? ? ?
? ? ?摘要：企業電子商務系統通過Internet把涉及企業商務活動的各方有機地聯系起來，對企業固有的經營思想和管理模式產生了強烈沖擊。電子商務系統不但是企業宣傳產品、銷售產品、進行售后服務的窗口，而且還是樹立企業形象的前沿，面對這種全新的商務交易方式，企業應當充分認清電子商務系統中存在的安全問題，并采取相應措施確保在線商務過程的安全。

　　電子(zi)商(shang)(shang)務(wu)(wu)系統(tong)(Electronic Commerce System，ECS)將傳(chuan)統(tong)的(de)(de)(de)(de)商(shang)(shang)務(wu)(wu)過程轉移到(dao)Internet平(ping)(ping)(ping)臺上來，它(ta)是(shi)參(can)與電子(zi)商(shang)(shang)務(wu)(wu)活動(dong)的(de)(de)(de)(de)各(ge)方，包(bao)括(kuo)生產企業或商(shang)(shang)家、消(xiao)費者、銀行(xing)或金融機(ji)構(gou)、政府等，利用(yong)計算機(ji)網(wang)絡(luo)平(ping)(ping)(ping)臺來實(shi)現(xian)(xian)商(shang)(shang)務(wu)(wu)活動(dong)的(de)(de)(de)(de)信息系統(tong)。其目(mu)標是(shi)利用(yong)計算機(ji)網(wang)絡(luo)技術實(shi)現(xian)(xian)在線交易的(de)(de)(de)(de)全過程。一個(ge)完(wan)善的(de)(de)(de)(de)電子(zi)商(shang)(shang)務(wu)(wu)系統(tong)應(ying)(ying)當包(bao)括(kuo)哪些部分，目(mu)前還沒有(you)權威的(de)(de)(de)(de)論述。從(cong)企業電子(zi)商(shang)(shang)務(wu)(wu)實(shi)踐來看，企業電子(zi)商(shang)(shang)務(wu)(wu)系統(tong)的(de)(de)(de)(de)體系結構(gou)一般(ban)為四層平(ping)(ping)(ping)臺結構(gou)，它(ta)們(men)分別是(shi)：網(wang)絡(luo)基礎(chu)平(ping)(ping)(ping)臺、應(ying)(ying)用(yong)開發支持(chi)平(ping)(ping)(ping)臺、商(shang)(shang)務(wu)(wu)服務(wu)(wu)支持(chi)平(ping)(ping)(ping)臺和電子(zi)商(shang)(shang)務(wu)(wu)應(ying)(ying)用(yong)平(ping)(ping)(ping)臺。

一、電子商務系統的安全要求
? ? ? 總的(de)來(lai)講，電子(zi)商(shang)務系(xi)統的(de)安(an)全(quan)要求體現在兩個主要方面，一個是計算機網絡安(an)全(quan)，還有一個就(jiu)是商(shang)務安(an)全(quan)。

　　1.計算(suan)機(ji)網(wang)(wang)(wang)絡安(an)(an)(an)全(quan)。從本質上(shang)來講，計算(suan)機(ji)網(wang)(wang)(wang)絡安(an)(an)(an)全(quan)就是計算(suan)機(ji)網(wang)(wang)(wang)絡系(xi)統(tong)中(zhong)的(de)硬件、軟件、數據(ju)受到(dao)保(bao)護，不會因為偶(ou)然(ran)或惡意(yi)的(de)原因而遭(zao)到(dao)破壞、更改、泄露(lu)，系(xi)統(tong)能夠連續正常工作，其特征是針對計算(suan)機(ji)網(wang)(wang)(wang)絡本身(shen)可能存在的(de)安(an)(an)(an)全(quan)問題(ti)，實施網(wang)(wang)(wang)絡安(an)(an)(an)全(quan)增強方案(an)，以保(bao)證計算(suan)機(ji)網(wang)(wang)(wang)絡自(zi)身(shen)的(de)安(an)(an)(an)全(quan)性(xing)目標，它是電子(zi)商務系(xi)統(tong)安(an)(an)(an)全(quan)的(de)前提和(he)基礎。

　　2.商務安全。商務安全緊緊圍繞傳統商務活動在Internet上應用時產生的各種安全問題，在計算機網絡安全的基礎上實現電子商務信息的保密性、交易信息的完整性和一致性、交易者身份的真實性和不可偽裝性、交易的不可抵賴性。商務安全是電子商務交易過程中最核心和最關鍵的問題。

