密码学结课论文-set协议及其在电子支付中的应用(18页).docx

《密码学结课论文-set协议及其在电子支付中的应用(18页).docx》由会员分享，可在线阅读，更多相关《密码学结课论文-set协议及其在电子支付中的应用(18页).docx（17页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、-密码学结课论文-set协议及其在电子支付中的应用-第 - 16 - 页密码学结课论文题目名称：set协议及其在电子支付中的应用院系名称：计算机学院班 级：网络 15 卓越学 号：学生姓名：指导教师：2017年 5月 set协议及其在电子支付中的应用Set protocol and its application in electronic payment院系名称：计算机学院班 级：网络15卓越学 号：学生姓名：指导教师：2017年 5月中文摘要本文在以下几个方面对set协议进行了简单的讨论：简介，主要目标，提供的服务，交易流程，安全性，SET改进，并分析其在电子支付中的应用情况。关键词：se

2、t协议，公钥密码体制，信息摘要AbstractThis article has carried on the simple to the set protocol in the following several aspects: the discussion of introduction, main goal, to provide services, transaction process, security, improve the set, and analyzes its application in the electronic payment. Keywords: set pr

3、otocol ，public key system ，informative abstract 目 录中文摘要- 3 -ABSTRACT- 3 -目 录- 4 -第 1 章 引 言- 5 -第 2 章 SET协议- 5 -2.1 set协议简介- 5 -2.2 set协议主要目标及提供的服务- 6 -2.3 交易流程- 7 -2.4 安全性- 8 -2.5 SET改进- 9 -第 3 章 SET 协议密码算法分析与研究- 10 -3.1 RSA 公开密钥密码算法研究分析- 10 -3.2 DES 数据加密算法研究分析- 11 -3.3 SET 协议中RSA 与DES 组合加密技术- 13 -第

4、 4 章 基于SET协议的电子支付- 14 -4.1 电子商务支付系统的发展- 14 -4.2 基于set协议的支付系统结构- 14 -4.3 基于set协议的网上支付流程- 16 -4.4 基于set协议的网上支付系统缺陷- 18 -第 5 章 结束语- 19 -参考文献- 19 -第 1 章 引 言随着电子商务时代的到来，作为电子商务的重要组成部分的支付问题就显得越来越突出了。电子商务在线支付成熟的金融法律制度下得到了一定的发展，目前国外已经开发出了Cybercash,Digicash,Fist Data/Netscape,First Virtual等商用电子支付系统。在国内也有支付宝，微

5、信，各大银行也在构建现代化支付系统。电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。在网上购物的环境中，持卡人希望在交易中保密自己的帐户信息，使之不被人盗用；商家则希望客户的定单不可抵赖，并且，在交易过程中，交易各方都希望验明其他方的身份，以防止被欺骗。针对这种情况，由美国Visa和MasterCard两大信用卡组织联合国际上多家科技机构，共同制定了应用于Internet上的以银行卡为基础进行在线交易的安全标准，这就是“安全电子交易”（Secure Electronic Transaction，简称SET）。它采用公钥密码体质和X.509数字证书标准，主要应用于保障网

6、上购物信息的安全性。本文分析了主要分析了set协议的工作流程，阐述了其在电子商务支付方面的应用。第 2 章 set协议2.1 set协议简介为了实现更加完善的即时电子支付，SET协议应运而生。SET协议（Secure Electronic Transaction），被称之为安全电子支付协议，是由Master Card和Visa联合Netscape，Microsoft等公司，于1997年6月1日推出的一种新的电子支付模型。SET协议是B2C上基于信用卡支付模式而设计的，它保证了开放网络上使用信用卡进行在线购物的安全。SET主要是为了解决用户，商家，银行之间通过信用卡的交易而设计的，它具有的保证交

7、易数据的完整性，交易的不可抵赖性等种种优点，因此它成为目前公认的信用卡网上交易的国际标准。由于SET 提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点。因此，至2012年，它成为了公认的信用卡/借记卡的网上交易的国际安全标准。SET(Secure Electronic Transaction)安全电子交易协议主要应用于B to C模式中保障支付信息的安全性。SET协议本身比较复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认性。SET协议是PKI框架下的一个典型实现，同时也在不断

