电子商务的安全策略
电子商务的安全策略
欢迎各位电子商务的同学阅读电子商务的安全策略，希望对大家有帮助!
[摘 要] 如何确保电子商务可靠、可信赖的运转，安全问题理所当然地提升为有待完善与改进的重要问题之一。
[关键词] 电子商务 安全 对策
随着Internet和IT技术的迅猛发展，电子商务因其自身独有的特点与优势,逐渐成为进行商务活动的新模式,在人们的生活中也占据着日益重要的地位,但其安全问题也变得越来越突出。
如何建立一个安全、快捷、便利的电子商务应用环境,对信息在网络上的传输提供足够的保护,已成为商家和用户都非常关心的话题。
一、电子商务的定义
电子商务(E-business)是利用当前先进的电子技术从事各种商业活动的方式，其实质是一套完整的网络商务经营及管理信息系统。
更具体地说，它是利用计算机硬/软件设备和网络基础设施，通过一定协议连接起来的电子网络环境进行各种商务活动的方式。
比如：网上银行、网上营销、网上客户服务、网上调查等。
二、电子商务的基本特征
1.电子商务将传统的商务流程电子化、数字化，减少了人力、物力，降低了成本，具有开放性和全球性的特点，为企业创造了更多的贸易机会。
2.电子商务重新定义了传统的流通模式，减少了中间环节，使生产者和消费者不用谋面的网上交易成为可能，从而在一定程度上改变了社会经济运行的方式、经济布局和结构。
3.电子商务一方面突破了时间和空间的限制，另一方面又提供了丰富的信息资源，为各种社会经济要素的重新组合提供了更多的可能，使得交易活动可以在任何时间、任何地点进行，从而大幅度提高了效率。
可见，电子商务的一个重要技术特征是利用网络技术和IT技术来传输和处理商业信息的。
就整个系统而言，其安全性可以分为四个层次。
(1)网络节点的安全性。
(2)通讯的安全性。
(3)应用程序的安全性。
(4)用户的认证管理。
三、网络节点的安全性
1.防火墙的概念。
在构建安全网络环境的过程中，防火墙作为第一道安全防线，受到越来越多用户的关注与青睐。
防火墙是一个系统，主要用来执行Internet(外部网)和Intranet(内联网)之间的访问控制策略。
它可为各类企业网络提供必要的访问控制，又不造成网络的瓶颈，并通过安全策略控制进出系统的数据，保护企业资源。
2.防火墙安全策略。
防火墙保护内部网络的敏感数据不被窃取和破坏，并记录内外通信的有关状态信息日志，如通信发生的时间和进行的操作等。
新一代的防火墙甚至可以阻止内部人员将敏感数据向外传输。
设置了防火墙后，可以对网络数据的流动实现有效的管理：如允许公司员工使用电子邮件、Web浏览以及文件传输等服务，但不允许外界随意访问公司内部的计算机，同样还可以限制公司中不同部门之间的互相访问。
可见，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备组合，它还是安全策略的一个重要组成部分，其安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施及管理制度等。
所有可能受到网络攻击的地方都必须以同样的安全级别加以保护。
仅设置防火墙系统，而没有全面、细致的安全策略，那么防火墙就形同虚设。
3.安全操作系统。
安全的操作系统至少要有以下特征：(1)最小特权原则,即每个特权用户只拥有能进行其工作的权力。
(2)强制访问控制，包括保密性访问控制和完整性访问控制。
(3)安全审计和审计管理。
(4)安全域隔离。
其次，防火墙是基于操作系统的，如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙就不起作用了。
可见，安全是一个系统工程，操作系统安全只是其中的一个层次，还需要各个环节的配合，安全操作系统应该与各种安全软、硬件结合起来(如防火墙、杀毒软件、加密产品等)，才能让电子商务得到更广泛的应用，确保系统信息的安全达到最佳状态。
四、网络通信的安全性
1.数据通信的安全。
电子商务系统的数据通信主要存在于：(1)客户浏览器端与电子商务WEB服务器端的通讯。
(2)电子商务WEB服务器与电子商务数据库服务器的通讯。
2.通信链路的安全。
在客户端浏览器和电子商务WEB服务器之间采用SSL(Secure Electronic Transaction,安全电子交易)协议建立安全链接，所需传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。
为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由证书授权机构(CA中心)签发。
浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥(PKI)。
单纯的建立SSL链接时，客户只需用户下载该站点的服务器证书。
若验证此证书是合法的服务器证书，再利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥，然后用此对称算法加密将要传输的明文，此时浏览器也会出现进入安全状态的提示。
