【正文】 時(shí)間、是否注冊(cè)、序列號(hào)、用戶名、用戶角色查詢。 2．主界面模塊設(shè)計(jì) 系統(tǒng)主界面為單文檔應(yīng)用程序，將用戶窗 口視圖切割分為左右兩部分，分別顯示樹節(jié)點(diǎn)和用戶信息、用戶操作，通過(guò)不同的樹節(jié)點(diǎn)顯示操作信息和查詢信息。 系統(tǒng)啟動(dòng)時(shí)首先彈出登陸對(duì)話框，如圖 51 所示。只有通過(guò)驗(yàn)證的用戶才能進(jìn)入系統(tǒng)，根據(jù)用戶權(quán)限 ，構(gòu)造了兩種不同的 主界面 =。 （五）界面窗口設(shè)計(jì) 系統(tǒng)主框架是使用 BCG 模版下 MFC 創(chuàng)建向?qū)?chuàng)建的基于單文檔的應(yīng)用程序，工程名為“ SCMKey”。在工程中導(dǎo)入 ADO 對(duì)象后，就可以通過(guò) Connection對(duì)象連接數(shù)據(jù)庫(kù)了。在 MFC 應(yīng)用里，一般在應(yīng)用類的InitInstance 成員函數(shù)里初始化 OLE/COM 庫(kù)環(huán)境比較合適。在頭文件“ ”中，通過(guò)導(dǎo)入符號(hào)“ import”導(dǎo)入 ADO 庫(kù)文件，如下： import C:\Program Files\Common Files\System\ADO\ no_namespace rename(EOF, adoEOF) 編譯時(shí)會(huì)生成 、 兩個(gè)頭文件來(lái)定義 ADO 庫(kù)。在 Access20xx中，首先創(chuàng)建數(shù)據(jù)庫(kù) SCMKey,然后就可以在該數(shù)據(jù)庫(kù)中創(chuàng)建各表，最終實(shí)現(xiàn)結(jié)果如圖 47 所示。其邏輯結(jié)構(gòu)如表 44 所示。 表 42 USBKey 數(shù)據(jù)表字段描述 字段名 描述 類型 說(shuō)明 Company 硬件廠商 文本 ModelNum 產(chǎn)品型號(hào) 文本 USB Key 唯一標(biāo)識(shí) SerialNum1 序列號(hào) 文本 Firmware 固件版本 文本 Hardware 軟件版本 文本 PinLong 最大 PIN 長(zhǎng)度 文本 PinShort 最小 PIN 長(zhǎng)度 文本 AuthorType 角色 文本 Key 的種類 IsRegister 硬件狀態(tài) 文本 USB Key 是否注冊(cè) RegTime 注冊(cè)時(shí)間 文本 日期 /時(shí)間 UserInfo 表用于記錄用戶信息， 包含用戶單位、序列號(hào)、用戶名、授權(quán)管理員、電話等信息， 該表的邏輯結(jié)構(gòu)如表 43 所示。 17 RptLog 表 用于記錄操作員的操作日志信息， 包含操作用戶、 USBKey 序列號(hào)、操作類型、操作結(jié)果、操作時(shí)間等信息， 該表的邏輯結(jié)構(gòu)如表 41 所示。 圖 45 USBKey 實(shí)體 ER 圖 此外，系統(tǒng)還需要對(duì)登錄用戶進(jìn)行管理，就需要一個(gè)登錄用戶表管理用戶信息，登錄用戶實(shí)體的 ER 圖如圖 46 所示。 圖 43 操作信息實(shí)體 ER 圖 UserInfor 用戶信息記錄關(guān)于用戶的的信息，其中 ER 圖如圖 44 所示。為了維護(hù)數(shù)據(jù)的完整性和準(zhǔn)確性，將 USBKKey 中實(shí)體的用戶信息、用戶操作日志信息、 USBKey 信息提取出來(lái)，用單獨(dú)的表來(lái)存儲(chǔ)這些信息。后臺(tái)數(shù)據(jù)庫(kù)系統(tǒng)設(shè)計(jì)采用的是 Micorsoft 的 Access 20xx 數(shù)據(jù)庫(kù)系統(tǒng)。 （ 1）刷新、刪除列表控件的列 ； （ 2）樹控件的響應(yīng) ； （ 3） 驅(qū)動(dòng)的注冊(cè)和拔除、飛天 誠(chéng)信 USBKey 的枚舉 ； （ 4） Access 數(shù)據(jù)庫(kù)的記錄如何插入、查詢、修改語(yǔ)句的運(yùn)用。 MFC 的 CListCtrl類、 TreeCtrl 類提供了對(duì)列表控件和樹控件的封裝，還有 USBKey 的枚舉 和 Access數(shù)據(jù)庫(kù)的運(yùn)用 。 注意，系統(tǒng)運(yùn)行時(shí)，不必手工設(shè)置 ODBC 數(shù)據(jù)源，只需要將“ ” 、飛天和 BCG 動(dòng)態(tài)鏈接庫(kù) 復(fù)制到與系 統(tǒng)的可執(zhí)行文件“ ”同一目錄下 運(yùn)行 exe 即可。數(shù)據(jù)庫(kù)采用的是 Micorsoft 的 Access 20xx數(shù)據(jù)庫(kù)。這套類庫(kù)的核心使用了專有技術(shù)，從而可以實(shí)現(xiàn)復(fù)雜以及其它地方?jīng)]有的功能，比如完全可定制的工具欄和菜單、自動(dòng)隱藏 控制條、開分離的頁(yè)面窗口、復(fù)雜的 Dock 容器、換膚功能、高級(jí)的編輯器等等。 Visual C++是一種可視化的、面向?qū)ο蠛驼{(diào)用事件驅(qū)動(dòng)方式的結(jié)構(gòu)化高級(jí)程序設(shè)計(jì)，可以開發(fā) Windows 環(huán)境下應(yīng)用程序。另外，對(duì)操作員的操作進(jìn)行審計(jì)規(guī)范化。 ：只能 在 客戶端 登錄 ； ：能夠進(jìn)行策略管理、日志審計(jì)、系統(tǒng)卸載等； ：審計(jì)操作員的操作日志。 （三）系統(tǒng)設(shè)計(jì) 1．繪制用例圖設(shè)計(jì)系統(tǒng)功能 USBKey 管理工具，將飛天 Key 分為普通用戶、操作員、審計(jì)員三種角色。 操作員用戶可以在現(xiàn)有的 USBKey 設(shè)置基礎(chǔ)上，對(duì) USBKey 基本信息進(jìn)行管理，另外還可以查詢 Key 的各項(xiàng)信息。每個(gè)人都該為自己所做的操作負(fù)責(zé)，所以在做完事情之后都要留下記錄，以便核查責(zé)任。對(duì) USB Key 管理的用戶是操作員，對(duì) Key 進(jìn)行初始化，修改 用戶 PIN 碼，修改用戶名，注冊(cè)，注銷，解鎖等，都是針對(duì) USBKey 的操作。 由于 USBKey 具有安全可靠、攜帶方便、成本低廉的優(yōu)點(diǎn)，加上 PKI 的保護(hù)機(jī)制，使用 USBKey 認(rèn)證方式已經(jīng)成為 目前主要認(rèn)證模式。 USBKey 授權(quán)管理工具 系統(tǒng)，極大的提高保護(hù)用戶的信息財(cái)產(chǎn)安全性。 （一）開發(fā)背景 目前一般的認(rèn)證都是以“用戶 ID+口令”來(lái)進(jìn)行用戶的身份認(rèn)證 ,其中必然應(yīng)用了密碼技術(shù)。 USBKey身份認(rèn)證技術(shù)是近年來(lái)快速發(fā)展的一門身份認(rèn)證、識(shí)別技術(shù)，與傳統(tǒng)的用戶名加口令的認(rèn)證方式比較，其安全性和保障性更強(qiáng)，與生物認(rèn)證技術(shù)相比較， USBKey認(rèn)證技術(shù)操作簡(jiǎn)單，技術(shù)成熟，推廣應(yīng)用成本低，顯示了良好的發(fā)展前景，基于可信身份權(quán)限管理則應(yīng)運(yùn)而生。從而保障了消費(fèi)者用戶的財(cái) 產(chǎn)、信息的安全。 基于USBKey+ID+口令可以實(shí)時(shí)的保障用戶財(cái)產(chǎn)信息安全，同時(shí)也是 最常用的一種技術(shù)，用戶輸入自己的口令，計(jì)算機(jī)驗(yàn)證并給予用戶相應(yīng)的權(quán)限。 由于商務(wù)網(wǎng)絡(luò)環(huán) 境大量地充斥著風(fēng)險(xiǎn)、不確定性而又需要相互依賴且愈加復(fù)雜，電子商務(wù)信任問(wèn)題已成為決定網(wǎng)上交易成功與否的關(guān)鍵因素。