传统交易虽然也存在很多商业欺诈等安全性问题，但由于买卖双方是面对面的，他们之间容易建立安全感和信任感。而对电子商务来说，买卖双方通过网络进行远程交易，这种交易依赖一定的技术基础设施，并且是在双方不见面的情况下进行的，势必会带来一系列新的安全性问题，如黑客攻击、网络病毒、网上诈骗等危及交易安全的行为时常发生。安全问题已经成为制约电子商务发展的最重要的障碍之一。那么电子商务有哪些安全性需求呢？下面我们首先就这个问题进行阐述。

5.4.1  电子商务的安全性需求

电子商务的安全性需求就是指为了保证电子商务顺利、正常地开展，我们对电子商务有哪些要求。总结起来，它主要包括以下几个方面：

① 有效性。电子商务以电子形式取代了纸张，有效性是指对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易信息在确定的时刻、确定的地点是有效的。

② 保密性。保密性是指网络信息不被泄露给非授权的实体（人、进程或系统）。电子商务是建立在一个较为开放的网络环境上的，电子形式的贸易信息直接代表着个人、企业或国家的商业机密，维护商业机密是电子商务全面推广应用的重要保障。

③ 完整性。完整性是指要预防对信息未经授权，不能随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复，并保证信息传送次序的统一。贸易各方信息的完整性将影响贸易各方的交易和经营策略，保障贸易各方信息的完整性是电子商务应用的基础。

④ 真实性。真实性是指参与交易各方的身份不能被假冒或伪装，任何交易方都可以有效鉴别确定对方的身份。

⑤ 可靠性。可靠性是指系统能够在规定条件和规定的时间内完成规定的功能的特性。可靠性是系统安全的基本要求之一，是所有网络信息系统的建设和运行的基本目标。

衡量网络信息系统的可靠性主要有3个方面：抗毁性、生存性和有效性。这3个方面是指系统在受到人为破坏、随机破坏和系统部件失效情况下的性能。可靠性主要表现在硬件可靠性、软件可靠性、人员可靠性和环境可靠性等方面。

⑥ 可用性。可用性是指当用户需要使用网络时，网络能够及时地提供服务。可用性一般用系统正常使用时间和整个工作时间之比来度量。

⑦ 可控性。可控性是对网络信息的传播及内容具有控制能力的特性。不允许不良内容通过公共网进行传输。

⑧ 不可抵赖性。电子商务要确定合同、契约、单据的可靠性并预防抵赖行为的发生。利用信息源证据可以防止发信方否认已发送信息，利用递交接收证据可以防止收信方否认已经接收的信息。

要建立一个安全的电子商务环境，需要将以上安全要素逐一采取有效措施给予实现。

5.4.2  安全策略与安全体系

安全策略是实施计算机信息系统的安全措施及安全管理的指导思想；是对所需保护的资产、保护的原因、谁负责进行保护、哪些行为可接受、哪些不可接受等的书面描述；是在特定的环境下，为保证一定级别的安全要求所提出的一系列条例、规则和方法。安全策略可分为政策法规层、安全管理层、安全技术层3个层次。安全策略一般要陈述物理安全、网络安全、访问授权、病毒保护、灾难恢复等内容。安全策略不是一成不变的，由于组织在不断变化，必须对安全策略进行定期的更新以反映组织在商业方向和技术上的变化。

信息系统安全体系属于典型的防御体系，在构建防御体系过程中应坚持下列原则：

① 最小特权原则；

② 纵深防御；

③ 建立控制点；

④ 监测和消除薄弱连接。

一个信息系统安全体系结构的形成主要是根据这个信息系统的安全策略，是安全策略细化的总结。安全体系结构的内容包括：

① 提供安全服务与有关安全机制在本系统下的一般描述，这些服务和机制必须为本系统所配备；

② 确定本系统内部可以提供这些服务的位置。

5.4.3  计算机网络安全概述

5.4.3.1  计算机网络安全的定义

电子商务是利用计算机网络来传输和处理商务信息的，因此计算机网络安全是整个电子商务安全的基础和重要组成部分。国际标准化组织（ISO）对计算机系统安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。由此可以将计算机网络安全理解为：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。所以，建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。网络安全是随着网络的建设和应用的丰富而构建起来的一种需求。

