信息安全议论文篇1
（一）tCp/ip协议族分层
每一层有着具体的功能。链路层有时也被称为网络接口层，主要包括操作系统中相关的设备驱动程序与计算机硬件中相对应的网络接口卡，共同对与电缆（或其他任何传输媒介）的物理接口细节进行处理。网络层主要是对分组在网络中的活动进行处理，在tCp/ip协议族中主要包括了ip协议、iCmp协议以及iGmp协议。传输层的主要功能是为两台主机上的应用程序提供端到端的通信。在tCp/ip协议族中主要有两种互不相同的传输协议：tCp协议与UDp协议。在应用层主要是对应用程序的的细节进行处理。
（二）tCp/ip协议主要工作流程
tCp/ip协议主要工作流程如下（以文件传输为例）：
（1）源主机应用层将相关数据流传送给传输层。
（2）传输层将数据流进行分组，并加上tCp包头传送给网络层。
（3）在网络层加上包括源、目的主机ip地址的ip报头，生成ip数据包，并将生成的ip数据包传送至链路层。
（4）在链路层将maC帧的数据部分装入ip数据包，然后将源、目的主机的maC地址和帧头加上，并根据目的主机的maC地址，将完整的maC帧发往目的主机或者ip路由器。
（5）maC帧到达目的主机后，在链路层将maC帧的帧头去掉，并将去掉maC帧头的ip数据包传送至网络层。
（6）网络层对ip报头进行检查，如果校验与计算结果不同，则将该ip数据包丢弃，如果结果一致就去掉ip报头，将tCp段传送至传输层。
（7）传输层对顺序号进行检查，判断是否是正确的tCp分组，然后再对tCp报头数据进行检查。如果正确就源主机发出确认信息，如果不正确或者是出现丢包，就想源主机发出重发要求。
（8）在目的主机的传输层将tCp报头去掉后根据顺序对分组进行组装，然后将组装好的数据流传送给应用程序。这样目的主机接收到的来自于源主机的数据量，就像直接接收来自源主机的数据一样。
二、tCp/ip协议的安全性
tCp/ip协议在设计之初没有对安全问题考虑很多，但是在安全性方面仍然有着其自身的优势。
（一）tCp/ip协议的安全性
首先，tCp协议是面向连接的协议，指的是在进行通信前，通信双方需要建立起连接才能够进行通信，在通信结束后终止连接。当目的主机接收到由源主机发来的ip数据包后，会通过tCp协议向源主机发送确认消息。同时在tCp协议中有一个重传记时器（Rto），源主机从ip包发送时开始计时，如果在超时前接收到了确认信号，计时器归零；如果计时超时，则表示ip包已丢失，源主机重传。利用这个计时器能够保证数据传输的完整性，而且tCp协议能够根据不同的情况来规定计时时长。tCp协议为应用层提供了面向连接的服务，从而保证了网络上所传送的数据包被完整、正确、可靠地接收。
其次，利用ip协议进行信息传送，就像信息的明信片传送，对于运营商设备、协议乃至网络拓扑对用户均属开放可见。这也就是说，安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。但是这种透明性也是容易被利用的一种安全漏洞。
（二）tCp/ip协议存在的安全问题
tCp/ip协议所存在的安全性问题主要体现在以下的几方面。tCp/ip协议是建立在可信环境之下的，在考虑网络互联时缺乏对安全方面的考虑。tCp/ip协议是建立在三次握手的基础上的，三次握手本就存在一定的不安全因素。tCp/ip这种基于地址的协议本身就会泄露口令，并会经常运行一些无关程序。同时互联网技术对底层网络的硬件细节进行了屏蔽，使得不同种类的网络能够进行互相通信。这就给“黑客”攻击网络提供了更多的机会。因为很多程序都需要利用tCp协议来来作为传输层协议，因此tCp协议的安全性问题会为网络带来严重的后果。同时tCp/ip协议是完全公开的，这就使得攻击者利用远程访问就能够的手，同时所连接的主机基于互相信任的原则也容易处于各种威胁之下。
三、利用tCp/ip协议保护信息安全
虽然tCp/ip协议存在着较为严重的安全隐患，但是能够利用协议本身来实现信息隐藏，从而达到保护信息安全的目的。对tCp/ip协议头数据格式进行分析，能够发现在这两个头结构中存在多个没有用于正常的数据传送或者是数据包的发送的区域，或者是有一些可选项。利用这些区域可以对数据进行保存和传送从而达到保护信息安全的目的。当源主机与目的主机建立起tCp连接后，源主机就可以对要发送的数据进行编码转换，根据一定的算法将需要隐藏的数据为撞到ip标识域内。而在目的主机在接收到数据包后，首相将ip数据包的包体去掉只留下ip包头，通过对ip数据的头结构进行解析，将所隐藏的数据分离出来，然后利用编码算法对数据进行还原。利用时间戳实现信息隐藏。时间戮是一个单调递增的值，从tCp/ip协议中可知，当一个数据分组穿过互联网时，时间戳选修会使得各个系统将它但钱的时间标记在数据分组的相关选项中。tCp/ip协议中有tCp协议时间戳与ip协议时间戳两种。利用时间戳实现信息隐藏指的就是利用处理tCp包或者是ip包时所产生的轻微的延时来对tCp时间戳选项或者ip时间戳选项的低位段进行修改，当对协议的时间戳选项进行相应的修改后，根据tCp/ip协议的特点，会在网络中形成一个专门的信道来对隐藏信息进行传送。同时，现在的网络监控和检测技术很难对tCp/ip协议时间戳的值的改变进行监控与检测，同时也很难对时间戳的值的改变原因进行准确的判断，这就为信息的隐藏提供了良好的平台。
信息安全议论文篇2
当前网络信息数据呈指数倍增长，各种信息数据不间断地进行多向传输，在信息传输、储存、处理和使用的的
>>论构建网络信息的安全防护体系构建企业网络信息安全体系保证信息与网络安全的网络伦理规范体系的构建网络金融会计信息系统安全体系的构建质检系统网络与信息安全保障体系构建设想构建整体一致的企业信息网络安全体系论网络金融会计信息系统安全体系的构建民航空管网络与信息安全管理体系的构建研究电力施工企业信息与网络安全体系构建探讨网络信息安全管控体系模型的构建与实现论烟草行业网络信息安全保障体系构建浅议城域林业信息网络安全体系构建构建网络安全诚信体系构建网络安全标准体系网络个人信息安全与保护刍议网络信息安全的保护技术关于加强网络信息安全保护构建立体信息安全体系如何构建信息安全保障体系档案信息安全保障体系构建常见问题解答当前所在位置：l
[2]王泽，刘彤.浅谈网络信息安全[C].第二十六届中国（天津）2012it、网络、信息技术、电子、仪器仪表创新学术会议，201291.
[3]马民虎，贺晓娜，网络信息安全应急机制的理论基础及法律保障[J].情报杂志，2005，（8）.
[4]何悦，郑文娟.我国网络信息安全立法研究[J].科技与法律，2011，（12）.
[5]徐隽.社会各界热议网络信息保护决定：不损害网民言论自由不影响网络反腐效果[eB/oL].[20130130].人民网-人民日报.http：///newmedia/2013-01/03/c_132077405.htm.
[6]张玉胜.新华网评：网络立法打造信息安全之“盾”[eB/oL].[20130130]新华网.http：///zgjx/2013-01/04/c_132079184.htm.
