电子商务安全策略研究

『壹』 电子商务信息安全与策略毕业论文怎么写

指出电子商务信息中的安全问题，再一一提出自己的建议和解决办法就好了，这是论文或者答辩时中鹏给出的一点模式建议

『贰』 电子商务安全威胁及防范措施分别是什么

1、未进行操作系统相关安全配置

不论采用什么操作系统，在缺省安装的条件下都会存在一些安全问题，只有专门针对操作系统安全性进行相关的和严格的安全配置，才能达到一定的安全程度。千万不要以为操作系统缺省安装后，再配上很强的密码系统就算作安全了。网络软件的漏洞和“后门”是进行网络攻击的首选目标。

2、未进行CGI程序代码审计

如果是通用的CGI问题，防范起来还稍微容易一些，但是对于网站或软件供应商专门开发的一些CGI程序，很多存在严重的CGI问题，对于电子商务站点来说，会出现恶意攻击者冒用他人账号进行网上购物等严重后果。

3、拒绝服务（DoS，DenialofService）攻击

随着电子商务的兴起，对网站的实时性要求越来越高，DoS或DDoS对网站的威胁越来越大。以网络瘫痪为目标的袭击效果比任何传统的恐怖主义和战争方式都来得更强烈，破坏性更大，造成危害的速度更快，范围也更广，而袭击者本身的风险却非常小，甚至可以在袭击开始前就已经消失得无影无踪，使对方没有实行报复打击的可能。

4、安全产品使用不当

虽然不少网站采用了一些网络安全设备，但由于安全产品本身的问题或使用问题，这些产品并没有起到应有的作用。很多安全厂商的产品对配置人员的技术背景要求很高，超出对普通网管人员的技术要求，就算是厂家在最初给用户做了正确的安装、配置，但一旦系统改动，需要改动相关安全产品的设置时，很容易产生许多安全问题。

5、缺少严格的网络安全管理制度

网络安全最重要的还是要思想上高度重视，网站或局域网内部的安全需要用完备的安全制度来保障。建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。

6、窃取信息

由于未采用加密措施，数据信息在网络上以明文形式传送，入侵者在数据包经过的网关或路由器上可以截获传送的信息。通过多次窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。

7、篡改信息

当入侵者掌握了信息的格式和规律后，通过各种技术手段和方法，将网络上传送的信息数据在中途修改，然后再发向目的地。这种方法并不新鲜，在路由器或网关上都可以做此类工作。

8、假冒

由于掌握了数据的格式，并可以篡改通过的信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端用户通常很难分辨。

9、恶意破坏

由于攻击者可以接入网络，则可能对网络中的信息进行修改，掌握网上的机要信息，甚至可以潜入网络内部，其后果是非常严重的。

安全对策

1、保护网络安全。

保护网络安全的主要措施如下：全面规划网络平台的安全策略，制定网络安全的管理措施，使用防火墙，尽可能记录网络上的一切活动，注意对网络设备的物理保护，检验网络平台系统的脆弱性，建立可靠的识别和鉴别机制。

2、保护应用安全。

应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。

3、保护系统安全。

在安装的软件中，如浏览器软件、电子钱包软件、支付网关软件等，检查和确认未知的安全漏洞。技术与管理相结合，使系统具有最小穿透风险性。如通过诸多认证才允许连通，对所有接入数据必须进行审计，对系统用户进行严格安全管理。建立详细的安全审计日志，以便检测并跟踪入侵攻击等。

4、加密技术

加密技术为电子商务采取的基本安全措施，交易双方可根据需要在信息交换的阶段使用。加密技术分为两类，即对称加密和非对称加密。

5、认证技术。

用电子手段证明发送者和接收者身份及其文件完整性的技术，即确认双方的身份信息在传送或存储过程中未被篡改过。包括数字签名、数字证书。

6、电子商务的安全协议。

电子商务的运行还有一套完整的安全协议，有SET、SSL等。

(2)电子商务安全策略研究扩展阅读

从电子商务的含义及发展历程可以看出电子商务具有如下基本特征：

1、普遍性。电子商务作为一种新型的交易方式，将生产企业、流通企业以及消费者和政府带入了一个网络经济、数字化生存的新天地。

2、方便性。在电子商务环境中，人们不再受地域的限制，客户能以非常简捷的方式完成过去较为繁杂的商业活动。如通过网络银行能够全天候地存取账户资金、查询信息等，同时使企业对客户的服务质量得以大大提高。在电子商务商业活动中，有大量的人脉资源开发和沟通，从业时间灵活，完成公司要求，有钱有闲。

