1、淺議電子商務(wù)和電子采購(gòu)中的信息安全問(wèn)題摘要：隨著近年來(lái)互聯(lián)網(wǎng)技術(shù)的迅速發(fā)展，基于多媒體和網(wǎng)絡(luò)技術(shù)的電子商務(wù)和電子采購(gòu)應(yīng)運(yùn)而生并不斷發(fā)展，使網(wǎng)絡(luò)成為國(guó)際競(jìng)爭(zhēng)的新戰(zhàn)場(chǎng)。網(wǎng)絡(luò)安全是保障電子商務(wù)和電子采購(gòu)的生命線(xiàn)，阻礙電子商務(wù)和電子采購(gòu)廣泛應(yīng)用的關(guān)鍵所在即信息安全問(wèn)題。本文作者根據(jù)多年關(guān)于電子商務(wù)和電子采購(gòu)的實(shí)踐經(jīng)驗(yàn)，總結(jié)了存在的信息安全問(wèn)題，并提出了若干解決方法。關(guān)鍵詞：電子商務(wù)和電子采購(gòu)；電子采購(gòu)；信息安全the discussion of information security issues in e-commerce and e-procurementhu jiahan1,yang fei2

2、(1. hanjiang group danjiangkou hydroelectric power plant,danjiangkou442700,china;2.hanjiang group information center,danjiangkou442700,china)abstract:with the rapid development of internet technology in recent years,based on multimedia and network technology,e-commerce and e-procurement came into be

3、ing and continuous development of the network to become the new battleground of international work security is the lifeblood of the security of e-commerce and e-procurement,hinder the wide application of e-commerce and e-procurement,the key,the information security problems.based on years of practic

4、al experience on e-commerce and e-procurement,the author summarizes existing information security issues,and made a number of solution.keywords:e-commerce and e-procurement;e-procurement;information security隨著近年來(lái)互聯(lián)網(wǎng)技術(shù)的迅速發(fā)展，基于多媒體和網(wǎng)絡(luò)技術(shù)的電子商務(wù)和電子采購(gòu)應(yīng)運(yùn)而生并不斷發(fā)展，使網(wǎng)絡(luò)成為國(guó)際競(jìng)爭(zhēng)的新戰(zhàn)場(chǎng)。所謂電子商務(wù)和電子采購(gòu)，即借助于公共網(wǎng)絡(luò)進(jìn)行網(wǎng)上交易，快速、有效的

5、實(shí)現(xiàn)各種商務(wù)活動(dòng)的網(wǎng)絡(luò)化、電子化、直接化。其以交易雙方為主體，以計(jì)算機(jī)互聯(lián)網(wǎng)絡(luò)為基礎(chǔ)，以客戶(hù)數(shù)據(jù)為依托、以銀行電子支付、結(jié)算為手段。一般而言，這種商務(wù)活動(dòng)包括商品、服務(wù)交易中諸如商品購(gòu)買(mǎi)、廣告、商品的支付、金融服務(wù)、商務(wù)洽談、信息咨詢(xún)、產(chǎn)品推銷(xiāo)等各個(gè)環(huán)節(jié)。但是任何事物都具有兩面性，電子商務(wù)和電子采購(gòu)在給人們帶來(lái)方便的同時(shí)，也給人們帶來(lái)了安全隱患。在利益的驅(qū)使下，發(fā)生過(guò)各種網(wǎng)絡(luò)攻擊和入侵行為，這也增強(qiáng)了人們的防范意識(shí)。網(wǎng)絡(luò)安全為電子商務(wù)和采購(gòu)提供了重要保障，同時(shí)也保證了電子商務(wù)和電子采購(gòu)過(guò)程中的信息安全。本文作者根據(jù)多年關(guān)于電子商務(wù)和電子采購(gòu)的實(shí)踐經(jīng)驗(yàn)，從計(jì)算機(jī)系統(tǒng)安全問(wèn)題、網(wǎng)絡(luò)信息安全問(wèn)題、身

6、份冒充問(wèn)題、交易雙方抵賴(lài)問(wèn)題、拒絕服務(wù)問(wèn)題等方面總結(jié)了存在的信息安全問(wèn)題，并從電子商務(wù)和電子采購(gòu)安全機(jī)制及安全關(guān)鍵技術(shù)等方面提出了若干解決方法。一、電子采購(gòu)和電子商務(wù)的信息安全問(wèn)題因?yàn)楣驳木W(wǎng)絡(luò)是具有開(kāi)放性的，所以其運(yùn)行過(guò)程中存在著多種安全問(wèn)題。從目前來(lái)看，主要存在以下幾個(gè)安全隱患。（一）計(jì)算機(jī)系統(tǒng)的安全問(wèn)題因?yàn)橛?jì)算機(jī)系統(tǒng)是電子采購(gòu)和電子商務(wù)的最基本設(shè)備，為了保證電子采購(gòu)和電子商務(wù)應(yīng)用過(guò)程中的信息安全，我們必須多加防護(hù)。計(jì)算機(jī)本身就具有物理?yè)p壞、數(shù)據(jù)泄露、信息丟失等各種問(wèn)題，同時(shí)也有可能受到病毒的入侵，出現(xiàn)工作人員管理不當(dāng)?shù)确矫娴膯?wèn)題。（二）網(wǎng)絡(luò)信息的安全問(wèn)題利用信息傳輸信道，用物理或者邏輯等

