学习情景5电子支付安全实现

1、SECURITY 新世纪高职高专新世纪高职高专 电子商务类课程规划教材电子商务类课程规划教材电子商务电子商务 安全技术与应安全技术与应用用主编梁永生主编梁永生eSECURITY 电子商务安全技术与应用电子商务安全技术与应用学习情境学习情境1 客户端安全设置客户端安全设置新世纪高职高专新世纪高职高专 电子商务类课程规划教材电子商务类课程规划教材学习情学习情境境2 网络通信安全构建网络通信安全构建学习情学习情境境3 信息传输安全构建信息传输安全构建学习情学习情境境4 服务器安全设置服务器安全设置学习情学习情境境5 电子支付安全实现电子支付安全实现SECURITY 安全电子支付平台构建安全电子支付平

2、台构建目目 录录新世纪高职高专新世纪高职高专 电子商务类课程规划教材电子商务类课程规划教材学习情境学习情境5 5 子学习情境子学习情境2移动支付安全移动支付安全学习情境学习情境5 5子学习情境子学习情境1 1 本学习情境介绍了电子支付系统的构成、流程、本学习情境介绍了电子支付系统的构成、流程、常见的电子支付方式等内容。通过本子学习情境的常见的电子支付方式等内容。通过本子学习情境的学习，能够对电子支付在整个电子商务中的重要性学习，能够对电子支付在整个电子商务中的重要性有深刻的理解，具备网上安全支付的能力及基于电有深刻的理解，具备网上安全支付的能力及基于电子支付安全协议建立安全交易平台的能力。子支

3、付安全协议建立安全交易平台的能力。学习情境学习情境5 5子学习情境子学习情境1 1电子支付还处在发展过程中，关于电子支付并没有完整、电子支付还处在发展过程中，关于电子支付并没有完整、统一的定义。统一的定义。1989年，美国法律学会批准的年，美国法律学会批准的统一商业法规统一商业法规对电子支付作了如下定义：电子支付是支付命令发送方把存放对电子支付作了如下定义：电子支付是支付命令发送方把存放在商业银行的资金，通过一条网络线路划入收益方开户银行，在商业银行的资金，通过一条网络线路划入收益方开户银行，以支付给收益方的一系列转移过程。以支付给收益方的一系列转移过程。通常认为电子商务支付系统是电子商务系统

4、的重要组成部通常认为电子商务支付系统是电子商务系统的重要组成部分，它指的是消费者、商家和金融机构之间使用安全电子手段分，它指的是消费者、商家和金融机构之间使用安全电子手段交换商品或服务，即把新型支付手段（包括电子现金（交换商品或服务，即把新型支付手段（包括电子现金（E-CA-SH）、信用卡（）、信用卡（CREDIT CARD）、借记卡（）、借记卡（DEBIT CARD）、智能卡等）的支付信息通过网络安全传送到银行或）、智能卡等）的支付信息通过网络安全传送到银行或相应的处理机构，来实现电子支付。相应的处理机构，来实现电子支付。学习情境学习情境5 5子学习情境子学习情境1 1目前在电子商务支付结算

5、过程主要采用两种基本方式，即目前在电子商务支付结算过程主要采用两种基本方式，即传统的支付方式和网上（电子）支付方式，如图传统的支付方式和网上（电子）支付方式，如图5-1所示。所示。图图5-1 电子商务的支付方式电子商务的支付方式学习情境学习情境5 5子学习情境子学习情境1 1随着信息技术的发展，电子支付也经历了五个发展阶段：随着信息技术的发展，电子支付也经历了五个发展阶段：第一阶段银行利用计算机及网络处理银行之间的业务，办第一阶段银行利用计算机及网络处理银行之间的业务，办理结算；理结算；第二阶段银行与其他机构之间计算机之间资金的结算，如第二阶段银行与其他机构之间计算机之间资金的结算，如代发工资

6、等业务；代发工资等业务；第三阶段利用网络终端向客户提供各项银行服务，如为客第三阶段利用网络终端向客户提供各项银行服务，如为客户在自动柜员机户在自动柜员机(ATM)上提供的取存款服务等；上提供的取存款服务等；学习情境学习情境5 5子学习情境子学习情境1 1随着信息技术的发展，电子支付也经历了五个发展阶段：随着信息技术的发展，电子支付也经历了五个发展阶段：第四阶段利用银行销售点终端第四阶段利用银行销售点终端 (POS) 向客户提供自动的划向客户提供自动的划账服务，这是现阶段电子支付的主要方式；账服务，这是现阶段电子支付的主要方式；第五阶段通过因特网进行直接转账结算，即网上支付，是第五阶段通过因特网

