身份認(rèn)證技術(shù)在電子商務(wù)安全中的應(yīng)用

[摘 要] 安全保證是電子商務(wù)開展的首要前提，建立強(qiáng)有力的身份鑒別體系成為保障電子商務(wù)系統(tǒng)安全的關(guān)鍵。本文對電子商務(wù)中常見的身份認(rèn)證技術(shù)進(jìn)行探討。

[關(guān)鍵字] 身份認(rèn)證 電子商務(wù) 加密

電子商務(wù)是一種依托現(xiàn)代信息技術(shù)和網(wǎng)絡(luò)技術(shù)，集金融電子化、管理信息化、商貿(mào)信息網(wǎng)絡(luò)化為一體，旨在實(shí)現(xiàn)物流、資金流與信息流和諧統(tǒng)一的新型貿(mào)易方式。安全保證是電子商務(wù)開展的首要前提。身份認(rèn)證技術(shù)在信息安全中處于非常重要的地位，是其他安全機(jī)制的基礎(chǔ)。只有實(shí)現(xiàn)了有效的身份鑒別，才能保證訪問控制、安全審計、入侵防范等安全機(jī)制的有效實(shí)施。隨著電子商務(wù)建設(shè)的發(fā)展，黑客入侵電子商務(wù)體系的事件頻頻發(fā)生，賬戶被盜用的事件屢見不鮮，使得電子商務(wù)的進(jìn)一步發(fā)展面臨巨大的挑戰(zhàn)，采用完善的身份認(rèn)證技術(shù)是解決這些問題的關(guān)鍵。

身份識別是指用戶向系統(tǒng)出示自己身份證明的過程。身份鑒別是系統(tǒng)查核用戶的身份證明的過程，實(shí)質(zhì)上是查明用戶是否具有他所請求資源的存儲和使用權(quán)。人們通常把這兩項工作統(tǒng)稱為身份認(rèn)證。本文對常見的身份鑒別機(jī)制進(jìn)行了探討，并對它們的安全性進(jìn)行分析研究。

一、數(shù)字證書

根據(jù)聯(lián)合國《電子簽字示范法》第一條，“證書”系指可證實(shí)簽字人與簽字生成證據(jù)有聯(lián)系的某一數(shù)據(jù)電文或其他記錄。在交易支付的過程中，參與各方為了證實(shí)自己的身份，需到第三方即認(rèn)證中心去認(rèn)證。數(shù)字證書就是認(rèn)證中心為交易各方頒發(fā)的身份憑證，它是一個經(jīng)CA數(shù)字簽名的、包含證書申請者個人信息及其公開密鑰的文件。基于公開密鑰體制(PKI)的數(shù)字證書是用來確認(rèn)安全電子商務(wù)交易雙方身份的工具，由于它由證書管理中心作了數(shù)字簽名，因此任何第三方都無法修改證書的內(nèi)容。任何交易雙方只有申請到相應(yīng)的數(shù)字證書，才能參加安全電子商務(wù)的網(wǎng)上交易。常用的數(shù)字證書有:個人憑證;企業(yè)(服務(wù)器)憑證;軟件（開發(fā)者)憑證。

二、數(shù)字信封

數(shù)字信封技術(shù)綜合了私密密鑰加密技術(shù)和公開密鑰加密技術(shù)的優(yōu)點(diǎn)，它使用私密密鑰對信息進(jìn)行加密，使用接收方提供的公開密鑰對私密密鑰進(jìn)行加密，接收方收到信息后，首先利用自己的私鑰對對方的私密密鑰進(jìn)行解密，再用解密后的發(fā)送方私密密鑰對密文進(jìn)行解密。簡單地說：數(shù)字信封技術(shù)是使用私密密鑰加密技術(shù)對要發(fā)送的信息進(jìn)行加密、使用公開密鑰加密技術(shù)對私鑰進(jìn)行加密的一種加密技術(shù)，它較好地保證了數(shù)據(jù)傳輸?shù)陌踩浴?/p>

