電子商務(wù)中的加密技術(shù)研究

電子商務(wù)中的加密技術(shù)研究

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，電子商務(wù)技術(shù)在全球得到了迅速發(fā)展。電子商務(wù)是基于互聯(lián)網(wǎng)絡(luò)開展的各種商務(wù)活動(dòng)，由于大量信息在網(wǎng)上傳遞，大量的資金在網(wǎng)上劃撥流動(dòng)，這就要求網(wǎng)上信息必須具有高度的可靠性和絕對(duì)保密性。因此，安全性成為電子商務(wù)發(fā)展的至關(guān)重要的問題。1.接入安全網(wǎng)的接入由于網(wǎng)絡(luò)的開發(fā)性、共享性和動(dòng)態(tài)性，使得任何人都可以自由的接入internet網(wǎng)，同時(shí)，網(wǎng)絡(luò)協(xié)議如TCP/IP、IPX/SPX、NETBEUA等并非專門為安全通信而設(shè)計(jì)，使得網(wǎng)絡(luò)存在很大的安全隱患。電子商務(wù)面臨的安全威脅有：1.1傳統(tǒng)商務(wù)形式的優(yōu)勢(shì)信息本身的安全性是電子商務(wù)的靈魂。在信息傳播與信息檢索方面，電子商務(wù)與傳統(tǒng)商務(wù)形式相比較，其最大的優(yōu)越性在于信息的傳播速度快。但是，在信息的傳輸過程中攻擊者通過物理或邏輯的手段，對(duì)數(shù)據(jù)進(jìn)行非法的截獲與監(jiān)聽，從而獲得通信中的敏感信息，如用戶的銀行賬號(hào)、密碼等使得商務(wù)信息泄漏或破壞。1.2篡改信息在信息的存儲(chǔ)或傳輸過程中，攻擊者對(duì)網(wǎng)絡(luò)上的信息進(jìn)行截獲后篡改其內(nèi)容，如修改消息的次序、時(shí)間、注入偽造的信息等，從而使信息失去真實(shí)性和完整性。1.3交易雙方身份的不確定性由于電子商務(wù)的實(shí)現(xiàn)需要借助于虛擬的網(wǎng)絡(luò)平臺(tái)，在這個(gè)平臺(tái)上交易雙方是不需要見面的，因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息，仿冒合法用戶的身份與他人進(jìn)行交易，從而獲得非法收入。1.4交易的不可侵犯性電子商務(wù)的交易應(yīng)該同傳統(tǒng)的交易一樣具有不可抵賴性。有些用戶可能對(duì)自己發(fā)出的信息進(jìn)行惡意的否認(rèn)，以推卸自己應(yīng)承擔(dān)的責(zé)任。1.5資源消耗量不能繼續(xù)提供服務(wù)拒絕服務(wù)有兩類：一是向網(wǎng)絡(luò)或主機(jī)發(fā)送大量非法或無效的請(qǐng)求，使其消耗可用的資源而無法繼續(xù)提供服務(wù)。二是利用操作系統(tǒng)、軟件、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)服務(wù)等的安全漏洞，通過網(wǎng)站發(fā)送特制的數(shù)據(jù)請(qǐng)求，使網(wǎng)絡(luò)應(yīng)用服務(wù)器崩潰而停止服務(wù)。2.電子商務(wù)安全的主要技術(shù)保證2.1加密與解密的原理加密是保障數(shù)據(jù)安全性的一種方式，它在網(wǎng)絡(luò)上的作用是防止有用或私有化信息在網(wǎng)絡(luò)傳輸中被阻截和竊取。加密技術(shù)是一種主動(dòng)的信息安全防護(hù)措施，其原理是利用一定的加密算法，將明文轉(zhuǎn)換成為無意義的密文，阻止非法用戶理解原始數(shù)據(jù)，從而確保數(shù)據(jù)的保密性。明文變?yōu)槊芪牡倪^程稱為加密，由密文還原為明文的過程稱為解密。在加解密過程中，加密者和解密者使用的加解密可變參數(shù)叫做密鑰?；诿荑€的算法通常有兩類:對(duì)稱密鑰算法和非對(duì)稱密鑰算法。2.1.1密鑰保護(hù)算法對(duì)稱密鑰算法即信息的發(fā)送方和接收方用一個(gè)密鑰去加密和解密數(shù)據(jù)，也就是說加密和解密用同一個(gè)密鑰。它要求發(fā)送方、接收方在安全通信之前，商定一個(gè)密鑰，對(duì)稱密鑰算法的安全性依賴于密鑰，泄露密鑰就意味著任何人都能對(duì)消息進(jìn)行加/解密。只要通信需要保密，密鑰就必須保密。它的最大優(yōu)勢(shì)是加/解密速度快，便于用硬件實(shí)現(xiàn)、適合于對(duì)大數(shù)據(jù)量進(jìn)行加密等。但密鑰管理困難。