電子商務(wù)安全要求與數(shù)據(jù)加密

下頁(yè)深圳信息職業(yè)技術(shù)學(xué)院2011年4月課題3電子商務(wù)安全1下頁(yè)3.1電子商務(wù)的安全要求3.2數(shù)據(jù)加密技術(shù)3.3認(rèn)證技術(shù)3.4電子商務(wù)的安全交易標(biāo)準(zhǔn)目錄第3部分電子商務(wù)安全下頁(yè)電子商務(wù)發(fā)展的核心和關(guān)鍵問題是交易的安全性，這是網(wǎng)上交易的基礎(chǔ)，也是電子商務(wù)技術(shù)的難點(diǎn)所在。目前,互聯(lián)網(wǎng)上影響交易最大的阻力就是交易安全問題。序言3.1電子商務(wù)系統(tǒng)的安全要求3.1.1電子商務(wù)系統(tǒng)的安全威脅3.1.2電子商務(wù)的安全性要求3.1.3電子商務(wù)的安全體系4（1）信息泄露（2）信息篡改（3）信息破壞（4）抵賴行為3.1.1電子商務(wù)系統(tǒng)的安全威脅安全威脅53.1.2電子商務(wù)的安全性要求信息的保密性：這是指信息在存儲(chǔ)、傳輸和處理過程中，不被他人竊取。這需要對(duì)交換的信息實(shí)施加密保護(hù)，使得第三者無法讀懂電文。信息的完整性：這是指確保收到的信息就是對(duì)方發(fā)送的信息，信息在存儲(chǔ)中不被篡改和破壞，在交換過程中無亂序或篡改，保持與原發(fā)送信息的一致性。6信息的不可否認(rèn)性：這是指信息的發(fā)送方不可否認(rèn)已經(jīng)發(fā)送的信息，接收方也不可否認(rèn)已經(jīng)收到的信息。交易者身份的真實(shí)性：這是指交易雙方的身份是真實(shí)的，不是假冒的。防止冒名發(fā)送數(shù)據(jù)。系統(tǒng)的可靠性：這是指計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)的硬件和軟件工作的可靠性。在電子商務(wù)所需的幾種安全性要求中，以保密性、完整性和不可否認(rèn)性最為關(guān)鍵。電子商務(wù)安全性要求的實(shí)現(xiàn)涉及到多種安全技術(shù)的應(yīng)用。7893.1.3電子商務(wù)的安全體系電子商務(wù)安全交易體系三個(gè)層次：信息加密算法安全認(rèn)證技術(shù)安全交易協(xié)議10113.2數(shù)據(jù)加密技術(shù)3.2.1傳統(tǒng)的代換密碼3.2.2對(duì)稱加密與DES算法3.2.3非對(duì)稱加密與RSA算法12

加密技術(shù)是保證網(wǎng)絡(luò)、信息安全的核心技術(shù)。加密技術(shù)與密碼學(xué)緊密相連。密碼學(xué)包括密碼編碼學(xué)和密碼分析學(xué)。密碼體制的設(shè)計(jì)是密碼編碼學(xué)的主要內(nèi)容。密碼體制的破譯是密碼分析學(xué)的主要內(nèi)容。13將明文數(shù)據(jù)進(jìn)行某種變換，使其成為不可理解的形式，這個(gè)過程就是加密，這種不可理解的形式稱為密文。解密是加密的逆過程，即將密文還原成明文。加密和解密必須依賴兩個(gè)要素：算法和密鑰。算法是加密和解密的計(jì)算方法；密鑰是加密所需的一串?dāng)?shù)字。14一般的數(shù)據(jù)加密模型:15在無價(jià)格限制的條件下，目前幾乎所有使用的密碼體制都是可破的。如果一個(gè)密碼體制的密碼不能被現(xiàn)有的計(jì)算資源所破譯，那么這種密碼體制在計(jì)算上可以說是安全的。在加密算法公開的情況下，非法解密者就要設(shè)法破獲密鑰，為了使黑客難以破獲密鑰，就要增加密鑰的長(zhǎng)度，使黑客無法用窮舉法測(cè)試破解密鑰。163.2.1傳統(tǒng)的代換密碼早在幾千年前人類就已有了通信保密的思想和方法。