如何保证电子商务的安全问题的探讨
电子商务安全技术的分析与研究
[摘 要] 本文首先介绍了电子商务安全的现状，分析了存在的主要问题，然后从网络安全技术、数据加密技术、用户认证技术等方面介绍了主要的电子安全技术，并提出了一个合理的电子商务安全体系架构。
[关键词] 电子商务电子支付 安全技术
一、引言
随着网络技术和信息技术的飞速发展，电子商务得到了越来越广泛的应用，越来越多的企业和个人用户依赖于电子商务的快捷、高效。它的出现不仅为Internet的发展壮大提供了一个新的契机，也给商业界注入了巨大的能量。但电子商务是以计算机网络为基础载体的，大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，在这样的情况下，安全性问题成为首要问题。
二、目前电子商务存在的安全性问题
1.网络协议安全性问题：目前，TCP/IP协议是应用最广泛的网络协议，但由于TCP/IP本身的开放性特点，企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。
2.用户信息安全性问题：目前最主要的电子商务形式是基于B/S(Browser/Server)结构的电子商务网站，用户使用浏览器登录网络进行交易，由于用户在登录时使用的可能是公共计算机，如网吧、办公室的计算机等情况，那么如果这些计算机中有恶意木马程序或病毒，这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题：有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患，服务器操作系统本身也会有漏洞，不法攻击者如果进入电子商务网站，大量用户信息及交易信息将被窃取，给企业和用户造成难以估量的损失。
三、电子商务安全性要求
1.服务的有效性要求：电子商务系统应能防止服务失败情况的发生，预防由于网络故障和病毒发作等因素产生的系统停止服务等情况，保证交易数据能准确快速的传送。
2.交易信息的保密性要求：电子商务系统应对用户所传送的信息进行有效的加密，防止因信息被截取破译，同时要防止信息被越权访问。
3.数据完整性要求：数字完整性是指在数据处理过程中，原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正，交易的文件是不可被修改的，否则必然会损害一方的商业利益。
4.身份认证的要求：电子商务系统应提供安全有效的身份认证机制，确保交易双方的信息都是合法有效的，以免发生交易纠纷时提供法律依据。
四、电子商务安全技术措施
1.数据加密技术。对数据进行加密是电子商务系统最基本的信息安全防范措施．其原理是利用加密算法将信息明文转换成按一定加密规则生成的密文后进行传输，从而保证数据的保密性。使用数据加密技术可以解决信息本身的保密性要求。数据加密技术可分为对称密钥加密和非对称密钥加密。
(1)对称密钥加密(SecretKeyEncryption)。对称密钥加密也叫秘密/专用密钥加密，即发送和接收数据的双方必须使用相同的密钥对明文进行加密和解密运算。它的优点是加密、解密速度快，适合于对大量数据进行加密，能够保证数据的机密性和完整性；缺点是当用户数量大时，分配和管理密钥就相当困难。
(2)非对称密钥加密(PublicKeyEncryption)。非对称密钥加密也叫公开密钥加密，它主要指每个人都有一对惟一对应的密钥:公开密钥(简称公钥)和私人密钥(简称私钥)公钥对外公开，私钥由个人秘密保存，用其中一把密钥来加密，就只能用另一把密钥来解密。非对称密钥加密算法的优点是易于分配和管理，缺点是算法复杂，加密速度慢。
(3)复杂加密技术。由于上述两种加密技术各有长短，目前比较普遍的做法是将两种技术进行集成。例如信息发送方使用对称密钥对信息进行加密，生成的密文后再用接收方的公钥加密对称密钥生成数字信封，然后将密文和数字信封同时发送给接收方，接收方按相反方向解密后得到明文。
2.数字签名技术。数字签名是通过特定密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证所无法比拟的。数字签名技术可以保证信息传送的完整性和不可抵赖性。
3.认证机构和数字证书。由于电子商务中的交易一般不会有使用者面对面进行，所以对交易双方身份的认定是保障电子商务交易安全的前提。认证机构是一个公立可信的第三方，用以证实交易双方的身份，数字证书是由认证机构签名的包括公开密钥拥有者身份信息以及公开密钥的文件。在交易支付过程中，参与方必须利用认证中心签发的数字证书来证明自己的身份。
4.使用安全电子交易协议(SET:Secure Electronic Transactions)。是由VISA 和MasterCard两大信用卡组织指定的标准。SET用于划分与界定电子商务活动中各方的权利义务关系，给定交易信息传送流程标准。SET协议保证了电子商务系统的保密性、完整性、不可否认性和身份的合法性。
五、结束语
电子商务是国民经济和社会信息化的重要组成部分，而安全性则是关系电子商务能否迅速发展的重要因素。电子商务的安全是一个复杂系统工程，仅从技术角度防范是远远不够的，还必须完善电子商务方面的立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进电子商务又好又快地发展。
