引论：我们为您整理了13篇电子商务安全的重要性范文，供您借鉴以丰富您的创作。它们是您写作时的宝贵资源，期望它们能够激发您的创作灵感，让您的文章更具深度。
篇1
其次是计算机网络方面的安全。现在网络的发展速度越来越快，通过网络传递的信息也越来越大，但是随之而来的就是计算机网络的安全问题越来越严重，比上面提到的个人计算机安全要严重的多，那么如何来防止这些问题的发生呢？我们主要从几个方面来阐述。（a）安全内核技术。安全内核技术主要是要把产生问题的那部分内核从系统中抽离出去，让系统更加安全，很多问题的产生可能是由于系统某个内核出现了异常，如果把这个内核变得安全，那么问题就迎刃而解了。比如说某些操作系统会把一些口令放到一个隐含的文件中去，这样可以让系统更加安全。（b）用户验证系统技术。这种技术主要是要对用户进行安全验证，就和Windows系统一样，有用户口令，如果口令正确，那么说明用户就是合法用户，是合法用户在进行权限审核，如果访问权限通过的话，那么说明这个用户可以对此系统进行操作，所以采用这样的技术安全性提高了很多，在整个计算机系统中得到了广泛的应用。（c）防火墙技术。防火墙技术是目前用的比较多的一种技术，也是最受关注的一种技术，主要应用在网络和互联网之间。防火墙技术和上面两种技术相比也复杂，但是来的效果也更好，在目前有很多的防火墙开发公司，专门对防火墙进行开发，研究更新的安全技术，防火墙技术主要有数据包过滤、服务器、SOCKS协议、网络反病毒技术等方面组成,共同完成防火墙的功能效应。
2计算机安全技术在电子商务中的应用
现在社会是个网络发展的社会，任何地方都离不开网络，电子商务就是个典型的例子，电子商务是大家经常在用的一个产品，这个产品涉及到的大部分内容都是网络，那么网络自然就离不开计算机安全，如果不安全，谁还会用这个产品呢？电子商务一定是以网络作为平台的，诸如大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，这样安全性就是电子商务成败的一个关键因素。
2.1电子商务概念
电子商务其实和计算机是密切相关的，电子商务是一个平台，意思是通过计算机来实现商品的交易，我们可以不通过见面或者店面的形式来销售货物，可以不通过实体店的形式让自己的商品卖出去，诸如我们现在的淘宝、京东等这样的大型电子商务平台，也就是说在这个平台上我们要实现交易，通过网络进行交易在很早的时候很多人都不会选择这样的购物形式，但是在当今社会，电子商务越来越流行，那么在电子商务平台上的安全性就显得格外重要了，一旦出现问题，后果不堪设想，那么目前电子商务平台存在什么安全问题呢？
2.2电子商务平台存在的安全问题
目前电子商务平台很多，有非常大型的，也有很多小型的，像淘宝这样的大型的电子商务平台安全自然没问题，但是很多小型的电子商务平台还是有很多的问题的，那么究竟问题产生在哪里呢？主要有几个问题。第一，截取信息，在我们进行网上信息交换的时候被破坏，我们的信息被截取下来作为它用，这个是非常危险的，有些信息是非常保密的，一旦转为它用，可能会非常危险，不如说一些用户的身份证号码、密码、用户账号等信息，这些东西被截取是非常麻烦的，一定要注意。第二，伪造电子邮件，我们在进行网上购物的时候，有的时候会发送一些邮件进行沟通和交流，这个时候很多破坏者就会伪造电子邮件，让我们上当，甚至有的时候会造成网络阻塞，特别是在交易的时候，钱打过去但是东西没有收到。第三，交易受骗，在进行交易的时候我们已经付钱给对方，但是对方确不承认，否认没有收到或者没有下过订单，或者我们要进行退货的时候，对方不肯退货或者说货物没有问题，这些都是在网上进行交易的时候很容易出现的问题，而且最终受害的还是我们消费者。
2.3电子商务交易时的计算机安全技术
a）身份识别技术我们要想在电子商务平台上进行购物的话，或者说通过网络平台开展业务的话，就必须通过身份识别技术对其进行规范，只有规范了用户才能根本解决问题，也就是说只有合法的用户才能使用电子商务平台，所以在进行电子商务的时候必须要求身份识别，只有通过了才能登录进来进行交易，否则就无法登录网络。另外，我们都是网络来进行交易，大家互相都不太认识，我们通过这样的技术可以帮助我们确认对方的身份，所以在电子商务中身份识别技术是非常重要的。b）数据加密技术数据加密是为了防止在如今的互联网状态下数据共享别设置的，是在电子商务平台中非常重要的一种安全技术，很多机构和企业都采用了数据加密技术，不如说一些网页的源代码、电子商务源码等，都进行了加密，我们普通人是根本进入不了的，这样相对来说是安全的，这样肯定是确保了网上交易的安全性。所以一定要采用数据加密技术才能让我们的交易更加安全。c）防火墙技术防火墙技术是一项非常尖端的计算机安全技术，通过防火墙技术我们可以控制访问权限，可以让某些文件可以读但是不可以修改，新的方法消除了匹配检查所需要的海量计算,高效发现网络行为的特征值,直接进行访问控制。防火墙可以加强系统的自我维护能力，消除来自网络的非法干扰，让整个系统更加安全，那么我们在使用电子商务进行交易的时候就放心多了，和没有技术相比要强大的多。
篇2
1.1 电子商务中的信息
既然电子商务涵盖了商品和服务相关人员活动和行为的各个方面，那么必然电子商务的活动中会涉及许多方面的信息。因为电子商务涉及的领域非常广泛，包括了商品和服务的交易的所有环节，如商品购买、广告、推销、信息咨询、银行服务、网络支付等等，它把商家、顾客、银行、中介、信用卡公司，甚至包括政府都通过网络的方式连接起来。如此，在整个的过程中，她涵盖了广泛、复杂的信息量，既包括商家的商品信息、竞争信息、商业秘密等，也包括个人的隐私信息、财产信息等等。这些信息数量广泛、内容繁杂、真实性很强，一旦被蓄意泄露或利用，将会产生非常不利的影响。
1.2 电子商务中信息安全的重要性
电子商务的受体是公众，那么电子商务能够正常运行的前提就是保障公众的信息安全。信息安全是指信息的完整性、可用性、可靠性和保密性。目前电子商务是在完全开放的网络环境中进行的，能否保障各个相关主体的信息安全，是非常重要的事情，现在不断增加的网络入侵、黑客攻击和网络的脆弱的防御能力不得不引起人们的担忧
2.电子商务中存在的信息安全问题
从上面的信息安全的基本需求中，我们可以看出，电子商务交易对信息的安全保护至关重要，也是一件棘手的事情。目前，电子商务中的信息安全主要存在以下几个方面的问题：
2.1 信息存储中的安全问题
信息存储安全是指电子商务信息在静态存放时的安全。企业在网络开放的运行环境中，电子商务的信息安全就存在以下问题：
内部不安全要素。主要是企业内部之间、企业的顾客随意非授权的调用或随意增改删电子商务信息。
外部不安全要素。主要是外部人员私自侵入计算机网络，故意或过失的非授权调用或随意增改删电子商务信息。这个隐患的主要来源有：黑客入侵，竞争对手的恶意破坏，还有信息间谍的非法闯入。
2.2 信息传输中的安全问题
信息传输安全是指点在商务信息在动态的传输过程中的安全。表现形式有：信息在网络的传输过程中被篡改；伪造电子邮件；传输的信息被截获；否认已经做过的交易；网络硬件和软件的问题而导致信息传递的丢失与谬误。
2.3 交易双方存在的信息安全问题
电子商务交易改变了传统的交易方式，打破了双方面对面的交流。这样，买卖双方只能通过网络交流各自的信息来完成交易，这样双方会对电子商务的交易安全和信息安全存在疑虑。
2.3.1 买方存在的信息安全威胁。
电子商务交易中的买方，既可以是个人，也可以是公司、银行等。买方存在的信息安全威胁主要有：（1）身份被假冒。用户身份信息被拦截、假冒以致被要求付账或返还商品；（2）发送的交易信息不完整或被截获篡改，用户无法正常收到商品；（3）域名被扩散和监听，无奈接收许多垃圾信息甚至个人隐私被窃用；（4）遭黑客攻击，计算机设备发生故障导致信息丢失等；（5）受虚假广告信息误导购买假冒伪劣商品或被诈骗钱财等。
2.3.2 卖方存在的信息安全威胁。
卖方存在的信息安全威胁主要有：（1）恶意竞争者假冒用户名恶意侵入网络内部以获取营销信息和客户信息；（2）冒名改变交易内容，致使电子商务活动中断，造成商家名誉和用户利益等方面的受损；（3）信息间谍通过高技术手段窃取并泄露商业秘密；（4）一些恶意程序的破坏而导致电子商务信息遭到破坏，比如特洛伊木马程序；（5）黑客攻击服务器，产生大量虚假订单挤占系统资源，令其无法正常操作。
3.保障电子商务中信息安全的措施
现在，电子商务作为一种新兴且快速发展的商务交易模式，已经被广泛使用，例如网上银行支付，淘宝购物等等，发展前景也十分光明。但是，如何保护电子商务中的信息安全，建立一个安全、便捷、高效的电子商务环境，也是一个越来越值得探讨的问题。这就需要发展有效的信息安全技术，同时辅助于必要的措施。本人认为，保护电子商务中的信息安全应该做到以下几点：
3.1 研究保障信息安全的各种信息安全技术
为保证电子商务的正常发展，对电子商务中的网络安全技术进行研究，发展自主的网络安全技术是至关重要的。现在应该重点研究的信息安全技术有：
3.1.1 数据加密技术
信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网络会话的完整性。加密是利用基于数学算法的程序和保密的密钥对信息主要是普通的文本(明文)进行编码，生成难以理解的字符串(密文)，以便只有接收者和发送者才能理解。加密技术一般采用对称加密技术、非对称加密技术以及二者的结合等方法。目前常用的常规密钥密码体系的算法有：数据加密标准DES、三重DES、国际数据加密算法IDEA等
3.1.2 身份识别技术
身份识别技术是确认信息发送者的身份，验证信息完整性，确认信息在传送或存储过程中未被篡改。(1)数字标识，用电子手段验证用户身份及对网络资源的访问权限，参与各方必须利用认证中心签发的数字证书证明身份。(2)电子商务认证中心，CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业机构，受理数字证书的申请、签发及对数字证书管理。
3.1.3 防病毒技术
