電子商務(wù)中的信息安全研究

[摘要] 本文對(duì)電子商務(wù)的信息安全問(wèn)題進(jìn)行探討，分析了信息安全的基本原理并對(duì)信息安全技術(shù)深入研究。

[關(guān)鍵詞] 電子商務(wù) 信息安全 安全技術(shù)

伴隨經(jīng)濟(jì)的迅猛發(fā)展，電子商務(wù)成為當(dāng)今世界商務(wù)活動(dòng)的新模式。要在國(guó)際競(jìng)爭(zhēng)中贏得優(yōu)勢(shì)，必須保證電子商務(wù)中信息交流的安全。

一、電子商務(wù)的信息安全問(wèn)題

電子商務(wù)信息安全問(wèn)題主要有：

1.信息的截獲和竊?。喝绻捎眉用艽胧┎粔颍粽咄ㄟ^(guò)互聯(lián)網(wǎng)、公共電話網(wǎng)在電磁波輻射范圍內(nèi)安裝截獲裝置或在數(shù)據(jù)包通過(guò)網(wǎng)關(guān)和路由器上截獲數(shù)據(jù)，獲取機(jī)密信息或通過(guò)對(duì)信息流量、流向、通信頻度和長(zhǎng)度分析，推測(cè)出有用信息。2.信息的篡改：當(dāng)攻擊者熟悉網(wǎng)絡(luò)信息格式后，通過(guò)技術(shù)手段對(duì)網(wǎng)絡(luò)傳輸信息中途修改并發(fā)往目的地，破壞信息完整性。3.信息假冒：當(dāng)攻擊者掌握網(wǎng)絡(luò)信息數(shù)據(jù)規(guī)律或解密商務(wù)信息后，假冒合法用戶或發(fā)送假冒信息欺騙其他用戶。4.交易抵賴(lài)：交易抵賴(lài)包括多方面，如發(fā)信者事后否認(rèn)曾發(fā)送信息、收信者事后否認(rèn)曾收到消息、購(gòu)買(mǎi)者做了定貨單不承認(rèn)等。

二、信息安全要求

電子商務(wù)的安全是對(duì)交易中涉及的各種信息的可靠性、完整性和可用性保護(hù)。信息安全包括以下幾方面:

1.信息保密性：維護(hù)商業(yè)機(jī)密是電子商務(wù)推廣應(yīng)用的重要保障。由于建立在開(kāi)放網(wǎng)絡(luò)環(huán)境中，要預(yù)防非法信息存取和信息傳輸中被竊現(xiàn)象發(fā)生。2.信息完整性：貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)，影響到交易和經(jīng)營(yíng)策略。要保證網(wǎng)絡(luò)上傳輸?shù)男畔⒉槐淮鄹?，預(yù)防對(duì)信息隨意生成、修改和刪除，防止數(shù)據(jù)傳送中信息的失和重復(fù)并保證信息傳送次序的統(tǒng)一。3.信息有效性：保證信息有效性是開(kāi)展電子商務(wù)前提，關(guān)系到企業(yè)或國(guó)家的經(jīng)濟(jì)利益。對(duì)網(wǎng)絡(luò)故障、應(yīng)用程序錯(cuò)誤、硬件故障及計(jì)算機(jī)病毒的潛在威脅控制和預(yù)防，以保證貿(mào)易數(shù)據(jù)在確定時(shí)刻和地點(diǎn)有效。4.信息可靠性：確定要交易的貿(mào)易方是期望的貿(mào)易方是保證電子商務(wù)順利進(jìn)行的關(guān)鍵。為防止計(jì)算機(jī)失效、程序錯(cuò)誤、系統(tǒng)軟件錯(cuò)誤等威脅，通過(guò)控制與預(yù)防確保系統(tǒng)安全可靠。

三、信息安全技術(shù)

