第五章电子商务交易安全安全技术协议

第五章 电子商务交易安全 安全技术 协议 认证技术 认证技术的必要性 在下列情况下，信息认证是必需的： 网上购物并不要求购物信息保密，而只要求确认网上商店不是假冒的。（身份认证问题） 用户与商家在网上交换的信息是否被第三方修改过或伪造。（信息完整性问题） 双方交换信息以后不能反悔或不认账。（不可抵赖性问题） 商家发布的产品信息（促销信息）是否真实、可靠。（信息的可靠性问题）信息认证的主要策略 身份认证：鉴别各参与交易的对象的身份。（数字签名等） 报文认证：鉴别通信内容的完整性。（数字摘要等） 多方记录：保证各方交换信息的行为不可抵赖。（数字时间戳等） 认证技术的种类 数字摘要 含义：利用不可逆加密算法，如哈希函数（Hash），运算出一个固定长度（如128位）的短数据串。 注： 不可逆加密算法是将明文生成较短的数据串，适用于对信息完整性的验证； 其特点有： 免碰撞性：不同的明文生成的数据串不相同； 不可逆性：无法从数据串推算出原文。 用途： 用于验证信息的完整性； 弥补非对称密码体制加密速度慢的缺陷电子商务安全交易，并与非对称密码体制组合成数字签名技术。 数字签名 引言 传统事务处理中采用书面签名，签名有以下功能： 因为签名难以否认，从而确认文件的已签署这一事实； 因为签名不易仿冒，从而确认文件为真实这一事实； 对应的第五章电子商务交易安全安全技术协议，数字签名对比书面签名，有相似之处： 文件由签名者发送，能证实其身份，不能否认此事实； 文件自签发后没有被修改； 技术实现：采用不可逆加密体制与非对称密码体制相结合的认证技术； 数字信封 实现过程： 发送方： 用对称密钥对明文加密，形成密文； 再用接收方的公钥对对称密钥加密，形成密钥密文； 将密文和密钥密文一同发给接收方。

接收方： 用自己的私钥对密钥密文解密，得到对称密钥； 再用对称密钥对密文解密，得到明文。 技术特点：对称密码体制与非对称密码体制相结合的认证技术； 数字时间戳（Digital time-stamp service，TDS） 使用数字时间戳的意义： 在传统交易中，文件签署的日期是十分重要的信息，不容随意伪造和篡改。在电子交易中更需要对时间采取安全措施。 网上安全服务项目，由专门机构（认证中心）提供。 实现过程：（用户与专门机构之间的关系） 用户将明文生成数字摘要； 用户将数字摘要发送给专门机构的DTS； DTS加入日期和时间信息，再对它们加密（数字签名），最后返回给用户。 数字证书 引言：为什么要数字证书？ 信息加密、数字签名技术解决了信息的保密性、完整性、不可否认性，但交易者的身份却没有确定。 数字证书简介： 数字证书提供一种在上验证真实身份的方式（如持卡人、商家、支付网关） ； 数字证书可用于电子邮件、电子商务、电子基金转移等各种用途。 数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件； 一个标准的数字证书内容 证书的版本信息； 证书的序列号，每个证书都有一个唯一的证书序列号； 证书所使用的签名算法； 证书的发行机构名称.； 证书的有效期，它的计时范围为1950-2049； 证书所有人的名称； 证书所有人的公开密钥； 证书发行者对证书的数字签名。

数字证书的类型 个人证书（ Digital ID） 为某一个用户提供凭证，以帮助其个人在网上进行安全交易操作； 通常安装在客户端的浏览器内，以安全电子邮件(S/MIME)进行交易； 企业（服务器）证书（Server ID） 为网上的某个Web服务器提供凭证； 有证书的Web服务器会自动地将其与客户端Web浏览器通信的信息加密； 软件（开发者）证书（ ID） 为互联网中被下载的软件提供凭证，该凭证用于和公司技术（合法化软件）结合的软件，以使用户在下载软件时能获得所需的信息； 认证中心 又称为证书授证( )中心，是一个负责发放和管理数字证书的权威机构。 是电子交易中信赖的基础，负责核实申请证书的用户身份及相关信息，使用户真实性与证书的真实性一致。 认证中心的作用 证书的颁发； 证书的更新； 证书的查询； 证书的作废； 证书的归档； 证书生成的流程： 证书申请人提出申请，并将必要的认证信息提交给CA。 CA对申请人所提交的信息审查，检查其正确性和合法性，对实体身份进行确认，生成数字证书的信息。

