时间：2022-02-21 14:51:35
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇电子商务安全，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
一、电子商务安全概述
电子商务主要是利用计算机网络进行商务交易活动，因此，电子商务安全可分为两大部分，即计算机网络安全和商务交易安全。计算机网络安全主要包括计算机网络设备安全、计算机网络系统安全、数据库安全等。计算机网络设备安全要保障设备的正常运行，能够做好数据备份，防范突发事件并及时地响应。计算机网络系统安全要确保系统正常，防范计算机病毒，木马，黑客入侵等威胁。数据库安全要防止黑客的恶意下载及公开，保护用户的个人信息及交易数据等。商务交易安全在计算机网络安全基础上，确保电子交易及电子支付为核心的电子商务过程的顺利进行。
二、电子商务安全需求
电子商务安全主要包括六大安全需求，即机密性、完整性、认证性、不可抵赖性、不可拒绝性和访问控制性。1、机密性是确保信息不被他人窃取、不被泄露或者披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。2、完整性是保护数据不被为授权者修改、建立、嵌入、删除、重复传送或由于其他原因使原始数据被更改。3、认证性是指网络两端的使用者在沟通之前相互确认双方的身份。4、不可抵赖性是指信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息。5、不可拒绝性是保证授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。6、访问控制性是指在网络上限制和控制通信链路对主机系统和应用的访问。
三、电子商务安全技术
电子商务安全技术主要分为计算机网络安全技术和电子商务交易技术。计算机网络安全技术包括防火墙技术、VPN技术、网络入侵检测技术和防病毒技术等。电子商务交易技术包括加密技术、数字签名技术和身份认证技术等。
1、防火墙是设置在被保护网络和外部网络之间的一道屏障，设置在内网与外网之间，以防止发生不可预测的、潜在破坏性的侵入，就好比门卫，用来防范外来威胁的侵入。它是不同网络与网络安全域之间信息的唯一出入口，能够根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务、实现网络和信息安全的基础设施。
2、VPN技术是在公共网络中建立一个专用网络，数据通过建立好的虚拟安全通道在公共网络中传播。VPN解决了内部网的信息如何在Internet上安全传送的问题。VPN可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。
3、网络入侵检测技术是对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，就好比现实中安装的摄像头监控。
4、防病毒技术主要利用杀毒软件，查杀计算机病毒和木马，防止黑客入侵。常用的杀毒软件有360安全卫士、金山毒霸、诺顿杀毒和瑞星杀毒等。除此之外，用户还要养成良好的上网习惯，不打开来历不明的电子邮件，不随意点击不健康的网站和对杀毒软件要及时更新等。
5、加密技术用来实现信息的机密性，主要分为数学和非数学的加密理论与技术。数学加密技术一般通过加密算法对数据进行加密和解密，非数学加密技术包括信息隐藏，生物识别和量子密码等。
6、数字签名技术主要利用散列函数提取摘要进行验证，保障交易信息的完整性和不可抵赖性。数据签名的加密解密过程和私有密钥的加密解密过程相反，使用的密钥对也不同。
7、身份认证技术是通信和数据系统正确识别通信用户或终端的个人身份的重要途径。当前用于身份识别的技术方法主要有四种：（1）利用用户身份、口令、密钥等技术措施进行身份识别；（2）利用用户的体貌特征、指纹、签字等技术措施进行身份识别；（3）利用用户持有的证件进行身份识别；（4）多种方法交互使用进行身份识别。
四、总结
电子商务领域的安全问题备受关注，相关的安全技术也在不断地发展和完善，但是仍然存在不足之处，特别是电子商务网站自身的安全性和电子商务人员的安全意识，例如用户信息资料数据库有些网站以明文的形式进行存储，不采用任何加密技术对其数据加密，导致黑客下载数据库后很容易识别相关信息，造成用户和商家的损失。用户在设置密码信息的时候，也不能过于简短，不要以自己的生日和自身相关数据作为密码。除此之外，钓鱼网站也严重地影响了在线金融服务、电子商务的发展，危害公众利益，影响公众应用互联网的信心。因此在安全技术不断发展的今天，提升用户自身的安全意识也是十分重要的。只有将安全技术与安全意识结合起来，才能共同构建安全的电子商务环境。
参考文献：
[1]肖德琴，电子商务安全保密技术与应用，华南理工大学出版社，2008年8月
【关键词】电子商务技术；信息化；安全问题
随着现代信息社会的不断发展，传统的商务模式进行着转变，新兴的技术在这个大背景下迅猛的成熟起来，并且开始应用于实践。比如，无线电子商务技术，数字水印技术，信息隐藏技术，智能商务技术等等。电子商务推动着网络经济的发展，是网络经济交易的构成主体，更是国民经济科技化、信息化的重要组成部分，它代表着未来商务交易运作方式的发展方向，在不断的发展壮大的过程中，也必将推动我国现代化经济的发展。
一、电子商务技术简述
(1)网络通信技术
在电子商务的现代化应用中，计算机网络是其最基础的依托设施，互联网将分散在各地的计算机系统进行连接，这样保证了计算机之间的相互通信，因而在电子商务活动中发挥了重要的沟通、纽带的作用。由此可见，作为电子商务技术中最底层、最基础的技术，网络技术是一切的基础。网络技术主要包括：局域网技术、广域网互联、接入技术、TCP／IP协议和Web技术。其中局域网和广域网技术是Internet的物理构成基础，TCP／IP协议是Internet的逻辑互联基础，Web技术是电子商务网站设计和开发的技术基础。
其中本文在此介绍一下Web Service技术。Web技术是建立在XML(可扩展标注语言)和SOAP(访问Web服务的标准)之上，使用HTTP(超文本传输协议)进行对Web方法的请求和应答，从而完成数据交换的技术。Web技术实现了服务系统从面向对象向面向服务的转化与演变，它使得用户可以随时随地、自动地、自如地搜索互联网上不同商业实体所提供的各种服务，并且通过对其进行比较，找出提供该服务的最佳实体、最佳途径，从而在最大限度上满足客户的需求。
(2)EDI技术
作为电子商务的核心技术之一，电子数据交换技术已经发展了二十多年，该技术通过电子传输的方式，代替了传统的邮政、货运等传输模式，为互联网虚拟交流开辟了一个崭新的天地。该技术通过国际标准的格式对行业信息进行编制，再经过互联网的传输，最终实现各主体间的数据传输与处理。
(3)电子商务安全技术
交易和支付的安全性一直是电子商务的敏感问题。网上交易的面临着诸多不安全因素，虽然一部分是网络本身的复杂性和共享性造成的，但是信用、管理、法律法规的不规范，也为不法分子提供了犯罪的温床。从密码泄露，身份信息被公开，到原生数据被更改，无一不使我们对电子商务的安全产生了极大的怀疑。不过，针对这些问题，信息保密性技术、数据完整性技术、不可否认技术、身份认证技术、智能技术、电子支付技术等技术的不断发展与完善，为电子商务的安全问题提供了有效的保障。
(4)MobileAgent技术
该智能移动技术通过人工智能技术对分布计算技术进行了进一步的发展与完善。它的本质是将网络上的一台主机需要传输的代码、程序移动到另一台主机上，通过选择JAVA语言来实现的电商体系。Mobile Agent技术的电子商务模式具有许多优点，其一，它能为交易主体提供接入Intemet的接口并且搜索出自己所需的商品，接着建立双方的交易平台，该技术使得完成交易所耗费时间和精力大大减少。其二，保障了在线交易的安全性。
二、电子商务安全现状
二十年前，电子商务安全产业才刚刚在中国起步，经过这几年的不懈努力，我国电子商务的科研和发展已经初具规模。目前，我国通过不断的研究与摸索，已掌握了部分核心的网络安全技术以及电子商务安全技术，但是由于电子商务安全技术仍在探索阶段，因而对于具有自主知识产权的信息产品很难进行开发以及运用，与此同时，国外信息产品开发所垄断的高新技术因其安全系统的要求，我国也无法进行学习，因而导致了发展的滞后。不过近年来，一方面通过借鉴国外先进技术，一方面经过国内开发人员的不懈努力，我国也研制出了一些安全产品，例如防火墙、第三方电子商务安全交易平台等。但是，在实际应用中，这些产品的安全问题在许多方面还存在技术漏洞。另外，因为法律约束的不够规范性，我国有很多的电子商务企业对网络信息安全问题重视程度很低。他们把企业发展的重点放在了追求效益的增加和交易的快捷上，与此同时，忽略了安全、保密的问题，从而导致了许多企业不适应于电子商务的长足发展。
三、电子商务安全问题
(1)思想上
如何唤起或者说加深更多的企业、部门和人员在思想对于网络安全的认识以及重视程度，是从根本上解决电子商务问题的基础。往大了说，电子商务的安全问题与国家信息技术的安全息息相关，往小了说，电子商务渗透到了现实生活的方方面面，与每个人的切身利益都有不可脱离的关系。只有解决了电子商务系统技术上、管理上的安全问题，才能够保障国家科技发展的安全性，从而保证经济的稳定、政治的稳定，并最终维护了国家的安全问题，与此同时，国家有关部门应该成立专门的领导协调机构，建立安全可靠的信息网络系统。
(2)技术上
其一，我国目前使用的互联网信息技术和相关的网络安全设备有很大一部分都是国外开发出来的，将其直接应用到我国的电子商务中，一方面安全性有待考量，另一方面，实际运用中也不可避免的会存在一些问题；其二，我国自主研发的安全设备和技术在关键时刻因为技术的不成熟，往往不能起到安全防范的作用；其三，我国许多企业只重视网络设备、设施的建设，但忽略了网络安全的投入。
(3)社会化信用体系
目前我国的互联网市场还不够成热，电子商务的交易保障体系还不够完善，社会化信用体系还不健全。在交易双方进行交易时，因保障体系的不健全，以及社会监督力度的不完善，因而交易主体的行为缺乏足够的自律性。
(4)法律上
电子商务缺乏相关法律法规对其进行有力的约束，因而许多网上违法犯罪行为得不到及时的威胁与惩戒，因而为许多网络犯罪提供了可能。加大立法，加强执法，才能主动预防犯罪，严厉惩治犯罪。
