㈠ 电子商务安全问题及技术防范措施
一、电子商务存在的安全性问题
(一)电子商务安全的主要问题
1.网络协议安全性问题:由于TCP/IP本身的开放性, 企业 和用户在电子交易过程中的数据是以数据包的形式来传送的,恶意攻击者很容易对某个电子商务网站展开数据包拦截,甚至对数据包进行和假冒。
2.用户信息安全性问题:目前最主要的电子商务形式是/S(Browser/Server)结构的电子商务网站,用户使用浏览器登录网络进行交易,由于用户在登录时使用的可能是公共 计算 机,那么如果这些计算机中有恶意木马程序或病毒,这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题:有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患,服务器操作系统本身也会有漏洞,不法攻击者如果进入电子商务网站,大量用户信息及交易信息将被窃取。
(二)电子商务安全问题的具体表现
1.信息窃取、篡改与破坏。电子的交易信息在网络上传输的过程中,可能会被他人非法、删除或重放,从而使信息失去了真实性和完整性。包括网络硬件和软件的问题而导致信息传递的丢失与谬误;以及一些恶意程序的破坏而导致电子商务信息遭到破坏。
2.身份假冒。如果不进行身份识别,第三方就有可能假冒交易一方的身份,以破坏交易,败坏被假冒一方的声誉或盗窃被假冒一方的交易成果等。
3.诚信安全问题。电子商务的在线支付形式有电子支票、电子钱包、电子现金、信用卡支付等。但是采用这几种支付方式,都要求消费者先付款,然后商家再发货。因此,诚信安全也是影响电子商务快速 发展 的一个重要问题。
4.交易抵赖。电子商务的交易应该同传统的交易一样具有不可抵赖性。有些用户可能对自己发出的信息进行恶意的否认,以推卸自己应承担的责任。交易抵赖包括多个方面,如发信者事后否认曾经发送过某条信息或内容,收信者事后否认曾经收到过某条消息或内容,购买者做了定货单不承认,商家卖出的商品因价格差而不承认原有的交易等。
5.病毒感染。各种新型病毒及其变种迅速增加,不少新病毒直接利用网络作为自己的传播途径。我国计算机病毒主要就是蠕虫等病毒在网上的猖獗传播。蠕虫主要是利用系统的漏洞进行自动传播复制,由于传播过程中产生巨大的扫描或其他攻击流量,从而使网络流量急剧上升,造成网络访问速度变慢甚至瘫痪。
6.黑客。黑客指的是一些以获得对其他人的计算机或者网络的访问权为乐的计算机爱好者。而其他一些被称为“破坏者(cracker)”的黑客则怀有恶意,他们会摧毁整个计算机系统,窃取或者损害保密数据,网页,甚至最终导致业务的中断。一些业余水平的黑客只会在网上寻找黑客工具,在不了解这些工具的工作方式和它们的后果的情况下使用这些工具。
7.特洛伊木马程序。特洛伊木马程序简称特洛伊,是破坏性码的传输工具。特洛伊表面上看起来是无害的或者有用的软件程序,例如计算机游戏,但是它们实际上是“伪装的敌人”。特洛伊可以删除数据,将自身的复本发送给电子邮件地址簿中的收件人,以及开启计算机进行其他攻击。只有通过磁盘,从互联网上下载文件,或者打开某个电子邮件附件,将特洛伊木马程序复制到一个系统,才可能感染特洛伊。无论是特洛伊还是病毒并不能通过电子邮件本身传播——它们只可能通过电子邮件附件传播。
8.恶意破坏程序。网站提供一些软件应用(例如ActiveX和JavaApplet),由于这些应用非常便于下载和运行,从而提供了一种造成损害的新工具。恶意破坏程序是指会导致不同程度的破坏的软件应用或者Java小程序。一个恶意破坏程序可能只会损坏一个文件,也可能损坏大部分计算机系统。
9.网络攻击。目前已经出现的各种类型的网络攻击通常被分为三类:探测式攻击,访问攻击和拒绝服务(DoS)攻击。探测式攻击实际上是信息采集活动,黑客们通过这种攻击搜集网络数据,用于以后进一步攻击网络。通常,软件工具(例如探测器和扫描器)被用于了解网络资源情况,寻找目标网络、主机和应用中的潜在漏洞。例如一种专门用于破解的软件,这种软件是为网络管理员而设计的,管理员可以利用它们来帮助那些忘记密码的员工,或者发现那些没有告诉任何人自己的密码就离开了公司的员工的密码。但这种软件如果被错误的人使用,就将成为一种非常危险的武器。访问攻击用于发现身份认证服务、文件传输协议(FTP)功能等网络领域的漏洞,以访问电子邮件帐号、数据库和其他保密信息。DoS攻击可以防止用户对于部分或者全部计算机系统的访问。它们的实现方法通常是:向某个连接到企业网络或者互联网的设备发送大量的杂乱的或者无法控制的数据,从而让正常的访问无法到达该主机。更恶毒的是分布式拒绝服务攻击(DDoS),在这种攻击中攻击者将会危及多个设备或者主机的安全。
二、电子商务安全技术措施
电子商务的安全性策略可分为两大部分:一部分是计算机网络安全,第二部分是商务交易安全。电子商务中的安全性技术主要有以下几种:
1.数据加密技术。对数据进行加密是电子商务系统最基本的信息安全防范措施。其原理是利用加密算法将信息明文转换成按一定加密规则生成的密文后进行传输,从而保证数据的保密性。使用数据加密技术可以解决信息本身的保密性要求。数据加密技术可分为对称密钥加密和非对称密钥加密。
对称密钥加密(SecretKeyEncryption)。对称密钥加密也叫秘密/专用密钥加密,即发送和接收数据的双方必须使用相同的密钥对明文进行加密和解密运算。它的优点是加密、解密速度快,适合于对大量数据进行加密,能够保证数据的机密性和完整性;缺点是当用户数量大时,分配和管理密钥就相当困难。目前常用的对称加密算法有:美国国家标准局提出DES算法、由瑞士联邦理工学院的IDEA算法等。
非对称密钥加密(PublicKeyEncryption)。非对称密钥加密也叫公开密钥加密,它主要指每个人都有一对唯一对应的密钥:公开密钥(简称公钥)和私人密钥(简称私钥)公钥对外公开,私钥由个人秘密保存,用其中一把密钥来加密,就只能用另一把密钥来解密。非对称密钥加密算法的优点是易于分配和管理,缺点是算法复杂,加密速度慢。一般用公钥来进行加密,用私钥来进行签名;同时私钥用来解密,公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。目前常用的非对称加密算法有:麻省理工学院的RSA算法、美国国家标准和技术协会的SHA算法等。
复杂加密技术。由于上述两种加密技术各有长短,目前比较普遍的做法是将两种技术进行集成。 lwlmpageLWLM编辑。 向解密后得到明文。
