7安全交易协议与支付
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
相关资料请查阅： HTTP：//www.setco.org/download/
SET 的体系结构
SET协议中的角色
消费者：购买者通过计算机与商家交流，通过由发卡机构颁发 的付款卡进行结算。在与商家的会话中，SET可保证消费者的 个人账号信息不被泄露。
发卡机构：一个金融机构，为每一个建立了账户的顾客颁发付 款卡。
SSL並不能防止送讯息的一方否认(denial)曾经送 过某一个讯息。
S-HTTP与SSL
SSL不同于S－HTTP之处在于后者是只限于Web的使 用；而前者则是通过Socket发送信息，SSL是一个通 过Socket层对客户和服务器之间的事务处理进行安全 处理的协议，适用于所有TCP／IP应用。
SET－安全协议
由世界上两大信用卡商Visa和Master Card于1997年5月联合制定 的实现网上信用卡交易的模型和规范。 SET规范是一种为基于信用卡而进行的电子交易提供安全措施 的规则，是一种能广泛应用于Internet上的安全电子付款协议。 SET主要是为了解决用户、商家和银行之间通过信用卡支付的 交易而设计的，以保证支付信息的机密、支付过程的完整、商户及 持卡人的合法身份以及可操作性。 SET规范是目前电子商务中最重要的协议。SET得到了美国IT企 业的支持。
其目的在于提高应用层协议(如HTTP、Telnet、NNTP 和FTP等)的安全性，增强通信应用程序之间的保密性和 可靠性。
SSL协议的功能包括： – 数据加密 – 服务器验证 – 信息完整性 – 可选的客户TCP／IP连接验证。
SSL体系结构
SSL被设计用来使用TCP提供一个可靠的端到 端安全服务。 – SSL Record Protocol为更高层提供基本安 全服务。 – SSL Handshake Protocol, SSL Change Cipher Spec Protocol, SSL Alert Protocol是 SSL的高层协议，用于管理SSL交换。
一个简单的购买过程
顾客向商贩询问桔子的情况； 商贩给顾客桔子； 顾客把钱给商贩； 商贩给顾客找零钱。
协议是一系列预先规定的步骤，由两个或更多的人 来完成，是为了完成一项任务而设计的。
A把所有权凭证和钥匙给B； B给A开了一张价值为购车款的支票； A把支票存入银行。
B开了一张支票，把它交给银行； 银行在确认B的钱足够支付这张支票之
后，会为这张支票进行担保，并把支票 还给B； A把所有权凭证人钥匙给B； B给A开了一张价值为购车款的、已被 担保的支票； A把支票存入银行。
A把所有权凭证及钥匙交给一名律师；
B把支票交给这位律师；
律师把支票存入银行；
在一段时间，支票过户，而且B为汽车注册之后，律 师把所有权凭证和钥匙交给B。
S-HTTP安全超文本传输协议
保护Internet上所传输敏感信息的安全协议。 目标是保证商业交易的传输安全。S—HTTP使Web客户
和服务器均处于安全保护之下，其信息交换也是安全的。 利用S—HTTP，安全服务器以加密和签名信息回答请求；
同样，安全客户验证签名、身份。 验证是通过服务器的私钥实现的，该私钥用来产生服务器
SSL Protocol Stack
SSL Record Protocol
SSL Record Protocol为SSL连接提供两种服 务 – 保密性。Handshake Protocol定义一个共享 的保密密钥用于对SSL有效负载加密。 – 完整性。Handshake Protocol定义一个共享 的保密密钥用于形成MAC。
SET中的安全技术
wenku.baidu.com协商
审核
请求
消 订单
在 线
费
商
确认 支付网关 确认 收单银行
者 确认 店
认证
认证
认证
审核
批准
认证中心
发卡银行
SET中的安全技术
数字信封---依靠系统持证消息不被泄漏，并能可靠传送 的技术。
