电子商务安全技术浅析

【摘要】电子商务是通过电信网络进行电子支付来得到信息产品或递送实物产品的承诺。相对于传统商务模式来说,电子商务具有高效、便携、低成本等特点。伴随着通信技术与计算机网络技术的飞速发展,电子商务的发展空前繁荣,受到全球范围的广泛关注,给人类生活带来了巨大的影响。电子商务所依赖的Internet具有虚拟性、动态性、高度开放性等特点,使电子商务面临众多的威胁与安全隐患,严重制约其进一步发展和应用。因此,安全问题成为电子商务发展的主要障碍和关键,电子商务安全技术也成为各界关注、研究的热点。

【关键词】电子商务安全技术

【中图分类号】F713.36【文献标识码】A【文章编号】1006-9682(2010)02-0192-02

一、安全问题

目前电子商务所面临的安全问题主要包括以下几个方面。

1.窃取信息

数据信息在未采用加密措施情况下,以明文形式在网络上传送,攻击者在传输信道上对数据进行非法截获、监听,获取通信中的敏感信息,造成网上传输信息泄漏。即使数据经过加密,但若加密强度不够,攻击者也可通过密码破译得到信息内容,造成信息泄漏。

2.篡改信息

攻击者在掌握了信息格式和规律后,采用各种手段对截取的信息进行篡改,破坏商业信息的真实性和完整性。

3.身份仿冒

攻击者运用非法手段用合法用户身份信息,利用仿冒的身份与他人交易,获取非法利益,从而破坏交易的可靠性。

4.抵 赖

某些用户对发出或收到的信息进行恶意否认,以逃避应承担的责任。

5.病 毒

网络化,特别是Internet的发展,大大加速了病毒的传播,同时病毒的破坏性越来越大,严重威胁着电子商务的发展。

6.其他安全威胁

电子商务的安全威胁种类繁多,有故意的也有偶然的,存在于各种潜在方面。例如:业务流分析,操作人员的不慎重所导致的信息泄漏,媒体废弃物所导致的信息泄漏等都对电子商务的安全性构成不同程度的威胁。

二、安全要求

从电子商务的安全要素出发分析电子商务的安全性问题,主要包括以下几个方面:

1.有效性

有效性是开展电子商务的前提,要求对网络故障,操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定时刻、确定地点是有效的。

2.机密性

电子商务是建立在一个较为开放的网络环境上(尤其Internet具有更大的开放性),维护商业机密是电子商务全面推广应用的重要保障,必须预防非法的信息存取和信息在传输中被非法窃取。

3.完整性

保持贸易各方信息的完整性是电子商务应用的基础,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重要并保证信息传送次序的统一。

4.可靠性\不可抵赖性\可鉴别性

如何确定要进行交易的贸易方正是进行交易所期望的贸易方,这一问题是保证电子商务顺利进行的关键。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。

5.审查能力

根据机密性和完整性的要求,应对数据审核的结果进行记录。

三、安全技术

1.加密技术

数据加密技术作为一项基本技术,是电子商务的基石,是电子商务最基本的信息安全防范措施。其实质是对信息进行重新编码,从而达到隐藏信息内容、使非法用户无法获取真实信息的一种技术手段,确保数据的保密性。

2.认证技术

认证是防止主动攻击的重要性,对于开放环境中各种信息系统的安全性有重要作用。认证的主要技术是:第一,验证信息的发送者是真的,而不是冒充的,此为实体认证;第二,验证信息的完整性,此为信息认证。

(1)数字摘要

数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码,这一串摘要亦称为数字指纹(Finger Print),有固定的长度,不同消息其摘要不同,相同消息其摘要相同。因此,摘要成为消息的“指纹”以验证消息是否“真身”,消息摘要解决了信息的完整性问题。

