3.3 认证技术(课件）-《电子商务基础》同步教学（人民邮电版）

下页 3.1 电子商务系统的安全要求 3.2 数据加密技术 3.3 认证技术 3.4 电子商务的安全交易标准 目 录 第3部分 电子商务安全 图 3.3 认证技术 3.3.1身份认证 3.3.2认证中心 3.3.3数字证书 3.3.4数字摘要 3.3.5数字签名 3.3.6数字时间戳 图 认证技术是保证电子商务交易安全的一项重要技术。 主要包括身份认证和信息认证。前者用于鉴别用户身份，后者用于保证通信双方的不可抵赖性以及信息的完整性。 图 用户身份认证的最简单、最广的一种方法就是口令方式，口令由数字字母、特殊字符等组成。 这种身份认证方法操作十分简单，但最不安全不能抵御口令猜测攻击。 四种常用的身份认证方式 (1) 口令方式 3.3.1 身份认证 图 标记是一种用户所持有的某个秘密信息(硬件)，上面记录着用于系统识别的个人信息。 (2) 标记方式 图 某些人体生物学特征，如指纹、声音、DNA图案、视网膜扫描图案进行身份认证。 (3) 人体生物学特征方式 图 使用CA中心颁发的数字证书进行网上身份的识别。 (4) PKI方式 图 3.3.2 认证中心 （CA--Certificate Authority）。 也称之为电子证书认证中心，是承担网上安全电子交易认证服务，能签发数字证书，确认用户身份的、与具体交易行为无关的第三方权威机构。 国外的认证中心通常是企业性的服务机构，主要任务是受理证书的申请、签发和管理数字证书。其核心是公共密钥基础设施（PKI）。 图 认证机构的可靠程度取决于 ①系统的保密结构。 ②确认用户身份的政策和方法。 ③用户是否能信赖他人的证明。 ④机构在安全管理方面的经验。 图 1.认证中心的职能 认证机构的核心职能是发放和管理用户的数字证书。 图 认证中心的四大具体职能 认证中心接受个人、单位的数字证书申请，何时申请人的各项资料是否真实，根据核实情况决定是否颁发数字证书。 ⑴核发证书 图 证书使用总是有期限的，在证书发行签字时都规定了失效日期； 具体使用期长短由CA根据安全策略来定。 更换过期证书，密钥对也需要定期更换。 ⑵  证书更新 图 证书的撤消可以有许多理由，如发现、怀疑私钥被泄露或检测出证书已被篡改，则CA可以提前撤销或暂停使用该证书。 申请撤销。 证书撤销表CRL。 ⑶ 证书撤销 图 ⑷证书验证 证书是通过信任分级层次体系（通常称为证书的树形验证结构）来验证的。每一个证书与签发数字证书的机构的签名证书关联。 验证举例说明 图 2.CA的树型验证结构 图 国外CA中心介绍 图 世界上较早的数字证书认证中心、处于领导地位和全球最大的PKI／CA运营商是美国VeriSign公司，该公司成立于1995年4月，位于美国的加利福尼亚州。它为全世界50个国家提供数字证书服务，有超过45000个互联网服务器接受该公司的服务器数字证书，使用它提供的个人数字凭证的人数也已经超过200万。 另外一家著名的公司是加拿大的ENTRUST。 威瑞信提供的服务包括DNS服务、数字证书、安全服务、支付服务、欺诈检测服务。威瑞信的数字信任服务通过域名登记、数字认证和网上支付三大核心业务，在全球范围内建立起了一个可信的虚拟环境，使任何人在任何地点都能放心地进行数字交易和沟通。 威瑞信的DNS服务的主要业务有管理世界13台根服务器中的2台（A与J）、顶级域名中的.com和.net、北美最大的SS7信号网络中的一个、EPCglobal委托的射频识别目录。 图 3.我国认证中心现状 我国安全认证体系(CA)可分为金融CA与非金融CA两种类型来处理。 在金融CA方面，根证书由中国人民银行管理，根认证管理一般是脱机管理；品牌认证中心采用“统一品牌、联合建设”的方针进行。 在非金融CA方面，最初主要由中国电信负责建设。 图 我国的CA又可分为行业性CA和区域性CA两大类。 行业性CA：中国金融认证中心（CFCA）和中国电信认证中心（CTCA）是行业性CA中影响最大的两家。 区域性CA大多以地方政府为背景，以公司机制来运作，如广东CA中心（CNCA）、上海CA中心(SHECA)、深圳CA中心(SZCA)，其中影响最大的是广东CA中心（CNCA）和上海CA中心(SHECA)。 图 如果按照技术来源划分，CA中心还可分为引进国外技术与完全自主开发两类。 CFCA和天威诚信属于前者，广东CA和上海CA都属于后者。 深圳CA与广东南海CA CFCA的SET系统由IBM公司承建，NON-SET系统由德达/SUN/Entrust集团承建。天威诚信的技术平台来自VeriSign。但它们的密码模块却都是由国内自主开发，经国家安全部门认可的。 图 CFCA 是全国唯一的金融根认证中心，由中国人民银行负