電子商務(wù)安全策略精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的電子商務(wù)安全策略主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：電子商務(wù)安全策略范文

關(guān)鍵詞：安全、認(rèn)證、證書、CA 、SSL協(xié)議、SET協(xié)議

一 引言

近幾年，隨著互聯(lián)網(wǎng)的不斷發(fā)展，在世界范圍內(nèi)掀起了一股電子商務(wù)熱潮。許多國家政府部門對電子商務(wù)的發(fā)展十分重視，把這場以電子商務(wù)為標(biāo)志的信息化革命與十九世紀(jì)以蒸汽機為標(biāo)志的工業(yè)化革命相提并論，并紛紛出臺了有關(guān)政策和舉措。

中國對電子商務(wù)的發(fā)展也給予了應(yīng)有的重視，考慮到電子商務(wù)必然涉及到網(wǎng)上支付、必然涉及到銀行支付結(jié)算，為了作好前瞻性的研究，1998年6月，人民銀行支付科技司組織成立了電子商務(wù)課題組，對銀行支付在電子商務(wù)中的作用和對策進行研究，并在研究基礎(chǔ)上，組織各商業(yè)銀行聯(lián)合共建金融認(rèn)證中心，為網(wǎng)上安全支付創(chuàng)造條件。

實現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動過程中系統(tǒng)的安全性，即應(yīng)保證在向基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。電子商務(wù)的安全主要采用數(shù)據(jù)加密和身份認(rèn)證技術(shù)。

下面分別從認(rèn)證系統(tǒng)，SSL（Secure Sockets Layer）協(xié)議和安全電子交易SET（Secure Electronic Transaction）協(xié)議三個方面來加以論述。

二 認(rèn)證系統(tǒng)

電子商務(wù)的關(guān)鍵是安全，網(wǎng)上安全交易的基礎(chǔ)是數(shù)字證書。證書類似于生活中的身份證，用以在網(wǎng)絡(luò)上鑒別一個人或組織的真實身份。證書的頒發(fā)機構(gòu)叫做Certificate Authority，通常簡稱CA。要建立安全的電子商務(wù)系統(tǒng)，必須首先建立一個穩(wěn)固、健全的CA；否則，一切網(wǎng)上的交易都沒有安全保障。

2.1 認(rèn)證系統(tǒng)的基本原理

傳統(tǒng)的對稱密鑰算法具有加密強度高、運算速度快的優(yōu)點，但密鑰的傳遞與管理的問題限制了它的一些應(yīng)用。為解決此問題，七十年代密碼界出現(xiàn)了公開密鑰算法，該算法使用一對密鑰即一個私鑰和一個公鑰，其對應(yīng)關(guān)系是唯一的，公鑰對外公開，私鑰個人秘密保存。一般用公鑰來進行加密，用私鑰來進行簽名；同時私鑰用來解密，公鑰用來驗證簽名。算法的加密強度主要取決于選定的密鑰長度。RSA算法是公開密鑰算法中研究最為深入，使用最為廣泛的算法，為大多數(shù)國家地區(qū)的官方或非官方所采用。利用RSA公開密鑰算法在密鑰自動管理、數(shù)字簽名、身份識別等方面的特性，可建立一個為用戶的公開密鑰提供擔(dān)保的可信的第三方認(rèn)證系統(tǒng)。這個可信的第三方認(rèn)證系統(tǒng)也稱為CA，CA為用戶發(fā)放電子證書，用戶之間（比如網(wǎng)銀服務(wù)器和某客戶之間）利用證書來保證信息安全性和雙方身份的合法性。

國際郵聯(lián)ITU在1994年公布了關(guān)于證書格式的最新標(biāo)準(zhǔn)，稱為X.509協(xié)議，在X.509的證書格式中，包含很多域，其中比較重要的有：用戶名稱、簽發(fā)者名稱、有效期、用戶公鑰信息、簽發(fā)者對證書信息的數(shù)字簽名。在瀏覽器和Web Server產(chǎn)品中都已集成了證書申請和證書的驗證功能，只要能用符合X.509協(xié)議的證書安裝在瀏覽器上和Web Server服務(wù)器端，就能實現(xiàn)雙方證書的自動驗證，從而識別身份。

2.2 系統(tǒng)結(jié)構(gòu)

整個系統(tǒng)是一個大的網(wǎng)絡(luò)環(huán)境，系統(tǒng)從功能上基本可以劃分為CA、RA和Web Publisher。

核心系統(tǒng)根CA放在一個單獨的封閉空間中，為了保證運行的絕對安全，其人員及制度都有嚴(yán)格的規(guī)定，并且系統(tǒng)設(shè)計為一離線網(wǎng)絡(luò)。CA的功能是在收到來自RA的證書請求時，頒發(fā)證書。一般的個人證書發(fā)放過程都是自動進行，無須人工干預(yù)。

證書的登記機構(gòu)Register Authority，簡稱RA，分散在各個網(wǎng)上銀行的地區(qū)中心。RA與網(wǎng)銀中心有機結(jié)合，接受客戶申請，并審批申請，把證書正式請求通過建設(shè)銀行企業(yè)內(nèi)部網(wǎng)發(fā)送給CA中心。RA與CA雙方的通信報文也通過RSA進行加密，確保安全。系統(tǒng)的分布式結(jié)構(gòu)適于新業(yè)務(wù)網(wǎng)點的開設(shè)，具有較好的擴充性。通信協(xié)議為TCP/IP。

證書的公布系統(tǒng)Web Publisher，簡稱WP，置于Internet網(wǎng)上，是普通用戶和CA直接交流的界面。對用戶來講它相當(dāng)于一個在線的證書數(shù)據(jù)庫。用戶的證書由CA頒發(fā)之后，CA用E－mail通知用戶，然后用戶須用瀏覽器從這里下載證書。

2.3 我國認(rèn)證系統(tǒng)的建設(shè)情況

為保證電子商務(wù)在中國的順利開展，必須建立全國統(tǒng)一的金融認(rèn)證中心。

目前，經(jīng)"金融系統(tǒng)電子商務(wù)聯(lián)絡(luò)與研究小組"提議，由人民銀行和各家商業(yè)銀行聯(lián)合建立金融部門的安全認(rèn)證體系得到了國內(nèi)十幾家商業(yè)銀行的支持和響應(yīng)。經(jīng)金融信息化領(lǐng)導(dǎo)小組會議批準(zhǔn)，現(xiàn)已決定由人民銀行牽頭，聯(lián)合工商銀行等11家商業(yè)銀行，共同出資建立金融認(rèn)證中心。

金融認(rèn)證中心工程建設(shè)目前正在順利進行。它將是面向全國的、金融系統(tǒng)聯(lián)合共建的統(tǒng)一的認(rèn)證中心，將支持B to C和B to B兩種模式的網(wǎng)上交易；在體系結(jié)構(gòu)上，金融認(rèn)證中心的設(shè)計充分考慮了各地方開展電子商務(wù)的認(rèn)證需求，計劃在中心城市或某些銀行系統(tǒng)內(nèi)設(shè)立若干面對客戶的注冊機構(gòu)。

三 SSL協(xié)議

SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層之上提供的一種基于RSA和保密密鑰的用于瀏覽器和Web服務(wù)器之間的安全連接技術(shù)。它被視為 Internet 上 Web 瀏覽器和服務(wù)器的標(biāo)準(zhǔn)安全性措施。SSL 提供了用于啟動 TCP/IP 連接的安全性“信號交換”。這種信號交換導(dǎo)致客戶和服務(wù)器同意將使用的安全性級別，并履行連接的任何身份驗證要求。它通過數(shù)字簽名和數(shù)字證書可實現(xiàn)瀏覽器和Web服務(wù)器雙方的身份驗證。在用數(shù)字證書對雙方的身份驗證后，雙方就可以用保密密鑰進行安全的會話了。

這種簡單加密模式的特點是：

部分或全部信息加密；

采用對稱的和非對稱的加密技術(shù)；

通過數(shù)字證書驗證身份；

采用防止偽造的數(shù)字簽名。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如HTTP、FTP、TELNET等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩?。SSL協(xié)議獨立于應(yīng)用層協(xié)議，因此，在電子交易中被用來安全傳送信用卡號碼。

SSL協(xié)議握手流程由兩個階段組成：服務(wù)器認(rèn)證和用戶認(rèn)證（可選）。

3.1 服務(wù)器認(rèn)證階段

在一次交易過程中，客戶的證書首先傳送到銀行Server方，服務(wù)器先驗證有效期，再根據(jù)簽發(fā)者(CA)名稱找到簽發(fā)者公鑰(在CA的根證書內(nèi))，驗證證書的數(shù)字簽名的合法性。

Web 服務(wù)器上的 SSL 安全性要求步驟如下：

1 生成密鑰對文件和請求文件。

2 從身份驗證權(quán)限中請求一個證書。

3 在服務(wù)器上安裝證書。

4 激活 WWW 服務(wù)文件夾上的 SSL 安全性。

服務(wù)器根據(jù)客戶的信息確定是否需要生成新的主密鑰，如需要則服務(wù)器在響應(yīng)客戶的消息時將包含生成主密鑰所需的信息；

客戶根據(jù)收到的服務(wù)器響應(yīng)信息，產(chǎn)生一個主密鑰，并用服務(wù)器的公開密鑰加密后傳給服務(wù)器；

服務(wù)器恢復(fù)該主密鑰，并返回給客戶一個用主密鑰認(rèn)證的信息，以此讓客戶認(rèn)證服務(wù)器。

這樣通過主密鑰引出的密鑰對一系列數(shù)據(jù)進行加密來認(rèn)證服務(wù)器，從而建立安全的通信通道。

3.2 用戶認(rèn)證階段（可選）

在此之前，服務(wù)器已經(jīng)過了客戶認(rèn)證，這一階段主要完成對客戶的認(rèn)證。

經(jīng)認(rèn)證的服務(wù)器發(fā)送一個提問給客戶，客戶則返回（數(shù)字）簽名后的提問和其公開密鑰，從而向服務(wù)器提供認(rèn)證。

SSL支持各種加密算法。在“握手”過程中，使用RSA公開密鑰系統(tǒng)。密鑰交換后，使用一系列密碼，包括RC2、RC4、IDEA、DES、triple-DES及MD5 信息摘要算法。公開密鑰認(rèn)證遵循X.509標(biāo)準(zhǔn)。

SSL協(xié)議獨立于應(yīng)用層協(xié)議，且被大部分的瀏覽器和Web服務(wù)器所內(nèi)置，便于在電子交易中應(yīng)用，國際著名的CyberCash信用卡支付系統(tǒng)就支持這種簡單加密模式，IBM等公司也提供這種簡單加密模式的支付系統(tǒng)。

3.3 SSL的應(yīng)用及局限

中國目前多家銀行均采用SSL協(xié)議，如在目前中國的電子商務(wù)系統(tǒng)中能完成實時支付，用的最多的招行一網(wǎng)通采用的就是SSL協(xié)議。所以，從目前實際使用的請款來看，SSL還是人們最信賴的協(xié)議。

SSL當(dāng)初并不是為支持電子商務(wù)而設(shè)計的，所以在電子商務(wù)系統(tǒng)的應(yīng)用中還存在很多弊端。它是一個面向連接的協(xié)議，在涉及多方的電子交易中，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，而電子商務(wù)往往是用戶、網(wǎng)站、銀行三家協(xié)作完成， SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系；還有，購貨時用戶要輸入通信地址，這樣將可能使得用戶收到大量垃圾信件。

因此，為了實現(xiàn)更加完善的電子交易，MasterCard和Visa以及其它一些業(yè)界廠商制訂并了SET協(xié)議。

四 SET協(xié)議

SET協(xié)議是針對開放網(wǎng)絡(luò)上安全、有效的銀行卡交易，由Visa和MasterCard聯(lián)合研制的，為Internet上卡支付交易提供高層的安全和反欺詐保證。SET協(xié)議為電子交易提供的安全措施

SET協(xié)議保證了電子交易的機密性、數(shù)據(jù)完整性、身份的合法性和抗否認(rèn)性。

4.1 機密性（Confidentiality）

SET協(xié)議采用先進的公開密鑰算法來保證傳輸信息的機密性，以避免Internet上任何無關(guān)方的窺探。公開密鑰算法容許任何人使用公開的密鑰將加密信息發(fā)送給指定的接收者，接收者收到密文后，用私人密鑰對這個信息解密，因此，只有指定的接收者才能讀這個信息，從而保證信息的機密性。

SET協(xié)議也可通過雙重簽名的方法將信用卡信息直接從客戶方透過商家發(fā)送到商家的開戶行，而不容許商家訪問客戶的賬號信息，這樣客戶在消費時可以確信其信用卡號沒有在傳輸過程中被窺探，而接收SET交易的商家因為沒有訪問信用卡信息，故免去了在其數(shù)據(jù)庫中保存信用卡號的責(zé)任。

4.2 數(shù)據(jù)完整性（Data Integrity）

通過SET協(xié)議發(fā)送的所有報文加密后，將為之產(chǎn)生一個唯一的報文摘要值（message digest），一旦有人企圖篡改報文中包含的數(shù)據(jù)，該數(shù)值就會改變，從而被檢測到，這就保證了信息的完整性。

4.3 身份驗證（Verification of Identity）

SET協(xié)議可使用數(shù)字證書來確認(rèn)交易涉及的各方（包括商家、持卡客戶、受卡行和支付網(wǎng)關(guān)）的身份，為在線交易提供一個完整的可信賴的環(huán)境。

4.4 抗否認(rèn)性（Non-repudiation of Disputed Charges）

SET交易中數(shù)字證書的過程也包含了商家和客戶在交易中存在的信息。因此，如果客戶用SET發(fā)出一個商品的訂單，在收到貨物后他（她）不能否認(rèn)發(fā)出過這個訂單；同樣，商家以后也不能否認(rèn)收到過這個訂單。

4.5 SET的局限性

SET是專門為電子商務(wù)而設(shè)計的協(xié)議，雖然它在很多方面優(yōu)于SSL協(xié)議，但仍然不能解決電子商務(wù)所遇到的全部問題。而且，SET遭到有些銀行的抵制，其前途如何，尚未得知。

五 與電子商務(wù)安全有關(guān)的其他一些技術(shù)

5.1 密碼技術(shù)

