引论：我们为您整理了13篇电子商务信息安全范文，供您借鉴以丰富您的创作。它们是您写作时的宝贵资源，期望它们能够激发您的创作灵感，让您的文章更具深度。
篇1
一、我国电子商务发展概况
由于网络环境具有开放性的特点，电子商务使企业、消费者可以通过网络进行交易，极大的丰富了人们购物的方式。而随着计算机网络技术的快速发展，电子商务相关技术也越来越完善，市场环境愈加成熟，以电子商务为主的网上交易模式得到了广大人民的青睐。电子商务不但使得交易模式更加快捷，让消费者可以通过电子商务平台轻松购买到自己想要的商品，从商家的立场来说，还促使商家构建出自己的电子商务网络平台，实现商品的网络在线销售，极大的提高了企业的经济效益。我国企业电子商务模式种类繁多，其差异主要体现在交易模式及付款方式的不同，有B2B、B2C、C2C等模式，这里B指的是Business，即企业，C指的是Customer，即客户。
B2B模式中的交易双方都是企业用户，大多通过网络形成交易合同，然后通过现实银行支票或转账等方式进行付款；在C2C模式中，交易双方是个人对个人的交易形式，其中以淘宝店主作为主要代表，商务活动主要是个人与个人之见的交易活动，双方通过第三方网站支付平台进行相应的付款与收款交接；在B2C模式中，交易双方中的一方是企业，另外一方是个人，电商企业通过电子商务销售平台将商品推销给个体消费者。这种电子商务经营模式，彻底的改变了传统的卖家―经销商―买家的交易模式，极大的提高了企业的经济效益，并且缩短了交易的时间。
二、当前电子商务信息安全现状
电子商务作为一种新型的商业经营模式，使商务活动交易双方在不见面的情况下，通过互联网手段完成商业交易，而这一特点也给电子商务信息埋下了安全隐患。电子商务高度网络化的特点，对电子商务安全性有着较高的要求。第一，要严格化用户信息数据传输、处理以及存储的过程，确保在商务活动交易过程中交易双方信息的完整性，避免交易双方信息在处理的过程中出现错误；第二，要对交易双方的身份进行核实认证，保障交易过程中交易双方身份信息的真实性，第三，要保障电子商务交易平台系统软件的稳定性，定期更新硬件设备，在最大程度上保证电子商务信息安全，加强电子商务的安全技术和安全管理，以确保电子商务的信息安全性。当前电子信息安全问题主要表现为以下形式：
（一）病毒与黑客
由于网络环境的开放性特点，网络病毒具有极强的传染力和破坏力，它侵入到电子商务的系统中，破坏商务交易数据程序，对电子商务系统造成无法估量的损失。而网络黑客主要通过黑客程序进入电子商务信息系统漏洞，进而侵入到电子商务系统中，窃取用户私人信息进行恶意利用，有些黑客窃取竞争对手的商业机密对其进行商业打击。
（二）软件漏洞
由于计算机软件编程具有复杂多样的特点，电子商务系统软件经常出现信息泄露的问题。如果程序中的文档秘密入口被其他程序员恶意使用，将导致无法估量的损失；而由于操作系统自身的安全漏洞，例如访问控制混乱、I/O非法访问、不完全中介、数据库安全漏洞等等，都将严重危害电子商务系统的信息安全，在TCP/IP的通信协议设计初期阶段，程序员没有充分考虑软件安全的问题，导致计算机在连接Internet时，经常受到外界各类恶意软件的攻击，使得信息被窃取。
（三）技术落后
由于我国网络信息技术发展滞后，当前电子商务系统中仍存在信息安全问题。当前我国多数计算机设备皆来源于进口，计算机芯片技术不成熟，网络设备的技术及维护技术大多从国外引进，如果软件中隐性漏洞被人恶意利用，将造成严重的电子商务信息安全问题。
三、电子商务信息安全防范措施分析
（一）电子商务法规制度
企业需要做好管理体制的建设工作，不断加强内部的安全管理，提高企业的安全意识，为了保证电子商务活动中用户的隐私。同时政府需要不断完善电子商务相关法规，制定科学合理的赔偿制度，为电子商务的发展创造必要的法律环境。
（二）病毒防范处理技术
计算机病毒防范处理技术是保证电子商务系统信息安全的重要途径。病毒管理工作要坚持防范大于治疗的原则，使用各种病毒预防方法来进行预防，例如对新购入的计算机硬件及软件进行严格化检测、定期进行数据备份等，同时设置合理的文件访问权限、对文件进行定期扫描检测。此外，定期更改系统管理员口令，以免不法分子非法获取管理员口令，安装防病毒芯片，做好病毒防御工作。若电子商务的计算机系统感染病毒，必须立即对其进行清除和系统恢复的工作。在清除病毒时需要使用干净盘来进行系统恢复，保证杀毒工作处于无病毒环境中，同时尽快找出病毒宿主程序，在启动盘和杀毒盘上安装保护程序，防止病毒的进一步传染。此外，要保证病毒清除工作的全面性与准确性，及时清除病毒文件。如此才能彻底清除电子商务系统感染的病毒，保证电子商务用户的信息安全。
（三）数据加密技术
加密技术是计算机网络信息安全技术的基础技术之一，大多被应用于数据存储与传输的过程中。数据加密技术使用数学方法将信息进行再组织和加密，使非法接受者无法正常接收网络数据，而合法接受者可以通过密钥，对数据进行解密来得到信息，极大地保证了信息安全。由于在数据安全保护方面独具优势，数据加密技术被广泛应用于电子商务信息安全管理工作中。
（四）防火墙技术
防火墙技术是保障电子商务信息安全的重要方法，它极大的限制了公共数据与服务对于防火墙内资源的访问权限，然而防火墙对病毒没有防范的作用，并且由于防火墙数据时常无法及时更新，导致产生数据延迟，极大地制约了实时服务支持请求。同时防火墙通常采取的滤波技术会使网络性能降低一半以上，而为了保证网络性能，企业需要配置高速路由器，这不利于企业经济效益的提高。防火墙技术是一种大众化的电子商务信息安全防范技术，拥有颇高的透明度，并且易于操作，能在一定程度上保证电子商务信息安全。然而，如果防火墙被入侵，电子商务系统信息安全将受到极大的损害。同时防火墙也无法满足企业与个体之间商业网络通信的需求。
（五）授权认证技术分析
目前国际电子商务大多采用CA认证技术来处理电子商务信息的安全问题。作为电子商务系统中的权威机构，所有的电子商务系统数字证书都要通过CA认证中心的授权，因此CA认证技术中心受到了广大用户的信任。其主要通过身份识别、数字化签名等技术途径来处理电子商务系统中身份认证的问题，确保商务互动交易双方身份的真实有效，使数据存储、传输的安全得到保证。
结束语
总而言之，电子商务虽然给企业带来了极大的经济效益，然而由于网络环境具有开放性的特点，易产生安全漏洞和信息泄露等问题，从而使电子商务活动中双方带来重大的经济损失，因此要不断完善对计算机信息安全技术，电子商务活动环节进行有效监测，保证电子商务信息安全，促使电子商务系统健康发展。
参考文献
[1]崔晓慧.关于电子商务信息安全的探讨[J].现代营销，2013，（4）.
