电子商务安全基础.ppt

第二篇 电子商务安全技术,电子商务安全技术 Security Techniques Of Electronic Commerce,第六章 电子商务支付安全技术,第六章 电子商务支付安全技术,6.2 电子支付安全技术,6.1 电子支付系统,实训,6.1 电子支付系统,6.1 电子支付系统,电子支付系统的概述,美国法律学会批准的统一商业法规对电子支付作了如下定义：电子支付是支付命令发送方把存放在商业银行的资金，通过一条网络线路划入收益方开户银行，以支付给收益方的一系列转移过程。,电子支付的定义,6.1 电子支付系统,电子支付系统的概述,电子支付的方式,通常认为电子商务支付系统是电子商务系统的重要组成部分，它指的是消费者、商家和金融机构之间使用安全电子手段交换商品或服务，即把新型支付手段的支付信息通过网络安全传送到银行或相应的处理机构，来实现电子支付。目前在电子商务支付结算过程主要采用两种基本方式，即传统的支付方式和网上（电子）支付方式，如图6-1所示。,图6-1 电子商务的支付方式,6.1 电子支付系统,电子支付系统的概述,第一阶段银行利用计算机及网络处理银行之间的业务，办理结算； 第二阶段银行与其他机构之间计算机之间资金的结算，如代发工资等业务； 第三阶段利用网络终端向客户提供各项银行服务，如为客户在自动柜员机(ATM)上提供的取存款服务等； 第四阶段利用银行销售点终端 (POS) 向客户提供自动的划账服务，这是现阶段电子支付的主要方式； 第五阶段通过因特网进行直接转账结算，即网上支付。,电子支付的发展阶段,6.1 电子支付系统,电子支付系统的概述,电子支付的特点,1. 电子支付是在开放的网络系统中以先进信息技术来完成信息传输，其各种支付方式都是采用数字化的方式进行款项支付的，而传统的交易支付方式则以传统的通信媒介通过现金流转、票据转让和银行的汇兑等物理实体来完成款项的支付。 2. 电子支付的工作环境是基于一个开放的系统平台(互联网)，而传统支付则是在较为封闭的系统中运作。 3. 电子支付对软、硬件设施的要求很高，一般要求有联网的微机、相关的软件及其一些配套设施，而传统的交易支付方式对实施没有什么特殊的要求。,6.1 电子支付系统,电子支付系统的概述,电子支付的特点,4. 电子支付具有方便、快捷、高效、经济的优势，用户只要拥有一台联网的微机，便可足不出户，在很短的时间内完成整个支付过程。支付费用仅相当于传统支付方法的几十分之一，甚至几百分之一。 5. 由于电子支付工具、支付过程具有无形化的特征，它将传统支付方式中面对面的信用关系虚拟化。如对支付工具的安全管理不是依靠普通的防伪技术，而是通过用户密码，软硬件加、解密系统以及路由器等网络设备的安全保护功能来实现的；为保证支付工具的通用性，需制定一系列标准。,6.1 电子支付系统,电子支付系统的概述,电子支付流程,1. 消费者向商户发送购物请求； 2. 商户把消费者的支付指令通过支付网点送往商户开户行(收单行)； 3. 收单行通过专用网络从消费者开户行(发卡行)取得支付授权后，把授权信息送回商户； 4. 商户取得授权后，向消费者发送购物回应信息； 5. 如果支付获取与支付授权并非同时完成的话，商户还要通过支付网关向收单行发送支付获取请求，以把该笔交易的金额转账到商户帐户中； 6. 银行之间则通过自身的支付清算网络来完成最后的行间清算。,6.1 电子支付系统,电子支付系统的概述,电子支付流程,图6-2 网上支付流程,6.1 电子支付系统,电子支付系统的概述,电子支付系统的构成,1. 客户 2. 商家 3. 银行 4. 认证机构,图6-3 电子支付系统的基本构成,6.1 电子支付系统,电子支付系统的概述,电子支付方式,根据系统中使用的支付工具不同，大致可以将电子支付方式系统分为以下四大类： （1）电子信用卡系统，如Visa、MasterCard等； （2）数字化电子现金系统，如ECash等； （3）电子资金传输电子支票系统，如E-check、NetBill、Netcheck等； （4）网上银行。