(1)预防病毒技术，通过自身常驻系统内存，优先获取系统控制权，监视系统中是否有病毒，阻止计算机病毒进入计算机系统和对系统破坏。(2)检测病毒技术，通过对计算机病毒特征进行判断的侦测技术。(3)消除病毒技术，通过对计算机病毒分析，开发出具有杀除病毒程序并恢复原文件的软件。
3.2 加强网络安全基础设施建设
一个网络信息系统，不管其设置有多少道防火墙，加了多少级保护或密码，只要其芯片、中央处理器等计算机的核心部件以及所使用的软件是别人设计生产的，就没有安全可言，这正是我国网络信息安全的致命弱点。国民经济要害部门的基础设施要通过建设一系列的信息安全基础设施来实现。为此，需要建立中国的公开密钥基础设施、信息安全产品检测评估基础设施、应急响应处理基础设施等。
4.结束语
电子商务领域的安全问题一直备受关注，是制约其发展的瓶颈，如果解决的好，便能推动商务更好更快发展的动力。目前对电子商务信息进行保护的主要措施就是信息安全技术，因此必须加大投入，研究新的、有效的信息安全技术，进一步改进已有的信息技术。同时，国家必须加强对电子商务的管理和投入，将电子商务做大做强。
参考文献
篇3
电子商务日益成为当今社会使用频率最高的词汇之一，其中网上交易的安全问题又是人们关心的重点。在网络上，尤其是在互联网上存储和传输的大量信息，随时受到安全威胁。电子商务作为极具价值的敏感信息之一，关系到电子商务主体单位的商业秘密。所以，电子商务系统中的安全问题是关系到电子商务系统能否成功运行的最为重要的问题。在参考了大量有关信息安全的基础理论、基本技术和解决方案后，对电子商务交易中的安全问题展开论述。
2 电子商务的安全机制分析
在电子商务的交易过程中，买卖双方是通过网络来联系的，应用网络的开放性和不安全性，给交易双方在交易过程中确信交易的安全性和建立信任关系带来了难度。
根据中国互联网络信息中心（CNNIC）这几年公布的《中国互联网络发展状况统计报告》显示，目前网上交易存在的问题主要是“安全性得不到保障”与“产品质量、售后服务及厂商信用得不到保障”。
电子商务的实现是建立在网络通信基础上的，因此网络安全面临的威胁也就是电子商务面临的威胁，这些威胁从宏观上可分为自然威胁和人为威胁。人为威胁是指通过寻找系统的弱点，达到破坏、欺骗、窃取数据等恶意目的。
为了安全要素在电子商务中的实施，满足电子商务为交易参与者提供可靠的安全服务的要求，电子商务系统必须利用安全技术来搭建自己的交易平台，主要用到的安全技术有:加密技术、数字签名及消息认证、数字证书和CA体系。
各项安全机制中，其安全性主要是基于解椭曲线圆离散对数问题与单向哈希函数的困难度。以下分别列出各项安全机制的安全性分析：
(1) 系统中心无法取得用户的私钥Si
系统中心无法经由Si=wi+h(xi,Ii)(modq)来推得使用者的私钥Si，除非系统中心能破解用户在注册阶段所生的Vi，但其安全度是基于解椭曲线圆离散对数问题的困难度。
(2) 攻击者无法取得使用者的私钥Si与系统中心的私钥sSA
攻击者可以取得的数据为Ii与Pi ，但经由(1)的分析可知，攻击者无法从Pi 获取Si；而wi是由系统中心所产生的公钥证明，但攻击者并无法从wi获取sSA。因此，任意的攻击者皆无法取得Si与sSA。
(3) 达到安全等级Level 3
系统中心有意假造Pi与Si ，但这会造成相同的使用者拥有两个公钥，此系统中心的诈骗行为会被侦测出来，因为本论文采用自我验证公钥密码系统，使用伪造的Pi来进行的数字签名/验证签章、加/解密或签密法时并不会成功。
(4)用户无法取得系统中心的私钥
使用者无法经由Si=wi+h(xi,Ii)(modq)来计算合法的公钥证明。因为用户无法取得系统中心的k与sSA，所以使用者也无法自行产生公钥证明wi 。用户也很难从系统公钥来获得系统私钥，其安全度是基于解椭圆曲线离散对数问题的困难度。
(5) 安全的加/解密机制
攻击者要从加密者所传递的1 C 与2 C 解出明文，皆会遇到解椭圆曲线离散对数问题的困难度，另外加密者每次使用不同的随机整数w，因此攻击者亦很难经由累积多个1 C 与2 C 而计算出明文。
(6) 安全的鉴别加密法
使用者所产生的密文R与s是基于解椭圆曲线离散对数问题的困难度下所产生。攻击者也很难计算出密文s，因为无法取得使用者的w与Si。又因为使用者每次的密文皆不相同，因此攻击者无法轻易地计算出使用者的私钥，亦很难经由累积多个密文来求解出明文。
3.结论
篇4
1.2电子商务中信息安全的重要性
电子商务的受体是公众，那么电子商务能够正常运行的前提就是保障公众的信息安全。信息安全是指信息的完整性、可用性、可靠性和保密性。目前电子商务是在完全开放的网络环境中进行的，能否保障各个相关主体的信息安全，是非常重要的事情，现在不断增加的网络入侵、黑客攻击和网络的脆弱的防御能力不得不引起人们的担忧。
2.电子商务中存在的信息安全问题
从上面的信息安全的基本需求中，我们可以看出，电子商务交易对信息的安全保护至关重要，也是一件棘手的事情。目前，电子商务中的信息安全主要存在以下几个方面的问题：
2.1信息存储中的安全问题
信息存储安全是指电子商务信息在静态存放时的安全。企业在网络开放的运行环境中，电子商务的信息安全就存在以下问题：内部不安全要素。主要是企业内部之间、企业的顾客随意非授权的调用或随意增改删电子商务信息。外部不安全要素。主要是外部人员私自侵入计算机网络，故意或过失的非授权调用或随意增改删电子商务信息。这个隐患的主要来源有：黑客入侵，竞争对手的恶意破坏，还有信息间谍的非法闯入。
2.2信息传输中的安全问题
信息传输安全是指点在商务信息在动态的传输过程中的安全。表现形式有：信息在网络的传输过程中被篡改；伪造电子邮件；传输的信息被截获；否认已经做过的交易；网络硬件和软件的问题而导致信息传递的丢失与谬误。
2.3交易双方存在的信息安全问题
电子商务交易改变了传统的交易方式，打破了双方面对面的交流。这样，买卖双方只能通过网络交流各自的信息来完成交易，这样双方会对电子商务的交易安全和信息安全存在疑虑。
2.3.1买方存在的信息安全威胁。
电子商务交易中的买方，既可以是个人，也可以是公司、银行等。买方存在的信息安全威胁主要有：（1）身份被假冒。用户身份信息被拦截、假冒以致被要求付账或返还商品；（2）发送的交易信息不完整或被截获篡改，用户无法正常收到商品；（3）域名被扩散和监听，无奈接收许多垃圾信息甚至个人隐私被窃用；（4）遭黑客攻击，计算机设备发生故障导致信息丢失等；（5）受虚假广告信息误导购买假冒伪劣商品或被诈骗钱财等。
2.3.2卖方存在的信息安全威胁。
卖方存在的信息安全威胁主要有：（1）恶意竞争者假冒用户名恶意侵入网络内部以获取营销信息和客户信息；（2）冒名改变交易内容，致使电子商务活动中断，造成商家名誉和用户利益等方面的受损；（3）信息间谍通过高技术手段窃取并泄露商业秘密；（4）一些恶意程序的破坏而导致电子商务信息遭到破坏，比如特洛伊木马程序；（5）黑客攻击服务器，产生大量虚假订单挤占系统资源，令其无法正常操作。
3.保障电子商务中信息安全的措施
现在，电子商务作为一种新兴且快速发展的商务交易模式，已经被广泛使用，例如网上银行支付，淘宝购物等等，发展前景也十分光明。但是，如何保护电子商务中的信息安全，建立一个安全、便捷、高效的电子商务环境，也是一个越来越值得探讨的问题。这就需要发展有效的信息安全技术，同时辅助于必要的措施。本人认为，保护电子商务中的信息安全应该做到以下几点：
3.1研究保障信息安全的各种信息安全技术
为保证电子商务的正常发展，对电子商务中的网络安全技术进行研究，发展自主的网络安全技术是至关重要的。现在应该重点研究的信息安全技术有：
3.1.1数据加密技术
信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网络会话的完整性。加密是利用基于数学算法的程序和保密的密钥对信息主要是普通的文本(明文)进行编码，生成难以理解的字符串(密文)，以便只有接收者和发送者才能理解。加密技术一般采用对称加密技术、非对称加密技术以及二者的结合等方法。目前常用的常规密钥密码体系的算法有：数据加密标准DES、三重DES、国际数据加密算法IDEA等3.1.2身份识别技术身份识别技术是确认信息发送者的身份，验证信息完整性，确认信息在传送或存储过程中未被篡改。(1)数字标识，用电子手段验证用户身份及对网络资源的访问权限，参与各方必须利用认证中心签发的数字证书证明身份。(2)电子商务认证中心，CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业机构，受理数字证书的申请、签发及对数字证书管理。
3.1.3防病毒技术
(1)预防病毒技术，通过自身常驻系统内存，优先获取系统控制权，监视系统中是否有病毒，阻止计算机病毒进入计算机系统和对系统破坏。(2)检测病毒技术，通过对计算机病毒特征进行判断的侦测技术。(3)消除病毒技术，通过对计算机病毒分析，开发出具有杀除病毒程序并恢复原文件的软件。
3.2加强网络安全基础设施建设
篇5
1 引言
随着计算机网络技术的快速发展，电子商务已经在各行业应用开来，其表现形式也非常丰富。比如：可以通过电脑、Internet、交易平台，预订机票、火车票，随时随地足不出户地进行个人财务管理、股票交易，网上购物、转帐及接收付款等等。在日常生活中，电子商务给我们带来了无尽的便利。
但是，在我们享受电子商务给我们带来的便捷的同时，我们也必须认识到电子商务安全的重要性。由于在电子商务交易中，交易双方是不见面的，交易双方缺乏面对面的沟通，我们也无法审核交易双方的真实身份，这些就会增加电子商务交易的风险，因此，本文针对电子商务安全现状进行简要分析。
本文将从电子商务的概念开始，并对电子商务安全发展现状和技术策略进行介绍。
2 电子商务的概念
电子商务是指在因特网开放的网络环境下，在全球各地广泛的商业活动中，基于浏览器/服务器的模式，在买卖双方不见面的情况下，进行商务活动，从而能够满足消费者进行网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动，它是一种新型的商业运营模式.
