《网上支付的安全》PPT课件.pptVIP

第7章网上支付的安全,71网上支付安全概述72网上支付安全协议73金融安全认证74中国金融认证中心,教学目的与要求:了解电子商务网上支付所面临的安全现状，掌握电子交易安全协议SSL和SET的基本概念和原理教学重点与难点：重点：掌握电子交易协议SSL和SET的不同难点：金融安全认证技术的组成与运作方法,7.1.1网上支付所面临的安全问题,（1）交易支付信息被篡改。（2）交易支付信息被截获和窃取。（3）交易信息假冒。（4）交易抵赖。,7.1.2网上支付安全的主要内容,电子商务安全从整体上分为两大部分：计算机网络安全和商务交易安全。计算机网络安全的内容主要包括计算机网络设备安全、计算机网络系统安全、数据库安全等。其特点是针对计算机网络本身可能存在的安全问题问题，实施网络安全增强方案，以保证计算机网络自身的安全性为目标。,商务交易安全是指在计算机网络安全的基础上，如何保障电子商务过程的顺利进行，实现电子商务交易支付结算的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。包括交易支付过程中的各种交易安全技术，如SET、SSL、安全认证手段和CA体系等。,72网上支付安全协议,7.2.1SSL协议（SecureSocketLayer）SSL协议是由网景（Netscape）公司1994年设计开发推出的一种安全通信协议，主要用于提高应用程序之间的数据的安全系数，它能够对信用卡和个人信息提供较强的保护，也是目前使用最广泛的安全协议。SSL协议保障了在Internet上数据传输的安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。,SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：SSL记录协议（SSLRecordProtocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议（SSLHandshakeProtocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。,1)SSL协议提供的基本服务（1）认证用户和服务器，使得它们能够确信数据将被发送到正确的客户机和服务器。（2）加密数据以隐藏被传送的数据。（3）维护数据的完整性，确保数据在传输过程中不被改变。,2）SSL协议的工作流程：服务器认证阶段：1）客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；2）服务器根据客户的信息确定是否需要生成新的主密钥，如需要则在响应客户的“Hello”信息时将包含生成主密钥所需的信息；3）客户根据收到的响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；4）服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。,用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。概括为以下阶段：（1）接通阶段。（2）密码交换阶段。（3）会谈密码阶段。（4）检验阶段。（5）客户认证阶段。（6）结束阶段。,存在的问题（1）：从SSL协议提供的服务及工作流程看出，SSL协议运行的基础是商家对消费者信息保密的承诺，这就有利于商家而不利于消费者。在电子商务初级阶段，由于运作电子商务的企业大多是信誉较高的大公司，因此这问题还没有充分暴露出来。但随着电子商务的发展，各中小型公司也参与进来，这样在电子支付过程中的单一认证问题就越来越突出。虽然在SSL3.0中通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证，但是SSL协议仍存在一些问题，比如，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议并不能协调各方间的安全传输和信任关系。在这种情况下，Visa和MasterCard两大信用卡公组织制定了SET协议，为网上信用卡支付提供了全球性的标准。,3)SSL协议的应用SSL协议是国际上最早应用于电子商务的一种网络安全协议，至今仍然有许多网上商店在使用，也经常应用于点对点的网上银行业务。世界上一些大型公司，如Microsoft、IBM等提供的客户机、服务器以及相关的软件都支持SSL协议，它已经成为一个事实上的工业标准。