电子商务结算跟支付 第三节 支付跟结算安全2.pptVIP

安徽财经大学商务学院电子商务系 3.4 数据机密性技术 主讲：杨栋 realyd@ 防火墙技术只能比较静态地保护网络支付，但不能解决网络支付时的数据机密性问题。 如，银行内部用户窃取服务器或数据库中的用户信用卡密码等隐私数据问题，客户在与银行通信过程中相关支付信息在Internet中途被盗问题等。 这需要防火墙之外的其他技术或手段来协助解决， 如密码技术就是更为有效的方法。 即对数据进行有效加密与解密，这样即可保证电子商务中数据的保密性、真实性。 加密包括两个元素，加密算法和密钥。 加密算法是将普通的文本(或者可以理解的信息)与一串字符串即密钥相结合，产生不可理解的密文的步骤。 密钥，英文为Keyword，它是在计算机上实现的数据加密，其加密或解密变换是由密钥控制实现的。 密钥是借助一种数学算法生成的，它通常是一个随机字符串，是控制明文和密文变换的惟一关键参数。 3.4.1 私有密钥加密法 1．私有密钥加密法的定义与应用原理 所谓私有密钥加密（Secret key Cryptography）就是指在计算机网络甲、乙两用户之间通信时，采用密钥A对信息进行加密而形成密文M并且发送接收方乙，接收方乙用同样的一把密钥A对收到的密文M进行解密，得到明文信息，从而完成密文通信目的的方法。 这种信息加密传输方式就称为私有密钥加密法。 单钥加密、解密过程 密文M在网络传输过程中，如被窃取，若没有没有密钥A或无法破译，也不会泄密。 私有密钥加密法中，加密和解密所用的算法是完全公开的，其关键是加密和解密所用的密钥。 最大特点是信息发送方与信息接收方采用同样的密钥，具有对称性，所以私有密钥加密也称对称密钥加密。 这种加密方式在应用上很方便 2、私有密钥加密法的使用过程 具体到电子商务的网络支付与结算，很多环节要用到私有密钥加密法，例如，资金流信息的传输与交换。 这里以发送方甲银行与接收方乙银行的一次资金信息传输为例，描述应用私有密钥加密法的使用过程。 (1) 银行甲借助专业私有密钥加密算法生成私有密钥A，并且复制一份密钥A借助一个安全可靠通道(如采用后面的数字信封)秘密传递给银行乙； (2) 银行甲在本地利用密钥A把信息明文加密成信息密文； (3) 银行甲把信息密文借助网络通道传输给银行乙； (4) 银行乙接收信息密文： (5) 银行乙在本地利用一样的密钥A把信息密文解密成信息明文。这样银行乙就知道银行甲的资金转账通知单的内容，结束通信。 图4—9 私有密钥加密法的应用过程示意图 3．私有密钥加密法的常用算法 对信息的加密、解密使用相同的密钥 著名的私有密钥加密算法有DES算法及其各种变形、国际数据加密算法IDEA以及RC4，RC5等。 4．私有密钥加密法的优缺点 优点：是加密和解密速度快，应用简单。 由于加／解密应用同一把密钥，而且应用简单，在专用网络中通信各方相对固定，所以应用效果较好。 例如，在金融通信专网与军事通信专网的加密通信中。对于数据量较大的文件等传送，利用私有密钥加密法是比较有效率的。 问题： (1)分发： 必须使用与传递加密文件不同的途径来传递密钥，即需要一个传递私有密钥的安全通道； 由于算法公开，其安全性完全依赖于私有密钥的保护。密钥使用一段时间后就要更换， 所以，单独应用私有密钥加密法难于满足开放式计算机网络环境的需求，特别是难于满足在Internet上开展电子商务的安全性方面的要求。 (2)管理：在通讯人数较多时，密钥数量庞大。 当网络中有n个用户时，将至少需要n(n—1)／2个通信密钥。 对于任一用户来讲，至少需要拥有n—1个密钥，才能与网络内其他n—1个用户进行加密通信。 这对于Internet这样的大型、公众网络来说，用户群几乎无限，密钥量将是一个无穷数， 如进行网络支付业务活动时，密钥的分配和保存就成了大问题，其代价高昂。 (3)难以进行用户身份的认定。 采用私有密钥加密法实现信息传输，只是解决了数据的机密性问题，不能认证信息发送者的身份。 上述不足和电子商务的发展需求，促使公开密钥加密法在网络支付服务中的应用更快速的发展。 3.4.2公开密钥加密法 1．公开密钥加密法的定义与应用原理 所谓公开密钥加密（Public key Cryptography）是指在计算机网络中，甲、乙两用户之间进行通信时，发送方甲采用密钥A对信息进行加密，形成密文M并且发送给接收方乙，接收方乙用另一把密钥B对收到的密文M进行解密，得到明文信息，完成密文通信目的的方法。 与私有(对称)密钥加密法不同，公开密钥加密法的加密和解密所用的密钥是不同的，不对称，所以公开密钥加密法又称为非对称密钥加密法。 在密钥A和密钥B这两把密钥中，其中一把为用户私有，另一把对网络上的大众用户是公开的，所以这种信息加密传输方式就称为公开密钥加密法