安全电子交易协议SET

1、第六章 安全电子交易协议安全电子交易协议set l6.1set协议总述 l6.2set协议信息结构 l6.3set协议的扩展 l6.4set购物b2c电子商务6.1set协议总述协议总述l6.1.1set协议介绍 l6.1.2基本概念l6.1.3证书发行 l6.1.4购物类型 6.1.1set协议介绍l安全电子交易协议set(security electronic transaction)是由visa和master card所开发的，是为了在internet上进行在线交易时，保证信用卡支付的安全而设计开发的一个开放的规范。由于得到了ibm、hp、microsoft、netscape、gte、v

2、erisign等很多大公司的支持，它已成了事实上的工业标准，目前它已获得ieee标准的认可。lset提供了消费者、商家和银行之间的认证，确保了网上交易数据的保密性、数据的完整性及交易的不可抵赖性。特别是能保证不将消费者银行卡号暴露给商家，不将消费者的购物内容暴露给银行等优点，set在一些国家中得到很好的应用。lset采用公钥密码体制，遵循x.509数字证书标准。 6.1.1set协议介绍lset协议使用加密技术提供信息的机密性，保证支付的完整性，验证商家和持卡者。l支付安全的目标是：l验证持卡者、商家和收单行，为支付数据提供机密性。l保护支付数据的完整性，为这些安全服务定义算法和协议。6.1.

3、1set协议介绍lset为了保证互操作性，可采取以下措施：l清晰定义消息信息；l保证不同开发商的应用程序能够协同工作；l产生和支持一个开发支付卡标准；l定义一种便于出口的技术以便在全球使用；l利用现有的标准，保证与标准化团体的兼容，可以在任何软件和硬件平台使用，如power-pc、intel、spare、unix、ms-dos、os2、windows、macintosh。6.1.1set协议介绍lset为了保证市场能够接受，采取以下措施：l为商家和持卡者提供方便的应用，最低限度降低现有应用的改变；l为现有客户应用的支付协议提供插件应用；l降低对收单行、商家、持卡者之间关系的改变；l降低对现有商

4、家、收单行、支付系统应用和结构的改变；l为金融机构提供有效的协议。 6.1.1set协议介绍l1set的商业要求 l2set应用在购物过程的环节l3set协议的主要内容1对set的商业要求lset协议建立在以下7个商业要求的基础上。l(1)为支付信息提供机密性，保证与支付信息同时传输的订购信息的机密性。l(2)保证所有传输数据的完整性。l(3)为持卡者提供认证，保证一个持卡者是一个支付卡账户的合法用户。l(4)为商家提供认证，保证商家通过一个收单行金融机构，可以接收该品牌的支付卡的交易。l(5)保证使用最好的安全技术和系统设计，来保护所有电子商务交易的合法参与者。l(6)创建一个不依赖于传输安

5、全机制的协议。l(7)鼓励网络和软件提供商支持互操作性。2set应用在购物过程的环节 lset制定了电子商务的部分消息协议，这些协议对电子商务来说是必需的，主要支持支付卡的使用。l一个电子购物的典型过程如下。l(1)持卡者用各种方式浏览购物清单，如使用internet浏览器、查看购物光盘、翻看邮购目录等。l(2)持卡者选择要订购的物品项目。l(3)持卡者填写订购单，包括所订购物品的列表、价格、合计等，订购单可以用电子方式传输给商家。l(4)持卡者选择支付方式，set协议关心的是采用一种支付卡 2set应用在购物过程的环节l(5)持卡者向商家发出一个包含支付指示的完全订购单。在set协议中、订购

6、和支付由拥有证书的持卡者数字签名。l(6)商家从持卡者的金融机构请求得到支付授权。l(7)商家发出订购确认信息。l(8)商家发运商品或者执行订购的服务。l(9)商家从持卡者的金融机构请求付款。l当持卡者选择使用支付卡时，set协议主要完成电子购物步骤中的（5）（9）步。 3set协议的主要内容 l在set协议中主要定义了以下内容。l(1)加密算法的应用(如rsa和des)。l(2)证书消息和对象格式。l(3)购买消息和对象格式。l(4)请款消息和对象格式。l(5)参与者之间的消息协议。 6.1.2基本概念l1.支付系统参与者 l2.加密概念 1.支付系统参与者lset改变了一个支付系统的交互方

7、式，在一个面对面零售方式或邮购交易中，电子处理开始于商家或收单行，但是在set交易中，电子处理开始于持卡者。l(1)持卡者(cardholder)。在电子商务环境中，消费者和团体购买者通过计算机与商家进行交互，持卡者使用一个发卡行发行的支付卡。l(2)发卡行(issuer)。一个发卡行是一个金融机构，为持卡者建立一个账户并发行支付卡，一个发卡行保证对经过授权的交易进行付款。l(3)商家(merchant)。商家提供商品和服务，在set中，商家与持卡者可以进行安全电子交易，一个商家必须与相关的收单行达成协议，保证可以接收支付卡付款。 1.支付系统参与者l(4)收单行(acquirer)。一个收单

