身份认证系统
身份认证的实现方法很多，比如ID号、数字证书、指纹图像、DNA以及手写签名的图像等。对于一些安全强度要求不高的系统，可以使用简单的身份认证方法，如通过ID号及密码来检查身份的合法性，不需要很大的代价；而高强度的安全，需要复杂的认证系统，代价很大，使用起来具有局限性。根据日前我国网络、计算机、通讯的发展，以及图书业电子化程度，数字证书比较适合作为新图批销网的身份认证手段。它在系统开销、可操作性、安全强度各方面均符合系统的需求，实施也比较方便，易于推广。
依靠数字证书作为身份认证的手段，也存在一个缺点：无法确定是什么人使用了该证书。如果对每一个会员店的批销业务员都颁发一个证书来标识自己，从理论上是可行的，但在具体的系统中，给证书的管理带来诸多不便，因为业务员是经常更换的，从而导致证书频繁的颁发和吊销，降低了证书的稳定性，增加了身份冒充的危险。所以，在本系统中证书是颁发给图书零售商这个组织的，而不是个人。但是，我国企业在计算机使用上还比较落后，没有达到一人一机的状况，常常是几个人使用一台机器。这样，能够使用安装了数字证书的计算机的人员，都有可能从网上订购图书，给那些不法分子和恶作剧者可乘之机，致使零售商和批销商利益受损失。
为了弥补数字证书存在的不足，新图批销网采用零售商指定合法的业务操作员的办法。业务员的管理可以由零售商承担，也可以由批销中心承担，但是系统考虑到并非每一个零售商都具有本地管理系统，所以将业务员的管理集中在批销中心，而操作权限由零售商管理员通过Web的形式在线指定和取消。这种将数字证书和操作员ID结合的方法，既能验证零售商的身份，又能确定只有一部分人能够进行订购业务，因而可以大大降低蓄意破坏和因密钥或密码泄露带来的损失。
认证中心
身份认证中使用的数字证书，必须由可信赖的机构颁发，担任此功能的机构一般称为认证中心(CA)。CA执行证书服务功能，接受证书申请，根据CA的策略验证申请者的信息，并使用其私钥将其数字签名应用于证书。然后CA将证书颁发给证书的受领人，用作公钥基础结构(PKI)内的安全凭证。CA还负责吊销证书并发布证书吊销列表(CRL)。
CA的地位如此重要，那么由谁来担任CA呢?新图批销网开展的是图书批发业务，业务模式采用“添单”方式，即图书零售商在网上下单，图书批销中心确认后，按照要求发货，之后进行资金的转移。从这种意义上讲，对零售商身份的认证比对批发商身份的认证要严格得多。根据目前的状况，本系统由新图批销中心担任CA的职责是合理的，其原因有三点：
(1)专业的CA出现不久，职责不完善，而且它服务的区域有限，局限在部分地区，不适合本业务的需要；
(2)管理是否方便，新图批销中心常有新成员加入，证书更新频繁，如果由新图批销中心担任CA，责任专一，管理，厂更方便、快捷；
(3)该系统有别于网上零售商店，它主要验证购买者而不是销售者的身份，因而新图批销中心的可信任度较高，具备担任CA的条件。
CA该怎样处理证书申请，证书中有什么内容，什么情况—卜吊销证书等，这些都属于CA策略的问题。CA策略是CA在处理证书服务时使用的一组规则和命令。通常有两种策略：
基于Intranet的CA策略；
基于Internet的CA策略。
这两者之间最大的区别在于，它们对证书申请的处理方式不同。前者申请证书时，CA核查其身份的真实性是通过申请者登录的系统中的用户账号来辨别的，申请者是企业成员则颁发证书，否则拒绝。所以，基于Intranet的CA策略处理证书申请时默认动作为自动颁发；后者由于在Internet—卜申清证书，无法通过系统账号辨别身份真伪，所以基于Internet的CA策略处理证书申请时默认为搁置状态，经过其他途径核查身份后，再决定是否颁发。新图批销网是基于Internet环境的，所以该系统的CA策略采用后者。CA策略还包括向证书中额外附加什么样的信息，比如CA机构的信息访问点等。定时发布CRL也是CA的策略之一。
