数字签名技术

2022-09-16

1 数字签名的相关定义

数字签名是通过一个单向函数对要传送的报文进行处理得到的用以认证报文来源并核实报文是否发生变化的一个字母数字串。

在传统的商业系统中, 通常都利用书面文件的亲笔签名或印章来规定契约性的责任, 在电子商务中, 传送的文件是通过电子签名证明当事人身份与数据真实性的。数据加密是保护数据的最基本方法, 但也只能防止第三者获得真实数据。电子签名则可以解决否认、伪造、篡改及冒充等问题, 具体要求:发送者事后不能否认发送的报文签名、接收者能够核实发送者发送的报文签名、接收者不能伪造发送者的报文签名、接收者不能对发送者的报文进行部分篡改、网络中的某一用户不能冒充另一用户作为发送者或接收者。

2 数字签名技术

数字签名技术实际使用了信息发送者的私有密钥变换所需传输的信息, 对于不同的文档信息, 发送者的数字签名并不相同。目前主要是基于公钥密码体制的数字签名, 包括普通数字签名和特殊数字签名。普通数字签名算法有SHA、RSA、Schnorr数字签名算法等。特殊数字签名有代理签名、门限签名等。

数字签名的流程如下:采用散列函数对原始报文进行运算, 得到一个固定长度的数字串, 即消息摘要。不同的报文所得到的消息摘要各不相同。但对相同的报文, 它的消息摘要却是唯一的。在数学上保证, 只要改动任何一位, 重新计算出来的摘要值就会与原先的值不相符, 这样就保证了报文的不可更改性。发送方生成消息摘要, 用自己的私存密钥对摘要进行加密来形成发送方的数字签名。这个数字签名将作为报文的附件和报文一起发给接收方。接收方首先从接收到的原始报文中用同样的算法计算出新的消息摘要, 再用发送方的公开密钥对报文附件的数字签名进行解密, 比较两个消息摘要。如果相同, 接收方就能确认数字签名是发送方的, 否则就可断定收到的报文是伪造的或者中途被篡改了。

例如:假设Alice要发送一份带有自己签名的消息M给别人时, 她首先对消息M通过HASH函数进行消息摘要得到H (M) , 再用自己的私有密钥Da对该值加密, 得到对M的签名Sa (M) 后, 有Sa (M) =Da (H (M) ) 。接收方收到消息M及签名Sa (M) 后, 先计算H (M) , 然后使用Alic的公开密钥Ea解密签名, 如消息是完整的, 应有H (M) =Ea (Sa (M) ) =Ea (Da (H (M) ) ) =H (M) 。

3 我国数字签名存在的问题及分析

数字签名的保密性很大程度上依赖于公开密钥。数字认证是基于安全标准、协议和密码技术的电子证书, 用以确立一个人或服务器的身份, 它把一对用于信息加密和签名的电子密钥捆绑在一起, 保证了这对密钥真正属于指定的个人和机构。

由于互联网自身的开放性和全球性, 在电子交易过程中也产生了诸多安全和诚信的法律问题。

数字签名存在的问题。网络信息系统的技术性和管理性安全成为数字签名应用的最大威胁。同时在我们广泛接受数字签名的过程中还存在着诸多法律问题。争论最激烈的是关于数字签名能否与手写签名一样具有可靠性, 是否能具备“认可”的条件。为了更好地努力分析数字鉴定的可靠性, 全世界的国家都起草了数字签名的提议, 联合国甚至也在试图建立一个国际标准。美国联邦政府基于有限域上的离散对数问题制定了自己的数字签名标准 (DSS) 。一些国家如法国和德国已经制定一套法律、规则及实际操作方法, 用于规范某个机构如何来管理、保护和分配资源以达到安全策略的既定目标。由于我国电子商务起步相对较晚, 技术相对落后, 缺乏具有自主知识产权的安全产品, 因此在安全问题方面还存在着更多的风险与危机。

4 解决我国数字签名存在问题的策略

目前我国电子签名法对可靠的数字签名判断的不易掌握性与执法者对这一崭新领域的陌生感之间的反差, 使我们很是忧虑。下面提出解决我国数字签名存在问题的若干建议。

大力发展先进的、具有自主知识产权的信息技术, 建立一个完整的信息网络安全体系。我国信息安全研究起步较晚, 在网络信息系统中使用的计算机、路由器等软、硬件系统大部分由国外引进, 而且信息技术相对落后, 由此加大了我国数字签名发展的安全风险和技术选择风险。因此, 要加快完善我国信息网络安全的技术安全、管理安全和政策法律安全体制的步伐。只有信息网络体系健全, 那么通过网络传输的信息的安全才能得到保证, 数字签名技术才能发挥真正的作用。

数字签名技术仍需进一步完善, 大力改进数字签名内在的安全技术措施, 如生成和验证数字签名的工具需要完善, 只有用SSL (安全套接层) 建立安全链接的Web浏览器, 才会频繁使用数字签名。

和数字签名有关的复杂认证能力程序化、简易化并易于掌握、便于操作;就像现在操作、应用环境中的口令密码一样直接做进操作系统环境、应用、远程访问产品、信息传递系统及Internet防火墙中, 方便用户的操作和使用。另一方面, 还要不断教育我们的广大用户, 使其具备自行约定可靠数字签名的常识和能力, 以便及时维护自身的合法权益。

及时修改、完善《电子签名法》和《电子认证服务管理办法》等相关法律法规。法律为数字签名的安全和诚信提供必要的保障。科技和社会的发展要比法律变化快, 我们的法律不能一成不变, 要让法律的变化与科技、社会的发展同步而行。

确定CA认证权的归属问题尤为关键。数字签名的第三方认证由依法设立的电子认证服务提供者提供认证服务。需要第三方认证的数字签名应由依法设立的电子认证服务提供者提供认证服务。由于公共密钥的存储需要, 所以需要建立一个鉴定中心 (CA) , 来完成个人信息及其密钥的确定工作。鉴定中心是一个政府参与管理的具有可信赖性的第三方成员, 以便保证信息的安全和集中管理。数字签名决定着技术商业信誉的建立, 数字签名技术的发展决定着电子商务中的诚信问题。

在电子签名法及电子支付的指引下, 大力发展数字签名在我国网上支付、电子税收、电子海关、网上采购等领域的应用, 让我国更安全的新一代电子认证与世界接轨。当数字签名技术越来越普遍的时候, 并不是每个人都觉得满意。数字签名是未来信息安全发展的潮流, 不断完善数字签名的基础设施环境和法律、技术问题, 自然成了我国目前发展数字签名的当务之急。

摘要：本文具体阐述了数字签名的基本概念, 数字签名的流程和总体发展情况与安全现状进行分析后并提出解决方案, 最后提出了我国数字签名未来发展趋势。

关键词：数字签名,密钥