電子商務安全/計算機網絡安全/商務交易安全/b2b/b2c/o2o

   電子商務安全

電子商務安全/計算機網絡安全/商務交易安全/b2b/b2c/o2o網站安全檢測

電子商務安全從整體上可分為兩大部分:計算機網絡安全和商務交易安全

(一)計算機網絡安全的內容包括:

(1)未進行操作系統相關安全配置

不論采用什么操作系統，在缺省安裝的條件下都會存在一些安全問題，只有專門針對操作系統安全性進行相關的和嚴格的安全配置，才能達到一定的安全程度。千萬不要以為操作系統缺省安裝后，再配上很強的密碼系統就算作安全了。網絡軟件的漏洞和"后門" 是進行網絡攻擊的首選目標。

(2)未進行CGI程序代碼審計

如果是通用的CGI問題，防范起來還稍微容易一些，但是對于網站或軟件供應商專門開發的一些CGI程序，很多存在嚴重的CGI問題，對于電子商務站點來說，會出現惡意攻擊者冒用他人賬號進行網上購物等嚴重后果。

(3)拒絕服務(DoS，Denial of Service)攻擊

隨著電子商務的興起，對網站的實時性要求越來越高，DoS或DDoS對網站的威脅越來越大。以網絡癱瘓為目標的襲擊效果比任何傳統的恐怖主義和戰爭方式都來得更強烈，破壞性更大，造成危害的速度更快，范圍也更廣，而襲擊者本身的風險卻非常小，甚至可以在襲擊開始前就已經消失得無影無蹤，使對方沒有實行報復打擊的可能。

(4)安全產品使用不當

雖然不少網站采用了一些網絡安全設備，但由于安全產品本身的問題或使用問題，這些產品并沒有起到應有的作用。很多安全廠商的產品對配置人員的技術背景要求很高，超出對普通網管人員的技術要求，就算是廠家在最初給用戶做了正確的安裝、配置，但一旦系統改動，需要改動相關安全產品的設置時，很容易產生許多安全問題。

(5)缺少嚴格的網絡安全管理制度

網絡安全最重要的還是要思想上高度重視，網站或局域網內部的安全需要用完備的安全制度來保障。建立和實施嚴密的計算機網絡安全制度與策略是真正實現網絡安全的基礎。

(二)計算機商務交易安全的內容包括:

(1)竊取信息

由于未采用加密措施，數據信息在網絡上以明文形式傳送，入侵者在數據包經過的網關或路由器上可以截獲傳送的信息。通過多次竊取和分析，可以找到信息的規律和格式，進而得到傳輸信息的內容，造成網上傳輸信息泄密。

(2)篡改信息

當入侵者掌握了信息的格式和規律后，通過各種技術手段和方法，將網絡上傳送的信息數據在中途修改，然后再發向目的地。這種方法并不新鮮，在路由器或網關上都可以做此類工作。

(3)假冒

由于掌握了數據的格式，并可以篡改通過的信息，攻擊者可以冒充合法用戶發送假冒的信息或者主動獲取信息，而遠端用戶通常很難分辨。

(4)惡意破壞

由于攻擊者可以接入網絡，則可能對網絡中的信息進行修改，掌握網上的機要信息，甚至可以潛入網絡內部，其后果是非常嚴重的。

折疊安全對策

電子商務的一個重要技術特征是利用計算機技術來傳輸和處理商業信息。因此，電子商務安全問題的對策從整體上可分為計算機網絡安全措施和商務交易安全措施兩大部分。

1.計算機網絡安全措施

計算機網絡安全措施主要包括保護網絡安全、保護應用服務安全和保護系統安全三個方面，各個方面都要結合考慮安全防護的物理安全、防火墻、信息安全、Web安全、媒體安全等等。

(一)保護網絡安全。

網絡安全是為保護商務各方網絡端系統之間通信過程的安全性。保證機密性、完整性、認證性和訪問控制性是網絡安全的重要因素。保護網絡安全的主要措施如下:

