陳軍良
摘要:安全問題是電子商務的主要問題,本文鐘對電子商務活動中存在的信息安全隱患問題,主要介紹了實施保障電子商務信息安全的防火墻技術、數(shù)據(jù)加密技術、身份驗證技術等技術性措施。
關鍵詞:電子商務信息安全
計算機網(wǎng)絡安全與商務交易安全實際上是密不可分的,兩者相輔相成,缺一不可。針對計算機網(wǎng)絡的安全,常用的保護措施有防火墻技術、網(wǎng)絡入侵檢測技術、網(wǎng)絡防毒技術等。交易信息的安全是可以用數(shù)據(jù)加密、數(shù)字簽名、數(shù)字證書、ssl、set安全協(xié)議等技術來保護。下面就防火墻技術、數(shù)字加密技術、身份驗證技術等進行介紹。
1,防火墻技術
目前的防火墻主要有兩種類型。其一是包過濾型防火墻。它一般由路由器實現(xiàn),故也被稱為包過濾路由器。其二是應用級防火墻。大多數(shù)的應用級防火墻產(chǎn)品使用的是應用代理機制,內(nèi)置了代理應用程序,可用代理服務器作內(nèi)部網(wǎng)和Internet之間的的轉(zhuǎn)換。
防火墻就是在網(wǎng)絡邊界上建立相應的網(wǎng)絡通信監(jiān)控系統(tǒng),用來保障計算機網(wǎng)絡的安全,它是一種控制技術,既可以是一種軟件產(chǎn)品,又可以制作或嵌入到某種硬件產(chǎn)品中。從邏輯上講,防火墻是起分隔、限制、分析的作用。實際上,防火墻是加強Intranet《內(nèi)部網(wǎng))之間安全防御的一個或一組系統(tǒng),它由一組硬件設備(包括路由器、服務器)及相應軟件構成。所有來自Internet的傳輸信息或你發(fā)出的信息都必須經(jīng)過防火墻。這樣,防火墻就起到了保護諸如電子郵件、文件傳輸、遠程登錄、在特定的系統(tǒng)間進行信息交換等安全的作用。防火墻是網(wǎng)絡安全策略的有機組成部分,它通過控制和監(jiān)測網(wǎng)絡之間的信息交換和訪問行為來實現(xiàn)對網(wǎng)絡安全的有效管理。從總體上看,防火墻應該具有以下五大基本功能:(1)過濾進、出網(wǎng)絡的數(shù)據(jù):(2)管理進、出網(wǎng)絡的訪問行為:(3)封堵某些禁止行為:(4)記錄通過防火墻的信息內(nèi)容和活動:(5J對網(wǎng)絡攻擊進行檢測和告警。
防火墻雖然能對外部網(wǎng)絡的功擊實施有效的防護,但對來自內(nèi)部網(wǎng)絡的功擊卻無能為力。網(wǎng)絡安全單靠防火墻是不夠的,還需考慮其它技術和非技術的因素。
2,反病毒技術
反病毒技術包括與防病毒、檢測病毒和消毒三個環(huán)節(jié),反病毒必須做到“以預防為主“,正所謂”防患于未然”,等病毒出現(xiàn)了再去清除,可能已經(jīng)給用戶造成了巨大的損失。
3,數(shù)據(jù)加密技術
加密技術是保證電子商務中采用的主要安全措施,交易雙方可根據(jù)需要在信息交換階段使用。加密技術的主要問題是加密方式及實現(xiàn)加密的網(wǎng)絡協(xié)議層和密鑰的分配及管理。在一個加密過程中有兩個基本元素:算法和密鑰。加密過程就是根據(jù)一定的算法,將可理解的數(shù)據(jù)(明文}與一串數(shù)字(密鑰)相結(jié)合,從而產(chǎn)生不可理解的密文的過程,主要加密技術是:
(1)常規(guī)密鑰密碼加密。所謂常規(guī)密鑰密碼加密,即加密密鑰與解密密鑰是相同的。在早期的常規(guī)密鑰密碼體制中,典型的有代替密碼,其原理可以用一個例子來說明:字母A,B,C,D,…,W,X,Y,Z的自然順序保持不變,但使之與D,E,F(xiàn),G,…,Z,A,B,C分別對應(即相差3個字符)。若明文為WELL則對應的密文為ZH00(此時密鑰為3)。但存在幾個問題:第一,不能保證也無法知道密鑰在傳輸中的安全。若密鑰泄漏,黑客可用它解密信息,也可假冒一方做壞事。第二,假設每對交易方用不同的密鑰,N對交易方需要N(N一1),2個密鑰,難于管理。第三,不能鑒別數(shù)據(jù)的完整性。
(2)對稱密文加密。對稱密鑰加密又稱為秘密密鑰加密,即收發(fā)雙方采用相同的密鑰來進行加密和解密。對稱密鑰加密的最大優(yōu)點是加解密速度快,適合于進行大量數(shù)據(jù)加密,但也存在密鑰管理、發(fā)布困難以及無法進行身份鑒別的缺點。
