1、加密技术在电子商务安全中的应用加密技术在电子商务安全中的应用 加密技术在电子商务安全中的应用摘要： 随着Intemet的不断发展，我们开始接触到一个新名词：电子商务(EC，Electronic Commerce)，即电子交易。Intemet正在改变我们访问和购买信息，通讯和支付服务费用等购物的方式，已经出现诸如网上帐单支付、股票经营、保险和家庭银行等金融服务，风起云涌的电子商务正掀起经济领域一次新的革命。由于这种新的完整的电子商务系统可以将内部网与Intemet连接，小至本企业的产品库存、购发货、帐款收支等商务运转，大至国家的政治、经济机密都将面临网上黑客与病毒的考验，因此，安全问题便成了电子
2、商务生死攸关的首要问题。关键词: 电子商务 交易安全 数据加密 加密技术 应用 核心和关键问题一、什么是电子商务?电子商务（Electronic Commerce）的定义：以电子及电子技术为手段，以商务为核心，把原窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。篡改信息。电子的交易信息在网上传输的过程中，可能被他人非法地修改、删除或重放，这样就使信息失去了真实性和完整性。假冒。由于掌握了数据的格式，通过篡改信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端用户很难分辨。另外，第三方有可能假冒交易一方的身份，以破坏交易、败坏被假冒一方的信誉或盗
3、取被假冒一方的交易成果等。恶意破坏。计算机网络本身容易遭到一些恶意程序的破坏，而使电子商务信息遭到破坏。由于攻击者甚至可以接人网络，对网络中的信息进行修改，或者潜入网络内部、其后果则更为严重。三 加密技术的分析1 、 加密技术概述加密是以某种特殊的算法改变原有的信息数据，使得未授权的用户即使获得了已加密的信息，但因不知解密的方法，仍然无法了解信息的内容。加密之所以安全，绝非因不知道加密解密算法方法，而是加密的密钥是绝对的隐藏，现在流行的RSA和AES加密算法都是完全公开的，一方取得已加密的数据，就算知到加密算法也好，若没有加密的密钥，也不能打开被加密保护的信息。单单隐蔽加密算法以保护信息，在学
4、界和业界已有相当讨论，一般认为是不够安全的。公开的加密算法是给骇客和加密家长年累月攻击测试，对比隐蔽的加密算法要安全多。在密码学中，加密是将明文信息隐匿起来，使之在缺少特殊信息时不可读。虽然加密作为通信保密的手段已经存在了几个世纪，但是只有那些对安全要求特别高的组织和个人才会使用它。在20世纪70年代中期，强加密（Strong Encryption）的使用开始从政府保密机构延伸至公共领域，并且目前已经成为保护许多广泛使用系统的方法，比如因特网电子商务、手机网络和银行自动取款机等。加密可以用于保证安全性，但是其它一些技术在保障通信安全方面仍然是必须的，尤其是关于数据完整性和信息验证；例如，信息验
5、证码（MAC）或者数字签名。另一方面的考虑是为了应付流量分析。加密或软件编码隐匿（Code Obfuscation）同时也在软件版权保护中用于对付反向工程，未授权的程序分析，破解和软件盗版及数位内容的数位版权管理（DRM）等。2 、 什么是加密技术加密技术是最常用的安全保密手段，利用技术手段把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。 加密技术包括两个元素：算法和密钥。算法是将普通的信息或者可以理解的信息与一串数字（密钥）结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解密的一种算法。在安全保密中，可通过适当的钥加密技术和管理机制来保证网络的信息通
