华为起床铃声creamy:《密码学领域的重要发现》

电子商务安全技术
e风轻扬/转

您的位置 首页 > 网友沙龙 > 网上支付及安全:
一、 引言

电子商务（EC,Electronic Commerce）就是利用电子数据交换（EDI）、电子邮件（E－mail）、电子资金转帐（EFT）及Internet的主要技术在个人间、企业间和国家间进行无纸化的业务信息的交换。随着计算机和计算机网络的应用普及，电子商务不断被赋予新的含义。电子商务被认为是通过信息技术（IT）将企业、用户、供应商及其它商贸活动涉及的职能机构结合起来的应用，是完成信息流、物流和资金流转移的一种行之有效的方法。随着Internet的普及以及WWW服务的提供，可以声、文、图并茂的方式体现商品的特征，并尽可能地便利用户。Internet潜在的、对其他产业的影响，使得电子商务在国内外再掀热潮，电子商务亦被列为未来十大IT主导技术之一，迎接新的“电子商务时代”成为人们讨论的主题。
据统计，Cisco公司日营业额达到900万美元，其中40％的销售收入是通过Internet实现的，预计其1999财年的销售总额达50亿美元，而营运支出节约了2.7亿美元；著名的计算机直销公司Dell，每日通过其Web站点销售计算机达600多万美元；软件巨人微软每周网上销售达300万美元；1997年西欧各国的电子贸易额达30亿美元，预计到2001年将达260亿美元；1997年底，美国和加拿大网上购物人数从半年前的47万人增加到100万人，电子商务正以每百天1倍的速度增长，到2002年，可望达到3000亿美元的规模。据IDC报告，1995年，全球电子商务交易额为2.5亿美元，而1996年这一数额则增至7亿～10亿美元，2000年将达到4000亿美元的规模。据中国互联网信息中心（CNNIC）1999年7月的统计报告，愿意在条件相对成熟的情况下，进行网上购物的占调查人数的85％，比去年同期增加了7％。另外，从1997年7月1日到1998年6月30日一年之间专门讨论电子商务的国际学术会议至少举行了18次，平均每个月一次半，这还没有算其他各种学术会议可能包含的有关电子商业的研讨和报告。由此可见，电子商务确实具有诱人的发展前景，电子商务将是一个巨大的市场，迫切需要研究和开发专门的技术和系统。
尽管电子商务的发展势头非常惊人，但它在全球贸易额中只占极小的一部分。一个主要的障碍就是如何保证传输数据的安全和交易对方的身份确认。因此，从传统的基于纸张的贸易方式向电子化的贸易方式转变的过程中，如何保持电子化的贸易方式与传统方式一样安全可靠，则是人们关注的焦点，同时也是电子商务全面应用的关键问题之一。

二、 安全要素

1.有效性
EC以电子形式取代了纸张，那么如何保证这种电子形式贸易信息的有效性则是开展EC的前提。EC作为贸易的一种形式，其信息的有效性将直接关系到个人、企业或国家的经济利益和声誉。因此，要对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制和预防，以保证贸易数据在确定的时刻、确定的地点是有效的。

2.机密性
EC作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。EC是建立在一个开放的网络环境（如Internet）上的，维护商业机密是EC全面推广应用的重要保障。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。

3.完整性
EC简化了贸易过程，减少了人为的干预，同时也带来维护贸易各方商业信息的完整、统一的问题。由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。此外，数据传输过程中信息的丢失、信息重复或信息传送的次序差异也会导致贸易各方信息的不同。贸易各方信息的完整性将影响到贸易各方的交易和经营策略，保持贸易各方信息的完整性是EC应用的基础。因此，要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。

4.可靠性
EC可能直接关系到贸易双方的商业交易，如何确定要进行交易的贸易方正是进行交易所期望的贸易方，这一问题则是保证EC顺利进行的关键。在传统的纸面贸易中，贸易双方通过在交易合同、契约或贸易单据等书面文件上手写签名或印章来鉴别贸易伙伴，确定合同、契约、单据的可靠性并预防抵赖行为的发生。这也就是人们常说的“白纸黑字”。在无纸化的EC方式下，通过手写签名和印章进行贸易方的鉴别已不可能,因此，要在交易信息的传输过程中为参与交易的个人、企业或国家提供可靠的标识。

三、 安全技术

为了满足电子商务的安全要求，EC系统必须利用安全技术为EC活动参与者提供可靠的安全服务，主要包括：鉴别服务、访问控制服务、机密性服务、不可否认服务等。鉴别服务是对贸易方的身份进行鉴别，为身份的真实性提供保证；访问控制服务通过授权对使用资源的方式进行控制，防止非授权使用资源或控制资源，有助于贸易信息的机密性、完整性和可控性；机密性服务的目标为EC参与者信息在存储、处理和传输过程中提供机密性保证，防止信息被泄露给非授权信息获得者；不可否认服务针对合法用户的威胁，为交易的双方提供不可否认的证据，来解决因否认而产生的争议提供支持。
各种EC安全服务都是通过安全技术来实现的。EC使用的主要安全技术包括：加密、数字签名、电子证书、电子信封和双重签名等。

