电子商务安全隐患

1.系统中断破坏系统的有效性

网络故障、操作、程序、硬件、软件错误及病毒都能导致系统非正常工作，贸易数据在确定的时刻和地点的有效性不能得到保证。

2.窃听信息破坏系统的机密性

通过搭线和电磁泄漏等手段造成的信息泄漏;或对业务流量进行分析而获取有价值的商业情报等行为会损害系统的机密性。

3.篡改信息破坏系统的完整性

数据输入时的意外差错或欺诈行为；数据传输中信息的丢失、重复或次序差异都可能导致贸易各方信息的差异，从而影响贸易各方信息的完整性。

4.伪造信息破坏系统的真实性

确定贸易双方交易信息的真实和可靠是保证电子商务顺利进行的关键。在电子商务方式下，通过手写签名和印章进行贸易双方的鉴别是不可能的。因此，在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识成为必需。

5.对交易行为进行抵赖要求系统具备审查能力

当贸易一方发现交易行为对自己不利时，可能会否认电子交易行为。因此要求系统具备审查能力，以杜绝交易任何一方的抵赖行为。

安全电子商务的技术机制

目前，电子商务的安全机制已经在技术上经过有效性、可靠性的证明，正在逐渐形成国际行业规范。

1.防火墙技术

防火墙是在内部网与外部网之间实施安全防范的系统，可被认为是一种访问控制机制,基于两种准则进行设计：

（1）一切未被允许的就是禁止的。基于该准则，防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。这种方法可以创造十分安全的环境，但用户使用的方便性、服务范围受到限制。

（2）一切未被禁止的就是允许的。基于该准则，防火墙转发所有信息流，然后逐项屏蔽有害的服务。这种方法构成了更为灵活的应用环境，可为用户提供更多的服务。但在日益增多的网络服务面前，网管人员的疲于奔命可能很难提供可靠的安全防护。

防火墙的基本类型有：包过滤型、代理服务型、复合型等。目前的防火墙技术存在着一定的局限性，例如它不能防范不经防火墙的攻击；人为因素的攻击；由于用户误操作或口令泄露而受到的攻击；不能防止受病毒感染的软件或文件的传输；不能防止数据驱动式的攻击等。

2.加解密技术

加密一般是利用信息变换规则把可懂的信息变成不可懂的信息，其中的变换规则称为加密算法,算法中的可变参数称为密钥。衡量一个加密技术的可靠性，主要取决于解密过程的数学难度，而不是对加密算法的保密。当然可靠性还与密钥的长度有关。

根据密码算法所使用的加密和解密密钥是否相同，能否由加密密钥推导出解密密钥(或逆推)，可将密码算法分为对称和非对称密码算法两种。

对称密码算法计算开销小，加密速度快。但是，它有在通信贸易方之间确保密钥安全交换的问题。此外，当某一贸易方有N个贸易关系，那么他就要拥有并维护N个专用密钥。另一个问题是无法鉴别贸易发起方或贸易最终方，也不能保证信息传递的完整性。

在采用非对称密码算法的加密系统中，每个用户都有两个密钥：一个公开密钥,一个是秘密密钥。这种方式非常适合用于密钥分发、数字签名、鉴别等。缺点是计算量大，加密速度慢。

电子商务的安全加密系统，倾向于组合应用上述两种密码算法。对称密码算法用于信息加密；非对称密码算法用于密钥分发、数字签名、完整性及身份鉴别等。利用此种加密方式对文件进行加密传输的过程包括：A.文件发送方产生一个对称密钥，并将其用接收方的公钥加密后，通过网络传送给接收方;B.文件发送方用对称密钥将文件加密后，通过网络传送给接收方;C.接收方用私钥将加密的对称密钥进行解密，得到发送方的对称密钥;D.接收方用得到的对称密钥将加密的文件进行解密，从而得到原文。

3.数字签名

数字签名的主要工作方式是：发送方从报文文本中生成一个散列值(或报文摘要)，而后用自己的私钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给接收方。接收方首先从接收到的原始报文中计算出散列值(或报文摘要)，接着再用发送方的公钥来对报文附加的数字签名进行解密。如果两个散列值相同，那么接收方就能确认该数字签名的有效性,从而实现对原始报文完整性的鉴别和抵赖行为的杜绝。

4.身份认证(CA)

国际上基于公开密钥体系(PK1)的数字证书解决方案已被普遍采用。电子商务中安全措施的实现主要围绕数字证书展开。

(1)数字证书

电子商务涉及加解密,必然用到密钥。多交易主体需要的密钥也多,相应的密钥管理工作也比较复杂。密钥的管理对策采用数字证书来完成,对每一个公钥做一张数字证书，私钥用最安全的方式交给用户或用户自己生产密钥对。数字证书的内容包括用户的公钥、姓名、发证机......More↓↓↓