信息安全议论文篇3
作者简介：张朝枝(1973― )，男，中山大学旅游学院副教授，博士。施帆(1983― )，女，上海市红十字会工作人员。
摘要会议注册登记表是会议组织者收集信息的重要方式。本研究通过整理112份“上海论坛・2005”国内会议与会者的注册登记表，分析注册登记表的信息收集有效性，总结注册登记表的设计缺陷，提出了改善注册登记表的设计方案及其回收方式等方面的建议，为大型会议组织中的注册登记表设计与回收提供参考。
关键词会议注册登记表设计；信息收集；有效性
中图分类号G20文献标识码a 文章编号 1006―575(2006)―05―0054―08
会议注册可能是与会者与会议工作人员之间的第一次交流。注册方式可以为会议定下基调(LeonardnadlerandZeaeenadler，2003)。会议注册工作做得好，不仅能创建一个与会人员数据库，而且可以理顺目标市场，并在与会人员中建立良好的信誉(JeannaabbottandagnesDeFranco，王向宁，2004)。会议注册登记表(也常称为参会回执、会议注册回执)设计是会议注册工作的第一步，在会议组织中有着不可忽视的作用。
在实际工作中，由于会议注册登记表的设计不尽合理，从登记表中收集到的信息有效性不强，往往使会议组织工作效率大大降低。2005年5月16日―17日在复旦大学举行了以“经济全球化与亚洲的选择”为主题的大型国际会议“上海论坛・2005”，本文拟通过对这次会议的注册登记表从设计到使用的全程情况分析来探讨大型会议注册登记表(下文中或称“注册表”)的设计与信息收集有效性的问题。
一、会议注册登记表中的信息需求与供给
1．会议筹备过程中的信息需求
大型会议组织过程繁琐而复杂，几乎所有筹备工作都必须依据与会代表的个人信息来进行，而这些个人信息只能通过注册登记表来获得。以“上海论坛・2005”为例，会议的学术委员会需要了解与会代表的姓名、机构、职务、发言题目等信息，以便准确地安排会议的主持人、发言人及发言顺序等；公关部需要了解与会代表较为详尽的个人信息，以便从中挖掘新闻亮点，从而扩大论坛的知名度和社会效应；而秘书处则需了解与会代表的个人信息及行程安排等信息，以便做好接待工作；财务部则需要根据参会人员的情况来制定费用预算、及时核实财务情况(见表1)。会议注册登记表在会议组织的信息流中作用与地位可想而知。
2．从会议注册登记表中可获得的信息
根据会议组织的信息需求，从会议注册登记表中可获得的信息大致可以分为3大类。①被邀者是否出席会议①。这是会议注册登记表中最重要的信息，是整个注册表的核心，会议筹备的大部分工作都要根据参会人数的规模进行。②与会者的个人基本信息，如姓名、单位、职务、联系方式等。这些信息的利用率非常高，它的使用贯穿整个会议组织过程。③与会者的参会相关信息，如抵达日期、是否发言、是否需安排住宿等等。参会相关信息和个人基本信息相比最大的不同在于其时效性和针对性。这些信息只适用于该会议，时效性短，而针对性强，也是会议筹备必需的信息。
此外，从回收的注册表中还可以判断出一些没有直接填写在表中的“潜在信息”，包括：①拟参会者是否收到注册登记表的随同文件；②拟参会者接收与发送信息的渠道(电子邮件、传真、还是第二联系人等)，据此可以在后续联系中选择合适的信息传递方式，提高信息传递效率。
二、会议注册登记表的设计与信息收集有效性
1．“上海论坛・2005”注册登记表的设计与回收
注册表的项目可以依据需要设计得比较复杂，也可以设计得象明信片那么简单(JeannaabbottandagnesDeFranco，王向宁，2004)。“上海论坛・2005”是一个以“经济全球化与亚洲的选择”为主题的大型国际学术会议，会议还分为it、能源、金融三大分主题，以三大板块分别进行，参会人员不仅包括学者，还包括商界、政界知名人士。如此规格、规模的会议筹备工作极为复杂，根据会议筹备的需要，组委会在会议注册登记表中设计了20个问题，以期获得参会者的个人资料以及与会议相关的各方面信息(见表2)。
“上海论坛・2005”组委会共向国内代表发出邀请函313份，收到注册表回执116份，其中明确表示参会的112份，明确表示不能参会的4份，会议注册登记表的总回收率为37．06％。
2．“上海论坛・2005”注册登记表信息收集有效性分析
根据在会议组织中的实际情况，本研究将“有效信息”界定为“与参会者真实情况相符并能在会议组织中使用的信息”。根据作者在会议组织全过程中对注册登记表中信息的不断核对与操作所掌握的情况，本研究将信息分几个层次进行统计，具体操作步骤是：
第一步，在所有信息中剔除“未填写的信息”，得到“填写的信息”。
第二步，再从“填写的信息”中剔除“填写了的模糊信息”(例如：待定)，得到“明确填写的信息”。
第三步，再去除“与最终事实不符的信息”而得出“与事实相符的信息”。
第四步，“与事实相符的信息”中还有一部分信息由于某些原因需要通过其它途径再次确认，剔除这部分信息后筛选出来的信息才是真正有效的信息(见表3)。
根据上述分类方法，无效信息可以分为以下4类：
第一类，未填写的信息，即该栏空白。
第二类，模糊信息。指填写了让工作人员无法清楚判定的信息，如填写“／”和“待定”等表述不清的信息、在单选项中进行多选等。
第三类，与事实不符的信息。所填写的信息与事实不符，通常是在会议组织者使用这些信息时才发现，例如电话号码或邮件地址填写错误，或航班信息与实际情况不符等。
第四类，需要再次确认的信息。部分注册登记表中的信息由于某些原因让工作人员觉得可信度不高，出于慎重考虑工作人员不得不重新确认。
在所有信息中剔除无效信息后得到的就是有效信息，所有112份注册登记表所收集到的信息情况如表3。
为更直观地说明有效信息的情况，本文采用“有效信息率”(effectiveinformationrate，eiR)来进行描述，eiR=有效信息数目／所有信息数目。但由于这种统计方式忽略了注册登记表中信息与信息之间的关联性(如：通过其单位名称可判断其工作性质，通过其住址信息可判断其是否须乘飞机抵沪等等)和信息的重要程度差异(如“建议”一栏显然没有“机构”一栏重要，若没有填写“建议”一栏，对整张注册表的回收效率并没有太大的影响)，因此这种“有效信息率”仅是一种数字上的比较，用来描述注册登记表的项目填写情况。
根据以上分类与计算方法，可以得出“上海论坛・2005”所收回的注册登记表中的有效信息率(eiR)为62．14％(见表4)。将不同信息进行分类组合分析，发现注册登记表中：①个人资料的有效信息率高于会议相关信息的有效信息率；②选择项的有效信息率高于填空项目的有效信息率；③注册登记表中前10项的有效信息率高于后10项的有效信息率；④商界代表所填写的有效信息率高于学界代表所填写的有效信息率，后者又高于政界代表所填写的有效信息率。
3．无效信息的形成原因
将112份注册表中所有信息项目分别按“未填写信息”、“填写了模糊信息”、“填写了与事实不符的信息”、“需要再次确认的信息”等分类整理(见表5，仅列出排序靠前部分)，这样就可以清楚地看到“未填写的信息”主要是什么，“填写了模糊信息”又主要是什么，等等，可以据此分析无效信息形成的原因。
(1)关于“未填写的信息”。未填写信息是无效信息的主要组成部分，将其分类整理后可以看出(见表6)，未填写信息的原因大致可分为三种：其一，受邀者觉得该问题并非会议所必须的信息，怕耽搁时间而不愿填写，如“个人网页”、“建议”这两个问题；其二，在填写注册表时不能确定的内容，如“是否需要安排住宿”、“拟发言题目”等；其三，被认为不必填写的内容，比如一些受邀者如没有随行人员参加会议，则会不填写“是否为随行人员安排住宿”及“是否须为随行人员代订机票”这两栏；其四，受邀者不愿透露的内容，比如“手机”信息。
(2)关于“填写了模糊信息”。“模糊信息”大多是源于参会代表填写注册表时难以确定，比如“发言主题”，或者由于某些原因不愿填写清楚，如“职位或职称”。
(3)关于“与事实不符的信息”。分析表明，“与事实不符的信息”基本都是由于代表在提交注册登记表后变更个人参会情况引起的，在会议开始前的一个月里这种现象特别突出，这使信息收集成本大幅度提高，重复劳动大幅增长(见表7)。
(4)关于“需要再次确认的信息”。此类信息主要集中在住宿安排和订票服务，其中又以住宿信息为主。
三、对会议注册登记表设计的启示
根据对“上海论坛・2005”会议注册登记表信息收集有效性的分析，可以得到如下启示：
首先，在会议注册登记表设计中，组织者必须对整个会议组织过程中的信息需求有一个全方面、全过程的考虑，会议注册登记表中的项目应尽量满足所有组织工作的信息需要，但表中信息项目也不宜过多，可通过在注册表中的信息项目之间建立关联性来解决一些其它信息需要。
其次，在注册登记表中以显要位置强调完整填写所有信息的重要性，并承诺个人资料的保密性，鼓励拟参会者填写完整信息。
第三，尽量要求参会代表用电子邮件形式回复会议注册登记表，以避免由于email地址填写错误造成的时间延误。让与会代表都以email的形式提交注册表，并向其确认日后将主要通过该邮箱与其联系，这样可以提高注册表中“email地址”这一重要信息的收集效率，并提高沟通效率。当然，对于没有email邮箱的少数代表则要另行处理。
第四，直接、明确地在注册登记表中注明“未在规定日期前提交注册表视为不参会”字样。在实际工作中，对那些不提交注册表的被邀者，组织者可能需要通过电话确认或是将这些不确定因素保持到开会当天，这又给会务安排造成了很大的不确定性。因此，强调“过期不候”，可使注册表更有效。
