ประกอบด้วยองค์ประกอบหลัก 2 ประการ
คือ
1. ใบรับรองดิจิตอล (Digital certificate)
มีลักษณะเปรียบเสมือนบัตรประชาชนดิจิตอล
ใช้บ่งบอกรายละเอียดของตัวเรา ว่าเป็นบุคคลที่มีสิทธิ
มีตัวตนจริง ๆ ในระบบ e - commerce
เป็นข้อมูลเฉพาะของตัวเราในการเข้ารหัส
2.
ระบบการจัดการเรื่องความปลอดภัยของการ online
payment เพื่อให้เกิดความปลอดภัย ต่อ e - commerce web
sites และเกิดการยอมรับโดยอัตโนมัติ
องค์ประกอบ 2 ประการข้างต้น
จำเป็นต้องมีวิธีการและเทคโนโลยี
เพื่อเป็นโครงสร้างพื้นฐาน
สำหรับความปลอดภัยของธุรกิจบนอินเตอร์เนต
ดังรายละเอียดดังนี้
| 1.
การเข้ารหัสแบบสมมาตร (Symmetic Encryption
Techniques) |
เป็นวิธีการเพื่อความปลอดภัย
ของการส่งข่าวสารบนเครือข่ายสาธารณะ
โดยตั้งอยู่บนแนวคิดของการใช้ "ความลับร่วมกัน" (shared
secret) ในระบบ ผู้รับและผู้ส่ง
ต้องติดต่อโดยยึดถือความปลอดภัยเป็นอันดับแรก
โดยใช้รหัสหรือกุญแจรหัสลับร่วมกันสำหรับการเข้ารหัสและถอดรหัส
ดังรูป
รูปแบบสมมาตรมีอุปสรรคหลายประการ เช่น
การแลกเปลี่ยนกุญแจรหัสลับ
ไม่สามารถใช้ได้ในเครือข่ายใหญ่
เพราะการใช้ร่วมกันของกุญแจลับ
ต้องให้ผู้ส่งและผู้รับมีความเชื่อมั่นไว้วางใจกัน
รวมทั้งความคุ้นเคยสนิทสนม
การติดต่อกันต้องกระทำอย่างปลอดภัยและเป็นความลับร่วมกัน
ช่องทางการติดต่อต้องการความลับและความปลอดภัยสูง
ในปัจจุบัน ระบบภายใต้ Web ประกอบด้วย
ผู้มีส่วนร่วมผู้เกี่ยวข้องจำนวนมาก
ระบบแบบสมมาตรจึงไม่สามารถกระทำได้ ดังนั้น
ปัญหาด้านข้อตกลงเกี่ยวกับรหัสและช่องทางของรหัส
เป็นปัญหาใหญ่ของระบบนี้
ถึงกระนั้นระบบแบบสมมาตรก็มีความสำคัญใน SSL Protocol
ซึ่งใช้ร่วมกับการเข้ารหัสสาธารณะแบบอสมมาตร
| 2. ระบบกุญแจรหัสสาธารณะหรือ
อสมมาตร (Public key or Asymmetric cryptography
systems) |
ได้ปรับปรุงให้ดีกว่าแบบสมมาตร
โดยการอนุญาตให้ผู้ใช้ทั้งสองสามารถแลกเปลี่ยนข้อมูลส่วนตัวถึงแม้ว่าจะมีผู้อื่นแทรกเข้ามา
โดยไม่จำเป็นต้องใช้วิธีการของความลับร่วมกัน (Shared
Secret) ระบบนี้ถูกเรียกว่า อสมมาตร เพราะใช้หลักของ
คู่กุญแจรหัสที่เหมือนกัน ไม่ใช่ สัญญาณความลับร่วมกัน
โดยแยกเป็น 2 กุญแจย่อย คือ
กุญแจรหัสส่วนตัวและสาธารณะ
โดยสรุป ระบบอสมมาตรจะใช้ 1 คู่ กุญแจ
โดยกุญแจส่วนตัวเป็นส่วนของความลับ และกุญแจสาธารณะ
เป็นส่วนของสาธารณะ ข้อมูลที่เข้ารหัส
ต้องการกุญแจสาธารณะ และ การถอดรหัสต้องใช้กุญแจส่วนตัว
ความซับซ้อนในการจัดการเกี่ยวกับปัญหาของกุญแจรหัส
อันนี้ ทำให้ไม่ต้องมีการใช้
วิธีการแลกเปลี่ยนรหัสลับ
การเข้ารหัส แบบอสมมาตรโดยใช้ กุญแจสองดอก
สามารถแสดงได้ดังรูป
| 3.