7、进行直接转账结算，即网上支付，是电子支付发展的最新阶段，是未来电子商务发展的主要形式，电子支付发展的最新阶段，是未来电子商务发展的主要形式，指的是电子交易的当事人使用安全电子支付手段通过因特网进指的是电子交易的当事人使用安全电子支付手段通过因特网进行的货币支付或资金流转。行的货币支付或资金流转。学习情境学习情境5 5子学习情境子学习情境1 1与传统的支付方式相比较，电子支付具有以下特点。与传统的支付方式相比较，电子支付具有以下特点。1. 电子支付是在开放的网络系统中以先进信息技术来完成电子支付是在开放的网络系统中以先进信息技术来完成信息传输，其各种支付方式都是采用数字化的方式进行款项支信息传输

8、，其各种支付方式都是采用数字化的方式进行款项支付的，而传统的交易支付方式则以传统的通信媒介通过现金流付的，而传统的交易支付方式则以传统的通信媒介通过现金流转、票据转让和银行的汇兑等物理实体来完成款项的支付。转、票据转让和银行的汇兑等物理实体来完成款项的支付。2. 电子支付的工作环境是基于一个开放的系统平台电子支付的工作环境是基于一个开放的系统平台(互联互联网网)，而传统支付则是在较为封闭的系统中运作。，而传统支付则是在较为封闭的系统中运作。3. 电子支付对软、硬件设施的要求很高，一般要求有联网电子支付对软、硬件设施的要求很高，一般要求有联网的微机、相关的软件及其一些配套设施，而传统的交易支付方

9、的微机、相关的软件及其一些配套设施，而传统的交易支付方式对实施没有什么特殊的要求式对实施没有什么特殊的要求学习情境学习情境5 5子学习情境子学习情境1 1与传统的支付方式相比较，电子支付具有以下特点。与传统的支付方式相比较，电子支付具有以下特点。4. 电子支付具有方便、快捷、高效、经济的优势，用户只电子支付具有方便、快捷、高效、经济的优势，用户只要拥有一台联网的微机，便可足不出户，在很短的时间内完成要拥有一台联网的微机，便可足不出户，在很短的时间内完成整个支付过程。支付费用仅相当于传统支付方法的几十分之一，整个支付过程。支付费用仅相当于传统支付方法的几十分之一，甚至几百分之一。甚至几百分之一。

10、5. 由于电子支付工具、支付过程具有无形化的特征，它将由于电子支付工具、支付过程具有无形化的特征，它将传统支付方式中面对面的信用关系虚拟化。如对支付工具的安传统支付方式中面对面的信用关系虚拟化。如对支付工具的安全管理不是依靠普通的防伪技术，而是通过用户密码，软硬件全管理不是依靠普通的防伪技术，而是通过用户密码，软硬件加、解密系统以及路由器等网络设备的安全保护功能来实现的；加、解密系统以及路由器等网络设备的安全保护功能来实现的；为保证支付工具的通用性，需制定一系列标准。为保证支付工具的通用性，需制定一系列标准。学习情境学习情境5 5子学习情境子学习情境1 1对于电子支付，银行的参与是必须的，电子

11、支付体系必须对于电子支付，银行的参与是必须的，电子支付体系必须借助银行的支付工具、支付系统以及金融专用网才能最终得以借助银行的支付工具、支付系统以及金融专用网才能最终得以实现。网上交易流程一般包括如下几个步骤（图实现。网上交易流程一般包括如下几个步骤（图5-2）：）：1消费者向商户发送购物请求，消费者向商户发送购物请求，2商户把消费者的支付指令通过支付网点送往商户开户行商户把消费者的支付指令通过支付网点送往商户开户行(收单行收单行)；3收单行通过专用网络从消费者开户行收单行通过专用网络从消费者开户行(发卡行发卡行)取得支付取得支付授权后，把授权信息送回商户；授权后，把授权信息送回商户；学习情境

