B2C电子商务用户信息安全问题分析及建议

信 息安 全 是 指 由于各 种 原 因引起 的信 息泄 露 、 信 息 丢 失 、 息 篡 改 、 息 虚 假 、 息 滞 后 、 息 不 完 善 信 信 信 信 等， 以及 由此 带来 的风 险 。从 上世 纪 ９ ０开 始 出现 电子 商务 模式 ， 国 的电子 商务取 得 了快速 发展 。 电子 商 我 与 务发 展 的同 时 ， 息安 全 问题 也一 直存 在 ， 信 而且 问题 的 形 式 也在 不 断变化 。 ２１ ０ １年底 ， 电子商 务 企业 就发 生 了一 系 列用 户 信 息泄 露 的事件 ：
ｏ ｎｆ ｒ ａ ｉ ｎ Ｓｅ ｕｒ ｔ ｆ Ｉ ｏ ｍ ｔ ｏ ｃ ｉｙ
ＹＡＮＧ ａ ｆ ｎ Ｘｉｏ—ｅ ｇ
（ ｈ ｎ ｉＡｒ ｈ ｔ ｃｕ ａ ｌ ｇ ， ｉ ｕ ｎ ０ ０ ０ ，Ｃｈ ｎ Ｓ ａ ｘ ｃ ｉ ｔ ｒ ｌＣｏｌ ｅ Ｔａ ｙ ａ ３ ０ ６ ｅ ｅ ｉ ａ）
ｓ ｃ ｒｔ ． ｅ ｕ ｉｙ Ｋ ｅ ｒ ｓ： Ｃ ， — ｏｍ ｍ ｅ ｃ ｕｓ ｒ ｉ ｆ ｒ ａ ｉ ｙ ｗｏ ｄ Ｂ２ ｅ ｃ ｒ ｅ， ｅ ｎ ｏ ｍ ｔｏｎ， ｅ ｕｒｔ ｐ ｏ ｅ ｓ ｓ ｃ ｉｙ， ｒ ｂｌｍ
１ 我 国 电子 商 务 用 户 信 息 的 安 全 状 况 介 绍
＊ ＊ 杨 晓峰 ， ，９ ９年 生 ， 士 ， 究方 向 ： 男 １７ 硕 研 电子 商 务 。
第 ２ ５卷
第 ９ 期
电 脑 开 发 与 应 用
商 务 网 站 中 ， 东 、 当都 属 于大 型 Ｂ Ｃ 电子 商务 网 京 当 ２
库 中 。当用 户 知道 ＭＤ５值 的 时候 可 以查 找 数据 库 中
所 以简 单 较短 的密码 做 ＭＤ５运算 时起 不 到任 何 保 密 作用 的 （ ＨＡ一 算 也是 一样 起 不 到保 密 作用 ） Ｓ １运 。 但是 ， 过长 的 密码显 然 又不 利于 用户 记忆 。 何提 高密 如 码 的抗 破解 能 力 ， 又方 便用 户不 用记 忆过 长 的密码 呢 ？
站 ， 些 网站 的用户信 息真 实可靠 ， 这 而且有 的账 户 中可 能还 有 资金 可 以使用 。黑客设 法获 取这些 用户 信息 和
资金 的根本 的原 因就是利 益 。
的 ＭＤ５ Ｓ （ ＨＡ一 ） ， 果 ＭＤ５ Ｓ １值 如 （ＨＡ— ） 存在 ， 么 １值 那
就 能获 取相 应 的密码 原 文 。
ｉ ｆ ｒ ａ ｉ ｎ Ｔｈ ｏ ｇ ｈ ｎ ｌ ｓｓ ｏ ｕ ｒ ｎ ｓ ｒ ｉ ｆ ｒ ｔ ｎ ｓ ｏ ａ ｅ ｈ ｓ ｐ ｐ ｒ ｕ ｅ ａ ｉ ｔ ｆ ｓ ｃ ｒｔ ｎ ｏ ｍ ｔｏ ． ｒ ｕ ｈ ｔ ｅ ａ ａ ｙ ｉ ｆ ｃ ｒ ｅ ｔ ｕ ｅ ｎ ｏ ｍａ ｉ ｔ ｒ ｇ ，ｔ ｉ ａ ｅ ｓ ｓ ａ ｖ ｒｅ ｙ ｏ ｅ ｕ ｉｙ ｏ
