2018电子商务安全技术研究

3296020

　　　[摘要] 电子商务是经济全球化和贸易自由化的重要手段，也是传统产业变革和企业技术跨越的关键动力。但是电子商务将关注过多地放在实现数据交换上，对于保证交易数据安全的问题缺乏足够的重视。随着现有解密算法提出的新挑战，忽视数据的安全会使得交易中的机密信息和敏感信息面临危险。以王小云教授的研究成果为代表的解密算法对现有的XML数据安全通信提出了新的挑战，为此提出了一种改进的XML安全技术，并将其应用到基于网络的电子商务设计中。性能比较和理论分析表明，该技术能在一定程度上弥补现有技术的不足，具有一定的实用价值。
　　[关键词] 电子商务 安全 研究
　　
　　一、引言
　　电子商务是经济全球化和贸易自由化的重要手段,也是传统产业变革和企业技术跨越的关键动力。电子商务自从出现以来,就以其巨大的能量和动力，给整个世界的经济运行方式和社会生活形态带来了翻天覆地的变化。目前,电子商务己经成为各国政府为增强国家竞争力并赢得市场资源配置优势而大力推进的战略性任务。
　　但是电子商务将关注过多地放在实现数据交换上，对于保证交易数据安全的问题缺乏足够的重视。随着现有解密算法提出的新挑战，忽视数据的安全会使得交易中的机密信息和敏感信息面临危险。因此，本文提出了一种改进的安全技术，并将其应用到电子商务的设计中。
　　二、电子商务安全技术及面临的挑战
　　扩展标记语言XML(Extensible Markup Language)是世界万维网联盟制定的一种数据标准。其数据传输方案是:根据XML数据安全标准把加密或签名后的密文信息加入原XML文档中,与原XML文档一起传输。这种传输方式,在加密和签名算法可靠的前提下,可以实现XML文档细粒度的加密和签名,不存在着数据安全的问题。
　　然而，新的解密算法的提出对现有的XML数据安全通信提出了新的挑战。在2004年的8月，一直在国际上广泛应用的密码算法MD5被中国密码专家—山东大学的王小云教授所破解。王小云教授的研究成果作为密码学领域的重大发现宣告了固若金汤的世界通行密码标准MD5大厦轰然倒塌，引发了密码学界的轩然大波。密码学界认为“MD5被破解了，它即将从应用中淘汰”。2005年2月，王小云教授又破解了美国在电子商务领域中广泛使用的SHA-1密码算法。两大算法是目前国际电子签名及许多其他密码应用领域的关键技术，广泛应用于金融、证券等电子商务领域。其中，SHA-1早在1994年便为美国政府采纳，目前是美国政府广泛应用的计算机密码系统。
　　这两个密码算法在XML签名标准中也被广泛使用。这两个密码算法被破解意味着从理论上讲，经过认证的签名可以被伪造，从而使数据的真确性和完整性受到了前所未有的挑战。事实上，国际密码学家Lenstra利用王小云教授提供的MD5碰撞，伪造了符合X.509标准的数字证书，这就说明了MD5密码算法的破译已经不仅仅是理论破译结果，而是可以导致实际的攻击。
　　三、电子商务安全技术的改进
　　传统的数据传输方式的风险出现在密文数据保存在原XML文档中,并一起进行传输。所以,当整个XML文档被截取或非法复制后,由于现有加密或签名算法的缺陷,XML文档会被非法用户获得。
　　针对上述XML数据传输方式所存在的风险,本文在实现WS Security规范所提出的安全标准的基础上做出改善,把密文信息与原XML文档分离传输。设计出一个新的可应用在电子商务信息系统中的XML数据安全传输方案。通过实现这个XML数据的安全通信方案，电子商务系统可实现XML数据较高的通信安全性和认证安全性。
　　方案充分利用XML数据结构上的特点，制订了一个提高XML数据的通信安全性和认证安全性的通信方案。方案的设计如下：
　　在发送端，首先根据XML文档中各元素内容的重要性编制一个DTD文档对XML文档进行分解，并生成一个XSLT样式表；然后，使用由W3C最新制订的XSLT 2.0技术把单一的XML文档转换为多个独立的XML文档;进而根据XML数据的保密程度对该分离后的XML文档进行XML签名确认，为保证数字签名的有效性，使用SHA-256的签名算法对XML数据进行签名确认；签名后，对各XML文档进行加密（如DES算法），对DTD文档和XSLT样式单使用XML加密中高安全等级的加密算法（如RSA算法）进行加密，而且把XML数据、DTD文档和XSLT样式单传输到接收端。
　　在接收端，首先对接收到的各XML文档进行解密和签名认证，然后利用XSLT 2.0技术，根据DTD文档和XSLT样式单的记录，把分解后的各XML文档重新组合为单一的文档。因为多个单独的XML文档难以在网络中被全部截取，而缺少任何一个分解后的XML文档就无法重组为原XML文档，所以在一定程度上保障了XML数据的保密性。
　　在本方案中，把不同保密等级的数据进行分离传输，避免了密文数据与XML文档一起传输的弊病，减低了XML数据被截取和破解的风险，这就保证了整个XML文档的安全。
　　四、算法的性能比较
　　.NET技术为XML数据提供各种命名空间和类，利用.NET技术的支持，可以利用最新的XSLT技术对XML文档进行分解。根据WS Security的规范，还可从.NET的类中直接调用各种加密算法和签名算法对分解后的文档进行数字签名和加密等操作。
　　.NET技术所提供的支持可以灵活的根据方案的需要实现既定的效果。例如因为MD5算法和SHA-1算法被破解，使用这两个算法进行散列就存在了安全的风险，而.NET技术包含了多种高安全性的散列算法（如SHA-512），使我们的方案可以简单地实现散列算法的升级，减低XML数字签名被伪造的机会。
　　1.XML加密算法的性能比较
　　不同的加密算法有不同的性能，在XML数据安全传输方案中，应当根据XML文档的保密程度来确定加密的算法。
　　在比较中，发现对称算法的速度非常快，适于加密大型的数据流，但这种算法都使用固定的密钥长度或ASCII字符，因此可以通过尝试每个可能的密钥组合并最终找到正确的那个，从而破解加密的数据。所以，这类加密算法适应于加密XML文档中数据量大，但安全性要求不高的部分。