电子商务安全策略篇（1）

摘要：

关键词：

电子商务在功能上要求实现实时帐户信息查询。这就使电子商务系统必须在物理上与生产系统要有连接，这对于电子商务系统的安全性提出了更高的要求，必须保证外部网络（INTERNET）用户不能对生产系统构成威胁。为此，需要全方位地制定系统的安全策略。

就整个系统而言，安全性可以分为四个层次，如图1所示

1．网络节点的安全

2．通讯的安全性

3．应用程序的安全性

4．用户的认证管理

图1：安全性四个层次结构

其中2、3、4层是通过操作系统和Web服务器软件实现，网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

一、网络节点的安全

1．防火墙

防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。

2．防火墙安全策略

应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3．安全操作系统

防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。

二、通讯的安全

1．数据通讯

通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于：

（1）客户浏览器端与电子商务WEB服务器端的通讯；

（2）电子商务WEB服务器与电子商务数据库服务器的通讯；

（3）银行内部网与业务网之间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。

2．安全链路

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

三、应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

四、用户的认证管理

1．身份认证

电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。

2．CA证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

五、安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。

对于所有接触系统的人员，按其职责设定其访问系统的最小权限。

按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

电子商务安全策略篇（2）

1．网络节点的安全

2．通讯的安全性

3．应用程序的安全性

4．用户的认证管理

图1：安全性四个层次结构

其中2、3、4层是通过操作系统和Web服务器软件实现，网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

一、网络节点的安全

1．防火墙

防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。

2．防火墙安全策略

应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3．安全操作系统

防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。

二、通讯的安全

1．数据通讯

通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于：

（1）客户浏览器端与电子商务WEB服务器端的通讯；

（2）电子商务WEB服务器与电子商务数据库服务器的通讯；

（3）银行内部网与业务网之间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。

2．安全链路

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

三、应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。 这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

四、用户的认证管理

1．身份认证

电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。

2．CA证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

五、安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。

对于所有接触系统的人员，按其职责设定其访问系统的最小权限。

按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

电子商务安全策略篇（3）

电子商务是在Internet开放的网络环境下，实现消费者的网上购物、企业之间的网上交易和在线电子支付的一种新型的交易方式。由于电子商务具有高效益、低成本、高效率、范围全球性等特点很快遍及全世界。电子商务已成为全球经济最具活力的增长点，它的应用和推广将给社会和经济发展带来巨大的变革和收益。然而，目前全球通过电子商务渠道完成的贸易额仍只是同期全球贸易额中的一小部分。究其原因，电子商务是一个复杂的系统工程，它的实施还依赖于相应的社会问题和技术问题的逐步解决与完善。其中，电子商务的安全是制约电子商务发展的一个关键问题。

一、电子商务的安全性需求

有效性:电子商务以电子形式取代了纸张，那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。因此，要对网络过障、操作错误、应用程序错误等所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时刻、确定的地点是有效的。

1.机密性:电子商务作为贸易的一种手段，其信息直接代表着个人、企业或者国家的商业机密。因此，能否维护好商业机密成为了电子商务全面推广应用的前提条件。电子商务系统应能够对公众网络上传输的信息进行加密处理，防止交易中信息被非法截获或读取。

2.完整性:电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、同意问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，在数据传输过程中信息丢失、信息重复或者信息传送的次序差异也会导致贸易各方信息不同。贸易各方信息的完整性将影响贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息丢失和重复，并保证信息传送次序的统一。

3.可靠性:由于网上通信双方互不见面，所以在交易前必须首先确认对方的真实身份；支付时还要确认对方帐号等信息是否真实有效。电子商务系统应提供通信双方进行身份鉴别的机制，确保交易双方身份信息的可靠和合法。应实现系统对用户身份的有效确认，对私有密钥和口令的有效保护，对非法攻击能够防范，防止假冒身份在网上进行交易。

4.法律性:电子商务系统应有效防止商业欺诈行为的发生。最新《合同法》已确认双方同意电子贸易的电子档案为有效书面合同，为产生贸易纠纷双方提供法律凭证。网上交易的各方在进行数据传输时必须携有自身特有的、无法被别人复制的信息，以保证交易发生纠纷时有所对证，以保证商业信任和行为的不可否认性，保证交易各方对已做的交易无法抵赖，为法律举证提高有效数据。

审查能力:根据机密性和完整性的要求，应对数据审查的结果进行记录。

二、电子商务面临的安全威胁

1.信息在网络的传输中被截获：攻击者可能通过互联网、公共电话网或在电磁波辐射范围内安装装置等方式，截获机密信息，或通过对信息流量和流向、通信频度和长度等参数的分析，获取有用信息，如消费者的账号、密码等。

2.传输的文件可能被篡改:改变信息流的次序，更改信息的内容，如购买商品的出货地址;删除某个信息或信息的某些部分；在信息中插入一些信息，让收方读不懂或接受错误的信息。

3.伪造电子邮件:虚开网站和商店，给用户发电子邮件，收定货单;伪造大量用户，发电子邮件，穷尽商家资源，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应;伪造用户，发大量的电子邮件，窃取商家的商品信息和用户等信息。

4.假冒他人身份:冒充他人身份，如冒充领导命令、调阅文件;冒充他人消费、栽赃;冒充网络控制程序，套取或修改使用权限、密钥等信息。

5.否认已经做过的交易：者事后否认曾经发送过某条信息或内容;收信者事后否认曾经收到过某条信息或内容；购买者做了订货单不承认;商家卖出的商品质量差，但不承认原有的交易。

三、电子商务活动的安全保证

为了满足电子商务在安全服务方面的要求，除了网络本身运行的安全外，电子商务系统还必须利用各种安全控制技术保证整个电子商务过程的安全与完整，并实现交易的防抵赖性等。具体实现有以下几种技术。

1.加密技术是电子商务的最基本的安全措施。在目前技术条件下，加密技术通常分为对称加密和非对称加密两类。

(1)对称密钥加密：采用相同的加密算法，并只交换共享的专用密钥（加密和解密都使用相同的密钥）。如果进行通信的交易各方能够确保专用密钥在密钥交换阶段未曾发生泄露，则可以通过对称加密方法加密机密信息，并随报文发送报文摘要和报文散列值，来保证报文的机密性和完整性。密钥安全交换是关系到对称加密有效性的核心环节。目前常用的对称加密算法有DES、PCR、IDEA、3DES等。其DES使用最普遍，被ISO采用作为数据加密的标准。

(2)非对称密钥加密:非对称加密不同于对称加密，其密钥被分解为公开密钥和私有密钥。密钥对生成后，公开密钥以非保密方式对外公开，只对应于生成该密钥的者，私有密钥则保存在密钥方手里。任何得到公开密钥的用户都可以使用该密钥加密信息发送给该公开密钥的者，而者得到加密信息后，使用与公开密钥相应对的私有密钥进行解密。目前，常用的非对称加密算法有RSA算法。该算法已被ISO/TC的数据加密技术分委员会SC20推荐为非对称密钥数据加密标准。

电子商务安全策略篇（4）

一、引言

当前的电子商务是指通过电子方式的商务活动。它作为一种全新的业务和服务方式，为全球客户提供了丰富的商务信息、便捷的交易过程和廉价的交易成本。但是，电子商务给人们带来方便的同时，也把人们引入安全忧虑之中。买方担心在网络上传输的信用卡及个人资料被截取；卖方则担心收到的是被盗用的信用卡号码，或是交易不认账等，这些存在的安全漏洞问题已成为阻碍网上交易发展的首要问题。相对于传统商务，电子商务对管理机制、实施平台和信息传递技术都提出了更高的要求，其中安全体系的构建尤为显得重要，已成为电子商务能否得到进一步发展和推广的关键所在。

