電子商務敏感交易信息安全性研究

鐘紅山

引言

計算機是二十世紀最偉大的發(fā)明之一，它從根本上改變了數據處理方式，用電子介質數據替代了紙質數據。今天IT技術的發(fā)展離不開計算機技術、通訊技術和網絡技術的發(fā)展，互聯(lián)網的出現(xiàn)更是把IT技術的應用推到了極致。今天的互聯(lián)網已經滲入到社會的各個角落，以前很多無法想象的數據處理，今天通過互聯(lián)網可以輕松實現(xiàn)。最具代表性的IT應用，包括：早期的MIS系統(tǒng)、現(xiàn)在的ERP系統(tǒng)、OA系統(tǒng)、AV系統(tǒng)、EG系統(tǒng)、EL系統(tǒng)、EB系統(tǒng)等。

電子商務（EB）的出現(xiàn)動搖了傳統(tǒng)的商品交易模式，據資料顯示，2012年中國電子商務交易總額是8萬億元，在全球排在第二位，僅次于美國。而2013年中國電子商務總額已達到10萬億元。如今的電子商務交易模式已經得到越來越多的商家和消費者的認可，其特點顯而易見：交易內容“數字化”、交易過程“自動化”、 交易認證“實時化”、交易場地“電子化”、交易范圍“全球化”、交易時間“連續(xù)化”、交易安全“法制化”、交易信息“標準化”。

互聯(lián)網的發(fā)展、電子商務交易量的增加、交易額的增長、交易面的擴大，自然而然引發(fā)出一個非常重要的問題——“安全”。通過網絡進行欺詐時有發(fā)生，這些欺詐行為既有“買方欺詐”，也有“賣方欺詐”，這些欺詐之所以能夠得手，其原因，一方面是受害方不夠警惕，另一方面是欺詐方沒有使用真實的身份證明，一旦案件發(fā)生，警方無從下手。因此不管是哪一方，使用真實有效的身份證明是凈化網絡、維持電子商務交易正常進行的基礎。

交易主體身份確認

身份是公民在社會這個大環(huán)境中的一個標識，通過這個標識可以很方便的了解這個公民的一些基本資料。從1949年新中國成立到今天，所有城鎮(zhèn)農村人口曾經使用過或正在使用的身份證明有許多種，例如：戶籍證明（戶口本）分城市戶口和農村戶口，由公安局管理；學生證明（學生證）由所在學校管理；工作人員證明（工作證）由所在單位管理；駕駛員證明（駕駛證）由公安交通管理局管理；身份證明（身份證）由公安局管理。

戶口本是解放以后一個具有中國特色的公民身份證明，隨著社會文明的發(fā)展，戶口本的使用弊端逐漸顯現(xiàn)出來，大有取而代之之勢的身份證明是通行于發(fā)達國家的身份證和駕駛證。

到目前為止，中國的身份證制度分兩個階段，分別被稱作一代身份證和二代身份證。一代身份證從1984年4月6日開始使用，2013年1月1日停止使用。二代身份證于2004年3月在北京、天津、上海、深圳、長沙和湖州6個城市試點使用，于2005年1月在全國其它地區(qū)全面鋪開。

作為公民身份證明的身份證，其上標注的公民身份信息有：持有者的照片、姓名、性別、民族、出生年月日、住址、公民身份號碼、簽發(fā)機關、有效期限。一代身份證實物只是一個塑封卡片，沒有任何技術含量，很容易被仿冒。二代身份證實物是一個帶有記憶裝置的數據卡。身份證上標注的信息分：卡面文字標注和卡內數字標注，同時還使用了防偽技術，大大提高了身份證使用的安全性。另外二代身份證的真實性、有效性驗證有兩個途徑：一個是使用專用的身份證驗證設備，另一個是登錄身份證驗證網站。

