电子商务的安全分析、设计及JAVA实现.docx

电子商务的安全分析、设计及 电子商务的安全分析、设计及 JAVA实现 电子商务的安全分析、设计及 JAVA实现 电子商务是交易当事人或参与人利用现代信息 技术和计算机网络（主要是Internet）所进行的 各类商业活动，包括电子数据交换、电子 邮件、电子资金转帐等，是一种可能涉及到个人、 企业、国家的无纸化数据交换。从国内外电子商 务的现状来看，电子商务是一把双 刃剑,一方面它造就了从传统商务到现代商务的 巨大飞跃，另一方面它也带来了一些全新问题 ， 如安全问题。从目前实践证明，安全问 题已成电子商务的核心问题和瓶颈问题之一一 ,也 是电子商务的客户和商家所共有的关键需求之 电子商务安全的内涵及必要性 电子商务的安全,涉及到交易中各种数据的可靠 性、完整性和可用性。 就整个电子商务系统而言 , 安全性可以分为 4 个层次:(1) 网络节 点的安全性 (2) 通信的安全性 (3) 应用程序的安 全性 (4) 用户的认证管理 (5) 安全管理。现分别叙 述如下: 图 1: 电子商务安全中间件的总体设计框架图 • 网络节点的安全 网络节点的安全性是指组成网络节点的主机、 路 由器或交换设备及相关软件的安全性 , 它处于安 全级别的最基层 , 是网络的第一道屏 障。网络节点的安全性主要依靠防火墙来保证。 防火墙就是一个位于计算机和它所连接的网络 之间的软件。它可以对流经的网络通 信进行扫描以便过滤掉一些攻击 ; 可以关闭闲置 端口以减少攻击的可能性 ; 能禁止特定端口的流 出通信, 封锁特洛伊木马 ; 能禁止来自 特殊站点的访问 , 从而防止来自不明入侵者的所 有通信。一个防火墙可以是硬件自身的一部分 因特网连接和计算机都可以插入其中 ; 也可以在一个独立的机器上运行 , 成为它背后网 络中所有计算机的代理和防火墙。 为了保证电子 商务的安全 , 可使用独立安装防火墙 的方法。防火墙可以自行开发 , 也可以购买商业 防火墙。使用方法参考其使用说明书。 • 数据通信的安全 数据通信的安全是指数据传输过程的安全性。 它 主要依靠对通信数据进行加密来保证 , 因而通信 链路上的数据安全在一定程度上取决 于加密的算法和加密的强度。 电子商务系统的数 据通信主要存在于 3 个方面 : ①客户 Browser 端 与电子商务 Web服务器端的通信；②电子 商务Web服务器与电子商务 DB服务器的通信； ③银行内部网与业务之间的数据通信。 其中客户 Browser与电子商务Web服务器之间采用 SSL协议来建立安全链接。 应用程序的安全性 各种程序 bug 都可能导致攻击 , 所以应加强程序 及系统测试 ,尽量减少漏洞。 在编程之前 ,要强化 系统分析及设计功能 , 设想各种可能的 异常或错误 , 并采取相应对策 ; 使程序中的类或 组件尽可能封装。在测试过程中要加强对边界 值、数据容量、用户及权限分配、程序 碎片、程序后门等环节的测试 , 尤其要遵循“最 小权限原则” , 合理设计用户及权限 ;紧密跟踪、 严格监视系统的运行状态 , 及时发现 违反安全策略的行为 , 并及时采取措施予以解 决。 用户的认证管理 用户的认证管理用来在网上确认交易各方的身 份以及保证交易的不可否认性。 电子商务中企业 用户身份认证可以通过服务器 CA证书 与IC卡相结合来实现。CA证书用来认证服务器 的身份,IC卡用来认证企业用户的身份。个人用 户由于没有提供交易功能 , 所以只采用 ID 号和密码口令的身份确认机制。 • 安全管理 为了确保系统的安全性 , 除了采用上述技术手段 （ 即“技防” ） 外, 还必须建立严格的内部安全机 制（即“人防” ） 。“人防”措施包括 : 根据最小权限原则 , 结合分级管理来分配操作权 限; 严格管理内部用户帐号和密码 ;加强用户的 身份确认 ;对关键应用实施跟踪 ; 建立安 全维护日志 ; 后台自动记录运行痕迹 ; 对重要数 据进行备份。 一个实际电子商务安全项目的设计与实现 作者主持的湖南省教育厅资助项目“电子商务高 级中间件的设计与开发”实际项目，采用安全中 间件的解决方案，成功地完成了电子 商务中业务处理的部分安全问题。所使用的开发 平台为：java(jsp)开发工具+ tomcat服务器+ SQL Server及access数据库。其总体 设计框架图如图1所示。 现将部分安全关键技术详述如下： •用RMI机制的3层模式结构来封装加密算法 RMI 即 Remote Method Invocation(远程方法调 用)，它提供了针对java对象的分布式计算的一 种简单而直接的模型。RMI使用Java内 置的安全机制保证下载执行程序时用户系统的 安全,并使用专门为保护系统免遭恶意小程序侵 害而设计的安全管理程序。RMI机制将