電子商務交易過程中的常用安全措施及技術 所謂電子商務(Electronic Commerce)是利用計算機技術、網路技術和遠端通訊技術，實現整個商務(買賣)過程中的電子化、數字化和網路化。人們不再是面對面的、看著實實在在的貨物、靠紙介質單據(包括現金)進行買賣交易。而是透過網路，透過網上琳琅滿目的商品資訊、完善的物流配送系統和方便安全的資金結算系統進行交易(買賣)。 主要的安全問題是支付安全和資訊保密. 使用者認證、資訊的加密存貯、資訊的加密傳輸、資訊的不可否認性、資訊的不可修改性等要求，要用密碼技術、數字簽名、數字郵戳、數字憑證和認證中心等技術和手段構成安全電子商務體系。保障電子商務安全的三種技術: 加密技術:

1.對稱金鑰加密體制.

2.非對稱金鑰加密體制 認證技術: 1.常用的安全認證技術 安全認證技術主要有數字摘要、數字信封、數字簽名、數字時間戳、數字證書等。2.安全認證機構 電子商務授權機構(CA)也稱為電子商務認證中心(Certificate Authority),

電子商務的一個重要技術特徵是利用IT技術來傳輸和處理商業資訊。因此，電子商務安全從整體上可分為兩大部分：計算機網路安全和商務交易安全。 計算機網路安全的內容包括： 計算機網路裝置安全、計算機網路系統安全、資料庫安全等。其特徵是針對計算機網路本身可能存在的安全問題，實施網路安全增強方案，以保證計算機網路自身的安全性為目標。 商務交易安全則緊緊圍繞傳統商務在網際網路絡上應用時產生的各種安全問題，在計算機網路安全的基礎上，如何保障電子商務過程的順利進行。即實現電子商務的保密性、完整性、可鑑別性、不可偽造性和不可抵賴性。 計算機網路安全與商務交易安全實際上是密不可分的，兩者相輔相成，缺一不可。沒有計算機網路安全作為基礎，商務交易安全就猶如空中樓閣，無從談起。沒有商務交易安全保障，即使計算機網路本身再安全，仍然無法達到電子商務所特有的安全要求。 計算機網路安全體系 一個全方位的計算機網路安全體系結構包含網路的物理安全、訪問控制安全、系統安全、使用者安全、資訊加密、安全傳輸和管理安全等。充分利用各種先進的主機安全技術、身份認證技術、訪問控制技術、密碼技術、防火牆技術、安全審計技術、安全管理技術、系統漏洞檢測技術、駭客跟蹤技術，在攻擊者和受保護的資源間建立多道嚴密的安全防線，極大地增加了惡意攻擊的難度，並增加了稽核資訊的數量，利用這些稽核資訊可以跟蹤入侵者。 在實施網路安全防範措施時： 首先要加強主機本身的安全，做好安全配置，及時安裝安全補丁程式，減少漏洞； 其次要用各種系統漏洞檢測軟體定期對網路系統進行掃描分析，找出可能存在的安全隱患，並及時加以修補； 從路由器到使用者各級建立完善的訪問控制措施，安裝防火牆，加強授權管理和認證； 利用RAID5等資料儲存技術加強資料備份和恢復措施； 對敏感的裝置和資料要建立必要的物理或邏輯隔離措施； 對在公共網路上傳輸的敏感資訊要進行強度的資料加密； 安裝防病毒軟體，加強內部網的整體防病毒措施； 建立詳細的安全審計日誌，以便檢測並跟蹤入侵攻擊等。 電子商務的安全交易主要的協議標準有： 安全超文字傳輸協議（S－HTTP）：依靠金鑰對的加密，保障Web站點間的交易資訊傳輸的安全性。 安全套接層協議（SSL）：由Netscape公司提出的安全交易協議，提供加密、認證服務和報文的完整性。SSL被用於Netscape Communicator和Microsoft IE瀏覽器，以完成需要的安全交易操作。 安全交易技術協議（STT，Secure Transaction Technology）：由Microsoft公司提出，STT將認證和解密在瀏覽器中分離開，用以提高安全控制能力。Microsoft在Internet Explorer中採用這一技術。 安全電子交易協議（SET，Secure Electronic Transaction） 1996年6月，由IBM、MasterCard International、Visa International、Microsoft、Netscape、GTE、VeriSign、SAIC、Terisa就共同制定的標準SET釋出公告，並於1997年5月底釋出了SET Specification Version 1.0，它涵蓋了信用卡在電子商務交易中的交易協定、資訊保密、資料完整及資料認證、資料簽名等。 