電子商務(wù)網(wǎng)絡(luò)安全問(wèn)題研究

電子商務(wù)網(wǎng)絡(luò)安全問(wèn)題研究

隨著通信網(wǎng)絡(luò)技術(shù)的快速發(fā)展，尤其是網(wǎng)絡(luò)的廣泛應(yīng)用，現(xiàn)代企業(yè)的消費(fèi)觀念和整體商業(yè)系統(tǒng)也發(fā)生了很大變化。人們喜歡通過(guò)網(wǎng)絡(luò)便利性進(jìn)行網(wǎng)絡(luò)采購(gòu)和交易。從而導(dǎo)致電子商務(wù)(ElectronicCommerce)的出現(xiàn),并在世界范圍內(nèi)掀起電子商務(wù)的熱潮。電子商務(wù)的發(fā)展給人們的工作和生活帶來(lái)了新的嘗試和便利,但并沒(méi)有像人們想象的那樣普及和深入,一個(gè)很重要的原因就是電子商務(wù)的安全性,它成為阻礙電子商務(wù)發(fā)展的瓶頸。網(wǎng)絡(luò)安全的研究當(dāng)前電子商務(wù)所面臨的網(wǎng)絡(luò)安全現(xiàn)狀不容樂(lè)觀。有關(guān)信息安全調(diào)查表明,和那些不從事在線商務(wù)的公司比起來(lái),從事電子商務(wù)的公司網(wǎng)站遭遇黑客非法入侵的可能性要高出57%,而據(jù)國(guó)內(nèi)的統(tǒng)計(jì)資料顯示,過(guò)去一年中,約有64%的公司信息系統(tǒng)受到黑客的危害性攻擊,其中金融業(yè)占總數(shù)的57%。1998年,由于黑客的入侵,世界范圍內(nèi)的主要銀行和大公司損失了大約8億美元,其中美國(guó)約占4億美元。近幾年,美國(guó)政府的計(jì)算機(jī)系統(tǒng)平均每年遭到非法侵入的次數(shù)至少有30萬(wàn)次,其中犯罪行為引起的損失估計(jì)可達(dá)15億美元。實(shí)際上我們所能了解到的只是黑客案例中很少的一部分,有相當(dāng)大的一部分沒(méi)有被報(bào)道。要么是所受到的攻擊沒(méi)有被發(fā)現(xiàn),要么是由于各種原因沒(méi)有被公布。特別是最近幾年,由于網(wǎng)絡(luò)應(yīng)用的不斷增加和人們對(duì)網(wǎng)絡(luò)安全的忽視,黑客攻擊事件更是層出不窮,且顯愈演愈烈之勢(shì),其危害程度也越來(lái)越大。黑客攻擊是威脅網(wǎng)絡(luò)安全和電子商務(wù)安全的一個(gè)方面,而我國(guó)在電子商務(wù)安全方面的基礎(chǔ)設(shè)施和觀念意識(shí)也令人堪憂。目前,很多的電子商務(wù)網(wǎng)站(包括電子支付)的安全機(jī)制還依賴于瀏覽器和Web服務(wù)器提供的SSL安全協(xié)議。而由于出口限制,SSL協(xié)議所采用的安全算法密鑰長(zhǎng)度只有40位或56位,以目前的技術(shù)水平,破譯這種安全強(qiáng)度的信息只需幾分鐘或更少時(shí)間,而不知內(nèi)情的用戶還以為自己的敏感信息(如信用卡號(hào))在整個(gè)交易中是絕對(duì)安全的。另外,國(guó)內(nèi)幾乎所有的計(jì)算機(jī)主機(jī)、網(wǎng)絡(luò)交換機(jī)、路由器和網(wǎng)絡(luò)操作系統(tǒng)都來(lái)自國(guó)外,這種系統(tǒng)有沒(méi)有留下后門或其他缺陷,用戶或國(guó)家的機(jī)密信息會(huì)不會(huì)被非法竊取,這些都要求我國(guó)下大力氣研制和開(kāi)發(fā)獨(dú)立自主的網(wǎng)絡(luò)安全和電子商務(wù)安全產(chǎn)品。