二、电子商务安全体系结构

1.电子商务中存在的安全隐患和威胁

Internet是电子商务实现的网络基础，它采用TCP/IP完成不同网络与不同计算机之间的通信，正是由于这些特点，使它给电子商务带来了很多的安全问题。Internet的安全隐患主要体现在四个方面。

开放性和资源共享是Internet的主要优点，但它带来的问题却不容忽视。因为当甲方在很容易的访问乙方时，如果没有采取任何措施，乙方同样很容易的访问甲方的计算机。

Internet采用的协议TCP/IP并未采用任何措施来保护传输内容不被窃取。它是一种包交换网络，每个数据包在网络上都是透明传输的，并且可能经过不同的网络，由路由器转发到达目的计算机。数据在传输过程中可能会遭到IP窥探、同步信号淹没、TCP会话窃听、复位与结束信号攻击等威胁。

Internet底层的操作系统如UNIX，由于源代码的公开，很容易发现漏洞，给Internet用户带来安全问题。

相比较传统信函，电子化信息就缺乏可信度，电子信息是否准确很难由其本身来鉴别。在Internet上传递电子信息时，难以确认信息发送者及信息是否被正确无误地传递给对方。

由于Internet存在上述安全隐患，将给电子商务带来如下的安全威胁。

由于非法入侵，造成商务信息被纂改、窃取或丢失。

商业机密在传输过程中被第三方获悉，被恶意破坏。

虚假身份的交易对象及虚假订单、合同。

贸易对象的抵赖。

由计算机系统故障造成的对交易过程和商业信息安全的破坏。

综上所述，电子商务面临多方面的威胁，存在许多安全隐患。

2.电子商务的安全性内容

要使电子商务健康、顺利发展，必须解决好以下几种关键的安全性要求。

(1)保证信息的保密性和完整性。在交易过程中必须保证信息不被非授权用户窃取，数据在输入和传输过程中能保证数据的一致性。

(2)不可否认性。它是指信息发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。

(3)真实性。商务活动交易双方身份是真实的，不是假冒的，不存在的。

(4)系统的可靠性与内部网络的严密性。在计算机失效、程序错误、传输错误、硬件各种及计算机病毒等潜在威胁下，有容错处理机制、数据恢复能力，确保系统安全、可靠。对企业内部网络而言，要保证内部网络不被入侵。

3.电子商务安全技术体系结构

电子商务的安全技术体系结构是保证电子商务中数据安全的一个完整逻辑结构，如图所示。其中，下层是上层的基础，为上层提供技术支持。上层是下层的扩展与递增。各层相互联系、相互依赖的构成一个整体。通过不同的安全控制技术，实现各层的安全策略，有效保证了电子商务系统的安全。

三、电子商务的安全技术

1.防火墙技术

防火墙是建立在内外网络边界上的过滤封装机制，内部网络被认为是安全和可信赖的，而外部网络（通常指Internet）被认为是不安全和不可信赖的。防火墙的主要目的是防止不希望的、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全策略。

防火墙的主要技术有包过滤技术、服务器技术、应用网关技术和状态检测包过滤技术，现在最常用的是状态检测包过滤技术。状态检测防火墙对每个合法网络连接保存的信息包括源地址、目的地址、协议类型、协议相关信息、连接状态和超时时间等称为状态。通过状态检测，可实现比简单包过滤防火墙具有更好的安全性。

2.加密技术

数字加密技术是网络中最基本的安全技术，主要是通过对网络中传输的信息进行数据加密来保障安全性。利用加密技术，可以将某些重要的信息和数据从一个可以理解的明文转换为复杂的、不可理解的密文形式，在线路上传送或在数据库中存储，其他用户再将密文还原为明文。

3.信息摘要

密钥加密技术只能解决信息的保密性问题，对信息的完整性则可以使用信息摘要技术来实现。信息摘要又称为Hash算法，是一种单向加密算法，其加密结果是不能解密的。通过Hash算法，得到一个固定长度（128位）的散列值，不同的原文产生的信息摘要必不相同，相同的原文产生的信息摘要必定相同。这样，通过用接收方产生的摘要与发送方发来的摘要比较，若两者相同则表示原文在传输过程中没有被修改，否则说明原文被修改过。

4.数字签名

数字签名是密钥加密和信息摘要相结合的技术，用于保证信息的完整性和不可否认性。签名机制的特征是该签名只有通过签名者的私有信息才能产生，即一个签名者的签名只能惟一地由他自己生成。当收发双方发生争议时，第三方就能根据消息上的数字签名来裁定这条消息是否由发送方发出，从而实现不可否认服务。

5.数字时间戳

在电子交易中，时间和签名同等重要。数字时间戳是由专门机构提供的电子商务安全服务项目，用于证明信息发送的时间。

6.数字证书与CA认证

由于电子商务在网络中完成，互相之间不见面，因此为了保证每个人及机构都能惟一且被准确无误地识别，就需要进行身份认证。身份认证可以通过验证参与各方的数字证书来实现，而数字证书是由认证中心（CA）颁发的。

所谓CA（Certificate Authority：证书发行机构），是采用PKI（Public Key Infrastructure：公共密钥体系）公开密钥基础架构技术，专门提供网络身份认证服务，负责签发和管理数字证书，具有权威性和公正性的第三方信任机构，其作用就像现实生活中颁发证件的机构。

四、电子商务安全交易标准

要实现安全的电子商务交易，交易双方必须遵照统一的安全标准协议。当前，电子商务的安全机制正走向成熟，并逐渐形成了一些国际规范，比较有代表性的有安全套接层协议SSL（Secure Sockets Layer）和安全电子交易协议SET（Secure Electronic Transaction）。

1.安全套接层协议SSL

SSL协议是由Netscape公司研制的安全协议，SSL使用加密的方法建立一个安全的通信通道，以使客户的信用卡号传送给商家，商家再将其转发给银行，银行验证后在通知商家付款成功。该协议已成为事实上的工业标准，微软、IBM公司都提供基于这种简单加密模式的支付系统。

2.安全电子交易SET协议

SET协议向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。它是由Visa国际组织和MasterCard组织制定的，用于在Internet上进行在线交易时保证信用卡支付安全的开放性安全技术标准。由于得到了微软、IBM、RAS公司的支持与参与，已成为工业事实上的标准。

SET协议采用了RSA公私钥加密系统、数字签名、数字证书认证等技术，保证了支付信息的保密性、完整性和不可否认性。该协议提供了客户、商家和银行之间的身份认证，而交易信息和客户信用卡信息相互隔离，即商家只能获取订单信息，银行只能获得持卡人信用卡支付信息，双方互不干扰，各去所需，构成了SET协议的主要特色，使得SET成为电子商务的安全规范。

3.SET、SSL协议比较

(1)SET是一个专门的安全电子支付协议，而SSL本质上是一个网络安全协议，仅在双方间建立起安全连接。SET是一个多方的消息报文协议，定义了银行、商家和持卡人间必须符合的报文规范，它比SSL在交易过程中的信任度更强。

(2)SSL仅有商家的服务器需要认证，客户端只是选择性认证；而SET在整个交易过程中都受到严密保护，其安全性比SSL高。

(3)SSL协议中若想进行电子商务交易，只需通过浏览器实现，设置成本低廉，其交易只要几十秒就可完成；SET尽管安全性高，但需要专门的软件来实现，客户、商家改造成本高，由于交易过程各方之间进行多次加密传输，每次交易需要数分钟。

综上所述，SSL与SET协议是电子商务中最普遍的两种安全电子支付协议，各有优缺点。SSL虽然简单快捷，但随着电子商务的发展其缺点凸现出来，需采用更先进的支付系统。而SET虽有更强的功能和安全性，但过于复杂，使得大面积推广还有很大障碍，并且成本昂贵，所以，在未来一段时间里将会是SSL和SET两种支付方式并存的局面。

五、结论

电子商务的本质是商务，技术是电子商务得以实现的手段。没有商务需求，技术的研究就失去了应用价值；没有技术实现，电子商务就不能得以实施，所以技术是电子商务的必要条件。而安全则是实现电子商务技术的前提，也是电子商务的必要条件。解决电子商务的安全问题不是一个单一的技术问题，它是由一系列工作组成，需要从电子商务安全管理、安全技术体系和法律等多方面开展工作和研究。

参考文献:

[1]胡道元 闵京华:网络安全[M].北京:清华大学出版社，2006

[2]祝凌曦:电子商务安全[M].北京：北方交通大学，2006.

