數字證書是標識網絡通信各方身份信息的壹系列數據，其作用類似於現實生活中的身份證。它是由權威機構發布的，人們可以在交流中用它來識別對方。
最簡單的證書包含壹個公鑰、壹個名稱和
數字簽名。壹般來說，證書還包括密鑰的有效時間、頒發機構(certificate authority)的名稱、證書的序列號等信息。證書的格式遵循ITUT X.509國際標準
標準的X.509數字證書包含以下內容:
證書的版本信息；
證書序列號，每個證書都有唯壹的序列號；
證書使用的簽名算法；
證書頒發者的名稱，命名規則壹般采用X.500格式；
證書有效期，現在通用證書壹般采用UTC時間格式，其計時範圍為1950-2049；
證書所有者的名稱，命名規則壹般采用X.500格式；
證書所有者的公鑰；
證書上證書頒發者的簽名。
使用數字證書，利用對稱和非對稱密碼技術建立壹套嚴格的身份認證體系，保證信息不會被除發送方和接收方之外的其他人竊取；信息在傳輸過程中不被篡改；發送方可以通過數字證書確認接收方的身份；發送者不能否認自己的信息。
2.為什麽要使用數字證書？
由於有了互聯網電子商務系統技術，在網上購物的顧客可以非常方便和容易地獲得商家和企業的信息，但同時也增加了濫用壹些敏感或有價值數據的風險。買賣雙方都必須確保在互聯網上進行的所有金融交易都是真實可靠的，交易各方，如客戶、商家和企業，都有絕對的信心。因此，互聯網電子商務系統必須保證非常可靠的安全保密技術，即必須保證網絡安全的四個要素，即信息傳輸的保密性、數據交換的完整性、發送信息的不可否認性和交易者身份的確定性。
信息的保密性
交易中的商業信息需要保密。比如知道信用卡的賬號和用戶名，就有可能被盜，如果訂購和支付的信息被競爭對手知道，就有可能失去商機。因此，在電子商務的信息傳播中，壹般需要加密。
交易者身份的確定性
網上交易的雙方很可能是陌生人，相隔千裏。要想讓交易成功，首先要確認對方的身份，商家要考慮客戶是不是騙子，客戶也會擔心網店是不是玩詐騙的黑店。因此，方便可靠地確認對方身份是交易的前提。對於為客戶或用戶提供服務的銀行、信用卡公司和銷售店，為了安全、保密、可靠地開展服務活動，必須進行身份認證。對於相關銷售門店來說，他們不知道客戶使用的信用卡的卡號，門店只能把信用卡的確認交給銀行。銀行和信用卡公司可以利用各種保密和識別手段來確認客戶的身份是否合法，同時也要防止拒付的問題，確認訂單和訂單收款信息。
不可否認
由於商業條件千變萬化，交易壹旦達成，就無法否認。否則必然會損害壹方的利益。比如訂購黃金時，金價低，但接到訂單後，金價上漲。如果收單方能夠否認收到訂單的實際時間，甚至否認收到訂單的事實，那麽訂貨方就會遭受損失。因此，電子交易的通信過程中的所有環節都必須是不可否認的。
不可修改性
由於商業條件千變萬化，交易壹旦達成，就不應該否認。否則必然會損害壹方的利益。比如訂購黃金時，黃金價格低，但收到訂單後，黃金價格上漲。如果收單方能夠否認收到訂單的實際時間，甚至否認收到訂單的事實，那麽訂貨方就會遭受損失。因此，電子交易的通信過程中的所有環節都必須是不可否認的。
數字安全證書提供了壹種在互聯網上驗證身份的方法。安全證書系統主要采用公鑰系統，其他包括對稱密鑰加密、數字簽名和數字信封。
我們可以使用數字證書，利用對稱和非對稱加密技術建立嚴格的身份認證體系，保證信息不會被除發送方和接收方之外的其他人竊取；信息在傳輸過程中不被篡改；發送方可以通過數字證書確認接收方的身份；發送者不能否認自己的信息。
3.數字認證的原理
