电子商务网络信息平安问题.docx
- 文档编号:14448088
- 上传时间:2023-06-23
- 格式:DOCX
- 页数:10
- 大小:24.33KB
电子商务网络信息平安问题.docx
《电子商务网络信息平安问题.docx》由会员分享,可在线阅读,更多相关《电子商务网络信息平安问题.docx(10页珍藏版)》请在冰点文库上搜索。
电子商务网络信息平安问题
电子商务网络信息平安问题
【内容提要】构筑平安电子商务信息环境是网络时期进展到一按时期的“瓶颈”性课题。
本文偏重讨论了其中的信息平安技术、数字认证、信息平安协议、信息平安计谋等核心问题。
【摘要题】信息法学
【关键词】电子商务/网络/信息平安/信息平安技术/数字认证/信息平安协议/信息平安计谋
美国闻名以后学家阿尔温·托夫勒说:
“电脑网络的成立和普及将完全改变人类生存及生活的模式,操纵与把握网络的人确实是以后命运的主宰。
谁把握了信息,操纵了网络,谁就拥有整个世界。
”的确,网络的国际化、社会化、开放化、个人化诱发出无穷的商机,电子商务的迅速崛起,使网络成为国际竞争的新战场。
但是,由于网络技术本身的缺点,使得网络社会的脆性大大增加,一旦运算机网络受到解决不能正常运作时,整个社会就会陷入危机。
因此,构筑平安的电子商务信息环境,就成了网络时期进展到一按时期而不可逾越的“瓶颈”性问题,愈来愈受到国际社会的高度关注。
电子商务中的信息平安技术
电子商务的信息平安在专门大程度上依托于技术的完善,这些技术包括:
密码技术、辨别技术、访问操纵技术、信息流操纵技术、数据爱惜技术、软件爱惜技术、病毒检测及清除技术、内容分类识别和过滤技术、网络隐患扫描技术、系统平安监测报警与审计技术等。
1.防火墙技术。
防火墙(Firewall)是最近几年来进展的最重要的平安技术,它的要紧功能是增强网络之间的访问操纵,避免外部网络用户以非法手腕通过外部网络进入内部网络(被爱惜网络)。
它对两个或多个网络之间传输的数据包和链接方式依照必然的平安策略对其进行检查,来决定网络之间的通信是不是被许诺,并监视网络运行状态。
简单防火墙技术能够在路由器上实现,而专用防火墙提供加倍靠得住的网络平安操纵方式。
防火墙的平安策略有两条。
一是“凡是未被准予的确实是禁止的”。
防火墙先是封锁所有信息流,然后审查要求通过的信息,符合条件的就让通过;二是“凡是未被禁止的确实是许诺的”,防火墙先是转发所有的信息,然后再逐项剔除有害的内容,被禁止的内容越多,防火墙的作用就越大。
网络是动态进展的,平安策略的制定不该成立在静态的基础之上。
在制定防火墙平安规那么时,应符合“可适应性的平安治理”模型的原那么,即:
平安=风险分析+执行策略+系统实施+漏洞监测+实时响应。
防火墙技术要紧有以下三类:
●包过滤技术(PackctFiltering)。
它一样用在网络层,要紧依照防火墙系统所收到的每一个数据包的源IP地址、目的IP地址、TCP/UDP源端口号、TCP/UDP目的端口号及数据包中的各类标志位来进行判定,依照系统设定的平安策略来决定是不是让数据包通过,其核心确实是平安策略,即过滤算法的设计。
●代理(Proxy)效劳技术。
它用来提供给用层效劳的操纵,起到外部网络向内部网络申请效劳时的中间转接作用。
内部网络只同意代理提出的效劳请求,拒绝外部网络其它节点的直接请求。
运行代理效劳的主机被称为应用机关。
代理效劳还能够用于实施较强的数据流监控、过滤、记录等功能。
●状态监控(StatcInnspection)技术。
它是一种新的防火墙技术。
在网络层完成所有必要的防火墙功能——包过滤与网络效劳代理。
