购物车(0)
商务安全论文篇1
攻击者通过非法手段盗用合法用户的身份信息，仿冒合法用户的身份与他人进行交易，进行信息欺诈与信息破坏，从而获得非法利益。主要表现有：冒充他人身份；冒充他人消费、栽赃；冒充主机欺骗合法主机及合法用户等。
2.网络信息安全问题
主要表现在攻击者在网络的传输信道上，通过物理或逻辑的手段，进行信息截获、篡改、删除、插入。截获，攻击者可能通过分析网络物理线路传输时的各种特征，截获机密信息或有用信息，如消费者的账号、密码等。篡改，即改变信息流的次序，更改信息的内容；删除，即删除某个信息或信息的某些部分；插入，即在信息中插入一些信息，让收方读不懂或接受错误的信息。
3.拒绝服务问题
攻击者使合法接入的信息、业务或其他资源受阻。主要表现为散布虚假资讯，扰乱正常的资讯通道。包括：虚开网站和商店，给用户发电子邮件，收订货单；伪造大量用户，发电子邮件，穷尽商家资源，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应。
4.交易双方抵赖问题
某些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。如：者事后否认曾经发送过某条信息或内容；收信者事后否认曾经收到过某条信息或内容；购买者做了订货单不承认；商家卖出的商品质量差但不承认原有的交易。在网络世界里谁为交易双方的纠纷进行公证、仲裁。
5.计算机系统安全问题
计算机系统是进行电子商务的基本设备，如果不注意安全问题，它一样会威胁到电子商务的信息安全。计算机设备本身存在物理损坏，数据丢失，信息泄露等问题。计算机系统也经常会遭受非法的入侵攻击以及计算机病毒的破坏。同时，计算机系统存在工作人员管理的问题，如果职责不清，权限不明同样会影响计算机系统的安全。
二、电子商务安全机制
1.加密和隐藏机制
加密使信息改变，攻击者无法读懂信息的内容从而保护信息；而隐藏则是将有用的信息隐藏在其他信息中，使攻击者无法发现，不仅实现了信息的保密，也保护了通信本身。
2.认证机制
网络安全的基本机制，网络设备之间应互相认证对方身份，以保证正确的操作权力赋予和数据的存取控制。网络也必须认证用户的身份，以保证正确的用户进行正确的操作并进行正确的审计。
3.审计机制
审计是防止内部犯罪和事故后调查取证的基础，通过对一些重要的事件进行记录，从而在系统发现错误或受到攻击时能定位错误和找到攻击成功的原因。审计信息应具有防止非法删除和修改的措施。
4.完整性保护机制
用于防止非法篡改，利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务，当信息源的完整性可以被验证却无法模仿时，收到信息的一方可以认定信息的发送者，数字签名就可以提供这种手段。
5.权力控制和存取控制机制
主机系统必备的安全手段，系统根据正确的认证，赋予某用户适当的操作权力，使其不能进行越权的操作。该机制一般采用角色管理办法，针对系统需要定义各种角色，如经理、会计等，然后对他们赋予不同的执行权利。
6.业务填充机制
在业务闲时发送无用的随机数据，增加攻击者通过通信流量获得信息的困难。同时，也增加了密码通信的破译难度。发送的随机数据应具有良好模拟性能，能够以假乱真。
三、电子商务安全关键技术
安全问题是电子商务的核心，为了满足安全服务方面的要求，除了网络本身运行的安全外，电子商务系统还必须利用各种安全技术保证整个电子商务过程的安全与完整，并实现交易的防抵赖性等，综合起来主要有以下几种技术。
1.防火墙技术
现有的防火墙技术包括两大类：数据包过滤和服务技术。其中最简单和最常用的是包过滤防火墙，它检查接受到的每个数据包的头，以决定该数据包是否发送到目的地。由于防火墙能够对进出的数据进行有选择的过滤，所以可以有效地避免对其进行的有意或无意的攻击，从而保证了专用私有网的安全。将包过滤防火墙与服务器结合起来使用是解决网络安全问题的一种非常有效的策略。防火墙技术的局限性主要在于：防火墙技术只能防止经由防火墙的攻击，不能防止网络内部用户对于网络的攻击;防火墙不能保证数据的秘密性，也不能保证网络不受病毒的攻击，它只能有效地保护企业内部网络不受主动攻击和入侵。
2.虚拟专网技术（VPN）
VPN的实现过程使用了安全隧道技术、信息加密技术、用户认证技术、访问控制技术等。VPN具投资小、易管理、适应性强等优点。VPN可帮助远程用户、公司分支机构、商业伙伴及供应商与公司的内部网之间建立可信的安全连接，并保证数据的安全传输，以此达到在公共的Internet上或企业局域网之间实现完全的电子交易的目的。
3.数据加密技术
加密技术是保证电子商务系统安全所采用的最基本的安全措施，它用于满足电子商务对保密性的需求。加密技术分为常规密钥密码体系和公开密钥密码体系两大类。如果进行通信的交易各方能够确保在密钥交换阶段未曾发生私有密钥泄露，可通过常规密钥密码体系的方法加密机密信息，并随报文发送报文摘要和报文散列值，以保证报文的机密性和完整性。目前常用的常规密钥密码体系的算法有：数据加密标准DES、三重DES、国际数据加密算法IDEA等，其中DES使用最普遍，被ISO采用为数据加密的标准。在公开密钥密码体系中，加密密钥是公开信息，而解密密钥是需要保护的，加密算法和解密算法也都是公开的。典型的公开密钥密码体系有：基于数论中大数分解的RSA体系、基于NP完全理论的Merkel-Hellman背包体系和基于编码理论的McEliece体系。在以上两类加密体系中，常规密钥密码体系的特点是加密速度快、效率高，被广泛用于大量数据的加密，但该方法的致命缺点是密钥的传输易被截获，难以安全管理大量的密钥，因此大范围应用存在一定问题。而公开密钥密码体系很好地解决了上述不足，保密性能也优于常规密钥密码体系，但公开密钥密码体系复杂，加密速度不够理想。目前电子商务实际运用中常将两者结合使用。
4.安全认证技术
安全认证技术主要有:(1)数字摘要技术，可以验证通过网络传输收到的明文是否被篡改，从而保证数据的完整性和有效性。(2)数字签名技术，能够实现对原始报文的鉴别和不可否认性，同时还能阻止伪造签名。(3)数字时间戳技术，用于提供电子文件发表时间的安全保护。(4)数字凭证技术，又称为数字证书，负责用电子手段来证实用户的身份和对网络资源访问的权限。(5)认证中心，负责审核用户的真实身份并对此提供证明，而不介入具体的认证过程，从而缓解了可信第三方的系统瓶颈问题，而且只须管理每个用户的一个公开密钥，大大降低了密钥管理的复杂性，这些优点使得非对称密钥认证系统可用于用户众多的大规模网络系统。(6)智能卡技术，它不但提供读写数据和存储数据的能力，而且还具有对数据进行处理的能力，可以实现对数据的加密和解密，能进行数字签名和验证数字签名，其存储器部分具有外部不可读特性。采用智能卡，可使身份识别更有效、安全，但它仅仅为身份识别提供一个硬件基础，如果要使身份认证更安全，还需要与安全协议的配合。
5.电子商务安全协议
商务安全论文篇2
对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。
使用对称加密技术将简化加密的处理，每个参与方都不必彼此研究和交换专用设备的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。
2．非对称密钥加密体制
非对称密钥加密系统，又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作，一个公开，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。
在非对称加密体系中，密钥被分解为一对。这对密钥中的任何一把都可作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把则作为私用密钥（解密密钥）加以保存。私用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛。
该方案实现信息交换的过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密信息进行解密。
认证技术
安全认证的主要作用是进行信息认证。信息认证的目的为：（1）确认信息发送者的身份；2）验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。下面从安全认证技术和安全认证机构两个方面来做介绍。
1．常用的安全认证技
安全认证技术主要有数字摘要、数字信封、数字签名、数字时间戳、数字证书等。
（1）数字摘要
数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码，并在传输信息时将之加入文件一同送给接收方，接收方收到文件后，用相同的方法进行变换运算，若得到的结果与发送来的摘要码相同，则可断定文件未被篡改，反之亦然。
（2）数字信封
数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。在数字信封中，信息发送方采用对称密钥来加密信息，然后将此对称密钥用接收方的公开密钥来加密（这部分称为数字信封）之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。这种技术的安全性相当高。
（3）数字签名
日常生活中，通常用对某一文档进行签名来保证文档的真实有效性，防止其抵赖。在网络环境中，可以用电子数字签名作为模拟。
把Hash函数和公钥算法结合起来，可以在提供数据完整性的同时保证数据的真实性。完整性保证传输的数据没有被修改，而真实性则保证是由确定的合法者产生的Hash，而不是由其他人假冒。而把这两种机制结合起来就可以产生数字签名。
（4）数字时间戳
在书面合同中，文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。而在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务就能提供电子文件发表时间的安全保护。数字时间戳服务（DTS）是网络安全服务项目，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。
（5）数字证书
在交易支付过程中，参与各方必须利用认证中心签发的数字证书来证明各自的身份。所谓数字证书，就是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。
数字证书是用来惟一确认安全电子商务交易双方身份的工具。由于它由证书管理中心做了数字签名，因此任何第三方都无法修改证书的内容。任何信用卡持有人只有申请到相应的数字证书，才能参加安全电子商务的网上交易。数字证书一般有四种类型：客户证书、商家证书、网关证书及CA系统证书。
2．安全认证机构
电子商务授权机构（CA）也称为电子商务认证中心（CertificateAuthority）。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是靠交易双方自己能完成的，而需要有一个具有权威性和公正性的第三方来完成。
认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。
安全认证协议
目前电子商务中有两种安全认证协议被广泛使用，即安全套接层SSL（SecureSocketsLayer）协议和安全电子交易SET（SecureElectronicTransaction）协议。
1．安全套接层（SSL）协议
安全套接层协议是由Netscape公司1994年设计开发的安全协议，主要用于提高应用程序之间的数据的安全系数。SSL协议的概念可以被概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和企业内联网的安全通信服务。
SSL采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥；在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。
商务安全论文篇3
在电子商务的交易中，经济信息、资金都要通过网络传输，交易双方的身份也需要认证，因此，电子商务的安全性主要是网络平台的安全和交易信息的安全。而网络平台的安全是指网络操作系统对抗网络攻击、病毒，使网络系统连续稳定的运行。常用的保护措施有防火墙技术、网络入侵检测技术、网络防毒技术。交易信息的安全是指保护交易双方的不被破坏、不泄密，和交易双方身份的确认。可以用数据加密、数字签名、数字证书、ssl、set安全协议等技术来保护。
在这里我想重点谈谈防火墙技术和数据加密技术。
一、防火墙技术。
防火墙就是在网络边界上建立相应的网络通信监控系统,用来保障计算机网络的安全,它是一种控制技术,既可以是一种软件产品,又可以制作或嵌入到某种硬件产品中。从逻辑上讲,防火墙是起分隔、限制、分析的作用。实际上,防火墙是加强Intranet(内部网)之间安全防御的一个或一组系统,它由一组硬件设备(包括路由器、服务器)及相应软件构成。所有来自Internet的传输信息或你发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。防火墙是网络安全策略的有机组成部分,它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具有以下五大基本功能:(1)过滤进、出网络的数据;(2)管理进、出网络的访问行为;(3)封堵某些禁止行为;(4)记录通过防火墙的信息内容和活动;(5)对网络攻击进行检测和告警。
新一代的防火墙产品一般运用了以下技术：
(1)透明的访问方式。
以前的防火墙在访问方式上要么要求用户做系统登录,要么需要通过SOCKS等库路径修改客户机的应用。而现在的防火墙利用了透明的系统技术,从而降低了系统登录固有的安全风险和出错概率。
(2)灵活的系统。
