關(guān)于電子商務(wù)中的身份認(rèn)證技術(shù)之探討

成都理工大學(xué)工程技術(shù)學(xué)院 惠宏偉 張穎

隨著社會(huì)的不斷進(jìn)步和發(fā)展，目前以電子技術(shù)為核心的虛擬網(wǎng)絡(luò)貿(mào)易變得越來(lái)越流行，并且也不斷地得到社會(huì)各個(gè)階層人士的認(rèn)可。然而在電子商務(wù)的發(fā)展過程中，卻不可避免地存在著身份認(rèn)證的問題，并且這一問題也成為目前電子商務(wù)發(fā)展過程中最難解決和最亟待解決的問題。

1 電子商務(wù)概述及其發(fā)展過程中存在的問題

1.1 電子商務(wù)概述

電子商務(wù)指的是將電子技術(shù)作為核心技術(shù)，改變?cè)械娜伺c人之間的直接交易方式，使其打破已有的國(guó)家之間以及地區(qū)之間的障礙和壁壘，讓生產(chǎn)成為全球化、一體化、網(wǎng)絡(luò)化的存在方式。簡(jiǎn)單地說(shuō)，電子商務(wù)就是通過低成本運(yùn)作的方式，使買賣雙方通過電子運(yùn)作實(shí)現(xiàn)快捷的商業(yè)貿(mào)易活動(dòng)。

電子商務(wù)最顯著的特征就是以計(jì)算機(jī)網(wǎng)絡(luò)為平臺(tái)和基礎(chǔ)，在法律允許和規(guī)定的范圍內(nèi)進(jìn)行商務(wù)活動(dòng)。

隨著電子商務(wù)的不斷發(fā)展，其在整個(gè)運(yùn)作過程中所面臨的安全問題是最大問題，而在很多情況下，電子商務(wù)的安全性問題都是通過身份認(rèn)證技術(shù)得到解決的。因此，隨著電子商務(wù)的不斷推進(jìn)，對(duì)其身份認(rèn)證技術(shù)的要求也越來(lái)越高，越來(lái)越深入。

1.2 電子商務(wù)發(fā)展中亟需解決的問題

在電子商務(wù)的整個(gè)運(yùn)行過程，從買方挑選商品到商品交易的整個(gè)完成都是通過電子數(shù)據(jù)的方式顯示交易信息，并進(jìn)行買賣雙方的交易信息互換。也就是說(shuō)，在傳統(tǒng)商業(yè)貿(mào)易往來(lái)中的所有關(guān)于信息交換因素、資金流動(dòng)因素還有產(chǎn)品的輸送以及最后的售后都是依靠網(wǎng)絡(luò)平臺(tái)實(shí)現(xiàn)的，因而，建立有效的支付平臺(tái)、身份認(rèn)證系統(tǒng)以及快速便捷的物流系統(tǒng)都直接制約著電子商務(wù)的發(fā)展。當(dāng)然這也是對(duì)于電子商務(wù)平穩(wěn)發(fā)展起著決定性的三個(gè)關(guān)鍵性因素。

在以上所列舉的這些制約性因素中，身份認(rèn)證是保證電子商務(wù)交易進(jìn)行的最為基礎(chǔ)性的一項(xiàng)技術(shù)，因?yàn)橹挥型晟频纳矸菡J(rèn)證技術(shù)系統(tǒng)才能真正最終保證電子商務(wù)能夠順利的操作和完成。身份認(rèn)證技術(shù)的存在可以有效地保證交易雙方信息資料的完整性、機(jī)密性和可控性。

2 電子商務(wù)中身份認(rèn)證的發(fā)展及其主要技術(shù)部門

2.1 電子商務(wù)中身份認(rèn)證的發(fā)展

在Internet上，也像人類的交流一樣需要身份的認(rèn)定與識(shí)別，網(wǎng)絡(luò)交易中的安全護(hù)照和身份證明的標(biāo)志就是數(shù)字證書。數(shù)字證書的功能就是提供在網(wǎng)絡(luò)上進(jìn)行交易的雙方身份的證明。所謂數(shù)字證書主要是指一種公開密鑰文件，這個(gè)密鑰文件是通過數(shù)字授權(quán)中心授權(quán)的。

電子商務(wù)是通過Internet實(shí)現(xiàn)簡(jiǎn)單而又快捷的一種交易方式，其安全性的保證主要是通過一系列的加密手段來(lái)實(shí)現(xiàn)和保證的，當(dāng)然安全性的體現(xiàn)必然需要運(yùn)用到數(shù)字證書的幫助識(shí)別身份，而數(shù)字證書的認(rèn)證中心是CA技術(shù)。