(1)全面規劃網絡平臺的安全策略。

(2)制定網絡安全的管理措施。

(3)使用防火墻。

(4)盡可能記錄網絡上的一切活動。

(5)注意對網絡設備的物理保護。

(6)檢驗網絡平臺系統的脆弱性。

(7)建立可靠的識別和鑒別機制。

(二)保護應用安全。

保護應用安全，主要是針對特定應用(如Web服務器、網絡支付專用軟件系統)所建立的安全防護措施，它獨立于網絡的任何其他安全防護措施。雖然有些防護措施可能是網絡安全業務的一種替代或重疊，如Web瀏覽器和Web服務器在應用層上對網絡支付結算信息包的加密，都通過IP層加密，但是許多應用還有自己的特定安全要求。

由于電子商務中的應用層對安全的要求最嚴格、最復雜，因此更傾向于在應用層而不是在網絡層采取各種安全措施。

雖然網絡層上的安全仍有其特定地位，但是人們不能完全依靠它來解決電子商務應用的安全性。應用層上的安全業務可以涉及認證、訪問控制、機密性、數據完整性、不可否認性、Web安全性、EDI和網絡支付等應用的安全性。

(三)保護系統安全。

保護系統安全，是指從整體電子商務系統或網絡支付系統的角度進行安全防護，它與網絡系統硬件平臺、操作系統、各種應用軟件等互相關聯。涉及網絡支付結算的系統安全包含下述一些措施:

(1)在安裝的軟件中，如瀏覽器軟件、電子錢包軟件、支付網關軟件等，檢查和確認未知的安全漏洞。

(2)技術與管理相結合，使系統具有最小穿透風險性。如通過諸多認證才允許連通，對所有接入數據必須進行審計，對系統用戶進行嚴格安全管理。

(3)建立詳細的安全審計日志，以便檢測并跟蹤入侵攻擊等。

商務交易安全則緊緊圍繞傳統商務在互聯網絡上應用時產生的各種安全問題，在計算機網絡安全的基礎上，如何保障電子商務過程的順利進行。

各種商務交易安全服務都是通過安全技術來實現的，主要包括加密技術、認證技術和電子商務安全協議等。

(一)加密技術。

加密技術是電子商務采取的基本安全措施，交易雙方可根據需要在信息交換的階段使用。加密技術分為兩類，即對稱加密和非對稱加密。

(1)對稱加密。

對稱加密又稱私鑰加密，即信息的發送方和接收方用同一個密鑰去加密和解密數據。它的最大優勢是加/解密速度快，適合于對大數據量進行加密，但密鑰管理困難。如果進行通信的雙方能夠確保專用密鑰在密鑰交換階段未曾泄露，那么機密性和報文完整性就可以通過這種加密方法加密機密信息、隨報文一起發送報文摘要或報文散列值來實現。

(2)非對稱加密。

非對稱加密又稱公鑰加密，使用一對密鑰來分別完成加密和解密操作，其中一個公開發布(即公鑰)，另一個由用戶自己秘密保存(即私鑰)。信息交換的過程是:甲方生成一對密鑰并將其中的一把作為公鑰向其他交易方公開，得到該公鑰的乙方使用該密鑰對信息進行加密后再發送給甲方，甲方再用自己保存的私鑰對加密信息進行解密。

(二)認證技術。

認證技術是用電子手段證明發送者和接收者身份及其文件完整性的技術，即確認雙方的身份信息在傳送或存儲過程中未被篡改過。

(1)數字簽名。

數字簽名也稱電子簽名，如同出示手寫簽名一樣，能起到電子文件認證、核準和生效的作用。其實現方式是把散列函數和公開密鑰算法結合起來，發送方從報文文本中生成一個散列值，并用自己的私鑰對這個散列值進行加密，形成發送方的數字簽名;然后，將這個數字簽名作為報文的附件和報文一起發送給報文的接收方;報文的接收方首先從接收到的原始報文中計算出散列值，接著再用發送方的公開密鑰來對報文附加的數字簽名進行解密;