目前最有效的实现方式是采纳CheckPoint)提出的虚拟机方式(InspectVirtualMachine)。
防火墙技术的优势很多,一是通过过滤不平安的效劳,极大地提高网络平安和减少子网中主机的风险;二是能够提供对系统的访问操纵;三是能够阻击解决者获取解决网络系统的有效信息;四是防火墙还能够记录与统计通过它的网络通信,提供关于网络利用的统计数据,依照统计数据来判定可能的解决和探测;五是防火墙提供制定与执行网络平安策略的手腕,它能够对企业内部网实现集中的平安治理。
防火墙技术的不足有三。
一是防火墙不能避免绕过防火墙的解决;二是防火墙经不起人为因素的解决。
由于防火墙对网络平安实施单点操纵,因此可能受到黑客的解决;三是防火墙不能保证数据的秘密性,不能对数据进行辨别,也不能保证网络不受病毒的解决。
2.加密技术。
数据加密被以为是最靠得住的平安保障形式,它能够从全然上知足信息完整性的要求,是一种主动平安防范策略。
数据加密确实是依照确信的密码算法将灵敏的明文数据变换成难以识别的密文数据。
通过利用不同的密钥,可用同一加密算法,将同一明文加密成不同的密文。
当需要时可利用密钥将密文数据还原成明文数据,称为解密。
密钥加密技术分为对称密钥加密和非对称密钥加密两类。
对称加密技术是在加密与解密进程中利用相同的密钥加以操纵,它的保密度要紧取决于对密钥的保密。
它的特点是数字运算量小,加密速度快,弱点是密钥治理困难,一旦密钥泄露,将直接阻碍到信息的平安。
非对称密钥加密法是在加密和解密进程中利用不同的密钥加以操纵,加密密钥是公布的,解密密钥是保密的。
它的保密度依托于从公布的加密密钥或密文与明文的对照推算解密密钥在计算上的不可能性。
算法的核心是运用一种特殊的数学函数——单向陷门函数,即从一个方向求值是容易的,但其逆向计算却很困难,从而在事实上成为不可能。
除密钥加密技术外,还有数据加密技术。
一是链路加密技术。
链路加密是对通信线路加密;二是节点加密技术。
节点加密是指对存储在节点内的文件和数据库信息进行的加密爱惜。
3.数字签名技术。
数字签名(DigitalSignature)技术是将摘要用发送者的私钥加密,与原文一路传送给接收者。
接收者只有效发送者的公钥才能解密被加密的摘要。
在电子商务平安保密系统中,数字签名技术有着专门重要的地位,在电子商务平安效劳中的源辨别、完整性效劳、不可否定效劳中都要用到数字签名技术。
在书面文件上签名是确认文件的一种手腕,其作用有两点,一是因为自己的签名难以否定,从而确认文件已签署这一事实;二是因为签名不易仿冒,从而确信了文件是真的这一事实。
数字签名与书面签名有相同相通的地方,也能确认两点,一是信息是由签名者发送的,二是信息自签发后到收到为止不曾做过任何修改。
如此,数字签名就可用来避免:
电子信息因易于修改而有人作伪;冒用他人名义发送信息;发出(收到)信件后又加以否定。
普遍应用的数字签名方式有RSA签名、DSS签名和Hash签名三种。
RSA的最大方即是没有密钥分派问题。
公布密钥加密利用两个不同的密钥,其中一个是公布的,另一个是保密的。
公布密钥能够保留在系统目录内、未加密的电子邮件信息中、黄页上或公告牌里,网上的任何用户都可取得公布密钥。
保密密钥是用户专用的,由用户本身持有,它能够对公布密钥加密的信息解密。
DSS数字签名是由美国政府公布实施的,要紧用于跟美国做生意的公
司。
它只是一个签名系统,而且美国不提倡利用任何减弱政府窃听能力的加密软件。
Hash签名是最要紧的数字签名方式,跟单独签名的RSA数字签名不同,它是将数字签名和要发送的信息捆在一路,因此更适合电子商务。
4.数字时刻戳技术。
