第四章网络支付的安全及相关安全技术优秀PPT.ppt

第四章 网络支付的平安及相关平安技术4.1 4.1 网络支付的平安问题与需求网络支付的平安问题与需求4.2 4.2 网络支付的平安策略及解决方法网络支付的平安策略及解决方法4.3 4.3 网络支付平台的平安及防火墙技术网络支付平台的平安及防火墙技术4.4 4.4 数据机密性技术数据机密性技术4.5 4.5 数据完整性技术数据完整性技术4.6 4.6 数字证书与认证中心数字证书与认证中心CACA4.7 4.7 平安网上支付的平安网上支付的SSLSSL与与SETSET协议机制协议机制主要内容主要内容一、网络支付的平安问题与需求一、网络支付的平安问题与需求l 1.网络支付面临的平安问题v1.1.电子商务的主要平安隐患电子商务的主要平安隐患v 1 1）系统的中断与瘫痪）系统的中断与瘫痪v 2 2）信息被盗听）信息被盗听v 3 3）信息被篡改）信息被篡改v 4 4）信息被伪造）信息被伪造v 5 5）对交易行为抵赖）对交易行为抵赖 一、网络支付的平安问题与需求一、网络支付的平安问题与需求l 1.网络支付面临的平安问题v2.2.网络支付的主要平安隐患网络支付的主要平安隐患v1 1）支付账号和密码等隐私支付信息被盗）支付账号和密码等隐私支付信息被盗取或盗用取或盗用v2 2）支付金额被更改）支付金额被更改v3 3）无法有效验证收款方的身份）无法有效验证收款方的身份v4 4）对支付行为进行抵赖、修改或否认）对支付行为进行抵赖、修改或否认v5 5）网络支付系统瘫痪）网络支付系统瘫痪 一、网络支付的平安问题与需求一、网络支付的平安问题与需求l 2.网络支付的平安需求1.网络上资金流数据的保密性2.相关网络支付结算数据的完整性3.网络上资金结算双方身份的认定4.不行抵赖性5.保证网络支付系统的运行牢靠、快捷，做好 数据备份与灾难复原功能二、网络支付的平安策略及解决方法二、网络支付的平安策略及解决方法l 1.网络支付平安策略制定的目的、涵义和原则v 1.制定网络支付平安策略的目的制定网络支付平安策略的目的保障相关支付结算信息的机密性、完整性、认证性、不行否认性、不行拒绝性和访问限制性不被破坏；能够有序地、常常地鉴别和测试平安状态；能够对可能的风险做基本评估；系统的平安被破坏后的复原工作。二、网络支付的平安策略及解决方法二、网络支付的平安策略及解决方法l 1.网络支付平安策略制定的目的、涵义和原则v 2.网络支付平安策略的涵义网络支付平安策略的涵义 平安策略必需包含对平安问题的多方面考虑因素。平安策略一般要包含以下内容：认证；访问限制：保密；数据完整性；审计。二、网络支付的平安策略及解决方法二、网络支付的平安策略及解决方法l 1.网络支付平安策略制定的目的、涵义和原则v 3.制定网络支付平安策略的基本原则制定网络支付平安策略的基本原则 (1)预防为主 (2)必需依据网络支付结算的平安须要和目标来制定平安策略 (3)依据驾驭的实际信息分析二、网络支付的平安策略及解决方法二、网络支付的平安策略及解决方法l 2.网络支付平安策略的主要内容1.定义实现平安的网络支付结算的爱护资源金融机构金融机构公正第三方公正第三方税务等政府机构税务等政府机构平安的通信通道平安的通信通道交易方交易方A：机：机密支付信息密支付信息交易方交易方B：机：机密支付信息密支付信息平安的网络支付系统组成示意图 平安策略具体内容中要定义爱护的资源，要定义爱护的风险，要吃透电子商务平安的法律法规，最终要建立平安策略和确定一套平安机制。2.定义爱护的风险 每一新的网络支付方式推出与应用，均有确定的风险，因为确定平安的支付手段是没有的，要进行相关风险分析。还要留意网络支付工具运用平安与运用便利、快捷之间的辩证关系。3.吃透电子商务平安与网络支付平安的法律法规4.