电子商务中安全问题探讨及应对措施
梁普选 刘玉芬
［摘 要］ 电子商务是一个机遇和挑战共存的新领域，这种挑战在很大程度上来源于对可使用的安全技术的信赖。在开放的网络（如Ｉｎｔｅｒｎｅｔ）上处理交易，如何保证传输数据的安全成为电子商务能否普及的最重要因素之一。
［关键词］ 电子商务 ＳＥＴ协议 ＣＡ认证 加密算法
由于电子商务是以计算机网络为基础的，因此它不可避免面临着一系列的安全问题。在电子商务中表现为商业机密的泄漏，主要包括两个方面：交易双方进行交易的内容被第三方窃取；交易一方提供给另一方使用的文件被第三方非法使用。
窃听；订单信息和个人账号信息的隔离，在将包括消费者账号信息的订单送到商家时，商家只能看到订货信息，而看不到消费者的账户信息；消费者和商家的相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保；要求软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和互操作功能．并且可以运行在不同的硬件和操作系统平台上。
ＳＥＴ规范涉及的范围：加密算法的应用（例如ＲＳＡ和ＤＥＳ）；证书信息和对象格式； 购买信息和对象格式；认可信息和对象格式； 划账信息和对象格式；对话实体之间消息的传输协议。 ＳＥＴ协议中的角色有：消费者在电子商务环境中，消费者和
团体购买者通过计算机与商家交流，消费者通过由发卡机构颁发的付款卡（例如信用卡、借记卡）进行结算。在消费者和商家的会话中，ＳＥＴ可以保证消费者的个人账号信息不被泄露。 发卡机构：它是一个金融机构，为每一个建立了账户的顾客颁发付款卡。 商家：提供商品或服务，使用ＳＥＴ，就可以保证消费者个人信息的安全。接受卡支付的商家必须和银行有关系。 银行：在线交易的商家在银行开立账号，并且处理支付卡的认证和支付。 支付网关：是由银行操作的，将Ｉｎｔｅｒｎｅｔ上的传输数据转换为金融机构内部数据的设备，或由指派的第三方处理商家支付信息和顾客的支付指令。
ＳＥＴ是针对用卡支付的网上交易而设计的支付规范，对不用卡支付的交易方式，像货到付款方式、邮局汇款方式则与ＳＥＴ无关。另外像网上商店的页面安排、保密数据在购买者计算机上如何保存等，也与ＳＥＴ无关。 ＳＥＴ协议的工作原理如图１所示。
一、电子商务对安全的要求
１９９７年５月，由Ｖｉｓａ、ＭａｓｔｅｒＣａｒｄ等联合推出，并得到ＩＢＭ、Ｎｅｔｓｃａｐｅ、Ｍｉｃｒｏｓｏｆｔ、Ｏｒａｃｌｅ等公司支持的安全电子交易（ＳＥＴ）规范为在Ｉｎｔｅｒｎｅｔ上进行安全的电子商务提供了一个开放的标准。保证电子单证的秘密性常用的处理技术是数据加密和解密，常见的加密技术包括对称密钥加密技术（加密／解密使用相同的密钥，典型的加密算法包括ＤＥＳ、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡ、ＲＣ４和ＲＣ５）和非对称密钥加密技术（也称公开密钥加密技术，加密／解密使用不同的密钥，典型的加密算法为ＲＳＡ、ＳＥＥＫ、ＰＧＰ和ＥＵ等）。单证传输的安全性依赖于使用的算法和密钥的长度。
对于固定且具有频繁贸易往来的伙伴，可以采用单证传输的序列性检验（即为单证分配序列号，或者增加时间戳）；也可采用双方约定的方法，即在规定的时间内，通过某种方式进行确认，包括采用特定的确认报文（如：订单确认报文），或者电子邮件确认和电话确认等来保证被传输的业务单证不会丢失。单证传输完整性主要采用散列技术来防止非法用户对单证的篡改，通过散列算法对被传输的单证进行处理，产生一个依赖于该单证短小的散列值（通常在１００～２００比特之间），并将该散列值附接在单证之后传输给接收方，以便接收方采用相同的散列算法对接收的单证进行检验。散列算法保证对于不同的单证产生相同的散列值的概率极小。典型的散列算法为美国国家安全局开发的单向散列算法——ＳＨＡ－１，该算法产生长度为１６０比特的散列值以及ＭＤ２和ＭＤ５等。