? [摘要] 隨著個(gè)人計(jì)算機(jī)、計(jì)算機(jī)網(wǎng)絡(luò)、互聯(lián)網(wǎng)和電子商務(wù)的蓬勃發(fā)展，如果不對(duì)它們進(jìn)行妥善的保護(hù)，它們將越來(lái)越容易受到具有破壞性的攻擊的危害。黑客、病毒，甚至人為故障都會(huì)給網(wǎng)絡(luò)帶來(lái)巨大的威脅。電子商務(wù)是新興商務(wù)形式，信息安全的保障是電子商務(wù)實(shí)施的前提。本文針對(duì)電子商務(wù)活動(dòng)中存在的信息安全隱患問(wèn)題，實(shí)施保障電子商務(wù)信息安全的數(shù)據(jù)加密技術(shù)、身份驗(yàn)證技術(shù)、防火墻技術(shù)等技術(shù)性措施，完善電子商務(wù)發(fā)展的內(nèi)外部環(huán)境，促進(jìn)我國(guó)電子商務(wù)可持續(xù)發(fā)展。
?????? [關(guān)鍵詞] 計(jì)算機(jī)網(wǎng)絡(luò) 互聯(lián)網(wǎng) 電子商務(wù) 安全 保護(hù) 一、安全的重要性以及存在的安全問(wèn)題及其原因
??? 撰寫者????????
??????????????????????????????????????????? 　2011年12月20? 日
??? 　　隨著互聯(lián)網(wǎng)技術(shù)的蓬勃發(fā)展，基于網(wǎng)絡(luò)和多媒體技術(shù)的電子商務(wù)應(yīng)運(yùn)而生并迅速發(fā)展。所謂電子商務(wù)（Electronic Commerce, EC）就是借助于公共網(wǎng)絡(luò)，如Internet或開放式計(jì)算機(jī)網(wǎng)絡(luò)（Open Computer Network）進(jìn)行網(wǎng)上交易，快速而又有效地實(shí)現(xiàn)各種商務(wù)活動(dòng)過(guò)程的電子化、網(wǎng)絡(luò)化、直接化。這種商務(wù)過(guò)程包括商品和服務(wù)交易的各個(gè)環(huán)節(jié)，如廣告、商品購(gòu)買、產(chǎn)品推銷、信息咨詢、商務(wù)洽談、金融服務(wù)、商品的支付等商業(yè)交易活動(dòng)。但是出于各種目的的網(wǎng)絡(luò)入侵和攻擊也越來(lái)越頻繁，脆弱的網(wǎng)絡(luò)和不成熟的電子商務(wù)增強(qiáng)了人們的防范心理。從這點(diǎn)上來(lái)看，信息安全問(wèn)題是保障電子商務(wù)的生命線。
??? 　　1電子商務(wù)信息安全現(xiàn)存的問(wèn)題
??? 　　電子商務(wù)是實(shí)現(xiàn)整個(gè)貿(mào)易過(guò)程中各階段貿(mào)易活動(dòng)的電子化。公眾是電子商務(wù)的對(duì)象，信息技術(shù)是實(shí)現(xiàn)電子商務(wù)的基礎(chǔ)，電子商務(wù)實(shí)施的前提是信息的安全保障。信息安全性的含義主要是信息的完整性、可用性、保密性和可靠性。因此電子商務(wù)活動(dòng)中的信息安全問(wèn)題主要體現(xiàn)在：
??? 　　 1.電子商務(wù)安全問(wèn)題的產(chǎn)生。(1)在線交易主體虛擬化帶來(lái)的安全問(wèn)題：在電子商務(wù)環(huán)境下，任何人不經(jīng)登記就可以借助計(jì)算機(jī)網(wǎng)絡(luò)發(fā)出或接受網(wǎng)絡(luò)信息，并通過(guò)一定程序與其他人達(dá)成交易。虛擬主體的存在使電子商務(wù)交易安全受到嚴(yán)重威脅。(2)虛假信息的發(fā)布帶來(lái)的安全問(wèn)題：當(dāng)用戶以合法身份進(jìn)入系統(tǒng)后，買賣雙方都可能在網(wǎng)絡(luò)上發(fā)布虛假的供求信息，或以過(guò)期的信息冒充現(xiàn)在的信息，以騙取對(duì)方的錢款或貨物。