电子商务概论重点难点解析.docx

电子商务概论重点难点解析.docx

《电子商务概论重点难点解析.docx》由会员分享，可在线阅读，更多相关《电子商务概论重点难点解析.docx（6页珍藏版）》请在冰豆网上搜索。

电子商务概论重点难点解析

电子商务概论重点难点解析

（二）

一、电子商务安全隐患

　　目前开展电子商务的主要安全隐患有：

　　1．中断信息系统

　　网络故障、操作错误、应用程序错误、硬件故障、系统软件错误、计算机病毒以与自然灾害都能导致系统不能正常地工作。

因而要对此所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时间、确定的地点是有效的。

　　2．窃听交易信息

　　电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。

电子商务是建立在一个较为开放的网络环境上的，维护商业机密是电子商务全面推广应用的重要保障。

因此，要预防通过搭线和电磁泄露等手段造成信息泄露，或对业务流量进行分析，从而获取有价值的商业情报等一切损害系统机密性的行为。

　　3．篡改交易信息

　　电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一问题。

由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。

此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会影响贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。

　　4．伪造交易信息

　　电子商务可能直接关系到贸易双方的商业交易，如何确定要进行交易方正是所期望的贸易方这一问题则是保证电子商务顺利进行的关键。

在无纸化的电子商务方式下，通过手写签名和印章进行贸易方的鉴别已是不可能。

因此，需要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。

　　5．抵赖交易行为

　　当贸易一方发现交易行为对自己不利时，否认电子交易行为。

例如由于价格的上扬，卖方否认曾答应过协议，或者由于价格的下跌，买方否认曾求购的请求。

因此要求系统具备审查能力，以使交易的任何一方不能抵赖已经发生的交易行为。

　　二、企业电子商务安全管理对策

　　企业电子商务的安全管理需要一个完整的综合保障体系。

应当从技术、管理、法律等方面入手，采取行之有效的综合解决的办法和措施，才能真正实现电子商务的安全运作。

其主要安全管理对策体现在以下几个方面：

（一）人员管理

　　由于人员在很大程度上支配着市场经济下的企业的命运，而计算机网络犯罪又具有智能型性、连续性、高技术性的特点，因而，加强对电子商务人员的管理变得十分重要。

　　贯彻电子商务安全运作基本原则：

　　1、双人负责原则：

重要业务不要安排一个人单独管理，实行两人或多人相互制约的机制；

　　2、任期有限原则：

任何人不得长期担任与交易安全有关的、职务；

　　3、最小权限原则：

明确规定只有网络管理员才可以进行物理访问，只有网络人员才可进行软件安装工作。

（二）保密管理

　　电子商务涉与企业的市场、生产、财务、供应等多方面的机密，信息的安全级别又可分为绝密级、机密级和秘密级三级，因此，安全管理需要很好地划分信息的安全防范重点，提出相应的保密措施。

