论文部分内容阅读
摘要：电子商务发展至今，阻碍其发展的关键因素还是安全问题。因为首先其赖以生存的基础是网络，即Internet/Intranet；其次是其和传统的交易方式完全不同，现在交易的双方不再是面对面的，而是被时空、距离所阻隔，因此其安全问题更为重要。电子商务从最初发展开始，就非常重视安全，但它仍摆脱不了网络带给它的安全问题。
关键词：电子商务网络安全
中图分类号：TP393.08 文献标识码：A 文章编号：1006-3315(2008)12-137-02
电子商务的涵义随着网络技术和应用的不断发展，越来越多的企业建立自己的Web站点，以便利、经济的手段在网上展示自己的企业形象，推进本企业的产品，促进了网上交易的发展。形成了一种全新的营销模式——电子商务。电子商务是一种电子交易，是计算机网络与通信技术的互动。本文首先介绍了电子商务的发展，对电子商务的安全问题进行了全面的分析和介绍，从宏观上把握目前电子商务系统的产生背景、目前状况和发展趋势，形成对电子商务系统安全问题的全局了解。介绍了计算机网络安全的知识，通过分析电子商务行业采用的信息加密技术、数字指纹、数字签名、数字时间戳、数字证书，希望能够对电子商务的安全性有所帮助。随着市场经济的发展，网络应用的日趋深化，电子商务这一新兴商业模式已被广泛地接受成为人们进行商务活动的新模式。越来越多的^通过网络进行商务活动，电子商务的发展前景十分诱人，有着极大的发展潜力。由于网络的开放性、透明性和无界限性等特点，使网络应用在信息安全性上存在隐患。因此网络安全问题成为用户非常关注的网络技术之一。网络安全是通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。以确保用户的信息资产。因此安全问题也变得越来越突出，黑客、电脑病毒不时的袭击着互联网。尤其是在互联网上存储和传输着的大量信息，随时受到安全威胁。电子商务作为极具价值的敏感信息之一，关系到电子商务主体单位的商业秘密。所以。在相关单位或企业进行电子商务活动的同时，必须解决其网络信息的安全保密问题。这是每个正在实施或将要实施电子商务的单位和企、业必须正视的一件重要事情。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题。
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露。系统连续可靠正常地运行，网络服务不中断。网络安全从本质上讲就是网络上信息的安全，包括静态信息的存储安全和信息的传输安全。从广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全的研究领域。因此为了保证网络的安全，必须保证以下四个方面的安全：运行系统的安全；网络上系统信息的安全；网络上信息传播安全；网络上信息内容的安全。21世纪全世界的计算机都将通过Internet联系到一起，随着Internet的迅速发展，影响计算机网络安全性的主要因素很多，如：网络环节繁多和系统的复杂性，计算机病毒和黑客，网上信息的知识产权侵入和有害信息的侵入，管理工具的功能，用户的错误使用，物理电磁泄射造成的信息泄漏等等都导致不安全性的隐患存在。在网络安全技术的实施过程中，要注意以下几项：确保物理安全，数据加密技术包括对称密钥加密、非对称加密、不可逆加密技术，使用数字签名技术，网络控制技术中包括：防火墙技术、安全电子交易(SET)协议与CA认证、审计跟踪技术、访问控制技术，入侵检测系统IDS等等，这样就可以避免解决一些安全隐患。
电子商务就是利用电子数据交换、电子邮件、电子资金转帐及Internet的主要技术，在个人间、企业间和国家进行无纸化的业务信息的交换。电子商务是经济全球化和贸易自由化的重要手段。也是传统产业变革和企业技术跨越的关键动力。但是电子商务将关注过多地放在实现数据交换上。对于保证交易数据安全的问题缺乏足够的重视。电子商务是一个时效性非常敏感的系统。当用户点击你的联接向你提出服务请求时，你如果不能立即回复并提供及时的服务，那么顾客就有可能情绪烦躁，注意力分散，甚至弃你而去。所以当系统遭受攻击时，或者在系统的容量不能满足用户的需求时，哪怕系统还没有完全瘫痪，而是步履蹒跚行动迟缓，用户也会纷纷绝尘而去。随着现有解密算法提出的新挑战，忽视数据的安全，会使得交易中的机密信息和敏感信息面临危险。下面介绍几种最常见的加密体制的技术实现：
