商务安全论文范文

时间:2023-09-17 22:24:52

商务安全论文

商务安全论文篇1

随着信息技术在贸易和商业领域的广泛应用,利用计算机技术、网络通信技术和因特网实现商务活动的国际化、信息化和无纸化,已成为各国商务发展的一大趋势。电子商务正是为了适应这种以全球为市场的的变化而出现的和发展起来的,它是当今社会发展最快的领域之一,同时也为全球的经济发展带来新的增长点。电子商务正在改变着人们的生活以及整个社会的发展进程,贸易网络将引起人们对管理模式、工作和生活方式,乃至经营管理思维方式等等的综合革新。对贸易和商业领域来说,电子商务的发展正在改变着传统的贸易方式,缩减交易程序,提高办事效率。现在,许多网站都提供有“商城”,供网民在网上购物。可以说,电子商务应用将越来越普及。然而,随着Internet逐渐发展成为电子商务的最佳载体,互联网具有充分开放,不设防护的特点使加强电子商务的安全问题日益紧迫,只有在全球范围建立一套人们能充分信任的安全保障制度,确保信息的真实性、可靠性和保密性,才能够打消人们的顾虑,放心的参与电子商务。否则,电子商务的发展将失去其支撑点。

要加强电子商务的安全,需要企业本身采取更为严格的管理措施,需要国家建立健全法律制度,更需要有科学的先进的安全技术。

在电子商务的交易中,经济信息、资金都要通过网络传输,交易双方的身份也需要认证,因此,电子商务的安全性主要是网络平台的安全和交易信息的安全。而网络平台的安全是指网络操作系统对抗网络攻击、病毒,使网络系统连续稳定的运行。常用的保护措施有防火墙技术、网络入侵检测技术、网络防毒技术。交易信息的安全是指保护交易双方的不被破坏、不泄密,和交易双方身份的确认。可以用数据加密、数字签名、数字证书、ssl、set安全协议等技术来保护。

在这里我想重点谈谈防火墙技术和数据加密技术。

一、防火墙技术。

防火墙就是在网络边界上建立相应的网络通信监控系统,用来保障计算机网络的安全,它是一种控制技术,既可以是一种软件产品,又可以制作或嵌入到某种硬件产品中。从逻辑上讲,防火墙是起分隔、限制、分析的作用。实际上,防火墙是加强Intranet(内部网)之间安全防御的一个或一组系统,它由一组硬件设备(包括路由器、服务器)及相应软件构成。所有来自Internet的传输信息或你发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。防火墙是网络安全策略的有机组成部分,它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具有以下五大基本功能:(1)过滤进、出网络的数据;(2)管理进、出网络的访问行为;(3)封堵某些禁止行为;(4)记录通过防火墙的信息内容和活动;(5)对网络攻击进行检测和告警。

新一代的防火墙产品一般运用了以下技术:

(1)透明的访问方式。

以前的防火墙在访问方式上要么要求用户做系统登录,要么需要通过SOCKS等库路径修改客户机的应用。而现在的防火墙利用了透明的系统技术,从而降低了系统登录固有的安全风险和出错概率。

(2)灵活的系统。

系统是一种将信息从防火墙的一侧传送到另一侧的软件模块。采用两种机制:一种用于从内部网络到外部网络的连接;另一种用于从外部网络到内部网络的连接。前者采用网络地址转接(NIT)技术来解决,后者采用非保密的用户定制或保密的系统技术来解决。

(3)多级过滤技术。

为保证系统的安全性和防护水平,防火墙采用了三级过滤措施,并辅以鉴别手段。在分组过滤一级,能过滤掉所有的源路由分组和假冒IP地址;在应用级网关一级,能利用FTP、SMTP等各种网关,控制和监测Internet提供的所有通用服务;在电路网关一级,实现内部主机与外部站点的透胆连接,并对服务的通行实行严格控制。

(4)网络地址转换技术。

防火墙利用NAT技术能透明地对所有内部地址做转换,使得外部网络无法了解内部网络的内部结构,同时允许内部网络使用自己编的IP源地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。

(5)Internet网关技术。

由于是直接串联在网络之中,防火墙必须支持用户在Internet互联的所有服务,同时还要防止与Internet服务有关的安全漏洞,故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。在域名服务方面,新一代防火墙采用两种独立的域名服务器:一种是内部DNS服务器,主要处理内部网络和DNS信息;另一种是外部DNS服务器,专门用于处理机构内部向Internet提供的部分DNS信息。在匿名FTP方面,服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中,只支持静态的网页,而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中,对外部访问,防火墙只提供可由内部用户配置的基本的文本信息,而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理,网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。

(6)安全服务器网络(SSN)。

为了适应越来越多的用户向Internet上提供服务时对服务器的需要,新一代防火墙采用分别保护的策略对用户上网的对外服务器实施保护,它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网络的一部分,又与内部网关完全隔离,这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理,也可设置成通过FTP、Telnet等方式从内部网上管理。SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多,因为SSN与外部网之间有防火墙保护,SSN与内部网之间也有防火墙的保护,而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之,一旦SSN受破坏,内部网络仍会处于防火墙的保护之下,而一旦DMZ受到破坏,内部网络便暴露于攻击之下。

(7)用户鉴别与加密。

为了降低防火墙产品在Ielnet、FTP等服务和远程管理上的安全风险,鉴别功能必不可少。新一代防火墙采用一次性使用的口令系统来作为用户的鉴别手段,并实现了对邮件的加密。

(8)用户定制服务。

为了满足特定用户的特定需求,新一代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用TCP、出站UDP、FTP、SMTP等,如果某一用户需要建立一个数据库的,便可以利用这些支持,方便设置。

(9)审计和告警。

新一代防火墙产品采用的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站、FTP、出站、邮件服务器、域名服务器等。告警功能会守住每一个TCP或UDP探寻,并能以发出邮件、声响等多种方式报警。此外,防火墙还在网络诊断、数据备份保全等方面具有特色。

目前的防火墙主要有两种类型。其一是包过滤型防火墙。它一般由路由器实现,故也被称为包过滤路由器。它在网络层对进入和出去内部网络的所有信息进行分析,一般检查数据包的IP源地址、IP目标地址、TCP端口号、ICMP消息类型,并按照信息过滤规则进行筛选,若符合规则,则允许该数据包通过防火墙进入内部网,否则进行报警或通知管理员,并且丢弃该包。这样一来,路由器能根据特定的刿则允许或拒绝流动的数据,如:Telnet服务器在TCP的23号端口监听远程连接,若管理员想阻塞所有进入的Telnet连接,过滤规则只需设为丢弃所有的TCP端口号为23的数据包。采用这种技术的防火墙速度快,实现方便,但由于它是通过IP地址来判断数据包是否允许通过,没有基于用户的认证,而IP地址可以伪造成可信任的外部主机地址,另外它不能提供日志,这样一来就无法发现黑客的攻击纪录。

其二是应用级防火墙。大多数的应用级防火墙产品使用的是应用机制,内置了应用程序,可用服务器作内部网和Internet之间的的转换。若外部网的用户要访问内部网,它只能到达服务器,若符合条件,服务器会到内部网取出所需的信息,转发出去。同样道理,内部网要访问Internet,也要通过服务器的转接,这样能监控内部用户访问Internet.这类防火墙能详细记录所有的访问纪录,但它不允许内部用户直接访问外部,会使速度变慢。且需要对每一个特定的Internet服务安装相应的服务器软件,用户无法使用未被服务器支持的服务。

防火墙技术从其功能上来分,还可以分为FTP防火墙、Telnet防火墙、Email防火墙、病毒防火墙等等。通常几种防火墙技术被一起使用,以弥补各自的缺陷和增加系统的安全性能。

防火墙虽然能对外部网络的功击实施有效的防护,但对来自内部网络的功击却无能为力。网络安全单靠防火墙是不够的,还需考虑其它技术和非技术的因素,如信息加密技术、制订法规、提高网络管理使用人员的安全意识等。就防火墙本身来看,包过滤技术和访问模式等都有一定的局限性,因此人们正在寻找更有效的防火墙,如加密路由器、“身份证”、安全内核等。但实践证明,防火墙仍然是网络安全中最成熟的一种技术。

二、数据加密技术

在电子商务中,信息加密技术是其它安全技术的基础,加密技术是指通过使用代码或密码将某些重要信息和数据从一个可以理解的明文形式变换成一种复杂错乱的、不可理解的密文形式(即加密),在线路上传送或在数据库中存储,其他用户再将密文还原成明文(即解密),从而保障信息数据的安全性。