在电子商务交易的文件中,时刻是十分重要的信息,是证明文件有效性的要紧内容。
在签名时加上一个时刻标记,即有数字时刻戳(DigitaTimestamp)的数字签名方案:
验证签名的人或以确认签名是来自该小组,却不明白是小组中的哪个人签署的。
指定批准人签名的真实性,其他任何人除取得该指定人或签名者本人的帮忙,不然不能验证签名。
时刻戳(Time-Stamp)是一个经加密后形成的凭证文档,包括三个部份。
一是需加时刻戳的文件的摘要(Digest),二是DTS收到文件的日期与时刻,三是DIS数字签名。
时刻戳产生的进程是:
用户第一将需要加时刻的文件用HASH编码加密形成摘要,然后将该摘要发送到DTS,DTS在加入了收到文件摘要的日期和时刻信息后再对该文件加密(数字签名),然后送回用户。
书面签署文件的时刻是由签署人自己写上的,数字时刻那么不然,它是由认证单位DIS来加的,以DIS收到文件的时刻为依据。
数字认证及数字认证授权机构
1.数字证书。
数字证书也叫数字凭证、数字标识,它含有证书持有者的有关信息,以标识他的身份。
数字证书克服了密码在平安性和方便性方面的局限性,能够操纵哪些数据库能够被查看,因此提高了整体的保密性。
数字证书的内容格式是国际标准规定的,通常包括以下内容:
证书所有者的姓名;证书所有者的公共密钥;公共密钥(证书)的有效期;颁发数字证书单位名称;数字证书的序列号;颁发数字证书单位的数字签名。
数字证书通常分为三种类型,即个人证书、企业证书、软件证书。
个人证书(PersonalDigital)为某一个用户提供证书,帮忙个人在网上平安操作电子交易。
个人数字证书是向阅读器申请取得的,认证中心对申请者的电子邮件地址、个人身份及信誉卡号等核实后,就发给个人数字证书,并安置在用户所用的阅读器或电子邮件的应用系统中,同时也给申请者发一个通知。
企业证书,确实是效劳器证书(ServerID),是对网上效劳器提供的一个证书,拥有Web效劳器的企业能够用具有证书的Internet网站(WebSite)来做平安的电子交易。
软件证书一般是为网上下载的软件提供证书,证明该软件的合法性。
2.电子商务数字认证授权机构。
电子商务交易需要电子商务证书,而电子商务认证中心(CA)就承担着网上平安电子交易认证效劳、签发数字证书并确认用户身份的功能。
CA要紧提供以下效劳:
有效实行平安治理的设施;靠得住的风险治理和取得确认和充分明白得。
同意该系统效劳的电子商务用户也应充分信任该系统的可信度。
CA具有证书发放、证书更新、证书撤销、证书验证等四大职能。
假设未成立独立的注册机构,认证中心那么在完成注册机构的功能之外还要完成以下功能:
接收、处置证书申请,确立是不是同意或拒绝证书申请,向申请者颁发或拒绝颁发证书,证书延期,治理证书撤消目录,提供证书的在线状况,证书归档;提供支持效劳,提供支持,帮忙用户解决与证书有关的问题;审核记录所有同平安有关的活动;提供灵活的结构,利用户能够用自己的名字对效劳命名;为认证中心系统提供靠得住的平安支持;为认证中心的靠得住运营提供一套政策、程序及操作指南。
电子商务信息平安协议
1.平安套接层协议。
平安套接层协议(SecureSocketsLayer,SSL)是由NetscapeCommunication公司1994年设计开发的,要紧用于提高应用程序之间的数据的平安系数。
SSL协议的整个概念能够被总结为:
一个保证任何安装了平安套接层的客户和效劳器之间事务平安的协议,该协议向基于TCP/IP的客户/效劳器应用程序提供了客户端与效劳的辨别、数据完整性及信息机密性等平安方法。
SSL平安协议要紧提供三方面的效劳。