（ ）如 果用 户 账户 中有 资金 ， 客 破解 用 户 密 码 １ 黑
后 ， 可轻 易 盗取 ； 便
（ ）黑 客还 可 以将这 些盗取 的信 息 出卖 给垃圾 邮 ２ 件、 垃圾 短信 发送 公 司 ， 以获得报 酬 ； （ ）黑 客 根据 获 取 的用 户 信息 ， 测 用户 的密 码 ３ 猜 编 写 习惯 ， 图破 解 用 户 的 ＱＱ 账号 ， 戏账 号 ， 付 试 游 支
Ａｂ ｔ ａ ｔ Ｕｓ ｒ Ｉ ｏ ｍａ ｉ ｎ ｓ ｃ ｒｔ ｓ ａ ｍｐｏ ｔ ｎｔｐａ ｔ ｏ ｈｅ Ｂ２ ｅ ｃ ｍ ｍｅ ｃ ｅ ｕ ｉｙ． ｔ ｎ ｓ ｒ ｃ ： ｅ ｎｆ ｒ ｔｏ ｅ ｕ ｉｙ ｉ ｎ ｉ ｒ ａ ｒ ｆ ｔ Ｃ — ｏ ｒ ｅ ｓ ｃ ｒｔ Ａｔ ｈｅ ｅ ｄ ｏｆ ２ ０１ １，ｔ Ｃ － ｏｍｍｅ ｃ ｕｓｎ ｓ ｓ ｒ ｉ ｆ ・ ａ ｉ ｅ ｋａ ｅ，ｌｄ ｔ ｅ ｏ ｓ ｄ ｒ ｔｏｎ ａｂ ｕｔｔ ｅ ｓ ｃ ｒ ｔ ｆｕｓ ｒ ｈｅ Ｂ２ ｅ ｃ ｒ ｅ ｂ ｉ ｅ ｓ ｕ ｅ ｎ ａ ｍ ｔｏｎ ｌａ ｇ ｒ ｅ ｏ ｒ ｃ ｎ ｉ ｅ ａ ｉ ｏ ｈ ｅ ｕ ｉｙ ｏ ｅ
ｍｅ ｓ ｅ ａ ｕｒ ｓ， ａｍ ｉ ｇ ｔ ｏ ｉ ｎ ａ ｈ ｗ ｔ ｍｐｒ ｅ ｈｅ ｏｉ ｏｖ ｔ Ｂ２ Ｃ ｅ ｃ ｍ ｍｅ ｃ ｕ ｅ ｉ ｆ ｒ ｔｏ ｓ ｆ ｔ ｎｄ －ｏ ｒ ｅ ｓ ｒ ｎ ｏ ｍａ ｉ ｎ ａ ｅ ｙ ａ ｐｕｔ ｆ ｒ ｒ ｓ ｍｅ ｓ ｏ ｗａ ｄ ｏ ｐｒ ｃ ｉａ ｏｌ ｔｏ ａ ｔｃ ｌｓ ｕ ｉ ｎｓ。ｕｓｎｇ ＰＨＰ ｏ ａ ｈｉ ｖ ．Ｈｏｐ ｏ ｂｅ ａ ｅ ｔ ｎ ｒ ａ ｅ ｔ ｅ ｉｂｉｉｙ ｏｆｔ ｅ ｕ ｅ ’ ｎｆ ｍａ ｉ ｎ ｉ ｔ ｃ ｅ ｅ ｅ ｔ ｂｌ ｏ ｉ ｃ ｅ ｓ ｈｅ ｒ ｌａ ｌｔ ｈ ｓ ｒ Ｓ ｉ ｏｒ ｔｏ
＊ 国内著 名 的 电 子商 务 网 站 当 当 网存 在严 重 系 统漏 洞 ， 人用 户轻 易就可 以抓 取到 总共 ４ ０ 个 ０ ０多万 个 当 当用 户 的姓 名 、 系 方 式 、 址 等 个人 详 细 资料 （ 联 地 南
方 日报 ） ；
＊ 支 付 宝 被 泄 露 的 用 户信 息 总量 达 １５ ０万 ～ ０ ２５ ０ 之多 ， 露 的 信 息 只 限支 付 宝用 户 的账 号 ， ０ 万 泄 没
３ １ 加 强用户 密码 的保护 。 ．
环 冗 余 校 验 运算
￥ｓｒ ｔ２一 ｍｄ （ ｔ１ ；／执 行 ＭＤ５数 据 摘 要 运 算 ５ ￥ｓｒ ） ／
Ｂ Ｃ 电 子 商务 用 户 信 息 安 全 问 题 分 析 及 建 议 ２
文 章 编 号 ：０ ３５ ５ （０ ２ ０ —０ ２０ １０ —８ ０ ２ １ ） ９０ ５ —３
