美章网 精品范文 商务安全论文范文

商务安全论文范文

商务安全论文

商务安全论文范文第1篇

关键词:电子商务信息安全安全技术

伴随经济的迅猛发展,电子商务成为当今世界商务活动的新模式。要在国际竞争中赢得优势,必须保证电子商务中信息交流的安全。

一、电子商务的信息安全问题

电子商务信息安全问题主要有:

1.信息的截获和窃取:如果采用加密措施不够,攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据,获取机密信息或通过对信息流量、流向、通信频度和长度分析,推测出有用信息。2.信息的篡改:当攻击者熟悉网络信息格式后,通过技术手段对网络传输信息中途修改并发往目的地,破坏信息完整性。3.信息假冒:当攻击者掌握网络信息数据规律或解密商务信息后,假冒合法用户或发送假冒信息欺骗其他用户。4.交易抵赖:交易抵赖包括多方面,如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。

二、信息安全要求

电子商务的安全是对交易中涉及的各种信息的可靠性、完整性和可用性保护。信息安全包括以下几方面:

1.信息保密性:维护商业机密是电子商务推广应用的重要保障。由于建立在开放网络环境中,要预防非法信息存取和信息传输中被窃现象发生。2.信息完整性:贸易各方信息的完整性是电子商务应用的基础,影响到交易和经营策略。要保证网络上传输的信息不被篡改,预防对信息随意生成、修改和删除,防止数据传送中信息的失和重复并保证信息传送次序的统一。3.信息有效性:保证信息有效性是开展电子商务前提,关系到企业或国家的经济利益。对网络故障、应用程序错误、硬件故障及计算机病毒的潜在威胁控制和预防,以保证贸易数据在确定时刻和地点有效。4.信息可靠性:确定要交易的贸易方是期望的贸易方是保证电子商务顺利进行的关键。为防止计算机失效、程序错误、系统软件错误等威胁,通过控制与预防确保系统安全可靠。

三、信息安全技术

1.防火墙技术。防火墙在网络间建立安全屏障,根据指定策略对数据过滤、分析和审计,并对各种攻击提供防范。安全策略有两条:一是“凡是未被准许就是禁止”。防火墙先封闭所有信息流,再审查要求通过信息,符合条件就通过;二是“凡是未被禁止就是允许”。防火墙先转发所有信息,然后逐项剔除有害内容。

防火墙技术主要有:(1)包过滤技术:在网络层根据系统设定的安全策略决定是否让数据包通过,核心是安全策略即过滤算法设计。(2)服务技术:提供应用层服务控制,起到外部网络向内部网络申请服务时中间转接作用。服务还用于实施较强数据流监控、过滤、记录等功能。(3)状态监控技术:在网络层完成所有必要的包过滤与网络服务防火墙功能。(4)复合型技术:把过滤和服务两种方法结合形成新防火墙,所用主机称为堡垒主机,提供服务。(5)审计技术:通过对网络上发生的访问进程记录和产生日志,对日志统计分析,对资源使用情况分析,对异常现象跟踪监视。(6)路由器加密技术:加密路由器对通过路由器的信息流加密和压缩,再通过外部网络传输到目的端解压缩和解密。2.加密技术。为保证数据和交易安全,确认交易双方的真实身份,电子商务采用加密技术。数据加密是最可靠的安全保障形式和主动安全防范的策略。目前广泛应用的加密技术有:(1)公共密钥和私用密钥:也称RSA编码法。信息交换的过程是贸易方甲生成一对密钥并将其中一把作为公开密钥公开;得到公开密钥的贸易方乙对信息加密后再发给贸易方甲:贸易方甲用另一把专用密钥对加密信息解密。具有数字凭证身份人员的公共密钥在网上查到或请对方发信息将公共密钥传给对方,保证传输信息的保密和安全。(2)数字摘要:也称安全Hash编码法。将需加密的明文“摘要”成一串密文亦称数字指纹,有固定长度且不同明文摘要成密文结果不同,而同样明文摘要必定一致。这串摘要成为验证明文是否真身的“指纹”。(3)数字签名:将数字摘要、公用密钥算法两种加密方法结合。在书面文件上签名是确认文件的手段。签名作用有两点:一是因为自己签名难以否认,从而确认文件已签署;二是因为签名不易仿冒,从而确定文件为真。(4)数字时间戳:电子交易中文件签署日期和签名是防止交易文件被伪造和篡改的关键性内容,数字时间戳服务能提供电子文件发表时间的安全保护。

3.认证技术。安全认证的作用是进行信息认证。信息认证是确认信息发送者的身份,验证信息完整性,确认信息在传送或存储过程中未被篡改。(1)数字证书:也叫数字凭证、数字标识,用电子手段证实用户身份及对网络资源的访问权限,可控制被查看的数据库,提高总体保密性。交易支付过程中,参与各方必须利用认证中心签发的数字证书证明身份。(2)安全认证机构:电子商务授权机构也称电子商务认证中心。无论是数字时间戳服务还是数字证书发放,都需要有权威性和公正性的第三方完成。CA是承担网上安全交易认证服务、签发数字证书并确认用户身份的企业机构,受理数字证书的申请、签发及对数字证书管理。

4.防病毒技术。(1)预防病毒技术,通过自身常驻系统内存,优先获取系统控制权,监视系统中是否有病毒,阻止计算机病毒进入计算机系统和对系统破坏。(2)检测病毒技术,通过对计算机病毒特征进行判断的侦测技术,如自身校验、关键字、文件长度变化。(3)消除病毒技术,通过对计算机病毒分析,开发出具有杀除病毒程序并恢复原文件的软件。另外要认真执行病毒定期清理制度,可以清除处于潜伏期的病毒,防止病毒突然爆发,使计算机始终处于良好工作状态。

四、结语

信息安全是电子商务的核心。要不断改进电子商务中的信息安全技术,提高电子商务系统的安全性和可靠性。但电子商务的安全运行,仅从技术角度防范远远不够,还必须完善电子商务立法,以规范存在的各类问题,引导和促进我国电子商务快速健康发展。

参考文献:

[1]谭卫:电子商务中安全技术的研究.哈尔滨工业大学,2006

商务安全论文范文第2篇

【关键词】:电子商务信息安全网络

人类社会进入20世纪70年代以来,以微电子技术为基础的计算机技术和通信技术取得了长足的进展,并渗透到经济和社会的各个领域,从而引起了世界范围内的新技术创新浪潮。信息化建设受到各国政府的高度重视,1991年美国提出"信息高速公路"的设想,1993年正式实施"国家信息基础结构:行动计划";1978年法国制定了一项有关"促进社会信息化的计划",从那以后,法国政府不断推进信息革命,每年投入50亿美元巨款改进通信设备;早在1983年,我国政府就把发展信息技术纳入了国家总体科技论文发展战略规划中,1999年,我国政府上网工程迅速推进,国家信息化战略、数字化产品发展战略、电子商务发展框架也都在加紧研究、制定中。目前全球的计算机社会拥有量迅速增加,互联网用户呈几何级数增长,新的经济消费观正在逐步形成。电子商务的社会基础已经形成。Internet技术的应用普及为电子商务奠定了基础条件,万维网及相关技术的推出开创了电子商务应用的新局面,基于Internet的网络环境建设是开创电子商务市场的前提,安全保障等核心技术的实用化是电子商务成功的保证,商贸活动的信息网络化加快了电子商务的发展进程,各种解决方案的推出标志着电子商务即将进入实用化阶段。

从技术的角度看,电子商务的发展经历了启蒙阶段、商业化阶段、社会化阶段,并开始步入智能化时代。回顾企业信息化和电子商务的发展过程,从最初各部门用数据库管理本部门的数据,通过办公自动化(OA)实现企业内部办公文档传递,到建立统一的ERP系统为管理决策提供信息,通过CRM和SCM将企业和客户、供应商等整个供应链上的各个环节联系起来,再到以服务形式提供各式应用,通过第三方ASP实现企业应用服务的外包,这实际上就是一个从数据、信息到服务的纵向发展过程。互联网应用的发展也是这样,从最初企业间使用EDI交换数据,Email通讯传递简单的信息,到通过门户网站、搜索引擎获取所需信息,与世界各地的人在BBS上交流信息,再到如今的通过社会网络SNS拓展自己的交际圈,社会化程度越来越高。随着信息技术和互联网技术的普及和深入应用,电子商务正在以前所未有的速度发展,以其方便性和灵活性向传统商务模型提出了挑战。互联网的飞速发展,使得传统的商业模式产生了深刻的变化,在相当程度上改变着人们的日常生活习惯。基于网络的电子商务作为一种全新的商业模式,已经得到了快速的发展,但网络交易的安全问题始终是阻碍电子商务全面发展的巨大障碍。因此采用先进的网络信息安全防范技术,为电子商务提供完整的安全保障体系,进而推动电子商务高速发展。1.电子商务信息安全要素互联网是一个完全开放的网络,任何一台计算机、任何一个网络都可以与之联接,并借助互联网信息,进行各种网上商务活动。同时,也给那些别有用心的组织或个人提供了窃取别人的各种机密如消费者的银行账号、密码,甚至妨碍或毁坏他人网络系统运行等各种机会。影响电子商务信息安全要素主要有系统的可靠性,交易的真实性,资料的安全性,资料的完整性,交易的不可抵赖性等。概括起来,电子商务面临的安全威胁主要有以下几方面。

1.1系统的中断与瘫痪。网络故障、操作失误、应用程序出错、硬件故障、系统软件设计不完善以及计算机病毒都有可能导致系统不能正常工作。如在划拨货款的过程中突然出现网络中断等。1.2信息被窃取。电子商务作为一种全新的贸易形式,其通讯的信息直接代表着个人、企业或国家的利益。攻击者可能通过因特网、公共电话网、搭线或在电磁波辐射范围内安装截收装置等方式,截获传输的机密信息,或通过对信息流量和流向、通信频度和长度等参数分析,推断出有用的信息、如消费者的银行账号、密码等。1.3信息被篡改。攻击者可能从三个方面破坏信息的完整性。1)篡改。改变信息流的次序,更改信息的内容。2)删除。删除某个消息或消息中的某些部分。3)插入。在信息中插入一些其它干扰信息,让收方读不懂或接收错误的信息。脑知识与技术1.4信息被伪造。1)虚开网站和商店,给用户发电子邮件,接受订单。2)伪造大量用户,发电子邮件,穷尽商家资源、使合法用户不能正常访问网络资源。3)冒充他人身份,进行消费和栽赃等。1.5对交易行为进行抵赖或不承认。1)发信者事后否认曾经发送过某条消息或内容。2)收信者事后否认曾经收到过某条消息或内容。3)购买者不承认确认了的订单。4)商家卖出的商品因价格差而不承认原有的交易。2.电子商务中的信息安全防范技术

2.1数据加密技术加密技术是一种主动的信息安全防范措施,其原理是利用一定的加密算法,将明文转换成为无意义的密文,阻止非法用户理解原始数据,从而确保数据的保密性。按加密密钥与解密密钥的对称性可分为对称型加密、不对称型加密、不可逆加密。在网络安全技术中,加密技术是保障信息安全最关键和最基本的技术手段和理论基础,但是由于大部分数据加密算法都源于美国,且受到美国出口管制法的限制,无法在互联网上大规模使用,从而限制了以加密技术为基础网络安全解决方案的应用。2.2密钥管理技术密钥管理包括确保所产生的密钥具有必要的属性,把密钥提前通知给需要它的特定系统,确保密钥按要求得到保护以阻止暴露和/或替代。其中,对称密钥管理是基于共同保守秘密来实现的,采用对称加密技术的双方必须保证采用的是相同的密钥,要保证彼此密钥的交换是安全可靠的,同时还要设定防止密钥泄漏和更改密钥的程序。使用公开密钥的交易双方可以使用证书(公开密钥证书)来交换公开密钥。国际电联指定的X509对37福建电脑2008年第11期数字证书进行了定义,数字证书能够起到标识交易双方的作用,是目前电子商务广泛使用的技术之一。2.3身份认证技术网上安全交易的基础是数字证书。要建立安全的电子商务系统,必须首先建立一个稳固、健全的数字证书和认证中心(CA)。数字签名是利用数字技术实现在网络传送文件时,附加个人标记,完成传统意义上手书签名或印章的作用,以表示确认、负责、经手等。使用数字签名可以保证交易中的认证性和不可否认性。数字签名可以防范:接收方伪造、发送者或接收者否认、第三方冒充、接收方篡改。常见的数字签名技术有:RSA数字签名、DSA数字签名、椭圆曲线数入侵检测技术通常通过基于应用的监控技术、基于主机的监控技术、基于目标的监控技术和基于网络的监控技术四种检测技术来抵御攻击。入侵检测被认为是防火墙之后的第二道安全闸门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。认证机制是保护电子商务安全的第一条防线。任何一个在架构设计上、代码开发中以及认证的实现时所出现的小的漏洞或不足,都有可能使电子商务处在被攻击的风险中。因此,加强对认证攻击的充分认识和了解,并在系统开发时选择合适的防御措施,就可以从根本上对某些攻击进行有效的屏蔽,减少后期频繁维护所付出的代价,达到事半功倍的效果。2.4网络安全扫描技术安全扫描技术是对网络的各个环节提供可靠的分析结果,并为系统管理员提供可靠性和安全性分析报告等。包括端口扫描技术和漏洞扫描技术等。2.5病毒防范技术计算机病毒实际上就是一种在计算机系统运行过程中能够实现传染和侵害计算机系统的功能程序。病毒经过系统穿透或违反授权攻击成功后,攻击者通常要在系统中植入木马或逻辑炸弹等程序,为以后攻击系统、网络提供方便条件。网络防病毒技术的具体实现方法包括对网络服务器中的文件进行频繁的扫描和监测,工作站上采用防病毒芯片和对网络目录及文件设置访问权限等。2.6电子认证技术为了保证电子商务安全因素的顺利实现,在电子商务中使用了基于公钥体系的安全系统。基于公钥体系的加密系统是按对生成的,每对密钥由公钥和私钥组成,实际应用中,公钥是以证书性质存放的,一个最基本而又是最关键的问题是公钥的分发,也就是证书的分发,如果证书不能得到有效安全的分发,所有的上层应用软件就不能得到安全的保障,解决问题的方法就是建立认证机构体系CA。2.7防火墙技术防火墙(Firewall)是近年来发展最重要的安全技术,它是通过对网络作拓扑结构和服务类型上的隔离来加强网络安全的一种手段,核心思想是在不安全的网络环境中构造一个相对安全的子网环境。它所保护的对象是网络中有明确闭合边界的一个网块,而它所防范的对象是来自被保护网块外部的安全威胁。目前的防火墙分为两大类,一类是简单的包过滤技术,它是在网络层对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑,检查数据流中每个数据包后,根据数据包的源地址、目的地址、所用的TCP端口和TCP链路状态等因素来确定是否允许数据包通过。另一类是应用网管和服务器,其显著的优点是较容易提供细颗粒度的存取控制,其可针对特别的网络应用服务协议及数据过滤协议,并且能够对数据包分析并形成相关的报告。通过应用防火墙技术,可以做到通过过滤不安全的服务,极大地提高网络安全和减少网络中主机的风险。但防火墙是一种基于网络边界的被动安全技术,对内部未授权访问难以有效控制,因此较适合于内部网络相对独立,且与外部网络的互连途径有限、网络服务种类相对集中的网络。2.8入侵检测技术入侵检测技术是一种利用入侵者留下的痕迹,如试图登录的失败记录等信息来有效地发现来自外部或内部的非法入侵的技术。它以探测与控制为技术本质,起着主动防御的作用,是网络安全中极其重要的部分。

3.企业实现电子商务的安全策略安全问题是企业应用电子商务最担心的问题,如何保障电子商务活动的安全,一直是电子商务的核心研究领域。作为一个安全的电子商务系统,必须采用相应的网络安全策略。安全策略包括网络安全问题的总原则、对安全使用的要求以及如何保障网络的安全运行。3.1制定安全策略时首先确定的最重要的原则拒绝访问明确准许以外的所有服务。当前一些电子商务企业的安全策略存在两个误区:首先,企业所采取的操作系统的标准安全策略存在问题,这一标准安全策略只能提供一道脆弱的防线,很容易被攻破;其次,为满足多种安全需求,许多企业以零碎的方式实施节点式解决方案,这虽然对电子商务的某些领域提供了有限的保护,但同时使系统管理更为复杂。阻止外来系统入侵只是电子商务安全的一个方面。成功的电子商务安全策略,必须涵盖身份识别与认证、隐私与欺骗控制、管理与审计等传统领域。3.2安全策略制定时还应注意的问题3.2.1将需保护的对象分类,确定需保护的资源及其保护级别;规定可以访问资源的实体和可执行的动作;规定审计功能,记录用户活动及资源使用情况。3.2.2系统的安全应从物理上、技术上、管理制度上以及安全教育上全方位采取措施,相互弥补和完善,尽可能地排除安全漏洞。3.2.3根据企业的实际需要确定内部网的服务类型,规定内部用户和外部用户能够使用的服务种类,建立网管站,并制定出切实可行的安全管理制度。此外还需完善电子商务企业内部安全管理体制,增强相关人员的安全意识。

4.结束语电子商务尚是一个机遇和挑战共存的新领域,这种挑战不仅来源于传统的习惯,来源于计划经济体制和市场经济体制的冲突,更来源于对可使用的安全技术的信赖。企业在应用电子商务时,应采取一系列的安全技术和安全策略。这种种安全措施的采用,一定能保证企业进行安全的电子商务活动。

参考文献:

1.韩磊石松:浅谈电子商务中信息安全问题[J].临沂师范学院学报,2001;(8):136-139

2.黄发文:计算机网络安全技术初探[J].计算机应用研究,2002(5):46-48

3.林柏钢.网络与信息安全教程[M].机械工业出版社,2005.

4.曹淑艳.电子商务应用基础[M].北京:清华大学出版社,2002.

商务安全论文范文第3篇

(一)数据的私有性和安全性

如果不采用特别的保护措施,包括电子邮件等在internet中开放传输的数据都可能被第三者监视和阅读。考虑到巨大的传输量和难以计数的传输途径,想任意窃听一组数据传输是不可能,但是一些设置在web服务器的黑客程序却可以查找和收集特定类型的数据,这些数据包括信用卡、存款的账号和相应的口令。同时,因为internet的开放性设计,数据私有性和安全性还包括数据传输之外的问题,例如:连入internet的数据存储网络驱动器的安全性。所以,任何存储在web服务器上的数据必须采取保护措施。

(二)数据的完整性

对完整性的安全威胁也叫主动搭线窃取。当未经授权方改变了信息流时就构成了对完整性的安全威胁。未保护的银行交易很易受到对完整性的攻击。当然,破坏了完整性也就意味着破坏了保密性,因为能改变信息的窃取者肯定能阅读此信息。完整性和保密性间的差别在于:对保密性的安全威胁是指某人看到了他不应看到的信息。而对完整性的安全威胁是指某人改动了关键的传输。破坏他人网站就是破坏完整性的例子。破坏他人网站是指以电子方式破坏某个网站的网页。破坏他人网站的行为相当于破坏他人财产或在公共场所涂鸦。当某人用自己的网页替换某个网站的正常内容时,就说发生了破坏他人网站的行为。由于internct的开放体系,如果具备了特定的知识和工具,则完全可以更改传输中的数据。同时,要采取适当的存取访问控制,以保证数据存取系统的安全。在电子商务中务必保存数据最初的格式和内容。

(三)认证

在猖獗的网络欺诈或者反悔中,网络交易者隐身在电脑屏幕背后,身份难以识别的问题是其重要渊源。建立有效的网上交易身份认证机制,提升交易双方的信用度是有效控制网络欺诈的重要途径,对于电子商务的健康发展有着重要作用。交易方的信用问题已经成为制约电子商务发展的重要瓶颈之一。在现实社会中,即便有着诸多因素的制约,仍然普遍地存在着信用缺乏的现象,建立完善的信用机制已经成为社会各界的共识。在电子商务的具体实现中,首先要确认当前的通讯、交易和存取要求是合法的。例如,internet中的计算机系统的身份是其由IP地址确认的。黑客通过IP欺骗,使用虚假的IP地址,从而达到隐瞒自己身份盗用他人身份的目的。在日常电子邮件的使用中可以很容易地发匿名邮件,或者使用不真实的邮件用户名。因此,在电子商务中必须建立严格的身份认证机制,以确保参加交易各方的身份真实有效。

(四)不可否认性

不可否认主要包含数据的原始记录和发送记录,确认数据已经完成发送和接收,防止接收用户更改原始记录,防止用户在已经收到数据以后否认收到数据,并拖延自己的下一步工作。为了保证交易过程的可操作性,必须采取可靠的方法确保交易过程的真实性,保证参加电子交易的各方承认交易过程的合法性。

简言之,在internet上实现电子商务面临的任务:(1)私有性,即保证只有发送者和接收者可以接触到信息;(2)完整性,即信息在传输过程中未经任何改动;(3)身份认证,即接收方可以确信信息来自发信者,而不是第三者冒名发送,发送方可以确信接收方的身份是真实的,而不至于发往与交易无关的第三方;(4)不可否认性,在交易数据发送完成以后,双方都不能否认自己曾经发出或接收过信息。

电子商务面临的上述问题主要是由对系统的非法入侵造成的。首先是网络黑客,他们通过发现web服务器、操作系统或者主页部件在配置方面的漏洞,攻击网络系统。其次是内部入侵,这主要是由企业IT部门的员工造成的,保护网络的物理安全(如主控机房)及严格的口令管理制度,是防范该类问题的关键。还有恶意代码(如计算机病毒),它们在企业的传播会给电子商务系统造成严重的损失。另外,值得关注的是计算机系统本身的问题,例如,由于电源造成的系统宕机,以及广域网络的通讯,这些都会直接造成服务的突然中止,影响电子商务的形象。我们还应关注系统管理方面的问题,有时电子商务出现的问题既非黑客也非系统本身的毛病,而是源于对敏感数据处理不善或者是安全系统(如防火墙)的不正确配置。用户的身份认证是计算机系统安全的基础工作,数字签名加密等技术在这里可以充分起到作用。

二、电子商务安全系统关键技术

(一)ssLVPN技术

SSL(安全套接层)协议是一种在Internet上保证发送信息安全的通用协议。它处于应用层。SSL用公钥加密通过SSL连接传输的数据来工作。SSL协议指定了在应用程序协议(如HTTP、Telnet和FTP等)和TCP/IP协议之间进行数据交换的安全机制,为TCP/IP连接提供数据加密、服务器认证以及可选的客户机认证。SSL协议包括握手协议、记录协议以及警告协议三部分。握手协议负责确定用于客户机和服务器之间的会话加密参数。记录协议用于交换应用数据。警告协议用于在发生错误时终止两个主机之间的会话。