不同的身份做不同的事情，相互的關(guān)聯(lián)和限制，從而大大的提高安全性。而數(shù)據(jù)加密技術(shù)則構(gòu)成了電子商務(wù)安全的基礎(chǔ)，可以說(shuō)，沒(méi)有數(shù)據(jù)加密技術(shù)，就沒(méi)有電子商務(wù)地安全。然而，互聯(lián)網(wǎng)絡(luò)的開放性和匿名性的特征使電子商務(wù)的安全問(wèn)題變得越來(lái)越突出，諸如信息的泄露或篡改，欺騙，抵賴等問(wèn)題。 （三） 可信身份 管理 的 研究前景 隨 著 Inter 和計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的蓬勃發(fā)展，人類正在進(jìn)入以網(wǎng)絡(luò)為主的信息時(shí)代，傳統(tǒng)的貿(mào)易正在向電子商務(wù)發(fā)展。 可以信賴的身份是交易安全的保證，現(xiàn)由于用戶名和密碼方式無(wú)法應(yīng)對(duì)日益猖獗的在線欺詐犯罪行為 ,各種身份認(rèn)證技術(shù)紛紛登場(chǎng) ,身份認(rèn)證技術(shù)是解決目前網(wǎng)上身份盜竊和在線欺詐的唯一有效手段。 更易于形成品牌的電子商務(wù)交易平臺(tái)的提供者在人10 們的 信任 中有著至關(guān)重要的作用 ,可以通過(guò)技術(shù)的利用 ,通過(guò)認(rèn)證方式的完備 ,通過(guò)信任評(píng)價(jià)體系的完善 ,通過(guò)有效的支付保證 ,促進(jìn)誠(chéng)信的互聯(lián)網(wǎng)文化的形成。大多數(shù)時(shí)候，我們使用用戶名 /密碼的方式完成了身份認(rèn)證，并獲得訪問(wèn)權(quán)限，然而在一些對(duì)安全較高的場(chǎng)合，用戶名 /密碼方式就無(wú)法滿足需要了，這個(gè)時(shí)候，就需要使用可信身份認(rèn)證了。 （二） 電子商務(wù)平臺(tái)可信身份 —— 開門之匙 每個(gè)人在生活中都會(huì)接觸到身份認(rèn)證，最常見的就是用鑰匙開門 。當(dāng)前，網(wǎng)絡(luò)上個(gè)人信息泄密現(xiàn)象非常嚴(yán)重，用戶隱私信息面臨威脅。 網(wǎng)絡(luò)空間用戶相關(guān)信息被收集，會(huì)產(chǎn)生一系列問(wèn)題，包括這些信息應(yīng)該存儲(chǔ)在哪里，所有權(quán)應(yīng)當(dāng)歸屬于誰(shuí)，誰(shuí)有權(quán)利控制使用這些信息，誰(shuí)應(yīng)當(dāng)對(duì)用戶信息的使用承擔(dān)責(zé)任等等。建議我國(guó)統(tǒng)籌協(xié)調(diào)研究、產(chǎn)業(yè)等各方 面資源，有計(jì)劃開展身份管理系列標(biāo)準(zhǔn)研究工作，同時(shí)組織國(guó)內(nèi)力量積極向國(guó)際組織提交議案，爭(zhēng)取設(shè)立由我國(guó)主導(dǎo)的研究議題，增強(qiáng)我國(guó)在身份管理標(biāo)準(zhǔn)化工作中的話語(yǔ)權(quán)與主導(dǎo)權(quán)。 第三，積極參與國(guó)際標(biāo)準(zhǔn)制定，掌握話語(yǔ)權(quán)。 目前美歐在身份管理技術(shù)和產(chǎn)品研發(fā)方面具有優(yōu)勢(shì)，我國(guó)在此方面還處于跟隨階段，缺乏相關(guān)的實(shí)施和嘗試。為此，必須將可信身份上升到國(guó)家戰(zhàn)略高度，出臺(tái)相關(guān)政策措施，整合各類資源，建立政府主導(dǎo)、市場(chǎng)主體的推動(dòng)機(jī)制，促進(jìn)網(wǎng)絡(luò)空間身份管理的發(fā)展。未來(lái)身份管理將更加重要，美國(guó)、歐盟等都在加強(qiáng)身份管理技術(shù)研發(fā) 和部署，已經(jīng)形成較強(qiáng)的技術(shù)優(yōu)勢(shì)。 第一，盡快制定我國(guó)網(wǎng)絡(luò)空間可信身份國(guó)家政策。