第8章 网络安全协议.pptVIP

SET安全协议的缺陷 SET安全协议的缺陷 SET安全协议的缺陷 Spi相对于安全关联都是一个伪随机导数 * * * * 简单加密支付系统模式 信用卡等关键信息需要加密 使用对称和非对称加密技术 可能要启用身份认证系统 以数字签名确认信息的真实性 需要业务服务器和服务软件的支持 安全电子交易SET支付模式 SET协议的目标 信息在互联网上安全传输，不能被窃听或篡改 用户资料要妥善保护，商家只能看到订货信息，看不到用户账户信息 持卡人和商家相互认证，以确定对方身份 软件遵循相同的协议和消息格式，具有兼容性和互操作性 SET（Secure Electronic Transcation），两大信用卡组织Visa和MasterCard联合开发的电子商务安全协议。 一种应用在Internet上、以信用卡为基础的电子付款系统规范，目的是为了保证网络交易的安全。 SET采用公钥密码体制和X.509数字证书标准，主要应用于B2C模式中保障信息传输的机密性、真实性、完整性和不可否认性。 SET协议是PKI框架下的一个典型实现，也是一个基于可信的第三方认证中心的方案。 SET协议 8.4.1 电子商务安全 电子商务（Electronic Commerce），以网络技术为手段、以商务为核心，把销售、购物渠道移到互联网上来，打破国家与地区的壁垒，使销售达到全球化、网络化 电子商务提供网上交易和管理等全过程的服务，包括广告洽谈、网上交易和服务传递，网上交易是核心 面临的安全问题 有效性、真实性、机密性、不可否认性 安全技术 网络安全技术、加密技术、认证技术、安全协议 要对网络故障、系统错误及病毒所产生的潜在威胁加以控制和预防，保证交易数据是有效的。 核实交易主体的真实身份 预防个人账号、买家订货等机密信息被非法窃取 交易双方不能对交易活动进行否认 防火墙、入侵检测、防病毒等技术 基于密码学基础，采用加密算法 数字签名、消息摘要、数字证书等 综合了加密及认证等技术设计的规范信息交换功能的网络协议，SSL和SET 8.4.2 SET协议概述 SET安全协议的目标： 保证交易信息在互联网上安全传输，防止数据被黑客或被内部人员窃取。 保证电子商务参与者信息的相互隔离。客户的资料加密或打包后通过商家到达银行，但是商家不能看到客户的账户和密码信息。 持卡人和商家相互认证，以确定通信双方的身份，由第三方机构负责为在线通信双方提供信用担保。 保证网上交易的实时性，使支付过程都是在线的。 要求软件遵循相同协议和报文格式，使不同厂家开发的软件具有兼容性和互操作功能。 SET的组件结构 持有发卡机构发行并授权使用的支付卡的用户 负责发放支付卡并为持卡人提供支付账务担保的金融机构(银行) 为商家建立账户并为商家处理各种支付卡的认证和收款业务的金融机构 为SET和各支付卡业务机构的支付网络接口，一般由清算机构提供 为持卡人、商家和支付网关信任，并为其提供CA证书及认证服务的权威机构 为持卡人提供商品或服务并接受支付卡消费的个人或组织 SET协议的工作原理 基于SET的网络交易流程 顾客通过Internet选定物品，填写并提交订货单。 商家作出应答，告诉消费者所填订货单信息是否准确。 消费者选择付款方式，核定订单。此时SET开始介入。 顾客在验证商家的CA证书后，发送给商家一个包含完整订购信息和支付信息的订单。 商家接受订单后，验证顾客的身份，并向其支付卡所在银行请求支付授权(支付网关——清算机构——发卡机构确认——返回确认信息给商家)。 商家发送订单确认信息给顾客。 商家发送货物或提供服务，到此一个网上交易结束。 商家通知清算机构请求支付货款(钱从顾客帐号转移到商家帐号）。 数字摘要和数字签名结合 8.4.3 SET的安全机制 SET协议安全性主要依靠其采用的多种安全机制，解决了机密性、完整性、身份认证和不可否认性等问题，提供了更高的信任度和可靠性。 CA证书 CA证书就是一份文档，它记录了用户的公开密钥和其他身份信息。 最重要的证书是持卡人证书和商家证书。 还包括支付网关证书、清算机构（银行）证书、发卡机构（银行）证书。 这些证书由一个权威的CA签发，如某金融机构的认证中心 交易过程中，SET各实体通过数字证书证实自己的身份，同时向对方提供自己的公钥，以便交换保密信息。 电子信封 SET协议使用电子信封来传递更新的密钥 电子信封涉及到两个密钥 一个是接收方的公开密钥 另一个是发送方生成临时密钥（对称密钥） 电子信封技术 双重签名 SET协议核心内容是订购信息OI和支付信息PI 伪造欺骗：商家将PI1和OI2转发给银行，伪造一对交易信息；顾客否认PI1和OI1之间的关联，给商家造成麻烦。 DS(双重签名)技术将OI和PI这两部分的摘要信息绑定，确保电子交易的有效性和公正性 分