重师电子商务专业

二 银行电子化的四个发展阶段 传统业务电子化 自助银行 提供金融信息增值服务 网上银行1 传统业务电子化C C 联机柜员系统 第一章第一节P3 2 自助银行服务项目自助银行服务项目 都是以银行卡为介质 提供包括诸如ATM 自动柜员机 服务 POS 销售点 服务和HB 家庭银行 服务 银行卡是商业银行向社会公开发行 具有消费信用 转账结算 存取现金等全部或部分功能 作为结算支付工具的各类卡的统称 是商业银行签发的允许信用良好者据以赊购商品和劳务的身份证明卡 信用凭证 三金工程 指的是金桥工程 金关工程 金卡工程 这是1994年 国家为了进行信息基础设施建设提出来的 它的主要内容是 国家首先在骨干企业之间建立一个中国经济信息网 构成一座金桥 在海关等领域内进行电脑联网 建立一个全国性的骨干网络 在银行 保险 公用事业中利用电脑网络和IC卡系统进行数据信息管理 使用电子货币 以便促进金融业信息更高程度地进行交流 随着三金工程的发展 后来又出现了金税工程和金卫工程 分别进行税务电脑网络化系统和医疗卫生信息电子化 增加国家税收和提高人民的健康水平 3 提供金融信息增值服务 电子化银行能借助信息技术 从各种金融交易数据中提取有用的信息 将信息转化成知识 向各类客户提供具有高附加值的金融信息增值服务 如投资咨询 代客理财 用于各种辅助决策支持的信息服务等 目前 我国金融电子化建设的主要重点是进行支付系统建设 随着我国金融电子化的发展 我国的银行界应该日益重视研制开发各种金融信息服务系统 以向客户提供各种能增值的金融信息服务 4 开展网上银行服务电子商务的发展 给金融业的发展提供了一次新的大好时机 网上经济必将带来网上支付业务的发展 现在 世界上各大商业银行纷纷推出网上银行服务 网上银行服务已经成为商业银行竞争手段的新热点 C C IT Web 电子支付指引 第一号 第二十五条银行应根据审慎性原则并针对不同客户 在电子支付类型 单笔支付金额和每日累计支付金额等方面做出合理限制 银行通过互联网为个人客户办理电子支付业务 除采用数字证书 电子签名等安全认证方式外 单笔金额不应超过1000元人民币 每日累计金额不应超过5000元人民币 银行为客户办理电子支付业务 单位客户从其银行结算账户支付给个人银行结算账户的款项 其单笔金额不得超过5万元人民币 但银行与客户通过协议约定 能够事先提供有效付款依据的除外 银行应在客户的信用卡授信额度内 设定用于网上支付交易的额度供客户选择 但该额度不得超过信用卡的预借现金额度 二 支付系统的发展 传统支付系统 EFT 网上支付系统纸质票据银行卡银行卡 电子现金 ATM POS 电子支票 第一章第二节P14第六章第二节P242 三 中国目前的支付系统 受到多层次管理和高度分散式中央银行帐户结构的影响 中国支付系统可区分为6个系统 全国手工联行系统 央行 全国电子联行系统 央行 同城清算所 央行 全国电子资金汇兑系统 四大国有商业银行 银行卡系统 银行卡中心 邮政汇兑系统 邮政储汇局 下一页 1 同城清算所2 4 1概述全国共有约2000家同城清算所 分布在中心城市和县城 镇 全部同城跨行支付交易和大部分同城行内支付业务都经由同城清算所在商业银行之间进行跨行清算后 再交行内系统进行异地处理 2 4 2系统参与者在同城清算所辖区内的绝大多数银行分支机构都直接参加同城清算和结算处理 依据同城清算所成员间达成的协议 可以为每一家成员分支机构设立清算帐户 商业银行较小的营业网点可使用其管理分行的清算帐户 为一家商业银行开设一个帐户 该银行在当地的所有机构都通过这同一个帐户清算同城支付业务 城市合作银行集中开设清算帐户 供其成员机构共同使用 2 4 3处理的交易类型贷记和借记支付项目都可以交换和结算 其中支票占多数 依据 票据法 支票只允许在同城范围内使用 2 4 4系统运行人民银行分 支行拥有和运行当地的同城清算所 对清算所成员进行监管和提供结算服务 票据在成员之间进行交换 每一成员根据提交和收到的全部贷记和借记支付交易计算出自己的净额结算金额 在支付业务量大的城市和较大的县城 清算所每天上 下午各进行一次交换 小城市和大多数县城清算所每天上午只进行一次票据交换 2 4 5交易处理环境一般情况下 参与行把事先清分好的票据提交到清算所 随着支付业务量的增加 许多清算所利用计算机进行轧差处理 在一些大城市 如上海 广州 天津等 已安装了票据清分机 以提高纸票据处理速度 许多城市已经在计划采用通讯网络交换支付信息 2 4 6资金结算程序见2 6部分 2 4 7信用和流动风险只有当所有参加者的净额轧差等于零时 人民银行才接受资金结算 不允许透支 即在贷记收款行帐户之前 首先借记付款行帐户 或在人民银行帐簿上同时进行贷记和借记 一旦收款行帐户被贷记 则认为支付最终完成 因此 原则上讲 支付的处理不引起信用或流动风险 2 4 8收费同城清算所不以盈利为目的 但参与者必须共同分担运行成本 费用根据业务量大小按比例分担 2 4 9正在实施的主要项目和政策可以期望 同城清算所的自动化程度将会有很大提高 目前 差不多一半支付业务 包括行内和跨行支付在内 量是经同城清算所处理的 其在中国支付体系中的重要性显而易见 将来 清分机设施 磁介质交换以及数据通讯网等技术都将会用来改善同城清算所系统 全国手工联行系统 电汇 