安時(shí)
01-7-23 下午 02:38:07
1、前言
隨著(zhù)網(wǎng)絡(luò )技術(shù)的發(fā)展和Internet的不斷普及，上網(wǎng)人數也越來(lái)越多，網(wǎng)絡(luò )正以前所未有的速度滲透到人們的生活、工作和學(xué)習之中。而基于網(wǎng)絡(luò )，特別是Internet的電子商務(wù)技術(shù)的發(fā)展，更是體現了網(wǎng)絡(luò )對人們生活的巨大影響，真正實(shí)現了了足不出戶(hù)，全球購物的夢(mèng)想。在所有的電子交易系統環(huán)節中，最關(guān)鍵和最重要的因素是安全，包括交易方的身份認證和交易信息的安全傳輸等。目前，保障電子交易網(wǎng)絡(luò )安全比較成熟的技術(shù)，是以PKI安全體系為基礎，以CA中心為核心的信息加密和簽名技術(shù)，通過(guò)使用簽名、加密技術(shù)來(lái)實(shí)現交易雙方傳遞信息的保密性、完整性、有效性和不可抵賴(lài)性。在電子交易系統中，所有交易方均擁有一個(gè)由可信CA中心簽發(fā)的數字證書(shū)，該證書(shū)在向接收方證明自己身份的同時(shí)，也捆綁了證書(shū)持有者的公鑰信息。另外，通過(guò)證書(shū)與用戶(hù)身份和權限的綁定，可以有效地控制用戶(hù)對網(wǎng)絡(luò )資源的使用和存取。證書(shū)機制是電子交易系統賴(lài)以生存的基礎。
因此，以高度安全為建設目標的網(wǎng)絡(luò )電子交易系統，必須建立在CA認證系統的基礎之上。而認證中心機制還能推廣到很多其它場(chǎng)合，如其他場(chǎng)合的身份認證、密鑰協(xié)商等。從整體上講，證書(shū)機制為很多應用場(chǎng)合提供了身份認證方面完整的安全保障，可以保證網(wǎng)上支付、網(wǎng)上交易過(guò)程等服務(wù)平臺的安全。
所以，在電子商務(wù)應用中，要想實(shí)現真正意義上的網(wǎng)上交費、網(wǎng)絡(luò )商品銷(xiāo)售和相關(guān)的增值服務(wù)，首先必須解決敏感信息（如信用卡號、密碼和交費信息等）在交易和管理時(shí)存在的安全問(wèn)題，尤其是用戶(hù)和網(wǎng)站之間的身份認證問(wèn)題，而CA認證系統正是為實(shí)現交易雙方的身份認證而建立的。
由于網(wǎng)上交易的人們不可能都互相認識，為了確保交易的順利進(jìn)行，必須在互聯(lián)通信網(wǎng)絡(luò )中建立并維持一種令人可以信任的環(huán)境和機制。應用最有效的安全技術(shù)，建立電子商務(wù)安全體系結構，成為電子商務(wù)建設中首先需要解決的問(wèn)題。國際上提出了基于公開(kāi)密鑰體制（PKI）的數字證書(shū)解決方案，現已被普遍采用。電子商務(wù)中安全措施的實(shí)現主要圍繞數字證書(shū)展開(kāi)的。數字證書(shū)（Certificate）提供的是網(wǎng)絡(luò )上的身份證明。數字證書(shū)擁有者可以將其證書(shū)提供給其他人、Web站點(diǎn)及網(wǎng)絡(luò )資源，以證實(shí)他的合法身份，并且與對方建立加密的、可信的通信。證書(shū)除了用來(lái)向其它實(shí)體證明自己的身份外，還同時(shí)起著(zhù)公鑰分發(fā)的作用，每份證書(shū)都攜帶著(zhù)持有人的公鑰，簽名證書(shū)攜帶的是簽名公鑰，信息加密證書(shū)攜帶的是信息加密公鑰。所有實(shí)體的證書(shū)是由一個(gè)權威機構——CA機構(Certificate Authority)發(fā)行的，人們可以在交往中用它來(lái)識別對方的身份。電子商務(wù)CA先行，沒(méi)有一個(gè)足夠穩固、健全的CA，一切網(wǎng)上的交易都沒(méi)有安全保障。CA是保證電子商務(wù)安全的關(guān)鍵。