3、整体性。电子商务能够规范事务处理的工作流程，将人工操作和电子信息处理集成为一个不可分割的整体，这样不仅能提高人力和物力的利用率，也可以提高系统运行的严密性。

4、安全性。在电子商务中，安全性为一个至关重要的核心问题，它要求网络能提供一种端到端的安全解决方案，如加密机制、签名机制、安全管理、存取控制、防火墙、防病毒保护等等，这与传统的商务活动有着很大的不同。

5、协调性。商业活动本身为一种协调过程，它需要客户与公司内部、生产商、批发商、零售商间的协调。在电子商务环境中，它更要求银行、配送中心、通信部门、技术服务等多个部门的通力协作，电子商务的全过程往往是一气呵成的。

『叁』 电子商务安全策略的内容

转：电子商务按交易主体一般分为四种：B2B、B2C、B2B2C、C2C。企业电子商务主要指前两种。按交易对象而言，B2B主要进行实物产品交易，而B2C除实物产品外还进行数字产品交易。影响电子商务赢利主要涉及三个方面：即成本收益、敏感性和风险。

成本收益
成本收益也叫盈亏平衡，就是说企业建设电子商务网站所带来的成本和收益，成本主要指：设备投资所需费用：这包括以各种方式接入因特网所必须的各种设备的费用和使用因特网时所需要的各种类型的终端、微机、工作站、服务器等的费用。通讯成本：指为传输信息所付的资费。维护费：这包括网络管理人员的工资和其他消费品的费用。

收益指电子商务的实施而得到的可大致进行定量分析的开销节约。主要包括降低库存成本所获收益，对于一般商业企业，库存成本大约为销售2%，如果把原料的库存和半成品的库存加上去，则可能更高达销售额的6%～30%。电子商务的解决方案可将此成本减少10%。电子商务处理单证的费用是原来书面形式的1/10。实行电子商务后，企业可以通过因特网搜集信息，进行集中采购，从而减少了管理成本，节约了差旅费。也堵塞了采购过程中的一些漏洞。有资料表明，全球EDI通常可为企业节省5%—10%的采购成本。有研究表明使用互联网做广告媒体进行网上促销活动，可增加10倍销量，而成本只有传统广告及邮寄广告的1/10。间接收益，这包括实行电子商务之后业务管理改善及更有效的为客户服务所获得的收益。

敏感性因素

影响电子商务盈利的敏感性因素主要有技术、资金和管理。

1.技术。先进的技术是保证电子商务顺利运行的前提，网络技术的迅猛发展是导致电子商务出现的直接原因。企业建设电子商务所需的技术分为前期的技术建设和运营后随技术发展状况而做的技术革新与追加。绝大多数电子商务企业并不进行技术的先期开发，而只是对成熟技术的引进利用。这就使电子商务技术具有普及性和趋同性的特点。技术的创新能够降低成本,率先采用新技术的企业能够在短期内提高收益,但其他企业会在很短时间内跟进。并且由于电子商务技术具有普及性及趋同性，因此技术对电子商务企业的盈利敏感度不大。

2.资金。投资于电子商务的资金包括先期开发资金和后期维护所需资金。电子商务企业先期投入的固定成本比较大，后期维护的费用比较小。电子商务硬件建成之后，固定成本对于其运营来讲是无关成本，只有后期的维护费用对企业的顺利运营有影响，由于这部分资金较小，电子商务企业一般都能及时支付，故资金对于电子商务企业的盈利影响也不大。

3.管理。企业实行电子商务后，后期的运作是包括产、供、销、资金支付等所有方面的系统工程。盈利与否、盈利大小都与管理有直接关系。同样的基础设施与技术，同样的起点，有的企业稳健发展，有的企业却连连亏损。这里，管理是决定电子商务企业兴衰成败的决定因素。

