set加解密过程

3.4.5 SE丁协议的加解密过程

1。加密过程

首先，甲方要产生一个数字签名来向乙方证明信息确实是他发出的。他需要执行以

下步骤:

①将所发送信息通过哈希算法，形成信息摘要。

②使用RSA算法，用私人签名密钥加密信息摘要，形成数字签名。

其次，甲方需要加密信息，使得它在网上传输时没有人能读懂它。

③甲方通过软件，随机生成对称密钥，作大信息量加密之用，SET缺省的对称密钥

算法是DES o

④甲方用对称密钥加密所要发送的信息(即明文)、数字签名和证书。发送证书的目

的是为了乙方可从证书中得到公开签名密钥，以解开甲方的数字签名。

⑥到目前为止，甲方可安全地发送信息了，同时也证明了他的身份。但为了使乙方

能读懂这些信息，甲方还需将对称密钥送给乙方。甲方用乙方的公开密钥加密该对称密钥，形成所谓的数字信封。最后甲方将数字信封和加密信息一同发给乙方。

2.解密过程

①乙方用自己的私人密钥交换密钥将数字信封打开，取出对称密钥。

②乙方用对称密钥解密信息，得到明文信息、数字签名和甲方的公开签名密钥(从

甲方的证书中获得)。

③乙方用甲方的公开签名密钥解密数字签名，得到信息摘要。

3.验证过程

到目前为止，乙方还不知道收到的信息是否确实来自甲方，为了证实是甲方发送的信息，乙方还要完成以下步骤:

①将得到的明文信息进行哈希运算，得到新的信息摘要。

②比较新的信息摘要和原信息摘要(上述解密过程中得到的)，如果两者一致，说明

收到的信息确实来自拥有与证书中公开签名密钥成对的私人签名密钥一方，而且信息是完整的。一旦乙方将证书送到发证机构CA认证，就可确定甲方的真实身份和证书是否有效。

3.4.6 SE丁协议分析

SET是基于信用卡的安全支付协议，用于保证信息的机密性、交易方身份的认证和信息的完整性。

(1)信息的机密性

在SET协议中，传输的信息都进行了加密处理，以保证信息的机密性。DES中SET 协议中默认的对称加密算法，用于保护敏感的金融数据;商用数据隐蔽设备CDMF(Commercial Data Mashing Facility)是另一种对称加密算法，用于SET中收单行和持卡者的信息保护它以DES为底层加密算法，采用40位密钥代替DES的64位密钥。为了保证信用卡信息不被商家非法获取，SET采用双重数据签名技术，以提供订购信息和支付消息的机密性，使商家只能看到订购信息，不能看到用户的信用卡信息，而银行只能看到信用卡信息，不能看到订购信息。

(2)数据的完整性

SET使用数字签名来保证数据的完整性。SET使用安全Hash算法SHA-1( Secure Hash Algorithm -1)及RSA来实现数字签名。SHA-1对于任意长度的消息都生成一个160位的消息摘要。如果消息中有一位发生变化，则消息摘要中的数据也会发生变化，两个不同的消息的摘要完全相同的概率几乎是零。

SET协议中还应用双重签名来保证信息的完整性。双重签名的目的是连接两个不同

接收方的两条信息。比如，发送给商家的订购信息和发送给银行的支付信息，使用双重

签名则商家就不会获知客户的支付卡上有关账户、卡号等机密信息，而银行也不会知道

客户的订购信息的细节，从而保证信息的完整性。

(3)身份认证

SET使用基于X.509v3的数字证书，通过数字证书和RSA签名来达到对持卡人账户和商家、支付网关以及银行的身份的认证。SET是一个基于可信的第三方认证中心的方案，CA在SET扮演了很重要的角色，证书是核心。SET标准提供了通过认证中心对证书加以认证的方法来确保进行电子交易的各方能够互相信任。

3.4.7 SE丁协议的不足之处

SET通过制定标准和采用各种技术手段，解决了一直困扰电子商务发展的安全问题，包括购物与支付信息的保密性、交易支付完整性、身份认证和不可抵赖性，在电子交易

环节上提供了更大的信任度、更完整的交易信息、更高的安全性和更少受欺诈的可能性。SET虽然很多方面解决了电子商务安全支付问题，但其存在不足，具体表现在:

1、实现过程复杂，成本太高，互操作性差;

2、SET协议目前只局限于卡支付方式，对其他方式的支付没有给出很好的解决方案;

(3)由于对加密算法使用的限制，导致SET的安全性还不够高，适应性较差;

(4)协议没有规定收单银行在给商家付款前，是否必须收到持卡者的货物接收证书如果商家提供的货物不符合质量标准，消费者提出异议，责任由谁承担;

(5) SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁有关数据。虽然具有很多的缺点，但SET由于其较高的安全性和规范性，使其逐步发展成为安全电子支付的国际标准

3.4.8 SE丁协议的改进

在电子商务安全协议中，可靠性，机密性，完全性，有效性通过加密技术，密钥管

理技术以及数字签名得到保障。但是在公平性上还有一定的缺陷。

公平性就是要保证无论协议中止在任何阶段时，不会造成任何一方处于较另一方更

为优势的地位，或者说协议双方要么得到了各自期望的东西，要么都得不到任何有利信息。在原有的商务系统中，在公平性这一点上存在一定缺陷，商家比用户占有优势:在

用户还没有收到货物接受证书的情况下，收单银行就已付款给了商店。

一个理想的电子商务安全协议应该在协议的每一步中，一方都没有强于另一方的优势。如果把拉格朗日插值多项式存在唯一性的思想用到SET中，在保证原来协议可靠性，机密性，完全性，有效性的基础上，能在一定程度上增强这个协议的公平性。。