,SSL协议与电子支付SSL协议下的电子交易过程,（）客户购买信息发往商家；（）商家在将信息转发银行；（）银行验证客户信息合法性；（）银行通知商家付款成功；（）商家通知客户购买成功。,SSL协议交易流程的缺陷客户的银行资料信息先送到商家，让商家阅读，故客户银行资料的安全性得不到保证。SS只能保证资料传递过程的安全，而传输过程是否有人截取就无法保障。,7.2.2SET协议,为了实现更加完善的即时电子支付，SET协议（SecureElectronicTransaction，安全电子交易协议）应运而生。是由MasterCard和Visa联合Netscape，Microsoft等公司，于1997年6月1日推出的一种新的电子支付模型。SET协议是B2C上基于信用卡支付模式而设计的，它保证了开放网络上使用信用卡进行在线购物的安全。SET主要是为了解决用户，商家，银行之间通过信用卡的交易而设计的，它具有的保证交易数据的完整性，交易的不可抵赖性等种种优点，因此它成为目前公认的信用卡网上交易的国际标准。,1)SET协议的研发与应用在开放的互联网上处理电子商务，如何保证买卖双方传输数据的安全已经成为电子商务能否顺利实现的最重要的问题之一。1995年信用卡国际组织、资讯业者及网络安全专业团体等开始组成策略联盟，共同研发用于电子商务的安全交易系统。1996年，MarsterCard和Visa国际信用卡组织与技术合作伙伴GTE、Netscape、IBM、TerisaSystem、Versign、Microsoft、SAIC等一批跨国公司共同开发了安全电子规范（SET协议）。,2)SET协议的主要目标1.防止数据被非法用户窃取，保证信息在互联网上安全传输。2.SET中使用了一种双签名技术保证电子商务参与者信息的相互隔离。客户的资料加密后通过商家到达银行，但是商家不能看到客户的帐户和密码信息。3.解决多方认证问题。不仅对客户的信用卡认证，而且要对在线商家认证，实现客户、商家和银行间的相互认证。4.保证网上交易的实时性，使所有的支付过程都是在线的。5.提供一个开放式的标准，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能。可在不同的软硬件平台上执行并被全球广泛接受。,3)SET协议涉及的对象及提供的服务SET最主要的使用对象在消费者与商店，商店与收单银行（付款银行）之间。一项SET交易涉及的对象有：（1）持卡人。（2）在线商店。（3）收单银行。（4）支付网关。（5）发卡人，即客户的金融机构。（6）认证中心（CA）。,SET提供的服务SET协议为电子交易提供了许多保证安全的措施。(1)保证客户交易信息的保密性和完整性SET协议采用了双重签名技术对交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。,(2)确保商家和客户交易行为的不可否认性SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性。其理论基础就是不可否认机制，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。(3)确保商家和客户的合法性SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。,4)SET的交易流程SET交易过程中要对商家，客户，支付网关等交易各方进行身份认证，因此它的交易过程相对复杂。(1)客户在网上商店看中商品后，和商家进行磋商，然后发出请求购买信息。(2)商家要求客户用电子钱包付款。(3)电子钱包提示客户输入口令后与商家交换握手信息，确认商家和客户两端均合法。(4)客户的电子钱包形成一个包含订购信息与支付指令的报文发送给商家。(5)商家将含有客户支付指令的信息发送给支付网关。,(6)支付网关在确认客户信用卡信息之后，向商家发送一个授权响应的报文。(7)商家向客户的电子钱包发送一个确认信息。(8)将款项从客户帐号转到商家帐号，然后向顾客送货，交易结束。从上面的交易流程可以看出，SET交易过程十分复杂性，在完成一次SET协议交易过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行签名5次，4次对称加密和非对称加密。通常完成一个SET协议交易过程大约要花费1.52分钟甚至更长时间。由于各地网络设施良莠不齐，因此，完成一个SET协议的交易过程可能需要耗费更长的时间。