篇2
移动电子商务因其快捷方便、无所不在的特点，已经成为电子商务发展的新方向。因为只有移动电子商务才能在任何地方、任何时间，真正解决做生意的问题。
但是对于任何通过无线网路（如:GSM网路）进行金融交易的用户，安全和隐私问题无疑是其关注的焦点。由于移动电子商务的特殊性，移动电子商务的安全问题尤其显得重要。尤其对于有线电子商务用户来说，通常认为物理线缆能带来更好的安全性，从而排斥使用移动电子商务。移动电子商务是一个系统工程，本文从技术、安全、隐私和法制等方面讨论了移动商务的展所面临的种种问题，并指出这些问题的有效解决是建设健康、安全的移动电子商务的重要保证。
一、移动通信新技术的驱动
1.无线应用协议（WAP）
无线应用协议WAP是无线通信和互联网技术发展的产物，它不仅为无线设备提供丰富的互联网资源，也提供了开发各种无线网路应用的途径。1998年，WAP论坛公布了WAP1.0版本，制定了一套专门为移动互联网而设计的应用协议，具有良好的开放性和互通性。随着移动通信网传输速率的显著提高，WAP论坛于2001年颁布了WAP2.0版本，该版本增加了对HTTP、TLS和TCP等互联网协议的支持，WAP的工作大大简化。WAP2.0模式有利于实现电子商务所需的端到端安全性，可以提供TLS隧道。
2.移动IP技术
移动IP技术，是指移动用户可在跨网络随意移动和漫游中，使用基于TCP/IP协议的网络时，不用修改计算机原来的IP地址，同时，也不必中断正在进行的通信。移动IP通过AAA（Authentication,Authorization,Accounting)机制，实现网络全方位的安全移动或者漫游功能。移动IP在一定程度上能够很好地支持移动商务的应用。
3.第三代（3G）移动通信系统
第三代移动通信系统，简称3G，是指将无线通信与互联网等多媒体通信结合的移动通信系统。它能够处理图像、话音、视频流等多种媒体形式，提供包括网页浏览、电话会议、电子商务等多种信息服务。与2G相比，3G产品可提供数据速率高达2Mbps的多媒体业务。在我国，以TD-SCDMA技术为基础的3G基础设施和产品的建设和研制发展迅速，我国发展3G的条件已经基本具备。由于3G带来的高速率、移动性和高安全性等特点，必然会给移动电子商务的应用带来巨大商机。
4.无线局域网（WLAN）技术
美国电子电器工程师协会IEEE在1991年就启动了WLAN标准工作组，称为IEEE802.11，并在1997年产生了WLAN标准－IEEE802.11，后来又相继推出了IEEE802.11a,IEEE802.11b和IEEE802.11g等一系列新的标准。802.11WLAN标准自公布之日起，安全问题一直是其被关注的焦点问题。802.11b采用了基于RC4算法的有线对等保密（WEP）机制，为网络业务流提供安全保障，但其加密和认证机制都存在安全漏洞。802.11i是2004年6月批准的WLAN标准，其目的是解决802.11标准中存在的安全问题。802.11i应用TKIP（Temporalkeyintegrityprotocol）加密算法和基于AES高级加密标准的CBC-MACProtocol(CCMP)。其中TKIP仍然采用RC4作为其加密算法，可以向后兼容802.11a/b/g等硬件设备。中国宽带无线IP标准工作组制订了WLAN国家标准GB15629.11，定义了无线局域网鉴别与保密基础结构WAPI，大大减少了WLAN中的安全隐患。
二、移动电子商务面临的安全威胁
尽管移动电子商务给工作效率的提高带来了诸多优势（如：减少了服务时间，降低了成本和增加了收入），但安全问题仍是移动商务推广应用的瓶颈。有线网络安全的技术手段不完全适用于无线设备，由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序。例如：目前还没有有效抵制手机病毒的防护软件。
1.网络本身的威胁
无线通信网络可以不像有线网络那样受地理环境和通信电缆的限制就可以实现开放性的通信。无线信道是一个开放性的信道，它给无线用户带来通信自由和灵活性的同时，也带来了诸多不安全因素：如通信内容容易被窃听、通信双方的身份容易被假冒，以及通信内容容易被篡改等。在无线通信过程中，所有通信内容（如：通话信息，身份信息，数据信息等）都是通过无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取无线信道上传输的内容。这对于无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。
2.无线adhoc应用的威胁
除了互联网在线应用带来的威胁外，无线装置给其移动性和通信媒体带来了新的安全问题。考虑无线装置可以组成adhoc网路。Adhoc网络和传统的移动网络有着许多不同，其中一个主要的区别就是AdHoc网络不依赖于任何固定的网络设施，而是通过移动节点间的相互协作来进行网络互联。由于其网络的结构特点，使得AdHoc网络的安全问题尤为突出。Adhoc网路的一个重要特点是网络决策是分散的，网络协议依赖于所有参与者之间的协作。敌手可以基于该种假设的信任关系入侵协作的节点。
3.网路漫游的威胁
无线网路中的攻击者不需要寻找攻击目标，攻击目标会漫游到攻击者所在的小区。在终端用户不知情的情况下，信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险，没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立，使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书。攻击者可以利用该漏洞来获利。
4.物理安全
无线设备另一个特有的威胁就是容易丢失和被窃。因为没有建筑、门锁和看管保证的物理边界安全和其小的体积，无线设备很容易丢失和被盗窃。对个人来说，移动设备的丢失意味着别人将会看到电话上的数字证书，以及其他一些重要数据。利用存储的数据，拿到无线设备的人就可以访问企业内部网络，包括Email服务器和文件系统。目前手持移动设备最大的问题就是缺少对特定用户的实体认证机制。
三、移动商务面临的隐私和法律问题
1.垃圾短信息
在移动通信给人们带来便利和效率的同时，也带来了很多烦恼，遍地而来的垃圾短信广告打扰着我们的生活。在移动用户进行商业交易时，会把手机号码留给对方。通过街头的社会调查时，也往往需要被调查者填入手机号码。甚至有的用户把手机号码公布在网上。这些都是公司获取手机号码的渠道。垃圾短信使得人们对移动商务充满恐惧，而不敢在网络上使用自己的移动设备从事商务活动。目前，还没有相关的法律法规来规范短信广告，运营商还只是在技术层面来限制垃圾短信的群发。目前，信息产业部正在起草手机短信的规章制度，相信不久的将来会还手机短信一片绿色的空间。
2.定位新业务的隐私威胁
定位是移动业务的新应用，其技术包括:全球定位系统，该种技术利用24颗GPS卫星来精确（误差在几米之内）定位地面上的人和车辆；基于手机的定位技术TOA，该技术根据从GPS返回响应信号的时间信息定位手机所处的位置。定位在受到欢迎的同时，也暴露了其不利的一面——隐私问题。移动酒吧就是一个典型的例子，当你在路上时，这种服务可以在你的PDA上列出离你最近的5个酒吧的位置和其特色。或者当你途经一个商店时，会自动向你的手机发送广告信息。定位服务在给我们带来便利的同时，也影响到了个人隐私。利用这种技术，执法部门和政府可以监听信道上的数据，并能够跟踪一个人的物理位置。
3.移动商务的法律保障
电子商务的迅猛发展推动了相关的立法工作。2005年4月1日，中国首部真正意义上的信息化法律《电子签名法》正式实施，电子签名与传统的手写签名和盖章将具有同等的法律效力，标志着我国电子商务向诚信发展迈出了第一步。《电子签名法》立法的重要目的是为了促进电子商务和电子政务的发展，增强交易的安全性。
参考文献：
篇3
一、电子商务中的信息安全问题
1.截获信息。未加密的数据信息在网络上以明文形式传送，入侵者在数据包经过的网关或路由器上可以截获传送的信息。
2.篡改信息。当入侵者掌握了信息的格式和规律后，通过各种技术手段和方法，将网络上传送的信息数据在中途修改，然后再发向目的地，从而导致部分信息与原始信息不一致。
3.伪造信息。攻击者冒充合法用户发送假冒的信息或者主动获取信息，而远端用户通常很难分辨。
4.中断信息。攻击者利用IP欺骗，伪造虚假TCP报文，中断正常的TCP连接，从而造成信息中断。
二、PKI及其加密体制
电子商务的信息安全在很大程度上依赖于技术的完善，这些技术包括:密码技术、鉴别技术、访问控制技术、信息流控制技术、数据保护技术、软件保护技术、病毒检测及清除技术、内容分类识别和过滤技术、网络隐患扫描技术、系统安全监测报警与审计技术等。其中密码技术和鉴别技术是重中之重，PKI及其加密体制是实现这两种技术的载体。
1.PKI的定义和功能。PKI是对公钥所表示的信任关系进行管理的一种机制，它为Internet用户和应用程序提供公钥加密和数字签名服务，PKI的功能主要包括:公钥加密、证书、证书确认、证书撤销。
2.对称密码体制。对称密码体制的基本特点是解密算法就是加密算法的逆运算，加秘密钥就是解秘密钥。在对称密码系统中发送者和接收者之间的密钥必须安全传送，而双方实体通信所用的秘密钥也必须妥善保管。常见的对称加密算法包括DES、三重DES和IDEA等。
3.非对称密码体制。非对称密码体制也称公钥密码体制。非对称密码体制的基本特点是存在一个公钥/私钥对，用私钥加密的信息只能用对应的公钥解密，用公钥加密的信息只能用对应的私钥解密。著名的非对称加密算法是RSA。RSA使用的一个密钥对是由两个大素数经过运算产生的结果:其中一个是公钥，为众多实体所知;另外一个是私钥，为了确保他的保密性和完整性，必须严格控制并只有他的所有者才能使用。RSA加密算法的最基本特征就是用密钥对中的一个密钥加密的消息只能用另外一个解密，这也就体现了RSA系统的非对称性。