12、学习情境5 5子学习情境子学习情境1 1对于电子支付，银行的参与是必须的，电子支付体系必须对于电子支付，银行的参与是必须的，电子支付体系必须借助银行的支付工具、支付系统以及金融专用网才能最终得以借助银行的支付工具、支付系统以及金融专用网才能最终得以实现。网上交易流程一般包括如下几个步骤（图实现。网上交易流程一般包括如下几个步骤（图5-2）：）：4商户取得授权后，向消费者发送购物回应信息。商户取得授权后，向消费者发送购物回应信息。5如果支付获取与支付授权并非同时完成的话，商户还要如果支付获取与支付授权并非同时完成的话，商户还要通过支付网关向收单行发送支付获取请求，以把该笔交易的金通过支付网关向收

13、单行发送支付获取请求，以把该笔交易的金额转账到商户帐户中；额转账到商户帐户中；6银行之间则通过自身的支付清算网络来完成最后的行间银行之间则通过自身的支付清算网络来完成最后的行间清算。清算。学习情境学习情境5 5子学习情境子学习情境1 1图图5-2 网上支付流程网上支付流程学习情境学习情境5 5子学习情境子学习情境1 1电子商务的电子支付系统基本构成包括活动参与的主体、电子商务的电子支付系统基本构成包括活动参与的主体、支付方式以及遵循的支付协议等几个部分。活动参与的主体包支付方式以及遵循的支付协议等几个部分。活动参与的主体包括客户、商家、银行和认证中心四个部分。括客户、商家、银行和认证中心四个部

14、分。电子支付系统的基本构成如图电子支付系统的基本构成如图5-3所示。所示。1 客户：客户：是指与某商家有交易关系并在交易中负有债务的一方。客是指与某商家有交易关系并在交易中负有债务的一方。客户使用支付工具进行网上支付，是支付系统运作的原因和起点。户使用支付工具进行网上支付，是支付系统运作的原因和起点。2 商家商家:商家是商品交易中拥有债权的另一方。商家可以根据客户商家是商品交易中拥有债权的另一方。商家可以根据客户发出的支付指令向金融体系请求资金入账。发出的支付指令向金融体系请求资金入账。学习情境学习情境5 5子学习情境子学习情境1 13 银行银行: 图图5-3 电子支付系统的基本构成电子支付系

15、统的基本构成学习情境学习情境5 5子学习情境子学习情境1 1电子商务的电子支付系统基本构成包括活动参与的主体、电子商务的电子支付系统基本构成包括活动参与的主体、支付方式以及遵循的支付协议等几个部分。活动参与的主体包支付方式以及遵循的支付协议等几个部分。活动参与的主体包括客户、商家、银行和认证中心四个部分。括客户、商家、银行和认证中心四个部分。电子支付系统的基本构成如图电子支付系统的基本构成如图5-3所示。所示。4认证机构认证机构: 负责为参与电子商务的各方（包括商家、客户、支付网关）负责为参与电子商务的各方（包括商家、客户、支付网关）发放数字证书以确认各方身份，保证电子支付的安全性。网上发放数

16、字证书以确认各方身份，保证电子支付的安全性。网上支付系统使传统的信用关系虚拟化，代表支付结算关系的参与支付系统使传统的信用关系虚拟化，代表支付结算关系的参与者只不过是网络上的电子数据。者只不过是网络上的电子数据。学习情境学习情境5 5子学习情境子学习情境1 11网上支付网上支付网上支付是电子支付的一种形式。广义地讲，网上支付是网上支付是电子支付的一种形式。广义地讲，网上支付是以互联网为基础，利用银行所支持的某种数字金融工具，发生以互联网为基础，利用银行所支持的某种数字金融工具，发生在购买者和销售者之间的金融交换，而实现从买者到金融机构、在购买者和销售者之间的金融交换，而实现从买者到金融机构、商

17、家之间的在线货币支付、现金流转、资金清算、查询统计等商家之间的在线货币支付、现金流转、资金清算、查询统计等过程，由此电子商务服务和其它服务提供金融支持。过程，由此电子商务服务和其它服务提供金融支持。学习情境学习情境5 5子学习情境子学习情境1 12移动支付移动支付移动支付主要是基于手机银行基础上的一种新型的支付模移动支付主要是基于手机银行基础上的一种新型的支付模式，其特点是可随处支付，交易时间短。手机银行指通过式，其特点是可随处支付，交易时间短。手机银行指通过GSM网络将客户手机连接至银行，利用手机界面直接完成各种金融网络将客户手机连接至银行，利用手机界面直接完成各种金融理财和支付服务等的虚拟

