电子商务安全身份认证技术论文

1、湖南交通职业技术学院毕 业 论 文题 目： 电子商务安全身份认证技术 作 者： 唐彬 学 号： 201013370123 学院(系)： 物流管理学院 专 业： 电子商务 指导者： 肖湘蓉老师 (姓 名) (专业技术职务)评阅者： 肖湘蓉老师 (姓 名) (专业技术职务)2012年 12月 1日电子商务安全身份认证技术摘要：网络技术迅猛发展，信息处理和传递突破了时空与地域的界限，以此为基础上发展起来的电子商务已成为一股不可抗拒的世界性的潮流。电子商务的安全问题是其核心问题。所以研究电子商务的安全问题显得尤为重要。目前，电子商务正在我国全面迅速发展，而阻碍电子商务广泛应用的首要的也是最大的问题就是

2、安全问题，身份认证是保证电子商务安全的一项重要技术。因此，身份认证的需求和应用层次也越来越广泛。本文主要就身份认证的方法及相关技术进行简要分析。 rapid development of network technology, information processing and transmission broke through the time and geographical boundaries, as the basis to develop the electronic commerce has become an irresistible trend of the world.

3、 the security problem of electronic commerce is the core of the problem. so the study on the security problem of electronic commerce is very important. at present, the electronic commerce in our country comprehensive and rapid development of electronic commerce, and hindering the widely used the fir

4、st and biggest problem is the security issues, identity authentication is to ensure the security of e-commerce is an important technical. therefore, identity authentication and application level of demand is more and more extensive. this paper is mainly on the identity authentication method and rela

5、ted technology to conduct a brief analysis.关键字：电子商务 身份认证 安全 安全机制目 录1 电子商务概述41.1 什么是电子商务41.2 电子商务的发展41.2.1 中国电子商务发展52 电子商务安全概述52.1 电子商务安全现状52.2 电子商务所面临的安全威胁62.3 电子商务安全问题的具体表现72.4 电子商务安全案例分析93 身份认证技术103.1 身份认证技术简介103.2 身份认证方法103.3 常用的身份认证方式113.3.1 静态密码113.3.2 动态口令113.3.3 短信密码113.3.4 usbkey认证123.3.5 ic

6、卡认证123.3.6 生物识别技术123.3.7 数字签名133.3.8 双因素身份认证134 电子商务网站的安全策略134.1 中小型b2c电子商务网站安全策略134.1.1 中小型b2c电子商务网站的特点134.1.2 中小型b2c电子商务网站的主要解决问题：144.2 大型电子商务网站、银行、金融网站安全策略144.2.1 大型电子商务网站、银行、金融网站特点144.2.2 大型电子商务网站、银行、金融网站主要解决问题145 身份认证技术的案例以淘宝身份认证为例15结 论17致 谢18参考文献191 电子商务概述 电子商务作为一种全新的商务运作模式，为全球客户提供了丰富的商务信息、简捷而

7、快速的交易过程和低廉的交易运作成本。但是电子商务在给人们带来方便的同时，也带来了种种安全问题。 本章主要讲解电子商务的概念和发展。1.1 什么是电子商务电子商务实际上是一种买卖活动，他不同与传统的“一手交钱，一手交货”的买卖，它利用计算机、网络技术和远程通信技术，实现整个商务买卖过程中的电子化、数字化和网络化。其中，狭义的电子商务是指买卖双方的交易活动通过电子手段部分或全部地完成，即利用现代通信技术、计算机技术和网络技术，以电子数据传输方式完成从申请配额许可证、建立贸易关系、商务谈判、电子合同签订，甚至租船、订舱、报检、报关及贷款结算全过程的交易方式。广义的电子商务是利用internet网络能

8、够安全的进行全部的贸易活动及与贸易有关的管理和服务活动，不仅包括买卖双方的交易活动，而且还有中介机构提供的服务活动和各国政府的管理活动。联合国经济合作和发展组织（oecd）在有关电子商务的报告中对ec的定义是：电子商务是发生在开放的网络上包含企业之间（business to business）、企业和消费真之间（business to consumer）的商业交易。1.2 电子商务的发展电子商务是社会和科技发展的必然结果。美国是世界上做好发展电子商务的国家，同时也是电子商务发展最为成熟的国家，一直引领全球电子商务发展。欧盟电子商务发展较美国晚，但成为全球电子商务较为领先的地位。就此看来可以把电

