电子商务安全与支付

电子商务安全与支付——课程设计论文网购安全保障体系设计与分析

网购安全保障体系设计与分析

网购安全保障体系设计与分析

分析网上购物流程：

浏览网页 选择要购买的商品 继续购物 加入购物车 结账

确认是否注册用户

是 否

注册 选择支付方式 确认收货人信息或修改收货人信息 否 是 确认是否登录 填写收货人信息 货到付款 确认订单

购物完成 网上支付 确认订单 相关网上支付平台操作

支付成功

登录

网上购物诸多地方不同于传统购物方式，包括挑选物品、主体身份、支付、验货等。

网上购物主要步骤：

一、购物平台选择不管选择是商城还是网店，都是畅享购物快乐的第一步。

二、挑选商品

三、注册账号

（网上给自己留下一个代号，只是虚拟的。）

四、填写准确详细的地址和联系方式

五、协商交易事宜

六、选择支付方式

七、收货验货

如若不满意进行以下步骤：

八、退换货

九、退款

十、维权

十一、评价

以淘宝为例：

首先，你要注册一个淘宝帐号，然后下载一个在线聊天工具：淘宝阿里旺旺，（现在淘宝网也提供网页版）。登录后，可以在我的淘宝中先选择你要购买的商品进行查询，在查询出的页面，你可以先择以商家信誉排列商品或以价格高低排列商品，这样比较一目了然的可以看到你所要选的商品。

然后，选定一家信誉尚可，价格较佳的商家，就你所要的商品和他详谈商品的品质，价格及售后和所走的物流，一切谈妥后，选择支付方式，在这里推荐使用第三方支付平台：支付宝，这一支付平台是你先把货款打入一第三方帐户，只有当你收到货时确认货品与商浓承诺一致，支付宝才会把你的款项转入商家户头，这样对你购物比较有保障。你可以用网上银行给支付宝充值，如果无网上银行，可以让有网上银行的朋友给你充值，现在还有部分商家支持信用卡在线支付

的。

第三，当你收到货物后及时查验是否与卖家说描述的相符合，如果没有问题

的话可以就货物是否与卖家说描述的相符、卖家的服务态度、卖家的发货速度对

卖家的进行评价，这有助于提高双方的信誉，也为其他人购物提供了参考。等到

卖家对买家进行了评价后可以说这次交易就完全结束。

网店购物的安全保障系统的总体架构：

数据安全 系统安全 业务安全 通信安全 界面安全

1、身份认证

2、操作授权 2、权限配置

3、操作安全 2、通信安全 3、防入侵 2、防篡改 1、安全协议 1、用户登录安全 1、身份安全 1、防拷贝 3、数据加密 2、通信双方身份认证 3、资源访问

4、结果审计

3、访问控制 网购的安全保障系统的总体架构

如图所示，网店购物的安全保障系统的总体架构总体架构包括：数据安全、通信安全、系统安全、业务安全、界面安全等层次。

数据安全包括：身份认证、操作授权、访问控制、结果审计。

通信安全包括：安全协议、通信双方身份认证、数据加密。

系统(OS)安全包括：用户安全（登录）、权限配置、资源访问。

业务安全包括：购物过程安全（身份安全、通信安全、操作安全）。

界面安全包括：防拷贝、防篡改、防入侵。

一、数据安全

数据安全有对立的两方面的含义：

一是数据本身的安全，主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向强身份认证等。

二是数据防护的安全，主要是采用现代信息存储手段对数据进行主动防护，如通过磁盘阵列、数据备份、异地容灾等手段保证数据的安全，数据安全是一种主动的包含措施，数据本身的安全必须基于可靠的加密算法与安全体系，主要是有对称算法与公开密钥密码体系两种。

数据处理的安全是指如何有效的防止数据在录入、处理、统计或打印中由于硬件故障、断电、死机、人为的误操作、程序缺陷、病毒或黑客等造成的数据库损坏或数据丢失现象，某些敏感或保密的数据可能不具备资格的人员或操作员阅读，而造成数据泄密等后果。