二、目前電子商務系統中計算機網絡安全問題及應對措施
　　計(ji)(ji)算機(ji)網絡安(an)(an)全一般可以分(fen)為物理(li)安(an)(an)全和信(xin)(xin)息(xi)安(an)(an)全，物理(li)安(an)(an)全是指(zhi)保證計(ji)(ji)算機(ji)系(xi)統的(de)各(ge)種(zhong)設備的(de)安(an)(an)全，主要(yao)包括環境安(an)(an)全、設備安(an)(an)全、介質安(an)(an)全等，是整個信(xin)(xin)息(xi)系(xi)統安(an)(an)全的(de)前提(ti)。網絡信(xin)(xin)息(xi)安(an)(an)全則是指(zhi)必(bi)須(xu)保障網絡信(xin)(xin)息(xi)不被非法竊取、泄露(lu)、刪除和破壞(huai)，主要(yao)表現在(zai)計(ji)(ji)算機(ji)操作系(xi)統安(an)(an)全和計(ji)(ji)算機(ji)信(xin)(xin)息(xi)安(an)(an)全(數據(ju)庫(ku)安(an)(an)全)。

　　1.物(wu)理安全問題(ti)(ti)及應對措施(shi)。對計算機(ji)網(wang)絡(luo)(luo)物(wu)理安全產生(sheng)影(ying)響(xiang)的(de)主要有(you)偷竊、火(huo)災及雷(lei)擊等。一旦參與(yu)電子(zi)商務(wu)活動的(de)網(wang)絡(luo)(luo)設備被破壞(huai)，那么電子(zi)商務(wu)系(xi)統賴以運行的(de)硬(ying)件平臺(tai)將(jiang)不復存在。因此，必(bi)需制定嚴格的(de)制度、采取嚴格的(de)防(fang)范措施(shi)防(fang)止(zhi)產生(sheng)網(wang)絡(luo)(luo)物(wu)理安全問題(ti)(ti)。

　　2.信(xin)息安(an)(an)(an)全(quan)問(wen)題及應(ying)對(dui)措施(shi)。V計(ji)算(suan)機操(cao)作(zuo)系(xi)統(tong)安(an)(an)(an)全(quan)是一個邏(luo)輯上的(de)概念，操(cao)作(zuo)系(xi)統(tong)是計(ji)算(suan)機中最(zui)基本(ben)、最(zui)重要的(de)軟(ruan)件(jian)，與操(cao)作(zuo)系(xi)統(tong)安(an)(an)(an)全(quan)有關的(de)威脅(xie)主要來自黑客攻擊(ji)(ji)、計(ji)算(suan)機病毒和(he)拒(ju)絕(jue)服(fu)務攻擊(ji)(ji)三個方面等。操(cao)作(zuo)系(xi)統(tong)安(an)(an)(an)全(quan)是整個電子商務系(xi)統(tong)的(de)軟(ruan)件(jian)基礎，一般而言合理的(de)配置和(he)正(zheng)確的(de)策略是操(cao)作(zuo)系(xi)統(tong)安(an)(an)(an)全(quan)的(de)基礎。目前對(dui)操(cao)作(zuo)系(xi)統(tong)的(de)安(an)(an)(an)全(quan)主要通過以下幾(ji)個方面來實(shi)現：硬件(jian)安(an)(an)(an)全(quan)機制、標(biao)識與鑒(jian)別(bie)、訪(fang)問(wen)控制、最(zui)小特(te)權管理、可信(xin)通路及安(an)(an)(an)全(quan)審計(ji)等。

