14电子商务安全-PPT课件.pptx

付款方式来划分电子商务付款方式来划分电子商务（1）电子数据交换；（2）信用卡；（3）电子支票；（4）电子现金；（5）记帐卡；（6）物物交换。电子商务系统的支持环境电子商务系统的支持环境 1 网络环境网络环境 网络环境是开展电子商务的基础。信息的传递、网上资金帐户的认证、资金的划转等，都需要数据交换的网络环境。现在的电子商务发展都是以因特网技术为基础的，这样可以节约很多成本。所以企业所在地区因特网的发展情况会直接影响企业开展电子商务的业务。利用因特网开展电子商务，对网络的要求很高，不止是因特网环境存在就可以，其稳定性、带宽以及接入费用都对电子商务的开展有举足轻重的作用。2 支付系统支付系统 如果说，利用现在的网络获取商务信息，在进行商品交易时还不得不借助于传统的银行业务系统，即支付手段不能在网上进行时，无疑会使交易的支付成为电子商务进一步发展的瓶颈。网上银行以及网上支付系统的建立与完善也是电子商务发展的重营条件之一。虽然网上银行与支付系统的发展不是目前各个商业企业所能决定的事情，但随着电子商务的进一步发展和金融环境的逐渐优化与完善，企业在时机成熟时，和网上银行建立合作关系可以解决商务中的资金流问题。3 安全认证系统安全认证系统 传统的商务活动是以现有的信用体系为依托，比如票据、现金、对方企业的实力以及担保等等。但是，电子商务的主要形式之一就是网上交易，包括合同的处理以及资金的划转等，所以在网上怎么确定信用、如何保护商业秘密、如何保证网上帐户和数据传送的安全，对发展电子商务是一个很严重的问题。4 配送系统配送系统 在传统的商务中，货物的配送系统已发展得相当完善，每天全球庞大的贸易都是以货物运输系统为基础的。企业到企业的货物运输由企业或专业的运输公司来完成；零售主要是顾客自己携带，大件商品由零售企业送货上门。但在电子商务情况下怎样解决物流问题呢？在零售中产生的交易可能交易量很小，而顾客在任意地方都可以在网上购买，如果零售企业单独送货，成本会很高，怎么解决呢？这时，就会感觉到传统的配送系统的缺憾。如何解决电子商务情况下的配送也是发展电子商务所必须解决的问题。电子商务的安全技术要求电子商务的安全技术要求 电子商务与传统商务的比较电子商务与传统商务的比较 传统商务与电子商务在形式上极其相似。以购物为例，现实生活中使用信用卡购物的流程与在网上信用卡购物的流程就非常相似。1.实际使用信用卡购物过程实际使用信用卡购物过程 （1）持卡人在商场浏览并选择商品；（2）持卡人将欲购货物放入购物小推车或货筐中；（3）持卡人在商场的POS机前，由POS机逐一确认所购物品，并自动打印所购商品、单价、总价和有关折扣、税款等信息，交给持卡人签名用来付款的信用卡；（4）持卡人选择付款方式，即指定要用来付款的信用卡；（5）持卡人将信用卡交给POS机刷卡；（6）商家的POS机将持卡人的帐号信息送到银行验证；（7）商家接收POS机所打印的清单确认；（8）商家按清单将货发给持卡人（可以当时提货或由配运公司送货）；（9）商家要求持卡人的开户行将货款通过银行结（清）算网络付给他。2.网上购物过程网上购物过程 （1）持卡人使用浏览器在因特网上查看商家建立的购物中心主页上发布的商品；（2）持卡人决定购买一些商品；（3）持卡人从该商家站点上得到一个订货单，其中包括商品名称、单价、总额、税款、邮购地址等;（4）持卡人选择付款方式，即指定要用来付款的信用卡；（5）持卡人将订货单和付款指令发给商家；（6）商家将持卡人的帐号信息送到商家开户银行印章；（7）商家接收订货合同；（8）商家按订单将货发给持卡人。3.二者的差异二者的差异 从安全和信任关系来看，二者有着极大的差异。在传统交易过程中，买卖双方是面对面的，因此很容易保证交易过程的安全性和建立起信任关系。在电子商务过程中，买卖双方是通过网络来联系，由于网络既不是安全的，也不是可信的，因而给交易双方进行交易的安全和建立信任关系带来困难。电子商务面临的威胁和安全技术要求电子商务面临的威胁和安全技术要求 由于因特网的开放性和不安全性，在电子商务系统中无论是商品的销售者还是消费者都面临着许多安全威胁。