一是用户和效劳器的合法性保证,使得用户与效劳器能够确信数据将被发送到正确的客户机和效劳器上。
客户机与效劳器都有各自的识别号,由公布密钥编排。
为了验证用户,平安套接层协议要求在握手互换数据中作数字认证,以此来确保用户的合法性;二是加密数据以隐藏被传递的数据。
平安套接层协议采纳的加密技术既有对称密钥,也有公布密钥,在客户机和效劳器互换数据之前,先互换SSL初始握手信息。
在SSL握手信息中采纳了各类加密技术,以保证其机密性与数据的完整性,而且经数字证书辨别;三是保护数据的完整性。
平安套接层协议采纳Hash函数和机密共享的方式来提供完整的信息效劳,成立客户机与效劳器之间的平安通道,使所有通过平安套接层协议处置的业务能全数准确无误地抵达目的地。
2.平安电子交易公告。
平安电子交易公告(SET:
SecureElectronicTransactions)是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统标准。
SET在保留对客户信誉卡认证的前提下,又增加了对商家身份的认证。
SET已成为全世界网络的工业标准。
SET平安协议的要紧对象包括:
消费者(包括个人和集体),依照在线商店的要求填写定货单,用发卡银行的信誉卡付款;在线商店,提供商品或效劳,具有利用相应电子货币的条件;收单银行,通过支付网关处置消费者与在线商店之间的交易付款;电子货币发行公司和某些兼有电子货币发行的银行。
负责处置智能卡的审核和支付;认证中心,负责确认交易对方的身份和信费用,和对消费者的支付手腕认证。
SET协议标准的技术范围包括:
加密算法的应用,证书信息与对象格式,购买信息和对象格式,认可信息与对象格式。
SET协议要达到五个目标:
保证电子商务参与者信息的相应隔离;保证信息在互联网上平安传输,避免数据被黑客或被内部人员窃取;解决多方认证问题;保证网上交易的实时性,使所有的支付进程都是在线的;效仿BDZ贸易的形式,标准协议和消息格式,促使不同厂家开发的软件具有兼容性与交互操作功能,而且能够运行在不同的硬件和操作系统平台上。
3.平安超文本传输协议(S-HTTP)。
依托密钥的加密,保证Web站点间的互换信息传输的平安性。
SHTTP对HT-TP的平安性进行了扩充,增加了报文的平安性,是基于SSL技术的。
该协议向互联网的应用提供完整性、可辨别性、不可抵赖性及机密性等平安方法。
4.平安交易技术协议(STT)。
STT将认证与解密在阅读器中分离开,以提高平安操纵能力。
EDIFACT标准。
UN/EDIFACT报文是唯一的国际通用的电子商务标准。
在ISO发布的IS09735(即UN/EDI-FACT语法规那么)新版本中,包括描述UN/EDIFACT中实施平安方法的五个新部份,即:
第五部份——批式电子商务(靠得住性、完整性和不可抵赖性)的平安规那么;第六部份——平安辨别与确认报文(AUTACK);第七部份——批式电子商务(机密性)的平安规那么;第九部份——平安密钥和证书治理报告(KEYMAN);第十部份——交互式电子商务的平安规那么。
UN/EDIFACT的平安方法通过集成式与分离式两种途径来实现。
集成式的途径是通过在UN/EDIFACT报文结构中利用可选择的平安头段和平安尾段来保证报文内容的完整性、报文来源的不可抵赖性;分离式途径是通过发送三种特殊的UN/EDIFACT报文(即AUTCK、KEYMAN和CI-PHER)来达到平安目的。
6.《电子互换贸易数据统一行为守那么》(UNCID)。
UNCID由国际商会制定,该守那么第六条、第七条、第九条别离就数据的保密性、完整性及贸易两边签定协议等问题做了规定。
