- 相關(guān)推薦
PKI在企業(yè)電子商務(wù)的應(yīng)用論文
摘要：分析了電子商務(wù)企業(yè)面臨的常見安全威脅，提出了基于公鑰基礎(chǔ)設(shè)施PKI的電子商務(wù)安全解決方案，能有效保證電子商務(wù)活動(dòng)的安全。
關(guān)鍵詞：PKI；CA；數(shù)字證書；數(shù)字簽名
1PKI體系概述
PKI即公鑰基礎(chǔ)設(shè)施，是一個(gè)基于非對(duì)稱算法中的公鑰概念及技術(shù)而實(shí)施并提供安全服務(wù)的安全基礎(chǔ)設(shè)施，網(wǎng)絡(luò)通訊、網(wǎng)上交易可以利用它來保證信息安全。PKI應(yīng)用系統(tǒng)至少應(yīng)具有五個(gè)部分：CA、X.500目錄服務(wù)器、安全WWW服務(wù)器、Web安全通信平臺(tái)、安全應(yīng)用系統(tǒng)；而CA則是整個(gè)PKI的核心，所有的安全應(yīng)用全圍繞CA展開。PKI提供的安全服務(wù)包括：身份認(rèn)證、數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性等。
1.1CACA的功能包括
處理數(shù)字證書申請(qǐng)、頒發(fā)數(shù)字證書、證書更新及撤銷、管理數(shù)字證書撤銷表、數(shù)字證書的歸類及存檔。
1.2數(shù)字證書
數(shù)字證書是由CA發(fā)行的一種數(shù)字信息文件，用來標(biāo)志和證明網(wǎng)絡(luò)通信雙方的身份，內(nèi)容包括：主體身份及公鑰信息、CA及簽名信息、簽名算法等。證書大多采用X.509標(biāo)準(zhǔn)。
1.3數(shù)字簽名
數(shù)字簽名是由信息發(fā)送者通過HASH函數(shù)對(duì)信息進(jìn)行處理，產(chǎn)生別人無法偽造的一段數(shù)字串，用以認(rèn)證信息的來源并核實(shí)信息是否發(fā)生了變化。發(fā)送者用私鑰加密數(shù)據(jù)傳給接收者，接收者用發(fā)送者的公鑰解開數(shù)據(jù)后，就可以確定消息的來源，同時(shí)也是對(duì)發(fā)送者發(fā)送信息真實(shí)性的一個(gè)證明，發(fā)送者不能抵賴。
2企業(yè)電子商務(wù)活動(dòng)面臨的安全問題
企業(yè)電子商務(wù)活動(dòng)主要包括售前咨詢、在線下單、訂單處理、網(wǎng)絡(luò)支付、物流配送、售后服務(wù)等環(huán)節(jié)。這些環(huán)節(jié)除在線支付,其它部分沒有采用安全加密技術(shù)，存在著嚴(yán)重的安全問題。
2.1數(shù)據(jù)傳輸過程中的泄露問題
企業(yè)使用的通信軟件依賴TCP/IP協(xié)議，該協(xié)議并沒有解決身份認(rèn)證、信息泄密、數(shù)據(jù)篡改等安全問題，這導(dǎo)致了企業(yè)傳輸數(shù)據(jù)時(shí)面臨著嚴(yán)重的安全威脅。例如，企業(yè)員工傳輸?shù)碾娮余]件明文完全可能被攻擊者截獲，從而泄露了郵件的內(nèi)容。
2.2數(shù)據(jù)存儲(chǔ)時(shí)的篡改問題
企業(yè)存放在云數(shù)據(jù)庫、內(nèi)部數(shù)據(jù)庫中的數(shù)據(jù)以明文存儲(chǔ)，系統(tǒng)管理員固然可以設(shè)置數(shù)據(jù)文件的訪問控制權(quán)限，然而卻不能防范數(shù)據(jù)被篡改。一旦入侵者或內(nèi)部非授權(quán)人員得到了數(shù)據(jù)的讀寫權(quán)限，就可以非法修改數(shù)據(jù)。系統(tǒng)無法檢測(cè)數(shù)據(jù)是否被篡改、被誰篡改這樣的安全問題。
2.3用戶的身份識(shí)別問題
企業(yè)電子商務(wù)系統(tǒng)普遍采用賬戶加口令的方式進(jìn)行認(rèn)證，這種識(shí)別方法安全性較低，攻擊者通過窮舉嘗試等方法就能得到合法用戶的賬戶和口令。身份識(shí)別問題同樣出現(xiàn)在電子郵件的收發(fā)上。員工貿(mào)然相信發(fā)信方的身份或?qū)C(jī)密信件錯(cuò)發(fā)到其他人員信箱，都會(huì)給個(gè)人和企業(yè)帶來巨大的損失。
3基于PKI的企業(yè)電子商務(wù)安全解決方案
3.1建立企業(yè)內(nèi)部的CA
