資訊與網路安全技術 第一章 安全性資訊系統簡介  上一頁      下一頁

 

1-5 電子化系統的安全性

內容:

  • 1-5-1 安全性網頁系統

  • 1-5-2 安全性電子郵件

  • 1-5-3 安全性電子交易

本章到目前為止,由基本的演算法(密鑰演算法、公鑰演算法、雜湊演算法)延伸出來了許多資訊安全技術。接下來,我們將介紹這些安全技術如何應用在實際環境裡。

1-5-1 安全性網頁系統

『網頁系統』(Web System是電子商務(或電子化公司、電子化政府)上最主要的應用系統之一,它的安全性決定電子商務的成功與否。另ㄧ方面,無論封閉系統或開放系統裡,利用數位憑證來確認身分是最可靠的途徑,但如何將它植入應用系統裡,『安全性網頁系統』(Secure Web即是最佳的範例。圖 1-10 即是將認證工具植入『瀏覽器』的運作程序,首先它利用數位憑證(X.509)確認雙方身份後(訊號 (1) (2)),再互相交換鑰匙材料(訊號 (3) (4))。雙方再利用所交換的材料來製作出一把會議鑰匙,協議會議鑰匙的方法大多採用 Diffie-Hellman 演算法,以後雙方便利用此鑰匙來通訊(訊號 (5))。

1-10 安全性網頁系統的運作程序

雙方建立會議鑰匙之後,這把鑰匙便是雙方共享的秘密鑰匙,所採用的加密方法也是秘密鑰匙演算法(如 DES)。目前網際網路上有 SSLSecure Socket Layer TLSTransport Layer Security兩個主要的通訊協定,本書在第十一章會有詳細的說明。

1-5-2 安全性電子郵件

無論網際網路上的『伊媚兒』或辦公室自動化的『公文交換』都是屬於電子郵件的範圍。電子郵件的安全性最能表現出資訊安全的特色,一般『安全性電子郵件』(Secure E-mail的考量主要有:隱密性、確認性、完整性與不可否認性,幾乎是整合資訊安全的所有需求。目前安全郵件系統大多採用 S/MIMESecure/Multipurpose Internet Mail Extension),它將安全性因素崁入信件之中。圖 1-11 為安全性郵件的運作程序,發信者將安全機制與數位簽章附加在信件之後傳送出去;接收者取出安全機制後,再依照安全機制的描述來拆解信件。當然這裡面的關鍵還是在於鑰匙的使用,無論信件的隱密性、確認性、以及不可否認性,都依照公開鑰匙演算法來製作加密、數位簽章等安全參數。

1-11 安全性電子郵件的運作程序

同樣的,我們必須將安全性郵件可能使用到的安全機制整合一個完整系統,目前網際網路上使用最普遍的是 PGPPretty Good Privacy。早期 PGP 有自己的數位憑證格式,但最近幾年來 X.509 v3 數位憑證漸成為公開的標準,因此,新版本的 PGP 系統已採用 X.509 v3 憑證。至於安全性郵件的相關技術,本書於第十二章內會有詳細的說明。

1-5-3 安全性電子交易

我們最終的目標還是希望在虛擬網路上建立安全的交易環境,並希望它的運作能比實際環境的交易更安全可靠。首先,我們以圖 1-12 作為範例來說明安全性電子交易的運作程序,如下:

  • 步驟 1客戶瀏覽網頁尋找所需的產品,並在網頁上訂購產品,其中會輸入相關資料、以及信用卡號碼。

  • 步驟 2客戶端電腦透過 Internet 連線將訂單傳送給 ISP 公司。

  • 步驟 3ISP 公司將訂單轉送給商家網站(Internet 連線)。

  • 步驟 4商家網站收到訂單之後,依照信用卡號碼,通知客戶銀行及商家銀行,並將客戶帳戶內某些金額轉帳到商家銀行;以上程序都正確的話,則進行下一步驟;否則回應給客戶表明訂購失敗。

  • 步驟 5商家網站將訂單轉送到出貨倉庫,並回應給客戶端訂購成功。

  • 步驟 6倉庫收到訂單之後,便將所訂購的貨品送到客戶的郵政地址所在地;客戶簽收後,整個交易過程便算成功。

1-12 電子交易的運作程序

在上述的交易過程之中,可以發現需要安全考量的地方,是當客戶輸入信用卡號碼時,絕對不允許他人窺視到信用卡號碼,因此必須要有特殊的安全機制來保護它才行。但無論如何,客戶還是在網頁上輸入信用卡號碼,亦即我們必須將安全機制嵌入網頁系統內。目前為了達到安全性的傳輸,大多採用 SHTTPSecure HyperText Transfer Protocol)協定,其中包含著 SSL v3TLS 安全協定;這方面的相關技術將在第十一章內詳細說明。

另外,對於商家、商家銀行、客戶銀行之間的信用卡付款機制,也必須有一個安全性的付款協定來製作。在這方面,銀行與發卡中心(如IBMVisaMasterCard)已共同發展出一個『安全性電子交易』(Secure Electronic Transaction, SET協定。SET 除了建構一個較完整的交易環境之外,欲期望達成陌生人之間交易之後,能不留下雙方任何痕跡,因而發展出『電子錢包』(Electronic Wallet。客戶向銀行購買電子錢包之後,便可直接在網路上購買任何物品,如同實際環境下,在菜市場購買東西一樣。

 

主講人:粘添壽博士

 

資訊與網路安全技術