(一)加密技术

加密技术是实现电子商务安全的一种重要手段,目的是为了防止合法接收者之外的人获取机密信息,按密钥和相关加密程序类型可把加密分为两种:对称加密(秘密密钥)和非对称加密。

1.对称加密加密解密过程

(1)对称加密的算法基于迭代和替换,属于对称型加密系统。

(2)文件的加密和解密使用同一个密钥和同一算法。

(3)发送方和接受方必须共享密钥和算法。

(4)密钥必须保密。

2.公开密钥系统

由于对称加密通常也需要经过网络传输,因此,如果有人截获了秘密密钥,也能对加密文件进行解密。这就存在一个如何对秘密密钥进行加密传输的问题。公开密钥系统解决了这个问题。公开密钥的加密、解密过程

(1)公开密钥的算法基于数学函数,属于

非对称型加密系统。

(2)密钥为一对,一个用于加密(公开密钥),一个用于解密(私有密钥)。

(3)发送方和接受方拥有一对密钥中不同的一个。

(4)其中,公开密钥是公开的,私有密钥必须由拥有者保密。

(二)数字签名技术

使用密码技术对文件进行加密只解决了信息的保密性问题,但是如果他人对加密的文件破坏,或者你否认已下的订单,冒充从其账户上支取费用等,对于这些问题,单靠密码技术是不能解决的。而数字签名技术是一种很好的解决方法。

数字签名发送者用自己的私有密钥对数字摘要进行加密就形成了数字签名。只有加入数字签名及验证,才能真正实现在公开网络上的安全传输。在此过程中,首先采用单向函数Hash算法,对原文信息进行加密压缩形成数据摘要。然后使用A自己的私有密钥对数据摘要进行加密形成签名,将数字签名与原文一起传送。B使用A的公开密钥对数字签名进行解密,然后,采用单向函数Hash算法对原文进行加密压缩形成数据摘要,并与收到的数据摘要进行比较验证。如果两者相同,则说明文件在传输过程中没有被破坏,或文件不是伪造的。

(三)认证中心(CACertificationAthority)

认证中心承担网上安全电子交易认证服务、能签发数字证书并能确认用户身份的服务机构。是一个具有权威性、公正性的第三方、是电子商务的重要基础设施,是电子商务的安全保障。CA通常是企业性的服务机构,主要任务是受理数字凭证的申请、签发并负责在交易中检验和管理证书。用户向CA提交自己的公开密钥和其他代表自己身份的信息,如身份证或护照等,CA在验证了用户的有效身份之后,向用户颁发一个经过CA私有密钥签名的证书。有了数字证书和CA,用户就可以通过互相交换证书来得到对方的公开密钥,不再需要验证每一个想要交换信息的用户的公开密钥,而只需要验证并信任颁发证书的CA的公开密钥就可以了。

SSL协议是Netscape公司在网络传输层与应用层之间提供的一种基于RSA和保密密钥的用于浏览器与Web服务器之间的安全连接技术。SSL浏览器与Web服务器之间的安全连接技术。SSL协议通过数字签名和数字证书来实行身份验证,数字证书是从认证机构获得的,通常包含有唯一标识证书所有者的名称、唯一标识证书发布者的名称、证书所有者的公开密钥、证书发布者的数字签名、证书的有效期及证书的序列号等。在用数字证书对双方的身份验证后,双方就可以用保密密钥进行安全的会话了。SSL协议在应用层收发数据前,协商加密算法、连接密钥并认证通信双方,从而为应用层提供了安全的传输通道。SSL协议支持各种加密算法,实现简单,独立于应用层协议,且被大部分浏览器和Web服务器内置,便于在电子交易中应用。SET协议是一个能保证通过开放网络进行安全资金支付的技术标准。它采用的技术包括:对称密钥加密、公共密钥加密、哈希算法、数字签名技术以及公共密钥授权机制等。

SET使订单信息和信用卡信息隔离。在把包含信用卡号码信息的订单送到商家时,商家只能看到订单信息,却看不到信用卡号码信息,并且需要持卡人和商家相互认证,确定通信双方身份,一般由认证中心为双方提供信用担保。整个电子支付的过程包括:浏览、购买、付款合法性验证以及获取付款等过程。信用卡持卡客户通过浏览器从商家的商品目录中寻找所需商品,他拥有支付网关交换密钥的私人密钥,可以发送初始化请求给商家。商家收到客户的初始化请求后,为请求报文分配一个唯一的交易标识号,并用商家的私人密钥进行数字签名,然后将初始化响应报文与商家和支付网关的证书一起传给客户。

客户收到该初始化响应后,验证商家和支付网关的证书,确认商家和支付网关的身份,再根据商家的公开密钥确认初始化响应中的商家签名。然后,客户产生订单信息和支付命令,用私人密钥对订单信息和支付命令进行双重签名。并产生一个随机的对称密钥,用它对双重签名后的支付命令加密,然后再用支付网关交换密钥的公开密钥对客户帐号和对称密钥加密。客户将加密后的订单信息和支付命令发给商家。商家确认客户证书,用客户的公开密钥对订单信息上的双重签名解密,以确保订单在传输过程中无误,并且其中的签名是客户的。随后,商家处理订单信息请求,将支付命令传给支付网关并请求授权,同时还产生一个包括商家的签名证书和指明客户的订单已被接收等信息的购买响应报文,并对该报文数字签名后发给客户。客户用商家的公开密钥来证实购买响应上的签名是商家的,并保存收到的购买响应。如果交易被授权,商家将执行订单上规定的送货等服务。商家使用订货单,要求支付网关付款。