智能卡技術在電子商務中的應用

文章出處：http://www.nyfzw.net 作者：張懋華   人氣： 發表時間：2011年10月07日

    1 電子商務中智能卡技術的典型應用

    1．1 客戶端身份認證

    網絡使人們可以很容易地突破地域、種族等各種限制而進行相互交流。人們可以在網上從事和參與各項活動，包括電子商務等。但同時在網上從事商務等活動也存在著許多問題，如“信任危機”。因此，如何在電子商務交易中確認參與者的身份，就成為首先需要解決的問題。

    口令認證是目前對客戶端進行身份認證所采取的最常用方式。如客戶管理系統、會員制服務系統等。其一般做法是：首先在服務器端為請求認證者建立與用戶ID和口令相對應的數據庫，其中用戶ID在數據庫中是唯一的；然后當用戶在客戶端發起認證請求時，要同時提交ID和口令；服務器端通過查詢數據庫并與接收到的口令比較，可以對客戶端進行身份認證。這種方式實現起來非常簡單，但只能應用于安全性要求很低的場合，因為它的缺點也比較明顯，主要表現在：

    (1)不負責傳輸的安全性，口令字采用明碼傳輸，容易被截獲。 

    (2)對用戶提出了較高的要求，如要求口令具備一定的長度、沒有規律可循、容易記憶等，盡管這些要求有些是自相矛盾的。 

    (3)不能有效防止基于字典的窮舉攻擊或者通過分析用戶背景進行口令猜測。

    然而。使用智能卡就可以對這種方式進行改進，從而在保留實用性的基礎上增加一定的安全性。通過USB接口的智能卡進行身份認證，即可提高系統使用的安全性和可移動性。

    USB接口的智能卡亦被稱為電子鑰匙(Key)，其體積小巧，形狀類似U盤，便于使用者隨身攜帶，并為重要信息的存放提供了功能豐富的應用軟件支持。因此，將密碼、信用卡號或其它安全認證信息存放于USB接口的智能卡中。其方便和安全性都將得到很大提高。同時，USB接口的智能卡還可進行電子郵件加密、數字簽名、安全證書應用、安全網絡登錄和訪問SsL安全網絡等操作，為使用者提供身份認證和信息加密服務。

    1．2 數字證書

    數字證書就是標志網絡用戶身份信息的一系列數據，用來在網絡通訊中識別通訊各方的身份。數字證書是由權威公正的第三方機構即CA中心簽發的。以數字證書為核心的加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證，從而確保網上傳遞信息的機密性、完整性以及交易實體身份的真實性和簽名信息的不可否認性，保障網絡應用的安全性。

    數字證書采用公鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私有密鑰(私鑰)，通過它進行解密和簽名；同時擁有一把公共密鑰(公鑰)，并可以對外公開，用于加密和驗證簽名。當發送一份保密文件時，發送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密。這樣，信息就可以安全無誤地到達目的地了，即使被第三方截獲，但由于其沒有相應的私鑰，也無法進行解密。通過數字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密釩密碼體制中。常用的一種是RSA體制。

    從申請證書的過程可以看出。私有密鑰是在智能卡內產生的，沒有離開智能卡，從而可以保證私有密鑰是安全的。使用智能卡存儲數字證書和私有密鑰．可以獲得以下優勢：

    (1)便于攜帶和移動應用。智能卡的芯片鑲嵌在一張名片大小的塑料卡片上，便于攜帶，可以在辦公室、家庭或全球任何一臺計算機上使用。

    (2)私有密鑰絕對安全。加密和解密運算在卡內完成，私有密鑰不會被讀入計算機的內存里。隱藏在計算機里的惡意程序可以竊取保存在硬盤上的私有密鑰，卻無法竊取存儲在智能卡中的私有密鑰。

    (3)自動鎖定保護。訪問存儲在智能卡內的證書和私有密鑰，需要用戶輸人正確的PIN(個人識別碼)。如果連續輸入錯誤的PIN(可設定，一般默認次數為3次)，智能卡將自動鎖定。這種保護機制有效防止了口令猜測攻擊。