密碼技術(shù)基本思想是在加密密鑰Ke的控制下按照加密算法E對要保護的數(shù)據(jù)（即明文M）加密成密文C，記為C＝E（M，Ke）。而解密是在解密鑰Kd的控制下按照解密算法D對密文C進行反變換后還原為明文M，記為M＝D（C，Kd）。根據(jù)密鑰性質(zhì)的不同，可分為傳統(tǒng)密碼體制和公開鑰密碼體制兩大類型。

傳統(tǒng)密碼體制加密解密用同一個密鑰，即Ke=Kd；而公開鑰密碼體制使用一對密鑰即一個私鑰和一個公鑰，其對應(yīng)關(guān)系是唯一的，公鑰對外公開，私鑰個人秘密保存。一般用公鑰來進行加密，用私鑰來進行簽名；同時私鑰用來解密，公鑰用來驗證簽名。算法的加密強度主要取決于選定的密鑰長度。

密碼技術(shù)是上面所提到的幾種技術(shù)的基礎(chǔ)，所以可以說整個電子商務(wù)的安全就是建立在密碼技術(shù)基礎(chǔ)上的。

5.2 訪問控制

除了計算機網(wǎng)絡(luò)硬設(shè)備之外，網(wǎng)絡(luò)操作系統(tǒng)是確保計算機網(wǎng)絡(luò)安全的最基本部件。它是計算機網(wǎng)絡(luò)資源的管理者，必須具備安全的控制策略和保護機制，防止非法入侵者攻破設(shè)防而非法獲取資源。網(wǎng)絡(luò)操作系統(tǒng)安全保密的核心是訪問控制，即確保主體對客體的訪問只能是授權(quán)的，未經(jīng)授權(quán)的訪問是不允許的，其操作是無效的。因此，授權(quán)策略和機制的安全性顯得特別重要。保護可以從以下幾個方面加以考慮：物理隔離、時間隔離、密碼隔離。

5.3 防火墻技術(shù)

設(shè)立防火墻的目的是保護內(nèi)部網(wǎng)絡(luò)不受外部網(wǎng)絡(luò)的攻擊，以及防止內(nèi)部網(wǎng)絡(luò)的用戶向外泄密。目前，防火墻技術(shù)主要是分組過濾和服務(wù)兩種類型。下面簡要介紹這兩種技術(shù)：

分組過濾：這是一種基于路由器的防火墻。它是在網(wǎng)間的路由器中按網(wǎng)絡(luò)安全策略設(shè)置一張訪問表或黑名單，即借助數(shù)據(jù)分組中的IP地址確定什么類型的信息允許通過防火墻，什么類型的信息不允許通過。防火墻的職責(zé)就是根據(jù)訪問表（或黑名單）對進出路由器的分組進行檢查和過濾，凡符合要求的放行，不符合的拒之門外。這種防火墻簡單易行，但不能完全有效地防范非法攻擊。目前，80％的防火墻都是采用這種技術(shù)。

服務(wù)：是一種基于服務(wù)的防火墻，它的安全性高，增加了身份認(rèn)證與審計跟蹤功能，但速度較慢。所謂審計跟蹤是對網(wǎng)絡(luò)系統(tǒng)資源的使用情況提供－個完備的記錄，以便對網(wǎng)絡(luò)進行完全監(jiān)督和控制。通過不斷收集與積累有關(guān)出入網(wǎng)絡(luò)的完全事件記錄，并有選擇地對其中的某些進行審計跟蹤，發(fā)現(xiàn)可能的非法行為并提供有力的證據(jù)，然后以秘密的方式向網(wǎng)上的防火墻發(fā)出有關(guān)信息如黑名單等。

5.4 數(shù)字時間戳

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數(shù)字時間戳服務(wù)(DTS：digital time-stamp service)就能提供電子文件發(fā)表時間的安全保護。

數(shù)字時間戳服務(wù)（DTS）是網(wǎng)上安全服務(wù)項目，由專門的機構(gòu)提供。時間戳（time-stamp）是一個經(jīng)加密后形成的憑證文檔，它包括三個部分：1)需加時間戳的文件的摘要(digest)，2)DTS收到文件的日期和時間，3)DTS的數(shù)字簽名。

時間戳產(chǎn)生的過程為：用戶首先將需要加時間戳的文件用HASH編碼加密形成摘要，然后將該摘要發(fā)送到DTS，DTS在加入了收到文件摘要的日期和時間信息后再對該文件加密（數(shù)字簽名），然后送回用戶。由Bell core創(chuàng)造的DTS采用如下的過程：加密時將摘要信息歸并到二叉樹的數(shù)據(jù)結(jié)構(gòu)；再將二叉樹的根值發(fā)表在報紙上，這樣更有效地為文件發(fā)表時間提供了佐證。注意，書面簽署文件的時間是由簽署人自己寫上的，而數(shù)字時間戳則不然，它是由認(rèn)證單位DTS來加的，以DTS收到文件的時間為依據(jù)。因此，時間戳也可作為科學(xué)家的科學(xué)發(fā)明文獻的時間認(rèn)證。

六 結(jié)束語

隨著上網(wǎng)人數(shù)的不斷增加以及金融認(rèn)證系統(tǒng)的不斷完善，各種安全協(xié)議的不斷出臺，電子商務(wù)在中國將會有一個長足的發(fā)展；隨著時間的推移，電子商務(wù)將從根本上改變幾千年來形成的傳統(tǒng)商業(yè)模式，充分體現(xiàn)現(xiàn)代科學(xué)技術(shù)給人們生活所帶來的便利。

參考文獻

[1] netscape.com

[2] setco.org/set—specifications.html

[3] 楊千里，王育民等著 電子商務(wù)技術(shù)與應(yīng)用 北京：電子工業(yè)出版社，1999

第2篇：電子商務(wù)安全策略范文

論文摘要：電子商務(wù)安全問題已成為制約電子商務(wù)發(fā)展的重要問題，安全問題包括電子商務(wù)交易安全、計算機網(wǎng)絡(luò)安全等顯性的問題，還包括管理、法律和標(biāo)準(zhǔn)等方面的隱性問題。通過對電子商務(wù)安全體系的分析，研究電子商務(wù)安全策略，建立一個安全電子商務(wù)環(huán)境，將促進電子商務(wù)健康快速地發(fā)展。

電子商務(wù)是一個跨國界，跨地區(qū)，跨行業(yè)的多種技術(shù)綜合集成與不同社會經(jīng)濟文化背景形成的各種習(xí)俗不斷沖突，不斷協(xié)調(diào)和不斷統(tǒng)一的綜合性社會系統(tǒng)工程。電子商務(wù)安全策略保障電子商務(wù)各個主體的切身利益。電子商務(wù)安全策略是以人為本，從各主體的角度思考，綜合協(xié)調(diào)了各個市場主體的行為，從根本上保障了消費者、企業(yè)、電子商務(wù)網(wǎng)站等市場主體的切身利益，它為實現(xiàn)電子商務(wù)提供了統(tǒng)一的基礎(chǔ)平臺和安全屏障。

一、電子商務(wù)安全技術(shù)保障策略

安全技術(shù)保障技術(shù)是電子商務(wù)安全體系中的基本策略，目前相關(guān)的信息安全技術(shù)與專門的電子商務(wù)安全技術(shù)研究比較普遍和成熟。電子商務(wù)中常用到的安全技術(shù)有以下幾種：

1.密碼技術(shù)。密碼技術(shù)包括加密技術(shù)和解密技術(shù)。加密是將信息經(jīng)過加密密鑰及加密函數(shù)轉(zhuǎn)換，變成無意義的密文。而解密則是將密文經(jīng)過解密函數(shù)、解密密鑰處理還原成原文。密碼技術(shù)是網(wǎng)絡(luò)安全技術(shù)的基礎(chǔ)。

2.身份驗證技術(shù)。電子商務(wù)主體向系統(tǒng)證明自己身份，并由系統(tǒng)查核該主體的過程，是確認(rèn)真實有效身份的重要環(huán)節(jié)，這個過程叫作身份驗證。常用的驗證技術(shù)有報文鑒別、身份鑒別和電子簽名。

3.訪問控制技術(shù)。訪問控制是指對電子商務(wù)網(wǎng)絡(luò)系統(tǒng)中各種資源訪問時的權(quán)限確認(rèn)，防止非法訪問。它包括有關(guān)的策略、模型、機制的基礎(chǔ)理論與實現(xiàn)方法。

4.防火墻技術(shù)。防火墻是用一組網(wǎng)絡(luò)設(shè)備來加強一個網(wǎng)絡(luò)與外界之間的訪問控制。防火墻整體可以分為三大類：分組過濾、應(yīng)用、電路網(wǎng)關(guān)。

二、企業(yè)電子商務(wù)安全運營管理制度保障策略

企業(yè)電子商務(wù)安全運營管理制度是用文字的形式對各項安全要求所做的規(guī)定，是保證企業(yè)取得電子商務(wù)成功的基礎(chǔ)，是企業(yè)電子商務(wù)人員工作的規(guī)范和準(zhǔn)則。這些制度主要包括人員管理制度，保密制度，跟蹤審計制度，系統(tǒng)維護制度、數(shù)據(jù)備份制度等。

1.人員管理制度人員管理制度主要從人員的選拔，工作責(zé)任的落實和安全運作必須遵循的基本原則制定相應(yīng)的工作制度。

2.保密制度電子商務(wù)系統(tǒng)涉及企業(yè)的市場、生產(chǎn)、財務(wù)、供應(yīng)鏈等多方面的機密，這些方面都是需要很好地劃分信息安全級別，并確定安全防范重點，提出相應(yīng)的保密措施。

3.跟蹤審計制度跟蹤制度就是要求企業(yè)建立網(wǎng)絡(luò)交易的日志機制，來記錄網(wǎng)絡(luò)交易的全過程。而審計制度是對系統(tǒng)日志的經(jīng)常檢查、審核，及時發(fā)現(xiàn)對系統(tǒng)有安全隱患的記錄，監(jiān)控各種安全事故，維護和管理系統(tǒng)日志。

4.網(wǎng)絡(luò)系統(tǒng)的日常維護制度網(wǎng)絡(luò)系統(tǒng)的日常維護包括硬件的日常維護和軟件的日常維護，硬件維護主要是對網(wǎng)絡(luò)設(shè)備服務(wù)器和客戶機以及通信線路進行定期規(guī)范地巡查、檢修；軟件維護主要是規(guī)范地對支撐軟件的定期清理和整理、監(jiān)測、處理特殊情況以及對應(yīng)用軟件的升級等。

5.數(shù)據(jù)備份制度數(shù)據(jù)備份主要是利用多種介質(zhì)對信息系統(tǒng)數(shù)據(jù)進行存儲，定期為重要信息備份、系統(tǒng)設(shè)備備份，并定期更新，以減少安全事故發(fā)生時造成的損失。

三、電子商務(wù)立法策略

電子商務(wù)安全得到法律保障，首先必須完善電子商務(wù)安全相關(guān)的法律。如何構(gòu)建一個有針對性的健全的法律體系是擺在我們面前的迫切問題?？梢詮牧⒎康摹⒘⒎ㄔ瓌t、立法范圍和立法途徑上分析。

1.立法目的電子商務(wù)安全立法的目的主要是要消除電子商務(wù)發(fā)展的法律障礙；消除現(xiàn)有法律適用上的不確定性，保護合理的商業(yè)行為，保障電子交易安全；建立一個清晰的法律框架以統(tǒng)一調(diào)整電子商務(wù)的健康發(fā)展。

2.立法范圍電子商務(wù)安全方面需要的法律法規(guī)主要有：市場準(zhǔn)入制度、合同有效認(rèn)證辦法、電子支付系統(tǒng)安全措施、信息保密防范辦法，知識產(chǎn)權(quán)侵權(quán)處理規(guī)定、以及廣告的管制、網(wǎng)絡(luò)信息內(nèi)容過濾等；電子商務(wù)調(diào)整的對象是電子商務(wù)中的各種社會關(guān)系。

3.立法途徑電子商務(wù)法律仍然是調(diào)整社會關(guān)系，所以應(yīng)當(dāng)繼承傳統(tǒng)立法的合理內(nèi)核，尤其是基礎(chǔ)價值觀。具體的立法途徑主要是兩種：第一是制定新的法律規(guī)范。對于傳統(tǒng)法律沒有規(guī)定的，即由電子商務(wù)帶來的新的社會關(guān)系，應(yīng)盡快制定法律規(guī)范；第二是修改或重新解釋既定的法律規(guī)范。對于傳統(tǒng)法律的規(guī)定不明確，或與電子商務(wù)新型社會關(guān)系有沖突甚至存在缺欠的，可以修改或重新解釋既定的法律規(guī)范。

四、政府監(jiān)督管理策略

電子商務(wù)本質(zhì)是一種市場運作模式，市場的正常健康有序地發(fā)展，必須有政府宏觀上的監(jiān)督與管理，以協(xié)調(diào)和規(guī)范各市場主體的行為，宏觀監(jiān)督與管理電子商務(wù)運行中的安全保障體系。

1.計算機信息系統(tǒng)安全管理計算機信息系統(tǒng)，是指“由計算機及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進行采集、加工、存儲、傳輸、檢索等處理的人機系統(tǒng)?！庇嬎銠C安全保護規(guī)范主要有計算機安全等級保護制度，計算機系統(tǒng)使用單位安全負(fù)責(zé)制度，計算機案件強行報告制度，計算機病毒及其有害數(shù)據(jù)的專管制度與計算機信息安全專用產(chǎn)品銷售許可證制度。對計算機信息系統(tǒng)安全的保護，有利于保障國家的安全和社會安定，促進電子商務(wù)的安全交易過程，有利電子商務(wù)的健康發(fā)展。

2.網(wǎng)絡(luò)廣告和網(wǎng)絡(luò)服務(wù)業(yè)管理由于網(wǎng)絡(luò)的開放性，自由性等特征決定了網(wǎng)絡(luò)廣告監(jiān)管的難度，虛假廣告、廣告充斥著網(wǎng)絡(luò)空間，網(wǎng)絡(luò)廣告已經(jīng)發(fā)展成為一個社會問題。網(wǎng)絡(luò)廣告管理應(yīng)該從三個方面入手：第一，網(wǎng)絡(luò)廣告組織的管理，必須對網(wǎng)站廣告經(jīng)營主體資格進行管制，第二，規(guī)范網(wǎng)絡(luò)廣告內(nèi)容，確保廣告內(nèi)容的真實性、合法性和科學(xué)性。第三，需要有具體的廣告審查管制、評估與監(jiān)測部門。

