隨著信息技術(shù)和計算機網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，電子商務(wù)作為一種新的商業(yè)應用形式，將企業(yè)和企業(yè)、企業(yè)與用戶通過Internet有機地結(jié)合起來，提供了無限的商機，正以驚人的速度向前發(fā)展。

電子商務(wù)是以信息網(wǎng)絡(luò)技術(shù)為手段，以商品交換為中心的商務(wù)活動；也可理解為在互聯(lián)網(wǎng)（Internet）、企業(yè)內(nèi)部網(wǎng)（Intranet）和增值網(wǎng)（VAN，Value Added Network）上以電子交易方式進行交易活動和相關(guān)服務(wù)的活動，是傳統(tǒng)商業(yè)活動各環(huán)節(jié)的電子化、網(wǎng)絡(luò)化、信息化。它是基于Internet開展的商務(wù)活動，大量重要的信息都需要在網(wǎng)上進行傳遞，因此，建立一個安全可靠的電子商務(wù)應用環(huán)境，已經(jīng)成為影響到電子商務(wù)健康發(fā)展的關(guān)鍵性課題。

電子商務(wù)的安全主要包括計算機網(wǎng)絡(luò)系統(tǒng)安全和電子商務(wù)交易中數(shù)據(jù)傳輸安全兩個方面，計算機網(wǎng)絡(luò)系統(tǒng)的安全主要采取防火墻技術(shù)、病毒查殺、安全防范等被動措施，而電子商務(wù)交易中數(shù)據(jù)傳輸?shù)陌踩珓t主要是采用現(xiàn)代數(shù)據(jù)加密技術(shù)對數(shù)據(jù)進行主動保護。數(shù)據(jù)加密技術(shù)是信息安全技術(shù)中最常見、最基本的技術(shù)，同時也是最有效的核心技術(shù)之一。

數(shù)據(jù)加密技術(shù)

為了確保電子商務(wù)活動的安全性，就必須要建立一套安全可靠的電子商務(wù)安全機制。電子商務(wù)的安全機制至少要解決以下幾個方面的問題：一是解決交易雙方的身份鑒別問題；二是解決交易活動中的不可否認性；三是解決交易數(shù)據(jù)的保密性和完整性；四是解決電子支付過程中每一個環(huán)節(jié)的安全。

數(shù)字證書

數(shù)字證書類似于現(xiàn)實生活中的身份證，它提供了一種在Internet網(wǎng)上驗證個人或組織身份的方式，數(shù)字證書由專門的認證機構(gòu)（認證中心，CA）頒發(fā)。在電子商務(wù)活動中，利用簽名數(shù)字證書就可以識別交易雙方的身份。

數(shù)字證書一般包含以下一些內(nèi)容：證書的版本信息、每個用戶都有一個唯一的證書序列號、證書所使用的簽名算法、證書的發(fā)行機構(gòu)名稱、證書的有效期、證書所有人的名稱、證書所有人的公開密鑰、證書發(fā)行者對證書的簽名等。數(shù)字證書主要是通過非對稱加密體制來實現(xiàn)的。每個用戶自己設(shè)定一把特定的僅為本人所知的私有密鑰。用它來進行解密和簽名，同時設(shè)定一把公開密鑰并由本人公開，由一組用戶所共享，用于加密和驗證簽名。當發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據(jù)加密，而接收方則使用自己的私鑰解密，這樣就可以保證信息除發(fā)送方和接收方外不被其他人竊取。信息在傳輸過程中不被篡改，發(fā)送方能夠通過數(shù)字證書來確認接收方的身份，發(fā)送方對于自己發(fā)送的信息不能抵賴。

數(shù)字簽名和數(shù)字摘要

以往的書信或文件是根據(jù)親筆簽名或印章來證明其真實性的，但在計算機網(wǎng)絡(luò)中傳送的報文又如何簽章呢？這就是數(shù)字簽名所要解決的問題。

數(shù)字簽名必須保證以下3點：一是接收者能夠核實發(fā)送者對報文的簽名；二是發(fā)送者事后不能抵賴對報文的簽名；三是接收者不能偽造對報文的簽名。

運用數(shù)字簽名技術(shù)就可以實現(xiàn)交易中的不可否認性。目前數(shù)字簽名是通過非對稱加密體制實現(xiàn)的，其基本原理是：發(fā)送方用私鑰對所傳輸?shù)膱笪募用埽ê灻?，接收方用公鑰解密（核對簽名）。由于數(shù)字簽名使用的是發(fā)送方的私鑰進行簽名，事后發(fā)送方則無法抵賴其所發(fā)出的報文，從而實現(xiàn)了交易的不可抵賴性。

為了驗證信息的完整性，還可以使用數(shù)字摘要技術(shù)，其要點是將要發(fā)送的報文通過HASH加密算法計算出一個摘要值，將摘要值用發(fā)送方的私鑰簽名，再與原報文明文一起發(fā)送。接收方先用發(fā)送方的公鑰解密得到報文和摘要值，再用同樣的HASH算法自行計算一遍收到報文的摘要值，然后將兩個摘要值進行核對，如果兩個摘要相同則說明信息在傳輸過程中沒有被篡改，否則，信息已被非法用戶篡改。這是因為 HASH算法可以保證只要原文被改動了任一個二進制碼就會導致摘要值的顯著變化。因此利用數(shù)字摘要和簽名技術(shù)，就可以解決信息傳輸?shù)耐暾院筒豢傻仲囆浴?/p>