而数据存储的安全是指数据库在系统运行之外的可读性，一个标准的access 数据库，稍微懂得一些基本方法的计算机人员，都可以打开阅读或修改。一旦数据库被盗，即使没有原来的系统程序，照样可以另外编写程序对盗取的数据库进行查看或修改。

从这个角度说，不加密的数据库是不安全的，容易造成商业泄密。这就涉及了计算机网络通信的保密、安全及软件保护等问题。

数据安全包括：身份认证、操作授权、访问控制、结果审计。

关于身份认证，身份认证是在计算机网络中确认操作者身份的过程。身份认证可分为用户与主机间的认证和主机与主机之间的认证，用户与主机之间的认证

可以基于如下一个或几个因素：用户所知道的东西：例如口令、密码等，用户拥有的东西,例如印章、智能卡(如信用卡等）；用户所具有的生物特征：例如指纹、声音、视网膜、签字、笔迹等。

计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。

如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，身份认证就是为了解决这个问题，作为防护网络资产的第一道关口，身份认证有着举足轻重的作用。

关于访问控制，按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用。访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。

访问控制的功能：主要有以下：一. 防止非法的主体进入受保护的网络资源。二. 允许合法用户访问受保护的网络资源。三. 防止合法的用户对受保护的网络资源进行非授权的访问。

访问控制实现的策略：

一.入网访问控制

二.网络权限限制

三.目录级安全控制

四.属性安全控制

五.网络服务器安全控制

六.网络监测和锁定控制

七.网络端口和节点的安全控制

八. 防火墙控制

访问控制的类型：访问控制可分为自主访问控制和强制访问控制两大类。

自主访问控制，是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。

强制访问控制，是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。

二、通信安全

通信安全，它是建立在信号层面的安全，不涉及具体的数据信息内容。通信安全是信息安全的基础，为信息的正确，可靠传输提供了物理保障。

通信安全包括：安全协议、通信双方身份认证、数据加密。

安全协议，有时也称作密码协议，是以密码学为基础的消息交换协议，其目的是在网络环境中提供各种安全服务。密码学是网络安全的基础，但网络安全不能单纯依靠安全的密码算法。安全协议是网络安全的一个重要组成部分，我们需要通过安全协议进行实体之间的认证、在实体之间安全地分配密钥或其它各种秘密、确认发送和接收的消息的非否认性等。

安全协议是建立在密码体制基础上的一种交互通信协议，它运用密码算法和协议逻辑来实现认证和密钥分配等目标。

安全协议中的角色

1、协议参与者

认证协议:发起者/响应者签名协议:签名申请者/签署人/验证人零知识证明:证明者/验证者电子商务协议:商家/银行/用户

2、攻击者

内部攻击者/外部攻击者被动攻击者/主动攻击者

3、可信第三方

安全协议的安全性质包括：机密性、完整性、认证性、非否认性、正确性、可验证性、公平性、匿名性、隐私属性、强健性、高效性。

安全协议可用于保障计算机网络信息系统中秘密信息的安全传递与处理，确保网络用户能够安全、方便、透明地使用系统中的密码资源。目前，安全协议在金融系统、商务系统、政务系统、军事系统和社会生活中的应用日益普遍，而安全协议的安全性分析验证仍是一个悬而未决的问题。在实际社会中，有许多不安全的协议曾经被人们作为正确的协议长期使用，如果用于军事领域的密码装备

中，则会直接危害到军事机密的安全性，会造成无可估量的损失。这就需要对安全协议进行充分的分析、验证，判断其是否达到预期的安全目标。

身份认证要求参与安全通信的双方在进行安全通信前，必须互相鉴别对方的身份。保护数据不仅仅是要让数据正确、长久地存在，更重要的是，要让不该看到数据的人看不到。这方面，就必须依靠身份认证技术来给数据加上一把锁。数据存在的价值就是需要被合理访问，所以，建立信息安全体系的目的应该是保证系统中的数据只能被有权限的人访问，未经授权的人则无法访问到数据。如果没有有效的身份认证手段，访问者的身份就很容易被伪造，使得未经授权的人仿冒有权限人的身份，这样，任何安全防范体系就都形同虚设，所有安全投入就被无情地浪费了。