CA體系技術(shù)是certificate authority的縮寫，是數(shù)字證書認(rèn)證的中心樞紐，這種技術(shù)主要的工作原理是通過第三方的身份驗(yàn)證來(lái)實(shí)現(xiàn)對(duì)其身份的認(rèn)證，這樣的服務(wù)性中心，其主要的就是對(duì)貿(mào)易雙方在申請(qǐng)以及受理還有簽發(fā)、核對(duì)信息以及取消數(shù)字證書的一種管理。認(rèn)證中心的操作主要是通過GPS來(lái)實(shí)現(xiàn)這一系列操作認(rèn)證程序的。CA技術(shù)在電子商務(wù)中具有著非常重要的作用，它能夠通過其特殊的數(shù)字驗(yàn)證功能檢查無(wú)論是買家還是賣家雙方所在網(wǎng)絡(luò)交易中的合法身份驗(yàn)證，并對(duì)持有證書的合法者簽發(fā)證書，這樣的措施可以及時(shí)防止和遏制一些惡意篡改想要進(jìn)行不法商業(yè)行為和商業(yè)詐騙行為。

電子商務(wù)的不斷發(fā)展對(duì)網(wǎng)絡(luò)安全也不斷提出新的、更高的要求。正是因?yàn)殡娮由虅?wù)才不斷地推進(jìn)互聯(lián)網(wǎng)交易環(huán)境的建設(shè)，當(dāng)然，在對(duì)其交易環(huán)境的創(chuàng)造中，也為企業(yè)帶來(lái)了意想不到的商業(yè)利潤(rùn)。我國(guó)在1999年成立了中國(guó)電信CA安全認(rèn)證系統(tǒng)，這是我國(guó)的第一家CA認(rèn)證中心，到2006年6月，中國(guó)金融認(rèn)證中心正式掛牌，這標(biāo)志著中國(guó)正式開始了有關(guān)CA的認(rèn)證工作。此后，CA認(rèn)證行業(yè)不斷擴(kuò)展壯大。2004年還頒發(fā)了《中國(guó)人民共和國(guó)電子簽名法》，這就使得電子商務(wù)交易中的身份認(rèn)證技術(shù)有了更加嚴(yán)密的法律規(guī)范，使其操作更加具有規(guī)范性。

2.2 CA體系技術(shù)主要技術(shù)部門

CA體系技術(shù)的政策批準(zhǔn)機(jī)構(gòu)是PAA，其主要職能是創(chuàng)建各種PKI方針，并且為下屬PCA(是對(duì)PAA政策的一個(gè)具體化的部門)發(fā)放公鑰證書，為PKI創(chuàng)建各種形式的安全策略，并對(duì)PCA的各種活動(dòng)行為進(jìn)行監(jiān)控。在連接多個(gè)PKI信任域的時(shí)候，橋證書BCA是核心，它是各個(gè)信任域之間的一座橋梁，幫助不同區(qū)域的CA發(fā)放證書，并且建立起交叉信任證書策略，形成信任域策略與橋CA證書策略的一一映射關(guān)系。

CA體系技術(shù)的審核授權(quán)部門為RA，即Registry Authority 的縮寫，RA是作為CA認(rèn)證技術(shù)體系的一部分而存在的，它具有著以下的功能：對(duì)證書申請(qǐng)、下載以及審批，其可以為整個(gè)的系統(tǒng)提供認(rèn)證服務(wù)。

CA體系技術(shù)的證書操作部門是CP，即Certificate Processor的縮寫，作為CA體系技術(shù)的一個(gè)部分，它的存在主要是為已經(jīng)獲得授權(quán)申請(qǐng)的讀者服務(wù)的，它承擔(dān)在操作運(yùn)營(yíng)過程中將可能會(huì)產(chǎn)生的一切后果，當(dāng)然也包括對(duì)已申請(qǐng)但卻失密者發(fā)放證書。

CA體系技術(shù)的公鑰基礎(chǔ)設(shè)施是PKI，即Public Key Infrastructure 的縮寫。PKI主要是為所有的電子商務(wù)用戶提供諸如數(shù)字簽名以及加密服務(wù)的職能部門，它在操作和功能實(shí)施過程中一般是按照既定的密鑰管理。簡(jiǎn)單地說(shuō)，PKI就是提供安全服務(wù)的基礎(chǔ)設(shè)施。當(dāng)然它在整個(gè)體系中是信息安全技術(shù)的核心，是電子商務(wù)的基礎(chǔ)性和關(guān)鍵性技術(shù)。PKI的基礎(chǔ)技術(shù)主要包括以下的形式：其分別為加密、數(shù)字簽名以及數(shù)字信封還有雙重?cái)?shù)字等等。