[3]李晓燕 李福全 郭爱芳:电子商务概论[M].陕西：电子科技大学出版社，2004

电子商务安全策略篇（5）

一 引言

近几年，随着互联网的不断发展，在世界范围内掀起了一股电子商务热潮。许多国家政府部门对电子商务的发展十分重视，把这场以电子商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。

中国对电子商务的发展也给予了应有的重视，考虑到电子商务必然涉及到网上支付、必然涉及到银行支付结算，为了作好前瞻性的研究，1998年6月，人民银行支付科技司组织成立了电子商务课题组，对银行支付在电子商务中的作用和对策进行研究，并在研究基础上，组织各商业银行联合共建金融认证中心，为网上安全支付创造条件。

实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在向基于Internet的电子交易转变的过程中与传统交易的方式一样安全可靠。电子商务的安全主要采用数据加密和身份认证技术。

下面分别从认证系统，SSL（Secure Sockets Layer）协议和安全电子交易SET（Secure Electronic Transaction）协议三个方面来加以论述。

二 认证系统

电子商务的关键是安全，网上安全交易的基础是数字证书。证书类似于生活中的身份证，用以在网络上鉴别一个人或组织的真实身份。证书的颁发机构叫做Certificate Authority，通常简称CA。要建立安全的电子商务系统，必须首先建立一个稳固、健全的CA；否则，一切网上的交易都没有安全保障。

2.1 认证系统的基本原理

传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理的问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。RSA算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。

国际邮联ITU在1994年公布了关于证书格式的最新标准，称为X.509协议，在X.509的证书格式中，包含很多域，其中比较重要的有：用户名称、签发者名称、有效期、用户公钥信息、签发者对证书信息的数字签名。在浏览器和Web Server产品中都已集成了证书申请和证书的验证功能，只要能用符合X.509协议的证书安装在浏览器上和Web Server服务器端，就能实现双方证书的自动验证，从而识别身份。

2.2 系统结构

整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和Web Publisher。

核心系统根CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。

证书的登记机构Register Authority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为TCP/IP。

证书的公布系统Web Publisher，简称WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。

2.3 我国认证系统的建设情况

为保证电子商务在中国的顺利开展，必须建立全国统一的金融认证中心。

目前，经"金融系统电子商务联络与研究小组"提议，由人民银行和各家商业银行联合建立金融部门的安全认证体系得到了国内十几家商业银行的支持和响应。经金融信息化领导小组会议批准，现已决定由人民银行牵头，联合工商银行等11家商业银行，共同出资建立金融认证中心。

金融认证中心工程建设目前正在顺利进行。它将是面向全国的、金融系统联合共建的统一的认证中心，将支持B to C和B to B两种模式的网上交易；在体系结构上，金融认证中心的设计充分考虑了各地方开展电子商务的认证需求，计划在中心城市或某些银行系统内设立若干面对客户的注册机构。

三 SSL协议

SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。它被视为 Internet 上 Web 浏览器和服务器的标准安全性措施。SSL 提供了用于启动 TCP/IP 连接的安全性“信号交换”。这种信号交换导致客户和服务器同意将使用的安全性级别，并履行连接的任何身份验证要求。它通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。

这种简单加密模式的特点是：

部分或全部信息加密；

采用对称的和非对称的加密技术；

通过数字证书验证身份；

采用防止伪造的数字签名。

SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。

SSL协议握手流程由两个阶段组成：服务器认证和用户认证（可选）。

3.1 服务器认证阶段

在一次交易过程中，客户的证书首先传送到银行Server方，服务器先验证有效期，再根据签发者(CA)名称找到签发者公钥(在CA的根证书内)，验证证书的数字签名的合法性。

Web 服务器上的 SSL 安全性要求步骤如下：

1 生成密钥对文件和请求文件。

2 从身份验证权限中请求一个证书。

3 在服务器上安装证书。

4 激活 WWW 服务文件夹上的 SSL 安全性。

服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的消息时将包含生成主密钥所需的信息；

客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；

服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。

这样通过主密钥引出的密钥对一系列数据进行加密来认证服务器，从而建立安全的通信通道。

3.2 用户认证阶段（可选）

在此之前，服务器已经过了客户认证，这一阶段主要完成对客户的认证。

经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。

SSL支持各种加密算法。在“握手”过程中，使用RSA公开密钥系统。密钥交换后，使用一系列密码，包括RC2、RC4、IDEA、DES、triple-DES及MD5 信息摘要算法。公开密钥认证遵循X.509标准。

SSL协议独立于应用层协议，且被大部分的浏览器和Web服务器所内置，便于在电子交易中应用，国际著名的CyberCash信用卡支付系统就支持这种简单加密模式，IBM等公司也提供这种简单加密模式的支付系统。

3.3 SSL的应用及局限

中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，从目前实际使用的请款来看，SSL还是人们最信赖的协议。

SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成， SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。

因此，为了实现更加完善的电子交易，MasterCard和Visa以及其它一些业界厂商制订并了SET协议。

四 SET协议

SET协议是针对开放网络上安全、有效的银行卡交易，由Visa和MasterCard联合研制的，为Internet上卡支付交易提供高层的安全和反欺诈保证。SET协议为电子交易提供的安全措施

SET协议保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。

4.1 机密性（Confidentiality）

SET协议采用先进的公开密钥算法来保证传输信息的机密性，以避免Internet上任何无关方的窥探。公开密钥算法容许任何人使用公开的密钥将加密信息发送给指定的接收者，接收者收到密文后，用私人密钥对这个信息解密，因此，只有指定的接收者才能读这个信息，从而保证信息的机密性。

SET协议也可通过双重签名的方法将信用卡信息直接从客户方透过商家发送到商家的开户行，而不容许商家访问客户的账号信息，这样客户在消费时可以确信其信用卡号没有在传输过程中被窥探，而接收SET交易的商家因为没有访问信用卡信息，故免去了在其数据库中保存信用卡号的责任。

4.2 数据完整性（Data Integrity）

通过SET协议发送的所有报文加密后，将为之产生一个唯一的报文摘要值（message digest），一旦有人企图篡改报文中包含的数据，该数值就会改变，从而被检测到，这就保证了信息的完整性。

4.3 身份验证（Verification of Identity）

SET协议可使用数字证书来确认交易涉及的各方（包括商家、持卡客户、受卡行和支付网关）的身份，为在线交易提供一个完整的可信赖的环境。

4.4 抗否认性（Non-repudiation of Disputed Charges）

SET交易中数字证书的过程也包含了商家和客户在交易中存在的信息。因此，如果客户用SET发出一个商品的订单，在收到货物后他（她）不能否认发出过这个订单；同样，商家以后也不能否认收到过这个订单。

