企业电子商务安全问题分析---电子商务毕业论文_1.docx

《企业电子商务安全问题分析---电子商务毕业论文_1.docx》由会员分享，可在线阅读，更多相关《企业电子商务安全问题分析---电子商务毕业论文_1.docx（15页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、企业电子商务安全问题分析-电子商务毕业论文文档视界企业电子商务安全问题分析-电子商务毕业论文企业电子商务安全问题分析-电子商务毕业论文电子商务课程结课论文-企业电子商务安全问题分析随着电子信息技术的迅速普及和广泛应用,电子商务以其快速、便利等优点越来越遭到社会的认可。电子商务的发展前景特别诱人,但商业信息的安全仍然是电子商务的首要问题。本文从实现电子商务安全性的基本框架出发,对电子商务中的各种安全技术进行了分析,以讨论一种有效、安全的实现电子商务的途径。一、我国电子商务现状根据CNNIC发布的（中国互联网络热门调查报告）中显示：网上购物大军到达2000万人，在全体互联网网民中，有过购物经历的网

2、民占近20%的比例。根据国家信息化办公室公布的数据，目前仍有60%的中小企业的信息化程度处于初级阶段。因而，电子商务是互联网应用发展的必然趋势，也是国际金融贸易中越来越重要的经营形式，以后它还会逐步地成为我们经济生活中一个重要部分。但同时我们也看到，我国的电子商务还处于了发展的初级阶段还有很长的路要走，进而安全是保证电子商务健康有序发展的关键因素。根据调查显示，目前电子商务安全主要存在的问题是：(1)计算机网络安全(2)商品的品质(3)商家的诚信(4)货款的支付(5)商品的递送(6)买卖纠纷处理(7)网站售后服务以上问题能够归结为两大部分：计算机网络安全和商务交易安全。计算机网络安全与商务交易

3、安全实际上是密不可分的，两者相辅相成，缺一不可。电子商务的一个重要技术特征是利用IT技术来传输和处理商业信息。没有计算机网络安全作为基础，商务交易安全就如同海市蜃楼，无从谈起。没有商务交易安全保障，即便计算机网络本身再安全，仍然无法到达电子商务所特有的安全要求。只要解决好以上的矛盾，电子商务才能保证又快又好的发展。二、网络安全技术策略电子商务的安全问题，能够归结两大类问题：一是支付安全，二是认证安全。1、支付安全由于网络天生的不安全性，十分是其网上支付领域有着各种各样的交易风险。但无论是何种风险，其根本原因都是由于登录密码或支付密码泄露造成的。1密码管理问题大部分公司和个人遭到网络攻击的主要原

4、因是密码政策管理不善。大多数用户使用的密码都是字典中可查到的普通单词姓名或者其他简单的密码。有86%的用户在所有网站上使用的都是同一个密码或者有限的几个密码。很多攻击者还会直接使用软件强力破解一些安全性弱的密码。因而，因而建议用户使用复杂的密码，降低被病毒破译密码的可能性，提高计算机系统的安全性。需要注意：一是密码不要设置为姓名、普通单词一、电话号码、生日等简单密码;二是结合字母、数字、大小写共组密码;三是密码位数应尽量大于9位。2网络病毒、木马问题现今流行的很多木马病毒都是专门用于窃取网上银行密码而编制的。木马会监视lE阅读器正在访问的网页，假如发现用户正在登录个人银行，直接进行键盘记录输入

5、的帐号、密码，或者弹出伪造的登录对话框，诱骗用户输入登录密码和支付密码.然后通过邮件将窃取的信息发送出去。因而，需要做好本身电脑的日常安全维护，注意下面几点:一是经常给电脑系统升级，二是安装杀毒软件、防火墙，经常升级和杀毒，三在平常上网是尽量不上一些小型网站，选大型网站，知名度比拟高的网站，避免网站挂有病毒、木马造成中毒，四尽量不要在公共电脑上使用本人的有关资金的帐户和密码，五有条件的情况下，在初装系统后确认电脑安全的后，给本人的电脑做上备份，在使用资金帐户前做一次系统恢复。3钓鱼平台“网络钓鱼攻击者利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，如将本人伪装成知名银行、在线零售商和信誉

