时间：2023-03-28 15:05:03
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇电子商务安全论文范例。如需获取更多原创内容，可随时联系我们的客服老师。
关键词：电子商务；身份认证；防火墙
1引言
电子商务可以增加销售额并降低成本的优势，使得政府与企业都十分重视并推动电子商务的建设和发展。电子商务发展到今天,主要问题在于时空的分离导致了安全问题的出现,信息的安全性是当前发展电子商务最迫切需要解决的问题之一。研究和分析电子商务的安全性问题,特别是针对企业自身情况,充分借鉴以往电子商务系统开发的先进技术和经验,开发出符合企业特殊的电子商务系统,已经成为目前发展电子商务的关键，而安全体系的构建显得尤为重要。
2电子商务的主要安全要素
目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看，传统的买卖双方是面对面的，因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。时空的分离导致了安全问题的出现，电子商务交易双方（销售者和消费者）都面临安全威胁，电子商务的安全要素主要体现在以下几个方面：
2.1信息真实性、有效性
电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。
2.2信息机密性
电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。
3.3信息完整性
电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。
3.4信息可靠性、不可抵赖性和可鉴别性
可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可否认要求即是能建立有效的责任机制，防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。
在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能的。因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在1nternet上每个人都是匿名的，电子商务系统应充分保证原发方在发送数据后不能抵赖；接收方在接收数据后也不能抵赖。
3电子商务安全系统
网络安全是电子商务的基础。为了保证电子商务交易能顺利进行，要求电子商务平台要稳定可靠，能不中断地提供服务。任何系统的中断，如硬件、软件错误，网络故障、病毒等都可能导致电子商务系统不能正常工作，而使贸易数据在确定的时刻和地点的有效性得不到保证，往往会造成巨大的经济损失。
所以就整个电子商务安全系统而言，安全性可以划分为四个层次，
1)网络节点的安全
2)通讯的安全性
3)应用程序的安全性
4)用户的认证管理
其中2、3、4是通过操作系统和Web服务器软件实现，而网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。
3.1网络节点的安全
防火墙是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击，为电子商务的施展提供个相对更安全的平台。
防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。
3.2通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度，也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。
3.3应用程序的安全性
即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。
这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。
3.4用户的认证管理
1)身份认证
电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。
2)CA证书
要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。
3)安全套接层SSL协议
安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。
SSL通过数字签名和数字证书来实行身份验证，数字证书是从认证机构（CA，CertificateAuthority）获得的，通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。
SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如Http、Ftp、Telnet等）以保证应用层数据传输的安全性。
SSL协议握手流程由两个阶段组成：服务器认证和用户认证。
①服务器认证
客户端向服务器发送一个“Hello”信息，以便开始一个新的会话连接；服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。
②用户认证
经认证的服务器发送一个提问给客户，客户则返回数字签名后的提问和其公开密钥，从而向服务器提供认证。SSL协议支持各种加密算法，实现简单，独立于应用层协议，且被大部分浏览器和Web服务器内置，便于在电子交易中应用。但SSL是一个面向连接的协议，起初并不是为了支持电子商务而设计的，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议不能协调各方面的安全传输和信任关系。为此，开发出了在网络应用层中专为电子商务而设计的SET协议。
4安全管理
为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。对于所有接触系统的人员，按其职责设定其访问系统的最小权限。按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。
建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。
对于重要数据要及时进行备份，且对数据库中存放的数据，数据库系统应视其重要性提供不同级别的数据加密。
5结束语
安全实际上就是一种风险管理。任何技术手段都不能保证1OO％的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手，仅在技术角度防范是远远不够的。安全只是相对的，而不是绝对的。因此，为进一步促进电子商务体系的完善和行业的健康快速发展，必须在实际运用中解决电子商务中出现的各类问题，使电子商务系统相对更安全。
参考文献:
[1]吴洋.电子商务安全方法研究[D].天津大学,2006.
[2]李艳.电子商务信息安全策略研究[J].甘肃科技,2005,(06)
[3]成卫青,龚俭.网络安全评估[J].计算机工程,2003,(02).
随着网络的不断普及和电子商务的迅猛发展，电子商务这种商务活动新模式已经逐渐改变了人们的经济活动方式、工作方式和生活本论文由整理提供方式，越来越多的人们开始接受并喜爱网上购物，可是，电子商务发展的瓶颈——安全问题依然是制约人们进行电子商务交易的最大问题，因此，安全问题是电子商务的核心问题，是实现和保证电子商务顺利进行的关键所在。校园电子商务是电子商务在校园环境下的具体应用与实现，其安全性也同样是其发展所不容忽视的关键问题，因此应当着重研究。
1校园电子商务概述
1.1校园电子商务的概念。
校园电子商务是电子商务在校园这个特定环境下的具体应用，它是指在校园范围内利用校园网络基础、计算机硬件、软件和安全通信手段构建的满足于校本论文由整理提供园内单位、企业和个人进行商务、工作、学习、生活各方面活动需要的一个高可用性、伸缩性和安全性的计算机系统。
1.2校园电子商务的特点。
相对于一般电子商务，校园电子商务具有客户群本论文由整理提供稳定、网络环境优良、物流配送方便、信用机制良好、服务性大于盈利性等特点，这些特点也是校园开展电子商务的优势所在。与传统校园商务活动相比，校园电子商务的特点有：交易不受时间空间限制、快捷方便、交易成本较低。
2校园电子商务的安全问题
2.1校园电子商务安全的内容。
校园电子商务安全内容从整体上可分为两大部分：校园网络安全和校园支付交易安全。校园网络安全内容主要包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。校园支付交易安全的内容涉及传统校园商务活动在校园网应用时所产生的各种安全问题，如网上交易信息、网上支付以及配送服务等。