数据加密又称密码学，它是一门历史悠久的技术，指通过加密算法和加密密钥将明文转变为密文，而解密则是通过解密算法和解密密钥将密文恢复为明文。数据加密目前仍是计算机系统对信息进行保护的一种最可靠的办法。它利用密码技术对信息进行加密，实现信息隐蔽，从而起到保护信息的安全的作用。

加密技术的种类：

1.对称加密技术

对称加密采用了对称密码编码技术，它的特点是文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥，这种方法在密码学中叫做对称加密算法，对称加密算法使用起来简单快捷，密钥较短，且破译困难，除了数据加密标准（DNS），另一个对称密钥加密系统是国际数据加密算法（IDEA），它比DES的加密性好，而且对计算机功能要求也没有那么高。IDEA加密标准由PGP （Pretty Good Privacy）系统使用。

2.非对称加密技术

1976年，美国学者Dime和Henman为解决信息公开传送和密钥管理问题，提出一种新的密钥交换协议，允许在不安全的媒体上的通讯双方交换信息，安全地达成一致的密钥，这就是“公开密钥系统”。相对于“对称加密算法”这种方法也叫做“非对称加密算法”。与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥和私有密钥。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

数据加密的术语有：明文，即原始的或未加密的数据。通过加密算法对其进行加密，加密算法的输入信息为明文和密钥；密文，明文加密后的格式，是加密算法的输出信息。加密算法是公

开的，而密钥则是不公开的。密文，

不应为无密钥的用户理解，用于数据

的存储以及传输。

传统加密方法有两种，替换和置

换。上面的例子采用的就是替换的方

法：使用密钥将明文中的每一个字符

转换为密文中的一个字符。而置换仅

将明文的字符按不同的顺序重新排

列。单独使用这两种方法的任意一种

都是不够安全的，但是将这两种方法

结合起来就能提供相当高的安全程

度。数据加密标准（Data Encryption

Standard，简称DES）就采用了这种结

合算法，它由IBM制定，并在1977

年成为美国官方加密标准。

DES的工作原理为：将明文分割

成许多64位大小的块，每个块用64

位密钥进行加密，实际上，密钥由56

位数据位和8位奇偶校验位组成，因

此只有56个可能的密码而不是64个。

每块先用初始置换方法进行加密，再连续进行16次复杂的替换，最后再对其施用初始置换的逆。第i步的替换并不是直接利用原始的密钥K，而是由K与i计算出的密钥Ki。

DES具有这样的特性，其解密算法与加密算法相同，除了密钥Ki的施加顺序相反以外。

多年来，许多人都认为DES并不是真的很安全。事实上，即使不采用智能的方法，随着快速、高度并行的处理器的出现，强制破解DES也是可能的。"公开密钥"加密方法使得DES以及类似的传统加密技术过时了。公开密钥加密方法中，加密算法和加密密钥都是公开的，任何人都可将明文转换成密文。但是相应的解密密钥是保密的（公开密钥方法包括两个密钥，分别用于加密和解密），而且无法从加密密钥推导出，因此，即使是加密者若未被授权也无法执行相应的解密。

三、系统安全

系统安全是指在系统生命周期内应用系统安全工程和系统安全管理方法，辨识系统中的危险源，并采取有效的控制措施使其危险性最小，从而使系统在规定

的性能、时间和成本范围内达到最佳的安全程度。系统安全是人们为解决复杂系统的安全性问题而开发、研究出来的安全理论、方法体系。系统安全的基本原则就是在一个新系统的构思阶段就必须考虑其安全性的问题，制定并执行安全工作规划（系统安全活动）。并且把系统安全活动贯穿于生命整个系统生命周期，直到系统报废为止。

