电子商务中安全问题探讨及应对措施
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子商务
电子商务中安全问题探讨及应对措施
梁普选 刘玉芬
［摘 要］ 电子商务是一个机遇和挑战共存的新领域，这种挑战在很大程度上来源于对可使用的安全技术的信赖。在开放的网 络（如 Ｉｎｔｅｒｎｅｔ）上处理交易，如何保证传输数据的安全成为电子商务能否普及的最重要因素之一。
［关键词］ 电子商务 ＳＥＴ协议 ＣＡ认证 加密算法
由于电子商务是以计算机网络为基础的，因此它不可避免面 临着一系列的安全问题。在电子商务中表现为商业机密的泄漏， 主要包括两个方面：交易双方进行交易的内容被第三方窃取；交 易一方提供给另一方使用的文件被第三方非法使用。
一、电子商务对安全的要求 １９９７ 年 ５ 月，由 Ｖｉｓａ、ＭａｓｔｅｒＣａｒｄ 等联合推出，并得到 ＩＢＭ、 Ｎｅｔｓｃａｐｅ、Ｍｉｃｒｏｓｏｆｔ、Ｏｒａｃｌｅ等公司支持的安全电子交易（ＳＥＴ）规范 为在 Ｉｎｔｅｒｎｅｔ 上进行安全的电子商务提供了一个开放的标准。保证 电子单证的秘密性常用的处理技术是数据加密和解密，常见的加 密技术包括对称密钥加密技术（加密 ／ 解密使用相同的密钥，典型 的加密算法包括 ＤＥＳ、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡ、ＲＣ４ 和 ＲＣ５）和非对称密钥 加密技术（也称公开密钥加密技术，加密 ／ 解密使用不同的密钥， 典型的加密算法为 ＲＳＡ、ＳＥＥＫ、ＰＧＰ 和 ＥＵ 等）。单证传输的安全性依 赖于使用的算法和密钥的长度。 对于固定且具有频繁贸易往来的伙伴，可以采用单证传输的 序列性检验（即为单证分配序列号， 或者增加时间戳）；也可采用 双方约定的方法，即在规定的时间内，通过某种方式进行确认， 包括采用特定的确认报文（如： 订单确认报文），或者电子邮件确 认和电话确认等来保证被传输的业务单证不会丢失。单证传输完 整性主要采用散列技术来防止非法用户对单证的篡改，通过散列 算法对被传输的单证进行处理，产生一个依赖于该单证短小的散 列值（通常在 １００ ～２００ 比特之间），并将该散列值附接在单证之 后传输给接收方，以便接收方采用相同的散列算法对接收的单证 进行检验。散列算法保证对于不同的单证产生相同的散列值的概率 极小。典型的散列算法为美国国家安全局开发的单向散列算法—— ＳＨＡ － １，该算法产生长度为 １６０ 比特的散列值以及 ＭＤ２ 和 ＭＤ５ 等。 鉴别单证真实性的主要手段是数字签名技术，其基础是数据加密中 的公开密钥加密技术，实用中常结合单证完整性一起考虑，利用发 送方的密钥对散列值进行加密。目前可用的数字签名算法很多，如： ＲＳＡ 数字签名、ＥＬＧａｍａｌ 数字签名等。 如何解决或者仲裁收发双方对 交换的单证所产生的争议，包括发方或收方可能的否认或抵赖？通 常要求引入认证中心进行管理，由 Ｃ Ａ 发放密钥，传输的单证及其 签名的备份发至 Ｃ Ａ 保存，作为可能争议的仲裁依据。当使用 Ｗ Ｗ Ｗ 服务器支持电子商务活动时，应注意数据的备份和恢复，并采用防 火墙技术（有些专家建议直接采用物理分割 Ｗ Ｗ Ｗ 服务器和内部网 络的连接）保护内部网络的安全性。为了达到商务活动的要求，电 子商务需要有规定顾客、商家和各金融机构之间的责权关系的政策， 给出参与各方的数据存储和通信过程以及数据流动的支付协议。 二、电子支付协议工作流程 电子商务需要有与现实世界中使用的各种支付手段相对应的 电子支付工具。目前主要有三种支付工具：卡、电子支票、电子 货 币 （ 电 子 现 金 、 电 子 硬 币 ）。 对 应 于 不 同 的 支 付 工 具 ， 可 以 将 目前已有的支付协议分为三类：基于卡的支付协议、基于支票的 支付协议以及基于电子货币的支付协议。下面以广泛应用的 ＳＥＴ 协议为例来加以分析，ＥＴ 要达到的最主要的目标是： 信息在 Ｉｎｔｅｒｎｅｔ 上的安全传输，保证网上传输的数据不被黑客