RSA的数字签名过程如下:s=mdmodn，其中m是消息，s是数字签名的结果，d和n是消息发送者的私钥。
消息的解密过程如下:m=semodn，其中e和n是发送者的公钥。
4.数字签名。数字签名通常使用RSA算法。RSA的数字签名是其加密的相反方式，即由一个实体用它的私钥将明文加密而生成的。这种加密允许一个实体向多个实体发送消息，并且事先不需交换秘密钥或加密私钥，接收者用发送者的公钥就可以解密。
5.散列(Hash)函数。MD5与SHA1都属于HASH函数标准算法中两大重要算法，就是把一个任意长度的信息经过复杂的运算变成一个固定长度的数值或者信息串，主要用于证明原文的完整性和准确性，是为电子文件加密的重要工具。一般来说，对于给出的一个文件要算它的Hash码很容易，但要从Hash码找出相应的文件算法却很难。Hash函数最根本的特点是这种变换具有单向性，一旦数据被转换，就无法再以确定的方法获得其原始值，从而无法控制变换得到的结果，达到防止信息被篡改的目的。由于Hash函数的这种不可逆特性，使其非常适合被用来确定原文的完整性，从而被广泛用于数字签名。
三、对称和非对称加密体制相结合的应用模型
将对称和非对称加密体制相结合，能够确保电子商务信息的完整性和机密性。下面是具体的应用模型。
假设Alice和Bob拥有各自的一个公钥/私钥对，由共同信任的第三方颁发的数字证书以及一个对称秘密钥。现在Alice欲发送消息给Bob，并且要求确保数据的完整性，即消息内容不能发生变动；同时Alice和Bob都希望确保信息的机密性，即不容许除双方之外的其他实体能够察看该消息。
篇4
由于Internet本身的开放性，使电子商务系统面临着各种各样的安全威胁。目前，电子商务主要存在的安全隐患有以下几个方面。
(一)身份冒充问题
攻击者通过非法手段盗用合法用户的身份信息，仿冒合法用户的身份与他人进行交易，进行信息欺诈与信息破坏，从而获得非法利益。主要表现有：冒充他人身份;冒充他人消费、栽赃;冒充主机欺骗合法主机及合法用户等。
(二)网络信息安全问题
主要表现在攻击者在网络的传输信道上，通过物理或逻辑的手段，进行信息截获、篡改、删除、插入。截获，攻击者可能通过分析网络物理线路传输时的各种特征，截获机密信息或有用信息，如消费者的账号、密码等。篡改，即改变信息流的次序，更改信息的内容;删除，即删除某个信息或信息的某些部分;插入，即在信息中插入一些信息，让收方读不懂或接受错误的信息。
(三)拒绝服务问题
攻击者使合法接入的信息、业务或其他资源受阻。主要表现为散布虚假资讯，扰乱正常的资讯通道。包括：虚开网站和商店，给用户发电子邮件，收订货单;伪造大量用户，发电子邮件，穷尽商家资源，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应。
(四)交易双方抵赖问题
某些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。如：者事后否认曾经发送过某条信息或内容;收信者事后否认曾经收到过某条信息或内容;购买者做了订货单不承认;商家卖出的商品质量差但不承认原有的交易。在网络世界里谁为交易双方的纠纷进行公证、仲裁。
(五)计算机系统安全问题
计算机系统是进行电子商务的基本设备，如果不注意安全问题，它一样会威胁到电子商务的信息安全。计算机设备本身存在物理损坏，数据丢失，信息泄露等问题。计算机系统也经常会遭受非法的入侵攻击以及计算机病毒的破坏。同时，计算机系统存在工作人员管理的问题，如果职责不清，权限不明同样会影响计算机系统的安全。
二、电子商务安全机制
(一)加密和隐藏机制
加密使信息改变，攻击者无法读懂信息的内容从而保护信息;而隐藏则是将有用的信息隐藏在其他信息中，使攻击者无法发现，不仅实现了信息的保密，也保护了通信本身。
(二)认证机制
网络安全的基本机制，网络设备之间应互相认证对方身份，以保证正确的操作权力赋予和数据的存取控制。网络也必须认证用户的身份，以保证正确的用户进行正确的操作并进行正确的审计。
(三)审计机制
审计是防止内部犯罪和事故后调查取证的基础，通过对一些重要的事件进行记录，从而在系统发现错误或受到攻击时能定位错误和找到攻击成功的原因。审计信息应具有防止非法删除和修改的措施。
(四)完整性保护机制
用于防止非法篡改，利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务，当信息源的完整性可以被验证却无法模仿时，收到信息的一方可以认定信息的发送者，数字签名就可以提供这种手段。
(五)权力控制和存取控制机制
主机系统必备的安全手段，系统根据正确的认证，赋予某用户适当的操作权力，使其不能进行越权的操作。该机制一般采用角色管理办法，针对系统需要定义各种角色，如经理、会计等，然后对他们赋予不同的执行权利。
(六)业务填充机制
在业务闲时发送无用的随机数据，增加攻击者通过通信流量获得信息的困难。同时，也增加了密码通信的破译难度。发送的随机数据应具有良好模拟性能，能够以假乱真。
三、电子商务安全关键技术
安全问题是电子商务的核心，为了满足安全服务方面的要求，除了网络本身运行的安全外，电子商务系统还必须利用各种安全技术保证整个电子商务过程的安全与完整，并实现交易的防抵赖性等，综合起来主要有以下几种技术。
(一)防火墙技术
现有的防火墙技术包括两大类：数据包过滤和服务技术。其中最简单和最常用的是包过滤防火墙，它检查接受到的每个数据包的头，以决定该数据包是否发送到目的地。由于防火墙能够对进出的数据进行有选择的过滤，所以可以有效地避免对其进行的有意或无意的攻击，从而保证了专用私有网的安全。将包过滤防火墙与服务器结合起来使用是解决网络安全问题的一种非常有效的策略。防火墙技术的局限性主要在于：防火墙技术只能防止经由防火墙的攻击，不能防止网络内部用户对于网络的攻击：防火墙不能保证数据的秘密性，也不能保证网络不受病毒的攻击，它只能有效地保护企业内部网络不受主动攻击和入侵。
(二)虚拟专网技术(VPN)
VPN的实现过程使用了安全隧道技术、信息加密技术、用户认证技术、访问控制技术等。VPN具投资小、易管理、适应性强等优点。VPN可帮助远程用户、公司分支机构、商业伙伴及供应商与公司的内部网之间建立可信的安全连接，并保证数据的安全传输，以此达到在公共的Internet上或企业局域网之间实现完全的电子交易的目的。
(三)数据加密技术
加密技术是保证电子商务系统安全所采用的最基本的安全措施，它用于满足电子商务对保密性的需求。加密技术分为常规密钥密码体系和公开密钥密码体系两大类。如果进行通信的交易各方能够确保在密钥交换阶段未曾发生私有密钥泄露，可通过常规密钥密码体系的方法加密机密信息，并随报文发送报文摘要和报文散列值，以保证报文的机密性和完整性。目前常用的常规密钥密码体系的算法有：数据加密标准DES、三重DES、国际数据加密算法IDEA等，其中DES使用最普遍，被ISO采用为数据加密的标准。在公开密钥密码体系中，加密密钥是公开信息，而解密密钥是需要保护的，加密算法和解密算法也都是公开的。典型的公开密钥密码体系有：基于数论中大数分解的RSA体系、基于NP完全理论的Merkel-Hellman背包体系和基于编码理论的McEliece体系。在以上两类加密体系中，常规密钥密码体系的特点是加密速度快、效率高，被广泛用于大量数据的加密，但该方法的致命缺点是密钥的传输易被截获，难以安全管理大量的密钥，因此大范围应用存在一定问题。而公开密钥密码体系很好地解决了上述不足，保密性能也优于常规密钥密码体系，但公开密钥密码体系复杂，加密速度不够理想。目前电子商务实际运用中常将两者结合使用。
(四)安全认证技术
安全认证技术主要有：1.数字摘要技术，可以验证通过网络传输收到的明文是否被篡改，从而保证数据的完整性和有效性。2.数字签名技术，能够实现对原始报文的鉴别和不可否认性，同时还能阻止伪造签名。3.数字时间戳技术，用于提供电子文件发表时间的安全保护。4.数字凭证技术，又称为数字证书，负责用电子手段来证实用户的身份和对网络资源访问的权限。5.认证中心，负责审核用户的真实身份并对此提供证明，而不介入具体的认证过程，从而缓解了可信第三方的系统瓶颈问题，而且只须管理每个用户的一个公开密钥，大大降低了密钥管理的复杂性，这些优点使得非对称密钥认证系统可用于用户众多的大规模网络系统。6.智能卡技术，它不但提供读写数据和存储数据的能力，而且还具有对数据进行处理的能力，可以实现对数据的加密和解密，能进行数字签名和验证数字签名，其存储器部分具有外部不可读特性。采用智能卡，可使身份识别更有效、安全，但它仅仅为身份识别提供一个硬件基础，如果要使身份认证更安全，还需要与安全协议的配合。
(五)电子商务安全协议
不同交易协议的复杂性、开销、安全性各不相同，同时不同的应用环境对协议目标的要求也不尽相同。目前比较成熟的协议有：1.Netbill协议，是由J.D.Tygar等设计和开发的关于数字商品的电子商务协议，该协议假定了一个可信赖的第三方，将商品的传送和支付链接到一个原子事务中。2.匿名原子交易协议，由J.D.Tygar首次提出，具有匿名性和原子性，对著名的数字现金协议进行了补充和修改，改进了传统的分布式系统中常用的两阶段提交，引入了除客户、商家和银行之外的独立第四方一交易日志(Transactionlog)以取代两阶段提交协议中的协调者(Coordinator)。3.安全电子交易协议SET，由VISA公司和MasterCard公司联合开发设计。SET用于划分与界定电子商务活动中消费者、网上商家、交易双方银行、信用卡组织之间的权利义务关系，它可以对交易各方进行认证，防止商家欺诈。SET协议开销较大，客户、商家、银行都要安装相应软件。4.安全套接字层协议SSL，是目前使用最广泛的电子商务协议，它由Netscape公司于1996年设计开发。它位于运输层和应用层之间，能很好地封装应用层数据，不用改变位于应用层的应用程序，对用户透明。然而，SSL并不专为支持电子商务而设计，只支持双方认证，只能保证传送信息传送过程中不因被截而泄密，不能防止商家利用获取的信用卡号进行欺诈。5.JEPI(JointElectronicPaymentInitiative)，是为了解决众多协议间的不兼容性而提出来的，是现有HTTP协议的扩展，在普遍HTTP协议之上增加了PEP(ProtocolExtensionProtocol)和UPP(UniversalPaymentPreamble)两层结构，其目的不是提出一种新的电子支付手段，而是在允许多种支付系统并存的情况下，帮助商家和顾客双方选取一个合适的支付系统。