全称为电子汇兑 是通过人民银行的大额支付系统或者中转银行进行适时交易的一种汇款方式 可以跨行跨区域进行汇兑 时间较短 一般为1 3天 信汇 客户将款项委托给银行 由银行通过邮寄方式将款项汇入到客户指定的收款人的当地银行转入收款人手中 这种汇款方式很慢 现在客户要求办理的较少 人民银行和四大国有商业银行都有自己的全国手工联行系统 前面已讲到 对于异地纸凭证支付交易的处理采用了所谓 先横后直 即先跨行后行内 的处理方式 在这种意义上 只存在同城跨行系统和异地行内系统 在许多方面 这些行内清算系统非常类似于发达国家的跨行清算系统 各商业银行行内手工联行系统基本框架都相同 尽管也存在着某些差别 1996年底以后 四大国有商业银行全都以全国电子资金汇兑系统代替了原来的手工联行 但是 人民银行依然运行着自己的手工联行系统 用以处理跨行纸凭证异地支付交易 以及人民银行分 支行之间的资金划拨 因为新的电子资金汇兑系统基本上是原来手工系统的自动化形式 所以了解手工联行系统在很大程度上有助于更好地了解目前中国支付系统的结构 2 2全国电子联行系统 EIS 电子联行系统是中国人民银行在支付系统现代化建设中的第一次尝试 其主要设计思想是要克服由于纸票据传递迟缓和清算流程过分烦琐造成的大量在途资金 从而加速资金周转 减少支付风险 2 2 2系统的参与者所有在人民银行分 支行开设有帐户的商业银行分行 以及人民银行各分 支行都可以参加电子联行系统 办理自己或代表其客户发出的支付指令 只是由于系统覆盖范围的限制 一些金融机构至今仍然无法利用该系统提供的服务 人民银行拥有并运行这一系统 2 2 3处理的交易类型目前 全国电子联行系统只办理该系统参与者之间的贷记转帐 这包括全部异地跨行支付 商业银行行内大额支付以及人民银行各分支机构之间资金划拨 2 2 4交易处理环境全国电子联行系统是一个分散式处理系统 所有帐务活动 帐户的贷记和借记 都发生在人民银行分 支行 即发报行和收报行 全国总中心主要作为报文信息交换站 全国电子联行系统的设计是针对当时中国通讯设施的特殊情况 采用了VSAT卫星通讯技术 建立了人民银行专用的卫星通讯网 通过卫星通讯链路连结各分 支行卫星通讯小站的基于PC机的处理系统 2 2 5转帐系统的运行电子联行系统的业务流程可以概括如下 汇出行 商业银行分 支行 把支付指令提交到 手工或电子方式 当地发报行 人民银行分 支行 发报行将支付指令经帐务处理 借记汇出行帐户 后送入系统 经卫星通讯链路传输到全国清算总中心 清算总中心 实际作为信息交换中心 将支付指令按收报行分类后 经卫星通讯发送到收报行 收报行接收到支付指令后 按汇入行分类 收报行为每一家汇入行生成支付凭证和清单 送汇入行一项旨在连结电子联行小站 人民银行分行会计核算系统和汇入行的工程 即 天地对接 正在进行之中 这项工程把电子联行系统的自动化处理延伸到汇入行 将必然会大大缩短支付指令处理周期 其支付指令处理方式也将作相应改变 2 2 6信用和流动风险根据 全国电子联行制度 所有的资金转帐指令必须在帐户余额足以支付的情况下 才能被执行 在支付指令发送全国总中心之前 首先借记汇出行帐户 如果帐户余额不足 支付指令只好排队等待资金 所以 汇入行将不会面临任何信用或流动风险 它接到支付指令后便可以无条件地贷记收款人帐户 第六章P242 电子联行系统的业务流程可以概括如下 汇出行 商业银行分 支行 把支付指令提交到 手工或电子方式 当地发报行 人民银行分 支行 发报行将支付指令经帐务处理后送入系统 经卫星通讯链路传输到全国清算总中心 清算总中心 实际作为信息交换中心 将支付指令按收报行分类后 经卫星通讯发送到收报行 收报行接收到支付指令后 按汇入行分类 收报行为每一家汇入行生成支付凭证和清单 送汇入行 电子资金汇兑系统自1996年底起 四大国有商业银行 即工商银行 农业银行 中国银行 建设银行 都用电子资金汇兑系统取代了原来的手工联行 2 3以上的异地支付业务是由这些电子资金汇兑系统处理的 各商业银行的电子资金汇兑系统具有大致相同的框架结构 业务处理流程也基本相同 当然在网络结构 技术平台等方面 各系统不尽相同 与原来的手工联行相比 电子支付指令经各级处理中心进行交换 取代了在发起行和接收行之间直接交换纸票据 因而支付清算速度大大加快 净额资金结算依然和手工联行时一样 定期经人民银行系统办理 显然 这是因为商业银行分 支行的清算帐户开设在人民银行分 支行的缘故 2 5 1运行规则象手工联行清算系统一样 电子汇兑系统具有多级结构 一般情况下 系统有全国处理中心 几十个省级处理中心 数百个城市处理中心和上千个县级处理中心 一家分行必须在每一级处理中心开设单独的帐户 各级分行接受纸凭证支付项目 将纸票据截留后以电子方式发往相应的处理中心 处理中心在当天或第二天营业前将净额结算头寸通告分支机构 返回 中国人民银行的电子联行系统商业银行的电子汇兑业务 同城清算所系统商业银行的电子汇兑系统主要面向行内资金汇兑业务 同城清算所则可解决本地跨行业务 中国人民银行的电子联行系统主要用于异地跨行清算 可以说 它们之间是根据中国金融结构的特点 为全面开展支付清算业务的合理补充 彼此不是对立的 也不会互相取代 目前 中国现代化支付系统的建设正在逐步进行 它将会逐渐取代全国电子联行系统 并且不断优化 