电子商务中的信息平安计谋
1.提高对网络信息平安重要性的熟悉。
信息技术的进展,使网络慢慢渗透到社会的各个领域,在以后的军事和经济竞争与对抗中,因网络的崩溃而促成全数或局部的失败,决非不可能。
咱们在思想上要把信息资源共享与信息平安防护有机统一路来,树立保护信息平安确实是保生存、增进展的观念。
我国公民中的大多数人仍是“机盲”、“网盲”,还有许多人仅明白一些关于网络的浅薄知识,或仅会进行简单的运算机操作,对网络平安没有深刻熟悉。
应该以有效方式、途径在全社会普及网络平安知识,提高公民的网络平安意识与自觉性,学会保护网络平安的大体技术。
2.增强网络平安治理。
我国网络平安治理除现有的部门分工外,要成立一个具有高度权威的信息平安领导机构。
只有在中央成立起如此一个组织,才能有效地统一、和谐各部门的职能,研究以后趋势,制定宏观政策,实施重大决定。
关于运算机网络利用单位,要严格执行《中华人民共和国运算机信息系统平安爱惜条例》与《运算机信息网络平安爱惜治理方法》,成立本单位、本部门、本系统的组织领导治理机构,明确领导及工作人员责任,制定治理职位责任制及有关方法,严格内部平安治理机制。
具体的平安方法如:
把好用户入网关、严格设置目录和文件访问的权限,成立对应的属性方法,采纳操纵台加密封锁,使文件效劳器平安靠得住;用先进的材料技术,如低阻材料或梯性材料将隔离设备屏蔽起来,降低或杜绝重要信息的泄露,避免病毒信息的入侵;运用现代密码技术,对数据库与重要信息加密;采纳防火墙技术,在内部网和外部网的界面上构造爱惜层。
3.加速网络平安专业人材的培育。
我国需要大量信息平安人材来适应新的网络平安爱惜形势。
高素养的人材只有在高水平的研究教育环境中迅速成长,只有在高素养的队伍保障中不断提高。
应该加大对有良好基础的科研教育基地的支持和投入,多出人材,多出功效。
在人材培育中,要注重增强与国外的体会技术交流,及时把握国际上最先进的平安防范手腕和技术方法,确保在较高层次上处于主动。
要增强对内部人员的网络平安培训,避免堡垒从内部攻破。
4.开展网络平安立法和执法。
一是要加速立法进程,健全法律体系。
自1973年世界上第一部爱惜运算机平安法问世以来,各国与有关国际组织接踵制定了一系列的网络平安法规。
我国政府也十分重视网络平安立法问题,1996年成立的国务院信息化工作领导小组曾设立政策法规组、平安工作专家组,并和国家保密局、平安数、公安部等职能部门进一步增强了信息平安法制建设的组织领导与分工和谐。
我国已经公布的网络法规如:
《运算机软件爱惜条例》、《中华人民共和国运算机信息系统平安爱惜条例》、《中华人民共和国信息网络国际联网平安治理暂行规定》、《运算机信息网络国际联网治理方法》、《运算机信息系统国际联网保密治理规定》等。
1997年10月1日起生效的新《刑法》增加了专门针对信息系统平安的运算机犯法的规定:
违犯国家规定,侵入国家事务、国防建设、尖端科学领域的运算机系统,处三年以下有期徒刑或拘役;违犯国家规定,对运算机信息系统功能进行删除、修改、增加、干扰,造成运算机系统不能正常运行,后果严峻的处五年以下有期徒刑,后果专门严峻的处五年以上有期徒刑;违犯国家规定,对运算机信息系统存储、处置或传输的数据与应用程序进行删除、修改、增加操作,后果严峻的应负刑事责任。
这些法规对保护网络平安发挥了重要作用,但不健全的地方还有许多。
一是应该结合我国实际,吸取和借鉴国外网络信息平安立法的先进体会,对现行法律体系进行修改与补充,使法律体系加倍科学和完善;二是要执法必严,违法必纠。
要成立有利于信息平安案件诉讼与公、检、法机关办案的制度,提高执法的效率和质量。
