中国互联网络信息中心不久前发布的统计显示，到去年底，网民已达二百一十万，比去年中几乎翻了一番。这些网民中的百分之八十七表示有网上购物的兴趣。面对这样诱人的市场，难怪一些商家禁不住跃跃欲试了。
网络购物的发展前景如此诱人，其安全问题也变得越来越突出，如何建立一个安全、便捷的网络购物应用环境，已经成为商家和用户都十分关心的话题，但也是发展网络购物的技术难点。
二、安全交易的考量
发展网络购物的核心和关键问题是交易的安全性。由于Internet本身的开放性，使网上交易面临了种种危险：使用者担心在网络上传输信用卡及个人资料被截取；或是不幸遇到"黑店"，信用卡资料被不当运用；另一方面，特约商店也担心收到的是被盗用的信用卡号码，或是交易不认帐等等。还有可能因网络不稳定(假设网路断线了)，或是应用软件设计不良导致被黑客侵入所引发的损失，在消费者、特约商店、甚至与金融单位之间，究竟权责如何理清？再者，每一家电子商场或商店的支付系统所使用的安全控管都不尽相同，也造成使用者有无所适从之感。以上种种，令不少有兴趣Internet网路购物者犹豫不前。而在商言商，相关业者担心市场不健全，恐怕比消费者还担心。
因此，网络购物的安全交易主要要保证以下四个方面：
1、信息保密性
交易中的商务信息均有保密的要求。如信用卡的账号和用户名等不能被他人知悉，因此在信息传播中一般均有加密的要求。
2、交易者身份的确定性
网上交易的双方很可能素昧平生，相隔千里。要使交易成功，首先要能确认对方的身份，对商家要考虑客户端不能是骗子，而客户也会担心网上的商店不是一个玩弄欺诈的黑店。因此能方便而可靠地确认对方身份是交易的前提。
3、不可否认性
由于商情的千变万化，交易一旦达成是不能被否认的。否则必然会损害一方的利益。例如订购黄金，订货时金价较低，但收到订单后，金价上涨了，如收单方能滞认收到订单的实际时间，甚至否认收到订单的事实，则订货方就会蒙受损失。因此电子交易通信过程的各个环节都必须是不可否认的。
4、不可修改性
交易的文件是不可被修改的，如上例所举的订购黄金。收单方在收到订单后，发现金价大幅上涨了，如其能改动文件内容，将订购数1吨改为1克，则可大幅受益，那么订货方可能就会因此而蒙受损失。因此电子交易文件也要能做到不可修改，以保障交易的严肃和公正。
三、近年推出的安全交易标准
在早期的电子交易中，曾采用过一些简易的安全措施，包括：1.部分告知(Partial Order)即在网上交易中将最关键的数据如信用卡号码 及成交数额等略去，然后再用电话告之，以防泄密；2.另行确认(Order Confirmation)即当在网上传输交易信息之后，应再用电子邮件对交易作确认，才认为有效；等等。这些方法，均有一定的局限性，且操作麻烦，不能实现真正的安全可靠性。
近年来，针电子交易安全的要求，IT业界与金融行业一起，推出不少有效的安全交易标准。主要有：
——安全超文本传输协议(S-HTTP)：依靠密钥对的加密，保障Web站点间的交易信息传输的安全性。
——安全套按层协议(SSL:Secure Sockets Layer)：由Netscape公司提出的安全交易协议，提供加密、认证服务和报文完整性。SSL被用于Netscape
Communicator和Microsoft IE浏览器，用以完成需要的安全交易操作。
——安全交易技术协议(STT:Secure Transaction Technology)：由Microsoft公司提出，STT将认证和解密在浏览器中分离开，用以提高安全控制能力。Microsoft在Internet
Explorer中采用这一技术。
——安全电子交易协议(SET:Secure Electronic Transaction)：1996年6月，由IBM,MasterCard
International,Visa International，Microsoft，Netscape，GTE，VeriSign，SAIC,Terisa共同制定的标准SET正式公告，并于1997年5月底发布了SET
Specification Version 1.0 ，它涵盖了信用卡在电子商务交易中的交易协定、信息保密、资料完整及数字认证、数字签名等。
所有这些安全交易标准中，"安全电子交易"SET(Secure Electronic Transaction)标准以推广利用信用卡支付网上交易，广受各界瞩目，它将成为网上交易安全通讯协定的产业标准，有望进一步推动Internet上电子商业市场。