四、电子商务安全问题对策
(1)全面应用电子商务安全技术
其一，加强鉴别和认证安全技术。防止未被授权的用户进入到第三方支付平台进行不法操作。通过口令机制、强鉴别机制等方式，有效地解决主客体的信任问题。目前该鉴别技术应用较广的主要是在电子账单领域，在信息化比较发达的各大中城市，各大银行以及政府机关都已经开始应用电子账单。
其二，防火墙技术。它通过在网络之间建立一个安全屏障，保障各主体信息的安全性，它通过根据指定的算法，对网络数据进行分析、过滤和统计，并对各种非法的恶意攻击提供有效的防范。
其三，信息加密技术。通过常用的网络加密方法：链路加密、端点加密和节点加密，保护互联网内数据交换、文件传输的信息安全，是信息加密技术的根本目的。
(2)加强安全管理
电子商务安全管理主要包括以下几个方面：人员管理制度，对相关工作人员要进行严格的筛选，明确每个成员的工作职责；保密制度；信息数据备份和应急措施，主要是指如果计算机发生灾难时，能用于应的行安全保护；对抗病毒，因为病毒在网络环境下有很强的传染性、隐蔽性，它对于电子商务安全有着很大的威胁。因此，建立病毒防范制度是非常有必要的。
[关键词] 安全体系 加密 数字证书 电子商务 安全交易标准
一、引言
当前的电子商务是指通过电子方式的商务活动。它作为一种全新的业务和服务方式，为全球客户提供了丰富的商务信息、便捷的交易过程和廉价的交易成本。但是，电子商务给人们带来方便的同时，也把人们引入安全忧虑之中。买方担心在网络上传输的信用卡及个人资料被截取；卖方则担心收到的是被盗用的信用卡号码，或是交易不认账等，这些存在的安全漏洞问题已成为阻碍网上交易发展的首要问题。相对于传统商务，电子商务对管理机制、实施平台和信息传递技术都提出了更高的要求，其中安全体系的构建尤为显得重要，已成为电子商务能否得到进一步发展和推广的关键所在。
二、电子商务安全体系结构
1.电子商务中存在的安全隐患和威胁
Internet是电子商务实现的网络基础，它采用TCP/IP完成不同网络与不同计算机之间的通信，正是由于这些特点，使它给电子商务带来了很多的安全问题。Internet的安全隐患主要体现在四个方面。
开放性和资源共享是Internet的主要优点，但它带来的问题却不容忽视。因为当甲方在很容易的访问乙方时，如果没有采取任何措施，乙方同样很容易的访问甲方的计算机。
Internet采用的协议TCP/IP并未采用任何措施来保护传输内容不被窃取。它是一种包交换网络，每个数据包在网络上都是透明传输的，并且可能经过不同的网络，由路由器转发到达目的计算机。数据在传输过程中可能会遭到IP窥探、同步信号淹没、TCP会话窃听、复位与结束信号攻击等威胁。
Internet底层的操作系统如UNIX，由于源代码的公开，很容易发现漏洞，给Internet用户带来安全问题。
相比较传统信函，电子化信息就缺乏可信度，电子信息是否准确很难由其本身来鉴别。在Internet上传递电子信息时，难以确认信息发送者及信息是否被正确无误地传递给对方。
由于Internet存在上述安全隐患，将给电子商务带来如下的安全威胁。
由于非法入侵，造成商务信息被纂改、窃取或丢失。
商业机密在传输过程中被第三方获悉，被恶意破坏。
虚假身份的交易对象及虚假订单、合同。
贸易对象的抵赖。
由计算机系统故障造成的对交易过程和商业信息安全的破坏。
综上所述，电子商务面临多方面的威胁，存在许多安全隐患。
2.电子商务的安全性内容
要使电子商务健康、顺利发展，必须解决好以下几种关键的安全性要求。
(1)保证信息的保密性和完整性。在交易过程中必须保证信息不被非授权用户窃取，数据在输入和传输过程中能保证数据的一致性。
(2)不可否认性。它是指信息发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。
(3)真实性。商务活动交易双方身份是真实的，不是假冒的，不存在的。
(4)系统的可靠性与内部网络的严密性。在计算机失效、程序错误、传输错误、硬件各种及计算机病毒等潜在威胁下，有容错处理机制、数据恢复能力，确保系统安全、可靠。对企业内部网络而言，要保证内部网络不被入侵。
3.电子商务安全技术体系结构
电子商务的安全技术体系结构是保证电子商务中数据安全的一个完整逻辑结构，如图所示。其中，下层是上层的基础，为上层提供技术支持。上层是下层的扩展与递增。各层相互联系、相互依赖的构成一个整体。通过不同的安全控制技术，实现各层的安全策略，有效保证了电子商务系统的安全。
三、电子商务的安全技术
1.防火墙技术
防火墙是建立在内外网络边界上的过滤封装机制，内部网络被认为是安全和可信赖的，而外部网络（通常指Internet）被认为是不安全和不可信赖的。防火墙的主要目的是防止不希望的、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全策略。
防火墙的主要技术有包过滤技术、服务器技术、应用网关技术和状态检测包过滤技术，现在最常用的是状态检测包过滤技术。状态检测防火墙对每个合法网络连接保存的信息包括源地址、目的地址、协议类型、协议相关信息、连接状态和超时时间等称为状态。通过状态检测，可实现比简单包过滤防火墙具有更好的安全性。
2.加密技术
数字加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障安全性。利用加密技术，可以将某些重要的信息和数据从一个可以理解的明文转换为复杂的、不可理解的密文形式，在线路上传送或在数据库中存储，其他用户再将密文还原为明文。
3.信息摘要
密钥加密技术只能解决信息的保密性问题，对信息的完整性则可以使用信息摘要技术来实现。信息摘要又称为Hash算法，是一种单向加密算法，其加密结果是不能解密的。通过Hash算法，得到一个固定长度（128位）的散列值，不同的原文产生的信息摘要必不相同，相同的原文产生的信息摘要必定相同。这样，通过用接收方产生的摘要与发送方发来的摘要比较，若两者相同则表示原文在传输过程中没有被修改，否则说明原文被修改过。
4.数字签名
数字签名是密钥加密和信息摘要相结合的技术，用于保证信息的完整性和不可否认性。签名机制的特征是该签名只有通过签名者的私有信息才能产生，即一个签名者的签名只能惟一地由他自己生成。当收发双方发生争议时，第三方就能根据消息上的数字签名来裁定这条消息是否由发送方发出，从而实现不可否认服务。
5.数字时间戳
在电子交易中，时间和签名同等重要。数字时间戳是由专门机构提供的电子商务安全服务项目，用于证明信息发送的时间。
6.数字证书与CA认证
由于电子商务在网络中完成，互相之间不见面，因此为了保证每个人及机构都能惟一且被准确无误地识别，就需要进行身份认证。身份认证可以通过验证参与各方的数字证书来实现，而数字证书是由认证中心（CA）颁发的。
所谓CA（Certificate Authority：证书发行机构），是采用PKI（Public Key Infrastructure：公共密钥体系）公开密钥基础架构技术，专门提供网络身份认证服务，负责签发和管理数字证书，具有权威性和公正性的第三方信任机构，其作用就像现实生活中颁发证件的机构。
四、电子商务安全交易标准
要实现安全的电子商务交易，交易双方必须遵照统一的安全标准协议。当前，电子商务的安全机制正走向成熟，并逐渐形成了一些国际规范，比较有代表性的有安全套接层协议SSL（Secure Sockets Layer）和安全电子交易协议SET（Secure Electronic Transaction）。
1.安全套接层协议SSL
SSL协议是由Netscape公司研制的安全协议，SSL使用加密的方法建立一个安全的通信通道，以使客户的信用卡号传送给商家，商家再将其转发给银行，银行验证后在通知商家付款成功。该协议已成为事实上的工业标准，微软、IBM公司都提供基于这种简单加密模式的支付系统。
2.安全电子交易SET协议
SET协议向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。它是由Visa国际组织和MasterCard组织制定的，用于在Internet上进行在线交易时保证信用卡支付安全的开放性安全技术标准。由于得到了微软、IBM、RAS公司的支持与参与，已成为工业事实上的标准。
SET协议采用了RSA公私钥加密系统、数字签名、数字证书认证等技术，保证了支付信息的保密性、完整性和不可否认性。该协议提供了客户、商家和银行之间的身份认证，而交易信息和客户信用卡信息相互隔离，即商家只能获取订单信息，银行只能获得持卡人信用卡支付信息，双方互不干扰，各去所需，构成了SET协议的主要特色，使得SET成为电子商务的安全规范。
3.SET、SSL协议比较
(1)SET是一个专门的安全电子支付协议，而SSL本质上是一个网络安全协议，仅在双方间建立起安全连接。SET是一个多方的消息报文协议，定义了银行、商家和持卡人间必须符合的报文规范，它比SSL在交易过程中的信任度更强。
(2)SSL仅有商家的服务器需要认证，客户端只是选择性认证；而SET在整个交易过程中都受到严密保护，其安全性比SSL高。
(3)SSL协议中若想进行电子商务交易，只需通过浏览器实现，设置成本低廉，其交易只要几十秒就可完成；SET尽管安全性高，但需要专门的软件来实现，客户、商家改造成本高，由于交易过程各方之间进行多次加密传输，每次交易需要数分钟。
综上所述，SSL与SET协议是电子商务中最普遍的两种安全电子支付协议，各有优缺点。SSL虽然简单快捷，但随着电子商务的发展其缺点凸现出来，需采用更先进的支付系统。而SET虽有更强的功能和安全性，但过于复杂，使得大面积推广还有很大障碍，并且成本昂贵，所以，在未来一段时间里将会是SSL和SET两种支付方式并存的局面。
五、结论
电子商务的本质是商务，技术是电子商务得以实现的手段。没有商务需求，技术的研究就失去了应用价值；没有技术实现，电子商务就不能得以实施，所以技术是电子商务的必要条件。而安全则是实现电子商务技术的前提，也是电子商务的必要条件。解决电子商务的安全问题不是一个单一的技术问题，它是由一系列工作组成，需要从电子商务安全管理、安全技术体系和法律等多方面开展工作和研究。
参考文献:
[1]胡道元 闵京华:网络安全[M].北京:清华大学出版社，2006
[2]祝凌曦:电子商务安全[M].北京：北方交通大学，2006.
