智能卡技術(shù)在電子商務(wù)中的應(yīng)用
文章出處：http://www.fang1.net 作者：張懋華 人氣： 發(fā)表時間：2011年10月07日
1 電子商務(wù)中智能卡技術(shù)的典型應(yīng)用
1．1 客戶端身份認證
網(wǎng)絡(luò)使人們可以很容易地突破地域、種族等各種限制而進行相互交流。人們可以在網(wǎng)上從事和參與各項活動，包括電子商務(wù)等。但同時在網(wǎng)上從事商務(wù)等活動也存在著許多問題，如“信任危機”。因此，如何在電子商務(wù)交易中確認參與者的身份，就成為首先需要解決的問題。
口令認證是目前對客戶端進行身份認證所采取的最常用方式。如客戶管理系統(tǒng)、會員制服務(wù)系統(tǒng)等。其一般做法是：首先在服務(wù)器端為請求認證者建立與用戶ID和口令相對應(yīng)的數(shù)據(jù)庫，其中用戶ID在數(shù)據(jù)庫中是唯一的；然后當用戶在客戶端發(fā)起認證請求時，要同時提交ID和口令；服務(wù)器端通過查詢數(shù)據(jù)庫并與接收到的口令比較，可以對客戶端進行身份認證。這種方式實現(xiàn)起來非常簡單，但只能應(yīng)用于安全性要求很低的場合，因為它的缺點也比較明顯，主要表現(xiàn)在：
(1)不負責傳輸?shù)陌踩?，口令字采用明碼傳輸，容易被截獲。
(2)對用戶提出了較高的要求，如要求口令具備一定的長度、沒有規(guī)律可循、容易記憶等，盡管這些要求有些是自相矛盾的。
(3)不能有效防止基于字典的窮舉攻擊或者通過分析用戶背景進行口令猜測。
然而。使用智能卡就可以對這種方式進行改進，從而在保留實用性的基礎(chǔ)上增加一定的安全性。通過USB接口的智能卡進行身份認證，即可提高系統(tǒng)使用的安全性和可移動性。
USB接口的智能卡亦被稱為電子鑰匙(Key)，其體積小巧，形狀類似U盤，便于使用者隨身攜帶，并為重要信息的存放提供了功能豐富的應(yīng)用軟件支持。因此，將密碼、信用卡號或其它安全認證信息存放于USB接口的智能卡中。其方便和安全性都將得到很大提高。同時，USB接口的智能卡還可進行電子郵件加密、數(shù)字簽名、安全證書應(yīng)用、安全網(wǎng)絡(luò)登錄和訪問SsL安全網(wǎng)絡(luò)等操作，為使用者提供身份認證和信息加密服務(wù)。
1．2 數(shù)字證書
數(shù)字證書就是標志網(wǎng)絡(luò)用戶身份信息的一系列數(shù)據(jù)，用來在網(wǎng)絡(luò)通訊中識別通訊各方的身份。數(shù)字證書是由權(quán)威公正的第三方機構(gòu)即CA中心簽發(fā)的。以數(shù)字證書為核心的加密技術(shù)可以對網(wǎng)絡(luò)上傳輸?shù)男畔⑦M行加密和解密、數(shù)字簽名和簽名驗證，從而確保網(wǎng)上傳遞信息的機密性、完整性以及交易實體身份的真實性和簽名信息的不可否認性，保障網(wǎng)絡(luò)應(yīng)用的安全性。
數(shù)字證書采用公鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私有密鑰(私鑰)，通過它進行解密和簽名；同時擁有一把公共密鑰(公鑰)，并可以對外公開，用于加密和驗證簽名。當發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據(jù)加密，而接收方則使用自己的私鑰解密。這樣，信息就可以安全無誤地到達目的地了，即使被第三方截獲，但由于其沒有相應(yīng)的私鑰，也無法進行解密。通過數(shù)字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密釩密碼體制中。常用的一種是RSA體制。
從申請證書的過程可以看出。私有密鑰是在智能卡內(nèi)產(chǎn)生的，沒有離開智能卡，從而可以保證私有密鑰是安全的。使用智能卡存儲數(shù)字證書和私有密鑰．可以獲得以下優(yōu)勢：
(1)便于攜帶和移動應(yīng)用。智能卡的芯片鑲嵌在一張名片大小的塑料卡片上，便于攜帶，可以在辦公室、家庭或全球任何一臺計算機上使用。
(2)私有密鑰絕對安全。加密和解密運算在卡內(nèi)完成，私有密鑰不會被讀入計算機的內(nèi)存里。隱藏在計算機里的惡意程序可以竊取保存在硬盤上的私有密鑰，卻無法竊取存儲在智能卡中的私有密鑰。
(3)自動鎖定保護。訪問存儲在智能卡內(nèi)的證書和私有密鑰，需要用戶輸人正確的PIN(個人識別碼)。如果連續(xù)輸入錯誤的PIN(可設(shè)定，一般默認次數(shù)為3次)，智能卡將自動鎖定。這種保護機制有效防止了口令猜測攻擊。
