一種電子商務(wù)信息安全保障機制論文
[摘要] 針對電子商務(wù)存在的信息安全問題,文章提出了一種利用對稱加密和非對稱加密相結(jié)合的加密機制來確保信息安全。文章首先介紹了電子商務(wù)常見的安全隱患,接著介紹了公鑰基礎(chǔ)設(shè)施-PKI以及兩種加密體制,最后重點探討了確保電子商務(wù)信息機密性和完整性解決方案,從而為電子商務(wù)的信息安全提供了理論基礎(chǔ)。
[關(guān)鍵詞] 電子商務(wù)信息安全PKI機制
最近幾年,電子商務(wù)以其便利快捷的特點迅速發(fā)展起來,但是安全問題一直是阻礙其發(fā)展的關(guān)鍵因素。雖然信息安全技術(shù)的研究和應(yīng)用為互聯(lián)網(wǎng)絡(luò)安全提供了必要的基礎(chǔ)設(shè)施,但是電子商務(wù)信息的機密性和完整性仍然是迫切需要解決的問題,本文就是針對這一問題展開了深入研究并提出了解決方法。
一、電子商務(wù)中的信息安全問題
1.截獲信息。未加密的數(shù)據(jù)信息在網(wǎng)絡(luò)上以明文形式傳送,入侵者在數(shù)據(jù)包經(jīng)過的網(wǎng)關(guān)或路由器上可以截獲傳送的信息。
2.篡改信息。當入侵者掌握了信息的格式和規(guī)律后,通過各種技術(shù)手段和方法,將網(wǎng)絡(luò)上傳送的信息數(shù)據(jù)在中途修改,然后再發(fā)向目的地,從而導(dǎo)致部分信息與原始信息不一致。
3.偽造信息。攻擊者冒充合法用戶發(fā)送假冒的信息或者主動獲取信息,而遠端用戶通常很難分辨。
4.中斷信息。攻擊者利用IP欺騙,偽造虛假TCP報文,中斷正常的TCP連接,從而造成信息中斷。
二、PKI及其加密體制
電子商務(wù)的信息安全在很大程度上依賴于技術(shù)的完善,這些技術(shù)包括:密碼技術(shù)、鑒別技術(shù)、訪問控制技術(shù)、信息流控制技術(shù)、數(shù)據(jù)保護技術(shù)、軟件保護技術(shù)、病毒檢測及清除技術(shù)、內(nèi)容分類識別和過濾技術(shù)、網(wǎng)絡(luò)隱患掃描技術(shù)、系統(tǒng)安全監(jiān)測報警與審計技術(shù)等。其中密碼技術(shù)和鑒別技術(shù)是重中之重,PKI及其加密體制是實現(xiàn)這兩種技術(shù)的載體。
1.PKI的定義和功能。PKI是對公鑰所表示的信任關(guān)系進行管理的一種機制,它為Internet用戶和應(yīng)用程序提供公鑰加密和數(shù)字簽名服務(wù), PKI的功能主要包括:公鑰加密、證書發(fā)布、證書確認、證書撤銷。
2.對稱密碼體制。對稱密碼體制的基本特點是解密算法就是加密算法的逆運算,加秘密鑰就是解秘密鑰。在對稱密碼系統(tǒng)中發(fā)送者和接收者之間的密鑰必須安全傳送,而雙方實體通信所用的秘密鑰也必須妥善保管。常見的對稱加密算法包括DES、三重DES和IDEA等。
3.非對稱密碼體制。非對稱密碼體制也稱公鑰密碼體制。非對稱密碼體制的基本特點是存在一個公鑰/私鑰對,用私鑰加密的信息只能用對應(yīng)的公鑰解密,用公鑰加密的信息只能用對應(yīng)的私鑰解密。著名的非對稱加密算法是RSA。RSA使用的一個密鑰對是由兩個大素數(shù)經(jīng)過運算產(chǎn)生的結(jié)果:其中一個是公鑰,為眾多實體所知;另外一個是私鑰,為了確保他的保密性和完整性,必須嚴格控制并只有他的所有者才能使用。RSA加密算法的最基本特征就是用密鑰對中的一個密鑰加密的消息只能用另外一個解密,這也就體現(xiàn)了RSA系統(tǒng)的非對稱性。
