电子商务的安全与管理

Ⅰ 电子商务安全与管理的介绍

《电子商务安全与管理》是由洪国彬、谭龙江编著，清华大学出版社出版的一本书籍。

Ⅱ 简述电子商务安全风险的类型及安全管理的方法

电子商务网络系统自身的安全问题
（1）物理实体安全问题
（2）计算机软件系统潜回在的安全答问题
（3）网络协议的安全漏洞
（4）黑客的恶意攻击
（5）计算机病毒攻击
（6）安全产品使用不当
5、电子商务交易信息传输过程中面临哪些安全问题？
（1）信息机密性面临的威胁：主要指信息在传输过程中被盗取。
（2）信息完整性面临的威胁：主要指信息在传输的过程中被篡改、删除或插入
（3）交易信息的可认性面临的威胁：主要指交易双方抵赖已经做过的交易或传输的信息。
（4）交易双方身份真实性面临的威胁：主要指攻击者假冒交易者的身份进行交易。 电子商务企业内部安全管理问题（1）网络安全管理制度问题（2）硬件资源的安全管理问题（3）软件和数据的维护与备份安全管理问题
有什么不懂的可以问我，我是#华农@百灵#的。

Ⅲ 电子商务安全的管理方法有哪些

电子商务是利用各种电子化手段进行的商务活动,其价值的实现主要依托于网络,尤其是互联网,它已经成为互联网应用的一个必然趋势和金融商贸的主要模式之一.如何建立一个安全的电子商务应用环境,对信息提供足够的保护,已经成为电子商务必须直面的一个问题.
由于电子商务的重要技术特征是利用网络来传输和处理商业信息,因此,电子商务安全主要包括两个方面:网络安全和商务安全.而这些安全的实现又依托于一些具体的安全技术,遵循相关安全协议.
1 网络安全问题
网络安全主要是指计算机和网络本身可能存在的安全问题,也就是要保障电子商务平台的可用性和安全性.网络安全是电子商务的基础,其问题一般表现为:
1.1 计算机本身潜在的安全隐患带来的网络安全问题
计算机使用的是未经过相关的网络安全配置的操作系统,不论是什么操作系统,在缺省安装的条件下都会存在一些安全问题,而仅仅将操作系统按缺省安装后,再配上很长的密码就认为安全的想法是不可靠的.因为计算机本身存在的软件漏洞和"后门"往往是网络攻击的首选目标.
1.2 入侵者风险降低获利升高带来的刺激引发的网络安全问题
由于网络的全球性,开放性,共享性的发展,使得任何人都可以自由地接入互联网,而这其中也包括了黑客,入侵者和病毒制造者.他们采用的攻击方法越来越多,对电子商务的威胁也显得越来越明显.相对而言,袭击者本身的风险却非常小,甚至可以在袭击后很快就消失得无影无踪,使对方几乎没有实行报复打击的可能,这使他们的活动更加猖獗.美国的"雅虎"和"亚马逊"曾受到攻击的事件就说明了这一点.
1.3 安全设备使用不当带来的网络安全问题
虽然绝大多数网站采用了网络安全设备,有的甚至还耗费巨资,但由于安全设备本身因素或使用问题,这些设备并没有起到应有的或期望的作用.很多安全厂商的产品对配置人员的技术背景要求很高,往往超出对普通网管人员的技术要求,就算是厂家在最初给用户做了正确地安装,配置,一旦系统改动,需要改动相关安全设备的设置时,很容易产生许多安全问题.而通常意义上的网络管理者往往无法胜任这样的工作.
因此在实施网络安全防范措施时应做到:首先要加强主机本身的安全,做好安全配置;及时安装安全补丁程序,减少漏洞;安装防病毒软件和软件防火墙,加强内部网的整体防病毒措施;使用各种系统漏洞检测软件定期对网络系统进行扫描分析,找出可能存在的安全隐患,并及时加以修补;从路由器到用户各级建立完善的访问控制措施,安装防火墙,加强授权管理和认证;利用相应的数据存储技术加强数据备份和恢复措施;对敏感的设备和数据要建立必要的物理或逻辑隔离措施;对在公共网络上传输的敏感信息要进行一定强度的数据加密;建立详细的安全审计日志,以便检测并跟踪入侵攻击.同时充分利用已经公布的有关交易安全和计算机安全的法律法规为电子商务交易护航.再者,面对普通网络管理员的技术水平,在网络的建设和维护中可采用联合开发维护的方式,通过前期的建设和维护不断提高和完善自身团队的技术水平,使其在成长中逐步胜任企业对网络安全的要求.
网络管理者在思想上高度重视安全问题也是相当有必要的.技术的产生一般相对于人们的需求有一定的滞后性,而建立和实施严密完善的网络安全制度和策略往往可以代替暂时无法实现的技术,毕竟这才是真正实现网络安全的基础.
一个全方位的计算机网络安全体系结构通常包含网络的物理安全,访问控制安全,系统安全,用户安全,信息加密,安全传输和管理安全.这一切的实现依赖于各种先进的主机安全技术,身份认证技术,访问控制技术,密码技术,防火墙技术,安全审计技术,安全管理技术,系统漏洞检测技术,黑客跟踪技术.随着安全核心系统,VPN安全隧道,身份认证,网络底层数据加密和网络入侵主动监测等越来越高深复杂的安全技术的应用,从不同层面加强了计算机网络的整体安全性,渐渐在攻击者和受保护的资源间建立了多道严密的安全防线,增加了恶意入侵的难度.
为了保证电子商务活动的顺利进行,必须有安全完善的网络体系为其提供稳定可靠,强有力的支撑.
2 商务安全问题