(3)非對稱密鑰加密。非對稱密鑰加密也稱為公開密鑰加密,每個用戶有一對密鑰:一個用于加密,一個用于解密,兩把密鑰實際上是兩個很大的質(zhì)數(shù)。其中,加密密鑰(公鑰)可以在網(wǎng)絡服務器、報刊等場合公開,而解密密鑰(私鑰)則屬用戶的私有密鑰,由公開的加密密鑰導出私有的解密密鑰在技術上是不可實現(xiàn)的。與對稱密鑰加密相比,采用非對稱密鑰加密方式密鑰管理較方便,且保密性比較強,但加解密實現(xiàn)速度比較慢,不適用于通信負荷較重的應用。
具體加密傳輸過程如下:
a發(fā)送方甲用接收方乙的公鑰加密自己的私鑰。
b發(fā)送方家用自己的私鑰加密文件,然后將加密后的私鑰和文件傳輸給接收方。
c接收方乙用自己的私鑰解密,得到甲的私鑰。
d接收方乙用甲的公鑰解密,得到明文。
在密鑰的加密過程中,由于發(fā)送方甲用乙的公鑰加密了自己的私鑰,如果文件被竊取,由于只有乙保管自己的私鑰,黑客無法解密。這就保證了信息的機密性。另外,發(fā)送方甲用自己的私鑰加密信息,因為信息是用甲的私鑰加密,只有甲保管它,可以認定信息是甲發(fā)出的,而且沒有甲的私鑰不能修改數(shù)據(jù)。
4,身份驗證技術
僅有加密技術不足以保證電子商務中的交易安全,身份認證技術是保證電子商務安全不可缺少的又一重要技術手段。
(1)認證系統(tǒng)。網(wǎng)上安全交易的基礎是數(shù)字證書。數(shù)字證書類似于現(xiàn)實生活中的身份證,用于在網(wǎng)絡上鑒別個人或組織的真實身份。數(shù)字證書的頒發(fā)機構叫做Certificate Authority,通常簡稱為CA。要建立安全的電子商務系統(tǒng),首先必須建立一個穩(wěn)固、健全的CA,否則,一切網(wǎng)上的交易都沒有安全保障。
(2)SSL協(xié)議。SSL協(xié)議{Secure Socket Layer,安全套接層)主要目的是解決TCP/IP協(xié)議不能確認用戶身份的問題,在Socket上使用非對稱的加密技術,以保證網(wǎng)絡通信服務的安全性。SSL協(xié)議易于實現(xiàn)。SSL協(xié)議還是最值得信賴的協(xié)議。但是由于SSL協(xié)議當初并不是為支持電子商務而設計的,所以在電子商務系統(tǒng)的應用中還存在很多弊端,在涉及多方的電子交易中,只能提供交易中客戶與服務器間的雙方認證,而電子商務往往是用戶、網(wǎng)站、銀行三家協(xié)作完成,SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關系。
(3)SET協(xié)議。SET(Secure EIectronic Transaction)安全電子交易協(xié)議是用于Internet上的以信用卡為基礎的電子支付系統(tǒng)協(xié)議。主要應用于B/C模式中保障支付信息的安全性。SET協(xié)議提供對消費者、商戶和銀行的認證,協(xié)議本身比較復雜,設計比較嚴格,安全性高,確保電子交易的機密性、數(shù)據(jù)完整性、身份的合法性和抗否認性,特別是保證了不會將持卡人的信用卡號泄露給商戶。其核心技術主要有公開密匙加密、電子數(shù)字簽名、電子信封、電子安全證書等。
5,電子商務系統(tǒng)的安全管理制度
電子商務系統(tǒng)的安全管理制度尤為重要,它是用文字形式對各項安全要求所作的規(guī)定,它是保證網(wǎng)絡營銷取得成功的重要基礎工作,是網(wǎng)絡交易人員應該而且必須遵守的規(guī)范和準則。任何電子商務系統(tǒng)都要制定一套完整、適用于自身的安全管理制度,這些制度應該包括人員管理制度、保密制度、系統(tǒng)維護制度、數(shù)據(jù)備份制度、應急措施和病毒防治制度等。
6,結(jié)束語
隨著Internet逐漸發(fā)展成為電子商務的最佳載體,互聯(lián)網(wǎng)具有充分開放,不設防護的特點使加強電子商務的安全問題日益緊迫,只有充分信任的安全保障制度,確保信息的真實性、可靠性和保密性,才能夠打消人們的顧慮,放心的參與電子商務。否則,電子商務的發(fā)展將失去其支撐點。