解析电子商务安全

    (1) SSL

    SSL(安全槽层)协议是由Netscape公司研究制定的安全协议,该协议向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。该协议通过在应用程序进行数据交换前交换SSL初始握手信息来实现有关安全特性的审查。在SSL握手信息中采用了DES、MD5等加密技术来实现机密性和数据完整性,并采用X.509的数字证书实现鉴别。该协议已成为事实上的工业标准,并被广泛应用于Internet和Intranet的服务器产品和客户端产品中。如Netscape公司、微软公司、IBM公司等领导Internet/Internet 网络产品的公司已在使用该协议。

    此外,微软公司和Visa机构也共同研究制定了一种类似于SSL的协议,这就是PCT(专用通信技术)。该协议只是对SSL进行少量的改进。

    (2) S-HTTP

    S-HTTP(安全的超文本传输协议)是对HTTP扩充安全特性、增加了报文的安全性,它是基于SSL技术的。该协议向WWW的应用提供完整性、鉴别、不可抵赖性及机密性等安全措施。目前,该协议正由Internet工程任务组起草RFC草案。

    (3) UN/EDIFACT的安全

    EDI是EC最重要的组成部分,是国际上广泛采用的自动交换和处理商业信息和管理信息的技术。UN/EDIFACT报文是唯一的国际通用的EDI标准。利用Internet进行EDI已成为人们日益关注的领域,保证EDI的安全成为主要解决的问题。联合国下属的专门从事UN/EDIFACT标准研制的组织--UN/ECE/WP4(即贸易简化工作组)于1990年成立了安全联合工作组(UN-SJWG),来负责研究UN/EDIFACT标准中实施安全的措施。该工作组的工作成果将以ISO的标准形式公布。

    在ISO将要发布的ISO 9735(即UN/EDIFACT语法规则)新版本中包括了描述UN/EDIFACT中实施安全措施的5个新部分。它们分别是:第5部分--批式EDI(可靠性、完整性和不可抵赖性)的安全规则;第6部分--安全鉴别和确认报文(AUTACK);第7部分--批式EDI(机密性)的安全规则;第9部分--安全密钥和证书管理报告(KEYMAN);第10部分--交互式EDI的安全规则。

    UN/EDIFACT的安全措施主要是通过集成式和分离式两种途径来实现。集成式的途径是通过在UN/EDIFACT报文结构中使用可选择的安全头段和安全尾段来保证报文内容的完整性、报文来源的鉴别和不可抵赖性;

    而分离式途径则是通过发送3种特殊的 UN/EDIFACT报文(即AU TCK、KEYMAN和CIPHER来达到保障安全的目的。

    (4)安全电子交易规范(SET)

    SET向基于信用卡进行电子化交易的应用提供了实现安全措施的规则。它是由Visa国际组织和万事达组织共同制定的一个能保证通

过开放网络(包括Internet)进行安全资金支付的技术标准。参与该标准研究的还有微软公司、IBM公司、Netscape公司、RSA公司等。SET主要由3个文件组成,分别是SET业务描述、SET程序员指南和SET协议描述。SET 1.0版已经公布并可应用于任何银行支付服务。

    Visa和MasterCard一直在致力于开发使用信用卡进行Internet支付的安全电子交易协议（SET）。该协议干1997年5月正式通过。SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证。该协议是开放网络环境中的卡支付安全协议，它采用公开密码体制（PK1）和X．509电子证书标准，通过相应软件、电于证书、数字签名和加密等技术，在电于交易环节上提供更大的信任度，更完善的交换信息、更高的安全性和较少的可欺诈性。但是采用SET协议的一些试验结果表明SET在相互操作方面存在一些问题。SET的局限性还在于该协议仅限于使用信用卡方式的支付手段。

    5 对电子商务安全的展望

    我国应尽快对电子商务的有关细则进行立法，否则就会使该电子商务行业变得混乱，不能成为新的经济增长点。大多数系统都将销售商的服务器和消费者的浏览器间的关系假设为主从关系，这种非对称关系限制了在这些系统中执行复杂的协议，而且不允许用户间进行直接交易。客户的匿名性和隐私尚未得到充分的考虑。

    综上所述，电子商务安全技术虽然已经取得了一定的成绩，但是电子商务要真正成为一种主导的商务模式，还必须在安全技术上有更大的突破。 

《解析电子商务安全(第6页)》