电子商务安全2

3.1电子商务的安全要求3.2数据加密技术3.3认证技术3.4电子商务的安全交易标准目录第3部分电子商务安全电子商务发展的核心和关键问题是交易的安全性，这是网上交易的基础，也是电子商务技术的难点所在。目前，因特网上影响交易最大的阻力就是交易安全问题。序言3.1电子商务系统的安全要求3.1.1电子商务系统的安全威胁3.1.2电子商务的安全性要求3.1.3电子商务的安全体系（1）信息泄露（2）信息篡改（3）信息破坏（4）抵赖行为3.1.1电子商务系统的安全威胁安全威胁3.1.2电子商务的安全性要求信息的保密性：这是指信息在存储、传输和处理过程中，不被他人窃取。这需要对交换的信息实施加密保护，使得第三者无法读懂电文。信息的完整性：这是指确保收到的信息就是对方发送的信息，信息在存储中不被篡改和破坏，在交换过程中无乱序或篡改，保持与原发送信息的一致性。信息的不可否认性：这是指信息的发送方不可否认已经发送的信息，接收方也不可否认已经收到的信息。交易者身份的真实性：这是指交易双方的身份是真实的，不是假冒的。防止冒名发送数据。系统的可靠性：这是指计算机及网络系统的硬件和软件工作的可靠性。在电子商务所需的几种安全性要求中，以保密性、完整性和不可否认性最为关键。电子商务安全性要求的实现涉及到多种安全技术的应用。3.1.3电子商务的安全体系电子商务安全交易体系三个层次：信息加密算法安全认证技术安全交易协议3.2数据加密技术3.2.1对称加密与DES算法3.2.2非对称加密与RSA算法加密技术是保保证网络、信信息安全的核核心技术。加加密技术与密密码学紧密相相连。密码学包括密密码编码学和和密码分析学学。密码体制的设设计是密码编编码学的主要要内容。密码体制的破破译是密码分分析学的主要要内容。*12加密--将明文数据进进行某种变换换，使其成为为不可理解的的形式，这个个过程就是加加密。密文--这种不可理解解的形式称为为密文。解密—解密是加密的的逆过程，即即将密文还原原成明文。加密和解密必必须依赖两个个要素：算法和密钥。算法是加密和和解密的计算算方法；密钥钥是加密所需需的一串数字字。在加密算法公公开的情况下下，非法解密密者就要设法法破获密钥，，为了使黑客客难以破获密密钥，就要增增加密钥的长长度，使黑客客无法用穷举举法测试破解解密钥。一般的数据加加密模型:*16数据加密的例例子：例：原信息为为：Howareyou加密后为：LSAEVICSY原文密文在实际加密过过程中，算法法是不变的，，但密钥是变变化的----加密技术的关关键是密钥？若密钥4换成1，结果会怎么么样呢？abcd..………wxyzEFGH……….ABCD将上述两组字字母分别对应应，即差4个字母，这条条规则就是加密算法，其中的4为密钥。对称密钥加密密与DES算法对称加密算法法是指文件加加密和解密使使用一个相同秘密密钥钥，也叫会话密密钥。目前世界上较较为通用的对对称加密算法法有RC4和DES。这种加密算算法的计算速度非常常快，因此被广泛泛应用于对大量数据的加密过程。。对称密钥密码码技术的代表表是数据加密密标准DES。这是美国国国家标准局于于1977年公布的由IBM公司提出的一一种加密算法法，1979年美国银行协协会批准使用用DES,1980年它又成为美美国标准化协协会(ANSl)的标准，逐步步成为商用保保密通信和计计算机通信的的最常用加密密算法。对称密钥加密密1〉在首次通信前前，双方必须须通过除网络络以外的另外外途径传递统统一的密钥。。2〉当通信对象增增多时，需要要相应数量的的密钥，这就就使密钥管理理和使用的难难度增大。3〉对称加密是建建立在共同保保守秘密的基基础之上的，，在管理和分分发密钥过程程中，任何一一方的泄密都都会造成密钥钥的失效，存存在着潜在的的危险。对称加密技术术存在的问题题非对称密钥加加密与RSA算法为了克服对称称加密技术存存在的密钥管管理和分发上上的问题，1976年产生了密钥钥管理更为简简化的非对称密钥密密码体系，也称公钥密码体系系，对近代密码码学的发展具具有重要影响响。最著名的算法法--RSA现在公钥密码码体系用的最最多是RSA算法，它是以以三位发明者者（Rivest、Shamir、Adleman）姓名的第一一个字母组合合而成的。(LefttoRight:RonRivest,AdiShamir,LenAdleman)2002年图灵奖获得得者--RSA-2002RonaldL.RivestRivest博士现任美国国麻省理工学学院电子工程程和计算机科科学系教授。。1977年从斯坦福大大学获得计算算机博士学位位。主要从事事密码安全、、计算机安全全算法的研究究，他发明了了RSAKEY的算法，这个个算法在信息息安全中获得得最大的突破破。他现在担担任国家密码码学会的负责责人。AdiShamirShamir是以色列Weizmann科学学院应用用数学系的教教授。国际著名的密密码学专家，，为现代密码码学提供了很很多新的理念念，多年来始始终活跃在密密码学界的前前沿，是学界界公认的领军军人物。LenAdlemanAdleman现在是美国南南加州大学的的计算机科学学以及分子生生物学教授。。他是计算机病病毒的"教父"（他的博士生生Cohen是计算机病毒毒的发明人）），DNA计算的创始人人，爱滋病免免疫学大师级级专家，在数数学、计算机机科学、分子子生物学、爱爱滋病研究等等每一个方方面作出的卓卓越贡献都是是大师级成果果。*26非对称加密技技术使用两把把不同的钥匙匙（一对钥匙匙），其中一一把用于加密，另一把用于于解密。较著名的算法法是RSA算法一对钥匙一个公钥:是公开的，可以公布在网上，也可以公开传递给需要的人;一个私钥:只有本人知道，是保密的非对称加密技技术用于保密密应用的原理理27接收方公钥接收方私钥在保密应用时时，发件人用用收件人的公公钥将信件加加密发给收件件人，收件人人收到密文后后，用自己的的私钥解密。。密文明文Internet密文加密解密明文(发送方)(接收方)优点：密钥较少，在在网络中容易易实现密钥管管理；便于进行数字字签名，从而而保证数据的的不可抵赖性性。缺点：加密解密速度度慢-----不适合对数据据量较大的报报文进行加密密。*28非对称加密技技术的特点加密过程对称非对称step1Alice和Bob协商一个密码系统Alice和Bob选用一个公开密码系统step2密钥是秘密的Alice和Bob协商同一密钥Bob将他的公开密钥传送给Alicestep3Alice用协商的加密算法和密钥加密她的消息，得到消息的密文Alice用Bob的公开密钥加密她的消息，然后发送给Bobstep4Alice发送密文消息给Bob