电子商务主要是通过电子数据传输技术，进而开展商务活动，如企业间交易活动、在网络上做营销、客户服务等，它统一了资金、信息、商流和物流四个方面。随着网络和Internet技术的日益成熟，真正意义上的电子商务是建立在Internet技术上的，所以也简称为IC。
2 电子商务安全概述及其发展现状
2.1 电子商务安全的主要内容
电子商务安全由IT安全和商务交易安全两部分组成。
IT安全主要由以下几个部分组成：网络运行环境安全、用户信息与网上交易服务器传递之间的安全、网络硬件设备安全、网络软件安全、数据资料安全、客户端计算机及其他连接互联网设备的安全等等。基于这些IT本身可能存在的安全问题，旨在保证IT安全，实施IT安全增强方案。
另一方面，商务交易安全是针对传统商务在互联网络上应用时产生的各种安全问题，基于计算机网络安全，从而保障电子商务过程的顺利进行。目的在于实现电子商务的完整性、可鉴别性、保密性、不可伪造性和不可抵赖性。计算机网络安全与电子商务交易安全实际上是密不可分的，两者相辅相成，缺一不可。计算机网络安全是商务交易安全的基石，如果缺少计算机网络安全，商务交易安全就无从谈起。同样，缺少了商务交易安全的保证，即使计算机网络本身再安全，仍然无法保证电子商务的安全进行。
2.2 电子商务安全的原则
（1）真实性、可靠性
电子商务以电子形式取代了以前纸质的形式，因此，开展电子商务的前提就是保证电子形式的贸易信息的真实性和有效性。电子商务作为贸易的一种形式，其信息的真实性和有效性将直接关系到个人、企业或国家的经济利益和声誉。
（2）身份的唯一
电子商务系统要建立身份唯一性认证制度，在身份合法认证时做到有法可依，双方在网上进行交易或者数据传送时，必须首先认证双方身份的合法性和真实性，只有这样，才能保证在交易发生纠纷时，双方身份都有所证明，从而有效防止商业欺诈行为的发生。
（3）保密性
电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。由于电子商务是在开放的网络环境上进行的，所有商业防泄密工作在电子商务过程中显得尤为重要。
（4）完整性
电子商务简化了贸易过程，减少了人为的干预，同时也带来如何维护商业信息完整的问题。如果交易双方数据输入时，意外出现差错或者有一方有欺诈行为，都有可能导致贸易各方信息不同。因此，电子商务系统必须可靠和正确地保证数据传输、存储及电子商务的完整性。
（5）实名制
电子商务活动的每一方都必须实名参加，相关部门应当对各方身份、企业资质、信誉等进行严格的审查登记，做到有据可查。
2.3 电子商务安全发展现状
上世纪七十年代，电子商务开始出现萌芽，当时，有一些大公司利用计算机网络，将各个机构之间和各个商业伙伴之间的信息共享起来，这个过程就是EDI（电子数据交换），电子数据交换就成了后来电子商务的雏形，同时也是电子商务的基础。近些年来，由于计算机网络技术飞速发展，电子商务也迅速发展起来。
但是，目前，电子商务面临着比较严峻的信息安全现状。据权威杂志披露，从事电子商务的企业相比于普通企业，承受着更大的商业风险。其中，从事电子商务的企业更容易被黑客攻击，感染病毒、恶意代码的概率高出9%，被非法入侵的频率高出10%，而且更容易被商业欺诈。
在我国，电子商务安全的现状同样并不乐观。调查显示，近年来，我国发生了200起网络进行的电子商务经济犯罪，带来了上亿元的经济损失。我国网民对于网上交易，最担心的就是网上支付交易的安全问题，超过百分之八十的网民对网上交易的安全性表示担忧。信息安全问题已然成为阻碍网上交易的一大难题。
1995年起，我国开始发展电子商务安全产业，与此同时，电子商务安全科研、生产与应用也开始起步，迄今为止，已经实现了科研与生产从无到有，市场从小到大逐步发展起来。电子商务信息安全研究已经走过了通信保密、计算机数据保护两个发展阶段，目前正处于网络信息安全研究阶段。在现阶段中，我们已逐步掌握了部分网络安全和电子商务安全技术，研制和探索了安全操作系统、多级安全数据库方面的技术，但掌握系统核心技术还有很大困难，所以目前还不能开发出有自主知识产权的信息产品。
截止到目前，我国电子商务安全的发展还存在以下几点问题：
（1）安全防范意识薄弱
国内不少电子商务企业对网络信息安全意识不强。这些企业在进行电子商务交易的时候，考虑的更多的还是自己的效益、方便、快捷，却把交易的安全性、保密性、抗攻击性放在了较低的位置。
（2）体系结构不健全
我国的电子商务安全一直都缺乏一个健全的体系结构，总是等到出现问题才去解决问题，从而导致问题不断变化、层出不穷，却缺乏有效的解决办法。
（3）软硬件缺乏强有力的支持
目前我国IT设施的软件、硬件等的核心产品主要还是依靠从国外发达国家进口，市场上不少的安全措施也是照搬过来的，很多电子商务安全方面的产品都没有通过安全认证。
（4）频繁遭受威胁
目前我国的电子商务产业主要遭受三方面的安全威胁：
1）非人为因素造成的数据丢失；
2）人为因素造成的数据丢失；
3）黑客、病毒等的恶意攻击和入侵。
3 电子商务安全技术及策略
3.1 电子商务安全技术架构
电子商务安全技术体系包括网络服务层、加密技术层、安全认证层、安全协议层四个部分，它是确保电子商务交易中数据的安全性和完整性的逻辑结构。在这个四层结构中，下一层作为上一层的基石，为上一层提供技术支持；由安全控制技术实现安全策略，从而形成一个统一的整体，相互关联、相互依存，从而实现电子商务的安全进行。
如图1所示，即为电子商务安全技术体系架构
图1 电子商务安全技术体系架构
（1）网络服务层
网络安全作为电子商务安全的基础，涉及面很广，如防火墙技术、网络隐患扫描、网络监控、及各种反黑客技术等，其中防火墙技术最为关键。防火墙的主要是通过加强网络之间的访问控制，从而使得外部网络用户，不能利用非法手段侵入我们需要保护的网络。防火墙按照一定的安全策略，检查两个或多个网络之间传输的数据包和链接方式，继而决定是否允许网络之间进行通信，而且还能监视网络运行状态。路由器可以实现简单防火墙技术，而更加可靠的网络安全控制需要专用防火墙来提供。
为了保证连接Internet和Intranet的安全，防火墙是最为有效的方法，防火墙通过有效监视网络的通信信息，记忆通信状态，从而作出正确的判断，来决定是否允许访问。如果能灵活有效地运用这些功能，制定正确的安全策略，就能就能保证Intranet系统的完整性、安全性。
（2）加密技术层
电子商务信息加密技术作为最基本的安全措施，它是一种主动的信息安全防范措施。实质就是一种交换算法，它通过置换和移位的方法，对以符号为基础的数据进行加密，加密受密钥的关键符号串控制。加密技术分为对称加密和非对称加密两类。
1）对称加密。对称加密包括两种情况：1.加密系统的加密密钥和解密密钥相同。2.如果不相同，但是由其中任意一个可以很容易的推导出另一个。现在常用的对称加密算法有DES、RC2、RC4等，DES算法被广泛采用，它由美国国家标准局提出的，被ISO作为数据加密的标准。
2）非对称加密。非对称加密只包括一种情况：加密系统的加密密钥和解密密钥不相同，并且不管是由加密密钥推导出解密密钥或者由解密密钥推导出加密密钥，都是计算不出来的。RSA算法是非对称加密领域最著名的算法，该算法是非对称数据加密的标准算法。
（3）安全认证层
为了确保电子商务交易安全，光有加密技术是不够的，还必须依靠安全认证层中的身份认证技术。
认证技术通过用户的客户主机IP地址进行认证，在认证技术中，系统管理员授予不同IP地址的授权用户不同的访问权限。认证技术主要有身份认证和通过电子认证中心的认证。身份认证是主要用于判断交易双方的真实身份，而目前这也是电子商务安全中急需加强的重要技术。身份认证主要有三种方式：用户口令、智能卡、生物学特征认证。
（4）安全协议层
由于电子商务需要通过Internet完成在线支付，所有我们必须安全传输支付信息、确认交易方的真实身份、完整进行支付过程，这就需要我们使用安全协议来保证。不同交易协议的复杂性、开销、安全性各不相同。
目前国际上比较有代表性的协议是SSL协议和SET协议。
1）SSL协议。SSL（安全槽层）向客户/服务器应用程序提供客户端和服务器的认证服务、加密、数据完整等安全措施，它在应用程序进行数据交换前，通过交换SSL初始握手信息来实现有关安全特性的审查。
2）SET协议。SET（安全电子交易规范）向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。SET增加了对商家身份的认证，同时还保留对客户信用卡认证。
3.2 电子商务安全策略
（1）建立健全的电子商务的法律制度，并强化执法力度
随着电子商务的发展，建立了很多电子商务网站，进而许多网络交易中的法律问题就凸显出来，这样一来，解决网络交易的安全问题就需要遵循一个共同的法律法规，而目前我们的电子商务法律制度还不健全，还需要建立必要的健全的法律框架。另一方面，对那些网络交易中的违法犯罪行为，我们一定要加强执法力度，从而达到规范电子商务交易的目的
（2）建立完善的信用体系，提高电子商务的安全意识
由于电子商务的虚拟性、非接触性，信用在电子商务中显得尤为重要。电子商务对信用体系的需求最强，电子商务如果缺少了信用体系的支撑，就毫无安全可言，风险度极高。因此，信用体系是电子商务的规范与发展的基础。然而，我国的电子商务的信用管理体系还比较落后，社会整体信用制度还有待健全，在交易过程中经常会发生不讲信用甚至欺诈行为，因此，为了促进电子商务的良性发展，有必要建立完善的信用体系。另一方面，我们也需要加强电子商务安全意识，不能总把利益放在第一位，要引起对安全性的足够重视。
（3）用加密技术、安全认证、交易协议等保护交易信息的安全
积极借鉴国外先进经验和技术，尽可能建立一套完整的电子商务安全体系；采用不同的加解密算法完善和提高电子商务交易安全，定期检查更换交易密钥。
（4）加强互联网络的安全性，防止信息泄漏
最常用的网络安全保护手段是防火墙技术。电子商务内外网和互联网之间最好设置专用防火墙，这样不仅可以提升内部局域网络的速度，同时还能阻止恶意病毒和木马攻击内部网络。
（5）加强电子商务的安全管理，构建良好的电子商务环境
目前，我国电子商务发展的环境还存在不少虚拟环境的特有问题，如领头企业的资源整合能力有待提升，电子商务企业散、小，电子商务支付、物流等支撑服务能力有待于加强。电子商务交易的管理也需要进一步加强。此外，为了构建良好的电子商务环境，还需要增加第三方支付平台和物流的支持。
4 结束语
基于目前我国的电子商务安全发展还处于初步阶段，还有许多问题需要解决，所以，我们要对电子商务安全给予足够的重视，积极借鉴国外的先进技术和经验，在享受电子商务给我们带来的便利的同时，也做到可以放心交易。
参考文献：
[1]加里P·施奈德.电子商务[M].北京：机械工业出版社，2008.
[2]张爱菊.电子商务安全技术[M].北京：清华大学出版社，2006.
[3]李振汕.电子商务安全管理体系的构建[J].计算机安全，2010，17（10）：65-70.
