### 安全電子商務報告 #### 數位憑證技術 #### 第12組 * B083040008 黃宸洋 * B084020005 蔡昀燁 --- #### 為什麼需要數位憑證? * 非對稱式加密的重要前提 * 公鑰的正確性 * 公鑰的可驗證性 * 公鑰與個人身份的連結 --- #### 數位憑證 * 用來證明持有人的身分證明，包含公開金鑰，並且有第三方的保證 * 表示個人身分的依據 * 具有法律效力 ( 經有公信力單位簽發 ) --- #### 憑證授權 ( CA ) * 管理憑證的機構 * 憑證產生、發行 * 憑證保存 * 憑證查詢、分送 * 公正仲裁 --- #### 公開金鑰基礎建設 ( PKI ) * 所有支持公開金鑰技術正常運作基礎設施總稱 * 軟硬體、服務、人員、法律、政策、和規範 * 包含 CA --- #### PKI 信任模型 * 階層式 * 上層簽署給下層，下層相信上層 * 驗證時向上尋找到共同可信任CA * 可以大規模建立 * 小規模、個人間通訊? --- #### CA hierarchical model *  --- #### Pretty Good Privacy ( PGP ) * Phil Zimmermann 1991 * 自簽憑證 * 對於他人的憑證給信任程度 * 累積信任(數位簽章) * OpenPGP --- #### web of trust *  * en.wikipedia.org/wiki/Web_of_trust#/media/File:Web_of_Trust-en.svg --- #### PGP 信任模型 * 網狀 * web of trust * 大規模時會有驗證的困難 --- #### 數位憑證種類 * 憑證授權中心憑證 * 伺服器憑證 * 個人憑證 * 軟體發行憑證 --- #### 憑證授權中心 * 官方 * 政府憑證管理中心 * 內政部憑證管理中心 * 經濟部工商憑證管理中心 * 民間 * 台灣網路認證 * 網際威信 --- ### GPKI *  * https://grca.nat.gov.tw/index2.html --- #### 數位憑證格式 * 目前網路上最廣泛的憑證格式標準為 X.509 v3 * X.509 數位憑證（X.509 Digital Certificate） * 使用 ASN.1 （ Abstract Syntax Notation One ) --- * 憑證 * 版本號 * 序列號 * 簽章演算法 * 頒發者 * 憑證有效期 ( 此日期前無效, 此日期後無效 ) * 主題 * 主題公鑰資訊 ( 公鑰演算法, 主題公鑰 ) * 頒發者唯一身分資訊、主題唯一身分資訊、擴充資訊等可選項 * 憑證簽章演算法 * 數位簽章 --- #### 憑證產生與認證 * 申請憑證，需附上個人身分資料 * 審核後用相關演算法製造公私鑰對、製作數位憑證，登錄數位憑證至資料庫系統中以供查詢 * 分發憑證給申請人 * 憑證被使用時可以透過系統查詢有無相關資料 --- #### 憑證與私鑰的儲存元件 * 磁碟片、隨身碟 * USB token、IC卡 --- #### IC卡運作 * 使用通行碼( password )來做為正當使用的驗證 * 輸入通行碼與需簽署或加密的明文 * 輸出結果 --- #### 憑證的使用 * 先檢查簽署單位的數位簽章 * 使用簽署單位的公開金鑰驗證 * 使用憑證上的簽章演算法驗證 --- #### 憑證的註銷 * 用戶私鑰遺失、或公鑰被破解，要修改公私鑰對 * 用戶私鑰被竊 * CA發現憑證分發錯誤，或是申請資料不符 * 用戶自主申請註銷 * 憑證註銷序列 ( X.509 v3 ) * 被破解公鑰序列 ( X.509 v2 ) --- #### X.509鑑別程序 * 單向驗證 * 雙向驗證 * 三向驗證 --- #### 單向驗證 * 最簡單 *  --- #### 雙向驗證 * 兩個訊息、雙方相互認證 *  --- #### 三向驗證 * 三個訊息、不需同步時脈 *  --- #### 數位憑證的應用 * SSL/TLS * 用戶端鑑定 * 安全電子郵件 * 虛擬私有網路( VPN ) * 安全電子交易( SET(TM) ) --- #### S/MIME 郵件安全性的運作方式 簽章與加密作業搭配數位憑證的流程。  --- #### S/MIME 郵件安全性的運作方式 解密作業與數位簽章驗證作業搭配公開金鑰加密的流程。  --- #### SET - Secure Electronic Transaction * schematic diagram:  --- #### Dual Signature  --- #### Purchase Request Generation  --- #### Purchase Request Validation on Merchant Side  --- #### Payment Authorization and Payment Capture * Payment authorization : ensures payment will be received by the merchant. * Payment capture : again generating some request blocks to gateway and payment gateway in turn issues payment to the merchant. --- #### Thanks for listening