　　信息安(an)全(quan)是(shi)(shi)指(zhi)(zhi)保(bao)(bao)(bao)護(hu)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)防止不合(he)(he)法的(de)(de)(de)使(shi)用(yong)(yong)(yong)所造(zao)成的(de)(de)(de)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)泄(xie)露、更改或(huo)破壞(huai)。在(zai)企(qi)業電子商務過(guo)程(cheng)中，大量的(de)(de)(de)信息都被(bei)保(bao)(bao)(bao)存在(zai)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)中，因(yin)此必需采取(qu)一(yi)定的(de)(de)(de)手段來(lai)保(bao)(bao)(bao)證它們的(de)(de)(de)安(an)全(quan)。數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)系(xi)統(tong)的(de)(de)(de)安(an)全(quan)需求包括(kuo)(kuo)以(yi)下幾個方(fang)面：完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)、保(bao)(bao)(bao)密(mi)性(xing)(xing)(xing)(xing)和可(ke)用(yong)(yong)(yong)性(xing)(xing)(xing)(xing)。完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)主(zhu)要包括(kuo)(kuo)物理(li)完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)和邏(luo)輯(ji)完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)，其中物理(li)完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)是(shi)(shi)指(zhi)(zhi)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)不受物理(li)故障(zhang)的(de)(de)(de)影響，并在(zai)災難性(xing)(xing)(xing)(xing)破壞(huai)時可(ke)以(yi)重建和恢復；邏(luo)輯(ji)完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)是(shi)(shi)指(zhi)(zhi)對(dui)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)邏(luo)輯(ji)結構(gou)的(de)(de)(de)保(bao)(bao)(bao)護(hu)，使(shi)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)能(neng)(neng)夠滿(man)足完(wan)整(zheng)(zheng)性(xing)(xing)(xing)(xing)約束及(ji)(ji)并發(fa)操作(zuo)時的(de)(de)(de)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)邏(luo)輯(ji)一(yi)致(zhi)性(xing)(xing)(xing)(xing)。保(bao)(bao)(bao)密(mi)性(xing)(xing)(xing)(xing)是(shi)(shi)指(zhi)(zhi)不允許未經授權的(de)(de)(de)用(yong)(yong)(yong)戶(hu)存取(qu)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)，從而造(zao)成信息泄(xie)露。可(ke)用(yong)(yong)(yong)性(xing)(xing)(xing)(xing)是(shi)(shi)指(zhi)(zhi)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)應(ying)響應(ying)授權用(yong)(yong)(yong)戶(hu)對(dui)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)的(de)(de)(de)正常(chang)(chang)操作(zuo)。數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)系(xi)統(tong)主(zhu)要通過(guo)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)系(xi)統(tong)安(an)全(quan)機(ji)制(zhi)滿(man)足數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)系(xi)統(tong)的(de)(de)(de)安(an)全(quan)需求。數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)安(an)全(quan)機(ji)制(zhi)是(shi)(shi)用(yong)(yong)(yong)于實現(xian)數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)的(de)(de)(de)各種安(an)全(quan)策略(lve)的(de)(de)(de)功(gong)能(neng)(neng)集(ji)合(he)(he)，通常(chang)(chang)包括(kuo)(kuo)：用(yong)(yong)(yong)戶(hu)標識與(yu)鑒別、存取(qu)控(kong)制(zhi)、數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)加(jia)密(mi)、數(shu)(shu)(shu)(shu)據(ju)(ju)(ju)庫(ku)(ku)審計、備份與(yu)恢復及(ji)(ji)推理(li)控(kong)制(zhi)與(yu)隱(yin)私保(bao)(bao)(bao)護(hu)等方(fang)面的(de)(de)(de)內(nei)容。

　　電子商務系統中的計算(suan)機(ji)網(wang)(wang)絡(luo)(luo)安(an)(an)(an)全(quan)性問題(ti)主要是(shi)針對(dui)(dui)計算(suan)機(ji)網(wang)(wang)絡(luo)(luo)本身(shen)可能存在的問題(ti)，一般采用的應對(dui)(dui)措施(shi)是(shi)通過實施(shi)網(wang)(wang)絡(luo)(luo)安(an)(an)(an)全(quan)增強方案，以(yi)保證(zheng)計算(suan)機(ji)網(wang)(wang)絡(luo)(luo)自身(shen)的安(an)(an)(an)全(quan)性為目標。目前針對(dui)(dui)計算(suan)機(ji)網(wang)(wang)絡(luo)(luo)安(an)(an)(an)全(quan)的防(fang)護技(ji)術(shu)(shu)(shu)(shu)(shu)主要有數據加密技(ji)術(shu)(shu)(shu)(shu)(shu)、身(shen)份(fen)識別和驗證(zheng)技(ji)術(shu)(shu)(shu)(shu)(shu)、防(fang)火墻技(ji)術(shu)(shu)(shu)(shu)(shu)、虛(xu)擬專用網(wang)(wang)絡(luo)(luo)技(ji)術(shu)(shu)(shu)(shu)(shu)、網(wang)(wang)絡(luo)(luo)安(an)(an)(an)全(quan)掃描技(ji)術(shu)(shu)(shu)(shu)(shu)和網(wang)(wang)絡(luo)(luo)攻(gong)擊檢測技(ji)術(shu)(shu)(shu)(shu)(shu)等。

