电子商务几种安全技术的实现原理分析:在电子商务的安全技术中,实现对

　　摘 要电子商务指的是利用简单、快捷、低成本的电子通信方式，买卖双方不见面地进行各种商贸活动。目前电子商务正在全国迅速发展，实现电子商务的关键是要保证商务活动过程中系统的安全性。本文介绍电子商务几种常用的安全技术和认证技术的基本的实现原理。

关键词电子商务；安全技术；原理

一、防火墙技术

防火墙是一个系统或一组系统，它在公司内部网与互联网间执行一定的安全策略。防火墙是设置在被保护网络和外部网络之间的一道关卡，来防止发生不可预见的、潜在的具有破坏威力的侵入。常见的防火墙主要有：包过滤型、代理服务器型。（1）包过滤型防火墙：数据包过滤是基于源地址和目的地址、应用或协议，以及每个IP包的端口信息，由防火墙按照事先设置好的规则对数据包作出通过与否的判断。这类防火墙通常安置在公司内部网络与外部网络相衔接的路由器上。（2）代理服务器型防火墙：代理服务器型防火墙一般是两部分组成，服务器端的程序及客户端的程序。客户端的程序和中间节点相连，然后中间节点和给予服务的服务器进行连接。代理服务器可以控制对应用程序的访问，它能替网络用户完成一定的TCP／IP功能。一个代理服务器实际上是一个应用层的网关，即一个为确定网络应用而进行连通两网络的网关。由于状态监视技术相当于结合了包过滤技术和应用代理技术，因此是最先进的，但是由于实现技术复杂，在一般的计算机硬件系统上很难设计出基于此技术的完善防御措施（市面上大部分软件防火墙使用的其实只是包过滤技术加上一点其他新特性而已）。

二、数据加密技术

1．对称密钥加密技术。对称密钥加密技术就是加密和解密均使用一个同样的密钥，而且通讯双方同时需要得到这把密钥及确保密钥的安全。（1）加密算法。实现对称密钥加密技术的加密算法主要有以下两种：第一，DES算法：DES主要使用移位及替换的方法进行加密。第二，IDEA算法：IDEA是一种国际信息加密算法。它是一个分组大小为64位，密钥为128位，迭代轮数为8轮的迭代型密码体制。这种算法使用长达128位的密钥，能够较好地排除了各种试图全搜索密钥的可能。（2）对称式密钥加密技术的优缺点。对称加密技术拥有加密速度较快、保密性高的优点。它的缺点：一是密钥是保密传输安全的关键，发送者需要把密钥安全、妥善地发送到接收者，不能泄露它的内容。二是多人信息传输时密钥组合的数量会出现膨胀，从而使得密钥分发变得更为复杂。这样极大数量的密钥分发、管理、生成的确是难以解决的问题。三是双方在通讯过程中需要拥有统一的密钥，才能够发送具有保密性的信息。

2．公开密钥加密技术。公开加密技术需要密钥是长双成对地使用，也就是加密过程及解密过程分别使用两个不同的密钥来实现。在给对方发送信息时，要使用对方的公开密钥对信息加密，然后在接收者收到信息后，使用自己保管的秘密密钥对信息解密。所以这种技术也被称为非对称加密技术。（1）加密算法。公开密钥加密算法主要是RSA加密算法。它是一个较为成熟的、至今理论上较为成功的公开密钥密码体制，它的安全是基于数理论中的欧拉定理和计算复杂性理论中的以下结论：求解两个大的素数的积是可能的，但要想分解这两个大素数的积，求积的素因子却是十分艰难的。RSA加密、解密过程由密钥生成、加密过程和解密过程组成。（2）公开密钥加密技术的优缺点。公开密钥加密技术的优点：一是密钥较少方便管理。网络中的任何用户只需要保管自己的秘密密钥，则n个用户仅仅需要产生n对密钥。二是密钥的分配也较为简单。加密密钥分发给用户，解密密钥是由用户自己管理。三是不需机密的通道和复杂协议来传输密钥。四是可实现数字签名和数字加密。公开密钥加密技术的缺点就是加密、解密的速度较慢。

