(本科）第11章：支付安全技术教学ppt课件.ppt

《(本科）第11章：支付安全技术教学ppt课件.ppt》由会员分享，可在线阅读，更多相关《(本科）第11章：支付安全技术教学ppt课件.ppt（56页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、(本科）第11章：支付安全技术教学ppt课件支付安全技术支付安全技术第第1111章章【教学目标与要求教学目标与要求】了解电子支付的安全风险，掌握电子支付的相关安全需求了解电子支付的安全风险，掌握电子支付的相关安全需求了解保障支付安全的多种技术了解保障支付安全的多种技术掌握对称技术原理掌握对称技术原理掌握非对称加密技术原理掌握非对称加密技术原理了解数字签名的概念及原理了解数字签名的概念及原理掌握数字证书的主要内容及其实现技术掌握数字证书的主要内容及其实现技术了解数字摘要、数字时间戳等安全技术了解数字摘要、数字时间戳等安全技术第第1111章章 支付安全技术支付安全技术第第1111章章 支付安全技术

2、支付安全技术【知识架构知识架构】【重要术语重要术语】密码技术密码技术 数字签名数字签名数字证书数字证书 CFCACFCAPKI CA PKI CA SSL SETSSL SET第第1111章章 支付安全技术支付安全技术11.1 11.1 电子支付安全概述电子支付安全概述来自银行合来自银行合作单位的安作单位的安全隐患全隐患11.1.1 11.1.1 电子支付的安全隐患电子支付的安全隐患11.1 11.1 电子支付安全概述电子支付安全概述(1)(1)以非法手段窃取信息或者对信道信息进行破译分析，使机密的数据内容以非法手段窃取信息或者对信道信息进行破译分析，使机密的数据内容泄漏给未被授权的用户。泄漏

3、给未被授权的用户。(2)(2)篡改、删除、插入数据或者数据传输中出现错误、丢失、乱序，都可能篡改、删除、插入数据或者数据传输中出现错误、丢失、乱序，都可能导致数据的完整性被破坏。导致数据的完整性被破坏。(3)(3)伪造信息或者假冒合法用户的身份进行欺骗、伪造地址、进行非法连接、占有伪造信息或者假冒合法用户的身份进行欺骗、伪造地址、进行非法连接、占有或者支配合法用户的资源，非法用户截获合法用户的信息，然后传送给接收者。或者支配合法用户的资源，非法用户截获合法用户的信息，然后传送给接收者。(4)(4)抵赖交易行为，否认交易结果。抵赖交易行为，否认交易结果。(5)(5)延迟消息的传送或者重放消息。延

4、迟消息的传送或者重放消息。(6)(6)系统安全漏洞、网络故障、病毒、蠕虫等导致的系统破坏。系统安全漏洞、网络故障、病毒、蠕虫等导致的系统破坏。(7)(7)阻断服务，非法用户阻止系统资源的合法管理和使用。阻断服务，非法用户阻止系统资源的合法管理和使用。(8)(8)社会工程也是一种攻击行为，是攻击者利用人际关系发出的攻击。社会工程也是一种攻击行为，是攻击者利用人际关系发出的攻击。(9)(9)管理风险。管理风险。(10)(10)其他风险。其他风险。11.1.2 11.1.2 电子支付的安全风险电子支付的安全风险11.1 11.1 电子支付安全概述电子支付安全概述电子支付系统安全需求电子支付系统安全需

5、求保密性保密性可靠性可靠性完整性完整性可用性可用性抗否认性抗否认性有效性有效性人员管理人员管理与与安全技术安全技术结合结合安全资源安全资源的整合与的整合与集中管理集中管理 所谓防火墙就是指综合采用适当技术在被保护网络所谓防火墙就是指综合采用适当技术在被保护网络周边建立的用于隔离被保护网络与外部网络的系统。周边建立的用于隔离被保护网络与外部网络的系统。InternetServer内部网11.2 11.2 电子支付安全相关技术电子支付安全相关技术11.2.1 11.2.1 安全防范技术安全防范技术1.1.防火墙技术防火墙技术11.2 11.2 电子支付安全相关技术电子支付安全相关技术2.2.虚拟专