三、目前電子商務系統中商務安全問題及應對措施
　　商務安全問題緊緊圍繞傳統商務活動在Internet上應用時產生的各種安全問題，在計算機網絡安全的基礎上，如何保障電子商務過程的順利進行，即實現電子商務的保密性(在電子商務系統交易過程中的商務信息均有保密的要求，如信用卡的賬號和用戶名被人知悉，就可能被盜用，訂貨和付款的信息被競爭對手獲悉，就可能喪失商機)、完整性和一致性(電子交易的過程是一個完整的過程，期間產生的信息是不能被修改的必需保證其一致性)、身份的真實性和不可偽裝性(網上交易的雙方很可能素昧平生，相隔千里。要使交易成功首先要能確認對方的身份，對商家要考慮客戶端不能是騙子，而客戶也會擔心網上的商店不是一個玩弄欺詐的黑店。因此，能方便而可靠地確認對方身份是交易的前提。對于為顧客或用戶開展服務的銀行、信用卡公司和銷售商店，為了做到安全、保密、可靠地開展服務活動，都要進行身份認證的工作)及不可抵賴性(由于商情的千變萬化，交易一旦達成是不能被否認的，否則必然會損害一方的利益)。
目前對電子商務過程中商務安全的保障主要是通過PKI技術來實現的。

　　1.PKI基礎。PKI(Public Key Infrastructure，公鑰基礎設(she)施(shi))技術采用(yong)(yong)(yong)證書管(guan)理公鑰，通過第三方(fang)可信(xin)任(ren)機構(gou)認證中心(Certificate Authority，CA)把用(yong)(yong)(yong)戶的(de)公鑰和用(yong)(yong)(yong)戶的(de)其(qi)它標(biao)識信(xin)息(xi)捆(kun)綁在一起(qi)，用(yong)(yong)(yong)于在Internet上進(jin)行用(yong)(yong)(yong)戶身(shen)份驗證。通過把要(yao)在Internet上傳(chuan)輸的(de)數(shu)據進(jin)行加密，保證電子商(shang)務(wu)信(xin)息(xi)的(de)保密性(xing)(xing)和完整性(xing)(xing)，通過數(shu)字(zi)簽名保證參與電子商(shang)務(wu)者身(shen)份的(de)真實(shi)性(xing)(xing)并防(fang)止抵賴。

　　2.PKI的組(zu)成。一個完(wan)整(zheng)的PKI應用系統(tong)至少應包含以下幾部分：

　　(1)數(shu)字認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)CA及數(shu)字安全證(zheng)(zheng)(zheng)(zheng)書(shu)。CA是一個負責(ze)發放和管理(li)數(shu)字安全證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)第三方(fang)權威機(ji)構。對于一個大型(xing)的(de)(de)應用環境，認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)往(wang)往(wang)采(cai)用一種多(duo)層次的(de)(de)分(fen)級(ji)結構，各級(ji)認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)類(lei)似于各級(ji)行政機(ji)關(guan)，上級(ji)認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)負責(ze)簽發和管理(li)下級(ji)認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)的(de)(de)證(zheng)(zheng)(zheng)(zheng)書(shu)，最下一級(ji)的(de)(de)認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)直接面向最終用戶。認(ren)證(zheng)(zheng)(zheng)(zheng)中心(xin)(xin)(xin)主要有(you)以下幾種功(gong)能：證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)頒發；證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)更新；證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)查詢；證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)作廢；證(zheng)(zheng)(zheng)(zheng)書(shu)的(de)(de)歸檔。

　　數(shu)字安全(quan)(quan)(quan)證書(shu)(shu)就是標志網絡(luo)(luo)用戶身份信(xin)(xin)(xin)息的(de)(de)(de)(de)一系列(lie)數(shu)據，用來在(zai)網絡(luo)(luo)通訊中(zhong)識別通訊各(ge)方(fang)的(de)(de)(de)(de)身份。數(shu)字安全(quan)(quan)(quan)證書(shu)(shu)是由權威(wei)公(gong)正(zheng)的(de)(de)(de)(de)第三方(fang)機(ji)構即CA中(zhong)心(xin)簽(qian)(qian)發(fa)的(de)(de)(de)(de)，以(yi)數(shu)字安全(quan)(quan)(quan)證書(shu)(shu)為(wei)核心(xin)的(de)(de)(de)(de)加密技術可(ke)以(yi)對網絡(luo)(luo)上傳輸的(de)(de)(de)(de)信(xin)(xin)(xin)息進行加密和解密、數(shu)字簽(qian)(qian)名和簽(qian)(qian)名驗證，確保網上傳遞信(xin)(xin)(xin)息的(de)(de)(de)(de)機(ji)密性(xing)、完整性(xing)，以(yi)及交易(yi)實體身份的(de)(de)(de)(de)真實性(xing)，簽(qian)(qian)名信(xin)(xin)(xin)息的(de)(de)(de)(de)不可(ke)否(fou)認性(xing)，從而保障(zhang)電子(zi)商務應用的(de)(de)(de)(de)安全(quan)(quan)(quan)性(xing)。

