前言：本站為你精心整理了電子商務(wù)網(wǎng)絡(luò)安全管理范文，希望能為你的創(chuàng)作提供參考價(jià)值，我們的客服老師可以幫助你提供個(gè)性化的參考范文，歡迎咨詢。

如今，互聯(lián)網(wǎng)正以驚人的速度徹底地改變著人們的工作效率和生活方式，通過(guò)它，人們可以方便快捷地完成許多的商務(wù)和政務(wù)，然而，由于互聯(lián)網(wǎng)的開(kāi)放性和匿名性，不可避免的存在許多安全隱患。網(wǎng)上交易中，各種黑客攻擊嚴(yán)重威脅著交易的安全，他們一旦截獲用戶的交易身份認(rèn)證密碼，便可為所欲為，給商家和用戶造成許多麻煩。

目前，許多網(wǎng)上業(yè)務(wù)都采用用戶名和密碼的識(shí)別方式進(jìn)行交易，但是這種簡(jiǎn)單方式存在很多的安全隱患：

1）密碼容易泄露給他人

用戶為了記住密碼，經(jīng)常采取一些諸如自己生日、門(mén)牌號(hào)、電話號(hào)碼等熟悉的號(hào)碼，同時(shí)還可能將號(hào)碼記在紙上，也有可能在不經(jīng)意間泄密給他人，這都存在著許多安全隱患。

2）密碼網(wǎng)上傳輸容易截獲

信用卡號(hào)、銀行號(hào)、私鑰等安全信息密碼在網(wǎng)絡(luò)傳輸中極易被黑客竊取，令企業(yè)防不勝防。

因此，現(xiàn)在許多機(jī)構(gòu)運(yùn)用PKI（publickeyinfrastructure的縮寫(xiě)，即“公開(kāi)密鑰體系”）技術(shù)實(shí)施構(gòu)建完整的加密/簽名體系，更有效地解決上述難題，在充分利用互聯(lián)網(wǎng)實(shí)現(xiàn)資源共享的前提下，從真正意義上確保了網(wǎng)上交易與信息傳遞的安全。

淺析PKI

PKI是一種遵循既定標(biāo)準(zhǔn)的密鑰管理平臺(tái)，它能夠?yàn)樗械木W(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)及所必需的密鑰和證書(shū)管理體系。PKI區(qū)別于原有的單密鑰加密技術(shù)，它采用的是非對(duì)稱(chēng)的加密算法。這種網(wǎng)絡(luò)加密方式保證了網(wǎng)上交易和信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性、不可抵賴(lài)性。

構(gòu)建密碼服務(wù)系統(tǒng)的核心內(nèi)容是如何實(shí)現(xiàn)密鑰管理。公鑰體系涉及到一對(duì)密鑰（即公鑰和私鑰），私鑰只由用戶獨(dú)立掌握，無(wú)需在網(wǎng)上傳輸，而公鑰則是公開(kāi)的，需要在網(wǎng)上傳送，故公鑰體制的密鑰管理主要是針對(duì)公鑰的管理問(wèn)題，目前較好的解決方案是數(shù)字證書(shū)體系。數(shù)字證書(shū)是公開(kāi)密鑰體系的一種密鑰管理媒介。它是一種權(quán)威性的電子文檔，形同網(wǎng)絡(luò)計(jì)算環(huán)境中的一種身份證，用于證明某一主體（如人、服務(wù)器等）的身份以及其公開(kāi)密鑰的合法性，又稱(chēng)為數(shù)字ID。數(shù)字證書(shū)由公鑰及用戶信息等數(shù)據(jù)共同組成，可以寫(xiě)入一定的存儲(chǔ)介質(zhì)內(nèi)，確保用戶信息不被非法讀取及篡改。

ePass應(yīng)運(yùn)而生

針對(duì)各種網(wǎng)上交易的安全漏洞，長(zhǎng)期致力于網(wǎng)絡(luò)安全領(lǐng)域的北京飛天誠(chéng)信公司在大量分析網(wǎng)上交易的行業(yè)特性之后，推出了可以隨身攜帶的數(shù)字證書(shū)存儲(chǔ)介質(zhì)ePass系列網(wǎng)絡(luò)身份認(rèn)證產(chǎn)品，為廣大企業(yè)用戶提供了一個(gè)安全交易的平臺(tái)。

