电子商务安全性策略分析

[摘要] 在电子商务中，安全性是一个至关重要的问题，它要求网络能提供一种端到端的安全解决方案，电子商务的一个重要技术特征是利用it技术来传输和处理商业信息。因此，电子商务安全从整体上可分为两大部分：网络节点安全和商务交易安全。
　　[关键词] 电子商务 防火墙 商务安全
　　
　　网络节点安全的内容包括：计算机网络设备安全、计算机网络系统安全、数据库安全等，主要靠防火墙实现。商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何保障电子商务过程的顺利进行。
　　一、网络节点的安全
　　1.防火墙是在连接internet和intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的intranet系统。
　　2.防火墙安全策略
　　防火墙是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。
　　3.安全操作系统
　　防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。
　　二、商务安全
　　internet上的电子商务交易过程中，最核心和最关键的问题就是交易的安全性。电子商务的安全交易主要保证以下四个方面：
　　1.信息保密性
　　交易中的商务信息均有保密的要求。如信用卡的账号和用户名等不能被他人知悉，因此在信息传播中一般均有加密的要求。
　　2.交易者身份的确定性
　　网上交易的双方很可能素昧平生，相隔千里。要使交易成功，首先要能确认对方的身份，对商家要考虑客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此能方便而可靠地确认对方身份是交易的前提。
　　3.不可否认性
　　由于商情的千变万化，交易一旦达成是不能被否认的。否则必然会损害一方的利益。因此电子交易通信过程的各个环节都必须是不可否认的。
　　4.不可修改性
　　交易的文件是不可被修改的，否则也必然会损害一方的商业利益。因此电子交易文件也要能做到不可修改，以保障商务交易的严肃和公正。

　　三、商务安全的实现
　　1.通信和链路安全
　　通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于：
　　(1)客户浏览器端与电子商务web服务器端的通讯；
　　(2)电子商务web服务器与电子商务数据库服务器的通讯；
　　(3)银行内部网与业务网之间的数据通讯。
　　其中(3)不在本系统的安全策略范围内考虑。
　　此外，在客户端浏览器和电子商务web服务器之间采用ssl协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。
　　2.应用程序的安全
　　即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。
　　3.用户的认证管理
　　(1)身份认证
　　电子商务企业用户身份认证可以通过服务器ca证书与ic卡相结合实现的。ca证书用来认证服务器的身份，ic卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用id号和密码口令的身份确认机制。
　　(2)ca证书
　　要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是ca证书，它由认证授权中心（ca中心）发行。ca中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立ssl安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立ssl链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。
　　近年来，针对电子交易安全的要求，it业界与金融行业一起，推出不少有效的安全交易标准和技术。安全超文本传输协议（s－http）：依靠密钥对的加密，保障web站点间的交易信息传输的安全性。安全套接层协议（ssl）：由netscape公司提出的安全交易协议，提供加密、认证服务和报文的完整性。ssl被用于netscape和ie浏览器，以完成需要的安全交易操作。安全交易技术协议（stt）：由microsoft公司提出，stt将认证和解密在浏览器中分离开，用以提高安全控制能力。microsoft在ie中采用这一技术。
　　结束语:电子商务对计算机网络安全与商务安全的双重要求，使电子商务安全的复杂程度比大多数计算机网络更高，因此电子商务安全应作为安全工程来实施，以保证电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。