2.3 CA體系主要基礎(chǔ)技術(shù)

2.3.1 數(shù)字信封

數(shù)字信封技術(shù)并不是一種單純的技術(shù)類型，而是結(jié)合了公開密鑰技術(shù)以及秘密密鑰技術(shù)的優(yōu)點(diǎn)綜合而形成的一種新的技術(shù)，它能夠有效的解決在秘密密鑰過程中出現(xiàn)的秘密密鑰在發(fā)放過程中出現(xiàn)的分發(fā)困難的問題，也可以避免公開密鑰加密耗時(shí)長(zhǎng)的問題。當(dāng)將二者進(jìn)行結(jié)合時(shí)，其就可以有效的發(fā)揮其綜合高效性能，有效的保證信息的安全可靠性能。數(shù)字信封技術(shù)在幫助實(shí)現(xiàn)身份認(rèn)證的時(shí)候，主要是分為以下的步驟：首先，當(dāng)發(fā)信方需要建信息發(fā)送時(shí)，就在此時(shí)先生成一個(gè)與之相對(duì)稱的密鑰，然后就用這個(gè)對(duì)稱密鑰通過加密的方式來(lái)發(fā)送報(bào)文；第二步，發(fā)信方通過收信方的公鑰對(duì)在第一步驟生成的對(duì)稱密鑰進(jìn)行加密，并生成數(shù)字信封；第三步，將剛才生成的數(shù)字信封以及發(fā)送報(bào)文結(jié)構(gòu)都傳輸給收信方；第四步是當(dāng)收信方收到信封，通過自己的私鑰對(duì)其密碼進(jìn)行解密，最后得到所傳輸?shù)囊呀?jīng)被加密的密鑰，隨后就是通過對(duì)稱密鑰對(duì)其報(bào)文進(jìn)行有效解讀，最終得到發(fā)信方所發(fā)送的信息。

數(shù)字信封技術(shù)是公開密鑰和對(duì)稱密鑰的雙重解讀中獲得真正所傳達(dá)信息的，在使用公開密鑰加密技術(shù)的時(shí)候，其本身因?yàn)楣_所具有的技術(shù)上的靈活性可以得到有效的發(fā)揮，而對(duì)稱密鑰的相對(duì)短小的特征，又使得其能夠在極短的時(shí)間內(nèi)將信息得到輸送和解讀。并且這種技術(shù)要求，在每次對(duì)信息的輸送中，都采用不同的對(duì)稱密鑰，因而這就在很大程度上增加了系統(tǒng)的安全性能。

2.3.2 數(shù)字簽名

數(shù)字簽名技術(shù)的使用主要是一方面保證其信息在傳輸過程中其完整度，另一方面又為信息接收者提供發(fā)送者的身份認(rèn)證。在數(shù)字簽名技術(shù)中具有簽名密鑰和私鑰。前者是用來(lái)驗(yàn)證密鑰合法性的，具有公開性，因而也成為公開密鑰；后者是用來(lái)保持秘密的，它具有著某種保證秘密的功能。在數(shù)字簽名技術(shù)中，其主要的實(shí)施過程以及步驟如下：首先，信息發(fā)送者先必須使用一定的算法對(duì)其所發(fā)送的信息組織成信息摘要，并且發(fā)送者在此時(shí)使用私鑰對(duì)其所寫信息摘要進(jìn)行簽名；其次，信息發(fā)送者將已經(jīng)簽名的信息摘要發(fā)送；第三，當(dāng)任何一個(gè)與信息發(fā)送者使用相同散列函數(shù)的接受者都可以將其還原為摘要信息，接受者將其接收到的信息在通過使用公鑰對(duì)其進(jìn)行驗(yàn)證，以實(shí)現(xiàn)確認(rèn)發(fā)送者身份以及查看信息是否在傳送過程中是否被更改過。

數(shù)字簽名是電子商務(wù)時(shí)代用來(lái)溝通信息并且保證信息真實(shí)有效性的最可行手段，是在傳統(tǒng)簽名基礎(chǔ)上延伸和發(fā)展而形成的。因此，從這個(gè)意義上來(lái)說(shuō)，數(shù)字簽名技術(shù)本身具有著某種書面的、原始的法律規(guī)范性。但是由于數(shù)字簽名本身具有的特征使其并不能像書面簽名一樣，而具有著局限性。