1 对销售者的威胁对销售者的威胁 (1)中央系统安全性被破坏 入侵者假冒合法用户来改变用户数据（如商品送达地址）、解除用户订单或生成虚假订单；(2)竞争者检索商品递送状况 不诚实的竞争者以他人的名义来订购商品，从而了解有关商品的递送状况和货物的库存情况；(3)客户资料被竞争者获悉；(4)被他人假冒而损害公司的信誉 不诚实的人建立与销售者服务器名字相同的另一WWW服务器来假冒销售者；(5)消费者提交订单后不付款；(6)虚假订单；(7)获取他人的机密数据 当某人想要了解另一人在销售商处的信誉时，他以这个人的名字向销售商订购昂贵的商品，然后观察销售的行动。假如销售商认可该订单，则说明被观察者的信誉高，否则，说明被观察者的信誉不高。2 对消费者的威胁对消费者的威胁 (1)虚假订单 一个假冒者可能会以客户的名字来订购商品，而且有可能收到商品，而此时客户却被要求付款或返还商品；(2)付款后不能收到商品 在要求客户付款后，销售商中的内部人员不将订单和货款转发给执行部门，因而使客户不能收到商品；(3)机密性丧失 客户有可能将秘密的个人数据或自己的身份数据（如PIN、口令等）发送给冒充销售商的机构，这些信息也可能会在传递过程中被窃听；(4)拒绝服务 攻击者可能向销售商的服务器发送大量的虚假订单来穷竭它的资源，从而使合法用户不能得到正常的服务。1)销售者对电子商务的要求 (1)能鉴别消费者身份的真实性，能确信消费者对商品或服务的支付能力；(2)知识产权保护“数据商品”易于拷贝和分配，使商品开发者的知识产权受到侵害，因此电子商务系统应提供可靠的机制来保护知识产权；(3)有效的争议解决机制 当消费者收到商品或得到服务却说没有收到商品和服务时，销售者能出示有效证据，使用有效的解决机制来解决争议，防止销售者提供的服务被破坏。2)消费者对电子商务系统的要求 (1)能对销售者的身份进行鉴别，以保证消费者能确认他要进行交易的对方是他所希望的银行、销售商或政府部门，而不是一个欺骗者；(2)能保证消费者的机密信息和个人隐私不被泄露给非授权的人；(3)有效的争议解决机制。当消费者为商品付款后未收到商品，或收到错误的商品或收到不能保证的商品时，消费者能出示有效的证据，利用争议解决机制来解决争议。3.电子商务安全技术要求电子商务安全技术要求 （1）真实性要求 能对信息、实体的真实性进行鉴别；（2）机密性要求 保证信息不被泄露给非授权的人或实体；（3）完整性要求 保证数据的一致性，防止数据被非授权建立、修改和破坏；（4）可用性要求 保证合法用户对信息和资源的使用不会被不正当地拒绝；（5）不可否认要求 建立有效的责任机制，防止实体否认其行为；（6）可控性 能控制使用资源的人或实体的使用方式。电子商务系统所需的安全服务电子商务系统所需的安全服务 为了满足电子商务的安全要求，电子商务系统必须利用安全技术为电子商务活动的参与者提供可靠的安全服务，主要的安全服务包括：(1)鉴别服务 对人或实体的身份进行鉴别，为身份的真实性提供保证。这意味着当某人或实体声称是具有某个特定的身份时，鉴别服务将提供一种方法来验证其声明的正确性；(2)访问控制服务 访问控制服务通过授权来对使用资源的方式进行控制，防止非授权使用或控制资源。它有助于达到机密性、完整性、可控性和建立责任机制；(3)机密性服务 机密性服务的目标是为电子商务参与者的信息在存储、处理传输过程中提供机密性保证,防止信息被泄露给非授权获得信息的人或实体;(4)不可否认服务 与其它服务不同,不可否认服务针对的是来自合法用户的威胁,而不是未知攻击者的威胁。否认是指电子商务活动者否认所进行的操作，如否认交易已发生，否认在交易过程中的行为或否认对某消息的接收和发送。不可否认服务就是为交易的双方提供不可否认的证据来为解决因否认而产生的争议提供支持。它实际上建立了交易双方的责任机制。电子商务的安全体系结构电子商务的安全体系结构 图 8.1 电子商务的安全体系结构 如图8.1所示，电子商务的安全体系包括以下三个层次：(1)基本加密算法，其中包括单钥密码体制和公钥密码体制、安全杂凑函数等算法。(2)以基本加密算法为基础的CA体系、数字签字等基本安全技术。(3)以基本加密算法、安全技术、CA体系为基础的各种安全应用协议，如X.509、安全电子交易(SET，Secure Electronic Transaction)、SSL、PGP、S/MIME等。以上各部分构成了电子商务的安全体系，在此安全体系之上可以建立电子商务的支付体系和各种业务应用系统。电子支付系统的安全技术电子支付系统的安全技术电子支付系统的安全要求电子支付系统的安全要求 利用电子商务进行商品交易，必然会牵涉到支付。随着因特网的日益普及，已开发出了很多网上支付系统。“网上支付”顾名思义是通过网络进行货币支付，其本质是试图在网上把现有的支付结构转化为电子形式。