电子支付安全协议.ppt

1、电子支付安全协议,臧良运 主编,电子支付安全协议,学习要点： SSL协议流程与应用 SET协议流程与应用 SSL协议与SET协议的优缺点,导入案例】 支付协议的作用 电子商务网站多如牛毛，电子支付手段也不止一种。张明同学在当当网购买一本电子商务，张明同学选择好图书并下了订单后，卖主会用一份自己证书的副本作为给顾客的答复。张明同学证实卖主的身份后，用对称密钥加密订单，并用卖主的公钥加密这把对称密钥。张明同学利用中国建设银行龙卡进行网上实时支付，卖主使用自己的私钥解密对称密钥，然后解密订单，它将结算信息连同订单副本一齐转发给银行，因为它要依赖银行对交易进行认可。银行证实卖主的身份和消息的完整性，银

2、行打开结算信息，证实结算的金额是这笔交易的金额，是付给这个卖主的。银行还要检查张明同学的信用额度，保证交易可以进行，并准许卖主将交易进行下去。卖主然后将张明同学订购的图书邮寄给他,在这一电子交易的过程中，如何确保张明同学付款资料的隐密性及完整性？对持卡人、特约商店、收单银行怎么认证，如何保证电子交易的安全？ 不同厂商开发的应用程序、不同的银行卡在现存各种标准下应构建什么协定，允许在任何软硬件平台上执行，使标准达到相容性与接受性目标？ 本章介绍的电子支付安全协议就可以解决上述问题,1.1 SSL电子商务安全体系 计算机系统的安全措施从层次和内容上可分为安全立法、安全管理和安全技术三个层次。为了保

3、证电子商务活动的安全性，必须有一套有效的安全机制作为保证，这就要求建立电子商务的安全体系基础结构。电子商务的安全控制体系结构是保证电子商务中数据安全的一个完整的逻辑结构。由五个部分组成。具体如图8-1所示,1 安全协议概述,图8-1 电子商务安全技术体系结构,打开备注,网络层为TCP/IP的Internet层或IP层。IP地址是一个32位的地址，可以在TCP/IP网络中惟一地指明一台主机。而TCP只负责将信息切割成封包，若遗失封包TCP再重送，所以TCP/IP根本没有安全性可言。 为了确保在任何IP网络上拥有安全的私密通信，也为了整合不同标准及不同厂商产品，必须订定一套开放标准网络安全协议IP

4、Sec（IP Security）。将密码技术应用在网络层，以提供传送、接收端做数据的认证（Authentication）、完整性（Integrity）、存取控制（Access Control）、以及机密性（Confidentiality）等安全服务,在早期的电子交易中，曾采用过一些简易的安全措施，如“部分告知” 和“另行确认”，均有一定的局限性，且操作麻烦，不能实现真正的安全可靠性。 近年来，针对电子交易安全的要求，IT业界与金融行业一起，推出不少有效的安全交易标准，主要有：安全超文本传输协议（SHTTP）、“安全套接层”协议（SSL：Secure Sockets Layer）、安全交易技术协

5、议、安全电子交易协议（SET：Secure Electronic Transaction）等。其中SSL协议和SET协议是两个典型协议,1.2 HTTP协议简介 【实例链接8.1】 什么是http？ 当我们想浏览一个网站的时候，只要在浏览器的地址栏里输入网站的地址就可以了，例如我们要登陆百度网站，只需输入：，但是在浏览器的地址栏里面出现的却是：http:/,1. HTTP协议 在认识HTTP之前，有必要先弄清楚URL的组成，例如：http:/ （1）http:/：代表超文本传输协议，通知服务器显示Web页，通常不用输入； （2）www：代表一个Web（万维网）服务器； （3）M （4）Chin