6、信安全。3 、1 对称密钥密码体制。对称加密双方采用共同密钥，（当然这个密钥是需要对外保密的），凯撒密码通过对字母移位的方式进行加密,这是一种典型的对称加密算法。其算法是:如果密钥为3,将26个英文字母顺序不变,但使a,b,c,z分别对应d,e,f,c。如果明文为day,那么密文就是gdb。解密算法是加密算法的逆运算,即字母位置向前移动3位,并一一对应。但此种算法由于字母出现频率的高低容易被破解,并且只有26个字母,容易被穷举法分析得出密钥。对称加密体制中,加密密钥与解密密钥相同。因此,密钥的保护尤为重要,如果第三方截获该密钥就会造成信息失密。在对称加密算法中,可以保障的只有信息的保密性。而无
7、信息的完整性等其他性能。（附图1）3.2 非对称密钥密码体制与对称密钥密码体制相对应,非对称加密算法中,加密密钥与解密密钥不同。这对密钥在密钥生成过程中同时产生。在使用时,该对密钥持有人将其中一个密钥公开,而将另一密钥作为私有密钥加以保密,前者称为公钥,后者称为私钥。任何持有公钥的人都可加密信息,但不能解密自己加密的密文,只有密钥持有者可以用私钥对收到的经过公钥加密的信息解密。由于在非对称密钥密码体制所使用的两个不同的密码中有一个需要向所有期望同密钥持有者进行安全通信的人随意公开,所以该密码体制又被称为公钥密码体制。加密技术的应用 安全问题是企业应用电子商务最担心的问题，而如何保障电子商务活动
8、的安全，将一直是电子商务的核心研究领域。作为一个安全的电子商务系统，首先必须具有一个安全、可靠的通信网络，以保证交易信息安全、迅速地传递；其次必须保证数据库服务器绝对安全，防止黑客闯入网络盗取信息。 电子商务（E-business）要求顾客可以在网上进行各种商务活动，不必担心自己的信用卡会被人盗用。在过去，用户为了防止信用卡的号码被窃取到，一般是通过电话订货，然后使用用户的信用卡进行付款。现在人们开始使用各种加密技术，提高信用卡交易的安全性，从而使电子商务走向实用成为可能。 1、SET协议 SET是当前Internet上比较常用的加密方法，SET(Secure Electronic Trans
9、action, 安全电子交易)协议是基于信用卡在线支付的电子商务系统的安全协议。 SET协议通过制定标准和采用各种技术手段, 解决了当时困扰电子商务发展的安全问题。由于得到了很多大公司的支持, 它已形成了事实上的工业标准,已获IETF 标准认可。 SET协议的购物系统由客户、商家、支付网关、收单银行和发卡银行五个部分组成。当持卡人在网上商店选择了要购买的商品，填写订单并选择付款方式为“在线支付”时，SET协议开始介入工作，它的参与者之间的数据交换过程如图所示。 持卡人发送给商家一个完整的定单及要求付款的指令。在SET协议中，订单和付款指令由持卡人进行数字签名，同时利用双重签名技术保证商家看不到
10、客户的银行账号信息；商家接受订单后，向为持卡人开户的金融机构发出支付请求；通过支付网关将银行账号传送到收单银行，再到发卡银行进行确认；当发卡银行批准交易后，返回确认信息给商家；商家发送订单确认信息给持卡人；持卡人计算机上的软件可记录交易日志，以备将来查询；商家给持卡人配送货物，完成订购服务，一个购物过程至此结束。 SET协议是适合于B2C模式电子商务的、以信用卡为基础的支付协议， SET 使用多种安全技术来达到安全支付的要求，其中对称密钥技术、非对称加密技术和Hash 算法是核心。 SET采用两种加密算法进行加密、解密处理,其中密钥加密是基础；公钥加密是应用的核心。密钥加密用同一个密钥来加密和
11、解密数据,主要算法是DES；公开密钥要求使用一对密钥,一个公开发布,另一个由收信人保存。发信人用公开密钥加密数据,收信人则用私钥去解密,主要算法是RSA。 金融交易要求发送报文数据的同时发送签名数据作为认证。这种数字签名是一组加密的数字。SET要求用户在进行交易前首先进行数字签名,然后进行数据发送。 网上交易过程中必须确认用户、商家及所进行的交易本身是否合法可靠。SET体系中还有一个关键的机构认证中心(CA)，它根据X.509 标准发布和管理数字证书。SET协议规定CA发给每个持卡人一个数字证书，持卡人选中一个口令，用它对数字证书和私钥、信用卡号以及其他信息加密存储。这些与一个支持SET 协议