VPN(虚拟专用网)则主要应用于虚拟连接网络,它可以确保数据的机密性并且具有一定的访问控制功能。VPN是一项非常实用的技术,它可以扩展企业的内部网络,允许企业的员工、客户以及合作伙伴利用Internet访问企业网,而成本远远低于传统的专线接人。过去,VPN总是和IPSec联系在一起,因为它是VPN加密信息实际用到的协议。IPSec运行于网络层,IPSeeVPN则多用于连接两个网络或点到点之间的连接。所谓的SSLVPN,其实是YPN设备厂商为了与IPsecVPN区别所创造出来的名词,指的是使用者利用浏览器内建的SecureSocketLayer封包处理功能,用浏览器连回公司内部SSLVPN服务器,然后透过网络封包转向的方式,让使用者可以在远程计算机执行应用程序,读取公司内部服务器数据。它采用标准的安全套接层(ssL)对传输中的数据包进行加密,从而在应用层保护了数据的安全性。高质量的SSLVPN解决方案可保证企业进行安全的全局访问。在不断扩展的互联网Web站点之间、远程办公室、传统交易大厅和客户端间,SSLVPN克服了IPSecVPN的不足,用户可以轻松实现安全易用、无需客户端安装且配置简单的远程访问,从而降低用户的总成本并增加远程用户的工作效率。而同样在这些地方,设置传统的IPSecVPN非常困难,甚至是不可能的,这是由于必须更改网络地址转换(NAT)和防火墙设置。(二)加密技术

数据加密技术作为一项基本技术,是电子商务的基石,是电子商务最基本的信息安全防范措施。其实质是对信息进行重新编码,从而达到隐藏信息内容,使非法用户无法获取真实信息的一种技术手段,确保数据的保密性。基于加/解密所使用的密钥是否相同,可分为对称加密和非对称加密两类。

(1)对称加密。对称加密的加密密钥和解密密钥相同,即在发送方和接收方进行安全通信之前,商定一个密钥,用这个密钥对传输数据进行加密、解密。对称加密的突出特点是加解密速度快,效率高,适合对大量数据加密。缺点是密钥的传输与交换面临安全问题,且若和大量用户通信时,难以安全管理大量密钥。目前,常用的对称加密算法有DES、3DES、IDEA、Blowfish等。其中,DES(DataEncryptionStandard)算法由IBM公司设计,是迄今为止应用最广泛的一种算法,也是一种最具代表性的分组加密体制。DES是一种对二元数据进行加密的算法,数据分组长度为64bit,密文分组长度也是64bit,没有数据扩展,密钥长度为64bit,其中有8bit奇偶校验,有效密钥长度为56bit。加密过程包括16轮的加密迭代,每轮都采用一种乘积密码方式(代替和移位)。DES整个体制是公开的,系统的安全性全靠密钥的保密。DES算法的入口参数有3个:Key、Data、Mode。其中,Key为8个字节共64位,是DES算法的工作密钥。Data也是8个字节64位,是需被加密或解密的数据。Mode为DES的工作方式,分为加密或解密两种。DES算法的步骤为:如Mode为加密,则用Key去对数据进行加密,生成Data的密码形式(64位)作为DES输出结果。如Mode为解密,则用Key去把密码形式的数据Data解密,还原为Data的明码形式(64位)作为DES的输出结果。DES是一种世界公认的较好的加密算法,具有较高的安全性,到目前为止除了用穷举搜索法对DES算法进行攻击外,尚未发现更有效的方法。

(2)非对称加密。非对称加密的最大特点是采用两个密钥将加密和解密能力分开。一个公开作为加密密钥;一个为用户专用,作为解密密钥,通信双方无需事先交换密钥就可进行保密通信。而要从公开的公钥或密文分析出明文或密钥,在计算上是不可行的。若以公开钥作为加密密钥,以用户专用钥作为解密密钥,则可实现多个用户加密的信息只能由一个用户解读。反之,以用户专用钥作为加密密钥而以公开钥作为解密密钥,则可实现由一个用户加密的消息而使多个用户解读,前者可用于保密通信,后者可用于数字签字。非对称加密体制的出现是密码学史上划时代的事件,为解决计算机信息网中的安全提供了新的理论技术基础。其优点是很好地解决了对称加密中密钥数量过多难以管理的不足,且保密性能优于对称加密算法;缺点是算法复杂,加密速度不是很理想。

目前,RSA算法是最著名且应用最广泛的公钥算法,其安全性基于模运算的整数因子分解的困难性。

算法内容简要描述如下:①独立选取两大素数p和q,计算n=p×q;其欧拉函数值z=(p-1)×(q-1)。②随机选一整数e,1≤e由于RSA涉及大数计算,无论是硬件或软件实现的效率都比较低,不适用对长的明文加密,常用来对密钥加密,即与对称密码体制结合使用。

(三)网上交易身份认证机制

网上交易身份认证对于建立电子商务业界的信用机制起着重要作用,因此如何确认网上交易者的身份便成为诸多电子商务网站迫切希望解决的问题。

(1)在目前网络法律制度还不健全的时代,自律机制非常重要,网络交易的有效性和真实性在一定程度上能够反映这个国家的信用机制的完善程度。相对而言,国外的电子商务信用体系相对较高,其交易身份认证多与信用卡等银行信用记录挂钩,而我国则更多的是通过手机和身份证等方式进行。

(2)一些网上交易平台为了帮助交易双方打消顾虑,顺利进行交易,提供第三方介入的支付方式,以保护双方的合法利益,这种机制对于维护网上交易的诚信起到了很好的作用。

(3)电子邮件在电子商务交易中对子商务交易者的身份认证机制起着重要作用。电子邮件一旦重复则易造成无法注册,甚至很多网站要求用户两次输入有效的电子邮件以进行确认,以确保之后的所有信息能够顺利进行,所有的网站均将用户的电子邮件作为联系用户和确认用户诸多信息的重要联系方式,其便捷性毋庸置疑。但是,在电子邮件收费的模式基本上发展前景不甚明朗的今天其有效性和真实性还值得商榷。

(4)用户注册中所提交的资料即身份认证过程中会涉及到很多可以列为用户隐私权保护的信息,因此,在进行身份认证时还需要考虑隐私权保护问题。现在几乎所有的电子商务网站上都有隐私权法律声明,或者在用户填写过程中就通过链接的形式弹出窗口声明用户的这些资料将被用于那些用途。尽管如此,由于网络上没有绝对的安全,如果由于技术上的原因导致用户的身份认证资料泄露给他人,甚至被他人用于牟利或者其他非法目的,网站是否应该承担责任、应该承担什么样的责任,也是身份认证机制应该考虑的问题。

电子商务的安全问题是利害攸关的,安全遭到破坏会使他人信息泄露或导致信息滥用。电子商务安全策略必须明确保密、完整、不可否认的要求。总之,如何建立电子商务安全策略,并逐步完善这个策略,需要政府、电子商务企业、学者等的共同努力,任重而道远。

商务安全论文范文第4篇

论文摘要:电子商务安全问题已成为制约电子商务发展的重要问题,安全问题包括电子商务交易安全、计算机网络安全等显性的问题,还包括管理、法律和标准等方面的隐性问题。通过对电子商务安全体系的分析,研究电子商务安全策略,建立一个安全电子商务环境,将促进电子商务健康快速地发展。

电子商务是一个跨国界,跨地区,跨行业的多种技术综合集成与不同社会经济文化背景形成的各种习俗不断冲突,不断协调和不断统一的综合性社会系统工程。电子商务安全策略保障电子商务各个主体的切身利益。电子商务安全策略是以人为本,从各主体的角度思考,综合协调了各个市场主体的行为,从根本上保障了消费者、企业、电子商务网站等市场主体的切身利益,它为实现电子商务提供了统一的基础平台和安全屏障。

一、电子商务安全技术保障策略

安全技术保障技术是电子商务安全体系中的基本策略,目前相关的信息安全技术与专门的电子商务安全技术研究比较普遍和成熟。电子商务中常用到的安全技术有以下几种:

1.密码技术。密码技术包括加密技术和解密技术。加密是将信息经过加密密钥及加密函数转换,变成无意义的密文。而解密则是将密文经过解密函数、解密密钥处理还原成原文。密码技术是网络安全技术的基础。

2.身份验证技术。电子商务主体向系统证明自己身份,并由系统查核该主体的过程,是确认真实有效身份的重要环节,这个过程叫作身份验证。常用的验证技术有报文鉴别、身份鉴别和电子签名。

3.访问控制技术。访问控制是指对电子商务网络系统中各种资源访问时的权限确认,防止非法访问。它包括有关的策略、模型、机制的基础理论与实现方法。

4.防火墙技术。防火墙是用一组网络设备来加强一个网络与外界之间的访问控制。防火墙整体可以分为三大类:分组过滤、应用、电路网关。

二、企业电子商务安全运营管理制度保障策略

企业电子商务安全运营管理制度是用文字的形式对各项安全要求所做的规定,是保证企业取得电子商务成功的基础,是企业电子商务人员工作的规范和准则。这些制度主要包括人员管理制度,保密制度,跟踪审计制度,系统维护制度、数据备份制度等。

1.人员管理制度人员管理制度主要从人员的选拔,工作责任的落实和安全运作必须遵循的基本原则制定相应的工作制度。

2.保密制度电子商务系统涉及企业的市场、生产、财务、供应链等多方面的机密,这些方面都是需要很好地划分信息安全级别,并确定安全防范重点,提出相应的保密措施。

3.跟踪审计制度跟踪制度就是要求企业建立网络交易的日志机制,来记录网络交易的全过程。而审计制度是对系统日志的经常检查、审核,及时发现对系统有安全隐患的记录,监控各种安全事故,维护和管理系统日志。

4.网络系统的日常维护制度网络系统的日常维护包括硬件的日常维护和软件的日常维护,硬件维护主要是对网络设备服务器和客户机以及通信线路进行定期规范地巡查、检修;软件维护主要是规范地对支撑软件的定期清理和整理、监测、处理特殊情况以及对应用软件的升级等。

5.数据备份制度数据备份主要是利用多种介质对信息系统数据进行存储,定期为重要信息备份、系统设备备份,并定期更新,以减少安全事故发生时造成的损失。

三、电子商务立法策略

电子商务安全得到法律保障,首先必须完善电子商务安全相关的法律。如何构建一个有针对性的健全的法律体系是摆在我们面前的迫切问题。可以从立法目的、立法原则、立法范围和立法途径上分析。

1.立法目的电子商务安全立法的目的主要是要消除电子商务发展的法律障碍;消除现有法律适用上的不确定性,保护合理的商业行为,保障电子交易安全;建立一个清晰的法律框架以统一调整电子商务的健康发展。

2.立法范围电子商务安全方面需要的法律法规主要有:市场准入制度、合同有效认证办法、电子支付系统安全措施、信息保密防范办法,知识产权侵权处理规定、以及广告的管制、网络信息内容过滤等;电子商务调整的对象是电子商务中的各种社会关系。[3.立法途径电子商务法律仍然是调整社会关系,所以应当继承传统立法的合理内核,尤其是基础价值观。具体的立法途径主要是两种:第一是制定新的法律规范。对于传统法律没有规定的,即由电子商务带来的新的社会关系,应尽快制定法律规范;第二是修改或重新解释既定的法律规范。对于传统法律的规定不明确,或与电子商务新型社会关系有冲突甚至存在缺欠的,可以修改或重新解释既定的法律规范。

四、政府监督管理策略

电子商务本质是一种市场运作模式,市场的正常健康有序地发展,必须有政府宏观上的监督与管理,以协调和规范各市场主体的行为,宏观监督与管理电子商务运行中的安全保障体系。

1.计算机信息系统安全管理计算机信息系统,是指“由计算机及其相关的和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。”计算机安全保护规范主要有计算机安全等级保护制度,计算机系统使用单位安全负责制度,计算机案件强行报告制度,计算机病毒及其有害数据的专管制度与计算机信息安全专用产品销售许可证制度。对计算机信息系统安全的保护,有利于保障国家的安全和社会安定,促进电子商务的安全交易过程,有利电子商务的健康发展。

2.网络广告和网络服务业管理由于网络的开放性,自由性等特征决定了网络广告监管的难度,虚假广告、广告充斥着网络空间,网络广告已经发展成为一个社会问题。网络广告管理应该从三个方面入手:第一,网络广告组织的管理,必须对网站广告经营主体资格进行管制,第二,规范网络广告内容,确保广告内容的真实性、合法性和科学性。第三,需要有具体的广告审查管制、评估与监测部门。

国家针对网络服务业和网络用户管理已经颁布了《中华人民共和国计算机信息网络国际联网管理暂行规定》,其中提出了详细具体的限制条件。但是,网络飞速发展,面对网络中的新问题,还必须进一步深入全面地研究。

3.认证机构管理认证机构是电子商务活动中专门从事颁发认证证书的机构,对电子商务交易活动顺利进行,电子商务活动中交易参与各方身份和信息认定,维护交易安全具有重要作用。对认证机构的管理主要是通过对设立的条件、撤消或者颁发许可证等营业资格而进行审批监督;同时,还要针对其资产和财务状况定期审查,以免发生财务危机,对其信息披露与保密情况、安全系统运行情况等方面进行不定期或定期监督检查。

4.加强社会信用道德建设,构建和谐安全电子商务电子商务安全问题其中有很大部分是由电子商务用户或从业人员的信用道德问题引发的,在我国尤其严重,甚至大家感叹电子商务在我国“水土不服”。对于新型的商业运作模式,必然存在不少漏洞,这需要广大电子商务市场主体有良好的电子商务道德意识。除了从法律上采取措施,更重要的是政府要加强电子商务市场主体自身的道德建设,加强舆论监督和企业自律,充分利用网络新闻舆论监督,消费者舆论监督和行业协会的管理监督。

五、结束语

电子商务安全不仅涉及到电子商务公司、企业、消费者的利益,而且更加广泛地涉及经济、政治、国防、文化等诸多方面,关系到国家的安全、和社会的稳定。电子商务安全策略确保电子商务的快速、健康地发展。电子商务安全是目前电子商务发展的瓶颈,只有解决了电子商务安全,保障了市场主体的利益,才能得到网络用户的认可和参与,电子商务自身也才能得到快速、健康地发展。

参考文献

[1]林宁,吴志刚.我国信息安全技术标准化现状[J].中国标准化,2007(4)

[2]胡艳春.电子商务网站建设中的安全问题研究[J].商场现代化,2006,(10)