2.2校园电子商务安全威胁。
校园电子商务安全威胁同样来自网络安全威胁与交易安全威胁。然而，网络安全与交易安全并不是孤立的，而是密不可分且相辅相成的，网络安全是基础，是交易安全的保障。校园网也是一个开放性的网络，它也面临许许多多的安全威胁，比如：身份窃取、非本论文由整理提供授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、交易否认、数据流分析、旁路控制、干扰系统正常运行、病毒与恶意攻击、内部人员的不规范使用和恶意破坏等。校园网的开放性也使得基于它的交易活动的安全性受到严重的威胁，网上交易面临的威胁可以归纳为：信息泄露、篡改信息、假冒和交易抵赖。信息泄露是非法用户通过各种技术手段盗取或截获交易信息致使信息的机密性遭到破坏；篡改信息是非法用户对交易信息插入、删除或修改，破坏信息的完整性；假冒是非法用户冒充合法交易者以伪造交易信息；交易抵赖是交易双方一方或否认交易行为，交易抵赖也是校园电子商务安全面临的主要威胁之一。
2.3校园电子商务安全的基本安全需求。
通过对校园电子商务安全威胁的分析，可以本论文由整理提供看出校园电子商务安全的基本要求是保证交易对象的身份真实性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否认性。通过对校园电子商务系统的整体规划可以提高其安全需求。
3校园电子商务安全解决方案
3.1校园电子商务安全体系结构。
校园电子商务安全是一个复杂的系统工程，因此要从系统的角度对其进行整体的规划。根据校园电子商务的安全需求，通过对校园人文环境、网络环境、应用系统及管理等各方面的统筹考虑和规划，再结合的电子商务的安全技术，总结校园电子商务安全体系本论文由整理提供结构，如图所示：
上述安全体系结构中，人文环境层包括现有的电子商务法律法规以及校园电子商务特有的校园信息文化，它们综合构成了校园电子商务建设的大环境；基础设施层包括校园网、虚拟专网VPN和认证中心；逻辑实体层包括校园一卡通、支付网关、认证服务器和本论文由整理提供交易服务器；安全机制层包括加密技术、认证技术以及安全协议等电子商务安全机制；应用系统层即校园电子商务平台，包括网上交易、支付和配送服务等。
针对上述安全体系结构，具体的方案有：
（1）营造良好校园人文环境。加强大学生本论文由整理提供的道德教育，培养校园电子商务参与者们的信息文化知识与素养、增强高校师生的法律意识和道德观念，共
同营造良好的校园电子商务人文环境，防止人为恶意攻击和破坏。
（2）建立良好网上支付环境。目前我国高校大都建立了校园一卡通工程，校园电子商务系统可以采用一卡通或校园电子帐户作为网上支付的载体而不需要与银行等金融系统互联，由学校结算中心专门处理与金融机构的业务，可以大大提高校园网上支付的安全性。
（3）建立统一身份认证系统。建立校园统一身份认证系统可以为校园电子商务系统提供安全认证的功能。
（4）组织物流配送团队。校园师生居住地点相对集中，一般来说就在学校内部或校园附近，只需要很少的人员就可以解决物流配送问题，而本论文由整理提供不需要委托第三方物流公司，在校园内建立一个物流配送团队就可以准确及时的完成配送服务。
3.2校园网络安全对策。
保障校园网络安全的主要措施有：
（1）防火墙技术。利用防火墙技术来实现校园局域网的安全性，以解决访问控制问题，使只有授权的校园合法用户才能对校园网的资源进行访问本论文由整理提供，防止来自外部互联网对内部网络的破坏。
（2）病毒防治技术。在任何网络环境下，计算机病毒都具有不可估量的威胁性和破坏力，校园网虽然是局域网，可是免不了计算机病毒的威胁，因此，加强病毒防治是保障校园网络安全的重要环节。
（3）VPN技术。目前，我国高校大都已经建立了校园一卡通工程，如果能利用VPN技术建立校园一卡通专网就能大大提高校园信息安全、保证数据的本论文由整理提供安全传输。有效保证了网络的安全性和稳定性且易于维护和改进。
3.3交易信息安全对策。
针对校园电子商务中交易信息安全问题，可以用电子商务的安全机制来解决，例如数据加密技术、认证技术和安全协议技术等。通过数据加密，可以保证信息的机密性；通过采用数字摘要、数字签名、数字信封、数字时间戳和数字证书等安全机制来解本论文由整理提供决信息的完整性和不可否认性的问题；通过安全协议方法，建立安全信息传输通道来保证电子商务交易过程和数据的安全。
（1）数据加密技术。加密技术是电子商务中最基本的信息安全防范措施，其原理是利用一定的加密算法来保证数据的机密，主要有对称加密和非对称加密。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，而解密密钥不公开。
（2）认证技术。认证技术是保证电子商务交易安全的一项重要技术，它是网上交易支付的前提，负责对交易各方的身份进行确认。在校园电子商务本论文由整理提供中，网上交易认证可以通过校园统一身份认证系统（例如校园一卡通系统）来进行对交易各方的身份认证。
（3）安全协议技术。目前，电子商务发展较成熟和实用的安全协议是SET和SSL协议。通过对SSL与SET两种协议的比较和校园电子商务的需求分析，校园电子商务更适合采用SSL协议。SSL位于传输层与应用层之间，能够更好地封装应用层数据，不用改变位于应用层的应用程序，对用户是透明的。而且SSL只需要通过一次“握手”过程就可以建立客户与服务器之间的一条安全通信通道，保证传输数据的安全。
3.4基于一卡通的校园电子商务。
目前，我国高校校园网建设和校园一卡通工程建设逐步完善，使用校园一卡通进行校园电子商务的网上支付可以增强校园电子商务的支付安全，可以避免或降低了使用银行卡支付所出现的卡号被盗的风险等。同时，使用校园一卡通作为校园电子支付载体的安全保障有：
（1）校园网是一个内部网络，它自身已经屏蔽了绝大多数来自公网的黑客攻击及病毒入侵，由于有防火墙及反病毒软件等安全防范设施，来自外部网络人员的破坏可能性很小。同时，校园一卡通中心有着良好的安全机制，使得使用校园一卡通在校内进行网上支付被盗取账号密码等信息的可能性微乎其微。超级秘书网
（2）校园一卡通具有统一身份认证系统，能够对参与交易的各方进行身份认证，各方的交易活动受到统一的审计和监控，统一身份认证能够保证网上工作环境的安全可靠。校园网络管理中对不同角色的用户享有不同级别的授权，使其网上活动受到其身份的限制，有效防止一些恶意事情的发生。同时，由于校内人员身份单一，多为学生，交易中一旦发生纠纷，身份容易确认，纠纷就容易解决。
4结束语
开展校园电子商务是推进校园信息化建设的重要内容，随着我国校园信息化建设的不断深入，目前已有许多高校开展了校园电子商务，它极大的方便了校园内师生员工的工作、学习、生活。可是与此同时，安全问题成为制约校园电子商务发展的障碍。因此，如何建立一个安全、便捷的校园电子商务应用环境，让师生能够方便可靠的进行校园在线交易和网上支本论文由整理提供付，是当前校园电子商务发展要着重研究的关键问题。
论文摘要：电子商务安全问题已成为制约电子商务发展的重要问题，安全问题包括电子商务交易安全、计算机网络安全等显性的问题，还包括管理、法律和标准等方面的隐性问题。通过对电子商务安全体系的分析，研究电子商务安全策略，建立一个安全电子商务环境，将促进电子商务健康快速地发展。
电子商务是一个跨国界，跨地区，跨行业的多种技术综合集成与不同社会经济文化背景形成的各种习俗不断冲突，不断协调和不断统一的综合性社会系统工程。电子商务安全策略保障电子商务各个主体的切身利益。电子商务安全策略是以人为本，从各主体的角度思考，综合协调了各个市场主体的行为，从根本上保障了消费者、企业、电子商务网站等市场主体的切身利益，它为实现电子商务提供了统一的基础平台和安全屏障。
一、电子商务安全技术保障策略
安全技术保障技术是电子商务安全体系中的基本策略，目前相关的信息安全技术与专门的电子商务安全技术研究比较普遍和成熟。电子商务中常用到的安全技术有以下几种：
1.密码技术。密码技术包括加密技术和解密技术。加密是将信息经过加密密钥及加密函数转换，变成无意义的密文。而解密则是将密文经过解密函数、解密密钥处理还原成原文。密码技术是网络安全技术的基础。
2.身份验证技术。电子商务主体向系统证明自己身份，并由系统查核该主体的过程，是确认真实有效身份的重要环节，这个过程叫作身份验证。常用的验证技术有报文鉴别、身份鉴别和电子签名。
3.访问控制技术。访问控制是指对电子商务网络系统中各种资源访问时的权限确认，防止非法访问。它包括有关的策略、模型、机制的基础理论与实现方法。
4.防火墙技术。防火墙是用一组网络设备来加强一个网络与外界之间的访问控制。防火墙整体可以分为三大类：分组过滤、应用、电路网关。