参考文献： ［１］王 锋：电子商务交易风险与安全保障［Ｍ］ 科学出版社 ２００５ ［２］方初莹：论在密码学和电子商务的安全性中的应用［Ｊ］ 北 京大学数学学院 ２０００
［ 作者单位： 河北科技大学］
一、引言 随着电子商务热潮席卷全球，电子商务已成为中国ＩＴ行业最 为热门的话题和竞争焦点。电子商务的发展给人们的工作和生活 带来了新的尝试和便利性，但并没有像人们想象的那样普及和深 入，一个很重要的原因就是电子商务的安全性，它成为阻碍电子 商务发展的重要瓶颈之一。 二、电子商务及其安全问题 电子商务是指利用简单快捷低成本的电子通讯方式，使买卖 双方进行各种商贸活动的新型贸易形式。它不仅改变了传统贸易 形式和企业本身的生产、经营、管理活动，而且将导致人类经济、 社会和文化的一次新的革命。但目前电子商务的发展中还存在许 多安全问题，针对电子商务总体架构的特征，我们可以对电子商 务的安全问题进行如下分类： １．客户端安全问题：对用户而言，客户端安全是最重要的考 虑因素。这一类问题包括用户认证、授权、启动控制、访问控制和 病毒防御。考虑到交流，客户端还可能用到服务器认证、收据的抗 否认和匿名。 ２．服务器端安全问题：对服务器提供者而言，主要关心客户 认证与授权、数据源的抗否认、发送者匿名、审计跟踪、账户管 理以及可用性和可靠性。 ３．事务安全问题：事务安全对于客户和服务器端同等重要。 事务安全需要多种安全服务，比如数据认证、访问控制、数据保 密性、数据完整性、抗否认性和事务匿名。 ４．组织和法律安全问题：技术因素之外，组织和法律安全问 题不容忽视。毕竟，安全问题归根结底是人的问题。忽视人的问 题而单纯靠技术不可能安全。 三、电子商务安全防范 可以看出，安全问题已成为电子商务发展过程中的一大隐患。 电子商务的安全主要体现在：交易的有效性和可执行性、交易机 制的可靠性、交易过程中信息的完整性和保密性。概括地讲，可 分为技术和法律两个方面。 １．技术上的安全防范。电子商务安全是信息安全的上层应用， 它包括的技术范围比较广，主要分为网络安全技术和密码技术两 大类，其中密码技术又可分为加密、数字签名和认证技术等。 （１）网络安全技术 网络安全是电子商务安全的基础，一个完整的电子商务系统 应建立在安全的网络基础设施之上。网络安全所涉及到的方面比 较广，如操作系统安全、防火墙技术、虚拟专用网 ＶＰＮ 技术和各 种反黑客技术和漏洞检测技术等。其中最重要的就是防火墙技 术。防火墙是建立在通信技术和信息安全技术之上，它用于在网 络之间建立一个安全屏障，根据指定的策略对网络数据进行过 滤、分析和审计，并对各种攻击提供有效的防范。主要用于Ｉｎｔｅｒｎｅｔ 接入和专用网与公用网之间的安全连接。
窃听； 订单信息和个人账号信息的隔离， 在将包括消费者账号信息 的订单送到商家时，商家只能看到订货信息，而看不到消费者的 账户信息；消费者和商家的相互认证，以确定通信双方的身份， 一般由第三方机构负责为在线通信双方提供信用担保； 要求软件 遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和 互操作功能． 并且可以运行在不同的硬件和操作系统平台上。
电子商务安全防范研究
季光献
［摘 要］ 随着电子商务的发展，其安全问题越来越受到人 们的关注。本文分析了电子商务安全问题，研究了其防范技术和 法规，并提出了几点可行性建议。