(3)過(guò)低的信用度帶來(lái)的安全問(wèn)題：①低信用度的買方帶來(lái)的安全問(wèn)題：低信用度的買方，可能存惡意透支或使用偽造的信用卡騙取賣方貨物或存在拖延貨款行為，賣方需要為此承擔(dān)風(fēng)險(xiǎn)。②低信用度的買方帶來(lái)的安全問(wèn)題：賣方不能按質(zhì)、按量、按時(shí)寄送消費(fèi)者購(gòu)買的貨物，或者不能完全履行與集團(tuán)購(gòu)買者簽訂的合同，造成買方的風(fēng)險(xiǎn)。③低信用度的買賣雙方都存在抵賴的情況。(4)網(wǎng)絡(luò)欺詐的存在帶來(lái)的安全問(wèn)題：在電子交易活動(dòng)中頻繁欺詐用戶這是網(wǎng)絡(luò)騙子們常用的騙術(shù)，利用電子商務(wù)進(jìn)行欺詐已經(jīng)成為一種新型犯罪活動(dòng)，目前這種網(wǎng)上欺詐也已經(jīng)成為國(guó)際性的難題。(5)電子合同取代書面合同過(guò)程中帶來(lái)的安全問(wèn)題：在在線交易情形下，交易雙方的所有信息都是以電子化的形式存儲(chǔ)于計(jì)算機(jī)硬盤或其他電子介質(zhì)中，這些記錄不僅容易被涂擦、刪改、復(fù)制、遺失，而且不能脫離其記錄工具(計(jì)算機(jī))而作為證據(jù)獨(dú)立存在。由此而引發(fā)諸多方面的安全問(wèn)題(6)網(wǎng)上電子支付過(guò)程帶來(lái)的安全問(wèn)題：完電子商務(wù)的網(wǎng)上支付通過(guò)信用卡支付和虛擬銀行的電子資金劃撥來(lái)完成。而實(shí)現(xiàn)這一過(guò)程涉及網(wǎng)絡(luò)銀行與網(wǎng)絡(luò)交易客戶之間的協(xié)議、網(wǎng)絡(luò)銀行與網(wǎng)站之間的合作協(xié)議以及安全保障問(wèn)題。(7)產(chǎn)品交付過(guò)程帶來(lái)的安全問(wèn)題：有形貨物的在線交易中物流配送環(huán)節(jié)引發(fā)的一些特殊問(wèn)題及無(wú)形的信息產(chǎn)品在交付中對(duì)于其權(quán)利的移轉(zhuǎn)、退貨、交付的完成等帶來(lái)的安全問(wèn)題。(8)網(wǎng)絡(luò)消費(fèi)者維權(quán)時(shí)引發(fā)的安全問(wèn)題：在線市場(chǎng)的虛擬性和開放性以及網(wǎng)上購(gòu)物的便捷性都使消費(fèi)者保護(hù)成為突出的問(wèn)題。比如質(zhì)量問(wèn)題，退賠、修理困難問(wèn)題等。(9)網(wǎng)絡(luò)惡意攻擊者的破壞活動(dòng)帶來(lái)的安全問(wèn)題：包括系統(tǒng)穿透、違反授權(quán)原則、植入、通信監(jiān)聽、通信干擾、中斷、拒絕服務(wù)、否認(rèn)等。
??? 　　2.電子商務(wù)對(duì)安全環(huán)境的要求。(1)確保信息的安全要求包括有效性、機(jī)密性、完整性、可靠性/不可抵賴性/鑒別等；(2)確保授權(quán)合法性；(3)確保交易者身份的確定性；(4)確保內(nèi)部網(wǎng)的嚴(yán)密性。
??? 　　二、電子商務(wù)的安全防范策略
??? 　　經(jīng)過(guò)數(shù)十年的探索，電子商務(wù)安全防范策略從最初的商務(wù)信息保密性發(fā)展到商務(wù)信息的完整性、可用性、可控性和不可否認(rèn)性，進(jìn)而又發(fā)展為“攻、防、測(cè)、控、管、評(píng)”等多方面的基礎(chǔ)理論和實(shí)施技術(shù)。目前，電子商務(wù)安全領(lǐng)域已經(jīng)形成了9大核心技術(shù)，它們是：密碼技術(shù)、身份驗(yàn)證技術(shù)、訪問(wèn)控制技術(shù)、防火墻技術(shù)、安全內(nèi)核技術(shù)、網(wǎng)絡(luò)反病毒技術(shù)、信息泄露防治技術(shù)、網(wǎng)絡(luò)安全漏洞掃描技術(shù)、入侵檢測(cè)技術(shù)。
???????? 1.電子商務(wù)的主要安全技術(shù)。