一、数据加密
数据加密技术主要分为数据传输加密和数据存储加密。数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。链路加密是传输数仅在物理层前的数据链路层进行加密，不考虑信源和信宿，它用于保护通信节点间的数据，接收方是传送路径上的各台节点机，信息在每台节点机内都要被解密和再加密，依次进行，直至到达目的地。与链路加密类似的节点加密方法，是在节点处采用一个与节点机相连的密码装置，密文在该装置中被解密并被重新加密，明文不通过节点机，避免了链路加密节点处易受攻击的缺点。端到端加密是为数据从一端到另一端提供的加密方式。数据在发送端被加密。在接收端解密，中间节点处不以明文的形式出现。端到端加密是在应用层完成的。在端到端加密中，除报头外的报文均以密文的形式贯穿于全部传输过程，只是在发送端和接收端才有加、解密设备，而在中间任何节点报文均不解密，因此，不需要有密码设备，同链路加密相比，可减少密码设备的数量。另一方面，信息是由报头和报文组成的，报文为要传送的信息，报头为路由选择信息。由于网络传输中要涉及到路由选择，在链路加密时，报文和报头两者均须加密。而在端到端加密时，由于通道上的每一个中间节点虽不对报文解密。但为将报文传送到目的地，必须检查路由选择信息，因此，只能加密报文，而不能对报头加密。这样就容易被某些通信分析发觉，而从中获取某些敏感信息。
二、使用防火墙
防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外，使其对防火墙内部资源的访问受到限制。一般说来。防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能。防火墙技术的另外一个弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。此外，防火墙采用滤波技术，滤波通常使网络的性能降低50％以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。作为一种网络安全技术，防火墙具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到一定的安全要求。但是，如果防火墙系统被攻破，则被保护的网络处于无保 护状态。如果一个企业希望在Internet上开展商业活动，与众多的客户进行通信，则防火墙不能满足要求。
三、安全电子交易(SEl")协议与CA认证
SET(Secure Electronic Transaction)协议是维萨(VISA)国际组织、万事达(MasterCard)国际组织创建，结合IBM、Microsoft、Netscope、GTE等公司制定的电子商务中安全电子交易的一个，国际标准。其主要目的是解决信用卡电子付款的安全保障性问题：保证信息的机密性，保证信息安全传输，不能被窃听，只有收件人才能得到和解密信息。保证支付信息的完整性，保证传输数据完整地接收，在中途不被篡改。认证商家和客户。验证公共网络上进行交易活动的商家、持卡人及交易活动的合法性。广泛的互操作性，保证采用的通讯协议、信息格式和标准具有公共适应性，从而可在公共互连网络上集成不同厂商的产品。CA认证系统公共网络系统的安全性则依靠用户、商家的认证，数据的加密及交易请求的合法性验证等多方面措施来保证。电子交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。一般要求建立专门的电子认证中心(CA)以核实用户和商家的真实身份以及交易请求的合法性。认证中心将给用户、商家、银行等进行网络商务活动的个人或集团发电子证书。电子商务中，网上银行的建立，CA的建立是关键，只有建立一个较好的CA体系，才能较好地发展网上银行，才能实现网上支付，电子购物才能真正实现。CA的机构如多方并进，各建各的，以后会出现各CA之间的矛盾。客户的多重认证等。
四、审计跟踪技术