　　數(shu)字安(an)全證書(shu)采(cai)用(yong)(yong)公(gong)(gong)鑰(yao)(yao)密(mi)碼體制(zhi)，即(ji)利用(yong)(yong)一(yi)對互相(xiang)(xiang)匹配的密(mi)鑰(yao)(yao)進(jin)(jin)行加密(mi)、解(jie)(jie)密(mi)。每個用(yong)(yong)戶(hu)擁有(you)一(yi)把僅為本人所掌(zhang)握的私有(you)密(mi)鑰(yao)(yao)(私鑰(yao)(yao))，用(yong)(yong)它(ta)進(jin)(jin)行解(jie)(jie)密(mi)和簽名(ming)；同時擁有(you)一(yi)把公(gong)(gong)共密(mi)鑰(yao)(yao)(公(gong)(gong)鑰(yao)(yao))并(bing)可(ke)以(yi)對外公(gong)(gong)開，用(yong)(yong)于加密(mi)和驗證簽名(ming)。當發送(song)一(yi)份保密(mi)文件(jian)時，發送(song)方(fang)使用(yong)(yong)接(jie)收方(fang)的公(gong)(gong)鑰(yao)(yao)對數(shu)據加密(mi)，而接(jie)收方(fang)則使用(yong)(yong)自己的私鑰(yao)(yao)解(jie)(jie)密(mi)，這樣，信(xin)息就可(ke)以(yi)安(an)全無(wu)(wu)誤地(di)到達目的地(di)了(le)，即(ji)使被第三方(fang)截獲，由于沒有(you)相(xiang)(xiang)應(ying)的私鑰(yao)(yao)，也(ye)無(wu)(wu)法進(jin)(jin)行解(jie)(jie)密(mi)。通過數(shu)字的手(shou)段保證加密(mi)過程是一(yi)個不可(ke)逆(ni)過程，即(ji)只有(you)用(yong)(yong)私有(you)密(mi)鑰(yao)(yao)才能解(jie)(jie)密(mi)。

　　公(gong)開(kai)密(mi)(mi)(mi)鑰技術解(jie)決了密(mi)(mi)(mi)鑰發(fa)布的管理問題，商(shang)(shang)戶(hu)可(ke)以(yi)公(gong)開(kai)其公(gong)開(kai)密(mi)(mi)(mi)鑰，而(er)保(bao)留其私(si)(si)有密(mi)(mi)(mi)鑰。購物者可(ke)以(yi)用人人皆知的公(gong)開(kai)密(mi)(mi)(mi)鑰對發(fa)送(song)的信息進行加密(mi)(mi)(mi)，安全地傳送(song)給商(shang)(shang)戶(hu)，然后由(you)商(shang)(shang)戶(hu)用自己的私(si)(si)有密(mi)(mi)(mi)鑰進行解(jie)密(mi)(mi)(mi)。

　　用(yong)戶(hu)也(ye)可以采用(yong)自己的私鑰對信(xin)息(xi)加以處理，由于密鑰僅為本人(ren)所有，這樣就產(chan)生了(le)(le)別人(ren)無法生成的文件，也(ye)就形成了(le)(le)數字信(xin)封和(he)數字簽(qian)名。

