电子商务中网络安全论文

电子商务中网络安全论文

 【摘要】构筑安全电子商务信息环境是网络时代发展到一定阶段的“瓶颈”性课题。本文侧重讨论了其中的信息安全技术、数字认证、信息安全协议、信息安全对策等核心问题。
 【关键词】电子商务 网络 信息安全 信息安全技术 数字认证 信息安全协议 信息安全对策 
  美国著名未来学家阿尔温·托夫勒说：“电脑网络的建立和普及将彻底改变人类生存及生活的模式，控制与掌握网络的人就是未来命运的主宰。谁掌握了信息，控制了网络，谁就拥有整个世界。”的确，网络的国际化、社会化、开放化、个人化诱发出无限的商机，电子商务的迅速崛起，使网络成为国际竞争的新战场。然而，由于网络技术本身的缺陷，使得网络社会的脆性大大增加，一旦计算机网络受到攻击不能正常运作时，整个社会就会陷入危机。所以，构筑安全的电子商务信息环境，就成为了网络时代发展到一定阶段而不可逾越的“瓶颈”性问题，愈来愈受到国际社会的高度关注。  一、电子商务中的信息安全技术  电子商务的信息安全在很大程度上依赖于技术的完善，这些技术包括：密码技术、鉴别技术、访问控制技术、信息流控制技术、数据保护技术、软件保护技术、病毒检测及清除技术、内容分类识别和过滤技术、网络隐患扫描技术、系统安全监测报警与审计技术等。  1.防火墙技术。防火墙（Firewall）是近年来发展的最重要的安全技术，它的主要功能是加强网络之间的访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络（被保护网络）。它对两个或多个网络之间传输的数据包和链接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许，并监视网络运行状态。简单防火墙技术可以在路由器上实现，而专用防火墙提供更加可靠的网络安全控制方法。　　防火墙的安全策略有两条。一是“凡是未被准许的就是禁止的”。防火墙先是封闭所有信息流，然后审查要求通过的信息，符合条件的就让通过；二是“凡是未被禁止的就是允许的”，防火墙先是转发所有的信息，然后再逐项剔除有害的内容，被禁止的内容越多，防火墙的作用就越大。网络是动态发展的，安全策略的制定不应建立在静态的基础之上。　防火墙技术的优点很多，一是通过过滤不安全的服务，极大地提高网络安全和减少子网中主机的风险；二是可以提供对系统的访问控制；三是可以阻击攻击者获取攻击网络系统的有用信息；四是防火墙还可以记录与统计通过它的网络通信，提供关于网络使用的统计数据，根据统计数据来判断可能的攻击和探测；五是防火墙提供制定与执行网络安全策略的手段，它可以对企业内部网实现集中的安全管理。防火墙技术的不足有三。一是防火墙不能防止绕过防火墙的攻击；二是防火墙经不起人为因素的攻击。由于防火墙对网络安全实施单点控制，因此可能受到黑客的攻击；三是防火墙不能保证数据的秘密性，不能对数据进行鉴别，也不能保证网络不受病毒的攻击。  2.加密技术。数据加密被认为是最可靠的安全保障形式，它可以从根本上满足信息完整性的要求，是一种主动安全防范策略。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据。通过使用不同的密钥，可用同一加密算法，将同一明文加密成不同的密文。当需要时可使用密钥将密文数据还原成明文数据，称为解密。  3.数字签名技术。数字签名（DigitalSignature）技术是将摘要用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中都要用到数字签名技术。  4.数字时间戳技术。在电子商务交易的文件中，时间是十分重要的信息，是证明文件有效性的主要内容。在签名时加上一个时间标记，即有数字时间戳（DigitaTimestamp）的数字签名方案：验证签名的人或以确认签名是来自该小组，却不知道是小组中的哪一个人签署的。指定批准人签名的真实性，其他任何人除了得到该指定人或签名者本人的帮助，否则不能验证签名。  二、电子商务信息安全协议  1.安全套接层协议。安全套接层协议（SecureSocketsLayer，SSLNetscapeCommunicatio公司1994年设计开发的，主要用于提高应用程序之间的数据的安全系数。SSL协议的整个概念可以被总结为：一个保证任何安装了安全套接层的客户和服务器之间事务安全的协议，该协议向基于TCP/IP的客户/服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。