参考文献:
[1]覃 征 李顺东:电子商务概论[M].北京:高等教育出版社，2002.06．
[2]余小兵:浅谈电子商务中的安全问题[J].科技咨询导报，2007.02
[3]曾凤生:电子商务安全需求及防护策略[J].数据库及信息管理，2007.06
仅供参考，请自借鉴。
希望对您有帮助。
相对于传统市场而言，电子商务的安全管控比较困难。外贸电子商务平台由于时间及空间的限制以及信息的不对称、不及时等，往往会让一些不法分子有机可乘。因此对电子商务平台而言，确保电子商务交易的安全是进行网上交易行为的首要的条件，可从以下几点着手进行：
一、强化安全观念
进行在线交易不能对安全抱有丝毫不谨慎的态度，因为计算机中安装了防火墙或者特殊的加密软件，所以认为黑客是攻不进来的，这种观念绝对不可取。因为目前还没有一种软件或者安全系统声称能达到100%的安全可靠，所以不能盲目地相信交易系统，必须趁早做好安全防范的多项准备工作才是明智之举。
二、确保密码安全
密码需要有足够的长度并及时更新才算是比较安全的，使用字母和数字混合的密码较为理想。需要输入交易密码时，尽量使用网站提供的软键盘，软键盘上的数字是随机产生的，并不固定，而我们使用的电脑键盘完全则是固定的，并且基本都一样，很容易被黑客控制监视。所以，使用软键盘来输入交易密码是防止密码被盗的一个有效措施。同时经常修改密码对账号的安全也能起到很好的保护作用，建议每90天更换一次密码。
三、杜绝交易电脑的记忆功能
因为有些程序不但能记录用户的击键动作，甚至还可以以快照的形式记录到屏幕上发生的一切，还有些程序能将击键字母记录到根目录下的某一特定文件中，而这一文件可以用文本编辑器来查看。同时，许多网站会用不易察觉的技术，暗中搜集你填写在表格中的电子邮件地址信息，最常见的就是利用Cookie记录访问者上网的浏览行为和习惯。应该将浏览器设置为“不接受Cookie”，并且养成每完成一次交易就立即从硬盘中清除Cookie信息的良好习惯。能够确保商家交易过程和个人财务资料的安全。
四、时刻警惕病毒的袭击
病毒在因特网上传播的速度越来越快，为防止主动感染病毒，平台运营系统电脑不要访问境外一些不甚了解的网站，更不能贸然下载和运行来历不明的程序。如果收到一封带有附件的电子邮件，且附件的扩展名为.exe，或者访问某个境外网站时跳出需要执行某一程序，千万不能随意运行它，因为它可能是一个系统破坏程序。
五、交易过程中发现计算机异常时应及时中断交易
在网上交易时，发现计算机的运行速度变慢时，就应该提高警惕了。这有可能是攻击者正在入侵您的电脑，监视您的操作。遇到此类现象后，应该及时中断交易，重新启动计算机，然后对这种可疑的现象进行排查。
六、网上交易时切记使用SSL功能
SSL功能可以防止交易过程中出现窥视者。
信息安全对企业来说，在很多时候是是决定其命运的，因此要想更为有效高效的利用电子商务这个平台，这些问题就必须引起高度重视。
1 电子商务所面临的信息安全威胁
（1）平台的自然物理威胁：由于电子商务通过网络传输进行，因此诸如电磁辐射干扰以及网络设备老化带来的传输缓慢甚至中断等自然威胁难以预测，而这些威胁将直接影响信息安全。此外，人为破坏商务系统硬件，篡改删除信息内容等行为，也会给企业造成损失。
此外，通过电磁辐射、搭线以及串音等手段等都可以让恶意攻击者通过接收装置来截取企业的信息，或者通过分析文件代码，获取账户密码等私密信息，以企业身份进行消费或发言，这对于企业的损失更是难以估计的。
（2）商务软件本身存在的漏洞：任何一种商务软件的程序都具有复杂性和编程多样性，而对于程序而言，越复杂意味着漏洞出现的可能性越大。这样的漏洞加上操作系统本身存在的漏洞，再加上TCP/IP通信协议的先天安全缺陷，商务信息安全就像是一扇扇可打开的门，遭遇威胁的可能性随着计算机网络技术的不断普及而越来越大。
（3）黑客入侵：在诸多威胁中，病毒式最不可控制的，其主要作用是损坏计算机文件，且具有繁殖功能。配合越来越便捷的网络环境，计算机病毒的破坏力与日俱增。而目前黑客所惯用的木马程序则更有目的性，本地计算机所记录的登录信息都会被木马程序篡改，从而造成信息之外的文件和资金遭窃。
（4）安全环境恶化：由于在计算机及网络技术方面发展较为迟缓，我国在很多硬件核心设备方面依然以进口采购为主要渠道，不能自主生产也意味着不能自主控制，除了生产技术、维护技术也相应依靠国外引进，这也就让国内的电子商务无法看到眼前的威胁以及自身软件的应付能力。
2 电子商务在信息安全方面的注意点
（1）电子商务的保密性应该是第一位的，信息应该只为授权的用户使用。对授权用户的相关个人信息进行严格保密是电子商务大范围推广应用的最关键保障。
（2）商务信息的完整性，只读特性以及修改授权问题是电子商务信息需要攻克的一大难关。信息在传输过程中必须保持原内容，不能因技术、环境以及刻意原因而轻易被更改。否则交易的平台本身就存在不公平。
（3）真实可靠的信息时商务活动中必备的，而电子商务在这方面显得更为薄弱，如何保证信息未经病毒文件感染、能够正常使用，是电子商务安全保障环节的又一课题。