　　數字(zi)信(xin)封(feng)(feng)的(de)(de)功(gong)能(neng)類似于普(pu)通信(xin)封(feng)(feng)，普(pu)通信(xin)封(feng)(feng)在(zai)傳統法律(lv)約束(shu)下能(neng)夠確保只有收(shou)信(xin)人才能(neng)閱讀信(xin)件內容(rong)，數字(zi)信(xin)封(feng)(feng)則采用密(mi)(mi)(mi)(mi)碼(ma)(ma)技術保證只有規定的(de)(de)接收(shou)者才能(neng)閱讀信(xin)息(xi)(xi)(xi)(xi)內容(rong)，在(zai)電子商務過程中信(xin)息(xi)(xi)(xi)(xi)的(de)(de)發送(song)方(fang)首先利(li)用隨機產生的(de)(de)對稱(cheng)(cheng)密(mi)(mi)(mi)(mi)碼(ma)(ma)加密(mi)(mi)(mi)(mi)要傳送(song)的(de)(de)信(xin)息(xi)(xi)(xi)(xi)，再(zai)利(li)用接收(shou)方(fang)的(de)(de)公鑰加密(mi)(mi)(mi)(mi)對稱(cheng)(cheng)密(mi)(mi)(mi)(mi)碼(ma)(ma)，被加密(mi)(mi)(mi)(mi)后的(de)(de)對稱(cheng)(cheng)密(mi)(mi)(mi)(mi)碼(ma)(ma)就被稱(cheng)(cheng)為(wei)數字(zi)信(xin)封(feng)(feng)，信(xin)息(xi)(xi)(xi)(xi)接收(shou)方(fang)收(shou)到信(xin)息(xi)(xi)(xi)(xi)后必須先利(li)用自己的(de)(de)私鑰對數字(zi)信(xin)封(feng)(feng)解密(mi)(mi)(mi)(mi)，才能(neng)得到對稱(cheng)(cheng)密(mi)(mi)(mi)(mi)碼(ma)(ma)，然(ran)后利(li)用對稱(cheng)(cheng)密(mi)(mi)(mi)(mi)碼(ma)(ma)看到自己需要的(de)(de)信(xin)息(xi)(xi)(xi)(xi)內容(rong)，這樣(yang)就確保了信(xin)息(xi)(xi)(xi)(xi)的(de)(de)保密(mi)(mi)(mi)(mi)性。

　　數(shu)字(zi)簽(qian)名(ming)(ming)是指用戶(hu)用自(zi)己(ji)的(de)(de)(de)(de)私鑰對要發(fa)(fa)送(song)的(de)(de)(de)(de)原(yuan)始數(shu)據的(de)(de)(de)(de)哈(ha)希(xi)(xi)摘要進(jin)行加密所(suo)得的(de)(de)(de)(de)數(shu)據，接收方(fang)(fang)使用信(xin)息(xi)發(fa)(fa)送(song)方(fang)(fang)的(de)(de)(de)(de)公鑰對附在原(yuan)始信(xin)息(xi)后(hou)的(de)(de)(de)(de)數(shu)字(zi)簽(qian)名(ming)(ming)進(jin)行解密獲(huo)得哈(ha)希(xi)(xi)摘要，并通過與自(zi)己(ji)收到的(de)(de)(de)(de)原(yuan)始數(shu)據產生(sheng)的(de)(de)(de)(de)哈(ha)希(xi)(xi)摘要對照，便可確認原(yuan)始信(xin)息(xi)是否被篡改，這樣(yang)就可以確保(bao)信(xin)息(xi)的(de)(de)(de)(de)真實(shi)性(xing)和傳輸的(de)(de)(de)(de)完整性(xing)。采用數(shu)字(zi)簽(qian)名(ming)(ming)，能夠(gou)確認以下3點：

　　(a)保(bao)證信息是由(you)簽名(ming)者自己簽名(ming)發送的，簽名(ming)者不能否認(ren)或難以否認(ren)；

　　(b)保證信(xin)息自簽(qian)發(fa)后到(dao)收到(dao)為止(zhi)未曾(ceng)作過任(ren)何修改(gai)，簽(qian)發(fa)的文(wen)件是(shi)真實文(wen)件。

　　(c)簽(qian)名(ming)是不(bu)可重用的(de)，簽(qian)名(ming)是文件的(de)一部份，不(bu)可能再(zai)將簽(qian)名(ming)移動到其(qi)它文件上(shang)。

　　數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)的(de)格式一般采用X.509國(guo)際標(biao)準(zhun)。它(ta)包含(han)了以下幾點：數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)擁有者(zhe)的(de)名稱(cheng)、數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)擁有者(zhe)的(de)公共密鑰(yao)、公共密鑰(yao)的(de)有效(xiao)期、頒(ban)發數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)的(de)單位(wei)、數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)的(de)序列號，頒(ban)發數(shu)字(zi)(zi)(zi)安(an)(an)全證書(shu)單位(wei)的(de)數(shu)字(zi)(zi)(zi)簽名等(deng)內容。

　　數(shu)字(zi)安(an)全(quan)證(zheng)書(shu)根據應(ying)用領域(yu)的不同一般有(you)：個(ge)人(ren)數(shu)字(zi)安(an)全(quan)證(zheng)書(shu)、機構數(shu)字(zi)安(an)全(quan)證(zheng)書(shu)、個(ge)人(ren)簽(qian)名安(an)全(quan)證(zheng)書(shu)、機構簽(qian)名安(an)全(quan)證(zheng)書(shu)、設備安(an)全(quan)數(shu)字(zi)證(zheng)書(shu)等幾種類(lei)型。

