導(dǎo)語(yǔ)：如何才能寫好一篇電子商務(wù)安全論文，這就需要搜集整理更多的資料和文獻(xiàn)，歡迎閱讀由公文云整理的十篇范文，供你借鑒。

篇1

關(guān)鍵詞：電子商務(wù)；身份認(rèn)證；防火墻

1引言

電子商務(wù)可以增加銷售額并降低成本的優(yōu)勢(shì)，使得政府與企業(yè)都十分重視并推動(dòng)電子商務(wù)的建設(shè)和發(fā)展。電子商務(wù)發(fā)展到今天,主要問題在于時(shí)空的分離導(dǎo)致了安全問題的出現(xiàn),信息的安全性是當(dāng)前發(fā)展電子商務(wù)最迫切需要解決的問題之一。研究和分析電子商務(wù)的安全性問題,特別是針對(duì)企業(yè)自身情況,充分借鑒以往電子商務(wù)系統(tǒng)開發(fā)的先進(jìn)技術(shù)和經(jīng)驗(yàn),開發(fā)出符合企業(yè)特殊的電子商務(wù)系統(tǒng),已經(jīng)成為目前發(fā)展電子商務(wù)的關(guān)鍵，而安全體系的構(gòu)建顯得尤為重要。

2電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國(guó)迅速發(fā)展。實(shí)現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動(dòng)過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對(duì)面的，因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。時(shí)空的分離導(dǎo)致了安全問題的出現(xiàn)，電子商務(wù)交易雙方（銷售者和消費(fèi)者）都面臨安全威脅，電子商務(wù)的安全要素主要體現(xiàn)在以下幾個(gè)方面：

2.1信息真實(shí)性、有效性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實(shí)性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實(shí)性將直接關(guān)系到個(gè)人、企業(yè)或國(guó)家的經(jīng)濟(jì)利益和聲譽(yù)。

2.2信息機(jī)密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報(bào)文來達(dá)到保守機(jī)密的目的。電子商務(wù)是建立在一個(gè)較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

3.3信息完整性

電子商務(wù)簡(jiǎn)化了貿(mào)易過程，減少了人為的干預(yù)，同時(shí)也帶來維護(hù)商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲(chǔ)及電子商務(wù)完整性檢查的正確和可靠。

3.4信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^；不可否認(rèn)要求即是能建立有效的責(zé)任機(jī)制，防止實(shí)體否認(rèn)其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)。在1nternet上每個(gè)人都是匿名的，電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

3電子商務(wù)安全系統(tǒng)

網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。為了保證電子商務(wù)交易能順利進(jìn)行，要求電子商務(wù)平臺(tái)要穩(wěn)定可靠，能不中斷地提供服務(wù)。任何系統(tǒng)的中斷，如硬件、軟件錯(cuò)誤，網(wǎng)絡(luò)故障、病毒等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時(shí)刻和地點(diǎn)的有效性得不到保證，往往會(huì)造成巨大的經(jīng)濟(jì)損失。

所以就整個(gè)電子商務(wù)安全系統(tǒng)而言，安全性可以劃分為四個(gè)層次，

1)網(wǎng)絡(luò)節(jié)點(diǎn)的安全

2)通訊的安全性

3)應(yīng)用程序的安全性

4)用戶的認(rèn)證管理

其中2、3、4是通過操作系統(tǒng)和Web服務(wù)器軟件實(shí)現(xiàn)，而網(wǎng)絡(luò)節(jié)點(diǎn)的安全性依靠防火墻保證，我們應(yīng)該首先保證網(wǎng)絡(luò)節(jié)點(diǎn)的安全性。

3.1網(wǎng)絡(luò)節(jié)點(diǎn)的安全

防火墻是一種由計(jì)算機(jī)硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個(gè)安全網(wǎng)關(guān)，從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入，它其實(shí)就是一個(gè)把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊，為電子商務(wù)的施展提供個(gè)相對(duì)更安全的平臺(tái)。

防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運(yùn)用這些功能，制定正確的安全策略，將能提供一個(gè)安全、高效的Intranet系統(tǒng)。應(yīng)給予特別注意的是，防火墻不僅僅是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個(gè)部分。安全策略建立了全方位的防御體系來保護(hù)機(jī)構(gòu)的信息資源，這種安全策略應(yīng)包括：規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施，以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級(jí)別加以保護(hù)。僅設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。

3.2通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強(qiáng)度，也可以考慮將加密強(qiáng)度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機(jī)制，SSL首先要求服務(wù)器向?yàn)g覽器出示它的證書，證書包括一個(gè)公鑰，由一家可信證書授權(quán)機(jī)構(gòu)（CA中心）簽發(fā)。瀏覽器要驗(yàn)征服務(wù)器證書的正確性，必須事先安裝簽發(fā)機(jī)構(gòu)提供的基礎(chǔ)公共密鑰（PKI）。建立SSL鏈接不需要一定有個(gè)人證書，實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書（下載可以在訪問之前或訪問時(shí)）。驗(yàn)證此證書是合法的服務(wù)器證書通過后利用該證書對(duì)稱加密算法（RSA）與服務(wù)器協(xié)商一個(gè)對(duì)稱算法及密鑰，然后用此對(duì)稱算法加密傳輸?shù)拿魑摹４藭r(shí)瀏覽器也會(huì)出進(jìn)入安全狀態(tài)的提示。

3.3應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計(jì)算機(jī)系統(tǒng)的安全性也是不充分的，因?yàn)榫幊体e(cuò)誤也可能引致攻擊。程序錯(cuò)誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時(shí)；程序員忘記最小特權(quán)的基本原則。整個(gè)程序都是在特權(quán)模式下運(yùn)行，而不是只有有限的指令子集在特權(quán)模式下運(yùn)行，其他的部分只有縮小的許可；程序員從這個(gè)特權(quán)程序使用范圍內(nèi)建立一個(gè)資源，如一個(gè)文件和目錄。不是顯式地設(shè)置訪問控制（最少許可），程序員認(rèn)為這個(gè)缺省的許可是正確的。

這些缺點(diǎn)都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個(gè)過長(zhǎng)的字符串來實(shí)現(xiàn)的。程序不檢查輸入字符串長(zhǎng)度。假的輸入字符串常常是可執(zhí)行的命令，特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個(gè)用戶并賦予這個(gè)用戶特權(quán)。訪問控制系統(tǒng)中沒有什么可以檢測(cè)到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現(xiàn)象這些問題一樣的錯(cuò)誤。

3.4用戶的認(rèn)證管理

1)身份認(rèn)證

電子商務(wù)企業(yè)用戶身份認(rèn)證可以通過服務(wù)器CA證書與IC卡相結(jié)合實(shí)現(xiàn)的。CA證書用來認(rèn)證服務(wù)器的身份，IC卡用來認(rèn)證企業(yè)用戶的身份。個(gè)人用戶由于沒有提供交易功能，所以只采用ID號(hào)和密碼口令的身份確認(rèn)機(jī)制。

2)CA證書

要在網(wǎng)上確認(rèn)交易各方的身份以及保證交易的不可否認(rèn)性，需要一份數(shù)字證書進(jìn)行驗(yàn)證，這份數(shù)字證書就是CA證書，它由認(rèn)證授權(quán)中心（CA中心）發(fā)行。認(rèn)證中心（CA）就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu)，主要任務(wù)是受理數(shù)字證書的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書的管理。CA中心一般是社會(huì)公認(rèn)的可靠組織，它對(duì)個(gè)人、組織進(jìn)行審核后，為其發(fā)放數(shù)字證書，證書分為服務(wù)器證書和個(gè)人證書。建立SSL安全鏈接不需要一定有個(gè)人證書，實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書（下載可以在訪問之前或訪問時(shí)進(jìn)行）。

3)安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

SSL通過數(shù)字簽名和數(shù)字證書來實(shí)行身份驗(yàn)證，數(shù)字證書是從認(rèn)證機(jī)構(gòu)（CA，CertificateAuthority）獲得的，通常包含有唯一標(biāo)識(shí)證書所有者的名稱、唯一標(biāo)識(shí)證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號(hào)等。在用數(shù)字證書對(duì)雙方的身份驗(yàn)證后，雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如Http、Ftp、Telnet等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩浴?/p>

SSL協(xié)議握手流程由兩個(gè)階段組成：服務(wù)器認(rèn)證和用戶認(rèn)證。

①服務(wù)器認(rèn)證

客戶端向服務(wù)器發(fā)送一個(gè)“Hello”信息，以便開始一個(gè)新的會(huì)話連接；服務(wù)器根據(jù)客戶的信息確定是否需要生成新的主密鑰，如需要?jiǎng)t服務(wù)器在響應(yīng)客戶的“Hello”信息時(shí)將包含生成主密鑰所需的信息；客戶根據(jù)收到的服務(wù)器響應(yīng)信息，產(chǎn)生一個(gè)主密鑰，并用服務(wù)器的公開密鑰加密后傳給服務(wù)器；服務(wù)器恢復(fù)該主密鑰，并返回給客戶一個(gè)用主密鑰認(rèn)證的信息，以此讓客戶認(rèn)證服務(wù)器。這樣通過主密鑰引出的密鑰對(duì)一系列數(shù)據(jù)進(jìn)行加密來認(rèn)證服務(wù)器，從而建立安全的通信通道。

②用戶認(rèn)證

經(jīng)認(rèn)證的服務(wù)器發(fā)送一個(gè)提問給客戶，客戶則返回?cái)?shù)字簽名后的提問和其公開密鑰，從而向服務(wù)器提供認(rèn)證。SSL協(xié)議支持各種加密算法，實(shí)現(xiàn)簡(jiǎn)單，獨(dú)立于應(yīng)用層協(xié)議，且被大部分瀏覽器和Web服務(wù)器內(nèi)置，便于在電子交易中應(yīng)用。但SSL是一個(gè)面向連接的協(xié)議，起初并不是為了支持電子商務(wù)而設(shè)計(jì)的，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，在涉及多方的電子交易中，SSL協(xié)議不能協(xié)調(diào)各方面的安全傳輸和信任關(guān)系。為此，開發(fā)出了在網(wǎng)絡(luò)應(yīng)用層中專為電子商務(wù)而設(shè)計(jì)的SET協(xié)議。

4安全管理

為了確保系統(tǒng)的安全性，除了采用上述技術(shù)手段外，還必須建立嚴(yán)格的內(nèi)部安全機(jī)制。對(duì)于所有接觸系統(tǒng)的人員，按其職責(zé)設(shè)定其訪問系統(tǒng)的最小權(quán)限。按照分級(jí)管理原則，嚴(yán)格管理內(nèi)部用戶帳號(hào)和密碼，進(jìn)入系統(tǒng)內(nèi)部必須通過嚴(yán)格的身份確認(rèn)，防止非法占用、冒用合法用戶帳號(hào)和密碼。

