电子商务中网络基础设施的安全方案

哩孑商务　常用的公钥加密算法是ＲＳＡ算法．加密强度很高。具体做法８　是将数字签名和数据加密结合起来。发送方在发送数据时必须加　上数字签名　做法是用自己的私钥加密一段与发送数据相关的数ｌｉ　据作为数字签名，然后与发送数据一起用接收方密钥加密。这些　密文被接收方收到后．接收方用自己的私钥将密文解密得到发送　导囱圈０回国营固　脑国圈　富　宦　＿高倩北京农业职业学院　石家庄经济学院　＿李明亮的数据和发送方的数字签名＋然后用发布方公布的公钥对数字签８　名进行解密，如果成功　则确定是由发送方发出的。由于加密强　度高，而且不要求通信双方事先建立某种信任关系或共享某种秘　密　因此十分适合Ｉｎｔｅｒｎｅｔ网上使用。３新字答名　ｔ　（摘　要】企业发展电子商务的最大顾虑是安全问题，网络基　”础设施的安全在很大程度上决定了整个系统的安全，本文先提出　数字签名技术是实现交易安全核心技术之一．它实现的基础　计算机网络安全体系结构　然后从系统平台选择、客户机配置、　就是加密技术。以往的书信或文件是根据亲笔签名或印章来证明《访问控制策略设计　程序设计、数据库冗会备份及用户资格认证　其真实性的　但在计算机网络中传送的报文又如何盖章呢７这就　等方面给出安全解决方案。此方案的实施提高了电子商务系统的　茎者能够　妻核实篓发送者　对报文的签名．送者事后不能喜　票　抵　对报文的签　《一　训电…“　…　子商务访问控…　……　……一制网络安全网络配置　名．接收者不能伪造对报文的签名。现在己有多种实现数字签名　的方法．采用鞍多的就是公开密钥算法。　基于Ｉｎｔｅｒｎｅｔ的电子商务已成为商务活动的新模式．但电子商　务的安全问题越来越突出　如何建立一个安全、便捷的电子商务　４数字证书　（１）认证中心　《环境　保证整个商务活动中信息的安全已成为新的研究热点。　电子商务的安全包括计算机网络安全和商务交易安全。计算　机网络安全是针对网络本身可能存在的安全问题．实施网络安全　在电子交易中，数字证书的发放不是靠交易双方来完成的，　而是由具有权威性和公正性的第三方来完成的。认证中心就是承　增强方案．以保证自身的安全性。没有网络安全做基础，电子商　担网上安全电子交易认证服务、签发数字证书并确认用户身份的　务安全就犹如空中楼阁。本文重点研究在企业电子商务系统中．　服务机构。　网络基础设施的安全解决方案　（２）数字证书　“　一、电子商务的安全体系结构　考虑企业电子商务系统的具体情况，网络安全体系结构由内　数字证书是用电子手段来证实一个用户的身份及他对网络资　源的访问权限。在网上的电子交易中，如双方出示了各自的数字　到外为：用户　操作系统　入侵检测、防火墙和路由器／网关。　证书，并用它来进行交易操作，那么交易双方都可不必为对方身　”该体系结构包含了网络的物理安全、访问控制安全、系统安全　份的真伪担心　用户安全、信息加密等。充分利用各种先进的主机安全、身份认　５消息摘要（Ｍｅｓｓａｇｅ　Ｄｉｇｅｓｔ）　Ｉ证、访问控制、防火墙等技术　在攻击者和受保护的资源问建立　子商务系统的安全。　二、系统操作平台的安全　基础设施是企业用于实现电子商务的完整ｆＴ基础架构．为用　消息摘要方法也称为Ｈａｓｈ编码法或ＭＤＳ编码法。它是由Ｒｏｎ　了多道严密的安全防线．增加了恶意攻击的难度，保障了企业电　Ｒｉｖｅｓｔ所发明的。消息摘要是一个惟一对应一个消息的值。它由　单向Ｈａｓｈ加密算法对所需加密的明文直接作用，生成一串１　２８ｂｉｔ　的密文，这一串密文又被称为“数字指纹”（Ｆｉｎｇｅｒ　Ｐｒｉｎｔ）。所谓　单向是指不能被解密．不同的明文摘要成密文．其结果是绝不会　户提供了一个整合环境，是企业构筑电子商务成败的关键。成功　相同的　而同样的明文其摘要必定是一致的．因此．这串摘要成《的电子商务要求基础设施安全可靠、可扩展及灵活性强。　为了验证明文是否是　真身”的数字　指纹”了。　