《论文电子商务 安全问题论文(定稿)》.doc

论文电子商务 安全问题论文(定稿) 电子商务安全问题论文摘要通过分析电子商务安全问题产生原因及电子商务对安全环境的要求，提出电子商务的安全防范策略，并对当前解决电子商务安全的主要技术进行了进一步的阐述和分析，为建立健全电子商务安全系统提供技术性参考。 关键词电子商务安全技术安全协议电子商务的发展已将全球的商务企业都推进到一场真的商业革命大潮中，潮起潮落，安全问题是关键。 电子商务系统是活动在Inter平台上的一个涉及信息、资金和物资交易的综合交易系统，其安全对象是一个开放的、人在其中频繁活动的、与社会系统紧密耦合的复杂系统，它是由商业组织本身(包括营销系统、支付系统、配送系统等)与信息技术系统复合构成的。 系统的安全目标与安全策略，是由组织的性质与需求所决定的。 一、电子商务的安全问题1.电子商务安全问题的产生。 (1)在线交易主体虚拟化带来的安全问题在电子商务环境下，任何人不经登记就可以借助计算机网络发出或接受网络信息，并通过一定程序与其他人达成交易。 虚拟主体的存在使电子商务交易安全受到严重威胁。 (2)虚假信息的发布带来的安全问题当用户以合法身份进入系统后，买卖双方都可能在网络上发布虚假的供求信息，或以过期的信息冒充现在的信息，以骗取对方的钱款或货物。 (3)过低的信用度带来的安全问题低信用度的买方带来的安全问题低信用度的买方，可能存恶意透支或使用伪造的信用卡骗取卖方货物或存在拖延货款行为，卖方需要为此承担风险。 低信用度的买方带来的安全问题卖方不能按质、按量、按时寄送消费者购买的货物，或者不能完全履行与集团购买者签订的合同，造成买方的风险。 低信用度的买卖双方都存在抵赖的情况。 (4)网络欺诈的存在带来的安全问题在电子交易活动中频繁欺诈用户这是网络骗子们常用的骗术，利用电子商务进行欺诈已经成为一种新型犯罪活动，目前这种网上欺诈也已经成为国际性的难题。 (5)电子合同取代书面合同过程中带来的安全问题在在线交易情形下，交易双方的所有信息都是以电子化的形式存储于计算机硬盘或其他电子介质中，这些记录不仅容易被涂擦、删改、复制、遗失，而且不能脱离其记录工具(计算机)而作为证据独立存在。 由此而引发诸多方面的安全问题 (6)网上电子支付过程带来的安全问题完电子商务的网上支付通过信用卡支付和虚拟银行的电子资金划拨来完成。 而实现这一过程涉及网络银行与网络交易客户之间的协议、网络银行与网站之间的合作协议以及安全保障问题。 (7)产品交付过程带来的安全问题有形货物的在线交易中物流配送环节引发的一些特殊问题及无形的信息产品在交付中对于其权利的移转、退货、交付的完成等带来的安全问题。 (8)网络消费者维权时引发的安全问题在线市场的虚拟性和开放性以及网上购物的便捷性都使消费者保护成为突出的问题。 比如质量问题，退赔、修理困难问题等。 (9)网络恶意攻击者的破坏活动带来的安全问题包括系统穿透、违反授权原则、植入、通信监听、通信干扰、中断、拒绝服务、否认等。 2.电子商务对安全环境的要求。 (1)确保信息的安全要求包括有效性、机密性、完整性、可靠性/不可抵赖性/鉴别等； (2)确保授权合法性； (3)确保交易者身份的确定性； (4)确保内部网的严密性。 二、电子商务的安全防范策略经过数十年的探索，电子商务安全防范策略从最初的商务信息保密性发展到商务信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻、防、测、控、管、评”等多方面的基础理论和实施技术。 目前，电子商务安全领域已经形成了9大核心技术，它们是密码技术、身份验证技术、访问控制技术、防火墙技术、安全内核技术、网络反病毒技术、信息泄露防治技术、网络安全漏洞扫描技术、入侵检测技术。 1.电子商务的主要安全技术。 (1)加密技术。 加密技术解决了传送信息的保密问题，可分对称加密和非对称加密。 对称加密是一种传统的信息认证方法,通过信息交换的双方共同约定一个口令或一组密码，建立一个通信双方共享的密钥。 通信的甲方将要发送的信息用私钥加密后传给乙方，乙方用相同的私钥解密后获得甲方传递的信息。 对称加密采用的主要加密算法有DES数据加密标准、三重DES,IDEA,和AES（高级加密算法）等。 其最大优势是加/解密速度快,适合于对大数据量进行加密,但密钥管理困难。 