[3]李晓燕 李福全 郭爱芳:电子商务概论[M].陕西：电子科技大学出版社，2004
[4]何 胜:电子商务中安全支付协议的对比及应用[J].计算机时代,2004(20)
1电子商务面临的安全威胁
在电子商务运作的大环境中，时时刻刻面临着安全威胁，这不仅仅设计技术问题，更重要的是管理上的漏洞，而且与人们的行为模式有着密不可分的联系。电子商务面临的安全威胁可以分为以下几类：
1.1信息内容被截取窃取
这一类的威胁发生主要由于信息传递过程中加密措施或安全级别不够，或者通过对互联网，电话网中信息流量和流向等参数的分析来窃取有用信息。
1.2中途篡改信息
主要破坏信息的完整性，通过更改、删除、插入等手段对网络传输的信息进行中途篡改，并将篡改后的虚假信息发往接受端。
1.3身份假冒
建立与销售者服务器名称相似的假冒服务器、冒充销售者、建立虚假订单进行交易。
1.4交易抵赖
比如商家对卖出的商品因价格原因不承认原有交易，购买者因签订了订单却事后否认。
1.5同行业者恶意竞争
同行业者利用购买者名义进行商品交易，暗中了解买卖流程、库存状况、物流状况。
1.6电子商务系统安全性被破坏
不法分子利用非法手段进入系统，改变用户信息、销毁订单信息、生成虚假信息等。
2电子商务安全策略原则
电子商务安全策略是在现有情况，实现投入的成本与效率之间的平衡，减少电子商务安全所面临的威胁。据电子商务网络环境的不同，采用不同的安全技术来制定安全策略。在制定安全策略时应遵循以下总体原则：
2.1共存原则
是指影响网络安全的问题是与整个网络的运作生命周期同时存在，所以在设计安全体系结构时应考虑与网络安全需求一致。如果不在网站设计开始阶段考虑安全对策，等网站建设好后在修改会耗费更大的人力物力。
2.2灵活性原则
安全策略要能随着网络性能及安全威胁的变化而变化，要及时的适应系统和修改。
2.3风险与代价相互平衡的分析原则
任何一个网络，很难达到绝对没有安全威胁。对一个网络要进行实际分析，并且对网络面临的威胁以及可能遇到的风险要进行定量与定性的综合分析，制定规范的措施，并确定本系统的安全范畴，使花费在网络安全的成本与在安全保护下的信息的价值平衡。
2.4易使用性原则
安全策略的实施由人工完成，如果实施过程过于复杂，对于人的要求过高，对本身的安全性也是一种降低。
2.5综合性原则
一个好的安全策略在设计时往往采用是多种方法综合应用的结果，以系统工程的观点，方法分析网络安全问题，才可能获得有效可行的措施。
2.6多层保护原则
任何单一的安全保护措施都不是能独当一面，绝对安全的，应该建立一个多层的互补系统，那么当一层被攻破时，其它保护层仍然可以安全的保护信息。
3电子商务安全策略主要技术
3.1防火墙技术
防火墙技术是一种保护本地网络，并对外部网络攻击进行抵制的重要网络安全技术之一，是提供信息安全服务，实现网络信息安全的基础设施。总体可以分为：数据包过滤型防火墙、应用级网关型防火墙、服务型防火墙等几类。防火墙具有5种基本功能：
（1）抵挡外部攻击；
（2）防止信息泄露；
（3）控制管理网络存取和访问；
（4）VPN虚拟专用网功能；
（5）自身抗攻击能力。
防火墙的安全策略有两种情形：
（1）违背允许的访问服务都是被禁止的；
（2）未被禁止的访问服务都是被允许的。
多数防火墙是在两者之间采取折中策略，在安全的情况之下提高访问效率。
3.2加密技术
加密技术是对传输的信息以某种方法进行伪装并隐藏其内容，而达到不被第三方所获取其真实内容的一种方法。在电子商务过程中，采用加密技术将信息隐藏起来，再将隐藏的信息传输出去，这样即使信息在传输的过程中被窃取，非法截获者也无法了解信息内容，进而保证了信息在交换过程中安全性、真实性、能够有效的为安全策略提供帮助。
3.3数字签名技术
是指在对文件进行加密的基础上，为了防止有人对传输过程中的文件进行更改破坏以及确定发信人的身份所采取的手段。在电子商务安全中占有特别重要的地位，能够解决贸易过程中的身份认证、内容完整性、不可抵赖等问题。数字签名过程：发送方首先将原文通过Hash算法生成摘要，并用发送者的私钥进行加密生成数字签名发送给接受方，接收方用发送者的公钥进行解密，得到发送方的报文摘要，最后接收方将收到的原文用Hash算法生成其摘要，与发送方的摘要进行比对。
3.4数字证书技术
数字证书是网络用户身份信息的一系列数据，由第三方公正机构颁发，以数字证书为依据的信息加密技术可以确保网上传输信息的的保密性、完整性和交易的真实性、不可否认性，为电子商务的安全提供保障。标准的数字证书包含：版本号，签名算法，序列号，颁发者姓名，有效日期，主体公钥信息，颁发者唯一标识符，主体唯一标示符等内容。一个合理的安全策略离不开数字证书的支持。
3.5安全协议技术
安全协议能够为交易过程中的信息传输提供强而有力的保障。目前通用的为电子商务安全策略提供的协议主要有电子商务支付安全协议、通信安全协议、邮件安全协议三类。用于电子商务的主要安全协议包括：通讯安全的SSL协议（SecureSocketLayer），信用卡安全的SET协议（SecureElectronicTransaction），商业贸易安全的超文本传输协议（S-HTTP），InternetEDI电子数据交换协议以及电子邮件安全协议S/MIME和PEM等。
[关键词] 电子商务 安全 PKI 公钥
一、引言
随着计算机技术和通讯技术的飞速发展，网络正逐步改变着人们的工作方式和生活方式，成为当今社会发展的一个主题。网络的开放性，互连性，共享性程度的扩大，特别是Internet的出现，使网络的重要性和对社会的影响也越来越大。随着网络上电子商务，电子现金，数字货币，网络移动通信等新业务的兴起，信息安全问题变得越来越重要。在各种网络信息技术的应用中，保障用户的合法访问、保证数据在传输过程中的保密性，以及确认发送者的合法身份是最基本的安全要求。越来越多的组织利用公钥基础设施（PKI）技术为用户提供信息安全服务。在我国，基于PKI技术的安全方案也从金融、电信等少数行业扩展到更多领域，出现在电子政务、电子商务等各类信息化应用中。
二、电子商务安全
电子商务是指各种具有商业活动能力的主体（如企业、个人、政府、银行等）利用网络和先进的数字化传媒技术开展的各项商业贸易活动。电子商务作为一种全新的商务运作模式，在不断发展的同时，也带来种种安全问题。电子商务安全分为两大部分：计算机网络安全和商务交易安全。
计算机网络安全的内容包括计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题, 实施强大的网络安全监控方案, 以保证计算机网络自身的安全性。常用的网络安全技术有防火墙、虚拟专用网、入侵检测技术、计算机防病毒技术等。
商务交易安全则紧紧围绕传统商务在互联网上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行，即实现电子商务的真实性、完整性、机密性和不可否认性等。具体包括：如何确定通信中贸易伙伴的真实性，保证身份的可认证性； 如何保证电子单证的机密性，防范电子单证的内容被第三方读取；如何保证被传输的业务单证不会丢失，或者发送方可以察觉所发单证的丢失；如何保证电子单证内容的真实性、准确性和完整性；如何保证存储信息的安全性；如何对数据信息进行审查并将审查的结果进行记录。
三、PKI与电子商务安全
互联网络的开放性和匿名性的特征使电子商务的安全问题变得越来越突出，诸如信息的泄露或篡改，欺骗，抵赖等问题。为了防范用户身份（包括人和设备）的假冒、数据的截取和篡改，以及行为的否认等安全漏洞，互联网急需一种技术或体制来实现对用户身份的认证，建立可信的网络应用环境，并保证互联网上所传输数据的安全。PKI是为适应网络开放状态应运而生的一种技术，以前的信息安全技术（如防火墙、入侵检测。防病毒等）基本上都是解决网络安全某一方面的问题，而PKI则是比较完整的网络安全解决方案，能够全面保证信息的真实性、完整性、机密性和不可否认性。
1.什么是PKI
PKI（Public Key Infrastructure）即“公钥基础设施”，是一套利用公钥密码技术为安全通信提供服务的基础平台的技术和规范，PKI规定了该安全基础平台应遵循的标准。PKI公钥基础设施的主要任务是在开放环境中为开放性业务提供基于非对称密钥密码技术的一系列安全服务，包括身份认证和密码管理、机密性、完整性、身份认证和数字签名等。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。用户可利用PKI平台提供的服务进行安全的电子交易，通信和互联网上的各种活动。
2.PKI的组成
一个典型的PKI系统应该包括PKI策略，软硬件系统，认证中心CA、注册机构RA、证书签发系统和PKI应用等基本部分，见图1 PKI的组成框图。
图 PKI的组成框图
(1)PKI策略：是一个包含如何在实践中增强和支持安全策略的一些操作过程的详细文档，它建立和定义了一个组织信息安全方面的指导方针，同时也定义了密码系统使用的处理方法和原则。
(2)软硬件系统是：PKI系统运行所需的所有软件、硬件的集合，主要包括认证服务器、目录服务器、PKI平台等。
(3)认证中心CA：是PKI的信任基础，它负责管理密钥和数字证书的整个生命周期。其作用包括：证书申请、证书审批和发放、规定证书的有效期、证书更新、接收并处理合法身份者的证书查询和撤消申请、产生并管理证书废止列表CRL、将各用户的数字证书归档、产生并管理密钥（包括密钥备份及恢复）、将用户的历史数据归档等。
(4)注朋机构RA：是PKI信任体系的重要组成部分，是用户（可以是个人或团体）和认证中心CA之间的一个接口。主要完成收集用户信息、确认用户身份的功能。这里指的用户，是指将要向认证中心(以)申请数字证书的客户，它可以是个人，也可以是集团、企业等机构。
(5)证书签发系统：负责证书的发放，如可以通过用户自己，或是通过目录服务。目录服务器可以是一个组织中现有的，也可以是PKI方案中提供的。
(6)PKI应用：包括在Web服务器和浏览器之间的通讯、电子邮件、电子数据交换(EDI)、在Internet上的信用卡交易和虚拟专业网（VPN）等。
(7)应用接口系统（API）：一个完整的PKI必须提供良好的应用接口系统，让用户能够方便地使用加密、数字签名等安全服务，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保所建立起来的网络环境的可信性，降低管理和维护的成本。
