郎帆+林益臣+趙英男+馮駱銀+譚玲

摘要：在電子商務蓬勃發(fā)展的今天，網(wǎng)購已成為人們必不可少的購物方式之一。然而用戶往往無法準確及時地驗證網(wǎng)購產(chǎn)品的真實性。雖然在當前主流的網(wǎng)購電商平臺上，平臺管理者將涉嫌侵權(quán)的仿制商品交由品牌商和專業(yè)第三方機構(gòu)鑒定，一旦確證為假貨會對相應賣家做出嚴厲處罰。但這種處理假貨方式只針對小范圍的購買者，知名電商并不銷售假冒產(chǎn)品，而平臺對于這些商家的監(jiān)管和資質(zhì)的審核又沒有嚴格把關(guān)，這是造成假貨問題重要原因。

電子商務中商品真實性驗證系統(tǒng)，該系統(tǒng)主要包括電商平臺部分、商戶部分、用戶部分。系統(tǒng)利用Google提供的Zxing API技術(shù)實現(xiàn)了二維碼的生成和解碼功能。利用雙線性配對運算實現(xiàn)了基于雙線性對的簽名機制，利用Java Swing庫制作PC端界面，在Android端實現(xiàn)對商品條形碼與二維碼的掃描與驗證功能。

關(guān)鍵詞：二維碼；電子商務；網(wǎng)購；數(shù)字簽名；CBS；BLS

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2016）12-0293-05

1 作品概述

電子商務是指以信息網(wǎng)絡技術(shù)為手段，以商品交換為中心的商務活動，其主要包括電商平臺，用戶及第三方商戶。而其中商品真實性和其與商家的關(guān)聯(lián)性往往難以驗證。本項目分析上述問題后使用當前熱門的二維碼技術(shù)以及基于雙線性對的簽名技術(shù)對商品的真實性進行保證。二維碼是以某幾種特定的幾何圖形按一定規(guī)律在平面上分布的黑白相間的圖形來記錄數(shù)據(jù)符號信息的技術(shù)，容量大，密度高，編碼能力強。本項目將二維碼作為信息載體，使用基于身份的數(shù)字簽名機制對商家身份進行驗證，使用基于雙線性對的短簽名機制對商品真實性進行驗證，在一定程度上確保電子商務交易過程的安全性，具有廣闊的應用前景。

1.1 背景分析

1.1.1 開發(fā)背景

近年來，隨著網(wǎng)絡技術(shù)的蓬勃發(fā)展和移動終端的廣泛普及，電子商務作為一種全新的商業(yè)銷售渠道，正在以爆發(fā)式的規(guī)模擴大。然而隨著電子商務的快速發(fā)展，電商平臺競爭激烈，受到競爭壓力的影響和經(jīng)歷利益的驅(qū)動，第三方在電商平臺售假現(xiàn)象出現(xiàn)并愈演愈烈。

2015年3·15消費者權(quán)益日前夕，廣東質(zhì)監(jiān)召開新聞發(fā)布會并公布了廣東首個網(wǎng)購產(chǎn)品抽檢報告。廣東質(zhì)監(jiān)部門針對天貓、京東、蘇寧、亞馬遜和唯品會等5家電商平臺產(chǎn)品抽檢。結(jié)果顯示，五家電商被發(fā)現(xiàn)兩家售假，箱包皮具、服裝合格率僅50%。在共156批次網(wǎng)購產(chǎn)品中，47批次不合格產(chǎn)品被曝光，均為可查廠名廠址的品牌產(chǎn)品，同時還包括假冒產(chǎn)品3批次。而四類產(chǎn)品抽檢不合格率較高，包括玩具（60%）、箱包皮具（50%）、服裝（46.7%）、家庭紡織品（46.2 %）。且售假方多為通過電商平臺銷售商品的第三方小商家。

與傳統(tǒng)銷售不同，隨著各大電商平臺紛紛擴大銷售規(guī)模，不斷向外吸收第三方商戶，商戶入駐往往不需要嚴格的認證，商家信息難以得到有效監(jiān)管，為銷售虛假商品提供便利。同時隨著物流系統(tǒng)的高速發(fā)展，商品交易量日益加大，商品質(zhì)量監(jiān)管也變得越來越復雜。由此電子商務中商品監(jiān)管面臨以下幾大問題：

