职场MBA-电子商务-电子商务的金流与安全机制

第十章

電子商務的金流與平安機制.本章學習目標電子付款電子付款系統電子支付的平安機制電子商務平安電子商務平安工具.傳統付款方式五種問題1.缺乏方便性：傳統的付款方式通常要求顧客離線處理付款事項，例如运用電話傳真信誉卡訂單，銀行轉帳，郵局劃撥或是以寄送支票的方式付款。2.缺乏平安性：為了在網際網路上利用傳統工具進行付款，顧客能够必須在線上傳送信誉卡卡號、銀行帳號、或是個人身份資料。這些機密資料的傳送，有能够在過程中被駭客中途劫取，引發平安上的危險。3.缺乏流通性：信誉卡只能在發卡銀行特約經銷商中买卖流通，其它非特約經銷商處則無法進行买卖，缺乏流通性，而且無法提供個人或公司行號間的付款买卖資料。.傳統付款方式五種問題4.缺乏適用性：信誉卡或是支票的擁有，必須有一定的身份審核標準，並非人人都可以達到合格標準而擁有信誉卡或支票帳戶。5.缺乏進行小額买卖的才干：網際網路上資料的傳輸、資料下載等消費，有許多都是小金額的付款买卖，所以能够為了處理這筆小額买卖所花費的傳輸本钱、電話費或是信件費用都是額外的開銷。處理這些付款的本钱太高，通常只能達到收支平衡，甚至本钱高過收入。.電子付款所謂的電子付款，就是利用數位訊號的傳遞來替代普通貨幣的流動，達到實際支付款項的目的。為此可將電子付款機制定義為「利用數位訊號的傳遞來替代普通貨幣的流動，達到實際款項支付的目的的系統」，如：線上信誉卡付款、電子錢包、電子現金、電子支票、及智慧卡等付款機制。.電子付款系統之平安需求1.身份認證性(authentication)2.資料严密性(confidentiality)3.資料完好性(integrity)4.不可否認性(non-repudiation)—防止拒付.電子买卖中的參與者1.買方(Buyer)：係指在線上买卖中，購買商品或服務的一方，也就是付款者(Payer)。2.賣方(Seller)：係指在線上买卖中，販賣商品或服務的一方，也就是收款者(Payee)。3.發行機構(Issuer)：就是信誉卡發卡銀行。4.收單機構(Acquirer)：提供商店收款金融服務的銀行，它負責代理商店進行應收帳款的清算、管理商店帳戶等。並建立特約商店認證、註冊的各項過程，提供了平安電子商業的運作規範。5.公正第三者(TrustedThirdParty)：負責調解網路买卖上所發生的爭議。6.電子證書認證中心(CertificateAuthorities,CA)：負責核發電子證書(Certificate)，用以確認买卖者的身分。.圖10-1電子付款系統的整體架構.線上信誉卡線上信誉卡系統係將目前卡片式信誉卡的付款方式拓展至網際網路上的應用。顧客在網路商店購物時只需輸入其信誉卡的詳細資料(主要是信誉卡號碼及有效期限)，透過網際網路傳送至販售商品的商店(merchant)，商店再將該資料整合成授權付款訊息傳送至往來的信誉卡取款銀行(acquirerbank)，便可循原有信誉卡的清算系統获得貨款。因此利用以信誉卡為基礎的電子付款系統來進行支付买卖，消費者必須至發卡機構申請合法的信誉卡，網路上的廠商必須與發卡機構簽訂成為特約商店，提供能夠收受顧客信誉卡支付的系統；而電子付款系統本身必須能夠確保客戶資料、信誉卡號碼、买卖內容等具有敏感性質的資料在網際網路上傳輸過程的平安；並且需求有公正的認證機構(普通即為信誉卡發卡組織)對一切买卖的個體發給身份簽證(certificate)，讓买卖雙方能夠在線上立刻驗證對方的身份，及利用簽證上的公開金鑰來進行平安的資料交換，使信誉卡付款买卖能夠在平安正確的狀況下進行。.信誉卡付款系統三種根本的類型1.未加密線上信誉卡付款2.运用加密(如SSL技術)過的線上信誉卡付款3.运用第三方認證的線上信誉卡付款(如SET技術).線上信誉卡之優點1.