商务安全指商务交易在网络媒介中体现出来的安全问题,也就是要实现电子商务信息的保密性,完整性,真实性和不可抵赖性.
在早期的电子交易中,曾采用过一些简单的安全措施.例如将网上交易中最关键的数据如信用卡号码及成交数额等用电话告知,以防泄密,网上交易后再用其他方式对交易做确认,以保证其真实性和不可抵赖性.这些方法不仅操作不便,而且有一定的局限性,也不能实现其真正的安全性.
2.1 商务安全中普遍存在的几种安全隐患
2.1.1 窃取信息
信息在传输过程中未采用相应的加密措施或加密强度不够,导致数据信息在网络上以明文或近乎明文的形式传送.入侵者在数据包经过的设备或线路上采用截获方法截获正在传送的信息,通过对窃取数据参数的分析比对,找到信息的格式和规律,进而得到传输信息的内容,导致消费者消费信息,账号密码和企业商业机密等信息的外泄.
2.1.2 篡改信息
当入侵者掌握了信息的格式和规律后,通过各种技术方法和手段对网络传输中的信息进行截获修改再发至原先指定目的地,从而破坏信息的真实性.入侵者通过改变信息流的次序,更改信息的内容,删除信息的某些部分,甚至在信息中插入一些附加内容,使接收方做出错误的判断与决策.
2.1.3 信息假冒
由于掌握了数据的格式,并可以篡改通过的信息,攻击者可以进一步冒充合法用户获取和发送信息,而远端接受方或发送方通常不易分辨.常见的方式有伪造用户和商户的收定货单据,套取或修改相关程序的使用权限等.
2.1.4 信息破坏
由于攻击者已侵入网络,已获得对网络中信息的修改权限,如其对网络中现有机要信息进行修改乃至于删除,其后果是非常严重的.
2.2 商务安全的要求
2.2.1 信息的保密性
交易中的商务信息都需要遵循一定的保密规则.因为其信息往往代表着国家,企业和个人的商业机密.在以往传统的纸面贸易中采用邮寄封装或通过可靠的通信渠道传送商业信息来达到保密的目的和要求.而电子商务是建立在一个较为开放的互联网络环境上的,它所依托的网络本身也就是由于开放式互联形成的市场,才赢得了电子商务,因此在这一新的支撑环境下,势必要用相应的技术和手段来延续和改进信息的保密性.一般用密码技术来实现.
2.2.2 信息的完整性
不可否认电子商务的出现以计算机代替了人们大多数复杂的劳动,也以信息系统的形式整合化简了企业贸易中的各个环节,但网络的开放和信息的处理自动化也使如何维护贸易各方商业信息的完整,统一出现了问题.由于数据输入时的意外差错(如计算机自动处理过程中死机,停电等),可能导致贸易各方信息的不一致.此外,数据传输过程中人为的或自然的信息丢失(如数据包丢失),信息重复或信息传送的次序差异(如网络堵塞重发)也会导致贸易各方信息的不同.而贸易各方各类信息的完整性势必影响到贸易过程中交易和经营策略.因此保持贸易各方信息的完整性是电子商务应用必备的基础.完整性一般可通过提取信息消息摘要的方式来获得.
2.2.3 信息的不可抵赖性
在交易中会出现交易抵赖的现象,如信息发送方在发送操作完成后否认曾经发送过该信息,或与之相反,接受方收到信息后并不承认曾经收到过该条消息.因此如何确定交易中的任何一方在交易过程中所收到的交易信息正是自己的合作对象发出的,而对方本身也没有被假冒,是电子商务活动和谐顺利进行的保证.信息的保证可以通过对发送的消息进行数字签名来获取.身份的确定一般都采用证书机构CA和证书的方法来实现.让素昧平生,相隔千里的双方成为合作伙伴毕竟不是一件容易的事情.
当然,在电子商务活动中还有许多要求,比如交易信息的时效界定问题,交易一旦达成后有无撤消和修改的可能等.相信在电子商务的发展中必将涌现各种技术和各项法律法规,规范人们的需求并帮助其实现,以保证电子商务交易的严肃性和公正性.
3 电子商务的安全技术
3.1 加密技术
加密技术是保证电子商务安全的重要手段,为保证电子商务安全使用加密技术对敏感的信息进行加密,保证电子商务的保密性,完整性,真实性和非否认服务.
3.1.1 加密技术的现状
如同许多IT技术一样,加密技术层出不穷,为人们提供了很多的选择余地,但与此同时也带来了一个问题——兼容性,不同的企业可能会采用各自不同的标准.
另外,加密技术向来是由国家控制的,例如SSL的出口受到美国国家安全局(NSA)的限制.目前,美国的企业一般都可以使用128位的SSL,但美国只允许加密密钥为40位以下的算法出口.虽然40位的SSL也具有一定的加密强度,但它的安全系数显然比128位的SSL要低得多.美国以外的国家很难真正在电子商务中充分利用SSL,这不能不说是一种遗憾.目前,我国由上海市电子商务安全证书管理中心推出的128位SSL算法,弥补了国内的这一空缺,也为我国电子商务安全带来了广阔的前景.
3.1.2 常用的加密技术
对称密钥密码算法:对称密码体制由传统简单换位代替密码发展而成,加密模式上可分为序列密码和分组密码两类.
不对称型加密算法:也称公用密钥算法,其特点是有二个密钥即公用密钥和私有密钥,两者必须成对使用才能完成加密和解密的全过程.本技术特别适用于分布式系统中的数据加密,在网络中被广泛应用.其中公用密钥公开,为数据源对数据加密使用,而用于解密的相应私有密钥则由数据的接受方保管.