3.基于PKI的电子商务安全体系
电子商务的关键是商务信息电子化，因此，电子商务安全性问题的关键是计算机信息的安全性。如何保障电子商务过程的顺利进行，即实现电子商务的真实性、完整性、机密性和不可否认性等。PKI体系结构采用证书管理公钥，通过第三方的可信机构，把用户的公钥和用户的其他标识信息（如用户身份识别码、用户名、身份证件号、地址等）捆绑在一起，形成数字证书，以便在Internet上验证用户的身份。PKI是建立在公钥理论基础上的，从公钥理论出发，公钥和私钥配合使用来保证数据传输的机密性；通过哈希函数、数字签名技术及消息认证码等技术来保证数据的完整性；通过数字签名技术来进行认证，且通过数字签名，安全时间戳等技术提供不可否认。因此PKI是比较完整的电子商务安全解决方案，能够全面保证信息的真实性、完整性、机密性和不可否认性。
通常电子商务的参与方一般包括买方、卖方、银行和作为中介的电子交易市场。首先买方通过浏览器登录到电子交易市场的Web服务器并寻找卖方。当买方登录服务器时，买卖双方都要在网上验证对方的电子身份证，这被称为双向认证。在双方身份被互相确认以后，建立起安全通道，并进行讨价还价，之后买方向卖方提交订单。订单里有两种信息：一部分是订货信息，包括商品名称和价格；另一部分是提交银行的支付信息，包括金额和支付账号。买方对这两种信息进行双重数字签名，分别用卖方和银行的证书公钥加密上述信息。当卖方收到这些交易信息后，留下订货单信息，而将支付信息转发给银行。卖方只能用自己专有的私钥解开订货单信息并验证签名。同理，银行只能用自己的私钥解开加密的支付信息、验证签名并进行划账。银行在完成划账以后，通知起中介作用的电子交易市场、物流中心和买方，并进行商品配送。整个交易过程都是在PKI所提供的安全服务之下进行，实现了真实性、完整性、机密性和不可否认性。
四、结束语
综上所述，PKI技术是解决电子商务安全问题的关键，综合PKI的各种应用，我们可以建立一个可信任和足够安全的网络，能够全面保证电子商务中信息的真实性、完整性、机密性和不可否认性。
参考文献：
[1]宁宇鹏陈昕等:PKI技术[M].北京:机械工业出版,2004年
【关键词】电子商务安全；加密；数字签名；认证；协议
随着网络通信技术的迅猛发展和Internet的不断普及，电子商务作为一种新型的商务模式，在全球范围内正以惊人的速度迅猛发展。然而由于它是基于Internet开展的商务活动，大量重要的信息都需要在互联网上进行传递，尤其还涉及到资金的流动，必然要求传递信息的过程足够安全。因此如何保障交易过程和传递信息的安全性就成为影响电子商务发展的一个至关重要的问题，也是技术难点。
一、电子商务的安全威胁
电子商务是基于网络信息传输的，依靠从信息终端之间信息的传递完成商务交易。与传统商务的面对面交易不同，电子商务的安全就是要确保这些信息的传递是稳定的、完整的、可靠的、保密的，是反映信息发送者的真实意愿的。而威胁互联网安全的因素很多。
1.截获
攻击者获取了对资源的访问权，这是对机密性的攻击。例如，在网络上搭线或安装电磁波截获装置以获取银行账号、用户密码等有用数据。
2.篡改
攻击者不仅获得了访问权而且篡改了某些资源，这是对完整性的攻击。例如，修改资金额度、货物数量、商品价格等交易信息。
3.伪造
攻击者将伪造的对象插入系统，这是对真实性的攻击。例如，冒充合法用户进行交易，给合法用户造成损失。
4.否认或抵赖
商家或用户否认自己曾经发送或接收到信息，这是对不可抵赖性的攻击。例如，合法用户可能会赖账，商家也有可能因为商品价格差而不承认原有交易。
二、电子商务的安全需求
在电子商务面临上述安全隐患的情况下，要在因特网中建立并维持一个令人可以信任的环境和机制，也为了保障交易各方的合法权益，需要满足以下几个方面的安全需求。
1.信息的机密性
信息的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取、不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。机密性可用加密和信息隐匿技术实现，使截获者不能解读加密信息的内容。机密性的另一方面是保护通信流特性以防止被分析。
2.信息的完整性
信息的完整性或称正确性是保护数据不被伪授权者修改、建立、嵌入、删除、重复传送或由于其他的原因使原始数据被更改。在存储时，要防止非法篡改，防止网站上的信息被破坏。在传输过程中，如果接收方收到的信息与发送方的信息完全一样则说明在传输过程中信息没有遭到破坏，具有完整性。针对信息的完整性，目前的主要措施是通过散列算法（也称消息摘要算法）来检查信息的完整性。
3.商务对象的认证性
商务对象的认证性是指网络两端的使用者在沟通之前相互确认对方的身份，保证身份的正确性。分辨参与者声称身份的真伪，防止伪装攻击。认证性采用由认证中心向各交易主体发放数字证书并进行验证。
4.信息的不可抵赖性
信息的不可抵赖性是指信息的发送方不能否认已发送的信息，信息的接受方不能否认已收到的信息。这是一种法律有效性要求。交易一旦达成是不能被否认的。否则必然会损害一方的利益。目前的主要措施是采用数字签名技术。
三、电子商务安全技术
1.加密技术
加密技术是电子商务的最基本信息安全防范措施，其原理是利用一定的加密算法，将明文转换成难以识别和理解的密文并进行传输，从而确保数据的机密。主要有对称加密技术、非对称加密技术和数字信封技术。
（1）对称加密技术
对称加密技术，即信息的发送方和接收方用一个密钥去加密和解密数据，也就是说加密和解密用同一个密钥。它要求发送方、接收方在安全通信之前，商定一个密钥，对称密钥算法的安全性依赖于密钥，泄露密钥就意味着任何人都能对消息进行加、解密。只要通信需要保密，密钥就必须保密。它的最大优势是加、解密速度快，便于用硬件实现、适合于对大数据量进行加密等，但密钥管理困难。
（2）非对称加密技术
非对称加密技术就是加密和解密所使用的不是同一个密钥，通常有两个密钥，称为“公钥”和“私钥”。“公钥”和“私钥”不能由一个推出另一个，但是“公钥”加密的信息只能由“私钥”解密，反之亦然。非对称密钥机制灵活，但加密和解密速度比对称密钥加密慢得多，所以它不适合于对文件进行加密，而只适用于对少量数据进行加密。
（3）数字信封技术
鉴于对称加密技术和非对称加密技术各自的特点，在实际应用中将两种加密技术结合使用，从而获得对称加密技术的高效性和非对称加密技术的灵活性。这种把对称加密技术和非对称加密技术结合使用的技术称数字信封技术。
2.数字签名技术
数字签名技术主要解决电子商务中信息的不可抵赖性问题。其工作原理是：将报文按双方约定的HASH算法计算，得到一个固定位数的HASH值，在数学上保证只要改动报文的任何一位，重新计算出的HASH值就会与原值不符。然后把该HASH值用发送者的私钥加密，然后将该密文同原报文一起发送给接收者，产生的报文即数字签名。接收方收到数字签名后，用同样的HASH算法对报文计算HASH值，然后与用发送者的公钥进行解密解开的HASH值进行比较，如相等则说明报文确实来自发送者从而保证了数据的真实性。通过数字签名还能够实现对原信息的鉴别，从而保证信息在传输过程中的信息完整性和信息发送方的不可抵赖性。
3.认证技术
对数字签名和公开密钥加密技术来说，都会面临公钥的分发问题。这就要求管理公钥的系统必须是值得信赖的，数字证书就是解决这一问题的有效方法。它通常是一个签名文档，标记特定对象的公开密钥。由认证中心CA签发，CA通常是一个服务性机构，主要任务是受理数字证书的申请、签发和管理数字证书，是一个普遍可信的第三方。当通信双方都信任同一个CA时，两者就可以相互得到对方的公钥从而能进行秘密通信、数字签名和认证。
4.数字时间戳技术
在电子商务交易中，时间是十分重要的信息。数字时间戳服务DTS就是为电子文件的时间信息进行安全保护的网上安全服务项目。时间戳是经过加密后形成的文档，它包括三部分内容：①需加时间戳的文件的摘要；②DTS收到文件的日期和时间；③DTS的数字签名。
5.与电子商务安全有关的协议技术
（1）SSL-安全套接层协议
SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和加密密钥的用于浏览器和Web服务器之间的安全连接技术。它在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议以保证应用层数据传输的安全性。SSL协议独立于应用层协议，且被大部分的浏览器和Web服务器所内置，便于在电子交易中应用，因此，在电子交易中被用来安全传送信用卡号码。国际著名的CyberCash信用卡支付系统就支持这种简单加密模式，IBM等公司也提供了这种简单加密模式的支付系统。
但SSL协议它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成，SSL协议并不能协调各方间的安全传输和信任关系。因此，为了实现更加完善的电子交易，制订了SET协议。
（2）SET-安全电子交易协议
SET协议是目前唯一保证信用卡信息能安全可靠地通过因特网传输的新协议。它为在Internet上进行安全的电子商务活动提供了一个开放的标准，为Internet上支付交易提供高层的安全和反欺诈保证。SET协议为基于信用卡进行电子交易的应用提供了安全措施，保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。SET是专门为电子商务而设计的协议，它在很多方面优于SSL协议，但仍不能解决电子商务所遇到的全部问题。
四、结束语
电子商务安全是电子商务活动的核心，我们要坚持引进和吸收的原则，组织各方面力量，研制和开发出具有自主知识产权的网络安全和电子商务安全产品，逐步掌握电子商务安全的核心技术，我国的电子商务安全现状一定会得到极大的改善，从而为我国电子商务的发展创建良好的安全环境。
参考文献：
[1]陈建斌.电子商务与电子政务[M].北京:机械工业出版社,2008.
关键词：电子商务；身份认证；防火墙
中图分类号：TP3 文献标识码：A文章编号：1009-3044(2008)30-0559-02
A Brief Analysis on the Security Strategy of E-business