9、子商务的发展分为两个阶段，即始于20世纪80年代中期的edi（electronic data interchange）电子商务和始于20世纪90年代初期的internet电子商务。（1）1991年美国政府宣布因特网（intenet）向社会公众开发，允许在网上开发商业应用系统。（2）1993年intenet上出现万维网，这是一种具有处理数据、图、文、声、像、超文本对象能力的网络技术，使因特网具备了支持多媒体应用的功能。（3）1995年因特网上的商业业务信息量首次超过了科教业务的信息量，这既是因特网此后产生爆炸性发展的标志，也是电子商务大规模起步发展的标志。11.2.1 中国电子商务发展电子商务正

10、以无比迅猛的势头发展着。在我国，因特网用户1999年初为210万，到1999年12月31号上网人数已达890万，2000年将超过1000万。其发展速度十分惊人，年增长率就高全球上网用户增长率，具有很好的发展前景。我国电子商务东部沿海比较发达，西部相对落后。2007年我国电子商务市场规模突破17000亿，并且中央政府已出台一系列电子商务政策和法规推动其发展。全球b2b电子商务交易一直占主导地位，2007年我国b2b电子商务交易额为12500亿，目前阿里巴巴网站份额占重要地位。所以中国电子商务的发展经历三个阶段：1999年-2002年萌芽阶段；2003年-2006年高速增长阶段；2007年-201

11、0年电子商务纵深发展阶段。2 电子商务安全概述 在internet环境中开展电子商务，客户、商家、银行等诸多参与者都会担心自己的利益是否能够真正得到保障。因此，电子商务的安全问题已经成为电子商务发展的主要瓶颈之一，在电子商务的开展与应用中对电子商务安全问题的解析、研究及管理极其重要。只有保证了电子商务的安全，才能使电子商务健康地生存，高速的发展。本章就电子商务技术安全问题进行探讨。2.1 电子商务安全现状电子商务是通过信息技术将企业、用户、供应商及其他商贸活动涉及的相关机构结合起来的一种信息技术的应用，是完成信息流、物流和资金流转移的一种行之有效的方法。但由于计算机信息有共享和易于扩散等特性，

12、它在处理、存储、传输和使用上有着严重的脆弱性，很容易被干扰、滥用、遗漏和丢失，甚至被泄露、窃取、篡改、冒充和破坏，还可能受到计算机病毒感染。几乎所有的网站在建站开始及发展过程中，都似乎朝向便利性、实用性目标，往往忽略网络安全环节，给网络发展埋下了深深的隐患。据公安部的资料，利用计算机网络进行的各类违法行为在中国正以每年30%的速度递增。黑客的攻击方法已超过计算机病毒的种类，总数达近千种。目前已发现的黑客攻击案约占安全事件总数的15%，多数事件由于没有造成严重危害或商家不愿透露而未被曝光。 2有媒介报道，中国95%的与internet相连的网络管理中心遭到过境内外黑客的攻击或侵入，其中，银行、金

13、融和证券机构是黑客攻击的重点，金融领域的黑客犯罪案件涉案金额已高达数亿元。2001年初，全世界传媒都在关注着美国著名网站被袭事件，yahoo、amazon、ebay、zdnet、cnn在内的美国主要网站都受到黑客的攻击。故随着电子商务日益普及，网络安全问题显得异常突出，解决安全问题已成为我国电子商务正常发展的当务之急。3电子商务系统在防不胜防的破坏性活动面前，有时会显得软弱无力，谁都无法预测将会受到什么样的挑战。信息安全漏洞难以堵塞，一方面是由于缺乏统一的信息安全标准、密码算法和协议在安全与效率之间难以两全；另一方面，则是由于大多数管理者对网络安全不甚了解。电子商务对网络及应用系统提出了许多安

