PKI在电子商务应用中的关键问题分析

《PKI在电子商务应用中的关键问题分析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、PKI在电子商务应用中的关键问题分析摘要：随着电子商务的不断发展与研究，电子商务的安全性将会受到越来越多的关注与研究。本文首先介绍电子商务和PKI的概念，分析了电子商务特有的安全性问题，随后介绍了PKI的核心技术基础，然后给出了一个基于PKI的电子商务系统模型，对一次电子商务交易过程中的PKI技术应用环节进行分析，讨论PKI在电子商务应用中的一些关键问题。关键字：电子商务，公开密钥基础设施，PKI，信息安全一、电子商务概述电子商务，通常指人们通过互联网络进行的商务活动。1997年在巴黎举行的世界电子商务会

2、议对电子商务的解释为：在业务上，电子商务是指实现整个贸易活动的电子化，交易各主以电子交易方式进行各种形式的商业交易；在技术上，电子商务采用电子数据交换(EDI)、电子邮件(Email)、共享数据(Database)、电子公告牌(BBS)以及条形码(Barcode)等多种技术[1]。世界各大公司结合自己的业务范围，对电子商务的认识都略有不同：lIBM公司认为电子商务等于Web+IT，它所强调的是网络计算机环境下的商业化应用[1]；lMicrosoft定义电子商务是在Intranet(企业内部网)和Extra

3、net(企业外部网)结合起来的应用，E-Business=IT+Web+Business[1]；lSUN认为电子商务是利用Internet网络，基于JAVA网络应用框架下的企业和跨企业的应用[1]。电子商务提高了通信速度、降低成本、服务时间延长、增强了企业的竞争力等特点，得到了企业界各方面人士的共识。总的来说，电子商务的发展是机遇大于挑战，但是它又在很多方面表现出与传统贸易框架的格格不入，带来的新问题不断出现。其中阻碍电子商务发展的首要问题是安全性问题。二、电子商务安全性与PKI技术电子商务的安全性问题不

4、简单的等同于传统意义上的计算机网络安全问题。我们通常所说的网络安全主要是指计算机网络设备安全、计算机网络系统安全、数据库安全等，诸如漏洞、病毒、黑客攻击、网络仿冒等常见的安全事件。电子商务领域还面临着其他的安全威胁，诸如：1、攻击者可能截获用户传输的机密信息，诸如银行的账号、密码等；可能对用户传输的信息进行篡改，如恶意篡改或删除用户的订单信息。这些都会对电子商务的使用者造成直接的经济损失；2、攻击者可能冒充他人进行消费，或者冒充主机欺骗其合法的客户，篡改其客户的使用权限、密钥等，占用客户的资源，谋取不当利

5、益；3、通信双方对传输信息的抵赖行为，包括发信者事后否认曾发送过某条信息，或收信方否认曾接收到某一信息，或双方对通信发生时间的抵赖行为等。经由这些问题可以看出，在传统的计算机网络安全的基础上，要保障以电子交易和电子支付为核心的电子商务的顺利进行，就是要实现电子交易过程的保密性、完整性、有效性、可鉴别性、和不可抵赖性。以密码学原理为理论基础的公开密钥基础设施(PublicKeyInfrastructure,PKI)是解决这些问题的行之有效的方案。PKI技术是在公钥密码技术和数字证书的基础上发展起来的安全应用

6、框架，它包括一整套的协议、服务和标准，可以为电子商务中的各种业务应用提供信息传输机密性、数据交换的完整性、交易者双方身份的真实性和发送信息的不可否认性等安全服务。PKI技术的两个核心技术是公钥密码和数字证书。公钥密码技术使用一对不同的密钥(公钥和私钥)分别用于数据的加密和解密。公钥可向所有通信对象公开，私钥仅有用户自己持有。发信方用对方的公钥加密信息，而收信方必须用自己的私钥才能对信息进行解密。数字证书认证技术将每一个公钥与其用户之间的对应关系以数字证书的形式确认下来，它以一个权威的认证机构(CA)为核心

7、，为每一个公钥持有者颁发证明其身份的数字证书，其中包括用户的用户名、公钥和用户身份的其他信息，在公钥加密的基础上完成证书的生成、分发、管理和撤销工作，以实现交易双方对可信赖身份的需求。三、基于PKI的电子商务系统分析下面构建一个基于PKI的电子商务交易系统的模型，分析PKI在电子商务中的一些关键应用。电子商务系统的主要参与者包括：商家、客户、电子商务站点、银行与支付网关和可信的第三方服务(时间戳服务器等)。系统采用数字证书实现对商家和客户的身份认证，使用公钥加密和数字签名保证通信数据的完整性和保密性，使用

8、时间戳服务实现订单时间的不可抵赖性，并通过签名加密的电子邮件实现各参与者之间的数据通信。下面是对系统的交易过程分析：1）客户浏览电子商务站点，进行客户端认证。客户通过互联网连接到电子商务站点，并要求服务器出示服务器证书，认证站点服务器身份。同时，站点服务器向客户端发出认证请求，客户将自己的客户证书发送给服务器，服务器检查客户证书的有效性，包括验证用户证书，检查证书是否由可信的证书颁发机构签发，检查证书是否过期或被撤销等。双方身