แบบลูกผสม (Hybrid Approach)
|
เป็นการรวมแบบสมมาตรและอสมมาตรหรือกุญแจสาธารณะเข้าด้วยกัน
โดยแบบกุญแจสาธารณะ มีคุณสมบัติด้านการคำนวน
(computation - intensive )
ขณะที่แบบสมมาตรมีความรวดเร็วกว่าในการเข้ารหัสข้อมูลจำนวนมากๆ
ในระบบปัจุบันได้ใช้กุญแจสาธารณะในการแก้ไขปัญหาของ key
distribution และแบบสมมาตรใช้ในการเข้ารหัสข้อมูลที่มาก
ๆ
ในปัจจุบัน SSL โปรโตคอล
ใช้สำหรับเรื่องความปลอดภัยของ Web transaction
รวมทั้งเรื่องความปลอดภัยของ e - mail เช่น S / MIME ของ
Netscape Communication และ Microsoft Internet
Explorer
| 4. ปัญหาด้านการจัดการกุญแจรหัส
(The Key management
Problem) |
ภายใต้ระบบต่าง
ๆ
ที่กล่าวมามีปัญหาคำถามในการปฎิบัติเกี่ยวกับเรื่องความเป็นส่วนตัว
ความปลอดภัย ความเชื่อมั่น โดยหลักแล้วเทคนิคด้านอสมมาตร
และสมมาตร มีความพอเพียงในการแก้ไขปัญหาอันนี้
ตามคุณสมบัติที่ได้กล่าวถึงข้างต้น เช่น Web browsers
ใช้กุญแจสาธารณะของ Web site เพื่อที่จะส่งหมายเลข credit
card ไปยัง Web site
ในลักษณะคล้ายกันก็สามารถใช้ป้องกันการเข้ามายังไฟล์และข้อมูลโดยการใช้กุญแจส่วนตัวในการเข้ารหัสข้อมูลก่อนจะเซฟ
อย่างไรก็ตามในทางปฏิบัติ ปัญหาเหล่านี้ต้องการ
การรับรองกุญแจสาธารณะเพื่อความถูกต้อง
โดยปราศจากบุคคลที่สามเข้ามาแทรกแซง ซึ่งจะมีคำถามว่า
"จะแน่ใจได้อย่างไรว่า
กุญแจสาธารณะซึ่งใช้ในการส่งข้อมูลเครดิตการ์ด ถูกต้อง
ไม่ใช่ของปลอม"
"ในการติดต่อโดยใช้กุญแจสาธารณะ
อีกฝ่ายจะมั่นใจได้อย่างไร ที่จะส่งข่าวสารกลับมา"
ซึ่งปัญหาเหล่านี้ จะนำเอาความปลอดภัยเข้าร่วม
โดยใช้ระบบคีย์สาธารณะหรือ อสมมาตร
สำหรับความปลอดภัยในการติดต่อสื่อสาร
โดยจะเกี่ยวข้องกับลายมือชื่ออิเลคทรอนิคส์ (Digital
-signature) , ใบรับรองดิจิตอล (X509 digital
certificates) รวมถึง SSL Certificates
ซึ่งจะมีบทบาทอย่างมากในระบบความเชื่อมั่นของการค้าอิเลคทรอนิคส์
(e - commerce )
| 5. ลายมือชื่ออิเลคทรอนิคส์ (
Digital Signature ) |
โดยใช้วิธีการนำข้อมูลมาผสมปนเปร่วมกับการเข้ารหัสแบบคีย์สาธารณะ
(Data -hashing และ public key based encryption)
โดยส่วนใหญ่หน้าที่ของ " Hash " คล้าย ๆ กับการเข้ารหัส
(encryption) ตามความจริงหน้าที่ของ "Hash"
เป็นหน้าที่ของการเข้ารหัสที่ปรับปรุงแล้วเล็กน้อย
ในทางปฎิบัติส่วนใหญ่จะรวมข้อมูลเป็นบล็อก ๆ ที่ขณะหนึ่ง
และใช้วิธีการทาง อัลกอลิทึม ในการดัดแปลง (Scrambling
Algorithm) ถ้าวิธีการนี้ถูกทำแบบซ้ำ ๆ
ในการปฏิบัติก็จะไม่สามารถทำนาย ผลลัพธ์ได้ โดยใช้ Massage
Digest 5 (MD5) หรือ Secure Hash Algorithm (SHA)