商务安全论文范文第5篇

前言: 近年来,随着电子技术的发展,“电子商务”、“电子合同”等这类的词随处可见。的确,电子技术给我们的生活带来了很大的变化。我们现在可以实现网上购物;公司企业越来越重视网上销售和网上订货。这种新的交易方式的快速、便捷、高效率,满足了现代商业对交易效率的要求,使我们有理由相信,它还将继续深入我们的生活。 但是,这种新的交易方式同时带给我们的,还有它与传统法律之间的种种不协调。在保证电子商务的高效率的同时,如何保障它的安全性,已经引起了人们的广泛关注。本文仅就电子商务的安全运营问题,从法律的角度进行一些初步的探索。 一、电子商务概说 (一)电子商务的概念 电子商务出现于20世纪90年代,发展的时间并不长,但与传统商务相比,电子商务具有惊人的发展速度。据CNN公布的资料表明:1999年度全球电子商务销售额突破1400亿美元。 但是,究竟什么是电子商务呢? 实际上,迄今为止,电子商务还没有一个被广泛接受的概念。 世界贸易组织(WTO)给电子商务下的定义为:电子商务是指以电子方式进行的商品和服务之生产、分配、市场营销、销售或交付。 经济合作发展组织(OECD)认为:电子商务是指商业交易,它包括组织与个人在基于文本、声音、可视化图象等在内的数字化数据传输与处理方面的商业活动。 世界各国对电子商务的理解也不尽相同。 尽管电子商务的定义在内容上各有侧重,但是笔者认为对于电子商务的内涵,一般应至少包括下列三方面的内容:(1)使用电子工具,借助互联网传输信息;在公开环境下交易;(3)依靠一定的技术规范和技术标准,利用数据化的信息来进行交易。 电子商务使用的网络类型主要有三种形式:EDI网络,INTRANET网络和INTERNET网络。由于EDI是专线网络,而INTRANET是企业内部网,其安全性较好,对传统法律规范体系的冲击相对于INTERNET要小得多,因而本文讨论的电子商务主要是指借助于INTERNET网络的电子商务。 (二)电子商务的特点 与传统商务相比,电子商务具有许多特点: 其一,电子商务是在公开环境下进行的交易,其可以在全球范围内进行交易。 由于借助互联网,这就使得经济交易突破了空间的限制;公开环境下的信息公开,使所有的企业可以平等地参与市场竞争。 其二,在电子商务中,电子数据的传递、编制、发送、接收都由精密的电脑程序完成,更加精确、可靠。 其三,电子商务是一种快速、便捷、高效的交易方式。在电子商务中,信息的传递通过网络完成,速度很快,可以节省宝贵的交易时间。 上述特点,是电子商务独有的,传统商务无法实现。 (三)电子商务的安全性要求 电子商务,作为一种新的经济交易方式,它只是在表现形式上与传统商业不同,但是这并没有改变其商业属性,这就要求电子商务的运作必须遵循商业活动的一般规律 ,否则,电子商务是无法发展的。 安全与效率,是一切经济交易必须考虑的两个问题。电子商务的存在与发展也必须满足这两个要求。对于电子商务而言,其高效性已经得到了人们充分的认可。但是,安全性呢?电子商务作为一种新生事物,世界各国都尚未形成成熟的安全运营模式。如何在网络环境下,构建与传统法律价值接近的规则体系,已经越来越为人们所关注。 从传统商业与电子商务的不同特点来看,要满足电子商务 的安全性要求,至少要有下面几个问题需要解决: 1、交易前交易双方身份的认证问题。电子商务是建立在互联网络平台上的虚拟空间中的商务活动,交易的当事人可能处在不同的国家,他们并不直接见面,双方只能通过数据、符号、信号等进行判断、选择,具体的商业行为也依靠电子信号和数据的交流,交易的当事人再也无法用传统商务中的方法来保障交易的安全。 2、交易中电子合同的法律效力问题以及完整性保密性问题。在传统国际贸易法中,合同形式要求为书面,而电子商务中的合同是电子合同,与传统的书面形式存在很大的不同,其法律效力如何取决于法律的有关规定。而且,由于电子商务所依赖的互联网平台本身具有开放性的特点,交易双方的数据如何避免被他人截取和篡改,以保证其完整性和保密性,这都是电子商务发展必须面对和解决的问题。 3、交易后电子记录的证据力问题。在英美法系,传闻证据规则限制了电子记录的证据力。在我国,诉讼法中并未对电子记录的证据力作出明确规定,甚至也没有将其单列出来作为证据的一种。 上述这些问题,已经对传统法律制度造成了冲击,也是实现电子商务安全所必须解决的问题。笔者将针对这些问题,从技术安全、组织安全、法律安全三个角度,对电子商务的安全运营问题进行解析。 二、电子商务的技术安全-信息加密及电子签名问题 电子商务的发展是计算机技术发展的结果,其安全保障归根到底要依赖于技术的进步。特别是信息的完整性保密性方面,更需要技术层面的支持,即信息加密技术和电子签名问题。 (一)信息加密技术 由于电子商务是借助INTERNET平台运作的,而INTERNET网络本身具有开放性的特点,因而安全性方面存在先天不足 .而交易双方在交易过程中,都希望信息不会被他人篡改和截取。信息加密技术正是针对这个问题的技术解决方案。 简单的说,信息加密技术,就是把要传递的信息在传递时按照一定的规则将其转变为错乱的内容(即加密),在对方接收时,再通过解密程序将乱码清除,即可得到原来的完整的信息,这一过程就是解密。这样,第三方即使截取了信息,也无法获悉其中的内容。 (二)电子签名问题 1、传统签名及其作用 在传统商务中,大多数国家都要求合同的当事人在书面上签名或者盖章。这种签名或盖章主要有以下三个作用:一为表明文件的来源;二为表明签字者已确认文件所载之内容;三为构成证明签字者对文件内容之正确性和完整性而负责任的证据。 在传统商务中,由于这种手写签名的独特性,所以我国和大多数国家都把它作为使书面合同有效的一个必要条件 . 2、电子签名及其方法 在电子商务中,交易的平台是互联网,传统的签名已经无法实现其作用。尽管我国《合同法》第三十三条规定了一个补救的方法-“当事人采用信件、数据电文等形式订立合同的,可以在合同成立之前要求签定确认书”,但实际上,这一做法将大大降低电子商务的效率,因而不足取。真正把传统签名的作用与电子商务的互联网运作平台结合起来的,是电子签名。 电子签名,是指在一个数据信息中或附在其后或逻辑上与其有联系的电子形式的签名 . 其在形式上,与传统签名差别很大,但在功能上,两者却很接近,都是用来鉴别合同的当事人并表明其同意该数据信息的内容。 与传统签名相比,电子签名是一个更复杂的问题,它涉及大量的技术问题。到目前为止,电子 签名已经有对称密码、不对称密码、笔迹、生物特征密码等方式。目前,采用较多的是不对称密码。在不对称密码的方式下,加密和解密的钥匙不同,一旦信息被加密,加密钥匙不能解密该信息,只能用解密钥匙才能解密。这样人们就可以广泛分发公开钥匙,而只需保留那么秘密钥匙即可。 但是,这种做法并不是绝对安全的,因为秘密钥匙是可能被人破译的,而且我们相信,随着技术的进步,这种方法将会越来越不安全。 生物特征密码、笔迹密码是相对安全的方法,但是这种辨别技术的成本很高,目前还无法推广普及。 三、电子商务的组织安全-电子认证问题 在电子商务中,交易平台是互联网,交易的双方只能通过数据信息来了解对方,而不能像传统商务中交易的当事人可以通过面对面的接触来了解对方。这样,交易双方的信任很难建立起来。这就需要有专门的组织机构来为交易的当事人进行信任保证,以帮助双方建立信任,促成交易。电子认证机构就是这样的机构,它为电子商务的发展提供了组织安全。 (一)电子认证及其功能 认证,按美国国际贸易文件国家委员会所下的定义,即为“在某法令、记录或其他书面文件的经核准的文本上赋以法律证明,以便将其作为法律可采纳的证据来提供的某种行为或方式”。[11] 电子认证,是以特定的机构,对电子签名及其签署者的真实性,进行验证的具有法律意义的服务。[12] 与电子签名一样,电子认证也是电子商务中的安全保障机制。但两者的具体功能是不同的。电子签名侧重于解决身份辨别与文件归属问题,使数据信息不被否认或者篡改,主要是技术手段上的保证;而电子认证,则侧重解决的是交易人的交易人的可信度问题,主要应用于交易关系的信用安全方面,是一种组织制度上的保证。 电子认证,从根本上说,是一种服务,其通过对交易各方的身份、资信进行认定,对外,防范交易当事人以外的人故意入侵而造成风险,从而防止欺诈的发生;对内防止当事人的否认,以避免当事人之间的误解或抵赖,从而减少交易风险,维护电子交易的安全,保障电子商务活动顺利进行。 (二)电子认证机构及其职责 电子认证是通过特定机构来完成的,这个特定机构就是认证机构。它是电子商务中对用户的电子签名颁发数字证书的机构,它已经成为开放性电子商务活动中不可缺少的信用服务机构。[13] 作为在电子交易中提供信用服务的机构,认证机构必须具有独立性,应是一个独立的法律实体,并具有中立性、可靠性,因此其人员组成、资金设备等都应符合一定的要求,以便能够为商业交易提供一个公正的交易环境。 在电子商务中,电子认证机构要承担下列职责:“(1)监督登记者按照规定办理登记、变更、注销手续;监督登记者按照电子商务的有关法律、法规合法从事经营活动;(3)制止和查处登记者的违法交易活动,保护交易人的合法权益。”[14] 鉴于其在电子商务中的作用,电子认证机构必须忠实地履行其职责,中立地进行工作,对电子交易秩序和交易安全负责。 (三)电子商务认证系统的几种模式 目前,在认证机构的管理与选任上,大致有几种作法: 1、政府主导的电子商务认证体系 该体系是由政府出面对认证机构进行管理,规定认证机构必须具备的条件和应承担的责任,并且在法律上推定经认证机构核实的电子签名具有证据力。 2、行业协会主导的电子商务认证体系 该体系是由认证机构协会负责制订认证机构必须遵守的行业规范,并由其负责对各认证机构进行监督。这种作法强调的是行业自律,但是在具体实施过程中,行业协会如何产生,以及经认证机构协会批准的认证机构核实的电子签名证据力如何,还有待于相关法律的规定。 3、当事人自由约定的电子商务认证体系 > 该体系没有规定认证机构的行业规则,在实践中,当事人可以自由约定采用何种方式的电子签名,也可约定选用哪个认证机构,具体的权利义务完全由当事人双方自由商定。这种作法给了当事人最大的自主性,适应了技术发展的灵活性,但是势力弱小的消费者,很难在风险责任分担中起作用,而且各认证机构规则不统一,认证结果通用性差。 在我国目前国情下,商家的商业信誉不够,完全采用当事人自由约定的电子商务认证体系是不合适的。[15] 四、电子商务的法律安全-电子合同的法律效力 要保证电子商务的安全运营,法律的保障是不容忽略的。而且,技术支持和组织保障最后都需要由法律来规定其效力。 合同是商业交易的内容,随着电子商务的发展,许多国家都运用法律手段来确定电子合同的效力。美国、欧盟等有关电子商务的法律文件都对电子合同进行了规范,我国《合同法》[16]也顺应时展的潮流,对电子合同这种新型合同形式也作了一些简单的规定。笔者将围绕电子合同问题,对电子商务的法律安全进行阐述。 (一)电子合同的形式及法律效力 我国《合同法》第十条规定:当事人订立合同,有书面形式、口头形式和其他形式。第十一条规定:书面形式是指合同书、信件和数据电文(包括电报、电传、传真、电子数据交换和电子邮件)等可以有形地表现所载内容的形式。这说明我国已经承认了电子合同的法律效力,并规定电子合同形式为书面形式。这种规定虽很简单,但对于我国电子商务的发展却是意义深远。 联合国国际贸易法委员会在96年12月通过的《电子商业示范法》第6条中写明:“如果法律要求信息须采用书面形式,则假若一项数据电文所包含信息可以调取以备日后查用,即满足了该项要求。”并且在第11条中规定:“就合同的订立而言,除非当事各方另有协议,一项要约以及对要约的承诺均可通过数据电文的手段表示。如使用了一项数据电文来订立合同,则不得仅仅以使用了数据电文为理由而否定该合同的有效性或可执行性。” [17] 美国的《统一电子交易法》中也有类似的规定。[18] 以上这些法律文件实际上已经承认了电子合同,并且赋予其与传统合同形式相同的法律效力。 (二)电子合同的生效问题-生效时间及地点 在电子商务中,经营者可以通过网页向公众提供有关商品或服务的信息,这种行为属于要约邀请,用户通过电子邮件等方式向经营者发出要约[19] ,经营者可以回复作出承诺 [20].这样一个电子合同就形成了。 1、 要约与承诺生效时间 我国《合同法》第十六条规定:要约到达受要约人时生效。采用数据电文形式订立合同,收件人指定特定系统接收数据电文的,该数据电文进入该特定系统的时间,视为到达时间;未指定特定系 统的,该数据电文进入收件人的任何系统的首次时间,视为到达时间。“第六条第二款规定:”采用数据电文形式订立合同的,承诺到达的时间适用本法第十六条第二款的规定。“这一规定有利于明确要约与承诺的生效时间,便于交易双方明确权责。 2、 合同生效地点 我国《合同法》第三十四条第二款规定:“采用数据电文形式订立合同的,收件人的主营业地为合同成立的地点;没有主营业地的,其经常居住地为合同成立的地点。当事人另有约定的,按照其约定。” 这一规定明确了合同成立地,在发生合同纠纷时,利于确定 法院的管辖。 《电子商业示范法》中也有类似的规定。 法律文件的这些规定,实际上便是对电子通讯记录的法律效力的确认。 但是,在电子商务环境下,许多传统商务中的问题更加突出。例如,在合同生效时间问题上,英美法系采用发送主义,而大陆法系采用到达主义。在电子商务环境下,交易全球化趋势更加明显,这类问题也就越发突出了。如何解决此类问题,还需要国际社会的共同努力。 (三)电子签名的法律效力 在电子合同中,合同的完整性和保密性主要是通过电子签名来实现的。很多国家在法律上都承认了电子签名的效力。美国的《统一电子交易法》中规定:(a)一个记录或签名的效力或可执行性不得仅因其为电子形式而被否认;(b)一个合同的效力或可执行性不得仅因合同的成立中用了电子记录而被否认;(c)如果某一法律要求记录为书面形式,则电子记录即满足了该法的要求;(d)如果某一法律要求有签名,则电子签名即满足了该法律的要求。[21] 上述规定从法律上承认了电子签名的效力,有利于加强电子商务的安全和促进电子商务的发展。 (四)电子记录的证据力问题 与传统合同不同,电子合同的证据是电子化的,容易被伪造和篡改,而且很难发现改动的痕迹。因此,电子合同的证据力在传统证据规则中,是受到限制的。 针对这个情况,联合国国际贸易法委员会在《电子商业示范法》第9条中规定:对于以数据电文为形式的信息,应给予应有的证据力。在评估一项数据电文的证据力时,应考虑到生成、储存或传递该数据电文的办法的可靠性,保持信息完整性的办法的可靠性,用以鉴别发端人的办法,以及任何其他相关因素。[22] 这一规定既考虑到了电子记录自身的特点,又赋予了其应有的证据力,是对传统证据规则的突破,有利于电子商务的安全运营。 五、加强我国电子商务安全的思考 资源共享、快速、便捷是电子商务迅速发展的原因;而这种开放性也带来了电子商务最大的问题,资源共享的开放性使电子商务在安全方面先天不足。 而安全和保密恰恰是电子商务发展的一项基本要求。目前,一些国际组织已先后制订了一些规定,来保障电子商务的安全性,美国等发达国家也制订了一些这方面的规则。[23] 但是,我国目前还没有这方面的专门规定。 另外,我国商家的商业信誉远远不够,在电子商务的环境中,人们对安全性更是普遍存有疑虑。这已经成为阻碍我国电子商务发展的一个重要因素。 如何保障我国的电子商务安全运营,已经成为关系到我国未来经济发展的一个重要问题。对此,笔者认为应努力做到以下几点: 1,对电子商务进行专门立法。 电子商务是一个新生事物,很多方面不同于传统商务,与传统的法律规范体系也存在着诸多的不相容之处,而且,传统的法律规范体系中还有许多电子商务方面的空白。这一情况已经在实践中引起了不少的问题。台湾就有这方面的案例[24]. 我国的电子商务是近年才发展起来的,目前规范电子商务的相关的法律法规极为有限。在法律的层次上,只有1997年《中华人民共和国刑法》和1999年《中华人民共和国合同法》对相关问题作了简单规定。例如,我国1997年修订的《刑法》中增加了关于计算机犯罪的条文,1999年通过的《合同法》对电子合同的书面形式、生效时间地点等作了规定。但是,这种规定太过简单,远远不能满足电子商务发展的需要。例如,对于电子认证的效力、虚假电子认证等重要的问题,我国法律还没有规定,这已经成为阻碍我国电子商务发展的重要问题。 因此,我国应大力加强电子商务法制化建设,制订专门的《电子商务法》,对电子商务当事人的权利义务、电子合同法律关系、电子签名、电子认证、网上知识产权的保护、电子支付等问题进行专 门规定,使之适应电子商务发展的需要。在刑法中,对电子商务领域的犯罪进行规定。从而在法律上,为电子商务提供一个良好的发展环境。 2,建设我国的电子商务认证机构体系。 电子商务认证机构是电子商务中的重要部门,其担负着维护电子交易安全的责任。因此,要完善我国的电子商务安全运营,必须建立我国的电子商务认证体系。 在目前存在的三种电子商务认证机构模式中,当事人自由约定的电子商务认证体系不适合我国的实际情况。我国,电子商务刚刚发展起来,不完善的地方很多,很多普通的消费者对电子商务还不很了解,根本无法在自由约定时,提出对自己有利的条件。而且,在交易双方的力量对比悬殊的情况下,弱势一方很难通过谈判来取得公平的结果。再进一步说,这种模式的认证结果通用性很差,不适合我国刚起步的电子商务的发展。 政府主导的电子商务认证体系,政府可以对认证中的许多问题作出详细规定,并且认证结果通用性强。但是,这种方式行政色彩过浓,不利于电子商务按照商业规律自主发展。 因此,目前来看,行业协会主导的电子商务认证体系是更适合我国国情的一种选择。行业协会更了解认证机构的运作,更能有效的对其进行监管。这种认证体系,把电子商务的商业发展的自主性、安全性要求与认证机构的行业特点有效地结合起来。 作为认证机构的指导机构,认证机构行业协会有权对认证的效力进行规定,并且有权规定认证机构的行业准则,对各个认证机构的业务活动进行监管,对违反行业规则的行为进行制裁和处罚。 近年来,我国的电子商务认证机构的发展很快。1999年3月19日,中国人民银行组织12家商业银行共建金融认证中心系统;1999年8月,我国首套拥有自主知识产权的电子商务安全认证系统通过了国家密码管理委员会和信息产业部组织的技术鉴定。[25] 但另一方面,我国的电子商务认证系统还远不成熟,仍有许多需要完善的地方。我们必须对此给予充分的重视,以便为电子商务的安全发展提供组织保障。 3,大力推进电子签名等技术的发展,从技术上为电子商务提供安全保障。 电子商务的产生、发展是科技发展的结果,其安全运营也要依靠技术给予的保障。因此,为加强电子商务的安全性,我们必须大力推进科技的发展,使技术满足电子商务的安全运营要求。在电子商务中广泛使用的电子签名,就涉及许多复杂的技术问题。为使电子签名具有与传统签名相同的法律效力,我们必须使电子签名 具有像手写签名那样的独特性。这一问题的解决,需要技术发展才能实现。 目前,解决电子签名效力的途径主要有:(1)修改法律或者进行法律解释,使签名涵盖电子签名。但对于何种电子签名才具有法律效力,立法要兼顾技术中立、开放与安全,使之适应技术发展的需要;电子商务的当事人在合同中约定电子签名方法及效力;(3)依靠技术进步,这是最根本的方法。技术安全、成本低廉的电子签名方式是电子商务安全的有力保障。 4,加强国际合作,与国际接轨。 电子商务的一个特点就是无国界,可以全球交易。适应这一特点,我们必须加强国际合作。在立法上,我们必须考虑到国内法律、国际条约与行业惯例,使我们将来的《电子商务法》适应国际贸易发展的需要。 在技术上,我们也要加强国际合作,共同推进电子商务的发展。 另外,我们还要积极地参加有关的国际会议,了解电子商务发展的最新国际动态,努 力与国际接轨。同时,我们也要通过国际合作,来积极维护我们的国家利益。 结语: 我国的电子商务近年来发展很快,但是有关的安全保障还未建立起来。这已经成为影响我国电子商务发展的一个障碍。 为此,我们必须加快建设有关的电子商务安全系统。这将是一个综合性的、涉及全社会的系统工程。具体而言,我们要从法律上承认电子通讯记录的效力,给电子商务以法律保障;我们要加强对电子签名等的研究,给电子商务以技术保障;我们还要尽快建立电子商务认证体系,给电子商务以组织保障。而且,针对电子商务无国界的特点,我们还应该加强国际合作,使电子商务真正发挥其应有的作用。惟有如此,我们才能顺应时代潮流,推动我国经济的发展;也惟有如此,我们才能在经济全球化的今天,参与到国际竞争中去,并进而赢得竞争的优势。 参考文献: 一、著作类: 1 高媛、欧阳志明、石晓军编著:《电子商务》,企业管理出版社,1999年版。 2 包晓闻、张海堂编著:《电子商务-21世纪,世界商务发展的潮流》,经济科学出版社,1999年版。 3 周忠海主编:《电子商务法导论》,北京邮电大学出版社,2000年版。 4 张楚著:《电子商务法初论》,中国政法大学出版社,2000年版。 5 阚凯力、张楚主编:《外国电子商务法》,北京邮电大学出版社,2000年版。 6 David Johnston、Sunny Handa、Charles Morgan:《在线游戏规则》,新华出版社。 二、论文类: 1 赵廷光、皮勇:《电子商务安全的几点刑法对策》,载《法商研究》,2000年第6期。 2 张楚:《美国电子商务法评析》,载《法律科学》,2000年第2期。 3 张松涛:《浅析电子合同(EDI)的相关法律问题》,载《中华女子学院学报》,2000年第3期。 4 薛虹:《电子商务的法律问题》,载《法律适用》,2000年第7期。 5 蒋建平、杨毅:《电子合同的效力问题》,载《律师世界》,1999年第11期。 6 庞淑萍:《我国新〈合同法〉中有关电子合同的若干问题》,载《商业经济研究》,1999年第11期。 7 沈根荣:《国际电子商务立法的发展进程及特点》,载《国际商务研究》,2000年第2期。 8 蒋坡:《电子商务法律制度的内核》,载《法学》,2000年第12期。 9 蒋坡、刘满达、薛虹、邵景春等:《电子商务法律制度专题探讨》,载《法学》,2000年第12期。 10 汪玉:《浅谈电子商务涉及的法律问题》,载《法学评论》,2000年第4期。 11 李晓安:《亟待建立电子商务法律体制》,载《法学杂志》,2000年第2期。 12 赵廷光、皮勇:《电子商务与计算机犯罪》,载《法学杂志》,2000年第2期。 13 单文华:《电子贸易的法律问题》,载《民商法论丛》第10卷。 14 孙晨整理:《软体产业在Internet上的管理》,载《智慧财产权管理》,2000年第12期,台湾。 15 郭佳玫:《OECD提倡对于线上替代争端解决机制》,载《科技法律透析》,2001年第1期,台湾。 16 冯震宇:《论网路电子商务发展与相关法律问题》,载《月旦法学》,第37期,台湾。 17 States Move Closer On Uniform Software Signature Laws,E-Commerce,March 2000。 18 Stefania R.Geraci ,U.S.-EU ‘Safe Harbor ’Goes Into Effect,E-Commerce,November 2000。 19 homas C.Vinje and Dieter Paemen , THE EUROPEAN UNION‘S ELECTRONIC COMMERCE DIRECTIVE:NEW RULES ON ON-LINE ADVERTISING,E-CONTRACTING,ISP LIABILITY,AND DISPUTE RESOLUTION. World Intellectual Property Report 248(vol.14)。 20 Gov‘t To Speed Up Development Of E-Commerce,Economic Report,January2000。 注释: 引自:周忠海主编《电子商务法导论》,北京邮电大学出版社,P3。 由于电子商务是一个新生事物,所以目前国际社会对什么是电子商务以及相关的概念(例如电子签名、电子合同、电子认证等)并未达成共识,甚至存在相当大的分歧。 See. WORK PROGRAMME ON ELECTRONIC COMMERCE ,WTO,WT/L274,30 SEPTEMBER 1998。 参考http://www.oecd.org/publications/pol-brief/9701-pol.htm 转引自:周忠海主编《电子商务法导论》,北京邮电大学出版社,P5。 参考:蒋坡,《电子商务法律制度的内核》,《法学》2000年第12期,P31。 目前,电子商务广泛借助Internet平台以实现资源共享和高效率。而 Internet安 全性的先天不足必然会殃及电子商务中的数据电文。计算机信息安全专家认为Internet存在的不安全因素主要有: 1、Internet的无主控、开放性使得“黑客”时时潜入联网电脑,窃取机密数据;破坏数据致系统瘫痪;使机器功能不能正常发挥。 2、Internet的数据传送所基于的TCP/IP通信协议缺乏数据防窃取的安全措施。 3、Internet通信业务常使用的UNIX操作系统安全性脆弱,加之在应用层开发的多数信息访问协议使用的访问控制鉴别机制薄弱,反复使用的用户标识符(ID口令)方便了攻击者的破坏活动。 4、在计算机网络上传输、存储、处理的电子信息,还没有像传统的邮件通信那样进行信封保护,签字盖章。信息的来源,去向是否真实,内容是否被人改动,不该泄漏的信息是否被泄漏了,这一切在应用层支持服务的协议中还是凭着君子协定来维持。 See. ECE Trade/Wp4/GE2/R102.转引自单文华:《电子贸易的法律问题》, 《民商法论丛》第10卷P34。 《中华人民共和国合同法》第三十二条规定:自双方当事人签字或者盖章时,合同成立。 引自:薛虹《电子商务的法律问题》,《法律适用》2000年第7期。 参考:David Johnston,Sunny Handa,Charles Morgan《在线游戏规则》,新华出版社,P107。 [11]cf.Hans B.Thomsen&Bernard S.Wheble,Trading with EDI-The Legal Issues,IBC Financial Books Ltd,1989,P19,转引自《电子贸易的法律问题》,《民商法论丛》第10卷。 [12]引自:周忠海主编《电子商务法导论》,北京邮电大学出版社,P57。 [13]这里的认证机构,英文为“Certification authority”,其法律定义,联合国贸法会在《统一电子签名法规则(草案1999年2月稿) 》第一条定义中规定:“认证机构,是指任何人或实体,在其营业中从事以数字签名为目的,而颁发与加密密钥相关的身份证书。该定义受任何要求认证机构须取得许可,或认可,或以一定的方式进行营业的有效法的限制”。新加坡在其《电子交易法》第二条中规定:“认证机构是指颁发数字证书的人或组织”。-引自:周忠海主编《电子商务法导论》,北京邮电大学出版社,P71。 [14]引自:赵廷光、皮勇,《电子商务安全的几点刑法对策》,《法商研究》2000年第6期。 [15]参考:张楚,《美国电子商务法评析》,《法律科学》2000年第2期。 [16]指1999年《中华人民共和国合同法》。 [17]引自:阚凯力、张楚主编,《外国电子商务法》,北京邮电大学出版社P266—268。 [18]“A number of state legislatures have recently introduced versions of the uniform Electronic Transactions Act (UETA)。Another NCCUSL(the National Conference of Commissions on Uniform State Laws)—drafted uniform law that would govern the use of electronic signatures,UETA asserts that”an electronic record or signature may not be denied legal effect or enforceability solely because it is in electronic form “, furthermore ” if a law requires a record to be in writing , an electronic record satisfies the law .“—see. ” States Move Closer On Uniform Software,Signature Laws“,E-COMMERCE,March 2000,P9。 [19]要约,是希望和他人订立合同的意思表示。见:《中华人民共和国合同法》第14条。 [20]承诺,是受要约人同意要约的意思表示。见:《中华人民共和国合同法》第21条。 [21]引自:阚凯力、张楚主编,《外国电子商务法》,北京邮电大学出版社P19。 [22]引自:阚凯力、张楚主编,《外国电子商务法》,北京邮电大学出版社P267。 [23]国际商会于1997年制订了《电传交换贸易数据统一行为的守则》,联合国贸法会1996年制订 了《电子商务示范法》,OECD等也制订了相应的一些规则。-参考:沈根荣《国际电子商务立法的发展进程及特点》,《国际商务研究》2000年第2期。 [24]“台湾家乐福公司的名称(carrefour)被弈昕电脑公司登记作为其使用网域名称。公平会后来判定该公司违反公交法第24条,因使‘家乐福公司不能使用原拥有(carrefour)为网域名称,进而丧失以消费者原来熟悉之名称进入网路争取交易之机会’。” “一般域名的争议,多是在商标法的部分,但现在的商标法并未提及网际网路,目前只有公平会可以填补法律上的漏洞。”-引自:孙晨整理《软体产业在INTERNET上的管理》,《智慧财产权管理》,台湾,2000年第12期 这就是典型的传统法律体系存在空白的情形。 [25]引自:赵廷光、皮勇“电子商务安全的几点刑法对策”,《法商研究》2000年第6期。

商务安全论文范文第6篇

中国如今的电子商务市场一直保持着40-50%的市场增长率,它的交易规模已经占到了中国消费总额的5%,并开始表现出明显的GDP拉动力。从2009年起,中国的电子商务表现出来星火燎原般的势态,可以预测的是:中国的电子商务,必将成就中国另一轮的经济飞跃。

2绪论

伴随着互联网和信息技术的飞速发展,电子商务从零到有,并逐步向高水平、规范化发展。十年来中国电子商务始终保持40-50%的高速发展,2009年的中国电子商务并为受到全球金融危机的影响,相反却在金融危机中爆发出更强的生命力和适应力。2009年中国电子商务市场规模超过35000亿元,同比增长48.5%,高于2008年的41.2%。

电子商务的安全法律是指为了保障电子商务在交易过程中的安全性,由国家政府相关部门出台的对交易过程进行保护的法律。目前,我国就电子商务安全问题已经进行了初步的法律立项实施,但是依然存在较大的漏洞和隐患,需要国家相关部门进一步加强。