2.数字签名技术。数字签名是通过特定密码运算生成一系列符号及码组成 电子 密码进行签名,来替书签名或印章,对于这种电子式的签名还可进行技术验证,其验证的准确度是一般手工签名和图章的验证所无法比拟的。数字签名技术可以保证信息传送的完整性和不可抵赖性。
3.认证机构和数字证书。所谓CA认证机构,它是采用PKI(Public Key Infrastructure)公开密钥基础架构技术,利用数字证书、非对称和对称加密算法、数字签名、数字信封等加密技术,建立起安全程度极高的加解密和身份认证系统,确保电子交易有效、安全地进行,从而使信息除发送方和接收方外,不被其他方知悉(保密性);保证传输过程中不被篡改(完整性和一致性);发送方确信接收方不是假冒的;发送方不能否认自己的发送行为(不可抵赖性)。电子商务安全性的解决,大大地推动了电子商务的 发展 。在电子交易中,无论是数字时间戳服务还是数字证书的发放,都不是靠交易双方自己能完成的,而需要有一个具有权威性和公正性的第三方来完成。CA认证机构作为权威的、可信赖的、公正的第三方机构,提供 网络 身份认证服务,专门负责发放并管理所有参与网上交易的实体所需的数字证书。
4.安全认证协议。目前电子商务中经常使用的有安全套接层SSL(Secure Sockets Layer)协议和安全电子交易SET(Secure Electronic Transaction)协议两种安全认证协议。
安全套接层(SSL)协议。SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。SSL协议是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议,该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和 企业 内联网的安全通信服务。SSL协议在应用层收发数据前,协商加密算法,连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议(如HTTP、FTP、TELNET等)以保证应用层数据传输的安全性。SSL协议握手流程由两个阶段组成:服务器认证和用户认证。SSL采用了公开密钥和专有密钥两种加密:在建立连接过程中采用公开密钥;在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。
安全电子交易(SET)协议。SET协议是针对开放网络上安全、有效的银行卡交易,由维萨(Visa)公司和万事达(Mastercard)公司联合研制的,为Internet上卡支付交易提供高层的安全和反欺诈保证。由于它得到了IBM、HP、Microsoft等很多大公司的支持,已成为事实上的 工业 标准,目前已获得IETF标准的认可。这是一个为Internet上进行在线交易而设立的一个开放的、以电子货币为基础的电子付款规范。SET在保留对客户信用卡认证的前提下,又增加了对商家身份的认证,这对于需要支付货币的交易来讲是至关重要的。SET将建立一种能在Internet上安全使用银行卡购物的标准。安全电子交易规范是一种为基于信用卡而进行的电子交易提供安全措施的规则,SET协议保证了电子交易的机密性、数据完整性、身份的合法性和防抵赖性,且SET协议采用了双重签名来保证各参与方信息的相互隔离,使商家只能看到持卡人的订购数据,而银行只能取得持卡人的信用卡信息。所以它是一种能广泛应用于Internet上的安全电子付款协议,它能够将普遍应用的信用卡的使用场所从目前的商店扩展到消费者家里,扩展到消费者个人 计算 机中。
5.其他安全技术。电子商务安全中,常用的方法还有网络中采用防火墙技术、虚拟专用网技术、防病毒保护等。如果单纯依靠某个单项电子商务安全技术是不够的,还必须与其他安全措施综合使用才能为用户提供更为可靠的电子商务安全基石。
电子商务的迅速发展,为用户提供了快速、高效、便捷的营销环境,降低了企业管理运营的成本,使企业处于激烈的市场竞争中的优势云计算是很好的环境基础,极大地促进了大数据环境下的网络电子商务营销的发展,而互联网的广泛应用为电子商务市场的开拓提供了发展方向,但是这其中也会出现安全问题
1 关于云计算的相关内容
云计算的一种继分布式计算、网格计算、对等计算之后的一种基于互联网的新型计算模式云计算对于计算机发展的影响是巨大的,这种新型的技术,涉及到了服务器、网络、存储、安全等从底层基础架构到上层应用的各个层面,是企业或个人用户通过与云计算的服务进行合同的签订,使用云服务的供应商提供的硬件或者软件的资源按照合同的内容以最小的投资最终来完成计算任务的过程按照服务的类型,云计算大体上可以分为基础设施即服务、平台及服务以及软件即服务这三大类
针对从事电子商务的企业而言,可将电子商务系统划分为五个主要部分,即企业所面对的客户、电子商务的应用平台、电子商务的平台、基础资源管理平台、云计算的数据管理者在基于云计算环境下的电子商务活动中,云计算的数据管理者便可以根据企业对电子商务的不同需求,在不同的平台上来配置资源,以此满足不同客户的个性化应用需求,最终,通过云计算为电子商务的用户提供所需的服务
2 基于云计算的电子商务安全的问题表现
尽管云计算的环境下极大的促进了电子商务的发展,但是在具体的应用和实施过程中,会出现诸如计算机本身的软硬件问题、数据相关的数据存储、数据传输、交易过程中的安全等问题2.1法律法规尚不完善在云计算的大数据环境下,电子商务过程中用户的安全、隐私、账户等问题也随之产生由于我国现在的法律法规尚未完善,加之监管部门的监管制度尚未健全,因此,在我国的电子商务过程当中,仍然会有许多不法分子钻法律的空子,做违背法律条款的事情,极大地损害了网络营销过程中用户的'安全2.2云计算存储的安全问题云计算环境下的电子商务代替了传统的电子商务模式,按照传统的模式来看,企业通常是自己来建立本企业的数据库,并且将此数据库保存在本企业的也就是本地的服务器当中但在云计算的环境下,数据则保存在云中,企业对于数据保存的位置不清晰,不确定被保存在何地的服务器,认为数据的安全性是不受保障的另外,当企业获得了云软件的服务权限后,企业的信息都保存在了云平台当中,因此,企业十分担心云计算的风险性3.3云数据传输的安全问题 云计算环境下的电子商务的企业数据都是保存在云中,这样方便于数据的共享,如果在云的数据传输过程中,出现了非法的窃取信息资料,就会为企业带来了极大的安全隐患和高风险因此,这种云计算环境下的数据传输的安全风险性在某些程度是大于传统的电子商务模式的所以要加大对云计算的数据传输的安全性的把关?.-4云计算数据审计的安全问题 在云计算的大数据环境下,既要保证云计算的服务商既要能提供相关的信息支持;又能不为其他企业的数据信息带来风险企业通常采用第三方的认证机构来对云计算的服务商进行数据审计,目的是为了确保数据的安全性和准确性因为所有的企业数据都被存储在云中,这些数据会存在不同的地区,而各地的政府在信息安全监管等方面又存在着许多的差异,因此,会引起法律的纠纷,所以,为云中的数据信息的审计确保安全和准确变显得尤为重要
