电子商务的安全策略

[摘 要]如何确保电子商务可靠、可信赖的运转,安全问题理所当然地提升为有待完善与改进的重要问题之一.

[关 键 词]电子商务安全对策

随着Inter和IT技术的迅猛发展,电子商务因其自身独有的特点与优势,逐渐成为进行商务活动的新模式,在人们的生活中也占据着日益重要的地位,但其安全问题也变得越来越突出.如何建立一个安全、快捷、便利的电子商务应用环境,对信息在网络上的传输提供足够的保护,已成为商家和用户都非常关心的话题.

一、电子商务的定义

电子商务（E-business）是利用当前先进的电子技术从事各种商业活动的方式,其实质是一套完整的网络商务经营及管理信息系统.更具体地说,它是利用计算机硬/软件设备和网络基础设施,通过一定协议连接起来的电子网络环境进行各种商务活动的方式.比如：网上银行、网上营销、网上客户怎么写作、网上调查等.

二、电子商务的基本特征

1.电子商务将传统的商务流程电子化、数字化,减少了人力、物力,降低了成本,具有开放性和全球性的特点,为企业创造了更多的贸易机会.

2.电子商务重新定义了传统的流通模式,减少了中间环节,使生产者和消费者不用谋面的网上交易成为可能,从而在一定程度上改变了社会经济运行的方式、经济布局和结构.

3.电子商务一方面突破了时间和空间的限制,另一方面又提供了丰富的信息资源,为各种社会经济要素的重新组合提供了更多的可能,使得交易活动可以在任何时间、任何地点进行,从而大幅度提高了效率.

可见,电子商务的一个重要技术特征是利用网络技术和IT技术来传输和处理商业信息的.就整个系统而言,其安全性可以分为四个层次.(1)网络节点的安全性.(2)通讯的安全性.(3)应用程序的安全性.(4)用户的认证管理.

三、网络节点的安全性

1.防火墙的概念.在构建安全网络环境的过程中,防火墙作为第一道安全防线,受到越来越多用户的关注与青睐.防火墙是一个系统,主要用来执行Inter（外部网）和Intra（内联网）之间的访问控制策略.它可为各类企业网络提供必要的访问控制,又不造成网络的瓶颈,并通过安全策略控制进出系统的数据,保护企业资源.

2.防火墙安全策略.防火墙保护内部网络的敏感数据不被窃取和破坏,并记录内外通信的有关状态信息日志,如通信发生的时间和进行的操作等.新一代的防火墙甚至可以阻止内部人员将敏感数据向外传输.设置了防火墙后,可以对网络数据的流动实现有效的管理：如允许公司员工使用电子邮件、Web浏览以及文件传输等怎么写作,但不允许外界随意访问公司内部的计算机,同样还可以限制公司中不同部门之间的互相访问.

可见,防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备组合,它还是安全策略的一个重要组成部分,其安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括：规定的网络访问、怎么写作访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施及管理制度等.所有可能受到网络攻击的地方都必须以同样的安全级别加以保护.仅设置防火墙系统,而没有全面、细致的安全策略,那么防火墙就形同虚设.

3.安全操作系统.安全的操作系统至少要有以下特征：(1)最小特权原则,即每个特权用户只拥有能进行其工作的权力.(2)强制访问控制,包括保密性访问控制和完整性访问控制.(3)安全审计和审计管理.(4)安全域隔离.

其次,防火墙是基于操作系统的,如果信息通过操作系统的后门绕过防火墙进入内部网,则防火墙就不起作用了.可见,安全是一个系统工程,操作系统安全只是其中的一个层次,还需要各个环节的配合,安全操作系统应该与各种安全软、硬件结合起来（如防火墙、杀毒软件、加密产品等）,才能让电子商务得到更广泛的应用,确保系统信息的安全达到最佳状态.

四、网络通信的安全性

1.数据通信的安全.电子商务系统的数据通信主要存在于：（1)客户浏览器端与电子商务WEB怎么写作器端的通讯.（2)电子商务WEB怎么写作器与电子商务数据库怎么写作器的通讯.

