試論電子商務(wù)系統中的ＣＡ認證
[摘要] CA(Certificate Authority)認證是CA作為權威的、可信賴(lài)的、公正的第三方機構，專(zhuān)門(mén)負責發(fā)放并管理所有參與網(wǎng)上交易的實(shí)體所需的數字證書(shū)。CA通過(guò)對密鑰進(jìn)行有效的管理，并頒發(fā)認證證書(shū)證明密鑰的有效性，然后將公開(kāi)密鑰同某一個(gè)實(shí)體(消費者、商家、銀行等)聯(lián)系在一起，從而確保電子交易有效、安全的進(jìn)行，并使網(wǎng)上交易信息除發(fā)送方和接收方外，不被其他方知悉;保證信息在傳輸過(guò)程中不被篡改;使發(fā)送方確信接收方不是假冒的;同時(shí)也使發(fā)送方不能否認自己的發(fā)送行為。CA認證是企業(yè)電子商務(wù)平臺的真正核心。
[關(guān)鍵詞] 電子商務(wù) 信息化 網(wǎng)絡(luò )安全 數字證書(shū) CA認證 加密
企業(yè)信息化是現化企業(yè)發(fā)展的必然趨勢，在企業(yè)信息化過(guò)程中，通過(guò)大量采用信息化技術(shù)改進(jìn)和強化了企業(yè)物資流、資金流等信息的管理，對企業(yè)固有的經(jīng)營(yíng)思想和管理模式產(chǎn)生了強烈的沖擊，帶來(lái)了根本性的變革。信息技術(shù)與企業(yè)管理技術(shù)的發(fā)展與融合，使企業(yè)競爭戰略不斷創(chuàng )新，企業(yè)競爭力不斷提高。電子商務(wù)是在企業(yè)信息化大潮下采用數字化方式，利用計算機網(wǎng)絡(luò )進(jìn)行商務(wù)數據交換，全面實(shí)現在線(xiàn)交易電子化的過(guò)程，是企業(yè)開(kāi)展商業(yè)活動(dòng)的新形式。企業(yè)電子商務(wù)平臺不僅是相關(guān)企業(yè)宣傳產(chǎn)品、銷(xiāo)售產(chǎn)品、進(jìn)行售后服務(wù)的窗口，也是樹(shù)立企業(yè)形象的前沿。
通常企業(yè)電子商務(wù)系統會(huì )涉及到參與商務(wù)活動(dòng)的各方(買(mǎi)家、服務(wù)商、供貨商、銀行和認證中心(CA))，一個(gè)完善的電子商務(wù)系統應當包括那些部分，目前還沒(méi)有權威的論述。從企業(yè)電子商務(wù)實(shí)踐來(lái)看，企業(yè)電子商務(wù)系統的系統架構是三層結構的：最底層是計算機網(wǎng)絡(luò )平臺，這一層是電子商務(wù)過(guò)程中的信息傳送的載體和用戶(hù)接入企業(yè)電子商務(wù)平臺的途徑;中間是電子商務(wù)基礎平臺，包括CA 認證，支付網(wǎng)關(guān)和會(huì )員服務(wù)中心等內容，這一層主要用于保障網(wǎng)絡(luò )交易的有效性和安全性;第三層是以電子商務(wù)平臺為基礎的各種各樣的電子商務(wù)應用系統。
由于電子商務(wù)系統基于開(kāi)放式的Internet平臺，而Internet用戶(hù)數量巨大，各種各樣的人都有，這使得網(wǎng)上交易面臨著(zhù)種種危險，因此，電子商務(wù)發(fā)展的核心和關(guān)鍵問(wèn)題是交易的安全性問(wèn)題。電子商務(wù)的安全問(wèn)題，總的來(lái)說(shuō)分為二部分：一是網(wǎng)絡(luò )安全，二是商務(wù)安全。
計算機網(wǎng)絡(luò )安全主要包括：計算機網(wǎng)絡(luò )設備安全、計算機網(wǎng)絡(luò )系統安全、數據庫安全等方面，其特征是針對計算機網(wǎng)絡(luò )本身可能存在的安全問(wèn)題，實(shí)施網(wǎng)絡(luò )安全增強方案，以保證計算機網(wǎng)絡(luò )自身的安全性為目標，目前針對計算機網(wǎng)絡(luò )安全的防護技術(shù)主要有數據加密技術(shù)、身份識別和驗證技術(shù)、防火墻技術(shù)、虛擬專(zhuān)用網(wǎng)絡(luò )技術(shù)、網(wǎng)絡(luò )安全掃描技術(shù)和網(wǎng)絡(luò )攻擊檢測技術(shù)等技術(shù)。由于對計算機網(wǎng)絡(luò )安全的研究已經(jīng)比較深入了，其安全保障技術(shù)也比較成熟，這里就不多加討論了。