数据加密的方法很多,常用的有两大类。一种是对称加密。一种是非对称密钥加密。对称加密也叫秘密密钥加密。发送方用密钥加密明文,传送给接收方,接收方用同一密钥解密。其特点是加密和解密使用的是同一个密钥。典型的代表是美国国家安全局的DES。它是IBM于1971年开始研制,1977年美国标准局正式颁布其为加密标准,这种方法使用简单,加密解密速度快,适合于大量信息的加密。但存在几个问题:第一,不能保证也无法知道密钥在传输中的安全。若密钥泄漏,黑客可用它解密信息,也可假冒一方做坏事。第二,假设每对交易方用不同的密钥,N对交易方需要N*(N-1)/2个密钥,难于管理。第三,不能鉴别数据的完整性。

非对称密钥加密也叫公开密钥加密。公钥加密法是在对数据加解密时,使用不同的密钥,在通信双方各具有两把密钥,一把公钥和一把密钥。公钥对外界公开,私钥自己保管,用公钥加密的信息,只能用对应的私钥解密,同样地,用私钥解密的数据只能用对应的公钥解密。具体加密传输过程如下:

(1)发送方甲用接收方乙的公钥加密自己的私钥。

(2)发送方家用自己的私钥加密文件,然后将加密后的私钥和文件传输给接收方。

(3)接收方乙用自己的私钥解密,得到甲的私钥。

(4)接收方乙用甲的公钥解密,得到明文。

这个过程包含了两个加密解密过程:密钥的加解密和文件本身的加解密。在密钥的加密过程中,由于发送方甲用乙的公钥加密了自己的私钥,如果文件被窃取,由于只有乙保管自己的私钥,黑客无法解密。这就保证了信息的机密性。另外,发送方甲用自己的私钥加密信息,因为信息是用甲的私钥加密,只有甲保管它,可以认定信息是甲发出的,而且没有甲的私钥不能修改数据。可以保证信息的不可抵赖性。

公开密钥加密典型的代表是RSA算法,它是由Rivest、Shamir、Adleman三人于1977年提出的一个公钥加密算法。但是RSA的加密解密要两次,处理和计算量都比较大,速度慢,所以只适合于少量数据的加密。因此,在当前的加密应用中,经常使用对称密钥来对文本加密和解密,用非对称RSA加密体系对私钥加密和解密。发送方把密文和加密后的私钥一起发送给接收方。使用这种联合加密法,不仅可以确保数据的保密性,而且还可以实现一种名为数字签名的认证机制。发送者私钥加密的数据可以提供对发送者身份的认证,接收者私钥加密的数据可以提供对接收者身份的认证。

商务安全论文篇2

关键词:移动电子商务IEEE802.11WAPWPKI

随着无线通信技术的发展,移动电子商务已经成为电子商务研究热点。移动电子商务是将现代信息科学技术和传统商务活动相结合,随时随地为用户提供各种个性化的、定制的在线动态商务服务。

但在无线世界里,人们对于进行商务活动安全性的考虑比在有线环境中要多。只有当所有的用户确信,通过无线方式所进行的交易不会发生欺诈或篡改、进行的交易受到法律的承认和隐私信息被适当的保护时,移动电子商务才有可能蓬勃开展。

移动电子商务通信安全的现状

由于无线通讯接入方式非常灵活,所以其对安全的要求更高。实际上,主要的无线通信技术都有各自的措施、协议和方法来保证各自体制下的通信安全。这里我们将从无线网络和电子商务应用两个方面作简要讨论。

无线局域网

无线局域网络是以无线连接至局域网络的通讯方式。它采用的是IEEE802.11系列标准。在该标准中,无线局域网的安全机制采用的是WEP协议(有线对等安全协议)。在数据链路用WEP加密数据,保证了信道上传送数据的安全。另外,无线局域网的网络管理员分配给每个授权用户一个基于WEP算法的密钥,这样就有效阻止了非授权用户的访问。

WAP(无线应用协议)技术

WAP由一系列协议组成,用来标准化无线通信设备,例如:移动电话、移动终端;它负责将Internet和移动通信网连接到一起,客观上已成为移动终端上网的标准。WAP协议可以广泛地运用于GSM、CDMA、TDMA、3G等多种网络。

WAP的安全机制是通过WTLS(无线传输层安全)协议来实现的。WTLS协议类似于互联网传输层安全协议。在无线技术的有限的发送功率、存储容量及带宽的条件下,WTLS能够实现鉴定,保证数据的完整性和提供保密服务的目标。

数字认证技术

对诸如移动电子商务和有重要使命的合作通信等活动,其安全性的一个关键方面是能否对信息发送者的身份进行论证,通常都要利用有线安全的公开密钥基本构架(PKI)。

PKI提供与加密和数字证书有关的一系列技术。但在无线通信环境中,PKI是很难实现的。在只有有限计算能力和低数据流通率的设备上实现PKI中的服务一直是一个有挑战性的难题。同时在PKI的基础上,要将无线设备与有线设备之间进行互通也是有难度的。因此无线PKI(WPKI)协议是要将标准的PKI进行修正和简化,使其在无线通信的环境下达到最优。

移动电子商务安全分析

IEEE802.11的安全

IEEE802.11标准规定了MAC层的存取控制规范,也定义了加密机制,即上述的WEP。WEP的目的是通过对信息流加密并利用WEP认证节点,使无线通信传输像有线网络一样安全。

WEP加密使用共享密钥和RC4加密算法。访问点(AP)和连接到该访问点的所有工作站必须使用同样的共享密钥。对于往任一方向发送的数据包,传输程序都将数据包的内容与数据包的检验组合在一起。然后,WEP标准要求传输程序创建一个特定于数据包的初始化向量(IV),后者与密钥k相组合在一起,用于对数据包进行加密。接收器生成自己的匹配数据包密钥并用之对数据包进行解密。在理论上,这种方法优于单独使用共享私钥的显式策略,应该使对方更难于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相当于有线局域网基本安全的安全级别,根本不是一种全面的安全方案。越来越多的安全专家和研究人员发现IEEE802.11存在安全漏洞,有经验的黑客会利用这些漏洞进行攻击。其缺陷主要有:RC4算法本身就有一个小缺陷。WEP标准允许IV重复使用(平均大约每5小时重复一次)。WEP标准不提供自动修改密钥的方法。

最早的WEP实施只提供40位加密,这使得它抗暴力攻击能力差。现代的系统提供128位的WEP,128位的密钥长度减去24位的IV后,实际上有效的密钥长度为104位。尽管如此,128位的WEP版本也不能保证绝对安全。最好的解决办法是把无线网络放在机构防火墙之外,这种防范措施会强制要求将无线连接当作不受信任的连接来看待,就像看待其他任何来自Internet的连接一样。

所以,WEP应该与其他安全机制一起应用才能提供较强的安全。

WAP的安全

WAP规范的安全特性包括几个部分:WTLS协议、用于存储用户证书的WAP身份模块(WIM)和允许WAP交易签名的SignText功能。

WTLS协议:WTLS基于IETF小组的SSL/TLS协议,提供了实体鉴别、数据加密和保护数据完整性的功能,所以可以确保在WAP装置和WAP网关之间的安全通信。有三种不同级别的WTLS:

1级:执行未经证实的Diffie-Hellman密钥交换以建立会话密钥。

2级:使用与SSL/TLS协议相类似的公开密钥证书机制进行服务器端鉴别。

3级:客户端和服务器端采用X.509格式证书相互进行鉴别。

早期WAP装置仅仅采用了第1级别的WTLS,这种级别的安全不够,所以不能用于电子商务。目前,支持第2和第3级别WTLS的移动装置从市场上可以得到,它们可以确保网上银行交易和购物等应用的机密性。

WIM:为了便于客户端的鉴别,新一代的WAP电话提供了WIM。WIM包含了WTLS3级的功能,并嵌入了对公开密钥加密技术的支持(RSA是强制的,而ECC是可选的)。生产厂家为WIM配备了两套公私密钥对(一套用于签名,另一套用于鉴别)和两个厂商的证书。用配置在WIM上的公匙把厂商的证书和厂商名字捆绑在一起。这样,通过WIM和WAP网关建立的所有WTLS会话都将使用相同的公匙用作初始会话。每一个会话都将包括与此密钥对应的一个不同的证书。WIM的基本要求是它们要具有抗篡改的能力。

SignText功能:这个功能为WAP用户提供了数字签名。同电子签名功能一样,这个功能可以被应用于其他无线设备,或者是手持设备,或者是内嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3级,多数情况下WTLS已足以确保WAP的安全。但是,由于WAP网关在WAP设备和Web服务器之间起着翻译的作用,相应的带来了安全问题:WTLS安全会话建立在手机与WAP网关之间,而与终端服务器无关。这意味着数据只在WAP手机与网关之间加密,网关将数据解密后,利用其他方法将数据再次加密,然后经过TLS连接发送给终端服务器。由于WAP网关可以看见所有的数据明文,而该WAP网关可能并不为服务器所有者所拥有,这样,潜在的第三方可能获得所有的传输数据。

