分类
知识中心

VeriSign数字签名证书常见问题解答

何为数字签名?我为何需要它?

客户在线下载应用程序,安装插件和附件或与复杂的网络应用程序进行交互时,他们必须要相信该代码是真实的,且未曾受感染或被改写过。在传统的软件销售过程中,购买者可通过检查包装确认应用程序的来源及其完整性。数字签名创建了数字式“保护膜”,可以向客户证明负责该代码的企业或个人的身份,并确认该代码自应用签名以来从未修改过。VeriSign 数字签名通过数据签名使您的应用程序易于确认且不易被伪造或破坏,进而保护您的品牌和知识产权。

我需要哪种数字签名证书?

VeriSign 数字签名比其他任何数字签名提供商支持的平台都要多。VeriSign 是 Windows Phone、AT&T Developer Program、Java Verified 和 Symbian Signed 应用程序的可靠数字签名提供商之一。选择适合您开发平台的 VeriSign 数字签名证书:VeriSign 数字签名证书

数字签名证书的工作原理为何?

代码和内容签名是基于公钥加密的。开发商或软件发行商使用私钥向代码或内容中添加数字签名。在下载过程中,软件平台和应用程序使用公钥解密该签名,并将对该应用程序进行签名时使用的哈希值与下载的应用程序的哈希值进行比较。系统可能自动接受信任源签名的代码,也可能发出安全警告,要求最终用户先查看该签名信息,然后决定是否信任该代码。

数字签名持续多长时间?

购买的每个数字签名证书都有具体的有效期限。只要是在数字证书的有效期内,就可以随时使用它对代码进行签名。数字证书到期后,则基于该数字证书的所有数字签名也均到期,除非该签名中包含时间戳。时间戳选项显示代码的签名时间,让客户可以验证该数字签名证书在进行数字签名时是否有效。

我可以将数字签名证书安装在多台电脑上吗?

数字签名证书在获取后可用于任何计算机。但是,必须通过同一台计算机购买并获取数字签名证书。如果您在获取时出现问题,请确认您使用的是注册时所用的计算机、浏览器以及登录配置文件。为了提高安全性和改善管理,VeriSign 建议开发商另外购买数字签名证书,而不是共享证书。如果证书因遭到破坏而必须被吊销,则由该证书签名的所有应用程序都将被禁用。

他人如何知道可以信任我的签名?

对您的代码进行签名可确保它不被篡改并确实由您提供,但并不验证您的身份。软件系统、应用程序和移动网络依靠证书颁发机构的根证书确定数字签名的有效性。与自签名证书相比,第三方 CA 更受信任,原因在于证书申请者必须要经过审查或验证过程。VeriSign 根证书的普及程度无人可比。我们的根证书已预装在大多数设备上,并内置到了大多数应用程序中,为最终用户提供了安全的无缝安装过程。

我需要多少个数字签名证书?

为了提高安全性和改善管理,VeriSign 建议开发商另外购买数字签名证书,而不是共享证书。如果证书因遭到破坏而必须被吊销,则由该证书签名的所有应用程序都将被禁用。VeriSign 建议为每个开发平台购买一个数字签名证书。

如果我的私钥丢失或受损该怎么办?

如果私钥丢失或受损,或者您的信息发生变化,那么您应该立即吊销数字签名证书,然后用新的证书取代。

分类
常见问题

代码签名证书常见应用

代码签名证书主要作用是为各种应用程序做数字签名,通过数字签名确保应用软件来源的真实性并防止篡改,在代码签名证书里会有证书申请公司的详细信息,所以通过该信息来确认软件是否是可信的。

一般常见的代码签名证书包括微软代码签名证书Java代码签名证书,还有宏代码签名证书等等,但是一般常用的代码签名证书为微软代码签名证书,Java代码签名证书于宏代码签名证书还有其他手机应用程序的代码签名证书都已经逐渐不再使用,尤其是Android与IOS手机系统的普及导致像过去的Java,Symbian,等等手机数字签名证书的没落,因为在Android与IOS的系统里都有自己的签名策略供软件商店里的应用做签名,一般都已经不在使用第三方的数字签名证书

现在应用最为广泛的还是微软代码签名证书,下面来具体介绍下微软代码签名证书。

微软认证代码签名证书主要的功能是为在Windows平台下发布的应用程序做数字签名,因为从Vista系统开始,Windows系统的安全性要求更为严格,当用户安装软件是,系统的UAC默认设置都会提示用户该软件是否安全,是否有数字签名等信息,如果没有做数字签名那么会提示该软件未经颁发者等信息提醒用户谨慎安装;还有当用户安装未经数字签名软件时杀毒软件同时也会提示该软件未经数字签名等等安全提示,甚至会提示该软件存在安全风险等提示,所以微软认证代码签名证书主要解决的问题便是这个系统提示,还有杀毒软件的安全提醒。

在Windows平台下所需要用到数字签名的应用程序一般分为,普通应用程序,驱动程序,网页插件程序等,如exe,dll,cab,msi,ocx,sys,cat等文件。

比较特殊的应用可以总结如下:

普通应用程序,普通应用程序只需要使用微软代码签名证书进行普通的签名即可;

驱动应用程序,如果是驱动应用程序的话,需要做微软要求的交叉签名证书,交叉签名证书在签名的时候会把微软的一张证书签到程序里,在验证的时候通过微软的该证书才可通过验证;驱动程序又分为内核驱动程序与硬件驱动程序,如果是内核驱动程序那么只需要简单的交叉签名证书即可,而如果是硬件驱动程序,那么除了需要有内核驱动程序签名还需要有微软徽标认证才可通过系统数字签名验证。

