电子商务安全论文篇（1）

伴随经济的迅猛发展，电子商务成为当今世界商务活动的新模式。要在国际竞争中赢得优势，必须保证电子商务中信息交流的安全。

一、电子商务的信息安全问题

电子商务信息安全问题主要有：

1.信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。2.信息的篡改：当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。4.交易抵赖：交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。

二、信息安全要求

电子商务的安全是对交易中涉及的各种信息的可靠性、完整性和可用性保护。信息安全包括以下几方面:

1.信息保密性：维护商业机密是电子商务推广应用的重要保障。由于建立在开放网络环境中，要预防非法信息存取和信息传输中被窃现象发生。2.信息完整性：贸易各方信息的完整性是电子商务应用的基础，影响到交易和经营策略。要保证网络上传输的信息不被篡改，预防对信息随意生成、修改和删除，防止数据传送中信息的失和重复并保证信息传送次序的统一。3.信息有效性：保证信息有效性是开展电子商务前提，关系到企业或国家的经济利益。对网络故障、应用程序错误、硬件故障及计算机病毒的潜在威胁控制和预防，以保证贸易数据在确定时刻和地点有效。4.信息可靠性：确定要交易的贸易方是期望的贸易方是保证电子商务顺利进行的关键。为防止计算机失效、程序错误、系统软件错误等威胁，通过控制与预防确保系统安全可靠。

三、信息安全技术

1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是“凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是“凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。

防火墙技术主要有：(1)包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2)服务技术：提供应用层服务控制，起到外部网络向内部网络申请服务时中间转接作用。服务还用于实施较强数据流监控、过滤、记录等功能。(3)状态监控技术：在网络层完成所有必要的包过滤与网络服务防火墙功能。(4)复合型技术：把过滤和服务两种方法结合形成新防火墙，所用主机称为堡垒主机，提供服务。(5)审计技术：通过对网络上发生的访问进程记录和产生日志，对日志统计分析，对资源使用情况分析，对异常现象跟踪监视。(6)路由器加密技术：加密路由器对通过路由器的信息流加密和压缩，再通过外部网络传输到目的端解压缩和解密。2.加密技术。为保证数据和交易安全，确认交易双方的真实身份，电子商务采用加密技术。数据加密是最可靠的安全保障形式和主动安全防范的策略。目前广泛应用的加密技术有：(1)公共密钥和私用密钥:也称RSA编码法。信息交换的过程是贸易方甲生成一对密钥并将其中一把作为公开密钥公开；得到公开密钥的贸易方乙对信息加密后再发给贸易方甲：贸易方甲用另一把专用密钥对加密信息解密。具有数字凭证身份人员的公共密钥在网上查到或请对方发信息将公共密钥传给对方，保证传输信息的保密和安全。(2)数字摘要:也称安全Hash编码法。将需加密的明文“摘要”成一串密文亦称数字指纹，有固定长度且不同明文摘要成密文结果不同，而同样明文摘要必定一致。这串摘要成为验证明文是否真身的“指纹”。(3)数字签名:将数字摘要、公用密钥算法两种加密方法结合。在书面文件上签名是确认文件的手段。签名作用有两点：一是因为自己签名难以否认，从而确认文件已签署；二是因为签名不易仿冒，从而确定文件为真。(4)数字时间戳:电子交易中文件签署日期和签名是防止交易文件被伪造和篡改的关键性内容，数字时间戳服务能提供电子文件发表时间的安全保护。

3.认证技术。安全认证的作用是进行信息认证。信息认证是确认信息发送者的身份，验证信息完整性，确认信息在传送或存储过程中未被篡改。(1)数字证书:也叫数字凭证、数字标识，用电子手段证实用户身份及对网络资源的访问权限，可控制被查看的数据库，提高总体保密性。交易支付过程中，参与各方必须利用认证中心签发的数字证书证明身份。(2)安全认证机构:电子商务授权机构也称电子商务认证中心。无论是数字时间戳服务还是数字证书发放，都需要有权威性和公正性的第三方完成。CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业机构，受理数字证书的申请、签发及对数字证书管理。

4.防病毒技术。(1)预防病毒技术，通过自身常驻系统内存，优先获取系统控制权，监视系统中是否有病毒，阻止计算机病毒进入计算机系统和对系统破坏。(2)检测病毒技术，通过对计算机病毒特征进行判断的侦测技术，如自身校验、关键字、文件长度变化。(3)消除病毒技术，通过对计算机病毒分析，开发出具有杀除病毒程序并恢复原文件的软件。另外要认真执行病毒定期清理制度，可以清除处于潜伏期的病毒，防止病毒突然爆发，使计算机始终处于良好工作状态。

四、结语

信息安全是电子商务的核心。要不断改进电子商务中的信息安全技术，提高电子商务系统的安全性和可靠性。但电子商务的安全运行，仅从技术角度防范远远不够，还必须完善电子商务立法，以规范存在的各类问题，引导和促进我国电子商务快速健康发展。

参考文献:

电子商务安全论文篇（2）

1．对称密钥加密体制

对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。

使用对称加密技术将简化加密的处理，每个参与方都不必彼此研究和交换专用设备的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。

2．非对称密钥加密体制

非对称密钥加密系统，又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作，一个公开，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。

在非对称加密体系中，密钥被分解为一对。这对密钥中的任何一把都可作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把则作为私用密钥（解密密钥）加以保存。私用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛。

该方案实现信息交换的过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密信息进行解密。

认证技术

安全认证的主要作用是进行信息认证。信息认证的目的为：（1）确认信息发送者的身份；2）验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。下面从安全认证技术和安全认证机构两个方面来做介绍。

1．常用的安全认证技

安全认证技术主要有数字摘要、数字信封、数字签名、数字时间戳、数字证书等。

（1）数字摘要

数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码，并在传输信息时将之加入文件一同送给接收方，接收方收到文件后，用相同的方法进行变换运算，若得到的结果与发送来的摘要码相同，则可断定文件未被篡改，反之亦然。

（2）数字信封

数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。在数字信封中，信息发送方采用对称密钥来加密信息，然后将此对称密钥用接收方的公开密钥来加密（这部分称为数字信封）之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。这种技术的安全性相当高。

（3）数字签名

日常生活中，通常用对某一文档进行签名来保证文档的真实有效性，防止其抵赖。在网络环境中，可以用电子数字签名作为模拟。

把Hash函数和公钥算法结合起来，可以在提供数据完整性的同时保证数据的真实性。完整性保证传输的数据没有被修改，而真实性则保证是由确定的合法者产生的Hash，而不是由其他人假冒。而把这两种机制结合起来就可以产生数字签名。

（4）数字时间戳

在书面合同中，文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。而在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务就能提供电子文件发表时间的安全保护。数字时间戳服务（DTS）是网络安全服务项目，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。

（5）数字证书

在交易支付过程中，参与各方必须利用认证中心签发的数字证书来证明各自的身份。所谓数字证书，就是用电子手段来证实一个用户的身份及用户对网络资源的访问权限。

数字证书是用来惟一确认安全电子商务交易双方身份的工具。由于它由证书管理中心做了数字签名，因此任何第三方都无法修改证书的内容。任何信用卡持有人只有申请到相应的数字证书，才能参加安全电子商务的网上交易。数字证书一般有四种类型：客户证书、商家证书、网关证书及CA系统证书。

2．安全认证机构

电子商务授权机构（CA）也称为电子商务认证中心（CertificateAuthority）。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是靠交易双方自己能完成的，而需要有一个具有权威性和公正性的第三方来完成。

认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。

安全认证协议

目前电子商务中有两种安全认证协议被广泛使用，即安全套接层SSL（SecureSocketsLayer）协议和安全电子交易SET（SecureElectronicTransaction）协议。

1．安全套接层（SSL）协议

安全套接层协议是由Netscape公司1994年设计开发的安全协议，主要用于提高应用程序之间的数据的安全系数。SSL协议的概念可以被概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和企业内联网的安全通信服务。

SSL采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥；在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。