4.5 SET的局限性

SET是专门为电子商务而设计的协议，虽然它在很多方面优于SSL协议，但仍然不能解决电子商务所遇到的全部问题。而且，SET遭到有些银行的抵制，其前途如何，尚未得知。

五 与电子商务安全有关的其他一些技术

5.1 密码技术

密码技术基本思想是在加密密钥Ke的控制下按照加密算法E对要保护的数据（即明文M）加密成密文C，记为C＝E（M，Ke）。而解密是在解密钥Kd的控制下按照解密算法D对密文C进行反变换后还原为明文M，记为M＝D（C，Kd）。根据密钥性质的不同，可分为传统密码体制和公开钥密码体制两大类型。

传统密码体制加密解密用同一个密钥，即Ke=Kd；而公开钥密码体制使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。

密码技术是上面所提到的几种技术的基础，所以可以说整个电子商务的安全就是建立在密码技术基础上的。

5.2 访问控制

除了计算机网络硬设备之外，网络操作系统是确保计算机网络安全的最基本部件。它是计算机网络资源的管理者，必须具备安全的控制策略和保护机制，防止非法入侵者攻破设防而非法获取资源。网络操作系统安全保密的核心是访问控制，即确保主体对客体的访问只能是授权的，未经授权的访问是不允许的，其操作是无效的。因此，授权策略和机制的安全性显得特别重要。保护可以从以下几个方面加以考虑：物理隔离、时间隔离、密码隔离。

5.3 防火墙技术

设立防火墙的目的是保护内部网络不受外部网络的攻击，以及防止内部网络的用户向外泄密。目前，防火墙技术主要是分组过滤和服务两种类型。下面简要介绍这两种技术：

分组过滤：这是一种基于路由器的防火墙。它是在网间的路由器中按网络安全策略设置一张访问表或黑名单，即借助数据分组中的IP地址确定什么类型的信息允许通过防火墙，什么类型的信息不允许通过。防火墙的职责就是根据访问表（或黑名单）对进出路由器的分组进行检查和过滤，凡符合要求的放行，不符合的拒之门外。这种防火墙简单易行，但不能完全有效地防范非法攻击。目前，80％的防火墙都是采用这种技术。

服务：是一种基于服务的防火墙，它的安全性高，增加了身份认证与审计跟踪功能，但速度较慢。所谓审计跟踪是对网络系统资源的使用情况提供－个完备的记录，以便对网络进行完全监督和控制。通过不断收集与积累有关出入网络的完全事件记录，并有选择地对其中的某些进行审计跟踪，发现可能的非法行为并提供有力的证据，然后以秘密的方式向网上的防火墙发出有关信息如黑名单等。

5.4 数字时间戳

交易文件中，时间是十分重要的信息。在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容。在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务(DTS：digital time-stamp service)就能提供电子文件发表时间的安全保护。

数字时间戳服务（DTS）是网上安全服务项目，由专门的机构提供。时间戳（time-stamp）是一个经加密后形成的凭证文档，它包括三个部分：1)需加时间戳的文件的摘要(digest)，2)DTS收到文件的日期和时间，3)DTS的数字签名。

时间戳产生的过程为：用户首先将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。由Bell core创造的DTS采用如下的过程：加密时将摘要信息归并到二叉树的数据结构；再将二叉树的根值发表在报纸上，这样更有效地为文件发表时间提供了佐证。注意，书面签署文件的时间是由签署人自己写上的，而数字时间戳则不然，它是由认证单位DTS来加的，以DTS收到文件的时间为依据。因此，时间戳也可作为科学家的科学发明文献的时间认证。

六 结束语

随着上网人数的不断增加以及金融认证系统的不断完善，各种安全协议的不断出台，电子商务在中国将会有一个长足的发展；随着时间的推移，电子商务将从根本上改变几千年来形成的传统商业模式，充分体现现代科学技术给人们生活所带来的便利。

参考文献

[1] netscape.com

[2] setco.org/set—specifications.html

电子商务安全策略篇（6）

随着Internet的全面普及，基于互联网的电子商务也应运而生，电子商务是网络技术应用的全新发展方向，电子商务自然非常便捷、高效和低成本，成为一种全新的商务模式，被许多经济专家认为是新的经济增长点。同时，这种电子商务模式对管理水平、信息传递技术都提出了更高的要求，其中安全体系的构建又显得尤为重要，电子商务是建立在一个非常开放的互联网基础上，如何辨别对方身份，如何保证交易信息的安全，是大家最关心的问题。如何建立一个安全、便捷的电于商务应用环境，对信息提供足够的保护，也已成为电子商务的核心问题。实现电子商务的关键是要保证商务活动过程中系统的安全性，即保证基于互联网的电子交易过程与传统交易的方式一样安全可靠。

一、电子商务安全的要素

1.有效性。电子商务以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误、黑客及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。

2.机密性。电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个开放的网络环境上的，维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。

3.完整性。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错、数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同，它将影响到贸易各方的交易和经营策略。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。

4.可靠性/不可抵赖性/鉴别。电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方正是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统的贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的各方提供可靠的标识。

5.审查能力。根据机密性和完整性的要求,应对数据审查的结果进行记录。

二、电子商务安全的主要问题与技术

电子商务实质是电子方式的贸易活动，它利用简单快捷低成本的电子通讯方式，使买卖双方进行各种商贸活动的新型贸易形式。它不仅改变了企业本身的生产、经营、管理活动，而且将导致人类经济、社会和文化的一次新的革命。

电子商务安全的主要问题主要有以下几个方面的问题：

1.篡改。电子的交易信息在网络上传输地过程中，可能被他人非法的修改，删除或重放（指只能使用一次的信息被多次使用），从而使信息失去了真实性和完整性。

2.信息破坏。包括网络硬件和软件的问题而导致信息传递的丢失与谬误；以及一些恶意程序的破坏而导致电子商务信息遭到破坏。

3.身份识别。如果不进行身份识别，第三方就有可能假冒交易一方的身份，以破坏交易，败坏被假冒一方的声誉或盗窃被假冒一方的交易成果等。而不进行身份识别，交易的一方可不为自己的行为负责任，进行否认，相互欺诈。

4.信息泄密。主要包括两个方面，即交易双方进行交易的内容被第三方窃取或交易一方提供给另一方使用的文件被第三方非法使用。

由于电子商务涉及到金融、企业商家等各个方面的利益，它必须采用行之有效的手段来保证电子商务系统的安全运行。安全性技术是保证电子商务健康有序发展的关键因素，也是目前大家十分关注的问题。虽然Internet的开放式的信息交换使之在安全方面存在脆弱性，但现在几乎网络的各个层次都制定了安全协议和具备了相应的安全技术，以保证电子商务的安全性。电子商务的安全性策略可分为两大部分，一部分是计算机网络安全，第二部分是商务交易安全。电子商务中的安全性技术主要有以下几种：

1.密码技术。密码技术是一种主动的信息安全防范措施，它是将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。

目前，获得广泛应用的两种加密技术是对称密钥加密体制和非对称密钥加密体制。在对称密钥加密体制中，信息的发送方和接收方用一个密钥去加密和解密数据。它的最优是加/解密速度快、参与方采用相同的加密算法共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。适合于对大数据量进行加密，但密钥管理困难。目前常用的对称加密算法有：美国国家标准局提出DES算法、由瑞士联邦理工学院的IDEA算法等等。非对称密钥加密体制，密钥被分解为一对，并使用一对密钥来分别完成加密和解密操作，一个公开，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。目前常用的非对称加密算法有：麻省理工学院的RSA算法、美国国家标准和技术协会的SHA算法等等。