商務(wù)安全則緊緊圍繞傳統商務(wù)在Internet上應用時(shí)產(chǎn)生的各種安全問(wèn)題，在計算機網(wǎng)絡(luò )安全的基礎上，如何保障電子商務(wù)過(guò)程的順利進(jìn)行，即實(shí)現電子商務(wù)的保密性(在電子商務(wù)系統交易過(guò)程中的商務(wù)信息均有保密的要求。如信用卡的賬號和用戶(hù)名被人知悉，就可能被盜用，訂貨和付款的信息被競爭對手獲悉，就可能喪失商機)、完整性和一致性(電子交易的過(guò)程是一個(gè)完整的過(guò)程，期間產(chǎn)生的信息是不能被修改的必需保證其一致性)、身份的真實(shí)性和不可偽裝性(網(wǎng)上交易的雙方很可能素昧平生，相隔千里。要使交易成功首先要能確認對方的身份，對商家要考慮 客戶(hù)端不能是騙子，而客戶(hù)也會(huì )擔心網(wǎng)上的商店不是一個(gè)玩弄欺詐的黑店。因此能方便而可靠地確認對方身份是交易的前提。對于為顧客或用戶(hù)開(kāi)展服務(wù)的銀行、信用卡公司和銷(xiāo)售商店，為了做到安全、保密、可靠地開(kāi)展服務(wù)活動(dòng)，都要進(jìn)行身份認證的工作。)及不可抵賴(lài)性(由于商情的千變萬(wàn)化，交易一旦達成是不能被否認的，否則必然會(huì )損害一方的利益。)。
目前，電子商務(wù)交易過(guò)程中的商務(wù)安全性主要是通過(guò)CA認證來(lái)實(shí)現的，下面我們對電子商務(wù)過(guò)程中與CA認證有關(guān)的內容進(jìn)行具體介紹。
一、CA
數字證書(shū)認證中心(Certficate Authority ：CA)就是一個(gè)負責發(fā)放和管理數字安全證書(shū)的權威機構。對于一個(gè)大型的應用環(huán)境，認證中心往往采用一種多層次的分級結構，各級的認證中心類(lèi)似于各級行政機關(guān)，上級認證中心負責簽發(fā)和管理下級認證中心的證書(shū)，最下一級的認證中心直接面向最終用戶(hù)。認證中心主要有以下幾種功能：證書(shū)的頒發(fā) ;證書(shū)的更新 ;證書(shū)的查詢(xún) ;證書(shū)的作廢;證書(shū)的歸檔 。
二、PKI
公鑰基礎設施PKI(Public Key Infrastructure)，是一種遵循既定標準的密鑰管理平臺,它能夠為所有網(wǎng)絡(luò )應用提供加密和數字簽名等密碼服務(wù)及所必需的密鑰和證書(shū)管理體系，簡(jiǎn)單來(lái)說(shuō)，PKI就是利用公鑰理論和技術(shù)建立的提供安全服務(wù)的基礎設施。PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎技術(shù)。
PKI采用非對稱(chēng)的加密算法，即由原文加密成密文的密鑰不同于由密文解密為原文的密鑰，以避免第三方獲取密鑰后將密文解密。
PKI的基礎技術(shù)包括加密、數字簽名、數據完整性機制、數字信封、雙重數字簽名等。
完整的PKI系統必須具有權威認證機構(CA)、數字證書(shū)庫、密鑰備份及恢復系統、證書(shū)作廢系統、應用接口(API)等基本構成部分，構建PKI也將圍繞著(zhù)這五大系統來(lái)著(zhù)手構建。
三、數字安全證書(shū)
數字安全證書(shū)就是標志網(wǎng)絡(luò )用戶(hù)身份信息的一系列數據，用來(lái)在網(wǎng)絡(luò )通訊中識別通訊各方的身份。數字安全證書(shū)是由權威公正的第三方機構即CA中心簽發(fā)的，以數字安全證書(shū)為核心的加密技術(shù)可以對網(wǎng)絡(luò )上傳輸的信息進(jìn)行加密和解密、數字簽名和簽名驗證，確保網(wǎng)上傳遞信息的機密性、完整性，以及交易實(shí)體身份的真實(shí)性，簽名信息的不可否認性，從而保障網(wǎng)絡(luò )應用的安全性。