2.1.2“公鑰”加密的加密非對(duì)稱式加密就是加密和解密所使用的不是同一個(gè)密鑰，通常有兩個(gè)密鑰，稱為“公鑰”和“私鑰”。“公鑰”和“私鑰”不能由一個(gè)推出另一個(gè)，但是“公鑰”加密的信息只能由“私鑰”解密，反之亦然。非對(duì)稱密鑰機(jī)制靈活，但加密和解密速度比對(duì)稱密鑰加密慢得多，所以它不適合于對(duì)文件進(jìn)行加密，而只適用于對(duì)少量數(shù)據(jù)進(jìn)行加密。在實(shí)際使用中，為了充分發(fā)揮兩種加密算法的優(yōu)點(diǎn)，進(jìn)一步提高信息加密的安全性，一般將兩種加密算法結(jié)合使用。通過公開密鑰算法，主要是確定雙方的身分后,傳遞雙方的信息交易密碼(即對(duì)稱加密密碼)，然后利用對(duì)稱加密算法快速的特點(diǎn)，進(jìn)行雙方加密數(shù)據(jù)傳輸。2.2確認(rèn)信息的整體特征認(rèn)證的主要作用是進(jìn)行信息認(rèn)證，信息認(rèn)證也就是確認(rèn)信息的發(fā)送者的身份及驗(yàn)證發(fā)送信息的完整性，即確認(rèn)信息在傳送或者存儲(chǔ)過程中未被篡改。常用安全認(rèn)證技術(shù)有：2.2.1報(bào)文附加數(shù)字簽名簽名是用來保證文檔的真實(shí)性、有效性的一種措施，如同出示手寫簽名一樣。實(shí)現(xiàn)方式是把散列函數(shù)和公開密鑰算法結(jié)合起來，發(fā)送方從報(bào)文文本中生成一個(gè)散列值，并用自己的私有密鑰對(duì)這個(gè)散列值進(jìn)行加密，形成發(fā)送方的數(shù)字簽名;然后，將這個(gè)數(shù)字簽名作為報(bào)文的附件和報(bào)文一起發(fā)送給報(bào)文的接收方；報(bào)文的接收方首先從接收到的原始報(bào)文中計(jì)算出散列值，接著再用發(fā)送方的公開密鑰來對(duì)報(bào)文附加的數(shù)字簽名進(jìn)行解密；如果這兩個(gè)散列值相同，那么接收方就能確認(rèn)該數(shù)字簽名是發(fā)送方的。數(shù)字簽名機(jī)制提供了一種鑒別方法，普遍用于銀行、電子貿(mào)易等,以解決偽造、抵賴、冒充、篡改等問題。2.2.2個(gè)人信息及其公開密鑰數(shù)字證書就是認(rèn)證中心為交易各方頒發(fā)的身份憑證，它是一個(gè)經(jīng)CA數(shù)字簽名的、包含證書申請(qǐng)者（公開密鑰擁有者）個(gè)人信息及其公開密鑰的文件。基于公開密鑰體制（PKI）的數(shù)字證書是用來確認(rèn)安全電子商務(wù)交易雙方身份的工具，由于它由證書管理中心作了數(shù)字簽名，因此任何第三方都無法修改證書的內(nèi)容。任何交易雙方只有申請(qǐng)到相應(yīng)的數(shù)字證書，才能參加安全電子商務(wù)的網(wǎng)上交易。2.2.3防止電子交易的安全保護(hù)在商務(wù)交易文件中，時(shí)間是一條重要的信息，文件的簽署日期和簽名一樣均是防止文件被偽造和篡改的關(guān)鍵性內(nèi)容。為了防止在電子交易中，文件簽署的時(shí)間信息被修改，數(shù)字時(shí)間戳提供了相應(yīng)的安全保護(hù)。數(shù)字時(shí)間戳服務(wù)（DTS）是由專門的機(jī)構(gòu)提供的。數(shù)字時(shí)間戳是一個(gè)經(jīng)加密處理后形成的憑證文檔，它包括三個(gè)部分：需加時(shí)間戳的文件摘要；DTS機(jī)構(gòu)收到文件的日期和時(shí)間；DTS機(jī)構(gòu)的數(shù)字簽名。2.3網(wǎng)絡(luò)安全的保護(hù)防火墻技術(shù)是一種用來加強(qiáng)網(wǎng)絡(luò)之間訪問控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)訪問內(nèi)部網(wǎng)絡(luò)資源、保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備。電子商務(wù)中的防火墻主要是為了防止黑客利用不安全的服務(wù)對(duì)傳輸數(shù)據(jù)和信息進(jìn)行攻擊，阻止未授權(quán)的用戶對(duì)信息資源的非法訪問，甚至是對(duì)網(wǎng)絡(luò)實(shí)施檢查，決定網(wǎng)絡(luò)之間的通信權(quán)限，監(jiān)視網(wǎng)絡(luò)的進(jìn)行狀態(tài)。防火墻技術(shù)主要有：包過濾型、代理服務(wù)型、復(fù)合型等