2.认证技术。安全认证的主要作用是进行信息认证。信息认证的目的为:(1)确认信息发送者的身份;（2）验证信息的完整性，即确认信息在传送或存储过程中未被篡改过。认证技术主要有安全认证技术和安全认证机构两个方面。

传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理问题限制了它的一些应用。在非对称密钥加密体制下，算法的加密强度主要取决于选定的密钥长度。随着认证中心(或称CA中心)的出现，使得开放网络的安全问题得到了比较好的解决。所谓CA（CertificateAuthority）认证机构，它是采用PKI（PublicKeyInfrastructure）公开密钥基础架构技术，利用数字证书、非对称和对称加密算法、数字签名、数字信封等加密技术，建立起安全程度极高的加解密和身份认证系统，确保电子交易有效、安全地进行，从而使信息除发送方和接收方外，不被其他方知悉（保密性）；保证传输过程中不被篡改（完整性和一致性）；发送方确信接收方不是假冒的（身份的真实性和不可伪装性）；发送方不能否认自己的发送行为（不可抵赖性）。电子商务安全性的解决，大大地推动了电子商务的发展。在电子交易中，无论是数字时间戳服务还是数字证书的发放，都不是靠交易双方自己能完成的，而需要有一个具有权威性和公正性的第三方来完成。CA认证机构作为权威的、可信赖的、公正的第三方机构，提供网络身份认证服务，专门负责发放并管理所有参与网上交易的实体所需的数字证书。它作为一个权威机构，对密钥进行有效地管理，颁发证书证明密钥的有效性，并将公开密钥同某一个实体（包括消费者、商户、银行，甚至设备、域名、IP地址等）联系在一起。它的作用就像现实生活中颁发证件的机构，如公安机关。认证中心（CA）就是承担网上安全交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请、签发及对数字证书的管理。

有了数字证书，你就可以以你身份在网上支持数字证书应用的场合下进行各种网上活动。比如，发送安全电子邮件，数字证书登录系统，各种文件、表单的数字签名，专门的数据加密等等。当然，如果证书是颁发给服务器，则可以用来保障该网站（域名）或IP的真实性。

3.安全认证协议。目前电子商务中经常使用的有安全套接层SSL（SecureSocketsLayer）协议和安全电子交易SET（SecureElectronicTransaction）协议两种安全认证协议。

(1)安全套接层（SSL）协议。SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。SSL协议的概念可以被概括为：它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供Internet和企业内联网的安全通信服务。

SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。

SSL协议握手流程由两个阶段组成：服务器认证和用户认证。

SSL采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥；在会话过程中使用专有密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。它保证了客户和服务器间事务的安全性。

SSL协议提供“通道安全性”有以下三个性质:

a.通道是保密的。一个简单的握手确定密钥之后,所有的消息被加密。

b.通道是被认证的。通话的服务器端总是被认证,客户端可选认证。

c.通道是可靠的。用MAC对传送的消息进行完整性检查。

中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，从目前实际使用的情况看，SSL还是人们最信赖的协议。

电子商务安全策略篇（7）

在电子商务迅速发展的今天，信息网络技术的应用正日益普及和广泛，应用层次正在深入。而网络所具有的开放性、自由性在增加应用自由度的同时，对安全提出了更高的要求。如何建立起一个完善的、实用的、安全的电子商务网站，已成为企事业单位信息化发展中一个急切需要讨论的问题。

一、电子商务的安全问题

电子商务的安全问题可以概括为以下几个方面：

(一)信息泄漏：在电子商务中表现出来的信息泄露主要有两种，一种是交易双方进行交易的内容被第三方所窃取：一种是交易一方提供给另一方的文件、资料等被第三方非法使用。(二)篡改：在电子商务中表现为商业信息的真实性和完整性问题。电子的信息在网络传输的过程中，可能被他人非法地修改、删除或重放．这样就使信息丢失了真实性和完整性。(三)身份识别：这涉及到电子商务中的两个问题。1．如果不进行身份识别，第三方就有可能假冒交易方的身份，以破坏交易、败坏被假冒一方的信誉或盗取被假冒一方的交易成果等。2．“不可抵赖”性。交易双方对自己的行为应负有一定的责任，信息发送者和接受者都不能对此予以否认。(四)信息破坏：涉及到两方面内容。1．网络传输的可靠性。网络的硬件或软件可能会出现问题而导致交易信息传递的丢失与谬误。2．恶意破坏。计算机网络本身容易遭到一些恶意程序的破坏，而使电子商务信息遭到破坏。这种情况主要由以下问题引起：①计算机病毒。②计算机蠕虫。这种程序将会对网络造成严重的损失，甚至会通过过多占用网络资源的方式来使网络瘫痪，加上这种程序多数会带有破坏性指令，因而破坏性更强，它已经由点的破坏向面的破坏开始发展了。③特洛伊木马。这是一种执行超出程序定义之外的程序，它将会把自己隐藏到安全的程序中，并由此传播出去。④逻辑炸弹。这是一种当运行环境满足某种特定条件时执行特殊功能的程序。

二、电子商务的安全技术

电子商务的开展在安全方面上还存在很多问题。面对电子商务中形形色色的安全漏洞，我们必须要采取相应的方法来保障电子商务活动的安全进行，下面就着重探讨了电子商务的安全技术。

(一)虚拟专用网络：虚拟专用网络是用于Internet电子交易的一种专用网络，它可以在两个系统之间建立安全的通道，是目前相对而言最适合进行电子商务的形式。在虚拟专用网络中交易的双方比较熟悉，而且彼此之间的数据通信量很大。只要交易双方取得一致，在虚拟专用网络中就可以使用比较复杂的专用加密和认证技术，这样就可以大大提高电子商务的安全。

(二)加密技术：加密技术是实现信息保密性的一种重要手段，目的是为了防止合法接受者之外的人获取信息系统中的机密信息。

加密包括两个元素：算法和密钥。加密技术的要点是加密算法，一个加密算法是将普通的文本(或者可以理解的信息)与一窜数字(密钥)的结合，产生不可理解的密文的步骤。密钥和算法对加密同等重要。密钥是用来对数据进行编码和解码的一种算法。加密算法可以分为对称加密、非对称加密和不可逆加密三类算法。对称加密以数据加密标准(DES，Data Encryption Standard)算法为典型代表，非对称加密通常以RSA(Rivest Shamir Adleman)算法为代表。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。通过对数据进行加密，可以使在网络上传播的信息对非法用户来说是无意义的，因此，虽然信息在网络上易被非法接收，但是由于被加密，也就保证了信息的隐秘性。

(三)数字签名技术：数字签名以数字加密技术为基础，是数字加密技术的一种应用方式。其核心是采用加密技术的加、解密算法来实现电子信息的数字签名。对于电子商务中的业务款项如何分辨其真假，则需要数字签名技术来确认其交易或结算双方的真实身份及电子货币的可靠性。数字签名的防欺诈性、防更改性及确认功能是电子商务系统的一个重要安全技术。数字签名是公开密钥技术的另一类应用，它的主要方式是：信息的披露方从信息文本中生成一个128位的散列值，并且用自己的专用密钥对这个散列值进行加密．来形成披露方的数字签名：关联方首先从收到的信息文本中计算128位的散列值，接着再用披露方一同发来的公开密钥来对数字签名进行解密，如果两个散列值相同，那就可确认该数字签名是披露的。通过数字签名技术能够实现对原始信息和关联方身份的鉴别，有一定的公正及较好地防范关联方和非关联方的道德风险。