企業(yè)自建CA有兩種技術(shù)路線。一是利用開源的OpenSSL軟件包。優(yōu)點(diǎn)是二次開發(fā)靈活，可以將安全措施應(yīng)用于企業(yè)自行開發(fā)的系統(tǒng)中；缺點(diǎn)是技術(shù)性強(qiáng)，需要較為專業(yè)的計(jì)算機(jī)人員來部署。二是利用微軟公司W(wǎng)indows服務(wù)器產(chǎn)品中提供的證書服務(wù)功能。雖然二次開發(fā)受限，但是建設(shè)簡(jiǎn)單快捷，且和Windows系列服務(wù)器、OutLook郵件客戶端無縫結(jié)合，所以是首選。具體部署上，通過Windowsserver2008等服務(wù)器上的“證書服務(wù)”組件來實(shí)現(xiàn)，該CA服務(wù)器可滿足證書申請(qǐng)、頒發(fā)等基本需求。
3.2信息傳輸采用安全的SSL通道
SSL協(xié)議由網(wǎng)景公司提出，用于保證瀏覽器和服務(wù)器之間的身份真實(shí)及數(shù)據(jù)秘密傳輸，其提供的服務(wù)包括：身份認(rèn)證、數(shù)據(jù)加密、數(shù)據(jù)完整性校驗(yàn)。電商活動(dòng)中，利用SSL協(xié)議能在客戶端和服務(wù)器之間提供安全通道。企業(yè)可以利用自建CA生成網(wǎng)站服務(wù)器的數(shù)字證書，安裝到WEB服務(wù)器上開通SSL，來實(shí)現(xiàn)數(shù)據(jù)加密傳輸。
3.3利用數(shù)字證書對(duì)存儲(chǔ)的數(shù)據(jù)進(jìn)行加密和簽名
利用數(shù)字證書對(duì)機(jī)密數(shù)據(jù)加密并簽名，將密文和簽名一同存放在數(shù)據(jù)庫，企業(yè)可通過簽名來檢驗(yàn)數(shù)據(jù)完整性。以企業(yè)采購單的存儲(chǔ)為例，可將商品采購價(jià)格、數(shù)量等敏感信息加密、簽名，然后存儲(chǔ)。即使攻擊者獲得了企業(yè)數(shù)據(jù)的讀寫權(quán)，也因加密無法得到明文；同樣也無法篡改，因?yàn)檫@會(huì)被企業(yè)通過對(duì)簽名驗(yàn)證而識(shí)破。具體實(shí)施時(shí)，可以利用微軟的CryptoAPI組件、JavaScript腳本來實(shí)現(xiàn)。
3.4利用數(shù)字證書進(jìn)行身份識(shí)別和信息加密
客戶機(jī)和服務(wù)器的身份識(shí)別通過WEB服務(wù)器端配置SSL通道選項(xiàng)就可以實(shí)現(xiàn)。在SSL協(xié)議中，WEB服務(wù)器端身份驗(yàn)證是必須的，客戶端瀏覽器的身份驗(yàn)證為可選項(xiàng)。若要強(qiáng)制驗(yàn)證客戶瀏覽器身份，可以在服務(wù)器端SSL安全通道選項(xiàng)里選擇驗(yàn)證客戶端數(shù)字證書。通過給郵件客戶端程序安裝數(shù)字證書，能實(shí)現(xiàn)郵件的數(shù)字簽名和加密。安裝電子郵件數(shù)字證書比較簡(jiǎn)單，以O(shè)utLook為例，在安全選項(xiàng)卡里選擇并安裝數(shù)字證書即可。發(fā)郵件時(shí)，單擊相應(yīng)按鈕就能加密、簽名信件。加密后的信件以附件方式傳輸和存儲(chǔ)，只有該用戶才能解密。第三方的免費(fèi)郵箱大多實(shí)現(xiàn)了郵件的傳輸安全，但是郵件的存儲(chǔ)并沒有加密，上述方法很好地解決了這個(gè)問題。
4結(jié)語
基于PKI的安全方案為電子商務(wù)活動(dòng)提供了身份認(rèn)證、數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性等服務(wù)，使參與者都能在一個(gè)受信任的、安全的環(huán)境下開展交易活動(dòng)，保證了電子商務(wù)的正常、穩(wěn)定發(fā)展。
參考文獻(xiàn)
[1]R.Penman.AnoverviewofPKItrustmodels.IEEENetwork,1999,13(6):38-43
[2]丁士杰.基于SSL的電子商務(wù)安全技術(shù)研究[D],合肥工業(yè)大學(xué)，2010
[3]孟叢.電子商務(wù)中應(yīng)用PKI安全技術(shù)研究[J],現(xiàn)代工業(yè)經(jīng)濟(jì)和信息化，2015（1）：82-83
【PKI在企業(yè)電子商務(wù)的應(yīng)用論文】相關(guān)文章：
PKI在企業(yè)電子商務(wù)中的運(yùn)用論文11-14
PKI/PMI與電子商務(wù)安全03-20
企業(yè)電子商務(wù)的管理及應(yīng)用的電子商務(wù)管理論文12-02
電子商務(wù)在航運(yùn)企業(yè)中的應(yīng)用03-21
傳統(tǒng)企業(yè)與電子商務(wù)論文11-17
電子商務(wù)應(yīng)用論文(通用15篇)05-22
公鑰基礎(chǔ)設(shè)施PKI及其在公鑰基礎(chǔ)設(shè)施PKI中的應(yīng)用研究03-08