(2)數字證書。

數字證書是一個經證書授權中心數字簽名的包含公鑰擁有者信息以及公鑰的文件數字證書的最主要構成包括一個用戶公鑰，加上密鑰所有者的用戶身份標識符，以及被信任的第三方簽名第三方一般是用戶信任的證書權威機構(CA)，如政府部門和金融機構。用戶以安全的方式向公鑰證書權威機構提交他的公鑰并得到證書，然后用戶就可以公開這個證書。任何需要用戶公鑰的人都可以得到此證書，并通過相關的信任簽名來驗證公鑰的有效性。數字證書通過標志交易各方身份信息的一系列數據，提供了一種驗證各自身份的方式，用戶可以用它來識別對方的身份。

(三)電子商務的安全協議。

除上文提到的各種安全技術之外，電子商務的運行還有一套完整的安全協議。比較成熟的協議有SET、SSL等。

(1)安全套接層協議SSL。

SSL協議位于傳輸層和應用層之間，由SSL記錄協議、SSL握手協議和SSL警報協議組成的。SSL握手協議被用來在客戶與服務器真正傳輸應用層數據之前建立安全機制。當客戶與服務器第一次通信時，雙方通過握手協議在版本號、密鑰交換算法、數據加密算法和Hash算法上達成一致，然后互相驗證對方身份，最后使用協商好的密鑰交換算法產生一個只有雙方知道的秘密信息，客戶和服務器各自根據此秘密信息產生數據加密算法和Hash算法參數。SSL記錄協議根據SSL握手協議協商的參數，對應用層送來的數據進行加密、壓縮、計算消息鑒別碼MAC，然后經網絡傳輸層發送給對方。SSL警報協議用來在客戶和服務器之間傳遞SSL出錯信息。

(2)安全電子交易協議SET。

SET協議用于劃分與界定電子商務活動中消費者、網上商家、交易雙方銀行、信用卡組織之間的權利義務關系，給定交易信息傳送流程標準。SET主要由三個文件組成，分別是SET業務描述、SET程序員指南和SET協議描述。SET協議保證了電子商務系統的機密性、數據的完整性、身份的合法性。

SET協議是專為電子商務系統設計的。它位于應用層，其認證體系十分完善，能實現多方認證。在SET的實現中，消費者帳戶信息對商家來說是保密的。但是SET協議十分復雜，交易數據需進行多次驗證，用到多個密鑰以及多次加密解密。而且在SET協議中除消費者與商家外，還有發卡行、收單行、認證中心、支付網關等其它參與者。

折疊工程監理

信息安全工程的監理是在信息安全工程的開發采購階段和交付實施階段為業主單位提供的信息安全保障服務。主要是在項目準備階段、項目實施階段和項目驗收階段通過質量控制、進度控制、合同管理、信息管理和協調，來促使信息安全工程以科學規范的流程，在一定的成本范圍內，按時保質保量地完成，實現項目預期的信息安全目標。

信息安全工程監理的信息安全工程監理模型由三部分組成，即咨詢監理支撐要素(組織結構、設施設備、安全保障知識、質量管理)、監理咨詢階段過程和控制管理措施("三控制、兩管理、一協調"，即質量控制、進度控制、成本控制、合同管理、信息管理和組織協調)。

折疊編輯本段安全技術
折疊加密

數據加密技術從技術上的實現分為在軟件和硬件兩方面。按作用不同，數據加密技術主要分為數據傳輸、數據存儲、數據完整性的鑒別以及密鑰管理技術這四種。

在網絡應用中一般采取兩種加密形式:對稱密鑰和公開密鑰，采用何種加密算法則要結合具體應用環境和系統，而不能簡單地根據其加密強度來作出判斷。因為除了加密算法本身之外，密鑰合理分配、加密效率與現有系統的結合性，以及投入產出分析都應在實際環境中具體考慮。

對于對稱密鑰加密。其常見加密標準為DES等，當使用DES時，用戶和接受方采用64位密鑰對報文加密和解密，當對安全性有特殊要求時，則要采取IDEA和三重DES等。作為傳統企業網絡廣泛應用的加密技術，秘密密鑰效率高，它采用KDC來集中管理和分發密鑰并以此為基礎驗證身份，但是并不適合Internet環境。