ePass是一種通過(guò)USB接口與計(jì)算機(jī)相連的硬件設(shè)備，內(nèi)置微型CPU和存儲(chǔ)器，大小跟鑰匙差不多，重量?jī)H為6克。ePass作為一種在PKI體系中應(yīng)用的產(chǎn)品，是為PKI應(yīng)用量身設(shè)計(jì)的。它可預(yù)置密鑰或存入數(shù)字證書(shū)，來(lái)確定用戶的身份。借助ePass，使系統(tǒng)有效避開(kāi)了傳統(tǒng)身份認(rèn)證過(guò)程的安全隱患，以高度安全的方式完成對(duì)網(wǎng)絡(luò)用戶的身份驗(yàn)證過(guò)程。事實(shí)證明，ePass為網(wǎng)上交易的網(wǎng)絡(luò)身份認(rèn)證提供了一種安全的解決方案。它可滿足所有服務(wù)器端對(duì)客戶端身份認(rèn)證的需要，其采用的獨(dú)特加密方式，有效地避免了各種網(wǎng)上交易的信息傳輸過(guò)程中病毒和黑客的侵襲。

ePass系列產(chǎn)品適用于需要網(wǎng)絡(luò)安全認(rèn)證的各種行業(yè)，包括金融、保險(xiǎn)、電信、稅務(wù)以及機(jī)密單位等領(lǐng)域。如：各種在線銀行、B2B/B2C交易、在線支付、股票交易的身份認(rèn)證及數(shù)字簽名過(guò)程；各種有償內(nèi)容提供商和應(yīng)用服務(wù)（如收費(fèi)網(wǎng)站、電子報(bào)刊訂閱和軟件下載等）提供商對(duì)客戶身份的認(rèn)證過(guò)程；各種機(jī)密單位和部門(mén)的工作人員互相訪問(wèn)機(jī)密內(nèi)容的身份認(rèn)證過(guò)程；各種類(lèi)型的遠(yuǎn)程收費(fèi)、遠(yuǎn)程預(yù)訂場(chǎng)合：如遠(yuǎn)程訂票、異地訂房、交納養(yǎng)路費(fèi)、交納電話費(fèi)等。

ePass解決方案

下面我們以證券行業(yè)為例，說(shuō)明ePass產(chǎn)品在基于證書(shū)的安全認(rèn)證體系中的作用。（參見(jiàn)下圖）

網(wǎng)上交易隱患：

證券行業(yè)的網(wǎng)上交易，早已如火如荼，存在的隱患也有很多：如身份驗(yàn)證的用戶名+密碼容易泄露；委托信息容易被篡改；對(duì)于交易造成的責(zé)任，由于無(wú)法確認(rèn)用戶身份，用戶可以拒絕承擔(dān)；無(wú)法保證委托信息確實(shí)發(fā)送到券商服務(wù)器；用戶的交易信息傳輸于網(wǎng)上，極易被人竊取……

網(wǎng)上證券交易究竟如何能保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性、不可抵賴(lài)性呢？

在使用數(shù)字證書(shū)的過(guò)程中，ePass應(yīng)用公開(kāi)密鑰加密技術(shù)，建立起一套嚴(yán)密的身份認(rèn)證系統(tǒng)，它能做到：

●發(fā)送方和接收方信息不被他人竊取

●信息在傳輸過(guò)程中不被篡改

●接收方能通過(guò)數(shù)字證書(shū)來(lái)確認(rèn)發(fā)送方的身份

●發(fā)送方對(duì)于自己發(fā)送的信息不可抵賴(lài)

利用ePass進(jìn)行網(wǎng)上交易的過(guò)程：

一、申請(qǐng)證書(shū)