四、结束语
篇5
1.电子商务信息安全的要素
1.1机密性
在过去，企业进行商业贸易往来都是通过书信等可靠的通信渠道来进行商业交流、发送商务文案的，虽然这些方法的使用速度和效率都较低，但是机密安全性能够得到保障。在现代社会，电子商务是在一个开放的网络环境中进行的，电子商务信息的安全存在一定的风险，因此要保障电子商务信息的安全，就必须保障电子商务信息的机密性。
1.2完整性
电子商务信息传输简化了传统贸易过程中的很多过程，减少了其中存在的一些干预信息，但与此同时，也存在着电子商务信息的完整性问题。数据录入过程中存在的一些问题或是非法行为，很容易导致商业贸易数据被篡改。电子商务信息在传输的过程中信息也有可能出现丢失、重复等问题。因此，保证数据信息在传输过程中的完整性是保障电子商务信息安全的重要因素。
1.3认证性
互联网是一个虚拟的网络环境，电子商务信息就是基于互联网络进行的，在进行商业贸易往来时，双方不会见面，这就需要一些技术对双方的身份进行识别和确认。
1.4有效性
在商业贸易过程中，贸易双方都需要确认很多信息，电子商务将纸质的认证转变成为电子信息形式，那么，保证信息的有效性是电子商务贸易的重要前提。因此，对于网络故障、硬件或软件出现的问题和计算机内部可能存在的潜在病毒都要进行一定的控制和预防工作，这样才能保障电子商务贸易数据信息的有效性。
1.5不可抵赖性
传统的贸易都是通过手写签名或是印章的方式进行，这样可以有效防止贸易伙伴发生抵赖的行为。而电子商务贸易是在虚拟的互联网络平台上进行的，而互联网内每个人都是匿名的，存在极大的不安全因素。因此，如何保障电子商务信息安全的不可抵赖性是进行电子商务贸易中的一个重点。
2.电子商务信息安全中存在的问题
2.1计算机网络安全
虽然国际经济和数据信息早已步入全球化时代，但安全协议问题还未进行全球性的规范，并且在安全管理方面还存在着很大的漏洞，这就很容易使黑客进行攻击。一些非法用户在网络上通过不正当手段拦截用户的有效数据或是对数据进行篡改，将导致用户的一些核心数据泄漏，使信息失去真实性和完整性。此外，一些非法用户还会在拦截到的网络数据中加入病毒再进行再次发送，利用修改后的数据信息恶意攻击对方的计算机。电子服务器安全也是计算机网络安全中的一个重要组成部分。电子商务服务器是电子商务中最重要的部分，其中保存着大量的商务信息，一旦出现安全问题，其造成的影响和后果是不可估量的。
2.2电子商务交易安全
电子商务交易安全主要包含身份不确定、交易抵赖和交易信息修改三个主要方面。由于电子商务贸易是基于虚拟的互联网络进行的，这个平台上贸易双方使不用见面的，这就给贸易双方的身份确认带来了一定的阻碍。一些非法用户可以通过不正当手段非法获取用户的身份信息，再冒用他人身份信息和对方进行交易，从中获取非法利益。此外，在电子商务贸易中一些用户可能会对自己曾经发出的信息进行否认并推卸责任。最后就是交易信息的修改问题，在传统贸易中，双方一旦签订合同，一般是不可修改的，在电子商务贸易中也应当做到这点，这样就能保证商务贸易的公平公正性。
3.电子商务信息安全的措施
3.1数据加密技术
保障电子商务信息安全的最基本措施就是数据加密技术，保障数据在存储和传输过程中的安全性和机密性。随着电子商务与信息技术的不断发展，为了保障商务信息的完整性并进行身份鉴定，数字签名、身份认证等新的数字验证技术都在不断的衍生出来。数据加密技术就是将数据信息通过一定的加密算法，将原本明了的数据信息转化成为一段无意义的秘文，以阻止非法用户截取信息获取原始资料的意义，从而保障电子商务信息的安全。对称密钥加密体制和非对称密钥加密体制是目前使用最为广泛的两种加密技术。
3.2防火墙技术
数据包过滤和服务技术是目前互联网内使用最为广泛的防火墙技术。相比服务技术，数据包过滤防火墙技术使用起来更为简单，它检查每个收到的数据包的头并决定数据包是否发送到目的地，因此其运用比较普遍。防火墙能够对进出计算机网络的数据进行一定标准的过滤，就能有效的对有害信息进行阻隔，从而保障计算机网络的安全。然而，防火墙技术也存在着一些缺点，如防火墙只能对经过了防火墙的有害信息进行阻隔，但并不能防止计算机网络内部的网络攻击，并且防火墙不能保障数据的机密性。
3.3身份认证技术
网络中对用户进行身份认证最常用的技术就是数字证书，类似于现实生活中的身份证。CA（Certificate Authority）是颁发数字证书的机构，要想保障电子商务信息安全，就必须建立一个完善、稳固的CA。
3.4保障安全环境性措施
由于目前互联网络的电子商务贸易发展得还不成熟，相关的法律法规都还没建立，其中还存在着一些较大的问题。因此就要保障电子商务信息的环境安全，首先要在我国构件一个完善的电子商务体系，其次要完善相关法律法规的建设，最后要加快网络的基础建设，推动企业信息化的进程。
4.结语
根据电子商务信息的机密性、完整性、认证性、有效性和不可抵赖性这五个基本要素，结合目前电子网络信息中存在的一些问题，采用如数据加密技术、防火墙技术、身份认证等技术就能在很大程度上提高网络信息的安全性，保障在电子商务贸易中商务信息的安全。 [科]
【参考文献】
篇6
1电子商务的信息安全需求
电子商务是一种通过互联网技术实现交易双方网络交流并完成双方交易的促进全球经济一体化的交易模式，信息技术的发展为电子商务提供了具备可行性的平台，电子商务也成为现代社会进入新的经济活动时代的重要标志。发展电子商务不仅能转变经济增长模式，还能提高国民的经济生活质量和效率，是我国实现全面小康社会的重要推助力。电子商务的网络化交易形式提高了交易的效率，但也带来了一些潜在的安全问题，其中最为突出、广受关注的就是电子商务信息安全问题。交易过程中存在着交易双方私人信息的处理、传送及存储过程，会有被不法分子窃取或者篡改的可能，这就需要确保电子商务交易过程中信息交流的保密性。电子商务的飞速发展导致一些投机取巧的行为发生，有的实物商品交易卖家却只虚拟发货从而谋取高额利润，也会存在买家随意拒收导致卖家蒙受损失的现象，所以这就需要交易双方身份真实可靠，不能虚假捏造，交易过程中发生问题能及时联系解决。电子商务的运行系统也需要极高的安全性，不能泄露交易双方的私人信息，需要确保软件的可靠性。
2电子商务信息安全技术
2.1信息加密技术
加密技术主要是通过密码算法对明文数据进行转换的信息安全技术，加密算法对应的加密密钥不尽相同，打开明文时需要输入对应的密钥，很大程度上增强了用户的信息安全性。信息加密技术实现了保存数据完整性的功能，阅读被加密的明文只能通过输入对应密钥来实现，是一种主动防窃的加密行为。密钥因其使用方式还分为对称密钥和非对称密钥两类密钥加密方式，对称密钥加密在加密与解密时都使用同一密钥，具有运算量小及速度快的优点，但是一但密钥被泄露，加密功能也就消失了；非对称密钥加密中的加密密钥和解密密钥不同，用户自己设置保存解密密钥并将加密密钥公开发送给明文接收方，保密性较对称密钥加密技术好，但运算量较大。
2.2认证技术
信息及身份认证技术是信息安全加密技术中重要的保密方式，普通的加密技术还有很多缺陷，认证技术在加密技术的基础上辅助信息安全工作更好地执行。信息及身份认证技术主要有数字签名、数字信封、数字摘要及数字证书四种，数字签名是用来确认用户身份的绝佳技术手段之一，不同于普通加密技术的密钥传递，数字签名能有效保证用户本人执行工作的真实性，数字签名下进行的密钥传递就如同发送者的亲笔签名一样，只被发送者持有的私钥才是真实有效的解密密钥，数字签名在密钥的基础上，能够对源文件进行鉴别保证文件的真实性并能保持文件的完整不被破坏；数字信封则是保证只有发送对象才能接收文件的有效手段，同样是建立在密钥的基础上，通过非对称密钥与对称密钥相结合的方式，即文件接收者先用私钥解开文件获取对称密钥从而获取全部文件内容，这样使得信息安全更有保障；数字摘要技术主要通过单向哈希函数进行转换运算后取得摘要编码实现信息安全保障的，可有效保持文件完整性；数字证书相当于用户的数字身份证，确保电子商务交易中的身份认证的真实性，并在交易中产生数据从而确保交易不可否认，确保交易数据的安全性，确保电子签名的可靠性。
2.3防火墙技术
防火墙的主要作用是阻挡对防火墙内部资源的访问，通常情况下会将公共数据和服务设置放在防火墙外侧，有人访问时只能访问外侧的内容，对内部资源的访问会被限制。防火墙具备简单实用的特点，其中的滤波技术能有效地降低网络性能，作为一种实用的信息安全技术还具备透明度高的特点，保证在不修改原有的软件运行环境的情况下起到保护信息安全的作用，但存在无法保护精确的信息安全的缺陷。
3结论
电子商务在现代经济生活中起到了无可替代的作用，在逐渐取代线下商务的发展情况下，电子商务相关技术的研究、发展及完善就要受到足够的重视，确保能提供给人们一个健康安全的交易环境，促进电子商务更好地发展。现今电子商务中的信息安全技术存在或多或少的缺陷，需要相关工作人员投入研究并将其完善，从而更好地保障用户的信息安全。
作者:吕汶洁 陈薛镅 李丹丹 单位:沈阳理工大学
参考文献:
篇7
使用。
二、问题的成因分析
信息安全问题的出现，既有管理原因，也有技术原因，既有本身缺陷，也有外来因素所致，归结起来，主要有以下四方面的原因：
1.电脑黑客
黑客对于系统和编程语言大多有着深刻的认识，它是指对于电脑系统的非法入侵者，他们对于网络存在着一定程度的攻击性，也进一步恶化了网络环境。
2.计算机病毒
