課題名稱：BAB電子商務安全體系研究及數據傳輸安全的設計與實現
一、立論依據
課題來源、選題依據和背景情況、課題研究目的、工程應用價值
課題來源：
本課題來源于“中國商務港”一個全方位資源運營電子商務平臺的實際課題。這是由科技部立項、國務院發(fā)展研究中大力支持的一個項目。中國商務港的運營模式是BAB(Business Agent Business)，即通過代理實現的、以廣義的資源運營為特征的企業(yè)間電子商務模式。它與B2B(Business to Business)的主要區(qū)別在于：把現代信息技術提供的迅速、方便的服務和以代理(Agent)方式提供的安全、可靠的服務有機地融為一體，以解決在中國推廣電子商務的瓶頸問題——信譽問題、支付問題和物流問題。通過優(yōu)質的服務吸引和凝聚一批有價值的客戶并保證客戶在交易過程中的利益不受侵害，大限度的整合了社會資源。
中國商務港與北京數字認證中心、銀行、質檢等多家職能部門的合作形成了一個整體的“代理”，為在線操作的客戶提供支付、身份認證、質檢、仲裁等服務，它全方位的服務體系對安全性有著很高的要求。
選題依據和背景情況：
選題依據中國商務港項目的實際需求及市場調研結果。
中國商務港是幫助企業(yè)實現資源運營的電子商務平臺，它的宗旨是使企業(yè)通過本平臺能從全球的視野審視自身擁有的資源，充分發(fā)揮自身的優(yōu)勢，以合理的代價利用和橇動其他主體資源，通過資源整合、合作共贏的方式，充分發(fā)揮各種資源的效能，獲取佳的經濟效益。
BAB平臺不僅要為企業(yè)提供真實有效的信息，還要為企業(yè)搭建一個能夠實現網上安全交易的渠道;不僅提供買賣的交易方式，還要提供租賃、資源配置、拍賣等多種交易方式;交易的對象除了實物產品，還包括無形資產、產權、服務和生產能力等各種類型的資源。大量的網上交易勢必對安全性方面提出了很高的要求，數據在傳輸過程中必須保證安全、保密、可靠，用戶在支付過程中必須保證其經濟利益不受侵害、賬戶信息不被盜用等。
課題研究目的：
針對BAB平臺的特點，形成一套安全體系確保其所有數據傳輸過程的安全。這一安全體系終將確保該平臺能夠承擔起保證自身7*24小時無故障運行的同時保證客戶安全交易的重任。提高BAB模式中“代理”所占的地位，從電子商務角度出發(fā)，真正意義上解決整個商務過程中的各種數據在傳輸過程中的可用性、完整性、保密性問題，從而確保平臺的每一位使用者的利益。
工程應用價值：
通過本課題的研究，排除了電子商務重點環(huán)節(jié)的不安全因素，使交易全程線上進行成為可能。與此同時，大大增強了顧客對網上交易安全性的信心，使企業(yè)特別是一些人力資源、技術力量相對匱乏的中小型企業(yè)相信網上交易，愿意網上交易。促成了更多資源的合理整合，拓展了普通電子商務或行業(yè)電子商務的局限性。對于中國商務港的運營商來說，增加了平臺的安全性及可靠度就意味著提高了運營商的信譽和利潤。
二、文獻綜述
國內外研究現狀、發(fā)展動態(tài)
國內外研究現狀
隨著電子商務的發(fā)展，其安全問題引起了世界各國廣泛關注，與此同時世界范圍內的各種法規(guī)也隨之健全，德國、韓國、意大利、西班牙和美國的許多州已經通過數字簽名和身份認證法律。另外，兩大國際信用卡組織VISA和MasterCard合作制訂的安全電子交易(SET)協議定義了一種電子支付過程標準，其目的就是保護萬維網上支付卡交易的每一個環(huán)節(jié)。國外有關電子商務的安全技術，雖然整體來看其結構或加密技術都不錯，但這些算法(無論是對稱的還是非對稱的)都受到了外國密碼政策的限制，因此強度普遍不夠。
這些年來，我國也興起了電子商務熱潮。然而，由于我國電子商務起步相對較晚，技術相對落后，缺乏具有自主知識產權的安全產品，因此在安全問題上，我國電子商務面目前仍然面臨著如下幾個問題：
