第4章电子商务中的认证技术.pptVIP

第4章 电子商务中的认证技术 认证和验证 认证(certification) 资质的证明 验证(authentication) 真伪的证明，结果只有两个 识别(identification) 区分不同的东西 4.1 电子商务认证技术概述 实体身份认证：就是确认实体是它所声明的，以防止交易活动出现欺骗，抵赖等现象。 交易双方传输报文的认证 报文认证：可用于验证报文的来源真实完整 。 4.2 身份认证和报文认证 使用身份的两个主要目的：可追查性和访问控制。 报文认证，也称为消息认证，包括两个方面： 验证报文的来源是真实可靠 验证报文的完整性:防止报文被篡改或交易过程中出现数据差错 身份认证是指对通信对象身份的认证，报文认证是指对通信内容的认证。 4.2 .1 身份认证方法 身份认证:通过验证被认证对象的属性来达到确认被认证对象是否真实有效的目的。 验证其身份与他所宣称的是一致的。 被认证对象的属性： 口令 数字签名 生理特征：指纹、声音、视网膜 身份认证：身份标识和验证 身份标识和验证 身份标识：可区分不同的通信对象。 身份标识应该是被其他的通信对象所认可。 通信对象通过向对方发送自己的身份标识以证明自己的身份。 通信对象确信与之打交道的实体正是所需要的实体。身份验证只是简单地鉴别实体本身的身份，不会和实体想要进行何种活动相联系。 认证和其他实体关系 出示证件的人，又称声称者(Claimant)，属于被验证对象，他们要向验证者实体证明自己的身份。 验证者，它负责验证被验证对象的身份，检验声称者提的证件的正确性和合法性，决定是否满足要求。 可信赖者TP （Trusted third party) ，参与调解纠纷。 第四方是攻击者，可以窃听或伪装声称者骗取验证者的信任。 身份认证的方式 用户可通过以下秘密来来证明自己的身份： 用户已知的事：仅个人所知道的或所掌握的知识，如：口令或者密码等。 用户拥有的物品：个人所拥有的东西，如身份证、护照、信用卡等。 个人特征：个人所具有的某些生物学特征，如指纹、视网膜扫描等，这些特征必须是可识别的，即对每个人而言是唯一的。 4.2.2 电子商务中的身份认证方案 电子商务中的身份认证方案主要有三类： 基于口令的身份认证方案； 基于智能卡的身份认证方案； 基于生物特征的身份认证方案。 基于口令的身份认证方案 基于口令的身份认证方案是基于用户所知道的信息：用户提供一个口令，系统验证该口令。 认证中心通常保存用户自己设置的口令或者口令的变换值。 口令通常为长度为5~8的字符串。 选择原则：易记、难猜、抗分析能力强。 口令的认证的安全问题 安全性仅依赖于口令，容易泄露。 容易遭受各种猜测口令程序的攻击。口令一旦泄露，用户可能被冒充。 口令的存储问题。如果口令文件被窃取，那么就可以进行离线的字典式攻击。 线路窃听 重放 对付口令安全问题的措施 口令定期改变； 每个口令只与一个人有关,但防止用户特征相关口令； 输入的口令不再现在终端上； 使用易记的口令，不要写在纸上 严格限制非法登录的次数； 限制最小长度，至少6~8字节以上 及时更改预设口令； 基于智能卡的身份认证方案 智能卡(Smart card)是一种带有智能的集成电路卡，具有读写和存储数据的功能，以及加密数据、处理数据的能力。 智能卡能够存储用户的秘密信息或者数字证书， 智能卡一般需要和用户的身份识别码PIN(Personal Identification Number)同时使用，即智能卡使用前必须要输入PIN码。 验证时还需要与身份认证等安全协议一起使用才能完成。 基于生物特征的身份认证方案 基于生物特征的认证方案以人体唯一、稳定的生物特征（如指纹、虹膜等）为依据，并利用图像处理和模式识别技术来实现身份认证。 与传统的身份认证方式相比，该技术具有很好的安全性、可靠性和有效性。 基于两个假设： 生物测定设备在它所运用的环境中是准确的。 从生物测定设备到计算机分析过程的传输是防篡改的。 4.2.2 身份认证协议 身份认证协议是一种特殊的通信协议，它定义了在身份认证过程中，参与认证的所有通信方所交换报文的格式、报文发生的次序以及报文的语义。 大多数身份认证协议均基于密码学原理。 身份认证协议可分为： 单向认证协议：只认证通信一方的身份 双向认证协议，通信双方互相认证身份。 4.2.3 报文认证 报文认证是指当两个通信实体建立通信联系后，每个通信实体对收到的报文信息进行验证，以保证收到的信息是真实可靠的。 报文认证的内容： 报文来源的验证：报文的确是由确认的所信任的另一方发送的； 报文内容在传输过程中的完整性，即报文在传递过程中，报文内容没有被攻击者破坏或篡改； 报文认证（续） 报