(4)完全個人控制。智能卡很輕巧，可以裝入口袋隨身攜帶，使私有密鑰總是處于個人控制之下，從而更加安全。
1．3 電子錢包
電子錢包具有多種形式，但其基本上可分為兩類：一類是以智能卡作為電子錢包的電子現(xiàn)金支付系統(tǒng)。其可應(yīng)用于多種用途，具有信息存儲、電子錢包、安全密碼鎖等功能，安全可靠。并且可以在正確配置的POS系統(tǒng)上進行電子支付和消費。最典型的代表是Mondex卡；另一類是電子錢包軟件，它能夠存儲貨幣值和重要信息，可以把各種電子貨幣、電子金融卡上的信息和數(shù)據(jù)以及電子信用卡輸人到電子錢包內(nèi)，并隨時進行在線支付。但無論采取哪種形式，電子錢包往往都需要結(jié)合智能卡使用，電子錢包內(nèi)只能裝有電子貨幣，即智能卡、電子現(xiàn)金、電子零錢、電子信用卡和網(wǎng)絡(luò)貨幣等。
使用電子錢包的客戶在銀行里通常都是有賬戶的。在使用電子錢包前，客戶要向提供電子錢包的銀行申請注冊電子錢包，并利用電子錢包軟件把自己的各種電子貨幣或電子金融卡上的數(shù)據(jù)輸人進去，這樣客戶就可以用電子錢包進行支付了。
在電子錢包的購物過程中雖經(jīng)過信用卡公司和商業(yè)銀行等多次進行身份確認、銀行授權(quán)、各種財務(wù)數(shù)據(jù)交換和賬務(wù)往來等，但這些都是在極短的時間內(nèi)完成的。實際上，從顧客輸人訂貨單后開始，到拿到銷售商店出具的電子收據(jù)為止的全過程僅用5～20秒的時間。這種電子購物方式十分省事、省力、省時，而且對于顧客來說，整個購物過程自始自終都是十分安全可靠的。由于顧客的信用卡上的信息別人是看不見的，因此保密性很好，使用起來十分安全可靠。另外，由于有了電子商務(wù)服務(wù)器的安全保密措施，就足以保證顧客去購物的商店必定是合法，而不會是假冒的，從而保證了顧客能安全可靠地購到貨物?？傊?，這種購物過程徹底改變了傳統(tǒng)的面對面交易和一手交錢一手交貨等購物方式，是一種很有效且非常安全可靠的電子購物過程，是一種與傳統(tǒng)購物方式根本不同的現(xiàn)代高新技術(shù)購物方式。
2 智能卡技術(shù)在電子商務(wù)應(yīng)用中存在的問題與對策
2．1 安全隱患
智能卡技術(shù)在電子商務(wù)應(yīng)用中存在的安全問題主要有：①智能卡和接口設(shè)備之間的信息容易被盜??；②智能卡和接口設(shè)備之間流通的信息可以被截取分析，從而可被復(fù)制或插入假信號；③模擬智能卡(或偽造智能卡)；④模擬智能卡與接口設(shè)備之間的情息，使接口設(shè)備無法判斷出是合法的還是模擬的智能卡；⑤在交易中更換智能卡；⑥在授權(quán)過程中使用的是合法的智能卡，而在交易數(shù)據(jù)寫入之前更換成另一張卡。因此存在將交易數(shù)據(jù)寫人替代卡中的問題；⑦修改信用卡中控制余額更新的日期；⑧ 信用卡使用時需要輸入當天日期，以供卡判斷是否是當天第一次使用，即是否應(yīng)將有效余額項更新為最高授權(quán)余額，如果修改控制余額更新的日期(上次使用的日期)，并將它提前，則輸人當天日期后，接口設(shè)備會誤認為是當天第一次取款，于是將有效余額更新為最高授權(quán)余額，因此利用竊來的卡可取定最高授權(quán)的金額，其危害性還在于(在銀行提出新的黑名單之前)可重復(fù)多次作弊；⑨商店雇員的作弊行為；①接口設(shè)備寫入卡中的數(shù)據(jù)不正確，或雇員私下將一筆交易寫成兩筆交易。
2．2 應(yīng)對措施
為了進行安全防護，一般可采取以下措施：①對持卡人、卡和接VI設(shè)備的合法性進行相互檢驗；②重要數(shù)據(jù)加密后傳送；③ 在卡和接口設(shè)備中設(shè)置安全區(qū)，在安全區(qū)中包含有邏輯電路或外部不可讀的存儲區(qū)，對于任何有害的不合規(guī)范的操作。將自動禁止卡的進一步操作；④要求有關(guān)人員明確各自的責任，并嚴格遵守；⑤設(shè)置支付名單(黑名單)。
3 智能卡技術(shù)的發(fā)展前景
智能卡技術(shù)作為現(xiàn)代社會個人化的信息技術(shù)，除了使用傳統(tǒng)的加密算法及各種安全措施以確?？ㄆ陌踩灾狻Ｔ絹碓蕉嗟纳镒R別技術(shù)也將逐漸得到采納，尤其在那些對于數(shù)據(jù)敏感的領(lǐng)域，如金融，軍事、社會保險、公安等部門。簡捷、安全、高效將成為未來信息安全認證的發(fā)展趨勢。
(文/武漢職業(yè)技術(shù)學(xué)院商學(xué)院，張懋華)