我國(guó)信息安全研究經(jīng)歷了多種發(fā)展階段,通過(guò)學(xué)習(xí)、吸收、消化等手段,逐步掌握了部分網(wǎng)絡(luò)安全和電子商務(wù)變?nèi)夹g(shù),進(jìn)行了安全操作系統(tǒng)、多級(jí)安全數(shù)據(jù)庫(kù)的研制探索。但由于系統(tǒng)安全內(nèi)核受控于人,以及國(guó)外產(chǎn)品的不斷更新升級(jí),基于具體產(chǎn)品的增強(qiáng)安全功能的成果,難以保證沒(méi)有漏洞,難以得到推廣應(yīng)用。在學(xué)習(xí)借鑒國(guó)外技術(shù)的基礎(chǔ)上,國(guó)內(nèi)一些部門也開(kāi)發(fā)研制了一些防火墻、安全路由器、安全網(wǎng)關(guān)、黑客入侵檢測(cè)、電子商務(wù)安全交易系統(tǒng)、CA認(rèn)證機(jī)構(gòu)和部分核心密碼算法等。但是,這些產(chǎn)品安全技術(shù)的完善性、規(guī)范化、兼容性和實(shí)用性還存在許多不足,理論基礎(chǔ)和自主的技術(shù)手段需要發(fā)展和強(qiáng)化。總的來(lái)說(shuō),我國(guó)的網(wǎng)絡(luò)信息安全研究起歩晚,投入少,研究力量分散,與技術(shù)先進(jìn)國(guó)家有差距,特別是在系統(tǒng)安全和安全協(xié)議方面的工作與國(guó)外差距更大。因此,從長(zhǎng)遠(yuǎn)來(lái)看,為保證我國(guó)電子商務(wù)的正常發(fā)展,對(duì)電子商務(wù)中的安全技術(shù)進(jìn)行研究,發(fā)展自主的電子商務(wù)安全技術(shù)是當(dāng)務(wù)之急。網(wǎng)絡(luò)安全與交易安全1983年10月24日美國(guó)著名的計(jì)算機(jī)安全專家,AT&T貝爾實(shí)驗(yàn)室的計(jì)算機(jī)科學(xué)家RoberMorris在美國(guó)眾議院科學(xué)技術(shù)會(huì)議、運(yùn)輸、航空、材料專業(yè)委員會(huì)工作了關(guān)于計(jì)算機(jī)安全重要性的報(bào)告,從此計(jì)算機(jī)安全成了國(guó)際上研究的熱點(diǎn)。現(xiàn)在隨著互聯(lián)網(wǎng)絡(luò)技術(shù)的發(fā)展,網(wǎng)絡(luò)安全成了新的安全研究熱點(diǎn)。網(wǎng)絡(luò)安全和交易安全問(wèn)題成為實(shí)現(xiàn)電子商務(wù)的關(guān)鍵所在。電了商務(wù)中的安全隱患可分為如下幾類。信息的攔截和盜竊信息操縱信息是假的交易必須遵守電子商務(wù)安全需求電子商務(wù)面臨的威脅的出現(xiàn)導(dǎo)致了對(duì)電子商務(wù)安全的需求,這些需求即是真正實(shí)現(xiàn)安全電子商務(wù)系統(tǒng)的基礎(chǔ)要求,主要包括機(jī)密性、完整性認(rèn)證性和不可抵賴性。機(jī)密性全集中庭性不可抗拒有效性技術(shù)領(lǐng)域的安全技術(shù)電子商務(wù)安全是信息安全的上層應(yīng)用,它包括的技術(shù)范圍比較廣,主要分為網(wǎng)絡(luò)安全技術(shù)和密碼技術(shù)兩大類,其中密碼技術(shù)主要包括加密、數(shù)字簽名和認(rèn)證技術(shù)等。網(wǎng)絡(luò)安全技術(shù)公鑰密鑰加密加密技術(shù)包括私鑰加密和公鑰加密。私鑰加密,又稱對(duì)稱密鑰加密,即信息的發(fā)送方和接收方用一個(gè)密鑰去加密和解密數(shù)據(jù),目前常用的私鑰加密算法包括DES和IDEA等。公鑰密鑰加密,又稱不對(duì)稱密鑰加密系統(tǒng),它需要使用一對(duì)密鑰來(lái)分別完成加密和解密操作,一個(gè)公開(kāi)發(fā)布,稱為公開(kāi)密鑰(PublicKey);另一個(gè)由用戶自己秘密保存,稱為私有密鑰(Private-Key)。