系统是一种将信息从防火墙的一侧传送到另一侧的软件模块。采用两种机制:一种用于从内部网络到外部网络的连接;另一种用于从外部网络到内部网络的连接。前者采用网络地址转接(NIT)技术来解决,后者采用非保密的用户定制或保密的系统技术来解决。
(3)多级过滤技术。
为保证系统的安全性和防护水平,防火墙采用了三级过滤措施,并辅以鉴别手段。在分组过滤一级,能过滤掉所有的源路由分组和假冒IP地址;在应用级网关一级,能利用FTP、SMTP等各种网关,控制和监测Internet提供的所有通用服务;在电路网关一级,实现内部主机与外部站点的透胆连接,并对服务的通行实行严格控制。
(4)网络地址转换技术。
防火墙利用NAT技术能透明地对所有内部地址做转换,使得外部网络无法了解内部网络的内部结构,同时允许内部网络使用自己编的IP源地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。
(5)Internet网关技术。
由于是直接串联在网络之中,防火墙必须支持用户在Internet互联的所有服务,同时还要防止与Internet服务有关的安全漏洞,故它要能够以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。在域名服务方面,新一代防火墙采用两种独立的域名服务器:一种是内部DNS服务器,主要处理内部网络和DNS信息;另一种是外部DNS服务器,专门用于处理机构内部向Internet提供的部分DNS信息。在匿名FTP方面,服务器只提供对有限的受保护的部分目录的只读访问。在WWW服务器中,只支持静态的网页,而不允许图形或CGI代码等在防火墙内运行。在Finger服务器中,对外部访问,防火墙只提供可由内部用户配置的基本的文本信息,而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件做处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境。Ident服务器对用户连接的识别做专门处理,网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。
(6)安全服务器网络(SSN)。
为了适应越来越多的用户向Internet上提供服务时对服务器的需要,新一代防火墙采用分别保护的策略对用户上网的对外服务器实施保护,它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网络的一部分,又与内部网关完全隔离,这就是安全服务器网络(SSN)技术。而对SSN上的主机既可单独管理,也可设置成通过FTP、Telnet等方式从内部网上管理。SSN方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多,因为SSN与外部网之间有防火墙保护,SSN与内部网之间也有防火墙的保护,而DMZ只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之,一旦SSN受破坏,内部网络仍会处于防火墙的保护之下,而一旦DMZ受到破坏,内部网络便暴露于攻击之下。
(7)用户鉴别与加密。
为了降低防火墙产品在Ielnet、FTP等服务和远程管理上的安全风险,鉴别功能必不可少。新一代防火墙采用一次性使用的口令系统来作为用户的鉴别手段,并实现了对邮件的加密。
(8)用户定制服务。
为了满足特定用户的特定需求,新一代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用TCP、出站UDP、FTP、SMTP等,如果某一用户需要建立一个数据库的,便可以利用这些支持,方便设置。
(9)审计和告警。
新一代防火墙产品采用的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站、FTP、出站、邮件服务器、域名服务器等。告警功能会守住每一个TCP或UDP探寻,并能以发出邮件、声响等多种方式报警。此外,防火墙还在网络诊断、数据备份保全等方面具有特色。
目前的防火墙主要有两种类型。其一是包过滤型防火墙。它一般由路由器实现，故也被称为包过滤路由器。它在网络层对进入和出去内部网络的所有信息进行分析，一般检查数据包的IP源地址、IP目标地址、TCP端口号、ICMP消息类型，并按照信息过滤规则进行筛选，若符合规则，则允许该数据包通过防火墙进入内部网，否则进行报警或通知管理员，并且丢弃该包。这样一来，路由器能根据特定的刿则允许或拒绝流动的数据，如：Telnet服务器在TCP的23号端口监听远程连接，若管理员想阻塞所有进入的Telnet连接，过滤规则只需设为丢弃所有的TCP端口号为23的数据包。采用这种技术的防火墙速度快，实现方便，但由于它是通过IP地址来判断数据包是否允许通过，没有基于用户的认证，而IP地址可以伪造成可信任的外部主机地址，另外它不能提供日志，这样一来就无法发现黑客的攻击纪录。
其二是应用级防火墙。大多数的应用级防火墙产品使用的是应用机制，内置了应用程序，可用服务器作内部网和Internet之间的的转换。若外部网的用户要访问内部网，它只能到达服务器，若符合条件，服务器会到内部网取出所需的信息，转发出去。同样道理，内部网要访问Internet,也要通过服务器的转接，这样能监控内部用户访问Internet.这类防火墙能详细记录所有的访问纪录，但它不允许内部用户直接访问外部，会使速度变慢。且需要对每一个特定的Internet服务安装相应的服务器软件，用户无法使用未被服务器支持的服务。
防火墙技术从其功能上来分，还可以分为FTP防火墙、Telnet防火墙、Email防火墙、病毒防火墙等等。通常几种防火墙技术被一起使用，以弥补各自的缺陷和增加系统的安全性能。
防火墙虽然能对外部网络的功击实施有效的防护，但对来自内部网络的功击却无能为力。网络安全单靠防火墙是不够的，还需考虑其它技术和非技术的因素，如信息加密技术、制订法规、提高网络管理使用人员的安全意识等。就防火墙本身来看，包过滤技术和访问模式等都有一定的局限性，因此人们正在寻找更有效的防火墙，如加密路由器、“身份证”、安全内核等。但实践证明，防火墙仍然是网络安全中最成熟的一种技术。
二、数据加密技术
在电子商务中，信息加密技术是其它安全技术的基础，加密技术是指通过使用代码或密码将某些重要信息和数据从一个可以理解的明文形式变换成一种复杂错乱的、不可理解的密文形式（即加密），在线路上传送或在数据库中存储，其他用户再将密文还原成明文（即解密），从而保障信息数据的安全性。
数据加密的方法很多，常用的有两大类。一种是对称加密。一种是非对称密钥加密。对称加密也叫秘密密钥加密。发送方用密钥加密明文，传送给接收方，接收方用同一密钥解密。其特点是加密和解密使用的是同一个密钥。典型的代表是美国国家安全局的DES。它是IBM于1971年开始研制，1977年美国标准局正式颁布其为加密标准，这种方法使用简单，加密解密速度快，适合于大量信息的加密。但存在几个问题：第一，不能保证也无法知道密钥在传输中的安全。若密钥泄漏，黑客可用它解密信息，也可假冒一方做坏事。第二，假设每对交易方用不同的密钥，N对交易方需要N*(N-1)/2个密钥，难于管理。第三，不能鉴别数据的完整性。
非对称密钥加密也叫公开密钥加密。公钥加密法是在对数据加解密时，使用不同的密钥，在通信双方各具有两把密钥，一把公钥和一把密钥。公钥对外界公开，私钥自己保管，用公钥加密的信息，只能用对应的私钥解密，同样地，用私钥解密的数据只能用对应的公钥解密。具体加密传输过程如下：
（1）发送方甲用接收方乙的公钥加密自己的私钥。
（2）发送方家用自己的私钥加密文件，然后将加密后的私钥和文件传输给接收方。
（3）接收方乙用自己的私钥解密，得到甲的私钥。
（4）接收方乙用甲的公钥解密，得到明文。
商务安全论文篇4
一、电子商务安全技术保障策略
安全技术保障技术是电子商务安全体系中的基本策略，目前相关的信息安全技术与专门的电子商务安全技术研究比较普遍和成熟。电子商务中常用到的安全技术有以下几种：
1.密码技术。密码技术包括加密技术和解密技术。加密是将信息经过加密密钥及加密函数转换，变成无意义的密文。而解密则是将密文经过解密函数、解密密钥处理还原成原文。密码技术是网络安全技术的基础。
2.身份验证技术。电子商务主体向系统证明自己身份，并由系统查核该主体的过程，是确认真实有效身份的重要环节，这个过程叫作身份验证。常用的验证技术有报文鉴别、身份鉴别和电子签名。
3.访问控制技术。访问控制是指对电子商务网络系统中各种资源访问时的权限确认，防止非法访问。它包括有关的策略、模型、机制的基础理论与实现方法。
4.防火墙技术。防火墙是用一组网络设备来加强一个网络与外界之间的访问控制。防火墙整体可以分为三大类：分组过滤、应用、电路网关。
二、企业电子商务安全运营管理制度保障策略
企业电子商务安全运营管理制度是用文字的形式对各项安全要求所做的规定，是保证企业取得电子商务成功的基础，是企业电子商务人员工作的规范和准则。这些制度主要包括人员管理制度，保密制度，跟踪审计制度，系统维护制度、数据备份制度等。
1.人员管理制度人员管理制度主要从人员的选拔，工作责任的落实和安全运作必须遵循的基本原则制定相应的工作制度。
2.保密制度电子商务系统涉及企业的市场、生产、财务、供应链等多方面的机密，这些方面都是需要很好地划分信息安全级别，并确定安全防范重点，提出相应的保密措施。
3.跟踪审计制度跟踪制度就是要求企业建立网络交易的日志机制，来记录网络交易的全过程。而审计制度是对系统日志的经常检查、审核，及时发现对系统有安全隐患的记录，监控各种安全事故，维护和管理系统日志。
4.网络系统的日常维护制度网络系统的日常维护包括硬件的日常维护和软件的日常维护，硬件维护主要是对网络设备服务器和客户机以及通信线路进行定期规范地巡查、检修；软件维护主要是规范地对支撑软件的定期清理和整理、监测、处理特殊情况以及对应用软件的升级等。
5.数据备份制度数据备份主要是利用多种介质对信息系统数据进行存储，定期为重要信息备份、系统设备备份，并定期更新，以减少安全事故发生时造成的损失。
三、电子商务立法策略
电子商务安全得到法律保障，首先必须完善电子商务安全相关的法律。如何构建一个有针对性的健全的法律体系是摆在我们面前的迫切问题。可以从立法目的、立法原则、立法范围和立法途径上分析。
1.立法目的电子商务安全立法的目的主要是要消除电子商务发展的法律障碍；消除现有法律适用上的不确定性，保护合理的商业行为，保障电子交易安全；建立一个清晰的法律框架以统一调整电子商务的健康发展。
2.立法范围电子商务安全方面需要的法律法规主要有：市场准入制度、合同有效认证办法、电子支付系统安全措施、信息保密防范办法，知识产权侵权处理规定、以及广告的管制、网络信息内容过滤等；电子商务调整的对象是电子商务中的各种社会关系。
3.立法途径电子商务法律仍然是调整社会关系，所以应当继承传统立法的合理内核，尤其是基础价值观。具体的立法途径主要是两种：第一是制定新的法律规范。对于传统法律没有规定的，即由电子商务带来的新的社会关系，应尽快制定法律规范；第二是修改或重新解释既定的法律规范。对于传统法律的规定不明确，或与电子商务新型社会关系有冲突甚至存在缺欠的，可以修改或重新解释既定的法律规范。
四、政府监督管理策略
电子商务本质是一种市场运作模式，市场的正常健康有序地发展，必须有政府宏观上的监督与管理，以协调和规范各市场主体的行为，宏观监督与管理电子商务运行中的安全保障体系。
1.计算机信息系统安全管理计算机信息系统，是指“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。”计算机安全保护规范主要有计算机安全等级保护制度，计算机系统使用单位安全负责制度，计算机案件强行报告制度，计算机病毒及其有害数据的专管制度与计算机信息安全专用产品销售许可证制度。对计算机信息系统安全的保护，有利于保障国家的安全和社会安定，促进电子商务的安全交易过程，有利电子商务的健康发展。
2.网络广告和网络服务业管理由于网络的开放性，自由性等特征决定了网络广告监管的难度，虚假广告、广告充斥着网络空间，网络广告已经发展成为一个社会问题。网络广告管理应该从三个方面入手：第一，网络广告组织的管理，必须对网站广告经营主体资格进行管制，第二，规范网络广告内容，确保广告内容的真实性、合法性和科学性。第三，需要有具体的广告审查管制、评估与监测部门。
国家针对网络服务业和网络用户管理已经颁布了《中华人民共和国计算机信息网络国际联网管理暂行规定》，其中提出了详细具体的限制条件。但是，网络飞速发展，面对网络中的新问题，还必须进一步深入全面地研究。
3.认证机构管理认证机构是电子商务活动中专门从事颁发认证证书的机构，对电子商务交易活动顺利进行，电子商务活动中交易参与各方身份和信息认定，维护交易安全具有重要作用。对认证机构的管理主要是通过对设立的条件、撤消或者颁发许可证等营业资格而进行审批监督；同时，还要针对其资产和财务状况定期审查，以免发生财务危机，对其信息披露与保密情况、安全系统运行情况等方面进行不定期或定期监督检查。
4.加强社会信用道德建设，构建和谐安全电子商务电子商务安全问题其中有很大部分是由电子商务用户或从业人员的信用道德问题引发的，在我国尤其严重，甚至大家感叹电子商务在我国“水土不服”。对于新型的商业运作模式，必然存在不少漏洞，这需要广大电子商务市场主体有良好的电子商务道德意识。除了从法律上采取措施，更重要的是政府要加强电子商务市场主体自身的道德建设,加强舆论监督和企业自律，充分利用网络新闻舆论监督，消费者舆论监督和行业协会的管理监督。
五、结束语
电子商务安全不仅涉及到电子商务公司、企业、消费者的利益，而且更加广泛地涉及经济、政治、国防、文化等诸多方面，关系到国家的安全、和社会的稳定。电子商务安全策略确保电子商务的快速、健康地发展。电子商务安全是目前电子商务发展的瓶颈，只有解决了电子商务安全，保障了市场主体的利益，才能得到网络用户的认可和参与，电子商务自身也才能得到快速、健康地发展。
参考文献
[1]林宁，吴志刚.我国信息安全技术标准化现状[J].中国标准化，2007（4）
商务安全论文篇5
