00011.MD5加密算法

当前电子商务的安全规范包括加密算法、报文摘要算法、安全通信协议等方面的规范。   
       
    　1. 加密算法 基本加密算法有两种：对称密钥加密、非对称密钥加密，用于保证电子商务中数据的保密性、完整性、真实性和非抵赖服务。 
      
    　（1）对称密钥加密 对称密钥加密也叫秘密/专用密钥加密（Secret Key Encryption），即发送和接收数据的双方必须使用相同的/对称的密钥对明文进行加密和解密运算。最著名的对称密钥加密标准是数据加密标准（Data Encryption Standard，简称 DES）。DES是一种使用56个数据位的密钥来操作64位数据块的块加密算法，由IBM公司推出，可同时对大量数据进行快速加密。美国政府于1977年1月15日将其公布为联邦信息处理标准（Federal Information Processing Standard,简称FIPS），即FIPS PUB 46-2，至今已在银行业和其它一些领域用了二十余年。DES算法曾经过广泛的分析和测试，被认为是一种非常安全的系统。 目前已有一些比DES算法更安全的对称密钥加密算法，如： IDEA算法，RC2、RC4算法，Skipjack算法等。 
      
    　（2）非对称密钥加密 非对称密钥加密也叫公开密钥加密（Public Key Encryption），由美国斯坦福大学赫尔曼教授于1977年提出。它主要指每个人都有一对唯一对应的密钥：公开密钥和私有密钥，公钥对外公开，私钥由个人秘密保存；用其中一把密钥来加密，就只能用另一把密钥来解密。商户可以公开其公钥，而保留其私钥；客户可以用商户的公钥对发送的信息进行加密，安全地传送到商户，然后由商户用自己的私钥进行解密。公开密钥加密技术解决了密钥的发布和管理问题，是目前商业密码的核心。使用公开密钥技术，进行数据通信的双方可以安全地确认对方身份和公开密钥，提供通信的可鉴别性。由此，公开密钥体制的建设是开展电子商务的前提。 非对称加密算法主要有RSA、 DSA、Diffie-Hellman、PKCS、PGP等。 美国政府最早致力于密码技术的标准化，从DES开始就由NIST制定了一系列联邦信息处理标准（FIPS），并制定了密码技术规范，在技术规范的前提下对密码产品进行严格的检验。我国在公开密钥体制建设方面相对落后。其公开密钥体制的建设应充分吸取其它国家实施公开密钥体制和电子商务战略过程中的经验和教训；并结合我国电子商务的发展，以及跨部门应用的需要，由中央政府协调，制定出我国统一的、完整的国家公开密钥体制，推动我国电子商务的发展，增强我国在电子商务领域的竞争力，推动密码产品市场的发展。 
    
    　2. 报文摘要算法 报文摘要算法（Message Digest Algorithms）即采用单向HASH算法将需要加密的明文进行摘要，而产生的具有固定长度的单向散列（HASH）值。其中，散列函数（Hash Functions）是将一个不同长度的报文转换成一个数字串（即报文摘要）的公式，该函数不需要密钥，公式决定了报文摘要的长度。报文摘要对非对称加密一起，提供数字签名的方法。 报文摘要算法主要有安全散列标准、MD2系列标准。 a) 安全散列算法（Secure Hash Algorithm，简称SHA）：是一种报文摘要算法，它产生160位的散列值。SHA已经被美国政府核准作为标准，即FIPS 180-1 Secure Hash Standard (SHS)，FIPS规定必须用SHS实施数字签名算法。在产生与证实数字签名中过程中用到的HASH函数也有相应的标准做出规定； b) MD2、MD4、MD5：是由RSA创始人之Rivest发明的报文摘要算法。每一种产生一个128位的散列值，其中MD2最慢，MD4最快，MD5是MD4的一个变种。详细信息可参见RFC 1319（MD5）、RFC 1320（MD4）、RFC 1321（MD2）。 认证标准包括数字签名、数字证书、密钥与证书管理、身份认证等标准。 
    
    　3. 加密通信协议(SSL) 安全套接层协议（Secure Socket Layer,简称SSL）是一种保护WEB通讯的工业标准，主要目的是提供INTERNET上的安全通信服务，是基于强公钥加密技术以及RSA的专用密钥序列密码，能够对信用卡和个人信息、电子商务提供较强的加密保护。SSL在建立连接过程上采用公开密钥，在会话过程中使用专有密钥。在每个SSL会话（其中客户机和服务器都被证实身份）中，要求服务器完成一次使用服务器专用密钥的操作和一次使用客户机公开密钥的操作。SSL提供数据加密、服务器认证、报文完整以及TCP/IP联接用可选客户认证等，对计算机之间整个会话过程进行加密。采用SSL协议，可确保信息在传输过程中不被修改，实现数据的保密与完整性，在INTERNET上广泛用于处理财务上敏感的信息。在信用卡交易方面，商家可以通过SSL在WEB上实现对信用卡订单的加密，由于SSL适合各类主流浏览器及WEB服务器，因此只要安装一个数字证书就可使SSL成为可能。 SSL的缺陷是只能保证传输过程的安全，无法知道在传输过程中是否受到窃听，黑客可以此破译SSL的加密数据，破坏和盗窃WEB信息。此外，SSL在全球的大规模使用还有一定的难度。SSL产品的出口受到美国国家安全局（NSA）的限制，美国政府只允许加密密钥为40位以下的算法出口，而美国的商家一般都可以使用128位的SSL，致使美国以外的国家很难真正在电子商务中充分利用SSL。 新的SSL协议被命名为TLS（Transport Layer Security），安全可靠性可有所提高，但仍不能消除原有技术上的基本缺陷。