企业电子商务安全策略分析

《企业电子商务安全策略分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、企业电子商务安全策略分析［摘要］电子商务的实施，其关键是要保证整个商务过程中系统的安全性。针对这个问题，该文仔细分析了认证系统、SSL协议和SET协议，指出了其应用屮的一些局限，另外，还介绍了几种与商务安全有关的其它技术。［关键词］安全、认证、证书、CA、SSL协议、SETto议%1.引言近几年，随着互联网的不断发展，在世界范围内掀起了一股电了商务热潮。许多国家政府部门对电了商务的发展I•分重视，把这场以电了商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。中国对电了商务的发展也给予了应冇的重视，考虑到电了商务必然涉及到网

2、上支付、必然涉及到银行支付结算，为了作好前瞻性的研究，1998年6月，人民银行支付科技司组织成立了电子商务课题组，对银行支付在电了商务中的作川和对策进行研究，并在研究基础上，组织各商业银行联合共建金融认证中心，为网上安全支付创造条件。实现电子商务的关键是要保证商务活动过程屮系统的安全性，即应保证在向塞于Internet的电子交易转变的过程小与传统交易的方式一样安全可靠。电了商务的安全主要采用数据加密和身份认证技术。电子商务在功能上耍求实现实时帐户信息查询。这就使电子商务系统必须在物理上与生产系统要有连接，这对于电子商务系统的安全性捉出了更高的要求，必须保证外部网络（I

3、NTERNET）用户不能对生产系统构成威胁。为此，需要全方位地制定系统的安全策略。就整个系统而言，安全性可以分为四个层次1.网络节点的安全2.通讯的安全性3.应用程序的安全性4.用户的认证管理。安全性四个层次结构屮2、3、4层是通过操作系统和Web服务器软件实现，网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。一、网络节点的安全1.防火墙防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从阳作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个

4、安全、髙效的Intranet系统。2.防火墙安全策略应给予特別注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系來保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所冇冇可能受到网络攻击的地方都必须以同样安全级別加以保护。仅设立防火墙系统，KlJ没有全血的安全策略，那么防火墙就形同虚设。3.安全操作系统防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网,则防火墙失效。所以，要保证

5、防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在驶件设备上。二、通讯的安全1.数据通讯通讯的安全主要依靠对通信数据的加密來保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。电子商务系统的数据通信主要存在于：（1）客户浏览器端与电子商务WEB服务器端的通讯；（2）电子商务WEB服务器与电子商务数据库服务器的通讯；（3）银行内部网与业务网Z间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。2.安全链路在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立

6、安全链接，所传递的重耍信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的40位加密强度，也可以考虑将加密强度增加到128位。为在浏览器和服务器Z间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一•家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）o建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证來访者的合法身份。而单纯的想建立SSL链接吋客户只需用户下载该站点的服务器证书（下载可以在访问

7、Z前或访问时）。验证此证书是合法的服务器证书通过后利川该证书对称加密算法（RSA）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。SSL协议是Netscape公司在网络传输层之上提供的种基于RSA和保密密钥的用于浏览器和Web服务器Z间的安全连接技术。它被视为Internet±Web浏览器和服务器的标准安全性措施。SSL提供了用于启动TCP/IP连接的安全性“拮号交换”。这种信号交换导致客八和服务辭同意将使用的安全性级别，并履行连接的任何身份验证要求。它通过数字签名和数字证帖可实现浏览器和Web服务