电子商务中的身份认证技术和安全支付问题

北京师范大学珠海分校信息技术学院 肖红玉 杨林

电子商务中的身份认证技术和安全支付问题

北京师范大学珠海分校信息技术学院 肖红玉 杨林

本文从两个方面介绍了电子商务活动中的安全性问题：身份认证和支付安全。本文首先解释了电子商务中身份认证的关键技术和解决方案，然后给出了常用的支付安全设计方案。

数字证书 PKI/CA 支付安全

随着计算机技术和互联网技术的发展，电子商务成为了经济生活中很重要的一种销售、购买方式，通过电子商务可以方便快捷的进行商品浏览、下订单、购买商品。人们在进行网上电子商务交易时，安全性是交易双方都很看重的问题。本文将从电子商务安全性的两个很重要的方面：身份认证和支付安全进行研究，解释了这两方面的关键技术和可行性的设计方案，以图为实践提供有意义的指导。

1 数字身份认证技术的研究

常用的电子商务身份认证解决方案是：把密码学、PKI/CA与ActiveX技术应用在B/S体系机构中，设计出一套基于数字证书的电子商务平台的身份认证解决方案。

1.1 数字认证的关键技术

(1)密码学

密码学是研究编制密码和破译密码的技术科学。研究密码变化的客观规律，应用于编制密码以保守通信秘密的，称为编码学；应用于破译密码以获取通信情报的，称为破译学，总称密码学。

密码算法和安全协议是密码学的两个基本部分。

根据算法完成的功能来划分，密码算法可分为对称加密、公开密钥、数字签名及信息摘要这五种算法。

协议，是指两个参与者进行的为了完成某种特定任务而采取的一系列有序的步骤，这两个参与者可能是完全的相互信任的，也可能是攻击者和完全不信任的人。使用密码学完成某项特定任务并满足安全需求的协议就是安全协议，比如消息认证协议、数字签名协议等。

(2)PKI/CA与数字证书

PKI(Public Key Infrastructure)指的是公钥基础设施。CA(Certificate Authority)指的是认证中心。PKI从技术上解决了网络通信安全的种种障碍。CA从运营、管理、规范、法律、人员等多个角度来解决了网络信任问题。由此，人们统称为“PKI/CA”。从总体构架来看，PKI/CA主要由最终用户、认证中心和注册机构来组成。

PKI/CA的工作原理是建立一套信任网络，该网络是通过发送和维护数字证书来实现的。同一信任网络中的不同的用户拥有与其身份惟一对应的数字证书，该信任网络就是通过数字证书来完整身份认证和安全处理的。

可以将数字证书理解为数字版本的身份证、驾驶证等，在电子商务活动中，当系统需要客户表明身份时，客户就必须通过出示他的数字证书。

一个CA是以该CA为信任源，维护一定范围的信任体系，在该信任体系中，所有的用户、服务器，都被发送一张数字证书来表明其身份证在该信任体系中是可信任的。数字证书是交易活动中，用户、服务器用来检查对方身份的凭据。

注册中心的职责是审核证书申请者的真实身份。用户的身份通过审核后，注册中心将用户信息上传到CA，CA将根据该用户信息为用户制作数字证书。证书的吊销和更新也需要由注册中心向CA提交申请。也就是说，注册中心面向最终用户，CA面向注册中心，注册中心将最终用户和CA连接起来。

(3)ActiveX控件

电子商务系统中进行浏览器端安全控件的开发时，常选用ActiveX组件技术。该组件主要完成这些功能：对客户端要发送数据进行数字信封方式的封装；使用Des对称加密算法对发来的信息进行加密和数字签名；验证服务器数字证书的合法性。