中国国家现代化支付系统90年代以来人行主持的中国现代化支付系统 CNAPS China sNationalAdvancedPaymentSystem 项目是对原有支付系统的改造 采用了先进的设计与技术以适应未来的需求 CNAPS项目包括建设覆盖全国的金融数据通讯网 CNFN 这一基础设施 将众多银行机构联结到全国和地区支付业务清算和结算中心 以及开发一系列支付应用处理系统 如大额支付系统 小额支付系统等 以逐步取代原有分散的各个支付系统 大额支付系统 HVPS HighValuePaymentSystem 由央行拥有和运行 是所有支付应用系统的核心 采用RTGS方式 为跨行资金转帐 金融市场 证券市场 外汇市场提供当日资金结算 也为小额支付系统 同城清算所 银行卡网络以及商业银行电子汇兑系统提供日终净额结算 系统于2005年中完成全国推广 1500家金融机构作为直接参与者 覆盖6万多分支机构 原有分散的银行帐户结构需要进行合并与集中化改造以适应全国统一市场的需求 小额支付系统 BEPS BulkElectronicPaymentSystem 基于批处理方式 支持各类借记与贷记业务 2005年底系统开始试点 预计2006年中完成全国推广 第六章P256 邮政储蓄和汇兑系统邮局提供信息和电报汇款业务 主要面向消费者个人用户 中国邮政的电子汇兑系统总体上来说还是比较方便的 这是由于多年的国情 普通个人特别是农民对邮政汇兑比较熟悉 邮局也开办了邮政储蓄业务 消费者可以从其邮政储蓄账户汇出或汇入资金 各邮局之间的资金结算是通过开设在中国人民银行的特殊账户实现的 中国银联 公司简介公司概况中国银联是经中国人民银行批准的 由八十多家国内金融机构共同发起设立的股份制金融服务机构 注册资本16 5亿元人民币 公司于2002年3月26日成立 总部设在上海 公司经营宗旨采用先进的信息技术与现代公司经营机制 建立和运营广泛 高效的银行卡跨行信息交换网络系统 制定统一的业务规范和技术标准 实现高效率的银行卡跨行通用及业务的联合发展 并推广普及银联卡 积极改善受理环境 推动我国银行卡产业的迅速发展 把银联品牌建设成为国际主要银行卡品牌 实现 中国人走到哪里 银联卡用到哪里 第一章第四节P22 银联 标识以红 绿 蓝三种不同颜色银行卡的平行排列为背景 衬托出白颜色的 银联 汉字造型 突出了银行卡连网联合的主题 三种颜色 红色象征合作 诚信 蓝色象征畅通 高效 绿色象征安全 三种不同颜色银行卡的紧密排列象征着银行卡的联合 推行 银联 标识卡是提高银行卡业务服务水平 推动联网通用 联合发展的必然要求 银联 标识不仅仅是一种受理标记 更重要的是它所体现的统一标准 统一操作流程和跨行 跨地区通用的服务质量 由于各商业银行发行的银行卡品种较多 不同产品的服务指标和受理程序也互不相同 在这种情况下即使实现了联网 也难于实现通用 为了实现带有 银联 标识的银行卡在全国联网通用 各商业银行需要一定时间 按照统一的技术标准 对发行银行卡的计算机处理系统和受理银行卡的自动柜员机和销售点终端机等分期分批地改造 逐步做到带有 银联 标识的银行卡的联网通用 第一节电子银行系统的产生 一 EFT系统EFT系统的建设始于20世纪60年代EFT系统是银行同其客户间用于电子支付的全共享的通信系统 图2 1 电子支付已经成为发达国家的主要支付手段电子支付网络已由专有网络发展成全球性的电子金融体系二 EFT系统采用的支付方式支票支付贷记转账直接借记电子现金卡直接支付 第二章第一节P30 第二节电子银行体系 一 电子银行体系的构成电子银行体系是一个创新体系 需随着科学技术和国民经济的发展而不断创新和发展金融信息和交易体系结构 图2 2 核心是客户第二层是会计结算第三层是交易最外层是信息 第二章P33 电子银行体系包含的应用系统建立在关系数据库上的为客户提供支付服务的金融综合业务服务系统建立在数据仓库上的以IT为核心技术的金融信息增值服务与管理系统金融安全监控与预警系统电子银行应用系统间的关系金融综合业务服务系统是基础 需能全面反映全国的金融交易活动金融信息增值服务与管理系统需把信息采集渠道直接延伸到金融综合业务系统中去 并及时对采集到的数据进行分析研究 应用到金融宏观决策和帮助客户理财的金融信息增值服务中去金融安全监控与预警系统是保障前两类系统安全 正常运行的安全保障系统 二 电子银行的综合业务服务体系综合业务处理系统是以客户为中心 有集中 统一的账务处理系统 能向客户提供综合业务服务的金融企业电子系统组成 图2 3 面向客户的系统零售银行业务系统 联机柜员系统 ATM系统和家庭银行系统面向商业的银行业务系统 EFT POS系统批发银行业务系统 与银行联机的企业银行系统 面向往来银行的系统ACH和国内电子汇兑系统国际金融专用网络网上银行系统网上支付服务 B2C和B2B两类支付服务网上银行服务 家庭银行服务和企业银行服务银行内部管理系统 行长管理系统 总行管理系统 内务管理系统和分行管理系统三 不同类型电子银行系统的特点自助银行服务系统特点 覆盖面很广 非常繁忙 交易笔数很大 交易额小 实时性要求非常高企业银行系统和电子汇兑系统特点 交易额大 风险性大 对安全性要求很高 跨行和跨国交易比例大网上银行系统特点 在开放的互联网上传送 服务的对象不确定 身份检验和电文检验复杂 第二章第二节P35 第四节发展电子银行的意义与金融风险 