E-Business 第九章-电子商务安全课件.ppt

* SSL安全协议 工作原理 第一步：初始化握手协议。在该过程中通信双方协商会话密钥。 第二步：建立一个SSL对话。在后续对话过程中，使用协商好的会话密钥来加密/解密消息。 下页图是初始化握手协议的工作过程图。   SSL安全协议 * * SET协议 SET(Secure Electronic Transaction)叫安全电子交易协议，是为了在互联网上进行在线交易时保证信用卡支付的安全而设立的一个开放的规范。因它的对象包括消费者、商家、发卡银行、收单银行、支付网关、认证中心，所以对消费者与商家同样有利。 SET协议保证了电子交易的机密性、数据完整性、身份的合法性和防抵赖性。 用到了对称密钥系统、公钥系统、数字签名、数字信封、双重签名、身份认证等技术 * SET协议 消费者、在线商店、支付网关都通过CA来验证通信主体的身份。 对购物信息和支付信息采用双重签名，保证商户看不到信用卡信息，银行看不到购物信息； 速度偏慢，但是实施电子商务的最佳协议标准，主要适用于B2C模式. * SET协议 SET协议运行的目标 保证信息在互联网上安全传输。 保证交易参与者信息的相互隔离。客户的资料加密或打包后通过商家到达银行，但是商家不能看到客户的账户和密码信息。 解决网上认证问题。认证中心为消费者、商家与支付网关等每个交易参与方都生成数字证书。 保证网上交易的实时性。所有的支付过程都是在线的。 仿效EDI规范协议和消息格式，使不同厂家开发的软件具有兼容性和互操作功能，且可以运行在不同的硬件和操作系统平台上。 * SET协议 例子：使用SET协议的信用卡支付流程 支付网关 客 户B 商 家A 1 申请信用卡 认证中心 收单银行 AY 2 订单、支付指令（数字签名，加密） 7 确认 3 审核 6 确认 4 审核 5 批准 认证 认证 认证 发卡行BY 银行专网 8 货款转移 SET协议 SET交易过程中要对商家，客户，支付网关等交易各方进行身份认证，因此它的交易过程相对复杂。 (1)客户在网上商店看中商品后，和商家进行磋商，然后发出请求购买信息。 (2)商家要求客户用电子钱包付款。 (3)电子钱包提示客户输入口令后与商家交换握手信息，确认商家和客户两端均合法。 (4)客户的电子钱包形成一个包含订购信息与支付指令的报文发送给商家。 (5)商家将含有客户支付指令的信息发送给支付网关。 (6)支付网关在确认客户信用卡信息之后，向商家发送一个授权响应的报文。 (7)商家向客户的电子钱包发送一个确认信息。 (8)将款项从客户帐号转到商家帐号，然后向顾客送货，交易结束。 SET交易过程十分复杂性，在完成一次S ET协议交易过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行签名5次，4次对称加密和非对称加密。通常完成一个SET协议交易过程大约要花费1.5－2分钟甚至更长时间。由于各地网络设施良莠不齐，因此，完成一个SET协议的交易过程可能需要耗费更长的时间。 * SET协议 SET的安全性分析 采用信息摘要技术保证信息的完整性 采用双重签名技术保证交易双方的身份认证与信息隔离 * SSL协议 SEL协议 参与方 客户、商家和网上银行 客户、商家、支付网关、认证中心和网上银行 软件费用 已被大部分Web浏览器和Web服务器所内置，因此可直接投入使用，无需额外的附加软件费用 必须在银行网络、商家服务器、客户机上安装相应的软件，而不是象SSL协议可直接使用，因此增加了许多附加软件费用 便捷性 SSL在使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟便可完成支付 SET协议在使用中必须使用电子钱包进行付款，因此在使用前，必须先下载电子钱包软件，因此操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易 安全性 只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏 安全需求高，因此所有参与交易的成员：客户、商家、支付网关、网上银行都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，替消费者保守了更多的秘密，使其在结购物和支付更加放心 SSL协议与SET比较（供参考） * * 小结 * 网络协议 分层的思想实现网间通信－－－分层的好处 各层之间是独立的，使问题的复杂程度降低了。 灵活性好， 各层用最适合的技术实现，容易实现技术更新。 有利于标准化工作 各层工作： 封装和解包 流量控制、差错控制 分段和重装 复用和分用－－高层会话复用低层的连接 建立连接和释放 * 网络协议 计算机网络中的数据交换必须遵守事先约定好的规则。