关于内核驱动程序,一个内核驱动程序,即使做了交叉签名,在Vista以上系统安装都可以显示出签名信息,并通过验证,但是在xp下面进行安装,仍然提示未经数字签名,这是因为在xp下面交叉签名证书无法通过验证,除非申请微软徽标认证,但是徽标认证一般只用于硬件驱动程序的申请,用于xp不值得,而且xp也基本被逐渐淘汰,所以xp内核驱动程序与硬件驱动程序只做普通的签名即可,因为即使做了交叉签名可能也没用。

关于硬件驱动程序,在Vista以上版本必须有微软交叉签名,然后在申请微软徽标认证,这样才可以完全消除安装时在客户端出现的各种不友好提示。

微软认证代码签名证书的种类与品牌

各个第三方CA证书颁发机构都有出售微软代码签名证书,其中市场占有率最高的为VeriSign(已被Symantec收购)。

微软代码签名证书的使用,都是使用微软Signtool程序进行数字签名,有命令行与可执行程序,微软网站上也有详细的命令参数。

分类
知识中心

如何为silverlight xap包进行数字签名

为什么要对silverlight xap包进行数字签名

silverlight OOB模式以最高权限运行时,有安全限制。如需要让本机安装的程序自动升级,则需xap包已经进行过数字签名。否则只能让用户手动删除再重新安装的方式进行升级。

使用什么格式数字签名证书进行签名

对xap包签名需要pfx数字签名证书文件。

如何制作pfx证书文件

打卡Visual Studio Tools里面的Visual Studio Command Prompt ,然后运行以下命令。

makecert.exe -r -n “CN=chuifeng” -b 01/01/2009 -e 12/31/2019 -sv c:\Demo\CbipSetupKey.pvk c:\Demo\CbipSetupKey.cer

cert2spc.exe c:\Demo\CbipSetupKey.cer c:\Demo\CbipSetupKey.spc

pvkimprt -pfx c:\Demo\CbipSetupKey.spc c:\Demo\CbipSetupKey.pvk

说明:pvkimprt.exe是证书导出工具。需要从微软网站下载:http://download.microsoft.com/download/vba50/Utility/1.0/NT5/EN-US/pvkimprt.exe。

cert2spc.exe测试工具通过一个或多个 X.509 证书创建发行者证书 (SPC)。Cert2spc.exe 仅用于测试目的。可以从证书颁发机构(如 VeriSign )获得有效的 SPC。

对xap包进行数字签名

右击silverlight项目Properties>Signing>select fron file

分类
知识中心

Vista 64位驱动数字签名

关于Vista 64位驱动进行数字签名,根据您发送来的文档,与在微软官网查询Vista 64位数字签名方法与Signtool工具签名命令选项,“/ph”选项是给签名文件添加hash值,根据文档说明,在系统加载时会被读取到内存;

签名操作命令为:

Test-signing example:

Signtool sign /v /ph /s PrivateCertStore /n Contoso.com(Test) /t http://timestamp.verisign.com/scripts/timestamp.dll c:\app.exe

Release-signing example:

Signtool sign /v /ph /ac MSCV-VSClass3.cer /s my /n contoso.com /t http://timestamp.verisign.com/scripts/timestamp.dll c:\app.exe

 

该命令选项,根据以上显示是为在exe等PE文件进行数字签名时所需参数,并且在Signtool的官方说明里也有简单说明,改命令选项无需对非PE文件签名时选用:

http://msdn.microsoft.com/en-us/library/windows/desktop/aa387764(v=vs.85).aspx

/ph If supported, generates page hashes for executable files. This option is ignored for non-PE files

 

根据以上相关资料推荐您在签名时,可按照下面操作方式进行数字签名

1 给sys文件签名时命令:

SignTool sign /v /ac CrossCertificateFile /s SPCCertificateStore /n SPCSubjectName /t http://timestamp.verisign.com/scripts/timestamp.dll winloaddriver.sys

可参考下面链接:http://msdn.microsoft.com/en-us/library/bb530195.aspx#digitalsigskernmodules_topic4

 

2 给编译输出exe等PE文件签名时可选用下面面命令:

Release-signing example:

Signtool sign /v /ph /ac MSCV-VSClass3.cer /s my /n contoso.com /t http://timestamp.verisign.com/scripts/timestamp.dll c:\app.exe

分类
知识中心

电子邮件数字证书确保邮件信息的安全

问:我刚刚收到同事的一封电子邮件(关于我们在一些国家的疟疾救援方案)。奇怪的是,邮件文本中几乎所有的国家名字都被移除/删除了。我们注意到,受到干扰的似乎只是那些国家名字,别的内容没有问题。这种干扰一定是在电子邮件传送过程中发生的。这种情况已经不是第一次发生了。您认为这其中可能的原因是什么呢?