Ｂ Ｃ 电子 商务 用 户 信 息 安全 问题 分 析及 建 议 ２
杨 晓峰
（ 山西 建 筑 职业 技术 学 院 ， 原 太 ０００） ３０ ６
以上 ） 实现 如下 ：
￥ｓｒ ｔｌ— Ｃ Ｃ ２ ￥ｐ ｓ ｗ ｒ ） ／ Ｒ ３ （ ａ ｓ ｏ ｄ ； ／对 密 码 执 行 Ｃ Ｃ ２循 Ｒ ３
本 文 主要 从 Ｂ Ｃ电子 商 务 网站 程 序 设 计 角度 出 ２ 发 ， 谈 提高 电子 商务 的用户信 息安全 的方法 。 谈 从 ２１ ０ １年底 的 Ｂ Ｃ电子商 务 网站 泄露用 户 信息 ２ 事 件 中 ， 过分 析 ， 客对用 户 的密 码和用 户其 他信息 经 黑 （ 电话 号码 ， 号码 ， ｍａｌ都 很感兴 趣 。 了保 护用 ＱＱ Ｅ ｉ ） 为 户 信息 ， 护 网站的信 誉 ， 们必须 对 网站本身 做 出安 维 我 全 修 改 ， 高用 户信息 的抗 破解能力 。 提
宝 账 号等 其 他账户 信息 。 如果破解 成 功 ， 将获 得更 多 的
收益 ；
下 面 介 绍两 种 提 高密 码 安 全 系数 的几 种 做 法 ， 且 使 并
用 Ｐ ＨＰ语 言 进行 了实 现 。
（ ）在 ＭＤ５运 算 之 前 加 人 Ｓ １ ＨＡ一 １安 全 散 列 运 算 。 ＨＡ １散列 运算 的 产生 长度 为 １ ０ｂｔ Ｓ 一 ６ ｉ 的散 列值 ， 然后 将 Ｓ ＨＡ一 １运算 的结 果再 进 行 ＭＤ５运 算 ， 可 以 也 使 用 ＭＤ５的变 种 算 法进 行 加 密 ［ 。利 用 穷 举 法穷 举 ４ ］ Ｓ ＨＡ一 算 结 果 难 度 很 大 ， １运 因此提 高 了 ＭＤ５的抗 破 解能 力 。这样 的好 处是 数据 库依 然保 存 的是 ＭＤ５值 ， 不需 要 修 改数 据 库 中密 码 的字 段 长度 ， 又增 加 了 密码 的破 解难 度 。Ｐ ＨＰ（ ＨＰ Ｐ ４以上 ） 的实 现如 下 源自文库
等 （ 国财经 网 ） 中 ；
＊ 收稿 日期 ：０ ２０ —８ 修 回日期 ：０ ２０— ６ ２ １ —５１ ， ２ １—７２
结 果 的关 键 时候 ， 然有 人 去 盗取 电子商 务 网站 的 用 突 户信 息？ 客利 用 自己掌握 的 网络攻击 技术 ， 取 电子 黑 获 商务 网站用 户 的 资料 ， 比如 ： 户名 、 用 密码 、 邮箱 、 手机 号码 、 号码 ， 竟 意欲何 为？此次 受 到攻 击 的 电 子 ＱＱ 究
￥ｓｒ ＝ｓ ａ （ ａｓ ｒ） ／ ｔｌ ｈ ｌ ￥ｐ ｓｗｏｄ ；／对 密 码 执 行 Ｓ ＨＡ一 全 散 １安
列 运 算
（ ）黑 客 也 可 以将 自己获 取 的数 据 库包 转 卖 ， ４ 从