例如，国外的实物商品零售应用系统大都采用了支票处理方式，从而避免了大量的纸张处理。而信用卡行业已建立了一系列的设施，使得在大范围内实现信用卡联机服务。在电子现金方面，出现了许多新的现金形式，这些新的现金形式往往是为支持特定的购买者和销售商之间的关系而设计的。货币的不同形式导致了不同的支付方式。一个安全、有效地支付系统是实现电子商务的重要前提，它应有以下功能：（1）使用X.509和数字签名实现对各方的认证；（2）使用加密算法对业务进行加密；（3）使用消息摘要算法以保证业务的完整性；（4）在业务出现异议时，保证对业务的不可否认性；（5）处理多方贸易的多支付协议。1 认证认证 为了实现协议的安全性，必须对参与贸易的各方其身份的有效性进行认证。例如，客户必须向商家和银行证明自己的身份，商家必须向客户及银行证明自己的身份。图8.2表示网上支付系统的基本组成成分，其中商家的开户行表示商家在其中有帐号的某财政机构，称为接收行。支付网关是由接收行操作的用于处理商家支付信息的设备。证书发放机构CA的职能是向各方发放X.509证书。在某些接收行也可能有自己的注册机构，由注册机构向商家发放证书，商家可向客户出示这个证书以向客户说明自己是合法的。认证机构和注册机构的工作应是协调的。图 8.2 网上支付系统的基本组成成分 2 保密和数据的完整性保密和数据的完整性 为实现保密，系统应支持某些加密方案。在使用网浏览器和服务器的同时，系统可利用安全套接字层SSL和安全的超文本传输协议S-HTTP。根据需要，加密算法可使用单钥或公钥算法，通过利用加密和消息摘要算法，以获得数据的加密和数据的完整性。3 业务的不可否认性业务的不可否认性 业务的不可否认性是通过使用公钥体制和X.509证书体制来实现的。业务的一方发出他的X.509证书，接收方可从中获得发方的公钥。此外，每个消息可使用MD 5单向杂凑算法加以保护。发方可使用自己的秘密密钥加密消息的摘要，并把加密结果一同发送给收方。收方用发方的公钥证实发方的确已发出了一个特定的消息，然后发方可计算一新的秘密密钥用于下次加密消息摘要。4 多支付协议多支付协议 多支付协议应满足以下两个要求：(1)商家只能读取订单信息，如货物的类型和销售价。当接收行对支付认证，商家就不必读取客户信用卡的信息了；(2)接收行只需知道支付信息，无需知道客户所购何物。在客户购买大额物品（如汽车、房子等）时可能例外。这些要求可加强传统支付方案（如信用卡支付）的安全性。电子支付手段电子支付手段 典型的电子支付手段有：电子信用卡、电子支票、电子现金。1 电子信用卡电子信用卡 在早期的Web站点商务应用中，只是要求输入信用卡号码，然后把这个号码以明码方式通过因特网传送给清算系统，以获得确认。显然，这种方式的安全性是有问题的。其后，为了提高联机信用卡的安全性，采取了一系列的技术。图 8.3 电子信用卡系统示意图 首先，在Netscape和Microsoft的Web的设施中，都实现了安全套接字层SSL。SSL保证在浏览器与Web服务器间的通信信息不会被第三方获取。这样就有效地防止了通过监听网络来收集信用卡号码或修改有关交易报文的可能。图8.3是电子信用卡系统示意图，系统的参与者共有四方：（1）具有Web浏览器的客户；（2）处理信用卡业务并提供主页的商家服务器；（3）为商家处理信用卡业务的商家的开户行；（4）发卡机构。使用信用卡的业务过程分三个阶段(见图8.3)。第一阶段完成客户的购物。（1）客户访问商家的主页，得到商家货物明细单。（2）客户挑选所需的货物，并用信用卡向商家支付。（3）商家服务器访问其银行，以对客户的信用卡号码及所购货物的数量进行认证。银行完成认证后，通知商家购物过程是否向下继续进行。（4）商家通知客户业务是否已经完成。第二阶段从客户帐目向商家帐目转帐。（5）商家服务器访问商家的开户行，并向银行提供购物的收据。（6）商家银行访问发卡机构以取得商家售物所得到的现金。第三阶段通知客户应支付的款额，并为客户下帐。（7）发卡机构根据一段时间内（可能一个月）客户购物时应向各商家支付的款额，为客户下帐，并通知客户。2 电子支票电子支票 电子支票系统用于发出支付和处理支付的网上服务。付款人向收款人发出电子支票，收款人将其存入银行以取出现金。每宗业务都是在因特网上进行的。电子支票与通常支票工作方式大致相同，它具有一种类似的电子签名，常规的加密方式使得电子支票和通常的支票都适用于信用卡无法处理的小额支付。