[摘 要]: 电子商务在功能上要求实现实时帐户信息查询。这就使电子商务系统必须在物理上与生产系统要有连接，这对于电子商务系统的安全性提出了更高的要求，必须保证外部网络（INTERNET）用户不能对生产系统构成威胁。为此，需要全方位地制定系统的安全策略。
关键词：防火墙 安全 SSL协议 SET协议
 一 引言    在电子商务的诸多问题中，安全已成为发展可信赖电子商务环境的瓶颈问题。当前电子商务主要存在以下问题。（1）篡改。电子的交易信息在网络上传输地过程中，可能被他人非法的修改，删除或重放（指只能使用一次的信息被多次使用），从而使信息失去了真实性和完整性。（2）信息破坏。包括网络硬件和软件的问题而导致信息传递的丢失与谬误；以及一些恶意程序的破坏而导致电子商务信息遭到破坏。（3）身份识别。如果不进行身份识别，第三方就有可能假冒交易一方的身份，以破坏交易，败坏被假冒一方的声誉或盗窃被假冒一方的交易成果等。而不进行身份识别，交易的一方可不为自己的行为负责任，进行否认，相互欺诈。（4）信息泄密。主要包括两个方面，即交易双方进行交易的内容被第三方窃取或交易一方提供给另一方使用的文件被第三方非法使用。   由于电子商务涉及到金融、企业商家等各个方面的利益，它必须采用行之有效的手段来保证电子商务系统的安全运行。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在向基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。电子商务的安全主要采用数据加密和身份认证技术。下面分别从认证系统，SSL（Secure Sockets Layer）协议和安全电子交易SET（Secure Electronic Transaction）协议三个方面来加以论述。
二 防火墙
 防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。
2.1 防火墙安全策略
 1）Internet防火墙允许网络管理员定义一个中心“ 扼制点” 来防止非法用户，比如防止黑客、网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。Internet防火墙能够简化安全管理，网络的安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上。
 2) 在防火墙商可以很方便的监视网络的安全性，并产生报警。（注意：对一个与Internet相联的内部网络来说，重要的问题并不是网络是否会受到攻击，而是何时受到攻击？谁在攻击？）网络管理员必须审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。
 3) Internet防火墙可以作为部署NAT(Network Address Translator，网络地址变换）的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题，并消除机构在变换ISP时带来的重新编址的麻烦。
4) Internet防火墙是审计和记录Internet使用量的一个最佳地方。网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈的位置，并根据机构的核算模式提供部门级计费文字。三 SSL协议
 SSL协议由Netscape Communication公司设计开发，主要用于提高应用程序之间数据的安全性。该安全协议主要提供对用户和服务器的认证；对传送的数据进行加密和隐藏；确保数据在传送中不被改变。它能使客户一服务器应用之间的通信不被攻击者窃听。
3.1 SSL协议的特性
 SSL提供了两台机器间的安全连接。支付系统通过在SSL连接上传输信用卡卡号的方式来构建，在线银行和其他金融系统也常常构建在SSL之上。大部分Web浏览器和Web服务器都内置了SSL协议，比较容易应用。SSL协议建立在可靠的传输层协议（如TCP）之上，与应用层协议无关。它在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。高层的应用层协议（如HTTP，FTP，TELNET等）可以透明地建立于SSL协议之上。应用层协议所传送的数据都会被加密，从而保证通信的私密性。SSL协议提供的安全信道有以下三种特性：
 •私密性：在握手协议定义了会话密钥后，所有的消息都被加密。
 •确认性：尽管会话的客户端认证是可选的，但是服务器端始终是被认证的。
 •可靠性：传送的消息包括消息完整性检查
四 SET协议   为了实现更加完善的即时电子支付，SET协议应运而生。SET协议（Secure Electronic Transaction），被称之为安全电子交易协议，是由Master Card和Visa联合Netscape，Microsoft等公司，于1997年6月1日推出的一种新的电子支付模型。SET协议是B2C上基于信用卡支付模式而设计的，它保证了开放网络上使用信用卡进行在线购物的安全。SET主要是为了解决用户，商家，银行之间通过信用卡的交易而设计的，它具有的保证交易数据的完整性，交易的不可抵赖性等种种优点，因此它成为目前公认的信用卡网上交易的国际标准。4.1 机密性（Confidentiality）　　SET协议采用先进的公开密钥算法来保证传输信息的机密性，以避免Internet上任何无关方的窥探。公开密钥算法容许任何人使用公开的密钥将加密信息发送给指定的接收者，接收者收到密文后，用私人密钥对这个信息解密，因此，只有指定的接收者才能读这个信息，从而保证信息的机密性。　　SET协议也可通过双重签名的 方法 将信用卡信息直接从客户方透过商家发送到商家的开户行，而不容许商家访问客户的账号信息，这样客户在消费时可以确信其信用卡号没有在传输过程中被窥探，而接收SET交易的商家因为没有访问信用卡信息，故免去了在其数据库中保存信用卡号的责任。SET协议为电子交易提供了许多保证安全的措施。它能保证电子交易的机密性，数据完整性，交易行为的不可否认性和身份的合法性。　　(1)保证客户交易信息的保密性和完整性　　SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。　　(2)确保商家和客户交易行为的不可否认性　　SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其理论基础就是不可否认机制，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。
(3)确保商家和客户的合法性
 SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。
五 与电子商务安全有关的其他一些技术
5.1 密码技术
    密码技术除了提供信息的加密解密外，还提供对信息来源的鉴别、保证信息的完整和不可否认等功能，而这三种功能都是通过数字签名实现。
5.2 访问控制    您可以控制允许哪些用户和计算机访问您的 Web 服务器及其资源。可以同时使用 NTFS 和 Internet 信息服务 (IIS) 安全功能授予网站、目录和文件的特定访问权限。5.3 数字时间戳    数字时间戳技术就是数字签名技术一种变种的应用。在电子商务交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。数字时间戳服务（DTS：digita1 time stamp service）是网上电子商务安全服务项目之一，能提供电子文件的日期和时间信息的安全保护。
时间戳（time-stamp）是一个经加密后形成的凭证论文，它包括三个部分：
 1）需加时间戳的文件的摘要（digest）；
 2）DTS收到文件的日期和时间；
 3）DTS的数字签名。
一般来说，时间戳产生的过程为：用户首先将需要加时间戳的文件用Hash编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户
六 结束语    2008年，电子签名、电子印章有了实际进展，XML、WEBSERVICE、RFID等标准化工作的研究和创新应用，以及职业教育、短信信用服务、网络招聘行业自律规约、农业网站百强评选、数字图书经营等等，都有了实质性进展。一股电子商务投资热再次青睐中国电子商务网站，使中国电子商务驶入新的快速发展轨道。

参考 文献[1] 《电子商务安全技术》清华大学出版社， 2005年9月，第三版[2] 《电子商务安全技术与应用》机械工业出版社， 2005年6月，第二版[3] 《电子商务安全问题分析》清华大学出版社， 2006年6月，第三版

相关论文