RSA的數(shù)字簽名過程如下:s=md mod n,其中m是消息,s是數(shù)字簽名的結(jié)果,d和n是消息發(fā)送者的私鑰。
消息的解密過程如下:m=se mod n,其中e和n是發(fā)送者的公鑰。
4.數(shù)字簽名。數(shù)字簽名通常使用RSA算法。RSA的數(shù)字簽名是其加密的相反方式,即由一個實體用它的私鑰將明文加密而生成的。這種加密允許一個實體向多個實體發(fā)送消息,并且事先不需交換秘密鑰或加密私鑰,接收者用發(fā)送者的公鑰就可以解密。
5.散列(Hash)函數(shù)。MD5與SHA1都屬于HASH函數(shù)標準算法中兩大重要算法,就是把一個任意長度的信息經(jīng)過復(fù)雜的運算變成一個固定長度的數(shù)值或者信息串,主要用于證明原文的完整性和準確性,是為電子文件加密的重要工具。一般來說,對于給出的一個文件要算它的Hash碼很容易,但要從Hash碼找出相應(yīng)的文件算法卻很難。Hash函數(shù)最根本的特點是這種變換具有單向性,一旦數(shù)據(jù)被轉(zhuǎn)換,就無法再以確定的方法獲得其原始值,從而無法控制變換得到的結(jié)果,達到防止信息被篡改的目的。由于Hash函數(shù)的這種不可逆特性,使其非常適合被用來確定原文的完整性,從而被廣泛用于數(shù)字簽名。
三、對稱和非對稱加密體制相結(jié)合的應(yīng)用模型
將對稱和非對稱加密體制相結(jié)合,能夠確保電子商務(wù)信息的完整性和機密性。下面是具體的應(yīng)用模型。
假設(shè)Alice和Bob擁有各自的一個公鑰/私鑰對,由共同信任的第三方頒發(fā)的'數(shù)字證書以及一個對稱秘密鑰�，F(xiàn)在Alice欲發(fā)送消息給Bob,并且要求確保數(shù)據(jù)的完整性,即消息內(nèi)容不能發(fā)生變動;同時Alice和Bob都希望確保信息的機密性,即不容許除雙方之外的其他實體能夠察看該消息。
加密過程:Alice按照雙方約定的規(guī)則格式化消息,然后用Hash函數(shù)取得該消息的哈希值,該值將被用來測試消息的合法性和完整性。接著Alice用私鑰對消息和散列值進行簽名。這一簽名確保了消息的完整性,因為Bob認為只有Alice能夠生成該簽名,這是由于只有Alice能夠使用自己的私鑰為該消息簽名。但這僅僅保證了消息的完整性,而沒有確保其機密性。為此,Alice必須向Bob提供它用來給消息加密的對稱秘密鑰,以使得Bob能夠用其解密被Alice加密過的消息。Alice用Bob的公鑰將自己的對稱秘密鑰簽名(加密),這樣就形成了一個數(shù)字信箋,并且只有Bob才能將其打開(解密),因為只有Bob能夠訪問用來打開該數(shù)字信箋的私鑰。這樣就為Alice向Bob傳輸對稱秘密鑰提供了機密性。
四、結(jié)束語
文章利用公鑰加密體制確保了電子商務(wù)信息的完整性,利用對稱加密體制實現(xiàn)對較長信息的加密,并保證了信息的機密性。文章的理論研究和實現(xiàn)方法,對于保障電子商務(wù)活動中消息的完整性和機密性具有重要的指導(dǎo)意義。電子商務(wù)信息安全需要不斷地檢查、評估和調(diào)整相應(yīng)的安全策略。沒有一勞永逸的安全,也沒有一蹴而就的安全。
【一種電子商務(wù)信息安全保障機制論文】相關(guān)文章：
3.電子商務(wù)信息安全技術(shù)應(yīng)用知識