【IT168 专稿】近年来，随着企业信息化的不断推进，很多企业完成了生产制造信息化（如：CAD、CAPP、CAM、PDM等）、经营管理信息化（如：OA、ERP、CRM、CSM、HRM等）等方面管理系统的建设工作，在整合这些系统的基础上（也称为企业集成），对电子商务（EBS）的需求也越来越强烈。但众所周知，与Intranet内运行的系统相比，电子商务系统的对网络安全的要求更高。由于企业的电子商务系统往往与ERP（企业资源计划）、HRM（客户关系）、SCM（供应链）、HRM（人力资源）等系统相互连接、共享数据，而这些系统中又存储着整个企业生产制造、经营管理等各方面的重要信息，一旦数据泄密，将给企业造成不可估量的损失。

    目前，实现网络安全的技术手段有防火墙、加密与数字签名、用户识别和安全认证、安全电子交易（SET）协议与CA认证等，下面将简要介绍这些网络安全技术的特点。

    一、防火墙
    1、原理：防火墙（FireWall）是一种隔离控制技术，在企业与外网（Internet）之间设置屏障，阻止对企业信息的非法访问，还阻止专利信息从企业的网络上被非法输出。防火墙是一种被动防卫技术，由于它假设了网络的边界和服务。

    近年来，FireWall已经得到广泛的应用。通常企业为了维护内部的信息系统安全，在企业网和Internet间设立FireWall软件。它可以允许或禁止一类具体的IP地址访问，也可以接收或拒绝TCP/IP上的某一类具体的应用。如果在某一台IP主机上有需要禁止的信息或危险的用户，则可以通过设置使用FireWall过滤掉从该主机发出的包。如果一个企业只是使用Internet的电子邮件和WWW服务器向外部提供信息，那么就可以在FireWall上设置使得只有这两类应用的数据包可以通过。这对于路由器来说，就要不仅分析IP层的信息，而且还要进一步了解TCP传输层甚至应用层的信息以进行取舍。FireWall一般安装在路由器上以保护一个子网，也可以安装在一台主机上，保护这台主机不受侵犯。

    2、防火墙的种类：真正意义下的防火墙有两类：一类被称为标准防火墙；一类叫双家网关。标准防火墙系统包括一个Unix工作站，该工作站的两端各按一个路由器进行缓冲。其中一个路由器的接口是外部世界，即公用网；而另一个则联接内部网。标准防火墙使用专门的软件，并要求较高的管理水平，而且在信息传输上有一定的延迟。而双家网关则是对标准防火墙的扩充，双家网关又称堡垒主机或应用层网关，它是一个单个的系统，但却能同时完成标准防火墙的所有功能。其优点是能运行更复杂的应用，同时防止在互联网和内部系统之间建立的任何直接的连接，可以确保数据包不能直接从外部网络到达内部网络，反之亦然。从实现原理上分，防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长，具体使用哪一种或是否混合使用，要看具体需要。

    3、使用防火墙：防火墙是企业网安全问题的流行方案，即把公共数据和服务置于防火墙外，使其对防火墙内部资源的访问受到限制。一般说来，防火墙是不能防病毒的，尽管有不少的防火墙产品声称其具有这个功能。防火墙技术的另外一个弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。此外，防火墙采用滤波技术，滤波通常使网络的性能降低50%以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。

    作为一种网络安全技术，防火墙具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到一定的安全要求。但是，如果防火墙系统被攻破，则被保护的网络处于无保护状态。如果一个企业希望在Internet上开展电子商务等商业活动，与众多的客户进行通信，则防火墙不能满足要求。

    二、加密与数字签名
    1、加密：数据加密技术从技术上的实现分为在软件和硬件两方面。按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术这四种。

　　在网络应用中一般采取两种加密形式：对称密钥和公开密钥，采用何种加密算法则要结合具体应用环境和系统，而不能简单地根据其加密强度来作出判断。因为除了加密算法本身之外，密钥合理分配、加密效率与现有系统的结合性，以及投入产出分析都应在实际环境中具体考虑。对于对称密钥加密。其常见加密标准为DES等，它采用KDC来集中管理和分发密钥并以此为基础验证身份，但是并不适合Internet环境。