(2)数字签名

数字签名是实现认证的重要工具。所谓数字签名就是附加在信息单元的一些数据,或者对信息单元所作的密码变换,这种数据或密码变换允许信息接受者确认信息的来源和信息的完整性并保护数据防止被人伪造。其实现方式是把信息摘要和公开密钥算法结合起来。发送方从报文文本中生成数字摘要并用自己的私有密钥对摘要进行加密,形成发送方的数字签名,然后将数字签名作为报文的附加和报文一起发送给接收方;接收方首先从接收到的原始报文中计算出数字摘要,接着再用发送方的公开密钥来对报文附加的数字签名进行解密。若两个摘要相同,则接收方能确认该数字签名的发送方的。

(3)数字证书与CA

数字签名中最麻烦的问题是接收方往往无法确认自己得到的公钥确实是发送方的,因此必须要公钥与拥有者做紧密结合才可防止假冒与欺骗发生,数字证书系统是使用最广泛的解决方法。数字证书是由CA(Certificate Authority)发放的,利用电子手段来证实一个用户的身份及用户网络资源的访问权限。包括用户的姓名、公共密钥、公共密钥的有限期、颁发数字证书的CA、数字证书的序列号以及用户本人的数字签名。它是电子商务交易双方身份确定的惟一安全工具。

认证中心CA是承担网上安全交易认证服务,能签发数字证书,并能确认用户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。

(4)电子商务的安全协议

目前电子商务中有许多种安全体制可以保证电子商务的安全性,其中SSL和SET是电子商务安全中两个最重要的协议。

(5)SSL安全协议

SSL(Secure Sockets Layer)安全协议最初由Netscape Communication公司设计开放,又称“安全套层协议”,是指通信双方在通信前约定使用的一种协议方法,该双方能够在双方计算机之间建立一个秘密信道,凡是一些不希望被他人知道的机密数据都可以通过公开的通道传输,不用担心数据会被别人偷窃。SSL安全协议能够对TCP/IP以上的网络应用协议数据流加密。SSL协议只负责端到端的安全连接,只保证信息传输过程中不被窃取、篡改,但不提供其他安全保证,因而SSL实质上仅仅提供对浏览器和服务器的鉴别,不能细化到对商家和客户的身份认证,这个缺陷会导致交易的假冒欺诈行为出现,又由于SSL协议早已嵌入Web浏览器和服务器,使用方便,因此对进行电子商务交易的广大用户而言,SSL使用非常方便,这是其优点。

(6)SET安全协议

SET(Secure Electronic Transaction)协议也称为“安全电子交易”,由MasterCard、Visa、IBM以及微软等公司开发,是为了在互联网上进行在线交易时保证信用卡支付的安全而设立的一个开放的规范。SET协议提供了强大的验证功能,凡与交易有关的各方必须持有合法证书机构发放的有效证书,SET不仅具有加密机制,更重要的是通过数字签名、数字信封等实现身份鉴别和不可否认性,最大限度地降低了电子商务交易可能遭受的欺诈风险。但是由于SET是基于信用卡进行电子商务交易的,因此中间环节增加了CA与银行、用户与银行之间的认证,从而提高了软硬件的环境要求,也增加了交易成本。

四、结束语

随着电子商务的不断发展,电子商务手段将更加多样化,安全问题变得更加和突出,安全是电子商务的核心和灵魂,在发展电子商务的道路上,最受重视并使其放慢速度的也正是安全问题。目前,电子商务也有许多新技术的提出,但尚未能形成一个有效的、安全的电子商务安全系统,这需要加大力度来研究和发展信息安全保密技术。电子商务的发展促使人民对安全技术不断探索研究和开发应用,以建立一个安全的商务环境。

参考文献

1 许统邦、宁亚萍.网络时代的个性化服务[J].华南理工大学学报(社会科学版),2001.3(1)

2 中国消费类电子商务现状分析.生活时报,2001.5.2

3理查德.A.斯皮内洛.世纪道德――信息技术的伦理方面(刘刚译).北京:中央编译出版社,1999