网站认证系统简介.ppt

1、1,網站認證系統簡介,財團法人台灣網路資訊中心 國立成功大學密碼與網路安全實驗室 主講人：賴溪松 教授,2,大綱,何謂網站認證 背景 合法網站認證系統目的 合法網站認證系統架構 認證印記驗證方式分析 與現有的網站認證系統的比較 合法網站認證系統的特色 合法網站認證系統預期效益,3,何謂網站認證,利用在網頁中放置一電子標誌，作為辨識該網站所提供的服務對消費者的保障能力。 網站將該標誌放置在該網站的首頁中，瀏覽者可一目了然。 使用者藉由簡單的程序連線至網站認證中心，就可以對該網站進行線上驗證。,4,背景,本系統的想法源於日本的線上標誌（Online Mark ）制度 主導日本電子商務B2C（Bus

2、iness to Customer）的半官方式的團體ECOM（Electronic Commerce Promotion Council ）提出的印記（Mark）的概念。 ECOM所提出的兩種網站印記的例子：線上印記（Online Mark）及安全印記（Security Mark）。,5,背景(cont.),為建立起優良的電子交易環境，日本於1999年起，開始推動線上標誌（Online Mark ）制度。 本系統曾參加由教育部所舉辦的第89屆大專校院通訊科技專題製作競賽研究生組佳作。,6,合法網站認證系統目的,開發一種合法網站認證系統，可以有效提供一認證網站的良好模式，以確保網站的合法性。 網

3、站利用線上申請與離線審核，通過一連串的檢查過程，獲得認證印記。 透過SSL的安全協定，來確保認證網站申請的過程中，網站的隱密資訊可獲得保護。 定期檢查認證印記的使用期限與網站使用狀況。 不干涉網站本身的金流、物流、資訊流等運作。,7,合法網站認證系統目的(cont.),利用現行安全的密碼技術，包含了公開金鑰密碼器及數位簽章，讓網站瀏灠者可以輕易使用密碼技術，來達成線上即時認證網站的功能。 網站瀏覽者以點擊認證印記的方式做線上驗證。 以簡單明瞭的方式顯示驗證的訊息，讓網站瀏覽者不需要特殊的專業知識即能辨識網站是否合法。,8,合法網站認證系統目的(cont.),本系統建立經過兩次專家會議的討論系統

4、協定的安全性，經過一連串的測試，預計可以讓台灣網路資訊中心（TWNIC）作為認證優良網站之使用，並可應用於其他場合中。,9,網站認證系統架構,10,網站認證系統架構(cont.),角色描述-合法網站認證中心 合法網站認證中心為本系統之核心角色。 主要任務為審核申請者的申請單，對申請網進行離線審核工作。 發給通過申請的網站一個認證印記，協助後續的使用工作。 當瀏覽者對合法網站作線上認證時，認證伺服器使用安全驗證通道，對網站的合法性提出即時的證明。,11,網站認證系統架構(cont.),角色描述-合法網站 指擁有營利事業營業證或經由台灣網路資訊中心（TWNIC）登記而建置的網站，向合法網站認證中心

5、申請，並且通過所有審核過程，獲得認證印記，成為合法網站。 在應用上，必須配合規定，定時接受合法網站認證系統的稽核及檢測， 以監控合法網站的合法性。 註：此處合法網站可以包括商業網站、入口網站、教育機構、金融機構等。 角色描述-瀏覽者 為一般的網路使用者。,12,網站認證系統架構(cont.),運作流程 A1、商家向合法網站認證伺服器提出申請，之後經過 離線的審核 。 A2、審核通過，發放認證印記 。 B1、網站瀏覽者瀏覽商家網頁 。 B2、點選認證印記下載Applet，進行驗證 。 B3、將運算結果送至合法網站認證伺服器做驗證 。 B4、合法網站認證伺服器驗證完畢，顯示驗證的結果。,13,認證