ActiveX控件在电子商务系统中的具体实现过程如下：客户端向电子商务服务器发出请求，服务器向客户端回传内嵌有ActiveX控件的页面，由浏览器对ActiveX控件进行解释。浏览器根据页面中表明的ActiveX控件的ID值，在客户端计算机的注册表中进行查询，如果该ID值也存在于注册表中，说明客户端计算了已经安装了ActiveX控件，否则客户端就要根据页面中的路径信息，到服务器端下载ActiveX控件并自动安装注册。这样，ActiveX控件就可以使用了。

1.2 电子商务中数字认证流程

如图1所示，该系统框架图描述了电子商务系统中数字认证的详细工作流程：客户端通过浏览器访问电子商务系统服务器，服务器确认客户端安装了用于安全支付的ActiveX控件，客户端填写支付的相关信息，客户端ActiveX控件对客户填写的信息进行加密和数字签名，使用PKCS7标准封装成数字信封，并发送给服务器端，服务器端收到数字信封，调用具有同样加解密、签名算法的COM组件进行解封装，解密，验证数字签名，并访问CRL验证数字证书的合法性等工作，服务器返回确认信息给客户端，完成数字认证过程。

图1 电子商务系统中身份认证模块的框架

2 安全支付的解决方案

安全支付是电子商务系统中和身份认证同样重要的安全性问题，只有保证支付的可靠性，才能使买卖双方的交易活动顺利进行。因此，安全支付问题的研究对于电子商务系统，具有十分重要的意义。

2.1 安全支付方案

纵观目前各大电子商务网站和网上支付系统，主要有两种支付方式，来确保支付的安全性：口令卡、USB-KEY。

口令卡即银行颁发给客户的用户名和密码，在进行网上支付时，确认支付金额等信息后，支付系统需要用户提供其网上支付口令信息，这些信息是经过加密的，在确认口令信息正确后，支付系统才允许支付行为的合法性。

USB-KEY是一种物理方式的安全保证系统。用户在注册网上银行时，银行颁发经过加密的与用户信息相符合的数字签名，并将此数字签名存储在USB-KEY中。在进行网上支付时，支付系统需要确认客户端连接了USB-KEY，并且该USB-KEY中的数字签名是与用户信息向符合的，这样支付系统才运行支付行为的进行。

对于两种安全支付方式，口令卡方式具有操作的简易性的优点，USB-KEY操作相对复杂，并且需要客户端安装USB-KEY驱动等软件，但是它具有更高的安全性，因此建议对安全性要求高的客户，选用USB-KEY安全支付方式。

2.2 支付安全的容错性设计

尽管采取了各种设计方案来确保支付的安全性，交易过程中，仍然会出现人为的或者不确定性因素造成的错误支付行为，因此，有必要采取相应措施，提高支付系统的容错性。

目前，普遍采用的容错性方案是：支付行为结束后，并不是马上将交易货款划入卖方的账户，而是将这笔货款暂存在电子商务提供商或者银行里，等买方确认交易活动的成功进行后，才将货款划入买方账户。买方在支付货款后，如果发现交易活动有误，可以取消该交易，这样已经支付的货款就会返回到买方的账户。这种容错性设计方案，大大提高了支付的安全性。

3 结语

本文详细介绍了电子商务系统中身份认证和安全支付这两个安全问题的技术细节和设计方案。为了保证电子商务交易的顺利进行，本文介绍了采用密码学、PKI/CA、ActiveX等技术相结合的身份认证解决方案，在安全支付方面，本文解释了安全系统设计的方法和容错性方案，所有这些技术和设计方案为电子商务交易的安全进行提供了强有力的保证。

[1] 张琳.基于PKI的电子商务安全研究[J].电子科技大学学报,2009,(11).

[2] 周展飞,周典萃等.电子商务协议的公平性[J].电子学报,2000,(9).

[3] 张宇,陈华钧.电子商务系统信任管理研究综述[J].电子学报,2008,(10).

[4] OPPLIGER K GAJEK S:Effective protection against Phishing and Web spoofing[C].International Federation for Information Processing,2005.

F272.9

A

1005-5800(2010)08(c)-087-02