电子商务安全与PKI

发布时间:2008/6/5 0:00:00 访问次数:527

电子商务安全与pki

近年来internet的迅速发展和应用的普及，是当初网络设计者们始料未及的。当前人们以各种方式使用着internet，包括进行私人的、保密的业务，如电子商务、网上银行等等。由于最初的网络协议(如tcp／ip)的设计者们并没有考虑到安全性的问题，因而很难满足当前许多业务的安全需求。为使该类业务能在网上安全地实现，研究人员不断探索使网络更安全的方法。一个很重要的实施方案就是pki(public-key infrastructure，公钥基础设施)的建设。他提供了基于加密和数字证书的一系列技术，为网络安全的实现提供基本保障。

1 电子商务及其安全需求

internet的方便、快速和无所不至，使商务活动也发生了根本性的变化，网络经济已成为不可争辩的事实。

1．1 电子商务概述

电子商务是一个模糊的概念，本质上表示任何电子商务处理，包括网上贸易以及所有用internet／intranet来解决问题、降低成本、增加价值并创造新的商机的所有商务活动。从技术上看，他是集成了信息处理、数据库技术、网络技术、通讯技术、安全技术等多种技术的综合应用。电子商务的主要形式包括以下几种：

(1)企业对消费者，也称商家对个人或商业机构对消费者，即通常所说的b to c(business to consumer)或b2c。

(2)企业对企业，也称商家对商家或商业机构对商业机构，即通常所说的b to b(business to business)或b2b。

(3)企业对政府机构，即通常所说的b to g(business to goverment)。

(4)消费者对政府机构，即通常所说的c to g(consumer to goverment)。

1．2 电子商务的流转过程及其特点

电子商务的简单流程可表述如下：企业将商品信息通过www服务器展示给客户，客户通过浏览器访问www服务器，选择希望购买的商品，并下载厂商的表格，填写订单，厂商通过订单确认反馈客户，告知收费方法，同时，厂商通知自己的应用系统组织货源程序，客户通过电子付款软件与金融部门交互，执行资金转移，金融部门通过电子邮件(或其他方式)通知客户和厂商资金转移的结果，厂商委托专人或运输部门将货物送至客户。

电子商务的流转模式具有以下几个特点：

(1)系统性电子商务的实施是一个复杂的系统工程，他需要商品交易中应用网络技术、通信技术；需要变革传统的商品和资金流转的方式；需要获得法律的认可和保障等等。只有各个子系统的协调运作，才能最终实现商品交易的电子化。

(2)动态关联性一方面，电子商务交易网络内部的商品、资金、信息在不停流动，买卖双方也在不断变更，不能人为阻止数据的传输，具有动态性的特点；另一方面，电子商务的不同参与者，如厂商、银行、消费者、运输部门之间存在着有机的关联，正是各参与者的相互作用，相互依赖，才保证了电子商务的正常运转。

(3)层次性电子商务由于覆盖范围的不同，可以是一个企业、一个地区、一个国家之间进行，也可以在国际间进行，由此产生了电子商务的不同级别，构成不同的电子商务层次。

1．3 电子商务的安全需求

由于电子商务是一种利用互联网资源进行的商业交易活动，因而在交易安全方面与互联网的安全性密切相关。在交易过程中，主要涉及信息的安全传输、在线支付的安全认证等问题。 (1)数据保密性需求在电子商务中，无论是企业自己的数据，如计划书、图纸、生产销售数据等，还是企业间交换的契约、合同或者是用户的订单、支付等都是十分重要和敏感的数据，这些数据都需要使用良好的加密措施，保证其在存储和传输中的安全性。

(2)数据完整性需求必须保证在交易过程中信息的完整性和有效性，即要保证信息从交易一方送达另一方时，数据是正确的、有效的，且发送方不可否认此次交易的存在性和真实性。这需要对传送的数据进行签名和验证。

(3)身份确认需求交易是在网上进行的，所以必须要保证对方确实是要进行交易的一方，因而身份认证，是电子商务中非常重要的环节，是关系在线交易成败的关键。

为满足电子商务的安全需要，实现安全的、有效的在线交易，需要在internet上建立可信的安全的通信基础设施，通过强认证机制和加密机制来保证安全性。

2 pki背景技术及主要功能

pki提供了基于加密和数字证书的一系列技术。pki的背景技术如公钥加密、数据签名等技术出现于20世纪70年代中期，但开发基于pki的产品还刚刚开始。但随着internet作为企业网和电子商务平台的增加，对pki带来的保密性、完整性、不可否认性等安全属性的需求也不断增加，因而，基于pki的安全产品在未来的几年将有很大的发展。

2．1 pki背景技术

(1)公钥加密

加密算法主要分2种：对称密钥加密和非对称密钥加密。

对称密钥加密的主要思想是：用一个约定的加密函数和秘密密钥加密明