电子商务毕业论文--信息安全技术在电子商务中的应用

电子商务毕业论文--信息安全技术在电子商务中的应用内容摘要：

钥对，并将公共密钥及部分个人身份信息传送给认证中心。 认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。 见图 5310 用户就可以使用自己的数字证书进行相关的各种活动。 数字证书由独立的证书发行机构发布。 数字证书各不相同，每种证书可提供不同级别的可信度。 可以从证书发行机构获得您自己的数字证书。 图 数字证书颁发过程图示 的工作原理 数字证书里存有很多数字和英文，当使用数字证书进行身份认证时，它将随机生成 128 位的身份码，每份数字证书都能生成相应但每次都不可能相同的数码，从而保证数据传输的保密性，即相当于生成一个复杂的密码。 数字证书绑定了公钥及其持有者的真实身份，它类似于现实生活中的居民身份证，所不同的是数字证书不再是纸质的证照，而是一段含有证书持有者身份信息并经过认证中心审核签发的电子数据，可以更加方便灵活地运用在电子商 务和电子政务中。 9 的分类 基于数字证书的应用角度分类，数字证书可以分为以下几种： （一） 服务器证书 服务器证书被安装于服务器设备上，用来证明服务器的身份和进行通信加密。 服务器证书可以用来防止假冒站点。 在服务器上安装服务器证书后，客户端浏览器可以与服务器证书建立 SSL连接，在 SSL 连接上传输的任何数据都会被加密。 同时，浏览器会自动验证服务器证书是否有效，验证所访问的站点是否是假冒站点，服务器证书保护的站点多被用来进行密码登录、订单处理、 网上银行 交易等。 全球知名的服务器证书品牌有 verisign.， Thawte， geotrust 等。 SSL 证书 主要用于服务器 (应用 )的数据传输链路加密和身份认证，绑定网站域名，不同的产品对于不同价值的数据和要求不同的身份认证。 超真 SSL 和超快 SSL 在颁发时间上已经没有什么区别， 主要区别在于：超快 SSL 只验证域名所有权，证书中不显示单位名称；而超真 SSL 需要验证域名所有权、营业执照和第三方数据库验证，证书中显示单位名称。 （二） 电子邮件证书 电子邮件证书 可以用来证明电子邮件发件人的真实性。 它并不证明数字证书上面 CN 一项所标识的证书所有者姓名的真实性，它只证明邮件地址的真实性。 收到具有有效 电子签名 的电子邮件，我们除了能相信邮件确实由指定邮箱发出外，还可以确信该邮件从被发出后没有被篡改过。 另外，使用接收的邮件证书，我们还可以向接收方发送加密邮件。 该加密邮件可以在非安全网络传输，只有接收方的持有者才可能打开该邮件。 （三） 客户端个人证书 客户端证书主要被用来进行身份验证和电子签名。 安全的客户端证书我被存储于专用的 usbkey 中。 存储于 key 中的证书不能被导出或复制，且 key 使用时需要输入 key 的保护密码。 使用 该证书需要物理上获得其存储介质 usbkey，且需要知道 key 的保护密码，这也被称为双因子认证。 这种认证手段是目前在 inter 最安全的身份认证手段之一。 key 的种类有 10 多种，指纹识别、第三键确认，语音报读，以及带显示屏的专用 usbkey 和普通usbkey 等。 的格式 目前数字证书的格式普遍采用的是 V3 国际标准，内容包括证书序列号、证书持有者名 称、证书颁发者名称、证书有效期、公钥、证书颁发者的数字签名等 . 认证中心（ Certificate Authority， 简称 CA），为安全电子交易中之重要单位，为一公正、公开的代理组织，接受持卡人和特约商店的申请，会同发卡及收单银行核对其申请资料是否一致，并负责 电子证书 之发放、管理及取消等事宜。 是在线交易的监督者和担保人。 主要进行电子证书管理、电子贸易伙伴关系 建立和确认、密钥管理、为支付系统中的各参与方提供身份认证等。 CA 类似于现实生活中公证人的角色，具有权威性，是一个普遍可信的第三方。 各地 CA 认证机构有：宁夏 CA | 河南 CA | 陕西 CA | 福建 CA | 江苏 CA | 安徽 CA| 山西 CA |广西 CA | 天津 CA |辽宁 CA |江西 CA |四川 CA |河北 CA |湖南 CA 的申请和使用方法 一般来讲，用户要携带有关证件到各地的证书受理点，或者直接到证书发放机构即 CA 中心 填写申请表并进行身份审核，审核通过后交纳一定费用就可以得到装有证书的相关介质（磁盘或 Key）和一个写有密码口令的密码信封。 用户在进行需要使用证书的网上操作时，必须准备好装有证书的存储介质。 如果用户是在自己的计算机上进行操作，操作前必须先安装 CA 根证书。 