3.2 电子商务安全技术.pdf

第三章 电子商务安全技术 电子商务安全概述 电子商务安全关键技术 电子商务安全解决方案 电子商务安全面临的挑战 电子商务迅速发展 1998年全球电子商务交易额为1020亿美元，预计 2003年电子商务交易额将达到1．3万亿美元，约 占世界贸易总额的1 ／4 。 到2001年6月30 日为止，我国上网人数约为2650 万；1999年全国有200多个电子商务网站，2000 年，达到1100家；我国电子商务交易额1999年约 为2亿元，2000年约为8亿元，预计到2003年，将 突破lOO亿元。 根据中国互联网络信息中心（CNNIC ）发布 的“中国互联网络发展状况统计报告 （2000/1）”，在电子商务方面，52.26％的 用户最关心的是交易的安全可靠性。由此可 见，电子商务的安全问题是实现电子商务的关 键之所在。 电子商务安全的体系结构 电子商务安全从整体上可分为两大部分：计算 机网络安全和商务交易安全 计算机网络安全的内容包括：计算机网络设备 安全、计算机网络系统安全、数据库安全等。 其特征是针对计算机网络本身可能存在的安全 问题，实施网络安全增强方案，以保证计算机 网络自身的安全性为目标 商务交易安全则紧紧围绕传统商务在互联网络 上应用时产生的各种安全问题，在计算机网络 安全的基础上，如何保障电子商务过程的顺利 进行 计算机网络安全与商务交易安全实际上是密不 可分的，两者相辅相成，缺一不可 网络安全的基本要求 •保密性：保持个人的、专用的和高度敏感数据 的机密 •认证性：可鉴别性，确认通信双方的合法身份 •完整性：保证所有存储和管理的信息不被篡改 •可访问性：保证系统、数据和服务能由合法的 人员访问 •防御性：能够阻挡不希望的信息和黑客 •不可抵赖性：防止通信或交易双方对已进行业 务的否认 •合法性：保证各方面的业务符合可适用的法律 和法规 一个没有安全措施的网络模型 计算机网络安全体系结构 一个全方位的计算机网络安全体系结构包含网 络的物理安全、访问控制安全、系统安全、用 户安全、信息加密、安全传输和管理安全 利用各种先进的主机安全技术、身份认证技 术、访问控制技术、密码技术、防火墙技术、 安全审计技术、安全管理技术、系统漏洞检测 技术、黑客跟踪技术，在攻击者和受保护的资 源间建立多道严密的安全防线，极大地增加了 恶意攻击的难度，并增加了审核信息的数量， 利用这些审核信息可以跟踪入侵者。 实施网络安全防范措施 使用访问控制权限机制实现数据的访问控制 对日志以及敏感数据和信息进行加密存储 当使用WWW服务器支持电子商务活动时，注意数据 的备份和恢复，并采用防火墙技术保护内部网络的安 全性 良好的用户管理机制，向授权用户提供利用 Internet/Intranet访问关键业务信息的权限，同时 阻止未经授权的用户的访问 提供全面实时的病毒防护和防恶意代码保护，主动截 获潜伏于电子邮件以及远程或本地文件中的病毒。 防止恶意袭击，保护与Internet连接的系统不受恶 意代码的破坏。其功能包括实时的袭击干预、自动探 测、阻止和通知各类恶意袭击的内容 实时入侵探测，保证网络周边的安全性 商务交易安全 电子商务安全威胁 信息的截获和窃取 如果没有采用加密措施或加密强度不 够，攻击者可能通过互联网、公共电话 网、搭线、电磁波辐射范围内安装截收 装置或在数据包通过的网关和路由器时 截获数据等方式，获取输的机密信息， 或通过对信息流量和流向、通信频度和 长度等参数的分析，推出有用信息，如 消费者的银行帐号、密码以及企业的商 业机密等。 电子商务安全威胁 (续) 信息的篡改 当攻击者熟悉了网络信息格式以后，通过各种 技术方法和手段对网络传输的信息进行中途修 改，并发往目的地，从而破坏信息的完整性。 这种破坏手段主要有三个方面： (1)篡改--改变信息流的次序，更改信息的内 容，如购买商品的出货地址； (2)删除--删除某个消息或消息的某些部分； (3)插入--在消息中插入一些信息，让收方读 不懂或接收错误的信息。 电子商务安全威胁