3 基于云计算的电子商务安全的对策
3.1加强云管理的安全对策 根据上面介绍过的云计算所提供的服务平台的特点来看,在进行云计算环境下的电子商务过程中,必须要考虑到管理的安全问题可以对企业的用户加强管理,对云计算所涉及的如访问认证、安全审计等方面同样要力口强管理,并且要制定统一的、完整的安全审计的策略,并对策略加以分析,对各类日志的安全进行审计、维护和操作
3.2重视云服务的管理安全对策 对从事电子商务的网络营销企业而言,在云计算服务平台上进行云服务选择时,要重视安全的问题,避免出现数据进行存储、传输和审计过程中出现安全隐患对这样的问题,企业应当在将数据通过互联网进行上传到云服务的过程中,要确保数据不被拦截、窃取和盗用,确保数据不会给其他的企业不会带来风险在云中的数据和信息是会被全球的用户所访问的,更加要注意病毒攻击
3.3提高对云服务供应商质量的选择 云服务的供应商既要提供安全的物理环境,又要解决基础设施、应用程序以及数据的各种安全问题在百计算环境下的电于商务的安全要加以防护,对云计算的系统安全提供防御机制,有效的控制病毒和木马等,对数据进行加密和访问的控制等一系列的技术措施,来确保电子商务的企业能够有安全的信息和保护隐私的服务,使用户的数据信息存储安全,确保企业用户信息的安全性、完整}h}、真实性以及可用性
4 结语
随着社会的进步和技术的不断发展,云计算与电子商务的完美融合是发展的必然趋势,云计算为电子商务的发展带来了全新的模式,在带来机遇的同时,也带来了安全问题,但不能因为存在安全隐患就阻止云计算环境下电子商务中的应用因此,全力的去分析解决和应对云计算大数据环境下的电子商务所带来的安全问题一定会是一场巨大的革命,也会为电子商务带来新的春天
近年来,随着科技技术的不断进步,智能科技、计算机网络通信技术的发展,其已经广泛运用到各个领域中。电子商务作为基于网络技术发展起来的一种全新交易模式,一经问世就取得了迅猛的发展,并且正以不可阻挡的势头向前迈进。但随之暴露的问题也越来越多,其中网络安全问题最受关注。本文主要介绍了电子商务智能化工作中主要存在的网络安全问题,并针对这些问题提出切实可行的解决措施,供同行参考。
电子商务作为一种新型的贸易运营模式,具有成本低廉、超越距离限制、操作简单方便等优势,很多企业在发展传统的线下运营模式的同时也紧跟时代潮流,大力发展以网络平台为支撑的电子商务平台,并取得了不错的效果,但运营过程中存在很多安全隐患,需要对网络平台做进一步的安全技术完善。
1电子商务安全内容概述
1.1计算机网络安全
随着计算机网络技术的不断发展,电子商务平台在市场贸易中扮演着重要的角色,其简单、快捷、不受时空、地域限制的交易模式深受商家和用户的欢迎。而且,电子商务平台在近几年的发展中日趋完善,无论是交易模式还是商家的服务水平都有了很大的提高。计算机技术更新换代的速度非常快,基于网络技术的电子商务平台也逐渐完善,已经形成了智能化的交易、管理模式,电子商务平台上的成交额也是呈逐年上升的趋势。但大量存储商家、客户信息的网络交易平台存在很大的安全隐患,这些安全隐患很大一部分是计算机网络技术安全漏洞造成的。近年来,网络平台泄露客户信息的事件频发,给客户的生命、财产安全造成了不同程度的威胁,因此,如何保障网络上存储和传输的信息的安全性成为业内关注的焦点,也是业内急需解决的技术问题。
1.2电子商务交易安全
对于电子商务交易来说,其应该具备保密性、完整性、可鉴别性与不可伪造性等特点,其不仅要保证商家与客户之间顺利完成整个交易过程,更要保证在交易中和交易后的安全性。但电子商务是基于计算机网络技术发展起来的交易平台,其本身具备网络资源共享的特点,正是这个特点使得目前的电子商务平台还无法完全实现零风险交易,需要商家做进一步的安全平台完善,保障商家个人与客户的信息安全。
2电子商务的安全问题
2.1木马、病毒种类更新速度快且数量暴涨
就目前调查的情况来看,计算机网络技术还存在着很多安全问题,其中,木马、病毒问题是自计算机问世以来就存在的安全隐患,并且木马、病毒的数量还呈逐年上升的趋势。每年有近十亿的木马、病毒网页数量威胁着用户的安全,且这些木马、病毒都具有数量增加快、种类繁多、变化速度快等特点。虽然用户大多会安装相关的木马查杀软件,但数量巨大的木马病毒还是一直危害着计算机网络的安全。电子商务的交易过程全靠计算机完成,商家与用户需要输入大量信息进入交易系统,而计算机本身具有存储这些信息的功能,一旦系统遭受木马病毒侵入,不仅会导致网络交易平台瘫痪不能使用,同时泄漏商家与用户的个人信息,不法分子利用这些信息进行各种犯罪活动,给商家、客户带来诸多困扰,同时给社会的安定造成一定的影响。
2.2网络病毒的传播方式发生了变化
近年来,计算机网络技术不断发展,随着网络安全问题受到了公众越来越多的关注,商家对于电子商务交易平台的构建也逐渐规范化,防火墙、安全电子交易技术不断发展,在一定程度上保证了电子商务平台交易的安全性。但网络病毒也因其传播方式的变化呈现更加猖獗的趋势,以前的木马病毒大多都是依靠计算机设备进行传播的。而现在,木马病毒已经开始借助移动设备进行传播,主要包含手机、U盘以及移动硬盘等设备,具体传播方式是在移动设备中种下潜伏病毒,通过自动调用功能激活这些病毒,进而侵染计算机设备。木马传播病毒方式的改变给商家和用户的交易安全带来了更大的挑战。
2.3冒充合法用户
一些不法分子自身具备高超的计算机运用技术,其可以通过多种不法手段窃取商家与用户的个人信息,一种是直接侵入用户的个人系统,冒充合法用户登录,篡改或盗用客户的个人信息,从而进行一些犯罪活动。另一种则是通过截取信息的方式,在商家与客户进行交易的过程中,利用不正当手段在网络传输的道路上截取信息,通过对截获的信息进行筛选后进行一系列不正当活动。
