Ｉｎｔｅｒｎｅｔ環(huán)境下的電子商務(wù)稅收征管安全機(jī)制探討

吳彩虹　劉超群　姜華斌

摘要：在Internet環(huán)境下電子商務(wù)稅收征管主要存在稅務(wù)信息安全、交易信息安全、網(wǎng)絡(luò)病毒等安全隱患。構(gòu)建一個(gè)安全支付、數(shù)據(jù)安全傳輸、身份認(rèn)證安全、交易的不可抵賴性、與其他稅務(wù)應(yīng)用系統(tǒng)的安全互聯(lián)互通的電子商務(wù)稅收安全征管系統(tǒng)需要各種安全措施。文章探討了身份識(shí)別技術(shù)和鏈路加密技術(shù)等安全技術(shù)在電子商務(wù)安全征管系統(tǒng)的應(yīng)用。

關(guān)鍵詞：電子商務(wù)；稅收征管；信息安全

中圖分類號(hào)：F713.3文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1674-1145（2009）08-0178-02

隨著電子商務(wù)的蓬勃發(fā)展，電子商務(wù)稅收征管問題成為稅務(wù)部門關(guān)注的焦點(diǎn)。通過控制“資金流”來對(duì)在線電子商務(wù)進(jìn)行課稅，有利于形成一個(gè)低成本、高效率的課稅方案。在Internet環(huán)境下給電子商務(wù)交易雙方提供一個(gè)值得信賴的環(huán)境，解決資金流控制下的電子商務(wù)稅收征管中的安全就成了關(guān)鍵性的問題。

一、電子商務(wù)稅收征管的安全隱患

（一）報(bào)稅信息處理的安全性問題

要保證電子商務(wù)稅收自動(dòng)、安全快速的扣除，網(wǎng)絡(luò)安全成了實(shí)施的一個(gè)瓶頸。正常的電子報(bào)稅要在納稅人、稅務(wù)局、銀行和國庫之間進(jìn)行正確的電子信息交換。在安全性方面，主要存在有以下問題：（1）稅務(wù)局的應(yīng)用服務(wù)器如何對(duì)納稅人的數(shù)字證書進(jìn)行驗(yàn)證，確定身份；（2）提供安全信道給納稅人提交申報(bào)表；（3）稅務(wù)局使用電子信息交換與有關(guān)銀行進(jìn)行連接，處理電子交易直接扣繳稅款的安全問題；（4）用戶身份被假冒，信息受到非法訪問，用戶抵賴曾經(jīng)簽發(fā)的稅務(wù)信息以及傳輸?shù)男畔⒈环欠ń孬@及篡改[1]。

（二）存在的其他相關(guān)安全問題

1. 計(jì)算機(jī)病毒。2001年以來，在中國大規(guī)模爆發(fā)的幾種病毒，全部都是通過互聯(lián)網(wǎng)傳播的。在這幾次病毒爆發(fā)中，稅務(wù)系統(tǒng)的內(nèi)部網(wǎng)絡(luò)（Intranet）受到很大沖擊。因而稅務(wù)系統(tǒng)一方面要堅(jiān)定融入開放的國際互聯(lián)網(wǎng)（Internet），一方面又要有效規(guī)避網(wǎng)絡(luò)所帶來的各種危險(xiǎn)。

2. 網(wǎng)絡(luò)攻擊。稅務(wù)系統(tǒng)的Intranet采用的是開放的TCP/IP 協(xié)議，一切針對(duì)Internet的攻擊同樣適用于系統(tǒng)內(nèi)部網(wǎng)絡(luò)。稅務(wù)系統(tǒng)的內(nèi)部網(wǎng)絡(luò)如果沒有安全防線或防范不夠嚴(yán)密，其面臨的危險(xiǎn)不言而喻[2]。

二、實(shí)現(xiàn)電子商務(wù)稅收安全征管的措施

一個(gè)相對(duì)完善的稅收安全征管，主要可以利用以下幾個(gè)方面的安全措施（要完善）：

1. 完善的安全支付。為用戶提供安全的在線支付方式，即嚴(yán)格按照SET協(xié)議流程實(shí)現(xiàn)在線支付功能。對(duì)用戶的敏感信息，如銀行賬戶、密碼、支付金額等等，在傳輸過程中用私鑰簽名，并用對(duì)稱密鑰加密，切實(shí)保證用戶支付信息的安全性；對(duì)用戶通過瀏覽器提交的私人信息，采用SSL安全加密措施，保證信息不被竊取。