在Internet中使用更多的是公鑰系統。即公開密鑰加密，它的加密密鑰和解密密鑰是不同的。一般對于每個用戶生成一對密鑰后，將其中一個作為公鑰公開，另外一個則作為私鑰由屬主保存。常用的公鑰加密算法是RSA算法，加密強度很高。具體作法是將數字簽名和數據加密結合起來。發送方在發送數據時必須加上數據簽名，做法是用自己的私鑰加密一段與發送數據相關的數據作為數字簽名，然后與發送數據一起用接收方密鑰加密。當這些密文被接收方收到后，接收方用自己的私鑰將密文解密得到發送的數據和發送方的數字簽名，然后，用發布方公布的公鑰對數字簽名進行解密，如果成功，則確定是由發送方發出的。數字簽名每次還與被傳送的數據和時間等因素有關。由于加密強度高，而且并不要求通信雙方事先要建立某種信任關系或共享某種秘密，因此十分適合Internet網上使用。

折疊認證

認證就是指用戶必須提供他是誰的證明，他是某個雇員，某個組織的代理、某個軟件過程(如股票交易系統或Web訂貨系統的軟件過程)。認證的標準方法就是弄清楚他是誰，他具有什么特征，他知道什么可用于識別他的東西。比如說，系統中存儲了他的指紋，他接入網絡時，就必須在連接到網絡的電子指紋機上提供他的指紋(這就防止他以假的指紋或其它電子信息欺騙系統)，只有指紋相符才允許他訪問系統。更普通的是通過視網膜血管分布圖來識別，原理與指紋識別相同，聲波紋識別也是商業系統采用的一種識別方式。網絡通過用戶擁有什么東西來識別的方法，一般是用智能卡或其它特殊形式的標志，這類標志可以從連接到計算機上的讀出器讀出來。至于說到"他知道什么"，最普通的就是口令，口令具有共享秘密的屬性。例如，要使服務器操作系統識別要入網的用戶，那么用戶必須把他的用戶名和口令送服務器。服務器就將它仍與數據庫里的用戶名和口令進行比較，如果相符，就通過了認證，可以上網訪問。這個口令就由服務器和用戶共享。更保密的認證可以是幾種方法組合而成。例如用ATM卡和PIN卡。在安全方面最薄弱的一環是規程分析儀的竊聽，如果口令以明碼(未加密)傳輸，接入到網上的規程分析儀就會在用戶輸入帳戶和口令時將它記錄下來，任何人只要獲得這些信息就可以上網工作。為了解決安全問題，一些公司和機構正千方百計地解決用戶身份認證問題，主要有以下幾種認證辦法。

1. 雙重認證。如波斯頓的Beth IsrealHospital公司和意大利一家居領導地位的電信公司正采用"雙重認證"辦法來保證用戶的身份證明。也就是說他們不是采用一種方法，而是采用有兩種形式的證明方法，這些證明方法包括令牌、智能卡和仿生裝置，如視網膜或指紋掃描器。

2.數字證書。這是一種檢驗用戶身份的電子文件，也是企業可以使用的一種工具。這種證書可以授權購買，提供更強的訪問控制，并具有很高的安全性和可靠性。隨著電信行業堅持放松管制，GTE已經使用數字證書與其競爭對手(包括Sprint公司和AT&T公司)共享用戶信息。

3. 智能卡。這種解決辦法可以持續較長的時間，并且更加靈活，存儲信息更多，并具有可供選擇的管理方式。

4. 安全電子交易(SET)協議。這是迄今為止最為完整最為權威的電子商務安全保障協議。

折疊編輯本段目標和原則
折疊目標

所有的信息安全技術都是為了達到一定的安全目標，其核心包括保密性、完整性、可用性、可控性和不可否認性五個安全目標。

保密性(Confidentiality)是指阻止非授權的主體閱讀信息。它是信息安全一誕生就具有的特性，也是信息安全主要的研究內容之一。更通俗地講，就是說未授權的用戶不能夠獲取敏感信息。對紙質文檔信息，我們只需要保護好文件，不被非授權者接觸即可。而對計算機及網絡環境中的信息，不僅要制止非授權者對信息的閱讀。也要阻止授權者將其訪問的信息傳遞給非授權者，以致信息被泄漏。

