电子商务的安全技术数字签名.docx

1、电子商务的安全技术数字签名电子商务的安全技术数字签名专业：信息管理与信息系统 班级：信管本科班 学号： 姓名： 日期：2015年6月30日摘要:近来基于Internet 开展的电子商务已逐渐成为人们进行商务活动的新模式。越来越多的人通过 Internet 进行商务活动，电子商务的发展前景十分诱人，成为推动企业发展的核心力量，它的地位和作用已经很难撼动。在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术。本文对数字签名这一技术的应用加以讨论，提出了一种新的改良方案叫安全数字签名，在一定程度上解决了数字签名方案所存在的问题，真正保证电子商务的正常运作。 通过介绍在数字签

2、名技术中将信息发送者与信息传递结合起来，用以保障发送者所发送的信息在传递过程中的完整性，并可提供信息发送者的身份认证，以防止信息发送者对所发送信息的抵赖行为产生的实现过程，指出了数字签名的概念和意义，探讨了数字签名技术在电子商务中的应用，并分析了数字签名应用中存在的问题及应对策略。关键词：电子商务;对称密钥;非对称密钥;安全数字签名 Abscract:Recently the electronic commerce which established upon internet have gradually became a new mode in peoples business activ

3、ities. More and more people take the business communication through internet, so the development of electronic commerce shall be tremendous, become the core energy to promote development of enterprise,it play a key role in business trade. But the accompanying safety issues also have went into stood

4、out. Digital Signature Technology plays an important role in electronic commerce safety technology.It is widely applied in sourcing distinguish、integrality service、non-denying service. The application of digital signature technology is discussed, and some potential safe troubles are given. So a new

5、improved designsafe digital signature is presented, which settles some issues of digital signature design in a certain extent, and ensures the normal operation of electronic commerce actually. Key word : electronic commerce;symmetry secret key;non-symmetry secret key,;safe digital signature 目录1.绪论 2

6、1.l研究背景 21.2 国内外研究现状 21.3本文的研究内容及意义 32.数字签名的概念和意义 32.1数字签名的概念 32.2 数字签名的意义 32.3数字签名的过程 43.数字签名的实现 43.1对称式加密技术 43.2非对称加密技术 53.3数字签名技术常见算法 64.数字签名中存在的问题及应对策略 64.1数字签名中存在的问题 64.2应对我国数字签名应用中存在问题的策略 7参考文献 71.绪论1.l研究背景21世纪,信息技术迅速发展,互联网的产生为人类社会创造出一个全新的活动空间。随着科技进步和各种实践活动的进行,人们利用数字信号在互联网上进行商务活动,催生出了电子商务(E-bu

7、siness,E-commerce)这一全新的概念。电子商务是人类科技、经济、文化共1司发展的必然产物,是信息社会的全新商务模式,是商务活动未来的必然趋势。虽然对很多人来说,电子商务就是互联网上购物等,但是电子商务的业务领域并不局仅仅局限这些,它还包括了很多其他商业活动,例如企业与企业间的交易活动,公司用以支持销售、采购、招聘、计划以及其他活动的业务流程等。通过电子数据传输技术开展商务活动,其中最常用的技术是互联网,但是也包括诸如在PDA或者移动电话上进行的无线传输技术。电了商务使所有用户在产品质量与服务、降低成本、选择多样化以及新产品与服务等方面受益。电子商务给世界带来的冲击将是持久的多面的

8、。未来几十年中,它将极大地改变我们的生活方式。经济学家eoLoue在AsTimeGoesby:Industrial Revolution 中描述了革命的四次浪潮。通过全球性的联网活动,简化贸易活动流程,改善物流运作系统,从而大幅度地降低交易的成本,增加贸易的机会,推动企业的业务重组进度和经济结构调整,极大地提高了社会生产力的发展。 1.2 国内外研究现状 如何建立一个安全、便捷的电子商务应用环境，保证整个商务过程中信息的安全性，使基于 Internet 的电子交易方式与传统交易方式一样安全可靠，已经成为在电子商务应用中所关注的重要技术问题。数字签名正是由此产生的可以解决电子商务活动中否认、伪造