6、用网技术虚拟专用网技术u虚拟专用网（Virtual Private Networking，VPN）指的是依靠ISP（Internet服务提供商）和其它NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。 VPNVPN采用的主要技术有哪些采用的主要技术有哪些？隧道技术（Tunneling）身份认证技术（Authentication）加解密技术（Encryption&Decryption）密钥管理技术（Keymanagement）11.2 11.2 电子支付安全相关技术电子支付安全相关技术分销商分销商供应商供应商离线员工离线员工Internet工作站或服务器工作站或服务器 公司公司

7、A A内部网内部网工作站或服务器工作站或服务器 公司公司B B内部网内部网防 火 墙防 火 墙安全的安全的VPN外部网示意图外部网示意图11.2 11.2 电子支付安全相关技术电子支付安全相关技术3.3.存取访问控制技术存取访问控制技术常见的存取访问控制方式常见的存取访问控制方式存取访问控制表存取访问控制矩阵口令方式11.2 11.2 电子支付安全相关技术电子支付安全相关技术11.2.2 11.2.2 数据加密技术数据加密技术1.1.对称加密对称加密技术技术l 又称秘密密钥、私有密钥，用且只用同一个密钥对信息进行加密和解密。l 对称密钥密码体系的优点是加密、解密速度很快(高效)，但缺点也很明显

8、：密钥难于共享，需太多密钥。l 目前比较著名的对称密码加密算法有：DES和IDEA明文密文密文明文加密加密解密解密密钥密钥传输传输发送方发送方接收方接收方12.2 12.2 电子支付安全相关技术电子支付安全相关技术2.2.非对称加密非对称加密技术技术非对称密钥密码体系也称公开密钥技术。非对称密钥技术的优点是：易于实现，使用灵活，密钥较少。弱点在于:要取得较好的加密效果和强度，必须使用较长的密钥。接收方公钥接收方公钥明文密文接收方私钥接收方私钥密文明文加密加密解密解密密钥对密钥对传输传输发发送方送方接收方接收方12.2 12.2 电子支付安全相关技术电子支付安全相关技术11.2.3 11.2.3

9、 身份认证技术身份认证技术1 12 23 3基于口令的身份认证基于物理证件的身份认证基于人体生物学特征的身份认证12.2 12.2 电子支付安全相关技术电子支付安全相关技术11.2.4 11.2.4 数字认证技术数字认证技术1.1.数字摘要数字摘要又称数字指纹、又称数字指纹、HashHash编码法，编码法，能保证信息传输的完整性。能保证信息传输的完整性。 发送方发送方 原文原文HashHash算法算法摘要摘要 对比对比 接收方接收方 原文原文摘要摘要摘要摘要HashHash算法算法互互联网联网数字摘要的过程11.2 11.2 电子支付安全相关技术电子支付安全相关技术2.2.数字签名数字签名11

10、.2 11.2 电子支付安全相关技术电子支付安全相关技术3.3.数字信封数字信封 数字信封：数字信封：是用加密技术来保证只有规定的特定收信是用加密技术来保证只有规定的特定收信人才能阅读信的内容。人才能阅读信的内容。 基本原理：基本原理：发送者使用随机产生的对称密钥加密数据，发送者使用随机产生的对称密钥加密数据，然后将生成的密文和密钥本身一起用接收者的公开密然后将生成的密文和密钥本身一起用接收者的公开密钥加密，加密的对称密钥称为数字信封，将密文及加钥加密，加密的对称密钥称为数字信封，将密文及加密后的密钥发送给接收者；接收者先用自己的私钥解密后的密钥发送给接收者；接收者先用自己的私钥解密数字信封，

11、得到对称密钥，然后使用对称密钥解密密数字信封，得到对称密钥，然后使用对称密钥解密数据。数据。11.2 11.2 电子支付安全相关技术电子支付安全相关技术4.4.数字时间戳数字时间戳 数字时间戳数字时间戳是数字签名技术的一种变种应用。数字时间戳服务专用于提供电子文件发表时间的安全保护，由专门机构提供。 如果在签名时加上一个时间标记，即是有数字时间戳的数字签名。时间戳是一个经加密后形成的凭证文档，共包括三个部分：需要加盖时间戳的文件的摘要、DTS收到文件的日期和时间、DTS的数字签名。 时间戳产生的过程为：用户首先将需要加时间戳的文件用Hash算法加密形成摘要，然后将该摘要发送到DTS，DTS在加