 2.安全电子交易公告。安全电子交易公告（SET：SecureElectronicTransactions）是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证。SET已成为全球网络的工业标准。
 3.安全超文本传输协议（S-HTTP）。依靠密钥的加密，保证Web站点间的交换信息传输的安全性。SHTTP对HT-TP的安全性进行了扩充，增加了报文的安全性，是基于SSL技术的。该协议向互联网的应用提供完整性、可鉴别性、不可抵赖性及机密性等安全措施。  4.安全交易技术协议（STT）。STT将认证与解密在浏览器中分离开，以提高安全控制能力。  5.UN/EDIFACT标准。UN/EDIFACT报文是唯一的国际通用的电子商务标准。在ISO发布的IS09735（即UN/EDI-FACT语法规则）新版本中，包括描述UN/EDIFACT中实施安全措施的五个新部分，即：第五部分——批式电子商务（可靠性、完整性和不可抵赖性）的安全规则；第六部分——安全鉴别与确认报文（AUTACK）；第七部分——批式电子商务（机密性）的安全规则；第九部分——安全密钥和证书管理报告（KEYMAN）；第十部分——交互式电子商务的安全规则
 三、电子商务中的信息安全对策　　1.提高对网络信息安全重要性的认识。信息技术的发展，使网络逐渐渗透到社会的各个领域，在未来的军事和经济竞争与对抗中，因网络的崩溃而促成全部或局部的失败，决非不可能。我们在思想上要把信息资源共享与信息安全防护有机统一起来，树立维护信息安全就是保生存、促发展的观念。
 2.加强网络安全管理。我国网络安全管理除现有的部门分工外，要建立一个具有高度权威的信息安全领导机构。
 3.加快网络安全专业人才的培养。我国需要大批信息安全人才来适应新的网络安全保护形势。高素质的人才只有在高水平的研究教育环境中迅速成长，只有在高素质的队伍保障中不断提高。
 4.开展网络安全立法和执法。一是要加快立法进程，健全法律体系。自1973年世界上第一部保护计算机安全法问世以来，各国与有关国际组织相继制定了一系列的网络安全法规。
　 5.抓紧网络安全基础设施建设。一个网络信息系统，不管其设置有多少道防火墙，加了多少级保护或密码，只要其芯片、中央处理器等计算机的核心部件以及所使用的软件是别人设计生产的，就没有安全可言；这正是我国网络信息安全的致命弱点。
 6.把好网络建设立项关。我国网络建设立项时的安全评估工作没有得到应有重视，这给出现网络安全问题埋下了伏笔。在对网络的开放性、适应性、成熟性、先进性、灵活性、易操作性、可扩充性综合把关的同时，在立项时更应注重对网络的可靠性、安全性评估，力争将安全隐患杜绝于立项、决策阶段。  7.建立网络风险防范机制。在网络建设与经营中，因为安全技术滞后、道德规范苍白、法律疲软等原因，往往会使网络经营陷于困境，这就必须建立网络风险防范机制。  8.强化网络技术创新。如果在基础硬件、芯片方面不能自主，将严重影响我们对信息安全的监控。 9.注重网络建设的规范化。没有统一的技术规范，局部性的网络就不能互连、互通、互动，没有技术规范也难以形成网络安全产业规模。
 10.建设网络安全研究基地。应该把我国现有的从事信息安全研究、应用的人才很好地组织起来，为他们创造更优良的工作学习环境，调动他们在信息安全创新中的积极性。
11.促进网络安全产业的发展。扶持具有中国特色的信息安全产业的发展是振兴民族信息产业的一个切入点，也是维护网络安全的必要对策