,6.1 电子支付系统,电子支付系统的概述,电子支付功能,对于一个支付系统而言(可能专门针对一方支付方式，也可能兼容几种支付方式)，它应有以下的功能： 1. 必须使用数字签名和数字证书实现对各方的认证; 2. 使用加密算法对业务进行加密; 3. 使用消息摘要算法以确认业务的完整性; 4. 保证对业务的不可否认性; 5. 处理多方贸易业务的多边支付问题;,6.1 电子支付系统,电子支付系统的概述,银行卡,银行卡的种类较多，从物理特性上分，主要有磁条卡和IC卡；从与银行账户的关系上分，主要有借记卡、信用卡和贷记卡；从用途上分，主要有信用卡、转账卡、提现卡；从使用范围上分有个人卡和单位卡。在此主要介绍借记卡、贷记卡和信用卡。,账号直接传输方式 专用账号方式 专用协议方式 SET方式,银行卡网上支付方式,6.1 电子支付系统,电子支付系统的概述,信用卡网上支付系统, 客户访问主页；浏览商品，验证商家CA证书，申请空白订货单。 客户挑选商品，填写订单。同时插入信用卡，输入身份识别码PIN，由浏览器扩展部分进行验证，如果符合就打开信用卡，读取卡中数据，并由用户形成支付指令，与订单同时发往商家。 商家后端服务器中的支付处理模块在收到订单信息和支付信息之后，初步确认客户的交易意图，在对客户身份认证完成之后，将两种信息发往信用卡信息中心进行确认并申请授权。,6.1 电子支付系统,电子支付系统的概述,信用卡网上支付系统, 经支付网关检查过的合法支付指令被传送到信用卡信息中心进行联机实时处理，经过卡的真实性、持卡人身份合法性以及信用额度的确认后，信用卡信息中心决定是否授权，并将产生结果传回商家服务器。 接到信用卡授权之后，商家便可继续交易，并向客户发送交易完成的信息，组织向客户发送货物。 信用卡信息中心将信用卡授权产生的转账结算数据传往收单行进行账务处理。时间可在当日，次日，或约定的一定时间间隔内。,6.1 电子支付系统,电子支付系统的概述,信用卡网上支付系统, 收单行将转账数据及相关信息传往发卡行进行认证(注：在信用卡信息中心的认证基础之上的再认证，充分保证支付系统的安全性)。 转账业务经发卡行认证传回收单行。同时，发卡行将客户的消费金额记入其消费信贷账户中，并开始计息；收单行则把商家的货款收入记入其存款账户中。至此，转账过程结束。 转账结果再分别由发卡行和收单行传往信用卡信息中心，以便它更新数据库，从而方便商家和客户的查询。,6.1 电子支付系统,电子支付系统的概述,信用卡网上支付系统,图6-4 信用卡支付系统结构图,6.1 电子支付系统,电子支付系统的概述,银行卡所面临的安全问题,（1）银行卡在公网上传输，数据被黑客或内部人员窃取； （2）客户的个人信息，在电子商务过程中被商家或第三方获取而造成泄露； （3）由于通讯线路的问题，造成交易数据丢失； （4）不同的公司和银行的操作平台的存在兼容性问题导致交易故障。,6.1 电子支付系统,电子支付系统的概述,电子现金,电子现金（Electronic Cash）也叫数字现金（Digital Money），是一种以数字形式流通的货币。它把现金数值转换成为一系列的加密序列数，通过这些序列数来表示现实中各种金额的币值。它通常具有纸质现金的货币价值、可交换性、可存储性和可重复性等属性和多用途、匿名性、使用灵活和快速简便等特点，可以满足及时支付要求等。,6.1 电子支付系统,电子支付系统的概述,电子现金的种类,目前已开发的各种电子现金主要有智能(IC)卡形式和硬盘数据文件形式两类。 智能卡形式的电子现金 硬盘数据文件形式的电子现金,6.1 电子支付系统,电子支付系统的概述,电子现金支付系统,电子现金支付系统是一种“预先付款“的支付系统。