前言： 近年来，随着电子技术的发展，“电子商务”、“电子合同”等这类的词随处可见。的确，电子技术给我们的生活带来了很大的变化。我们现在可以实现网上购物；公司企业越来越重视网上销售和网上订货。这种新的交易方式的快速、便捷、高效率，满足了现代商业对交易效率的要求，使我们有理由相信，它还将继续深入我们的生活。 但是，这种新的交易方式同时带给我们的，还有它与传统法律之间的种种不协调。在保证电子商务的高效率的同时，如何保障它的安全性，已经引起了人们的广泛关注。本文仅就电子商务的安全运营问题，从法律的角度进行一些初步的探索。 一、电子商务概说 （一）电子商务的概念 电子商务出现于20世纪90年代，发展的时间并不长，但与传统商务相比，电子商务具有惊人的发展速度。据CNN公布的资料表明：1999年度全球电子商务销售额突破1400亿美元。 但是，究竟什么是电子商务呢？ 实际上，迄今为止，电子商务还没有一个被广泛接受的概念。 世界贸易组织（WTO）给电子商务下的定义为：电子商务是指以电子方式进行的商品和服务之生产、分配、市场营销、销售或交付。 经济合作发展组织（OECD）认为：电子商务是指商业交易，它包括组织与个人在基于文本、声音、可视化图象等在内的数字化数据传输与处理方面的商业活动。 世界各国对电子商务的理解也不尽相同。 尽管电子商务的定义在内容上各有侧重，但是笔者认为对于电子商务的内涵，一般应至少包括下列三方面的内容：（1）使用电子工具，借助互联网传输信息；在公开环境下交易；（3）依靠一定的技术规范和技术标准，利用数据化的信息来进行交易。 电子商务使用的网络类型主要有三种形式：EDI网络，INTRANET网络和INTERNET网络。由于EDI是专线网络，而INTRANET是企业内部网，其安全性较好，对传统法律规范体系的冲击相对于INTERNET要小得多，因而本文讨论的电子商务主要是指借助于INTERNET网络的电子商务。 （二）电子商务的特点 与传统商务相比，电子商务具有许多特点： 其一，电子商务是在公开环境下进行的交易，其可以在全球范围内进行交易。 由于借助互联网，这就使得经济交易突破了空间的限制；公开环境下的信息公开，使所有的企业可以平等地参与市场竞争。 其二，在电子商务中，电子数据的传递、编制、发送、接收都由精密的电脑程序完成，更加精确、可靠。 其三，电子商务是一种快速、便捷、高效的交易方式。在电子商务中，信息的传递通过网络完成，速度很快，可以节省宝贵的交易时间。 上述特点，是电子商务独有的，传统商务无法实现。 （三）电子商务的安全性要求 电子商务，作为一种新的经济交易方式，它只是在表现形式上与传统商业不同，但是这并没有改变其商业属性，这就要求电子商务的运作必须遵循商业活动的一般规律 ，否则，电子商务是无法发展的。 安全与效率，是一切经济交易必须考虑的两个问题。电子商务的存在与发展也必须满足这两个要求。对于电子商务而言，其高效性已经得到了人们充分的认可。但是，安全性呢？电子商务作为一种新生事物，世界各国都尚未形成成熟的安全运营模式。如何在网络环境下，构建与传统法律价值接近的规则体系，已经越来越为人们所关注。 从传统商业与电子商务的不同特点来看，要满足电子商务 的安全性要求，至少要有下面几个问题需要解决： 1、交易前交易双方身份的认证问题。电子商务是建立在互联网络平台上的虚拟空间中的商务活动，交易的当事人可能处在不同的国家，他们并不直接见面，双方只能通过数据、符号、信号等进行判断、选择，具体的商业行为也依靠电子信号和数据的交流，交易的当事人再也无法用传统商务中的方法来保障交易的安全。 2、交易中电子合同的法律效力问题以及完整性保密性问题。在传统国际贸易法中，合同形式要求为书面，而电子商务中的合同是电子合同，与传统的书面形式存在很大的不同，其法律效力如何取决于法律的有关规定。而且，由于电子商务所依赖的互联网平台本身具有开放性的特点，交易双方的数据如何避免被他人截取和篡改，以保证其完整性和保密性，这都是电子商务发展必须面对和解决的问题。 3、交易后电子记录的证据力问题。在英美法系，传闻证据规则限制了电子记录的证据力。在我国，诉讼法中并未对电子记录的证据力作出明确规定，甚至也没有将其单列出来作为证据的一种。 上述这些问题，已经对传统法律制度造成了冲击，也是实现电子商务安全所必须解决的问题。笔者将针对这些问题，从技术安全、组织安全、法律安全三个角度，对电子商务的安全运营问题进行解析。 二、电子商务的技术安全-信息加密及电子签名问题 电子商务的发展是计算机技术发展的结果，其安全保障归根到底要依赖于技术的进步。特别是信息的完整性保密性方面，更需要技术层面的支持，即信息加密技术和电子签名问题。 （一）信息加密技术 由于电子商务是借助INTERNET平台运作的，而INTERNET网络本身具有开放性的特点，因而安全性方面存在先天不足 .而交易双方在交易过程中，都希望信息不会被他人篡改和截取。信息加密技术正是针对这个问题的技术解决方案。 简单的说，信息加密技术，就是把要传递的信息在传递时按照一定的规则将其转变为错乱的内容（即加密），在对方接收时，再通过解密程序将乱码清除，即可得到原来的完整的信息，这一过程就是解密。这样，第三方即使截取了信息，也无法获悉其中的内容。 （二）电子签名问题 1、传统签名及其作用 在传统商务中，大多数国家都要求合同的当事人在书面上签名或者盖章。这种签名或盖章主要有以下三个作用：一为表明文件的来源；二为表明签字者已确认文件所载之内容；三为构成证明签字者对文件内容之正确性和完整性而负责任的证据。 在传统商务中，由于这种手写签名的独特性，所以我国和大多数国家都把它作为使书面合同有效的一个必要条件 . 2、电子签名及其方法 在电子商务中，交易的平台是互联网，传统的签名已经无法实现其作用。尽管我国《合同法》第三十三条规定了一个补救的方法-“当事人采用信件、数据电文等形式订立合同的，可以在合同成立之前要求签定确认书”，但实际上，这一做法将大大降低电子商务的效率，因而不足取。真正把传统签名的作用与电子商务的互联网运作平台结合起来的，是电子签名。 电子签名，是指在一个数据信息中或附在其后或逻辑上与其有联系的电子形式的签名 . 其在形式上，与传统签名差别很大，但在功能上，两者却很接近，都是用来鉴别合同的当事人并表明其同意该数据信息的内容。 与传统签名相比，电子签名是一个更复杂的问题，它涉及大量的技术问题。到目前为止，电子 签名已经有对称密码、不对称密码、笔迹、生物特征密码等方式。目前，采用较多的是不对称密码。在不对称密码的方式下，加密和解密的钥匙不同，一旦信息被加密，加密钥匙不能解密该信息，只能用解密钥匙才能解密。这样人们就可以广泛分发公开钥匙，而只需保留那么秘密钥匙即可。 但是，这种做法并不是绝对安全的，因为秘密钥匙是可能被人破译的，而且我们相信，随着技术的进步，这种方法将会越来越不安全。 生物特征密码、笔迹密码是相对安全的方法，但是这种辨别技术的成本很高，目前还无法推广普及。 三、电子商务的组织安全-电子认证问题 在电子商务中，交易平台是互联网，交易的双方只能通过数据信息来了解对方，而不能像传统商务中交易的当事人可以通过面对面的接触来了解对方。这样，交易双方的信任很难建立起来。这就需要有专门的组织机构来为交易的当事人进行信任保证，以帮助双方建立信任，促成交易。电子认证机构就是这样的机构，它为电子商务的发展提供了组织安全。 （一）电子认证及其功能 认证，按美国国际贸易文件国家委员会所下的定义，即为“在某法令、记录或其他书面文件的经核准的文本上赋以法律证明，以便将其作为法律可采纳的证据来提供的某种行为或方式”。[11] 电子认证，是以特定的机构，对电子签名及其签署者的真实性，进行验证的具有法律意义的服务。[12] 与电子签名一样，电子认证也是电子商务中的安全保障机制。但两者的具体功能是不同的。电子签名侧重于解决身份辨别与文件归属问题，使数据信息不被否认或者篡改，主要是技术手段上的保证；而电子认证，则侧重解决的是交易人的交易人的可信度问题，主要应用于交易关系的信用安全方面，是一种组织制度上的保证。 电子认证，从根本上说，是一种服务，其通过对交易各方的身份、资信进行认定，对外，防范交易当事人以外的人故意入侵而造成风险，从而防止欺诈的发生；对内防止当事人的否认，以避免当事人之间的误解或抵赖，从而减少交易风险，维护电子交易的安全，保障电子商务活动顺利进行。 （二）电子认证机构及其职责 电子认证是通过特定机构来完成的，这个特定机构就是认证机构。它是电子商务中对用户的电子签名颁发数字证书的机构，它已经成为开放性电子商务活动中不可缺少的信用服务机构。[13] 作为在电子交易中提供信用服务的机构，认证机构必须具有独立性，应是一个独立的法律实体，并具有中立性、可靠性，因此其人员组成、资金设备等都应符合一定的要求，以便能够为商业交易提供一个公正的交易环境。 在电子商务中，电子认证机构要承担下列职责：“（1）监督登记者按照规定办理登记、变更、注销手续；监督登记者按照电子商务的有关法律、法规合法从事经营活动；（3）制止和查处登记者的违法交易活动，保护交易人的合法权益。”[14] 鉴于其在电子商务中的作用，电子认证机构必须忠实地履行其职责，中立地进行工作，对电子交易秩序和交易安全负责。 （三）电子商务认证系统的几种模式 目前，在认证机构的管理与选任上，大致有几种作法： 1、政府主导的电子商务认证体系 该体系是由政府出面对认证机构进行管理，规定认证机构必须具备的条件和应承担的责任，并且在法律上推定经认证机构核实的电子签名具有证据力。 2、行业协会主导的电子商务认证体系 该体系是由认证机构协会负责制订认证机构必须遵守的行业规范，并由其负责对各认证机构进行监督。这种作法强调的是行业自律，但是在具体实施过程中，行业协会如何产生，以及经认证机构协会批准的认证机构核实的电子签名证据力如何，还有待于相关法律的规定。 3、当事人自由约定的电子商务认证体系 > 该体系没有规定认证机构的行业规则，在实践中，当事人可以自由约定采用何种方式的电子签名，也可约定选用哪个认证机构，具体的权利义务完全由当事人双方自由商定。这种作法给了当事人最大的自主性，适应了技术发展的灵活性，但是势力弱小的消费者，很难在风险责任分担中起作用，而且各认证机构规则不统一，认证结果通用性差。 在我国目前国情下，商家的商业信誉不够，完全采用当事人自由约定的电子商务认证体系是不合适的。[15] 四、电子商务的法律安全-电子合同的法律效力 要保证电子商务的安全运营，法律的保障是不容忽略的。而且，技术支持和组织保障最后都需要由法律来规定其效力。 合同是商业交易的内容，随着电子商务的发展，许多国家都运用法律手段来确定电子合同的效力。美国、欧盟等有关电子商务的法律文件都对电子合同进行了规范，我国《合同法》[16]也顺应时展的潮流，对电子合同这种新型合同形式也作了一些简单的规定。笔者将围绕电子合同问题，对电子商务的法律安全进行阐述。 （一）电子合同的形式及法律效力 我国《合同法》第十条规定：当事人订立合同，有书面形式、口头形式和其他形式。第十一条规定：书面形式是指合同书、信件和数据电文（包括电报、电传、传真、电子数据交换和电子邮件）等可以有形地表现所载内容的形式。这说明我国已经承认了电子合同的法律效力，并规定电子合同形式为书面形式。这种规定虽很简单，但对于我国电子商务的发展却是意义深远。 联合国国际贸易法委员会在96年12月通过的《电子商业示范法》第6条中写明：“如果法律要求信息须采用书面形式，则假若一项数据电文所包含信息可以调取以备日后查用，即满足了该项要求。”并且在第11条中规定：“就合同的订立而言，除非当事各方另有协议，一项要约以及对要约的承诺均可通过数据电文的手段表示。如使用了一项数据电文来订立合同，则不得仅仅以使用了数据电文为理由而否定该合同的有效性或可执行性。” [17] 美国的《统一电子交易法》中也有类似的规定。[18] 以上这些法律文件实际上已经承认了电子合同，并且赋予其与传统合同形式相同的法律效力。 （二）电子合同的生效问题-生效时间及地点 在电子商务中，经营者可以通过网页向公众提供有关商品或服务的信息，这种行为属于要约邀请，用户通过电子邮件等方式向经营者发出要约[19] ，经营者可以回复作出承诺 [20].这样一个电子合同就形成了。 1、 要约与承诺生效时间 我国《合同法》第十六条规定：要约到达受要约人时生效。采用数据电文形式订立合同，收件人指定特定系统接收数据电文的，该数据电文进入该特定系统的时间，视为到达时间；未指定特定系 统的，该数据电文进入收件人的任何系统的首次时间，视为到达时间。“第六条第二款规定：”采用数据电文形式订立合同的，承诺到达的时间适用本法第十六条第二款的规定。“这一规定有利于明确要约与承诺的生效时间，便于交易双方明确权责。 2、 合同生效地点 我国《合同法》第三十四条第二款规定：“采用数据电文形式订立合同的，收件人的主营业地为合同成立的地点；没有主营业地的，其经常居住地为合同成立的地点。当事人另有约定的，按照其约定。” 这一规定明确了合同成立地，在发生合同纠纷时，利于确定 法院的管辖。 《电子商业示范法》中也有类似的规定。 法律文件的这些规定，实际上便是对电子通讯记录的法律效力的确认。 但是，在电子商务环境下，许多传统商务中的问题更加突出。例如，在合同生效时间问题上，英美法系采用发送主义，而大陆法系采用到达主义。在电子商务环境下，交易全球化趋势更加明显，这类问题也就越发突出了。如何解决此类问题，还需要国际社会的共同努力。 （三）电子签名的法律效力 在电子合同中，合同的完整性和保密性主要是通过电子签名来实现的。很多国家在法律上都承认了电子签名的效力。美国的《统一电子交易法》中规定：（a）一个记录或签名的效力或可执行性不得仅因其为电子形式而被否认；（b）一个合同的效力或可执行性不得仅因合同的成立中用了电子记录而被否认；（c）如果某一法律要求记录为书面形式，则电子记录即满足了该法的要求；（d）如果某一法律要求有签名，则电子签名即满足了该法律的要求。[21] 上述规定从法律上承认了电子签名的效力，有利于加强电子商务的安全和促进电子商务的发展。 （四）电子记录的证据力问题 与传统合同不同，电子合同的证据是电子化的，容易被伪造和篡改，而且很难发现改动的痕迹。因此，电子合同的证据力在传统证据规则中，是受到限制的。 