[4]王建宏，李广振，闵旭光.电子商务安全技术研究[J].中国商贸，2009，16（12）：16-19.
[5]贾树良，樊鑫国.电子商务安全问题分析[J].辽宁工程技术大学学报，2009，25（3）：83-85.
[6]柳艳茹.浅谈电子商务的安全问题[J].赤峰学院学报，2012，28（8）：51-53.
[7]王改香.浅谈电子商务安全策略[J].电脑知识与技术，2008，4（3）：559-560.
[8]李岩，宋朝.电子商务安全现状及对策研究[J].经济研究，2011，9（6）：59-62.
[9]许宁宁.电子商务安全的现状与趋势[J].中国电子商务，2010，13（8）：91-93.
[10]张建兵.电子商务安全问题解析[J].现代商贸工业，2009，8（21）：123-126.
[11]赵全.网络安全与电子商务[M].北京：清华大学出版社，2005.
[12]谭逊，王学芳，谭翊.浅谈我国电子商务安全现状[J].科技资讯，2007，10（11）：140-143.
[13]http：//.cn/cj/cj-xfsh/news/2009/12-03/1997652.shtml.中国经济时报，2009，12，3.
[14]唐作莉.电子商务安全技术研究[D].贵州大学硕士研究生学位论文，2008.
[15]张庆丽.电子商务安全策略研究[D].河南大学硕士研究生学位论文，2012.
篇6
计算机电子商务是对公众开放的，电子商务信息安全性关系着公众的利益。电子商务需要把信息安全摆在最重要的位置，目前，我国电子商务还存在很多问题。
1.1信息存储的安全问题
由于电子商务运行的环境是开发的，在信息存储过程中，会存在不安全的隐患。首先，内部会存在不安全的因素，企业内部客户没有得到授权，而对信息进行任意的修改、删减、调用都会影响信息存储的安全；其次，外部也存在对信息存储安全造成威胁的因素。随着计算机网络技术的发展，外部人员，如信息间谍、黑客、竞争对手等都可以采用非法的手段对计算机网络进行入侵，调用电子商务信息，并对其进行随意操作。
1.2信息传输的安全问题
电子商务信息在动态传输过程中也会存在安全问题，信息在传输过程中可能会遭遇截获、篡改、伪造等安全问题；对已经做过的交易给予否定；网络硬盘遭到损坏；软件程序出现错误等等。传输过程中很多因素会导致电子商务信息出现丢失等安全问题。
1.3交易过程中信息安全问题
与传统的商品与服务的交易方式不同，计算机电子商务实现了突破，对传统的交易方式的时间、空间与形式都做了翻天覆地的改变。电子商务的发展，让买卖的双方可以在网络中实现交流并完成交易。然而这样的方式也会存在很多安全问题。对于卖方，可能会存在恶意程序破坏电子商务信息，信息间谍也可以通过高科技手段对计算机电子商务信息进行窃取等等，对于买方，同样会存在这样的交易安全问题。交易过程中的安全问题，会使卖方与买方都蒙受巨大的损失。
2新时期维护计算机电子商务安全的对策与措施
2.1研发计算机电子商务信息安全保障技术
电子商务是在计算机网络技术发展的基础上发展起来的，计算机网络技术的发展促进了电子商务的发展。只有不断进行技术的完善，才能从根本上保障计算机电子商务信息的安全。因此，必须不断进行网络安全技术的研究，以保障电子商务信息的安全。
2.1.1数据加密技术的研究
对信息数据加密能保护数据、口令、文件等信息的完整性，使得其不容易被随便破解。对称加密技术与非对称加密技术的都是常用的数据加密技术，在加密过程中，还可以将上述两种加密技术结合使用。现阶段，常用的数据加密秘钥密码体系算法有国际数据加密算法IDEA、数据加密标准DES、三重DES等。
2.1.2防火墙技术
防火墙技术可以对网络之间控制机制系统起到加强的作用，既可以以单个的状态存在，也可以以群体的状态存在。对所有由内而外的流量进行监控，只有经过授权的数据流量才可以通过，能有效防止非法入侵。可以进行防火墙安全设置，也可以对网络服务访问权限进行设置，对不安全协议的域进行过滤。
2.1.3防病毒技术
加强对计算机病毒特征的侦测技术研究，并利用其能长期驻于计算机系统内存中的优势，获取系统的控制权，对系统中毒的情况进行检测，当遇到可疑情况时，采取有效的技术手段对计算机病毒进行阻止，防止其进入到系统内部，对计算机系统内部造成破坏。同时，还需要研发消除病毒的技术，消灭病毒并对文件进行复原。
2.2对电子商务法律法规进行完善
2.2.1电子支付法律制度
电子支付过程涉及到收款人、付款人和银行三个方面，需要对三者进行法律关系的明确，制定相关的法律法规，对电子商务中违规的行为进行严格的处理，并建立完善的电子支付机制，对于电子签名给予承认。
2.2.2建立交易安全法律制度
对于电子商务交易也需要通过法律来进行规范与保护。建立交易安全相关的法律法规，对交易双方的隐私安全进行保护，对电子商务交易中的矛盾与纠纷进行有效处理，防止电子商务交易诈骗现象的发生。维护电子商务的安全。
2.3提升用户安全意识
篇7
1.2支撑体系不断完善，逐步趋于协调发展。电子认证、在线支付、现在物流、信用等电子商务支撑体系建设全面展开，出具规模，呈现出支撑体系建设与电子商务应用相互促进、协调发展的新局面。物流专业化分工和社会程度逐步提高，物流信息化建设形成一定规模，第三方物流产业迅速发展。信用体系建设得到重视，部分地区加大了信用体系建设的力度，区域性信用信息服务体系建设步伐加快。40余项电子商务和物流标准陆续颁布，标准推广应用工作进一步深化。
二、影响电子商务发展的主要问题
2.1电子商务的社会信用体系没有形成。诚信作为中国传统社会所提倡的伦理道德观念，早已成为整个社会一个重要的道德评判标准，然而当今社会因为种种原因失信现象比较严重，特别是在网络交易中诚信问题是不容忽视，信用度的匮乏使得我国电子商务的发展举步维艰。目前网上交易中诚信的缺失主要表现有网上样品与实际销售产品不一致、假借或盗用知名企业产品品牌和商标、售后服务的不到保证、网络广告存在欺骗等。
2.2信用问题。供需双方的网上交易，相互信任是成交的根本保证。通过计算机网络来进行这些商业活动，电子商务虽然在诸多方面对传统商业交易有所改进。但在商业信用问题上仍然没有彻底得到改观，尤其我国市场还不很成熟。假冒伪劣商品泛滥。而网上交易又不能让消费者对商品亲自试用鉴别。所以有很多消费者对电子商务网而却步。
2.3电子商务法制问题不健全。完善的法律是开展电子商务的必要条件，与发达国家相比，我国的电子商务方面的法律法规还不健全，这也阻碍了电子商务的进一步发展。近年来，我国制定出台了一些涉及网络安全和因特网管理的法规，但有关发展电子商务统一指导框架和专门立法还存在空缺，首先由于电子商务的交易活动是在没有固定场所的国际信息网路环境下进行，造成国家难以控制和收取电子商务的税金。因此，根据目前的情况和未来的发展，在制定与电子商务有关的政策法规时，需要重新审视传统的税收和手段，有必要对税率和纳税方法进行规范，建立新的、有效的税收制度。其次是知识产权保护，特别是在网上直接提供的无形新产品和服务的知识产权，，如网上数据、软件、游戏、音像制品等，对电子商务的电子合同、电子签名等合法性也缺乏必要的法律条文和科学解释。
2.4电子商务的国际化问题。我国已经成为WTO的成员国，但是，目前国内很多中小企业甚至一些大企业，还没有构建自己的电子商务平台，制约了走出国门，与国际交流和合作的机会，不能适应全球经济一体化的大趋势。
2.5.电子商务人才贫缺。虽然我国目前开展电子商务教学的高校很多。但教育大多局限于计算机网络基础知识，某些语言数据库、管理信息系统或内部网络系统的教育，毕业生在短期内大都不能适应企业电子商务应用的要求。无论是系统设计者、软件设计人员，还是网络实施者都十分缺乏，这已严重阻碍了我国电子商务发展的步伐。
三、我国发展电子商务的对策
3.1建立相应机制和标准。解决信用问题采取过设置的运行机制和运行标准。确保供需双方建立商业信用。并通过某些监督机构进行监督和管理。政府应制定我国电子商务发展的相关法律、法规和政策来增强网上交易和信任与安全。是电子商务在公平、合理、高效的环境下得到健康、持续、快速的发展。
3.2注重电子商务人才培养。目前，人们的电子商务意识还很淡薄，都计算机的知识掌握不够，部门、行业信息的电子化方面力量严重不足。因此尽快普及电子商务有关知识，充分利用各种途径和手段，采用多种形式加强电子商务宣传、知识普及和安全教育工作，强化守法、诚信、自律观念的引导和宣传教育，提高社会各界对发展电子商务重要性的认识，多渠道培养、引进并合理使用好一些素质较高、层次合理、专业配套的网络、计算机及经营管理的专业人才，是一项非常重要的工作。
篇8
一、电子商务的安全现状
