电子商务安全之数字证书.doc

_电子商务安全之数字证书关键词：电子商务安全 数字证书摘要随着Internet的普及，电子商务在日益的发展，电子商务为人民带来了无限便利的同时，也带来了无尽的商机。艾瑞咨询最新数据显示，2016Q3中国电子商务市场交易规模5.2万亿元，同比增长30.8%，环比增长12.9%。电子交易市场已经成为了最重要的交易市场之一，它的兴起带来了无尽繁荣，也带来了无数的挑战电子商务安全。因为这个交易方式的特殊性，我们必须保证交易双方信息的机密性、有效性、完整性和不可否认性。在这种情况下，为了保护电子商务交易信息的安全性，防范支付交易过程中出现欺诈行为，数字证书安全技术应运而生。1. 数字证书的概念和内容 数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。数字证书还有一个重要的特征就是只在特定的时间段内有效。数字证书是一种权威性的电子文档，可以由权威公正的第三方机构，即CA（例如中国各地方的CA公司）中心签发的证书，也可以由企业级CA系统进行签发。它以数字证书为核心的加密技术(加密传输、数字签名、数字信封等安全技术)可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性及交易的不可抵赖性。使用了数字证书，即使您发送的信息在网上被他人截获，甚至您丢失了个人的账户、密码等信息，仍可以保证您的账户、资金安全。它是能提供在 Internet 上进行身份验证的一种权威性电子文档，人们可以在互联网交往中用它来证明自己的身份和识别对方的身份。当然在数字证书认证的过程中证书认证中心（CA）作为权威的，公正的，可信赖的第三方，其作用是至关重要的。如何判断数字认证中心公正第三方的地位是权威可信的？截至2014年3月11日，国家工业和信息化部以资质合规的方式，陆续向30多家相关机构颁发了从业资质。由于 Internet 电子商务系统技术使得顾客在网上购物时能够极其方便地获得商家和企业的信息,但同时也增加了对某些敏感或有价值的数据被滥用的风险。为了保证互联网上电子交易及支付的安全性，保密性等，防范交易及支付过程中的欺诈行为，必须在网上建立一种信任机制。这就要求参加电子商务的买方和卖方都必须拥有合法的身份，并且在网上能够有效无误的被进行验证。2. 数字证书的工作原理数字安全证书利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送以商户，然后由商户用自己的私有密钥进行解密。用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：(1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；(2) 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。3.数字证书的重要性电子商务系统、电子银行以及其他的电子服务变得越来越普遍。而互联网的开放性使得网络信息的安全性不断的出现问题。为了确保信息的安全性就必须依靠十分可靠的安全保密技术。密码技术是传统的验证方法并被广泛采用，另外还有一种新兴的技术那就是生物统计技术，但是生物统计技术的费用十分之昂贵，由于其昂贵的费用而没有被广泛采用。与密码相比，数字证书是有一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件其保障网络应用的安全性比密码更高，而与生物统计技术相比两者的验证方式都是强验证方式，但是数字证书认证技术的费用比生物统计技术低，另外，除了PKI支持外不需要其他辅助设备。4.数字证书的应用领域随着Internet的普及、各种电子商务活动和电子政务活动的飞速发展，数字证书开始广泛地应用到各个领域之中，目前主要包括：发送安全电子邮件、访问安全站点、网上招标投标、网上签约、网上订购、安全网上公文传送、网上缴费、网上缴税、网上炒股、网上购物和网上报关等。 数字签名（Digital Signature）技术是不对称加密算法的典型应用。数字签名的应用过程是，数据源发送方使用自己的私钥对数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性。数字签名技术是在网络系统虚拟环境中确认身份的重要技术，完全可以代替现实过程中的“亲笔签字”，在技术和法律上有保证。在公钥与私钥管理方面，数字签名应用与加密邮件PGP技术正好相反。在数字签名应用中，发送者的公钥可以很方便地得到，但他的私钥则需要严格保密。4.1电子政务现有的电子政务网络基础设施和系统安全解决方案大多是通过如防火墙、入侵检测、漏洞扫描、网络隔离等技术和设备来保障系统的安全。这种方式虽然在一定程度上可以保证信息系统的安全，但不能全面满足电子政务的安全需求，如信任与授权等，特别是在建设满足互联互通、信息共享的电子政务系统过程中，各种传统的网络安全防御手段，无法替代应用层的身份认证、数据机密性、完整性、不可否认性等安全实现。以江苏为例，江苏CA提出了一套实用的、易于实施的电子政务系统数字证书应用解决方案，通过为业务交易的各方发放数字证书来对交易的各方进行身份标识，并且在交易的过程中通过使用数字证书对交易的双方进行身份验证和签名验证，从而为信息在网络传输过程中实现身份认证、机密性、完整性、不可抵赖性提供坚实的技术保障，充分满足电子政务的安全需求，有效地防止各种安全隐患，同时，促进了政府公共服务业务办理的无纸化应用，使企业和市民减少出行的同时依旧可享受电子政府的建设成果。4.2 电子商务支付宝是最常见的电子商务模式，其网络安全应用是数字证书安全应用最好的例子。对于经常网络购物的人员都会有所了解，这是第三方建立的网络支付平台。这种担保方式主要是将用户进行网络交易的资金先存放在支付宝平台，在确认用户收到所购买物品之后再将资金拨付给商家。这种担保交易的方式由于具有较高的安全性而使交易双方在交易时会优先选择。支付宝保障账户资金的方式就是通过数字证书来实现的。用户在申请并安装数字证书后，其每一笔交易都要在数字证书的保障下才能进行，即使账号密码丢失，其账户也无法被动用。就算黑客监控了客户的网络数据传输，他也无法破译客户的传输内容，因为我们的每一笔交易都带有数字证书的保护密码。这样能大大提高客户账户的网络交易安全性。支付宝数字证书的下载和申请过程前边也有介绍，知识在内容上可能稍有不同，而且数字证书申请后只能在许可的电脑上才能使用，用户的账户安全等级会大大提高。用户在更换电脑或时需要通过基本信息中绑定的手机账号验证才可正常使用。这样做，既保证了安全性又不失便捷性，可以说是数字证书应用较成功的案例。5.结束语中国的电子商务交易市场年总额已经高达20万亿，电子商务交易如此迅猛的发展，已经成为人们生活中的一个重要部分，而安全问题更是