CA是承擔網(wǎng)上安全電子交易認證服務(wù)、能簽發(fā)數字證書(shū)、并能確認用戶(hù)身份的服務(wù)機構。CA通常是企業(yè)性的服務(wù)機構，主要任務(wù)是受理數字證書(shū)的申請、簽發(fā)及對數字證書(shū)的管理。作為受信任的第三方權威機構，CA負責產(chǎn)生、分配并管理用戶(hù)的數字證書(shū)，使網(wǎng)上通信的各方能互相確認身份。它的基本功能有：接收注冊請求，處理、拒絕/批準請求，頒發(fā)證書(shū)。在實(shí)際運作中，CA可由大家都信任的第三方來(lái)?yè)敗?div style="height:15px;">
2、數字證書(shū)
數字證書(shū)是一種數字標識，可以說(shuō)是Internet上的安全護照或身份證明。當人們到其他國家旅行時(shí)，用戶(hù)護照可以證實(shí)其的身份，并被獲準進(jìn)入這個(gè)國家。數字證書(shū)提供的是網(wǎng)絡(luò )上的身份證明。
數字證書(shū)是一個(gè)經(jīng)證書(shū)授權中心數字簽名的包含公開(kāi)密鑰擁有者信息以及公開(kāi)密鑰的文件。最簡(jiǎn)單的證書(shū)包含一個(gè)公開(kāi)密鑰、名稱(chēng)以及證書(shū)授權中心的數字簽名。一般情況下證書(shū)中還包括密鑰的有效時(shí)間，發(fā)證機關(guān)(證書(shū)授權中心)的名稱(chēng)，該證書(shū)的序列號等信息，證書(shū)的格式遵循ITUT X.509國際標準。
一個(gè)標準的X.509數字證書(shū)包含以下一些內容：
證書(shū)的版本信息；
證書(shū)的序列號，每個(gè)證書(shū)都有一個(gè)唯一的證書(shū)序列號；
證書(shū)所使用的簽名算法；
證書(shū)的發(fā)行機構名稱(chēng)，命名規則一般采用X.500格式；
證書(shū)的有效期，從什么時(shí)候開(kāi)始有效，到什么時(shí)候結束
證書(shū)所有人的名稱(chēng)，命名規則一般采用X.500格式；
證書(shū)所有人的公開(kāi)密鑰；
證書(shū)發(fā)行者對證書(shū)的簽名。
圖1給出了一個(gè)典型證書(shū)的實(shí)例。
圖1 證書(shū)實(shí)例
3、CA基礎
證書(shū)機構CA（certification authority）用于創(chuàng )建和發(fā)布證書(shū)，它通常為一個(gè)稱(chēng)為安全域（security domain）的有限群體發(fā)放證書(shū)。創(chuàng )建證書(shū)的時(shí)候，CA系統首先獲取用戶(hù)的請求信息，其中包括用戶(hù)公鑰（公鑰一般由用戶(hù)端產(chǎn)生，如電子郵件程序或瀏覽器等），CA將根據用戶(hù)的請求信息產(chǎn)生證書(shū)，并用自己的私鑰對證書(shū)進(jìn)行簽名。其他用戶(hù)、應用程序或實(shí)體將使用CA的公鑰對證書(shū)進(jìn)行驗證。如果一個(gè)CA系統是可信的，則驗證證書(shū)的用戶(hù)可以確信，他所驗證的證書(shū)中的公鑰屬于證書(shū)所代表的那個(gè)實(shí)體。
CA還負責維護和發(fā)布證書(shū)廢除列表CRL（certificate revocation lists，又稱(chēng)為證書(shū)黑名單）。當一個(gè)證書(shū)，特別是其中的公鑰因為其他原因無(wú)效時(shí)（不是因為到期），CRL提供了一種通知用戶(hù)和其他應用的中心管理方式。CA系統生成CRL以后，要么是放到LDAP服務(wù)器中供用戶(hù)查詢(xún)或下載，要么是放置在Web服務(wù)器的合適位置，以頁(yè)面超級連接的方式供用戶(hù)直接查詢(xún)或下載。
一個(gè)典型的CA系統包括安全服務(wù)器、注冊機構RA、CA服務(wù)器、LDAP目錄服務(wù)器和數據庫服務(wù)器等。如圖2所示。