1）商家身份的可信性得不到有效驗證；

2）消費者缺乏一種安全高效的機制驗證所購商品的真實性；

3）消費者缺乏有效的渠道及時反映商家售假情況。

而隨著電子商務規(guī)模的不斷擴大，競爭日益強烈，各大平臺為了謀求更大的市場占有率，紛紛推出了各自的移動版客戶端，使得電子商務正在從PC端不斷向移動端滲透轉(zhuǎn)移。因此，構(gòu)建一套能夠在移動客戶端運行的高效的商品可信性認證系統(tǒng)迫在眉睫。

針對上述需求，設計了一個基于可信二維碼的商品真實性驗證系統(tǒng)。在電商平臺、商家及用戶三方之間設計并實現(xiàn)了一個基于簽名證書的二維碼原型系統(tǒng)，用戶收到商品后通過掃描二維碼對商品真實性進行驗證，其中證書簽名機制保障了用戶通過移動終端掃描的二維碼是經(jīng)由電商平臺認證發(fā)布的可信二維碼，且一旦買家發(fā)出的貨物與預先認證信息不符，客戶端將自動向平臺進行反饋。如此一來，售假的第三方商戶將難以隱匿，消費者的維權(quán)與認證將變得快速有效。

1.2 作品意義與應用前景

1.2.1 作品意義

在電子商務領域中，第三方商家在電商平臺上的售假問題一直是一個困擾電商和消費者的棘手問題，針對消費者買到假貨次品后認證難、反饋難、維權(quán)難，第三方商家售出的商品監(jiān)管難、追蹤難、問責難的亂象，整個行業(yè)都急需要一種簡潔有效的解決方案。其商品監(jiān)管主要面臨以下問題：商家身份的可信性的得不到有效證明、消費者缺乏一種安全高效的機制驗證所購買到的商品的真實性、消費者缺乏高效的渠道及時反映商家售假的情況。

此系統(tǒng)在在電商平臺、商家、用戶三方之間構(gòu)建了一個基于簽名證書的二維碼原型系統(tǒng)。其主要解決了以下幾大問題：

1）利用二維碼技術(shù)使得用戶可以在收到商品的同時利用移動客戶端對商品進行掃描驗證，不但能驗證商品的真實性還能驗證商家的可信性。解決了消費者驗證商品真實性的高效性與及時性問題；

2）將CBS簽名技術(shù)，BLS簽名技術(shù)應用到了真實的電商環(huán)境，不但使消費者能夠確保商品二維碼的真實性，亦保證了用戶得到的商家可信息（即商戶經(jīng)監(jiān)管平臺的驗證信息）可信性。解決了商家可信性與商品真實性驗證問題；

3）系統(tǒng)亦提供用戶反饋功能，一旦買家發(fā)出的貨物與預先認證信息不符，客戶端將自動向平臺進行反饋，線下監(jiān)管平臺將進行追責。解決了消費者缺乏有效的商家售假反饋以及追責問題渠道。

綜上所述，這一種安全高效的機制驗證所購商品的真實性，同時能夠證實商家的可靠性，另外融合了線上反饋與線下追責機制，給用戶提供高效的反映商家售假的渠道并進行追責。一定程度解決了電子商務現(xiàn)今面臨的商品監(jiān)管難題。

1.2.2 應用前景

二維碼作為一種全新的自動識別和信息載體技術(shù)，其經(jīng)濟性和可靠性正被越來越多的移動用戶所了解和認知，而同時手機無疑已經(jīng)成為移動商務賴以發(fā)展的最重要的終端之一，因此手機二維碼的發(fā)展必將在移動商務的發(fā)展中扮演重要角色。本系統(tǒng)對移動終端與二維碼技術(shù)做出了緊密結(jié)合，為本系統(tǒng)提供了良好的可移植性（可跨平臺）、可拓展性與便利性。

另外，本文所提出系統(tǒng)將基于身份的數(shù)字簽名思想與二維碼編碼技術(shù)結(jié)合，利用二維碼所載信息在虛擬網(wǎng)絡空間或其他物理空間傳輸時不易被竊取的特性，結(jié)合CBS簽名技術(shù)和BLS簽名技術(shù)保證了二維碼及其所含信息的真實有效性。使得用戶驗證行為的整個過程安全高效便利。