计算机病毒的主要危害在于激发对计算机数据信息的直接破坏作用，占用磁盘空间和对信息的破坏，抢占系统资源，影响计算机运行速度，出现计算机病毒错误与不可预见的危害。人们不可能花费大量时间去分析数万种病毒的错误所在，大量含有未知错误的病毒扩散传播，其后果是难以预料的。计算机病毒的兼容性影响系统运行。兼容性是计算机软件的一项重要指标，兼容性好的软件可以在各种计算机环境下运行，反之兼容性差的软件则对运行条件有限制，要求机型和操作系统版本等。病毒的编制者一般不会在各种计算机环境下对病毒进行测试，因此病毒的兼容性较差，常常导致死机，并且对用户造成严重的心理
压力。
3.技术因素
网络软件设计时不可能完美无缺，总会出现一些缺陷和漏洞。这些漏洞和缺陷正是黑客进行攻击的首选目标，而且目前还没有一些技术能提前全部防范这些病毒和黑客。
4.管理因素
用户安全意识淡薄、管理不善是当前存在的一个严重的问题。主要有以下三点：一是一些国家如中国缺乏强有力的权威管理机构，网络安全立法滞后，安全管理部门受人力、技术等条件的限制影响着安全管理措施的有效实施；二是缺乏安全审计，安全审计是把与安全相关的事件记录到安全日志中，但是现有的网络系统大多数缺少安全审计，安全日志形同虚设；三是安全意识淡薄，人们对信息安全认识不够，过分依赖信息安全产品，缺乏细致的内部网络管理机制，一些用户警惕性不高，操作麻痹，甚至把自己账号随意交给他人。
三、常用网络安全技术
1.反病毒软件
反病毒软件已成为人们抵御病毒进攻的有力武器。目前的反病毒软件具有几项技术特色。一是防火墙技术，其目的是保护内部网络不受外部网络的攻击，及防止内部网络用户向外泄密，为用户提供一个实时监控防止病毒发作的工具。它对用户访问的每一个文件进行病毒检测，确认无毒后才会让系统接管进行下一步的工作。目前，防火墙技术主要分为分组过滤和服务两种类型。二是反病毒软件在线升级的方式。三是统一的防病毒管理。四是嵌人式查毒技术的形成，它将杀毒引擎直接嵌挂到IE浏览器和流行办公软件组件当中，使其与可能发生病毒侵扰的应用程序有机地结合为一体，在占用系统资源最小的情况下查杀病毒。
2.密码技术
密码技术包括加密和解密两个方面。密码技术可对信息进行加密解密处理，实现信息的安全，这两者之间是密不可分的。加密是指采用数学方法对原始信息进行加工，使得加密后在网络上公开传输的内容对于非法接收者只是毫无意义的字符，对于合法的接收者，因其掌握正确的密钥，可以通过解密得到原始内容。密码系统至少包含明文、密文、密码技术，密钥几个部分。
3.入侵检测技术
入侵检测技术是对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。入侵检测技术针对包括系统外部的入侵和内部用户的非授权行为，是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。
入侵检测通过执行以下任务来实现：监视、分析用户及系统活动，系统构造和弱点的审计，识别反映已知进攻的活动模式并向相关人士报警，异常行为模式的统计分析，评估重要系统和数据文件的完整性，操作系统的审计跟踪管理，并识别用户违反安全策略的行为。
4.虚拟专用网（VPN）技术
虚拟专用网（VPN）技术是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
四、提高电子商务信息安全的对策探讨
1.开展网络安全立法和执法
网络安全立法要吸取和借鉴国外网络信息安全立法的先进经验，结合我国国情对现行法律体系进行修改与补充，使法律体系更加科学和完善。要建立有利于信息安全案件诉讼与公、检、法机关办案的制度，提高执法效率和质量。要对违犯国家法律法规，对计算机信息存储系统、应用程序或传输的数据进行删除、修改、增加、干扰的行为依法惩处。
2.提高网络信息安全意识
以有效方式和途径在全社会普及网络安全知识，提高公民的网络安全意识与自觉性，学会维护网络安全的基本技能，并在思想上把信息资源共享与信息安全防护有机统一起来，树立维护信息安全就是保生存、促发展的观念。
3.加强网络安全管理
建立信息安全领导机构，有效统一、协调和研究未来趋势，制定宏观政策，实施重大决定。严格执行《中华人民共和国计算机信息系统安全保护条例》与《计算机信息网络安全保护管理办法》，明确责任，规范岗位职责，制定有效防范措施，并且严把用户入网关，合理设置访问权限等。
4.加快网络安全专业人才的培养
篇8
1电子商务所面临的信息安全威胁
1.1 安全环境恶化
由于在计算机及网络技术方面发展较为迟缓,我国在很多硬件核心设备方面依然以进口采购为主要渠道,不能自主生产也意味着不能自主控制,除了生产技术、维护技术也相应依靠国外引进,这也就让国内的电子商务无法看到眼前的威胁以及自身软件的应付能力。
1.2平台的自然物理威胁
由于电子商务通过网络传输进行,因此诸如电磁辐射干扰以及网络设备老化带来的传输缓慢甚至中断等自然威胁难以预测,而这些威胁将直接影响信息安全。此外,人为破坏商务系统硬件,篡改删除信息内容等行为,也会给企业造成损失。
1.3黑客入侵
在诸多威胁中,病毒是最不可控制的,其主要作用是损坏计算机文件,且具有繁殖功能。配合越来越便捷的网络环境,计算机病毒的破坏力与日俱增。而目前黑客所惯用的木马程序则更有目的性,本地计算机所记录的登录信息都会被木马程序篡改,从而造成信息之外的文件和资金遭窃。
2电子商务信息安全的防范处理方法
2.1针对病毒的技术
作为电子商务安全的最大威胁,对于计算机病毒的防范是重中之重。对于病毒,处理态度应该以预防为主,查杀为辅。因为病毒的预防工作在技术层面上比查杀要更为简单。多种预防措施的并行应用很重要,比如对全新计算机硬件、软件进行全面的检测;利用病毒查杀软件对文件进行实时的扫描;定期进行相关数据备份;服务器启动采取硬盘启动;相应网络目录和文件设置相应的访问权限等等。同时在病毒感染时保证文件的及时隔离。在计算机系统感染病毒的情况下,第一时间清除病毒文件并及时恢复系统。
2.2防火墙应用
防火墙主要是用来隔离内部网和外部网,对内部网的应用系统加以保护。目前的防火墙分为两大类:一类是简单的包过滤技术,它是在网络层对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑,检查数据流中每个数据包后,根据数据包的源地址、目的地址、所用的 TCP 端口和 TCP 链路状态等因素来确定是否允许数据包通过。另一类是应用网管和服务器,可针对特别的网络应用服务协议及数据过滤协议,并且能够对数据包分析并形成相关的报告
2.3数据加密技术的引入
加密技术是保证电子商务安全采用的主要安全措施。加密过程就是根据一定的算法,将可理解的数据(明文)与一串数字(密钥)相结合,从而产生不可理解的密文的过程,主要加密技术是:对称加密技术和非对称加密技术。
2.4认证系统
网上安全交易的基础是数字证书。数字证书类似于现实生活中的身份证,用于在网络上鉴别个人或组织的真实身份。传统的对称密钥算法具有加密强度高、运算速度快的优点,但密钥的传递与管理问题限制了它的应用。为解决此问题,20 世纪 70 年代密码界出现了公开密钥算法,该算法使用一对密钥即一个私钥和一个公钥,其对应关系是唯一的,公钥对外公开,私钥个人秘密保存。一般用公钥来进行加密,用私钥来进行签名;同时私钥用来解密,公钥用来验证签名。
2.5其他注意事项
(1)机密性是指信息在存储或传输过程中不被他人窃取或泄漏,满足电子商务交易中信息保密性的安全需求,避免敏感信息泄漏的威胁。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。
(2)商务信息的完整性,只读特性以及修改授权问题是电子商务信息需要攻克的一大难关。信息在传输过程中必须保持原内容,不能因技术、环境以及刻意原因而轻易被更改。
篇9
电子商务(E-Commerce)是在Internet开放的网络环境下,基于浏览器服务器的应用方式,实现消费者的网上购物商户之间的网上交易和在线电子支付的商业运营模式最近几年,电子商务以其便利快捷的特点迅速发展起来,但是安全问题一直是阻碍其发展的关键因素虽然PKI的研究和应用为互联网络安全提供了必要的基础设施,但是电子商务信息的机密性和完整性仍然是迫切需要解决的问题,本文针对这一问题展开了深入研究并提出了解决方法
1PKI的定义和功能
PKI——公钥基础设施,是构建网络应用的安全保障,专为开放型大型互联网的应用环境而设计PKI是对公钥所表示的信任关系进行管理的一种机制,它为Internet用户和应用程序提供公钥加密和数字签名服务,目的是为了管理密钥和证书,保证网上数字信息传输的机密性真实性完整性和不可否认性,以使用户能够可靠地使用非对称密钥加密技术来增强自己的安全水平PKI的功能主要包括:公钥加密证书证书确认证书撤销
2公钥密码系统
由于PKI广泛应用于电子商务,故文章重点放在讨论RSA公钥密码系统上RSA的安全性是基于数论和计算复杂性理论中的下述论断:求两个大素数的乘积在计算上是容易的,但若分解两个大素数的积而求出它的因子则在计算上是困难的,它属于NPI类
2.1RSA系统
RSA使用的一个密钥对是由两个大素数经过运算产生的结果:其中一个是公钥,为众多实体所知;另外一个是私钥,为了确保其保密性和完整性,必须严格控制并只有其所有者才能使用RSA加密算法的最基本特征就是用密钥对中的一个密钥加密的消息只能用另外一个解密,这也就体现了RSA系统的非对称性RSA具有加密和数字签名功能RSA产生公钥/私钥对加解密的过程如下:
2.1.1产生一个公钥/私钥对
(1)选取两个大素数p和q,为了获得最大程度的安全性,两个数的长度最好相同两个素数p和q必须保密
(2)计算p与q的乘积:n=p*q
(3)再由p和q计算另一个数z=(p-1)*(q-1)
(4)随机选取加密密钥e,使e和z互素
(5)用欧几里得扩展算法计算解密密钥d,以满足e*d=1mod(z)
(6)由此而得到的两组数(n,e)和(n,d)分别被称为公钥和私钥
2.1.2加密/解密过程
RSA的加密方法是一个实体用另外一个实体的公钥完成加密过程,这就允许多个实体发送一个实体加密过的消息而不用事先交换秘密钥或者私钥,并且由于加密是用公钥执行的,所以解密只能用其对应的私钥来完成,因此只有目标接受者才能解密并读取原始消息