如最古老的鎧撒密碼(Caesarcipher)。在這種方法中，a變成D，b變成E，c變成F，……z變成C。例如，english變成IRKPMWL。其中明文用小寫字母，密文用大寫字母。若允許密文字母表移動(dòng)k個(gè)字母而不是總是3個(gè)，那么k就成為循環(huán)移動(dòng)字母表通用方法的密鑰。17attackatfiveCVVCEMCVHKXG如果密鑰=3演示flash:愷撒密碼.swf0302古典加密方法.swf0303映射加密方法.swf18傳統(tǒng)的映射代換密碼將明文中的符號(hào)，比如26個(gè)字母，簡(jiǎn)單地映射到其他字母上。例如:明文：abcdefghijklmnopqrstuvwxyz密文：QWERTYUIOPASDFGHJKLZXCVBMN這個(gè)通用系統(tǒng)叫做“單一字母表代換”，密鑰是26個(gè)字母與整個(gè)字母表的對(duì)應(yīng)關(guān)系。應(yīng)用上面的密鑰，english變成了TFUSOLI。19可以應(yīng)用自然語言的統(tǒng)計(jì)規(guī)律作為手段，破譯密碼。在英語中，字母e是用得最多的，其次為t，0，a，h，I等。最常用的兩字母組依次是:th，in，er，re及an。最常用的三字母組是:the，ing，and及ion。因此，破譯時(shí)可以從計(jì)算在密文中所有字母出現(xiàn)的相對(duì)頻率開始，試著設(shè)定出現(xiàn)最多的字母為e等，接著計(jì)算二字母組及三字母組。最遲在公元9世紀(jì)，阿拉伯的密碼破譯專家就已經(jīng)嫻熟地掌握了用統(tǒng)計(jì)字母出現(xiàn)頻率的方法來?yè)羝坪?jiǎn)單替換密碼。20第一次世界大戰(zhàn)時(shí)期的密碼直到第一次世界大戰(zhàn)結(jié)束為止，所有密碼都是使用手工來編碼的。解密一方正值春風(fēng)得意之時(shí)，幾百年來被認(rèn)為堅(jiān)不可破的維吉耐爾(Vigenere)密碼和它的變種也被破解。而無線電報(bào)的發(fā)明，使得截獲密文易如反掌。無論是軍事方面還是民用商業(yè)方面都需要一種可靠而又有效的方法來保證通訊的安全。21復(fù)式代換密碼給自然語言頻率

解密帶來的難題1918年，德國(guó)發(fā)明家亞瑟·謝爾比烏斯

ENIGMA

（讀作“英格碼”，意為“謎”）他的一個(gè)想法就是要用二十世紀(jì)的電氣技術(shù)來取代那種過時(shí)的鉛筆加紙的加密方法。謝爾比烏斯發(fā)明的加密電子機(jī)械名叫ENIGMA，在以后的年代里，它將被證明是有史以來最為可靠的加密系統(tǒng)之一。三個(gè)部分：鍵盤、轉(zhuǎn)子和顯示器。一共有26個(gè)鍵，鍵盤排列接近我們現(xiàn)在使用的計(jì)算機(jī)鍵盤。23ENIGMA加密的關(guān)鍵：這不是一種簡(jiǎn)單替換密碼。同一個(gè)字母在明文的不同位置時(shí)，可以被不同的字母替換，而密文中不同位置的同一個(gè)字母，可以代表明文中的不同字母，頻率分析法在這里就沒有用武之地了。這種加密方式被稱為“復(fù)式替換密碼”。為了使消息盡量地短和更難以破譯，空格和標(biāo)點(diǎn)符號(hào)都被省略。2425反射器26發(fā)信人首先要調(diào)節(jié)三個(gè)轉(zhuǎn)子的方向，使它們處于17576個(gè)方向中的一個(gè)（事實(shí)上轉(zhuǎn)子的初始方向就是密匙，這是收發(fā)雙方必須預(yù)先約定好的），然后依次鍵入明文，并把閃亮的字母依次記下來，然后就可以把加密后的消息用電報(bào)的方式發(fā)送出去。