鉴别单证真实性的主要手段是数字签名技术，其基础是数据加密中的公开密钥加密技术，实用中常结合单证完整性一起考虑，利用发送方的密钥对散列值进行加密。目前可用的数字签名算法很多，如：ＲＳＡ数字签名、ＥＬＧａｍａｌ数字签名等。 如何解决或者仲裁收发双方对交换的单证所产生的争议，包括发方或收方可能的否认或抵赖？通常要求引入认证中心进行管理，由ＣＡ发放密钥，传输的单证及其签名的备份发至ＣＡ保存，作为可能争议的仲裁依据。当使用ＷＷＷ服务器支持电子商务活动时，应注意数据的备份和恢复，并采用防火墙技术（有些专家建议直接采用物理分割ＷＷＷ服务器和内部网络的连接）保护内部网络的安全性。为了达到商务活动的要求，电子商务需要有规定顾客、商家和各金融机构之间的责权关系的政策，给出参与各方的数据存储和通信过程以及数据流动的支付协议。
三、支付协议中采用的加密技术
ＳＥＴ将对称密钥的快速、低成本和非对称密钥的有效性完美地结合在一起。使用公开密钥，商家生成一个公共密钥对，任何一个消费者都可用商家公开发布的公钥与商家进行保密通信。
１．数字信封。ＳＥＴ依靠密码系统保证消息的可靠传输，在ＳＥＴ中，使用ＤＥＳ算法产生的对称密钥来加密数据，然后，将此对称密钥用接收者的公钥加密，称为消息的“数字信封”，将其和数据一起送给接收者，接收者先用他的私钥解密数字信封，得到对称密钥，然后使用对称密钥解开数据。
２．数字签名。由于公开密钥和私有密钥之间存在的数学关系，使用其中一个密钥加密的数据只能用另一个密钥解开，ＳＥＴ中使用ＲＳＡ算法来实现。发送者用自己的私有密钥加密数据传给接收者，接收者用发送者的公钥解开数据后，就可确定消息来自于谁。这就保证了发送者对所发信息不能抵赖。
３．消息摘要。消息摘要是一个惟一对应一个消息或文本的值，由一个单向Ｈａｓｈ加密函数对消息作用产生。在ＳＥＴ协议中，原文
二、电子支付协议工作流程
电子商务需要有与现实世界中使用的各种支付手段相对应的电子支付工具。目前主要有三种支付工具：卡、电子支票、电子货币（电子现金、电子硬币）。对应于不同的支付工具，可以将目前已有的支付协议分为三类：基于卡的支付协议、基于支票的支付协议以及基于电子货币的支付协议。下面以广泛应用的ＳＥＴ协议为例来加以分析，ＥＴ要达到的最主要的目标是：
信息在Ｉｎｔｅｒｎｅｔ上的安全传输，保证网上传输的数据不被黑客
通过ＳＨＡ－１算法生成消息的文摘。用发送者的私有密钥加密摘要附在原文后面，一般称为消息的数字签名。 数字签名的接受者可以确信消息确实来自谁，另外，如果消息在途中改变了，则接收者通过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否被改变了。因此消息摘要保证了消息的完整性。 图２说明了加密、签名和消息摘要的过程。
电子商务安全防范研究
季光献
［摘 要］ 随着电子商务的发展，其安全问题越来越受到人们的关注。本文分析了电子商务安全问题，研究了其防范技术和法规，并提出了几点可行性建议。
［关键词］ 电子商务 安全 密码
一、引言
随着电子商务热潮席卷全球，电子商务已成为中国ＩＴ行业最为热门的话题和竞争焦点。电子商务的发展给人们的工作和生活带来了新的尝试和便利性，但并没有像人们想象的那样普及和深入，一个很重要的原因就是电子商务的安全性，它成为阻碍电子商务发展的重要瓶颈之一。
二、电子商务及其安全问题
电子商务是指利用简单快捷低成本的电子通讯方式，使买卖双方进行各种商贸活动的新型贸易形式。它不仅改变了传统贸易形式和企业本身的生产、经营、管理活动，而且将导致人类经济、社会和文化的一次新的革命。但目前电子商务的发展中还存在许多安全问题，针对电子商务总体架构的特征，我们可以对电子商务的安全问题进行如下分类：
１．客户端安全问题：对用户而言，客户端安全是最重要的考虑因素。这一类问题包括用户认证、授权、启动控制、访问控制和病毒防御。考虑到交流，客户端还可能用到服务器认证、收据的抗否认和匿名。
２．服务器端安全问题：对服务器提供者而言，主要关心客户认证与授权、数据源的抗否认、发送者匿名、审计跟踪、账户管理以及可用性和可靠性。