8、升级和完善，如SET 2.0将支持借记卡电子交易。2.2 set协议主要目标及提供的服务1）主要目标 （1）防止数据被非法用户窃取，保证信息在互联网上安全传输。 （2）SET 中使用了一种双签名技术保证电子商务参与者信息的相互隔离。客户的资料加密后通过商家到达银行，但是商家不能看到客户的帐户和密码信息。 （3）解决多方认证问题。不仅对客户的信用卡认证，而且要对在线商家认证，实现客户、商家和银行间的相互认证。 （4）保证网上交易的实时性，使所有的支付过程都是在线的。 （5）提供一个开放式的标准，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能。可在不同的软硬件平台上执行并被全球广

9、泛接受。2）提供的服务SET协议为电子交易提供了许多保证安全的措施。它能保证电子交易的机密性，数据完整性，交易行为的不可否认性和身份的合法性。SET协议设计的证书中包括：银行证书及发卡机构证书、支付网关证书和商家证书。(1)保证客户交易信息的保密性和完整性SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。(2)确保商家和客户交易行为的不可否认性SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其

10、理论基础就是不可否认机制，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。(3)确保商家和客户的合法性SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。2.3 交易流程SET交易过程中要对商家，客户，支付网关等交易各方进行身份认证，因此它的交易过程相对复杂。(1)客户在网上商店看中商品后，和商家进行磋商，然后发出请求购买信息。(2)商家要求客户用电子钱包付款。(3)电子钱包提示客户输入口令后与商家交换握手信息，确认商家和客户两端均合法。(4)客户的电子钱包形成一个包含订购信息与支付指令的报文发送给

11、商家。(5)商家将含有客户支付指令的信息发送给支付网关。(6)支付网关在确认客户信用卡信息之后，向商家发送一个授权响应的报文。(7)商家向客户的电子钱包发送一个确认信息。(8)将款项从客户帐号转到商家帐号，然后向顾客送货，交易结束。从上面的交易流程可以看出，SET交易过程十分复杂性，在完成一次S ET协议交易过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行签名5次，4次对称加密和非对称加密。通常完成一个SET协议交易过程大约要花费1.52分钟甚至更长时间。由于各地网络设施良莠不齐，因此，完成一个SET协议的交易过程可能需要耗费更长的时间。2.4 安全性采用公钥加密和私钥加密相结

12、合的办法保证数据的保密性SET协议中，支付环境的信息保密性是通过公钥加密法和私钥加密法相结合的算法来加密支付信息而获得的。它采用的公钥加密算法是RSA的公钥密码体制，私钥加密算法是采用DES数据加密标准。这两种不同加密技术的结合应用在SET中被形象的成为数字信封，RSA加密相当于用信封密封，消息首先以56位的DES密钥加密，然后装入使用1024位RSA公钥加密的数字信封在交易双方传输。这两种密钥相结合的办法保证了交易中数据信息的保密性。一、采用信息摘要技术保证信息的完整性SET协议是通过数字签名方案来保证消息的完整性和进行消息源的认证的，数字签名方案采用了与消息加密相同的加密原则。即数字签名通

13、过RSA加密算法结合生成信息摘要，信息摘要是消息通过HASH函数处理后得到的唯一对应于该消息的数值，消息中每改变一个数据位都会引起信息摘要中大约一半的数据位的改变。而两个不同的消息具有相同的信息摘要的可能性及其微小，因此HASH函数的单向性使得从信息摘要得出信息的摘要的计算是不可行的。信息摘要的这些特征保证了信息的完整性。二、采用双重签名技术保证交易双方的身份认证SET协议应用了双重签名（Dual Signatures）技术。在一项安全电子商务交易中，持卡人的定购信息和支付指令是相互对应的。商家只有确认了对应于持卡人的支付指令对应的定购信息才能够按照定购信息发货；而银行只有确认了与该持卡人支付