1.加密技术
加密技术是EC采取的基本安全措施，贸易方可根据需要在信息交换的阶段使用。加密技术分为两类，即对称加密和非对称加密。
在对称加密方法中，采用相同的加密算法并只交换共享的专用密钥（加密和解密都使用相同的密钥）。如果进行通信的贸易方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过这种加密方法加密机密信息和通过随报文一起发送报文摘要或报文散列值来实现。因此，对称加密技术存在着在通信的贸易方之间确保密钥安全交换的问题。此外，对称加密方式无法鉴别贸易发起方或贸易最终方。数据加密标准（DES）由美国国家标准局提出，是目前广泛采用的对称加密算法，主要应用于银行业中的EFT领域。DES的密钥长度为56位。
在非对称加密体系中，密钥被分解为一对，即公开密钥或专用密钥。公开密钥（加密密钥）通过非保密方式向他人公开，而专用密钥（解密密钥）加以保存。公开密钥用于对机密性的加密，专用密钥则用于对加密信息的解密。专用密钥只能由生成密钥对的贸易方掌握，公开密钥可广泛发布，但它只对应于生成该密钥的贸易方。贸易甲方生成一对密钥，公布公开密钥；贸易方乙得到该公开密钥，使用该密钥对机密信息进行加密，然后发送给贸易甲方；贸易甲方再用自己保存的专用密钥对加密后的信息进行解密。贸易方只能用其专用密钥解密由其公开密钥加密后的任何信息。RSA算法是非对称加密领域内最为著名的算法。

2.数字签名
数字签名是非对称加密技术的一类应用。它的主要方式是：报文发送方从报文文本中生成一个128位的散列值（或报文摘要），并用自己的专用密钥对这个散列值进行加密，形成发送方的数字签名；然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方；报文接收方首先从接收到的原始报文中计算出128位的散列值（或报文摘要），接着再用发送方的公开密钥来对报文附加的数字签名进行解密。如果两个散列值相同，那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现对原始报文的鉴别和不可否认性。
ISO/IEC JTC1已经起草有关的国际标准规范。该标准的题目是“信息技术安全技术带附件的数字签名方案”，它由概述和基于身份的机制两部分构成。

3.电子证书
数字签名是基于非对称加密技术的，存在两个明显的问题：第一，如何保证公开密钥的持有者是真实的；第二，大规模网络环境下公开密钥的产生、分发和管理。由此，证书签发机构（CA,Certificate Authority）应运而生，它是提供身份验证的第三方机构，由一个或多个用户信任的组织实体构成。CA核实某个用户的真实身份以后，签发一份报文给该用户，以此作为网上证明身份的依据。这个报文称为电子证书，包括：唯一标识证书所有者（即贸易方）的名称、唯一标识证书签发者的名称、证书所有者的公开密钥、证书签发者的数字签名、证书的有效期及证书的序列号等。电子证书能够起到标识贸易方的作用，是目前EC广泛采用的技术之一。常用的证书有：持卡人证书、商家证书、支付网关证书、银行证书和发卡机构证书等。微软公司的Internet Explorer和网景公司的Navigator都提供了电子证书的功能作为身份鉴别的手段。

4.电子信封
电子信封是为了解决传送更换密钥问题而产生的技术，它结合了对称加密和非对称加密技术的各自优点。发送者使用随机产生的对称密钥加密数据，然后将生成的密文和密钥本身一起用接收者的公开密钥加密（称为电子信封）并发送；接收者先用自己的专用密钥解密电子信封，得到对称密钥，然后使用对称密钥解密数据。这样，保证每次传送数据都可有发送方选定不同的对称密钥。

5.双重签名
在实际商务活动中经常出现这种情形，即持卡人给商家发送订购信息和自己的付款帐户信息，但不愿让商家看到自己的付款帐户信息，也不愿让处理商家付款信息的第三方看到定货信息。在EC中要能做到这点，需使用双重签名技术。持卡人将发给商家的信息（报文1）和发给第三方的信息（报文2）分别生成报文摘要1和报文摘要2，合在一起生成报文摘要3，并签名；然后，将报文1、报文摘要2和报文摘要3发送给商家，将报文2、报文摘要1和报文摘要3发送给第三方；接收者根据收到的报文生成报文摘要，再与收到的报文摘要合在一起，比较结合后的报文摘要和收到的报文摘要3，确定持卡人的身份和信息是否被修改过。双重签名解决了三方参加电子贸易过程中的安全通信问题。

未完，请到这自己看http://www.webpromote.com.cn/article/2000/04/27/20000427-18.htm