????????????? (1)加密技術(shù)。加密技術(shù)解決了傳送信息的保密問(wèn)題，可分對(duì)稱加密和非對(duì)稱加密。對(duì)稱加密是一種傳統(tǒng)的信息認(rèn)證方法,通過(guò)信息交換的雙方共同約定一個(gè)口令或一組密碼，建立一個(gè)通信雙方共享的密鑰。通信的甲方將要發(fā)送的信息用私鑰加密后傳給乙方，乙方用相同的私鑰解密后獲得甲方傳遞的信息。對(duì)稱加密采用的主要加密算法有DES數(shù)據(jù)加密標(biāo)準(zhǔn)、三重DES,IDEA,和AES（高級(jí)加密算法）等。其最大優(yōu)勢(shì)是加/解密速度快, 適合于對(duì)大數(shù)據(jù)量進(jìn)行加密,但密鑰管理困難。非對(duì)稱加密又稱公開密鑰加密，它使用一把公開發(fā)布的公開密鑰和一把只能由生成密鑰對(duì)的貿(mào)易方掌握的私用密鑰來(lái)分別完成加密和解密操作。如貿(mào)易的甲方生成一對(duì)密鑰并將其中的一把作為公開密鑰向其他貿(mào)易方公開；得到該公開密鑰的貿(mào)易的方乙使用該密鑰對(duì)信息進(jìn)行加密后發(fā)送給甲方；甲方再用自己保存的另一把私用密鑰對(duì)加密信息進(jìn)行解密。公鑰密碼技術(shù)是密碼技術(shù)核心，主要采用的算法有RSA算法、DSS/DSA算法和ECC算法。優(yōu)點(diǎn)是機(jī)制靈活，但加密和解密速度慢。
??? 電子商務(wù)安全是信息安全的上層應(yīng)用，它包括的技術(shù)范圍比較廣，主要分為數(shù)據(jù)加密技術(shù)和身份認(rèn)證技術(shù)兩大類。
??? 2.1數(shù)據(jù)加密技術(shù)
??? 加密。加密方法多種多樣，在網(wǎng)絡(luò)信息中一般是利用信息變換規(guī)則把明文的信息變成密文的信息。既可對(duì)傳輸信息加密，也可對(duì)存儲(chǔ)信息加密，把計(jì)算機(jī)數(shù)據(jù)變成一堆亂七八糟的數(shù)據(jù)，攻擊者即使得到經(jīng)過(guò)加密的信息，也不過(guò)是一串毫無(wú)意義的字符。加密可以有效地對(duì)抗截收、非法訪問(wèn)等威脅。
??? 　2.1.1常規(guī)密鑰密碼加密。所謂常規(guī)密鑰密碼加密，即加密密鑰與解密密鑰是相同的。
??? 　　在早期的常規(guī)密鑰密碼體制中，典型的有代替密碼，其原理可以用一個(gè)例子來(lái)說(shuō)明：字母A，B，C，D，…，W，X，Y，Z的自然順序保持不變，但使之與D，E，F(xiàn)，G，…，Z，A，B，C分別對(duì)應(yīng)（即相差3個(gè)字符）。若明文為WELL則對(duì)應(yīng)的密文為ZHOO（此時(shí)密鑰為3）。
??? 　　由于英文字母中各字母出現(xiàn)的頻度早已有人進(jìn)行過(guò)統(tǒng)計(jì)，所以根據(jù)字母頻度表可以很容易對(duì)這種代替密碼進(jìn)行破譯。
??? 　　2.1.2對(duì)稱密文加密。對(duì)稱密鑰加密又稱為秘密密鑰加密，即收發(fā)雙方采用相同的密鑰來(lái)進(jìn)行加密和解密，如圖1所示。
??? 　　對(duì)稱密鑰加密的最大優(yōu)點(diǎn)是加解密速度快，適合于進(jìn)行大量數(shù)據(jù)加密，但也存在密鑰管理、發(fā)布困難以及無(wú)法進(jìn)行身份鑒別的缺點(diǎn)。
??? 　　2.1.3非對(duì)稱密鑰加密。非對(duì)稱密鑰加密也稱為公開密鑰加密，每個(gè)用戶有一對(duì)密鑰：一個(gè)用于加密，一個(gè)用于解密，兩把密鑰實(shí)際上是兩個(gè)很大的質(zhì)數(shù)，加解密過(guò)程如圖2所示。
??? 　　其中，加密密鑰（公鑰）可以在網(wǎng)絡(luò)服務(wù)器、報(bào)刊等場(chǎng)合公開，而解密密鑰（私鑰）則屬用戶的私有密鑰，由公開的加密密鑰導(dǎo)出私有的解密密鑰在技術(shù)上是不可實(shí)現(xiàn)的。
