第九篇 安全电子交易协议.ppt

第九章 安全电子交易协议 教学内容： 9.1 SSL协议 9.2 SET协议概述 9.3 SSL与SET协议的比较 9.4 在线支付 9.5 本章小结 9.6 习题 学习目标： 1、掌握SSL的概念、安全内容及体系结构并理解其安全漏洞。 2、掌握SET的概念、安全目标及工作流程并了解其安全保障。 3、掌握SSL和SET协议的不同。 4、了解网上安全支付和手机支付的应用 电子商务实施初期采用的安全措施 部分告知（partial order）。在网上交易中将最关键的数据，如信用卡帐号及交易金额等略去，然后再用电话告知，以防泄密。 另行确认 (order confirmation)。在网上传输交易信息之后，再用电子邮件对交易进行确认，才认为有效。 在线服务 (online service)。为了保证信息传输的安全，用企业提供的内部网来提供联机服务。 实现真正安全的网上购物，必须进入应用SSL或SET的网站。 SSL是对会话的保护。 SSL所提供的安全业务有实体认证、完整性、保密性，还可通过数字签名提供不可否认性。 SET是一种以信用卡为基础的，在因特网上交易的付款协议，利用公钥体系对通信双方进行认证，用加密算法对信息加密传输，并用散列函数算法来鉴别信息的完整性。 9.1 SSL协议 SSL所提供的安全业务类似于S-HTTP：有实体认证，完整性，保密性，还可通过数字签名提供不可否认性。 一、 SSL协议的概念 SSL协议(Secure Socket Layer，安全套接层)是由网景（Netscape）公司推出的一种安全通信协议，在1995年发表。它能够对信用卡和个人信息提供较强的保护。SSL是对计算机之间整个会话进行加密的协议。 在SSL中，采用了公开密钥和私有密钥两种加密方法。它是一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，该协议向基于TCP／IP的客户/服务器应用程序提供了客户端和服务器的鉴别、数据完整性及信息机密性等安全措施。目的是为用户提供互联网和企业内联网的安全通信服务。  是保证计算机之间通信安全的一种协议。 SSL支持HTTP，是其安全版，名为HTTPS。在URL前用HTTPS协议就意味着要和服务器之间建立一个安全的连接。例如，输入的 URL为 https：//www.amazon .com，就会同 建立安全的连接，这时浏览器状态栏会显示出一个锁表示已建立安全连接，如图下所示。 SSL有两种安全级别：40位和128位。这是指每个加密交易所生成的私有会话密钥的长度。会话密钥是加密算法为在安全会话过程中将明文转成密文所用的密钥。密钥越长，加密对攻击的抵抗就越强。美国政府批准可以出口较短的48位密钥，但不允许128位密钥的出口。你可根据互联网 Explorer和 Netscape浏览器状态条上锁头的开关来判别洲览器是否进入了SSL会话。如果未进入，则锁头处于打开状态。一旦会话结束，会话密钥将被永远抛弃，以后的会话也不再使用。 二、SSL提供的安全内容 SSL提供的安全内容：机密性，完整性和认证性 1、机密性：加密数据以隐藏被传送的数据。2、完整性：确保数据在传输过程中不被改变。 3、认证性：认证用户和服务器，使得它们能够确信数据将被发送到正确的客户机和服务器上。 三、 SSL体系结构 SSL协议建立在传输层和应用层之间，包括两个子协议：SSL记录协议和SSL握手协议，其中记录协议在握手协议下端。 1、SSL记录协议 在SSL协议中，所有的传输数据都被封装在记录中。记录是由记录头和记录数据组成的。所有的SSL通信包括握手消息、安全空白记录和应用数据都使用SSL记录层。 2、SSL握手协议 SSL握手协议允许服务器与客户机在应用程序传输和接收数据之前互相认证、协商加密算法和密钥。它包含两个阶段，第一个阶段用于建立私密性通信信道，第二个阶段用于客户认证。 第一阶段是通信的初始化阶段，首先SSL要求服务器向浏览器出示证书。证书包含有一个公钥，这个公钥是由一家可信证书授权机构签发的。通过内置的一些基础公共密钥，客户的浏览器可以判断服务器证书正确与否。然后，浏览器中的SSL软件发给服务器一个随机产生的传输密钥，此密钥由已验证过的公钥加密。由于传输密钥只能由对应的私有密钥来解密，这证实了该服务器属于一个认证过的公司。随机产生的传输密钥是核心机密，只有客户的浏览器和此公司的Web服务器知道这个数字序列。这个两方共享密钥的密文可以通过浏览器安全地抵达Web服务器，Internet上的其他人无法解开它。 第二阶段的主要任务是对客户进