系统安全包括：用户安全、权限配置、资源访问。

当许多传统的商务方式应用在Internet上时，便会带来许多源于安全方面的问题，如传统的贷款和借款卡支付/保证方案及数据保护方法、电子数据交换系统、对日常信息安全的管理等。电子商务的大规模使用虽然只有几年时间，但不少公司都已经推出了相应的软、硬件产品。由于电子商务的形式多种多样，涉及的安全问题各不相同，但在Internet上的电子商务交易过程中，最核心和最关键的问题就是交易的安全性。一般来说商务安全中普遍存在着以下几种安全隐患：

窃取信息

由于未采用加密措施，数据信息在网络上以明文形式传送，入侵者在数据包经过的网关或路由器上可以截获传送的信息。通过多次窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。

篡改信息

当入侵者掌握了信息的格式和规律后，通过各种技术手段和方法，将网络上传送的信息数据在中途修改，然后再发向目的地。这种方法并不新鲜，在路由器或网关上都可以做此类工作。

假冒

由于掌握了数据的格式，并可以篡改通过的信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端用户通常很难分辨。

恶意破坏

由于攻击者可以接入网络，则可能对网络中的信息进行修改，掌握网上的机要信息，甚至可以潜入网络内部，其后果是非常严重的。因此，电子商务的安全交易主要保证以下四个方面：

信息保密性

交易中的商务信息均有保密的要求。如信用卡的账号和用户名等不能被他人知悉，因此在信息传播中一般均有加密的要求。

交易者身份的确定性

网上交易的双方很可能素昧平生，相隔千里。要使交易成功，首先要能确认对方的身份，对商家要考虑客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此能方便而可靠地确认对方身份是交易的前提。

不可否认性

由于商情的千变万化，交易一旦达成是不能被否认的。否则必然会损害一方的利益。因此电子交易通信过程的各个环节都必须是不可否认的。

不可修改性

交易的文件是不可被修改的，否则也必然会损害一方的商业利益。因此电子交易文件也要能做到不可修改，以保障商务交易的严肃和公正。

四、业务安全

业务安全包括：购物过程安全（身份安全、通信安全、操作安全）

因此业务安全，首先要保证，网络环境的安全，即：计算机的安全，网站，商家的准确身份验证。二要保证订单的签名确认。三要保证交易信息的加密，以及存储安全。

五、界面安全

界面安全包括：防拷贝、防篡改、防入侵。

因此，界面内容与识别要包含以下几点：

1.正确的用户名和密码，包括是合法的字符和合法长度。

2. 错误的用户名，包括用户名含有非法字符、长度过长、长度过短。

3. 正确的用户名和错误的密码，包括非法字符、长度过长或过短。

4. 用户名和密码都为空。

5. 正确的用户名，密码为空。

6. 任意的用户名和密码，包括正确的或错误的，也可以为空。

7. 检查UI友好性，检查登录界面设计是否合理，符合UI规范标准，界面符合习惯、美观，按钮对齐，输入框对齐，无错别字，字体大小协调，文字描述准确。

8. 检查安全性。

电子商务安全问题的产生：

1、在线交易主体虚拟化带来的安全问题：在电子商务环境下，任何人不经登记就可以借助计算机网络发出或接受网络信息，并通过一定程序与其他人达成交易。虚拟主体的存在使电子商务交易安全受到严重威胁。

2、虚假信息的发布带来的安全问题：当用户以合法身份进入系统后，买卖双方都可能在网络上发布虚假的供求信息，或以过期的信息冒充现在的信息，以骗取对方的钱款或货物。

3、过低的信用度带来的安全问题：

①低信用度的买方带来的安全问题：低信用度的买方，可能存恶意透支或使用伪造的信用卡骗取卖方货物或存在拖延货款行为，卖方需要为此承担风险。

②低信用度的买方带来的安全问题：卖方不能按质、按量、按时寄送消费者购买的货物，或者不能完全履行与集团购买者签订的合同，造成买方的风险。

③低信用度的买卖双方都存在抵赖的情况。

4、网络欺诈的存在带来的安全问题：在电子交易活动中频繁欺诈用户这是网络骗子们常用的骗术，利用电子商务进行欺诈已经成为一种新型犯罪活动，目前这种网上欺诈也已经成为国际性的难题。