3．加密技术的实际应用。PGP(pretty good privacy)是一个对邮件和传输的文挡进行加密的软件，可以用来对邮件和文挡保密以防止非授权者阅读，让你可以安全地和你从未见过的人们通信。PGP加密采用了RSA以及传统加密算法来实现加密的。加密的关键在于一对密钥，该密钥对包括一个公钥以及一个私钥。公钥和私钥是根据某种数学函数生成的，并且通过一个密钥来推测另外一个密钥几乎是不可能的。其中，明文可以用公钥加密，然后用私钥解密得到原文，明文也可以用私钥加密，然后用公钥解密得到原文。由于私钥为自己保留，不给别人知道，因此私钥除了加密功能之外，还具有数字签名的作用。其机制在于：私钥只有自己才有，别人没有你的私钥，你用私钥可以对文件进行签名，而别人由于没有你的私钥，无法进行同样的签名，这样就能证明该文件是从你这里发出去的；公钥是提供给要和你进行安全通信的人使用的。

参 考 文 献

[1]兰丽娜，刘辛越．电子商务安全体系研究[J]．学术术究．2007（4）

[2]刘冰涛．电子商务存在问题及其对策研究[J]．企业导报．2010（6）

[3]谢红燕．电子商务的安全问题及对策研究[J]．哈尔滨商业大学学报（自然科学版）．2007（6）

Web架构中的会话管理方法有多种选择，每种方法都有其优点和缺点。以下是几种常见的会话管理方法及其相关的优缺点：

1 基于Cookie的会话管理：

优点：

简单易用：Cookie是Web开发中常见的机制，易于实现和使用。

无服务器状态：会话数据存储在客户端的Cookie中，服务器无需维护会话状态，降低服务器负载。

缺点：

安全性：Cookie容易受到跨站脚本攻击（XSS）和跨站请求伪造攻击（CSRF）等安全威胁。

存储限制：Cookie的大小有限制，无法存储大量数据。

隐私问题：Cookie存储在客户端，可能涉及隐私问题。

2 基于URL参数的会话管理：

优点：

简单直接：会话ID通过URL参数传递，实现简单。

无服务器状态：会话数据存储在客户端，服务器无需维护会话状态。

缺点：

安全性：URL参数可能被篡改、泄露或收集，存在安全风险。

URL可见性：会话ID暴露在URL中，可能被浏览器历史记录、代理服务器等访问到。

3 基于服务器端存储的会话管理：

优点：

安全性：会话数据存储在服务器端，对客户端不可见，降低了安全风险。

灵活性：可以存储大量会话数据。

缺点：

服务器负载：服务器需要维护会话状态，增加了服务器负载。

扩展性：需要考虑会话数据的存储和扩展性。

4 基于数据库的会话管理：

优点：

数据持久化：会话数据存储在数据库中，可以实现数据持久化。

扩展性：数据库可以扩展以适应大规模应用。

缺点：

性能：与其他方法相比，数据库访问可能引入一定的性能开销。

配置和管理：需要额外的配置和管理数据库。

5 基于缓存的会话管理：

优点：

高性能：使用内存缓存可以快速读写会话数据，提高性能。

扩展性：可以使用分布式缓存来支持大规模应用。

缺点：

数据一致性：缓存可能会导致数据一致性问题，需要额外的处理机制。

可靠性：缓存可能会发生故障或数据丢失，需要备份和恢复机制。

服务器租用与服务器托管优缺点

中小企业想做一个企业网站，这时就会遇到很多服务器的需求，这个时候选择好的、合适的服务器无疑是重要前提。当遇到服务器需求的时候，中小企业甚至一些大企业都会遇到两难的选择，因为对于服务器的选择我们通常有两种做法，自己购买或向IDC运营商租用。那么，究竟哪一种做法更好，或者说性价比更高呢下面我们来做个对比，看看这两种服务器需求的解决办法谁好谁坏。