本系統(tǒng)整合的線上反饋線下追責機制極大程度上方便了商品信息的管理，這種高效溝通機制與完備的產(chǎn)業(yè)鏈信息儲備機制，省去了傳統(tǒng)反饋追責作業(yè)鏈的冗余步驟，對追責行為提供了良好的可追蹤性與易操作性，有利于保護消費者和商家的合法權(quán)益，維護市場經(jīng)濟的秩序和健康發(fā)展。

而本作品在其他電子產(chǎn)品領域亦有強大的擴展空間。如打擊電子出版物盜版行為，可為其提供正版驗證與盜版源頭追蹤服務，有利于保護知識產(chǎn)權(quán)。另一方面，現(xiàn)今互聯(lián)網(wǎng)用戶面臨的假冒、釣魚網(wǎng)站威脅也可以利用本作品得到解決，用戶可以通過本作品提供的服務對網(wǎng)站真實性進行驗證，避免財產(chǎn)與精神上的損失。

最后，隨著移動終端的迅速發(fā)展，非移動終端已露頹勢，如何使用移動終端代替非移動終端并安全地實現(xiàn)高效簡便的驗證功能必將成為熱點問題。本作品將二維碼在移動終端應用上的簡便性與信息安全領域技術(shù)做了緊密結(jié)合，為解決移動終端功能的安全問題提供了一種能夠滿足簡便易用性功能需求的前瞻性思考，在未來的電子商務市場，必能夠得到良好的應用。

2 相關(guān)工作與技術(shù)

2.1 二維碼理論基礎

根據(jù)二維碼的空間圖形構(gòu)成，二維碼可以分為堆疊式二維條碼和矩陣式二維條碼。堆疊式二維條碼好比是“中國畫”，以線條來組合空間，形態(tài)上是由多行短截的一維條碼堆疊而成；而矩陣式二維條碼好比是“西洋畫”，以點素來組合空間，形態(tài)上以矩陣的形式組成，在矩陣相應元素位置上用點的出現(xiàn)表示二進制1，空的出現(xiàn)表示二進制0，由點的排列組合確定代碼表示的含義[1]

2.2 雙線性配對

雙線性對最早是用于密碼學分析中，即橢圓曲線上離散對數(shù)問題的規(guī)約，如Menezes，Okamato和Vanstone提出的利用Weil對的MOV約化[2]，F(xiàn)rey和Ruck提出的利用Tate對FR約化[7]，都是將橢圓曲線上的離散對數(shù)問題規(guī)約到相應的有限域上的離散對數(shù)問題，從而相對容易求解橢圓曲線上的離散對數(shù)問題。

雙線性對真正被用于基于身份的密碼系統(tǒng)是在Sakai等提出基于身份的密鑰交換和簽名[8]，Joux利用Weil對構(gòu)造三方密鑰協(xié)商協(xié)議[9]之后。這之后各種利用雙線性對的基于身份的加密，簽名方案被提出，對于大多數(shù)的應用，要么使用Weil對要么使用Tate對，然而在實踐中[3，4]，Tate對相對來說比Weil對更高效。所以本文的實現(xiàn)部分也是使用的Tate對。

2.2.1 雙線性對性質(zhì)

2.3 數(shù)字簽名技術(shù)簡介

在現(xiàn)實生活中，一般的合同或者書信等重要的文件都是要根據(jù)親筆簽名或者印章來證明其真實性的。一些護照、身份證、學位證等重要證件是通過權(quán)威的認證部門進行頒發(fā)的。在這個過程中，通常采用信息隱藏或特殊制作材料等防偽措施。而在當今信息化時代，急切需要一種能夠保證在網(wǎng)絡環(huán)境下傳輸信息的真實性，解決通訊雙方的爭端的技術(shù)，數(shù)字簽名技術(shù)就是參照現(xiàn)實生活中的簽名模擬而來的一種信息安全技術(shù)。數(shù)字簽名技術(shù)在網(wǎng)絡身份認證中有著不可替代的地位。

2.3.1 基于證書的簽名機制

雖然IB-PKC解決了證書管理問題，但是在IB-PKC中，用戶的私鑰是由一個可信第三方私鑰生成器（Private Key Generators，PKG）獨立生成的，所以PKG可以做用戶能做的任何事情，這就是基于身份公鑰密碼系統(tǒng)的密鑰托管問題。