［关键词］ 电子商务 安全 密码
加密的有效性取决于加密算法 ＤＥＳ 和 ＲＳＡ 的强Βιβλιοθήκη Baidu以及 ＳＨＡ－１ 算法的有效性。
４ ．双重签名。为了保证消费者的账号等重要信息对商家隐 蔽，ＳＥＴ 中采用了双重签名技术， 具体的实现方法是：首先生成 两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称 为 双 重 签 名 ）， 然 后 用 签 发 者 的 私 有 密 钥 加 密 ， 为 了 让 接 收 者 验 证双重签名，还必须将另外一条消息的摘要一块传过去。这样， 任何一个消息的接收者都可以通过以下方法验证消息的真实性： 生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘 要，如果它与解密后的双重签名相等，就可以确定消息是真实的。
ＳＥＴ 是针对用卡支付的网上交易而设计的支付规范，对不用 卡支付的交易方式，像货到付款方式、邮局汇款方式则与 ＳＥＴ 无 关。另外像网上商店的页面安排、保密数据在购买者计算机上如 何保存等，也与 ＳＥＴ 无关。 ＳＥＴ 协议的工作原理如图 １ 所示。
三、支付协议中采用的加密技术 ＳＥＴ 将对称密钥的快速、低成本和非对称密钥的有效性完美 地结合在一起。使用公开密钥，商家生成一个公共密钥对，任何 一个消费者都可用商家公开发布的公钥与商家进行保密通信。 １．数字信封。ＳＥＴ 依靠密码系统保证消息的可靠传输，在 ＳＥＴ 中，使用 ＤＥＳ 算法产生的对称密钥来加密数据，然后，将此对称 密 钥 用 接 收 者 的 公 钥 加 密 ， 称 为 消 息 的 “ 数 字 信 封 ”， 将 其 和 数 据一起送给接收者，接收者先用他的私钥解密数字信封，得到对 称密钥，然后使用对称密钥解开数据。 ２ ．数字签名。由于公开密钥和私有密钥之间存在的数学关 系，使用其中一个密钥加密的数据只能用另一个密钥解开，Ｓ Ｅ Ｔ 中使用 ＲＳＡ 算法来实现。发送者用自己的私有密钥加密数据传给 接收者，接收者用发送者的公钥解开数据后，就可确定消息来自 于谁。这就保证了发送者对所发信息不能抵赖。 ３ ．消息摘要。消息摘要是一个惟一对应 一 个 消 息 或 文 本 的 值， 由一个单向 Ｈａｓｈ 加密函数对消息作用产生。在 ＳＥＴ 协议中，原文
ＳＥＴ 规范涉及的范围：加密算法的应用（例如 ＲＳＡ 和 ＤＥＳ）；证书 信息和对象格式； 购买信息和对象格式；认可信息和对象格式； 划 账信息和对 象格式； 对话 实体之间消 息的传输协 议。 ＳＥＴ 协议 中的角色有： 消费者在电 子商务环境 中，消费者和 团体购买者通过计算机与商家交流， 消费者通过由发卡机构颁发 的付款卡（ 例如信用卡、借记卡） 进行结算。在消费者和商家的会 话中，ＳＥＴ 可以保证消费者的个人账号信息不被泄露。 发卡机构： 它是一个金融机构，为每一个建立了账户的顾客颁发付款卡。 商 家：提供商品或服务，使用 ＳＥＴ，就可以保证消费者个人信息的安 全。接受卡支付的商家必须和银行有关系。 银行：在线交易的商 家在银行开立账号，并且处理支付卡的认证和支付。 支付网关：是 由银行操作的，将 Ｉｎｔｅｒｎｅｔ 上的传输数据转换为金融机构内部数据的 设备，或由指派的第三方处理商家支付信息和顾客的支付指令。
