【作者】周瑛/潘志薇
【作者簡(jiǎn)介】周瑛，安徽大學(xué)管理學(xué)院 合肥 230039
潘志薇，安徽中醫學(xué)院圖書(shū)館 合肥 230038
周瑛，女，1968年生，安徽大學(xué)管理學(xué)院，講師。
潘志薇，女，1963年生，安徽中醫學(xué)院圖書(shū)館，館員。
【內容提要】本文詳細地闡述了目前電子商務(wù)中存在的安全問(wèn)題，包括網(wǎng)絡(luò )本身的安全和網(wǎng)上交易中的安全，在此基礎上，提出了這兩方面安全問(wèn)題的解決方案。
【關(guān)鍵詞】電子商務(wù)/網(wǎng)絡(luò )交易/網(wǎng)絡(luò )安全
【正文】
近年來(lái)，隨著(zhù)因特網(wǎng)技術(shù)的發(fā)展和Java的興起，在北美地區興起了一種新的企業(yè)經(jīng)營(yíng)方式，即通過(guò)已有的電子網(wǎng)絡(luò )環(huán)境進(jìn)行快速有效的商業(yè)活動(dòng)的方式，這就是電子商務(wù)。它能提供準確、快速的商務(wù)運作，是當今世界商務(wù)運作發(fā)展的主流方向。由于網(wǎng)絡(luò )本身存在安全漏洞，因此，電子商務(wù)也不可避免地存在著(zhù)安全問(wèn)題。這些問(wèn)題主要包括兩種：一是網(wǎng)絡(luò )本身的安全性問(wèn)題，二是進(jìn)行網(wǎng)上交易中的安全問(wèn)題。
1 網(wǎng)絡(luò )的安全性問(wèn)題
網(wǎng)絡(luò )的安全性問(wèn)題主要來(lái)自于黑客的攻擊，主要包括以下幾種方法：
1.1 利用IP欺騙進(jìn)行攻擊
黑客偽造LAN主機的IP地址， 并根據這個(gè)偽造的地址進(jìn)行不正當的存取。 他先使被信任的主機喪失工作能力， 同時(shí)采用目標主機發(fā)出的TCP序列號，猜測出它的數據序列號，然后偽裝成被信任的主機， 同時(shí)建立起與目標主機基于地址經(jīng)驗的應用連接。如果成功，黑客可以進(jìn)行非授權操作，偷盜、篡改信息。
1.2 捕獲用戶(hù)的姓名和口令
黑客通過(guò)軟件程序跟蹤檢測軟件，可檢測到用戶(hù)的登錄名、密碼，在獲得用戶(hù)賬戶(hù)的讀寫(xiě)權之后，可以對其內容胡亂加以修改，毀壞數據，甚至輸入病毒，使整個(gè)數據庫陷于癱瘓。
1.3 使用“拒絕服務(wù)”（Denial of Service）
黑客發(fā)送大量的“請求服務(wù)”指令，使得Web 服務(wù)器或路由器過(guò)載而停止服務(wù)，使網(wǎng)絡(luò )處于癱瘓狀態(tài)。
1.4 非法竊聽(tīng)
黑客通過(guò)搭線(xiàn)竊聽(tīng)，截收線(xiàn)路上傳輸的信息，或者彩電磁竊聽(tīng)，截收無(wú)線(xiàn)電傳輸的信息，以進(jìn)行敲詐等非法活動(dòng)。
2 網(wǎng)絡(luò )交易中的安全問(wèn)題
在電子商務(wù)中，網(wǎng)絡(luò )銀行（又稱(chēng)電子銀行）為客戶(hù)提供各種便利，但在這種銀行系統中流通的并不是真實(shí)的貨幣，而是所謂的“電子貨幣”。它沒(méi)有形體，沒(méi)有編號，一旦進(jìn)入銀行系統流通，誰(shuí)也抓不住它。而在進(jìn)行網(wǎng)上支付（現階段的電子貨幣通常以磁卡、智能卡等銀行卡為媒體）時(shí)，它的安全問(wèn)題主要是交易的安全性和交易雙方是否守信用，這些問(wèn)題包括：
2.1 網(wǎng)上詐騙
