电子商务安全策略

《电子商务安全策略》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、电子商务安全策略　　　　作者：胡红升马东平　　电子商务的实施，其关键是要保证整个商务过程中系统的安全性。而系统的安全性关键在于CA的设计与规划。本文分析了CA认证系统及相关协议，介绍了与商务安全有关的技术。随着互联网的不断发展，在世界范围内掀起了一股电子商务热潮。许多国家政府部门对电子商务的发展十分重视，把这场以电子商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。实现电子商务的关键是要保证商务活动过程中系统的安全性，即保证基于互连网的电子交易过程与传统交易的方式一样安全可靠。电子商务的

2、安全主要采用数据加密和身份认证技术。认证系统电子商务的关键是安全，网上安全交易的基础是数字证书。要建立安全的电子商务系统，必须首先建立一个稳固、健全的CA；否则，一切网上的交易都没有安全保障。认证系统的基本原理　　传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度

3、主要取决于选定的密钥长度。　　RSA算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。系统结构　　所谓系统就是一个大的网络环境。系统从功能上基本可以划分为CA、RA和WP。核心系统和CA放在一个单独的封闭空间中，为了保证运行的

4、绝对安全，其人员及制度都应有严格的规定，并且系统设计为离线网络。CA的功能是在收到来自RA的证书请求时颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。　　证书的登记机构RegisterAuthority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密，确保安全。系统的分布式结构适于新业务网点的开设，具有较好的扩充性。通信协议为TCP/IP。　　证书的公布系统WebPublisher，简称

5、WP，置于Internet网上，是普通用户和CA直接交流的界面。对用户来讲它相当于一个在线的证书数据库。用户的证书颁发之后，CA用E－mail通知用户，然后用户须用浏览器从这里下载证书。SSL协议　　SSL协议是Netscape公司在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。它被视为Internet上Web浏览器和服务器的标准安全性措施。SSL提供了用于启动TCP/IP连接的安全性“信号交换”。这种信号交换导致客户和服务器同意将使用的安全性级别，并履行连接的任何身份验证要求。它通过数字

6、签名和数字证书可实现浏览器和Web服务器双方的身份验证。在用数字证书对双方的身份验证后，双方就可以用保密密钥进行安全的会话了。　　SSL协议在应用层收发数据前，协商加密算法、连接密钥并认证通信双方，从而为应用层提供了安全的传输通道；在该通道上可透明加载任何高层应用协议（如HTTP、FTP、TELNET等）以保证应用层数据传输的安全性。SSL协议独立于应用层协议，因此，在电子交易中被用来安全传送信用卡号码。　　中国目前多家银行均采用SSL协议，如在目前中国的电子商务系统中能完成实时支付，用的最多的招行一网通采用的就是SSL协议。所以，

7、从目前实际使用的情况看，SSL还是人们最信赖的协议。　　SSL当初并不是为支持电子商务而设计的，所以在电子商务系统的应用中还存在很多弊端。它是一个面向连接的协议，在涉及多方的电子交易中，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成,SSL协议并不能协调各方间的安全传输和信任关系；还有，购货时用户要输入通信地址，这样将可能使得用户收到大量垃圾信件。因此，为了实现更加完善的电子交易，MasterCard和Visa以及其它一些业界厂商制订并发布了SET协议。　　SET协议　　SET协议是针对开放网络

8、上安全、有效的银行卡交易，由Visa和Mastercard联合研制的，为Internet上卡支付交易提供高层的安全和反欺诈保证。　　SET协议保证了电子交易的机密性、数据完整性、身份的合法性和抗否认性。　　SET是专门为电子商务而设计