答:尽管你的电子邮件中丢失了数据,但是如果不是敏感信息或者有价值的信息受到干扰的话,这种情况不太可能是恶意攻击。有可能是格式问题——你的电子邮件程序没有正确地处理或者显示了来自另一种电子邮件程序的内容。为了解决这类问题,你应该检查电子邮件程序的选项。比如,如果你使用的是Microsoft Outlook,那么点击工具—选项,点击首选参数按钮。在这里你可以改变消息的外观显示,并改变处理它们的方式。

如果这样还不能解决你的问题,而且你确定你的电子邮件在传输过程中被拦截,或受到干扰,那么你和你的同事需要使用电子邮件数字证书对电子邮件进行签名和加密。数字证书将保证只有收件人才可以阅读邮件,而且收件人能够验证邮件是否被篡改。

数字证书包括一个私有密钥(存储在发件人的计算机中)和一个含有相关公共密钥的证书。你可以从Certification Authority(CA认证机构)那里获得数字证书,比如VeriSign公司。VeriSign公司的电子邮件加密传送(Secure Email)产品——1级数字标识(Class 1 Digital ID)。这些数字证书以及其他的证书能与那些遵从S/MIME协议的电子邮件客户端(比如,Microsoft Outlook、Outlook Express、 Mozilla Thunderbird,或者Apple Safari等等)相兼容。

对电子邮件进行签名和加密的数字证书是绑定在你的有效电子邮件地址上的。通过它,你的邮件收件人知道消息来自你的电子邮件地址,而且从你发送电子邮件到他们收到电子邮件这段时间内消息是保密的,没有被修改过。签名的电子邮件还可以提供所谓的不可否认的证据,可以防止发件人后来否认他/她发过这个邮件。

如果你想通过电子邮件给同事发送机密信息,你需要有他们的数字证书的副本,获得他们的证书其实很简单。当有人给你发送带有数字签名的消息时,电子邮件程序都会附带发件人的数字证书,其中含有所发送消息的公共密钥。这样做的话收件人就能够验证发件人的签名是否正确,并且可以确认该消息是否被篡改。你的同事给你发送了带有他签名的电子邮件之后,你可以把他的证书保存在你的电脑上,然后用他的公共密钥来加密回复给他的信息,反之亦然。这样,你的加密消息只有你的同事才能阅读,别人不可以。VeriSign证书有许多不错的关于电子邮件加密的手册,可以很好地指导大家如何进行数字签名以及怎样使用各种邮件程序对电子邮件消息进行加密。

当然,你一定要考虑信息发送给同事之后的安全性问题。一旦收件人解密并且阅读了你发送的信息,别人就可以无限制的复印或者打印那些信息,所以在发送邮件之前一定要考虑邮件内容的性质和敏感性。你还必须要保护好与数字证书相关的私有密钥,因为它实际上就是你的数字身份识别码。

分类
知识中心

图解数字签名和数字证书

数字签名“(digital signature)和”数字证书”(digital certificate)到底是什么。对这些问题的理解,一直是模模糊糊的读者们,很多细节可能搞不清楚。相信你读完这篇文章后,发现思路一下子就理清了。

数字签名是什么?

1.

看图片 读故事:轻松理解数字签名和数字证书

鲍勃有两把钥匙,一把是公钥,另一把是私钥。

2.

图解数字签名和数字证书-2

鲍勃把公钥送给他的朋友们—-帕蒂、道格、苏珊—-每人一把。

3.

看图片 读故事:轻松理解数字签名和数字证书

苏珊给鲍勃写信,写完后用鲍勃的公钥加密,达到保密的效果。

4.

图解数字签名和数字证书-4

鲍勃收信后,用私钥解密,看到信件内容。

5.

图解数字签名和数字证书-4

鲍勃给苏珊回信,写完后用Hash函数,生成信件的摘要(digest)。

6.

图解数字签名和数字证书-3

然后,鲍勃使用私钥,对这个摘要加密,生成”数字签名”(signature)。

7.

看图片 读故事:轻松理解数字签名和数字证书

鲍勃将这个签名,附在信件下面,一起发给苏珊。

8.

图解数字签名和数字证书-8

苏珊收信后,取下数字签名,用鲍勃的公钥解密,得到信件的摘要。由此证明,这封信确实是鲍勃发出的。

9.

图解数字签名和数字证书-5

苏珊再对信件本身使用Hash函数,将得到的结果,与上一步得到的摘要进行对比。如果两者一致,就证明这封信未被修改过。

10.

图解数字签名和数字证书-10

复杂的情况出现了。道格想欺骗苏珊,他偷偷使用了苏珊的电脑,用自己的公钥换走了鲍勃的公钥。因此,他就可以冒充鲍勃,写信给苏珊。

11.

看图片 读故事:轻松理解数字签名和数字证书

苏珊发现,自己无法确定公钥是否真的属于鲍勃。她想到了一个办法,要求鲍勃去找”证书中心”(certificate authority,简称CA),为公钥做认证。证书中心用自己的私钥,对鲍勃的公钥和一些相关信息一起加密,生成”数字证书“(Digital Certificate)。

12.

图解数字签名和数字证书-12

鲍勃拿到数字证书以后,就可以放心了。以后再给苏珊写信,只要在签名的同时,再附上数字证书就行了。

13.

图解数字签名和数字证书-13

苏珊收信后,用CA的公钥解开数字证书,就可以拿到鲍勃真实的公钥了,然后就能证明”数字签名”是否真的是鲍勃签的。

14.

看图片 读故事:轻松理解数字签名和数字证书

下面,我们看一个应用”数字证书”的实例:https协议。这个协议主要用于网页加密。

15.

图解数字签名和数字证书-10

首先,客户端向服务器发出加密请求。

16.

图解数字签名和数字证书-16

服务器用自己的私钥加密网页以后,连同本身的数字证书,一起发送给客户端。

17.