目前,针对上述安全性问题,可以采用这样的措施来提高WAP的安全性:尽力确保WAP网关的安全。如果WAP网关位于WAP服务供应商范围之内,可以通过诸如在内存中对加密和解密过程进行最优化以减少数据明文存在的时间、在释放前覆盖加密解密进程使用的内存以确保数据的安全性。对于安全要求较高的公司可以拥有自己的WAP网关,从而保障数据端到端的安全性。通过WIM实现数据安全性。

WPKI技术

在有线通信中,电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题,但在应用PKI的同时要考虑到移动通信环境的特点,并据此对PKI技术进行改进。

WPKI技术满足移动电子商务安全的要求:即保密性、完整性、真实性、不可抵赖性,消除了用户在交易中的风险。WPKI技术主要包含以下几个方面:

认证机构(CA)CA系统是PKI的信任基础,负责分发和验证数字证书,规定证书的有效期,证书废除列表。

注册机构(RA)RA提供用户和CA之间的一个接口。作为认证机构的校验者,在数字证书分发给请求者之前对证书进行验证。

智能卡智能卡将具有存储、加密及数据处理能力的集成电路芯片镶嵌于塑料基片中,具有体积小、难于破解等特点,在生产过程、访问控制方面有很强的安全保障。很多种需要客户端认证的应用都可以使用智能卡来实现。并且智能卡也是存储移动电子商务密钥及相关数字证书的最佳选择。

加密算法加密算法越复杂,密钥越长则安全性越高,但执行运算所需的时间也越长(或需要计算能力更强的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制,因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的,ECC在这方面具有很大的优势。

综上所述,在WPKI机制下,数字证书非常重要,但是由于无线信道和移动终端的限制,如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以采用以下2种办法解决:WTLS证书,WTLS证书的功能与X.509证书相同,但更小、更简化,利于在资源受限的手持终端中处理。但所有证书必须含有与密钥交换算法相一致的密钥,除非特别指定,签名算法必须与证书中密钥的算法相同:移动证书标识,将标准的一个X.509证书与移动证书标识唯一对应,并且在移动终端中嵌入移动证书标识,用户每次只需要将自己的移动证书标识与签名数据一起提交给对方,对方再根据移动证书标识检索相应的数字证书即可。

目前,大多数移动电子商务采用的安全方式是非PKI的方式,这种方式主要采用对称加密算法和单向散列函数来提供安全服务,其密钥的管理是由移动运营商建立一套主密钥管理系统,为不同的服务提供商分配不同的密钥,每次交易过程中,服务提供商与用户协商产生会话加密密钥。显然,采用这种方式构建的系统的安全性主要取决于主密钥的安全。

尽管非PKI方式对于无线终端有限的处理能力来说尤其适合,而且通过黑名单管理等方法可以使系统的安全得到较好的保障,但是从长远来说,移动电子商务有必要逐步过渡到PKI方式。

移动电子商务随着移动互联网技术的成熟发展迅速,其独特的应用领域使得其安全问题倍受关注。从技术角度上看,一方面无线通信的安全处在不断地发展和完善之中,其应用到移动电子商务中时要与其它的安全机制相结合才能满足实际应用的需要;另一方面有线电子商务的安全技术不能解决移动电子商务的安全问题,所以WPKI技术是一个现实的选择。因此,将这两方面进行改进并进行有机整合,才能营造一个安全的移动电子商务环境。

参考文献:

1.储节旺,郭春侠.移动电子商务研究[J].现代情报,2002,3(3)

2.姜志,聂志锋.移动电子商务及其关键技术[J].湖北邮电技术,2002,9(3)

3.陆佩忠,平湖.无线电子商务安全性的几个关键技术[J].中国科学院研究生院学报,2002,9(3)

商务安全论文篇3

关键词:电子商务;网络;安全技术

近年来,计算机网络与信息技术的迅速发展,带动了电子商务行业的推广。电子商务活动触伸到生活的各个领域,例如虚拟企业、虚拟银行、网上购物、网络营销、网络支付以及网络广告等一些新的业务正在被人们所熟悉和认同。电子商务改变了传统商务的运作模式,作为一种全新的商业应用模式,极大地提高了工作效率,同时降低了交易成本。但是,由于互联网的开放性和天然的脆弱性,网络安全问题成为制约着电子商务发展的瓶颈。所以,搭建一个安全可靠的商务平台,成为电子商务发展的关键问题。

一、电子商务面临的安全问题

电子商务活动中有大量的数据需要传输与存储,数据传输依靠互联网技术,而互联网是一个天然脆弱和不安全的网络,数据容易丢失和被截获。而数据的存储主要依靠数据库技术,数据库也是非法分子常常入侵和破坏的对象。所以网络通信安全与数据库安全,是电子商务长期面临的的主要问题。

1.数据库安全。企业在电子商务活动中产生的大量数据是他们进行不间断经营的重要支撑,产品数据资料、客户关系管理都涉及到庞大的数据群。采用流行的关系型数据库进行数据存储与管理,是电子商务企业必要的选择。但是网络黑客从未间断过对企业数据库的攻击,一旦他们窃取到企业数据库的访问权、管理权,就可以获得他们想要的数据,甚至篡改或删除这些对企业来说至关重要的数据。

2.网络通信安全。数据传输过程中容易丢失、损坏或被黑客篡改、窃取,所以首先要保证通信线路的安全可靠性,采用性能稳定的设备和较为强大的软件来保证传输稳定性。其次为了防止黑客攻击,例如木马、病毒等程序,要再传输过程中使用数据加密及数字签名等技术保障数据的安全性。

二、电子商务安全策略

1.虚拟专用网(VPN)

由于TCP/IP协议的不安全性,对电子商务安全无有效的认证机制,真实性难有保证;缺乏保密机制,网上数据隐私性不能得到保护;不能提供对网上数据流的完整性保护等问题。因此,在电子商务中通常采用VPN技术,通过加密和验证网络流量来保护在公共网络上传输私有信息,而不会被窃取或篡改。对于用户来说,就象使用他们自己的私有网络一样。

2.加密(Encryption)技术

加密技术是电子商务采取的主要安全保密措施,是最常用的安全保密手段,利用技术手段把重要的数据变为乱码(加密)传送,到达目的地后再用相同或不同的手段还原(解密)。加密技术包括两个元素:算法和密钥。算法是将普通的文本(或者可以理解的信息)与一窜数字(密钥)的结合,产生不可理解的密文的步骤,密钥是用来对数据进行编码和解码的一种算法。在安全保密中,可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地,对数据加密的技术分为两类,即对称加密(私人密钥加密)和非对称加密(公开密钥加密)。对称加密以数据加密标准(DES,DataEncryptionStandard)算法为典型代表,非对称加密通常以RSA(RivestShamirAd1eman)算法为代表。对称加密的加密密钥和解密密钥相同,而非对称加密的加密密钥和解密密钥不同,加密密钥可以公开而解密密钥需要保密。

3.数字信封技术

数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息,再利用接收方的公钥加密对称密码,被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时,必须先用自己的私钥解密数字信封,得到对称密码,再利用对称密码解密所得到的信息,这样就保证了数据传输的真实性和完整性。:

4.认证技术

CA认证中心。它为电子商务环境中各个实体颁发数字证书,以证明各实体身份的真实性,并负责在交易中检验和管理证书。它是电子商务及网上银行操作中,具有权威性、可信赖性及公正性的第三方机构。如中国金融认证中心(CFCA)。

有关的认证技术包括数字签名与数字证书。数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对数字签名进行解密,获得哈希摘要。并将收到的原始数据产生的哈希摘要与获得的哈希摘要相对照,便可确信原始信息是否被篡改,这样就保证了数据传输的不可否认性。数字证书是各类实体(持卡人/个人、商户/企业、网关/银行等)在网上进行信息交流及商务活动的身份证明,在电子交易的各个环节,交易的各方都需验证对方证书的有效性,从而解决相互间的信任问题。证书是一个经证书认证中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

5.防火墙技术

防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口,能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流,且本身具有较强的抗攻击能力。它是提供信息安全服务,实现网络和信息安全的基础设施。在逻辑上,防火墙是一个分离器、一个限制器,也是一个分析器,有效地监控了内部网和Internet之间的任何活动,保证了内部网络的安全。

三、结束语

信息安全是电子商务生存和发展的关键要素,随着科技信息技术的不断发展,电子商务平台的安全性和管理策略将不断改进和完善。电子商务活动的安全开展,单是从技术角度防范是远远不够的,还必须通过完善电子商务法律和政策来正确引导和促进我国电子商务的快速健康发展。我国电子商务处于初级普及阶段,需要政府加强对电子商务的研究,建立和规范电子商务的法律框架,促使电子商务实现公开化,合理化、合法化。而企业也必须对其内部所有员工进行信息安全意识教育,充分理解信息安全对企业开展电子商务活动的重要性,还必须通过专业人员对网站进行安全分析、风险评估。在运行效率分析的基础上,制定出完整、严谨的安全解决方案。并针对电子商务活动中存在的不安全因素采取适当的防范措施,例如硬件的电源故障可以通过设置不间断电源来解决,软件漏洞问题可通过针对性的设置加以弥补。随着新技术的发明和应用,电子商务中存在的通信安全问题与数据存储安全问题都将得到解决。在网络中没有绝对的安全只有相对的安全,只要企业始终采用新技术,并积极防御最新的网络威胁和攻击,电子商务带给企业的好处必将大大超越它所带来的风险。

参考文献:

[1]司志刚,濮小金.电子商务导论.中国水利水电出版社,2005.