WANG Gai-xiang
(Shanxi Professional College of Finance,Taiyuan 030008,China)
Abstract: With the rapid development of Internet applications, E-business based on Internet has become a new mode for people to pursue commerce. With more and more people execute their commerce through Internet, the prospect of E-businessis becoming more and more attracting,But the Chief Problem of E-business is the safety of Commerce information. For realizing an E-business basic frame of security, various kinds of safe practices in e-commerce are analysed in order to develop a kind of effective , safe realization E-business.
Key words:E-business; identity authentication; firewall
1 引言
电子商务可以增加销售额并降低成本的优势，使得政府与企业都十分重视并推动电子商务的建设和发展。电子商务发展到今天,主要问题在于时空的分离导致了安全问题的出现,信息的安全性是当前发展电子商务最迫切需要解决的问题之一。研究和分析电子商务的安全性问题,特别是针对企业自身情况,充分借鉴以往电子商务系统开发的先进技术和经验,开发出符合企业特殊的电子商务系统,已经成为目前发展电子商务的关键，而安全体系的构建显得尤为重要。
2 电子商务的主要安全要素
目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。时空的分离导致了安全问题的出现，电子商务交易双方（销售者和消费者）都面临安全威胁，电子商务的安全要素主要体现在以下几个方面：
2.1 信息真实性、有效性
电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。
2.2 信息机密性
电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。
3.3 信息完整性
电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。
3.4 信息可靠性、不可抵赖性和可鉴别性
可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。
在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的，电子商务系统应充分保证原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。
3 电子商务安全系统
网络安全是电子商务的基础。为了保证电子商务交易能顺利进行，要求电子商务平台要稳定可靠，能不中断地提供服务。任何系统的中断，如硬件、软件错误，网络故障、病毒等都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。
所以就整个电子商务安全系统而言，安全性可以划分为四个层次，
1) 网络节点的安全
2) 通讯的安全性
3) 应用程序的安全性
4) 用户的认证管理
其中2、3、4是通过操作系统和Web服务器软件实现，而网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。
3.1 网络节点的安全
防火墙是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击，为电子商务的施展提供个相对更安全的平台。
防火墙是在连接Internet和Intranet保证安全最为有效的方法 ，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。 应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。
3.2 通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。 目前采用的是浏览器缺省的40位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。
3.3 应用程序的安全性
即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。
这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题 。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。
3.4 用户的认证管理
1) 身份认证
电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。
2) CA证书
要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。
3) 安全套接层SSL协议
安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。
电子商务面临的安全风险
电子商务的优势是明显的，但电子商务安全性问题却日益突出。
任何在Internet上开展业务的机构都必须采取积极的步骤，确保系统有足够的安全措施防止机密信息泄露和非法侵入所造成的损失。但Internet本身就是基于开放思想设计并逐步发展起来的。要想在Internet上实现绝对安全是困难的。Internet上实现电子商务面临的风险主要来自机密关键数据安全及电子交易安全两方面，具体到技术细节包含以下四个方面。
(1)数据的私有性和安全性。如果不采用特别的保护措施，包括电子邮件等在Internet中开放传输的数据都可能被第三者监视和阅读。考虑到巨大的传输量和难以计数的传输途径，想任意窃听一组数据传输是不可能，但是一些设置在Web服务器的黑客程序却可以查找和收集特定类型的数据。这些数据包括信用卡、存款的帐号和相应的口令。同时因为Internet的开放性设计，数据私有性和安全性还包括数据传输之外的问题，例如连入Internet的数据存储网络驱动器的安全性，所以任何存储在Web服务器上的数据必须采取保护措施。
(2)数据的完整性。由于Internet的开放体系，如果具备了特定的知识和工具完全可以更改传输中的数据。同时要采取适当的存取访问控制，以保证数据存取系统的安全。在电子商务中务必保存数据最初的格式和内容。
(3)认证电子商务的具体实现中，首先要确认当前的通讯、交易和存取要求是合法的。例如Internet中的计算机系统的身份是由其IP地址确认的。黑客通过IP欺骗，使用虚假的IP地址，从而达到隐瞒自己身份盗用他人身份的目的。在日常电子邮件的使用中可以很容易地发匿名邮件，或者使用不真实的邮件用户名。因此，在电子商务中必须建立严格的身份认证机制以确保参加交易各方的身份真实有效。
(4)不可否认性。不可否认主要包含数据的原始记录和发送记
录，确认数据已经完成发送和接收，防止接收用户更改原始记录，防止用户在已经收到数据以后否认收到数据，并拖延自己的下一步工作。为了保证交易过程的可操作性，必须采取可靠的方法确保交易过程的真实性，保证参加电子交易的各方承认交易过程的合法性。
在我们把银行的内部网络接入Internet以后，相应地增加了许多可以访问银行内部网络的节点。从理论上讲从世界各个地方都可以实现对银行内部网络的访问，这对银行计算机网络的数据和系统的安全性提出了更高的要求。这就需要我们采取严密的访问控制，禁止非法访问。电子商务中威胁计算机网络安全的因素有：破坏、更改或者盗窃数据；公开机密信息；计算机系统崩溃；公共形象(如主页)被污损等。造成这些损失的因素有：黑客，公司内部职员，电子商务软件中的Bug，商业间谍等。
电子商务面临的上述问题主要是由对系统的非法入侵造成的。首先是网络黑客，他们通过发现Web服务器、操作系统或者主页部件在配置方面的漏洞，攻击网络系统。其次是内部侵入，这主要是由企业IT部门的员工造成的，保护网络的物理安全(如主控机房)及严格的口令管理制度是防范该类问题的关键。还有恶意代码(如计算机病毒)，它们在企业的传播会给电子商务系统造成严重的损失。另外值得关注的是计算机系统本身的问题，例如由于电源造成的系统宕机，以及广域网络的通讯，这些都会直接造成服务的突然中止，影响电子商务的形象。我们还应关注系统管理方面的问题，有时电子商务出现的问题既非黑客也非系统本身的毛病，而是源于对敏感数据处理不善或者是安全系统(如防火墙)的不正确配置。用户的身份认证是计算机系统安全的基础工作，数字签名加密等技术在这里可以充分起到作用。
保障电子商务系统安全的对策
(1)用户识别文件和口令。许多互联网研究机构都将私有性和保密性列为电子商务的首要问题。用户识别文件和口令在Internet之前的大型主机时代，就已经是安全的有效实现方法。在电子商务中，可以采用限制错误登录的次数、跟踪错误访问的办法，保护用户识别文件和口令的安全。
(2)数据加密。开放的Internet本身并不提供安全的传输路径，所以在电子商务中必须采用数据加密，保证帐户和交易数据的安全。超文本安全传输协议S－HTTP和安全套接层协议SSL是在Web端与浏览器端实现加密的应用技术，这两种技术使得数据对于没有密钥的人是毫无用处的，并且易于在商业领域应用。