针对这个情况，联合国国际贸易法委员会在《电子商业示范法》第9条中规定：对于以数据电文为形式的信息，应给予应有的证据力。在评估一项数据电文的证据力时，应考虑到生成、储存或传递该数据电文的办法的可靠性，保持信息完整性的办法的可靠性，用以鉴别发端人的办法，以及任何其他相关因素。[22] 这一规定既考虑到了电子记录自身的特点，又赋予了其应有的证据力，是对传统证据规则的突破，有利于电子商务的安全运营。 五、加强我国电子商务安全的思考 资源共享、快速、便捷是电子商务迅速发展的原因；而这种开放性也带来了电子商务最大的问题，资源共享的开放性使电子商务在安全方面先天不足。 而安全和保密恰恰是电子商务发展的一项基本要求。目前，一些国际组织已先后制订了一些规定，来保障电子商务的安全性，美国等发达国家也制订了一些这方面的规则。[23] 但是，我国目前还没有这方面的专门规定。 另外，我国商家的商业信誉远远不够，在电子商务的环境中，人们对安全性更是普遍存有疑虑。这已经成为阻碍我国电子商务发展的一个重要因素。 如何保障我国的电子商务安全运营，已经成为关系到我国未来经济发展的一个重要问题。对此，笔者认为应努力做到以下几点： 1，对电子商务进行专门立法。 电子商务是一个新生事物，很多方面不同于传统商务，与传统的法律规范体系也存在着诸多的不相容之处，而且，传统的法律规范体系中还有许多电子商务方面的空白。这一情况已经在实践中引起了不少的问题。台湾就有这方面的案例[24]. 我国的电子商务是近年才发展起来的，目前规范电子商务的相关的法律法规极为有限。在法律的层次上，只有1997年《中华人民共和国刑法》和1999年《中华人民共和国合同法》对相关问题作了简单规定。例如，我国1997年修订的《刑法》中增加了关于计算机犯罪的条文，1999年通过的《合同法》对电子合同的书面形式、生效时间地点等作了规定。但是，这种规定太过简单，远远不能满足电子商务发展的需要。例如，对于电子认证的效力、虚假电子认证等重要的问题，我国法律还没有规定，这已经成为阻碍我国电子商务发展的重要问题。 因此，我国应大力加强电子商务法制化建设，制订专门的《电子商务法》，对电子商务当事人的权利义务、电子合同法律关系、电子签名、电子认证、网上知识产权的保护、电子支付等问题进行专 门规定，使之适应电子商务发展的需要。在刑法中，对电子商务领域的犯罪进行规定。从而在法律上，为电子商务提供一个良好的发展环境。 2，建设我国的电子商务认证机构体系。 电子商务认证机构是电子商务中的重要部门，其担负着维护电子交易安全的责任。因此，要完善我国的电子商务安全运营，必须建立我国的电子商务认证体系。 在目前存在的三种电子商务认证机构模式中，当事人自由约定的电子商务认证体系不适合我国的实际情况。我国，电子商务刚刚发展起来，不完善的地方很多，很多普通的消费者对电子商务还不很了解，根本无法在自由约定时，提出对自己有利的条件。而且，在交易双方的力量对比悬殊的情况下，弱势一方很难通过谈判来取得公平的结果。再进一步说，这种模式的认证结果通用性很差，不适合我国刚起步的电子商务的发展。 政府主导的电子商务认证体系，政府可以对认证中的许多问题作出详细规定，并且认证结果通用性强。但是，这种方式行政色彩过浓，不利于电子商务按照商业规律自主发展。 因此，目前来看，行业协会主导的电子商务认证体系是更适合我国国情的一种选择。行业协会更了解认证机构的运作，更能有效的对其进行监管。这种认证体系，把电子商务的商业发展的自主性、安全性要求与认证机构的行业特点有效地结合起来。 作为认证机构的指导机构，认证机构行业协会有权对认证的效力进行规定，并且有权规定认证机构的行业准则，对各个认证机构的业务活动进行监管，对违反行业规则的行为进行制裁和处罚。 近年来，我国的电子商务认证机构的发展很快。1999年3月19日，中国人民银行组织12家商业银行共建金融认证中心系统；1999年8月，我国首套拥有自主知识产权的电子商务安全认证系统通过了国家密码管理委员会和信息产业部组织的技术鉴定。[25] 但另一方面，我国的电子商务认证系统还远不成熟，仍有许多需要完善的地方。我们必须对此给予充分的重视，以便为电子商务的安全发展提供组织保障。 3，大力推进电子签名等技术的发展，从技术上为电子商务提供安全保障。 电子商务的产生、发展是科技发展的结果，其安全运营也要依靠技术给予的保障。因此，为加强电子商务的安全性，我们必须大力推进科技的发展，使技术满足电子商务的安全运营要求。在电子商务中广泛使用的电子签名，就涉及许多复杂的技术问题。为使电子签名具有与传统签名相同的法律效力，我们必须使电子签名 具有像手写签名那样的独特性。这一问题的解决，需要技术发展才能实现。 目前，解决电子签名效力的途径主要有：（1）修改法律或者进行法律解释，使签名涵盖电子签名。但对于何种电子签名才具有法律效力，立法要兼顾技术中立、开放与安全，使之适应技术发展的需要；电子商务的当事人在合同中约定电子签名方法及效力；（3）依靠技术进步，这是最根本的方法。技术安全、成本低廉的电子签名方式是电子商务安全的有力保障。 4，加强国际合作，与国际接轨。 电子商务的一个特点就是无国界，可以全球交易。适应这一特点，我们必须加强国际合作。在立法上，我们必须考虑到国内法律、国际条约与行业惯例，使我们将来的《电子商务法》适应国际贸易发展的需要。 在技术上，我们也要加强国际合作，共同推进电子商务的发展。 另外，我们还要积极地参加有关的国际会议，了解电子商务发展的最新国际动态，努 力与国际接轨。同时，我们也要通过国际合作，来积极维护我们的国家利益。 结语： 我国的电子商务近年来发展很快，但是有关的安全保障还未建立起来。这已经成为影响我国电子商务发展的一个障碍。 为此，我们必须加快建设有关的电子商务安全系统。这将是一个综合性的、涉及全社会的系统工程。具体而言，我们要从法律上承认电子通讯记录的效力，给电子商务以法律保障；我们要加强对电子签名等的研究，给电子商务以技术保障；我们还要尽快建立电子商务认证体系，给电子商务以组织保障。而且，针对电子商务无国界的特点，我们还应该加强国际合作，使电子商务真正发挥其应有的作用。惟有如此，我们才能顺应时代潮流，推动我国经济的发展；也惟有如此，我们才能在经济全球化的今天，参与到国际竞争中去，并进而赢得竞争的优势。 18 Stefania R.Geraci ，U.S.-EU ‘Safe Harbor ’Goes Into Effect，E-Commerce，November 2000。 19 homas C.Vinje and Dieter Paemen ， THE EUROPEAN UNION‘S ELECTRONIC COMMERCE DIRECTIVE：NEW RULES ON ON-LINE ADVERTISING，E-CONTRACTING，ISP LIABILITY，AND DISPUTE RESOLUTION. World Intellectual Property Report 248（vol.14）。 20 Gov‘t To Speed Up Development Of E-Commerce，Economic Report，January2000。 注释： 引自：周忠海主编《电子商务法导论》，北京邮电大学出版社，P3。 由于电子商务是一个新生事物，所以目前国际社会对什么是电子商务以及相关的概念（例如电子签名、电子合同、电子认证等）并未达成共识，甚至存在相当大的分歧。 See. WORK PROGRAMME ON ELECTRONIC COMMERCE ，WTO，WT/L274，30 SEPTEMBER 1998。 参考http://www.oecd.org/publications/pol-brief/9701-pol.htm 转引自：周忠海主编《电子商务法导论》，北京邮电大学出版社，P5。 参考：蒋坡，《电子商务法律制度的内核》，《法学》2000年第12期，P31。 目前，电子商务广泛借助Internet平台以实现资源共享和高效率。而 Internet安 全性的先天不足必然会殃及电子商务中的数据电文。计算机信息安全专家认为Internet存在的不安全因素主要有： 1、Internet的无主控、开放性使得“黑客”时时潜入联网电脑，窃取机密数据；破坏数据致系统瘫痪；使机器功能不能正常发挥。 2、Internet的数据传送所基于的TCP／IP通信协议缺乏数据防窃取的安全措施。 3、Internet通信业务常使用的UNIX操作系统安全性脆弱，加之在应用层开发的多数信息访问协议使用的访问控制鉴别机制薄弱，反复使用的用户标识符（ID口令）方便了攻击者的破坏活动。 4、在计算机网络上传输、存储、处理的电子信息，还没有像传统的邮件通信那样进行信封保护，签字盖章。信息的来源，去向是否真实，内容是否被人改动，不该泄漏的信息是否被泄漏了，这一切在应用层支持服务的协议中还是凭着君子协定来维持。 See. ECE Trade/Wp4/GE2/R102.转引自单文华：《电子贸易的法律问题》， 《民商法论丛》第10卷P34。 《中华人民共和国合同法》第三十二条规定：自双方当事人签字或者盖章时，合同成立。 引自：薛虹《电子商务的法律问题》，《法律适用》2000年第7期。 参考：David Johnston，Sunny Handa，Charles Morgan《在线游戏规则》，新华出版社，P107。 [11]cf.Hans B.Thomsen&Bernard S.Wheble，Trading with EDI-The Legal Issues，IBC Financial Books Ltd，1989，P19，转引自《电子贸易的法律问题》，《民商法论丛》第10卷。 [12]引自：周忠海主编《电子商务法导论》，北京邮电大学出版社，P57。 [13]这里的认证机构，英文为“Certification authority”，其法律定义，联合国贸法会在《统一电子签名法规则（草案1999年2月稿） 》第一条定义中规定：“认证机构，是指任何人或实体，在其营业中从事以数字签名为目的，而颁发与加密密钥相关的身份证书。该定义受任何要求认证机构须取得许可，或认可，或以一定的方式进行营业的有效法的限制”。新加坡在其《电子交易法》第二条中规定：“认证机构是指颁发数字证书的人或组织”。-引自：周忠海主编《电子商务法导论》，北京邮电大学出版社，P71。 [14]引自：赵廷光、皮勇，《电子商务安全的几点刑法对策》，《法商研究》2000年第6期。 [15]参考：张楚，《美国电子商务法评析》，《法律科学》2000年第2期。 [16]指1999年《中华人民共和国合同法》。 [17]引自：阚凯力、张楚主编，《外国电子商务法》，北京邮电大学出版社P266—268。 [18]“A number of state legislatures have recently introduced versions of the uniform Electronic Transactions Act （UETA）。Another NCCUSL（the National Conference of Commissions on Uniform State Laws）—drafted uniform law that would govern the use of electronic signatures，UETA asserts that”an electronic record or signature may not be denied legal effect or enforceability solely because it is in electronic form “， furthermore ” if a law requires a record to be in writing ， an electronic record satisfies the law .“—see. ” States Move Closer On Uniform Software，Signature Laws“，E-COMMERCE，March 2000，P9。 [19]要约，是希望和他人订立合同的意思表示。见：《中华人民共和国合同法》第14条。 [20]承诺，是受要约人同意要约的意思表示。见：《中华人民共和国合同法》第21条。 [21]引自：阚凯力、张楚主编，《外国电子商务法》，北京邮电大学出版社P19。 [22]引自：阚凯力、张楚主编，《外国电子商务法》，北京邮电大学出版社P267。 [23]国际商会于1997年制订了《电传交换贸易数据统一行为的守则》，联合国贸法会1996年制订 了《电子商务示范法》，OECD等也制订了相应的一些规则。-参考：沈根荣《国际电子商务立法的发展进程及特点》，《国际商务研究》2000年第2期。 [24]“台湾家乐福公司的名称（carrefour）被弈昕电脑公司登记作为其使用网域名称。公平会后来判定该公司违反公交法第24条，因使‘家乐福公司不能使用原拥有（carrefour）为网域名称，进而丧失以消费者原来熟悉之名称进入网路争取交易之机会’。” “一般域名的争议，多是在商标法的部分，但现在的商标法并未提及网际网路，目前只有公平会可以填补法律上的漏洞。”-引自：孙晨整理《软体产业在INTERNET上的管理》，《智慧财产权管理》，台湾，2000年第12期 这就是典型的传统法律体系存在空白的情形。 [25]引自：赵廷光、皮勇“电子商务安全的几点刑法对策”，《法商研究》2000年第6期。
商务安全论文篇6
但在无线世界里,人们对于进行商务活动安全性的考虑比在有线环境中要多。只有当所有的用户确信,通过无线方式所进行的交易不会发生欺诈或篡改、进行的交易受到法律的承认和隐私信息被适当的保护时,移动电子商务才有可能蓬勃开展。
移动电子商务通信安全的现状
由于无线通讯接入方式非常灵活,所以其对安全的要求更高。实际上,主要的无线通信技术都有各自的措施、协议和方法来保证各自体制下的通信安全。这里我们将从无线网络和电子商务应用两个方面作简要讨论。
无线局域网