建立相关平安策略和确定一套平安机制 平安策略中最终要依据定义的爱护资源、定义的爱护风险、电子商务平安的法律法规，建立平安策略和确定一套平安机制。平安策略是由个人或组织针对网络支付结算平安全面制定的，平安机制是实现平安策略的手段或技术、整套规则和决策 二、网络支付的平安策略及解决方法二、网络支付的平安策略及解决方法l 3.保证网络支付平安的解决方法 (1)交易方身份认证 (2)网络支付数据流内容保密 (3)网络支付数据流内容完整性 (4)保证对网络支付行为内容的不行否认性 (5)处理多方贸易业务的多边支付问题 (6)网络支付系统软件、支撑网络平台的正常运行 (7)政府支持相关管理机构的建立和电子商务法律的制定 本章后面的内容就分别叙述相关的方法与解决手段的原理与应用 三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 1.网络平台系统的构成及其主要平安威逼 网络平台系统的构成Intranet 电子商务服务器电子商务服务器银行专网银行专网Internet客户机客户机 支付网关支付网关支持网络支付的Internet网络平台系统组成示意图三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 1.网络平台系统的构成及其主要平安威逼 公共通信通道公共通信通道InternetInternet的平安威逼的平安威逼 截断堵塞：如切断通讯线路、毁坏硬件、病毒瘫痪软件系统、冗截断堵塞：如切断通讯线路、毁坏硬件、病毒瘫痪软件系统、冗余信息堵塞网络通道等）余信息堵塞网络通道等）伪造：伪造客户或商家信息，假冒身份以骗取财物。伪造：伪造客户或商家信息，假冒身份以骗取财物。篡改：为某目的对相关网络支付信息进行篡改篡改：为某目的对相关网络支付信息进行篡改 介入：利用特殊软件工具提取介入：利用特殊软件工具提取InternetInternet上通信的数据，以期破解上通信的数据，以期破解信息；或进行信息流量分析，对信息的流淌状况进行分析；或非法信息；或进行信息流量分析，对信息的流淌状况进行分析；或非法进入系统或数据库，进行破坏、进入系统或数据库，进行破坏、COPYCOPY等。等。三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 1.网络平台系统的构成及其主要平安威逼 Intranet Intranet的最基本平安需求的最基本平安需求 网络边界的平安网络边界的平安 内部网络的平安内部网络的平安 身份验证身份验证 授权管理授权管理 数据的保密性和完整性数据的保密性和完整性 完整的审计、记录、备份机制，以便分析处理完整的审计、记录、备份机制，以便分析处理三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 2.Internet网络平台系统的平安措施l Internet网络平台上平安措施主要从爱护网络平安、爱护应用的平安和爱护系统平安三个方面来叙述。1.1.爱护网络平安爱护网络平安(1)全面规划网络平台的平安策略(2)制定网络平安管理措施(3)运用防火墙。(4)尽量记录网络上的一切活动(5)留意对设备的物理爱护(6)检查网络平台系统脆弱性(7)牢靠的识别和鉴别 2.2.爱护应用的平安爱护应用的平安 应用平安是针对特定应用(如Web服务器、网络支付专用软件系统)中所建立的平安防护措施，独立于任何网络的平安措施。网络支付协议就很困难，它涉及购货人、零售商和银行之间的转账，不同参与者之间的通信须要不同水平的爱护，须要在应用层上处理。由于现在电子商务中的应用层对平安的要求最严格、最困难，因此更倾向于在应用层而不是在网络层实行各种平安措施。应用层上的平安业务可以涉及认证、访问限制、机密性、数据完整性、不行否认性、Web平安性、EDI和网络支付等应用的平安性。