电子商务网上支付的安全管理及相关法律问题探讨

田凤彩

◆ 中图分类号:F832 文献标识码:A

内容摘要:电子数据的安全以及企业间数据交换的法律确认问题是电子商务发展的主要障碍。本文从电子交易技术基础和电子数据的基本特征角度,对电子商务网上支付的安全及法律问题进行分析,旨在推动我国电子商务的发展。

关键词:电子商务 网上支付 技术基础 电子数据

目前,我国电子商务的B2C、B2B以及C2C模式都可以实现在线支付,突破了电子商务资金流的瓶颈。然而,在线支付同时也引发了支付安全问题,“身份”认证、电子文件认证和网络银行在线支付的法律问题以及税收、货币、金融监管等一系列问题。

电子商务网上支付的技术基础

电子数据交换是将商业事务处理数据按照一个公认的标准,形成结构化的事务处理报文数据格式,通过电子方式在计算机系统之间进行传输。因此,企业间开展电子数据交换除了自身必须应用计算机系统外,还必须同时具备两个条件:通信网络和数据标准。

(一)电子数据交换的环境

通信网络是实施电子数据交换不可缺少的工具。在互联网出现之前,企业内的数据交换主要在商用增值网上进行。增值网供应商提供的主要业务有:私人业务、综合业务、不拒绝业务和验证业务。私人业务是指增值网保证信息只能由指定的接收者阅读,他人无法看到;综合业务是指如果没有人看信息,则信息从发送端到接收端的过程中不发生变化;不拒绝业务是指发送端不能拒发,接收端不能拒收,并通过旁听跟踪来实现;验证业务则保证信息从指定的发送端发送。通过增值网实施数据传输,安全可靠,传输效率高。企业间业务往来中的格式化数据都可通过增值网传输,包括采购进货单、退货单、发货单、报价单、托运单、对账单、单价单、缺货通知单、付款明细表等。另外,还可在海关申报、电子对账、电子转账、保险等事务处理中传输格式化单据。

开展电子数据交换的关键是标准化问题,包括数据格式标准化和报文标准。由于不同行业、不同企业都是根据自己的业务特点设计数据库结构,当需要发送电子数据交换文件时,需要通过软件提取数据库中的数据,并自动将其翻译成统一的标准格式才能传输和被对方接收。电子数据交换标准主要有以下四项:网络通信标准、处理标准、联系标准、报文标准。综观电子数据交换标准的发展过程,大致经历了三个发展阶段:行业标准阶段、国家标准阶段、国际标准阶段。

(二)SSL安全协议

安全套接层协议(Secure Socket Layer,简称SSL)是由网景(Netscape)公司推出的一种安全通信协议,它能够对信用卡和个人信息提供较强的保护,是对计算机之间整个会话进行加密的协议。在SSL协议中,采用了公开密钥和私有密钥两种加密方法,主要用于提高应用程序之间数据的安全系数。协议的整个要领可以被总结为:一个为安装了安全套接层的客户和服务器提供事务安全保证的协议,它涉及所有TCP/IP应用程序。

(三)SET安全协议

安全电子交易协议(Secure Electronic transaction,简称SET)是由Visa和Master Card 两大信用卡公司联合推出的规范。SET主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的,以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份,以及可操作性。SET的核心技术主要有公开密匙加密、电子数字签名、电子信封、电子安全证书等。SET协议比SSL协议复杂,因为前者不仅可以加密两个端点间的单个会话,它还可以加密和认定三方间的多个信息。

电子商务网上支付的风险

电子商务网上支付风险从整体上可分为两大部分:计算机网络风险和商务交易风险。

(一)计算机网络风险

计算机网络风险包括:计算机网络设备风险、计算机网络系统风险、数据库风险等。其特征是针对计算机网络本身可能存在的安全问题,实施网络安全增强方案,以保证计算机网络自身的安全性为目标。

另外,不论采用什么操作系统,在缺省安装的条件下都会存在一些安全问题,只有专门针对操作系统安全性进行相关的和严格的安全配置,才能达到一定的安全程度。网络软件的漏洞是进行网络攻击的首选目标。此时计算机网络风险主要有:未进行CGI程序代码审计、拒绝服务攻击、安全产品使用不当、缺少严格的网络安全管理制度。

(二)商务交易风险

商务交易风险是传统商务在互联网络上应用时产生的各种安全问题,在计算机网络安全的基础上保障电子商务过程的顺利进行,即实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。电子商务的形式多样,涉及的安全问题各不相同,但其中最核心和最关键的问题就是交易的安全性。一般来说商务安全中普遍存在着以下几种安全隐患:窃取信息、篡改信息、假冒、恶意破坏。

电子商务网上支付安全的强化策略

在传统支付系统中,伪造现金、伪造签名、拒付支票等是商品交易中的风险。在电子支付系统中,由于知道私钥的任何人都能以买方的身份产生数字签名,连续购买行为之间的关系可以被跟踪出来,电子数字文档复制不影响原文档,所以,电子支付系统存在着与传统支付系统类似的风险,而且风险可能更大。

电子支付系统的基本安全需求可以总结为:买方与卖方都必须证明自己的支付身份;要求支付交易数据不可受到非授权的参与方的更改;确保在未经用户明确授权之前不能从该用户的账户或智能卡中提取任何现金;一项或多项支付交易数据的机密性。强化安全管理需要从以下两个方面着眼:

(一)强化安全支付服务

首先,支付交易安全服务。支付交易安全服务涉及所有的电子支付系统和所有的支付手段,具体包括以下内容:用户匿名性、地址不可跟踪性、买方匿名性、支付交易不可跟踪性、支付交易数据的机密性、支付交易消息的不可否认性、支付交易消息的新鲜性。其次,数字货币安全。数字货币安全服务主要与数字货币相关,具体包括以下内容:防止再度花费、防止数字货币伪造、防止货币被盗。再次,电子支票附加服务。电子支票附加服务基于以电子支票作为支付手段的支付系统的特定技术,其主要内容是支付授权转账(代理),即使某一授权的参与方可以将支付授权转移给他所选定的另一参与方。

上述三种数字货币安全服务在一定程度上是相互冲突的,但在实施的同时可以达到风险与保护的平衡。例如,可以将这三种服务设置成仅当非法事件发生的时候才起作用(如有条件的匿名性)。

(二)强化企业内部的安全管理

首先,网络安全管理。网络安全管理主要包括以下内容:安全服务管理、安全机制管理、安全审计管理、安全恢复管理等。其次,保密设备与密钥的安全管理。保密设备的使用,应与网络中保护对象的密级相一致。密码算法、密钥和保密协议是核心内容,同步技术和操作方式的选择也相当重要。保密设备的管理主要包括保密性能指标的管理,工作状态的管理,保密设备的类型、数量、分配和使用者的状况,以及密钥的管理等。再次,安全行政管理。安全行政管理的重点是:安全组织机构的设立、安全人事管理、安全的责任与监督等。

电子商务网上支付安全的相关法律问题

(一)电子数据的特征

电子商务不是以纸张作为记录的原始凭证,而是将数据记录在计算机系统中的磁(光)性信息载体上。电子数据极大地改变了传统书面数据的生成方式和存在方式,由于其不同于书面数据的特征,也改变了法律对其证据效力的规定。电子数据具有以下特征:第一,无形性。电子数据实质上是计算机存储介质中的一组电子信息,具有无形的特点。第二,不稳定性。传统的书面数据一旦形成,其形态和内容不再发生变化,除非遭受不可抗拒的灾害事故。第三,易改动性。传统书面数据一旦生成,具有不可改动性。如有改动也容易留下修改痕迹。第四,技术性。电子数据的生成、确认、传递、储存,以及为了保证它的可靠性、安全性、完整性和可验证性等,都是建立在一系列的高技术之上的。

从某种意义上讲,上述问题的存在也阻碍了会计无纸化的发展。如果电子数据的可靠性、机密性、完整性、可验证性得不到确定的保障,那么开展电子商务进行无纸化交易是不可能的。即使采取了现代化的网络通信手段,人们仍离不开纸质凭证。

(二)电子数据的数字签名技术

数字签名实际上是电子数据文件中一组用二进制数0、1表示的字符串。它是通过加密技术,在发送方和接收方之间经过加密、解密转换实现。基本原理是:报文发送方用散列算法从报文中生成一个固定长度的报文摘要(散列值),然后用私有密钥对报文摘要进行加密形成发送方数字签名并发送;接收方用同样的散列算法计算原报文的报文摘要,再用公用密钥对附加的数字签名进行解密,如果两个报文摘要相同,就确认该报文由数字签名方发送。

数字签名可以实现以下功能:一是接收方能够核实发送方对报文签名的真实性;二是发送方事后无法抵赖对报文的签名;三是接收方无法伪造对报文的签名。也只有同时具备以上三条,才能保证数字签名的有效性、可靠性。

(三)电子数据的法律承认

完善的技术是电子数据普及使用的基础。但电子数据要得到社会的认可,首先要取得法律上的承认,使其具有法律效力。由于电子商务没有国界,有关电子商务的法律需要考虑全球普遍性,建立电子商务的法律环境已受到各国的重视。联合国国际贸易法委员会在1996年通过的《电子商务示范法》为各国电子商务立法提供了范本。我国于1999年3月通过了新的《合同法》,也第一次承认了电子商务合同在我国的法律地位。然而,完善法规应注意以下问题:

电子商务环境下的电子数据已不同于任何传统意义上的书面形式。是取消书面形式的提法还是扩大书面形式的定义,是电子商务立法中面临的问题。根据功能等同法原理,把符合书面形式功能的东西视同书面形式,是目前普遍采用的做法。

在许多国家的法律中,涉及证据时都要求提供原件。原件具有独一无二的特征,会计上的原始凭证一般都要求是原件。电子商务环境下的电子数据是记录在计算机内的一串字符,传送给接收方的也是一串字符,不可能具备独一无二的特征。从某种意义上讲,电子数据不存在“原件”问题,因此,法律需要对此做出相应的规定。

电子数据(尤其是电子合同)的生效时间和地点在电子商务活动中具有重要法律意义。在传统的商务环境中,不同国家的法律对此有不同的规定。例如,英美法系国家采取“发出生效规则”,大陆法系国家则采取“到达生效规则”。由于电子数据可在任何时间、任何地点发送,具有较大的不确定性。因此,到达生效规则更适合于电子商务活动。

签名是交易合同和单据生效的必备条件。传统的书面签字是指某具体人在交易合同和单据上亲笔写上自己的姓名或所代表的单位名以示确认,并开始承担相应责任。然而传统的签字方法无法应用在电子数据文件上。

参考文献:

1.段满珍,曹会云.制约我国电子商务发展的若干问题[J].河北理工大学学报(社科版),2008(2)

2.王崇哲,王雁.实行付款凭单制有效控制购货款结算[J].商业研究,2000(2)

3.王宁.基于电子商务的物资采购管理[J].化工管理,2008(2)

4.卓婷婷.电子商务网上支付风险问题探析[J].经济研究导刊,2008(1)