數字安全證書(shū)采用公鑰密碼體制，即利用一對互相匹配的密鑰進(jìn)行加密、解密。每個(gè)用戶(hù)擁有一把僅為本人所掌握的私有密鑰(私鑰)，用它進(jìn)行解密和簽名;同時(shí)擁有一把公共密鑰(公鑰)并可以對外公開(kāi)，用于加密和驗證簽名。當發(fā)送一份保密文件時(shí)，發(fā)送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣，信息就可以安全無(wú)誤地到達目的地了，即使被第三方截獲，由于沒(méi)有相應的私鑰，也無(wú)法進(jìn)行解密。通過(guò)數字的手段保證加密過(guò)程是一個(gè)不可逆過(guò)程，即只有用私有密鑰才能解密。
在公開(kāi)密鑰密碼體制中，常用的一種是RSA 體制。其數學(xué)原理是將一個(gè)大數分解成兩個(gè)質(zhì)數的乘積，加密和解密用的是兩個(gè)不同的密鑰。即使已知明文、密文和加密密鑰(公開(kāi)密鑰)，想要推導出解密密鑰(私密密鑰)，在計算上是不可能的。按現在的計算機技術(shù)水平，要破解目前采用的1024位RSA密鑰，需要上千年的計算時(shí)間。
公開(kāi)密鑰技術(shù)解決了密鑰發(fā)布的管理問(wèn)題，商戶(hù)可以公開(kāi)其公開(kāi)密鑰，而保留其私有密鑰。購物者可以用人人皆知的公開(kāi)密鑰對發(fā)送的信息進(jìn)行加密，安全地傳送給商戶(hù)，然后由商戶(hù)用自己的私有密鑰進(jìn)行解密。
用戶(hù)也可以采用自己的私鑰對信息加以處理，由于密鑰僅為本人所有，這樣就產(chǎn)生了別人無(wú)法生成的文件，也就形成了數字簽名。采用數字簽名，能夠確認以下兩點(diǎn)：
1.保證信息是由簽名者自己簽名發(fā)送的，簽名者不能否認或難以否認;
2.保證信息自簽發(fā)后到收到為止未曾作過(guò)任何修改，簽發(fā)的文件是真實(shí)文件。
數字安全證書(shū)的格式一般采用X.509國際標準。它包含了以下幾點(diǎn)：數字安全證書(shū)擁有者的名稱(chēng)、數字安全證書(shū)擁有者的公共密鑰、公共密鑰的有效期、頒發(fā)數字安全證書(shū)的單位、數字安全證書(shū)的序列號，頒發(fā)數字安全證書(shū)單位的數字簽名等內容。
數字安全證書(shū)根據應用領(lǐng)域的不同一般有：個(gè)人數字安全證書(shū)、機構數字安全證書(shū)、個(gè)人簽名安全證書(shū)、機構簽名安全證書(shū)、設備安全數字證書(shū)等幾種類(lèi)型。
個(gè)人數字安全證書(shū)中包含個(gè)人身份信息和個(gè)人的公鑰，用于標識證書(shū)持有人的個(gè)人身份。數字安全證書(shū)和對應的私鑰存儲于ikey或IC卡中，用于個(gè)人在網(wǎng)上進(jìn)行合同簽定、定單、錄入審核、操作權限、支付信息等活動(dòng)中標明身份。
機構數字安全證書(shū)中包含企業(yè)信息和企業(yè)的公鑰，用于標識證書(shū)持有企業(yè)的身份。數字安全證書(shū)和對應的私鑰存儲于Keynet卡中，可以用于企業(yè)在電子商務(wù)方面的對外活動(dòng)，如合同簽定、網(wǎng)上證券交易、交易致富信息等方面。
個(gè)人簽名證書(shū)中包含個(gè)人身份信息和個(gè)人的簽名私鑰，用于標識證書(shū)持有人的個(gè)人身份。簽名私鑰存儲于Keynet卡中，用于個(gè)人在網(wǎng)上進(jìn)行合同簽定、定單、錄入審核、操作權限、支付信息等活動(dòng)中標明身份。
機構簽名證書(shū)中包含企業(yè)信息和企業(yè)的簽名私鑰，用于標識證書(shū)持有企業(yè)的身份。簽名私鑰存儲于Keynet卡中，可以用于企業(yè)在電子商務(wù)方面的對外活動(dòng)，如合同簽定、網(wǎng)上證券交易、交易致富信息等方面。