國家針對網(wǎng)絡(luò)服務(wù)業(yè)和網(wǎng)絡(luò)用戶管理已經(jīng)頒布了《中華人民共和國計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》，其中提出了詳細(xì)具體的限制條件。但是，網(wǎng)絡(luò)飛速發(fā)展，面對網(wǎng)絡(luò)中的新問題，還必須進一步深入全面地研究。

3.認(rèn)證機構(gòu)管理認(rèn)證機構(gòu)是電子商務(wù)活動中專門從事頒發(fā)認(rèn)證證書的機構(gòu)，對電子商務(wù)交易活動順利進行，電子商務(wù)活動中交易參與各方身份和信息認(rèn)定，維護交易安全具有重要作用。對認(rèn)證機構(gòu)的管理主要是通過對設(shè)立的條件、撤消或者頒發(fā)許可證等營業(yè)資格而進行審批監(jiān)督；同時，還要針對其資產(chǎn)和財務(wù)狀況定期審查，以免發(fā)生財務(wù)危機，對其信息披露與保密情況、安全系統(tǒng)運行情況等方面進行不定期或定期監(jiān)督檢查。

4.加強社會信用道德建設(shè)，構(gòu)建和諧安全電子商務(wù)電子商務(wù)安全問題其中有很大部分是由電子商務(wù)用戶或從業(yè)人員的信用道德問題引發(fā)的，在我國尤其嚴(yán)重，甚至大家感嘆電子商務(wù)在我國“水土不服”。對于新型的商業(yè)運作模式，必然存在不少漏洞，這需要廣大電子商務(wù)市場主體有良好的電子商務(wù)道德意識。除了從法律上采取措施，更重要的是政府要加強電子商務(wù)市場主體自身的道德建設(shè),加強輿論監(jiān)督和企業(yè)自律，充分利用網(wǎng)絡(luò)新聞輿論監(jiān)督，消費者輿論監(jiān)督和行業(yè)協(xié)會的管理監(jiān)督。

五、結(jié)束語

電子商務(wù)安全不僅涉及到電子商務(wù)公司、企業(yè)、消費者的利益，而且更加廣泛地涉及經(jīng)濟、政治、國防、文化等諸多方面，關(guān)系到國家的安全、和社會的穩(wěn)定。電子商務(wù)安全策略確保電子商務(wù)的快速、健康地發(fā)展。電子商務(wù)安全是目前電子商務(wù)發(fā)展的瓶頸，只有解決了電子商務(wù)安全，保障了市場主體的利益，才能得到網(wǎng)絡(luò)用戶的認(rèn)可和參與，電子商務(wù)自身也才能得到快速、健康地發(fā)展。

參考文獻

[1]林寧，吳志剛.我國信息安全技術(shù)標(biāo)準(zhǔn)化現(xiàn)狀[J].中國標(biāo)準(zhǔn)化，2007（4）

[2]胡艷春.電子商務(wù)網(wǎng)站建設(shè)中的安全問題研究[J].商場現(xiàn)代化，2006，（10）

第3篇：電子商務(wù)安全策略范文

關(guān)鍵詞：信息時代；電子商務(wù)；安全策略；互聯(lián)網(wǎng)；計算機技術(shù) 文獻標(biāo)識碼：A

中圖分類號：F724 文章編號：1009-2374（2015）09-0081-02 DOI：10.13535/ki.11-4406/n.2015.0796

互聯(lián)網(wǎng)時代是一個大容量的信息時代，其突出代表就是電子商務(wù)的發(fā)展。電子商務(wù)所觸及的范圍很廣，包括商品和服務(wù)。同時電子商務(wù)所涉及的領(lǐng)域很廣，包括商品買賣、促銷推廣，期間還涉及銀行、信息咨詢和電子支付等。通過電子商務(wù)這一紐帶，將商家、客戶、中間機構(gòu)、銀行乃至政府緊緊連接在了一起。因此它包含的信息是海量的、廣泛的。如果在實際交易中信息被披露，這影響和后果都是不容忽視的。

1 信息時代電子商務(wù)中信息安全的構(gòu)成

電子商務(wù)需要面向公眾開放，因此能否保證電子商務(wù)的信息安全至關(guān)重要。如何檢測電子商務(wù)的信息是否安全？可以從以下四點來進行對比：一是信息的完整性。信息完整才能讓交易完成，期間應(yīng)做到不隨意修改，不重復(fù)發(fā)送，不在傳送中失真；二是信息的保密性。在電子商務(wù)中保持信息的保密性是進行交易的基礎(chǔ)；三是信息的可用性。在雙方進行交易時，需要保證雙方所提供的信息都是可采納的有效信息；四是信息的可靠性。電子商務(wù)是為了達到交易雙方共同的期許，因此應(yīng)保證雙方所提供的信息都是可靠的，所以安全的交易系統(tǒng)是必不可少的。只有具備了交易中的信息安全，才能使電子商務(wù)真正發(fā)揮作用。

2 信息時代下計算機電子商務(wù)存在的問題

2.1 計算機電子商務(wù)的信息存儲安全性較弱

相比于國外發(fā)展情況，互聯(lián)網(wǎng)在我國的發(fā)展歷史還不算長，因此對互聯(lián)網(wǎng)所掌握的技術(shù)和經(jīng)驗水平還不算高，容易遭到黑客攻擊，而電子商務(wù)信息的存儲主要是以靜態(tài)方式存儲，其有兩個最大的威脅，那就是“非授權(quán)用戶修改”和“查看信息”這兩種主要形式。在企業(yè)連接上互聯(lián)網(wǎng)后，如果期間某些環(huán)節(jié)出現(xiàn)紕漏，便會造成企業(yè)的電子商務(wù)受到內(nèi)部和外部的雙重威脅。內(nèi)部威脅是指內(nèi)部人員在用戶沒有授權(quán)的情況下私自篡改電子商務(wù)信息，如最近新聞上熱議的“各大銀行客戶的銀行存款莫名其妙被轉(zhuǎn)走”，經(jīng)調(diào)查才知道是由于內(nèi)部人員私自篡改電子商務(wù)信息，這筆錢根本就未進入銀行，就將儲戶的存款轉(zhuǎn)走了。而外部威脅是指企業(yè)以外的人員（如黑客）入侵企業(yè)的內(nèi)部網(wǎng)絡(luò)，在企業(yè)和客戶未授權(quán)的情況下就私自篡改電子商務(wù)信息，進而造成電子商務(wù)信息、企業(yè)信息以及客戶個人信息的暴露，帶來不必要的損失。

2.2 對電子商務(wù)的管理不規(guī)范，沒有具體的管理文件

因為在互聯(lián)網(wǎng)上人們可以暢所欲言，所以互聯(lián)網(wǎng)得到大眾的熱捧。但我國目前沒有具體的網(wǎng)絡(luò)安全立法，造成近年來的網(wǎng)絡(luò)安全問題頻發(fā)，因而民眾要求規(guī)范網(wǎng)絡(luò)環(huán)境的呼聲變得越發(fā)強烈。同時互聯(lián)網(wǎng)的發(fā)展帶來了電子商務(wù)的出現(xiàn)，嚴(yán)重影響了傳統(tǒng)的商業(yè)模式，導(dǎo)致了整個商業(yè)模式的改變。盡管如今已經(jīng)有越來越多的人開始關(guān)注信息時代下的電子商務(wù)，但卻很少有人注意到電子商務(wù)的信息安全問題。由于目前我國的互聯(lián)網(wǎng)環(huán)境的惡劣，造成電子商務(wù)在交易方式、操作模式上的不規(guī)范。究其原因是我國缺乏一個專門對電子商務(wù)進行管理的行政部門，沒有對電子商務(wù)進行宏觀控制，同時缺乏明確的保護電子商務(wù)信息安全的法律立法。

2.3 電子商務(wù)可能存在虛假信息，損害消費者權(quán)利

“淘寶”、“天貓”的出現(xiàn)正是電子商務(wù)的典型代表。馬云是我國開創(chuàng)電子商務(wù)的第一人，他將賣家集中在這一電子商務(wù)的平臺上，然后由消費者進行比對后再進行交易，同時他為了方便消費者的購物，還開創(chuàng)了支付寶這一由第三方支付的軟件，將傳統(tǒng)的錢物交易變?yōu)閮H有幾個數(shù)字代碼就可以進行的電子商務(wù)。這種網(wǎng)上交易和支付方便了人們的經(jīng)濟生活，同時由于這網(wǎng)上的商品價格低于實體店，給老百姓真正帶來了實惠。但由于消費者不能看到真正的實物，只能通過照片和賣家評價進行選擇，所以期間可能會出現(xiàn)很多假冒偽劣產(chǎn)品，或通過冒充商家騙取錢財，損害消費者的利益。

3 信息時代下計算機電子商務(wù)的改進措施

3.1 嚴(yán)格網(wǎng)絡(luò)安全立法，為電子商務(wù)提供法律依據(jù)

通過設(shè)立專門管理電子商務(wù)的行政部門，加強對電子商務(wù)的監(jiān)管。同時明確設(shè)立保護網(wǎng)絡(luò)安全和電子商務(wù)安全的相關(guān)法律，為電子商務(wù)的有序進行提供法律依據(jù)。如對電子商務(wù)的有關(guān)事項進行標(biāo)準(zhǔn)化管理，設(shè)立進入門檻，審核標(biāo)準(zhǔn)，經(jīng)營情況以及店家信譽考核。同時嚴(yán)厲打擊假冒劣偽產(chǎn)品和商家，對出售假冒偽劣產(chǎn)品的商家進行經(jīng)濟罰款和法律教育，加強其職業(yè)道德操守和個人品行，為信息時代下的電子商務(wù)營造良好的法律和社會環(huán)境。保護消費者利益，也利于構(gòu)建社會主義和諧社會。

3.2 提高基礎(chǔ)設(shè)施，掌握高端技術(shù)

電子商務(wù)猶如一把雙刃劍，在給社會帶來方便的同時，也帶來了一些隱患，增大了我國國民信息泄露的機會，給我國居民的經(jīng)濟信息帶來了隱患，也不利于我國的國家信息安全。所以如何做好網(wǎng)絡(luò)安全和電子商務(wù)信息安全的保護措施，顯得意義重大。因此國家應(yīng)該加大對網(wǎng)絡(luò)技術(shù)的資金投入，積極引進先進技術(shù)和先進設(shè)備，培養(yǎng)具有先進網(wǎng)絡(luò)安全技術(shù)的高端人才。重點研究“防火墻技術(shù)”、“數(shù)據(jù)加密技術(shù)”、“身份識別技術(shù)”和“防病毒技術(shù)”，通過加強防火墻技術(shù)建設(shè)，從源頭過濾掉一些不安全協(xié)議領(lǐng)域，阻止非法入侵；利用信息加密保護網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令等信息的完整，使其不能被隨便破壞；運用身份識別技術(shù)對交易雙方的身份進行嚴(yán)謹(jǐn)、準(zhǔn)確的核實以及雙方所發(fā)送的信息是否完整；通過加強防病毒技術(shù)的建設(shè)，防止計算機病毒進入系統(tǒng)，造成內(nèi)部系統(tǒng)的損壞，引起電子商務(wù)信息的丟失或暴露。而我國電腦的核心部件，如計算機芯片、中央處理器和系統(tǒng)軟件其技術(shù)核心主要來源于國外，這對我國的信息安全是一個重大隱患。因此加強我國網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施建設(shè)（包含公開密匙基礎(chǔ)設(shè)施建設(shè)、應(yīng)急響應(yīng)處理基礎(chǔ)設(shè)施建設(shè)、信息安全產(chǎn)品檢測評估基礎(chǔ)設(shè)施建設(shè)等）也是必不可少的。

3.3 提高用戶的安全意識，保護個人信息

加強網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)基礎(chǔ)設(shè)施的建設(shè)為電子商務(wù)的信息安全提供了外部條件，設(shè)立專門的管理部門和完善相關(guān)立法為電子商務(wù)信息安全提供了法律環(huán)境，而加強用戶的信息保密意識和提高用戶的專業(yè)知識則是從內(nèi)部解決信息時代下的電子商務(wù)信息安全。外部環(huán)境的完善使得很多非法入侵者沒法從技術(shù)上竊取電子商務(wù)信息，因此他們從用戶入手，入侵個人賬號，從而獲得系統(tǒng)管理員的信號，如“12306火車票訂票官網(wǎng)”便是由于這個原因，而使整個網(wǎng)站受到黑客入侵，造成個人信息的暴露和電子商務(wù)信息的暴露。還有一些非法入侵者冒稱銀行或支付寶工作人員來獲取用戶的驗證碼，造成大量用戶的財產(chǎn)損失。因此加強用戶的保密意識也是不可忽視的。

4 結(jié)語

隨著經(jīng)濟的發(fā)展和時代的進步，電子商務(wù)一定會成為未來經(jīng)濟的主流，成為未來購物的主要形式。而信息時代下的電子商務(wù)信息安全則是制約電子商務(wù)信息發(fā)展的主要因素。通過對如今電子商務(wù)發(fā)展中存在的信息不安全的問題進行分析，并找出適當(dāng)?shù)慕鉀Q措施，是做好電子商務(wù)信息安全的必要選擇。

參考文獻

[1] 胡蓉.分析信息時代計算機電子商務(wù)的安全策略[J].無線互聯(lián)科技，2014，（8）.

[2] 孫汝萍.論計算機電子商務(wù)的安全策略[J].中國電子商務(wù)，2014，（16）.

[3] 秦曉慧.探析新時期計算機電子商務(wù)的安全策略[J].數(shù)字技術(shù)與應(yīng)用，2014，（2）.