數字證書采用公鑰體制，即使用壹對匹配的密鑰進行加密和解密。每個用戶設置壹個只有自己知道的特定私鑰(private key)，用它來解密和簽名；同時設置壹個公鑰(public key)由本人公開，由壹組用戶享用，用於加密和簽名驗證。在發送機密文檔時，發送方使用接收方的公鑰對數據進行加密，接收方使用自己的私鑰對數據進行解密，從而使信息安全、正確地到達目的地。加密過程通過數字手段保證是不可逆的，也就是說，只有私鑰可以用來解密。
在公開密鑰密碼系統中，RSA是常用的。它的數學原理是將壹個大數分解成兩個素數的乘積，用兩個不同的密鑰進行加密和解密。即使知道明文、密文和加密密鑰(公鑰)，也無法通過計算推導出解密密鑰(私鑰)。按照目前的計算機技術水平，破解1024位的RSA密鑰需要上千年的時間。公鑰技術解決了密鑰分發的管理問題，商家可以在保留私鑰的同時公開自己的公鑰。購物者可以用眾所周知的公鑰加密發送的信息，安全地傳輸給商家，然後商家可以用自己的私鑰解密。
如果用戶需要發送加密數據，發送方需要使用接收方的數字證書(公鑰)對數據進行加密，而接收方使用自己的私鑰對數據進行解密，從而保證數據的安全性和保密性。
另外，用戶可以通過數字簽名實現數據的完整性和有效性，只需要用私鑰對數據進行加密。由於私鑰只歸用戶所有，因此可以保證簽名文件的唯壹性，即數據由簽名者本人簽名發送，簽名者不能或不能否認；從簽發到接收期間數據沒有被修改，簽發的單據是真實的。
[第頁]
4.數字證書是如何頒發的？
數字證書由認證中心頒發。根證書是認證中心與用戶建立信任關系的基礎。用戶必須下載並安裝數字證書，然後才能使用它們。
認證中心是可以向用戶頒發數字證書以確認其身份的管理機構。為了防止數字證書的偽造，認證中心的公鑰必須可靠，認證中心必須公布其公鑰或提供上級認證中心的電子證書，以證明其公鑰的有效性。後壹種方法導致了多級認證中心的出現。
頒發數字證書的過程如下:用戶生成自己的密鑰對，並將公鑰和壹些個人身份信息發送到認證中心。驗證身份後，認證中心將執行壹些必要的步驟，以確保請求確實是由用戶發送的。然後，認證中心將向用戶頒發數字證書，其中包含用戶及其密鑰等信息，以及確認認證中心公鑰的數字證書。當用戶想證明自己公鑰的合法性時，可以提供這個數字證書。
5.加密技術
由於數據在傳輸過程中可能被入侵者竊聽並丟失機密信息，加密技術是電子商務中主要的安全措施，也是最常用的安全措施。加密技術是利用技術手段將重要數據變成亂碼(加密)傳輸，到達目的地後再用相同或不同的手段還原(解密)。
加密包括兩個要素:算法和密鑰。加密算法是將普通文本(或可理解的信息)與壹個數字(密鑰)結合起來產生不可理解的密文的步驟。密鑰和算法對於加密同樣重要。
密鑰是壹種用於編碼和解碼數據的算法。在安全保密方面，可以通過適當的密鑰加密技術和管理機制來保證網絡的信息通信安全。密鑰加密技術的密碼系統可分為對稱密鑰系統和非對稱密鑰系統。
相應地，數據加密技術可以分為兩類，即對稱加密(私鑰加密)和非對稱加密(公鑰加密)。對稱加密以數據加密標準(DNS)算法為代表，非對稱加密通常以RSA(Rivest Shamir Ad1eman)算法為代表。對稱加密的加密密鑰和解密密鑰相同，但非對稱加密的加密密鑰和解密密鑰不同。加密密鑰可以公開，解密密鑰需要保密。
6.對稱加密技術