风险

任何投资项目都面临着各种各样的不确定性因素，电子商务也不例外。而且电子商务的收益具有不同于一般项目的特性：估算性。即电子商务的收益一般只能通过主观分析比较得到，例如减少多少书面作业量，提高多少信息准确度，改善多少与客户的关系等，不可能计算的很清楚。即电子商务的收益只能在电子商务项目建成之后从其运作过程中所能节省的成本中体现出来。

以上两个特性增加了电子商务企业收益的风险性。同时，由于网络经济的快速发展，新技术变革日新月异，使电子商务企业要获得生存发展必须在信息和技术两个方面跟上整个行业的发展，稍微落后即遭淘汰，这更增加了电子商务企业的风险性。

增强赢利的关键：成本、收益、风险的管理

由以上的分析可以看出，增强企业电子商务的盈利性，要从成本、收益、风险等方面的管理入手，降低成本和风险，提高收入。

降低成本

严格成本控制，降低运营成本。曾经有一段时间，“先壮大，后盈利”的思想被信奉为电子商务的经营哲学，为赢得顾客，网站花费巨额资金在电视台的黄金时间播放广告，赞助大型音乐会，提高知名度。这时成本控制的思想已被狂热的电子商务追求者们远远抛在脑后，以致成本过高，导致回收期过长，据IDG调查结果显示，美国很多新电子商务网络获得一个网上购物顾客成本为80美元，而大多数电子商务网站毛利只有5%左右，这就意味着一个顾客要买1600美元商品才能持平营销成本，更要用3～4年时间才能把投向该顾客的成本收回来。在来自投资人的盈利压力越来越大的情况下，紧缩开支，控制成本是电子商务网站走出死亡阴影的必由之路。

对企业的内外部资源进行优化组合，将摩擦成本降到最低。企业开展电子商务并不是一个孤立的环节，要达到降低成本的目的，前提条件是要保证上游企业和下游企业在信息化方面的跟进，从而形成一个良好的循环链，达到节省大量中间成本，提高工作效率的目的。(1)就企业内部而言，应加强企业资源计划(ERP)系统的实施，借助计算机集成系统(CIMS)和计算机辅助设计(CAD)连接研发、生产、供应、营销、服务等环节，实现对人力、财力、物力和技术等内部资源的优化组合。(2)就企业外部而言，应加强企业间的供应链管理，密切企业与供应商、销售商的联系，跟踪技术、客户、市场，确保对市场变化的及时了解和迅速反应。具体来讲，生产实物产品的电子商务企业可以采用商务运营部门与销售部门相脱离的双链运筹策略：销售部门专心做销售，而商务运营部门不仅要负责定单处理、产品储运等物流供货任务，同时将生产计划、物资采购等供货的前提环节也合并进来，使商务运营中心能够按照市场需求及供求情况去安排生产、采购配件、合理安排库存，最终实现及时供货，提升销售渠道和客户对企业的满意度。
改善企业组织结构，降低管理成本。传统的组织结构主要有U型和M型，现实的组织实践中绝大多数企业采用的就是这两类组织结构形式。这两种不同的组织结构中有一个共同的特点，即在决策层与作业层间存在中间管理层。但网络技术的普及和发展使企业组织机构的存在基础发生巨大的变化，电子商务技术的发展使信息处理效率大幅提高，企业网络内每一终端都可以同时获得全面的数据与信息，各种计算机辅助手段的应用使中层管理人员的作用日见势微，网络技术使企业高层管理人员通过网络系统，低成本的及时过滤各个基层机构形成的原始信息。因此企业应及时调整其组织结构，采用扁平化的组织结构方式来适应新兴电子商务经营方式，以减少中层管理人员，提高效率，降低企业内部管理成本。

提高收入增加收益

经营数字产品的电子商务企业应采用差别价格的定价方式充分挖掘电子商务的优势，提高收益。传统产品由于大规模生产具有趋同的特性，且无法获得不同消费者的偏好，只能对产品实行统一定价方式，或针对不同阶层、地区采用有限差别价格定价模式。网络技术的发展，数字产品可大规模量身定制的特性使完全差别价格定价模式的两个基本条件得以实现，即实现了产品差异化，同时也满足了能获得不同消费者的偏好。这就使电子商务企业可依据消费者的个人喜好对产品收取最高价格，获取统一定价模式下所不能获得的“消费者剩余”收益。