ในการทำการย่อยข้อมูลที่ได้มา โดยแสดงได้ดังรูป
จากรูป ข่าวสารเริ่มต้นผ่านขบวนการย่อยโดยใช้
"Hashing Algorithm" ซึ่งจะได้เป็นข่าวสารที่ย่อยแล้ว
(Message digest) โดยปกติมีลักษณะเป็นเลขฐาน 16 (
และจะถูกแปลงโดยซอฟท์แวร์อีกครั้ง ให้อยู่ในรูปของเลขฐาน
2) และหลังจากนั้น ผู้ส่งจะใช้กุญแจรหัสส่วนตัว
ในการเข้ารหัสข้อมูลที่ย่อยแล้ว (Message
digest)
ในตอนนี้ข่าวสารเริ่มต้นรวมกับข้อมูลย่อยแล้วที่เข้ารหัส
เรียกว่า "Digitally Signed Message"
ซึ่งเหมาะสมในการส่งไปยังผู้รับ
ด้านผู้รับจะทำการตรวจสอบโดยใช้ขบวนการย้อนกลับ
โดยข้อมูลที่เข้ารหัสจะถูกถอดรหัสโดยใช้กุญแจสาธารณะของผู้ส่ง
ส่วนข่าวสารเริ่มต้นก็จะผ่านขบวนการ "Hashing Algorithm"
เมื่อเปรียบเริ่มต้นแล้วถ้าสองค่ามีค่าเท่ากัน
ก็จะแสดงว่า การพิสูจน์ของข้อมูลถูกต้อง
ตามรูป
จาก
2 ขบวนการข้างต้นจะเห็นว่า
ความจริงแล้วข่าวสารไม่ถูกเข้ารหัส แต่ "Digital
Signature" เท่านั้นที่ถูกเข้ารหัส
และถ้ามีคนเข้ามาเปลี่ยนแปลงข้อมูลในช่วงที่ทำการตรวจสอบข้อมูลที่ย่อยแล้วก็จะไม่เท่ากัน
แสดงว่า Digital Signature ผิดพลาด ในทางคล้าย ๆ กัน
การสร้างลายเซ็นปลอม
ก็จะไม่สามารถทำได้เนื่องจากผู้ที่เข้ามาแทรกแซงจะไม่มีกุญแจรหัสส่วนตัว
| 6. ใบรับรองดิจิตอล (Digital
certificate) |
เป็นไฟล์อิเล็กทรอนิกส์
ใช้ในการบ่งบอกรายละเอียดของตัวเรา และ Web site
บนอินเตอร์เนต
ซึ่งสามารถทำให้การติดต่อสื่อสารปลอดภัยและน่าเชื่อถือ
โดยประกอบด้วยรายละเอียด ต่าง ๆ เช่น
1.
ชื่อ ที่อยู่ ของผู้ถือใบรับรอง
2. ชื่อของบริษัท
/ เลขหมาย ของผู้ที่ออกใบรับรอง
3.
คีย์สาธารณะ
4. วันหมดอายุของใบรับรอง
5. ระดับชั้นของใบรับรอง
6. เลขที่ของใบรับรอง
โดยปกติผู้ออกใบรับรอง (signer) จะเป็น "Third
Party" หรือ "Certificate Authority" (CA) เช่น VeriSign
ซึ่งจะมีลักษณะเป็นองค์กรกลาง ปฏิบัติตามกฎ
ทำหน้าที่ในการจัดการ
เพื่อให้เกิดความปลอดภัยและความเชื่อมั่น
ใบรับรองดิจิตอลมีลักษณะเหมือนกับดิจิตอลพาสปอร์ต
(Digital Passport or credential) ถ้าทุก ๆ
ส่วนมีความเชื่อมั่นใน CA ก็สามารถเชื่อมั่นได้ว่า
คีย์สาธารณะที่ปรากฎในใบรับรองนั้นถูกต้องเชื่อถือได้
ในการขอใบรับรองดิจิตอล
ผู้ขอจะต้องเสียค่าธรรมเนียมให้แก่ผู้ออกใบรับรอง
เพื่อเป็นค่าใช้จ่ายในการตรวจสอบข้อมูล
ค่าธรรมเนียมนี้จะขึ้นอยู่กับระดับชั้นของใบรับรอง
ระดับชั้นยิ่งสูงก็ยิ่งแพง ระดับชั้นของใบรับรอง
จะเป็นการบ่งบอกความน่าเชื่อถือของผู้ถือใบรับรอง
เพราะถ้าระดับชั้นยิ่งสูงการตรวจสอบข้อมูลก็จะละเอียดมากขึ้น
ในขณะเดียวกันบริษัทผู้ออกใบรับรอง
ยังจะต้องมีหน้าที่ดูแลใบรับรองที่ออกไปแล้วด้วย | 
