時間：2023-03-15 14:53:01
導語：在電子商務安全的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了九篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。
1．引言
隨著信息技術和Internet的飛速發展，電子商務，特別是通過Internet進行的電子商務成了電子商務應用和發展的主要推動力。然而，由于Internet的高度開放性而隨之帶來的安全問題，嚴重影響了電子商務的廣泛應用和發展。而目前的各種電子商務安全技術和安全協議的局限性，使得加強對基于Internet的電子商務安全管理策略的研究，有效地對各種電子商務安全技術和安全協議進行有效協調和應用，對于抵擋各種電子商務安全問題的沖擊，無疑為人們在電子商務安全技術研究領域之外，提供了一個新的途徑和方法。
2．電子商務安全管理策略的制定
2．1制定電子商務安全管理策略的目的
制定電子商務安全管理策略的目的是為了能夠有效地保障電子商務系統安全、完整、正常地運行而不受破壞和于擾；能夠有序地、客觀地鑒別和測試電子商務系統的安全狀態；能夠對可能存在的風險有一個基本的評估；而當電子商務系統遭受破壞后能夠采取及時有效的恢復措施和手段，并且對其所需代價有一定的估計。
對基于Internet的電子商務活動來說，構建一個安全的電子商務網絡系統應首先確定其安全管理策略。解決電子商務安全問題，制定電子商務安全管理策略應從物理安全、網絡安全、信息安全訪問授權、病毒防范、災難恢復等多角度、多方面考慮。
2．2電子商務安全管理策略制定原則
電子商務安全管理策略的制定就是針對電子商務系統中所要保護信息的、被攻擊的可能性、投入的資金狀況等，在電子商務系統管理的整個過程中，根據實際情況具體地對各種電子商務安全措施進行選擇。有效的電子商務管理策略可以說是在一定條件下的成本和效率的平衡。雖然電子商務的具體應用環境不同，但我們在制定電子商務安全管理策略時一般都應遵守下面一些原則。
(1)綜合性、系統性原則
該原則要求用系統的觀點和方法來分析整個電子商務系統的安全問題，要求在綜合各方面情況后制定相應的具體可行的安全措施。
(2)平衡分析原則
由于目前技術條件的限制，絕對安全的電子商務系統是做不到的。因此，要在對電子商務系統面臨的威脅和可能承擔的風險進行充分研究后，再結合目前的技術和資金條件制定相應的安全措旆以達到安全與價值的平衡。
(3)易操作性原則
再好的安全措施，都要由人來完成．因此，如果措施過于復雜，不便操作，那么電子商務系統的安全性也就無從談起。
(4)適應性和靈活性原則
安全防范措施必須要能夠隨著電子商務系統性能、技術環境以及安全需求的變化而作出相應的調整以適應安全要求。
(5)多級保護原則
受目前技術條件限制，任何安全措施都有可能被攻破。因此，建立一個多級保護的系統，當其中某一層被破壞時，另外的層次也能起到防護作用。
2．3電子商務安全管理策略制定步驟
制定電子商務安全管理策略通常都包括以下幾個步驟：
(1)確定目標
安全管理策略目標包括電子商務系統中被保護的對象，實現的方法和途徑。
(2)明確范圍
確定電子商務安全管理策略所要保護的資源范圍以及相關保護環境的界定。
(3)爭取來自高層管理的支持
來自電子商務系統所屬單位的高層支持，對于保障電子商務安全管理措施的順利運行，以及技術資金上的保證，都有重要的意義。
(4)評估危險
盡可能地對影響電子商務安全的各方面因素考慮周全，對可能存在的危險作出較為準確的評估，以便為制定安全管理策略提供依據。
(5)制定策略
完成前面幾個步驟后，接著就根據經濟和技術實力確定一個相對滿意的安全策略。
(6)策略評估調整
在策略制定后，應評估其是否達到目標，以及當安全需求變化時作出適時的調整。
3．電子商務安全管理策略的基本內容
基于Internet的電子商務安全管理策略涵蓋范圍很廣，一個完整的電子商務安全管理策略一般都可以分為物理安全策略、網絡安全策略以及災難恢復策略等。
3．1物理安全策略
物理安全策略是整個電子商務安全管理策略的不可忽視的重要基礎。在基于Internet的電子商務整個交易過程中，對電子商務系統包含的相關物理設備有相當高的安全要求。影響電子商務系統安全的物理安全風險主要有自然災害風險、人為風險和硬件防護風險。相應的物理安全策略也圍繞上述三個物理安全風險展開。
(1)自然災害安全防范策略
主要包括防火、防水和防雷措施。設備所在場所應避免火災、水災的發生并采取相應的隔離措施以保證在意外火災、水災下的設備防護。另外，電子商務系統的設備主要由電路組成，因此制定全方位、安全靈活的防雷措6S顯得非常有必要。
(2)人為風險防范策略
人為風險包括人為的操作錯誤引起的安全問題、設備防盜以及計算機犯罪問題等。
人為操作方面引起的風險可以通過建立和健全安全制度來加以防止，同時加強和培育安全意識。對于設備防盜問題，如果資金允許，可以建立較為完善的防盜系統，如果資金不足，可以通過加強內部管理的方法加以解決。對于內外部人員的計算機犯罪問題，一是通過法律途徑解決；二是加強自身安全防范。
(3)硬件防護策略
硬件防護包括電磁防護和硬件設備維護。
硬件維護包括服務器及其他相關設備的電源保護、有效的防靜電措施以及要抑制和防范電磁泄露與電磁干擾。關于硬件設備維護，如果條件允許，可以增加設備信息保護裝置。另外除了日常維護以外，還需要定期對設備進行檢修。
3．2網絡安全策略
網絡安全是電子商務系統安全的核心，需要從技術和管理兩方面入手，因此，網絡安全策略分為技術策略和管理策略。
(1)技術策略
安裝使用網絡安全檢測設備和相關軟件
借助一些專用的網絡安全監控設備和軟件，加強對各種不法行為的監控和防范。
加強網絡訪問控制
訪問控制是網絡安全防范和保護的主要策略。它包括入網訪問控制、網絡權限控制、網絡監測和鎖定控制等。
采用防火墻技術
防火墻用來檢查通過內部網和外部網間的信息往來，它可以鑒別網絡服務請求是否合法，以便采取響應或拒絕的措施。
數據加密
數據加密是采用一定的加密技術，以防在傳輸過程中數據一旦被截獲不致造成信息的泄露，其核心是加密的方式以及密鑰的分配和管理。
引入鑒別機制
鑒別是查明另外一個實體身份和特權的過程，以確定其合法性，并作出響應。
(2)管理策略
加強電子商務網絡系統的日常管理和維護
建立嚴格的保密制度
加強對管理人員監督和培訓，落實工作責任制
建立跟蹤、審計和稽核制度
完善病毒防范制度
建立健全相關法律法規制度
3．3災難恢復策略
對于電子商務系統來說，災難主要指意外的自然災害以及黑客攻擊等原因造成數據庫受到的破壞。災難恢復策略是為了在數據資源遭受破壞后迅速恢復系統功能，最大程度地保持數據資源的完整性，將損失降至最低。因此，災難恢復主要包括備份和恢復兩個環節。
(1)災難備份
確定備份方案
建立數據恢復中心
建立完善的備份制度
(2)數據恢復
評估數據損失情況
確定數據恢復方案
恢復數據
4．結論
對基于Internet的電子商務系統來說，一個完善的安全管理策略，能夠保障系統的正常運行；能夠有序地、經常地測試安全狀態；能夠對可能的安全風險有一個基本的評估；能夠在系統遭破壞后及時采取補救措施。
基于Internet的電子商務安全所面臨的威脅是多種多樣的，各種問題還會不斷出現，同樣，電子商務安全技術和安全協議也是不斷發展的，因此，電子商務安全管理策略需要電子商務理論界和實業界進一步研究和完善。
主要參考文獻
[1]甘早斌．電子商務概論(第二版)[M]．華中科技大學出版社，2003．
[2]鐘誠．電子商務安全[M]．重慶；重慶大學出版社，2004．6．
[3]唐華．電子商務安全策略[J]．湖南農業大學學報，2002，(6)．
[關鍵詞] 安全體系 加密 數字證書 電子商務 安全交易標準
一、引言
當前的電子商務是指通過電子方式的商務活動。它作為一種全新的業務和服務方式，為全球客戶提供了豐富的商務信息、便捷的交易過程和廉價的交易成本。但是，電子商務給人們帶來方便的同時，也把人們引入安全憂慮之中。買方擔心在網絡上傳輸的信用卡及個人資料被截取；賣方則擔心收到的是被盜用的信用卡號碼，或是交易不認賬等，這些存在的安全漏洞問題已成為阻礙網上交易發展的首要問題。相對于傳統商務，電子商務對管理機制、實施平臺和信息傳遞技術都提出了更高的要求，其中安全體系的構建尤為顯得重要，已成為電子商務能否得到進一步發展和推廣的關鍵所在。