为了管理和维护证书申请、颁发的证书等资源，CA机构还必须具备数据的存储功能。CA使用数据库存储信息，新图批销网的证书数据库保存的信息包括：由CA颁发的证书；由CA吊销的证书；CA接收的证书申请；CA拒绝的证书申请；被CA搁置的证书申请。同时，为了防止数据丢失，采取备份和日志的功能。日志保留了涉及证书数据库每一项事务的记录。证书数据库日志可用于从备份中还原CA。如果CA从一个月前的备份中还原，那么自—上次备份后生成的证书数据库日志可针对数据库重新显示，以将其还原到最新状态。备份CA时，现有的证书数据库日志将根据大小被截断，因为系统已不再需要它们将证书数据库还原到最新状态。
CA是一种珍贵的资源，应为其提供高度的保护。如果CA遭到破坏或者入侵，该认证体系已不再安全。新图批销网考虑的具体措施包括：
(1)物理保护
由于CA代表企业中的高度信任实体，因此应该根据CA证书的内在价值保护它们不被篡改。在物理位置上对CA服务器进行隔离，服务器放在只允许安全管理员访问的房间，这样可大大减少此类攻击的可能性。
(2)还原
如果出现硬件故障，则CA数据可能会丢失。这可能会引起大量的管理和操作性问题，而且可能阻碍现有证书的吊销。证书服务支持CA的备份，以便能在事后还原。这是整个CA管理过程的一个重要内容。
(3)密钥管理
CA的密钥是其最珍贵的财产，因为私钥提供了认证过程中相互信任的基础。如果条件允许，可提供加密硬件设备用做防篡改的密钥存储，并将加密操作与服务器—亡运行的其他软件分离。这将减小CA密钥被泄露的可能性。
会员证书管理
证书是身份认证系统的一个重要组成部分，安全有效地管理证书是CA机构一个重要职能。证书管理包括证书申请、证书生成、证书颁发、证书吊销和证书验证等功能。在新图批销网中，CA生成的流程如图12．9所示。
1．证书形成
当用户以PKCS#10格式提出证书申请请求时，由加密服务提供者(CSP)产生公／私钥对，可以是在用户本地生成，也可以在CA处生成。如果通过后者产生，必须用“个人信息交换语法标准”(PKCS#12)将生成的私钥导入到本地。公钥和申请信息提交给CA机构，经过CA的审核，如果申请者身份属实，则根据CA的策略生成证书，并将其发布。一般基于Internet的CA身份审核，需要借助于传统途径来实现。CA发布证书后，申请者可以直接通过Internet下载并安装证书。
根据CA策略，新图批销网CA生成的证书，公／私钥密钥长度为512bit，用于签名和加密，CA对颁发的证书使用的签名算法是SHA1+RSA，同时策略模块还执行以下功能：
(1)将证书吊销列表分发点(CDP)添加至日前颁发的证书中。证书的验证者(如安全的Web站点)可使用证书中所包含的CRL分发点地址米检索颁发CA的CRL的当前副本，以确保要提交的证书未被CA吊销。
(2)将颁发机构的信息访问点添加到要颁发的证书中。颁发机构信息访问点是证书颁发机构证书的目录项或其他分配源。
(3)在收到证书申清时确定证书颁发机构的默认动作。在收到证书申请时，证书颁发机构将其保留为搁置状态，直到管理者审阅这个申请。
2．证书吊销
证书的吊销使得作为被信任安全凭据的证书在自然过期之前便告作废。这其中的原因很多，比如：证书受领人的私钥泄露或被怀疑泄露：发现证书是用欺骗手段获得的；作为信任实体的证书受领人的状态改变等。由于证书使用者不必与CA实体直接通信，这样就
