构建电子商务网站的安全措施.docVIP

构建电子商务网站的安全措施 随着互联网、个人终端技术的快速发展，电子商务越来越多的出现在人们的生活与工作中，这种全新的商务模式具有便捷、高效率、低成本的特点，使得越来越多的人开始使用电子商务网站来传递各种信息，并进行各种交易。任何一台计算机、任何一个网络都可以和之相连。但它又是无国界的，安全问题将会变得更加重要和突出。因此，网上的安全风险就构成了对电子商务的安全威胁。 电子商务的存在和发展，是以网络技术的革新为前提。电子商务系统的构建、运行及维护，都离不开技术的支持。同时，由于电子商务适合于各种大、小型企业，所以应采取措施来保障电子商务网站的安全。 一、电子商务中存在安全的问题 （一）网络信息安全方面 1.服务器的安全问题。电子商务服务器是电子商务的核心，安装了大量的与电子商务有关的软件和商家信息，并且服务器上的数据库里有电子商务活动过程中的一些保密数据。因此服务器特别容易受到安全的威胁，并且一旦出现安全问题，造成的后果也是非常严重。 2.网络信息的安全问题。非法用户在网络的传输上使用不正当手法，非法拦截会话数据获得合法用户的有效信息，最终导致合法用户的一些核心业务数据泄密或者是非法用户对截获的网络数据进行一些恶意篡改，如增加、减少和删除等操作，从而使信息失去真实性和完整性，导致合法用户无法正常交易，还有一些非法用户利用截获的网络数据包再次发送，恶意攻击对方的网络硬件和软件。 3.网络安全中的病毒问题。互联网的出现为电脑病毒的传播提供了最好的媒介，不少新病毒直接以互联网作为自己的传播途径，电脑病毒问世10多年来，各种新型病毒及其变种迅速增加，不少新病毒直接以互联网作为自己的传播途径，还有众多病毒借助于互联网传播得更快，如何在电子商务领域如何有效防范病毒也是一个十分紧迫的问题。 （二）电子商务交易方面 1.交易身份的不确定。电子商务是一种全球各地广泛的商业贸易活动在开放的网络环境下，基于浏览器/服务器应用方式，在买卖双方不谋面的情况下进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动。正是基于这个特点攻击者可以通过非法的手段盗窃合法用户的身份信息，仿冒合法用户的身份与他人进行交易。 2.交易协议安全性问题。企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。TCP/IP协议是建立在可信的环境之下，缺乏相应的安全机制，这种基于地址的协议本身就会泄露口令，根本没有考虑安全问题；TCP/IP协议是完全公开的，其远程访问的功能使许多攻击者无须到现场就能够得手，连接的主机基于互相信任的原则等这些性质使网络更加不安全。 二、加强电子商务网站的安全措施 我们从技术手段的角度，从系统安全和数据安全的不同层面来探索电子商务中出现的网络安全新问题。 （一）信息系统安全 对于一个企业来说，信息的安全尤为重要，这种安全首先取决于系统的安全。系统安全主要包括网络系统、操作系统和应用系统三个层次。系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。 1.网络系统。网络系统安全是网络的开放性、无边界性、自由性造成，安全解决的关键是把被保护的网络从开放、无边界、自由的环境中独立出来，使网络成为可控制、管理的内部系统，由于网络系统是应用系统的基础，网络安全便成为首要新问题。解决网络安全主要方式有如下几种方法： 一是网络冗余。它是解决网络系统单点故障的重要办法。对关键性的网络线路、设备，通常采用双备份或多备份的方式。网络运行时双方对运营状态相互实时监控并自动调整，当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配，保证网络正常的运行。 二是系统隔离。分为物理隔离和逻辑隔离，主要从网络安全等级考虑划分合理的网络安全边界，使不同安全级别的网络或信息媒介不能相互访问，从而达到安全目的。对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。 三是访问控制。对于网络不同信任域实现双向控制或有限访问原则，使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制，对于网络资源来说保持有限访问的原则，信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙，它一般安置在不同安全域出入口处，对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制，同时实现网络地址转换、实时信息审计警告等功能，高级防火墙还可实现基于用户的细粒度的访问控制。 四是身份鉴别。是对网络访问者权限的识别，一般通过三种方式验证主体身份，一是主体了解的秘密，如用户名