5.4.3.2  影响计算机网络安全的因素

1．软件漏洞

每一个操作系统或网络软件的出现都不可能是无缺陷和无漏洞的，这就使我们的计算机处于危险的境地，一旦连接入网，就可能被攻击。

2．TCP/IP的脆弱性

Internet的基石是TCP/IP协议，该协议对于网络的安全性考虑得并不多。并且，由于TCP/IP协议是公布于众的，如果人们对TCP/IP很熟悉，就可以利用它的安全缺陷来实施网络攻击。

3．网络结构的不安全性

Internet是一种网间网技术，它是由无数个局域网所连成的一个巨大网络。当人们用一台主机和另一局域网的主机进行通信时，通常情况下它们之间互相传送的数据流要经过很多机器重重转发，如果攻击者利用一台处于用户的数据流传输路径上的主机，就可以劫持用户的数据包。

4．易被窃听

由于Internet上大多数数据流都没有加密，因此人们利用网上免费提供的工具就很容易对网上的电子邮件、口令和传输的文件进行窃听。

5．特洛伊木马

最典型的做法就是把一个能帮助黑客完成某一特定动作的程序依附在某一合法用户的正常程序中，改变合法用户的程序代码。一旦用户触发该程序，那么依附在内的黑客指令程序同时被激活，这些代码往往能完成黑客指定的任务。

6．病毒

计算机病毒是一种程序，它通过在计算机之间的传播，感染所经过的每一个地方，这样的复制是通过附着在某一类文件中来进行的。病毒具有感染性、潜伏性、触发性和破坏性的特点。

7．缺乏安全意识

虽然网络中设置了许多安全保护屏障，但人们普遍缺乏安全意识，从而使这些保护措施形同虚设。例如，人们为了避开防火墙代理服务器的额外认证，进行直接的PPP连接，从而避开了防火墙的保护。

5.4.3.3  计算机网络安全技术

1．防火墙

防火墙是一种用来保护本地系统或网络的设备，以防止网络攻击破坏系统或网络。它通常位于被保护的网络和外部网络的边界，根据防火墙所配置的安全策略监控和过滤内部网络和外部网络之间的所有通信量。根据防火墙所采用的技术，防火墙可以包括包过滤防火墙和应用代理防火墙。

（1）包过滤防火墙

网络上传输的每个数据包头都会包含一些特定信息，如源地址、目标地址、所用的端口号和协议类型等标志。数据包过滤技术就是根据每个数据包头内的标志来确定是否允许该数据包通过防火墙，其中过滤的依据是系统内设置的过滤规则。

由于包过滤防火墙只能根据数据包头中的有限信息进行选择过滤，不能根据数据包的数据部分进行过滤处理，因此它不可能充分满足各种安全要求，也无法识别基于应用层的恶意侵入。

包过滤防火墙是一种最为简单的防火墙。它简单易行、网络性能和透明性好，特别是在利用适当的路由器来实现防火墙功能时，往往不需要再额外增加硬/软件配置。但要实现复杂的过滤，则需要管理人员设置相当详细的过滤规则。这就要求管理人员必须充分理解协议本身及该协议在不同应用程序中的作用。例如，若包过滤防火墙允许部分主机访问Telnet服务，则需要为每个允许访问23端口的IP地址定义过滤规则，从而使得过滤规则集变得很长。随着过滤规则数目的增大，不仅增加了出错的概率，而且系统的性能也会受到极大影响。

此外，由于包过滤防火墙每次只对单个包进行检查，而不考虑任何之前的数据包，所以数据包之间缺乏上下文关联信息，无法检查到分布在多个数据包中的攻击信号。为此引出了另外—种防火墙技术——状态检测（Stateful Inspection）防火墙。这类防火墙能够从接收到的数据包中提取状态信息，并将这些信息保存在一个动态状态表中，以便利用该状态表验证后续的数据包。然后防火墙将依据当前数据包的状态、状态表及过滤规则判断是否允许该数据包通过防火墙。因此该类防火墙通过跟踪输入流的包序列和数据包所处的状态来增强防火墙的控制能力。

