信息安全原理与技术 蒋朝惠 武彤 王晓鹏 邓少勋编著 第7章 应用安全.PPTVIP

信息安全原理与技术  蒋朝惠 武彤 王晓鹏 邓少勋编著中国铁道出版社2009.5 * * * * * * * * * * * * * * * * * 2．Microsoft .NET安全性（续） 验证 代码访问安全性 安全策略 策略程序集 堆栈审核 基于角色的安全性 * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 持卡人通过SET协议进行购物付款交易的流程 图7-24 持卡人通过SET协议进行购物付款交易的流程 SET报文所用的安全机制及预防的风险 步 骤 安 全 机 制 预防的风险 ① 对订单信息进行加密保护，只有商家可以解读 对付款指示进行加密保护，只有收单银行(支付网关)可以解读 对订单信息和付款指示进行双重签名，商家除了可确认其订单的正确性，还可确保其付款的合法性；反之，收单银行确认付款指示的正确性，还可以确保其订单的合法性 持卡人： 冒牌商家 信用卡信息在传输过程中被窃取 信用卡遭非法盗用 商家： 使用未授权的信用卡 否认购买行为 银行： 未授权的购买行为 ② 对支付授权请求资料进行加密，只有收单银行(支付网关)可以解读 对付款指示进行加密保护，只有收单银行(支付网关)可解读 对订单信息和付款指示的双重签名，收单银行除了可确认其付款的正确性，还可确保其订单的合法性 支付授权请求信息由商家数字签名保护 商家： 非法支付授权应答 否认支付授权应答 表7-3 流程中SET报文所用的安全机制及预防的风险 SET报文所用的安全机制及预防的风险(续) 步 骤 安 全 机 制 预防的风险 ③ 对支付授权应答信息进行加密，只有商家可以解读 支付授权应答信息由收单银行(支付网关)的数字签名保护 商家： 非法支付授权应答 否认支付授权应答 ④ 购物应答由商家的数字签名保护 持卡人： 商家交易后不送货 表7-3 流程中SET报文所用的安全机制及预防的风险(续) SET交易过程中对数字证书处理操作统计表 参与方 传 送 次 数 验 证 次 数 持卡人 1次(持卡人签名数字证书1次) 3次(商家签名数字证书2次，网关加密数字证书1次) 商家 5次(持卡人数字证书1次，网关数字证书1次，商家加密数字证书1次，商检签名数字证书2次) 3次(持卡人签名数字证书1次，网关加密数字证书1次，网关签名数字证书1次) 支付网关 1次(网关签名数字证书1次) 3次(持卡人签名数字证书1次，商家签名数字证书1次，商家加密数字证书1次) 合计 7次 9次 表7-4 SET交易过程中对数字证书处理操作统计表 SET交易过程中对数字签名处理操作统计表 参与方 签 名 次 数 验 证 次 数 持卡人 1次 2次(验证商家签名数字签名) 商家 3次 2次(验证持卡人数签名1次，验证网关数字签名1次) 支付网关 1次 2次(验证持卡人数字签名1次，验证商家数字签名1次) 合计 5次 6次 表7-5 SET交易过程中对数字签名处理操作统计表 SET交易过程中加密处理操作统计表 参与方 加 密 次 数 解 密 次 数 对称 非对称 对称 非对称 持卡人 1次(商家、网关) 1次(商家、网关) 商家 1次(网关) 1次(网关) 2次(持卡人，网关) 2次(持卡人，网关) 支付网关 2次(商家) 2次(商家) 2次(持卡人，商家) 2次(持卡人，商家) 合计 4次 4次 4次 4次 表7-6 SET交易过程中加密处理操作统计表 7.3.4 安全套接层协议（SSL） 安全套接层协议（SSL）是网景（Netscape Communications）公司于 1994年 10月为其产品 Netscape Navigator而设计的数据传输安全标准。主要是在因特网环境下为交易双方在交易的过程中提供最基本的点对点（End－to－End）通信安全协议，以避免交易信息在通信的过程中被拦截、窃取、伪造及破坏。也就是说，该协议仅为因特网环境下的通信双方（如：Web服务器端（Server）与客户端（Client））提供的安全通信协议，而不是一个完整的安全交易协议。 SSL 层图 图7-25 SSL介于传输层与应用层之间 1．SSL协议的特点 与应用的无关性(Application Independent) 身份验证(Authentication) 安全保密性(Confidentiality) 完整性(Integrity ） 2．SSL的应用 在网络购物中的应用 在网络银行中的应用 SSL在网络购物中的应用 图7-26 持卡人通过SSL机制进行购物付款交易的流程 SSL在网络银行中的应用 图7-27 通过SSL协议进行网络银行交易的流程 7.3.5 SET与