（4）交易诚信问题也存在于隔空交易当中，电子商务信息在传输当中，保证传输速度和内容真实的情况下，交易方不能对已完成的交易操作产生反悔，一旦因商务平台外的问题二取消或质疑交易操作，对方的利益将蒙受损失。
1. 网络节点的安全
防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,从而保护内部网免受非法用户的侵入,它其实就是一个把互联网与内部网(通常指局域网或城域网)隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击,为电子商务的施展提供一个相对更安全的平台。
防火墙是在连接Internet和Intranet保证安全最为有效的方法,防火墙能够有效地监视网络的通信信息,并记忆通信状态,从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的Intranet系统。应给予特别注意的是,防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统,而没有全面的安全策略,那么防火墙就形同虚设。
2. 通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度,也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制,
SSL
首先要求服务器向浏览器出示它的证书,证书包括一个公钥,由一家可信证书授权机构(CA中心)签发。浏览器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥(
PKI) 。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载可以在访问之前或访问时)
。验证此证书是合法的服务器证书通过后利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。
3. 应用程序的安全性
即使正确地配置了访问控制规则,要满足计算机系统的安全性也是不充分的,因为编程错误也可能引致攻击。程序错误有以下几种形式:程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件,特别是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可;程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制(最少许可)
,程序员认为这个缺省的许可是正确的。
这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令,特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如,缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为,才能发现像这些问题一样的错误。
4. 用户的认证管理
(1) 身份认证。电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份,
IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。
(2)
CA证书。要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就是CA证书,它由认证授权中心(CA中心)发行。认证中心(CA)就是承担网上安全交易认证服务,能签发数字证书,并能确认用户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。
(3)
安全套接层SSL协议。安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。
SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构(CA,Certificate
Authority)获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书发布者的名称、证书所有者的公开密钥、证书发布者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。
SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议(如Ht2tp、Ftp、Telnet等)以保证应用层数据传输的安全性。SSL协议握手流程由两个阶段组成:服务器认证和用户认证。
资料来源：http://news.netshop168.com/lxwm/0114250157.html
电子商务安全技术的分析与研究
[摘 要] 本文首先介绍了电子商务安全的现状，分析了存在的主要问题，然后从网络安全技术、数据加密技术、用户认证技术等方面介绍了主要的电子安全技术，并提出了一个合理的电子商务安全体系架构。
[关键词] 电子商务电子支付 安全技术
一、引言