Bob用他的私人密钥解密Alice的消息，然后阅读消息step5Bob用同样的密钥和算法解密密文，得到原始明文，然后阅读明文*30对称与非对称称加密技术对对比特

性对

称非

对

称密钥的数目单一密钥密钥是成对的密钥种类密钥是秘密的一个私有、一个公开密钥管理简单不好管理便于管理相对速度非常快慢用途用来做大量资料的加密用来做加密小文件或对信息签字等不太严格保密的应用*31在该系统中，，用对称加密密算法作为数数据的加密算算法对数据进进行加密，用用非对称加密密算法作为密密钥的加密算算法，对密钥钥进行加密。。对称与非对称称技术相结合合的综合保密密系统------数字信封这样的系统既既能发挥对称称加密算法加加密速度快、、安全性好的的优点，又能能发挥非对称称加密算法密密钥管理方便便的优点，扬扬长避短。对称与非对称称技术相结合合的综合保密密系统------数字信封*32明文密文明文A密钥加密的密钥A密钥公钥B私钥B发送方A接收方BInternet密文加密的密钥*333.3认证技术交易者身份真实吗?文件被篡改过吗?交易抵赖怎么办?电子商务交易这就是认证技技术要解决的的问题身份认证验证完整性防止抵赖*3.3认证技术鉴别用户身份份认证技术身份认证信息认证信息完整性防止抵赖密码认证用户所持有的包含某个秘密信息的载体：如智能卡利用生物特征：如指纹、声音、DNA图案视网膜扫描图案等CA认证(数字证书)保证交易安全全数字摘要数字签名电子签名数字时间戳*35数字摘要也称为安全Hash编码法，是用用来保证信息息完整性的一一项技术。它它是由RonRivest发明的一种单单向加密算法法，其加密结结果是不能解解密的。定义：所谓数字摘要要，是指通过过单向Hash函数，将明文文加密而形成成的一串128bit固定长度的密密文。数字摘要类似于人类的的“指纹”，因此我们把把这一串摘要要而成的密文文称之为数字指纹。*36★不同的明文文形成的摘摘要总是不不相同的；；★同样的明文文其摘要必必定一致；；★即使知道了了摘要也不不能推出其其明文。数字摘要验证信息完整性性的原理可以通过数数字摘要鉴鉴别其明文文的真伪。。只有数字字摘要完全全一致，才才可以证明明信息在传传送过程中中是安全可可靠的，没没有被篡改改。*37数字摘要的的验证过程程文件Hash摘要发送端Internet文件Hash摘要接收端摘要对比*38数字摘要的的使用过程程①对文件件使用Hash算法得到数数字摘要；；②将数字字摘要与文文件一起发发送；③接收方方将收到的的文件应用用单向Hash函数产生一一个新的数数字摘要；；④将新的的数字摘要要与发送方方发来的数数字摘要进进行比较，，若两者相相同则表明明文件在传传输中没有有被修改，，否则就说说明文件被被修改过。*39数字签名传统商务中中确认文件件真实性和和法律效力力的一种最最为常用的的手段是在在书面文件件上亲笔签签名或盖章章。其作用用有两方面面：1、因签名难难以否认，，从而确认认签名者已已同意文件件内容；2、因签名难难以仿冒，，从而确定定文件是真真的这一事事实。*40在电子商务务活动中，，交易双方方不见面，，传统签字字方式很难难应用于这这种网上交交易，那么么在网络传传递的文件件上如何签签名盖章呢呢，如何使使彼此的要要约、承诺诺具有可信信赖性？数字签名-----可解决这一一难题*41数字签名---建立在非对对称（公钥钥）加密体体制基础上上，是非对对称加密技技术的另一一类应用。。它把非对称加密密技术和数字摘要结合起来，，形成了实实用的数字字签名技术术。