3电子商务安全问题的应对策略
3.1安全电子交易技术
就目前来说,电子商务交易平台安全的保障主要依靠防火墙技术和信息加密技术。防火墙是指在内部网与外部网之间实施安全防范的系统。主要是对外界进入的信息进行过滤、筛选,对于审核不符合要求的信息进行拦截,对访问内部系统的外界用户进行限制,从而保障电子商务平台交易的安全。信息加密技术则属于网络安全技术,利用计算机技术手段,对电子商务交易系统内部存储的原始信息进行再组织,需要通过安全密钥才能解锁这些原始信息,实现对存储信息的保护。
3.2加强对相关人员的管理
对于电子商务平台网络安全的实现,不仅需要加快发展防火墙技术与信息加密技术的脚步,更要对内部人员实行严密监管,监管的方式则主要靠商家。商家在选择电子商务平台工作人员时,应该经过严格的筛选,并定期对进入系统工作的员工进行培训,培训包含道德业务水平、安全技术教育等,提高员工的安全意识,避免人为泄漏的事件再次发生,确保商家与用户的信息安全。
3.3出台相关法律规范电子商务管理
当下,对于电子商务平台网络安全管理,国家已经出台了相关的政策,旨在利用法律对电子商务市场进行约束,构建一个和谐、安全的网络电子商务交易平台。但相关的法律法规并不健全,需要结合以后的市场发展需要做进一步的完善,扫除管理盲点,确保电子商务交易平台的安全。
4结语
综上所述,电子商务在我国贸易市场中占有举足轻重的地位,但完全依靠网络存储复杂的商务信息的商务系统存在极大的安全隐患。需要从完善安全技术、出台相应的管理措施等方面出发,构建安全的电子商务平台,避免商务信息泄露,确保电子商务智能化工作的安全。
㈡ 电子商务过程中的常用安全措施和技术有哪些
电子商务的一个重要技术特征是利用IT技术来传输和处理商业信息。因此,电子商务安全从整体上可分为两大部分:计算机网络安全和商务交易安全。
计算机网络安全的内容包括:
计算机网络设备安全、计算机网络系统安全、数据库安全等。其特征是针对计算机网络本身可能存在的安全问题,实施网络安全增强方案,以保证计算机网络自身的安全性为目标。
商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题,在计算机网络安全的基础上,如何保障电子商务过程的顺利进行。即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。
计算机网络安全与商务交易安全实际上是密不可分的,两者相辅相成,缺一不可。没有计算机网络安全作为基础,商务交易安全就犹如空中楼阁,无从谈起。没有商务交易安全保障,即使计算机网络本身再安全,仍然无法达到电子商务所特有的安全要求。
计算机网络安全体系
一个全方位的计算机网络安全体系结构包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术,在攻击者和受保护的资源间建立多道严密的安全防线,极大地增加了恶意攻击的难度,并增加了审核信息的数量,利用这些审核信息可以跟踪入侵者。
在实施网络安全防范措施时:
首先要加强主机本身的安全,做好安全配置,及时安装安全补丁程序,减少漏洞;
其次要用各种系统漏洞检测软件定期对网络系统进行扫描分析,找出可能存在的安全隐患,并及时加以修补;
从路由器到用户各级建立完善的访问控制措施,安装防火墙,加强授权管理和认证;
利用RAID5等数据存储技术加强数据备份和恢复措施;
对敏感的设备和数据要建立必要的物理或逻辑隔离措施;
对在公共网络上传输的敏感信息要进行强度的数据加密;
安装防病毒软件,加强内部网的整体防病毒措施;
建立详细的安全审计日志,以便检测并跟踪入侵攻击等。
电子商务的安全交易主要的协议标准有:
安全超文本传输协议(S-HTTP):依靠密钥对的加密,保障Web站点间的交易信息传输的安全性。
安全套接层协议(SSL):由Netscape公司提出的安全交易协议,提供加密、认证服务和报文的完整性。SSL被用于Netscape Communicator和Microsoft IE浏览器,以完成需要的安全交易操作。
安全交易技术协议(STT,Secure Transaction Technology):由Microsoft公司提出,STT将认证和解密在浏览器中分离开,用以提高安全控制能力。Microsoft在Internet Explorer中采用这一技术。
安全电子交易协议(SET,Secure Electronic Transaction)
1996年6月,由IBM、MasterCard International、Visa International、Microsoft、Netscape、GTE、VeriSign、SAIC、Terisa就共同制定的标准SET发布公告,并于1997年5月底发布了SET Specification Version 1.0,它涵盖了信用卡在电子商务交易中的交易协定、信息保密、资料完整及数据认证、数据签名等。
SET 2.0预计今年发布,它增加了一些附加的交易要求。这个版本是向后兼容的,因此符合SET 1.0的软件并不必要跟着升级,除非它需要新的交易要求。SET规范明确的主要目标是保障付款安全,确定应用之互通性,并使全球市场接受。
所有这些安全交易标准中,SET标准以推广利用信用卡支付网上交易,而广受各界瞩目,它将成为网上交易安全通信协议的工业标准,有望进一步推动Internet电子商务市场。
主要的安全技术有:
虚拟专用网(VPN)
这是用于Internet交易的一种专用网络,它可以在两个系统之间建立安全的信道(或隧道),用于电子数据交换(EDI)。它与信用卡交易和客户发送订单交易不同,因为在VPN中,双方的数据通信量要大得多,而且通信的双方彼此都很熟悉。这意味着可以使用复杂的专用加密和认证技术,只要通信的双方默认即可,没有必要为所有的VPN进行统一的加密和认证。现有的或正在开发的数据隧道系统可以进一步增加VPN的安全性,因而能够保证数据的保密性和可用性。
数字认证
数字认证可用电子方式证明信息发送者和接收者的身份、文件的完整性(如一个发票未被修改过),甚至数据媒体的有效性(如录音、照片等)。随着商家在电子商务中越来越多地使用加密技术,人们都希望有一个可信的第三方,以便对有关数据进行数字认证。