圖2 典型CA中心示意圖
安全服務(wù)器：安全服務(wù)器面向普通用戶(hù)，用于提供證書(shū)申請、瀏覽、證書(shū)撤消列表以及證書(shū)下載等安全服務(wù)。安全服務(wù)器與用戶(hù)的的通信采取安全信道方式（如SSL的方式，不需要對用戶(hù)進(jìn)行身份認證）。用戶(hù)首先得到安全服務(wù)器的證書(shū)（該證書(shū)由CA頒發(fā)），然后用戶(hù)與服務(wù)器之間的所有通信，包括用戶(hù)填寫(xiě)的申請信息以及瀏覽器生成的公鑰均以安全服務(wù)器的密鑰進(jìn)行加密傳輸，只有安全服務(wù)器利用自己的私鑰解密才能得到明文，這樣可以防止其他人通過(guò)竊聽(tīng)得到明文。從而保證了證書(shū)申請和傳輸過(guò)程中的信息安全性。
CA服務(wù)器：CA服務(wù)器使整個(gè)證書(shū)機構的核心，負責證書(shū)的簽發(fā)。CA首先產(chǎn)生自身的私鑰和公鑰（密鑰長(cháng)度至少為1024位），然后生成數字證書(shū)，并且將數字證書(shū)傳輸給安全服務(wù)器。CA還負責為操作員、安全服務(wù)器以及注冊機構服務(wù)器生成數字證書(shū)。安全服務(wù)器的數字證書(shū)和私鑰也需要傳輸給安全服務(wù)器。CA服務(wù)器是整個(gè)結構中最為重要的部分，存有CA的私鑰以及發(fā)行證書(shū)的腳本文件，出于安全的考慮，應將CA服務(wù)器與其他服務(wù)器隔離，任何通信采用人工干預的方式，確保認證中心的安全。
注冊機構RA：登記中心服務(wù)器面向登記中心操作員，在CA體系結構中起承上啟下的作用，一方面向CA轉發(fā)安全服務(wù)器傳輸過(guò)來(lái)的證書(shū)申請請求，另一方面向LDAP服務(wù)器和安全服務(wù)器轉發(fā)CA頒發(fā)的數字證書(shū)和證書(shū)撤消列表。
LDAP服務(wù)器：LDAP服務(wù)器提供目錄瀏覽服務(wù)，負責將注冊機構服務(wù)器傳輸過(guò)來(lái)的用戶(hù)信息以及數字證書(shū)加入到服務(wù)器上。這樣其他用戶(hù)通過(guò)訪(fǎng)問(wèn)LDAP服務(wù)器就能夠得到其他用戶(hù)的數字證書(shū)。
數據庫服務(wù)器：數據庫服務(wù)器是認證機構中的核心部分，用于認證機構中數據（如密鑰和用戶(hù)信息等）、日志合統計信息的存儲和管理。實(shí)際的的數據庫系統應采用多種措施，如磁盤(pán)陣列、雙機備份和多處理器等方式，以維護數據庫系統的安全性、穩定性、可伸縮性和高性能。
4、國內CA現狀
為促進(jìn)電子商務(wù)在中國的順利開(kāi)展，一些行業(yè)都已建成了自己的一套CA體系，如中國電信CA安全認證體系（CTCA）、中國金融認證中心（CFCA）等；還有一些行政區也建立了或正在建立區域性的CA體系，如上海電子商務(wù)CA認證中心（SHECA）、廣東省電子商務(wù)認證中心（CNCA）、海南省電子商務(wù)認證中心（CNCA）、云南省電子商務(wù)認證中心（CNCA）等。
1. 中國電信CA安全認證系統（CTCA）
中國電信自1997年底，開(kāi)始在長(cháng)沙進(jìn)行電子商務(wù)試點(diǎn)工作，由長(cháng)沙電信局負責組織。CTCA是國內最早的CA中心。1999年8月3日，中國電信CTCA安全認證系統通過(guò)國家密碼委員會(huì )和信息產(chǎn)業(yè)部的聯(lián)合鑒定，并獲得國家信息產(chǎn)品安全認證中心頒發(fā)的認證證書(shū)，成為首家允許在公網(wǎng)上運營(yíng)的CA安全認證系統。目前，中國電信可以在全國范圍內向用戶(hù)提供CA證書(shū)服務(wù)?，F在中國電信已經(jīng)為用戶(hù)發(fā)放了6萬(wàn)多張CTCA證書(shū)。