目前电子商务的安全问题比较严重，最突出的表现在计算机网络安全和商业诚信问题上。因为篇幅问题，本文只侧重于计算机网络安全问题的描述和解决对于其他方面的问题不作详细的分析。与以往相比电子商务安全呈现出以下特点：
（一）木马病毒爆炸性增长，变种数量的快速增加
据统计，仅2009年上半年挂载木马网页数量累计达2.9亿个，共有11.2亿人次网民访问挂载木马，2010年元旦三天就新增电脑病毒50万。病毒的数量不仅增速变快，智能型，病毒变种更新速度快是本年度病毒的又一个特征。总体而言，目前的新木马不多，更多的是它的变种，因为目前反病毒软件的升级速度越来越快，病毒存活时间越来越短，因此，今天的病毒投放者不再投放单一的病毒，而是通过病毒下载器来进行病毒投放，可以自动从指定的网址上下载新病毒，并进行自动更新，永远也无法斩尽杀绝所有的病毒。同时病毒制造、传播者利用病毒木马技术进行网络盗窃、诈骗活动，通过网络贩卖病毒、木马，教授病毒编制技术和网络攻击技术等形式的网络犯罪活动明显增多，电子商务网络犯罪也逐渐开始呈公开化、大众化的趋势。
（二）网络病毒传播方式的变化
过去，传播病毒通过网络进行。目前，通过移动存储介质传播的案例显著增加，存储介质已经成为电子商务网络病毒感染率上升的主要原因。由于U盘和移动存储介质广泛使用，病毒、木马通过autorun.inf文件自动调用执行U盘中的病毒、木马等程序，然后感染用户的计算机系统，进而感染其他U盘。与往年相比，今年通过网络浏览或下载该病毒的比例在下降。不过，从网络监测和用户寻求帮助的情况来看，大量的网络犯罪通过“挂马”方式来实现。“挂马”是指在网页中嵌入恶意代码，当存在安全漏洞的用户访问这些网页时，木马会侵入用户系统，然后盗取用户敏感信息或者进行攻击、破坏。通过浏览网页方式进行攻击的方法具有较强的隐蔽性，用户更难于发现，潜在的危害性也更大。
（三）网络病毒给电子商务造成的损失继续增加
调查显示，浏览器配置被修改，损坏或丢失数据，系统的使用受限，网络无法使用，密码被盗造成都给电子商务造成严重的破坏后果。2006年“熊猫烧香”病毒利用蠕虫病毒的传播能力和多种传播渠道帮助木马传播，攫取非法经济利益，给被感染的用户带来重大损失。继“熊猫烧香”之后，复合型病毒大量出现，如：仇英、艾妮等病毒。同时，网上贩卖病毒、木马和僵尸网络的活动不断增多，利用病毒、木马技术传播垃圾邮件和进行网络攻击、破坏的事件呈上升趋势。
二、电子商务的安全问题及存在原因
1.对合法用户的身份冒充。以不法手段盗用合法用户的身份资料，仿冒合法用户的身份与他人进行交易，从而获得非法利益。
2.对信息的窃取。攻击者在网络的传输信道上。通过物理或逻辑的手段，对数据进行非法的截获与监听，从而得到通信中敏感的信息。如典型的“虚拟盗窃”能从因特网上窃取那些粗心用户的信用卡账号，还能以欺骗的手法进行产品交易，甚至能洗黑钱。
3.对信息的篡改。攻击者有可能对网络上的信息进行截获后篡改其内容，如修改消息次序、时间，注人伪造消息等，从而使信息失去真实性和完整性。
4.拒绝服务。攻击者使合法接入的信息、业务或其他资源受阻。
5.对发出的信息予以否认．某些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。
6.信用威胁。交易者否认参加过交易，如买方提交订单后不付款，或者输人虚假银行资料使卖方不能提款I用户付款后，卖方没有把商品发送到客户手中，使客户蒙受损失。
7.电脑病毒。电脑病毒问世十几年来，各种新型病毒及其变种迅速增加，互联网的出现又为病毒的传播提供了最好的媒介。不少新病毒直接利用网络作为自己的传播途径，还有众多病毒借助于网络传播得更快，动辄造成数百亿美元的经济损失。如，CIH病毒的爆发几乎在瞬间给网络上数以万计的计算机以沉重打击。
三、电子商务的安全需求
电子商务威胁的出现导致了对电子商务安全的需求，主要包括有效性、完整性、不可抵赖性、匿名性。
1.有效性。保证信息的有效性是开展电子商务的前提，一旦签订交易，这项交易就应得到保护以防止被篡改或伪造。
2.完整性。贸易双方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易双方信息的完整性是电子商务的基础。
3.不可抵赖性。交易一旦达成，原发送方在发送数据后就不能抵赖，接收方接到数据后也不能抵赖。
4.匿名性。电子商务系统应确保交易的匿名性，防止交易过程被跟踪，保证交易过程中不把用户的个人信息泄露给未知的或不可信的个体。
四、电子商务安全防治措施及安全举措
防范电子商务网络犯罪是一个系统工程，不仅需要人们提高防范电子商务网络犯罪的意识，加强防范电子商务网络犯罪的制度建设，而且．还需要技术上不断更新和完善，为此，需要做好以下几方面的工作。
1.加强教育和宣传，提高公众电子商务的安全意识。信息安全意识是指人们在上网的过程中，对信息安全重要性的认识水平，发现影响网络安全行为的敏锐性，维护网络安全的主动性。强化上网人员的信息安全意识，就是要让上网人员认识到，网络信息安全是电子商务正常而高效运转的基础，是保障企业、公民和国家利益的重要前提，从而牢同树立网上交易，安全第一的思想。主要采取以下措施：一是通过大众媒体，普及电子商务的安全知识，提高用户的认识。二是积极组织研讨会和培训课程，培养电子商务网络营销安全管理人才。
2.采用多重网络技术，保证网络信息安全。目前，常用的电子商务安全技术，主要包括：防火墙，物理隔离，VPN（虚拟专用网）。防火墙是实现内部网与外部网安全和入侵隔离的常规技术。使用防火墙，一方面是抵御来自外界的攻击。另一方面是为了防止在服务器内部部分未经授权的用户攻击。因此，电子商务内外网与互联网之间要设置防火墙。网管人员要经常到有关网站上下载最新的补丁程序，以便进行网络维护，同时经常扫描整个内部网络，发现任何安全隐患及时更改，做到有备无患。企业上网必须实行内外网划分和内外网的物理隔离。要运用VPN新技术，为使用者提了一种通过公用网络，安全地对食业网络进行远程访问，同时又能保证企业的系统安全。包括操作系统、数据库和服务器(如Web服务器、E-MAII。服务器)的安全。
3.运用密码技术，强化通信安全。应围绕数字证书应用，为电子政府信息网络中各种业务应用提供信息的真实性、完整性、机密性和不可否认性保证。在业务系统中建立有效的信任管理机制、授权控制机制和严密的责任机制。目前要加强身份认证、数据完整性、数据加密、数字签名等工作。对于电子商务中的各种敏感数据进行数据加密处理，并且在数据传输中采用加密传输，以防止攻击者窃密。电子商务信息交换中的各种信息，必须通过身份认证来确认其合法性，然后确定这个用户的个人数据和特定权限。“在涉及多个对等实体间的交互认征时，应采用基于PKI技术，借助第三方(CA)颁发的数字证书数字签名来确认彼此身份。”为了从根本上保证我国网络的安全，我同安全产品的应用应建立在国内自主研发的产品基础上，国外的先进技术可以参考，但不能完全照搬。政府应该鼓励和扶植一批企业加快数字安全技术的研究，以提高我国信息企业的技术和管理水平，促进我同电子商务安全建设。
4.加强技术管理，努力做到使用安全。首先是在内部严格控制企业内部人员对网络共享资源的随意使用。在内网中，除有特殊需要不要轻易开放共享目录，对有经常交换信息要求的用户，在共享时应该加密，即只有通过密码的认证才允许访问数据。二是对涉及秘密信息的用户主机，使用者在应用过程中应该做到尽可能少开放一些不常用的网络服务，同时封闭一些不用的端口。并对服务器中的数据库进行安全备份。三是切实保证媒体安全。包括媒体数据的安全及媒体本身的安全。要防止系统信息在物理空间上的扩散。为了防止系统中的信息在物理空间上的扩散，应在物理上采取一定的防护措施，如进行一定的电磁屏蔽，减少或干扰扩散出去的空间信号。这样做，对确保企业电子商务安全将发挥重要作用。
5.健全法律，严格执法。目前我国在电子商务法律法规方面还有很多缺失，不能有效地保护公众的合法权益，给一些犯罪分子带来了可乘之机。我国立法部门应加快立法进程，吸取和借鉴国外网络信息安全立法的先进经验，尽快制定和颁布《个人隐私保护法》、《商业秘密保护法》、《数据库振兴法》、《信息网络安全法》、《电子凭证(票据)法》、《网上知识产权法》等一系列法律，使电子商务安全管理走上法制化轨道。使网络控制、信息控制、信息资源管理和防止泄密有法可依，并得到技术上的支撑。健全电子商务安全标准认证和质量检测机制，由国家主管部门组织制定有关电子商务安全条例规定，并发挥职能部门的监管作用。通过建立电子商务安全法规体系，规范和维持网络的正常运行。
参考文献：
[1]许宁宁.电子商务安全的现状与趋势[J].中国电子商务，2010，（1）.