二、企业电子商务安全运营管理制度保障策略
企业电子商务安全运营管理制度是用文字的形式对各项安全要求所做的规定，是保证企业取得电子商务成功的基础，是企业电子商务人员工作的规范和准则。这些制度主要包括人员管理制度，保密制度，跟踪审计制度，系统维护制度、数据备份制度等。
1.人员管理制度人员管理制度主要从人员的选拔，工作责任的落实和安全运作必须遵循的基本原则制定相应的工作制度。
2.保密制度电子商务系统涉及企业的市场、生产、财务、供应链等多方面的机密，这些方面都是需要很好地划分信息安全级别，并确定安全防范重点，提出相应的保密措施。
3.跟踪审计制度跟踪制度就是要求企业建立网络交易的日志机制，来记录网络交易的全过程。而审计制度是对系统日志的经常检查、审核，及时发现对系统有安全隐患的记录，监控各种安全事故，维护和管理系统日志。
4.网络系统的日常维护制度网络系统的日常维护包括硬件的日常维护和软件的日常维护，硬件维护主要是对网络设备服务器和客户机以及通信线路进行定期规范地巡查、检修；软件维护主要是规范地对支撑软件的定期清理和整理、监测、处理特殊情况以及对应用软件的升级等。
5.数据备份制度数据备份主要是利用多种介质对信息系统数据进行存储，定期为重要信息备份、系统设备备份，并定期更新，以减少安全事故发生时造成的损失。
三、电子商务立法策略
电子商务安全得到法律保障，首先必须完善电子商务安全相关的法律。如何构建一个有针对性的健全的法律体系是摆在我们面前的迫切问题。可以从立法目的、立法原则、立法范围和立法途径上分析。
1.立法目的电子商务安全立法的目的主要是要消除电子商务发展的法律障碍；消除现有法律适用上的不确定性，保护合理的商业行为，保障电子交易安全；建立一个清晰的法律框架以统一调整电子商务的健康发展。
2.立法范围电子商务安全方面需要的法律法规主要有：市场准入制度、合同有效认证办法、电子支付系统安全措施、信息保密防范办法，知识产权侵权处理规定、以及广告的管制、网络信息内容过滤等；电子商务调整的对象是电子商务中的各种社会关系。
3.立法途径电子商务法律仍然是调整社会关系，所以应当继承传统立法的合理内核，尤其是基础价值观。具体的立法途径主要是两种：第一是制定新的法律规范。对于传统法律没有规定的，即由电子商务带来的新的社会关系，应尽快制定法律规范；第二是修改或重新解释既定的法律规范。对于传统法律的规定不明确，或与电子商务新型社会关系有冲突甚至存在缺欠的，可以修改或重新解释既定的法律规范。
四、政府监督管理策略
电子商务本质是一种市场运作模式，市场的正常健康有序地发展，必须有政府宏观上的监督与管理，以协调和规范各市场主体的行为，宏观监督与管理电子商务运行中的安全保障体系。
1.计算机信息系统安全管理计算机信息系统，是指“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。”计算机安全保护规范主要有计算机安全等级保护制度，计算机系统使用单位安全负责制度，计算机案件强行报告制度，计算机病毒及其有害数据的专管制度与计算机信息安全专用产品销售许可证制度。对计算机信息系统安全的保护，有利于保障国家的安全和社会安定，促进电子商务的安全交易过程，有利电子商务的健康发展。
2.网络广告和网络服务业管理由于网络的开放性，自由性等特征决定了网络广告监管的难度，虚假广告、广告充斥着网络空间，网络广告已经发展成为一个社会问题。网络广告管理应该从三个方面入手：第一，网络广告组织的管理，必须对网站广告经营主体资格进行管制，第二，规范网络广告内容，确保广告内容的真实性、合法性和科学性。第三，需要有具体的广告审查管制、评估与监测部门。
国家针对网络服务业和网络用户管理已经颁布了《中华人民共和国计算机信息网络国际联网管理暂行规定》，其中提出了详细具体的限制条件。但是，网络飞速发展，面对网络中的新问题，还必须进一步深入全面地研究。
3.认证机构管理认证机构是电子商务活动中专门从事颁发认证证书的机构，对电子商务交易活动顺利进行，电子商务活动中交易参与各方身份和信息认定，维护交易安全具有重要作用。对认证机构的管理主要是通过对设立的条件、撤消或者颁发许可证等营业资格而进行审批监督；同时，还要针对其资产和财务状况定期审查，以免发生财务危机，对其信息披露与保密情况、安全系统运行情况等方面进行不定期或定期监督检查。
4.加强社会信用道德建设，构建和谐安全电子商务电子商务安全问题其中有很大部分是由电子商务用户或从业人员的信用道德问题引发的，在我国尤其严重，甚至大家感叹电子商务在我国“水土不服”。对于新型的商业运作模式，必然存在不少漏洞，这需要广大电子商务市场主体有良好的电子商务道德意识。除了从法律上采取措施，更重要的是政府要加强电子商务市场主体自身的道德建设,加强舆论监督和企业自律，充分利用网络新闻舆论监督，消费者舆论监督和行业协会的管理监督。
五、结束语
电子商务安全不仅涉及到电子商务公司、企业、消费者的利益，而且更加广泛地涉及经济、政治、国防、文化等诸多方面，关系到国家的安全、和社会的稳定。电子商务安全策略确保电子商务的快速、健康地发展。电子商务安全是目前电子商务发展的瓶颈，只有解决了电子商务安全，保障了市场主体的利益，才能得到网络用户的认可和参与，电子商务自身也才能得到快速、健康地发展。
参考文献
[1]林宁，吴志刚.我国信息安全技术标准化现状[J].中国标准化，2007（4）
[2]胡艳春.电子商务网站建设中的安全问题研究[J].商场现代化，2006，（10）
[论文摘要]在如何对待信用卡套现的问题上,国内领先的第三方支付平台如PAYPAL(贝宝)、支付宝、快钱等目前都采用了多种安全措施。
在电子商务中，网上交易的支付问题的安全性问题越来越突出，为确保顾客在购买东西的时候不会钱财两空，一种新的支付方式——第三方支付出现了，第三方支付平台的出现解决了电子商务的瓶颈——网上支付信用与安全问题,充当商家与消费者之间的信用纽带,作为交易各方与银行的接口,消除消费者对商家的疑虑，提供方便快捷简易的支付方式,在很大程度上推动了电子商务的发展。
那么，第三方支付具体指的是什么呢？所谓第三方支付，是指为了保障电子商务的支付安全，支付通过买卖双方之间完全中立的一家企业来完成。用E-mail来进行网上支付；打个电话报上信用卡号就能预订机票；用手机上网交水费电费游戏费……在中国人还没有完全适应从纸制货币进化到“塑胶货币”（信用卡）的今天，网络银行、手机钱包等第三方支付工具已经迫不及待地登场了。
近日，有媒体报道，有网民利用三方支付工具从信用卡套现。就此，该文进而对第三方支付的安全性问题提出质疑，认为电子支付有可能被金融犯罪分子所利用，充当其洗钱的工具。且不管该文提到的套现现象是否属于依然在可控范围内的小概率事件，也不提所谓的套现行为是否缘于第三方支付的安全漏洞，单就所谓洗钱的担心而论，可以说，该文是严重低估了央行以及各商业银行的风险控制能力，也大大低估了各大第三方支付公司的风险把控能力。
实际情况是，早在1996年4月1日，中国人民银行就颁布并实施了《信用卡业务管理办法》，其中明确规定，持卡人不允许利用信用卡套取现金以及恶意透支。对于信用卡套现这个问题，不光招商银行等商业银行关注有加，第三方支付公司支付宝、贝宝等亦是小心翼翼，如履薄冰，先后出台了多项严格的风险控制系统，协助银行解决问题。
在如何对待信用卡套现的问题上，国内领先的第三方支付平台如PAYPAL(贝宝)、支付宝、快钱等目前都采用了多种安全措施。
例如，PAYPAL(贝宝)在防止盗号、提供密码加密以及减少信用卡套现等方面，已经配合银行做了大量工作;快钱除了从技术手段上防范盗卡之外，还在安全方面加设了用户的认证系统等六道功能，试图将安全隐患压低到最小程度。
作为国内最大的第三方支付平台，支付宝的做法就更为完备。早在2006年7月，支付宝就推出“支付宝认证”服务，对所有使用支付宝的卖家进行双重身份认证，即身份证认证和银行卡认证。除了与公安部全国公民身份证号码查询服务中心合作校验身份证的真伪，支付宝还与各大商业银行进行合作，利用银行账户实名制信息来校验用户填写的姓名和银行账户号码是否准确，摒弃了某些购物网站仅凭一个手机号码或者身份证号码进行简单认证的模式。支付宝公司还在国内率先推出了“全额赔付”制度和交易安全基金，网络欺诈发生率仅为万分之二。
为了保证支付宝的安全性，支付宝技术团队还自发研制了数字证书，其安全性能得到各银行认同。相对于目前国内所有第三方认证公司采用的认证形式，支付宝的数字证书从技术上摆脱了普通6位密码验证，改以1024位加密的数字签名技术，因而更为安全。而数字密码的惟一性，也更有助于客户身份的识别。