目前,数字认证一般都通过单向Hash函数来实现,它可以验证交易双方数据的完整性,Java JDK1.1也能够支持几种单向Hash算法。另外,S/MIME协议已经有了很大的进展,可以被集成到产品中,以便用户能够对通过E
㈢ 电子商务几种安全技术的实现原理分析:在电子商务的安全技术中,实现对
【摘 要】电子商务指的是利用简单、快捷、低成本的电子通信方式,买卖双方不见面地进行各种商贸活动。目前电子商务正在全国迅速发展,实现电子商务的关键是要保证商务活动过程中系统的安全性。本文介绍电子商务几种常用的安全技术和认证技术的基本的实现原理。
【关键词】电子商务;安全技术;原理
一、防火墙技术
防火墙是一个系统或一衡坦核组系统,它在公司内部网与互联网间执行一定的安全策略。防火墙是设置在被保护网络和外部网络之间的一道关卡,来防止发生不可预见的、潜在的具有破坏威力的侵入。常见的防火墙主要有:包过滤型、代理服务器型。(1)包过滤型防火墙:数据包过滤是基于源地址和目的地址、应用或协议,以及每个IP包的端口信息,由防火墙按照事先设置好的规则对数据包作出通过与否的判断。这类防火墙通常安置在公司内部网络与外部网络相衔接的路由器上。(2)代理服务器型防火墙:代理服务器型防火墙一般是两部分组成,服务器端的程序及客户端的程序。客户端的程序和中间节点相连,然后中间节点和给予服务的服务器进行连接。代理服务器可以控制对应用程序的访问,它能替网络用户完成一定的TCP/IP功能。一个代理服务器实际上是一个应用层的网关,即一个为确定网络应用而进行连通两网络的网关。由于状态监视技术相当于结合了包过滤技术和应用代理技术,因此是最先进的,但是由于实现技术复杂,在一般的计算机硬件系统上很难设计出基于此技术的完善防御措施(市面上大部分软件防火墙使用的其实只是包过滤技术加上一点其他新特性而已)。
二、数据加密技术
1.对称密钥加密技术。对称密钥加密技术就是加密和解密均使用一个同样的密钥,而且通讯双方同时需要得到这把密钥及确保密钥的安全。(1)加密算法。实现对称密钥加密技术的加密算法主要有以下两种:第一,DES算法:DES主要使用移位及替换的方法进行加密。第二,IDEA算法:IDEA是一种国际信息加密算法。它是一个分组大小为64位,密钥为128位,迭代轮数为8轮的迭代型密码体制。这种算法使用长达128位的密钥,能够较好地排除了各种试图全搜索密钥的可能。(2)对称式密钥加密技术的优缺点。对称加密技术拥有加密速度较快、保密性高的优点。它的缺点:一是密钥是保密传输安全的关键,发送者需要把密钥安全、妥善地发送到接收者,不能泄露它的内容。二是多人信息传输时密钥组合的数量会出现膨胀,从而使得密钥分发变得更为复杂。这样极大数量的密钥分发、管理、生成的确是难以解决的问题。三是双方在通讯过程中需要拥有统一的密钥,才能够发送具有保密性的信息。
2.公开密钥加密技术。公开加密技术需要密钥是长双成对地使用,也就是加密过程及解密过程分别使用两个不同的密钥来实现。在给对方发送信息时,要使用对方的公开密钥对信息加密,然后在接收者收到信息后,使用自己保管的秘密密钥对信息解密。所以这种技术也被称为非对称加密技术。(1)加密算法。公开密钥加密算法主要是RSA加密算法。它是一个较为成熟的、至今理论上较为成功的公开密钥密码体制,它的安全是基于数理论中的欧拉定理和计算复杂性理论中的以下结论:求解两个大的素数的积是可能的,但要想分解这两个大素数的积,求积的素因子却是十分艰难的。RSA加密、解密过程由密钥生成、加密过程和解密过程组成。(2)公开密钥加密技术的优缺点。公开密钥加密技术的优点:一是密钥较少方便管理。网络中的任何用户只需要保管自己的秘密密钥,则n个用户仅仅需要产生n对密钥。二是密钥的分配也较为简单。加密密钥分发给用户,解密密钥是由用户自己管理。三是不需机密的通道和复杂协议来传输密钥。四是可实现数字签名和数字加密。公开密钥加信纤密技术的缺点就是加密、解密的速度较慢。
3.加密技术的实际应用。PGP(pretty good privacy)是一个对邮件和传输的文挡进行加密的软件,可以用来对邮件和文挡保密以防止非授权者阅读,让你可以安全地和你从未见过的人们通信。PGP加密采用了RSA以及传统加密算法来实现加密的。加密的关键在于一对密钥,该密钥对包括一个公钥以及一个私钥。公钥和私钥是根据某种数学函数生成的,并且通过一个密钥来推测另外一个密钥几乎是不可能的。其中,明文可以用公钥加密,然后用私钥解密得到原文,明文也可以用私钥加密,然后用公钥解密得到原文。由于私钥为自己保留,不咐掘给别人知道,因此私钥除了加密功能之外,还具有数字签名的作用。其机制在于:私钥只有自己才有,别人没有你的私钥,你用私钥可以对文件进行签名,而别人由于没有你的私钥,无法进行同样的签名,这样就能证明该文件是从你这里发出去的;公钥是提供给要和你进行安全通信的人使用的。
参 考 文 献
[1]兰丽娜,刘辛越.电子商务安全体系研究[J].学术术究.2007(4)
[2]刘冰涛.电子商务存在问题及其对策研究[J].企业导报.2010(6)
[3]谢红燕.电子商务的安全问题及对策研究[J].哈尔滨商业大学学报(自然科学版).2007(6)
㈣ 如何保证电子商务的安全问题的探讨
电子商务安全技术的分析与研究
[摘 要] 本文首先介绍了电子商务安全的现状,分析了存在的主要问题,然后从网络安全技术、数据加密技术、用户认证技术等方面介绍了主要的电子安全技术,并提出了一个合理的电子商务安全体系架构。
[关键词] 电子商务电子支付 安全技术
一、引言
随着网络技术和信息技术的飞速发展,电子商务得到了越来越广泛的应用,越来越多的企业和个人用户依赖于电子商务的快捷、高效。它的出现不仅为Internet的发展壮大提供了一个新的契机,也给商业界注入了巨大的能量。但电子商务是以计算机网络为基础载体的,大量重要的身份信息、会计信息、交易信息都需要在网上进行传递,在这样的情况下,安全性问题成为首要问题。
二、目前电子商务存在的安全性问题
1.网络协议安全性问题:目前,TCP/IP协议是应用最广泛的网络协议,但由于TCP/IP本身的开放性特点,企业和用户在电子交易过程中的数据是以数据包的形式来传送的,恶意攻击者很容易对某个电子商务网站展开数据包拦截,甚至对数据包进行修改和假冒。