??? 　　與對(duì)稱密鑰加密相比，采用非對(duì)稱密鑰加密方式密鑰管理較方便，且保密性比較強(qiáng)，但加解密實(shí)現(xiàn)速度比較慢，不適用于通信負(fù)荷較重的應(yīng)用。
??? 2.數(shù)字簽名。數(shù)字簽名機(jī)制提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等安全問(wèn)題。數(shù)字簽名采用一種數(shù)據(jù)交換協(xié)議，使得收發(fā)數(shù)據(jù)的雙方能夠滿足兩個(gè)條件：接受方能夠鑒別發(fā)送方宣稱的身份；發(fā)送方以后不能否認(rèn)他發(fā)送過(guò)數(shù)據(jù)這一事實(shí)。數(shù)據(jù)簽名一般采用不對(duì)稱加密技術(shù)，發(fā)送方對(duì)整個(gè)明文進(jìn)行加密變換，得到一個(gè)值，將其作為簽名。接收者使用發(fā)送者的公開密鑰對(duì)簽名進(jìn)行解密運(yùn)算，如其結(jié)果為明文，則簽名有效，證明對(duì)方身份是真實(shí)的。數(shù)字簽名解決了而防止他人對(duì)傳輸?shù)奈募M(jìn)行破壞，以及如何確定發(fā)信人的身份的問(wèn)題。數(shù)字簽名與書面文件簽名有相同功效，它代表了文件的特征，文件如果發(fā)生改變，數(shù)字簽字的值也將發(fā)生變化，不同的文件將得到不同的數(shù)字簽字。數(shù)字簽名是采用雙重加密的方法，通過(guò)流程：A、被發(fā)送文件用 SHA編碼加密產(chǎn)生128 bit的數(shù)字摘要；B、發(fā)送方用自己的私用密鑰對(duì)摘要再加密，形成數(shù)字簽名；C、將原文和加密的摘要同時(shí)傳給對(duì)方；D、對(duì)方用發(fā)送方的公共密鑰對(duì)摘要解密，同時(shí)對(duì)收到的文件用SHA編碼加密產(chǎn)生又一摘要；E、將解密后的摘要和收到的文件在接收方重新加密產(chǎn)生的摘要互對(duì)比。最終實(shí)現(xiàn)了防偽、防抵賴。
??? 3.鑒別。鑒別的目的是驗(yàn)明用戶或信息的正身。對(duì)實(shí)體聲稱的身份進(jìn)行惟一識(shí)別，以便? 驗(yàn)證其訪問(wèn)請(qǐng)求，或保證信息來(lái)源以驗(yàn)證消息的完整性，有效地對(duì)抗冒充、非法訪問(wèn)、重演等威脅。按照鑒別對(duì)象的不同，鑒別技術(shù)可以分為消息鑒別和通信雙方相互鑒別；按照鑒別內(nèi)容不同，鑒別技術(shù)可以分為用戶身份鑒別和消息內(nèi)容鑒別。鑒別的方法很多：利用鑒別碼驗(yàn)證消息的完整性；利用通行字、密鑰、訪問(wèn)控制機(jī)制等鑒別用戶身份，防止冒充
??? 、非法訪問(wèn)；當(dāng)今最佳的鑒別方法是數(shù)字簽名。
??? 4.訪問(wèn)控制。訪問(wèn)控制的目的是防止非法訪問(wèn)。訪問(wèn)控制是采取各種措施保證系統(tǒng)資源不被非法訪問(wèn)和使用。一般采用基于資源的集中式控制、基于資源和目的地址的過(guò)濾管理以及網(wǎng)絡(luò)簽證等技術(shù)來(lái)實(shí)現(xiàn)。5.防火墻。防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來(lái)越多地應(yīng)用于專用網(wǎng)絡(luò)與公共網(wǎng)絡(luò)的互聯(lián)環(huán)境中。大型網(wǎng)絡(luò)系統(tǒng)與Internet互聯(lián)的第一道屏障就是防火墻。防火墻通過(guò)控制和監(jiān)測(cè)網(wǎng)絡(luò)之間的信息交換和訪問(wèn)行為來(lái)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全的有效管理，其基本功能為：過(guò)濾進(jìn)、出網(wǎng)絡(luò)的數(shù)據(jù)；管理進(jìn)、出網(wǎng)絡(luò)的訪問(wèn)行為；封堵某些禁止行為；記錄通過(guò)防火墻的信息內(nèi)容和活動(dòng)；對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警。
