[摘 要]隨著信息化的發展，就如何建立一個安全、便捷的電子商務應用環境，保證整個商務活動中信息的安全性，已經成為我們急需解決的一個問題。本文從我國電子商務發展所面臨的現實問題出發，探討了一些有關保護電子商務安全的措施。

[關鍵詞]電子商務 安全 措施

隨著信息技術的飛速發展，人類正以前所未有的速度進入以網絡為主的信息時代，網絡的快速發展不僅促進了人們的通信和交流，同時也帶來了商業和經濟模式的巨大變革。基于網絡開展的電子商務，己逐漸成為人們進行商務活動的新模式，電子商務依托于網絡技術和遠程通信技術，降低了客戶信息的收集成本，減少了客戶服務費用。然而，開放的信息系統必然存在眾多潛在的安全隱患。由于因特網是一個完全開放的網絡，任何一臺計算機都可以與之聯接，并借助其進行各種網上商務活動，且交易雙方不能面對面地進行交流，這就給那些別有用心的組織或個人提供了竊取他人機密，甚至破壞他人網絡系統運行的機會。可以說安全問題是制約其發展的重要因素，是關系到電子商務系統能否成功運行的最為重要的問題。電子商務的一個重要技術特征是利用計算機技術來傳輸和處理商業信息，一方面它是借助于互聯網平臺來進行商務交易，因此需要從電子技術層面來加以防范；另一方面，作為商務交易的買賣行為，它同樣具有商品交易的一些基本特征，遵循著商務交易的規則，因此還需要從安全管理的層面加以防范。

一、從科技層面入手加強安全措施

（一）主要的電子商務安全技術

第一，加密技術。加密技術是電子商務采取的主要安全措施，是實現信息的保密性、完整性的核心。加密技術一方面應用于數據、文件加密，另一方面也是身份認證、數字簽名等安全技術的基礎。按照密鑰的不同，加密技術主要有對稱型密鑰體制和非對稱型密鑰體制。對稱密碼體制也稱為私鑰密碼體制，發送方和接收方都必須使用相同的密鑰對消息進行加密和解密運算。對稱加密算法最大的優勢就是開銷小、加密速度快，所以廣泛應用于對大量數據如文件進行加密。它的局限性在于通信雙方要確保密鑰的安全交換，密鑰的分發和管理非常復雜，而且無法鑒別交易發起方或交易最終方。非對稱型密鑰加密也稱為公開密鑰算法，需要兩個密鑰:對外公開的公開密鑰和自己保存的私有密鑰。公開密鑰用于對機密信息加密，私有密鑰用于對機密信息解密。由于公開密鑰是公開存放，密鑰的分配和管理問題很容易解決。然而，公鑰加密算法速度比私鑰加密算法慢得多，同時公開加密方式對資源的占用較大，網絡傳輸速度將受到影響。在實際應用中，通常將兩種加密技術結合起來。數字信封即利用了兩種加密技術的優點，先采用公鑰密碼傳送加密密鑰，再用私鑰密碼加密傳輸的信息，從而確保信息的安全傳輸。

第二，安全認證技術。一種是數字摘要與數字簽名技術。摘要技術采用Hash函數將需加密的明文映射成一串較短的定長密文，這一串密文亦稱為數字指紋，可以確保數據不被修改，保證信息的完整性。數字簽名就運用了數字摘要技術，與傳統簽字具有同樣的有效性，其原理如下:報文發送方從報文文本中生成一個128位的報文摘要，并用自己的私有密鑰對這個摘要進行加密，形成發送方的數字簽名;然后，這個數字簽名將作為報文的附件和報文一起發送給報文的接收方;報文接收方首先從接收到的原始報文中計算出128位的消息摘要，接著再用發送方的公開密鑰來對報文附加的數字簽名進行解密。如果兩個摘要相同，那么接收方就能確認該數字簽名是發送方的。數字簽名技術可以保證信息傳輸過程中的完整性，提供信息發送者的身份認證和不可抵賴性。另一種是數字證書。數字證書又稱數字憑證，由可信任的、公正的權威機構頒發。CA中心對申請者所提供的信息進行驗證，然后通過向電子商務各參與方簽發數字證書，來確認各方身份的真實性、合法性及對網絡資源的訪問權限等，保證網上支付的安全性。

（二）在電子商務中應用安全技術

靈活運用加密技術，可以有效地解決電子商務的很多安全問題。例如，數字信封技術結合了對稱密碼體制和非對稱密碼體制的優點，保證了電子交易過程中只有規定的特定收信人才能閱讀通信的內容。信息發送方首先利用隨機產生的對稱密鑰來加密信息，然后用接收方的公開密鑰加密對稱密鑰，被加密后的對稱密鑰即數字信封。在傳遞信息時，發送方將數字信封和加密后的信息一起發送給接收方，接收方必須使用自己的私有密鑰進行數字信封拆解，得到對稱密鑰，才能利用對稱密鑰解密看到信件內容。

