浅议电子商务中的信息安全问题
 [摘要]安全是电子商务的核心和灵魂。电子商务对网络安全与商务安全的双重要求，使网络安全与商务安全密不可分。没有计算机网络安全作为基础，商务交易安全犹如空中楼阁，无从谈起；没有商务安全保障，即使计算机网络本身再安全，仍然无法达到电子商务所特有的安全要求。而电子商务相应的实现技术和各种协议正是安全得以实现的保证。
[关键词]电子商务 电子商务安全 安全需求 信息安全 安全技术

    电子商务无疑是近几年来使用和搜索频率最高的词汇之一，随着电子商务的发展和兴起，它的信息安全问题也越来越引人注目。由于电子商务是在网上公开进行的，支付信息、订货信息、谈判信息、机密的商务往来文件等大量商务信息在计算机系统中存放、传输和处理，所以如果不能很好地解决信息安全问题，电子商务的发展肯定会受到影响。为此网络安全为电子商务提供了重要保障，同时也保证了电子商务中的信息安全。
    一、电子商务主要面临的安全威胁有哪些
 因为公共的网络具有开放性，所以其运行过程中存在着各种各样的安全问题。从目前来看，有以下几大安全问题。
 1、系统的中断与瘫痪
 网络故障、操作失误、应用程序出错、硬件故障、系统软件设计不完善以及计算机病毒都有可能导致系统不能正常工作。如在划拨货款的过程中突然出现网络中断等。
 2、信息被窃取和被篡改
 电子商务作为一种全新的贸易形式，其通讯的信息直接代表着个人、企业或国家的利益。攻击者可能通过因特网、公共电话网、搭线或在电磁波辐射范围内安装截收装置等方式，截获传输的机密信息，或通过对信息流量和流向、通信频度和长度等参数分析，推断出有用的信息、如消费者的银行账号、密码等。
 攻击者可能从以下3个方面破坏信息的完整性：
 （1）改变信息流的次序, 更改信息的内容。
 （2）删除某个消息或消息中的某些部分。
 （3）在信息中插入一些其它干扰信息，让对方读不懂或者接收错误的信息。
  3、信息被伪造
 （1）虚开网站和网店，给用户发电子邮件，接受订单。
 （2）伪造大量用户，发电子邮件，使合法用户不能正常访问网络资源。
 （3）冒充他人身份，进行消费和栽赃等。
 4、对交易行为进行抵赖或不承认等
   （1）发信者事后否认曾经发送过某条消息或内容。
   （2）收信者事后否认曾经收到过某条消息或内容。
   （3）购买者不承认确认了的订单。
   （4）商家卖出的商品因价格差而不承认原有的交易。
 二、整个社会对电子商务的要求
 1、加密保证、使用者和数据的识别和鉴别要求，对存储和加密数据进行保密，对联网交易支付的可靠性保证，比较方便的安全管理，还有对数据的完整性进行验证，防止抵赖。
 2、政府关心的问题：经济安全问题，执法部门需要相应的措施、相应的证据，另外采购与使用需要，网络安全和消费者的保护问题。
 3、制约电子商务发展有几个主要因素：（1）基础设施问题；（2）观念改变问题；（3）信用机制问题；（4）支付技术问题；（5）法律保障问题；（6）物流配送问题；（7）信息安全问题。
 三、电子商务的安全需求的特性
 1、授权的合法性
 在双方进行交易前，首先要能确认对方的身份，要求交易双方的身份不能被假冒或伪装。
 2、信息的保密性
 要对重要的商业信息进行加密，即使别人截获或窃取了数据，也无法识别信息的真实内容，这样就可以使商业机密信息难以被泄露。
 3、信息的完整性
 交易各方能够验证收到的信息是否完整，即信息是否被人篡改过，或者在数据传输过程中是否出现信息丢失、信息重复等差错。
 4、信息的不可否认性
 在电子交易通信过程的各个环节中都必须是不可否认的，即交易一旦达成，发送方不能否认他发送的信息，接收方则不能否认他所收到的信息。
 5、交易者身份的真实性
 交易双方必须能确定对方的身份，并确定身份是真实可信的。
 6、系统的可靠性
 防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失误或失效。
 四、电子商务信息安全的技术
 1、数据加密技术
 （1）数字签名（digital signature）
 数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。概括的说，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。
 （2）数字时间戳（digital time-stamp) 交易文件中，时间是十分重要的信息。在电子交易中，需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。
 （3）数字证书（digital certificate，digital ID）数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。
 2、身份认证技术