　　服务器租用的优势和不足

　　向IDC运营商租用服务器的好处是便捷和低价，我们知道，大部分服务器买来以后都需要安装系统和软件，再经过调试通过最终放到

IDC

机房的，那因此直接租用

IDC

机房的服务器就相对要更加省事一点。比如说省去了运输环节，如果机房离用户所在地不远那就非常好办，自己开车或者乘车过去都OK，但假如

IDC

机房离用户所在地非常远，运过去通常就非常麻烦了，这时候，租用确实是个相对的好办法，尤其是西南地区和西北地区机房资源非常少，那些地区的用户采用自己拿服务器去托管的方式确实不如直接去租用。

　　但是，租用机房的服务器也有其不足，主要是用户大部分情况下都看不到自己租用的服务器什么样子，一些比较厚道的运营商倒是会如实的告诉客户他们所租用的服务器是什么品牌、什么型号。不过也会有极少数IDC采用自行组装的服务器作为租用业务使用以便降低成本，所以能够提供给用户的就是服务器的简单配置资料，至于采用什么品牌的主板甚至主板芯片是什么，这些都是用户远程管理服务器的时候才能查看到。

　　自己购买服务器托管的优势和不足

　　如果用户自己购买服务器然后放机房托管，遇到的最大障碍恐怕就是价格。但是现在随着服务器成本的降低，大部分专业客户和大客户都已经改为采用自行采购设备然后拿去托管的方式，因为自行采购的优势比较明显。

　　采用自己的方式组装出一台服务器，甚至是一半新配件一半二手配件组装而成的价格其实也不会太高;想要高性能的用户可以拿出足够的资金购买4路甚至是8路的产品，一些注重品牌和稳定的用户也可以直接购买

IBM、HP之流的一线大厂产品。另外，有些用户可能要使用比较特殊的操作系统和软件，又或者是事先需要COPY大量的资料到服务器硬盘上，这些操作远程控制机房的服务器都不是很方便，一般是先调试或者复制好再拿去机房托管。

　　通过对以上两种方式的比较，可以得出结论：对于离机房较远的地方，可以选择租用服务器，省去了舟车劳顿。如果离机房不很远的话，则最好是自行购买服务器再放机房托管，即使价格会比租用来得贵。

　　如果是自己做OA系统，或者企业内部数据等。可以考虑自己买服务器。

　　如果自己不知道买哪种服务器，可以先行和八度IDC数据中心取得联系，然后看看用哪种服务器比较合适，然后再自行购买。

　　无论是托管，还是租用，最好是先了解一下该公司的底细，比如是自己独立运营的机房，还是二道贩子(代理，或者层层转包的公司)，这个要比买服务器要重要。选择一个好的IDC运营商比选一个好的服务器更加重要。

分类: 社会民生

问题描述:

服务的优缺点可以说具体点就更好了。。。。谢谢！！

解析:

WWW的核心——HTTP协议

众所周知，Inter的基本协议是TCP/IP协议，目前广泛采用的FTP、Archie Gopher等是建立在TCP/IP协议之上的应用层协议，不同的协议对应着不同的应用。<BR> WWW服务器使用的主要协议是HTTP协议，即超文体传输协议。由于HTTP协议支持的服务不限于WWW，还可以是其它服务，因而HTTP协议允许用户在统一的界面下，采用不同的协议访问不同的服务，如FTP、Archie、SMTP、NNTP等。另外，HTTP协议还可用于名字服务器和分布式对象管理。

21 HTTP协议简介

HTTP是一个属于应用层的面向对象的协议，由于其简捷、快速的方式，适用于分布式超媒体信息系统。它于1990年提出，经过几年的使用与发展，得到不断地完善和扩展。目前在WWW中使用的是HTTP/10的第六版，HTTP/11的规范化工作正在进行之中，而且HTTP-NG(Next Generation of HTTP)的建议已经提出。