??? 　　總之，隨著時(shí)間的推移，越來(lái)越多的新技術(shù)將用于進(jìn)一步地提高業(yè)務(wù)和通信的效率。如果企業(yè)始終站在這種新型技術(shù)的前列，并能夠防御最新的安全威脅和攻擊，網(wǎng)絡(luò)所帶來(lái)的好處必然將遠(yuǎn)遠(yuǎn)超過(guò)它所帶來(lái)的風(fēng)險(xiǎn)。
??? 　　加密技術(shù)是保證電子商務(wù)中采用的主要安全措施，交易雙方可根據(jù)需要在信息交換階段使用。在一個(gè)加密過(guò)程中有兩個(gè)基本元素：算法和密鑰。加密過(guò)程就是根據(jù)一定的算法，將可理解的數(shù)據(jù)（明文）與一串?dāng)?shù)字（密鑰）相結(jié)合，從而產(chǎn)生不可理解的密文的過(guò)程
??? 　　(2)數(shù)字時(shí)間戳。數(shù)字時(shí)間戳服務(wù)提供了對(duì)電子文件發(fā)表時(shí)間的安全保護(hù)，由專門的機(jī)構(gòu)提供。時(shí)間戳是一個(gè)經(jīng)加密后形成的憑證文檔，它包括需加時(shí)間戳的文件的摘要、DTS收到文件的日期和時(shí)間、DTS的數(shù)字簽字三個(gè)部分。時(shí)間戳形成的流程為:①用戶將需要加時(shí)間戳的文件用HASH編碼加密形成摘要，然后將該摘要發(fā)送到DTS；②DTS在加人了收到文件摘要的日期和時(shí)間信息后再對(duì)該文件加密(數(shù)字簽名)，然后送回用戶。數(shù)字時(shí)間戳是由認(rèn)證單位DTS來(lái)加的，以DTS收到文件的時(shí)間為依據(jù)。
??? 　　(3)數(shù)字證書。數(shù)字證書是由CA認(rèn)證中心簽發(fā)的，用電子手段來(lái)證實(shí)一個(gè)用戶的身份和對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限的憑證。CA認(rèn)證中心是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)、能簽發(fā)數(shù)字證書、并能確認(rèn)用戶身份的服務(wù)機(jī)構(gòu)。數(shù)字證書為電子簽名相關(guān)各方提供真實(shí)、可靠驗(yàn)證的公眾服務(wù)，解決電子商務(wù)活動(dòng)中交易參與各方身份、資信的認(rèn)定，維護(hù)交易活動(dòng)的安全，從根本上保障電子商務(wù)交易活動(dòng)順利進(jìn)行。在網(wǎng)上的電子交易中，如雙方出示了各自的數(shù)字證書，就可用它來(lái)進(jìn)行安全交易操作了。
??? 　　(4)防火墻技術(shù)。網(wǎng)絡(luò)防火墻技術(shù)作為內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的第一道安全屏障，是最先受到人們重視的網(wǎng)絡(luò)安全技術(shù)，它可以阻止對(duì)信息資源的非法訪問(wèn),也可以使用防火墻阻止專利信息從企業(yè)的網(wǎng)絡(luò)上被非法輸出，是最適合于相對(duì)獨(dú)立的與外部網(wǎng)絡(luò)互連途徑有限、網(wǎng)絡(luò)服務(wù)種類相對(duì)集中的單一網(wǎng)絡(luò)。防火墻有兩個(gè)基本準(zhǔn)則:一是未被允許的就是禁止的；二是未被禁止的就是允許的。基于該準(zhǔn)則, 防火墻應(yīng)轉(zhuǎn)發(fā)所有信息流, 然后逐項(xiàng)屏蔽可能有害的服務(wù)。這種方法構(gòu)成了一種更為靈活的應(yīng)用環(huán)境, 可為用戶提供更多的服務(wù)。