３．事务安全问题：事务安全对于客户和服务器端同等重要。事务安全需要多种安全服务，比如数据认证、访问控制、数据保密性、数据完整性、抗否认性和事务匿名。
４．组织和法律安全问题：技术因素之外，组织和法律安全问题不容忽视。毕竟，安全问题归根结底是人的问题。忽视人的问题而单纯靠技术不可能安全。
三、电子商务安全防范可以看出，安全问题已成为电子商务发展过程中的一大隐患。电子商务的安全主要体现在：交易的有效性和可执行性、交易机制的可靠性、交易过程中信息的完整性和保密性。概括地讲，可分为技术和法律两个方面。
１．技术上的安全防范。电子商务安全是信息安全的上层应用，它包括的技术范围比较广，主要分为网络安全技术和密码技术两大类，其中密码技术又可分为加密、数字签名和认证技术等。
（１）网络安全技术
网络安全是电子商务安全的基础，一个完整的电子商务系统应建立在安全的网络基础设施之上。网络安全所涉及到的方面比较广，如操作系统安全、防火墙技术、虚拟专用网ＶＰＮ技术和各种反黑客技术和漏洞检测技术等。其中最重要的就是防火墙技术。防火墙是建立在通信技术和信息安全技术之上，它用于在网络之间建立一个安全屏障，根据指定的策略对网络数据进行过滤、分析和审计，并对各种攻击提供有效的防范。主要用于Ｉｎｔｅｒｎｅｔ接入和专用网与公用网之间的安全连接。
加密的有效性取决于加密算法ＤＥＳ和ＲＳＡ的强度以及ＳＨＡ－１算法的有效性。
４．双重签名。为了保证消费者的账号等重要信息对商家隐蔽，ＳＥＴ中采用了双重签名技术， 具体的实现方法是：首先生成两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称为双重签名），然后用签发者的私有密钥加密，为了让接收者验证双重签名，还必须将另外一条消息的摘要一块传过去。这样，任何一个消息的接收者都可以通过以下方法验证消息的真实性：生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘要，如果它与解密后的双重签名相等，就可以确定消息是真实的。
四、身份认证技术
网上的两个人要谈一笔交易，每一个人都要鉴别对方是否可信。交易时向对方提交一个由ＣＡ签发的包含个人身份的证书，使对方相信自己的身份，即数字证书。在网上的电子交易中，如双方出示了各自的数字凭证，并用它来进行交易操作，那么双方都可不必为对方身份的真伪担心。
持卡人证书实际上是支付卡的一种电子化的表示。由于它是由金融机构以数字化形式签发的，因此不能随意改变。持卡人证书并不包括账号和终止日期信息，取而代之的是用单向哈希算法根据账号、截止日期生成的一个码，如果知道账号、截止日期、密码值，即可导出这个码值，反之不行。 商家证书用来表示商店可以用什么卡来结算。它是由金融机构签发的，不能被第三方改变。在ＳＥＴ环境中，一个商家至少应有一对证书，与一个银行打交道，一个商家也可以有多对证书，表示它与多个银行有合作关系，可以接受多种付款方法。 除了持卡人证书和商家证书以外，还有支付网关证书、银行证书、发卡机构证书等。
ＣＡ是提供身份验证的第三方机构，由一个或多个用户信任的组织实体。例如，持卡人要与商家通信，持卡人从公开媒体上获得了商家的公开密钥，但持卡人无法确定商家不是冒充的（有信誉），于是持卡人请求ＣＡ对商家认证，ＣＡ对商家进行调查、验证和鉴别后，将包含商家公钥的证书传给持卡人。同样，商家也可对持卡人进行验证。证书一般包含拥有者的标识名称和公钥并且由ＣＡ进行过数字签名。 证书的树形验证结构。在两方通信时，通过出示由某个ＣＡ签发的证书来证明自己的身份，如果对签发证书的ＣＡ本身不信任，则可验证ＣＡ的身份，依次类推，一直到公认的权威ＣＡ处，就可确信证书的有效性。
参考文献：
［１］王 锋：电子商务交易风险与安全保障［Ｍ］ 科学出版社 ２００５［２］方初莹：论在密码学和电子商务的安全性中的应用［Ｊ］ 北京大学数学学院 ２０００
［作者单位：河北科技大学］