工作原理27三個(gè)轉(zhuǎn)子不同的方向組成了26*26*26=17576種不同可能性；三個(gè)轉(zhuǎn)子間不同的相對(duì)位置為6種可能性；連接板上兩兩交換6對(duì)字母的可能性數(shù)目非常巨大，有100391791500種；于是一共有17576*6*100391791500，大約為10000000000000000，即一億億種可能性。破解的艱難性2829英格碼破解大師阿蘭·圖靈(AlanTuring)301949年,信息論創(chuàng)始人C.E.Shannon論證了一般經(jīng)典加密方法得到的密文幾乎都是可破的。這引起了密碼學(xué)研究的危機(jī)。CRISIS!!!今天使用現(xiàn)有的計(jì)算機(jī)只需要2秒就能破解一個(gè)英格瑪密鑰。31計(jì)算機(jī)加密時(shí)代的到來從20世紀(jì)60年代起，隨著計(jì)算機(jī)技術(shù)、結(jié)構(gòu)代數(shù)、可計(jì)算性技術(shù)的發(fā)展，產(chǎn)生了數(shù)據(jù)加密標(biāo)準(zhǔn)DES和公開密鑰體制，它們成為近代密碼學(xué)發(fā)展史上兩個(gè)重要的里程碑。323.2.2對(duì)稱密鑰加密與DES算法對(duì)稱加密算法是指文件加密和解密使用一個(gè)相同秘密密鑰，也叫會(huì)話密鑰。目前世界上較為通用的對(duì)稱加密算法有RC4和DES。這種加密算法的計(jì)算速度非?？欤虼吮粡V泛應(yīng)用于對(duì)大量數(shù)據(jù)的加密過程。對(duì)稱密鑰密碼技術(shù)的代表是數(shù)據(jù)加密標(biāo)準(zhǔn)DES。這是美國(guó)國(guó)家標(biāo)準(zhǔn)局于1977年公布的由IBM公司提出的一種加密算法，1979年美國(guó)銀行協(xié)會(huì)批準(zhǔn)使用DES,1980年它又成為美國(guó)標(biāo)準(zhǔn)化協(xié)會(huì)(ANSl)的標(biāo)準(zhǔn)，逐步成為商用保密通信和計(jì)算機(jī)通信的最常用加密算法。33密碼學(xué)的危機(jī)及DES的公布DES多年來一直活躍在國(guó)際保密通信的舞臺(tái)上，扮演了十分突出的角色。但進(jìn)入20世紀(jì)90年代以來，以色列的密碼學(xué)家Shamir等人提出了一種“差分分析法”都是對(duì)DES的攻擊算法。DES畢竟已經(jīng)公開了二十多年，破譯的研究比較充分，隨著電子技術(shù)的進(jìn)步，其威脅漸成現(xiàn)實(shí)，DES的歷史使命已近完成。34DES算法的基本思想DES算法的基本思想來自于分組密碼，即將明文劃分成固定的n比特的數(shù)據(jù)組，然后以組為單位，在密鑰的控制下進(jìn)行一系列的線性或非線性的變化變換而得到密文，這就是分組密碼(BlockCipher)體制。351〉在首次通信前，雙方必須通過除網(wǎng)絡(luò)以外的另外途徑傳遞統(tǒng)一的密鑰。2〉當(dāng)通信對(duì)象增多時(shí)，需要相應(yīng)數(shù)量的密鑰，這就使密鑰管理和使用的難度增大。3〉對(duì)稱加密是建立在共同保守秘密的基礎(chǔ)之上的，在管理和分發(fā)密鑰過程中，任何一方的泄密都會(huì)造成密鑰的失效，存在著潛在的危險(xiǎn)和復(fù)雜的管理難度。對(duì)稱加密技術(shù)存在的問題363.2.3非對(duì)稱密鑰加密與RSA算法為了克服對(duì)稱加密技術(shù)存在的密鑰管理和分發(fā)上的問題，1976年產(chǎn)生了密鑰管理更為簡(jiǎn)化的非對(duì)稱密鑰密碼體系，也稱公鑰密碼體系，對(duì)近代密碼學(xué)的發(fā)展具有重要影響。