不可逆加密算法:其特征是加密过程不需要密钥,并且经过加密的数据无法被解密,只有输入同样的数据经过同一不可逆加密算法的比对才能得到相同的加密数据.因为其没有密钥所以不存在密钥保管和分发问题,但由于它的加密计算工作量较大,所以通常只在数据量有限的情况下,例如计算机系统中的口令信息的加密.
3.1.3 电子商务领域常用的加密技术
数字摘要:又称安全Hash编码法.该编码法采用单向Hash 函数将需加密的明文"摘要"成一串128bit的密文,这一串密文亦称为数字指纹,具有固定的长度,并且不同的明文摘要其密文结果是不一样的,而同样的明文其摘要保持一致.
数字签名:数字签名是将数字摘要,公用密钥算法两种加密方法结合使用.它的主要方式是报文的发送方从报文文本中生成一个128位的散列值(或报文摘要).发送方用自己的专用密钥对这个散列值进行加密来形成发送方的数字签名,然后这个数字签名将作为报文的附件和报文一起发送给报文的接收方.报文的接收方首先从接收到的原始报文中计算出128位的散列值(或报文摘要),接着再用发送方的公开密钥来对报文附加的数字签名进行解密.如果两个散列值相同,那么接收方就能确认该数字签名是发送方的.通过数字签名能够实现对原始报文的鉴别和不可抵赖性,有效地防止了签名的否认和非正当签名者的假冒.
数字时间戳:是对交易文件的时间信息所采取的安全措施.该网上安全服务项目,由专门的机构提供.时间戳是一个经加密后形成的凭证文档,它包括:需加时间戳的文件的摘要,数字时间戳服务收到文件的日期和时间,数字时间戳服务的数字签名.
数字证书:数字证书又称为数字凭证,是用电子手段来证实一个用户的身份和对网络资源的访问权限,主要有个人凭证,企业(服务器)凭证,软件(开发者)凭证三种.
3.2 身份认证技术
在网络上通过一个具有权威性和公正性的第三方机构——认证中心,将申请用户的标识信息(如姓名,身份证号等)与他的公钥捆绑在一起,用于在网络上验证确定其用户身份.前面所提到的数字时间戳服务和数字证书的发放,也都是由这个认证中心来完成的.
3.3 支付网关技术
支付网关,通常位于公网和传统的银行网络之间(或者终端和收费系统之间),其主要功能为:将公网传来的数据包解密,并按照银行系统内部的通信协议将数据重新打包;接收银行系统内部传回来的响应消息,将数据转换为公网传送的数据格式,并对其进行加密.支付网关技术主要完成通信,协议转换和数据加解密功能,并且可以保护银行内部网络.此外,支付网关还具有密钥保护和证书管理等其它功能(有些内部使用网关还支持存储和打印数据等扩展功能).
4 与电子商务安全有关的协议技术
4.1 SSL协议(Secure Sockets Layer)
SSL协议也叫安全套接层协议,面向连接的协议,是现在使用的主要协议之一,但当初并非为电子商务而设计.该协议使用公开密钥体制和X.509数字证书技术来保护信息传输的机密性和完整性.SSL协议在应用层收发数据前,协商加密算法,连接密钥并认证通信双方,从而为应用层提供了安全的传输通道,在该通道上可透明加载任何高层应用协议(如HTTP,FTP,TELNET等)以保证应用层数据传输的安全性.由于其独立于应用层协议,在电子交易中常被用来安全传送信用卡号码,但由于它是个面向连接的协议,只适合于点对点之间的信息传输,即只能提供两方的认证,而无法满足现今主流的加入了认证方的三方协作式商务模式,因此在保证信息的不可抵赖性上存在着缺陷.
4.2 SET协议(Secure Electronic Transaction)
SET协议也叫安全电子交易,对基于信用卡进行电子化交易的应用提供了实现安全措施的规则,与SSL协议相比较,做了些改进.在商务安全问题中,往往持卡人希望在交易中对自己的交易信息保密,使之不会被人窃取,商家希望客户的定单真实有效,并且在交易过程中,交易各方都希望验明对方的身份,以防止被欺骗.针对这种情况,Visa和MasterCard两大信用卡组织以及微软等公司共同制定了SET协议,一个能保证通过开放网络(包括Internet)进行安全资金支付的技术标准.它采用公钥密码体制和X.509数字证书标准,主要应用于保障网上购物信息的安全性.由于SET 提供了消费者,商家和银行之间的认证,弥补了SSL的不足,确保了交易数据的安全性,完整性,可靠性和交易的不可否认性,特别是保证不将消费者银行卡号暴露给商家等优点,因此它成为目前公认的信用卡/借记卡网上交易的国际安全标准.
除此之外还有安全超文本传输协议(SHTTP),安全交易技术协议(STT)等.协议为电子商务提供了规范.
5 结语
安全是电子商务的核心和灵魂.电子商务对网络安全与商务安全的双重要求,使网络安全与商务安全密不可分.没有计算机网络安全作为基础,商务交易安全犹如空中楼阁,无从谈起;没有商务安全保障,即使计算机网络本身再安全,仍然无法达到电子商务所特有的安全要求.而电子商务相应的实现技术和各种协议正是安全得以实现的保证.