　　(2)X.500目(mu)錄(lu)服(fu)(fu)務器(qi)(qi)。X.500目(mu)錄(lu)是(shi)一個全球性的(de)信息(xi)通(tong)訊目(mu)錄(lu)，由不同的(de)國家或組織擁有(you)和管(guan)理(li)不同的(de)部分，X.500目(mu)錄(lu)服(fu)(fu)務器(qi)(qi)主要(yao)用(yong)于發(fa)布(bu)用(yong)戶(hu)的(de)數字安全證(zheng)書和黑名單信息(xi)，用(yong)戶(hu)可(ke)以通(tong)過標(biao)準(zhun)的(de)LDAP協議查詢自(zi)己(ji)或他人的(de)證(zheng)書并下載黑名單信息(xi)。

　　(3)具(ju)有高強(qiang)(qiang)度密(mi)碼算法(fa)安(an)(an)全(quan)(quan)(quan)(quan)套接層(SSL)協(xie)議。WEB的(de)安(an)(an)全(quan)(quan)(quan)(quan)問題(ti)涉及(ji)(ji)到(dao)前面提及(ji)(ji)的(de)計算機網絡安(an)(an)全(quan)(quan)(quan)(quan)問題(ti)，同(tong)時(shi)還有新的(de)挑戰，WEB具(ju)有雙(shuang)向性，很(hen)容易受到(dao)來自(zi)Internet的(de)攻(gong)擊，SSL(安(an)(an)全(quan)(quan)(quan)(quan)套接層協(xie)議)是一種工作在TCP/IP模型傳(chuan)輸層的(de)具(ju)有高強(qiang)(qiang)度密(mi)碼算法(fa)的(de)協(xie)議，基(ji)于RAS和(he)保密(mi)密(mi)鑰的(de)安(an)(an)全(quan)(quan)(quan)(quan)連接技術，它在兩個結(jie)點之間建立安(an)(an)全(quan)(quan)(quan)(quan)的(de)TCP連接，通過加密(mi)傳(chuan)輸信道、數字(zi)簽名和(he)數字(zi)證(zheng)書可以實現客戶端和(he)服務(wu)器雙(shuang)方的(de)身份驗證(zheng)，安(an)(an)全(quan)(quan)(quan)(quan)強(qiang)(qiang)度很(hen)高。

　　SSL協(xie)議(yi)(yi)由兩層構成，底(di)層為(wei)SSL記錄協(xie)議(yi)(yi)，它為(wei)各(ge)種(zhong)高層協(xie)議(yi)(yi)提供基(ji)本的(de)(de)(de)安(an)全(quan)服務(wu)(wu)，常用(yong)的(de)(de)(de)HTTP服務(wu)(wu)可以(yi)在(zai)SSL的(de)(de)(de)上層實現；SSL高層為(wei)握(wo)手(shou)協(xie)議(yi)(yi)、更改密碼(ma)規則協(xie)議(yi)(yi)和警告協(xie)議(yi)(yi)，這些特定的(de)(de)(de)協(xie)議(yi)(yi)可以(yi)管理(li)SSL的(de)(de)(de)交換。記錄協(xie)議(yi)(yi)和握(wo)手(shou)協(xie)議(yi)(yi)是SSL協(xie)議(yi)(yi)體系(xi)中的(de)(de)(de)兩個主(zhu)要協(xie)議(yi)(yi)，其中記錄協(xie)議(yi)(yi)用(yong)于確(que)(que)定數據安(an)全(quan)傳輸的(de)(de)(de)模式，握(wo)手(shou)協(xie)議(yi)(yi)用(yong)于客戶機和服務(wu)(wu)器(qi)建立(li)起(qi)安(an)全(quan)連接之前(qian)交換一(yi)系(xi)列的(de)(de)(de)安(an)全(quan)信道，這些安(an)全(quan)信息主(zhu)要包括：客戶機確(que)(que)定服務(wu)(wu)器(qi)的(de)(de)(de)身份(fen)；允許(xu)客戶機和服務(wu)(wu)器(qi)選擇雙(shuang)方共同支持的(de)(de)(de)一(yi)系(xi)列加(jia)密算法；服務(wu)(wu)器(qi)確(que)(que)定客戶機的(de)(de)(de)身份(fen)；通過非對(dui)稱密碼(ma)技術(shu)產(chan)生雙(shuang)方共同的(de)(de)(de)密鑰(yao)和建立(li)SSL的(de)(de)(de)加(jia)密安(an)全(quan)通道等內容。

