論信息安全技術(shù)在電子商務(wù)中的應(yīng)用

論文關(guān)鍵詞：電子商務(wù)　密碼技術(shù)　安全協(xié)議
　　論文摘要：文章主要針對在電子商務(wù)應(yīng)用中所經(jīng)常使用到的幾種信息安全技術(shù)作了系統(tǒng)的闡述，分析了各種技術(shù)在應(yīng)用中的側(cè)重點，強調(diào)了在電子商務(wù)應(yīng)用中信息安全技術(shù)所具有的重要作用。
　　21世紀是知識經(jīng)濟時代，網(wǎng)絡(luò)化、信息化是現(xiàn)代社會的一個重要特征。隨著網(wǎng)絡(luò)的不斷普及，電子商務(wù)這種商務(wù)活動新模式已經(jīng)逐漸改變了人們的經(jīng)濟、工作和生活方式，可是，電子商務(wù)的安全問題依然是制約人們進行電子商務(wù)交易的最大問題，因此，安全問題是電子商務(wù)的核心問題，是實現(xiàn)和保證電子商務(wù)順利進行的關(guān)鍵所在。
　　信息安全技術(shù)在電子商務(wù)應(yīng)用中，最主要的是防止信息的完整性、保密性與可用性遭到破壞；主要使用到的有密碼技術(shù)、信息認證和訪問控制技術(shù)、防火墻技術(shù)等。
　　1密碼技術(shù)
　　密碼是信息安全的基礎(chǔ)，現(xiàn)代密碼學(xué)不僅用于解決信息的保密性，而且也用于解決信息的保密性、完整性和不可抵賴性等，密碼技術(shù)是保護信息傳輸?shù)淖钣行У氖侄?。密碼技術(shù)分類有多種標準，若以密鑰為分類標準，可將密碼系統(tǒng)分為對稱密碼體制(私鑰密碼體制)和非對稱密碼體制(公鑰密碼體制)，他們的區(qū)別在于密鑰的類型不同。
　　在對稱密碼體制下，加密密鑰與解密密鑰是相同的密鑰在傳輸過程中需經(jīng)過安全的密鑰通道，由發(fā)送方傳輸?shù)浇邮辗?。比較著名的對稱密鑰系統(tǒng)有美國的DES，歐洲的IDEA，Et本的RC4，RC5等。在非對稱密碼體制下加密密鑰與解密密鑰不同，加密密鑰公開而解密密鑰保密，并且?guī)缀醪豢赡苡杉用苊荑€導(dǎo)出解密密鑰，也無須安全信道傳輸密鑰，只需利用本地密鑰的發(fā)生器產(chǎn)生解密密鑰。比較著名的公鑰密鑰系統(tǒng)有RSA密碼系統(tǒng)、橢圓曲線密碼系統(tǒng)ECC等。
　　數(shù)字簽名是一項專門的技術(shù)，也是實現(xiàn)電子交易安全的核心技術(shù)之一，在實現(xiàn)身份認證、數(shù)據(jù)完整性、不可抵賴性等方面有重要的作用。尤其在電子銀行、電子證券、電子商務(wù)等領(lǐng)域有重要的應(yīng)用價值。數(shù)字簽名的實現(xiàn)基礎(chǔ)是加密技術(shù)，它使用的是公鑰加密算法與散列函數(shù)一個數(shù)字簽名的方案一般有兩部分組成：數(shù)字簽名算法和驗證算法。數(shù)字簽名主要的功能是保證信息傳輸?shù)耐暾?、發(fā)送者身份的驗證、防止交易中抵賴的發(fā)生。
　　2信息認證和訪問控制技術(shù)
信息認證技術(shù)是網(wǎng)絡(luò)信息安全技術(shù)的一個重要方面，用于保證通信雙方的不可抵賴性和信息的完整性。在網(wǎng)絡(luò)銀行、電子商務(wù)應(yīng)用中，交易雙方應(yīng)當能夠確認是對方發(fā)送或接收了這些信息，同時接收方還能確認接收的信息是完整的，即在通信過程中沒有被修改或替換。
　?、倩谒借€密碼體制的認證。假設(shè)通信雙方為A和B。A，B共享的密鑰為KAB，M為A發(fā)送給B的信息。為防止信息M在傳輸信道被竊聽，A將M加密后再傳送，如圖1所示