图解数字签名和数字证书-17

客户端(浏览器)的”证书管理器”,有”受信任的根证书颁发机构“列表。客户端会根据这张列表,查看解开数字证书的公钥是否在列表之内。

18.

图解数字签名和数字证书-8

如果数字证书记载的网址,与你正在浏览的网址不一致,就说明这张证书可能被冒用,浏览器会发出警告。

19.

看图片 读故事:轻松理解数字签名和数字证书

如果这张数字证书不是由受信任的机构颁发的,浏览器会发出另一种警告。

20.

图解数字签名和数字证书-20

数字证书如果是可靠的,客户端就可以使用证书中的服务器公钥,对信息进行加密,然后与服务器交换加密信息。

分类
网络新闻

微软确认Windows 8 ARM限制Linux操作系统启动

微软曾发布的一份文件显示,Windows 8 UEFI安全启动功能下,将不能运行任何第三方操作系统。若微软通过强制性的手段推广运用安全启动功能,则该功能要求任何的启动时间代码都要通过一个关键 词以进行数字签名。该文件引起了巨大的争议,不少开发者都认为这是微软启动锁定诸如GNU/Linux等第三方操作系统。

微软确认Windows 8 ARM限制Linux操作系统启动-1
现有的引导进程:BIOS启动任何引导装载程序,甚至是恶意软件

微软确认Windows 8 ARM限制Linux操作系统启动-2
Windows 8安全启动:UEFI只启动通过认证的引导程序

对此争议,微软很快发表声明予以回击。在声明中,微软表示原始设备制造商们(OEMs)将会为购买者提供禁用UEFI安全启动模式的手段,该手段将使得购买者可以运用非数字签名的操作系统。

而根据微软公布的最新Windows 8认证要求来看,那些不基于ARM操作系统的,传统的桌上型电脑与笔记本电脑将允许存在一种自定义模式,该模式使得用户可以阻止UEFI安全启动模式的运 行。如此一来,如果制造商们想要将Windows的标示贴上其产品的话,那些基于ARM操作系统的平板电脑与低能笔记本电脑在将来就必须拥有此种功能。

分类
知识中心

构建网络电子商务信任环境的三个基石

如果你问一个人在网上购物最担心的是什么?大多数人的回答会是担心被欺骗,用一句文雅的话说,就是对网络电子商务环境缺乏信任,因此,构建一个可信的环境对网络电子商务的发展具有极其重要的意义。但要构建可信的电子商务环境,必须解决一些参与方关心的关键问题。首先,参与电子商务活动的有关方需要知道对方是谁,是怎样的一个人或机构,其信用状况如何等,即对方是否可信。其次,当在交易活动中出现问题、纠纷,甚至出现法律诉讼时,如何有效地界定有关方的责任、如何举证。最后,当在交易活动中万一出现了欺诈,使得一方遭受了损失,如何保障遭受损失一方的利益,使其可通过某种途径获得合理的赔偿。我们认为,可信身份服务、可信电子证据服务、交易担保服务是解决这些问题的有效手段和途径。

可信身份服务主要包括可信身份认证服务、可信身份信息服务及信用信息服务。在现实世界中我们要相信一个人、一个企业,我们首先得知道他/它是谁,知道其真实身份,这可以查看其个人身份证或企业营业执照,并通过一定的方式验证他就是他所声称的人,或它就是它所声称的企业。在网络虚拟世界,我们要知道一个人或企业的真实身份,确认他就是他声称的人或它就是它所声称的企业,也可以查验他/它的电子身份证,这个电子身份证就是标识一个人、企业身份的数字证书,它由国家授权的专门开展可信电子身份认证服务的第三方权威机构数字证书认证中心(Certification Authority,CA)签发。数字证书认证中心在经过一定的严格流程完成个人、组织机构的身份验证和确认后,向个人、组织机构签发数字证书,用于在网络活动中标识鉴别一个人、组织机构的真实身份。数字证书是基于一定的密码学原理而制作的电子身份凭证,具有很高的安全性。不同于现实中的个人身份证、企业营业执照有可能假冒,数字证书无法伪造。数字证书除了作为网络环境下的电子身份证,用于标识、鉴别一个实体的身份外,还可用于电子订单、电子合同的数字签名,且这个签名是符合《中华人民共和国电子签名法》可靠电子签名规定的。另外,数字证书认证中心签发的可信网络站点服务器证书(也称为SSL证书),通过对一个网络站点真实身份的标识,能有效地防止假冒网站,防止、减少各种“钓鱼”行为的发生。总之,数字证书认证中心通过向电子商务活动的有关参与方提供身份认证服务,为网络可信环境的建立打下了基础。

要信任一个人、一个机构并同其进行交易、开展业务往来,仅仅知道其真实身份往往是不够的,往往还需要了解他/它的更多信息,比如,对于一个个人,可能需要了解他的职业、年龄、收入状况等信息;对于一个企业,它的注册资本是多少、负债是多少、企业规模有多大、主营业务是什么等。为了获得这些身份信息,需要有一个可信的、权威的机构通过网络来提供身份信息服务,比如由专门的政府机构或获得有关政府机构认可、授权的商业机构。电子认证服务机构(即数字证书认证中心)作为一个获得国家有关授权的机构是开展这项业务的合适机构之一,这是因为它在开展电子认证业务、签发数字证书过程中可积累、保存大量经过验证、确认的用户信息,这些信息为提供身份信息服务打下了基础。当然,在提供身份信息服务的过程中,需要有效保护有关个人、企业的隐私或保密信息,只有获得有关人员、企业授权的信息才能向其他人员、企业、机构发布。授权发布的身份信息至少需要包括这么几种:1)经身份信息主体授权对所有人群、机构可公开的信息;2)授权对特定人群、机构可公开的信息;3)临时授权对某个个人或机构可公开的信息。