CA用自己的私钥为证书加上数字签名。 CA将证书发放给用户，将证书的副本存底并发布于证书库中电子商务安全交易，以备他人查询。 电子商务交易安全协议 安全套接层协议（SSL协议） SSL(Secure Socket Layer)是公司率先采用的一种网络安全协议。 在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术，它能把在网页和服务器之间传输的数据加密，以防止资料在传输过程中被窃取。 采用SSL协议传输密码和信用卡号等敏感信息是一种比较理想的选择。目前，SSL协议标准已经成为网络上保密通信的一种工业标准，有广泛的应用。 SSL协议与相关网络层的关系 SSL的应用及局限 当前状况：国际著名的信用卡支付系统就支持这种简单加密模式，中国目前多家银行均采用SSL协议，如招商银行“一网通”采用的就是SSL协议。所以目前SSL还是人们最信赖的协议。 局限：SSL当初并不是为支持电子商务而设计的，是一个面向连接的协议，只能提供交易中客户与服务器间的双方认证，而电子商务往往是用户、网站、银行三家协作完成, SSL协议并不能协调各方间的安全传输和信任关系。

安全电子交易协议（SET协议） 1．简介 SET(Secure )是由VISA和开发，是为了在互联网上进行在线交易时保证用卡支付的安全而设立的一个开放的规范。 2.由于得到了IBM、HP、、、GTE、等很多大公司的支持，它已形成了事实上的工业标准，目前它已获得互联网工程任务组标准的认可。 SSL与SET的比较SSL与SET两种协议都能应用于电子商务中，都通过认证进行身份的识别商务信息网mobile移动站，都通过对传输数据的加密实现保密性。但SSL和SET在具体的内容方面有明显的不同： 作业：P139/10 什么是数字签名？有什么作用？ * * 源 文 件 数 字 摘 要 数 字 摘 要 源 文 件 数 字 摘 要 Hash算法 Hash算法 对比 发送端 接收端 因特网 因特网 数字摘要验证信息的完整性 发送方： 先从明文中生成数字摘要； 用发送方秘密私钥对数字摘要加密，形成数字签名； 把明文和数字签名一同发给接收方。 接收方： 先从收到的明文中生成数字摘要（用与发送方同样的哈希算法）； 用发送方的公钥对数字签名解密，获得发来的数字摘要； 将自己生成的数字摘要与发来的数字摘要相对比，以验证信息的完整性。

思考：发送方在哪一步证明明文的完整性，又在哪一步证明文件的不可否认性？ （2）数字签名的实现过程 对比是否 一致 数字摘要 发送方 接收方 发送方私钥 哈希算法 数字签名 发送方公钥 明文 明文 明文 数字签名 数字签名实现过程示意图 数字签名 网上传送 数字摘要 哈希算法 数字摘要 思考：上述过程是否实现了信息加密功能？如果要实现的话，则还需要什么操作？ 对称密钥 明文 密文 密钥密文 密文 密钥密文 明文 对称密钥 B方私钥 B方公钥 A发送方 B接收方 数字信封实现过程示意图 对称密钥 网络传输 源 文 件 数 字 摘 要 数 字 摘 要 数 字 摘 要 + 时 间 新 摘 要 数 字 摘 要 + 时 间 数 字 时 间 戳 数 字 时 间 戳 Hash算法 Hash算法 加时间 第三方私钥加密 发送方 第三方 数字时间戳的实现过程 凭证文件 发方 收方发方发方私钥对称密钥公钥文件数字数字签名文件摘要 文件正文摘要签名文件正文对称密钥对称密钥 对称密钥密文私钥 收方公钥 HASH 函数 密文 对称加密 比较 非对 称加 密 对称 解密 非对 称解 密 HASH 函数 非对称加密 非对 称解 密 信息加密和数字签名的综合处理流程 收方私钥 文件摘要 SSL协议 RSA RC4 RC2 IDEA DES 三层DES 应用软件 客户 / 服务器软件 应用软件 Telnet、FTP、HTTP TCP/IP SSLref 加密算法 基本传输协议 SSL可以被理解成一条受密码保护的通道，通道的安全性取决于协议中采用的加密算法。

SSL协议独立于应用层协议，且被大部分浏览器内置，便于在电子交易中应用。 SSL协议工作流程 握手协议：用于协商密钥，协议的大部分内容都是描述通信双方如何安全地协商会话密钥。 记录协议：则定义了传输的格式。 SSL协议 SET协议 SSL协议 比较内容 应用层 传输层与应用层之间 工作层次 不透明 透明 是否透明 复杂 简单 过程 底 高 效率 消费者PI对商家保密 商家掌握消费者PI（支付信息） 安全性 多方认证 双方认证 认证机制 是 否 是否专为EC设计 SSL协议与SET协议比较

【114黄页（http://info.114ren.com）本文来源于互联网转载，如侵犯您的权益或不适传播，请邮件通知我们删除】