網(wǎng)上詐騙是世界上第二種最為常見(jiàn)的投資詐騙形式，它有以下幾種方式：（1）親合團體詐騙。利用團體內部成員對宗教、 種族及專(zhuān)業(yè)性團體進(jìn)行詐騙。（2）不正當銷(xiāo)售行為詐騙。向不適宜的投資者推銷(xiāo)、欺騙性報價(jià)及市場(chǎng)操縱。（3）電話(huà)推銷(xiāo)行為詐騙。 利用“電話(huà)交易所”，強行兜售非法或欺騙性的投資產(chǎn)品。（4）高技術(shù)產(chǎn)品服務(wù)詐騙。利用不合法的優(yōu)惠條件來(lái)誤導高技術(shù)投資者，許諾高額利潤，對高技術(shù)產(chǎn)品的風(fēng)險輕描淡寫(xiě)。（5）提供投資拍電影或其他娛樂(lè )產(chǎn)品行騙， 欺騙投資者，對投資者隱瞞風(fēng)險。
2.2 冒名頂替
這是指盜用他人身份來(lái)謀取錢(qián)財。他們大多會(huì )使用一個(gè)假身份來(lái)向用戶(hù)販賣(mài)實(shí)際上并不存在的商品，借機獲得用戶(hù)的信用卡等信息，然后設法將用戶(hù)的錢(qián)取光。
2.3 抵賴(lài)
在進(jìn)行網(wǎng)上交易時(shí)，交易雙方不見(jiàn)面，互不知道對方的年齡、性別、住址、公司狀況，當交易的一方不守信用時(shí)，他可能對已經(jīng)實(shí)施的操作進(jìn)行抵賴(lài)，或污陷對方實(shí)施了其實(shí)沒(méi)有實(shí)施的操作，這種抵賴(lài)往往都是惡意的。如“賣(mài)股票400股被改成4000股，請賠償損失”， 其實(shí)，對方可能沒(méi)改動(dòng)任何數字。
3 網(wǎng)絡(luò )安全性問(wèn)題的解決方法
目前，有以下幾種保證網(wǎng)絡(luò )安全的方案。
3.1 采用包過(guò)濾路由器
使用包過(guò)濾路由器（Router）除了可以完成不同網(wǎng)段間的尋址外，還可以濾除不受歡迎的一些主機的地址和服務(wù)。 因為Internet/Intranet的基礎協(xié)議是TCP/IP協(xié)議。網(wǎng)絡(luò )中的每臺機器都有一個(gè)唯一的IP 地址，通過(guò)該地址可以訪(fǎng)問(wèn)網(wǎng)絡(luò )中的任何一臺機器。除此之外，通信雙方必須有一致的協(xié)議（如FTP、HTTP、Gopher、Telnet 等）才能彼此理解所傳送的數據包，這些協(xié)議是用機器的端口來(lái)標識的，而相應的服務(wù)也用端口來(lái)表示（如Gopher的端口為70，WWW的端口為80，FTP的端口為20或21），這樣，包過(guò)濾路由器就通過(guò)IP地址和端口地址以及允許、禁止兩種狀態(tài)來(lái)控制網(wǎng)絡(luò )對某個(gè)特定主機或服務(wù)的訪(fǎng)問(wèn)。
該技術(shù)的優(yōu)點(diǎn)是不要求對主機和客戶(hù)機的程序進(jìn)行修改就能控制網(wǎng)絡(luò )流量，它們在IP層和TCP層進(jìn)行操作， 但它沒(méi)有對許多安全需求作出說(shuō)明，因此，安全功能是很有限的，所以，這種方法現在很少單純使用。
3.2 采用防火墻體系
該技術(shù)運行于OSI的應用層，因此具有應用層的全部信息。 由于防火墻的地位十分重要，所以一般采用兩級的安全機制，即第一級由包過(guò)濾路由器承擔，第二級由防火墻承擔。帶有兩級防線(xiàn)的防火墻主要有以下幾種形式：