四、身份认证技术 网上的两个人要谈一笔交易，每一个人都要鉴别对方是否可 信。交易时向对方提交一个由 ＣＡ 签发的包含个人身份的证书，使 对方相信自己的身份，即数字证书。在网上的电子交易中，如双 方出示了各自的数字凭证，并用它来进行交易操作，那么双方都 可不必为对方身份的真伪担心。 持卡人证书实际上是支付卡的一种电子化的表示。由于它是 由金融机构以数字化形式签发的，因此不能随意改变。持卡人证 书并不包括账号和终止日期信息，取而代之的是用单向哈希算法根 据账号、截止日期生成的一个码，如果知道账号、截止日期、密码 值，即可导出这个码值，反之不行。 商家证书用来表示商店可以用 什么卡来结算。它是由金融机构签发的，不能被第三方改变。在 ＳＥＴ 环境中，一个商家至少应有一对证书，与一个银行打交道，一个商 家也可以有多对证书，表示它与多个银行有合作关系，可以接受多 种付款方法。 除了持卡人证书和商家证书以外，还有支付网关证书、 银行证书、发卡机构证书等。 ＣＡ 是提供身份验证的第三方机构，由一个或多个用户信任的 组织实体。例如，持卡人要与商家通信，持卡人从公开媒体上获 得了商家的公开密钥，但持卡人无法确定商家不是冒充的（有信 誉），于是持卡人请求 Ｃ Ａ 对商家认证，Ｃ Ａ 对商家进行调查、验 证和鉴别后，将包含商家公钥的证书传给持卡人。同样，商家也可 对持卡人进行验证。证书一般包含拥有者的标识名称和公钥并且由 ＣＡ 进行过数字签名。 证书的树形验证结构。在两方通信时，通过 出示由某个 Ｃ Ａ 签发的证书来证明自己的身份，如果对签发证书的 ＣＡ 本身不信任，则可验证 Ｃ Ａ 的身份，依次类推，一直到公认的权 威 Ｃ Ａ 处，就可确信证书的有效性。
１１９ 《商场现代化》２００５ 年 １２ 月（中）总第 ４５２ 期
电子商务
通过 ＳＨＡ－１ 算法生成消息的文摘。用发送者的私有密钥加密摘要 附在原文后面，一般称为消息的数字签名。 数字签名的接受者可 以确信消息确实来自谁，另外，如果消息在途中改变了，则接收者 通过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否 被改变了。因此消息摘要保证了消息的完整性。 图 ２ 说明了加密、签 名和消息摘要的过程。
电子商务中安全问题探讨及应对措施
梁普选 刘玉芬
［摘 要］ 电子商务是一个机遇和挑战共存的新领域，这种挑战在很大程度上来源于对可使用的安全技术的信赖。在开放的网 络（如 Ｉｎｔｅｒｎｅｔ）上处理交易，如何保证传输数据的安全成为电子商务能否普及的最重要因素之一。
［关键词］ 电子商务 ＳＥＴ协议 ＣＡ认证 加密算法
由于电子商务是以计算机网络为基础的，因此它不可避免面 临着一系列的安全问题。在电子商务中表现为商业机密的泄漏， 主要包括两个方面：交易双方进行交易的内容被第三方窃取；交 易一方提供给另一方使用的文件被第三方非法使用。
一、电子商务对安全的要求 １９９７ 年 ５ 月，由 Ｖｉｓａ、ＭａｓｔｅｒＣａｒｄ 等联合推出，并得到 ＩＢＭ、 Ｎｅｔｓｃａｐｅ、Ｍｉｃｒｏｓｏｆｔ、Ｏｒａｃｌｅ等公司支持的安全电子交易（ＳＥＴ）规范 为在 Ｉｎｔｅｒｎｅｔ 上进行安全的电子商务提供了一个开放的标准。保证 电子单证的秘密性常用的处理技术是数据加密和解密，常见的加 密技术包括对称密钥加密技术（加密 ／ 解密使用相同的密钥，典型 的加密算法包括 ＤＥＳ、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡ、ＲＣ４ 和 ＲＣ５）和非对称密钥 加密技术（也称公开密钥加密技术，加密 ／ 解密使用不同的密钥， 典型的加密算法为 ＲＳＡ、ＳＥＥＫ、ＰＧＰ 和 ＥＵ 等）。单证传输的安全性依 赖于使用的算法和密钥的长度。 对于固定且具有频繁贸易往来的伙伴，可以采用单证传输的 序列性检验（即为单证分配序列号， 或者增加时间戳）；也可采用 双方约定的方法，即在规定的时间内，通过某种方式进行确认， 包括采用特定的确认报文（如： 订单确认报文），或者电子邮件确 认和电话确认等来保证被传输的业务单证不会丢失。