在实际操作中,RSA采用一种分组加密算法,加密消息m时,首先将它分成比n小的数据分组(采用二进制数,选取小于n的2的最大次幂),加密后的密文c,将由相同长度的分组ci组成加密公式简化为:
ci=mie(modn)
即对于明文m,用公钥(n,e)加密可得到密文c:
c=memodn,其中m={mi|i=0,1,2,…},c=(ci|i=0,1,2,…)
解密消息时,取每一个加密后的分组ci并计算:mi=cid(modn),便能恢复出明文即对于密文c,用接收者的私钥(n,d)解密可得到明文m:
m=cdmodnm={mi|i=0,1,2,…},c=(ci|i=0,1,2,…)
2.1.3数字签名
RSA的数字签名是加密的相反方式,即由一个实体用它的私钥将明文加密而生成的这种加密允许一个实体向多个实体发送消息,并且事先不需交换秘密钥或加密私钥,接收者用发送者的公钥就可以解密
RSA的数字签名过程如下:
s=mdmodn,其中m是消息,s是数字签名的结果,d和n是消息发送者的私钥
消息的解密过程如下:
m=semodn,其中e和n是发送者的公钥
2.1.4散列(Hash)函数
MD5与SHA1都属于Hash函数标准算法中两大重要算法,就是把一个任意长度的信息经过复杂的运算变成一个固定长度的数值或者信息串,主要用于证明原文的完整性和准确性,是为电子文件加密的重要工具一般来说,对于给出的一个文件要算它的Hash码很容易,但要从Hash码找出相应的文件算法却很难Hash函数最根本的特点是这种变换具有单向性,一旦数据被转换,就无法再以确定的方法获得其原始值,从而无法控制变换得到的结果,达到防止信息被篡改的目的由于Hash函数的这种不可逆特性,使其非常适合被用来确定原文的完整性,从而被广泛用于数字签名
2.2对称密码系统
对称密码系统的基本特点是解密算法就是加密算法的逆运算,加秘密钥就是解秘密钥它通常用来加密带有大量数据的报文和问卷通信的信息,因为这两种通信可实现高速加密算法在对称密码系统中发送者和接收者之间的密钥必须安全传送,而双方实体通信所用的秘密钥也必须妥善保管
3应用模型
利用公钥加密系统可以解决电子商务中信息的机密性和完整性的要求,下面是具体的应用模型在本例中,Alice与Bob两个实体共享同一个信任点,即它们使用同一CA签发的数字证书因此,它们无需评价信任链去决定是否信任其他CA
3.1准备工作
(1)Alice与Bob各自生成一个公钥/私钥对;
(2)Alice与Bob向RA(机构)提供各自的公钥名称和描述信息;
(3)RA审核它们的身份并向CA提交证书申请;
(4)CA格式化Alice和Bob的公钥及其他信息,为Alice和Bob分别生成公钥证书,然后用自己的私钥对证书进行数字签名;
(5)上述过程的结果是,Alice与Bob分别拥有各自的一个公钥/私钥对和公钥证书;
(6)Alice与Bob各自生成一个对称秘密钥
现在,Alice和Bob拥有各自的一个公钥/私钥对,由共同信任的第三方颁发的数字证书以及一个对称密钥
3.2处理过程
假设现在Alice欲发送消息给Bob,并且要求确保数据的完整性,即消息内容不能发生变动;同时Alice和Bob都希望确保信息的机密性,即不容许除双方之外的其他实体能够查看该消息完成这样要求的处理过程如下:其中步骤1~5说明Alice加密消息过程;步骤6~10说明Bob解密消息的过程
(1)Alice按照双方约定的规则格式化消息,然后用Hash函数取得该消息的散列值,该值将被用来测试消息的合法性和完整性
(2)Alice用私钥对消息和散列值进行签名(加密)这一签名确保了消息的完整性,因为Bob认为只有Alice能够生成该签名,这是由于只有Alice能够使用自己的私钥为该消息签名值得注意的是:现在任何有权访问Alice公钥的实体都能解密该被签名的消息,所以我们仅仅是保证了消息的完整性,而没有确保其机密性
(3)由于Alice和Bob之间想保持消息的机密性,所以Alice用它的对称秘密钥加密被签名的消息和散列值这一对称秘密钥只有Alice和Bob共享而不被其他实体所用注意,在本例中,我们使用了一个对称秘密钥,这是因为对于加密较长消息诸如订购信息来说,利用对称加密比公钥加密更为有效
(4)Alice必须向Bob提供它用来给消息加密的对称秘密钥,以使得Bob能够用其解密被Alice加密过的消息Alice用Bob的公钥将自己的对称秘密钥签名(加密),这里我们假设Alice事先已经获得Bob的公钥,这样就形成了一个数字信笺,并且只有Bob才能将其打开(解密),因为只有Bob能够访问用来打开该数字信笺的私钥注意,一个公钥/私钥对中,用其中一个密钥加密的信息只有用另外一个密钥才能解密这就为Alice向Bob传输对称秘密钥提供了机密性
(5)Alice发送给Bob的信息包括它用对称秘密钥加密的原始消息和散列值,以及用Bob公钥加密的包含Alice的对称秘密钥的数字信笺图1描述了Alice使用数字签名向Bob发送消息(步骤1~5)
(6)Bob用它的私钥打开(解密)来自于Alice的数字信笺完成这一过程将使Bob获得Alice以前用来加密消息和散列值的对称秘密钥
(7)Bob现在可以打开(解密)用Alice的对称秘密钥加密的消息和散列值解密后Bob得到了用Alice的私钥签名的消息和散列值
(8)Bob用Alice的公钥解密签名的消息和散列值注意,一个公钥/私钥对中,用其中一个密钥加密的信息只有用另外一个密钥才能解密
(9)为了证实消息没有经过任何改动,Bob将原始消息采用与Alice最初使用的完全一致的Hash函数进行转化
(10)最后,Bob将得出的散列值与它从所收消息中解密出来的散列值对比,若二者相同,则证明了消息的完整性图2描述了Bob解密和对比散列值的过程(步骤6～10)
3.3实现方法
采用Java语言实现系统,Java语言本身提供了一些基本的安全方面的函数,我们可以在此基础上实现更为复杂和有效的应用系统系统中主要的类实现如下:
(1)DataEncryption类该类主要实现明文向密文的转换,依据RSA算法的规则实现非对称加密,其中密钥长度为128位每次可加密数据的最大长度为512字节,因此对于较长数据的加密需要划分适当大小的数据块
(2)DataHash类该类完成对所要加密消息产生对应的散列值,对于不同的消息,散列值是不相同的可以借助Java中提供的Hash函数来实现
(3)DataDecryption类该类主要实现密文向明文的转换,依据依据RSA算法的规则,利用加密方的公钥对密文进行解密,并将解密后的明文按序排好
4结束语
文章以PKI理论为基础,利用公钥密码系统确保了电子商务过程中所传输消息的完整性,使用对称加密系统实现对较长消息的加密,并保证了消息的机密性文章的理论研究和实现方法,对于保障电子商务活动中消息的完整性和机密性具有重要的指导意义
主要参考文献
篇10
1电子商务信息安全的重要性
信息安全是指防止信息数据被故意或偶然的非授权泄漏、更改及破坏,以保障信息的可用性、可靠性、完整性、保密性。而电子商务所依赖的信息流是否安全也直接关系到各个相关主体的利益,从而影响到整个企业经济收益水平和竞争力,因此信息安全是实现电子商务正常运作的重要保障,是实现信息流、商流和资金流的根本保证。在当前完全开放的网络环境下,保障电子商务活动中信息安全显得尤为重要。(1)信息的可用性,是保障电子商务正常开展的重要前提,即电子商务在交易活动中,交易双方之间提供的信息必须是可用的,只有这样才能保证交易结果的有效性。因而网络环境下的非人为故障成为信息可用性的阻碍,即相关的网络故障、计算机中病毒等等。(2)信息的可靠性,是保障电子商务正常运行的关键,即防止计算机失效、系统软件错误、程序错误等危险,以保证信息和信息系统安全可靠。(3)信息的完整性,是电子商务应用的重要基础,即要保证信息在网络上存储或传输过程中不被篡改、修改或丢失,并保证信息传送次序的统一。(4)信息的保密性,是电子商务推广应用的重要保障,即要严格控制信息存取和信息传输的过程中不泄漏给非授权的个人和实体。
2电子商务过程中存在的信息安全问题
网络环境下,电子商务不断发展,同时也面临着诸多信息安全隐患,主要表现在以下几个方面。2.1网络环境本身存在的安全问题。(1)系统自身存在的漏洞问题。电子商务系统是指各个相关主体等在Internet和其他网络的基础上,以实现企业电子商务活动的目标。因此系统自身存在的漏洞问题不可避免,这是相关技术研发人员在网络系统研发过程中没能建立完善的应对措施,导致电子商务的不安全隐患发生,如保存在系统中的个人隐私信息被不法分子获取、企业信息遭到泄漏等。(2)网络自身存在的缺陷。电子商务是以计算机网络为基础的,而网络本身也存在着缺陷,如:TCP/IP的脆弱性,使其容易受到网络攻击;网络结构的不安全性,导致信息数据在传输过程中易被窃听等。2.2信息存储过程中的安全问题。电子商务在静态存放时的安全,被称为信息存储安全。在网络开放的大环境下,电子商务的信息存储安全存在着两种不安全要素,即内部不安全要素,是指企业内部之间、企业的顾客在没有得到授权的情况下调用或随意修改、删减电子商务信息;外部不安全因素,是指企业外部人员非法入侵计算机网络,在未授权的情况下随意调用、修改、删减电子商务信息等,导致企业主体商业机密泄漏或遭他人盗用,造成同行业之间恶性竞争。2.3信息传输中的安全问题。信息传输安全是指商务信息在交易过程中的传输安全。其存在的不安全性主要包括:商务信息在网络传输过程中被非法窃取、篡改或伪造等,导致交易信息丢失或被否认等,严重影响了电子商务的正常运作。2.4交易过程中的信息安全问题。(1)买方信息安全威胁。买方信息在未授权的情况下非法拦截、窃取,导致交易信息泄漏或者假冒买方被要求付账或返还商品;交易信息的不完整或被篡改,导致买方没有收到商品;计算机被病毒感染或遭黑客攻击,导致个人信息丢失或被窃取等。(2)卖方信息安全威胁。卖方信息,如营销信息和客户信息等被非法侵入、窃取;假冒合法用户改变交易内容,导致电子商务交易中断,不仅使买方权益受损,还会造成卖方信誉受损;黑客入侵卖方商务系统,泄漏商业机密或制造虚假信息影响卖方的正常销售等等。