① 法律方面：雖然我國從2000年起就醞釀在電子商務方面立法，但是到目前為止這方面的法律法規(guī)仍然不夠建全。遲至2004年3月24日，國務院才原則通過了《中華人民共和國電子簽名法(草案)》。
② 信用體系方面：立法可以解決部分安全問題，但電子商務的信用問題卻依然存在。與國外不同，中國信用體系面臨著信用信息條塊分割的問題。銀行、稅務、法律等部門都有各自的信息庫，但這些信息很難聯網，更不要說與全社會共享了。對于電子商務交易投訴越來越多，網上欺詐、毀約、貨不對版等一系列信用問題，成為了眾多網商考慮的問題，信用的缺失導致對電子安全性的要求更為強烈。
③ 安全攻擊：計算機系統(tǒng)遭受病毒感染和破壞的情況相當嚴重，黑客襲擊成為主要的安全威脅，從國內情況來看，目前我國95%與互聯網相連的網絡管理中心都遭受過境內外黑客的攻擊或侵入，其中銀行、金融和證券機構是黑客攻擊的重點。
④ 信息基礎設施：我國信息安全研究起步較晚，設施方面比較薄弱，據英國《簡氏戰(zhàn)略報告》和其它網絡組織對各國信息防護能力的評估，我國被列入防護能力低的國家之一。
⑤ 安全體系：目前我國使用的網絡安全產品基本上是"舶來品"，開發(fā)我國自己的網絡安全產品已成為不可回避的問題。我國網絡安全還沒有形成一個完整體系，雖然有關電子商務安全的產品數量不少，但真正通過認證的卻相當少，這主要是因為其中不少安全措施是從網上直接拿下來的。
發(fā)展動態(tài)
社會方面，隨著Internet的發(fā)展，電子商務的發(fā)展前景十分誘人，其安全問題也變得越來越突出，如何建立一個安全、便捷的電子商務應用環(huán)境，對信息提供足夠的保護，已經成為商家和用戶都十分關心的話題。人們已經認識到了中國電子商務不斷暴露的信用、安全問題會影響到電子商務自身的發(fā)展，并在積極地改善這一現狀。
技術方面，網絡安全技術、加密技術、數字簽名、電子印章、認證中心與數字證書等安全技術已被廣泛應用于目前的電子商務領域。隨著電子商務支付系統(tǒng)與各大銀行間的接口漸漸無縫化，網上銀行的安全機制也成為保障電子商務支付安全的一個重要手段。與此同時，SET等安全協議被廣泛認可并應用到電子商務平臺，這使得保證電子商務安全的有效性、機密性、完整性和不可否認性成為可能。如今，人們正在根據新的需要，不斷完善電子商務安全機制，保障這一行業(yè)的健康有序發(fā)展。
三、研究內容
1.主要研究內容及關鍵技術
主要研究內容
本課題是在BAB資源運營模式基礎上，對安全體系的研究及數據傳輸安全的設計與實現，目的是保證網上交易過程中數據的機密性與完整性。主要內容如下：
① 電子商務交易安全體系的理論研究。
② 加密技術包括對稱密鑰加密和非稱密鑰加密，及混合密碼系統(tǒng)(即所謂的電子信封技術)，本課題則要結合BAB平臺的特點，選取一種合適的加密方式對數據的傳輸、存儲進行加解密處理，實現數據傳輸、處理、存儲過程中的機密性，完整性和可用性。
③ 通過研究PKI技術的理論及其在系統(tǒng)中的應用，真對各種安全協議，把寬帶互聯網在一定的安全域內變成一個可控、可管、安全的網絡，使數據在這樣的網絡中達到安全傳輸的目的。
④ 使用電子簽章確保數據在傳輸過程中的完整性及合同的不可篡改性、不可抵賴性。
⑤ 根據結算中心工作的特殊性，傳輸數據的敏感性，搭建一個適合其運作的虛擬專用網，通過VPN來解決數據加密強度不夠等問題，使結算子系統(tǒng)與主系統(tǒng)之間建立安全的信道。
⑥ 利用一些第三方工具或軟件，實施必要的登陸管理及存取授權管理，使用戶對數據的各種操作都在角色允許的范圍內。
關鍵技術
① 加密技術
加密技術是保證電子商務信息安全的重要手段，目前，很多密碼算法已成為網絡安全和商務信息安全的基礎。加密技術包括對稱密鑰加密和非稱密鑰加密，及混合密碼系統(tǒng)(即所謂的電子信封技術)可用來保證電子商務的保密性、完整性、真實性和不可否認性。