单证传输完 整性主要采用散列技术来防止非法用户对单证的篡改，通过散列 算法对被传输的单证进行处理，产生一个依赖于该单证短小的散 列值（通常在 １００ ～２００ 比特之间），并将该散列值附接在单证之 后传输给接收方，以便接收方采用相同的散列算法对接收的单证 进行检验。散列算法保证对于不同的单证产生相同的散列值的概率 极小。典型的散列算法为美国国家安全局开发的单向散列算法—— ＳＨＡ － １，该算法产生长度为 １６０ 比特的散列值以及 ＭＤ２ 和 ＭＤ５ 等。 鉴别单证真实性的主要手段是数字签名技术，其基础是数据加密中 的公开密钥加密技术，实用中常结合单证完整性一起考虑，利用发 送方的密钥对散列值进行加密。目前可用的数字签名算法很多，如： ＲＳＡ 数字签名、ＥＬＧａｍａｌ 数字签名等。 如何解决或者仲裁收发双方对 交换的单证所产生的争议，包括发方或收方可能的否认或抵赖？通 常要求引入认证中心进行管理，由 Ｃ Ａ 发放密钥，传输的单证及其 签名的备份发至 Ｃ Ａ 保存，作为可能争议的仲裁依据。当使用 Ｗ Ｗ Ｗ 服务器支持电子商务活动时，应注意数据的备份和恢复，并采用防 火墙技术（有些专家建议直接采用物理分割 Ｗ Ｗ Ｗ 服务器和内部网 络的连接）保护内部网络的安全性。为了达到商务活动的要求，电 子商务需要有规定顾客、商家和各金融机构之间的责权关系的政策， 给出参与各方的数据存储和通信过程以及数据流动的支付协议。 二、电子支付协议工作流程 电子商务需要有与现实世界中使用的各种支付手段相对应的 电子支付工具。目前主要有三种支付工具：卡、电子支票、电子 货 币 （ 电 子 现 金 、 电 子 硬 币 ）。 对 应 于 不 同 的 支 付 工 具 ， 可 以 将 目前已有的支付协议分为三类：基于卡的支付协议、基于支票的 支付协议以及基于电子货币的支付协议。下面以广泛应用的 ＳＥＴ 协议为例来加以分析，ＥＴ 要达到的最主要的目标是： 信息在 Ｉｎｔｅｒｎｅｔ 上的安全传输，保证网上传输的数据不被黑客
参考文献： ［１］王 锋：电子商务交易风险与安全保障［Ｍ］ 科学出版社 ２００５ ［２］方初莹：论在密码学和电子商务的安全性中的应用［Ｊ］ 北 京大学数学学院 ２０００
［ 作者单位： 河北科技大学］
一、引言 随着电子商务热潮席卷全球，电子商务已成为中国ＩＴ行业最 为热门的话题和竞争焦点。电子商务的发展给人们的工作和生活 带来了新的尝试和便利性，但并没有像人们想象的那样普及和深 入，一个很重要的原因就是电子商务的安全性，它成为阻碍电子 商务发展的重要瓶颈之一。 二、电子商务及其安全问题 电子商务是指利用简单快捷低成本的电子通讯方式，使买卖 双方进行各种商贸活动的新型贸易形式。它不仅改变了传统贸易 形式和企业本身的生产、经营、管理活动，而且将导致人类经济、 社会和文化的一次新的革命。但目前电子商务的发展中还存在许 多安全问题，针对电子商务总体架构的特征，我们可以对电子商 务的安全问题进行如下分类： １．客户端安全问题：对用户而言，客户端安全是最重要的考 虑因素。这一类问题包括用户认证、授权、启动控制、访问控制和 病毒防御。考虑到交流，客户端还可能用到服务器认证、收据的抗 否认和匿名。 ２．服务器端安全问题：对服务器提供者而言，主要关心客户 认证与授权、数据源的抗否认、发送者匿名、审计跟踪、账户管 理以及可用性和可靠性。 ３．事务安全问题：事务安全对于客户和服务器端同等重要。 事务安全需要多种安全服务，比如数据认证、访问控制、数据保 密性、数据完整性、抗否认性和事务匿名。 ４．组织和法律安全问题：技术因素之外，组织和法律安全问 题不容忽视。