四、安全电子交易（SET）标准
在各方殷切期盼如何健全网络购物的安全环境时，SET 标准的产生满足了大家的要求。自97年5月31日发布SET 1.0 以来，尤其是去年下半年到今年的时间里，Microsoft 、IBM 、Brokat 、CyberCash 等软件公司相继发表了一些相应软件，如Microsoft Wallet 3.0 、IBM Payment Registry 1.2、 CyberCash CashRegister 4.0 等，并通过了由美国 Visa 和 MasterCard 组成的SET检测中心SETCo 的测试，以标志符合SET规范。
SET 2.0 预计今年将发布， 它增加了一些附加的交易要求。这个版本是向后兼容的，因此符合 SET 1.0 的软件并不必要跟着升级，除非它需要新的交易要求。
1、SET规范明确的主要目标：
（1）保障付款安全：确保付款资料之隐密性及完整性，提供持卡人、特约商店、收单银行之认证，并定义安全服务所需之演算法及相关协定。
（2）确定应用之互通性：提供一个开放式的标准，明确定义细节，以确保不同厂商开发之应用程序可共同运作，促成软件互通；并在现存各种标准下建构该协定，允许在任何软硬件平台上的执行，使标准达到相容性与接受性的目标。
（3）达到全球市场的接受性：在容易使用与对特约商店、持卡人影响最小的前提下，达到全球普遍性。允许在目前使用者的应用软件下，嵌入付款协定的执行，对收单银行与特约商店、持卡人与发卡银行间的关系，以及信用卡组织的基础构架改变最少。
2、SET 规范的简易流程
SET最主要的适用对象在消费者与商店，商店与收单银行(付款银行)之间。其运作方式简述如下：
（1）、在消费者与特约商店之间，由持卡人在消费前先确认商店的合法性，由商店提出电子的认证书；
（2）、 持卡人确认后即可下订单，其订单经消费者以数字签章(Digital
signature)的方式确认，而消费者所提供的信用卡资料则另由收单银行以"公开金钥"（public
key）予以加密。这里，特约商店会收到两个加密过的资料，其中一个是订单资料，另一个是关于支付的资料，特约商店可以解密前者，但无法解密后者，避免特约商店搜集或滥用持卡人消费资料；
（3）、特约商店将客户的资料连同自己的SET证书给收单银行，向银行请求交易授权及授权回复；
（4）、收单银行会同时检视两个证书来决定是否为合法的持卡人及特约商店。所以收单银行会有支付系统网关(payment
gateway)来解密，核对资料无误后，再连线到传统的VisaNET(Visa)或BankNet(MasterCard)网络做交易授权及清算。
（5）、授权确认后由特约商店向消费者再行确认订单，交易完成。
（6）、至于特约商店与收单银行间，则基于该授权为请款之要求并由银行付款。
其详细的SET作业说明请见http://www.setco.org/faq_dev.html
3、CA扮演了SET系统的重要角色
SET标准着重的是其交易安全及隐密性。其中，数字证书(digital certificate)为其核心，因为在网络虚拟空间里它提供了简单的方法来确保进行电子交易的人们能够互相信任。信用卡组织提供数字证书给发卡银行，然后发卡行再提供证书给持卡人；同时，信用卡组织也提供数字证书给收单银行，然后收单银行再将证书发给特约商店。在进行交易的时候，持卡人和特约商店两边符合SET的规格软件，会在资料交换前分别确认双方的身分，也就是检查由授权的第三者所发给的证书。在SET协定中，有下列证书：
A、持卡人证书(Cardholder ceritficates)
B、特约商店证书(Merchant certificates)
C、支付的通讯网关证书(Payment gateway certificates)
D、收单银行的证书(Acquirer ceritcifates)
E、发卡行的证书(Issuer certificates)
持卡人的证书必须由发卡行来颁发。在第一次上网购物之前，持卡人必须先在电脑萤幕上输入基本资料给发卡银行，包括姓名、卡号、卡片有效日期、邮寄地址等，可以确认持卡人的身分资料。这些资料一旦传送出来，就会立即被编成密码，安全地送至银行。步骤完成后，发卡银行会确认此帐户正确无误后，便会发给持卡人一张具有电子安全数字签章的证书。持卡人只要将证书储存在电脑上，即可电子购物。同样地，特约商店也必须取得收单银行的电子证书才可。特约商店只要在电脑上输入商店身分号码等简单基本资料给收单银行，收单银行在确认无误后，就会发出一张数字证书，允许他们从事电子商业行为。