14、指令对应的定购信息是真实可靠的才能够按照商家的要求进行支付。为了达到商家在合法验证持卡人支付指令和银行在合法验证持卡人订购信息的同时不会侵犯顾客的私人隐私这一目的，SET协议采用了双重签名技术来保证顾客的隐私不被侵犯。2.5 SET改进SET协议提供了在B2C平台上信用卡在线支付的方式，不过由于其实现起来非常复杂，商家和银行都需要改造系统来实现相互操作，如此看来，SET的普遍应用还需要假以时日。无论是使用SSL协议还是使用SET协议进行在线支付，它们总有不如人意之处。但由于SET在安全性，保密性上的优势，它本应成为未来电子商务实现在线支付的主流方式。笔者针对其主要问题商品质量和残留数据的处理方

15、式上，提出了改进方案：引入商品质量检测机制来保证商品的质量；建立一个“交易信息档案中心”来解决交易后残留数据的归属，以此保证用户的利益。一、引入商品质量检测机制保证商品质量引入这种机制的具体做法是商家把商品直接发送到消费者所在地的官方商品质量检测机构，由这些专业质检机构来检测商品质量问题，检测完毕后再通知消费者前来领取商品。如果消费者需要此服务，必须和商家协商分摊质量检测的费用；如果不需要，就按照一般的SET流程交易。因此，我们引入商品质量检测机制可以检查商品质量，解决了SET协议中产生的“如果商品质量问题由谁负担”的问题。这样既能保证用户的利益，也能保证商家的利益不被损害。二、引进商品质量检

16、测机制后SET的交易流程引进商品质量检测机制后，基于SET的交易过程与原来相比更复杂了些，也需要对SET消息报文进行修改，需要将质量检测信息作为附件形式加入SET消息报文中。因此要在SET 信息报文中增加附件位，可考虑附件位的标识为0和1两种情况，其中0表示没有附件，1表示存在附件。附加的附件信息包括交易双方的有关信息（如给双方打上编号）、商品名称、商品保质期、商品生存周期等.(1)用户查询商品的信息，确定所要定购的商品。(2)用户和商家进行探讨，确定商品质量检测费用该如何分摊。(3)将定购单和支付信息一起以电子数据的方式来发给商家。(4)商家进行验证，向用户所拥有的支付卡的金融机构请求取得支

17、付授权。(5)金融机构验证数字签名，验证用户信息的合法性。如果合法则发送授权信息。(6)商家验证授权信息后，向用户发出定购确认信息。同时查询用户所在地区的商品质量检测部门的信息。由商家将商品配送到用户所在地区的商品质量检测部门。(7)用户所在地商品质量检测部门接收商家的商品。在验收产品质量后，将附件位由0改为1，并附加附件具体信息，向商家发送收货信息并负责配送商品给消费者；商家向用户所拥有的支付卡的金融机构请求付款。(8)用户得到满意的商品后，对付款单进行签名，向商品质量检测部门表示同意付款，并向自己的支付卡所在的发行卡发送支付信息。发卡行在同时得到商家付款请求和用户同意付款的信息之后，方可付

18、款。第 3 章 SET 协议密码算法分析与研究3.1 RSA 公开密钥密码算法研究分析1.RSA 密码加解密算法工作过程（1）密钥生成第一步，随机生成两个大数P、Q（保密）；第二步，计算模N=PQ，由Euler 定理求出(N) = (P-1)(Q-1)；（保密） 第三步，随机选取正整数e，满足1e(N)且GCD( e，(N)=1；(GCD 是求两个整数最大公约数的函数)第四步，计算d，满足de=1（mod (N) ）；（e，N）为公开密钥。（保密）（d，N）为私人密钥，在具体实现中还包括P、Q 和其他保密部件以提高解密速度。(2) 加密对于明文m 满足 mRSA 算法的安全性RSA 算法中公开