利用信誉卡來進行網際網路上的電子付款，只是傳統信誉卡付款方式的一個延伸應用，付款买卖的進行與傳統信誉卡郵購的付款方式並無太大的不同，其方式很容易被市場所接受。2.對於消費者而言，只需擁有一張信誉卡便能夠同時运用於普通特約商店與WWW上的虛擬特約商店，亦即消費者可以运用原有的信誉卡帳號，不需求再額外申請一個銀行帳戶或購買電子現金來付款，非常方便；而且信誉卡假设遺失遭冒用，發現後可立刻掛失，之後的損失變由發卡機構負擔，消費者的利益有保证。.線上信誉卡之優點3.對於特約商店而言，以信誉卡為基礎的電子付款系統，有強大的信誉卡發卡組織為後盾，以及全球完善的清算體系，其網路买卖的信誉風險可以轉嫁給發卡組織；加上信誉卡有遍佈世界的运用者，有意在網際網路上進行電子商務的廠商，尤其是欲進行國際貿易的公司，是不能夠沒有提供這種付款服務的。4.網際網路上以信誉卡為基礎的電子付款系統，係以現有信誉卡付款的系統架構與清算體系為基礎，其所遵照的架構清楚明確，因此發展的速度較快，系統整合亦較容易，能夠搶先一步佔領網際網路市場。.線上信誉卡之缺點

1.以信誉卡為基礎的電子付款系統，消費者與廠商都必須参与特定的信誉卡組織，由於消費者申請信誉卡與廠商申請成為信誉卡特約商店，都必須具備一定的條件，將因此限制了網路上的买卖對象與运用範圍。2.以信誉卡付款的每一筆买卖記錄都會被發卡機構記載儲存起來，將會對消費者的隱私權有所危害。.線上信誉卡之缺點3.以信誉卡為基礎的電子付款系統，由於是循原有的信誉卡清算體系，因此以信誉卡付款的每筆买卖，買賣雙方都必須負擔較高的手續費，不適协作為小額付款之用。4.以信誉卡為基礎的電子付款系統，僅能適用於持卡人與特約商定之間的付款之用，並無法作為普通人之間或同一個人的不同帳戶之間在網路上進行資金轉帳之用，適用的用途較少。.線上信誉卡之SSL技術與SET機制之競爭1996年以來，SET機制似乎被廣泛推廣為電子商務平安與严密的最正确解決方案。但是在電子商務持續快速成長的同時，SET機制被接受的腳步似乎緩慢下來了。消費者置信他們在網路上买卖透過SSL機制已經是平安严密的。因此SET目前的發展遠低於SSL。.電子現金所謂的電子現金，是以電子的方式來處理买卖的電子貨幣，而依據電子現金儲存的方式又可分為智慧卡型電子現金與網際網路空間型電子現金智慧卡型電子現金是指將電子現金儲存在一個平安方便的智慧卡中，可由运用者隨身攜帶以取代傳統的貨幣方式，作為买卖媒介之用網際網路空間型電子現金則是买卖雙方設定電子給付系統，以達到付款收款的目的。而不論是哪一種電子現金，都是用電腦資料的方式來儲存及傳遞。而运用者在运用電子現金的時候，並不會暴露运用者的個人資訊，亦即電子現金與傳統現金所具備的匿名性質。.圖4-2電子現金的买卖流程.電子現金系統的優點1.電子現金具有匿名的特性，無法由電子現金的运用追蹤到消費者的身份，對於消費者的隱私權與帳戶的平安性有較佳的保证。2.電子現金在运用時是獨立的，與銀行帳戶沒有直接的關聯，因此沒有买卖過程中帳號或信誉卡號碼遺失、被竊取與被冒用等風險。3.大部分的電子現金系統具有離線驗證的功能，可以在離線的狀況下的進行付款。4.运用者沒有申請條件的限制，而且买卖本钱較低，適合進行任何人或任何機構之間恣意金額大小的付款，尤其是小額付款。5.電子現金未來假设相關發行機構與清算機制發展成熟的話，可以視為網路上的一種法定貨幣，具有普通現金即時兌現的性質，廠商將很樂意遭到這種付款。.電子現金系統的缺點1.假设採用線上的查核，電子現金發行單位必須維護一個大型資料庫，用以記錄已經运用過的電子現金，以防止重複花用的問題。2.電子現金就像現金一樣，沒有追蹤的記號，一旦遺失便很難追回，用戶便因此發生損失。3.電子現金在領出時係有一定的面額，假设購物後需求找錢而廠商沒有適當的零錢面額時，電子現金需求進行分割，處理手續較繁複。4.