基于證書的加密（Certificate-Based Encryption，CBE）[5]是有公鑰加密（Public Key Encryption，PKE）和基于身份加密（Identity-Based Cryptography，IBC）相結(jié)合產(chǎn)生的，結(jié)合了公鑰基礎設施（Public Key Infrastructure，PKI）和IBC的優(yōu)點。Kang[6]等人根據(jù)CBE加密思想給出一種基于證書的簽名方案，首先用戶根據(jù)CA公共參數(shù)生成自己的公私鑰對，然后向CA申請證書作為臨時簽名的一部分，利用這種方案消除了第三方密鑰托管和證書管理等復雜過程，同時在用戶和CA之間不需要安全通道來傳遞信息?；谧C書的簽名過程如下：

3 系統(tǒng)總體設計

需求分析部分主要是對之前已收集的資料進行分析，提取出系統(tǒng)的功能要點、開發(fā)對象以及系統(tǒng)的規(guī)模預測，并進一步選定系統(tǒng)的軟件環(huán)境，包括開發(fā)環(huán)境和運行環(huán)境。任何系統(tǒng)在開發(fā)之前都需先明確需求，只有開發(fā)出滿足當前需求的基于二維碼的商品真實性驗證系統(tǒng)，才能更好地實現(xiàn)對商品真實性的保證，達到最終設計目的。因此，首先應進行系統(tǒng)總體分析和設計。

3.1 系統(tǒng)模塊設計

通過對本系統(tǒng)的總體分析，進行用戶需求分析和功能設計。將通過系統(tǒng)宏觀目標、系統(tǒng)功能實現(xiàn)、系統(tǒng)可行性和實現(xiàn)性等方面進行論述。整個系統(tǒng)采用了功能模塊化設計，層次架構(gòu)簡潔高效。

根據(jù)對基于二維碼的商品真實性驗證系統(tǒng)需求分析，為了滿足用戶和整體的需求，經(jīng)過嚴謹?shù)脑O計分析，將基于二維碼的商品真實性驗證方案設計由商戶認證模塊、商品認證模塊、商戶登陸模塊、商品認證模塊、商戶證書保管模塊、二維碼生成模塊、條形碼掃描模塊組成。

商戶認證模塊：該模塊主要負責電商平臺生成自身的一些系統(tǒng)參數(shù)，并對商戶身份進行驗證后生成商戶身份證書。

商品認證模塊：該模塊主要負責將商戶發(fā)送給電商平臺的商品信息進行驗證，并對商品條形碼進行簽名，將商品簽名返還給商戶。

商戶登陸/注冊模塊：該模塊主要負責商戶向平臺提交自身信息，從平臺獲取商戶身份證書。

商品認證申請模塊：該模塊主要是商戶向平臺提交商品信息，向平臺申請商品簽名。

商戶證書保管模塊：該模塊主要是電商平臺保管商戶的身份證書。

二維碼生成模塊：該模塊主要負責對二維碼內(nèi)的信息進行簽名，并將簽名與碼內(nèi)信息融合生成二維碼。

條形碼掃描模塊：該模塊主要是根據(jù)Zxing庫提供的開發(fā)接口，調(diào)用手機的攝像頭權(quán)限，進行掃描解碼。

二維碼掃描/驗證模塊：該模塊主要負責將解碼出的數(shù)據(jù)進行驗證，若驗證通過則可證明商品的真實性。

以上功能模塊順利實現(xiàn)，便可滿足系統(tǒng)預期的功能需求。

3.1.1 系統(tǒng)業(yè)務設計

本項目針對購買者在網(wǎng)購過程中購買到假貨問題入手展開分析，采用現(xiàn)今較流行的二維碼與CBS簽名技術(shù)相結(jié)合的方式對平臺，商家與商品進行認證。電商平臺端實現(xiàn)商戶身份證書頒發(fā)，商品簽名等功能；商戶端實現(xiàn)商戶證書申請，商品簽名申請，二維碼生成等功能；用戶端實現(xiàn)商品條形碼掃描、二維碼掃描與驗證等功能。

