电子商务的安全体系

字串7

在电子商务中，安全性是必须考虑的核心问题，网上的诈骗、病毒和非法入侵等都在威胁着电子商务。随着互联网的深入发展和广泛应用，一方面，互联网的开放式体系结构，提供了资源的共享，分散了工作负荷，提高了工作效率，另一方面，正是由于这些特点增加了网络安全的脆弱性和复杂性。没有安全保障的网络就不会得到用户的信任和认可，电子商务的开展要求网络能够提供一种端到端的安全解决方案，包括防病毒、防火墙、安全Web服务器、加密机制、安全管理以及CA认证等。

字串4

一、安全技术

字串8

（一）防病毒：

字串2

计算机病毒（Computer Virus）是指编制或者在计算机程中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。计算机病毒是隐藏在计算机系统中的程序，它不仅能够破坏计算机系统的正常运行，而且具有很强的感染性。破坏性、感染性、隐藏性、可激活性和针对性是病毒的主要特征。

对于病毒的防范首先应该是购买防病毒软件，以便实时监测网络中是否感染病毒，网上有一些共享软件并不一定比商业软件差，一些防病毒软件直接引入到了Windows95或其它软件的因特网版本中，但是不能担保这些软件万毒不侵。用户应该检查所得到的每一个文件附件或每一次联网安装，检查所得到的每一张磁盘、每一个新程序。有些防病毒软件可以自动地随时或间隔性的监视用户的系统。

防病毒的另一个重要措施就是作好重要文件或数据的备份，因为没有任何安全措施能够百分之百地保证计算机不受病毒侵入或受水火等自然灾害的破坏，只有备份才能保证在万一的情况下，不至于数据永远的丢失，从而造成巨大损失。

防病毒软件不能防止所有的病毒，一旦病毒入侵，计算机感染上病毒，就要选用杀毒软件清除病毒，以防止病毒对计算机系统造成破坏，或进一步扩大传播的范围。一般通过优良的杀毒软件可以消除大多数病毒，如果不能轻易消除，可用另一个牌子的杀毒软件，必要的话需要删除被感染的文件。目前主要的杀毒软件有：

字串8

1，KILL

字串8

KILL是历史最久、资格最老的国产杀毒软件，最初是公安部计算机安全监察部门开发的免费向社会发放的杀毒软件。KILL杀毒软件的特点是准确、可靠、高速。

KILL的网址：www.kill.com.cn

字串8

2，KV300

字串9

KV300是经KV100、KV200发展而来，是继KILL之后，影响最大、市场份额最高、用户数量最多的杀毒软件，KV300具备开放式和封闭式两套查病毒方案，对付变形病毒有特效，而且对新病毒查出率高达98%，支持网络环境和Windows平台。目前，世界上现有的几千种病毒几乎没有能逃脱KV300的察觉的。

3，SCAN

字串4

SCAN是美国McAfee Associates防毒协会推出的扫毒软件。它是世界上最早开发的扫毒软件之一，也是最早进入我国的扫毒软件。目前在国内得到广泛的应用。SCAN软件每半年就有一个新的版本，有时一两个月就推出一个版本，最新版的SCAN软件能够查出2000多种病毒。

字串8

4，瑞星杀毒软件

字串6

宏病毒是专门感染Windows数据文件的恶性病毒，它寄生于结构极其复杂的OLE（Object Link Embed）数据文件中，瑞星公司采用结构分离技术，成功地分析了OLE文件结构，研制出瑞星杀毒软件，实现了检测并消除宏病毒而不损害文件的重大突破。

字串1

瑞星RAV网址：www.rising.com.cn

字串7

（二）防火墙：

字串8

防火墙（Firewall）是一种重要的安全保护措施，它是假设被保护网络具有明确定义的边界和服务，通过监测、限制、进出防火墙的数据流，一方面尽可能对外部网络屏蔽被保护网络的内部信息，以防“贼人放火”，另一方面，对内部网络屏蔽外部网络的某些危险站点，以免“引火烧身”。

字串1

防火墙就像是公司的内部网络和外部因特网之间的一位看门人。防火墙最基本的作用是检查进入你的系统的数据来自何处或出向何方。随后，遵照你的指令，他们选择是否允许该信息的转移。例如，你可以设立一个防火墙接收来自夏威夷办事处的文件，而拒绝接收其它任何文件。最细致的防火墙还可检查文件的内容有无病毒，监督系统的使用，记录系统的登录以使你知道是否有人企图闯入。尽管防火墙是安全坚固的，但是它们也不能百分之百地每次抵制入侵者。因此，如果你寻求公司秘密的端到端的保护，你还必须考虑加密方式作为第二道防卫线。

