[摘要] 針對電子商務存在的資訊保安問題,文章提出了一種利用對稱加密和非對稱加密相結合的加密機制來確保資訊保安。文章首先介紹了電子商務常見的安全隱患,接著介紹了公鑰基礎設施-PKI以及兩種加密體制,最後重點探討了確保電子商務資訊機密性和完整性解決方案,從而為電子商務的資訊保安提供了理論基礎。
[關鍵詞] 電子商務資訊保安PKI機制
最近幾年,電子商務以其便利快捷的特點迅速發展起來,但是安全問題一直是阻礙其發展的關鍵因素。雖然資訊保安技術的研究和應用為網際網路絡安全提供了必要的基礎設施,但是電子商務資訊的機密性和完整性仍然是迫切需要解決的問題,本文就是針對這一問題展開了深入研究並提出瞭解決方法。
一、電子商務中的資訊保安問題
1.截獲資訊。未加密的資料資訊在網路上以明文形式傳送,入侵者在資料包經過的閘道器或路由器上可以截獲傳送的資訊。
2.篡改資訊。當入侵者掌握了資訊的格式和規律後,通過各種技術手段和方法,將網路上傳送的資訊資料在中途修改,然後再發向目的地,從而導致部分資訊與原始資訊不一致。
3.偽造資訊。攻擊者冒充合法使用者傳送假冒的資訊或者主動獲取資訊,而遠端使用者通常很難分辨。
4.中斷資訊。攻擊者利用IP欺騙,偽造虛假TCP報文,中斷正常的TCP連線,從而造成資訊中斷。
二、PKI及其加密體制
電子商務的資訊保安在很大程度上依賴於技術的完善,這些技術包括:密碼技術、鑑別技術、訪問控制技術、資訊流控制技術、資料保護技術、軟體保護技術、病毒檢測及清除技術、內容分類識別和過濾技術、網路隱患掃描技術、系統安全監測報警與審計技術等。其中密碼技術和鑑別技術是重中之重,PKI及其加密體制是實現這兩種技術的載體。
的定義和功能。PKI是對公鑰所表示的信任關係進行管理的一種機制,它為Internet使用者和應用程式提供公鑰加密和數字簽名服務, PKI的功能主要包括:公鑰加密、證書釋出、證書確認、證書撤銷。
2.對稱密碼體制。對稱密碼體制的基本特點是解密演算法就是加密演算法的逆運算,加祕金鑰就是解祕金鑰。在對稱密碼系統中傳送者和接收者之間的金鑰必須安全傳送,而雙方實體通訊所用的祕金鑰也必須妥善保管。常見的對稱加密演算法包括DES、三重DES和IDEA等。
3.非對稱密碼體制。非對稱密碼體制也稱公鑰密碼體制。非對稱密碼體制的基本特點是存在一個公鑰/私鑰對,用私鑰加密的資訊只能用對應的公鑰解密,用公鑰加密的資訊只能用對應的私鑰解密。著名的非對稱加密演算法是RSA。RSA使用的一個金鑰對是由兩個大素數經過運算產生的結果:其中一個是公鑰,為眾多實體所知;另外一個是私鑰,為了確保他的保密性和完整性,必須嚴格控制並只有他的所有者才能使用。RSA加密演算法的最基本特徵就是用金鑰對中的一個金鑰加密的訊息只能用另外一個解密,這也就體現了RSA系統的非對稱性。
RSA的數字簽名過程如下:s=md mod n,其中m是訊息,s是數字簽名的結果,d和n是訊息傳送者的私鑰。
訊息的解密過程如下:m=se mod n,其中e和n是傳送者的公鑰。
4.數字簽名。數字簽名通常使用RSA演算法。RSA的數字簽名是其加密的相反方式,即由一個實體用它的私鑰將明文加密而生成的。這種加密允許一個實體向多個實體傳送訊息,並且事先不需交換祕金鑰或加密私鑰,接收者用傳送者的公鑰就可以解密。
5.雜湊(Hash)函式。MD5與SHA1都屬於HASH函式標準演算法中兩大重要演算法,就是把一個任意長度的資訊經過複雜的運算變成一個固定長度的數值或者資訊串,主要用於證明原文的完整性和準確性,是為電子檔案加密的重要工具。一般來說,對於給出的一個檔案要算它的Hash碼很容易,但要從Hash碼找出相應的檔案演算法卻很難。Hash函式最根本的特點是這種變換具有單向性,一旦資料被轉換,就無法再以確定的方法獲得其原始值,從而無法控制變換得到的結果,達到防止資訊被篡改的目的。由於Hash函式的這種不可逆特性,使其非常適合被用來確定原文的完整性,從而被廣泛用於數字簽名。
三、對稱和非對稱加密體制相結合的應用模型
將對稱和非對稱加密體制相結合,能夠確保電子商務資訊的完整性和機密性。下面是具體的應用模型。
假設Alice和Bob擁有各自的一個公鑰/私鑰對,由共同信任的第三方頒發的'數字證書以及一個對稱祕金鑰。現在Alice欲傳送訊息給Bob,並且要求確保資料的完整性,即訊息內容不能發生變動;同時Alice和Bob都希望確保資訊的機密性,即不容許除雙方之外的其他實體能夠察看該訊息。
加密過程:Alice按照雙方約定的規則格式化訊息,然後用Hash函式取得該訊息的雜湊值,該值將被用來測試訊息的合法性和完整性。接著Alice用私鑰對訊息和雜湊值進行簽名。這一簽名確保了訊息的完整性,因為Bob認為只有Alice能夠生成該簽名,這是由於只有Alice能夠使用自己的私鑰為該訊息簽名。但這僅僅保證了訊息的完整性,而沒有確保其機密性。為此,Alice必須向Bob提供它用來給訊息加密的對稱祕金鑰,以使得Bob能夠用其解密被Alice加密過的訊息。Alice用Bob的公鑰將自己的對稱祕金鑰簽名(加密),這樣就形成了一個數字信箋,並且只有Bob才能將其開啟(解密),因為只有Bob能夠訪問用來開啟該數字信箋的私鑰。這樣就為Alice向Bob傳輸對稱祕金鑰提供了機密性。
四、結束語
文章利用公鑰加密體制確保了電子商務資訊的完整性,利用對稱加密體制實現對較長資訊的加密,並保證了資訊的機密性。文章的理論研究和實現方法,對於保障電子商務活動中訊息的完整性和機密性具有重要的指導意義。電子商務資訊保安需要不斷地檢查、評估和調整相應的安全策略。沒有一勞永逸的安全,也沒有一蹴而就的安全。