5、电子合同取代书面合同过程中带来的安全问题：在在线交易情形下，交易双方的所有信息都是以电子化的形式存储于计算机硬盘或其他电子介质中，这些记录不仅容易被涂擦、删改、复制、遗失，而且不能脱离其记录工具(计算机)而作为证据独立存在。由此而引发诸多方面的安全问题。

6、网上电子支付过程带来的安全问题：完电子商务的网上支付通过信用卡支付和虚拟银行的电子资金划拨来完成。而实现这一过程涉及网络银行与网络交易客户之间的协议、网络银行与网站之间的合作协议以及安全保障问题。

7、产品交付过程带来的安全问题：有形货物的在线交易中物流配送环节引发的一些特殊问题及无形的信息产品在交付中对于其权利的移转、退货、交付的完成等带来的安全问题。

8、网络消费者维权时引发的安全问题：在线市场的虚拟性和开放性以及网

上购物的便捷性都使消费者保护成为突出的问题。比如质量问题，退赔、修理困难问题等。

9、网络恶意攻击者的破坏活动带来的安全问题：包括系统穿透、违反授权原则、植入、通信监听、通信干扰、中断、拒绝服务、否认等。

电子商务对安全环境的要求。

1、确保信息的安全要求包括有效性、机密性、完整性、可靠性、不可抵赖性、鉴别等；

2、确保授权合法性；

3、确保交易者身份的确定性；

4、确保内部网的严密性。

电子商务的安全防范策略

经过数十年的探索，电子商务安全防范策略从最初的商务信息保密性发展到商务信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻、防、测、控、管、评”等多方面的基础理论和实施技术。目前，电子商务安全领域已经形成了9大核心技术，它们是：密码技术、身份验证技术、访问控制技术、防火墙技术、安全内核技术、网络反病毒技术、信息泄露防治技术、网络安全漏洞扫描技术、入侵检测技术。

电子商务的主要安全技术：

1、加密技术。加密技术解决了传送信息的保密问题，可分对称加密和非对称加密。对称加密是一种传统的信息认证方法,通过信息交换的双方共同约定一个口令或一组密码，建立一个通信双方共享的密钥。通信的甲方将要发送的信息用私钥加密后传给乙方，乙方用相同的私钥解密后获得甲方传递的信息。对称加密采用的主要加密算法有DES数据加密标准、三重DES,IDEA,和AES（高级加密算法）等。其最大优势是加/解密速度快, 适合于对大数据量进行加密,但密钥管理困难。非对称加密又称公开密钥加密，它使用一把公开发布的公开密钥和一把只能由生成密钥对的贸易方掌握的私用密钥来分别完成加密和解密操作。如贸易的甲方生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易的方乙使用该密钥对信息进行加密后发送给甲方；甲方再用自己保存的另一把私用密钥对加密信息进行解密。公钥密码技术是密码技术核心，主要采用的算法有RSA算法、DSS/DSA算法和ECC算法。优点是机制灵活，但加密和解密速度慢。

2、数字签名。数字签名解决了而防止他人对传输的文件进行破坏，以及如何确定发信人的身份的问题。数字签名与书面文件签名有相同功效，它代表了文

件的特征，文件如果发生改变，数字签字的值也将发生变化，不同的文件将得到不同的数字签字。数字签名是采用双重加密的方法，通过流程：A、被发送文件用SHA编码加密产生128 bit的数字摘要；B、发送方用自己的私用密钥对摘要再加密，形成数字签名；C、将原文和加密的摘要同时传给对方；D、对方用发送方的公共密钥对摘要解密，同时对收到的文件用SHA编码加密产生又一摘要；

