論數(shù)字證書有效保障電子商務(wù)交易主體的真實身份

黃蕾

[摘 要]電子商務(wù)是一種新型的商業(yè)運營模式。電子商務(wù)不但改變著傳統(tǒng)商業(yè)交易模式，也改變著人們的交易習(xí)慣和思維方式。同時，也提出了一個十分嚴(yán)峻的問題，即如何保障電子商務(wù)環(huán)境下，交易主體的身份是否真實。將基于公鑰理論的數(shù)字證書技術(shù)運用到電子商務(wù)中，確認(rèn)電子商務(wù)參與者真實身份，保證交易安全。

[關(guān)鍵詞]電子商務(wù) 加 解密技術(shù) 數(shù)字證書

我國電子商務(wù)的發(fā)展迅速，越來越多的人參與到電子商務(wù)活動中，目前電子商務(wù)已經(jīng)成為一項重要的商務(wù)形式，給人們的生產(chǎn)生活帶來了極大的便利，與此同時電子商務(wù)也伴隨著各種新問題的出現(xiàn)。

電子商務(wù)系統(tǒng)是一個以信息技術(shù)為平臺的網(wǎng)絡(luò)商品交易系統(tǒng)。因為繼承了互聯(lián)網(wǎng)的特性，電子商務(wù)的交易是不謀面的交易。它不像傳統(tǒng)的商品交易系統(tǒng)買賣雙方一手交錢一手交貨、面對面進(jìn)行交易，而是通過計算機網(wǎng)絡(luò)采用遠(yuǎn)程、異地方式進(jìn)行商品交易。這樣的交易模式，交易主體都面臨著不同的安全威脅，身份認(rèn)證又是電子商務(wù)安全的第一道防線，所以保障電子商務(wù)交易主體安全是電子商務(wù)正常進(jìn)行的重要保證。

一、電子商務(wù)交易主體安全

在電子商務(wù)系統(tǒng)交易過程中參加交易的主體主要有商戶、顧客、銀行、物流公司、身份認(rèn)證機構(gòu)。在進(jìn)行的每一個交易步驟都需要在相關(guān)兩個地處不同地區(qū)的交易主體之間，通過計算機遠(yuǎn)程通訊的方式完成信息的交換與確認(rèn)。同時為了保證每一個交易步驟、交易主體及交易內(nèi)容都是真實、完整、有效的，必須對交易主體的身份進(jìn)行認(rèn)證，同時對交易中主體之間交換的數(shù)字單據(jù)進(jìn)行驗證。

在傳統(tǒng)的商品交易過程中，交易主體的身份證明可以是：公安機關(guān)頒發(fā)的個人身份證明—居民身份證，工商管理局頒發(fā)的企業(yè)資格證明—營業(yè)執(zhí)照。然而在電子商務(wù)環(huán)境下的交易過程，傳統(tǒng)的身份證、營業(yè)執(zhí)照等身份、資質(zhì)證明資料已無法確認(rèn)交易主體的真實身份。因為所有與商品交易有關(guān)的單據(jù)都是數(shù)字單據(jù)，在交易過程中無法確認(rèn)交易主體的真實身份。為了實現(xiàn)對交易主體的身份進(jìn)行有效確認(rèn)，將基于公鑰理論的數(shù)字證書技術(shù)運用到電子商務(wù)中，確認(rèn)電子商務(wù)參與者真實身份，保證交易安全。

二、數(shù)字證書原理

1.數(shù)字證書的定義

數(shù)字證書也叫數(shù)字標(biāo)識，是一種應(yīng)用廣泛的信息安全技術(shù)，一般由權(quán)威公正的第三方機構(gòu)即CA認(rèn)證中心簽發(fā)，主要用于網(wǎng)上安全交往的身份認(rèn)證，通俗地講，數(shù)字證書就是個人或單位在網(wǎng)絡(luò)上的身份證。數(shù)字證書以密碼學(xué)為基礎(chǔ)，采用公鑰體制原理在Internet上建立安全有效的信任機制。

2.數(shù)字證書工作原理

（1）公鑰密碼體制。數(shù)字證書采用公鑰密碼體制，即利用一對互相匹配的密鑰進(jìn)行加密、解密。公鑰密碼體制分為三個部分，公鑰、私鑰、加密解密算法，它的加密解密過程如下：