二、電子商務安全體系結構
1.電子商務中存在的安全隱患和威脅
Internet是電子商務實現的網絡基礎，它采用TCP/IP完成不同網絡與不同計算機之間的通信，正是由于這些特點，使它給電子商務帶來了很多的安全問題。Internet的安全隱患主要體現在四個方面。
開放性和資源共享是Internet的主要優點，但它帶來的問題卻不容忽視。因為當甲方在很容易的訪問乙方時，如果沒有采取任何措施，乙方同樣很容易的訪問甲方的計算機。
Internet采用的協議TCP/IP并未采用任何措施來保護傳輸內容不被竊取。它是一種包交換網絡，每個數據包在網絡上都是透明傳輸的，并且可能經過不同的網絡，由路由器轉發到達目的計算機。數據在傳輸過程中可能會遭到IP窺探、同步信號淹沒、TCP會話竊聽、復位與結束信號攻擊等威脅。
Internet底層的操作系統如UNIX，由于源代碼的公開，很容易發現漏洞，給Internet用戶帶來安全問題。
相比較傳統信函，電子化信息就缺乏可信度，電子信息是否準確很難由其本身來鑒別。在Internet上傳遞電子信息時，難以確認信息發送者及信息是否被正確無誤地傳遞給對方。
由于Internet存在上述安全隱患，將給電子商務帶來如下的安全威脅。
由于非法入侵，造成商務信息被纂改、竊取或丟失。
商業機密在傳輸過程中被第三方獲悉，被惡意破壞。
虛假身份的交易對象及虛假訂單、合同。
貿易對象的抵賴。
由計算機系統故障造成的對交易過程和商業信息安全的破壞。
綜上所述，電子商務面臨多方面的威脅，存在許多安全隱患。
2.電子商務的安全性內容
要使電子商務健康、順利發展，必須解決好以下幾種關鍵的安全性要求。
(1)保證信息的保密性和完整性。在交易過程中必須保證信息不被非授權用戶竊取，數據在輸入和傳輸過程中能保證數據的一致性。
(2)不可否認性。它是指信息發送方不可否認已經發送的信息，接收方也不可否認已經收到的信息。
(3)真實性。商務活動交易雙方身份是真實的，不是假冒的，不存在的。
(4)系統的可靠性與內部網絡的嚴密性。在計算機失效、程序錯誤、傳輸錯誤、硬件各種及計算機病毒等潛在威脅下，有容錯處理機制、數據恢復能力，確保系統安全、可靠。對企業內部網絡而言，要保證內部網絡不被入侵。
3.電子商務安全技術體系結構
電子商務的安全技術體系結構是保證電子商務中數據安全的一個完整邏輯結構，如圖所示。其中，下層是上層的基礎，為上層提供技術支持。上層是下層的擴展與遞增。各層相互聯系、相互依賴的構成一個整體。通過不同的安全控制技術，實現各層的安全策略，有效保證了電子商務系統的安全。
三、電子商務的安全技術
1.防火墻技術
防火墻是建立在內外網絡邊界上的過濾封裝機制，內部網絡被認為是安全和可信賴的，而外部網絡（通常指Internet）被認為是不安全和不可信賴的。防火墻的主要目的是防止不希望的、未經授權的通信進出被保護的內部網絡，通過邊界控制強化內部網絡的安全策略。
防火墻的主要技術有包過濾技術、服務器技術、應用網關技術和狀態檢測包過濾技術，現在最常用的是狀態檢測包過濾技術。狀態檢測防火墻對每個合法網絡連接保存的信息包括源地址、目的地址、協議類型、協議相關信息、連接狀態和超時時間等稱為狀態。通過狀態檢測，可實現比簡單包過濾防火墻具有更好的安全性。
2.加密技術
數字加密技術是網絡中最基本的安全技術，主要是通過對網絡中傳輸的信息進行數據加密來保障安全性。利用加密技術，可以將某些重要的信息和數據從一個可以理解的明文轉換為復雜的、不可理解的密文形式，在線路上傳送或在數據庫中存儲，其他用戶再將密文還原為明文。
3.信息摘要
密鑰加密技術只能解決信息的保密性問題，對信息的完整性則可以使用信息摘要技術來實現。信息摘要又稱為Hash算法，是一種單向加密算法，其加密結果是不能解密的。通過Hash算法，得到一個固定長度（128位）的散列值，不同的原文產生的信息摘要必不相同，相同的原文產生的信息摘要必定相同。這樣，通過用接收方產生的摘要與發送方發來的摘要比較，若兩者相同則表示原文在傳輸過程中沒有被修改，否則說明原文被修改過。
4.數字簽名
數字簽名是密鑰加密和信息摘要相結合的技術，用于保證信息的完整性和不可否認性。簽名機制的特征是該簽名只有通過簽名者的私有信息才能產生，即一個簽名者的簽名只能惟一地由他自己生成。當收發雙方發生爭議時，第三方就能根據消息上的數字簽名來裁定這條消息是否由發送方發出，從而實現不可否認服務。
5.數字時間戳
在電子交易中，時間和簽名同等重要。數字時間戳是由專門機構提供的電子商務安全服務項目，用于證明信息發送的時間。
6.數字證書與CA認證
由于電子商務在網絡中完成，互相之間不見面，因此為了保證每個人及機構都能惟一且被準確無誤地識別，就需要進行身份認證。身份認證可以通過驗證參與各方的數字證書來實現，而數字證書是由認證中心（CA）頒發的。
所謂CA（Certificate Authority：證書發行機構），是采用PKI（Public Key Infrastructure：公共密鑰體系）公開密鑰基礎架構技術，專門提供網絡身份認證服務，負責簽發和管理數字證書，具有權威性和公正性的第三方信任機構，其作用就像現實生活中頒發證件的機構。
四、電子商務安全交易標準
要實現安全的電子商務交易，交易雙方必須遵照統一的安全標準協議。當前，電子商務的安全機制正走向成熟，并逐漸形成了一些國際規范，比較有代表性的有安全套接層協議SSL（Secure Sockets Layer）和安全電子交易協議SET（Secure Electronic Transaction）。
1.安全套接層協議SSL
SSL協議是由Netscape公司研制的安全協議，SSL使用加密的方法建立一個安全的通信通道，以使客戶的信用卡號傳送給商家，商家再將其轉發給銀行，銀行驗證后在通知商家付款成功。該協議已成為事實上的工業標準，微軟、IBM公司都提供基于這種簡單加密模式的支付系統。
2.安全電子交易SET協議
SET協議向基于信用卡進行電子化交易的應用提供了實現安全措施的規則。它是由Visa國際組織和MasterCard組織制定的，用于在Internet上進行在線交易時保證信用卡支付安全的開放性安全技術標準。由于得到了微軟、IBM、RAS公司的支持與參與，已成為工業事實上的標準。
SET協議采用了RSA公私鑰加密系統、數字簽名、數字證書認證等技術，保證了支付信息的保密性、完整性和不可否認性。該協議提供了客戶、商家和銀行之間的身份認證，而交易信息和客戶信用卡信息相互隔離，即商家只能獲取訂單信息，銀行只能獲得持卡人信用卡支付信息，雙方互不干擾，各去所需，構成了SET協議的主要特色，使得SET成為電子商務的安全規范。
3.SET、SSL協議比較
(1)SET是一個專門的安全電子支付協議，而SSL本質上是一個網絡安全協議，僅在雙方間建立起安全連接。SET是一個多方的消息報文協議，定義了銀行、商家和持卡人間必須符合的報文規范，它比SSL在交易過程中的信任度更強。
(2)SSL僅有商家的服務器需要認證，客戶端只是選擇性認證；而SET在整個交易過程中都受到嚴密保護，其安全性比SSL高。
(3)SSL協議中若想進行電子商務交易，只需通過瀏覽器實現，設置成本低廉，其交易只要幾十秒就可完成；SET盡管安全性高，但需要專門的軟件來實現，客戶、商家改造成本高，由于交易過程各方之間進行多次加密傳輸，每次交易需要數分鐘。
綜上所述，SSL與SET協議是電子商務中最普遍的兩種安全電子支付協議，各有優缺點。SSL雖然簡單快捷，但隨著電子商務的發展其缺點凸現出來，需采用更先進的支付系統。而SET雖有更強的功能和安全性，但過于復雜，使得大面積推廣還有很大障礙，并且成本昂貴，所以，在未來一段時間里將會是SSL和SET兩種支付方式并存的局面。
五、結論
電子商務的本質是商務，技術是電子商務得以實現的手段。沒有商務需求，技術的研究就失去了應用價值；沒有技術實現，電子商務就不能得以實施，所以技術是電子商務的必要條件。而安全則是實現電子商務技術的前提，也是電子商務的必要條件。解決電子商務的安全問題不是一個單一的技術問題，它是由一系列工作組成，需要從電子商務安全管理、安全技術體系和法律等多方面開展工作和研究。
參考文獻:
[1]胡道元 閔京華:網絡安全[M].北京:清華大學出版社，2006
[2]祝凌曦:電子商務安全[M].北京：北方交通大學，2006.