电子商务安全论文篇（3）

2电子商务安全教学方法改革

目前电子商务安全课程在教学过程中，学生对教材的知识缺乏主动理解和接受，学习的兴趣和主动性不高。因此要对现有以教学大纲为主要目标的方法进行改革，能让学生融会贯通理论知识，主动思考问题，具有理解分析解决实际问题能力。本文提出电子商务安全课程在课堂讲授的进行：教师准备阶段，学生准备阶段，小组讨论阶段、集中讨论阶段和总结阶段。主要目的是使老师和学生在课堂上有较大的自我发挥空间。在教学法的五个阶段中，教师准备阶段和学生预备阶段是教学法中最为关键的环节。教师准备阶段：教师准备是教学的第一环节，也是为明确教学目而准备，是有序进行教学组织与设计的基础。明确教学目标后，就应选择合适教学背景，教学背景应且具有高启发性素材，并且满足教学目标切合实际的教学案例。对选择的教学案例或素材还需要对及进行典型化处理，最后准备在课堂上提出让学生思考的问题，引导介绍学生学习相关资料。学生预备阶段：课前让学生阅读典型化处理相关学习资料，老师指导学生查阅相关学习资料，让学生课前主动准备课堂讲授知识的信息，对老师提出的思考问题要求学生独立思考并形成初步的解决方法。小组讨论阶段：首先根据学生人数将学生分为3到5人小组，然后在小组范围内自行组织讨论，再确定小组成员的任务分工，最后形成小组在课堂上展示方案。课堂展示阶段：在时间控制在半个课时以内前提条件下各小组派代表对问题解决方案进行展示，其他小组对解决方法进行互动式提问和回答，这个过程需要教师加以正确引导。老师总结阶段：老师总结出意见比较集中的问题，针对重点问题组织大家集中讨论，并提出引导性建议扩展深化学生对有疑虑问题的理解。

3电子商务安全课程实践

传统的电子商务安全课程教学是以理论知识为中心的教育体系，对实践操作课程和技能的要求不高，很可能会导致学生在毕业后难以适应工作的要求，在现行教育模式中，用人单位也很难选择到合格的专业技术人才。为此，本课题对信息安全专业开设的电子商务安全课程特点及开发合适的教学模式，尤其是如何建立创新性实践教学体系进行了研究，以教学目标为指导、以社会需求为导向，开发以学生就业为宗旨的高技能型人才培养模式，根据电子商务安全课程特点，将信息安全未来发展的创新技术运用到电子商务安全教学方法中，建立较为全面的以人才培养目标为基础的创新环境和教学模式。另外，本课程实践教学内容的要求是让学生对电子商务安全和信息安全的理论和实践联系建立一个全面的知识结构。通过实践环节设置，让学生了解电子商务安全加密技术及使用技能；了解电子商务邮件和数字签名的联系及作用；熟练掌握电子商务安全协议的设置；掌握PKI的应用及数字证书的申请、安装和使用流程；熟悉基本的电子支付工具的使用。本课程的为实现实践培养目标对实验教学进行合理的安排。

电子商务安全论文篇（4）

电子商务是一个跨国界，跨地区，跨行业的多种技术综合集成与不同社会经济文化背景形成的各种习俗不断冲突，不断协调和不断统一的综合性社会系统工程。电子商务安全策略保障电子商务各个主体的切身利益。电子商务安全策略是以人为本，从各主体的角度思考，综合协调了各个市场主体的行为，从根本上保障了消费者、企业、电子商务网站等市场主体的切身利益，它为实现电子商务提供了统一的基础平台和安全屏障。

一、电子商务安全技术保障策略

安全技术保障技术是电子商务安全体系中的基本策略，目前相关的信息安全技术与专门的电子商务安全技术研究比较普遍和成熟。电子商务中常用到的安全技术有以下几种：

1.密码技术。密码技术包括加密技术和解密技术。加密是将信息经过加密密钥及加密函数转换，变成无意义的密文。而解密则是将密文经过解密函数、解密密钥处理还原成原文。密码技术是网络安全技术的基础。

2.身份验证技术。电子商务主体向系统证明自己身份，并由系统查核该主体的过程，是确认真实有效身份的重要环节，这个过程叫作身份验证。常用的验证技术有报文鉴别、身份鉴别和电子签名。

3.访问控制技术。访问控制是指对电子商务网络系统中各种资源访问时的权限确认，防止非法访问。它包括有关的策略、模型、机制的基础理论与实现方法。

4.防火墙技术。防火墙是用一组网络设备来加强一个网络与外界之间的访问控制。防火墙整体可以分为三大类：分组过滤、应用、电路网关。

二、企业电子商务安全运营管理制度保障策略

企业电子商务安全运营管理制度是用文字的形式对各项安全要求所做的规定，是保证企业取得电子商务成功的基础，是企业电子商务人员工作的规范和准则。这些制度主要包括人员管理制度，保密制度，跟踪审计制度，系统维护制度、数据备份制度等。

1.人员管理制度人员管理制度主要从人员的选拔，工作责任的落实和安全运作必须遵循的基本原则制定相应的工作制度。

2.保密制度电子商务系统涉及企业的市场、生产、财务、供应链等多方面的机密，这些方面都是需要很好地划分信息安全级别，并确定安全防范重点，提出相应的保密措施。

3.跟踪审计制度跟踪制度就是要求企业建立网络交易的日志机制，来记录网络交易的全过程。而审计制度是对系统日志的经常检查、审核，及时发现对系统有安全隐患的记录，监控各种安全事故，维护和管理系统日志。

4.网络系统的日常维护制度网络系统的日常维护包括硬件的日常维护和软件的日常维护，硬件维护主要是对网络设备服务器和客户机以及通信线路进行定期规范地巡查、检修；软件维护主要是规范地对支撑软件的定期清理和整理、监测、处理特殊情况以及对应用软件的升级等。

5.数据备份制度数据备份主要是利用多种介质对信息系统数据进行存储，定期为重要信息备份、系统设备备份，并定期更新，以减少安全事故发生时造成的损失。

三、电子商务立法策略

电子商务安全得到法律保障，首先必须完善电子商务安全相关的法律。如何构建一个有针对性的健全的法律体系是摆在我们面前的迫切问题。可以从立法目的、立法原则、立法范围和立法途径上分析。

1.立法目的电子商务安全立法的目的主要是要消除电子商务发展的法律障碍；消除现有法律适用上的不确定性，保护合理的商业行为，保障电子交易安全；建立一个清晰的法律框架以统一调整电子商务的健康发展。

2.立法范围电子商务安全方面需要的法律法规主要有：市场准入制度、合同有效认证办法、电子支付系统安全措施、信息保密防范办法，知识产权侵权处理规定、以及广告的管制、网络信息内容过滤等；电子商务调整的对象是电子商务中的各种社会关系。[3.立法途径电子商务法律仍然是调整社会关系，所以应当继承传统立法的合理内核，尤其是基础价值观。具体的立法途径主要是两种：第一是制定新的法律规范。对于传统法律没有规定的，即由电子商务带来的新的社会关系，应尽快制定法律规范；第二是修改或重新解释既定的法律规范。对于传统法律的规定不明确，或与电子商务新型社会关系有冲突甚至存在缺欠的，可以修改或重新解释既定的法律规范。

四、政府监督管理策略

电子商务本质是一种市场运作模式，市场的正常健康有序地发展，必须有政府宏观上的监督与管理，以协调和规范各市场主体的行为，宏观监督与管理电子商务运行中的安全保障体系。

1.计算机信息系统安全管理计算机信息系统，是指“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。”计算机安全保护规范主要有计算机安全等级保护制度，计算机系统使用单位安全负责制度，计算机案件强行报告制度，计算机病毒及其有害数据的专管制度与计算机信息安全专用产品销售许可证制度。对计算机信息系统安全的保护，有利于保障国家的安全和社会安定，促进电子商务的安全交易过程，有利电子商务的健康发展。

2.网络广告和网络服务业管理由于网络的开放性，自由性等特征决定了网络广告监管的难度，虚假广告、广告充斥着网络空间，网络广告已经发展成为一个社会问题。网络广告管理应该从三个方面入手：第一，网络广告组织的管理，必须对网站广告经营主体资格进行管制，第二，规范网络广告内容，确保广告内容的真实性、合法性和科学性。第三，需要有具体的广告审查管制、评估与监测部门。