在电子商务活动中关于一个实体(个人或机构)是否可信的重要信息是这个实体的信用状态信息,只有了解对方的信用状况,知道对方确实是一个讲诚信、守信用的人或企业,才能放心的与他/它进行交易、开展业务活动。为此需要有一些权威机构通过网络提供针对个人、机构信用状态的查询服务。提供这种信用状态信息服务的机构可以是本身已积累、掌握了大量客户信用信息的商业机构,如银行、大型交易网站,也可以是在其他信用信息服务机构提供的服务的基础上,提供综合性信用评估服务的权威机构。

在电子商务活动中,即使了解了对方的真实身份、知道了对方的相关信息及其信用状况,并不能保证不会出现问题、纠纷,乃至产生法律诉讼。要解决问题、纠纷,赢得官司,必须找到相关的交易记录,如交易的电子订单、电子合同等,也即电子证据,以作为界定责任、澄清事实的依据。这就存在这么一个问题,这些相关交易记录由谁保存并在出现纠纷时提交?一种方式是由参与交易活动的一方,如电子商务交易平台的运营商保存和提交,这也是目前通常的情况。但这存在一个问题,这就是当出现纠纷时,保存记录的一方有可能隐藏、销毁对自己不利的证据,或者修改记录、编造对自己有利的证据。也即这种方式对另一方是不公平的。另一种方式就是交易的双方都保存所有相关的记录,这对于一个普通的用户而言,无论从技术上,还是实际操作上,都是一件非常困难的事情,而且经常会出现保存的记录被丢失的情况,如不小心将保存交易记录的计算机格式化了等。如果要做到既公平又不给普通用户增加负担,最合适的方式就由一个独立的第三方来保存相关的交易记录,在出现纷争是提供相关的记录作为电子证据,也即由第三方提供电子证据服务。但是,要使得提交的记录成为可信的电子证据,还有一个问题需要解决,这就是纷争中的一方在面对对自己不利的证据时可能会说这个电子交易订单、电子合同不是他/它提交的,是伪造的,或者不是原始的,而是被修改了的,也就是可能会出现一方抵赖的情形。要有效解决这个问题必须采用电子签名,即在进行交易时,有关的交易方需对交易记录(电子订单、合同等)进行符合电子签名规定要求的电子签名,以使得相关方在面对对自己不利的证据时,无法否认,即实现抗抵赖。前面提到的数字证书认证中心签发的数字证书,除了能用于实体的身份  标识与鉴别外,还能通过数字签名(电子签名的一种方式)提供抗抵赖的功能。另外,对于同一个电子记录(订单、合同),它产生、出现的时间不同,它提供的证明作用可能完全不同、甚至完全相反,为此,提供电子证据服务的机构可对接收到的、需要保存的电子记录加盖时间戳以明确电子记录产生的时间,也即交易行为发生的时间。时间戳是一种通过数字签名将电子文档与某个特定时刻绑定(通常是接收到电子文档的时间),从而日后能证明该电子文档在该时刻存在,并通过验证时戳确定该文档内容是否被改动的一项安全技术。当然,参与交易的一方,出于保护个人隐私或企业商业秘密的角度考虑,可能不希望把自己的交易记录保存在第三方,在这种情况下,交易的有关方可将不涉及私密信息的交易记录的某些特征信息,如订单号、合同号等,连同交易记录的数字指纹(即散列值),提交给提供证据服务的第三方,并由其加盖时间戳后保存。这样,在必要的时候,提供证据服务的机构同样能够证明某个交易记录的存在性,并验证记录内容是否被改动。我们看到,数字签名与时间戳保证了电子记录的可信性,使之成为可信的电子证据。

知道对方的真实身份,知道对方的信用状况,且在出现纠纷是能出示证据仍然不够,因为这不能完全消除、避免交易过程中某一方反悔、不履行合约甚至欺诈的情况出现。当出现这些情况时,遭受损失的无过错方即便能赢得官司,也可能由于责任方逃逸、没有赔偿能力或其他情况而无法获得赔偿,我们知道这种情况在现实世界经常出现。为了保障电子商务活动参与者的利益,使其放心地参与交易活动,有必要引入交易担保服务。这里的交易担保服务是专门针对网络电子商务的一种保险业务或服务,可由一个或多个机构提供。电子商务活动的参与者,在进行交易活动时可选择购买由担保服务机构提供的交易担保保单;当出现欺诈、假冒或不履行合约的情况,使其遭受损失时,可由提供交易担保的机构对其损失进行相应的赔偿。交易担保服务的提供方可以是电子商务平台的运营商,也可以是第三方机构,如保险公司。赔偿资金来源的一种方式是建立赔偿基金,通过每笔交易的按比例扣费,或者会员交费募集资金。会员费这种方式,比较适合于特定的电子商务社区。赔偿资金的另一个来源是由保险公司支付,这需要保险公司设立相应的险种。无论怎样的情况,交易担保对构建可信的电子商务环境具有重要的作用和意义。