數字身份證

數字身份是計算機用戶在網絡環(huán)境下使用的一種身份證明，傳統(tǒng)的身份證無論是一代身份證還是二代身份證都無法在網絡中使用，傳統(tǒng)的身份證與持有者在計算機中處理的數據，相互之間沒有任何聯(lián)系，因此，他們起不到證明身份的作用。而解決的辦法就是使用數字身份。數字身份（也同樣用于數字簽名）的基本原理是非對稱加密解密技術，經典的算法是RSA，其特征是加密時和解密時使用不同的密鑰，兩個密鑰，一個是私鑰SK（密鑰擁有者必須秘密保存），另一個是公鑰PK（包含公共模N，可以對外公開，任何人都可以掌握）。私鑰與公鑰不是任意的，它們之間存在著數學關系。RSA算法既可以用于數字身份，也可以用于數字簽名，通常使用RSA算法時，使用私鑰對數據加密是一個簽字的過程，使用公鑰對加密的數據進行解密是一個驗證簽字的過程，這就是RSA算法的數字簽名功能，該簽字功能可以實現(xiàn)防篡改與抗抵賴。另外用戶的公鑰經過在管理機構進行具有法律效力的注冊，就可以作為用戶的數字身份標識，可以在數字公鑰證書（X.509數字證書）的基礎上構造數字身份證，公民數字身份證號的確定有兩種方式供選擇，一種方式將公鑰值（包含公共模N）指定為公民數字身份證號，另一種方式繼續(xù)延用二代身份證的公民身份證號，但是必須將二代公民身份證號與公民的公鑰值（包含公共模N）進行綁定，這樣通過公民身份證號可以方便的認定公民的個人身份資料，以及公民個人的公鑰值，最終確定公民的數字身份。

在互聯(lián)網上用戶用網過程中，其使用的數字身份有兩種，一種是真實的身份，另一種是虛擬的身份，顯然使用真實身份是不怕別人知道你，使用虛擬身份則是不愿意讓別人知道你，具體選擇哪種取決于用戶用網方式。

電子商務交易敏感信息的安全

目前，互聯(lián)網上可供訪問的網站有很多，各式各樣，大到國家政府部門網站，公司、企業(yè)、事業(yè)單位的網站，小到個人網站。多數網站，尤其是那些管理型網站，用戶登錄訪問的時候必須通過身份驗證，具體辦法就是在登錄界面輸入一個用戶賬號包括用戶名和口令字，然后將輸入的賬號提交給網站服務器，網絡服務器對用戶輸入的賬號進行驗證，賬號驗證通過就放行，用戶就可以打開網站網頁，賬號驗證不通過就拒絕用戶訪問網站。

用戶使用的賬號必須在網站管理系統(tǒng)中進行注冊，注冊時需要提交用戶的相關資料，包括：姓名、性別、出生日期、二代公民身份證號、聯(lián)系電話、電子郵箱、住址、郵政編碼、工作單位等，當然，不同的網站注冊用資料可能不一樣。如果用戶想要訪問10個這種網站，就必須在這10個網站分別注冊，以獲取用戶登錄不同網站的賬號。這種用網方式對所有用戶來說很不方便也很不安全，其一不方便，用戶需要熟記所有賬號；其二不安全，用戶資料過于分散，很難保證所有網站不會泄露在冊的用戶資料。endprint

為了解決現(xiàn)有互聯(lián)網環(huán)境下用戶賬號使用繁瑣、用戶資料的管理缺乏安全性的問題，我們提出如下建議：成立一個專門用于管理網絡用戶數字身份，具有執(zhí)法權，類似于公安局二代身份證管理部門，暫且稱該部門為“數字身份證管理局”；由該局搭建并管理“數字身份認證網站”；每一個網絡用戶只在該認證網站注冊；所有網站對登錄用戶原來提交的賬號，改為提交數字身份證號；網站接收到的登錄用戶提交的數字身份證號，不是自己對該數字身份證號進行認證，而是把它轉發(fā)給“數字身份認證網站”并由這個認證網站對數字身份證號的真實性、有效性進行認證；用戶資料的獲取必要時可以通過數字身份認證網站得到。這樣既簡化了用戶賬號的使用，又提高了用戶資料的安全性。

按照上面的設想，所有用戶只需要記住自己的數字身份證號就可以登錄任何一個網站，用戶注冊資料只保存在“數字身份認證網站”，必要時可以從該認證網站獲取用戶資料。該用戶賬號認證方式對認證網站服務器的要求比較高，必須能夠承擔大量的在線用戶賬號認證請求。解決辦法，一個是隨著計算機技術的發(fā)展，速度會越來越快、容量會越來越大，現(xiàn)在是問題，未來就不是問題；另一個辦法，現(xiàn)階段可以多搭建幾個數字身份認證網站，以此降低每一個認證網站的工作強度、提高效率、縮短時間。