安全管理是有效降低我国电子商务交易过程中存在风险的重要手段,特别是在交易过程中,交易双方进行电子合同签订,安全中心不仅要监督买方的及时付款,同时还要监督卖方是否提供与合同一致的货物。在这些交易环节中,由于网络虚拟交易的缘故,存在非常大的安全管理隐患。为了有效防止这些安全隐患的爆发,降低风险带来的损失和伤害,需要国家政府出善的法律保护制度,形成一套互相关联、互相约束的管理制度体系。

3.电子商务安全

3.1电子商务安全概述

电子商务的运行和交易是基于计算机网络平台而展开的,所以安全问题大体上可以分为计算机网络安全和电子商务系统本身交易安全。没有网络,电子商务就不可能存在,网络作为基础,其安全性与电子商务安关系密切,在网络安全的前提下,电子商务系统特有的设计加以保障,两者相辅相成实现电子商务的整体安全。通俗的说,电子商务的安全就是“电子”和“商务”双重要求下的安全。

3.2国内电子商务安全问题现状

3.2.1信息安全环境

2010年,由中国互联网络信息中心(CNNIC)和国家互联网应急中心(CNCERT)在京联合的《2009年中国网民网络信息安全状况调查系列报告》中显示,2009年,52%的网民曾遭遇过网络安全事件,网民处理安全事件所支出的相关服务费用共计153亿元人民币。电子商务发展所面临的信息安全问题严重。根据相关调查显示,90%以上的网民计算机遭遇过病毒、木马、黑客的攻击,电子商务交易的安全环境已经受到了严重影响。

3.2.2技术与意识现状

电子商务的安全需要信息技术和使用者意识的同步跟进和提高,才能使交易真正安全。目前国内两方面因素同时存在,导致电子商务交易安全性下降。一是技术方面:国内防御杀毒软件整体水平较低,查杀效率和效果不佳,部分电子商务平台设计存在缺陷,为电子交易安全埋下隐患。二是网民、使用者意识方面:相比于高发的网络安全事件,仍有4.4%的网民个人计算机未安装任何安全软件;不足8%的手机网民安装手机安全防护软件,网民安全意识仍有待进一步提升;

盗版软件使用泛滥;软件认知低,不懂得区分使用;交易双方欠缺诚信,即使交易在设计较为完善的电子商务平台上进行,依然存在欺骗行为。

3.2.3电子商务诚信环境

随着互联网的发展,网络购物(B2B、B2C)作为电子商务的其中分支之一,已经成为了一种消费时尚、热门购物渠道。据中国互联网络信息中心的数据显示:2009年我国网购市场交易规模为2500亿元,较2008年翻了一番。而2010年网络购物的市场规模应该已超过4300亿元。网购人群也大幅度增长,2009年至少在网上买过一次东西的中国网民数历史性地突破了1亿人,达到1.08亿人,增长46%。而在2010年,使用过网络购物的互联网用户更是接近2亿人。网络购物已经成为发展最迅速,与网民利益最相关的网络应用。

与此相比,电子商务诚信环境却不如人意,甚至随着电子商务的发展而出现恶化的局势。2010年,有近28%的互联网用户遭遇过虚假钓鱼网站、诈骗交易、交易劫持、网银被盗等针对网络购物的安全攻击。目前对我国网络购物用户威胁影响最严重的还是钓鱼网站,在网购用户所遭遇的安全威胁中有72.4%是钓鱼网站的欺骗行为,2010年1-10月,平均每天新增的与网络购物相关的钓鱼网站约为1500个。钓鱼网站的典型的诈骗方式主要分为三大类:低价诱惑、交谈诈骗、电话诈骗。

3.2.4电子商务信用管理现状

因为电子商务交易的特殊性,交易双方不曾谋面,所以关于电子商务的信用管理就显得尤为重要。为防止电子商务的欺诈行为给网民带来经济上的损失,网络企业以及第三方电子商务平台都相继实行信誉管理方法,如信誉评价和信誉等级系统的建立,网络诚信公约(自律)等等,但由于电子商务发展较晚,管理经验不足,这些方法和系统存在较多的问题,有待提升。如中国电子商务诚信评价中心推出“中国电子商务诚信评价规范”,其中的诚信红蓝标识制度,认知度极低,据调查发现,有97%人不知红蓝标识的含义。就目前而言,在线信誉评估、等级系统,在设计完善的提前下,可以较为有效的降低了交易风险,因为其交易双方的历史信用表现,信用等级都是公开信息,可以作为买卖双方交易选择的参考,且其失信成本远远大于其利益获得,好的信用必然可以提升销售量,这也从侧面迫使销售者提供最好的服务,避免了双方欺诈行为。交易讲究的诚信,信誉系统能最有效地维持双方可信的商务关系。如目前国内最大的网购平台淘宝网,它的网商信誉评价和信誉等级系统相对成熟,这种评价系统“为消费者提供了诚信、安全的购物保障,大大提升了网络购物体验”。但它依然存在相当多的问题,信用评价流程不合理,在买到相对低劣的产品时,你选择退货的同时就丧失了评价的权利,两者只能选其一,那到底是留着不需要的产品而去评价,还是选择退货?恶意中差评现象猖獗,甚至出现恶意差评师这一职业,严重影响公平竞争。另外对于返修产品缺乏保障,笔者就遇到过产品寄回返修,迟迟没有反应,损害消费者利益。信用可信度有待验证,专业刷钻组织的出现,使得信用体系的可靠性降低。

4电子商务安全立法现状

电子商务因其带来的经济效益和流行发展趋势而备受关注,其安全立法问题也得到了国际性组织和各国政府的高度重视,尽快营造全球范围内的电子商务安全法律环境已成为国际社会的共识。要创造一个适应和规范电子商务安全交易、发展的法律境,政府部门职责首当其冲,在电子商务发展的监管和安全立法中发挥其主导作用。及时了解电子商务即时情况,制定出台相应的安全保障法律法规,鼓励、引导、电子商务健康发展,规范、维持必要的网络市场秩序,这已经成为当前世界各国立法工作的重要任务。电子商务的广泛性和无界性使得世界各国纷纷出台相应法律、行为准则和规范办法来推动本国电子商务安全、健康的发展,旨在抓住信息技术的机遇,提高自身竞争力,从而会的优势,同时也减少电子商务的交易纠纷、欺诈行为,保障了交易的安全性,为电子商务在全球范围内的发展扫平障碍。

4.1当前电子商务安全法律、制度尚不完善

电子商务因其基础网络这个开放又隐蔽的环境,而显得比较特殊,其商贸交易行为需要有专门的法律来规范和秩序的维持,目前我国已经相继出台了部分法律法规、行为准则,设立了相应的部门来规范、监管和保证电子商务的安全。但与国际电子商务立法现状和国内电子商务现实状况相比,显得比较尴尬。我国电子商务安全法律体系仍然存在较多空白,强针对性的立法需要加快,先行法规则亟需进一步改进和完善。电子商务安全法律的不足之处有:电子交易流程行为规范、用户隐私保护、法律效力不足,法律滞后,情况描述不清,没有有效惩戒措施,难以对电子商务中的失信者和破坏者造成较强的约束力。因此强快电子商务安全法律立法和改进已经迫在眉睫。

4.2现有电子商务安全法律

现行电子商务安全法律,具有较强针对性质的较少,大多分散各类法规之中,或是零星提及电子交易安全问题,目前电子商务交易安全的法律法规主要有以下四类:

(1)综合性的法律。如:《民法通则》和《刑法》中有关对商贸交易的安全保障条文。

(2)对交易主体进行规范的相关法律。如《公司法》、《国有企业法》、《集体企业法》、《私营企业法》、《外资企业法》等;

(3)规范交易行为的有关法律,包括经济合同法、产品质量法、价格法、消费者权益保障法,反不正当竞争法等等

(4)对监督交易行为进行规范的法律,如会计法、票据法、银行法等。

国务院颁布的《中华人民共和国计算机信息网络国际联网管理暂行规定》和公安部颁发的《计算机信息网络国际联网安全保护管理办法》是两个对电子商务具有重大影响的行政法规。

另外《中华人民共和国电子签名法》的颁布也具有重要意义。该法赋予电子签名与手写签名或盖章具有同等的法律效力,明确了电子认证服务的市场准入制度,标志着我国的信息化立法迈出重要步伐。

4.3电子商务安全立法困难的原因

电子商务发展壮大为商贸交易带来极大便捷和迅速优越性,成为了经济的强劲增长点,为全球经济的发展营造了良好的氛围,与此同时,因为其特点,也对社会各个领域特别是立法带来了困难和压力。

首先电子商务的立法,需要考虑国家和地区之间的差异,协调困难。电子商务基于网络,而网络却已经全球联通、跨越了地域的界限。它所面对的不只是一个地区、一个国家的市场,而是全球一体化的大市场。各国由于社会制度、政治状况、经济发展程度等不同而导致了现行法律法规的不同,要制定可以有效协调、高度一体化的商业和法律规则,谈何容易。

其次是电子商务交易处理、传输的实质就是对信号脉冲的传输和对数字流的处理,这种虚拟的平台上,双方的不曾谋面,使得信息资源对商家的商业信用提出了更高的要求。在信息得到广泛传播的同时,由于互联网既开放又隐蔽的特性使得信息的真伪有待验证,恶意的攻击、恶意的失信难以发现,即使发现也难以揪出终端背后的那个失信或破坏者,有法难断或者有法却找不到应受惩罚的人,而且对于包括制作版权、著作权、商标使用权、数据库等在内的知识产权保护也成为无法回避的问题。电子商务横跨领域之广、利益关联群体之多,和其有别于传统商务模式的无形化给税收体制及税收管理模式也带来了巨大的挑战。

再次,电子信息领域,技术日新月异,电子商务领域的技术进步速度已经超国家适时地调整其法律框架的能力。法律的变革无法做到像电子技术更新一样的快,也由于新的意想不到的问题的不断出现,使得适时的法律调整总跟不上电子商务高速发展的步伐。这是需要我们对于现行法律框架从根本上进行反思,困难而想而知。

5电子商务安全立法的对策研究

5.1电子商务安全需求分析

5.1.1主要内容

电子商务是网上公开直接虚拟交易的商务模式,它直接通过网络进行交易、支付、谈判、下单等,在这个过程中蕴藏了大量的商务信息,所以,电子商务的安全问题引起了网民、企业、行业、国家的广泛观众。根据电子商务的交易模式以及重要性分析,电子商务的安全需求主要包括以下几个方面:

1、信息的完整性;

2、信息的保密性;

3、信息的不可否认性;

4、交易双方的真实身份信息;

5、系统的可靠性;

6、资金的安全性。

5.1.2涉及领域

通过吸收国外成功的经验,结合我国自身电子商务发展特色以及社会主义国情特色,我国电子商务安全性的立法主要涉及以下几大方面:

1、保护消费者的合法权益;

2、交易双方的个人真实信息;

3、保密和信息的合法性访问;

4、数字签名以及第三方认证;

5、计算机犯罪和侵犯问题的有效控制。

5.2电子商务安全立法定位与模式

电子商务的安全法律保障问题,从其整体情况来看,主要表现为两大层次:第一,电子商务首先表现的是商品交易模式,它的安全需要通过民商法来进行规范保护;第二,电子商务是通过计算机及网络技术实现的,它的安全很大程度上依赖于计算机及网络的自身安全程度,这需要网络的安全管理法律来加以约束和保护。从第一点的角度来看,电子商务安全法律隶属于商法的范围。

因此,在立法过程中,重点还是需要从商法的角度,结合其依托计算机网络技术的特色,从全面化的角度出发,制定出高效规范的电子商务安全法律。

从电子商务安全立法的模式角度出发,电子商务的安全法律主要有以下两种选择:第一,在电子商务交易活动的法律中加入电子商务安全性法律内容;第二,另外指定电子商务安全单行法。这两种模式都有各自的优点和缺点,前者的立法成本低但是保护力度不够强,后者的立法程序复杂,所需资源多,但是保护力度大。在实际操作中,到底选择哪种模式,也是当下法律界正在研究分析的重点问题。本文提出的建议是分为两步走:先采用第一种模式,等条件成熟后而且又加强的需要,再进行第二种模式的立法。这样不仅可以快速成立相关法律体系,同时也可有效解决资源浪费的问题。

5.3我国电子商务安全性立法的对策分析

5.3.1健全电子商务法律,注重法律的滞后性

健全的电子商务立法体系不仅要包括有网络服务和网络管理的法律制度,同时还需要电子商务主体的立法和市场管理制度,以及电子商务交易支付的法律制度、网上商务行为制度、电子税法制度、客户个人隐私权保护法。只有建立系统性的法律制度,才能真正发挥电子商务安全法的作用。

在加强电子商务安全法建设的同时,同时也应该注重法律的滞后性带来的法律效力减弱。法律的滞后性首先表现为法律立法的程序,这是个严格的过程,需要问题显现的非常明白,并对该问题进行有充分的调研数据后,才可能形成立法的基本条件和背景,这个过程是繁琐的,是复杂的,是需要长时间的。另外,法律要建立起威信,必须较长的时间,在这段长时间里,网络的发展是非常快的,会发生不同程度内容的问题,而且这些问题会经常超过法律设定的范围,这些问题在客观上都表现为电子商务法律的滞后性,使得法律无法体现超前性,大大降低了法律的约束作用。

5.3.2加强立法部门对于电子商务的学习了解

立法部门在实际的工作经验中,可能只是了解法律相关体系知识,对于电子商务交易模式、支付模式等相关内容可能存在误解或者不了解的情况,这容易导致立法部门在立法的过程中,过于偏向法律的可行性,而忽略了电子商务法律的可行性。所以,加强立法部门对于电子商务的学习了解,使其真正深入了解电子商务整体运营过程以及涉及内容、存在的漏洞、需要加强的节点以及关联的群体等内容,从根本上制定高效可行规范的电子商务安全法律,从而降低因误解带来的时间拖延、资源耗费等其他损失。

另外,加强立法部门对于电子商务的学习了解的同时,应加强立法部门工作人员对于电子商务立法的重视度,从思想上加强工作人员对于电子商务安全立法的注重,从而加快电子商务安全立法的实施进度。

5.2.3系统化完善,架构法律体系

我国电子商务的飞速发展,对电子商务中的安全问题提出了更高的要求。在建立我国电子商务安全法律时,应多加考虑它与其他法律之间的关联度,从而架构其整体法律体系,进一步完善安全法律的有效性。具体内容如下:

1、在中国民法基本法原有的基础上,增加交易安全的理念和内容;

2、在计算机与网络安全管理的立法上,应针对电子商务在网络虚拟环境下运行的特点,加强电子商务交易安全保护的法律措施。

3、在商事单行法的立法上,可以适当突破现有民法的一些制度,基于商法的特殊性及独立性,满足电子商务较高的安全保护需求。

4、在法律解释上,全面清理我国最高人民法院作出的司法解释,剔除掉不利于电子商务安全的言论,对电子商务的安全问题进行重新正确的认识和解释。

5.2.4配套奖惩措施,提高安全法律威信度

奖惩措施是任何制度得以有效实施的保障制度,这里的奖惩措施具有两个重要的含义:

第一,是对电子商务安全制度在实施过程出现的良性事件和恶性事件进行适当的奖励和惩罚,或是进行高度的奖励和惩罚,从而在加强良性循环的同时,对制度实施过程中的恶性事件作出严厉的惩罚,起到杀一儆百的作用,从而有效提高电子商务安全立法的实施力度和效果。

第二,是对进行非法盗取电子商务信息或是破坏电子商务交易的不法分子进行严厉的法律制裁,以及对保护电子商务安全的良好事迹进行表扬。我国目前针对盗取电子商务信息或是破坏电子商务交易的不法分子还未建立有效的不法分子,才会使得这些不法分子妄想钻空子、踩地雷,这也是导致我国电子商务安全出现问题的一大关键因素。因此,建立电子商务奖惩措施,有利于提高对不法分子的控制以及提高人民对电子商务安全的保护意识。

5.2.5借鉴国外成功经验,结合自身特色国情

电子商务是全球性的电子商务,它是无国界、无种族之分的。所以,我国在建立电子商务安全法律时,可立足于国际立法的趋同性取向,借鉴国外成功的电子商务安全法律制度经验,并且结合我国的自身特色国情。中国的电子商务安全法律,只有争取与国际立法接轨,才能参与全球性的经济竞争。例如,新加坡在制定《电子&交易法案》时几乎全部采用了《电子商务示范法》的相关内容,同时根据《电子商务示范法》的总体精神以及自身国情,增加了部分内容。所以,我国在制定电子商务安全法律时,应尽量吸收国外原有的成果,再结合我国的特色国情,在降低立法成本、节省立法时间的同时,也提高电子商务安全法律的高效性和实用性。

6总结和展望

电子商务的安全问题是关系到电子商务能否继续发展的关键因素。随着我国计算机网络科学的逐步发展,某些非法分子对于电子商务安全模式已经越来越熟悉,如果电子商务再不加强安全防范以及法律法规的严加约束,电子商务的安全将成为我国经济法律的一大问题,这对我国经济、网民、电子商务企业来说都是非常不利的。因此,尽快建立我国的电子商务安全立法,建立有效可行的电子商务安全法律法规,从国家政治制度角度出发,为我国的电子商务发展进行强而有力的安全管束,以促进我国电子商务行业稳步健康的发展。随着我国电子商务的飞速发展,已经在我国人民生活中扮演的越来越重要的角色,电子商务的安全立法问题已经成为我国法政界、金融界和学术界共同关注的热点问题,因此,研究我国电子商务安全立法工作,建立科学高效的电子商务安全法律,为我国的电子商务的稳步健康发展奠定良好的基础,具有非常重要的理论意义和实践意义。

本文研究的主要贡献在于:探讨了我国电子商务安全现状以及立法存在的问题与对策。本研究以电子商务基本概念和特色为理论基础,通过对我国电子商务的安全现状进行分析,从而形成本研究的整体背景,接着分析我国安全立法的现状以及存在的问题,最后结合自身所学知识,提出改善我国电子商务安全法律的对策,希望对电子商务安全立法工作的开展能提供一些帮助。但是由于水平的限制以及实际经验的不足,加上我国目前电子商务法律问题整体上处于不成熟与多样化的阶段,使得本文在研究过程中遇到一些困难,加上文字功底不够等等,影响到了研究的效果,使得论文尚有以下不足之处:

1、研究过程中,对于我国电子商务安全现状只选取了几个主要的现状进行描述,考虑到本研究报告的篇幅问题,并没有对全部的现状进行描述。

2、在对我国电子商务安全立法的现状进行分析时,只对我国电子商务安全问题的难点以及现状进行代表性的描述,并未形成系统化的描述。

商务安全论文范文第7篇

1.电子商务与移动电子商务概念

电子商务(ElectronicCommerce,简称E-commerce)是在因特网开放的网络环境下,基于浏览器或服务器应用方式,买卖双方不谋面地进行各种商贸活动,实现消费者的网上购物、商户之间的网上交易和在线电子支付,以及各种商务活动、交易活动、金融活动和相关的综合服务活动的一种新型的商业运营模式。

移动电子商务(M-Commerce),它由电子商务(E-Commerce)的概念衍生出来,是通过手机、PDA(个人数字助理)、呼机等移动通信设备与因特网有机结合所进行的电子商务活动。移动电子商务能提供以下服务:PIM(个人信息服务)、银行业务、交易、购物、基于位置的服务、娱乐等。移动电子商务因其快捷方便、无所不在的特点,已经成为电子商务发展的新方向。因为只有移动电子商务才能在任何地方、任何时间,真正解决做生意的问题。

截至2008年4月,中国移动电话用户合计5.84亿,移动电话用户数与固定电话用户数的差距拉大到2.24亿户,移动电话用户在电话用户总数中所占的比重达到61.9%。移动电话普及率已达41.6%。

移动电子商务与传统的主要通过桌面电脑网络平台而运行和开展的电子商务相比,拥有更为广泛的潜在用户基础。当前,中国互联网用户虽然已经超过2亿,但同时手机用户却相比多了3亿多用户,此外根据资料还有数量庞大的PDA用户群,因此,移动电子商务具有比非移动电子商务更为广阔的市场前景。

2.移动电子商务信息系统安全概念

移动电子商务信息系统安全问题是动态发展的,如防范病毒的措施,往往不可能一次成功更不可能一劳永逸。由于移动电子商务信息系统是以移动通信网络与计算机网络共同构建的平台为商务活动平台,因此它不可避免面临着一系列的由移动通讯网络和计算机网络相关的安全问题。移动电子商务给商务活动带来了诸多便利,如缩短了商务活动时间、降低了商务成本、提高了响应市场的效率等等。计算机网络为主体的有线网络安全的技术手段并不能完全适用于无线的移动网络环境,由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序,因此,有效抵制手机病毒的防护软件目前还不是很成熟。

3.移动电子商务信息系统安全类型

移动电子商务信息系统安全威胁种类繁多,可以有多种可能的潜在面,既有蓄意违法而致的威胁;也有无意疏忽造成的安全漏洞。另外还有如:非法使用移动终端、移动通讯公司工作人员不慎泄露客户信息而致、窃听等均有可能导致不同程度和后果的移动电子商务安全威胁。大体我们可以分为以下几个情况:

第一,移动通讯网络本身导致重要商务信息外泄:移动无线信道是一个开放性的信道,它给移动无线用户带来通讯的自由和灵活性的同时,同时也伴随着很多不安全因素:如通讯双方商务内容容易被窃听、通讯双方的身份容易被假冒,以及通讯内容容易被篡改等。在移动无线通讯过程中,所有通讯内容(如:通话信息,身份信息,数据信息等)都是通过移动无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取移动无线信道上传输的内容。这对于移动无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。在移动电子商务信息系统中商业机密的泄漏表现,主要有两个方面:商务活动双方进行商务活动的核心机密内容被第三方意外获得或窃取;交易一方提供给另一方使用的商务文件被第三方非正常使用。

第二,移动通讯设备传播的病毒的侵犯:病毒是目前威胁移动电子商务用户的主要因素之一,随着移动网络应用的深入扩展,移动电子商务的规模愈趋增大,移动电子商务用户也越来越多地面临着各类病毒黑客攻击风险。与病毒齐名的是黑客侵扰和攻击,由于各种网络黑客应用软件工具的传播,黑客与黑客行为己经大众化了,他们利用操作系统和网络的漏洞、缺陷,从网络的外部非法侵入,进行侵扰和不法行为,对移动电子商务安全造成很大隐患。