14、全要求，只有建立科学、合理的安全体系结构，才能保证电子商务交易的安全实施。2.2 电子商务所面临的安全威胁由于网络的全球性、开放性、无缝连通性、共享性、动态性不断的发展，使得任何人都可以自由的接入internet，自由的进行商务活动，这就使电子商务系统存在一定的威胁性。他们对电子商务系统的主要威胁有：（1）系统穿透：未授权人通过一定的手段对认证性进行攻击，假冒合法用户接入企业内部系统，实现对文件进行篡改、窃取机密信息、非法使用资源等。干扰系统正常运行，减慢系统响应时段等手段。（2）违反授权原则：一个授权进入系统做某件事的用户，他在系统中进行未经授权的其他事情。对网络设备及信息资源进行非正常使用

15、或越权使用等。导致一个攻击者可以通过检测口令接入一个非特许用户账号，进而可揭示系统的薄弱环节，取得特许接入系统权，从而严重危机系统的安全。（3）植入：一般在系统穿透或违反授权攻击成功后，入侵者常要在系统植入一种能力，为以后攻击提供方便条件。特洛伊木马为攻击者服务，例如一种表面上合法的文字处理软件能将所有编辑文档复制存入一个隐蔽的文件中，供攻击者检索。（4）通信监视：这是一种在通信过程中从信道进行搭线窃听的方式。通过搭线和电磁泄漏等对机密性进行攻击，造成泄密，或对业务流量进行分析，获取有用的情报。（5）通信窜扰：攻击者对通信过程进行干扰，对完整性进行攻击，篡改系统中数据的内容，修正消息次序、时间

16、，注入伪造消息。（6）中断：对可用性进行攻击，破坏系统中的硬件、硬盘、线路、文件系统等，使系统不能正常工作，破坏信息和网络资源。（7）拒绝服务：指通信被终止或实时操作被延迟，合法接入信息、业务或其他资源受阻，例如一个业务口被精心地策划进行滥用而使其他用户不能正常接入，又如internet的一个地址被大量信息垃圾阻塞等。（8）否认：通信双方有一方事后否认参与某次活动，不管这种行为是有意的还是无意的，一旦出现再解决双方的争执就不太容易了。2（9）病毒与恶意攻击：指通过网络传播病毒等。2010年“震网病毒”。世界上首个以直接破坏现实世界中的工业基础设施为目标的蠕虫病毒，被称为“网络超级武器”。 身份

17、的窃取、破坏数据完整性等这些都直接影响到电子商务的安全。2.3 电子商务安全问题的具体表现1、信息安全 信息安全是指由于各种原因引起的信息泄露、信息丢失、信息篡改、信息虚假、信息滞后、信息不完善等，以及由此带来的风险。具体的表现有：窃取商业机密；泄漏商业机密；篡改交易信息，破坏信息的真实性和完整性；接收或发送虚假信息，破坏交易、盗取交易成果；伪造交易信息；非法删除交易信息；假冒网站；交易信息丢失；病毒破坏；黑客入侵等。6信息风险的典型表现是网络欺诈，还有冒名偷窃、篡改数据等。使企业、厂商、消费者造成经济损失，如果不能及时得到准确、完备的信息，企业和个人就无法对交易进行正确的分析和判断，无法做出

18、符合理性的决策。不仅如此，信息在网络上传递时要经过很多环节和渠道，计算机病毒的浸入或“黑客”非法侵入都威胁着电子商务交易安全。2004年10月17日国内著名的杀毒软件厂商江民公司的网站被一名为河马史诗的黑客攻破，页面内容被篡改。最常见的信息风险是信息的非法窃取、泄露和篡改，它往往引起连锁反应，形成后续风险，这也是目前企业和个人最担心的问题。7信息安全问题的出现，既有管理原因，也有技术原因，总结来说，主要有这四种原因：电脑黑客、计算机病毒、技术因素、管理因素。不管因为什么原因，提高信息安全意识、加强安全管理、加快网络安全专业人士的培养才能为用户提供更为可靠的电子商务安全基础，促进电子商务更快更稳

