2005年第11期(總第85期)
--------------------------------------------------------------------------------
彭銀香，白貞武
（湖南經濟管理幹部學院，湖南 長沙 410004）
摘 要電子商務在改變人們的商務模式的同時，安全問題也成為人們日益關註的重點。文章分析了電子商務應用中所存在的問題，並從計算機網絡安全、商務交易安全出發，提出了電子商務應采取的主要安全措施。
關鍵詞電子商務；網絡安全；交易安全；加密；認證；協議
中圖分類號 TP393 文獻標識碼 A 文章編號 1008-1151(2005)11-0162-02
收稿日期2005-08-05
作者簡介彭銀香（1972—），女，湖南邵陽人，湖南經濟管理幹部學院講師，研究方向：網絡安全，電子商務。
隨著Internet的發展，電子商務已經逐漸成為人們進行商務活動的新模式。相對於傳統商務模式，電子商務具有便捷、高效的特點與優點。但目前全球通過電子商務渠道完成的貿易額仍只是同期全球貿易額中的壹小部分。究其原因，電子商務是壹個復雜的系統工程，它的實現還依賴於眾多從社會問題到技術問題的逐步解決與完善。其中，電子商務安全是制約電子商務發展的壹個核心和關鍵問題，電子商務安全技術也成為各界關註和研究的熱點。
壹、電子商務安全問題
保證交易數據的安全是電子商務系統的關鍵。由於Internet本身的開放性，使電子商務系統面臨著各種各樣的安全威脅。目前電子商務主要存在的安全隱患有以下幾個方面：
（1）對合法用戶的身份冒充。攻擊者通過非法手段盜用合法用戶的身份信息，仿冒合法用戶的身份與他人進行交易，從而獲得非法利益。
（2）對信息的竊取。攻擊者在網絡的傳輸信道上，通過物理或邏輯的手段，對數據進行非法的截獲與監聽，從而得到通信中敏感的信息。
（3）對信息的篡改。攻擊者有可能對網絡上的信息進行截獲後篡改其內容，如修改消息次序、時間，註入偽造消息等，從而使信息失去真實性和完整性。
（4）拒絕服務。攻擊者使合法接入的信息、業務或其他資源受阻，例如使壹個業務口被濫用而使其他用戶不能正常工作。
（5）對發出的信息予以否認。某些用戶可能對自己發出的信息進行惡意的否認，以推卸自己應承擔的責任。
（6）非法入侵和病毒攻擊。計算機網絡會經常遭受非法的入侵攻擊以及計算機病毒的破壞。
電子商務的壹個重要技術特征是利用計算機技術來傳輸和處理商業信息。因此，電子商務安全從整體上可分為計算機網絡安全和商務交易安全兩大部分。
二、計算機網絡安全措施
計算機網絡安全的內容包括計算機網絡設備安全、計算機網絡系統安全、數據庫安全等。其特征是針對計算機網絡本身可能存在的安全問題，實施網絡安全增強方案，以保證計算機網絡自身的安全性為目標。
計算機網絡安全措施主要包括保護網絡安全、保護應用服務安全和保護系統安全三個方面，各個方面都要結合考慮安全防護的物理安全、防火墻、信息安全、Web安全、媒體安全等等。
（壹）保護網絡安全。網絡安全是為保護商務各方網絡端系統之間通信過程的安全性。保證機密性、完整性、認證性和訪問控制性是網絡安全的重要因素。保護網絡安全的主要措施如下：
（1）全面規劃網絡平臺的安全策略。
（2）制定網絡安全的管理措施。
（3）使用防火墻。
（4）盡可能記錄網絡上的壹切活動。
（5）註意對網絡設備的物理保護。
（6）檢驗網絡平臺系統的脆弱性。
（7）建立可靠的識別和鑒別機制。
（二）保護應用安全。保護應用安全，主要是針對特定應用（如Web服務器、網絡支付專用軟件系統）所建立的安全防護措施，它獨立於網絡的任何其他安全防護措施。雖然有些防護措施可能是網絡安全業務的壹種替代或重疊，如Web瀏覽器和Web服務器在應用層上對網絡支付結算信息包的加密，都通過IP層加密，但是許多應用還有自己的特定安全要求。
由於電子商務中的應用層對安全的要求最嚴格、最復雜，因此更傾向於在應用層而不是在網絡層采取各種安全措施。
雖然網絡層上的安全仍有其特定地位，但是人們不能完全依靠它來解決電子商務應用的安全性。應用層上的安全業務可以涉及認證、訪問控制、機密性、數據完整性、不可否認性、Web安全性、EDI和網絡支付等應用的安全性。
（三）保護系統安全。保護系統安全，是指從整體電子商務系統或網絡支付系統的角度進行安全防護，它與網絡系統硬件平臺、操作系統、各種應用軟件等互相關聯。涉及網絡支付結算的系統安全包含下述壹些措施：
（1）在安裝的軟件中，如瀏覽器軟件、電子錢包軟件、支付網關軟件等，檢查和確認未知的安全漏洞。
（2）技術與管理相結合，使系統具有最小穿透風險性。如通過諸多認證才允許連通，對所有接入數據必須進行審計，對系統用戶進行嚴格安全管理。
（3）建立詳細的安全審計日誌，以便檢測並跟蹤入侵攻擊等。
三、商務交易安全措施
商務交易安全則緊緊圍繞傳統商務在互聯網絡上應用時產生的各種安全問題，在計算機網絡安全的基礎上，如何保障電子商務過程的順利進行。
