电子商务案例》第11章网上支付案例.ppt

第11章网上支付案例 v本章导读 v随着社会经济与信息网络技术的不断发展，人们对支付系统 的运行效率和服务质量的要求也越来越高，促使支付系统不 断从手工操作走向电子化、网络化。网络支付是电子商务的 关键环节，也是电子商务得以顺利发展的基础条件。电子商 务的一个极重要的观念，是在进行付款、信用借贷及债务清 偿过程中，能获得即时、方便且安全的服务，将商品销售与 服务的付款行为整合在网上快速安全地进行。通过本章学习 ，了解网上支付的目的在于减少银行成本、加快处理速度、 方便客户、扩展业务等。它将改变支付的处理方式，使得消 费者可以在任何地方、任何时间，通过Internet获得银行的 支付服务，而无需再到银行传统的营业柜台办理。 第11章网上支付案例 v11.1和讯网上支付 v11.2中国金融认证中心 11-1和讯网上支付 v案例背景 v和讯公司于1996年创立，是中国最早的专业 ICP之一，现已成为中国最大的全面服务于中 产阶级的网络门户和在线及移动财经服务提 供商，是中国最早从事互联网综合应用业务 的高新技术企业，并依托中国证券市场研究 设计中心（联办）的支持而不断壮大，在国 内率先运用现代信息技术提供财经领域专业 服务。 案例简介 v和讯信息科技有限公司是专门从事网络金融应用服 务的高新技术企业，通过网上交易、网上支付、网 络接入、网络资讯等完整的业务链，可提供覆盖全 国的在线交易、在线支付服务与应用解决方案及 Internet接入代理服务。同时和讯公司也是内地最 有影响的财经专业电子资讯服务提供商，并首批通 过中国证监会认证具备证券投资咨询专业资格。和 讯立足财经，全面服务于中国新兴的中产阶级。为 该阶层人士提供全方位的专业财经资讯服务以及网 络社区服务和独特的在线理财、商务、休闲娱乐服 务。 1.支付业务 v和讯网上支付系统支持中国银行的“长城借记卡”及“长城信用卡”的 支付功能。用长城信用卡支付的用户只要在支付界面上详细输入姓名、 卡号、卡有效期、有效证件号，确认后提交即可。用长城借记卡支付的 网民，在支付前首先要下载安装“中银电子钱包”，并且申请电子证书 就可以使用网上支付功能了。 v（1）消费者在商家网站上提交订单。 v（2）订单经商家数字签名，并用RSA128位方式加密后，传输至和讯支付 平台认证。 v（3）消费者在和讯支付平台选择支付工具，和讯支付平台以对应银行加 密方式加密，传输订单至发卡银行认证，消费者在发卡银行的网上银行 进行网上支付。 v（4）发卡银行发送支付状态信息到和讯支付平台，商家通过程序自动查 询或人工查询获得订单支付结果。 v（5）商家发货。 v（6）发卡银行把资金划转到和讯在银行的账户。 v（7）和讯每周依商家资金调拨指令，与商家进行资金结算。 2.功能设计 v（1）平台安装 v和讯网上支付平台适用于SUNSolaris、HP_UNIX以及 Windows_NT操作系统，并提供了相应的签名函数库。 v（2）账务查询 v商家可以使用人工查询或自动查询的方式，确认订单是否完 成网上支付。 v（3）账务管理 v商家控制台为商家提供有效的账务管理和完善的日终处理功 能，并可提供如计息、扣税等诸多功能。 v（4）通用 v和讯网上支付平台具有完善的电子虚拟卡（E-Card）管理系 统，适用于使用多种交易方式和计费方式的商家。 3.系统安全 v（1）商家订单信息的网络传输安全保障。订单信息在支付过程的网络传 输中，始终处于128位数字签名加密状态，并经过和讯支付网关和银行支 付网关的双重确认。 v（2）商家账务信息安全保障。和讯账务系统按照银行的业务规范开发， 确保商家账务信息安全:商家资料与账务信息以多表单分开存放;设置多 层级权限管理;账务后台所有密码信息均以密文记录;账务信息随时备份 。 v（3）商家资金零风险保障。