基于敏感数据流的电子商务安全体系研究(2)
2014-08-11 01:07
导读：(2)活动内容。活动内容是嵌进网页可以自动或激发执行的代码，包括Cookies、Java小程序、Java脚本、VB脚本和ActiveX控件。他们是植进木马病毒的重要途径。
(2)活动内容。活动内容是嵌进网页可以自动或激发执行的代码，包括Cookies、Java小程序、Java脚本、VB脚本和ActiveX控件。他们是植进木马病毒的重要途径。
(3)插件。它多半是与多媒体播放有关的程序，但它会导致一些嵌进影音文件的恶意代码被执行。
(4)病毒。它的危害程序很大，常通过E-mail、office文档和各种程序等多种形式进行传播。
(5)物理安全。利用数字证书技术、加密技术可以有效保障敏感数据的安全。还应该通过防火墙、杀毒软件、下载补丁和对各种软件的正确设置和使用等技术手段来最大程度减少其中的威胁。对于物理安全，除了使用传统技术，还可以使用一些识别设备，如指纹设备可以通过较小的代价提供比传统密码登录强大得多的保护。此类设备还有签名识别器、虹膜扫描器、掌纹扫描器等。
2 信息传送安全。传送信息可以分为两类，一类是非敏感信息，另一类是敏感信息。非敏感信息包括客户的点击信息、查询和咨询信息以及一些操纵信息。敏感信息则包括客户的银行账号、账户密码、重要的电子邮件和其他一些需要保密的信息。为了降低本钱，只对敏感信息的传送采取严格的安全措施，这是企业必须做好的。
对于重要的电子邮件，大体可以分为两种解决方案：一种是端到真个安全电子邮件技术。应用比较广泛的端到真个安全电子邮件标准是PGP和S／MIME，他们都采用了公然的RSA公钥体制加密算法，基于以上标准的邮件系统大都采用了公钥基础设施PKI模式，遵循了X.509证书标准。目前，已开发出基于ECC加密算法的安全邮件加密系统，它有很好的远景。端到真个安全电子邮件技术是对邮件内容进行加密和签名，从而保证了电子邮件的安全性、完整性和不可否认性。另一种解决方案是传输层的安全电子邮件技术，它不仅能对邮件内容进行保密，也能对信头进行保密。但是，这在某些应用环境下是有要求的，这种方案又有两种方式：一种是利用SSL SMTP和SSLPOP，另一种是利用VPN或者其他的IP通道技术。 对于其他通过万维网传送的敏感信息，大体可以分为两种解决方案：一种是存储加密技术，即依据机密信息的秘密等级设定文件的加密级别，然后，将机密信息用对称加密算法如DES、IDEA、RC4等算法加密后存储，加密密钥用Web服务器的公钥，采用RSA算法加密并附加在文件中。访问者只有在通过身份认证后，并且具有同等访问权限，系统才能用Web服务器的私钥解密加密文件后传送给访问者。这一技术使用比较普遍，它可在不对网络环境做特殊要求的条件下根本解决网络安全的两大要求(网络服务的可用性和信息的完整性)。另一种常用的方案是SSL技术，它采用公然密钥和私人密钥两种加密体制，可以保证两个应用间通讯的保密性和完整性及其认证。现行Web浏览器普遍将HTYP和SSL相结合来实现安全通讯。
（科教作文网http://zw.ΝsΕac.cOM编辑）
3 电子商务企业内部的数据安全。当敏感数据进进企业服务器中，他们将被解密，然后再经过多次存储、再传送、分析等操纵过程。这些处理将在企业内部进行，这就涉及到企业内部的电子商务信息安全。此时，这些信息受到的攻击最多，所以，这里是信息安全最重要的环节和最主要的战场。敏感信息将分置于多个服务器和工作站中，它将受到来自外部和内部的双重威胁，这时要做好以下工作：
(1)基础性工作
①针对安全漏洞，必须至少在这些计算机上及时安装各种软件的补丁程序，这不仅包括操纵系统，也包括其他可能有漏洞的软件。可能的话，应选用安全性较高的软硬件。
②针对各种病毒感染，必须至少在这些计算机上安装杀毒软件，及时升级病毒库，并定期查杀病毒。由于计算机病毒对电子商务所信赖的网络环境有巨大的破坏力，因此，对网络计算机病毒的防范，是电子商务安全体系建设中极为重要的一环。
③针对木马病毒和非法扫描等黑客攻击，必须根据实际情况进行防火墙软硬件的安装和部署，并进行尽可能严格的防火墙设置和防火墙的及时升级。