无线局域网络是以无线连接至局域网络的通讯方式。它采用的是IEEE802.11系列标准。在该标准中,无线局域网的安全机制采用的是WEP协议(有线对等安全协议)。在数据链路用WEP加密数据,保证了信道上传送数据的安全。另外,无线局域网的网络管理员分配给每个授权用户一个基于WEP算法的密钥,这样就有效阻止了非授权用户的访问。
WAP(无线应用协议)技术
WAP由一系列协议组成,用来标准化无线通信设备,例如:移动电话、移动终端;它负责将Internet和移动通信网连接到一起,客观上已成为移动终端上网的标准。WAP协议可以广泛地运用于GSM、CDMA、TDMA、3G等多种网络。
WAP的安全机制是通过WTLS(无线传输层安全)协议来实现的。WTLS协议类似于互联网传输层安全协议。在无线技术的有限的发送功率、存储容量及带宽的条件下,WTLS能够实现鉴定,保证数据的完整性和提供保密服务的目标。
数字认证技术
对诸如移动电子商务和有重要使命的合作通信等活动,其安全性的一个关键方面是能否对信息发送者的身份进行论证,通常都要利用有线安全的公开密钥基本构架(PKI)。
PKI提供与加密和数字证书有关的一系列技术。但在无线通信环境中,PKI是很难实现的。在只有有限计算能力和低数据流通率的设备上实现PKI中的服务一直是一个有挑战性的难题。同时在PKI的基础上,要将无线设备与有线设备之间进行互通也是有难度的。因此无线PKI(WPKI)协议是要将标准的PKI进行修正和简化,使其在无线通信的环境下达到最优。
移动电子商务安全分析
IEEE802.11的安全
IEEE802.11标准规定了MAC层的存取控制规范,也定义了加密机制,即上述的WEP。WEP的目的是通过对信息流加密并利用WEP认证节点,使无线通信传输像有线网络一样安全。
WEP加密使用共享密钥和RC4加密算法。访问点(AP)和连接到该访问点的所有工作站必须使用同样的共享密钥。对于往任一方向发送的数据包,传输程序都将数据包的内容与数据包的检验组合在一起。然后,WEP标准要求传输程序创建一个特定于数据包的初始化向量(IV),后者与密钥k相组合在一起,用于对数据包进行加密。接收器生成自己的匹配数据包密钥并用之对数据包进行解密。在理论上,这种方法优于单独使用共享私钥的显式策略,应该使对方更难于破解。
但是,IEEE802.11中用于安全的WEP算法只是提供相当于有线局域网基本安全的安全级别,根本不是一种全面的安全方案。越来越多的安全专家和研究人员发现IEEE802.11存在安全漏洞,有经验的黑客会利用这些漏洞进行攻击。其缺陷主要有:RC4算法本身就有一个小缺陷。WEP标准允许IV重复使用(平均大约每5小时重复一次)。WEP标准不提供自动修改密钥的方法。
最早的WEP实施只提供40位加密,这使得它抗暴力攻击能力差。现代的系统提供128位的WEP,128位的密钥长度减去24位的IV后,实际上有效的密钥长度为104位。尽管如此,128位的WEP版本也不能保证绝对安全。最好的解决办法是把无线网络放在机构防火墙之外,这种防范措施会强制要求将无线连接当作不受信任的连接来看待,就像看待其他任何来自Internet的连接一样。
所以,WEP应该与其他安全机制一起应用才能提供较强的安全。
WAP的安全
WAP规范的安全特性包括几个部分:WTLS协议、用于存储用户证书的WAP身份模块(WIM)和允许WAP交易签名的SignText功能。
WTLS协议:WTLS基于IETF小组的SSL/TLS协议,提供了实体鉴别、数据加密和保护数据完整性的功能,所以可以确保在WAP装置和WAP网关之间的安全通信。有三种不同级别的WTLS:
1级:执行未经证实的Diffie-Hellman密钥交换以建立会话密钥。
2级:使用与SSL/TLS协议相类似的公开密钥证书机制进行服务器端鉴别。
3级:客户端和服务器端采用X.509格式证书相互进行鉴别。
早期WAP装置仅仅采用了第1级别的WTLS,这种级别的安全不够,所以不能用于电子商务。目前,支持第2和第3级别WTLS的移动装置从市场上可以得到,它们可以确保网上银行交易和购物等应用的机密性。
WIM:为了便于客户端的鉴别,新一代的WAP电话提供了WIM。WIM包含了WTLS3级的功能,并嵌入了对公开密钥加密技术的支持(RSA是强制的,而ECC是可选的)。生产厂家为WIM配备了两套公私密钥对(一套用于签名,另一套用于鉴别)和两个厂商的证书。用配置在WIM上的公匙把厂商的证书和厂商名字捆绑在一起。这样,通过WIM和WAP网关建立的所有WTLS会话都将使用相同的公匙用作初始会话。每一个会话都将包括与此密钥对应的一个不同的证书。WIM的基本要求是它们要具有抗篡改的能力。
SignText功能:这个功能为WAP用户提供了数字签名。同电子签名功能一样,这个功能可以被应用于其他无线设备,或者是手持设备,或者是内嵌SIM卡。
WAP的安全分析:由WAP提供的最好的安全是WTLS3级,多数情况下WTLS已足以确保WAP的安全。但是,由于WAP网关在WAP设备和Web服务器之间起着翻译的作用,相应的带来了安全问题:WTLS安全会话建立在手机与WAP网关之间,而与终端服务器无关。这意味着数据只在WAP手机与网关之间加密,网关将数据解密后,利用其他方法将数据再次加密,然后经过TLS连接发送给终端服务器。由于WAP网关可以看见所有的数据明文,而该WAP网关可能并不为服务器所有者所拥有,这样,潜在的第三方可能获得所有的传输数据。
目前,针对上述安全性问题,可以采用这样的措施来提高WAP的安全性:尽力确保WAP网关的安全。如果WAP网关位于WAP服务供应商范围之内,可以通过诸如在内存中对加密和解密过程进行最优化以减少数据明文存在的时间、在释放前覆盖加密解密进程使用的内存以确保数据的安全性。对于安全要求较高的公司可以拥有自己的WAP网关,从而保障数据端到端的安全性。通过WIM实现数据安全性。
WPKI技术
在有线通信中,电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题,但在应用PKI的同时要考虑到移动通信环境的特点,并据此对PKI技术进行改进。
WPKI技术满足移动电子商务安全的要求:即保密性、完整性、真实性、不可抵赖性,消除了用户在交易中的风险。WPKI技术主要包含以下几个方面:
认证机构(CA)CA系统是PKI的信任基础,负责分发和验证数字证书,规定证书的有效期,证书废除列表。
注册机构(RA)RA提供用户和CA之间的一个接口。作为认证机构的校验者,在数字证书分发给请求者之前对证书进行验证。
智能卡智能卡将具有存储、加密及数据处理能力的集成电路芯片镶嵌于塑料基片中,具有体积小、难于破解等特点,在生产过程、访问控制方面有很强的安全保障。很多种需要客户端认证的应用都可以使用智能卡来实现。并且智能卡也是存储移动电子商务密钥及相关数字证书的最佳选择。
加密算法加密算法越复杂,密钥越长则安全性越高,但执行运算所需的时间也越长(或需要计算能力更强的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制,因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的,ECC在这方面具有很大的优势。
综上所述,在WPKI机制下,数字证书非常重要,但是由于无线信道和移动终端的限制,如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以采用以下2种办法解决:WTLS证书,WTLS证书的功能与X.509证书相同,但更小、更简化,利于在资源受限的手持终端中处理。但所有证书必须含有与密钥交换算法相一致的密钥,除非特别指定,签名算法必须与证书中密钥的算法相同:移动证书标识,将标准的一个X.509证书与移动证书标识唯一对应,并且在移动终端中嵌入移动证书标识,用户每次只需要将自己的移动证书标识与签名数据一起提交给对方,对方再根据移动证书标识检索相应的数字证书即可。
目前,大多数移动电子商务采用的安全方式是非PKI的方式,这种方式主要采用对称加密算法和单向散列函数来提供安全服务,其密钥的管理是由移动运营商建立一套主密钥管理系统,为不同的服务提供商分配不同的密钥,每次交易过程中,服务提供商与用户协商产生会话加密密钥。显然,采用这种方式构建的系统的安全性主要取决于主密钥的安全。
尽管非PKI方式对于无线终端有限的处理能力来说尤其适合,而且通过黑名单管理等方法可以使系统的安全得到较好的保障,但是从长远来说,移动电子商务有必要逐步过渡到PKI方式。
移动电子商务随着移动互联网技术的成熟发展迅速,其独特的应用领域使得其安全问题倍受关注。从技术角度上看,一方面无线通信的安全处在不断地发展和完善之中,其应用到移动电子商务中时要与其它的安全机制相结合才能满足实际应用的需要;另一方面有线电子商务的安全技术不能解决移动电子商务的安全问题,所以WPKI技术是一个现实的选择。因此,将这两方面进行改进并进行有机整合,才能营造一个安全的移动电子商务环境。
参考文献:
1.储节旺,郭春侠.移动电子商务研究[J].现代情报,2002,3(3)
商务安全论文篇7
一、网络隐私权侵权现象
1.个人的侵权行为。个人未经授权在网络上宣扬、公开、传播或转让他人、自己和他人之间的隐私;个人未经授权而进入他人计算机系统收集、获得信息或骚扰他人;未经授权截取、复制他人正在传递的电子信息;未经授权打开他人的电子邮箱或进入私人网上信息领域收集、窃取他人信息资料。
2.商业组织的侵权行为。专门从事网上调查业务的商业组织进行窥探业务,非法获取他人信息,利用他人隐私。大量网站为广告商滥发垃圾邮件。利用收集用户个人信息资料,建立用户信息资料库,并将用户的个人信息资料转让、出卖给其他公司以谋利,或是用于其他商业目的。根据纽约时报报道,、Toysmart和等网站,都曾将客户姓名、住址、电子邮件甚至信用卡号码等统计分析结果标价出售,以换取更多的资金。
3.部分软硬件设备供应商的蓄意侵权行为。某些软件和硬件生产商在自己销售的产品中做下手脚,专门从事收集消费者的个人信息的行为。例如,某公司就曾经在其生产的某代处理器内设置“安全序号”,每个使用该处理器的计算机能在网络中被识别,生产厂商可以轻易地收到用户接、发的信息,并跟踪计算机用户活动,大量复制、存储用户信息。
4.网络提供商的侵权行为
(1)互联网服务提供商(ISPInternetServiceProvider)的侵权行为:①ISP具有主观故意(直接故意或间接故意),直接侵害用户的隐私权。例:ISP把其客户的邮件转移或关闭,造成客户邮件丢失、个人隐私、商业秘密泄露。②ISP对他人在网站上发表侵权信息应承担责任。
(2)互联网内容提供商(ICPInternetContentProvider)的侵权行为。ICP是通过建立网站向广大用户提供信息,如果ICP发现明显的公开宣扬他人隐私的言论,采取放纵的态度任其扩散,ICP构成侵害用户隐私权,应当承担过错责任。
5.网络所有者或管理者的监视及窃听。对于局域网内的电脑使用者,某些网络的所有者或管理者会通过网络中心监视使用者的活动,窃听个人信息,尤其是监控使用人的电子邮件,这种行为严重地侵犯了用户的隐私权。
二、网络隐私权问题产生的原因
网络隐私权遭受侵犯主要是由于互联网固有的结构特性和电子商务发展导致的利益驱动这两个方面的原因。
1.互联网的开放性。从网络本身来看,网络是一个自由、开放的世界,它使全球连成一个整体,它一方面使得搜集个人隐私极为方便,另一方面也为非法散布隐私提供了一个大平台。由于互联网成员的多样和位置的分散,其安全性并不好。互联网上的信息传送是通过路由器来传送的,而用户是不可能知道是通过哪些路由进行的,这样,有些人或组织就可以通过对某个关键节点的扫描跟踪来窃取用户信息。也就是说从技术层面上截取用户信息的可能性是显然存在的。
2.网络小甜饼cookie。某些Web站点会在用户的硬盘上用文本文件存储一些信息,这些文件被称为Cookie,包含的信息与用户和用户的爱好有关。现在的许多网站在每个访客进入网站时将cookie放入访客电脑,不仅能知道用户在网站上买了些什么,还能掌握该用户在网站上看过哪些内容,总共逗留了多长时间等,以便了解网站的流量和页面浏览数量。另外,网络广告商也经常用cookie来统计广告条幅的点击率和点击量,从而分析访客的上网习惯,并由此调整广告策略。一些广告公司还进一步将所收集到的这类信息与用户在其他许多网站的浏览活动联系起来。这显然侵犯了他人的隐私。
3.网络服务提供商(ISP)在网络隐私权保护中的责任。ISP对电子商务中隐私权保护的责任,包括:在用户申请或开始使用服务时告知使用因特网可能带来的对个人权利的危害;告知用户可以合法使用的降低风险的技术方法;采取适当的步骤和技术保护个人的权利,特别是保证数据的统一性和秘密性,以及网络和基于网络提供的服务的物理和逻辑上的安全;告知用户匿名访问因特网及参加一些活动的权利;不为促销目的而使用数据,除非得到用户的许可;对适当使用数据负有责任,必须向用户明确个人权利保护措施;在用户开始使用服务或访问ISP站点时告知其所采集、处理、存储的信息内容、方式、目的和使用期限;在网上公布数据应谨慎。
目前,网上的许多服务都是免费的,如免费电子邮箱、免费下载软件、免费登录为用户或会员以接收一些信息以及一些免费的咨询服务等,然而人们发现在接受这些免费服务时,必经的一道程序就是登录个人的一些资料,如姓名、地址、工作、兴趣爱好等,服务提供商会声称这是为了方便管理,但是,也存在着服务商将这些信息挪作他用甚至出卖的可能。
三、安全技术对网络隐私权保护
1.电子商务中的信息安全技术
电子商务的信息安全在很大程度上依赖于安全技术的完善,这些技术包括:密码技术、鉴别技术、访问控制技术、信息流控制技术、数据保护技术、软件保护技术、病毒检测及清除技术、内容分类识别和过滤技术、系统安全监测报警技术等。
(1)防火墙技术。防火墙(Firewall)是近年来发展的最重要的安全技术,它的主要功能是加强网络之间的访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络(被保护网络)。
(2)加密技术。数据加密被认为是最可靠的安全保障形式,它可以从根本上满足信息完整性的要求,是一种主动安全防范策略。数据加密原理是利用一定的加密算法,将明文转换成为无意义的密文,阻止非法用户理解原始数据,从而确保数据的保密性。