第五，提前一个月与参会代表确认相关信息。前文分析表明，多数参会代表很难在参会前几个月准确填写会议注册登记表中的相关信息，因此有必要在会前一月左右主动地与参会代表确认那些变动可能性大、且对会务安排影响较大的信息，而不是被动地接受代表们临近会议才告知的改变。
第六，更改注册登记表回收形式。大量的未填写信息给会议筹备工作带来了极大不便，建议改为在网上直接填写注册登记表，并将网页设置为信息填写不完整时拒绝提交。这样可以大幅度提高注册登记表的信息收集效率。但网络普及率和网络安全维护的成本等其它因素也必须一起考虑，有必要根据会议对象进行选择。
信息安全议论文篇4
【关键词】网络安全协议; 计算机通信技术; 安全协议分析; 安全协议设计
在最近几十年，信息技术的发展十分迅速，随着技术的进步，人们对于信息的传输和处理早已经不受到时间和空间的约束，信息网络在诸多行业之中被应用，信息网络甚至成为很多领域生存的基础，其中以金融领域和军事领域尤为明显，而且在如今的很多领域之中，如果没有了信息网络，那么整个领域可能都会有瘫痪之虞。而伴随着信息网络覆盖范围以及信息网络重要性的日益增长，网络安全问题已经成为了一个摆在人们面前的大问题，因为互联网具有很高程度的开放性，而且互联网上的信息都是可以共享的，这使得互联网可以将人们的生活相互连接在一起，帮助人们进行交互，可是这也衍生出了一系列的问题，而安全问题更是首当其冲，在这种情况下，网络安全协议就成为了确保互联网信息安全的一个十分重要的手段，通过网络安全协议来对互联网加以管控，这样才能在确保网络安全的前提下，让互联网可以更好地服务于人们的生活以及各个领域。而想要编写安全系数更高的安全协议，就一定要更加深入的了解网络安全协议，对网络安全协议的逻辑性分析部分进行系统学习和研究，这样可以从很大程度上提高网络安全协议在使用过程之中的安全性。
1网络安全协议综述
“协议”在人们日常工作生活中出现的频率越来越高，因此人们对于协议也有了一定程度上的了解。协议在绝大多数情况下指的是以完成某一个或者某几个目标为目的，且涉及到两个或者两个个体以上的情况下，由两个个体所执行的一种程序。所以从定义上来说，协定一般具备这样几个特征：（1）协议是一个过程，而且这一过程中的某几个目标存在着一定的顺序，这一顺序由协议的制定个体决定，在执行的过程之中依照既定的顺序依次执行，而且这一顺序在执行过程中不得更改；（2）协议最少要拥有两个参与其中的个体，除此之外在协议执行的过程当中，每一个参与个体都有自己要完成的环节，可是有一点要注意，这一环节并不属于协议当中的内容；（3）协议的最终目的是为了达成某一目的，故协议中应当包含对目的的预期。从以上的分析之中我们不难发现，计算机网络的安全协议其实就是在计算机通过网络传输信息数据过程之中，用来确保信息安全的一种程序。在通过信息网络传输数据的过程之中，安全协议最主要的作用就是，使用允许的一切方法来确保信息完整且有效，最常用的是密钥的分配以及对身份的认证。信息网络安全协议与上个世纪七十年代被首次使用，这一协议在当时为信息安全提供了很大程度上的安全保障，可是伴随着信息技术水平的飞速发展，安全协议同样需要与时俱进，这样才能更加适应日益多元化的信息交互方式。和从前相比，如今的科技水平已经突飞猛进，安全协议也随着科技的发展不断的完善，而其效果和从前相比也更加全面，目前最常用的网络安全协议一般情况下是SSL协议和Set协议这两种。这两种网络协议都是通过对信息进行加密来确保信息安全。
2密码协议的分类
从安全协议出现至今，还没有确定的安全协议分类规则，所以也就没有人对安全协议进行进一步的分类，可是想要将密码类型的协议严格地按照一定的规定，来进行分类几乎是做不到的，我们只能从不同的角度来对安全协议进行一个大致上的分类即：（1）认证建立协议；（2）密钥建立协议；（3）认证密钥建立协议。
3协议的安全性及其作用意义
3.1网络安全协议的安全性及其攻击检验
信息技术在最近几年的发展可以称得上是日新月异，而更多更完善地安全协议也被人们设计出来并得到了广泛应用，可是在绝大多数情况下，安全协议在应用之初由于测试机制的不完善，会存在着大量的设计安全漏洞。可以导致网络安全协议无效的因素有很多，而最为常见的是因为安全协议的编写者对信息网络没有十分深入的了解，更加没有进行系统的学习，而对安全协议本身的研究也并不够深入，这样其设计出的安全协议在使用过程之中，暴露出大量问题也就不难理解了，和设计用密码进行加密的加密程序相同，通过寻找协议的漏洞来寻找协议不安全的部分，相比于完善整个协议来说要简单得多。绝大多数情况下，在一个新的安全协议被设计出来之后要对其进行安全性分析，而在分析过程中采用的主要手段就是对其进行模拟攻击，而这样的测试主要是针对以下三个方面：（1）对协议中用于信息加密的算法进行攻击；（2）对算法以及协议本身的加密手段进行攻击；（3）对协议本身进行攻击。由于篇幅所限，下文中主要讨论的是对协议本身进行攻击测试，即默认前两者皆安全。
3.2安全协议的设计方法
在网络安全协议设计的过程中，一般情况下会通过设计来加强协议的复杂性以及协议对于交织攻击的抵御能力，在此基础上还要确保协议有一定程度的简单性以及经济性。前者是为了确保协议自身尽可能的安全，而后者是为了使协议可以在更大的范围内加以使用。必须要有先设定某一方面的临界条件，才可以让设计出来的协议满足以上四个要求，而这也就是网络安全协议的设计规则。（1）具备抵御常规攻击的能力。不论哪一种网络安全协议，最重要也是最根本的一个功能就是可以有效防御来自于网络的攻击，换而言之也就是，要求网络协议对于明文攻击以及混合式攻击有防御的能力，也就是要求安全协议可以保护所传输的信息，而不让攻击者从中取得密钥，除此之外对于已经超出使用期限的信息的筛选也应当归属在其中，也就是说同样不能让攻击者从过期信息中找出漏洞从而获取密钥。（2）应当可以应用在任何网络结构的任何协议层。因为网络结构组成的不同，其协议层能够接受的信息长度也不尽相同，如果想要安全协议应用在更为广泛的环境之中，那么就要网络协议的密钥消息长度可以满足最短一种密钥层的需求，只有这样才能尽可能地提高网络协议的使用范围。
4结语
总而言之，在网络信息技术日新月异的现在，网络安全协议已经在计算机通信网络之中被广泛的使用。计算机通信网安全协议使用范围的逐渐扩大，不单单提高了计算机网络在传输数据过程之中的安全程度，更进一步为计算机处理信息数据提供了更大的助力。
作者:景泉单位:辽宁石化职业技术学院计算机系
参考文献：
信息安全议论文篇5
1月18日，王金山省长在省十届人大一次会议政府工作报告中提出：建设“数字安徽”，要以电子政务、电子商务、农村信息网建设、重点产业信息化改造为突破口，搭建公用信息交换平台，大力发展电子信息产品制造业，广泛应用数字化技术，加速推进国民经济和社会信息化，初步建成与国民经济和社会发展相适应的信息化基础设施和服务体系。
4月20日，省信息产业厅、省信息化领导小组办公室根据王金山省长的重要批示和省政府的部署，组织成立数字安徽建设规划编制工作办公室，在省信息化领导小组的统一部署下开展工作。
4月21日，第二届中国安徽国际技术博览会暨第六届安徽省计算机文化周活动在安徽国际会展中心隆重开幕。
9月5日，安徽省电子商务协会成立大会暨第一届会员代表大会在合肥召开。安徽省电子商务协会的成立，标志着安徽省电子商务事业步入一个崭新的发展阶段，对电子商务在安徽省的推广应用具有特别重要的意义。
11月5日，第七届中国国际软件博览会在北京中国国际展览中心隆重开幕。安徽省组团参加了博览会，充分展示了安徽省软件产业的技术、人才优势，受到信息产业部和软博会组委会的好评。
11月19日，安徽省政府以皖政[2003]89号文件印发了《“数字安徽”建设五年规划纲要（2003-2007年）》，作为数字安徽建设的纲领性文件。
12月20日，2003安徽省首届物流信息化高峰论坛在合肥举行。
2004
4月5日，王金山省长主持召开安徽省政府专题会议，研究加快数字安徽建设的有关问题，同意成立省政府信息化工作办公室，同意成立省信息安全保障工作协调小组，设立综合性的信息产业发展专项资金，并决定召开全省数字安徽建设工作会议。
4月16日，文海英副省长主持召开省政府专题会议，研究安徽省在进出口领域开展企业基础信息交换试点工作。
4月29日，黄海嵩副省长受王金山省长委托主持召开数字安徽建设工作领导小组第一次会议，研究2004年数字安徽重点建设项目计划安排，讨论通过表彰信息化工作先进单位，并原则通过《“数字安徽”建设管理办法》。
5月9日，安徽省数字安徽建设工作会议隆重召开，王金山省长在会上发表了重要讲话。此次大会的召开对推进数字安徽建设向深度和广度发展具有特别重要的意义。
5月25日，安徽省政府发文正式提出全面实施“861”行动计划，将数字安徽建设列入6大工程之一――信息工程。要求围绕信息技术开发和应用，加快重点工程建设，形成数字安徽的基本框架。
6月9日，安徽省电子政务建设工作会议在合肥召开，常务副省长任海深出席会议并发表重要讲话。
6月18日，2004年安徽省出口商品网上交易会隆重开幕。这是我国中西部地区首家以出口商品为主的网上交易会，是安徽省电子商务应用的又一个成功案例。
7月18日，安徽有线数字电视正式开播，安徽省委副书记张平出席开播仪式并发表了重要讲话。数字电视的顺利开通，标志着数字安徽建设迈出了重要一步，同时也标志着安徽省广播影视事业的发展迈上一个新的台阶。
8月3日，由安徽省劳动和社会保障厅、安徽省信息产业厅、合肥工业大学联合举办的全国首届电子商务大赛安徽赛区竞赛在合肥正式启动。此次大赛对推动安徽省电子商务的发展具有深远的影响。
8月24日，省政府办公厅以皖政办[2004]64号文件印发了《“数字安徽”建设管理办法》。这将进一步加强数字安徽建设的规范和管理，对推动数字安徽建设健康发展，促进安徽省国民经济和社会信息化水平的稳步提高，具有十分重要的意义。