完整性(Integrity)是指防止信息被未經授權的篡改。它是保護信息保持原始的狀態，使信息保持其真實性。如果這些信息被蓄意地修改、插入、刪除等，形成虛假信息將帶來嚴重的后果。

可用性(Availability)是指授權主體在需要信息時能及時得到服務的能力。可用性是在信息安全保護階段對信息安全提出的新要求，也是在網絡化空間中必須滿足的一項信息安全要求。

可控性(Controlability)是指對信息和信息系統實施安全監控管理，防止非法利用信息和信息系統。

不可否認性(Non-repudiation)是指在網絡環境中，信息交換的雙方不能否認其在交換過程中發送信息或接收信息的行為。

信息安全的保密性、完整性和可用性主要強調對非授權主體的控制。而對授權主體的不正當行為如何控制呢?信息安全的可控性和不可否認性恰恰是通過對授權主體的控制，實現對保密性、完整性和可用性的有效補充，主要強調授權用戶只能在授權范圍內進行合法的訪問，并對其行為進行監督和審查。

除了上述的信息安全五性外，還有信息安全的可審計性(Audiability)、可鑒別性(Authenticity)等。信息安全的可審計性是指信息系統的行為人不能否認自己的信息處理行為。與不可否認性的信息交換過程中行為可認定性相比，可審計性的含義更寬泛一些。信息安全的可見鑒別性是指信息的接收者能對信息的發送者的身份進行判定。它也是一個與不可否認性相關的概念。

折疊原則

為了達到信息安全的目標，各種信息安全技術的使用必須遵守一些基本的原則。

最小化原則。受保護的敏感信息只能在一定范圍內被共享，履行工作職責和職能的安全主體，在法律和相關安全策略允許的前提下，為滿足工作需要。僅被授予其訪問信息的適當權限，稱為最小化原則。敏感信息的。知情權"一定要加以限制，是在"滿足工作需要"前提下的一種限制性開放。可以將最小化原則細分為知所必須(need to know)和用所必須(need協峨)的原則。

分權制衡原則。在信息系統中，對所有權限應該進行適當地劃分，使每個授權主體只能擁有其中的一部分權限，使他們之間相互制約、相互監督，共同保證信息系統的安全。如果-個授權主體分配的權限過大，無人監督和制約，就隱含了"濫用權力"、"一言九鼎"的安全隱患。

安全隔離原則。隔離和控制是實現信息安全的基本方法，而隔離是進行控制的基礎。信息安全的一個基本策略就是將信息的主體與客體分離，按照一定的安全策略，在可控和安全的前提下實施主體對客體的訪問。

在這些基本原則的基礎上，人們在生產實踐過程中還總結出的一些實施原則，他們是基本原則的具體體現和擴展。包括:整體保護原則、誰主管誰負責原則、適度保護的等級化原則、分域保護原則、動態保護原則、多級保護原則、深度保護原則和信息流向原則等。

折疊資質認證

中國信息安全測評認證中心是中國信息安全最高認證，測評及認定項目分為信息安全產品測評、信息系統安全等級認定、信息安全服務資質認定、信息安全從業人員資質認定四大類。

信息安全產品測評:對中國外信息技術產品的安全性進行測評，其中包括各類信息安全產品如防火墻、入侵監測、安全審計、網絡隔離、VPN、智能卡、卡終端、安全管理等，以及各類非安全專用IT產品如操作系統、數據庫、交換機、路由器、應用軟件等。

根據測評依據及測評內容，分為:信息安全產品分級評估、信息安全產品認定測評、信息技術產品自主原創測評、源代碼安全風險評估、選型測試、定制測試。

信息系統認定:

對中國信息系統的安全性進行測試、評估。

對中國信息系統的安全性測試、評估和認定、根據依據標準及測評方法的不同，主要提供:信息安全風險評估、信息系統安全等級保護測評、信息系統安全保障能力評估、信息系統安全方案評審、電子政務項目信息安全風險評估。

信息安全服務資質認定:

對提供信息安全服務的組織和單位資質進行審核、評估和認定。

信息安全服務資質是對信息系統安全服務的提供者的技術、資源、法律、管理等方面的資質和能力，以及其穩定性、可靠性進行評估，并依據公開的標準和程序，對其安全服務保障能力進行認定的過程。分為:信息安全工程類、信息安全災難恢復類、安全運營維護類。

信息安全專業人員資質認定:

對信息安全專業人員的資質能力進行考核、評估和認定。

信息安全人員測評與資質認定，主要包括注冊信息安全專業人員(CISP)、注冊信息安全員(CISM)及安全編成等專項培訓、信息安全意識培訓。

折疊編輯本段技術對比
折疊法政標

信息安全法規、政策與標準

1)法律體系初步構建，但體系化與有效性等方面仍有待進一步完善信息安全法律法規體系初步形成。

據相關統計，截至2008年與信息安全直接相關的法律有65部，涉及網絡與信息系統安全、信息內容安全、信息安全系統與產品、保密及密碼管理、計算機病毒與危害性程序防治、金融等特定領域的信息安全、信息安全犯罪制裁等多個領域，從形式看，有法律、相關的決定、司法解釋及相關文件、行政法規、法規性文件、部門規章及相關文件、地方性法規與地方政府規章及相關文件多個層次。與此同時，與信息安全相關的司法和行政管理體系迅速完善。但整體來看，與美國、歐盟等先進國家與地區比較，我們在相關法律方面還欠體系化、覆蓋面與深度。缺乏相關的基本法，信息安全在法律層面的缺失對于信息安全保障形成重大隱患。

2)相關系列政策推出，與國外也有異曲同工之處從政策來看，美國信息安全政策體系也值得中國學習與借鑒。美國在信息安全管理以及政策支持方面走在全球的前列:

一是制定了從軍政部門、公共部門和私營領域的風險管理政策和指南;

二是形成了軍、政、學、商分工協作的風險管理體系;

三是國防部、商務部、審計署、預算管理等部門各司其職，形成了較為完整的風險分析、評估、監督、檢查問責的工作機制。

3)信息安全標準化工作得到重視，但標準體系尚待發展與完善信息安全標準體系主要由基礎標準、技術標準和管理標準等分體系組成。

中國信息技術安全標準化技術委員會(CITS)主持制定了GB系列的信息安全標準對信息安全軟件、硬件、施工、檢測、管理等方面的幾十個主要標準。但總體而言，中國的信息安全標準體系仍處于發展和建立階段，基本上是引用與借鑒了國際以及先進國家的相關標準。因此，中國在信息安全標準組織體系方面還有待于進一步發展與完善。

折疊意識實踐

信息安全用戶意識與實踐

1) 信息安全意識有待提高

與發達國家相比，中國的信息安全產業不單是規模或份額的問題，在深層次的安全意識等方面差距也不少。而從個人信息安全意識層面來看，與美歐等相比較，僅盜版軟件使用率相對較高這種現象就可以部分說明中國個人用戶的信息安全意識仍然較差。包括信用卡使用過程中暴露出來的簽名不嚴格、加密程度低，以及在互聯網使用過程中的密碼使用以及更換等方面都更多地表明，中國個人用戶的信息安全意識有待于提高。

2)信息安全實踐過程有待加強管理

信息安全意識較低的必然結果就是導致信息安全實踐水平較差。廣大中小企業與大量的政府、行業與事業單位用戶對于信息安全的淡漠意識直接表現為缺乏有效地信息安全保障措施，雖然，這是一個全球性的問題，但是中國用戶在這一方面與發達國家還有一定差距。