基于数字水印和数字签名的电子合同订立系统研究

1、 湖北农机化2008年第5期基于数字水印和数字签名的电子合同订立系统研究引言随着电子商务的迅猛发展,每天创建和保存的电子文档数量在逐步递增。公共用户和私人用户都感受到了电子商务系统带来的好处,并且涌现出各式各样的实际应用。其中电子合同的作用日益突显,它的应用极大地改变了传统的作业方式,改善服务和操作效率。另一方面,电子合同法规的建立,以及数字认证、数字签名、数字水印等子系统的支持,为电子合同的实现提供了可靠保障和法律依据。但是在传统的合同理论中,我们普遍接受了一个原则:合同的成立需经过要约和承诺两个阶段。在电子商务交易中,由于电子技术的采用,使合同的订立变得十分迅速,几乎不存在传统意义上的协商

2、过程。具体而言有以下几点区别:(1订立合同的双方或多方大多互不见面。(2电子交易中没有发票作为合同依据。(3表示合同生效的传统签字盖章方式被数字签名代替。这几点区别也反映了电子合同的使用存在一定的安全隐患,例如:合同订立者的身份不确认,合同内容的真实与否,数字签名是否被破坏。同时也要考虑到电子商务系统的基本安全要求:信息保密性、信息完整性、不可否认性、不可修改性。基于以上考虑,本文讨论利用公钥基础设施(PKI、数字认证、数字签名和数据内容的加密,结合数字水印、专用公文收发处理的客户端等手段建立一个实现企事业合同订立的安全电子化传送和管理的信息系统。1安全认证机制1.1数字签名传统的合同订立过程

3、中,由交易双方亲自签名或盖章以表明或承认某种事件或行为的发生。那么,在以计算机网络为工具的电子商务交易中,信息的载体已经变得无纸化,采用传统书面签名已不再可能。如何保证电子合同的权威性、真实性、信誉及可接受性,同时具有法律效力。今天,由于基于公钥体制的数字签名的使用可以给各类在线商业类型(例如:B2B 、B2C 等增加额外的安全级别,所以我们采用数字签名技术来解决以上问题,。从定义的角度讲,数字签名指基于作者认证的加密方法的一种电子签名,用一套规则和一系列参数来运算,以认证签名者的身份和验证数据的完整性。从技术的角度讲,数字签名是由非对称性加密系统(公钥密码系统和哈希函数转换的电子记录。非对称

4、性加密系统使收信人拥有唯一可以对信息解密的私钥,而其他人只可通过得到收信人的公钥对收信人发送加密消息。哈希函数保证了数据的完整性,并有抗冲突的能力。总而言之,它的优点有:对签署文件的发信人身份作出确认;有效保障传送文件内容不被篡改;不能冒名顶替传送虚假资料;不能否认已发送或已收到文件资料等网上交易。随着计算机软硬件技术的迅速发展以及基于网络的密码破解技术日渐成熟,附在电子合同之上的数字签名有被非法者删除和泄露的危险。所以,单靠数字签名技术来增强保密系统的可靠性不再是唯一可行的办法。同时,一旦信息被破译,没有任何证据直接证明信息被非法复制和转发。那么要求使用一种不同于传统技术的更加有效的手段来保

5、障数字信息的安全传输、个人认证和内容认证。1.2数字水印数字水印技术(digital watermarking 是一种信息隐藏技术,它在数字产品中嵌入的信息不会被常规处理操作去除,其应用范围极为广泛。在对内容真伪进行鉴别时,数字水印技术可以弥补密码技术的缺陷,因为它为解密后的数据提供保护;也可以弥补数字签名技术的缺陷,因为它可以将签名嵌入原始数据中,减少了被删除和被破坏的可能。在构建电子合同安全订立系统中可以应用数字水印技术来进一步加强信息安全,主要采用图像内容认证技术。根据识别篡改的能力,脆弱数字水印可以划分为4个层次:(1完全脆弱水印;(2半脆弱水印;(3图像可视内容鉴别;(4自嵌入水印。