央行的《电子支付指引》规定，银行通过互联网为个人客户办理电子支付业务，除采用数字证书、电子签名等安全认证方式外，单笔金额不应超过1000元人民币，每日累计金额不应超过5000元人民币，并规定信用卡的网上支付不得超过提现额度。国内目前没有一家银行和任何一家网上支付公司允许网上“单日支付额度由信用卡额度决定”。在这方面，支付宝也早已主动和和很多发卡银行联手，针对套现现象做了信用卡网上支付单笔限额的规定，例如，招商银行的信用卡支付限制的是单笔最高限额499元。为了保证支付宝的安全性，支付宝还有CTU风险控制系统来随时扫描和监控交易的进行，防范可能存在的盗卡及套现行为。
实际上，从2006年5月开始，支付宝就已委托中国工商银行对支付宝公司开立在各家银行的客户交易保证金账户的余额进行核查，工行并定期出具《支付宝客户交易保证金托管报告》。这是中国银行界第一次为第三方支付平台做资金托管的审核报告，也是当前唯一银行愿意托管的第三方支付平台。2006年12月8日，从工行对11月1日～11月30日期间所有发生的支付宝公司的客户提现及余额支付进行的抽查情况看，支付宝存放在各家银行的客户交易保证金余额总和等于支付宝客户存放在贵公司的资金余额与待处理款、未达款余额之和，报告期间内未发现支付宝客户交易保证金被挪用情况。
值得一提的是，截至目前工行、农行都已经开始把以支付宝为主的阿里巴巴中小企业信用体系作为他们给中小企业贷款的一个衡量指标;而浦东发展银行等也看到了里面的巨大商机纷纷加入。
关键词：电子商务信息安全安全技术
伴随经济的迅猛发展，电子商务成为当今世界商务活动的新模式。要在国际竞争中赢得优势，必须保证电子商务中信息交流的安全。
一、电子商务的信息安全问题
电子商务信息安全问题主要有：
1.信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。2.信息的篡改：当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。4.交易抵赖：交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。
二、信息安全要求
电子商务的安全是对交易中涉及的各种信息的可靠性、完整性和可用性保护。信息安全包括以下几方面:
1.信息保密性：维护商业机密是电子商务推广应用的重要保障。由于建立在开放网络环境中，要预防非法信息存取和信息传输中被窃现象发生。2.信息完整性：贸易各方信息的完整性是电子商务应用的基础，影响到交易和经营策略。要保证网络上传输的信息不被篡改，预防对信息随意生成、修改和删除，防止数据传送中信息的失和重复并保证信息传送次序的统一。3.信息有效性：保证信息有效性是开展电子商务前提，关系到企业或国家的经济利益。对网络故障、应用程序错误、硬件故障及计算机病毒的潜在威胁控制和预防，以保证贸易数据在确定时刻和地点有效。4.信息可靠性：确定要交易的贸易方是期望的贸易方是保证电子商务顺利进行的关键。为防止计算机失效、程序错误、系统软件错误等威胁，通过控制与预防确保系统安全可靠。
三、信息安全技术
1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是“凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是“凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。
防火墙技术主要有：(1)包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2)服务技术：提供应用层服务控制，起到外部网络向内部网络申请服务时中间转接作用。服务还用于实施较强数据流监控、过滤、记录等功能。(3)状态监控技术：在网络层完成所有必要的包过滤与网络服务防火墙功能。(4)复合型技术：把过滤和服务两种方法结合形成新防火墙，所用主机称为堡垒主机，提供服务。(5)审计技术：通过对网络上发生的访问进程记录和产生日志，对日志统计分析，对资源使用情况分析，对异常现象跟踪监视。(6)路由器加密技术：加密路由器对通过路由器的信息流加密和压缩，再通过外部网络传输到目的端解压缩和解密。2.加密技术。为保证数据和交易安全，确认交易双方的真实身份，电子商务采用加密技术。数据加密是最可靠的安全保障形式和主动安全防范的策略。目前广泛应用的加密技术有：(1)公共密钥和私用密钥:也称RSA编码法。信息交换的过程是贸易方甲生成一对密钥并将其中一把作为公开密钥公开；得到公开密钥的贸易方乙对信息加密后再发给贸易方甲：贸易方甲用另一把专用密钥对加密信息解密。具有数字凭证身份人员的公共密钥在网上查到或请对方发信息将公共密钥传给对方，保证传输信息的保密和安全。(2)数字摘要:也称安全Hash编码法。将需加密的明文“摘要”成一串密文亦称数字指纹，有固定长度且不同明文摘要成密文结果不同，而同样明文摘要必定一致。这串摘要成为验证明文是否真身的“指纹”。(3)数字签名:将数字摘要、公用密钥算法两种加密方法结合。在书面文件上签名是确认文件的手段。签名作用有两点：一是因为自己签名难以否认，从而确认文件已签署；二是因为签名不易仿冒，从而确定文件为真。(4)数字时间戳:电子交易中文件签署日期和签名是防止交易文件被伪造和篡改的关键性内容，数字时间戳服务能提供电子文件发表时间的安全保护。
3.认证技术。安全认证的作用是进行信息认证。信息认证是确认信息发送者的身份，验证信息完整性，确认信息在传送或存储过程中未被篡改。(1)数字证书:也叫数字凭证、数字标识，用电子手段证实用户身份及对网络资源的访问权限，可控制被查看的数据库，提高总体保密性。交易支付过程中，参与各方必须利用认证中心签发的数字证书证明身份。(2)安全认证机构:电子商务授权机构也称电子商务认证中心。无论是数字时间戳服务还是数字证书发放，都需要有权威性和公正性的第三方完成。CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业机构，受理数字证书的申请、签发及对数字证书管理。
4.防病毒技术。(1)预防病毒技术，通过自身常驻系统内存，优先获取系统控制权，监视系统中是否有病毒，阻止计算机病毒进入计算机系统和对系统破坏。(2)检测病毒技术，通过对计算机病毒特征进行判断的侦测技术，如自身校验、关键字、文件长度变化。(3)消除病毒技术，通过对计算机病毒分析，开发出具有杀除病毒程序并恢复原文件的软件。另外要认真执行病毒定期清理制度，可以清除处于潜伏期的病毒，防止病毒突然爆发，使计算机始终处于良好工作状态。
四、结语
信息安全是电子商务的核心。要不断改进电子商务中的信息安全技术，提高电子商务系统的安全性和可靠性。但电子商务的安全运行，仅从技术角度防范远远不够，还必须完善电子商务立法，以规范存在的各类问题，引导和促进我国电子商务快速健康发展。
参考文献:
[1]谭卫:电子商务中安全技术的研究.哈尔滨工业大学,2006
密码是一个人的私有信息，通过设置密码可以在一定程度上保证信息的安全性。在电子商务中会涉及到的银行账号的安全、交易信息的安全，都可以通过设置不同类型的密码来保护。在设置密码时可以设置不同的密码，增加所设密码的难度，定期修改密码，以及登陆密码和手机绑定密码等多种途径来保护账号的安全。有很大一部分人喜欢用同样的密码，这是一种不好的习惯。可能有人会说：“如果不设置相同的密码就记不住。”在这种情况下可以采取多种加密形式来保证账户安全。现在为了解决安全问题，不同的机构，包括电子商务公司、各大银行都推出许多加密设备，我们可以选用。
二、数字签名
在网络环境中，网络安全的最基本要求就是通信信息的真实和不可否认性，它要求通信双方能互相证实，以防止第三者假冒通信的一方窃取、伪造信息。在网络中实现通信真实性的方法是数字签名（DigitalSignature)。我们在教学过程中让学生能掌握的是正确使用自己的数字签名，学生走上社会做的不是科学研究，是应用型电子商务，主要包括银行账号的安全、交易账号的安全，可以使用不同的认证方法保证信息安全，数字签名就是一种很好的方法。例如，作为商业机构可以选择一家公信度较强、通过国际认证的CA认证中心，CA认证中心会对于你每次交易中数字签名进行处理，证明交易中的身份，保证签名的不可否认性，加快交易速度，节省交易时间。
三、不轻易打开网站链接
在日常店铺管理中，交易身份的假冒和网站的假冒时有发生，为了防范这种骗局，我们要做的就是不打开不信任的网站，不打开别人发来的链接。现在有一些骗子不仅是把自己伪装成购物网站去骗买家，从而盗取买家的账号、密码。也有一些骗子专门去搜索一些新开的网店去欺骗卖家，一是因为新卖家经验不足防骗知识薄弱，二是新卖家急于让店铺发生买卖，因此在交易时当这些不法分子告诉卖家自己进行的交易出现问题而发送链接时，卖家没有仔细查看确认交易就贸然打开了链接，给店铺造成了损失。