12、的软件一起组成了一个SET电子钱包。 金融交易所使用的密钥必须经常更换,SET使用数字信封来传递更换密钥。其方法是由发送数据者自动生成专用密钥,用它加密原文,将生成的密文连同密钥本身一起再用公开密钥加密,然后传送出去。收信人在解密后同时得到专用密钥和用其加密后的密文。 SET协议可以很好地满足电子商务中对信息的安全提出的四项原则：数据的机密性、完整性、个体识别性、不可抵赖性。 SET协议是针对在线支付而设计的支付协议，而采用“货到付款方式”、“邮局汇款”等非在线支付方式则与SET协议无关。1 在银行电子商务方面的应用网上银行的业务量正在逐年攀升，对用户的账户，密码等个人私密信息的保护已经成为网
13、银业务发展的关键和核心。在这方面，各大银行均推出自己的数据安全工具，其中使用比较普遍的有USB KEY，例如工商银行的U盾，农业银行的K宝等。USB KEY建立了基于公钥（PKI）技术的个人证书认证体系。在技术方面，客户证书通过个人证书认证和数字签名技术，对客户的网上交易实施身份认证，并且可以签署各种业务服务协议，能够自动生成RSA私有密钥和安全存储数字证书，确保交易和协议的惟一完整和不可否认。另外工商银行所提供的电子银行口令卡对客户来说也是一个不错的选择，它相当于一种动态的电子银行密码，一次一密的操作方法能有效抵御木马病毒和假网站的危害，最大限度地保障客户利益。加密技术在电子出版版权中的应用
14、 置乱加密技术 置乱技术是数据加密的一种方法。通过置乱技术,可以将数字信号变得杂乱无章，使非法获取者无法确知该数字信号的正确组织形式,无法从其中获得有用的信息。基于DirectShow对视频进行一系列的采集、分帧、合成等处理,同时采用Arnold变换对单帧图像进行置乱操作,使得置乱后的视频表现为黑白噪声 的形式 。所建立的视频处理框架可以处理各种格式的视频,如AVI、MPEG等格式的视频信号,置乱后的视频可以抵抗一定程度的压缩、帧处理等操作。 视频文件由于不同的压缩方式、文件组织方式等，使得其格式繁多，所以处理时需要把不同格式的视频文件解码为统一的非压缩格式。另外考虑到视频文件通常数据量都很大
15、，采用将视频文件按单帧图像进行处理的方式，将视频数据流分为单帧序列，经过解压、处理、存储一帧后，再读取下一帧的数据进行同样的处理。这样可以保证内存中只有单帧的数据量。 数字水印技术 数字水印的基本思想是利用人类感觉器官的不敏感，以及数字信号本身存在的冗余，在图像音频和视频等数字产品中嵌入秘密的信息以便记录其版权，同时嵌入的信息能够抵抗一些攻击而生存下来，以达到版权认证和保护的功能。数字水印并不改变数字产品的基本特性和使用价值。一个完整的数字水印系统应包含三个基本部分:水印的生成、嵌入和水印的提取或检测。水印嵌入算法利用对称密钥或公开密钥实现把水印嵌入到原始载体信息中，得到隐秘载体。水印检测提取
16、算法利用相应的密钥从隐蔽载体中检测或恢复出水印，没有解密密钥，攻击者很难从隐秘载体中发现和修改水印。 根据水印所附载体的不同，可以将数字水印划分为图像水印、音频水印、视频水印、文本水印和用于三维网格模型的网格水印及软件水印等。 (1)图像水印。根据水印的嵌入方式不同，图像水印算法主要分为空间域方法和变换域方法。空间域方法是通过改变图像中某些像素值加入信息，再通过记录提取这些信息来检测水印，常用的LSB算法有两种:一种是将图像的LSB用伪随机序列来代替；另一种是在LSB中加入伪随机序列。 (2)音频水印。音频水印利用音频文件的冗余信息和人类听觉系统(human audio system)的特点来