随着网络的飞速发展网络安全问题也越来越受到关注，传统的网络安全产品主要是防火墙、VPN、入侵检测系统等，这些产品虽然对于来自外部的攻击等具有较好的防护作用。但是要么忽略了对网络和系统内部安全的防护，要么对网络内部的一些安全漏洞和安全犯罪无法实时准确的发现，无法提供各种信息以供事后管理员和相关人员的审计和分析。更进一步，目前政府、行业、企业对于网络信息的保密程度和信息流的可控制性有了越来越高的要求。因此，迫切需要一种技术来保证系统内部的安全性和网络信息的安全性。要保证网络信息和内部信息的内容安全，必须要有相应的安全技术的发展。安全审计技术就是在此基础上发展起来的，基于内容的安全审计系统可以在被监控对象毫无察觉的情况下，对网络信息的内容进行实时的处理和分析，记录各种信息，包括源地址、目的地址、源端口号、目的端口号、服务类型。发生时间、用户名、IP地址等，这些信息可以让系统管理人员和有关人员事后进行审计和分析，以便及时发现系统存在的问题并采取相应的安全管理措施，同时还能对系统本身可能存在的安全漏洞或缺陷进行预测。
五、访问控制技术
访问控制技术通过控制与检查进出关键服务器中的访问，保护服务器中的关键数据。它是一种主机防护技术。如果说安全保护就像保护自己的球网不被攻破一样，防火墙是中卫、IDS是后卫，则访问控制就是守门员——随时准备扑出任何非法的进入。
六、入侵检测系统IDS
一般来说，入侵检测系统可分为主机型和网络型。主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段(如监督系统调用)从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式(promise mode)。监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。
电子商务领域的安全问题一直是备受关注的问题，因此如何更好的解决这个问题是推进电子商务更好更快发展的动力。但是因为安全问题是不断发展变化的，所以解决安全问题的手段也会不断变化。但变化中有不变。这就是所要解决的根本问题是不变的。由于系统中安全隐患已知或未知的还有许多，黑客的攻击手段和技术也在不断地提高，故应加强网络系统内部管理，树立计算机安全意识，减少人为因素造成的破坏，网管人员应对网络运行状态进行实时监控。以便随时发现可能的入侵行为。针对网络系统中的薄弱环节，还应该不断探寻更安全的网络技术。所以电子商务网络的安全问题将是一个不断前进、摸索和完善的过程。利用网络进行信息交流。实现资源共享。将会给我们的生活带来无尽的好处，而网络的安全可以说保证了计算机技术造福于人类社会。因而，对“网络安全”的“技术问题”进行有系统的研究，无疑是具有深远的意义!
关键词：电子商务网络安全
中图分类号：TP393.08 文献标识码：A 文章编号：1006-3315(2008)12-137-02
电子商务的涵义随着网络技术和应用的不断发展，越来越多的企业建立自己的Web站点，以便利、经济的手段在网上展示自己的企业形象，推进本企业的产品，促进了网上交易的发展。形成了一种全新的营销模式——电子商务。电子商务是一种电子交易，是计算机网络与通信技术的互动。本文首先介绍了电子商务的发展，对电子商务的安全问题进行了全面的分析和介绍，从宏观上把握目前电子商务系统的产生背景、目前状况和发展趋势，形成对电子商务系统安全问题的全局了解。介绍了计算机网络安全的知识，通过分析电子商务行业采用的信息加密技术、数字指纹、数字签名、数字时间戳、数字证书，希望能够对电子商务的安全性有所帮助。随着市场经济的发展，网络应用的日趋深化，电子商务这一新兴商业模式已被广泛地接受成为人们进行商务活动的新模式。越来越多的^通过网络进行商务活动，电子商务的发展前景十分诱人，有着极大的发展潜力。由于网络的开放性、透明性和无界限性等特点，使网络应用在信息安全性上存在隐患。因此网络安全问题成为用户非常关注的网络技术之一。网络安全是通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。以确保用户的信息资产。因此安全问题也变得越来越突出，黑客、电脑病毒不时的袭击着互联网。尤其是在互联网上存储和传输着的大量信息，随时受到安全威胁。电子商务作为极具价值的敏感信息之一，关系到电子商务主体单位的商业秘密。所以。在相关单位或企业进行电子商务活动的同时，必须解决其网络信息的安全保密问题。这是每个正在实施或将要实施电子商务的单位和企、业必须正视的一件重要事情。如何建立一个安全、便捷的电子商务应用环境，对信息提供足够的保护，已经成为商家和用户都十分关心的话题。