[3]李曉燕 李福全 郭愛芳:電子商務概論[M].陜西：電子科技大學出版社，2004
[4]何 勝:電子商務中安全支付協議的對比及應用[J].計算機時代,2004(20)
【關鍵詞】電子商務安全技術
【中圖分類號】F713.36【文獻標識碼】A【文章編號】1006-9682(2010)02-0192-02
一、安全問題
目前電子商務所面臨的安全問題主要包括以下幾個方面。
1.竊取信息
數據信息在未采用加密措施情況下,以明文形式在網絡上傳送,攻擊者在傳輸信道上對數據進行非法截獲、監聽,獲取通信中的敏感信息,造成網上傳輸信息泄漏。即使數據經過加密,但若加密強度不夠,攻擊者也可通過密碼破譯得到信息內容,造成信息泄漏。
2.篡改信息
攻擊者在掌握了信息格式和規律后,采用各種手段對截取的信息進行篡改,破壞商業信息的真實性和完整性。
3.身份仿冒
攻擊者運用非法手段用合法用戶身份信息,利用仿冒的身份與他人交易,獲取非法利益,從而破壞交易的可靠性。
4.抵 賴
某些用戶對發出或收到的信息進行惡意否認,以逃避應承擔的責任。
5.病 毒
網絡化,特別是Internet的發展,大大加速了病毒的傳播,同時病毒的破壞性越來越大,嚴重威脅著電子商務的發展。
6.其他安全威脅
電子商務的安全威脅種類繁多,有故意的也有偶然的,存在于各種潛在方面。例如:業務流分析,操作人員的不慎重所導致的信息泄漏,媒體廢棄物所導致的信息泄漏等都對電子商務的安全性構成不同程度的威脅。
二、安全要求
從電子商務的安全要素出發分析電子商務的安全性問題,主要包括以下幾個方面:
1.有效性
有效性是開展電子商務的前提,要求對網絡故障,操作錯誤、應用程序錯誤、硬件故障、系統軟件錯誤及計算機病毒所產生的潛在威脅加以控制和預防,以保證貿易數據在確定時刻、確定地點是有效的。
2.機密性
電子商務是建立在一個較為開放的網絡環境上(尤其Internet具有更大的開放性),維護商業機密是電子商務全面推廣應用的重要保障,必須預防非法的信息存取和信息在傳輸中被非法竊取。
3.完整性
保持貿易各方信息的完整性是電子商務應用的基礎,要預防對信息的隨意生成、修改和刪除,同時要防止數據傳送過程中信息的丟失和重要并保證信息傳送次序的統一。
4.可靠性\不可抵賴性\可鑒別性
如何確定要進行交易的貿易方正是進行交易所期望的貿易方,這一問題是保證電子商務順利進行的關鍵。因此,要在交易信息的傳輸過程中為參與交易的個人、企業或國家提供可靠的標識。
5.審查能力
根據機密性和完整性的要求,應對數據審核的結果進行記錄。
三、安全技術
1.加密技術
數據加密技術作為一項基本技術,是電子商務的基石,是電子商務最基本的信息安全防范措施。其實質是對信息進行重新編碼,從而達到隱藏信息內容、使非法用戶無法獲取真實信息的一種技術手段,確保數據的保密性。
2.認證技術
認證是防止主動攻擊的重要性,對于開放環境中各種信息系統的安全性有重要作用。認證的主要技術是:第一,驗證信息的發送者是真的,而不是冒充的,此為實體認證;第二,驗證信息的完整性,此為信息認證。
(1)數字摘要
數字摘要是采用單向Hash函數對文件中若干重要元素進行某種變換運算得到固定長度的摘要碼,這一串摘要亦稱為數字指紋(Finger Print),有固定的長度,不同消息其摘要不同,相同消息其摘要相同。因此,摘要成為消息的“指紋”以驗證消息是否“真身”,消息摘要解決了信息的完整性問題。
(2)數字簽名
數字簽名是實現認證的重要工具。所謂數字簽名就是附加在信息單元的一些數據,或者對信息單元所作的密碼變換,這種數據或密碼變換允許信息接受者確認信息的來源和信息的完整性并保護數據防止被人偽造。其實現方式是把信息摘要和公開密鑰算法結合起來。發送方從報文文本中生成數字摘要并用自己的私有密鑰對摘要進行加密,形成發送方的數字簽名,然后將數字簽名作為報文的附加和報文一起發送給接收方;接收方首先從接收到的原始報文中計算出數字摘要,接著再用發送方的公開密鑰來對報文附加的數字簽名進行解密。若兩個摘要相同,則接收方能確認該數字簽名的發送方的。
(3)數字證書與CA
數字簽名中最麻煩的問題是接收方往往無法確認自己得到的公鑰確實是發送方的,因此必須要公鑰與擁有者做緊密結合才可防止假冒與欺騙發生,數字證書系統是使用最廣泛的解決方法。數字證書是由CA(Certificate Authority)發放的,利用電子手段來證實一個用戶的身份及用戶網絡資源的訪問權限。包括用戶的姓名、公共密鑰、公共密鑰的有限期、頒發數字證書的CA、數字證書的序列號以及用戶本人的數字簽名。它是電子商務交易雙方身份確定的惟一安全工具。
認證中心CA是承擔網上安全交易認證服務,能簽發數字證書,并能確認用戶身份的服務機構。認證中心通常是企業性的服務機構,主要任務是受理數字證書的申請、簽發及對數字證書的管理。
(4)電子商務的安全協議
目前電子商務中有許多種安全體制可以保證電子商務的安全性,其中SSL和SET是電子商務安全中兩個最重要的協議。
(5)SSL安全協議
SSL(Secure Sockets Layer)安全協議最初由Netscape Communication公司設計開放,又稱“安全套層協議”,是指通信雙方在通信前約定使用的一種協議方法,該雙方能夠在雙方計算機之間建立一個秘密信道,凡是一些不希望被他人知道的機密數據都可以通過公開的通道傳輸,不用擔心數據會被別人偷竊。SSL安全協議能夠對TCP/IP以上的網絡應用協議數據流加密。SSL協議只負責端到端的安全連接,只保證信息傳輸過程中不被竊取、篡改,但不提供其他安全保證,因而SSL實質上僅僅提供對瀏覽器和服務器的鑒別,不能細化到對商家和客戶的身份認證,這個缺陷會導致交易的假冒欺詐行為出現,又由于SSL協議早已嵌入Web瀏覽器和服務器,使用方便,因此對進行電子商務交易的廣大用戶而言,SSL使用非常方便,這是其優點。
(6)SET安全協議
SET(Secure Electronic Transaction)協議也稱為“安全電子交易”,由MasterCard、Visa、IBM以及微軟等公司開發,是為了在互聯網上進行在線交易時保證信用卡支付的安全而設立的一個開放的規范。SET協議提供了強大的驗證功能,凡與交易有關的各方必須持有合法證書機構發放的有效證書,SET不僅具有加密機制,更重要的是通過數字簽名、數字信封等實現身份鑒別和不可否認性,最大限度地降低了電子商務交易可能遭受的欺詐風險。但是由于SET是基于信用卡進行電子商務交易的,因此中間環節增加了CA與銀行、用戶與銀行之間的認證,從而提高了軟硬件的環境要求,也增加了交易成本。
四、結束語
隨著電子商務的不斷發展,電子商務手段將更加多樣化,安全問題變得更加和突出,安全是電子商務的核心和靈魂,在發展電子商務的道路上,最受重視并使其放慢速度的也正是安全問題。目前,電子商務也有許多新技術的提出,但尚未能形成一個有效的、安全的電子商務安全系統,這需要加大力度來研究和發展信息安全保密技術。電子商務的發展促使人民對安全技術不斷探索研究和開發應用,以建立一個安全的商務環境。
參考文獻
1 許統邦、寧亞萍.網絡時代的個性化服務[J].華南理工大學學報(社會科學版),2001.3(1)
[關鍵詞]安全問題；安全要求；安全技術
[中圖分類號]TN915.08 [文獻標識碼]A [文章編號]1672-5158（2013）06-0054-01
1 要分析和保證電子商務的安全性，首先應該了解目前電子商務安全問題有哪些
1.1 交易信息遭到竊取
在電子商務的過程中，用戶的身份信息或者交易信息會被黑客或者有意者通過木馬、病毒及計算機系統、網絡系統本身的漏洞所竊取。攻擊者通過對數據的竊聽、非法截獲等手段，可以對截獲信息的數據分析，竊取用戶的賬號、密碼等信息內容。
1.2 交易信息遭到篡改
攻擊者通過竊取了交易信息之后，通過技術手段，可以對交易信息進行篡改。例如篡改交易時間、交易地點、交易金額等，破壞交易信息的完整性與真實性，容易誤導交易人，造成經濟損失。
1.3 交易信息遭到冒充
攻擊者在得到交易者的信息之后，通過交易者的信息規律，冒充交易者與對方進行交易，從而獲得非法利益，進而破壞了電子交易的安全性。
