淺析數(shù)據(jù)加密技術(shù)在移動(dòng)移動(dòng)電子商務(wù)安全中的應(yīng)用

陳誠(chéng)

【摘 要】本文對(duì)移動(dòng)電子商務(wù)的安全要素和面臨的安全威脅作了分析，對(duì)構(gòu)建移動(dòng)電子商務(wù)數(shù)據(jù)安全的關(guān)鍵技術(shù)數(shù)據(jù)加密技術(shù)做了詳細(xì)介紹，重點(diǎn)介紹了對(duì)稱加密技術(shù)和非對(duì)稱加密技術(shù)的代表算法DES和RSA。

【關(guān)鍵詞】移動(dòng)電子商務(wù)安全；數(shù)據(jù)加密；對(duì)稱加密；非對(duì)稱加密；DES；RSA

1.引言

信息技術(shù)的快速發(fā)展和信息交換的大量增加帶來了新的驅(qū)動(dòng)力和創(chuàng)新意識(shí)。伴隨著移動(dòng)數(shù)據(jù)通信技術(shù)的不斷發(fā)展，借著3G網(wǎng)絡(luò)日益成熟和智能手機(jī)日趨普及的東風(fēng)，移動(dòng)電子商務(wù)正在改變著人們的生活以及整個(gè)社會(huì)的發(fā)展進(jìn)程。許多原本基于傳統(tǒng)PC機(jī)的應(yīng)用正逐漸向智能手機(jī)平臺(tái)遷移，而這種基于移動(dòng)客戶端的網(wǎng)絡(luò)貿(mào)易必將引起人們對(duì)購(gòu)物、娛樂和工作方式，甚至經(jīng)營(yíng)管理觀念的革新。在此背景下，移動(dòng)電子商務(wù)的安全與否便成了至關(guān)重要的問題。如何保證數(shù)據(jù)的保密性、數(shù)據(jù)的完整性、交易的不可否認(rèn)性和交易者身份的真實(shí)性，這個(gè)問題越來越受到各方的關(guān)注。試想一下，如果你用手機(jī)客戶端給客戶發(fā)了封郵件，而你不知道這封郵件是否被第三方截獲，商業(yè)信息是否因此泄密；又或者你在用手機(jī)購(gòu)物，卻不能確定輸入的銀行卡號(hào)和密碼是否會(huì)被別人知曉，對(duì)你的賬戶構(gòu)成威脅……為了避免這樣的情況真的發(fā)生，現(xiàn)代數(shù)據(jù)加密技術(shù)承擔(dān)了數(shù)據(jù)傳輸安全的保護(hù)重任。

2.移動(dòng)電子商務(wù)安全要素

交易過程的安全性一直是移動(dòng)電子商務(wù)安全的重中之重，要保證交易安全必須滿足以下要素：

（1）數(shù)據(jù)的保密性。數(shù)據(jù)的保密性是指數(shù)據(jù)在傳播過程中除授權(quán)用戶以外沒有人能夠使用該數(shù)據(jù)。移動(dòng)電子商務(wù)的應(yīng)用離不開網(wǎng)絡(luò)，EDGE、WIFI等的最終出口都是互聯(lián)網(wǎng)，存在被竊取的可能性，所以必須做到即使被竊取也無法讀懂，這樣才能保證數(shù)據(jù)安全有效。解決數(shù)據(jù)保密性的一般方法是采用加密技術(shù)。

（2）數(shù)據(jù)的完整性。數(shù)據(jù)的完整性是指交易各方在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)沒有被隨意生成、修改和刪除。這里主要包括兩種情況：一是主觀原因造成的，比如被人惡意篡改收款人姓名、銀行卡號(hào)，以期達(dá)到詐騙目的。二是客觀原因造成的，比如傳輸鏈路中的某個(gè)節(jié)點(diǎn)硬件故障，導(dǎo)致傳輸?shù)臄?shù)據(jù)被丟棄。數(shù)字簽名技術(shù)和數(shù)字指紋技術(shù)都是常用的解決數(shù)據(jù)完整性的辦法。

（3）交易的不可否認(rèn)性。交易的不可否認(rèn)性是指交易各方不能否認(rèn)已經(jīng)發(fā)生的交易行為，包括自己發(fā)出的數(shù)據(jù)和接收到的數(shù)據(jù)。

為了防止交易后產(chǎn)生糾紛，對(duì)于進(jìn)行中的交易，雙方必須附上載有其自身的特點(diǎn)，別人無法復(fù)制的信息。數(shù)字簽名技術(shù)是避免這類交易糾紛的常用方法。

（4）交易者身份的真實(shí)性。

交易者身份的真實(shí)性是指參與交易的雙方必須是真實(shí)存在的。這主要是指在網(wǎng)絡(luò)交易過程中，在核實(shí)對(duì)方資料尤其是賬戶、卡號(hào)等敏感資料時(shí)，如何建立信任。受限于交易雙方不能見面，所以必須要在交易信息中附加能夠證明交易者身份的可靠標(biāo)識(shí)。設(shè)立權(quán)威的第三方認(rèn)證機(jī)構(gòu)為參與交易者提供擔(dān)保是目前常用的處理方法。交易時(shí)各方出具證書即可。