　　在Internet中使用更多的是公钥系统。即公开密钥加密，它的加密密钥和解密密钥是不同的。一般对于每个用户生成一对密钥后，将其中一个作为公钥公开，另外一个则作为私钥由属主保存。常用的公钥加密算法是RSA算法，加密强度很高。由于加密强度高，而且并不要求通信双方事先要建立某种信任关系或共享某种秘密，因此十分适合Internet网上使用。

    2、数字签名：数字签名技术是实现交易安全的核心技术之一，它的实现基础就是加密技术。数字签名必须保证：接收者能够核实发送者对报文的签名；发送者事后不能抵赖对报文的签名；接收者不能伪造对报文的签名。现在已有多种实现各种数字签名的方法，但采用公开密钥算法要比常规算法更容易实现。

    3、密钥的管理：对称密钥加密方法致命的一个弱点就是它的密钥管理十分困难，因此它很难在电子商务的实践中得到广泛的应用。在这一点上，公开密钥加密方法占有绝对的优势。不过，无论实施哪种方案，密钥的管理都是要考虑的问题。当网络扩得更大、用户增加更多时尤其如此。一家专门从事安全性咨询的公司Cypress Consulting的总裁CyArdoin说：“在所有加密方案中，都必须有人来管理密钥。”目前，公认的有效方法是通过密钥分配中心KDC来管理和分配公开密钥。每个用户只保存自己的秘密密钥和KDC的公开密钥PKAS。用户可以通过KDC获得任何其他用户的公开密钥。

    三、用户识别和安全认证
    仅仅加密是不够的，全面的保护还要求认证和识别。它确保参与加密对话的人确实是其本人。厂家依靠许多机制来实现认证，从安全卡到身份鉴别。前一个安全保护能确保只有经过授权的用户才能通过个人计算机进行Internet网上的交互式交易；后者则提供一种方法，用它生成某种形式的口令或数字签名，交易的另一方据此来认证他的交易伙伴。用户管理的口令通常是前一种安全措施；硬件／软件解决方案则不仅正逐步成为数字身份认证的手段，同时它也可以被可信第三方用来完成用户数字身份（ID）的相关确认。

    1、认证和识别的基本原理：认证就是指用户必须提供他是谁的证明，他是某个雇员，某个组织的代理、某个软件过程（如股票交易系统或Web订货系统的软件过程）。认证的标准方法就是弄清楚他是谁，他具有什么特征，他知道什么可用于识别他的东西。网络通过用户拥有什么东西来识别的方法，一般是用智能卡或其它特殊形式的标志，这类标志可以从连接到计算机上的读出器读出来。至于说到“他知道什么”，最普通的就是口令，口令具有共享秘密的属性。这个口令就由服务器和用户共享。更保密的认证可以是几种方法组合而成。

    2、认证的主要方法：为了解决用户身份认证问题，主要有以下几种认证办法。
双重认证。如波斯顿的Beth Isreal Hospital公司和意大利一家居领导地位的电信公司正采用“双重认证”办法来保证用户的身份证明。也就是说他们不是采用一种方法，而是采用有两种形式的证明方法，这些证明方法包括令牌、智能卡和仿生装置，如视网膜或指纹扫描器。

    数字证书。这是一种检验用户身份的电子文件，也是企业现在可以使用的一种工具。这种证书可以授权购买，提供更强的访问控制，并具有很高的安全性和可靠性。随着电信行业坚持放松管制，GTE已经使用数字证书与其竞争对手（包括Sprint公司和AT＆T公司）共享用户信息。智能卡。这种解决办法可以持续较长的时间，并且更加灵活，存储信息更多，并具有可供选择的管理方式。

    四、网络防病毒
    1、网络病毒的威胁：某些被浏览的或是通过FTP下载的文件中可能存在病毒，而共享软件（public shareware）已经成为病毒传播的重要途径。并且Internet上还出现了Java和Active X形式的恶意小程序。受病毒感染的文档或文件就可能通过网关和邮件服务器涌入企业网络。

    2、网络化趋势：这种趋势是向群件应用程序发展的，如Lotus Notes，Microsoft Exchange，Novell Groupwise和Netscape Colabra。由于群件的核心是在网络内共享文档，那么这就为病毒的发展提供了丰富的基础。而群件不仅仅是共享文档的储藏室，它还提供合作功能，能够在相关工作组之间同步传输文档。这就大大提高了病毒传播的机会。因此群件系统的安全保护显得格外重要。