１操作系统及硬件选择。服务器操作系统应选择高安全性的　四、小结　安全防护的几种技术手段，相信随着时间的推移和技术的发展，　Ｕｎｉｘ／Ｌｉｎｕｘ。内存及硬盘等应支持热插拔．对单个服务器的网络和　可扩展性．大中型服务器可以考虑选择多路Ｐｅｎｔｉｕｍ　Ｘｅｏｎ或ＡＭＤ　本文详细探讨了电子商务安全体系所面临的问题．并提出了Ｈ存储器的ｔ／０设备准备两个系统路径。为保证处理能力的余量和　电子商务安全体系将越来越完善　足不出户而通过Ｉｎｔｅｒｎｅ／电子商；　的高端Ｏｐｔｅｒｏｎ处理器。　务系统实现购物、交易和做生意将成为人们生活的新时尚。　参考文献：　１　２６　８　客户机完成数据的录入和输出工作　配置原则上只要能运行　操作系统和常用软件即可。操作系统选择ｗｉｎｄｏｗｓ　ｓｅｒｖｅｒ２００３．其　『ｌ器、安全性弓ｌ用监视器和用户安全接口组成，能够保护服务器中　［１】徐海来：电子商务的运作与安纠Ｊ】．中国信息导报　２０００．６：ｗ采用基于对象的安全模式．由本地安全性授权　安全性账号管理　【２１刘　进：电子商务网上交易系统［Ｍ】．第一版，北京：机械工业　的文件。　出版社，２００５：１　５７　“　２支持多平台的商务系统构筑。企业可能存在异构平台并存，　［　】李延昭：电子商务的交易安全［Ｊｊ．计算机世界，２，０００．９：７９　｝１而用户希望各设备问能协同工作。因此在企业电子商务系统中，　【４】陈国章：电子商务数字认讧教程【Ｍ】．荨一版，北京：机械工业　应该向客户、应用程序服务器、网络和数据开放标准，使客户无　出版枉，１　９９９：２３７　《论处于网络何处都能访问这些服务。系统开发人员能在所选平台　《商场现代亿》２００９年１月（上旬干ｌｊ）总第５６２期　电三ｊＦ商务　上编写应用程序，对跨国公司而言能够全球部署且无需重新编　换即可升级或移植到任何Ｕｎｉｘ或其他主机系统。　放式标准．采用Ｊｖａａ多平台技术．按照普遍适用的电子商务应用　三、客户机的安全配置　１用户权限控制。用户要进入系统，必须输入自己的用户编　端相应变量中．然后调用相应的函数对其进行权限控制。使用ＪＳＰ　《１）在页面显示链接前先判断用户的权限．如果用户没有权限　（２）在用户对某个页面发出请求时．再次判断用户的权限．只　码。用户可在Ｗｉｎｄｏｗｓ　ｓｅｒｖｅｒ２００３服务器建立系统，无需编码转　号和密码进行身份证。通过验证后。将此用户的信息放入服务器　　选择可跨平台的架构组件特别是服务器软件．使用ＨＴＭＬ开　技术将用户的权限控制分为两层：程序框架进行开发．使企业电子商务系统具备多平台支持能力。　访问此链接对应的页面（资源）．页面就不显示此链接。　１．Ｗｉｎｄｏｗｓ　ｓｅｒｖｅｒ２００３的设置。多数管理员执行默认安装时　有当此用户拥有进入此页面的权限时，服务器才将此页面发送到　不对系统账号ａｄｍｉｎｉｓｔｒａｔｏｒ进行设置，而Ｇｕｅｓｔ则会被系统自动设　浏览器．否则返回错误信息。　置。攻击者通过利用这些账号来猜测密码进入系统。为了安全．　通过两层控制可防止用户进入没有权限的页面（资源）．从而　要求把这些账号重新命名或删除。进入　管理工具”一“系统策　防止用户查看或修改其并没有控制权限的信息。当用户试图访　略编辑器”　然后选择　文件”一”打开注册表”．并选择”本地　问被限制内容时．ｗｅｂ服务器进行身份验证．以检查用户是否拥　计算机”进行配置：取消　远程更新”及“创建隐藏的驱动器共　有有效账号。ｗｅｂ服务器支持基本身份验证和请求／晌应式身份　享　；　登录”设置为不允许从“身份验证对话框　关机．不显示　验证。　上次登录的用户名；不允许使用远程管理软件。在离开服务器时．　２．源数据库保护及客户资格认证。源数据库中保存着企业的　必须按“Ｃｔｒｌ＋Ｄｅｌ＋Ａｌ［”．并选择　锁定工作站”。　机密信息和相关客户信息。需要访问源数据库的ＪＳＰ脚本的人员，　２．采用安全的ＮＴＦＳ。