建立網(wǎng)絡(luò)安全維護(hù)日志，記錄與安全性相關(guān)的信息及事件，有情況出現(xiàn)時(shí)便于跟蹤查詢。定期檢查日志，以便及時(shí)發(fā)現(xiàn)潛在的安全威脅。

對(duì)于重要數(shù)據(jù)要及時(shí)進(jìn)行備份，且對(duì)數(shù)據(jù)庫(kù)中存放的數(shù)據(jù)，數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)視其重要性提供不同級(jí)別的數(shù)據(jù)加密。

5結(jié)束語(yǔ)

安全實(shí)際上就是一種風(fēng)險(xiǎn)管理。任何技術(shù)手段都不能保證1OO％的安全。但是，安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險(xiǎn)。決定采用什么安全策略取決于系統(tǒng)的風(fēng)險(xiǎn)要控制在什么程度范圍內(nèi)。電子商務(wù)的安全運(yùn)行必須從多方面入手，僅在技術(shù)角度防范是遠(yuǎn)遠(yuǎn)不夠的。安全只是相對(duì)的，而不是絕對(duì)的。因此，為進(jìn)一步促進(jìn)電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展，必須在實(shí)際運(yùn)用中解決電子商務(wù)中出現(xiàn)的各類問題，使電子商務(wù)系統(tǒng)相對(duì)更安全。

參考文獻(xiàn):

[1]吳洋.電子商務(wù)安全方法研究[D].天津大學(xué),2006.

[2]李艷.電子商務(wù)信息安全策略研究[J].甘肅科技,2005,(06)

[3]成衛(wèi)青,龔儉.網(wǎng)絡(luò)安全評(píng)估[J].計(jì)算機(jī)工程,2003,(02).

篇2

[論文摘要]在如何對(duì)待信用卡套現(xiàn)的問題上,國(guó)內(nèi)領(lǐng)先的第三方支付平臺(tái)如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

在電子商務(wù)中，網(wǎng)上交易的支付問題的安全性問題越來越突出，為確保顧客在購(gòu)買東西的時(shí)候不會(huì)錢財(cái)兩空，一種新的支付方式——第三方支付出現(xiàn)了，第三方支付平臺(tái)的出現(xiàn)解決了電子商務(wù)的瓶頸——網(wǎng)上支付信用與安全問題,充當(dāng)商家與消費(fèi)者之間的信用紐帶,作為交易各方與銀行的接口,消除消費(fèi)者對(duì)商家的疑慮，提供方便快捷簡(jiǎn)易的支付方式,在很大程度上推動(dòng)了電子商務(wù)的發(fā)展。

那么，第三方支付具體指的是什么呢？所謂第三方支付，是指為了保障電子商務(wù)的支付安全，支付通過買賣雙方之間完全中立的一家企業(yè)來完成。用E-mail來進(jìn)行網(wǎng)上支付；打個(gè)電話報(bào)上信用卡號(hào)就能預(yù)訂機(jī)票；用手機(jī)上網(wǎng)交水費(fèi)電費(fèi)游戲費(fèi)……在中國(guó)人還沒有完全適應(yīng)從紙制貨幣進(jìn)化到“塑膠貨幣”（信用卡）的今天，網(wǎng)絡(luò)銀行、手機(jī)錢包等第三方支付工具已經(jīng)迫不及待地登場(chǎng)了。

近日，有媒體報(bào)道，有網(wǎng)民利用三方支付工具從信用卡套現(xiàn)。就此，該文進(jìn)而對(duì)第三方支付的安全性問題提出質(zhì)疑，認(rèn)為電子支付有可能被金融犯罪分子所利用，充當(dāng)其洗錢的工具。且不管該文提到的套現(xiàn)現(xiàn)象是否屬于依然在可控范圍內(nèi)的小概率事件，也不提所謂的套現(xiàn)行為是否緣于第三方支付的安全漏洞，單就所謂洗錢的擔(dān)心而論，可以說，該文是嚴(yán)重低估了央行以及各商業(yè)銀行的風(fēng)險(xiǎn)控制能力，也大大低估了各大第三方支付公司的風(fēng)險(xiǎn)把控能力。

實(shí)際情況是，早在1996年4月1日，中國(guó)人民銀行就頒布并實(shí)施了《信用卡業(yè)務(wù)管理辦法》，其中明確規(guī)定，持卡人不允許利用信用卡套取現(xiàn)金以及惡意透支。對(duì)于信用卡套現(xiàn)這個(gè)問題，不光招商銀行等商業(yè)銀行關(guān)注有加，第三方支付公司支付寶、貝寶等亦是小心翼翼，如履薄冰，先后出臺(tái)了多項(xiàng)嚴(yán)格的風(fēng)險(xiǎn)控制系統(tǒng)，協(xié)助銀行解決問題。

在如何對(duì)待信用卡套現(xiàn)的問題上，國(guó)內(nèi)領(lǐng)先的第三方支付平臺(tái)如PAYPAL(貝寶)、支付寶、快錢等目前都采用了多種安全措施。

例如，PAYPAL(貝寶)在防止盜號(hào)、提供密碼加密以及減少信用卡套現(xiàn)等方面，已經(jīng)配合銀行做了大量工作;快錢除了從技術(shù)手段上防范盜卡之外，還在安全方面加設(shè)了用戶的認(rèn)證系統(tǒng)等六道功能，試圖將安全隱患?jí)旱偷阶钚〕潭取?/p>

作為國(guó)內(nèi)最大的第三方支付平臺(tái)，支付寶的做法就更為完備。早在2006年7月，支付寶就推出“支付寶認(rèn)證”服務(wù)，對(duì)所有使用支付寶的賣家進(jìn)行雙重身份認(rèn)證，即身份證認(rèn)證和銀行卡認(rèn)證。除了與公安部全國(guó)公民身份證號(hào)碼查詢服務(wù)中心合作校驗(yàn)身份證的真?zhèn)?，支付寶還與各大商業(yè)銀行進(jìn)行合作，利用銀行賬戶實(shí)名制信息來校驗(yàn)用戶填寫的姓名和銀行賬戶號(hào)碼是否準(zhǔn)確，摒棄了某些購(gòu)物網(wǎng)站僅憑一個(gè)手機(jī)號(hào)碼或者身份證號(hào)碼進(jìn)行簡(jiǎn)單認(rèn)證的模式。支付寶公司還在國(guó)內(nèi)率先推出了“全額賠付”制度和交易安全基金，網(wǎng)絡(luò)欺詐發(fā)生率僅為萬分之二。

為了保證支付寶的安全性，支付寶技術(shù)團(tuán)隊(duì)還自發(fā)研制了數(shù)字證書，其安全性能得到各銀行認(rèn)同。相對(duì)于目前國(guó)內(nèi)所有第三方認(rèn)證公司采用的認(rèn)證形式，支付寶的數(shù)字證書從技術(shù)上擺脫了普通6位密碼驗(yàn)證，改以1024位加密的數(shù)字簽名技術(shù)，因而更為安全。而數(shù)字密碼的惟一性，也更有助于客戶身份的識(shí)別。

央行的《電子支付指引》規(guī)定，銀行通過互聯(lián)網(wǎng)為個(gè)人客戶辦理電子支付業(yè)務(wù)，除采用數(shù)字證書、電子簽名等安全認(rèn)證方式外，單筆金額不應(yīng)超過1000元人民幣，每日累計(jì)金額不應(yīng)超過5000元人民幣，并規(guī)定信用卡的網(wǎng)上支付不得超過提現(xiàn)額度。國(guó)內(nèi)目前沒有一家銀行和任何一家網(wǎng)上支付公司允許網(wǎng)上“單日支付額度由信用卡額度決定”。在這方面，支付寶也早已主動(dòng)和和很多發(fā)卡銀行聯(lián)手，針對(duì)套現(xiàn)現(xiàn)象做了信用卡網(wǎng)上支付單筆限額的規(guī)定，例如，招商銀行的信用卡支付限制的是單筆最高限額499元。為了保證支付寶的安全性，支付寶還有CTU風(fēng)險(xiǎn)控制系統(tǒng)來隨時(shí)掃描和監(jiān)控交易的進(jìn)行，防范可能存在的盜卡及套現(xiàn)行為。

實(shí)際上，從2006年5月開始，支付寶就已委托中國(guó)工商銀行對(duì)支付寶公司開立在各家銀行的客戶交易保證金賬戶的余額進(jìn)行核查，工行并定期出具《支付寶客戶交易保證金托管報(bào)告》。這是中國(guó)銀行界第一次為第三方支付平臺(tái)做資金托管的審核報(bào)告，也是當(dāng)前唯一銀行愿意托管的第三方支付平臺(tái)。2006年12月8日，從工行對(duì)11月1日～11月30日期間所有發(fā)生的支付寶公司的客戶提現(xiàn)及余額支付進(jìn)行的抽查情況看，支付寶存放在各家銀行的客戶交易保證金余額總和等于支付寶客戶存放在貴公司的資金余額與待處理款、未達(dá)款余額之和，報(bào)告期間內(nèi)未發(fā)現(xiàn)支付寶客戶交易保證金被挪用情況。

值得一提的是，截至目前工行、農(nóng)行都已經(jīng)開始把以支付寶為主的阿里巴巴中小企業(yè)信用體系作為他們給中小企業(yè)貸款的一個(gè)衡量指標(biāo);而浦東發(fā)展銀行等也看到了里面的巨大商機(jī)紛紛加入。

篇3

關(guān)鍵詞:電子商務(wù);身份認(rèn)證;防火墻

一、有關(guān)電子商務(wù)的安全性要求

1.對(duì)電子商務(wù)活動(dòng)安全性的要求:

(1)服務(wù)的有效性要求。電子商務(wù)系統(tǒng)應(yīng)能防止服務(wù)失敗情況的發(fā)生,預(yù)防由于網(wǎng)絡(luò)故障和病毒發(fā)作等因素產(chǎn)生的系統(tǒng)停止服務(wù)等情況,保證交易數(shù)據(jù)能準(zhǔn)確快速的傳送。

(2)交易信息的保密性要求。電子商務(wù)系統(tǒng)應(yīng)對(duì)用戶所傳送的信息進(jìn)行有效的加密,防止因信息被截取破譯,同時(shí)要防止信息被越權(quán)訪問。