1.4 交易信息遭到抵賴
某些交易者，面對交易信息，選擇故意逃避，不承認訂單，或者接到訂單后卻因為種種借口不承認產品交易；發送信息者不承認發送過信息，或者接收信息者不承認接收過信息，以種種方式進行交易抵賴。以期達到逃避責任的目的。
1.5 交易信息受到病毒感染
由于計算機網絡的開放性，惡意制作和使用計算機病毒的攻擊者越來越多，并且難以防范，這成為對電子商務交易最大的威脅之一。
1.6 非故意的電子商務信息泄露
由于電子商務需要使用計算機及計算機網絡，而日常工作中，計算機維修、計算機操作者操作不當，都可能會導致電子商務信息的泄露。
2 那么，面對種種電子商務的安全問題，現代電子商務的安全要求有哪些呢
2.1 有效的服務性要求
電子商務開展的前提是能夠預防或能應對網絡服務失敗的問題，通過監測來減少網絡故障的發生，通過監督來減少錯誤的操作，通過維護來降低軟、硬件問題，通過防火墻、殺毒軟件等手段來阻止網絡病毒的侵入，以諸如此類的方式來保證電子商務交易快速、有效和準確。
2.2 有力的保密性要求
電子商務是在互聯網的大背景下展開的，而互聯網是一個開放的資源庫與數據庫，具備網絡知識與上網設備的人，幾乎都可以使用互聯網，這就造成了，有更多的惡意攻擊者也可以在毫不費力的情況下，侵入互聯網，這就給電子商務交易，埋下了潛在的威脅。因此，電子商務的順利進行，必須要有有力的措施，來保證電子交易的機密性，交易信息不會遭到攻擊者的截取和盜用。
2.3 高度的完整性要求
電子商務的交易，不再是面對面的交易，而是通過網絡等手段進行的跨區域交易。這就要求，在信息的傳輸過程中，信息必須是高度完整的，如果在信息的傳輸過程中遭到破壞、刪除或者是篡改，會導致交易者的利益受損。
2.4 可靠的身份性要求
由于電子商務是建立在互相信任的基礎上，交易雙方可能未曾見面，就完成了交易。這就要求，交易雙方，不論是個人還是企業、組織甚至是國家之間，都必須提供可靠的、有效的身份信息。這樣，不僅能使得交易雙方更加信任，也能夠在以后發生法律糾紛時，提供有力的依據。
2.5 嚴密的審查性要求
因為電子商務交易要具有有力的保密性與高度的完整性，所以，應對電子商務交易完成后的審查數據進行完整的記錄與妥善的保存。
3 為了應對電子商務安全問題，滿足電子商務安全要求，電子商務安全技術也在不斷發展
目前，主要的電子商務安全技術如下：
3.1 數字認證技術
認證技術是電子商務防止攻擊的有效武器。在互聯網的開放環境中，信息安全的有效保證就是通過數字認證技術。數字認證技術又可以分為：數字簽名、數字摘要及數字證書等三種。數字簽名是確保實現認證、保證文檔真實的有效措施。就好像出示手寫簽名一般。數字簽名就是在信息之后附件一些數據，將數字摘要進行私鑰加密，然后一起發送給接收方。在接收方通過公鑰解密摘要后，與原始數字摘要進行對比，若二者相同，則確認該數字簽名是發送方發送的。數字簽名能夠保證報文與網絡數據的完整、真實與不可抵賴。數字摘要是固定長度的再要碼，是文件中的部分重要的要素經過單向函數運算得到的。摘要長度與信息相對應，即相同信息的摘要相同，不同信息摘要不同。數字證書它是由證書授權機構頒發的，通過其來辨別用戶身份及權限，如同身份證一樣，是交易雙方身份確認的唯一最有效、最安全的方式。
3.2 防火墻技術
防火墻是在網絡邊界上建立起來的，防止黑客入侵的屏障。防火墻隔離了內部網絡與外部網絡。“目前的防火墻主要有以下三種類型：包過濾防火墻、防火墻、雙穴主機防火墻。”
3.3 入侵檢測及加密技術
雖然網絡的開放性可以讓攻擊者有侵入的機會，但是，同樣，可以通過入侵檢測的技術對侵入的數據進行識別和跟蹤，并向用戶報警。同時，通過加密技術，將數據進行加密，變成需要密鑰才能還原成明文。加密技術又分為對稱與非對稱加密兩種。入侵檢測與加密技術，屬于主動的防范的技術。
3.4 電子商務安全協議技術。
SSL安全協議
Secure Sockets Layer安全協議，即“安全套接層協議”，用于提高應用程序間數據的安全性。在通信之前，通信的雙方需要約定一種協議，從而在雙方的計算機之間形成一個通道，這個通道只被通信的雙方所擁有，可以避免被第三方竊取信息。
SET安全協議
Secure Electronic Transaction協議，即“安全電子交易”，是一種新的電子支付模式，是為了在互聯網上進行在線交易時保證信用卡支付的安全而設立的一個開放的規范。SET協議以其強大的驗證功能，保證“用戶、商家、銀行之間通過信用卡交易產生的數據”能夠“最大限度地降低了電子商務交易可能遭受的欺詐風險。”由于其優越的性能，目前豬價成為世界“公認的信用卡交易國際標準。”
4 其他非技術手段
4.1 加強電子商務交易法律管理
應該重視法律的力量，不斷完善電子商務交易的法律法規，規范電子商務的交易過程。通過法律來約束進行電子交易雙方。同時給企圖利用電子商務漏洞的不法分子敲響警鐘。
4.2 加強電子商務交易本身的管理
電子商務交易要有有效的管理制度，加強對用戶、對信息、對設備、對軟件、對密鑰等的管理。
總之，電子商務交易的發展離不開安全的電子商務交易環節。而創作安全的電子商務環境要從技術與非技術兩個方面人手，既要重視加密、檢測、認證等技術手段的發展，又要重視電子商務交易法律法規的完善、電子商務交易自身管理的規范性。進而不斷促進電子商務交易的有效性、機密性及不可抵賴性。只有用戶能放心的使用電子商務交易，才能彰顯電子商務交易平臺的優越性。
參考文獻
電子商務信息安全問題主要有：
1.信息的截獲和竊取：如果采用加密措施不夠，攻擊者通過互聯網、公共電話網在電磁波輻射范圍內安裝截獲裝置或在數據包通過網關和路由器上截獲數據，獲取機密信息或通過對信息流量、流向、通信頻度和長度分析，推測出有用信息。2.信息的篡改：當攻擊者熟悉網絡信息格式后，通過技術手段對網絡傳輸信息中途修改并發往目的地，破壞信息完整性。3.信息假冒：當攻擊者掌握網絡信息數據規律或解密商務信息后，假冒合法用戶或發送假冒信息欺騙其他用戶。4.交易抵賴：交易抵賴包括多方面，如發信者事后否認曾發送信息、收信者事后否認曾收到消息、購買者做了定貨單不承認等。
二、信息安全要求
電子商務的安全是對交易中涉及的各種信息的可靠性、完整性和可用性保護。信息安全包括以下幾方面:
1.信息保密性：維護商業機密是電子商務推廣應用的重要保障。由于建立在開放網絡環境中，要預防非法信息存取和信息傳輸中被竊現象發生。2.信息完整性：貿易各方信息的完整性是電子商務應用的基礎，影響到交易和經營策略。要保證網絡上傳輸的信息不被篡改，預防對信息隨意生成、修改和刪除，防止數據傳送中信息的失和重復并保證信息傳送次序的統一。3.信息有效性：保證信息有效性是開展電子商務前提，關系到企業或國家的經濟利益。對網絡故障、應用程序錯誤、硬件故障及計算機病毒的潛在威脅控制和預防，以保證貿易數據在確定時刻和地點有效。4.信息可靠性：確定要交易的貿易方是期望的貿易方是保證電子商務順利進行的關鍵。為防止計算機失效、程序錯誤、系統軟件錯誤等威脅，通過控制與預防確保系統安全可靠。
三、信息安全技術
1.防火墻技術。防火墻在網絡間建立安全屏障，根據指定策略對數據過濾、分析和審計，并對各種攻擊提供防范。安全策略有兩條：一是“凡是未被準許就是禁止”。防火墻先封閉所有信息流，再審查要求通過信息，符合條件就通過；二是“凡是未被禁止就是允許”。防火墻先轉發所有信息，然后逐項剔除有害內容。
