在线支付安全解决方案

1、第 页共11页第 页共11页在线支付安全解决方案在线支付概述近年來,，随着互联网的快速发展，涌现了各种电子商务，极大地丰富和方便了人们的生活。在线支付的出现，使电子商务得到进一步完善和发展。在住房和城乡建设领域的在线支付泛指持卡人通过使用城市一卡通发行的IC卡在网络和上完成充值业务或者消费业务。通过在线支付平台不仅可以解决充值网点的数量问题，还能够扩展出多种应用业务，比如使用IC卡进行水电热缴费、进行网购等。系统架构设计2.1.总体架构图图1总体架构图一通系统提供一卡通业务支持，包括卡片应用规划，卡片物理介质发行，密钥管理，清分清算处理。在线支付系统需要一卡通系统的支撑。银行系统泛指能提供银行

2、支付的系统，比如网银和第三方支付系统。客户能够借助银行系统使用银行卡为卡片的电子钱包进行圈存。在线支付系统可以针对资金的流转进行清分清算。商户系统泛指在线支付系统发展的商户，客户可以使用电子钱包账户在商户系统进行消费。事后在线支付系统可以同商户怎对发生的消费交易进行资金清分清算。客户客户指在线支付系统的消费群体，持有一卡通发行卡片和从在线支付系统获取POS机具。并借助银行系统完成对卡片电子钱包的圈存和用电子钱包在商户系统中进行消费。卡片卡片由一卡通发行的。卡片可由在线支付系统开设专用的电子钱包应用区域。客户持卡片在POS机具上可以完成对电子钱包账户上的充値和用电子钱包消费完成消费。卡片的电子钱

3、包应用需耍在线支付系统开通。POS机具POS机具屈丁-某个客户实体。客尸可以持不同的卡片在POS机具上对卡片电子钱包充值和用电子钱包消费完成消费。POS机具需耍被在线支付系统管理起來。网点柜面可以受理客户的业务办理，完成卡片以及POS机具的发放和管理，以及其他相关业务。2.2.系统拓扑POS支务线业台在付平图2系统拓扑结构在线支付系统依托互联网络组建业务环境，应采用TCP/IP而向连接的通讯方式实现在线支付系统与家用电脑的连接，应采用Internet或专网（DDN）方式实现在线支付系统与外部系统的连接家用电脑增加POS机具提供与IC卡交互的能力。POS机具应能够提供IC卡应用的安全控制。家用电

4、脑通过浏览器，借助POS机具与在线支付系统的Web服务器进行交互实现一卡通业务在线支付需解决的问题3.1.读卡器解决在线支付问题的关键是在客户端提供可安全读写非接触式ic卡的读写终端，包括读取非接触逻辑加密卡和非接触CPU卡。读写终端是客户端电脑和非接触式IC卡通信的专用设备；读写终端应能唯一标识己，并只能在被住房和城乡建设部IC卡应用服务中心和城市双重授权的情况下使用，以保证系统的安全性和实现跨城市互通应用。读写终端提供PKI认证功能，存储数字证书，提供密钥交换、数据加解密、数据签名功能；证书下的下发应由住房和城乡建设部IC卡应用服务中心统一管理，并下发给城市进行二次初始化。读写终端须通过住

5、房和城乡建设部IC卡应用服务中心检测。32业务网络在线支付涉及到以下四个网络：互联网络客户端计算机必须接入互联网。客户端计算机通过互联网，访问充值专用网页和支付网关网页。支付网关网络和支付网关系统连接可有两种模式：a）利用支付网关提供的相关的网络转账功能；b）开发支付网关接口，实现支付网关支付功能；在线支付网络在线支付应独立架设WEB服务器和应用服务器。并将WEB服务器架设于互联网络中。和各城市专线网络在线支付应用服务器与各一卡通中心间采用加密通信或专用网络连接。3.3.安全体系传输安全在线支付客户端和在线支付WEB服务器间的通信采用HTTPS安全协议。在握手时，采用存储在读写器内部的客户端证

