有了坚固的地基，就可以开始筑“围墙”了--与Internet连接时多采用防火墙技术。防火墙是从病毒和黑客手中保护企业网的重要技术，它位于企业内部网与Internet之间，形成一道屏障，实质是实施过滤技术的一段软件。设计良好的过滤技术能够将来自外部的非法入侵和有害数据实时过滤掉，有效阻止内部网本身某个节点上发生的非法操作以及有害数据向外部扩散。与造房子相类比，设计者需确定“门窗”的大小和位置，若一个企业构建的企业网没有“门窗”,里外就无法交流信息，无法进行电子商务交易。因此，防火墙设计中应查核每个信息块，并做相应处理，基本操作有四个：
a整个信息包予以丢弃；b给网络管理者提供警示信息；c给发送者发“试图进行的传输失败”的消息；d工作日志记录。
在网络不同层上有不同类型的防火墙，从不同角度保护内部网，其中最常见的有：
①基于路由器的IP层防火墙。它聚焦于信息包（TCP/IP最基本的传输单位），依据packethead内容在IP层控制进出内部网的通讯：首先测试每个到达防火墙的信息包所需的网络应用服务（ftp,telnet等）、协议类型（TCP、UDP、ICMP）以及源地址和目的地址，然后根据管理员配置的一张主机、路由、服务表来决定接受或丢弃此包。此类防火墙对用户透明性好，但由于需要对信息包执行读取操作，网络性能会降低大约20%,并且无工作日志，不利于系统管理员跟踪黑客行为。
②基于主机的应用层防火墙。它具有更大的灵活性和安全性，常驻于一台主机上，比如典型的UNIX机、PC机等，可以被配置实现良好的访问控制策略。
③两种防火墙的结合使用。在资金允许的情况下，实际中常将以上两种防火墙结合作用，以扬长避短，互相补充，提供更强的安全性。
④病毒防火墙。它实际是“广义”防火墙的一个特殊方面，专门用于对病毒的过滤。这种过滤体现在两个环节上：其一，是保护计算机系统不受来自于任何方面病毒的危害。这里所说的“任何方面”,一方面指计算机的本地资源，比如传统的磁盘介质等，另一方面指相对于“本地”而言的“远程”网络资源，比如用户使用的Internet等；其二，是对计算机系统提供的保护要着眼于整个系统并且是双向的。
与“房子的屋顶”对应的是安全接口。它本身也是一段软件程序，允许从网络接口进行其他多项安全核查，常常内置加密、鉴别、数据完整性等功能。这方面比较成熟的产品有SSL、HTTP等。
SSL位于TCP/IP和HTTP或其他协议如SNMP或FTP之间，能提供保密性、鉴别和数据完整性。S-HTTP是对HTTP进行了扩展，允许客户与服务器协定基于公开钥匙加密的多级安全性，提供加密、鉴别、数字签名等功能。
加密、签别技术。当通过“门窗”与外界交流信息，即进行电子商务交易时，信息必定要在Internet上传输，为了防止窃听与伪造，需要采取加密与鉴别技术。最流行的加密形式是公开钥匙加密：给每个用户分配两把钥匙，一个是私有的，一个是公开的。
此外，鉴别技术对于电子商务系统显得越来越重要，以下介绍几种鉴别方法：
①使用三次握手：先发送一个信息，接收者回复，然后发送正式信息。
②使用可为用户创建特定数字签名的程序。
③在E-Mail文件中加一时间标志，这一方法主要用于确定涉及法律诉讼或合同问题的文件被投寄的时间。
至此，似乎已经完成了电子商务系统安全性的设计。然而，安全是一个历史性过程，黑客的花样在不断翻新，新的病毒又会出现，而系统的安全性永远取决于其相对最薄弱环节。这就要求系统管理员严密监视网络工作情况，一经发现新的潜在危险，立即补救，同时，进行充分的备份工作，以便及时恢复意外事故中被破坏的数据。
2国际互联网络的安全策略
网络的宗旨在于大家共享数据和信息资源，而不是想把人们拒之门外。既然网络是为大家共享资料而连接起来的，网络必然很容易受到攻击和损伤。其中有一些可能是故意进行的，也有一些可能是无意造成的损伤。但不管属于哪一类，都会使安全保密性受到严重影响。因此，无论使用专用网还是利用Internet公用网，都要注意保护属于自己本单位、本部门和本公司内部的信息财富和各种资源。还有，在实际使用各种网络时，必须保证在任何两个实体之间进行信息交流和通信的安全保密性和可靠保险性，无论客户对客户、公司对客户、公司对公司相互之间都必须如此。
在网络上提供的各种服务，都要有相应的安全保密措施，而且不能给用户带来任何麻烦，不能影响用户使用网络的方便性。也就是说，这些措施必须是不透明的、看不见的，对用户的使用几乎没有影响，用户是不知不觉的。在网络上采用安全保密可靠保险技术，要遵循下列三项基本原则：
第一个基本原则是数据的隐私性，要求数据是不可见的。