积极建立网上销售渠道，强化网络宣传，树立企业自身品牌形象，扩大销售量。经营数字产品的电子商务企业还可以采用捆绑式销售方法(捆绑式销售是指将两件或更多的产品按固定的比例包装在一起销售)提高销售量。

减少风险

大企业和小企业在发展电子商务中所面临的风险是不同的，所以企业是否发展电子商务要根据自身情况而定，决不能随波逐流，一哄而上。目前情况来看，大企业发展电子商务更具优势，这是因为：大型企业一般经过多年发展，具备了成熟的管理体系，主要的业务流程比较规范。大型企业具备完善的销售渠道。大型企业具备品牌优势比较容易吸引顾客。对这些企业来讲，导入电子商务只是将原来的资源统一整合配置到新的主业上的过程。海尔集团从2000年4月18日电子商务平台开始运行以来，到9月份止，其B2B就已实现了12亿元人民币的交易额，业绩不俗。从近两年电子商务的发展速度来推测，海尔在2001年电子商务的交易额还会有一大幅度增长。中小企业无上述优势，抵抗风险的能力也较差，建设电子商务的前期应进行严格的财务评价，以盈利为投资取舍的基准，应从自身现实出发，积极与大企业开展生产、经营、资本、技术等多方面的协作，加入到电子商务所形成的大规模供应链中去，融入到商务发展的潮流中去，从中汲取经验。内部购买力低，而无必要上电子商务的小型企业可以考虑从一家ASP供应商那里租赁网络平台，既满足自身需要，又可节省费用。

『肆』 求《电子商务安全技术的研究》毕业论文

电子商务安全技术的分析与研究

[摘 要] 本文首先介绍了电子商务安全的现状，分析了存在的主要问题，然后从网络安全技术、数据加密技术、用户认证技术等方面介绍了主要的电子安全技术，并提出了一个合理的电子商务安全体系架构。

[关键词] 电子商务电子支付 安全技术

一、引言
随着网络技术和信息技术的飞速发展，电子商务得到了越来越广泛的应用，越来越多的企业和个人用户依赖于电子商务的快捷、高效。它的出现不仅为Internet的发展壮大提供了一个新的契机，也给商业界注入了巨大的能量。但电子商务是以计算机网络为基础载体的，大量重要的身份信息、会计信息、交易信息都需要在网上进行传递，在这样的情况下，安全性问题成为首要问题。

二、目前电子商务存在的安全性问题
1.网络协议安全性问题：目前，TCP/IP协议是应用最广泛的网络协议，但由于TCP/IP本身的开放性特点，企业和用户在电子交易过程中的数据是以数据包的形式来传送的，恶意攻击者很容易对某个电子商务网站展开数据包拦截，甚至对数据包进行修改和假冒。
2.用户信息安全性问题：目前最主要的电子商务形式是基于B/S(Browser/Server)结构的电子商务网站，用户使用浏览器登录网络进行交易，由于用户在登录时使用的可能是公共计算机，如网吧、办公室的计算机等情况，那么如果这些计算机中有恶意木马程序或病毒，这些用户的登录信息如用户名、口令可能会有丢失的危险。
3.电子商务网站的安全性问题：有些企业建立的电子商务网站本身在设计制作时就会有一些安全隐患，服务器操作系统本身也会有漏洞，不法攻击者如果进入电子商务网站，大量用户信息及交易信息将被窃取，给企业和用户造成难以估量的损失。

三、电子商务安全性要求
1.服务的有效性要求：电子商务系统应能防止服务失败情况的发生，预防由于网络故障和病毒发作等因素产生的系统停止服务等情况，保证交易数据能准确快速的传送。
2.交易信息的保密性要求：电子商务系统应对用户所传送的信息进行有效的加密，防止因信息被截取破译，同时要防止信息被越权访问。
3.数据完整性要求：数字完整性是指在数据处理过程中，原来数据和现行数据之间保持完全一致。为了保障商务交易的严肃和公正，交易的文件是不可被修改的，否则必然会损害一方的商业利益。
4.身份认证的要求：电子商务系统应提供安全有效的身份认证机制，确保交易双方的信息都是合法有效的，以免发生交易纠纷时提供法律依据。