8、行是一个金融机构，为商家建立一个账户并处理支付卡授权和支付。l(5)支付网关(payment gateway)。一个支付网关是一个由收单行操作的设备，或者是指定的第三方，用于处理支付卡授权和支付。l(6)品牌(brand)。根据市场需要，金融机构建立不同的支付卡品牌，每种支付卡品牌有不同的政策(包括消费方式等)，支付卡品牌将确定发卡行、收单行与持卡者和商家之间的关系。l(7)第三方(third parties)。发卡行和收单行有时指定第三方来处理支付卡交易，在set协议中没有区分金融机构和交易处理者，认为是一家。 2.加密概念 l在set中所涉及到的密码技术主要有:l(1)密钥密码技术。l(2

9、)公开密钥密码技术。l(3)加密。l(4)数字签名。l(5)数字信封。l(6)双重数字签名。6.1.4购物类型购物类型 l持卡者可以使用包括在线目录和电子目录在内的多种购物方式，set支持这些购物方式和定义的其他方式。l1.在线目录(online catalogs)l随着internet的普及，商家可以建立一个网上商店的web站点，持卡者可以在主页上浏览和选择购物项目。一旦持卡者完成订购并指定一个支付卡，set协议保证持卡者安全传输支付指示，并保证商家获得支付授权和最后的付款。l2电子目录(electronic catalogs)l商家也可以发行电子购物目录，如采用光盘形式，让持卡者采用非在线

10、的方式进行购物。卡者可以在自己的计算机上浏览光盘上的商品目录，其优点是可以在光盘中对商品加入图、声音等多媒体信息，而不用考虑网络带宽问题：一旦持卡者选择了要订购的商品并指定了支付卡，使用set协议以电子方式发给商家。该消息可以采用在线传输，如在商家的web页，或者通过一个存储转发机制(如email)来传输。 6.2set协议信息结构协议信息结构 l参与set协议支付系统的实体主要有持卡人、商家和支付网关，set协议信息结构就是一个完整的电子交易过程中，信息流和资金流在这三者之间是如何流动的。lset协议信息结构共六大部分：交易初始化请求、购置指令执行过程，授权检验过程、付款请求执行过程、持卡人

11、查询过程以及持卡人注册登录过程等。l安全电子交易协议格式由一系列要求回答(reqres)信息对组成。图10-2为reqres的对应信息。 6.2set协议信息结构协议信息结构持卡人商户支付网关（收单银行）pinit reqpinit respreqpresing reqing respreq之后时间可选auth reqauth rescap reqcap resset交易步骤6.2set协议信息结构协议信息结构l对于一些信息的流动必须要做到端对端加密。但有些信息端对端加密还不够，如银行卡中与资金有关的数据，持卡人就不想让商户看到；而购物有关的数据，商户又不想让收单银行看到，但端对端加密办法就做

12、不到这一点。l一个完整的购买交易所需的信息包括。l交易开始(pinit req/pinit res)。l购买指令(preqpres)。l授权请求(authreqauthres)，l支付指令(cap reqcapres)。l持卡人查询(inqreqlnq res)6.2set协议信息结构协议信息结构l6.2.1交易初始化交易初始化(pinit reqplnit res) l6.2.2购买指令（购买指令（preq/pres） l6.2.3授权授权(auth req/auth res) l6.2.4付款信息付款信息(cap req/cap res) l6.2.5持卡人查询持卡人查询(inq reql

13、nq res) l6.2.6持卡人及商户注册持卡人及商户注册(登录登录) 6.2.1交易初始化交易初始化(pinit reqplnitres)l网络商店为持卡购物人提供了一个完整的电子订货单，网络商场同意用银行卡支付购物即可开始。购物过程可参用set格式，但商品的选择和提交订货单的办法并不属于set格式的范围。lplnit req是交易开始请求的信息，请求交易开始，具体内容包括6.2.1交易初始化交易初始化(pinit reqplnitres)持卡人商户pinit req;brandid,thumbs,lid_c,chall_cpinit res;transid,date,chall_c, c

14、hall_m,sigm,ca,cm交易开始信息6.2.1交易初始化交易初始化(pinit reqplnitres)lbrandid：指持卡人所用银行卡品牌visa或mastercard等。llidc：交易所在地的识别码。lthumbs：在持卡人软件中已存有的凭证及每张凭证的指纹(sha)是可选项。lchallc：用持卡人的回答口令，以确保通信安全畅通。在接收了plnit req请求之后，商户通过lidc组合形成一个唯一的交易识别码transid，以识别所接收的特指购买的指令。lpinit res：商户的回答plait res应包括上述交易识别transld、商户的数字签名、日期、证书、持卡人和