19、的部分有 N，e和公共信道上截获的密文c。若通过这些量能够算出明文或私有密钥则RSA 被破译。下面讨论一下可能的方法。如果模 N = pq 被分解则不难求出(N) = (p-1)(q-1)，由de=1（mod (N) ）就可求出私有密钥d，明文就可以被破译。但因子分解是非常困难的，目前最快的算法时间复杂性为: exp(sqrt(ln(n)lnln(n)Rivest，Shamir 和 Adleman 用已知最好的算法估计了分解 n 的时间与n 的位数的关系，在运算速度为每秒百万次的计算机上分解二百位十进制的数需要四亿年。通过仔细选取 p，q，e 等参数，除去分解N，目前还没有更好的方法破译RSA

20、。但RSA 算法并没有被证明其破译问题的难度等价与大整数分解问题。随着计算机速度的提高以及大数分解算法研究的进步，被破译的RSA 的密钥长度不断增加，目前安全的RSA 密钥长度应至少大于1024bit。它是第一个能同时用于加密和数字签名的算法，也易于理解和操作。从提出到现在已近二十年，经历了各种攻击的考验，逐渐为人们接受，广泛应用于密码应用技术中。3.2 DES 数据加密算法研究分析1. DES(Data Encryption Standard)是目前金融界广泛使用的数据加密标准，是由IBM 公司在20 世纪70 年代中期开发的，由美国国家标准局(NBS)于1977 年1 月5 日正式颁布，用

21、做政府及商业部门的非机密数据的加密标准。DES 是一种单钥密码算法，采用分组乘积密码体制，使用多次移位和代替的混合运算编制的密码。DES 设计非常巧妙，除了密钥输入顺序之外，其加密和解密的步骤完全相同，这使得在制作DES 芯片时，易于做到标准化和通用化。经过许多专家学者的分析论证，证明DES 是一种性能良好的数据加密算法，不仅随机性好，线性复杂度高，而且易于实现，因此，DES 在国际上得到了广泛的应用。DES 是一种二元数据加密的分组算法，即对64 位二进制数据进行分析加密，产生64 位密文数据。其中，使用密钥为64 位，实际用了56 位，另外8 位用作奇偶校验。加密的过程是先对64 位明文分

22、组进行初始置换，然后分成左、右部分分别经过16 次迭代，再进行循环移位与变换，最后进行逆变换得到明文。其加密与解密使用相同的密钥，因而属于对称密码体制。2. DES 密码加解密算法工作过程DES 算法的入口参数有3 个：Key,，Data 和Mode。其中key 为8 个字节共64 位，是DES 算法的工作密钥。Data 也为8 个字节64位，是要被加密或解密的数据。Mode 为DES 的工作方式由两种：加密或解密。如Mode 为加密，则用key 把数据Data 进行加密，生成Data 的密码形式（64 位）作为 DES 的输出结果；若Mode 为解密，则用key 把密码形式的数据Data 解

23、密，还原为Data 的明码形式（64 位）作为DES 的输出结果算法实现步骤如图1 DES 算法流程图，实现加密需要3 个步骤。第一步：变换明文。对给定的64 位的明文x.,首先通过一个置换IP 表来重新排列x.,从而构造出64 位的x0, x0=IP(x)=L0R0,其中L0 表示x0 的前32 位，R0 表示x0 的后32 位。第二步：按照规则迭代。规则为：Li=Ri-1Ri=Lif(Ri-1, Ki)(i=1,2,3,16)经过第1 步变换已经得到L0 和R0 的值，其中符号表示数学运算“异或”，f表示一种置换，由s 盒置换构成，Ki 是一些由密钥编排函数产生的比特块。F 和Ki 将在后

24、面介绍。第三步：对L16R16 利用IP-1 作逆置换，就得到了密文y0 加密过程。图1 DES 算法流程图3. DES 的安全性 DES 成为标准的10 来年时间里，其安全性是很高的。但随着Internet 的飞速发展，随着计算机计算能力的显著提高，加之 DES 只采用了64 位的密钥，因而国际上在DES 的破译方面已取得了突破性的进展。为了增加DES 安全性，可以利用的方法就是加长密钥的长度，采用多重DES 加密技术，将分组密码进行级联，在三组不同的密钥作用下，连续多次对一组明文进行加密。针对之前DES 算法产生的问题，国际标准上采用3 重DES 加密算法。3 重DES 方法需要执行3 次