12、入了收到文件摘要的日期和时间消息后再对该文件加密(数字签名)，然后送回用户。11.2 11.2 电子支付安全相关技术电子支付安全相关技术5.5.数字证书数字证书数字证书数字证书是用电子手段来证实一个用户的身份和对网络资源访问的权限，是一个经证书授权中心CA（Certificate Authority）数字签名的、包含证书申请者个人消息及其公开密钥的文件。1 12 23 3个人证书（Personal Digital ID）企业（服务器）证书（Server ID）软件（开发者）证书（Developer ID）11.2 11.2 电子支付安全相关技术电子支付安全相关技术6.6.认证中心认证中心 认证

13、中心认证中心类似于现实中公证人的角色，它具有权威性和公正性，是一个普遍可信的第三方，负责证书的颁发和管理。当通信双方都信任同一CA时，两者就可以得到双方的公开密钥，从而进行秘密通信、签名和检验。 CA中心的任务：受理数字凭证的申请、签发数字证书并进行管理。它可分为几个部分：接收用户证书申请的证书受理者(RS)，证书发放的审核部门(RA)，证书发放的操作部门(CP)，一般称这部分为CA，以及记录、作废证书的证书吊销列表(CRL)。在证书申请被审核部门批准后，CA通过登记服务器将证书发放给申请者。 电子商务CA体系包括两部分，即“金融CA体系”和“非金融CA体系”(如PKI CA体系)。11.3

14、PKI11.3 PKI技术技术11.3.1 PKI11.3.1 PKI的组成的组成 一个典型的PKI系统中包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。PKI应用证书机构CA注册机构RA证书发布系统PKI策略软硬件系统11.3 PKI11.3 PKI技术技术11.3.2 PKI11.3.2 PKI和和CACA1.1.数字证书与数字证书与X.509X.509 数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息和公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间、发证机关(证书授权中心)

15、的名称、该证书的序列号等信息，证书的格式遵循ITU-T X.509国际标准。 (1)证书标准及格式。国际电信联盟(ITU-T)制定的X.509为证书及其CRL格式提供了一个标准。它定义了一个开放的框架，并在一定的范围内可以进行扩展。 X.509规范定义并标准化了一个通用的、灵活的证书格式。它被广泛采用的事实也证明了其技术适用于多种环境。国际标准的有效性表现在众多的生产商生产产品时采用了它。11.3 PKI11.3 PKI技术技术证书的版本信息证书的版本信息证书的序列号证书的序列号证书所使用的签名算法证书所使用的签名算法证书的发行机构名称证书的发行机构名称证书的有效期证书的有效期证书所有人的名称

16、证书所有人的名称7.7.证书所有人的公开秘钥证书所有人的公开秘钥8.8.证书发行者对证书的签名证书发行者对证书的签名一一个标个标准的准的X.509X.509数数字字证书证书的的内内容包含容包含 11.3 PKI11.3 PKI技术技术X.509X.509证书证书格式格式11.3 PKI11.3 PKI技术技术11.3.2 PKI11.3.2 PKI和和CACA1.1.数字证书与数字证书与X.509X.509 (2)CRL格式。X.509标准还提供了一种标准格式CRL。证书吊销列表CRL(certificate revocation lists，又称证书黑名单)为应用程序和其他系统提供了一种检验

17、证书有效性的方式。任何一个证书吊销以后，证书机构CA会通过发布CRL的方式来通知各个相关方。 (3)数字证书的存放。数字证书作为一种电子数据格式，可以直接从网上下载，也可以通过其他方式获得。而CRL一般通过网上下载的方式存储在用户端。11.3 PKI11.3 PKI技术技术11.3.2 PKI11.3.2 PKI和和CACA2.CA2.CA框架模型框架模型 一个典型的CA系统包括安全服务器、注册机构RA、CA服务器、LDAP服务器和数据库服务器等。 典型CA系统结构11.3 PKI11.3 PKI技术技术11.3.2 PKI11.3.2 PKI和和CACA3.3.证书的申请证书的申请 证书的申

