信息安全在电子商务中的实现

内容摘 要:电子商务对人类社会经济产生了重大影响,在创造巨大经济效益的同时,也从根本上改变了整个社会商务活动发展进程.我国电子商务在曲折进程中,已有很大程度的发展,同时也存在诸多问题.本文客观地分析了电子商务的安全需求、安全技术发展现状及存在的问题,对加快电子商务的发展步伐提出了一些重要思考

关 键 词：电子商务；安全需求；安全技术；协议技术

一、引言

众所周知,Internet是一个完全开放的网络.任何一台计算机,任何一个网络都可以与之连接,并借助Internet发布信息、获取与共享各种网络的信息资源、发送电子邮件及开展网上办公.各种在网络上进行的商务活动,即电子商务.电子商务既方便了政府、企业与个人的现代事务处理,也直接带动了一个网络经济时代的到来.作为一种全新的商务模式,它有很大的发展前途.同时,这种电子商务模式对管理水平、信息传递技术都提出了更高的要求.其中,安全问题己成为电子商务的核心问题,是商家和用户都十分关注的话题.

二、我国电子商务发展的安全现状

电子商务信息系统的安全隐患主要包括：

窃取信息：由于未采用加密措施,调制解调器之间的信息以文明形式传送,入侵者使用相同的调制解调器就可以截获传送的信息.通过多次窃取和分析,可以找到信息的规律和格式,进而得到传输信息的内容,造成网上传输信息泄密.

篡改信息：当入侵者掌握了信息的格式和规律之后,通过各种方式,在原网络的调制解调器之间增加两个相同类型的调制解调器,将通过的数据在中间修改、删除或重放(指只能使用一次的信息被多次使用),从而使信息失去了真实性和完整性.

检测冒：由于掌握了数据的格式,并可以篡改通过的信息,攻击者可以冒充合法用户及送检测冒的信息或者主动获取信息,而远端用户通常很难分辨.

信息破坏：包括网络硬件和软件的问题而导致信息传递的丢失与谬误,以及一些恶意程序的破坏而导致电子商务信息遭到破坏.因此,电子商务的安全交易主要要保证以下几个方面:

1.信息的保密性

电子商务作为贸易的一个手段,其信息直接代表着个人、企业或国家的商业机密.传统的纸面贸易都是通过邮寄封装的信件或可靠的通信渠道发送商业报文来达到保守机密的目的.电子商务是建立在一个较为开放的网络环境上的(尤其inter是更为开放的网络),维护商业机密是电子商务全面推广应用的重要保障.因此信息传播中一般均有加密的要求.

2.信息的完整性

电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题.由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异.此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同.贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是电子商务应用的基础.因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一及各方商业信息的完整、统一的问题.

3.有效性

电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提.电子商务作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉.因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的.

4.可靠性/不可抵赖性/鉴别

电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键.在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生.这也就是人们常说的白纸黑字􀀁在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的.因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识.

三、电子商务的信息安全技术

1.数据加密技术

加密技术用于网络安全通常有二种形式,即面向网络或面向应用怎么写作.面向网络的加密技术通常工作在网络层或传输层,使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息,从而保证网络的连通性和可用性不受损害.面向网络应用怎么写作的加密技术使用则是目前较为流行的加密技术的使用方法,这一类加密技术的优点在于实现相对较为简单,不需要对电子信息（数据包）所经过的网络的安全性能提出特殊要求,对电子邮件数据实现了端到端的安全保障.

电子商务领域常用的加密技术主要包括：

数字摘 要(digitaldigest)这一加密方法亦称安全Hash编码法,由RonRivest所设计.该编码法采用单向Hash函数将需加密的明文“摘 要”成一串128bit的密文,这一串密文亦称为数字指纹(FingerPrint),它有固定的长度,且不同的明文摘 要成密文,其结果总是不同的,而同样的明文其摘 要必定一致.这样这串摘 要便可成为验证明文是否是“真身”的“指纹”了.数字签名(digitalsignature)数字签名将数字摘 要、公用密钥算法两种加密方法结合起来使用.主要方式是报文的发送方从报文文本中生成一个128位的散列值(或报文摘 要),用自己的私有密钥对这个散列值进行加密来形成发送方的数字签名.然后,这个数字签名将作为报文的附件和报文一起发送给报文的接收方.报文的接收方首先从接收到的原始报文中计算出128位的散列值,接着再用发送方的公开密钥来对报文附加的数字签名进行解密,如果两个散列值相同,那么接收方就能确认该数字签名是发送方的,通过数字签名能够实现对原始报文的鉴别.概括的说,签名的作用有两点,一是因为自己的签名难以否认,从而确认了文件已签署这一事实；二是因为签名不易仿冒,从而确定了文件是真的这一事实.