加密：通過加密算法和公鑰對明文進(jìn)行加密，得到密文。加密過程需要用到公鑰。

解密：通過解密算法和私鑰對密文進(jìn)行解密，得到明文。解密過程需要用到解密算法和私鑰。注意，由公鑰加密的內(nèi)容，只能由私鑰進(jìn)行解密，也就是說，由公鑰加密的內(nèi)容，如果不知道私鑰，是無法解密的。

公鑰密碼體制的公鑰和算法都是公開的，私鑰是保密的。大家都可以使用公鑰進(jìn)行加密，但是只有私鑰的持有者才能解密。在實際的使用中，申請者會得到生成一對公鑰和私鑰，把公鑰發(fā)布出去給別人使用，自己保留私鑰。

（2）數(shù)字證書原理。每個持有數(shù)字證書的用戶自己有一把特定的僅為本人所知的私有密鑰（私鑰），用它進(jìn)行解密和簽名；同時有一把公共密鑰（公鑰）并由本人公開，為一組用戶所共享，用于加密和驗證簽名。通過數(shù)字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。

在公鑰密碼體制中，其數(shù)學(xué)原理是將一個大數(shù)分解成兩個質(zhì)數(shù)的乘積，加密和解密用的是兩個不同的密鑰。即使已知明文、密文和加密密鑰（公開密鑰），想要推導(dǎo)出解密密鑰（私密密鑰），在計算上是不可能的。按現(xiàn)在的計算機技術(shù)水平，要破解目前采用的1024位密鑰，需要上千年的計算時間。公開密鑰技術(shù)解決了密鑰發(fā)布的管理問題，商戶可以公開其公開密鑰，而保留其私有密鑰。電子商務(wù)交易主體可以用人人皆知的公開密鑰對發(fā)送的信息進(jìn)行加密，安全地傳送給商戶，然后由商戶用自己的私有密鑰進(jìn)行解密。

（3）數(shù)字證書的應(yīng)用。①數(shù)據(jù)加密。數(shù)字證書技術(shù)利用一對互相匹配的密鑰進(jìn)行加密、解密。當(dāng)你申請證書的時候，會得到一把私鑰和一把公鑰。其中公鑰可以發(fā)給他人使用，而私鑰你應(yīng)該保管好、不能泄露給其他人，否則別人將能用它以你的名義使用。

當(dāng)你向朋友發(fā)送一份保密文件時，需要使用對方的公鑰對數(shù)據(jù)加密，朋友收到文件后，則使用自己的私鑰解密，如果對方?jīng)]有私鑰，就不能解密文件，從而保證數(shù)據(jù)的安全保密性。這種加密是不可逆的，即使你已知明文、密文和公鑰，也無法推導(dǎo)出私鑰。

②數(shù)字簽名。利用數(shù)字證書也可以對文件進(jìn)行數(shù)字簽名，用戶采用自己的私鑰對信息加以處理，即用你的私鑰對數(shù)據(jù)進(jìn)行加密處理。由于密鑰僅為本人所有，這樣就產(chǎn)生了別人無法生成的文件，也就形成了數(shù)字簽名。由于私鑰僅為你一個人擁有、別人是無法仿造的，因此經(jīng)過你簽名的文件一定是你自己簽名發(fā)送的。數(shù)據(jù)接收方則利用對方的公鑰來解密收到的數(shù)字簽名，以確認(rèn)簽名的合法性。數(shù)字簽名技術(shù)是在網(wǎng)絡(luò)系統(tǒng)虛擬環(huán)境中確認(rèn)身份的重要技術(shù)，完全可以代替現(xiàn)實過程中的“親筆簽字”，在技術(shù)和法律上有保證。在數(shù)字簽名應(yīng)用中，發(fā)送者的公鑰可以很方便地得到，但他的私鑰則需要嚴(yán)格保密。

（4）數(shù)字證書的類型。①從證書的使用者來看，數(shù)字證書可分為個人數(shù)字證書、機構(gòu)數(shù)字證書和設(shè)備數(shù)字證書。 a.個人數(shù)字證書：證書中包含個人身份信息和個人的公開密鑰，用于標(biāo)識證書持有人的個人身份。 b.機構(gòu)數(shù)字證書：證書中包含企業(yè)信息和企業(yè)的公開密鑰，用于標(biāo)識證書持有企業(yè)的身份。 c.設(shè)備數(shù)字證書：證書中包含服務(wù)器信息和服務(wù)器的公開密鑰，用于標(biāo)識證書持有服務(wù)器的身份。從證書的用途來看，數(shù)字證書可分為簽名證書和加密證書。②簽名證書：主要用于對用戶信息進(jìn)行簽名，以保證信息的不可否認(rèn)性。③加密證書：主要用于對用戶傳送的信息進(jìn)行加密，以保證信息的真實性和完整性。