3电子商务信息安全防范措施
3.1采用各种先进的信息安全技术。在网络背景下,如何利用现代计算机信息安全技术减少系统漏洞、防止黑客入侵和病毒感染,以保障电子商务信息安全至关重要。(1)数据加密技术。由于网络协议的限制,使得数据流在传输过程中处于未加密状态,包括用户名、密码等认证信息,容易导致数据在传输过程中被非法窃听和盗取,因此使用数据加密技术能够在一定程度上保证信息的完整性和安全性。信息加密技术是最基本的安全技术,是主动安全防范的有效策略,其目的是为了防止合法接收者之外的人获取机密信息,保护网络会话的完整性。加密是利用加密函数转换和保密的密钥对信息进行编码,变成无意义的密文,以便只有合法的接收者通过解密得到原始数据。加密技术根据密匙类型分为对称加密技术和非对称加密技术,其中对称密匙加密算法主要包括数据加密标准DES算法和国际数据加密算法IDEA算法;非对称密匙加密也称公开密匙加密,其主要是RSA加密算法。(2)认证技术。认证技术是指采用密码技术设计出安全性高的识别协议,确认信息发送者的身份,验证信息完整性,即保证信息在传送或存储过程中未被修改、重复、删除等,如数字证书、电子商务认证授权机构等。(3)防病毒技术。电子商务的信息安全,防范木马攻击和病毒更是重中之重。对于病毒,要以预防为主,查杀为辅,当前保护信息安全的技术主要包括:预防病毒技术,监视和判断系统中是否存在病毒,并预防病毒进入系统和对系统软件资源即文件造成干扰和破坏;检测病毒技术,即在计算机病毒的关键字、特征程序段内容等特征分类的基础上进行识别和侦测;消除病毒技术,对病毒进行分析研究后,开发出具有杀除病毒程序并恢复原文件的软件。3.2加强网络安全基础设施建设。在网络背景下,通过设置多道防火墙、多层密保等,在一定程度上减少了黑客入侵、信息泄露等一系列电子商务信息安全问题。但由于我国计算机信息技术起步较晚,大部分计算机软硬件核心部件都源自国外进口,如一些关键部件、安全软件及操作系统都不是自主研发的,这就必然导致我国计算机网络信息安全方面的漏洞。因此,我国要进一步加强网络安全基础设施建设,建立我国自己的公开密钥基础设施、信息安全产品检测评估基础设施、应急响应处理基础设施等。
综上所述,网络背景下的电子商务发展带给人们日常生活便利的同时,也给相关主体的信息安全带来隐患,如果能解决好电子商务信息安全的问题,电子商务的发展前景是相当可观的。因此,建立安全、快捷、高效的电子商务环境至关重要,需进一步加大投入、开发新的、有效的信息安全技术,以确保电子商务的健康、可持续发展。
作者:唐利娜 单位:郑州工业技师学院
参考文献
篇11
1电子商务所面临的信息安全威胁
1.1 安全环境恶化
由于在计算机及网络技术方面发展较为迟缓,我国在很多硬件核心设备方面依然以进口采购为主要渠道,不能自主生产也意味着不能自主控制,除了生产技术、维护技术也相应依靠国外引进,这也就让国内的电子商务无法看到眼前的威胁以及自身软件的应付能力。
1.2平台的自然物理威胁
由于电子商务通过网络传输进行,因此诸如电磁辐射干扰以及网络设备老化带来的传输缓慢甚至中断等自然威胁难以预测,而这些威胁将直接影响信息安全。此外,人为破坏商务系统硬件,篡改删除信息内容等行为,也会给企业造成损失。
1.3黑客入侵
在诸多威胁中,病毒是最不可控制的,其主要作用是损坏计算机文件,且具有繁殖功能。配合越来越便捷的网络环境,计算机病毒的破坏力与日俱增。而目前黑客所惯用的木马程序则更有目的性,本地计算机所记录的登录信息都会被木马程序篡改,从而造成信息之外的文件和资金遭窃。
2电子商务信息安全的防范处理方法 1针对病毒的技术
作为电子商务安全的最大威胁,对于计算机病毒的防范是重中之重。对于病毒,处理态度应该以预防为主,查杀为辅。因为病毒的预防工作在技术层面上比查杀要更为简单。多种预防措施的并行应用很重要,比如对全新计算机硬件、软件进行全面的检测;利用病毒查杀软件对文件进行实时的扫描;定期进行相关数据备份;服务器启动采取硬盘启动;相应网络目录和文件设置相应的访问权限等等。同时在病毒感染时保证文件的及时隔离。在计算机系统感染病毒的情况下,第一时间清除病毒文件并及时恢复系统。 2防火墙应用
防火墙主要是用来隔离内部网和外部网,对内部网的应用系统加以保护。目前的防火墙分为两大类:一类是简单的包过滤技术,它是在网络层对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑,检查数据流中每个数据包后,根据数据包的源地址、目的地址、所用的 TCP 端口和 TCP 链路状态等因素来确定是否允许数据包通过。另一类是应用网管和服务器,可针对特别的网络应用服务协议及数据过滤协议,并且能够对数据包分析并形成相关的报告。
2.3数据加密技术的引入
加密技术是保证电子商务安全采用的主要安全措施。加密过程就是根据一定的算法,将可理解的数据(明文)与一串数字(密钥)相结合,从而产生不可理解的密文的过程,主要加密技术是:对称加密技术和非对称加密技术。 4认证系统
网上安全交易的基础是数字证书。数字证书类似于现实生活中的身份证,用于在网络上鉴别个人或组织的真实身份。传统的对称密钥算法具有加密强度高、运算速度快的优点,但密钥的传递与管理问题限制了它的应用。为解决此问题,20 世纪 70 年代密码界出现了公开密钥算法,该算法使用一对密钥即一个私钥和一个公钥,其对应关系是唯一的,公钥对外公开,私钥个人秘密保存。一般用公钥来进行加密,用私钥来进行签名;同时私钥用来解密,公钥用来验证签名。 5其他注意事项
(1)机密性是指信息在存储或传输过程中不被他人窃取或泄漏,满足电子商务交易中信息保密性的安全需求,避免敏感信息泄漏的威胁。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。
(2)商务信息的完整性,只读特性以及修改授权问题是电子商务信息需要攻克的一大难关。信息在传输过程中必须保持原内容,不能因技术、环境以及刻意原因而轻易被更改。
篇12
如何正确把握安全与应用的关系，安全配置的“边”在哪里，“度”又该如何衡量，这些问题在电子政务领域显得尤为突出。“水池定律”即是对这一问题做出的一种解释。
“水池的注、排水口同时开放，只有当单位时间内的注水量大于排水量时，水池内才会存住水，水池才有可能被注满。”—这个道理人人都懂，虽然我们都觉得一边注水一边排水很浪费，但在现实世界中，由于一些不可避免的客观原因所限，类似情况并不少见。
如果把信息系统看作一个水池，水看作利益，则注水相当于得到利益，排水相当于损失利益，一个信息系统能否给它的所有者带来收益，就是看这个水池能否存得住水。问题的关键就是看获得利益的速度是否大于损失利益的速度。
在电子商务领域，利益多表现为有形的资产，可以量化为金钱来衡量。信息系统经过一段时间的运行，它的效益可以从利润中体现出来。对于电子政务，虽然不能简单一概而论，但道理是相似的。业务应用给信息系统的所有者及服务对象带来收益，是注水口，安全风险又会造成损失，是排水口。应用该不该建，安全上怎么防，关键是要让收益速度远远大于损失速度，即单位时间内的注水量大于排水量，这样池子里才存得住水，这个系统才建得值。所以不能单纯、片面地盯住安全问题，而应把它放在信息系统建设的大环境中，从整体上、全局上把握。这样一来，很多我们在信息安全建设中碰到的问题就有了决策的依据。
具体来说，在信息安全建设中，我们经常会碰到以下问题：
现象一：要把水池建成铜墙铁壁，滴水不漏一一信息安全过度配置，防护过度。
现象二：要关闭水池一一把个别安全事件作为普遍现象来衡量得失，从而导致信息化建设大踏步倒退。
现象三：水池没人管，谁都不清楚水池的注水量和排水量是多少一一应用效益缺乏评估，安全建设外紧内松，安全隐患依然存在。
造成上述问题的原因可能是以下一种或多种。
原因一：注水口的水流过小或根本没水—效益没见着，却要承担安全风险；费力不讨好也就罢了，谁愿意花钱找罪受、自讨苦吃?所以看上去是过分强调安全，实质上是应用效益没见着，没有源头活水，自然没有热情和本钱去承担哪怕是很小的一点安全风险。这里需要说明的是，一些服务于社会公众的应用，虽然所有者本身并没有直接获益，但公众获得了便利，相当于政府取得了无形收益，所有者可视为间接受益。
此外，与应用结合的安全建设需要根据应用量体裁衣。量体裁衣不是为了省布料，而是为了更合适。同理，根据应用定制安全也不是为了省钱，而是为了更安全。有了值得保护的应用，才有了评估风险的具体对象，也才好有针对性地制定防范对策。
原因二：注、排水口不在一个池子上。安全风险承担者不是应用效益获得者，两者之间没有共同的利益。
这种现象更为常见，但很多情况是利益链存在“脱节”造成的。比如一个单位的应用取得效益，其荣誉归甲部门；同样是这个应用，安全出问题却要乙部门承担责任，合适吗?这不仅涉及是否公平、合理的问题，更影晌到系统的长远发展、生命力问题。当安全风险承担者较为强势时，可能会片面强调安全，甚至把安全风险混同于具体的安全事故，这种概念混淆就好比以一次空难事故来衡量坐飞机的风险。即使发生了空难，飞机还是有人去坐，首先是因为它快捷，其次空难概率毕竟很小。所以说，安全事故是不能预测的，但安全风险是可以预估的。信息安全建设的所要做的是对可预估的风险采取相应措施，把能做的、该做的事做到位，那么即使事故还是会发生，我们也尽到了责任，问心无愧、不留遗憾。
二、当安全风险承担者较为弱势时，会出现“想管不敢管、想管管不了”的局面。具体表现为缺乏有效的评价、监督机制，即使有，执行起来也是畏首畏尾，难以落到实处
针对以上两种原因，有以下解决办法可供参考。
解决办法一：信息化的目的是为了得到效益，所以没有效益的应用不如不建，在安全适度配置的前提下，要加大向应用要效益的力度；没人用的系统是最安全的，同时也是效用最低的，因此信息安全建设要与应用结合。