為了充分利用公鑰密碼和對(duì)稱密碼算法的優(yōu)點(diǎn),克服其缺點(diǎn),解決每次傳送更換密鑰的問(wèn)題,可采取混合密碼系統(tǒng),即所謂的電子信封(envelope)技術(shù)。通過(guò)電子簽名方式提供錯(cuò)誤證據(jù),日常生活中,通常通過(guò)對(duì)某一文檔進(jìn)行簽名來(lái)保證文檔的真實(shí)有效性,可以對(duì)簽字方進(jìn)行約束,防止其抵賴行為,并把文檔與簽名同時(shí)發(fā)送以作為日后查證的依據(jù)。在網(wǎng)絡(luò)環(huán)境中,可以用電子數(shù)字簽名作為模擬,從而為電子商務(wù)提供不可否認(rèn)服務(wù)。把HASH函數(shù)和公鑰算法結(jié)日起來(lái),可以在提供數(shù)據(jù)完整性的同時(shí)保證數(shù)據(jù)的真實(shí)性,完整性保證傳輸?shù)臄?shù)據(jù)沒(méi)有被修改,而真實(shí)性則保證是由確定的合法者產(chǎn)生的HASH,而不是由其他人假冒。而把這兩種機(jī)制結(jié)合起來(lái)就可以產(chǎn)生所謂的數(shù)字簽名(DigitalSignature)。信息完整性技術(shù)所以,必須有一項(xiàng)技術(shù)來(lái)解決公鑰與合法擁有者身份的綁定問(wèn)題。假設(shè)由一個(gè)人自稱某一個(gè)公鑰是自己的,必須有一定的措施和技術(shù)來(lái)對(duì)其進(jìn)行驗(yàn)證。數(shù)字證書即可有效解決這一問(wèn)題。它通常是一個(gè)簽名文檔,標(biāo)記特定對(duì)象的公開(kāi)密鑰。電子證書由一個(gè)認(rèn)證中心(CA)簽發(fā),認(rèn)證中心類似于現(xiàn)實(shí)生活中公證人的角色,它具有權(quán)威性,是一個(gè)普遍可信的第三方。當(dāng)通信雙方都信任同一個(gè)CA時(shí),兩者就可以得到對(duì)方的公開(kāi)密鑰從而能進(jìn)行秘密通信、簽名和檢驗(yàn)。同護(hù)照類似,網(wǎng)絡(luò)用戶的電子身份(electronicidentity)是由CA來(lái)發(fā)布的,也就是說(shuō)他是被CA所信任的,該電子身份就成為數(shù)字證書。因此,所有信任CA的其他用戶同樣也信任該用戶。研究和分析電子商務(wù)的安全性問(wèn)題,特別是針對(duì)我國(guó)自己的國(guó)情,充分借鑒外國(guó)的先進(jìn)技術(shù)和經(jīng)驗(yàn),開(kāi)發(fā)和研究出具有自主知識(shí)產(chǎn)權(quán)的電子商務(wù)安全產(chǎn)品,這些都成為了目前我國(guó)發(fā)展電子商務(wù)的關(guān)鍵。如果沒(méi)有采用加密措施或加密強(qiáng)度不夠,攻擊者可能通過(guò)互聯(lián)網(wǎng)、公共電話網(wǎng)、搭線、電磁波輻射范圍內(nèi)安裝截收裝置或在數(shù)據(jù)包通過(guò)的網(wǎng)關(guān)和路由器上截獲數(shù)據(jù)等方式、獲取機(jī)密信息、或通過(guò)對(duì)信息流量和流向、通信頻率和長(zhǎng)度等參數(shù)的分析,推出有用信息,如消費(fèi)者的銀行帳號(hào)、密碼以及企業(yè)的商業(yè)機(jī)密等。當(dāng)攻擊者熟悉了網(wǎng)絡(luò)信息格式以后通過(guò)各種技術(shù)方法和手段對(duì)網(wǎng)絡(luò)傳輸?shù)男畔⑦M(jìn)行中途修改,并發(fā)往目的地,從而破壞信息的完整性。