(四)认证技术：所谓认证，就是通过认证中心对数字证书进行识别。认证分为实体认证和信息认证，这里的实体是指个人、客户程序或服务程序等参与通信的实体。实体认证是指对这些参与通信实体的身份认证。对用户身份的认证，密码是最常用的，但由于许多用户采用了很容易被破解的密码，使得该方法经常失效。信息认证是指对信息体进行认证，以决定该信息的合法性。信息认证发生在信息接收者收到信息后，使用相关技术对信息进行认证，以确认信息的发送者是谁，信息在传递过程中是否被篡改等。身份验证是对进入电子商务信息系统网络的用户进行身份合法性的整别，主要通过所掌握的特有信息对探访者进行验证。目前，数字签名和认证是网上比较成熟的安全手段，而我国大多数企业尚处于SSL协议应用阶段，在SET协议的应用试验刚刚成功，而要完全实现SET协议安全支付，则必须有一个CA认证中心。

电子商务安全策略篇（8）

1．引言

随着信息技术和Internet的飞速发展，电子商务，特别是通过Internet进行的电子商务成了电子商务应用和发展的主要推动力。然而，由于Internet的高度开放性而随之带来的安全问题，严重影响了电子商务的广泛应用和发展。而目前的各种电子商务安全技术和安全协议的局限性，使得加强对基于Internet的电子商务安全管理策略的研究，有效地对各种电子商务安全技术和安全协议进行有效协调和应用，对于抵挡各种电子商务安全问题的冲击，无疑为人们在电子商务安全技术研究领域之外，提供了一个新的途径和方法。

2．电子商务安全管理策略的制定

2．1制定电子商务安全管理策略的目的

制定电子商务安全管理策略的目的是为了能够有效地保障电子商务系统安全、完整、正常地运行而不受破坏和于扰；能够有序地、客观地鉴别和测试电子商务系统的安全状态；能够对可能存在的风险有一个基本的评估；而当电子商务系统遭受破坏后能够采取及时有效的恢复措施和手段，并且对其所需代价有一定的估计。

对基于Internet的电子商务活动来说，构建一个安全的电子商务网络系统应首先确定其安全管理策略。解决电子商务安全问题，制定电子商务安全管理策略应从物理安全、网络安全、信息安全访问授权、病毒防范、灾难恢复等多角度、多方面考虑。

2．2 电子商务安全管理策略制定原则

电子商务安全管理策略的制定就是针对电子商务系统中所要保护信息的、被攻击的可能性、投入的资金状况等，在电子商务系统管理的整个过程中，根据实际情况具体地对各种电子商务安全措施进行选择。有效的电子商务管理策略可以说是在一定条件下的成本和效率的平衡。虽然电子商务的具体应用环境不同，但我们在制定电子商务安全管理策略时一般都应遵守下面一些原则。

(1)综合性、系统性原则

该原则要求用系统的观点和方法来分析整个电子商务系统的安全问题，要求在综合各方面情况后制定相应的具体可行的安全措施。

(2)平衡分析原则

由于目前技术条件的限制，绝对安全的电子商务系统是做不到的。因此，要在对电子商务系统面临的威胁和可能承担的风险进行充分研究后，再结合目前的技术和资金条件制定相应的安全措旆以达到安全与价值的平衡。

(3)易操作性原则

再好的安全措施，都要由人来完成．因此，如果措施过于复杂，不便操作，那么电子商务系统的安全性也就无从谈起。

(4)适应性和灵活性原则

安全防范措施必须要能够随着电子商务系统性能、技术环境以及安全需求的变化而作出相应的调整以适应安全要求。

(5)多级保护原则

受目前技术条件限制，任何安全措施都有可能被攻破。因此，建立一个多级保护的系统，当其中某一层被破坏时，另外的层次也能起到防护作用。

2．3 电子商务安全管理策略制定步骤

制定电子商务安全管理策略通常都包括以下几个步骤：

(1)确定目标

安全管理策略目标包括电子商务系统中被保护的对象，实现的方法和途径。

(2)明确范围

确定电子商务安全管理策略所要保护的资源范围以及相关保护环境的界定。

(3)争取来自高层管理的支持

来自电子商务系统所属单位的高层支持，对于保障电子商务安全管理措施的顺利运行，以及技术资金上的保证，都有重要的意义。

(4)评估危险

尽可能地对影响电子商务安全的各方面因素考虑周全，对可能存在的危险作出较为准确的评估，以便为制定安全管理策略提供依据。

(5)制定策略

完成前面几个步骤后，接着就根据经济和技术实力确定一个相对满意的安全策略。

(6)策略评估调整

在策略制定后，应评估其是否达到目标，以及当安全需求变化时作出适时的调整。

3．电子商务安全管理策略的基本内容

基于Internet的电子商务安全管理策略涵盖范围很广，一个完整的电子商务安全管理策略一般都可以分为物理安全策略、网络安全策略以及灾难恢复策略等。

3．1物理安全策略

物理安全策略是整个电子商务安全管理策略的不可忽视的重要基础。在基于Internet的电子商务整个交易过程中，对电子商务系统包含的相关物理设备有相当高的安全要求。影响电子商务系统安全的物理安全风险主要有自然灾害风险、人为风险和硬件防护风险。相应的物理安全策略也围绕上述三个物理安全风险展开。

(1)自然灾害安全防范策略

主要包括防火、防水和防雷措施。设备所在场所应避免火灾、水灾的发生并采取相应的隔离措施以保证在意外火灾、水灾下的设备防护。另外，电子商务系统的设备主要由电路组成，因此制定全方位、安全灵活的防雷措6S显得非常有必要。

(2)人为风险防范策略

人为风险包括人为的操作错误引起的安全问题、设备防盗以及计算机犯罪问题等。

人为操作方面引起的风险可以通过建立和健全安全制度来加以防止，同时加强和培育安全意识。对于设备防盗问题，如果资金允许，可以建立较为完善的防盗系统，如果资金不足，可以通过加强内部管理的方法加以解决。对于内外部人员的计算机犯罪问题，一是通过法律途径解决；二是加强自身安全防范。

(3)硬件防护策略

硬件防护包括电磁防护和硬件设备维护。

硬件维护包括服务器及其他相关设备的电源保护、有效的防静电措施以及要抑制和防范电磁泄露与电磁干扰。关于硬件设备维护，如果条件允许，可以增加设备信息保护装置。另外除了日常维护以外，还需要定期对设备进行检修。

3．2网络安全策略

网络安全是电子商务系统安全的核心，需要从技术和管理两方面入手，因此，网络安全策略分为技术策略和管理策略。

(1)技术策略

安装使用网络安全检测设备和相关软件

借助一些专用的网络安全监控设备和软件，加强对各种不法行为的监控和防范。

加强网络访问控制

访问控制是网络安全防范和保护的主要策略。它包括入网访问控制、网络权限控制、网络监测和锁定控制等。

采用防火墙技术

防火墙用来检查通过内部网和外部网间的信息往来，它可以鉴别网络服务请求是否合法，以便采取响应或拒绝的措施。

数据加密

数据加密是采用一定的加密技术，以防在传输过程中数据一旦被截获不致造成信息的泄露，其核心是加密的方式以及密钥的分配和管理。

引入鉴别机制

鉴别是查明另外一个实体身份和特权的过程，以确定其合法性，并作出响应。

(2)管理策略

加强电子商务网络系统的日常管理和维护

建立严格的保密制度

加强对管理人员监督和培训，落实工作责任制

建立跟踪、审计和稽核制度

完善病毒防范制度

建立健全相关法律法规制度

3．3灾难恢复策略

对于电子商务系统来说，灾难主要指意外的自然灾害以及黑客攻击等原因造成数据库受到的破坏。灾难恢复策略是为了在数据资源遭受破坏后迅速恢复系统功能，最大程度地保持数据资源的完整性，将损失降至最低。因此，灾难恢复主要包括备份和恢复两个环节。