2.3.3 雙重?cái)?shù)字簽名

雙重?cái)?shù)字簽名技術(shù)主要是實(shí)現(xiàn)買家、商家以及銀行三方之間的一個(gè)信息有效傳輸?shù)募夹g(shù)，它的使用可以保證信息傳輸過程中其信息的完整性以及身份認(rèn)證的可靠性，并且有效地防止在交易中出現(xiàn)的抵賴情形發(fā)生。具體來(lái)說(shuō)，在一次貿(mào)易中，當(dāng)買家購(gòu)買商品后，他需要給商家發(fā)送相關(guān)的購(gòu)買信息以及付款信息(買家的付款賬戶在銀行)，但是買家并不希望商家可以直接通過信息看到付款賬戶的相關(guān)信息，同時(shí)，買家也不愿意讓銀行看到相關(guān)的購(gòu)買記錄信息，這樣的情形下，就可以借助雙重?cái)?shù)字簽名技術(shù)最終實(shí)現(xiàn)和完成上述的要求。雙重?cái)?shù)字簽名技術(shù)其主要的步驟包括：第一步，買家分別發(fā)送信息給賣家和銀行，并分別生成信息摘要1和信息摘要2，將其完成之后，買家再將信息1和信息2和在一起，并且生成信息摘要3，并在此時(shí)使用私鑰對(duì)信息摘要3進(jìn)行加密；第二步，買家將信息摘要1、信息摘要2和信息摘要3都同時(shí)發(fā)給賣家和銀行，賣家不能看到信息摘要2，而銀行則不能看到信息摘要1；第三步驟，當(dāng)賣家收到信息后，則將信息1生成相應(yīng)的信息摘要，并將其與信息摘要2合起來(lái)，然后生成新的信息摘要，這是在使用公鑰對(duì)信息摘要3進(jìn)行清明驗(yàn)證，通過此種形式來(lái)驗(yàn)證信息在傳送過程中是否被更改以及信息傳送者的身份。當(dāng)銀行接收到信息后，也采用同樣的方法。

3 電子商務(wù)身份認(rèn)證技術(shù)CA體系的發(fā)展趨勢(shì)

電子商務(wù)的發(fā)展不可避免地為身份認(rèn)證技術(shù)CA體系的發(fā)展提供了更為廣闊的發(fā)展空間和發(fā)展市場(chǎng)。隨著我國(guó)加入世貿(mào)組織，國(guó)內(nèi)外的經(jīng)濟(jì)都發(fā)展越來(lái)越迅速，而其交叉發(fā)展的程度也日益加深，當(dāng)相互融合到一定程度時(shí)，只有電子商務(wù)的貿(mào)易形式可以使用國(guó)際化的需求，當(dāng)然也必定在這其中需要CA體系的發(fā)展和支持。因而，我國(guó)電子商務(wù)CA體系的發(fā)展會(huì)呈現(xiàn)出以下的幾方面特征。

3.1 國(guó)際化走向

隨著我國(guó)經(jīng)濟(jì)的不斷快速發(fā)展以及我國(guó)加入世貿(mào)組織，我國(guó)的經(jīng)濟(jì)發(fā)展與世界經(jīng)濟(jì)發(fā)展的緊密程度也越來(lái)越深入，我國(guó)在電子商務(wù)發(fā)展中就不能不考慮到國(guó)際用戶，因而電子商務(wù)必然要走國(guó)家胡發(fā)展的道路。這也就必然使其CA體系的發(fā)展呈現(xiàn)交叉發(fā)展趨向：國(guó)內(nèi)CA體系技術(shù)與國(guó)外CA體系技術(shù)的交叉發(fā)展。

3.2 商業(yè)化走向

網(wǎng)絡(luò)是虛擬的世界，因而并不容易建立起一個(gè)可信任的交易平臺(tái)、作為CA體系技術(shù)，其不同于法律具有制約性，也不同于政府的管理具有強(qiáng)制性，而是更具有某種契約的性質(zhì)特征。這種特征的存在是使用商業(yè)化運(yùn)作模式的。因而，CA體系技術(shù)也必然的走向商業(yè)化運(yùn)作發(fā)展方向。

[1] 高建化.電子商務(wù)技術(shù)分析與研究[J].計(jì)算機(jī)與數(shù)字工程,2007(2).

[2] 謝紅燕.電子商務(wù)的安全問題及對(duì)策研究[J].哈爾濱商業(yè)大學(xué)學(xué)報(bào)(自然科學(xué)版),2007(6).