9、、篡改及冒充等问题的一项技术。目前电子签名法在我国已经实施。据不完全统计，目前已经有多达 20 个国家通过了电子签名方面的立法，另外还有 13 个左右的国家已经拿出了草案，目前正在立法程序之中。数字签名作为电子商务的应用技术，越来越得到人们的重视，如何建立一个安全、便捷的电子商务应用环境，保证整个商务过程中信息的安全性，使基于Internet 的电子交易方式与传统交易方式一样安全可靠，已经成为在电子商务应用中所关注的重要技术问题。数字签名可以解决电子商务活动中否认、伪造、篡改及冒充等问题的一项技术。 1.3本文的研究内容及意义安全问题是企业应用电子商务过程中最担心的问题,电子商务系统是建立在计

10、算机网络系统之上的商务系统。对于大多数网民来讲,互联网为人与人、人与企业之间的交流带来了更多的便利,然而也为不法分子获取不法利益提供了更多的途径。数字签名是可以解决电子商务活动中否认、伪造、篡改及冒充等问题的一项技术本文通过对电子商务及电子商务安全的描述,逐一介绍电子商务安全内容及其安全需求,钊一对电子商务安全面临的各种威胁,从安全体系方面说明其应对方式。着重讲解电子商务领域中的数字签名技术及其各种实现方案,对比传统数字签名中的不足,说明安全数字签名的原理及其实现流程。最后重点介绍基于RSA和DES算法的安全数字签名,设计出一种结合RSA和DES算法的安全数字签名方案。2.数字签名的概念和意义

11、2.1数字签名的概念数字签名就是在公钥加密系统的基础上建立起来的! 数字签名的产生涉及的运算方式是为人们所知的散列函数。哈希函数功能其实是一种数学计算过程!在安全的哈希函数功能情形下，要想从已知的哈希函数结果中推导出原信息来是不可能的，而哈希函数功能可以使软件在更少且可预见的数据量上运作生成数字签名，却保持与原信息内容之间的高度相关，且有效保证信息在经数字签署后并未做任何修改，保证其数据的完整性。数字签名就是只有信息的发送者才能产生的， 别人无法伪造的一段数字串，它同时也是对发送者发送的信息的真实性的一个证明，签署一个文件或其他任何信息时，签名者首先须准确界定要签署内容的范围。然后，签名者通过

12、软件中的哈希函数功能将计算出被签署信息惟一的哈希函数结果值，最后使用签名者的私人密码将哈希函数结果值转化为数字签名，得到的数字签名对于被签署的信息和用以创建数字签名的私人密码而言都是唯一的。2.2 数字签名的意义为了鉴别文件或书信的真伪，传统的做法是相关人员在文件或书信上亲笔签名或印章签名起到认证核准和生效的作用，随着信息时代的到来。人们希望通过通信网络迅速传递各种信息，这就出现了信息真实性认证的问题，数字签名就应运而生了数字签名，它的意义就是用来保证信息传输过程中信息的完整性和提供信息发送者身份的认证。 在电子商务中安全方便地实现在线支付，而数据传输的安全性、完整性和身份验证机制以及交易的不

13、可抵赖性等大多通过安全性认证手段加以解决。电子签名可以方便企业和消费者通过互联网在线进行商业交易，使企业和消费者双方获利。2.3数字签名的过程数字签名的过程分两大部分，即签名与验证。即发送方将原文用哈希算法求得数字摘要，用签名私钥对数字摘要加密得数字签名，发送方将原文与数字签名一起发送给接收方， 接收方验证签名，即用发送方公钥解密数字签名，得出数字摘要，收方将原文采用同样哈希算法又得一新的数字摘要，将两个数字摘要进行比较。如果二者匹配，说明经数字签名的电子文件传输成功。数字签名是相对于手书签名而言的，签名主要起到认证、核准和生效的作用，是指采用一定的数据交换协议，使用密码算法对待附加在数据单元

14、上的一些数据，或是对数据单元所作的密码变换，这种数据和变换允许数据单元的接收者用以确认数据单元来源和数据单元的完整性，并保护数据，防止被人（例如接收者）进行伪造。数字签名就是基于加密技术的一种信息认证技术。信息认证的目的有两个：一是验证信息的发送者是真正的发送者，还是冒充的；二是验证信息的完整性，即验证信息在传送或存储过程中是否被篡改、重放或延迟等。类似现实中的签名或印章，接收方对其进行验证，判断发送者的身份和原文真伪。签名机制的本质特征是该签名只用通过签名者的私有信息才能产生，也就是说，一个签名者的签名只能惟一的由他自己产生。当收发双方发生争议时，第三方（仲裁机构）就能够根据消息上的签名来裁