25、常规的DES 加密步骤，但最常用的3 重DES 算法中仅仅用两个56 位DES 密钥。通过多次的加密，增加了DES 密码的安全性，解决了因为密钥的长度安全性低的问题。3.3 SET 协议中RSA 与DES 组合加密技术结合以上对RSA 于DES 的算法分析以及安全性的比较，两者的算法各有其各自的优缺点，没有任何一种密码技术是绝对完美的，那么在SET 协议中，根据电子支付的安全性要求，在数据传输中，数据本身大多数采用DES 加密技术，原因是加密速度快，算法容易实现，可以满足电子商务中对数据时效的要求，但是由于本身是对称机密体制，密钥的安全存在隐患，所以在密钥的安全加密上，采用RSA 技术，RSA

26、 属于非对称加密机制，在网络中便于密钥的传输与管理，便于数字签名，而且保证了数据的不可抵赖性。在电子支付安全系统中,SET 协议的安全性较SSL 高，SET 协议在整个电子商务交易中，包括客户到商家、商家到支付网关再到银行都受到严密的保护。采用RSA 和DES 会有效地为其安全性增加了砝码，当然，密码技术在不断改进，新的安全威胁不断产生， SET 协议的安全机制会随着网络威胁以及密码技术的改进而进行升级，例如采用嵌套加密技术的方案，无论是什么安全方案，都是在现有的RSA 和DES 算法基础之上构建接口，总之，只有深入研究SET 协议中的安全算法，才能不断该进协议的安全性，进而保障电子商务的支付

27、安全。第 4 章 基于set协议的电子支付4.1 电子商务支付系统的发展电子商务支付系统是电子商务系统的重要组成部分, 它指的是消费者、商家和金融机构之间使用安全电子手段交换商品或服务, 即把新型支付手段(包括电子现金(E -CASH)、信用卡(CREDIT CARD)、借记卡(DEBIT CARD)、智能卡等)的支付信息通过网络安全传送到银行或相应的处理机构, 来实现电子支付。电子商务支付系统的安全要求包括:保密性、认证、数据完整性、交互操作性等。目前, 国内外使用的保障电子商务支付系统安全的协议包括:SSL(Secure Socket Layer , 安全套按字层)、SET (Secure

28、 Electronic Transaction)等协议标准 。由于 SSL 协议自身的缺陷性, 基于 SSL 协议的支付系统直接将卡号传给商家会导致:卡号在传输中可能被截取或盗用;由于没有进行数字签名, 消费者和商家可能会互相抵赖,如消费者声称没有进行购买或否认收到商品, 商家可能否认出售了商品或否认收到货款。 为了避免 SSL 支付的缺点, 堵住安全漏洞, Visa 和 Mastercard 国际组织联合 Netscape 、 Microsoft 和 GTE 等公司, 于 1997 年 6 月 1 日正式推出了一种新的电子支付模式基于 SET(Secure Electronic Transa

29、ction,安全电子交易)协议的支付模式。4.2 基于set协议的支付系统结构基于 SET 协议的支付系统结构如图 1 所示:图 1 基于 SET 协议的支付系统结构在 SET 协议中所涉及的参与者有:CA (Certificate Authority)认证中心、发卡行、收单行(支付网关)、消费者(持卡者)和商家。 分别说明如下:CA 认证中心:一般由大家都信任的权威机构担任 , 它是证书的管理机构, 承担网上电子交易认证服务。 CA 作为可信赖的第三方, 其地位是举足轻重的。 在实际运作中, CA 中心并不是一个机构, 而是一个体系, 即证书认证体系, 它有着严格的层次结构, 如图 2 所示

30、。 CA 为其管理层次下的实体提供三个基本服务:证书发行(Certificate Issuance)、 证书更新 (Certificate Renewal)、证书撤消(Certificate Revocation)。 图 2 证书管理结构发卡行:一家金融机构, 负责为持卡人建立卡号并发行支付卡。 发卡行确保合法交易经过验证并履行后根据支付卡品牌政策向商户所在获款行划帐付款。支付网关:位于 Internet 和传统的银行专网之间, 其主要作用是安全连接 Internet 和专网 , 将不安全的 Internet 上的交易信息传给安全的银行专网, 起到隔离和保护专网的作用。主要功能有:将 Inte