随着网络技术和信息技术的飞速发展，电子商务得到了越来越广泛的应用，越来越多的企业和个人用户依赖于电子商务的快捷、高效。它的出现不仅为Internet的发展壮大提供了一个新的契机，也给商业界注入了巨大的能量。但电子商务是以计算机网络为基础载体的，大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，在这样的情况下，安全性问题成为首要问题。
二、目前电子商务存在的安全性问题
1.网络协议安全性问题：目前，TCP/IP协议是应用最广泛的网络协议，但由于TCP/IP本身的开放性特点，企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。
2.用户信息安全性问题：目前最主要的电子商务形式是基于B/S(Browser/Server)结构的电子商务网站，用户使用浏览器登录网络进行交易，由于用户在登录时使用的可能是公共计算机，如网吧、办公室的计算机等情况，那么如果这些计算机中有恶意木马程序或病毒，这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题：有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患，服务器操作系统本身也会有漏洞，不法攻击者如果进入电子商务网站，大量用户信息及交易信息将被窃取，给企业和用户造成难以估量的损失。
三、电子商务安全性要求
1.服务的有效性要求：电子商务系统应能防止服务失败情况的发生，预防由于网络故障和病毒发作等因素产生的系统停止服务等情况，保证交易数据能准确快速的传送。
2.交易信息的保密性要求：电子商务系统应对用户所传送的信息进行有效的加密，防止因信息被截取破译，同时要防止信息被越权访问。
3.数据完整性要求：数字完整性是指在数据处理过程中，原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正，交易的文件是不可被修改的，否则必然会损害一方的商业利益。
4.身份认证的要求：电子商务系统应提供安全有效的身份认证机制，确保交易双方的信息都是合法有效的，以免发生交易纠纷时提供法律依据。
答：4、入侵检测技术。它是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全技术。它是网站的第二道安全门。5、安全认证技术。它可以确认交易方不是冒名，确认得到的信息是来自声称方，保证信息的完整和真实性未被人篡改。二、管理措施方面 它包括网站员工的管理、设备管理...
答：(1)应用数字签名。数字签名是用来保证信息传输过程中信息的完整和提供信息发送者身份的认证，应用数字签名可在电子商务中安全，方便地实现在线支付，而数据传输的安全性、完整性，身份验证机制以及交易的不可抵赖性等均可通过电子签名的安全认证手段加以解决。(2)配置防火墙。防火墙是在两个网络通讯时执行的...
答：而电子商务活动中的交易行为是通过网路进行的，买卖双方互不见面，因而缺乏传统交易中的信任感和安全感。 美国密执安大学一个调查机构通过对23000名因特网使用者的调查显示，超过60%的人由于电子商务的安全问题而不愿进行网上购物。任何个人、企业或商业机构以及银行都不会通过一个不安全的网路进行商务...
答：针对电子商务存在的问题,应该制定怎样的措施1 安全问题——电子商务高速发展的重要保证长期以来,基于开放性网络的电子商务,由于电子线路的可窃听性、电子信息的可复制性以及互联网软、硬件存在的一些缺陷,致使黑
答：如果不采用加密技术，则会影响电子商务的发展，或者成为发展的瓶颈。三、完善管理机制 安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手，仅...
答：电子商务安全要求包括四个方面：（1）数据传输的安全性。对数据传输的安全性需求即是保证在公网上传送的数据不被第三方窃取。对数据的安全性保护是通过采用数据加密（包括秘密密钥加密和公开密钥加密）来实现的，数字信封技术是结合秘密密钥加密和公开密钥加密技术实现的保证数据安全性的技术。（2）数据的完整...
答：如何保证信息未经病毒文件感染、能够正常使用，是电子商务安全保障环节的又一课题。（4）交易诚信问题也存在于隔空交易当中，电子商务信息在传输当中，保证传输速度和内容真实的情况下，交易方不能对已完成的交易操作产生反悔，一旦因商务平台外的问题二取消或质疑交易操作，对方的利益将蒙受损失。
答：接收方在接收数据后也不能抵赖。（7）内部网的严密性 企业的内部网一方面有着大量需要保密的信息，另一方面传递着企业内部的大量指令，控制着企业的业务流程。企业内部网一旦被恶意侵入，可能给企业带来极大的混乱与损失。保证内部网不被非法侵入，也是开展电子商务的企业应着重考虑的一个安全问题。
答：电子商务的安全问题？因涉及面比较广，已经不是局部问题，成为全球性的关注焦点。1、电子商务安全首先是法律问题。2、其次是一个复杂的管理问题。3、同时又是一个安全技术问题。工具/原料 计算机网络 方法/步骤 因为电子商务是新型的商业运作模式，涉及信息网络技术、电子技术、数据处理在商贸领域的综合运用...
答：电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也...