字串9

（三）安全Web服务器：

字串8

目前，可选择的服务器系统有很多，如UNIX、Windows NT、Novell等，但是关键的服务器最好使用UNIX系统。有两种加强Web服务器安全的机制：SSL（Secure Socket Layer）和SHTTP（Secure HyperText Transfer Protocol）。SSL是一个分层协议，在TCP/IP协议族中位于传输层和应用层之间，目的是在通信者之间提供安全可靠的连接。SHTTP是在应用层上，通过修改原有的HTTP协议，使用公开密钥加密技术，以保证信息在Web站点间传输的安全。

字串1

（四） 密码技术：

字串9

采用密码技术（Encryption）对信息加密，是最常用的安全交易手段，电子商务中几乎所有的现代数据安全协议都是基于公共钥匙体系的，它为身份认证、数据的保密性、数据的完整性提供了有力的支持。公共钥匙体系主要是指公共密钥（Public Key）和私用密钥（Private Key）,它是利用两个很大的质数相乘所产生的乘积来加密。这两个质数无论哪一个先与原文件编码相乘，对文件加密，均可由另一个质数再相乘来解密，这一对质数称为密钥对（Key Pair）。公钥可以对外公开，而私钥则被所有者唯一持有。用一把钥匙加密的数据只有用配对的另一把钥匙才能正确解密。

字串5

在加密应用时，某个用户将它的公钥公开，让需发信的人将信息用其公钥加密后发送给该用户，而一旦信息加密后，只有该用户一人知道的私钥才能解密。具有数字证书身份的人，其公钥可以在网上查到，亦可请对方发信息时主动将公钥传给对方。

字串1

二、安全管理：

字串6

安全问题不仅仅是一个技术问题，更重要的是一个管理问题。大量事实证明，网络中很多的安全事故和隐患都是由于人员的疏忽造成。为了保证网络安全可靠、高效稳定地运行，必须建立一套完整的安全管理制度，安全管理制度主要包括以下内容：

（一） 确定安全管理的等级，根据安全等级确定安全管理的范围；

字串1

（二） 确定安全管理的责任，责任具体到人。如果没有明确的责任，并将责任具体到人，就不会有长久的可靠的安全保证；

字串9

（三） 建立人员聘用和解雇制度，对工作调动和离职人员要及时调整相应的授权；

字串8

（四） 制定严格的操作规程，实施存取控制，防止越自己的管辖范围进行违规操作。可利用操作系统、数据库、电子邮件以及应用系统本身的安全性，对用户进行权限控制。在企业内部网络中，根据用户工作的实际需要来分配相应的存取数据、使用应用程序等权限，从而保证各部门之间信息的安全性；

字串9

（五） 制定相应的机房出入管理制度。对于一些重要的区域应该限制与工作无关的人员进出，进出应该得到主管人员的同意，并严格控制数据的删除、修改或拷贝等；

字串5

（六） 对站点进行动态监控，定期分析系统日志，并做好数据的备份工作。

字串9

三、CA认证：

字串4

CA认证是为了保证电子商务交易的安全，由第三方的认证机构对参加电子商务交易的各方进行身份认证，保证交易中数据的不可篡改、不可否认和不可抵赖等。CA认证主要包括以下内容：

（一）数字签名：

字串4

字串5

数字签名(Digital Signature)是上面讲的密码技术和数字摘要（Digital Digest）技术的一个结合使用，数字摘要是采用单向Hash函数将需加密的明文“摘要”成一串128字节的密文。其特点如下：

字串3

（1）有固定的长度（128字节）；

（2）不同的明文摘要成密文，其结果总是不同的，而同样的明文，其摘要必定一致。

字串6

数字签名的过程如下：

字串1

[[image1]]

说明：（1）密钥对保证双方不可否认，不可抵赖；

（2）数字摘要保证了信息传送过程中没有被破坏或篡改（因为接受方将解密后的摘要和收到的文件在接受方重新加密产生的摘要相互对比，如果一致，就确认，即印证了上面相同明文，相同摘要；不同明文，不同摘要的特点）。

字串4

（二）数字时间戳（Digital Time-stamp）：

字串8

在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被伪造和篡改的关键性内容，在电子商务中，对电子交易文件的日期和时间采取安全措施是十分必要的，这就需要一个第三方的专门机构来提供数字时间戳服务（DTS）。

数字时间戳产生的过程是这样：用户首先将需要加时间戳的文件用Hash编码加密形成摘要，然后将摘要发到DTS，DTS在加入了收到文件摘要的日期和时间信息后，再对该文件加密（数字签名），然后送回用户。

