电子商务安全问题研究

电子商务安全问题研究

随着网络技术的应用和虚拟公司的出现，银行的发展和电子商务的前所未有。据预测,到2008年,全球网上交易总额将达到15万亿美元,并继续保持高速增长。而安全是保证电子商务健康有序发展的关键因素。超过八成的网民对网上交易的安全性表示担忧。因此,分析电子商务安全问题及其相关的安全技术具有一定的现实意义。一、电子商务的潜在安全风险1.通过互联网检测数据,提供有效的公民身份信息如果没有采用加密措施或加密强度不够,攻击者可能通过互联网在数据包通过的网关和路由器上截获数据,获取传输的机密信息,或通过对信息流量和流向、通信频度和长度等参数的分析,推测出有用信息,如消费者的银行账号、密码以及企业的商业机密等。2.信息操纵当攻击者熟悉了网络信息基本格式以后,通过各种技术方法和手段对网络传输的信息进行中途修改,并发往目的地,从而破坏信息的完整性。3.通信破坏方式当攻击者掌握了网络信息数据规律或解密了商务信息以后,可以假冒合法用户或发送假冒信息来欺骗其他用户。信息假冒主要有两种方式,一是伪造大量用户,发电子邮件,虚开网站和商店,给用户发电子邮件,收订货单,或者发送大量电子邮件,耗尽商家资源,使合法用户不能正常访问网络资源,或窃取商家的商品信息和用户信用等;另外一种为假冒他人身份,如冒充领导发布命令、调阅密件,冒充他人消费、栽赃,冒充主机欺骗合法主机及合法用户,冒充网络控制程序套取或修改使用权限、密钥等信息。4.网购者一般在发送前,收信者一般应承认自己的交易交易抵赖包括多个方面,如发信者事后否认曾经发送过某条信息,收信者事后否认曾经收到过某条消息,购买者做了定货单不承认,商家卖出的商品因价格上涨而不承认原有的交易等。二、保持贸易各方信息的完整性,保证交易合同的契约、不动产电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是电子商务应用的基础。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。由于网络电子商务交易系统的特殊性,企业或个人的交易通常都是在虚拟的网络环境中进行,所以对个人或企业实体进行身份确认成了电子商务中十分重要的一环。对人或实体的身份进行鉴别,为身份的真实性提供保证,即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某人或实体声称具有某个特定的身份时,鉴别服务将提供一种方法来验证其声明的正确性。电子商务关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是所期望的贸易伙伴这一问题则是保证电子商务顺利进行的关键。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴身份,确定合同、契约、单据的可靠性,并预防抵赖行为的发生。在无纸化的电子商务方式下,通过手写签名和印章已是不可能的。因此,要在交易信息的传输过程中,应为参与交易的个人、企业或国家提供可靠的标识。5.电子商务信息的有效性电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。三、电子商务的安全对策技术电子商务安全可划分为计算机物理安全、计算机网络安全、商务交易安全等。1、信息安全风险物理安全是整个电子商务系统安全的前提,主要的物理安全风险有:因为水灾、火灾和地震等环境因素造成的系统安全风险,设备被盗、毁坏等造成的数据丢失风险,报警、治安等措施不力造成的安全风险。以上风险可以通过设备冗余,数据定期备份以及异地容灾等方案来解决。2、非对称加密技术防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴。负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。根据防火墙所采用的技术不同,我们可以将它分为四种基本类型:包过滤型、网络地址转换-NAT、代理型和监测型。2)加密技术信息交换加密技术分为两类:即对称加密和非对称加密。A、对称加密技术在对称加密技术中,对信息的加密和解密都使用相同的钥匙。这种加密方法可简化加密处理过程,信息交换双方都不必彼此研究和交换专用的加密算法。