E、将解密后的摘要和收到的文件在接收方重新加密产生的摘要互对比。最终实现了防伪、防抵赖。

3、数字时间戳。数字时间戳服务提供了对电子文件发表时间的安全保护，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签字三个部分。时间戳形成的流程为:①用户将需要加时间戳的文件用HASH编码加密形成摘要，然后将该摘要发送到DTS；②DTS在加人了收到文件摘要的日期和时间信息后再对该文件加密(数字签名)，然后送回用户。数字时间戳是由认证单位DTS来加的，以DTS收到文件的时间为依据。

4、数字证书。数字证书是由CA认证中心签发的，用电子手段来证实一个用户的身份和对网络资源的访问权限的凭证。CA认证中心是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。数字证书为电子签名相关各方提供真实、可靠验证的公众服务，解决电子商务活动中交易参与各方身份、资信的认定，维护交易活动的安全，从根本上保障电子商务交易活动顺利进行。在网上的电子交易中，如双方出示了各自的数字证书，就可用它来进行安全交易操作了。

5、防火墙技术。网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术，它可以阻止对信息资源的非法访问,也可以使用防火墙阻止专利信息从企业的网络上被非法输出，是最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络。防火墙有两个基本准则:一是未被允许的就是禁止的；二是未被禁止的就是允许的。基于该准则, 防火墙应转发所有信息流, 然后逐项屏蔽可能有害的服务。这种方法构成了一种更为灵活的应用环境, 可为用户提供更多的服务。

电子商务安全协议技术：

电子商务安全协议主要有：安全套接层协议SSL和安全电子交易SET协议。此外，还有PCT(专用通信技术)，它只是对SSL进行少量的改进。SSL协议是向基于TCP/IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等的安全措施。它包括“SSL 记录协议”和“SSL 握手协议”。该协议通过在应用程序进行数据交换前交换SSL初始握手信息来实现有关安全特性的审查。在SSL握手信息中采用了DES、MDS等加密技术来实现机密性和数据完整性，并采用X.509的数字证书实现鉴别。SSL协议已成为事实上的工业标准而被广泛应用。通常还采用“SSL+表单签名”的模式使得SSL在电子商务的应用中确保信息的真实性、完整性和保密性的基础上进一步提高电子商务的安全保障。

SET协议是Mastercard公司和Visa公司联合开发的一种应用于因特网环境下，以信用卡为基础的安全电子支付协议。它可以对交易各方进行认证,可防止商家欺诈,进行安全交易，它给出了一套电子交易的过程规范而成为目前公认的信用卡的网上交易的国际标准。

构建电子商务安全控制的框架和制订电子商务标准及法律法规。通过安全的控制和电子商务标准的推行，有利于解决电子商务的安全性和可靠性问题。

电子商务给企业、消费者和社会所带来的收益是不可估量的。特别是电子商务以其高效、低成本的优势，必将成为新兴的商业运作模式，推动着全球经济的快速发展。而商务信息的安全问题始终是电子商务的核心，是阻碍电子商务广泛应用的最大问题。电子商务的安全问题是能够通过综合运用各类电子商务安全技术，并不断改进和完善，加之建立健全电子商务的安全机制和相应的法律法规，推行电子商务的国际化标准而得以解决。

电子商务可提供网上交易和管理等全过程的服务，因此它具有广告宣传、咨询洽谈、网上订购、网上支付、电子帐户、服务传递、意见征询、交易管理等各项功能。

1、广告宣传，电子商务可凭借企业的Web服务器和客户的浏览，在Internet 上发播各类商业信息。客户可借助网上的检索工具（Search）迅速地找到所需商品信息，而商家可利用网上主页(HomePage)和电子邮件(E-mail)在全球范围内作广告宣传。与以往的各类广告相比，网上的广告成本最为低廉，而给顾客的信息量却最为丰富。

2、咨询洽谈，电子商务可借助非实时的电子邮件(E-mail)，新闻组（NewsGroup）和实时的讨论组(chat)来了解市场和商品信息、洽谈交易事务，如有进一步的需求，还可用网上的白板会议(WhiteboardConference)来交流即时的图形信息。网上的咨询和洽谈能超越人们面对面洽谈的限制、提供多种方便的异地交谈形式。