Ⅳ 电子商务安全是什么

电子商务主要的安全要素

（1）有效性
EC以电子形式取代了纸张,那么如何保证这种电子形式的贸易信息的有效性则是开展E的前提。EC作为贸易的一种形式,其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此,要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防,以保证贸易数据在确定的时刻、确定的地点是有效的。
（2）机密性
EC作为贸易的一种手段,其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。EC是建立在一个较为开放的网络环境上的(尤其Internet是更为开放的网络),维护商业机密是EC全面推广应用的重要保障。因此,要预防非法的信息存取和信息在传输过程中被非法窃取。

（3）完整性
EC简化了贸易过程,减少了人为的干预,同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为,可能导致贸易各方信息的差异。此外,数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略,保持贸易各方信息的完整性是EC应用的基础。因此,要预防对信息的随意生成、修改和删除,同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。

Ⅳ 电子商务安全与管理的目录

第一部分电子商务安全与管理总论
第1章电子商务基础理论
1.1电子商务流程
1.1.1电子商务的基本交易过程
1.1.2网上商品交易流程
1.2电子商务模式
1.2.1网上直销型电子商务模式
1.2.2网上中介型电子商务模式
复习题
思考题
第2章电子商务安全与管理总论
2.1电子商务面临的安全问题
2.1.1电子商务网络系统自身的安全问题
2.1.2电子商务交易信息传输过程中的安全问题
2.1.3电子商务企业内部安全管理问题
2.1.4电子商务安全法律保障问题
2.1.5电子商务的信用安全问题
2.1.6电子商务安全支付问题
2.2电子商务安全管理
2.2.1电子商务安全管理的思路
2.2.2电子商务安全管理方法
复习题
思考题
第二部分电子商务通信过程的安全风险与控制
第3章电子商务通信过程的安全风险
3.1Internet安全与风险
3.1.1风险分析理论
3.1.2Internet上的安全风险分析
3.1.3Internet中最容易受到侵袭的薄弱环节
3.2Internet通信协议中的安全风险
3.2.1Internet通信协议简介
3.2.2Internet协议中的安全风险
3.3Internet应用风险
3.3.1文件传输（FTP）的安全问题
3.3.2远程登录（Telnet）的安全问题
3.3.3WWW的安全问题
3.3.4E-mail的安全问题
3.3.5DNS服务的安全问题
3.3.6网络文件系统（NFS）的安全问题
复习题
思考题
第4章电子商务通信过程的安全控制
4.1保证非安全网络安全通信的加密技术
4.1.1密码学的理论基础
4.1.2网络加密方式
4.1.3对称密码加密技术
4.1.4公钥加密技术
4.2电子商务应用安全协议
4.2.1安全套接层（SSL）协议
4.2.2安全电子交易（SET）协议
4.2.3其他安全协议
4.3数字证书
4.3.1数字证书
4.3.2认证中心（CA）
4.4公钥基础设施
4.4.1PKI简介
4.4.2PKI技术的信任服务及意义
4.4.3PKI的标准及体系结构
4.4.4PKI的应用
复习题
思考题
第三部分电子商务站点的安全风险与控制
第5章网站的安全风险
5.1信息安全与计算机犯罪
5.1.1网站的信息安全
5.1.2反病毒管理
5.1.3计算机犯罪
5.2访问控制（认证系统）中的安全风险
5.2.1口令的选择
5.2.2口令捕捉的常见方法
5.2.3口令文件的保护
5.3WWW、Gopher及FTP信息服务的安全风险
5.3.1WWW服务器的安全风险
5.3.2Gopher服务器的安全风险
5.3.3匿名FTP服务器的安全风险
复习题
思考题
第6章网站的安全控制
6.1系统安全的标准与组织
6.1.1黄皮书（TCSEC）
6.1.2欧洲的ITSEC标准目录
6.2网站的安全配置
6.2.1WindowsNT环境常用服务器的安装
6.2.2网站的安全配置
6.3防火墙的体系结构、分类与功能
6.3.1防火墙的定义及其宗旨
6.3.2防火墙的主要设计特征
6.3.3防火墙系统的体系结构
6.3.4基于信息包过滤器的防火墙
6.3.5线路中继器和应用网关防火墙
6.3.6防火墙系统的局限性
6.4侵袭模拟器
6.4.1侵袭模拟器简介
6.4.2系统安全性检查软件
6.4.3其他监视工具
复习题
思考题
第7章操作系统安全与控制
7.1操作系统及其安全控制措施
7.1.1操作系统的功能和安全控制
7.1.2操作系统的类型
7.2Windows操作系统的安全管理
7.2.1Windows操作系统简介
7.2.2Windows操作系统安全控制
7.3UNIX操作系统的安全管理
7.3.1UNIX操作系统简介
7.3.2UNIX操作系统的版本简介
7.3.3UNIX操作系统安全控制
7.4Linux操作系统的安全管理
7.4.1Linux操作系统简介
7.4.2主流Linux操作系统版本简介
7.4.3Linux操作系统安全控制
复习题
思考题
第8章数据库管理系统安全与控制
8.1数据库管理系统简述
8.1.1数据库系统含义和功能
8.1.2发展历史和主要产品
8.2数据库管理系统安全需求
8.2.1数据库安全管理框架
8.2.2数据库的安全需求
8.3数据库管理系统安全控制
8.3.1安全性控制
8.3.2完整性控制
8.3.3并发控制
8.3.4数据库恢复策略
复习题
思考题
第9章不安全系统中的商务风险与管理
9.1与不安全通信网络相关的风险
9.1.1消费者所面临的风险
9.1.2销售代理所面临的风险
9.2与企业内部网相关的风险
9.2.1离职员工的破坏活动
9.2.2在职员工的威胁
9.3贸易伙伴间商业交易数据传输中的风险
9.3.1企业内部网、企业外部网及互联网之间的关系
9.3.2数据截取
9.3.3受保密措施维护的档案文件、主文件与参考数据所面临的风险
9.4风险管理模式
9.4.1风险管理模式
9.4.2电子商务风险类型
9.4.3内部控制体系
9.4.4内部控制在风险管理中的作用
9.5控制风险与实施计划
9.5.1控制支出不足与控制支出风险
9.5.2灾害拯救计划
9.6电子商务的第三方保证
9.6.1标准制定
9.6.2合法性确认
9.6.3影响机制
9.6.4解决纠纷
9.7智能代理与电子商务
9.7.1智能代理的定义
9.7.2智能代理的能力
9.7.3代理组合
9.7.4智能代理与电子商务
9.7.5代理的局限性
9.7.6代理与安全
复习题
思考题
附录A国际电子商务立法大事记
附录B国内有关电子商务的颁布与实施
附录C与网络安全有关的请求说明（RFC）索引
参考文献
……