　　保密工作的另一个重要的问题是对密钥的管理。

大量的交易必然使用大量的密钥，密钥管理必须贯穿于密钥的产生、传递和销毁的全过程。

密钥需要定期更换，否则可能使“黑客”通过积累密文增加破译机会。

　　（三）网络系统的日常维护管理

　　1、硬件的日常管理和维护

　　企业通过自己的Intranet参与电子商务活动，Intranet的日常管理和维护变得至关重要，这就要求网络管理员必须建立系统设备档案。

一般可用一个小型的数据库来完成这项功能，以便于一旦某地设备发生故障，进行网上查询。

　　对于一些网络设备，应与时安装网管软件。

对于不可管设备应通过手工操作来检查状态，做到定期检查与随机抽查相结合，以便与时准确地掌握网络的运行状况，一旦有故障发生能与时处理。

　　2、软件的日常管理和维护

　　对于操作系统，所要进行的维护工作主要包括：

定期清理日志文件、临时文件；定期执行整理文件系统；监测服务器上的活动状态和用户注册数；处理运行中的死机情况等。

　　对于应用软件的管理和维护主要是版本控制。

为了保持各客户机上的版本一致，应设置一台安装服务器，当远程客户机应用软件需要更新时，就可以从网络上进行远程安装。

　　（四）数据备份和应急措施

　　为了保证网络数据安全，必须建立数据备份制度，定期或不定期地对网络数据加以备份。

　　应急措施是指在计算机灾难事件（即紧急事件或安全事故）发生时，利用应急计划辅助软件和应急设施，排除灾难和故障，保障计算机信息系统继续运行或紧急恢复。

在启动电子商务业务时，就必须制定交易安全计划和应急方案，一旦发生意外，立即实施，最大限度地减少损失，尽快恢复系统的正常工作。

　　灾难恢复包括许多工作。

一方面是硬件的恢复，使计算机系统重新运转起来；另一方面是数据的恢复。

一般来讲，数据的恢复更为重要，难度也更大。

目前运用的数据恢复技术主要是瞬时复制技术、远程磁盘镜像技术和数据库恢复技术。

　　（五）跟踪与审计管理

　　跟踪制度要求企业建立网络交易系统日志机制，用于记录系统运行的全过程。

系统日志文件是自动生成的，内容包括操作日期、操作方式、登录次数、运行时间、交易内容等。

它对系统的运行监督、维护分析、故障恢复，对于防止案件的发生或为侦破案件提供监督数据，起到非常重要的作用。

　　审计制度包括经常对系统日志的检查、审核，与时发现对系统故意入侵行为的记录和对系统安全功能违反的记录，监控和捕捉各种安全事件，保存、维护和管理系统日志。

　　（六）病毒防范

　　抗病毒是电子商务安全的一个新领域。

病毒在网络环境下具有更强的传染性，对网络交易的顺利进行和交易数据的妥善保存造成极大的威胁。

从事网上交易的企业和个人都应当建立病毒防范制度，排除病毒的骚扰。

　　三、企业电子商务安全管理手段

　　由于电子商务涉与到金融、企业、商家等各个方面的利益，它必须采用行之有效的安全手段。

现今采用了多种实现手段，以保证电子商务系统的安全运行。

比较流行的安全手段有电子商务系统防火墙、信息加密、数字签名、身份认证和数字证书等。

（一）电子商务系统防火墙

　　1.防火墙的基本概念

　　防火墙是指一个由软件系统和硬件设备组合而成的，在内部网和外部网之间的界面上构造的保护屏障。

所有的内部网和外部网之间的连接都必须经过此保护层，在此进行检查和连接。

只有被授权的通信才能通过此保护层，从而使内部网络与外部网络在一定意义下隔离，防止非法入侵、非法使用系统资源，执行安全管制措施，记录所有可疑的事件，如图所示。

　　电子商务系统防火墙必须为电子商务系统提供以下主要保障：

（1）防火墙封锁所有信息流，对希望提供的服务逐项开放，确保授权访问。

（2）检查数据包的来源、目的地、内容与模式，并鉴别真伪。

　　（3）对私有数据的加密支持和广泛的服务支持。

　　2.防火墙的组成

　　防火墙主要包括安全操作系统、过滤器、网关、域名服务和E—mail处理五部分。

有的防火墙可能在网关两侧设置两个内、外过滤器，外过滤器保护网关不受攻击，网关提供中继服务，辅助过滤器控制业务流，而内过滤器在网关被攻破后提供对内部网络的保护。

防火墙示意图

　　3、防火墙的局限性

　　防火墙也有一定的局限性。

主要表现在：

（1）不能抵御来自内部的攻击。

防火墙只能抵御经由防火墙的攻击，不能防范不经由防火墙的攻击。

防火墙只是设在内域网和Internet之间，对其间的信息流进行干预的安全设施。

（2）不能防范人为因素的攻击，不能防止由公司内部人员恶意攻击或用户误操作造成的威胁，以与由于口令泄露而受到的攻击。

　　（3）不能有效地防止受病毒感染的软件或文件的传输。

由于操作系统、病毒、二进制文件类型（加密、压缩）的种类太多且更新很快，所以防火墙无法逐个扫描每个文件以查找病毒。

　　（4）不能防止数据驱动式的攻击。

当有些表面看来无害的数据邮寄或拷贝到内部网的主机上并被执行时，可能会发生数据驱动式的攻击。

例如，一种数据驱动式的攻击可以使主机修改与系统安全有关的配置文件，从而使入侵者下一次更容易攻击该系统。

（二）电子商务信息加密

　　1.信息加密技术的基本概念

（1）加密和解密；加密是指采用数学方法对原始信息（通常称为“明文”）进行再组织，使它成为一种不可理解的形式，这种不可理解的内容叫做密文；解密是加密的逆过程，即将密文还原成原来可理解的形式。