（2）应用代理防火墙

应用代理防火墙位于外部网络和内部网络之间，主要用于防范应用层攻击，它能够为应用软件解释协议流，并能根据协议内部可见部分控制它们通过防火墙的行为，从而使得应用软件只接受正常的活动请求。该类防火墙完全分隔了两个网络之间的直接通信。每当外部网络的客户端软件请求访问内部网的某个应用服务器时，该请求总是首先被送到代理，并通过代理的安全检查后，再由代理代表外部客户端请求内部网络中的服务，如图5-1所示。因此，代理扮演着外部网络和内部网络的“中间人”角色，介入了外部客户端软件和内部网服务之间的协议交换。由于所有内部网络和外部网络之间的数据流都必须经过防火墙的授权检查，因此防火墙可以有选择地过滤已知的攻击或可疑的数据，从而防止任何未授权的访问。

代理类型防火墙工作于应用层，它不像包过滤防火墙那样只能看数据包头的数据。而是可以依据数据包内的数据部分对数据也进行过滤，可以防范应用层攻击。但它的缺点也同样非常突出，即实现起来比较复杂。由于每个应用都要求提供相应的代理软件来实现监控过滤功能，因此它要求代理软件的设计者能够理解每个应用协议及它们的缺陷。它的另外一个缺点是处理速度较慢。由于应用代理需要在应用层过滤每一个数据包，它的处理延迟会很大。

                                       图5-1  应用代理防火墙

防火墙只能保护内部网免受外部攻击者的攻击，而不能保证计算机的所有安全问题，即不能阻止所有的安全威胁，如它不能阻止不经过防火墙的攻击。如果有一台主机连接到一个外部地址，那么攻击者可以通过这台主机攻击整个内部网。此外，由于防火墙对允许进入内部网的内容只能进行很少的控制，所以需要内部网提供其他方式对恶意代码实施控制。而且防火墙也很难阻止来自网络内部的攻击。

2．虚拟专用网

虚拟专用网（Virtual Private Network，VPN）是指在公共网络中建立一个专用网络，并且数据通过建立的虚拟安全通道在公共网络中传播。构建在公共网络服务平台上的专用网能够为用户提供一个虚拟的网络，它具备了公共网和专用网的特点，为企业提供了一种廉价而又安全可靠的通信方法。它可以帮助企业与远程用户、分支机构或商业伙伴建立安全的连接。为了在不安全的公共数据网络上向用户提供安全的专用网络，VPN必须解决网络的安全问题，VPN主要通过隧道技术和加密技术解决安全问题。

（1）隧道技术

隧道技术是VPN的基本技术，它可以将某种协议的数据包重新封装为新的数据包，其中新的数据报头提供了路由信息，可以使得封装的负载数据能够通过公共网络传递到目的地；在到达目的地后，数据包被解封并还原为原始数据包。重新封装的数据包在公共网络上传递时所经过的逻辑路径被称为隧道。因此企业内部网络的数据包可以利用隧道在公共网络上传输。而这种功能是利用网络隧道协议来实现的。

（2）加密技术

加密是一种强有力的工具，能够为数据提供保密性、真实性、完整性，使得非授权者不能了解被保护信息的内容。加密技术可以在协议栈的任意层进行。它既可以在链路层进行，以保护两台主机之间传输的消息，也可以在网络层进行，从而使得两个进程之间传输的消息以加密的数据形式通过整个网络。在链路层传输，目前还没有统一的加密标准，因此所有链路层加密方案基本上都是生产厂家自己设计的，需要特别的加密硬件。而在网络层中的加密标准是IPSec，某些VPN设备采用了L2TP和IPSec相结合的技术，即它们采用L2TP作为隧道协议，而采用IPSec协议来加密数据。

3．入侵检测系统

防火墙能够阻止一些已知的入侵事件发生，但它只是一种被动性、防御性工具，无法识别并处理一些非预期的攻击，也无法阻止内部人员引起的各种安全事故。而且外部攻击者也可能会利用防火墙的漏洞，绕过防火墙而入侵系统。入侵检测系统（Intrusion Detection System，IDS）可以弥补防火墙的不足，是一种主动保护网络免受攻击的网络安全系统。它可以实时监视、分析用户及系统的活动，并识别出由内部人员或外部攻击者进行的不正常活动，并对此做出相应的反应。

