電子商務(wù)安全協(xié)議的分析與比較1

電子商務(wù)安全協(xié)議的分析與比較[摘要]隨著社會(huì)的發(fā)展，科技的進(jìn)步。人類迅速進(jìn)入以網(wǎng)絡(luò)為主的信息時(shí)代，Internet的高速發(fā)展帶來(lái)了商業(yè)和經(jīng)濟(jì)模式的重大變革。以Internet為主的電子商務(wù)慢慢成為人們進(jìn)行商務(wù)活動(dòng)的新模式。但是，與此同時(shí)安全問(wèn)題成為了制約其發(fā)展的重要瓶頸。本文就電子商務(wù)安全問(wèn)題及其主要協(xié)議：SSL協(xié)議SET協(xié)議進(jìn)行簡(jiǎn)單的分析和比較。[關(guān)鍵詞]電子商務(wù)SSLSET1引言隨著信息技術(shù)的迅速發(fā)展，基于Internet的電子商務(wù)已經(jīng)深入到人們生活的方方面面。安全是電子商務(wù)的基石，如何保證電子商務(wù)交易活動(dòng)中信息的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等是電子商務(wù)發(fā)展中迫切需要解決的問(wèn)題。電子商務(wù)安全要素為保證電子商務(wù)在整個(gè)商品交易過(guò)程中順利安全進(jìn)行，一般需要電子商務(wù)安全系統(tǒng)有以下安全要素。1)有效性：電子商務(wù)系統(tǒng)可以對(duì)信息，交易實(shí)體的有效性進(jìn)行鑒別2)可靠性和不可抵賴性：在進(jìn)行電子商務(wù)交易時(shí)，交易信息在傳輸過(guò)程中將為參與交易的個(gè)人、企業(yè)、國(guó)家提供可靠的標(biāo)識(shí)3)數(shù)據(jù)的完整性：即保護(hù)數(shù)據(jù)的完整性，防止有人沒(méi)有經(jīng)過(guò)授權(quán)就對(duì)數(shù)據(jù)內(nèi)容進(jìn)行修改，同時(shí)還要保證數(shù)據(jù)的一致性4)機(jī)密性：保證信息在存取和傳輸過(guò)程中的安全性3.安全套接層協(xié)議（SSL）安全套接層協(xié)議(SecureSocketLayer，簡(jiǎn)稱SSL)是美國(guó)網(wǎng)景在Internet環(huán)境下提供端到端的安全連接。它能夠?qū)π庞每ê蛡€(gè)人信息提供較強(qiáng)的保護(hù)。SSL是對(duì)計(jì)算機(jī)之間整個(gè)會(huì)話進(jìn)行加密的協(xié)議。在SSL中，采用了公開(kāi)密鑰和私有密鑰兩種加密方法。目前，幾乎所有操作平臺(tái)上的WEB瀏覽器（IE、Netscatp）以及流行的Web服務(wù)器（IIS、NetscapeEnterpriseServer等）都支持SSL協(xié)議，現(xiàn)在它已成為事實(shí)上的工業(yè)標(biāo)準(zhǔn)。SSL協(xié)議解決了目前TCP/IP協(xié)議難以滿足的網(wǎng)絡(luò)安全通信的要求，它運(yùn)行在TCP/IP協(xié)議之上而在其他高層的應(yīng)用層協(xié)議（如HTTP、FTP、SMTP、LDAP和IMAP等）之下。SSL協(xié)議在應(yīng)用層協(xié)議通信之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器認(rèn)證工作。在此之后應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都會(huì)被加密，從而保證通信的私密性。SSL可分為兩層：一是握手層，二是記錄層。SSL握手協(xié)議描述建立安全連接的過(guò)程，在客戶和服務(wù)器傳送應(yīng)用層數(shù)據(jù)之前，完成諸如加密算法和會(huì)話密鑰的確定，通信雙方的身份驗(yàn)證等功能；SSL記錄協(xié)議則定義了數(shù)據(jù)傳送的格式，上層數(shù)據(jù)包括SSL握手協(xié)議建立安全連接時(shí)所需傳送的數(shù)據(jù)都通過(guò)SSL記錄協(xié)議再往下層傳送。這樣，應(yīng)用層通過(guò)SSL協(xié)議把數(shù)據(jù)傳給傳輸層時(shí)，已是被加密后的數(shù)據(jù)，此時(shí)TCP/IP協(xié)議只需負(fù)責(zé)將其可靠地傳送到目的地，彌補(bǔ)了TCP/IP協(xié)議安全性較差的弱點(diǎn)。SSL協(xié)議安全性分析1)用戶和服務(wù)器的合法性認(rèn)證：用戶和服務(wù)器都有各自的識(shí)別號(hào)，采用公鑰技術(shù)，在握手階段進(jìn)行數(shù)字認(rèn)過(guò)數(shù)字簽名和數(shù)字證書實(shí)現(xiàn)瀏覽器和WEB服務(wù)器之間的身份認(rèn)證，但仍不能實(shí)現(xiàn)多方認(rèn)證。SET協(xié)議要求所有參與交易活動(dòng)的各方都必須使用數(shù)字證書，較好的解決了客戶與銀行、客戶與商家、商家與銀行之間的多方認(rèn)證問(wèn)題。3.安全程度SET協(xié)議由于采用了非對(duì)稱加密、消息摘要和數(shù)字簽名可以確保信息的機(jī)密性、認(rèn)證性、完整性和不可否認(rèn)性，特別是SET協(xié)議采用了雙重簽名技術(shù)來(lái)保證各參與方信息的相互隔離，使商家只能看到持卡人的訂單信息，而銀行只能取得持卡人的信用卡信息。SSL協(xié)議雖也采用了公鑰加密和信息摘要等技術(shù)，也可以提供機(jī)密性、完整性和一定程度的身份驗(yàn)證功能，但缺乏一套完整的認(rèn)證體系，不能提供電子商務(wù)交易活動(dòng)中非常重要的不可否認(rèn)性證明。4.運(yùn)行效率SET協(xié)議非常復(fù)雜、龐大、運(yùn)行速度慢。一個(gè)典型的SET交易過(guò)需驗(yàn)證電子證書9次、驗(yàn)證數(shù)字簽名6次、傳遞證書7次、進(jìn)5次簽名4次對(duì)稱加密和4次非對(duì)稱加密，整個(gè)交易過(guò)程非常耗時(shí)；而SSL協(xié)議則簡(jiǎn)單很多，運(yùn)行效率也比SET協(xié)議高。5.部署成本SSL協(xié)議已被大部分的瀏覽器和WEB服務(wù)器內(nèi)置，無(wú)須安裝專門軟件；而SET協(xié)議中客戶端要安裝專門的電子錢包軟件，在商家服務(wù)器和銀行網(wǎng)絡(luò)上也需安裝相應(yīng)的軟件，部署成本高。SSL協(xié)議與SET協(xié)議比較匯總?cè)绫?所示。SSL協(xié)議SET協(xié)議工作層次傳輸層應(yīng)用層認(rèn)證機(jī)制雙方認(rèn)證多方認(rèn)證安全程度較高（不提供不可否認(rèn)性）很高（提供不可否認(rèn)性）運(yùn)行效率高低部署成本低高參考文獻(xiàn)：1.陳果