智能卡技術在電子商務中的應用

    1 電子商務中智能卡技術的典型應用

    1．1 客戶端身份認證

    網絡使人們可以很容易地突破地域、種族等各種限制而進行相互交流。人們可以在網上從事和參與各項活動，包括電子商務等。但同時在網上從事商務等活動也存在著許多問題，如“信任危機”。因此，如何在電子商務交易中確認參與者的身份，就成為首先需要解決的問題。

    口令認證是目前對客戶端進行身份認證所采取的*常用方式。如客戶管理系統(tǒng)、會員制服務系統(tǒng)等。其一般做法是：首先在服務器端為請求認證者建立與用戶ID和口令相對應的數(shù)據(jù)庫，其中用戶ID在數(shù)據(jù)庫中是唯一的；然后當用戶在客戶端發(fā)起認證請求時，要同時提交ID和口令；服務器端通過查詢數(shù)據(jù)庫并與接收到的口令比較，可以對客戶端進行身份認證。這種方式實現(xiàn)起來非常簡單，但只能應用于安全性要求很低的場合，因為它的缺點也比較明顯，主要表現(xiàn)在：

    (1)不負責傳輸?shù)陌踩裕诹钭植捎妹鞔a傳輸，容易被截獲。

    (2)對用戶提出了較高的要求，如要求口令具備一定的長度、沒有規(guī)律可循、容易記憶等，盡管這些要求有些是自相矛盾的。

    (3)不能**防止基于字典的窮舉攻擊或者通過分析用戶背景進行口令猜測。

    然而。使用智能卡就可以對這種方式進行改進，從而在保留實用性的基礎上增加一定的安全性。通過USB接口的智能卡進行身份認證，即可提高系統(tǒng)使用的安全性和可移動性。

    USB接口的智能卡亦被稱為電子鑰匙(Key)，其體積小巧，形狀類似U盤，便于使用者隨身攜帶，并為重要信息的存放提供了功能豐富的應用軟件支持。因此，將密碼、信用卡號或其它安全認證信息存放于USB接口的智能卡中。其方便和安全性都將得到很大提高。同時，USB接口的智能卡還可進行電子郵件加密、數(shù)字簽名、安全證書應用、安全網絡登錄和訪問SsL安全網絡等操作，為使用者提供身份認證和信息加密服務。

    1．2 數(shù)字證書

    數(shù)字證書就是標志網絡用戶身份信息的一系列數(shù)據(jù)，用來在網絡通訊中識別通訊各方的身份。數(shù)字證書是由權威公正的第三方機構即CA中心簽發(fā)的。以數(shù)字證書為核心的加密技術可以對網絡上傳輸?shù)男畔⑦M行加密和解密、數(shù)字簽名和簽名驗證，從而確保網上傳遞信息的機密性、完整性以及交易實體身份的真實性和簽名信息的不可否認性，保障網絡應用的安全性。

    數(shù)字證書采用公鑰密碼體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶擁有一把僅為本人所掌握的私有密鑰(私鑰)，通過它進行解密和簽名；同時擁有一把公共密鑰(公鑰)，并可以對外公開，用于加密和驗證簽名。當發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據(jù)加密，而接收方則使用自己的私鑰解密。這樣，信息就可以安全無誤地到達目的地了，即使被第三方截獲，但由于其沒有相應的私鑰，也無法進行解密。通過數(shù)字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密釩密碼體制中。常用的一種是RSA體制。

    從申請證書的過程可以看出。私有密鑰是在智能卡內產生的，沒有離開智能卡，從而可以保證私有密鑰是安全的。使用智能卡存儲數(shù)字證書和私有密鑰．可以獲得以下優(yōu)勢：

    (1)便于攜帶和移動應用。智能卡的芯片鑲嵌在一張名片大小的塑料卡片上，便于攜帶，可以在辦公室、家庭或全球任何一臺計算機上使用。

    (2)私有密鑰絕對安全。加密和解密運算在卡內完成，私有密鑰不會被讀入計算機的內存里。隱藏在計算機里的惡意程序可以竊取保存在硬盤上的私有密鑰，卻無法竊取存儲在智能卡中的私有密鑰。

    (3)自動鎖定保護。訪問存儲在智能卡內的證書和私有密鑰，需要用戶輸人**的PIN(個人識別碼)。如果連續(xù)輸入錯誤的PIN(可設定，一般默認次數(shù)為3次)，智能卡將自動鎖定。這種保護機制**防止了口令猜測攻擊。

