数字认证是电子商务的关键

数字认证是电子商务的关键
Internet 始终是一个多重矛盾的集合体。

开放与隐私，自由与冲突，无序与管理，猜忌与信任，等等均始终贯穿在Inter net 的兴起、发展与繁荣的全过程。

基于Internet 的电子商业发展因开放与自由而加速，但如无法克服Internet 在上述方面的天生缺陷，也同样将因开放与自由而停滞。

数字认证虽然无法从根本上解决Internet 在开放与自由方面的天生缺憾，但对于目前迅速上升，且急需找到一个折衷方案的电子商务而言，称之为雪中送炭并不为过。

事实上很多Inter net 的拥戴者一直对数字认证手段持反对态度，因为他们认为这从根本上违反了Internet 所独具的一种自由与叛逆的原创精神。

风雨路飘摇
在Internet 进入迅速发展之初，也就是当基于Internet 的商业活动开始大规模启动的时候，数字认证技术便已引起了人们的关注。

数字认证技术的目标是要在Internet 上解决“我是谁” 的问题，就如同我们每一个人都会拥有一张证明个人身份的身份证或是驾驶执照，以表明我们的身份或某种资格。

这种“表明” 在Internet 同样很重要，特别是当Internet 逐渐由科研、教育工具转变为一种商业工具之后。

如何完成这种身份认证过程，技术专家们已经寻找到了多种方案，有些实用，而有些仅仅具有纯技术上的意义。

曾经有公司做过这样一种尝试，他们使用手写板与数字笔将手写签名数字化，然后附带在电子邮件或文档之中，以此来表明发送者的真实身份，当然签名的传送过程是经过加密的。

但是这种仅仅将传统认证手段数字化的方式，在Internet 和数字时代里可以说不具备实用意义。

因为传统认证手段的不可复制特性如基于纸介质的签名）在数字世界中已荡然无存。

Netscape 已在几年前开发出了安全接口层协议——SSL(Se cure SocketsLayer)，并且已经几乎成为了目前WWW 世界的事实标准。

这一标准使用公共密钥编码方案来对传输数据进行加密，在双方之间建立一个Internet 上的加密通道，从而使第三方无法获得其中的信息，其思路与目前流行的VPN方案大致相同，目的都是要保护数据不被未经授权的第三方所窃听，或即使窃听到也不知所云。

但就象VPN 一样，SSL 在认证方面没有任何作为，它们都需要通过另外的手段来确认身份和建立双方彼此间的信任，然后再通过SSL 进行交易。

正是由于SSL 标准在认证方面的缺憾，所以SET 才有存在的必要。

SET(Secure Electronic Transactions) 规范由Masterc ard 和Visa 公司于1996 年发布，专家们认为SET 是保证用户与商家在电子商务与在线交易中免受欺骗的重要手段。

传统的信用卡交易者总在担心不诚实的店员会将自己的信用卡号码透露给他人，而在线交易也是如此，持卡者总在担心服务器端的管理员会将信用卡号码泄露出去，或者担心黑客会在管理员不知情的情况下盗取信用卡号码。

事实上这些担心都是必要的，而SET 标准则可以保证用户的信用卡号码只
传送给信用卡公司进行认证，不会被系统管理员看到，也不会留在交易服务器的硬盘上给黑客以可乘之机。

传统的信用卡交易所担心的是不诚实的店员，如果是通过电话传送信用卡号码的话，还要担心旁边会有人偷听；而如果使用 SSL 进行交易的话，信用卡号码是不怕被别人“听”到的，因为即使有人“听”到也不会明白其中的内容，所担心的就只有店员的诚实性问题；SET 将可以保证不会再有上述问题，因为无论是店员或是商店，都只会知道信用卡号码是否有效，而不会知道具体的信用卡号码到底是什么。

SET 的任务是确保正确的人在使用正确的信用卡。

SET 的关键是一系列的数字证书和身份认证问题。

目前大多数的数字证书都必须安装在用户的硬盘之中，当用户通过他们的计算机在Internet 上浏览或购物时，都需要有相应的数字证书来证明自己的身份。

以后的数字证书还可以存储在SmartCard 之中，用户可以通过它来使用NC、图书馆的查询终端，甚至还可以用它在商店中购物。

但是这些证书又来自何方呢？它们通常会来自你的发卡银行和信用卡公司，但同时也还有大量来自第三方认证中心(Certificate Authorities) 的证书。

• 认证与认钱
数字认证最大的服务对象是电子商务用户，第三方的认证中心(CA) 将会在商家与消费者之间建立一个信任的桥梁，所以可以说所有的电子商务活动均离不开认证中心的参与。