第二个基本原则是身份确认原则，也就是发送和接收信息者的身份是可以确认的。发送信息者只将信息发送给确认的接收者，不能是他人，尤其是能被他人截获。
第三个基本原则是数据的完整性。网络上的数据和信息无论在任何地方、任何时候，也无论在哪一个过程中都要保持原样不变，准确可靠不能受到任何破坏和损伤。数据具有时效性，数据信息不能发生延迟，不能失效。
目前IBM公司的电子商务已成功地开展了此项业务，可以帮助用户实现将生意搬上Web的所有四个阶段或四个阶段的任何一个阶段。这四个阶段是：评估与规划，结构与设计，建设和运营。IBM对于某些安全业务的描述如下：
-SecurityWorkshop,用于用户网站，价格为5000美元至10000美元。
-SecurityWorkshop用于详细说明做在线电子生意的流程。
-EthicalHacking,IBM可以凭它尝试进入用户网络并提供一份详细报告细述他们的经验，包括任何即时或远期改进的建议。据IBM说，IBM能够进入90%的它想进入的用户网络。
-SecurityHealthCheck,IBM可以凭它评估用户的全局安全规划，包括像雇员E-Mail一类的政策问题和认可问题。
-InternetEmergenecyResponse,一种价格为37万美元，实时监测侵入的服务。每周每月都要测试防火墙和Web服务器。-SecurityProductSelection,包括数字钥匙、智能卡和防火墙。IBM要负责并提供全方位的产品。Slemp指出：“这并不是IBM的业务。”
-ApplicationsSecurityAssessment,这将用来帮助用户弥补增加应用软件时任何可能产生的漏洞。
3ID──低成本高安全的方案
能够安全地发送、接受数据如前所述安全问题仍然阻滞着Internet电子商务的发展。需要一种机制防止未经授权者染指用户之间交换的信息，譬如信用卡和账户信息。而且，在这种“互不露面”的环境里，商家和其他各类组织需要以某种方式确立其身份和信用，以保护自己和客户免受不速之客的侵扰。VeriSign的服务器数字ID顺应了这些需要。服务器数字ID使得公司和组织能够：这些私下的交流接洽不容外来人员渗透，特别需要防止未经授权者侵入窃取机密信息。网站访问者可核对站点的数字ID,确定VeriSign已经证实该公司或组织的身份。数字式证书，如VeriSign的数字ID,是服务器鉴定的标准。45000个以上的商业网站在使用VeriSign的数字ID以建立和消费者交流的安全通道。下面将讨论VeriSign公司的服务器数字ID如何为商家提供一条可靠、廉价、简便易行的电子商务安全解决方案，帮助他们抓住Internet带来的各种机遇。
使用服务器数字ID保护您的站点。数字ID（DigitalID）是VeriSign数字式认证的商标。数字ID是一种用于确立个人或团体身份的电子证书。受数字ID保护的服务器让访问的客户可以放心站点的真实身份，还可以给接洽的过程加密，保证不受外界侵入。数字ID为使用者提供来自第三方关于该服务器真实性的证据，说明该服务器是由有权使用该服务器数字ID相关名称的组织运行的。这一措施保证使用者不会误信非法站点。网络浏览器将自动执行服务器鉴定--使用者只会在因为证书过期、URL不符或其他问题导致鉴定不成情况下才被通报。此种服务器和客户机之间的交流是由安全接口层（SSL）实现的。安全接口层技术由Netscape发展，为所有生产网络软件的厂商所接受。它借助并使用交互鉴定、数据加密、数据整合的关键性数据安全传输技术。SSL20仅支持服务器鉴定，SS30可同时支持服务器鉴定和客户机鉴定。
数字ID提供了一种可靠、易行、廉价的方式保护您的服务器，确立您站点的真实性。VeriSign的数字ID为个人和组织在网上进行世界范围内的电子贸易提供了所必需的信心保证。VeriSign受本行业内最全面最精细的执行协议约束，以知名公司的坚强支持作后盾，为客户提供所需的信用度和可靠性。VeriSign的数字ID随处可得，简便易行。几乎所有网络服务器和知名浏览器，包括Microsoft和Netscape都已使用了VeriSign数字ID由RSA数据安全公司和其他行业带头人创办，VeriSign是惟一一家完全倾注于数字式鉴定产品和服务的公司。VeriSign数字ID使用最先进的密写技术，为在电子交易中鉴定双方的身份提供了一条可靠的途径。VeriSign发放的每一个数字ID都严格符合认证和安全协议--如它的CPS开列的那样。为保证它所发放的数字ID的完整性，VeriSign的设施独有登峰造极的安全系统，包括多层物理准入控制、二进制扫描、红外线监控，以及底层防火墙技术。
