构建电子商务网站的安全措施

随着互联网、个人终端技术的快速发展,电子商务越来越多的出现在人们的生活与工作中,这种全新的商务模式具有便捷、高效率、低成本的特点,使得越来越多的人开始使用电子商务网站来传递各种信息,并进行各种交易.任何一台计算机、任何一个网络都可以和之相连.但它又是无国界的,安全问题将会变得更加重要和突出.因此,网上的安全风险就构成了对电子商务的安全威胁.

电子商务的存在和发展,是以网络技术的革新为前提.电子商务系统的构建、运行及维护,都离不开技术的支持.同时,由于电子商务适合于各种大、小型企业,所以应采取措施来保障电子商务网站的安全.

一、电子商务中存在安全的问题

(一)网络信息安全方面

1.怎么写作器的安全问题.电子商务怎么写作器是电子商务的核心,安装了大量的与电子商务有关的软件和商家信息,并且怎么写作器上的数据库里有电子商务活动过程中的一些保密数据.因此怎么写作器特别容易受到安全的威胁,并且一旦出现安全问题,造成的后果也是非常严重.

2.网络信息的安全问题.非法用户在网络的传输上使用不正当手法,非法拦截会话数据获得合法用户的有效信息,最终导致合法用户的一些核心业务数据泄密或者是非法用户对截获的网络数据进行一些恶意篡改,如增加、减少和删除等操作,从而使信息失去真实性和完整性,导致合法用户无法正常交易,还有一些非法用户利用截获的网络数据包再次发送,恶意攻击对方的网络硬件和软件.

3.网络安全中的病毒问题.互联网的出现为电脑病毒的传播提供了最好的媒介,不少新病毒直接以互联网作为自己的传播途径,电脑病毒问世10多年来,各种新型病毒及其变种迅速增加,不少新病毒直接以互联网作为自己的传播途径,还有众多病毒借助于互联网传播得更快,如何在电子商务领域如何有效防范病毒也是一个十分紧迫的问题.

(二)电子商务交易方面

1.交易身份的不确定.电子商务是一种全球各地广泛的商业贸易活动在开放的网络环境下,基于浏览器/怎么写作器应用方式,在写卖双方不谋面的情况下进行各种商贸活动,实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合怎么写作活动.正是基于这个特点攻击者可以通过非法的手段盗窃合法用户的身份信息,仿冒合法用户的身份与他人进行交易.

2.交易协议安全性问题.企业和用户在电子交易过程中的数据是以数据包的形式来传送的,恶意攻击者很容易对某个电子商务网站展开数据包拦截,甚至对数据包进行修改和检测冒.TCP/IP协议是建立在可信的环境之下,缺乏相应的安全机制,这种基于地址的协议本身就会泄露口令,根本没有考虑安全问题；TCP/IP协议是完全公开的,其远程访问的功能使许多攻击者无须到现场就能够得手,连接的主机基于互相信任的原则等这些性质使网络更加不安全.

二、加强电子商务网站的安全措施

我们从技术手段的角度,从系统安全和数据安全的不同层面来探索电子商务中出现的网络安全新问题.

对于一个企业来说,信息的安全尤为重要,这种安全首先取决于系统的安全.系统安全主要包括网络系统、操作系统和应用系统三个层次.系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等.

1.网络系统.网络系统安全是网络的开放性、无边界性、自由性造成,安全解决的关键是把被保护的网络从开放、无边界、自由的环境中独立出来,使网络成为可控制、管理的内部系统,由于网络系统是应用系统的基础,网络安全便成为首要新问题.解决网络安全主要方式有如下几种方法：

一是网络冗余.它是解决网络系统单点故障的重要办法.对关键性的网络线路、设备,通常采用双备份或多备份的方式.网络运行时双方对运营状态相互实时监控并自动调整,当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配,保证网络正常的运行.

二是系统隔离.分为物理隔离和逻辑隔离,主要从网络安全等级考虑划分合理的网络安全边界,使不同安全级别的网络或信息媒介不能相互访问,从而达到安全目的.对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网.

三是访问控制.对于网络不同信任域实现双向控制或有限访问原则,使受控的子网或主机访问权限和信息流向能得到有效控制.具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制,对于网络资源来说保持有限访问的原则,信息流向则可根据安全需求实现单向或双向控制.访问控制最重要的设备就是防火墙,它一般安置在不同安全域出入口处,对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制,同时实现网络地址转换、实时信息审计警告等功能,高级防火墙还可实现基于用户的细粒度的访问控制.