[2]王明刚,白文宇.浅议发展电子商务的法律环境.经济师.2008年第八期

商务安全论文篇4

关键词:计算机安全技术;在电子商务中的应用

1计算机安全技术

计算机安全技术既计算机信息系统安全技术,是指为防止外部破坏、攻击及信息窃取,以保证计算机系统正常运行的防护技术。下面我就从计算机安全技术的研究领域、包括方面两个角度出发来进行探讨。

1.1计算机安全技术主要有两个研究领域

一是计算机防泄漏技术。即通过无线电技术对计算机进行屏蔽、滤波、接地,以达到防泄漏作用。

二是计算机信息系统安全技术。即通过加强安全管理,改进、改造系统的安全配置等方法,以防御由于利用计算机网络服务、系统配置、操作系统及系统源代码等安全隐患而对计算机信息系统进行的攻击,使计算机信息系统安全运行。

1.2计算机安全技术包括方面

计算机的安全技术包括两个方面:个人计算机的安全技术,计算机网络的安全技术。

1.2.1个人计算机的安全技术

个人计算机的安全技术是影响到使用个人电脑的每个用户的大事。它包括硬件安全技术、操作系统安全技术、应用软件安全技术、防病毒技术。在这里我们主要讨论硬件安全技术和操作系统安全技术。

硬件安全技术是指外界强电磁对电脑的干扰、电脑在工作时对外界辐射的电磁影响,电脑电源对电网电压的波动的反应、CPU以及主板的电压和电流适应范围、串并口时热拔插的保护、机箱内绝缘措施、显示器屏幕对周围电磁干扰的反应和存储介质的失效等等。目前,这种单机的硬件保护问题在技术上相对简单一点,一般来说,凡是严格按照IS9001标准进行采购、生产、管理、销售的企业都可以保证上述安全问题能有相应的解决措施。

操作系统安全技术是指目前常用的PC操作系统的安全问题,包括DOS、WINDOWS的安全问题。由于WIN—DOWS系统在日常生活中被大多数人所熟知,这里我们就以WINDOWS系统为例来分析操作系统的安全技术。

WINDOWS系统在安全技术方面采取了软件加密和病毒防治两种手段来保证操作系统的安全。软件加密由三个部分组成:反跟踪、指纹识别、目标程序加/解密变换。三个部分相互配合,反跟踪的目的是保护指纹识别和解密算法。指纹识别判定软件的合法性,而加/解密变换则是避免暴露目标程序。病毒防治原理是由于Windows的文件系统依赖于DOS,所以扩充现有的基于DOS的病毒防治软件。使之能够识别Windows可执行文件格式(NE格式),是一种行之有效的方法,在病毒的检测、清除方面则需要分析Win—dows病毒的传染方式和特征标识,扩充现有的查毒、杀毒软件。

1.2.2计算机网络的安全技术

计算机安全特别是计算机网络安全技术越来越成为能够谋取较高经济效益并具有良好市场发展前景的高新技术及产业。自从计算机网络暴露出安全脆弱问题且受到攻击后,人们就一直在研究计算机网络安全技术,以求把安全漏洞和风险降低到力所能及的限度,因此出现了一批安全技术和产品。

(1)安全内核技术。

人们开始在操作系统的层次上考虑安全性。尝试把系统内核中可能引起安全问题的部分从内核中剔出去。使系统更安全。如So-laris操作系统把静态的口令放在一个隐含文件中,使系统更安全。

(2)Kerberos系统的鉴别技术。

它的安全机制在于首先对发出请求的用户进行身份验证,确认其是否是合法的用户。如是合法用户,再审核该用户是否有权对他所请求的服务或主机进行访问。Kerberos系统在分布式计算机环境中得到了广泛的应用,其特点是:安全性高、明性高、扩展性好。

(3)防火墙技术。

防火墙即在被保护网络和因特网之间,或在其他网络之间限制访问的一种部件或一系列部件。

防火墙技术是目前计算机网络中备受关注的安全技术。在目前的防火墙产品的设计与开发中,安全内核、系统、多级过滤、安全服务器和鉴别与加密是其关键所在。防火墙技术主要有数据包过滤、服务器、SOCKS协议、网络反病毒技术等方面组成,共同完成防火墙的功能效应。

2其在电子商务中的应用

随着网络技术和信息技术的飞速发展

,电子商务得到了越来越广泛的应用,但电子商务是以计算机网络为基础载体的,大量重要的身份信息、会计信息、交易信息都需要在网上进行传递,在这样的情况下,电子商务的安全性是影响其成败的一个关键因素。

2.1电子商务含义

电子商务是利用计算机技术、网络技术和远程通信技术实现整个商务过程中的电子化、数字化和网络化。人们不再是面对面的、看着实实在在的货物、靠纸介质单据进行买卖交易,而是通过网络,通过网上琳琅满目的商品信息、完善的物流配送系统和方便安全的资金结算系统进行交易。

整个交易的过程可以分为三个阶段:第一个阶段是信息交流阶段;第二阶段是签定商品合同阶段;第三阶段是按照合同进行商品交接、资金结算阶段。

2.2电子商务安全隐患

2.2.1截获传输信息

攻击者可能通过公共电话网、互联网或在电磁波辐射范围内安装接收装置等方式。截取机密信息;或通过对信息长度、流量、流向和通信频度等参数进行分析。获得如用户账号、密码等有用信息。

2.2.2伪造电子邮件

虚开网上商店。给用户发电子邮件,伪造大量用户的电子邮件,穷尽商家资源,使合法用户不能访问网络。使有严格时间要求的服务不能及时得到响应。

2.2.3否认已有交易

者事后否认曾发送过某条信息或内容,接收者事后否认曾收到过某条信息或内容;购买者不承认下过订货单;商家不承认卖出过次品等。

2.3电子商务交易中的一些计算机安全安全技术

针对以上问题现在广泛采用了身份识别技术数据加密技术、数字签名技术和放火墙技术。

2.3.1身份识别技术

通过电子网络开展电子商务。身份识别问题是一个必须解决的同题。一方面,只有合法用户才可以使用网络资源,所以网络资源管理要求识别用户的身份;另一方面,传统的交易方式,交易双方可以面对面地谈判交涉。很容易识别对方的身份。通过电子网络交易方式。交易双方不见面,并且通过普通的电子传输信息很难确认对方的身份,因此,电子商务中的身份识别问题显得尤为突出。

2.3.2数据加密技术

加密技术是电子商务中采取的主要安全措施。目前。加密技术分为两类,即对称加密/对称密钥加密/专用密钥加密和非对称加密/公开密钥加密。现在许多机构运用PKI的缩写,即公开密钥体系技术实施构建完整的加密/签名体系,更有效地解决上述难题,在充分利用互联网实现资源共享的前提下,从真正意义上确保了网上交易与信息传递的安全。

2.3.3智能化防火墙技术

商务安全论文篇5

关键词:电子商务;网络银行;私有密钥加密法;公开密钥加密法

对数据进行有效加密与解密,称为密码技术,即数据机密性技术。其目的是为了隐蔽数据信息,将明文伪装成密文,使机密性数据在网络上安全地传递而不被非法用户截取和破译。伪装明文的操作称为加密,合法接收者将密文恢复出原明文的过程称为解密,非法接收者将密文恢复出原明文的过程称为破译。密码是明文和加密密钥相结合,然后经过加密算法运算的结果。加密包括两个元素,加密算法和密钥。加密时所使用的信息变换规则称为加密算法,是用来加密的数学函数,一个加密算法是将普通的文本(或者可以理解的信息)与一串字符串即密钥结合运算,产生不可理解的密文的步骤。密钥是借助一种数学算法生成的,它通常是由数字、字母或特殊符号组成的一组随机字符串,是控制明文和密文变换的唯一关键参数。对于相同的加密算法,密钥的位数越多,破译的难度就越大,安全性就越好。目前,电子商务通信中常用的有私有(对称)密钥加密法和公开(非对称)密钥加密法。