對稱加密采用對稱密碼技術，其特點是文件加密和解密使用同壹個密鑰，即加密密鑰也可以用作解密密鑰。這種方法在密碼學中被稱為對稱加密算法。對稱加密算法使用起來簡單快捷，密鑰短，難以破譯。除了數據加密標準(DNS)之外，另壹種對稱密鑰加密系統是國際數據加密算法(IDEA)，它在加密方面比DNS更好，並且不需要那麽高的計算機功能。IDEA加密標準被PGP(相當好的隱私)系統使用。
對稱加密算法在電子商務交易中存在幾個問題:
(1)需要為通信雙方提供壹個安全通道，以便在第壹次通信時協商壹個* * *相同的密鑰。直接面對面談判可能不現實，也難以實施，因此雙方可能需要借助郵件、電話等其他相對不安全的手段進行談判；
(2)密鑰數量難以管理。由於每個合作者需要使用不同的密鑰，很難適應開放社會中大量的信息交換；
(3)對稱加密算法壹般不能提供信息完整性鑒別。它不能驗證發送者和接收者的身份；
(4)對稱密鑰的管理和分發是壹個潛在的危險和麻煩的過程。在保密的基礎上實現對稱加密。使用對稱加密技術的交易雙方必須保證他們使用相同的密鑰，保證他們之間的密鑰交換安全可靠，同時設置防止密鑰泄漏和更換密鑰的程序。
7.不對稱加密技術
1976年，美國學者Dime和Henman提出了壹種新的密鑰交換協議，解決了公開信息傳輸和密鑰管理的問題，允許通信雙方在不安全的介質上交換信息，安全地達成壹致的密鑰。這就是“公鑰系統”。與對稱加密算法相比，這種方法也稱為非對稱加密算法。
與對稱加密算法不同，非對稱加密算法需要兩個密鑰:公鑰和私鑰。公鑰和私鑰是壹對。如果數據是用公鑰加密的，則只能用相應的私鑰解密。如果數據是用私鑰加密的，則只能用相應的公鑰解密。因為加密和解密使用兩個不同的密鑰，所以這種算法稱為非對稱加密算法。
交易者利用非對稱加密算法交換機密信息的基本過程如下:交易者A生成壹對密鑰，並將其中壹個作為公鑰向其他交易者公開；獲得公鑰的交易者B用該密鑰加密機密信息後發送給交易者A；甲方用自己保存的另壹個私鑰對加密信息進行解密。甲方只能用自己的私鑰解密任何用自己的公鑰加密的信息。
非對稱加密算法保密性好，不需要終端用戶交換密鑰，但加解密耗時長，速度慢，不適合加密文件，只適合加密少量數據。
在微軟的Window NT安全體系中，公鑰系統主要用於對私鑰進行加密。如果每個用戶想要加密數據，他需要生成壹對自己的密鑰對。密鑰對中的公鑰和非對稱加解密算法是公開的，但私鑰應由密鑰所有者妥善保管。
使用公鑰加密和傳輸文件的實際過程包括四個步驟:
(1)發送方生成自己的私鑰並用接收方的公鑰加密，然後通過網絡傳輸給接收方；
(2)發送方用自己的私鑰對要傳輸的文件進行加密，然後將加密後的文件通過網絡傳輸給接收方；
(3)接收方用自己的公鑰解密，得到發送方的私鑰；
(4)接收方用發送方的私鑰解密文件，得到文件的明文形式。
因為只有接收方有自己的公鑰，所以即使別人得到了發送方的加密私鑰，私鑰的安全性也因為無法解密而得到了保證，從而保證了傳輸文件的安全性。實際上，以上兩個加解密過程都是在文件傳輸過程中實現的:文件本身的加解密和私鑰的加解密，分別由私鑰和公鑰實現。
8.數字簽名技術
加密文件只是解決了傳輸信息的保密問題，還需要其他手段來防止他人破壞傳輸的文件，以及如何確定發送者的身份。這意味著是數字簽名。在電子商務系統中，數字簽名技術起著特別重要的作用，它用於電子商務安全服務中的來源認證、完整性服務和不可否認性服務。在電子商務中，壹個完美的數字簽名應該具有簽名人不能否認，他人不能偽造，並且可以在公證人面前驗證真實性的能力。