（中）总第４５２期
１２０
电子商务中安全问题探讨及应对措施
梁普选 刘玉芬
［摘 要］ 电子商务是一个机遇和挑战共存的新领域，这种挑战在很大程度上来源于对可使用的安全技术的信赖。在开放的网络（如Ｉｎｔｅｒｎｅｔ）上处理交易，如何保证传输数据的安全成为电子商务能否普及的最重要因素之一。
［关键词］ 电子商务 ＳＥＴ协议 ＣＡ认证 加密算法
由于电子商务是以计算机网络为基础的，因此它不可避免面临着一系列的安全问题。在电子商务中表现为商业机密的泄漏，主要包括两个方面：交易双方进行交易的内容被第三方窃取；交易一方提供给另一方使用的文件被第三方非法使用。
窃听；订单信息和个人账号信息的隔离，在将包括消费者账号信息的订单送到商家时，商家只能看到订货信息，而看不到消费者的账户信息；消费者和商家的相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保；要求软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和互操作功能．并且可以运行在不同的硬件和操作系统平台上。
ＳＥＴ规范涉及的范围：加密算法的应用（例如ＲＳＡ和ＤＥＳ）；证书信息和对象格式； 购买信息和对象格式；认可信息和对象格式； 划账信息和对象格式；对话实体之间消息的传输协议。 ＳＥＴ协议中的角色有：消费者在电子商务环境中，消费者和
团体购买者通过计算机与商家交流，消费者通过由发卡机构颁发的付款卡（例如信用卡、借记卡）进行结算。在消费者和商家的会话中，ＳＥＴ可以保证消费者的个人账号信息不被泄露。 发卡机构：它是一个金融机构，为每一个建立了账户的顾客颁发付款卡。 商家：提供商品或服务，使用ＳＥＴ，就可以保证消费者个人信息的安全。接受卡支付的商家必须和银行有关系。 银行：在线交易的商家在银行开立账号，并且处理支付卡的认证和支付。 支付网关：是由银行操作的，将Ｉｎｔｅｒｎｅｔ上的传输数据转换为金融机构内部数据的设备，或由指派的第三方处理商家支付信息和顾客的支付指令。
ＳＥＴ是针对用卡支付的网上交易而设计的支付规范，对不用卡支付的交易方式，像货到付款方式、邮局汇款方式则与ＳＥＴ无关。另外像网上商店的页面安排、保密数据在购买者计算机上如何保存等，也与ＳＥＴ无关。 ＳＥＴ协议的工作原理如图１所示。
一、电子商务对安全的要求
１９９７年５月，由Ｖｉｓａ、ＭａｓｔｅｒＣａｒｄ等联合推出，并得到ＩＢＭ、Ｎｅｔｓｃａｐｅ、Ｍｉｃｒｏｓｏｆｔ、Ｏｒａｃｌｅ等公司支持的安全电子交易（ＳＥＴ）规范为在Ｉｎｔｅｒｎｅｔ上进行安全的电子商务提供了一个开放的标准。保证电子单证的秘密性常用的处理技术是数据加密和解密，常见的加密技术包括对称密钥加密技术（加密／解密使用相同的密钥，典型的加密算法包括ＤＥＳ、Ｔｒｉｐｌｅ ＤＥＳ、ＩＤＥＡ、ＲＣ４和ＲＣ５）和非对称密钥加密技术（也称公开密钥加密技术，加密／解密使用不同的密钥，典型的加密算法为ＲＳＡ、ＳＥＥＫ、ＰＧＰ和ＥＵ等）。单证传输的安全性依赖于使用的算法和密钥的长度。
对于固定且具有频繁贸易往来的伙伴，可以采用单证传输的序列性检验（即为单证分配序列号，或者增加时间戳）；也可采用双方约定的方法，即在规定的时间内，通过某种方式进行确认，包括采用特定的确认报文（如：订单确认报文），或者电子邮件确认和电话确认等来保证被传输的业务单证不会丢失。单证传输完整性主要采用散列技术来防止非法用户对单证的篡改，通过散列算法对被传输的单证进行处理，产生一个依赖于该单证短小的散列值（通常在１００～２００比特之间），并将该散列值附接在单证之后传输给接收方，以便接收方采用相同的散列算法对接收的单证进行检验。散列算法保证对于不同的单证产生相同的散列值的概率极小。典型的散列算法为美国国家安全局开发的单向散列算法——ＳＨＡ－１，该算法产生长度为１６０比特的散列值以及ＭＤ２和ＭＤ５等。鉴别单证真实性的主要手段是数字签名技术，其基础是数据加密中的公开密钥加密技术，实用中常结合单证完整性一起考虑，利用发送方的密钥对散列值进行加密。