第五章电子商务交易安全安全技术协议.ppt

《第五章电子商务交易安全安全技术协议.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第五章电子商务交易安全安全技术协议认证技术认证技术的必要性在下列情况下，信息认证是必需的：网上购物并不要求购物信息保密，而只要求确认网上商店不是假冒的。（身份认证问题）用户与商家在网上交换的信息是否被第三方修改过或伪造。（信息完整性问题）双方交换信息以后不能反悔或不认账。（不可抵赖性问题）商家发布的产品信息（促销信息）是否真实、可靠。（信息的可靠性问题）信息认证的主要策略身份认证：鉴别各参与交易的对象的身份。（数字签名等）报文认证：鉴别通信内容的完整性。（数字摘要等）多方记录：保证各方交换信息的行为不可抵赖。（数字时间戳等）认证技术

2、的种类数字摘要含义：利用不可逆加密算法，如哈希函数（Hash），运算出一个固定长度（如128位）的短数据串。注：不可逆加密算法是将明文生成较短的数据串，适用于对信息完整性的验证；其特点有：免碰撞性：不同的明文生成的数据串不相同；不可逆性：无法从数据串推算出原文。用途：用于验证信息的完整性；弥补非对称密码体制加密速度慢的缺陷，并与非对称密码体制组合成数字签名技术。源文件数字摘要数字摘要源文件数字摘要Hash算法Hash算法对比发送端接收端因特网因特网数字摘要验证信息的完整性数字签名引言传统事务处理中采用书面签名，签名有以下功能：因为签

3、名难以否认，从而确认文件的已签署这一事实；因为签名不易仿冒，从而确认文件为真实这一事实；对应的，数字签名对比书面签名，有相似之处：文件由签名者发送，能证实其身份，不能否认此事实；文件自签发后没有被修改；技术实现：采用不可逆加密体制与非对称密码体制相结合的认证技术；发送方：先从明文中生成数字摘要；用发送方秘密私钥对数字摘要加密，形成数字签名；把明文和数字签名一同发给接收方。接收方：先从收到的明文中生成数字摘要（用与发送方同样的哈希算法）；用发送方的公钥对数字签名解密，获得发来的数字摘要；将自己生成的数字摘要与发来的数字摘要相对比，以验

4、证信息的完整性。思考：发送方在哪一步证明明文的完整性，又在哪一步证明文件的不可否认性？（2）数字签名的实现过程对比是否一致数字摘要发送方接收方发送方私钥哈希算法数字签名发送方公钥明文明文明文数字签名数字签名实现过程示意图数字签名网上传送数字摘要哈希算法数字摘要思考：上述过程是否实现了信息加密功能？如果要实现的话，则还需要什么操作？数字信封实现过程：发送方：用对称密钥对明文加密，形成密文；再用接收方的公钥对对称密钥加密，形成密钥密文；将密文和密钥密文一同发给接收方。接收方：用自己的私钥对密钥密文解密，得到对称密钥；再用对称密钥对密文解

5、密，得到明文。技术特点：对称密码体制与非对称密码体制相结合的认证技术；对称密钥明文密文密钥密文密文密钥密文明文对称密钥B方私钥B方公钥A发送方B接收方数字信封实现过程示意图对称密钥网络传输数字时间戳（Digitaltime-stampservice，TDS）使用数字时间戳的意义：在传统交易中，文件签署的日期是十分重要的信息，不容随意伪造和篡改。在电子交易中更需要对时间采取安全措施。网上安全服务项目，由专门机构（认证中心）提供。实现过程：（用户与专门机构之间的关系）用户将明文生成数字摘要；用户将数字摘要发送给专门机构的DTS；DTS加

6、入日期和时间信息，再对它们加密（数字签名），最后返回给用户。源文件数字摘要数字摘要数字摘要+时间新摘要数字摘要+时间数字时间戳数字时间戳Hash算法Hash算法加时间第三方私钥加密发送方第三方数字时间戳的实现过程凭证文件数字证书引言：为什么要数字证书？信息加密、数字签名技术解决了信息的保密性、完整性、不可否认性，但交易者的身份却没有确定。数字证书简介：数字证书提供一种在Internet上验证真实身份的方式（如持卡人、商家、支付网关）；数字证书可用于电子邮件、电子商务、电子基金转移等各种用途。数字证书是一个经证书授权中心数字签名的包含

7、公开密钥拥有者信息以及公开密钥的文件；一个标准的数字证书内容证书的版本信息；证书的序列号，每个证书都有一个唯一的证书序列号；证书所使用的签名算法；证书的发行机构名称.；证书的有效期，它的计时范围为1950-2049；证书所有人的名称；证书所有人的公开密钥；证书发行者对证书的数字签名。数字证书的类型个人证书（PersonalDigitalID）为某一个用户提供凭证，以帮助其个人在网上进行安全交易操作；通常安装在客户端的浏览器内，以安全电子邮件(S/MIME)进行交易；企业（服务器）证书（ServerID）为网上的某个Web服务器提供凭

8、证；有证书的Web服务器会自动地将其与客户端Web浏览器通信的信息加密；软件（开发者）证书（DeveloperID）为互联网中被下载的软件提供凭证，该凭证用于和Microsoft公司Authenticode技术（合法化软件）结合的软件