需要将证书吊销信息分发给个人、计算机和正在尝试验证证书有效性的应用程序，避免吊销的证书继续使用。对吊销信息及其时间性的要求取决于证书吊销检查的应用程序及其执行情况。新图批销网CA要求证书使用者一周内至少执行一次证书吊销检查。
3．证书验证
验证证书采用分散处理的方法，即证书使用者并不是将需要验证的证书提交给CA，而是从CA那里获得CA的公钥存放在本地，通过检查证书中CA用私钥的签名来验证证书的合法性。CA签名合法后，接着再使用需要验证的证书中的公钥加密一随机信息发送给对方，对方可以用私钥解密并返回结果，根据对方的响应结果来判断对方是否是证书中所声称的人，因为只有拥有与该公钥相应的私钥才能邑解开加密的随机信息。这种分散处理的方式相对于集中在CA处理的方式来讲，减轻了CA的负载压力，节约了宝贵的网络带宽，提高了证书的验证效率。
身份认证的实施
新图批销网的身份认证系统实施认证包括两部分：组织合法性认证和操作员合法性认
证，分别通过数字证书和操作员ID来实现。组织合法性认证要求各个交易实体首先从新图
批销网CA处申请证书米标识自己，同时，为了验证交易对方数字证书的真实性，还必须·厂
载安装CA机构的证书，因为CA颁发的证书中有CA用私钥对该证书的签名；操作员
合法
性认证要求各图书零售商必须指定合法的操作员，并在新图批销网的数据库山备案。
申请数字证书是组织合法性验证过程山重要的一步，零售商的浏览器和新图批销网Web
服务器可以通过Internet向CA机构申请证书：操作员ID及密码的注册可以由合法图书零
售商通过Internet完成，该操作过程必须经过零售商的特许管理员(如经理、部门负责人)
的审核才能进行。一旦指定了合法的图书批发操作员，他们就具有在新图批销网—卜批发图书的权限。如果一操作员因某些原因不再具有图书批销的权限，特许管理员必须及时注销该操作员，以免带来不必要的损失。新图批销网的身份认证系统处理流程如图12．10所示。
当零售商需要购书时，必须经过身份认证系统审核。其中，组织合法性审核是基寸：SSL协议的，它通过数字证书验证服务器和客户端的身份，该过程以客户端发出http请求开始，以建立一条安全通道或请求失败为结束。组织合法性审核通过后，在零售商和新华图书批销中心建立了一条安全连接，此后的会话足以加密形式传输的，保证交易双方合同的内容不会泄露。身份认证系统还要求验证操作员ID的合法性。操作员提供ID号和密码，经过加密传输至新图批销网Web服务器，审核通过后允许其购书。
新图批销网的身份认证系统结合了数字证书和会员ID的优点，弥补了对方的不足。使用证书，即使ID和密码泄露，也不会带来太大的损失，因为证书只安装在固定的计算机上，该计算机的使用人员是有限的；使用ID来取代用证书标识操作实体，简化了管理，节约了系统开销。
业务不可否认的实现
在新图批销网系统中，订单(合同)的数据完整性也是不可否认业务的任务之一。为了防止订单信息被篡改，该系统采用MD5／SUA-1单向杂凑方法，生成订单的杂凑值，并与词单一起传送，接收方则通过MD5／SHA-1对订单再次杂凑，与接收的杂凑值比较，相同则说明订单信息是完整的。
前一节讨论了不可否认业务所需的技术知识，了解了本系统不可否认业务的类型及其实现方式。数字签字是不可否认业务的核心技术，签字对象可以是信息全文，也可以是信息的摘要。本节针对系统的具体应用，给出不可否认性的一种解决方案，达到防止抵赖已经进行业务的目的。
