电子商务安全策略

《电子商务安全策略》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、电子商务安全策略北京大学信息科学中心李常青198800031．引言12．认证系统12．1认证系统的基本原理1传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理的问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。RSA算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSA

2、公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。2摘要：电子商务的实施，其关键是要保证整个商务过程中系统的安全性。针对这个问题，本文仔细分析了认证系统、SSL协议和SET协议，并指出了其应用中的一些局限。最后，介绍了另外几种与商务安全有关的技术。关键词：安全、认证、证书、CA、SSL协议、SET协议1．引言近几年，随着互联网的不断发展，在世界范围内掀起了

3、一股电子商务热潮。许多国家政府部门对电子商务的发展十分重视，把这场以电子商务为标志的信息化革命与十九世纪以蒸汽机为标志的工业化革命相提并论，并纷纷出台了有关政策和举措。中国对电子商务的发展也给予了应有的重视，考虑到电子商务必然涉及到网上支付、必然涉及到银行支付结算，为了作好前瞻性的研究，1998年6月，人民银行支付科技司组织成立了电子商务课题组，对银行支付在电子商务中的作用和对策进行研究，并在研究基础上，组织各商业银行联合共建金融认证中心，为网上安全支付创造条件。实现电子商务的关键是要保证商务活动过程中系统的安全性，即应保证在向基于Internet的电子交易转变

4、的过程中与传统交易的方式一样安全可靠。电子商务的安全主要采用数据加密和身份认证技术。下面分别从认证系统，SSL（SecureSocketsLayer）协议和安全电子交易SET（SecureElectronicTransaction）协议三个方面来加以论述。2．认证系统电子商务的关键是安全，网上安全交易的基础是数字证书。证书类似于生活中的身份证，用以在网络上鉴别一个人或组织的真实身份。证书的颁发机构叫做CertificateAuthority，通常简称CA。要建立安全的电子商务系统，必须首先建立一个稳固、健全的CA；否则，一切网上的交易都没有安全保障。2．1认证系

5、统的基本原理　　传统的对称密钥算法具有加密强度高、运算速度快的优点，但密钥的传递与管理的问题限制了它的一些应用。为解决此问题，七十年代密码界出现了公开密钥算法，该算法使用一对密钥即一个私钥和一个公钥，其对应关系是唯一的，公钥对外公开，私钥个人秘密保存。一般用公钥来进行加密，用私钥来进行签名；同时私钥用来解密，公钥用来验证签名。算法的加密强度主要取决于选定的密钥长度。RSA算法是公开密钥算法中研究最为深入，使用最为广泛的算法，为大多数国家地区的官方或非官方所采用。利用RSA公开密钥算法在密钥自动管理、数字签名、身份识别等方面的特性，可建立一个为用户的公开密钥提供担

6、保的可信的第三方认证系统。这个可信的第三方认证系统也称为CA，CA为用户发放电子证书，用户之间（比如网银服务器和某客户之间）利用证书来保证信息安全性和双方身份的合法性。　　国际邮联ITU在1994年公布了关于证书格式的最新标准，称为X.509协议，在X.509的证书格式中，包含很多域，其中比较重要的有：用户名称、签发者名称、有效期、用户公钥信息、签发者对证书信息的数字签名。在浏览器和WebServer产品中都已集成了证书申请和证书的验证功能，只要能用符合X.509协议的证书安装在浏览器上和WebServer服务器端，就能实现双方证书的自动验证，从而识别身份。2．

7、2系统结构　　整个系统是一个大的网络环境，系统从功能上基本可以划分为CA、RA和WebPublisher。　　核心系统根CA放在一个单独的封闭空间中，为了保证运行的绝对安全，其人员及制度都有严格的规定，并且系统设计为一离线网络。CA的功能是在收到来自RA的证书请求时，颁发证书。一般的个人证书发放过程都是自动进行，无须人工干预。　　证书的登记机构RegisterAuthority，简称RA，分散在各个网上银行的地区中心。RA与网银中心有机结合，接受客户申请，并审批申请，把证书正式请求通过建设银行企业内部网发送给CA中心。RA与CA双方的通信报文也通过RSA进行加密

8、，确保安全。系统的分布式