9月4日，安徽移动公司在安徽省最后一个不通电话的乡镇――休宁县白际乡举行基站开通仪式。这标志着安徽省已完成“乡乡通电话”攻坚工程，实现了乡乡通电话。
9月22日，安徽省政府内部门户网站正式开通。这极大地提高了政府部门的办事效率。
9月24日，安徽省政府召开信息安全保障工作协调小组会议。会议研究了安徽省信息安全保障工作的有关问题，同意成立安徽省信息安全保障工作协调小组。协调小组办公室设在安徽省信息产业厅。
10月18日，全国农村党员干部现代远程教育办公室基础设施建设指导组副组长王京和率检查评估组赴安徽金寨县检查评估。检查评估组对安徽省金寨县站点建设工作所取得的成绩给予了充分的肯定。安徽省建立的“建管学用”机制得到了检查评估组的一致好评。
11月18日，2004中国信息化推进大会暨信息化应用案例展览会在北京国际会议中心隆重开幕。安徽展团展示的信息化应用受到国信办、信息产业部和大会组委会的一致好评。
12月17日，由安徽省国资委、信息产业厅、科技厅共同主办的全省企业信息化战略与实效论坛在黄山太平隆重开幕。
12月31日，安徽省信息产业厅机关内部刊物《安徽信息化》期刊创刊两周年。数字安徽网站自2003年7月1日正式开通以来，经过一年半时间的运行，得到了社会公众的认可，已逐步成为安徽省知名的门户网站。
2005
4月18日，经安徽省政府批准，安徽省人民政府信息化工作办公室正式挂牌运行。这标志着安徽省信息化工作进入了一个新的阶段。
8月1日，安徽省电子认证管理中心正式挂牌成立。
8月10日，安徽省政府系统政务信息化工作会议在合肥召开，大
会对2004年度全省优秀政府网站进行了表彰。
9月20日，全国公安信息化应用芜湖现场会在安徽省隆重召开。
11月9日，安徽电信杯数字安徽知识大赛在安徽电视台演播厅落下帷幕。
11月29日，安徽省委副书记王明方率省信息产业厅厅长贺凌、副厅长吴晓明等赴国务院信息化工作办公室等部委汇报国家农业农村信息化试点省申报工作。
12月10日，由安徽省科学技术协会和安徽省信息产业厅共同主办的“2005年‘数字安徽’博士科技论坛”在中国科学技术大学隆重开幕。
12月16日，安徽省企业信息化推进工作会议暨第二届企业信息化论坛胜利召开。
2006
1月7日，马鞍山市信息产业办公室揭牌仪式在市政府六楼会议室举行。这是安徽省继滁州、芜湖之后成立的第三个市级信息产业办公室（局）。
1月11日，国务院办公厅、国务院信息化工作办公室召开第四届（2005）中国政府网站绩效评估结果和经验交流会。安徽省政府网站在省级政府（含直辖市）网站绩效评估排名中取得全国第六位的好成绩。
2月1日，由安徽省政府信息化工作办公室组织编写，中国生产力促进中心协会、安徽人民出版社、社科文献出版社具体承办的《数字安徽》专著正式出版发行。
4月21日，2006第三届中国安徽国际信息技术博览会暨信息化建设五年成果展取得圆满成功。同期举办的“数字安徽与和谐社会”专题高层论坛受到了社会的关注。
6月19日，国务院信息化工作办公室批复同意安徽省舒城县和宁国市作为部级县域经济信息化试点县。
7月19日，受王金山省长委托，黄海嵩副省长主持召开了安徽省信息化领导小组第五次会议。会议审议并原则通过了《安徽省“十一五”国民经济和社会信息化发展规划纲要》，以及《安徽省电子政务建设发展规划》和《全省新农村千村百镇信息化建设方案》。
8月29日至9月1日，安徽省政府信息化工作办公室在黄山市黄山区举办了学习国家信息化发展战略专题研讨班。安徽省17个地市信息化办公室主任和各市信息中心主任参加了专题研讨班。
9月5日，省政府英文网站正式开通。这标志着安徽省电子政务建设迈上了一个新的台阶。
9月18日，国家档案局和国务院信息化工作办公室共同印发了《关于开展档案信息资源开发利用试点工作的通知》，在全国部分省市开展档案信息化试点工作。安徽省档案局承担的“安徽省电子文件中心建设”项目被列为国家政务信息资源管理的试点。
9月21日，由中共安徽省委组织部、省人事厅、省政府信息化工作办公室联合举办的安徽省公务员信息化与电子政务知识技能大赛正式开赛。
10月18日，安徽省参加全国第二届计算机（微机）调试员职业技能大赛，并取得全国第五名的好成绩。
10月28日，安徽省行政村“村村通”工程全面完成。这标志着安徽省农村通信基础设施建设迈上了一个新的台阶。
10月31日，安徽省电子认证证书首发仪式隆重举行。这标志着电子认证证书的应用在安徽省正式启动。
12月12日，安徽省政府在合肥隆重召开全省信息化工作会议。省政府印发了《安徽省“十一五”国民经济和社会信息化发展规划》，省信息化领导小组印发了《安徽省“十一五”电子政务建设发展规划》和《全省新农村千村百镇信息化建设方案》等信息化规划。这些规划的颁布实施，将对安徽省“十一五”信息化的持续健康发展产生深远的影响，具有重要的指导意义。
12月29日，信息产业部批复同意安徽省阜阳、芜湖两市列为首批国家农村信息化综合信息服务试点。
2007
1月11日，国务院办公厅、国务院信息化工作办公室在北京召开第五届(2006)中国政府网站绩效评估结果和经验交流会。安徽省政府网站以总分67.07分的成绩列全国省级政府网站第四位，较2005年上升了2位。合肥市政府网站以总分60.78分名列全国333个地市级政府网站的第17位，较2005年上升9个名次。休宁县、颍上县政府网站分别位列全国402个县级政府网站的第10位和第11位。在安徽省地市级政府网站中，合肥、铜陵、六安、黄山和芜湖等市政府网站分列省内地市级政府网站绩效前5名，合肥、铜陵政府网站进入全国前50名。
3月10日，安徽省千村百镇信息化试点工作全面启动。省政府信息化工作办公室会同省农委等有关部门在全省选择了125个乡镇和1132个行政村开展千村百镇信息化示范点项目建设。当年计划投入650万元，选择61个乡镇和211个行政村，先期开展以“五个一”为主要内容的综合信息服务站（点）试点。
4月2日，按照国家信息化领导小组的统一部署，全省电子政务检查工作全面展开。
4月27日，经中共中央办公厅批准，国家档案局、国务院信息化工作办公室在合肥召开全国电子文件中心建设经验交流会。安徽省档案局在会上作了经验交流。与会代表现场考察了安徽省电子文件中心的建设情况。中心采用的“标准先行、分步实施”策略得到了国家档案局的高度评价。
4月29日，受省长、省信息化领导小组组长王金山的委托，安徽省副省长、省信息化领导小组副组长黄海嵩主持召开了省信息化领导小组第六次会议。会议研究决定在全省开展“数字安徽”五年建设总结表彰工作，并以省政府的名义对作出突出成绩的先进单位进行表彰。
信息安全议论文篇6
论文关键词：电子商务安全协议,电子交易,SSL协议,Set协议
随着互联网日益普及，基于internet的电子商务已经深入到人们生活的方方面面。安全是电子商务的基石，如何保证电子商务交易活动中信息的机密性、真实性、完整性、不可否认性和存取控制等是电子商务发展中迫切需要解决的问题。为了保障电子商务交易安全，人们开发了各种用于加强电子商务安全的协议。这些协议主要有：安全套接层协议SSL、安全电子交易协议Set、超文本传输协议SHttp、3-Dsecure协议和安全电子邮件协议（pem、S/mime）等。这其中应用最为广泛的协议主要有SSL、Set。
安全电子交易协议(Set)和安全套接层协议(SSL)是两种重要的通信协议，每一种都提供了通过internet进行支付的手段。事实上，Set和SSL除了都采用RSa公钥算法以外，二者在其他技术方面没有任何相似之处，而RSa在二者中也被用来实现不同的安全目标。
二、电子商务安全协议
1.安全套接层协议（SSL）
安全套接层协议(SecureSocketLayer，简称SSL)是美国网景公司（netscape）推出的一种安全通信协议，SSL提供了两台计算机之间的安全连接，对整个会话进行了加密，从而保证了安全传输，其主要设计目标是在internet环境下提供端到端的安全连接。它能使客户/服务器应用之间的通信不被攻击者窃听。SSL协议建立在可靠的tCp传输控制协议之上。高层的应用层协议能透明的建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。在此之后应用层协议所传送的数据都会被加密，从而保证通信的私密性。
2.安全电子交易协议(Set)
安全电子交易协议(Secureelectronictransaction，简称Set)是美国Visa和masterCard两大信用卡组织联合于1997年5月31日推出的电子交易行业规范，它提供了消费者、商家和银行之间的认证，确保交易的保密性、可靠性和不可否认性，保证在开放网络环境下使用信用卡进行在线购物的安全，其实质是一种应用在internet上、以信用卡为基础的电子付款系统规范，目的是为了保证网络交易的安全。Set本身并不是一个支付系统，而是一个安全协议集，Set规范保证了用户可以安全地在诸如internet这样的开放网络上应用现有的信用卡支付设施来完成交易。Set较好地解决了信用卡在电子商务交易中的安全问题。Set已获得ietF(theinternetengineer-ingtaskForce，简称ietF)标准的认可。
三、SSL与Set协议比较分析
SSL和Set是当前在电子商务中应用最为广泛的安全协议，两者的差别主要体现在以下几个方面。
1.工作层次
SSL属于传输层的安全技术规范，不具备电子商务的商务性、协调性和集成性功能；而Set协议位于应用层，它规范了整个商务活动的流程，从持卡人到商家，到支付网关，到认证中心以及信用卡结算中心之间的信息流走向和必须采用的加密、认证都制定了严密的标准，从而最大限度地保证了商务性、服务性和集成性。