五、应用程序的安全性
即使正确地配置了访问控制规则，要满足计算机系统的安全性，这些工作还是不充分的，因为编程错误也可能导致对系统的破坏与攻击。
程序错误的常见形式：程序员忘记检查传送到程序的入口参数;程序员在处理字符串的内存缓冲时，忘记检查边界条件。
整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运行，其他的部分只有缩小的许可。
程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录，但不是显式的设置访问控制(最少许可)。
若程序员认为这个缺省的许可是正确的，则这些缺点就可能被用到攻击系统的行为中，不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。
缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的，程序不检查输入字符串长度。
输入假字符串常常是可执行的命令，特权程序可以执行指令。
六、用户的认证管理
1.身份认证。
开展电子商务的关键核心技术是保密存储与取出。
电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合来实现。
CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。
个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。
由于指纹具有惟一性，目前，指纹认证与网络传输便广泛的应用于银行专用网、企业营销网等各种商贸网络，使电子商务具有更现实的可操作性。
2.CA证书。
CA(Certificate Authority，即“认证机构”)，是证书的签发机构，它是PKI(Public Key Infrastructure，即“公开密钥体系”)的核心。
它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。
要在网上确认交易各方的身份及保证交易的不可否认性，便需要CA证书进行验证。
证书分为服务器证书和个人证书。
建立SSL安全链接不需要一定有个人证书，验证个人证书是为了验证来访者的合法身份。
CA也拥有一个证书(内含公钥)和私钥。
网上的公众用户通过验证CA的签字从而信任CA，任何人都可以得到CA的证书(含公钥)，用以验证它所签发的证书。
如果用户想得到一份属于自己的证书，应先向CA提出申请。
在CA判明申请者的身份后，便为其分配一个公钥，并且CA将该公钥与申请者的身份信息绑在一起，为之签字后，便形成证书发给申请者。
如果一个用户想鉴别另一个证书的真伪，可用CA的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。
七、建立安全管理机制
为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。
对于所有接触系统的人员，应按其职责设定其访问系统的最小权限。
按照分级管理原则，严格管理内部用户账号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户账号和密码。
建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。
定期检查日志，以便及时发现潜在的安全威胁。
对重要数据要及时进行备份。
对数据库中存放的数据，数据库系统应根据其重要性提供不同级别的数据加密。
安全管理实际上是一种风险管理，任何措施都不能保证百分之百的安全。
但安全技术的采用可降低系统遭到破坏、攻击的风险，决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。
随着全球经济一体化进程的加快，尤其是Internet技术、IT技术的迅猛发展及广泛应用，我们的社会也已融入到电子商务时代的气息当中，这是一个“以客户为中心”的时代，企业的市场营销及贸易往来都必须围绕这个中心来进行。
只有保证电子商务各个环节、各个方面的安全性与稳定性，才能为其正常运作提供有力的保证，才能为其自身迎来更广阔的前景。
参考文献：
[1]陈景艳:电子商务技术基础[M].电子工业出版社,2003.9
[2]劳帼龄:电子商务的安全技术[M].中国水利水电出版社,2005.9
【电子商务的安全策略】相关文章：
探析电子商务安全策略原则技术研究10-05
农产品电子商务安全策略研究论文10-09
网络与信息安全策略10-05
商务公司的信息安全策略10-05
高校教务档案信息安全策略10-05
校园网信息安全策略10-05
无线局域网安全策略10-06
档案信息安全策略研究论文10-11
数据库系统安全策略10-05