    (4)**個人控制。智能卡很輕巧，可以裝入口袋隨身攜帶，使私有密鑰總是處于個人控制之下，從而更加安全。

    1．3 電子錢包

    電子錢包具有多種形式，但其基本上可分為兩類：一類是以智能卡作為電子錢包的電子現(xiàn)金支付系統(tǒng)。其可應用于多種用途，具有信息存儲、電子錢包、安全密碼鎖等功能，安全可靠。并且可以在**配置的POS系統(tǒng)上進行電子支付和消費。*典型的代表是Mondex卡；另一類是電子錢包軟件，它能夠存儲貨幣值和重要信息，可以把各種電子貨幣、電子金融卡上的信息和數(shù)據(jù)以及電子信用卡輸人到電子錢包內，并隨時進行在線支付。但無論采取哪種形式，電子錢包往往都需要結合智能卡使用，電子錢包內只能裝有電子貨幣，即智能卡、電子現(xiàn)金、電子零錢、電子信用卡和網絡貨幣等。

   使用電子錢包的客戶在銀行里通常都是有賬戶的。在使用電子錢包前，客戶要向提供電子錢包的銀行申請注冊電子錢包，并利用電子錢包軟件把自己的各種電子貨幣或電子金融卡上的數(shù)據(jù)輸人進去，這樣客戶就可以用電子錢包進行支付了。

    在電子錢包的購物過程中雖經過信用卡公司和商業(yè)銀行等多次進行身份確認、銀行授權、各種財務數(shù)據(jù)交換和賬務往來等，但這些都是在極短的時間內完成的。實際上，從顧客輸人訂貨單后開始，到拿到銷售商店出具的電子收據(jù)為止的全過程僅用5～20秒的時間。這種電子購物方式十分省事、省力、省時，而且對于顧客來說，整個購物過程自始自終都是十分安全可靠的。由于顧客的信用卡上的信息別人是看不見的，因此保密性很好，使用起來十分安全可靠。另外，由于有了電子商務服務器的安全保密措施，就足以保證顧客去購物的商店必定是合法，而不會是假冒的，從而保證了顧客能安全可靠地購到貨物?？傊?，這種購物過程**改變了傳統(tǒng)的面對面交易和一手交錢一手交貨等購物方式，是一種很**且非常安全可靠的電子購物過程，是一種與傳統(tǒng)購物方式根本不同的現(xiàn)代**技術購物方式。

    2 智能卡技術在電子商務應用中存在的問題與對策

    2．1 安全隱患

    智能卡技術在電子商務應用中存在的安全問題主要有：①智能卡和接口設備之間的信息容易被盜?。虎谥悄芸ê徒涌谠O備之間流通的信息可以被截取分析，從而可被復制或插入假信號；③模擬智能卡(或偽造智能卡)；④模擬智能卡與接口設備之間的情息，使接口設備無法判斷出是合法的還是模擬的智能卡；⑤在交易中更換智能卡；⑥在授權過程中使用的是合法的智能卡，而在交易數(shù)據(jù)寫入之前更換成另一張卡。因此存在將交易數(shù)據(jù)寫人替代卡中的問題；⑦修改信用卡中控制余額更新的日期；⑧ 信用卡使用時需要輸入當天日期，以供卡判斷是否是當天第一次使用，即是否應將**余額項更新為*高授權余額，如果修改控制余額更新的日期(上次使用的日期)，并將它提前，則輸人當天日期后，接口設備會誤認為是當天第一次取款，于是將**余額更新為*高授權余額，因此利用竊來的卡可取定*高授權的金額，其危害性還在于(在銀行提出新的黑名單之前)可重復多次作弊；⑨商店雇員的作弊行為；①接口設備寫入卡中的數(shù)據(jù)不**，或雇員私下將一筆交易寫成兩筆交易。

    2．2 應對措施

    為了進行安全防護，一般可采取以下措施：①對持卡人、卡和接VI設備的合法性進行相互檢驗；②重要數(shù)據(jù)加密后傳送；③ 在卡和接口設備中設置安全區(qū)，在安全區(qū)中包含有邏輯電路或外部不可讀的存儲區(qū)，對于任何有害的不合規(guī)范的操作。將自動禁止卡的進一步操作；④要求有關人員明確各自的責任，并嚴格遵守；⑤設置支付名單(黑名單)。

    3 智能卡技術的發(fā)展前景

    智能卡技術作為現(xiàn)代社會個人化的信息技術，除了使用傳統(tǒng)的加密算法及各種安全措施以確?？ㄆ陌踩灾狻Ｔ絹碓蕉嗟纳镒R別技術也將逐漸得到采納，尤其在那些對于數(shù)據(jù)敏感的領域，如金融，軍事、社會保險、公安等部門。簡捷、安全、高效將成為未來信息安全認證的發(fā)展趨勢。