目前已开发的许多系统是为那些通过因特网出售信息或小型软件程序的公司而设计的。几乎所有的方案都依赖第三方或经纪人，他们证实客户拥有买货的款额；也可以证实在客户付款前，商家已交货。由于这个过程高度自动化，即使是交易额小到不足一美分，这种方式也很经济划算。图8.4是电子支票系统的描述。系统中主要的各方有：客户、商家、客户的开户行、商家的开户行，票据交易所可由一独立的机构或现有的一个银行系统承担，其功能是在不同的银行之间处理票据。图 8.4 电子支票系统的描述 客户使用一种访问因特网上不同Web服务器的浏览器，可浏览网上的商店或商城。该浏览器同时还可向用户显示电子支票的格式。一宗完整的电子支票业务由下面略述的若干步构成，这些步骤可分为三个不同阶段，如图8.4所示。第一阶段购买货物。（1）客户访问商家的服务器，商家的服务器向客户介绍其货物。（2）客户挑选货物并向商家发出电子支票。（3）商家通过其开户银行对支付进行认证，验证客户支票的有效性。（4）如果支票是有效的，商家则接收客户的这宗业务。第二阶段把支票存入商家的开户银行。（5）商家把支票电子化发送给它的开户行。商家可根据自己的需要，何时发送由其自行决定。第三阶段不同银行之间交换支票。（6）商家的开户行把电子支票发送给交易所以兑换现金。（7）交易所向客户的开户行兑换支票，并把现金发送给商家的开户银行。（8）客户的开户行为客户下帐。与传统的纸支票和其它形式的支付相比，电子支票有以下优点：(1)节省时间 电子支票的发行不需要填写、邮寄或发送，而且电子支票的处理也很省时。在用纸支票时，商家必须收集所有的支票并存入其开户行。用电子支票，商家可即时发送给银行，由银行为其入帐。所以，使用电子支票可节省从客户写支票到为商家入帐这一段时间。(2)减少了处理纸支票时的费用 使用电子支票可免除诸如每月第一天在银行的排长队，可免除新学期大学学生缴学费时的排长队。相应地，减少了银行职员在收支票、处理支票以及向客户邮寄注销了的支票时的工作。(3)减少了支票被退回情况的发生 电子支票的设计方式使得商家在接收前，先得到客户开户行的认证，类似于银行本票。(4)电子支票在用于支付时，不必担心丢失或被盗。如果被盗，接收者可要求支付者停止支付。(5)电子支票不需要安全的存储，只需对客户的秘密密钥进行安全存储。电子支票也有某些保密性方面的考虑。电子支票必须经手银行系统，银行系统对经手的每宗业务必须用文件证明其细目。同时必须为被支付者保密，不可泄露业务的细节。3 电子现金电子现金 电子现金又称为数字现金，是能被客户和商家接受的、通过因特网购买商品或服务时使用的一种交易媒介。系统中有一电子现金的发行银行，记为E-Mint，它根据客户所存款额向客户兑换等值的电子现金，所兑换的电子现金须经它数字签字。客户可用EMint发行的电子现金在网上购物。图8.5是系统中的各方及其关系的描述，其业务可分为独立的三个阶段。图图 8.5 电子现金系统电子现金系统 第一阶段获得电子现金（简称提款）。(1)客户为了获得电子现金，要求它的开户行把其存款转到E-Mint。(2)客户的开户行从客户的帐目向E-Mint转帐。(3)E-Mint给客户发送电子现金。客户将电子现金存入其计算机或Smart卡。第二阶段用电子现金购物（简称支付）。(4)客户挑选货物并且把电子现金发送给商家。(5)商家向客户提供货物。第三阶段商家兑换电子现金（简称存款）。(6)商家收到电子现金发送给E-Mint。或者，商家把电子现金发送给他的开户银行，由开户银行负责在E-Mint兑换。(7)E-Mint把款项划到商家的开户银行，商家的开户银行为商家入帐。以上过程是在客户和商家之间进行的。类似地可用于在两个客户或两个机构如银行、学校、企业之间进行。电子现金系统除以上模式外，还有另一种模式，该模式不是由EMint发行电子现金，而是用户拥有一个软件，由这个软件创建电子现金。每个电子现金有一个顺序号，在使用前必须传送到E-Mint，以获得授权。在提交给EMint前，用户的软件把顺序号隐藏起来，它把顺序号乘以一个随机数。因此E-Mint可以为电子现金进行授权，加上银行的数字签字，但却不知道提交钞票者是谁。在用户使用这个电子现金前，这个软件再删除用于隐藏顺序号的随机数。这样，商家及其银行可以看到原来的顺序号。当这样一个电子现金用于支付时，商家及其银行可以验证现金上的数字签字是否确实是由一家有权的E-Mint发出的。