网上支付的安全需要与技术对策

1、题 目: 网上支付的安全需要与技术对策摘要: 随着互联网的全面普及，基于互联网的电子商务也应运而生，并在近年来获得了巨大的发展，成为一种全新的商务模式。同时,这种商务模式对管理水平、信息传递技术都提出了更高的要求，其中安全体系的构建显得尤为重要。如何建立一个安全、便捷的电子商务应用环境，对交易过程中的信息提供足够的保护，是商家和用户都十分关注的话题。安全问题己成为电子商务的核心问题。本文就电子商务中网上支付安全方面的问题进行分析并提出相应的防护策略。关键词: 网上支付，安全需求，安全策略，密码技术一、引言电子商务的产生和发展改变了商务活动的方式、企业经营管理的方式、人们消费的方式以及政府的行为等, 带来了许多新的机遇, 同时也面临着安全方面的严峻挑战。保证电子商务的快捷、方便、可靠与安全, 是其能被社会广泛接受的条件。由于电子商务的远距离网络操作性而非传统的面对面交易, 没有国界、没有时间的限制, 可以利用因特网的资源和工具进行访问、攻击甚至破坏, 因此电子商务的安全问题已成为人们关注的焦点, 也是电子商务发展的关键。电子商务的安全与其他计算机应用系统的安全一样, 是一个完整的安全体系

2、结构。它包含了从物理硬件到人员管理的各个方面, 任何一个方面的缺陷都将在一定程度上影响整个电子商务系统的安全性。二、网上支付面临的安全问题众所周知, 因特网是一个完全开放的网络, 任何一台计算机、任何一个网络都可以与之联接, 并借助因特网发布信息, 获取与共享各种网站的信息资源, 发送电子邮件与开展网上办公, 进行各种网上商务活动。同时, 也给那些别有用心的组织或个人提供了窃取别人的各种机密如消费者的银行账号、密码, 甚至妨碍或毁坏他人网络系统运行等各种机会。概括起来, 网上支付面临的安全威胁主要有以下几方面。（一） 系统的中断与瘫痪。网络故障、操作失误、应用程序出错、硬件故障、系统软件设计不完善以及计算机病毒都有可能导致系统不能正常工作。如在划拨货款的过程中突然出现网络中断等。（二） 信息被窃取。电子商务作为一种全新的贸易形式, 其通讯的信息直接代表着个人、企业或国家的利益。攻击者可能通过因特网、公共电话网、搭线或在电磁波辐射范围内安装截收装置等方式, 截获传输的机密信息, 或通过对信息流量和流向、通信频度和长度等参数分析, 推断出有用的信息、如消费者的银行账号、密码等。（三）信息被

3、篡改。攻击者可能从三个方面破坏信息的完整性。一、篡改。改变信息流的次序, 更改信息的内容。二、删除。删除某个消息或消息中的某些部分。三、插入。在信息中插入一些其它干扰信息, 让收方读不懂或接收错误的信息。（五）信息被伪造。一、虚开网站和商店, 给用户发电子邮件, 接受订单。二、伪造大量用户, 发电子邮件, 穷尽商家资源、使合法用户不能正常访问网络资源。三、冒充他人身份, 进行消费和栽赃等。（六）对交易行为进行抵赖或不承认。一、发信者事后否认曾经发送过某条消息或内容。二、收信者事后否认曾经收到过某条消息或内容。三、购买者不承认确认了的订单。四、商家卖出的商品因价格差而不承认原有的交易。三、网上支付安全需求触发电子商务安全问题的原因有：黑客的攻击、管理的欠缺、网络的缺陷、软件的漏洞及人为的触发。电子商务面临的安全隐患导致了对电子商务安全的需求，为了实现一个安全的电子商务系统需要做到以下几个方面：（一）机密性电子商务作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。电子商务是建立在一个较为

4、开放的网络环境上的（尤其Internet是更为开放的网络），维护商业机密是电子商务全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。机密性一般通过密码技术来对传输的信息进行加密处理来实现。（二）完整性电子商务简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是电子商务应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复，并保证信息传送次序的统一。完整性一般可通过提取信息消息摘要的方式来获得。（三）认证性由于网络电子商务交易系统的特殊性，企业或个人的交易通常都是在虚拟的网络环境中进行，所以对个人或企业实体进行身份性确认成了电子商务中很重要的一环。对个人或实体的身份进行鉴别，为身份的真实性提供保证，即交易双方能够在相互不见面的情况下确认对方的身份。这意味着当某

5、人或实体声称具有某个特定的身份时，鉴别服务将提供一种方法来验证其声明的正确性，一般都通过证书机构CA和证书来实现。（四）不可抵赖性电子商务关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是所期望的贸易伙伴，这一问题则是保证电子商务顺利进行的关键。贸易双方在传统的纸面贸易中可以通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴身份，确定合同、契约、单据的可靠性，并预防抵赖行为的发生，这也就是人们常说的“白纸黑字”。通过手写签名和印章在无纸化的电子商务方式下已是不可能的。因此，要在交易信息的传输过程中，为参与交易的个人、企业或国家提供可靠的标识、不可抵赖性，可通过对发送的消息进行数字签名来获取。（五）有效性电子商务以电子形式取代了纸张，那么如何保证这种电子形式的贸易信息的有效性则是开展电子商务的前提。电子商务作为贸易的一种形式，其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此，要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时刻、确定的地点是有效的。四、网上支付的技术对策