如果在交换阶段私有密钥未曾泄露,那么机密性和报文完整性就可以得以保证。它的优点是加密速度快。对称加密技术也存在一些不足,如果交换一方有N个交换对象,那么他就要维护N个私有密钥。B、非对称加密技术在非对称加密体系中,密钥被分解为一对(即公开密钥和私有密钥)。这对密钥中任何一把都可以作为公开密钥(加密密钥)通过非保密方式向他人公开,而另一把作为私有密钥(解密密钥)加以保存。公开密钥用于加密,私有密钥用于解密,私有密钥只能有生成密钥的交换方掌握,公开密钥可广泛公布,但它只对应于生成密钥的交换方。非对称加密方式可以使通信双方无须事先交换密钥就可以建立安全通信,广泛应用于身份认证、数字签名等信息交换领域。非对称加密体系一般是建立在某些已知的数学难题之上,是计算机复杂性理论发展的必然结果。它的缺点是加密速度慢。3)身份认证技术安全认证的主要作用是进行信息认证。信息认证的目的有两个:确认信息发送者的身份,并使得信息发送者对所发送信息不可否认;验证信息的完整性,即确认信息在传送或存储过程中未被篡改过。常用的安全认证技术主要有数字摘要、数字签名、数字时间戳、数字证书等。A.数字摘要技术数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码,这一串摘要码也称为数字指纹(FingerPrint),它有固定的长度,且不同的明文摘要生成的密文结果总是不同的,而同样的明文其摘要必定一致。这样,摘要便可成为验证明文是否是未被篡改的原文了。B.数字签名技术数字签名的作用类似于传统手书签名和印章。可以确保电子商务安全需求中的认证性。它把Hash函数和公钥算法结合起来,可以在提供数据完整性的同时保证数据的真实性。而把这两种机制结合起来就可以产生数字签名。其原理为:a、被发送文件通过Hash函数产生数字摘要;b、发送方用自己的私用密钥对摘要再加密,这就形成了数字签名;c、将原文和加密的摘要同时传给对方;d、对方用发送方的公共密钥对摘要解密,同时对收到的文件采用相同的Hash函数产生又一摘要;e、将解密后的摘要和接收方重新加密产生的摘要相互对比。如两者一致,则说明传送过程中信息没有被破坏或篡改过。否则不然。C.数字时间戳技术在电子商务交易文件中,时间是十分重要的信息。在书面合同中,文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。数字时间戳服务(DTS:digitaltimestampservice)是网上电子商务安全服务项目之一,能提供电子文件的日期和时间信息的安全保护,由专门的机构提供。包括三个部分:a、需加时间戳的文件的摘要(digest);b、DTS收到文件的日期和时间;c、DTS的数字签名。4)虚拟专用网技术虚拟专用网(VirtualPrivateNetwork,VPN)是近年来随着Internet的发展而迅速发展起来的一种技术。现代企业越来越多地利用Internet资源来进行促销、销售、售后服务,乃至培训、合作等活动。许多企业趋向于利用Internet来替代它们私有数据网络。这种利用Internet来传输私有信息而形成的逻辑网络就称为虚拟专用网。虚拟专用网实际上就是将Internet看作一种公有数据网,这种公有网和PSTN网在数据传输上没有本质的区别,从用户观点来看,数据都被正确传送到了目的地。相对的,企业在这种公共数据网上建立的用以传输企业内部信息的网络被称为私有网。目前VPN主要采用四项技术来保证安全,这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption&Decryption)、密钥管理技术(KeyManagement)、使用者与设备身份认证技术(Authentication)。5)安全隔离技术面对新型网络攻击手段的不断出现和高安全网络的特殊需求,全新安全防护理念——“安全隔离技术”应运而生。它的目标是,在确保把有害攻击隔离在可信网络之外,并保证可信网络内部信息不外泄的前提下,完成网间信息的安全交换。隔离概念的出现,是为了保护高安全度网络环境,隔离产品发展至今共经历了五代。第一代隔离技术,完全的隔离。第二代隔离技术,硬件卡隔离。第三代隔离技术,数据转播隔离。第四代隔离技术,空气开关隔离。第五代隔离技术,安全通道