四、防火墙设置
近年来，作为保护计算机系统网络安全的重要措施，防火墙技术正日趋成熟。对于一些与防火墙相冲突的软件，需要关闭防火墙，有时网络安全有问题时，又需要启用防火墙。我们作为专业电子商务人员，要会对自己的电脑进行防火墙设置，设置时可以通过电脑的“控制面板”找到“防火墙”，打开“防火墙”自行设置。防火墙应该一直都处于打开的状态。
五、计算机病毒防范
电子商务强调企业与商家通过网络进行实时交流，安全防护的一点疏漏就可能使计算机病毒扩散到整个企业的网络，可能感染客户的计算机。因此应对计算机病毒进行防范。要想安全、可靠地防杀病毒，至少应该进行如下的工作：选择好的防杀病毒软件保护工作站、服务器；定期进行文件备份工作；定期对网络进行病毒扫描，异常检测；尽量多用无盘工作站；对远程工作站的登陆权限实施严格控制，尽量少用超级用户登录；定期更新病毒库；对网络设备的安全隔离。
六、结语
关键词:电子商务;身份认证;防火墙
一、有关电子商务的安全性要求
1.对电子商务活动安全性的要求:
(1)服务的有效性要求。电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。
(2)交易信息的保密性要求。电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。
(3)数据完整性要求。数字完整性是指在数据处理过程中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。
(4)身份认证的要求。电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律依据。
2.电子商务的主要安全要素
(1)信息真实性、有效性。电子商务以电子形式取代了纸张,如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。
(2)信息机密性。电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。
(3)信息完整性。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此,电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。
(4)信息可靠性、可鉴别性和不可抵赖性。可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制,防止实体否认其行为;可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。
在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在internet上每个人都是匿名的,电子商务系统应充分保证原发方在发送数据后不能抵赖;接收方在接收数据后也不能抵赖。
二、电子商务采用的主要安全技术
1.网络节点的安全
防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,从而保护内部网免受非法用户的侵入,它其实就是一个把互联网与内部网(通常指局域网或城域网)隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击,为电子商务的施展提供一个相对更安全的平台。
防火墙是在连接Internet和Intranet保证安全最为有效的方法,防火墙能够有效地监视网络的通信信息,并记忆通信状态,从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的Intranet系统。应给予特别注意的是,防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统,而没有全面的安全策略,那么防火墙就形同虚设。
2.通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度,也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制,SSL首先要求服务器向浏览器出示它的证书,证书包括一个公钥,由一家可信证书授权机构(CA中心)签发。浏览器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥(PKI)。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载可以在访问之前或访问时)。验证此证书是合法的服务器证书通过后利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。[论/文/网LunWenNet/Com]
3.应用程序的安全性
即使正确地配置了访问控制规则,要满足计算机系统的安全性也是不充分的,因为编程错误也可能引致攻击。程序错误有以下几种形式:程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件,特别是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可;程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制(最少许可),程序员认为这个缺省的许可是正确的。
这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令,特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如,缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为,才能发现像这些问题一样的错误。
4.用户的认证管理
(1)身份认证。电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份,IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。
(2)CA证书。要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就是CA证书,它由认证授权中心(CA中心)发行。认证中心(CA)就是承担网上安全交易认证服务,能签发数字证书,并能确认用户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。
(3)安全套接层SSL协议。安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。
SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构(CA,CertificateAuthority)获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。
SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议(如Ht2tp、Ftp、Telnet等)以保证应用层数据传输的安全性。SSL协议握手流程由两个阶段组成:服务器认证和用户认证。
三、电子商务安全需要进一步完善的配套措施
电子商务要真正成为一种主导的商务模式,尤其对发展中的中国来说,发展电子商务,就必须从以下几个方面来完善配套措施:
(1)突破关键技术受制于人的瓶颈。
(2)我国应尽快对电子商务的有关细则进行立法。
(3)大力开发大型商务网站,发展与之相配套的物流公司。
(4)为了确保系统的安全性,除了采用技术手段外,还必须建立严格的内部安全机制。
(5)建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询。
(6)对于重要数据要及时进行备份,且对数据库中存放的数据,数据库系统应视其重要性提供不同级别的数据加密。
安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是,安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手,仅在技术角度防范是远远不够的。安全只是相对的,而不是绝对的。因此,为进一步促进电子商务体系的完善和行业的健康快速发展,必须在实际运用中解决电子商务中出现的各类问题,使电子商务系统相对更安全。[论\文\网LunWenNet\Com]
参考文献:
[1]吴洋.电子商务安全方法研究[D].天津:天津大学,2006.