19、定的发展。 2、交易安全交易在虚拟的坏境中进行，因此电子商务交易的双方在交易过程中都面临威胁。交易安全是指电子商务交易过程中存在的各种不安全因素，包括交易的确认、产品和服务的提供、产品和服务的质量、价款的支付、篡改数据、信息丢失等方面的安全问题。电子商务的交易依托于网络环境，与传统的商务形式不同，电子商务具有自己的特点：市场松散化、主体虚拟化、交易网络化、货币电子化、结算瞬时化等。这使得电子商务的交易风险逐渐扩大化，出现新的形式。交易安全问题在现实中很多。有来自卖方交易风险、买房交易风险、买卖双方都在抵赖的情况。例如：发布虚假信息糊弄购买者，使其上当受骗；冒充卖方到处破坏；卖方收费不提够服务或

20、商品。交易信息被非法修改、随意生成等。当然也有相反的情况，例如买方利用卖方的诚实套取产品和服务，却以匿名、更名或退出市场等方式逃避执行契约合同。3、财产安全财产安全是指由于各种原因造成电子商务参与者面临的财产等经济利益风险。财产安全往往是电子商务安全问题的最终形式，也是信息安全问题和交易安全问题的后果。1994年4月-10月间，俄国彼得堡oa土星公司24岁的电脑专家弗拉基米尔列列文通过互联网多次侵入usa花旗银行在华尔街的中央电脑系统的现金管理系统，窃走1000万美元（40笔款），大银行的电脑系统首次被外人侵入。信息安全、财产安全都受到严重破坏，造成严重的经济财产损失。财产安全问题主要表现为财

21、产损失和其他经济损失。前者如：客户的银行资金被盗；交易者被冒名，其财产被窃取等。后者如：信息的泄露、丢失，使企业的信誉受损，经济遭受损失；遭受网络攻击或故障，企业电子商务系统效率下降甚至瘫痪等。因此电子商务安全遭到破坏直接影响到财产问题。2.4 电子商务安全案例分析 前面我们说到电子商务所面临的安全威胁：系统穿透、违反授权原则、植入等以及这些问题的具体表现以案例形式做如下分析：（1）1999年，有人利用从新闻讨论组中查到的普通的技术手段，轻易而举地从usa多个商业网站中窃取了80000多个信用卡帐号和密码，并标价26万美元出售。不仅商业机密被盗用，还造成了严重的经济损失。2006年9月12日晚

22、，国内知名搜索网站百度，遭到其有史以来最大规模黑客袭击，导致百度搜索服务在全国各地出现近30分钟的故障。信息风险成为了企业和个人最为担心的一个问题，给企业和个人造成严重影响。以上安全案例事件泄密、篡改、病毒入侵、拒绝服务、数据窃取、干扰系统正常运行等不断持续发生，不断攻击电子商务稳定的发展。网络是开放的，任何人可以自由的接入，然而电子商务中的一些信息是不能共享的，比如个人隐私、商业机密等。这自然就会有别有用心的人采取各种手段在internet上恶意攻击、窃取密码。据相关专家表示，要想建立相对安全的网络机制，防止黑客的攻击，便要做到加强安全防范的管理。（2）2007年爆发的“熊猫烧香”病毒，会使

23、所有程序图标变成熊猫烧香，并使它们不能应用。和这种病毒相关的还有灰鸽子、网游盗号木马、auto病毒等。2008年“扫荡波”。利用系统漏洞从网络入侵的程序，这个病毒可以导致被攻击者的机器被完全控制。2009年“木马下载器”。2009年度的新病毒,中毒后会产生1000-2000不等的木马病毒，导致系统崩溃，短短3天变成360安全卫士首杀榜前3名。这种危险的病毒或木马具有传染方式多、传染速度极快、清除难度大、破坏性强的特点，导致计算机效率急剧下降、系统资源遭到严重破坏等。对于这种网络病毒的防治，单纯靠技术手段是不可能杜绝清除的，要把技术手段和管理机制结合起来，制定相关严格的规章制度、做好及时检查出现