它的特点则是不直接对应任何账户，持有者事先预付资金，便可获得相应货币值的电子现金(智能卡或硬盘文件)用于网上支付，因此，可以离线操作。任何电子现金支付系统必须包含一些共同的特征，电子现金也必须具有货币价值、互操作性、可恢复性以及安全性。 常用的电子现金系统有“Ecash”、“Worldpay”、“DigiCash”等。,6.1 电子支付系统,电子支付系统的概述,电子现金进行支付的流程,顾客到银行开户，存入真正的现金，在网络银行买了一定的电子现金，存储在本地计算机中。 顾客在网上购物时使用电子现金向商家支付，电子现金经加密后传输给商家服务器。 商品将收到的电子现金发送到开户银行，要求兑付真正的现金。 商家开户行对数字签名进行验证后，通过银行专用网络与客户开户行进行清算，并将清算金额转拨给商家。 商家根据客户提交的购物单给客户发送货物。,6.1 电子支付系统,电子支付系统的概述,电子现金所面临的安全问题,（1）重复花费。电子现金的重复使用。 （2）电子现金的伪造。在电子商务中使用未经授权私自制造的电子现金。 （3）电子现金被盗。电子现金被未经授权方非法使用。,6.1 电子支付系统,电子支付系统的概述,电子支票,电子支票是完全电子化的支票形式，它是一种借鉴纸质支票转移支付的优点，利用计算机网络传递经付款人私钥加密的写有相关信息的电子文件，进行资金转账的电子付款形式。多数使用公用关键字加密签名或个人身份密码(PIN)代替手写签名。利用电子支票，可以使支票支付的业务和全部处理过程实现电子化。,6.1 电子支付系统,电子支付系统的概述,电子支票的特点,（1） 电子支票和传统支票功能相同，操作业务流程相近，易于理解和接受。 （2） 加密的电子支票易于流通，银行只要用公钥认证支票即可，数字签名也可被自动验证。 （3） 电子支票尤其适用于B2B等大额电子商务交易，可以很容易与EDI应用结合，推动基于EDI的电子交易和支付。 （4） 第三方金融机构不仅可以从交易双方收取固定交易费用或按一定比例提取费用，而且还可以从提供存款账目和无利息的电子支票存款账户上获利。 （5） 电子支票技术将因特网与金融支付和银行清算网络相连接。,6.1 电子支付系统,电子支付系统的概述,电子支票的业务流程,（1）客户用专用软件生成一个特定格式的电子支票，该支票包含有用户的数字签名。 （2）客户用某种安全的方式将电子支票传给商家。 （3）商家对收到的电子支票进行验证，如果是有效的，商家向自己的开户行发送背书支票，同时开出一张电子存款单。 （4）客户的开户行验证客户签名和商家签名，将上述信息通过银行专用网络送给客户的开户行，要求转账。,6.1 电子支付系统,电子支付系统的概述,（5）客户的开户行验证客户签名，与商家的开户进行清算，并将清算结果反馈给客户和商家。 （6）商家的开户行将清算金额转入商家的户头。商家向客户发货，并将电子发票寄送给客户。,电子支票的业务流程,图6-5 电子支票交易流程流程图,6.1 电子支付系统,电子支付系统的概述,电子支票所面临的安全问题,（1）电子支票面临着被窃听、篡改的危险。 （2）电子支票的支付有别于传统的纸质支票，支票的传送主要是通过网络实现，很难当面完成交易，这要求实施电子支票的系统能够提供交易双方身份的认证。 （3）商业运作中，存在很多伪造，抵赖的行为，由于不存在纸质的签名，电子支票必须提供必要的保障，防止对于交易的抵赖以及对支票的伪造。,6.1 电子支付系统,电子支付系统的概述,网上银行,网上银行是借助于互联网数字通信技术,向客户提供金融信息发布和金融交易服务的电子银行,它是传统银行业务在互联网上的延伸,是一种电子虚拟世界的银行。网上银行一般有两个注册地址，一是地理位置上的注册地址, 另一个是网上的注册地址(网址)。