双重签名--将订单信息和个人账号信息分别进行数字签名， 确保商家和银行均看不到对方的信息。
如果这张支票在规定的时间内未过户，律师把所有 权凭证返还给A。
如果B未能得到该车明确的所有权凭证，B就可以把 它作为证据交给律师，要回他的钱。
HTTP安全考虑
HTTP协议允许远程用户对远程服务器请求通信 及远程执行命令，这会危及Web服务器和客户。
HTTP的服务器日志。Web服务器会记录下用户 的大量请求及数据信息。HTTP可能对这些信息的 检索不加任何限制，从而泄露用户信息。
的数字签名，当信息发送给客户时，服务器将其公钥证书 和签名信息一起发往客户，客户便可以验证发送者身份。 服务器也可以用同样的过程来验证发自客户的数字签名。
安全超文本传输协议
数据加密可以用私钥、公钥或对称密钥加密。如果数 据是用公钥加密，则无需客户公钥，信息即可被交换 及解密。因为服务器将其私钥保存在密钥数据库文件 中，且由Webmaster的口令加密。
商家：提供商品或服务，使用SET可以保证消费者信息的安全。 接受卡支付的商家必须和银行有关系。
银行：在线交易的商家在银行开立账号，并且处理支付卡的认 证和支付。
支付网关：由银行操作的，将Internet上的传输数据转换为金 融机构内部数据的设备，或由指派的第三方处理商家支付信息 和顾客的支付指令。
Application data
Fragment Compress Add MAC Encryption Append SSL record header
SSL Record Protocol Operation
SSL 的局限
SSL只保障资料在Internet上的安全，一旦资料到 达到方之后，就以明文存在。例如，以SSL传送信 用卡卡号，server端可以知道該信用卡卡号；
加密和签名通过CGI程序控制，这是本地安全配置文 件，CGI程序对S—HTTP信息头进行处理，以决定服 务器是否签名、加密。
安全套接层SSL
安全套接层SSL是Netscape公司设计和开发的。后 IETF建立一个TLS工作小组，作为Internet Standard。 TLS的第一个版本可以看作是SSLv3.1。
SET 的体系结构
SET协议中的角色
消费者：购买者通过计算机与商家交流，通过由发卡机构颁发 的付款卡进行结算。在与商家的会话中，SET可保证消费者的 个人账号信息不被泄露。
发卡机构：一个金融机构，为每一个建立了账户的顾客颁发付 款卡。
SSL並不能防止送讯息的一方否认(denial)曾经送 过某一个讯息。
S-HTTP与SSL
SSL不同于S－HTTP之处在于后者是只限于Web的使 用；而前者则是通过Socket发送信息，SSL是一个通 过Socket层对客户和服务器之间的事务处理进行安全 处理的协议，适用于所有TCP／IP应用。
SET－安全协议
由世界上两大信用卡商Visa和Master Card于1997年5月联合制定 的实现网上信用卡交易的模型和规范。 SET规范是一种为基于信用卡而进行的电子交易提供安全措施 的规则，是一种能广泛应用于Internet上的安全电子付款协议。 SET主要是为了解决用户、商家和银行之间通过信用卡支付的 交易而设计的，以保证支付信息的机密、支付过程的完整、商户及 持卡人的合法身份以及可操作性。 SET规范是目前电子商务中最重要的协议。SET得到了美国IT企 业的支持。
其目的在于提高应用层协议(如HTTP、Telnet、NNTP 和FTP等)的安全性，增强通信应用程序之间的保密性和 可靠性。
SSL协议的功能包括： – 数据加密 – 服务器验证 – 信息完整性 – 可选的客户TCP／IP连接验证。
SSL体系结构
SSL被设计用来使用TCP提供一个可靠的端到 端安全服务。 – SSL Record Protocol为更高层提供基本安 全服务。 – SSL Handshake Protocol, SSL Change Cipher Spec Protocol, SSL Alert Protocol是 SSL的高层协议，用于管理SSL交换。