通过上面的分析讨论,我们可以看到可信身份服务、可信电子证据服务、交易担保服务能满足电子商务活动参与者在身份、证据、担保这三个方面的迫切需求,可为电子商务活动的广大参与者打造一个可信的、放心的网络环境,是构建网络电子商务信任环境的基石。

分类
网络新闻

中国电子商务立法的五种说法

目前关于中国的电子商务立法,主要有着五种相对比较片面的说法,所以,我们希望通过下面对这五种说法的讨论,进一步澄清其中的相关问题,取得更多数人在电子商务立法上的共识,推进电子商务立法的进程。近几年来,随着计算机与互联网的发展,电子商务,无论是作为一种交易方式、传播媒介还是企业组织的进化,都在广度与深度等各方面取得了前所未有的进展。在这方面,我国也毫不例外,2000年前后围绕我国电子商务发展的一系列起伏变幻足以充分说明这一切。

然而,与此同时,电子商务发展的基础环境问题,尤其是电子商务的法律环境,也越来越引起了人们的关注,一方面,电子商务的各个环节与问题都直接影响着相关法律法规的制定;另一方面,法律环境的每一个细节与措施也都左右着电子商务的前程。所以,及时制定我国一系列与电子商务相关的法律法规、完善我国的电子商务政策法律环境,不仅会改善我国的电子商务基础环境,从根本上促进我国电子商务与网络经济的发展,还可以使我们在以信息化带动工业化,实现现代化的伟大构想更早实现。然而,实践中我们看到,关于我国的电子商务立法,社会各界,尤其是立法者和学术界还存在许多不尽相同甚至完全不同的看法,这种现象在一定程度上导致了我们的电子商务立法难以推进或缺乏统一的原则。

我们认为,对于电子商务相关法律问题这一类新兴的、跨学科的、动态的法律问题,在认识与研究上,在解决办法和方式上存在较大差异都是非常正常的,但同时我们也必须看到,新经济的大好时机稍纵即逝,如果我们要完全等把所有的问题都研究透了,所有的意见都统一了再去立法,恐怕也就没有什么实际意义了。所以,相关的立法必须尽量跟上产业与市场的发展,为达到这一目的,及时的研究、深入的探讨、在一些原则问题上最大限度的共识和高效的行动都必不可少。也就是说,在电子商务立法上,如果大部分立法者和管理者就其中的关键原则问题没有基本的共识,电子商务立法将是无法进行的。而我们注意到,目前关于中国的电子商务立法,主要有着五种相对比较片面的说法,所以,我们希望通过下面对这五种说法的讨论,进一步澄清其中的相关问题,取得更多数人在电子商务立法上的共识,推进电子商务立法的进程。

  一、关于电子商务立法的时机不成熟说

首先,去年或更早的时候,我国电子商务的基本环境是,电子商务模式还不够成熟,人们对于其能否生存下去、能否盈利等都是一个未知数,而且很多商务模式还停留在概念的层次,对于其能否深入下去、能否与行业结合人们也都没有十分的把握,并且对电子商务的自身规律、范围、作用等也还没有完全了解,显然,在这样的环境下,电子商务立法的时机不成熟说还是十分准确和必要的。但我国的电子商务发展到了今天,网民数字已不断翻番,各个行业与电子商务的结合也达到相当的程度,电子商务企业的运作模式、经营模式和资本运作模式都已相当成熟,经不起风浪考验的电子商务企业也差不多倒掉了,能坚持下来的,在资金和商业模式一般都有自己存在空间和一定的优势。各管理部门在认识和掌握电子商务上都取得了极大的进步,并且也积累了相当的经验。因此,这个时候,再守着时机不成熟说就显得有点过时。

其次,人们习惯于把电子商务立法与普通立法的过程相比,例如立一部《婚姻法》、《合同法》等都需要最少三、五年以上的时间去调研、反馈、研讨,这种立法的程序对于民法中这些相对比较稳定的法律关系的调整,是十分必要的。但是对于电子商务来说,是否非要完全按这一程序和周期来进行,我们认为,值得探讨。因为电子商务的调解对象和合同法、婚姻法的调整对象有很大的不同,它的内容、法律关系之间的变化和发展、发展的周期等,都和传统的法律关系存在比较大的差别。所以我们在议论或操作电子商务立法的时候,不能完全依照已有的模式,必须用变革的思维方式和崭新的眼光去看待、解决这个问题。或者说,需要从另一个角度看待电子商务立法。

例如联合国贸易法委员会于1996年制定的《电子商务示范法》可以说是电子商务领域最早的、最广泛的立法,而该《示范法》出台时,其结构与一般的法律或条约有着很大的不同,就是因为制定者在制定的过程中,充分考虑到了电子商务发展的特点,采用了独特的体例结构。比如,《示范法》分为总则和分则两部分,在总则里,对电子签名、电子合同的形式及效力都做了具体的认定和规定,而在分则里,只有一章的内容,是关于货物运输的,而且条款也很少,只有寥寥几条,感觉是象没有写完。但就是这样一部法律文件,及时地为各国电子商务立法奠定了基础,确立了基本的原则。如果没有这个蓝本,恐怕以后各国的电子商务立法都很难开展,或者会因在相关原则问题上出入太大而使电子商务难以发展,也就很难产生98年后电子商务空前繁荣的局面。其中我们需要借鉴的是,联合国贸易法委员会当初在制定这部法律的时候,并没有受到已有立法模式框架的约束,也没有过分强调时机的不成熟,而是采取了针对不同的调整对象使用不同的立法方式和法律框架的做法,这种做法充分考虑了电子商务的特殊性,基本是和电子商务本身的特点相适应的。

