1.4.4 常用電子商務安全技術

信息安全技術在電子商務系統中的作用非常重要，它守護著商家和客戶的重要機密，維護著商務系統的信譽和財產，同時為服務方和被服務方提供極大的方便，因此只有采取了必要和恰當的技術手段才能充分提高電子商務系統的可用性。常用的電子商務安全技術包括數據加密技術、認證技術、防火墻技術和虛擬專用網技術。

1． 數據加密技術

數據加密技術是電子商務系統中最基本的信息安全防范措施，其原理是利用加密算法將原始信息（明文）轉換成只有授權用戶才能解讀的密碼形式（密文），從而保證數據的保密性。

與“加密”概念相對應的是“解密”，即通過一定的算法將密文重新恢復成明文。對明文進行加密時采用的一組規則稱為加密算法；對密文解密時采用的一組規則稱為解密算法。加密和解密過程中使用的密鑰分別稱為加密密鑰和解密密鑰。加密系統的運作如圖1-22所示。

數據加密技術是一種主動的信息安全防范措施，目前數據加密技術可分為對稱密鑰加密和非對稱密鑰加密。

（1）對稱密鑰加密

對稱密鑰加密是指發送和接收數據的雙方必須使用相同的密鑰對明文進行加密和解密運算，并且密鑰不對外發布，因而對稱密鑰加密也稱為私鑰加密。

如果通信雙方能夠確保密鑰在交換階段沒有泄露，就可以實現數據的機密性和完整性，并可以通過隨報文一起發送的電子摘要（或散列值）來實現對機密信息的驗證。

對稱密鑰加密的過程如圖1-23所示。首先，發送方用自己的私有密鑰對要發送的信息進行加密；然后，發送方將加密后的信息通過網絡傳送給接收方；最后，接收方用發送方進行加密的那把私有密鑰對接收到的加密信息進行解密，得到明文信息。

對稱密鑰加密的優點是加密、解密速度快，且使用方便，計算量小，加密效率高，適合對大量數據進行加密，能夠保證數據的機密性和完整性；缺點是當用戶數量大時，分配和管理密鑰比較困難。

知識拓展

常用的對稱密鑰加密算法

目前，常用的對稱密鑰加密算法包括：DES（Data Encryption Standard，數據加密標準），是一種密碼塊加密方法；IDEA（International Data Encryption Algorithm，國際數據加密算法），是一種國際信息加密方法；AES（Advanced Encryption Standard，高級加密標準），也是一種密碼塊加密方法，但是算法標準比DES更強大，可以對28位的密碼塊進行處理，密鑰的長度可以是128位、192位和256位。

（2）非對稱密鑰加密

非對稱密鑰加密是指密鑰被分解為一對，加密和解密使用兩把不同的密鑰：一把加密密鑰（公開密鑰，簡稱“公鑰”）向公眾公開，誰都可以使用；一把解密密鑰（秘密密鑰、私有密鑰，簡稱“私鑰”）只有解密人自己知道，非法使用者根據公開的加密密鑰無法推算出解密密鑰。因此，非對稱密鑰加密也稱為公開密鑰加密。

非對稱密鑰加密機制有兩種基本的模型：一種是加密模型，即用接收方的公鑰加密，而用接收方的私鑰解密，如圖1-24所示；另一種是驗證模型，即用發送方的私鑰加密，而用發送方的公鑰解密，如圖1-25所示。兩種模型的用途各有不同，其中加密模型可以實現多個用戶加密的信息只能由一個用戶解讀，從而實現了保密通信；驗證模型可以實現一個用戶加密的信息可以由多個用戶解讀，這就是數字簽名的原理。

非對稱密鑰加密的優點是易于分配和管理；缺點是算法復雜，加密速度慢。使用非對稱密鑰加密機制，一般是用公鑰來加密，用私鑰來簽名；同時，用私鑰來解密，用公鑰來驗證簽名。

2． 認證技術

認證技術是保證電子商務安全的重要技術之一。采用認證技術可以直接滿足身份認證、信息完整性、不可否認和不可修改等多項網上交易的安全需求，較好地避免了網上交易面臨的假冒、篡改、抵賴、偽造等種種威脅。

常用的電子商務安全認證技術包括身份認證、數字簽名、CA安全認證體系和數字證書。

（1）身份認證

身份認證是指計算機及網絡系統確認操作者身份的過程。通過身份認證確定該用戶是否具有對某種資源的訪問和使用權限，進而使計算機及網絡系統的訪問策略能夠可靠、有效地執行，防止攻擊者假冒合法用戶獲得資源的訪問權限，保證系統和數據的安全及授權訪問者的合法利益。

目前，計算機及網絡系統中常用的身份認證方式包括密碼認證、USB Key認證、IC卡認證、動態口令技術和生物特征認證，如圖1-26所示。

y 密碼認證。密碼認證是最簡單也是最常用的身份認證方法，它是基于“what you know”的驗證手段。每個用戶的密碼是由用戶自己設定的，只有用戶自己才知道。只要能夠正確輸入密碼，計算機就認為操作者是合法用戶。

y USB Key認證。USB Key是一種 USB接口的硬件設備，它內置單片機或智能卡芯片，可以存儲用戶的密鑰或數字證書，利用USB Key內置的密碼算法實現對用戶身份的認證。

y IC卡認證。IC卡是一種內置集成電路的芯片，芯片中存有與用戶身份相關的數據。IC卡由專門的廠商通過專門的設備生產，是不可復制的硬件，由合法用戶隨身攜帶，登錄時必須將其插入專用的讀卡器讀取其中的信息，以驗證用戶的身份。

y 動態口令技術。動態口令技術是一種使用戶密碼按照時間或使用次數不斷變化、每個密碼只能使用一次的技術。

y 生物特征認證。生物特征認證是指采用每個人獨一無二的生物特征來驗證用戶身份的技術。常見的生物特征認證方式有指紋識別、虹膜識別等。

（2）數字簽名

數字簽名是基于加密技術的一種信息認證技術。所謂數字簽名，就是在發送的信息報文上附加一段只有信息發送方才能產生的、他人無法偽造的特殊個人數據標記，起到傳統手工簽名或蓋章的作用。

