论文部分内容阅读
[摘 要] 本文在对电子商务的主要安全要素分析的基础上，具体介绍采用目前电子商务领域的三种安全技术，来消除电子商务活动中的安全隐患。
[关键词] 电子商务 安全电子交易协议 安全套接层协议 认证中心
一、电子商务的主要安全要素
随着互联网的飞速发展与广泛应用，电子商务的应用前景越来越广阔，实现电子商务的关键是要保证商务活动过程中系统的安全性，但在电子商务过程中，买卖双方是互不谋面通过网络来进行贸易活动，因而建立交易双方的安全和信任关系相当困难。如何创造安全的电子商务应用环境，已经成为社会、企业、消费者关注的问题。电子商务的安全要素主要体现在以下几个方面：
（1）电子商务系统的可靠性
是指为防止计算机失效、程序错误、传输错误、硬件故障、系统软件错误、计算机病毒与自然灾害等所产生的潜在威胁，通过控制与预防等来确保系统安全可靠。电子商务系统的可靠性是保证数据传输与存储、进行电子商务完整性检查的基础。系统的可靠性可以通过各种网络安全技术来实现。
（2）交易的真实性
是指商务活动中交易者身份的真实性，也就是要确定交易双方是真实存在的。身份认证通常采用电子签名、数字证书等技术来实现。
（3）信息的机密性
是指交易过程中必须保证信息不会泄露给非授权的人或实体。电子商务的交易信息直接代表着个人、企业的商业机密。个人的信用卡号和密码在网上传送时如被他人截获，就可能被盗用；企业的订货和付款信息如被竞争对手获悉，该企业就可能贻误商机。信息机密性的保护一般通过数据加密技术来实现。
（4）信息的完整性
是指数据在传输或存储过程中不会受到非法修改、删除或重放，以确保信息的顺序完整性和内容完整性。数据完整性的保护通过安全散列函数（如数字摘要）与电子签名技术来实现。
（5）交易的不可抵赖性
是指保证发送方不能否认自己发送了信息，同时接收方也不能否认自己接收到信息。交易的不可抵赖性通过电子签名技术来实现。
二、电子商务的安全技术之一—数据加密技术
（1）常用的加密技术分类：
目前，获得广泛应用的两种加密技术是对称密钥加密体制和非对称密钥加密体制。它们的主要区别在于所使用的加密和解密的密码是否相同。
1．对称密钥加密体制
对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。
使用对称加密技术将简化加密的处理，每个参与方都不必彼此研究和交换专用设备的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。
2．非对称密钥加密体制
非对称密钥加密系统，又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。
该方案实现信息交换的过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密信息进行解密。
（2）电子商务领域常用的加密技术
常用的安全认证技术主要有数字摘要、数字信封、数字签名、数字时间戳、数字证书等。
1．数字摘要
数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码，并在传输信息时将之加入文件一同送给接收方，接收方收到文件后，用相同的方法进行变换运算，若得到的结果与发送来的摘要码相同，则可断定文件未被篡改，反之亦然。
2．数字信封
数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。在数字信封中，信息发送方采用对称密钥来加密信息，然后将此对称密钥用接收方的公开密钥来加密（这部分称为数字信封）之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。这种技术的安全性相当高。
3．数字签名
日常生活中，通常用对某一文档进行签名来保证文档的真实有效性，防止其抵赖。在网络环境中，可以用电子数字签名作为模拟。
把Hash函数和公钥算法结合起来，可以在提供数据完整性的同时保证数据的真实性。完整性保证传输的数据没有被修改，而真实性则保证是由确定的合法者产生的Hash，而不是由其他人假冒。而把这两种机制结合起来就可以产生数字签名。
4．数字时间戳
在书面合同中，文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。而在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务就能提供电子文件发表时间的安全保护。数字时间戳服务（DTS）是网络安全服务项目，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。
5．数字证書
数字证书是用来惟一确认安全电子商务交易双方身份的工具。由于它由证书管理中心做了数字签名，因此任何第三方都无法修改证书的内容。任何信用卡持有人只有申请到相应的数字证书，才能参加安全电子商务的网上交易。数字证书一般有四种类型：客户证书、商家证书、网关证书及CA系统证书。
三、电子商务的安全技术之二—身份认证技术
在电子交易中，无论是数字时间戳服务(DTS)还是数字证书(Digital ID)的发放，都不是靠交易的自己能完成的，而需要有一个具有权威性和公正性的第三方(third party)来完成。认证中心(Certificate Authority)就是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理。认证中心依据认证操作规定(Certification Practice Statement)来实施服务操作。
四、小结
本文分析了目前电子商务领域所使用的安全技术：数据加密技术，身份认证技术，网上支付平台及支付网关，指出了它们分别的使用范围及其优缺点，但必须强调说明的是，电子商务的安全运行，仅从技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。■
参 考 文 献
[1]覃征，谢国彤等编著.商务体系结构及系统设计.西安：西安交通大学出版社，2001.
[2]覃征编著.电子商务导论.第一版.北京：人民邮电出版社，2001.