3、网上订购，电子商务可借助Web中的邮件交互传送实现网上的订购。网上的订购通常都是在产品介绍的页面上提供十分友好的订购提示信息和订购交互格式框。当客户填完订购单后，通常系统会回复确认信息单来保证订购信息的收悉。订购信息也可采用加密的方式使客户和商家的商业信息不会泄漏。

4、网上支付，电子商务要成为一个完整的过程。网上支付是重要的环节。客户和商家之间可采用信用卡帐号进行支付。在网上直接采用电子支付手段将可省略交易中很多人员的开销。网上支付将需要更为可靠的信息传输安全性控制以防止欺骗、窃听、冒用等非法行为。

5、电子帐户，网上的支付必需要有电子金融来支持，即银行或信用卡公司及保险公司等金融单位要为金融服务提供网上操作的服务。而电子帐户管理是其基本的组成部分。

6、服务传递，对于已付了款的客户应将其订购的货物尽快地传递到他们的手中。而有些货物在本地，有些货物在异地，电子邮件将能在网络中进行物流的调配。而最适合在网上直接传递的货物是信息产品

7、意见征询，电子商务能十分方便地采用网页上的“选择”、“填空”等格式文件来收集用户对销售服务的反馈意见。这样使企业的市场运营能形成一个封闭的回路。客户的反馈意见不仅能提高售后服务的水平，更使企业获得改进产品、发现市场的商业机会。

8、交易管理，整个交易的管理将涉及到人、财、物多个方面，企业和企业、企业和客户及企业内部等各方面的协调和管理。因此，交易管理是涉及商务活动全过程的管理。

优点包括：

1. 电子商务将传统的商务流程电子化、数字化，一方面以电子流代替了实物流，可以大量减少人力、物力，降低了成本;另一方面突破了时间和空间的限制，使得交易活动可以在任何时间、任何地点进行，从而大大提高了效率。

2.电子商务所具有的开放性和全球性的特点，为企业创造了更多的贸易机会。

3. 电子商务使企业可以以相近的成本进入全球电子化市场，使得中小企业有可能拥有和大企业一样的信息资源，提高了中小企业的竞争能力。

4. 电子商务重新定义了传统的流通模式，减少了中间环节，使得生产者和消费者的直接交易成为可能，从而在一定程度上改变了整个社会经济运行的方式。

5. 电子商务一方面破除了时空的壁垒，另一方面又提供了丰富的信息资源，为各种社会经济要素的重新组合提供了更多的可能，这将影响到社会的经济布局和结构。

6. 互动性:通过互联网,商家之间可以直接交流，谈判,签合同，消费者也可以把自己的反馈建议反映到企业或商家的网站,而企业或者商家则要根据消费者的反馈及时调查产品种类及服务品质,做到良性互动.

缺点包括:

1、网络自身有局限性

有一位消费者在网上订购了一新款女式背包，虽然质量不错，但怎么看款式都没有网上那个中意。许多消费者都反应实际得到的商品不是在网上看中的商品。这是怎么回事呢？其实在把一件立体的实物缩小许多变成平面的画片的过程

中，商品本身的一些基本信息会丢失；输入电脑的只是人为选择商品的部分信息，人们无法从网上得到商品的全部信息，尤其是无法得到对商品的最鲜明的直观印象。在这一模式上，只有依靠网站的制作和网页设计家对网页把握更加好的模式，向消费者展示商品。

2、搜索功能不够完善

当在网上购物时，用户面临的一个很大的问题就是如何在众多的网站找到自己想要的物品，并以最低的价格买到。搜索引擎看起来很简单：用户输入一个查询关键词，搜索引擎就按照关键词到数据库去查找，并返回最合适的Web页链接。但根据NEC研究所与Inktomi公司最近研究结果表明，目前在互联网上至少10亿网页需要建立索引。而现有搜索引擎仅仅能对5亿网页建立索引。仍然有一半不能索引。这主要不是由于技术原因，而是由于在线商家希望保护商品价格的隐私权。因此当用户在网上购物时，不得不一个网站一个网站搜寻下去，直到找到满意价格的物品。

