浅谈电子商务安全策略与技术

来源:用户上传      作者: 阚晓初

　　[摘要] 随着Internet的不断发展，在世界范围内掀起了一股电子商务热潮。电子商务代表着未来贸易方式的发展方向，其应用和推广将给社会和经济带来极大的效益。本文讨论了电子商务应用中所存在的安全问题，对电子商务的策略和安全性技术进行了分析。
　　[关键词] 电子商务安全密码认证协议
　　随着Internet的全面普及，基于互联网的电子商务也应运而生，电子商务是网络技术应用的全新发展方向，电子商务自然非常便捷、高效和低成本，成为一种全新的商务模式，被许多经济专家认为是新的经济增长点。同时，这种电子商务模式对管理水平、信息传递技术都提出了更高的要求，其中安全体系的构建又显得尤为重要，电子商务是建立在一个非常开放的互联网基础上，如何辨别对方身份，如何保证交易信息的安全，是大家最关心的问题。如何建立一个安全、便捷的电于商务应用环境，对信息提供足够的保护，也已成为电子商务的核心问题。实现电子商务的关键是要保证商务活动过程中系统的安全性，即保证基于互联网的电子交易过程与传统交易的方式一样安全可靠。
　　
　　一、电子商务安全的要素
　　
　　1.有效性。电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误、黑客及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。
　　2.机密性。电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个开放的网络环境上的，维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。
　　3.完整性。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错、数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同，它将影响到贸易各方的交易和经营策略。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。
　　4.可靠性/不可抵赖性/鉴别。电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统的贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的各方提供可靠的标识。
　　5.审查能力。根据机密性和完整性的要求,应对数据审查的结果进行记录。
　　
　　二、电子商务安全的主要问题与技术
　　
　　电子商务实质是电子方式的贸易活动，它利用简单快捷低成本的电子通讯方式，使买卖双方进行各种商贸活动的新型贸易形式。它不仅改变了企业本身的生产、经营、管理活动，而且将导致人类经济、社会和文化的一次新的革命。
　　电子商务安全的主要问题主要有以下几个方面的问题：
　　1.篡改。电子的交易信息在网络上传输地过程中，可能被他人非法的修改，删除或重放（指只能使用一次的信息被多次使用），从而使信息失去了真实性和完整性。
　　2.信息破坏。包括网络硬件和软件的问题而导致信息传递的丢失与谬误；以及一些恶意程序的破坏而导致电子商务信息遭到破坏。
　　3.身份识别。如果不进行身份识别，第三方就有可能假冒交易一方的身份，以破坏交易，败坏被假冒一方的声誉或盗窃被假冒一方的交易成果等。而不进行身份识别，交易的一方可不为自己的行为负责任，进行否认，相互欺诈。
　　4.信息泄密。主要包括两个方面，即交易双方进行交易的内容被第三方窃取或交易一方提供给另一方使用的文件被第三方非法使用。
　　由于电子商务涉及到金融、企业商家等各个方面的利益，它必须采用行之有效的手段来保证电子商务系统的安全运行。安全性技术是保证电子商务健康有序发展的关键因素，也是目前大家十分关注的问题。虽然Internet的开放式的信息交换使之在安全方面存在脆弱性，但现在几乎网络的各个层次都制定了安全协议和具备了相应的安全技术，以保证电子商务的安全性。电子商务的安全性策略可分为两大部分，一部分是计算机网络安全，第二部分是商务交易安全。电子商务中的安全性技术主要有以下几种：
　　1.密码技术。密码技术是一种主动的信息安全防范措施，它是将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。
　　目前，获得广泛应用的两种加密技术是对称密钥加密体制和非对称密钥加密体制。在对称密钥加密体制中，信息的发送方和接收方用一个密钥去加密和解密数据。它的最优是加/解密速度快、参与方采用相同的加密算法共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。适合于对大数据量进行加密，但密钥管理困难。目前常用的对称加密算法有：美国国家标准局提出DES算法、由瑞士联邦理工学院的IDEA算法等等。非对称密钥加密体制，密钥被分解为一对，并使用一对密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。目前常用的非对称加密算法有：麻省理工学院的RSA算法、美国国家标准和技术协会的SHA算法等等。
　　2.认证技术。安全认证的主要作用是进行信息认证。信息认证的目的为:(1)确认信息发送者的身份;（2）验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。认证技术主要有安全认证技术和安全认证机构两个方面。
　　传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理问题限制了它的一些应用。在非对称密钥加密体制下，算法的加密强度主要取决于选定的密钥长度。
　　随着认证中心(或称CA中心)的出现，使得开放网络的安全问题得到了比较好的解决。所谓CA（Certificate Authority）认证机构，它是采用PKI（Public Key Infrastructure）公开密钥基础架构技术，利用数字证书、非对称和对称加密算法、数字签名、数字信封等加密技术，建立起安全程度极高的加解密和身份认证系统，确保电子交易有效、安全地进行，从而使信息除发送方和接收方外，不被其他方知悉（保密性）；保证传输过程中不被篡改（完整性和一致性）；发送方确信接收方不是假冒的（身份的真实性和不可伪装性）；发送方不能否认自己的发送行为（不可抵赖性）。电子商务安全性的解决，大大地推动了电子商务的发展。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是靠交易双方自己能完成的，而需要有一个具有权威性和公正性的第三方来完成。CA认证机构作为权威的、可信赖的、公正的第三方机构，提供网络身份认证服务，专门负责发放并管理所有参与网上交易的实体所需的数字证书。它作为一个权威机构，对密钥进行有效地管理，颁发证书证明密钥的有效性，并将公开密钥同某一个实体（包括消费者、商户、银行，甚至设备、域名、IP地址等）联系在一起。它的作用就像现实生活中颁发证件的机构，如公安机关。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。