(3)认证授权和数字认证CA是认证授权中心(CertficateAuthority)的简称，它和数字认证(DigitalCertificate)一起在电子商务的身份认证、不可否认性、数据私有加密钥管理方面起着主要的作用。CA是交易双方都信任的第三方机构，由它来证明参加交易各方的身份。在交易过程中CA将自己的数字签名附在所有的传送消息和公共密钥上。数字认证指的是附有CA签名的消息。参加交易方都必须信任CA，CA在交易前确认所有各方的身份，可见CA的主要任务在于管理而不是技术。CA在电子商务中，起着法律仲裁的作用，其工作相当于确定用户的数字签名能否得到法律的认可。但是只有在CA拥有了仲裁权以后，这种认证才有法律效应。在电子商务的发展过程中，CA的重要作用正在日益显现。
认证中心与加密技术相结合产生了一种完全适合电子商务的加密技术安全电子交易SET。安全套接层SSL加密方法仅仅是实现了传输加密和数据完整性，相当于在两台计算机之间建立一个安全的通道。而电子商务的要求则更高一点。例如用户通过与商家连网，进行支付和交易时，商家不应该知道用户的帐户等信息，显然SSL协议不能防止商家的欺诈。另外SSL协议也不保证交易各方身份的真实性和不可否认性。SET的架构是通过几个成员所共同组成的，各个成员可以很好地模拟实际电子商务操作的角色，这些成员分别是电子钱包(ElectronicWallet)、商户服务器(MerchantServer)、支付网关(PaymentGateway)和认证中心(CertificationAuthority)。
SET通过认证中心和认证签名确认交易各方的真实身份，利用数字签名保证交易的不可否认性。SET的技术特点还有：①对订单信息和支付信息进行双重签名，这样商家只能得到订单信息，银行只知道支付信息；②采用信息摘要技术保证了交易的完整性；③采用公钥体系和密钥体系结合进行加密，而SSL只采用了公钥体系。
SET已经成为国际公认的Internet电子商务的安全标准，非常详细地反映了电子交易各方之间存在的各种关系。目前，一些厂商有专门的软件产品与SET的各个角色相对应。
(4)虚拟专用网(VPN)虚拟专用网是利用Internet公用网络，通过隧道协议和安全方法传输企业专用数据的技术。虚拟专用网在传送数据前将其加密，在接收端进行解密，它的特点是不仅加密数据，而且加密接收双方的网络地址。同时VPN的用户验证方法也提供了更高一级的远程访问安全性。
关键词：安全、认证、证书、CA 、SSL协议、SET协议
一 引言
近几年，随着互联网的不断发展，在世界范围内掀起了一股电子商务热潮。许多国家政府部门对电子商务的发展十分重视，把这场以电子商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。
中国对电子商务的发展也给予了应有的重视，考虑到电子商务必然涉及到网上支付、必然涉及到银行支付结算，为了作好前瞻性的研究，1998年6月，人民银行支付科技司组织成立了电子商务课题组，对银行支付在电子商务中的作用和对策进行研究，并在研究基础上，组织各商业银行联合共建金融认证中心，为网上安全支付创造条件。
实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在向基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。电子商务的安全主要采用数据加密和身份认证技术。
下面分别从认证系统，SSL（Secure Sockets Layer）协议和安全电子交易SET（Secure Electronic Transaction）协议三个方面来加以论述。
二 认证系统
电子商务的关键是安全，网上安全交易的基础是数字证书。证书类似于生活中的身份证，用以在网络上鉴别一个人或组织的真实身份。证书的颁发机构叫做Certificate Authority，通常简称CA。要建立安全的电子商务系统，必须首先建立一个稳固、健全的CA；否则，一切网上的交易都没有安全保障。
2.1 认证系统的基本原理
传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理的问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。RSA算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。
国际邮联ITU在1994年公布了关于证书格式的最新标准，称为X.509协议，在X.509的证书格式中，包含很多域，其中比较重要的有：用户名称、签发者名称、有效期、用户公钥信息、签发者对证书信息的数字签名。在浏览器和Web Server产品中都已集成了证书申请和证书的验证功能，只要能用符合X.509协议的证书安装在浏览器上和Web Server服务器端，就能实现双方证书的自动验证，从而识别身份。
2.2 系统结构
整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和Web Publisher。
核心系统根CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。
证书的登记机构Register Authority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为TCP/IP。
证书的公布系统Web Publisher，简称WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。
2.3 我国认证系统的建设情况
为保证电子商务在中国的顺利开展，必须建立全国统一的金融认证中心。
目前，经"金融系统电子商务联络与研究小组"提议，由人民银行和各家商业银行联合建立金融部门的安全认证体系得到了国内十几家商业银行的支持和响应。经金融信息化领导小组会议批准，现已决定由人民银行牵头，联合工商银行等11家商业银行，共同出资建立金融认证中心。
金融认证中心工程建设目前正在顺利进行。它将是面向全国的、金融系统联合共建的统一的认证中心，将支持B to C和B to B两种模式的网上交易；在体系结构上，金融认证中心的设计充分考虑了各地方开展电子商务的认证需求，计划在中心城市或某些银行系统内设立若干面对客户的注册机构。
三 SSL协议
SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。它被视为 Internet 上 Web 浏览器和服务器的标准安全性措施。SSL 提供了用于启动 TCP/IP 连接的安全性“信号交换”。这种信号交换导致客户和服务器同意将使用的安全性级别，并履行连接的任何身份验证要求。它通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。
这种简单加密模式的特点是：
部分或全部信息加密；
采用对称的和非对称的加密技术；
通过数字证书验证身份；
采用防止伪造的数字签名。
SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。
SSL协议握手流程由两个阶段组成：服务器认证和用户认证（可选）。
3.1 服务器认证阶段
在一次交易过程中，客户的证书首先传送到银行Server方，服务器先验证有效期，再根据签发者(CA)名称找到签发者公钥(在CA的根证书内)，验证证书的数字签名的合法性。
Web 服务器上的 SSL 安全性要求步骤如下：
1 生成密钥对文件和请求文件。
2 从身份验证权限中请求一个证书。
3 在服务器上安装证书。
4 激活 WWW 服务文件夹上的 SSL 安全性。
服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的消息时将包含生成主密钥所需的信息；
客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；
服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。
这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。
3.2 用户认证阶段（可选）
在此之前，服务器已经过了客户认证，这一阶段主要完成对客户的认证。
经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。
SSL支持各种加密算法。在“握手”过程中，使用RSA公开密钥系统。密钥交换后，使用一系列密码，包括RC2、RC4、IDEA、DES、triple-DES及MD5 信息摘要算法。公开密钥认证遵循X.509标准。
SSL协议独立于应用层协议，且被大部分的浏览器和Web服务器所内置，便于在电子交易中应用，国际著名的CyberCash信用卡支付系统就支持这种简单加密模式，IBM等公司也提供这种简单加密模式的支付系统。
3.3 SSL的应用及局限
中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，从目前实际使用的请款来看，SSL还是人们最信赖的协议。
SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成， SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。
因此，为了实现更加完善的电子交易，MasterCard和Visa以及其它一些业界厂商制订并了SET协议。
四 SET协议
SET协议是针对开放网络上安全、有效的银行卡交易，由Visa和MasterCard联合研制的，为Internet上卡支付交易提供高层的安全和反欺诈保证。SET协议为电子交易提供的安全措施
SET协议保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。
4.1 机密性（Confidentiality）
SET协议采用先进的公开密钥算法来保证传输信息的机密性，以避免Internet上任何无关方的窥探。公开密钥算法容许任何人使用公开的密钥将加密信息发送给指定的接收者，接收者收到密文后，用私人密钥对这个信息解密，因此，只有指定的接收者才能读这个信息，从而保证信息的机密性。