7、手段來(lái)插入、篡改或者刪除信息，即在原本信息的基礎(chǔ)上插入一些壞的數(shù)據(jù)，以讓接收方接受錯(cuò)誤信息，這就是網(wǎng)絡(luò)信息安全問(wèn)題的表現(xiàn)。插入，即在原本信息的基礎(chǔ)上增加信息。刪除，即在原本信息的基礎(chǔ)上刪掉信息或信息的某部分。篡改，即改變?cè)瓉?lái)信息的內(nèi)容。（三）身份冒充的問(wèn)題身份冒充是指非法盜用正常用戶(hù)的個(gè)人信息，并冒用他人信息來(lái)進(jìn)行交易，獲取非法利益。冒用身份的主要表現(xiàn)有以下幾個(gè)：冒充他人身份、冒充或者欺騙合法主機(jī)、盜用合法用戶(hù)等。（四）交易雙方抵賴(lài)問(wèn)題有些用戶(hù)為了推卸責(zé)任，可能會(huì)在電子商務(wù)或者電子采購(gòu)過(guò)程中不承認(rèn)自己所發(fā)出的信息。如：商家賣(mài)出的商品質(zhì)量出現(xiàn)問(wèn)題但拒絕承認(rèn)原有的交易、購(gòu)買(mǎi)者做了訂貨單不承認(rèn)、收信

8、者否認(rèn)曾經(jīng)收到特定信息或內(nèi)容、發(fā)布者否認(rèn)曾經(jīng)發(fā)送過(guò)特定信息或內(nèi)容等。（五）拒絕服務(wù)問(wèn)題在業(yè)務(wù)、信息和其他合法資源傳入的過(guò)程中，攻擊者會(huì)惡意阻斷，這個(gè)過(guò)程稱(chēng)為拒絕服務(wù)。它的表現(xiàn)主要有散布虛假信息；虛假開(kāi)店并且惡意散發(fā)電子郵件用來(lái)收取訂貨單；為破壞有時(shí)間限制的服務(wù)，制造虛假用戶(hù)用以占用寬帶，來(lái)排擠打擊合法用戶(hù)，使其不能正常訪問(wèn)。二、電子商務(wù)與電子采購(gòu)安全機(jī)制（一）業(yè)務(wù)填充機(jī)制惡意攻擊者可能會(huì)通過(guò)通信流量來(lái)盜取用戶(hù)信息，但是業(yè)務(wù)填充機(jī)制能夠在交易空閑時(shí)發(fā)送大量隨機(jī)無(wú)用數(shù)據(jù)，這在一定程度上阻止了惡意攻擊者，這也使密碼通信的安全度大大加強(qiáng)了。為達(dá)到以假亂真的目的，發(fā)送的填充信息要具有很好的模擬性。（二）

9、存取控制和權(quán)力控制機(jī)制該機(jī)制會(huì)針對(duì)各種自定義角色而賦予他們相應(yīng)的操作權(quán)限，它是主機(jī)系統(tǒng)必須具有的安全手段。當(dāng)用戶(hù)對(duì)其進(jìn)行操作時(shí)，該系統(tǒng)會(huì)自行確認(rèn)身份（比如用戶(hù)和經(jīng)理），使該用戶(hù)在自己所能行使的范圍內(nèi)進(jìn)行操作。（三）完整性保護(hù)機(jī)制該機(jī)制能夠經(jīng)過(guò)密碼的完整性防護(hù)來(lái)阻止非法篡改。當(dāng)驗(yàn)證信息源的完整性以后，該保護(hù)機(jī)制還能奉上不可抵賴(lài)服務(wù)，也就是接收方可以根據(jù)此驗(yàn)證來(lái)獲得發(fā)送方的信息，數(shù)字簽名就是成功運(yùn)用這一手段的例子。（四）審計(jì)機(jī)制審計(jì)是能通過(guò)記錄的重要事件，當(dāng)系統(tǒng)出現(xiàn)錯(cuò)誤或者遭受攻擊的時(shí)候，找出錯(cuò)誤并且可以查明進(jìn)攻成功的原因，它是事故調(diào)查取證和避免內(nèi)部犯罪的重要基礎(chǔ)，為幫忙破獲重大案件提供幫助。（五）認(rèn)證機(jī)制認(rèn)證機(jī)制能夠保證網(wǎng)絡(luò)設(shè)備互相認(rèn)證，以此來(lái)保證準(zhǔn)確的操作權(quán)限和對(duì)數(shù)據(jù)的控制，此機(jī)制是為網(wǎng)絡(luò)提供安全保障的基本機(jī)制。與此同時(shí)，網(wǎng)絡(luò)也必