电子商务信息安全技术.doc

电子商务信息安全技术关键词：电子商务 信息安全框架 安全技术；加密技巧；数字认证；防火墙。摘要：电子商务安全策略是对企业的核心资产进行全面系统的保护，不断的更新企业系统的安全防护，找出企业系统的潜在威胁和漏洞，识别，控制，消除存在安全风险的活动。电子商务安全是相对的，不是绝对的，不能认为存在永远不被攻破的系统，当然无论是何种模式的电子商务网站都要考虑到为了系统安全所要付出的代价和消耗的成本。电子商务在安全方面所面临的问题,已成为制约其发展的关键。文中通过对电子商务现状、对安全需求分析，探讨了电子商务安全技术体系结构，揭示其各安全技术间的层次关系，并介绍了其中的核心技术。引言： 电子商务即EC（Electronic Commerce），简单讲就是利用先进的电子技术进行商务活动的总称。电子商务包括两个方面：一是商务活动;二是电子化手段。现代电子商务是基于Internet技术的新型的商务活动，是21世纪市场经济商务运行的主要模式。由于Internet的全球性和开放性，不受时间和空间的限制，给电子商务交易带来了种种不安全因素。网络上的信息安全问题已成为影响电子商务发展的重要因素之一。因此，研究在开放的网络环境下电子商务安全问题就变的非常地迫切和重要了。 一、电子商务信息安全现状当前，电子商务所面临的信息安全现状不容乐观。所据美国网络界权威杂志信息安全杂志披露，从事电子商务的企业比一般企业承担着更大的信息风险。其中,前者遭黑客攻击的比例高出一倍，感染病毒、恶意代码的可能性高出9%，被非法入侵的频率高出10%，而被诈骗的可能性更是比一般企业高出2.2倍。调查显示，近年来，我国发生的通过网络进行的电子商务金融犯罪多达200起，造成上亿元的经济损失。中国网民对网上交易的最大担心莫过于支付信息的安全问题，超过八成的网民对网上交易的安全性表示担忧。信息安全问题成为困扰网上交易的一大难题。目前，我国的信息安全研究已经历了通信保密、计算机数据保护两个发展阶段，现正处于网络信息安全研究阶段。通过学习、吸收、消化等手段，已逐步掌握了部分网络安全和电子商务安全技术，进行了安全操作系统、多级安全数据库的研制探索，但由于没有掌握系统核心技术，使得要开发出有自主知识产权的信息产品困难重重，而基于国外具体产品开发出的安全系统则难以完全杜绝安全漏洞或“后门”。在借鉴国外先进技术的基础上，国内一些企业也研制开发出一些安全产品，如防火墙、黑客入侵检测系统、电子商务安全交易系统、安全路由器等。但这些产品安全技术的规范性、完善性、实用性还存在许多不足，理论基础和自主的技术手段需要发展和强化。此外，国内不少电子商务企业对网络信息安全意识不强。无论在建网立项、规划设计上，还是在网络运行管理和使用中，更多的是考虑效益、方便、快捷，而把安全、保密、抗攻击放在了次要地位，出现了诸如对网络实用性要求多，对系统安全性论证少；对网络设备投资多，对安全设施投入少；在操作技能培训上用时多，在安全防范知识的普及与提高上用时少的短期行为。二、电子商务安全面临的威胁（一）、电子商务网络安全面临的威胁1、黑客攻击网络中总是存在各种安全漏洞,因此黑客的攻击行为是威胁电子商务安全的一大隐患。黑客攻击网络的目的通常是扰乱系统正常运行或者窃取重要的商业机密,其惯用的攻击手段为:窃听,即黑客通过截获通讯信道上的重要数据并破译来达到窃取用户机密的目的;重发攻击,黑客为达到影响系统正常运行的目的,而将窃听得到的数据经过篡改之后重新发回服务器或者数据库用户;迂回攻击,黑客掌握电子商务数据库系统的安全漏洞之后,绕过数据库系统而直接访问机密数据;假冒攻击,黑客先是采取发送大量无意义的报文而堵塞服务器和客户终端的通讯端口以后,再通过假冒该客户或者该服务器的方法来非法操作数据库系统;越权攻击,黑客属于一个合法用户,但是其通过某种手段使自己去访问没有得到授权的数据。2、系统漏洞电子商务系统的网络入侵者能够根据系统本身的安全漏洞得到系统的数据操作权限。而漏洞产生的原因往往是管理系统没有及时打补丁或者在安全方面的设置中总是选择默认设置。此外,如果由于安全检查措施级别太低,或者审核机制应用不当、软件存在的风险以及管理风险等,都会使系统形成安全漏洞,从而给破坏者以入侵的机会。（二）、电子商务信息安全面临的威胁1、电子商务信息存储安全隐患信息存储安全是指电子商务信息在静态存放中的安全。其信息安全隐患主要包括：非授权调用信息和篡改信息内容。