SET协议也可通过双重签名的方法将信用卡信息直接从客户方透过商家发送到商家的开户行，而不容许商家访问客户的账号信息，这样客户在消费时可以确信其信用卡号没有在传输过程中被窥探，而接收SET交易的商家因为没有访问信用卡信息，故免去了在其数据库中保存信用卡号的责任。
4.2 数据完整性（Data Integrity）
通过SET协议发送的所有报文加密后，将为之产生一个唯一的报文摘要值（message digest），一旦有人企图篡改报文中包含的数据，该数值就会改变，从而被检测到，这就保证了信息的完整性。
4.3 身份验证（Verification of Identity）
SET协议可使用数字证书来确认交易涉及的各方（包括商家、持卡客户、受卡行和支付网关）的身份，为在线交易提供一个完整的可信赖的环境。
4.4 抗否认性（Non-repudiation of Disputed Charges）
SET交易中数字证书的过程也包含了商家和客户在交易中存在的信息。因此，如果客户用SET发出一个商品的订单，在收到货物后他（她）不能否认发出过这个订单；同样，商家以后也不能否认收到过这个订单。
4.5 SET的局限性
SET是专门为电子商务而设计的协议，虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。而且，SET遭到有些银行的抵制，其前途如何，尚未得知。
五 与电子商务安全有关的其他一些技术
5.1 密码技术
密码技术基本思想是在加密密钥Ke的控制下按照加密算法E对要保护的数据（即明文M）加密成密文C，记为C＝E（M，Ke）。而解密是在解密钥Kd的控制下按照解密算法D对密文C进行反变换后还原为明文M，记为M＝D（C，Kd）。根据密钥性质的不同，可分为传统密码体制和公开钥密码体制两大类型。
传统密码体制加密解密用同一个密钥，即Ke=Kd；而公开钥密码体制使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。
密码技术是上面所提到的几种技术的基础，所以可以说整个电子商务的安全就是建立在密码技术基础上的。
5.2 访问控制
除了计算机网络硬设备之外，网络操作系统是确保计算机网络安全的最基本部件。它是计算机网络资源的管理者，必须具备安全的控制策略和保护机制，防止非法入侵者攻破设防而非法获取资源。网络操作系统安全保密的核心是访问控制，即确保主体对客体的访问只能是授权的，未经授权的访问是不允许的，其操作是无效的。因此，授权策略和机制的安全性显得特别重要。保护可以从以下几个方面加以考虑：物理隔离、时间隔离、密码隔离。
5.3 防火墙技术
设立防火墙的目的是保护内部网络不受外部网络的攻击，以及防止内部网络的用户向外泄密。目前，防火墙技术主要是分组过滤和服务两种类型。下面简要介绍这两种技术：
分组过滤：这是一种基于路由器的防火墙。它是在网间的路由器中按网络安全策略设置一张访问表或黑名单，即借助数据分组中的IP地址确定什么类型的信息允许通过防火墙，什么类型的信息不允许通过。防火墙的职责就是根据访问表（或黑名单）对进出路由器的分组进行检查和过滤，凡符合要求的放行，不符合的拒之门外。这种防火墙简单易行，但不能完全有效地防范非法攻击。目前，80％的防火墙都是采用这种技术。
服务：是一种基于服务的防火墙，它的安全性高，增加了身份认证与审计跟踪功能，但速度较慢。所谓审计跟踪是对网络系统资源的使用情况提供－个完备的记录，以便对网络进行完全监督和控制。通过不断收集与积累有关出入网络的完全事件记录，并有选择地对其中的某些进行审计跟踪，发现可能的非法行为并提供有力的证据，然后以秘密的方式向网上的防火墙发出有关信息如黑名单等。
5.4 数字时间戳
交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS：digital time-stamp service)就能提供电子文件发表时间的安全保护。
数字时间戳服务（DTS）是网上安全服务项目，由专门的机构提供。时间戳（time-stamp）是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest)，2)DTS收到文件的日期和时间，3)DTS的数字签名。
时间戳产生的过程为：用户首先将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。由Bell core创造的DTS采用如下的过程：加密时将摘要信息归并到二叉树的数据结构；再将二叉树的根值发表在报纸上，这样更有效地为文件发表时间提供了佐证。注意，书面签署文件的时间是由签署人自己写上的，而数字时间戳则不然，它是由认证单位DTS来加的，以DTS收到文件的时间为依据。因此，时间戳也可作为科学家的科学发明文献的时间认证。
六 结束语
随着上网人数的不断增加以及金融认证系统的不断完善，各种安全协议的不断出台，电子商务在中国将会有一个长足的发展；随着时间的推移，电子商务将从根本上改变几千年来形成的传统商业模式，充分体现现代科学技术给人们生活所带来的便利。
参考文献
[1] netscape.com
[2] setco.org/set—specifications.html
[3] 杨千里，王育民等著 电子商务技术与应用 北京：电子工业出版社，1999
数据加密技术是信息安全的核心和关键技术，加密层对原始数据进行处理保证数据的安全性，电子交易能否顺利完成数据的完整传输便是关键所在，利用数据加密技术对原始数据加密，使得数据即使丢失，获得数据的第三方仍旧无法识别。数据加密技术采用一定的加密算法，加密系统将明文转换为密文，使非法用户不能理解明文，使得数据得到保障的一种技术。不妨设X为加密算法，Y为解密算法，那么数据加解密的数学表达式为：P=X(KX，Y(KY，P))[7]数据加密技术主要分为数据传输加密和数据存储加密。数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。数据加密算法有很多种，随着信息化的发展目前国内外比较常用的加密算法是：对称加密和非对称加密算法。1）对称加密算法对称加密，信息的接收方发送方要使用相同的密钥，交易双方在传送数据之前，就要约定一个密钥，对称加密算法的安全依靠密钥，那么密钥的机密性对交易来讲尤为关键。对称加密算法特点：算法是公开的并且计算量小相对加密速度快、加密效率高。如图2所示。目前被广泛认可的对称加密技术有：DES、RC2、RC4、RC5和Blowfish等。着重看一下DES加密算法，DES是对二元数据进行加密的算法分组长度64位，原始数据分组也是64位，解密密钥同加密密钥顺序相反。DES基本上有着对称加密算法的特点，只是DES生存周期较短，运算速度相对不是很快。DES工作原理：key、data、mode，是DES的三个入口参数。加解密使用密钥key，加解密数据data，工作模式mode。当处于加密模式时，原始数据按照64位进行分组，形成原始数据组，key对数据加密；当处于解密模式时，key对数据解密。由于现实的局限性密钥只用到了56位，同时也由于密钥的容量只有56位不能提供足够的安全空间。针对DES算法的破解手段主要是暴力破解。DES加密体制流程。如图3所示。2）非对加密算法非对称加密，是一种公私钥加密系统，密钥分为公开密钥和私有密钥，加密和解密时使用不同密钥的加密算法，当公开密钥和私有密钥配对，产生密钥对，此时公开密钥对外公开，发送发则要将私有密钥保留在自己手中。目前被广泛认可的非对称加密技术有：RSA、Elgamal、背包算法、Rabin、HD,ECC。其中RSA算法使用比较广泛。重点介绍比较常用的RSA算法。RSA公开密钥加密，一种非对称加密算法，RSA算法中包含两个密钥加密密钥和解密密钥，即使用不同的加密密钥和解密密钥。在算法中使用的加密密钥是公开的，那么可以到到这样的加密解密方程式：n=p×q，P∈[0，n-1]，p和q均为大于10100的素数，其中p、q是两个保密的素数。RSA的密钥空间比较充足，但是RSA加密速度慢并且安全性依赖于大数分解，因此目前对RSA最流行的攻击一般是采取基于大数因数的分解。想要获得原始数据的攻击者，将自己的数据伪装后给拥有私钥的人发送数据，根据加密解密原理来推导出密钥，获得想要的原始数据。
综上所述。无论是对称加密还是非对称加密。在他们的安全管理范围内都存在一定的弊端，因此我们要确保网络通信的安全，不能单一的采用某一种加密手段，一般是多种方法嵌套使用。安全认证技术一般就是我们所常用的有：身份认证、电子签名、数字摘要、数字证书、数字信封、数字时间戳等技术。电子签名：只能有信息发送方产生，附加在数据单元上的一些数据,电子签名保证传送的数据不被人改写或假冒。身份认证：数字证书使用电子手段来标识用户的身份。数字信封又称为数字封套，使用某种加密算法让只有知道密钥的人才能看到数据，其目的是确保数据的机密性。数字时间戳：就像在实体见面的交易中，交易双发要签订有效时间，那么采用同样的模式利用网络平台交易双方也要签订日期。数字证书：用来衡量用户是否有权利访问网络资源。就目前的发展形势来看，SSL和SET是电子商务常用的两种安全协议，都采用RSA算法加密，都可通过认证来进行身份的识别，SSL被广泛用于网上交易。SSL安全套接层协议，只要是安装了该协议的用户和服务器之间进行数据交换，该协议都为之提供可靠保障。而SET是基于应用层的协议，使用较复杂，要在银行建立支付网关，在商家的Web服务器上安装商家软件，在用户的个人计算机上安装电子钱包软件等，推广应用较困难。SSL协议可以对数据进行加密，维护数据的完整性，然而目前许多运营商可以利用自身的权利，使用一定的数据抓捕工具，很快的分析出客户的需求，并马上提供个客户想要商品的其他的同类商品，或者是分析其他运营商的数据，产生一种恶性竞争。对于客户来讲，提供相关的其他同类商品的信息，看似是一种好的服务，但是同时也是在侵犯用户的隐私，为此在应用层也就客户在浏览网页时，如果客户需要商家提供相关的同类商品的信息时，商家才能对客户的数据进行分析，否则不应任意分析用户的数据。
