電子商務(wù)安全技術(shù)解析(編輯修改稿)
2024-08-10 01:14 本頁面
【文章內(nèi)容簡(jiǎn)介】 SKA（X）。這樣，報(bào)文X就被簽名了?！ 〖偃鬉要抵賴曾發(fā)送報(bào)文給B。B可將X及DSKA（X）出示給第三者。第三者很容易用PKA去證實(shí)A確實(shí)發(fā)送消息X給B。反之，如果是B將X偽造成X39。，則B不能在第三者面前出示DSKA（X39。）。這樣就證明B偽造了報(bào)文?？梢钥闯?，實(shí)現(xiàn)數(shù)字簽名也同時(shí)實(shí)現(xiàn)了對(duì)報(bào)文來源的鑒別。 但是上述過程只是對(duì)報(bào)文進(jìn)行了簽名。對(duì)傳送的報(bào)文X本身卻未保密。因?yàn)榻氐矫芪腄SKA（X）并知道發(fā)送者身份的任何人，通過查問手冊(cè)即可獲得發(fā)送者的公開密鑰PKA，因而能夠理解報(bào)文內(nèi)容。則可同時(shí)實(shí)現(xiàn)秘密通信和數(shù)字簽名。SKA和SKB分別為A和B的秘密密鑰，而PKA和PKB分別為A和B的公開密鑰。三、密鑰的管理 對(duì)稱密鑰加密方法致命的一個(gè)弱點(diǎn)就是它的密鑰管理十分困難，因此它很難在電子商務(wù)的實(shí)踐中得到廣泛的應(yīng)用。在這一點(diǎn)上，公開密鑰加密方法占有絕對(duì)的優(yōu)勢(shì)。不過，無論實(shí)施哪種方案，密鑰的管理都是要考慮的問題。當(dāng)網(wǎng)絡(luò)擴(kuò)得更大、用戶增加更多時(shí)尤其如此。一家專門從事安全性咨詢的公司Cypress Consulting的總裁CyArdoin說：“在所有加密方案中，都必須有人來管理密鑰?！薄 ∧壳埃J(rèn)的有效方法是通過密鑰分配中心KDC來管理和分配公開密鑰。每個(gè)用戶只保存自己的秘密密鑰和KDC的公開密鑰PKAS。用戶可以通過KDC獲得任何其他用戶的公開密鑰?！ ∈紫?，A向KDC申請(qǐng)公開密鑰，將信息（A，B）發(fā)給KDC。KDC返回給A的信息為（CA，CB），其中，CA=DSKAS（A，PKA，T1），CB=DSKAS（B，PKB，T2）。CA和CB稱為證書（Certificate），分別含有A和B的公開密鑰。KDC使用其解密密鑰SKAS對(duì)CA和CB進(jìn)行了簽名，以防止偽造。時(shí)間戳T1和T2的作用是防止重放攻擊?！ ∽詈?，A將證書CA和CB傳送給B。B獲得了A的公開密鑰PKA，同時(shí)也可檢驗(yàn)他自己的公開密鑰PKB。用戶識(shí)別和安全認(rèn)證僅僅加密是不夠的，全面的保護(hù)還要求認(rèn)證和識(shí)別。它確保參與加密對(duì)話的人確實(shí)是其本人。廠家依靠許多機(jī)制來實(shí)現(xiàn)認(rèn)證，從安全卡到身份鑒別。前一個(gè)安全保護(hù)能確保只有經(jīng)過授權(quán)的用戶才能通過個(gè)人計(jì)算機(jī)進(jìn)行Internet網(wǎng)上的交互式交易；后者則提供一種方法，用它生成某種形式的口令或數(shù)字簽名，交易的另一方據(jù)此來認(rèn)證他的交易伙伴。用戶管理的口令通常是前一種安全措施；硬件／軟件解決方案則不僅正逐步成為數(shù)字身份認(rèn)證的手段，同時(shí)它也可以被可信第三方用來完成用戶數(shù)字身份（ID）的相關(guān)確認(rèn)?！ ∫弧⒄J(rèn)證和識(shí)別的基本原理 認(rèn)證就是指用戶必須提供他是誰的證明，他是某個(gè)雇員，某個(gè)組織的代理、某個(gè)軟件過程（如股票交易系統(tǒng)或Web訂貨系統(tǒng)的軟件過程）。認(rèn)證的標(biāo)準(zhǔn)方法就是弄清楚他是誰，他具有什么特征，他知道什么可用于識(shí)別他的東西。比如說，系統(tǒng)中存儲(chǔ)了他的指紋，他接入網(wǎng)絡(luò)時(shí)，就必須在連接到網(wǎng)絡(luò)的電子指紋機(jī)上提供他的指紋（這就防止他以假的指紋或其它電子信息欺騙系統(tǒng)），只有指紋相符才允許他訪問系統(tǒng)。更普通的是通過視網(wǎng)膜血管分布圖來識(shí)別，原理與指紋識(shí)別相同，聲波紋識(shí)別也是商業(yè)系統(tǒng)采用的一種識(shí)別方式。