而当顾客在网路上浏览购物时，如何确认商店不是"黑店"呢？特约商店必须提供它的信用卡组织之数字证书给顾客，利用许多不同的方式来展示证书。例如，通过电子邮件传送给持卡人证书影本，或是在Internet公开证书影本，如此持卡人就可以很容易地检视该商店是否合法有效。
这里，授权的第三者作为授权认证中心(Certificate Authority，简称CA)。在未来的交易细节中，CA都将扮演着重要角色，CA不但要有技术，同时信誉佳，如此才能取得持卡人及金融单位之信任。
五、遵循国际标准尽速开发SET产品及服务
根据顾问公司Forrster的预测，在短期数年内，信用卡将会主导WWW上的支付行为。Forrester拜访了50家线上零售商及内容提供者，其中84%受访者已经接受线上使用信用卡，并且占其交易的绝大部份。由于信用卡有相关的规范及使用普遍性之优势，故将持续维持其重要地位。
而SET是一套标准，它定位在保障金融机构与消费者的支付协定，及保障信用卡交易安全为重点上，其他有些事项并未明文规定。例如并未定义消费或订单的程序，也没有定义支付方法之选择(如信用卡、支票、邮购)，亦无强调何种平台，设备或是作业系统安全。它把这些开放给了相关业者自行设计作业流程及人机介面等。所以只要写出的程序符合SET规格，同时通过VISA、MasterCard在美国的检测中心的检验，就可以说是符合SET的标准。
所以，随着有关SET的产品或服务陆续出现，将会使那些没有支援SET的竞争者感到威胁，而争相投入相关的资源，必将会有更多的SET产品出现。国内厂商必须思量网路无国界之分，应遵循国际标准尽速开发产品及服务，以抢得市场先机。商家在进行电子商务活动时，也必须考虑那些符合SET的产品或服务，方能在电子交易的安全问题上迎头赶上国际先进水准。
六、建立安全环境的几个其他值得关注的问题
即使有了用于安全交易的SET规范，建立Internet上安全的网络购物应用环境仍然有以下问题值得重视：
1、内部安全：最近的调查表明，至少有75％的信息安全问题来自内部，在信用卡和商业诈骗中，内部人员所占的比例最大；
2、恶意代码：它们将继续对所有的网络系统构成威胁，并且，其数量将随着Internet的发展和编程环境的丰富而增多，扩散起来也更加便利，因此，造成的破坏也就越大；
3、可靠性差：目前，Internet主干网和DNS服务器的可靠性还远远不能满足人们的要求，而绝大部分拨号PPP连接质量并不可靠，且速度很慢；
4、技术人才短缺：由于Internet和网络购物都是在近几年得到了迅猛的发展，因而，许多地方都缺乏足够的技术人才来处理其中遇到的各种问题，尤其是网络购物具有24×7（每天24小时，每周7天都能工作）的要求，因而迫切需要有一大批专业技术人员对其进行管理。如果说加密技术是电子交易安全的"硬件"，那么人才问题则可以说是"软件"。从某种意义上讲，软件的问题解决起来可能更不容易，因此，技术人才的短缺可能成为阻碍网络购物发展的一个重要因素。
5、Web服务器的保护意识差：在交易过程中对数据进行保护只是保证交易安全的一个方面。由于交易的信息均存储在服务器上，因此，即使保密信息被客户端接收之后，也必须对存储在服务器中的数据进行保护。目前，Web服务器是黑客们最喜欢攻击的目标。因此，建议尽量不要将Web服务器连接到任何内部网络，而且要定期对数据进行备份，以便于服务器被攻击之后对数据进行恢复。当然，这毕竟有些不大现实，现在许多流行的Web应用都需要Web服务器与公司的数据库进行交互式操作，这就要求服务器必须与公司内部网络相连，而这个连接也就成为黑客们从Web站点侵入企业内部网络的一条通路。虽然防火墙技术有助于对Web站点进行保护，但商家却很少安装防火墙或对其缺乏有效的维护，因而没有对Web服务器进行很好的保护，这是商家的Web站点尤其要引起注意的地方。
6、电子交易衍生的法律问题：包括发生网路交易纠纷时如何仲裁?商标法与智慧财产权和公平交易如何应用在解决发生的问题上?网路交易契约的法律问题如何?消费者保护法在网路交易中仍适用吗?上述这些问题只是列举若干重点问题,极需相关法律的立法与修改工作来配合,使网络交易行为有法可循，为网络购物的安全提供法律保障。