(3)數(shù)據(jù)完整性要求。數(shù)字完整性是指在數(shù)據(jù)處理過程中,原來數(shù)據(jù)和現(xiàn)行數(shù)據(jù)之間保持完全一致。為了保障商務(wù)交易的嚴(yán)肅和公正,交易的文件是不可被修改的,否則必然會(huì)損害一方的商業(yè)利益。

(4)身份認(rèn)證的要求。電子商務(wù)系統(tǒng)應(yīng)提供安全有效的身份認(rèn)證機(jī)制,確保交易雙方的信息都是合法有效的,以免發(fā)生交易糾紛時(shí)提供法律依據(jù)。

2.電子商務(wù)的主要安全要素

(1)信息真實(shí)性、有效性。電子商務(wù)以電子形式取代了紙張,如何保證這種電子形式的貿(mào)易信息的有效性和真實(shí)性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式,其信息的有效性和真實(shí)性將直接關(guān)系到個(gè)人、企業(yè)或國(guó)家的經(jīng)濟(jì)利益和聲譽(yù)。

(2)信息機(jī)密性。電子商務(wù)作為貿(mào)易的一種手段,其信息直接代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報(bào)文來達(dá)到保守機(jī)密的目的。電子商務(wù)是建立在一個(gè)較為開放的網(wǎng)絡(luò)環(huán)境上的,商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

(3)信息完整性。電子商務(wù)簡(jiǎn)化了貿(mào)易過程,減少了人為的干預(yù),同時(shí)也帶來維護(hù)商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為,可能導(dǎo)致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。因此,電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲(chǔ)及電子商務(wù)完整性檢查的正確和可靠。

(4)信息可靠性、可鑒別性和不可抵賴性?？煽啃砸蠹词悄鼙ＷC合法用戶對(duì)信息和資源的使用不會(huì)被不正當(dāng)?shù)鼐芙^;不可否認(rèn)要求即是能建立有效的責(zé)任機(jī)制,防止實(shí)體否認(rèn)其行為;可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下,通過手寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)。在internet上每個(gè)人都是匿名的,電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴;接收方在接收數(shù)據(jù)后也不能抵賴。

二、電子商務(wù)采用的主要安全技術(shù)

1.網(wǎng)絡(luò)節(jié)點(diǎn)的安全

防火墻是一種由計(jì)算機(jī)硬件和軟件的組合,使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個(gè)安全網(wǎng)關(guān),從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入,它其實(shí)就是一個(gè)把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)(通常指局域網(wǎng)或城域網(wǎng))隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊,為電子商務(wù)的施展提供一個(gè)相對(duì)更安全的平臺(tái)。

防火墻是在連接Internet和Intranet保證安全最為有效的方法,防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息,并記憶通信狀態(tài),從而作出允許/拒絕等正確的判斷。通過靈活有效地運(yùn)用這些功能,制定正確的安全策略,將能提供一個(gè)安全、高效的Intranet系統(tǒng)。應(yīng)給予特別注意的是,防火墻不僅僅是路由器、堡壘主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合,它是安全策略的一個(gè)部分。安全策略建立了全方位的防御體系來保護(hù)機(jī)構(gòu)的信息資源,這種安全策略應(yīng)包括:規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施,以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級(jí)別加以保護(hù)。僅設(shè)立防火墻系統(tǒng),而沒有全面的安全策略,那么防火墻就形同虛設(shè)。

2.通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接,所傳遞的重要信息都是經(jīng)過加密的,這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強(qiáng)度,也可以考慮將加密強(qiáng)度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機(jī)制,SSL首先要求服務(wù)器向?yàn)g覽器出示它的證書,證書包括一個(gè)公鑰,由一家可信證書授權(quán)機(jī)構(gòu)(CA中心)簽發(fā)。瀏覽器要驗(yàn)征服務(wù)器證書的正確性,必須事先安裝簽發(fā)機(jī)構(gòu)提供的基礎(chǔ)公共密鑰(PKI)。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份,而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書(下載可以在訪問之前或訪問時(shí))。驗(yàn)證此證書是合法的服務(wù)器證書通過后利用該證書對(duì)稱加密算法(RSA)與服務(wù)器協(xié)商一個(gè)對(duì)稱算法及密鑰,然后用此對(duì)稱算法加密傳輸?shù)拿魑?。此時(shí)瀏覽器也會(huì)出進(jìn)入安全狀態(tài)的提示。[論/文/網(wǎng)LunWenNet/Com]

3.應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則,要滿足計(jì)算機(jī)系統(tǒng)的安全性也是不充分的,因?yàn)榫幊体e(cuò)誤也可能引致攻擊。程序錯(cuò)誤有以下幾種形式:程序員忘記檢查傳送到程序的入口參數(shù);程序員忘記檢查邊界條件,特別是處理字符串的內(nèi)存緩沖時(shí);程序員忘記最小特權(quán)的基本原則。整個(gè)程序都是在特權(quán)模式下運(yùn)行,而不是只有有限的指令子集在特權(quán)模式下運(yùn)行,其他的部分只有縮小的許可;程序員從這個(gè)特權(quán)程序使用范圍內(nèi)建立一個(gè)資源,如一個(gè)文件和目錄。不是顯式地設(shè)置訪問控制(最少許可),程序員認(rèn)為這個(gè)缺省的許可是正確的。

這些缺點(diǎn)都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個(gè)過長(zhǎng)的字符串來實(shí)現(xiàn)的。程序不檢查輸入字符串長(zhǎng)度。假的輸入字符串常常是可執(zhí)行的命令,特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例?緩沖溢出攻擊可以向系統(tǒng)中增加一個(gè)用戶并賦予這個(gè)用戶特權(quán)。訪問控制系統(tǒng)中沒有什么可以檢測(cè)到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為,才能發(fā)現(xiàn)像這些問題一樣的錯(cuò)誤。

4.用戶的認(rèn)證管理

(1)身份認(rèn)證。電子商務(wù)企業(yè)用戶身份認(rèn)證可以通過服務(wù)器CA證書與IC卡相結(jié)合實(shí)現(xiàn)。CA證書用來認(rèn)證服務(wù)器的身份,IC卡用來認(rèn)證企業(yè)用戶的身份。個(gè)人用戶由于沒有提供交易功能,所以只采用ID號(hào)和密碼口令的身份確認(rèn)機(jī)制。

(2)CA證書。要在網(wǎng)上確認(rèn)交易各方的身份以及保證交易的不可否認(rèn)性,需要一份數(shù)字證書進(jìn)行驗(yàn)證,這份數(shù)字證書就是CA證書,它由認(rèn)證授權(quán)中心(CA中心)發(fā)行。認(rèn)證中心(CA)就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù),能簽發(fā)數(shù)字證書,并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機(jī)構(gòu),主要任務(wù)是受理數(shù)字證書的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書的管理。CA中心一般是社會(huì)公認(rèn)的可靠組織,它對(duì)個(gè)人、組織進(jìn)行審核后,為其發(fā)放數(shù)字證書,證書分為服務(wù)器證書和個(gè)人證書。建立SSL安全鏈接不需要一定有個(gè)人證書,實(shí)際上不驗(yàn)證客戶的個(gè)人證書情況是很多的。驗(yàn)證個(gè)人證書是為了驗(yàn)證來訪者的合法身份。而單純的想建立SSL鏈接時(shí)客戶只需用戶下載該站點(diǎn)的服務(wù)器證書。

(3)安全套接層SSL協(xié)議。安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

SSL通過數(shù)字簽名和數(shù)字證書來實(shí)行身份驗(yàn)證,數(shù)字證書是從認(rèn)證機(jī)構(gòu)(CA,CertificateAuthority)獲得的,通常包含有唯一標(biāo)識(shí)證書所有者的名稱、唯一標(biāo)識(shí)證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號(hào)等。在用數(shù)字證書對(duì)雙方的身份驗(yàn)證后,雙方就可以用保密密鑰進(jìn)行安全的會(huì)話了。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前,協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方,從而為應(yīng)用層提供了安全的傳輸通道;在該通道上可透明加載任何高層應(yīng)用協(xié)議(如Ht2tp、Ftp、Telnet等)以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩?。SSL協(xié)議握手流程由兩個(gè)階段組成:服務(wù)器認(rèn)證和用戶認(rèn)證。

三、電子商務(wù)安全需要進(jìn)一步完善的配套措施

電子商務(wù)要真正成為一種主導(dǎo)的商務(wù)模式,尤其對(duì)發(fā)展中的中國(guó)來說,發(fā)展電子商務(wù),就必須從以下幾個(gè)方面來完善配套措施:

(1)突破關(guān)鍵技術(shù)受制于人的瓶頸。

(2)我國(guó)應(yīng)盡快對(duì)電子商務(wù)的有關(guān)細(xì)則進(jìn)行立法。

(3)大力開發(fā)大型商務(wù)網(wǎng)站,發(fā)展與之相配套的物流公司。

(4)為了確保系統(tǒng)的安全性,除了采用技術(shù)手段外,還必須建立嚴(yán)格的內(nèi)部安全機(jī)制。

(5)建立網(wǎng)絡(luò)安全維護(hù)日志,記錄與安全性相關(guān)的信息及事件,有情況出現(xiàn)時(shí)便于跟蹤查詢。

(6)對(duì)于重要數(shù)據(jù)要及時(shí)進(jìn)行備份,且對(duì)數(shù)據(jù)庫(kù)中存放的數(shù)據(jù),數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)視其重要性提供不同級(jí)別的數(shù)據(jù)加密。

安全實(shí)際上就是一種風(fēng)險(xiǎn)管理。任何技術(shù)手段都不能保證100%的安全。但是,安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險(xiǎn)。決定采用什么安全策略取決于系統(tǒng)的風(fēng)險(xiǎn)要控制在什么程度范圍內(nèi)。電子商務(wù)的安全運(yùn)行必須從多方面入手,僅在技術(shù)角度防范是遠(yuǎn)遠(yuǎn)不夠的。安全只是相對(duì)的,而不是絕對(duì)的。因此,為進(jìn)一步促進(jìn)電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展,必須在實(shí)際運(yùn)用中解決電子商務(wù)中出現(xiàn)的各類問題,使電子商務(wù)系統(tǒng)相對(duì)更安全。[論\文\網(wǎng)LunWenNet\Com]

參考文獻(xiàn):

[1]吳洋.電子商務(wù)安全方法研究[D].天津:天津大學(xué),2006.

[2]李艷.電子商務(wù)信息安全策略研究[J].甘肅科技,2005(6).