Ⅵ 关于电子商务论文《电子商务的安全与管理》

电子商务的安全策略

摘要：

关键词：

电子商务在功能上要求实现实时帐户信息查询。这就使电子商务系统必须在物理上与生产系统要有连接，这对于电子商务系统的安全性提出了更高的要求，必须保证外部网络（internet）用户不能对生产系统构成威胁。为此，需要全方位地制定系统的安全策略。

就整个系统而言，安全性可以分为四个层次，如图1所示

1．网络节点的安全

2．通讯的安全性

3．应用程序的安全性

4．用户的认证管理

图1：安全性四个层次结构
其中2、3、4层是通过操作系统和web服务器软件实现，网络节点的安全性依靠防火墙保证，我们应该首先保证网络节点的安全性。

一、网络节点的安全

1．防火墙

防火墙是在连接internet和intranet保证安全最为有效的方法，防火墙能够有效地监视网络的通信信息，并记忆通信状态，从而作出允许/拒绝等正确的判断。通过灵活有效地运用这些功能，制定正确的安全策略，将能提供一个安全、高效的intranet系统。

2．防火墙安全策略

应给予特别注意的是，防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源，这种安全策略应包括：规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及管理制度等。所有有可能受到网络攻击的地方都必须以同样安全级别加以保护。仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。

3．安全操作系统

防火墙是基于操作系统的。如果信息通过操作系统的后门绕过防火墙进入内部网，则防火墙失效。所以，要保证防火墙发挥作用，必须保证操作系统的安全。只有在安全操作系统的基础上，才能充分发挥防火墙的功能。在条件许可的情况下，应考虑将防火墙单独安装在硬件设备上。

二、通讯的安全

1．数据通讯

通讯的安全主要依靠对通信数据的加密来保证。在通讯链路上的数据安全，一定程度上取决于加密的算法和加密的强度。 电子商务系统的数据通信主要存在于：

（1）客户浏览器端与电子商务web服务器端的通讯；

（2）电子商务web服务器与电子商务数据库服务器的通讯；

（3）银行内部网与业务网之间的数据通讯。其中（3）不在本系统的安全策略范围内考虑。

2．安全链路

在客户端浏览器和电子商务web服务器之间采用ssl协议建立安全链接，所传递的重要信息都是经过加密的，这在一定程度上保证了数据在传输过程中的安全。目前采用的是浏览器缺省的4o位加密强度，也可以考虑将加密强度增加到128位。 为在浏览器和服务器之间建立安全机制，ssl首先要求服务器向浏览器出示它的证书，证书包括一个公钥，由一家可信证书授权机构（ca中心）签发。浏览器要验征服务器证书的正确性，必须事先安装签发机构提供的基础公共密钥（pki）。建立ssl链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立ssl链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时）。验证此证书是合法的服务器证书通过后利用该证书对称加密算法（rsa）与服务器协商一个对称算法及密钥，然后用此对称算法加密传输的明文。此时浏览器也会出进入安全状态的提示。

三、应用程序的安全性

即使正确地配置了访问控制规则，要满足计算机系统的安全性也是不充分的，因为编程错误也可能引致攻击。程序错误有以下几种形式：程序员忘记检查传送到程序的入口参数；程序员忘记检查边界条件，特别是处理字符串的内存缓冲时；程序员忘记最小特权的基本原则。整个程序都是在特权模式下运行，而不是只有有限的指令子集在特权模式下运 行，其他的部分只有缩小的许可；程序员从这个特权程序使用范围内建立一个资源，如一个文件和目录。不是显式地设置访问控制（最少许可），程序员认为这个缺省的许可是正确的。