防火墻技術主要有：(1)包過濾技術：在網絡層根據系統設定的安全策略決定是否讓數據包通過，核心是安全策略即過濾算法設計。(2)服務技術：提供應用層服務控制，起到外部網絡向內部網絡申請服務時中間轉接作用。服務還用于實施較強數據流監控、過濾、記錄等功能。(3)狀態監控技術：在網絡層完成所有必要的包過濾與網絡服務防火墻功能。(4)復合型技術：把過濾和服務兩種方法結合形成新防火墻，所用主機稱為堡壘主機，提供服務。(5)審計技術：通過對網絡上發生的訪問進程記錄和產生日志，對日志統計分析，對資源使用情況分析，對異常現象跟蹤監視。(6)路由器加密技術：加密路由器對通過路由器的信息流加密和壓縮，再通過外部網絡傳輸到目的端解壓縮和解密。2.加密技術。為保證數據和交易安全，確認交易雙方的真實身份，電子商務采用加密技術。數據加密是最可靠的安全保障形式和主動安全防范的策略。目前廣泛應用的加密技術有：(1)公共密鑰和私用密鑰:也稱RSA編碼法。信息交換的過程是貿易方甲生成一對密鑰并將其中一把作為公開密鑰公開；得到公開密鑰的貿易方乙對信息加密后再發給貿易方甲：貿易方甲用另一把專用密鑰對加密信息解密。具有數字憑證身份人員的公共密鑰在網上查到或請對方發信息將公共密鑰傳給對方，保證傳輸信息的保密和安全。(2)數字摘要:也稱安全Hash編碼法。將需加密的明文“摘要”成一串密文亦稱數字指紋，有固定長度且不同明文摘要成密文結果不同，而同樣明文摘要必定一致。這串摘要成為驗證明文是否真身的“指紋”。(3)數字簽名:將數字摘要、公用密鑰算法兩種加密方法結合。在書面文件上簽名是確認文件的手段。簽名作用有兩點：一是因為自己簽名難以否認，從而確認文件已簽署；二是因為簽名不易仿冒，從而確定文件為真。(4)數字時間戳:電子交易中文件簽署日期和簽名是防止交易文件被偽造和篡改的關鍵性內容，數字時間戳服務能提供電子文件發表時間的安全保護。
3.認證技術。安全認證的作用是進行信息認證。信息認證是確認信息發送者的身份，驗證信息完整性，確認信息在傳送或存儲過程中未被篡改。(1)數字證書:也叫數字憑證、數字標識，用電子手段證實用戶身份及對網絡資源的訪問權限，可控制被查看的數據庫，提高總體保密性。交易支付過程中，參與各方必須利用認證中心簽發的數字證書證明身份。(2)安全認證機構:電子商務授權機構也稱電子商務認證中心。無論是數字時間戳服務還是數字證書發放，都需要有權威性和公正性的第三方完成。CA是承擔網上安全交易認證服務、簽發數字證書并確認用戶身份的企業機構，受理數字證書的申請、簽發及對數字證書管理。
4.防病毒技術。(1)預防病毒技術，通過自身常駐系統內存，優先獲取系統控制權，監視系統中是否有病毒，阻止計算機病毒進入計算機系統和對系統破壞。(2)檢測病毒技術，通過對計算機病毒特征進行判斷的偵測技術，如自身校驗、關鍵字、文件長度變化。(3)消除病毒技術，通過對計算機病毒分析，開發出具有殺除病毒程序并恢復原文件的軟件。另外要認真執行病毒定期清理制度，可以清除處于潛伏期的病毒，防止病毒突然爆發，使計算機始終處于良好工作狀態。
四、結語
信息安全是電子商務的核心。要不斷改進電子商務中的信息安全技術，提高電子商務系統的安全性和可靠性。但電子商務的安全運行，僅從技術角度防范遠遠不夠，還必須完善電子商務立法，以規范存在的各類問題，引導和促進我國電子商務快速健康發展。
參考文獻:
[1]譚衛:電子商務中安全技術的研究.哈爾濱工業大學,2006
計算機網絡安全的內容包括：計算機網絡設備安全、計算機網絡系統安全、數據庫安全等。其特征是針對計算機網絡本身可能存在的安全問題，實施網絡安全增強方案，以保證計算機網絡自身的安全性為目標。商務交易安全則緊緊圍繞傳統商務在互聯網絡上應用時產生的各種安全問題，在計算機網絡安全的基礎上，如何保障電子商務過程的順利進行。即實現電子商務的保密性、完整性、可鑒別性、不可偽造性和不可抵賴性。
關鍵字：計算機網絡安全 商務交易安全
一 前言
隨著INTERNET的發展，電子商務已經逐漸成為人們進行商務活動的新模式。越來越多的人通過INTERNET進行商務活動。電子商務的發展前景十分誘人，而其安全問題也變得越來越突出，如何建立一個安全，便捷的電子商務應用環境，對信息提供足夠的保護，已經成為商家和用戶都十分關注的話題。
點擊查看全文
[關鍵詞] 網絡安全交易安全安全技術安全措施
一、引言
電子商務的發展前景十分誘人，而其安全問題也變得越來越突出，如何建立一個安全、便捷的電子商務應用環境，對信息提供足夠的保護，已經成為商家和用戶都十分關心的話題。
二、電子商務存在的安全問題
1.計算機網絡安全
(1)潛在的安全隱患。未進行操作系統相關安全配置。不論采用什么操作系統，在缺省安裝的條件下都會存在一些安全問題，只有專門針對操作系統安全性進行相關的和嚴格的安全配置，才能達到一定的安全程度。
(2)未進行CGI程序代碼審計。網站或軟件供應商專門開發的一些CGI程序，很多存在嚴重的CGI問題，對于電子商務站點來說，會出現惡意攻擊者冒用他人賬號進行網上購物等嚴重后果。
(3)安全產品使用不當。由于一些網絡安全設備本身的問題或使用問題，這些產品并沒有起到應有的作用。很多廠商的產品對配置人員的技術背景要求很高，超出對普通網管人員的技術要求，就算是廠家在最初給用戶做了正確的安裝、配置，但系統改動，在改動相關安全產品的設置時，很容易產生許多安全問題。
(4)缺少嚴格的網絡安全管理制度
網絡安全最重要的還是要思想上高度重視，網站或局域網內部的安全需要用完備的安全制度來保障。建立和實施嚴密的計算機網絡安全制度與策略是真正實現網絡安全的基礎。
2.商務交易安全
(1)竊取信息。由于未采用加密措施，信息在網絡上以明文形式傳送，入侵者在數據包經過的網關或路由器上可以截獲傳送的信息。通過多次竊取和分析，可以找到信息的規律和格式，進而得到傳輸信息的內容，造成網上傳輸信息泄密。
(2)篡改信息。當入侵者掌握了信息的格式和規律后，通過各種技術手段和方法，將網絡上傳送的信息數據在中途修改，然后再發向目的地。
(3)假冒。由于掌握了數據的格式，并可以篡改通過的信息，攻擊者可以冒充合法用戶發送假冒的信息或者主動獲取信息，而遠端用戶通常很難分辨。
(4)惡意破壞。由于攻擊者可以接入網絡，則可能對網絡中的信息進行修改，掌握網上的機要信息，甚至可以潛入網絡內部，其后果是非常嚴重的。
三、電子商務安全技術
1.加密技術
(1)對稱加密/對稱密鑰加密/專用密鑰加密
該方法對信息的加密和解密都使用相同的密鑰。使用對稱加密方法將簡化加密的處理，每個貿易方都不必彼此研究和交換專用的加密算法而是采用相同的加密算法并只交換共享的專用密鑰。如果進行通信的貿易方能夠確保專用密鑰在密鑰交換階段未曾泄露，那么機密性和報文完整性就可以通過對稱加密方法加密機密信息和通過隨報文一起發送報文摘要或報文散列值來實現。
(2)非對稱加密/公開密鑰加密
這種加密體系中，密鑰被分解為一對。這對密鑰中的任何一把都可作為公開密鑰通過非保密方式向他人公開，而另一把則作為專用密鑰加以保存。公開密鑰用于對機密性的加密，專用密鑰則用于對加密信息的解密。專用密鑰只能由生成密鑰對的貿易方掌握，公開密鑰可廣泛，但它只對應于生成該密鑰的貿易方。
(3)數字摘要
該方法亦稱安全Hash編碼法或MD5。采用單向Hash函數將需加密的明文“摘要”成一串128bit的密文，即數字指紋，它有固定的長度，且不同的明文摘要成密文，其結果總是不同的，而同樣的明文其摘要必定一致。這摘要便可成為驗證明文是否是“真身”的“指紋”了。
(4)數字簽名
信息是由簽名者發送的;信息在傳輸過程中未曾作過任何修改。這樣數字簽名就可用來防止電子信息因易被修改而有人作偽；或冒用別人名義發送信息；或發出（收到）信件后又加以否認等情況發生。
(5)數字時間戳
它是一個經加密后形成的憑證文檔，包括三個部分：需加時間戳的文件的摘要;DTS收到文件的日期和時間;DTS的數字簽名。
(6)數字憑證
數字憑證又稱為數字證書，是用電子手段來證實一個用戶的身份和對網絡資源的訪問的權限。在網上的電子交易中，如雙方出示了各自的數字憑證，并用它來進行交易操作，那么雙方都可不必為對方身份的真偽擔心。它包含：憑證擁有者的姓名; 憑證擁有者的公共密鑰;公共密鑰的有效期;頒發數字憑證的單位;數字憑證的序列號;頒發數字憑證單位的數字簽名。
數字憑證有三種類型：個人憑證，企業（服務器）憑證， 軟件（開發者）憑證。
2.Internet電子郵件的安全協議
(1)PEM：是增強Internet電子郵件隱秘性的標準草案，它在Internet電子郵件的標準格式上增加了加密、鑒別和密鑰管理的功能，允許使用公開密鑰和專用密鑰的加密方式，并能夠支持多種加密工具。對于每個電子郵件報文可以在報文頭中規定特定的加密算法、數字鑒別算法、散列功能等安全措施。
(2)S/MIME：是在RFC1521所描述的多功能Internet電子郵件擴充報文基礎上添加數字簽名和加密技術的一種協議，目的是在MIME上定義安全服務措施的實施方式。
