电子支付安全管理2.ppt

5.3 SSL协议 1.SSL协议的工作原理 浏览器向服务器发送安全会话请求，服务器将自己的证书和公钥发给浏览器。 两者之间协商会话密钥的位数以产生会话密钥。 浏览器用该会话密钥对明文进行加密以生成密文，在此基础上，服务器和浏览器之间进行信息的安全传输。 5.3 SSL协议 1.SSL协议的工作原理 （1）SSL握手 （2）SSL会话过程 双向认证SSL协议的具体过程： （1）浏览器发送一个连接请求给安全服务器。 （2）服务器将自己的证书以及同证书相关的信息发送给客户浏览器。 （3）客户浏览器检查服务器送过来的证书是否是由自己信赖的CA中心所签发的。如果是，就继续执行协议；如果不是，客户浏览器就给客户一个警告消息：警告客户这个证书不是可以信赖的，询问客户是否需要继续。 5.3 SSL协议 双向认证SSL协议的具体过程： （4）客户浏览器比较证书里的消息，例如域名和公钥，与服务器刚刚发送的相关消息是否一致，如果是一致的，客户浏览器认可这个服务器的合法身份。 （5）服务器要求客户发送客户自己的证书。收到后，服务器验证客户的证书，如果没有通过验证，拒绝连接；如果通过验证，服务器获得用户的公钥。 （6）客户浏览器告诉服务器自己所能够支持的通信对称密码方案。 （7）服务器从客户发送过来的密码方案中，选择一种加密程度最高的密码方案，用客户的公钥加过密后通知浏览器。 5.3 SSL协议 双向认证SSL协议的具体过程： （8）浏览器针对这个密码方案，选择一个通话密钥，接着用服务器的公钥加过密后发送给服务器。 （9）服务器接收到浏览器送过来的消息，用自己的私钥解密，获得通话密钥。 （10）服务器和浏览器接下来的通信都是经过对称密钥加过密的，从而保证通信的安全性。 5.3 SSL协议 2.SSL协议的应用 SSL协议便宜，开发成本小，应用简单，安全性好，速度较快。并且几乎所有操作平台上的Web浏览器（IE，Navigator）以及流行的Web服务器（IIS，Netscape）都支持SSL协议。 SSL协议首先被应用于信用卡的网上支付。 SSL的流程也体现了对称密钥和非对称密钥的使用，对称密钥常被用来加密内容，而非对称密钥则被用来加密被传递的对称密钥。 5.3 SSL协议 2.SSL协议的应用 SSL协议被用于信用卡进行网上支付的流程图： SSL协议保护了厂家的利益而没有保护顾客的利益。协议中缺少了对厂家的认证。 5.4 SET协议 一、SET协议概述 SET是美国Visa和MasterCard两大信用卡组织等联合于1996年2月1日共同开发出来，并于1997年5月31日正式推出的用于电子商务行业的1.0版本。 SET协议的重点是确保商户和消费者身份的合法性和行为的不可抵赖性。 SET协议采用的核心技术包括：X.509电子证书标准与数字签名技术、报文摘要、数字信封、双重数字签名等。 数字证书—对交易各方的身份合法性进行验证。 数字签名—确保数据的完整性和不可否认性。 5.4SET协议 双重数字签名—对消费者的支付信息和订单信息分别进行签名，使商户看不到支付内容，银行看不到订单信息。 1.SET支付系统的组成 SET支付系统由：持卡人、商家、发卡行、收单行、支付网关、认证中心6部分组成 基于SET协议的网上购物系统至少包括电子钱包软件、商家软件、支付网关软件和签发证书软件4个部分。 5.4 SET协议 2.SET的安全性分析 采用公钥加密和私钥加密相结合的方法来保证数据的机密性。 采用消息摘要技术保证信息的完整性。 （消息摘要是消息通过HASH函数处理后得到的唯一对应于该消息的数值，消息中每改变一个数据位都会引起消息摘要中大约一半的数据位的改变） 采用双重签名技术来保证交易双方的身份认证。 SET加密流程： 消息明文 消息摘要 ④生成对称密钥 发送方私钥 数字签名 消息密文 数字信封 接收方公钥 接收方证书 ⑦发送 ③加密 ⑥加密 ⑤加密 ①证书认证 ②Hash运算 SET解密流程： ①接收 消息密文 数字签名 发送方证书 数字信封 接收方私钥 消息明文 对称密钥 ④解密 ⑤解密 发送方公钥 消息摘要 消息摘要 ⑧保存 ③解密 ⑥Hash运算 ⑦比较 正确 5.4 SET协议 3.SET协议的优点和缺点 （1）SET协议的优点 SET保护了商家和消费者的利益。 SET不仅保证了商家身份的合法性，并且保证了用户的信用卡号不会被窃取。 SET对于参与交易的各方都定义了互操作接口，一个系统可以由不同商家的产品构建。 （2）SET协议的缺点 协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接收证书。 5.4 SET协议 协议没有担保“非拒绝行为”，这意味着在线商店无法证明订购是不是由签署证书的消费者发出的。 SET技术规范没有