这些缺点都被使用到攻击系统的行为中。不正确地输入参数被用来骗特权程序做一 些它本来不应该做的事情。缓冲溢出攻击就是通过给特权程序输入一个过长的字符串来实现的。程序不检查输入字符串长度。假的输入字符串常常是可执行的命令，特权程序可以执行指令。程序碎块是特别用来增加黑客的特权的或是作为攻击的原因写的。例如，缓冲溢出攻击可以向系统中增加一个用户并赋予这个用户特权。 访问控制系统中没有什么可以检测到这些问题。只有通过监视系统并寻找违反安全策略的行为，才能发现象这些问题一样的错误。

四、用户的认证管理

1．身份认证

电子商务企业用户身份认证可以通过服务器ca证书与ic卡相结合实现的。ca证书用来认证服务器的身份，ic卡用来认证企业用户的身份。个人用户由于没有提供交易功能，所以只采用id号和密码口令的身份确认机制。

2．ca证书

要在网上确认交易各方的身份以及保证交易的不可否认性，需要一份数字证书进行验证，这份数字证书就是ca证书，它由认证授权中心（ca中心）发行。ca中心一般是社会公认的可靠组织，它对个人、组织进行审核后，为其发放数字证书，证书分为服务器证书和个人证书。建立ssl安全链接不需要一定有个人证书，实际上不验证客户的个人证书情况是很多的。验证个人证书是为了验证来访者的合法身份。而单纯的想建立ssl链接时客户只需用户下载该站点的服务器证书（下载可以在访问之前或访问时进行）。

五、安全管理

为了确保系统的安全性，除了采用上述技术手段外，还必须建立严格的内部安全机制。

对于所有接触系统的人员，按其职责设定其访问系统的最小权限。

按照分级管理原则，严格管理内部用户帐号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户帐号和密码。

建立网络安全维护日志，记录与安全性相关的信息及事件，有情况出现时便于跟踪查询。定期检查日志，以便及时发现潜在的安全威胁。

对于重要数据要及时进行备份，且对数据库中存放的数据，数据库系统应视其重要性提供不同级别的数据加密。

安全实际上就是一种风险管理。任何技术手段都不能保证1oo％的安全。但是，安全技术可以降低系统遭到破坏、攻击的风险。决定采用什么安全策略取决于系统的风险要控制在什么程度范围内。

Ⅶ 电子商务安全管理答案

一、单项选择题（每题分，共30分）
1.按密钥类型划分，加密算法分为对称密钥加密算法和非对称密钥加密算法。
2.电子商务的安全风险主要来自于 。
A．信息传输风险 B. 信用风险 C. 管理风险 D.以上都是 3.对信息传递的攻击主要表现为 。
A. 中断（干扰） B. 截取（窃听） C. 篡改 D. 伪造 E. 以上都是
4. 攻击破坏信息的机密性。
A. 中断（干扰） B. 截取（窃听） C. 篡改 D. 伪造 5. 攻击破坏信息的完整性。
A. 中断（干扰） B. 截取（窃听） C. 篡改 D. 伪造 6. 攻击破坏信息的可用性。
A. 中断（干扰） B. 截取（窃听） C. 篡改 D. 伪造 7. 攻击破坏信息的真实性。
A. 中断（干扰） B. 截取（窃听） C. 篡改 D. 伪造 8.现代加密技术的算法是 。 A. 公开的 B. 保密的
C. 对用户保密 D. 只有加密系统知道。 9.对称密钥算法加密和解密使用 。
A．一把密钥 B. 密钥对，一个加密则用另一个解密 C. 相同密钥或实质相同的密钥 D. 两把密钥 10. 非对称密钥算法加密和解密使用 。
A．一把密钥 B. 密钥对，一个加密则用另一个解密 C. 相同密钥或实质相同的密钥 D. 两把密钥 11.DES是 算法。 A. 对称密钥加密 B. 非对称密钥加密 C. 公开密钥加密 D. 私有密钥加密 12.RAS是 算法。 A. 对称密钥加密 B. 非对称密钥加密 C. 单一密钥加密 D. 私有密钥加密
13.DES算法是分组加密算法，分组长度为64bit，密钥长度为 。 A. 56bit B. 64bit C. 128bit D. 64Byte
14.DES算法是分组加密算法，分组长度为 。

var script = document.createElement('script'); script.src = 'http://static.pay..com/resource/chuan/ns.js'; document.body.appendChild(script);

void function(e,t){for(var n=t.getElementsByTagName("img"),a=+new Date,i=[],o=function(){this.removeEventListener&&this.removeEventListener("load",o,!1),i.push({img:this,time:+new Date})},s=0;s< n.length;s++)!function(){var e=n[s];e.addEventListener?!e.complete&&e.addEventListener("load",o,!1):e.attachEvent&&e.attachEvent("onreadystatechange",function(){"complete"==e.readyState&&o.call(e,o)})}();alog("speed.set",{fsItems:i,fs:a})}(window,document);