,SET的安全性分析（3方面）采用公钥加密和私钥加密相结合的办法保证数据的保密性SET协议中，支付环境的信息保密性是通过公钥加密法和私钥加密法相结合的算法来加密支付信息而获得的。它采用的公钥加密算法是RSA的公钥密码体制，私钥加密算法是采用DES数据加密标准。这两种不同加密技术的结合应用在SET中被形象的成为数字信封，RSA加密相当于用信封密封，消息首先以56位的DES密钥加密，然后装入使用1024位RSA公钥加密的数字信封在交易双方传输。这两种密钥相结合的办法保证了交易中数据信息的保密性。,RSA公钥加密算法是1977年由RonRivest、AdiShamirh和LenAdleman在（美国麻省理工学院）开发的。RSA取名来自开发他们三者的名字。RSA是目前最有影响力的公钥加密算法，它能够抵抗到目前为止已知的所有密码攻击，已被ISO推荐为公钥数据加密标准。RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但那时想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。,采用信息摘要技术保证信息的完整性SET协议是通过数字签名方案来保证消息的完整性和进行消息源的认证的，数字签名方案采用了与消息加密相同的加密原则。即数字签名通过RSA加密算法结合生成信息摘要，信息摘要是消息通过HASH函数处理后得到的唯一对应于该消息的数值，消息中每改变一个数据位都会引起信息摘要中大约一半的数据位的改变。而两个不同的消息具有相同的信息摘要的可能性及其微小，因此HASH函数的单向性使得从信息摘要得出信息的摘要的计算是不可行的。信息摘要的这些特征保证了信息的完整性。,采用双重签名技术保证交易双方的身份认证SET协议应用了双重签名（DualSignatures）技术。在一项安全电子商务交易中，持卡人的定购信息和支付指令是相互对应的。商家只有确认了对应于持卡人的支付指令对应的定购信息才能够按照定购信息发货；而银行只有确认了与该持卡人支付指令对应的定购信息是真实可靠的才能够按照商家的要求进行支付。为了达到商家在合法验证持卡人支付指令和银行在合法验证持卡人订购信息的同时不会侵犯顾客的私人隐私这一目的，SET协议采用了双重签名技术来保证顾客的隐私不被侵犯。,5)SET的主要应用（1）生成和安全保存符合SET协议要求的属于根认证机构的公、私密钥。（2）生成和自行签署符合SET协议要求的根证书及其数字签名。（3）处理品牌认证机构的申请，生成、验证品牌证书并在品牌证书上进行数字签名。（4）生成品牌证书撤销清单。（5）运行跨域交叉认证。（6）制定安全认证政策。,1)SET协议与SSL协议的区别SSL是基于传输层的通用安全协议，它只占电子商务体系中一部分，可以看做其中由于传输的那部分技术规范。从电子商务特性来讲，它并不具备商务性、服务性、协调性和集成性。SET协议位于应用层，它对网络上其他各层也有所涉及。SET中规范了整个商务的活动流程，从信用卡持卡人到商家，到支付网关，到认证中心及信用卡结算中心之间的信息流向及必须参与的加密，认证都制定了严密的标准，从而最大限度地保证了商务性、服务性、协调性和集成性。,7.2.3SET协议与SSL协议的区别,2)SET协议的缺陷（1）SET只支持信用卡消费。（2）SET涉及的实体较多。（3）SET技术规范没有提及在事务处理完成后，如何安全地保存或销毁这些数据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。（4）在完成一个SET协议交易过程中，需验证电子证书9次，验证数字签名6次，传递证书7次，进行5次签名、4次对称加密和4次非对称加密。（5）安全是相对的。,73金融安全认证1)数字签名数字签名技术是公开密钥加密技术和报文分解函数相结合的产物。与加密不同，数字签名的目的是为了保证信息的完整性和真实性。数字签名必须保证以下3点：（1）接受者能够核实发送者对消息的签名；（2）发送者事后不能低赖对消息的签名；（3）接受者不能伪造对消息的签名。,2)数字证书（1）DigitalCertificate,又称公开密钥证书或“数字标识（DigitalID）”，是由权威的、可信赖的、公正的第三方机构认证中心颁发给网上用户的一段包含用户身份信息、密钥信息以及认证中心数字签名的数据，它把第一个特定的公开密钥与它的所属者的描述信息进行绑定，其包含的信息可建立使用者在网络上进行交易或从事活动时的身份识别功能，所以常把它比喻为电子身份证。