数字摘要、电子签名、数字时间戳、数字证书

（一）数字摘要

数字摘要又叫消息摘要，也是一种加密方法，该方法又称为散列编码（Hash 编码）。散列编码利用单向的散列函数将需要加密的明文“摘要”成一串固定长度（如 128 位）的散列值，称为数字摘要，又叫做数字指纹（Finger Print）。根据所用的散列函数，生成的散列值有固定的长度。一定信息的散列值具有惟一性，即不同的信息摘要生成的散列值，其结果一定是不同的，而同样的信息其散列值则一定是一样的。散列函数还是一种单向函数，即只能从原信息摘要成散列值，而无法从散列值还原成原信息。散列算法不需要密钥，其算法原理对发送方和接收方是公开的。

（二）数字签名

由于散列算法是公开的，所以电子商务交易中的采购订单很有可能会被不怀好意者中途拦截，在更改了订单内容后再重新生成数字摘要，然后将新生成的数字摘要与更改后的订单信息发送给接收方。为防止这种欺诈，就要对数字摘要进行加密。发送方用自己的私有密钥对数字摘要进行加密，就形成了数字签名。对于信息的安全来说，利用数字签名进行验证可以保证传输数据的完整性，实现信息在公开网络上的安全传输。

利用数字签名进行验证的过程如下：

（1）发送方对要传输的信息运用散列函数形成数字摘要；

（2）发送方用自己的私有密钥对数字摘要进行加密，得到数字签名；

（3）发送方将数字签名附加在原信息后通过网络传输给接收方；

（4）接收方用发送方的公开密钥对接收到的数字签名进行解密，得到信息的数字摘要；

（5）接收方用同样的散列函数对接收到的信息重新计算数字摘要；

（6）接收方将计算得到的数字摘要与解密得到的数字摘要进行比较，若两者相同，则说明信息的完整性未被破坏，即该文件不是伪造的。

数字签名可以用来防止电子信息因容易被修改而有人做假，或冒用别人名义发送信息，或发出（收到）信息后又加以否认等情况的发生。

（三）数字时间戳

在电子商务中，除了要考虑数据的保密性、完整性、不可否认性及不可伪造性，还需要对交易数据的日期和时间信息采取安全措施，而数字时间戳服务（Digital Time-stamp Service，DTS）就能提供电子信息在时间上的安全保护。数字时间戳服务是网上的安全服务项目，一般由大家均信任的第三方机构提供。数字时间戳其实是一个经加密后形成的凭证文档，包括三个部分：

（1）需要加时间戳的信息的摘要；

（2）数字时间戳服务机构收到该信息的日期和时间；

（3）数字时间戳服务机构的数字签名。

数字时间戳可以作为电子商务交易信息的时间认证，在一旦发生争议时作为时间凭证。

二、数字证书

由于在电子商务交易中，买卖双方在交易过程中是互不照面的，因此就需要有一种事物来表明自己的身份，以示自己是一个合法的用户或合法的商家。电子商务中的数字证书就是这样一种由权威机构发放的用来证明身份的事物。

在网上，双方要想谈一笔生意，任何一方都要鉴别对方是否是可信的，也就是要确定交易双方的身份。但是，如何才能保证所得到的公开密钥的正确性，即如何保证交易对方的真伪呢？为了解决这个问题，就引出了认证机制。认证机制包含两个部分，即数字证书（Digital Certificates）和认证中心（Certificate Authorities，简称 CA）。

（一）数字证书

数字证书是用电子手段来证实一个用户的身份和对网络资源的访问权限。证书就是一份文档，记录了用户的公开密钥和其他身份信息。数字证书是由 CA 认证中心颁发的、包含了公开密钥持有者信息以及公开密钥的文件，证书上还有 CA 认证中心的数字签名。就像驾驶执照能将照片、姓名、出生日期进行有公证效果的关联一样，一个用户的数字证书就是一个有公证效果的将公开密钥与所有者的身份信息相联系的“数字身份证”。在网上的电子交易中，如果双方出示了各自的数字证书并用它来进行交易操作，那么双方都可不必为对方的身份担心。数字证书可用于与电子商务相关的各个领域。

 1、数字证书的内容

数字证书中一般包含证书持有者的名称、公开密钥、认证中心的数字签名，此外还包括密钥的有效时间、认证中心的名称以及该证书的序列号等信息。交易伙伴可以利用数字证书来交换彼此的公开密钥。国际电信联盟（ITU）在其制订的 X.509 标准（信息技术——开放系统互联——目录：鉴别框架）中，对数字证书进行了详细的定义。

一个标准的 X.509 数字证书包含如下主要内容：

（1）证书的版本信息。

（2）证书的序列号。每个证书都有一个惟一的证书序列号。

（3）证书所使用的签名算法。

（4）证书的发行机构名称。命名规则一般采用 X.509 格式。

（5）证书的有效期。现在通用的证书一般采用 UTC 时间格式，其计时范围为 1950 年～2049 年。

（6）证书所有人的名称。命名规则一般采用 X.500 格式。

（7）证书所有人的公开密钥。

（8）证书发行者对证书的签名。