3.3.爱护系统平安爱护系统平安 系统平安性是指从整体系统的角度来进行爱护，它与网络系统硬件平台、操作系统、各种应用软件等相互关联。涉及网络支付结算的系统平安包含下述一些措施：(1)检查和确认安装软件中未知的平安漏洞(2)使系统具有最小穿透风险性(3)对入侵进行检测、审计、追踪三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 1.1.防火墙的定义防火墙的定义 防火墙(Firewall)，是一种由计算机软件和硬件组成的隔离系统设备，用于在Intranet和Internet之间构筑一道防护屏障，能按设置的条件进行区分，实现内外有别。其主要目标是爱护Intranet中的信息、资源等不受来自Internet中非法用户的侵扰，它限制Intranet与Internet之间的全部数据流量。防火墙的应用示意图为：防火墙的应用示意图为：Internet企业内部网络（如企业内部网络（如Intranet)防火墙系统（堡垒主机防火墙系统（堡垒主机+路由器等路由器等）非非安安全全网网络络安安全全网网络络三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 2.2.防火墙的功能防火墙的功能 双向监控功能 设置用户认证等平安限制机制 防火墙本身无法被穿透 明确Intranet的边界三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 3.3.防火墙的组成防火墙的组成Internet网关网关外部过滤器内部过滤器担忧全网络担忧全网络平安网络平安网络防火墙的基本组成框架三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 4.4.电子商务中防火墙与电子商务中防火墙与WebWeb服务器的配置方式服务器的配置方式Internet担忧全网络担忧全网络平安网络平安网络业务Web服务器放在防火墙之内的配置图防火墙+路由器Web服务器服务器三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 4.4.电子商务中防火墙与电子商务中防火墙与WebWeb服务器的配置方式服务器的配置方式Internet担忧全网络担忧全网络平安网络平安网络业务Web服务器放在防火墙之外的配置图防火墙+路由器Web服务器服务器三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 5.5.防火墙的类型防火墙的类型 按防火墙接受的技术分类，主要有包过滤式防火墙、应用级网关和状态检测防火墙包过滤式防火墙包过滤式防火墙Internet包过滤防火墙包过滤防火墙+路由器路由器Intranet优点：对用户来说优点：对用户来说是透亮的，处理速是透亮的，处理速度快，易于维护，度快，易于维护，进行网络及维护进行网络及维护缺点：不能鉴别不缺点：不能鉴别不同的用户和防止同的用户和防止IP地址盗用，配置繁地址盗用，配置繁琐琐包过滤式的防火墙应用原理示意图 应用级防火墙通常是运行在防火墙上的运行代理服务器软件部分（又名称为应用网关）应用级网关应用级网关Internet优点：比包过滤式优点：比包过滤式防火墙更为平安、防火墙更为平安、牢靠，具体记录全牢靠，具体记录全部访问状态信息部访问状态信息缺点：速度慢，不缺点：速度慢，不允许用户干脆访问允许用户干脆访问网络，透亮性差网络，透亮性差Intranet内部服务器等内部服务器等代代理理服服务务器器路路由由器器应用级网关的应用原理示意图状态监测防火墙状态监测防火墙 运用一个在网关上执行网络平安策略的软件模块，称为监测引擎，是第三代防火墙技术v 原理原理v 监测引擎软件在不影响网络正常运行的前提下，接受抽取有监测引擎软件在不影响网络正常运行的前提下，接受抽取有关数据的方法对网络通信的各层实施监测，抽取状态信息，并动态关数据的方法对网络通信的各层实施监测，抽取状态信息，并动态的保存起来，作为执行平安策略的参考的保存起来，作为执行平安策略的参考三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 6.6.