第4篇：電子商務(wù)安全策略范文

摘要：軟交換技術(shù)的出現(xiàn)一方面造就了網(wǎng)絡(luò)的融合，另一方面軟交換采用了開放式應(yīng)用程序接口（API），方便了第三方應(yīng)用的開發(fā)和新業(yè)務(wù)的引進。論文主要從軟交換提出的必然性、軟交換的概念和主要功能、基于軟交換的增強型業(yè)務(wù)框架以及其各層間的協(xié)議等方面對軟交換技術(shù)進行了論述，并對軟交換技術(shù)在電力通信網(wǎng)中的應(yīng)用前景作了介紹。

關(guān)鍵詞：軟交換；網(wǎng)絡(luò)融合；可編程網(wǎng)絡(luò)；應(yīng)用程序接口；電力通信網(wǎng)

0引言

在傳統(tǒng)的基于TDM的PSTN網(wǎng)絡(luò)中，提供給用戶的各項功能都直接與交換機有關(guān)，業(yè)務(wù)和控制都是由交換機完成的。交換機的功能與其提供的業(yè)務(wù)都需要在每個接點完成，并且采用依靠交換機和信令來提供業(yè)務(wù)，所以必須在交換機的技術(shù)標(biāo)準(zhǔn)和信令標(biāo)準(zhǔn)中對開放的每項業(yè)務(wù)進行詳細(xì)規(guī)范。如要增加新業(yè)務(wù)，首先需要修訂標(biāo)準(zhǔn)，再對交換機進行改造，每提供一項新業(yè)務(wù)都需要較長的時期。

為滿足用戶對新業(yè)務(wù)的需求，網(wǎng)絡(luò)中出現(xiàn)了公共的業(yè)務(wù)平臺－－智能網(wǎng)（IN）。智能網(wǎng)的設(shè)計思想就是把呼叫連接和業(yè)務(wù)提供分開。交換機完成呼叫連接，而智能網(wǎng)完成業(yè)務(wù)提供，這種方法大大提高了增強業(yè)務(wù)的能力，縮短了新業(yè)務(wù)提供的時間。而這種分離僅僅是第一步，隨著承載的多樣化，必須將呼叫控制和承載連接進一步分離，這正是軟交換引入的目的。軟交換在未來網(wǎng)絡(luò)中的位置將被分成接入傳送層、媒體層、控制層和業(yè)務(wù)層，即把控制和業(yè)務(wù)的提供從媒體層中分離出來。各層的功能如下：

（1）接入和傳送層。將用戶連接到網(wǎng)絡(luò)，并將業(yè)務(wù)量集中后傳送到目的地址。

（2）媒體層。將要通過網(wǎng)絡(luò)傳送的業(yè)務(wù)轉(zhuǎn)換成正確的格式，例如將話音業(yè)務(wù)打包成ATM信元或IP包。此外，媒體層還可將業(yè)務(wù)選路到目的地址。

（3）控制層。包含呼叫智能。該層決定用戶應(yīng)該接收那些業(yè)務(wù)，還控制其他的在較低層的網(wǎng)絡(luò)單元進行業(yè)務(wù)流的處理。

（4）業(yè)務(wù)應(yīng)用層。在純呼叫建立之上提供附加的業(yè)務(wù)。

這種網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)與現(xiàn)有網(wǎng)絡(luò)相比具有如下優(yōu)點：

（1）可以使用基于包的承載傳送，例如IP、ATM，克服了TDM網(wǎng)絡(luò)中容量不足的缺點；

（2）具有開放式端點的拓?fù)浣Y(jié)構(gòu)，既能良好的傳送話音，也能支持?jǐn)?shù)據(jù)業(yè)務(wù)。

（3）將網(wǎng)絡(luò)的承載部分與控制部分相分離，允許二者分別演進，有效地打破了單塊集成交換的結(jié)構(gòu)；

（4）在各單元之間使用開放的接口，允許運營者為其網(wǎng)絡(luò)的每一部分購買最理想的產(chǎn)品。

新的網(wǎng)絡(luò)結(jié)構(gòu)固然有其優(yōu)勢所在，但原有網(wǎng)絡(luò)近期不會消失，這就產(chǎn)生了新、舊網(wǎng)絡(luò)融合、互通的問題。如何靈活、有效地使現(xiàn)有的PSTN網(wǎng)絡(luò)與分組網(wǎng)絡(luò)實現(xiàn)互通，將PSTN逐步地向IP網(wǎng)絡(luò)演進，其關(guān)鍵的網(wǎng)絡(luò)產(chǎn)品就是軟交換設(shè)備（Soft Switch）。

2軟交換技術(shù)

（1）軟交換的概念

軟交換又稱為呼叫AGENT、呼叫服務(wù)器或媒體網(wǎng)關(guān)控制。其最基本的特點和最重要的貢獻就是把呼叫控制功能從媒體網(wǎng)關(guān)中分離出來，通過服務(wù)器或網(wǎng)元上的軟件實現(xiàn)基本呼叫控制功能，包括呼叫選路、管理控制、連接控制（建立會話、拆除會話）、信令互通（如從7號信令到IP信令）等。這種分離為控制、交換和軟件可編程功能建立分離的平面，使業(yè)務(wù)提供者可以自由地將傳輸業(yè)務(wù)與控制協(xié)議結(jié)合起來，實現(xiàn)業(yè)務(wù)轉(zhuǎn)移。這一分離同時意味著呼叫控制和媒體網(wǎng)關(guān)之間的開放和標(biāo)準(zhǔn)化，為網(wǎng)絡(luò)走向開放和可編程創(chuàng)造了條件和基礎(chǔ)。

（2）軟交換的主要功能

軟交換作為新、舊網(wǎng)絡(luò)融合和關(guān)鍵設(shè)備，必須具有以下功能：

1）媒體網(wǎng)關(guān)接入功能

該功能可以認(rèn)為是一種適配功能。它可以連接各種媒體網(wǎng)關(guān)，如PSTN/ISDN的IP中繼媒體網(wǎng)關(guān)、ATM媒體網(wǎng)關(guān)、用戶媒體網(wǎng)關(guān)、無線媒體網(wǎng)關(guān)、數(shù)據(jù)媒體網(wǎng)關(guān)等，完成H.248協(xié)議功能。同時還可以直接與H.323終端和SIP客戶端終端進行連接，提供相應(yīng)業(yè)務(wù)。

2）呼叫控制功能

呼叫控制功能是軟交換的重要功能之一。它完成基本呼叫的建立、維持和釋放，所提供的控制功能包括呼叫處理、連接控制、智能呼叫觸發(fā)檢出和資源控制等。

3）業(yè)務(wù)提供功能

由于軟交換在網(wǎng)絡(luò)從電路交換向分組交換演進的過程中起著十分重要的作用，因此軟交換應(yīng)能夠支持PSTN/ISDN交換機提供的全部業(yè)務(wù)，包括基本業(yè)務(wù)和補充業(yè)務(wù)；同時還應(yīng)該可以與現(xiàn)有智能網(wǎng)配合，提供現(xiàn)有智能網(wǎng)提供的業(yè)務(wù)。

4）互聯(lián)互通功能

目前，存在兩種比較流行的IP電話體系結(jié)構(gòu)，一種是ITU-T制定的H.323協(xié)議，另一種是IETF制定的SIP協(xié)議標(biāo)準(zhǔn)，兩者是并列的、不可兼容的體系結(jié)構(gòu)，均可以完成呼叫建立、釋放、補充業(yè)務(wù)、能力交換等功能。軟交換可以支持多種協(xié)議，當(dāng)然也可以同時支持這兩種協(xié)議。

（3）引入軟交換的意義

軟交換將是下一代話音網(wǎng)絡(luò)交換的核心。如果說傳統(tǒng)的電信網(wǎng)是基于程控交換機的網(wǎng)絡(luò)，那么下一代分組話音網(wǎng)則是基于軟交換的網(wǎng)絡(luò)。軟交換是新、舊網(wǎng)絡(luò)融合的樞紐。這主要表現(xiàn)在以下幾個方面：

1）從經(jīng)濟角度考慮，與電路交換機相比，軟交換成本低。軟交換由于采用了開放式平臺，易于接收革新應(yīng)用，且軟交換利用的是普遍計算機器件，其性價比每年提高80％，遠高于電路交換（每年提高20%），可見軟交換在經(jīng)濟方面有很大優(yōu)勢。

2）從用戶角度考慮，在傳統(tǒng)的交換網(wǎng)絡(luò)中，一個設(shè)備廠商往往供應(yīng)軟件、硬件和應(yīng)用等所有的東西，用戶被鎖定在供應(yīng)商那里，沒有選擇的空間，實現(xiàn)和維護的費用也很高。基于軟交換的新型網(wǎng)絡(luò)徹底打破了這種局面，因為廠商的產(chǎn)品都是基于開放標(biāo)準(zhǔn)的，所以用戶可以向多個廠商購買各種層次的產(chǎn)品，可以在每一類產(chǎn)品中選擇性價比最好的來構(gòu)建自己的網(wǎng)絡(luò)。

3）軟交換可以提高網(wǎng)絡(luò)的可靠性。軟交換將以前的電路交換的核心功能進行了分類，將功能以功能軟件的形式分配到分組網(wǎng)絡(luò)的骨干網(wǎng)中。這種分門別類的分布式結(jié)構(gòu)是可編程的，并對服務(wù)供應(yīng)商和第三方特性開發(fā)商是開放的。由于所有的功能都以標(biāo)準(zhǔn)的計算機平臺為基礎(chǔ)，可以很容易地實現(xiàn)網(wǎng)絡(luò)的可伸縮性和可靠性。

3基于軟交換的增強的業(yè)務(wù)框架及其接口協(xié)議

（1）基于軟交換的增值業(yè)務(wù)框架結(jié)構(gòu)

軟交換的引入形成了增強的業(yè)務(wù)框架，其中應(yīng)用服務(wù)器完成增值業(yè)務(wù)的執(zhí)行和管理，提供增值業(yè)務(wù)的開發(fā)平臺，并處理與軟交換間的接口信令；媒體服務(wù)器（Media Server）提供特殊業(yè)務(wù)（如IVR、會議和傳真）的資源平臺，處理與媒體網(wǎng)關(guān)間的承載接口。

（2）軟交換體系結(jié)構(gòu)的接口和采用的通信協(xié)議

軟交換作為一個開放的實體，與

外部的接口必須采用開放的協(xié)議。各種接口及其使用的協(xié)議如下：

1）媒體網(wǎng)關(guān)和軟交換間的接口。用于傳遞軟交換和媒體網(wǎng)關(guān)間的信令信息。此接口可使用信令控制傳輸協(xié)議（SCTP）或其他類似的協(xié)議。

2）軟交換間的接口。實現(xiàn)不同軟交換間的交互。此接口可以使用會話發(fā)起協(xié)議SIP-T或BICC（承載無關(guān)的呼叫控制）協(xié)議。

3）軟交換與應(yīng)用/業(yè)務(wù)之間的接口協(xié)議。提供訪問各種數(shù)據(jù)庫、三方應(yīng)用平臺、各種功能服務(wù)器等的接口，實現(xiàn)對增值業(yè)務(wù)、管理業(yè)務(wù)和三方應(yīng)用的支持。

如：1、軟交換與應(yīng)用服務(wù)器間的接口，可以使用SIP協(xié)議或API（如Parlay），提供對三方應(yīng)用和各種增值業(yè)務(wù)的支持功能；

2、軟交換與策略服務(wù)器間的接口，可使用COPS協(xié)議，實現(xiàn)對網(wǎng)絡(luò)設(shè)備的工作進行動態(tài)干預(yù)；

3、軟交換與網(wǎng)管中心間的接口，可使用SNMP協(xié)議，實現(xiàn)網(wǎng)絡(luò)管理；

4、軟交換與智能網(wǎng)SCP間的接口，可使用INAP協(xié)議，實現(xiàn)對現(xiàn)有智能網(wǎng)業(yè)務(wù)的支持。

4軟交換技術(shù)在電力系統(tǒng)中的應(yīng)用

電力通信網(wǎng)是世界上目前分布最廣的網(wǎng)絡(luò)之一，有光纖、微波、載波等多種傳輸介質(zhì)。這就形成了光纖網(wǎng)、微波網(wǎng)等多種網(wǎng)絡(luò)形式，各種網(wǎng)絡(luò)都有自己的交換設(shè)備、復(fù)接設(shè)備等，這些網(wǎng)絡(luò)間的互聯(lián)互通存在較大的困難。如果信息需要在不同介質(zhì)的網(wǎng)絡(luò)間傳輸，將需要更多的轉(zhuǎn)換環(huán)節(jié)。這不但造成了資源的浪費，而且對整個電力通信網(wǎng)的管理也帶來了很大的不便。軟交換技術(shù)的引入，將可以解決以下幾個方面的問題：

（1）電力通信網(wǎng)中網(wǎng)絡(luò)互通

電力通信網(wǎng)中的電話網(wǎng)是一種交換網(wǎng)絡(luò)，而且擁有電力系統(tǒng)獨有的載波電話網(wǎng)絡(luò)；同時電力通信網(wǎng)中也存在計算機網(wǎng)絡(luò)，它們是以IP協(xié)議為基礎(chǔ)的分組網(wǎng)絡(luò)。軟交換可以提供支持多種信令協(xié)議的接口，可以很好的實現(xiàn)電話網(wǎng)和計算機網(wǎng)之間的信令互通及不同網(wǎng)關(guān)的互操作問題。這就是使得計算機網(wǎng)可以更方便地對電話網(wǎng)進行管理和支持，電話網(wǎng)也可以和計算機網(wǎng)絡(luò)配合，更好地提供服務(wù)。

（2）目前，電力通信網(wǎng)中傳輸?shù)男畔⒅饕钦Z音和數(shù)據(jù)，但隨著網(wǎng)絡(luò)的演進和計算機技術(shù)的不斷發(fā)展，對視頻業(yè)務(wù)和多媒體業(yè)務(wù)也提出了新的要求。軟交換技術(shù)不但能很好地支持語音業(yè)務(wù)，利用新的網(wǎng)絡(luò)設(shè)施可以提供各種增值業(yè)務(wù)和補充業(yè)務(wù)，而且軟交換提供了開放式的應(yīng)用程序接口（API），非常便于提供新業(yè)務(wù)。這對目前比較流行的電力系統(tǒng)呼叫中心（也稱客戶服務(wù)中心）來說，引入軟交換技術(shù)無疑是一種明智的選擇，基于軟交換的呼叫中心可以用更低的成本、更短的周期為用戶提供更好的服務(wù)，更好地樹立電力系統(tǒng)的形象。

（3）統(tǒng)一不同介質(zhì)的網(wǎng)絡(luò)

電力通信網(wǎng)中存在多種傳輸介質(zhì)，且各自較獨立，都各有自己的一套設(shè)備，若引進了軟交換技術(shù)，在一臺交換服務(wù)器上可對多種介質(zhì)的信息進行交換。這不但在經(jīng)濟方面避免了設(shè)備的浪費，而且提高了網(wǎng)絡(luò)的可靠性，各種介質(zhì)的網(wǎng)絡(luò)達到了一定的融合互通，在不同介質(zhì)的網(wǎng)絡(luò)中傳遞信息時也省掉了復(fù)雜的轉(zhuǎn)換環(huán)節(jié)。在管理上也更方便，只需對一個設(shè)備進行維護就可實現(xiàn)整個網(wǎng)絡(luò)的信息交換。