數(shù)字信封

數(shù)字信封是一種綜合利用了對稱加密技術(shù)和非對稱加密技術(shù)兩者的優(yōu)點進行信息安全傳輸?shù)囊环N技術(shù)。數(shù)字信封既發(fā)揮了對稱加密算法加密速度快、安全性好的優(yōu)點，又發(fā)揮了非對稱加密算法密鑰管理方便的優(yōu)點。

在信息傳輸過程中，發(fā)送方先用對稱加密算法對信息加密，再用接收方的公鑰對自己加密所用的密鑰進行加密，這一密文就是數(shù)字信封，然后將加密了的信息和數(shù)字信封一同發(fā)送給接收方。而接收方則先用自己的私鑰打開數(shù)字信封得到發(fā)送方加密所用的密鑰，再用這把密鑰對加密信息解密就可得到信息的明文。

從這一過程可以看出，數(shù)字信封如同我們生活中的信封，只不過數(shù)字信封中封裝的是發(fā)送方進行加密的一把密鑰。利用數(shù)字信封技術(shù)很好地解決了對稱加密體制密鑰管理的難題，有利于充分發(fā)揮對稱加密體制加密速度快、安全性好的優(yōu)點。

電子支付過程中的安全協(xié)議

電子商務(wù)的顯著特征之一就是通過電子支付來實現(xiàn)交易過程中的支付環(huán)節(jié)。為了保障電子支付過程中持卡人的賬戶信息不泄漏、不被盜用，交易各方就必須要建立并共同遵循用來解決電子商務(wù)交易安全的某種協(xié)議。目前，具有這種功能的安全協(xié)議有很多，其中使用最廣泛的有SET協(xié)議和SSL協(xié)議。

1. SET協(xié)議。SET協(xié)議是由美國Visa和Master Card兩大信用卡組織聯(lián)合國際上多家科技機構(gòu)，共同制定的應用于Internet上的以銀行卡為基礎(chǔ)進行在線交易的安全標準，即“安全電子交易”（Secure Electronic Transaction，SET）。它采用了非對稱加密體制和X.509數(shù)字證書標準，主要應用于B to C模式中保障支付信息的安全性。它通過相應的軟件、數(shù)字證書、數(shù)字簽名和加密技術(shù)，為電子交易各環(huán)節(jié)提供更大的信任度、更高的安全性和較少的欺詐性。它提供了消費者、商家和銀行之間的認證，確保了交易數(shù)據(jù)的安全性、完整可靠性和交易的不可否認性，特別是具有能保證不將消費者銀行卡信息暴露給商家等優(yōu)點，它為電子商務(wù)的安全交易提供了一個重要的保障機制。因此，它成為了目前公認的信用卡／借記卡的網(wǎng)上交易的國際安全標準。但它局限于使用信用卡方式的支付手段。
2. SSL協(xié)議。SSL（Secure socket Layer，安全套接層協(xié)議）是網(wǎng)景（Netscape）提出的基于Web應用的安全協(xié)議，它包括：服務(wù)器認證、客戶認證（可選）、SSL鏈路上的數(shù)據(jù)完整性和SSL鏈路上的數(shù)據(jù)保密性。SSL協(xié)議也是使用非對稱加密體制和X.509數(shù)字證書技術(shù)。它主要用于應用程序協(xié)議之間的數(shù)據(jù)安全，能提供用戶和服務(wù)器的認證、數(shù)據(jù)傳送的機密性以及信息傳輸?shù)耐暾缘劝踩胧?。?SSL不對應用層的消息進行數(shù)字簽名，因此不能提供交易的不可否認性，即不能保證信息傳輸?shù)牟豢傻仲囆?，這是SSL在電子商務(wù)中使用的最大不足。

總的來說，目前電子商務(wù)交易的安全機制還不夠成熟，無法滿足迅速增長的電子商務(wù)需要，主要體現(xiàn)在加密體制上的不完善。電子商務(wù)的安全保障主要是采用加密技術(shù)構(gòu)建數(shù)據(jù)傳輸?shù)陌踩珯C制，加密技術(shù)是數(shù)據(jù)傳輸安全的核心。盡管現(xiàn)在流行的算法（如DES、RAS和IDEA等）功能較為強大，能夠提供高強度的數(shù)字安全保護，但現(xiàn)行的大多數(shù)加密算法都沒有經(jīng)過嚴格的數(shù)學證明，因此或多或少都存在薄弱環(huán)節(jié)，給攻擊者留下可乘之機。在網(wǎng)絡(luò)數(shù)據(jù)傳輸過程中，攻擊者可以試圖通過對密文的分析、破譯，攻擊密碼系統(tǒng)的薄弱環(huán)節(jié)，以破獲密鑰打開密文。因此，絕對安全的電子商務(wù)運行環(huán)境是不存在的。

但是由于數(shù)據(jù)加密和解密的算法都是公開的，數(shù)據(jù)的安全性完全取決于密鑰的安全使用和管理。如果將一個對話密鑰用于一條信息中或一次對話中，或者建立一種按時更換密鑰的機制就可以減小密鑰暴露的可能性，從而改善電子商務(wù)的運行環(huán)境。

Miranda

收藏 海報分享