2.用户信息安全性问题:目前最主要的电子商务形式是基于B/S(Browser/Server)结构的电子商务网站,用户使用浏览器登录网络进行交易,由于用户在登录时使用的可能是公共计算机,如网吧、办公室的计算机等情况,那么如果这些计算机中有恶意木马程序或病毒,这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题:有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患,服务器操作系统本身也会有漏洞,不法攻击者如果进入电子商务网站,大量用户信息及交易信息将被窃取,给企业和用户造成难以估量的损失。
三、电子商务安全性要求
1.服务的有效性要求:电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。
2.交易信息的保密性要求:电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。
3.数据完整性要求:数字完整性是指在数据处理过程中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。
4.身份认证的要求:电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律依据。
㈤ 电子商务安全问题研究:浅析电子商务安全问题
电子商务安全问题研究
[提要] 本文概述电子商务所面临的安全问题,分析电子商务在安全方面的基本要求,提出解决电子商务安全应采取的措施,以及保证电子商务安全应注意的一些问题。
关键词:电子商务;安全技术;电子支付
电子商务正在成为一个全球性的经济主题,围绕电子商务安全的技术也正在逐步建立起来,所有准备或者已经开展电子商务的工商企业都应当了解其交易的技术手段,采取最先进和严密的技术措施,以便有效地维护自己的财产利益。电子商务的核心问题是安全问题,由于电子商务与生俱来的开放性和全球性的特点,使得电子商务存在着种种安全漏洞。任何个人、企业或商业机构以及银行都不会通过一个不安全的网络进行商务交易,这样会导致商业机密信息或个人隐私的泄漏,从而导致巨大的利益损失。网上交易安全性若不能得到保证,就必将影响我国电子商务的顺利发展。所以,研究网络环境的电子商务安全技术具有重要的现实意义。
一、电子商务面临的安全问题
电子商务的安全性并不是一个孤立的概念,它是由计算机安全性,尤其是计算机网络的安全性发展而来的。因为电子商务就是利用计算机网络的信息交换来实现电子交易,所以凡是涉及计算机网络的安全问题,无疑对于电子商务都有着重要意义。当然,电子商务的安全也存在着自身的特点。计算机网络所面临的安全性威胁主要给电子商务带来了如下的安全问题:
(一)信息泄漏。在电子商中携务中表现为商业机密的泄漏,主要包括两个方面:
1、交易双方进行交易的内容被第三方窃取;2、交易一方提供给另一方使用的文件被第三方非法使用。
(二)篡改。在电子商务中表现为商业信息的真实性和完整性问题。电子交易信息在网络上传输的过程中,可能被他人非法的修改、删除或重放(指只能使用一次的信息被多次使用),这样就使信息失去了真实性和完整性。
(三)身份识别。1、如果不进行身份识别,第三方就有可能假冒交易一方的身份,以破坏交易、败坏被假冒一方的信誉或盗取被假冒一方的交易成果等。进行身份识别后,交易双方就可防止“相互猜疑”的情况;2、“不可抵赖”性。交易双方对自己的行为应负有一定的责任,信息发送者和接受者都不能对此否认。进行身份识别后,如果出现抵赖的情况,就有了反驳的依据。
(四)信息破坏。1、者粗网络传输的可靠性。网络的硬件或软件可能会出现问题而导致交易信息传递的丢失与谬误;2、恶意破坏。计算机网络本身容易遭到一些恶意程序的破坏,而使电子商务的信息遭到破坏,如计算机病毒等。
二、电子商务对安全的基本要求
由于网上交易的安全存在问题,为了确保交易的顺利进行,必须在互联网络通讯中进行加密,并维持一种令人可信的环境和机制。在设计和实施安全方法时,对用户应该是公开和透明的。为了保障交易各方的合法权益,保证能够在安全的前提下开展电子商务,以下基本要求必须得到满足:
(一)授权合法性。安全管理人员能够控制用户的权限,分配或终止用户的访问、操作、接入等权利,但被授权用户的合法要求不能被拒绝。
(二)不可抵赖性。不可否认性就是建立有效的责任机制,防止实体否认其
行为。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方面的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业和国家提供可靠的标识,这样发送方和接受方在发送和接受数据后就都不能抵赖。
(三)保密性。信息的发送和接收是在安全的通道进行,保证通信双方的信息保密,交易的参与方在信息交换过程中没有被窃听的危险,非参与方不能获取交易的信息。电子商务的信息传输必须保证其不被非授权实体截获及读取。如果可能,应确保交易的匿名性,确保交易者的身份和购买习惯等隐私受到保护。
(四)身份的真实性。参与交易的双方在进行安全通信前,必须通过一定的机制互相确认对方的身份,保证信息是由确定对象发出。交易方的身份不能被假冒或伪造,可以有效鉴别和确定交易方的身份。
(五)信息的完整性。信息的接收方可以验证收到的信息是否是完整一致的,是否被人篡改。由于数据输入时的意外差错或欺诈行为等,可能导致贸易各方信息的差异。所以,网上支付必须保证传输过程中信息不被窜改、假冒、重发和丢失,保证目的信息和源信息的一致性。电子商卖嫌伏务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。
三、电子商务所涉及的安全技术
(一)虚拟专用网。虚拟专用网络(VPN)是利用公用互联网络作为信息传输媒介,通过安全隧道、用户认证和访问控制等技术实现与专用网络相类似的安全性能,从而实现对重要信息的安全传输。虚拟专用网是用于Internet电子交易的一种专用网络,它可以在两个系统之间建立安全的信道,非常适合于电子数据交换(EDI)。在虚拟专用网中交易双方相互比较熟悉,而且彼此之间的数据通信量很大,只要交易双方取得一致,在虚拟专用网中就可以使用比较复杂的专用加密和认证技术,这样就可以大大提高电子商务的安全性。虚拟专用网是进行电子商务比较理想的一种形式。
以一般的生产厂家为例,生产厂家的直接合作伙伴是原料供应商和产品批发商。一方面生产厂家要想生产适销对路的产品,就要利用虚拟专用网从产品批发商那里得到产品信息,以便组织生产;另一方面为了尽量减少库存,生产厂家又要根据需求来组织原料,这一过程是通过虚拟专用网与原料供应商联系,以便原料供应商可以及时地把所需原料送到指定的地点。这样的生产方式降低了成本,提高了效率,同时由于中间都采用了虚拟专用网技术,安全性比较好。