6、a/：为该服务器上的子目录，就好像我们的文件夹； （5）Index.htm：index.htm是文件夹中的一个HTML文件（网页,2. HTTP协议工作原理 由于HTTP协议是基于请求/响应范式的（相当于客户机/服务器）。一个客户机与服务器建立连接后，发送一个请求给服务器，请求方式的格式为：统一资源标识符（URL）、协议版本号，后边是MIME信息包括请求修饰符、客户机信息和可能的内容。服务器接到请求后，给予相应的响应信息，其格式为一个状态行，包括信息的协议版本号、一个成功或错误的代码，后边是MIME信息包括服务器信息、实体信息和可能的内容,由于Web上有时要传输重要或敏感的数据，因此Netsc

7、ape公司在推出Web浏览器首版的同时，提出了安全通信协议SSL（Secure Socket Layer）。 SSL协议是建立在TCP/IP协议之上的开发协议，它可以为应用层协议（如HTTP、Telnet、FTP）和TCP/IP之间提供数据安全性。SSL协议层包括两个协议子层：SSL记录协议与SSL握手协议,2 安全套接层协议SSL,2.1 SSL协议概述,1.SSL协议构成 （1）SSL修改密文协议。SSL修改密文协议是使用SSL记录协议服务的SSL高层协议的3个特定协议之一，也是其中最简单的一个。协议由单个消息组成，该消息只包含一个值为1的单个字节。 （2）SSL报警协议。SSL报警协议是

8、用来为对等实体传递SSL的相关警告。如果在通信过程中某一方发现任何异常，就需要给对方发送一条警示消息通告,3）SSL握手协议。SSL握手协议允许通信实体在交换应用数据之前协商密钥的算法、加密密钥和对客户端进行认证（可选）的协议，为下一步记录协议要使用的密钥信息进行协商，使客户端和服务器建立并保持安全通信的状态信息。SSL握手协议是在任何应用程序数据传输之前使用的。 （4）SSL记录协议。在SSL协议中，所有的传输数据都被封装在记录中。记录是由记录头和长度不为0的记录数据组成的。所有的SSL通信（包括握手消息、安全空白记录和应用数据）都使用SSL记录层。SSL记录协议包括了记录头和记录数据格式的

9、规定,握手协议修改密文协议报警协议 SSL记录协议 TCP IP,2.SSL协议的服务 SSL协议主要用于提高应用程序之间数据的安全性。SSL采用TCP作为传输协议提供数据的可靠传送和接收。SSL工作在SOCKET层上。SSL提供的安全业务和TCP层一样，采用了公开密钥和私人密钥两种加密机制对WEB服务器和客户机的通信提供保密性、数据完整性和认证。 SSL中的握手协议，是在客户机和服务器之间交换消息强化安全性的协议，SSL握手协议包含两个阶段，第一个阶段用于建立私密性通信信道，第二个阶段用于客户认证。 第一阶段是通信的初始化阶段，首先SSL要求服务器向浏览器出示证书,第二阶段的主要任务是对客户

10、进行认证，此时服务器已经被认证了。 实际上SSL协议本身也是个分层的协议，它由消息子层以及承载消息的记录子层组成。SSL记录协议首先按照一定的原则如性能最优原则把消息数据分成一定长度的片断；接着分别对这些片断进行消息摘要和MAC计算，得到MAC值；然后再对这些片断进行加密计算；最后把加密后的片断和MAC值连接起来，计算其长度，并打上记录头后发送到传输层。这是一般的消息数据到达后，记录层所做的工作,消息子层是应用层和SSL记录层间的接口，负责标识并在应用层和SSL记录层间传输数据或者对握手信息和警示信息的逻辑进行处理，可以说是整个SSL层的核心。 SSL提供的服务可以归纳为如下三个方面： （1）

11、用户和服务器的合法性认证； （2）加密数据以隐藏被传送的数据； （3）维护数据的完整性。 安全套接层协议是一个保证计算机通信安全的协议，对通信对话过程进行安全保护,1SSL安全协议的运行步骤包括六步： 连接阶段； 密码交换阶段； 会谈密码阶段； 检验阶段； 客户认证阶段； 结束阶段,2.2 SSL协议流程,当上述动作完成之后，两者间的资料传送就会加以密码，等到另外一端收到资料后，再将编码后的资料还原。 电子商务交易过程中，SSL的工作流程如图8-2所示,2SSL应用情况 一个完整的SSL交易过程。 SSL安全协议是国际上最早应用于电子商务的一种网络安全协议，至今仍然有许多网络商店在使用。 SS