18、银行，目前有短信手机银行和理财和支付服务等的虚拟银行，目前有短信手机银行和STK卡卡手机银行。要使用手机支付手机银行。要使用手机支付,客户必须在银行开通手机银行服务，客户必须在银行开通手机银行服务，将银行账号与手机绑定将银行账号与手机绑定,商家必须在银行开设结算账户。商家必须在银行开设结算账户。学习情境学习情境5 5子学习情境子学习情境1 13POS支付支付POS系统指通过自动读取设备在销售商品时直接读取商品系统指通过自动读取设备在销售商品时直接读取商品销售信息销售信息,并通过通信网络和计算机系统传送至有关部门进行分并通过通信网络和计算机系统传送至有关部门进行分析加工以提高经营效率的系统。析加

19、工以提高经营效率的系统。POS是是point of sales的缩写的缩写,销售时点信息销售时点信息POS系统是指通过自动读取设备（如收银机）在系统是指通过自动读取设备（如收银机）在销售商品时直接读取商品销售信息（如商品名、价格等），并销售商品时直接读取商品销售信息（如商品名、价格等），并通过通信网络和计算机系统传送至有关部门进行分析加工以提通过通信网络和计算机系统传送至有关部门进行分析加工以提高经营效率的系统。高经营效率的系统。学习情境学习情境5 5子学习情境子学习情境1 1电子支付安全技术在电子商务安全管理占有很重要的位置，电子支付安全技术在电子商务安全管理占有很重要的位置，这也是电子商务

20、安全管理的一个明显的特点。电子支付安全技这也是电子商务安全管理的一个明显的特点。电子支付安全技术并不仅仅限于安全技术的采用，而是一系列风险管理控制措术并不仅仅限于安全技术的采用，而是一系列风险管理控制措施的总和，现阶段通常采取了如下的安全措施：施的总和，现阶段通常采取了如下的安全措施：（1）电子支付服务提供商为每个用户颁发一个全球通用的）电子支付服务提供商为每个用户颁发一个全球通用的个人数字证书用于登录电子支付服务系统的真实身份认证和用个人数字证书用于登录电子支付服务系统的真实身份认证和用于每个交易的数字签名，从而杜绝了口令泄露而造成的损失和于每个交易的数字签名，从而杜绝了口令泄露而造成的损失

21、和提供了交易不可否认的证据。还可以使用公用电脑的用户使用提供了交易不可否认的证据。还可以使用公用电脑的用户使用 USB Key 型硬件移动数字证书来确保用户的真实身份。型硬件移动数字证书来确保用户的真实身份。学习情境学习情境5 5子学习情境子学习情境1 1（2）由于每个用户都有全球通用的个人数字证书，不仅可）由于每个用户都有全球通用的个人数字证书，不仅可以用于身份认证快速安全登录电子支付服务系统，还可以用于以用于身份认证快速安全登录电子支付服务系统，还可以用于电子邮件数字签名和电子邮件内容加密，所有电子支付服务提电子邮件数字签名和电子邮件内容加密，所有电子支付服务提供商与用户之间的电子邮件通信

22、内容都是使用数字证书加密的，供商与用户之间的电子邮件通信内容都是使用数字证书加密的，只有用户本人使用其个人数字证书才能阅读，而其他人即使在只有用户本人使用其个人数字证书才能阅读，而其他人即使在电子邮件服务器端或电子邮件传输过程中非法窃取电子邮件支电子邮件服务器端或电子邮件传输过程中非法窃取电子邮件支付内容，但由于需要使用用户的个人数字证书才能阅读而无法付内容，但由于需要使用用户的个人数字证书才能阅读而无法阅读其内容，从而保证了用户的资金收付安全。阅读其内容，从而保证了用户的资金收付安全。学习情境学习情境5 5子学习情境子学习情境1 1（3）通过单向散列函数生成消息摘要结合数字签名来保证）通过单