当然,虚拟专用网也存在着一些问题。如果虚拟专用网使用专用线路,则受到攻击的机会比较小,安全强度比较高,但如果使用公共线路,还是很容易受到攻击的。而且正是因为攻击虚拟专用网更具有挑战性,才更容易吸引网络黑客对其进行攻击,也带来了巨大的安全隐患。
(二)加密技术
1、加密技术的基本含义。加密技术是实现信息保密性的一种重要手段,目的是为了防止合法接收者之外的人获取信息系统中的机密信息。所谓信息加密技术,就是采用数学方法对原始信息(通常称为“明文”)进行再组织,使得加密后在网络上公开传输的内容对于非法接收者来说成为无意义的文字(加密后的信息通常称为“密文”),而对于合法的接收者,因为其掌握正确的密钥,可以通过解密过程得到原始数据(即“明文”)。由此可见,在加密和解密的过程中,都要涉及信息(明文/密文)、密钥(加密密钥/解密密钥)和算法(加密算法/解密算法)这三项内容,一条信息的加密传递过程如图1。(图1)
㈥ 如何保证电子商务中的安全问题
1、保护网络安全。
制定网络安全的管理措施,使用防火墙,尽可能记录网络上的一切活动,注意对网络设备的物理保护,检验网络平台系统的脆弱性,建立可靠的识别和鉴别机制。
2、保护应用安全。
应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。
3、保护系统安全。
在安装的软件中,如浏览器软件、电子钱包软件、支付网关软件等,检查和确认未知的安全漏洞。技术与管理相结合,使系统具有最小穿透风险性。
4、加密技术
加密技术为电子商务采取的基本安全措施,交易双方可根据需要在信息交换的阶段使用。(6)电子商务技术与安全探讨扩展阅读
电子商务的所有活动都需要安全体系的有力支持,缺乏严格的制度对硬件、软件、数据库、密码和用户权限进行科学管理,因而发生安全意外或为某些内部人员造成可乘之机。
电子商务网络系统的安全威胁主要为以下几个方面:即软件系统存在潜在安全隐患、安全产品使用不当、缺少严格的网络安全管理制度。
保证交易数据的安全性是电子商务的关键问题。由于网络本身所具有的开放性特点,电子商务面临着各种各样的威胁,这对电子商务的安全性提出了更高的要求。
㈦ 电子商务的安全需求及解决技术是什么
电子商务面临的威胁的出现导致了对电子商务安全的需求,也是真正实现一个安全电子商务系统所要求做到的各个方面,主要包括机密性、完整性、认证性和不可抵赖性。
1.机密性。电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的(尤其Internet是更为开放的网络),维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。机密性一般通过密码技术来对传输的信息进行加密处理来实现。
2.完整性。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是电子商务应用的基础。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。完整性一般可通过提取信息消息摘要的方式来获得。
3.认证性。由于网络电子商务交易系统的特殊性,企业或个人的交易通常都是在虚拟的网络环境中进行,所以对个人或企业实体进行身份性确认成了电子商务中得很重要的一环。对人或实体的身份进行鉴别,为身份的真实性提供保证,即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某人或实体声称具有某个特定的身份时,鉴别服务将提供一种方法来验证其声明的正确性,一般都通过证书机构CA和证书来实现。
4.不可抵赖性。电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也就是人们常说的"白纸黑字"。在无纸高纤丛化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。不可抵赖性可通过对发送的消息进行数字签名来获取。
5.有效性。电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则戚樱是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点竖哪是有效的。
电子商务安全中的主要技术
电子商务安全是信息安全的上层应用,它包括的技术范围比较广,主要分为网络安全技术和密码技术两大类,其中密码技术可分为加密、数字签名和认证技术等。
1.网络安全技术
网络安全是电子商务安全的基础,一个完整的电子商务系统应建立在安全的网络基础设施之上。网络安全所涉及到的方面比较,如操作系统安全、防火墙技术、虚拟专用网VPN技术和各种反黑客技术和漏洞检测技术等。其中最重要的就是防火墙技术。
防火墙是建立在通信技术和信息安全技术之上,它用于在网络之间建立一个安全屏障,根据指定的策略对网络数据进行过滤、分析和审计,并对各种攻击提供有效的防范。主要用于Internet接入和专用网与公用网之间的安全连接。
目前国内使用的需到防火墙产品都是国外一些大厂商提供的,国内在防火墙技术方面的研究和产品开发方面相对比较簿弱,起步也晚。由于国外对加密技术的限制和保护,国内无法得到急需的安全而实用的网络安全系统和数据加密软件。因此即使国外优秀的防火墙产品也不能完全在国内市场上使用,同时由于政治、军事、经济上的原因,我国也应研制开发并采用自己的防火墙系统和数据加密软件,以满足用户和市场的巨大需要,也对我国的信息安全基础设施建设有巨大的作用。
VPN也使一项保证网络安全的技术之一,它是指在公共网络中建立一个专用网络,数据通过建立好的虚拟安全通道在公共网络中传播。企业只需要租用本地的数据专线,连接上本地的公众信息网,其各地的分支机构就可以互相之间安全传递信息;同时,企业还可以利用公众信息网的拨号接入设备,让自己的用户拨号到公众信息网上,就可以连接进入企业网中。使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等好处,是目前和今后企业网络发展的趋势。
2.加密技术