一、私有密钥加密法

(一)定义

私有密钥加密,指在计算机网络上甲、乙两用户之间进行通信时,发送方甲为了保护要传输的明文信息不被第三方窃取,采用密钥A对信息进行加密而形成密文M并发送给接收方乙,接收方乙用同样的一把密钥A对收到的密文M进行解密,得到明文信息,从而完成密文通信目的的方法。这种信息加密传输方式,就称为私有密钥加密法。上述加密法的一个最大特点是,信息发送方与信息接收方均需采用同样的密钥,具有对称性,所以私有密钥加密又称为对称密钥加密。

(二)使用过程

具体到电子商务,很多环节要用到私有密钥加密法。例如,在两个商务实体或两个银行之间进行资金的支付结算时,涉及大量的资金流信息的传输与交换。这里以发送方甲银行与接收方乙银行的一次资金信息传输为例,来描述应用私有密钥加密法的过程:银行甲借助专业私有密钥加密算法生成私有密钥A,并且复制一份密钥A借助一个安全可靠通道(如采用数字信封)秘密传递给银行乙;银行甲在本地利用密钥A把信息明文加密成信息密文;银行甲把信息密文借助网络通道传输给银行乙;银行乙接受信息密文;银行乙在本地利用一样的密钥A把信息密文解密成信息明文。这样银行乙就知道银行甲的资金转账通知单的内容,结束通信。

(三)常用算法

世界上一些专业组织机构研发了许多种私有密钥加密算法,比较著名的有DES算法及其各种变形、国际数据加密算法IDEA等。DES算法由美国国家标准局提出,1977年公布实施,是目前广泛采用的私有密钥加密算法之一,主要应用于银行业中的电子资金转账、军事定点通信等领域,比如电子支票的加密传送。经过20多年的使用,已经发现DES很多不足之处,随着计算机技术进步,对DES的破解方法也日趋有效,所以更安全的高级加密标准AES将会替代DES成为新一代加密标准。

(四)优缺点

私有密钥加密法的主要优点是运算量小,加解密速度快,由于加解密应用同一把密钥而应用简单。在专用网络中由于通信各方相对固定、所以应用效果较好。但是,私有密钥加密技术也存在着以下一些问题:一是分发不易。由于算法公开,其安全性完全依赖于对私有密钥的保护。因此,密钥使用一段时间后就要更换,而且必须使用与传递加密文件不同的途径来传递密钥,即需要一个传递私有密钥的安全秘密渠道,这样秘密渠道的安全性是相对的,通过电话通知、邮寄软盘、专门派人传送等方式均存在一些问题。二是管理复杂,代价高昂。私有密钥密码体制用于公众通信网时,每对通信对象的密钥不同,必须由不被第三者知道的方式,事先通知对方。随着通信对象的增加,公众通信网上的密码使用者必须保存所有通信对象的大量的密钥。这种大量密钥的分配和保存,是私有密钥密码体制存在的最大问题。三是难以进行用户身份的认定。采用私有密钥加密法实现信息传输,只是解决了数据的机密性问题,并不能认证信息发送者的身份。若密钥被泄露,如被非法获取者猜出,则加密信息就可能被破译,攻击者还可用非法截取到的密钥,以合法身份发送伪造信息。在电子商务中,有可能存在欺骗,别有用心者可能冒用别人的名义发送资金转账指令。因此,必须经常更换密钥,以确保系统安全。四是采用私有密钥加密法的系统比较脆弱,较易遭到不同密码分析的攻击。五是它仅能用于对数据进行加解密处理,提供数据的机密性,不能用于数字签名。

二、公开密钥加密法

(一)定义与应用原理

公开密钥加密法是针对私有密钥加密法的缺陷而提出来的。是电子商务应用的核心密码技术。所谓公开密钥加密,就是指在计算机网络上甲、乙两用户之间进行通信时,发送方甲为了保护要传输的明文信息不被第三方窃取,采用密钥A对信息进行加密而形成密文M并发送给接收方乙,接收方乙用另一把密钥B对收到的密文M进行解密,得到明文信息完密文通信目的的方法。由于密钥A、密钥B这两把密钥中其中一把为用户私有,另一把对网络上的大众用户是公开的,所以这种信息加密传输方式,就称为公开密钥加密法。与私有(对称)密钥加密法的加密和解密用同一把密钥的原理不同,公开密钥加密法的加密与解密所用密钥是不同的,不对称,所以公开私有密钥加密法又称为非对称密钥加密法。

公开密钥加密法的应用原理是:借助密钥生成程序生产密钥A与密钥B,这两把密钥在数学上相关,对称作密钥对。用密钥对其中任何一个密钥加密时,可以用另一个密钥解密,而且只能用此密钥对其中的另一个密钥解密。在实际应用中,某商家可以把生成的密钥A与密钥B做一个约定,将其中一把密钥如密钥A保存好,只有商家自己知道并使用,不与别人共享,叫作私人密钥;将另一把密钥即密钥B则通过网络公开散发出去,谁都可以获取一把并能应用,属于公开的共享密钥,叫做公开密钥。如果一个人选择并公布了他的公钥,其他任何人都可以用这一公钥来加密传送给那个人的消息。私钥是秘密保存的,只有私钥的所有者才能利用私钥对密文进行解密,而且非法用户几乎不可能从公钥推导出私钥。存在下面两种应用情况:一是任何一个收到商家密钥B的客户,都可以用此密钥B加密信息,发送给这个商家,那么这些加密信息就只能被这个商家的私人密钥A解密。实现保密性。二是商家利用自己的私人密钥A对要发送的信息进行加密进成密文信息,发送给商业合作伙伴,那么这个加密信息就只能被公开密钥B解密。这样,由于只能应用公开密钥B解密,根据数学相关关系可以断定密文的形成一定是运用了私人密钥A进行加密的结果,而私人密钥A只有商家拥有,由此可以断定网上收到的密文一定是拥有私人密钥A的商家发送的。

(二)使用过程

具体到电子商务,很多环节要用到公开密钥加密法,例如在网络银行客户与银行进行资金的支付结算操作时,就涉及大量的资金流信息的安全传输与交换。以客户甲与乙网络银行的资金信息传输为例,来描述应用公开密钥加密法在两种情况下的使用过程。首先,网络银行乙通过公开密钥加密法的密钥生成程序,生成自己的私人密钥A与公开密钥B并数学相关,私人密钥A由网络银行乙自己独自保存,而公开密钥B已经通过网络某种应用形式(如数字证书)分发给网络银行的众多客户,当然客户甲也拥有一把网络银行乙的公开密钥B。

1、客户甲传送一“支付通知”给网络银行乙,要求“支付通知”在传送中是密文,并且只能由网络银行乙解密知晓,从而实现了定点保密通信。客户甲利用获得的公开密钥B在本地对“支付通知”明文进行加密,形成“支付通知”密文,通过网络将密文传输给网络银行乙。网络银行乙收到“支付通知”密文后,发现只能用自己的私人密钥A进行解密形成“支付通知”明文,断定只有自己知晓“支付通知”的内容,的确是发给自己的。

2、网络银行乙在按照收到的“支付通知”指令完成支付转账服务后,必须回送客户甲“支付确认”,客户甲在收到“支付确认”后,断定只能是网络银行乙发来的,而不是别人假冒的,将来可作支付凭证,从而实现对网络银行业务行为的认证,网络银行不能随意否认或抵赖。网络用户乙在按照客户甲的要求完成相关资金转账后,准备一个“支付确认”明文,在本地利用自己的私人密钥A对“支付确认”明文进行加密,形成“支付确认”密文,通过网络将密文传输给客户甲。客户甲收到“支付确认”密文后,虽然自己有许多密钥,有自己的,也有别人的,却发现只能用获得的网络银行乙的公开密钥B进行解密,形成“支付确认”明文,由于公开密钥B只能解密由私人密钥A加密的密文,而私人密钥A只有网络银行乙所有,因此客户甲断定这个“支付确认”只能是网络银行乙发来的,不是别人假冒的,可作支付完成的凭证。

(三)算法

当前最著名、应用最广泛的公开密钥系统是RSA(取自三个创始人的名字的第一个字母)算法。目前电子商务中大多数使用公开密钥加密法进行加解密和数字签名的产品和标准使用的都是RSA算法。RSA算法是基于大数的因子分解,而大数的因子分解是数学上的一个难题,其难度随数的位数加多而提高。

(四)优缺点

优点是可以在不安全的媒体上通信双方交换信息,不需共享通用密钥,用于解密的私钥不需发往任何地方,公钥在传递与过程中即使被截获,由于没有与公钥相匹配的私钥,截获公钥也没有意义。

能够解决信息的否认与抵赖问题,身份认证较为方便。密钥分配简单,公开密钥可以像电话号码一样,告诉每一个网络成员,商业伙伴需要好好保管的只是一个私人密钥。而且密钥的保存量比起私人密钥加密少得多,管理较为方便。最大的缺陷就在于它的加解密速度。超级秘书网