HTTP协议的主要特点可概括如下：

1支持客户/服务器模式。

2简单快速：客户向服务器请求服务时，只需传送请求方法和路径。请求方法常用的有GET、HEAD、POST。每种方法规定了客户与服务器联系的类型不同。

由于HTTP协议简单，使得HTTP服务器的程序规模小，因而通信速度很快。

3灵活：HTTP允许传输任意类型的数据对象。正在传输的类型由Content-Type加以标记。

4无连接：无连接的含义是限制每次连接只处理一个请求。服务器处理完客户的请求，并收到客户的应答后，即断开连接。采用这种方式可以节省传输时间。

5无状态：HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力。缺少状态意味着如果后续处理需要前面的信息，则它必须重传，这样可能导致每次连接传送的数据量增大。另一方面，在服务器不需要先前信息时它的应答就较快。

22 HTTP协议的几个重要概念

1连接(Connection)：一个传输层的实际环流，它是建立在两个相互通讯的应用程序之间。

2消息(Message)：HTTP通讯的基本单位，包括一个结构化的八元组序列并通过连接传输。

3请求(Request)：一个从客户端到服务器的请求信息包括应用于资源的方法、资源的标识符和协议的版本号

4响应(Response)：一个从服务器返回的信息包括HTTP协议的版本号、请求的状态(例如“成功”或“没找到”)和文档的MIME类型。

5资源(Resource)：由URI标识的网络数据对象或服务。

6实体(Entity)：数据资源或来自服务资源的回映的一种特殊表示方法，它可能被包围在一个请求或响应信息中。一个实体包括实体头信息和实体的本身内容。

7客户机(Client)：一个为发送请求目的而建立连接的应用程序。

8用户代理(User agent)：初始化一个请求的客户机。它们是浏览器、编辑器或其它用户工具。

9服务器(Server)：一个接受连接并对请求返回信息的应用程序。

10源服务器(Origin server)：是一个给定资源可以在其上驻留或被创建的服务器。

11代理(Proxy)：一个中间程序，它可以充当一个服务器，也可以充当一个客户机，为其它客户机建立请求。请求是通过可能的翻译在内部或经过传递到其它的服务器中。一个代理在发送请求信息之前，必须解释并且如果可能重写它。

代理经常作为通过防火墙的客户机端的门户，代理还可以作为一个帮助应用来通过协议处理没有被用户代理完成的请求。

12网关(Gateway)：一个作为其它服务器中间媒介的服务器。与代理不同的是，网关接受请求就好象对被请求的资源来说它就是源服务器；发出请求的客户机并没有意识到它在同网关打交道。

网关经常作为通过防火墙的服务器端的门户，网关还可以作为一个协议翻译器以便存取那些存储在非HTTP系统中的资源。

13通道(Tunnel)：是作为两个连接中继的中介程序。一旦激活，通道便被认为不属于HTTP通讯，尽管通道可能是被一个HTTP请求初始化的。当被中继的连接两端关闭时，通道便消失。当一个门户(Portal)必须存在或中介(Intermediary)不能解释中继的通讯时通道被经常使用。

14缓存(Cache)：反应信息的局域存储。

23 HTTP协议的运作方式

HTTP协议是基于请求／响应范式的。一个客户机与服务器建立连接后，发送一个请求给服务器，请求方式的格式为，统一资源标识符、协议版本号，后边是MIME信息包括请求修饰符、客户机信息和可能的内容。服务器接到请求后，给予相应的响应信息，其格式为一个状态行包括信息的协议版本号、一个成功或错误的代码，后边是MIME信息包括服务器信息、实体信息和可能的内容。

许多HTTP通讯是由一个用户代理初始化的并且包括一个申请在源服务器上资源的请求。最简单的情况可能是在用户代理(UA)和源服务器(O)之间通过一个单独的连接来完成(见图2-1)。

图2-1

当一个或多个中介出现在请求／响应链中时，情况就变得复杂一些。中介由三种：代理(Proxy)、网关(Gateway)和通道(Tunnel)。一个代理根据URI的绝对格式来接受请求，重写全部或部分消息，通过URI的标识把已格式化过的请求发送到服务器。网关是一个接收代理，作为一些其它服务器的上层，并且如果必须的话，可以把请求翻译给下层的服务器协议。一个通道作为不改变消息的两个连接之间的中继点。当通讯需要通过一个中介(例如：防火墙等)或者是中介不能识别消息的内容时，通道经常被使用。 图2-2