　　由于KAB為用戶A和B的共享密鑰，所以用戶B可以確定信息M是由用戶A所發(fā)出的，這種方法可以對信息來源進行認證，它在認證的同時對信息M也進行了加密，但是缺點是不能提供信息完整性的鑒別。通過引入單向HASH函數(shù)，可以解決信息完整性的鑒別問題，如圖2所示
　　在圖2中，用戶A首先對信息M求HASH值H(M)，之后將H(M)加密成為m，然后將m。和M一起發(fā)送給B，用戶B通過解密ml并對附于信息M之后的HASH值進行比較，比較兩者是否一致。圖2給出的信息認證方案可以實現(xiàn)信息來源和完整性的認證?；谒借€的信息認證的機制的優(yōu)點是速度較快，缺點是通信雙方A和B需要事先約定共享密鑰KAB。
　?、诨诠€體制的信息認證?；诠€體制的信息認證技術(shù)主要利用數(shù)字簽名和哈希函數(shù)來實現(xiàn)。假設(shè)用戶A對信息M的HASH值H(M)的簽名為SA(dA，H(m)，其中dA為用戶A的私鑰)，用戶A將M／／SA發(fā)送給用戶B，用戶B通過A的公鑰在確認信息是否由A發(fā)出，并通過計算HSAH值來對信息M進行完整性鑒別。如果傳輸?shù)男畔⑿枰獔竺瑒t用戶A和B可通過密鑰分配中心獲得一個共享密鑰KAB，A將信息簽名和加密后再傳送給B，如圖3所示。由圖3可知，只有用戶A和B擁有共享密鑰KAB，B才能確信信息來源的可靠性和完整性。
　　訪問控制是通過一個參考監(jiān)視器來進行的，當用戶

　　對系統(tǒng)內(nèi)目標進行訪問時，參考監(jiān)視器邊查看授權(quán)數(shù)據(jù)庫，以確定準備進行操作的用戶是否確實得到了可進行此項操作的許可。而數(shù)據(jù)庫的授權(quán)則是一個安全管理器負責(zé)管理和維護的，管理器以阻止的安全策略為基準來設(shè)置這些授權(quán)。

③防火墻技術(shù)。防火墻是目前用得最廣泛的一種安全技術(shù)，是一種由計算機硬件和軟件的組合。它使互聯(lián)網(wǎng)與內(nèi)部網(wǎng)之間建立起一個安全網(wǎng)關(guān)，可以過濾進出網(wǎng)絡(luò)的數(shù)據(jù)包、管理進出網(wǎng)絡(luò)的訪問行為、對某些禁止的訪問行為、記錄通過防火墻的信息內(nèi)容和活動及對網(wǎng)絡(luò)攻擊進行檢測和告警等。防火墻的應(yīng)用可以有效的減少黑客的入侵及攻擊，它限制外部對系統(tǒng)資源的非授權(quán)訪問，也限制內(nèi)部對外部的非授權(quán)訪問，同時還限制內(nèi)部系統(tǒng)之間，特別是安全級別低的系統(tǒng)對安全級別高的系統(tǒng)的非授權(quán)訪問，為電子商務(wù)的施展提供一個相對更安全的平臺，具體表現(xiàn)如下：
　?、俜阑饓梢詮娀W(wǎng)絡(luò)安全策略。通過以防火墻為中心的安全方案配置，能將所有安全軟件配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。例如在網(wǎng)絡(luò)訪問時，一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全可以不必分散在各個主機上，而集中在防火墻身上。
　?、趯W(wǎng)絡(luò)存取和訪問進行監(jiān)控審計。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。