數字身份證的管理

PKI公鑰基礎設施是一個針對非對稱加密解密算法中公鑰進行管理的框架，采用框架構建的認證服務器具有相當高的安全性、結構合理、功能完善，是一個不錯的公鑰管理框架，我們設想的公用數字身份認證網站對公鑰證書的管理，從系統(tǒng)結構組成和功能設置均可以參照PKI公鑰基礎設施。

PKI公鑰基礎設施具有12項功能：產生、驗證、分發(fā)密鑰；簽名和驗證；證書的獲??；驗證證書；保存證書；本地保存的證書的獲??；證書廢除的申請；密鑰的恢復； CRL獲??；密鑰更新；審計；存檔（證書及廢止證書）。

在PKI設施中管理的公鑰證書，其格式符合X.509，但是作為本文的公用數字身份認證網站用戶注冊的數字身份證書，其內容不僅要包含公鑰證書的主要元素，如：公鑰、算法、有效期等，還要增加用戶個人身份資料元素，如：姓名、性別、出生日期、民族、住址、郵政編碼、工作單位、聯(lián)系電話、電子郵箱、有效期限、簽發(fā)機關、公民身份證號等。在這些身份元素中可以選作登錄網站的用戶名有兩個，第一個是公鑰值，第二個是公民身份證號（二代），不管使用哪一個，效果是一樣的，在數字身份證書中公鑰值和公民身份證號這兩個元素必須綁定在一起。

交易主體數字身份證認證流程

用戶UA登錄一個電子商務網站WEB進行交易，用戶數字身份的真實性、有效性驗證由公用數字身份認證網站WID完成。用戶UA的身份資料和電子商務網站WEB的公司資料必須在WID網站正式注冊。注冊成功后，UA（自己保存私鑰SKA）在WID確認公鑰PKA和公共模NA同時獲取公民數字身份證書CA，其中公民身份證號IDA將作為登錄網站的用戶名。WEB（自己保存私鑰SKE）在WID確認公鑰PKE和公共模NE，同時獲取企業(yè)數字證書CE（其中應該包含類似于公民身份證號的企業(yè)編號，該企業(yè)編號IDE應該是由工商局指定的唯一編號）。

以下是UA通過WID的認證后訪問WEB網站的數字身份認證流程：第一，UA登錄WEB，在登錄界面提交使用私鑰SKA加密（使用的算法為RSA）自己的作為登錄用戶名的公民身份證號IDA得到SIDA（必要的時候還可以加上時間元素，形成一個時間戳），該做法就是對自己提交的用戶名進行數字簽名，該簽名任何人都無法模仿，在此不需要提交傳統(tǒng)的口令字；第二，UA還要提交自己的公鑰PKA和公共模NA；第三，WEB網站收到登錄者經過數字簽名的SIDA、PKA、NA，進行解密（使用的算法為RSA）得到IDA；第四，WEB將收到的SIDA、PKA、NA使用SKE對SIDA進行再加密得到SIDAE（進行數字簽名）；第五，WEB對自己的企業(yè)編號IDE使用自己的私鑰SKE進行加密得到SIDE（也是進行數字簽名），簽字時如果需要也可以加入時間元素，形成時間戳；第六，WEB將三組數（SIDA、PKA、NA），（SIDAE、PKE、NE），（SIDE、PKE、NE）發(fā)送到公用數字身份認證網站WID；第七，WID（公用數字身份認證網站）使用UA、WEB各自的公鑰對簽過字的數據（SIDA、SIDAE、SIDE）進行解密，最終認證UA登錄用的IDA是否是一個真實有效的用戶名；第八，WID將認證結果以Yes（IDA有效，是一個注冊賬號）或No（IDA無效，是一個非注冊賬號）兩種形式之一反饋給WEB網站；第九，WEB根據認證結果決定允許或者拒絕UA對WEB的訪問。

以上是WEB網站對登錄用戶UA使用的用戶名（公民身份證號）的數字身份進行認證。用戶和購物網站在交易過程中進行數字身份認證應該是雙向的，交易雙方只有相互之間經過數字身份認證后才是真實的、有效的。以上只是一個基本原理的數字身份認證流程，更加實用化、安全性更高、認證時間更短的流程還有待硬件軟件設備的更新和技術的更新。

到目前為止，我國的數字身份、數字簽名技術的應用還遠遠不夠，數字簽名的法律效力的確定，交易糾紛的判罰，政府部門的組建，電子商務系統(tǒng)安全性的提高，數字身份的管理都需要進一步完善。本文主要從安全、實用化的角度在賬號認證的環(huán)節(jié)進行探討并提出一些新的設想。endprint