實現數字簽名的方法有很多。目前，公鑰加密技術在數字簽名中應用廣泛，如PKCS(public key cryptography standards)、數字簽名算法、x.509和基於RSA數據安全的PGP(Pretty Good Privacy)等。1994美國標準與技術協會發布了數字簽名標準，使得公鑰加密技術得到了廣泛的應用。公鑰加密系統采用非對稱加密算法。
目前的數字簽名是基於公鑰體制的，是公鑰加密技術的另壹種應用。其主要方式是消息發送方從消息正文中生成壹個128位的哈希值(或消息摘要)。發送方用自己的私鑰加密這個哈希值，形成發送方的數字簽名。然後，該數字簽名將作為郵件的附件發送給郵件的接收者。消息的接收方首先從接收到的原始消息中計算出128位的哈希值(或消息摘要)，然後用發送方的公鑰解密附加在消息上的數字簽名。如果兩個哈希值相同，接收方可以確認數字簽名屬於發送方。原始消息可以通過數字簽名進行認證。
在書面文件上簽名是確認文件的壹種手段，有兩個作用:壹是因為壹個人的簽名很難被否認，所以確認了文件已經被簽名的事實；二是因為簽名不易偽造，確認了文件真實的事實。
數字簽名和書面文檔簽名有相似之處。使用數字簽名還可以確認以下兩點:第壹，信息是由簽名人發出的；第二，該信息從發布到收到沒有被修改過。這樣就可以用數字簽名來防止電子信息因為容易被修改而被篡改，或者以他人名義發送信息。或者發(收)壹封信然後否認。
廣泛使用的數字簽名方法有三種，即:RSA簽名、DSS簽名和Hash簽名。這三種算法可以單獨使用，也可以壹起使用。數字簽名是通過密碼算法對數據進行加密和解密實現的，數字簽名可以通過DES計算和RSA算法實現。但這三種技術都或多或少存在缺陷，或者說沒有成熟的標準。
使用RSA或其他公鑰密碼算法最大的便利就是不存在密鑰分發問題(網絡越復雜，網絡用戶越多，其優勢越明顯)。因為公鑰加密使用兩個不同的密鑰，壹個是公鑰，另壹個是私鑰。公鑰可以存儲在系統目錄中、未加密的電子郵件中、電話(商業電話)的黃頁上或公告欄上，互聯網上的任何用戶都可以獲得公鑰。私鑰是用戶特定的，由用戶自己持有，可以解密公鑰加密的信息。
RSA算法中的數字簽名技術實際上是通過壹個哈希函數來實現的。數字簽名的特點是它代表了壹個文件的特征。如果文件改變，數字簽名的值也會改變。不同的文件將獲得不同的數字簽名。最簡單的哈希函數之壹是累加文件的二進制代碼，取最後幾位。散列函數對發送數據的雙方都是公開的。
DSS數字簽名是由國家標準化研究所和國家安全局聯合開發的。因為是美國政府頒布實施的，主要是和美國政府有業務往來的公司使用，其他公司很少使用。它只是壹個簽名系統，美國政府不主張使用任何削弱政府竊聽能力的加密軟件，認為這符合美國的國家利益。
[第頁]
哈希簽名是最重要的數字簽名方法，也稱為數字摘要或數字指紋。與RSA數字簽名是壹個單獨的簽名不同，這種數字簽名方法將數字簽名與要發送的信息緊密聯系在壹起，更適合電子商務活動。與單獨傳輸合同和簽名相比，將商務合同的各個內容與簽名結合起來會增加可信度和安全性。數字摘要的加密方法，也稱為SHA:安全哈希算法)或MD5(消息摘要的MD標準)，由RonRivest設計。這種編碼方法使用單向哈希函數將待加密的明文“抽象”為壹系列128位的密文。這壹系列密文也叫數字指紋，長度固定，不同明文摘要必須壹致。這樣，這串摘要就可以成為驗證明文是否“真實”的“指紋”。
只有加入數字簽名和驗證，才能真正實現開放網絡上的安全傳輸。帶有數字簽名和驗證的文件傳輸過程如下:
(1)發送方先用哈希函數從原文中獲取數字簽名，然後用公開密鑰系統用開發方的私鑰對數字簽名進行加密，並將加密後的數字簽名附加到要發送的原文中；