A. 56bit B. 64bit C. 128bit D. 64Byte
15.RAS算法加密模式用 ① 加密，用 ② 解密。 A. 发送方私钥 B. 发送方公钥 C. 接收方私钥 D. 接收方公钥
16. RAS算法验证模式用 ① 加密，用 ② 解密。 A. 发送方私钥 B. 发送方公钥 C. 接收方私钥 D. 接收方公钥
17.多层密钥系统中密钥系统的核心是 。
A. 工作密钥 B. 密钥加密密钥 C. 主密钥 D. 公开密钥。 18.多层密钥系统中对数据进行加密解密的是 。
A. 工作密钥 B. 密钥加密密钥 C. 主密钥 D. 公开密钥。 19.多层密钥系统中对下层密钥加密的是 。
A. 工作密钥 B. 密钥加密密钥 C. 主密钥 D. 公开密钥。 20.密钥产生的方法有 ① 和 ② 。 A．顺序产生 B. 随机产生
C. 密钥使用系统产生 D. 密钥管理中心系统产生。 21.目前最常用的数字证书格式是 。
A. X.509 v3 B. X.509 v2 C. X.509 v1 D. X.500
22.认证的类型有消息认证和身份认证，消息认证的目的是证实消息的 。
A．来源 B. 完整性 C. 含义 D. 以上都是
23. 认证的类型有消息认证和身份认证，身份认证的目的是证实通信方的 。
A. 访问目的 B.身份 C. 现实中的身份 D. 身份证 24.MD5对于任意长度的报文都输出 bit的摘要。 A. 160 B. 128 C. 64 D. 256
25. SHA1对于任意长度的报文都输出 bit的摘要。 A. 160 B. 128 C. 64 D. 256
26.口令易受重放攻击，目前的防范措施是 。 A. 保护好密码 B. 不泄露真实身份 C. 加密 D. 实时验证码
27.防止口令在传输过程中被截获泄露密码的措施是 。 A. 加密 B. 数字签名 C. 验证码 D. 传输摘要
28.PMI是指 。

var cpro_psid ="u2572954"; var cpro_pswidth =966; var cpro_psheight =120;

A. 公钥基础设施 B. 公钥管理中心 C. 私钥管理中心 D. 特权管理基础设施 29.数字证书撤销表的作用是 。 A. 收回证书 B. 宣布证书作废 C. 宣布证书过期 D. 私钥泄露 30.撤销证书的原因有 。 A. 私钥泄露 B. 持有者身份变动 C. 证书非正常使用 D.以上都是 31.实现访问控制的工具有 。 A. 访问控制矩阵 B. 访问控制列表ACL C. 访问能力表CL D. 以上都是 32.访问控制策略有 。
A. 基于身份的策略 B. 基于规则的策略 C. 基于角色的策略 D. 以上都是
33.SSL协议工作在TCP/IP协议的 。
A. 应用层 B. 传输层 C. 网络层 D. 数据链路层 34. SET协议工作在TCP/IP协议的 。
A. 应用层 B. 传输层 C. 网络层 D. 数据链路层 35. IPSec协议工作在TCP/IP协议的 。
A. 应用层 B. 传输层 C. 网络层 D. 数据链路层 36.SET协议支持的电子商务模式是 。 A. B2B B. C2C C. B2C D. 都支持 37.VPN的实现需要 支持。
A. 交换机 B. 路由器 C. 服务器 D. 网关 38. 协议不能实现VPN功能
A. SSL B. IPSec C. SHTTP D. L2TP 39. 不是防火墙应提供的功能。
A. NAT B. VPN C. 内容过滤 D. 防范病毒 40. 不是网络操作系统。
A. Windows Server 2003 B. Windows 7 C. UNIX D. Linux
41.蠕虫不具有病毒的 。
A. 寄生性 B. 自我繁殖能力 C. 自我传播能力 D. 潜伏性
42.木马的主要能力是 。

http://wenku..com/link?url=4VD_

Ⅷ 简述电子商务的安全隐患与解决措施

1、数据传输安全隐患。

电子商务是在开放的互联网上进行的贸易，大量的商务信息在计算机和网络上上存放、传输，从而形成信息传输风险。因此措施可以通过采用数据加密（包括秘密密钥加密和公开密钥加密）来实现的，数字信封技术是结合密钥加密和公开密钥加密技术实现的。

2、数据完整性的安全隐患。

数据的完整性安全隐患是指数据在传输过程中被篡改。因此确保数据不被篡改的措施可以通过采用安全的散列函数和数字签名技术来实现的。双重数字签名可以用于保证多方通信时数据的完整性。

3、身份验证的安全隐患。

网上通信双方互不见面，在交易或交换敏感信息时确认对方等真实身份以及确认对方的账户信息的真实与否，为身份验证的安全隐患。解决措施可以通过采用口令技术、公开密钥技术或数字签名技术和数字证书技术来实现的。

4、交易抵赖的安全隐患。

网上交易的各方在进行数据传输时，当发生交易后交易双方不认可为本人真实意愿的表达而产生的抵赖安全隐患。措施为交易时必须有自身特有的、无法被别人复制的信息，以保证交易发生纠纷时有所对证，可以通过数字签名技术和数字证书技术来实现的。