信息化时代，加剧了计算资源互联和共享，各行各业的信息化程度也不断加深，人们对计算机和互联网越来越依赖，但随之而来的信息安全问题也日益突出。例如个人信息未经允许外泄是最大的隐患，黑客利用安全技术存在的漏洞破解网页源代码，同时在网上种植病毒程序，用户一旦登入进行浏览，黑客便马上通过病毒程序分析出用户浏览的信息。所以如何保护用户的信息已成为电子商务的首要问题。对此作出以下几点要求[2]：1）加强教育和宣传，提高电子商务安全意识。电子商务的发展是近几年才开始流行的，因此对于电子商务的了解并不是所有的人都清楚的，我们不仅要培养电子商务的专业人才，而且要要每个使用者了解电子商务的特性，懂得安全的使用电子平台，保护自己的合法利益。2）数据加密加强信息安全。对相关的加密技术进行不断的研究，虽然目前已存在多种加密算法但是仍就不能满足当前的一些需求。鼓励和扶植企业加快数字安全技术的研究，提高我国信息和管理水平，促进电子商务安全建设。3）健全的法制体系。电子商务不同于实实在在的交易，很多协议都是交易双方通过网络来完成，那么必定会有一些人利用这一点进行诈骗，那么这就要求对这些进行网络犯罪的人进行法律的制裁，维护消费者和合法商家的利益。
电子商务给人们的生产生活带来了便利，但作为新兴事物仍旧存在许多不足，无论是哪种经营模式，保证用户的安全和利益都是刻不容缓的，因此需要在技术上不断的创新与发展，使得电子商务能够更好的为人类造福。
本文作者：工作单位：
电子商务在功能上要求实现实时帐户信息查询。这就使电子商务系统必须在物理上与生产系统要有连接，这对于电子商务系统的安全性提出了更高的要求，必须保证外部网络（INTERNET）用户不能对生产系统构成威胁。为此，需要全方位地制定系统的安全策略。 就整个系统而言，安全性可以分为四个层次，如图1所示
1．网络节点的安全
2．通讯的安全性
3．应用程序的安全性
4．用户的认证管理
图1：安全性四个层次结构
其中2、3、4层是通过操作系统和Web服务器软件实现，网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。
一、网络节点的安全
1．防火墙
防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。
2．防火墙安全策略
应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。
3．安全操作系统
防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。
二、通讯的安全
1．数据通讯
通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于：
（1）客户浏览器端与电子商务WEB服务器端的通讯；
（2）电子商务WEB服务器与电子商务数据库服务器的通讯；
（3）银行内部网与业务网之间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。
转贴于
2．安全链路
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。
三、应用程序的安全性
即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。 这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。
四、用户的认证管理
1．身份认证
电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。
2．CA证书
要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。
五、安全管理
为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。
对于所有接触系统的人员，按其职责设定其访问系统的最小权限。
按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。
建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。
关键词：实训设置；实训探讨；商务安全
中图分类号：G424文献标识码：A 文章编号：1009-3044(2008)32-1260-02
1引言
随着电子商务应用的推广，近年来，各院校都开设了电子商务专业。电子商务专业作为一门交叉学科，目前专业体系建设很不完善。《电子商务安全》作为电子商务主干课程，在实训中同样存在很多问题，如何借助网络资源、实训平台，如何整合电子商务知识，如何做到实训内容的开放式教学，就成为课程改革的重点。
2 《电子商务安全》课程的必要性、重要性
电子商务使得人们可以在网上通过建立网站树立企业的形象，自己的产品信息，宣传产品广告，提供售后服务，甚至可以进行网上谈判、电子合同签定、电子交易和资金结算等。但是，一方面电子商务给我们带来了便利，同时在进行电子商务活动时，需要在internet上传输消费者和商家的一些机密信息，如用户信用卡号、商家用户信息和订购信息等，而这些信息一直是网络非法入侵者或黑客攻击目标。如何保证电子商务安全，如何对敏感信息和个人信息提供机密性保障、认证交易双方的合法身份以及保证数据的完整性和交易的不可否认性等，已经成为电子商务发展的瓶颈，这些问题的担心也是导致很多人不愿意进行网上购物和支付的主要原因。所以掌握电子商务安全是必要的。
3 《电子商务安全》课程内容介绍
《电子商务安全》课程内容主要包括：电子商务安全概述、信息安全技术、网络与应用系统安全技术、电子商务的认证与安全电子邮件技术、电子支付、安全电子交易协议SET、安全套接层协议SSL和安全电子商务应用等内容。高职计算机专业学生在学习《网络安全》时更注重理论学习，而电子商务专业的高职高专，技校学生，在学习《电子商务安全》理论以够用为度，要求突出实用性，突出对基本理论、基本技能和技术应用能力的培养。所以在设置实训时要把握这个度。
4 《电子商务安全》课程实训特色、存在的问题
《电子商务安全》课程实训显著特色商务性，可操作性，实用性。上机时还涉及银行卡网上支付，所以对安全要求更高。实训课时一般20学时左右，按2个学时完成一个实验，就要有10个实验。目前许多《电子商务安全》教材在实训设置方面做得不好，配套的实训手册很少，主要存在以下问题：一是偏重网络安全技术方面；二是内容少，重复性较多，体现不了电子商务安全应用与网络安全应用结合；三是实训目的不够明确，实训操作过程不够清楚，没有很好结合理论知识。
5 《电子商务安全》课程实训改革的思路与对策
《电子商务安全》实训设置应强调理论与实际的结合，强调商务应用。每个实训的实现都能让学生学到实操技能，体验到商务安全的重要性，树立商务保密意识，掌握从事电子商务行业应具备的安全操作技能。根据电子商务安全课程要求，对实训内容分析如下：
在教学过程中，每个模块可以分配2-4个学时。考虑实验所使用的软件更新速度较快，任课老师可以根据当时情况调整所使用的软件和相关内容。
下面以模块3为例，谈实训设计思路。
实训课题：安全电子邮件。
安全电子邮件是指收发邮件双方都拥有电子邮件数字证书的前提下，发件人通过收件人的数字证书对邮件加密, 如此一来，只有收件人才能阅读加密的邮件，在Internet上传递的电子邮件信息不会被人窃取，即使邮件被截留或发错邮件，别人也无法看到邮件内容，保证了用户之间通信的安全性。
实训任务：老师的数字证书已经发给学生，学生用outlook Express（OE）发三封邮件到老师邮箱,分别是签名邮件，加密邮件，签名和加密邮件。
实训环境：能够上网的电脑机房。
实训目标：掌握认证中心的功能、OE的配置、证书的申请/备份、试用型个人数字证书应用、用OE发加密签名的邮件。
相关理论：熟悉数字签名技术和邮件加密技术，密码、公钥、私钥、CA、数字证书定义及作用。
教学方式：机房现场演示实操，将屏幕录制专家录好的操作过程发给学生看。
检查方式：每次对完作业的学生进行登记作为平时成绩。
安全电子邮件操作步骤：
操作细则及要点：
1) 如何配置OE？
启动OE--点击菜单栏工具--账户--邮件--添加--邮件--输入姓名，电子邮件地址--设置好接收邮件，发送邮件服务器--输入密码--下一步确认。常规设置中选中“接收邮件或同步时包含此账户”，服务器设置中选取中“我的服务器要求身份验证”。
收邮件，发送邮件服务器的设置可以以web方式登陆邮箱查看。
由于有些邮箱不支持OE客户端登陆，建议大家注册21CN的邮箱。
2) 如何申请证书？
以在广东电子商务认证中心为例。登陆/submenu1.asp，点击试用型个人数字证书申请---安装证书链，再点继续--输入基本信息，选择CPS，补充信息--点继续--安装证书--输入申请得到的业务受理号和密码--确认--安装证书。
证书申请成功后，打开IE--工具--internet选项--内容--证书，就可看到申请的证书详细信息。
3) 如何发签名邮件？
要发签名邮件，先加载证书到OE。打开OE账户属性--安全--选择对应证书。
创建新邮件，输入收件人电子邮件、主题、内容，点击工具栏上的加密图标，点击发送即可。收到签名的邮件后会有一个“金牌” 的标识。
4) 如何发加密的邮件？
发加密的邮件自己不用申请数字证书。操作方法一：对签名邮件直接进行加密回复；方法二：得到收件人的数字证书（公钥），编辑收件人通讯簿时，在“数字标识”选项卡中，导入收件人的数字证书。收到加密的邮件有“锁” 标识。
5) 如何发签名/加密的邮件？
发签名/加密邮件自己要申请数字证书，同时也要获得对方的数字证书，两人必须在同一个认证中心申请的证书。如果一位学生是在CA365申请证书，另一位学生是在广东电子商务认证中心申请证书，则会出现证书不兼容性，发送时会提示出错。
6) 如何对数字证书进行备份？
打开IE--工具--internet选项--内容--证书--选中证书--导出--下一步--“是，导出私钥”--下一步--输入密码--选择保存位置--确认。如果选择“不，不要导出私钥”则不要输入密码。当在另一台电脑接收加密的邮件时，就必须导入证书，否则提示加密出错。
7) 完成实训报告
实训中遇到问题及解决程度。
6 实训准备
要求机房能上网，考虑到机房安装了还原，所以要事先安装好以下软件：PGP，Esign，瑞星，360防火墙，超级兔子或优化大师，U盾或K宝证书客户端软件，能够添加windows组件。
要求每位学生办理一张银行卡并开通网上银行，有工商银行的U盾或者农业银行K宝证书或者是相应的口令卡。