（4）其他方面的功能

軟交換具有操作維護功能（主要包括業(yè)務(wù)統(tǒng)計和告警等）。對業(yè)務(wù)繁雜的電力系統(tǒng)來說，引入軟交換可以對各種業(yè)務(wù)進行統(tǒng)一的統(tǒng)計。若出現(xiàn)故障還可以及時地發(fā)出告警信號。另外，軟交換還可以采集詳細(xì)的清單，實現(xiàn)對用電量和電話費等的計費。

軟交換技術(shù)是一種新的技術(shù)，其應(yīng)用將不僅限于以上幾個方面。在電力通信網(wǎng)中引入軟交換將會產(chǎn)生很多方面的效果。

5結(jié)束語

第5篇：電子商務(wù)安全策略范文

關(guān)鍵詞：商業(yè)銀行；電子商務(wù)；風(fēng)險管理

商業(yè)銀行從事金融業(yè)務(wù)面臨著市場風(fēng)險、信用風(fēng)險、以及操作風(fēng)險等，而電子商務(wù)的出現(xiàn)則加劇了上述各類風(fēng)險發(fā)生的可能性以及風(fēng)險發(fā)生之后的破壞程度。2004年以來，我國面臨的網(wǎng)絡(luò)仿冒威脅正在逐漸加大，仿冒對象主要是金融網(wǎng)站和電子商務(wù)網(wǎng)站。2005年上半年共收到網(wǎng)絡(luò)安全事件報告65679件，超過2004年全年案件數(shù)，商業(yè)銀行電子商務(wù)安全風(fēng)險管理策略已成為理論與實踐中必須重視的課題。

一、信息安全管理的歷史演進與現(xiàn)階段的特點

信息安全管理的策略大體遵循事件驅(qū)動(技術(shù)和管理脫節(jié))－逐漸標(biāo)準(zhǔn)化(技術(shù)和管理逐漸結(jié)合)——安全風(fēng)險管理(引入了風(fēng)險分析)的發(fā)展路徑。

(一)以事件驅(qū)動的初級階段時期

19世紀(jì)70年代安全主要是指物理設(shè)備和環(huán)境的安全，人與計算機之間的交互主要局限在大型計算機上的啞終端，安全問題只涉及能訪問終端的少數(shù)人。安全管理策略處于初級階段，由事件驅(qū)動，沒有形成規(guī)范的管理流程。在此階段的前期，只重視技術(shù)手段。后期開始重視管理手段，但是技術(shù)和管理之間脫節(jié)。許多組織對信息安全制定了相應(yīng)的規(guī)章和制度，但組織的信息安全管理基本上還處在一種靜態(tài)、局部、少數(shù)人負(fù)責(zé)、突擊式、事后糾正式的管理方式。

(二)標(biāo)準(zhǔn)化時期

企業(yè)開始將安全問題作為整體考慮，形成一套較為完整的安全管理策略，其中包括了安全管理的技術(shù)手段和管理制度(或稱運作管理)。幾乎所有從事電子商務(wù)的企業(yè)都擁有自己的安全策略，內(nèi)容也包括了技術(shù)手段、安全管理制度、人員安全教育等等，基本上形成體系，技術(shù)和管理手段綜合統(tǒng)一，但是安全風(fēng)險分析還存在不足之處。

(三)安全風(fēng)險管理策略時期

隨著電子商務(wù)安全管理發(fā)展到一個比較高的層次，安全管理策略也演進到安全風(fēng)險管理階段。主要特點如下：

1.安全風(fēng)險管理成為主流趨勢；在安全管理策略的演進過程中，技術(shù)和管理手段綜合統(tǒng)

一、又融入了風(fēng)險管理的分析、防范策略，從而安全管理進入了安全風(fēng)險管理時期。西方商業(yè)銀行已對安全風(fēng)險管理形成共識。如安氏公司(is—One)，認(rèn)為信息安全問題最終將歸結(jié)為風(fēng)險管理問題，風(fēng)險管理方法是建立良性的安全技術(shù)和管理體系的依據(jù)和基礎(chǔ)。

2.安全風(fēng)險管理的國際標(biāo)準(zhǔn)和各國的規(guī)范逐漸形成并趨于完善。國際上關(guān)于安全風(fēng)險管理的標(biāo)準(zhǔn)有巴塞爾銀行監(jiān)管委員會的《電子銀行業(yè)務(wù)風(fēng)險管理原則》、英國標(biāo)準(zhǔn)協(xié)會制訂的BS7799等。各國也日益重視安全風(fēng)險管理，制定了許多規(guī)范。例如美國貨幣監(jiān)理署(OCC)的《電子銀行最終規(guī)則》、香港金融管理局的《電子銀行服務(wù)的安全風(fēng)險管理》等。中國銀行業(yè)監(jiān)督管理委員也于2006年頒布了《電子銀行業(yè)務(wù)管理辦法》，對國內(nèi)企業(yè)的電子商務(wù)安全風(fēng)險管理給出了指導(dǎo)意見。

3.利用外部專業(yè)化機構(gòu)對金融機構(gòu)的安全性評估已成為大部分國家的選擇。電子銀行面臨的安全和技術(shù)風(fēng)險，在相當(dāng)程度上取決于采用的信息技術(shù)的先進程度，系統(tǒng)的設(shè)計開發(fā)水平，以及相關(guān)設(shè)施設(shè)備及其供應(yīng)商的選擇等；銀行依靠傳統(tǒng)的風(fēng)險管理機制已很難識別、監(jiān)測、控制和管理相關(guān)風(fēng)險。同樣，監(jiān)管機構(gòu)也難以完全依靠自身的力量對電子銀行的安全性進行準(zhǔn)確評價和監(jiān)控。因此，大部分國家都采用了依靠外部專業(yè)化機構(gòu)定期對電子銀行安全性進行評估的辦法，加強對電子銀行安全性和技術(shù)風(fēng)險的管理和監(jiān)管。

4.在許多國家信息系統(tǒng)審計(IsAudit)作為一種信息技術(shù)服務(wù)被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務(wù)。業(yè)界的IT風(fēng)險分析師也成為一種職業(yè)，專門從事電子商務(wù)的安全風(fēng)險工作，從經(jīng)濟學(xué)的角度出發(fā)分析風(fēng)險，充分衡量保持安全的代價和收益之間的關(guān)系，尋求用最小的代價實現(xiàn)最大的效用，在風(fēng)險分析中也形成一套較為成熟的模式。

二、我國商業(yè)銀行電子商務(wù)安全風(fēng)險管理策略的薄弱點

(一)系統(tǒng)管理思想缺乏

目前的電子商務(wù)安全風(fēng)險管理策略，在全局上缺乏系統(tǒng)論理論的指導(dǎo)，在實際操作中受到多種多樣的安全攻擊時會不可避免地出現(xiàn)安全漏洞，無法形成一張全面有序的安全網(wǎng)絡(luò)。

實踐中被采用的安全風(fēng)險管理策略，以及作為指導(dǎo)意見的規(guī)則規(guī)范，如《信息安全管理實務(wù)準(zhǔn)則》(IS017799)、《信息技術(shù)安全性評估準(zhǔn)則》(GB／T18336．1)、巴塞爾銀行監(jiān)管委員會的《電子銀行業(yè)務(wù)風(fēng)險管理原則》，盡管提出了比較全面的安全風(fēng)險管理方案，層次上也比較清晰，但是還不足以作為一個風(fēng)險防范系統(tǒng)。實踐中，電子商務(wù)組織是一個復(fù)雜的系統(tǒng)組織，電子商務(wù)的安全風(fēng)險管理體系和過程也是個復(fù)雜的系統(tǒng)。系統(tǒng)論、控制論的思想在電子商務(wù)安全風(fēng)險管理中是不可或缺的。

(二)風(fēng)險分析的模型與方法不成熟，定量分析不足

電子商務(wù)模式自身的發(fā)展歷史也不過20幾年，在風(fēng)險分析的定量技術(shù)上并不成熟；如BS7799中推薦的電子商務(wù)安全風(fēng)險管理中實施風(fēng)險評估時，往往將威脅發(fā)生的可能性定性劃分為幾個級別，將威脅所造成的影響也定性劃分為1～5級，實質(zhì)上是將一些按照概率發(fā)生的事件定義為不連續(xù)的幾個級別，在操作上易行，但造成了度量的不精確。在進行監(jiān)控和審計之后，也存在無法量化、對比的問題。

(三)忽視與原有的傳統(tǒng)風(fēng)險管理策略的結(jié)合

本質(zhì)上，電子商務(wù)的安全風(fēng)險無非是新興的商業(yè)模式對傳統(tǒng)的風(fēng)險的改變，以及產(chǎn)生的在傳統(tǒng)風(fēng)險控制領(lǐng)域暫時無法明晰的新風(fēng)險；現(xiàn)有管理策略只從信息技術(shù)的角度、或者從偏重技術(shù)的角度看待問題，站在金融領(lǐng)域本身來分析研究較少。這種狀況導(dǎo)致了對電子商務(wù)安全風(fēng)險管理的研究無法立足于一個比較高的層次；忽略了風(fēng)險的整體性，只進行偏信息和技術(shù)的研究，導(dǎo)致了現(xiàn)有的電子商務(wù)安全風(fēng)險管理策略與金融機構(gòu)原有的傳統(tǒng)業(yè)務(wù)風(fēng)險管理策略存在差距。對于商業(yè)銀行而言，傳統(tǒng)金融業(yè)務(wù)的風(fēng)險控制與電子商務(wù)的技術(shù)風(fēng)險控制，兩個方面存在脫節(jié)，同樣屬于商業(yè)銀行的風(fēng)險，存在著不同的管理策略，導(dǎo)致多頭管理、資源浪費、機構(gòu)之間的扯皮，乃至缺位管理。

(四)風(fēng)險管理策略無法

依賴外部的信息安全管理行業(yè)

在發(fā)達國家，信息系統(tǒng)審計(IsAudit)作為一種信息技術(shù)服務(wù)被廣泛提供，許多知名的咨詢公司都提供類似的信息審計服務(wù)。IT風(fēng)險分析師也成為一種職業(yè)，專門從事電子商務(wù)的安全風(fēng)險工作。商業(yè)銀行采用依靠外部專業(yè)化機構(gòu)定期對電子銀行的安全性進行評估的辦法，提高對電子銀行安全性和技術(shù)風(fēng)險的管理和監(jiān)管。而國內(nèi)初步建立了國家信息安全組織保障體系，制定和引進了一批重要的信息安全管理標(biāo)準(zhǔn)、法律法規(guī)，風(fēng)險評估工作得到了一定重視，但與發(fā)達國家成熟完善的外部信息安全管理行業(yè)仍有很大差距。

(五)風(fēng)險管理策略中商業(yè)銀行的內(nèi)部風(fēng)險控制能力薄弱

我國商業(yè)銀行目前均建立起統(tǒng)一的風(fēng)險管理部門；但風(fēng)險控制部門的職能、權(quán)限與花旗銀行等體制較為先進的銀行相比仍然存在較大差距，風(fēng)險控制實質(zhì)上仍然分散在各個子部門；風(fēng)險的評估、防范與控制實質(zhì)上完全依靠商業(yè)銀行的電子交易部門；風(fēng)險管理部門、內(nèi)審稽核部門實質(zhì)上無法控制電子商務(wù)安全風(fēng)險。例如，風(fēng)險管理部門接受了電子交易部的風(fēng)險控制報告，表面上履行的內(nèi)控審核的流程，但審核作用有限，無法完成電子商務(wù)安全風(fēng)險管理中的監(jiān)控與審計環(huán)節(jié)。

三、商業(yè)銀行的電子商務(wù)安全風(fēng)險管理策略的改進建議

(一)基于系統(tǒng)的思想構(gòu)建商業(yè)銀行電子商務(wù)安全風(fēng)險管理策略框架

利用系統(tǒng)理論作為總體的指導(dǎo)思想，將電子商務(wù)安全風(fēng)險管理策略本身當(dāng)作一個開放的自適應(yīng)系統(tǒng)。將商業(yè)銀行電子商務(wù)安全風(fēng)險管理中的各個環(huán)節(jié)組成循環(huán)上升的系統(tǒng)。

在商業(yè)銀行電子商務(wù)安全風(fēng)險控制的流程中，經(jīng)過信息安全的風(fēng)險評估、資產(chǎn)識別和選擇、實施控制降低風(fēng)險的措施、將風(fēng)險控制在可接受的范圍內(nèi)，然后進行監(jiān)控和審計；尤其重要的是把監(jiān)控和審計所得到的內(nèi)容作為新一輪風(fēng)險分析輸入，從而開始新一輪的風(fēng)險管理過程。商業(yè)銀行電子商務(wù)安全風(fēng)險管理的各個步驟為動態(tài)的循環(huán)系統(tǒng)。每完成一個循環(huán)，安全風(fēng)險管理的有效性就上一個臺階，商業(yè)銀行的安全管理水平變得到了提高。

(二)電子商務(wù)安全風(fēng)險管理中定量分析中的改進思路

商業(yè)銀行可以借鑒成熟的傳統(tǒng)金融風(fēng)險度量中的一些方法來改變電子商務(wù)安全風(fēng)險管理中對資產(chǎn)進行粗略的優(yōu)先級別排序的方法。實踐中，商業(yè)銀行對操作風(fēng)險的管理與對電子商務(wù)安全風(fēng)險管理有其相似之處。巴塞爾委員會對商業(yè)銀行的操作風(fēng)險的內(nèi)部計量法中規(guī)定，商業(yè)銀行內(nèi)部估計風(fēng)險敞口指標(biāo)、損失事件發(fā)生的概率、風(fēng)險損失，巴塞爾委員會制定資本要求的轉(zhuǎn)換系數(shù)；在度量損失的分布時，主要利用統(tǒng)計和精算技術(shù)。商業(yè)銀行應(yīng)通過數(shù)據(jù)庫將威脅發(fā)生的頻率、威脅所造成的影響等精確記錄下來，利用現(xiàn)有的度量方法進行精確的風(fēng)險定量分析的嘗試。新晨