[2]李艳.电子商务信息安全策略研究[J].甘肃科技,2005(6).
[3]成卫青,龚俭.网络安全评估[J].计算机工程,2003(2).
[4]甘悦.浅议电子商务信息安全体系的构建[J].西北成人教育学报,2007(2).
[5]周明,黄元江,李建设.电子商务中的安全技术研究[J].株洲工学院学报,2005(1).
[6]张娟.电子商务网络安全技术探究[J].甘肃科技纵横,2005(4).
[7]赵乃真.电子商务技术与应用[M].北京:中国铁道出版社,2003.
通过对影响电子商务交易的网络信息安全要素进行分析和研究，能够对电子商务的网络信息安全问题进行有效解决和保障。下文对网络信息安全的几方面要素进行分析。
1.1电子商务交易系统的可靠性
确保电子商务系统的可靠性主要是为了通过一定的控制及预防措施对其系统安全性进行保证，以防出现计算机瘫痪、硬件故障、软件失效及信息传输错误等现象的发生。电子商务系统的可靠性及安全性对其传输、存储的信息数据有着十分重要的保证作用，同时对系统的完整性也能够起到监测作用，利用网络安全技术能够有效提高电子商务系统的可靠性。
1.2电子商务交易中的信息真实性
在电子商务交易过程中，交易双方的身份信息安全性及真实性必须得到保证，即交易双方必须是实际存在的。由于电子商务交易模式的特殊性，使得交易双方能够不同时出现在同地点就能够通过网络进行交易，因此在交易前必须先确定双方建立起信任的关系，并对身份可靠性进行确认。在电子商务交易过程中供应商在履行约定后是否能准时收到货款，而采购方在交付货款后收到的货物质量等问题是否与约定的内容相符，这两方面的问题对电子商务交易中的信息真实性提出了很高的要求。
1.3电子商务交易中的数据安全性
在电子商务交易过程中所传输的数据信息，其安全性必须得到保证。信息若被泄露给未授权方会直接导致经济等方面的损失。电子商务这种新型的交易方式，其交易信息能够直接反映出个人、公司或机构等的商业机密。因此，保证传输数据不被非法窃取是其交易过程中的关键问题之一。
1.4电子商务交易中信息的完整性
在交易过程中通过网络产生的数据信息完成性须得到保证，并且不能被随意篡改。相较于传统的交易方式，电子商务的交易过程具有较大的简便性，相对简化的交易程序对人为干扰因素进行了有效避免。但是，在其交易信息的传输过程中常常存在数据丢失、交易方欺诈行为等现象，导致最终交易双方确认的信息不一致。因此，保证资料信息的完整性作为电子商务交易的基础必须进行提高。
1.5电子商务交易的不可否认性
相较于传统交易方式通过实际签字或盖章的形式对交易信息进行确认，在电子商务交易过程中，交易双方需要以一种特定的形式对信息进行确认，并且承认信息的发送或者接受，不能随意抵赖。这就要求电子商务交易中对交易双方的信息交换通过利用无法复制、具有特点的信息对交易进行确认和保证。
2网络信息安全对电子商务交易产生影响的主要问题
随着计算机信息技术的广泛使用，电子商务通过对其技术进行应用使得自身发展得到促进，同时其便捷性得到了人们的高度认可。电子商务的未来发展空间十分可观。同时，其交易信息的安全性引起了人们的重视。在网络信息安全技术的基础上，电子商务通过利用互联网信息的开放性特点，实现了不同地域的线上交易形式及其他商业活动的交易全部过程。电子商务这一新型交易模式成为了新时期全球的经济热点。由于其交易过程的开放性特征，以及其交易的全球性、共享性及发展动态性的特点，使得电子商务发展中的安全问题受到了社会各界的关注，同时对其自身发展也有一定的制约性。因此，对网络信息安全对电子商务交易产生影响的主要问题进行研究十分必要。
2.1电子商务系统在运行过程中其网络信息常常会遭到外界的攻击，其中有服务性攻击与非服务性攻击两种
非服务性攻击是指指攻击者通过利用各种非法手段对网络的路由器等通信设名进行篡改，导致网络通信设备无法正常使用或网络无法正常工作；服务性攻击即攻击者通过利用服务器提供某类服务从而使网络无法运行。拒绝服务是最典型的攻击行为，通过使电子商务系统的网络服务器充斥大量待回复的消息致使系统负荷超载、网络瘫痪。
2.2计算机软件、硬件的各方面情况对电子商务交易中的网络信息系统会直接产生影响
计算机硬件主要有交换机、服务器及客户端等；计算机软件主要包括应用软件、网络操作系统及数据库系统等。软件漏洞是其网络信息系统中最为典型的问题之一，缓冲区溢出现象时常发生并且会造成很严重的影响，使得系统程序运行失败、计算机死机及系统重启等。因此，必须通过有效措施对计算机网络的硬件及软件工作情况进行保证，以确保电子商务系统的正常操作。
2.3在电子商务交易中对信息的存储和传输安全性要进行有效保证
信息的存储安全性即对联网状态中的计算机存储的信息安全进行保证，以实现未经授权的网络用户无法获得存储信息。未授权用户通常会对用户密码进行猜测或者窃取，通过各种手段绕过网络系统的安全认证，并对未授权信息进行非法修改、查看或者删除；信息的传输安全性即对网络传输中的信息数据的安全性进行保证，使其免遭攻击或者泄露。
2.4电子商务的网络系统有时也会受到内部的授权用户的破坏
部分授权的合法用户在运行电子商务网络系统时，警惕性较低，将系统的安全密码等机密信息无意泄露出去，从而导致安全性降低或者网络受到攻击。由于系统内部授权用户自身的专业计算机知识缺乏，错删系统文件等行为都会直接对电子商务网络信息系统的安全性造成破坏。
3提高电子商务中网络信息安全性的对策
在电子商务交易平台中，网络信息的安全问题会出现各种需要解决的情况，为了保证电子商务交易能够顺利进行，对其网络信息安全必须采取相应措施进行保证，当前主要有以下几种解决对策：
3.1防火墙
防火墙的由来是中世纪的城堡防御技术，想要进入城堡的人必须通过吊桥并且接受士兵的检查。从而引申出网络防火墙技术的概念，即电子商务系统需要以一定的防护措施对用户的授权等进行把关。
3.2黑客
随着科学技术水平的提升，很多电脑爱好者的计算机水平也逐渐提高。目前已出现部分计算机水平较高的黑客设法绕过防火墙技术的控制，对电子商务网路系统进行干扰和入侵。因此，应利用相关入侵检测技术即时地对外界产生的入侵或攻击进行主动防御，以弥补防火墙技术的漏洞。通过在应用中采取监控措施、在电脑主机上进行监控措施及对网络信息系统进行监控等办法能够有效抵御外界攻击。
3.3病毒防御软件
网络病毒的数量及多样性对计算机系统及信息等多方面都造成了严重的影响。网络病毒对电子商务系统的运行也造成了恶劣影响。为保证电子商务网络信息系统的安全运行应利用网络病毒防御软件进行保护，并保证交易信息的安全可靠性及速度。
3.4加密和秘钥
为保证电子商务信息的安全性，应通过使用加密算法对其进行加密，将信息含义隐藏起来，以防外界入侵者的攻击行为。同时利用密钥管理技术作为加密信息的解密手段，只有授权合法的使用者能够操作。
