PKI在企業(yè)電子商務(wù)中的應(yīng)用研究

丁士杰,謝 軍,木 薇（安徽省宿州學(xué)院，234000）

?

PKI在企業(yè)電子商務(wù)中的應(yīng)用研究

丁士杰,謝 軍,木 薇
（安徽省宿州學(xué)院，234000）

摘要：分析了電子商務(wù)企業(yè)面臨的常見安全威脅，提出了基于公鑰基礎(chǔ)設(shè)施PKI的電子商務(wù)安全解決方案，能有效保證電子商務(wù)活動(dòng)的安全。

關(guān)鍵詞：PKI；CA；數(shù)字證書；數(shù)字簽名

1　PKI體系概述

PKI即公鑰基礎(chǔ)設(shè)施，是一個(gè)基于非對(duì)稱算法中的公鑰概念及技術(shù)而實(shí)施并提供安全服務(wù)的安全基礎(chǔ)設(shè)施，網(wǎng)絡(luò)通訊、網(wǎng)上交易可以利用它來保證信息安全。PKI應(yīng)用系統(tǒng)至少應(yīng)具有五個(gè)部分：CA、X.500目錄服務(wù)器、安全WWW服務(wù)器、Web安全通信平臺(tái)、安全應(yīng)用系統(tǒng)；而CA則是整個(gè)PKI的核心，所有的安全應(yīng)用全圍繞CA展開。PKI提供的安全服務(wù)包括：身份認(rèn)證、數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性等。

1.1CA

CA的功能包括：處理數(shù)字證書申請(qǐng)、頒發(fā)數(shù)字證書、證書更新及撤銷、管理數(shù)字證書撤銷表、數(shù)字證書的歸類及存檔。

1.2數(shù)字證書

數(shù)字證書是由CA發(fā)行的一種數(shù)字信息文件，用來標(biāo)志和證明網(wǎng)絡(luò)通信雙方的身份，內(nèi)容包括：主體身份及公鑰信息、CA及簽名信息、簽名算法等。證書大多采用X.509標(biāo)準(zhǔn)。

1.3數(shù)字簽名

數(shù)字簽名是由信息發(fā)送者通過HASH函數(shù)對(duì)信息進(jìn)行處理，產(chǎn)生別人無法偽造的一段數(shù)字串，用以認(rèn)證信息的來源并核實(shí)信息是否發(fā)生了變化。發(fā)送者用私鑰加密數(shù)據(jù)傳給接收者，接收者用發(fā)送者的公鑰解開數(shù)據(jù)后，就可以確定消息的來源，同時(shí)也是對(duì)發(fā)送者發(fā)送信息真實(shí)性的一個(gè)證明，發(fā)送者不能抵賴。

2　企業(yè)電子商務(wù)活動(dòng)面臨的安全問題

企業(yè)電子商務(wù)活動(dòng)主要包括售前咨詢、在線下單、訂單處理、網(wǎng)絡(luò)支付、物流配送、售后服務(wù)等環(huán)節(jié)。這些環(huán)節(jié)除在線支付,其它部分沒有采用安全加密技術(shù)，存在著嚴(yán)重的安全問題。

2.1數(shù)據(jù)傳輸過程中的泄露問題

企業(yè)使用的通信軟件依賴TCP/IP協(xié)議，該協(xié)議并沒有解決身份認(rèn)證、信息泄密、數(shù)據(jù)篡改等安全問題，這導(dǎo)致了企業(yè)傳輸數(shù)據(jù)時(shí)面臨著嚴(yán)重的安全威脅。例如，企業(yè)員工傳輸?shù)碾娮余]件明文完全可能被攻擊者截獲，從而泄露了郵件的內(nèi)容。

2.2數(shù)據(jù)存儲(chǔ)時(shí)的篡改問題

企業(yè)存放在云數(shù)據(jù)庫、內(nèi)部數(shù)據(jù)庫中的數(shù)據(jù)以明文存儲(chǔ)，系統(tǒng)管理員固然可以設(shè)置數(shù)據(jù)文件的訪問控制權(quán)限，然而卻不能防范數(shù)據(jù)被篡改。一旦入侵者或內(nèi)部非授權(quán)人員得到了數(shù)據(jù)的讀寫權(quán)限，就可以非法修改數(shù)據(jù)。系統(tǒng)無法檢測(cè)數(shù)據(jù)是否被篡改、被誰篡改這樣的安全問題。

2.3用戶的身份識(shí)別問題

企業(yè)電子商務(wù)系統(tǒng)普遍采用賬戶加口令的方式進(jìn)行認(rèn)證，這種識(shí)別方法安全性較低，攻擊者通過窮舉嘗試等方法就能得到合法用戶的賬戶和口令。身份識(shí)別問題同樣出現(xiàn)在電子郵件的收發(fā)上。員工貿(mào)然相信發(fā)信方的身份或?qū)C(jī)密信件錯(cuò)發(fā)到其他人員信箱，都會(huì)給個(gè)人和企業(yè)帶來巨大的損失。