(三)將商業(yè)銀行電子商務(wù)安全風(fēng)險納入商業(yè)銀行總體風(fēng)險管理范疇

將商業(yè)銀行所面臨的全部風(fēng)險放在一個框架中考慮。傳統(tǒng)風(fēng)險管理以及電子商務(wù)安全風(fēng)險管理都是風(fēng)險管理系統(tǒng)中子系統(tǒng)，二者相互聯(lián)系、相互影響，不可分割。嘗試借鑒信用風(fēng)險與操作風(fēng)險度量的方法與思想，短期內(nèi)將其與信用風(fēng)險控制銜接，最終形成一個全面的商業(yè)銀行安全風(fēng)險管理框架。

第6篇：電子商務(wù)安全策略范文

[關(guān)鍵詞]電子商務(wù)、安全隱患、安全技術(shù)、策略

一、安全問題是實施電子商務(wù)的關(guān)鍵

傳統(tǒng)的交易是面對面的，比較容易保證建立交易雙方的信任關(guān)系和交易過程的安全性。而電子商務(wù)活動中的交易行為是通過網(wǎng)絡(luò)進行的，買賣雙方互不見面，因而缺乏傳統(tǒng)交易中的信任感和安全感。美國密執(zhí)安大學(xué)一個調(diào)查機構(gòu)通過對23000名因特網(wǎng)用戶的調(diào)查顯示，超過60％的人由于電子商務(wù)的安全問題而不愿進行網(wǎng)上購物。任何個人、企業(yè)或商業(yè)機構(gòu)以及銀行都不會通過一個不安全的網(wǎng)絡(luò)進行商務(wù)交易，這樣會導(dǎo)致商業(yè)機密信息或個人隱私的泄露，從而導(dǎo)致巨大的利益損失。根據(jù)中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)的“中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告”，在電子商務(wù)方面，52．26％的用戶最關(guān)心的是交易的安全可靠性。由此可見，電子商務(wù)中的網(wǎng)絡(luò)安全和交易安全問題是實現(xiàn)電子商務(wù)的關(guān)鍵之所在。

二、電子商務(wù)中的安全隱患和安全需求

1、電子商務(wù)中的安全隱患有：(1)篡改。電子的交易信息在網(wǎng)絡(luò)上傳輸?shù)倪^程中，可能被他人非法的修改，刪除或重放(指只能使用一次的信息被多次使用)，從而使信息失去了真實性和完整性。(2)信息破壞。包括網(wǎng)絡(luò)硬件和軟件的問題而導(dǎo)致信息傳遞的丟失與謬誤；以及一些惡意程序的破壞而導(dǎo)致電子商務(wù)信息遭到破壞。(3)身份識別。如果不進行身份識別．第三方就有可能假冒交易一方的身份，以破壞交易．?dāng)谋患倜耙环降穆曌u或盜竊被假冒一方的交易成果等。而不進行身份識別，交易的一方可不為自己的行為負(fù)責(zé)任，進行否認(rèn)，相互欺詐。(4)信息泄密。主要包括兩個方面，即交易雙方進行交易的內(nèi)容被第三方竊取或交易一方提供給另一方使用的文件被第三方非法使用。

2、電子商務(wù)的安全性需求：電子商務(wù)的安全性需求可以分為兩個方面，一方面是對計算機及網(wǎng)絡(luò)系統(tǒng)安全性的要求，表現(xiàn)為對系統(tǒng)硬件和軟件運行安全性和可靠性的要求、系統(tǒng)抵御非法用戶入侵的要求等；另一方面是對電子商務(wù)信息安全的要求。(1)信息的保密性：指信息在存儲、傳輸及處理過程中不被他人竊取。(2)信息的完整性：包括信息在存儲中不被篡改和破壞，以及在傳輸過程中收到的信息和原發(fā)送信息的一致性。(3)信息的不可否認(rèn)性：指信息的發(fā)送方不可否認(rèn)已經(jīng)發(fā)送的信息．接收方也不可否認(rèn)已經(jīng)收到的信息。(4)交易者身份的真實性：指交易雙方是確實存在的，不是假冒的。(5)系統(tǒng)的可靠性：指計算機及網(wǎng)絡(luò)系統(tǒng)的硬件和軟件工作的可靠性，是否會因為計算機故障或意外原因造成信息錯誤、失效或丟失。

三、電子商務(wù)的安全技術(shù)

根據(jù)電子商務(wù)的這些安全性需求通常采用的安全技術(shù)主要有：密鑰加密技術(shù)、信息摘要技術(shù)、數(shù)字簽名、數(shù)字證書及CA認(rèn)證。

1、密鑰加密技術(shù)：密碼加密技術(shù)有對稱密鑰加密技術(shù)和非對稱密鑰加密技術(shù)。

(1)對稱密鑰加密技術(shù)：對稱密鑰加密技術(shù)使用DES(Data En-cryption Standard)算法，要求加密解密雙方擁有相同的密鑰，密鑰的長度一般為64位或56位。這種加密方法可以解決信息的保密問題，但又帶來了一些新的問題：一是在首次通信前，雙方必須通過網(wǎng)絡(luò)以外的途徑傳遞統(tǒng)一的密鑰：二是當(dāng)通信對象增多時，需要相應(yīng)數(shù)量的密鑰，這就使密鑰管理和使用的難度增大；三是對稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄露都會造成密鑰的失效，存在著潛在的危險和復(fù)雜的管理難度。

(2)非對稱密鑰加密技術(shù)：為了克服對稱密鑰加密技術(shù)存在的密鑰管理和分發(fā)上的問題，1976年Diffie和Hellman以及Merkle分別提出了公開密鑰密碼體制的思想：要求密鑰成對出現(xiàn)，一個為加密密鑰，另一個為解密密鑰，且不可能從其中一個推導(dǎo)出另一個。根據(jù)這種思想自1976年以來已經(jīng)提出了多種公鑰加密算法。公鑰加密算法也稱為非對稱密鑰算法，加密和解密的時候使用兩把密鑰，一把為公鑰，另一把為私鑰。私鑰只有自己知道，嚴(yán)密保管，公鑰和加密算法則可以通過網(wǎng)絡(luò)等渠道出去。公鑰加密算法主要有：RSA、Fertezza、ElGama等。非對稱加密技術(shù)采用的是RSA算法，是由Rivest、Shanir和Adle-man三人發(fā)明的。算法如下：公鑰n=pq(p，q分別為兩個互異的大素數(shù)，必須要保密，n的長度大于512bit)，選一個數(shù)e與(p－1)(q－1)互質(zhì)，私鑰d=e－1(mod(p－1)(q－1))，加密：c=me(mod n)(其中m為明文，c為密文)，解密：m=cd(mod n)。通信時，發(fā)送方用接收者的公鑰對明文加密后發(fā)送，接收方用自己的私鑰進行解密，這樣既解決了信息保密問題，又克服了對稱加密中密鑰管理與分發(fā)傳遞的問題。

2、信息摘要技術(shù)：密鑰加密技術(shù)只能解決信息的保密性問題，對于信息的完整性則可以用信息摘要技術(shù)來保證。信息摘要(Messagedigest)又稱Hash算法，是Ron Rivest發(fā)明的一種單向加密算法，指從原文中通過Hash算法而得到一個有固定長度(128位)的散列值，不同的原文所產(chǎn)生的信息摘要必不相同，相同原文產(chǎn)生的信息摘要必定相同，因此信息摘要類似于人類的“指紋”，可以通過“指紋”去鑒別原文的真?zhèn)?。信息摘要的使用過程如下：1、對原文使用Hash算法得到信息摘要；2、將信息摘要與原文一起發(fā)送；3、接收方對接收到的原文應(yīng)用Hash算法產(chǎn)生一個摘要；4、用接收方產(chǎn)生的摘要與發(fā)送方發(fā)來的摘要進行對比，若兩者相同則表明原文在傳輸過程中沒有被修改，否則就說明原文被修改過

3、數(shù)字簽名：數(shù)字簽名(Digital Signature)是密鑰加密和信息摘要相結(jié)合的技術(shù)，可以保證信息的完整性和不可否認(rèn)性。數(shù)字簽名的過程如下：1、發(fā)送方用自己的私鑰對信息摘要加密；2、發(fā)送方將加密后的信息摘要與原文一起發(fā)送；3、接收方用發(fā)送方的公鑰對收到的加密摘要進行解密；4、接收方對收到的原文用Hash算法得到接收方的信息摘要；5、將解密后的摘要與接收方的信息摘要對比，相同說明信息完整且發(fā)送方身份是真實的，否則說明信息被修改或不是該發(fā)送者發(fā)送

由于私鑰是自己保管的他人無法仿冒，同時發(fā)送方也不能否認(rèn)用自己的私鑰加密發(fā)送的信息，所以數(shù)字簽名解決了信息的完整性和不可否認(rèn)性問題。數(shù)字簽名加密和密鑰加密技術(shù)不同，密鑰加密是發(fā)送方用接收方的公鑰加密，接收方在用自己的私鑰解密，是多對一的關(guān)系；而數(shù)字簽名中的加密是發(fā)送方用自己的私鑰對摘要進行加密，接收方用發(fā)送方的公鑰對數(shù)字簽名解密，是一對多的關(guān)系，表明公司的任何一個貿(mào)易伙伴都可以驗證數(shù)字簽名的真?zhèn)涡浴?/p>

4、數(shù)字證書與CA認(rèn)證：非對稱加密技術(shù)和數(shù)字簽名技術(shù)都用到了公鑰，當(dāng)交易的一方通過公開渠道得到了另一方的公鑰后，存在著這樣的問題：這個公鑰到底是不是真正屬于對方的，是否會有其他人假冒對方的公鑰。那么如何確定網(wǎng)上交易雙方真實身份的確認(rèn)，要用到由認(rèn)證中心CA頒發(fā)的數(shù)字證書。

(1)數(shù)字證書：數(shù)字證書類似于現(xiàn)實生活中的身份證，它是標(biāo)志網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，用來在網(wǎng)絡(luò)應(yīng)用中識別通訊各方的身份。數(shù)字證書采用公鑰體制．即用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私鑰，用它進行解密和數(shù)字簽名；同時擁有一把公鑰并可以對外公開，用于信息加密和驗證簽名。當(dāng)發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據(jù)進行加密，而接收方則使用自己的私鑰解密，這樣信息就可以安全無誤的到達目的地了。用戶可以采用自己的私鑰對信息加以處理，由于私鑰僅為本人所有，所以能生成別人無法偽造的文件，也就形成了數(shù)字簽名。同時，由于數(shù)字簽名與信息的內(nèi)容相關(guān)，因此經(jīng)過簽名的文件如有改動，就會導(dǎo)致數(shù)字簽名的驗證過程失敗，這樣就可以保證文件的完整性。

(2)數(shù)字證書的內(nèi)容：主要包括以下內(nèi)容：1、證書擁有者的姓名；2、證書擁有者的公鑰；3、公鑰的有限期；4、頒發(fā)數(shù)字證書的單位；5、頒發(fā)數(shù)字證書單位的數(shù)字簽名；6、數(shù)字證書的序列號等。

第7篇：電子商務(wù)安全策略范文

[關(guān)鍵詞] 電子商務(wù) 安全 風(fēng)險 協(xié)議 防范

一、引言

Intemet的迅速發(fā)展使電子商務(wù)應(yīng)運而生，對電子商務(wù)可以有狹義和廣義兩種理解：作為在線銷售的電子商務(wù)；作為現(xiàn)有業(yè)務(wù)擴展的電子商務(wù)。電子商務(wù)具有許多優(yōu)勢，譬如高效率、低成本；同時，電子商務(wù)也會提供各種各樣的機會，因為中小型公司和太公司站在相同的起跑線上但迄今為止，真正開始實施電子商務(wù)的企業(yè)還不多，絕大多數(shù)企業(yè)還在持觀望態(tài)度，電子商務(wù)通遠遠談不上普及。這其中的原因主要有以下三個點：(1)人的因素；(2)立法問題；(3)安全問題。其中信息安全問題可以說是電子商務(wù)活動的最大障礙，電子商務(wù)信息安全是制約電子商務(wù)建設(shè)與發(fā)展的首要問題和核心問題。

二、電子商務(wù)對信息安全的需求和風(fēng)險分析

信息安全的目的是：保護一個系統(tǒng)不會受到未經(jīng)授權(quán)的訪問，使系統(tǒng)的正常工作不會被非法干預(yù)，同所有計算機系統(tǒng)一樣，電子商務(wù)系統(tǒng)安全必須具有保密性、完整性及可用性三個特征。

1.保密性(Confidentiality)

保密性是指計算機系統(tǒng)的資源應(yīng)該僅能由授權(quán)團體讀取。對電子商務(wù)系統(tǒng)來說，它意味著系統(tǒng)所提供的服務(wù)應(yīng)滿足:(1)私有交易不會被其他人截獲及讀取;(2)如果可能，應(yīng)確保交易的匿名性，使交易不會被追蹤，任何人無法利用“發(fā)生交易”這樣一個事實本身來達到別的目的。

2.完整性(Integrity)

完整性指資源只能由授權(quán)實體修改。電子商務(wù)系統(tǒng)的完整性要求它提供的服務(wù)應(yīng)滿足：（1）消息完整性，指通信過程中接收到的消息確實是實際發(fā)送的消息，不可能在傳輸過程中被篡改，也不可能是一條偽造的消息；（2）身份認(rèn)證(Authendcation)，通信的雙方應(yīng)能確定對方的身份，知道對方確實是他所自稱的那一位。在這里，確定的意思并不完全意味著確實知道對方的身份，因有時由于交易匿名性的需要，不能確知對方的準(zhǔn)確身份，但應(yīng)能做到知道自己是在與一個可靠的對象通信。端否認(rèn)性(Non-repudiation)：一旦事務(wù)結(jié)束，有關(guān)各方都不能否認(rèn)自己參與過這次事務(wù)。

3.可用性(Availability)

可用性指一旦用戶得到訪問某一資源的極限，該資源就應(yīng)該能夠隨時為他使用，而不應(yīng)該將其保護起來使用戶的合法權(quán)益受到損害。在電子商務(wù)系統(tǒng)中，提高系統(tǒng)可用性有時還意味著用戶僅需經(jīng)一次登錄就可以訪問任何其他有權(quán)訪問的資源，避免對訪問不同的服務(wù)使用不同的登錄過程。