第三,移动通讯网路漫游而致的威胁:无线网路中的危害安全者不需要寻找攻击对象,攻击对象在某种条件下会漫游到攻击者所在的小区。在终端用户不知情的情况下,信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险,没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立,使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书,攻击者可以利用该漏洞来获利。

第四,垃圾信息(或称垃圾短信):在移动通讯系统及设备带给广大人们便利和效率的同时,也带来了很多烦恼,其中尤其难以控制的就是铺天盖地而来的垃圾短信广告打扰着我们的生活、工作和学习。在移动用户进行商业交易时,会把手机号码留给对方。有的移动用户喜欢把手机号码公布在网上。这些都是其他公司获取大量手机用户号码的渠道所在。垃圾短信使得人们对移动电子商务充满不信任和反感,而不敢在网络上使用自己的移动设备从事商务活动。

二、提升移动电子商务信息系统安全的趋势与必然性

1.移动商务是电子商务发展的必然趋势

在未来几年中,伴随着无线网络的日益普及,移动计算设备将变得很普及。计算机技术和无线技术的结合将成为最终趋势,电子商务也将向移动商务过渡。中国在电子商务的发展方面要落后于发达国家,但随着观念的改变和技术的进步,中国越来越多地参与到世界经济发展的各个环节。中国要想在商务模式变革的过程中取得成功,关键是要准确分析市场趋势并把握市场先机。移动商务中关键的一点以用户为中心,如果能成功把握住移动个性化方面的市场先机,则完全有可能成为移动商务的规则制订者,从而摆脱以往的模仿。

2.我国高速发展的移动通讯网络要求提升移动电子商务信息系统安全性

2007年,全国电话用户新增8389.1万户,总数突破9亿户,达到91273.4万户。移

动电话用户在电话用户总数中所占的比重达到60.0%,移动电话用户与固定电话用户的差距拉大到18183.8万户。

2007年12月中国互联网络信息中心(CNNIC)《第21次中国互联网络发展状况统计报告》。报告显示,截至2007年底,我国网民人数达到了2.1亿,占中国人口总数的16%。调查反映出基于网络的商务安全问题,调查网民对互联网最反感的方面是:网络病毒29.8%,网络入侵或攻击(有木马)17.3%等。可以说我国2亿多网民在网络上,信息安全问题是比较普遍的,因此,我国高速发展的互联网络客观上也要求提升商务信息系统安全。

美国安全软件公司McAfee2008年公布的最新调查结果显示,虽然手机病毒和攻击现在还不普遍,但随着越来越多的用户通过手机访问互联网和下载文件,手机病毒出现的概率将越来越大。McAfee公司公布的调查结果显示,只有2.1%的被调查者曾经自己遭遇手机病毒,而听说过其他手机用户遭遇病毒的被调查者也只有11.6%。McAfee在英国、美国和日本共调查了2000名手机用户,结果发现86.3%的用户对于手机病毒没有任何概念。

当前我国移动用户数保持世界第一,网民数为世界第二,我国高速发展的移动通讯网络要求提升移动电子商务信息系统安全性。

3.利用加密函数技术加强和完善高效高安全性的移动电子商务信息系统

在这个网络互联技术、移动通讯技术告诉前行的时代,信息安全尤其是电子商务信息的保密工作变得越来越至关重要,这无疑给密码学的研究带来了巨大推动。为提高移动通讯网络与互联网为平台的移动电子商务服务质量,维护移动电子商务信息提供者的权益,信息安全越来越得到人们的关注。笔者认为,研究布尔函数各种性质,特别是研究对抵抗相关攻击的相关免疫函数类、抗线性分析的Hent函数与Hash函数,无疑是具有很强的现实意义的。

(1)Hash函数加密技术概述及应用

Hash函数加密技术主要用于信息安全领域中加密算法,它能把一些不同长度的信息转化成杂乱的128位的编码里,叫做HASH值。Hash就是为了找到一种数据内容和数据存放地址之间的映射关系密码学上的Hash函数是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。Hash函数可用于数字签名、消息的完整性检测、消息的起源认证检测等。安全的Hash函数的存在性依赖于单项函数的存在性。Hash算法被普遍应用于数字安全的几乎所有方面,如登录办公室局域网、进入个人邮箱和安全页面都要用它来保护用户的密码;电子签名系统利用它来认证客户及其发来的信息。

(2)bent函数加密技术概述及应用

在密码学中,为了抵抗最佳线性逼近,人们引人了Bent函数的概念,bent函数具有最高非线性度,在密码、编码理论等方面理论中有着重要应用,因而成为当前密码学界研究信息安全保密技术的热点。对Bent函数的构造可以分为间接构造和直接构造。直接构造方法主要有2种:一种是MM类;另一种是PS类,这两种属于直接构造方法。bent函数具有最高的非线性度,但它的相关免疫阶为0,为了使bent具有更好的密码学性质和实际应用价值,学者们提出了bent函数的变种,如Hyper-bent,Semi-bent等。

总之,移动电子商务信息系统安全是个多角度、多因素、多学科的问题,它不单要求从保密安全技术方面,同时也要求我们从技术之外的社会等因素考虑解决。

参考文献:

[1]赵永刚:解析“三角经营商法”[J].商场现代化,2004(15)

[2]姬志刚:计算机、网络与信息社会.科技咨询导报[J].2006(20)

[3]邱显杰:关于Bent函数的研究.湘潭大学[D],2002

[4]戴方虎等:Internet的移动访问技术研究.计算机科学,2000(3)

[5]肖皇培张国基:基于Hash函数的报文鉴别方法[J].计算机工程,2007,(06)

[6]苏桂平刘争春吕述望:Hash函数在信息安全中随机序列发生器中的应用[J].计算机工程与应用,2005,(11)

商务安全论文范文第8篇

关键词:电子商务;身份认证;防火墙

一、有关电子商务的安全性要求

1.对电子商务活动安全性的要求:

(1)服务的有效性要求。电子商务系统应能防止服务失败情况的发生,预防由于网络故障和病毒发作等因素产生的系统停止服务等情况,保证交易数据能准确快速的传送。

(2)交易信息的保密性要求。电子商务系统应对用户所传送的信息进行有效的加密,防止因信息被截取破译,同时要防止信息被越权访问。

(3)数据完整性要求。数字完整性是指在数据处理过程中,原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正,交易的文件是不可被修改的,否则必然会损害一方的商业利益。

(4)身份认证的要求。电子商务系统应提供安全有效的身份认证机制,确保交易双方的信息都是合法有效的,以免发生交易纠纷时提供法律依据。

2.电子商务的主要安全要素

(1)信息真实性、有效性。电子商务以电子形式取代了纸张,如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

(2)信息机密性。电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。

(3)信息完整性。电子商务简化了贸易过程,减少了人为的干预,同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。因此,电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

(4)信息可靠性、可鉴别性和不可抵赖性。可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可否认要求即是能建立有效的责任机制,防止实体否认其行为;可控性要求即是能控制使用资源的人或实体的使用方式。在传统的纸面贸易中,贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。

在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。在internet上每个人都是匿名的,电子商务系统应充分保证原发方在发送数据后不能抵赖;接收方在接收数据后也不能抵赖。

二、电子商务采用的主要安全技术

1.网络节点的安全

防火墙是一种由计算机硬件和软件的组合,使互联网与内部网之间建立起一个安全网关,从而保护内部网免受非法用户的侵入,它其实就是一个把互联网与内部网(通常指局域网或城域网)隔开的屏障。防火墙的应用可以有效的减少黑客的入侵及攻击,为电子商务的施展提供一个相对更安全的平台。

防火墙是在连接Internet和Intranet保证安全最为有效的方法,防火墙能够有效地监视网络的通信信息,并记忆通信状态,从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能,制定正确的安全策略,将能提供一个安全、高效的Intranet系统。应给予特别注意的是,防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合,它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源,这种安全策略应包括:规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施,以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统,而没有全面的安全策略,那么防火墙就形同虚设。

2.通讯的安全

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接,所传递的重要信息都是经过加密的,这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度,也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制,SSL首先要求服务器向浏览器出示它的证书,证书包括一个公钥,由一家可信证书授权机构(CA中心)签发。浏览器要验征服务器证书的正确性,必须事先安装签发机构提供的基础公共密钥(PKI)。验证个人证书是为了验证来访者的合法身份,而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载可以在访问之前或访问时)。验证此证书是合法的服务器证书通过后利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥,然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。[论/文/网LunWenNet/Com]

3.应用程序的安全性

即使正确地配置了访问控制规则,要满足计算机系统的安全性也是不充分的,因为编程错误也可能引致攻击。程序错误有以下几种形式:程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件,特别是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行,而不是只有有限的指令子集在特权模式下运行,其他的部分只有缩小的许可;程序员从这个特权程序使用范围内建立一个资源,如一个文件和目录。不是显式地设置访问控制(最少许可),程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令,特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如,缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为,才能发现像这些问题一样的错误。

4.用户的认证管理

(1)身份认证。电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现。CA证书用来认证服务器的身份,IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能,所以只采用ID号和密码口令的身份确认机制。

(2)CA证书。要在网上确认交易各方的身份以及保证交易的不可否认性,需要一份数字证书进行验证,这份数字证书就是CA证书,它由认证授权中心(CA中心)发行。认证中心(CA)就是承担网上安全交易认证服务,能签发数字证书,并能确认用户身份的服务机构。认证中心通常是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。CA中心一般是社会公认的可靠组织,它对个人、组织进行审核后,为其发放数字证书,证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书,实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。

(3)安全套接层SSL协议。安全套接层SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。

SSL通过数字签名和数字证书来实行身份验证,数字证书是从认证机构(CA,CertificateAuthority)获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书者的名称、证书所有者的公开密钥、证书者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。

SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道;在该通道上可透明加载任何高层应用协议(如Ht2tp、Ftp、Telnet等)以保证应用层数据传输的安全性。SSL协议握手流程由两个阶段组成:服务器认证和用户认证。

三、电子商务安全需要进一步完善的配套措施

电子商务要真正成为一种主导的商务模式,尤其对发展中的中国来说,发展电子商务,就必须从以下几个方面来完善配套措施:

(1)突破关键技术受制于人的瓶颈。

(2)我国应尽快对电子商务的有关细则进行立法。

(3)大力开发大型商务网站,发展与之相配套的物流公司。

(4)为了确保系统的安全性,除了采用技术手段外,还必须建立严格的内部安全机制。

(5)建立网络安全维护日志,记录与安全性相关的信息及事件,有情况出现时便于跟踪查询。

(6)对于重要数据要及时进行备份,且对数据库中存放的数据,数据库系统应视其重要性提供不同级别的数据加密。

安全实际上就是一种风险管理。任何技术手段都不能保证100%的安全。但是,安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。电子商务的安全运行必须从多方面入手,仅在技术角度防范是远远不够的。安全只是相对的,而不是绝对的。因此,为进一步促进电子商务体系的完善和行业的健康快速发展,必须在实际运用中解决电子商务中出现的各类问题,使电子商务系统相对更安全。[论\文\网LunWenNet\Com]

参考文献:

[1]吴洋.电子商务安全方法研究[D].天津:天津大学,2006.

[2]李艳.电子商务信息安全策略研究[J].甘肃科技,2005(6).

[3]成卫青,龚俭.网络安全评估[J].计算机工程,2003(2).

[4]甘悦.浅议电子商务信息安全体系的构建[J].西北成人教育学报,2007(2).

[5]周明,黄元江,李建设.电子商务中的安全技术研究[J].株洲工学院学报,2005(1).

[6]张娟.电子商务网络安全技术探究[J].甘肃科技纵横,2005(4).

[7]赵乃真.电子商务技术与应用[M].北京:中国铁道出版社,2003.

商务安全论文范文第9篇

[关键词]移动电子商务信息安全自组网隐私法律

移动电子商务(M-Commerce),是通过手机、PDA(个人数字助理)、呼机等移动通信设备与因特网有机结合所进行的电子商务活动。移动电子商务能提供以下服务:PIM(个人信息服务)、银行业务、交易、购物、基于位置的服务、娱乐等。

移动电子商务因其快捷方便、无所不在的特点,已经成为电子商务发展的新方向。因为只有移动电子商务才能在任何地方、任何时间,真正解决做生意的问题。

但是对于任何通过无线网路(如:GSM网路)进行金融交易的用户,安全和隐私问题无疑是其关注的焦点。由于移动电子商务的特殊性,移动电子商务的安全问题尤其显得重要。尤其对于有线电子商务用户来说,通常认为物理线缆能带来更好的安全性,从而排斥使用移动电子商务。移动电子商务是一个系统工程,本文从技术、安全、隐私和法制等方面讨论了移动商务的展所面临的种种问题,并指出这些问题的有效解决是建设健康、安全的移动电子商务的重要保证。

一、移动通信新技术的驱动

1.无线应用协议(WAP)

无线应用协议WAP是无线通信和互联网技术发展的产物,它不仅为无线设备提供丰富的互联网资源,也提供了开发各种无线网路应用的途径。1998年,WAP论坛公布了WAP1.0版本,制定了一套专门为移动互联网而设计的应用协议,具有良好的开放性和互通性。随着移动通信网传输速率的显著提高,WAP论坛于2001年颁布了WAP2.0版本,该版本增加了对HTTP、TLS和TCP等互联网协议的支持,WAP的工作大大简化。WAP2.0模式有利于实现电子商务所需的端到端安全性,可以提供TLS隧道。

2.移动IP技术

移动IP技术,是指移动用户可在跨网络随意移动和漫游中,使用基于TCP/IP协议的网络时,不用修改计算机原来的IP地址,同时,也不必中断正在进行的通信。移动IP通过AAA(Authentication,Authorization,Accounting)机制,实现网络全方位的安全移动或者漫游功能。移动IP在一定程度上能够很好地支持移动商务的应用。

3.第三代(3G)移动通信系统

第三代移动通信系统,简称3G,是指将无线通信与互联网等多媒体通信结合的移动通信系统。它能够处理图像、话音、视频流等多种媒体形式,提供包括网页浏览、电话会议、电子商务等多种信息服务。与2G相比,3G产品可提供数据速率高达2Mbps的多媒体业务。在我国,以TD-SCDMA技术为基础的3G基础设施和产品的建设和研制发展迅速,我国发展3G的条件已经基本具备。由于3G带来的高速率、移动性和高安全性等特点,必然会给移动电子商务的应用带来巨大商机。

4.无线局域网(WLAN)技术

美国电子电器工程师协会IEEE在1991年就启动了WLAN标准工作组,称为IEEE802.11,并在1997年产生了WLAN标准-IEEE802.11,后来又相继推出了IEEE802.11a,IEEE802.11b和IEEE802.11g等一系列新的标准。802.11WLAN标准自公布之日起,安全问题一直是其被关注的焦点问题。802.11b采用了基于RC4算法的有线对等保密(WEP)机制,为网络业务流提供安全保障,但其加密和认证机制都存在安全漏洞。802.11i是2004年6月批准的WLAN标准,其目的是解决802.11标准中存在的安全问题。802.11i应用TKIP(Temporalkeyintegrityprotocol)加密算法和基于AES高级加密标准的CBC-MACProtocol(CCMP)。其中TKIP仍然采用RC4作为其加密算法,可以向后兼容802.11a/b/g等硬件设备。中国宽带无线IP标准工作组制订了WLAN国家标准GB15629.11,定义了无线局域网鉴别与保密基础结构WAPI,大大减少了WLAN中的安全隐患。

二、移动电子商务面临的安全威胁

尽管移动电子商务给工作效率的提高带来了诸多优势(如:减少了服务时间,降低了成本和增加了收入),但安全问题仍是移动商务推广应用的瓶颈。有线网络安全的技术手段不完全适用于无线设备,由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序。例如:目前还没有有效抵制手机病毒的防护软件。

1.网络本身的威胁

无线通信网络可以不像有线网络那样受地理环境和通信电缆的限制就可以实现开放性的通信。无线信道是一个开放性的信道,它给无线用户带来通信自由和灵活性的同时,也带来了诸多不安全因素:如通信内容容易被窃听、通信双方的身份容易被假冒,以及通信内容容易被篡改等。在无线通信过程中,所有通信内容(如:通话信息,身份信息,数据信息等)都是通过无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取无线信道上传输的内容。这对于无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。

2.无线adhoc应用的威胁

除了互联网在线应用带来的威胁外,无线装置给其移动性和通信媒体带来了新的安全问题。考虑无线装置可以组成adhoc网路。Adhoc网络和传统的移动网络有着许多不同,其中一个主要的区别就是AdHoc网络不依赖于任何固定的网络设施,而是通过移动节点间的相互协作来进行网络互联。由于其网络的结构特点,使得AdHoc网络的安全问题尤为突出。Adhoc网路的一个重要特点是网络决策是分散的,网络协议依赖于所有参与者之间的协作。敌手可以基于该种假设的信任关系入侵协作的节点。

3.网路漫游的威胁

无线网路中的攻击者不需要寻找攻击目标,攻击目标会漫游到攻击者所在的小区。在终端用户不知情的情况下,信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险,没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立,使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书。攻击者可以利用该漏洞来获利。

4.物理安全

无线设备另一个特有的威胁就是容易丢失和被窃。因为没有建筑、门锁和看管保证的物理边界安全和其小的体积,无线设备很容易丢失和被盗窃。对个人来说,移动设备的丢失意味着别人将会看到电话上的数字证书,以及其他一些重要数据。利用存储的数据,拿到无线设备的人就可以访问企业内部网络,包括Email服务器和文件系统。目前手持移动设备最大的问题就是缺少对特定用户的实体认证机制。

三、移动商务面临的隐私和法律问题

1.垃圾短信息

在移动通信给人们带来便利和效率的同时,也带来了很多烦恼,遍地而来的垃圾短信广告打扰着我们的生活。在移动用户进行商业交易时,会把手机号码留给对方。通过街头的社会调查时,也往往需要被调查者填入手机号码。甚至有的用户把手机号码公布在网上。这些都是公司获取手机号码的渠道。垃圾短信使得人们对移动商务充满恐惧,而不敢在网络上使用自己的移动设备从事商务活动。目前,还没有相关的法律法规来规范短信广告,运营商还只是在技术层面来限制垃圾短信的群发。目前,信息产业部正在起草手机短信的规章制度,相信不久的将来会还手机短信一片绿色的空间。

2.定位新业务的隐私威胁

定位是移动业务的新应用,其技术包括:全球定位系统,该种技术利用24颗GPS卫星来精确(误差在几米之内)定位地面上的人和车辆;基于手机的定位技术TOA,该技术根据从GPS返回响应信号的时间信息定位手机所处的位置。定位在受到欢迎的同时,也暴露了其不利的一面——隐私问题。移动酒吧就是一个典型的例子,当你在路上时,这种服务可以在你的PDA上列出离你最近的5个酒吧的位置和其特色。或者当你途经一个商店时,会自动向你的手机发送广告信息。定位服务在给我们带来便利的同时,也影响到了个人隐私。利用这种技术,执法部门和政府可以监听信道上的数据,并能够跟踪一个人的物理位置。

3.移动商务的法律保障

电子商务的迅猛发展推动了相关的立法工作。2005年4月1日,中国首部真正意义上的信息化法律《电子签名法》正式实施,电子签名与传统的手写签名和盖章将具有同等的法律效力,标志着我国电子商务向诚信发展迈出了第一步。《电子签名法》立法的重要目的是为了促进电子商务和电子政务的发展,增强交易的安全性。

参考文献:

[1]A.F.SalamL.Lyer:P.Palviaetal.Trustine-municationofTheACM,48(2),2005,73-77

商务安全论文范文第10篇

1.信息有效性、真实性

电子商务以电子形式取代了纸张,如何保证这种电子形式的贸易信息的有效性和真实性则是开展电子商务的前提。电子商务作为贸易的一种形式,其信息的有效性和真实性将直接关系到个人、企业或国家的经济利益和声誉。

2.信息机密性

电子商务作为贸易的一种手段,其信息直接厂代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的,商业防泄密是电子商务全面推广应用的重要保障。

3.信息完整性

电子商务简化了贸易过程,减少了人为的干预,同时也带来维护商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各信息的差异。因此,电子商务系统应充分保证数据传输、存储及电子商务完整性检查的正确和可靠。

4.信息可靠性、不可抵赖性和可鉴别性

可靠性要求即是能保证合法用户对信息和资源的使用不会被不正当地拒绝;不可抵赖性要求即是能建立有效的责任机制,防止实体否认其行为;可鉴别性要求即是能控制使用资源的人或实体的使用方式。

5.系统的可靠性

电子商务系统是计算机系统,其可靠性是防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失误或失效。

二、电子商务的信息安全技术

1.数据加密技术

加密技术用于网络安全通常有二种形式,即面向网络或面向应用服务。面向网络的加密技术通常工作在网络层或传输层,使用经过加密的数据包传送、认证网络路由及其他网络协议所需的信息,从而保证网络的连通性和可用性不受损害。面向网络应用服务的加密技术使用则是目前较为流行的加密技术的使用方法,这一类加密技术的优点在于实现相对较为简单,不需要对电子信息(数据包)所经过的网络的安全性能提出特殊要求,对电子邮件数据实现了端到端的安全保障。

1)电子商务领域常用的加密技术数字摘要(digitaldigest)

这一加密方法亦称安全Hash编码法,由RonRivest所设计。该编码法采用单向Hash函数将需加密的明文“摘要”成一串128bit的密文,这一串密文亦称为数字指纹(FingerPrint),它有固定的长度,且不同的明文摘要成密文,其结果总是不同的,而同样的明文其摘要必定一致。这样这串摘要便可成为验证明文是否是“真身”的“指纹”了。

数字签名(digitalsignature)

数字签名将数字摘要、公用密钥算法两种加密方法结合起来使用。主要方式是报文的发送方从报文文本中生成一个128位的散列值(或报文摘要),用自己的私有密钥对这个散列值进行加密来形成发送方的数字签名。然后,这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报文中计算出128位的散列值,接着再用发送方的公开密钥来对报文附加的数字签名进行解密,如果两个散列值相同,那么接收方就能确认该数字签名是发送方的,通过数字签名能够实现对原始报文的鉴别。概括的说,签名的作用有两点,一是因为自己的签名难以否认,从而确认了文件已签署这一事实;二是因为签名不易仿冒,从而确定了文件是真的这一事实。

数字时间戳(digitaltime-stamp)交

易文件中,时间是十分重要的信息。在电子交易中,需对交易文件的日期和时间信息采取安全措施,而数字时间戳服务(DTS)就能提供电子文件发表时间的安全保护。时间戳(time-stamp)是一个经加密后形成的凭证文档,它包括三个部分:需加时间戳的文件的摘要(digest);DTS收到文件的日期和时间;DTS的数字签名。