但事实上，数字证书的应用还远不止于此。

除去完成信用卡交易，数字证书在Internet 还可以帮助用户来进入某些站点或访问某些机要内容，而不必象以往一样使用 ID 与密码，因为后者在安全性方面存在很大的人为干扰因素。

一旦可以在SmartCard 中存储数字证书之后，该证书便成为了用户可随身携带的电子身份证，用户可以通过它来使用NC、Inter net TV 以及具备有SmartCard 阅读器的公共PC。

经过加密处理的安全电子邮件、在线银行以及在线股票交易等过程也都需要双方具备可靠的数字证书。

在大型安全产品方面，防火墙、路由器及交换机等网络设备也都需要具备数字证书来表明自己的身份，从而建立一个可靠的传输通道或实现VPN 方案。

而那些更常用的 Java 和ActiveX 程序也会由数字证书来表明自己来自安全、可靠、可信任的网络站点和作者。

据估计，几年后每个人所拥有的数字证书将超过10 个，分别用在商务、娱乐、个人财务管理等多个方面。

在电子商务的交易过程中，商品的购买者、购买者的银行、商品的出售者以及出售者的银行都必须至少拥有一个数字证书。

根据IDC 的估计，数字认证市场在2001 年将会达到2200亿美元，而这一市场在1996 年就已经达到了26 亿美元。

目前在这一市场中参与竞争的主要有VeriSign、Microsoft、Netscape（现已被AOL 收购）和IBM，甚至还有U.S.Postal Service。

Microsoft、Netscape 和IBM 主要依靠在软件与系统上的集成优势，能够为用户提供最大的使用便利。

特别值得一提的是VeriSign，这是一个目前最强大的第三方CA。

它已经与Visa 和MasterCard 签订了合作协议，负责为发放上述信
用卡的银行提供用户认证服务。

它的客户还包括一些小型的信用卡公司，如Diners Club 和Novus。

从技术角度看，银行完全可以自己发放数字证书来为自己的用户服务，但相比之下像VeriSign 一类的第三方CA 更符合用户的需求，同时也能够为银行提供更加专业的认证服务。

附属于一家银行或一家信用卡公司的CA 不太可能为所有的银行和发卡公司提供认证服务，而消费者通常也会感觉这样的CA 具有一些天生的片面性。

第三方CA 则不然，可以为所有的银行和信用卡公司与用户提供认证服务，这样在很大程度上避免了三方在协调和服务过程中的繁琐手续。

最直接的好处是，用户只需与这样一家第三方CA 签订认证协议，就可以方便地使用多种信用卡和认证服务。

中国认证服务市场
我国的金融认证服务市场已经启动，由中国人民银行支付科技司牵头，工商银行、农业银行、建设银行、交通银行、光大银行等11 家商业银行已开始共同建设金融认证中心。

该认证中心为各商业银行统一标准，并形成资源共享的合作优势。

我国广东省的南方电子商务中心是目前少数几个已进入实用阶段的数字认证中心之一，已经在广东电信与思科系统公司的签约仪式中承担了数字认证的工作。

通过比较和鉴定电子邮件中的数字签名，南方电子商务中心能够确认签约双方的真实身份。

首都在线应该是我国第一家提供电子邮件数字签名的网络站点。

通过该站点提供的数字签名服务，发信人的身份可以得到百分之百地确认。

换句话说，邮件一旦发出，发信人将无法否认其发出邮件的这一事实，而收信人也可以确保发出该邮件确实为其本人所为。

无法完成的任务
数字认证手段虽然能够确认交易双方的身份，但并不对交易的合理性或真实性做出承诺。

因为我们可以想象，身份证虽然可以确认持证人的身份，但并不确保持证人一定不会做出违反法律的事情。

所以，数字认证所做的事情只是让你知道对方的身份，但并不确保对方的人格。

当然，身份的真实性是相互信任的基础，数字认证将有助于双方建立信任关系。

数字认证是电子商务交易过程中的关键一环，倘若没有强有力的身份认证手段，电子商务恐怕也只是一场梦而已。