因此，采用數字信封技術后，即使加密信件被他人非法截獲，截獲者也無法知曉信件內容，從而保證了只有規定的接收人才能閱讀信息的內容。利用非對稱密碼體制的常用算法可以實現不可抵賴性。甲向乙發送數據時，先用MD5算法計算要發送的數據的信息摘要，再用自己的私鑰對摘要進行加密來形成數字簽名。乙收到數據后，用甲的公開密鑰解密并確認數據內容。然后乙用自己的私有密鑰再對數據進行簽名并傳遞給甲。甲收到數據后，用乙的公開密鑰進行解密并確認數據內容，將內容保存起來。通過這樣的操作實現了不可抵賴性。

身份認證是實現網絡安全的重要機制之一。參與電子商務的各方必須通過某種形式的身份驗證機制來證明他們的身份，驗證用戶的身份與所宣稱的是否一致，從而實現對于不同用戶的訪問控制和記錄。身份認證可以通過數字簽名和數字證書來實現。如果接收方能夠成功解密數字簽名，就可以對發送方進行身份認證，確認傳輸信息的完整性。然而，如果接收方獲得的公開密鑰不是發送方的，數字簽名就失效了。因此，僅有數字簽名不能實現身份認證。數字證書提供了一種驗證用戶身份的方式，能夠確認公鑰的確屬于某個用戶，任何需要此用戶公鑰的人都可以得到此證書并通過相應的數字簽名來驗證公鑰的有效性。 二、從管理環境層面入手加強安全措施

（一）完善管理體制和管理環境

從整體上有計劃地考慮信息安全問題。由于各部門、公司存在個體差異，對于不同業務領域來說，信息安全具有不同的涵義和特征，信息安全保障體系的建設必須涵蓋各部門和各公司的信息安全保障體系的相關內容。應收集現有的已發生的電子商務安全問題及解決方案，向企業從事電子商務操作的人員及客戶搜集電子商務信息安全所面臨的潛在的問題，通過建立并保持與有關專家的對話來促使問題得到解決，并將其存儲到數據庫，使其與相應問題連接以保證電子商務操作人員在面臨安全問題并試圖解決時能盡快獲得必要的信息。

加快信息安全人才的培養。通過各種形式進行初級選拔，經過一定時間的考察，選拔責任心強、講原則守紀律、了解市場并懂得基本網絡知識和安全知識的人員。對于重要的業務，尤其是企業機密文件及用戶資料等業務不要安排一個人單獨管理，應實行兩人或多人相互制約的機制;重要業務操作人員及交易安全等職務的任期有限;對于網絡訪問權限的設定應保證不同業務的人員應具有不同的訪問權限。

提高企業和公眾安全意識。要求電子商務網上交易人員嚴格遵守企業網上交易安全制度，明確網上交易人員及管理人員的責任，重視管理，避免“重技術、輕管理”的現象。當面臨安全問題時應及時匯報，并對違反網上交易安全規定的行為進行懲罰，對有關責任人應進行嚴肅處理。

（二）建立電子商務安全運行體系

一要做好電子商務網站的安全評估，首先要聘請專家對電子商務網站進行綜合安全水平評估，及時發現安全隱患，及早堵塞安全漏洞。其次要建立安全體系架構。再次是做好病毒的防護，在企業中培養集體防毒意識，部署統一的防毒策略，高效、及時地應對病毒的入侵。最后是綜合采用多種安全技術，包括防火墻技術、入侵檢測技術、數字加密技術、數字簽名技術、認證技術等，確保網站系統、信息及數據的安全與保密。二要建立健全電子商務法律法規，嚴厲打擊電子商務領域違法犯罪行為。為保證電子商務活動得以正常進行，政府需要提供一個透明、和諧的商業法律環境。目前，我國急需制定的有關電子商務的法律法規主要有買賣雙方身份認證辦法、電子合同的合法性程序、電子支付系統安全措施、信息保密規定、知識產權侵權處理規定、稅收征收辦法、廣告的管制以及網絡信息內容過濾等。另外建議國家司法部門加大網絡犯罪的偵查追究力度，嚴厲打擊電子商務領域犯罪，營造電子商務的一片凈土。

小結

從整個社會的發展情況來看，電子商務發展的速度有些過快，致使其安全技術和安全管理沒有實現同步性，這是一個越來越突出和急需解決的問題。除此之外，安全是發展的、動態的，無論是網絡的攻防還是詐騙與反詐騙都是此消彼長的，尤其是安全技術，它的敏感性、競爭性很強，需要不斷地檢查、評估和調整相應的安全策略。

[1]胡云.數字水印技術及其在電子商務安全領域的應用[J].電腦知識與技術，2007，(3) .

[2]施仁.電子商務核心技術- 安全電子交易協議的理論與設計[M].西安:西安電子科技大學出版社，2004，（9）.