| 出版日期：1999-09-06 总期号：855 本年期号：65 |
|
 |
开启电子商务大门的钥匙
浅析ca、set、pki等相关技术 梁雍 从理论上讲，电子商务主要可分为四种类型：（1）企业与企业之间网上交易（b to b方式）；（2）持卡消费者与商户之间网上购物（b to c方式）；（3）网上检索、导购、撮合、促销；（4）企业财务及供应链等网上企业管理。其中，第2类谈及的b to c方式是电子商务能否盈利的关键；而第3类则是电子商务的初、中级阶段，因为它不涉及资金的网上流动，也不涉及网上支付，更多地体现的是“广告”价值。 ca———安全认证体系 对于任何一个国家来说，要实现b to b、b to c交易方式，建设ca（认证中心，或称认证体系）和支付网关是必不可少的。其中ca尤其重要，其作用主要体现在事先验证或识别参与网上交易活动的各个主体（如持卡消费者、商家、收单银行的支付网关等）的身份，并用相应的电子（数字）证书代表他们在网上的身份，而这些电子证书就是由权威认证机构（即ca）来颁发的。一般说来，ca分为以下几种类型：（1）根ca（rootca），属国家级认证中心，它制定政策并对下级ca授权，并提供数字信封等服务。此次央行组织，国内12家商业银行将联合建设的认证中心就是我国金融领域的根ca。（2）品牌ca（brandca），是经根ca授权并核发凭证的机构，它提供私钥和公钥系统（中国银行目前的ca从理论上其实就属于此类），并允许使用不同品牌的支付工具，如各商业银行发行的各种信用卡等。（3）区域ca（regionca），直接隶属于品牌ca，到这一层面才开始真正对客户的请求进行运作。而支付网关，则是一个internet服务器，是连接internet与银行内部支付网络系统的桥梁。 要实现安全、可靠的电子商务网上交易，安全技术和规范是必不可少的。此次央行选中的用于建设金融根ca的安全技术分为set和non－set两大类，其中non－set的方式选中的中pki。 set———安全电子交易 set（secure electronic transaction，安全电子交易），其开发始于1996年2月，1997年5月由visa、mastercard信用卡组织、verifone等联合推出的用于电子商务的行业规范，其实质是一种应用在internet上、以信用卡为基础的电子付款系统规范，目的就是为了保证网络交易的安全。这个规范自推出之后，得到了ibm、netscape、microsoft、oracle等众多厂商的支持。set主要使用“电子认证”技术作为保密电子交易安全进行的基础，其认证过程使用rsa和des算法。 set的工作原理如下：当路由器接收到set交易请求后，将呼叫信用卡处理器专属的副程序、密钥管理（安全地存储私密密钥、付款指令的解码和银行回应信息的签名）服务及密码服务，将信用卡处理器专属的交易转换成服务器式的交易，接着将交易送到信用卡处理系统。其中，密码服务包括：（1）验证接收的set信息内的卡片持有人及厂商凭证；（2）为接收及发出的set信息内的付款指令编码和解码；（3）确认付款指令内的账户号码是否符合卡持有人的凭证；（4）验收接收的set信息内的信用卡持有人及商家签名；（5）计算及验证接收的set信息内的密码。 set交易发生的先决条件是，每一个持卡人（客户）必须拥有一个惟一的电子（数字）证书，且由客户确定口令，并用这个口令对数字证书、私钥、信用卡号码以及其他信息进行加密存储，这些与符合set协议的软件一起组成了一个set“电子钱包”。有了“电子钱包”后，一个成功的set交易的标准流程如下（见附图）：（1）客户在网上商店选中商品并决定使用电子钱包付款时，商家服务器上的pos软件发报文给客户的浏览器要求电子钱包付款；（2）电子钱包提示客户输入口令后与商家服务器交换“握手”消息，确认客户、商家均为合法，初始化支付请求和支付响应；（3）客户的电子钱包形成一个包含购买订单、支付命令（内含加密了的客户信用卡号码）的报文发送给商家；（4）商家pos软件组织授权请求报文（内含客户的支付命令），发给收单银行的支付网关；（5）支付网关在确认客户信用卡没有超过透支额度的情况下，向商家发送一个授权响应报文；（6）商家向客户的电子钱包发送一个购买响应报文，交易结束，客户等待商家送货上门。 
从工作流程来看，set具有以下几个特点：（1）解决了客户资料的安全性问题，虽然客户资料（主要是信用卡号码）要通过商家到达银行，但商家不能阅读这些资料；（2）解决了客户与银行、客户与商家、商家与银行之间的多方认证问题；（3）所有的支付过程都是在线的，保证了网上交易的实时性。 set协议也有不足之处，主要体现在协议复杂，使用成本高，且只适用于客户安装了“电子钱包”的场合。此外，set证书虽也遵循x．509标准，但格式比较特殊。另外值得注意的是，根据统计，在一个典型的set交易过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行5次签名、4次对称加密和4次非对称加密，整个交易过程可能需花费1．5至2分钟（如果采用将绝大多数信息存放在服务器端的“小型电子钱包”，交易时间可缩短到10至20秒）。 pki———公钥基础结构 pki（public key infrastructure，公钥基础结构），是一种完全符合x．509标准的密钥管理平台，它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，认证机构（ca）、证书库、密钥备份及恢复系统、证书作废处理系统、客户端证书处理系统是构建pki必须具备的五大系统。 为了推进pki的标准化进程，去年秋天，ibm和其子公司lotus公布了根据pkix标准草案实现pki的源代码———jonah。目前，国际上pki产品的主要供应商有entrust、sun、entegrity、netscape、zergo、微软、verisign等。 pki支持set、ssl、ip over vpn、s／mime等协议，其加密部分一般采用128位对称加密，数字签名部分采用1024位非对称加密算法。从体系结构来看，pki采用证书管理公钥，通过ca把客户的公钥和用户的名称、e－mail地址、身份证号等其他信息捆绑在一起，用于在internet上验证客户的身份。值得注意的是，pki支持不同ca间的交叉认证，并能实现证书、密钥对的自动更换。 一个完整的pki产品应具备以下功能：根据x．509标准发放证书，产生密钥对，管理密钥和证书，为用户提供pki服务，如用户安全登录、增加和删除用户、恢复密钥、检验证书等。其他相关功能还包括交叉认证、支持ldap协议、支持用于认证的智能卡等。此外，pki的特性融入各种应用（如防火墙、浏览器、电子邮件、群件、网络操作系统）也正在成为趋势。 除了充当金融认证ca的安全技术手段外，pki还可广泛用于其他有关网络安全的领域。例如，它允许客户自行认证证书，即一个企业购买了pki软件后，可以管理本企业内的整个pki体系，如增加、删除用户、恢复密钥、吊销证书等。此外，一般的pki软件都带有编程接口api，允许开发人员进行扩充开发。 |
||||||||||||||||