和讯公司不是通过网上银行而是通过银行转 账结算方式，每周依据商家资金调拨指令，将资金转入商家指定银行账 户，商家资金自始至终未在互联网上传输或存放。所以商家资金因网络 传输带来的风险为零。 v（4）个人支付信息和资金安全。银行卡用户的支付信息（支付卡号、密 码、支付金额）完全是在银行网上支付页面填写并经银行系统加密，并 不经过和讯支付平台且不被和讯公司知悉，所以银行卡用户的支付信息 和资金安全，由银行根据与用户的协议来保障。 案例分析 v1.和讯网上支付平台的优势 v和讯网上支付平台是目前国内为数不多的能为用户提供全方位网上支付 服务的领先平台，它以其众多的功能、稳定的运行、安全的性能、合适 的价格以及优质的服务等在用户中享有很好的知名度与美誉度。主要具 有以下几方面的优势: v（1）更多的网上支付工具。和讯网上支付平台支持四十余种支付工具， 包括:招商银行一卡通、工行牡丹信用卡、工行牡丹灵通卡、建行龙卡、 中行长城卡、农行金穗卡、交行太平洋卡等，从而使消费者可以便捷地 以多种银行卡向商家付费。 v（2）更快的结算速度。安全的信息加密传递方式和系统集成可以保证实 时结算。 v（3）更好的功能设计。处处为客户、商家着想，提供多方位的功能设计 ，包括平台规范、账务管理、通用性等。 v（4）为商家提供便利。无论是硬件的投入，还是商家资金结转，都为商 家考虑得更为全面，省去了商家不必要的时间和精力。 v和讯正努力向着利用多媒体、互动、广播方式，基于窄带、宽带、无线 多种技术平台，通过提供资讯、社区、服务三重服务实现全面发展。 2.网络支付结算的优势 v网络支付主要在开放的公共网络系统中，通过看不见但先进准确的数字流，完成相关支付 信息传输，即采用数字化的方式完成款项支付结算。这种以一个开放的Internet为主要平 台的网络支付结算方式一经产生，就呈现出传统支付结算方式所无法比拟的诸多优势，具 体表现为:（1）信息流代替现金流。网上支付完全是通过信息流的传输代替现金的交换， 其各种支付方式都是通过数字化方式来自动完成交易款项收付的。这与电子商务的理念是 完全一致的。 v（2）基于因特网的开放平台。网上支付的信息传递是基于因特网实现的，这是一个完全 开放的公共通讯网络平台，因此对网络可靠性的依赖程度较高，而传统支付则是在一个相 对封闭的系统中完成的，已经形成了相对比较可靠的支付机制。 v（3）较高的安全性和一致性。网络支付的安全性高。它可以保护交易双方不被非法支付 和抵赖，也可以避免双方被冒名顶替。而且，由于支付的全过程使用的都是数字货币，这 也有效地防止了假币的产生。所以，网络支付远比传统的支付结算更安全可靠。另外，网 络支付还可以使人们不再携带大量现金，从而保证了人身安全。 v（4）网络支付的技术支持。由于网络支付工具和支付过程具有无形化、电子化的特点， 它将传统支付方式中面对面的信用关系虚拟化，因此对网络支付工具的安全管理不能依靠 普通的防伪技术，而是通过用户密码、软硬件加密和解密系统及防火墙等网络安全设备的 安全保护功能实现。为了保证网络支付工具的通用性，还要制定一系列标准与规则。因此 ，网络支付使得企业资金管理的复杂性在开始时增大，但随着网上各种资金监测系统的研 发应用与电子商务发展得更加成熟，系统的自动处理能力越来越强，复杂性将逐渐降低。 v（5）方便高效的支付方式。与传统的支付方式比较，网络支付具有方便、快捷、高效的 特点。客户只需要在联网的计算机上轻点鼠标就可以足不出户完成全部支付过程。不仅支 付过程短，而且支付成本低，仅相当于传统支付的几十分之一，甚至几百分之一。因此也 降低了企业电子商务的成本。 网址导航 v 11-2中国金融认证中心 v案例背景 v随着中国网络金融的快速发展，数字认证越 来越凸现其举足轻重的地位，安全问题很容 易成为电子金融的瓶颈，大力发展中国安全 认证体系，成为当务之急。