3.移動(dòng)電子商務(wù)面臨的安全威脅

移動(dòng)電子商務(wù)的實(shí)施平臺(tái)主要是手機(jī)和平板電腦，本身具有很強(qiáng)的移動(dòng)性，加上Internet的開放性以及手機(jī)支付帶來的資金流轉(zhuǎn)計(jì)算機(jī)處理性，所以其面臨的安全威脅也就主要來自以下幾個(gè)方面：

一是手機(jī)平臺(tái)自身受到的安全威脅，進(jìn)而影響到數(shù)據(jù)存儲(chǔ)安全。比如手機(jī)病毒、間諜軟件等，現(xiàn)在甚至出現(xiàn)了利用藍(lán)牙協(xié)議、WIFI協(xié)議漏洞自動(dòng)進(jìn)行攻擊的惡意軟件。

二是數(shù)據(jù)通過手機(jī)發(fā)送出去后在網(wǎng)絡(luò)傳輸過程中受到的安全威脅，比如被第三方截獲、篡改，或者網(wǎng)絡(luò)性能不穩(wěn)定導(dǎo)致交易信息丟失與謬誤。

三是由于雙方不能面對(duì)面交易所帶來的安全威脅，比如被第三方冒名套頂替取交易信息甚至直接參與交易，抑或是交易后某一方不承認(rèn)交易成果。

4.數(shù)據(jù)加密的概念

數(shù)據(jù)加密技術(shù)是保護(hù)信息安全的重要手段之一，從本質(zhì)上講它是利用一定的加密算法，將明文轉(zhuǎn)換為密文再進(jìn)行傳輸。加密后的密文不具備任何可讀性，理論上如果沒有解密密鑰是無法復(fù)原出原文的，從而達(dá)到保障數(shù)據(jù)安全性的目的。該過程的逆過程即為解密。

5.數(shù)據(jù)加密的算法

對(duì)稱加密和非對(duì)稱加密是加密算法的兩大分支。對(duì)稱加密使用同一把密鑰來進(jìn)行加密和解密，密鑰一般稱作“Session Key”。對(duì)稱加密以數(shù)據(jù)加密標(biāo)準(zhǔn)DES（Data Encryption Standard）算法為代表。非對(duì)稱加密就是加密和解密使用兩把不同的密鑰配合完成，這兩把密鑰分別稱為“公鑰”和“私鑰”。公鑰公開，私鑰保密。兩者必須是一一對(duì)應(yīng)關(guān)系，否則不能打開加密文件。非對(duì)稱加密通常以RSA（Rivest Shamir Ad1eman）算法為典型代表。

不同的工作原理源于完全迥異的設(shè)計(jì)思路。通常來說設(shè)計(jì)一個(gè)優(yōu)秀的算法有兩種思路。一是對(duì)所有可能的破解算法做深入研究，然后設(shè)計(jì)出一套規(guī)則，以防止這些解決方案在任何時(shí)候發(fā)揮作用，從而建立一個(gè)強(qiáng)大的能夠抵抗這些解法的加密算法。二是建立一些算法，讓你想破解就必須解決一些問題，而這些問題被認(rèn)為是無法解決的。上節(jié)中提到的DES算法是第一種類型的代表，RSA算法則屬于第二種類型的曠世之作。

（1）DES算法

DES（Data Encryption Standard）是“數(shù)據(jù)加密標(biāo)準(zhǔn)”的簡(jiǎn)稱。它是美國(guó)IBM公司于上世紀(jì)70年代中期的一個(gè)密碼算法發(fā)展而來的，并于1977年被美國(guó)國(guó)家標(biāo)準(zhǔn)局公布作為非機(jī)要部門使用的數(shù)據(jù)加密標(biāo)準(zhǔn)。

DES是一個(gè)分組加密算法，它以64位為分組對(duì)數(shù)據(jù)加密?；驹硎前衙魑陌垂潭ㄩL(zhǎng)度（通常為64比特）分組，每組使用相同的算法與密鑰加密，輸出密文的長(zhǎng)度也是固定值。所以DES也是一種對(duì)稱算法。同時(shí)還采用一些精心設(shè)計(jì)的置換和迭代，最終產(chǎn)生每塊64比特的密文。它的原始密鑰是56位長(zhǎng)度，加上用作奇偶校驗(yàn)的每個(gè)第8位，一共64位。DES的解密和DES的加密一樣，只不過是子密鑰的順序相反。DES加密解密只需完成簡(jiǎn)單地算數(shù)運(yùn)算和比特串異或處理的組合，因此密鑰生成難度較低，生成速度較快，在對(duì)大容量數(shù)據(jù)進(jìn)行加密時(shí)尤其適用。缺點(diǎn)是用戶越多密鑰管理難度就越大，風(fēng)險(xiǎn)就越高，對(duì)于具有N個(gè)用戶的網(wǎng)絡(luò)，就需要N（N-1）/2個(gè)密鑰，尤其對(duì)于用戶數(shù)量大，分布廣的大型網(wǎng)絡(luò)而言存在較大的管理困難。加之其56位的密鑰長(zhǎng)度已經(jīng)不符合現(xiàn)代的安全需求，故已逐漸淡出歷史舞臺(tái)。