18、请有两种方式：一是在线申请：二是离线申请。在线申请就是通过浏览器或其他应用系统通过在线的方式来申请证书，这种方式一般用于申请普通用户证书或测试证书。离线方式一般通过人工的方式直接到证书机构受理点去办理证书申请手续，通过审核后获取证书，这种方式一般用于比较重要的场合，如服务器证书和商家证书等。典型CA系统结构11.3 PKI11.3 PKI技术技术11.3.2 PKI11.3.2 PKI和和CACA4.4.密钥管理密钥管理 密钥管理也是PKI中的一个核心问题，主要是指密钥对的安全管理，包括密钥产生、密钥备份、密钥恢复和密钥更新等。 (1)密钥产生。密钥对的产生是证书申请过程中重要的一步，其中产生

19、的私钥由用户保留，公钥和其他信息则交于CA中心进行签名，从而产生证书。 (2)密钥备份和恢复。密钥的备份和恢复也是PKI密钥管理中的重要一环。使用PKI的企业和组织必须确认：即使密钥丢失，要加密保护的重要信息也必须能够恢复，并且不能让一个独立的个人完全控制最重要的主密钥，否则将引起严重后果。 (3)密钥更新。每一个由CA颁发的证书都会有有效期，密钥对生命周期的长短由签发证书的CA中心来确定，各CA系统的证书有效期限有所不同，一般为23年。当用户的私钥被泄漏或证书的有效期快到时，用户应该更新私钥。这时用户可以废除证书，产生新的密钥对，申请新的证书。11.3 PKI11.3 PKI技术技术11.3

20、.2 PKI11.3.2 PKI和和CACA5.5.证书的使用证书的使用 在实际应用中，为了验证信息的数字签名，用户首先必须获取信息发送者的公钥证书，以及一些额外需要的证书(如CA证书等，用于验证发送者证书的有效性)。证书的获取可以有多种方式，如发送者发送签名信息时附加发送自己的证书，或以另外的单独信息发送证书，或者可以通过访问证书发布的目录服务器来获得，或者直接从证书相关的实体处获得。在一个PKI体系中，可以采取某种或某几种上述方式获得证书。11.4 11.4 安全协议安全协议- 安全HTTP（S-HTTP）是HTTP的扩展- 可提供包括数据的机密性、完整性、客户机与服务器认证及请求/响应的

21、不可否认等功能。- 又名安全套接层（Secure Sockets Layer）协议- 最初是由Netscape Communication公司设计开发的 - 主要用于提高应用程序之间的数据的安全系数- 保证任何安装了安全套接字的客户和服务器间事务安全 - 基于互联网的卡基支付，是授权业务信息传输的安全标准- 采用RSA公开密钥体系对通信双方进行认证- 利用DES、RC4或任何标准对称加密方法进行信息的加密传输，并用HASH算法来鉴别消息真伪，有无涂改- 关键的认证机构（CA），CA根据X.509标准发布和管理证书11.4.1 11.4.1 概述概述11.4 11.4 安全协议安全协议- 安全H

22、TTP（S-HTTP）是HTTP的扩展- 可提供包括数据的机密性、完整性、客户机与服务器认证及请求/响应的不可否认等功能。- 又名安全套接层（Secure Sockets Layer）协议- 最初是由Netscape Communication公司设计开发的 - 主要用于提高应用程序之间的数据的安全系数- 保证任何安装了安全套接字的客户和服务器间事务安全 - 基于互联网的卡基支付，是授权业务信息传输的安全标准- 采用RSA公开密钥体系对通信双方进行认证- 利用DES、RC4或任何标准对称加密方法进行信息的加密传输，并用HASH算法来鉴别消息真伪，有无涂改- 关键的认证机构（CA），CA根据X.