24、病毒的症状、定期用查毒软件检查服务器的病毒情况以及跟踪网络病毒防治技术的发展。电子商务如此迅速的发展，也是因为电子商务交易占了重要地位，除此之外，应建立一套公认的、可信的身份认证体系，以保证参与网上交易各方的真实性。3 身份认证技术身份认证是信息认证技术中一个十分重要的内容，它一般涉及两个方面的内容：一是识别；而是验证。所谓识别就是指要明确用户是谁。这就要求对每个合法的用户都要有识别能力。为了保证识别的有效性，就需要保证任意两个不同的用户都具有相同的识别符。所谓验证就是指在用户声称自己的身份后，认证方还要对它所生成的身份进行验证，确认双方真实身份以防假冒。3.1 身份认证技术简介身份认证技术是

25、在计算机网络中确认操作者身份的过程而产生的解决方法。 计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证技术就是为了解决这个问题，作为防护网络资产的第一道关口，身份认证有着举足轻重的作用。43.2 身份认证方法在真实世界，对用户的身份认证基本方法可以分为这三种： 1) 根据你所知道的信息来证明你的身份；例如，用户知道自己的口令。 2) 根据你所拥有的东西来证明你的身份； 例如一种硬件智

26、能卡储存个人化参数。3) 直接根据独一无二的身体特征来证明你的身份，比如指纹、声音、面貌、dna图案等。都要求每个合法用户有足够的识别能力。3.3 常用的身份认证方式3.3.1 静态密码静态密码，是最简单也是最常用的身份认证方法。每个用户的密码是由这个用户自己设定的，设定的一组字符用来保护用户信息和识别身份，因此只要能够正确输入密码，计算机就认为他就是这个用户。由于攻击者通过窃听网络数据，辨别出某种特定系统的认证数据，并提出用户名和口令或被简单猜测出，正因如此，才许多存在着许多安全隐患极易造成密码泄露。因此，这种方法进行身份认证简单方便，但安全性极差。3.3.2 动态口令黑客依靠网络攻击窃取用

27、户账号、口令等个人信息的案件层出不穷，这使口令认证的安全性受到极大的威胁。动态口令也称一次性口令，并是变动的口令。客户手持用来生成动态密码的终端，是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的技术。动态口令身份认证系统的客户端设备和认证系统同时拥有一个对称密钥算法，动态口令的变化由于算法的不同而不同，有效地保证了用户身份的安全性。但也会造成不方便，比如系统故障就可能发生合法用户无法登陆的问题。并且用户每次登录时还需要通过键盘输入一长串无规律的密码，操作使用复杂繁琐，且要定期更换自己的口令。主要广泛应用在vpn、网上银行、电子政务、电子商务等领域。3.3.3 短信密码我们

28、登录淘宝账号有时会遇到这种问题：向你的手机发送验证码，以你手机短信收到的验证码为准输入便可完成登录。这种以手机短信形式发送的6位随机数动态密码就是短信密码。当用户使用时需输入这6位随机密码来确保系统身份认证的安全性。这种认证方式具有安全性、普及性、易收费、易维护等优点。3.3.4 usbkey认证usbkey是一种usb接口的硬件设备，内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，用usbkey内置的密码学算法实现对用户身份的认证。认证采用软硬件相结合一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。usb key在使用时需要在客户端安装软件，对客户端的接口有限制，使用

29、usb key需要用户有较高的电脑专业知识，所以应用范围也有限制。但作为数字证书的存储介质，可以保证数字证书不被复制，并可以实现所有数字证书的功能。目前主要运用在电子政务、网上银行。3.3.5 ic卡认证ic卡是通过一块塑料基片中嵌入集成电路芯片而制成的卡片，卡片中存有与用户身份相关的数据，ic卡由专门的厂商通过专门的设备生产，可以认为是不可复制的硬件。电信行业电信智能卡是ic卡应用的主力军，同时，我们使用的手机sim卡也是智能卡。使用时需要合法人携带ic卡插入便可来验证身份。但有些不法分子使用伪造的智能卡，或者冒用其他遗失的智能卡，或者盗窃别人的智能卡冒充用户进入系统以谋取非法利益或破坏系统