3.5数字信封
在公共网络上使用传统的信息加密技术及密钥管理技术进行信息传输十分容易遭到外界的攻击，可以通过数字信封技术来解决这一问题，能够对信息在传输过程中的安全性进行保证。同时，为保证电子商务交易中的交易双方能有有效辨识身份信息，通过数字签名技术能够实现这一目的，并且对交易信息的可靠性、安全性进行保障，最大程度地提高电子商务交易的效率及质量。
4通过建立电子商务安全机制保证其交易过程
信息及结算信息。同时商务主机需要向相关交易认证机构对客户的订单信息进行确认和反馈。因此，保证信息的安全性及完整性十分重要，以避免信息在传输的中途被篡改或者窃取，这对交易双方来说极为重要。确保交易信息的完整性、有效性需要考虑的因素有很多，例如安全管理问题、物理安全问题、介质安全等各种问题，同时在技术上还需保证高要求。应采取相应措施对电子商务系统的访问权限进行设置并建立安全防务机制。采取验证身份信息等手段以杜绝信息窃取等危险的发生。通过对数据信息文件进行加密并提升防护安全的级别也可以对信息进行有效保护。在保障信息完整性时即通过建立安全机制确保数据信息不会被篡改或者盗取。安全机制包括访问限制机制、信息完整性机制及交换鉴别机制等。
4.1无权限访问控制机制
访问控制指的是根据已确定好的过滤规则来判定决定访问者是否拥有对于服务器的访问权限。访问控制可确保未无授权权限的访问者或以未经授权的方式对数据、服务器以及通信系统等资源进行非法的修改、破坏与运行恶意代码。
4.2数据单元的完整性机制
数据的完整性指的是数据单元的完整性与其序列的完整性。为确保数据的完整性，通常使用如下方式：发送者会在某个数据单元中加上一个经过加密的类似分组校验、密码校验函数等数据自身函数的标记。接收者拥有对应的加密标记，在受到数据后可将对应的加密标记跟接收数据中的标记进行比对，便可以保证数据在传输时的完整性。数据单元的序列完整性指的是确定数据的时间标记的正确性与数据的编号连续性，这样可确保无权限者不会对数据进行创建、删除、修改等非法操作。如果发生这类对数据的非法修改等恶意操作，会对经济产生巨大的冲击。
4.3信息交换鉴别机制
交换鉴别指的是通过进行信息交换的方法来确保实体身份有效合法的机制。进行信息交换鉴别时，通常用到的技术有以下几种：①口令：发送方设置口令，然后由接收方进行校验。②数据加密：对将要进行交换的数据进行加密处理，只有拥有权限的用户方可进行解密，从而得到正确的明文数据。通常实际中，数据加密往往与以下两种技术混合使用：双方、三方“握手”或是时间标记。③经公证机构认可的数字签名：数字签名指的是通过实体的法律所有权与生理特征进行实体身份的鉴别，实际中一般使用指纹识别与身份信息卡等。
4.4随机数据发送机制
随机数据发送指的是保密装置会网络中无信息传输的任务时，无目的性的发出随机的数据序列。这样可以迷惑非法的监听者，使其无法得知监听到的数据序列中是否存在有用信息。此种方式一般用来阻止非法的监听者在传输时对数据序列进行监听、流量流向分析等。
4.5路由器选择机制
实际中的大型网络中往往从源节点到目标节点之间会存在很多线路，这其中就存在各条线路安全与否的问题。路由器选择机制可以为发送方提供选择安全路由的选项，为数据的安全提供保障。
5结束语
关键词:移动电子商务IEEE802.11WAPWPKI
随着无线通信技术的发展,移动电子商务已经成为电子商务研究热点。移动电子商务是将现代信息科学技术和传统商务活动相结合,随时随地为用户提供各种个性化的、定制的在线动态商务服务。
但在无线世界里,人们对于进行商务活动安全性的考虑比在有线环境中要多。只有当所有的用户确信,通过无线方式所进行的交易不会发生欺诈或篡改、进行的交易受到法律的承认和隐私信息被适当的保护时,移动电子商务才有可能蓬勃开展。
移动电子商务通信安全的现状
由于无线通讯接入方式非常灵活,所以其对安全的要求更高。实际上,主要的无线通信技术都有各自的措施、协议和方法来保证各自体制下的通信安全。这里我们将从无线网络和电子商务应用两个方面作简要讨论。
无线局域网
无线局域网络是以无线连接至局域网络的通讯方式。它采用的是IEEE802.11系列标准。在该标准中,无线局域网的安全机制采用的是WEP协议(有线对等安全协议)。在数据链路用WEP加密数据,保证了信道上传送数据的安全。另外,无线局域网的网络管理员分配给每个授权用户一个基于WEP算法的密钥,这样就有效阻止了非授权用户的访问。
WAP(无线应用协议)技术
WAP由一系列协议组成,用来标准化无线通信设备,例如:移动电话、移动终端;它负责将Internet和移动通信网连接到一起,客观上已成为移动终端上网的标准。WAP协议可以广泛地运用于GSM、CDMA、TDMA、3G等多种网络。
WAP的安全机制是通过WTLS(无线传输层安全)协议来实现的。WTLS协议类似于互联网传输层安全协议。在无线技术的有限的发送功率、存储容量及带宽的条件下,WTLS能够实现鉴定,保证数据的完整性和提供保密服务的目标。
数字认证技术
对诸如移动电子商务和有重要使命的合作通信等活动,其安全性的一个关键方面是能否对信息发送者的身份进行论证,通常都要利用有线安全的公开密钥基本构架(PKI)。
PKI提供与加密和数字证书有关的一系列技术。但在无线通信环境中,PKI是很难实现的。在只有有限计算能力和低数据流通率的设备上实现PKI中的服务一直是一个有挑战性的难题。同时在PKI的基础上,要将无线设备与有线设备之间进行互通也是有难度的。因此无线PKI(WPKI)协议是要将标准的PKI进行修正和简化,使其在无线通信的环境下达到最优。
移动电子商务安全分析
IEEE802.11的安全
IEEE802.11标准规定了MAC层的存取控制规范,也定义了加密机制,即上述的WEP。WEP的目的是通过对信息流加密并利用WEP认证节点,使无线通信传输像有线网络一样安全。
WEP加密使用共享密钥和RC4加密算法。访问点(AP)和连接到该访问点的所有工作站必须使用同样的共享密钥。对于往任一方向发送的数据包,传输程序都将数据包的内容与数据包的检验组合在一起。然后,WEP标准要求传输程序创建一个特定于数据包的初始化向量(IV),后者与密钥k相组合在一起,用于对数据包进行加密。接收器生成自己的匹配数据包密钥并用之对数据包进行解密。在理论上,这种方法优于单独使用共享私钥的显式策略,应该使对方更难于破解。
但是,IEEE802.11中用于安全的WEP算法只是提供相当于有线局域网基本安全的安全级别,根本不是一种全面的安全方案。越来越多的安全专家和研究人员发现IEEE802.11存在安全漏洞,有经验的黑客会利用这些漏洞进行攻击。其缺陷主要有:RC4算法本身就有一个小缺陷。WEP标准允许IV重复使用(平均大约每5小时重复一次)。WEP标准不提供自动修改密钥的方法。