    3、企业范围的病毒防治：首先应该考虑在何处安装病毒防治软件。在企业中，重要的数据往往保存在位于整个网络中心结点的文件服务器上，这也是病毒攻击的首要目标。为保护这些数据，网络管理员必须在网络的多个层次上设置全面保护措施。工作站是病毒进入网络的主要途径，所以应该在工作站上安装防病毒软件。这种做法是比较合理的。因为病毒扫描的任务是由网络上所有工作站共同承担的，这使得每台工作站承担的任务都很轻松。

    邮件服务器是防病毒软件的第二个着眼点。邮件是重要的病毒来源。邮件在发往其目的地前，首先进入邮件服务器并被存放在邮箱内，所以在这里安装防病毒软件是十分有效的。备份服务器是用来保存重要数据的。如果备份服务器也崩溃了，那么整个系统也就彻底瘫痪了。备份服务器中受破坏的文件将不能被重新恢复使用，甚至会反过来感染系统。避免备份服务器被病毒感染是保护网络安全的重要组成部分，因此好的防病毒软件必须能够解决这个冲突，它能与备份系统相配合，提供无病毒的实时备分和恢复。网络中任何存放文件和数据库的地方都可能出问题，因此需要保护好这些地方。文件服务器中存放企业重要的数据。在Internet服务器上安装防病毒软件是头等重要的，上载和下载的文件不带有病毒对企业自身以及企业客户的网络都是非常重要的。

    4、布署和管理防病毒软件：
    （1）制定计划：了解在你所管理的网络上存放的是什么类型的数据和信息。
    （2）调查：选择一种能满足你的要求并且具备尽量多的前面所提到的各种功能的防病毒软件。
    （3）测试：在小范围内安装和测试所选择的防病毒软件，确保其工作正常并且与现有的网络系统和应用软件相兼容。
    （4）维护：管理和更新系统确保其能发挥预计的功能，并且可以利用现有的设备和人员进行管理；下载病毒特征码数据库更新文件，在测试范围内进行升级，彻底理解这种防病毒系统的重要方面。
    （5）系统安装：在测试得到满意结果后，就可以将此种防病毒软件安装在整个网络范围内。

    五、安全电子交易（SET）协议与CA认证
    1、安全电子交易规范（SET）：SET（Secure Electronic Transaction）协议是维萨（VISA）国际组织、万事达（MasterCard）国际组织创建，结合IBM、Microsoft、Netscope、GTE等公司制定的电子商务中安全电子交易的一个国际标准。其主要目的是解决信用卡电子付款的安全保障性问题。 电子商务的工作流程与实际的购物流程非常接近。从顾客通过浏览器进入在线商店开始，一直到所定货物送货上门或所定服务完成，然后帐户上的资金转移，所有这些都是通过Internet完成的。其SET应用的主要技术：加密技术、数字签名、电子认证、电子信封等。根据SET标准设计的软件系统必须经过SET验证才能授权使用，目前已经有多家公司的产品通过了SET验证。

    2、CA认证系统：公共网络系统的安全性则依靠用户、商家的认证，数据的加密及交易请求的合法性验证等多方面措施来保证。电子交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。一般要求建立专门的电子认证中心（CA）以核实用户和商家的真实身份以及交易请求的合法性。认证中心将给用户、商家、银行等进行网络商务活动的个人或集团发电子证书。网上银行的建立，CA的建立是关键，只有建立一个较好的CA体系，才能较好地发展网上银行，才能实现网上支付，电子购物才真正实现。CA的机构如多方并进，各建各的，以后会出现各CA之间的矛盾，客户的多重认证等。应有一家公认的机构如银行或邮电或安全部来建立权威性认证机构（CA）。

    目前，CA支持以下公开密钥算法：RSA/DH/DSA，并可提供上述密钥的证书，计划将增加对椭圆曲线加密算法的支持。此外，为了提高CA密钥的安全性，必须对CA密钥加密后保存，今后CA所有与密钥有关部门的操作将在IC卡中完成。

    综述：企业在实施电子商务的过程中，应根据自身的实际情况，灵活地选择适合自身的安全措施，确保电子交易的安全性，降低其网络安全方面的风险，更好地为企业发展服务！