一 发展电子银行的主要意义使商业银行实现三次飞跃实现电子化 使银行从手工操作实现电子化 随后推出自助银行服务实现信息化 使传统银行发展成电子银行实现虚拟化 使实体银行向虚拟银行发展增强中央银行和银监会的宏观调控作用国家宏观调控部门只有通过电子支付系统 才能实时掌握整个社会纷繁变化的资金运用状况和经济运行状况 并据此采取有效的宏观调控措施中央银行通过与各商业银行之间的电子支付与结算活动 及时有效地控制信贷规模 监督商业银行的金融活动 办理政府财政业务 控制国家货币的发行和资金的储备 以加强中央银行的宏观调控作用促进国民经济的发展和信息化进程金融信息化是我国国民经济信息化的重要组成部分电子支付系统是国民经济大动脉中的关键系统 电子银行是现代社会经济的支柱和命脉 第二章第四节P47 联机事务处理系统 OLTP 也称为面向交易的处理系统 其基本特征是顾客的原始数据可以立即传送到计算中心进行处理 并在很短的时间内给出处理结果 这样做的最大优点是可以即时地处理输入的数据 及时地回答 也称为实时系统 RealtimeSystem 衡量联机事务处理系统的一个重要性能指标是系统性能 具体体现为实时响应时间 ResponseTime 即用户在终端上送入数据之后 到计算机对这个请求给出答复所需要的时间 联机分析处理 OLAP 的概念最早是由关系数据库之父E F Codd于1993年提出的 他同时提出了关于OLAP的12条准则 OLAP的提出引起了很大的反响 OLAP作为一类产品同联机事务处理 OLTP 明显区分开来 OLAP是使分析人员 管理人员或执行人员能够从多角度对信息进行快速 一致 交互地存取 从而获得对数据的更深入了解的一类软件技术 OLAP的目标是满足决策支持或者满足在多维环境下特定的查询和报表需求 它的技术核心是 维 这个概念 第二章第五节P58 3 1 2电子商务的安全性要求 信息的保密性 这是指信息在存储 传输和处理过程中 不被他人窃取 这需要对交换的信息实施加密保护 使得第三者无法读懂电文 信息的完整性 这是指确保收到的信息就是对方发送的信息 信息在存储中不被篡改和破坏 在交换过程中无乱序或篡改 保持与原发送信息的一致性 第三章 信息的不可否认性 这是指信息的发送方不可否认已经发送的信息 接收方也不可否认已经收到的信息 交易者身份的真实性 这是指交易双方的身份是真实的 不是假冒的 防止冒名发送数据 系统的可靠性 这是指计算机及网络系统的硬件和软件工作的可靠性 在电子商务所需的几种安全性要求中 以保密性 完整性和不可否认性最为关键 电子商务安全性要求的实现涉及到多种安全技术的应用 3 2 2对称密钥加密与DES算法 对称加密算法是指文件加密和解密使用一个相同秘密密钥 也叫会话密钥 目前世界上较为通用的对称加密算法有RC4和DES 这种加密算法的计算速度非常快 因此被广泛应用于对大量数据的加密过程 对称密钥密码技术的代表是数据加密标准DES DataEncrypuonStandard 这是美国国家标准局于1977年公布的由IBM公司提出的一种加密算法 1979年美国银行协会批准使用DES 1980年它又成为美国标准化协会 ANSl 的标准 逐步成为商用保密通信和计算机通信的最常用加密算法 第三章第五节P91 DES算法的基本思想 DES算法的基本思想来自于分组密码 即将明文划分成固定的n比特的数据组 然后以组为单位 在密钥的控制下进行一系列的线性或非线性的变化变换而得到密文 这就是分组密码 BlockCipher 体制 分组密码一次变换一组数据 当给定一个密钥后 分组变换成同样长度的一个密文分组 若明文分组相同 那么密文分组也相同 1 在首次通信前 双方必须通过除网络以外的另外途径传递统一的密钥 2 当通信对象增多时 需要相应数量的密钥 例如一个拥有100个贸易伙伴的企业 必须要有100个密钥 这就使密钥管理和使用的难度增大 3 对称加密是建立在共同保守秘密的基础之上的 在管理和分发密钥过程中 任何一方的泄密都会造成密钥的失效 存在着潜在的危险和复杂的管理难度 对称加密技术存在的问题 3 2 3非对称密钥加密与RSA算法 当网络用户数很多时 对称密钥的管理十分繁琐 为了克服对称加密技术存在的密钥管理和分发上的问题 1976年产生了密钥管理更为简化的非对称密钥密码体系 也称公钥密码体系 PublicKeyCrypt system 对近代密码学的发展具有重要影响 现在公钥密码体系用的最多是RSA算法 它是以三位发明者 Rivest Shamir Adleman 姓名的第一个字母组合而成的 它最重要的特点是加密和解密使用不同的密钥 每个用户保存着两个密钥 一个公开密钥 PublicKey 简称公钥 一个私人密钥 IndividualKey 简称私钥 按现在的计算机技术水平 要破解目前采用的1024位RSA密钥 需要上千年的计算时间 公开密钥技术解决了密钥发布的管理问题 商户可以公开其公开密钥 就像现在个人的姓名 地址 E mail地址一样 可以放在网页上供人下载 也可公开传送给需要通信的人 而私钥需由用户自己严密保管 通信时 发送方用接收者的公钥对明文加密后发送 接收方用自己的私钥进行解密 别人即使截取了也无法解开 这样既解决了信息保密问题 又克服了对称加密中密钥管理与分发传递的问题 RSA算法的优点是 易于实现 