2.數(shù)據(jù)的安全傳輸。數(shù)據(jù)的安全傳輸一方面是保密傳輸，即保證在公網(wǎng)上傳輸?shù)挠脩裘舾行畔⒉槐坏谌礁`取。即使被竊取，因?qū)γ舾行畔⑦M(jìn)行了加密處理，竊取者無法破解；另一方面是保證傳輸數(shù)據(jù)的完整性，對(duì)用戶數(shù)據(jù)進(jìn)行單向散列函數(shù)算法取其摘要的方法，確保數(shù)據(jù)在傳輸?shù)倪^程中不被篡改。

3.安全身份認(rèn)證。采用兩種方式來實(shí)現(xiàn)對(duì)用戶身份的認(rèn)證。一是用戶在使用系統(tǒng)前必須帶自己的相關(guān)證件到營業(yè)廳申請(qǐng)使用本系統(tǒng)的賬號(hào)和密碼。對(duì)安全性要求較低的業(yè)務(wù)應(yīng)用，用戶使用賬號(hào)和密碼登陸后便可進(jìn)行相關(guān)的操作。二是對(duì)安全性要求高的業(yè)務(wù)應(yīng)用，用戶的在線支付，需要用戶提供CA證書，以完成對(duì)用戶的認(rèn)證。

4.保證交易的不可抵賴性。用戶在支付時(shí)，對(duì)所有交易信息進(jìn)行數(shù)字簽名，系統(tǒng)對(duì)用戶的簽名留有備份，以保證交易的不可抵賴性。

5.與其他稅務(wù)應(yīng)用系統(tǒng)的安全互聯(lián)互通。征管信息系統(tǒng)與稅務(wù)局的其他應(yīng)用系統(tǒng)（如電子報(bào)稅系統(tǒng)）通過整合形成統(tǒng)一的綜合服務(wù)平臺(tái)，通過瀏覽器對(duì)用戶提供各種稅務(wù)業(yè)務(wù)服務(wù)，使得傳統(tǒng)辦理各類稅務(wù)業(yè)務(wù)的流程變得更簡潔、規(guī)范、科學(xué)，為用戶提供多種渠道的接入方式，使用戶無論以何種方式接入，都能得到快速、完整的解決流程。

6.保證其他接口網(wǎng)絡(luò)的安全性。同其他接口網(wǎng)絡(luò)（如支付網(wǎng)、本地網(wǎng)等）的連接通過DDN專線，采用前置接口機(jī)的方式，以確保了其他接口網(wǎng)絡(luò)的安全性。

7.防止有害信息（如病毒等）的傳播等[3][4]。

三、電子商務(wù)稅收安全征管方案設(shè)計(jì)

（一）電子商務(wù)稅收安全征管流程

在網(wǎng)絡(luò)交易中，消費(fèi)者簽訂交易合同后，向網(wǎng)上銀行發(fā)送支付請(qǐng)求。網(wǎng)上銀行同意支付前，把信息向電子商務(wù)中心和網(wǎng)上稅務(wù)中心傳送。當(dāng)進(jìn)行扣稅活動(dòng)時(shí)，首先進(jìn)行身份驗(yàn)證，消費(fèi)者通過瀏覽器向服務(wù)器提出登錄請(qǐng)求，服務(wù)器首先出示自己的服務(wù)器證書供客戶瀏覽器驗(yàn)證，隨后要求客戶瀏覽器出示數(shù)字證書。這時(shí)客戶瀏覽器出示數(shù)字證書，當(dāng)服務(wù)器收到客戶數(shù)字證書時(shí)，請(qǐng)求CA中心對(duì)其驗(yàn)證。CA中心驗(yàn)證完畢，向簽名認(rèn)證服務(wù)器返回驗(yàn)證結(jié)果。如果驗(yàn)證結(jié)果正確，則簽名認(rèn)證服務(wù)器指示W(wǎng)EB應(yīng)用服務(wù)器與客戶瀏覽器之間建立起雙向認(rèn)證的SSL加密鏈路，并指示網(wǎng)上銀行完成扣稅，將扣稅信息分發(fā)給相應(yīng)的機(jī)構(gòu)保存。整個(gè)征管流程根據(jù)文獻(xiàn)[1]改進(jìn)為圖1的模式。該征管流程的安全分為內(nèi)網(wǎng)和外網(wǎng)的安全，在內(nèi)網(wǎng)采取易于實(shí)施的網(wǎng)上報(bào)稅安全認(rèn)證解決方案，在外網(wǎng)采取邊界防御和域內(nèi)防御相結(jié)合方式，有效地防止網(wǎng)上報(bào)稅安全隱患。