篇9
一、电子商务的安全性要求
(一)电子商务活动安全性的要求
一是服务的有效性要求，电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。二是交易信息的保密性要求，电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。三是数据完整性要求，数字完整性是指在数据处理过程中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。四是身份认证的要求，电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律依据。
（二）电子商务的安全要素
一是信息真实性、有效性，电子商务以电子形式取代了纸张,如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。二是信息机密性，电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。三是信息完整性，电子商务简化了贸易过程,减少了人为的干预,同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。四是信息可靠性、可鉴别性和不可抵赖性，可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制,防止实体否认其行为；可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。
二、电子商务运用的安全技术
（一）网络节点的安全
防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,从而保护内部网免受非法用户的侵入。防火墙的应用可以有效的减少黑客的入侵及攻击,为电子商务的施展提供一个相对更安全的平台。防火墙能够有效地监视网络的通信信息,并记忆通信状态,从而做出允许或拒绝等正确的判断。通过灵活有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的网络系统。应给予特别注意的是,防火墙不仅仅是路由器、堡垒主机，或任何提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。
（二）通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度,也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制,SSL首先要求服务器向浏览器出示它的证书,证书包括一个公钥,由一家可信证书授权机构签发。浏览器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。验证此证书是合法的服务器证书通过后利用该证书对称加密算法与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。（三）应用程序的安全性
即使正确地配置了访问控制规则,要满足计算机系统的安全性也是不充分的,因为编程错误也可能引致攻击。程序错误有以下几种形式:程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件,特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制,程序员认为这个缺省的许可是正确的。这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度，假的输入字符串常常是可执行的命令,特权程序可以执行指令。
（四）用户的认证管理
一是身份认证，电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份,IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。二是CA证书，要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就是CA证书,它由认证授权中心发行。认证中心就是承担网上安全交易认证服务,能签发数字证书,并能确认户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。三是SSL协议，SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议以保证应用层数据传输的安全性。
三、完善电子商务安全的配套措施
电子商务要真正成为一种主导的商务模式,尤其对发展中的中国来说,发展电子商务,就必须完善配套措施:
一要突破关键技术受制于人的瓶颈。二要尽快对电子商务的有关细则进行立法。三要大力开发大型商务网站,发展与之相配套的物流公司。四要建立严格的内部安全机制。五要建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询。六要对重要数据要及时进行备份,且对数据库中存放的数据,数据库系统应视其重要性提供不同级别的数据加密。安全实际上就是一种风险管理，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手,仅在技术角度防范是远远不够的。安全只是相对的,而不是绝对的。因此,为进一步促进电子商务体系的完善和行业的健康快速发展,必须在实际运用中解决电子商务中出现的各类问题,使电子商务系统相对更安全。
参考文献:
篇10
一、电子商务的安全性要求
(一)电子商务活动安全性的要求
一是服务的有效性要求,电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。二是交易信息的保密性要求,电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。三是数据完整性要求,数字完整性是指在数据处理过程中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。四是身份认证的要求,电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律依据。
(二)电子商务的安全要素
一是信息真实性、有效性,电子商务以电子形式取代了纸张,如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。二是信息机密性,电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。三是信息完整性,电子商务简化了贸易过程,减少了人为的干预,同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。四是信息可靠性、可鉴别性和不可抵赖性,可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制,防止实体否认其行为;可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。
二、电子商务运用的安全技术
(一)网络节点的安全
防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,从而保护内部网免受非法用户的侵入。防火墙的应用可以有效的减少黑客的入侵及攻击,为电子商务的施展提供一个相对更安全的平台。防火墙能够有效地监视网络的通信信息,并记忆通信状态,从而做出允许或拒绝等正确的判断。通过灵活有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的网络系统。应给予特别注意的是,防火墙不仅仅是路由器、堡垒主机,或任何提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。
(二)通讯的安全
在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度,也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制, SSL 首先要求服务器向浏览器出示它的证书,证书包括一个公钥,由一家可信证书授权机构签发。浏览器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。验证此证书是合法的服务器证书通过后利用该证书对称加密算法与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。/ (三)应用程序的安全性
即使正确地配置了访问控制规则,要满足计算机系统的安全性也是不充分的,因为编程错误也可能引致攻击。程序错误有以下几种形式:程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件,特别是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可;程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制,程序员认为这个缺省的许可是正确的。这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度,假的输入字符串常常是可执行的命令,特权程序可以执行指令。
(四)用户的认证管理
一是身份认证,电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份, IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。二是CA证书,要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就是CA证书,它由认证授权中心发行。认证中心就是承担网上安全交易认证服务,能签发数字证书,并能确认户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。三是SSL协议,SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议以保证应用层数据传输的安全性。
篇11
一、前言
近年来,随着因特网的普及日渐迅速,电子交易开始融入人们的日常生活中,网上订货、网上缴费等众多电子交易方式为人们创造了便利高效的生活方式,越来越多的人开始使用电子商务网站来传递各种信息,并进行各种交易。电子商务网站传递各种商务信息依靠的是互联网,而互联网是一个完全开放的网络,任何一台计算机、任何一个网络都可以与之相连。它又是无国界的,没有管理权威,“是世界唯一的无政府领地”,因此,网上的安全风险就构成了对电子商务的安全威胁。
从发展趋势来看,电子商务正在形成全球性的发展潮流。电子商务的存在和发展,是以网络技术的革新为前提。电子商务系统的构建、运行及维护,都离不开技术的支持。同时,因为电子商务适合于各种大、小型企业,所以应充分考虑如何保证电子商务网站的安全。
二、电子商务网站的安全控制
电子商务的基础平台是互联网,电子商务发展的核心和关键问题就是交易的安全性。由于Internet本身的开放性,使网上交易面临了种种危险,也由此提出了相应的安全控制要求。
下面从技术手段的角度,从系统安全与数据安全的不同层面来探讨电子商务中出现的网络安全问题。
(一)系统安全
在电子商务中,网络安全一般包括以下两个方面:
1.信息保密的安全
交易中的商务信息均有保密的要求。如信用卡的帐号和用户名被人知悉,就可能被盗用,订货和付款的信息被竞争对手获悉,就可能丧失商机。因此在电子商务的信息传播中一般均有加密的要求。
2.交易者身份的安全
网上交易的双方很可能素昧平生,相隔千里。要使交易成功,首先要能确认对方的身份,对商家要考虑客户端不能是骗子,而客户也会考虑网上的商店是否是黑店。因此能方便而可靠地确认对方身份是交易的前提。
对于一个企业来说,信息的安全尤为重要,这种安全首先取决于系统的安全。系统安全主要包括网络系统、操作系统和应用系统三个层次。系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。
(1)网络系统
网络系统安全是网络的开放性、无边界性、自由性造成,安全解决的关键是把被保护的网络从开放、无边界、自由的环境中独立出来,使网络成为可控制、管理的内部系统,由于网络系统是应用系统的基础,网络安全便成为首要问题。解决网络安全主要方式有:
网络冗余——它是解决网络系统单点故障的重要措施。对关键性的网络线路、设备,通常采用双备份或多备份的方式。网络运行时双方对运营状态相互实时监控并自动调整,当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配,保证网络正常的运行。
系统隔离——分为物理隔离和逻辑隔离,主要从网络安全等级考虑划分合理的网络安全边界,使不同安全级别的网络或信息媒介不能相互访问,从而达到安全目的。对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。
访问控制——对于网络不同信任域实现双向控制或有限访问原则,使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制,对于网络资源来说保持有限访问的原则,信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙,它一般安置在不同安全域出入口处,对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制,同时实现网络地址转换、实时信息审计警告等功能,高级防火墙还可实现基于用户的细粒度的访问控制。
身份鉴别——是对网络访问者权限的识别,一般通过三种方式验证主体身份,一是主体了解的秘密,如用户名、口令、密钥;二是主体携带的物品,如磁卡、IC卡、动态口令卡和令牌卡等;三是主体特征或能力,如指纹、声音、视网膜、签名等。加密是为了防止网络上的窃听、泄漏、篡改和破坏,保证信息传输安全,对网上数据使用加密手段是最为有效的方式。目前加密可以在三个层次来实现,即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿,它对网络高层主体是透明的。网络层加密采用IPSEC核心协议,具有加密、认证双重功能,是在IP层实现的安全标准。通过网络加密可以构造企业内部的虚拟专网(VPN),使企业在较少投资下得到安全较大的回报,并保证用户的应用安全。
安全监测——采取信息侦听的方式寻找未授权的网络访问尝试和违规行为,包括网络系统的扫描、预警、阻断、记录、跟踪等,从而发现系统遭受的攻击伤害。网络扫描监测系统作为对付电脑黑客最有效的技术手段,具有实时、自适应、主动识别和响应等特征,广泛用于各行各业。网络扫描是针对网络设备的安全漏洞进行检测和分析,包括网络通信服务、路由器、防火墙、邮件、WEB服务器等,从而识别能被入侵者利用非法进入的网络漏洞。网络扫描系统对检测到的漏洞信息形成详细报告,包括位置、详细描述和建议的改进方案,使网管能检测和管理安全风险信息。
(2)操作系统
操作系统是管理计算机资源的核心系统,负责信息发送、管理设备存储空间和各种系统资源的调度,它作为应用系统的软件平台具有通用性和易用性,操作系统安全性直接关系到应用系统的安全,操作系统安全分为应用安全和安全漏洞扫描。
应用安全——面向应用选择可靠的操作系统,可以杜绝使用来历不明的软件。用户可安装操作系统保护与恢复软件,并作相应的备份。
系统扫描——基于主机的安全评估系统是对系统的安全风险级别进行划分,并提供完整的安全漏洞检查列表,通过不同版本的操作系统进行扫描分析,对扫描漏洞自动修补形成报告,保护应用程序、数据免受盗用、破坏。
(3)应用系统
办公系统文件(邮件)的安全存储:利用加密手段,配合相应的身份鉴别和密钥保护机制(IC卡、PCMCIA安全PC卡等),使得存储于本机和网络服务器上的个人和单位重要文件处于安全存储的状态,使得他人即使通过各种手段非法获取相关文件或存储介质(硬盘等),也无法获得相关文件的内容。
文件(邮件)的安全传送:对通过网络(远程或近程)传送给他人的文件进行安全处理(加密、签名、完整性鉴别等),使得被传送的文件只有指定的收件者通过相应的安全鉴别机制(IC卡、PCMCIAPC卡)才能解密并阅读,杜绝了文件在传送或到达对方的存储过程中被截获、篡改等,主要用于信息网中的报表传送、公文下发等。
业务系统的安全:主要面向业务管理和信息服务的安全需求。对通用信息服务系统(电子邮件系统、WEB信息服务系统、FTP服务系统等)采用基于应用开发安全软件,如安全邮件系统、WEB页面保护等;对业务信息可以配合管理系统采取对信息内容的审计稽查,防止外部非法信息侵入和内部敏感信息泄漏。
(二)数据安全
数据安全牵涉到数据库的安全和数据本身安全,针对两者应有相应的安全措施。
数据库安全——大中型企业一般采用具有一定安全级别的SYBASE或ORACLE大型分布式数据库,基于数据库的重要性,应在此基础上开发一些安全措施,增加相应控件,对数据库分级管理并提供可靠的故障恢复机制,实现数据库的访问、存取、加密控制。具体实现方法有安全数据库系统、数据库保密系统、数据库扫描系统等。
数据安全——指存储在数据库数据本身的安全,相应的保护措施有安装反病毒软件,建立可靠的数据备份与恢复系统,某些重要数据甚至可以采取加密保护。
(三)网络交易平台的安全
网上交易安全位于系统安全风险之上,在数据安全风险之下。只有提供一定的安全保证,在线交易的网民才会具有安全感,电子商务网站才会具有发展的空间。
交易安全标准——目前在电子商务中主要的安全标准有两种:应用层的SET(安全电子交易)和会话层SSL(安全套层)协议。前者由信用卡机构VISA及MasterCard提出的针对电子钱包/商场/认证中心的安全标准,主要用于银行等金融机构;后者由NETSCAPE公司提出针对数据的机密性/完整性/身份确认/开放性的安全协议,事实上已成为WWW应用安全标准。
交易安全基础体系——交易安全基础是现代密码技术,依赖于加密方法和强度。加密分为单密钥的对称加密体系和双密钥的非对称加密体系。两者各有所长,对称密钥具有加密效率高,但存在密钥分发困难、管理不便的弱点;非对称密钥加密速度慢,但便于密钥分发管理。通常把两者结合使用,以达到高效安全的目的。
交易安全的实现——交易安全的实现主要有交易双方身份确认、交易指令及数据加密传输、数据的完整性、防止双方对交易结果的抵赖等等。具体实现的途径是交易各方具有相关身份证明,同时在SSL协议体系下完成交易过程中电子证书验证、数字签名、指令数据的加密传输、交易结果确认审计等。
随着电子商务的发展,网上交易越来越频繁,调用每项服务时需要用户证明身份,也需要这些服务器向客户证明他们自己的身份。而保障身份安全的最有效的技术就是PKI技术。
PKI的应用在我国还处于起步阶段,目前我国大多数企业只是在应用它的CA认证技术。CA(CertificationAuthorty)是一个确保信任度的权威实体,主要职责是颁发证书、验证用户身份的真实性。由CA签发的网络用户电子身份证明—证书,任何相信该CA的人,按照第三方信任原则,都应当相信持有证明的该用户。CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。构建一个具有较强安全性的CA是至关重要的,这不仅与密码学有关系,而且与整个PKI系统的构架和模型有关。此外,灵活也是CA能否得到市场认同的一个关键,它不需支持各种通用的国际标准,并能很好地和其他厂家的CA产品兼容。在不久的将来,PKI技术会在电子商务和网络安全中得到更广泛的应用,从而真正保障用户和商家的身份安全。
三、目前信息安全的研究方向
从历史角度看,我国信息网络安全研究历经了通信保密、数据保护两个阶段,正在进入网络信息安全研究阶段,现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域,它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果,提出系统的、完整的和协同的解决信息网络安全的方案,从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究,各部分相互协同形成有机整体。
安全协议作为信息安全的重要内容,其形式化方法分析始于80年代初,目前有基于状态机、模态逻辑和代数工具的三种分析方法,但仍有局限性和漏洞,处于发展的提高阶段。作为信息安全关键技术密码学,近年来空前活跃,美、欧、亚各洲举行的密码学和信息安全学术会议频繁。1976年美国学者提出的公开密钥密码体制,克服了网络信息系统密钥管理的困难,同时解决了数字签名问题,它是当前研究的热点。
目前电子商务的安全性已是当前人们普遍关注的焦点,它正处于研究和发展阶段,并带动了论证理论、密钥管理等研究。由于计算机运算速度的不断提高,各种密码算法面临着新的密码体制,如量子密码、DNA密码、混沌理论等密码新技术出处于探索之中。在我国,信息网络安全技术的研究和产品开发虽处于起步阶段,有大量的工作需要我们去研究、开发和探索,但我们相信在不久的将来,会走出一条有中国特色的产学研联合发展之路,赶上或超过发达国家的水平,以此保证我国信息网络的安全,推动我国国民经济的高速发展。
四、结束语
电子商务是以互联网为活动平台的电子交易,它是继电子贸易(EDI)之后的新一代电子数据交换形式。计算机网络的发展与普及,直接带动电子商务的发展。因此计算机网络安全的要求更高,涉及面更广,不但要求防治病毒,还要提高系统抵抗外来非法黑客入侵的能力,还要提高对远程数据传输的保密性,避免在传输途中遭受非法窃取,以保证系统本身安全性,如服务器自身稳定性,增强自身抵抗能力,杜绝一切可能让黑客入侵的渠道等等。对重要商业应用,还必须加上防火墙和数据加密技术加以保护。在数据加密方面,更重要的是不断提高和改进数据加密技术,使不法分子难有可乘之机。
参考文献:
[1]佚名.解析电子商务安全[EB/OL].