23、向散列函数生成消息摘要结合数字签名来保证交易支付的完整性。当消息或文档发生任何改变，都可以反映交易支付的完整性。当消息或文档发生任何改变，都可以反映到消息摘要中，即使一个字符的改变，都可能使摘要内容完全到消息摘要中，即使一个字符的改变，都可能使摘要内容完全不同。这样可以确保消息确实发自发送者。消息接收者也可以不同。这样可以确保消息确实发自发送者。消息接收者也可以保证，消息摘要产生以后，消息没有改变。保证，消息摘要产生以后，消息没有改变。学习情境学习情境5 5子学习情境子学习情境1 1（4）构建安全稳定的电子商务网站，通过以下几方面实现）构建安全稳定的电子商务网站，通过以下几方面实现的：在应用层

24、上采取措施确保不存在单一故障点，提高系统的的：在应用层上采取措施确保不存在单一故障点，提高系统的稳定性；在架构设计上，确保水平扩展的能力，以便应付将来稳定性；在架构设计上，确保水平扩展的能力，以便应付将来大流量、大容量时期，对系统进行相应的扩容；在物理层上建大流量、大容量时期，对系统进行相应的扩容；在物理层上建立若干物理隔绝的功能区，避免黑客入侵后长驱直入；使用高立若干物理隔绝的功能区，避免黑客入侵后长驱直入；使用高端防火墙将重要的数据库保护在核心数据区，提高了数据的安端防火墙将重要的数据库保护在核心数据区，提高了数据的安全性；在信息存储方面，使用公开加密算法对数据通信以及数全性；在信息存储方

25、面，使用公开加密算法对数据通信以及数据存储进行加密，确保了数据的完整以及安全性；采用高可靠据存储进行加密，确保了数据的完整以及安全性；采用高可靠的的Linux操作系统，并对操作系统进行额外的主机加固措施。操作系统，并对操作系统进行额外的主机加固措施。 学习情境学习情境5 5子学习情境子学习情境1 1（5）安装抗干扰硬件来保证交易终端安全。为了防止透支，）安装抗干扰硬件来保证交易终端安全。为了防止透支，脱机支付系统（如智能卡）的付款人一端需要安装抗干扰硬件。脱机支付系统（如智能卡）的付款人一端需要安装抗干扰硬件。抗干扰硬件也可以安装在收款人的一端，如抗干扰硬件也可以安装在收款人的一端，如POS终

26、端的安全部终端的安全部件。如果没有这样的安全设备，付款人的密码甚至他的钱就容件。如果没有这样的安全设备，付款人的密码甚至他的钱就容易受到能访问其计算机的任何人的攻击，这是多用户环境存在易受到能访问其计算机的任何人的攻击，这是多用户环境存在的明显的问题。能够被其他人直接或间接访问的单用户计算机的明显的问题。能够被其他人直接或间接访问的单用户计算机也存在同样的问题。也存在同样的问题。学习情境学习情境5 5子学习情境子学习情境1 11安全套接层安全套接层(Secure Sockets Layer，SSL)协议协议安全套接层安全套接层(Secure Sockets Layer，SSL)是一种传输层是一

27、种传输层技术，由技术，由Netscape开发，可以实现兼容浏览器和服务器开发，可以实现兼容浏览器和服务器(通常通常是是Web服务器服务器)之间的安全通信。之间的安全通信。SSL协议是目前网上购物网站协议是目前网上购物网站中常使用的一种安全协议。使用它在于确保信息在网际网络上中常使用的一种安全协议。使用它在于确保信息在网际网络上流通的安全性，让浏览器和流通的安全性，让浏览器和Web服务器能够安全地进行沟通。服务器能够安全地进行沟通。学习情境学习情境5 5子学习情境子学习情境1 1SSL标准的工作流程主要包括以下几步：标准的工作流程主要包括以下几步：SSL客户机向客户机向SSL服务器发出连接建立请

28、求，服务器发出连接建立请求，SSL服务器响应服务器响应SSL客户机的请求；客户机的请求；SSL客户机与客户机与SSL服务器交换双方认可的密码，一般采用的加密服务器交换双方认可的密码，一般采用的加密算法是算法是RSA算法；检验算法；检验SSL服务器得到的密码是否正确，并验服务器得到的密码是否正确，并验证证SSL客户机的可信程度；客户机的可信程度；SSL客户机与客户机与SSL服务器交换结束的服务器交换结束的信息。图信息。图5-4所示是所示是SSL标准的工作原理。标准的工作原理。学习情境学习情境5 5子学习情境子学习情境1 1图图5-4 SSL工作过程工作过程学习情境学习情境5 5子学习情境子学习情