加密技术是保证电子商务安全的重要手段,许多密码算法现已成为网络安全和商务信息安全的基础。密码算法利用密秘密钥(secretkeys)来对敏感信息进行加密,然后把加密好的数据和密钥(要通过安全方式)发送给接收者,接收者可利用同样的算法和传递来的密钥对数据进行解密,从而获取敏感信息并保证了网络数据的机密性。利用另外一种称为数字签名(digitalsignature)的密码技术可同时保证网络数据的完整性和真实性。利用密码技术可以达到对电子商务安全的需求,保证商务交易的机密性、完整性、真实性和不可否认性等。
密码技术虽然在第二次世界大战期间才开始流行,在当前才广泛应用于网络安全和电子商务安全之中,但其起源可追溯到几千年前,其思想目前还在使用,只是在处理过程中增加了数学上的复杂性。
加密技术包括私钥加密和公钥加密。私钥加密,又称对称密钥加密,即信息的发送方和接收方用一个密钥去加密和解密数据,目前常用的私钥加密算法包括DES和IDEA等。对称加密技术的最大优势是加/解密速度快,适合于对大数据量进行加密,但密钥管理困难。对称加密技术要求通信双方事先交换密钥,当系统用户多时,例如,在网上购物的环境中,商户需要与成千上万的购物者进行交易,若采用简单的对陈密钥加密技术,商户需要管理成千上万的密钥与不同的对象通信,除了存储开销以外,密钥管理是一个几乎不可能解决的问题;另外,双方如何交换密钥?通过传统手段?通过因特网?无论何者都会遇到密钥传送的安全性问题。另外,环境中,密钥通常会经常更换,更为极端的是,每次传送都使用不同的密钥,对称技术的密钥管理和发布都是远远无法满足使用要求的。
公钥密钥加密,又称不对称密钥加密系统,它需要使用一对密钥来分别完整家密和解密操作,一个公开发布,称为公开密钥(Public-Key);另一个由用户自己秘密保存,称为私有密钥(Private-Key)。信息发送者人用公开密钥去加密,而信息接收者则用私有密钥去解密。通过数学的手段保证加密过程是一个不可逆过程,即用公钥加密的信息只能是用与该公钥配对的私有密钥才能解密。常用的算法是RSA、ElGamal等。公钥机制灵活,但加密和解密速度却比对称密钥加密慢的多
为了充分利用公钥密码和对称密码算法的优点,克服其缺点,解决每次传送更换密钥的问题,提出混合密码系统,即所谓的电子信封(envelope)技术。发送者自动生成对称密钥,用对称密钥加密钥发送的信息,将生成的密文连同用接收方的公钥加密后的对称密钥一起传送出去。收信者用其秘密密钥解密被加密的密钥来得到对称密钥,并用它来解密密文。这样保证每次传送都可由发送方选定不同密钥进行,更好的保证了数据通信的安全性。
使用混合密码系统可同时提供机密性保障和存取控制。利用对称加密算法加密大量输入数据可提供机密性保障,然后利用公钥加密对称密钥。如果想使多个接收者都能使用该信息,可以对每一个接收者利用其公钥加密一份对称密钥即可,从而提供存取控制功能。
3.数字签名
数字签名中很常用的就是散列(HASH)函数,也称消息摘要(MessageDigest)、哈希函数或杂凑函数等,其输入为一可变长输入,返回一固定长度串,该串被称为输入的散列值(消息摘要)
日常生活中,通常通过对某一文档进行签名来保证文档的真实有效性,可以对签字方进行约束,防止其抵赖行为,并把文档与签名同时发送以作为日后查证的依据。在网络环境中,可以用电子数字签名作为模拟,从而为电子商务提供不可否认服务。
把HASH函数和公钥算法结合起来,可以在提供数据完整性的同时,也可以保证数据的真实性。完整性保证传输的数据没有被修改,而真实性则保证是由确定的合法者产生的HASH,而不是由其他人假冒。而把这两种机制结合起来就可以产生所谓的数字签名(DigitalSignature)。
将报文按双方约定的HASH算法计算得到一个固定位数的报文摘要(Mes-sageDigest)值。在数学上保证:只要改动报文的任何一位,重新计算出的报文摘要就会与原先值不符。这样就保证了报文的不可更改。然后把该报文的摘要值用发送者的私人密钥加密,然后将该密文同原报文一起发送给接收者,所产生的报文即称数字签名。
接收方收到数字签名后,用同样的HASH算法对报文计算摘要值,然后与用发送者的公开密钥进行解密解开的报文摘要值相比较。如相等则说明报文确实来自发送者,因为只有用发送者的签名私钥加密的信息才能用发送者的公钥解开,从而保证了数据的真实性。
数字签名相对于手写签名在安全性方面具有如下好处:数字签名不仅与签名者的私有密钥有关,而且与报文的内容有关,因此不能将签名者对一份报文的签名复制到另一份报文上,同时也能防止篡改报文的内容。
4.认证机构和数字证书
对数字签名和公开密钥加密技术来说,都会面临公开密钥的分发问题,即如果把一个用户的公钥以一种安全可靠的方式发送给需要的另一方。这就要求管理这些公钥的系统必须是值得信赖的。在这样的系统中,如果Alice想要给Bob发送一些加密数据,Alice需要知道Bob的公开密钥;如果Bob想要检验Alice发来的文档的数字签名,Bob需要知道Alice的公开密钥。
电子商务中的安全措施包括有下述几类:
(1)保证交易双方身份的真实性:常用的处理技术是身份认证,依赖某个可信赖的机构(CA认证中心)发放证书,并以此识别对方。目的是保证身份的精确性,分辨参与者身份的真伪,防止伪装攻击。
(2)保证信息的保密性:保护信息不被泄露或被披露给未经授权的人或组织,常用的处理技术是数据加密和解密,其安全性依赖于使用的算法和密钥长度。常见的加密方法有对称式密钥加密技术(如DES算法)和公开密钥加密技术(如RSA算法)。
(3)保证信息的完整性:常用数据杂凑等技术来实现。通过散列算法来保护数据不被未授权者(非法用户)建立、嵌入、删除、篡改、重放。典型的散列算法为美国国家安全局开发的单向散列算法之一。
(4)保证信息的真实性:常用的处理手段是数字签名技术。目的是为了解决通信双方相互之间可能的欺诈,如发送用户对他所发送信息的否认、接收用户对他已收到信息的否认等,而不是对付未知的攻击者,其基础是公开密钥加密技术。目前,可用的数字签名算法较多,如RSA数字签名、ELGamal数字签名等。
(5)保证信息的不可否认性:通常要求引入认证中心(CA)进行管理,由CA发放密钥,传输的单证及其签名的备份发至CA保存,作为可能争议的仲裁依据。
(6)保证存储信息的安全性:规范内部管理,使用访问控制权限和日志,以及敏感信息的加密存储等。当使用WWW服务器支持电子商务活动时,应注意数据的备份和恢复,并采用防火墙技术保护内部网络的安全性。