（二）稅收安全征管的技術(shù)

1．PKI技術(shù)在安全方案中的應(yīng)用。PKI公開密鑰基礎(chǔ)設(shè)施為整個(gè)電子商務(wù)稅收征管系統(tǒng)提供安全的基本框架，通過采用統(tǒng)一的“接入點(diǎn)”增強(qiáng)了稅收征管系統(tǒng)數(shù)據(jù)和資源的安全，以及與其他數(shù)據(jù)和資源交換的安全。PKI的核心技術(shù)基礎(chǔ)是給予公鑰密碼學(xué)的“加密”和“簽名”技術(shù)。通過“加密”和“簽名”技術(shù)的結(jié)合使用解決稅務(wù)網(wǎng)絡(luò)的如下問題：（1）身份認(rèn)證；（2）信息傳輸、存儲(chǔ)的完整性和機(jī)密性；（3）操作的不可否認(rèn)性。

2．稅務(wù)證書機(jī)構(gòu)創(chuàng)建和發(fā)布證書。它通常為一個(gè)稱為安全域（security domain）的有限群體（即納稅人）發(fā)放證書。創(chuàng)建證書的時(shí)候，CA系統(tǒng)首先獲取納稅人的請(qǐng)求信息，其中包括用戶公鑰（公鑰一般由用戶端產(chǎn)生，如電子郵件程序或?yàn)g覽等），CA將根據(jù)納稅人的請(qǐng)求信息產(chǎn)生證書，并用自己的私鑰對(duì)證書進(jìn)行簽名。其他用戶或應(yīng)用程序?qū)⑹褂肅A的公鑰對(duì)證書進(jìn)行驗(yàn)證。CA同時(shí)負(fù)責(zé)維護(hù)和發(fā)布證書廢除列表CRL（certificate revocation lists，又稱為證書黑名單）。當(dāng)一個(gè)證書，特別是其中的公鑰因?yàn)槠渌驘o效時(shí)（不是因?yàn)榈狡冢?，CRL提供了一種通知納稅人和其他應(yīng)用的中心管理方式。CA系統(tǒng)生成CRL以后，可以放在LDAP服務(wù)器中供用戶查詢或下載，或放在Web服務(wù)器的合適位置，通過超級(jí)鏈接的方式供用戶直接查詢或下載。

3．用數(shù)字證書在網(wǎng)絡(luò)上鑒別客戶或電子商務(wù)商家的真實(shí)身份。CA為網(wǎng)絡(luò)交易的雙方發(fā)放電子證書，當(dāng)商家和客戶在電子商務(wù)網(wǎng)點(diǎn)進(jìn)行交易時(shí)，利用證書來保證信息安全性和雙方身份的合法性。有了數(shù)字證書，就可以進(jìn)行數(shù)字簽名。數(shù)字簽名技術(shù)可以有效地防止各種抵賴行為。其基本原理是在發(fā)送方利用安全HASH碼對(duì)明文重要元素進(jìn)行交換處理得到一串128位密文，稱之為文字摘要，然后再用發(fā)送方的私有密鑰對(duì)數(shù)字摘要加密形成數(shù)字簽名，將數(shù)字簽名作為保密的附件和報(bào)文一起發(fā)送給接受方；接收方首先從原始報(bào)文中用安全HASH碼計(jì)算出一個(gè)數(shù)字摘要，然后用發(fā)送方的公用密鑰對(duì)數(shù)字簽名解密，將解密后的摘要和在接收計(jì)算出的摘要相互比較，若兩者一致，則正確，否則發(fā)送方被假冒或報(bào)文被修改。此技術(shù)一方面可鑒別發(fā)送方身份，另一方面可鑒別信息自動(dòng)發(fā)送方簽發(fā)到收到為止是否修改，可防止身份偽造、簽發(fā)信件后加以否認(rèn)。每個(gè)人獲取的數(shù)字證書中包含有每個(gè)人的私有密鑰，可進(jìn)行數(shù)字簽名。則可以有效防止用戶抵賴曾經(jīng)簽發(fā)的稅務(wù)信息。

