第1个回答 2014-06-16
您好，目前电子商务工程正在全国迅速发展。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。从安全和信任的角度来看,传统的买卖双方是面对面的,因此较容易保证交易过程的安全性和建立起信任关系。但在电子商务过程中，买卖双方是通过网络来联系，由于距离的限制，因而建立交易双方的安全和信任关系相当困难。电子商务交易双方(销售者和消费者)都面临安全威胁。电子商务的安全要素主要体现在以下几个方面： 1)信息有效性、真实性 电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。 2)信息机密性 电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。 3)信息完整性 电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。 4)信息可靠性、不可抵赖性和可鉴别性 可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制，防止实体否认其行为;可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。 技术的发展进步已为以上方面提供了可能的解决方案。例如：“数字签名”及“信息摘要”可以证实一个信息是否被篡改;一个“数字证书”可以确认一个发送数字签字信息的人的身份;“双重加密”可以实行在线订货付款，而不让卖方看到信用卡号。国际交易要求：数字签名及认证应该是国际公认和通用的，而且所有国家都要掌握充分的编码技术。 现有电子商务网上支付系统的安全体系结构一般分为三大层次如图4-3所示： 图4-3 电子商务网上支付系统的安全体系结构 (1)第一层：基本加密算法。目前广泛采用现代加密技术与以下两种体制，两种体制主要区别是加密解密的密钥不同。 对称密钥体制(又称单钥密钥体制)，即对信息加解密使用的密码是同一密码。目前，国际上分组密码最具代表性的是美国数据加密标准DES。DES的密钥长度是56位。该标准主要应用于银行业中的电子资金转账(EFT)领域。 非对称密钥体制(又称公钥密钥体制)，即密钥被分解为一对，一把公开密钥或加密密钥和一把专用密钥或解密密钥。这对密钥中的任何一把都可作为公开密钥(加密密钥)通过非保密方式向他人公开，而另一把作为专用密钥(解密密钥)加以保存。 (2)第二层：安全认证手段。 ①数字摘要(Digital Digest)。采用中一向Hash函数，将需要加密的信急原文通过特定的变换，将其“摘要”成一串128位的密文。这串密文又称数字指纹，它是有固定长度的段代码，且对于不同的信息原文，将它摘要成密文之后的结果总是不同的，而同样的信息原文所形成的摘要必定是一致的。这样利用这段摘要，就可以验证通过网络传输收到的文件是否是初始，未被非法修改的文件原文了。 ②数字信封(Data Envelop)。采用密码技术的手段保证只有规定的收信人才能阅读信的内容的一种安全认证手段。在数字信封中，信息发送方使用密码对信急进行加密，在利用RSA算法对该密码进行加密，则被RSA算法加密的密码部分称之为数字信封。它保证了在网上传输文件信息的保密性和安全性，即便加密文件被他人非法截获，因为截获者无法得到发送方的通信密钥，不可能对文件进行加密。 ③数字签名( Digital Signature)。只有信息发送者才能产生的别人无法伪造的一段数据串。这段数据串同时也是对发送者发送了信息的真实性的一个证明。在书面文件上签名是确认文件的一种手段。作用有两点第一点因为自己的签名难以否认，从而确认了文件己签署这一事实;第二点因为签名不易冒犯，从而确认了文件是真实这一事实。 ④数字时间戳(Digital Timestamp)。数字时间戳服务是网上安全服务项目，由专门的机构提供。数字时间戳是一个经加密后形成的凭证文档，它包括二个部分:需加时间戳文件的摘要、数字时间戳机构收到文件的数字时间和数字时间戳机构的数字签名。 ⑤数字证书和数字凭证(Digital Critical & Digital ID)。用电子手段来证实一个用户的身份和对网络资源的访问和权限。在网上的电子交易中，如果双方出示了各自的数字证书，并用它进行交易操作，那么双方就可以不必为双方身份的真实性担心了。 ⑥认证中心(CA)。无论是数字时间戳还是数字证书的发证都不是靠交易双方自己来完成的，而需要有一个具有权威性和公正性的第三方来完成。CA认证中心就是承担网上安全电子交易认证服务，能签发数字证书并能确认用户身份的服务机构。CA的主要任务是受理数字凭证的申清签发数字证书及对证书进行管理。 (3)第三层：安全认证协议。 ①安全文本传输协议(S-HTTP：Secure HTTP)是对HTTP协议的扩展，保障WEB站点间交易的机密性、可靠性、完整性。它并不依赖于特定的密钥证明系统，目前支持RSA ,带内和带外以及Kerberos密钥交换。 ②安全套接层协议(SSL)是一种利用公开密钥技术的工业标准。它提供一个终端对终端的加密了的通信会话。它嵌套在传送层与应用层之间，由两个协议组成。其中SSL，记录协议在传输层之上，用来密封各种较高层的协议。SSL握手协议的操作在SSL记录层之上。在应用程序协议接收或传送数据之前，它允许客户和服务器彼此验证和协商一个数据加密法则和加密密钥。 ③安全电子交易协议(SET)是1997年5月由Visa、MasterCard信用卡组织、Verifone等联合推出的用于电子商务网上支付的行业规范，其实质是一种应用在Internet上、以信用卡为基础的电子付款系统规范，一个用以保护电子交易的隐私和保证交易的真实性的开放标准。它采用公钥密码体制和X.509数字证书标准，目的就是为了保证网络交易的安全。 (4)支付网关。支付网关与支付型电子商务业务相关，位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部通信协议将数据重新打包;接收银行系统内部传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。即支付网关主要完成通信、协议转换和数据解密功能，并且可以保护银行内部网络。此外，支付网关还具有密钥保护和证书管理等其它功能。 总的来看，解决电子商务网上支付系统的安全问题，目前主要采取访问控制、授权、身份认证、防火墙、加密存储及传达、内容控制、数据备份等措施。通过访问控制，建立系统内部与外部、系统内部不同信息源之间的隔离机制;通过授权，对不同用户实行不同层次的访问许可，并监控用户的活动，使其不越权使用;通过身份认证辨别用户的身份真伪和信用程度，通常采用公共密钥、私用密钥或用户指纹、声音等特征，实现单因素或多因素认证;加密则是使用最广泛，也是最有效的手段之一，被应用于系统的各个环节，以保障信息在存储和传输过程中的一致性(不被非法篡改)、隐秘性(不被非法查看)，还可使接受者无法否认曾经收到信息的事实;控制功能则使系统一以出了问题，能够做到问题再现、数据复查、责任追查等。。。欢迎向158教育在线知道提问