這種破壞手段主要有三個(gè)方面:篡改——改變信息流的次序,更改信息的內(nèi)容,如購(gòu)買商品的出貨地址:刪除——?jiǎng)h除某個(gè)消息或消息的某些部分,插入——在消息中插入一些信息,讓收萬(wàn)讀不懂或接收錯(cuò)誤的信息。當(dāng)攻擊者掌握了網(wǎng)絡(luò)信息數(shù)據(jù)規(guī)律或解密了商務(wù)信息以后,可以假冒合法用戶或發(fā)送假冒信息來(lái)欺騙其他用戶,主要有兩種方式。一是偽造電子郵件,虛開(kāi)網(wǎng)站和商店,給用戶發(fā)電子郵件,收訂貨單,偽造大量用戶、發(fā)電子郵件、窮盡商家資源,使合法用戶不能正常訪問(wèn)網(wǎng)絡(luò)資源,使用嚴(yán)格時(shí)間要求的服務(wù)不能及時(shí)得到響應(yīng);偽造用戶、發(fā)大量的電子郵件,竊取商家的商品信息和用廣信用等信息。另外一種為假冒他人身份,如假冒領(lǐng)導(dǎo)發(fā)表命令、調(diào)閱密件;冒充他人消費(fèi)、栽贓;冒充主機(jī)欺騙合法主機(jī)及合法用戶;冒充網(wǎng)絡(luò)控制程序,套取和修改使用權(quán)限、秘鑰等信息;接管合法用戶、欺騙系統(tǒng),占用合法用戶的資源。交易抵賴包括多個(gè)方面,如發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過(guò)某條信息或內(nèi)容:收信者事后否認(rèn)曾經(jīng)收到過(guò)某條消息成內(nèi)容:購(gòu)買者做了定貨單不承認(rèn):商家賣出的商品因價(jià)格差而不承認(rèn)原有的交易。電子商務(wù)作為一種貿(mào)易手段,其信息直接表征著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。傳統(tǒng)的紙面貿(mào)易都是通過(guò)郵寄到裝的信件或通過(guò)可靠的通信渠道發(fā)送商業(yè)報(bào)文來(lái)達(dá)到保守機(jī)密的目的。電子商務(wù)則建立在一個(gè)較為開(kāi)放的網(wǎng)絡(luò)壞境上(尤其Internet是更為開(kāi)放的網(wǎng)絡(luò)),維護(hù)商業(yè)機(jī)密是電子商務(wù)全面推廣應(yīng)用的重要保障。因此,要預(yù)防非法的信息存取和信息在傳輸過(guò)程中被非法竊取機(jī)密性一般通過(guò)密碼技術(shù)對(duì)傳輸?shù)男畔⑦M(jìn)行加密處理來(lái)實(shí)現(xiàn)。電子商務(wù)簡(jiǎn)化了貿(mào)易過(guò)程,減少了人為的干預(yù)。同時(shí)也帶來(lái)維護(hù)貿(mào)易各方商業(yè)信息完整、統(tǒng)一的問(wèn)題。由于數(shù)據(jù)輸入時(shí)的意外差錯(cuò)或欺詐行為,可能導(dǎo)致貿(mào)易各方信息的差異。此外,數(shù)據(jù)傳輸過(guò)程中信息的丟失、信息重復(fù)或信息傳送的次序差異也會(huì)導(dǎo)致貿(mào)易各方信息的不同。因此,貿(mào)易各方信息的完整性將影響到貿(mào)易各方的交易和經(jīng)營(yíng)策略,保持貿(mào)易各方信息的完整性是電子商務(wù)應(yīng)用的基礎(chǔ)。一般可通過(guò)提取信息摘要的方式來(lái)獲得。由于網(wǎng)絡(luò)電子商務(wù)交易系統(tǒng)的特殊性,企業(yè)或個(gè)人的交易通常都是在虛擬的網(wǎng)絡(luò)環(huán)境中進(jìn)行,所以對(duì)個(gè)人或企業(yè)實(shí)體進(jìn)行身份性確認(rèn)成了電子商務(wù)中很重要的一環(huán)。