企业的Intra与Inter联接后，电子商务的信息存储安全面临着内部和外部两方面的隐患：内部隐患：主要是企业的用户故意或无意的非授权调用电子商务信息或未经许可随意增加、删除、修改电子商务信息。外部隐患：主要是外部人员私自闯入企业Intra，对电子商务信息故意或无意的非授权调用或增加、删除、修改。隐患的主要来源有：竞争对手的恶意闯入、信息间谍的非法闯入以及黑客的骚扰闯入。2.电子商务信息传输安全隐患信息传输安全是指电子商务运行过程中，物流、资金流汇成信息流后动态传输过程中的安全。其安全隐患主要包括：（1）窃取商业秘密；（2）攻击网站；（3）网上诈骗；（4）否认发出信息。3.电子商务交易双方的信息安全隐患传统商务活动是面对面进行的，交易双方能较容易地建立信任感并产生安全感。而电子商务是买卖双方通过Inter的信息流动来实现商品交换的，信息技术手段使不法之徒有机可乘，这就使得电子商务的交易双方在安全感和信任程度等方面都存在疑虑。电子商务的交易双方都面临着信息安全的威胁。（1）卖方面临的信息安全威胁。例如，假冒合法用户名义改变商务信息内容，致使电子商务活动中断，造成商家名誉和用户利益等方面的受损；恶意竞争者冒名订购商品或侵入网络内部以获取营销信息和客户信息；信息间谍通过技术手段窃取商业秘密；黑客入侵并攻击服务器，产生大量虚假订单挤占系统资源，令其无法响应正常的业务操作。（2）买方面临的信息安全威胁。如用户身份证明信息被拦截窃用，以致被要求付帐或返还商品；域名信息被监听和扩散，被迫接收许多无用信息甚至个人隐私被泄露；发送的商务信息不完整或被篡改，用户无法收到商品；受虚假广告信息误导购买假冒伪劣商品或被骗钱财；遭黑客破坏，计算机设备发生故障导致信息丢失。三、电子商务安全技术电子商务安全技术包括备份技术、密码技术、认证技术以及访问控制技术等。1.备份技术。所谓数据库备份与恢复方案,目的是在数据库系统故障并且短时间内难以恢复时,用存储在备份介质中的数据将数据库还原到备份时的状态。数据备份根据数据库管理系统类型的不同,有多种备份实施计划。比如对SQLServer而言,有数据库备份、事务日志备份、增量备份和文件及文件组备份。电子商务信息系统的数据库管理系统中必须建立详细的备份与恢复策略。可以把电子商务数据库的故障或障碍分为以下三类:系统故障、事务故障以及介质故障。当发生某种类型的故障时,为了把企业的损失减少到最低,必须在最短的时间内恢复数据,因此,根据企业的实际情况和数据类型与特点,制定出一套合理而经济的备份和恢复策略是必要的。2.认证技术。认证技术可以阻止不拥有系统授权的用户非法破坏敏感机密的数据,是数据库管理系统为防止各种假冒攻击安全策略。口令的识别是数据库管理系统进行身份认证的一种方式,每个具体用户都被系统事先分配一个固定的用户名与密码,电子商务系统的许多数据具有开放性特征,因此必须对每个访问系统的用户的身份进行认证。在用户对敏感关键的数据进行存取时,必须在客户与数据库管理系统之间进行身份认证。3.访问控制技术。访问控制方案有三种,分别叫做自主存取控制(DAC)、强制存取控制(MAC)和基于角色的存取控制(RBAC)。当用户对数据库进行访问时,系统会根据用户的级别与权限来判定此操作是允许的或者禁止的,从而达到保护敏感数据不被泄露或者篡改的目的。在数据库管理系统中,不同的用户拥有不同的权限。因此必须保证某个用户只能访问或者存取与自己权限相应的数据范围。用户所拥有的权限包括两方面的内容:一是用户可以访问数据库中什么样的数据对象,二是用户可以对这些数据对象进行什么样的操作。4.审计技术。这种有效机制可以在最大程度上保证数据库管理系统的信息安全。有两种审计方式:用户审计和系统审计。用户启用审计功能将在数据字典中记录每个用户操作数据库的全部细节,包括用户名称,操作类型等等;而系统审计则由DBA来进行。审计技术是数据库管理系统对相关用户的所有操作过程进行监视的一种安全方案,该安全方案的具体做法是在审计日志记录中存放各用户对数据库施加的动作,包括用户的修改、查询和删除等操作。5.加密技术。数据库管理系统的加密以字段为最小单位进行,加密和解密通常是通过对称密码机制的密钥来实现。数据加密时,数据库管理系统把明文数据经过密钥转换为密文数据,数据库中数据的存储状态都是密文数据,而在得到权限的用户查询时,再将密文数据取出并解密,从而恢复明文数据。使数据库的安全性得到进一步提升。电子商务系统中的一些商业机密数据是不允许普通用户进行随意访问的。加密方案的目的是控制以上这些机密数据只能被得到相应授权的特定人群所访问和存取。