    (4)完全個人控制。智能卡很輕巧，可以裝入口袋隨身攜帶，使私有密鑰總是處于個人控制之下，從而更加安全。

    1．3 電子錢包

    電子錢包具有多種形式，但其基本上可分為兩類：一類是以智能卡作為電子錢包的電子現金支付系統。其可應用于多種用途，具有信息存儲、電子錢包、安全密碼鎖等功能，安全可靠。并且可以在正確配置的POS系統上進行電子支付和消費。最典型的代表是Mondex卡；另一類是電子錢包軟件，它能夠存儲貨幣值和重要信息，可以把各種電子貨幣、電子金融卡上的信息和數據以及電子信用卡輸人到電子錢包內，并隨時進行在線支付。但無論采取哪種形式，電子錢包往往都需要結合智能卡使用，電子錢包內只能裝有電子貨幣，即智能卡、電子現金、電子零錢、電子信用卡和網絡貨幣等。

   使用電子錢包的客戶在銀行里通常都是有賬戶的。在使用電子錢包前，客戶要向提供電子錢包的銀行申請注冊電子錢包，并利用電子錢包軟件把自己的各種電子貨幣或電子金融卡上的數據輸人進去，這樣客戶就可以用電子錢包進行支付了。

    在電子錢包的購物過程中雖經過信用卡公司和商業銀行等多次進行身份確認、銀行授權、各種財務數據交換和賬務往來等，但這些都是在極短的時間內完成的。實際上，從顧客輸人訂貨單后開始，到拿到銷售商店出具的電子收據為止的全過程僅用5～20秒的時間。這種電子購物方式十分省事、省力、省時，而且對于顧客來說，整個購物過程自始自終都是十分安全可靠的。由于顧客的信用卡上的信息別人是看不見的，因此保密性很好，使用起來十分安全可靠。另外，由于有了電子商務服務器的安全保密措施，就足以保證顧客去購物的商店必定是合法，而不會是假冒的，從而保證了顧客能安全可靠地購到貨物。總之，這種購物過程徹底改變了傳統的面對面交易和一手交錢一手交貨等購物方式，是一種很有效且非常安全可靠的電子購物過程，是一種與傳統購物方式根本不同的現代高新技術購物方式。

    2 智能卡技術在電子商務應用中存在的問題與對策

    2．1 安全隱患

    智能卡技術在電子商務應用中存在的安全問題主要有：①智能卡和接口設備之間的信息容易被盜取；②智能卡和接口設備之間流通的信息可以被截取分析，從而可被復制或插入假信號；③模擬智能卡(或偽造智能卡)；④模擬智能卡與接口設備之間的情息，使接口設備無法判斷出是合法的還是模擬的智能卡；⑤在交易中更換智能卡；⑥在授權過程中使用的是合法的智能卡，而在交易數據寫入之前更換成另一張卡。因此存在將交易數據寫人替代卡中的問題；⑦修改信用卡中控制余額更新的日期；⑧ 信用卡使用時需要輸入當天日期，以供卡判斷是否是當天第一次使用，即是否應將有效余額項更新為最高授權余額，如果修改控制余額更新的日期(上次使用的日期)，并將它提前，則輸人當天日期后，接口設備會誤認為是當天第一次取款，于是將有效余額更新為最高授權余額，因此利用竊來的卡可取定最高授權的金額，其危害性還在于(在銀行提出新的黑名單之前)可重復多次作弊；⑨商店雇員的作弊行為；①接口設備寫入卡中的數據不正確，或雇員私下將一筆交易寫成兩筆交易。

   2．2 應對措施

   為了進行安全防護，一般可采取以下措施：①對持卡人、卡和接VI設備的合法性進行相互檢驗；②重要數據加密后傳送；③ 在卡和接口設備中設置安全區，在安全區中包含有邏輯電路或外部不可讀的存儲區，對于任何有害的不合規范的操作。將自動禁止卡的進一步操作；④要求有關人員明確各自的責任，并嚴格遵守；⑤設置支付名單(黑名單)。

   3 智能卡技術的發展前景

    智能卡技術作為現代社會個人化的信息技術，除了使用傳統的加密算法及各種安全措施以確保卡片的安全性之外。越來越多的生物識別技術也將逐漸得到采納，尤其在那些對于數據敏感的領域，如金融，軍事、社會保險、公安等部門。簡捷、安全、高效將成為未來信息安全認證的發展趨勢。

    (文/武漢職業技術學院商學院，張懋華)