6、在实际应用中,一般需要水印能够抵抗一定程度的数字信号处理操作,如JPEG 压缩,这类水印允许图像有一定的改变,是在一定程度上的完整性检验。2电子合同订立系统2.1电子合同订立模型在开放的网络环境下,电子合同安全保护体系中主要涉及到的实体包括:合同订立甲方A 、合同订立乙方B 、电子合同保护中心CC 和公钥基础设施PKI 。其中CC 是一个值得A 和B 信赖第三方(由政府部门担任,CC 给A 和B 提供生成合同、确认交易双方是否具有交易资格、合同安全保护和水印认证等服务。PKI 则支持它们之间的安全的通信信道,密钥的分发,身份认证建立信任关系和记录交易等等。各部分之间的关系如图31所示:2.2方

7、案流程(1交易双方进行身份确认A 和B 两个实体通过PKI 中的CA 机构申请数字证书,CA 在严格审核其身份后向其颁发数字证书。在A 、B 决定交易时,交易双方与CA 建立对话,表示双方将要交易,并请求CA 确认各自身份。若无误,交易继续。(2生成电子合同A 与CC 建立对话,表示要求生成电子合同。然后A 将电子合同信息进行数字签名后用CC 的公钥加密,确定CC 是该电子合同信息的唯一合法接受者。接着A 将加密后的电子合同信息和已用A 的私钥加密的A 的数字信封一起作为水印,用CC 的公钥作为密码加入到图片中,传送给CC 。CC 收到图片后,用专用的水印提取软件和CC 的私钥进行提取,在验证

8、水印完整性后,用A 的公钥解密数字信封,确认A 的身份的真实性。在无误的情况下,再用CC 的私钥解密电子合同信息,在核对签名无误后,湖北工业大学管理学院信息管理系余凌湖北工业大学职业与成人教育学院培训办鉴定学术天地图3-1基于PKI 的电子合同安全订立模型39 湖北农机化2008年第5期查看A 是否具备订立合同的资格,若是,按A 的要求生成一张电子合同,并存档。CC 将电子合同进行签名,然后用A 的公钥加密,再将加密后的电子合同和用CC 的私钥加密过的CC 的数字信封作为水印,用CC 的私钥作为密码加入到载体图片中,传送给A 。(3电子合同的安全传递过程A 用CC 的公钥提取水印,在确定水印完

9、整性后,再查看数字信封,确定信息来源。用A 的私钥解密电子合同,在核对内容无误后,将合同进行数字签名用B 的公钥加密,并连同A 的数字信封一起作为水印,用CA 的公钥作为密码加入载体图片,发送给CA 。CA 用CA 的私钥提取水印,验证完整性后,根据数字信封确认A 的身份。CA 将电子合同作为水印,用B 的公钥为密码,加入到载体图片中,发送给B 。B 用B 的私钥提取水印,验证完整性后,用B 的私钥解密电子合同,核对签名无误后,向CA 发送收到的确认信息。CA 的参与,监督了双方的交易过程,使得双方对交易过程不可抵赖,从而增加了系统的安全性。(4确认电子合同内容的真实性B 与CC 建立对话,请

10、求CC 验证合同。然后B 对电子合同进行签名,用CC 的公钥加密,并连同用B 的私钥加密的B 的数字信封一起作为水印信息,用CC 的公钥作为密码加入到载体中,发送给CC 。CC 用CC 的私钥提取水印,验证完整性后,根据数字信封确认B 的身份。CC解密电子合同,并查询电子合同的真实性,若无误,CC 向B 发送电子合同成功的消息;B 向CA 发送该消息,并按交易协定向A 执行合同的订立;CA 对此次交易备案,并向A 发送成功的消息。至此,交易完成。综上所述,结合数字水印和数字签名的电子合同订立系统涵盖了信息隐蔽性和数据完整性认证两大功能块。整个系统具有高安全性、运作的科学性以及高效性。2.3安全方案分析电子合同安全订立系统将双重身份认证机制,数字签名技术和半脆弱水印技术相结合,使签名直接嵌入信息内部.这样做的好处是:(1用户的身份得到确认;(2非法用户对签名的删除和篡改很困难;(3签名随信息一起发布,避免了数字签名机制中签名对信息的保护有随时失去的危险性,且由于签名嵌入信息一起发布,因此在信息的整个有效期内都提供保护。虽然此系统的实现比较复杂,运行起来花费时间较多,但它能带来较高的安全性。3结束语在网络上进行双方合同的订立是一件很有意义的事情。数