2.认证机制
早期的SSL协议并没有提供身份认证机制，虽然在SSL3.0中可以通过数字签名和数字证书实现浏览器和weB服务器之间的身份认证，但仍不能实现多方认证，而且SSL中只有商家服务器的认证是必须的，客户端认证则是可选的。Set协议使用数字证书来确认交易涉及的各方（包括商家、持卡人、受卡行和支付网关）的身份，为在线交易提供一个完整的可信赖的环境。Set协议要求所有参与交易活动的各方都必须使用数字证书，较好的解决了客户与银行、客户与商家、商家与银行之间的多方认证问题。
3.加密机制
SSL是基于传输层加密，它为高层提供了特定接口，使得应用方无须了解传输层情况；然而由于传输层属于较高层，常用软件实现，这在很大程度上削弱了加密处理能力，同时，地址信息由低层控制，这种加密无法免于被攻击者流量分析。Set的加图2Set协议的工作原理密过程则不同于SSL，Set中广泛使用了数字信封等技术，并采用严密的系统约束来保证数据传输的安全性。
4.完整方面
Set协议将发送的所有报文加密后，将为之产生一个唯一的消息摘要，一旦有人企图篡改报文中包含的数据，该摘要就会改变，从而被检测到，这就保证了信息的完整性。SSL协议是使用秘密共享和哈希函数进行maC计算来提供信息的完整性服务的，它可以确保SSL对话的通信内容在传递途中毫无改变地送达目的地。
5.安全程度
在网上交易，安全是关键问题。从网络信息传输安全角度看，只有确保信息在网上传输时的机密性、可鉴别性及信息完整性才真正安全。Set协议是专为电子商务系统设计的，它位于应用层，采用公钥机制、信息摘要和认证体系，其中认证中心（Ca）就是该体系的重要执行者，认证体系十分完善，能实现多方认证。而SSL中也采用了采用公钥机制、信息摘要和maC检测，可以提供信息保密性、完整性和一定程序的身份鉴别功能，但SSL不能提供完备的防抵赖功能。特别是SSL协议不能实现多方认证，从网上安全结算这一角度来看，显然Set比SSL针对性更强，更受客户青睐。
6.运行效率
Set协议非常复杂、庞大、运行速度慢。一个典型的Set交易过程需验证电子证书9次、验证数字签名6次、传递证书7次、进行5次签名、4次对称加密和4次非对称加密，整个交易过程非常耗时；而SSL协议则简单很多，运行效率也比Set协议高。
7.部署成本
SSL协议已被大部分的浏览器和weB服务器内置，无须安装专门软件；而Set协议中客户端要安装专门的电子钱包软件，在商家服务器和银行网络上也需安装相应的软件，部署成本高。
四、结束语
相对于SSL协议而言，Set协议更为安全，更适合于消费者、商家和银行三方进行网上交易的国际安全标准。Set协议是专为电子商务系统设计的，它位于应用层，其认证体系十分完善，能实现多方认证。在Set的实现中，消费者账户信息对商家来说是保密的。网上银行采用Set，确保交易各方身份的合法性和交易的不可否认性，使商家只能得到消费者的订购信息而银行只能获得有关支付信息，确保了交易数据的安全、完整和可靠，从而为人们提供了一个快捷、方便、安全的网上购物环境。因而Set是未来电子商务安全技术的发展方向。
参考文献
[1]何长领.电子商务交易[m].北京:人民邮电出版社,2001.
[2]梁晋,等.电子商务核心技术-安全电子交易协议的理论与设计[m].西安:西安电子科技大学出版社,2000.
[3]李琪.电子商务安全.重庆大学出版社，2004.
[4]李洪心.电子商务安全.东北财经大学出版社,2008,9.
[5]张爱菊.电子商务安全技术.清华大学出版社,2006,12.
信息安全议论文篇7
【关键词】食品安全；信息制度；立法完善
文章编号:iSSn1006―656X(2013)06 -00040-01
食品安全问题屡禁不止，生产者、销售者职业道德的丧失确是一方面，而制度的完善必然一定的客观规制作用。作为食品安全问题最重要的一点即食品安全的信息制度，其立法的完善是摆在我们面前极其重要的一点。
本文对食品安全信息采取的是广义概念，指由食品生产者、经营者、政府、媒体以及中介机构掌握的并依法应公示给消费者的与食品安全相关的信息，大致可以分为：不安全信息，质量安全信息，事实信息。
从法理上而言，一个审慎的食品安全信息制度体系，至少应当包括四个方面：食品安全信息收集、整理体系；食品安全信息报告与流通体系；食品安全信息披露与公开体系；食品安全信息公众参与（监督）体系。
一、我国食品安全信息制度的立法现状及问题
截至于2011年，目前中国有十余部卫生法律、30多件行政法规、200多项部门规章。相对而言，食品安全体系庞大而杂乱，对食品安全信息制度的构建有一定的影响。
（一）食品安全信息收集制度的不完善
在我国现行法律法规中，作为食品安全信息保障制度的信息采集、收集制度，即相关的食品生产经营许可制度，农产品生产环节记录制度，进货环节查验记录制度等均被零碎地规定在食品安全法中，同时，我国并没有构建从“农田到餐桌”食品安全信息记录追踪制度，这就说明至少信息的来源是相当不全面的。同时，收集信息制度也仅仅作为法律的“建议”而不是强制制度。这种规定由于法律强制力较低、不利于信息的统一采集和整理，势必造成食品安全信息制度的僵局。
（二）食品安全信息溯源制度的缺失
回想每一次曝光的食品安全问题，消费者都会有一个疑问，为什么曝光出问题之后，其问题出现在哪一个环节却需要等待所谓的“有关部门”调查多日？食品安全溯源制度的优越性之一就体现在出现食品安全问题之后，能够根据溯源信息，直接锁定某一流通环节，迅速的找到发生问题的根源，并采取相应的措施。这样的制度，我国不是没有，但是却未成体系，相关的规定也是散见于在《食品安全法》、《农产品质量安全法》、《乳品质量安全监督管理条例》
（三）食品安全信息公布与反馈制度未形成体系
政府是最有力的食品安全信息公开主体。食品安全信息本身是庞杂而混乱的，同时又是瞬息万变的，从理论上来说，政府不是食品安全信息的第一手掌握者，它也永远不可能了解所有的食品安全信息，所以政府公布的信息有限。并且我国现在仍然是多头分段监管的模式。如何公布，如何在公布之后进行反馈，都是一个问题。
（四）食品安全信息公众监督机制未健全
食品安全信息的监管，不能仅仅依赖于市场或者政府，而需要引入公众参与机制。但食品安全法和条例仍存在许多不足，针对信息监管制度而言，如何实现公众对这些信息的有效掌握始终是一个极大的困扰。一旦缺失真实和有效的公众参与，信息规制也必将停留在行政垄断性的管理层面，近年来不断见诸于媒体的食品安全事故就是有力的例证。
二、我国食品安全信息制度立法完善的建议
（一）完善食品安全信息收集、整理制度
想要建立长效完善的食品安全信息制度，首先不可或缺的就是食品安全信息的收集整理制度。这一点可以从两方面进行完善：
第一，建立食品生产经营者强制公开食品安全信息的制度。食品生产经营者是食品安全信息的第一手资料人，其提供完整的食品安全信息有利于更好的保护消费者的知情权及食品安全权，同时，这也是其社会责任的要求之一。
第二，政府同时也必须承担收集尤其是整理食品安全信息的责任。作为食品消费者在交易中需要依赖以做出抉择的食品安全信息，由政府进行收集，符合政府行政理论的要求和经济学成本理论的要求。消费者的经济实力和知识能力难以进行系统化的收集工作。
（二）建立食品安全信息追溯制度
首先，应建立较为系统的信息溯源制度。也就是尽量建立包括全国各个地域、各个部门、囊括食品生产到流通各个环节的溯源制度。其次，统一食品安全信息溯源所采用的方法。摒弃较原始且难以发挥时效的溯源方法，例如手环、书面记录等，在条件允许的情况下，逐步过渡到采用条形码、无线射频技术等现代化的技术。最后，尽量将溯源制度的建立管理等职责划分清楚，以利于溯源制度的统一化建设。
（三）健全食品安全信息公布制度
食品安全信息公布制度的完善包括完善公布的内容、完善公布的主体、完善公布的平台。
(1)食品安全信息公布主体的完善建议。应明确规定食品信息的公布主体，既可以按照食品种类，也可以按照监管流程由各监管机构进行公布；更好的办法是，在各机构中形成沟通交流机制，由一个部门集中定期（例如一周一次，时间短利于消费者掌握信息的及时）公布。
(2)食品安全信息公布方式的完善建议。政府可以定期或者不定期地发行官方而全面记载食品安全信息的刊物，同时这一定期刊物也将给消费者提供稳定长效的食品安全信息获取的渠道。同时还可通过张贴公告等方式进行补充。例如在各级监管机关内开设食品信息的专门窗口，以及不定期的进行新闻会。
（四）健全食品安全信息公众参与机制
食品安全信息公众参与机制包括食品生产经营者、食品消费者、社会中介组织和媒体等多方面。
第一，加强生产、经营者食品安全信息公布的社会责任的承担。现代公司在营利和对股东利益进行分配的同时，也要承担对员工、政府、社会和环境的责任。
第二，鼓励、支持社会中介机构及其他组织对食品安全信息义务的承担。一般而言，一方面，社会中介组织的路径对消费者提供食品安全信息的反应速度较政府路径要快，从而能更快地满足消费者的信息需求；另一方面，社会中介组织能提供政府路径所不具备的某些信息，并且其能够提供的信息明显要多余经营者路径所能提供的信息。
第三，充分发挥消费者在食品安全监督方面的作用。建立起一种长效的食品安全监督评价机制以保障公众（尤其是消费者）参与到对食品安全问题进行主动监督的过程中来尤为重要。
第四，充分发挥媒体舆论的导向作用。新闻媒体被视为“社会的守望者”、“社会的雷达”或“社会的监视器”，这说明了新闻媒体在社会监督管理中的重要性和独特性。应更好的发挥《食品安全法》第八条所规定的新闻媒体的舆论监督责任。
参考文献：
[1]张颖伦.从信息不对称理论看食品行业的政府质量规制[J].《电子科技大学学报（社科版）》2012,5.