網(wǎng)絡(luò)通過用戶擁有什么東西來識(shí)別的方法，一般是用智能卡或其它特殊形式的標(biāo)志，這類標(biāo)志可以從連接到計(jì)算機(jī)上的讀出器讀出來。至于說到“他知道什么”，最普通的就是口令，口令具有共享秘密的屬性。例如，要使服務(wù)器操作系統(tǒng)識(shí)別要入網(wǎng)的用戶，那么用戶必須把他的用戶名和口令送服務(wù)器。服務(wù)器就將它仍與數(shù)據(jù)庫里的用戶名和口令進(jìn)行比較，如果相符，就通過了認(rèn)證，可以上網(wǎng)訪問。這個(gè)口令就由服務(wù)器和用戶共享。更保密的認(rèn)證可以是幾種方法組合而成。例如用ATM卡和PIN卡。在安全方面最薄弱的一環(huán)是規(guī)程分析儀的竊聽，如果口令以明碼（未加密）傳輸，接入到網(wǎng)上的規(guī)程分析儀就會(huì)在用戶輸入帳戶和口令時(shí)將它記錄下來，任何人只要獲得這些信息就可以上網(wǎng)工作?！ ≈悄芸夹g(shù)將成為用戶接入和用戶身份認(rèn)證等安全要求的首選技術(shù)。用戶將從持有認(rèn)證執(zhí)照的可信發(fā)行者手里取得智能卡安全設(shè)備，也可從其他公共密鑰密碼安全方案發(fā)行者那里獲得。這樣智能卡的讀取器必將成為用戶接入和認(rèn)證安全解決方案的一個(gè)關(guān)鍵部分。越來越多的業(yè)內(nèi)人士在積極提供智能卡安全性的解決方案。盡管這一領(lǐng)域的情形還不明朗，但我們沒有理由排除這樣一種可能：在數(shù)字ID和相關(guān)執(zhí)照的可信發(fā)行者方面，某些經(jīng)濟(jì)組織或由某些銀行擁有的信用卡公司將可能成為這一領(lǐng)域的領(lǐng)導(dǎo)者。 二、認(rèn)證的主要方法為了解決安全問題，一些公司和機(jī)構(gòu)正千方百計(jì)地解決用戶身份認(rèn)證問題，主要有以下幾種認(rèn)證辦法。 1．雙重認(rèn)證。如波斯頓的Beth Isreal Hospital公司和意大利一家居領(lǐng)導(dǎo)地位的電信公司正采用“雙重認(rèn)證”辦法來保證用戶的身份證明。也就是說他們不是采用一種方法，而是采用有兩種形式的證明方法，這些證明方法包括令牌、智能卡和仿生裝置，如視網(wǎng)膜或指紋掃描器?！ ?．?dāng)?shù)字證書。這是一種檢驗(yàn)用戶身份的電子文件，也是企業(yè)現(xiàn)在可以使用的一種工具。這種證書可以授權(quán)購買，提供更強(qiáng)的訪問控制，并具有很高的安全性和可靠性。隨著電信行業(yè)堅(jiān)持放松管制，GTE已經(jīng)使用數(shù)字證書與其競(jìng)爭(zhēng)對(duì)手（包括Sprint公司和AT＆T公司）共享用戶信息?！ ?．智能卡。這種解決辦法可以持續(xù)較長(zhǎng)的時(shí)間，并且更加靈活，存儲(chǔ)信息更多，并具有可供選擇的管理方式。 4．安全電子交易（SET）協(xié)議。這是迄今為止最為完整最為權(quán)威的電子商務(wù)安全保障協(xié)議，我們將在第六節(jié)做較詳細(xì)的討論。防止網(wǎng)絡(luò)病毒一、網(wǎng)絡(luò)病毒的威脅 病毒本身已是令人頭痛的問題。但隨著Internet開拓性的發(fā)展，病毒可能為網(wǎng)絡(luò)帶來災(zāi)難性后果。Internet帶來了兩種不同的安全威脅。一種威脅是來自文件下載。這些被瀏覽的或是通過FTP下載的文件中可能存在病毒。而共享軟件（public shareware）和各種可執(zhí)行的文件，如格式化的介紹性文件（formatted presentation）已經(jīng)成為病毒傳播的重要途徑。并且，Internet上還出現(xiàn)了Java和Active X形式的惡意小程序。另一種主要威脅來自于電子郵件。大多數(shù)的Internet郵件系統(tǒng)提供了在網(wǎng)絡(luò)間傳送附帶格式化文檔郵件的功能。只要簡(jiǎn)單地敲敲鍵盤，郵件就可以發(fā)給一個(gè)或一組收
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1