【正文】 的消息。任何人即使偽裝成乙，也不能從信息段中得到原始消息； ②、 假冒者將發(fā)現(xiàn)不同的消息計(jì)算出相同的信息段值； 使用信息段，乙能夠保護(hù)自己。 ，然后發(fā)送信息段加密的消息版本。一個(gè)證書(shū)有以下的內(nèi)容： l 證書(shū)的發(fā)行者姓名 l 發(fā)行證書(shū)的組織 l 標(biāo)題的公鑰 l 郵戳 證書(shū)使用發(fā)行者的私鑰加密。甲可以校驗(yàn) 乙的信息段通過(guò)使用從證書(shū)上得到的公鑰并檢查結(jié)果。但他們都知道密碼，他們都能夠初始化一個(gè)對(duì)稱密碼算法，而且開(kāi)始發(fā)送加密后的信息。但下一次呢 ？ 論文參考 為了阻止這種破壞，甲和乙在他們的協(xié)議中產(chǎn)生一個(gè)校驗(yàn)碼消息（ message authentication code）。甲和乙能夠發(fā)現(xiàn)偽造的 MAC 值并且停止交談。 在上述過(guò)程中， A 對(duì) KDC 的認(rèn)證以及 KDC 對(duì) A 的認(rèn)證，都是十分關(guān)鍵的，處理不好就有可能出現(xiàn)假冒現(xiàn)象，這個(gè)過(guò)程可以用以下式表示： A:KDC E1=E(KPK,E(KUA,P1)) KDC: P1=D(KPA,D(KUA,E1)) KDC: A E2=E(KPA,E(KUK,KPB)) 論文參考 A: KPB=D(KDK,D(KUA,E2)) A: B E3=E(KPB,P2+KPA) B: P2+KPA=D(KUB,E3) 這種技術(shù)雖然解決了資源浪費(fèi)與管理混亂的問(wèn)題，但隨著網(wǎng)絡(luò)用戶的增多，勢(shì)必會(huì)造成 KDC性能的瓶頸，并且一旦出現(xiàn)問(wèn)題或 KDC 遭到攻擊，將會(huì)帶來(lái)嚴(yán)重的后果。 B 獲得 A 的公開(kāi)密鑰，并用之為通信內(nèi)容解密。從實(shí)踐過(guò)程來(lái)講，電子商務(wù)已經(jīng)以驚人的速度被應(yīng)用到了人類社會(huì)活動(dòng)的各個(gè)領(lǐng) 域、各個(gè)部門(mén)，并且這個(gè)速度還在不斷加快：從個(gè)人到團(tuán)體、從單個(gè)企業(yè)到整個(gè)國(guó)家乃至全世界；從金融、商業(yè)、房地產(chǎn)到生產(chǎn)、制造、運(yùn)輸各個(gè)產(chǎn)業(yè)，電子商務(wù)的普及速度銳不可擋。本文針對(duì)數(shù)字簽名在電子商務(wù)中的應(yīng)用提出了一種新的解決方案。 // 緩沖區(qū)大小常數(shù) BYTE pBuffer[BUFFER]。 // 存放讀文件內(nèi)容的緩沖區(qū) 論文參考 TFileStream ＊ sourceFile； // 一個(gè)文件流 BYTE pSignature[256]。 。 // 公共密鑰的句柄 const int BUFFER=4096。 論文參考 附錄 先來(lái)創(chuàng)建數(shù)字簽名 ,假定其數(shù)據(jù)來(lái) 自于一個(gè)文件。如何保障電子商務(wù)的安全一直是電子商務(wù)的核心研究領(lǐng)域。從另一個(gè)方面來(lái)講，商務(wù)又是在不斷發(fā)展的，而電子商務(wù)的應(yīng)用將會(huì)對(duì)商務(wù)本身的發(fā)展帶來(lái)巨大的影響。 KDC1 把 B 的公開(kāi)密鑰發(fā)給 A。 iii. KDC 從密鑰庫(kù)中查找 B 的公開(kāi)密鑰，先用 KDC 自己的私有密鑰對(duì)其簽名（即加密），然后，用 A 的公開(kāi)密鑰對(duì)其加密，以使對(duì) A 進(jìn)行認(rèn)證，然后把加密后的報(bào)文發(fā)給 A。 這是又一次修改后的協(xié)議： 甲 —— 〉乙：你好 乙 —— 〉甲：嗨，我是乙，乙的校驗(yàn) 甲 —— 〉乙： prove it 乙 —— 〉甲：嗨，我是乙，乙的校驗(yàn) 甲，我是乙 {信息段 [甲，我是乙 ] } 乙的私鑰 ok 乙， here is a secret {secret} 乙的公 鑰 {some message， MAC}secretkey 現(xiàn)在 H 已經(jīng)無(wú)技可施了。 