電子現金是屬於一種現付付款系統，消費者付款時從網路上領出電子現金，銀行帳戶便會馬上減少利息收入；對於金融機構而言，亦會立刻短少帳面存款，對於兩者均屬不利。.電子現金的八個理想特性獨立性平安性匿名性離線付款可傳輸性可分性條件稽核災難復原.MondexiCash.Web-ATM「WebATM」係由實體銀行所提供之網路理財服務。只需透過個人電腦，結合「晶片金融卡」及「晶片卡讀卡機」連結至銀行網站，即可隨時隨地在網際網路上享有銀行所提供之ATM金融服務〔除提領現金外，功能上與實體ATM無異〕。「WebATM」為一晶片金融卡網路收單服務，不論是網路商家或實體店家皆可申請运用。透過電腦及晶片金融卡讀卡機，持有任何一家銀行所發行之晶片金融卡的消費者，均可立刻轉帳支付消費款項。兼具平安、流暢、方便、即時的特性，成為目前最先進前衛的線上付款工具，也是消費者網路購物的不錯選擇。..圖10-3SET線上信誉卡處理流程.SETSET是由Visa與MasterCard兩大信誉卡組織提出.SET協定的重要個體1.持卡人(Cardholder)2.電子商場(ElectronicShoppingMall)3.信誉卡收單銀行(AcquireBank)4.認證中心(CertificateAuthority，C.A.)5.金融網路.平安套接層協定(SSL)SSL由網景(Netscape)公司於1994年提出是一種網際網路上最普遍运用的平安通訊協定.圖10-4SSL線上信誉卡處理流程.SSL的特征1.SSL與應用協定無關，在它之上可疊上各式網路應用，意即，這些應用仍可無視SSL的存在，按照往常的方式運作。2.連線雙方利用公眾鑰匙(publickey)技術識別對方的身份，SSL援助普通的公眾鑰匙演算法，採RSA與DES並用。3.SSL連線是受加密保護的，雙方於連線建立之初即商定一用以對後續連線加密的鑰匙(secretkey)及加密演算法，如DES或RC4。4.SSL連線是可信賴的，SSL在所傳輸的每段訊息中附有用於驗證訊息完好性(integrity)的訊息認證碼(MAC)，SSL援助普通用於產生MAC的碎映(hash)函式，例如SHA、MD5。並採用HandshakeProtocolSpecification與RecordProtocolSpecification。.電子商務的平安性包括六大層面1.隱私性(privacy)：任何人皆無法追蹤消費者及其消費行為的關聯性，可達到匿名买卖之目的。此性質或稱為不可追蹤性。2.機密性(confidentiality)：代表確定資料或訊息，只需獲得授權的人才干觀看的才干。3.身份辦識性(authenticity)：平安上的風險並非僅源自外界，企業內員工的蓄意破壞也已獲證實，在各種電腦入侵事件中，約有80%來自於企業內部。防制這類威脅，企業即須身份驗證的方法，以辨識網路上資料的存取者。.電子商務的平安性包括六大層面4.完好性(integrity)：完好性主要是對於資料傳輸到接纳者之後，對於發送者的資料可以做檢驗以保證與發送者的資料相符，而發送者也希望所傳送的資料與接纳者的資料是一樣的，並沒有差異性的存在。換句話說，能夠確保在網站上顯示的或者是Internet上收發的資訊，沒有被未獲許可的人士以恣意方式更改。5.不可否認性(non-repudiation)：不可否認性就是保證买卖雙方不能否認彼此买卖的承諾，亦即讓參與電子商務的參與者無法拒絕承認(否認)他們的線上行為。6.可获得性(availability)：代表網站能持續運作提供服務的才干。.電子商務環境的平安性威脅1.惡意程式(maliciouscode)：「電腦病毒」單純指的是『Virus』，而「惡意程式」則泛指一切不懷好意的程式碼，包括電腦病毒、特洛伊木馬程式、電腦蠕蟲、後門程式。2.駭客入侵與網路破壞行為：駭客是企圖獲取或运用未經許可網路系統的人。