电子现金应用系统电子现金应用系统 电子现金应用系统的安全技术电子现金应用系统的安全技术 1.电子现金应用系统安全技术的要求电子现金应用系统安全技术的要求 （1）独立性 电子现金不依赖于所用的计算机系统。（2）不可重复使用 电子现金一次花完后，就不能用第二次。（3）匿名性 电子现金不能提供用于跟踪持有者的信息。（4）可传递性 电子现金可容易地从一个人传给另一人，并且不能提供跟踪这种传递的信息。（5）可分性 电子现金可用若干种货币单位，并且可像普通的现金一样，把大钱分为小钱。（6）安全存储 电子现金能够安全地存储在客户的计算机或Smart卡中，而且客户以这种方式存的钱可方便地在网上传递。2.电子现金的产生电子现金的产生 从控制的角度来看，要确保使用电子货币进行交易的安全性，E-Mint在它所发行的电子现金上需做一戳记。与钞票上的号码一样，电子现金在产生时，也应产生一个惟一的识别数。客户购买电子现金时，通过他的计算机产生一个或多个64比特（或更长）的随机二进制数。银行打开客户加密的信封，检查并记录这些数，并对这些数数字化签字后再发送给客户，经过签字的每个二进制数表示某一款额的电子现金。客户可用这一电子现金向任一商家购物。商家把电子现金发送给银行，银行核对其顺序号，如果顺序号正确，商家则得到款项。3.认证认证 电子现金是由E-Mint的秘密钥数字化签字的。接收者使用E-Mint的公钥来解密电子现金。通过这种方式，可向接收者保证电子现金是由秘密钥的拥有者、即经授权的E-Mint签署的。为了使接收者获得E-Mint的公钥，E-Mint的X.509证书应被附加在电子现金中，或者E-Mint的公钥应被公布以防任何形式的欺诈。4.电子现金的传送电子现金的传送 电子现金的传送必须是安全、可靠的。其安全性可通过加密来实现，其完整性可通过计算并嵌入一个加密的消息摘要来加以保护。通过这种方式能够保证电子现金在传送期间不被篡改。为了可靠地传送数据，端-端协议应允许对丢失的数据报进行恢复。例如，在因特网上由于结点的故障而丢失的电子现金的恢复。恢复以后，终端结点应该能够重新传送数据报，并且应该避免接收者收到两次。TCP/IP协议中有一些可靠性方面的考虑。5.电子现金的存储电子现金的存储 在电子支票系统如果电子支票丢失或被盗，用户可要求停止支付。但电子现金文件丢失或被盗，则意味着用户的钱确实丢了。所以用户和银行必须有一个安全的方法来存储电子现金。如果所有的业务都是在线进行的，则当被盗的现金在使用时，可进行跟踪并拒绝支付。解决这一问题的另一方法是用户所持有的存着电子现金的Smart卡。6.不可重复使用不可重复使用 电子现金要解决的另一问题是如何保证用户对一个电子现金只使用一次。不法分子可能会想方设法复制或多次使用同一个电子现金。用户的身份识别在交易时与银行授权同时在联机系统中出现，这样可以防范对电子现金的复制或非法多次使用。在联机的清算系统中，用于支付的电子现金会被马上传送到发行这个电子现金的E-Mint，然后对照记录在案的已使用过的电子现金，确定这些现金是否有效。但是，这样一个系统就等同于一个信用卡处理系统，从隐私权及用户的角度来看，这样的系统是不理想的。而且，从数据库技术的角度来看，存储使用过的电子现金的信息并迅速进行查阅验证，需要很高性能的联机验证处理能力。脱机实现方式中的密码技术脱机实现方式中的密码技术 1.身份信息的嵌入身份信息的嵌入 (1)分割选择技术 何谓分割选择技术？举一例子，比如在海关的入检口，工作人员可检查通过的每一个人，但他们可换用一种概率的方法，他们检查进来的人中的十分之一。长期的走私犯会在大多数时间里逃脱，但有10%的机会被抓住，而抓住一次所受到的处罚将远远超过其它九次所得到的，从而对走私犯起到强大的震慑作用。对于电子货币来说，用户可产生m个密封的货币，银行打开其中的m-1个并检查其有效性，若有效，银行则为另一个未打开的签字（即盲签字），用户可用这个签过字的货币去购物。(2)零知识证明 零知识证明是公钥密码体制中示证者用于证明知道某个事物或具有某种东西但却不出示这种东西（即验证者从示证者那里得不到任何有关证明的知识）的协议。在电子现金系统中，用户产生一个密钥对，使得密钥和他的身份信息相联系。在支付协议中用户将其公钥作为电子现金的一部分提交给商家，然后用零知识证明方法向商家证明他拥有与公钥相对应的密钥。如果用户对商家两次不同的询问应答两次，那么他的密钥将被泄露，商家将得到重复花费同一电子现金的用户的身份。2.