[3]成衛(wèi)青,龔儉.網(wǎng)絡(luò)安全評(píng)估[J].計(jì)算機(jī)工程,2003(2).

[4]甘悅.淺議電子商務(wù)信息安全體系的構(gòu)建[J].西北成人教育學(xué)報(bào),2007(2).

[5]周明,黃元江,李建設(shè).電子商務(wù)中的安全技術(shù)研究[J].株洲工學(xué)院學(xué)報(bào),2005(1).

[6]張娟.電子商務(wù)網(wǎng)絡(luò)安全技術(shù)探究[J].甘肅科技縱橫,2005(4).

[7]趙乃真.電子商務(wù)技術(shù)與應(yīng)用[M].北京:中國(guó)鐵道出版社,2003.

篇4

EC以電子形式取代了紙張,那么如何保證這種電子形式的貿(mào)易信息的有效性則是開展E的前提。EC作為貿(mào)易的一種形式,其信息的有效性將直接關(guān)系到個(gè)人、企業(yè)或國(guó)家的經(jīng)濟(jì)利益和聲譽(yù)。因此,要對(duì)網(wǎng)絡(luò)故障、操作錯(cuò)誤、應(yīng)用程序錯(cuò)誤、硬件故障、系統(tǒng)軟件錯(cuò)誤及計(jì)算機(jī)病毒所產(chǎn)生的潛在威脅加以控制和預(yù)防,以保證貿(mào)易數(shù)據(jù)在確定的時(shí)刻、確定的地點(diǎn)是有效的。

（2）機(jī)密性

EC作為貿(mào)易的一種手段,其信息直接代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報(bào)文來達(dá)到保守機(jī)密的目的。EC是建立在一個(gè)較為開放的網(wǎng)絡(luò)環(huán)境上的(尤其Internet是更為開放的網(wǎng)絡(luò)),維護(hù)商業(yè)機(jī)密是EC全面推廣應(yīng)用的重要保障。因此,要預(yù)防非法的信息存取和信息在傳輸過程中被非法竊取。電子商務(wù)

（3）完整性

EC簡(jiǎn)化了貿(mào)易過程,減少了人為的干預(yù),同時(shí)也帶來維護(hù)貿(mào)易各方商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為,可能導(dǎo)致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營(yíng)策略,保持貿(mào)易各方信息的完整性是EC應(yīng)用的基礎(chǔ)。因此,要預(yù)防對(duì)信息的隨意生成、修改和刪除,同時(shí)要防止數(shù)據(jù)傳送過程中信息的丟失和重復(fù)并保證信息傳送次序的統(tǒng)一。

（4）可靠性/不可抵賴性/鑒別

EC可能直接關(guān)系到貿(mào)易雙方的商業(yè)交易,如何確定要進(jìn)行交易的貿(mào)易方正是進(jìn)行交易所期望的貿(mào)易方這一問題則是保證EC順利進(jìn)行的關(guān)鍵。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。這也就是人們常說的"白紙黑字"。在無紙化的EC方式下,通過手寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)。

篇5

[關(guān)鍵詞]電子商務(wù)反向網(wǎng)站資源安全DNS

一、引言

電子商務(wù)是利用先進(jìn)的電子技術(shù)進(jìn)行商務(wù)活動(dòng)的總稱。它通過網(wǎng)絡(luò)、使用先進(jìn)的信息處理工具，利用計(jì)算機(jī)這種載體，將買賣雙方的商務(wù)信息、產(chǎn)品信息、銷售信息、服務(wù)信息，以及電子支付等活動(dòng)，用相互認(rèn)同的交易標(biāo)準(zhǔn)來實(shí)現(xiàn)。進(jìn)行電子商務(wù)活動(dòng)的最基礎(chǔ)平臺(tái)是電子商務(wù)網(wǎng)站，電子商務(wù)網(wǎng)站在企業(yè)的電子商務(wù)體系中有著重要的作用，其安全直接關(guān)系企業(yè)實(shí)施電子商務(wù)能否成功。

目前，對(duì)電子商務(wù)網(wǎng)站的保護(hù)，采用最多的方法是使用防火墻技術(shù)，只允許用戶訪問網(wǎng)站的WEB服務(wù)，過濾掉對(duì)網(wǎng)站服務(wù)器其他服務(wù)的訪問。這種方法有一個(gè)問題：網(wǎng)站的WEB服務(wù)對(duì)外來說是完全暴露的，用戶可以直接和網(wǎng)站服務(wù)器通信。

二、反向技術(shù)

通常的一般稱為正向，只用于內(nèi)部網(wǎng)絡(luò)對(duì)外部網(wǎng)絡(luò)的連接請(qǐng)求，不支持外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問請(qǐng)求（因?yàn)閮?nèi)部網(wǎng)絡(luò)對(duì)外部網(wǎng)絡(luò)來說是不可見的）。當(dāng)一個(gè)服務(wù)器能夠外部網(wǎng)絡(luò)上的主機(jī)訪問內(nèi)部網(wǎng)絡(luò)時(shí)，這種的方式稱為反向。

反向就是通常所說的WEB服務(wù)器加速，它是一種通過在繁忙的WEB服務(wù)器和外部網(wǎng)絡(luò)之間增加一個(gè)高速的WEB緩沖服務(wù)器來降低實(shí)際的WEB服務(wù)器的負(fù)載的一種技術(shù)。反向是針對(duì)WEB服務(wù)器提供加速功能的，作為緩存，它并不是針對(duì)瀏覽器用戶，而針對(duì)一臺(tái)或多臺(tái)特定WEB服務(wù)器，它可以外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問請(qǐng)求。

反向服務(wù)器會(huì)強(qiáng)制將外部網(wǎng)絡(luò)對(duì)要的服務(wù)器的訪問經(jīng)過它，這樣反向服務(wù)器負(fù)責(zé)接收客戶端的請(qǐng)求，然后到源服務(wù)器上獲取內(nèi)容，把內(nèi)容返回給用戶并把內(nèi)容保存到本地，以便日后再收到同樣的信息請(qǐng)求時(shí)，它會(huì)把本地緩存里的內(nèi)容直接發(fā)給用戶，以減少后端WEB服務(wù)器的壓力，提高響應(yīng)速度，的服務(wù)器對(duì)外部網(wǎng)絡(luò)來說是不可見的。

反向服務(wù)器的工作流程歸納如下：

1.用戶通過域名發(fā)出訪問WEB服務(wù)器的請(qǐng)求，該域名被DNS服務(wù)器解析為反向服務(wù)器的IP地址，因此用戶的請(qǐng)求被重定向到反向服務(wù)器。

2.反向服務(wù)器接受用戶的請(qǐng)求。

3.反向服務(wù)器在本地緩存中查找請(qǐng)求的內(nèi)容，找到后直接把內(nèi)容發(fā)送給用戶。

4.如果本地緩存里沒有用戶所請(qǐng)求的信息內(nèi)容，反向服務(wù)器會(huì)代替用戶向源WEB服務(wù)器請(qǐng)求同樣的信息內(nèi)容，并把信息內(nèi)容轉(zhuǎn)發(fā)給用戶，如果信息內(nèi)容是可緩存的還會(huì)把它保存到緩存中。

實(shí)施反向，只要將反向服務(wù)器放置在要的WEB服務(wù)器前端并在DNS系統(tǒng)中將要的服務(wù)器域名解析為反向服務(wù)器IP地址（達(dá)到強(qiáng)制將外部網(wǎng)絡(luò)對(duì)要服務(wù)器的訪問經(jīng)過反向服務(wù)器的目的）即可，如圖1所示：

在企業(yè)的電子商務(wù)網(wǎng)站建設(shè)中采用反向技術(shù)后，解決了網(wǎng)站服務(wù)器對(duì)外可見的問題，還有如下幾個(gè)突出優(yōu)點(diǎn)：

1.節(jié)約了有限的IP地址資源。企業(yè)內(nèi)所有的網(wǎng)站共享一個(gè)在Internet中注冊(cè)的IP地址，這些服務(wù)器分配私有地址，采用虛擬主機(jī)的方式對(duì)外提供服務(wù)。

2.保護(hù)了真實(shí)的WEB服務(wù)器。企業(yè)內(nèi)所有網(wǎng)站服務(wù)器對(duì)外都不可見，外網(wǎng)只能看到反向服務(wù)器，而反向服務(wù)器上并沒有存放實(shí)際的資源，因此，可以保證真實(shí)WEB服務(wù)器上資源的安全。

3.加快了對(duì)網(wǎng)站的訪問速度，減輕WEB服務(wù)器的負(fù)擔(dān)。反向服務(wù)器具有緩存網(wǎng)頁(yè)的功能，如果用戶需要的內(nèi)容在緩存中，則可以直接從服務(wù)器中取得，減輕了WEB服務(wù)器的負(fù)荷，同時(shí)也加快了用戶的訪問速度。

三、反向服務(wù)器的部署

目前，能夠?qū)崿F(xiàn)反向的軟件有很多，但用的最多還是由美國(guó)政府大力助的Squid開源免費(fèi)軟件，該軟件可運(yùn)行在任何平臺(tái)上，本文選擇Linux操作系統(tǒng)來部署Squid，因?yàn)長(zhǎng)inux系統(tǒng)也是開源免費(fèi)的。

1.Squid軟件的獲取?？梢詮膕quid-網(wǎng)站下載squid軟件的最新版本，本文下載的是squid-2.6.STABLE13.tar.gz。2.Squid軟件的安裝。

(1)將獲取的文件squid-2.6.STABLE13.tar.gz拷貝到/tmp目錄；

(2)解壓該文件，運(yùn)行tarxvzfsquid-2.6.STABLE13.tar.gz命令，在/tmp目錄中生成名為squid-2.6.STABLE13的目錄；

(3)進(jìn)入該目錄，執(zhí)行./configure，系統(tǒng)缺省將軟件安裝在/usr/local/Squid目錄，用戶也可以用--prefix=目錄，指定安裝目錄；

(4)運(yùn)行make；

(5)運(yùn)行makeinstall；

(6)如沒有錯(cuò)誤，安裝結(jié)束，Squid的可執(zhí)行文件在安裝目錄的bin子目錄下，配置文件在ctc子目錄下。

3.Squid軟件的配置。通過squid配置反向主要就是配置“squid.conf”這個(gè)配置文件，Squid2.6中和反向配置相關(guān)的主要包含以下三項(xiàng)（詳細(xì)配置可參考squid-）：

(1)http_port配置反向服務(wù)器的IP地址（和外網(wǎng)相連地址）和監(jiān)聽端口http_port202.115.144.30:80vhostvport。