② PKI技術(Public Key Infrastructure)
PKI意為“公鑰基礎設施”。簡單地說就是利用公鑰理論和技術建立的提供信息安全服務的基礎設施。這種方式既保證了信息的機密性，又能保證信息具有不可抵賴性。
③ IPSec技術
IPSec技術是一組協議的總稱，在其應用中，同時使用了用于保障完整性和真實性的AH協議，和進行數據加密用于保障數據的私有性的ESP協議，來保證傳輸過程中的數據安全。
④ 網絡安全技術_VPN
網絡安全技術是電子商務安全的基礎。它所涉及的內容較多，在本課題中對敏感的設備和數據要建立必要的物理或邏輯隔離措施，因而主要涉及了虛擬專用網(VPN)技術，它可以在兩個系統(tǒng)之間建立安全的信道(或隧道)，用于電子數據交換(EDI)?，F有的或正在開發(fā)的數據隧道系統(tǒng)可以進一步增加VPN的安全性，因而能夠保證數據的保密性和可用性。
⑤ 數字簽名技術
數字簽名是實現認證的重要工具，在電子商務系統(tǒng)中是不可缺少的。能夠在電子文件中識別雙方交易人的真實身份，保證交易的安全性和真實性以及不可抵賴性，起到與手寫簽名或者蓋章同等作用的簽 名的電子技術手段，稱之為電子簽名。
⑥ 雙重簽名加密技術。
雙重簽名的目的是為了連接兩個發(fā)送給不同接收者的報文。
⑦ 電子商務安全標準
電子商務安全標準主要涉及幾種安全協議，如安全套按層協議(SSL)、安全的超文本傳輸協議(S—HTTP)、安全電子交易協議(SET)等。
2.擬采取的研究方法、技術路線、實施方案及可行性分析
擬采取的研究方法
實踐法：通過參與整個項目的研發(fā)達到深入了解需求，從而實現安全保障功能的目的。在實踐過程中，不僅能夠鍛煉自己的動手能力，更可以檢驗理論的正確性及在實際項目中的應用價值。
技術路線
本課題使用UML進行建模，JAVA語言實現代碼部份，并采用三層架構的標準模式;利用安全超文本傳輸協議(S-HTTP)、安全套接層協議(SSL)、安全電子交易協議(SET)等保障基本數據傳輸安全，并使用建立在PKI技術基礎上的第二代安全認證體系;而加密過程根據密鑰類型不同在不同需求上擬采用不用的加密技術：私鑰加密(對稱加密)系統(tǒng)或公鑰加密(非對稱加密)系統(tǒng);對于敏感數據采取多種措施進行保護，后形成一套完整的數據傳輸安全體系。
實施方案
實施過程主要包括需求分析、概要設計、詳細設計、編碼實現和測試幾個階段。
① 需求分析：根據對目前電子商務市場的調研，針對BAB模式的特點，了解系統(tǒng)整體需求。同時，了解目前此領域遇到較多的數據傳輸安全性問題，總結出符合此項目的安全需求，并整理得到系統(tǒng)需求規(guī)約。
② 概要設計：根據系統(tǒng)需求規(guī)約，對安全體系構建及數據傳輸安全進行系統(tǒng)總體框架結構的設計，完成概要設計說明書
③ 詳細設計：完成系統(tǒng)詳細功能模塊的劃分，給出詳細功能結構圖，對系統(tǒng)每個功能模塊都給出設計實現的詳細方案，完成系統(tǒng)詳細設計說明書。
④ 編碼實現：根據詳細設計說明書所描述的安全體系構建及數據傳輸安全規(guī)約，實現其功能，調試編碼。
⑥ 測試：根據系統(tǒng)要求對系統(tǒng)各個功能模塊和整個系統(tǒng)實現運行狀況進行測試，檢驗系統(tǒng)實現是否符合安全性要求，對測試結果進行分析形成系統(tǒng)測試報告。
可行性分析
電子商務經過多年的發(fā)展已形成了一套較為成熟數據傳輸安全體系，技術方案也相對完善，這為本項目的成功實施提供了一定的技術可行性：
目前我們已經形成了一套較完整的電子商務安全標準，包括SSL、S-HTTP、SET等安全協議，這為安全體系的研究奠定了基礎。PKI(公共密鑰基礎設施)是在Internet上建立信任的一種技術選擇，它是一種使用公共和私有密鑰對來保證通信的可靠性、 完整性和保密性的安全基礎設施。而目前加密算法的開發(fā)與不斷完善，也為本項目提供了強大的技術可行性。