數(shù)字證書(shū)與日常生活中的身份證相似，是用來(lái)標(biāo)志和證明網(wǎng)絡(luò)通信雙方身份的數(shù)字信息文件。在網(wǎng)上進(jìn)行電子商務(wù)活動(dòng)時(shí)，交易雙方需要使用數(shù)字證書(shū)來(lái)表明自己的身份，并使用數(shù)字證書(shū)來(lái)進(jìn)行相關(guān)的操作，數(shù)字證書(shū)主要包括三方面的內(nèi)容：證書(shū)所有者的信息、證書(shū)所有者的公開(kāi)密鑰和證書(shū)頒發(fā)機(jī)構(gòu)的簽名。

1、券商申請(qǐng)證書(shū)

首先，券商要想獲得從事證券的身份和資格，須向認(rèn)證機(jī)關(guān)（CA）申請(qǐng)數(shù)字證書(shū)，然后券商將用戶的公鑰存于券商服務(wù)器的數(shù)據(jù)庫(kù)內(nèi)。

2、用戶申請(qǐng)證書(shū)

作為用戶在申請(qǐng)開(kāi)立股票帳戶時(shí)，同樣須向CA申請(qǐng)數(shù)字證書(shū)，獲得CA發(fā)放的證書(shū)存儲(chǔ)在ePass內(nèi)。

二、身份認(rèn)證

券商與用戶通過(guò)Internet互相交換從CA申請(qǐng)到的數(shù)字證書(shū)，并驗(yàn)證其真實(shí)性（包括

驗(yàn)證數(shù)字簽名、證書(shū)有效性等）。如任何一方發(fā)現(xiàn)對(duì)方數(shù)字證書(shū)有誤，則立刻停止交易。

三、證券交易

1、用戶輸入相應(yīng)委托交易申請(qǐng)后點(diǎn)擊“確認(rèn)”，發(fā)出委托交易申請(qǐng)。

2、委托申請(qǐng)的數(shù)據(jù)自動(dòng)使用券商公鑰加密（用以保證用戶信息的安全性）和用戶存于ePass中的私鑰簽名后傳送到券商的服務(wù)器。

3、券商服務(wù)器從證書(shū)庫(kù)中調(diào)出該用戶的公鑰，以確認(rèn)發(fā)送信息的確是用戶本人（不可抵賴(lài)性），并用券商私鑰將委托信息解開(kāi)。如果確認(rèn)無(wú)誤，則將委托交易信息發(fā)送至聯(lián)交所。否則，系統(tǒng)將報(bào)錯(cuò)誤信息，就無(wú)法進(jìn)行交易。

4、交易結(jié)果出來(lái)后，券商向用戶發(fā)送交易結(jié)果，并使用用戶公鑰加密，完成交易。

實(shí)際的證券交易過(guò)程是相當(dāng)復(fù)雜的，每次數(shù)據(jù)通訊都需要身份認(rèn)證，進(jìn)行加、解密或數(shù)字簽名，這就需要從ePass中讀取證書(shū)及密鑰。要求用戶首先輸入正確的PIN碼，PIN碼被驗(yàn)證正確之后，方可利用ePass中儲(chǔ)存的證書(shū)或密鑰進(jìn)行多種操作。

整個(gè)使用過(guò)程中認(rèn)證信息始終沒(méi)有暴露在其他人面前，即使信息在網(wǎng)絡(luò)傳輸中被惡意捕獲，由于ePass采用的是PKI非對(duì)稱(chēng)的加密算法，即由于加、解密過(guò)程使用不同的密鑰，有效避免了第三方獲取密鑰后將密文解密。

交易過(guò)程中包含了簽名程序，確保發(fā)出委托信息的確為用戶本人。用戶和券商的私鑰都不參與網(wǎng)上流通，避免了密鑰泄露；傳輸?shù)臄?shù)據(jù)全部經(jīng)過(guò)加密，非法用戶即使將數(shù)據(jù)截獲亦毫無(wú)作用；作為證書(shū)載體的ePass具有抗讀取、抗復(fù)制及便于攜帶的特性，能夠很好地完成數(shù)據(jù)攜帶及保密的任務(wù)。