防火墙的优缺点防火墙的优缺点v优点优点1.遏制来自Internet各种路途的攻击2.借助网络服务选择，爱护网络中脆弱的易受攻击的服务3.监视整个网络的平安性，具有实时报警提示功能4.作为部署NAT的逻辑地址5.增加内部网中资源的保密性，强化私有权三、网络支付平台的平安及防火墙技术三、网络支付平台的平安及防火墙技术l 3.3.防火墙技术与应用防火墙技术与应用 6.6.防火墙的优缺点防火墙的优缺点v缺点缺点1.限制了一些有用的网络服务的运用，降低了网络性能2.只能限制内部用户对外的访问，无法防护来自内部网络用户 的攻击3.不能完全防止传送感染病毒的软件或文件，特殊是一些数据 驱动型的攻击数据4.被动防守，不能防备新的网络平安问题四、数据机密性技术四、数据机密性技术l 1.1.私有密钥加密法私有密钥加密法 1.1.私用密钥加密法的定义与应用原理私用密钥加密法的定义与应用原理 信息发送方用一个密钥对要发送的数据进行加密，信息的接收方能用同样的密钥同样的密钥解密，而且只能用这一密钥解密。由于双方所用加密和解密的密钥相同，所以叫作对称由于双方所用加密和解密的密钥相同，所以叫作对称密钥加密法。密钥加密法。比较著名的私有密钥加密算法有比较著名的私有密钥加密算法有DES算法及其各种变形、算法及其各种变形、国际数据加密算法国际数据加密算法IDEA以及以及RC4,RC5等等四、数据机密性技术四、数据机密性技术l 1.1.私有密钥加密法私有密钥加密法 2.2.私用密钥加密法的运用过程私用密钥加密法的运用过程乙银行：乙银行：有一笔有一笔20 000元元资金转帐资金转帐至贵行至贵行12345账号上账号上 甲银行甲银行乙银行：乙银行：有一笔有一笔20 000元元资金转帐资金转帐至贵行至贵行12345账号上账号上 甲银行甲银行密钥密钥A密钥密钥A加密解密信息明文信息明文信息密文信息密文网络传输甲银行乙银行四、四、数据机密性技术数据机密性技术l 2.2.公开密钥加密法公开密钥加密法 1.1.公开密钥加密法的定义与应用原理公开密钥加密法的定义与应用原理 比较著名的公开密钥加密算法有比较著名的公开密钥加密算法有RSA算法、算法、DSA算法等算法等原理：原理：共用2个密钥，在数学上相关数学上相关，称作密钥对密钥对。用密钥对中任何一个密钥加密，可以用另一个密钥解密，而且只能用此密钥对中的另一个密钥解密。商家接受某种算法（秘钥生成程序）生成了这商家接受某种算法（秘钥生成程序）生成了这2个密钥后，个密钥后，将其中一个保存好，叫做私人密钥将其中一个保存好，叫做私人密钥(Private Key)，将另一个密，将另一个密钥公开散发出去，叫做公开密钥钥公开散发出去，叫做公开密钥(Public Key)。四、数据机密性技术四、数据机密性技术l 2.2.公开密钥加密法公开密钥加密法 2.2.公开密钥加密法的运用过程公开密钥加密法的运用过程乙银行：乙银行：有一笔有一笔20 000元元资金转帐资金转帐至贵行至贵行12345账号上账号上 客户甲客户甲乙银行：乙银行：有一笔有一笔20 000元元资金转帐资金转帐至贵行至贵行12345账号上账号上 客户甲客户甲加密解密支付通知明文支付通知明文支付通知密文支付通知密文网络传输客户甲乙银行公钥公钥私钥私钥 BA实现了定点实现了定点保密通知保密通知四、数据机密性技术四、数据机密性技术l 2.2.公开密钥加密法公开密钥加密法 2.2.