目前，主要是基于公鑰密碼體制的數字簽名，包括RSA、ElGamal、Fiat-Shamir、Guillou-Quisquarter、Schnorr、Ong-Schnorr-Shamir數字簽名算法，Des/DSA橢圓曲線數字簽名算法和有限自動機數字簽名算法等。其中，RSA是最主要的數字簽名算法，它是利用Hash函數進行數字簽名和驗證的，如圖1-27所示。該算法將數字簽名與要發送的信息捆綁在一起，比分別發送信息與簽名具有更高的安全性和可行性，所以更適合電子商務。

（3）CA安全認證體系

CA是認證機構的國際通稱，是指對電子交易的申請者發放數字證書、管理和取消數字證書的機構。CA安全認證體系為交易雙方提供了權威的、公正的身份認證機構，對數字證書進行管理，負責證書的申請、審批、發放、歸檔、撤銷、更新和廢止等。因此，CA安全認證體系的主要作用就是檢查證書持有者身份的合法性，并簽發證書（在證書上簽字），以防證書被偽造或篡改。

電子交易中的CA體系可分為兩種：基于SET的CA體系（又稱為金融CA體系）和基于X.509的PKICA體系（又稱為非金融CA體系）。

（4）數字證書

數字證書（Digital Certificate或Digital ID）又稱為數字憑證，即用電子手段來證實一個用戶的身份和對網絡資源的訪問權限。數字證書是一種數字標識，是一個經認證中心（CA）數字簽名的包含公開密鑰擁有者信息及公開密鑰的文件。

數字證書可用于發送安全電子郵件、訪問安全站點、網上證券交易、網上招標采購、網上辦公、網上保險、網上稅務、網上簽約和網上銀行等安全電子事務處理和安全電子交易活動。

數字證書必須保證網絡安全的四大要素，即信息傳輸的保密性、數據交換的完整性、發送信息的不可否認性及交易者身份的真實性。

3． 防火墻技術

在網絡系統中，防火墻（Firewall）是指由軟件和硬件設備組合而成的，在內部網和外部網之間、專用網與公共網之間構造的一道保護屏障，用于加強內部網絡和公共網絡之間安全防范的系統。

一個完善的防火墻系統應具有以下3個特征。

y 內部網絡和外部網絡之間的所有網絡數據流都必須經過防火墻。

y 只有符合安全策略的數據流才能通過防火墻。

y 防火墻自身應具有非常強的抗攻擊免疫力。

根據防范方式和側重點的不同，防火墻可以分為包過濾型防火墻、應用代理型防火墻、狀態檢測型防火墻、復合型防火墻4種類型，如圖1-28所示。

（1）包過濾型防火墻

包過濾型防火墻工作在OSI參考模型的網絡層，對數據包的源地址及目的地址具有識別和控制作用；對于傳輸層，它只能識別數據包是TCP還是UDP及所用的端口信息。只有滿足過濾條件的數據包才被轉發到相應的目的地，其余數據包則從數據流中丟棄。

（2）應用代理型防火墻

應用代理型防火墻工作在OSI參考模型的最高層，即應用層。應用代理型防火墻的特點是完全“阻隔”內網和外網的直接通信，內網用戶對外網的訪問變成防火墻對外網的訪問，然后再由防火墻轉發給內網用戶。所有通信都必須經應用層代理軟件轉發，訪問者任何時候都不能與服務器建立直接的TCP連接，應用層的協議會話過程必須符合代理的安全策略要求。

（3）狀態檢測型防火墻

狀態檢測型防火墻又稱為動態包過濾型防火墻，它摒棄了包過濾型防火墻僅考查數據包的IP地址等幾個參數，而不關心數據包連接狀態變化的缺點，在防火墻的核心部分建立狀態連接表，并將進出網絡的數據當成一個個會話，利用狀態表跟蹤每一個會話狀態。狀態檢測對每一個包的檢查不僅根據規則表，更考慮了數據包是否符合會話所處的狀態，因此提供了完整的對傳輸層的控制能力。

（4）復合型防火墻

復合型防火墻是指綜合了狀態檢測和透明代理的新一代防火墻。復合型防火墻基于ASIC架構，將防病毒、內容過濾整合到防火墻中，同時還具有VPN、IDS功能。

4． 虛擬專用網技術

虛擬專用網（Virtual Private Network,VPN）技術是一種在公用互聯網絡上構造專用網絡的技術。虛擬專用網技術將物理上分布在不同地點的專用網絡，通過公共網絡構造成邏輯上的虛擬子網，進行安全、穩定的通信。通過虛擬專用網技術可以幫助遠程用戶、分公司、合作伙伴及經銷商等建立內部的可信安全連接，保證數據的安全傳輸。

虛擬專用網使用了隧道協議、身份認證和數據加密3種技術，用以保證通信的安全性。虛擬專用網技術的實現過程為：客戶機向VPN服務器發出請求，VPN服務器響應請求并向客戶機發出身份咨詢，客戶機將加密的響應信息發送到VPN服務器，VPN服務器根據用戶數據庫檢查該響應。如果賬戶有效，VPN服務器將檢查該用戶是否具有遠程訪問權限，如果該用戶具有遠程訪問權限， VPN服務器則接受此連接，否則將拒絕建立連接。

在電子交易過程中，虛擬專用網技術主要具有五大作用，如圖1-29所示。