這種解決方案可以廣泛應(yīng)用于金融、保險(xiǎn)、稅務(wù)以及機(jī)密單位和部門(mén)的工作人員互相訪問(wèn)機(jī)密內(nèi)容的身份認(rèn)證過(guò)程，確保訪問(wèn)人員身份的真實(shí)可信，例如科研單位、行政監(jiān)管部門(mén)等。

ePass解決方案特色

1、方便性：

ePass大小跟鑰匙差不多，重量?jī)H為6克，便于隨身攜帶。采用普遍使用的USB接口，支持熱插拔，插上即可通過(guò)身份認(rèn)證，用完后只需從USB端口拔下，就可將敏感的安全證書(shū)隨身攜帶在身上。

2、靈活性和適用性

開(kāi)發(fā)商利用飛天誠(chéng)信提供的ePass軟件開(kāi)發(fā)包所提供的集成開(kāi)發(fā)環(huán)境，可以十分方便的開(kāi)發(fā)多種基于ePass的自定義應(yīng)用程序。例如，使用該軟件開(kāi)發(fā)包，用戶可以輕松的把ePass按照自己想要的方式集成到基于客戶端/服務(wù)器和瀏覽器應(yīng)用上，也可將ePass集成到基于PKI應(yīng)用中。此外，ePass也支持VisualBasic、C++、Java、ASP、CGI、PHP、JSP等開(kāi)發(fā)語(yǔ)言。

3、安全性

ePass在硬件級(jí)別實(shí)現(xiàn)MD5-HMAC沖擊/響應(yīng)認(rèn)證和RSA等算法，確保個(gè)人安全證書(shū)安全的保存在ePass中，不會(huì)泄漏個(gè)人的身份信息，也不會(huì)受到黑客，病毒的攻擊和其它的威脅。同時(shí)其可用雙因子認(rèn)證。如在使用ePass時(shí)，要求用戶輸入密碼，就可形成雙因子認(rèn)證模式，進(jìn)一步增強(qiáng)安全性。

4、穩(wěn)定性、兼容性

每種ePass產(chǎn)品的數(shù)據(jù)存儲(chǔ)年限至少可達(dá)10年，寫(xiě)次數(shù)至少可達(dá)10萬(wàn)次,并支持PC/SC、ISO7816、T=0、T=1（有些同類(lèi)產(chǎn)品不支持T=1）等行業(yè)標(biāo)準(zhǔn)。同時(shí)，ePass支持的操作系統(tǒng)除了常用的Windows98/2000/ME/XP/NT4.0之外，也支持某些同類(lèi)產(chǎn)品不支持的MACOS8/9和Linux等操作系統(tǒng)。

結(jié)語(yǔ)

目前，飛天誠(chéng)信的ePass系列產(chǎn)品已通過(guò)了國(guó)內(nèi)權(quán)威的中國(guó)人民銀行金融認(rèn)證中心的認(rèn)證(CFCA)。業(yè)內(nèi)專(zhuān)家們?cè)阼b定后認(rèn)為，這一國(guó)內(nèi)擁有自主知識(shí)產(chǎn)權(quán)的技術(shù)和產(chǎn)品已達(dá)到同行業(yè)先進(jìn)水平，并在一個(gè)較低的價(jià)位上較好的實(shí)現(xiàn)了網(wǎng)絡(luò)安全身份認(rèn)證這一核心功能。目前，以飛天誠(chéng)信ePass為核心的解決方案已經(jīng)成功應(yīng)用在電子商務(wù)企業(yè)、政府部門(mén)機(jī)關(guān)、CA運(yùn)營(yíng)商等多家企業(yè)或單位，取得滿意的應(yīng)用效果。除此之外，ePass還可用于銀行金融管理、內(nèi)部網(wǎng)安全互訪、遠(yuǎn)程訪問(wèn)控制、收費(fèi)網(wǎng)站用戶認(rèn)證、電子合同的簽署等凡是需要網(wǎng)絡(luò)安全認(rèn)證的領(lǐng)域。飛天誠(chéng)信公司一直跟蹤國(guó)內(nèi)、國(guó)際的最新技術(shù)動(dòng)向，全方位分析各行業(yè)特點(diǎn)，推出針對(duì)不同行業(yè)的解決方案。隨著基于互聯(lián)網(wǎng)和局域網(wǎng)應(yīng)用的不斷深入，ePass將具有廣泛的市場(chǎng)前景和應(yīng)用價(jià)值。