(2)cache_peer配置內(nèi)部的WEB服務(wù)資源，該資源可以是真實(shí)WEB服務(wù)器的IP地址，也可以是的域名（內(nèi)部可見的域名），一般都采用IP地址,需要反向幾個(gè)WEB服務(wù)器就要有幾個(gè)對(duì)應(yīng)。的配置cache_peer192.168.1.254parent800no-queryoriginserver

(3)cache_peer_domain指定對(duì)外部的資源（外網(wǎng)可見的域名）與真實(shí)資源的對(duì)應(yīng)關(guān)系，同樣，需要反向幾個(gè)WEB服務(wù)器就要有幾個(gè)對(duì)應(yīng)的配置。

4.DNS系統(tǒng)的配置。在DNS服務(wù)器中將所有需要的真實(shí)WEB服務(wù)器的域名對(duì)應(yīng)于反向服務(wù)器的IP地址INA202.115.144.30，經(jīng)過這樣對(duì)Squid配置和DNS的修改后，對(duì)的訪問都會(huì)由反向服務(wù)器202.115.144.30定向到192.168.1.254這臺(tái)真實(shí)的WEB服務(wù)器。

四、反向服務(wù)器的安全

Squid本身不具有認(rèn)證程序，但是可以通過外部認(rèn)證程序來實(shí)現(xiàn)用戶認(rèn)證，最常用的是采用NCSA認(rèn)證，因?yàn)镹CSA認(rèn)證是Squid源代碼包自帶的一個(gè)外部認(rèn)證程序。操作方法如下：

1.cd/tmp/squid-2.6.STABLE13/auth-modules/NCSA。

2.make；makeinstall。

3.編譯成功后，會(huì)生成ncsa-auth的可執(zhí)行文件，拷貝生成的執(zhí)行文件ncsa-auth到/usr/local/squid/bin目錄cpncsa_auth/usr/local/squid/bin。

4.修改squid．conf中的相關(guān)選項(xiàng)如下所示：

Authenticate_program/usr/local/squid/bin/ncsa_auth/usr/local/squid/etc/passwd。

5.定義相關(guān)的用戶類aclauth_userproxy_authREQUIRED。

注意，REQUIRED關(guān)鍵字指明了接收所有合法用戶的訪問。

6.設(shè)置http_access。

http_accessallowauth_user。

7.利用apache攜帶的工具軟件htpasswd在/usr/local/squid/etc下生成密碼文件并添加相應(yīng)的用戶信息，該密碼文件每行包含一個(gè)用戶的用戶信息，即用戶名和密碼；htpasswd-c/usr/local/squid/etc/passwdtesttest。這樣就在密碼文件passwd中添加用戶和密碼都是test的用戶。然后重新啟動(dòng)Squid，密碼認(rèn)證就生效了，訪問服務(wù)器就需要輸入賬號(hào)和密碼。

五、結(jié)束語(yǔ)

反向方式不單是一種WEB服務(wù)器加速器，而且使也一種對(duì)外提供WEB時(shí)使用的有效的防火墻技術(shù)，使用它不但能節(jié)約緊缺的IP地址資源，加速WEB服務(wù)器的訪問速度，而且能夠保護(hù)WEB服務(wù)器，因此能夠適應(yīng)多種應(yīng)用場(chǎng)合,特別是應(yīng)用在電子商務(wù)這種對(duì)安全要求特別高的場(chǎng)合。

參考文獻(xiàn):

篇6

電子商務(wù)作為新經(jīng)濟(jì)的代言人，集中了當(dāng)今世界最先進(jìn)的技術(shù)，實(shí)現(xiàn)著最快捷的傳播和溝通方式。在世界經(jīng)濟(jì)一體化中，它改變著人們的思維觀念、消費(fèi)方式和創(chuàng)業(yè)模式。電子商務(wù)的出現(xiàn)和發(fā)展讓所有的傳統(tǒng)產(chǎn)業(yè)面臨著巨大的挑戰(zhàn)，以互聯(lián)網(wǎng)為代表的新經(jīng)濟(jì)必將成為未來社會(huì)發(fā)展的主流。由于因特網(wǎng)的開放性，網(wǎng)絡(luò)安全問題也越來越引起人們的普遍關(guān)注。據(jù)報(bào)道，中國(guó)已經(jīng)成為受到互聯(lián)網(wǎng)攻擊最嚴(yán)重的國(guó)家。而電子商務(wù)往往和金融系統(tǒng)有著千絲萬縷的聯(lián)系，因而也成為了網(wǎng)絡(luò)黑客重點(diǎn)攻擊的目標(biāo)。據(jù)權(quán)威機(jī)構(gòu)調(diào)查表明，國(guó)內(nèi)電子商務(wù)發(fā)展的最大隱患就是網(wǎng)絡(luò)交易的安全問題。這也是當(dāng)前發(fā)展電子商務(wù)最迫切需要解決的問題。

二、電子商務(wù)信息安全機(jī)制問題

在電子商務(wù)領(lǐng)域，最核心的安全問題就是電子交易的安全。如何解決電子交易過程中所面臨的身份驗(yàn)證、保護(hù)信息機(jī)密性、防止信息的非法篡改以及防止交易抵賴等問題，成為了保護(hù)電子交易安全機(jī)制的關(guān)鍵問題。

（一）身份驗(yàn)證在傳統(tǒng)交易方式中，驗(yàn)證雙方的真實(shí)身份并不是一件非常困難的事情。交易是雙方面對(duì)面所進(jìn)行的的活動(dòng)，因此可以通過查看身份證、出示交易印章等方式驗(yàn)證對(duì)方的真實(shí)身份。但是在電子交易環(huán)境中，雙方未曾謀面、相隔遙遠(yuǎn)，更容易出現(xiàn)假冒、欺詐等違法行為。因此電子商務(wù)安全的首要問題就是驗(yàn)證交易雙方的身份。

（二）信息機(jī)密性電子商務(wù)的交易過程通常都是直接在互聯(lián)網(wǎng)上進(jìn)行的，如前所述互聯(lián)網(wǎng)的開放性雖然帶來通信與交流的便捷，但也給黑客提供了竊取個(gè)人或組織機(jī)密信息的可能性。當(dāng)電子交易雙方通過網(wǎng)絡(luò)交換信息的時(shí)候，他們之間傳遞的機(jī)密信息就有可能竊取。進(jìn)而威脅到個(gè)人的隱私或企業(yè)單位的經(jīng)濟(jì)利益，甚至可能導(dǎo)致商業(yè)的巨額損失。因此電子交易雙方必須解決如何保護(hù)傳遞的敏感信息，使黑客即使截獲了數(shù)據(jù)也無法破譯，進(jìn)而無法獲得真實(shí)的通信內(nèi)容。

（三）信息完整性在電子商務(wù)交易過程中，攻擊者除了可以破譯通信內(nèi)容，直接威脅通信的機(jī)密性之外，還可以通過篡改通信內(nèi)容實(shí)現(xiàn)網(wǎng)絡(luò)的主動(dòng)攻擊。通過篡改通信內(nèi)容，是交易雙方產(chǎn)生誤判，從而使攻擊者實(shí)現(xiàn)非法目的。因此電子交易雙方如何鑒別通信數(shù)據(jù)是否被篡改過，也成為了保護(hù)通信安全的一個(gè)重要環(huán)節(jié)。

（四）信息的不可抵賴性在商務(wù)活動(dòng)中，商業(yè)形式千變?nèi)f化，為了防止交易雙方的抵賴行為，人們往往要訂立合同，在合同內(nèi)明確雙方同意的條款內(nèi)容，并要求雙方簽字蓋章。這些手段都是為了防止交易抵賴。但這樣的手段在電子交易中就無法實(shí)施。電子交易的雙方由于互不見面，某方完全有可能出于個(gè)人的私利，否認(rèn)參與過整個(gè)交易過程。從而使對(duì)方遭受巨大的經(jīng)濟(jì)損失。因此，如何防止交易抵賴，保證交易的嚴(yán)肅性和公正性，成為電子商務(wù)發(fā)展所亟待解決的急切問題。

三、電子商務(wù)信息的安全機(jī)制

（一）對(duì)稱和非對(duì)稱加密機(jī)制為了保護(hù)電子交易的機(jī)密性，我們必須對(duì)雙方的數(shù)據(jù)進(jìn)行加密，防止被截獲的數(shù)據(jù)被輕松破譯。加密算法有對(duì)稱和非對(duì)稱兩種。對(duì)稱加密算法主要特點(diǎn)是：電子交易雙方都必須要擁有共同的共享密鑰（即加密密鑰和解密密鑰相同），并且對(duì)稱加密算法的運(yùn)算速度很高，適合大量數(shù)據(jù)的加密和解密工作。但是對(duì)稱算法存在的一個(gè)重大問題在于：如何安全的傳遞密鑰給通信對(duì)方。因?yàn)楣蚕砻荑€是需要在不安全的互聯(lián)網(wǎng)上直接傳遞的，如果密鑰被截獲，那整個(gè)加密體制就完全崩潰。非對(duì)稱加密機(jī)制是利用兩個(gè)不同的密鑰來完成數(shù)據(jù)的加密和解密工作（即公約和私鑰），公約和私鑰是成對(duì)產(chǎn)生的，但公約和私鑰相互之間無法直接推算出來。因此，為了保護(hù)信息的機(jī)密性，我們?nèi)绻s來加密的數(shù)據(jù)，則必須用相應(yīng)的私鑰才能解密；反之，用私鑰來加密的數(shù)據(jù)則只能用對(duì)應(yīng)的公約來解密。公約是完全公開的，任何人均可以獲得，而私鑰則必須由持有人妥善保管。這樣的非對(duì)稱機(jī)制的主要特點(diǎn)在于，為了保護(hù)信息的機(jī)密性，發(fā)送方用對(duì)方的公約加密，接收方用自己的私鑰解密，在加密數(shù)據(jù)的傳遞過程中，即使被截獲，截獲者也因?yàn)闊o法獲得接受者的私鑰而無法解密。同時(shí)非對(duì)稱機(jī)制可鑒別發(fā)送方的身份，使交易不可抵賴，發(fā)送方需要用自己的私鑰加密數(shù)據(jù)，將加密數(shù)據(jù)傳遞給接收方。接收方如果能夠用發(fā)送方的公鑰解密，則可以充分證明這些數(shù)據(jù)一定是來自發(fā)送方，而不是某個(gè)自稱發(fā)送方的假冒者，因?yàn)橛冒l(fā)送方的公約能夠解密，則完全可以說明數(shù)據(jù)一定是發(fā)送方的私鑰加了密。而發(fā)送方的私鑰只有持有人才知道，因而可以推導(dǎo)出這些數(shù)據(jù)一定是發(fā)送方本人親自發(fā)送的。從而有效地解決了身份驗(yàn)證和防止交易抵賴問題。但非對(duì)稱體制的缺點(diǎn)在于，加密和解密的運(yùn)算量非常大，計(jì)算速度往往比對(duì)稱體制慢上百倍。因此實(shí)際在電子商務(wù)應(yīng)用中，往往是把對(duì)稱和非對(duì)稱加密體制結(jié)合起來使用，即發(fā)送方用對(duì)稱體制的共享密鑰對(duì)數(shù)據(jù)加密，然后用非對(duì)稱體制的接收方的公鑰對(duì)共享密鑰加密，然后傳給接收方，接收方用自己的私鑰將共享密鑰解密，再用共享密鑰對(duì)大量的數(shù)據(jù)解密。這樣的安全設(shè)計(jì)，既充分發(fā)揮了對(duì)稱體制運(yùn)算速度快的優(yōu)勢(shì)，也利用了非對(duì)稱傳遞數(shù)據(jù)安全的優(yōu)勢(shì)。