(2)發送方選擇密鑰對文件進行加密，並通過網絡將加密後的文件傳輸給接收方；
(3)發送方用接收方的公鑰對密鑰進行加密，並將加密後的密鑰通過網絡傳輸給接收方；
(4)接收方用自己的私鑰解密密鑰信息，得到密鑰的明文；
(5)接收者用秘密密鑰解密文件以獲得加密的數字簽名；
(6)接收方用發送方的公鑰解密數字簽名，得到數字簽名的明文；
(7)接收者用獲得的明文和散列函數重新計算數字簽名，並將其與解密的數字簽名進行比較。如果兩個數字簽名相同，則意味著文件在傳輸過程中沒有被破壞。
如果第三方冒充發送方發送文件，由於接收方在解密數字簽名時使用了發送方的公鑰，只要第三方不知道發送方的私鑰，那麽解密後的數字簽名和計算出的數字簽名壹定是不同的。這提供了確認發送者身份的安全方式。
安全的數字簽名使接收者確信文件確實來自聲稱的發送者。由於簽名的私鑰僅由發送者本人保管，其他任何人都無法制作相同的數字簽名，因此他無法否認自己參與了交易。
雖然數字簽名的加解密過程和私鑰的加解密過程都使用公鑰體制，但實現過程正好相反，使用的密鑰對也不同。數字簽名使用發送方的密鑰對，發送方用自己的私鑰加密，接收方用發送方的公鑰解密。這是壹個壹對多的關系:任何擁有發送方公鑰的人都可以驗證數字簽名的正確性，而私鑰的加密和解密使用接收方的密鑰對，這是壹個多對壹的關系:任何知道接收方公鑰的人都可以向接收方發送加密信息，只有唯壹擁有接收方私鑰的人才能解密信息。實際上，用戶通常有兩對密鑰，壹對用於加密和解密數字簽名，另壹對用於加密和解密私鑰。這種方法提供了更高的安全性。
9.數字時間戳技術
在電子商務的發展中，數字簽名技術也得到了發展。數字時間戳技術是數字簽名技術的變體。
時間是電子商務交易單據中非常重要的信息。在書面合同中，簽署文件的日期和簽名壹樣重要，以防止文件被偽造和篡改。DTS(digita 1時間戳服務)是網上電子商務安全服務之壹，可以提供電子文件日期時間信息的安全保護，由專門的機構提供。
如果將時間戳添加到簽名中，則它是帶有數字時間戳的數字簽名。
時間戳是壹個加密的憑證文檔，它包括三個部分:
(1)文摘)；文件的時間戳；
(2)DTS收到文件的日期和時間；
(3)3)DTS的數字簽名。
壹般來說，時間戳生成的過程是這樣的:用戶先用Hash碼對需要時間戳的文件進行加密，形成摘要，然後將摘要發送給DTS。DTS在添加接收文件摘要的日期和時間信息後對文件進行加密(數字簽名)，然後將其發送回用戶。
書面簽署文件的時間是簽名人自己寫的，而數字時間戳不是。它是由認證單元DTS根據DTS收到文檔的時間添加的。
10.SSL安全協議
SSL安全協議最初是由網景通信公司設計開發的，也叫“安全套接字層協議”，主要用於提高應用程序之間數據的安全系數。SSL協議的整個概念可以概括為:用安全套接字保證任何客戶端和服務器之間的交易安全的協議，它涉及所有的TC/IP應用。
SSL安全協議主要提供三種服務:
用戶和服務器的合法性認證
對用戶和服務器的合法性進行身份驗證，以便他們可以確保數據將被發送到正確的客戶端和服務器。客戶端和服務器都有自己的標識號，這些標識號由公鑰編號。為了驗證用戶是否合法，安全套接字層協議要求在握手交換數據時進行數字認證，以保證用戶的合法性。
加密數據以隱藏傳輸的數據。
安全套接字層協議中使用的加密技術包括對稱密鑰技術和公鑰技術。在客戶端和服務器端進行數據交換之前，交換SSL的初始握手信息，在SSL握手信息中使用各種加密技術對其進行加密，保證其機密性和數據完整性，並使用數字證書進行認證。這可以防止非法用戶破譯。