中国金融认证中 心是中国金融行业的根本认证中心，在我国 金融行业占有举足轻重的地位，因此，单独 将其拿出来重点介绍。 案例简介 v中国金融认证中心（ChinaFinanceCertificationAuthority ，简称CFCA），是由中国人民银行牵头，联合中国工商银行 、中国银行、华夏银行、广东发展银行、深圳发展银行、光 大银行、民生银行等十四家商业银行联合建设的。CFCA是一 个权威的、可信赖的、公正的第三方信任机构，专门负责为 金融业的各种认证需求提供证书服务，包括电子商务、网上 银行、支付系统和管理信息系统等，为参与网上交易的各方 提供安全的保障，建立彼此信任的机制。 v金融认证中心为了满足金融业在电子商务方面的多种需求， 采用PKI技术，建立了SET和Non-SET两套系统，提供多种证 书来支持各成员行有关电子商务的应用开发以及证书的使用 。 1.中国金融认证中心的功能 v中国金融认证中心按国际通用标准开发建设，在证书管理方面，它具有对用户证书的申请 、审核、批准、签发证书及证书下载、证书注销、证书更新等证书管理功能，证书符合 ITU的X.509国际标准。它可提供具有世界先进水平的CA认证中心的全部功能，包括证书的 申请、审批、发放、归档、撤销、更新、证书废止列表的管理功能（CRL）、CA的管理功 能、CA自身密钥的管理功能。同时，CFCA在业务方面，建立了SETCA及Non-SETCA两大体系 。其宗旨是向各种用户颁发不同种类的数字证书，凭借金融行业的可信赖性及权威性支持 中国电子商务的应用、网上银行业务的应用及其他安全管理业务的应用。 vCFCA证书主要应用领域很广，已在国内十余家全国性商业银行、近20家券商建成覆盖全国 的认证服务体系，业务领域已延伸至银行、证券、税务、保险、企业集团、政府机构、电 子商务平台等金融和非金融行业: v（1）银行领域。主要有四大国有银行、各地商业银行、广发展、深发展、浦东发展、交 通、中信、光大、华夏、民生、兴业、华一、东亚、上海、恒丰等银行。 v（2）证券领域。主要有中银、蔚深、中信、中富、湘财、渤海、山西、申银万国、国元 、国都、兴业、兴安等证券。 v（3）基金领域。主要有华安、华夏、国泰、长盛、中融、南方、鹏华、嘉实、大成、长 城、富国、中信等。 v（4）企业集团和财务公司。主要有鞍钢、攀钢、湘钢、首钢、中油、中远、中煤、中铝 、中航、一汽、上汽等。 v（5）其他领域。各地国税、人行国库、外汇系统、票据清分系统、中国银联系统等。 2.CFCA证书流程 v（1）证书申请:CFCA授权的证书注册审核机构（RegistrationAuthority ，简称RA），各商业银行、证券公司等机构，面向最终用户，负责接受 各自的持卡人和商户的证书申请并进行资格审核，具体的证书审批方式 和流程由各授权审核机构规定。证书申请表直接到RA处领取。 v（2）证书审批:经审批后，RA将审核通过的证书申请信息发送给CFCA， 由CFCA签发证书。 v系统CFCA将同时产生的两个码（参考号、授权码）发送到RA系 统。为安全起见，RA采用两种途径将以上两个码交到证书申请者手中:RA 管理员将其中授权码打印在密码信封里当面交给证书申请者;将参考号发 送到证书申请者的电子邮箱里。 vSET系统持卡人/商户到RA各网点直接领取专用密码信封。 v（3）证书发放/下载:CA签发的证书格式符合X.509V3标准。具体的证书 发放方式各RA的规定有所不同。用户可以登录网站 联机下载证书或者到银行领取。 v（4）证书生成:证书在本地生成，证书由CFCA颁发，用户私钥由客户自 己保管。 v（5）证书存放:存放介质可以是硬盘、软盘、IC卡、CPU卡、SIM卡等。 3.CFCA的应用模式 v中国金融认证中心所适应的业务应用模式，无论是网上银行或是网上购物都支持 B2C、B2B以及B2G（Government）的模式。 