四、电子商务安全技术措施
1.数据加密技术。对数据进行加密是电子商务系统最基本的信息安全防范措施．其原理是利用加密算法将信息明文转换成按一定加密规则生成的密文后进行传输，从而保证数据的保密性。使用数据加密技术可以解决信息本身的保密性要求。数据加密技术可分为对称密钥加密和非对称密钥加密。
(1)对称密钥加密(SecretKeyEncryption)。对称密钥加密也叫秘密/专用密钥加密，即发送和接收数据的双方必须使用相同的密钥对明文进行加密和解密运算。它的优点是加密、解密速度快，适合于对大量数据进行加密，能够保证数据的机密性和完整性；缺点是当用户数量大时，分配和管理密钥就相当困难。
(2)非对称密钥加密(PublicKeyEncryption)。非对称密钥加密也叫公开密钥加密，它主要指每个人都有一对惟一对应的密钥:公开密钥(简称公钥)和私人密钥(简称私钥)公钥对外公开，私钥由个人秘密保存，用其中一把密钥来加密，就只能用另一把密钥来解密。非对称密钥加密算法的优点是易于分配和管理，缺点是算法复杂，加密速度慢。
(3)复杂加密技术。由于上述两种加密技术各有长短，目前比较普遍的做法是将两种技术进行集成。例如信息发送方使用对称密钥对信息进行加密，生成的密文后再用接收方的公钥加密对称密钥生成数字信封，然后将密文和数字信封同时发送给接收方，接收方按相反方向解密后得到明文。
2.数字签名技术。数字签名是通过特定密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证所无法比拟的。数字签名技术可以保证信息传送的完整性和不可抵赖性。
3.认证机构和数字证书。由于电子商务中的交易一般不会有使用者面对面进行，所以对交易双方身份的认定是保障电子商务交易安全的前提。认证机构是一个公立可信的第三方，用以证实交易双方的身份，数字证书是由认证机构签名的包括公开密钥拥有者身份信息以及公开密钥的文件。在交易支付过程中，参与方必须利用认证中心签发的数字证书来证明自己的身份。
4.使用安全电子交易协议(SET:Secure Electronic Transactions)。是由VISA 和MasterCard两大信用卡组织指定的标准。SET用于划分与界定电子商务活动中各方的权利义务关系，给定交易信息传送流程标准。SET协议保证了电子商务系统的保密性、完整性、不可否认性和身份的合法性。

五、结束语
电子商务是国民经济和社会信息化的重要组成部分，而安全性则是关系电子商务能否迅速发展的重要因素。电子商务的安全是一个复杂系统工程，仅从技术角度防范是远远不够的，还必须完善电子商务方面的立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进电子商务又好又快地发展。

参考文献:
[1]覃 征 李顺东:电子商务概论[M].北京:高等教育出版社，2002.06．
[2]余小兵:浅谈电子商务中的安全问题[J].科技咨询导报，2007.02
[3]曾凤生:电子商务安全需求及防护策略[J].数据库及信息管理，2007.06

仅供参考，请自借鉴

希望对您有帮助。

『伍』 电子商务的安全策略包括哪些内容

推荐你去“同徽电子商务研究中心”网站上看看，这上面都是关于电子商务相关的新闻及知识，评论，以及发展趋势等。你多看看，相信对你有用。
我就是一直收藏着，用得着就翻出来看看。挺好。

『陆』 分析企业在制定电子商务安全策略时应考虑哪些问题

1.计算机安全
计算机是一种硬件设备，硬件设备难免出现故障，一旦出现，将会影响电子商务系统的运行。非凡是计算机的硬盘，一旦损坏，数据就会丢失，损失就无法挽回，需要对计算机硬件和数据进行备份。计算机系统安全主要是考虑提高用于电子商务系统的计算机硬件可靠性和稳定性。

2.网络安全
网络是用户进行数据交换，信息传递的主要途径。通过网络，用户可以访问网络中不同的计算机系统。网络安全主要是考虑限制用户对用于电子商务系统的计算机的访问权限，防止未授权的用户对系统的访问以及越权访问。