数字时间戳(digitaltime-stamp)交易文件中,时间是十分重要的信息.在电子交易中,需对交易文件的日期和时间信息采取安全措施,而数字时间戳怎么写作(DTS)就能提供电子文件发表时间的安全保护.时间戳(time-stamp)是一个经加密后形成的凭证文档,它包括三个部分：需加时间戳的

文件的摘 要(digest)；DTS收到文件的日期和时间；DTS的数字签名.数字证书(digitalcertificate,digitalID)数字证书又称为数字凭证,是用电子手段来证实一个用户的身份和对网络资源的访问的权限.目前,最有效的认证方式是由权威的认证机构为参与电子商务的各方发放证书,证书作为网上交易参与各方的身份识别,就好象每个公民都用来证明身份一样.认证中心作为电子商务交易中受信任的第三方,承担公钥体系中公钥的合法性检验的责任,是一个负责发放和管理数定证书的权威机构.因而网络中所有用户可以将自己的公钥交给这个中心,并提供自己的明信息,证明自己是相应公钥的拥有者,认证中心审查用户提供的信息后,如果确认用户是合法的,就给用户一个数字证书.这样,每个成员只需和认证中心打交道,就可以查到其他成员的公钥信息了.对于在网上进行交易的双方来说,数字证书对他们之间建立信任是至关重要的.数字凭证有三种类型：个人凭证、企业（怎么写作器）凭证、软件（开发者）凭证；大部分认证中心提供前两类凭证.

2.身份认证技术

为解决Inter的安全问题,初步形成了一套完整的Inter安全解决方案,即被广泛采用的公钥基础设施（PKI）体系结构.PKI体系结构采用证书管理公钥,通过第三方的可信机构CA,把用户的公钥和用户的其他标识信息（如名称、e-mail、号等）捆绑在一起,在Inter网上验证用户的身份,PKI体系结构把公钥和对称结合起来,在Inter网上实现密钥的自动管理,保证网上数据的机密性、完整性.

认证系统的基本原理：利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性,可建立一个为用户的公开密钥提供担保的可信的第三方认证系统.这个可信的第三方认证系统也称为CA,CA为用户发放电子证书,用户之间利用证书来保证信息安全性和双方身份的合法性.

认证系统结构：整个系统是一个大的网络环境,系统从功能上基本可以划分为CA、RA和WebPublisher.核心系统跟CA放在一个单独的封闭空间中,为了保证运行的绝对安全,其人员及制度都有严格的规定,并且系统设计为一离线网络.CA的功能是在收到来自RA的证书请求时,颁发证书.

证书的登记机构RegisterAuthority,简称RA,分散在各个网上银行的地区中心.RA与网银中心有机结合,接受客户申请,并审批申请,把证书正式请求通过建设银行企业内部网发送给CA中心.证书的公布系统WebPublisher,简称WP,置于Inter网上,是普通用户和CA直接交流的界面.对用户来讲它相当于一个在线的证书数据库.用户的证书由CA颁发之后,CA用E－mail通知用户,然后用户须用浏览器从这里下载证书.

3.网上支付平台及支付网关

网上支付平台分为CTEC支付体系（基于CTCA/GDCS）和SET支付体系（基于CTCA/SET）.网上支付平台支付型电子商务业务提供各种支付手段,包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段.

支付网关位于公网和传统的银行网络之间,其主要功能为：将公网传来的数据包解密,并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息,将数据转换为公网传送的数据格式,并对其进行加密.此外,支付网关还具有密钥保护和证书管理等其它功能.

电子商务信息安全中的其它问题

内部安全：最近的调查表明,至少有75%的信息安全问题来自内部,在信用卡和商业诈骗中,内部人员所占的比例最大；

恶意代码：它们将继续对所有的网络系统构成威胁,并且,其数量将随着Inter的发展和编程环境的丰富而增多,扩散起来也更加便利,因此,造成的破坏也就越大.

可靠性差：目前,Inter主干网和DNS怎么写作器的可靠性还远远不能满足人们的要求,而绝大部分拨号PPP连接质量并不可靠,且速度很慢；

技术人才短缺：由于Inter和网络购物都是在近几年得到了迅猛的发展,因而,许多地方都缺乏足够的技术人才来处理其中遇到的各种问题,尤其是网络购物具有24x7（每天24小时,每周7天都能工作）的要求,因而迫切需要有一大批专业技术人员对其进行管理.如果说加密技术是电子交易安全的“硬件”,那么人才问题则可以说是“软件”.从某种意义上讲,软件的问题解决起来可能更不容易,因此,技术人才的短缺可能成为阻碍网络购物发展的一个重要因素.

Web怎么写作器的保护意识差：在交易过程中对数据进行保护只是保证交易安全的一个方面.由于交易的信息均存储在怎么写作器上,因此,即使保密信息被客户端接收之后,也必须对存储在怎么写作器中的数据进行保护.

四、结束语

电子商务作为网络经济商务往来的主要交易模式已逐渐成为信息经济发展的动力和新的经济增长点.但安全问题却成为困扰电子商务发展挥之不去的阴霾.电子商务的安全威胁既包括恶意攻击、防范疏漏,还包括操作疏忽、管理松散等方面.因此,保障电子商务安全是一项系统工程.除了从技术上提高防范和建立健全保障机制外,还需要人员加强信息安全意识,单位完善网络系统管理体制.另外,电子商务实践要求有透明、和谐的交易秩序和环境保障,为此还需要政府建立和完善相应的法律体系.