對(duì)人或?qū)嶓w的身份進(jìn)行鑒別,為身份的真實(shí)性提供保證,即交易雙方能夠在相互不見(jiàn)面的情況下確認(rèn)對(duì)方的身份。這意味著當(dāng)某人或?qū)嶓w聲稱具有某個(gè)特定的身份時(shí),鑒別服務(wù)將提供一種方法來(lái)驗(yàn)證其聲明的正確性,一般可通過(guò)證書機(jī)構(gòu)(CA)和證書來(lái)實(shí)現(xiàn)。電子商務(wù)可能直接關(guān)系到貿(mào)易雙方的商業(yè)交易,如何確定進(jìn)行交易的貿(mào)易方正是交易所期望的貿(mào)易方,這一問(wèn)題則是保證電了商務(wù)順利進(jìn)行的關(guān)鍵。在傳統(tǒng)的紙面貿(mào)易中,貿(mào)易雙力通過(guò)在交易合同,契約或貿(mào)易單據(jù)等書面文件上手寫簽名或印章末鑒別貿(mào)易伙伴,確定合同、契約、單據(jù)的可靠性并預(yù)防抵賴行為的發(fā)生。這也就是人們常說(shuō)的“白紙黑字”在無(wú)紙化的電子商務(wù)方式下,通過(guò)于寫簽名和印章進(jìn)行貿(mào)易方的鑒別已是不可能的。因此,要在交易信息的傳輸過(guò)程中為參與交易的個(gè)人、企業(yè)或國(guó)家提供可靠的標(biāo)識(shí)。不可抵賴性可通過(guò)對(duì)發(fā)送的消息進(jìn)行數(shù)字簽名來(lái)獲取。電子商務(wù)以電子形式取代了紙張,那么如何保證這種電子形式的貿(mào)易信息的有效性則是開(kāi)展電子商務(wù)的前提。電子商務(wù)信息的有效性直接關(guān)系到個(gè)人、企業(yè)或國(guó)家的經(jīng)濟(jì)利益和聲譽(yù)。因此,對(duì)網(wǎng)絡(luò)故障、操作錯(cuò)誤、應(yīng)用程序錯(cuò)誤、硬件故障、系統(tǒng)軟件錯(cuò)誤及計(jì)算機(jī)病毒所產(chǎn)生的潛在威脅加以控制和預(yù)防,對(duì)于保證貿(mào)易數(shù)據(jù)發(fā)生在確定的時(shí)刻和地點(diǎn)是有效的。網(wǎng)絡(luò)安全是電子商務(wù)安全的基礎(chǔ),一個(gè)完整的電子商務(wù)系統(tǒng)應(yīng)建立在安全的網(wǎng)絡(luò)基礎(chǔ)設(shè)施之上。網(wǎng)絡(luò)安全所涉及到的方面比較廣,如操作系統(tǒng)安全、防火墻技術(shù)、虛擬專用網(wǎng)(VPN)技術(shù)和各種反黑客技術(shù)及漏洞檢測(cè)技術(shù)等。其中最重要的就是防火墻技術(shù)。防火墻是建立在通信技術(shù)和信息安全技術(shù)之上,建立在網(wǎng)絡(luò)之間的一個(gè)安全屏障,它根據(jù)指定的策略對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行過(guò)濾、分析和審計(jì),并對(duì)各種攻擊提供有效的防范。主要用于Internet接入和專用網(wǎng)與公用網(wǎng)之間的安全連接。加密技術(shù)是保證電子商務(wù)安全的重要手段,許多密碼算法現(xiàn)己成為網(wǎng)絡(luò)安全和商務(wù)信息安全的基礎(chǔ)。密碼算法利用密鑰(secretkeys)來(lái)對(duì)敏感信息進(jìn)行加密,然后把加密好的數(shù)據(jù)和密鑰(要通過(guò)安全方式)發(fā)送給接收者,接收者可利用同樣的算法和傳遞來(lái)的密鑰對(duì)數(shù)據(jù)進(jìn)行解密,從而獲取敏感信息并保證網(wǎng)絡(luò)數(shù)據(jù)的機(jī)密性。數(shù)