2.通信链路的安全.在客户端浏览器和电子商务WEB怎么写作器之间采用SSL（SecureElectronicTransaction,安全电子交易）协议建立安全链接,所需传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全.为在浏览器和怎么写作器之间建立安全机制,SSL首先要求怎么写作器向浏览器出示它的证书,证书包括一个公钥,由证书授权机构（CA中心）签发.浏览器要验征怎么写作器证书的正确性,必须事先安装签发机构提供的基础公共密钥（PKI）.单纯的建立SSL链接时,客户只需用户下载该站点的怎么写作器证书.若验证此证书是合法的怎么写作器证书,再利用该证书对称加密算法（RSA）与怎么写作器协商一个对称算法及密钥,然后用此对称算法加密将要传输的明文,此时浏览器也会出现进入安全状态的提示.

五、应用程序的安全性

即使正确地配置了访问控制规则,要满足计算机系统的安全性,这些工作还是不充分的,因为编程错误也可能导致对系统的破坏与攻击.

程序错误的常见形式：程序员忘记检查传送到程序的入口参数；程序员在处理字符串的内存缓冲时,忘记检查边界条件.整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可.程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录,但不是显式的设置访问控制（最少许可）.若程序员认为这个缺省的许可是正确的,则这些缺点就可能被用到攻击系统的行为中,不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情.

缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的,程序不检查输入字符串长度.输入检测字符串常常是可执行的命令,特权程序可以执行指令.

六、用户的认证管理

1.身份认证.开展电子商务的关键核心技术是保密存储与取出.电子商务企业用户身份认证可以通过怎么写作器CA证书与IC卡相结合来实现.CA证书用来认证怎么写作器的身份,IC卡用来认证企业用户的身份.个人用户由于没有提供交易功能,所以只采用ID号和口令的身份确认机制.由于指纹具有惟一性,目前,指纹认证与网络传输便广泛的应用于银行专用网、企业营销网等各种商贸网络,使电子商务具有更现实的可操作性.

2.CA证书.CA（CertificateAuthority,即“认证机构”）,是证书的签发机构,它是PKI（PublicKeyInfrastructure,即“公开密钥体系”）的核心.它要制定政策和具体步骤来验证、识别用户身份,并对用户证书进行签名,以确保证书持有者的身份和公钥的拥有权.要在网上确认交易各方的身份及保证交易的不可否认性,便需要CA证书进行验证.证书分为怎么写作器证书和个人证书.建立SSL安全链接不需要一定有个人证书,验证个人证书是为了验证来访者的合法身份.

CA也拥有一个证书（内含公钥）和私钥.网上的公众用户通过验证CA的签字从而信任CA,任何人都可以得到CA的证书（含公钥）,用以验证它所签发的证书.如果用户想得到一份属于自己的证书,应先向CA提出申请.在CA判明申请者的身份后,便为其分配一个公钥,并且CA将该公钥与申请者的身份信息绑在一起,为之签字后,便形成证书发给申请者.如果一个用户想鉴别另一个证书的真伪,可用CA的公钥对那个证书上的签字进行验证,一旦验证通过,该证书就被认为是有效的.

七、建立安全管理机制

为了确保系统的安全性,除了采用上述技术手段外,还必须建立严格的内部安全机制.对于所有接触系统的人员,应按其职责设定其访问系统的最小权限.

按照分级管理原则,严格管理内部用户和,进入系统内部必须通过严格的身份确认,防止非法占用、冒用合法用户和.建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询.定期检查日志,以便及时发现潜在的安全威胁.对重要数据要及时进行备份.对数据库中存放的数据,数据库系统应根据其重要性提供不同级别的数据加密.安全管理实际上是一种风险管理,任何措施都不能保证百分之百的安全.但安全技术的采用可降低系统遭到破坏、攻击的风险,决定采用什么安全策略取决于系统的风险要控制在什么程度范围内.随着全球经济一体化进程的加快,尤其是Inter技术、IT技术的迅猛发展及广泛应用,我们的社会也已融入到电子商务时代的气息当中,这是一个“以客户为中心”的时代,企业的市场营销及贸易往来都必须围绕这个中心来进行.只有保证电子商务各个环节、各个方面的安全性与稳定性,才能为其正常运作提供有力的保证,才能为其自身迎来更广阔的前景.

[2]劳帼龄:电子商务的安全技术[M].中国水利水电出版社,2005.9