(3)PEM-MIME：是將PEM和MIME兩者的特性進行了結合。
3.Internet主要的安全協議
(1)SSL:是向基于TCP/IP的客戶/服務器應用程序提供了客戶端和服務器的鑒別、數據完整性及信息機密性等安全措施。該協議通過在應用程序進行數據交換前交換SSL初始握手信息來實現有關安全特性的審查。在SSL握手信息中采用了DES、MD5等加密技術來實現機密性和數據完整性，并采用X.509的數字證書實現鑒別。
(2)S-HTTP：是對HTTP擴充安全特性、增加了報文的安全性，它是基于SSL技術的。該協議向WWW的應用提供完整性、鑒別、不可抵賴性及機密性等安全措施。
(3)STT： STT將認證和解密在瀏覽器中分離開，用以提高安全控制能力。
(4)SET：主要文件是SET業務描述、SET程序員指南和SET協議描述。SET 1.0版己經公布并可應用于任何銀行支付服務。它涵蓋了信用卡在電子商務交易中的交易協定、信息保密、資料完整及數據認證、數據簽名等。
SET規范明確的主要目標是保障付款安全，確定應用之互通性，并使全球市場接受。
4.UN/EDIFACT的安全
UN/EDIFACT報文是唯一的國際通用的EDI標準。利用Internet進行EDI己成為人們日益關注的領域，保證EDI的安全成為主要解決的問題。
5.虛擬專用網（VPN）
它可以在兩個系統之間建立安全的信道（或隧道），用于電子數據交換。它與信用卡交易和客戶發送訂單交易不同，因為在VPN中，雙方的數據通信量要大得多，而且通信的雙方彼此都很熟悉。這意味著可以使用復雜的專用加密和認證技術，只要通信的雙方默認即可，沒有必要為所有的VPN進行統一的加密和認證。
6.數字認證
用電子方式證明信息發送者和接收者的身份、文件的完整性（如一張發票未被修改過），甚至數據媒體的有效性（如錄音、照片等）。目前，數字認證一般都通過單向Hash函數來實現，它可以驗證交易雙方數據的完整性，
7.認證中心（CA）
CA的基本功能是：
生成和保管符合安全認證協議要求的公共和私有密鑰、數字證書及其數字簽名。
對數字證書和數字簽名進行驗證。
對數字證書進行管理，重點是證書的撤消管理，同時追求實施自動管理。
建立應用接口，特別是支付接口。CA是否具有支付接口是能否支持電子商務的關鍵。
8.防火墻技術
防火墻具有以下五大基本功能:(1)過濾進、出網絡的數據;(2)管理進、出網絡的訪問行為;(3)封堵某些禁止行為;(4)記錄通過防火墻的信息內容和活動;(5)對網絡攻擊進行檢測和告警。
目前的防火墻主要有兩種類型。其一是包過濾型防火墻，其二是應用級防火墻。
9.入侵檢測
入侵檢測技術是防火墻技術的合理補充，其主要內容有：入侵手段與技術、分布式入侵檢測技術、智能入侵檢測技術以及集成安全防御方案等。
四、電子商務網站安全體系與安全措施
一個全方位的計算機網絡安全體系結構包含網絡的物理安全、訪問控制安全、系統安全、用戶安全、信息加密、安全傳輸和管理安全等。充分利用各種先進的主機安全技術、身份認證技術、訪問控制技術、密碼技術、防火墻技術、安全審計技術、安全管理技術、系統漏洞檢測技術、黑客跟蹤技術，在攻擊者和受保護的資源間建立多道嚴密的安全防線，極大地增加了惡意攻擊的難度，并增加了審核信息的數量，利用這些審核信息可以跟蹤入侵者。
1.采取特殊措施以保證電子商務之可靠性、可用性及安全性
使用容錯計算機系統或創造高可用性的計算機環境，以確保信息系統保持可用及不間斷動作。災害復原計劃提供一套程序與設備來重建被中斷的計算與通信服務。當組織利用企業內部網或因特網時，防火墻和入侵偵測系統協助防衛專用網絡避免未授權者的存取。加密是一種廣泛使用的技術來確保因特網上傳輸的安全。數字證書可確認使用者的身份，提供了電子交易更進一步的保護。
2.實施網絡安全防范措施
首先要加強主機本身的安全，做好安全配置，及時安裝安全補丁程序，減少漏洞；
其次要用各種系統漏洞檢測軟件定期對網絡系統進行掃描分析，找出可能存在的安全隱患，并及時加以修補；從路由器到用戶各級建立完善的訪問控制措施，安裝防火墻，加強授權管理和認證;利用RAID5等數據存儲技術加強數據備份和恢復措施；對敏感的設備和數據要建立必要的物理或邏輯隔離措施；對在公共網絡上傳輸的敏感信息要進行強度的數據加密；安裝防病毒軟件，加強內部網的整體防病毒措施；建立詳細的安全審計日志，以便檢測并跟蹤入侵攻擊等。
3.電子商務交易中的安全措施
在早期的電子交易中，曾采用過安全措施有：部分告知；另行確認；在線服務等。這些方法均有一定的局限性，且操作麻煩，不能實現真正的安全可靠性。近年來，針對電子交易安全的要求，IT業界與金融行業一起，推出不少有效的安全交易標準和技術，正如上述所列的九種技術。
另外，還可以選擇一些加密產品和系統。如：PGP for Group Wise、File Lock Series、Point`n Crypt World、PrivaSuite、Crypt。可以實現加密、簽名和認證。訪問控制類產品。如：SunScreen、WebST安全平臺、HP Preaesidium 授權服務器、NetKey網絡安全認證系統、Cisco NetRanger等。這些產品的功能可以提供對口令字的管理和控制功能；防止入侵者對口令字的探測；監測用戶對某一分區或域的存取；提供系統主體對客體訪問權限的控制。
關鍵詞:電子商務;網絡銀行;私有密鑰加密法;公開密鑰加密法
對數據進行有效加密與解密,稱為密碼技術,即數據機密性技術。其目的是為了隱蔽數據信息,將明文偽裝成密文,使機密性數據在網絡上安全地傳遞而不被非法用戶截取和破譯。偽裝明文的操作稱為加密,合法接收者將密文恢復出原明文的過程稱為解密,非法接收者將密文恢復出原明文的過程稱為破譯。密碼是明文和加密密鑰相結合,然后經過加密算法運算的結果。加密包括兩個元素,加密算法和密鑰。加密時所使用的信息變換規則稱為加密算法,是用來加密的數學函數,一個加密算法是將普通的文本(或者可以理解的信息)與一串字符串即密鑰結合運算,產生不可理解的密文的步驟。密鑰是借助一種數學算法生成的,它通常是由數字、字母或特殊符號組成的一組隨機字符串,是控制明文和密文變換的唯一關鍵參數。對于相同的加密算法,密鑰的位數越多,破譯的難度就越大,安全性就越好。目前,電子商務通信中常用的有私有(對稱)密鑰加密法和公開(非對稱)密鑰加密法。
一、私有密鑰加密法
(一)定義
私有密鑰加密,指在計算機網絡上甲、乙兩用戶之間進行通信時,發送方甲為了保護要傳輸的明文信息不被第三方竊取,采用密鑰A對信息進行加密而形成密文M并發送給接收方乙,接收方乙用同樣的一把密鑰A對收到的密文M進行解密,得到明文信息,從而完成密文通信目的的方法。這種信息加密傳輸方式,就稱為私有密鑰加密法。上述加密法的一個最大特點是,信息發送方與信息接收方均需采用同樣的密鑰,具有對稱性,所以私有密鑰加密又稱為對稱密鑰加密。
(二)使用過程
具體到電子商務,很多環節要用到私有密鑰加密法。例如,在兩個商務實體或兩個銀行之間進行資金的支付結算時,涉及大量的資金流信息的傳輸與交換。這里以發送方甲銀行與接收方乙銀行的一次資金信息傳輸為例,來描述應用私有密鑰加密法的過程:銀行甲借助專業私有密鑰加密算法生成私有密鑰A,并且復制一份密鑰A借助一個安全可靠通道(如采用數字信封)秘密傳遞給銀行乙;銀行甲在本地利用密鑰A把信息明文加密成信息密文;銀行甲把信息密文借助網絡通道傳輸給銀行乙;銀行乙接受信息密文;銀行乙在本地利用一樣的密鑰A把信息密文解密成信息明文。這樣銀行乙就知道銀行甲的資金轉賬通知單的內容,結束通信。
(三)常用算法
世界上一些專業組織機構研發了許多種私有密鑰加密算法,比較著名的有DES算法及其各種變形、國際數據加密算法IDEA等。DES算法由美國國家標準局提出,1977年公布實施,是目前廣泛采用的私有密鑰加密算法之一,主要應用于銀行業中的電子資金轉賬、軍事定點通信等領域,比如電子支票的加密傳送。經過20多年的使用,已經發現DES很多不足之處,隨著計算機技術進步,對DES的破解方法也日趨有效,所以更安全的高級加密標準AES將會替代DES成為新一代加密標準。