,（2）数字证书的内部格式是由国际电信联盟X.509国际标准所规定的，它必须包含以下几点：证书的版本号；数字证书的序列号；证书拥有者的姓名；证书拥有者的分开密钥；公开密钥的有效期；签名算法；办理数字证书的单位；办理数字证书的单位的数字签名。,（3）数字证书的种类。目前我国的认证中心提供的数字证书类型有：个人身份证书机构证书（机构身份证书、机构部门证书及机构员工证书）安全电子邮件证书（个人电子邮件证书及机构电子邮件证书）设备证书（应用服务器证书、Web服务器证书、VPN网关证书及VPN客户端证书）代码签名证书（个人代码签名证书、企业代码签名证书）及无线应用证书（网关证书及客户端证书）。,3)认证中心（CA）在电子商务交易过程中，无论是数字签名还是数字证书的发放都不是由交易双方自己来完成的，必须有一个具有权威性和公开性的第三方来完成。CA（CertificateAuthority），承担网上安全电子交易认证服务，能签发数字证书，并能确认用户身份的服务机构。认证中心是PKI体系中的核心，是由一组计算机硬件、软件以及管理人员组成的，扮演着如同现实世界中的派出所的户藉管理机构这样的角色。,（1）CA机构组成。证书授权中心作为电子商务交易中受信任和具有权威性的第三方，承担公钥体系中公钥的合法性检验的责任。电子商务认证授权机构（CA），也称为电子商务认证中心，是负责发放和管理数字证书的权威。CA体系由证书审批部门和证书操作部门组成。,（2）CA认证中心有五项功能。证书发放功能。证书更新功能。证书查询功能。证书撤销功能。归档功能。,74中国金融认证中心,中国金融认证中心CFCA（ChinaFinancialCertificationAuthority）于2000年6月29日正式挂牌成立，是经中国人民银行和国家信息安全管理机构批准成立的国家级权威的安全认证机构，是重要的国家金融信息安全基础设施之一，也是中华人民共和国电子签名法颁布后，国内首批获得电子认证服务许可的CA之一。作用：CFCA作为权威、公正的第三方安全认证机构，通过发放数字证书为网上银行、电子商务、电子政务提供安全认证服务，确保网上信息传递双方身份的真实性、信息的保密性和完整性、以及网上交易的不可否认性。,1)CFCA认证体系CFCA采用国际主流的PKI（PublicKeyInfrastructure公钥基础设施）技术，提供适用于企业、个人、Web站点、VPN、安全E-mail、手机应用等在内的十多种证书和各种信息安全服务，确保网上银行、网上证券、网上保险、网上税务、电子商务、电子政务、企业集团等的信息安全。CFCA认证系统采用国际领先的PKI技术，总体为三层结构：第一层为根CA；第二层为政策CA，可向不同行业、领域扩展信用范围；第三层为运营CA，根据证书运作规范（CPS）发放证书。运营CA由CA系统和证书注册审批机构（RA）两大部分组成。,2)CFCA的主要功能（1）受理用户的数字证书申请。（2）审批用户的申请和发放数字证书。（3）归档、撤销以及更新用户的数字证书。（4）证书作废原因编码、证书作废列表（CRL）产生及其发布和查询管理。（5）认证中心的管理。（6）认证中心自身密钥的管理。,3)CFCA建立注册中心的程序（1）申请与审批。第一步是拟建立注册中心的单位向CFCA提交建立RA申请书及其他文档；第二步是FACA审核申请书。（2）CFCA与申请建立注册中心的单位签署意向书。（3）注册中心系统建设。（4）注册中心系统测试。（5）CFCA与申请建立注册中心的单位签署协议。（6）系统运行。,4)CFCA签发的数字证书（1）企业高级证书，主要供网上交易金额较大的企业来进行数字签名和加密信息，安全级别较高。（2）企业普通证书，主要供网上交易金额较小、采用基于SSL、S/MIME安全协议系统的企业选用，安全级别较低。（3）个人高级证书，主要供网上交易金额较大的个人用来进行数字签名和加密信息，安全级别较高。（4）个人普通证书，主要供网上交易金额较小，采用基于SSL、S/MIME安全协议系统的个人选用，安全级别较低。（5）Web服务器证书，主要供网上交易金额较小的Web服务器选用。（6）DirectServer服务器证书，主要用于企业从事B2B交易时对Web服务器进行保护。,5)在CFCA体系中，SET持卡人或商户证书申请和审批流程（1）持卡人或商户填写申请表并提交给银行的受理点。（2）银行审核持卡人或商户资格，并将审核通过的证书申请信息发送给CFCA认证中心。（3）CFCA认证中心签发证书，将产生的参考号、授