使用灵活 密钥较少 在网络中容易实现密钥管理 便于进行数字签名 从而保证数据的不可抵赖性 缺点是要取得较好的加密效果和强度 必须使用较长的密钥 从而加重系统的负担和减慢系统的吞吐速度 这使得非对称密钥技术不适合对数据量较大的报文进行加密 另外 RSA算法体系的基础在于大素数因子分解困难 因子分解越困难 密码就越难以破译 加密强度就越高 反之 如果能有办法或者在一定条件下对大素数进行因子分解 就能够对密文进行破译 就会动摇这种加密体制的基础 RSA和DES相结合的综合保密系统 在实践中 为了保证电子商务系统的安全 可靠以及使用效率 一般可以采用由RSA和DES相结合实现的综合保密系统 在该系统中 用DES算法作为数据的加密算法对数据进行加密 用RSA算法作为DES密钥的加密算法 对DES密钥进行加密 这样的系统既能发挥DES算法加密速度快 安全性好的优点 又能发挥RSA算法密钥管理方便的优点 扬长避短 3 3 2数字摘要 数字摘要 也称为安全Hash编码法 简称SHA或MD5 是用来保证信息完整性的一项技术 它是由RonRivest发明的一种单向加密算法 其加密结果是不能解密的 所谓数字摘要 是指通过单向Hash函数 将需加密的明文 摘要 成一串128bit固定长度的密文 不同的明文摘要成的密文其结果总是不相同 同样的明文其摘要必定一致 并且即使知道了摘要而成的密文也不能推出其明文 数字摘要类似于人类的 指纹 因此我们把这一串摘要而成的密文称之为数字指纹 可以通过数字指纹鉴别其明文的真伪 只有数字指纹完全一致 才可以证明信息在传送过程中是安全可靠 没有被篡改 数字指纹的应用使交易文件的完整性 不可修改性 得以保证 数字摘要的使用过程 对原文使用Hash算法得到数字摘要 将数字摘要与原文一起发送 接收方将收到的原文应用单向Hash函数产生一个新的数字摘要 将新的数字摘要与发送方发来的数字摘要进行比较 若两者相同则表明原文在传输中没有被修改 否则就说明原文被修改过 3 3 3数字签名 1 数字签名的含义和作用在书面文件上亲笔签名或盖章是传统商务中确认文件真实性和法律效力的一种最为常用的手段 作用 确认当事人的身份 起到了签名或盖章的作用 能够鉴别信息自签发后到收到为止是否被篡改 数字签名建立在公钥加密体制基础上 是公钥加密技术的另一类应用 它把公钥加密技术和数字摘要结合起来 形成了实用的数字签名技术 完善的数字签名技术具备签字方不能抵赖 他人不能伪造 在公证人面前能够验证真伪的能力 在电子商务安全服务中的源鉴别 完整性服务 不可否认性服务方面有着特别重要的意义 2 数字签名和验证的过程 数字签名和验证的具体步骤如下 报文的发送方从原文中生成一个数字摘要 再用自己的私钥对这个数字摘要进行加密来形成发送方的数字签名 发送方将数字签名作为附件与原文一起发送给接收方 接收方用发送方的公钥对已收到的加密数字摘要进行解密 接收方对收到的原文用Hash算法得到接收方的数字摘要 将解密后的发送方数字摘要与接收方数字摘要进行对比 如果两者相同 则说明信息完整且发送者身份是真实的 否则说明信息被修改或不是该发送方发送的 由于发送方的私钥是由自己管理使用的 其他人无法仿冒使用 一旦发送方用自己的私钥加密发送了信息也不能否认 所以数字签名解决了电子商务信息的完整性鉴别和不可否认性 抵赖性 问题 数字签名使用的是发送方的密钥对 是发送方用自己的私钥对摘要进行加密 接收方用发送方的公钥对数字签名解密 是一对多的关系 表明发送方公司的任何一个贸易伙伴都可以验证数字签名的真伪性 密钥加密解密过程使用的是接收方的密钥对 是发送方用接收方的公钥加密 接收方用自己的私钥解密 是多对一的关系 表明任何拥有该公司公钥的人都可以向该公司发送密文 但只有该公司才能解密 其他人不能解密 数字签名与加密过程密钥对使用差别 3 3 4数字时间戳 在书面合同文件中 日期和签名均是十分重要的防止被伪造和篡改的关键性内容 在电子交易中 时间和签名同等重要 数字时间戳技术是数字签名技术一种变种的应用 是由DTS服务机构提供的电子商务安全服务项目 专门用于证明信息的发送时间 用户首先将需要时间戳的文件用Hash算法加密得到数字摘要 然后将数字摘要发送到专门提供数字时间戳服务的DTS机构 DTS机构在原数字摘要上加上收到文件摘要的时间信息 用Hash算法加密得到新的数字摘要 DTS机构用自己的私钥对新的数字摘要进行加密 产生数字时间戳发还给用户 用户可以将收到的数字时间戳发送给自己的商业伙伴以证明信息的发送时间 数字时间戳产生的过程 需加时间戳的文件的数字摘要 DTS机构收到文件摘要的日期和时间 DTS机构的数字签名 数字时间戳包括三个部分 3 4 1安全套接层协议 SSL securesocketslayer 是由NetscapeCommunication公司是由设计开发的 其目的是通过在收发双方建立安全通道来提高应用程序间交换数据的安全性 从而实现浏览器和服务器 通常是Web服务器 之间的安全通信 第七章第三节P300 目前Microsoft和Netscape的浏览器都支持SSL 很多Web服务器也支持SSL SSL是一种利用公共密钥技术的工业标准 已经广泛用于Internet 它使用的是RSA数字签名算法 可以支持X 509证书和多种保密密钥加密算法 其运行机制是 在建立连接过程中采用公共密钥 