非对称加密又称公开密钥加密，它使用一把公开发布的公开密钥和一把只能由生成密钥对的贸易方掌握的私用密钥来分别完成加密和解密操作。 如贸易的甲方生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易的方乙使用该密钥对信息进行加密后发送给甲方；甲方再用自己保存的另一把私用密钥对加密信息进行解密。 公钥密码技术是密码技术核心，主要采用的算法有RSA算法、DSS/DSA算法和ECC算法。 优点是机制灵活，但加密和解密速度慢。 (2)数字签名。 数字签名解决了而防止他人对传输的文件进行破坏，以及如何确定发信人的身份的问题。 数字签名与书面文件签名有相同功效，它代表了文件的特征，文件如果发生改变，数字签字的值也将发生变化，不同的文件将得到不同的数字签字。 数字签名是采用双重加密的方法，通过流程A、被发送文件用SHA编码加密产生128bit的数字摘要；B、发送方用自己的私用密钥对摘要再加密，形成数字签名；C、将原文和加密的摘要同时传给对方；D、对方用发送方的公共密钥对摘要解密，同时对收到的文件用SHA编码加密产生又一摘要；E、将解密后的摘要和收到的文件在接收方重新加密产生的摘要互对比。 最终实现了防伪、防抵赖。 (3)数字时间戳。 数字时间戳服务提供了对电子文件发表时间的安全保护，由专门的机构提供。 时间戳是一个经加密后形成的凭证文档，它包括需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签字三个部分。 时间戳形成的流程为:用户将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS；DTS在加人了收到文件摘要的日期和时间信息后再对该文件加密(数字签名)，然后送回用户。 数字时间戳是由认证单位DTS来加的，以DTS收到文件的时间为依据。 (4)数字证书。 数字证书是由CA认证中心签发的，用电子手段来证实一个用户的身份和对网络资源的访问权限的凭证。 CA认证中心是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。 数字证书为电子签名相关各方提供真实、可靠验证的公众服务，解决电子商务活动中交易参与各方身份、资信的认定，维护交易活动的安全，从根本上保障电子商务交易活动顺利进行。 在网上的电子交易中，如双方出示了各自的数字证书，就可用它来进行安全交易操作了。 (5)防火墙技术。 网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术，它可以阻止对信息资源的非法访问,也可以使用防火墙阻止专利信息从企业的网络上被非法输出，是最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络。 防火墙有两个基本准则:一是未被允许的就是禁止的；二是未被禁止的就是允许的。 基于该准则,防火墙应转发所有信息流,然后逐项屏蔽可能有害的服务。 这种方法构成了一种更为灵活的应用环境,可为用户提供更多的服务。 2.电子商务安全协议技术。 电子商务安全协议主要有安全套接层协议SSL和安全电子交易SET协议。 此外，还有PCT(专用通信技术)，它只是对SSL进行少量的改进。 SSL协议是向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等的安全措施。 它包括“SSL记录协议”和“SSL握手协议”。 该协议通过在应用程序进行数据交换前交换SSL初始握手信息来实现有关安全特性的审查。 在SSL握手信息中采用了DES、MDS等加密技术来实现机密性和数据完整性，并采用X.509的数字证书实现鉴别。 SSL协议已成为事实上的工业标准而被广泛应用。 通常还采用“SSL+表单签名”的模式使得SSL在电子商务的应用中确保信息的真实性、完整性和保密性的基础上进一步提高电子商务的安全保障。 SET协议是Mastercard公司和Visa公司联合开发的一种应用于因特网环境下,以信用卡为基础的安全电子支付协议。 它可以对交易各方进行认证,可防止商家欺诈,进行安全交易，它给出了一套电子交易的过程规范而成为目前公认的信用卡的网上交易的国际标准。 3.构建电子商务安全控制的框架和制订电子商务标准及法律法规。 通过安全的控制和电子商务标准的推行，有利于解决电子商务的安全性和可靠性问题。 电子商务给企业、消费者和社会所