中國電信CTCA系統有一套完善的證書(shū)發(fā)放體系和管理制度。體系采用三級管理結構：全國CA安全認證中心，（包括全國CTCA中心、CTCA湖南備份中心），省級RA中心以及地市業(yè)務(wù)受理點(diǎn)，在2000年6月形成覆蓋全國的CA證書(shū)申請、發(fā)放、管理的完整體系。系統為參與電子商務(wù)的不同用戶(hù)提供個(gè)人證書(shū)、企業(yè)證書(shū)和服務(wù)器證書(shū)。同時(shí)，中國電信還組織制定了《中國電信電子商務(wù)總體技術(shù)規范》、《中國電信CTCA接口標準》、《網(wǎng)上支付系統的接口標準》、《中國電信電子商務(wù)業(yè)務(wù)管理辦法》等，而且中國電信向社會(huì )免費公布CTCA系統接口標準和API軟件包，為更多的電子商務(wù)應用開(kāi)發(fā)商提供CTCA系統的支持與服務(wù)。
中國電信已經(jīng)與銀行、證券、民航、工商、稅務(wù)等多個(gè)行業(yè)聯(lián)合開(kāi)發(fā)出了網(wǎng)上安全支付系統、電子繳費系統、電子銀行系統、電子證券系統、安全電子郵件系統、電子訂票系統、網(wǎng)上購物系統、網(wǎng)上報稅等一系列基于中國電信CTCA安全認證系統的電子商務(wù)應用，已經(jīng)初步建立起中國電信電子商務(wù)平臺。
2. 中國金融認證中心（CFCA）
中國金融認證中心（CFCA）是由中國人民銀行牽頭，聯(lián)合中國工商銀行、中國農業(yè)銀行、中國銀行、中國建設銀行、交通銀行、招商銀行、中信實(shí)業(yè)銀行、華夏銀行、廣東發(fā)展銀行、深圳發(fā)展銀行、光大銀行、民生銀行等十二家商業(yè)銀行共同建設了中國金融認證中心（China Financial Certificate Authority ，簡(jiǎn)稱(chēng)CFCA）。中國金融認證中心的項目包括建設SET CA和Non-SET CA兩套系統，工程于1999年8月30日開(kāi)始實(shí)施。SET CA由IBM公司負責承建，Non-SET CA由Entrust公司、SUN和得達創(chuàng )新聯(lián)合建設。
Non-SET CA系統于2000年1月19日發(fā)放了第一批試驗證書(shū)，SET系統于2000年3月30日試發(fā)了第一批證書(shū)。于2000年6月20日通過(guò)了由國家密碼管理委員會(huì )和人民銀行支付科技司聯(lián)合主持的密碼產(chǎn)品本地化工作的安全性審查。于2000年6月29日開(kāi)始對社會(huì )各界提供證書(shū)服務(wù)，系統進(jìn)入運行狀態(tài)。
中國金融認證中心（CFCA-China Finance Certificate Authority）專(zhuān)門(mén)負責為金融業(yè)的各種認證需求提供證書(shū)服務(wù)，包括電子商務(wù)、網(wǎng)上銀行、網(wǎng)上證券交易、支付系統和管理信息系統等，為參與網(wǎng)上交易的各方提供安全的基礎，建立彼此信任的機制。
CFCA在建設過(guò)程中，因為技術(shù)上的問(wèn)題，使得正式發(fā)證的時(shí)間比以前計劃的時(shí)間大大推遲。因為在操作上、證書(shū)申請的方式上還存在一些問(wèn)題，因此發(fā)放的證書(shū)不多。
3. 國富安電子商務(wù)安全認證中心
國富安電子商務(wù)安全認證中心是中國國際電子商務(wù)中心(屬外經(jīng)貿部) 下屬的專(zhuān)業(yè)從事電子商務(wù)及信息安全的公司。根據國家“金關(guān)工程”網(wǎng)絡(luò )發(fā)展的需要，負責建立、維護、管理、運營(yíng)中國國際電子商務(wù)安全認證中心，并向社會(huì )提供數字證書(shū)服務(wù)。“商業(yè)電子信息安全認證系統”已于1999年2月通過(guò)國家科技部和國家密碼管理委員會(huì )的技術(shù)鑒定。