公开密钥加密法的运用过程公开密钥加密法的运用过程客户甲：客户甲：本行已将本行已将20 000元元资金从你账资金从你账号转移至号转移至12345账号上账号上 乙银行乙银行解密加密支付确认明文支付确认明文支付确认密文支付确认密文网络传输客户甲乙银行公钥公钥私钥私钥 BA网络银行不能网络银行不能否认或抵赖否认或抵赖客户甲：客户甲：本行已将本行已将20 000元元资金从你账资金从你账号转移至号转移至12345账号上账号上 乙银行乙银行四、数据机密性技术四、数据机密性技术l 3.3.私有密钥加密法和私有密钥加密法和公开密钥加密法的比较公开密钥加密法的比较DES算法RSA算法加密、解密的处理效率加密、解密的处理效率快慢密钥的分发与管理密钥的分发与管理密钥变更困难，需产生和保管巨量的不同密钥更新加密密钥容易，对不同的通信对象，只需保存自己的私钥安全性安全性好好数字签名和认证数字签名和认证不能实现能实现四、数据机密性技术四、数据机密性技术l 4.4.数字信封数字信封 1.1.数字信封的定义和应用原理数字信封的定义和应用原理 对需传送的信息（如电子合同、支付指令）的加密接受对称对需传送的信息（如电子合同、支付指令）的加密接受对称密钥加密法；但密钥不先由双方约定，而是在加密前由发送方密钥加密法；但密钥不先由双方约定，而是在加密前由发送方随机产生；用此随机产生的对称密钥对信息进行加密，然后将随机产生；用此随机产生的对称密钥对信息进行加密，然后将此对称密钥用接收方的公开密钥加密，准备定点加密发送给接此对称密钥用接收方的公开密钥加密，准备定点加密发送给接受方。这就好比用受方。这就好比用“信封信封”封装起来，所以称作数字信封（封封装起来，所以称作数字信封（封装的是里面的对称密钥）。接收方收到信息后，用自己的私人装的是里面的对称密钥）。接收方收到信息后，用自己的私人密钥解密，打开数字信封，取出随机产生的对称密钥，用此对密钥解密，打开数字信封，取出随机产生的对称密钥，用此对称密钥再对所收到的密文解密，得到原来的信息。称密钥再对所收到的密文解密，得到原来的信息。2.2.数字信封在网络支付中的应用示例数字信封在网络支付中的应用示例银行乙的公钥银行乙的公钥B客户甲随即客户甲随即产生的私钥产生的私钥P银行乙的私钥银行乙的私钥A网络传送网络传送1银行乙银行乙从数字从数字信封中信封中取出私取出私钥钥P乙银行：乙银行：有一笔有一笔200元资元资金转帐至贵行金转帐至贵行12345账号上账号上 客户甲客户甲支付通知明文网络网络传送传送2加密加密支付通知明文乙银行：乙银行：有一笔有一笔200元资元资金转帐至贵行金转帐至贵行12345账号上账号上 客户甲客户甲支付确认密文支付确认密文客户甲乙银行解密解密 3.3.数字信封的优点数字信封的优点 加密、解密速度快，可以满足即时处理须要加密、解密速度快，可以满足即时处理须要 RSA和和DES相结合，不用为交换相结合，不用为交换DES密钥周折，减小了密钥周折，减小了DES泄密的风险泄密的风险 具有数字签名和认证功能具有数字签名和认证功能 密钥管理便利密钥管理便利 保证通信的平安保证通信的平安五、数据完整性技术五、数据完整性技术l 1.1.数字摘要技术数字摘要技术 1.1.数字摘要的定义和应用原理数字摘要的定义和应用原理 通讯双方在相互传送消息时，不仅要对数据进行保密，不让第三者知道，还要能够知道数据在传输过程中没有被别人变更，也就是要保证数据的完整性。用某种算法对被传送的数据生成一个完整性值，将此完整性值与原始数据一起传送给接收者，接收者用此完整性值来检验消息在传送过程中有没有发生变更。这个值由原始数据通过某一加密算法产生的一个特殊的数字信息串，比原始数据短小，能代表原始数据，所以称作数字摘要（Digital Digest）。（保证消息的真实性，类似于签名的真实，数字签名技术之二，主要的算法如RSA公司提出的MD5和SHA1等，是以Hash函数算法为基础）2.2.