国家针对网络服务业和网络用户管理已经颁布了《中华人民共和国计算机信息网络国际联网管理暂行规定》，其中提出了详细具体的限制条件。但是，网络飞速发展，面对网络中的新问题，还必须进一步深入全面地研究。

3.认证机构管理认证机构是电子商务活动中专门从事颁发认证证书的机构，对电子商务交易活动顺利进行，电子商务活动中交易参与各方身份和信息认定，维护交易安全具有重要作用。对认证机构的管理主要是通过对设立的条件、撤消或者颁发许可证等营业资格而进行审批监督；同时，还要针对其资产和财务状况定期审查，以免发生财务危机，对其信息披露与保密情况、安全系统运行情况等方面进行不定期或定期监督检查。

4.加强社会信用道德建设，构建和谐安全电子商务电子商务安全问题其中有很大部分是由电子商务用户或从业人员的信用道德问题引发的，在我国尤其严重，甚至大家感叹电子商务在我国“水土不服”。对于新型的商业运作模式，必然存在不少漏洞，这需要广大电子商务市场主体有良好的电子商务道德意识。除了从法律上采取措施，更重要的是政府要加强电子商务市场主体自身的道德建设,加强舆论监督和企业自律，充分利用网络新闻舆论监督，消费者舆论监督和行业协会的管理监督。

五、结束语

电子商务安全不仅涉及到电子商务公司、企业、消费者的利益，而且更加广泛地涉及经济、政治、国防、文化等诸多方面，关系到国家的安全、和社会的稳定。电子商务安全策略确保电子商务的快速、健康地发展。电子商务安全是目前电子商务发展的瓶颈，只有解决了电子商务安全，保障了市场主体的利益，才能得到网络用户的认可和参与，电子商务自身也才能得到快速、健康地发展。

参考文献

[1]林宁，吴志刚.我国信息安全技术标准化现状[J].中国标准化，2007（4）

电子商务安全论文篇（5）

一、电子商务网络信息安全存在的问题

电子商务的前提是信息的安全性保障，信息安全，胜的含义主要是信息的完整性、可用性、保密险和可靠性。因此电子商务活动中的信安全问题主要体现在以两个方面:

1、网络信息安全方面

(l)安全协议问题。目前安全协议还没有全球性的标准和规范，相对制约了国际性的商务活动。此外，在安全管理方面还存在很大隐患，普遍难以抵御黑客的攻击。

(3)防病毒问题。互联网的出现为电脑病毒的传播提供了最好的媒介，不少新病毒直接以网络作为自己的传播途径，在电子商务领域如何有效防范病毒也是一个十分紧迫的问题。

(4)服务器的安全问题。装有大量与电子商务有关的软件和商户信息的系统服务器是电子商务的核心，所以服务器特别容易受到安全的威胁，并且一旦出现安全问题，造成的后果会非常严重。

2、电子商务交易方面

(1)身份的不确定问题。由于电子商务的实现需要借助于虚拟的网络平台，在这个平台上交易双方是不需要见面的，因此带来了交易双方身份的不确定性。攻击者可以通过非法的手段盗窃合法用户的身份信息，仿冒合法用户的身份与他人进行交易。

(2)交易的抵赖问题。电子商务的交易应该同传统的交易一样具有不可抵赖性。有些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。

(3)交易的修改问题。交易文件是不可修改的，否则必然会影响到另一方的商业利益。电子商务中的交易文件同样也不能修改，以保证商务交易的严肃和公正。

二、电子商务中的网络信息安全对策

1、电子商务网络安全的技术对策

(1)应用数字签名。数字签名是用来保证信息传输过程中信息的完整和提供信息发送者身份的认证，应用数字签名可在电子商务中安全，方便地实现在线支付，而数据传输的安全性、完整性，身份验证机制以及交易的不可抵赖性等均可通过电子签名的安全认证手段加以解决。(2)配置防火墙。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。它能控制网络内外的信息交流，提供接人控制和审查跟踪，是一种访问控制机制。在逻辑，防火墙是一个分离器、限制器，能有效监控内部网和工nternet之间的任何活动，保证内部网络的安全。

(3)应用加密技术。密钥加密技术的密码体制分为对称密钥体制和公用密钥体制两。相应地，对数据加密的技术分为对称加密和非讨称力日密两类。根据电子商务系统的特点，全面加密保护应包括对远程通信过程中和网内通信过程中传输的数据实施加密保护。一般来说，应根据管理级别所对应的数据保密要求进行部分加密而非全程加密。

2、电子商务网络安全的管理策略

(1)建立保密制度。涉及信息保密、口令或密码保密、通信地址保密、日常管理和系统运行状况保密、工作日记保密等各个方面。对各类保密都需要慎重考虑，根据轻重程度划分好不同的保密级别，并制定出相应的保密措施。

(2)建立系统维护制度。该制度是电子商务网络系统能否保持长期安全、稳定运行的基本保证，应由专职网络管理技术人员承担，为安全起见，其他任何人不得介人，主要做好硬件系统日常借理维护和软件系统日常管理维护两方面的工作。

(3)建立病毒防范制度。病毒在网络环境下具有极大的传染性和危害性，除了安装防病毒软件之外，还要及时升级防病毒软件版本、及时通报病毒人侵信息等工作。此外，还可将网络系统中易感染病毒的文件属性、权限加以限制，断绝病毒人侵的渠道，从而达预防的目的。

(4)建立数据备份和恢复的保障制度。作为一个成功的电子商务系统，应针对信息安全至少提供三个层面的安全保护措施:一是数据在操作系统内部或者盘阵中实现快照、镜像;二是对数据库及邮件服务器等重要数据做到在电子交易中心内的自动备份;三是对重要的数据做到通过广域网专线等途径做好数据的克隆备份，通过以土保护措施可为系统数据安全提供双保险。

三、电子商务的网络安全体系结构

电子商务的网络信息安全不仅与技术有关，更与社会因素、法制环境等多方面因素有关。故应对电子商务的网络安全体系结构划分如下:

1.电子商务系统硬件安全。主要是指保护电子商务系统所涉及计算机硬件的安全性，保证其可靠哇和为系统提供基础性作用的安全机制。

2.电子商务系统软件安全。主要是指保证交易记录及相关数据不被篡改、破坏与非法复制，系统软件安全的目标是使系统中信息的处理和传输满足整个系统安全策略需求。

3.电子商务系统运行安全。主要指满足系统能够可靠、稳定、持续和正常的运行。

电子商务安全论文篇（6）

电子商务（ElectronicCommerce，简称E-commerce）是在因特网开放的网络环境下，基于浏览器或服务器应用方式，买卖双方不谋面地进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付，以及各种商务活动、交易活动、金融活动和相关的综合服务活动的一种新型的商业运营模式。

移动电子商务(M-Commerce)，它由电子商务(E-Commerce)的概念衍生出来，是通过手机、PDA（个人数字助理）、呼机等移动通信设备与因特网有机结合所进行的电子商务活动。移动电子商务能提供以下服务：PIM（个人信息服务）、银行业务、交易、购物、基于位置的服务、娱乐等。移动电子商务因其快捷方便、无所不在的特点，已经成为电子商务发展的新方向。因为只有移动电子商务才能在任何地方、任何时间，真正解决做生意的问题。

截至2008年4月，中国移动电话用户合计5.84亿，移动电话用户数与固定电话用户数的差距拉大到2.24亿户，移动电话用户在电话用户总数中所占的比重达到61.9%。移动电话普及率已达41.6%。

移动电子商务与传统的主要通过桌面电脑网络平台而运行和开展的电子商务相比，拥有更为广泛的潜在用户基础。当前，中国互联网用户虽然已经超过2亿，但同时手机用户却相比多了3亿多用户，此外根据资料还有数量庞大的PDA用户群，因此，移动电子商务具有比非移动电子商务更为广阔的市场前景。

