使用资源的人或实体的使用方式。5、系统的可靠性电子商务系统是计算机系统，其可靠性是防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失误或失效。二、计算机网咯安全体系一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的

6、主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，极大地增加了恶意攻击的难度，并增加了审核信息的数量，利用这些审核信息可以跟踪入侵者。在实施网络安全防范措施时，首先要加强主机本身的安全，做好安全配置，及时安装安全补丁程序，减少漏洞；其次要用各种系统漏洞检测软件定期对网络系统进行扫描分析，找出可能存在的安全隐患，并及时加以修补；从路由器到用户各级建立完善的访问控制措施，安装防火墙，加强授权管理和认证；利用RAID5等数据存储技术加强数据备份和恢复措施。对敏感的设备和数据要建立

7、必要的物理或逻辑隔离措施；对在公共网络上传输的敏感信息要进行强度的数据加密；安装防病毒软件，加强内部网的整体防病毒措施；建立详细的安全审计日志，以便检测并跟踪入侵攻击等。网络安全技术是伴随着网络的诞生而出现的，但直到80年代末才引起关注,90年代在国外获得了飞速的发展。近几年频繁出现的安全事故引起了各国计算机安全界的高度重视，计算机网络安全技术也因此出现了日新月异的变化。安全核心系统、VPN安全隧道、身份认证、网络底层数据加密和网络入侵主动监测等越来越高深复杂的安全技术极大地从不同层次加强了计算机网络的整体安全性。安全核心系统在实现一个完整或较完整的安全体系的同时也能与传统网络协议保持一致。它

8、以密码核心系统为基础，支持不同类型的安全硬件产品，屏蔽安全硬件以变化对上层应用的影响，实现多种网络安全协议，并在此之上提供各种安全的计算机网络应用。互联网已经日渐融入到人类社会的各个方面中，网络防护与网络攻击之间的斗争也将更加激烈。这就对网络安全技术提出了更高的要求。未来的网络安全技术将会涉及到计算机网络的各个层次中，但围绕电子商务安全的防护技术将在未来的几年中成为重点，如身份认证，授权检查，数据安全，通信安全等将对电子商务安全产生决定性影响三、电子商务安全信息技术1、数据加密技术加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。面向网络的加密技术通常工作在网络层或传输层，使用经过

9、加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，这一类加密技术的优点在于实现相对较为简单，不需要对电子信息(数据包)所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。数字签名(digita1signature)数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。主要方式是报文的发送方从报文文本中生成一个128位的散列值(或报文摘要)，用自己的私有密钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收

10、方。报文的接收方首先从接收到的原始报文中计算出128位的散列值,接着再用发送方的公开密钥来对报文附加的数字签名进行解密，如果两个散列值相同，那么接收方就能确认该数字签名是发送方的，通过数字签名能够实现对原始报文的鉴别。概括的说，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。数字时间戳(digita1time-StamP)交易文件中，时间是十分重要的信息。在电子交易中，需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。时间戳(time-stamp)是一个经加密后

11、形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要(digest)；DTS收到文件的日期和时间；DTS的数字签名。数字证书(digita1certificate,digita1ID)数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。目前，最有效的认证方式是由权威的认证机构为参与电子商务的各方发放证书，证书作为网上交易参与各方的身份识别，就好象每个公民都用身份证来证明身份一样。认证中心作为电子商务交易中受信任的第三方,承担公钥体系中公钥的合法性检验的责任，是一个负责发放和管理数定证书的权威机构。因而网络中所有用户可以将自己的公钥交给这个中心，并提供自己的身份证

12、明信息，证明自己是相应公钥的拥有者，认证中心审查用户提供的信息后，如果确认用户是合法的，就给用户一个数字证书。这样，每个成员只需和认证中心打交道，就可以查到其他成员的公钥信息了。对于在网上进行交易的双方来说，数字证书对他们之间建立信任是至关重要的。数字凭证有三种类型：个人凭证、企业（服务器）凭证、软件（开发者）凭证；大部分认证中心提供前两类凭证。2.身份认证技术为解决Internet的安全问题，初步形成了一套完整的Intemet安全解决方案，即被广泛采用的公钥基础设施（PKD体系结构。PK1体系结构采用证书管理公钥，通过第三方的可信机构CA,把用户的公钥和用户的其他标识信息（如名称、e-mai

13、1.身份证号等）捆绑在一起，在Internet网上验证用户的身份，PK1体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。1）认证系统的基本原理利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA,CA为用户发放电子证书，用户之间利用证书来保证信息安全性和双方身份的合法性。2）认证系统结构整个系统是一个大的网络环境,系统从功能上基本可以划分为CARA和WebPub1ishere核心系统跟CA放在一个单独的封闭空间中，为了保证运

14、行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。证书的登记机构RegiSterAUthOrity,简称RA,分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。证书的公布系统WebpUb1iSher,简称WP,置于Intemet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E-mai1通知用户，然后用户须用浏览器从这里下载证书。3.网上支付平台及支付网关网上支付平台分为CTEC支付体

15、系(基于CTCA/GDCS)和SET支付体系(基于CTCA/SET)。网上支付平台支付型电子商务业务提供各种支付手段，包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段。支付网关位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。此外，支付网关还具有密钥保护和证书管理等其它功能。四、与电子商务安全有关的协议技术讨论1SS1协议(SeCUreSockets1ayer)安全套接层协议面向连接的协议。SS1协议主要是使用公开密钥体制和X.

16、509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用WebServer方式。但它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成，SS1协议并不能协调各方间的安全传输和信任关系。2.SET协议(SeCUreE1ectronicTranSaCtion)安全电子交易专门为电子商务而设计的协议。由于SET提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。虽然它在很多方面优于SS1协议，但仍然不能解决电子商务所遇到的全部问题。结束语：本文分析了目前电子商务的安全需求，使用的安全技术及仍存在的问题，并指出