最早的WEP实施只提供40位加密,这使得它抗暴力攻击能力差。现代的系统提供128位的WEP,128位的密钥长度减去24位的IV后,实际上有效的密钥长度为104位。尽管如此,128位的WEP版本也不能保证绝对安全。最好的解决办法是把无线网络放在机构防火墙之外,这种防范措施会强制要求将无线连接当作不受信任的连接来看待,就像看待其他任何来自Internet的连接一样。
所以,WEP应该与其他安全机制一起应用才能提供较强的安全。
WAP的安全
WAP规范的安全特性包括几个部分:WTLS协议、用于存储用户证书的WAP身份模块(WIM)和允许WAP交易签名的SignText功能。
WTLS协议:WTLS基于IETF小组的SSL/TLS协议,提供了实体鉴别、数据加密和保护数据完整性的功能,所以可以确保在WAP装置和WAP网关之间的安全通信。有三种不同级别的WTLS:
1级:执行未经证实的Diffie-Hellman密钥交换以建立会话密钥。
2级:使用与SSL/TLS协议相类似的公开密钥证书机制进行服务器端鉴别。
3级:客户端和服务器端采用X.509格式证书相互进行鉴别。
早期WAP装置仅仅采用了第1级别的WTLS,这种级别的安全不够,所以不能用于电子商务。目前,支持第2和第3级别WTLS的移动装置从市场上可以得到,它们可以确保网上银行交易和购物等应用的机密性。
WIM:为了便于客户端的鉴别,新一代的WAP电话提供了WIM。WIM包含了WTLS3级的功能,并嵌入了对公开密钥加密技术的支持(RSA是强制的,而ECC是可选的)。生产厂家为WIM配备了两套公私密钥对(一套用于签名,另一套用于鉴别)和两个厂商的证书。用配置在WIM上的公匙把厂商的证书和厂商名字捆绑在一起。这样,通过WIM和WAP网关建立的所有WTLS会话都将使用相同的公匙用作初始会话。每一个会话都将包括与此密钥对应的一个不同的证书。WIM的基本要求是它们要具有抗篡改的能力。
SignText功能:这个功能为WAP用户提供了数字签名。同电子签名功能一样,这个功能可以被应用于其他无线设备,或者是手持设备,或者是内嵌SIM卡。
WAP的安全分析:由WAP提供的最好的安全是WTLS3级,多数情况下WTLS已足以确保WAP的安全。但是,由于WAP网关在WAP设备和Web服务器之间起着翻译的作用,相应的带来了安全问题:WTLS安全会话建立在手机与WAP网关之间,而与终端服务器无关。这意味着数据只在WAP手机与网关之间加密,网关将数据解密后,利用其他方法将数据再次加密,然后经过TLS连接发送给终端服务器。由于WAP网关可以看见所有的数据明文,而该WAP网关可能并不为服务器所有者所拥有,这样,潜在的第三方可能获得所有的传输数据。
目前,针对上述安全性问题,可以采用这样的措施来提高WAP的安全性:尽力确保WAP网关的安全。如果WAP网关位于WAP服务供应商范围之内,可以通过诸如在内存中对加密和解密过程进行最优化以减少数据明文存在的时间、在释放前覆盖加密解密进程使用的内存以确保数据的安全性。对于安全要求较高的公司可以拥有自己的WAP网关,从而保障数据端到端的安全性。通过WIM实现数据安全性。
WPKI技术
在有线通信中,电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题,但在应用PKI的同时要考虑到移动通信环境的特点,并据此对PKI技术进行改进。
WPKI技术满足移动电子商务安全的要求:即保密性、完整性、真实性、不可抵赖性,消除了用户在交易中的风险。WPKI技术主要包含以下几个方面:
认证机构(CA)CA系统是PKI的信任基础,负责分发和验证数字证书,规定证书的有效期,证书废除列表。
注册机构(RA)RA提供用户和CA之间的一个接口。作为认证机构的校验者,在数字证书分发给请求者之前对证书进行验证。
智能卡智能卡将具有存储、加密及数据处理能力的集成电路芯片镶嵌于塑料基片中,具有体积小、难于破解等特点,在生产过程、访问控制方面有很强的安全保障。很多种需要客户端认证的应用都可以使用智能卡来实现。并且智能卡也是存储移动电子商务密钥及相关数字证书的最佳选择。
加密算法加密算法越复杂,密钥越长则安全性越高,但执行运算所需的时间也越长(或需要计算能力更强的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制,因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的,ECC在这方面具有很大的优势。
综上所述,在WPKI机制下,数字证书非常重要,但是由于无线信道和移动终端的限制,如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以采用以下2种办法解决:WTLS证书,WTLS证书的功能与X.509证书相同,但更小、更简化,利于在资源受限的手持终端中处理。但所有证书必须含有与密钥交换算法相一致的密钥,除非特别指定,签名算法必须与证书中密钥的算法相同:移动证书标识,将标准的一个X.509证书与移动证书标识唯一对应,并且在移动终端中嵌入移动证书标识,用户每次只需要将自己的移动证书标识与签名数据一起提交给对方,对方再根据移动证书标识检索相应的数字证书即可。
目前,大多数移动电子商务采用的安全方式是非PKI的方式,这种方式主要采用对称加密算法和单向散列函数来提供安全服务,其密钥的管理是由移动运营商建立一套主密钥管理系统,为不同的服务提供商分配不同的密钥,每次交易过程中,服务提供商与用户协商产生会话加密密钥。显然,采用这种方式构建的系统的安全性主要取决于主密钥的安全。
尽管非PKI方式对于无线终端有限的处理能力来说尤其适合,而且通过黑名单管理等方法可以使系统的安全得到较好的保障,但是从长远来说,移动电子商务有必要逐步过渡到PKI方式。
移动电子商务随着移动互联网技术的成熟发展迅速,其独特的应用领域使得其安全问题倍受关注。从技术角度上看,一方面无线通信的安全处在不断地发展和完善之中,其应用到移动电子商务中时要与其它的安全机制相结合才能满足实际应用的需要;另一方面有线电子商务的安全技术不能解决移动电子商务的安全问题,所以WPKI技术是一个现实的选择。因此,将这两方面进行改进并进行有机整合,才能营造一个安全的移动电子商务环境。
参考文献:
1.储节旺,郭春侠.移动电子商务研究[J].现代情报,2002,3(3)
2.姜志,聂志锋.移动电子商务及其关键技术[J].湖北邮电技术,2002,9(3)
