前言：本站為你精心整理了電子商務(wù)數(shù)字認(rèn)證管理范文，希望能為你的創(chuàng)作提供參考價值，我們的客服老師可以幫助你提供個性化的參考范文，歡迎咨詢。

[摘要]構(gòu)筑安全電子商務(wù)信息環(huán)境是網(wǎng)絡(luò)時展到一定階段的“瓶頸”性課題,本文側(cè)重研究了電子商務(wù)環(huán)境下的信息安全技術(shù)，數(shù)字認(rèn)證技術(shù)以及身份鑒別和數(shù)字證書的安全性等核心問題。

[關(guān)鍵詞]電子商務(wù)信息安全PKI數(shù)字認(rèn)證密碼

一、電子商務(wù)環(huán)境下網(wǎng)絡(luò)通信的安全威脅

電子商務(wù)環(huán)境下網(wǎng)絡(luò)通信的安全威脅，即信息傳輸安全，指電子商務(wù)運行過程中，物流、資金流匯成信息流后動態(tài)傳輸過程中的安全。其安全隱患主要包括泄漏或者竊取商業(yè)機(jī)密;偽造;消息篡改;行為抵賴等。

二、電子商務(wù)環(huán)境下的數(shù)字認(rèn)證需求

電子商務(wù)環(huán)境下要保護(hù)數(shù)據(jù)的完整性以及防止信息的不可抵賴，數(shù)字認(rèn)證可以解決這兩類的安全問題。即數(shù)據(jù)在從發(fā)送者傳遞到接受者的推進(jìn)過程中，前后是否一致；以及在交易信息的傳輸過程中為參與交易的個人、企業(yè)或國家提供可靠的標(biāo)識，使原發(fā)方對已發(fā)送的數(shù)據(jù)、接收方對已接收的數(shù)據(jù)都不能否認(rèn)。

三、基于PKI體系的數(shù)字認(rèn)證技術(shù)

數(shù)字認(rèn)證(Authentication)是防止主動攻擊的重要技術(shù),對開發(fā)系統(tǒng)安全性有重要作用，認(rèn)證的主要目的有兩個，一是實體認(rèn)證即防止信息的發(fā)送者的身份的冒充；二是消息認(rèn)證即驗證和鑒別信息的完整性，確保數(shù)據(jù)在發(fā)送的過程中沒有被篡改。

基于PKI體系的數(shù)字認(rèn)證技術(shù)，主要結(jié)合基于公鑰密碼理論的數(shù)字簽名以及散列函數(shù)來實現(xiàn)身份認(rèn)證和消息的認(rèn)證。

數(shù)字簽名結(jié)合數(shù)字認(rèn)證技術(shù)幾乎可以解決電子商務(wù)對信息安全的所有需求，數(shù)字認(rèn)證技術(shù)可以提供信息的完整性保護(hù)，實現(xiàn)數(shù)字認(rèn)證的重要手段是數(shù)字簽名和散列函數(shù)。

1.數(shù)字摘要與散列函數(shù)

數(shù)字摘要是指通過單向Hash函數(shù)，將需加密的明文“摘要”成一串固定長度的散列值，不同的明文摘要成的密文其結(jié)果總是不相同，同樣的明文其摘要必定一致，并且由摘要不能反推明文。數(shù)字摘要將原本可變的很長的消息明文進(jìn)行壓縮變成與消息明文惟一映射的符號序列，使得在此基礎(chǔ)上進(jìn)行數(shù)字簽名非常高效快捷。

2.數(shù)字簽名與數(shù)字證書

數(shù)字簽名技術(shù)是將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。在電子商務(wù)安全服務(wù)中的源鑒別、完整性服務(wù)、不可否認(rèn)服務(wù)中都要用到數(shù)字簽名技術(shù)。數(shù)字證書含有證書持有者的有關(guān)信息，以標(biāo)識他的身份。數(shù)字證書克服了密碼在安全性和方便性方面的局限性，可以控制哪些數(shù)據(jù)庫能夠被查看，因此提高了總體的保密性。

四、身份鑒別及數(shù)字證書的安全性

安全服務(wù)的基礎(chǔ)主要是基于用戶鑒別和認(rèn)證。只有合法的用戶才能授予訪問的權(quán)限。最常見的方法是通過提供用戶名稱或者標(biāo)識ID。通?？赡苡卸喾N形式：用戶姓名、序列號碼、甚至x.500的全限定名稱。而用戶的身份認(rèn)證方式則根據(jù)采取的不同認(rèn)證方法而不同。

基于PKI的電子商務(wù)環(huán)境下，有很多的措施保護(hù)數(shù)字證書的傳輸及分發(fā)安全，如Https/SSL協(xié)議，VPN/IPSec協(xié)議等；然而這些安全機(jī)制卻不能保證數(shù)字證書在用戶終端上的存儲和使用安全。數(shù)字證書的存儲方式有:

1.無安全措施的直接存儲

用戶把數(shù)字證書直接存儲在硬盤，軟盤，以及其他的移動設(shè)備上，無任何的安全措施，其信息很容易病毒，黑客獲取，只能針對低級別安全的用戶。

2.采用口令以及密碼的方式保存

數(shù)字證書在存取和使用的過程中采用直接的口令機(jī)制保護(hù)私鑰的安全，簡單的方式采用常規(guī)口令字符串，也可以使用一次性口令，即在數(shù)字證書的存取和使用過程中加入隨機(jī)因素，使每次驗證的過程中傳送的信息都不相同，以提高口令的安全性；還有基于硬件技術(shù)的動態(tài)密碼鎖采用一種稱之為動態(tài)令牌的專用硬件，內(nèi)置電源、密碼生成芯片和顯示屏，使用該硬件可以產(chǎn)生動態(tài)的一次性口令，該密碼鎖的使用前必須輸入靜態(tài)的PIN碼才能進(jìn)入產(chǎn)生密碼，只有密碼鎖的持有者且知道PIN碼的用戶才能產(chǎn)生動態(tài)口令，采用硬件的不可復(fù)制特性，使得口令的產(chǎn)生與終端分離，安全性高于軟件方式。

3.基于硬件的令牌

直接把數(shù)字證書進(jìn)行加密然后放入相應(yīng)的移動存儲設(shè)備或者智能卡中進(jìn)行存儲而產(chǎn)生令牌；如智能卡令牌，將數(shù)字證書和私鑰存儲在智能卡上進(jìn)行認(rèn)證，但是需要讀卡器設(shè)備，其成本相對較高；USBKEY令牌采用雙鑰加密的認(rèn)證模式，USBKey是一種USB接口的硬件設(shè)備，內(nèi)置單片機(jī)或智能卡芯片，有一定的存儲空間，可以存儲用戶的私鑰以及數(shù)字證書，利用USBKey內(nèi)置的公鑰算法實現(xiàn)對用戶身份的認(rèn)證。由于用戶私鑰保存在密碼鎖中，理論上使用任何方式都無法讀取，因此保證了用戶認(rèn)證的安全性，用戶在使用USBKEY前也必須由靜態(tài)的PIN碼進(jìn)行確認(rèn)，優(yōu)點是具有很高的安全性以及攜帶方便，缺點是PIN碼是在客戶的終端上輸入容易被黑客獲取，因此使用后應(yīng)立即拔除，目前國內(nèi)的網(wǎng)銀系統(tǒng)普遍采用這種方式。

4.漫游證書

漫游證書通過第三方軟件提供，只需在任何系統(tǒng)中正確地配置，該軟件或者插件就可以允許用戶訪問自己的公鑰/私鑰對。其基本原理很簡單，即將用戶的證書和私鑰放在一個安全的中央服務(wù)器上，當(dāng)用戶登錄到一個本地系統(tǒng)時，從服務(wù)器安全地檢索出公鑰私鑰對，并將其放在本地系統(tǒng)的內(nèi)存中以備后用，當(dāng)用戶完成工作并從本地系統(tǒng)注銷后，該軟件自動刪除存放在本地系統(tǒng)中的用戶證書和私鑰。

5.基于主體生物特征的認(rèn)證

采用基于用戶固有的某些特征進(jìn)行認(rèn)證，如指紋、視網(wǎng)膜、聲音或簽字?；谏锾卣鞯淖R別能夠通過生物特征識別技術(shù)，可以將原有的私鑰的管理難題和脆弱性得到解決，并且可以通過中心化策略和客戶端策略來進(jìn)行。前者能夠在最大控制基礎(chǔ)上，解決安全的密碼分發(fā)和管理問題。而后者則更加靈活，與現(xiàn)有PKI架構(gòu)無縫集成?；谏锾卣髯R別的PKI，從邏輯上和技術(shù)上都加強(qiáng)了PKI。其優(yōu)點是生物識別絕不可能丟失和被偷竊，絕對無法冒充的身份認(rèn)證技術(shù)。

五、結(jié)束語

基于PKI的電子商務(wù)環(huán)境下，采用何種方式進(jìn)行實體以及消息的數(shù)字認(rèn)證技術(shù)是電子商務(wù)安全的根本，根據(jù)系統(tǒng)的特征以及電子商務(wù)的安全需求而選擇合適的數(shù)字認(rèn)證模式，以保證電子商務(wù)的雙方進(jìn)行安全的電子交易。

參考文獻(xiàn):

[1]徐雪梅:淺談保障電子商務(wù)活動中的信息安全[J].科技情報開發(fā)與經(jīng)濟(jì)，2003

[2]祁明:電子商務(wù)安全與保密[M].北京:高等教育出版社,2001

[3]徐漢超:計算機(jī)網(wǎng)絡(luò)安全與數(shù)據(jù)完整性技術(shù)[M].北京:北京電子工業(yè)出版社,1999