(四)優缺點
私有密鑰加密法的主要優點是運算量小,加解密速度快,由于加解密應用同一把密鑰而應用簡單。在專用網絡中由于通信各方相對固定、所以應用效果較好。但是,私有密鑰加密技術也存在著以下一些問題:一是分發不易。由于算法公開,其安全性完全依賴于對私有密鑰的保護。因此,密鑰使用一段時間后就要更換,而且必須使用與傳遞加密文件不同的途徑來傳遞密鑰,即需要一個傳遞私有密鑰的安全秘密渠道,這樣秘密渠道的安全性是相對的,通過電話通知、郵寄軟盤、專門派人傳送等方式均存在一些問題。二是管理復雜,代價高昂。私有密鑰密碼體制用于公眾通信網時,每對通信對象的密鑰不同,必須由不被第三者知道的方式,事先通知對方。隨著通信對象的增加,公眾通信網上的密碼使用者必須保存所有通信對象的大量的密鑰。這種大量密鑰的分配和保存,是私有密鑰密碼體制存在的最大問題。三是難以進行用戶身份的認定。采用私有密鑰加密法實現信息傳輸,只是解決了數據的機密性問題,并不能認證信息發送者的身份。若密鑰被泄露,如被非法獲取者猜出,則加密信息就可能被破譯,攻擊者還可用非法截取到的密鑰,以合法身份發送偽造信息。在電子商務中,有可能存在欺騙,別有用心者可能冒用別人的名義發送資金轉賬指令。因此,必須經常更換密鑰,以確保系統安全。四是采用私有密鑰加密法的系統比較脆弱,較易遭到不同密碼分析的攻擊。五是它僅能用于對數據進行加解密處理,提供數據的機密性,不能用于數字簽名。
二、公開密鑰加密法
(一)定義與應用原理
公開密鑰加密法是針對私有密鑰加密法的缺陷而提出來的。是電子商務應用的核心密碼技術。所謂公開密鑰加密,就是指在計算機網絡上甲、乙兩用戶之間進行通信時,發送方甲為了保護要傳輸的明文信息不被第三方竊取,采用密鑰A對信息進行加密而形成密文M并發送給接收方乙,接收方乙用另一把密鑰B對收到的密文M進行解密,得到明文信息完密文通信目的的方法。由于密鑰A、密鑰B這兩把密鑰中其中一把為用戶私有,另一把對網絡上的大眾用戶是公開的,所以這種信息加密傳輸方式,就稱為公開密鑰加密法。與私有(對稱)密鑰加密法的加密和解密用同一把密鑰的原理不同,公開密鑰加密法的加密與解密所用密鑰是不同的,不對稱,所以公開私有密鑰加密法又稱為非對稱密鑰加密法。
公開密鑰加密法的應用原理是:借助密鑰生成程序生產密鑰A與密鑰B,這兩把密鑰在數學上相關,對稱作密鑰對。用密鑰對其中任何一個密鑰加密時,可以用另一個密鑰解密,而且只能用此密鑰對其中的另一個密鑰解密。在實際應用中,某商家可以把生成的密鑰A與密鑰B做一個約定,將其中一把密鑰如密鑰A保存好,只有商家自己知道并使用,不與別人共享,叫作私人密鑰;將另一把密鑰即密鑰B則通過網絡公開散發出去,誰都可以獲取一把并能應用,屬于公開的共享密鑰,叫做公開密鑰。如果一個人選擇并公布了他的公鑰,其他任何人都可以用這一公鑰來加密傳送給那個人的消息。私鑰是秘密保存的,只有私鑰的所有者才能利用私鑰對密文進行解密,而且非法用戶幾乎不可能從公鑰推導出私鑰。存在下面兩種應用情況:一是任何一個收到商家密鑰B的客戶,都可以用此密鑰B加密信息,發送給這個商家,那么這些加密信息就只能被這個商家的私人密鑰A解密。實現保密性。二是商家利用自己的私人密鑰A對要發送的信息進行加密進成密文信息,發送給商業合作伙伴,那么這個加密信息就只能被公開密鑰B解密。這樣,由于只能應用公開密鑰B解密,根據數學相關關系可以斷定密文的形成一定是運用了私人密鑰A進行加密的結果,而私人密鑰A只有商家擁有,由此可以斷定網上收到的密文一定是擁有私人密鑰A的商家發送的。
(二)使用過程
具體到電子商務,很多環節要用到公開密鑰加密法,例如在網絡銀行客戶與銀行進行資金的支付結算操作時,就涉及大量的資金流信息的安全傳輸與交換。以客戶甲與乙網絡銀行的資金信息傳輸為例,來描述應用公開密鑰加密法在兩種情況下的使用過程。首先,網絡銀行乙通過公開密鑰加密法的密鑰生成程序,生成自己的私人密鑰A與公開密鑰B并數學相關,私人密鑰A由網絡銀行乙自己獨自保存,而公開密鑰B已經通過網絡某種應用形式(如數字證書)分發給網絡銀行的眾多客戶,當然客戶甲也擁有一把網絡銀行乙的公開密鑰B。
1、客戶甲傳送一“支付通知”給網絡銀行乙,要求“支付通知”在傳送中是密文,并且只能由網絡銀行乙解密知曉,從而實現了定點保密通信。客戶甲利用獲得的公開密鑰B在本地對“支付通知”明文進行加密,形成“支付通知”密文,通過網絡將密文傳輸給網絡銀行乙。網絡銀行乙收到“支付通知”密文后,發現只能用自己的私人密鑰A進行解密形成“支付通知”明文,斷定只有自己知曉“支付通知”的內容,的確是發給自己的。
2、網絡銀行乙在按照收到的“支付通知”指令完成支付轉賬服務后,必須回送客戶甲“支付確認”,客戶甲在收到“支付確認”后,斷定只能是網絡銀行乙發來的,而不是別人假冒的,將來可作支付憑證,從而實現對網絡銀行業務行為的認證,網絡銀行不能隨意否認或抵賴。網絡用戶乙在按照客戶甲的要求完成相關資金轉賬后,準備一個“支付確認”明文,在本地利用自己的私人密鑰A對“支付確認”明文進行加密,形成“支付確認”密文,通過網絡將密文傳輸給客戶甲。客戶甲收到“支付確認”密文后,雖然自己有許多密鑰,有自己的,也有別人的,卻發現只能用獲得的網絡銀行乙的公開密鑰B進行解密,形成“支付確認”明文,由于公開密鑰B只能解密由私人密鑰A加密的密文,而私人密鑰A只有網絡銀行乙所有,因此客戶甲斷定這個“支付確認”只能是網絡銀行乙發來的,不是別人假冒的,可作支付完成的憑證。
(三)算法
當前最著名、應用最廣泛的公開密鑰系統是RSA(取自三個創始人的名字的第一個字母)算法。目前電子商務中大多數使用公開密鑰加密法進行加解密和數字簽名的產品和標準使用的都是RSA算法。RSA算法是基于大數的因子分解,而大數的因子分解是數學上的一個難題,其難度隨數的位數加多而提高。
(四)優缺點
優點是可以在不安全的媒體上通信雙方交換信息,不需共享通用密鑰,用于解密的私鑰不需發往任何地方,公鑰在傳遞與過程中即使被截獲,由于沒有與公鑰相匹配的私鑰,截獲公鑰也沒有意義。
能夠解決信息的否認與抵賴問題,身份認證較為方便。密鑰分配簡單,公開密鑰可以像電話號碼一樣,告訴每一個網絡成員,商業伙伴需要好好保管的只是一個私人密鑰。而且密鑰的保存量比起私人密鑰加密少得多,管理較為方便。最大的缺陷就在于它的加解密速度。
三、兩種加密法的比較
通過DES算法和RSA算法的比較說明公開密鑰加密法和私有密鑰加密法的區別:在加密、解密的處理效率方面,DES算法明顯優于RSA算法,即DES算法快得多;在密鑰的分發與管理方面,RSA算法比DES算法更加優越;在安全性方面,只要密鑰夠長,如112b密鑰的DES算法和1024b的RSA算法的安全性就很好,目前還沒找到在可預見的時間內破譯它們的有效方法;在簽名和認證方面,DES算法從原理上不可能實現數字簽名和身份認證,但RSA算法能夠方便容易的進行數字簽名和身份認證。
基于以上比較的結果可以看出,私有密鑰加密法與公開密鑰加密法各有長短,公開密鑰加密在簽名認證方面功能強大,而私有密鑰加密在加/解密速度方面具有很大優勢。為了充分發揮對稱加密法和非對稱加密法各自的優點,在實際應用中通常將這兩種加密法結合在一起使用,比如:利用DES來加密信息,而采用RSA來傳遞對稱加密體制中的密鑰。這樣不僅數據信息的加解密速度快,同時保障了密鑰傳遞的安全性。數據加密技術是信息安全的基本技術,在網絡中使用的越來越廣泛。針對不同的業務要求可以設計或采取不同的加密技術及實現方式。另外還要注意的是,數據加密技術所討論的安全性只是暫時的,因此還要投入對密碼技術新機制、新理論的研究才能滿足不斷增長的信息安全需求。
參考文獻:
[1]丁學君.電子商務中的信息安全問題及其對策[J].計算機安全,2009,(2).
[2]余紹軍,彭銀香.電子商務安全與數據加密技術淺析[J].中國管理信息化(綜合版),2007,(04).
[3]王俊杰.電子商務安全問題及其應對策略[J].特區經濟,2007,(07).
[4]秦昌友.淺析電子商務的安全技術[J].蘇南科技開發,2007,(08).
[5]佩,趙丹.電子商務的安全問題及技術手段[J].光盤技術,2007,(05).