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露。系统连续可靠正常地运行，网络服务不中断。网络安全从本质上讲就是网络上信息的安全，包括静态信息的存储安全和信息的传输安全。从广义上讲，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全的研究领域。因此为了保证网络的安全，必须保证以下四个方面的安全：运行系统的安全；网络上系统信息的安全；网络上信息传播安全；网络上信息内容的安全。21世纪全世界的计算机都将通过Internet联系到一起，随着Internet的迅速发展，影响计算机网络安全性的主要因素很多，如：网络环节繁多和系统的复杂性，计算机病毒和黑客，网上信息的知识产权侵入和有害信息的侵入，管理工具的功能，用户的错误使用，物理电磁泄射造成的信息泄漏等等都导致不安全性的隐患存在。在网络安全技术的实施过程中，要注意以下几项：确保物理安全，数据加密技术包括对称密钥加密、非对称加密、不可逆加密技术，使用数字签名技术，网络控制技术中包括：防火墙技术、安全电子交易(SET)协议与CA认证、审计跟踪技术、访问控制技术，入侵检测系统IDS等等，这样就可以避免解决一些安全隐患。
电子商务就是利用电子数据交换、电子邮件、电子资金转帐及Internet的主要技术，在个人间、企业间和国家进行无纸化的业务信息的交换。电子商务是经济全球化和贸易自由化的重要手段。也是传统产业变革和企业技术跨越的关键动力。但是电子商务将关注过多地放在实现数据交换上。对于保证交易数据安全的问题缺乏足够的重视。电子商务是一个时效性非常敏感的系统。当用户点击你的联接向你提出服务请求时，你如果不能立即回复并提供及时的服务，那么顾客就有可能情绪烦躁，注意力分散，甚至弃你而去。所以当系统遭受攻击时，或者在系统的容量不能满足用户的需求时，哪怕系统还没有完全瘫痪，而是步履蹒跚行动迟缓，用户也会纷纷绝尘而去。随着现有解密算法提出的新挑战，忽视数据的安全，会使得交易中的机密信息和敏感信息面临危险。下面介绍几种最常见的加密体制的技术实现：
一、数据加密
数据加密技术主要分为数据传输加密和数据存储加密。数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。链路加密是传输数仅在物理层前的数据链路层进行加密，不考虑信源和信宿，它用于保护通信节点间的数据，接收方是传送路径上的各台节点机，信息在每台节点机内都要被解密和再加密，依次进行，直至到达目的地。与链路加密类似的节点加密方法，是在节点处采用一个与节点机相连的密码装置，密文在该装置中被解密并被重新加密，明文不通过节点机，避免了链路加密节点处易受攻击的缺点。端到端加密是为数据从一端到另一端提供的加密方式。数据在发送端被加密。在接收端解密，中间节点处不以明文的形式出现。端到端加密是在应用层完成的。在端到端加密中，除报头外的报文均以密文的形式贯穿于全部传输过程，只是在发送端和接收端才有加、解密设备，而在中间任何节点报文均不解密，因此，不需要有密码设备，同链路加密相比，可减少密码设备的数量。另一方面，信息是由报头和报文组成的，报文为要传送的信息，报头为路由选择信息。由于网络传输中要涉及到路由选择，在链路加密时，报文和报头两者均须加密。而在端到端加密时，由于通道上的每一个中间节点虽不对报文解密。但为将报文传送到目的地，必须检查路由选择信息，因此，只能加密报文，而不能对报头加密。这样就容易被某些通信分析发觉，而从中获取某些敏感信息。
二、使用防火墙
防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外，使其对防火墙内部资源的访问受到限制。一般说来。防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能。防火墙技术的另外一个弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。此外，防火墙采用滤波技术，滤波通常使网络的性能降低50％以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。作为一种网络安全技术，防火墙具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到一定的安全要求。但是，如果防火墙系统被攻破，则被保护的网络处于无保 护状态。如果一个企业希望在Internet上开展商业活动，与众多的客户进行通信，则防火墙不能满足要求。