（1）單堡壘主機、單路由器、一層網(wǎng)絡(luò )的隔離形式。 這種配置的特點(diǎn)是堡壘主機配兩個(gè)網(wǎng)絡(luò )接口，外部網(wǎng)絡(luò )接口接受來(lái)自包過(guò)濾路由器的數據，數據必須經(jīng)過(guò)包過(guò)濾路由器的過(guò)濾規則才能轉發(fā)給堡壘主機，由于堡壘主機與包過(guò)濾路由器之間還有一個(gè)網(wǎng)絡(luò )，外界對堡壘主機的非法侵入將更加困難。
（2）分級管理的雙堡壘主機形式。所謂分級管理， 是指在第一個(gè)堡壘主機與包過(guò)濾路由器之間的網(wǎng)絡(luò )中接入一部分機器，將常用的不需保密的或低保密級的數據放在此層，而把保密級較高的數據放在第二級堡壘主機之后，這種配置除具有原單層主機的包過(guò)濾機制和堡壘主機的優(yōu)勢外，當包過(guò)濾機制和第一級堡壘主機均被攻破時(shí)，由于第二層堡壘主機采用不同的安全策略，不會(huì )造成對堡壘主機的連續突破，從而保證了內部網(wǎng)絡(luò )的安全。目前，這種方案是較高級別的安全方案。
3.3 采用虛擬專(zhuān)用網(wǎng)（VPN）技術(shù)
VPN是用于Internet交易的一種專(zhuān)用網(wǎng)絡(luò )， 它可以在兩個(gè)系統之間建立安全的隧道。在VPN中，雙方的數據通信量要大得多， 而且通信的雙方彼此都很熟悉。這就可以使用復雜的專(zhuān)用加密和認證技術(shù)，只要通信的雙方默認即可。拔號VPN 使用隧道技術(shù)使遠程訪(fǎng)問(wèn)服務(wù)器把用戶(hù)數據打包到IP信息包中， 這些信息通過(guò)電信服務(wù)商的網(wǎng)絡(luò )進(jìn)行傳遞， 在Internet中要穿過(guò)不同的網(wǎng)絡(luò )，最后到達隧道終點(diǎn)。然后拆數據包，轉換成最初的形式。隧道技術(shù)使用點(diǎn)對點(diǎn)通信協(xié)議代替了交換連接，通過(guò)路由網(wǎng)絡(luò )來(lái)連接路由地址，這代替了電話(huà)交換網(wǎng)絡(luò )使用的電話(huà)號碼連接，允許授權移動(dòng)用戶(hù)或已授權的用戶(hù)在任何時(shí)間任何地點(diǎn)訪(fǎng)問(wèn)企業(yè)網(wǎng)絡(luò )。這種方式在保證網(wǎng)絡(luò )的安全性方面是非常有用的。
4 網(wǎng)上交易中安全問(wèn)題的解決方法
由于網(wǎng)上存在的種種欺詐，所以用戶(hù)在可能的情況下，最好對網(wǎng)上兜售商品的網(wǎng)址進(jìn)行核查，以摸清商販們提供的地址和電話(huà)是否屬實(shí)，用這種方式可以防止各種欺詐。而對于冒名頂替和抵賴(lài)，目前主要有以下幾種方式來(lái)解決。
4.1 數字認證
數字認證是一種新興的安全性解決方法。隨著(zhù)現代網(wǎng)絡(luò )技術(shù)的發(fā)展，基礎設施的改善，多媒體技術(shù)運用的進(jìn)一步普及，數字認證方法正被越來(lái)越多地用于網(wǎng)絡(luò )信息的安全傳輸中。在發(fā)送文件時(shí)，或在交易信息處理的過(guò)程中，通過(guò)把影像、聲音等各種證明發(fā)送者身份的數據傳送給接收端，可大大加強信息的可靠性，這包括電子數字簽名、電子信封、電子證書(shū)、以數字方式簽署和電子付款表格等，這種接收方能確認發(fā)送者的真實(shí)身份和確保交易信息不被篡改。
4.2 數據加密
