淺談基于ＣＡ認(rèn)證的電子商務(wù)安全

[摘 要] 安全是實現(xiàn)電子商務(wù)的關(guān)鍵問題之一，CA認(rèn)證是保證電子商務(wù)安全的重要手段。本文分析了CA認(rèn)證的功能及電子商務(wù)與CA認(rèn)證的結(jié)合應(yīng)用，闡述了我國CA的發(fā)展現(xiàn)狀，指出其未來的發(fā)展方向。

[關(guān)鍵詞] 電子商務(wù) CA認(rèn)證 安全

電子商務(wù)正以不可逆轉(zhuǎn)之勢席卷全球的各行各業(yè)，但世界各地面臨著一個共同的障礙——電子商務(wù)的安全問題，目前全球公認(rèn)的的解決方案是公鑰基礎(chǔ)設(shè)施(Pubic Key Infrastructure，PKI)。PKI是一種構(gòu)建于非對稱密鑰算法基礎(chǔ)上，利用公鑰加密技術(shù)為電子商務(wù)的開展提供一套安全基礎(chǔ)平臺的技術(shù)和規(guī)范，CA安全認(rèn)證是PKI體系的核心技術(shù)。

一、CA的主要功能

由于網(wǎng)上交易的人們不可能都互相認(rèn)識，為了確保交易的順利進(jìn)行，必須建立并維持一種令人可以信任的環(huán)境和機(jī)制。CA是即Certification Authority的縮寫，稱為數(shù)字證書認(rèn)證中心。CA中心作為電子交易中受信任的第三方，負(fù)責(zé)為電子商務(wù)環(huán)境中各個實體頒發(fā)數(shù)字證書，以證明各實體身份的真實性，并負(fù)責(zé)在交易中檢驗和管理證書。

數(shù)字證書認(rèn)證中心是整個網(wǎng)上電子交易安全的關(guān)鍵環(huán)節(jié)，是電子交易中信賴的基礎(chǔ)。他必須是所有合法注冊用戶所信賴的具有權(quán)威性、信賴性及公正性的第三方機(jī)構(gòu)。電子商務(wù)CA先行，沒有一個足夠穩(wěn)固、健全的CA，一切網(wǎng)上的交易都沒有安全保障。

二、電子商務(wù)與CA的結(jié)合應(yīng)用

1.安全登錄。安全登錄方式是指基于數(shù)字證書的用戶身份自動識別方式，這種方式采用新型的用戶登錄及身份確認(rèn)技術(shù)，解決密碼登錄方式煩瑣、不安全的弊端。這種登錄方式在各種WEB應(yīng)用中的實現(xiàn)非常簡便。安全登錄依靠系統(tǒng)的特點(diǎn)，如自動登錄、提供信息交換過程的安全保障、有效防止他人冒充登錄、防止用戶抵賴等，能夠很方便地擴(kuò)充到辦公自動化系統(tǒng)、網(wǎng)上招標(biāo)系統(tǒng)等各種應(yīng)用系統(tǒng)中。

2.安全WEB站點(diǎn)。安全WEB站點(diǎn)的應(yīng)用結(jié)合了SSL協(xié)議和數(shù)字證書。SSL協(xié)議允許在瀏覽器和服務(wù)器之間進(jìn)行加密通信，同時服務(wù)器端和瀏覽器端分別由可信的第三方CA認(rèn)證中心頒發(fā)數(shù)字證書，這樣在交易時，雙方可以通過數(shù)字證書確認(rèn)對方的身份。

3.安全電子郵件。由于網(wǎng)絡(luò)的開放性，一封普通的郵件很容易受到網(wǎng)絡(luò)黑客的攻擊，安全電子郵件利用數(shù)字證書可以實現(xiàn)對郵件加密、確認(rèn)發(fā)件人的身份、保證郵件在傳輸過程中不能被人修改、保證已發(fā)送郵件的不可否認(rèn)性。

4.安全VPN（Virtual Private Networks）。利用安裝在VPN的路由器、防火墻等網(wǎng)絡(luò)設(shè)備上數(shù)字證書，在VPN的數(shù)據(jù)傳輸中解決認(rèn)證、機(jī)密、完整、不可否認(rèn)等難題，同時為用戶的活動提供了審計機(jī)制。

5.安全電子交易(SET）。SET是在開放網(wǎng)絡(luò)環(huán)境中的卡支付安全協(xié)議，它采用公鑰密碼體制和X.509數(shù)字證書標(biāo)準(zhǔn)，通過相應(yīng)軟件、數(shù)字證書、數(shù)字簽名和加密技術(shù)在電子交易環(huán)節(jié)上提供更大的信任度、更完整的交易信息、更高的安全性和更少受欺詐的可能性。在一個基于SET的交易中，需要由權(quán)威性的CA為網(wǎng)上交易活動的各個主體頒發(fā)證書，在交易時還需逐級往上地驗證證書的真?zhèn)巍?/p>