31、rnet 传来的数据包解密, 并按照银行系统内部的通信协议将数据重新打包;接收银行系统内部的传回来的响应消息, 将数据转换为 Internet 传送的数据格式, 并对其进行加密。即支付网关主要完成通信、协议转换和数据加解密功能, 以保护银行内部网络。 持卡者:网上商品购买者。通过网络浏览并选定某一商家的商品, 使用支付软件来进行购买。商家 :网上商品或服务的提供者, 通过网络来展示、出售其商品或服务。由图 1 可知, 基于 SET 协议的电子商务支付系统包括以下五个软件包: 签发证书软件在 CA 认证中心的计算机上运行, 功能为:签发数字身份证书、管理已签发证书、定期更新密钥、公布自己的公开密

32、钥。 支付网关软件在收单行的计算机上运行, 功能为:接受付款书、验证付款书、于发卡行联系, 进行转帐、管理和记录付款书、申请自己的证书、密钥并进行管理。 电子钱包软件在消费者的计算机上运行, 功能为:显示交易协议、处理交易协议、记录和管理交易协议、申请自己的证书、密钥并进行管理。 电子收银台软件在商家的计算机上运行, 功能为:接受交易协议 , 并用私钥签字后称为付款书、将付款书送到支付网关、管理和记录交易协议和付款书、申请自己的证书、密钥并进行管理。 网络商场在 ISP 或商家管理的Web 站点的计算机上运行, 功能为:展示商品、提供辅助购物手段、启动消费者的电子钱包软件。4.3 基于set协

33、议的网上支付流程SET 协议的工作流程与实际购物流程非常接近, 但一切操作都是通过 Internet 完成的。 如何保证网上传输数据的安全和交易双方的身份确认是电子商务能否推广的关键。 这正是SET 所要解决的最主要问题。 一个包括完整的购物处理流程的SET 的工作过程如下:(1)支付初始化阶段在这一过程中又包括三个子段:持卡者注册、商家注册、持卡者和商家相互确认。持卡者注册流程如下: 持卡者初始化注册 CA 发出响应 持卡者接受到响应并请求注册表 CA 处理请求并发送注册表 持卡者接受到注册表并请求证书 CA 处理请求并产生证书 持卡者接受证书商家注册流程基本同上。当持卡者购买商家的商品并使

34、用 SET 钱夹付钱时, 商家服务器上 POS 软件发报文给持卡者的浏览器 SET 钱夹付钱, SET 钱夹则要求持卡者输入口令然后与商家服务器交换“ 握手” 信息 , 使持卡者和商家相互确认, 即持卡者确认商家被授权可以接受信用卡, 同时商家也确认持卡者是一个合法的持卡人。(2)支付请求阶段此阶段包括五个过程: 持卡者初始化请求持卡者提供完全的定购表并同意所填内容, 持卡者选择支付卡品牌。(为了将 SET 消息发往商家, 持卡者必须拥有支付网关的交换密钥)。 商家发出证书商家接受到请求, 为该消息指定一个唯一的交易识别号,然后将商家和持卡者指定支付品牌的支付证书, 交易识别号一起发给持卡者。

35、 持卡者接受响应并发出请求持卡者软件通过信任链验证商家和支付网关证书并保存, 之后产生定购信息(Order Information 简称 OI)和支付指示 (Payment Instructions 简称 PI), 并将交易识别号插入 OI 和 PI中, 支付网关将使用此交易识别号将 OI 和 PI 与商家的请求授权相联系。 商家处理请求信息商家软件通过信任链验证持卡者签字证书并处理定购。 持卡者接受购买响应持卡者软件通过信任链验证商家签字证书并根据响应的消息进行不同的操作。(3)支付授权阶段此阶段包括三个过程: 商家请求授权商家软件产生并数字签署一个授权请求, 该请求用随机产生的对称密钥加密

