5.网上支付.pptVIP

电子商务与金融 第五章 网上支付 5.1 银行卡支付 5.1.1网上银行卡支付问题 持卡人凭卡到指定的银行机构存取现金，到指定的特约商户消费，受理银行卡的商户将持卡消费者签出的记账单送交银行，由银行向持卡人收账。 银行卡支付通常涉及三方，即消费者、商户和银行。支付过程包括清算和结算，前者指支付指令的传递，后者指与支付相关的资金的转移。资金支付必须由发卡银行通过适当的网络进行授权来完成。 基于银行卡的支付在因特网上进行时，其核心问题是消费者、商家和银行之间的支付信息的安全传输和身份认证。 5.1.2基于SSL的银行卡支付系统 1.SSL协议概述 安全套阶层协议SSL (secure socket layer)是在因特网基础上提供的一种保证机密性的安全协议。SSL使客户机与服务器之间的通信不被攻击者窃听，并别始终保持对服务器进行认证，还可选择对客户进行认证。SSL建立在TCP协议之上，独立于应用层协议，应用层协议能透明地建立于SSL协议上。 SSL最初由Netscape公司研究制定，是目前在电子商务中应用最为广泛的安全协议之一。其原因在于： 应用范围的普遍性，适用于所有利用TCP/IP协议的C/S模式通信； SSL被大部分Web浏览器和Web服务器内置，比较容易被应用。 2.SSL协议的功能 SSL的基本功能： SSL服务器认证：允许客户机确认服务器身份。 确认用户身份。 保证数据传输的机密性和完整性。 3.SSL体系结构 记录协议定义了要传输数据的格式，它位于TCP协议之上，从高层SSL子协议收到数据后，进行封装、压缩、认证和加密。 SSL握手协议允许服务器与客户机载应用程序传输和接受数据之前互相认证，协商加密算法和密钥，SSL握手协议包括在初次建立SSL连接时使用SSL记录协议在支持SSL协议的服务器与客户机之间交换一系列信息。 4.基于SSL的银行卡支付过程 (1)持卡人登录站点，验证商户身份； (2)持卡人决定购买，向商户发出购买请求； (3)商户返回同意支付等信息； (4)持卡人验证支付网关身份，填写支付信息并用支付网关公钥加密，将订购信息和支付信息通过SSL传给商户； (5)商户向支付网关传递支付信息，要求支付； (6)支付网关解密支付信息，通过传统的银行网络到发卡行验证支付信息的有效性，并即时划账； (7)支付网关用私钥加密结果后返回商户； (8)商户用支付网关公钥解密后返回结果给持卡人，送货，交易结束。 SSL体系评价 提供了客户机与服务器之间的安全连接； 没有解决持卡人身份认证和交易的不可抵赖性问题 5.1.3基于SET的银行卡支付系统 1.SET协议概述 SET由VISA和MasterCard组织会同一些计算机供应商开发，是目前公认的信用卡的网上交易的国际标准。 SET协议采用了对称密钥和非对称密钥体制，把对称密钥的快速、低成本和非对称密钥的有效性结合，以保护在开放网络上传输的个人信息，保证交易信息的隐蔽性。其重点是确保商户和消费者的身份和行为的认证和不可抵赖性。 SET理论基础 非否认协议(Non-Repudiation) SET核心技术 (1)X.509电子证书标准 (2)数字签名技术 (3)报文摘要 (4)数字信封 (5)双重签名 补充——数字信封 SET推广难的原因： 成本高、互操作性差、难以实施； SSL占有较大市场份额； SET仅能支持银行的支付卡交易； SET协议不支持B2C类型的交易模式。 2.SET交易参与方 (1)持卡人(cardholder) 参与条件：电子钱包软件+数字证书 电子钱包的功能包括：发生、接受信息；存储自身的公钥签名密钥和交易参与方的公开密钥交换密钥；申请、接收和保存认证功能；增删改银行卡；检查证书状态；显示银行卡信息和交易历史记录。 (2)商户(merchant) 参与条件：银行审核+SET软件+数字证书 (3)支付网关(payment gateway) 支付网关是由收单银行或指定的第三方操作的专用系统 支付网关的功能：确认商户身份；解密持卡人支付指令；验证持卡人证书与购物者所使用的账户是否匹配；验证持卡人和商户信息的完整性等。 (4)收单行(acquirer) 收单行是一个金融机构，为商户建立账户并处理支付授权和支付。收单银行不是SET交易的直接组成部分，而是完成交易的必要的参与方。 (5)发卡行(issuer) 发卡行是一个金融机构，为持卡人建立一个账户并发行支付卡，发卡行保证对经过授权的交易进行付款。发卡银行不属于SET交易的直接组成部分，而是完成交易的必要的参与方。 (6)认证中心CA 3.SET购物流程 4.SET支付信息 在向持卡人发起一份完整的订单表格，并经持卡人对其内容核准之后，SET支付开始。 (1)支付发起请求/支付发起应答 支付发起请求包括：持