1.防火墻技術(shù)。防火墻在網(wǎng)絡(luò)間建立安全屏障，根據(jù)指定策略對(duì)數(shù)據(jù)過(guò)濾、分析和審計(jì)，并對(duì)各種攻擊提供防范。安全策略有兩條：一是“凡是未被準(zhǔn)許就是禁止”。防火墻先封閉所有信息流，再審查要求通過(guò)信息，符合條件就通過(guò)；二是“凡是未被禁止就是允許”。防火墻先轉(zhuǎn)發(fā)所有信息，然后逐項(xiàng)剔除有害內(nèi)容。

防火墻技術(shù)主要有：(1)包過(guò)濾技術(shù)：在網(wǎng)絡(luò)層根據(jù)系統(tǒng)設(shè)定的安全策略決定是否讓數(shù)據(jù)包通過(guò)，核心是安全策略即過(guò)濾算法設(shè)計(jì)。(2)代理服務(wù)技術(shù)：提供應(yīng)用層服務(wù)控制，起到外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)中間轉(zhuǎn)接作用。代理服務(wù)還用于實(shí)施較強(qiáng)數(shù)據(jù)流監(jiān)控、過(guò)濾、記錄等功能。(3)狀態(tài)監(jiān)控技術(shù)：在網(wǎng)絡(luò)層完成所有必要的包過(guò)濾與網(wǎng)絡(luò)服務(wù)代理防火墻功能。(4)復(fù)合型技術(shù)：把過(guò)濾和代理服務(wù)兩種方法結(jié)合形成新防火墻，所用主機(jī)稱(chēng)為堡壘主機(jī)，提供代理服務(wù)。(5)審計(jì)技術(shù)：通過(guò)對(duì)網(wǎng)絡(luò)上發(fā)生的訪問(wèn)進(jìn)程記錄和產(chǎn)生日志，對(duì)日志統(tǒng)計(jì)分析，對(duì)資源使用情況分析，對(duì)異?，F(xiàn)象跟蹤監(jiān)視。(6)路由器加密技術(shù)：加密路由器對(duì)通過(guò)路由器的信息流加密和壓縮，再通過(guò)外部網(wǎng)絡(luò)傳輸?shù)侥康亩私鈮嚎s和解密。

2.加密技術(shù)。為保證數(shù)據(jù)和交易安全，確認(rèn)交易雙方的真實(shí)身份，電子商務(wù)采用加密技術(shù)。數(shù)據(jù)加密是最可靠的安全保障形式和主動(dòng)安全防范的策略。目前廣泛應(yīng)用的加密技術(shù)有：(1)公共密鑰和私用密鑰:也稱(chēng)RSA編碼法。信息交換的過(guò)程是貿(mào)易方甲生成一對(duì)密鑰并將其中一把作為公開(kāi)密鑰公開(kāi)；得到公開(kāi)密鑰的貿(mào)易方乙對(duì)信息加密后再發(fā)給貿(mào)易方甲：貿(mào)易方甲用另一把專(zhuān)用密鑰對(duì)加密信息解密。具有數(shù)字憑證身份人員的公共密鑰在網(wǎng)上查到或請(qǐng)對(duì)方發(fā)信息將公共密鑰傳給對(duì)方，保證傳輸信息的保密和安全。(2)數(shù)字摘要:也稱(chēng)安全Hash編碼法。將需加密的明文“摘要”成一串密文亦稱(chēng)數(shù)字指紋，有固定長(zhǎng)度且不同明文摘要成密文結(jié)果不同，而同樣明文摘要必定一致。這串摘要成為驗(yàn)證明文是否真身的“指紋”。(3)數(shù)字簽名:將數(shù)字摘要、公用密鑰算法兩種加密方法結(jié)合。在書(shū)面文件上簽名是確認(rèn)文件的手段。簽名作用有兩點(diǎn)：一是因?yàn)樽约汉灻y以否認(rèn)，從而確認(rèn)文件已簽署；二是因?yàn)楹灻灰追旅?，從而確定文件為真。(4)數(shù)字時(shí)間戳: 電子交易中文件簽署日期和簽名是防止交易文件被偽造和篡改的關(guān)鍵性內(nèi)容，數(shù)字時(shí)間戳服務(wù)能提供電子文件發(fā)表時(shí)間的安全保護(hù)。