目前可用的数字签名算法很多，如：ＲＳＡ数字签名、ＥＬＧａｍａｌ数字签名等。 如何解决或者仲裁收发双方对交换的单证所产生的争议，包括发方或收方可能的否认或抵赖？通常要求引入认证中心进行管理，由ＣＡ发放密钥，传输的单证及其签名的备份发至ＣＡ保存，作为可能争议的仲裁依据。当使用ＷＷＷ服务器支持电子商务活动时，应注意数据的备份和恢复，并采用防火墙技术（有些专家建议直接采用物理分割ＷＷＷ服务器和内部网络的连接）保护内部网络的安全性。为了达到商务活动的要求，电子商务需要有规定顾客、商家和各金融机构之间的责权关系的政策，给出参与各方的数据存储和通信过程以及数据流动的支付协议。
三、支付协议中采用的加密技术
ＳＥＴ将对称密钥的快速、低成本和非对称密钥的有效性完美地结合在一起。使用公开密钥，商家生成一个公共密钥对，任何一个消费者都可用商家公开发布的公钥与商家进行保密通信。
１．数字信封。ＳＥＴ依靠密码系统保证消息的可靠传输，在ＳＥＴ中，使用ＤＥＳ算法产生的对称密钥来加密数据，然后，将此对称密钥用接收者的公钥加密，称为消息的“数字信封”，将其和数据一起送给接收者，接收者先用他的私钥解密数字信封，得到对称密钥，然后使用对称密钥解开数据。
２．数字签名。由于公开密钥和私有密钥之间存在的数学关系，使用其中一个密钥加密的数据只能用另一个密钥解开，ＳＥＴ中使用ＲＳＡ算法来实现。发送者用自己的私有密钥加密数据传给接收者，接收者用发送者的公钥解开数据后，就可确定消息来自于谁。这就保证了发送者对所发信息不能抵赖。
３．消息摘要。消息摘要是一个惟一对应一个消息或文本的值，由一个单向Ｈａｓｈ加密函数对消息作用产生。在ＳＥＴ协议中，原文
二、电子支付协议工作流程
电子商务需要有与现实世界中使用的各种支付手段相对应的电子支付工具。目前主要有三种支付工具：卡、电子支票、电子货币（电子现金、电子硬币）。对应于不同的支付工具，可以将目前已有的支付协议分为三类：基于卡的支付协议、基于支票的支付协议以及基于电子货币的支付协议。下面以广泛应用的ＳＥＴ协议为例来加以分析，ＥＴ要达到的最主要的目标是：
信息在Ｉｎｔｅｒｎｅｔ上的安全传输，保证网上传输的数据不被黑客
通过ＳＨＡ－１算法生成消息的文摘。用发送者的私有密钥加密摘要附在原文后面，一般称为消息的数字签名。 数字签名的接受者可以确信消息确实来自谁，另外，如果消息在途中改变了，则接收者通过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否被改变了。因此消息摘要保证了消息的完整性。 图２说明了加密、签名和消息摘要的过程。
电子商务安全防范研究
季光献
［摘 要］ 随着电子商务的发展，其安全问题越来越受到人们的关注。本文分析了电子商务安全问题，研究了其防范技术和法规，并提出了几点可行性建议。
［关键词］ 电子商务 安全 密码
一、引言
随着电子商务热潮席卷全球，电子商务已成为中国ＩＴ行业最为热门的话题和竞争焦点。电子商务的发展给人们的工作和生活带来了新的尝试和便利性，但并没有像人们想象的那样普及和深入，一个很重要的原因就是电子商务的安全性，它成为阻碍电子商务发展的重要瓶颈之一。
二、电子商务及其安全问题
电子商务是指利用简单快捷低成本的电子通讯方式，使买卖双方进行各种商贸活动的新型贸易形式。它不仅改变了传统贸易形式和企业本身的生产、经营、管理活动，而且将导致人类经济、社会和文化的一次新的革命。但目前电子商务的发展中还存在许多安全问题，针对电子商务总体架构的特征，我们可以对电子商务的安全问题进行如下分类：
１．客户端安全问题：对用户而言，客户端安全是最重要的考虑因素。这一类问题包括用户认证、授权、启动控制、访问控制和病毒防御。考虑到交流，客户端还可能用到服务器认证、收据的抗否认和匿名。
２．服务器端安全问题：对服务器提供者而言，主要关心客户认证与授权、数据源的抗否认、发送者匿名、审计跟踪、账户管理以及可用性和可靠性。