同時，本項目受到國家和社會的廣泛關注及支持，這為研發(fā)工作提供了大量人力、物力、財力，使得本課題的研究具有相當大的市場可行性。
3.預期目標
通過本課題的深入研究，讓使用BAB平臺的用戶真正得到安全保障。讓傳輸過程中的數據機密、完整、不可截獲，終形成一個完善的數據傳輸安全體系。
① 根據BAB模式的特點，研究適合它運作的安全體系
② 對敏感的信息進行加密，保證其在傳輸過程中安全、完整、不可篡改、不被盜用。
③ 使用虛擬專用網保證系統(tǒng)中的財務部分被有效隔離，以避免不必要的網絡威脅。
④ 利用各種安全技術保證數據在傳輸過程中的安全。
四、研究基礎
理論基礎：
1、 計算機硬件及網絡基本知識
2、 J2EE架構
3、 Unix與Linux基礎知識及操作系統(tǒng)原理
4、 電子商務安全體系相關知識
5、 網絡安全基本知識
6、 數字認證原理
7、 加密技術及策略
8、 算法理論學習
9、 電子商務相關知識
10、 財務系統(tǒng)相關知識，包括支付、結算等領域
11、 虛擬專用網相關技
參考資料：
1、 盧昱 王宇 主編 《計算機網絡安全與控制技術》 北京希望電子出版社
2、 (美)威爾森(Wilson,C.),(美)杜瓦克(Doak,P.)著 《虛擬專用網的創(chuàng)建與實現》 機械工業(yè)出版社
3、 關振勝 著 《公鑰基礎設施PKI與認證機構CA》 電子工業(yè)出版社
4、 雷詠梅 趙霖 著 《計算機網絡信息安全保密技術》 清華大學出版社
5、 (美)Teri Bidwell，Michael Cross，Ryan Russell 著 《信息時代的個人安全策略》 科學出版社
6、 (美)Marc Farley，Tom Stearns，Jeffrey Hsu 著 《網絡安全與數據完整性指南》機械工業(yè)出版社
7、 Christian Huitema 著 《IPv6 The New Internet Protocol Second Edition》清華大學出版社
8、 Karl Kopper 著《Linux企業(yè)集群-用商用硬件和免費軟件構建高可用集群》 中國水利水電出版社
9、 周亞建[等] 編著 《網絡安全加固技術》 電子工業(yè)出版社
10、 William Stallings 著 《Network security essentials 》 清華大學出版社
11、 (美) Kevin Kenan著 《數據庫加密》電子工業(yè)出版社
12、 (美) Mark Egan, Tim Mather著 《沒有任何漏洞》電子工業(yè)出版社
13、 趙泉編 著 《網絡安全與電子商務》清華大學出版社
14、 (美) Charlie Kaufman, Radia Perlman, Mike Speciner著《網絡安全》電子工業(yè)出版社
五、工作計劃
20xx.08.01～20xx.08.31 收集所需的信息和資料，積累在論文和項目完成期間可能用到的概念以及行業(yè)動態(tài)。計劃未來研究目標，撰寫開題報告
20xx.09.01～20xx.10.31 研究安全體系構建及數據傳輸安全的現有技術并進行相關試驗，完成BAB平臺的需求分析文檔。
20xx.11.01～20xx.11.30 完成BAB的概要設計文檔。
20xx.12.01～20xx.01.31 完成詳細設計文檔。
20xx.02.01～20xx.04.30 完成本項目的編碼工作，同時對數據傳輸安全體系的合理性進行測試和修改。
20xx.05.01～20xx.05.31 系統(tǒng)測試，并對其中的問題進行修改。撰寫論文初稿。
20xx.06.01～20xx.08.31 完成畢業(yè)論文。