需要注意的是， H 不知道密碼，他所能做的就是毀壞使用秘鑰加密后的數(shù)據(jù)。因?yàn)榧自诎l(fā)送給乙之前產(chǎn)生了密碼，所以甲知道密碼。他就能相信公鑰就是乙的公鑰和要求乙證明自己的身份。甲卻不能發(fā)覺(jué)你并不是乙。一些消息由乙產(chǎn)生： 甲 —— 〉 乙：你好，你是乙么 ? 乙 —— 〉甲：甲，我是乙 {信息段 [甲，我是乙 ] } 乙的私鑰 當(dāng)你使用這個(gè)協(xié)議，乙知道他發(fā)送給乙的消息，他不介意在上面簽名。所以，代替加密甲發(fā)來(lái)的原始消息，乙創(chuàng)建 了一個(gè)信息段并且加密。甲 —— 〉乙： random message 乙使用他的私鑰加密消息，返回甲加密后的消息。 使用公鑰加密法認(rèn)證?？梢詮?RSA Data Security RSA 公鑰加密許可證。因?yàn)橹挥屑讚碛?KU 進(jìn)而解開(kāi)加密的內(nèi)容，所以能夠保證通信的機(jī)密性；另一方面，甲通過(guò)對(duì)明文的加密，發(fā)給乙，因?yàn)橹挥屑准用艿拿魑慕?jīng) KP 解密之后才有意義，所以乙能夠證實(shí)甲。例如，假設(shè)有一個(gè)人要發(fā)送從一個(gè)帳戶到另一個(gè)帳 戶轉(zhuǎn)存 10000 美元的消息，如果這一消息通過(guò)一個(gè)未加保護(hù)的網(wǎng)絡(luò)，那么“黑客”就能改變資金的數(shù)量從而改變了這一消息。 （六）、數(shù)字簽名的一般過(guò)程 數(shù)字簽名技術(shù)是將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。但當(dāng)收者和發(fā)者之間有利害沖突時(shí)，單純用消息認(rèn)證技術(shù)就無(wú)法解決他們之間的糾紛，此時(shí)須借助滿足前述要求的數(shù)字簽名技術(shù)。 類似于手書(shū)簽名，數(shù)字簽名也應(yīng)滿足以下要求： a) 收方能夠確認(rèn)或證實(shí)發(fā)方的簽名，但不能偽造。 由于 RSA 和 DES 算法的 特點(diǎn)，即使我們?nèi)抗_(kāi)我們加密的代碼、存儲(chǔ)的信息（加密的PrivateKey、 PublicKey、原文、簽名信息），只要用戶輸入的口令不泄漏，這個(gè)簽名過(guò)程就是安全的，不可能根據(jù)上面公開(kāi)的信息偽造簽名、對(duì)已經(jīng)簽過(guò)名的信息做的任何更改都會(huì)導(dǎo)致原簽名的失效。 如圖 2 所示過(guò)程。 不可否認(rèn)性 電子商務(wù)直接關(guān)系到貿(mào)易雙方的商業(yè)交易，如何確定要進(jìn)行交易的的貿(mào)易方正是進(jìn)行交易所期望的貿(mào)易？這一問(wèn)題是電子商務(wù)順利進(jìn)行的關(guān)鍵。 機(jī)密性 電子商務(wù)作為貿(mào)易的一路 手段，其信息直接代表著個(gè)人、企業(yè)或國(guó)家的商業(yè)機(jī)密。在現(xiàn)實(shí)生活中經(jīng)常發(fā)生的惡意抵賴同樣會(huì)在網(wǎng)絡(luò)上發(fā)生 [9]。如果沒(méi)有采用加密措施或加密強(qiáng)度不夠，攻擊者可能通過(guò)互聯(lián)網(wǎng)、公共電話網(wǎng)、搭線、電磁波輻射范圍內(nèi)安裝截收裝置或在數(shù)據(jù)包通過(guò)的網(wǎng)關(guān)和路由器上截獲數(shù)據(jù)等方式，獲取輸出的機(jī)密信息，或通過(guò)對(duì)信息流量和流向、通信頻度和長(zhǎng)度等參數(shù)的分析，推導(dǎo)出有用信息，如消費(fèi)者的銀行賬號(hào)、密碼等。 因?yàn)橘I(mǎi)賣(mài)雙方通常不需要直接會(huì)晤，傳統(tǒng)的“一手交錢(qián)一手交貨”的支付方式逐漸被電子支付方式所取代。但是，由于 Inter（互聯(lián)網(wǎng)）是一個(gè)開(kāi)放的系統(tǒng)，網(wǎng)上傳送的信息可能被破壞，被竊聽(tīng)和被篡改，甚至交易一方可能事后后悔，不可以簽訂的電子合同 [3] 。