电子商务理论—不详.pdf

各类电子商务交易都需要电子商务证书，电子商务认证授权机构 （CA:CertificateAuthority ）也称为电子商务认证中心 （简称认证中心）, 是承担网上安全电子交易认证服务，能签发数字证书，并能确认用户身 份的服务机构。电子商务证书采用国际上最先进的安全保密技术对网路 上的数据发送和接收方进行身份确认，以保证各方安全性、保密性、可 靠性。在电子交易中，无论是数字时间戳服务 （DTS）还是数字证书的 发放，都不是交易双方完成的，而是具有权威性和公正性的第三方来完 成的。 认证中心主要任务是受理数字证书的申请、签发及对数字证书的管 理。认证中心依据认证操作规定 （CPS：Certificate Practicestatement ） 来实施服务操作。 认证中心应对那些接纳该系统服务的电子商务用户提供以下服务： 可以有效进行安全管理的设施； 可靠的风险管理以及得到确认、充分被理解的责任。同时接受该系 统服务的电子商务用户应充分信任该系统的可信度。 认证中心有四大职能：证书发放、证书更新、证书撤消和证书验 证。 证书发放 对于SET 的用户，有多种方法向申请者发放证书，可以发放给最终 用户签名的或加密的证书，向持卡人只能发放签名的证书，向商户和支 付网关可以发放签名并加密的证书。 持卡人证书 它是支付卡的电子化表示，它是金融机构以数字化形式签发的，不 能被第三方改变。持卡人证书并不包括账号和终止日期，而是用单向哈 希算法，根据账号、截止日期和密码值即可导出这个码值，反之则不 行。在SET协议中，持卡人需向支付网关提供他的账户信息和密码值。 持卡人向发卡行申请证书时，用自己的软件生成一对公用密钥和私有密 钥，将账户信息和公用密钥交给发卡行保存，私有密钥自己保存。当持 卡人的发卡行批准后，他就能获得持卡人证书，持卡人还需保存认证授 权的公用密钥，用于验证商户证书和支付网关证书。当持卡人想通过电 子方式购物时，该证书将与购买要求和加密的支付指令一起发往商户， 当商户收到持卡人证书时，它至少能确认该账户信息曾被发卡行证实 过。 商户证书 商户证书就像是贴在收款台小窗上的付款卡贴面，以表示可以用什 么卡来支付，它是由金融机构签发的，不能被第三方改变。在SET环境 中，一个商户至少应有一对证书，与一个收单银行打交道，一个商户可 以有多对证书，表示它能接受多种付款卡。 支付网关证书 它可以被收革行获取，用于处理授权和购买消息，持卡人从该证书 获得网关的加密密钥，授权该密钥闲户保护持卡人的帐户信息。支付网 关证书由付款卡机构发给收单行。 收单行证书 收单行必须拥有证书以便作为认证来接收和处理来自商户的证书申 请，收单行证书由付款卡机构颁发。 发卡行证书 发卡行必须拥有证书以便作为认证授权来接收和处理来自持卡人的 证书申请，发卡行证书由付款卡机构颁发。 如果收单行和发卡行如果选择付款卡机构来处理证书申请，就不需 要收单行证书和发卡行证书，因为这样它们就不需要处理SET信息。 证书更新 持卡人证书、商户和支付网关证书应定期更新，更新过程与证书发 放过程是一样的。 证书撤销 证书的撤消可以有许多理由，如私有密钥被泄密，身份信息的更新 或终止使用等。对待卡人而言，他需要确认他的账户信息不会发往一个 未被授权的支付网关，因此被撤消的支付网关证书需包含在撤消清单中 并散发给持卡人；由于持卡人不会将任何敏感的支付信息发给商户，所 以，持卡人只需验证商户证书的有效性即可。对商户而言，被撤消的支 付网关证书需散发给商户。对支付网关而言，需检查持卡人不在撤消清 单中，并需与发卡行验证信息的合法性；同样支付网关需检查商户证书 不在撤消清单中，并需与收单行验证信息的合法性。 证书验证 SET证书是通过信任分级体系来验证的，每一种证书与签发它的单 位相联系，沿着该信任树直到一个认可信赖的组织）我们就可以确定证 书的有效性，信任树根的公用密钥对所有SET软件来说都是已知的， 因而可以按次序地检验每一个证书。 由于电子交易一般采用公用密切加密算法，认证授权就成为整个系 统的安全核心，各种证书均由各级认证授权机构产生、颁布、更新、废 除验证。CA 的身份证明服务为使用公用密钥加密的应用提供了可定制 的公用密钥身份证明发放及管理服务，在