23、509标准发布和管理证书11.4 11.4 安全协议安全协议1.SSL1.SSL协议概述协议概述 SSL协议是在Internet基础上提供的一种安全通信协议，它能够对信用卡和个人信息提供较强的保护，其目标是保证两个用户间通信的保密性和可靠性，可在服务器和客户机两端同时实现支持。目前，利用公开密钥技术的SSL协议，已成为Internet上保密通信的工业标准。现行Web浏览器普遍将HTTP和SSL相结合，从而实现安全通信。 SSL协议提供的安全服务可以归纳为如下三个方面：认证用户和服务器，确保数据发送到正确的客户机和服务器；加密数据以防止数据中途被窃取；维护数据的完整性，确保数据在传输过程中不被改

24、变。11.4.2 SSL11.4.2 SSL协议协议11.4 11.4 安全协议安全协议2.SSL2.SSL协议的层次结构协议的层次结构 SSL分为两层：记录层和握手层，每层使用下层的服务，并为上层提供服务。11.4.2 SSL11.4.2 SSL协议协议SSLSSL握手握手协议协议SSLSSL改改变变密密码码规规格格协议协议SSLSSL告警告警协议协议HTTPHTTP握手握手层层SSLSSL记录协议记录协议记录层TCPTCPIPIP图图11-711-7SSLSSL协议协议的的层层次次结构结构11.4 11.4 安全协议安全协议3.SSL3.SSL协议规范协议规范11.4.2 SSL11.4.

25、2 SSL协议协议(1)SSL记录协议(4)SSL握手协议(2)SSL改变密码规格协议(3)SSL告警协议11.4 11.4 安全协议安全协议4.4.基于基于SSLSSL的电子支付的电子支付 由于SSL协议实现简单并且独立于应用层协议，同时它还被大部分的浏览器和Web服务器所内置，因此便于在电子支付中应用。国际著名的CyberCash信用卡支付系统就支持这种简单加密模式，IBM等公司也提供基于这种简单加密模式的支付系统。11.4.2 SSL11.4.2 SSL协议协议图图11-1011-10基于基于SSLSSL的的电电子交易子交易过过程程11.4 11.4 安全协议安全协议1.SET1.SET

26、协议运行的目标协议运行的目标 (1)保证信息在因特网上安全传输，防止数据被黑客或被内部人员窃取。 (2)保证电子商务参与者信息的相互隔离。客户资料在加密或打包后通过商家到达银行，但是商家不能看到客户的账户和密码信息。 (3)解决多方认证问题，不仅要对消费者的信用卡认证，而且要对在线商店的信誉程度认证，同时还有消费者、在线商店与银行间的认证。 (4)保证了网上交易的实时性，使所有的支付过程都是在线的。 (5)效仿EDI贸易的形式，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上。11.4.3 SET11.4.3 SET协议协议11.4 1

27、1.4 安全协议安全协议2.SET2.SET安全协议涉及的范围安全协议涉及的范围 SET协议规范所涉及的对象有： (1)消费者。 (2)在线商店。 (3)收单银行。 (4)电子货币。 (5)认证中心(CA)。11.4.3 SET11.4.3 SET协议协议11.4 11.4 安全协议安全协议3.SET3.SET的密码技术的密码技术 SET支付环境中金融数据信息的保密性和加密密钥的传递是通过数字信封技术来实现的。SET中公钥加密算法采用的是RSA的公钥密码体制，私钥加密算法采用的是DES数据加密标准。SET协议是通过数字摘要技术和数字签名方案来保证消息的完整性和进行消息源的认证的。数字签名技术在

28、SET中还有一处重要的特色应用就是双重签名(dual signature)。11.4.3 SET11.4.3 SET协议协议11.4 11.4 安全协议安全协议4.SET4.SET协议的工作原理协议的工作原理 11.4.3 SET11.4.3 SET协议协议SETSET协议网协议网上交易流程上交易流程11.4 11.4 安全协议安全协议5.SET5.SET协议的优缺点协议的优缺点 优点：优点： SET对商家提供了保护自己的手段，使商家免受欺诈的困扰，并使商家的运营成本降低。 对消费者而言，SET保证了商家的合法性，并且用户的信用卡号不会被窃取，SET替消费者保守了更多的秘密，使其在线购物更加轻

29、松放心。 SET帮助银行和发卡机构将业务扩展到Internet这个广阔的空间中，使得信用卡网上支付具有更低的欺诈概率，因此比其他支付方式具有更大的竞争力。 SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑。11.4.3 SET11.4.3 SET协议协议11.4 11.4 安全协议安全协议5.SET5.SET协议的优缺点协议的优缺点 缺点：缺点： SET报文消息太复杂。SET定义了支付过程的报文消息及数据，由于其规范的目标是全球使用，考虑的因素主要是美国的支付方式，而对其他国家来讲报文消息显得过于复杂，造成SET应用软件设计复杂、价格高，影响了SET的普及。 SET涉