毕竟，安全问题归根结底是人的问题。忽视人的问 题而单纯靠技术不可能安全。 三、电子商务安全防范 可以看出，安全问题已成为电子商务发展过程中的一大隐患。 电子商务的安全主要体现在：交易的有效性和可执行性、交易机 制的可靠性、交易过程中信息的完整性和保密性。概括地讲，可 分为技术和法律两个方面。 １．技术上的安全防范。电子商务安全是信息安全的上层应用， 它包括的技术范围比较广，主要分为网络安全技术和密码技术两 大类，其中密码技术又可分为加密、数字签名和认证技术等。 （１）网络安全技术 网络安全是电子商务安全的基础，一个完整的电子商务系统 应建立在安全的网络基础设施之上。网络安全所涉及到的方面比 较广，如操作系统安全、防火墙技术、虚拟专用网 ＶＰＮ 技术和各 种反黑客技术和漏洞检测技术等。其中最重要的就是防火墙技 术。防火墙是建立在通信技术和信息安全技术之上，它用于在网 络之间建立一个安全屏障，根据指定的策略对网络数据进行过 滤、分析和审计，并对各种攻击提供有效的防范。主要用于Ｉｎｔｅｒｎｅｔ 接入和专用网与公用网之间的安全连接。
窃听； 订单信息和个人账号信息的隔离， 在将包括消费者账号信息 的订单送到商家时，商家只能看到订货信息，而看不到消费者的 账户信息；消费者和商家的相互认证，以确定通信双方的身份， 一般由第三方机构负责为在线通信双方提供信用担保； 要求软件 遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和 互操作功能． 并且可以运行在不同的硬件和操作系统平台上。
电子商务安全防范研究
季光献
［摘 要］ 随着电子商务的发展，其安全问题越来越受到人 们的关注。本文分析了电子商务安全问题，研究了其防范技术和 法规，并提出了几点可行性建议。
［关键词］ 电子商务 安全 密码
加密的有效性取决于加密算法 ＤＥＳ 和 ＲＳＡ 的强Βιβλιοθήκη Baidu以及 ＳＨＡ－１ 算法的有效性。
４ ．双重签名。为了保证消费者的账号等重要信息对商家隐 蔽，ＳＥＴ 中采用了双重签名技术， 具体的实现方法是：首先生成 两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称 为 双 重 签 名 ）， 然 后 用 签 发 者 的 私 有 密 钥 加 密 ， 为 了 让 接 收 者 验 证双重签名，还必须将另外一条消息的摘要一块传过去。这样， 任何一个消息的接收者都可以通过以下方法验证消息的真实性： 生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘 要，如果它与解密后的双重签名相等，就可以确定消息是真实的。
ＳＥＴ 是针对用卡支付的网上交易而设计的支付规范，对不用 卡支付的交易方式，像货到付款方式、邮局汇款方式则与 ＳＥＴ 无 关。另外像网上商店的页面安排、保密数据在购买者计算机上如 何保存等，也与 ＳＥＴ 无关。 ＳＥＴ 协议的工作原理如图 １ 所示。
三、支付协议中采用的加密技术 ＳＥＴ 将对称密钥的快速、低成本和非对称密钥的有效性完美 地结合在一起。使用公开密钥，商家生成一个公共密钥对，任何 一个消费者都可用商家公开发布的公钥与商家进行保密通信。 １．数字信封。ＳＥＴ 依靠密码系统保证消息的可靠传输，在 ＳＥＴ 中，使用 ＤＥＳ 算法产生的对称密钥来加密数据，然后，将此对称 密 钥 用 接 收 者 的 公 钥 加 密 ， 称 为 消 息 的 “ 数 字 信 封 ”， 将 其 和 数 据一起送给接收者，接收者先用他的私钥解密数字信封，得到对 称密钥，然后使用对称密钥解开数据。 ２ ．数字签名。由于公开密钥和私有密钥之间存在的数学关 系，使用其中一个密钥加密的数据只能用另一个密钥解开，Ｓ Ｅ Ｔ 中使用 ＲＳＡ 算法来实现。发送者用自己的私有密钥加密数据传给 接收者，接收者用发送者的公钥解开数据后，就可确定消息来自 于谁。这就保证了发送者对所发信息不能抵赖。 ３ ．消息摘要。消息摘要是一个惟一对应 一 个 消 息 或 文 本 的 值， 由一个单向 Ｈａｓｈ 加密函数对消息作用产生。在 ＳＥＴ 协议中，原文