15、定这条消息是否确实由发送方发出，从而实现抵赖性安全服务。3.数字签名的实现根据定义我们可知数字签名有以下基本特征:笔名应是可信的。(2)签名应是不一可伪造的。(3)签名应是无法重复使用的。(4)签名的文件应是无法被非法修改的。(5)签名应是不可被否认的。实现数字签名有很多方法，目前采用较多的是对称加密技术和非对称加密技术。3.1对称式加密技术对称式加密就是加密和解密使用同一个密钥，双方具有共享的密钥,只有在双方都知道密钥的情况下才能使用，通常应用于孤立的环境之中，比如在使用自动取款机（ATM）时，用户需要输入用户识别号码（PIN），银行确认这个号码后，双方在获得密码的基础上进行交易。对称加密的

16、突出特点是加密速度快（通常比非对称加密快 10 倍以上）、效率高，被广泛用于大量数据的加密。但该方法的致命缺点是密钥的传输与交换面临着安全问题，密钥易被截获，而且若和大量用户通信，难以安全管理大量的密钥，因此大范围应用存在一定问题。目前常用的对称加密算法有 DES、PCR、IDEA、3DES 等等。其中 DES 使用最普遍，被 ISO 采用作为数据加密的标准。DES 是一个对称加密算法，它以 64 位为分组对数据加密。64 位一组的明文从算法的一端输入，64 位的密文从另一端输出，DES 是一个对称算法，加密与解密用的同一个算法(除密钥编排不同之外)。密钥长度为 56 位。(密钥通常表示为64

17、 位的数，但每个第 8 位都用着奇偶校验)密钥可以是任意的 56 位数，且在任意时候都可以改变，其中有极少数被认为是弱密码，但容易避开它们。所有的密码的保密性依赖于密钥，所以用科学的方法选一个完备的密钥很重要，简单的说，DES 算法主要包括两个基本技术混乱和扩散的组合。DES 基本组建分组是这些技术的一个组合(先替代后置换)，它基于密钥作用于明文，这是众所周知的轮(round)。DES 有 16 轮，这意为着要在明文的分组上 16 次施用相同的组合技术。3.2非对称加密技术非对称密钥加密技术也称为公开密钥加密技术，是由安全问题专家WitefieldDiffre 和 MartinHellman

18、于 1976 年首次提出的。这种技术需要使用一对密钥来分别完成加密和解密操作，每个用户都有一对密钥，一个私钥（PrivateKey）和一个公钥（PublicKey），它们在数学上相关、在功能上不同。私钥由所有者秘密持有，而公钥则由所有者给出或者张贴在可以自由获取的公钥服务器上，就像用户的姓名、电话、E-mail 地址一样向他人公开。如果其他用户希望与该用户通信，就可以使用该用户公开的密钥进行加密，而只有该用户才能用自己的私钥解开此密文。当然，用户的私钥不能透露给自己不信任的任何人。非对称密钥加密技术实现机密信息交换的基本过程是： 用户生成一对密钥并将其中的一个作为公钥向其他用户公开； 发送方使

19、用该用户的公钥对信息进行加密后发送给接收方； 接收方利用自己保存的私钥对加密信息进行解密，接收方只能用自己的私钥解密由其公钥加密后的任何信息。 非对称密钥算法中涉及到的概念： 1）密钥对 在基于公钥体系的安全系统中，密钥是成对生成的，每对密钥由一个公钥和一个私钥组成。在实际应用中，私钥由拥有者自己保存，而公钥则需要公布于众。为了使基于公钥体系的业务（如电子商务等）能够广泛应用，一个基础性关键的问题就是公钥的分发与管理。公钥本身并没有什么标记，仅从公钥本身不能判别公钥的主人是谁。 2）证书 互联网络的用户群决不是几个人互相信任的小集体，在这个用户群中，从法律角度讲用户彼此之间都不能轻易信任。所以