17、嵌入数字水印。对于一个实用的数字音频水印系统，最主要的评价指标首先是重建声音信号的质量和水印数据的误码率，其次是水印数据的比特率和所增加的计算量。目前的音频水印技术主要集中于研究低比特位编码、相位编码、回声隐藏和基于扩展频谱编码等四个方面。 (3)视频水印。相较于数字水印的一般特性，视频水印还有一些特殊的要求：实时处理性 、随机检测性、与视频编码标准相结合。 视频水印嵌入方法可分为三种:第一种是将水印信息直接嵌入到编码压缩之前的原始视频图像序列中，然后再对含有水印信息的视频图像进行编码压缩。这种方法可以利用静止图像的水印嵌入算法，但过程比较复杂，而且在压缩中水印信息有可能遭到破坏。第二种是在编
18、码压缩时嵌入水印，这种方法过程比较简单，但水印的嵌入和提取算法需要修改编码器和解码器。 第三种是在压缩域中嵌入水印，即将水印信息嵌入到编码压缩后的码流上，这种方法不需要完全解码和再编码过程，因此计算量小，实时性好。 (4)文本水印。文本水印算法的基本思想是通过轻微改变字符间距、行间距或增加、删除字符特征等方法来嵌入水印(如底纹线)，但它无法抵御攻击。攻击者可通过对字符间距、行间距进行随机处理来破坏水印。文档中若不存在可插入标记的可辩认空间(perceptual headroom)，则不能被插入水印。对于诸如PostScript、PDF、WPS、WORD等类型的文档 ，可以将一个水印嵌入版面布局
19、信息(如字间距或行间距)或格式化编排中。Brassil和 Low等人提出了几种不同的在PostScript格式文本中嵌入水印的方法。如行移编码通过将文本的某一整行垂直移动插入标记，当一行被上移或下移时，不动的相邻行被看作是解码的参考位置；字移编码通过将文本的某一行中的一个单词水平移位插入标记，不动的相邻单词被看作是解码过程中的参考位置；特征编码通过改变某个单个字母的某一特殊特征来插入标记。 (5)网格水印。网格空间的利用率是评价网格水印的一个重要参数，而空间利用率和稳健性之 间通常会存在矛盾，因此也要协调好空间利用率和稳健性之间的关系。空域 3D网格水印嵌入算法直接在原始网格中通过调整网格几何
20、、拓扑和其他属性的参数嵌入水印。最具代表性的算法是 Ohbuchi等人提出的三角形相似四元组 (Triangle Similarity Quadruple，TSQ)算法、四面体体积比(Tetrahedron Volume Ratio，TVR)算法。 (6)软件水印。所谓的软件水印就是把程序的版权信息和用户身份信息嵌入到程序中。根据水印的嵌入位置，软件水印可以分为代码水印和数据水印。代码水印隐藏在程序的指令部分中，而数据水印则隐藏在包括头文件字符串和调试信息等数据中。根据水印被加载的时刻，软件水印可分为静态水印和动态水印。静态水印存储在可执行程序代码中，动态水印保存在程序的执行状态中。静态水印又
21、可分为静态数据水印和静态代码水印。动态水印主要有3类：Easter Egg水印、数据结构水印和执行状态水印。现有的软件水印算法有：Collberg和 Thomborson提出的一种动态图水印技术，即把软件水印隐藏在程序动态建立的图结构拓扑中。 四、个人用户终端采取的安全措施在电子商务中,客户终端一直以来都是安全的薄弱环节。从统计的数据来看,大约有85%的电子商务安全事件都是由于终端用户的安全问题引起的,针对用户终端的不安全性，使用如下措施来加强安全性:(1)使用SSL(安全套接层)解决WEB终端的安全套接：使用户通过WEB的数据是经过加密的,如MD5用于防止篡改或伪造报文,MD5结合DES或R
22、SA确保信息的完整性(即真伪)等。(2)软件键盘措施:用户使用鼠标点击软件键盘对应的按键,屏蔽了一些记录用户敲击真实键盘信息的软件。(3)验证码措施:由系统自动生成随机伪序列,每一次的验证码不相同,可以防止重放攻击。(4)确认体制:需要用户进行确认,这种确认可以是不同于网络的安全通道。五、 电子商务发展的核心和关键问题电子商务发展的核心和关键问题是交易的安全性。由于Internet本身的开放性,使网上交易面临了种种危险,也由此提出了相应的安全控制要求。密码学提供以下信息安全服务。信息的保密性。交易中的商务信息有保密的要求。如信用卡的帐号和用户名被人知悉,就可能被盗用。因此在电子商务的信息传播中