数字摘要的产生示例数字摘要的产生示例银行乙：银行乙：请将请将200200元资元资金从本帐号金从本帐号转移至转移至1234512345账号上。账号上。客户甲客户甲Hash算法：算法：数字摘要生成器数字摘要生成器Abcddabc347698jdf74.kxs支付通知支付通知的数字摘要l 2.2.数字签名技术数字签名技术 1.1.数字签名的定义和应用原理数字签名的定义和应用原理 在传统商务的合同或支付信件中平常人们用笔签名，这个签名通常有两个作用：可以证明信件是由签名者发送并认可的 （不行抵赖）保证信件的真实性 （非伪造、非篡改）数字签名及原理：Digita1 Signature,就是指利用数字加密技术实现在网络传送信息文件时，附加个人标记，完成传统上手书签名或印章的作用，以表示确认、负责、经手、真实等；或 数字签名就是在要发送的消息上附加一小段只有消息发送者才能产生而别人无法伪造的特殊数据（个人标记），而且这段数据是原消息数据加密转换生成的，用来证明消息是由发送者发来的。数字签名（信息报文M）=发送方私人秘钥加密（Hash（信息报文M）2.2.数字签名的应用示例数字签名的应用示例客户甲银行乙发送的支付通知M收到的的支付通知M银行乙：将200元资金345北交帐号上。客户甲银行乙：将元资金北交帐号上。客户甲0F812DDF64DBABFF45ADIAA0F812DDF64DBABFF45ADIAAABFF45DBAD数字摘要D数字摘要D数字摘要D数字签名加密客户甲的私钥B网络传送客户甲的公钥SHAR1SHAR1比较比较假如假如D与与D一样，说明信一样，说明信息是真实的，若不一样，息是真实的，若不一样，说明信息是伪造或篡改过说明信息是伪造或篡改过的的 3.3.数字签名的作用与常见类型数字签名的作用与常见类型 数字签名可以解决下述网络支付中的平安鉴别问题：数字签名可以解决下述网络支付中的平安鉴别问题：(1)(1)接收方伪造：接收方伪造一份文件，并声称这是发送方发送的：付接收方伪造：接收方伪造一份文件，并声称这是发送方发送的：付款单据等。款单据等。(2)(2)发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或接收过支付单据。接收过支付单据。(3)(3)第三方冒充：网上的第三方用户冒充发送或接收消息如信用卡密码；第三方冒充：网上的第三方用户冒充发送或接收消息如信用卡密码；(4)(4)接收方篡改：接收方对收到的文件如支付金额进行改动。接收方篡改：接收方对收到的文件如支付金额进行改动。六、数据证书与认证中心六、数据证书与认证中心CACAl 1.1.数字证书数字证书 1.1.数字证书的定义和应用原理数字证书的定义和应用原理数字证书：指用数字技术手段确认、鉴定、认证数字证书：指用数字技术手段确认、鉴定、认证Internet上信息沟上信息沟通参与者身份或服务器身份，是一个担保个人、计算机系统或者通参与者身份或服务器身份，是一个担保个人、计算机系统或者组织的身份和密钥全部权的电子文档。组织的身份和密钥全部权的电子文档。工作原理：接收方在网上收到发送方业务信息的同时，还收到发工作原理：接收方在网上收到发送方业务信息的同时，还收到发送方的数字证书，通过对其数字证书的验证，可以确认发送方的送方的数字证书，通过对其数字证书的验证，可以确认发送方的身份。在交换数字证书的同时，双方都得到了对方的公开密钥，身份。在交换数字证书的同时，双方都得到了对方的公开密钥，由于公开密钥是包含在数字证书中的，可以确信收到的公开密钥由于公开密钥是包含在数字证书中的，可以确信收到的公开密钥确定是对方的。从而完成数据传送中的加解密工作。确定是对方的。从而完成数据传送中的加解密工作。数字证书 2.2.数字证书的内容数字证书的内容数字证书内容 3.3.