第五章电子商务交易安全安全技术协议.ppt

第五章 电子商务交易安全 安全技术 协议 认证技术 认证技术的必要性 在下列情况下，信息认证是必需的： 网上购物并不要求购物信息必威体育官网网址，而只要求确认网上商店不是假冒的。（身份认证问题） 用户与商家在网上交换的信息是否被第三方修改过或伪造。（信息完整性问题） 双方交换信息以后不能反悔或不认账。（不可抵赖性问题） 商家发布的产品信息（促销信息）是否真实、可靠。（信息的可靠性问题） 信息认证的主要策略 身份认证：鉴别各参与交易的对象的身份。（数字签名等） 报文认证：鉴别通信内容的完整性。（数字摘要等） 多方记录：保证各方交换信息的行为不可抵赖。（数字时间戳等） 认证技术的种类 数字摘要 含义：利用不可逆加密算法，如哈希函数（Hash），运算出一个固定长度（如128位）的短数据串。 注： 不可逆加密算法是将明文生成较短的数据串，适用于对信息完整性的验证； 其特点有： 免碰撞性：不同的明文生成的数据串不相同； 不可逆性：无法从数据串推算出原文。 用途： 用于验证信息的完整性； 弥补非对称密码体制加密速度慢的缺陷，并与非对称密码体制组合成数字签名技术。 数字签名 引言 传统事务处理中采用书面签名，签名有以下功能： 因为签名难以否认，从而确认文件的已签署这一事实； 因为签名不易仿冒，从而确认文件为真实这一事实； 对应的，数字签名对比书面签名，有相似之处： 文件由签名者发送，能证实其身份，不能否认此事实； 文件自签发后没有被修改； 技术实现：采用不可逆加密体制与非对称密码体制相结合的认证技术； 数字信封 实现过程： 发送方： 用对称密钥对明文加密，形成密文； 再用接收方的公钥对对称密钥加密，形成密钥密文； 将密文和密钥密文一同发给接收方。 接收方： 用自己的私钥对密钥密文解密，得到对称密钥； 再用对称密钥对密文解密，得到明文。 技术特点：对称密码体制与非对称密码体制相结合的认证技术； 数字时间戳（Digital time-stamp service，TDS） 使用数字时间戳的意义： 在传统交易中，文件签署的日期是十分重要的信息，不容随意伪造和篡改。在电子交易中更需要对时间采取安全措施。 网上安全服务项目，由专门机构（认证中心）提供。 实现过程：（用户与专门机构之间的关系） 用户将明文生成数字摘要； 用户将数字摘要发送给专门机构的DTS； DTS加入日期和时间信息，再对它们加密（数字签名），最后返回给用户。 数字证书 引言：为什么要数字证书？ 信息加密、数字签名技术解决了信息的必威体育官网网址性、完整性、不可否认性，但交易者的身份却没有确定。 数字证书简介： 数字证书提供一种在Internet上验证真实身份的方式（如持卡人、商家、支付网关） ； 数字证书可用于电子邮件、电子商务、电子基金转移等各种用途。 数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件； 一个标准的数字证书内容 证书的版本信息； 证书的序列号，每个证书都有一个唯一的证书序列号； 证书所使用的签名算法； 证书的发行机构名称.； 证书的有效期，它的计时范围为1950-2049； 证书所有人的名称； 证书所有人的公开密钥； 证书发行者对证书的数字签名。 数字证书的类型 个人证书（Personal Digital ID） 为某一个用户提供凭证，以帮助其个人在网上进行安全交易操作； 通常安装在客户端的浏览器内，以安全电子邮件(S/MIME)进行交易； 企业（服务器）证书（Server ID） 为网上的某个Web服务器提供凭证； 有证书的Web服务器会自动地将其与客户端Web浏览器通信的信息加密； 软件（开发者）证书（Developer ID） 为互联网中被下载的软件提供凭证，该凭证用于和Microsoft公司Authenticode技术（合法化软件）结合的软件，以使用户在下载软件时能获得所需的信息； 认证中心 又称为证书授证(Certificate Authority)中心，是一个负责发放和管理数字证书的权威机构。 是电子交易中信赖的基础，负责核实申请证书的用户身份及相关信息，使用户真实性与证书的真实性一致。 认证中心的作用 证书的颁发； 证书的更新； 证书的查询； 证书的作废； 证书的归档； 证书生成的流程： 证书申请人提出申请，并将必要的认证信息提交给CA。 CA对申请人所提交的信息审查，检查其正确性和合法性，对实体身份进行确认，生成数字证书的信息。 CA用自己的私钥为证书加上数字签名。 CA将证书发放给用户，将证书的副本存底并发布于证书库中，以备他人查询。 电子商务交易安全协议 安全套接层协议（SSL协议） SSL(Secure Socket Layer)是Netscape公司率先采用的一种网络安全协议。 在网络传输层之上提供的一种基于RSA和保