一个简单的购买过程
顾客向商贩询问桔子的情况； 商贩给顾客桔子； 顾客把钱给商贩； 商贩给顾客找零钱。
协议是一系列预先规定的步骤，由两个或更多的人 来完成，是为了完成一项任务而设计的。
A把所有权凭证和钥匙给B； B给A开了一张价值为购车款的支票； A把支票存入银行。
B开了一张支票，把它交给银行； 银行在确认B的钱足够支付这张支票之
后，会为这张支票进行担保，并把支票 还给B； A把所有权凭证人钥匙给B； B给A开了一张价值为购车款的、已被 担保的支票； A把支票存入银行。
A把所有权凭证及钥匙交给一名律师；
B把支票交给这位律师；
律师把支票存入银行；
在一段时间，支票过户，而且B为汽车注册之后，律 师把所有权凭证和钥匙交给B。
S-HTTP安全超文本传输协议
保护Internet上所传输敏感信息的安全协议。 目标是保证商业交易的传输安全。S—HTTP使Web客户
和服务器均处于安全保护之下，其信息交换也是安全的。 利用S—HTTP，安全服务器以加密和签名信息回答请求；
同样，安全客户验证签名、身份。 验证是通过服务器的私钥实现的，该私钥用来产生服务器
SSL Protocol Stack
SSL Record Protocol
SSL Record Protocol为SSL连接提供两种服 务 – 保密性。Handshake Protocol定义一个共享 的保密密钥用于对SSL有效负载加密。 – 完整性。Handshake Protocol定义一个共享 的保密密钥用于形成MAC。
SET中的安全技术
wenku.baidu.com协商
审核
请求
消 订单
在 线
费
商
确认 支付网关 确认 收单银行
者 确认 店
认证
认证
认证
审核
批准
认证中心
发卡银行
SET中的安全技术
数字信封---依靠系统持证消息不被泄漏，并能可靠传送 的技术。
双重签名--将订单信息和个人账号信息分别进行数字签名， 确保商家和银行均看不到对方的信息。
如果这张支票在规定的时间内未过户，律师把所有 权凭证返还给A。
如果B未能得到该车明确的所有权凭证，B就可以把 它作为证据交给律师，要回他的钱。
HTTP安全考虑
HTTP协议允许远程用户对远程服务器请求通信 及远程执行命令，这会危及Web服务器和客户。
HTTP的服务器日志。Web服务器会记录下用户 的大量请求及数据信息。HTTP可能对这些信息的 检索不加任何限制，从而泄露用户信息。
的数字签名，当信息发送给客户时，服务器将其公钥证书 和签名信息一起发往客户，客户便可以验证发送者身份。 服务器也可以用同样的过程来验证发自客户的数字签名。
安全超文本传输协议
数据加密可以用私钥、公钥或对称密钥加密。如果数 据是用公钥加密，则无需客户公钥，信息即可被交换 及解密。因为服务器将其私钥保存在密钥数据库文件 中，且由Webmaster的口令加密。
商家：提供商品或服务，使用SET可以保证消费者信息的安全。 接受卡支付的商家必须和银行有关系。
银行：在线交易的商家在银行开立账号，并且处理支付卡的认 证和支付。
支付网关：由银行操作的，将Internet上的传输数据转换为金 融机构内部数据的设备，或由指派的第三方处理商家支付信息 和顾客的支付指令。
Application data
Fragment Compress Add MAC Encryption Append SSL record header
SSL Record Protocol Operation
SSL 的局限
SSL只保障资料在Internet上的安全，一旦资料到 达到方之后，就以明文存在。例如，以SSL传送信 用卡卡号，server端可以知道該信用卡卡号；
加密和签名通过CGI程序控制，这是本地安全配置文 件，CGI程序对S—HTTP信息头进行处理，以决定服 务器是否签名、加密。
安全套接层SSL
安全套接层SSL是Netscape公司设计和开发的。后 IETF建立一个TLS工作小组，作为Internet Standard。 TLS的第一个版本可以看作是SSLv3.1。