(1)灾难备份

确定备份方案

建立数据恢复中心

建立完善的备份制度

(2)数据恢复

评估数据损失情况

确定数据恢复方案

恢复数据

4．结论

电子商务安全策略篇（9）

 

电子商务安全策略是对企业的核心资产进行全面系统的保护，不断的更新企业系统的安全防护，找出企业系统的潜在威胁和漏洞，识别，控制，消除存在安全风险的活动。电子商务安全是相对的，不是绝对的，不能认为存在永远不被攻破的系统，当然无论是何种模式的电子商务网站都要考虑到为了系统安全所要付出的代价和消耗的成本。作为一个安全系统的使用者，必须应该综合考虑各方因素合理使用电子商务安全策略技术，作为系统的研发设计者，也必须在设计的同时考虑到成本与代价的因素。在这个网络攻防此消彼长的时代，更应该根据安全问题的不断出现来检查，评估和调整相应的安全策略，采用适合当前的技术手段，来达到提升整体安全的目的。电子商务所带来的巨大商机背后同样隐藏着日益严重的电子商务安全问题，不仅为企业机构带来了巨大的经济损失，更使社会经济的安全受到威胁。 

1 电子商务面临的安全威胁 

在电子商务运作的大环境中，时时刻刻面临着安全威胁，这不仅仅设计技术问题，更重要的是管理上的漏洞，而且与人们的行为模式有着密不可分的联系。电子商务面临的安全威胁可以分为以下几类： 

1.1 信息内容被截取窃取 

这一类的威胁发生主要由于信息传递过程中加密措施或安全级别不够，或者通过对互联网，电话网中信息流量和流向等参数的分析来窃取有用信息。 

1.2 中途篡改信息 

主要破坏信息的完整性，通过更改、删除、插入等手段对网络传输的信息进行中途篡改，并将篡改后的虚假信息发往接受端。 

1.3 身份假冒 

建立与销售者服务器名称相似的假冒服务器、冒充销售者、建立虚假订单进行交易。 

1.4 交易抵赖 

比如商家对卖出的商品因价格原因不承认原有交易，购买者因签订了订单却事后否认。 

1.5同行业者恶意竞争 

同行业者利用购买者名义进行商品交易，暗中了解买卖流程、库存状况、物流状况。 

1.6 电子商务系统安全性被破坏 

不法分子利用非法手段进入系统，改变用户信息、销毁订单信息、生成虚假信息等。 

2 电子商务安全策略原则 

 电子商务安全策略是在现有情况，实现投入的成本与效率之间的平衡，减少电子商务安全所面临的威胁。据电子商务网络环境的不同，采用不同的安全技术来制定安全策略。在制定安全策略时应遵循以下总体原则： 

 2.1 共存原则 

是指影响网络安全的问题是与整个网络的运作生命周期同时存在，所以在设计安全体系结构时应考虑与网络安全需求一致。如果不在网站设计开始阶段考虑安全对策，等网站建设好后在修改会耗费更大的人力物力。 

2.2 灵活性原则 

安全策略要能随着网络性能及安全威胁的变化而变化，要及时的适应系统和修改。 

2.3 风险与代价相互平衡的分析原则 

任何一个网络，很难达到绝对没有安全威胁。对一个网络要进行实际分析，并且对网络面临的威胁以及可能遇到的风险要进行定量与定性的综合分析，制定规范的措施，并确定本系统的安全范畴，使花费在网络安全的成本与在安全保护下的信息的价值平衡。 

2.4 易使用性原则 

安全策略的实施由人工完成，如果实施过程过于复杂，对于人的要求过高，对本身的安全性也是一种降低。 

2.5 综合性原则 

一个好的安全策略在设计时往往采用是多种方法综合应用的结果，以系统工程的观点，方法分析网络安全问题，才可能获得有效可行的措施。 

2.6 多层保护原则 

任何单一的安全保护措施都不是能独当一面，绝对安全的，应该建立一个多层的互补系统，那么当一层被攻破时，其它保护层仍然可以安全的保护信息。 

3 电子商务安全策略主要技术 

3.1 防火墙技术 

防火墙技术是一种保护本地网络，并对外部网络攻击进行抵制的重要网络安全技术之一，是提供信息安全服务，实现网络信息安全的基础设施。总体可以分为：数据包过滤型防火墙、应用级网关型防火墙、服务型防火墙等几类。防火墙具有5种基本功能： 

（1）抵挡外部攻击； 

（2）防止信息泄露； 

（3）控制管理网络存取和访问； 

（4）vpn虚拟专用网功能； 

（5）自身抗攻击能力。 

防火墙的安全策略有两种情形： 

（1）违背允许的访问服务都是被禁止的； 

 

 

 

 

 

（2）未被禁止的访问服务都是被允许的。 

多数防火墙是在两者之间采取折中策略，在安全的情况之下提高访问效率。 

3.2 加密技术 

加密技术是对传输的信息以某种方法进行伪装并隐藏其内容，而达到不被第三方所获取其真实内容的一种方法。在电子商务过程中，采用加密技术将信息隐藏起来，再将隐藏的信息传输出去，这样即使信息在传输的过程中被窃取，非法截获者也无法了解信息内容，进而保证了信息在交换过程中安全性、真实性、能够有效的为安全策略提供帮助。 

3.3 数字签名技术 

是指在对文件进行加密的基础上，为了防止有人对传输过程中的文件进行更改破坏以及确定发信人的身份所采取的手段。在电子商务安全中占有特别重要的地位，能够解决贸易过程中的身份认证、内容完整性、不可抵赖等问题。数字签名过程：发送方首先将原文通过hash算法生成摘要，并用发送者的私钥进行加密生成数字签名发送给接受方，接收方用发送者的公钥进行解密，得到发送方的报文摘要，最后接收方将收到的原文用hash算法生成其摘要，与发送方的摘要进行比对。 

3.4 数字证书技术 

数字证书是网络用户身份信息的一系列数据，由第三方公正机构颁发，以数字证书为依据的信息加密技术可以确保网上传输信息的的保密性、完整性和交易的真实性、不可否认性，为电子商务的安全提供保障。标准的数字证书包含：版本号，签名算法，序列号，颁发者姓名，有效日期，主体公钥信息，颁发者唯一标识符，主体唯一标示符等内容。一个合理的安全策略离不开数字证书的支持。 

3.5 安全协议技术 

安全协议能够为交易过程中的信息传输提供强而有力的保障。目前通用的为电子商务安全策略提供的协议主要有电子商务支付安全协议、通信安全协议、邮件安全协议三类。用于电子商务的主要安全协议包括：通讯安全的ssl协议（secure socket layer），信用卡安全的set协议（secure electronic transaction），商业贸易安全的超文本传输协议（s-http），internetedi电子数据交换协议以及电子邮件安全协议s/mime和pem等。 

4 结论 

在电子商务飞速发展的过程中，电子商务安全所占的比重越发重要。研究电子商务安全策略，意在于减少由电子商务安全威胁带给人们电子商务交易上的疑虑，以推动电子商务前进的步伐。解除这种疑虑的方法，依赖着安全策略原则的制定和主要技术的不断开发与完善。 

参考文献 

［1］田沛. 浅谈电子商务安全发展战略［j］. 知识经济, 2010, （2）. 