2.移动电子商务信息系统安全概念

移动电子商务信息系统安全问题是动态发展的，如防范病毒的措施，往往不可能一次成功更不可能一劳永逸。由于移动电子商务信息系统是以移动通信网络与计算机网络共同构建的平台为商务活动平台，因此它不可避免面临着一系列的由移动通讯网络和计算机网络相关的安全问题。移动电子商务给商务活动带来了诸多便利，如缩短了商务活动时间、降低了商务成本、提高了响应市场的效率等等。计算机网络为主体的有线网络安全的技术手段并不能完全适用于无线的移动网络环境，由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序，因此，有效抵制手机病毒的防护软件目前还不是很成熟。

3.移动电子商务信息系统安全类型

移动电子商务信息系统安全威胁种类繁多，可以有多种可能的潜在面，既有蓄意违法而致的威胁；也有无意疏忽造成的安全漏洞。另外还有如：非法使用移动终端、移动通讯公司工作人员不慎泄露客户信息而致、窃听等均有可能导致不同程度和后果的移动电子商务安全威胁。大体我们可以分为以下几个情况：

第一，移动通讯网络本身导致重要商务信息外泄：移动无线信道是一个开放性的信道，它给移动无线用户带来通讯的自由和灵活性的同时，同时也伴随着很多不安全因素：如通讯双方商务内容容易被窃听、通讯双方的身份容易被假冒，以及通讯内容容易被篡改等。在移动无线通讯过程中，所有通讯内容（如：通话信息，身份信息，数据信息等）都是通过移动无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取移动无线信道上传输的内容。这对于移动无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。在移动电子商务信息系统中商业机密的泄漏表现，主要有两个方面：商务活动双方进行商务活动的核心机密内容被第三方意外获得或窃取;交易一方提供给另一方使用的商务文件被第三方非正常使用。

第二，移动通讯设备传播的病毒的侵犯：病毒是目前威胁移动电子商务用户的主要因素之一，随着移动网络应用的深入扩展，移动电子商务的规模愈趋增大，移动电子商务用户也越来越多地面临着各类病毒黑客攻击风险。与病毒齐名的是黑客侵扰和攻击，由于各种网络黑客应用软件工具的传播，黑客与黑客行为己经大众化了，他们利用操作系统和网络的漏洞、缺陷，从网络的外部非法侵入，进行侵扰和不法行为，对移动电子商务安全造成很大隐患。

第三，移动通讯网路漫游而致的威胁：无线网路中的危害安全者不需要寻找攻击对象，攻击对象在某种条件下会漫游到攻击者所在的小区。在终端用户不知情的情况下，信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险，没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立，使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书,攻击者可以利用该漏洞来获利。

第四，垃圾信息（或称垃圾短信）：在移动通讯系统及设备带给广大人们便利和效率的同时，也带来了很多烦恼，其中尤其难以控制的就是铺天盖地而来的垃圾短信广告打扰着我们的生活、工作和学习。在移动用户进行商业交易时，会把手机号码留给对方。有的移动用户喜欢把手机号码公布在网上。这些都是其他公司获取大量手机用户号码的渠道所在。垃圾短信使得人们对移动电子商务充满不信任和反感，而不敢在网络上使用自己的移动设备从事商务活动。

二、提升移动电子商务信息系统安全的趋势与必然性

1.移动商务是电子商务发展的必然趋势

在未来几年中，伴随着无线网络的日益普及，移动计算设备将变得很普及。计算机技术和无线技术的结合将成为最终趋势，电子商务也将向移动商务过渡。中国在电子商务的发展方面要落后于发达国家，但随着观念的改变和技术的进步，中国越来越多地参与到世界经济发展的各个环节。中国要想在商务模式变革的过程中取得成功，关键是要准确分析市场趋势并把握市场先机。移动商务中关键的一点以用户为中心，如果能成功把握住移动个性化方面的市场先机，则完全有可能成为移动商务的规则制订者，从而摆脱以往的模仿。

2.我国高速发展的移动通讯网络要求提升移动电子商务信息系统安全性

2007年，全国电话用户新增8389.1万户，总数突破9亿户，达到91273.4万户。移

动电话用户在电话用户总数中所占的比重达到60.0%，移动电话用户与固定电话用户的差距拉大到18183.8万户。

2007年12月中国互联网络信息中心（CNNIC）《第21次中国互联网络发展状况统计报告》。报告显示，截至2007年底，我国网民人数达到了2.1亿，占中国人口总数的16%。调查反映出基于网络的商务安全问题，调查网民对互联网最反感的方面是：网络病毒29.8%，网络入侵或攻击（有木马）17.3%等。可以说我国2亿多网民在网络上，信息安全问题是比较普遍的，因此，我国高速发展的互联网络客观上也要求提升商务信息系统安全。

美国安全软件公司McAfee2008年公布的最新调查结果显示，虽然手机病毒和攻击现在还不普遍，但随着越来越多的用户通过手机访问互联网和下载文件，手机病毒出现的概率将越来越大。McAfee公司公布的调查结果显示，只有2.1%的被调查者曾经自己遭遇手机病毒，而听说过其他手机用户遭遇病毒的被调查者也只有11.6%。McAfee在英国、美国和日本共调查了2000名手机用户，结果发现86.3%的用户对于手机病毒没有任何概念。

当前我国移动用户数保持世界第一，网民数为世界第二，我国高速发展的移动通讯网络要求提升移动电子商务信息系统安全性。

3.利用加密函数技术加强和完善高效高安全性的移动电子商务信息系统

在这个网络互联技术、移动通讯技术告诉前行的时代，信息安全尤其是电子商务信息的保密工作变得越来越至关重要，这无疑给密码学的研究带来了巨大推动。为提高移动通讯网络与互联网为平台的移动电子商务服务质量，维护移动电子商务信息提供者的权益，信息安全越来越得到人们的关注。笔者认为，研究布尔函数各种性质，特别是研究对抵抗相关攻击的相关免疫函数类、抗线性分析的Hent函数与Hash函数，无疑是具有很强的现实意义的。

(1)Hash函数加密技术概述及应用

Hash函数加密技术主要用于信息安全领域中加密算法，它能把一些不同长度的信息转化成杂乱的128位的编码里，叫做HASH值。Hash就是为了找到一种数据内容和数据存放地址之间的映射关系密码学上的Hash函数是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。Hash函数可用于数字签名、消息的完整性检测、消息的起源认证检测等。安全的Hash函数的存在性依赖于单项函数的存在性。Hash算法被普遍应用于数字安全的几乎所有方面，如登录办公室局域网、进入个人邮箱和安全页面都要用它来保护用户的密码；电子签名系统利用它来认证客户及其发来的信息。

(2)bent函数加密技术概述及应用

在密码学中，为了抵抗最佳线性逼近，人们引人了Bent函数的概念，bent函数具有最高非线性度，在密码、编码理论等方面理论中有着重要应用，因而成为当前密码学界研究信息安全保密技术的热点。对Bent函数的构造可以分为间接构造和直接构造。直接构造方法主要有2种：一种是MM类；另一种是PS类，这两种属于直接构造方法。bent函数具有最高的非线性度，但它的相关免疫阶为0，为了使bent具有更好的密码学性质和实际应用价值，学者们提出了bent函数的变种，如Hyper-bent，Semi-bent等。

总之，移动电子商务信息系统安全是个多角度、多因素、多学科的问题，它不单要求从保密安全技术方面，同时也要求我们从技术之外的社会等因素考虑解决。

参考文献：

[1]赵永刚:解析“三角经营商法”[J].商场现代化,2004(15)

[2]姬志刚:计算机、网络与信息社会.科技咨询导报[J].2006(20)

[3]邱显杰:关于Bent函数的研究.湘潭大学[D],2002

[4]戴方虎等:Internet的移动访问技术研究.计算机科学，2000（3）

[5]肖皇培张国基:基于Hash函数的报文鉴别方法[J].计算机工程,2007,(06)

电子商务安全论文篇（7）

随着电子商务技术的发展,网络交易安全成为了电子商务发展的核心和关键问题。在利益驱使下,有些商家在网络应用者不知情或不情愿的情况下,采取各种技术手段取得和利用其信息,侵犯了上网者的隐私权。对网络隐私权的有效保护,成为电子商务顺利发展的重要市场环境条件。

一、网络隐私权侵权现象

1.个人的侵权行为。个人未经授权在网络上宣扬、公开、传播或转让他人、自己和他人之间的隐私;个人未经授权而进入他人计算机系统收集、获得信息或骚扰他人;未经授权截取、复制他人正在传递的电子信息;未经授权打开他人的电子邮箱或进入私人网上信息领域收集、窃取他人信息资料。