（5）數(shù)字證書的意義。數(shù)字證書是一種權(quán)威性的電子文檔，它提供了一種在互聯(lián)網(wǎng)上驗證身份的方式。數(shù)字證書在網(wǎng)絡(luò)上類似于人在社會上持有的身份證等證件，用來在網(wǎng)絡(luò)上證明數(shù)字證書持有者的身份。數(shù)字證書持有者可能是現(xiàn)實社會中的自然人、法人，也可能是網(wǎng)絡(luò)設(shè)備。數(shù)字證書可以簡單理解為“網(wǎng)絡(luò)身份證”，用來在網(wǎng)絡(luò)上證明自己的身份。在數(shù)字證書認(rèn)證的過程中，證書認(rèn)證中心（CA）作為權(quán)威的、公正的、可信賴的第三方，其作用是至關(guān)重要的。

由于Internet網(wǎng)電子商務(wù)系統(tǒng)技術(shù)使在網(wǎng)上購物的顧客能夠極其方便輕松地獲得商家和企業(yè)的信息，但同時也增加了對某些敏感或有價值的數(shù)據(jù)被濫用的風(fēng)險。為了保證互聯(lián)網(wǎng)上電子交易及支付的安全性，保密性等，防范交易及支付過程中的欺詐行為，必須在網(wǎng)上建立一種信任機制。這就要求參加電子商務(wù)的買方和賣方都必須擁有合法的身份，并且在網(wǎng)上能夠有效無誤的被進(jìn)行驗證。

三、數(shù)字證書保障電子商務(wù)交易主體的真實身份

在商品交易過程中，明示身份的目的是向?qū)Ψ奖砻髯约旱恼鎸嵣矸荩绻灰椎囊环綗o法查明另外一方的身份，或者另外一方使用虛假身份，這樣就很容易產(chǎn)生交易糾紛。

電子商務(wù)系統(tǒng)的交易步驟首先是顧客登錄商戶的網(wǎng)站，在網(wǎng)站上選購商品，在決定購買選中的商品后，向商戶提交訂購單，在該步驟中，需要進(jìn)行數(shù)字身份認(rèn)證的主體有商戶與顧客。商戶網(wǎng)站首先要向顧客展示自己的真實“數(shù)字身份”，用于顧客對商戶的合法經(jīng)營身份進(jìn)行確認(rèn)，從而防止顧客登錄非法網(wǎng)站。另外顧客同時也要向商戶網(wǎng)站展示自己的“身份”，應(yīng)該采用“數(shù)字身份”的方式登錄網(wǎng)站，對提交的訂單進(jìn)行數(shù)字簽名后發(fā)送給商戶。

1.數(shù)字證書保證網(wǎng)站身份

網(wǎng)站可以通過申請服務(wù)器數(shù)字證書，作為網(wǎng)站唯一的電子身份標(biāo)識來確認(rèn)網(wǎng)站身份，讓所有訪問網(wǎng)站的顧客都能確定網(wǎng)站是真實可靠的。服務(wù)器數(shù)字證書，證書中包含服務(wù)器信息和服務(wù)器的公鑰，在網(wǎng)絡(luò)通訊中用于標(biāo)識和驗證服務(wù)器的身份。數(shù)字安全證書和對應(yīng)的私鑰存儲于 E-key 中，服務(wù)器軟件利用證書機制保證與其他服務(wù)器或客戶端通信時雙方身份的真實性、安全性、可信任度。

2.數(shù)字證書保證顧客網(wǎng)上登錄身份

采用數(shù)字證書校驗登錄的方式登錄網(wǎng)站，網(wǎng)站建立數(shù)字證書登錄平臺，顧客為自己申請數(shù)字證書后，將數(shù)字證書安裝在自己的電腦上，并將該數(shù)字證書與顧客賬號進(jìn)行綁定。在顧客登錄網(wǎng)站時，系統(tǒng)將讀取顧客的數(shù)字證書，由于數(shù)字證書私鑰的唯一性，只有持有者本人才能通過數(shù)字證書登錄網(wǎng)站，而在未安裝數(shù)字證書的電腦上或非數(shù)字證書本人，該顧客將不能登錄平臺。

目前，阿里巴巴網(wǎng)站是我國最先進(jìn)的B2B電子商務(wù)網(wǎng)上貿(mào)易平臺，但是在平臺上交易的買賣雙方虛假身份問題任然存在。如果能把阿里巴巴網(wǎng)站建設(shè)成為我國第一個可用數(shù)字證書進(jìn)行電子商務(wù)活動的操作平臺，不僅可使阿里巴巴公司受益，更重要的是能為我國電子商務(wù)的發(fā)展打開一個突破口。