一般所访问的系统如果需要使用数字证书会自动弹出提示框要求 安装根证书，用户直接选择确认即可；当然也可以直接登陆 CA 中心的网站，下载安装根证书。 操作时，一般系统会自动提示用户出示数字证书或者插入证书介质（ IC 卡或 11 Key），用户插入证书介质后系统将要求用户输入密码口令，此时用户需要输入申请证书时获得的密码信封中的密码，密码验证正确后系统将自动调用数字证书进行相关操作。 使用后，用户应记住取出证书介质，并妥善保管。 当然，根据不同系统数字证书会有不同的使用方式，但系统一般会有明确提示，用户使用起来都较为方便。 下图为中国建设银行网上银行证书签约流程和证书下载过程： 图 建设银行数字证书下载图示 12 第三章 电子商务信息安全协议 安 全 套 接 层 协 议 （ Secure Sockets Layer ， SSL ）是由Netscape Communication 公司 1994 年设计开发的，主要用于提高应用程序之间的数据的安全系数。 SSL 协议的整个概念可以被总结为：一个保证任何安装了安全套接层的客户和服务器之间事务安全的协议，该协议向基于 TCP/IP 的客户 /服务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。 SSL 安全协议主要提供三 方面的服务。 一是用户和服务器的合法性保证，使得用户与服务器能够确信数据将被发送到正确的客户机和服务器上。 客户机与服务器都有各自的识别号，由公开密钥编排。 为了验证用户，安全套接层协议要求在握手交换数据中作数字认证，以此来确保用户的合法性；二是加密数据以隐藏被传递的数据。 安全套接层协议采用的加密技术既有对称密钥，也有公开密钥，在客户机和服务器交换数据之前，先交换 SSL 初始握手信息。 在 SSL 握手信息中采用了各种加密技术，以保证其机密性与数据的完整性，并且经数字证书鉴别；三是维护数据的完整性。 安全套接层协议采用 Hash 函数和机密共享的方法来提供完整的信息服务，建立客户机与服务器之间的安全通道，使所有经过安全套接层协议处理的业务能全部准确无误地到达目的地。 1996 年 2 月 1 日， master card 和 visa 国际信用卡组织，与技术合作伙伴gte、 scape、 ibm、 terisa systems、 verisign、 microsoft、 saic 等信息产业的一批跨国公司共同开发了安全电子交易规范（ set）， set 是在开放网络环境中的卡支付安全协议，它采用公钥密码体制（ pki）和 x． 509 电子证 书标准，通过相应软件、电子证书、数字签名和加密技术能在电子交易环节上提供更大的信任度、更完整的交易信息，更高的安全性和更少受欺诈的可能性， set 协议用以支持 btoc（ business to consumer）这种类型的电子商务模式，即消费者持卡在网上购物与交易的模式。 13 安全电子交易公告（ SET： Secure Electronic Transactions）是为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。 SET 在保留对客户信用卡认证的前提下，又增加了对商家身份的认证。 SET 已成为全球 网络的工业标准。 SET 安全协议的主要对象包括：消费者（包括个人和团体），按照在线商店的要求填写定货单，用发卡银行的信用卡付款；在线商店，提供商品或服务，具备使用相应电子货币的条件；收单银行，通过支付网关处理消费者与在线商店之间的交易付款；电子货币发行公司以及某些兼有电子货币发行的银行。 负责处理智能卡的审核和支付；认证中心，负责确认交易对方的身份和信誉度，以及对消费者的支付手段认证。 SET 协议规范的技术范围包括：加密算法的应用，证书信息与对象格式，购买信息和对象格式，认可信息与对象格式。 SET 协议要达到 五个目标：保证电子商务参与者信息的相应隔离；保证信息在互联网上安全传输，防止数据被黑客或被内部人员窃取；解决多方认证问题；保证网上交易的实时性，使所有的支付过程都是在线的；效仿 BDZ 贸易的形式，规范协议和消息格式，促使不同厂家开发的软件具有兼容性与交互操作功能，并且可以运行在不同的硬件和操作系统平台上。 下图为 b to c 模式电子商务网络示意图 ： 图 b to c 模式电子商务网络示意图 （ SHTTP） 依靠密钥的加密，保证 Web 站点间的交换信息传输的安全性。 SHTTP 对 HTTP 14 的安全性进行了扩充，增加了报文的安全性，是基于 SSL 技术的。 该协议向互联网的应用提供完整性、可鉴别性、不可抵赖性及机密。