20、公钥加密体系采取了另一个办法，将公钥和公钥的主人名字联系在一起，再请一个大家都信得过有信誉的公正、权威机构确认，并加上这个权威机构的签名。这就形成了证书。 由于证书上有权威机构的签字，所以大家都认为证书上的内容是可信任的；又由于证书上有主人的名字等身份信息，别人就很容易地知道公钥的主人是谁。 3）CA（CertificateAuthority） 本文中所谈到的权威机构就是电子签证机关（即 CA）。CA 也拥有一个证书（内含公钥），当然，它也有自己的私钥，所以它有签字的能力。网上的公众用户通过验证 CA 的签字从而信任 CA，任何人都应该可以得到 CA 的证书（含公钥），用以验证它所签发的证书。

21、如果用户想得到一份属于自己的证书，用户先向 CA提出申请。在 CA 判明申请者的身份后，便为用户分配一个公钥，并且 CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给那个用户（申请者）。如果一个用户想鉴别另一个证书的真伪，这个用户就用 CA 的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。CA 除了签发证书之外，它的另一个重要作用是证书和密钥的管理。由此可见，证书就是用户在网上的电子个人身份证，同日常生活中使用的个人身份证作用一样。3.3数字签名技术常见算法数字签名的算法很多,应用最为广泛的三种:Hash签名、DSS签名、RSA签名。（1）Hash

22、签名：Hash 签名不属于强计算密集型算法，应用较广泛。很多少量现金付款系统都使用 Hash 签名。由于使用较快的算法,可以降低服务器资源的消耗,减轻中央服务器的负荷。Hash 的主要局限是接收方必须持有用户密钥的副本以检验签名,因为双方都知道生成签名的密钥，较容易攻破，存在伪造签名的可能。如果中央或用户计算机中有一个被攻破,那么其安全性就受到了威胁。（2）DSS 和RSA 签名:DSS和 RSA采用了公钥算法,不存在Hash的局限性。RSA 是最流行的一种加密标准，许多产品的内核中都有 RSA 的软件和类库,早在 Web 飞速发展之前,RSA 数据安全公司就负责数字签名软件与Macintos

23、h操作系统的集成,在Apple的协作软件PowerTalk上还增加了签名拖放功能,用户只要把需要加密的数据拖到相应的图标上,就完成了电子形式的数字签名。RSA与Microsoft、IBM、Sun和Digital都签订了许可协议,使在其生产线上加入了类似的签名特性。与 DSS 不同,RSA既可以用来加密数据,也可以用于身份认证。和Hash签名相比，在公钥系统中,由于生成签名的密钥只存储于用户的计算机中,安全系数大一些。4.数字签名中存在的问题及应对策略4.1数字签名中存在的问题我国电子商务起步相对较迟，技术较落后，缺乏具有自主知识产权的安全产品，因此在许多方面还存在安全隐患在数字签名中主要存在的

24、安全问题有数字签名的网络安全问题! 电子商务运行的平台就是互联网，而互联网是一个面向公众的开放性的系统，其本身就存在安全因素，这对数字签名的安全带来巨大的威胁关于用户隐私和商业秘密保护方面”的问题，用户采用了数字签名技术后，其隐私和商业秘密能否得到保障也是一个难题。数字签名的实现需经过多个环节，从发送端经公众网络传输至认证中心，然后再经公众网络传至接收端， 每一个环节用户的数据都有可能被泄露。在广泛接受数字签名的过程中还存在着诸多法律问题，需要立法机构对数字签名技术有足够的重视，并且在立法上加快脚步，迅速制定有关法律，以充分实现数字签名具有的特殊鉴别作用。4.2应对我国数字签名应用中存在问题的策略以下提出应对我国数字签名存在问题的若干建议:大力发展先进的具有自主知识产权的信息技术,建立一个完整的信息网络安全体系.我国的信息安全研究起步较晚,在网络信息系统中使用的计算机、路由器等软硬件系统大部分由国外引进。而且信息技术相对落后，这就增加了我国数字签名发展中的安全风险。因此要加快完善我国信息网络安全的技术安全管理安全和政策法律安全体制的步伐。 参考文献1毛德操,胡希明著.Linux 内核源代码情景分析M.浙江大学出版社 2001.9. 2方勇,刘嘉勇著,信息系统安全导论M,电子工业出版社,2003.2. 3王开庆.计算机密码学原理M.清华大学出版社, 2000.11.