网上银行利用Internet开展金融业务，它直接在Internet上建立站点，人们可以通过浏览器等各种方式进入它的主页。网上银行不需要分支机构，通过Internet伸向全世界的每个角落，其活动的“空间”更广阔，时间更灵活.,6.1 电子支付系统,电子支付系统的概述,网上银行的优势, 突破了传统的银行业务操作模式。 使用简单，客户只要一台能上网的电脑就可使用网上银行提供的各种服务。 服务多样化。目前网上银行可以满足客户各种各样的需求。 用户使用成本低廉。 银行交易成本降低。 网上银行可以突破时间、空间限制，提高工作效率。 提升银行形象，增强客户对银行的信心。,6.1 电子支付系统,电子支付系统的概述,网上银行的特点,（1）以已有的业务处理系统为基础 （2）采用InternetIntranet技术 （3）将现有的业务系统有机地联系起来 （4）提供综合服务,6.1 电子支付系统,电子支付系统的概述,网上银行的模块,（1）账户申请处理模块 （2）支付授权处理模块 （3）网上支付处理模块 （4）清算业务模块 （5）系统管理模块,6.1 电子支付系统,电子支付系统的概述,网上银行功能,（1）银行业务 （2）商业服务 （3) 信息发布,网上银行的安全问题,（1）数据传输系统被破坏。 （2）网上银行应用系统的设计缺陷。 （3）计算机病毒的攻击。,6.1 电子支付系统,电子支付系统的概述,电子支付的其它方式,自动柜员机（ATM） 电子智能卡 电子钱包 POS系统 SWIFT系统,6.1 电子支付系统,完善电子支付所面临的几个问题,完善电子支付所面临的问题,电子支付所面临的法律问题; 电子支付功能和手段有待突破的问题; 电子支付系统的风险防范问题; 与电子支付有关的洗钱及其对策.,6.1 电子支付系统,完善电子支付所面临的几个问题,电子支付所面临的法律问题,电子支付的安全问题。 电子支付规范标准不统一问题。 各方权利义务不明确、法律责任不清问题。 电子支付的监管问题。 关税收入问题。 违法责任的法律分担问题。,6.1 电子支付系统,完善电子支付所面临的几个问题,电子支付所面临的法律问题,电子支付的安全问题。 电子支付规范标准不统一问题。 各方权利义务不明确、法律责任不清问题。 电子支付的监管问题。 关税收入问题。 违法责任的法律分担问题。,6.2 电子支付安全技术,6.2 电子支付安全技术,电子支付所面临的安全隐患,（1）电子支付制度也和其他传统的付款方式相同，都会因为被他人冒领、盗领款项而发生损失（例如有人侵入他人网络系统，或伪造他人私钥或信用卡等资料），而网络电子支付制度若无法保障交易安全，可能会使消费者遭受更大的财务损失。 （2）电子支付系统若发生断线、操作错误等问题时，对消费者经济方面造成损失的可能性。消费者在利用电子支付方式时，亦可能发生虽然有钱，但是却因为断线、厂商拒收或是其他原因，而无法在一定时间、地区完成特定金额交易的困扰。,6.2 电子支付安全技术,电子支付所面临的安全隐患,（3）消费者在从事电子支付时，还可能面临另一个挑战，那就是所有的付款资讯可能未经消费者的同意即被收集或是向第三人披露，甚至被冒用或是其他不利于消费者利益的目的而使用，反而侵害消费者的隐私权。 （4）电子支付工具的使用，亦可能造成新的犯罪问题。,6.3 实训,一 实验条件,1.硬件环境要求： CPU：至少550 MHz，最多支持四个CPU； 内存：至少256 MB； 硬盘空间：150 MB以上，不含缓存使用的磁盘空间。 2.软件环境要求： 操作系统：Windows 2000 或 Windows XP 操作系统。 3.网络环境： 网络适配器：必须为每个主机网络单独准备一个网络适配器，并可连接互联网。,6.3 实训,二 实验内容,1. 申请建设银行“龙卡” 2. 申请建设银行网上银行服务 3. 网上商店购物,