(3)数字签名技术。数字签名(Digital??Signature)技术是将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中,数字签名技术有着特别重要的地位,在电子商务安全服务中的源鉴别、完整、不可否认服务中都要用到数字签名技术。
(4)数字时间戳技术。在电子商务交易的文件中,时间是十分重要的信息,是证明文件有效性的主要内容。在签名时加上一个时间标记,即有数字时间戳(DigitaTime-stamp)的数字签名方案:验证签名的人或以确认签名是来自该小组,却不知道是小组中的哪一个人签署的。指定批准人签名的真实性,其他任何人除了得到该指定人或签名者本人的帮助,否则不能验证签名。
2.电子商务信息安全协议
(1)安全套接层协议(SecureSocketsLayer,SSL)。SSL是由NetscapeCommunication公司1994年设计开发的,主要用于提高应用程序之间的数据的安全系数。SSL的整个概念可以被总结为:一个保证任何安装了安全套接层的客户和服务器之间事务安全的协议,该协议向基于TCP/IP的客户、服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。
(2)安全电子交易公告(SecureElectronicTransactions,SET)。SET是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。SET在保留对客户信用卡认证的前提下,又增加了对商家身份的认证。SET已成为全球网络的工业标准。
(3)安全超文本传输协议(S-HTTP)。依靠密钥的加密,保证Web站点间的交换信息传输的安全性。SHTTP对HT-TP的安全性进行了扩充,增加了报文的安全性,是基于SSL技术上发展的。该协议向互联网的应用提供完整性、可鉴别性、不可抵赖性及机密性等安全措施。
(4)安全交易技术协议(STT)。STT将认证与解密在浏览器中分离开,以提高安全控制能力。
(5)UN/EDIFACT标准。UN/EDIFACT报文是唯一的国际通用的电子商务标准。
3.P2P技术与网络信息安全。P2P(Peer-to-Peer,即对等网络)是近年来广受IT业界关注的一个概念。P2P是一种分布式网络,最根本的思想,同时它与C/S最显著的区别在于网络中的节点(peer)既可以获取其它节点的资源或服务,同时,又是资源或服务的提供者,即兼具Client和Server的双重身份。一般P2P网络中每一个节点所拥有的权利和义务都是对等的,包括通讯、服务和资源消费。
(1)隐私安全性
①目前的Internet通用协议不支持隐藏通信端地址的功能。攻击者可以监控用户的流量特征,获得IP地址。甚至可以使用一些跟踪软件直接从IP地址追踪到个人用户。SSL之类的加密机制能够防止其他人获得通信的内容,但是这些机制并不能隐藏是谁发送了这些信息。而在P2P中,系统要求每个匿名用户同时也是服务器,为其他用户提供匿名服务。由于信息的传输分散在各节点之间进行而无需经过某个集中环节,用户的隐私信息被窃听和泄漏的可能性大大缩小。P2P系统的另一个特点是攻击者不易找到明确的攻击目标,在一个大规模的环境中,任何一次通信都可能包含许多潜在的用户。
②目前解决Internet隐私问题主要采用中继转发的技术方法,从而将通信的参与者隐藏在众多的网络实体之中。而在P2P中,所有参与者都可以提供中继转发的功能,因而大大提高了匿名通讯的灵活性和可靠性,能够为用户提供更好的隐私保护。
(2)对等诚信
为使得P2P技术在更多的电子商务中发挥作用,必须考虑到网络节点之间的信任问题。实际上,对等诚信由于具有灵活性、针对性并且不需要复杂的集中管理,可能是未来各种网络加强信任管理的必然选择。
对等诚信的一个关键是量化节点的信誉度。或者说需要建立一个基于P2P的信誉度模型。信誉度模型通过预测网络的状态来提高分布式系统的可靠性。一个比较成功的信誉度应用例子是在线拍卖系统eBay。在eBay的信誉度模型中,买卖双方在每次交易以后可以相互提升信誉度,一名用户的总的信誉度为过去6个月中这些信誉度的总和。eBay依靠一个中心来管理和存储信誉度。同样,在一个分布式系统中,对等点也可以在每次交易以后相互提升信誉度,就象在eBay中一样。例如,对等点i每次从j下载文件时,它的信誉度就提升(+1)或降低(-1)。如果被下载的文件是不可信的,或是被篡改过的,或者下载被中断等,则对等点i会把本次交易的信誉度记为负值(-1)。就象在eBay中一样,我们可以把局部信誉度定义为对等点i从对等点j下载文件的所有交易的信誉度之和。
每个对等点i可以存贮它自身与对等点j的满意的交易数,以及不满意的交易数,则可定义为:
Sij=sat(i,j)-unsat(i,j)
四、电子商务中的隐私安全对策
1.加强网络隐私安全管理。我国网络隐私安全管理除现有的部门分工外,要建立一个具有高度权威的信息安全领导机构,才能有效地统一、协调各部门的职能,研究未来趋势,制定宏观政策,实施重大决定。
2.加快网络隐私安全专业人才的培养。在人才培养中,要注重加强与国外的经验技术交流,及时掌握国际上最先进的安全防范手段和技术措施,确保在较高层次上处于主动。
3.开展网络隐私安全立法和执法。加快立法进程,健全法律体系。结合我国实际,吸取和借鉴国外网络信息安全立法的先进经验,对现行法律体系进行修改与补充,使法律体系更加科学和完善。
4.抓紧网络隐私安全基础设施建设。国民经济要害部门的基础设施要通过建设一系列的信息安全基础设施来实现。为此,需要建立中国的公开密钥基础设施、信息安全产品检测评估基础设施、应急响应处理基础设施等。
5.建立网络风险防范机制。在网络建设与经营中,因为安全技术滞后、道德规范苍白、法律疲软等原因,往往会使电子商务陷于困境,这就必须建立网络风险防范机制。建议网络经营者可以在保险标的范围内允许标保的财产进行标保,并在出险后进行理赔。
6.强化网络技术创新,重点研究关键芯片与内核编程技术和安全基础理论。统一组织进行信息安全关键技术攻关,以创新的思想,超越固有的约束,构筑具有中国特色的信息安全体系。
7.注重网络建设的规范化。没有统一的技术规范,局部性的网络就不能互连、互通、互动,没有技术规范也难以形成网络安全产业规模。目前,国际上出现许多关于网络隐私安全的技术规范、技术标准,目的就是要在统一的网络环境中保证隐私信息的绝对安全。我们应从这种趋势中得到启示,在同国际接轨的同时,拿出既符合国情又顺应国际潮流的技术规范。
参考文献:
[1]屈云波.电子商务[M].北京:企业管理出版社,1999.
[2]赵立平.电子商务概论[M].上海:复旦大学出版社,2000.
商务安全论文篇8
1电子商务信息安全的重要性
信息安全是指防止信息数据被故意或偶然的非授权泄漏、更改及破坏,以保障信息的可用性、可靠性、完整性、保密性。而电子商务所依赖的信息流是否安全也直接关系到各个相关主体的利益,从而影响到整个企业经济收益水平和竞争力,因此信息安全是实现电子商务正常运作的重要保障,是实现信息流、商流和资金流的根本保证。在当前完全开放的网络环境下,保障电子商务活动中信息安全显得尤为重要。(1)信息的可用性,是保障电子商务正常开展的重要前提,即电子商务在交易活动中,交易双方之间提供的信息必须是可用的,只有这样才能保证交易结果的有效性。因而网络环境下的非人为故障成为信息可用性的阻碍,即相关的网络故障、计算机中病毒等等。(2)信息的可靠性,是保障电子商务正常运行的关键,即防止计算机失效、系统软件错误、程序错误等危险,以保证信息和信息系统安全可靠。(3)信息的完整性,是电子商务应用的重要基础,即要保证信息在网络上存储或传输过程中不被篡改、修改或丢失,并保证信息传送次序的统一。(4)信息的保密性,是电子商务推广应用的重要保障,即要严格控制信息存取和信息传输的过程中不泄漏给非授权的个人和实体。
2电子商务过程中存在的信息安全问题
网络环境下,电子商务不断发展,同时也面临着诸多信息安全隐患,主要表现在以下几个方面。2.1网络环境本身存在的安全问题。(1)系统自身存在的漏洞问题。电子商务系统是指各个相关主体等在Internet和其他网络的基础上,以实现企业电子商务活动的目标。因此系统自身存在的漏洞问题不可避免,这是相关技术研发人员在网络系统研发过程中没能建立完善的应对措施,导致电子商务的不安全隐患发生,如保存在系统中的个人隐私信息被不法分子获取、企业信息遭到泄漏等。(2)网络自身存在的缺陷。电子商务是以计算机网络为基础的,而网络本身也存在着缺陷,如:TCP/IP的脆弱性,使其容易受到网络攻击;网络结构的不安全性,导致信息数据在传输过程中易被窃听等。2.2信息存储过程中的安全问题。电子商务在静态存放时的安全,被称为信息存储安全。在网络开放的大环境下,电子商务的信息存储安全存在着两种不安全要素,即内部不安全要素,是指企业内部之间、企业的顾客在没有得到授权的情况下调用或随意修改、删减电子商务信息;外部不安全因素,是指企业外部人员非法入侵计算机网络,在未授权的情况下随意调用、修改、删减电子商务信息等,导致企业主体商业机密泄漏或遭他人盗用,造成同行业之间恶性竞争。2.3信息传输中的安全问题。信息传输安全是指商务信息在交易过程中的传输安全。其存在的不安全性主要包括:商务信息在网络传输过程中被非法窃取、篡改或伪造等,导致交易信息丢失或被否认等,严重影响了电子商务的正常运作。2.4交易过程中的信息安全问题。(1)买方信息安全威胁。买方信息在未授权的情况下非法拦截、窃取,导致交易信息泄漏或者假冒买方被要求付账或返还商品;交易信息的不完整或被篡改,导致买方没有收到商品;计算机被病毒感染或遭黑客攻击,导致个人信息丢失或被窃取等。(2)卖方信息安全威胁。卖方信息,如营销信息和客户信息等被非法侵入、窃取;假冒合法用户改变交易内容,导致电子商务交易中断,不仅使买方权益受损,还会造成卖方信誉受损;黑客入侵卖方商务系统,泄漏商业机密或制造虚假信息影响卖方的正常销售等等。
3电子商务信息安全防范措施
3.1采用各种先进的信息安全技术。在网络背景下,如何利用现代计算机信息安全技术减少系统漏洞、防止黑客入侵和病毒感染,以保障电子商务信息安全至关重要。(1)数据加密技术。由于网络协议的限制,使得数据流在传输过程中处于未加密状态,包括用户名、密码等认证信息,容易导致数据在传输过程中被非法窃听和盗取,因此使用数据加密技术能够在一定程度上保证信息的完整性和安全性。信息加密技术是最基本的安全技术,是主动安全防范的有效策略,其目的是为了防止合法接收者之外的人获取机密信息,保护网络会话的完整性。加密是利用加密函数转换和保密的密钥对信息进行编码,变成无意义的密文,以便只有合法的接收者通过解密得到原始数据。加密技术根据密匙类型分为对称加密技术和非对称加密技术,其中对称密匙加密算法主要包括数据加密标准DES算法和国际数据加密算法IDEA算法;非对称密匙加密也称公开密匙加密,其主要是RSA加密算法。(2)认证技术。认证技术是指采用密码技术设计出安全性高的识别协议,确认信息发送者的身份,验证信息完整性,即保证信息在传送或存储过程中未被修改、重复、删除等,如数字证书、电子商务认证授权机构等。(3)防病毒技术。电子商务的信息安全,防范木马攻击和病毒更是重中之重。对于病毒,要以预防为主,查杀为辅,当前保护信息安全的技术主要包括:预防病毒技术,监视和判断系统中是否存在病毒,并预防病毒进入系统和对系统软件资源即文件造成干扰和破坏;检测病毒技术,即在计算机病毒的关键字、特征程序段内容等特征分类的基础上进行识别和侦测;消除病毒技术,对病毒进行分析研究后,开发出具有杀除病毒程序并恢复原文件的软件。3.2加强网络安全基础设施建设。在网络背景下,通过设置多道防火墙、多层密保等,在一定程度上减少了黑客入侵、信息泄露等一系列电子商务信息安全问题。但由于我国计算机信息技术起步较晚,大部分计算机软硬件核心部件都源自国外进口,如一些关键部件、安全软件及操作系统都不是自主研发的,这就必然导致我国计算机网络信息安全方面的漏洞。因此,我国要进一步加强网络安全基础设施建设,建立我国自己的公开密钥基础设施、信息安全产品检测评估基础设施、应急响应处理基础设施等。
综上所述,网络背景下的电子商务发展带给人们日常生活便利的同时,也给相关主体的信息安全带来隐患,如果能解决好电子商务信息安全的问题,电子商务的发展前景是相当可观的。因此,建立安全、快捷、高效的电子商务环境至关重要,需进一步加大投入、开发新的、有效的信息安全技术,以确保电子商务的健康、可持续发展。
作者:唐利娜 单位:郑州工业技师学院
参考文献
商务安全论文篇9
一、电子商务面临的安全问题
电子商务活动中有大量的数据需要传输与存储，数据传输依靠互联网技术，而互联网是一个天然脆弱和不安全的网络，数据容易丢失和被截获。而数据的存储主要依靠数据库技术，数据库也是非法分子常常入侵和破坏的对象。所以网络通信安全与数据库安全，是电子商务长期面临的的主要问题。
1.数据库安全。企业在电子商务活动中产生的大量数据是他们进行不间断经营的重要支撑，产品数据资料、客户关系管理都涉及到庞大的数据群。采用流行的关系型数据库进行数据存储与管理，是电子商务企业必要的选择。但是网络黑客从未间断过对企业数据库的攻击，一旦他们窃取到企业数据库的访问权、管理权，就可以获得他们想要的数据，甚至篡改或删除这些对企业来说至关重要的数据。
2.网络通信安全。数据传输过程中容易丢失、损坏或被黑客篡改、窃取，所以首先要保证通信线路的安全可靠性，采用性能稳定的设备和较为强大的软件来保证传输稳定性。其次为了防止黑客攻击，例如木马、病毒等程序，要再传输过程中使用数据加密及数字签名等技术保障数据的安全性。
二、电子商务安全策略
1.虚拟专用网(VPN)
由于TCP/IP协议的不安全性，对电子商务安全无有效的认证机制，真实性难有保证;缺乏保密机制，网上数据隐私性不能得到保护;不能提供对网上数据流的完整性保护等问题。因此，在电子商务中通常采用VPN技术，通过加密和验证网络流量来保护在公共网络上传输私有信息，而不会被窃取或篡改。对于用户来说，就象使用他们自己的私有网络一样。