4.風(fēng)險分析

針對電子商務(wù)系統(tǒng)進行的攻擊實際上就是試圖破壞上述三大信息安全特征，進一步細(xì)分。電子商務(wù)的風(fēng)險有以下4類：

(1)中斷(干擾)，包括拒絕服務(wù)(Denial of Services)、刪除數(shù)據(jù)。

(2)修改，如修改傳輸信息、修改可執(zhí)行代碼等。

(3)偽造，如冒充頤客或服務(wù)器進行交易、特洛伊木馬等。

(4)截取，如設(shè)置網(wǎng)絡(luò)竊聽器、監(jiān)視網(wǎng)上數(shù)據(jù)流、從數(shù)據(jù)包中獲取敏感信息等。

三、電子商務(wù)信息安全的防范策略

1.通用技術(shù)

用于保證信息安全的技術(shù)通常有：加密、數(shù)字簽名、身份認(rèn)證、訪問控制、審計以及相關(guān)方面的管理。此外，信息安全還將會影響到系統(tǒng)的許多組成部分，包括那些并不直接同安全相關(guān)聯(lián)的成分。各種通用的安全技術(shù)，如加密技術(shù)算法(保密密鑰、公開密鑰)、公開密鑰系統(tǒng)基礎(chǔ)設(shè)施 (PKI)、各種認(rèn)證技術(shù)(一次性口令、Kerberos、CA)、網(wǎng)絡(luò)系統(tǒng)各層安全協(xié)議(SSL、TLS、IPSEC、PPTP、VPN)、防火墻及保密網(wǎng)關(guān)技術(shù)等。

2.電子支付協(xié)議

在現(xiàn)實生活中，人們一般有3種支付方式：現(xiàn)金、支票及卡，同樣，電子支付協(xié)議也可分為這3種模式。事實上，它的目標(biāo)就是使用電子手段來實現(xiàn)日常所進行的交易。一個有效的可能成功的電子支付系統(tǒng)必須被廣泛認(rèn)可，該系統(tǒng)必須保證有關(guān)各方不易受到欺騙；此外最為重要的一點是必須方便易行。

（1）基于卡的支付協(xié)議

基于卡的支付模式有：明文發(fā)送信用卡號碼；經(jīng)保密路徑發(fā)送信用卡號碼；通過第三方進行交易。

上述幾種方案是在web商務(wù)的早期就采用的，對安全性、可靠性以及抗否認(rèn)性等方面并沒有過多的考慮，支付過程實際上還是非在線的，商家在檢驗信用卡時往往通過專門的網(wǎng)絡(luò)同信用卡授權(quán)機構(gòu)聯(lián)系。這一過程如圖1所示。

圖1 經(jīng)安全Web服務(wù)進行的交易

web交易的發(fā)展迫切需要新的支付模式，現(xiàn)在的支付模式大致結(jié)構(gòu)如圖2。

在安全電子支付協(xié)議中，客戶瀏覽Web頁面通過常規(guī)HTTP協(xié)議進行，當(dāng)需要進行支付時，瀏覽器啟動-支付模塊(通常稱為電子錢包E-wallet)處理支付協(xié)議。

（2）基于支票的支付協(xié)議

支票模型模擬了現(xiàn)實生活中支票的使用。同信用卡模式一樣，它也同樣需要支票發(fā)行機構(gòu)如銀行等來確認(rèn)支票的有效性。這種模型同銀行存取款方式相似，使用借-貸模型，用戶需要在支付服務(wù)器上開設(shè)一個賬戶，支付服務(wù)器維護賬目的絕對平衡。

（3）基于現(xiàn)金的支付協(xié)議

在交易中，有時會希望交易能匿名進行，即無法對交易過程進行追蹤，無法確認(rèn)交易者的身份。卡和支票模式都不能滿足這樣的需求，而基于現(xiàn)金的支付模式模擬了日?，F(xiàn)金的使用，可以做到這一點。

多數(shù)電子現(xiàn)金的實現(xiàn)的思想：每一枚電子硬幣都有一個編號。銀行維護若干密鑰對，每一對密鑰可用于對某種特定面值的硬幣進行簽名。但如果硬幣是由銀行生成并交給用戶的話，它可以記錄下每枚硬幣的去向，從而當(dāng)這枚硬幣用于支付時可以跟蹤到用戶的交易。而盲簽名機制可以允許用戶自己生成硬幣．讓銀行對這枚硬幣標(biāo)定面值。如當(dāng)用戶從銀行提款時，他先為硬幣隨機生成一個很大的編號，然后利用盲簽名機制，銀行可以用代表不同面值的密鑰對這救硬幣進行簽名，從而標(biāo)定硬幣的面值。由于序號很大(大于200位數(shù)字)，重復(fù)的概率可以忽略不計，再加上盲簽名讓銀行無法知道硬幣的編號，也就不可能將它記錄下來。

同時，必須要有一種機制來保證電子硬幣不被重復(fù)使用。鑒于無法控制遠程用戶對電子現(xiàn)金的復(fù)制，提出了一種依靠處罰措施來禁止重復(fù)消費這一行為，引人一種“盲記錄”的機制，第一次使用電子硬幣時，無法進行跟蹤，而如果重復(fù)使用，就有足夠多的信息能查出使用者的賬戶信息．從而采取相應(yīng)的反措施。

四、結(jié)論

第8篇：電子商務(wù)安全策略范文

[關(guān)鍵詞] J2EE 電子商務(wù) 安全架構(gòu)

一、背景介紹

隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展，電子商務(wù)作為一種新的商務(wù)系統(tǒng)得到了廣泛的應(yīng)用。目前電子商務(wù)的使用越來越廣，電子商務(wù)的安全性成為人們關(guān)注的焦點。事實上，電子商務(wù)由于黑客的入侵，系統(tǒng)存在的安全漏洞而造成各方面的損失的報道也屢見不鮮。因此，電子商務(wù)的開發(fā)設(shè)計必須要把安全作為應(yīng)用系統(tǒng)的一個重要的方面加入到電子商務(wù)系統(tǒng)的開發(fā)的整體設(shè)計中來。

當(dāng)前電子商務(wù)應(yīng)用的主流開發(fā)技術(shù)則是以J2EE為主,J2EE(Java 2 Platform Enterprise Edition)是美國Sun公司推出的多層企業(yè)應(yīng)用開發(fā)模型。J2EE簡化了基于工業(yè)標(biāo)準(zhǔn)的、組件化的企業(yè)應(yīng)用開發(fā)，提供了一套完整的企業(yè)應(yīng)用的開發(fā)框架和服務(wù)的支持。由于J2EE完善和靈活的框架設(shè)計、強大服務(wù)支持等優(yōu)點，使其迅速成為電子商務(wù)應(yīng)用系統(tǒng)開發(fā)的主流技術(shù)。本文則主要介紹了如何在基于J2EE的電子商務(wù)系統(tǒng)設(shè)計中加入安全架構(gòu)的設(shè)計，并介紹了安全架構(gòu)設(shè)計中的一些概念和實現(xiàn)技術(shù)。

二、電子商務(wù)的安全架構(gòu)及其概念

電子商務(wù)的安全架構(gòu)的根本目標(biāo)是為了實現(xiàn)對用戶訪問系統(tǒng)和使用系統(tǒng)資源進行控制，達到合法用戶合法使用系統(tǒng)的目的，因此在電子商務(wù)中采用的安全架構(gòu)一般涉及到以下幾個概念:

1.合法用戶:合法用戶是指通過驗證的，擁有一定系統(tǒng)使用權(quán)限的用戶。當(dāng)一個用戶進入系統(tǒng)時，只要通過驗證后才可以獲得進入系統(tǒng)的資格和使用系統(tǒng)的權(quán)限。

2.角色:由于一個電子商務(wù)系統(tǒng)可能對不同的用戶給予不同的權(quán)限。如果對每個用戶都要進行權(quán)限的設(shè)置，這樣的做法顯然是不合理的，因此在電子商務(wù)系統(tǒng)中一般將相同使用權(quán)限的用戶歸并成一類，稱之為角色，相同的角色擁有相同的系統(tǒng)使用權(quán)限。

3.安全域:是一個邏輯范圍或區(qū)域，在這一范圍或區(qū)域中安全服務(wù)的管理員定義和實施通用的安全策略。它是比角色更高的層的抽象。一個組織可以劃分成眾多的安全域，而一個安全域中可以包含眾多的角色。

4.資源:泛指電子商務(wù)系統(tǒng)中可以被用戶使用，訪問的有價值信息。比如說報價系統(tǒng)，訂單系統(tǒng)等都屬于電子商務(wù)系統(tǒng)的資源。

5.映射:映射是電子商務(wù)將一個合法用戶與系統(tǒng)內(nèi)的某個角色相關(guān)聯(lián)的動作，從而該合法用戶即擁有對應(yīng)角色的系統(tǒng)使用權(quán)限。一個用戶可以在不同的策略配置下對應(yīng)不同的角色，達到實現(xiàn)系統(tǒng)用戶權(quán)限管理的靈活性。

以上述的概念可知，一個組織的電子商務(wù)系統(tǒng)的安全架構(gòu)可以首先看成是由安全域組成的，每個安全域內(nèi)包含了眾多的角色和資源。用戶通過驗證后進入系統(tǒng)，即根據(jù)其所屬安全域的安全配置策略被映射到其對應(yīng)的角色上，從而擁有該角色使用系統(tǒng)的權(quán)限。

三、電子商務(wù)的安全架構(gòu)設(shè)計

1.用戶身份驗證:用戶身份認(rèn)證是用戶進入系統(tǒng)的第一步，也是系統(tǒng)安全性保障的基本前提，用戶身份驗證有很多種方式和實現(xiàn)技術(shù)，就J2EE而言，主要有通過WEB客戶端來實現(xiàn)對用戶的身份驗證和基于應(yīng)用程序客戶端驗證兩種方式， J2EE中提供了三種基于WEB客戶端的用戶身份驗證技術(shù)，主要有HTTP基本驗證，基于表單的驗證，基于客戶端證書的驗證。而利用基于應(yīng)用程序客戶端驗證的方式，這種方式主要是通過應(yīng)用程序客戶端在運行前由其應(yīng)用程序客戶端容器來完成驗證過程。

2.安全域的劃分:安全域涉及到更高抽象層的安全策略的配置，因此安全域的劃分一般是依據(jù)電子商務(wù)系統(tǒng)用戶所屬組織的結(jié)構(gòu)來劃分。

3.用戶角色設(shè)置主要是根據(jù)用戶使用系統(tǒng)的需求來進行設(shè)置，將相同使用權(quán)限需求的用戶歸并為一類，設(shè)置成相同的角色。并針對該角色依據(jù)最小有限使用權(quán)限的原則配置該角色在系統(tǒng)中的使用權(quán)限。最后根據(jù)角色和權(quán)限配置，再結(jié)合實際的使用情況設(shè)置詳細(xì)的安全管理策略。

4.以上第二、第三步驟主要集中在電子商務(wù)的安全管理邏輯設(shè)計，當(dāng)邏輯設(shè)計完成后，就需要將邏輯的安全管理規(guī)則在電子商務(wù)系統(tǒng)中予以實現(xiàn)，在電子商務(wù)系統(tǒng)中加入安全管理功能模塊。具有的實現(xiàn)方式有多種，以下本文將簡要說明在電子商務(wù)應(yīng)用系統(tǒng)中加入用戶權(quán)限控制的過程和方法。

四、應(yīng)用舉例

在J2EE的架構(gòu)中實現(xiàn)對用戶訪問權(quán)限的控制主要有二種實現(xiàn)方式:一種是通過SESSION對象來實現(xiàn)，即當(dāng)用戶通過身份驗證后，為用戶建立一個SESSION對象用以記錄用戶的角色,以及權(quán)限，當(dāng)用戶訪問系統(tǒng)中的資源時，首先對用戶的SESSION對象中的用戶角色權(quán)限進行審計。如果用戶的角色擁有訪問該資源的權(quán)限，則允許其訪問資源，否則拒絕;另一種方式則是通過對WEB應(yīng)用容器進行設(shè)置來實現(xiàn)的。以TOMCAT為例,它可以用其WEB.XML配置文件進行配置，該配置文件實質(zhì)上是定義的三元組，在該配置文件將系統(tǒng)的資源定義成用戶角色將要訪問的頁面集合，并將相關(guān)的頁面資源進行合并，也可以通過通用匹配符來表示成WEB資源集合,然后根據(jù)安全策略的設(shè)置,定義針對該集合允許訪問的角色集合,在集合中定義允許訪問的用戶角色，最后是說明角色的驗證方式，指出用戶的角色名和其所屬的安全域。對TOMCAT配置完成后,則可以由TOMCAT容器來實現(xiàn)對用戶訪問資源的控制。

從兩種方式對比來看，第一種方式應(yīng)該說安全策略的配置粒度更細(xì)，而且訪問權(quán)限的控制能力也更強些，但是模塊的功能設(shè)計復(fù)雜而靈活性也會受一定的影響，后一種方式直接在WEB容器中配置安全策略，實現(xiàn)方便，靈活性也高，但是功能則會受限制。因而其更適合一些小型的應(yīng)用。

參考文獻:

第9篇：電子商務(wù)安全策略范文

關(guān)鍵詞：電子商務(wù)；身份認(rèn)證；防火墻

1引言

電子商務(wù)可以增加銷售額并降低成本的優(yōu)勢，使得政府與企業(yè)都十分重視并推動電子商務(wù)的建設(shè)和發(fā)展。電子商務(wù)發(fā)展到今天,主要問題在于時空的分離導(dǎo)致了安全問題的出現(xiàn),信息的安全性是當(dāng)前發(fā)展電子商務(wù)最迫切需要解決的問題之一。研究和分析電子商務(wù)的安全性問題,特別是針對企業(yè)自身情況,充分借鑒以往電子商務(wù)系統(tǒng)開發(fā)的先進技術(shù)和經(jīng)驗,開發(fā)出符合企業(yè)特殊的電子商務(wù)系統(tǒng),已經(jīng)成為目前發(fā)展電子商務(wù)的關(guān)鍵，而安全體系的構(gòu)建顯得尤為重要。

2電子商務(wù)的主要安全要素

目前電子商務(wù)工程正在全國迅速發(fā)展。實現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動過程中系統(tǒng)的安全性，即應(yīng)保證在基于Internet的電子交易轉(zhuǎn)變的過程中與傳統(tǒng)交易的方式一樣安全可靠。從安全和信任的角度來看，傳統(tǒng)的買賣雙方是面對面的，因此較容易保證交易過程的安全性和建立起信任關(guān)系。但在電子商務(wù)過程中，買賣雙方是通過網(wǎng)絡(luò)來聯(lián)系，由于距離的限制，因而建立交易雙方的安全和信任關(guān)系相當(dāng)困難。時空的分離導(dǎo)致了安全問題的出現(xiàn)，電子商務(wù)交易雙方（銷售者和消費者）都面臨安全威脅，電子商務(wù)的安全要素主要體現(xiàn)在以下幾個方面：