新图批销网的不可否认业务表现为交易双方对已经确认的订货合同不许否认。交易主体仅涉及两方，任意一方必须为另一方提供确认此次交易的证据。由于在本系统中，没有第三方机构对双方的交易进行公证，所以，不可否认证据的生成只能是交易主体自己的签名。当零售商在网上选购完图书，由批发商的Web服务器生成图书订购合同，双方确认合同内容，如果达成一致，则各自在合同上签名，并将签名的合同提交给对方保存。任意一方否认此次交易，另一方只要出示对方签名的订货合同，就可以解决纠纷。新图批销网不可否认业务握手过程如图12．11所示。
当零售商提出订购需求后，由新图批销中心生成一份合同书T提交给零售商，零售商核查内容后，在合同上签名S(T)，然后将合同T和签名S(T)打包成T，提交给新图批销中心，新图批销中心收到T，后，检验签名是否合法，若合法则对T′签名生成S(T′)，并将S(T′)提交给图书零售商，零售商对照T和S(T)检验新图批销中心的签名，合法则反馈“确认”信息，之后便可以进行商品和资金的转移了。
在交易磋商阶段，生成不可否认性证据，目的在于解决交易阶段可能产生的纠纷。如果磋商过程不能达成一致的合同，交易将终止。交易中的任一方获得对方合法的签名证据，就可以保证无法否认此次交易。在不可否认业务握手过程中，签名合同的生成及其检验是其中最重要的部分，示意过程如图12．12所示。
图12．12中，不可否认证据包括两部分：一部分为合同正文，一部分为签名信息块。由于合同正文为明文，为了防止商业机密泄露，所以证据必须经过加密之后再通过Internet传输。综上所述，不可否认证据生成及验证必须包括以下两个单元：单向杂凑算法、签名算法。PGP(Pretty Good Privacy)系统可以满足此业务的需求。
PGP是公钥密码学的一个实用范例，已广泛用于Internet的邮件系统中。PGP由对称加
密算法IDEA／DES、非对称加密算法RSA／Diffie-Hellman、单向杂凑算法MD5／SHA-1和一个随机数生成算法构成，它可以提供机密性、完整性和签名认证业务。
PGP系统具有生成和管理公／私钥对的功能，公钥和私钥分别存于公钥环和私钥环文件中，只要提供标志就可从公钥环取出公钥，而私钥必须提供口令才能从私钥环中取出。本系统中PGP与SSL各有一套公／私钥对，分别用于数字签名和加密，相对于只有—套
公／私钥对，它具有以下两个好处：一是更好地保护签名私钥，因为加密解密是经常使用的，其私钥容易泄露，而签名私钥只有在发生纠纷时才使用，相对稳定；二是系统具有较灵活的算法扩充性，加密算法和签名算法使用独立的密钥，相互不牵制，更新算法不相互关联。公／私钥密该杂凑值生成签名部分，最后将合同和数字签名一起传送给接收方。接收方的PGP系统收到传送的信息后，使用MD5／SHA-1对合同进行杂凑，将结果与使用发方公钥解密的签名部分比较，相同则证明合同是完好的并且具有对方的合法签名，可以进行交易，否则合同被篡改或者对方签名虚假，应暂停交易。交易中或交易后出现纠纷，可以通过PGP验证双方出具的签名合同来明辨是非。
PGP系统生成合同的不可否认证据后，提交给对方的途径有三条：传统方式；Web方式；电子邮件方式。传统方式即在不可否认证据生成后通过手工完成递送、验证过程，该方式耗时、效率低下且容易出错，一般不采用。Web方式即通过Web同步完成合同的生成、签名、递送和验证过程，但由于图书零售商一般仅使用浏览器，并不具备完善的系统来实现此方式。电子邮件方式实时性较强，使用方便，普及范围广，不可否认证据可以直接导入零售商本地系统。由于多数图书零售商以文件系统保存档案，为了能与各个交易实体保持格式兼容，同时考虑到与PGP系统结合的紧密度，经分析，新图批销网采用电子邮件方式提交不可否认证据，E-mail将签名证据以文本文件形式作为附件传送，操作方便快捷。
因篇幅问题不能全部显示，请点此查看更多更全内容