电子商务认证技术和认证中心

36
37
38
39
Thanks for coming!
（2）王钢将他的的公开密钥发送给李枚，张五截取了这 个密钥，并将自己的公开密钥送给李枚. （3）当李枚用“王钢”的公开密钥加密消息传送给王钢 时，张五截取它，用自己的私人密钥解密后，用王钢的 公钥重新加密后送给王钢. （4）当王钢发送消息给李枚时，张五也作类似的处理.
2
4.2 数字证书
• 在传统商务与电子商务中，均存在对贸易伙伴合法身份的 确定与认证问题。
24
3．CA的主要功能
1)生成密钥对及CA证书
CA必须先生成公钥体系中自己的密钥对，并对私 钥进行有效的保管，用于对自己的签名认证。 作为自成体系的、封闭的CA系统，根CA必须生成 自己的根密钥对，且在此基础上生成根证书，就 可以为各级CA以及客户生成证书，保证证书持有 者有不同的密钥对。
25
2)验证申请人身份
14
4)认证中心CA证书
• 发行数字证书的认证中心CA是安全网络支付的核心。 认证中心CA一样需要拥有自己的数字证书，证实其CA 的真实身份。
• 在IE浏览器里，用户可以看到浏览器所接受的CA证书， 也可选择是否信任这些证书。
• 在服务器端，管理员可以看到服务器所接受的CA证书，
也可选择是否信任这些证书。
个人证书(客户证书)
• 个人证书即客户证书，它主要证实客户(如一个使用IE浏 览器进行支付的客户)的身份和密钥所有权。
• 在网络支付时，服务器可能在建立SSL连接时，要求客户 证书证实客户身份。
• 例如，工商银行直接向自己的网络银行客户颁发客户证书， 其证书中包含客户的身份信息、公开密钥及工商银行的签 名，并可以存储在软盘、硬盘、IC卡、USB盘中。
网络支付的各方，如持卡人、商家、支 付网关等，在向CA申请数字证书时，CA 须先对其真实的身份进行验证，防止虚 假数字证书的生成。因此CA必须建立一 套严密的身份认证流程
26
3)颁发数字证书
在线颁发：CA系统能在Internet上接收交易 各方的证书申请，在验证申请者的真实身 份、通过资格检查后，把由CA签名的申请 者的数字证书在线发送给申请者。
及时记录所有颁发的证书以及所有失效的、被 吊销的证书，及时更新数字证书。
28
6)吊销证书
CA根据证书持有者的应用情况，可在数 字证书有效期内吊销证书，公布于众。
7)制定相关政策
CA的政策要公开，必须对信任它的商务 各方负责。
普通用户信任一个CA，除了拥有先进的 技术和雄厚的实力这些因素之外，另一 个极为重要的因素就是CA的政策。
必须有一个惟一的序列号，用于识别该证书。
➢CA使用的签名算法(Algorithm Identifier)：CA的数字摘
要与公开密钥加密体制算法。
9
➢ 证书颁发者信息(Issuer Unique Identifier)：发此证书的
CA信息。
➢ 有效使用期限(Period of Validity)：本证书的有效期，包
离线颁发：CA将申请者的数字证书加密后
放入软盘或IC卡等载体，由证书申请者亲自 到CA机构领取。如招商银行企业网络银行 目前采用的IC卡证书方式。
27
4)证书持有者身份认证、查询
可在线查询证书的生成情况，也可在线认证证 书持有者的身份，CA需拥有足够的带宽，保证 较快的查询速度。
5)证书管理及更新
送方发来的业务信息的同时，还收到发送方的数字证 书，这时通过对其数字证书的验证，可以确认发送方 的真实身份。 • 在发送方与接收方交换数字证书的同时，双方得到对 方的公开密钥。由于公开密钥是包含在数字证书中的， 且借助证书上数字摘要(缩略图)的验证，确信收到的公 开密钥肯定是对方的。通过这个公开密钥，双方就可 完成数据传送中的加／解密工作。
第四章 认证技术和认证中心
主要内容： 1、数字证书 2、认证中心
1
4.1密钥交换问题
• 前面解决了数据的保密性和完整性，பைடு நூலகம்而，在实际的应用 中还存在着身份的假冒、否认现象。 • 我们看下面密钥的交换问题：如中间人攻击。
（1）李枚将她的的公开密钥送给王钢，张五截取了这个 密钥，并将自己的公开密钥送给王钢.
利用电子信息技术手段，确认、鉴定、认证
Internet上信息交流参与者或服务器的身份，是一 个担保个人、计算机系统或者组织(企业或政府部
门)的身份，并且发布加密算法类别、公开密钥及 其所有权的电子文档。可以说数字证书是模拟传 统证书(如个人身份证、企业营业证书等)的特殊 数字信息文档。
6
• 数字证书的工作原理，就是信息接收方在网上收到发
7
数字证书由发证机构——数字证书认证中心(CA)
发行。该机构负责在发行数字证书之前，证实个 人或组织身份和密钥所有权。
8
2．数字证书的内容
• 数字证书的具体内容与格式遵循国际流行的ITUTrec.X.509标准
• 1)数字证书的基本数据信息
➢ 版本信息(Version)：用来区分X.509证书格式的版本。 ➢证书序列号(Serial Number)：每个由CA发行的数字证书
公钥体系中公钥的合法性检验的责任，通常由一个 或多个用户信任的组织实体组成.
