Methods for Enhancing E-Commerce Security.pdf

1、企事業(yè)單位，尤其是電子商務(wù)公司是怎么做到安全管理的呢？電子商務(wù)很容易讓人聯(lián)想起那些網(wǎng)上店鋪，比如亞馬遜超市，或者磚塊加鼠標(biāo)商業(yè)模式，比如LL-Bean，還有商品交易網(wǎng)，如阿里巴巴。然而，很多大規(guī)模的商業(yè)運(yùn)作模式并不能代表大多數(shù)公司的需求。實(shí)際上，僅僅依賴于對電子商務(wù)軟件和設(shè)備的運(yùn)用的時(shí)代已經(jīng)一去不復(fù)返。過去十年，通過采用信息管理和通信技術(shù)，各單位都致力于追求效率和生產(chǎn)率。電子商務(wù)的出現(xiàn)改變了商業(yè)交易的模式。通過網(wǎng)上交易降低了運(yùn)營費(fèi)用，且

2、隨著國內(nèi)外新興的企業(yè)紛紛建立，更多的商機(jī)涌現(xiàn)出來。由于個(gè)人和商家更大程度上共享信息，使得整個(gè)網(wǎng)絡(luò)變得異常脆弱，更容易遭到破壞，這就使得電子商務(wù)的安全變得更加重要。最近的襲擊表明，對于那些只擁有有限的資源來保護(hù)其網(wǎng)站安全以及那些通過支付與被襲擊網(wǎng)站共享帶寬的網(wǎng)站來說，分布式拒絕服務(wù)攻擊正逐步成為最有威脅的潛在的攻擊手段。
　　許多單位越來越關(guān)注信息安全的風(fēng)險(xiǎn)并采取了相應(yīng)的措施。許多的信息安全問題源于使用開放式的網(wǎng)絡(luò)，糟糕的軟件設(shè)計(jì)以

3、及將許多大型的網(wǎng)絡(luò)互聯(lián)在一起而未考慮其安全性。在如此眾多的安全措施中，許多單位為選擇哪種安全方式來應(yīng)對他們所面臨的威脅而犯愁。為了促進(jìn)這種窘境盡快改變，許多單位已經(jīng)啟動(dòng)了正式的信息管理項(xiàng)目，致力于保護(hù)他們自己、合作伙伴以及客戶的利益。
　　不幸的是，許多信息風(fēng)險(xiǎn)管理項(xiàng)目只注重量而沒有注重質(zhì)的提高。因?yàn)樗麄儾⒉淮_定哪一種方式能更好的處理他們的困境，因此盡可能多地配置信息安全管理軟件而不考慮他們的質(zhì)量以及有效性。在很多情況下，一些操作

4、想改進(jìn)有安全缺陷的地方而事實(shí)上卻在系統(tǒng)中增加了另外的安全隱患。許多早期的信息安全項(xiàng)目很大程度上依賴于科技創(chuàng)新。這些單位運(yùn)用很多新信息安全產(chǎn)品為網(wǎng)絡(luò)資源加鎖，進(jìn)而形成一個(gè)進(jìn)行商務(wù)處理的安全范圍。這一方法十分合理，因?yàn)樾枰Ｗo(hù)的信息本身就包含高科技。如果運(yùn)用得當(dāng)，這些技術(shù)將在很大程度上減少企業(yè)內(nèi)部的信息安全事件。然而，隨著這些技術(shù)變得逐漸成功和更加復(fù)雜，僅僅采用其中某一種技術(shù)已經(jīng)不能解決這些信息安全問題，因?yàn)榘踩珕栴}不再僅僅是技術(shù)問題。隨著

5、這一觀點(diǎn)的成熟，人們更進(jìn)一步的認(rèn)識(shí)到要在整個(gè)企業(yè)范圍內(nèi)運(yùn)用整體分析方法在技術(shù)保戶，處理過程，人員安排，以及其他的組織要素。
　　這就是信息安全的起源。這些問題可以大概分為兩類，電子商務(wù)安全以及針對拒絕服務(wù)所采取的安全措施，這將是本篇論文的焦點(diǎn)。本論文分為兩部分，第一部分重點(diǎn)討論信息安全的攻防問題，包括分布式拒絕攻擊介紹和相應(yīng)的對策問題；第二部分將討論有助于安全保護(hù)的安全電子商務(wù)模式的實(shí)現(xiàn)。簡言之，本文將從以下七個(gè)方面闡述關(guān)于電子商

6、務(wù)安全性的問題。
　　在寫本論文之前，我們設(shè)計(jì)并事先展開了詳盡的調(diào)查。其中，要點(diǎn)1、2、3是針對第一個(gè)問題而提出，要點(diǎn)4針對第二個(gè)問題，要點(diǎn)5針對第3個(gè)問題，要點(diǎn)6針對第4個(gè)問題。
　　盡管電子商務(wù)安全問題的研究不是一個(gè)新課題，我們的研究方法注重于揭示那些安全處理的細(xì)節(jié)問題以及執(zhí)行質(zhì)量問題。在更準(zhǔn)確的理解現(xiàn)有的信息安全管理方法的基礎(chǔ)上，我深信我們的研究工作提供了提高信息管理的質(zhì)量并降低信息風(fēng)險(xiǎn)的有效方法。
　　要點(diǎn)一：