３．事务安全问题：事务安全对于客户和服务器端同等重要。事务安全需要多种安全服务，比如数据认证、访问控制、数据保密性、数据完整性、抗否认性和事务匿名。
４．组织和法律安全问题：技术因素之外，组织和法律安全问题不容忽视。毕竟，安全问题归根结底是人的问题。忽视人的问题而单纯靠技术不可能安全。
三、电子商务安全防范可以看出，安全问题已成为电子商务发展过程中的一大隐患。电子商务的安全主要体现在：交易的有效性和可执行性、交易机制的可靠性、交易过程中信息的完整性和保密性。概括地讲，可分为技术和法律两个方面。
１．技术上的安全防范。电子商务安全是信息安全的上层应用，它包括的技术范围比较广，主要分为网络安全技术和密码技术两大类，其中密码技术又可分为加密、数字签名和认证技术等。
（１）网络安全技术
网络安全是电子商务安全的基础，一个完整的电子商务系统应建立在安全的网络基础设施之上。网络安全所涉及到的方面比较广，如操作系统安全、防火墙技术、虚拟专用网ＶＰＮ技术和各种反黑客技术和漏洞检测技术等。其中最重要的就是防火墙技术。防火墙是建立在通信技术和信息安全技术之上，它用于在网络之间建立一个安全屏障，根据指定的策略对网络数据进行过滤、分析和审计，并对各种攻击提供有效的防范。主要用于Ｉｎｔｅｒｎｅｔ接入和专用网与公用网之间的安全连接。
加密的有效性取决于加密算法ＤＥＳ和ＲＳＡ的强度以及ＳＨＡ－１算法的有效性。
４．双重签名。为了保证消费者的账号等重要信息对商家隐蔽，ＳＥＴ中采用了双重签名技术， 具体的实现方法是：首先生成两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称为双重签名），然后用签发者的私有密钥加密，为了让接收者验证双重签名，还必须将另外一条消息的摘要一块传过去。这样，任何一个消息的接收者都可以通过以下方法验证消息的真实性：生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘要，如果它与解密后的双重签名相等，就可以确定消息是真实的。
四、身份认证技术
网上的两个人要谈一笔交易，每一个人都要鉴别对方是否可信。交易时向对方提交一个由ＣＡ签发的包含个人身份的证书，使对方相信自己的身份，即数字证书。在网上的电子交易中，如双方出示了各自的数字凭证，并用它来进行交易操作，那么双方都可不必为对方身份的真伪担心。
持卡人证书实际上是支付卡的一种电子化的表示。由于它是由金融机构以数字化形式签发的，因此不能随意改变。持卡人证书并不包括账号和终止日期信息，取而代之的是用单向哈希算法根据账号、截止日期生成的一个码，如果知道账号、截止日期、密码值，即可导出这个码值，反之不行。 商家证书用来表示商店可以用什么卡来结算。它是由金融机构签发的，不能被第三方改变。在ＳＥＴ环境中，一个商家至少应有一对证书，与一个银行打交道，一个商家也可以有多对证书，表示它与多个银行有合作关系，可以接受多种付款方法。 除了持卡人证书和商家证书以外，还有支付网关证书、银行证书、发卡机构证书等。
ＣＡ是提供身份验证的第三方机构，由一个或多个用户信任的组织实体。例如，持卡人要与商家通信，持卡人从公开媒体上获得了商家的公开密钥，但持卡人无法确定商家不是冒充的（有信誉），于是持卡人请求ＣＡ对商家认证，ＣＡ对商家进行调查、验证和鉴别后，将包含商家公钥的证书传给持卡人。同样，商家也可对持卡人进行验证。证书一般包含拥有者的标识名称和公钥并且由ＣＡ进行过数字签名。 证书的树形验证结构。在两方通信时，通过出示由某个ＣＡ签发的证书来证明自己的身份，如果对签发证书的ＣＡ本身不信任，则可验证ＣＡ的身份，依次类推，一直到公认的权威ＣＡ处，就可确信证书的有效性。
参考文献：
［１］王 锋：电子商务交易风险与安全保障［Ｍ］ 科学出版社 ２００５［２］方初莹：论在密码学和电子商务的安全性中的应用［Ｊ］ 北京大学数学学院 ２０００
［作者单位：河北科技大学］
（中）总第４５２期
１２０