20xx.08 論文答辯。
一、立論依據
課題來源、選題依據和背景情況、課題研究目的、工程應用價值
課題來源：
本課題來源于“中國商務港”一個全方位資源運營電子商務平臺的實際課題。這是由科技部立項、國務院發(fā)展研究中大力支持的一個項目。中國商務港的運營模式是BAB(Business Agent Business)，即通過代理實現的、以廣義的資源運營為特征的企業(yè)間電子商務模式。它與B2B(Business to Business)的主要區(qū)別在于：把現代信息技術提供的迅速、方便的服務和以代理(Agent)方式提供的安全、可靠的服務有機地融為一體，以解決在中國推廣電子商務的瓶頸問題——信譽問題、支付問題和物流問題。通過優(yōu)質的服務吸引和凝聚一批有價值的客戶并保證客戶在交易過程中的利益不受侵害，大限度的整合了社會資源。
中國商務港與北京數字認證中心、銀行、質檢等多家職能部門的合作形成了一個整體的“代理”，為在線操作的客戶提供支付、身份認證、質檢、仲裁等服務，它全方位的服務體系對安全性有著很高的要求。
選題依據和背景情況：
選題依據中國商務港項目的實際需求及市場調研結果。
中國商務港是幫助企業(yè)實現資源運營的電子商務平臺，它的宗旨是使企業(yè)通過本平臺能從全球的視野審視自身擁有的資源，充分發(fā)揮自身的優(yōu)勢，以合理的代價利用和橇動其他主體資源，通過資源整合、合作共贏的方式，充分發(fā)揮各種資源的效能，獲取佳的經濟效益。
BAB平臺不僅要為企業(yè)提供真實有效的信息，還要為企業(yè)搭建一個能夠實現網上安全交易的渠道;不僅提供買賣的交易方式，還要提供租賃、資源配置、拍賣等多種交易方式;交易的對象除了實物產品，還包括無形資產、產權、服務和生產能力等各種類型的資源。大量的網上交易勢必對安全性方面提出了很高的要求，數據在傳輸過程中必須保證安全、保密、可靠，用戶在支付過程中必須保證其經濟利益不受侵害、賬戶信息不被盜用等。
課題研究目的：
針對BAB平臺的特點，形成一套安全體系確保其所有數據傳輸過程的安全。這一安全體系終將確保該平臺能夠承擔起保證自身7*24小時無故障運行的同時保證客戶安全交易的重任。提高BAB模式中“代理”所占的地位，從電子商務角度出發(fā)，真正意義上解決整個商務過程中的各種數據在傳輸過程中的可用性、完整性、保密性問題，從而確保平臺的每一位使用者的利益。
工程應用價值：
通過本課題的研究，排除了電子商務重點環(huán)節(jié)的不安全因素，使交易全程線上進行成為可能。與此同時，大大增強了顧客對網上交易安全性的信心，使企業(yè)特別是一些人力資源、技術力量相對匱乏的中小型企業(yè)相信網上交易，愿意網上交易。促成了更多資源的合理整合，拓展了普通電子商務或行業(yè)電子商務的局限性。對于中國商務港的運營商來說，增加了平臺的安全性及可靠度就意味著提高了運營商的信譽和利潤。
二、文獻綜述
國內外研究現狀、發(fā)展動態(tài)
國內外研究現狀
隨著電子商務的發(fā)展，其安全問題引起了世界各國廣泛關注，與此同時世界范圍內的各種法規(guī)也隨之健全，德國、韓國、意大利、西班牙和美國的許多州已經通過數字簽名和身份認證法律。另外，兩大國際信用卡組織VISA和MasterCard合作制訂的安全電子交易(SET)協議定義了一種電子支付過程標準，其目的就是保護萬維網上支付卡交易的每一個環(huán)節(jié)。國外有關電子商務的安全技術，雖然整體來看其結構或加密技術都不錯，但這些算法(無論是對稱的還是非對稱的)都受到了外國密碼政策的限制，因此強度普遍不夠。
這些年來，我國也興起了電子商務熱潮。然而，由于我國電子商務起步相對較晚，技術相對落后，缺乏具有自主知識產權的安全產品，因此在安全問題上，我國電子商務面目前仍然面臨著如下幾個問題：