四是身份鉴别.是对网络访问者权限的识别,一般通过三种方式验证主体身份,一是主体了解的秘密,如用户名、口令、密钥；二是主体携带的物品,如磁卡、IC卡、动态口令卡和令牌卡等；三是主体特征或能力,如指纹、声音、视网膜、签名等.加密是为了防止网络上的窃听、泄漏、篡改和破坏,保证信息传输安全,对网上数据使用加密手段是最为有效的方式.目前加密可以在三个层次来实现,即链路层加密、网络层加密和应用层加密.链路加密侧重通信链路而不考虑信源和信宿,它对网络高层主体是透明的.网络层加密采用IPSEC核心协议,具有加密、认证双重功能,是在IP层实现的安全标准.通过网络加密可以构造企业内部的虚拟专网（VPN）,使企业在较少投资下得到安全较大的回报,并保证用户的应用安全.

五是安全监测.采取信息的方式寻找未授权的网络访问尝试和违规行为,包括网络系统的扫描、预警、阻断、记录、跟踪等,从而发现系统遭受的攻击伤害.网络扫描监测系统作为对付电脑最有效的技术手段,具有实时、自适应、主动识别和响应等特征,广泛用于各行各业.网络扫描是针对网络设备的安全漏洞进行检测和分析,包括网络通信怎么写作、路由器、防火墙、邮件、WEB怎么写作器等,从而识别能被入侵者利用非法进入的网络漏洞.网络扫描系统对检测到的漏洞信息形成具体报告,包括位置、具体描述和建议的改进方案,使网管能检测和管理安全风险信息.2.操作系统

操作系统是管理计算机资源的核心系统,负责信息发送、管理设备存储空间和各种系统资源的调度,它作为应用系统的软件平台具有通用性和易用性,操作系统安全性直接关系到应用系统的安全,操作系统安全分为应用安全和安全漏洞扫描.

一是应用安全.面向应用选择可靠的操作系统,可以杜绝使用来历不明的软件.用户可安装操作系统保护和恢复软件,并作相应的备份.

二是系统扫描.它基于主机的安全评估系统,是对系统的安全风险级别进行划分,并提供完整的安全漏洞检查列表,通过不同版本的操作系统进行扫描分析,对扫描漏洞自动修补形成报告,保护应用程序、数据免受盗用、破坏.

3.应用系统

办公系统文件（邮件）的安全存储摘 要：利用加密手段,配合相应的身份鉴别和密钥保护机制（IC卡、PCMCIA安全PC卡等）,使得存储于本机和网络怎么写作器上的个人和单位重要文件处于安全存储的状态,使得他人即使通过各种手段非法获取相关文件或存储介质（硬盘等）,也无法获得相关文件的内容.

文件（邮件）的安全传送,对通过网络（远程或近程）传送给他人的文件进行安全处理（加密、签名、完整性鉴别等）,使得被传送的文件只有指定的收件者通过相应的安全鉴别机制（IC卡、PCMCIAPC卡）才能解密并阅读,杜绝了文件在传送或到达对方的存储过程中被截获、篡改等,主要用于信息网中的报表传送、公文下发等.

业务系统的安全,主要面向业务管理和信息怎么写作的安全需求.对通用信息怎么写作系统（电子邮件系统、WEB信息怎么写作系统、FTP怎么写作系统等）采用基于应用开发安全软件,如安全邮件系统、WEB页面保护等；对业务信息可以配合管理系统采取对信息内容的审计稽查,防止外部非法信息侵入和内部敏感信息泄漏.

数据安全牵涉到数据库的安全和数据本身安全,针对两者应有相应的安全办法.

一是数据库安全.大中型企业一般采用具有一定安全级别的SYBASE或ORACLE大型分布式数据库,基于数据库的重要性,应在此基础上开发一些安全办法,增加相应控件,对数据库分级管理并提供可靠的故障恢复机制,实现数据库的访问、存取、加密控制.具体实现方法有安全数据库系统、数据库保密系统、数据库扫描系统等.

二是数据安全.指存储在数据库数据本身的安全,相应的保护办法有安装反病毒软件,建立可靠的数据备份和恢复系统,某些重要数据甚至可以采取加密保护.

(三)网络交易平台的安全

网上交易安全位于系统安全风险之上,在数据安全风险之下.只有提供一定的安全保证,在线交易的网民才会具有安全感,电子商务网站才会具有发展的空间.