歐美等發(fā)達(dá)國(guó)家對(duì)網(wǎng)絡(luò)空間身份管理高度重視，各國(guó)都希望充分發(fā)揮自己在此領(lǐng)域的主導(dǎo)作用。可信身份認(rèn)證是隨著網(wǎng)絡(luò)的發(fā)展而逐漸發(fā)展起來(lái)的，主要解決單純的用戶名 /密碼認(rèn)證方式的不安全因素。 可信身份認(rèn)證主要是利用以智能卡為核心的裝置，以數(shù)字證書作為驗(yàn)證的依據(jù)進(jìn)行用戶身份鑒別的一種手段。 （一） 可信身份 及應(yīng)用 所謂可信身份 ,顧名思義，就是 可以信賴的身份。目前電子商務(wù)工程正在全國(guó)迅速發(fā)展，實(shí)現(xiàn)電子商務(wù)的關(guān)鍵是要保證商務(wù)活動(dòng)過(guò)程中系統(tǒng)的安全性。然后要在這個(gè)平臺(tái)上對(duì)可信身份進(jìn)行管理是當(dāng)前電子商務(wù)界爭(zhēng)議最熱的議題。身份認(rèn)證是安全的重點(diǎn)，是解決目前網(wǎng)上在線欺詐的唯一有效手段。即使計(jì)算平臺(tái)終端存在黑客軟件，它也只能訪問(wèn)特定范圍內(nèi)的數(shù)據(jù)，將破壞降低到最少，并且它所有的違規(guī)操作都被審計(jì)系統(tǒng)記錄下來(lái)，終端平臺(tái)管理員可以根據(jù)審計(jì)的違規(guī)記錄對(duì)其進(jìn)行追蹤 。而身份識(shí)別為這種責(zé)任提供了重要的保證。 如果不進(jìn)行身份識(shí)別，第三方就有可能假冒交易方的身份，以破壞交易、敗壞被假冒一方的信譽(yù)或盜取被假冒一方的交易成果等。 建立信息安全體系的目的應(yīng)該是保證系統(tǒng)中的數(shù)據(jù)只能被有權(quán)限的人訪問(wèn)，未經(jīng)授權(quán)的人則無(wú)法訪問(wèn)到數(shù)據(jù)。 如何識(shí) 別某人的真實(shí)身份，進(jìn)而賦予其相應(yīng)的權(quán)限，從而允許其完成一定的操作，已經(jīng)成為目前安全領(lǐng)域中迫切需要解決的問(wèn)題。黑客的攻擊、病毒的肆虐等等都使得電子商務(wù)業(yè)務(wù)很難安全順利地開展；此外，電子商務(wù)的發(fā)展還面臨著嚴(yán)峻的內(nèi)部風(fēng)險(xiǎn)，電子商務(wù)企業(yè)內(nèi)部對(duì)安全問(wèn)題的盲目和安全意識(shí)的淡薄，高層領(lǐng)導(dǎo)對(duì)電子商務(wù)的運(yùn)作和安全管理重視程度不足，使得企業(yè)實(shí)施電子商務(wù)不可避免地會(huì)遇到這樣或那樣的風(fēng)險(xiǎn)。任何系統(tǒng)的中斷，如硬件、軟件錯(cuò)7 誤，網(wǎng)絡(luò)故障、病毒等都可能導(dǎo)致電子商務(wù)系統(tǒng)不能正常工作，而使貿(mào)易數(shù)據(jù)在確定的時(shí)刻和地點(diǎn)的有效性得不到保證，往往會(huì) 造成巨大的經(jīng)濟(jì)損失。 網(wǎng)絡(luò)安全是電子商務(wù)的基礎(chǔ)。但是，安全性呢？電子商務(wù)作為一種新生事物，世界各國(guó)都尚未形成成熟的安全運(yùn)營(yíng)模式。電子商務(wù)的存在與發(fā)展也必須滿足這兩個(gè)要求。 （二）造成環(huán)境不安全性 電子商務(wù)，作為一種新的經(jīng)濟(jì)交易方式，它只是在表現(xiàn)形式上與傳統(tǒng)商業(yè)不同，但是這并沒(méi)有改變其商業(yè)屬性，這就要求電子商務(wù)的運(yùn)作必須遵循商業(yè)活動(dòng)的一般規(guī)律，否則，電子商務(wù)是無(wú)法發(fā)展的。身體特征包括：指紋、掌型、視網(wǎng)膜、虹膜、人 體氣味、臉型、手的血管和 DNA 等；行為特征包括：簽名、語(yǔ)音、行走步態(tài)等。生物特征是指唯一的可以測(cè)量或可自動(dòng)識(shí)別和驗(yàn)證的生理特征或行為方式。