① 法律方面：雖然我國從2000年起就醞釀在電子商務方面立法，但是到目前為止這方面的法律法規(guī)仍然不夠建全。遲至2004年3月24日，國務院才原則通過了《中華人民共和國電子簽名法(草案)》。
② 信用體系方面：立法可以解決部分安全問題，但電子商務的信用問題卻依然存在。與國外不同，中國信用體系面臨著信用信息條塊分割的問題。銀行、稅務、法律等部門都有各自的信息庫，但這些信息很難聯網，更不要說與全社會共享了。對于電子商務交易投訴越來越多，網上欺詐、毀約、貨不對版等一系列信用問題，成為了眾多網商考慮的問題，信用的缺失導致對電子安全性的要求更為強烈。
③ 安全攻擊：計算機系統(tǒng)遭受病毒感染和破壞的情況相當嚴重，黑客襲擊成為主要的安全威脅，從國內情況來看，目前我國95%與互聯網相連的網絡管理中心都遭受過境內外黑客的攻擊或侵入，其中銀行、金融和證券機構是黑客攻擊的重點。
④ 信息基礎設施：我國信息安全研究起步較晚，設施方面比較薄弱，據英國《簡氏戰(zhàn)略報告》和其它網絡組織對各國信息防護能力的評估，我國被列入防護能力低的國家之一。
⑤ 安全體系：目前我國使用的網絡安全產品基本上是"舶來品"，開發(fā)我國自己的網絡安全產品已成為不可回避的問題。我國網絡安全還沒有形成一個完整體系，雖然有關電子商務安全的產品數量不少，但真正通過認證的卻相當少，這主要是因為其中不少安全措施是從網上直接拿下來的。
發(fā)展動態(tài)
社會方面，隨著Internet的發(fā)展，電子商務的發(fā)展前景十分誘人，其安全問題也變得越來越突出，如何建立一個安全、便捷的電子商務應用環(huán)境，對信息提供足夠的保護，已經成為商家和用戶都十分關心的話題。人們已經認識到了中國電子商務不斷暴露的信用、安全問題會影響到電子商務自身的發(fā)展，并在積極地改善這一現狀。
技術方面，網絡安全技術、加密技術、數字簽名、電子印章、認證中心與數字證書等安全技術已被廣泛應用于目前的電子商務領域。隨著電子商務支付系統(tǒng)與各大銀行間的接口漸漸無縫化，網上銀行的安全機制也成為保障電子商務支付安全的一個重要手段。與此同時，SET等安全協議被廣泛認可并應用到電子商務平臺，這使得保證電子商務安全的有效性、機密性、完整性和不可否認性成為可能。如今，人們正在根據新的需要，不斷完善電子商務安全機制，保障這一行業(yè)的健康有序發(fā)展。
三、研究內容
1.主要研究內容及關鍵技術
主要研究內容
本課題是在BAB資源運營模式基礎上，對安全體系的研究及數據傳輸安全的設計與實現，目的是保證網上交易過程中數據的機密性與完整性。主要內容如下：
① 電子商務交易安全體系的理論研究。
② 加密技術包括對稱密鑰加密和非稱密鑰加密，及混合密碼系統(tǒng)(即所謂的電子信封技術)，本課題則要結合BAB平臺的特點，選取一種合適的加密方式對數據的傳輸、存儲進行加解密處理，實現數據傳輸、處理、存儲過程中的機密性，完整性和可用性。
③ 通過研究PKI技術的理論及其在系統(tǒng)中的應用，真對各種安全協議，把寬帶互聯網在一定的安全域內變成一個可控、可管、安全的網絡，使數據在這樣的網絡中達到安全傳輸的目的。
④ 使用電子簽章確保數據在傳輸過程中的完整性及合同的不可篡改性、不可抵賴性。
⑤ 根據結算中心工作的特殊性，傳輸數據的敏感性，搭建一個適合其運作的虛擬專用網，通過VPN來解決數據加密強度不夠等問題，使結算子系統(tǒng)與主系統(tǒng)之間建立安全的信道。
⑥ 利用一些第三方工具或軟件，實施必要的登陸管理及存取授權管理，使用戶對數據的各種操作都在角色允許的范圍內。
關鍵技術
① 加密技術
加密技術是保證電子商務信息安全的重要手段，目前，很多密碼算法已成為網絡安全和商務信息安全的基礎。加密技術包括對稱密鑰加密和非稱密鑰加密，及混合密碼系統(tǒng)(即所謂的電子信封技術)可用來保證電子商務的保密性、完整性、真實性和不可否認性。