2.1信息真實性、有效性

電子商務(wù)以電子形式取代了紙張，如何保證這種電子形式的貿(mào)易信息的有效性和真實性則是開展電子商務(wù)的前提。電子商務(wù)作為貿(mào)易的一種形式，其信息的有效性和真實性將直接關(guān)系到個人、企業(yè)或國家的經(jīng)濟利益和聲譽。

2.2信息機密性

電子商務(wù)作為貿(mào)易的一種手段，其信息直接廠代表著個人、企業(yè)或國家的商業(yè)機密。傳統(tǒng)的紙面貿(mào)易都是通過郵寄封裝的信件或通過可靠的通信渠道發(fā)送商業(yè)報文來達到保守機密的目的。電子商務(wù)是建立在一個較為開放的網(wǎng)絡(luò)環(huán)境上的，商業(yè)防泄密是電子商務(wù)全面推廣應(yīng)用的重要保障。

3.3信息完整性

電子商務(wù)簡化了貿(mào)易過程，減少了人為的干預(yù)，同時也帶來維護商業(yè)信息的完整、統(tǒng)一的問題。由于數(shù)據(jù)輸入時的意外差錯或欺詐行為，可能導(dǎo)致貿(mào)易各方信息的差異。此外，數(shù)據(jù)傳輸過程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會導(dǎo)致貿(mào)易各方信息的不同。因此，電子商務(wù)系統(tǒng)應(yīng)充分保證數(shù)據(jù)傳輸、存儲及電子商務(wù)完整性檢查的正確和可靠。

3.4信息可靠性、不可抵賴性和可鑒別性

可靠性要求即是能保證合法用戶對信息和資源的使用不會被不正當(dāng)?shù)鼐芙^；不可否認(rèn)要求即是能建立有效的責(zé)任機制，防止實體否認(rèn)其行為；可控性要求即是能控制使用資源的人或?qū)嶓w的使用方式。在傳統(tǒng)的紙面貿(mào)易中，貿(mào)易雙方通過在交易合同、契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章來鑒別貿(mào)易伙伴，確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。

在無紙化的電子商務(wù)方式下，通過手寫簽名和印章進行貿(mào)易方的鑒別已是不可能的。因此，要在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標(biāo)識。在1nternet上每個人都是匿名的，電子商務(wù)系統(tǒng)應(yīng)充分保證原發(fā)方在發(fā)送數(shù)據(jù)后不能抵賴；接收方在接收數(shù)據(jù)后也不能抵賴。

3電子商務(wù)安全系統(tǒng)

網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。為了保證電子商務(wù)交易能順利進行，要求電子商務(wù)平臺要穩(wěn)定可靠，能不中斷地提供服務(wù)。任何系統(tǒng)的中斷，如硬件、軟件錯誤，網(wǎng)絡(luò)故障、病毒等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時刻和地點的有效性得不到保證，往往會造成巨大的經(jīng)濟損失。

所以就整個電子商務(wù)安全系統(tǒng)而言，安全性可以劃分為四個層次，

1)網(wǎng)絡(luò)節(jié)點的安全

2)通訊的安全性

3)應(yīng)用程序的安全性

4)用戶的認(rèn)證管理

其中2、3、4是通過操作系統(tǒng)和Web服務(wù)器軟件實現(xiàn)，而網(wǎng)絡(luò)節(jié)點的安全性依靠防火墻保證，我們應(yīng)該首先保證網(wǎng)絡(luò)節(jié)點的安全性。

3.1網(wǎng)絡(luò)節(jié)點的安全

防火墻是一種由計算機硬件和軟件的組合，使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關(guān)，從而保護內(nèi)部網(wǎng)免受非法用戶的侵入，它其實就是一個把互聯(lián)網(wǎng)與內(nèi)部網(wǎng)（通常指局域網(wǎng)或城域網(wǎng)）隔開的屏障。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊，為電子商務(wù)的施展提供個相對更安全的平臺。

防火墻是在連接Internet和Intranet保證安全最為有效的方法，防火墻能夠有效地監(jiān)視網(wǎng)絡(luò)的通信信息，并記憶通信狀態(tài)，從而作出允許/拒絕等正確的判斷。通過靈活有效地運用這些功能，制定正確的安全策略，將能提供一個安全、高效的Intranet系統(tǒng)。應(yīng)給予特別注意的是，防火墻不僅僅是路由器、堡壘主機或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，它是安全策略的一個部分。安全策略建立了全方位的防御體系來保護機構(gòu)的信息資源，這種安全策略應(yīng)包括：規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護措施，以及管理制度等。所有有可能受到網(wǎng)絡(luò)攻擊的地方都必須以同樣安全級別加以保護。僅設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。

3.2通訊的安全

在客戶端瀏覽器和電子商務(wù)WEB服務(wù)器之間采用SSL協(xié)議建立安全鏈接，所傳遞的重要信息都是經(jīng)過加密的，這在一定程度上保證了數(shù)據(jù)在傳輸過程中的安全。目前采用的是瀏覽器缺省的40位加密強度，也可以考慮將加密強度增加到128位。為在瀏覽器和服務(wù)器之間建立安全機制，SSL首先要求服務(wù)器向瀏覽器出示它的證書，證書包括一個公鑰，由一家可信證書授權(quán)機構(gòu)（CA中心）簽發(fā)。瀏覽器要驗征服務(wù)器證書的正確性，必須事先安裝簽發(fā)機構(gòu)提供的基礎(chǔ)公共密鑰（PKI）。建立SSL鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務(wù)器證書（下載可以在訪問之前或訪問時）。驗證此證書是合法的服務(wù)器證書通過后利用該證書對稱加密算法（RSA）與服務(wù)器協(xié)商一個對稱算法及密鑰，然后用此對稱算法加密傳輸?shù)拿魑?。此時瀏覽器也會出進入安全狀態(tài)的提示。[]

3.3應(yīng)用程序的安全性

即使正確地配置了訪問控制規(guī)則，要滿足計算機系統(tǒng)的安全性也是不充分的，因為編程錯誤也可能引致攻擊。程序錯誤有以下幾種形式：程序員忘記檢查傳送到程序的入口參數(shù)；程序員忘記檢查邊界條件，特別是處理字符串的內(nèi)存緩沖時；程序員忘記最小特權(quán)的基本原則。整個程序都是在特權(quán)模式下運行，而不是只有有限的指令子集在特權(quán)模式下運行，其他的部分只有縮小的許可；程序員從這個特權(quán)程序使用范圍內(nèi)建立一個資源，如一個文件和目錄。不是顯式地設(shè)置訪問控制（最少許可），程序員認(rèn)為這個缺省的許可是正確的。

這些缺點都被使用到攻擊系統(tǒng)的行為中。不正確地輸入?yún)?shù)被用來騙特權(quán)程序做一些它本來不應(yīng)該做的事情。緩沖溢出攻擊就是通過給特權(quán)程序輸入一個過長的字符串來實現(xiàn)的。程序不檢查輸入字符串長度。假的輸入字符串常常是可執(zhí)行的命令，特權(quán)程序可以執(zhí)行指令。程序碎塊是特別用來增加黑客的特權(quán)的或是作為攻擊的原因?qū)懙?。例如，緩沖溢出攻擊可以向系統(tǒng)中增加一個用戶并賦予這個用戶特權(quán)。訪問控制系統(tǒng)中沒有什么可以檢測到這些問題。只有通過監(jiān)視系統(tǒng)并尋找違反安全策略的行為，才能發(fā)現(xiàn)象這些問題一樣的錯誤。

3.4用戶的認(rèn)證管理

1)身份認(rèn)證

電子商務(wù)企業(yè)用戶身份認(rèn)證可以通過服務(wù)器CA證書與IC卡相結(jié)合實現(xiàn)的。CA證書用來認(rèn)證服務(wù)器的身份，IC卡用來認(rèn)證企業(yè)用戶的身份。個人用戶由于沒有提供交易功能，所以只采用ID號和密碼口令的身份確認(rèn)機制。

2)CA證書

要在網(wǎng)上確認(rèn)交易各方的身份以及保證交易的不可否認(rèn)性，需要一份數(shù)字證書進行驗證，這份數(shù)字證書就是CA證書，它由認(rèn)證授權(quán)中心（CA中心）發(fā)行。認(rèn)證中心（CA）就是承擔(dān)網(wǎng)上安全交易認(rèn)證服務(wù)，能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機構(gòu)。認(rèn)證中心通常是企業(yè)性的服務(wù)機構(gòu)，主要任務(wù)是受理數(shù)字證書的申請、簽發(fā)及對數(shù)字證書的管理。CA中心一般是社會公認(rèn)的可靠組織，它對個人、組織進行審核后，為其發(fā)放數(shù)字證書，證書分為服務(wù)器證書和個人證書。建立SSL安全鏈接不需要一定有個人證書，實際上不驗證客戶的個人證書情況是很多的。驗證個人證書是為了驗證來訪者的合法身份。而單純的想建立SSL鏈接時客戶只需用戶下載該站點的服務(wù)器證書（下載可以在訪問之前或訪問時進行）。

3)安全套接層SSL協(xié)議

安全套接層SSL協(xié)議是Netscape公司在網(wǎng)絡(luò)傳輸層與應(yīng)用層之間提供的一種基于RSA和保密密鑰的用于瀏覽器與Web服務(wù)器之間的安全連接技術(shù)。

SSL通過數(shù)字簽名和數(shù)字證書來實行身份驗證，數(shù)字證書是從認(rèn)證機構(gòu)（CA，CertificateAuthority）獲得的，通常包含有唯一標(biāo)識證書所有者的名稱、唯一標(biāo)識證書者的名稱、證書所有者的公開密鑰、證書者的數(shù)字簽名、證書的有效期及證書的序列號等。在用數(shù)字證書對雙方的身份驗證后，雙方就可以用保密密鑰進行安全的會話了。

SSL協(xié)議在應(yīng)用層收發(fā)數(shù)據(jù)前，協(xié)商加密算法、連接密鑰并認(rèn)證通信雙方，從而為應(yīng)用層提供了安全的傳輸通道；在該通道上可透明加載任何高層應(yīng)用協(xié)議（如Http、Ftp、Telnet等）以保證應(yīng)用層數(shù)據(jù)傳輸?shù)陌踩浴?/p>

SSL協(xié)議握手流程由兩個階段組成：服務(wù)器認(rèn)證和用戶認(rèn)證。

①服務(wù)器認(rèn)證

客戶端向服務(wù)器發(fā)送一個“Hello”信息，以便開始一個新的會話連接；服務(wù)器根據(jù)客戶的信息確定是否需要生成新的主密鑰，如需要則服務(wù)器在響應(yīng)客戶的“Hello”信息時將包含生成主密鑰所需的信息；客戶根據(jù)收到的服務(wù)器響應(yīng)信息，產(chǎn)生一個主密鑰，并用服務(wù)器的公開密鑰加密后傳給服務(wù)器；服務(wù)器恢復(fù)該主密鑰，并返回給客戶一個用主密鑰認(rèn)證的信息，以此讓客戶認(rèn)證服務(wù)器。這樣通過主密鑰引出的密鑰對一系列數(shù)據(jù)進行加密來認(rèn)證服務(wù)器，從而建立安全的通信通道。

②用戶認(rèn)證

經(jīng)認(rèn)證的服務(wù)器發(fā)送一個提問給客戶，客戶則返回數(shù)字簽名后的提問和其公開密鑰，從而向服務(wù)器提供認(rèn)證。SSL協(xié)議支持各種加密算法，實現(xiàn)簡單，獨立于應(yīng)用層協(xié)議，且被大部分瀏覽器和Web服務(wù)器內(nèi)置，便于在電子交易中應(yīng)用。但SSL是一個面向連接的協(xié)議，起初并不是為了支持電子商務(wù)而設(shè)計的，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，在涉及多方的電子交易中，SSL協(xié)議不能協(xié)調(diào)各方面的安全傳輸和信任關(guān)系。為此，開發(fā)出了在網(wǎng)絡(luò)應(yīng)用層中專為電子商務(wù)而設(shè)計的SET協(xié)議。

4安全管理

為了確保系統(tǒng)的安全性，除了采用上述技術(shù)手段外，還必須建立嚴(yán)格的內(nèi)部安全機制。對于所有接觸系統(tǒng)的人員，按其職責(zé)設(shè)定其訪問系統(tǒng)的最小權(quán)限。按照分級管理原則，嚴(yán)格管理內(nèi)部用戶帳號和密碼，進入系統(tǒng)內(nèi)部必須通過嚴(yán)格的身份確認(rèn)，防止非法占用、冒用合法用戶帳號和密碼。

建立網(wǎng)絡(luò)安全維護日志，記錄與安全性相關(guān)的信息及事件，有情況出現(xiàn)時便于跟蹤查詢。定期檢查日志，以便及時發(fā)現(xiàn)潛在的安全威脅。

對于重要數(shù)據(jù)要及時進行備份，且對數(shù)據(jù)庫中存放的數(shù)據(jù)，數(shù)據(jù)庫系統(tǒng)應(yīng)視其重要性提供不同級別的數(shù)據(jù)加密。

5結(jié)束語

安全實際上就是一種風(fēng)險管理。任何技術(shù)手段都不能保證1OO％的安全。但是，安全技術(shù)可以降低系統(tǒng)遭到破壞、攻擊的風(fēng)險。決定采用什么安全策略取決于系統(tǒng)的風(fēng)險要控制在什么程度范圍內(nèi)。電子商務(wù)的安全運行必須從多方面入手，僅在技術(shù)角度防范是遠遠不夠的。安全只是相對的，而不是絕對的。因此，為進一步促進電子商務(wù)體系的完善和行業(yè)的健康快速發(fā)展，必須在實際運用中解決電子商務(wù)中出現(xiàn)的各類問題，使電子商務(wù)系統(tǒng)相對更安全。

參考文獻:

[1]吳洋.電子商務(wù)安全方法研究[D].天津大學(xué),2006.

[2]李艷.電子商務(wù)信息安全策略研究[J].甘肅科技,2005,(06)