（2）RSA算法

RSA算法最早由美國(guó)麻省理工學(xué)院的Ron Rivest、Adi Shamir和Leonard Adleman共同于1978年提出，“RSA”正是三位發(fā)明者的姓氏首字母組合。它的安全性基于一個(gè)數(shù)學(xué)難題，即具有大素?cái)?shù)因子的合數(shù)分解。數(shù)論經(jīng)驗(yàn)表明，求兩個(gè)大素?cái)?shù)的乘積很容易，對(duì)此乘積進(jìn)行因式分解卻極其困難?；谶@樣的理論基礎(chǔ)，RSA算法給出了一種操作模式：即同時(shí)生成兩把密鑰，其中一把稱之為公鑰的密鑰用于加密數(shù)據(jù)，另一把稱作私鑰的密鑰用于解密數(shù)據(jù)。而這兩把密鑰本身就是一對(duì)大素?cái)?shù)函數(shù)，這樣就構(gòu)建出一種“由已知加密密鑰推導(dǎo)出解密密鑰在計(jì)算上是不可行的”算法。此外RSA算法還支持?jǐn)?shù)字簽名功能，只需對(duì)加密過程逆運(yùn)算即可。

加密原理如下。首先選取兩個(gè)大素?cái)?shù)p和q （一般p、q不小于100位十進(jìn)制數(shù)），計(jì)算：

n = p × q

然后找到一個(gè)能夠與（ p – 1 ） ×（ q -1 ）互質(zhì)的數(shù)e，則e就是加密密鑰。

最后，利用歐幾里得算法得到解密密鑰d，要求d必須滿足

e × d = 1 （ mod （ p – 1 ） × （ q - 1） ）

這里的n和d互質(zhì)。現(xiàn)在我們可以用e和n來加密數(shù)據(jù)，用d來解密數(shù)據(jù)，拋棄p和q（當(dāng)然不能讓任何人知道p、q的值）。

加密信息 m （二進(jìn)制） 時(shí)，首先把m分成等長(zhǎng)數(shù)據(jù)塊m1，m2，m3…，mi，塊長(zhǎng)s，其中2^s <= n ， s 盡可能大。對(duì)應(yīng)的密文是：

Ci = mi^e （ mod n ） （ A ）

解密時(shí)作如下計(jì)算：

Mi = （ mod n ） （ B ）

用作數(shù)字簽名時(shí)，用（A）式簽名，（B）式驗(yàn)證。

經(jīng)RSA算法加密后產(chǎn)生的密文塊，每塊長(zhǎng)度都與密鑰長(zhǎng)度相等。選擇的密鑰長(zhǎng)度越長(zhǎng)則安全性越高，但同時(shí)加密所耗費(fèi)的資源也越多，所以要視情況做合適選擇。比如日?？梢圆捎?4的密鑰以使系統(tǒng)開銷盡量小，同時(shí)又有一定的安全性。

6.結(jié)束語(yǔ)

數(shù)據(jù)加密技術(shù)是保證移動(dòng)電子商務(wù)安全的重要組成部分，各國(guó)都在應(yīng)用基于狀態(tài)機(jī)、模態(tài)邏輯和代數(shù)工具等分析方法進(jìn)行各種新型密碼學(xué)和數(shù)據(jù)安全技術(shù)的研究。同時(shí)，由于大型計(jì)算機(jī)性能的不斷提升，新的密碼體制也在不斷探索中，如量子密碼、DNA密碼等。相信隨著移動(dòng)電子商務(wù)的普及化未來必將推動(dòng)密碼技術(shù)不斷向前發(fā)展。

參考文獻(xiàn)：

[1] 余紹軍， 彭銀香. 移動(dòng)電子商務(wù)安全與數(shù)據(jù)加密技術(shù)[J]. 中國(guó)管理信息化， 2007， 10（4）：73-75.

[2] 李文獻(xiàn)， 左春榮， 楊善. 基于RSA的移動(dòng)電子商務(wù)信息加密技術(shù)研究[J]. 合肥工業(yè)大學(xué)學(xué)報(bào)（社會(huì)科學(xué)版）， 2003， 17（1）：22-26.

[3] 汪紹榮， 溫德華. 淺談移動(dòng)電子商務(wù)安全中的數(shù)據(jù)加密技術(shù)[J]. 通信技術(shù)， 2008， 41（12）：322-324.

[4] 林新平. 淺析DES數(shù)據(jù)加密算法[J]. 福建電腦， 2008（1）：58-59.

[5] 劉影. 數(shù)據(jù)加密算法[J]. 福建電腦， 2008（9）：61-64.