[关键词] 电子商务 安全电子交易协议 安全套接层协议 认证中心
一、电子商务的主要安全要素
随着互联网的飞速发展与广泛应用，电子商务的应用前景越来越广阔，实现电子商务的关键是要保证商务活动过程中系统的安全性，但在电子商务过程中，买卖双方是互不谋面通过网络来进行贸易活动，因而建立交易双方的安全和信任关系相当困难。如何创造安全的电子商务应用环境，已经成为社会、企业、消费者关注的问题。电子商务的安全要素主要体现在以下几个方面：
（1）电子商务系统的可靠性
是指为防止计算机失效、程序错误、传输错误、硬件故障、系统软件错误、计算机病毒与自然灾害等所产生的潜在威胁，通过控制与预防等来确保系统安全可靠。电子商务系统的可靠性是保证数据传输与存储、进行电子商务完整性检查的基础。系统的可靠性可以通过各种网络安全技术来实现。
（2）交易的真实性
是指商务活动中交易者身份的真实性，也就是要确定交易双方是真实存在的。身份认证通常采用电子签名、数字证书等技术来实现。
（3）信息的机密性
是指交易过程中必须保证信息不会泄露给非授权的人或实体。电子商务的交易信息直接代表着个人、企业的商业机密。个人的信用卡号和密码在网上传送时如被他人截获，就可能被盗用；企业的订货和付款信息如被竞争对手获悉，该企业就可能贻误商机。信息机密性的保护一般通过数据加密技术来实现。
（4）信息的完整性
是指数据在传输或存储过程中不会受到非法修改、删除或重放，以确保信息的顺序完整性和内容完整性。数据完整性的保护通过安全散列函数（如数字摘要）与电子签名技术来实现。
（5）交易的不可抵赖性
是指保证发送方不能否认自己发送了信息，同时接收方也不能否认自己接收到信息。交易的不可抵赖性通过电子签名技术来实现。
二、电子商务的安全技术之一—数据加密技术
（1）常用的加密技术分类：
目前，获得广泛应用的两种加密技术是对称密钥加密体制和非对称密钥加密体制。它们的主要区别在于所使用的加密和解密的密码是否相同。
1．对称密钥加密体制
对称密钥加密，又称私钥加密，即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。
使用对称加密技术将简化加密的处理，每个参与方都不必彼此研究和交换专用设备的加密算法，而是采用相同的加密算法并只交换共享的专用密钥。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过使用对称加密方法对机密信息进行加密以及通过随报文一起发送报文摘要或报文散列值来实现。
2．非对称密钥加密体制
非对称密钥加密系统，又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。公钥机制灵活，但加密和解密速度却比对称密钥加密慢得多。
该方案实现信息交换的过程是：贸易方甲生成一对密钥并将其中的一把作为公开密钥向其他贸易方公开；得到该公开密钥的贸易方乙使用该密钥对信息进行加密后再发送给贸易方甲；贸易方甲再用自己保存的另一把专用密钥对加密信息进行解密。
（2）电子商务领域常用的加密技术
常用的安全认证技术主要有数字摘要、数字信封、数字签名、数字时间戳、数字证书等。
1．数字摘要
数字摘要是采用单向Hash函数对文件中若干重要元素进行某种变换运算得到固定长度的摘要码，并在传输信息时将之加入文件一同送给接收方，接收方收到文件后，用相同的方法进行变换运算，若得到的结果与发送来的摘要码相同，则可断定文件未被篡改，反之亦然。
2．数字信封
数字信封是用加密技术来保证只有规定的特定收信人才能阅读信的内容。在数字信封中，信息发送方采用对称密钥来加密信息，然后将此对称密钥用接收方的公开密钥来加密（这部分称为数字信封）之后，将它和信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开信息。这种技术的安全性相当高。
3．数字签名
日常生活中，通常用对某一文档进行签名来保证文档的真实有效性，防止其抵赖。在网络环境中，可以用电子数字签名作为模拟。
把Hash函数和公钥算法结合起来，可以在提供数据完整性的同时保证数据的真实性。完整性保证传输的数据没有被修改，而真实性则保证是由确定的合法者产生的Hash，而不是由其他人假冒。而把这两种机制结合起来就可以产生数字签名。
4．数字时间戳
在书面合同中，文件签署的日期和签名一样均是防止文件被伪造和篡改的关键性内容。而在电子交易中，同样需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务就能提供电子文件发表时间的安全保护。数字时间戳服务（DTS）是网络安全服务项目，由专门的机构提供。时间戳是一个经加密后形成的凭证文档，它包括三个部分：需加时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。
5．数字证書
数字证书是用来惟一确认安全电子商务交易双方身份的工具。由于它由证书管理中心做了数字签名，因此任何第三方都无法修改证书的内容。任何信用卡持有人只有申请到相应的数字证书，才能参加安全电子商务的网上交易。数字证书一般有四种类型：客户证书、商家证书、网关证书及CA系统证书。
三、电子商务的安全技术之二—身份认证技术
在电子交易中，无论是数字时间戳服务(DTS)还是数字证书(Digital ID)的发放，都不是靠交易的自己能完成的，而需要有一个具有权威性和公正性的第三方(third party)来完成。认证中心(Certificate Authority)就是承担网上安全电子交易认证服务、能签发数字证书、并能确认用户身份的服务机构。认证中心通常是企业性的服务机构，主要任务是受理数字凭证的申请、签发及对数字凭证的管理。认证中心依据认证操作规定(Certification Practice Statement)来实施服务操作。
四、小结
本文分析了目前电子商务领域所使用的安全技术：数据加密技术，身份认证技术，网上支付平台及支付网关，指出了它们分别的使用范围及其优缺点，但必须强调说明的是，电子商务的安全运行，仅从技术角度防范是远远不够的，还必须完善电子商务立法，以规范飞速发展的电子商务现实中存在的各类问题，从而引导和促进我国电子商务快速健康发展。■
参 考 文 献
[1]覃征，谢国彤等编著.商务体系结构及系统设计.西安：西安交通大学出版社，2001.
[2]覃征编著.电子商务导论.第一版.北京：人民邮电出版社，2001.