4．鏈路加密技術(shù)。客戶的資料加密或打包后過商家到達(dá)銀行，但是商家不能看到客戶的賬戶和密碼信息；保證信息在因特網(wǎng)上安全傳輸，防止數(shù)據(jù)被黑客或被內(nèi)部人員竊??；解決多方認(rèn)證問題，不僅要對(duì)消費(fèi)者的信用卡認(rèn)證，而且要對(duì)在線商店的信譽(yù)程度認(rèn)證，同時(shí)還有消費(fèi)者、在線商店與銀行間的認(rèn)證；保證了網(wǎng)上稅務(wù)申報(bào)的實(shí)時(shí)性，使所有的支付過程都是在線的；規(guī)范協(xié)議和消息格式，促使不同廠家開發(fā)的軟件具有兼容性和互操作功能，并且可以運(yùn)行在不同的硬件和操作系統(tǒng)平臺(tái)上。在保證安全性的同時(shí)，又讓用戶最大化地享受到方便和快捷，真正發(fā)揮出了網(wǎng)絡(luò)的作用[1]。

5．防火墻與入侵檢測(cè)技術(shù)。防火墻是在域邊界之間實(shí)施安全防范的系統(tǒng)，主要保護(hù)離開安全域的信息安全，和防止來自外部的攻擊和非法介入。對(duì)于進(jìn)行數(shù)據(jù)通信的網(wǎng)絡(luò)安全域來說，通過邊界的所有數(shù)據(jù)流都必須經(jīng)過防火墻。只有符合安全策略的數(shù)據(jù)流才能通過防火墻。確保網(wǎng)絡(luò)流量的合法性，并將網(wǎng)絡(luò)的流量快速地從一條鏈路轉(zhuǎn)發(fā)到另一條鏈路[6]。

四、結(jié)語

在電子商務(wù)稅收安全征管中，通過采用各種安全措施，保證了征管安全，營造了一個(gè)安全支付、數(shù)據(jù)安全傳輸、身份認(rèn)證安全、交易的不可抵賴性、與其他稅務(wù)應(yīng)用系統(tǒng)的安全互聯(lián)互通的電子商務(wù)稅收安全征管環(huán)境。

參考文獻(xiàn)

[1]程自力．澳門財(cái)政局網(wǎng)上報(bào)稅系統(tǒng)的確設(shè)計(jì)與實(shí)現(xiàn)[D]．澳門：華僑大學(xué)，2003．

[2]龐磊．互聯(lián)網(wǎng)上的征稅系統(tǒng)建設(shè)[J]．稅務(wù)研究，1999，(10)．

[3]張信一，陳志占，黎燕．淺談稅務(wù)信息化中的安全問題[J]．廣東工業(yè)大學(xué)學(xué)報(bào)，2005，21(3)．

[4]鄭宏珍，黃俊橫．電子商務(wù)稅收與安全性[J]．中國信息導(dǎo)報(bào)，1999，(11)．

[5]馮兆泰．PKI/CA在電子稅務(wù)系統(tǒng)中的應(yīng)用與研究[D]．廣州，華南理工大學(xué)，2004．

[6]朱靚．稅務(wù)信息系統(tǒng)中信息安全保障的研究[D]．福州：福州大學(xué)，2006．

課題項(xiàng)目：本文是湖南省教育廳科學(xué)研究項(xiàng)目《基于環(huán)形結(jié)構(gòu)的分布式協(xié)同入侵檢測(cè)系統(tǒng)的研究與實(shí)現(xiàn)》（課題編號(hào)：06D054）階段性成果之一。

作者簡介：吳彩虹（1971- ），女，湖南財(cái)經(jīng)高等?？茖W(xué)校副教授，碩士，研究方向：電子商務(wù)稅收征管與網(wǎng)絡(luò)技術(shù)應(yīng)用；劉超群（1970- ），男，湖南財(cái)經(jīng)高等專科學(xué)校副教授，碩士，研究方向：網(wǎng)絡(luò)技術(shù)應(yīng)用；姜華斌（1971- ），男，湖南商務(wù)職業(yè)技術(shù)學(xué)院副教授，湖南省職業(yè)技能鑒定專家委員會(huì)計(jì)算機(jī)專業(yè)委員會(huì)成員，碩士，研究方向：計(jì)算機(jī)網(wǎng)絡(luò)信息安全技術(shù)。