第11章安全电子交易

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第11章安全电子交易,第十一章,安全电子交易,11.1,电子交易的基本流程,11.2,电子交易的安全标准,11.3,安全电子交换协议,SET,简述,11.4 SET,的安全需求与特征,11.5 SET,中的支付处理,11.6 SET,存在的问题,（1）,电子交易的基本流程,（2）,SSL协议与常用数据交换协议,（3）,安全电子交换协议SET的基本原理,（4）,SET中的支付处理过程,（5）,SET存在的问题,本章学习目标,11.1 电子交易的基本流程,如图11-1所示，网络网际付款的流程有6个步骤。,11.2 电子交易的安全标准,11.2.1,常用数据交换协议,11.2.2 SSL,协议,11.2.1 常用数据交换协议,电子数据交换（EDI）,开放贸易协议（OTP）,开放数据标准（OPS）,加密套接字层（SSL）,安全电子交易（SET）,11.2.2 SSL协议,SSL提供3种基本的安全服务：信息加密、信息完整性和相互认证。,1SSL安全协议的基本概念,SSL安全协议主要提供三方面的服务：,加密数据以隐藏被传送的数据。,维护数据的完整性，确保数据在传输过程中不被改变。,认证用户和服务器，使得它们能够确信数据将被发送到正确的客户机和服务器上。,2SSL安全协议的运行步骤,SSL的运行过程包括六步：,（1）接通阶段，客户通过网络向服务商打招呼，服务商回应。,（2）密码交换阶段，客户与服务商之间交换双方认可的密码。一般选用RSA密码算法，也有的选用Diffie-Hellman和Fortezza-KEA密码算法。,（3）会谈密码阶段，客户与服务商间产生彼此交谈的会谈密码。,（4）检验阶段，检验服务商取得的密码。,（5）客户认证阶段，验证客户的可信度。,（6）结束阶段，客户与服务商之间相互交换结束的信息。,3,SSL,安全协议的应用,SSL,安全协议也是国际上最早应用于电子商务的一种网络安全协议，至今仍然有许多网上商店在使用。在点对点的网上银行业务中也经常使用。该协议已成为事实上的工业标准，并被广泛应用于,Internet,和,Intranet,的服务器产品和客户端产品中。如网景公司、微软公司、,IBM,公司等领导,Internet/Intranet,网络产品的公司已在使用该协议。,4,SET,协议和,SSL,协议的区别,SET,协议和,SSL,协议的区别如表,11-1,所示。,11.3,安全电子交换协议,SET,简述,11.3.1 SET,的基本概念,11.3.2 SET,的基本原理,11.3.1 SET,的基本概念,1,SET,安全协议的主要目标,SET,是一个基于可信的第三方认证中心的方案，它要实现的主要目标有下列三个方面：,（,1,）保障付款安全。,（,2,）确定应用的互通性。,（,3,）达到全球市场的接受性。,SET协议保证了电子交易的机密性、数据完整性、身份的合法性和不可否认性。,2,SET,安全协议涉及的范围,一项,SET,交易由以下几个部分组成，如图,11-3,所示。,交易过程如图,11-4,所示。其运作方式如下所述：,3,SET,的通信过程,SET,的通信过程如图,11-5,所示。,4,SET,的认证,在用户身份认证方面，,SET,引入了证书（,Certificates,）和认证机构（,Certificates Authorities,）机制。,（1）证书。证书就是一份文档，它记录了用户的公共密钥和其他身份信息。在SET中，最主要的证书是持卡人证书和商家证书。,（2）认证机构。CA是受一个或多个用户信任，提供用户身份验证的第三方机构。,（,3,）证书的树形验证结构。在两方通信时，通过出示由某个,CA,签发的证书来证明自己的身份。,5,SET,标准的应用,自,1996,年起，,34,个国家的,150,多家金融机构制定了,SET,试行方案。从新加坡到旧金山的信用卡公司都开始建造,SET,交易网关，软件厂家则着手开发支持,SET,的应用软件。,安全电子交易,SET,是一种电子支付过程标准，用以保护网上支付卡交易的每一个环节，由,VISA,和,Master Card,合作产生，同时采用,IBM,、,GTE,、,Microsoft,、,Netscape,、,RSA,、,SAIC,、,Terisa,、,VeriSign,等多个公司的技术，是专为网上支付卡业务安全所制定的惟一有意义的标准。它保证电子支付卡交易的安全进行、加密付款信息被安全地发送。,SET,标准主要由,3,个文件组成：,SET,业务描述、,SET,程序员指南和,SET,协议描述。,11.3.2 SET,的基本原理,SET协议规定了交易各方进行安全交易的具体流程。SET协议执行步骤与常规的信用卡交易过程基本相同，只是它是通过因特网来实现的。SET协议执行步骤与常规的信用卡交易过程基本相同，只是它是通过因特网来实现的。SET提供了3种服务：,在交易涉及的各方之间提供安全的通信信道。,通过使用X.509v3数字证书进行认证。,保证机密性，因为信息只是在必要的时候、必要的地方才对交易各方可用。,SET协议规定的工作流程如下：,（1）用户向商家发送购货单和一份经过签名、加密的信托书。书中的信用卡号是经过加密的，商家无从得知。,（2）商家把信托书传送到收单银行，收单银行可以解密信用卡号，并通过认证验证签名。,（3）收单银行向发卡银行查问，确认用户信用卡是否属实。,（4）发卡银行认可并签证该笔交易。,（5）收单银行认可商家并签证此交易。,（6）商家向用户传送货物和收据。,（7）交易成功，商家向收单银行索款。