　　有了数字证书，你就可以以你身份在网上支持数字证书应用的场合下进行各种网上活动。比如，发送安全电子邮件，数字证书登录系统，各种文件、表单的数字签名，专门的数据加密等等。当然，如果证书是颁发给服务器，则可以用来保障该网站（域名）或IP的真实性。
　　3.安全认证协议。目前电子商务中经常使用的有安全套接层SSL（Secure Sockets Layer）协议和安全电子交易SET（Secure Electronic Transaction）协议两种安全认证协议。
　　(1)安全套接层（SSL）协议。SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。SSL协议的概念可以被概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和企业内联网的安全通信服务。
　　SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。
　　SSL协议握手流程由两个阶段组成：服务器认证和用户认证。
　　SSL采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥；在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。
　　SSL协议提供“通道安全性”有以下三个性质:
　　a.通道是保密的。一个简单的握手确定密钥之后,所有的消息被加密。
　　b.通道是被认证的。通话的服务器端总是被认证,客户端可选认证。
　　c.通道是可靠的。用MAC对传送的消息进行完整性检查。
　　中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，从目前实际使用的情况看，SSL还是人们最信赖的协议。
　　（2)安全电子交易（SET）协议。SET协议是针对开放网络上安全、有效的银行卡交易，由维萨（Visa）公司和万事达（Mastercard）公司联合研制的，为Internet上卡支付交易提供高层的安全和反欺诈保证。由于它得到了IBM、HP、Microsoft等很多大公司的支持，已成为事实上的工业标准，目前已获得IETF标准的认可。这是一个为Internet上进行在线交易而设立的一个开放的、以电子货币为基础的电子付款规范。
　　SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证，这对于需要支付货币的交易来讲是至关重要的。SET将建立一种能在Internet上安全使用银行卡购物的标准。安全电子交易规范是一种为基于信用卡而进行的电子交易提供安全措施的规则，SET协议保证了电子交易的机密性、数据完整性、身份的合法性和防抵赖性，且SET协议采用了双重签名来保证各参与方信息的相互隔离，使商家只能看到持卡人的订购数据，而银行只能取得持卡人的信用卡信息。所以它是一种能广泛应用于Internet上的安全电子付款协议，它能够将普遍应用的信用卡的使用场所从目前的商店扩展到消费者家里，扩展到消费者个人计算机中。
　　4.其他安全技术。电子商务安全中，常用的方法还有网络中采用防火墙技术、虚拟专用网（VPN）技术、防病毒保护等。如果单纯依靠某个单项电子商务安全技术是不够的，还必须与其他安全措施综合使用才能为用户提供更为可靠的电子商务安全基石。
　　本文中所涉及到的图表、注解、公式等内容请以PDF格式阅读原文。

转载注明来源:https://www.xzbu.com/3/view-1506054.htm