② PKI技術(Public Key Infrastructure)
PKI意為“公鑰基礎設施”。簡單地說就是利用公鑰理論和技術建立的提供信息安全服務的基礎設施。這種方式既保證了信息的機密性，又能保證信息具有不可抵賴性。
③ IPSec技術
IPSec技術是一組協議的總稱，在其應用中，同時使用了用于保障完整性和真實性的AH協議，和進行數據加密用于保障數據的私有性的ESP協議，來保證傳輸過程中的數據安全。
④ 網絡安全技術_VPN
網絡安全技術是電子商務安全的基礎。它所涉及的內容較多，在本課題中對敏感的設備和數據要建立必要的物理或邏輯隔離措施，因而主要涉及了虛擬專用網(VPN)技術，它可以在兩個系統(tǒng)之間建立安全的信道(或隧道)，用于電子數據交換(EDI)?，F有的或正在開發(fā)的數據隧道系統(tǒng)可以進一步增加VPN的安全性，因而能夠保證數據的保密性和可用性。
⑤ 數字簽名技術
數字簽名是實現認證的重要工具，在電子商務系統(tǒng)中是不可缺少的。能夠在電子文件中識別雙方交易人的真實身份，保證交易的安全性和真實性以及不可抵賴性，起到與手寫簽名或者蓋章同等作用的簽 名的電子技術手段，稱之為電子簽名。
⑥ 雙重簽名加密技術。
雙重簽名的目的是為了連接兩個發(fā)送給不同接收者的報文。
⑦ 電子商務安全標準
電子商務安全標準主要涉及幾種安全協議，如安全套按層協議(SSL)、安全的超文本傳輸協議(S—HTTP)、安全電子交易協議(SET)等。
2.擬采取的研究方法、技術路線、實施方案及可行性分析
擬采取的研究方法
實踐法：通過參與整個項目的研發(fā)達到深入了解需求，從而實現安全保障功能的目的。在實踐過程中，不僅能夠鍛煉自己的動手能力，更可以檢驗理論的正確性及在實際項目中的應用價值。
技術路線
本課題使用UML進行建模，JAVA語言實現代碼部份，并采用三層架構的標準模式;利用安全超文本傳輸協議(S-HTTP)、安全套接層協議(SSL)、安全電子交易協議(SET)等保障基本數據傳輸安全，并使用建立在PKI技術基礎上的第二代安全認證體系;而加密過程根據密鑰類型不同在不同需求上擬采用不用的加密技術：私鑰加密(對稱加密)系統(tǒng)或公鑰加密(非對稱加密)系統(tǒng);對于敏感數據采取多種措施進行保護，后形成一套完整的數據傳輸安全體系。
實施方案
實施過程主要包括需求分析、概要設計、詳細設計、編碼實現和測試幾個階段。
① 需求分析：根據對目前電子商務市場的調研，針對BAB模式的特點，了解系統(tǒng)整體需求。同時，了解目前此領域遇到較多的數據傳輸安全性問題，總結出符合此項目的安全需求，并整理得到系統(tǒng)需求規(guī)約。
② 概要設計：根據系統(tǒng)需求規(guī)約，對安全體系構建及數據傳輸安全進行系統(tǒng)總體框架結構的設計，完成概要設計說明書
③ 詳細設計：完成系統(tǒng)詳細功能模塊的劃分，給出詳細功能結構圖，對系統(tǒng)每個功能模塊都給出設計實現的詳細方案，完成系統(tǒng)詳細設計說明書。
④ 編碼實現：根據詳細設計說明書所描述的安全體系構建及數據傳輸安全規(guī)約，實現其功能，調試編碼。
⑥ 測試：根據系統(tǒng)要求對系統(tǒng)各個功能模塊和整個系統(tǒng)實現運行狀況進行測試，檢驗系統(tǒng)實現是否符合安全性要求，對測試結果進行分析形成系統(tǒng)測試報告。
可行性分析
電子商務經過多年的發(fā)展已形成了一套較為成熟數據傳輸安全體系，技術方案也相對完善，這為本項目的成功實施提供了一定的技術可行性：
目前我們已經形成了一套較完整的電子商務安全標準，包括SSL、S-HTTP、SET等安全協議，這為安全體系的研究奠定了基礎。PKI(公共密鑰基礎設施)是在Internet上建立信任的一種技術選擇，它是一種使用公共和私有密鑰對來保證通信的可靠性、 完整性和保密性的安全基礎設施。而目前加密算法的開發(fā)與不斷完善，也為本項目提供了強大的技術可行性。