上面的图2-2表明了在用户代理(UA)和源服务器(O)之间有三个中介(A,B和C)。一个通过整个链的请求或响应消息必须经过四个连接段。这个区别是重要的，因为一些HTTP通讯选择可能应用于最近的连接、没有通道的邻居，应用于链的终点或应用于沿链的所有连接。尽管图2-2是线性的，每个参与者都可能从事多重的、并发的通讯。例如，B可能从许多客户机接收请求而不通过A，并且／或者不通过C把请求送到A，在同时它还可能处理A的请求。

任何针对不作为通道的汇聚可能为处理请求启用一个内部缓存。缓存的效果是请求／响应链被缩短，条件是沿链的参与者之一具有一个缓存的响应作用于那个请求。下图说明结果链，其条件是针对一个未被UA或A加缓存的请求，B有一个经过C来自O的一个前期响应的缓存拷贝。

图2-3

在Inter上，HTTP通讯通常发生在TCP/IP连接之上。缺省端口是TCP 80，但其它的端口也是可用的。但这并不预示着HTTP协议在Inter或其它网络的其它协议之上才能完成。HTTP只预示着一个可靠的传输。

以上简要介绍了HTTP协议的宏观运作方式，下面介绍一下HTTP协议的内部操作过程。

首先，简单介绍基于HTTP协议的客户/服务器模式的信息交换过程，如图2-4所示，它分四个过程，建立连接、发送请求信息、发送响应信息、关闭连接。

图2-4

在WWW中，“客户”与“服务器”是一个相对的概念，只存在于一个特定的连接期间，即在某个连接中的客户在另一个连接中可能作为服务器。WWW服务器运行时，一直在TCP80端口(WWW的缺省端口)监听，等待连接的出现。

下面，讨论HTTP协议下客户/服务器模式中信息交换的实现。 1建立连接 连接的建立是通过申请套接字(Socket)实现的。客户打开一个套接字并把它约束在一个端口上，如果成功，就相当于建立了一个虚拟文件。以后就可以在该虚拟文件上写数据并通过网络向外传送。

2发送请求

打开一个连接后，客户机把请求消息送到服务器的停留端口上，完成提出请求动作。

HTTP/10 请求消息的格式为：

请求消息=请求行(通用信息|请求头|实体头) CRLF[实体内容]

请求 行=方法 请求URL HTTP版本号 CRLF

方 法=GET|HEAD|POST|扩展方法

U R L=协议名称+宿主名+目录与文件名

请求行中的方法描述指定资源中应该执行的动作，常用的方法有GET、HEAD和POST。不同的请求对象对应GET的结果是不同的，对应关系如下：

对象 GET的结果

文件 文件的内容

程序 该程序的执行结果

数据库查询 查询结果

HEAD——要求服务器查找某对象的元信息，而不是对象本身。

POST——从客户机向服务器传送数据，在要求服务器和CGI做进一步处理时会用到POST方法。POST主要用于发送HTML文本中FORM的内容，让CGI程序处理。

一个请求的例子为：

GET neorkingzjuedu/zju/index HTTP/10

头信息又称为元信息，即信息的信息，利用元信息可以实现有条件的请求或应答 。

请求头——告诉服务器怎样解释本次请求，主要包括用户可以接受的数据类型、压缩方法和语言等。

实体头——实体信息类型、长度、压缩方法、最后一次修改时间、数据有效期等。

实体——请求或应答对象本身。

3发送响应

服务器在处理完客户的请求之后，要向客户机发送响应消息。

HTTP/10的响应消息格式如下：

响应消息=状态行(通用信息头|响应头|实体头) CRLF 〔实体内容〕

状 态 行=HTTP版本号 状态码 原因叙述

状态码表示响应类型

1×× 保留

2×× 表示请求成功地接收

3×× 为完成请求客户需进一步细化请求

4×× 客户错误

5×× 服务器错误

响应头的信息包括：服务程序名，通知客户请求的URL需要认证，请求的资源何时能使用。

4关闭连接

客户和服务器双方都可以通过关闭套接字来结束TCP/IP对话