三、數(shù)字時間戳

交易文件中，時間是十分重要的信息。在書面合同中，文件簽署的日期和簽名一樣均是十分重要的防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。在電子交易中，同樣需對交易文件的日期和時間信息采取安全措施，而數(shù)字時間戳服務(wù)就能提供電子文件發(fā)表時間的安全保護(hù)。數(shù)字時間戳服務(wù)(DTS)是網(wǎng)上安全服務(wù)項目，由專門的機(jī)構(gòu)提供。時間戳是一個經(jīng)加密后形成的憑證文檔，它包括3個部分:需加時間戳的文件的摘要;DTS收到文件的日期和時間;DTS的數(shù)字簽名。時間戳產(chǎn)生的過程為：用戶首先將需要加時間戳的文件用HASH編碼加密形成摘要，然后將該摘要發(fā)送到DTS，DTS在加入了收到文件摘要的日期和時間信息后再對該文件加密，然后送回用戶。

四、智能卡

智能卡是一種智能集成電路卡，不但提供讀寫數(shù)據(jù)和存儲數(shù)據(jù)的能力，還具有對數(shù)據(jù)進(jìn)行處理的能力，可以實(shí)現(xiàn)對數(shù)據(jù)的加密解密，能進(jìn)行數(shù)字簽名和驗證數(shù)字簽名，其存儲器部分具有外部不可讀特性。智能卡在電子商務(wù)系統(tǒng)中有無法比擬的優(yōu)勢。首先，私人密鑰和電子證書是保存于智能卡的不允許外讀的存儲單元中，而且可對智能卡的使用設(shè)置個人密碼，從而鑒別持卡人是否為該卡的合法使用者；同時，可以承擔(dān)對信息的加密解密、簽名及對簽名的驗證等事務(wù)，減輕了客戶端系統(tǒng)的負(fù)擔(dān)。當(dāng)需要對加密解密算法進(jìn)行改動或替換時只需要對智能卡進(jìn)行相應(yīng)的改動而無需對客戶端系統(tǒng)進(jìn)行升級。采用智能卡，使身份識別更有效、安全，智能卡技術(shù)將成為用戶接入和用戶身份認(rèn)證的首選技術(shù)。

五、數(shù)字摘要

數(shù)字摘要是采用單向Hash 函數(shù)對文件中若干重要元素進(jìn)行某種變換運(yùn)算得到固定長度的摘要碼，并在傳輸信息時將之加入文件一同送給接收方，接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算，若得到的結(jié)果與發(fā)送來的摘要碼相同，則可斷定文件未被篡改，反之亦然。

六、數(shù)字簽名

數(shù)據(jù)簽名技術(shù)能夠保證:信息除發(fā)送方和接收方外不被其他人竊取；信息在傳輸過程中不被篡改；接受方能夠確認(rèn)發(fā)送方身份；發(fā)送方對于自已的信息不能抵賴。當(dāng)前在Internet電子商務(wù)系統(tǒng)中廣泛采用的是RSA公開密鑰加密體制的數(shù)字簽名技術(shù)。數(shù)字簽名采用了公開密鑰密碼體制，即利用一對相互匹配的不對稱密鑰實(shí)現(xiàn)加密和解密，同時用于簽名和核準(zhǔn)簽名。

七、認(rèn)證中心

在電子商務(wù)系統(tǒng)中無論是數(shù)字時間戳服務(wù)，還是數(shù)字憑證的發(fā)放都需要有一個具有權(quán)威性和公正性的第三方認(rèn)證機(jī)構(gòu)來承擔(dān)。CA中心是公正的第三方，它為建立身份認(rèn)證過程的權(quán)威性框架奠定了基礎(chǔ)，為交易的參與方提供了安全策略。它為網(wǎng)上交易構(gòu)筑了一個互相信任的環(huán)境，結(jié)束了網(wǎng)上身份認(rèn)證、公鑰分發(fā)及信息安全等一系列問題。由此可見，CA是保證電子商務(wù)安全的關(guān)鍵。CA中心對含有公鑰的證書進(jìn)行數(shù)字簽名，使證書無法偽造。每個用戶可以獲得CA中心的公開密鑰(CA根證書），驗證任何一張數(shù)字證書的數(shù)字簽名，從而確定證書是否是CA中心簽發(fā)、數(shù)字證書是否合法。

身份認(rèn)證技術(shù)是網(wǎng)絡(luò)安全中的一個重要環(huán)節(jié)，建立強(qiáng)有力的身份鑒別體系已成為保障電子商務(wù)系統(tǒng)安全的關(guān)鍵技術(shù)之一。身份認(rèn)證技術(shù)必將在電子商務(wù)活動中發(fā)揮著越來越重要的作用。

參考文獻(xiàn):

劉曉敏:網(wǎng)絡(luò)環(huán)境下信息安全的技術(shù)保護(hù).情報科學(xué)，1999