四、电子商务网络安全的解决方案 (一)电子商务安全协议安全协议的确立和完善是安全系统走上规范化、标准化道路的基本因素。一个较为完善的电子商务系统,应该满足电子商务的安全需求,实现加密机制、验证机制和保护机制等功能。目前,已开发和应用的协议有:IPv6、安全套接层协议、安全HTTP协议和安全电子交易协议等。本部分着重论述其中安全电子交易协议的具体实现机制。安全电子交易协议简称SET,是一种基于信息流的安全协议,其目的是保证用户、商家和银行之间在开放的网络环境之下进行安全可靠的信用卡交易。它的出现,使从前只能在银行之间进行的电子货币交易行为范围扩展到了普通用户的个人电脑领域。SET的技术核心是认证与加密,包括公开密匙加密、电子数字签名、电子信封、电子安全证书等。以加密技术为核心,结合其他技术体制,满足用户在电子商务交易中的保密性、完整性和不可抵赖性等安全需求。基于SET安全协议的网络电子商务交易流程,几乎完全等同于现实物理世界的交易过程,唯一的不同点是交易发生环境为因特网。SET的主要安全措施为:电子数字签名技术。这种方式结合了私钥和公钥体制,采用安全性高、管理方便的RSA算法,交易数据的发出者先将数据用私钥加密,而数据抵达接收方后,用发送者的公钥对数据进行解密还原。一个私钥严格关联着一个公钥,因此,数据发出者的信息只能被相应的接收者收到。这种方式的发送方无法抵赖自己曾经发出过的交易数据信息。电子信封技术。交易信息数据的发出者将所发的信息用DES加密,然后再使用接收者的公钥把DES的对称密钥加密,这个过程叫做给信息加了电子数字信封。随后,交易信息的发出者将DES加密交易数据和电子信封本身一起发给交易数据的信息接收者。对方收到这些数据之后,用其自己的公钥打开电子信封,还原出发送者的DES对称密钥,接着用这个对称密钥去还原交易数据。这就确保了只有用交易信息接收者的密钥才可以查看电子信封,因此接收者的身份就可以确定。SET协议的目标是解决交易环节中各个参与者(用户、商家和银行)之间使用信用卡支付的安全问题。它应用于电子交易环节,可以有效地保证商务数据的保密性、一致性、完整性和不可抵赖性。五、电子商务安全策略主要技术1.防火墙技术防火墙技术是一种保护本地网络，并对外部网络攻击进行抵制的重要网络安全技术之一，是提供信息安全服务，实现网络信息安全的基础设施。总体可以分为：数据包过滤型防火墙、应用级网关型防火墙、代理服务型防火墙等几类。防火墙具有5种基本功能：（1）抵挡外部攻击；（2）防止信息泄露；（3）控制管理网络存取和访问；（4）VPN虚拟专用网功能；（5）自身抗攻击能力。2.加密技术加密技术是对传输的信息以某种方法进行伪装并隐藏其内容，而达到不被第三方所获取其真实内容的一种方法。在电子商务过程中，采用加密技术将信息隐藏起来，再将隐藏的信息传输出去，这样即使信息在传输的过程中被窃取，非法截获者也无法了解信息内容，进而保证了信息在交换过程中安全性、真实性、能够有效的为安全策略提供帮助。3.数字签名技术是指在对文件进行加密的基础上，为了防止有人对传输过程中的文件进行更改破坏以及确定发信人的身份所采取的手段。在电子商务安全中占有特别重要的地位，能够解决贸易过程中的身份认证、内容完整性、不可抵赖等问题。数字签名过程：发送方首先将原文通过Hash算法生成摘要，并用发送者的私钥进行加密生成数字签名发送给接受方，接收方用发送者的公钥进行解密，得到发送方的报文摘要，最后接收方将收到的原文用Hash算法生成其摘要，与发送方的摘要进行比对。4.数字证书技术数字证书是网络用户身份信息的一系列数据，由第三方公正机构颁发，以数字证书为依据的信息加密技术可以确保网上传输信息的的保密性、完整性和交易的真实性、不可否认性，为电子商务的安全提供保障。标准的数字证书包含：版本号，签名算法，序列号，颁发者姓名，有效日期，主体公钥信息，颁发者唯一标识符，主体唯一标示符等内容。一个合理的安全策略离不开数字证书的支持。5.安全协议技术安全协议能够为交易过程中的信息传输提供强而有力的保障。目前通用的为电子商务安全策略提供的协议主要有电子商务支付安全协议、通信安全协议、邮件安全协议三类。用于电子商务的主要安全协议包括：通讯安全的SSL协议（SecureSocketLayer），信用卡安全的SET协议（SecureElectronicTransaction），商业贸易安全的超文本传输协议（S-HTTP），InternetEDI电子