ＮＴＦＳ分区中的文件有任意访问控制的能　要有Ｗｅｂ服务器所运行的计算机管理员权限。在从远程计算机上　力．可保证电子商务系统简单的拒绝非法文件访问．先进的容错　运行这些脚本时．对使用请求／响应验证方式进行连接的用户．　　能力保证其不易受到病毒和系统崩溃的侵袭。权限定义了一个或　必须己经通过身份验证。一组用户访问文件和目录的不同级别。当拥有Ｗｉｎｄｏｗｓ　ｓｅｒｖａ＇２００３　控制对ＪＳＰ应用程序访问的方法是要求客户在委托的第三方　有效账号的用户试图访问有权限限制的文件时．计算机将检查文　获得客户资格．第三方在发放资格证之前确认客户的身份信息。　件的访问控制表。因此，访问该应用程序的公共用户应仅授予　只　每当客户试图登录到需要资格验证的应用程序时。客户的Ｗｅｂ浏　读”权限。而Ｗｅｂ服务器上应用程序的所有者拥有“更改”权限　览器会自动向服务器发送客户资格。如果ｗｅｂ服务器的ＳＳＬ资格　来查看　更改和删除相应的应用程序。　的权限来限制所有用户查看　运行和操作Ｗｅｂ页的方式。Ｗｅｂ　服务器权限应用于所有用户，且不区分用户账号类型　所以要　对目录设置属性。对于要运行Ｗｅｂ页面的用户，在设置Ｗｅｂ服　映射特性配置正确，那么服务器就可以在许可客户对ＪＳＰ应用程　３．Ｗｅｂ服务器权限及协议选择。可以通过配置Ｗｅｂ服务器　序访问之前对其身份进行确认。　六　程序设计安全　开发工具或多或少都存在安全漏洞。程序开发人员应注意：　１．密码及物理路径的处理：应将密码和用户名通过使用虚拟　务器权限时遵循的原则为：对包含ｊ　ｓＰ文件的虚拟目录允许　路径，保存在数据库中。　”读”或“脚本”权限：对．ｊｓｐ文件和其他包含脚本的文件所在　２．用户详细信息的记录：为更好的跟踪用户．需记录用户的　的虚目录允许　读　和”脚本　权限：对包含．ｊｓｐ文件和其他　详细信息。其中记录ＩＰ最有用　可通过ＩＰ来查询用户的具体地点。　需要“执行“权限才能运行的文件的虚目录允许“读”和”执　这样就可以完全控制用户的使用．跟踪用户对资源的访问情况，　行”权限。　开启某个服务就要面对相应的漏洞，因此要安装最少的服务　和协议。最好少用或禁用ＮｅｔＢＩＯＳ和ＵＤＰ。　及时了解用户进行的越权访问。　３传输信息安全：ＪＳＰ脚本采用明文编写，可采用文件加密的　方法保护开发的ＪＳＰ脚本源代码。　四、数据库的冗余备份　电子商务系统安全涉及诸多方面．是一项复杂的系统工程。　备份可在系统硬件故障、人为失误、入侵者非授权访问或对　尽管目前提出了很多技术解决方案．但离真正的安全电子商务还　网络攻击破坏数据完整时起保护作用，分为全盘备份和增量备　有一段距离。优秀的系统管理人员往往可以在很大程度上保障系　份。可根据企业的业务．在相邻的几个地区之间设立一个分支总　统的安全运行　无形中提高了企业的竞争力．降低了企业进行电　控机构．通过Ｉｎｔｅｒｎｅｔ与企业的总部联系。每个分支总控机构每隔　子商务的成本。　一定时间进行　在线”的增量备份．休息时通过Ｉｎｔｅｒｎｅｔ实行“不　在线”的全盘备份，并将相关信息传送到企业总部。这样，即保　证各个分支总控部门有一定时间问隔内的业务资料　又可以保证　企业总部完全掌握各地的销售情况．以便企业为将来的发展规划　做出更加合理的决策。　五、用户访问安全控制　系统中每个用户所能访问的信息或进行的操作应是受限的。　用户安全认证系统的目的在于实现用户的身份验证与权限控制．　达到限制用户的越权操作与防止非法用户对系统的入侵。　参考文献：　［ｊ　ｒ韩茂盛：浅析电子商务时代网络安全技术【Ｊ】．商场现代化　（学术版），２００５（２）：１０３　［２】刘爱国李志梅：谈电子商务中的网络安全管理［Ｊ】　商场现　代化，２００７（４９９）：７６～７７　［５】张贵荣：电子商务的信息安全【Ｊ］．情报科学，２Ｏ（６）：６５５～６５５　《商场现代化》２００９年１月（上旬刊）总第５６２期