2.加密(Encryption)技术
加密技术是电子商务采取的主要安全保密措施，是最常用的安全保密手段，利用技术手段把重要的数据变为乱码(加密)传送，到达目的地后再用相同或不同的手段还原(解密)。加密技术包括两个元素:算法和密钥。算法是将普通的文本(或者可以理解的信息)与一窜数字(密钥)的结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解码的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技术分为两类，即对称加密(私人密钥加密)和非对称加密(公开密钥加密)。对称加密以数据加密标准(DES，DataEncryptionStandard)算法为典型代表，非对称加密通常以RSA(RivestShamirAd1eman)算法为代表。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。
3.数字信封技术
数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性。:
4.认证技术
CA认证中心。它为电子商务环境中各个实体颁发数字证书，以证明各实体身份的真实性，并负责在交易中检验和管理证书。它是电子商务及网上银行操作中，具有权威性、可信赖性及公正性的第三方机构。如中国金融认证中心(CFCA)。
有关的认证技术包括数字签名与数字证书。数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对数字签名进行解密，获得哈希摘要。并将收到的原始数据产生的哈希摘要与获得的哈希摘要相对照，便可确信原始信息是否被篡改，这样就保证了数据传输的不可否认性。数字证书是各类实体(持卡人/个人、商户/企业、网关/银行等)在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方证书的有效性，从而解决相互间的信任问题。证书是一个经证书认证中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。
5.防火墙技术
防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器、一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。
三、结束语
信息安全是电子商务生存和发展的关键要素，随着科技信息技术的不断发展，电子商务平台的安全性和管理策略将不断改进和完善。电子商务活动的安全开展，单是从技术角度防范是远远不够的，还必须通过完善电子商务法律和政策来正确引导和促进我国电子商务的快速健康发展。我国电子商务处于初级普及阶段，需要政府加强对电子商务的研究，建立和规范电子商务的法律框架，促使电子商务实现公开化，合理化、合法化。而企业也必须对其内部所有员工进行信息安全意识教育，充分理解信息安全对企业开展电子商务活动的重要性，还必须通过专业人员对网站进行安全分析、风险评估。在运行效率分析的基础上，制定出完整、严谨的安全解决方案。并针对电子商务活动中存在的不安全因素采取适当的防范措施，例如硬件的电源故障可以通过设置不间断电源来解决，软件漏洞问题可通过针对性的设置加以弥补。随着新技术的发明和应用，电子商务中存在的通信安全问题与数据存储安全问题都将得到解决。在网络中没有绝对的安全只有相对的安全，只要企业始终采用新技术，并积极防御最新的网络威胁和攻击，电子商务带给企业的好处必将大大超越它所带来的风险。
参考文献:
商务安全论文篇10
1.信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。
2.信息的篡改：当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。
3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。
4.交易抵赖：交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。
二、信息安全要求
电子商务(O2O网站)的安全是对交易中涉及的各种信息的可靠性、完整性和可用性保护。信息安全包括以下几方面：
1.信息保密性：维护商业机密是电子商务推广应用的重要保障。由于建立在开放网络环境中，要预防非法信息存取和信息传输中被窃现象发生。
2.信息完整性：贸易各方信息的完整性是电子商务应用的基础，影响到交易和经营策略。要保证网络上传输的信息不被篡改，预防对信息随意生成、修改和删除，防止数据传送中信息的失和重复并保证信息传送次序的统一。
3.信息有效性：保证信息有效性是开展电子商务前提，关系到企业或国家的经济利益。对网络故障、应用程序错误、硬件故障及计算机病毒的潜在威胁控制和预防，以保证贸易数据在确定时刻和地点有效。
4.信息可靠性：确定要交易的贸易方是期望的贸易方是保证电子商务顺利进行的关键。为防止计算机失效、程序错误、系统软件错误等威胁，通过控制与预防确保系统安全可靠。
三、信息安全技术(O2O)
1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是“凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是“凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。
防火墙技术主要有：(1)包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2)服务技术：提供应用层服务控制，起到外部网络向内部网络申请服务时中间转接作用。服务还用于实施较强数据流监控、过滤、记录等功能。(3)状态监控技术：在网络层完成所有必要的包过滤与网络服务防火墙功能。(4)复合型技术：把过滤和服务两种方法结合形成新防火墙，所用主机称为堡垒主机，提供服务。(5)审计技术：通过对网络上发生的访问进程记录和产生日志，对日志统计分析，对资源使用情况分析，对异常现象跟踪监视。(6)路由器加密技术：加密路由器对通过路由器的信息流加密和压缩，再通过外部网络传输到目的端解压缩和解密。
2.加密技术。为保证数据和交易安全，确认交易双方的真实身份，电子商务采用加密技术。数据加密是最可靠的安全保障形式和主动安全防范的策略。目前广泛应用的加密技术有：(1)公共密钥和私用密钥：也称RSA编码法。信息交换的过程是贸易方甲生成一对密钥并将其中一把作为公开密钥公开；得到公开密钥的贸易方乙对信息加密后再发给贸易方甲：贸易方甲用另一把专用密钥对加密信息解密。具有数字凭证身份人员的公共密钥在网上查到或请对方发信息将公共密钥传给对方，保证传输信息的保密和安全。(2)数字摘要：也称安全Hash编码法。将需加密的明文“摘要”成一串密文亦称数字指纹，有固定长度且不同明文摘要成密文结果不同，而同样明文摘要必定一致。这串摘要成为验证明文是否真身的“指纹”。(3)数字签名：将数字摘要、公用密钥算法两种加密方法结合。在书面文件上签名是确认文件的手段。签名作用有两点：一是因为自己签名难以否认，从而确认文件已签署；二是因为签名不易仿冒，从而确定文件为真。(4)数字时间戳：电子交易中文件签署日期和签名是防止交易文件被伪造和篡改的关键性内容，数字时间戳服务能提供电子文件发表时间的安全保护。
3.认证技术。(C2B)安全认证的作用是进行信息认证。信息认证是确认信息发送者的身份，验证信息完整性，确认信息在传送或存储过程中未被篡改。(1)数字证书：也叫数字凭证、数字标识，用电子手段证实用户身份及对网络资源的访问权限，可控制被查看的数据库，提高总体保密性。交易支付过程中，参与各方必须利用认证中心签发的数字证书证明身份。(2)安全认证机构：电子商务授权机构也称电子商务认证中心。无论是数字时间戳服务还是数字证书发放，都需要有权威性和公正性的第三方完成。CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业性服务机构，受理数字证书的申请、签发及对数字证书管理。
商务安全论文篇11
1.2信息被窃取和篡改
在电子商务交易的进行中，如果密码过于简单或者使用者在公共网络中保存了账户密码，就致使黑客或者其他的入侵者更轻而易举地截取重要的信息，进而通过分析这些信息，获取规律，导致全部内容的窃取。更有甚者，入侵者会对使用者的传输内容进行篡改，或者对信息内容进行恶意的破坏，就会给用户造成更大的损失。因此，应对这种现状，应该改善加密技术，同时使用者应进行复杂的加密。
1.3计算机病毒
由于电子商务广泛普及，使得数据以及信息交易的内容都是通过网络来进行传播的。虽然使交易更为方便快捷，但同时，也提供给了计算机病毒一种更为迅速的传播方式。一旦出现计算机病毒，就会导致计算机的各个资源被篡改，计算机的功能被破坏使得无法正常运行工作，甚至还会传染给其他的计算机。
1.4认证安全存在漏洞
我们正处在一个便携性的信息化时代，电子商务规模逐渐扩大，但是网络交易的认证安全上存在着很多漏洞。当前还存在一些电子商务交易中仍未解决的问题，譬如，网络用户IP地址的频繁盗用，使得IP地址存在很大的冲突，进而导致网络的很多账号被盗取。
1.5电子邮件的伪造
伪造者在交易用户进行合法交易的过程中，会伪造大量的电子邮件，使得网络拥堵，导致商家的资源严重短缺，致使合法用户无法进行访问行为，这就使得响应的时间增长，交易过程变得混乱。
1.6否认交易行为
电子商务中，交易者否定自己发送给对方的交易信息内容，又或者不承认接收到原本接收到的内容。交易双方中有一方单方面的撕毁了协议。
1.7管理层面存在漏洞
电子商务的非面对面交易的存在形式，必不可免地使得电子商务的管理存在局限性。不明确的管理制度和不到位的管理措施，以及众多的单位和用户疏于管理电子商务的交易，给网络黑客以及计算机病毒的攻击提供了便利。基于此，就需要电子商务的交易双方设置更为健全的软硬件和网络操作系统，同时应当提高安全防范意识，及时清理电脑的垃圾信息，预防病毒的侵入。
2计算机安全技术在电子商务中的应用
电子商务迅猛发展，同时它的发展空间和发展前景也是不容忽视的。为了确保电子商务的长足发展，就需要重视电子商务中存在的安全隐患问题，只有更好地解决这些安全隐患，才能降低对计算机造成的风险和影响。综合运用多种计算机安全技术能够更大程度地确保电子商务交易的安全进行。
2．1身份识别技术
身份识别技术能保护合法的用户拥有应用网络资源的权利，方便统一管理用户，避免了入侵者的攻击和破坏。当然身份识别是针对参与交易双方进行的，只有这样，才能保证电子商务交易的有序进行，保护了双方的合法权益。
2.2数据加密技术
对电子商务交易中涉及的重要信息和数据进行加密，常用的加密方法包括公开密钥加密和专用密钥加密。这种技术能够维持电子商务交易的顺利进行，同时，还能避免入侵者对重要信息的攻击和破坏。提高了信息和数据的安全性和可靠性。
2．3数据加密技术
众所周知，在电子商务中由于非面对面交易，不可避免地会出现许多不确定的因素。数据加密技术能够有效预防和打击多种不确定因素的入侵。在交易过程的最初阶段即信息初步的互换过程就能使用数据加密技术。具体的实施流程是，在电子商务交易的过程之中，交易生成的那一方会有两个密钥，其中一个作为公共密钥，交易的另一方通过该密钥将重要数据和信息进行加密后，确保发送的数据的安全性和准备性，最后才进行最终的电子商务交易。
2．4访问控制技术
该技术主要就是使用防火墙技术针对不安全的层面进行预防和保护。具体来说，能够控制数据或者信息等内容的访问权限，只允许这些内容的读取，而不允许进行修改，这种访问控制技术，预防了入侵者的不良攻击和破坏，维护了电子商务交易的有序进行。
商务安全论文篇12
计算机安全技术既计算机信息系统安全技术，是指为防止外部破坏、攻击及信息窃取，以保证计算机系统正常运行的防护技术。下面我就从计算机安全技术的研究领域、包括方面两个角度出发来进行探讨。
1.1计算机安全技术主要有两个研究领域
一是计算机防泄漏技术。即通过无线电技术对计算机进行屏蔽、滤波、接地，以达到防泄漏作用。
二是计算机信息系统安全技术。即通过加强安全管理，改进、改造系统的安全配置等方法，以防御由于利用计算机网络服务、系统配置、操作系统及系统源代码等安全隐患而对计算机信息系统进行的攻击，使计算机信息系统安全运行。
1.2计算机安全技术包括方面
计算机的安全技术包括两个方面：个人计算机的安全技术，计算机网络的安全技术。
1.2.1个人计算机的安全技术
个人计算机的安全技术是影响到使用个人电脑的每个用户的大事。它包括硬件安全技术、操作系统安全技术、应用软件安全技术、防病毒技术。在这里我们主要讨论硬件安全技术和操作系统安全技术。
硬件安全技术是指外界强电磁对电脑的干扰、电脑在工作时对外界辐射的电磁影响，电脑电源对电网电压的波动的反应、CPU以及主板的电压和电流适应范围、串并口时热拔插的保护、机箱内绝缘措施、显示器屏幕对周围电磁干扰的反应和存储介质的失效等等。目前，这种单机的硬件保护问题在技术上相对简单一点，一般来说，凡是严格按照IS9001标准进行采购、生产、管理、销售的企业都可以保证上述安全问题能有相应的解决措施。
操作系统安全技术是指目前常用的PC操作系统的安全问题，包括DOS、WINDOWS的安全问题。由于WIN—DOWS系统在日常生活中被大多数人所熟知，这里我们就以WINDOWS系统为例来分析操作系统的安全技术。
WINDOWS系统在安全技术方面采取了软件加密和病毒防治两种手段来保证操作系统的安全。软件加密由三个部分组成：反跟踪、指纹识别、目标程序加/解密变换。三个部分相互配合，反跟踪的目的是保护指纹识别和解密算法。指纹识别判定软件的合法性，而加/解密变换则是避免暴露目标程序。病毒防治原理是由于Windows的文件系统依赖于DOS，所以扩充现有的基于DOS的病毒防治软件。使之能够识别Windows可执行文件格式（NE格式），是一种行之有效的方法，在病毒的检测、清除方面则需要分析Win—dows病毒的传染方式和特征标识，扩充现有的查毒、杀毒软件。
