电子商务中的安全技术

电子商务中的安全技术 ----电子商务Electronic Commerce ,EC 就是借助于公共网络，如 Internet 或开放式计算机网络（Open Computer Network）进行网上 交易，快速而又有效地实现各种商务活动过程的电子化、网络化、直 接化。这种商务过程包括商品和服务交易的各个环节，如广告、商品 购买、产品推销、信息咨询、商务洽谈、金融服务、商品的支付等商 业交易活动。电子商务应用范围相当广泛,以消费者对企业方面来讲 包括电子购物电子商场、商品展示、线上订购；网络拍卖；电 子钱包电子现金（Electronic Cash）、电子支票（Electronic Cheque）；网络银行网络转帐、帐单查询、服务申请、开户、金 融产品介绍、网络广告。而企业与企业之间则有商品资料库、电子资 料交换、生产供求、商务洽谈、帐目清算、技术合作、资金拆借等应 用。在企业内部则可利用相关的安全技术建立数字签名、 电子公文传 送等系统，真正达到安全、 迅速的无纸办公以提高管理效率、改善经 营质量。 ----电子商务一般包括四个部分 1 交易的商流 指接受订单、 购买、 开具发票等销售的工作，也包括维修等售后服务之类的工作；2 配送 的物流指商品的配送；3 转帐支付的结算交易双方必然涉及到资 金转移的过程，包括付款、与金融机构交互等（应包括资金转移、与 资金转移之相关信息，例如所有权转移凭证等）；4 信息流包括商 品信息、信息提供、促销、直销等。它和传统的商业系统相比，具有 交易花费成本低、资金更安全、资金结算速度快、节省人力物力、方 便等特点。 ----电子商务的实现，必须解决下面几个关键问题 安全性（Security）和可靠性（Reliability）对于在线交易、资 金转移和电子货币的铸造都需要绝对安全和可靠， 必须保证交易的保 密性、完整性和可用性； 真实性（Reality）买卖双方能够确认他们收到的电子货币是真实 的； 匿名性（Anonymity）确保消费者、商家和他们之间的交易是无记 名的，即不可追踪的； 可分性（Divisibility）在 Internet 上实际运行中，要能够处理 各种不同货币单位和货币种类的交易； 灵活性（Flexibility）支付系统必须能够处理不同的支付方式， 比如信用卡、电子支票和电子现金等； 互操作性（Interoperability）和方便性（Convertibility）由于 目前存在着不同的支付系统，因此应该能够考虑异种支付系统的互 通，保证交易双方操作的透明性； 身份确认（Authenticity）在买卖双方进行交易前，必须相互进行 身份的确认； 防重传（Non－Replay）保证信息被截取后，不能再被重新传输； 不可否认性（Non－Repudiability）包括信息发送方和接收方两个 方面， 保证发送方不可否认他发送的信息， 防止接受方否认收到数据。 可以有效地防止交易上的纠纷； 可接受性（Acceptability）必须有国家的法律支持。 ----目前世界各国都在展开电子商务系统的研究， 通过电子货币完全 取代目前的支票及现金支付模式。 为了保证电子商务安全因素的顺利 实现，在电子商务中使用了各种安全技术，如加密技术、密钥管理技 术、数字签名等。以下就是对这些技术的简单介绍。 ----加密技术加密技术是电子商务中采用的主要安全措施， 交易双 方可根据需要在信息交换阶段使用。 目前加密技术分为两种对称密 钥和非对称密钥。对称加密是指在信息加密过程中， 对信息的加密和 解密都使用相同的密钥。 交易双方的任何信息都通过这把密钥加密后 传给对方。 数据加密技术是由美国国家标准组织提出的目前广泛使用 的对称加密方式之一，共有 56 位。非对称加密（公开密钥加密）是 指在加密过程中，密钥被分为一对。这对密钥中的任何一把密钥都可 以作为公开密钥通过非保密方式向他人公开， 而另一把则作为私有密 钥加以保存。公开密钥用于对信息的加密， 私有密钥则用于对加密信 息的解密。 ----密钥管理技术对称密钥管理是基于共同保守秘密来实现的， 采 用对称加密技术的双方必须保证采用的是相同的密钥， 要保证彼此密 钥的交换是安全可靠的， 同时还要设定防止密钥泄漏和更改密钥的程 序。使用公开密钥的交易双方可以使用证书（公开密钥证书）来交换 公开密钥。国际电联指定的 X.509 对数字证书进行了定义。 数字证书 能够起到标识交易双方的作用，是目前电子商务广泛使用的技术之 一。 ----数字签名数字签名是公开密钥加密技术的另一种应用， 报文的 发送方从报文文本中生成一个 128 位的散列值， 发送方用自己的私有 密钥对这个散列值进行加密来形成发送方的数字签名， 通过数字签名 能够实现对原始报文的鉴别和不可抵赖性。 ----防火墙技术防火墙主要是用来隔离内部网和外部网， 对内部网 的应用系统加以保护。目前的防火墙分为两大类。一类是简单的包过 滤技术，它是在网络层对数据包实施有选择的通过。 依据系统内事先 设定的过滤逻辑， 检查数据流中每个数据包后， 根据数据包的源地址、 目的地址、 所用的 TCP 端口和 TCP 链路状态等因素来确定是否允许数 据包通过。另一类是应用网管和代理服务器， 其显著的优点是较容易 提供细颗粒度的存取控制， 其可针对特别的网络应用服务协议及数据 过滤协议，并且能够对数据包分析并形成相关的报告。 ----CA 技术为了保证电子商务安全因素的顺利实现，在电子商务 中使用了基于公钥体系的安全系统。 基于公钥体系的加密系统是按对 生成的，每对密钥由公钥和私钥组成，实际应用中，公钥是以证书性 质存放的。一个最基本而又是最关键的问题是公钥的分发， 也就是证 书的分发，如果证书不能得到有效安全的分发， 所有的上层应用软件 就不能得到安全的保障，解救问题的方法就是建立认证机构体系CA。 所谓认证机构体系是指一些不直接从电子商务中获利的受法律承认 的可信任的权威机构，负责发放和管理电子证书，使网上通讯的各方 能互相确认身份。它的基本功能有接收注册请求，处理、批准/拒 绝请求、颁发证书。在实际应用中，CA 可由各方都信任的一方担当。 ----电子商务的主要支付手段是信用卡，根据Jupiter communications 的数据，目前 Internet 上 99％的在线交易都使用 信用卡来作为支付手段。而 Forrester Research 的研究表明，有超 过 40％的网络用户不愿意在网络上购物，原因在于多数人认为在网 络上传递信用卡号码是不安全的 。 ----电子商务发展中的大部分问题和矛盾都集中在支付手段上。 在技 术上，要解决两大问题安全传输问题和身份认证问题。 ----解决安全传输问题的手段就是建立一个安全的加密传输通道， 即 在用户与贸易商的站点之间建立一个安全连接， 保证从用户传递贸易 站点的信用卡号码不会被第三者所窥视。 首先注意的就是不要通过电 子邮件来传递卡号，电子邮件被认为是目前网上最不安全的传输手 段。其次，要使用符合 SSL 安全层协议的浏览器软件。 ----解决身份认证问题