而怪客(cracker)則是具有犯罪意圖的駭客。駭客們藉由找出資訊網路或電腦系統的平安弱點，获得未獲授權的網路資源。有時他們只為了好玩，只需破解網站的某些檔案就滿足了；但有些駭客則是蓄意搗亂、污損，甚至進行網路破壞行為。3.信誉卡詐欺：被害人利用信誉卡在電腦網路上購物消費，致信誉卡卡號遭到網路駭客入侵攔截，繼而被冒用盜刷。.電子商務環境的平安性威脅4.連線巧取(欺騙)(Spoofing)：运用者A可以偽裝成运用者B的識別，如此运用者A可以劫取运用者B的任何重要資料。也就是入侵者捏造資料封包上的來源位址。這樣的方式暴显露，依托位元址來定義授權的方式，或導致目標系統上，能否可被進入的特權破壞。5.竊聽(sniffer)：竊聽程式的根本功能便是蒐集、分析封包，而進階的竊聽程式還提供產生假封包、解碼等的功能，甚至可鎖定某來源或某目標主機的某些服務埠〔Porter〕的封包，而這些功能將提供有心人士監聽他人的連線、盜取他人的機密，以獲得不當的利益。.電子商務環境的平安性威脅6.拒絕服務攻擊(DoS)：駭客會以大量無用的連線流量壅塞網站並癱瘓網路，呵斥網路系統一時無法运用，這對於一些時效上有嚴格要求的網路運用，是有很大的威脅存在；如利用分散式阻斷服務(dDoS)就能够呵斥網路上主機無法服務正當的运用者。7.內部破壞：根據調查大部份的網路平安性威脅來自於內部，而不是外部。內部人士的有心挪用，才是網路平安性的最大威脅，它的損害经常大到無法估計，更有企業因此而呵斥生存危機。.常見的網路保全方式1.信任式保全(Trust-BasedSecurity)：信任式保全是最簡單的平安防護措施，即是不做任何的防護措施。2.隱藏式保全(SecurityThroughObscurity)：系統管理者只是將帳戶的密碼檔或程式以二進位檔案格式隱藏起來，或是將系統程式檔案以隱藏的方式放置在不醒目的地方讓运用者無法發現，以達平安的目的。3.密碼設定(PasswordSchemes)：密碼設定是最常見的平安措施，也是第一線的平安措施。运用者必須在运用者帳號與运用者的密碼兩者能同時符合的情況下，才干接受。.常見的網路保全方式4.生物特徵辨識系統(BiometricSystems)：生物特徵辨識系統是最精细、準確、也最昂貴的平安認證方式，例如，視網膜掃描辨識系統、掌紋及聲紋辨識系統、電子簽字系統等。5.主機保全：係單機的保全措施，儘能够的保護主機使其不受外界攻擊、破壞。但在現在的網路環境中由於运用不同作業系統的複雜性及多樣性，使得要做到主機保全變得相當不容易。6.網路保全：網路保全係運用完善的保全技術，讓企業一方面連上Internet，一方面卻又不受外來攻擊的威脅。.電子商務平安工具加密平安的通訊管道傳輸加密機制--SSL平安超文件傳輸協定(S-)PGP(PrettyGoodPrivacy)虛擬私人網路(VPN)防火牆.防火牆防火牆(Firewall)為一軟體或硬體之系統，可控制外部运用者對企業網路的連結及存取。防火牆的目的是用以保護區域網路(LAN)不受網路外的人所入侵。防火牆的任务原理是在公用Internet與私用Intranet之間建立一個屏障，因此防火牆通常置於網路閘道點上。.防火牆為一組安裝在兩個網路之間的網路裝置，並具有以下的特征1.欲受保護的內部網路中一切的封包都經由防火牆進出。2.只需經過認可的封包，也就是符合平安政策的規範，才干通過防火牆而進出受保護的內部網路。3.防火牆本身必須對入侵破壞行為具有高度的免疫力。4.通常建置在私用網路與公用網路連接點.防火牆大致分為三大類功能1.封包過濾器(packetfilter)：封包過濾器會檢查資料封包，看看能否傳送目的地能否是被制止的IP位址或被制止的通訊埠(port)。封包過濾器在決定能否可以傳輸此封包時，會先檢查來流IP位址與通訊埠、目