3.数据安全
在网络上传递的数据假如不采用任何安全措施，就会受到各种各样的攻击，如数据被截获，甚至数据被恶意篡改和破坏。数据安全主要是考虑防止数据被截获或截获后被破译，以及防止数据被恶意篡改和破坏。

4.应用安全
在网络环境下，计算机病毒猖獗，假如不加防范，就轻易导致应用软件被病毒感染，程序被非法入侵和破坏，系统的功能受到限制。更严重的是导致系统不能正常工作，数据和信息丢失。应用安全主要是考虑防止应用软件被各种病毒非法入侵和破坏。

5.电子商务交易安全问题
电子商务交易过程中，商家要发布产品信息，确认订购信息，收货款；客户要获取产品信息，传递订购信息，支付货款。买卖双方都存在安全问题，其中主要包括交易信息安全、支付安全和诚信安全。

『柒』 求一篇《浅析我国电子商务安全现状与应对策略》论文

你好，可以给我一个邮箱吗，我上图书馆资源数据库搜索的以下文章，我把他们发给你

四篇文章题名为：

《电子商务安全管理的现状及其对策》

《我国电子商务安全防范的现状及解决途径》

《我国电子商务安全现状及防范对策探讨》

《浅析我国电子商务安全现状》

希望对你有帮助~

知道 举手之劳团队 队长：晓斌

『捌』 电子商务安全策略的基本原则

一、网络节点的安全 1．防火墙 防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。 2．防火墙安全策略 应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。 3．安全操作系统 防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。
二、通讯的安全 1．数据通讯 通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于： （1）客户浏览器端与电子商务WEB服务器端的通讯； （2）电子商务WEB服务器与电子商务数据库服务器的通讯； （3）银行内部网与业务网之间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。 2．安全链路 在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。
目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（CA中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（PKI）。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。
三、应用程序的安全性 即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种
形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。 这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。
四、用户的认证管理 1．身份认证 电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。 2．CA证书 要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心（CA中心）发行。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书。
五、安全管理 为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。 对于所有接触系统的人员，按其职责设定其访问系统的最小权限。 按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。 建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁

『玖』 电子商务网站 安全策略

期待中。。
但是这些好像是公司的机密，不会告诉你太详细，只能告诉你一个大框

『拾』 电子商务的安全策略包括哪些

一、网络节点的安全

1.防火墙

防火墙是在连接Internet和Intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的Intranet系统。

2.防火墙安全策略

应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3.安全操作系统

防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。

二、通讯的安全

1.数据通讯

通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。电子商务系统的数据通信主要存在于：

(1)客户浏览器端与电子商务WEB服务器端的通讯;

(2)电子商务WEB服务器与电子商务数据库服务器的通讯;

(3)银行内部网与业务网之间的数据通讯。其中(3)不在本系统的安全策略范围内考虑。

2.安全链路

在客户端浏览器和电子商务WEB服务器之间采用SSL协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的4O位加密强度，也可以考虑将加密强度增加到128位。为在浏览器和服务器之间建立安全机制，SSL首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构(CA中心)签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥(PKI)。建立SSL链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载可以在访问之前或访问时)。验证此证书是合法的服务器证书通过后利用该证书对称加密算法(RSA)与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

三、应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数;程序员忘记检查边界条件，特别是处理字符串的内存缓冲时;程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运行，其他的部分只有缩小的许可;程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制(最少许可)，程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

四、用户的认证管理

1.身份认证

电子商务企业用户身份认证可以通过服务器CA证书与IC卡相结合实现的。CA证书用来认证服务器的身份，IC卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用ID号和密码口令的身份确认机制。

2.CA证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是CA证书，它由认证授权中心(CA中心)发行。CA中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立SSL安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立SSL链接时客户只需用户下载该站点的服务器证书(下载可以在访问之前或访问时进行)。

五、安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。

对于所有接触系统的人员，按其职责设定其访问系统的最小权限。

按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。

对于重要数据要及时进行备份，且对数据库中存放的数据，数据库系统应视其重要性提供不同级别的数据加密。

安全实际上就是一种风险管理。任何技术手段都不能保证1OO%的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。