30、及的实体较多。要实现SET支付，客户、商家、支付网关必须同时支持SET，因而各方建设和协调的困难造成互操作性差。 SET没有解决交易中证据的生成和保留。SET协议仅解决了支付信息的认证。交易后，顾客(商家)处理争议时，缺乏有效说明来划分责任，无法满足电子商务协议的公平性原则。 SET协议中没有对交易过程作状态描述，这可能使顾客或商家对交易的状态难以把握。11.4.3 SET11.4.3 SET协议协议11.4 11.4 安全协议安全协议SETSET协议协议客户、商家、支付网关客户、商家、支付网关认证中心和网上银行认证中心和网上银行 必须在银行网络、商家服务器、客户机上安装相应的软件，而不是象S

31、SL协议可直接使用，因此增加了许多附加软件费用。 要求使用电子钱包进行付款，必须先下载电子钱包软件，操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易。 安全需求高，因此所有参与交易的成员都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，使其在结购物和支付更加放心。参与方参与方费用费用便捷性便捷性安全性安全性SSLSSL协议协议客户、商家客户、商家和网上银行和网上银行 已被大部分Web浏览器和Web服务器所内置，因此可直接投入使用，无需额外的附加软件费用。 使用过程中无需在客户端安装电子钱包，因此操作简单；

32、每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟便可完成。 只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏。 11.4 11.4 安全协议安全协议 IPSec(internet protocol security)是IETF(internet engineer task force)制定的网络层安全标准，它把几种安全技术结合在一起形成一个较为完整的体系，通过对数据加密、认证、完整性检查，可保证IP和IP层以上数据传输的可靠性、私有性和保密性。 1.IPSec1.IPSec安全体系结构安全体系结构 IPSec安全体系结

33、构的建立为IP层数据的传输提供多种安全服务，包括访问控制、数据起源验证、无连接的完整性、数据的机密性、防重播保护以及受限通信流量的机密性。通过一整套的服务，可以有效地保护IP数据报的安全。 这些服务是依靠IPSec协议簇来实现的。IPSec协议簇由两个传输安全协议和一个应用层级的密钥管理协议组成。11.4.4 IPSec11.4.4 IPSec协议协议11.4 11.4 安全协议安全协议 2.IPSec2.IPSec的优缺点的优缺点(1)IPSec的优点。当IPSec在路由器或是防火墙中实现时，可应用于所有跨越网络边界的通信量的安全保证。内部通信量不会引起与安全处理相关的开销。IPSec低于传

34、输层(TCP、UDP)，可以对应用程序和最终用户透明。IPSec用来在多个防火墙和服务器之间提供安全性。(2)IPSec的缺点。IPSec在实际应用中，需要公钥来完成，密钥分配相对复杂。IPSec需要已知范围的IP地址或固定范围的IP地址，因此在动态分配IP地址时不太适合于IPSec。除了TCP/IP协议外，IPSec不支持其他协议。除了包过滤之外，它没有指定其他访问控制方法。11.4.4 IPSec11.4.4 IPSec协议协议11.4 11.4 安全协议安全协议3.IPSec3.IPSec协议的应用协议的应用 IPSec的特征使它最适合构建可信的LAN到LAN之间的虚拟专用网VPN，即内

35、部网虚拟专用网。 IPSec也可用于连接其他层已存在的通信协议，如支持SET协议和SSL协议。11.4.4 IPSec11.4.4 IPSec协议协议11.5 11.5 中国金融认证中心中国金融认证中心 为解决电子商务网上支付的安全问题，1998年9月，在首都电子商务工程领导小组第二次会议上，由中国人民银行牵头组织中国工商银行、中国农业银行、中国银行、中国建设银行、交通银行、招商银行、中信实业银行、华夏银行、广东发展银行、深圳发展银行、中国光大银行、中国民生银行12家商业银行联合共建中国金融认证中心(CFCA)。1999年2月18日，金融信息化领导小组第八次会议批准建设金融CA工程。该工程于2

