[摘 要] 本文根据目前电子商务活动中的信息安全问题,从技术的角度详细探讨了构成电子商务环境安全数据传输的主要技术,即对称密钥加密技术,非对称密钥加密技术,数字签名技术,数字信封。本文根据以上技术特点,并基于电子商务环境下的数据加密技术提出一个安全数据传输的实现流程,对电子商务的安全交易起到了积极的促进作用。
[关键词] 电子商务 信息安全 数据加密
一、前言
Internet的迅猛发展给传统的商务带来了新的机遇和挑战。随着互联网的快速发展,一种新的商务形式应运而生,即电子商务。与传统的商务相比,电子商务具有节约能源,消除时空差距和效率高等优点,但电子商务发展的却不是非常成功,其中最主要的问题就是信息安全,因此,从事电子商务的企业比传统的商务企业承担更大的风险,这种风险包括黑客攻击,病毒感染和信息安全受到威胁等。美国网络权威杂志《信息安全》的‘2001信息安全调查’一文中指出有66%的企业担忧信息安全问题并声称它是企业发展电子商务的最大障碍,75%的企业在过去的经营过程中已经经历了严重的IT安全问题。由此可见,在影响电子商务发展的众多因素中,信息安全则是影响电子商务发展的瓶颈。信息安全主要指盗听信息、篡改信息和伪造信息等,因此,可以说,今天乃至将来电子商务的发展在很大程度上取决于信息安全。为了增强电子商务的安全机制,主要采用防火墙技术、公开密钥加密技术、数据加密技术、数字签名、数字时间戳技术、身份认证和安全协议等。在保证像信息的机密性、真实性、完整性这些必要的信息安全中,公钥加密技术扮演着非常重要的角色。本文主要对电子商务环境下信息在传输过程中,基于数字加密算法的相关应用技术的详细探讨,并提出一个改进的电子商务环境下基于加密算法的安全数据传输流程。
二、加密技术
在线电子交易是实施电子商务的一个重要环节。这个环节把服务商、客户和银行三方通过互联网连接起来,并实现具体的业务操作。在这个在线交易过程中,客户的信用卡信息,服务商的信息都是需要保密的,我们称之为在Internet上传输的敏感数据。为了能够安全的传输敏感数据,目前国内外主要采用数据加密技术。常用的数据加密技术主要有对称密钥加密技术和公开密钥加密技术。
1.对称密钥加密技术
对称密钥加密技术,顾名思义既是对在Internet上传输的敏感数据采用相同的密钥进行加密和解密。如果密钥不完全相同,也可以很容易地通过算法从一个密钥计算出另一个密钥。即在对称密钥加密算法中,两个密钥和算法之间具有很大的相关性。目前国内外应用最广的对称密钥加密技术采用的是DES算法。这种加密技术的优点是算法简单,加密、解密速度快, 破译极其困难。缺点是无法在公开的网络上安全传输密钥和密钥的数目难于管理。采用对称密钥加密技术进行数据传输的安全性决定于密钥本身的安全性。鉴于对称加密存在的诸多问题,又出现了非对称加密技术。
2.公开密钥加密技术
公开密钥加密技术也称为非对称密钥加密技术,这种技术是对非对称密码算法的应用,其中最著名的是基于数论原理的RSA算法。在1976年Diffie和Hellman首先设想出公共密钥加密算法,在1977年Risvest、Shamir和Adleman 设计了RSA 加密算法。根据数论原理,此算法的安全性在于将一个大数分解成两个素数的困难性。在公开密钥加密系统中,每个用户有两个密钥,一个是公开密钥,简称公钥,它是用来给数据加密的,所以又称加密密钥。另一个是私有密钥,简称私钥,它是用来给加密后的数据解密的,所以又叫解密密钥。
(1)工作原理
公钥是公开的,私钥是秘密的。当敏感数据在Internet上传输时,首先用接收方的公开的公钥对其进行加密encrypt a message,形成密文,当密文到达目的地时,接收方再用其私有的密钥对密文进行解密the receiver can decipher with his private key。这样,在数据的传输过程中,被传输的是加密后的密文,而不是赤裸的敏感数据。即使在传输的过程中数据被窃取,但由于窃取的是密文,而窃取者有不知道私钥,所以不会造成数据的丢失,从而保证了敏感数据sensitive data在传输过程中的安全性。公开秘钥加密系统的工作流程如图1所示。
(2)算法的基本思想
①取两个大素数α和β,n=α*β,n称为RSA算法的模数。
②计算欧拉函数Φ(n)= (α-1)*(β-1)
③从[0,n-1]中取一个与Φ(n)互质的数e,e称为公开加密指数。
④由e*d=1 mod Φ(n),计算出d,d成为解密指数。
⑤公钥PK={e,n},私钥SK={d,n}
其中e,n是公开的,而d,α,β是保密的。
设X,Y分别为明文,密文,则
Y=Xe mod n
X=Yd mod n
RSA公开密钥加密体系的安全性在于当仅知道e,n的情况下是无法通过算法计算出d,除非分解大数n,但是大数n的分解却不是一件容易的事。所以,一般情况下,只要n足够大(当然这里所说的足够大是相对于计算机的计算能力而言的),我们是不会怀疑采用该算法的加密技术的安全性。因此,该加密技术的优点是安全性较高,缺点是RSA的算法复杂,加密、解密的速度相对较慢。
三、数字签名技术与数字信封
数字签名技术也是对非对称密码算法的应用,是非对称密码技术的逆运用。数字签名技术在电子商务中所起的作用相当于亲笔签名或印章在传统商务中所起的作用。即在电子商务发展过程中,采用数字签名技术能保证发送方对所发信息的不可抵赖性。在法律上,数字签名与传统签名同样具有有效性。