三、安全电子交易(SEl")协议与CA认证
SET(Secure Electronic Transaction)协议是维萨(VISA)国际组织、万事达(MasterCard)国际组织创建，结合IBM、Microsoft、Netscope、GTE等公司制定的电子商务中安全电子交易的一个，国际标准。其主要目的是解决信用卡电子付款的安全保障性问题：保证信息的机密性，保证信息安全传输，不能被窃听，只有收件人才能得到和解密信息。保证支付信息的完整性，保证传输数据完整地接收，在中途不被篡改。认证商家和客户。验证公共网络上进行交易活动的商家、持卡人及交易活动的合法性。广泛的互操作性，保证采用的通讯协议、信息格式和标准具有公共适应性，从而可在公共互连网络上集成不同厂商的产品。CA认证系统公共网络系统的安全性则依靠用户、商家的认证，数据的加密及交易请求的合法性验证等多方面措施来保证。电子交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。一般要求建立专门的电子认证中心(CA)以核实用户和商家的真实身份以及交易请求的合法性。认证中心将给用户、商家、银行等进行网络商务活动的个人或集团发电子证书。电子商务中，网上银行的建立，CA的建立是关键，只有建立一个较好的CA体系，才能较好地发展网上银行，才能实现网上支付，电子购物才能真正实现。CA的机构如多方并进，各建各的，以后会出现各CA之间的矛盾。客户的多重认证等。
四、审计跟踪技术
随着网络的飞速发展网络安全问题也越来越受到关注，传统的网络安全产品主要是防火墙、VPN、入侵检测系统等，这些产品虽然对于来自外部的攻击等具有较好的防护作用。但是要么忽略了对网络和系统内部安全的防护，要么对网络内部的一些安全漏洞和安全犯罪无法实时准确的发现，无法提供各种信息以供事后管理员和相关人员的审计和分析。更进一步，目前政府、行业、企业对于网络信息的保密程度和信息流的可控制性有了越来越高的要求。因此，迫切需要一种技术来保证系统内部的安全性和网络信息的安全性。要保证网络信息和内部信息的内容安全，必须要有相应的安全技术的发展。安全审计技术就是在此基础上发展起来的，基于内容的安全审计系统可以在被监控对象毫无察觉的情况下，对网络信息的内容进行实时的处理和分析，记录各种信息，包括源地址、目的地址、源端口号、目的端口号、服务类型。发生时间、用户名、IP地址等，这些信息可以让系统管理人员和有关人员事后进行审计和分析，以便及时发现系统存在的问题并采取相应的安全管理措施，同时还能对系统本身可能存在的安全漏洞或缺陷进行预测。
五、访问控制技术
访问控制技术通过控制与检查进出关键服务器中的访问，保护服务器中的关键数据。它是一种主机防护技术。如果说安全保护就像保护自己的球网不被攻破一样，防火墙是中卫、IDS是后卫，则访问控制就是守门员——随时准备扑出任何非法的进入。
六、入侵检测系统IDS
一般来说，入侵检测系统可分为主机型和网络型。主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段(如监督系统调用)从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式(promise mode)。监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。
电子商务领域的安全问题一直是备受关注的问题，因此如何更好的解决这个问题是推进电子商务更好更快发展的动力。但是因为安全问题是不断发展变化的，所以解决安全问题的手段也会不断变化。但变化中有不变。这就是所要解决的根本问题是不变的。由于系统中安全隐患已知或未知的还有许多，黑客的攻击手段和技术也在不断地提高，故应加强网络系统内部管理，树立计算机安全意识，减少人为因素造成的破坏，网管人员应对网络运行状态进行实时监控。以便随时发现可能的入侵行为。针对网络系统中的薄弱环节，还应该不断探寻更安全的网络技术。所以电子商务网络的安全问题将是一个不断前进、摸索和完善的过程。利用网络进行信息交流。实现资源共享。将会给我们的生活带来无尽的好处，而网络的安全可以说保证了计算机技术造福于人类社会。因而，对“网络安全”的“技术问题”进行有系统的研究，无疑是具有深远的意义!