1）商家向電商平臺申請商品證書，同時向平臺提交商戶身份標識。

2）電商平臺通過線下的方式驗證商戶身份，成功后將商戶身份證書返回給商戶。

3）商家向電商平臺申請商品證書，同時向平臺提交商品信息（包括商品條形碼等）。

4）電商平臺在可信商品驗證機構(gòu)的幫助下驗證商品條形碼是否合法，并返回驗證信息。

5）電商平臺對商品條形碼進行簽名，并將簽名返回給商戶。

6）商家使用商戶身份證書對商品條形碼、商家信息、平臺信息、商品條形碼簽名四項信息進行簽名，并生成包含此簽名的二維碼。

7）商戶打印二維碼并粘貼在商品包裝上，將商品寄送給用戶。

8）用戶通過手機客戶端掃描二維碼，商品條形碼進行驗證。

9）用戶將驗證結(jié)果反饋給電商平臺。

3.1.2 系統(tǒng)可行性分析

該系統(tǒng)的可行性分析主要包括以下幾個方面：

1）方案可行性：從方案可行性角度來看，根據(jù)之前對系統(tǒng)的需求分析和在CBS簽名認證模型中實體間身份認證的具體過程，并且該模型中涉及雙線性對運算已經(jīng)實現(xiàn)，同時二維碼具有較大容量，可容納簽名等附加信息。因此實現(xiàn)該基于模型的原型系統(tǒng)是可行的。

2）技術(shù)可行性：從技術(shù)可行性的角度來看，Zxing是一個開源的Java類庫，主要用來實現(xiàn)多種格式的1D/2D條碼圖像處理，其提供了多種平臺下的客戶端包括：J2ME、J2SE、IOS和Android，同時提供了多種格式碼制的編碼和解碼接口。開發(fā)者在使用Zxing編寫二維碼掃描軟件時，不需要了解具體的二維碼技術(shù)細節(jié)，只要調(diào)用現(xiàn)成的類即可。因此可以使用Zxing初步完成二維碼生成和讀取功能。

3）工具可行性：從使用工具角度來講，Eclipse是一款非常優(yōu)秀的集成開發(fā)環(huán)境，該平臺上支持眾多開發(fā)插件，使其與其他集成開發(fā)環(huán)境相比具有較強靈活性。Eclipse的插件機制是輕型軟件組件化架構(gòu)。在富客戶機平臺上，Eclipse使用插件來提供所有的附加功能，例如支持Java以外的編程語言。而本系統(tǒng)中的二維碼掃描部分就是在Eclipse中使用ADT（Android Development Tools）插件來進行android程序開發(fā)。

綜上所述，本系統(tǒng)的開發(fā)和實現(xiàn)是可行的。

3.2 動態(tài)行為模型

在編寫了各角色的用例及其用例說明后，下面對各個主要用例建立用例的動態(tài)行為模型，以詳細闡述用例的業(yè)務流程。主要有證書申請行為模型、簽名密鑰生成行為模型、二維碼生成行為模型以及二維碼驗證行為模型。