SET 2.0預計今年釋出，它增加了一些附加的交易要求。這個版本是向後相容的，因此符合SET 1.0的軟體並不必要跟著升級，除非它需要新的交易要求。SET規範明確的主要目標是保障付款安全，確定應用之互通性，並使全球市場接受。 所有這些安全交易標準中，SET標準以推廣利用信用卡支付網上交易，而廣受各界矚目，它將成為網上交易安全通訊協議的工業標準，有望進一步推動Internet電子商務市場。 主要的安全技術有： 虛擬專用網（VPN） 這是用於Internet交易的一種專用網路，它可以在兩個系統之間建立安全的通道（或隧道），用於電子資料交換（EDI）。它與信用卡交易和客戶傳送訂單交易不同，因為在VPN中，雙方的資料通訊量要大得多，而且通訊的雙方彼此都很熟悉。這意味著可以使用複雜的專用加密和認證技術，只要通訊的雙方預設即可，沒有必要為所有的VPN進行統一的加密和認證。現有的或正在開發的資料隧道系統可以進一步增加VPN的安全性，因而能夠保證資料的保密性和可用性。 數字認證 數字認證可用電子方式證明資訊傳送者和接收者的身份、檔案的完整性（如一個發票未被修改過），甚至資料媒體的有效性（如錄音、照片等）。隨著商家在電子商務中越來越多地使用加密技術，人們都希望有一個可信的第三方，以便對有關資料進行數字認證。 目前，數字認證一般都透過單向Hash函式來實現，它可以驗證交易雙方資料的完整性，Java JDK1.1也能夠支援幾種單向Hash演算法。另外，S/MIME協議已經有了很大的進展，可以被整合到產品中，以便使用者能夠對透過E?mail傳送的資訊進行簽名和認證。同時，商家也可以使用PGP（Pretty Good Privacy）技術，它允許利用可信的第三方對金鑰進行控制。可見，數字認證技術將具有廣闊的應用前景，它將直接影響電子商務的發展。 加密技術 保證電子商務安全的最重要的一點就是使用加密技術對敏感的資訊進行加密。現在，一些專用金鑰加密（如3DES、IDEA、RC4和RC5）和公鑰加密（如RSA、SEEK、PGP和EU）可用來保證電子商務的保密性、完整性、真實性和非否認服務。然而，這些技術的廣泛使用卻不是一件容易的事情。 密碼學界有一句名言：加密技術本身都很優秀，但是它們實現起來卻往往很不理想。現在雖然有多種加密標準，但人們真正需要的是針對企業環境開發的標準加密系統。加密技術的多樣化為人們提供了更多的選擇餘地，但也同時帶來了一個相容性問題，不同的商家可能會採用不同的標準。另外，加密技術向來是由國家控制的，例如SSL的出口受到美國國家安全域性（NSA）的限制。目前，美國的商家一般都可以使用128位的SSL，但美國只允許加密金鑰為40位以下的演算法出口。雖然40位的SSL也具有一定的加密強度，但它的安全係數顯然比128位的SSL要低得多。據報載，最近美國加州已經有人成功地破譯了40位的SSL，這已引起了人們的廣泛關注。美國以外的國家很難真正在電子商務中充分利用SSL，這不能不說是一種遺憾。上海市電子商務安全證書管理中心推出128 位 SSL的演算法，彌補國內的空缺，並採用數字簽名等技術確保電子商務的安全。 電子商務認證中心（CA，Certificate Authority） 實行網上安全支付是順利開展電子商務的前提，建立安全的認證中心（CA）則是電子商務的中心環節。建立CA的目的是加強數字證書和金鑰的管理工作，增強網上交易各方的相互信任，提高網上購物和網上交易的安全，控制交易的風險，從而推動電子商務的發展。 為了推動電子商務的發展，首先是要確定網上參與交易的各方（例如持卡消費戶、商戶、收單銀行的支付閘道器等）的身份，相應的數字證書（DC：Digital Certificate）就是代表他們身份的，數字證書是由權威的、公正的認證機構管理的。各級認證機構按照根認證中心（Root CA）、品牌認證中心（Brand CA）以及持卡人、商戶或收單銀行（Acquirer）的支付閘道器認證中心（Holder Card CA，Merchant CA 或 Payment Gateway CA）由上而下按層次結構建立的。 所以，電子商務對計算機網路安全與商務安全的雙重要求，使電子商務安全的複雜程度比大多數計算機網路更高，因此電子商務安全應作為安全工程，而不是解決方案來實施。