与网络支付有关的数字证书的类型与网络支付有关的数字证书的类型个人证书个人证书(客户证书客户证书)：证明客户证明客户(例如一个运用例如一个运用IEIE的个人的个人)身份和密钥全部权身份和密钥全部权服务器证书：服务器证书：证明银行或商家业务服务器的身份和公钥证明银行或商家业务服务器的身份和公钥支付网关证书：支付网关证书：假如在网络支付时利用第三方支付网关，那么第三方要假如在网络支付时利用第三方支付网关，那么第三方要为支付网关申请一个数字证书为支付网关申请一个数字证书 认证中心认证中心CACA证书：证书：证明证明CACA身份和身份和CACA的签名密钥的签名密钥(签名密钥被用来签署它所发签名密钥被用来签署它所发行的证书行的证书)4.4.数字证书的有效性与运用数字证书的有效性与运用 数字证书必需同时满足以下三个条件，才是有效的：1.证书没有过期 2.密钥没有被修改 3.有可信任的相应的颁发机构CA刚好管理与回收无效证书，并且发行无效证书清单l 2.2.认证中心认证中心CACA 1.1.认证中心认证中心CACA的定义的定义 认证中心，简称CA，即 Certification Authority，是一个公正的、有权威性的、独立的（第三方的）、广受信任的组织，负责电子商务中数字证书的发行和管理以及认证服务。2.2.认证中心认证中心CACA的主要功能的主要功能1.生成密钥对及CA证书2.验证申请人身份3.颁发数字证书4.证书以及持有者身份认证查询5.吊销证书6.证书管理与更新7.制定相关政策8.有实力爱护数字证书服务器的平安Certificate Authority 3.3.国内外主要国内外主要CACA机构机构七、平安网上支付的七、平安网上支付的SSLSSL与与SETSET协议机制协议机制l 1.基于SSL协议的平安网络支付机制 1.SSL1.SSL协议简介协议简介v SSL协议(Secure Socket Layer，平安套接层协议)是一种在持有数字证书的阅读器和远程的WWW服务器(如Netscape Enterprise Server、IIS等等，这里具体为电子商务服务器或银行的网上支付结算服务器)之间，构造平安通道并且传输数据的协议。v SSL协议的协议层次HTTPIMAPFTPSMTPSSL层层TCP/IP应用层应用层网络层网络层v SSL协议的内容协议的内容SSL协议包括两个子协议：协议包括两个子协议：SSL记录协议记录协议 定制了传输数据的格式定制了传输数据的格式SSL握手协议握手协议 利用前者在支持利用前者在支持SSL的客户端和服务器端之间建立平安传输的客户端和服务器端之间建立平安传输通道建立加密通道建立加密SSL连接，并在客户端验证服务器连接，并在客户端验证服务器 v SSL SSL供供应应的的3 3种基本平安服种基本平安服务务:v隐隐私性私性vSSLSSL客客户户机和服机和服务务器之器之间间通通过过密密码码算法和密算法和密钥钥的的协协商，建立平安通道商，建立平安通道v完整性完整性v 利用密利用密码码算法和算法和HashHash函数，确保要函数，确保要传输传输的信息全部到达目的地的信息全部到达目的地v认证认证性性v SSL SSL要求数字要求数字证书证书持有者在握手持有者在握手时时双方通双方通过过相互交相互交换换数字数字证书证书来来验验证证和保和保证对证对方身份的合法性方身份的合法性七、平安网上支付的七、平安网上支付的SSLSSL与与SETSET协议机制协议机制l 1.基于SSL协议的平安网络支付机制 2.SSL 2.SSL平安支付参与方及应用系统框架平安支付参与方及应用系统框架CA认证中心认证中心客客户户端端商家服务器商家服务器银行服务器银行服务器 s:/3.SSL3.SSL协议的特点协议的特点 综合用到了对称密钥加密法、公开密钥加密法、数字签名和数字证书等平安保障手段。