在回话过程中采用专有密钥 加密的类型和强度则在两端之间建立连接的过程中判断决定 1 SSL提供的基本服务功能 信息保密 使用公共密钥和对称密钥技术实现信息保密 SSL客户机和SSL服务器之间的所有业务都使用在SSL握手过程中建立的密钥和算法进行加密 这样就防止了某些用户进行非法窃听 信息完整性 确保SSL业务全部到达目的 如果因特网成为可行的电子商务平台 应确保服务器和客户机之间的信息内容免受破坏 SSL利用机密共享和Hash函数组提供信息完整性服务 相互认证 是客户机和服务器相互识别的过程 2 SSL协议通信过程 接通阶段 客户机呼叫服务器 服务器回应客户 认证阶段 服务器向客户机发送服务器证书和公钥 如果服务器需要双方认证 还要向对方提出认证请求 客户机用服务器公钥加密向服务器发送自己的公钥 并根据服务器是否需要认证客户身份 向服务器发送客户端证书 确立会话密钥阶段 客户和服务器之间协议确立会话密钥 会话阶段 客户机与服务器使用会话密钥加密交换会话信息 结束阶段 客户机与服务器交换结束信息 通信结束 凡是支持送SSL协议的网页 都会以https 作为URL的开头 客户在与服务器进行SSL会话中 如果使用的是微软的IE浏览器 可以在右下方状态栏中看到一只金黄色的锁形安全标志 用鼠标双击该标志 就会弹出服务器证书信息 SSL的安全性服务对终端用户尽可能透明 与标准的HTTP连接申请不同 一台支持SSL的典型网络主机接收SSL连接的默认端口是443而不是80 一般情况下 用户只需单击桌面上的一个按钮或连接就可以与SSL主机相连 当客户机连接该端口时 首先初始化握手协议 建立一个SSL对话时段 握手结束后 将对通信加密 并检查信息完整性 直到这个对话时段结束为止 每个SSL对话时段只发生一次握手 相比之下 HTTP的每一次连接都要执行一次握手 从而导致了通信效率的降低 3 SSL2 0和SSL3 0比较 第一代Netscape产品采用了SSL2 0协议 如今的Netscape产品采用了新的SSL3 0协议 SSL3 0综合了SSL2 0的大量反馈信息开发而成 SSL2 0和SSL3 0在一些基本的SSL服务器上是相同的 例如信息完整性 私密性 相互认证性 在SSL2的基础上 SSL3增加了的功能有 为提高握手速度而减少握手信息 支持更多的密钥交换和加密算法 支持fortezza插卡 这是走向智能加密卡的第一步 改进了客户机证明申请协议 服务器列出客户机必须具备的证明权限 Netscape返回标志着上述某个权限的一个证明 如果客户机无法提供所要求的证明就会导致握手失败 这样 用户就不必在每次连接时都选择一个相应的证明 4 SSL协议的电子交易过程 交易过程的步骤 客户购买的信息首先发往商家 商家再将信息转发银行 银行验证客户信息的合法性后 再通知客户和商家付款成功 商家再通知客户购买成功 流程的缺点 首先 客户的银行资料信息先送到商家 让商家阅读 这样 客户银行资料的安全性就得不到保证 由于默认了商家是可以信赖的 商家可以对客户做出信息保密的承诺 因此没有提供客户对商家的认证 这对客户来说是不公平的 这是SSL协议的缺点之一 其次 SSL协议虽然提供了资料传递过程的安全通道 但SSL协议安全方面有缺少数字签名功能 没有授权和存取控制 多方互相认证困难 不能抗抵赖 用户身份可能被冒充等弱点 这些弱点限制了它的安全功能 在实践中也曾有过SSL协议构筑的安全防线被黑客攻破的实例 为了解决这一问题 可以采用SET协议 SecureElectronicTransaction SET 网上消费者发出的支付指令在由商户送到支付网关之前 是在公用网上传送的 这一点与持卡POS消费者有着本质的不同 后者从商家POS到银行之间使用的是专线 因此 在开放的网络上处理交易 如何保证传输数据的安全成为电子商务能否普及的最重要的因素之一 SET正是在这种需求的推动下应运而生的 它是由VISA和MasterCard两大信用卡公司发起 会同IBM Microsoft等信息产业巨头于1997年6月正式制定发布的用于因特网事务处理的一种标准 3 4 2安全电子交易协议 SET协议是信用卡在因特网上进行支付的一种开放式标准 也是银行卡安全支付的具体规范 该标准采用RSA公开密钥体制对通信双方进行认证 采用DES RC4等对称加密体制加密要传输的信息 并用数字摘要和数字签名技术来鉴别信息的真伪及其完整性 包括了信用卡在电子商务中的交易协定和信息保密 信息完整 身份认证 数字签名等技术 目前已经被广为认可而成了事实上的国际通用的网上支付标准 其交易形态将成为未来电子商务的规范 SET的制定与推广既为业务相互渗透的各家信用卡公司提供了统一的安全通信标准 也促进了信用卡在因特网上作为支付工具的应用 1 SET协议的规范及功能 加密算法的应用 例如RSA和DES 证书信息和对象格式 购买信息和对象格式 认可信息和对象格式 划账信息和对象格式 对话实体之间信息的传输协议 SET协议交互操作是通过特定的协议和信息格式设定的 SET中包含多种协议 每一协议用于处理一个事务的不同阶段 通过复用公共密钥和私有密钥技术 单个SET事务最多可用六个不同的公共密钥加密 从而实现了信息集成 全部金融数据的证实和敏感数据的加密等工作 SET为电子商务提供的功能 信息保密性 