信息安全议论文篇8
[关键词]公钥基础设施pKi电子商务安全保障
电子商务的基础是信息化和网络化，因此当信息化和网络化的浪潮袭击了全球以后，电子商务也得以实现。但电子商务发展至今，阻碍其发展的关键因素还是安全问题。近年来，伴随宽带互联网技术和大规模集成电路技术的飞速发展，公钥密码技术有了其用武之地，加密、解密的系统开销已不再是其应用的障碍。
一、公钥基础设施体系结构概述
1.公钥基础设施简介
公钥基础设施(publicKeyinfrastructure)就是利用公钥理论和技术建立的提供信息安全服务的基础设施。公钥体制是目前应用最广泛的一种加密体制，在这一体制中，加密密钥与解密密钥各不相同，发送信息的人利用接收者的公钥发送加密信息，接收者再利用自己专有的私钥进行解密。这种方式既保证了信息的机密性，又能保证信息具有不可抵赖性。到目前为止，它是公认的保障网络社会的最佳体系结构。
2.公钥基础设施系统组成
公钥基础设施的体系结构的主要组件至少应包括以下部分：终端实体，是pKi用户系统，终端实体可以是软件系统，也可以是硬件系统，或是软硬件系统的结合，它是pKi证书的用户，因此其主要的功能是申请证书、下载证书、申请作废证书、查询证书的状态及CRL等。认证中心Ca(Certificateauthority)即数字证书的签发机关，Ca必须具备权威性的特征。它通过对一个包含身份信息和相应公钥的数据结构进行数字签名来捆绑用户的公钥和身份。注册中心Ra(Registrationauthority)是数字证书的申请注册、证书签发和管理机构，是用户和Ca的接口，它所获得的用户标识的准确性是Ca颁发证书的基础。Ra是Ca的证书发放、管理的延伸。它负责证书申请者的信息录入、审批以及证书发放等工作(安全审计)。同时，对发放的证书完成相应的管理功能(安全管理)。Ra系统是整个Ca中心得以正常运营不可缺少的一部分。数字证书库是证书的集中存放地，是网上的一种公共信息库，供广大公众进行开放式查询。到证书库访问查询，可以得到想与之通信实体的公钥、密钥备份及恢复系统。如果用户丢失了密钥，会造成已经加密的文件无法解密，引起数据丢失，为了避免这种情况，pKi提供密钥备份及恢复机制。整个pKi系统中，只有Ca会和普通用户发生联系，其他所有部分对用户来说都是透明的。
二、公钥基础设施在电子商务安全中的作用
公钥基础设施是利用公钥理论和技术建立的提供加密和数字签名等安全服务的基础设施。它以公开密钥密码算法为基础，结合对称密码算法、摘要算法，通过数字签名、数字证书等技术来保证网络传输数据的机密性、完整性、不可否认性以及身份鉴别。公钥基础设施作为一项有效的工具，提供在intranet，extranet及internet网络环境问交换数据的信任基础。其主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环境，使用户可以在多种应用环境下方便地使用加密和数字签名技术，从而保证电子商务的交易安全。pKi应用系统应具有以下基本功能：公钥密码证书管理、黑名单的和管理、密钥的备份和恢复、自动更新密钥、自动管理历史密钥、支持交叉认证。
三、公钥基础设施在电子商务安全方面的应用
1.数据传输的机密性
pKi的主要的功能之一就是保证数据传输的机密性，即：数据在传输过程中，不能被非授权者偷看。pKi是建立在公共密钥理论的基础上的，从公共密钥理论出发，公钥和私钥配合使用可以保证数据传输的机密性。数据的发送者希望其所发送的数据能安全的传送到接收者手中，并且只被有权查看该数据的接收者所阅读。数据发送者首先利用接收者的公钥将其明文加密，然后将密文传送给接收者，接收者收到数据以后，利用其私钥将其解密，还原为明文，即使是数据被非法截获，因为没有接收者的私有密钥，别人也无法将其解码。这样使数据的发送者可以放心地发送数据。
2.身份标识和认证
pKi另一个主要的功能就是在电子交易中进行身份验证，交易双方利用pKi提供的电子证书(DigitaliD)来证实并验证其身份。在网络这一虚拟的环境中进行实时议价、采购、付款等商务活动，并保证交易的有效性，即交易不可被否认的功能。pKi已经成为识别用户身份的事实上的技术标准，要想用数字证书进行身份验证就必须具有pKi。在身份验证过程中，利用发送者的私有密钥加密可以验证发送者的身份，而用接收者的私有密钥解密可以同时保证传输数据的机密性。由于发送方私有密钥的保密性，使得接收方既可以根据验证结果来拒收该报文，也能使其无法伪造报文签名及对报文进行修改，原因是数字签名是对整个报文进行的，是一组代表报文特征的定长代码，同一个人对不同的报文将产生不同的数字签名。这就解决了接收方可能对数据进行改动的问题，也避免了发送方逃避责任的可能性。
3.信任关系的建立
在电子商务环境下，其活动可以分为以下几类：BtoB，企业与企业问的电子商务；BtoC，企业与消费者间的电子商务；CtoC，消费者与消费者间的电子商务；BtoC，企业与政府间的电子商务。在虚拟的网络环境下，对于如此错综复杂的关系，应建立一个有效的相互信任机制来保证双方间的交易安全，以促进整个电子商务活动效率提高。如何在internet环境下建立公平、安全的交易信任关系是电子商务领域的一个最重要的也最具有挑战性的课题。基于internet的各种优势，各企业希望通过向每一个有权访问这个网络的用户签发证书的方式，使自己的客户和合作伙伴可以通过外联网来访问自己的内部网络。对最终用户来说可能同时接受许多访问的授权，但他们并不想管理多个证书，而是希望只要拥有一个证书就能通过所有合作伙伴的网络认证。这一问题的关键解决思路在于如何保证多厂商pKi环境具有可互操作性。
在前面提到：pKi的关键组成部分是Ca，它负责生成、分发和撤消数字证书，通过认证过程将一个公共密钥值和一个人、一台计算机或一个实体联系起来，并且具有分层的组织结构。当企业打算通过为得到可靠性和信任，而使用pKi而与另一家企业进行通信时，就出现了如何建立信任关系这一难题。为了保证Ca分层体系之问具有可操作性，不同的分层体系，必须能够索取和验证每个Ca体系的有效性。由于早期的pKi产品使用的是专利协议，不同pKi产品间的可互操作性几乎为零。但pKiX(publicKeyinfrastructureandX．509)标准和X．509证书标准的开发大大增加了互操作性。目前解决电子交易中的信任关系问题主要有以下几种方案。
(1)直接信任模型。即：在a、B两家企业都拥有自己的Ca机构，并且两家企业的Ca产品都是同一家供应商提供的前提下，保持两家企业现有的家谱结构不变，让顶层的Ca机构安全地交换它们的公开密钥，并分别在a、B两家企业内部传播对方企业的公开密钥，这是一种直接信任关系建立。当然这个过程实现起来相当繁琐，而信任关系作废时的处理也则更加复杂。
(2)交叉信任模型。即：a、B两家企业的顶层的Ca机构分别为对方的顶层Ca机构的公开密钥签发一个证明证书，其它验证关系保持不变。这样，a、B两家企业就建立起了一种交叉信任关系。当B企业的最终用户收到一封来自a企业的最终用户的信件时，它就可以沿着证书路径上溯检索到a企业的顶层证书，再使用a企业的证书对其最终用户进行验证。同时，当a企业的最终用户想访问B企业的内部网的数据时，身份验证工作由交叉证书直接完成，他可以直接利用a企业签发的证书连接到B企业的内部网络。
(3)供应链管理(SupplyChainmanagement)模型。供应链是指围绕着核心企业，在从采购原材料开始，到制造中间产品以及最终产品，最后由销售网络把产品送到消费者手中的过程中，通过对信息流、物流、资金流的控制，将供应商、制造商、分销商、零售商直到最终用户连成一个整体的功能网链。通过“淘汰制”对链中成员进行慎重选择，建立一个相互间客观信任的供应链，在此基础上形成有特色的“链”文化。对于企业与企业间、企业与消费者间、消费者与消费者间这三种不同关系，建立信任机制的手段也不尽相同。当然，这是一种非pKi体系结构中的信任关系建立模型。
四、基于公钥基础设施的电子商务安全问题研究
公钥基础设施是以公钥加密为基础的，为网络安全提供了安全保障的基础设施。从理论上来讲，它是目前比较完善有效的实现身份认证和保证数据完整性、有效性的手段。但在实际实施中，也存在着一定的安全问题，包括针对公钥、私钥和安全协议的攻击。
1.针对证书持有者态度的攻击
这类攻击源于证书持有者的消极态度，如盲目签名、证书持有者长时间不用证书、私钥可能泄露时不及时申请注销证书等等情况都给攻击者留下了可乘之机和时间。
2.针对CRL的攻击