认证和签字技术认证和签字技术 1）消息可恢复式数字签字 设m是待签的明文消息，SSK是使用私钥SK的签字函数，VPK是使用公钥PK的验证函数，使得(8-1)其中,VPK是容易实现的，任何人只要知道PK就可以签字加以验证。而对于SSK,若知道SK，则很容易实现，否则其实现是困难的。这一方案中，验证者得到的是对m的签字而不是m本身。通过式（8-1），一方面验证了签字者的身份，另一方面恢复了消息m。2)具有后缀的数字签字 签字者用其私钥对明文m签字后，将签字结果作为后缀加到明文消息m。验证者验证由消息、后缀及签字者的公钥构成的一个方程，如果方程满足，验证者则可确信签字者的确是用其私钥对m签字的。例例8.1 盲RSA签字算法 假定用户想让银行对明文消息m产生一个盲签字，用户产生一个随机数r，并将rem(mod n)发送给银行签字，银行的签字为 c=(rem)d (mod n)=rmd (mod n)用户对c除去r，得到m的签字，即(mod n)例例8.2 Schnorr协议 该协议是基于拥有一个密钥的零知识证明。设 p、q是两个大素数,其中q|p-1,Gq是Zp*的一个阶为q的子群，gGq是Gq的一个生成元。对 sGq,s是模指数运算是f:sgs (mod p)其逆称为离散对数运算。如果p、q选择恰当，则模指数运算是一单向函数，即求离散对数在计算上是不可行的。假定在Gq上有一条直线 y=kx+b （8-2）该直线可由k,b惟一确定。为了隐藏该直线，设c=gb (mod p）,n=gk (mod p)c,n给出该直线在f下的影子，知道c,n得不出这一直线，但却能判断一个点（x,y）是否在这一直线上。如果（x,y）满足式（8-2）,也一定满足 gy=nxc (mod p)(8-3)反之，若(x,y)满足式（8-3），也一定在直线式（8-2）上。因为式（8-3）仅涉及一些公开的量，所以能被任何人验证，因此任何人能验证一个点是否在一给定的直线上，但位于给定直线上的点仅能由知道秘密信息的人产生。假定示证者（Alice）想让验证者（Bob）确信他知道k，但又不出示k，Alice可构造一直线式（8-2），其中直线的截距b是随机选取的，而且在每次执行该协议时取不同的值。协议执行步骤如下：(1)Alice向Bob发送c；(2)Bob向Alice发送一询问x；(3)Alice向Bob发送对询问的应答y，其中(x,y)在Alice构造的直线上；(4)Bob通过式（8-3）验证（x,y）是在Alice构造的直线上,这样Bob就可知道Alice的确知道直线的斜率k；该协议有一重要特性，即每一直线仅能使用一次,否则验证者将得到这一直线上的两个点（x0,y0）,(x1,y1)，从而可得到直线的斜率：(mod q)正因如此，上面才要求每次执行该协议时，b取不同的值。这一特性在电子现金协议中非常有用，可用于防止同一电子现金的重复花销。例例8.3 Schnorr签字在Schnorr协议中，示证者为签字者。在上面协议的第二步，验证者将询问取为消息和直线的影子链接后的一个杂凑值。这种签字可证明签字者的确知道他的密钥并且密钥是和验证者的消息相联系的。例例8.4 盲Schnorr签字 假定用户想为自己的电子现金获得Schnorr签字，用户可在Gq上随机选择一个秘密值b0,将银行的询问向上平移b0，这样用户将得到一新直线和新直线上的点，虽然他不知道新直线的斜率，但因他没有改变新、旧直线的斜率，所以银行的签字仍然有效。当商家在银行存款时，银行看到的是在新直线上实现的协议；因为只有用户自己知道新旧直线平移的长度，所以银行不能把商家的存款和用户的提款联系起来。8.4.3 电子钱包电子钱包 在联机的支付系统中，用于支付的电子现金会被马上与记录在案的已使用过的电子现金比较，以检查是否重复花费。但在脱机的支付系统中，重复花费的检查是在用户支付以后,商家在银行存款时进行的。这种事后检查在大部分情况下可阻止重复花费，但在某些情况下则无效，比如某人以假身份获得一帐号或者某人在重复花费某一大宗款项后藏匿起来。所以在脱机系统中仅依靠事后检查是不够的，还需要依靠物理上的安全设备。防窜扰的卡可通过去掉已花费的电子现金或通过使已花费过的电子现金变得无效来防止重复花费。然而，实际中并不存在真正的防窜扰的卡，这里所说的防窜扰卡是指其在物理构造上使得修改其内容是困难的，如Smart卡、PC卡或任何含有防窜扰计算机芯片的存储设备。所以，即使使用防窜扰的卡仍然有必要提供密码保护来防止电子现金的伪造以及检查和识别重复花费。