数据的完整性 提供交易者的身份认证和担保 互操作性 2 SET协议所涉及的角色 持卡人 持信用卡在网上购物的人 网上商店 发卡银行 收单银行 支付网关 CA认证中心 使用SET的网上购物流程 客户通过网络浏览器浏览在线商家的商品目录 选择要购买的商品 填写订单 包括欲购商品名称 规格 数量 交货时间及地点等信息 订单通过因特网发送给商家 商家进行应答 并告知以上订单货物单价 应付款数额和交货方式 消费者选择付款方式 此时SET开始介入 3 应用SET的购物流程 消费者发送给商家一个完整的订单及其要求付款的指令 在SET中 订单和付款指令由消费者进行数字签名 同时利用双重身份签名技术 保证商家看不到消费者的账号信息 在线商家接受订单后 向客户开户银行请求支付 此信息通过支付网关送达收单银行 并进一步提交发卡银行确认 确认批准后 发卡银行返回确认信息 经收单银行通过支付网关发给在线商家 在线商家发送订单确认信息给客户 客户端记录交易日志 以备日后查考 在线商家发送商品或提供服务 并通知收单银行将货款从客户账号转移到商家账号 或通知发卡银行请求支付 4 SET标准的应用与局限性 SET1 0版自1997年推出以来推广应用较慢 其发展没有达到预期的效果 最大的挑战在于定期进行网上购物的消费者极少 原因主要是SET协议为了保证安全性而牺牲了简便性 操作过于复杂 成本较高 具有较大竞争力的SSL协议的广泛应用以及部分经济发达国家的法律规定了持卡人承担较低的信用卡风险等 SET协议提供了多层次安全保障 复杂程度显著增加 用户必须下载或从光盘上安装一个电子钱包 以便在浏览器上加入付款功能 用户还必须向金融机构或信赖的认证中心付费申请数字证书 以供持卡人和商家之间互相确认 这些安全环节在一定程度上增加了交易的复杂性 SET安全协议 从第3步到第7步SET开始起作用每操作一步都通过CA来验证通信主体的身份 确保合法性和不被冒名顶替协议没有保证消费者在收到不符合要求产品后 要求终止支付的权利 顾客 网上商家 支付网关 收单银行 发卡银行 认证中心 认证 认证 认证 1协商 2定单 3审核 4审核 5批准 6确认 7确认 SET协议的缺陷 协议没有说明收单银行给在线商店付款前 是否必须收到消费者的货物接受证书 否则的话 在线商店提供的货物不符合质量标准 消费者提出疑义 责任由谁承担 协议没有担保 非拒绝行为 这意味着在线商店没有办法证明订购是不是由签署证书的消费者发出的 SET技术规范没有提及在事务处理完成后 如何安全地保存或销毁此类数据 是否应当将数据保存在消费者 在线商店或收单银行的计算机里 SET协议过于复杂 使用麻烦 成本高 且只适用于客户具有电子钱包的场合 SET的证书格式比较特殊 虽然也遵循X 509标准 但它主要是由Visa和MasterCard开发并按信用卡支付方式来定义的 银行的支付业务不光是卡支付业务 而SET支付方式和认证结构适应于卡支付 对其他支付方式是有所限制的 安全是相对的 我们提出电子商务中信息的保密性 要保证支付和定单信息的保密性 即要求商户只能看到定单信息 OI 支付网关只能解读支付信息 PI 但在SET协议中 虽然账号不会明文传递 它通常用1024位RSA不对称密钥加密 商户电子证书确实指明了是否允许商户从支付网关的响应消息中看到持卡人的账号 可是事实上大多数商户都收到了持卡人的账号 另外 SET协议目前只局限于银行卡的网上支付 对其他方式的支付没有给出很好的解决方案 SET协议只支持B2C模式的电子商务 而不支持目前最具有前途和影响力的B2B电子商务交易 虽然具有很多的缺点 但SET由于其高度的安全性和规范性 使其逐步发展成为目前安全电子支付的国际标准 SETCo是SET协议的推广 发展和认证组织 它是由Visa和MasterCard两家大公司为首组织的SET厂商联盟 用于SET协议的实施 并测试和推广SET兼容应用 3 4 3其他安全协议 安全交易技术协议 securetransactiontechnology STT STT由美国微软公司提出 并在其自身的IE浏览器中采用了这一技术 该技术将认证和解密在浏览器中分开 以提高安全控制能力 2 安全超文本传输协议 S HTTP S HTTP是对HTTP的扩充 它是基于SSL的 依靠密钥对的加密 保障Web站点间的交易信息传输的安全性 为Web文档提供了完整性 鉴别 不可抵赖性和机密性等安全措施 与SSL相似 支持S HTTP协议网站的网址以https 开始 二 银行卡的种类 一 银行卡按性质分类信用卡 借记卡 复合卡 现金卡 1 信用卡 信用卡也称贷记卡 是银行向金融上可信赖的客户提供无抵押的短期周转信贷的一种手段 发卡银行根据客户的资信等级 给信用卡的持卡人规定一个信用额度 信用卡的持卡人就可在任何特约商店先消费后付款 也可在ATM上预支现金 第四章第一节P131 2 借记卡 在信用卡的基础上 银行后来又推出了借记卡 借记卡的持卡人必须在发卡行有存款 持卡人在特约商店消费后 通过电子银行系统 直接将顾客在银行中的存款划拨到商店的账户上 相对应贷记卡 后付款 的是借记卡的 现付款 为获得借记卡 持卡人必须在发卡机构开有账户 并保持一定量的存款 持卡人用借记卡刷卡付账时 所付款项直接从他们在发卡银行的账户上转到售货或提供服务的商家的银行账户上 