30、。它广泛地应用于金融财务、社会保险、交通旅游、医疗卫生、政府行政、商品零售、休闲娱乐、学校管理及其它领域。3.3.6 生物识别技术生物识别技术是通过人的生理和行为来识别或验证一个有生命力的人的方法，包括指纹、手形、脸形、声音、视网膜等。生物特征认证是最可靠的身份认证方式，具有安全性、方便性、唯一性和稳定性。因为不同的人具有相同生物特征的可能性可以忽略不计，因此几乎不可能被仿冒。生物特征识别的准确性和稳定性还有待提高，无法识别身体伤痛和污渍的影响，造成合法用户无法登陆的情况。并且生物特征认证系统的成本非常高，目前只适合于一些安全性要求非常高的场合如银行、部队等使用，还无法做到大面积推广。3.3.

31、7 数字签名数字签名又称电子加密，以电子形式存在与数据信息之中，可以区分真实数据与伪造、被篡改过的数据。在电子银行、电子商务中采取数字签名，它不仅能由发送方产生、且仅与所签署的电子文档有关的一种标记，其他人无法伪造和标记。数字签名是目前电子商务、电子政务中应用最普遍、技术最成熟、可操作性最强的一种电子签名方法。53.3.8 双因素身份认证所谓双因素就是将两种认证方法结合起来，进一步加强认证的安全性，目前使用最为广泛的双因素有： 动态口令牌 + 静态密码；usb key + 静态密码；二层静态密码等等。它可以广泛应用于银行、证券、网游、电子商务、电子政务、网络教育、企业信息化等领域。8以上无论何

32、种身份认证方式都会有它的优缺点，至于哪一种方式更安全，关键在于你想采取什么样的安全策略，其实只要你采用的身份认证方式能满足您组织的网络安全要求就可以了。4 电子商务网站的安全策略4.1 中小型b2c电子商务网站安全策略4.1.1 中小型b2c电子商务网站的特点1、交易金额较低。资金流动较小。2、商品品种较少，或者比较单一。3、交易量不大，单个用户购买频率低，操作简易。 4、发生随机性高，门槛要求低。 4.1.2 中小型b2c电子商务网站的主要解决问题：1) 网站身份验证：它可以保证用户访问的网站是安全、真实的，防止非法用户入侵或骗取钱财。2) 交易数据加密：一定程度上防止了信息的泄漏，对数字产

33、品具有一定的保护力，保证交易安全。3) 交易数据验证：进一步验证防止交易传输过程中被篡改。4) 交易数据的不可抵赖性：保证交易全过程的完整。5) 操作简易性：过分复杂繁琐的安全操作会使用户产生厌烦情绪，影响购买。4.2 大型电子商务网站、银行、金融网站安全策略4.2.1 大型电子商务网站、银行、金融网站特点1、交易金额较大，资金流动大。 2、商品品种多，内容丰富齐全。3、交易量大，用户操作次数频繁且复杂。 4、客户群固定，用户对安全性要求高。 4.2.2 大型电子商务网站、银行、金融网站主要解决问题1、网站身份的验证：通过验证来保证用户访问的的商户网站是安全、真实的，防止非法用户冒充真的网站骗

34、取钱款以及用户帐户信息。 2、交易数据加密：对交易的数据进行加密，防止泄漏重要财务信息、帐户信息、交易数据信息被人窃听、盗用。 3、交易数据的不可抵赖性：保证交易的全过程，能够被记录并作为审计依据，确保完成交易和保证它的安全。 4、用户身份的验证：能够查证用户的真实身份、联系信息、财务信用、对网上交易能做数据签名，保证交易数据的完整性、真实性、不可抵赖性。禁止非法或无法识别的用户浸入。5、交易数据完整性：敏感、机密、重要的数据在传递过程中，防止被人篡改，保证交易数据完整和安全。5 身份认证技术的案例以淘宝身份认证为例1、背景：由于受电脑病毒、木马程序和网络钓鱼的威胁，让网络购物的用户对电子商务交易安全不同程度上受到影响，尽管调查显示国内有过网上购物体验的网民多达4.6亿，但其中通过网上支付来购物的不足4亿人。调查发现，有的网民担