3　基于PKI的企業(yè)電子商務(wù)安全解決方案

3.1建立企業(yè)內(nèi)部的CA

企業(yè)自建CA有兩種技術(shù)路線。一是利用開源的OpenSSL軟件包。優(yōu)點(diǎn)是二次開發(fā)靈活，可以將安全措施應(yīng)用于企業(yè)自行開發(fā)的系統(tǒng)中；缺點(diǎn)是技術(shù)性強(qiáng)，需要較為專業(yè)的計(jì)算機(jī)人員來部署。二是利用微軟公司W(wǎng)indows服務(wù)器產(chǎn)品中提供的證書服務(wù)功能。雖然二次開發(fā)受限，但是建設(shè)簡(jiǎn)單快捷，且和Windows系列服務(wù)器、OutLook郵件客戶端無縫結(jié)合，所以是首選。具體部署上，通過Windows server 2008 等服務(wù)器上的“證書服務(wù)”組件來實(shí)現(xiàn)，該CA服務(wù)器可滿足證書申請(qǐng)、頒發(fā)等基本需求。

3.2信息傳輸采用安全的SSL通道

SSL協(xié)議由網(wǎng)景公司提出，用于保證瀏覽器和服務(wù)器之間的身份真實(shí)及數(shù)據(jù)秘密傳輸，其提供的服務(wù)包括：身份認(rèn)證、數(shù)據(jù)加密、數(shù)據(jù)完整性校驗(yàn)。電商活動(dòng)中，利用SSL協(xié)議能在客戶端和服務(wù)器之間提供安全通道。企業(yè)可以利用自建CA生成網(wǎng)站服務(wù)器的數(shù)字證書，安裝到WEB服務(wù)器上開通SSL，來實(shí)現(xiàn)數(shù)據(jù)加密傳輸。

3.3利用數(shù)字證書對(duì)存儲(chǔ)的數(shù)據(jù)進(jìn)行加密和簽名

利用數(shù)字證書對(duì)機(jī)密數(shù)據(jù)加密并簽名，將密文和簽名一同存放在數(shù)據(jù)庫，企業(yè)可通過簽名來檢驗(yàn)數(shù)據(jù)完整性。以企業(yè)采購(gòu)單的存儲(chǔ)為例，可將商品采購(gòu)價(jià)格、數(shù)量等敏感信息加密、簽名，然后存儲(chǔ)。即使攻擊者獲得了企業(yè)數(shù)據(jù)的讀寫權(quán)，也因加密無法得到明文；同樣也無法篡改，因?yàn)檫@會(huì)被企業(yè)通過對(duì)簽名驗(yàn)證而識(shí)破。具體實(shí)施時(shí)，可以利用微軟的CryptoAPI組件、JavaScript腳本來實(shí)現(xiàn)。

3.4利用數(shù)字證書進(jìn)行身份識(shí)別和信息加密

客戶機(jī)和服務(wù)器的身份識(shí)別通過WEB服務(wù)器端配置SSL通道選項(xiàng)就可以實(shí)現(xiàn)。在SSL協(xié)議中，WEB服務(wù)器端身份驗(yàn)證是必須的，客戶端瀏覽器的身份驗(yàn)證為可選項(xiàng)。若要強(qiáng)制驗(yàn)證客戶瀏覽器身份，可以在服務(wù)器端SSL安全通道選項(xiàng)里選擇驗(yàn)證客戶端數(shù)字證書。

通過給郵件客戶端程序安裝數(shù)字證書，能實(shí)現(xiàn)郵件的數(shù)字簽名和加密。安裝電子郵件數(shù)字證書比較簡(jiǎn)單，以O(shè)utLook為例，在安全選項(xiàng)卡里選擇并安裝數(shù)字證書即可。發(fā)郵件時(shí)，單擊相應(yīng)按鈕就能加密、簽名信件。加密后的信件以附件方式傳輸和存儲(chǔ)，只有該用戶才能解密。第三方的免費(fèi)郵箱大多實(shí)現(xiàn)了郵件的傳輸安全，但是郵件的存儲(chǔ)并沒有加密，上述方法很好地解決了這個(gè)問題。

4　結(jié)語

基于PKI的安全方案為電子商務(wù)活動(dòng)提供了身份認(rèn)證、數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性等服務(wù)，使參與者都能在一個(gè)受信任的、安全的環(huán)境下開展交易活動(dòng)，保證了電子商務(wù)的正常、穩(wěn)定發(fā)展。

參考文獻(xiàn)

[1] R.Penman. An overview of PKI trust models. IEEE Network,1999,13 (6):38-43

[2] 丁士杰.基于SSL的電子商務(wù)安全技術(shù)研究[D],合肥工業(yè)大學(xué)，2010

[3] 孟叢.電子商務(wù)中應(yīng)用PKI安全技術(shù)研究[J],現(xiàn)代工業(yè)經(jīng)濟(jì)和信息化，2015（1）：82-83

丁士杰（1979-），男，安徽宿州人，碩士，講師，主要研究方向：電子商務(wù)、網(wǎng)絡(luò)安全。

謝軍（1970-），男，安徽宿州人，博士，講師，主要研究方向：電子商務(wù)、數(shù)據(jù)挖掘。

木薇（1985-），女，安徽渦陽人，碩士，講師，主要研究方向：電子商務(wù)、物流管理。

Research on the application of PKI in enterprise electronic commerce

Ding Shijie，Xie Jun，Mu Wei
（Suzhou University，234000）

Abstract：The common security threats faced by electronic commerce enterprises are analyzed,and the electronic commerce security solution based on public key infrastructure PKI is proposed,which can effectively ensure the security of e-commerce activities.

Keywords：PKI;CA;digital certificate;digital signature

作者簡(jiǎn)介

基金項(xiàng)目:宿州學(xué)院人文社科項(xiàng)目“PKI體系在安徽電子商務(wù)中的研究及應(yīng)用”(2009ysk07)

中圖分類號(hào)：TP309.2

文獻(xiàn)標(biāo)識(shí)碼：A