據了解，國富安電子商務(wù)安全認證中心的建立借助了國外公司的力量完成的，國富安電子商務(wù)安全認證中心自己本身的開(kāi)發(fā)力量一直不強，因此，在它的電子商務(wù)證書(shū)基礎上還沒(méi)有較多的成功應用，國富安本身在數字證書(shū)的基礎上也沒(méi)有完整的應用軟件。外經(jīng)貿部在網(wǎng)上的電子交易很多，但是，其認證系統也沒(méi)有采用國富安的證書(shū)系統。因此其發(fā)證量一直比較少。
4. 上海市電子商務(wù)安全證書(shū)管理中心（SHECA）
上海市電子商務(wù)安全證書(shū)管理中心由上海市電子商務(wù)安全證書(shū)管理中心有限公司（簡(jiǎn)稱(chēng)SHECA）負責經(jīng)營(yíng)管理。上海市電子商務(wù)安全證書(shū)管理中心屬于上海市政府。
SHECA在上海市政府的大力推廣之下，目前發(fā)證量相對來(lái)說(shuō)比較多。并且，在199年和2000年，SHECA進(jìn)行了一些比較成功的推廣應用。
比如，東方航空公司網(wǎng)上安全售票系統；上海熱線(xiàn)的安全電子郵件服務(wù)； 基于SHECA認證的港澳上證證券之星網(wǎng)上證券交易系統；上海銀行卡網(wǎng)絡(luò )服務(wù)中心支付網(wǎng)關(guān)；上海網(wǎng)上化工交易中心；基于SHECA安全認證的企業(yè)名錄進(jìn)入；并且在上海市政府的介入下，要求上海的各家銀行采用SHECA頒發(fā)的證書(shū)。因此SHECA在上海得到了比較好的應用。
另外，還有一些其它的省級電子商務(wù)認證中心，如北京市電子商務(wù)認證中心、天津市電子商務(wù)認證中心、云南省電子商務(wù)認證中心（在建）、山東省電子商務(wù)認證中心、湖南省電子商務(wù)認證中心、湖北省電子商務(wù)認證中心、廣東省電子商務(wù)認證中心、廣西電子商務(wù)認證中心、海南省電子商務(wù)認證中心、山西省電子商務(wù)認證中心、吉林省電子商務(wù)認證中心、福建省電子商務(wù)認證中心（在建）和深圳市電子商務(wù)認證中心（在建）等。另外，我國還有其他一些省市和企業(yè)機關(guān)也在著(zhù)手建立自己的電子商務(wù)認證中心，特別是一些大型企業(yè)和事業(yè)單位，也使用CA和證書(shū)機制來(lái)對企業(yè)用戶(hù)的身份和權限進(jìn)行認證和管理。
目前，我國的CA建設還處于一個(gè)起步的階段，沒(méi)有完整的統籌和協(xié)調，CA的發(fā)展還是各自為政，獨立發(fā)展的混亂局面，沒(méi)有建立一個(gè)政策上固定的全國性根CA（如美國的郵政CA），這對處于權威認證機構的CA來(lái)說(shuō)不僅是基礎設施的浪費，也對電子商務(wù)中的身份認證帶來(lái)一系列問(wèn)題，如交叉認證的互不兼容等。相信經(jīng)過(guò)若干年的發(fā)展，我國的CA建設在積累經(jīng)驗和教訓的基礎上，一定會(huì )形成一個(gè)全國性的、完整的和層次性合理的CA基礎設施，真正為我國的電子商務(wù)發(fā)展保駕護航。
5、結論
數字證書(shū)是網(wǎng)絡(luò )中標識實(shí)體身份的憑據，是用戶(hù)在網(wǎng)絡(luò )的虛擬世界中表明自己身份的最有效的方法，而認證機構CA則是頒發(fā)數字證書(shū)的權威機構。CA作為數字證書(shū)的頒發(fā)和維護機構，其作用和性質(zhì)同頒發(fā)護照和身份證的政府機關(guān)和權威機關(guān)類(lèi)似，在很大程度上不是取決于技術(shù)，而是取決于CA的策略和管理機制。所以，建設和維護CA的一個(gè)很重要方面就是制定完備的證書(shū)策略，根據不同的需要和不同的實(shí)體類(lèi)型，來(lái)頒發(fā)不同的證書(shū)，并建立相應的證書(shū)廢除機制。