5.抓紧网络平安基础设施建设。
一个网络信息系统,不管其设置有多少道防火墙,加了多少级爱惜或密码,只要其芯片、中央处置器等运算机的核心部件和所利用的软件是他人设计生产的,就没有平安可言;这正是我国网络信息平安的致命弱点。
国民经济要害部门的基础设施要通过建设一系列的信息平安基础设施来实现。
为此,需要成立中国的公布密钥基础设施、信息平安产品检测评估基础设施、应急响应处置基础设施等。
6.把好网络建设立项关。
我国网络建设立项时的平安评估工作没有取得应有重视,这给显现网络平安问题埋下了伏笔。
在对网络的开放性、适应性、成熟性、先进性、灵活性、易操作性、可扩充性综合把关的同时,在立项时更应注重对网络的靠得住性、平安性评估,力争将平安隐患杜绝于立项、决策时期。
7.成立网络风险防范机制。
在网络建设与经营中,因为平安技术滞后、道德标准惨白、法律疲软等缘故,往往会使网络经营陷于窘境,这就必需成立网络风险防范机制。
为网络平安而产生的避免和规避风险的方式有多种,但总的来讲不外乎危险产生前的预防、危险发生中的抑制和危险发生后的补救。
有学者建议,网络经营者能够在保险标的范围内许诺标保的财产进行标保,并在出险后进行理赔。
8.强化网络技术创新。
若是在基础硬件、芯片方面不能自主,将严峻阻碍咱们对信息平安的监控。
为了成立起我国自主的信息平安技术体系,利用好国内外两个资源,需要以我为主,统一组织进行信息平安关键技术攻关,以创新的思想,超越固有的约束,构筑具有中国特色的信息平安部系。
专门要重点研究关键芯片与内核编程技术和平安基础理论。
9.注重网络建设的标准化。
没有统一的技术标准,局部性的网络就不能互连、互通、互动,没有技术标准也难以形成网络平安产业规模。
目前,国际上显现许多关于网络平安的技术标准、技术标准,目的确实是要在统一的网络环境中保证信息的绝对平安。
咱们应从这种趋势中取得启发,在同国际接轨的同时,拿出既符合国情又顺应国际潮流的技术标准。
10.建设网络平安研究基地。
应该把我国现有的从事信息平安研究、应用的人材专门好地组织起来,为他们制造更优良的工作学习环境,调动他们在信息平安创新中的踊跃性。
一是要落实相关政策,在收入、福利、住房、职称等方面采取优惠政策;二是在他们的科研立项、科研经费方面采取倾斜方法;三是制造有利于研究的硬环境,如仪器、设备等;四是提供学习交流的机遇。
11.增进网络平安产业的进展。
扶持具有中国特色的信息平安产业的进展是振兴民族信息产业的一个切入点,也是保护网络平安的必
要计谋。
为了加速进展我国的信息平安产业,需要尽快解决资金投入、对外合作、产品开发、平安评测、销售治理、采购政策、利益分派等方面存在的问题。
【参考文献】
[1]屈云波.电子商务[M].北京:
企业治理出版社,1999.
[2]赵立平.电子商务概论[M].上海:
复旦大学出版社,2000.
[3]赵战生.我国信息平安及其技术研究[J].中国信息导报,1999,(8):
5-7.
[4]郭晓苗.Internet上的信息平安爱惜技术[J].现代图书情报技术,2000,(3):
50-51.
[5]吉俊虎.网络和网络平安刍议[J].中国信息导报,1989,(9):
23-24.
[6]郭炎华.网络信息与信息平安探析[J].情报杂志,2001,(4):
44-45.
[7]林聪榕.世界要紧国家信息平安的进展动向[J].中国信息导报,2001,
(1):
58-59.
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 电子商务 网络 信息 平安 问题