ＳＥＴ 规范涉及的范围：加密算法的应用（例如 ＲＳＡ 和 ＤＥＳ）；证书 信息和对象格式； 购买信息和对象格式；认可信息和对象格式； 划 账信息和对 象格式； 对话 实体之间消 息的传输协 议。 ＳＥＴ 协议 中的角色有： 消费者在电 子商务环境 中，消费者和 团体购买者通过计算机与商家交流， 消费者通过由发卡机构颁发 的付款卡（ 例如信用卡、借记卡） 进行结算。在消费者和商家的会 话中，ＳＥＴ 可以保证消费者的个人账号信息不被泄露。 发卡机构： 它是一个金融机构，为每一个建立了账户的顾客颁发付款卡。 商 家：提供商品或服务，使用 ＳＥＴ，就可以保证消费者个人信息的安 全。接受卡支付的商家必须和银行有关系。 银行：在线交易的商 家在银行开立账号，并且处理支付卡的认证和支付。 支付网关：是 由银行操作的，将 Ｉｎｔｅｒｎｅｔ 上的传输数据转换为金融机构内部数据的 设备，或由指派的第三方处理商家支付信息和顾客的支付指令。
四、身份认证技术 网上的两个人要谈一笔交易，每一个人都要鉴别对方是否可 信。交易时向对方提交一个由 ＣＡ 签发的包含个人身份的证书，使 对方相信自己的身份，即数字证书。在网上的电子交易中，如双 方出示了各自的数字凭证，并用它来进行交易操作，那么双方都 可不必为对方身份的真伪担心。 持卡人证书实际上是支付卡的一种电子化的表示。由于它是 由金融机构以数字化形式签发的，因此不能随意改变。持卡人证 书并不包括账号和终止日期信息，取而代之的是用单向哈希算法根 据账号、截止日期生成的一个码，如果知道账号、截止日期、密码 值，即可导出这个码值，反之不行。 商家证书用来表示商店可以用 什么卡来结算。它是由金融机构签发的，不能被第三方改变。在 ＳＥＴ 环境中，一个商家至少应有一对证书，与一个银行打交道，一个商 家也可以有多对证书，表示它与多个银行有合作关系，可以接受多 种付款方法。 除了持卡人证书和商家证书以外，还有支付网关证书、 银行证书、发卡机构证书等。 ＣＡ 是提供身份验证的第三方机构，由一个或多个用户信任的 组织实体。例如，持卡人要与商家通信，持卡人从公开媒体上获 得了商家的公开密钥，但持卡人无法确定商家不是冒充的（有信 誉），于是持卡人请求 Ｃ Ａ 对商家认证，Ｃ Ａ 对商家进行调查、验 证和鉴别后，将包含商家公钥的证书传给持卡人。同样，商家也可 对持卡人进行验证。证书一般包含拥有者的标识名称和公钥并且由 ＣＡ 进行过数字签名。 证书的树形验证结构。在两方通信时，通过 出示由某个 Ｃ Ａ 签发的证书来证明自己的身份，如果对签发证书的 ＣＡ 本身不信任，则可验证 Ｃ Ａ 的身份，依次类推，一直到公认的权 威 Ｃ Ａ 处，就可确信证书的有效性。
１１９ 《商场现代化》２００５ 年 １２ 月（中）总第 ４５２ 期
电子商务
通过 ＳＨＡ－１ 算法生成消息的文摘。用发送者的私有密钥加密摘要 附在原文后面，一般称为消息的数字签名。 数字签名的接受者可 以确信消息确实来自谁，另外，如果消息在途中改变了，则接收者 通过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否 被改变了。因此消息摘要保证了消息的完整性。 图 ２ 说明了加密、签 名和消息摘要的过程。