三、两种加密法的比较

通过DES算法和RSA算法的比较说明公开密钥加密法和私有密钥加密法的区别:在加密、解密的处理效率方面,DES算法明显优于RSA算法,即DES算法快得多;在密钥的分发与管理方面,RSA算法比DES算法更加优越;在安全性方面,只要密钥够长,如112b密钥的DES算法和1024b的RSA算法的安全性就很好,目前还没找到在可预见的时间内破译它们的有效方法;在签名和认证方面,DES算法从原理上不可能实现数字签名和身份认证,但RSA算法能够方便容易的进行数字签名和身份认证。

基于以上比较的结果可以看出,私有密钥加密法与公开密钥加密法各有长短,公开密钥加密在签名认证方面功能强大,而私有密钥加密在加/解密速度方面具有很大优势。为了充分发挥对称加密法和非对称加密法各自的优点,在实际应用中通常将这两种加密法结合在一起使用,比如:利用DES来加密信息,而采用RSA来传递对称加密体制中的密钥。这样不仅数据信息的加解密速度快,同时保障了密钥传递的安全性。数据加密技术是信息安全的基本技术,在网络中使用的越来越广泛。针对不同的业务要求可以设计或采取不同的加密技术及实现方式。另外还要注意的是,数据加密技术所讨论的安全性只是暂时的,因此还要投入对密码技术新机制、新理论的研究才能满足不断增长的信息安全需求。

参考文献:

[1]丁学君.电子商务中的信息安全问题及其对策[J].计算机安全,2009,(2).

[2]余绍军,彭银香.电子商务安全与数据加密技术浅析[J].中国管理信息化(综合版),2007,(04).

[3]王俊杰.电子商务安全问题及其应对策略[J].特区经济,2007,(07).

[4]秦昌友.浅析电子商务的安全技术[J].苏南科技开发,2007,(08).

[5]吴德佩,赵丹.电子商务的安全问题及技术手段[J].光盘技术,2007,(05).

商务安全论文篇6

关键词:电子商务安全解决之策

一移动电子商务存在的安全问题分析

移动电子商务由于利用了很多新兴的设备和技术,因此带来了很多新的安全问题。在传统电子商务中,很多顾客和企业由于担心因安全问题蒙受损失而一直对这种高效便捷的商务方式持观望态度。而移动电子商务除包含大部分传统电子商务所面临的各种安全问题外,由于自身的移动性所带来的一些相关特性又产生了大量全新的安全问题。总的来说,移动电子商务的安全面临着技术、管理和法律几个方面的挑战,与传统电子商务相比,其安全问题更加复杂,解决起来难度更大。

1.无线窃听

传统的有线网络是利用通信电缆作为传播介质,这些介质大部分处于地下等一些比较安全的场所,因此中间的传输区域相对是受控制的。而在无线通信网络中,所有的通信内容(如移动用户的通话信息、身份信息、位置信息、数据信息等)都是通过无线信道传送的,无线信道是一个开放性信道,是利用无线电波进行传播的,在无线网络中的信号很容易受到拦截并被解码,只要具有适当的无线接收设备就可以很容易实现无线监听,而且很难被发现。

2.非授权访问数据

非授权访问是指未经授权的主体获得了访问网络资源的机会,并有可能篡改信息资源。攻击者能在服务网内窃听、非授权访问用户的敏感数据。这种访问通常是通过在不安全信道上截取正在传输的信息或者利用技术及产品中固有的弱点来实现。

3.假冒攻击

在无线通信网络中,移动站必须通过无线信道传送其身份信息,以便于网络控制中心以及其他移动站能够正确鉴别它的身份。由于无线信道传送的任何信息都可能被窃听,当攻击者截获到一个合法用户的身份信息时,他就可以利用这个身份信息来假冒该合法用户,这就是所谓的身份假冒攻击。另外,主动攻击者还可以假冒网络控制中心。如在移动通信网络中,主动攻击者可能假冒网络基站来欺骗移动用户,以此手段获得移动用户的身份信息,从而假冒该移动用户身份。

4.移动终端的安全管理问题

很多用户容易将比较机密的个人资料或商业信息存储在移动设备当中,如PIN码、银行帐号甚至密码等,原因是这些移动设备可以随身携带,数据和信息便于查找。但是由于移动设备体积较小,而且没有建筑、门锁和看管保证的物理边界安全,因此很容易丢失和被窃。很多用户对他们的移动设备没有设置密码保护,对存储信息没有备份,在这种情况下丢失数据或被他人恶意盗用,都将会造成很大的损失。

二电子商务安全管理的解决之策

1.身份认证技术

信息安全的一个重要方面是保证通信双方身份的真实性,即防止攻击者对系统进行主动攻击,如假冒用户等。身份认证是防止攻击者主动攻击的一个重要技术,它对于开放环境别是无线通信中各种信息的安全有重要作用。认证的主要目的,第一验证消息发送者和接收者的真伪,第二验证消息的完整性,验证消息在传送或存储过程中是否被篡改、重放或延迟等。口令是最简单的身份认证技术,安全性较差,因此有一次性口令等多种技术来提高它的安全性。利用密码技术,特别是公钥密码技术可以获得安全性较高的身份认证功能。保密和认证是信息系统安全的两个重要方面,它们是两个不同属性的问题,一般来说,认证不能自动提供保密,保密不能自然地提供认证功能。

2.WPKI技术

在有线通信中,电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题,但在应用PKI的同时要考虑到移动通信环境的特点,并据此对PKI技术进行改进。

3.安全管理模型的建立及实施

对移动电子商务系统的管理过程是一个动态的管理过程,是一个循环反复、螺旋上升的过程,论文尝试建立一个“闭环”管理模型,将安全管理的各个阶段融入于模型之中,然后不断连续审查整个过程,发现问题时及时更新,及时解决,以便形成越来越完善的安全系统。

制定一套完整的安全方案一套完整的安全方案是实现移动电子商务系统安全的有力保障,移动服务提供商应结合自己实际状况,从人力、物力、财力等各方面做好部署与配置。由于

安全方案涉及到了安全理论、安全产品、网络技术、系统技术实现等多方面专业技能,并且要求有较高的认知能力,因此可以聘请专业安全顾问公司来完成,大多安全顾问公司在做安全方案方面有着丰富的经验,能够制定出符合需要的合理的安全方案来。

4.制定并贯彻安全管理制度

在对系统安全方案和系统安全处理的同时,还必须制定出一套完整的安全管理制度,如外来人员网络访问制度、服务器机房出入管理制度、管理员网络维护管理制度等等。以此来约束普通用户等网络访问者,督促管理员很好地完成自身的工作,增强大家的网络安全意识,防止因粗心大意或不贯彻制度而导致安全事故。尤其要注意制度的监督贯彻执行,否则就形同虚设。