2.商业组织的侵权行为。专门从事网上调查业务的商业组织进行窥探业务,非法获取他人信息,利用他人隐私。大量网站为广告商滥发垃圾邮件。利用收集用户个人信息资料,建立用户信息资料库,并将用户的个人信息资料转让、出卖给其他公司以谋利,或是用于其他商业目的。根据纽约时报报道,、Toysmart和等网站,都曾将客户姓名、住址、电子邮件甚至信用卡号码等统计分析结果标价出售,以换取更多的资金。

3.部分软硬件设备供应商的蓄意侵权行为。某些软件和硬件生产商在自己销售的产品中做下手脚,专门从事收集消费者的个人信息的行为。例如,某公司就曾经在其生产的某代处理器内设置“安全序号”,每个使用该处理器的计算机能在网络中被识别,生产厂商可以轻易地收到用户接、发的信息,并跟踪计算机用户活动,大量复制、存储用户信息。

4.网络提供商的侵权行为

(1)互联网服务提供商(ISPInternetServiceProvider)的侵权行为:①ISP具有主观故意(直接故意或间接故意),直接侵害用户的隐私权。例:ISP把其客户的邮件转移或关闭,造成客户邮件丢失、个人隐私、商业秘密泄露。②ISP对他人在网站上发表侵权信息应承担责任。

(2)互联网内容提供商(ICPInternetContentProvider)的侵权行为。ICP是通过建立网站向广大用户提供信息,如果ICP发现明显的公开宣扬他人隐私的言论,采取放纵的态度任其扩散,ICP构成侵害用户隐私权,应当承担过错责任。

5.网络所有者或管理者的监视及窃听。对于局域网内的电脑使用者,某些网络的所有者或管理者会通过网络中心监视使用者的活动,窃听个人信息,尤其是监控使用人的电子邮件,这种行为严重地侵犯了用户的隐私权。

二、网络隐私权问题产生的原因

网络隐私权遭受侵犯主要是由于互联网固有的结构特性和电子商务发展导致的利益驱动这两个方面的原因。

1.互联网的开放性。从网络本身来看,网络是一个自由、开放的世界,它使全球连成一个整体,它一方面使得搜集个人隐私极为方便,另一方面也为非法散布隐私提供了一个大平台。由于互联网成员的多样和位置的分散,其安全性并不好。互联网上的信息传送是通过路由器来传送的,而用户是不可能知道是通过哪些路由进行的,这样,有些人或组织就可以通过对某个关键节点的扫描跟踪来窃取用户信息。也就是说从技术层面上截取用户信息的可能性是显然存在的。

2.网络小甜饼cookie。某些Web站点会在用户的硬盘上用文本文件存储一些信息,这些文件被称为Cookie,包含的信息与用户和用户的爱好有关。现在的许多网站在每个访客进入网站时将cookie放入访客电脑,不仅能知道用户在网站上买了些什么,还能掌握该用户在网站上看过哪些内容,总共逗留了多长时间等,以便了解网站的流量和页面浏览数量。另外,网络广告商也经常用cookie来统计广告条幅的点击率和点击量,从而分析访客的上网习惯,并由此调整广告策略。一些广告公司还进一步将所收集到的这类信息与用户在其他许多网站的浏览活动联系起来。这显然侵犯了他人的隐私。

3.网络服务提供商(ISP)在网络隐私权保护中的责任。ISP对电子商务中隐私权保护的责任,包括:在用户申请或开始使用服务时告知使用因特网可能带来的对个人权利的危害;告知用户可以合法使用的降低风险的技术方法;采取适当的步骤和技术保护个人的权利,特别是保证数据的统一性和秘密性,以及网络和基于网络提供的服务的物理和逻辑上的安全;告知用户匿名访问因特网及参加一些活动的权利;不为促销目的而使用数据,除非得到用户的许可;对适当使用数据负有责任,必须向用户明确个人权利保护措施;在用户开始使用服务或访问ISP站点时告知其所采集、处理、存储的信息内容、方式、目的和使用期限;在网上公布数据应谨慎。

目前,网上的许多服务都是免费的,如免费电子邮箱、免费下载软件、免费登录为用户或会员以接收一些信息以及一些免费的咨询服务等,然而人们发现在接受这些免费服务时,必经的一道程序就是登录个人的一些资料,如姓名、地址、工作、兴趣爱好等,服务提供商会声称这是为了方便管理,但是,也存在着服务商将这些信息挪作他用甚至出卖的可能。

三、安全技术对网络隐私权保护

1.电子商务中的信息安全技术

电子商务的信息安全在很大程度上依赖于安全技术的完善,这些技术包括:密码技术、鉴别技术、访问控制技术、信息流控制技术、数据保护技术、软件保护技术、病毒检测及清除技术、内容分类识别和过滤技术、系统安全监测报警技术等。

(1)防火墙技术。防火墙(Firewall)是近年来发展的最重要的安全技术,它的主要功能是加强网络之间的访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络(被保护网络)。

(2)加密技术。数据加密被认为是最可靠的安全保障形式,它可以从根本上满足信息完整性的要求,是一种主动安全防范策略。数据加密原理是利用一定的加密算法,将明文转换成为无意义的密文,阻止非法用户理解原始数据,从而确保数据的保密性。

(3)数字签名技术。数字签名(Digital??Signature)技术是将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。在电子商务安全保密系统中,数字签名技术有着特别重要的地位,在电子商务安全服务中的源鉴别、完整、不可否认服务中都要用到数字签名技术。

(4)数字时间戳技术。在电子商务交易的文件中,时间是十分重要的信息,是证明文件有效性的主要内容。在签名时加上一个时间标记,即有数字时间戳(DigitaTime-stamp)的数字签名方案:验证签名的人或以确认签名是来自该小组,却不知道是小组中的哪一个人签署的。指定批准人签名的真实性,其他任何人除了得到该指定人或签名者本人的帮助,否则不能验证签名。

2.电子商务信息安全协议

(1)安全套接层协议(SecureSocketsLayer,SSL)。SSL是由NetscapeCommunication公司1994年设计开发的,主要用于提高应用程序之间的数据的安全系数。SSL的整个概念可以被总结为:一个保证任何安装了安全套接层的客户和服务器之间事务安全的协议,该协议向基于TCP/IP的客户、服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。

(2)安全电子交易公告(SecureElectronicTransactions,SET)。SET是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。SET在保留对客户信用卡认证的前提下,又增加了对商家身份的认证。SET已成为全球网络的工业标准。

(3)安全超文本传输协议(S-HTTP)。依靠密钥的加密,保证Web站点间的交换信息传输的安全性。SHTTP对HT-TP的安全性进行了扩充,增加了报文的安全性,是基于SSL技术上发展的。该协议向互联网的应用提供完整性、可鉴别性、不可抵赖性及机密性等安全措施。

(4)安全交易技术协议(STT)。STT将认证与解密在浏览器中分离开,以提高安全控制能力。

(5)UN/EDIFACT标准。UN/EDIFACT报文是唯一的国际通用的电子商务标准。

3.P2P技术与网络信息安全。P2P(Peer-to-Peer,即对等网络)是近年来广受IT业界关注的一个概念。P2P是一种分布式网络,最根本的思想,同时它与C/S最显著的区别在于网络中的节点(peer)既可以获取其它节点的资源或服务,同时,又是资源或服务的提供者,即兼具Client和Server的双重身份。一般P2P网络中每一个节点所拥有的权利和义务都是对等的,包括通讯、服务和资源消费。

(1)隐私安全性

①目前的Internet通用协议不支持隐藏通信端地址的功能。攻击者可以监控用户的流量特征,获得IP地址。甚至可以使用一些跟踪软件直接从IP地址追踪到个人用户。SSL之类的加密机制能够防止其他人获得通信的内容,但是这些机制并不能隐藏是谁发送了这些信息。而在P2P中,系统要求每个匿名用户同时也是服务器,为其他用户提供匿名服务。由于信息的传输分散在各节点之间进行而无需经过某个集中环节,用户的隐私信息被窃听和泄漏的可能性大大缩小。P2P系统的另一个特点是攻击者不易找到明确的攻击目标,在一个大规模的环境中,任何一次通信都可能包含许多潜在的用户。

