淺談電子商務的安全

摘要：本文主要從概念上闡述了電子商務安全性的相關問題，分析了電子商務對安全環境的要求，同時給出了當前常用的相對應的技術方法。為電子商務的建立給出了基礎概念上的理解。

關鍵詞：電子商務 安全需求 安全技術 安全協議

電子商務通常被分為狹義的電子商務和廣義的電子商務。狹義的電子商務為Electronic Commerce（EC），是指通過使用互聯網等電子工具在全球范圍內進行的商務貿易活動。是以計算機網絡為基礎所進行的各種商務活動，包括商品和服務的提供者、廣告商、消費者、中介商等有關各方行為的總和。廣義的電子商務為Electronic Business（EB），是指通過電子手段進行的商業事務活動。通過使用互聯網等電子工具，使公司內部、供應商、客戶和合作伙伴之間，利用電子業務共享信息，實現企業間業務流程的電子化，配合企業內部的電子化生產管理系統，提高企業的生產、庫存、流通和資金等各個環節的效率。EC的概念集中于電子交易，EB的涵蓋范圍則大了很多。而人們一般提到的電子商務是指狹義上的電子商務。無論廣義還是狹義的電子商務概念，電子商務都離不開互聯網這個平臺。電子商務的存在和發展是以網絡技術為前提。電子商務系統的構建、運行及維護都離不開技術的支持，而安全成為電子商務平臺首先需要解決的問題。

電子商務幾個主要的安全需求及其對應的常用技術：

①真實性、有效性。真實性、有效性是指能對信息的真實性、有效性進行鑒別。EC作為一種貿易形式，其信息的真實性、有效性將直接關系到個人、企業和國家的經濟利益和聲譽。保證信息的真實性、有效性成了EC的前提。因此，要對EC過程中的潛在威脅加以控制和防范，保障信息在確定的時刻、確定的地點是有效的。

②可靠性、不可抵賴性及鑒別。如何確定對方正是交易所期望的一方，這一問題是保證EC順利進行的關鍵。在電子化的EC方式下，通過傳統方法鑒別是不可能的。因此，要在交易信息的傳輸過程中為參與交易的雙方或多方提供可靠的標識。

針對以上兩點，目前常見的安全技術是數字簽名和數字證書。

數字簽名是加密技術的一類應用，可以防止他人對傳輸文件進行破壞，以及確定發信人的身份。通過數字簽名能夠實現對原始報文的鑒別，保證數據的可靠性和不可抵賴性。數字簽名與書面文件簽名具有相同功效，它代表了文件的特征。如果文件發生改變，數字簽名也將發生變化，不同的文件將得到不同的數字簽名。接收方通過比對數字簽名來確定發送方的身份是否正確。

數字證書。在電子商務活動中，調用每項服務時需要用戶證實身份，同時也需要這些服務器向客戶證實他們自己的身份，而保障身份平安的最有效技術就是PKI技術。

CA認證技術是PKI技術中的一部分，也是目前國內應用最廣泛的一種認證技術。CA（Certification Authorty）是一個確保信任度的權威實體，主要職責是頒發證書、驗證用戶身份的真實性。由CA簽發用戶電子身份證書，任何相信該CA的人，按照第三方信任原則，都應當相信持有該證書的用戶。CA也采取一系列相應的辦法來防止電子證書被偽造或篡改。CA的靈活性也是它能迅速得到市場認可的一個關鍵，它不需要支持任何通用的國際標準，并能很好地和其他廠家的CA兼容。

③機密性。機密性是指保證信息不會泄漏給非授權方。EC作為一種貿易手段，其信息屬于商業機密。網絡交易必須保證發送者和接受者之間交換信息的私密。而EC是建立在一個較為開放的網絡環境上（Internet上尤其如此），因此，維護商業機密是EC全面推廣應用的重要保障，必須預防非法的信息存取和信息在傳輸過程中被非法竊取。

④數據的完整性。數據的完整性即防止數據非授權的輸入、修改、刪除或破壞，保證數據的一致性。數據的完整性將影響各方的交易和經營策略，保持數據的完整性是EC的基礎，人為的錯誤或數據傳輸過程中的數據丟失、數據重發或數據傳送次序變化都會導致交易各方數據不同。因此，要預防對數據的隨意生成、修改和刪除，同時要防止數據傳送過程中的錯誤、重復信息并保證數據傳送次序的統一。