,（8）收单银行按合同将货款划给商家。,（9）发卡银行向用户定期寄去信用卡消费账单。,11.4 SET,的安全需求与特征,11.4.1 SET,的安全需求,11.4.2 SET,的关键特征,11.4.3 SET,的购物流程,11.4.4 SET,的双向签名,11.4.1 SET,的安全需求,SET,规约列出了以下一些在,Internet,和其他网络上使用信用卡进行安全支付处理的商业需求。,（,1,）对支付和订购信息提供机密性，使卡的用户确信这个信息是安全的并只能被持卡者访问是必要的。,（,2,）保证所有传输数据的完整性，即保证在,SET,报文传输过程中不会出现对内容的修改。,SET,使用数字签名来保证完整性。,（,3,）认证中心机制，可验证使用者（消费者与经销商）的合法性，对卡的拥有者是否是信用卡账户的合法用户提供鉴证。,（,4,）通过与金融机构的关系对商家是否可以接受信用卡交易提供鉴证，这是前面需求的补充。,（,5,）保证使用最好的安全策略和系统设计技术来保护电子商务交易中的所有合法方。,SET,基于高度安全的加密算法和协议上经过很好测试的规约。,（,6,）确保不完全依靠内部使用的安全机制，但认证协议也不会妨碍安全机制运作。,（,7,）具有不同软件与网络间相互运作的能力，方便和鼓励软件和网络提供者之间的互操作性。,（,8,）确保安全系统设计和安全性。,11.4.2 SET,的关键特征,为了满足上述需求，安全电子交易（,SET,）交易标准具有下列特性：,（,1,）保证信息的保密性。,（,2,）保证数据的完整性。,（,3,）验证商户和持卡人。,使用消费者的电子证书与数字签章来验证消费者。使用经销商的电子证书与数字签章来验证经销商。由权威的、受到广泛信赖的认证机构（即,CA,）对交易各方身份进行认证。,认证过程分为：,1,）卡用户账号的鉴别，,SET,使得商家能够验证卡用户是有效的卡账号的合法用户。,2,）商家的鉴别，,SET,使得卡用户可以验证商家与金融机构存在某种关系，允许它接受支付信用卡。,（4）使用明确的协议与信息格式，以提供不同软硬件间互相运作的能力。,11.4.3 SET,的购物流程,SET,主要适用于因特网上的卡交易。SET交易虽然没有传统的面对面交易过程，但与传统交易类似，也涉及3种实体：持卡人（Card Holder）、商户（Merchant）和金融机构（Financial Institution）。SET的购物流程。,1购物请求,2授权请求,3扣款请求,11.4.4 SET,的双向签名,SET,引入的一个重要技术：双向签名（如图,11-7,所示）。双向签名的目的是为了连接两个发送给不同接收者的报文。在这种情况下，消费者想要将订购信息（,OI,）发送给商家，将支付信息（,H,）发送给银行，商家不必知道消费者的信用卡号码，银行也不必知道消费者订单的细节。消费者被提供了私有性的额外保护使得这两个项目分离。,11.5 SET,中的支付处理,11.5.1,交易过程,11.5.2,支付认可,11.5.3 支付获取,11.5.1,交易过程,在交易过程中，所有的消息传输都在消费者与商店、商店与银行（付款银行）之间。,SET,支持的交易主要包括：,购买请求。,支付认可。,支付获取。,购买请求交换由,4,个报文组成：发起请求、发起响应、购买请求和购买响应。,11.5.2,支付认可,支付认可交换由两个报文组成：认可请求和认可响应。商家向支付网关发送一个认可请求报文，该报文由下面几个部分组成。,1,与购买有关的信息,2,与认可有关的信息,3,证书,11.5.3,支付获取,为了获得支付，商家在支付获取交易中雇用支付网关，由获取请求和获取响应报文组成。,对于获取请求报文，商家生成、签名和加密获取请求数据块，这个数据块中包括了支付的数量和交易,ID,。这个报文还包括以前收到的这个交易的加密的获取权标（在认可响应中），以及商家的签名密钥和交换密钥的证书。,当支付网关收到了获取请求报文时，它解密并验证获取请求数据块，解密并验证获取权标块。然后，它检查获取请求和获取权标的一致性。接着，它创建清算请求并通过私有支付网络发送给发行者。这个请求引起资金被划拨到商家的账户中。,11.6 SET,存在的问题,SET,规范是在,1997,年推出的，但是目前,SET,协议的应用并不多，目前,SET,协议在应用中发现主要存在以下问题：,（1）SET只支持信用卡消费。,（2）SET报文消息太复杂。,（3）SET涉及的实体较多。,（4）SET对智能卡支持不够。,（5）SET消费模式的差别。,THANK YOU VERY MUCH！,本章到此结束，,谢谢您的光临！,演讲完毕，谢谢观看！,内容总结,第十一章安全电子交易。（2）SSL协议与常用数据交换协议。4SET协议和SSL协议的区别。SET协议和SSL协议的区别如表11-1所示。SET是一个基于可信的第三方认证中心的方案，它要实现的主要目标有下列三个方面：。在两方通信时，通过出示由某个CA签发的证书来证明自己的身份。从新加坡到旧金山的信用卡公司都开始建造SET交易网关，软件厂家则着手开发支持SET的应用软件。SET协议执行步骤与常规的信用卡交易过程基本相同，只是它是通过因特网来实现的。在交易涉及的各方之间提供安全的通信信道。书中的信用卡号是经过加密的，商家无从得知。（1）对支付和订购信息提供机密性，使卡的用户确信这个信息是安全的并只能被持卡者访问是必要的。SET基于高度安全的加密算法和协议上经过很好测试的规约。（7）具有不同软件与网络间相互运作的能力，方便和鼓励软件和网络提供者之间的互操作性。双向签名的目的是为了连接两个发送给不同接收者的报文,