②目前解决Internet隐私问题主要采用中继转发的技术方法,从而将通信的参与者隐藏在众多的网络实体之中。而在P2P中,所有参与者都可以提供中继转发的功能,因而大大提高了匿名通讯的灵活性和可靠性,能够为用户提供更好的隐私保护。

(2)对等诚信

为使得P2P技术在更多的电子商务中发挥作用,必须考虑到网络节点之间的信任问题。实际上,对等诚信由于具有灵活性、针对性并且不需要复杂的集中管理,可能是未来各种网络加强信任管理的必然选择。

对等诚信的一个关键是量化节点的信誉度。或者说需要建立一个基于P2P的信誉度模型。信誉度模型通过预测网络的状态来提高分布式系统的可靠性。一个比较成功的信誉度应用例子是在线拍卖系统eBay。在eBay的信誉度模型中,买卖双方在每次交易以后可以相互提升信誉度,一名用户的总的信誉度为过去6个月中这些信誉度的总和。eBay依靠一个中心来管理和存储信誉度。同样,在一个分布式系统中,对等点也可以在每次交易以后相互提升信誉度,就象在eBay中一样。例如,对等点i每次从j下载文件时,它的信誉度就提升(+1)或降低(-1)。如果被下载的文件是不可信的,或是被篡改过的,或者下载被中断等,则对等点i会把本次交易的信誉度记为负值(-1)。就象在eBay中一样,我们可以把局部信誉度定义为对等点i从对等点j下载文件的所有交易的信誉度之和。

每个对等点i可以存贮它自身与对等点j的满意的交易数,以及不满意的交易数,则可定义为:

Sij=sat(i,j)-unsat(i,j)

四、电子商务中的隐私安全对策

1.加强网络隐私安全管理。我国网络隐私安全管理除现有的部门分工外,要建立一个具有高度权威的信息安全领导机构,才能有效地统一、协调各部门的职能,研究未来趋势,制定宏观政策,实施重大决定。

2.加快网络隐私安全专业人才的培养。在人才培养中,要注重加强与国外的经验技术交流,及时掌握国际上最先进的安全防范手段和技术措施,确保在较高层次上处于主动。

3.开展网络隐私安全立法和执法。加快立法进程,健全法律体系。结合我国实际,吸取和借鉴国外网络信息安全立法的先进经验,对现行法律体系进行修改与补充,使法律体系更加科学和完善。

4.抓紧网络隐私安全基础设施建设。国民经济要害部门的基础设施要通过建设一系列的信息安全基础设施来实现。为此,需要建立中国的公开密钥基础设施、信息安全产品检测评估基础设施、应急响应处理基础设施等。

5.建立网络风险防范机制。在网络建设与经营中,因为安全技术滞后、道德规范苍白、法律疲软等原因,往往会使电子商务陷于困境,这就必须建立网络风险防范机制。建议网络经营者可以在保险标的范围内允许标保的财产进行标保,并在出险后进行理赔。

6.强化网络技术创新,重点研究关键芯片与内核编程技术和安全基础理论。统一组织进行信息安全关键技术攻关,以创新的思想,超越固有的约束,构筑具有中国特色的信息安全体系。

7.注重网络建设的规范化。没有统一的技术规范,局部性的网络就不能互连、互通、互动,没有技术规范也难以形成网络安全产业规模。目前,国际上出现许多关于网络隐私安全的技术规范、技术标准,目的就是要在统一的网络环境中保证隐私信息的绝对安全。我们应从这种趋势中得到启示,在同国际接轨的同时,拿出既符合国情又顺应国际潮流的技术规范。

参考文献:

[1]屈云波.电子商务[M].北京:企业管理出版社,1999.

[2]赵立平.电子商务概论[M].上海:复旦大学出版社,2000.

电子商务安全论文篇（8）

近年来，计算机网络与信息技术的迅速发展，带动了电子商务行业的推广。电子商务活动触伸到生活的各个领域，例如虚拟企业、虚拟银行、网上购物、网络营销、网络支付以及网络广告等一些新的业务正在被人们所熟悉和认同。电子商务改变了传统商务的运作模式，作为一种全新的商业应用模式，极大地提高了工作效率，同时降低了交易成本。但是，由于互联网的开放性和天然的脆弱性，网络安全问题成为制约着电子商务发展的瓶颈。所以，搭建一个安全可靠的商务平台，成为电子商务发展的关键问题。

一、电子商务面临的安全问题

电子商务活动中有大量的数据需要传输与存储，数据传输依靠互联网技术，而互联网是一个天然脆弱和不安全的网络，数据容易丢失和被截获。而数据的存储主要依靠数据库技术，数据库也是非法分子常常入侵和破坏的对象。所以网络通信安全与数据库安全，是电子商务长期面临的的主要问题。

1.数据库安全。企业在电子商务活动中产生的大量数据是他们进行不间断经营的重要支撑，产品数据资料、客户关系管理都涉及到庞大的数据群。采用流行的关系型数据库进行数据存储与管理，是电子商务企业必要的选择。但是网络黑客从未间断过对企业数据库的攻击，一旦他们窃取到企业数据库的访问权、管理权，就可以获得他们想要的数据，甚至篡改或删除这些对企业来说至关重要的数据。

2.网络通信安全。数据传输过程中容易丢失、损坏或被黑客篡改、窃取，所以首先要保证通信线路的安全可靠性，采用性能稳定的设备和较为强大的软件来保证传输稳定性。其次为了防止黑客攻击，例如木马、病毒等程序，要再传输过程中使用数据加密及数字签名等技术保障数据的安全性。

二、电子商务安全策略

1.虚拟专用网(VPN)

由于TCP/IP协议的不安全性，对电子商务安全无有效的认证机制，真实性难有保证；缺乏保密机制，网上数据隐私性不能得到保护；不能提供对网上数据流的完整性保护等问题。因此，在电子商务中通常采用VPN技术，通过加密和验证网络流量来保护在公共网络上传输私有信息，而不会被窃取或篡改。对于用户来说，就象使用他们自己的私有网络一样。

2.加密(Encryption)技术

加密技术是电子商务采取的主要安全保密措施，是最常用的安全保密手段，利用技术手段把重要的数据变为乱码(加密)传送，到达目的地后再用相同或不同的手段还原(解密)。加密技术包括两个元素：算法和密钥。算法是将普通的文本(或者可以理解的信息)与一窜数字(密钥)的结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解码的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技术分为两类，即对称加密(私人密钥加密)和非对称加密(公开密钥加密)。对称加密以数据加密标准(DES，DataEncryptionStandard)算法为典型代表，非对称加密通常以RSA(RivestShamirAd1eman)算法为代表。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。

3.数字信封技术

数字信封中采用了单钥密码体制和公钥密码体制。信息发送者首先利用随机产生的对称密码加密信息，再利用接收方的公钥加密对称密码，被公钥加密后的对称密码称之为数字信封。信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，再利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和完整性。

4.认证技术

CA认证中心。它为电子商务环境中各个实体颁发数字证书，以证明各实体身份的真实性，并负责在交易中检验和管理证书。它是电子商务及网上银行操作中，具有权威性、可信赖性及公正性的第三方机构。如中国金融认证中心(CFCA)。

有关的认证技术包括数字签名与数字证书。数字签名是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对数字签名进行解密，获得哈希摘要。并将收到的原始数据产生的哈希摘要与获得的哈希摘要相对照，便可确信原始信息是否被篡改，这样就保证了数据传输的不可否认性。数字证书是各类实体(持卡人/个人、商户/企业、网关/银行等)在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方证书的有效性，从而解决相互间的信任问题。证书是一个经证书认证中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

5.防火墙技术

防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器、一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。