設備數字安全證書(shū)中包含服務(wù)器信息和服務(wù)器的公鑰，用于標識證書(shū)持有服務(wù)器的身份。數字安全證書(shū)和對應的私鑰存儲于Keynet卡中，用于表征該服務(wù)器的身份。主要用于網(wǎng)站交易服務(wù)器，目的是保證客戶(hù)和服務(wù)。
數字安全證書(shū)由用戶(hù)向相關(guān)的CA機構提供相應資料(不同類(lèi)型的證書(shū)所需提交的資料是不一樣的)進(jìn)行申請并交納一定費用，然后CA對用戶(hù)提供資料進(jìn)行審核，審核通過(guò)后由CA向用戶(hù)頒發(fā)數字安全證書(shū)，并對數字安全證書(shū)進(jìn)行管理。
數字安全證書(shū)可用于：發(fā)送安全電子郵件、訪(fǎng)問(wèn)安全站點(diǎn)、網(wǎng)上證券、網(wǎng)上招標采購、網(wǎng)上簽約、網(wǎng)上辦公、網(wǎng)上繳費、網(wǎng)上稅務(wù)等網(wǎng)上安全電子事務(wù)處理和安全電子交易活動(dòng)。
四、小結
由于利用Internet作為商務(wù)平臺的電子商務(wù)系統可以提供網(wǎng)上電子交易，使得客戶(hù)能夠極其方便的獲得企業(yè)和其產(chǎn)品的信息，并進(jìn)行網(wǎng)上交易，降低了交易成本、提高了交易效率，但同時(shí)也增加了對某些敏感或有價(jià)值的數據被濫用的風(fēng)險。電子商務(wù)系統必須保障在Internet上進(jìn)行的一切金融交易運作都是安全可靠的，只有這樣才能夠使顧客、商家和企業(yè)等交易各方對電子商務(wù)系統具有絕對的信心，也只有這樣電子商務(wù)系統才能進(jìn)一步發(fā)展。因此，安全性在整個(gè)電子商務(wù)系統占據十分重要的地位。
目前，電子商務(wù)系統的安全體系結構是主要是通過(guò)構建認證中心(CA)證書(shū)的信任過(guò)程來(lái)實(shí)現的。
在電子商務(wù)應用中主要有以下五個(gè)交易參與方：買(mǎi)家、服務(wù)商、供貨商、銀行和認證中心(CA)。電子商務(wù)的交易流程主要有以下三個(gè)階段：
第一階段：認證中心(CA)證書(shū)的注冊申請。交易各方通過(guò)認證中心(CA)獲取各自的數字安全證書(shū)。
第二階段：銀行的支付中心對買(mǎi)家的數字安全證書(shū)進(jìn)行驗證，通過(guò)驗證后，將買(mǎi)家的所付款凍結在銀行中。此時(shí)服務(wù)商和供應商也相互進(jìn)行數字安全證書(shū)的驗證，通過(guò)驗證后，可以履行交易內容進(jìn)行發(fā)貨。
第三階段：銀行驗證服務(wù)商和供貨商的數字安全證書(shū)后，將買(mǎi)家凍結在銀行中的貨款轉到服務(wù)商和供貨商的戶(hù)頭上，完成了此項電子交易。
由于參與交易的各方都持有認證中心(CA)所頒發(fā)的數字安全證書(shū)，所以，能夠保證在交易的過(guò)程中參與各方的真實(shí)身份、防止他人假冒;也能夠保證交易信息的保密性、不可否認性和不可修改性。
參考文獻：
[1]石志國等編:計算機網(wǎng)絡(luò )安全.清華大學(xué)出版社出版,2007年1月
[2]張福德編:電子商務(wù)網(wǎng)絡(luò )市場(chǎng).機械工業(yè)出版社,2001年8月
[3]祝凌曦編:電子商務(wù)安全.北方交通大學(xué)出版社,2006年11月
[4]鄧順國編:電子商務(wù)概論.清華大學(xué)出版社，北京交通大學(xué)出版社,2005年3月
[5]鄧順國編:電子商務(wù)戰略概念與案例.東北財大出版社,2006年01月
【試論電子商務(wù)系統中的ＣＡ認證】相關(guān)文章：
試論人力資源管理系統應用中遇到的問(wèn)題及對策11-16
試論制藥企業(yè)GMP認證后設備管理11-28
試論電力系統的電壓調整12-03
試論網(wǎng)絡(luò )多媒體教學(xué)的系統結構11-15
試論電子檔案管理系統操作11-18
試論翻譯中的風(fēng)格再現03-27
試論電子商務(wù)售后服務(wù)問(wèn)題11-17
試論電子商務(wù)理念在數字檔案館服務(wù)中的理論與實(shí)踐11-17
- 相關(guān)推薦