6、卡公司等可信的品牌。受骗者往往会泄露本人的财务数据，如信誉卡号、账户号和口令等。因而，在登录支付资金时，应注意：一是确认该网能否是官方网站，二是仔细核对该网的域名能否正确，注意小写“1与“L、“0与“O等情况，三保证良好的上网习惯，珍藏常用的网址，减少网上链接。4硬件数字认证在电子商务体系构建的过渡时期，道高一尺，魔高一丈。各类病毒层出不穷，木马也在天天更新，今天这种技术安全，明天就不一定安全。因而，数字证书的引入是在线支付安全问题的最终解决方案之一。网上支付不安全，选择网下加以弥补。以工商银行2003年推出并获得国家专利的客户证书USBkey(U盾)为例。从技术角度看.u盾是用于网上银行电子

7、签名和数字认证的工具，它内置微型智能卡处理器，采用1024位非对称密钥算法对数据进行加密、解密和数字签名.确保网上交易的保密性、真实性、完好性和不可否认性。它顺利地解决了当前网银密码泄漏的问题。有了硬件数字证书的应用，即便你的密码泄漏了。没有证书，黑客还是不能够使用你的帐户。动态电子密码的应用可以以确保电子银行帐号的安全。现行的有两种方式，一种是在使用时查看当前的动态电子密码。另一种是临时通过绑定手机、密宝等通信工具，向帐户所在银行申请临时密码。由于具有较强的时效性，进而保障帐户资金的安全。还有其它消极的防护措施。如某些网上银行交易金额限制，单次为300元，每日限额为3000元。主要是为了降低

8、电子支付交易风险.但在一定程度上会给大额交易带来不便。这种措施其实治标不治本。2、认证安全电子商务为了保证网络上传递信息的安全，通常采用加密的方法。但这是不够的，怎样确定交易双方的身份，怎样获得通讯对方的公钥并且相信此公钥是由某个身份确定的人拥有的，解决方法就是找一个大家共同信任的第三方，即认证中心(CertificateAuthority，CA)颁发电子证书。用户之间利用证书来保证安全性和双方身份的合法性，只要确定身份后，交易的纠纷，才得到有效的裁决。总之，电子商务的安全是个非常复杂的问题，它的保障机制必须是有机的，多层次的，需要有企业管理方面，技术支持方面的协调来实现。它是一个系统有机的整

9、体，不仅需要计算机网络安全的保证，也需要商务交易安全上的保障，更需要管理上的进步，才能确保电子商务的安全。同时我国在电子商务技术性较为落后，必须加强具有自主产权的信息安全产品的研究，注意加强信息安全人才的培养，多方共同努力建立科学的电子商务安全机制，才能为我国的电子商务又快又好的发展保驾护行。三、对电子商务活动安全性的要求(1)服务的有效性要求。电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。(2)交易信息的保密性要求。电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。

10、(3)数据完好性要求。数字完好性是指在数据处理经过中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。(4)身份认证的要求。电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律根据。四、电子商务的主要安全要素(1)信息真实性、有效性。电子商务以电子形式取代了纸张,怎样保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。(2)信息机密性。电子商务作为贸易的一种手段,

11、其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来到达保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。(3)信息完好性。电子商务简化了贸易经过,减少了人为的干涉,同时也带来维护商业信息的完好、统一的问题。由于数据输入时的意外过失或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输经过中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因而,电子商务系统应充分保证数据传输、存储及电子商务完好性检查的正确和可靠。(4)信息可靠性、可鉴别性和不可抵赖性。可靠性要