数据签名技术的工作原理:
1.把要传输的信息用杂凑函数(Hash Function)转换成一个固定长度的输出,这个输出称为信息摘要(Message Digest,简称MD)。杂凑函数是一个单向的不可逆的函数,它的作用是能对一个输入产生一个固定长度的输出。
2.发送者用自己的私钥(SK)对信息摘要进行加密运算,从而形成数字签名。
3.把数字签名和原始信息(明文)一同通过Internet发送给接收方。
4.接收方用发送方的公钥(PK)对数字签名进行解密,从而得到信息摘要。
5.接收方用相同的杂凑函数对接收到的原始信息进行变换,得到信息摘要,与⑷中得到的信息摘要进行比较,若相同,则表明在传输过程中传输信息没有被篡改。同时也能保证信息的不可抵赖性。若发送方否认发送过此信息,则接收方可将其收到的数字签名和原始信息传送至第三方,而第三方用发送方的公钥很容易证实发送方是否向接收方发送过此信息。
要保证数字签名的安全性,必须存在一个可信赖的数字时间戳机构。当产生一个新的数字签名时,应该到数字时间戳机构加盖一个时间戳,可以通过它来证明产生数字签名的有效时间。
然而,仅采用上述技术在Internet上传输敏感信息是不安全的,主要有两方面的原因。
1.没有考虑原始信息即明文本身的安全;
2.任何知道发送方公钥的人都可以获取敏感信息,而发送方的公钥是公开的。
解决1可以采用对称密钥加密技术或非对称密钥加密技术,同时考虑到整个加密过程的速度,一般采用对称密钥加密技术。而解决2需要介绍数字加密算法的又一应用即数字信封。
在采用上述信息传输过程中,把数字签名和明文用随即产生的对称密钥加密,再把对称密钥用接受方的公钥加密,即形成数字信封。这样,只有接受方的私钥才能打开此数据信封,获得对称密钥,从而得到明文。把数字信封和经过对称密钥加密过的数据合并到一起,称为密文。既可以安全的在Internet上传输的数据。
四、改进的安全信息传输流程
基于以上数据加密技术,完整的数据传输过程如图2所示。
现在,我们来分析一下图2,图中展示的是信息如何进行安全传输。但是,通过对图2的仔细研究,我们发现,图中有2点缺陷。第一,数字签名已经被发送方的密钥进行不对称加密了,因此没有必要用随机对称密钥对其进行对称加密,这样会延长整个加密过程的加密时间,并且发送方是惟一知道密钥的人,任何其他不知道发送方密钥的人都没办法伪造。第二,明文只被随即对称密钥进行对称加密一次,这显然不能完全确保通过互联网传输的信息的安全性。因此,我们再通过接受者的公钥对其进行二次加密,以保证信息的安全性。基于以上原因,本文提出了改进的数据加密流程,如图3所示,该流程可以减少整个加密过程的时间并且能提高信息在传输过程中的安全性。
五、结论
我国入世以后,面临着更加开放的发展环境。随着国家信息化建设的不断推进,对信息安全提出了更高的要求,在信息安全方面除了采取必要的保护措施和相关的法规、政策外,努力掌握核心技术则更为重要。
以上技术的结合是实现电子商务数据传输中安全保密的重要手段之一。上述改进的信息传输流程是一个主动的安全防御策略,可以防止信息被滥用,篡改,从而保证信息的安全传输。和其他电子商务安全技术相结合,可以一同构筑安全可靠的电子商务环境,使得网上通讯更加安全、可信。
参考文献:
[1]Sheng-Uei Guan,Yang Yang,SAFE.Secure agent roaming for e-commerce.Computers & Industrial Engineering ,42(2002):481
[2]Ray Hunt.Technological infrastructure for PKI and digital certification.Computer Communications,24(2001):1460
[3]W.Diffie, M.E.Hellman,NEW directions in cryptography,IEEE Transactions on Information Theory 22(1976)644-654
[4]William J Caelli, Edward P Dawson, Scott A Rea.PKI, Elliptic curve cryptography, and digital signatures. Computers & Security.18(1999)50-51
[5]Colette Fenn, Robert Shooter, Solictors, Tite&Lewis, Ken Allan, Ernst&Yong.IT Security Outsourcing How Safe is Your IT Security. Computer Law&Security Report Vol.18.2.2002
[6]Yang feihua, Tong xianping. The Information Security Mechanism in Electronic Commerce. Mcro-computer development.2(2002)39-43