網絡支付安全策略的淺層分析

惠好學（西安文理學院,710065）

?

網絡支付安全策略的淺層分析

惠好學
（西安文理學院,710065）

摘要：在信息化與工業化融合的過程中，電子商務的蓬勃發展，使它已成為整個經濟活動中一個不可或缺的構成。但是，與之而來的，電子商務安全問題愈加突出。電子商務的安全問題，已成為制約其蓬勃發展的瓶頸。

關鍵詞：網絡支付;安全隱患;安全策略

1　網絡支付的安全現狀

基于Internet的電子商務，由于因特網的開放和互聯，加上沒有一個專用組織來管理控制它，在通信協議上就有不完善的地方，從而導致支付層面出現這樣那樣的安全問題。其面臨的主要安全隱患有以下五個方面：

1)支付帳號和密碼等隱私支付信息在網絡傳輸中被竊取或盜用；

2)支付金額被更改；

3)無法有效驗證交易方的身份；

4)對支付行為或支付的信息進行抵賴、修改和否認；

5)網絡支付系統突然中斷癱瘓或故意被攻擊而使網絡支付被故意延遲。

2　網絡交易的安全需求

針對網絡交易過程面臨的安全隱患及其風險源的分析，為保證支付流程的安全、可靠，結合電子商務系統的安全，網絡支付的安全需求可以歸結為以下幾個方面：

1)保證網絡上資金流數據的保密性；

2)保證網絡上資金流不被隨意篡改，即網絡支付信息的完整性；

3)保證網絡上資金結算雙方身份的認證；

4)保證網絡上有關資金支付結算行為發生的不可抵賴性；

5)保證網絡支付系統的穩定可靠、快捷，做好數據備份及災難恢復功能，并保證一定的支付結算速度。

3　網絡支付的安全策略

所謂電子商務的安全策略，是一個組織機構在從事電子商務事務中關于安全方面的綱要性條例，它以書面形式明確描述所需保護的對象、保護職責的分配等。網絡支付的安全策略是整個電子商務安全策略最重要的一個子集。

制定網絡支付安全策略的目的是為了保障支付結算信息的機密性、完整性、認證性、不可否認性、不可拒絕性和訪問控制不被破壞；能夠有序的、方便地鑒別和測試網絡支付系統的安全狀態；能夠對網絡支付的風險做出基本的評估；制定措施，用于網絡支付系統的安全被破壞后的恢復工作。

一個完整的網絡交易安全體系至少應包括三類措施，并且三者缺一不可。一是技術方面的措施，如防火墻技術、網絡防毒、信息加密、身份認證、授權等；二是管理方面的措施，包括教育的安全制度、交易安全的實時監控、改變安全策略的能力、現有安全系統的漏洞自查等；三是社會的政策和法律保護。只有從這三方面入手，才可能真正實現電子商務的安全運行。

4　保證網絡支付安全的解決方法

為滿足商務各方網絡支付的安全需求，以及遵循制定的安全策略與安全機制的內容，目前可以考慮以下的解決方法：

4.1防火墻技術

防火墻是一種由計算機軟件和硬件構成的隔離系統設備，在安全的企業局域網和大眾的不安全的國際互聯網之間構筑一道防護屏障，能按預先設置的條件對進出信息進行區分監控，實現內外有別。

防火墻的目的只是加強網絡安全性，其應用也只是許多安全防護手段之一。防火墻雖然具有可以抵制來自不安全網絡如互聯網各種線路的攻擊，提高集中安全性；借助網絡服務選擇，保護網絡中脆弱的易受攻擊的服務；可以方便監視整個網絡的安全性，且反應及時，具有報警提醒服務；增強內部網中資源的保密性，強化私有權等等優點，但并不能完全、絕對的保證企業內部網的安全，所以仍然存在許多缺項和不足。譬如：限制了一些有用的網絡服務的使用，降低了網絡性能；無法防護來自內部網絡用戶的攻擊；不能完全防止傳送感染病毒的文件，特別是一些數據驅動型的攻擊數據；被動防守，不能防備新的網絡安全問題等等。

4.2身份認證技術

1)口令認證

用戶身份認證的最簡單方法就是通過輸入口令判斷用戶身份的合法性。很顯然，這種身份認證方法操作十分簡單，但同時又最不安全，因為其安全性僅僅基于用戶口令的保密性，而用戶口令一般很難抵御口令猜測攻擊。另外，口令的明文傳輸使得系統攻擊者很容易通過接線竊聽方法獲得用戶口令。一旦攻擊者能夠訪問口令表，整個系統的安全就受到威脅。

對口令進行加密是一種改進的方法，用戶口令以密文形式傳輸，系統也只保存密文，攻擊者就不易獲得用戶的真實口令，但這種方案仍然可以受到口令猜測攻擊。

2）智能卡

基于智能卡的用戶認證技術結合了基本認證方式中的前兩中方式。用戶的信息預先存于智能卡中，然后在認證服務器中存入用戶事先選擇的某個隨機數。用戶訪問系統資源時，用戶輸入自己的信息，系統首先判斷智能卡的合法性，鑒別用戶身份。如果身份合法，再將智能卡中的隨機數送給認證服務器做進一步認證。這種方案的優點在于沒有管理中心發放的智能卡，則不能訪問系統資源，即使智能卡丟失，攻擊者仍然需要猜測用戶口令。

3）一次口令機制

一次口令機制，即每次用戶登錄系統時口令互不相同，也是最安全的身份認證機制。一次口令機制主要有兩種實現方式，第一種為“請求響應”方式，即用戶登錄時系統隨機提示一條信息，根據這條信息連同個人化數據共同產生一個口令字，用戶輸入這個口令字，完成一次登錄，或者用戶對這條信息實施電子簽字并發送給認證服務器進行鑒別。第二種為“時鐘同步”機制，即根據同步時鐘連同其個人化數據共同產生一個口令字進行登錄。這兩種方案均需要認證服務器端也產生與用戶端相同的口令字用于驗證用戶身份。

4）數字證書

數字證書是利用電子信息技術，確認、鑒定、認證互聯網上信息交流參與者的身份或服務器的身份，是擔保個人、計算機系統或者組織的身份，并且發表加密算法類別、公開密鑰以及所有權的電子文檔。

數字證書的工作原理就是信息接收方在網上收到發送方發來的業務信息的同時，還收到發送方的數字證書，這時通過對其數字證書的驗證，可以確認發送方的真實身份。在發送方與接收方交換數字證書的同時，雙方得到對方的公開密鑰。通過這個公開密鑰，雙方就可完成數據傳送中的加/解密工作。

總之，我國電子商務的發展，電子商務的安全運行，不光要努力在一些基礎性、關鍵性技術上取得突破，做好技術防范，還要盡快完善相應電子商務法律法規，規范、引導我國電子商務快速健康發展。

參考文獻

[1] 王峰，楊堅爭，羅曉靜：《電子商務交易風險與安全保障》，科學出版社，2005

[2] 關振勝：《公鑰基礎設施PKI與認證機構CA》，電子工業出版社，2002

[3] 柯新生：《網絡支付與結算》，電子工業出版社，2004

Shallow analysis of the security policy of network payment

Hui Haoxue
(Xi'an University of Arts and Science,710065)

Abstract：In the process of integration of information technology and industrialization,the development of electronic commerce has become an indispensable part of the whole economic activity.However,with the coming of e-commerce security issues become more prominent.The security of electronic commerce has become a bottleneck which restricts its vigorous development.

Keywords：Network payment;security risk;security policy