針對以上兩點，目前常見的技術有以下幾種：

防火墻。網絡防火墻作為內部網絡與外部網絡之間最基本的安全屏障，早已被廣泛應用。目前防火墻的常見技術有兩種：包過濾和代理。包過濾是根據事先設定好的規則，對通過的每一個數據包進行檢測，并且只允許符合規則的數據通過。這種技術可以對防火墻兩端的數據流通規則進行靈活有效的設置。既能夠阻止外部的非法訪問，也可以阻止內部數據的非法流出，極大提高了自身數據的安全性。此技術有兩個基本準則：一是未被允許的就是禁止的；二是未被禁止的就是允許的。基于這兩種準則，防火墻可以根據需要對數據流進行逐項檢測，然后根據設置采取不同的響應動作。代理是另一種防火墻技術，它通常是運行在一臺主機上的軟件。運行代理軟件的主機被稱為代理服務器。代理服務器一般需要與路由器協同工作，路由器負責將所有的應用請求傳送給代理服務器。代理服務器根據自身安裝的代理程序對每種應用進行相應的處理。代理服務實際上是一種中介，它隔絕了內外網之間的直接通信，所有數據通信都必須經過代理服務器處理后轉發。代理服務通過這種方式，實現對數據流的監控。在實際應用中，我們往往綜合使用這兩種技術。此外現在還出現了一種地址遷移式防火墻。這種防火墻的起源主要是為了解決上網人數越來越多，而IPv4地址日益缺乏的矛盾。通過對有限的公網地址和內部局域網地址的相互映射，來使得即便只有有限的公網地址資源，也可以保證無限的用戶可以連接網絡。地址遷移式防火墻實際上融合了分組過濾和應用代理的設計思想，不僅能夠實現地址的相互轉換，也可以實現包過濾和代理服務的功能。這種防火墻已經成為現在實際應用的主流。

加密技術。加密分為對稱加密體系和非對稱加密體系。加密技術解決了傳送數據的保密問題。兩種加密各有所長，對稱密鑰加密效率高，但密鑰分發困難、管理不便；非對稱密鑰加密速度慢，但便于分發管理。我們通常把兩者結合使用，以達到高效平安的目的。

電子商務安全協議。目前在電子商務中主要的安全協議有兩種：應用層的SET（安全電子交易）和會話層SSL（平安套層）協議。

SET向基于信用卡進行電子化交易的應用提供了實現安全措施的規則。是一個通過開放網絡（包括Internet）進行安全資金支付的技術標準。SET已成為事實上的工業標準，已獲得IETF標準的認可。

SET的主要目標是：

①保證數據傳輸過程的安全性。

②實現定單信息和個人帳號信息的隔離。

③交易雙方相互認證，確定身份的正確性。這一般由第三方機構完成，為交易雙方提供信用擔保。

④用統一的協議和格式實現良好的兼容，使不同用戶的軟件能夠相互兼容和互操作，并且能夠運行在不同的硬件環境和操作系統上。

SSL協議由網景公司推出，對計算機之間整個會話進行加密，能夠對信用卡和個人信息提供較強的保護。目前已成為事實上的工業標準。

SSL是一個基于傳輸層的安全協議，在此基礎上可加載任何高層應用協議，可以為各種C/S模式產品提供安全傳輸服務。SSL協議會產生一個被稱為握手信息的數據包，在進行真正的數據交換之前，SSL先交換初始握手信息來對相關的安全特性進行審查。這種握手信息通過數字簽名和數字證書來實現客戶和服務器雙方身份的驗證，采用加密技術對數據進行加密保護，保證數據的保密性和完整性。

除此之外常見的網絡安全協議還有PCT和S-HTTP。PCT（專用通信技術）是微軟公司和Visa機構共同研究制定的，該協議只是對SSL進行少量的改進。S-HTTP（安全的超文本傳輸協議）協議主要針對于互聯網，它可以看做是HTTP協議的一種升級版。S-HTTP基于SSL技術，向互聯網的應用提供鑒別、不可抵賴性、機密性和完整性等安全措施。

電子商務這種新興的商業運作模式，已經推動著全球經濟的快速發展。而商務信息的安全始終是電子商務的核心。隨著電子商務的發展，電子商務的安全技術也將不斷發展、進步和完善。商務的發展沒有盡頭，而技術的發展也沒有盡頭。

參考文獻：

[1]（美）埃弗雷姆.特白思戴維.金，杰李等著，王理平，張曉峰譯.電子商務-管理新視角（第2版）[M].電子工業出版社，2005年9月.

[2]楊堅爭著.電子商務基礎與應用（第五版）[M].西安電子科技大學出版社，2007年7月.

[3]陳兵主編.網絡安全與電子商務[M].北京：北京大學出版社，2002.1.

[4]何長領主編.電子商務交易[M].北京：人民郵電出版社，2001.

[5]張愛菊主編.電子商務安全技術[M].北京：清華大學出版社，2006.12.