6、印記驗證方式分析,網站瀏覽者驗證認證印記方式分析，可分成三種。 第一種 網站瀏覽者使用者未對網站上的認證印記做驗證的動作，(即並未點擊認證印記啟動其驗證程式)，對網站瀏覽者而言，其網站的安全性可視同於並未通過合法認證。 對網站瀏覽者的保障，安全性仰賴SSL通道的建立。 安全性最為薄弱。,14,認證印記驗證方式分析(cont.),第二種 認證的機制建立在網站認證伺服器端。 由網站瀏覽者點擊認證印記，可啟動Applet進行驗證運算，然後將運算值傳送認證伺服器端進行比較，判斷所驗證的網站合法與否。 若網站認證伺服器被不法仿冒，則無法保障所驗證之結果的真確性。 網站瀏覽者不需安裝應用程式，使用最方便。

7、 安全性為其次 為本網站認證系統所提供的驗證方式。,15,認證印記驗證方式分析(cont.),第三種 認證的機制一部分建立在網站瀏覽者端。 網站瀏覽者可自行對認證印記做驗證運算，所運算之結果再傳送至認證伺服器做比較，辨識網站合法性真偽。 網站瀏覽者端必須安裝用來做驗證認證印記之應用程式，對網站瀏覽者而言，使用上較不方便。 其安全性為最高。,16,與現有的網站認證系統的比較,以郵政儲匯局的網路郵局為例 擁有由網際威信公司所發給的全球安全認證網站標章，如下圖所示，使用者只要對此印記點擊，便可獲得有關網路郵局的憑證登記資訊，並且告知使用者該網站擁有SSL保密機制。,網際威信的全球安全認證網站標章,1

8、7,與現有的網站認證系統的比較(cont.),網際威信公司( .tw) 網際威信公司提供的VeriSign伺服器數位憑證，只要企業的網站伺服器在安裝完VeriSign/HiTRUST伺服器數位憑證後，即可啟動SSL (Secure Sockets Layer)安全通訊機制。 網際威信及VeriSign提供的全球安全認證網站標章其實是給所有使用網際威信VeriSign伺服器數位憑證的網站的加值服務。,18,與現有的網站認證系統的比較(cont.),擁有全球安全認證網站標章具有三重意義 第一是網站的身分證明，網站瀏覽者可相信該網站確實是合法成立之公司或機構所擁有的，非來路不明之假網站。 第二是在該

9、網站與網站瀏覽者的瀏覽器間可啟動SSL加密機制。 第三是防止事後否認，當按照指示完成交易指令時，企業網站不會也無法否認該筆交易。,19,與現有的網站認證系統的比較(cont.),Security Online安全交易網站 (.tw) 此一網站認證中心，是由太穎投資顧問股份有限公司所建構。 四個角度來規範網站，即以法律上的隱私權、技術面、財務及交易安全資訊透明化來檢視，做一個網路安全的評鑑標準，接著製作一個安全交易標章，只要通過【Secure Online】的評鑑並願意遵守的網站，即可取得安全標章。,20,與現有的網站認證系統的比較(cont.),21,合法網站認證系統的特色,相容性大 在讀取憑證、驗證認證簽章及對於金鑰的管理上，均採行ASN.1的編碼格式及 PKCS 的相關規範。 實用性廣 對於網站瀏覽者及申請認證的網站，在其所持的軟體、伺服器的種類及平台，均未加以設限或作特別要求。,22,合法網站認證系統的特色(cont.),移植性佳 本系統是以Java的語言為主要實作的語言，由於 Java 跨平台的特性，對於日後系統的移植，將會有顯而易見的好處。 安全性強 本認證印記認證機制，是採行公開金鑰的基本理念，安全植基於密碼技術的使用，在安全性的考量上是無庸置疑的完整。,23,合法網站認證系統預期效益,預計可以讓TWNIC作為認證優良網站之使用，對其客戶網站或會員提供合