3.認(rèn)證技術(shù)。安全認(rèn)證的作用是進(jìn)行信息認(rèn)證。信息認(rèn)證是確認(rèn)信息發(fā)送者的身份，驗(yàn)證信息完整性，確認(rèn)信息在傳送或存儲(chǔ)過(guò)程中未被篡改。(1)數(shù)字證書(shū):也叫數(shù)字憑證、數(shù)字標(biāo)識(shí)，用電子手段證實(shí)用戶身份及對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限，可控制被查看的數(shù)據(jù)庫(kù)，提高總體保密性。交易支付過(guò)程中，參與各方必須利用認(rèn)證中心簽發(fā)的數(shù)字證書(shū)證明身份。(2)安全認(rèn)證機(jī)構(gòu):電子商務(wù)授權(quán)機(jī)構(gòu)也稱(chēng)電子商務(wù)認(rèn)證中心。無(wú)論是數(shù)字時(shí)間戳服務(wù)還是數(shù)字證書(shū)發(fā)放，都需要有權(quán)威性和公正性的第三方完成。CA是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)、簽發(fā)數(shù)字證書(shū)并確認(rèn)用戶身份的企業(yè)性服務(wù)機(jī)構(gòu)，受理數(shù)字證書(shū)的申請(qǐng)、簽發(fā)及對(duì)數(shù)字證書(shū)管理。

4.防病毒技術(shù)。(1)預(yù)防病毒技術(shù)，通過(guò)自身常駐系統(tǒng)內(nèi)存，優(yōu)先獲取系統(tǒng)控制權(quán)，監(jiān)視系統(tǒng)中是否有病毒，阻止計(jì)算機(jī)病毒進(jìn)入計(jì)算機(jī)系統(tǒng)和對(duì)系統(tǒng)破壞。(2)檢測(cè)病毒技術(shù)，通過(guò)對(duì)計(jì)算機(jī)病毒特征進(jìn)行判斷的偵測(cè)技術(shù)，如自身校驗(yàn)、關(guān)鍵字、文件長(zhǎng)度變化。(3)消除病毒技術(shù)，通過(guò)對(duì)計(jì)算機(jī)病毒分析，開(kāi)發(fā)出具有殺除病毒程序并恢復(fù)原文件的軟件。另外要認(rèn)真執(zhí)行病毒定期清理制度，可以清除處于潛伏期的病毒，防止病毒突然爆發(fā)，使計(jì)算機(jī)始終處于良好工作狀態(tài)。

四、結(jié)語(yǔ)

信息安全是電子商務(wù)的核心。要不斷改進(jìn)電子商務(wù)中的信息安全技術(shù)，提高電子商務(wù)系統(tǒng)的安全性和可靠性。但電子商務(wù)的安全運(yùn)行，僅從技術(shù)角度防范遠(yuǎn)遠(yuǎn)不夠，還必須完善電子商務(wù)立法，以規(guī)范存在的各類(lèi)問(wèn)題，引導(dǎo)和促進(jìn)我國(guó)電子商務(wù)快速健康發(fā)展。

參考文獻(xiàn):

[1]譚衛(wèi):電子商務(wù)中安全技術(shù)的研究.哈爾濱工業(yè)大學(xué)，2006

[2]Simson Garfinkel with Cene Spaford.李國(guó)熙陳永旺譯.電子商務(wù)與網(wǎng)絡(luò)安全[M].北京.清華大學(xué)出版社，2001

[3]唐曉東:電子商務(wù)中的信息安全.北京.北方交通大學(xué)出版社，2006