三、结束语

信息安全是电子商务生存和发展的关键要素，随着科技信息技术的不断发展，电子商务平台的安全性和管理策略将不断改进和完善。电子商务活动的安全开展，单是从技术角度防范是远远不够的，还必须通过完善电子商务法律和政策来正确引导和促进我国电子商务的快速健康发展。我国电子商务处于初级普及阶段，需要政府加强对电子商务的研究，建立和规范电子商务的法律框架，促使电子商务实现公开化，合理化、合法化。而企业也必须对其内部所有员工进行信息安全意识教育，充分理解信息安全对企业开展电子商务活动的重要性，还必须通过专业人员对网站进行安全分析、风险评估。在运行效率分析的基础上，制定出完整、严谨的安全解决方案。并针对电子商务活动中存在的不安全因素采取适当的防范措施，例如硬件的电源故障可以通过设置不间断电源来解决，软件漏洞问题可通过针对性的设置加以弥补。随着新技术的发明和应用，电子商务中存在的通信安全问题与数据存储安全问题都将得到解决。在网络中没有绝对的安全只有相对的安全，只要企业始终采用新技术，并积极防御最新的网络威胁和攻击，电子商务带给企业的好处必将大大超越它所带来的风险。

参考文献：

电子商务安全论文篇（9）

移动电子商务（M-Commerce），是通过手机、PDA（个人数字助理）、呼机等移动通信设备与因特网有机结合所进行的电子商务活动。移动电子商务能提供以下服务：PIM（个人信息服务）、银行业务、交易、购物、基于位置的服务、娱乐等。

移动电子商务因其快捷方便、无所不在的特点，已经成为电子商务发展的新方向。因为只有移动电子商务才能在任何地方、任何时间，真正解决做生意的问题。

但是对于任何通过无线网路（如:GSM网路）进行金融交易的用户，安全和隐私问题无疑是其关注的焦点。由于移动电子商务的特殊性，移动电子商务的安全问题尤其显得重要。尤其对于有线电子商务用户来说，通常认为物理线缆能带来更好的安全性，从而排斥使用移动电子商务。移动电子商务是一个系统工程，本文从技术、安全、隐私和法制等方面讨论了移动商务的展所面临的种种问题，并指出这些问题的有效解决是建设健康、安全的移动电子商务的重要保证。

一、移动通信新技术的驱动

1.无线应用协议（WAP）

无线应用协议WAP是无线通信和互联网技术发展的产物，它不仅为无线设备提供丰富的互联网资源，也提供了开发各种无线网路应用的途径。1998年，WAP论坛公布了WAP1.0版本，制定了一套专门为移动互联网而设计的应用协议，具有良好的开放性和互通性。随着移动通信网传输速率的显著提高，WAP论坛于2001年颁布了WAP2.0版本，该版本增加了对HTTP、TLS和TCP等互联网协议的支持，WAP的工作大大简化。WAP2.0模式有利于实现电子商务所需的端到端安全性，可以提供TLS隧道。

2.移动IP技术

移动IP技术，是指移动用户可在跨网络随意移动和漫游中，使用基于TCP/IP协议的网络时，不用修改计算机原来的IP地址，同时，也不必中断正在进行的通信。移动IP通过AAA（Authentication,Authorization,Accounting)机制，实现网络全方位的安全移动或者漫游功能。移动IP在一定程度上能够很好地支持移动商务的应用。

3.第三代（3G）移动通信系统

第三代移动通信系统，简称3G，是指将无线通信与互联网等多媒体通信结合的移动通信系统。它能够处理图像、话音、视频流等多种媒体形式，提供包括网页浏览、电话会议、电子商务等多种信息服务。与2G相比，3G产品可提供数据速率高达2Mbps的多媒体业务。在我国，以TD-SCDMA技术为基础的3G基础设施和产品的建设和研制发展迅速，我国发展3G的条件已经基本具备。由于3G带来的高速率、移动性和高安全性等特点，必然会给移动电子商务的应用带来巨大商机。

4.无线局域网（WLAN）技术

美国电子电器工程师协会IEEE在1991年就启动了WLAN标准工作组，称为IEEE802.11，并在1997年产生了WLAN标准－IEEE802.11，后来又相继推出了IEEE802.11a,IEEE802.11b和IEEE802.11g等一系列新的标准。802.11WLAN标准自公布之日起，安全问题一直是其被关注的焦点问题。802.11b采用了基于RC4算法的有线对等保密（WEP）机制，为网络业务流提供安全保障，但其加密和认证机制都存在安全漏洞。802.11i是2004年6月批准的WLAN标准，其目的是解决802.11标准中存在的安全问题。802.11i应用TKIP（Temporalkeyintegrityprotocol）加密算法和基于AES高级加密标准的CBC-MACProtocol(CCMP)。其中TKIP仍然采用RC4作为其加密算法，可以向后兼容802.11a/b/g等硬件设备。中国宽带无线IP标准工作组制订了WLAN国家标准GB15629.11，定义了无线局域网鉴别与保密基础结构WAPI，大大减少了WLAN中的安全隐患。

二、移动电子商务面临的安全威胁

尽管移动电子商务给工作效率的提高带来了诸多优势（如：减少了服务时间，降低了成本和增加了收入），但安全问题仍是移动商务推广应用的瓶颈。有线网络安全的技术手段不完全适用于无线设备，由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序。例如：目前还没有有效抵制手机病毒的防护软件。

1.网络本身的威胁

无线通信网络可以不像有线网络那样受地理环境和通信电缆的限制就可以实现开放性的通信。无线信道是一个开放性的信道，它给无线用户带来通信自由和灵活性的同时，也带来了诸多不安全因素：如通信内容容易被窃听、通信双方的身份容易被假冒，以及通信内容容易被篡改等。在无线通信过程中，所有通信内容（如：通话信息，身份信息，数据信息等）都是通过无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取无线信道上传输的内容。这对于无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。

2.无线adhoc应用的威胁

除了互联网在线应用带来的威胁外，无线装置给其移动性和通信媒体带来了新的安全问题。考虑无线装置可以组成adhoc网路。Adhoc网络和传统的移动网络有着许多不同，其中一个主要的区别就是AdHoc网络不依赖于任何固定的网络设施，而是通过移动节点间的相互协作来进行网络互联。由于其网络的结构特点，使得AdHoc网络的安全问题尤为突出。Adhoc网路的一个重要特点是网络决策是分散的，网络协议依赖于所有参与者之间的协作。敌手可以基于该种假设的信任关系入侵协作的节点。

3.网路漫游的威胁

无线网路中的攻击者不需要寻找攻击目标，攻击目标会漫游到攻击者所在的小区。在终端用户不知情的情况下，信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险，没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立，使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书。攻击者可以利用该漏洞来获利。

4.物理安全

无线设备另一个特有的威胁就是容易丢失和被窃。因为没有建筑、门锁和看管保证的物理边界安全和其小的体积，无线设备很容易丢失和被盗窃。对个人来说，移动设备的丢失意味着别人将会看到电话上的数字证书，以及其他一些重要数据。利用存储的数据，拿到无线设备的人就可以访问企业内部网络，包括Email服务器和文件系统。目前手持移动设备最大的问题就是缺少对特定用户的实体认证机制。

三、移动商务面临的隐私和法律问题

1.垃圾短信息

在移动通信给人们带来便利和效率的同时，也带来了很多烦恼，遍地而来的垃圾短信广告打扰着我们的生活。在移动用户进行商业交易时，会把手机号码留给对方。通过街头的社会调查时，也往往需要被调查者填入手机号码。甚至有的用户把手机号码公布在网上。这些都是公司获取手机号码的渠道。垃圾短信使得人们对移动商务充满恐惧，而不敢在网络上使用自己的移动设备从事商务活动。目前，还没有相关的法律法规来规范短信广告，运营商还只是在技术层面来限制垃圾短信的群发。目前，信息产业部正在起草手机短信的规章制度，相信不久的将来会还手机短信一片绿色的空间。

2.定位新业务的隐私威胁

定位是移动业务的新应用，其技术包括:全球定位系统，该种技术利用24颗GPS卫星来精确（误差在几米之内）定位地面上的人和车辆；基于手机的定位技术TOA，该技术根据从GPS返回响应信号的时间信息定位手机所处的位置。定位在受到欢迎的同时，也暴露了其不利的一面——隐私问题。移动酒吧就是一个典型的例子，当你在路上时，这种服务可以在你的PDA上列出离你最近的5个酒吧的位置和其特色。或者当你途经一个商店时，会自动向你的手机发送广告信息。定位服务在给我们带来便利的同时，也影响到了个人隐私。利用这种技术，执法部门和政府可以监听信道上的数据，并能够跟踪一个人的物理位置。