36、000年6月29日完成，中国金融认证中心(CFCA)挂牌成立，认证系统开通运行。 截止2013年年底到，CFCA数字证书发放突破5 000万张。 中国金融认证中心的建立是我国金融系统建立金融最高认证权威的第一步，对我国广泛开展电子商务活动以及建立网上银行、网上支付等现代金融、贸易活动起着巨大的推动作用，极大地提高了网上支付的安全性。11.5.1 CFCA11.5.1 CFCA的建设的建设11.5 11.5 中国金融认证中心中国金融认证中心11.5.2 CFCA11.5.2 CFCA的组成部分的组成部分CACA的的组组成成结构结构11.5 11.5 中国金融认证中心中国金融认证中心 1.Non-

37、SET1.Non-SET系统系统11.5.3 CFCA11.5.3 CFCA的结构的结构11.5 11.5 中国金融认证中心中国金融认证中心 2.SET2.SET系统系统11.5.3 CFCA11.5.3 CFCA的结构的结构11.5 11.5 中国金融认证中心中国金融认证中心11.5.4 CFCA11.5.4 CFCA的证书的证书个个人人证书证书企企业证书业证书安全安全电电子子邮邮件件证书证书VPN设备证书设备证书手机手机证书证书Web服服务务器器证书证书11.5 11.5 中国金融认证中心中国金融认证中心11.5.4 CFCA11.5.4 CFCA的功能的功能1 1证书的申请证书的申请2

38、2证书的审批证书的审批3 3证书的发放证书的发放4 4证书的归档证书的归档5 5证书的吊销证书的吊销6 6证书的更新证书的更新7 7证书吊销列表的管理功能证书吊销列表的管理功能8 8CA CA 的管理的管理9 9CA CA 自身密钥的管理自身密钥的管理11.5 11.5 中国金融认证中心中国金融认证中心11.5.5 CFCA11.5.5 CFCA的发展的发展 随着国内CA产品系统的日渐成熟，以及国家对于CA业务的重视程度不断提高，2002年，CFCA国产化改造被列入国家“863计划”，得到了中国人民银行、国家科技部、国家密码管理局和中国银联的高度重视和支持。经过各方努力，2004年年底，CFC

39、A国产化CA项目宣告完成，正式对外提供服务。2005年5月，该系统正式通过科技部“863项目”验收，并开始大规模应用。专家评价，CFCA国产化PKI/CA系统是我国银行业信息安全基础设施的一项重大技术成果，完全可以满足未来我国金融行业大容量用户和快速发展的业务需求，对于提升我国金融信息安全保障能力具有重要意义。第第1111章章 支付安全技术支付安全技术【习题习题】一、选择题1.在采用RSA公开密钥加密系统中，若A想给B发送一封邮件，并且想让B知道邮件是A发出的，则A 应该选用的加密密钥是()。A.A的公钥B.B的公钥C.A的私钥D.B的私钥2.非对称加密将密钥分解为一对密钥，即()。A.一把公

40、开的加密密钥和一把公开的解密密钥B.一把秘密的加密密钥和一把公开的解密密钥C.一把公开的加密密钥和一把秘密的解密密钥D.一把公开密钥或加密密钥和一把专用密钥或解密密钥3.SET协议通过()算法和()算法的结合使用，保证了数据的一致性和完整性，并可实现交易以预防抵赖。A.DESB.RSAC.MD5D.RC2E.RC34.CFCA体系中证书的发放包括()和()。A.离线方式B.在线方式C.人工发放D.银行发放 E.个人申请5.CA认证体系的实体大致可分为以下几部分：接收用户证书申请的证书受理者()，证书发放的审核部门()，证书发放的操作部门()，记录吊销证书的证书吊销列表()。A.CAB.CP C.CRL D.RAE.RS电子支付与结算第第1111章章 支付安全技术支付安全技术【习题习题】二、简答题二、简答题1.1.简述网上支付可能存在的安全问题。简述网上支付可能存在的安全问题。2.2.认证中心有哪些主要的职能认证中心有哪些主要的职能? ?3.3.简述数字签名的概念及其作用。简述数字签名的概念及其作用。4.4.在在CFCACFCA体系中，目前支持哪些类型的证书体系中，目前支持哪些类型的证书? ?5.5.保障网上支付安全的技术有哪些保障网上支付安全的技术有哪些? ?ENDEND