因此借记卡的卡内资金实际上来源于持卡人的支票帐户或往来帐户 即活期存款帐户 借记卡的支付款额不能超过存款的数额 其实 对于持卡人在账面上来说 用借记卡付款的过程和从银行直接提款 然后用现金付账的过程 没有本质的差别 只不过用卡要方便多了 可以说 借记卡只是消费者支付现金或支票的另一种更方便的形式 借记卡也因此被称为支票卡 CheckCard 3 复合卡 复合卡是银行发行的一种兼具信用卡和借记卡两种银行卡性质的银行卡 这种银行卡称为复合卡 我国称之为准贷记卡 复合卡的持卡人必须事先在发卡银行交存一定金额的备用金 持卡人持卡消费或取现后 银行即作扣账操作 同时 发卡银行也可对这种持卡人提供适当的无抵押的周转信贷 因此 持卡人用复合卡消费过程中 当备用金账户余额不足支付时 允许在发卡行规定的信用额度内适当透支 准贷记卡是我国为了适合我国政治经济体制 社会发展水平 人民的消费习惯等因素 在发展具有中国特色信用卡产业发展过程中 创造的一种绝无仅有的信用卡品种 此种信用卡兼具贷记卡和借记卡的部分功能 一般需要交纳保证金或提供担保人 使用时先存款后消费 存款计付利息 在购物消费时可以在发卡银行核定的额度内进行小额透支 但透支金额自透支之日起计息 欠款必须一次还清 没有免息还款期和最低还款额 其基本特点是转帐结算和购物消费 银行卡业务管理办法 规定 贷记卡透支按月记收复利 准贷记卡透支按月记收单利 透支利率为日利率万分之五 4 现金卡 现金卡内记录有持卡人在卡内持有的现金数 可直接用于支付 现金卡的持卡人持卡消费后 商户直接从现金卡内扣除消费金额 这样 现金卡中的现金数也就相应减少了 现金卡内的货币是电子货币 电子货币是货币的另一种形式 1 交易日 持卡人实际用卡消费 取现 还款等交易的日期 2 银行记账日 银行在卡片发生交易后将交易款项记入账户 或根据规定将有关费用记入账户的日期 3 账单日 每月对持卡人在账单周期内的交易本金 费用等进行汇总并结计利息的日期 每张卡只有一个账单日 在随新卡附上的信函以及每份对账单上均有注明 4 到期还款日 银行规定的本期账单还款的最后日期 通常为账单日后第X天 如第20天 第四章第二节P141 5 信用额度 根据持卡人信用状况核定的 在卡片有效期内可循环使用的最高限额 是持卡人名下所有卡片 含主卡 附属卡 的共用额度 6 最低还款额 表示持卡人本期应该偿还的最低金额 7 循环信用 利息 8 滞纳金 若您在到期还款日前未还款或还款金额不足最低还款额 除将按规定计收利息外 还将按最低还款额未还部分的5 收取滞纳金 可用额度的计算方式如下 信用额度 已入账的未还金额 未入账的已使用金额 溢缴款金额 可用额度 最低还款额计算方式如下 上期最低还款额未还部分 累计未还费用和利息 累计未还取现金额 累计未还消费金额的10 超信用额度的交易金额 含费用 利息 最低还款额 若您按照对账单中列示的最低还款额还款 剩下未还部分为正常信用余额 但不再享受免息期待遇 免息还款期是指对按期全额还款的持卡人提供的针对消费交易的免息待遇 免息时间从银行记账日起至还款日止 最短20天 最长50天 现金类交易不享受免息还款期待遇 提示 若您在到期还款日前未全额还款 则不享受免息期待遇 将按日利率万分之五计收利息 并按月计收复利 计息日期从记账之日起至还款日止 计息本金以实际欠款金额计算 计算举例说明 假设您的账单日为某月17日 到期还款日 以每月30天为例 为下月7日 若该月为31天 则为下月6日 大小月按此推算 若您4月15日消费10 000元 且该笔消费款于当日记入您的账户 则银行记账日为4月15日 因您的账单日为4月17日 到期还款日为账单日后20天为5月7日 该笔消费最长可享受免息期为23天 若4月18日您消费10 000元 且该笔消费款于当日记入您的账户 则银行记账日为4月18日 由于该笔消费款应于5月17日账单日出账 因此距到期还款日6月6日有50天 则该笔消费最长可享受免息期为50天 计算举例说明 假设您的账单日为每月7日 到期还款日为每月27日 若3月20日您消费10 000元 且该笔消费款于3月23日记入信用卡账户 即记账日 则4月7日您的对账单上将会列有 本期全部应还款额10 000元 最低还款额1 000元 若从4月8日至5月7日期间未有其他交易入账 而您于4月27日缴清最低还款额1 000元 则5月7日的账单除将列有 消费款项未还部分9 000元外 还将另列利息225元 利息计算如下 消费款未还部分 日利率 计息天数 利息10 000 0 0005 35 3月23日至4月26日 175元 9 000 0 0005 11 4月27日至5月7日 50元 225元 15日账单日次月5日到期还款日信用额度50003月6日透支50003月25日申请临时额度20003月26日透支20004月5日到期还款日前没有还款应还额 上期欠 本期用款 利息 滞纳金 其中 由3月6至4月15共41天利息 5000 0 5 41 102 5 所以 应还额 5000 2000 102 5 25 7127 5元 三 ATM系统的结构和使用方法 2 操作流程 第五章第一节P179 三 ATM的结构和使用方法ATM的结构ATM的正面板含三个基本输入域和三个基本输出域ATM内部有读卡器 现钞箱 凭条打印机 存储设备 控制系统等顾客在ATM上的操作 图5 1 四 CD