目前入侵手段越来越复杂，某些分布式入侵活动需要依靠若干分布式的IDS协同工作才能发现入侵活动。为了实现不同的入侵检测系统之间的互操作，美国国防高级研究计划署（DARPA）和互联网工程任务组（IETF）的入侵检测工作组（IDWG）分别制定了一系列的标准草案。DARPA提出了通用入侵检测框架（CIDF）。而IDWG主要负责制定入侵检测、响应系统及管理系统之间共享信息的数据格式和交换规程。其中一个IDWG草案建议入侵检测系统可以由传感器（Sensor）、分析器、管理器组成，组件的关系如图4-2所示。在该模型中，管理员负责设置系统的安全策略，并根据这些安全策略部署和配置IDS。安全策略不仅定义了在受监控的网络中允许哪些服务，而且也定义了从外部网络可以访问哪些主机。为了检测入侵企图，传感器将向各种数据源收集数据并将检测到的事件转发给分析器；分析器将采用一个或多个入侵检测方法分析这些事件以识别出未授权或不正常的行为及安全管理员应关注的事件；如果检测到异常情况，分析器将向管理器发出告警消息，管理器可以根据安全策略及时做出响应。这些响应可能是由IDS中的某些实体自动执行的，也可能是由某个用户驱动的。比如，管理器可以通知操作员已经检测到了某个告警，然后操作员将对此告警做出响应。此外，操作员还可以利用管理器管理IDS的各个组件，比如，执行传感器配置、分析器配置、事件通知管理、数据合并等管理功能。这里需要说明的是，并不是每个IDS都具有图8-3显示的所有独立组件，某些系统可能将某几个组件组合成一个更大的组件，如许多现有的IDS将传感器和分析器设计为一个组件。

                      图5-2  入侵检测系统组件

尽管目前CIDF和IDWG都还不成熟，仍需不断改进和完善，但标准化是入侵检测系统发展的必然方向。

（1）入侵检测系统的分类

根据入侵检测系统的输入数据来源，可以把入侵检测系统分为基于主机的入侵检测系统和基于网络的入侵检测系统。基于主机的入侵检测系统主要用于保护单个主机，它根据主机系统提供的系统日志和审计记录识别针对该主机的恶意或可疑事件。基于网络的入侵检测系统使用原始网络数据包作为分析的数据源，并通过对这些数据的分析识别出各种入侵事件。入侵检测系统一旦检测到了攻击行为，就可以通过多种方式对攻击采取相应的行动，如报警、切断相关用户的网络连接等。该类系统通常包含多个传感器，这些传感器需要和入侵检测系统分析器协同工作以完成安全分析和检测。

（2）入侵检测的检测方法

两种常用的入侵检测方法是误用入侵检测方法和基于异常的检测方法。

误用入侵检测方法首先需要预先定义入侵模式，以描述那些将导致安全突破或其他误用事件的特征和条件．然后入侵检测系统将这些入侵模式和入侵检测系统所收集的信息进行匹配，以识别出用户或系统活动中存在的已知攻击模式。这种入侵检测只能检查已知入侵模式，无法检测出新的入侵模式。该方法的关键问题就是如何设计入侵模式，使它既能够表达入侵现象又不会将正常的活动包含进来。

基于异常的检测方法认为入侵活动不同于正常主体的活动，它是异常活动的子集。如果能检测出异常活动，那么就可以通过对异常活动的进一步分析来从中检测出入侵活动。为实现该类检测，异常入侵检测系统需要为主体建立正常行为模式的特征轮廓，然后将当前主体行为与该主体的正常特征轮廓进行比较．以检测出偏离情况。因此异常入侵检测寻找的是异常活动，而不是寻求匹配。它不受已知入侵模式的限制，能够检测出新的入侵行为及未知、潜在的系统缺陷。

上面介绍的检测方法均有各自的特点。它们虽然能够在某些方面取得好的效果，但也有不足之处。目前许多入侵检测系统同时采用几种方法以相互弥补，共同完成检测任务。