• CA是整个信任链的起点，是开展电子商务的基 础。每个用户可以获得CA中心的公开密钥(CA根 证书)，验证任何一张数字证书的数字签名，从而 确定证书是否是CA中心签发、数字证书是否合法。
20
1．认证中心CA的定义
• 所谓认证中心，也称数字证书认证中心 （Certification Authority，简称CA）是基于
用户带相关证明到证书业务受理中心RS申请证书： 用户在线填写证书申请表格和证书申请协议书； RS业务人员取得用户申请数据后，与RA中心联系，要 求用户身份认证； RA下属的业务受理点审核员通过离线方式(面对面)审核 申请者的身份、能力和信誉等； 审核通过后，RA中心向CA中心转发证书的申请请求：
34
16
数字证书的使用(here)
当数字证书被传送给某人或某站点时，数字证书颁发机构 将上面相关内容信息用自己的私人密钥加密，以使接收者 能用证书里的公钥证实颁发机构的真实身份，判断证书的 有效性、确认证书使用者的身份。
由于数字证书采用高精尖的加密技术，非常安全。 截止到2003年，国内外银行、网络银行包括电子商务，还 没有一例由于数字证书被攻破而让不法分子得逞的案例发 生。
29
8)保证数字证书服务器的安全
数字证书服务器必须是十分安全的，CA应当采 取相应措施保证其安全性， 如加强对系统管理员的管理，加强对防火墙保 护等。
30
4．CA的组成框架
实际上证书的发放过程由两大部分组成： 一部分是证书的申请、制作、发放 另一部分是用户身份认证。 这两部分工作由CA中两个不同的部门来完成的。 即：CA(证书服务中心)和RA(审核受理处) CA完成接收证书请求及发证的工作， RA完成身份认定工作， CA与RA之间一般通过专线连接。
15
4．数字证书的有效性与使用
证书没有过期。所有的证书都有期限，可用检查证书 的期限来决定证书是否有效。 密钥没有被修改。如果密钥被修改，就不应该继续使 用，密钥对应的证书应被视为无效。这可通过证书上 的缩略图及其算法检验。 有可信任的颁发机构CA及时管理与回收无效证书，并 且发行无效证书清单（CRL）。
如果对签发证书的CA本身不信任，则可验证CA的真实身份， 依次类推，一直到公认的权威CA处，才可确信证书的有 效性。
23
• SET安全交易协议中商务各方的数字证书正是通过这种信 任层次逐级验证的。
• 例如，C的证书是由名称为B的CA签发的，而B的证书又 由名称为A的CA签发的，A是权威的机构，通常称为Root CA。验证到了Root CA处，就可确信C的证书是合法的。
Internet 平台建立的一个公正的、有权威性的、 独立的(第三方的)、广受信赖的组织机构，主要 负责数字证书的发行、管理以及认证服务，以保 证网上业务安全可靠地进行。 • 电子商务的参与各方(客户、商家、银行、政府机 构等)实体在认证中心注册、加入，这样，认证中 心就能确保所有网络支付与结算过程以及各方的 安全性。
22
• PKI系统的基本构成：权威的认证中心CA，数字证书库， 密钥备份及恢复系统，证书作废系统，应用接口(API)等
其中，CA作为数字证书的签发与管理机构，是PKI的核心 部分。 • 证书使用与验证：
CA认证数字证书采用一种树形验证结构。
在双方通信时，通过出示由某个CA签发的证书证明自己的 身份。
21
2．CA的技术基础
• CA除了要保持公正、具备良好信誉及第三方的要 求外，CA的建立与运作还需要强大的技术支撑。
• CA的技术基础是PKI体系。 • 所谓PKI体系，英文为Public Key Infrastructure，
即：公开密钥体系，是一种遵循既定标准的密钥 管理平台，能为所有网络应用服务提供加密和数 字签名等密码服务及其必需的密钥和证书管理体 系。
CA中心响应RA中心的证书请求，为该用户制作、签发证 书，并且交给RS： RS将制作好的证书传送给用户；如果证书介质是IC卡方 式，则RS业务人员打印好相关密码信封传递给用户，通 知用户到相关业务受理点领取；
用户根据收到的用户应用指南，使用相关的证书业务。
35
5．国内外主要CA机构
• Verisign • BJCA • CFCA
括起始、结束日期。
➢ 证书主题或使用者(Subject)：证书与公钥的使用者的相关
信息。
➢ 公钥信息(Public key Information)：公开密钥加密体制的
算法名称、公钥的字符串表示(只适用于RSA加密体制)。
➢ 其他额外的特别扩展信息：如增强型密钥用法信息，CRL