字串4

（三）数字证书（Digital Certificate, Digital ID）：

字串7

数字证书是用电子手段来证实一个用户的身份和对网络资源访问的权限，在电子商务中，如双方出示了各自的数字证书，并用它来进行交易操作，那么双方都可以不必为对方身份的真伪担心。上面所讲的加密技术和数字签名都要用到数字证书，数字证书的内部格式是由CC2TTX.509国际标准所规定的，它包含了一下几点：

字串2

证书拥有者的姓名；

证书拥有者的公共密钥；

字串3

公共密钥的有效期；

颁发数字证书的单位；

字串9

数字证书的序列号；

颁发数字证书单位的数字签名。

数字证书针对不同用户、不同用途有不同的种类，一般来说主要有个人证书、企业证书和Web站点证书等分类。

美国的VeriSign（http://www.verisign.com）是目前在全球处于领导地位的认证中心，创建于1995年4月，该公司所提供的数字证书已遍布全世界50多个国家，接受该公司企业证书的Web站点服务器已超过45，000个，个人证书用户已经超过200万个。VeriSign的首页如下：

[[image2]]

字串2

VeriSign可以为五种不同类型的企业分别提供数字证书和其它安全服务，这五类企业包括中小企业（Small/Median Business）、家庭办公室（Home & Home Office）、大企业（Large Enterprise）、服务提供者（Service Provider）和合作伙伴网络（PartnerNet）。

字串8

在国内，发放数字证书的主要是由中国人民银行牵头，中国工商银行、中国农业银行、中国银行、中国建设银行、招商银行等十二家商业银行联合共建的中国金融认证中心（CFCA）。CFCA作为一个权威的、可信赖的、公正的第三方信任机构，专门负责为电子商务的各种认证需求提供证书服务，为参与网上交易的各方提供安全的基础，建立彼此信任的机制。并且在中国电子商务发展中，组织并参与有关网上交易规则的制定，以及确立相应的技术标准，提供网上支付，特别是跨行网上支付的相互认证等。

字串1

字串2

中国金融认证中心（CFCA）的网站（http://www.cfca.com.cn）首页如下：

字串7

[[image3]]

字串8

下面以中国金融认证中心（CFCA）发放的证书为例，就CFCA的证书种类、证书申请和证书发放三个方面说明CA数字证书在国内的应用。

1，证书种类

字串1

字串9

CFCA建立SET和Non-SET两套系统，在业务模式上全面支持电子商务的两种主要业务模式（即B2C和B2B）。SET CA主要用于电子商务的B2C模式的身份认证；而Non-SET CA则可同时支持B2C和B2B两种模式的身份认证。

字串2

SET证书种类：

字串5

按照SET交易中的角色不同，SET CA签发的证书类型分为：持卡人证书、商户证书和支付网关证书：

字串9

持卡人证书用于数字签名。持卡人证书适用于持卡人使用发卡机构发放的银行卡进行网上购物和结算。

商户证书用于数字签名和信息加密。商户证书适用于商户通过网络向消费者出售商品或服务，并与网关相连实现资金的结算。

字串3

支付网关证书适用于数字签名和信息加密。支付网关证书适用于支付网关提供的服务（Internet上各种安全协议与银行现有网络数据格式的转换）。

字串9

Non-SET证书种类：

字串4

按照证书的功能不同，Non-SET CA签发的证书类型分为：个人高级证书、个人普通证书、企业高级证书、Web站点证书和Direct Server证书：

字串3

个人普通证书用于信息加密。个人普通证书主要是个人用户用于SSL、S/MIME以及建立在SSL之上的应用，它的安全级别较低，建议用于小额的网上银行和网上购物。

个人高级证书（Enterprise证书类）用于数字签名和信息加密。个人高级证书的安全级较高，适用于金额较大的交易。

字串6

企业高级证书（Enterprise证书类）用于数字签名和信息加密。企业高级证书主要用于企业做B2B网上交易时使用，它的安全级别较高，适用于金额较大的交易。

Web Server证书用于信息加密。Web站点证书主要发放给网站服务器使用，主要用于Web站点的保护。

字串5

Direct Server证书（Enterprise证书类）用于数字签名和信息加密。Direct Server证书主要用于企业从事B2B网上交易时对Web Server的保护使用。