（2）算法和密钥。

加密和解密过程依靠两个元素，缺一不可，这就是算法和密钥。

算法是加密或解密的一步一步的过程。

在这个过程中需要一串数字，这个数字就是密钥。

　　（3）密钥的长度。

密钥的长度是指密钥的位数。

因此，密钥的位数越长，加密系统就越牢固。

　　2．电子商务信息的加密技术

　　目前，加密技术分为两类，即对称加密和非对称加密。

（1）对称加密。

　　在对称加密方法中，对信息的加密和解密都使用相同的密钥。

也就是说，一把钥匙开一把锁。

使用对称加密方法将简化加密的处理，贸易双方都不必彼此研究和交换专用的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。

如图所示。

　　对称加密技术采用相同密钥，要求贸易双方共同保守秘密，以与存在着在通信的贸易双方之间确保密钥安全交换的问题。

此外，当某一贸易方有“n”个贸易关系，那么他就要维护“n”个专用密钥（即每把密钥对应一贸易方）。

对称加密方式存在的另一个问题是无法鉴别贸易发起方或贸易最终方。

因为贸易双方共享同一把专用密钥，贸易双方的任何信息都是通过这把密钥加密后传送给对方的。

对称加密示意图

（2）非对称加密。

　　在非对称加密体系中，密钥被分解为一对，即一把公开密钥和一把专用密钥。

这对密钥中的任何二把都可作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把则作为专用密钥（解密密钥）加以保存。

如图所示。

　　公开密钥用于对机密性的加密，专用密钥则用于对加密信息的解密。

专用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛发布，但它只对应于生成该密钥的贸易方。

非对称加密示意图

　　（三）电子商务数字签名

　　数字签名，是只有信息的发送者才能产生，而别人无法伪造的一段数字串，这段数字串同时也是对发送者发送信息的真实性的一个有效证明。

　　数字签名是通过用密码算法对数据进行加、解密交换实现的。

将数字签名用发送方的私有密钥进行加密，会同密文一起送给接收方，接收方用发送方的公开密钥对数字签名进行解密，就可确定消息来自于谁，则可确定发送方的身份是真实的。

　　数字签名可做到既保证签名者无法否认自己的签名，又保证接收方无法伪造发送方的签名，还可作为信息发收双方对某些有争议信息的法律依据。

数字签名提供了一种安全的方法。

　　（四）电子商务身份认证

　　一般来说，用户身份认证可通过三种基本方式或其组合方式来实现：

　　1、人体生物学特征方式。

由于某些人体生物学特征，如指纹、声音、DNA图案、视网膜扫描等，不同人相同的概率十分小，用它可直接进行身份认证。

但这种方式一般造价较高，适用于保密程度很高的场合。

　　2、口令方式。

口令是应用最广泛的一种身份识别方式。

口令一般是长度为5—8的字符串，由数字、字母、特殊字符、控制字符等组成。

口令的选择一般应满足以下几个原则：

（1）容易记忆；

（2）不易猜中；

　　（3）不易分析。

　　3、标记方式。

标记是一种用户所持有的某个秘密信息（硬件），标记上记录着用于机器识别的个人信息。

它的作用类似于钥匙，用于启动电子设备。

访问系统资源时，用户必须持有合法的随身携带的物理介质（如智能卡）。

　　（五）电子商务数字证书

　　数字证书或公钥证书是由认证机构签署的，其中含有掌握相应密钥的持证者的确切身份或其它属性。

数字证书是将公钥体制用于大规模安全电子商务的基本要素。

　　认证机构（CA）作为电子商务交易中受信任的第三方，认证机构的职能是发放和管理用户的数字证书。

在开展网络交易时，应向对方提交一个由CA签发的包贪个人身份的证书，以使对方相信自己的身份。

顾客向CA申请证书时，可提交自己的执照、身份证或护照，经验证后，颁发证书，以此作为网上证明自己身份的依据。

　　一般说来，数字证书有三种类型，即个人数字证书、企业（服务器）数字证书、软件（开发者）数字证书。