中牟 利 。 黑 客 攻击 电子商 务 网站 的理 由很 多 ， 电子 商 务面 临 巨大 的 挑 战 ， 尤其 是 自身涉 及资 金管 理 的 Ｂ Ｃ电子 ２
摘
要 ： 户 信 息安 全是 Ｂ Ｃ电 子 商 务 安 全 中 的一 个 重 要 部 分 。２ １ 用 ２ ０ １年底 ， ２ 电子 商 务 企 业 用 户 的信 息 泄 露 ， ＢＣ 引发 了对 用 户
信 息安全的再度思考 。 通过分析现 阶段用户信 息保存方 式 ， 综合运用 多种安全手段 ， 针对如何提高 Ｂ Ｃ电子商务用户信息安全提 出 ２
有密码 （ 浪财 经 ） 新 。
２ 电子 商务 信 息 安全 问题 分 析
电子商 务 的用 户 安 全 问题 爆 发 以前 ， 全 隐 患就 安
一
直存在 ， 为什么在 电子商务 发展 了多 年 ， 即将 开 花 在
＊ 京东 商 城 在 某些 业 务 上 存 在 用 户权 限控 制 不 当的漏 洞 ， 导致 使用 任意 用户 登录 系统后 ， 可 以正 常 都 访 问 到所有 用 户 的信 息 ， 包括 ： 姓名 、 地址 、 电话 、 ｍａ Ｅ ｉ ｌ
￥ｓｒ 一ｍｄ （ ｔ１ ；／执 行 ＭＤ５数 据 摘 要 运 算 ｔ２ ５ ￥ｓｒ ）／
（ ）在 ＭＤ５运 算 之前 加人 Ｃ ３ ２ ＲＣ ２运算 ， 后 将 然 Ｃ ３ 运 算 的结果 再 进行 ＭＤ５运算 。这 样 的好处 是 ＲＣ ２ 数 据 库 依 然 保 存韵 是 ＭＤ５值 ， 不需 要 修 改数 据 库 中 密码 的字段 长度 。在 破解 了 ＭＤ５运算 的原 文之后 ， 也 只能 得 到密 钥 Ｃ ３ ＲＣ ２运 算 的 结果 ， 于 Ｃ ３ 由 ＲＣ ２运 算 的结 果 和原 文之 间没 有很 强 的一 一对 应 关 系 ， 以逆 所 推 Ｃ Ｃ３ Ｒ ２的结 果很难 得 到密 码原 文 ， 因此增 加 了密码 安全 性 ， 而且 运算 强度 要 小于第 １种 方法 。 ＨＰ Ｐ ４ Ｐ （ ＨＰ
一
些实际解决方法 ， 并且 使用 Ｐ ＨＰ进行 了实现。希望能够增加用户信息安全 的可靠程度 。
关 键 词 ： ２ 电子 商 务 ， 户 信 息 ， 全 ， Ｂ Ｃ， 用 安 问题
中 图 分 类 号 ． Ｐ ９ ． ８ＴＰ ０ ． Ｔ ３ ３０ ， ３９ ２ 文献标识码 ： Ａ
Ａｎａ ｙ ｉ ｎ ｃ ｍ ｍ ｅ ｌ ｓ ｓ ａ ｄ Ｒｅ ｏ ｎｄａ ｉ ｎｓ ｏ Ｃ Ｃｏ ｍ ｅ ｃ ｅ ｓ ｔｏ ｆ Ｂ２ Ｅ－ ｍ ｒ ｅ Ｕｓ ｒ
商务 网站 ， 安全 问题更 为严重 。
３ 提 高 Ｂ２ 电子 商 务用 户 信 息 安 全 的 Ｃ
建 议
Ｂ Ｃ 电子 商务 面对 的挑 战很 多 ， 全 方面 的 挑 战 ２ 安 更为巨大； 如果 用户 信 息不 安 全 ， 户 担心 信 息泄 露 ， 用
而 不愿 意 通过 Ｂ Ｃ 电子 商务 网站进行 交易 。 ２