15、商户口令challc、challm、证书及证书中包括的支付用的公钥，如商户的公钥及收单行的公钥。l结论：持卡人在收到回答信息时，即可判断商户是否是一个网上合法的售货商。 6.2.2购买指令（购买指令（preq/pres） l购买指令使持卡人从商户那里实现真正的购货。按set协议格式完整的信息对内容为。lpreq包括oi、pi。持卡人商户preq oipi1preq l1preql如上图所示，oi为订货信息，是让商户识别的订货数据。loi结构如图下所示。它主要包括oi data、dual sig。 1preqpi data.oi datatrans idbrand iddatechall_cch

16、all_modsalt(nonce)h(oi data)h(pi data)hashoioi datadual sigh2signh2sigc订货信息结构oi ltransid：交易识别码。lbrandid：银行卡品牌。ldate：日期。lchall_c：客户口令。lchall_m：商家口令。lodsalt(nonce)：hash函数的杂凑码，以防止黑客用词典进行穷举法的进攻。lhash(oidata)：商户订货信息的hash函数。lhash(pidata)：客户信息的hash函数。pil二者关联起来，形成hash函数的关联函数h2，形成数字签名，然后再形成双重数字签名支付指令(pi)pi结构

17、如图所示。客户pi的卡内容商户是不能看的，但要传送给银行。l银行卡数据中个人口令及支付金额为杂凑码，以防篡改，并以强加密措施加以保护。所谓强密措施，是指1024位的rsa密钥算法和128位的des加密算法。订货单信息，用杂凑法加密，唯一识别订货人。lpi用双重签名，以收单行公钥加密，以防商户或他人窃取或篡改。 pi银行卡数据card datacc#expirypannoncepinnonce订单数据order descriptionamounceodsalt(nonce)强加密hashpi datatrans idamountcard datah(order)oi data见上图pipi da

18、tadual sig支付指令结构双重数字签名-生成oipib:订货信息c:支付信息mdbmdcmdbcdspvarsa双重数字签名c(pi) ds mdb pba emcsk2desdecsk2pbcb(oi) ds mdc pba embsk1desdebsk1pbb双重数字签名-生成b(oi) ds mdc pba embsk1desdebsk1pbbc(pi) ds mdb pba emcsk2desdecsk2pbc发送给b的信息发送给c的信息双重数字签名b验证embdebemcdecembb(oi)dsmdcpbask1desmdbmdbcdsmdbc比较pbarsadebpvbrs

19、ask1双重数字签名c验证embdebemcdecemcc(pi)dsmdbpbask2desmdcmdbcdsmdbc比较pbarsadecpvcrsask22preq处理过程 l商户接到一个持卡人的购物要求时，提取oi及pi，用持卡人证书中的公钥检验oi 。lpres是购物回应信息。在回应信息之前，商户可做授权或取款交易。即pres可以在取款之前发出，也可在取款和授权之后发出。 l当商户送购物回应信息到持卡人时，信息中包括了交易状态和一些有用的结果信息码。2preq处理过程持卡人商户prestrans idcompletion coderesultchall_csignm商户购物回应信息2

20、preq处理过程ltransid：交易识别码。lcompletion code：交易完成码，表示授权lresult：结果码，反映交易情况。lsignm：为商户的数字签名。 6.2.3授权授权(auth req/auth res) l授权请求：authreq l在授权过程中，商户送出有关购买、签字和加密信息到收单银行。同时，从持卡人那里送来的pi也转送给收单行。l授权信息中也包括订货细节的hash函数摘要，如图所示。6.2.3授权授权(auth req/auth res)auth reqtrans iddateauthreq amth(order)h(oi data)thumbssalsindm

21、erchant detailscard holderbilling addresspiorderodpurchase amtod salt(从持卡人处来)签字：signm加密：pka到收单行授权要求信息结构6.2.3授权授权(auth req/auth res)l订单信息order，经hash函数做摘要，它与持卡人来的pi中提供的hash(order)相匹配，收单行就会知道商户与持卡人已就货物和购买量达成共识(一致)。l在商户方面，他要求的hash(oidata)中的oi data已经双重数字签名，并说明订货数据已经商户同意。l授权和付款可在一个销售交易中单独完成。 6.2.3授权授权(aut