這一矛盾在我國(guó)更為突出。甚至有人驚呼，網(wǎng)絡(luò)公司已經(jīng)分享完 “最后的晚餐 ”。網(wǎng)絡(luò)股的市場(chǎng)表現(xiàn)使得投資人憂 心重重，網(wǎng)絡(luò)公司的大量倒閉，更加大了人們對(duì)互聯(lián)網(wǎng)經(jīng)濟(jì)的恐懼心理，似乎互聯(lián)網(wǎng)經(jīng)濟(jì)已經(jīng)走到崩潰的邊緣。要想實(shí)現(xiàn)真正實(shí)時(shí)的網(wǎng)上交易，需要網(wǎng)絡(luò)有非常快的響應(yīng)速度和較高的帶寬，這必須由硬件提供對(duì)高速網(wǎng)絡(luò)的支持，而現(xiàn)在大部分的網(wǎng)絡(luò)速度都達(dá)不到實(shí)際的要求。電子商務(wù)是基于計(jì)算機(jī)互聯(lián)網(wǎng)的交易行為，網(wǎng)絡(luò)必須保證大量的經(jīng)濟(jì)信息能夠安全地在 網(wǎng)上傳送，資金能夠安全地在網(wǎng)上劃撥。 隨后，買(mǎi)方可以與一些候選賣(mài)方進(jìn)行實(shí)質(zhì)性洽談、訂購(gòu)，磋商雙方在交易中的權(quán)利、義務(wù)、購(gòu)買(mǎi)商品或服務(wù)的具體細(xì)節(jié)等。電子商務(wù)中的安全隱患可分為如下幾類： （ 1） 信息的 截獲和竊取。交易抵賴包括多個(gè)方面，如發(fā)信者事后否認(rèn)曾經(jīng)發(fā)送過(guò)某條信息或內(nèi)容；收信者事后否認(rèn)曾經(jīng)收到過(guò)某種消息或內(nèi)容；商家賣(mài)出的商品因價(jià)格差而不承認(rèn)原有的交易。因此，電子商務(wù)需要對(duì)網(wǎng)絡(luò)故障、操作錯(cuò)誤、應(yīng)用程序錯(cuò)誤、硬件故障、計(jì)算機(jī)病毒及黑客攻擊破壞等所產(chǎn)生的潛在威脅加以控制和預(yù)防，以保證貿(mào)易數(shù)據(jù)在某個(gè)時(shí)刻、某個(gè)執(zhí)行點(diǎn)是有效的。因此，要預(yù)防對(duì)信息的隨意生成、修改和刪除，同時(shí)要防止數(shù)據(jù)傳送過(guò)程中信息的丟失和重復(fù)，并保證信息傳送次序的統(tǒng)一。在這里我們用 PrivateKey 生成簽名信息，用 PublicKey 驗(yàn)證 簽名信息。 圖 3 對(duì) PrivateKey的加密處理 論文參考 圖 4 對(duì) PrivateKey 的解密處理 這樣由用戶輸入的口令、加密的 PrivateKey、 PublicKey、原文、簽名信息構(gòu)成了一個(gè)整體鏈，如果有人對(duì)這五個(gè)要素中的任何一個(gè)或多個(gè)進(jìn)行了更改，都會(huì)造成簽名的無(wú)效，從而可以驗(yàn)證簽名的真實(shí)和可靠性。隨著計(jì)算機(jī)通信網(wǎng)的發(fā)展，人們希望通過(guò)電子設(shè)備實(shí)現(xiàn)快速、遠(yuǎn)距離的交易，數(shù)字（或電子）簽名法便應(yīng)運(yùn)而生，并開(kāi)始用于商業(yè)通信系統(tǒng)，如電子郵遞、電子轉(zhuǎn)帳和辦公自動(dòng)化等系統(tǒng)中。當(dāng)收發(fā)者之間沒(méi)有利害沖突時(shí)，這對(duì)于防止第三者的破壞來(lái)說(shuō)是足夠了。若按明、密文的對(duì)應(yīng)關(guān)系劃分，每一種又可分為兩個(gè)子類，一類是確定性數(shù)字簽名， 其明文與密文一一對(duì)應(yīng)，它對(duì)一特定消息的簽名不變化（使用簽名者的密鑰簽名），如 RSA、 EIGamal 等簽名；另一類是隨機(jī)化的或概率式數(shù)字簽名，它對(duì)同一消息的簽名是隨機(jī)變化的，取決于簽名算法中的隨機(jī)參數(shù)和取值。 使用電子匯款系統(tǒng)的人也可以利用數(shù)字簽名。眾所周知，公開(kāi)密鑰系統(tǒng)的特點(diǎn)是：密