数字证书(digitalcertificate,digitalID)数字证书又称为数字凭证,是用电子手段来证实一个用户的身份和对网络资源的访问的权限。目前,最有效的认证方式是由权威的认证机构为参与电子商务的各方发放证书,证书作为网上交易参与各方的身份识别,就好象每个公民都用身份证来证明身份一样。认证中心作为电子商务交易中受信任的第三方,承担公钥体系中公钥的合法性检验的责任,是一个负责发放和管理数定证书的权威机构。因而网络中所有用户可以将自己的公钥交给这个中心,并提供自己的身份证明信息,证明自己是相应公钥的拥有者,认证中心审查用户提供的信息后,如果确认用户是合法的,就给用户一个数字证书。这样,每个成员只需和认证中心打交道,就可以查到其他成员的公钥信息了。对于在网上进行交易的双方来说,数字证书对他们之间建立信任是至关重要的。数字凭证有三种类型:个人凭证、企业(服务器)凭证、软件(开发者)凭证;大部分认证中心提供前两类凭证。

2.身份认证技术

为解决Internet的安全问题,初步形成了一套完整的Internet安全解决方案,即被广泛采用的公钥基础设施(PKI)体系结构。PKI体系结构采用证书管理公钥,通过第三方的可信机构CA,把用户的公钥和用户的其他标识信息(如名称、e-mail、身份证号等)捆绑在一起,在Internet网上验证用户的身份,PKI体系结构把公钥密码和对称密码结合起来,在Internet网上实现密钥的自动管理,保证网上数据的机密性、完整性。

1)认证系统的基本原理

利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性,可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA,CA为用户发放电子证书,用户之间利用证书来保证信息安全性和双方身份的合法性。

2)认证系统结构

整个系统是一个大的网络环境,系统从功能上基本可以划分为CA、RA和WebPublisher。

核心系统跟CA放在一个单独的封闭空间中,为了保证运行的绝对安全,其人员及制度都有严格的规定,并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时,颁发证书。

证书的登记机构RegisterAuthority,简称RA,分散在各个网上银行的地区中心。RA与网银中心有机结合,接受客户申请,并审批申请,把证书正式请求通过建设银行企业内部网发送给CA中心。

证书的公布系统WebPublisher,简称WP,置于Internet网上,是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书由CA颁发之后,CA用E-mail通知用户,然后用户须用浏览器从这里下载证书。

3.网上支付平台及支付网关

网上支付平台分为CTEC支付体系(基于CTCA/GDCS)和SET支付体系(基于CTCA/SET)。网上支付平台支付型电子商务业务提供各种支付手段,包括基于SET标准的信用卡支付方式、以及符合CTEC标准的各种支付手段。

支付网关位于公网和传统的银行网络之间,其主要功能为:将公网传来的数据包解密,并按照银行系统内部的通信协议将数据重新打包;接收银行系统内部的传回来的响应消息,将数据转换为公网传送的数据格式,并对其进行加密。此外,支付网关还具有密钥保护和证书管理等其它功能。

三、电子商务信息安全中的其它问题

1.内部安全

最近的调查表明,至少有75%的信息安全问题来自内部,在信用卡和商业诈骗中,内部人员所占的比例最大;

2.恶意代码

它们将继续对所有的网络系统构成威胁,并且,其数量将随着Internet的发展和编程环境的丰富而增多,扩散起来也更加便利,因此,造成的破坏也就越大;

3.可靠性差

目前,Internet主干网和DNS服务器的可靠性还远远不能满足人们的要求,而绝大

部分拨号PPP连接质量并不可靠,且速度很慢;

4.技术人才短缺

由于Internet和网络购物都是在近几年得到了迅猛的发展,因而,许多地方都缺乏足够的技术人才来处理其中遇到的各种问题,尤其是网络购物具有24x7(每天24小时,每周7天都能工作)的要求,因而迫切需要有一大批专业技术人员对其进行管理。如果说加密技术是电子交易安全的“硬件”,那么人才问题则可以说是“软件”。从某种意义上讲,软件的问题解决起来可能更不容易,因此,技术人才的短缺可能成为阻碍网络购物发展的一个重要因素。

5.Web服务器的保护意识差

在交易过程中对数据进行保护只是保证交易安全的一个方面。由于交易的信息均存储在服务器上,因此,即使保密信息被客户端接收之后,也必须对存储在服务器中的数据进行保护。目前,Web服务器是黑客们最喜欢攻击的目标。因此,建议尽量不要将Web服务和连接到任何内部网络,而且要定期对数据进行备份,以便于服务器被攻击之后对数据进行恢复。当然,这毕竟有些不太现实,现在许多流行的Web应用都需要Web服务器与公司的数据库进行交互式操作,这就要求服务器必须与公司内部网络相连,而这个连接也就成为黑客们从Web站点侵入企业内部网络的一条通路。虽然防火墙技术有助于对web站点进行保护,但商家却很少安装防火墙或对其缺乏有效的维护,因而没有对Web服务器进行很好的保护,这是商家的Web站点尤其要引起注意的地方。

四、与电子商务安全有关的协议技术讨论

1.SSL协议(SecureSocketsLayer)安全套接层协议———面向连接的协议。

SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性,它不能保证信息的不可抵赖性,主要适用于点对点之间的信息传输,常用WebServer方式。但它是一个面向连接的协议,在涉及多方的电子交易中,只能提供交易中客户与服务器间的双方认证,而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系。

2.SET协议(SecureElectronicTransaction)安全电子交易———专门为电子商务而设计的协议。由于SET提供了消费者、商家和银行之间的认证,确保了交易数据的安全性、完整可靠性和交易的不可否认性,特别是保证不将消费者银行卡号暴露给商家等优点,因此它成为了目前公认的信用卡/借记卡的网上交易的国际安全标准。虽然它在很多方面优于SSL协议,但仍然不能解决电子商务所遇到的全部问题。

结束语

本文分析了目前电子商务的安全需求,使用的安全技术及仍存在的问题,并指出了与电子商务安全有关的协议技术使用范围及其优缺点,但必须强调说明的是,电子商务的安全运行,仅从技术角度防范是远远不够的,还必须完善电子商务立法,以规范飞速发展的电子商务现实中存在的各类问题,从而引导和促进我国电子商务快速健康发展。

[摘要]电子商务对人类社会经济产生了重大影响,在创造巨大经济效益的同时,也从根本上改变了整个社会商务活动发展进程。我国电子商务在曲折进程中,已有很大程度的发展,同时也存在诸多问题。本文客观地分析了电子商务的安全需求、安全技术发展现状及存在的问题,对加快电子商务的发展步伐提出了一些重要思考。

[关键词]电子商务;安全需求;安全技术;

[参考文献]

①姚立新,新世纪商务:电子商务的知识发展与运作,中国发展出版社,1999年。

②《中国电子商务年鉴》2003卷。

③陈海滨,企业电子营销发展对策浅析,湖南大学学报,2001年。

商务安全论文范文第11篇

关键词:通用对象请求体系结构,电子商务,安全性,平台

SecurityinCORBA-basedElectronicCommerceSystems

LIUHai-Yan,TIANXin-Yan,TIANXin-Yu

Abstract:Electroniccommerceprovidesbusinesswithnewwaysofadvertisingandsellinggoods,services,andinformationtolargegroupsofcustomersindynamicopenelectroniccommerceenvironments.Thisarticleaddressesthetechnologiesforrealizingelectroniccommerceapplications,focusingontherelevanceoftheCORBAframeworkforthesesolutions.

KeyWords:CORBA,electroniccommerce,security,platform

1.电子商务介绍

通俗的说,所谓电子商务,就是在网上开展商务活动-当企业将它的主要业务通过企业内部网(Intranet)、外部网(Extranet)以及Internet与企业的职员、客户供销商以及合作伙伴直接相连时,其中发生的各种活动就是电子商务。电子商务是基于Internet/Intranet或局域网、广域网、包括了从销售、市场到商业信息管理的全过程。

目前,电子商务只是在对通用方针和平台意见一致的参与者间的封闭组织内进行。例如,电子数据交换(EDI)被用来在一个机构的多个分支之间,或者在建立了契约联系的机构之间安全地传输数据。而在这些早期阶段,电子商务系统只处理某几个方面的完全商务事务。

当客户可以通过他们的Web浏览器来使用的第一批基于web的商店出现时,建立了电子商务的一个更全面的概念作为Internet上传递货物和价格的方式。现在,大多数电子商务系统是基于web的,并且允许客户通过他们的web浏览器购买货物并用信用卡结帐。然而,基于web的应用程序的局限功能使得很难向客户提供全范围的服务。

未来,电子商务解决方案的需求将超过当前级别。将来的系统将必须通过多个自治的服务提供商来满足动态开放式环境中的需求,电子商务将成为一个包含多个交易实体间复杂的交互作用的分布式过程。在一个开放式市场中,有许多独立的货物和服务的供应商,并且可能有通过合并第三方提供的服务来提供服务的调解者。客户本身也可能合并随选(on-demand)产品或者服务来实现合成包。因此,现代的电子商务系统必须能集成不同种类参与系统和不同政策领域中互相不信任的用户。

2.背景及未来电子商务安全性问题

Internet的爆发增长,使得通过为一大群顾客和供应商提供一个通用通讯环境的方法可以发挥电子商务的独一无二的潜力。今天,网上有数以千计的面向消费者和面向交易的商务站点,并且这个数目正在快速增长。

从消费者的观点来看,这个大型系统积极的方面是:用户可以从相当大的产品范围内选择,并且寻找最合适的产品。提供者可以从大量的可能顾客和减少事务花费来获益。

然而,电子商务成为世界新热点,但其安全性也随着信息化的深入也随之要求愈高了。快速和不受控制的增长产生了组织和技术天性方面的不同问题。市场依旧是封闭的,并且常常没有完全符合顾客和提供者的需求。今天的电子商务系统在私人拥有的平台上运行,因此应用程序并不能互操作,也不能建立在对方的基础上。安全性和支付系统仍然不成熟,并且常常是不相称的。只有用标准的电子商务框架才能解决这些问题。

未来的电子商务系统的主要安全性问题是它们必须通过复杂的组件技术和信托关系在一个动态并开放的,从而也是不受控制的环境中操作。多数电子商务使用的电子支付系统必须很容易使用的,也必须透明地提供鉴定、完整性保护、机密性保护和认可。另外,客户和提供者之间的通讯连接必须保持数据的机密性和完整性,首先保护客户的隐私,其次是确保客户购买的服务不能被篡改。

很不幸,今天的(基于web的)电子商务系统不能迎合这些关于功能性和安全性的需求。下面的段落描述如何用CORBA来解决一些问题。

3.CORBA概述

通用对象请求体系结构(CORBA)是对象管理组织(OMG)1995年首先开发出来的一个规范。其核心部分是对象请求(ORB),是一个便于实现不同硬件和软件平台上的互操作和集成的软件总线。从软件开发者的观点来看,ORB抽象了分布式系统中远程方法调用的内在的复杂性。CORBA可以抽象网络通讯、平台的差异、编程语言等的差异,并且可以透明地提供电子商务所需的安全。另外,CORBA指定了大量CORBA服务,例如名字服务、事务服务、时间服务或安全,这些服务分别着重于分布式系统中的某些特殊方面。

图1用一种简单方式说明了CORBA的工作机理:在最初的绑定阶段,客户端应用程序通过ORB库(①,②)连接到一个活化组件或名字服务上,然后依次查询实现库中的目标对象引用(③)并当目标对象还没有运行起来时,启动这个对象(④,⑤)。目标对象引用然后就被传回客户端ORB库(⑥)。客户无论何时通过对象代码桩(⑧)调用目标方的方法(⑦),ORB库都要透明地连接到目标ORB库上(⑨),然后目标ORB库通过目标代码骨架(⑩,⑾)将请求传递给目标对象。应答通过⑾和⑦之间的链送回。

CORBA的灵活方法调用系统允许客户动态绑定到服务方上,从而使得服务灵活动态地合成,以及交互作用的调和、互操作性和购物会话过程中的状态保持都很方便。

CORBA还使得电子商务系统支持合成产品的概念和由多个提供者的相应项构成的服务包的概念。例如,一个旅行社可以提供一个包括飞机票、旅店预约、汽车租赁和旅游向导等的旅行包。

很不幸的,实际上多数CORBA的实现并没有完全遵照规范,许多服务至今仍不可用。这对安全尤其不幸,因为安全对任何基于CORBA的电子商务系统是绝对必需的。而且,不同厂商的CORBA实现并不总能完全互操作,尤其当使用别的CORBA服务时。没有定制的CORBA安全部分地或者完全不遵照使得互操作成为可能的规范。

4.CORBA安全性概述

CORBA安全性规范包括一个安全模式和为应用程序、管理程序和实现程序提供的接口和工具。规范中的通用安全互操作部分定义了通用安全性机制,使得可以安全互操作。

分布式对象系统的CORBA安全模式建立在表1所示的安全性特征的基础上。

机密性(Confidentiality)

完整性(Integrity)

可说明性(Accountability)

表1:安全性特征

CORBA安全服务规范定义了不同的对象接口,这些接口提供了下面的安全功能来增强上面提及的安全性特征(见表2)。

安全性管理:方法和范围(SecurityAdministration:PoliciesandDomains)

鉴定(Authentication)

安全性上下文制定(Securitycontextestablishment)

存取控制(Accesscontrol)

通讯保护(完整性,机密性)

Communicationsprotection(integrity,confidentiality)

安全性审计(Securityaudit)

认可(Non-repudiation)

表2:CORBA安全服务规范中的安全

实际上,特别是在电子商务中,CORBA安全服务规范中的安全服务将不可避免的过于沉重和复杂。个别电子商务系统可能有不同于最初由OMG预想中CORBA系统的特别安全性需求。值得指出的是,在这个阶段,CORBA安全是围绕分布式计算环境(DCE)而设计的,典型地都工作在类似于校园的封闭式环境中,下层平台和政策都可控制(也就是说,可以安装和管理DCE底层安全性结构)。在这种环境中,基本的安全需求是保护系统,防止未验证的使用和修改。

5.电子商务安全需求

今天的电子商务系统中,一些安全需求与类似于DCE的环境大相径庭。在DCE中,客户必须信任服务器和系统,但需保护服务器以防未验证的客户。电子商务环境中,也需要防止有恶意的会员。因此,系统必须保护客户以防恶意的服务器和另外的客户,也要保护服务器以防未验证的客户。互相不信任的参与者这个概念并不是DCE所固有的。

在传统的环境中,通过所有权来指定系统的责任,并用通过这些所有权的范围来定义信任边界。在开放式系统中,信任边界、所有权和责任范围可能不同,这引发了不同的问题。例如,商家可能负责购物过程的安全性,而不能控制客户系统。另外,也常常不能规定客户软件所运行的平台(例如,CORBA产品,Java版本,操作系统)或安全政策(例如,操作系统安全性配置)。另一方面,客户可能负责一段它并不理解的而后台透明运作的软件,而这个软件可能是由一个后来和客户发生纠纷的供应商提供的。这造成了系统中可信部分如何在供应商和客户间分配的问题。

交易的合伙人之间的契约关系应该指明风险分派,责任分派和解决纠纷的原则。就电子商务来说,我们现在必须处理可能来自一些不可信任源,并且运行在不安全的下层操作系统上的硬件和软件,因此建立这种契约关系的困难就更大了。这样的软件偶尔会失效或者恶意地运作,并且太复杂而不能成为多数终端用户的责任。

在更技巧性的层上,事务和支付需求更强的完整性和机密性保护,同时需要保证电子兑现的匿名性。也可能存在购物时可以在浏览器端下载轻量的客户应用程序的需求。在这些情况下,客户机装不上大的安全基本设施。客户端的安全政策也许也不允许购物软件永久安装在客户机上。为了使开放的电子商务能实际运作起来,安全电子商务产品需要不定制就可使用,也需要银行掩饰电子支付系统潜在的安全漏洞。

6.CORBA和电子商务安全性

CORBA安全服务规范提供了消息层完整性和负责者的鉴定/认可,这两项对电子商务应用程序都很关键。然而,OMG的电子商务域任务组织(OMG-ECDTF)为电子商务系统识别另外几种安全需求。CORBA规范中并没有下面的需求,或者由于它们仍未被提出,或者由于它们超出了CORBA所能达到的范围:

l事务审核:CORBA安全规范提供了审核数据产生,但没有提供所需数据和粒度。

l基于角色的存取控制:尽管好的粒度或者灵敏的商务交易中需要单独的存取控制,但电子商务把基于角色的存取控制作为主要形式。CORBA安全性没有提供基于角色的存取控制。

l认可:CORBA规定根据的生成,但是不提供存储根据、恢复根据和确认根据的工具。电子商务所需的完全的认可功能包括根据生成、确认、存储、恢复和递送权力。这个服务可以提供创造、起源、接收、服从、赞成、递送和行为的认可。

l完整性:应该提供将数据变成完整性所保护的数据、将完整性所保护的数据转变回原始数据、检查是否遗失完整性的功能。另外,也需要着手一些另外的完整性问题。例如,需要有一些用来防止恶意的软件,例如防止计算机病毒所做未验证的修改的机制。除消息层完整性以外,CORBA没有提供任何电子商务系统需要的其他层上的完整。

l授权:CORBA提供了使得个别责任变得容易的“扮演的授权”。然而,电子商务需要别的授权选项,例如简易授权,复合授权,组合特权授权(不允许把这些特权来追溯回某些中间节点),和追溯授权(提供了链中的授权追溯)。目前,CORBA并不要求提供这些授权模式。

l授权在安全性审核中发挥作用。它支持将一条复杂的对象请求链追溯回最初的用户。

l安全性审核库管理:审核服务可以用来保证所有的用户对他们发起的安全相关事项负责任,并保证建立、保持和保护安全相关事项的审核跟踪。另外,必须提供警告设施,并且收集、剖面、过滤、分析和查询审核数据也是可能的。CORBA目前没有提供任何审核管理功能。

l安全性管理:电子商务安全性管理应该关心以下三个范畴:管理功能的安全性、安全服务管理和安全机制管理。当前,CORBA并没有提供任何安全性管理工具。

7.基于CORBA的电子商务

CORBA作为电子商务系统的底层结构有许多优点,本节概述其中几个优点。

开放式电子商务系统的两个主要需求是互操作性和完整性。所有的客户和供应商应用程序都应该可以在一个灵活的、动态的、开放的框架中,越过不同平台,不同编程语言和商业布局来互操作。CORBA可以从开放的电子商务环境的复杂性中抽象出来。CORBA方便了电子商务系统和其它系统之间的交互作用,比如股票管理系统、会计系统、行销系统等,并使得和以前的应用程序的之间集成变得容易,例如,一个旧的股票数据库系统。

从软件开发者的观点来看,CORBA使得一切都变得比较简单,尤其是如果打算进行不同的商店配置时。CORBA抽象了网络和动态的远程商店调用,允许应用程序开发者集中精力在实际的程序上,而不是集中在底层结构的内部工作方式上。应用程序开发者可以再利用已存在系统中的部分(例如安全性系统)来开发新程序。CORBA的灵活结构也使得开发者可以实现整个商业街的一部分来迎合特殊的贸易需求,并为进一步增强系统和容易地升级这部分商业街软件提供坚实的基础。将来,个别基于CORBA的可定制的商业街组件就可用了,可以购买它,并可以很容易的将之即插即用进已存在的商业街中,来增强或升级商店系统,。

为了使得商店组件的动态互用性运转起来,一套定义良好的标准服务需要在电子商务环境下可用。例如,用来描述对象(例如货物、服务、合同、发票或帐单等)的语义需要广泛定义。因此,OMG和商业网(CommerceNet)共同定义了一系列电子商务服务的需求,也就是说,语义数据工具,选择/商议工具和支付服务。语义数据工具提供了对电子市场参与者之间语义信息交换的支持,商议服务提供了一组从事商业事务的参与者,在服务或工具的选择和配置上相互协定的支持,而电子支付工具关注支付协议的调用。

实际上,CORBA还是经常被认为是一项不成熟的技术,尤其是CORBA没有实现许多服务,例如安全。除了与不成熟的ORB实现相关的问题外,软件开发者也往往没有完全训练到可以熟练编写基于CORBA的组件的地步。就本地程序来说,基于CORBA的应用程序开发几乎与普通的应用程序开发相同,因此并没有真正造成问题,但是例如实现一个透明的提供了ORB层安全性的安全就需要专业知识。

目前,对基于CORBA的电子商务系统的评价使得这些开发足以为一些公司盈利了。例如,银行配置基于CORBA的个人银行业,或者股票交易系统可能因为它是顾客的最主要地边缘技术的服务提供者而获益。

8.结论

许多CORBA的核心概念对电子商务系统是有用的,例如,互操作性和综合性,平台、编程语言和安全机制等的灵活性,底层组件布局和网络的抽象,安全的透明性,安全性的自动增强。