解决办法二：统一应用与安全建设的主体，做到业务谁主管，安全谁负责。如果统一主体确实存在困难，则要在两者之间建立利益等效机制，让利益链“环环紧扣”，让利益“流动”起来，这些可以通过调整管理体制，完善评价机制，健全监督机制来具体实现。
当然，实际情况更为复杂，我们要想以不变应万变，不被问题牵着鼻子走，需要把握以下原则：绝对的安全是不存在的。当应用带来的收益远远大于安全带来的风险时，信息化工作才会大踏步地前进。我们应该做的，是大力建设能带来效益应用的同时，把安全风险控制在一个可容忍的较小范围内。也就是在扩大注水口的同时，缩小排水口。
篇13
一、 电子商务(EC)的安全要素
随着Internet热潮席卷全球，电子商务(EC)日益成为当时髦的词汇之一。电子商务(EC)就是利用电子数据交换(EDI)、电子邮件(E-mail)、电子资金转账(EFT)及Internet的主要技术在个人间、企业间和国家间进行无纸化的业务信息的交换。从传统的基于纸张的贸易方式向电子化的贸易方式转变的过程中，如何保持电子化的贸易方式与传统方式一样安全可靠则是人们关注的焦点，同时也是电子商务全面应用的关键问题之一。
电子商务(EC)必须具备以下安全要素:
1.有效性:EC以电子形式取代了纸张，那么如何保证这种电子形式的贸易信息的有效性则是开展E的前提。
2.机密性:EC作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。
3.完整性:EC简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。
4.可靠性/不可抵赖性/鉴别:EC可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证EC顺利进行的关键。
5.审查能力:根据机密性和完整性的要求，应对数据审查的结果进行记录。
二、Internet中电子商务的模型
利用Internet从事电子商务，意味着在享受公用网廉价、便利和庞大的用户群这些优点的同时，也承担了敏感信息(金融账号、账户密码和支付信息等)遭受攻击的风险。因此，能否确保信息安全、可靠的传输，为用户在网上从事商务活动提供信心保证，成为决定电子商务成败的关键。到目前为止，已有许多公司提出了各自的电子商务模型。在研究了这些模型后，发现尽管在具体架构上存在着很多分歧，但就如何实现信息安全传输，已在下列基本点上达成了共识。
1.认证体系(Certifying hierarchy)。为实现商家和客户的相互认证，既杜绝攻击者假冒他人信用账号进行欺诈，又防止不法组织冒充合法商家骗取他人金融账号的活动。参照OSI安全体系结构中对等实体认证机制，建立起仲裁和公正机构认证中心，根据客户和商家在银行中的金融记录向它们发放证书，并为发放的证书提供担保。在进行网上交易时，只要保证对认证中心的信任，即可通过对对方证书的认证来确定其合法性。而认证中心之间利用构成层次的体系结构来保证其本身的合法性。
2.信息安全传输(Secure transmission of information)。电子商务中信息安全传输包含三方面内容:私密性(Privacy)、完整性(Integrity)和不可否认性(None-deniability)。私密性指利用对称或非对称的加密手段防止涉及金融账号、账户密码和支付信息的数据在网上传输时被截获而泄露;完整性指利用数字信封、双重签名等技术保证交易信息在传输过程中没有遭到篡改；不可否认性则通过数字签名来确保交易的任何一方不能否认所作的承诺，签名可以通过认证中心的验证，并具有法律效应。
他们在参与电子商务之前，客户(Card holder)和商家(Merchant)都必须从认证中心(Certificate authority)申请用于交易活动的证书(Certificate)，认证中心根据客户在发卡银行(Issuer)和商家在开户银行(Acquirer)的账户信息，向他们发放经自己私钥签名的证书。从事网上销售的商家在其建立的WWW站点上，采用PUSH或个性化页面的方式，向潜在的客户群体推荐他们的商品，购物的客户在某一网站完成选购后，将订货信息及包含信用卡账号的支付信息传送给商家。订货信息(Order information)由商家负责处理，支付信息(Payment information)则转发给支付网关(Payment gateway)，并送到收单银行处理。收单银行将支付信息通过金融网络询问发卡银行，得到肯定消息后，向支付网关发出确认消息。支付网关将操作结果返回商家，并由商家给客户开出单据(类似发票)，以备今后查询和退货之用。交易完成后，收单银行根据先前的交易记录发起清算(Capture)操作，将资金由发卡银行转入收单银行，即客户账户到商家账户的划账。可以看到，在整个模型中，只有开户银行到发卡银行的金融网络可以利用现有的各大银行之间的专用网，不涉及过多的安全性问题。而其余两段必经的路径，从客户到商家和从商家到收单银行，都是利用开放性极强的Internet。这种方式虽然以其便利的通信和低廉的成本给电子商务带来了很大的竞争力，但同时也使得安全问题成为电子商务发展的突出矛盾。在网上交易中，包含信用卡账户和密码的信息将经过无数没有保障的节点存储和转发，由于对安全性的担扰，故至今还只有不到50%的人愿意尝试网上购物。
三、信息安全传输模型
如上所述，为实现电子商务模型中交易信息安全、可靠的传输，必须在交易的整个过程中综合应用认证、加密技术。包括：
1.数字信封(Digital envelope)，将对称密码与非对称密码体系结合起来传信息，具有比单纯使用对称密钥更好的安全性。
2.数字签名(Digital signature)，用发送者的私钥对信息的摘要(Digest)加密，将产生不可否认的签名。
3.双重签名(Dual signature)，为保证支付信息和订货信息不泄露地到达各自的处理者而引入的电子商务专用技术。以交易模型中客户向认证中心申请证书的过程为例，描述和分析如图2所示的信息安全传输模型及安全传输关键技术手段在其中的综合应用。在模型描述中，用{}表示对称密钥加密，用【】表示非对称密钥加密，用｜表示前后数据的连接。整个过程由七个阶段组成，具体描述如下：
(1)客户向认证中心CA发起初始请求，请求认证中心的交换证书EKCert。
(2)认证中心收到请求后，产生响应信息Request(包括认证中心的交换证书和保护客户金融账号的必要信息)，使用签名证书SKCert中的签名私钥SKsk签名后传回，T2=Request【Request】 SKsk｜SKCert。
(3)客户向认证体系(Trust chain)验证收到的证书，存储以备后用。请求注册表Form，随机生成对称密钥K1，用K1加密Form形成数字信封，并用认证中心的交换公钥(EKpk)加密K1和账号信息作为信封头，
T3=【K1｜账户号】EKpk｜{Form}K1。
(4)认证中心用私钥解开信封头，得到账户号和K1，并用K1解密获得客户请求注册表的信息，根据账户号的前6～11位找到相应的金融机构并选择注册表REG Form，用私钥签名后连同证书传回，T4=REG Form｜【REG Form】SKsk｜SKCert。
(5)客户收到注册表后，将SKCert与先前的存储比较，如一致则表示通过认证。根据REG Form签名认证数据完整性，产生一对非对称密钥PK、SK，填写注册表REG Form(包括姓名、账户有效期、账户地址和其他金融机构要求的信息)，产生生成证书时需要的随机数R1及两个对称密钥K2 (认证中心用它传送信息回来)和K3(用来加密即将传送的信息)，将注册表、生成的公钥和K2组成消息，并用生成的私钥签名，用K3加密上述消息做成数字信封后，再用认证中心的EKpk加密K3、账户号、账户有效期和R1，作为信封头传回，T5=【K3｜账户名｜账户有效期｜R1】EKpk｜{REG Form｜PK｜K2}K3｜{RGE 【REG Form｜PK｜K2】SK的签名。
(6)解开数字信封，完成信息完整性认证，根据账户信息与发卡银行交互来校验注册请求，生成一个与R1相关的随机数R2，用R1、R2产生S，账户号、账户有效期和S通过单项哈希函数的作用。其结果作为证书的一部分，将客户生成的公钥PK放入证书，认证中心决定证书的有效期，并进行签名作为证书的另一部分，产生含有R2及新生成证书的RES，并用K2对RES加密，连同用认证中心的私钥对RES作的签名及认证中心的证书一同传回，
T6={RES}K2【RES】SKsk｜SKCert。
(7) 客户收到消息后，在此校验认证中心的证书，用K2解密消息体得到R2和本人的证书，由R2结合先前产生的R1生成S存储备用，存储证书并防止非授权使用，此证书将在以后的电子商务中用作客户身份的认证。
上述描述是电子商务模型中最为复杂的一个交互过程，其所运用的各种安全传输技术同样出现在其他过程中，由于这些方法的综合运用，使得信息安全传输模型具备：
(1)较高的安全性。采用对称和非对称密钥体系的结合，将安全等级提高到界于这两者之间的水平。每次数据传输都利用非对称密钥传输一个变化的对称密钥，与SSL每次会话更改密钥相比，具有更高的安全保证。
(2)更合理的认证体系。通过对交易双方数字证书的强制性认证，可以提高在线交易的安全性。包含交易各方帐户或密码的敏感信息，经过转发，最终交由金融机构处理和确认，大大降低了泄露的可能性。
四、结束语
根据电子商务模型，参照SSL和SET协议标准，对电子商务中信息的安全传输进行了初步的探索，并结合引入的一些安全传输关键技术，描述和分析了信息安全传输的模型。当然，随着电子商务的进一步发展和实用化，如何建立可信任的认证中心体系、证书的安全存储和安全传输技术的效率与改进，仍是今后需进一步研究的。
参考文献:
[1]David A. Chappell, Tyler Jewell. Java Web 服务.北京:中国电力出版社,2003,9-10
[2]柴晓路梁宇奇:Web Services 技术、构架和应用.电子工业出版社,2003
[3]李琪:中国电子商务[M].西南财经大学出版社,2003