所以,我们不妨可以尝试先出台一部分法律,然后再不断的完善的做法。比如,如果说我国的电子商务立法需要十章的内容,而可能我们现在只能写好其中的两章,像电子签名什么的,就可以先出台这部分内容。因为即使我们将十章的内容全部考虑清楚了,也会因为电子商务涵盖的内容非常广泛,而且不断发展等原因致使在我们出台的时候,可能真正的内容已经需要有十五章了。也就是说,这样的矛盾在这样的领域可能是始终存在的,不是靠等待能够解决的。

  二、关于电子商务立法的市场自身调节说

大部分人认为电子商务是自下而上产生的,市场化程度要求很高,许多规则都是由企业和消费者自己制定和执行的,在这种情况下,政府的干预和法律的干预就显得没有必要,甚至只能为电子商务带来枷锁和负担,影响电子商务的发展。这也就是电子商务立法的市场自身调节说产生的基础。然而,仅仅靠市场自身调节就可以了吗?我们也承认电子商务确实是一种市场化程度很高的事物,有一些规律是自下而上产生的,逐步上升到法律的层次,不能完全靠国家强制力贯彻。但是,首先,市场毕竟不可能完全实现自身调节,就像市场经济同样少不了政府的调节作用一样,同样,电子商务在许多方面也必须需要政府的参与。如果政府的管制能够在出发点、力度、方式等方面把握好,处理好一些关系,并在方式上能够做到确实与电子商务的实际需求相结合,同时做到管理的透明、高效、一致的话,我们认为就不仅不应该为电子商务的发展带来障碍,反而会有相当的促进和协调作用。

其次,结合我国目前的实际状况,尚存市场经济体制不完善、政企未分开、市场信用制度没有建立、网络法制建设刚起步、市场经济条件下政府的管理还没有完全理顺等诸多弊病,所以,在目前及相当一段时间内,政府的管理和干预恐怕还是必不可少的。第三,人们在谈到对于电子商务的政府管理时,总爱谈到美国政府尽量不管的成功例子,但我们认为,在这方面,还得综合对待,美国的“不管”是以其相应的行业自律机制、信用机制、判例法和完善的两级立法体系、产品邮购的发达程度以及启发、自主式教育等为基础的,与我国的情况差距甚远,还有,美国的“不管”是以只要想管就能一管到底的发达的管理机制为基础的,其中的功底,不是我们简单模仿“不管”就能学得到的。

那么,究竟哪些方面需要政府的参与或是市场自身所无法调节达的呢?我们认为,至少包括,其一,市场发展的基本规则和法律上的认可与衔接需要政府做工作。目前,反映在电子商务立法上,就是急需解决的三大问题:数字签名的效力、CA认证机构的效力及运作的法律许可、电子支付及电子支付相关的法律体系的建立,这三个方面可以说是组成了电子商务发展的基本规则,并且也是市场自身所无法调节的。关于这一点,我们可以从已经出台的各国的电子商务法律中看到,无论是美国、日本等的《数字签名法》、《电子商务法》,还是香港特区的《电子交易条例》,其主要内容都是围绕这几个方面的。

可以说,这些是电子商务立法最重要的环节。数字签名有没有效力、在法律上能不能得到认可,一个企业或组织是永远无法得出结论的。只有通过法律的形式,对它们进行认可,同时和已有的法律相衔接,才能使数字签名具备真正的效力,使电子商务发展的根基得到保证。其二,市场本身是由生产者、销售者和消费者等各个方面组成的,而政府立法的另一个目的就是要保护弱势群体的利益,这种保护也是市场本身所无法实现的。因为市场和企业追求的是效率,对公平是很难兼顾的,实现公平的责任就需要由政府来承担。而通过立法或行政管理,需要达到的目的就是实现市场交易的公平和市场环境的公正,具体到电子商务领域,目前急需保护的就是电子商务中的消费者权益及隐私权。只有弱势群体的权益得到了保护,电子商务才可以均衡和持续地发展。

  三、关于电子商务立法的已有法律涵盖说

对于已有法律涵盖说,是一些人认为,现有的《民法通则》、知识产权法律、《公司法》《合同法》等在不做修改或略做修改之后就可以完全满足电子商务的需要,没有必要大张旗鼓地探讨电子商务立法。关于这种说法,我们认为,一方面,有些法律确实已经涵盖了电子商务的一些问题,如果对所有的有关电子商务的法律都要重新立法,显然是不必要和不经济的,甚至会对已有的法律体系造成破坏,负面效应会很大。而另一方面。我们也必须承认,现有法律毕竟没有涵盖所有的电子商务法律问题,电子商务是一种新型的商务模式,无论是在交易方式、经营方式、交易参与者等一系列环节,还是在支付、配送、合同的签定等方面都和传统的商务有很大的不同,而这种不同迟早会反映到对法律的要求上。既然我们认为电子商务是新经济,那么就必然有它新的地方,就应该反映到法律层面上。尤其是在法律关系的主体、客体和内容都发生了变化的情况下,就有重新立法的必要。比如,象我们上面提到的数字签名的效力及CA认证机构的法律认可等,都是无法通过简单的对现有法律的修改达到目的的。