因为敌手难于读取和修改存于防窜扰卡中的信息（如秘密钥、算法或记录），所以防窜扰卡也能为持卡者提供个人安全和保密。但是仅使用防窜扰卡来防止重复花费还有一个缺陷，即用户必须对其完全信任。因为用户自己没有控制进出卡的信息的能力，所以防窜扰卡可在用户不知道的情况下泄露用户的保密信息。电子钱包（见图8.6）是将防窜扰设备嵌入由用户控制的一个外部组件中，外部组件可以是手持计算机或PC机。不能被用户读取或修改的内部组件（即防窜扰设备）称为“观察者”，进出观察者的所有信息必须通过外部组件，并能被用户控制其进出，以防观察者将用户的保密信息泄露出去。而且外部组件的工作必须在结合观察者后才能进行，以防用户进行未经许可的活动，如重复花费等。图 8.6 电子线包的基本组成 电子现金协议技术电子现金协议技术 不可跟踪的电子现金协议技术不可跟踪的电子现金协议技术 该协议中，同一电子现金如果只被用户支付一次，则具有不可跟踪性。但同一电子现金被用户支付两次，用户的身份信息将被暴露。协议中电子现金的形式为 mod N 其中，x为一整数，f(x)为一单向函数，N是RSA模数，只有银行知道N的大素数分解。这种电子现金的不可伪造性是基于求模N的立方根是不可行的这一假定，即如果某人能够求模N的立方根，就可伪造这种电子现金。协议分为三步：提款协议、支付协议和存款协议。以下描述中，将协议中的三方(用户、银行、商家)分别记为U、B、M。1.提款协议技术（提款协议技术（UB）(1)U随机选取n个三元组（ai,bi,ci）,其中 i=1,2,3,n,n为安全参数。(2)U计算Bi=r3i f(xi,yi),(i=1,2,n)，其中，ri是作为盲因子的随机整数，xi=g(ai,ci),yi=g(ai(uv+i),di),g和f是两个无碰撞杂凑函数，为链接，u是U的帐号，v是帐目。(3)B在集合1,2,n中随机选取大小为n/2个元素的子集R=ij|j=1,n/2,BU：R (4)UB：ri,ai,ci,di|iR,B检查收到的四元组是否与Bi一致。若不一致，则终止协议。(5)，并在U的帐目中去掉相应的数目。（6）U计算 (mod N)。为简化记法，可进一步假定不在R中的i都在集合1,2,n/2中，所以 ，U以C作为自己在B所提取的款项。2.支付协议技术（支付协议技术（U M）(1)UM：C。(2)MU：e，其中e=(e1,，en/2)，eiR0,1(i=1,n/2)，e作为M对U的询问。(3)U对M的询问作为应答(4)M根据U的应答，对C加以验证。3.存款协议技术（存款协议技术（M B）(1)M将C，e以及U对e的应答存入B；(2)B验证M存入结果的正确性，并在M的帐目中上相应的数目。本协议中，不可跟踪性是与防重复支付联系在一起的，如果一个电子现金只被用户支付一次，则不会暴露出用户的身份信息。然而如果U两次支付同一电子现金，则至少有一个比特ei，M会以很高的概率（1-2-n）得到该比特对应的应答（ai，ci，yi）和（xi，ai(uv+i)，di）。M将以上应答存入银行后，银行可从ai和ai(uv+i)得到用户的帐号u，从而识别出重复支付者。还有一个问题是用户和商家的共谋问题，一种情况是商家在两次不同业务中使用同一访问串e，即商家企图两次存储同一电子现金。另一种情况是用户向两个不同的商家支付同一电子现金，两个商家都与用户共谋而同意用户这么做。解决这两种共谋问题的一种简单方法是将询问串e分为两部分：固定部分和随机部分，使得每一商家都有一固定部分（由银行指定）。可分的电子现金协议技术可分的电子现金协议技术 该协议中，银行有一组RSA方案集合，每一方案由三元组（ej,dj，Nj）(j=0,)决定，其中ej和dj分别是加密密钥和解密密钥，Nj是RSA模数。第一个方案（e0,d0,N0）用于为用户产生电子证书，其他方案则分别用于产生各种面值的电子现金，例如（e0，d1，N1）用于产生面值为100元的电子现金，（e2,d2,N2）用于产生面值为50元的电子现金等，银行将（ej,Nj）(j=0,1,)及每一RSA加密方案用于产生多大面值的电子现金公布出去。设用户U在该银行的帐号为uA,U的RSA加密方案为（eA,dA,NA）,其中（eA,NA）是公开参数。又设zZN是一任意整数，模数N=pq,p、q分别满足p3 mod 8,q7 mod 8,称满足以上条件的N为Williams整数。