目前運(yùn)用在電子 商務(wù)、 政務(wù)、網(wǎng)上銀行 ， 此種技術(shù)是目前最常用的認(rèn)證技術(shù)之一。它采用軟硬件相結(jié)合、一次 一密的強(qiáng)雙因子認(rèn)證模式，很好地解決了安全性與易用性之間的矛盾。然而由于每次從智能卡中讀取的數(shù)據(jù)是靜態(tài)的，通過(guò)內(nèi)存掃描或網(wǎng)絡(luò)監(jiān)聽等技術(shù)還是很容易截取到用戶的身份驗(yàn)證信息，因此還是存在安全隱患。智能卡由合法用戶隨身攜帶，登錄時(shí)必須將智能卡插入專用的讀卡器讀取其中的信息，以驗(yàn)證用戶的身份。因此用戶名 /密碼方式是一種極不安全的身份認(rèn)證方式。只要能夠輸入正確的密碼，計(jì)算機(jī)就會(huì)認(rèn)為操作者就是合法用戶。 其次， 現(xiàn)在計(jì)算機(jī)及網(wǎng)絡(luò)中常用的身份認(rèn)證方式有： /密碼方式 用戶名 /密碼是最簡(jiǎn)單也是最常用的身份認(rèn)證方法。不過(guò)應(yīng)用生物識(shí)別技術(shù)的企業(yè)可謂鳳毛麟角，或者并沒(méi)有用到保護(hù)數(shù)據(jù)上。 （一）目前常用身份認(rèn)證方式分析 如何通過(guò)技術(shù)手段保證物理身份與數(shù)字身份相對(duì)應(yīng)呢？在真實(shí)世界中，驗(yàn)證一個(gè)人的身份主要通過(guò)三種方式：一是根據(jù)你所知道的信息來(lái)證明身份，假設(shè)某些信息只有某人知道，比如暗號(hào)等，通過(guò)詢問(wèn)這個(gè)信息就 可以確認(rèn)此人的身份；二是根據(jù)你所擁有的物品來(lái)證明身份，假設(shè)某一物品只有某人才有，比如印章等，通過(guò)出示該物品也可以確認(rèn)個(gè)人的身份；三是直接根據(jù)你獨(dú)一無(wú)二的身體特征來(lái)證明身份，比如指紋、虹膜等生物識(shí)別技術(shù)。 5 二、 電子商務(wù)的身份安全研究 由 于電子商務(wù)安全的重要性，所以一個(gè)安全的身份顯得十分重要。 。它建立起網(wǎng)絡(luò)通信的控制過(guò)濾機(jī)制從而有效保證交易的安全。 充分利用有關(guān)技術(shù)規(guī)避風(fēng)險(xiǎn) ： 。制定電子商務(wù)安全風(fēng)險(xiǎn)管理對(duì)策目的在于消除潛在的威脅和安全漏洞，從而降低電子商務(wù)系統(tǒng)環(huán)境所面臨的風(fēng)險(xiǎn)。它不僅是技術(shù)領(lǐng)域的風(fēng)險(xiǎn)問(wèn)題，它 也是社會(huì)科學(xué)領(lǐng)域的風(fēng)險(xiǎn)問(wèn)題。此外，電子商務(wù)交易風(fēng)險(xiǎn)的存在還在于過(guò)多地依靠賣方或其他第三方，缺少技術(shù)上的可靠性和沒(méi)有有效專家意見。電子商務(wù)交易是一種全球范圍內(nèi)的活動(dòng)，它還涉及到不同的文化、法規(guī)和貨幣的流通。到目前為止，對(duì)電子商務(wù)交易的風(fēng)險(xiǎn)還沒(méi)有一個(gè)明確的范圍劃 分，但研究中普遍地把信息安全作為電子商務(wù)交易風(fēng)險(xiǎn)的一個(gè)方面，用“計(jì)算機(jī)的風(fēng)險(xiǎn)”來(lái)定義與電子商務(wù)交易有關(guān)的風(fēng)險(xiǎn)，包括網(wǎng)上頁(yè)面的破壞、操縱和非授權(quán)訪問(wèn)用戶記錄，互聯(lián)網(wǎng)欺騙和長(zhǎng)途通信偷竊，版權(quán)的侵害和訪 問(wèn)拒絕等。 （三） 交易風(fēng)險(xiǎn) 交易風(fēng)險(xiǎn)包括發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過(guò)某條信息；買家做了定單后不承認(rèn)；賣家賣出的商品因價(jià)格差而不承認(rèn)原先的交易等。最后，交易抵賴風(fēng)險(xiǎn)，買賣雙方都有可能存在交易抵賴的可能性。 電子商務(wù)交易時(shí)的信用風(fēng)險(xiǎn)