同時，本項目受到國家和社會的廣泛關注及支持，這為研發(fā)工作提供了大量人力、物力、財力，使得本課題的研究具有相當大的市場可行性。
3.預期目標
通過本課題的深入研究，讓使用BAB平臺的用戶真正得到安全保障。讓傳輸過程中的數據機密、完整、不可截獲，終形成一個完善的數據傳輸安全體系。
① 根據BAB模式的特點，研究適合它運作的安全體系
② 對敏感的信息進行加密，保證其在傳輸過程中安全、完整、不可篡改、不被盜用。
③ 使用虛擬專用網保證系統(tǒng)中的財務部分被有效隔離，以避免不必要的網絡威脅。
④ 利用各種安全技術保證數據在傳輸過程中的安全。
四、研究基礎
理論基礎：
1、 計算機硬件及網絡基本知識
2、 J2EE架構
3、 Unix與Linux基礎知識及操作系統(tǒng)原理
4、 電子商務安全體系相關知識
5、 網絡安全基本知識
6、 數字認證原理
7、 加密技術及策略
8、 算法理論學習
9、 電子商務相關知識
10、 財務系統(tǒng)相關知識，包括支付、結算等領域
11、 虛擬專用網相關技
參考資料：
1、 盧昱 王宇 主編 《計算機網絡安全與控制技術》 北京希望電子出版社
2、 (美)威爾森(Wilson,C.),(美)杜瓦克(Doak,P.)著 《虛擬專用網的創(chuàng)建與實現》 機械工業(yè)出版社
3、 關振勝 著 《公鑰基礎設施PKI與認證機構CA》 電子工業(yè)出版社
4、 雷詠梅 趙霖 著 《計算機網絡信息安全保密技術》 清華大學出版社
5、 (美)Teri Bidwell，Michael Cross，Ryan Russell 著 《信息時代的個人安全策略》 科學出版社
6、 (美)Marc Farley，Tom Stearns，Jeffrey Hsu 著 《網絡安全與數據完整性指南》機械工業(yè)出版社
7、 Christian Huitema 著 《IPv6 The New Internet Protocol Second Edition》清華大學出版社
8、 Karl Kopper 著《Linux企業(yè)集群-用商用硬件和免費軟件構建高可用集群》 中國水利水電出版社
9、 周亞建[等] 編著 《網絡安全加固技術》 電子工業(yè)出版社
10、 William Stallings 著 《Network security essentials 》 清華大學出版社
11、 (美) Kevin Kenan著 《數據庫加密》電子工業(yè)出版社
12、 (美) Mark Egan, Tim Mather著 《沒有任何漏洞》電子工業(yè)出版社
13、 趙泉編 著 《網絡安全與電子商務》清華大學出版社
14、 (美) Charlie Kaufman, Radia Perlman, Mike Speciner著《網絡安全》電子工業(yè)出版社
五、工作計劃
20xx.08.01～20xx.08.31 收集所需的信息和資料，積累在論文和項目完成期間可能用到的概念以及行業(yè)動態(tài)。計劃未來研究目標，撰寫開題報告
20xx.09.01～20xx.10.31 研究安全體系構建及數據傳輸安全的現有技術并進行相關試驗，完成BAB平臺的需求分析文檔。
20xx.11.01～20xx.11.30 完成BAB的概要設計文檔。
20xx.12.01～20xx.01.31 完成詳細設計文檔。
20xx.02.01～20xx.04.30 完成本項目的編碼工作，同時對數據傳輸安全體系的合理性進行測試和修改。
20xx.05.01～20xx.05.31 系統(tǒng)測試，并對其中的問題進行修改。撰寫論文初稿。
20xx.06.01～20xx.08.31 完成畢業(yè)論文。
20xx.08 論文答辯。