29、境1 12安全电子交易安全电子交易 (Secure Electronic Transaction，SET)协议协议在开放的因特网上进行电子商务，如何保证交易双方传输在开放的因特网上进行电子商务，如何保证交易双方传输数据的安全成为电子商务能否普及的最重要的问题。在电子商数据的安全成为电子商务能否普及的最重要的问题。在电子商务的交易过程中，首先是交流信息和需求，进行磋商；接着是务的交易过程中，首先是交流信息和需求，进行磋商；接着是交换单证；最后是电子支付。特别是电子支付涉及到资金、账交换单证；最后是电子支付。特别是电子支付涉及到资金、账户、信用卡、银行等一系列对货币最敏感的部门，因此对安全户、信用

30、卡、银行等一系列对货币最敏感的部门，因此对安全有非常高的要求。有非常高的要求。SSL安全协议有缺点，不足以担此重任。安全协议有缺点，不足以担此重任。学习情境学习情境5 5子学习情境子学习情境1 11. SET的主要目标的主要目标SET安全协议要达到的目标主要有安全协议要达到的目标主要有5个。个。 ( (1) ) 信息传输的安全性信息传输的安全性( (2) ) 信息的相互隔离信息的相互隔离( (3) ) 多方认证的解决多方认证的解决( (4) ) 效仿效仿EDI贸易形式，要求软件遵循相同协议和报文格贸易形式，要求软件遵循相同协议和报文格式，使不同厂家开发的软件具有兼容和互操作功能，并且可以式，使

31、不同厂家开发的软件具有兼容和互操作功能，并且可以运行在不同的硬件和操作系统平台上。运行在不同的硬件和操作系统平台上。( (5) ) 交易的实时性交易的实时性 学习情境学习情境5 5子学习情境子学习情境1 12. SET的交易成员的交易成员(1) 持卡人持卡人消费者：消费者：(2) 网上商家：网上商家：(3) 收单银行：收单银行：(4) 支付网关：支付网关：(5) 发卡银行发卡银行电子货币发行公司或兼有电子货币发行电子货币发行公司或兼有电子货币发行的银行：的银行：(6) 认证中心认证中心CA可信赖、公正的组织：可信赖、公正的组织：学习情境学习情境5 5子学习情境子学习情境1 1 3. SET的技

32、术范围的技术范围SET的技术范围包括以下几方面。的技术范围包括以下几方面。(1) 加密算法。加密算法。(2) 证书信息和对象格式。证书信息和对象格式。(3) 购买信息和对象格式。购买信息和对象格式。(4) 认可信息和对象格式。认可信息和对象格式。(5) 划账信息和对象格式。划账信息和对象格式。(6) 对话实体之间消息的传输协议。对话实体之间消息的传输协议。学习情境学习情境5 5子学习情境子学习情境1 14. SET软件的组件软件的组件SET系统的动作是通过系统的动作是通过4个软件来完成的，包括电子钱包、个软件来完成的，包括电子钱包、商店服务器、支付网关和认证中心软件，这商店服务器、支付网关和认

33、证中心软件，这4个软件分别存储在个软件分别存储在持卡人、网上商店、银行以及认证中心的计算机中，相互运作持卡人、网上商店、银行以及认证中心的计算机中，相互运作来完成整个来完成整个SET交易服务，如图交易服务，如图5-5所示。所示。学习情境学习情境5 5子学习情境子学习情境1 1图图5-5 SET软件系统的组件软件系统的组件学习情境学习情境5 5子学习情境子学习情境2 2本子学习情境对移动支付作了系统介绍，并对本子学习情境对移动支付作了系统介绍，并对其安全特性进行了详细的分析。通过本子学习情境其安全特性进行了详细的分析。通过本子学习情境的学习，掌握移动支付安全的相关知识，具备应用的学习，掌握移动支付安全的相关知识，具备应用各种安全技术进行安全移动支付的能力。各种安全技术进行安全移动支付的能力。学习情境学习情境5 5子学习情境子学