保護數據的完整性
安全套接字層協議利用哈希函數和秘密共享方法提供信息完整性服務，在客戶端和服務器之間建立安全通道，使所有經過安全套接字層協議處理的服務在傳輸過程中能夠完整準確地到達目的地。
需要註意的是，安全套接字層協議是保證計算機通信安全，保護通信對話過程的協議。例如，當客戶端連接到主機時，應該首先初始化握手協議，然後建立SSL。進入對話。直到會話結束，安全套接字層協議都會對整個通信過程進行加密，並檢查其完整性。這樣的對話時段算作握手。而HTTP協議中的每壹次連接都是壹次握手，所以與HTTP相比。安全套接字層協議的通信效率會更高。
(1)連接階段:客戶通過網絡向服務商打招呼，服務商回復；
(2)密碼交換階段:在客戶端和服務器端交換雙方認可的密碼，壹般使用RSA密碼算法，有的使用Diffie-Hellmanf和Fortezza-KEA密碼算法；
(3)會議密碼階段:客戶和服務提供商生成用於相互通話的會議密碼；
(4)檢查階段:檢查服務提供商獲得的密碼；
(5)客戶認證階段:驗證客戶的可信度；
(6)在終端階段，客戶和服務提供商相互交換終端信息。
當上述動作完成後，它們之間的數據傳輸將被加密，對方收到數據後將恢復編碼後的數據。即使竊賊獲得了網絡上的編碼數據，如果沒有原始的密碼算法，他也無法獲得可讀和有用的數據。
發送時，信息用對稱密鑰加密，對稱密鑰用非對稱算法加密，然後兩個包捆綁在壹起傳輸。
接收的過程正好和發送相反。首先打開用對稱密鑰加密的包，然後用對稱密鑰解密。
在電子商務交易過程中，由於銀行的參與，根據SSL協議，客戶的購買信息首先發送給商家，商家再將信息轉發給銀行。銀行在核實客戶信息合法性後，通知商戶支付成功，商戶再通知客戶購買成功，將貨物發給客戶。
SSL安全協議是世界上最早應用於電子商務的網絡安全協議，至今仍被許多網店使用。在傳統的郵購活動中，客戶首先尋找商品信息，然後將錢匯給商家，商家將商品發送給客戶。在這裏，商家是可以信任的，所以顧客先付錢給商家。電商初期，商家也擔心顧客購買後不付款，或者使用過期信用卡，所以希望銀行給他們認證。SSL安全協議就是在這種背景下產生的。
SSL協議操作的基本點是商家對客戶信息保密的承諾。但是在上面的過程中，我們也可以註意到，SSL協議是有利於商家而不利於客戶的。客戶信息先傳輸給商家，商家讀取後再傳輸給銀行，因此客戶信息的安全性受到威脅。商家對客戶進行認證是必要的，但在整個過程中，商家缺乏對客戶的認證。在電子商務的起步階段，由於參與電子商務的大多是信譽較高的大公司，這個問題並沒有引起人們的重視。隨著參與電子商務的廠商迅速增加，廠商的認證問題越來越突出，SSL協議的缺點也完全暴露出來。SSL協議將逐漸被新的電子商務協議(如SET)所取代。
[第頁]
11.設置安全協議
在開放的互聯網上處理電子商務，保證買賣雙方數據傳輸的安全性，已經成為電子商務的重要課題。為了克服SSL安全協議的缺點，滿足電子交易日益增長的安全需求，滿足市場對交易安全性和性價比的要求，VISA國際組織和其他公司如萬事達卡、微軟、IBM等。* * *聯合制定了安全電子交易公告(SET)。這是壹個開放的電子支付系統規範，基於為在線交易建立的電子貨幣。SET在保留客戶信用卡認證的前提下，增加了商戶身份的認證，這對於需要交錢的交易非常重要。SET協議由於設計合理，得到了許多大公司和消費者的支持，成為全球網絡的工業標準，其交易形式將成為未來“電子商務”的規範。