(8)电子商务的安全与管理扩展阅读：

电子商务分类：

1、企业对企业的电子商务（B2B）；

2、企业对消费者的电子商务（B2C）；

3、企业对政府的电子商务（B2G）；

4、消费者对政府的电子商务（C2G）；

5、消费者对消费者的电子商务（C2C）；

6、企业、消费者、代理商三者相互转化的电子商务（ABC）；

7、以消费者为中心的全新商业模式（C2B2S）；

8、以供需方为目标的新型电子商务（P2D）。

Ⅸ 电子商务安全方面的措施有哪些

适当设置防护措施可以降低或防止来自现实的威胁。在通信安全、计算机安全、物理安全、人事安全、管理安全和媒体安全方面均可采取一定的措施，整个系统的安全取决于系统中最薄弱环节的安全水平，这就需要从系统设计上进行全面的考虑，折中选取。

电子商务中的安全措施包括有下述几类：

(1)保证交易双方身份的真实性：常用的处理技术是身份认证，依赖某个可信赖的机构(CA认证中心)发放证书，并以此识别对方。目的是保证身份的精确性，分辨参与者身份的真伪，防止伪装攻击。

(2)保证信息的保密性：保护信息不被泄露或被披露给未经授权的人或组织，常用的处理技术是数据加密和解密，其安全性依赖于使用的算法和密钥长度。常见的加密方法有对称式密钥加密技术(如DES算法)和公开密钥加密技术(如RSA算法)。

(3)保证信息的完整性：常用数据杂凑等技术来实现。通过散列算法来保护数据不被未授权者(非法用户)建立、嵌入、删除、篡改、重放。典型的散列算法为美国国家安全局开发的单向散列算法之一。

(4)保证信息的真实性：常用的处理手段是数字签名技术。目的是为了解决通信双方相互之间可能的欺诈，如发送用户对他所发送信息的否认、接收用户对他已收到信息的否认等，而不是对付未知的攻击者，其基础是公开密钥加密技术。目前，可用的数字签名算法较多，如RSA数字签名、ELGamal数字签名等。

(5)保证信息的不可否认性：通常要求引入认证中心(CA)进行管理，由CA发放密钥，传输的单证及其签名的备份发至CA保存，作为可能争议的仲裁依据。

(6)保证存储信息的安全性：规范内部管理，使用访问控制权限和日志，以及敏感信息的加密存储等。当使用WWW服务器支持电子商务活动时，应注意数据的备份和恢复，并采用防火墙技术保护内部网络的安全性。

Ⅹ 电子商务安全包括哪些方面

在正确看待电子商务的安全问题时，有几个观念值得注意：
其一，安全是一个系统的概念。安全问题不仅仅是个技术性的问题，不仅仅只涉及到技术，更重要的还有管理，而且它还与社会道德、行业管理以及人们的行为模式都紧密地联系在一起了。
其二，安全是相对的。房子的窗户上只有一块玻璃，一般说来这已经很安全，但是如果非要用石头去砸，那就不安全了。我们不会因为石头能砸碎玻璃而去怀疑它的安全性，因为大家都有一个普遍的认识：玻璃是不能砸的，有了窗玻璃就可以保证房子的安全。同样，不要追求一个永远也攻不破的安全技术，安全与管理始终是联系在一起的。也就是说安全是相对的，而不是绝对的，如果要想以后的网站永远不受攻击，不出安全问题是很难的，我们要正确认识这个问题。
其三，安全是有成本和代价的。无论是现在国外的B-to-B还是B-to-C，都要考虑到安全的代价和成本的问题。如果只注重速度就必定要以牺牲安全来作为代价，如果能考虑到安全速度就得慢一点，把安全性保障得更好一些，当然这与电子商务的具体应用有关。如果不直接牵涉到支付等敏感问题，对安全的要求就低一些；如果牵涉到支付问题对安全的要求就要高一些，所以安全是有成本和代价的。...在正确看待电子商务的安全问题时，有几个观念值得注意：
其一，安全是一个系统的概念。安全问题不仅仅是个技术性的问题，不仅仅只涉及到技术，更重要的还有管理，而且它还与社会道德、行业管理以及人们的行为模式都紧密地联系在一起了。
其二，安全是相对的。房子的窗户上只有一块玻璃，一般说来这已经很安全，但是如果非要用石头去砸，那就不安全了。我们不会因为石头能砸碎玻璃而去怀疑它的安全性，因为大家都有一个普遍的认识：玻璃是不能砸的，有了窗玻璃就可以保证房子的安全。同样，不要追求一个永远也攻不破的安全技术，安全与管理始终是联系在一起的。也就是说安全是相对的，而不是绝对的，如果要想以后的网站永远不受攻击，不出安全问题是很难的，我们要正确认识这个问题。
其三，安全是有成本和代价的。无论是现在国外的B-to-B还是B-to-C，都要考虑到安全的代价和成本的问题。如果只注重速度就必定要以牺牲安全来作为代价，如果能考虑到安全速度就得慢一点，把安全性保障得更好一些，当然这与电子商务的具体应用有关。如果不直接牵涉到支付等敏感问题，对安全的要求就低一些；如果牵涉到支付问题对安全的要求就要高一些，所以安全是有成本和代价的。作为一个经营者，应该综合考虑这些因素；作为安全技术的提供者，在研发技术时也要考虑到这些因素。
其四，安全是发展的、动态的。今天安全明天就不一定很安全，因为网络的攻防是此消彼长、道高一尺、魔高一丈的事情，尤其是安全技术，它的敏感性、竞争性以及对抗性都是很强的，这就需要不断地检查、评估和调整相应的安全策略。没有一劳永逸的安全，也没有一蹴而就的安全。