在pKi中，若用户私钥泄露、证书过期或由于安全原因需要变更证书中某些属性的时候，必须向Ca申请注销与之相关的旧证书。证书被注销后，与其相关的公钥和私钥将不再有效。用其实施的行为也不再有效证书注销方法常用的是CRL(CertificateStatusprotoco1)CRL将申请注销的证书以链表形式组织并在pKi中和传播。由于证书注销信息在pKi中传播需要一段时间。若攻击者可以避免被注销进程锁定，则攻击者即攻破了pKi的注销机制，他可以用被某个Ca注销的证书来进行非法访问。
3.针对定制协议的攻击
在pKi中，协议的安全和完善是至关重要的。它是pKi的安全基石。然而，即使是安全的协议，也可能被攻击者利用。定制协议攻击是通过定制一个协议，并用它来与安全协议进行交互，从而影响安全协议产生可以利用的消息。这类攻击多是针对公钥的认证协议进行的。其条件是pKi中允许在多个协议中使用同一个公钥，这时可用定制的协议来影响安全协议。用安全协议产生的信息来冒充某个参与者而成功完成协议定制协议攻击在本质上是利用多个协议间的交互来实施的，避免此类攻击的基本原则是在某个密钥被使用时，在产生的消息和消息标示符之间实施一个密码绑定，从而保证一个协议中的消息不能被另一个协议中的某些消息替代，在避免上述几方面攻击的前提下，pKi不失为一个保证网络安全的一个非常合理和有效的解决方案。目前已有许多协议基于pKi，如SSL，tLS，S／mime，Set，ipSeC，无论是使用ipSeC构建Vpn，还是使用Set的电子商务都离不开pKi的支持。并且从长远来看，pKi将逐渐集成到更多的操作系统和应用中去，并实现对用户透明。而利用pKi作电子商务的安全基础平台，使用pKi的数字证书实现在线交易所必须的认证和加密功能，必将是实现安全电子商务的主要发展方向。
信息安全议论文篇9
关键词：H.530协议；形式化分析；模型检测
中图分类号：tn915.08文献标志码：a文章编号：1674-9324（2013）17-0281-02
对安全协议的分析方法目前主要有两种，一种是攻击检验分析方法，另一种是采用形式化分析方法。
HLpSL/oFmC是由etHZurich的信息安全组开发的，它是欧洲aViSS项目的一部分。在随后的aViSpa项目仍在继续开发完善中，现在的aViSpa集成了oFmC，CL，SatmC和ta4Sp等后台工具。在论文中我采用oFmC作为研究对象。HLpSL/oFmC以高级协议规范语言（HighLevelprotocolSpecificationLanguage，HLpSL）作为输入，通过翻译器HLpS2iF将HLpSL转换为中间格式（intermediateFormat，iF），然后使用模型检测器（on-the-Flymodel-Checker，oFmC）来验证。
此后还出现了还类型检测（typechecking）方法。这个方法利用Spi演算系统，给每个通道和消息赋以类型，将协议的安全性目标的达到归结为协议执行过程中类型的保持。类型的破坏将导致安全性的丧失。协议的安全性质通过所有从保持的性质来刻画。利用串空间原理，Song发展了一种自动检测工具athena。
一、行为时序逻辑概述
tLa是一种对并发系统进行描述与验证的逻辑，系统及其性能使用同样的逻辑进行描述，因此，一个系统能达到它的规格并判断一个系统实现另一个的断言，都是用逻辑含义表达的。tLa非常简单，它的语法和完整正式的语义都被概括成一段话。但是，tLa并不仅是逻辑学家的一个玩具，在理论和实践中都非常强大。这篇文章介绍了tLa并描述其如何用于列举和查证并发算法，tLa的详细说明和推出开放式系统的应用被描述与其他地方。
一个并行算法通常利用一个程序详细描述，算法的正确性就是满足一个希望得到的特性。我提出一个更简单的方法：算法和性质都利用一个指定逻辑的公式来详细描述。算法正确性是指公式描述算法意味着公式描述属性，即普通逻辑含义。
二、aViSpa概述
aViSpa的主要检测工具是oFmC。on-the-Fly模型检测器即oFmC是基于惰性入侵者的思想实现的，用符号和约束条件的方法来模型化一个入侵者是在惰性上结合了两种思路分析安全协议的工具。第一种是使用惰性数据类型而建立一个高效的无限空间协议on-the-Fly模型检测器的简单方法。第二种是将符号技术和惰性的Dolev-Yao入侵者模型最优化相结合的方法，其行动的产生需要驱动的方式。aViSS和aViSpa实现了两种语言：高级协议说明语言和中间格式iF。HLpSL用来在高层描述协议，而iF被用来作为一个低级语言，可以被想oFmC正的分析工具直接使用，而由HpLSL到iF必须用HLpSL2iF来转换。
三、H.530协议的形式化与aViSpa检测
这里我将建模H.530协议。H.530协议是一个多媒体协议，如图1所示：
这个协议描述了一个多媒体终端（mt）想与VGK建立一个安全的连接，并协商一个Diffle-Hellman密钥。因为事先都互不知道，将通过验证设备auF来身份识别；初始化时，mt和VGK都有与auF共享的密钥。正如图上所示的信息交换过程，首先，mt和VGK都创建了Diffie-Hellman的半密钥，用hash加密后发给auF，在图中用Repmt和RepVGK表示。通过成功的验证这些消息，auF回复适当的信息ackmt和ackVGK，都是用hash加密后的信息。最后，mt和VGK用auF验证的Diffie-Hellman密钥实现通信。为了方便我建模该协议，现在我a-B表示法描述该协议如下所示：m1=mt，VGK，niL，CH1，exp（G，X）；m2=m1，F（ZZ，m1），VGK，exp（G，X）XoRexp（G，Y）；m3=VGK，mt，F（ZZ，VGK），F（ZZ，exp（G，X）XoRexp（G，Y））；m4=VGK，mt，CH1，CH2，exp（G，Y），F（ZZ，exp（G，X）XoRexp（G，Y）），F（ZZ，VGK）；m5=mt，VGK，CH2，CH3；m6=VGK，mt，CH3，CH4。1.mt->VGK：m1，F（ZZ，m1）。2.VGK->auF：m2，F（ZZ_Va，m2）。3.auF->VGK：m3，F（ZZ_Va，m3）。4.VGK->mt：m4，F（exp（exp（G，X），Y），m4）。5.mt->VGK：m5，F（exp（exp（G，X），Y），m5）。6.VGK->mt：m6，F（exp（exp（G，X），Y），m6）
限于篇幅，下面只给出auF角色的HLpSL建模该协议的描述语言。
roleauthenticationFacility（mt，VGK，auF：agent，SnD，RCV：channel（dy），F：hash_func，ZZ，ZZ_Va：symmetric_key，niL，G：text）played_byauFdef=localState：nat，GX，GY：message，CH1：textinitState：=0transitionState=0/RCV（mt.VGK.niL.CH1'.GX'.F（ZZ.mt.VGK.niL.CH1'.GX'）.VGK.xor（GX'，GY'）F（ZZ_Va.mt.VGK.niL.CH1'.GX'.F（ZZ.mt.VGK.niL.CH1'.GX'）.VGK.xor（GX'，GY'）））=|>State'：=1/SnD（VGK.mt.F（ZZ.VGK）.F（ZZ.xor（GX'，GY'））.F（ZZ_Va.VGK.mt.F（ZZ.VGK）.F（ZZ.xor（GX'，GY'））））endrole
检测结果如下：%oFmCSUmmaRYUnSaFeDetaiLSattaCK_FoUnDpRotoCoL/root/span/avispa-1.1/testsuite/results/H.530.ifGoaLauthentication_on_key1BaCKenDoFmCCommentSStatiStiCSparsetime：0.00ssearchtime：0.77svisitednodes：87nodesdepth：5plies
根据检测结果，我得出该协议是不安全的，并得到该协议的一个攻击方法，这是一个重放攻击，首先入侵者监听可信任mt和VGK，和auF的会话，然后入侵者开始一个新的会话，并假扮mt和VGK。这里的aCKVGK缺乏fresh的信息的漏洞使重放攻击成为可能。重放第一次会话中各自的消息，入侵者假扮mt能与VGK协商出一个新的Diffie-Hellman密钥。这里入侵者必须可以在mt和VGK之间还有VGK和auF之间偷听和插入消息，才可以实现攻击。
参考文献：
[1]化志章，吴传孙，揭安全，薛锦云.软件模型检测新技术研究[J].微计算机信息，2007，（36）.