3.2.1 商戶認證行為模型

商戶認證是商戶根據(jù)自身需要，向電商平臺申請認證并獲得證書的過程。

1）電商平臺進行系統(tǒng)初始化，產(chǎn)生系統(tǒng)公開參數(shù)和自己的公私鑰對；

2）商戶調(diào)用公鑰生成算法通過自己的私鑰來生成公鑰；

3）商戶向電商平臺發(fā)起證書申請，申請時需要商戶的公鑰和身份信息；

4）電商平臺對商戶身份進行認證，之后為其生成證書；

5）通過線上或線下方式將證書傳給商戶；

6）商戶檢驗是否成功接收。

3.2.2 商品認證行為模型

商品認證是電商平臺根據(jù)商戶提交的商品信息對商品進行驗證并生成商品簽名的過程。

1）商戶向電商平臺申請商品認證，并向平臺提交商品標示；

2）電商平臺在可信商品驗證機構(gòu)的幫助下驗證商品標示信息；

3）可信商品驗證機構(gòu)向平臺返回商品信息驗證結(jié)果；

4）商品信息驗證通過后，電商平臺對商品條形碼進行簽名；

5）電商平臺向商戶返回商品簽名。

3.2.3 二維碼生成行為模型

二維碼生成是商戶通過簽名密鑰對商品信息、商戶信息等進行簽名后，將信息編碼生成二維碼圖片的過程。

1）商戶從電商平臺獲取商戶證書；

2）商戶從電商平臺獲取商品簽名；

3）商戶使用商戶證書對商品條形碼、商戶信息、平臺信息、商品簽名四項信息進行簽名；

4）商戶根據(jù)上述五項信息生成二維碼；

5）商戶將二維碼打印并發(fā)送給用戶。

3.2.4 二維碼驗證行為模型

二維碼驗證是用戶（即持有終端的消費者）對二維碼圖片與商品條形碼進行掃描后對碼內(nèi)簽名進行驗證的過程。

1）商戶所生成的二維碼發(fā)送給用戶；

2）用戶通過安裝有掃描可信二維碼的軟件對該二維碼與條形碼進行掃描；

3）通過Base64編碼進行解碼，讀取出碼內(nèi)各部分消息；

4）正確讀取出碼內(nèi)簽名等消息后，通過驗證函數(shù)對碼內(nèi)簽名正確性進行驗證操作；

5）驗證算法執(zhí)行完成后，對算法結(jié)果予以顯示。

4 結(jié)束語

本文深入研究了當今電子商務行業(yè)中的部分安全性問題，針對不同為題提出了具有針對性的解決辦法，并且設計與實現(xiàn)了基于二維碼的商品真實性驗證系統(tǒng)。

分析設計基于二維碼的商品真實性驗證整體框架，并對方案框架中的基本組成和實體構(gòu)成進行詳細的描述，并對實體電商平臺端、商戶端、用戶端的功能進行了詳細的分析與設計。接著對實體間的通信過程進行了分析，設計了通信中實體間每一步所完成的功能。利用雙線性配對運算實現(xiàn)了CBS簽名方案與BLS簽名方案中的簽名和驗證算法。

對基于二維碼的商品真實性驗證系統(tǒng)進行了設計與實現(xiàn)，包括實體功能設計和實體間的通信協(xié)議設計。原型系統(tǒng)包括電商平臺、商戶和用戶端三個實體，電商平臺負責驗證商戶身份于驗證商品真實性，商戶端負責二維碼的生成，用戶負責驗證二維碼內(nèi)CBS簽名與BLS簽名的有效性。

由于時間和精力問題，基于二維碼的電子商務系統(tǒng)還尚處于研究階段，系統(tǒng)中的很多功能還不是很完備，還存在很多的不足之處，在未來將進一步的進行研究，主要進行下面幾個方面的工作。

1）對于二維碼的驗證技術(shù)還不是非常成熟，將在未來繼續(xù)研究可用于二維碼驗證和加密的算法。

2）在本文中采用的Tate對改為Weil，來避免過多的資源消耗的冪運算。

3）將對本系統(tǒng)繼續(xù)進行深入的研究，在本文中只是將其應用于電子商務一種場景之中，未來打算將其移植到其他應用環(huán)境，如電子名片，電子票務。擴展系統(tǒng)的普適性。

參考文獻：

[1] 黃宇.二維碼在移動電子商務中的應用[J].計中國新通信，2006， 6（5）：78-80.

[2] Frey G， Rück H G. A remark concerning -divisibility and the discrete logarithm in the divisor class group of curves[J]. Mathematics of computation， 1994， 62（206）： 865-874.

[3] Boneh D， Franklin M. Identity-based encryption from the Weil pairing[C]. Advances in Cryptology—CRYPTO 2001. Springer Berlin Heidelberg， 2001： 213-229.

[4] Galbraith S D. Supersingular curves in cryptography[M]. Advances in Cryptology—ASIACRYPT 2001. Springer Berlin Heidelberg， 2001： 495-513.

[5] Gentry C.Certificate-based encryption and the certificate revocation problem[M]. Advances in Cryptology—EUROCRYPT 2003.Springer Berlin Heidelberg，2003： 272-293.

[6] Kang B G，Park J H，Hahn S G.A certificate-based signature scheme[M].Topics in Cryptology–CT-RSA 2004.Springer Berlin Heidelberg，2004： 99-111.

[7] （美國）Ed Burnette. Android基礎教程[M]. 北京： 人民郵電出版社，2009，