6、书进行身份认证和数据加密。在线支付客户端访问支付网关页面时的安全由支付网关负责验证支付客户端的身份合法性，只有通过认证的客户端才允许进行其他操作。在线支付服务端和各卡公司间的通信采用SSL安全协议。卡公司则安装服务器证书，支付服务端安装客户端证书。交易安全在线支付客户端在对用户卡进行充值时，需下发交易密钥和交易数据。此数据应保证在H卡通公司加密送出后，到读写器内部解密前，不在任何环境中出现明文。为适应各城市不同的交易流程，读写器支持交易脚本的运行。在为不同的城市进行充值时，采用不同的充值脚本。充值脚本分为命令脚本和数据脚本。命令脚本中还有对用户卡进行操作的流程控制。数据脚本中含有对卡进行操作的

7、数据和密钥。交易过程中，耍对数据脚本和命令脚本进行下载。下载的数据在各卡公司用读写器加解密密钥对的公钥进行加密，数据在读写器内部由读写器加解密密钥的私钥进行解密。交易完成后，读写器用私钥对交易数据进行签名。并将数据返回给各城市卡公司。4.数字认证认证（CA）系统住房和城乡建设部CA系统是继“建设事业IC卡密钥管理系统”之后针对在线支付业务应用进行设计开发，目的是为了确保在线支付的身份认证和密钥传输过程中的安全性，结合“建设事业IC卡密钥管理系统”构成住房和城乡建设第 #页共11页第 页共11页领域IC卡的安全体系。住房和城乡建设部CA系统部署分布如下图:第 #页共11页第 #页共11页第 #页

8、共11页第 #页共11页图5系统总体分布图根CA离线部署在住房和城乡建设部IC卡应用服务中心，同时在建设部部署一套工作CA及RA；在各省市（通卡公司）均部署工作CA及相应的RAo住房和城乡建设部1C卡应用服务中心CA系统网络拓扑如下图所示:根签发系统i|iiI数抠耐服务舀交换机KMCKA21LDAP取务希9,数m:服务羽j、庇书发布系统证书裳发系统边弓二能注册审核系统RA1注质管iw业芻终端mu终苏脱的豈窒码机签发服务器I录入,申核阔哲理/审计终収务器证终端端应码机图6CA系统网络拓扑示意图从LDAP第 #页共11页第 #页共11页第 #页共11页第 #页共11页密钥管理中心的构成如下图所示：

9、第 页共11页第 页共11页密钿管理中心客户端密钥管理中心服务器图7密钥管理中心拓扑示意图各省市（通卡公司）的工作CA构成与住房和城乡建设部IC卡应用服务中心相同，只是没有根CAo部屈的工作CA负责颁发读写器和服务器证书；各省市（通卡公司）的工作CA负责颁发卡公司、充值终端和读写器（双证书）的证书。各工作CA的LDAP服务器需要进行同步，证书状态一有变化，就能及时反映到所有的证书发布系统。5.CA系统在交易过程中的应用本方案以Ml卡在线充值为例介绍CA此系统在交易过程中的应用。CA系统证书下发流程如下图所示：图8证书下发流程图证书下发流程说明：n建设部统一签发各个城市一卡通公司的证书、读卡器证

10、书（用于接入充値系统时进行身份认证）和用于在线支付平台的WEB服务器证书、客户端证书和服务器证书。n读写器安装建设部和城市通卡鬥己发行的双证书。n城市一卡通公司的签发证书由建设部统一签发。应用流程如图9所示：图9在线充值应用流程图整个交易过程有如下儿个步骤：n读写器在接入充值系统时需耍进行身份验证，只有安装有部颁证书的读写器才能通过认证；n充值客户端接入城市一卡通系统时需耍进行证书（省市颁）验证；n交易发生时，读写器并用H己的私钥对交易数据进行签名，充值系统传送交易数据并记录交易日志；图10CA体系对比图第10页共II页第 #页共11页n城市一卡通系统通过使用H己颁发的读卡器证书验证签名信息来验证交易数据及卡信息是否被篡改，并检査卡信息；n验证通过后返回充值允许信息（充值密钥和数据脚本），并用IH己的私钥进行签名；n充值系统通过验证签名信息來验证返回信息合法性；n读写器进行充值，并且签名充值结果数据；n充值系统记录并传递充值结果数据给城市一卡通系统；n城市一卡通系统验证充值结果数据的合法性；n交易结束。6.建设部CA体系与第三方CA体系比较建设部CA体系第三方CA体系第三方CAI通卡公司证书7读卡器证书通过图10的