3、交易的安全性得不到保障

电子商务的安全问题仍然是影响电子商务发展的主要因素。由于Internet的迅速流行，电子商务引起了广泛的注意，被公认为是未来IT业最有潜力的新的增长点。然而，在开放的网络上处理交易，如何保证传输数据的安全成为电子商务能否普及的最重要的因素之一。调查公司曾对电子商务的应用前景进行过在线调查，当问到为什么不愿意在线购物时，绝大多数的人的问题是担心遭到黑客的侵袭而导致信用卡信息丢失。因此，有一部分人或企业因担心安全问题而不愿使用电子商务，安全成为电子商务发展中最大的障碍。

电子商务的安全问题其实也是人与人之间的诚信问题，和现实商业贸易相识，均需双方的共同协作和努力。电子商务的未来，需要所有网民的共同协作。

4、电子商务的管理还不够规范

电子商务的多姿多彩给世界带来全新的商务规则和方式，这更加要求在管理上要做到规范，这个管理的概念应该涵盖商务管理、技术管理、服务管理等多方面，因此要同时在这些方面达到一个比较令人满意的规范程度，不是一时半时就可以做到的。另外电子商务平台的前后端相一致也是非常重要的。前台的Web 平台是直接面向消费者的，是电子商务的门面。而后台的内部经营管理体系则是完成电子商务的必备条件，它关系到前台所承接的业务最终能不能得到很好的实现。一个完善的后台系统更能体现一个电子商务公司的综合实力，因为它将最终决定提供给用户的是什么样的服务，决定电子商务的管理是不是有效，决定电子商务公司最终能不能实现赢利。

5、税务问题

税务（包括关税和税收）是一个国家重要的财政来源。由于电子商务的交易

活动是在没有固定场所的国际信息网络环境下进行，造成国家难以控制和收取电商务的税金。

6、标准问题

各国的国情不同，电子商务的交易方式和手段当然也存在某些差异，而且我们要面对无国界、全球性的贸易活动，因此需要在电子商务交易活动中建立相关的、统一的国际性标准，以解决电子商务活动的互操作问题。中国电子商务目前的问题是概念不清，搞电子的搞商务，搞商务的搞电子，呈现一种离散、无序、局部的状态。

7、配送问题配送是让商家和消费者都很伤脑筋的问题。网上消费者经常遇到交货延迟的现象，而且配送的费用很高。业内人士指出，我国国内缺乏系统化、专业化、全国性的货物配送企业，配送销售组织没有形成一套高效、完备的配送管理系统，这毫无疑问地影响了人们的购物热情。

8、知识产权问题

在由电子商务引起的法律问题中，保护知识产权问题又首当其冲。由于计算机网络上承载的是数字化形式的信息，因而在知识产权领域（专利、商标、版权和商业秘密等）中，版权保护的问题尤为突出。

9、电子合同的法律问题

在电子商务中，传统商务交易中所采取的书面合同已经不适用了。一方面，电子合同存在容易编造、难以证明其真实性和有效性的问题；另一方面，现有的法律尚未对电子合同的数字化印章和签名的法律效力进行规范。

10、电子证据的认定

信息网络中的信息具有不稳定性或易变性，这就造成了信息网络发生侵权行为时，锁定侵权证据或者获取侵权证据难度极大，对解决侵权纠纷带来了较大的障碍。如何保证在网络环境下信息的稳定性、真实性和有效性，是有效解决电子商务中侵权纠纷的重要因素。

11、其他细节问题

最后就是一些不规范的细节问题，例如目前网上商品价格参差不齐，主要成交类别商品价格最大相差40％；网上商店服务的地域差异大；在线购物发票问题大；网上商店对定单回应速度参差不齐；电子商务方面的法律，对参与交易的各方面的权利和义务还没有进行明确细致的规定。