23、一般均有加密的要求。 信息的完整性。交易的文件是不可被修改的,如其能改动文件内容,那么交易本身便是不可靠的,客户或商家可能会因此而蒙受损失。因此电子交易文件也要能做到不可修改,以保障交易的严肃和公正。信息源鉴别。在商家发送信息过程中,可能出现伪装成商家的攻击者发送虚假信息,因此使用密码学中基于非对称加密技术的书签签名体制可以帮助数据接收方确认数据源自特定的用户。不可否认性。如果交易双方一方产生抵赖,将会对交易活动的另一方带来不可避免的损失。因此,必须确保通信和交易双方无法对已进行的业务进行否认。六、加密技术未来的发展趋势尽管非对称密码体制比对称密码体制更为可靠，但由于计算过于复杂，对称密码体制
24、在进行大信息量通信时，加密速率仅为对称体制的 5 6 577，甚至是 5 65777。正是由于不同体制的加密算法各有所长，所以在今后相当长的一段时期内，各类加密体制将会共同发展。而在由 .# 等公司于 5889 年联合推出的用于电子 商 务 的 协 议 标 准 10:（1;=3; 04;32? :3,?A,2?）中和 588C 年由多国联合开发的 &-& 技术中，均采用了包含单钥密码、双钥密码、单向杂凑算法和随机数生成算法在内的混合密码系统的动向来看，这似乎从一个侧面展示了今后密码技术应用的未来。在单钥密码领域，一次一密被认为是最为可靠的机制，但是由于流密码体制中的密钥流生成器在算法上未能突破
25、有限循环，故一直未被广泛应用。如果找到一个在算法上接近无限循环的密钥流生成器，该体制将会有一个质的飞跃。近年来，混沌学理论的研究给在这一方向产生突破带来了曙光。此外，充满生气的量子密码被认为是一个潜在的发展方向，因为它是基于光学和量子力学理论的。该理论对于在光纤通信中加强信息安全、对付拥有量子计算能力的破译无疑是一种理想的解决方法。由于电子商务等民用系统的应用需求，认证加密算法也将有较大发展。此外，在传统密码体制中，还将会产生类似于 ./0! 这样的新成员，新成员的一个主要特征就是在算法上有创新和突破，而不仅仅是对传统算法进行修正或改进。密码学是一个正在不断发展的年轻学科，任何未被认识的加 6
26、 解密机制都有可能在其中占有一席之地。七、总 结电子商务尚是一个机遇和挑战共存的新领域，这种挑战不仅来源于传统的习惯，来源于计划体制和市场体制的冲突、更来源于对可使用的安全技术的信赖。因此，电子商务的安全运行，不仅要从技术角度进行防范，更要从法律角度加强，从而保证电子商务快速健康地发展。电子商务安全只是数据加密技术在web安全方面的一个应用,同时它在电子邮件安全、IP安全性,入侵检测等方面的使用越来越广泛。值得注意的是,数据加密技术的安全只是暂时的,必须加强对数据加密技术的新技术、新理论研究,才能不断加强信息安全的广度与深度,密码技术的发展将会渗透到数据通信的每一个角落!！参 考 文 献1 汤
27、惟.密码学与网络安全技术基础M,北京:机械工业出版社,2004:11-172 William Stalling.Cryptography and Network Security Principles and Practices,Third EditionM,刘玉珍,王丽娜,傅建明等,译.北京:电子工业出版社,2004:188-1983 陈兵.网络安全与电子商务M,北京:北京大学出版社,2005:169-1794张晓黎:数据加密技术在电子商务安全中的应用J.计算机与数字工程,2005,(12) 5马宜兴:网络安全与病毒防范.上海交通大学出版社,2007,(5-14) 6张泽增赵霖:计算机加密算法M.西安:西安电子科技大学出版社,2004 7丁文霞卢焕章谢剑斌王浩:基于混沌系统的独立密钥DES数字图像加密算法J.计算机应用研究,2006,(2) 8张学军夏长富:计算机网络.大连理工大学出版社,2005,(166-170)