數據加密技術(shù)是保證電子商務(wù)安全動(dòng)作的一種重要方法?？砂涯承┲匾畔囊粋€(gè)可理解的明文形式變換成一種錯亂的、不可理解的密文形式（加密），經(jīng)過(guò)線(xiàn)路傳送，到達目的端后用戶(hù)再將密文還原成明文（解密）。由于信息是以密文方式進(jìn)行傳送的，不知道解密方法的人將無(wú)法得到信息的真實(shí)內容，從而保證了數據傳送過(guò)程中的安全性。對網(wǎng)絡(luò )中傳送的數據要求包括：（1 ）保密性——要求對敏感文件進(jìn)行加密，即便文件被截獲，截獲者也無(wú)法得到文件的內容；（2 ）完整性——要求保證數據的完整性，防止截獲者在文件中加入其它信息；（3 ）不可抵賴(lài)性——對數據和信息的來(lái)源進(jìn)行保證，以確保發(fā)件人的身份和發(fā)件人所進(jìn)行過(guò)的操作。
常用的加密方法有傳統密鑰密碼方法和公開(kāi)密鑰密碼方法兩類(lèi)。前者以數據加密標準（DES）算法為典型代表，后者以RSA算法為代表。傳統密鑰密碼具有對稱(chēng)性，即加密密鑰和解密密鑰相同或相近，知道其中一種即可推導出另一種；而公開(kāi)密鑰密碼方法的加密、解密密鑰不同，加密密鑰（公鑰）可以公開(kāi)，而解密密鑰（私鑰）需要保密。目前，IT業(yè)界普遍采用公開(kāi)密鑰加密系統（Public Key Encryption ）和秘密密鑰加密系統（Secret Key Encryption， 加密文件需要發(fā)送方的秘密密鑰解密，發(fā)送方的秘密密鑰也需到接收方的手中）相結合的方式來(lái)滿(mǎn)足網(wǎng)絡(luò )傳輸過(guò)程中數據的保密性。
4.3 安全電子交易SET
1997年5月，由Visa、MasterCard等聯(lián)合推出的安全電子交易（SET）規范為在Internet上進(jìn)行安全的電子商務(wù)提供了一個(gè)開(kāi)放的標準， SET規范的出現為電子商務(wù)提供了很強的安全保護，它實(shí)現了信息的集成、全部金融數據的證實(shí)、敏感數據的加密等工作。它要達到的主要目標如下：（1）信息在Internet上安全傳輸， 保證網(wǎng)上傳輸的數據不被黑客竊??；（2）定單信息和個(gè)人賬號信息的隔離， 在將包括持卡人賬號信息的定單送到商家時(shí)，商家只能看到定貨信息，而看不到持卡人的帳戶(hù)信息；（3）持卡人和商家相互認證，以確定通信雙方的身份。 一般由第三方機構負責為在線(xiàn)雙方提供信用擔保；（4 ）要求軟件遵循相同的協(xié)議和消息格式，使不同廠(chǎng)家開(kāi)發(fā)的軟件具有兼容和互操作功能，并且可以運行在不同的硬件和操作系統平臺上。SET 通過(guò)密鑰加密系統和公鑰加密系統對數據進(jìn)行加密，以確保通信中的安全性。在處理事務(wù)的過(guò)程中，通信協(xié)議、請求信息的格式、數據類(lèi)型的定義等都有明確的規定。對于每一步操作，持卡人、商家、網(wǎng)關(guān)都通過(guò)CA（認證中心）來(lái)驗證通信主機的身份，以確保通信的對方不是冒名頂替和對方操作的不可抵賴(lài)性，目前，SET規范是電子商務(wù)中最重要的協(xié)議。
【參考文獻】
1 岳劍梅.信息系統的安全管理研究.情報理論與實(shí)踐，2000，23（4）：257—260
2 劉曉敏.網(wǎng)絡(luò )環(huán)境下信息安全的技術(shù)保護.情報科學(xué)，1999， 17（2）：122—125
3 張曉琪，廖建勇.電子商務(wù)理論與實(shí)踐.中國電力出版社，1999
4 賈晶，陳元等.信息系統的安全與保密.清華大學(xué)出版社，1999
5 汪致遠等.決勝信息時(shí)代.新華出版社，2000
聯(lián)系客服