22、h req/auth res)l2auth res(授权响应) l收单行在收到授权请求以后，收单行解释上述auth req信息，并验证签名和检查由商户送来的购物细节和pi中是否一致。l接着收单行就通过现有的银行卡交换和授权网络取得授权。如图所示。6.2.3授权授权(auth req/auth res)商户发卡行收单行现有授权交换网络auth reqsignmpkauth ressignapkm购买交易所取授权6.2.3授权授权(auth req/auth res)scapture tokenauth amtcapture data(ids)token noncesiga收单行加密：pkaaut

23、h restrans iddateauth amtauth codecapture tokencap amtcap code签名：signa加密：pkm至商户授权回应和付款标志授权和付款一起做付款通知6.2.3授权授权(auth req/auth res)l一旦从发卡行得到明确授权，授权回应auth res就要回送给商户。 auth res信息如上图所示。l图中capturetoken为付款通知，它被收单行签名并加密，为客户收款用。授权回应信息中，除付款通知外，还有交易标识，日期、授权码等，以及若授权和付款一同做时的信息：付款额及付款码，也一起送回商户。授权信息被收单行签名并加密（用商户的公钥

24、pkm)一个明确的授权，商户即可配送商品了，说明发卡行已验证了卡的有效性和信用额度，给这项购买发出ok。 6.2.4付款信息付款信息(capreq/capres) l在处理完客户订货之后，商户需要将此笔已发生的购物款要到自己的账上。这些付款交易可批量处理，即多个授权汇总后，由一个批量命令进行付款处理。 l多个付款请求送到发卡行进行请示，返回收单行，然后分别加以汇总并签字，形成capressigna，用公钥加密后，一次性送给商户。 6.2.4付款信息付款信息(capreq/capres)商户发卡行收单行2)clearingcap reqcap tokencap token1)3)cap ress

25、ignapkm多个授权由一个请求付款1capreq付款请求cap reqcap iddateauth amttrans idcapture tokencap rescap idtrans idcap codecap amt商户至收单行收单行signm,pka付款请求/回应消息1capreq付款请求 l付款请求capreq包括：lcap id：付款标识。ldate：付款日期。l除此之外还包括：由授权回应信息auth res中传过来的授权量auth amt、交易标识trans id及付款通知。由商户签字signm并加密传送给收单行。(用收单行的公钥pka)。 2capres(付款响应) l收单行在

26、验证了付款请求后，收单行贷记商户账户的数据，此时扣除回扣。将支付标识、交易标识、支付代码等签字、加密后(用商户公钥)回应给商户，其中还应包括从发卡行那里即银行卡授权交换网络取得的成功标识、付款码以及结算数量。l在付款取得成功之后，商户接到了从持卡人那里得到实际购物的货币支付。 6.2.5持卡人查询持卡人查询(inqreqlnqres) l查询信息允许持卡人核对交易状态，查询可以在购物之后的任何时间进行。l持卡人只能查询有关自己的购物交易情况；对一笔交易，可查询多次。信息内容如图。l查询要求包括：交易识别和客户新的口令变量，它对每个查询是唯一的，查询要求要持卡人签名signc，此证书的查询要求是

27、从正确的持卡人处发来。l查询回应信息包括：由商户送回，包括交易状态和结果码、是否已付款等。收到查询回应后，持卡人就知道了某交易是否已由商户认可，以及处理情况。 6.2.5持卡人查询持卡人查询(inqreqlnqres)ing reqtrans idchall_c2ing restrans idcompletion coderesultchall_c2商户signmsignc持卡人查询要求/回应信息6.2.6持卡人及商户注册持卡人及商户注册(登录登录) l持卡人购物上网就首先要登录。登录要有证书，使用set传送。持卡人想用set进行网上支付，就必须先从认证中心ca取得公开密钥证书。l每个持卡人都

28、需要有一个经过ca签字的证书，证书中包括他的公钥，用以验证他签名的信息。从ca取得经签名的证书方法如图所示。 6.2.6持卡人及商户注册持卡人及商户注册(登录登录)持卡人产生公开/私用密钥对并按格式填写得到签字的证书从有关发卡行验证格式并产生证书由有关发卡行签署注册格式认证中心持卡人按格式提出申请1)request form +ca cert2) form + ca cert3)return form public key(s)4)certificates持卡人取得证书的过程过程 l(1)持卡人按格式提出申请送到ca。l(2)ca按有关发卡行签署注册的格式返回给持卡人。l(3)持卡人自己产生公钥与私钥对，并按格式填写，然后将公钥返回ca中心。l(4)ca中心从有关发卡行验证格式并产生证书，然后返回给持卡人。持卡人得到ca中心签字的证书。l上述过程与商户和收单行的证书获得过程类似。商户注册不再赘述。 6.4set购物购物b2c电子商务电子商务消费者（持卡人）认证中心ca电子钱包网上商店支付网关发卡行银行卡总中