6.無線網(wǎng)絡(luò)的應(yīng)用。安全性在無線網(wǎng)絡(luò)中比在有線網(wǎng)絡(luò)中更重要，用戶只有在確認(rèn)自己不會被欺騙后才會放心的去使用各種無線網(wǎng)絡(luò)的服務(wù)，這其中最重要的就是要鑒別通信雙方的身份。WAP協(xié)議是目前無線網(wǎng)絡(luò)中主要的通信協(xié)議，依靠數(shù)字證書來實現(xiàn)的身份鑒別在客戶端和WAP應(yīng)用提供商之間進(jìn)行。

三、我國CA現(xiàn)狀及發(fā)展方向

自2005年《電子簽名法》頒布以來，目前國內(nèi)的CA認(rèn)證中心主要分為區(qū)域性CA和行業(yè)性CA。截止2006年底，我國獲準(zhǔn)從事電子認(rèn)證服務(wù)的機(jī)構(gòu)已經(jīng)有22家，遍布全國17個省市，廣泛地應(yīng)用到包括網(wǎng)上稅務(wù)、電子報關(guān)等領(lǐng)域。行業(yè)性CA有金融認(rèn)證中心的CFCA、中國電信的CTCA等，區(qū)域性CA主要由各市或各省CA中心構(gòu)成。

CA的概念已經(jīng)深入到我國電子商務(wù)發(fā)展的各個層面，但還遠(yuǎn)遠(yuǎn)不夠，主要表現(xiàn)在：

1.數(shù)字證書的應(yīng)用仍需進(jìn)一步推廣。CA在各行業(yè)中的應(yīng)用水平還可以大大提高，能量還遠(yuǎn)沒有釋放出來，相當(dāng)多的人對CA還不是很了解，應(yīng)加大對民眾的宣傳教育，提高人們的安全意識和使用數(shù)字證書意識。

2.逐步建立有序的CA互通格局。CA認(rèn)證在國際范圍內(nèi)的交叉認(rèn)證、統(tǒng)一和標(biāo)準(zhǔn)化是大勢所趨，隨著我國電子商務(wù)的深入發(fā)展，數(shù)字證書跨區(qū)域、跨認(rèn)證機(jī)構(gòu)進(jìn)行交叉認(rèn)證的需求會越來越迫切。但目前認(rèn)證服務(wù)都或多或少面臨區(qū)域和行業(yè)條塊分割的難題，應(yīng)加強(qiáng)政府部門之間的協(xié)調(diào)合作，推動重點(diǎn)行業(yè)和重點(diǎn)領(lǐng)域電子認(rèn)證服務(wù)應(yīng)用；逐步打破行業(yè)壟斷和地域分割，推動形成統(tǒng)一、規(guī)范有序的大市場；引導(dǎo)CA機(jī)構(gòu)設(shè)計合理的業(yè)務(wù)合作模式，通過兩兩互認(rèn)、幾家互認(rèn)的方式，逐步推進(jìn)互信互認(rèn)的實現(xiàn)。

3.自建CA提供第三方服務(wù)須依法規(guī)范。一些有龐大用戶需求的企業(yè)開發(fā)了自己的數(shù)字證書在內(nèi)部使用，自建CA只要是面對社會公眾提供第三方服務(wù)，一定要以《電子簽名法》來規(guī)范。

四、結(jié)束語

在電子商務(wù)蓬勃發(fā)展的今天，保證商務(wù)活動過程中的安全性是實現(xiàn)電子商務(wù)的關(guān)鍵，CA體系的建立是保證電子商務(wù)安全的重要環(huán)節(jié)。針對認(rèn)證系統(tǒng)建設(shè)中出現(xiàn)的問題，政府部門應(yīng)加以引導(dǎo)，促使中國的CA體系有序漸進(jìn)的向一個更加理性、更切實際的方向發(fā)展。

參考文獻(xiàn):

[1]劉 睿 郭 名:論電子商務(wù)CA認(rèn)證服務(wù)在我國的發(fā)展[J]. 現(xiàn)代商業(yè)，2007，(14)

[2]徐 兵:電子商務(wù)CA認(rèn)證系統(tǒng)方案研究[J].微計算機(jī)信息， 2006，(18)

[3]方美琪:電子商務(wù)概論(第二版）[M].北京:清華大學(xué)出版社，2002