5.严格的用户鉴权

商务安全论文篇7

关键词: 第三方支付平台;制度;金融法规制 内容提要: 第三方支付平台是网络购物交易快速发展过程中产生的新事物,不仅关系到每笔交易的成败,而且关系到大量资金的安全和一定范围的社会稳定。在具体的网络购物买卖双方与第三者支付平台之间的法律关系,可以利用关系进行解释。而在宏观层面,需要对第三方支付平台的运营及资金风险进行控制,包括利用金融法等法律规范在准入资质、资金支付、保障机制、监督管理方面进行规定,以保障网络交易支付的稳定可靠。 按照中国互联网络信息中心(CNNIC)2010年7月15日在北京的《第26次中国互联网络发展状况统计报告》显示,截至2010年6月底,我国网民规模达4.2亿人,其中网络购物使用率为33.8%,用户规模达到1.42亿。互联网购物的发达不仅改变了面对面的传统交易模式,从而提供了更为便捷的交易方法,而且带动了电子支付、物流传送等行业的发展或转型,带来了社会、经济及法律方面的新变化。 然而,在网上购物给网民带来便利的同时,基于网络的虚拟性、隐蔽性等特点,加上新生行业制度规范方面的不健全,欺诈、泄露客户资料等侵犯消费者利益的问题也随之出现。这其中,网络支付方式带来的资金安全问题所关巨甚,应当引起各方的高度关注。从微观层面而言,网络支付事关网络交易的履行问题,不仅可能产生相关合同违约责任等法律责任问题,而且会存在侵犯个体消费者权利的情形;从宏观层面而言,网络支付关系到金融市场准入资质、业务管理、风险监控等金融法律问题,如若处理不当可能引发金融风险乃至影响一定范围内的社会稳定。这其中,第三方支付平台作为一种网络交易支付方式的中介,其法律风险问题相对较为突出。因此,在互联网及网络购物行业高速发展的同时,加强对网络支付特别是第三方支付平台的法制建设,是当前的一项紧迫任务。 一、应运而生的第三方支付平台实践 第三方支付平台是针对网络交易特点应运而生的。传统面对面的交易模式中,支付方法主要为两种:第一种是“一手交钱、一手交货”的同时交易方式,交易双方都同时履行自身的合同义务,从而在很大程度上避免交易价款的风险问题。第二种是基于当事人约定而先后履行交货及支付价款义务的异时交易模式。这种方式拓宽了交易的具体条件,从而给交易当事人更多自由选择与意思自治的空间。事实上,上述两种交易的价款支付方式都是当事人通过在真实生活中的协商确定的,古今中外关于交易的主要法律制度——合同法也都是遵循上述基本模型规定了相应价款的支付方式。 然而在网络购物中,上述的传统交易模式及价款支付方式都发生了革命性变化。虽然网络交易的结果仍然联系着实际生活中的货物交付和价款支付问题,但由于交易过程是通过虚拟网络进行的,因此当事人之间可能从不见面、互不相识,使得交易当事人主体身份隐蔽性更强。在此情况下,一方面网络交易难以实现实际交易中的“一手交钱一手交货”的方式;另一方面在资金与货物时空上分离的情况下,任何一方当事人都不愿意先履行自己的合同义务,以避免自己上当受骗。如此,交易中货物交付与价金支付履行时间先后无法达成合意,则网络交易就无法达成。 为解决上述网络交易货物交付与资金支付时空分离后的信任难题,第三方支付平台应运而生。其运作原理在于:由于货物与资金时空分离,网络交易的卖家不愿意先交付货物,以防止买家不支付价款;同样道理,网络交易的买家也不愿意先履行义务,以免支付价款后无法收到货物或者收到货物不符合约定。原先买卖双方各自不履行合同义务需要承担的违约责任,在网络交易条件下由于交易主体的隐蔽性使得在现实中追究该责任费时费力甚至无法实现。在交易双方陷入囚徒困境之时,设计第三方支付平台制度创造性地在买卖双方之间提供相应信用补充,从而使得达成相关交易成为可能:首先由买方先将价款资金打入独立第三方帐户,并由第三方平台通知卖方发货;买方收到货物后验收完毕,通知第三方将帐户上的货款支付给卖方,从而完成交易;买方收到货物后发现卖方违约,可以拒绝通知第三方进行付款,从而形成对出卖方的制约及买受方的保护。 二、第三方支付平台的法律关系 在网络购物双方通过第三方交易平台完成交易过程中,由于第三方介入辅助完成价款支付,因此原来纯粹属于买卖合同内容的价款支付制度发生了新变化。与第三方支付平台相关的法律关系,可运用关系来进行大致描述: 首先,从卖方与第三方支付平台之间的法律关系看,其应当属于有偿委 托合同关系,即网络商品或服务经营者委托第三方支付平台代为收取价款,同时第三方支付平台向其收取一定比例费用的法律关系。通过第三方支付平台的参与,卖方增加其交易信用,使得其与消费者之间的网络交易成为可能;此外,通过长期交易过程中买方对卖方信用的评价积累,第三方支付平台为卖方信用提供有效的证明。通常认为,卖方与第三方支付平台之间的法律关系相对清楚,问题不大。但是现实中卖方可能是个体的网络经营者,而第三方支付平台通常是具有较强实力的服务提供商,甚至可能是相关服务领域中具有支配地位的经营者,因此两者在现实中的实力对比悬殊。由此,第三方支付平台可能利用其优势地位,实施对卖方拖延转付货款、恶意进行信用评价调整等不利行为,这些是需要法律进行救济的一方面。其次,从买方与第三方支付平台之间的法律关系观察,其应当属于第三人与受托方之间的法律关系。第三方支付平台接受卖方委托代为收取货款,等待买方确认支付的命令后向卖方转移价款。在此状态下,买方已经将资金通过电子支付命令形式转移给第三方支付平台,而第三方支付平台需要等待买方确认收货的指令后再向卖方转移资金。 这个过程中的资金归属问题至关重要:一种观点认为,为保护买方消费者的利益,应当仿照证券公司模式,在第三方交易平台中为每个买方设立单独交易账户,并且确定买方帐户上的资金为买方所有;另一种观点认为第三方支付平台类似于商业银行,资金进入到该支付平台后所有权已经转移,买方与支付平台之间形成债权请求之间的关系。目前比较流行的观点支持采用第一种观点,其基本理由为有利于消费者保护。笔者认为,采用第二种模式才更具有理论上的解释力:第一,按照货币所有权“占有即为所有”的基本规则,货币所有权与占有不可分离。电子支付当中买方将货款支付指令下达后,相应资金数据进入支付平台帐户,其所有权也应当发生转移。第二,如果确定资金仍然处于买方所有权下,则卖方仍然担心买方在收到货物后会不支付货款,则会发生交易难以达成的情形。第三,即使是证券公司也仍然存在公司挪用客户资金等情形,而在电子交易中保护消费者并不足以成为支持资金所有权仍处于买方控制观点的理由,而关键的问题是进行适当的监管。更何况,目前大量网络交易金额不大,完全要求支付平台为每一个买方构建单独帐户在成本方面也不经济。综上,笔者认为,应当确认买方通过电子指令将资金划给支付平台后,资金所有权即归属于支付平台,这既是符合法学原理的解释,也是平衡买卖双方在交易信用之后得到的结论。当然,在买方将资金所有权已经转移而未接受相应货物或者服务之时,加强对第三方支付平台的法律监管,当是重点的工作。 最后,将网络交易的买卖双方与第三方支付平台关系界定为是一种法律技术处理,但其与纯粹的仍有区别。例如,民事中要求人为被人利益进行计算,忠于被人;而第三方支付平台在交易过程中应公平对待买卖双方,不得袒护卖方,从而使买方对完成交易增强信心。 三、对第三方支付平台的金融法规制 在分析单个网络交易中第三方支付平台所涉法律关系之后,从宏观上观察此问题,将导出对其进行金融法规制的结果。积沙成塔,集腋成裘,当多比网络交易价金汇集在第三方支付平台之时,如何保障资金安全,将成为影响社会稳定的因素。 第三方支付平台金融法规制的第一个问题,是其地位合法性的论证。按照我国《商业银行法》的规定,禁止任何个人或者机构“非法吸收公众存款、变相吸收公众存款”。而第三方支付平台在接受买方支付价金之后,到接到买方确认信息而向卖方支付价金之前,会有较多资金滞留在其帐户当中;如果第三方支付平台有意拖延向卖方支付价金的时间,将会积聚更多的资金风险。如此,针对第三方支付平台涉及吸收公众资金、进行交易结算等银行业务的情况,有人认为应当否认其合法地位,而由商业银行或者其他专门金融机构来负责为网络交易提供信用、进行结算。然而笔者认为,第三方支付平台是应网络交易蓬勃发展之运而新生的事物,其合理性是充足的;如果将网络交易的信用提供与资金结算交由金融机构处理,一方面无疑会增加金融机构巨大的工作量,另一方面也不能保证现有金融机构就一定能比进行良好规范的第三方支付平台更有效地避免相应风险。因此,问题的关键并非是否认第三方支付平台的合法地位,而是应当加强对其监管,以防范资金风险。 如果承认第三方支付平台的地位及业务合法性,则对其进行金融法规制的第二个问题就将涉及到市场准入的问题。目前我国法律缺乏对网络交易第三方支付平台准入制度的规定,这是肯定会产 生问题的。因为如果不对进入资质条件进行审核而任由各种组织随意从事支付中介业务,则必然会产生因运营不善而倒闭的情形,会影响网络交易的发展。因此,鉴于第三方支付平台事关网络交易发展、涉及资金安全等问题,对其准入资质进行明确法律规定是必要的。在准入资质中应当包括如下主要事项:第一,需要有必要的资金支持,一方面保障支付平台的正常运营,另一方面也作为对其吸收网络交易价金的担保;第二,需要有必要的人员及设备条件,这其中既需要具有网络维护知识的技术人员,也需要有相应的硬件设备条件;第三,需要具备合理的组织机构及管理制度,包括建立资金收付的业务规程、风险控制制度等。当然,由于第三方支付平台中的资金不涉及运营获利的情形,因此在风险控制方面并不如银行等金融机构那样要求严格,最为重要的是防止买方打入资金被挪用的情况出现。 对第三方支付平台法律规制的第三个问题,是保障运营中资金安全的问题。这一方面需要严格限制资金用于支付业务,而不允许第三方支付平台挪用其从交易买方获得的资金;另一方面可以考虑建立其他相应的保障制度。在限定资金挪用于其他事务方面,应当建立较为严格的控制机制,对第三方支付平台的大额支付行为进行监控,确保该大额支付具有真实的交易基础;同时对支付平台向其主要股东、实际控制人或者其他关联方帐户转移资金的情形进行监控,以便于及时发现异常交易情形。在建立其他保障制度方面,可以考虑从网络交易支付的获利中扣除一定比例资金来设立保障基金,以应对个别支付平台出现的危机或在支付平台退出后提供对买方的补充性救济。只有事先建立一定的救济机制,才能保障第三方支付平台退出机制的有效建立,以便进一步保障第三方支付平台的健康有序运营。 最后,在涉及监管部门的分工中,有观点认为应当由银监会和工信部协同监管,理由是第三方支付平台事关资金安全和网络购物产业发展。笔者认为两部门协同监管必然产生协调成本,从而影响效率。而按照我国目前的机构设置,由银监会负责将会更有效率。当然,在涉及相关事务的情况下,可以由银监会牵头会同其他部门共同制定规范性文件予以规定,如在电子支付指令、网络信心保密等方面的具体规定。 注释: CNNIC《第26次中国互联网络发展状况统计报告》,http://www.china.com.cn/economic/txt/2010-07/15/content_20504220.htm,2010年7月18日查询。 国家工商总局2010年出台《网络商品交易及有关服务行为管理暂行办法》,推行网络商品及服务经营者实行实名登记的新政。但即使实名登记的情况下,网络交易相比现实交易仍有较高的隐蔽性。