信息安全议论文篇10
[关键词]电子商务信息安全数据加密网络安全
一、电子商务信息安全问题
由于internet本身的开放性，使电子商务系统面临着各种各样的安全威胁。目前，电子商务主要存在的安全隐患有以下几个方面。
1.身份冒充问题
攻击者通过非法手段盗用合法用户的身份信息，仿冒合法用户的身份与他人进行交易，进行信息欺诈与信息破坏，从而获得非法利益。主要表现有：冒充他人身份；冒充他人消费、栽赃；冒充主机欺骗合法主机及合法用户等。
2.网络信息安全问题
主要表现在攻击者在网络的传输信道上，通过物理或逻辑的手段，进行信息截获、篡改、删除、插入。截获，攻击者可能通过分析网络物理线路传输时的各种特征，截获机密信息或有用信息，如消费者的账号、密码等。篡改，即改变信息流的次序，更改信息的内容；删除，即删除某个信息或信息的某些部分；插入，即在信息中插入一些信息，让收方读不懂或接受错误的信息。
3.拒绝服务问题
攻击者使合法接入的信息、业务或其他资源受阻。主要表现为散布虚假资讯，扰乱正常的资讯通道。包括：虚开网站和商店，给用户发电子邮件，收订货单；伪造大量用户，发电子邮件，穷尽商家资源，使合法用户不能正常访问网络资源，使有严格时间要求的服务不能及时得到响应。
4.交易双方抵赖问题
某些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。如：者事后否认曾经发送过某条信息或内容；收信者事后否认曾经收到过某条信息或内容；购买者做了订货单不承认；商家卖出的商品质量差但不承认原有的交易。在网络世界里谁为交易双方的纠纷进行公证、仲裁。
5.计算机系统安全问题
计算机系统是进行电子商务的基本设备，如果不注意安全问题，它一样会威胁到电子商务的信息安全。计算机设备本身存在物理损坏，数据丢失，信息泄露等问题。计算机系统也经常会遭受非法的入侵攻击以及计算机病毒的破坏。同时，计算机系统存在工作人员管理的问题，如果职责不清，权限不明同样会影响计算机系统的安全。
二、电子商务安全机制
1.加密和隐藏机制
加密使信息改变，攻击者无法读懂信息的内容从而保护信息；而隐藏则是将有用的信息隐藏在其他信息中，使攻击者无法发现，不仅实现了信息的保密，也保护了通信本身。
2.认证机制
网络安全的基本机制，网络设备之间应互相认证对方身份，以保证正确的操作权力赋予和数据的存取控制。网络也必须认证用户的身份，以保证正确的用户进行正确的操作并进行正确的审计。
3.审计机制
审计是防止内部犯罪和事故后调查取证的基础，通过对一些重要的事件进行记录，从而在系统发现错误或受到攻击时能定位错误和找到攻击成功的原因。审计信息应具有防止非法删除和修改的措施。
4.完整性保护机制
用于防止非法篡改，利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务，当信息源的完整性可以被验证却无法模仿时，收到信息的一方可以认定信息的发送者，数字签名就可以提供这种手段。
5.权力控制和存取控制机制
主机系统必备的安全手段，系统根据正确的认证，赋予某用户适当的操作权力，使其不能进行越权的操作。该机制一般采用角色管理办法，针对系统需要定义各种角色，如经理、会计等，然后对他们赋予不同的执行权利。
6.业务填充机制
在业务闲时发送无用的随机数据，增加攻击者通过通信流量获得信息的困难。同时，也增加了密码通信的破译难度。发送的随机数据应具有良好模拟性能，能够以假乱真。
三、电子商务安全关键技术
安全问题是电子商务的核心，为了满足安全服务方面的要求，除了网络本身运行的安全外，电子商务系统还必须利用各种安全技术保证整个电子商务过程的安全与完整，并实现交易的防抵赖性等，综合起来主要有以下几种技术。
1.防火墙技术
现有的防火墙技术包括两大类：数据包过滤和服务技术。其中最简单和最常用的是包过滤防火墙，它检查接受到的每个数据包的头，以决定该数据包是否发送到目的地。由于防火墙能够对进出的数据进行有选择的过滤，所以可以有效地避免对其进行的有意或无意的攻击，从而保证了专用私有网的安全。将包过滤防火墙与服务器结合起来使用是解决网络安全问题的一种非常有效的策略。防火墙技术的局限性主要在于：防火墙技术只能防止经由防火墙的攻击，不能防止网络内部用户对于网络的攻击;防火墙不能保证数据的秘密性，也不能保证网络不受病毒的攻击，它只能有效地保护企业内部网络不受主动攻击和入侵。
2.虚拟专网技术（Vpn）
Vpn的实现过程使用了安全隧道技术、信息加密技术、用户认证技术、访问控制技术等。Vpn具投资小、易管理、适应性强等优点。Vpn可帮助远程用户、公司分支机构、商业伙伴及供应商与公司的内部网之间建立可信的安全连接，并保证数据的安全传输，以此达到在公共的internet上或企业局域网之间实现完全的电子交易的目的。
3.数据加密技术
加密技术是保证电子商务系统安全所采用的最基本的安全措施，它用于满足电子商务对保密性的需求。加密技术分为常规密钥密码体系和公开密钥密码体系两大类。如果进行通信的交易各方能够确保在密钥交换阶段未曾发生私有密钥泄露，可通过常规密钥密码体系的方法加密机密信息，并随报文发送报文摘要和报文散列值，以保证报文的机密性和完整性。目前常用的常规密钥密码体系的算法有：数据加密标准DeS、三重DeS、国际数据加密算法iDea等，其中DeS使用最普遍，被iSo采用为数据加密的标准。在公开密钥密码体系中，加密密钥是公开信息，而解密密钥是需要保护的，加密算法和解密算法也都是公开的。典型的公开密钥密码体系有：基于数论中大数分解的RSa体系、基于np完全理论的merkel-Hellman背包体系和基于编码理论的mceliece体系。在以上两类加密体系中，常规密钥密码体系的特点是加密速度快、效率高，被广泛用于大量数据的加密，但该方法的致命缺点是密钥的传输易被截获，难以安全管理大量的密钥，因此大范围应用存在一定问题。而公开密钥密码体系很好地解决了上述不足，保密性能也优于常规密钥密码体系，但公开密钥密码体系复杂，加密速度不够理想。目前电子商务实际运用中常将两者结合使用。
4.安全认证技术
安全认证技术主要有:(1)数字摘要技术，可以验证通过网络传输收到的明文是否被篡改，从而保证数据的完整性和有效性。(2)数字签名技术，能够实现对原始报文的鉴别和不可否认性，同时还能阻止伪造签名。(3)数字时间戳技术，用于提供电子文件发表时间的安全保护。(4)数字凭证技术，又称为数字证书，负责用电子手段来证实用户的身份和对网络资源访问的权限。(5)认证中心，负责审核用户的真实身份并对此提供证明，而不介入具体的认证过程，从而缓解了可信第三方的系统瓶颈问题，而且只须管理每个用户的一个公开密钥，大大降低了密钥管理的复杂性，这些优点使得非对称密钥认证系统可用于用户众多的大规模网络系统。(6)智能卡技术，它不但提供读写数据和存储数据的能力，而且还具有对数据进行处理的能力，可以实现对数据的加密和解密，能进行数字签名和验证数字签名，其存储器部分具有外部不可读特性。采用智能卡，可使身份识别更有效、安全，但它仅仅为身份识别提供一个硬件基础，如果要使身份认证更安全，还需要与安全协议的配合。
5.电子商务安全协议
不同交易协议的复杂性、开销、安全性各不相同，同时不同的应用环境对协议目标的要求也不尽相同。目前比较成熟的协议有：(1)netbill协议，是由J.D.tygar等设计和开发的关于数字商品的电子商务协议，该协议假定了一个可信赖的第三方，将商品的传送和支付链接到一个原子事务中。(2)匿名原子交易协议，由J.D.tygar首次提出，具有匿名性和原子性，对著名的数字现金协议进行了补充和修改，改进了传统的分布式系统中常用的两阶段提交，引入了除客户、商家和银行之外的独立第四方一交易日志（transactionlog）以取代两阶段提交协议中的协调者（Coordinator）。(3)安全电子交易协议Set，由ViSa公司和masterCard公司联合开发设计。Set用于划分与界定电子商务活动中消费者、网上商家、交易双方银行、信用卡组织之间的权利义务关系，它可以对交易各方进行认证，防止商家欺诈。Set协议开销较大，客户、商家、银行都要安装相应软件。(4)安全套接字层协议SSL，是目前使用最广泛的电子商务协议，它由netscape公司于1996年设计开发。它位于运输层和应用层之间，能很好地封装应用层数据，不用改变位于应用层的应用程序，对用户透明。然而，SSL并不专为支持电子商务而设计，只支持双方认证，只能保证传送信息传送过程中不因被截而泄密，不能防止商家利用获取的信用卡号进行欺诈。(5)Jepi（Jointelectronicpaymentinitiative），是为了解决众多协议间的不兼容性而提出来的，是现有Http协议的扩展，在普遍Http协议之上增加了pep(protocolextensionprotocol)和Upp（Universalpaymentpreamble）两层结构，其目的不是提出一种新的电子支付手段，而是在允许多种支付系统并存的情况下，帮助商家和顾客双方选取一个合适的支付系统。