还有,网络上产生的一些新的权利义务关系,和现有法律范畴不完全不同,如域名问题等,也有必要通过专门的法律来调整。域名应该属于无形资产的概念,但还不能完全归于知识产权的范围,它和商标不完全相同,和企业名称也不完全相同,域名的形式、权利的取得、争议的方面等,都存在着和商标权等知识产权不同的地方,很难通过修改现有法律涵盖。到去年年底,我国在.cn下注册的域名已经有12万个,还有很多.com的一级域名以及一些新的域名体系。但目前我国已有的域名管理规定还没有上升到法律法规的层次上,虽然在域名的调整和规范方面起到了一定作用,但与法律相比,效力要低一个层次,因此在域名的使用或纠纷的裁判程中,就产生了很多具体的问题。还有,在谈到对这一说法的看法时,我们认为,有一点十分关键,那就是我们对电子商务的未来究竟持何种态度的问题。因为如果电子商务确实好景不长,它就不会对现实社会带来多大的改变。当然,这个问题比较大,这里我们只想简单说几句。

我们相信电子商务的前途无量,是因为,第一,电子商务与互联网带来史无前列的人类的大沟通与大合作,必将极大地优化资源配置,产生合力(LINUX就是合力的产物之一);第二,电子商务的真正伟大在于它建立了传统的生产、经营、销售与信息技术之间的桥梁,几十年来,虽然信息技术一枝独秀,得到了长足的进步,但一直没有很好地融入的企业的生产、经营、销售,而电子商务正是一个非常好的契机与开始,这种结合,必将大有作为;第三,现在地球上有300多万个数字转换器,五亿多部个人电脑,每13人就有一部个人电脑,互联网从中国遍布到巴西等地,这些巨大的资源如果产生出联合的力量,恐怕是任何人都不应低估的。

  四、关于电子商务立法的地方立法说

在电子商务立法的初期,地方立法先行的做法可以尝试,但这种方式的周期不能过长,不能与国家立法间隔太久,地方立法和部门立法也不能取代国家立法,否则只会带来混乱。目前我们的问题就是地方立法与国家立法之间的间隔时间太长,造成了在我国电子商务的发展的过程中比较严重的条块分割、部门利益等诸多问题,对电子商务的发展十分不利。电子商务本身的特点就是跨地域、跨行业、甚至跨国界的商务模式,具有广泛性、灵活性、即时性的特点,如果将它圈定在一个地域、或行业里发展,电子商务的优势就会荡然无存或无法发挥。而这些问题只能靠电子商务立法来解决。目前这些问题一定程度地存在于CA认证机构的交叉认证问题,各行业电子商务企业的登记许可问题等领域。

  五、关于电子商务立法的技术万能说

我们始终认为,技术和法律是两个层次,技术只能解决技术范畴的问题,无法解决法律范围内的问题。以电子签名为例,技术如果百分之百地完善,只能保证电子签名的可靠性和真实性等,而根据目前的法律对签名的具体要求,其在法律上的效力仍然不会得到任何改变。只有修改法律条款,才能使其具有法律效力,技术改不了法律规定。另外,还有人认为,电子商务是技术范畴的事情,法律再完善,也不能保证网络的安全,还得靠技术解决问题。但我们不禁要反问,技术真的解决了网络安全的问题了吗?全球87%的电子邮件病毒感染率、90%以上的网站受袭击比例、近六万种不同类型的病毒以及诸如“库尔尼科娃”、“后库尔尼科娃”、“裸妻”、“红娘”、“跟耶酥瞎侃”、“欢乐时光”等等让人眼花缭乱不断出现并且似乎永不休止的新病毒等所有这一切事实还会让我们再一次天真地相信技术手段可以解决网络安全问题吗?

不正是单纯依靠技术解决的误区是我们已经陷入病毒丛生,黑客纵横,要网络就不能安全,要安全就不能要网络的窘境,陷入人类不断地与自己作战,不断以更新的技术毁灭更大的成绩、再在更大的进步中生产更强的毁灭技术的恶性循环之中了吗?而网络经济与电子商务安全可靠的真正出路还是在于技术措施、法律威慑与加强管理三种办法的综合治理,其中,尤其要加强法制和管理的作用。与以上“五说”相反的观点,就基本构成了我们对电子商务立法的认识,希望这种认识能得到更多人的认同,以此为我国的电子商务立法和电子商务的发展贡献我们的一份力量

分类
知识中心

数字证书包含哪些信息?

数字证书就是网络通讯中标志通讯各方身份信息的一系列数据,其作用类似于现实生活中的身份证。它是由一个权威机构发行的,人们可以在交往中用它来识别对方的身份。

 

最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间,发证机关(证书授权中心)的名称,该证书的序列号等信息,证书的格式遵循ITUT X.509国际标准。

 

一个标准的X.509数字证书包含以下一些内容:

 

●  证书的版本信息;

●  证书的序列号,每个证书都有一个唯一的证书序列号;

●  证书所使用的签名算法;

●  证书的发行机构名称,命名规则一般采用X.500格式;

●  证书的有效期,现在通用的证书一般采用UTC时间格式,它的计时范围为1950-2049;

●  证书所有人的名称,命名规则一般采用X.500格式;

●  证书所有人的公开密钥;

●  证书发行者对证书的签名。

 

使用数字证书,通过运用对称和非对称密码体制等密码技术建立起一套严密的身份认证系统,从而保证:信息除发送方和接收方外不被其它人窃取;信息在传输过程中不被篡改;发送方能够通过数字证书来确认接收方的身份;发送方对于自己的信息不能抵赖。

 

更多数字证书知识请查看:http://www.ert7.com/trustnet/index.html