商务安全论文范文第12篇

摘要电子商务的出现变革了贸易方式,在带来便利的同时也带了很多安全隐患,如何构建电子商务的安全性成为商务信息化的研究热点。分析了电子商务交易模型的安全需求,探讨了密码中间件CAPICOM在安全交易模型中的应用,讨论CAPICOM的数据结构和COM对象,指出使用标准接口的密码中间件能使电子商务应用零开销地本地化CSP。关键字密码中间件;电子商务;交易模型;信息安全;CAPICOM1前言随着Internet的不断普及,人们的消费观念和商务模式也发生了巨大了变化,人们更希望通过网络的便利来进行网络采购和交易,从而导致了(ElectronicCommerce)电子商务的出现,并在世界范围内掀起了一股热潮。但是,美国密执安大学一个调查机构通过对23000名因特网用户的调查显示[1],超过60%的人由于担心电子商务的安全问题而不愿进行网上购物。因此,研究和分析电子商务的信息安全问题,特别是针对我国国情,充分借鉴国外的先进技术和经验,开发和研究出具有独立知识产权的电子商务信息安全产品,成为目前我国电子商务的热点。2电子商务安全威胁电子商务中的安全隐患可分为如下几类[2],1.信息截获和窃取。如果没有采用加密措施或加密强度不够,攻击者可能通过因特网、电话网、电磁波辐射域内安装截收装置或在网关和路由器上截获数据等方式,窃取机密信息,或通过对信息流量和流向、通信频度和长度等参数的分析,导出有用信息,如银行帐号、密码等;2.信息篡改。如果攻击者熟悉了网络信息格式,可对网络传输的信息进行中途修改,并发往目的地,从而破坏信息完整性。如篡改信息流的次序,更改信息内容;3.信息假冒。当攻击者掌握了网络信息数据规律或解密了商务信息以后,可以假冒合法用户来欺骗其他用户,例如伪造电子邮件,虚开网站和商店,发送电子邮件,收定货单;伪造大量用户穷尽商家资源,使合法用户不能正常访问网络资源,使有严格时间要求的服务不能及时得到响应等;4.交易抵赖。交易抵赖包括多个方面,如发信者事后否认曾经发送过某条信息或内容,收信者事后否认曾经收到过某条消息或内容,购买者做了定货单不承认,商家卖出的商品因价格差而不承认原有的交易。3电子商务安全需求电子商务面临的威胁直接导致了电子商务对于信息安全的需求,也就是实现一个安全电子商务系统务必具备的信息安全品质,主要包括机密性、完整性、认证性和不可抵赖性。1.秘密性(Confidentiality),电子商务作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为开放的网络环境上的如Internet,维护商业机密是电子商务全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。2.完整性(DataIntegrity),电子商务简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息丢失、信息重复或信息传送的次序差异也会导致混乱。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。3.认证性(VerificationofIdentity),网络电子商务交易系统的特殊性,企业或个人的交易通常都是在虚拟的网络环境中进行,所以对个人或企业实体进行身份性确认成了电子商务中得很重要的一环。对人或实体的身份进行鉴别,为身份的真实性提供保证,即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某人或实体声称具有某个特定的身份时,鉴别服务将提供一种方法来验证其声明的正确性。4.不可抵赖性(Non-repudiationofDisputedCharges)。电子商务可能直接关系到贸易双方的商业交易,如何确定要进行交易的贸易方的确是进行交易所期望的贸易方这一问题则是保证电子商务顺利进行的关键。在传统纸面贸易中,双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴,确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也就是人们常说的"白纸黑字"。在无纸化的电子商务方式下,通过手写签名和印章进行贸易方的鉴别已是不可能的。因此,要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识[3]。4密码中间件和CAPICOM中间件是独立的系统软件或服务程序,它屏蔽了操作系统和网络协议的差异,并提供相应的平台以满足不同领域的需要。它成功地解决了网络计算和分布计算环境下资源的通信,共享,管理,控制等问题[3]。其技术本身很复杂,技术标准多,产品多。在Windows技术体系下,应用最为广泛的是DEC/RPC标准下的COM/DCOM,和DNA标准下的COM。在诸多行业应用中,信息安全特性已成为软件的一个重要品质,密码服务也成为一个重要的构件支撑,基于中间件技术来构造密码中间件成为当前的主流技术路线,涌现出相当成功的产品,如微软的CAPICOM,SUN的CryptoJava。Windows操作系统采用分层的加密体系模型CSP密码服务提供者(CryptographicServiceProvider)架设系统安全。CSP提供了齐全的具有密码功能的Win32API函数供程序员调用,称为CryptoAPI。然而,调用CryptAPI完成密码操作仍然相当复杂。[5]使用COM,开发人员可以把注意力集中在解决用户所需要的问题上.而不用关心网络协议等底层结构的细节。[4]微软提供了CAPICOM组件,它以COM对象的形式封装了上述的复杂操作,使用它获取密码服务更方便。因为在不同的开发环境中,往往先要对API函数进行某种封装或转换,这增加了使用难度,CAPICOM以中间件的形式提供了一个标准的密码应用层接口,是介于应用与CSP之间的中间层,使得应用与CSP具有逻辑独立性。在工作时,CAPICOM按一定顺序列检索CSP。首先检查缺省CSP是否支持用户指定的算法及密钥长度,如果失败,则搜索系统提供的CSP,并判断其是否支持指定的算法和密钥长度,直至遍历完所有CSP。两者关系如图1所示。5安全电子商务交易模型安全电子商务交易模型从组成来讲一般有以下几个组件[6]:(1)电子商店作为电子经济中买卖发生的场所,它从传统的市场渠道中取得价值。(2)信息中介是内容、信息、知识及经验的商,能够成为某一特定电子商务领域增加价值。(3)信用中介是在买卖双方建立信用的机构。(4)电子商务实施者为其他电子商店或信息中介提供组件、功能及相关服务,使得电子商务得以进行或者进行得更好。(5)基础设施供应商作为由跨越不同领域机构,如NII(国家信息化设施),PKI(公钥基础设施)等,它们来提供网络应用平台和安全交易全环境。从电子商务系统的架构上来分类[6],主要有B2B和B2C。B2B模式下参与的双方都是企业,特点是定单数量大,平均在75000美元,需要商业洽谈,按照固定合同条款和商业规则进行交易。信用开始是依托信用卡,尔后需要更复杂的银行信用管理系统,基础设施包括局域网、定制的目录和流程规则;B2C模式下是顾客直接与商家接触,特点是定单数量小,平均在75美元,主要是按价目表或者固定价格,属于冲动购买或者偶尔购买,所以广告的作用很大。信用依靠消费者信用卡,基础设施主要是互联网的链接。仅就交易工作流而言,它有很多业务需求如:客户管理,商品浏览,身份认证,订单管理,配送和转账等,本文当中,重点讨论在密码服务和安全性上的需求,通过实施安全性措施,确保在交易的生命周期当中,在交易信息的运动过程中,敏感信息不会丧失信息安全性。6CAPICOM的应用在交易流程中,证书的操作主要有:证书库的打开,证书检索,证书验证,证书加密数据和数字签名CryptoAPI只提供了基本的密码函数,对于数字证书很少涉及,而CAPICOM组件对这些高层应用服务提供了方便的接口。图4十六进制形式密文和解密结果WINDOWS平台中,证书存于证书库CertStore的结构中,使用时必检索证书库,取得证书句柄,获得证书的基本信息如:有效期,公钥等,同时,还要对证书的有效性进行验证。私钥存于密钥容器中(KeyContainer),有对应私钥的证书,还存有私钥容器的句柄。[4]默认的证书库有4个:Trust,My,CA,Root,其中My存放了个人的证书,其中还有私钥容器句柄,Trust存放了通信群体中其它人的证书,仅公钥。证书的管理必须用到CAPICOM的几个接口:IStorePtr指向证书库,ICertificates2Ptr指向证书集合,ICertificatePtr指向证书,三个接口形成操作证书的三级索引。图5验证过程6.2证书参与加密运算:保证秘密性证书加密实际是用接收方证书的公钥加密,过程有两步:用公钥加密对称密钥,用对称密钥加密数据如支付的信息:客户帐号和PIN码等。CAPICOM定义的对象IenvelopedDataPtr对两步进行了包装,对于编程人员是透明的。⑴定义数据信封IEnvelopedDataPtrpEncryptIEnvelopedData(__uuidof(EnvelopedData));IEnvelopedDataPtrpDecryptIEnvelopedData(__uuidof(EnvelopedData));⑵设定算法参数和对称密钥长度CAPICOM对密码算法的标识标准和密钥长度进行了定义,以常量形式给出。这里以RC4为例。pEncryptIEnvelopedData->Algorithm->Name=CAPICOM_ENCRYPTION_ALGORITHM_RC4;pEncryptIEnvelopedData->Algorithm->KeyLength=CAPICOM_ENCRYPTION_KEY_LENGTH_40_BITS;⑶加密bstrtemp=SysAllocStringByteLen("HelloCapicom!",14);_bstr_ta.Assign(bstrtemp);pEncryptIEnvelopedData->Content=_bstr_ta;bstrciphertext=pEncryptIEnvelopedData->Encrypt(CAPICOM_ENCODE_BINARY);⑷取出密文bstrtemp是BSTR指针,指向双字节的字符串,即以两个Bytes来存一个ASCII字符,_bstr_t类型对双字节字符串进行了对象装箱,字节数是字符数据量的两倍。加密"HelloCapicom!"后,以字符形式看密文则呈乱码形式。二进制形式则如图2所示。PCHARpCiphertext=NULL;pCiphertext=(PCHAR)bstrciphertext;printf("密文字符流:\n");PVOIDpchartemp=malloc(24);for(intk=0;k<bstrciphertext.length()*2;k){if(k$==0){memcpy((PVOID)pchartemp,pCiphertext,24);}pCiphertext;}⑸解密pDecryptIEnvelopedData->Decrypt(bstrciphertext);printf("解密后:%s\n",(PCHAR)pDecryptIEnvelopedData->Content.copy());结果如图4所示。6.3数字签名和验证:保证完整性和抗抵赖性签名是对消息哈希值进行签名,先算出数据的哈希值,再用签名者的私钥对哈希值签名,通过这个过程来保证订单信息如商品数量,品名等的完整性和非抵赖性。此步骤中,会检索MY证书库的证书,找证书公钥对应的私钥的容器句柄,再找到私钥,这对于程序员是透明的。签名和数据可以“依附”发送也可“独立”发送,接收者收到数据和签名后,重算数据的哈希值,将哈希值和数据的签名送进验证运算将会得出验证结果。CAPICOM组件,用接口ISignedDataPtr和IHashedDataPtr来封装此功能。⑴定义哈希对象和设定哈希算法IHashedDataPtrpIHashedDataPtr(__uuidof(HashedData));pIHashedDataPtr->Algorithm=CAPICOM_HASH_ALGORITHM_SHA1。⑵哈希和取哈希值哈希对象的哈希值是字符串形式的以十六进制的格式返回,SHA-1算法的哈希值为160位,即20字节,表示成HEX格式一个字节表示为两个字符,共40个ASCII字符,再用双字节字符表示。则为40个宽字符,80字节,所以哈希值的字节长度变成了80字节。如图3所示。bstrtemp=SysAllocStringByteLen("HelloCapicom!",14);_bstr_ta.Assign(bstrtemp);PCHARpchar=NULL;pIHashedDataPtr->Hash(_bstr_ta);bstrHashValue=pIHashedDataPtr->Value;⑶签名签名加入时间戳和签名者信息,还要编码成一定的格式,有时还加入了签名者的证书,故签名消息的长度取决于多个因素。而不只取决签名者的公钥长度。如以二进制编码为格式则为898字节,如图5所示。ISignedDataPtrpISignedDataPtr(__uuidof(SignedData));pISignedDataPtr->Content=pIHashedDataPtr->Value;bstrSignature=pISignedDataPtr->Sign(0,TRUE,CAPICOM_ENCODE_BINARY);⑷验证pISignedDataPtr->Content=pIHashedDataPtr->Value;pISignedDataPtr->Verify(bstrSignature,TRUE,CAPICOM_VERIFY_SIGNATURE_ONLY);如果验证不通过则会抛出异常,验证失败。如图3所示。7结束语信息安全如果涉及到国家利益和经济利益,密码算法往往需要本地化,而算法模块CSP的变动会对直接调用CSP的商务应用产生藕合变动,这是开发者所不愿见到的。有了CAPICOM中间件,[7]可以通过本地化CSP,实现本地化的密码算法,将其设定为默认的CSP,只要其遵照CSP的规范,可以和CAPICOM无缝挂接,而对上层的电子商务交易模型不要做任何修改。做到密码服务消费和密码服务生产的分隔与独立,从而实现CSP的零开销本地化。文章创新性地将CAPICOM密码中间件技术和电子商务交易模型相结合,很好地满足了电子商务的信息安全保密需求,解决应用层安全需求和底层密码服务模块本地化之间的藕合矛盾。参考文献1张硕阳等.电子商务交易中的风险来源与风险认知[A].广东:中山大学出版社,2002:187~1962张楚等.电子商务与交易安全[A].北京:中国法制出版社289~2963/library/default.asp?url=/library/en-us/seccrypto/security/setting_the_computer_default_csp.asp4微计算机信息(高世伟等,基于DCOM技术实现的控制系统,2005,21,1-2,23)5张楚等.电子商务与交易安全[A].北京:中国法制出版社276~2866冯登国.2001.密码工程实践指南.北京:清华大学出版社.[M]13~15.

商务安全论文范文第13篇

伴随经济技术的不断发展,计算机技术与电子商务间关系日益紧密。总体而言,计算机技术应以互联网、计算机网络连接等技术为基础,以更好地开展电子商务活动。从某种程度上看,计算机技术为电子商务的发展带来了极大的促进作用,计算机技术与电子商务在社会发展中的重要性日益突出。电子商务本质在于:推动商品的研发与制造,及电子通讯技术的开发应用。电子商务是以计算机为依托,以电子通讯设备为前提的商务活动,如软件设计、网上订单等。从电商交易中的安全性分析,因电子商务交易双方均是通过网络连通,以互联网为支撑的电商交易双方均处风险中,加之网络脆弱、复杂性,这种安全问题尤为突出。

2电子商务面临的风险

2.1 客户信息泄密

信息泄密,即电商交易期间,某些网络黑客或外来入侵者,在没有获得网络平台授权的情况下,擅自运用各类技术手段来截获销售商信息或商业机密,从而导致系统资源失窃。在网络系统内,系统泄密或失窃,是电子商务交易中较为常发的安全风险。

2.2 破坏系统

部分网络侵入者假借用户身份,入侵他人计算机系统;运用病毒攻击电子平台、支付系统或者是客户信息系统。例如,很多黑客借助病毒等入侵手段,攻击电商相关计算机软硬件,从而导致网络或者是服务器服务系统彻底失灵,严重时还可导致系统崩溃,给交易双方带来难以估量的损失。2.3 篡改与假冒现阶段,不少网络攻击者为达到自身目的,通常会运用技术手段及方法,肆意篡改买卖双方的传输信息,甚至恶意删除或是插入,并将该类信息传输至目的地,从而彻底破坏交易双方的信息。不少攻击者通过远程操作,还可自行更改销售方的设置信息,某些外来者还可损坏用户订单数据,另买卖双方发生纠纷;另有些外来者会借助网络产生虚假销售单,以骗取买家的钱财。

3电子商务中的计算机安全技术

3.1 安全电子交易协议

安全电子交易协议,又叫作SET协议,是为电子商务系统专门设计的认证技术。在认证期间,大多采用国际上较常使用的计算机RSA、DES算法。该认证体系相对完善,可实现多方认证,为电子商务提供可靠的保护屏障。在SET协议期间,使用者支付方面的帐户信息,卖家通常无法看到,即便银行也不清楚详细的订购内容。通过SET协议,需经历双层认证,有些客户强烈要求信用卡认证,对商家身份也是如此。此外,SET还提供交易标准,可供Internet上使用银行卡购物。该标准通常用于信用卡的交易,SET协议采用了数字信封、数字签名技术,能有效隔离电子商务交易双方的隐秘信息,增加其保密性、公正性。

3.2 数字签名与证书技术

数字签名、证书技术,是电商交易中较为重要的安全技术,它主要是运用密码算法来加密、交换数据;数字签名技术通过将Hash函数与公钥算法连接,可有效提升交易双方数据的真实性、可靠性。数字签名运用双重加密法,可达到防伪造、防抵赖之目的。电商交易过程,要求电子单证应具备可验证、防假冒及抵赖功能。数字证书技术,通常用以确认买卖双方的真实身份,多由证书管理中心来监管数字签名,可避免第三方肆意篡改交易信息。针对商家及消费者,使用信用卡时,应贯彻落实数字证书认证制度,以便安全地开展网上交易。该技术能准确判断电商交易信息的合法性,并确保交易数据的安全传输。

3.3 信息加密技术

电子商务过程采用了信息加密技术,它主要根据特定规则,将信息转变为乱码后再传递出去。对方接收时,再根据解密程序将乱码转为文字,从而获取原本的信息。在网络交易中,将各类原始数据,根据加密算法转变为与原文不同的码号,码号无法阅读,这就能够有效避免信息被他人攻取,使第三方无法肆意截取信息,提升电商交易的安全性。运用信息加密技术,可有效避免数据被破解,提升计算机系统的保密性、安全性及完整性。使用信息加密技术时,电商交易方应贯彻与技术相关的加密审查程序,做到物隔离;应及时转变数据格式,隔绝泄路径。针对某些支付、身份信息,应采取相应的加密措施。

3.4 系统维护技术

现阶段,系统维护技术种类繁多,具体包含:

(1)防火墙技术,通过在内外部网界面上设置保护层,确保用户在授权状态下进入系统。该技术可防御未授权用户的非法访问,同时还可检查网络、设定通信权限,谨防传输数据被黑客盗取。

(2)计算机病毒技术,电商交易活动相对较为开放,使得其很容易被病毒所攻击。因此,用户需安装病毒软件,并定期予以更新、杀毒,以有效隔绝病毒。针对硬件设备,交易时大多通过安装网管软件来实现管理与维护。该类软件运用计算机安全技术,在维护期间还应及时清理日志或临时文件,经常检验服务器的活动及用户注册状况,以维护电子商务系统的稳定性。

4结论

商务安全论文范文第14篇

[关键词]电子商务支付手段安全

一、前言

电子商务全球化的发展趋势中,电子商务交易的信用危机也悄然袭来,虚假交易、假冒行为、合同诈骗、侵犯消费者合法权益等各种违法违规行为屡屡发生,这些现象在很大程度上制约了我国电子商务乃至全球电子商务快速、健康发展。限制电子商务的发展主要因素就是电子支付手段的安全性。

二、主要的电子支付手段及其安全性分析

1.电子信用卡

(1)支付方式:信用卡支付是电子支付中最常用的工具,方法是在Internet环境下通过标准的SET协议进行网络支付,用户在网上发送信用卡号和密码,加密后发送到银行进行支付。支付过程中要进行用户、商家及付款要求的合法性验证。

(2)安全策略:电子信用卡,是通过用户在网上输入账号/密码+数字签名,这些信息都是通过SET或者SSL协议的支付网关平台直接与银行进行相关支付信息的安全交互,进行网络支付,这种支付方式的安全性是可以得到保证的。

(3)安全隐患:单纯从技术上来说,无安全隐患问题。

2.电子支票

(1)支付方式:电子支票是利用数字化手段进行网上支付,支付过程与传统支票的支付过程相似,只是电子支票完全抛开了纸质的媒介,其支票的形式是通过网络传播,并用数字签名代替了传统的签名方式。其交易流程如下:

(2)安全策略:和电子信用卡一样,采用账号/密码+数字签名的方式进行身份验证。其支付目前一般是通过专用网络、设备、软件及一套完整的用户识别、标准报文、数据验证等规范化协议完成数据传输,从而控制安全性,从上面的交易流程,我们可以看到,电子支票的支付在专用系统上有可靠的安全措施的。

(3)安全隐患:专用网络上的应用具有成熟的模式(例如SWIFT(环球银行金融通讯协会、SocietyforWorldwideInterbankFinancialTelecommunication)系统);公共网络上的点的资金转账仍在实验之中。

3.电子现金

(1)支付方式:电子现金是一种以数字化形式存在的现金货币,它同信用卡不一样,信用卡本身并不是货币,只是一种转账手段,而电子现金本身就是一种货币,是一种以数据形式存在的现金货币。它把现金数值转换成为一系列的加密序列数,通过这些序列数来表示现实中各种金额的币值。可以直接用来购物。电子现金具有如下特点:匿名;节省交易费用;支付灵活方便;安全存储。

(2)安全策略:没有适当的身份认证机制,是匿名的,为防止被伪造,电子现金的传输是经过数字签名的。

(3)安全隐患:①逃税:由于电子现金可以实现跨国交易,税收和洗钱将成为潜在的问题。电子现金不像真实的现金一样,流通时不会留下任何记录,税务部门很难追查,所以即使将来调整了国际税收规则,由于其不可跟踪性,电子现金很可能被不法分子用以逃税。②洗钱:电子现金使洗钱也变得很容易。因为利用电子现金可以将钱送到世界上的任何地方而不留痕迹,如果调查机关想要获取证据,需要检查网上所有的数据并破译所有的密码,这几乎是不可能的。目前惟一的办法是建立一定的密钥托管机制,使政府在一定条件下能够获得私人的密钥,而这又会损害客户的隐私权,但作为预防洗钱等违法行为的措施,许多国家已经开始了这种做法。

③扰乱金融秩序:电子现金的法律地位一直难以确定。这是因为按照货币的实质和网络无国界性来推断,各国中央银行的地位都将受到挑战,因为任何一个有实力、有信誉的全球性公司,都可以发行购买其产品或服务的数字化等价物,从而避开银行的繁琐手续和税收。而这会扰乱一国的金融秩序,任何国家都不会允许。

④重复消费:由于电子序列号可以被复制,因此需要一个大型的数据库存储用户完成的交易和E-Cash序列号以防止重复消费,这对于软件和硬件的要求都很高,因此很多银行都不支持电子现金业务。

4.移动支付

(1)支付方式:移动支付系统将为每个移动用户建立一个与其手机号码关联的支付账户,为移动用户提供了一个通过手机进行交易支付和身份认证的途径。用户通过拨打电话、发送短信或者使用WAP功能接入移动支付系统,移动支付系统将此次交易的要求传送给MASP,由MASP确定此次交易的金额,并通过移动支付系统通知用户,在用户确认后,付费方式可通过多种途径实现,如直接转入银行、用户电话账单或者实时在专用预付账户上借记,这些都将由移动支付系统来完成。

(2)安全措施:身份验证方式采用个人账号/密码的方式。对交易中的部分敏感信息进行了加密。

(3)安全隐患:①抵赖行为:手机支付的加密方式只是加密了交易过程的部分内容,没有考虑交易双方相互的身份认证和交易的不可否认性,必须把SET协议数据加密模型引入到手机支付中。②手机本身的安全性:手机支付还有其他的问题:大部分手机不具有用户身份认证模块,运算能力低,速度慢,不合适使用数字水印,由于不能进行很好的加密,而且手机信息传输是无线的,所以目前手机支付就存在比较大的安全隐患。

商务安全论文范文第15篇

(一)网络隐私权的定义

隐私这个词源于英文private,其愿意为“让我自己呆着”。隐私在不同的国家有不同的称谓,俄罗斯人认为隐私是指个人的生活,英国人则认为隐私是指个人的私生活。在我国,一般认为,隐私是一种与公共利益、群体利益无关的,当事人不愿他人知道或他人不便知道的信息,当事人不愿意他人干涉或他人不便干涉的个人私事和当事人不愿他人侵入或他人不便侵入或他人不便侵入的个人领域。人类的隐私权是人的基本权利之一,它是公民人格权利中最基本、最重要的内容之一,是伴随着人们对自身的尊严、权利、价值的产生而出现的。它的内容包括:隐私的隐瞒权、个人生活不扰权和个人资料的支配、控制以及不被非法收集、利用权。

网络隐私权是指公民在网上享有的私人生活安宁与私人信息依法受到保护,不被他人非法侵犯、知悉、搜集、复制、分开和利用的一种人格权;也指禁止在网上泄露某些与个人有关的敏感信息,包括事实、图像以及毁损的意见等。

