BCP中国商务信用平台：本文阐述了保障信息安全加解密技术、混合加密体制、hash函数与数字签名技术,介绍了加解密过程和信息完整性的原理,以及实际生活中的加密软件使用。

　　一、电子商务的安全控制要求

　　电子商务发展的核心和关键问题是交易的安全性。由于Internet本身的开放性,使网上交易面临了种种危险,也由此提出了相应的安全控制要求。密码学提供以下信息安全服务。

　　1.信息的保密性。交易中的商务信息有保密的要求。如信用卡的帐号和用户名被人知悉,就可能被盗用。因此在电子商务的信息传播中一般均有加密的要求。

　　2.信息的完整性。交易的文件是不可被修改的,如其能改动文件内容,那么交易本身便是不可靠的,客户或商家可能会因此而蒙受损失。因此电子交易文件也要能做到不可修改,以保障交易的严肃和公正。

　　3.信息源鉴别。在商家发送信息过程中,可能出现伪装成商家的攻击者发送虚假信息,因此使用密码学中基于非对称加密技术的书签签名体制可以帮助数据接收方确认数据源自特定的用户。

　　4.不可否认性。如果交易双方一方产生抵赖,将会对交易活动的另一方带来不可避免的损失。因此,必须确保通信和交易双方无法对已进行的业务进行否认。

　　二、信息加密技术

　　1.对称密钥密码体制。凯撒密码通过对字母移位的方式进行加密,这是一种典型的对称加密算法。其算法是:如果密钥为3,将26个英文字母顺序不变,但使a,b,c,……,z分别对应d,e,f,……,c。如果明文为day,那么密文就是gdb。解密算法是加密算法的逆运算,即字母位置向前移动3位,并一一对应。但此种算法由于字母出现频率的高低容易被破解,并且只有26个字母,容易被穷举法分析得出密钥。

　　对称加密体制中,加密密钥与解密密钥相同。因此,密钥的保护尤为重要,如果第三方截获该密钥就会造成信息失密。在对称加密算法中,可以保障的只有信息的保密性。而无信息的完整性等其他性能。

　　2.非对称密钥密码体制。与对称密钥密码体制相对应,非对称加密算法中,加密密钥与解密密钥不同。这对密钥在密钥生成过程中同时产生。在使用时,该对密钥持有人将其中一个密钥公开,而将另一密钥作为私有密钥加以保密,前者称为公钥,后者称为私钥。任何持有公钥的人都可加密信息,但不能解密自己加密的密文,只有密钥持有者可以用私钥对收到的经过公钥加密的信息解密。由于在非对称密钥密码体制所使用的两个不同的密码中有一个需要向所有期望同密钥持有者进行安全通信的人随意公开,所以该密码体制又被称为公钥密码体制。

　　3.Hash函数。Hash,一般翻译做“散列”,也有直接音译为“哈希”的,就是把任意长度的输入,通过散列算法,变换成固定长度的输出,该输出就是散列值。犹如人类的指纹,每个不同的文件偶有不同的hash值。因此,一旦文件稍微改变,文件的Hash值将完全不同。由此可以鉴别信息的完整性。Hash函数的特征主要有两个:强碰撞自由和计算的单向性。由于强碰撞自由可以鉴别文件的完整性。但由于计算不可逆,在计算前应保存好文件原本,在发送信息时将文件与其被加密的Hash值同时发送。

　　4.数字签名。在现代社会里,电子邮件和网络上的文件传输已经成为生活的一部分。邮件的安全问题就日益突出了,大家都知道在Internet上传输的数据是不加密的。如果你自己不保护自己的信息,第三者就会轻易获得你的隐秘。另一个问题就是信息认证,如何让收信人确信邮件没有被第三者篡改,就需要数字签名技术。

　　实现数字签名的过程如下:

　　(1)信息发送者使用一单向散列函数(Hash算法)对信息生成信息摘要。(2)信息发送者使用自己的私钥签名信息摘要。(3)信息发送者把信息本身和已签名的信息摘要一起发送出去。(4)任何接收者通过使用与信息发送者使用的同一个单向散列函数对接收的信息生成新的信息摘要,再使用信息发送者的公钥对信息摘要进行验证,以确认信息发送者的身份和信息是否被修改过。

　　三、软件应用——混合型加密体制PGP

　　PGP(pretty good privacy)是一个基于非对称密码体系的文件加密、数字签名和证书管理软件。其创造性在于把非对称密码体系的方便和传统对称加密体系的高速度结合起来,并且在数字签名和密钥认证管理机制上有巧妙的设计。因此PGP已成为目前最流行的信息加密和签名产品之一。PGP可以对电脑存储的文件实施加、解密;对你的邮件保密以防止非授权者阅读,它还能对发出邮件加上数字签名从而使收信人可以确信邮件来源。它让使用者可以安全地和从未见过的人们通讯,事先并不需要任何保密的渠道用来传递密钥。

　　PGP中用到了以下几中主要的加密技术,对称加密,非对称加密,单向函数。利用PGP软件可以形成一对密钥,并且可以存储多对密钥。让加密者选择自己想要发送信息的对象的公钥对信息进行加密。

　　PGP的使用步骤如下:

　　1.安装。

　　2.生成密钥对。首先要生成一对密钥。也就是一个公钥和一个私钥。从“开始”菜单中选择“PGP”中的“PGP Keys”。其中公钥是发送给别人用来加密钥发送给自己的文件的,私钥是自己保存,用于解密别人用公钥加密的文件,或者起数字签名的作用。生成公钥的时候最好输入姓名或email地址方便别人辨识。

　　3.导出并发送公钥。公钥导出之后,将其发送给需要跟自己进行安全通信的人。可以通过多种方式,如发传送公钥或者将公钥放在公钥服务器上以供别人查找下载。

　　4.文件加密与解密。选中要加密的文件,右键,然后选择“PGP”——“Encrypt”。然后在密钥选择对话框中,选择要接受文件的接收者。选住该接收者的公钥,将其公钥拖到对话框的下部分,点击“OK”,并且为加密文件设置保存路径和文件名。

　　5.对文件签名与验证数字签名。选择要进行签名的文件,点击右键,选择“sign”。此时只能证明邮件的发出方,而文件内容并没有加密。验证该签名时则选中文件,点击右键,选择“verify”。

　　使用PGP可以安全方便的保护自己的文件,并可将自己的密钥导出保存,避免因软件重装后造成之前的加密文件不可用。