12、L提供的保密连接有很大的漏洞。 SSL位于TCP层之上，应用层之下，它相对于应用层来说是独立的，应用层是直接建立在SSL上的,1996年1月，VISA和MasterCard联合发起并推动了“安全电子交易”（SET）协议的制定、测试和实施，并于1997年5月发布正式的1.0版本标准。 SET主要使用电子认证技术，其认证过程使用RSA和DES算法。 由于安全电子交易规范是由信用卡发卡公司参与制定的，一般认为，安全电子交易规范的认证系统是有效的,3 SET协议,3.1 SET协议的目标和特点,1.SET协议的目标 SET协议要达到的的目标主要有五个： （1）保证电子商务参与者信息的相互隔离，客户的资

13、料加密或打包后经过商家到达银行，但是商家不能看到客户的账户和密码信息； （2）保证信息在Internet上安全传输，防止数据被第三方窃取,3）解决多方认证问题，不仅要对消费者的信用卡认证，而且要对在线商店的信誉程度认证，同时还有消费者、在线商店与银行间的认证； （4）保证了网上交易的实时性，使所有的支付过程都是在线的； （5）规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上,SET协议比SSL协议有了很大改进。其特点是： 保证信息在Internet上安全传输，保证网上传输的数据不被黑客窃听。 订单信息和个人账号信息的隔离。 持卡人和商家

14、相互认证，以确定通信双方的身份。一般由第三方机构负责为在线通信方双方提供信用担保，从而解决了多方认证问题,2SET协议的特点,保证网上交易的实时性使所有的支付过程都在网络上进行。 要求软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和互操作功能，并且可以运行在不同的硬件和操作系统平台上,1.SET协议规范的对象： (1)消费者； (2)在线商店； (3)收单银行； (4)电子货币发行公司，以及某些兼有电子货币发行的银行； (5)认证中心（CA）。负责对交易对方的身份确认，对厂商的信誉度和消费者的支付手段进行认证,3.2SET安全协议涉及的对象和技术范围,2.SET协议规范的技术范围

15、(1)加密算法的应用（例如RSA和DES）； (2)证书信息和对象格式； (3)购买信息和对象格式； (4)认可信息和对象格式； (5)划账信息和对象格式； (6)对话实体之间消息的传输协议,SET协议的工作流程分为下面七个步骤： 消费者在Internet上搜索所要购买的商品，通过计算机输入订货单。 通过电子商务服务器与有关在线商店联系，在线商店做出应答，以确认订单条款的准确性。 消费者选择付款方式，确认订单，签发付款指令,3.3SET安全协议的工作原理,消费者对订单和付款指令进行数字签名，同时利用双重签名技术保证商家看不到消费者的账号信息。 在线商店接受订单后，向消费者所在银行请求支付认可。

16、 在线商店发送订单确认信息给消费者。 在线商店发送货物或提供服务，并通知收单银行进行转账通知发卡行请求支付,在认证操作和支付操作中间一般会有一个时间间隔，例如，在每天的下班前请求银行结一天的账。前两步与SET无关，从第步开始SET起作用，一直到第步。 一个完整的SET支付流程如下图所示,打开备注,协议并没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接受证书，如果在线商店提供货物不符合质量标准，消费者提出疑义，责任该由谁来承担。 协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是不是由签署证书的消费者发出的。 SET技术规范没有提及事务处理完成后，如何安全地保存或销毁此类