37最著名的算法--RSA現(xiàn)在公鑰密碼體系用的最多是RSA算法，它是以三位發(fā)明者（Rivest、Shamir、Adleman）姓名的第一個(gè)字母組合而成的。38LenAdlemanRonRivestAdiShamir394041(LefttoRight:RonRivest,AdiShamir,LenAdleman)2002年圖靈獎(jiǎng)獲得者--RSA-20024243左起：夏廣志,Rivest,龔克,姚期智,王小云2005-10-1944RonaldL.RivestProfessorRivestistheProfessorofElectricalEngineeringandComputerScienceinMIT'sDepartmentofElectricalEngineeringandComputerScience.HeisafounderofRSADataSecurity(nowmergedwithSecurityDynamicstoformRSASecurity).ProfessorRivesthasresearchinterestsincryptography,computerandnetworksecurity,electronicvoting,andalgorithms.Rivest博士現(xiàn)任美國(guó)麻省理工學(xué)院電子工程和計(jì)算機(jī)科學(xué)系教授。45AdiShamirShamir是以色列Weizmann科學(xué)學(xué)院應(yīng)用數(shù)學(xué)系的教授。46LenAdlemanAdleman現(xiàn)在是美國(guó)南加州大學(xué)的計(jì)算機(jī)科學(xué)以及分子生物學(xué)教授。47它最重要的特點(diǎn)是加密和解密使用不同的密鑰。每個(gè)用戶保存著兩個(gè)密鑰：一個(gè)公開密鑰(PublicKey)，簡(jiǎn)稱公鑰，一個(gè)私人密鑰(IndividualKey)，簡(jiǎn)稱私鑰。按現(xiàn)在的計(jì)算機(jī)技術(shù)水平，要破解目前采用的1024位RSA密鑰，需要上千年的計(jì)算時(shí)間?。?！。48公開密鑰技術(shù)解決了密鑰發(fā)布的管理問題，商戶可以公開其公開密鑰，私鑰由用戶自己嚴(yán)密保管。通信時(shí)，發(fā)送方用接收者的公鑰對(duì)明文加密后發(fā)送，接收方用自己的私鑰進(jìn)行解密，別人即使截取了也無法解開。這樣既解決了信息保密問題，又克服了對(duì)稱加密中密鑰管理與分發(fā)傳遞的問題。49RSA算法的優(yōu)點(diǎn)是：易于實(shí)現(xiàn)，使用靈活，密鑰較少，在網(wǎng)絡(luò)中容易實(shí)現(xiàn)密鑰管理，便于進(jìn)行數(shù)字簽名，從而保證數(shù)據(jù)的不可抵賴性；缺點(diǎn)是要取得較好的加密效果和強(qiáng)度，必須使用較長(zhǎng)的密鑰，從而加重系統(tǒng)的負(fù)擔(dān)和減慢系統(tǒng)的吞吐速度，這使得非對(duì)稱密鑰技術(shù)不適合對(duì)數(shù)據(jù)量較大的報(bào)文進(jìn)行加密。50RSA和DES相結(jié)合的綜合保密系統(tǒng)在實(shí)踐中，為了保證電子商務(wù)系統(tǒng)的安全、可靠以及使用效率，一般可以采用由RSA和DES相結(jié)合實(shí)現(xiàn)的綜合保密系統(tǒng)。在該系統(tǒng)中，用DES算法作為數(shù)據(jù)的加密算法對(duì)數(shù)據(jù)進(jìn)行加密，用RSA算法作為DES密鑰的加密算法，對(duì)DES密鑰進(jìn)行加密。這樣的系統(tǒng)既能發(fā)揮DES算法加密速度快、安全性好的優(yōu)點(diǎn)，又能發(fā)揮RSA算法密鑰管理方便的優(yōu)點(diǎn)