36、和支付网关的公用交换密钥加密后, 连同持卡者支付指示一同发给支付网关。 支付网关处理授权请求支付网关通过信任链验证商家和持卡者的签字证书是否过期, 并解密授权请求和 PI 。 支付网关要确保三个条件:授权请求是由商家的私用签字密钥数字签署;PI 是由持卡者用私用签字密钥签署;来自商家的交易识别号和来自持卡者的 PI 识别号一样。 验证无误后支付网关向发卡行发出一个授权请求。 当发卡行收到后, 支付网关产生并数字签署一个授权响应消息。 商家处理响应商家软件通过信任链验证支付网关的签字证书是否过期, 并验证支付网关的数字签字, 一切无误后, 商家软件保存该授权响应和请款标记 , 完成持卡者的购物处

37、理。(4)支付请款阶段同上, 此阶段包括三个过程: 商家请求支付商家软件产生并数字签署一个请款请求, 连同可选的请款标记一同发给支付网关。 支付网关处理请款请求支付网关解密请款请求和请款标记并验证是由商家所发后, 用来自请款请求的消息和请款标记形成一个清算请求, 通过支付卡支付系统发给发卡行。 发卡行响应后, 支付网关将请款响应消息加密后发给商家。商家软件解密并验证消息, 保存请款响应, 用于与收单行得到的付款进行对帐。4.4 基于set协议的网上支付系统缺陷SET 是一种基于消息流的协议, 非常复杂, 因为它非常详尽而准确地反映了卡交易各方之间存在的各种关系。 SET 还定义了加密信息的格式

38、和完成一笔卡支付交易过程中各方传输信息的规则。 事实上, SET 远远不止是一个技术方面的协议, 它还说明了每一方所持有的数字证书的合法含义, 希望得到数字证书以及响应信息的各方应有的动作, 与一笔交易紧密相关的责任分担。 基于 SET 的网上支付系统已经在国际上被大量试验性地使用并经受了考验, 但大多数在 Internet 上采购的消费者并没有真正使用 SET , 原因是什么呢 ?目前, SET 协议面临的诸多批评综合起来主要有两点: (1)要求安装的软件包过多 SET 协议提供优越的安全性能前提是:SET 要求在银行网络、商家服务器、顾客的PC 机上安装响应的软件, 这些成了 SET 被广

39、泛接受的障碍。 另外, SET 还要求必须向各方发放证书, 这也成为障碍之一。 所有这些, 使得使用 SET 协议的支付系统比使用其他安全协议的系统昂贵得多。一些商家正在考虑与银行的连接中设用 SET , 与顾客连接时使用 SSL 。这种方案回避了在顾客的 PC 机上安装钱夹软件, 同时又获得了 SET 提供的很多优点。(2)SET 协议过于复杂, 处理速度慢, 支持 SET 系统的费用较大其实对于中小型电子商务应用, SET 不需要额外的服务器费用;对于大型电子商务服务应用, SET 要求硬件加速, 中型的硬件加速设备约占服务器费用的 5%到 6%;对于小型支付网关应用, 在短期需要硬件加速

40、, 但随着服务器性能的迅速提高和其他性能的提高(如 ECC 密码技术的使用), 将来可以不需要额外的费用;对于大型支付网关的应用, 一般是 cluster 系统, 如果要求额外的硬件加速, 约占服务器费用的 5%到6%。第 5 章 结束语随着对称多处理 CPU 技术(SMP CPU scaling)、群集技术(Clusting)、密码加速硬件技术(Cryptographic accelerators)、椭圆曲线加密技术(ECC)、随机密钥流技术(RKS)等新技术的发展将进一步促进 SET 性能的提高。 而计算机硬件按照摩尔定理的发展, 价格在降低, 性能成倍提高, 也会促进基于 SET 的电子商务支付系统的广泛普及和应用。参考文献1. 郭晶晶 ,李腊元. 基于 SET 协议的电子商务支付系统的研究 计算机应用, 2012, 3-0068-022. 沈 洋. 电子支付安全技术中SET协议密码算法分析和研究. 电脑知识和技术, 2012, 33-8085-033. Set 协议 百度文库