网络隐私权一般包括以下内容:1、个人资料被收集的知情权。所谓个人资料,即指姓名、年龄、血型、种族、通讯地址、健康状况等,还应包括个人的背景资料,如个人爱好、职业、交易程度、个人信用和财产状况等。2、个人私事和个人领域的保护权(主要包括:对个人计算机的个人资料的保护和对网上通信内容的保密。)以及选择是否进行信息披露的最终决定权。3、个人资料的安全请求权和信息浏览及更正权。主要包括:保护权利主体不受网络的不当干扰,有权浏览自己的被收集的信息并对记录错误的内容进行更正。4、保护权利主体对个人隐私的正当利用,排除他人非法利用,以及对被侵犯隐私所造成损失的求偿权。

(二)网络隐私权的特点

首先,网络隐私权的主体是被收集个人资料的自然人,客体是网络隐私权主体认为不宜分开的个人资料。

其次,网络隐私侵权一般是采取非法手段获取、使用、披露个人资料,并且网络侵害行为随着网络技术的发展逐渐普及化、技术化。

再次,网络隐私权的内容不断拓展,很多在现实社会中不属于隐私的内容在网络中却属于隐私。由于网络具有虚似性和无国界性,使得网络隐私权比传统的隐私权更加容易被侵犯。

最后,网络隐私的内容具有经济价值,侵权者侵犯他人的网络隐私权的主要目的为了获取非法经济利益。

(三)网络空间隐私权的侵权状况

在互联网日益融入人们生活的今天,网络隐私的侵权行为也越来越多。互联网上侵害他人的隐私权的最主要的表现形式是非法获取、利用他人资料。侵权者往往出于各自的目的,运用各种技术手段,对网民的个人资料进行收集或盗取,其表现形式如下:

1、大量收集用户个人资料以用于非法目的的情况在未成年人中尤为重要。很多网站在提供服务时,往往设法从自我防护能力较差的儿童网民那里套取他们的姓名、家庭地址和电子邮件地址、社会安全号码和信用卡号码以及其他他们认为必要的信息。当然,他们取得和使用这些信息根本就不会告诉儿童的监护人,更不用说取得监护人的同意。事实上,受害者在大多数情况下也并不知道自己的隐私权已经被侵犯。有的网站在网民享受网站提供的服务时,通常会要求他们填写很多个人资料,当网站掌握这些资料后,为了获取经济利益,往往跟其它网站分享这些资料或者干脆把获取的网民的个人资料出售给那些需要这些资料的买主。

2、有些软硬件厂商在生产自己的产品时,在产品中加和了能够自动收集消费者隐私的程序,这种程序能把大量的用户的隐密信息记录在计算机中。有些网站使用一种叫“BO”的程序,它可以很轻松的帮助网站采集和传送网民的各种基本资料。此外,一种叫Cookie的程序经常被用来窃取用户的信息,由于Cookie具有强大的网上追踪、目标行销等功能,所以很多网站通常用它来跟踪用户在网上的操作,从而掌握用户的习惯、爱好、消费状况等纯属私人秘密的东西,并将掌握的资料用于非法目的。一些网络广告商还经常使用Cookies来统计广告内容的点击率和点击量,通过分析点击率的高低,来确定他们市场策略。由于广告商收集数据的方法非常隐蔽,一般难抓到他们的把柄。除此之外,当网络使用者在网上搜集和传输信息时,网络本身所具有的强大记录功能适时地搜集记录了上网者的个人信息;而另外一种叫做“特洛伊木马”的程序则常被用来访问客户的电脑,记录客户的行为。

3、一些常见的网络侵权行为,通常表现为向客户发送垃圾邮件、擅自在网上宣扬、公布他人隐私、对个人通讯内容进行非法侵害、监听等形式。一些单位或雇主利用一种名叫“网络神探”的软件,对本单位或雇员在办公室的情况进地监视,这种软件的使用,就好象在未经同意的情况下,私自进入他人住宅,随意窥探他人隐私一样。近几年来,政府在实施对社会安全管理的同时也有可能侵犯网民的网络隐私,如美国联邦调查局经常使用一种叫做“食肉动物”的网上邮件窃读系统来收集和筛选电子邮件。

二、网络隐私权问题产生的原因

网络隐私权问题的产生是当前信息化、网络化的产物,我们不应该对他一概而论,相反更应该仔细分析其问题产生的原因。笔者主要从以下几方面分析问题存在的原因:

1.网络特有的虚拟性、开放性、技术性、数字性和交互性对隐私权的法律保护产生了巨大的影响,给现行的隐私权法律保护制度提出了新的问题和挑战。现有的隐私权法律保护制度相对于网络隐私权法律保护的现实要求已经明显滞后,完善网络隐私权法律保护制度是客观现实的紧迫要求。

虽然我国法律已经开始重视对隐私权的保护,但是迄今为止,却还没有一部法律直接将隐私权写入法律条款中,我国法律还没有把隐私权界定为一项独立的人格权,在隐私权的保护方面没有专门的法律法规,仅在司法实践上确认将隐私权归于名誉权中或作为一般人格利益的内容之一加以保护。目前的立法状况不仅无法解决在传统领域的隐私权保护问题,更无法面对信息技术的高速发展和电子产品的广泛应用对网络空间个人隐私权提出的挑战。法律体制的不完善导致了网络隐私权法律保护的缺陷,使网络隐私权遭受侵害时寻求法律救济成为难题,限制了被侵权人通过法律途径保护自身权益的机会,不利于全面、有效、充分地保障个人网络隐私权。

客观地讲,我国目前在网络隐私权立法和司法保护上的滞后,使得我国的互联网产业有了一个宽松的发展环境,在一定程度上对互联网产业发展是有利的。然而,随着网络技术的进一步发展和社会的全面信息化,围绕网络个人隐私权产生的纠纷将会越来越多,如果不及时制定科学合理的网络隐私权保护法律制度,网络隐私侵权纠纷势必反过来成为互联网络产业健康持续发展的主要障碍之一。互联网产业的发展与网络隐私权的保护不可偏废,构建我国的网络隐私法律保护制度,迫在眉睫。

2.互联网的开放性。从网络本身来看,网络是一个自由、开放的世界,它使全球连成一个整体,它一方面使得搜集个人隐私极为方便,另一方面也为非法散布隐私提供了一个大平台。由于互联网成员的多样和位置的分散,其安全性并不好。互联网上的信息传送是通过路由器来传送的,而用户是不可能知道是通过哪些路由进行的,这样,有些人或组织就可以通过对某个关键节点的扫描跟踪来窃取用户信息。也就是说从技术层面上截取用户信息的可能性是显然存在的。

3.网络小甜饼cookie。某些Web站点会在用户的硬盘上用文本文件存储一些信息,这些文件被称为Cookie,包含的信息与用户和用户的爱好有关。现在的许多网站在每个访客进入网站时将cookie放入访客电脑,不仅能知道用户在网站上买了些什么,还能掌握该用户在网站上看过哪些内容,总共逗留了多长时间等,以便了解网站的流量和页面浏览数量。另外,网络广告商也经常用cookie来统计广告条幅的点击率和点击量,从而分析访客的上网习惯,并由此调整广告策略。一些广告公司还进一步将所收集到的这类信息与用户在其他许多网站的浏览活动联系起来。这显然侵犯了他人的隐私。

3.网络服务提供商(ISP)在网络隐私权保护中的责任。ISP对电子商务中隐私权保护的责任,包括:在用户申请或开始使用服务时告知使用因特网可能带来的对个人权利的危害;告知用户可以合法使用的降低风险的技术方法;采取适当的步骤和技术保护个人的权利,特别是保证数据的统一性和秘密性,以及网络和基于网络提供的服务的物理和逻辑上的安全;告知用户匿名访问因特网及参加一些活动的权利;不为促销目的而使用数据,除非得到用户的许可;对适当使用数据负有责任,必须向用户明确个人权利保护措施;在用户开始使用服务或访问ISP站点时告知其所采集、处理、存储的信息内容、方式、目的和使用期限;在网上公布数据应谨慎。

目前,网上的许多服务都是免费的,如免费电子邮箱、免费下载软件、免费登录为用户或会员以接收一些信息以及一些免费的咨询服务等,然而人们发现在接受这些免费服务时,必经的一道程序就是登录个人的一些资料,如姓名、地址、工作、兴趣爱好等,服务提供商会声称这是为了方便管理,但是,也存在着服务商将这些信息挪作他用甚至出卖的可能。

三、对网络隐私权保护的技术支持

(一)电子商务信息安全协议

1.安全套接层协议(SecureSocketsLayer,SSL)。SSL是由NetscapeCommunication公司1994年设计开发的,主要用于提高应用程序之间的数据的安全系数。SSL的整个概念可以被总结为:一个保证任何安装了安全套接层的客户和服务器之间事务安全的协议,该协议向基于TCP/IP的客户、服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。

2.安全电子交易公告(SecureElectronicTransactions,SET)。SET是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。SET在保留对客户信用卡认证的前提下,又增加了对商家身份的认证。SET已成为全球网络的工业标准。

3.安全超文本传输协议(S-HTTP)。依*密钥的加密,保证Web站点间的交换信息传输的安全性。SHTTP对HT-TP的安全性进行了扩充,增加了报文的安全性,是基于SSL技术上发展的。该协议向互联网的应用提供完整性、可鉴别性、不可抵赖性及机密性等安全措施。

4.安全交易技术协议(STT)。STT将认证与解密在浏览器中分离开,以提高安全控制能力。

5.UN/EDIFACT标准。UN/EDIFACT报文是唯一的国际通用的电子商务标准。

(二)P2P技术与网络信息安全

P2P(Peer-to-Peer,即对等网络)是近年来广受IT业界关注的一个概念。P2P是一种分布式网络,最根本的思想,同时它与C/S最显著的区别在于网络中的节点(peer)既可以获取其它节点的资源或服务,同时,又是资源或服务的提供者,即兼具Client和Server的双重身份。一般P2P网络中每一个节点所拥有的权利和义务都是对等的,包括通讯、服务和资源消费。

1.隐私安全性

首先,目前的Internet通用协议不支持隐藏通信端地址的功能。攻击者可以监控用户的流量特征,获得IP地址。甚至可以使用一些跟踪软件直接从IP地址追踪到个人用户。SSL之类的加密机制能够防止其他人获得通信的内容,但是这些机制并不能隐藏是谁发送了这些信息。而在P2P中,系统要求每个匿名用户同时也是服务器,为其他用户提供匿名服务。由于信息的传输分散在各节点之间进行而无需经过某个集中环节,用户的隐私信息被窃听和泄漏的可能性大大缩小。P2P系统的另一个特点是攻击者不易找到明确的攻击目标,在一个大规模的环境中,任何一次通信都可能包含许多潜在的用户。

其次,目前解决Internet隐私问题主要采用中继转发的技术方法,从而将通信的参与者隐藏在众多的网络实体之中。而在P2P中,所有参与者都可以提供中继转发的功能,因而大大提高了匿名通讯的灵活性和可*性,能够为用户提供更好的隐私保护。

2.对等诚信

为使得P2P技术在更多的电子商务中发挥作用,必须考虑到网络节点之间的信任问题。实际上,对等诚信由于具有灵活性、针对性并且不需要复杂的集中管理,可能是未来各种网络加强信任管理的必然选择。

对等诚信的一个关键是量化节点的信誉度。或者说需要建立一个基于P2P的信誉度模型。信誉度模型通过预测网络的状态来提高分布式系统的可*性。一个比较成功的信誉度应用例子是在线拍卖系统eBay。在eBay的信誉度模型中,买卖双方在每次交易以后可以相互提升信誉度,一名用户的总的信誉度为过去6个月中这些信誉度的总和。eBay依*一个中心来管理和存储信誉度。同样,在一个分布式系统中,对等点也可以在每次交易以后相互提升信誉度,就象在eBay中一样。例如,对等点i每次从j下载文件时,它的信誉度就提升(+1)或降低(-1)。如果被下载的文件是不可信的,或是被篡改过的,或者下载被中断等,则对等点i会把本次交易的信誉度记为负值(-1)。就象在eBay中一样,我们可以把局部信誉度定义为对等点i从对等点j下载文件的所有交易的信誉度之和。每个对等点i可以存贮它自身与对等点j的满意的交易数,以及不满意的交易数,则可定义为:

Sij=sat(i,j)-unsat(i,j)

(三)电子商务中的信息安全技术

电子商务的信息安全在很大程度上依赖于安全技术的完善,这些技术包括:密码技术、鉴别技术、访问控制技术、信息流控制技术、数据保护技术、软件保护技术、病毒检测及清除技术、内容分类识别和过滤技术、系统安全监测报警技术等。

1.加密技术。加密技术是电子商务采取的主要安全保密措施,是最常用的安全保密手段,利用技术手段把重要的数据变为乱码(加密)传送,到达目的地后再用相同或不同的手段还原(解密)。加密技术包括两个元素:算法和密钥。算法是将普通的文本(或者可以理解的信息)与一窜数字(密钥)的结合,产生不可理解的密文的步骤,密钥是用来对数据进行编码和解码的一种算法。在安全保密中,可通过适当的密钥加密技术和管理机制来保证网络的信息通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地,对数据加密的技术分为两类,即对称加密(私人密钥加密)和非对称加密(公开密钥加密)。对称加密以数据加密标准(DNS,DataEncryptionStandard)算法为典型代表,非对称加密通常以RSA(RivestShamirAd1eman)算法为代表。对称加密的加密密钥和解密密钥相同,而非对称加密的加密密钥和解密密钥不同,加密密钥可以公开而解密密钥需要保密。。

2.数字签名技术就是附加在数据单元上的一些数据,或是对数据单元所作的密码变换。基于公钥密码体制和私钥密码体制都可以获得数字签名,目前主要是基于公钥密码体制的数字签名。普通数字签名算法有RSA、ElGamal、Fiat-Shamir、Guillou-Quisquarter、Schnorr、Ong-Schnorr-Shamir数字签名算法、Des/DSA,椭圆曲线数字签名算法和有限自动机数字签名算法等。

3.防火墙技术。防火墙(Firewall)防火墙在你的网络周围创建了一个保护的边界。并且对于公网隐藏了你内部系统的一些信息以增加保密性。当远程节点侦测你的网络时,他们仅仅能看到防火墙。远程设备将不会知道你内部网络的布局以及都有些什么。防火墙提高认证功能和对网络加密来限制网络信息的暴露。通过对所能进来的流量时行源检查,以限制从外部发动的攻击数字签名技术。4.数字时间戳技术。在电子商务交易的文件中,时间是十分重要的信息,是证明文件有效性的主要内容。在签名时加上一个时间标记,即有数字时间戳(DigitaTime-stamp)的数字签名方案:验证签名的人或以确认签名是来自该小组,却不知道是小组中的哪一个人签署的。指定批准人签名的真实性,其他任何人除了得到该指定人或签名者本人的帮助,否则不能验证签名。

四、电子商务中的隐私安全对策

随着网络技术的发展,世界各国越来越重视网络隐私权的保护,为了有效保护网民的网络隐私权,主要西方发达国家及国家及国家组织都普遍重视在全球电子商务中个人隐私保护问题,并且采取相应的措施。例如,加拿大、欧盟、欧洲理事会及经济合作和发展组织都已采取行动对全球电子商务中的个人隐私保护问题加以调整。各国的作法一般分为两种:一种是通过立法的方式来对全球电子商务中的个人隐私加以保护:另外一种是不采取立法的方式,而鼓励行业自律,例如,美国就一直不提倡通过立法途径解决对全球电子商务中的隐私保护问题,当然,第二种方式也不是绝对的,美国针对少年儿童在网络传输中的隐私保护就采取立法的形式。

通过以上西方国家对网络隐私权的保护可以为我国这方面问题的解决提供有益的帮助和借鉴。我国已经加入了WTO,国内市场和相关行业要陆续开放,加快网络业发展,积极融入全球电子商务市场已是必然。但是,我国公民保护隐私的意识普遍淡薄,网络隐私权问题越来越突出。因此,我们要未雨绸缪,积极采取对策,构筑网络隐私的保护体系,适应国际社会发展的需要。

(一)加快立法保护的进程

目前,我国虽然已有多个法律涉及对个人隐私的保护,但对于一般的隐私权保护缺乏细致的规定,更未形成一个完整的系统化制度,对于网络个人隐私的保护问题更是有涉及。因而在隐私权的法律保护方面存在诸多的问题和漏洞。

从我国现实情况来看,应从以下几个方面做起:第一,借鉴发达国家隐私权保护立法的经验,结合中国的现实情况,适时制定我国的个人隐私数据保护法新的法律要就个人隐私数据的收集、持有、处理、存储、披露和公开、数据主体的知悉和更正权、不正当使用数据的法律责任,法律监督和执法机制等方面作出明确详细的规定要比现有的法律详细、准确、具体,更具有可操作性。法律既要赋予个人对隐私数据的控制权,还应规定政府在使用或公开个人信息方面的权利和义务;既要能保护个人的隐私权,又要兼顾网络服务商的利益。隐私权保护法律应与国际上的相关法律相接轨,与国内的相关法律相衔接。第二,在《民法通则》中增加有关隐私权的条款准确界定隐私权的含义,并把其作为人格权的独立内容加以规范。在刑法、诉讼法、行政法等法律中增加相关的条款,初步建立起以民法为重点、其它法律为辅的公民隐私权保护体系。最后,由于立法和修法的时间较长,远水不解近渴,所以国家有关部门可以先制定隐私权保护的行政规章。

(二)网络服务商要加强行业自律

在当前我国隐私权法律基础与环境还相对薄弱,对网络隐私缺乏有效法律规制的情况之下,行业自律也是不可或缺的。网络的发展日新月异,不断地会出现新事物、新问题,而法律却是僵硬的,倾向于稳定与滞后的,通常落后于社会的实践。法律并非保值百病的良药。完全依*法律的规制会遏制、影响网络快速发展。所以即使制定出相关的法律,行业自律仍不失其价值和作用。

为了推动网络行业的自我规范,建设消费者信任的网络环境,切实保护个人的网络隐私权,当务之急是做好这几个方面的工作:首先,鼓励和发展网络信息中介机构。该机构一方面收集个人的信息资料,并与个人签定个人资料收集、使用和保护的合同;另一方面该机构代表个人,向服务商有选择地披露个人信息资料,为个人提供符合个人品位爱好的个性化服务。其次,由信息产业部和个人隐私保护协会联合成立网络隐私达标认证机构,该机构负责对各个网络运营商隐私权保护的状况进行审计、监督和检查,符合协会保护政策和原则的,再进一步做详细的评估和认证,最后授权认证通过的网络运营商使用达标的标记。最后,网络界应当成立由网站、ISP、服务商、IT公司等组成的行业个人隐私保护协会,该协会负责网络隐私保护的发展规划工作,制定出网络隐私保护的具体政策和原则,并向从事在线活动的商业机构施加压力,促进自我规范。

(三)加强保护网络隐私重要性的宣传力度,全面树立保护意识

充分利用各种新闻媒体广泛宣传,使网络服务商、国家政府机关、企业和公民都明白网络隐私保护的重要意义。首先。有利于公民合法权益的保护,更有利于建立安定、有序的社会环境,提高人们的生活质量,使物质文明与精神文明达到平衡发展。其次,保护个人隐私是对人性自由和尊严的尊重,是一项基本的社会伦理要求,也是人类文明进步的一个重要标志。只有积极保护和尊重他人的隐私权,才能赢得别人对我们隐私的保护和尊重。

(四)加强网络监管

网络监营就是国家运用行政、技术、法律等手段,对网络信息的输入、传播、提取、交流、处理等过程进行监控和管理,包括禁止个人或组织非法收集、篡改、传播、利用他人的隐私资料。首先,网络经营者和服务商应搞好安全管理,网络经营者和服务商有义务配合管理机关做好网络信息安全工作,包括对用户输入信息适当的检查义务,对国内外具有不良内容的站点监察与隔离的义务以及通知、报告、协作义务。再次,要加强对网络信息的的统一管理,重点保护好隐私信息。国家赋予公安部门为网络信息管理的执法机构,各地方公安机关都成立了电子警察,电子警察在对网络信息管理的过程中,应当改变传统的观念,把网上侵害个人隐私信息的案件作为一项新的内容纳入工作范围,在维护网络安全的同时,确保网络用户的隐私不受侵扰。最后,建立网络隐私保护的评估体系。管理部门定期对网络隐私保护环节中涉及的法律政策、网络运营商、中介机构、网站、消费者等方面作出评价,发现问题,及时纠正。

(五)个人应加强自我保护

网上个人隐私遭到侵害,仅仅把责任归咎于网络运营商是不对的。实际上,在大多数的情况下,泄露了个人相关资料的不是别人,正是毫无保护就连接到互联网上的我们自己。因此,网络用户应提高防范意识,采取必要的措施保护个人的隐私资料。

个人可以采取的安全防护措施有:(1)在网上浏览时,使用服务器或匿名浏览方式,此类网站有Anonymizer(http:∥)、proxyMate(http:∥)等,都是免费的。(2)对个人资料进行加密保护。(3)申请免费电子邮箱时,尽量不使用真实姓名和填写相关的真实资料。通过电子邮件通信时,若信中的内容十分重要,应使用有加密功能的邮箱。(4)设立个人多重档案,分别为你访问的不同性质网站以及你在那里的活动而量身订做。(5)不要在网站上留下过多的个人资料。在网上填写一些表格时,可以写一些假资料或半真半假的资料。对于需要保密的资料,应慎重填写。(6)谨慎对待网上购物。在决定参加网上购物以前,要对网上商城的信用和隐私保护情况进行调查,调查的方法有三:实地考察;向其用户询问;查看其网页上是否提供了隐私保护。对于信用不好的,千万不要提供个人资料和参加。

参考文献:

1.梅绍祖著:《网络与隐私》,清华大学出版社,2006年版

,2.屈茂辉,凌立志著:《网络侵权行为法》,湖南大学出版社,2005年版

3.李德成著:《网络隐私权保护制度初论》,中国方止出版社,2001年版

4.孙昌军.郑远民等著:《网络安全法》,湖南大学出版社,2002年版

5.金诚.“从网络执法看网络隐私的保护问题”.网络安全技术与应用,2001(5)

6.刘春燕.“网络时代如何保护个人隐私权”.天津政法管理干部学院学报,2001(2)

7.赵立平.《电子商务概论》.上海:复旦大学出版社,2000.

8.张新宝主编:《互联网上的侵权问题研究》,中国人民大学出版社,2003年版