 在网络上通过一个具有权威性和公正性的第三方机构——认证中心，将申请用户的标识信息（如姓名、身份证号等）与他的公钥捆绑在一起，用于在网络上验证确定其用户身份。前面所提到的数字时间戳服务和数字证书的发放，也都是由这个认证中心来完成的。
 3、支付网关技术
 支付网关，通常位于公网和传统的银行网络之间（或者终端和收费系统之间），其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。支付网关技术主要完成通信、协议转换和数据加解密功能，并且可以保护银行内部网络。此外，支付网关还具有密钥保护和证书管理等其它功能（有些内部使用网关还支持存储和打印数据等扩展功能）。
 五、电子商务信息安全中存在的其他问题
   （1）内部隐患
    主要是企业Internet的用户故意或无意地非授权调用电子商务信息或未经许可随意增加、删除、修改电子商务信息。
   （2）外部隐患
    主要是因为软件配置的不当，造成外部人员私自闯人企业内部网，并对电子商务信息故意或无意地非授权调用或增加、删除、修改。其隐患的主要来源有：竞争对手的恶意闯入、信息间谍的非法闯入、闲游用户的好奇闯入及黑客的骚扰闯入等。
   （3）可靠性差
 目前，Internet主干网和DNS服务器的可靠性还远远不能满足人们的要求，而绝大部分拨号PPP连接质量并不可靠，而且速度很慢。
   （4）技术人才的短缺
 由于Internet和网购都是在近几年得到了迅猛的发展，因而，许多地方都缺乏足够的技术人才来处理其中遇到的各种问题，因此，技术人才的短缺可能成为阻碍发展的一个重要因素。
   （5）WEB服务器的保护意识差
 虽然防火墙技术有助于对web 站点进行保护，但商家却很少安装防火墙或对其缺乏有效的维护，因而没有对Web 服务器进行很好的保护，这是商家的Web 站点尤其要引起注意的地方。
 六、电子商务安全交易的标准
 主要的协议标准有：（1）安全超文本传输协议（S—HTTP）：依靠对密钥的加密，保障Web站点间的交易信息传输的安全性。（2）安全套接层协议（SSL）：由Netscape公司提出的安全交易协议，提供加密、认证服务和报文的完整性。SSL被用于Netscape Communicator 和Microsoft IE浏览器，以完成需要的安全交易操作。（3）安全交易技术协议（STT，Secure Transaction Technology）：由Microsoft公司提出，STT将认证和解密在浏览器中分离开，用以提高安全控制能力。Microsoft在 Internet Explorer中采用这一技术。（4）安全电子交易协议（SET，Secure Electronic Transaction）:1996年6月，由IBM、MasterCard International、Visa International、Microsoft、Netscape、GTE、 VeriSign、SAIC、Terisa就共同制定的标准SET发布公告，并于1997年5月底发布了SET Specification Version1.0，它涵盖了信用卡在电子商务交易中的交易协定、信息保密、资料完整及数据认证、数据签名等。SET2.0预计今年发布，它增加了一些 附加的交易要求。这个版本是向后兼容的，符合SET1.0的软件并不必要跟着升级，除非它需要新的交易要求。SET规范明确的主要目标是保障付款安全，确定应用之互通性，并使全球市场接受。
 所有这些安全交易标准中，SET标准以推广利用信用卡支付网上交易，而广受各界瞩目，它将成为网上交易安全通信协议的工业标准，有望进一步推动Internet电子商务市场。
 七、电子商务安全需要进一步完善的配套设施
 电子商务要真正成为一种主导的商务模式，尤其对发展中的中国来说，发展电子商务，就必须从以下几个方面来完善配套措施：
 （1）突破关键技术受制于人的瓶颈。当前不仅国内几乎所有的主机、交换机、路由器、网络操作系统都来自国外，而且美国对出口别国的产品实行密钥信前控制和长密钥限制，因此我们必须依靠自身的力量研制自己的加密算法，以保证中国电子商务的正常发展。
 （2）我国应尽快对电子商务的有关细则进行立法。当前大多数人信息安全意识淡薄，以银行和金融界来看，大家对安全方面的重视还不够，由于有关电子商务的立法和管理刚刚开始，有人开玩笑说“电子商务目前是个‘三无’行业：无法可依、无安全可言、无规可循”，当然这种说法欠妥，但目前我国关于网络安全的法律的确还有待完善。
 （3）大力开发大型商务网站、发展与之相配套的物流公司。目前我国的电子商务没有真正深入商务领域而仅仅局限于信息领域，这必将影响我国电子商务进一步的发展。
 
参考文献
1、黄敏学，《电子商务》，高等教育出版社，2001年。
2、康晓东，《电子商务系统建设与应用》，南开大学出版社，2003年。
3、贾晶、陈元等，《信息系统安全与保密》，清华大学出版社，1999年。
4、司志刚，濮小金，《电子商务导论》，中国水利水电出版社，2005年。

相关论文