[2]佚名.网络构建与维护[EB/OL].,2006-07-16.
篇12
随着开放的互联网络系统Internet的飞速发展，电子商务的应用和推广极大了改变了人们工作和生活方式，带来了无限的商机。然而，电子商务发展所依托的平台—互联网络却充满了巨大、复杂的安全风险。黑客的攻击、病毒的肆虐等等都使得电子商务业务很难安全顺利地开展；此外，电子商务的发展还面临着严峻的内部风险，电子商务企业内部对安全问题的盲目和安全意识的淡薄，高层领导对电子商务的运作和安全管理重视程度不足，使得企业实施电子商务不可避免地会遇到这样或那样的风险。因此，在考察电子商务运行环境、提供电子商务安全解决方案的同时，有必要重点评估电子商务系统面临的风险问题以及对风险有效管理和控制方法。
电子商务安全的风险管理是对电子商务系统的安全风险进行识别、衡量、分析，并在这基础上尽可能地以最低的成本和代价实现尽可能大的安全保障的科学管理方法。
2 电子商务面临的安全风险
由于网络的复杂性和脆弱性，以因特网为主要平台的电子商务的发展面临着严峻的安全问题。一般来说，电子商务普遍存在着以下几个安全风险：
1）信息的截获和窃取
这是指电子商务相关用户或外来者未经授权通过各种技术手段截获和窃取他人的文电内容以获取商业机密。
2）信息的篡改
网络攻击者依靠各种技术方法和手段对传输的信息进行中途的篡改、删除或插入，并发往目的地，从而达到破坏信息完整性的目的。
3）拒绝服务
拒绝服务是指在一定时间内，网络系统或服务器服务系统的作用完全失效。其主要原因来自黑客和病毒的攻击以及计算机硬件的认为破坏。
4）系统资源失窃问题
在网络系统环境中，系统资源失窃是常见的安全威胁。
5）信息的假冒
信息的假冒是指当攻击者掌握了网络信息数据规律或解密了商务信息后，可以假冒合法用户或假冒信息来欺骗其它用户。主要表现形式有假冒客户进行非法交易，伪造电子邮件等。
6）交易的抵赖
交易抵赖包括发信者事后否认曾经发送过某条信息；买家做了定单后不承认；卖家卖出的商品因价格差而不承认原先的交易等。
3 风险管理规则
针对电子商务面临的各种安全风险，电子商务企业不能被动、消极地应付，而应该主动采取措施维护电子商务系统的安全，并监视新的威胁和漏洞。因此，这就需要制定完整高效的电子商务安全风险管理规则。
一般来说，风险管理规则的制定过程有评估、开发和实施以及运行三个阶段。
（1）评估阶段
该阶段的主要任务是对电子商务的安全现状、要保护的信息、各种资产等进行充分的评估以及一些基本的安全风险识别和分析。
对电子商务安全现状的评估是制定风险管理规则的基础。
对信息和资产的评估是指对可能遭受损失的相关信息和资产进行价值的评估，以便确定相适应的风险管理规则，从而避免投入成本和要保护的信息和资产的严重不匹配。
安全风险识别要求尽可能地发现潜在的安全风险，应收集有关各种威胁、漏洞、开发和对策的信息。
安全风险分析是确定风险，收集信息，对可能造成的损失进行评价以估计风险的级别，以便做出明智的决策，从而采取措施来规避安全风险。
（2）开发和实施阶段
该阶段的任务包括风险补救措施开发、风险补救措施测试和风险知识学习。
风险补救措施开发利用评估阶段的成果来建立一个新的安全管理策略，其中涉及配置管
理、修补程序管理、系统监视与审核等等。
在完成对风险补救措施的开发后，即进行安全风险补救措施的测试，在测试过程中，将按照安全风险的控制效果来评估对策的有效性。
（3）运行阶段
运行阶段的主要任务包括在新的安全风险管理规则下评估新的安全风险。这个过程实际上是变更管理的过程，也是执行安全配置管理的过程。
运行阶段的第二个任务是对新的或已更改的对策进行稳定性测试和部署。这个过程由系统管理、安全管理和网络管理小组来共同实施。
以上风险管理规则的三个阶段可以用下图来表示：
4 风险管理步骤
风险管理是识别风险、分析风险并制定风险管理计划的过程。电子商务安全风险的管理和控制方法，它包括风险识别、风险分析、风险控制以及风险监控等四个方面。
（1）风险识别
电子商务系统的安全要求是通过对风险的系统评估而确认的。为了有效管理电子商务安全风险，识别安全风险是风险管理的第一步。
风险识别是在收集有关各种威胁、漏洞和相关对策等信息的基础上，识别各种可能对电子商务系统造成潜在威胁的安全风险。
风险识别的手段五花八门，对于电子商务系统的安全来说，风险识别的目标是主要是对电子商务系统的网络环境风险、数据存在风险和网上支付风险进行识别。
需要注意的是，并非所有的电子商务安全风险都可以通过风险识别来进行管理，风险识别只能发现已知的风险或根据已知风险较容易获知的潜在风险。而对于大部分的未知风险，则依赖于风险分析和控制来加以解决或降低。
（2）风险分析
风险分析是运用分析、比较、评估等各种定性、定量的方法，确定电子商务安全各风险要素的重要性，对风险排序并评估其对电子商务系统各方面的可能后果，从而使电子商务系统项目实施人员可以将主要精力放在对付为数不多的重要安全风险上，使电子商务系统的整体风险得到有效的控制。风险分析是一种确定风险以及对可能造成的损失进行评估的方法，它是制定安全措施的依据。
风险分析的目标是：确定风险，对可能造成损坏的潜在风险进行定性化和定量化，以及最后在经济上寻求风险损失和对风险投入成本的平衡。
目前，风险分析主要采用的方法有：风险概率/影响评估矩阵，敏感性分析，模拟等。在进行电子商务安全风险分析时，由于各影响因素量化在现实上的困难，可根据实际需要，主要采用定性方法为主辅以少量定量方法相结合来进行风险分析，为制定风险管理制度和风险的控制提供理论上的依据。
（3）风险控制
风险控制就是选择和运用一定的风险控制手段，以保障风险降到一个可以接受的水平。风险控制是风险管理中最重要的一个环节，是决定风险管理成败的关键因素。电子商务安全风险控制的目标在于改变企业电子商务项目所承受的风险程度。
一般来说，风险控制方法有两类：
第一类是风险控制措施，比如降低、避免、转移风险和损失管理等。在电子商务安全风险管理中，比较常用的是转移风险和损失管理。
第二类为风险补偿的筹资措施，包括保险与自担风险。在电子商务安全风险
管理中，管理人员需要对风险补偿的筹资措施进行决策，即选择保险还是自担风险。
此外，风险控制方法的选择应当充分考虑相对风险造成损失的成本，当然其它方面的影响也是不容忽视的，如企业商誉等。
对电子商务安全来说，其有效可行的风险控制方法是：建立完整高效的降低风险的安全性解决方案，掌握保障安全性所需的一些基础技术，并规划好发生特定安全事故时企业应该采取的解决方案。
5 风险管理对策
由于电子商务安全的重要性，所以部署一个完整有效的电子商务安全风险管理对策显得十分迫切。制定电子商务安全风险管理对策目的在于消除潜在的威胁和安全漏洞，从而降低电子商务系统环境所面临的风险。
目前的电子商务安全风险管理对策中，较为常用的是纵深防御战略，所谓纵深防御战略，就是深层安全和多层安全。通过部署多层安全保护，可以确保当其中一层遭到破坏时，其它层仍能提供保护电子商务系统资源所需的安全。比如，一个单位外部的防火墙遭到破坏，由于内部防火墙的作用，入侵者也无法获取单位的敏感数据或进行破坏。在较为理想的情况下，每一层均提供不同的对策以免在不同的层中使用相同的攻击方法。
下图为一个有效的纵深防御策略：
图2 有效的纵深防御策略
下面就各层的主要防御内容从外层到里层进行简要的说明：
1）物理安全
物理安全是整个电子商务系统安全的前提。制定电子商务物理安全策略的目的在于保护计算机系统、电子商务服务器等各电子商务系统硬件实体和通信链路免受自然灾害和人为破坏造成的安全风险。
2）周边防御
对网络周边的保护能够起到抵御外界攻击的作用。电子商务系统应尽可能安装某种类型的安全设备来保护网络的每个访问节点。在技术上来说，防火墙是网络周边防御的最主要的手段，电子商务系统应当安装一道或多道防火墙，以确保最大限度地降低外界攻击的风险，并利用入侵检测功能来及时发现外界的非法访问和攻击。
3）网络防御
网络防御是对网络系统环境进行评估，采取一定措施来抵御黑客的攻击，以确保它们得到适当的保护。就目前来说，网络安全防御行为是一种被动式的反应行为，而且，防御技术的发展速度也没有攻击技术发展得那么快。为了提高网络安全防御能力，使网络安全防护系统在攻击与防护的对抗中占据主动地位，在网络安全防护系统中，除了使用被动型安全工具（防火墙、漏洞扫描等）外，也需要采用主动型安全防护措施（如：网络陷阱、入侵取证、入侵检测、自动恢复等）。
4）主机防御
主机防御是对系统中的每一台主机进行安全评估，然后根据评估结果制定相应的对策以限制服务器执行的任务。在主机及其环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。这些应用能够提供包括信息访问、存储、传输、录入等在内的服务。根据信息保障技术框架，对主机及其环境的安全保护首先是为了建立防止有恶意的内部人员攻击的首道防线，其次是为了防止外部人员穿越系统保护边界并进行攻击的最后防线。
5）应用程序防御
作为一个防御层，应用程序的加固是任何一种安全模型中都不可缺少的一部分。加强保护操作系统安全只能提供一定程度的保护。因此，电子商务系统的开发人员有责任将安全保护融入到应用程序中，以便对体系结构中应用程序可访问到的区域提供专门的保护。应用程序存在于系统的环境中。
6）数据防御
对许多电子商务企业来说，数据就是企业的资产，一旦落入竞争者手中或损坏将造成不可挽回的损失。因此，加强对电子商务交易及相关数据的防护，对电子商务系统的安全和电子商务项目的正常运行具有重要的现实意义
6 结论