（二）散列運(yùn)算防止信息被篡改為了防止電子商務(wù)信息被篡改，發(fā)送方需要對(duì)數(shù)據(jù)進(jìn)行散列運(yùn)算，將散列值（即摘要）連同數(shù)據(jù)本身發(fā)給對(duì)方，接收方也將數(shù)據(jù)重新計(jì)算散列值，并將新散列值與傳遞而來的散列值對(duì)照，如果兩個(gè)散列值相同，則證明數(shù)據(jù)在傳遞過程中沒有被篡改。因此接受方只要對(duì)照散列值，就可以判斷電子商務(wù)信息信息是否被篡改過。從而有效地解決了信息的完整性問題。

四、結(jié)論

篇7

1盜取信息

保存著互聯(lián)網(wǎng)上的信息在傳輸過程中，通常情況下都需要進(jìn)行加密處理，一旦發(fā)生加密措施不到位或者缺少保護(hù)措施，那么就給了入侵者可乘之機(jī)，他們可以掌握信息的傳輸格式和規(guī)律等，將截取的信息進(jìn)行分析對(duì)比，這樣就能夠得到消費(fèi)者的個(gè)人身份信息甚至個(gè)人銀行卡密碼等重要私密信息?；蛘呓?jīng)過非法手段盜取企業(yè)的商業(yè)機(jī)密，將信息外泄，給個(gè)人和企業(yè)的安全帶來了極大的威脅和困擾。

2篡改信息

我們?cè)谶M(jìn)行電子商務(wù)交易之前首先需要在網(wǎng)上進(jìn)行個(gè)人基本信息注冊(cè)，某些甚至需要實(shí)名制，填寫身份證號(hào)和銀行卡號(hào)等重要信息，方可完成注冊(cè)。這樣一來，一旦相關(guān)網(wǎng)絡(luò)企業(yè)的系統(tǒng)被不法分子攻擊，就很有可能導(dǎo)致個(gè)人信息泄露。而入侵者借機(jī)利用技術(shù)手段對(duì)信息進(jìn)行肆意篡改，或者增添內(nèi)容或者刪除內(nèi)容，或修改內(nèi)容，最后再將所有信息打包整理發(fā)送到指定接收地點(diǎn)。這種做法既嚴(yán)重阻礙了電子商務(wù)交易的正常操作，又破壞了信息的完整性和真實(shí)性。

3假冒信息

由于不法分子入侵網(wǎng)絡(luò)得逞之后，掌握了全部消費(fèi)者信息，這時(shí)可以在按自己意愿篡改信息后假冒合法的客戶對(duì)信息進(jìn)行接收和發(fā)送。而計(jì)算機(jī)網(wǎng)絡(luò)本身具有的虛擬特性使得交易雙方很難識(shí)別信息的真?zhèn)?，侵害了消費(fèi)者的合法權(quán)益。慣用的手法是偽造客戶的收貨單據(jù)或訂貨憑證，隨意更改交易流程的允許訪問權(quán)限設(shè)置等。

二計(jì)算機(jī)安全技術(shù)在電子商務(wù)中的應(yīng)用

1防火墻技術(shù)

防火墻技術(shù)好比保護(hù)電子商務(wù)交易安全進(jìn)行的一道隔離墻，有效防止外部違法入侵，同時(shí)對(duì)計(jì)算機(jī)病毒進(jìn)行全程時(shí)時(shí)隔離，將本機(jī)與復(fù)雜、危險(xiǎn)的外部網(wǎng)絡(luò)進(jìn)行隔離控制。主要包括包過濾技術(shù)防火墻、服務(wù)防火墻和地址遷移防火墻。

2數(shù)據(jù)加密技術(shù)

防火墻技術(shù)本身也有一些不可避免的缺陷：對(duì)于一些靠數(shù)據(jù)驅(qū)動(dòng)的入侵無法進(jìn)行攔截；對(duì)一些不易被察覺的攜帶病毒的文件沒有抵抗力，一旦進(jìn)行下載就會(huì)使病毒迅速擴(kuò)撒，導(dǎo)致計(jì)算機(jī)中毒；對(duì)一些繞過防火墻攔截的軟件，對(duì)電腦主機(jī)實(shí)行攻擊，找計(jì)算機(jī)漏洞進(jìn)行病毒攻擊。而這時(shí)就需要數(shù)據(jù)加密技術(shù)來彌補(bǔ)防火墻技術(shù)的缺憾，運(yùn)用對(duì)稱加密和分對(duì)稱加密，在信息交換環(huán)節(jié)通過公開密鑰體系進(jìn)行完整的加密，保證電子商務(wù)交易與信息傳送的安全、暢通。

3身份識(shí)別技術(shù)

用戶需要在首次注冊(cè)時(shí)填寫個(gè)人身份證信息，網(wǎng)絡(luò)管理員對(duì)個(gè)人信息進(jìn)行綜合審核后，合格者允許通行，放開其對(duì)網(wǎng)絡(luò)資源的使用權(quán)限。在電子商務(wù)中身份鑒別是必不可少的環(huán)節(jié)，通過此技術(shù)可以準(zhǔn)確的識(shí)別對(duì)方身份的真實(shí)性，可以保證交易的安全。隨著技術(shù)的發(fā)展，身份識(shí)別技術(shù)的種類也在不斷擴(kuò)大，包括智能卡鑒別技術(shù)、口令身份識(shí)別技術(shù)。盡管如此，但是這種技術(shù)仍然處在發(fā)展階段，需要不斷改進(jìn)，但是研究成本較高，花費(fèi)時(shí)間較長(zhǎng)，受到各方面因素的限制，需要我們共同努力進(jìn)行技術(shù)研發(fā)。

三結(jié)束語(yǔ)

篇8

[關(guān)鍵詞]電子商務(wù)計(jì)算機(jī)安全技術(shù)

隨著電子商務(wù)不斷的擴(kuò)大影響，勢(shì)必將成為一種新型的交易模式走入人們?nèi)粘Ｉ?，?jì)算機(jī)技術(shù)與其是密不可分，相輔相成的。電子商務(wù)的發(fā)展將帶動(dòng)計(jì)算機(jī)技術(shù)應(yīng)用的更加廣泛，計(jì)算機(jī)技術(shù)的進(jìn)步將推動(dòng)電子商務(wù)的蓬勃發(fā)展。而其在發(fā)展的過程中安全問題也變得越來越突出，可以說，沒有安全就沒有電子商務(wù)。

一、電子商務(wù)網(wǎng)絡(luò)的安全隱患

1.竊取信息。（1）交易雙方進(jìn)行交易的內(nèi)容被第三方竊取。(2)交易一方提供給另一方使用的文件被第三方非法使用。

2.篡改信息。電子的交易信息在網(wǎng)絡(luò)傳輸?shù)倪^程中，可能被他人非法的修改、刪除這樣就使信息失去了真實(shí)性和完整性。

3.假冒。第三方可以冒充合法用戶發(fā)送假冒的信息或者主動(dòng)獲取信息，有可能假冒一方的信謄或盜取被假冒一方的交易成果等。

4.惡意破壞。由于攻擊者可以接入網(wǎng)絡(luò)，則可能對(duì)網(wǎng)絡(luò)中的信息進(jìn)行修改，掌握網(wǎng)上的機(jī)要信息，甚至可以潛入網(wǎng)絡(luò)內(nèi)部，破壞網(wǎng)絡(luò)的硬件或軟件而導(dǎo)致交易信息傳遞丟失與謬誤。計(jì)算機(jī)網(wǎng)絡(luò)本身容易遭到一些惡意程序的破壞，而使電子商務(wù)信息遭到破壞。

二、電子商務(wù)的安全要求

1.交易者身份的可認(rèn)證性。在傳統(tǒng)的交易中，交易雙方往往是面對(duì)面進(jìn)行活動(dòng)的，這樣很容易確認(rèn)對(duì)方的身份。即使開始不熟悉，不能確信對(duì)方，也可以通過對(duì)方的簽名、印章、證書等一系列有形的身份憑證來鑒別身份。然而，在進(jìn)行網(wǎng)上交易時(shí)，情況就大不一樣了，因?yàn)榫W(wǎng)上交易的雙方可能素昧平生，相隔千里，并且在整個(gè)交易過程中都可能不見一面。要使交易成功，首先要能驗(yàn)證對(duì)方的身份，對(duì)商家要考慮客戶端不能是騙子，而客戶也會(huì)擔(dān)心網(wǎng)上的商店是不是一個(gè)玩弄欺詐的黑店。因此能方便而可靠地確認(rèn)對(duì)方身份是交易的前提。

2.信息的機(jī)密性。由于電子商務(wù)是建立在一個(gè)開放的網(wǎng)絡(luò)環(huán)境上的，維護(hù)商業(yè)機(jī)密是電子商務(wù)全面推廣應(yīng)用的重要保障。當(dāng)交易雙方通過Internet交換信息時(shí)，如果不采取適當(dāng)?shù)谋Ｃ艽胧?，就可能將通信?nèi)容泄密；另外，在網(wǎng)絡(luò)上的文件信息如果不加密的話，也有可能被黑客竊取。上述種種情況都有可能造成敏感商業(yè)信息的泄漏，導(dǎo)致商業(yè)上的巨大損失。因此，電子商務(wù)一個(gè)重要的安全需求就是信息的保密性。這意味著，一定要對(duì)敏感信息進(jìn)行加密，即使別人截獲或竊取了數(shù)據(jù)，也無法識(shí)別信息的真實(shí)內(nèi)容，以使商業(yè)機(jī)密信息難以被泄漏。