在集合z,-z,2z,-2z中，确定z1是一个平方剩余类（表示为z1=zQ）、z2是Jacobi符号为1 的非平方剩余类(记为z2=z+)、z3是Jacobi符号为-1的非平方剩余类（记为z3=z_）是容易的。协议中使用这样一棵二叉树：树的每一结点表示一定的金额，根结点0=ZQ代表电子现金的总额，它的两个孩子（左孩子为00=1/20Q,右孩子为01=001/2Q,各表示总金额的一半，其中0是由一杂凑函数f产生的一整数。孙子结点又表示总金额的四分之一，依次类推。注意，树中的结点都是平方剩余类。支付时需遵守以下两个规则：一是根路径规则：当一个结点被支付后，它的所有祖先和后继结点都不能再被支付。二是同一结点规则：同一结点不能被重复支付。违反上述任一规则都被视为重复支付，都容易被银行识别。1.注册协议技术（注册协议技术（U B)该协议用于用户U在银行B开一帐户，且B向U发放一证书L。（1）U随机选取(i,i)(i=1,2,n),其中n是安全参数，i是RSA模数（即i=piqi是Williams整数，pi3 mod 8,qi7 mod 8）。（2）UB:wi|i=1,n,其中wire0ig(ii)mod N0)，而ri是盲因子，为一整数，g是非碰撞的杂凑函数，ai的产生如下：U首先产生一个串si=uAaig(uAai)dA mod NA,然后将Si分为两部分Si=Si0Si1,求i0s2i0 mod i,i1s2i1 mod i,i=i0i1。(3)B在集合1，n中随机选取一个大小为n/2的子集R，BU:R。(4)对每一iR,U向B展示用于产生wi的所有参数，包括ai,pi,qi,g(uAai)dA,ri。(5)对每一iR,B检验wi是否正确，如果不正确，则终止协议。(6)(7)U在 中去掉盲因子可得B发放的证书：为简化记法，可进一步假定 2.提款协议技术（提款协议技术（U B）设U向B提取的款额为x元，B找出产生这个值的RSA方案，设为(ex,dx,Nx)。（1）U选取两个随机整数b和r，UB：Zrexg(Lb)mod Nx。(2)BU：Zdx mod Nx，B在U的帐目中去掉x元。(3)U得到的数字现金为Cr-1Zdxg(Lb)dx mod Nx。3.支付协议技术（支付协议技术（UM）支付协议中，U和商家M将使用三个公开的非碰撞杂凑函数f,f和f。(1)U计算根结点 mod i i=1,n/2 然后计算i,0的两个孩子结点，左孩子为 右孩子为 其中,i,0=f(C0i)+续这一处理过程，即求i,00的两个孩子i,000和i,001,求i,01的两个孩子i,010和i,011。为清楚起见，下面假定U提取的数字现金C表示100元，U希望支付给M元。U需在树中找出两个钱数之和为元的结点，设这两个结点是 ，表示的钱数分别为50元和38元。然后U计算这两个结点的Jacobi符号等于-1的平方根：(2)UM:(L,C,(ai,ni,Xi,00,Xi,010)|i,n/2)。(3)M验证L和C，进一步对每一i=1,n/2验证以下条件是否成立：Xi,00和Xi,010的Jacobi符号等于-1；如果以上三条有一条不成立，则终止协议。(4)MU:(Ei,00,Ei,010)|i=1,n/2,其中,对每一i,Ei,00,Ei,010R0,1。Modi 如果Ei,00=1 Modi 如果Ei,00=0 Modi 如果Ei,010=1 Modi 如果Ei,010=0 (5)U计算 其中,对s=00和s=010，i,s=f(CsiQ mod i。（6）M验证：Yi,00和Yi,010的Jacobi符号是否都等于-1；其中di1,2;其中di 1,2。如果以上验证都成立，M则接收U支付的88元。4.存款协议技术存款协议技术 M把在支付协议中得到的U发送的文本转发给银行B,B对收到的文本加以验证，如果验证通过，则在M的帐目中加上88元。可分的电子现金协议技术的最大缺点是效率太低。基于表示的电子现金协议技术基于表示的电子现金协议技术 协议中所有的运算都是在一个群Z*q上进行的，其中q是一个大素数。首先给出Z*q上元素表示的定义。定定义义 设Z*q的k个生成元构成的k元组（g1,g2,gk）满足gi1(i=1,k),且gigj(ij,i,j=1,k),对任意h Z*q,h关于（g1,g2,gk）的表示是k元组（a1,a2,ak）,满足 在离散对数问题的困难性假定之下，若已知Z*q的生成元组和元素h，求元素的表示是不可行的。1.系统设置系统设置 设置过程由银行完成。银行随