认证服务提供了关于某个实体身份的保证。这意味着当某个实体声称有特定的身份时,认证服务将用某方法来证实此声明的真实性。认证是对付假冒攻击的有效方法。电子商务的交易模式使交易双方不见面,这就决定了认证必然与传统商务完全不同。通常可分为以下两种情形：
1.实体认证
身份是由参与某次通信连接或会话的远端一方提供的,实体认证只是简单地认证本身的身份,不与它要进行的活动联系起来。口令或个人识别号机制是最实用的认证机制。为避免一般口令系统有外部泄露、口令猜测、线路窃听、威胁或胁迫验证者和重放等弱点，采用增强型保护口令方案。
f(x)和g(x)都为单向函数,其特性表现为:若给定参数计算函数值是容易的,但若给定函数值求参数在计算上是行不通的。假定身份ID的正确口令是p，在认证请求发起的终端，将身份ID和口令p’输入，终端计算q’=f(p’,ID),然后将q’和值nrv作为g(x)的输入产生值r’=g(q’,nrv),最后将r’、ID和nrv都发送给验证者。验证者计算r=g(q,nrv),其中q=f(P,ID),并与r’比较以确定p’是否等于p，从而确定声称者的身份是否属实。
nrv规定为一个非重复值(如时戳、随机数等)。验证者将检查nrv是否已被使用过而确定是否受到重放攻击。
一种类似于口令或PIN的新的实体认证技术称为“通关脸谱”,它是由美国威尔士·卡地夫大学心理学院 Hadyn Ellis教授发明的。该技术用了人脑与生俱来就有的很强的脸谱识别能力,按照一定的机制如同向用户分配口令一样向用户分配通关脸谱。口令由多个字符或数字组成,而通关脸谱则由多张脸谱组成,或可认为通关脸谱是由人脸取代了口令中的单个字符或数字。与口令相比,通关脸谱的好处在于：通关脸谱不能被写下或复制,降低了通关信息泄露的概率；系统分配给不同用户的通关脸谱是不一样的；通关脸谱不能被猜测；脸谱识别不需记忆技巧,而要记住符合安全要求的口令不是件容易的事。
通关脸谱并不要求用户准确地认出一张脸,而只需确定它是熟悉的,意味着通常人们担心的“我认识某人但不能记住他的名字”并不是一个问题。通关脸谱的基本配置典型地由3~7张分配的脸谱组成,这个数字还可随应用的需要而变化,受到系统安全性、应用能力和实用性等因素的影响。
典型地,每个通关脸谱给用户一个3×3的网格,每个网格中放一张脸谱,一个通关脸谱中就含一张分配的脸谱和8张看起来相似的迷惑的脸谱。理论上,网格可设计成任意规模,且每个通关脸谱中可放置不只一张分配的脸谱,但实验发现过大的规模或每个通关脸谱中放置不只一张分配的脸谱可能是困难的,并且会将系统正常的用户弄糊涂。3×3的网格在把每个脸谱映射到数字键盘上的一个键方面有明显的优势,它允许用户鼠标单击其中的通关脸谱或通过数字键盘进入与网格中相应脸谱对应的数字来实现输入,这在自动处理终端机等应用中键盘作为唯一输入方式时是重要的。基于3×3的网格选取5个分配的脸谱能提供95个组合,或者说一个人有59049分之一的机会猜中通关脸谱,由于系统使攻击者不能穷举搜索攻击,因此对大多数消费者或商业应用而言都有足够的安全性；可通过增加通关脸谱所含的分配的脸谱数来实现更高的安全性。
2.数据源认证
数据源认证要求认证某个指定的数据项是否源自某特定的实体,即确定被认证的实体与一些特定数据项有着静态的不可分割的联系,保证某数据项的真实起源。提供数据源认证的方法有3种：
1.使用加密
使用加密的方法需要发送者和接收者提前约定一个秘密的认证子和密钥。为保护传输中的数据项,发送者给数据项附上认证子,之后对其加密。接收者解密接收到的数据来恢复原来的数据项和认证子,接收者检查认证子的合法性。这种方法已被广泛应用在军事网络之中。
2.使用封装或数字签名
这种方法相当于发送人写好信的内容后签上自己的名字,然后用信封密封起来。这是电子商务中普遍使用的数据源认证方法。
3.将数据源认证视做实体认证的一种扩展
这种方法通过一个完整性机制将一个数据项和一个认证交换联系在一起。例如,数据项或数据项的摘要被封装在认证交换中。反过来,数据项也可在一个连接中传递，该连接将完整性和认证交换联系在一起。