6、（一）防火墙技术防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的惟一出入口，通过监测、限制、更改，跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，有选择地接受外部访问，对内部强化设备监管，控制对服务器与外部网络的访问，在被保护网络和外部网络之间架起一道屏障，以防止发生不可预测的、潜在的破坏性侵入。防火墙技术具有以下几方面的优点：1防火墙是网络安全的屏障。防火墙能过滤那些不安全的服务，只有预先被允许的服务才能通过防火墙。这样就降低了受到非法攻击的风险，提高了网络的安全性。2有效记载网络上的活动。如果所有对网络的访问都通过防火墙，那么，防火墙就能记录下这些访问，并能提供网络使用情况的统计数据。当发生可疑情况时，防火墙就能报警并提供网络是否受到检测和攻击的详细信息。3防火墙可以强化网络安全策略。通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、身份认证、加密、审计等）配置在防火墙上。不使用防火墙就必须把所

7、有安全软件分散到各主机上，防火墙的集中安全管理更经济。当然防火墙还有许多不足之处：无法防范那些不通过防火墙的攻击；不能防止传送已被病毒感染的软件或文件；限制或关闭许多有用但存在安全缺陷的网络服务；不能防范内部人员将数据拷贝到软盘上带走等。没有一种防火墙是万能的，如果只有防火墙，而没有全面的安全策略，如磁盘和数据加密、病毒防护措施等，那么防火墙等于形同虚设。（二）漏洞扫描技术漏洞扫描技术是自动检测远端或本地主机安全漏洞的技术。安全漏洞通常指硬件、软件、协议的具体实现或系统安全策略方面存在的安全缺陷。漏洞扫描按功能大致可分为: 操作系统漏洞扫描、网络漏洞扫描和数据库漏洞扫描。若针对检测对象的不同, 漏洞扫描还可分为网络扫描、操作系统扫描、WWW 服务扫描、数据库扫描以及新出现的无线网络扫描。目前, 漏洞扫描, 从底层技术来划分, 也可以分为基于网络的扫描和基于主机的扫描这两种类型。漏洞扫描主要通过以下两种方法来检测目标主机是否存在漏洞: 在端口扫描后得知目标主机开启的端口以及端口上的网络服务, 将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配, 查看是否有满足匹配条件的漏洞存在; 通过

8、模拟黑客的攻击手法, 对目标主机系统进行攻击性的安全漏洞扫描, 如测试弱势口令等。一旦模拟攻击成功, 则表明目标主机系统存在安全漏洞。（三）入侵检测技术入侵检测是防火墙的合理补充, 帮助系统对付网络攻击, 扩展了系统管理员的安全管理能力( 包括安全审计、监视、进攻识别和响应) , 提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息, 并分析这些信息, 看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门, 在不影响网络性能的情况下能对网络进行监测, 从而提供对内部攻击、外部攻击和误操作的实时保护。（四） 反病毒技术计算机病毒时常导致计算机系统瘫痪, 程序无法正确运行和数据遭受严重破坏, 使网络的效率和作用大大降低, 许多功能无法使用或不敢使用。反病毒技术大体分为病毒检测、病毒清除、病毒免疫和病毒预防。对计算机病毒应以预防为主, 研制出高品质的预防技术, 才是上策。良好的管理和安全措施, 可以大大减少病毒攻击的危险并有效地防御大多数病毒。（五）加密技术通常情况下，网络上的信息如果没有经过特殊处理都是明码传输的，这就意味着用户

9、在网上传输的口令、密码、信用卡号码等都有可能被他人窃取。加密技术能防止合法者之外的人获取机密信息，它是电子商务采取的主要安全措施。加密技术有两种基本形式的算法，一种是对称密钥加密算法，也称为私有密钥加密算法；另一种是非对称密钥加密算法，也称为公开密钥加密算法。1对称密钥加密算法。对称密钥加密算法具有以下特点：解密密钥和加密密钥相同，用某个密钥加密就必须用同一个密钥解密；加密过程中将待加密数据分割成等长的若干个分组，对每个分组进行加密形成加密后的分组，再将各个分组组合成整个密文；加密过程是一个密钥控制下的复杂迭代运算；相对非对称加密算法密码长度较短、加密速度较快。典型的算法是DES算法。对称加密算法在电子商务交易过程中存在以下几方面的问题：（1）要求提供一条安全的渠道使交易双方在首次通信时协商一个共同的密钥。面对面地直接协商可能并不现实，因此双方需要借助于邮件、电话等其它相对不够安全的手段来进行协商。（2）由于密钥数目的快速增长而变得难以管理。因为每一对可能的通信实体需要使用不同的密钥，这很难适应现代社会大量信息的交流。（3）通常对称加密算法不能提供信息完整性鉴别。2非对称密钥加密算法。非对称密钥加密算法具有以下特点：算法存在两个密钥，一个公开为公开密钥（简称公钥）；另一个保密为私有密钥（简称私钥）。一个密钥用来加密后，就要用另一个密钥来解密，也就是说用公钥加密的信息就要用私钥解密，用私钥加密的数据就要用公钥解密。典型的算法是RSA算法。（六）数字签名所谓“数字签名”就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章。对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证所无法比拟的。“数字签名”是目前电子商务、电子政务中应用最普遍、技术最成熟、可操作性最强的一种电子签名方法。它采用了规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。数字签名在ISO7498-2标准中定义为：

《网上支付的安全需要与技术对策》由会员jiups****uk12分享，可在线阅读，更多相关《网上支付的安全需要与技术对策》请在金锄头文库上搜索。