v在B2B交易中要使用CFCA发放的高级证书。使用高级证书的优点是:双方认证，完 整的密钥和证书生命周期管理体系。对用户而言，具有易用性和透明性，客户端 、服务器端自动进行在线CRL检查，强大的密码机制，双重密钥对机制，支持不 可否认性，支持持久的全文审计跟踪，备有历史记录，使用基于IETF标准的解决 方案（SPKM）。 v在用户使用CFCA高级证书做B2B交易时，则透明地实现了对相应的CRL进行自动验 证，从而确保了使用的每张证书都是有效的、可信的。证书管理方面使用证书库 来分发证书。所谓证书库是证书的集中存放地，是网上的一种公共信息库，用户 可以从此处获得其他用户的证书和公钥。 v构造证书库的最佳方法是采用支持LDAP协议（ LightweightDirectoryAccessProtocol）的目录系统，用户或相关的应用通过 LDAP来访问证书库。使用目录系统来存放证书有很多好处:应用能透明地检索用 户的证书，能支持大量用户，能快速、高效地响应检索证书要求，可满足企业分 布式需要，实现证书分布式分发，具有良好的扩展性。 v使用普通证书的优点是:相对简单，双方认证，能够使用客户端软件进行电子邮 件加密和对对象的数字签名。使用普通证书的缺点是:那些不可管理的证书仍然 需要用户介入进行更新，一对密钥，若选择密钥备份，则不支持不可否认性（建 议对电子邮件的密钥进行备份），依赖浏览器自身的密码强度。 4.CFCA的优势 v（1）CFCA是人民银行牵头，十四家商业银行（工、农、中、建、交、中信、光 大、华夏、招商、广发、深发、民生等）参加联合共建的中国金融认证中心，遵 循了“统一规划联合共建，先作试点逐步发展，技术先进功能全面，落实应用快 字当先”的原则。建设金融CA是中国电子商务的基础建设，其宗旨是:为中国的 电子商务服务，兼顾网上银行和信息安全管理提供服务，因而CFCA具有很高的权 威性。 v（2）证书是一种权威性的电子文档。它应由公认的、被授权的权威机构所颁发 ，是网上交易、传输业务的身份证明，用于证明某个应用环境中某一主体（人或 机器）的身份及其公开密钥的合法性。要想使证书获得这种可信赖和权威性，就 必须拥有一个可信赖的权威机构来颁发证书，作为认证的第三方。 v（3）建立CFCA也包括制定“证书运作管理规范”（CPS），它应由人民银行支付 科技司批准，在中国目前电子商务法律环境尚不健全的情况下，CPS的制定就显 得异常重要，CPS实际上是认证中心的法规。 v（4）CFCA在安全方面也具有突出优势。为了保证认证中心的安全，金融认证中 心专门建了一幢独立的建筑;CFCA的机房采取了严格的符合国际标准的措施。机 房六面墙体（四面墙和天花板、地板）都采用无缝钢板进行屏蔽，安装了高级监 控设备，装置了严格的门禁设备，制定了完善的安全制度。另外，在CFCA的网络 安全策略上，将整个CFCA系统划分成不同安全等级的区域，有些可以由外界通过 公网进行访问，有些则只能由特许人员访问，以确保系统的安全性。网络系统中 还安装了世界先进的黑客入侵检测预警系统，以抵御黑客的攻击。 案例分析 v虽然网络支付体系的基本构成和方式在不同的环境不尽相同，但安全、有效、方便、快捷是所有网络支 付方式或工具追求的共同目标。对于一个实用的网络支付与结算系统而言（可能专门针对一种网络支付 方式，也可能兼容几种网络支付方式），它至少应该具有以下七种基本功能: v1.能够使用数字签名和数字证书等实现对网上商务各方的认证，以防止支付欺诈。为实现网上交易与支 付的安全性，对参与网上交易的各方身份的有效性进行认证，通过认证机构或注册机构向参与各方发放 数字证书，以证实其身份的合法性。 v2.能够使用较为尖端的加密技术，对相关支付信息流进行加密。可以采用单密钥体制或双密钥