7、我已經(jīng)解決了檢測錯(cuò)誤信息包的問題，即對于前面提到的行為找到錯(cuò)誤的信息包以及提出一個(gè)可以參考的安全性框架，考慮到個(gè)人無線電子產(chǎn)品的廣泛使用，例如，手機(jī)和袖珍電腦，我設(shè)計(jì)了一個(gè)電子商務(wù)安全的一般框架。在這一思想指導(dǎo)下，我提出互連規(guī)則以及在描述數(shù)據(jù)流以及用戶操作的日志中找出拒絕服務(wù)攻擊數(shù)據(jù)塊。我簡要的提出了基于關(guān)聯(lián)規(guī)則的問題，便于監(jiān)測英特網(wǎng)上合法的數(shù)據(jù)包以防止拒絕服務(wù)攻擊。我們鑒別常用信息包的方法有兩種。
　　要點(diǎn)二：對任何一個(gè)安全系統(tǒng)

8、而言，最主要的要求是阻止未被授權(quán)者訪問系統(tǒng)資源。本構(gòu)想提供了可信轉(zhuǎn)換規(guī)則，該規(guī)則同具體環(huán)境結(jié)合可以控制訪問權(quán)限。本文介紹的可信方法是從邏輯上實(shí)現(xiàn)正式的工作環(huán)境，這種具有嚴(yán)謹(jǐn)邏輯結(jié)構(gòu)的可信方法基于ABLP，是電子商務(wù)安全可信認(rèn)證的基礎(chǔ)。
　　要點(diǎn)三：用戶安全確認(rèn)（認(rèn)證，密碼）
　　普通的安全措施包含由至少六個(gè)字母的密碼或?qū)γ舾械臄?shù)據(jù)進(jìn)行編碼兩種。本文作者將GOST準(zhǔn)則深化并在此基礎(chǔ)上提出了一個(gè)更簡單的三層請求認(rèn)證模式。在此基礎(chǔ)

9、上，終端用戶在開放的分布式環(huán)境中能得以認(rèn)證。該系統(tǒng)模型的詳細(xì)描述以及對該實(shí)驗(yàn)結(jié)果的完整評價(jià)將在論文中體現(xiàn)。
　　要點(diǎn)四：根據(jù)協(xié)議對網(wǎng)站進(jìn)行跟蹤
　　電子商務(wù)中的一些最有用的協(xié)議可能會(huì)減少企業(yè)總收入，而不是帶來收益，并且根據(jù)安全需要可能還需附加費(fèi)用。我在本論文中提出了一個(gè)基于語言的，能實(shí)現(xiàn)不受干擾的強(qiáng)協(xié)議技術(shù)，該技術(shù)將確保那些密級高的數(shù)據(jù)不會(huì)被那些密級低的用戶訪問。本文所提出的信息路徑安全致力于填補(bǔ)協(xié)議實(shí)施者執(zhí)行并將各種安全服

10、務(wù)互聯(lián)時(shí)所出現(xiàn)的漏洞。同其他訪問控制系統(tǒng)不一樣，我分析了在協(xié)議實(shí)現(xiàn)過程自動(dòng)調(diào)整結(jié)構(gòu)的必要性。除此之外，我還指出許多有關(guān)安全問題案例分析可以有效地解決，并且給出了這些棘手問題的難易程度。
　　要點(diǎn)五：同信分類以及檢測信息包以幫助網(wǎng)絡(luò)監(jiān)控
　　由于我們所處的是正在無限縮小的知識(shí)社會(huì)，網(wǎng)絡(luò)安全問題變的越來越重要。我設(shè)計(jì)、提出并使用了一種新的監(jiān)測技術(shù)?！案綦x鎖”能把信息流分成互不影響的數(shù)據(jù)包，理論證明，這一方法能嚴(yán)格的對信息加以區(qū)分

11、隔離，并且數(shù)據(jù)只在很小的范圍內(nèi)有用。事實(shí)證明，盡管算法之間的分類有很大的相似性，但是電腦操作卻能將他們加以嚴(yán)格的區(qū)分，所以將基于計(jì)算機(jī)操作的算法加以區(qū)分比僅僅準(zhǔn)確分類更加有用。
　　要點(diǎn)六：安全電子商務(wù)模式
　　本模式是參照博士生論文的研究結(jié)果提出的，我在論文中運(yùn)用他們的成果來研究相關(guān)的東非電子商務(wù)案例。從這些論文的啟發(fā)中，我設(shè)計(jì)了一個(gè)雙邊模式，在該模式中，ICTs被賦予了操作權(quán)限并逐步?jīng)Q定（1）這些網(wǎng)絡(luò)是否按照電子商務(wù)生產(chǎn)