基于数据加密技术的电子商务安全机制研究

基于数据加密技术的电子商务安全机制研究

随着互联网技术的快速发展，电子商务已经成为一种新兴的交易形式，它将企业、公司和客户联系起来。同时，由于其低成本和便利性，电子商务交易受到了广泛关注。internet的开放是促进电子商务快速传播的基础，但也导致了电子商务交易的主要问题：安全问题。1电子商务对信息安全的要求电子商务交易的安全性、可靠性一直是人们关注的问题。为了保障电子商务平稳快速的发展,电子商务对信息安全有以下几点要求:1.1交易双方信息真实性信息的真实性一方面是指网上交易双方提供信息内容的真实性;另一方面是指网上交易双方身份信息的真实性。要求电子商务能对其进行鉴别和虚假信息的过滤。而有效性是电子商务开展的前提,电子商务交易的广泛性使得真实性和有效性直接关系到个人、企业和国家的经济利益和声誉。一般可通过认证机构和证书来实现。1.2交易数据产生大量数据,规则的运行机密性是防止非授权用户对数据的获取和使用。电子商务交易中会产生大量的数据,应保证其在网络上不被非法第三方窃取和偷看。一般地,我们采用加密手段对数据的机密性进行保护。1.3信息修改的预防完整性是要确保网络上信息在存储或传输的过程中保持不被修改、不被破坏和不丢失的特性。即防止非法篡改信息、文件和业务流。用于预防主动威胁。解决方法通常是消息认证和数字签名技术。1.4抵赖的防范措施也称作抗否认安全服务或不可否认服务,是针对对方进行抵赖的防范措施,可用来证实已经发生过的操作。可分为防发送方抵赖、防递交方抵赖和公正。要求在交易信息的传输过程中为参与交易的个人,企业或国家提供可靠地标识。1.5不合格的人根据机密性和完整性的要求,能利用电子商务交易系统日志文件对数据结果进行审查、追踪。2信息和身份管理风险Internet本身具有开放性、虚拟性,人们在网络上的行为也会被记录下来等等电子商务的特点,给网络交易带来了种种危险,这些危险主要表现在一下几个方面。(1)信息泄漏。在电子商务中主要包括两个方面,一是交易双方进行交易的内容被第三方窃取;二是交易一方提供给另一方使用的文件被第三方非法使用。(2)信息被篡改。网络上传输的数据、文件等有可能被他人非法插入、删除、替换或修改。使得信息的完整性遭到破坏。(3)身份假冒或否认。首先,身份认证是通信和数据系统正确识别通讯用户或终端的个人身份的重要途径。如果不进行身份识别,就会产生身份假冒,破坏交易或冒名行为;其次,对信息的发送者否认交易的行为也需要身份认证,保证不可抵赖性。3数据加密技术3.1对称密码算法在对称密码体制这种传统密码体制下,发送方使用的加密密钥和接收方使用的解密密钥相同或者从其中一个密钥易于得出另一个密钥。比较著名的对称加密算法有DES算法、3DES算法、TDEA算法、Blowfish算法、RC5算法、IDEA算法还有以代换密码和轮转密码为代表的古典密码等。对称密码算法的优点是计算量小,加解密速度快、效率高,保密强度高,是目前用于信息加密的主要算法。同时,它的缺点主要有两三点,一是密钥数目多,管理困难。n个人相互通信,密码的个数有n(n-1)个,密钥的生成与分发成为很大的麻烦。二是安全传输密钥也是一个难题。当用户群很大、分布很广时,密钥传输的危险性也会随之提高。三是无法鉴别彼此身份。3.2钥密码算法简介非对称密码体制弥补了对称密码体制的缺陷。在非对称密码体制中有两个不同的钥匙,一把为自己私有,称为私钥;另一把则会向公众公开,称为公钥,并且从其中一把难以推出另一把。比较著名的公钥密码算法有:RSA算法、DiffeHellman算法、椭圆曲线算法、零知识证明算法等。其中最著名的是RSA算法,他能抵抗到目前为止的所有密码攻击。非对称密码的优点是灵活、密钥的分配和保存简单,便于密钥管理,他不仅可以作为加密算法使用,而且可以用作数字签名和对对称加密的密钥分配和管理。但其缺点也很明显,加密速度慢,不利于长信息加密。在实际应用中,通常将对称密码体制与非对称密码体制结合使用,以便发挥各自优点、弥补各自缺陷,例如:利用DES来加密信息,而采用RSA来传递对称加密体制中的密钥,相结合的方法在网络中往往能发挥极大作用。4交易合同信息的完整性建立一套可靠的电子商务安全机制可以大大提高电子商务交易的安全系数,从而保证人们可以放心的进行网上交易活动。电子商务的安全机制有三个方面,一是交易双方的身份识别;二是交易双方的不可抵赖性;三是交易过程中数据的机密性与完整性;数据加密技术作为电子商务安全机制的基础,很好的解决了电子商务安全机制以上三方面的问题。首先,数据加密技术可以防止未授权人员非法获取信息并使用,保证信息的机密性;其次,通过数字证书保证交易双方的身份识别;再次,通过数字摘要可以确保交易过程中信息的完整性;最后,通过数字签名实现交易双方的不可抵赖性。4.1所含证证数字证书是标志网络用户身份信息的一系列数据,用来在网络通信中识别各方的身份,有专门的认证机构颁发。数字证书的类型按照对象可分为个人身份证书、企业或机构身份证书、支付网关证书、服务器证书、企业或机构代码签名证书、安全电子邮件证书、个人代码签名证书和SET(安全电子交易)证书。数字证书包含以下内容:证书版本号、证书序列号、签名算法标识符、颁发者、有效期、主体、主体公钥信息、颁发者唯一标识符、主体唯一标识符、颁发者签名等。数字证书通过公钥加密技术(非对称密码技术)实现。其实现过程是:每个用户拥有一把仅自己知道的私有密钥,并用它来解密和签名,同时公开公钥,作为其他用户加密和验证签名。在使用过程中,可以保证信息不被第三方窃取和修改重放等,并且发送方不能否认自己发过的信息。4.2接收方非测距的检验数字摘要是发送的信息通过HASH函数映射出的一个较短的固定长度的散列值:h=H(M),将摘要用私钥加密签名,再与原报文一起发送给接收方,接收方用发送方的公钥对消息摘要解密得到原消息,再用HASH函数算出散列值,然后进行对比,如果消息摘要相同,则说明消息在发送过程中没有被篡改,否则,信息已被修改,需要进一步采取保护措施。根据HASH函数的特点,他可以为指定数据产生一个不可伪造的特征,保证了数据的真实性;通过验证消息摘要可以保证数据的完整性。4.3防止了消息签名的伪造数字签名技术是一种基于加密技术的认证技术,是笔迹签名的模拟,也叫数字签字、电子签名、电子签章等,是用于确认发送者身份和消息完整性的一个加密的消息摘要。数字签名为以下三点提供了保障:一是接收方可以对发送方签名进行核实;二是发送方不可抵赖对消息的签名;三是能够防止接收者对消息签名的伪造。数字签名可以实现电子商务中不可抵赖性。目前数字签名是通过非对称加密体制实现的,其过程为:发送方用私钥对所要传输的消息进行加密,接收方用发送方的公钥解密,也就是签名与核对签名的过程。而签名的功效就是使得事后发送方无法抵赖其发出的消息,从而实现了交易的不可抵赖性。总之,目前的电子商务交易安全机制尚待完善、走向成熟,有极大的发展空间与需