一是交易安全标准.目前在电子商务中主要的安全标准有两种摘 要：应用层的SET（安全电子交易）和会话层SSL（安全套层）协议.前者由信用卡机构VISA及MasterCard提出的针对电子钱包/商场/认证中心的安全标准,主要用于银行等金融机构；后者由NETSCAPE公司提出针对数据的机密性/完整性/身份确认/开放性的安全协议,事实上已成为WWW网络的应用安全标准.

二是交易安全基础体系.交易安全基础是现代技术,依靠于加密方法和强度.加密分为单密钥的对称加密体系和双密钥的非对称加密体系.两者各有所长,对称密钥具有加密效率高,但存在密钥分发困难、管理不便的弱点；非对称密钥加密速度慢,但便于密钥分发管理.通常把两者结合使用,以达到高效安全的目的.

三是交易安全的实现.交易安全的实现主要有交易双方身份确认、交易指令及数据加密传输、数据的完整性、防止双方对交易结果的抵赖等等.具体实现的途径是交易各方具有相关实,同时在SSL协议体系下完成交易过程中电子证书验证、数字签名、指令数据的加密传输、交易结果确认审计等.

随着电子商务的发展,网上交易越来越频繁,调用每项怎么写作时需要用户证实身份,也需要这些怎么写作器向客户证实他们自己的身份.而保障身份安全的最有效的技术就是PKI技术.PKI的应用主要是在它的CA认证技术.CA（CertificationAuthorty）是一个确保信任度的权威实体,主要职责是颁发证书、验证用户身份的真实性.由CA签发的网络用户电子实—证书,任何相信该CA的人,按照第三方信任原则,都应当相信持有证实的该用户.CA也要采取一系列相应的办法来防止电子证书被伪造或篡改.构建一个具有较强安全性的CA是至关重要的,这不仅和学有关系,而且和整个PKI系统的构架和模型有关.此外,灵活也是CA能否得到市场认同的一个关键,它不需支持各种通用的国际标准,并能很好地和其他厂家的CA产品兼容.在不久的将来,PKI技术会在电子商务和网络安全中得到更广泛的应用,从而真正保障用户和商家的身份安全.

三、信息安全的发展方向

从历史角度看,我国信息网络安全探究历经了通信保密、数据保护两个阶段,正在进入网络信息安全探究阶段,现已开发研制出防火墙、安全路由器、安全网关、入侵检测、系统脆弱性扫描软件等.但因信息网络安全领域是一个综合、交叉的学科领域,它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果,提出系统的、完整的和协同的解决信息网络安全的方案,从安全体系结构、安全协议、现论、信息分析和监控以及信息安全系统五个方面开展探究,各部分相互协同形成有机整体.

安全协议作为信息安全的重要内容,其形式化方法分析始于80年代初,目前有基于状态机、模态逻辑和代数工具的三种分析方法,但仍有局限性和漏洞,处于发展的提高阶段.作为信息安全关键技术学,近年来空前活跃,美、欧、亚各洲举行的学和信息安全学术会议频繁.1976年美国学者提出的公开密钥体制,克服了网络信息系统密钥管理的困难,同时解决了数字签名新问题,它是当前探究的热点.

目前电子商务的安全性已是当前人们普遍关注的焦点,它正处于探究和发展阶段,并带动了论证理论、密钥管理等探究.由于计算机运算速度的不断提高,各种算法面临着新的体制,如量子、DNA、混沌理论等新技术出处于探索之中.在我国,信息网络安全技术的探究和产品开发虽处于起步阶段,有大量的工作需要我们去探究、开发和探索,但我们相信在不久的将来,会走出一条有中国特色的产学研联合发展之路,赶上或超过发达国家的水平,以此保证我国信息网络的安全,推动我国国民经济的高速发展.

总之,电子商务是以互联网为活动平台的电子交易,它是继电子贸易（EDI）之后的新一代电子数据交换形式.计算机网络的发展和普及,直接带动电子商务的发展.因此计算机网络安全的要求更高,涉及面更广,不但要求防治病毒,还要提高系统反抗外来非法入侵的能力,还要提高对远程数据传输的保密性,避免在传输途中遭受非法窃取,不断提高和改进数据加密技术,以保证系统本身安全性,如怎么写作器自身稳定性,增强自身反抗能力,杜绝一切可能让入侵的渠道等等,切实保证数据的安全性,加大其在电子商务的应用,促进传统商业的电子化发展.