1.2.2计算机网络的安全技术
计算机安全特别是计算机网络安全技术越来越成为能够谋取较高经济效益并具有良好市场发展前景的高新技术及产业。自从计算机网络暴露出安全脆弱问题且受到攻击后，人们就一直在研究计算机网络安全技术，以求把安全漏洞和风险降低到力所能及的限度，因此出现了一批安全技术和产品。
（1）安全内核技术。
人们开始在操作系统的层次上考虑安全性。尝试把系统内核中可能引起安全问题的部分从内核中剔出去。使系统更安全。如So-laris操作系统把静态的口令放在一个隐含文件中，使系统更安全。
（2）Kerberos系统的鉴别技术。
它的安全机制在于首先对发出请求的用户进行身份验证，确认其是否是合法的用户。如是合法用户，再审核该用户是否有权对他所请求的服务或主机进行访问。Kerberos系统在分布式计算机环境中得到了广泛的应用，其特点是：安全性高、明性高、扩展性好。
（3）防火墙技术。
防火墙即在被保护网络和因特网之间，或在其他网络之间限制访问的一种部件或一系列部件。
防火墙技术是目前计算机网络中备受关注的安全技术。在目前的防火墙产品的设计与开发中，安全内核、系统、多级过滤、安全服务器和鉴别与加密是其关键所在。防火墙技术主要有数据包过滤、服务器、SOCKS协议、网络反病毒技术等方面组成，共同完成防火墙的功能效应。
2其在电子商务中的应用
随着网络技术和信息技术的飞速发展
，电子商务得到了越来越广泛的应用，但电子商务是以计算机网络为基础载体的，大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，在这样的情况下，电子商务的安全性是影响其成败的一个关键因素。
2.1电子商务含义
电子商务是利用计算机技术、网络技术和远程通信技术实现整个商务过程中的电子化、数字化和网络化。人们不再是面对面的、看着实实在在的货物、靠纸介质单据进行买卖交易，而是通过网络，通过网上琳琅满目的商品信息、完善的物流配送系统和方便安全的资金结算系统进行交易。
整个交易的过程可以分为三个阶段：第一个阶段是信息交流阶段；第二阶段是签定商品合同阶段；第三阶段是按照合同进行商品交接、资金结算阶段。
2.2电子商务安全隐患
2.2.1截获传输信息
攻击者可能通过公共电话网、互联网或在电磁波辐射范围内安装接收装置等方式。截取机密信息；或通过对信息长度、流量、流向和通信频度等参数进行分析。获得如用户账号、密码等有用信息。
2.2.2伪造电子邮件
虚开网上商店。给用户发电子邮件，伪造大量用户的电子邮件，穷尽商家资源，使合法用户不能访问网络。使有严格时间要求的服务不能及时得到响应。
2.2.3否认已有交易
者事后否认曾发送过某条信息或内容，接收者事后否认曾收到过某条信息或内容；购买者不承认下过订货单；商家不承认卖出过次品等。
2.3电子商务交易中的一些计算机安全安全技术
针对以上问题现在广泛采用了身份识别技术数据加密技术、数字签名技术和放火墙技术。
2.3.1身份识别技术
通过电子网络开展电子商务。身份识别问题是一个必须解决的同题。一方面，只有合法用户才可以使用网络资源，所以网络资源管理要求识别用户的身份；另一方面，传统的交易方式，交易双方可以面对面地谈判交涉。很容易识别对方的身份。通过电子网络交易方式。交易双方不见面，并且通过普通的电子传输信息很难确认对方的身份，因此，电子商务中的身份识别问题显得尤为突出。
2.3.2数据加密技术
商务安全论文篇13
1、电子商务信息的安全要素
1.1机密性
传统的贸易大多是通过书信或者可靠的通信渠道来发送商业文档,虽然速度和效率都不高,但却能达到保密的目的,而电子商务是在开放的网络环境下进行的,因此要预防非法的信息存取和信息在传输过程中被非法窃取,所以保证电子商务信息的机密性就变得非常重要。
1.2完整性
电子商务极大地简化了传统贸易过程,减少了认为的干预,同时也伴随着贸易各方商业信息的完整、同一问题。由于数据录入时合法或非法的行为,可能导致贸易数据的差异。信息在传输的过程中也有可能造成信息的丢失、重复或次序的差异。因此要预防对信息的各种非法操作,保证数据在传送的过程中完整性。
1.3认证性
网络环境是一个虚拟的环境,而电子商务就是在这个虚拟平台上进行的,贸易双方一般都不见面,需要一些技术和策略来进行身份确认。当个人或实体声称身份时,电子商务服务需要提供一种方式来进行身份认证。
1.4有效性
在交易的过程中贸易双方需要确定很多信息,电子商务以电子形式取代了纸张来确认这此信息,保证谢谢信息的有效性是开展电子商务的前提。因此要对网络故障、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻和地点是有效的。
2、电子商务安全中存在的问题
电子商务是实现整个贸易过程中各阶段贸易活动的电子化。公众是电子商务的对象,信息技术是实现电子商务的基础,电子商务实施的前提是信息的安全保障。信息安全性的含义主要是信息的完整性、可用性、保密性和可靠性。因此电子商务活动中的信息安全问题主要体现在以下几个方面。
2.1计算机网络的安全
2.1.1安全协议问题
随着经济和信息全球化的时代到来,但安全协议还没有全球性的标准和规范,相对制约了国际性的商务活动。此外,在安全管理方面还存在很大隐患,普遍难以抵御黑客的攻击。
2.1.2信息的安全问题
非法用户在网络的传输上,通过不正当手段,非法拦截会话数据获得合法用户的有效信息,最终导致合法用户的一些核心业务数据泄密或者是非法用户对截获的网络数据进行一些恶意篡改,如增加、减少和删除等操作,从而使信息失去真实性和完整性,导致合法用户无法正常交易,还有一些非法用户利用截获的网络数据包再次发送,恶意攻击对方的网络硬件和软件。
2.1.3防病毒问题
电脑病毒问世十多年来,各种新型病毒及其变种迅速增加,互联网的出现又为病毒的传播提供了最好的媒介,不少新病毒直接以网络作为自己的传播途径,还有众多病毒借助于网络传播得更快,动辄造成数百亿美元的经济损失。
2.1.4服务器的安全问题。
电子商务服务器是电子商务的核心,安装了大量的与电子商务有关的软件和商家信息,并且服务器上的数据库里有企业的一些保密数据,如价格、成本等,所以服务器特别容易受到安全的威胁,并且一旦出现安全问题,造成的后果也是非常严重的。目前服务器的安全问题尚无有效措施予以阻止。主要表现在:非法用户向网络或主机发送大量非法或无效的请求,使其消耗可用资源却无法继续提供正常的网络服务,利用操作系统、软件、网络协议、网络服务等的安全漏洞,通过网站发送特制的数据请求,使网络应用服务器崩溃而停止服务。
2.2电子商务交易的安全
2.2.1身份的不确定问题
由于电子商务的实现需要借助于虚拟的网络平台,在这个平台上交易双方是不需要见面的,因此带来了交易双方身份的不确定性。攻击者可以通过非法的手段窃取合法用户的身份信息,仿冒合法用户的身份与他人进行交易,从中获得非法收入。主要表现有:冒充他人身份;冒充他人消费、栽赃、冒充主机欺骗合法主机及合法用户等。
2.2.2交易的抵赖问题
电子商务的交易应该同传统的交易一样具有不可抵赖性。有些用户可能对自己发出的信息进行恶意的否认,以推卸自己应承担的责任。如自己应承担的责任如:者事后否认曾经发送过某条信息或内容;收信者事后否认曾经收到过某条信息或内容;购买者做了订货单不承认,商家卖出的商品质量差但不承认原有的交易。在网络世界为交易双方的纠纷进行公证、仲裁。
2.2.3交易的修改问题
交易文件是不可修改的,否则必然会影响到另一方的商业利益。电子商务中的交易文件同样也不能修改,以保证商务交易的严肃和公正。
2.3其他方面的安全
电子商务安全威胁种类繁多、来自各种可能的潜在方面,有蓄意而为的,也有无意造成的,例如电子交易衍生了一系列法律问题:网络交易纠纷的仲裁、网络交易契约等问题,急需为电子商务提供法律保障。还有诸如非法使用、操作人员不慎泄露信息、媒体废弃物导致泄露信息等均可构成不同程度后果的威胁。
3、保障电子商务信息安全措施
3.1数据加密策略
加密技术是电子商务的最基本措施,最初主要用与保证数据在存储和传输过程中的保密性。随着电子商务的发展,对数据完整性以及身份鉴定技术提出了新的要求,数字签名、身份认证就是为了适应这种需要在密码学中派生出来的新技术和新应用。加密技术是一种主动的信息安全防范策略,利用一定的加密算法.将明文转换成毫无意义的密文。阻止非法用户理解原始数据,从而确保数据的保密性。
比较广泛使用的加密技术有两种:一是对称密钥加密体制,一是非对称密钥加密体制。它们的区别在于密钥的类型不同。
3.1.1对称密钥加密体制
对称密钥加密,又称私钥加密(SecretKeyEncryption),即数据加密和解密采用的都是同一个密钥,因而其安全性依赖于所持有密钥的安全性,其最大的优点就是速度快,适合于对大数据量进行加密,但其最大的缺点是在大量用户的情况下密钥答理复杂,而且无法完成身份认证等功能,不便于应用于网络开放的环境中。
3.1.2非对称密钥加密体制
非对称密钥加密体制,又称公钥加密(PublicKeyEncryp2tion),数据加密和解密采用不同的密钥,需要使用一对密钥来分别完成加密和解密操作。在非对称密钥加密体制中密钥被分解为一对。这对钥中的在何一把都可作为公开密钥,加密密钥,通过非保密方式向他人公开。而另一把则作为私用密钥加以保存。私用密钥只能由数据的接受者掌握。
利用公钥体系可以方便地实现对用户的身份认证,也即用户在信息传输前首先用所持有的私钥对传输的信息进行加密,信息接收者在收到这些信息之后利用该用户向外公布的公钥进行解密,如果能够解开,说明信息确实为该用户所发送,这样就方便地实现了对信息发送方身份的鉴别和认证。
通常在实际应用中将公钥密码体系和数字签名算法结合使用.在保证数据传输完整性的同时完成对用户的身份认证。
3.2防火墙技术
现有的防火墙技术包括两大类:数据包过滤和服务技术。其中,最简单和最常用的是包过滤防火墙,它检查接受到的每个数据包的头,以决定该数据包是否发送到目的地。由于防火墙能够对进出的数据进行有选择的过滤,所以可以有效地避兔对其进行的有意或无意的攻击,从而保证了专用私有网的安全。将包过滤防火墙与服务器结合起来使用是解决网络安全问题的一种非常有效的策略。防火墙技术的局限性主要在于:(1)防火墙技术只能防止经由防火墙的攻击,不能防止网络内部用户对于网络的攻击。(2)防火墙不能保证数据的秘密性,也不能保证网络不受病毒的攻击,它只能有效地保护企业内部网络不受主动攻击和入侵。
3.3身份验证技术
3.3.1认证系统
网上安全交易的基础是数字证书。数字证书类似于现实生活中的身份证,用于在网络上鉴别个人或组织的真实身份。数字证书的颁发机构叫做CertificateAuthority,通常简称为CA。要建立安全的电子商务系统,首先必须建立一个稳固、健全的CA,否则,一切网上的交易都没有安全保障。
3.3.2SSL协议
SSL协议(SecureSocket,Layer,安全套接层)主要目的是解决TCP/IP协议不能确认用户身份的问题,在Socket上使用非对称的加密技术,以保证网络通信服务的安全性。SSL协议易于实现。SSL协议还是最值得信赖的协议。但是由于SSL协议当初并不是为支持电子商务而设计的,所以在电子商务系统的应用中还存在很多弊端,在涉及多方的电子交易中,只能提供交易中客户与服务器间的双方认证,而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方的安全传输和信任关系。
3.3.3SET协议
SET(SecureElectronicTransaction)安全电子交易协议是用于Internet上的以信用卡为基础的电子支付系统协议。主要应用于B/C模式中保障支付信息的安全性。SET协议提供对消费者、商户和银行的认证,协议本身比较复杂,设计比较严格,安全性高,确保电子交易的机密性、数据完整性、身份的合法性和抗否认性,特别是保证了不会将持卡人的信用卡号泄露给商户。其核心技术主要有公开密匙加密、电子数字签名、电子信封、电子安全证书等。它的交易规范成为了未来电子商务发展的方向。
3.4保障电子商务信息安全的环境性措施
目前,基于Internet的电子商务应用还不成熟,许多内外部环境还不够完善,相应的法律、法规,相关的标准还都没有建立,跨部门、跨地区的协调存在较大问题。
3.4.1构造我国完善的电子商务体系
积极参与国际合作,融合国际电子商务框架,构造适合中国国情的电子商务体系。作为一个国家,为了维护国家的利益和经济安全,在电子商务相关技术方面注重自主知识产权技术的开发,不能全部依赖进口。因此,必须加大投资力度,重点支持电子商务技术的研发工作。
3.4.2加强法律法规建设
针对利用信息高科技和信息系统等新型犯罪,政府部门应尽快组织力量,结合电子商务的客观需要,对现有的与电子商务相关的法律法规,利用法律与犯罪作斗争是人类历来的做法。如:《中华人民共和国刑法》、《全国人大常委会关于互联网安全的决定》、《合同法》、《著作权法》等进行修改。在这些法律中,可以适当增加对网络犯罪处罚的条款,增加对网络作品著作权保护的条款;对电子商务发展中急需解决的有关问题,如:在电子支付、税收管理,安全认证、网络与信息安全、知识产权保护、消费者权益保护等可由相关主管部门先制定部门规章,必要时,由国务院行政法规,再按程序上升为法律。
3.4.3加快网络基础设施建设,推动企业信息化进程加强相关领域应用基础对应的技术科学研究及应用研究是在信息领域及信息安全领域取得"创新"和"可持续发展"的直接动力。信息基础设施是电子商务发展的物质基础和载体。发展信息基础设施需要多种学科和人才的支持、政府和业界的共同努力,尤其是政府的大力投资和宏观调控。
3.4.4加快银行、税务以及邮政等物流环节的信息化建设建立企业到企业(BtoB)、企业到客户(BtoC)的商务沟通,实现网上资金流动,解决目前有形商品交易环节中的流通困难。[]
【参考文献】
[1]刘红军等.电子商务技术教程[M].北京.机械工业出版社,2006.1
[2]牛荣.电子商务信息安全[J].商场现代化,2008,1
[3].刘培德.电子商务的安全要求及其保障措施[J].山东经济,2005,5
[4]刘丽梅.电子商务信息安全问题探讨[J].物流科技,2007,3