各種商務交易安全服務都是通過安全技術來實現的，主要包括加密技術、認證技術和電子商務安全協議等。
（壹）加密技術。加密技術是電子商務采取的基本安全措施，交易雙方可根據需要在信息交換的階段使用。加密技術分為兩類，即對稱加密和非對稱加密。
（1）對稱加密。對稱加密又稱私鑰加密，即信息的發送方和接收方用同壹個密鑰去加密和解密數據。它的最大優勢是加/解密速度快，適合於對大數據量進行加密，但密鑰管理困難。如果進行通信的雙方能夠確保專用密鑰在密鑰交換階段未曾泄露，那麽機密性和報文完整性就可以通過這種加密方法加密機密信息、隨報文壹起發送報文摘要或報文散列值來實現。
（2）非對稱加密。非對稱加密又稱公鑰加密，使用壹對密鑰來分別完成加密和解密操作，其中壹個公開發布（即公鑰），另壹個由用戶自己秘密保存（即私鑰）。信息交換的過程是：甲方生成壹對密鑰並將其中的壹把作為公鑰向其他交易方公開，得到該公鑰的乙方使用該密鑰對信息進行加密後再發送給甲方，甲方再用自己保存的私鑰對加密信息進行解密。
（二）認證技術。認證技術是用電子手段證明發送者和接收者身份及其文件完整性的技術，即確認雙方的身份信息在傳送或存儲過程中未被篡改過。
（1）數字簽名。數字簽名也稱電子簽名，如同出示手寫簽名壹樣，能起到電子文件認證、核準和生效的作用。其實現方式是把散列函數和公開密鑰算法結合起來，發送方從報文文本中生成壹個散列值，並用自己的私鑰對這個散列值進行加密，形成發送方的數字簽名；然後，將這個數字簽名作為報文的附件和報文壹起發送給報文的接收方；報文的接收方首先從接收到的原始報文中計算出散列值，接著再用發送方的公開密鑰來對報文附加的數字簽名進行解密；如果這兩個散列值相同，那麽接收方就能確認該數字簽名是發送方的。數字簽名機制提供了壹種鑒別方法，以解決偽造、抵賴、冒充、篡改等問題。
（2）數字證書。數字證書是壹個經證書授權中心數字簽名的包含公鑰擁有者信息以及公鑰的文件數字證書的最主要構成包括壹個用戶公鑰，加上密鑰所有者的用戶身份標識符，以及被信任的第三方簽名第三方壹般是用戶信任的證書權威機構（CA），如政府部門和金融機構。用戶以安全的方式向公鑰證書權威機構提交他的公鑰並得到證書，然後用戶就可以公開這個證書。任何需要用戶公鑰的人都可以得到此證書，並通過相關的信任簽名來驗證公鑰的有效性。數字證書通過標誌交易各方身份信息的壹系列數據，提供了壹種驗證各自身份的方式，用戶可以用它來識別對方的身份。
（三）電子商務的安全協議。除上文提到的各種安全技術之外，電子商務的運行還有壹套完整的安全協議。目前，比較成熟的協議有SET、SSL等。
（1）安全套接層協議SSL。SSL協議位於傳輸層和應用層之間，由SSL記錄協議、SSL握手協議和SSL警報協議組成的。SSL握手協議被用來在客戶與服務器真正傳輸應用層數據之前建立安全機制。當客戶與服務器第壹次通信時，雙方通過握手協議在版本號、密鑰交換算法、數據加密算法和Hash算法上達成壹致，然後互相驗證對方身份，最後使用協商好的密鑰交換算法產生壹個只有雙方知道的秘密信息，客戶和服務器各自根據此秘密信息產生數據加密算法和Hash算法參數。SSL記錄協議根據SSL握手協議協商的參數，對應用層送來的數據進行加密、壓縮、計算消息鑒別碼MAC，然後經網絡傳輸層發送給對方。SSL警報協議用來在客戶和服務器之間傳遞SSL出錯信息。
（2）安全電子交易協議SET。SET協議用於劃分與界定電子商務活動中消費者、網上商家、交易雙方銀行、信用卡組織之間的權利義務關系，給定交易信息傳送流程標準。SET主要由三個文件組成，分別是SET業務描述、SET程序員指南和SET協議描述。SET協議保證了電子商務系統的機密性、數據的完整性、身份的合法性。
SET協議是專為電子商務系統設計的。它位於應用層，其認證體系十分完善，能實現多方認證。在SET的實現中，消費者帳戶信息對商家來說是保密的。但是SET協議十分復雜，交易數據需進行多次驗證，用到多個密鑰以及多次加密解密。而且在SET協議中除消費者與商家外，還有發卡行、收單行、認證中心、支付網關等其它參與者。
四、結語
計算機網絡安全與商務交易安全實際上是密不可分的，兩者相輔相成，缺壹不可。沒有計算機網絡安全作為基礎，商務交易安全就無從談起。沒有商務交易安全保障，即使計算機網絡本身再安全，仍然無法達到電子商務所特有的安全要求。
隨著電子商務的發展，電子交易手段更加多樣化，安全問題會變得更加重要和突出。電子商務對計算機網絡安全與商務安全的雙重要求，使電子商務安全的復雜程度比大多數計算機網絡更高，因此電子商務安全應作為系統工程，而不是解決方案來實施。
參考文獻
[1]楊德禮，王茜.電子商務的安全體系結構及技術研究[J].計算機工程，2003，29（1）．
[2]樊晉寧.電子商務的安全問題和相應措施[J].科技情報開發與經濟，2004，14（8）．
[3]柯新生.網絡支付與結算[M].電子工業出版社，2004．