字串3

2，证书申请

字串1

证书申请的前提条件：

字串1

l 证书申请者必须在商业银行设有账户，对于Web Server证书申请者还必须提供其Web Server的域名或IP地址

l 证书申请者必须持有有效证件，对于企业/商户证书申请者还必须提供其企业/商户的工商营业执照

字串3

l 证书申请者必须拥有Internet电子邮件地址

字串7

l 各商业银行应建立RA/LRA系统

字串6

l 各个交易实体之间可以进行基于TCP/IP的通信

字串7

SET证书申请：

字串2

证书的注册审核机构（Registration Authority，简称RA）设在各商业银行，面向最终用户，负责接受各自的持卡人和商户的证书申请并进行资格审核，将审核通过的证书申请信息发送给CFCA，由CFCA签发证书。支付网关证书只能到CFCA面对面申请。

字串7

Non-SET证书申请：

字串8

最终用户证书的申请者携带相关的有效证件，到所在商业银行的注册审核机构提出证书申请。

字串9

3，证书发放

字串8

SET证书发放：

字串3

具体的证书发放方式各商业银行的规定有所不同。可以联机下载证书或者到银行领取。

持卡人证书发放实例：持卡人运行客户端软件――电子钱包，产生密钥对，将公钥、卡号以及取证用密码信封中的密码等一起提交给CA，如果CA中已有银行审批后的该持卡人的有关资料，则CA签发证书，持卡人联机下载证书。

字串2

商户证书的下载由各厂家的SET商户软件确定，CFCA要求将取证密码连同其他下载证书信息一起提交给CA，CA进行验证后，签发证书，商户联机下载。

字串8

Non-SET证书发放：

字串7

个人普通证书：不需要安装客户端软件，只需安装浏览器既可，然后登录到CFCA网站上，点击“下载证书”的链接，按照Entrust/Web Connector软件的提示，输入参考号和授权码确认，证书就会自动安装在其浏览器中。

字串2

高级证书：对于个人高级/企业高级证书用户来讲，必须在计算机中安装相应的客户端软件Entrust/Direct Client才能下载证书（该软件可以在CFCA的网站上免费下载）。

字串9

Web Server证书：Web Server证书的下载相对复杂，首先要在Web Server终端产生证书请求，即PKCS#10请求，然后登录到CFCA网站上，点击“下载证书”的链接，按照Entrust/Web Connector软件的提示，输入参考号和授权码确认，系统会生成PKCS#7的证书格式，然后把它安装在Web Server上。

Direct Server证书：Direct Server证书必须在计算机中安装相应的服务器软件Entrust/Direct Server才能下载证书。

字串1

（四）CA认证中心

字串7

认证中心（CA，Certification Authority）是一个安全认证和身份认证的机构，在电子商务中，无论是数字时间戳（DTS），还是数字证书的发放，都不能靠交易的双方自己来完成，而需要一个具有权威性和公正性的第三方来完成，这个第三方就是CA认证中心。CA认证中心就是承担网上安全电子交易认证服务，能签发数字证书，并能确认用户身份的服务机构。上面在“数字证书”一节中介绍的VeriSign和中国金融认证中心（CFCA）就分别是美国和中国最大的CA认证中心。

字串3

在美国，除了VeriSign以外，还有Thawte和UNINETT等多家CA认证机构。在国内，除了中国金融认证中心外，在地方省市也有一些比较大的CA认证机构，如首都电子商诚（http://www.beijing.com.cn）、广东省电子商务认证中心（“网证通”http://www.cnca.net）和上海中联电子商务有限公司（http://www.shcnuol.com）等。下面以广东省电子商务认证中心“网证通”为例，说明不同CA认证中心的不同认证服务，作为与CFCA的比较。

字串3

打开“网证通”（http://www.cnca.net）首页，如下图：

字串4

字串5

从上一窗口中间“网证通数字证书”栏中可以看出，“网证通”主要提供五种数字证书：试用型数字证书、个人普及型数字证书、个人增强型数字证书、单位客户端数字证书和单位服务器端数字证书。“网证通”在网上对每一种证书都提供了“介绍”、“申请”和“演示”服务。如点击“个人普及型数字证书”项下的“演示”链接条，进入下面的演示窗口：

字串1

字串3

对于每一种不同的数字证书都有相应的介绍、申请程序和演示，用户可以在网上通过点击相应的链接直接查看或完成申请。

字串3

CA认证中心通常是企业性的服务机构，主要任务是受理数字证书的申请签发及对数字证书的管理。认证中心是电子商务体系的核心环节，是电子交易中信赖的基础，它通过自身的注册审核体系，检查核实申请证书的用户身份和各项相关信息，并将相关内容列入发放的证书域内，使用户属性的客观真实性与证书的真实性一致。认证中心以其公正、权威、可信赖的地位，获得证书使用者对它的信赖，并通过这种信赖，实现电子商务交易中证书持有者之间的信赖。

字串5