關鍵詞：電子商務；安全；評估；標準
中圖分類號：F239 文獻標志碼：A 文章編號：1673-291X（2012）13-0136-02
一、電子商務安全評估概述
1.電子商務安全評估重要性電子商務安全評估是運用系統的方法，對電子商務系統、各種電子商務安全保護措施、管理機制以及結合所產生的客觀效果作出是否安全的結論。由于信息技術本身有其固有的敏感性和特殊性，這就使得對企業電子商務產品是否安全，電子商務安全產品及其網絡系統是否可靠，企業電子商務系統是否健壯，電子商務管理是否嚴格，信息風險防范的準備是否充足等方面都成為需要科學評價和證實的問題。電子商務安全系統所保護的是敏感信息，評估必須可靠、可信、可操作，并且能依賴于成熟的信息安全理論、科學的評估方法和完善的標準體系，具有令人信服的科學性和公正性。
2.電子商務安全評估內容。電子商務安全評估的主要內容有環境控制、應用安全、管理機制、遠程通信安全、審計機制等五個方面的內容。環境控制分為實體的、操作系統的及管理的三個部分。應用安全包括輸出輸入控制、系統內部控制、責任劃分、輸出的用途、程序的敏感性和脆弱性、用戶滿意度等。管理機制包括規章制度、緊急恢復措施、人事制度（如防止工作人員調入、調離對安全的影響）等。遠程通信安全包括加密、數據簽名等。
二、電子商務安全
1.電子商務安全需求與隱患。在電子商務中，任何與交易有關的信息都通過網絡交換，都有可能會被篡改、竊聽、冒名使用或交易后否認。保證電子商務的安全需提供以下安全保護：（1）完整性保護。確保消息內容在傳輸和處理過程中沒有被添加、刪除或修改。（2）真實性保護。能對交易者身份進行鑒別，為身份的真實性提供保證。（3）機密性保護。能防止電子商務參與者的信息在存儲、處理、傳輸過程中泄漏給未經授權的人或實體。（4）抗抵賴。抗抵賴就是為交易的雙方提供證據，以解決因否認而產生的糾紛。它實際上建立了交易雙方的責任機制。
電子商務面臨著其系統自身的安全性問題，計算機及通信網絡的安全性問題同樣會蔓延到電子商務中。歸結起來，電子商務中的安全患主要有其應用層、傳輸層、存儲層和系統層等四個方面：（1）系統層安全性漏洞。電子商務系統的運作須以系統層的軟硬件為基礎，因此系統層的安全性漏洞將直接會造成電子商務中的安全患。（2）存儲層的安全漏洞。存儲層的安全漏洞包括兩個方面的問題：1）意外情況造成的數據破壞。無論多么穩定的系統，意外情況總是不可避免的，電子商務系統也不例外。如果對意外情況造成的損失沒有充分的估計和完備的補救措施，那么意外情祝造成的數據破壞是不可避免的。而數據破壞將對整個電子商務系統的穩定性和安全性造成威脅。2）有意人為侵害造成的破壞。電子商務起步不久，安全性措施尚不完善，是網絡黑客攻擊的焦點。黑客往往利用電子商務系統中的種種安全性漏洞，竊取和破壞系統數據，甚至修改系統，對整個系統的正常運作造成嚴重危害。因此，一個成功的電子商務系統必須能有效的防止人為侵害。（3）傳輸層的安全漏洞。傳輸層的安全漏洞包括傳輸過程中的數據截獲電子商務系統中的數據在傳輸過程中可能受到截獲，傳輸過程中的數據完整性破壞以及跨平臺數據交換引起的數據丟失等三個方面的問題。（4）應用層的安全漏洞。應用層的安全漏洞包括冒充他人身份和抵賴已經做過的交易兩個方面的問題。
2.電子商務安全要求與技術。電子商務安全要求主要有以下六點：（1）信息的有效性要求。電子形式貿易信息的有效性則是電子商務活動的前提。電子商務信息的有效性將直接關系到個人、企業或國家的經濟利益和聲譽。一旦簽訂交易后，這項交易就應受到保護以防止被篡改或偽造。（2）信息的保密性要求。電子商務作為貿易的一種手段，其信息直接代表著個人、企業或國家的商業機密。電子商務是建立在開放的網絡環境上，維護商業機密是電子商務全面推廣應用的重要保障。因此，要預防非法的信息存取和信息在傳輸過程中被非法竊取。（3）信息的完整性要求。電子商務簡化了貿易過程，減少了人為的干預，同時也帶來維護貿易各方商業信息的完整、統一的問題。由于數據輸入時的意外差錯或欺詐行為，可能導致貿易各方信息的差異。此外，數據傳輸過程中信息的丟失、信息重復或信息傳送的次序差異也會導致貿易各方信息的不同。貿易各方信息的完整性將影響到貿易各方的交易和經營策略，保持貿易各方信息的完整性是電子商務應用的基礎。因此，要預防對信息的隨意生成、修改和刪除，同時要防止數據傳送過程中信息的丟失和重復并保證信息傳送次序的統一。（4）信息的不可抵賴性要求。電子商務可能直接關系到貿易雙方的商業交易，如何確定要進行交易的貿易方正是進行交易所期望的貿易方，這一問題則是保證電子商務順利進行的關鍵。（5）交易身份的真實性要求。交易者身份的真實性是指交易雙方確實是存在的。網上交易的雙方要使交易成功，必須互相信任，確認對方真實，對商家要考慮客戶是否有信譽。（6）系統的可靠性要求。電子商務系統的可靠性是指防止由于計算機失效、程序錯誤、傳輸錯誤、硬件故障、系統軟件錯誤、數據庫出錯、計算機病毒和自然災害所產生的潛在威脅，并加以控制和預防，確保系統安全可靠性。保證計算機系統的安全是保證電子商務系統數據傳輸及電子商務完整性檢查的正確和可靠的根基。
通過使用以下四種電子商務安全密碼技術，可以基本滿足不同的電子商務安全需求。（1）完整性保護技術。完整性保護技術是用于提供消息認證的安全機制。典型的完整性保護技術是消息認證碼是將利用一個帶密鑰的雜湊函數對消息進行計算，產生消息認證碼，并將它附著在消息之后一起傳給接收方，接收方在收到消息后可以重新計算消息認證碼，并將其與接收到的消息認證碼進行比較:如果它們相等，接收方就認為消息沒有被篡改；如果它們不相等，接收方就知道消息在傳輸過程中被篡改了。（2）真實性保護技術。真實性保護技術用來確認某一實體所聲稱的身份，以對抗假冒攻擊。在電子商務中，交易信息通過網絡轉發，可能在傳輸過程有一定的延遲，需要通過數據源鑒別來確認交易信息的真正來源。（3）機密性保護技術。機密性保護技術是為了防止敏感數據泄漏給那些未經授權的實體。（4）抗抵賴技術。抗抵賴技術是為了防止惡意主體事后否認所發生的事實或行為。要解決上述問題，必須在每一事件發生時，留下關于該事件的不可否認證據。當出現糾紛時，可由可信第三方驗證這些留下的證據.這些證據必須具有不可偽造或防篡改的特點。
三、電子商務安全審計
（一）電子商務安全外部審計
外部審計是指審計師對公司電子商務網站的安全工作進行審計，對消費者提供數據安全、商業政策、交易完整、數據隱私等方面的審計。消費者可以通過查詢這些第三方組織的網站進行了解。1998年美國注冊會計師協會（AICPA）先后成立的Elliott委員會和Cohen委員會，可以對電子商務的這方面內容提供鑒證。AICPA對電子商務提供的保證服務主要分為兩個方面：完整性保證系統（Integrity Assurance System）：電子交易中的數據要素是各方同意達成的，并且在數據處理與存儲的過程中保持其完整性，沒有未經授權的修改。安全性保證系統（SecurityAssuranceSystem）：交易雙方的身份驗證以及電子數據沒有未經授權的泄漏。
（二）電子商務安全內部審計
內部審計的作用主要體現在對于電子商務公司內部系統安全和財務風險的管理上，主要包括兩個方面的內容：對電子商務系統的技術審計；對電子商務公司的財務進行審計。
1.技術審計。對電子商務系統進行技術審計的主要內容有三項：（1）紀錄、跟蹤系統的運行狀況。利用審計工具，監視和紀錄系統的活動情況，如紀錄用戶登錄賬號、登錄時間、登錄的終端以及所訪問的文件、存取操作，并放人系統日志中保存在磁盤上，使影響系統安全性的存取以及其他非法操作留下線索，以便審查。（2）檢測各種安全事故。審計工具能檢測和判定對系統的攻擊，如多次使用非法口令登錄系統的嘗試，及時提供報警甚至自動處理，使系統安全管理人員能夠了解系統的運行情況，及時堵住非法入侵者。審計工具還能識別合法用戶的誤操作等。（3）保存、維護和管理審計日志。由于審計日志記錄了審計、跟蹤、檢測各種安全事件的結果，是查找、分析網絡系統安全事件的客觀依據，是重要的系統文檔，必須有可靠的存儲和管理機制。在現代的經濟環境下對電子商務公司的財務進行審計，其審計的職能已經發生了根本性的變化。審計已經從傳統的財務審計過渡到了風險審計與內部控制。因此，運用內部審計可以很好地控制風險的發生。
2.財務審計。對電子商務系統進行財務審計的主要內容有兩項：（1）對電子商務風險設定非財務化監測工具，這種工具可以是數量化的，也可以是非數量化的。比如實時監測服務器訪問者數量，或者使用嗅探器工具網絡監視工具對公司內部網以及國際互聯網出口進行監測。（2）對電子商務風險實行與商業風險并行的另外一套防范方法，但是這種防范措施要與其他風險的防范一起進入風險管理的總的成本與人員控制。
參考文獻：
[1] 劉艷慧.電子商務及其安全性研究與應用[D].天津:天津大學，2008.
[2] 王鐵柱，等.中國電子商務安全性分析與研究[J].河北公安警察職業學院學報，2010，(3).