12、求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制,防止实体否认其行为;可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因而,要在交易信息的传输经过中为介入交易的个人、企业或国家提供可靠的标识。在internet上每个人都是匿名的,电子商务系统应充分保证原发方在发送数据后不能抵赖;接收方在接收数据后也不能抵赖。五、电子商务采用的

13、主要安全技术1.网络节点的安全防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,进而保护内部网免受非法用户的侵入,它其实就是一个把互联网与内部网(通常指局域网或城域网)隔开的屏障。防火墙的应用能够有效的减少黑客的入侵及攻击,为电子商务的发挥提供一个相对更安全的平台。防火墙是在连接Internet和Intranet保证安全最为有效的方法,防火墙能够有效地监视网络的通信信息,并记忆通信状态,进而作出允许/拒绝等正确的判定。通过灵敏有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的Intranet系统。应给予十分注意的是,防火墙不仅仅是路由器、堡垒主机或任何

14、提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能遭到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统,而没有全面的安全策略,那么防火墙就形同虚设。2.通讯的安全在客户端阅读器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输经过中的安全。目前采用的是阅读器缺省的40位加密强度,可以以考虑将加密强度增加到128位。为在阅读器和服务器

15、之间建立安全机制,SSL首先要求服务器向阅读器出示它的证书,证书包括一个公钥,由一家可信证书受权机构(CA中心)签发。阅读器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥(PKI)。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载能够在访问之前或访问时)。验证此证书是合法的服务器证书通过后利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时阅读器也会出进入安全状态的提示。3.应用程序的安全性即便正确地配置了访问控制规则,要知足计算机系统的安全性也是不充分的,由于编程错误可

16、以能引致攻击。程序错误有下面几种形式:程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件,十分是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权形式下运行,而不是只要有限的指令子集在特权形式下运行,其他的部分只要缩小的许可;程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制(最少许可),程序员以为这个缺省的许可是正确的。这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串经常是可执行的命

17、令,特权程序能够执行指令。程序碎块是十分用来增加黑客的特权的或是作为攻击的原因写的。例如,缓冲溢出攻击能够向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么能够检测到这些问题。只要通过监视系统并寻找违背安全策略的行为,才能发现像这些问题一样的错误。六、用户的认证管理(1)身份认证。电子商务企业用户身份认证能够通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份,IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。(2)CA证书。要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就

18、是CA证书,它由认证受权中心(CA中心)发行。认证中心(CA)就是承当网上安全交易认证服务,能签发数字证书,并能确认用户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。(3)安全套接层SSL协议。安全套接层SSL协议是Netscape公司在网络传输层与应用

19、层之间提供的一种基于RSA和保密密钥的用于阅读器与Web服务器之间的安全连接技术。SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构(CA,CertificateAuthority)获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书发布者的名称、证书所有者的公开密钥、证书发布者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就能够用保密密钥进行安全的会话了。SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,进而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议(如Ht2tp、Ftp、Telnet等)以保证应用层

20、数据传输的安全性。SSL协议握手流程由两个阶段组成:服务器认证和用户认证。七、电子商务安全需要进一步完善的配套措施电子商务要真正成为一种主导的商务形式,尤其对发展中的中国来讲,发展电子商务,就必须从下面几个方面来完善配套措施:(1)突破关键技术受制于人的瓶颈。(2)我国应尽快对电子商务的有关细则进行立法。(3)大力开发大型商务网站,发展与之相配套的物流公司。(4)为了确保系统的安全性,除了采用技术手段外,还必须建立严格的内部安全机制。(5)建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询。(6)对于重要数据要及时进行备份,且对数据库中存放的数据,数据库系统应视其重要性提供不同级别的数据加密。安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是,安全技术能够降低系统遭到毁坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手,仅在技术角度防备是远远不够的。安全只是相对的,而不是绝对的。因而,为进一步促进电子商务体系的完善和行业的健康快速发展,必须在实际运用中解决电子商务中出现的各类问题,使电子商务系统相对更安全。