一般来说，风险管理有基本的三个对策，包括管理者采取适当措施来降低风险事故发生的概率；管理者准备并实施一个意外事故应急计划以备不测；还有就是管理者什么都不做。对已选定的对策，应对其潜在的风险有充分的估计，并制定相应的应变计划，以使可能的风险损失降到最低。
风险管理没有铁定的规则，对于电子商务安全风险管理来说，首先是扫描和检测电子商务系统的内外部环境，检查系统的脆弱性和薄弱环节，及时打上补丁和追加设备，以便当风险产生时尽可能地减少损失；其次是对电子商务安全风险进行充分地分析，然后制定相应的规划和措施，并在其实施的每个阶段进行监控和跟踪；最后是根据环境的变化随时调险管理措施，制定完备的灾难恢复计划。
参考文献
[1]甘早斌．电子商务概论（第二版）．华中科技大学出版社．2003.9
[2]钟诚．电子商务安全．重庆大学出版社．2004.6
[3]才书训．电子商务安全风险管理与控制．东北大学出版社．2004.6
[4]易珊，张学哲．电子商务安全策略分析．科技情报开发与经济．2004.5
[5]高新亚，邹静．电子商务安全的风险分析和风险管理．武汉理工大学学报.信息与管理工程版．2005.8
[6]郭学勤，陈怡．电子商务安全对策．计算机与数字工程．2001.7
篇13
一、电子商务安全评估概述
1.电子商务安全评估的定义。电子商务安全评估是运用系统的方法，对电子商务系统、各种电子商务安全保护措施、管理机制以及结合所产生的客观效果作出是否安全的结论。
2.电子商务安全评估的重要性。由于信息技术本身有其固有的敏感性和特殊性，这就使得对企业电子商务产品是否安全，电子商务安全产品及其网络系统是否可靠，企业电子商务系统是否健壮，电子商务管理是否严格，信息风险防范的准备是否充足等方面都成为需要科学评价和证实的问题。电子商务安全系统所保护的是敏感信息，评估必须可靠、可信、可操作，并且能依赖于成熟的信息安全理论、科学的评估方法和完善的标准体系，具有令人信服的科学性和公正性。
3.电子商务安全评估的主要内容。具体来讲，电子商务安全评估的主要内容有环境控制、应用安全、管理机制、远程通信安全、审计机制等五个方面的内容。环境控制分为实体的、操作系统的及管理的三个部分。应用安全包括输出输入控制、系统内部控制、责任划分、输出的用途、程序的敏感性和脆弱性、用户满意度等。管理机制包括规章制度、紧急恢复措施、人事制度（如防止工作人员调入、调离对安全的影响）等。远程通信安全包括加密、数据签名等。审计机制包括系统审计跟踪的功能和成效等。
二、电子商务安全
1.电子商务安全需求。在电子商务中，任何与交易有关的信息都通过网络交换，都有可能会被篡改、窃听、冒名使用或交易后否认。保证电子商务的安全需提供以下安全保护：（1）完整性保护。确保消息内容在传输和处理过程中没有被添加、删除或修改。（2）真实性保护。能对交易者身份进行鉴别，为身份的真实性提供保证。（3）机密性保护。能防止电子商务参与者的信息在存储、处理、传输过程中泄漏给未经授权的人或实体。（4）抗抵赖。抗抵赖就是为交易的双方提供证据，以解决因否认而产生的纠纷。它实际上建立了交易双方的责任机制。
2.电子商务安全隐患。电子商务不但面临着其系统自身的安全性问题，计算机及通信网络的安全性问题同样会蔓延到电子商务中。归结起来，电子商务中的安全患主要有其应用层、传输层、存储层和系统层等四个方面：（1）系统层安全性漏洞。电子商务系统的运作须以系统层的软硬件为基础，因此系统层所的安全性漏洞将直接会造成电子商务中的安全患。（2）存储层的安全漏洞。存储层的安全漏洞包括两个方面的问题：1）意外情况造成的数据破坏。无论多么稳定的系统，意外情况总是不可避免的，电子商务系统也不例外。如果对意外情况造成的损失没有充分的估计和完备的补救措施，那么意外情况造成的数据破坏是不可避免的。而数据破坏将对整个电子商务系统的稳定性和安全性造成威胁。2）有意人为侵害造成的破坏。电子商务起步不久，安全性措施尚不完善，是网络黑客攻击的焦点。黑客往往利用电子商务系统中的种种安全性漏洞，窃取和破坏系统数据，甚至修改系统，对整个系统的正常运作造成严重危害。因此，一个成功的电子商务系统必须能有效的防止人为侵害。（3）传输层的安全漏洞。传输层的安全漏洞包括传输过程中的数据截获电子商务系统中的数据在传输过程中可能受到截获，传输过程中的数据完整性破坏以及跨平台数据交换引起的数据丢失等三个方面的问题。（4）应用层的安全漏洞。应用层的安全漏洞包括冒充他人身份和抵赖已经做过的交易两个方面的问题。
3.电子商务安全要求。（1）信息的有效性要求。电子形式贸易信息的有效性则是电子商务活动的前提。电子商务信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。一旦签订交易后，这项交易就应受到保护以防止被篡改或伪造。（2）信息的保密性要求。电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。电子商务是建立在开放的网络环境上，维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。（3）信息的完整性要求。电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。（4）信息的不可抵赖性要求。电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方，这一问题则是保证电子商务顺利进行的关键。（5）交易身份的真实性要求。交易者身份的真实性是指交易双方确实是存在的。网上交易的双方要使交易成功，必须互相信任，确认对方真实，对商家要考虑客户是否有信誉。（6）系统的可靠性要求。电子商务系统的可靠性是指防止由于计算机失效、程序错误、传输错误、硬件故障、系统软件错误、数据库出错、计算机病毒和自然灾害所产生的潜在威胁，并加以控制和预防，确保系统安全可靠性。保证计算机系统的安全是保证电子商务系统数据传输及电子商务完整性检查的正确和可靠的根基。
4.电子商务安全技术。通过使用各种密码技术，可以满足不同的安全需求。（1）完整性保护技术。完整性保护技术是用于提供消息认证的安全机制。典型的完整性保护技术是消息认证码是将利用一个带密钥的杂凑函数对消息进行计算，产生消息认证码，并将它附着在消息之后一起传给接收方，接收方在收到消息后可以重新计算消息认证码，并将其与接收到的消息认证码进行比较：如果它们相等，接收方就认为消息没有被篡改；如果它们不相等，接收方就知道消息在传输过程中被篡改了。（2）真实性保护技术。真实性保护技术用来确认某一实体所声称的身份，以对抗假冒攻击。在电子商务中，交易信息通过网络转发，可能在传输过程有一定的延迟，需要通过数据源鉴别来确认交易信息的真正来源。（3）机密性保护技术。机密性保护技术是为了防止敏感数据泄漏给那些未经授权的实体。（4）抗抵赖技术。抗抵赖技术是为了防止恶意主体事后否认所发生的事实或行为。要解决上述问题，必须在每一事件发生时，留下关于该事件的不可否认证据。当出现纠纷时，可由可信第三方验证这些留下的证据.这些证据必须具有不可伪造或防篡改的特点。
三、电子商务安全评估的标准
标准是技术性法规，作为一种依据和尺度。没有标准，国家有关的立法、执法就会因缺乏相应的技术尺度而失之偏颇，最终会给国家信息安全的管理带来严重后果，建立评估标准的目的是建立一个世界各国都能接受的通用的信息安全产品和系统的安全性评价准则，国家与国家之间可以通过签订互认协议，决定相互接受的认可级别，这样就能使大部分的基础性安全机制在任何一个地方通过评估准则评价并得到许可进入国际市场时，不需要再作评价，使用国只需要测试与国家和安全相关的安全功能即可，从而可以大幅度节省评价支出并迅速推向市场。但是，由于信息安全产品和系统的安全性评价事关国家和安全利益，所以没有一个国家会把事关国家安全利益的信息安全产品和系统的安全可信性建立在别人的评价基础上，而是在充分借鉴国际标准的前提下，制定自己的测评认证标准。在计算机信息技术安全标准发展的历史上，美国、加拿大、欧盟以及中国开发出了多种计算机系统及产品安全评估准则与标准。
四、电子商务安全的国际评估标准
1.TCSEC――美国计算机安全标准。TCSEC―可信计算机系统评估准则。1985年，美国了第一个计算机安全标准，即现在经常谈论的可信计算机系统评估准则（TCSEC），由于采用了橘色书皮，也称“橘皮书”。TCSEC中定义的准则主要涉及商用可信自动数据处理系统。准则中描绘了不同安全等级的最低要求特点和可信措施。其目的之一是为生产厂家提供一种安全标准，二是为国防部评估信息产品可信度提供一种安全量度，三是为了产品规格中规定的安全要求提供基准。可信计算机系统评估准则的安全等级分为A、B、C、D四级。其中A为最高级，D为最低级。每级的具体划分确定按安全策略、可计算性、可信赖性和文件编制四个方面进行。
2.ITSEC――欧洲信息技术安全评估准则。欧洲信息技术安全评估准则（ITSEC）将安全功能和功能评估的概念区分开来。每个产品最少给出两个基本参数，其中一个是安全功能，另一个是实现的准确性。功能性准则的度量范围为F1~F10共十级，其中F1对应了TCSEC的C1级……F5对应于B3级。F6～F10的功能和规格添加了下述一些概念：F6添加了数据和程序的完整性概念；F7添加了系统可用性概念；F8添加了数据通信完整性概念；F9添加了通信机密性概念；F10添加了网络安全，包括机密性和完整性概念。
参考文献：
[1]刘艳慧.电子商务及其安全性研究与应用[D].天津：天津大学，2008.