目前几乎全部操作平台上的Web阅读器以及流行的Web服务器都支持SSL协议。因此使得运用该协议既便宜，开发成本也很小,应用简洁（无需客户端特地软件）4.SSL4.SSL协议的应用协议的应用 可在服务器和很多世界知名企业的Intranet和Internet网络产品所支持。下图显示的是IE阅读器中平安设置项中SSL标识。七、平安网上支付的七、平安网上支付的SSLSSL与与SETSET协议机制协议机制l 2.基于SET协议的平安网络支付机制 1.SET1.SET协议简介协议简介v SET协议为在协议为在Internet上平安地进行交易提出了一整套完整的方上平安地进行交易提出了一整套完整的方案，特殊是接受数字证书的方法，用数字证书来证明在网上购物案，特殊是接受数字证书的方法，用数字证书来证明在网上购物的的确是持卡人本人，以及向持卡人销售商品并收钱的各方，包的的确是持卡人本人，以及向持卡人销售商品并收钱的各方，包括持卡人、商户、银行等的平安。括持卡人、商户、银行等的平安。v SET协议的主要目标协议的主要目标 机密性机密性 爱护隐私爱护隐私 完整性完整性 多方认证性多方认证性 标准性标准性七、平安网上支付的七、平安网上支付的SSLSSL与与SETSET协议机制协议机制l 2.基于SET协议的平安网络支付机制 2.SET 2.SET平安支付参与方及应用系统框架平安支付参与方及应用系统框架CA认证认证中心中心持持卡卡用用户户网网上上商商家家支付网关支付网关收单银行收单银行发卡银行发卡银行认证认证协商订单确认审核确认确认恳求审核批准 3.SET3.SET协议的特点协议的特点 在SET协议中，运用DES对称密钥算法、RSA非对称密钥算法等供应数据加密、数字签名、数字信封等功能，给信息在网络中的传输供应牢靠的平安性保证。SET协议通过DES算法和RSA算法的结合运用，保证了数据的一样性和完整性，并可实现交易以预防抵赖；通过数字信封、双重签章，确保用户信息的隐私性和关联性。在完成一个SET协议交易过程中，需验证电子证书9次，验证数字签名6次，传递各方证书7次，进行5次签名，4次对称加密和4次非对称加密。完成一个SET协议交易过程需花费152分钟，甚至更长的时间。4.SET4.SET协议的应用协议的应用 国外很多网络支付系统都已接受SET协议标准。我国大陆也有好几家单位在建设遵循SET协议的网上平安交易系统，并且已经有系统正式开通。下图显示的是IBM公司开发的为中国工商银行上海市分行制作的电子钱包软件的登录窗口，其中就有SET商标。SSL与SET接受的都是公开密钥加密法、私有密钥加密法、数字摘要等加密技术与数字证书等认证手段。市场上，已有很多SSL相关产品及工具，而有关SET的相关产品却相对较少，也不够成熟。SSL有一个很大的缺点，就是无法保证商户看不到持卡人的信用卡账户等信息。总之，SET系统给银行、商户、持卡人带来了更多的平安，使他们在进行网上交易时更加放心。但实现困难、成本高。l 3.3.SETSET协议和协议和SSLSSL协议的比较协议的比较思索与探讨思索与探讨1.叙述电子商务平安与网络支付平安的联系。2.结合网络支付的平安问题，说说目前中国常常出现的网络支付平安问题的特点。3.分析一个实际开展电子商务的企业。4.在网络支付流程中，防火墙技术与数据加/解密技术的应用侧重点有什么不同？5.”为了平安保存，我把我的数字签名放在我的IC卡中了”，这种说法对不对？说明理由。6.画出双重签名在一次具体的网络支付中的应用过程示意图。7.中国工商银行在网络支付服务中是如何应用数字证书工具的？由哪个CA认证中心供应服务？这样运作有没有问题？8.在基于SSL平安协议机制的信用卡网络支付中，是如何应用本章所述的系列平安技术的？9.SET协议和SSL协议的主要不同是什么？10.调研最新出现的一些应用于网络支付服务的平安技术。