3.移动商务的法律保障

电子商务的迅猛发展推动了相关的立法工作。2005年4月1日，中国首部真正意义上的信息化法律《电子签名法》正式实施，电子签名与传统的手写签名和盖章将具有同等的法律效力，标志着我国电子商务向诚信发展迈出了第一步。《电子签名法》立法的重要目的是为了促进电子商务和电子政务的发展，增强交易的安全性。

参考文献：

电子商务安全论文篇（10）

电子商务以电子形式取代了纸张，如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

2.信息机密性

电子商务作为贸易的一种手段，其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的，商业防泄密是电子商务全面推广应用的重要保障。

3.信息完整性

电子商务简化了贸易过程，减少了人为的干预，同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各信息的差异。因此，电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

4.信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝；不可抵赖性要求即是能建立有效的责任机制，防止实体否认其行为；可鉴别性要求即是能控制使用资源的人或实体的使用方式。

5.系统的可靠性

电子商务系统是计算机系统，其可靠性是防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失误或失效。

二、电子商务的信息安全技术

1.数据加密技术

加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。面向网络的加密技术通常工作在网络层或传输层，使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息，从而保证网络的连通性和可用性不受损害。面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法，这一类加密技术的优点在于实现相对较为简单，不需要对电子信息（数据包）所经过的网络的安全性能提出特殊要求，对电子邮件数据实现了端到端的安全保障。

1）电子商务领域常用的加密技术数字摘要(digitaldigest)

这一加密方法亦称安全Hash编码法，由RonRivest所设计。该编码法采用单向Hash函数将需加密的明文“摘要”成一串128bit的密文，这一串密文亦称为数字指纹(FingerPrint)，它有固定的长度，且不同的明文摘要成密文，其结果总是不同的，而同样的明文其摘要必定一致。这样这串摘要便可成为验证明文是否是“真身”的“指纹”了。

数字签名(digitalsignature)

数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。主要方式是报文的发送方从报文文本中生成一个128位的散列值(或报文摘要)，用自己的私有密钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报文中计算出128位的散列值，接着再用发送方的公开密钥来对报文附加的数字签名进行解密，如果两个散列值相同，那么接收方就能确认该数字签名是发送方的，通过数字签名能够实现对原始报文的鉴别。概括的说，签名的作用有两点，一是因为自己的签名难以否认，从而确认了文件已签署这一事实；二是因为签名不易仿冒，从而确定了文件是真的这一事实。

数字时间戳(digitaltime-stamp)交

易文件中，时间是十分重要的信息。在电子交易中，需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。时间戳(time-stamp)是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要(digest)；DTS收到文件的日期和时间；DTS的数字签名。

数字证书(digitalcertificate,digitalID)数字证书又称为数字凭证，是用电子手段来证实一个用户的身份和对网络资源的访问的权限。目前，最有效的认证方式是由权威的认证机构为参与电子商务的各方发放证书，证书作为网上交易参与各方的身份识别，就好象每个公民都用身份证来证明身份一样。认证中心作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任，是一个负责发放和管理数定证书的权威机构。因而网络中所有用户可以将自己的公钥交给这个中心，并提供自己的身份证明信息，证明自己是相应公钥的拥有者，认证中心审查用户提供的信息后，如果确认用户是合法的，就给用户一个数字证书。这样，每个成员只需和认证中心打交道，就可以查到其他成员的公钥信息了。对于在网上进行交易的双方来说，数字证书对他们之间建立信任是至关重要的。数字凭证有三种类型：个人凭证、企业（服务器）凭证、软件（开发者）凭证；大部分认证中心提供前两类凭证。

2.身份认证技术

为解决Internet的安全问题，初步形成了一套完整的Internet安全解决方案，即被广泛采用的公钥基础设施（PKI）体系结构。PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息（如名称、e-mail、身份证号等）捆绑在一起，在Internet网上验证用户的身份，PKI体系结构把公钥密码和对称密码结合起来，在Internet网上实现密钥的自动管理，保证网上数据的机密性、完整性。

1）认证系统的基本原理

利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间利用证书来保证信息安全性和双方身份的合法性。

2）认证系统结构

整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和WebPublisher。

核心系统跟CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。

证书的登记机构RegisterAuthority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。

证书的公布系统WebPublisher，简称WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。

3.网上支付平台及支付网关

网上支付平台分为CTEC支付体系（基于CTCA/GDCS）和SET支付体系（基于CTCA/SET）。网上支付平台支付型电子商务业务提供各种支付手段，包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段。

支付网关位于公网和传统的银行网络之间，其主要功能为：将公网传来的数据包解密，并按照银行系统内部的通信协议将数据重新打包；接收银行系统内部的传回来的响应消息，将数据转换为公网传送的数据格式，并对其进行加密。此外，支付网关还具有密钥保护和证书管理等其它功能。

三、电子商务信息安全中的其它问题

1.内部安全

最近的调查表明，至少有75%的信息安全问题来自内部，在信用卡和商业诈骗中，内部人员所占的比例最大；

2.恶意代码

它们将继续对所有的网络系统构成威胁，并且，其数量将随着Internet的发展和编程环境的丰富而增多，扩散起来也更加便利，因此，造成的破坏也就越大；

3.可靠性差

目前，Internet主干网和DNS服务器的可靠性还远远不能满足人们的要求，而绝大

部分拨号PPP连接质量并不可靠，且速度很慢；

4.技术人才短缺

由于Internet和网络购物都是在近几年得到了迅猛的发展，因而，许多地方都缺乏足够的技术人才来处理其中遇到的各种问题，尤其是网络购物具有24x7（每天24小时，每周7天都能工作）的要求，因而迫切需要有一大批专业技术人员对其进行管理。如果说加密技术是电子交易安全的“硬件”，那么人才问题则可以说是“软件”。从某种意义上讲，软件的问题解决起来可能更不容易，因此，技术人才的短缺可能成为阻碍网络购物发展的一个重要因素。

5.Web服务器的保护意识差

在交易过程中对数据进行保护只是保证交易安全的一个方面。由于交易的信息均存储在服务器上，因此，即使保密信息被客户端接收之后，也必须对存储在服务器中的数据进行保护。目前，Web服务器是黑客们最喜欢攻击的目标。因此，建议尽量不要将Web服务和连接到任何内部网络，而且要定期对数据进行备份，以便于服务器被攻击之后对数据进行恢复。当然，这毕竟有些不太现实，现在许多流行的Web应用都需要Web服务器与公司的数据库进行交互式操作，这就要求服务器必须与公司内部网络相连，而这个连接也就成为黑客们从Web站点侵入企业内部网络的一条通路。虽然防火墙技术有助于对web站点进行保护，但商家却很少安装防火墙或对其缺乏有效的维护，因而没有对Web服务器进行很好的保护，这是商家的Web站点尤其要引起注意的地方。

四、与电子商务安全有关的协议技术讨论

1．SSL协议（SecureSocketsLayer）安全套接层协议———面向连接的协议。

SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用WebServer方式。但它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系。

2.SET协议（SecureElectronicTransaction）安全电子交易———专门为电子商务而设计的协议。由于SET提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。

结束语

本文分析了目前电子商务的安全需求，使用的安全技术及仍存在的问题，并指出了与电子商务安全有关的协议技术使用范围及其优缺点，但必须强调说明的是，电子商务的安全运行，仅从技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。

［摘要］电子商务对人类社会经济产生了重大影响，在创造巨大经济效益的同时，也从根本上改变了整个社会商务活动发展进程。我国电子商务在曲折进程中，已有很大程度的发展,同时也存在诸多问题。本文客观地分析了电子商务的安全需求、安全技术发展现状及存在的问题，对加快电子商务的发展步伐提出了一些重要思考。

［关键词］电子商务；安全需求；安全技术；

[参考文献]

①姚立新，新世纪商务:电子商务的知识发展与运作，中国发展出版社，1999年。

②《中国电子商务年鉴》2003卷。