3.信息的真實(shí)完整性。信息輸入時(shí)的意外差錯(cuò)或欺詐行為、傳輸過程中信息的丟失、重復(fù)或傳送次序差異都會(huì)導(dǎo)致貿(mào)易各方信息的不同。交易的文件是不可被修改的，應(yīng)該保證接受方收到的信息確實(shí)是發(fā)送方發(fā)送的，中途沒有被非法用戶篡改過。電子交易文件必須做到不可修改，以保障交易的嚴(yán)肅和公正。

三、電子商務(wù)交易中的一些網(wǎng)絡(luò)安全技術(shù)

針對(duì)以上問題現(xiàn)在廣泛采用了身份識(shí)別技術(shù)、數(shù)據(jù)加密技術(shù)、數(shù)字簽名技術(shù)和放火墻技術(shù)。

1.身份識(shí)別技術(shù)。通過電子網(wǎng)絡(luò)開展電子商務(wù)，身份識(shí)別問題是一個(gè)必須解決的問題。一方面，只有合法用戶才可以使用網(wǎng)絡(luò)資源，所以網(wǎng)絡(luò)資源管理要求識(shí)別用戶的身份;另一方面，傳統(tǒng)的交易方式，交易雙方可以面對(duì)面地談判交涉，很容易識(shí)別對(duì)方的身份。通過電子網(wǎng)絡(luò)交易方式，交易雙方不見面，并且通過普通的電子傳輸信息很難確認(rèn)對(duì)方的身份。因此，電子商務(wù)中的身份識(shí)別問題顯得尤為突出。

2.數(shù)據(jù)加密技術(shù)。加密技術(shù)是電子商務(wù)中采取的主要安全措施，貿(mào)易方可根據(jù)需要在信息交換的階段使用。目前，加密技術(shù)分為兩類，即對(duì)稱加密/對(duì)稱密鑰加密/專用密鑰加密和非對(duì)稱加密/公開密鑰加密?，F(xiàn)在許多機(jī)構(gòu)運(yùn)用PKI(publickeyInfrastructur的縮寫，即“公開密鑰體系”）技術(shù)實(shí)施構(gòu)建完整的加密/簽名體系，更有效地解決上述難題，在充分利用互聯(lián)網(wǎng)實(shí)現(xiàn)資源共享的前提下從真正意義上確保了網(wǎng)上交易與信息傳遞的安全。3.智能化防火墻技術(shù)。智能防火墻從技術(shù)特征上，是利用統(tǒng)計(jì)、記憶、概率和決策的智能方法來對(duì)數(shù)據(jù)進(jìn)行識(shí)別，并達(dá)到訪問控制的目的。新的方法，消除了匹配檢查所需要的海量計(jì)算，高效發(fā)現(xiàn)網(wǎng)絡(luò)行為的特征值，直接進(jìn)行訪問控制。智能防火墻成功地解決了普遍存在的拒絕服務(wù)攻擊(DDOS)的問題、病毒傳播問題和高級(jí)應(yīng)用入侵問題，代表著防火墻的主流發(fā)展方向。新型智能防火墻自身的安全性較傳統(tǒng)的防火墻有很大的提高，在特權(quán)最小化、系統(tǒng)最小化、內(nèi)核安全、系統(tǒng)加固、系統(tǒng)優(yōu)化和網(wǎng)絡(luò)性能最大化方面，與傳統(tǒng)防火墻相比較有質(zhì)的飛躍。

四、結(jié)束語(yǔ)

電子商務(wù)安全對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全與商務(wù)安全提出了雙重要求，其復(fù)雜程度比大多數(shù)計(jì)算機(jī)網(wǎng)絡(luò)都高。在電子商務(wù)的建設(shè)過程中涉及到許多安全技術(shù)問題，制定安全技術(shù)規(guī)則和實(shí)施安全技術(shù)手段不僅可以推動(dòng)安全技術(shù)的發(fā)展，同時(shí)也促進(jìn)安全的電子商務(wù)體系的形成。當(dāng)然，任何一個(gè)安全技術(shù)都不會(huì)提供永遠(yuǎn)和絕對(duì)的安全，因?yàn)榫W(wǎng)絡(luò)在變化，應(yīng)用在變化，入侵和破壞的手段也在變化，只有技術(shù)的不斷進(jìn)步才是真正的安全保障。

參考文獻(xiàn):

篇9

[關(guān)鍵詞] 計(jì)算機(jī)網(wǎng)絡(luò) 互聯(lián)網(wǎng) 電子商務(wù) 安全 保護(hù)

一、安全的重要性以及存在的安全問題及其原因

計(jì)算機(jī)網(wǎng)絡(luò)之所以存在著脆弱性，主要是由于技術(shù)本身存在著安全弱點(diǎn)、系統(tǒng)的安全性差、缺乏安全性實(shí)踐等。此外，信息安全處在初期發(fā)展階段，缺少網(wǎng)絡(luò)環(huán)境下用于產(chǎn)品評(píng)價(jià)的安全性準(zhǔn)則和評(píng)價(jià)工具。系統(tǒng)管理人員的安全意識(shí)和安全管理培訓(xùn)等也相對(duì)缺乏。在系統(tǒng)安全受到威脅時(shí)，缺少應(yīng)有的完整的安全管理方法、步驟和安全對(duì)策，如事故通報(bào)、風(fēng)險(xiǎn)評(píng)估、改正安全缺陷、評(píng)估損失、相應(yīng)的補(bǔ)救恢復(fù)措施等。

根據(jù)攻擊能力的組織結(jié)構(gòu)程度和使用的手段，可以將威脅歸納為四種基本類型：無組織結(jié)構(gòu)的內(nèi)部和外部威脅與有組織結(jié)構(gòu)的內(nèi)部和外部威脅。一般來講，對(duì)外部威脅，安全性強(qiáng)調(diào)防御；對(duì)內(nèi)部威脅，安全性強(qiáng)調(diào)威懾。

1.病毒。病毒是由一些不正直的程序員所編寫的計(jì)算機(jī)程序，它采用了獨(dú)特的設(shè)計(jì)，可以在受到某個(gè)事件觸發(fā)時(shí)，復(fù)制自身，并感染計(jì)算機(jī)。如果在病毒可以通過某個(gè)外界來源進(jìn)入網(wǎng)絡(luò)時(shí)（大多數(shù)是通過某個(gè)受到感染的磁盤或者某個(gè)從互聯(lián)網(wǎng)上下載的文件），網(wǎng)絡(luò)才會(huì)感染病毒。當(dāng)網(wǎng)絡(luò)上的一臺(tái)計(jì)算機(jī)被感染時(shí)，網(wǎng)絡(luò)上的其他計(jì)算機(jī)就非常有可能感染到這種病毒。2.特洛伊木馬程序。特洛伊木馬程序，是破壞性代碼的傳輸工具。特洛伊表面上看起來是無害的或者有用的軟件程序，例如計(jì)算機(jī)游戲，但是它們實(shí)際上是偽裝的敵人。特洛伊可以刪除數(shù)據(jù)，將自身的副本發(fā)送給電子郵件地址簿中的收件人，以及開啟計(jì)算機(jī)進(jìn)行其他攻擊。只有通過磁盤，從互聯(lián)網(wǎng)上下載文件，或者打開某個(gè)電子郵件附件，將特洛伊木馬程序復(fù)制到一個(gè)系統(tǒng)，才可能感染特洛伊。無論是特洛伊還是病毒并不能通過電子郵件本身傳播――它們只可能通過電子郵件附件傳播。3.惡意破壞程序。網(wǎng)站會(huì)提供一些軟件應(yīng)用（例如ActiveX和Java Applet）的開發(fā)而變得更加活潑。這些應(yīng)用可以實(shí)現(xiàn)動(dòng)畫和其他一些特殊效果，從而使網(wǎng)站更具有吸引力和互動(dòng)性。但是，由于這些應(yīng)用非常便于下載和運(yùn)行，從而提供了一種造成損害的新工具。惡意破壞程序是指會(huì)導(dǎo)致不同程度破壞的軟件應(yīng)用或者Java小程序。一個(gè)惡意破壞程序可能只會(huì)損壞一個(gè)文件，也可能損壞大部分計(jì)算機(jī)系統(tǒng)。4.攻擊。目前已經(jīng)出現(xiàn)了各種類型的網(wǎng)絡(luò)攻擊，它們通常被分為三類：探測(cè)式攻擊，訪問攻擊和拒絕服務(wù)（DoS）攻擊。(1)探測(cè)式攻擊實(shí)際上是信息采集活動(dòng)，黑客們通過這種攻擊搜集網(wǎng)絡(luò)數(shù)據(jù)，用于以后進(jìn)一步攻擊網(wǎng)。(2)訪問攻擊用于發(fā)現(xiàn)身份認(rèn)證服務(wù)、文件傳輸協(xié)議（FTP）功能等網(wǎng)絡(luò)領(lǐng)域的漏洞，以訪問電子郵件賬號(hào)、數(shù)據(jù)庫(kù)和其他保密信息。(3)DoS攻擊可以防止用戶對(duì)于部分或者全部計(jì)算機(jī)系統(tǒng)的訪問。它們的實(shí)現(xiàn)方法通常是：向某個(gè)連接到企業(yè)網(wǎng)絡(luò)或者互聯(lián)網(wǎng)的設(shè)備發(fā)送大量的雜亂的或者無法控制的數(shù)據(jù)，從而讓正常的訪問無法到達(dá)該主機(jī)。更惡毒的是分布式拒絕服務(wù)攻擊（DDoS），在這種攻擊中攻擊者將會(huì)危及到多個(gè)設(shè)備或者主機(jī)的安全。5.數(shù)據(jù)阻截。通過任何類型的網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)傳輸都可能會(huì)被未經(jīng)授權(quán)的一方截取。犯罪分子可能會(huì)竊聽通信信息，甚至更改被傳輸?shù)臄?shù)據(jù)分組。犯罪分子可以利用不同的方法來阻截?cái)?shù)據(jù)。6.社會(huì)活動(dòng)。社會(huì)活動(dòng)是一種越來越流行的通過非技術(shù)手段獲取保密的網(wǎng)絡(luò)安全信息的手段。7.垃圾信件。垃圾信件被廣泛用于表示那些主動(dòng)發(fā)出的電子郵件或者利用電子郵件廣為發(fā)送未經(jīng)申請(qǐng)的廣告信息的行為。垃圾信件通常是無害的，但是它可能會(huì)浪費(fèi)接收者的時(shí)間和存儲(chǔ)空間，帶來很多麻煩。