商务安全论文篇8

关键词:电子商务信息安全数据加密数字签名

一、引言

随着信息技术和计算机网络的迅猛发展,基于Internet的电子商务也随之而生,并在近年来获得了巨大的发展。电子商务作为一种全新的商业应用形式,改变了传统商务的运作模式,极大地提高了商务效率,降低了交易的成本。然而,由于互联网开放性的特点,安全问题也自始至终制约着电子商务的发展。因此,建立一个安全可靠的电子商务应用环境,已经成为影响到电子商务发展的关键性课题。

二、电子商务面临的安全问题

1.信息泄漏。在电子商务中主要表现为商业机密的泄露,包括两个方面:一是交易双方进行交易的内容被第三方窃取;二是交易一方提供给另一方使用的文件被第三方非法使用。

2.信息被篡改。电子的交易信息在网络上传输的过程中,可能被他人非法修改、删除或被多次使用,这样就使信息失去了真实性和完整性。

3.身份识别。身份识别在电子商务中涉及两个方面的问题:一是如果不进行身份识别,第三方就有可能假冒交易一方的身份,破坏交易、败坏被假冒一方的信誉或盗取交易成果;二是不可抵赖性,交易双方对自己的行为应负有一定的责任,信息发送者和接受者都不能对此予以否认。进行身份识别就是防止电子商务活动中的假冒行为和交易被否认的行为。

4.信息破坏。一是网络传输的可靠性,网络的硬件或软件可能会出现问题而导致交易信息丢失与谬误;二是恶意破坏,计算机网络本身遭到一些恶意程序的破坏,例如病毒破坏、黑客入侵等。

三、电子商务的安全要素

1.有效性。电子商务作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对一切潜在的威胁加以控制和预防,以保证贸易数据在确定的时刻和地点是有效的。

2.机密性。电子商务是建立在一个较为开放的网络环境上的,维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。解决数据机密性的一般方法是采用加密手段。

3.完整性。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方的差异。此外,数据传输过程中的丢失、重复或传送的次序差异也会导致贸易各方的不同。因此,要预防对随意生成、修改和删除,同时要防止数据传送过程中的丢失和重复并保证传送次序的统一。

4.不可抵赖性。电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在交易进行时,交易各方必须附带含有自身特征、无法由别人复制的信息,以保证交易后发生纠纷时有所对证。

四、电子商务采用的主要安全技术手段

1.防火墙技术。防火墙就是在网络边界上建立相应的网络通信监控系统,用来保障计算机网络的安全,它是一种控制技术,既可以是一种软件产品,又可以制作或嵌入到某种硬件产品中。所有来自Internet的传输信息或发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。实现防火墙技术的主要途径有:分组过滤和服务。分组过滤:这是一种基于路由器的防火墙。它是在网间的路由器中按网络安全策略设置一张访问表或黑名单,即借助数据分组中的IP地址确定什么类型的信息允许通过防火墙,什么类型的信息不允许通过。防火墙的职责就是根据访问表(或黑名单)对进出路由器的分组进行检查和过滤。这种防火墙简单易行,但不能完全有效地防范非法攻击。目前,80%的防火墙都是采用这种技术。服务:是一种基于服务的防火墙,它的安全性高,增加了身份认证与审计跟踪功能,但速度较慢。所谓审计跟踪是对网络系统资源的使用情况提供一个完备的记录,以便对网络进行完全监督和控制。通过不断收集与积累有关出入网络的完全事件记录,并有选择地对其中的一些进行审计跟踪,发现可能的非法行为并提供有力的证据,然后以秘密的方式向网上的防火墙发出有关信息如黑名单等。防火墙虽然能对外部网络的功击实施有效的防护,但对网络内部信息传输的安全却无能为力,实现电子商务的安全还需要一些保障动态安全的技术。

2.数据加密技术。在电子商务中,数据加密技术是其他安全技术的基础,也是最主要的安全措施,贸易方可根据需要在信息交换的阶段使用。目前,加密技术分为两类,即对称加密和非对称加密。

(1)对称加密。对称加密又称为私钥加密。发送方用密钥加密明文,传送给接收方,接收方用同一密钥解密。其特点是加密和解密使用的是同一个密钥。使用对称加密方法将简化加密的处理,每个贸易方都不必彼此研究和交换专用的加密算法,而是采用相同的加密算法并只交换共享的专用密钥。比较著名的对称加密算法是:美国国家标准局提出的DES(DataEncryptionStandard,数据加密标准)。对称加密方式存在的一个问题是无法鉴别贸易发起方或贸易最终方。因为贸易双方共享同一把专用密钥,贸易双方的任何信息都是通过这把密钥加密后传送给对方的。

(2)非对称加密。非对称加密又称为公钥加密。公钥加密法是在对数据加解密时,使用不同的密钥,通信双方各具有两把密钥,即一把公钥和一把密钥。公钥对外界公开,私钥自己保管,用公钥加密的信息,只能用对应的私钥解密。同样地,用私钥加密的数据只能用对应的公钥解密。RSA(即Rivest,ShamirAdleman)算法是非对称加密领域内最为著名的算法。贸易方利用该方案实现机密信息交换的基本过程是:贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开,得到该公开密钥的贸易方乙使用该密钥对机密信息进行加密后再发送给贸易方甲;贸易方甲再用自己保存的另一把私有密钥对加密后的信息进行解密。贸易方甲只能用其私有密钥解密由其公开密钥加密后的任何信息。为了充分发挥对称和非对称加密体制各自的优点,在实际应用中通常将这两种加密体制结合在一起使用,比如:利用DES来加密信息,而采用RSA来传递对称加密体制中的密钥。

3.数字签名技术。仅有加密技术还不足以保证商务信息传递的安全,在确保信息完整性方面,数字签名技术占据着不可替代的位置。目前数字签名的应用主要有数字摘要、数字签名和数字时间戳技术。

(1)数字摘要。数字摘要是对一条原始信息进行单向哈希(Hash)函数变换运算得到的一个长度一定的摘要信息。该摘要与原始信息一一对应,即不同的原始信息必然得到一个不同的摘要。若信息的完整性遭到破坏,信息就无法通过原始摘要信息的验证,成为无效信息,信息接收者便可以选择不再信任该信息。

(2)数字签名。数字签名实际上是运用公私钥加密技术使信息具有不可抵赖性,其具体过程为:文件的发送方从文件中生成一个数字摘要,用自己的私钥对这个数字摘要进行加密,从而形成数字签名。这个被加密的数字签名文件作为附件和原始文件一起发送给接收者。接收方收到信息后就用发送方的公开密钥对摘要进行解密,如果解出了正确的摘要,即该摘要可以确认原始文件没有被更改过。那么说明这个信息确实为发送者发出的。于是实现了对原始文件的鉴别和不可抵赖性。

(3)数字时间戳。数字时间戳技术或DTS是对数字文件或交易信息进行日期签署的一项第三方服务。本质上数字时间戳技术与数字签名技术如出一辙。加盖数字时间戳后的信息不能进行伪造、篡改和抵赖,并为信息提供了可靠的时间信息以备查用。

五、小结

本文分析了目前电子商务领域所使用的安全技术:防火墙技术,数据加密技术,数字签名技术,以及安全协议,指出了它们使用范围及其优缺点。但必须强调说明的是,电子商务的安全运行,仅从技术角度防范是远远不够的,还必须完善电子商务立法,以规范飞速发展的电子商务现实中存在的各类问题,从而引导和促进我国电子商务快速健康发展。

参考文献:

[1]谢红燕:电子商务的安全问题及对策研究[J].哈尔滨商业大学学报(自然科学版),2007,(3):350-358

[2]彭禹皓兰波晓玲:电子商务的安全性探讨[J].集团经济研究,2007,(232):216-217

[3]余绍军:电子商务安全与数据加密技术浅析[J].中国管理信息化,2007

上一篇:商贸系统论文范文 下一篇:环境侵权范文