如果阿里巴巴網(wǎng)站，開辟“證書企業(yè)專區(qū)”。企業(yè)通過數(shù)字證書注冊阿里巴巴會員，企業(yè)的身份就會得到非常有效的確認(rèn)，就能很好解決阿里巴巴B2B電子商務(wù)中企業(yè)的身份一直不能得到有效的確認(rèn)這一關(guān)鍵瓶頸，使用企業(yè)數(shù)字證書還能保證電子商務(wù)活動中要求信息的保密性、不可否認(rèn)性、不可篡改性。企業(yè)用數(shù)字證書登錄阿里巴巴網(wǎng)站，通過使用數(shù)字證書，還可以在其發(fā)布的供求信息中加蓋電子公章。通過數(shù)字證書在網(wǎng)站上的應(yīng)用，發(fā)展和完善我國電子商務(wù)平臺，為企業(yè)間進(jìn)行的身份確認(rèn)、電子合同、電子交易等方面提供可認(rèn)證、安全性高、不可抵賴的安全應(yīng)用平臺。

3.數(shù)字證書保證顧客網(wǎng)上支付身份

在顧客向銀行提交支付申請及銀行確認(rèn)支付請求的交易步驟中，需要進(jìn)行數(shù)字身份認(rèn)證的主體有顧客與銀行。一般情況下，顧客選擇相應(yīng)銀行的官方網(wǎng)站進(jìn)行在線支付是安全的，銀行網(wǎng)站的真實性比較容易判斷，同時，顧客也要向銀行展明自己的身份，保證支付者身份的真實性。因為是遠(yuǎn)距離的網(wǎng)絡(luò)操作，銀行對確保支付者身份的監(jiān)控能力相對在銀行柜臺的操作是比較低的，這要求必須有一種方法可以有效的保證支付者身份的真實性和唯一性。

數(shù)字證書作為“網(wǎng)上身份證”，為銀行的網(wǎng)上支付提供了保障，各銀行為支付者提供該銀行的數(shù)字證書申請，將支付者的銀行卡信息與數(shù)字證書進(jìn)行綁定，保證支付者銀行卡信息與數(shù)字證書的唯一關(guān)聯(lián)性。雖然各銀行數(shù)字證書名稱各不相同，但均是基于數(shù)字證書原理，各銀行以外形各異的U盤作為存儲介質(zhì)，主要保存數(shù)字證書，U盤內(nèi)置的物理加密芯片可以確保數(shù)字證書不被木馬病毒輕易盜取，從安全性上來看是完全可靠的。銀行的數(shù)字證書通過硬件加密的方式驗證客戶的身份?？蛻粲嘘P(guān)信息一經(jīng)下載到數(shù)字證書內(nèi)，即具有惟一性和不可復(fù)制性，網(wǎng)上所有涉及賬戶資金的對外轉(zhuǎn)移都必須事先通過支付者數(shù)字證書進(jìn)行惟一性認(rèn)證。當(dāng)支付的時候?qū)⒋娣艛?shù)字證書的U盤插入計算機接口，進(jìn)行支付者身份信息匹配，匹配成功便可進(jìn)行支付，反之，將不能完成。數(shù)字證書支付方式，即使支付者不小心丟失了賬號、密碼，也沒有關(guān)系，沒有這個數(shù)字證書是無法成功實現(xiàn)網(wǎng)上支付的。

電子商務(wù)安全是電子商務(wù)正常進(jìn)行的重要保證，身份認(rèn)證又是電子商務(wù)安全的第一道防線?；诠€技術(shù)的數(shù)字證書能夠確認(rèn)交易主體的身份認(rèn)證，實現(xiàn)身份的真實性、唯一性以及不可否認(rèn)性，運用數(shù)字證書，更好地保障了交易的安全，將極大地推動電子商務(wù)的發(fā)展。

參考文獻(xiàn)：

[1]張文光.電子商務(wù)身份認(rèn)證的根本之道-無線印鑒認(rèn)證.電子商務(wù)，2006年第9期，第58頁

[2]張昕楠.身份認(rèn)證：擺脫困境.軟件世界，2006年第4期，第68頁

[3]鐘紅山.電子商務(wù)系統(tǒng)交易主體身份認(rèn)證研究.商業(yè)時代.2009年第6期，第42頁