［2］如先姑力•阿布都热西提. 计算机网络安全对策的研究［j］. 科技信息（学术研究）, 2008, （10）. 

电子商务安全策略篇（10）

电子商务是一个跨国界，跨地区，跨行业的多种技术综合集成与不同社会经济文化背景形成的各种习俗不断冲突，不断协调和不断统一的综合性社会系统工程。电子商务安全策略保障电子商务各个主体的切身利益。电子商务安全策略是以人为本，从各主体的角度思考，综合协调了各个市场主体的行为，从根本上保障了消费者、企业、电子商务网站等市场主体的切身利益，它为实现电子商务提供了统一的基础平台和安全屏障。

一、电子商务安全技术保障策略

安全技术保障技术是电子商务安全体系中的基本策略，目前相关的信息安全技术与专门的电子商务安全技术研究比较普遍和成熟。电子商务中常用到的安全技术有以下几种：

1.密码技术。密码技术包括加密技术和解密技术。加密是将信息经过加密密钥及加密函数转换，变成无意义的密文。而解密则是将密文经过解密函数、解密密钥处理还原成原文。密码技术是网络安全技术的基础。

2.身份验证技术。电子商务主体向系统证明自己身份，并由系统查核该主体的过程，是确认真实有效身份的重要环节，这个过程叫作身份验证。常用的验证技术有报文鉴别、身份鉴别和电子签名。

3.访问控制技术。访问控制是指对电子商务网络系统中各种资源访问时的权限确认，防止非法访问。它包括有关的策略、模型、机制的基础理论与实现方法。

4.防火墙技术。防火墙是用一组网络设备来加强一个网络与外界之间的访问控制。防火墙整体可以分为三大类：分组过滤、应用、电路网关。

二、企业电子商务安全运营管理制度保障策略

企业电子商务安全运营管理制度是用文字的形式对各项安全要求所做的规定，是保证企业取得电子商务成功的基础，是企业电子商务人员工作的规范和准则。这些制度主要包括人员管理制度，保密制度，跟踪审计制度，系统维护制度、数据备份制度等。

1.人员管理制度人员管理制度主要从人员的选拔，工作责任的落实和安全运作必须遵循的基本原则制定相应的工作制度。

2.保密制度电子商务系统涉及企业的市场、生产、财务、供应链等多方面的机密，这些方面都是需要很好地划分信息安全级别，并确定安全防范重点，提出相应的保密措施。

3.跟踪审计制度跟踪制度就是要求企业建立网络交易的日志机制，来记录网络交易的全过程。而审计制度是对系统日志的经常检查、审核，及时发现对系统有安全隐患的记录，监控各种安全事故，维护和管理系统日志。

4.网络系统的日常维护制度网络系统的日常维护包括硬件的日常维护和软件的日常维护，硬件维护主要是对网络设备服务器和客户机以及通信线路进行定期规范地巡查、检修；软件维护主要是规范地对支撑软件的定期清理和整理、监测、处理特殊情况以及对应用软件的升级等。

5.数据备份制度数据备份主要是利用多种介质对信息系统数据进行存储，定期为重要信息备份、系统设备备份，并定期更新，以减少安全事故发生时造成的损失。

三、电子商务立法策略

电子商务安全得到法律保障，首先必须完善电子商务安全相关的法律。如何构建一个有针对性的健全的法律体系是摆在我们面前的迫切问题。可以从立法目的、立法原则、立法范围和立法途径上分析。

1.立法目的电子商务安全立法的目的主要是要消除电子商务发展的法律障碍；消除现有法律适用上的不确定性，保护合理的商业行为，保障电子交易安全；建立一个清晰的法律框架以统一调整电子商务的健康发展。

2.立法范围电子商务安全方面需要的法律法规主要有：市场准入制度、合同有效认证办法、电子支付系统安全措施、信息保密防范办法，知识产权侵权处理规定、以及广告的管制、网络信息内容过滤等；电子商务调整的对象是电子商务中的各种社会关系。

3.立法途径电子商务法律仍然是调整社会关系，所以应当继承传统立法的合理内核，尤其是基础价值观。具体的立法途径主要是两种：第一是制定新的法律规范。对于传统法律没有规定的，即由电子商务带来的新的社会关系，应尽快制定法律规范；第二是修改或重新解释既定的法律规范。对于传统法律的规定不明确，或与电子商务新型社会关系有冲突甚至存在缺欠的，可以修改或重新解释既定的法律规范。

四、政府监督管理策略

电子商务本质是一种市场运作模式，市场的正常健康有序地发展，必须有政府宏观上的监督与管理，以协调和规范各市场主体的行为，宏观监督与管理电子商务运行中的安全保障体系。

1.计算机信息系统安全管理计算机信息系统，是指“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。”计算机安全保护规范主要有计算机安全等级保护制度，计算机系统使用单位安全负责制度，计算机案件强行报告制度，计算机病毒及其有害数据的专管制度与计算机信息安全专用产品销售许可证制度。对计算机信息系统安全的保护，有利于保障国家的安全和社会安定，促进电子商务的安全交易过程，有利电子商务的健康发展。

2.网络广告和网络服务业管理由于网络的开放性，自由性等特征决定了网络广告监管的难度，虚假广告、广告充斥着网络空间，网络广告已经发展成为一个社会问题。网络广告管理应该从三个方面入手：第一，网络广告组织的管理，必须对网站广告经营主体资格进行管制，第二，规范网络广告内容，确保广告内容的真实性、合法性和科学性。第三，需要有具体的广告审查管制、评估与监测部门。

国家针对网络服务业和网络用户管理已经颁布了《中华人民共和国计算机信息网络国际联网管理暂行规定》，其中提出了详细具体的限制条件。但是，网络飞速发展，面对网络中的新问题，还必须进一步深入全面地研究。

3.认证机构管理认证机构是电子商务活动中专门从事颁发认证证书的机构，对电子商务交易活动顺利进行，电子商务活动中交易参与各方身份和信息认定，维护交易安全具有重要作用。对认证机构的管理主要是通过对设立的条件、撤消或者颁发许可证等营业资格而进行审批监督；同时，还要针对其资产和财务状况定期审查，以免发生财务危机，对其信息披露与保密情况、安全系统运行情况等方面进行不定期或定期监督检查。

4.加强社会信用道德建设，构建和谐安全电子商务电子商务安全问题其中有很大部分是由电子商务用户或从业人员的信用道德问题引发的，在我国尤其严重，甚至大家感叹电子商务在我国“水土不服”。对于新型的商业运作模式，必然存在不少漏洞，这需要广大电子商务市场主体有良好的电子商务道德意识。除了从法律上采取措施，更重要的是政府要加强电子商务市场主体自身的道德建设,加强舆论监督和企业自律，充分利用网络新闻舆论监督，消费者舆论监督和行业协会的管理监督。

五、结束语

电子商务安全不仅涉及到电子商务公司、企业、消费者的利益，而且更加广泛地涉及经济、政治、国防、文化等诸多方面，关系到国家的安全、和社会的稳定。电子商务安全策略确保电子商务的快速、健康地发展。电子商务安全是目前电子商务发展的瓶颈，只有解决了电子商务安全，保障了市场主体的利益，才能得到网络用户的认可和参与，电子商务自身也才能得到快速、健康地发展。

参考文献

[1]林宁，吴志刚.我国信息安全技术标准化现状[J].中国标准化，2007（4）