17、数据，这些数据以后可能受到潜在的攻击,3.4SET安全协议的不足之处,SET协议过于复杂，使用麻烦，成本高，数据处理时间相对较长，而且只适用于客户具有电子钱包的场合。 SET的证书格式比较特殊，虽然也遵循 X.509标准，但它主要是由Visa 和 MasterCard 开发并按信用卡支付方式进行定义的，因而SET主要支持卡支付业务，对其它支付方式存在一定的限制。 在SET协议中，虽然用户账号不会明文传递，通常采用1024位RSA不对称密钥加密，但在实际应用中发现大多数商户都收到了持卡人的账号，所以用户账号泄漏问题仍然存在,事实上，SET和SSL除了都采用RSA公钥算法以外，二者在其他技术方面没

18、有任何相似之处。而RSA在二者中也被用来实现不同的安全目标。 SET是一个多方的报文协议，它定义了银行、商家、持卡人之间必需的报文规范，与此同时SSL只是简单地在两方之间建立了安全连接。 SSL是面向连接的，而SET允许各方之间的报文交换不是实时的。SET报文能够在银行内部网或者其他网络上传输，而SSL之上的卡支付系统只能与Web浏览器捆绑在一起,3.5SSL和SET协议比较,SET与SSL相比具有如下优点： （1）SET为商家提供了保护自己的手段，使商家免受欺诈的困扰，使其运营成本降低。 （2）对消费者而言，SET保证了商家的合法性，并且用户的信用卡号不会被窃取。 （3）对于银行和发卡机构以

19、及各种信用卡组织来说，SET可以帮助它们将业务扩展到Internet上，使信用卡网上支付具有更低的欺骗概率，比其他支付方式具有更大的竞争力。 （4）SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑,实例链接8.2】 SET协议的扩展 （1）商家初始授权扩展（The Merchant Initiated Authorization Extension）版本。标准的SET协议，其授权是从持卡人采用SET协议开始的。而商家初始授权扩展允许一个商家为非SET的订购进行授权和请款（Capture Request）。这些订购是由持卡人采用非SET的传输方式完成的，如采用电话、传真

20、、SSL等方式通知商家支付信息，由商家采用SET协议向银行发出授权请求。该扩展拓宽了SET协议的应用场合，实现了现有电子商务的支付方式向SET模式的平滑过渡,2）在线个人识别号扩展（Online PIN Extension to SET 1.0）版本。个人识别号PIN是用户为支付卡设定的个人密码。SET协议在线个人识别号扩展版本定义了两种使用PIN的扩展方式。一是持卡人通过任何方式（包括键盘）来输入PIN；二是通过安全设备来输入PIN。在实际应用中，根据支付卡的政策决定使用方式。该扩展版本增强了信用卡的认证信息，为借记卡和IC卡采用SET协议提供了新的用户信息识别方式,3）芯片卡扩展（Comm

21、on Chip Extension）版本。芯片卡（如IC卡）与磁卡相比，具有存储信息容量大、安全性能高、使用快捷方便等优点。SET 1.0标准出台时没有考虑对芯片卡的支持。1999年9月，SETC0批准公布了Europe International、MasterCard International、VISA International提交的“Common Chip Extension SET 1.0”，支持芯片卡采用SET协议进行安全电子交易，并使SET具有处理芯片卡数据的通用扩展性能,Digicash是一个匿名的数字现金协议，该协议的步骤如下： 消费者从银行取款，他收到一个加密的数字现金（Token），此Token可当钱用； 消费者对该Token作加密变换，使之仍能被商家检验其有效性，但已不能追踪消费者的身份； 消费者在使用该Token购物或购买服务时，对该Token密码变换以纳入商家的身份,4其他电子商务协议,4.1Digicash,商家检验该Token以确认以前未收到过此Token； 商家给消费者发货； 商家将该电子Token送银行； 银行检验该Token的唯一性，至此消费者的身份仍保密，除非银行查出该Token被消费者重复使用，这时消费者的身份将会被暴露，消费者的欺诈行为也就暴露了,在第步若发生了通信故障，则消费者无法判断商家究竟是否已收到该电子