二、技術(shù)保障策略

1.加密。加密方法多種多樣，在網(wǎng)絡(luò)信息中一般是利用信息變換規(guī)則把明文的信息變成密文的信息。既可對(duì)傳輸信息加密，也可對(duì)存儲(chǔ)信息加密，把計(jì)算機(jī)數(shù)據(jù)變成一堆亂七八糟的數(shù)據(jù)，攻擊者即使得到經(jīng)過加密的信息，也不過是一串毫無意義的字符。加密可以有效地對(duì)抗截收、非法訪問等威脅。2.數(shù)字簽名。數(shù)字簽名機(jī)制提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等安全問題。數(shù)字簽名采用一種數(shù)據(jù)交換協(xié)議，使得收發(fā)數(shù)據(jù)的雙方能夠滿足兩個(gè)條件：接受方能夠鑒別發(fā)送方宣稱的身份；發(fā)送方以后不能否認(rèn)他發(fā)送過數(shù)據(jù)這一事實(shí)。數(shù)據(jù)簽名一般采用不對(duì)稱加密技術(shù)，發(fā)送方對(duì)整個(gè)明文進(jìn)行加密變換，得到一個(gè)值，將其作為簽名。接收者使用發(fā)送者的公開密鑰對(duì)簽名進(jìn)行解密運(yùn)算，如其結(jié)果為明文，則簽名有效，證明對(duì)方身份是真實(shí)的。3.鑒別。鑒別的目的是驗(yàn)明用戶或信息的正身。對(duì)實(shí)體聲稱的身份進(jìn)行惟一識(shí)別，以便驗(yàn)證其訪問請(qǐng)求，或保證信息來源以驗(yàn)證消息的完整性，有效地對(duì)抗冒充、非法訪問、重演等威脅。按照鑒別對(duì)象的不同，鑒別技術(shù)可以分為消息鑒別和通信雙方相互鑒別；按照鑒別內(nèi)容不同，鑒別技術(shù)可以分為用戶身份鑒別和消息內(nèi)容鑒別。鑒別的方法很多：利用鑒別碼驗(yàn)證消息的完整性；利用通行字、密鑰、訪問控制機(jī)制等鑒別用戶身份，防止冒充、非法訪問；當(dāng)今最佳的鑒別方法是數(shù)字簽名。4.訪問控制。訪問控制的目的是防止非法訪問。訪問控制是采取各種措施保證系統(tǒng)資源不被非法訪問和使用。一般采用基于資源的集中式控制、基于資源和目的地址的過濾管理以及網(wǎng)絡(luò)簽證等技術(shù)來實(shí)現(xiàn)。5.防火墻。防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來越多地應(yīng)用于專用網(wǎng)絡(luò)與公共網(wǎng)絡(luò)的互聯(lián)環(huán)境中。大型網(wǎng)絡(luò)系統(tǒng)與Internet互聯(lián)的第一道屏障就是防火墻。防火墻通過控制和監(jiān)測(cè)網(wǎng)絡(luò)之間的信息交換和訪問行為來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全的有效管理，其基本功能為：過濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù)；管理進(jìn)、出網(wǎng)絡(luò)的訪問行為；封堵某些禁止行為；記錄通過防火墻的信息內(nèi)容和活動(dòng)；對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警。

總之，隨著時(shí)間的推移，越來越多的新技術(shù)將用于進(jìn)一步地提高業(yè)務(wù)和通信的效率。如果企業(yè)始終站在這種新型技術(shù)的前列，并能夠防御最新的安全威脅和攻擊，網(wǎng)絡(luò)所帶來的好處必然將遠(yuǎn)遠(yuǎn)超過它所帶來的風(fēng)險(xiǎn)。

參考文獻(xiàn)：

篇10

    關(guān)鍵詞:中國(guó)移動(dòng)電子商務(wù);現(xiàn)狀;問題及對(duì)策;趨勢(shì)

    移動(dòng)電子商務(wù)是傳統(tǒng)互聯(lián)網(wǎng)電子商務(wù)在移動(dòng)領(lǐng)域的延伸和發(fā)展,是指通過手機(jī)、PDA、筆記本電腦等移動(dòng)通信設(shè)備與因特網(wǎng)結(jié)合進(jìn)行信息查詢、商務(wù)交易及對(duì)信息、服務(wù)和商品的價(jià)值交換等電子商務(wù)活動(dòng)的過程和行為。隨著移動(dòng)通信技術(shù)、互聯(lián)網(wǎng)技術(shù)和信息處理技術(shù)的快速發(fā)展,人們已經(jīng)不再滿足于傳統(tǒng)的商務(wù)活動(dòng),而是希望隨時(shí)隨地進(jìn)行收發(fā)電郵、移動(dòng)支付、定購(gòu)各種商品等商務(wù)活動(dòng),所以移動(dòng)電子商務(wù)成為人們關(guān)注和研究的熱點(diǎn)。與傳統(tǒng)通過臺(tái)式電腦平臺(tái)開展的電子商務(wù)相比,移動(dòng)電子商務(wù)擁有更為廣泛的用戶基礎(chǔ),因此,也具有更為廣闊的應(yīng)用前景,特別是在當(dāng)前3G背景下,移動(dòng)電子商務(wù)正逐漸憑借技術(shù)和應(yīng)用上的優(yōu)越性,顯示出強(qiáng)大的生命力。

    一、中國(guó)移動(dòng)電子商務(wù)現(xiàn)狀

    迄今為止,我國(guó)移動(dòng)電子商務(wù)技術(shù)的發(fā)展經(jīng)歷了三個(gè)階段。第一個(gè)階段是以短訊為基礎(chǔ)的技術(shù);第二個(gè)階段的移動(dòng)電子商務(wù)采用基于WAP技術(shù)的方式;第三個(gè)階段是以2009年發(fā)放牌照為標(biāo)志、能夠?qū)崿F(xiàn)無縫漫游和移動(dòng)寬帶的3G時(shí)代。3G背景下,無線通信產(chǎn)品能夠?yàn)槿藗兲峁┧俣雀哌_(dá)2Mb/s的寬帶多媒體業(yè)務(wù),支持高質(zhì)量的語(yǔ)音分組交換數(shù)據(jù)多媒體業(yè)務(wù)和多用戶速率通信。

    (一)移動(dòng)客戶群龐大

    根據(jù)工業(yè)和信息化部的數(shù)據(jù)顯示,2009年中國(guó)手機(jī)終端的數(shù)量已經(jīng)達(dá)到7.74億,接近上網(wǎng)用戶數(shù)量的3倍,而來自CNNIC的數(shù)據(jù)顯示,2009年底中國(guó)手機(jī)網(wǎng)民的數(shù)量已突破2.33億,手機(jī)網(wǎng)民規(guī)模呈現(xiàn)迅速增長(zhǎng)的勢(shì)頭。這表明我國(guó)移動(dòng)電子商務(wù)業(yè)務(wù)的發(fā)展具有巨大的潛力。艾瑞咨詢預(yù)計(jì),2011年移動(dòng)電子商務(wù)營(yíng)收規(guī)模將達(dá)到1.7億元。

    (二)國(guó)家政策支持

    包括移動(dòng)電子商務(wù)在內(nèi)的電子商務(wù)被列入了2006年3月頒布的《國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展信息化“十一五”規(guī)劃》。2007年6月,發(fā)改委與原國(guó)務(wù)院信息辦又專門出臺(tái)了《電子商務(wù)發(fā)展“十一五”規(guī)劃》,其中移動(dòng)電子商務(wù)試點(diǎn)工程作為六大重點(diǎn)引導(dǎo)工程之一。規(guī)劃中明確指出“鼓勵(lì)基礎(chǔ)電信運(yùn)營(yíng)商、電信增值業(yè)務(wù)服務(wù)商、內(nèi)容服務(wù)提供商和金融服務(wù)機(jī)構(gòu)相互協(xié)作,建設(shè)移動(dòng)電子商務(wù)服務(wù)平臺(tái)”、“發(fā)展小額支付服務(wù)、便民服務(wù)和商務(wù)信息服務(wù),探索面向不同層次消費(fèi)者的新型服務(wù)模式”,并確定了轉(zhuǎn)變經(jīng)濟(jì)發(fā)展方式、方便百姓生活和帶動(dòng)戰(zhàn)略產(chǎn)業(yè)發(fā)展的三大目標(biāo),三大目標(biāo)正在逐步實(shí)現(xiàn),初步顯現(xiàn)了移動(dòng)電子商務(wù)巨大的效益和潛力。

    (三)無線基礎(chǔ)設(shè)施建設(shè)迅速

    近年來,政府加大了對(duì)電信基礎(chǔ)建設(shè)的投資力度,中國(guó)移動(dòng)、中國(guó)電信和中國(guó)聯(lián)通三大電信運(yùn)營(yíng)商在2009年8月前完成了其3G網(wǎng)絡(luò)的第一階段部署工作。基于CDMA的3G服務(wù),即中國(guó)電信的CDMA2000和中國(guó)聯(lián)通的WCDMA,發(fā)展迅速。相比之下,中國(guó)移動(dòng)的TD-SCDMA3G技術(shù)的商業(yè)化進(jìn)程比預(yù)期緩慢。在網(wǎng)絡(luò)部署方面,中國(guó)電信在3G領(lǐng)域方面動(dòng)作最快,預(yù)計(jì)它將發(fā)動(dòng)價(jià)格戰(zhàn)以吸引更多的用戶。3G網(wǎng)絡(luò)的鋪設(shè),加速了我國(guó)移動(dòng)電子商務(wù)的發(fā)展。

    二、目前中國(guó)移動(dòng)電子商務(wù)所面臨的問題及對(duì)策

    (一)理論研究欠缺

    綜觀近年來研究移動(dòng)電子商務(wù)的學(xué)術(shù)論文,雖然論文的數(shù)量呈現(xiàn)增長(zhǎng)趨勢(shì),但是研究?jī)?nèi)容大都是“移動(dòng)安全”和“無線移動(dòng)通信系統(tǒng)”方面的論文,而且研究方法僅僅停留在非實(shí)證研究的層次上,研究深度不夠,顯示出移動(dòng)電子商務(wù)新應(yīng)用研究創(chuàng)新的不足。應(yīng)根據(jù)我國(guó)移動(dòng)電子商務(wù)的發(fā)展,采取實(shí)證的方法,加強(qiáng)對(duì)移動(dòng)電子商務(wù)行為、模式、安全和跨文化等方面的研究。