　　SSL最初由(you)Netscape公(gong)司開發，現在(zai)(zai)已經成為Internet用來鑒別網(wang)站和(he)瀏覽者(zhe)身份，以及在(zai)(zai)瀏覽器使用者(zhe)及網(wang)站服務器之(zhi)間進行(xing)加密通信的(de)全球化標準(zhun)。

　　(4)WEB安(an)全通(tong)信平臺。電子商務(wu)過(guo)程通(tong)常會涉及WEB服務(wu)器和(he)WEB客戶(hu)端(duan)(duan)兩部分(fen)，服務(wu)器端(duan)(duan)和(he)客戶(hu)機(ji)端(duan)(duan)通(tong)過(guo)具有高強度密碼算法(fa)的SSL協議(yi)保證客戶(hu)端(duan)(duan)和(he)服務(wu)器端(duan)(duan)數據的安(an)全。

　　3.PKI密鑰(yao)產生、管(guan)理及信任模型。數字安(an)全證(zheng)書(shu)(shu)產生過程(cheng)是(shi)：用(yong)戶向CA提交請求，CA響應請求并(bing)對(dui)用(yong)戶身份(fen)進(jin)行(xing)審核(he)，通過審核(he)則由CA產生密鑰(yao)對(dui)，同時生成公(gong)鑰(yao)證(zheng)書(shu)(shu)和私鑰(yao)證(zheng)書(shu)(shu)，公(gong)鑰(yao)證(zheng)書(shu)(shu)發布到目錄服(fu)務(wu)器(qi)進(jin)行(xing)管(guan)理，私鑰(yao)證(zheng)書(shu)(shu)交給(gei)用(yong)戶。

　　在電(dian)子商務(wu)過程中(zhong)不可(ke)能(neng)只有一個CA，多(duo)個CA之間的(de)(de)信(xin)(xin)任(ren)(ren)關(guan)系必(bi)須保證原(yuan)有的(de)(de)PKI用戶(hu)不必(bi)信(xin)(xin)賴和信(xin)(xin)任(ren)(ren)唯一的(de)(de)CA，否則電(dian)子商務(wu)系統將無法進行(xing)擴展。信(xin)(xin)任(ren)(ren)模型(xing)(xing)建立(li)的(de)(de)目的(de)(de)是確保一個認證機(ji)構簽發的(de)(de)數字安全證書能(neng)夠被(bei)另一個CA的(de)(de)用戶(hu)所信(xin)(xin)任(ren)(ren)，常見的(de)(de)信(xin)(xin)任(ren)(ren)模型(xing)(xing)包括：嚴格層次信(xin)(xin)任(ren)(ren)模型(xing)(xing)、分(fen)布(bu)式(shi)信(xin)(xin)任(ren)(ren)模型(xing)(xing)、以用戶(hu)為中(zhong)心的(de)(de)信(xin)(xin)任(ren)(ren)模型(xing)(xing)和交叉認證模型(xing)(xing)。

　　在具體的電子商(shang)(shang)務應(ying)用中(zhong)主(zhu)要有以(yi)下(xia)五個交(jiao)易(yi)參與(yu)方：買(mai)家、服務商(shang)(shang)、供貨商(shang)(shang)、銀行和認(ren)證中(zhong)心(CA)。由于參與(yu)交(jiao)易(yi)的各(ge)方都持有認(ren)證中(zhong)心(CA)所頒發的數字安(an)全證書，所以(yi)，能夠保證在交(jiao)易(yi)的過程中(zhong)參與(yu)各(ge)方的真實身份(fen)、防止他人假(jia)冒；也能夠保證交(jiao)易(yi)信息的保密(mi)性、不可否認(ren)性和不可修改(gai)性。

　　四、小結

　　電(dian)子(zi)(zi)商務(wu)系統(tong)在給(gei)企業帶來便(bian)利(li)和機遇的(de)(de)同時，也(ye)面(mian)臨(lin)安(an)(an)全(quan)方面(mian)的(de)(de)重大(da)挑戰，電(dian)子(zi)(zi)商務(wu)安(an)(an)全(quan)是(shi)一(yi)個復雜的(de)(de)系統(tong)問(wen)題，企業應當充分認清電(dian)子(zi)(zi)商務(wu)系統(tong)中存在的(de)(de)安(an)(an)全(quan)問(wen)題，并(bing)采取相應措施確保(bao)整(zheng)個電(dian)子(zi)(zi)商務(wu)過程(cheng)的(de)(de)安(an)(an)全(quan)性。