电子商务系统的安全研究

《电子商务系统的安全研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、维普资讯http://www.cqvip.com总25卷第lO期西南民族大学学报·人文社科版Vo1．25No．102004年10月journalofSouthwestUniversityforNationalities．Humanities&SocialSciencesOct．2004电子商务系统的安全研究徐鲁强姜凌周茵(1．西南科技大学计算机学院，四川绵阳621010；2．西南财经大学经济学院，四川成都610074)摘要：随着电子商务的飞速发展，安全问题成为制约其发展的关键。从电子商务系统存在的安全问题分析出发，

2、对电子商务安全所涉及的技术问题、实现安全的电子商务系统所应具备的要素进行了系统的描述，探讨了电子商务安全技术体系结构，从全局上把握了电子商务安全机制。引入攻击树概念来检验电子商务系统的安全性，尽可能发现保护系统免受各种威胁攻击的思想与方法。关键词：电子商务；安全体系结构；攻击树中图分类号：DF523，9文献标识码：A文章编号：1004-3926(2004)l0__0132—o4进入21世纪，电子商务这种新商业运行模式日换的财物；不诚实的支付参与方试图获取并滥用自渐成熟与完善，并随全球经济一体化进程的加快，在己无权读

3、取或使用的支付交易数据。世界范围内日渐得到普及与应用。相对于传统商务3．信息安全模式，电子商务具有便捷、高效的特点与优点。电子信息安全问题概括了一般性的安全技术问题。商务是一个复杂的系统工程，它的实现还依赖于众系统可能遭受的攻击可以分为以下几类：窃听、伪多从社会问题到技术问题的逐步解决与完善。其装、消息篡改、重放、渗透、流量分析、拒绝服务。中，电子商务安全是制约电子商务发展的一个核心电子商务系统的关键是保证交易数据和交易过和关键问题。电子商务安全技术也成为各界关注和程的安全，要求电子商务系统具备：防止交易信息被研究

4、的热点。非法截获或读取的保密性(Confidentiality)、防止交一易过程被跟踪的匿名性(Anonymity)、防止交易信息、电子商务存在的安全问题丢失并保证信息传递次序统一的完整性(Integrity)、电子商务主要的安全问题有通信传输安全、电防止假冒身份在网上交易、诈骗的可靠性(Reliabili．子交易安全和信息安全。ty)、防止交易各方对已做交易无法抵赖的抗否认性1．通信传输安全(Anti—density)、以及不可分割的原子性(Atomici．通信网络是交换信息的基本设施，互联网通讯cy)等安全需求

5、。引入了原子性的概念，用以规范电采用TCP／IP协议，设计该协议主要考虑信息共享子商务中的资金流、信息流和物流。原子陡包括：钱问题，使用中发现存在着严重的安全隐患。基于B／原子性(moneyatomicity)、商品原子性(goodsato．S应用模式的电子商务系统，利用HrrI’P协议交换micity)、确认发送原子性(certifieddelivery)。信息。HTrP所有的消息头都带有用户或原始服务二、电子商务的安全技术框架体系器的信息，这是一个潜在的安全隐患。数据库一般以明文形式存储数据极易遭受攻击。开发系

6、统用到用于保障电子商务的安全控制技术很多，所处的技术如Applet、脚本语言、ActiveX控件、一些图形的层次各不相同，所起的作用和效果也各不相同。文件、插件和电_f邮件附件也存在安全隐患问题。并非把所有的安全技术简单地组合起来就可以得到2．电子支付安全可靠的安全保障。要清楚了解安全技术的特点，把传统的支付系统存在伪造现金、伪造签名、拒付不同层次和不同特性的安全技术有机地结合起来，支票。相对而言电子支付安全可能出现任意复制数通过综合应用这些技术才能满足电子商务系统对安字文档、知道私钥的任何人都能产生数字签名、买方

7、全性的要求。的身份及每次购买行为之间的关系可以被跟踪出·研究电子商务的安全问题应从系统工程的基本来。通常会遇到3种攻击：在通信线路上进行窃听观点和原理出发，从安全技术角度，根据电子商务自并滥用收集到的数据；向经过授权的支付系统参与身运行特点，给出电子商务安全技术体系结构，揭示方发送伪造的消息以破坏系统的正常工作或盗用交各种安全机制问的层次关系，从全局上把握了电子收稿日期：2004—07—17作者简介：馀铝虽，西南科技大学计算机学院教师；姜凌、周茵、西南财经大学经济学院教师。维普资讯http://www.cqvip.

8、com第10期徐鲁强姜凌周茵电子商务系统的安全研究133商务安全体系。电子商务的安全控制体系结构是保仅有加密技术不足以保证电子商务中的交易安证电子商务中数据安全的一个完整的逻辑结构，由全，身份认证技术是保证电子商务安全不可缺少的多个部分组成。电子商务安全体系由网络服务层、又一重要技术手段。认证的实现包括数字签名技加密认证层、交易协议层、商务应用层组成。从层次