　　③防止內(nèi)部信息的外泄。通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統(tǒng)使用的頻繁程度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)，這個系統(tǒng)是否在被攻擊時引起注意等等。
　　防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣臺主機的域名和IP地址就不會被外界所了解。
　?、芫W(wǎng)絡(luò)安全協(xié)議。網(wǎng)絡(luò)協(xié)議是網(wǎng)絡(luò)上所有設(shè)備之間通信規(guī)則的集合。在網(wǎng)絡(luò)的各層中存在著許多協(xié)議，網(wǎng)絡(luò)安全協(xié)議就是在協(xié)議中采用了加密技術(shù)、認證技術(shù)等保證信息安全交換的安全網(wǎng)絡(luò)協(xié)議。目前，Intemet上對七層網(wǎng)絡(luò)模型的每一層都已提出了相應(yīng)的加密協(xié)議，在所有的這些協(xié)議中，會話層的SSL和應(yīng)用層的SET與電子商務(wù)的應(yīng)用關(guān)系最為密切。
　?、賡sL協(xié)議(SecureSocketsLayer)安全套接層協(xié)議。SSL使用對稱加密來保證通信保密性，使用消息認證碼(MAC)來保證數(shù)據(jù)完整性。SSL主要使用PKI在建立連接時對通信雙方進行身份認證。SSL協(xié)議主要是使用公開密鑰體制和X．509數(shù)字證書技術(shù)保護信息傳輸?shù)臋C密性和完整性。它主要適用于點對點之間的信息傳輸，提供基于客戶／服務(wù)器模式的安全標準，它在傳輸層和應(yīng)用層之間嵌入一個子層，在建立連接過程中采用公開密鑰，在會話過程中使用私人密鑰。加密的類型和強度則在兩端之間建立連接的過程中判斷決定。
　　SSL安全協(xié)議是國際上最早應(yīng)用于電子商務(wù)的一種網(wǎng)絡(luò)安全協(xié)議，至今仍然有很多網(wǎng)上商店使用。在傳統(tǒng)的郵購活動中，客戶首先尋找商品信息，然后匯款給商家，商家將商品寄給客戶。這里，商家是可以信賴的，所以客戶先付款給商家。在電子商務(wù)的開始階段，商家也是擔(dān)心客戶購買后不付款，或使用過期的信用卡，因而希望銀行給予認證。SSL安全協(xié)議正是在這種背景下產(chǎn)生的。所以，它運行的基點是商家對客戶信息保密的承諾。顯然，SSL協(xié)議無法完全協(xié)調(diào)各方間的安全傳輸和信任關(guān)系。
　?、赟ET協(xié)議SecureElectronicTransaction)安全電子交易。為了克服SSL安全協(xié)議的缺點，實現(xiàn)更加完善的即時電子支付，SET協(xié)議應(yīng)運而生。
　　SET協(xié)議采用了雙重簽名技術(shù)對SET交易過程中消費者的支付信息和訂單信息分別簽名，使得商家看不到支付信息，只能接收用戶的訂單信息；而金融機構(gòu)看不到交易內(nèi)容，只能接收到用戶支付信息和賬戶信息，從而充分保證了消費者帳戶和定購信息的安全性。SET協(xié)議的重點就是確保商家和客戶的身份認證和交易行為的不可否認性，其理論基礎(chǔ)就是不可否認機制，采用的核心技術(shù)包括X．509電子證書標準，數(shù)字簽名，報文摘要，雙重簽名等技術(shù)。SET協(xié)議使用數(shù)字證書對交易各方的合法性進行驗證，通過數(shù)字證書的驗證，可以確保交易中的商家和客戶都是合法的、可信賴的。
　　信息安全技術(shù)在電子商務(wù)中的應(yīng)用非常廣泛，并且起到了尤其重要的作用。