数字签名的的含义和作作用验证信息完整性防止抵赖作用非对称加密密技术用于于验证的原原理*42明文密文明文私钥A公钥A发送方A接收方BInternet密文*43数字签名和和验证的过过程买方：签名名过程合同Hash函数摘要♂买方私钥数字签名合同数字签名传给卖方卖方接收Hash函数摘要卖方：接收收、验证过过程摘要合同数字签名♂买方公钥比较两个摘要*44①报文的发送送方从原文文中生成一一个数字摘摘要，再用用自己的私钥钥对这个数字字摘要进行行加密来形形成发送方的数数字签名。②发送方将数数字签名作作为附件与与原文一起起发送给接接收方。③接收方用发送方的公公钥对已收到的的加密数字字摘要进行行解密；数字签名和和验证的具具体步骤④接收方对收收到的原文文用Hash算法得到接接收方的数数字摘要；；⑤将解密后的的发送方数数字摘要与与接收方数数字摘要进进行对比。。如果两者者相同，则则说明信息息完整且发发送者身份份是真实的的，否则说说明信息被被修改或不不是该发送送方发送的的。*46数字签名的的作用①确认当事事人的身份份，起到了了签名或盖盖章的作用用；②能够鉴别别信息自签签发后到收收到为止是是否被篡改改。由于发送方方的私钥是是由自己管管理使用的的，其他人人无法仿冒冒使用，一一旦发送方方用自己的的私钥加密密发送了信信息也不能能否认，所所以数字签签名解决了了电子商务务信息的完整性鉴别别和不可否认性性（抵赖性））问题。数字签名使使用的是发送方的密密钥对，是发送方方用自己的的私钥对摘摘要进行加加密，接收收方用发送送方的公钥钥对数字签签名解密，，是一对多多的关系，，表明发送送方公司的的任何一个个贸易伙伴伴都可以验验证数字签签名的真伪伪性；密钥加密解解密过程使使用的是接收方的密密钥对，是发送方方用接收方方的公钥加加密，接收收方用自己己的私钥解解密，是多多对一的关关系，表明明任何拥有有该公司公公钥的人都都可以向该该公司发送送密文，但但只有该公公司才能解解密，其他他人不能解解密；数字签名与与加密过程程密钥对使使用差别老张小李的公开开密匙小李老张密文小李小李的私有有密匙老张的私私有密匙老张的公公开密匙密文鉴别保密用RSA鉴别,只有老张张能发出出该信息息用RSA保密,只有小李李能解开开该信息息*50数字时间间戳在书面合合同文件件中，日日期和签签名均是是十分重重要的防防止被伪伪造和篡篡改的关关键性内内容。在电子交交易中，，时间和和签名同同等重要要。数字字时间戳戳技术是是数字签签名技术术一种变变种的应应用，是是由DTS(DigitalTime-stampService)服务机构构提供的的电子商商务安全全服务项项目，专专门用于于证明信信息的发发送时间间。*51文件Hash函数摘要1Internet摘要1摘要1时间♂私钥数字时间间戳数字时间间戳第三方DTS发送方数字时间间戳产生生的过程程*52①用户首首先将需需要时间间戳的文文件用Hash算法加密密得到数数字摘要要；②然后将将数字摘摘要发送送到专门门提供数数字时间间戳服务务的DTS机构；③DTS机构在原原数字摘摘要上加加上收到到文件摘摘要的时时间信息息，用自自己的私私钥对其其进行加加密，产产生数字字时间戳戳发还给给用户；；④用户可以以将收到到的数字字时间戳戳发送给给自己的的商业伙伙伴以证证明文件件上的时时间的真真实性。。数字时间间戳产生生的过程程*53⑴需加时间间戳的文文件的数数字摘要要⑵DTS机构收到到文件摘摘要的日日期和时时间⑶DTS机构的数数字签名名数字时间间戳包括括三个部部分：*54数字证书书数字证书书是标志志网络用用户身份份信息的的一系列列数据，，是用于于证明某某一主体体（如个个人用户户、服务务器等））的身份份的一种种权威电电子文档档，由可可信任的的、公正正的第三三方权威威机构(CA中心)颁发。拥有数字字证书者者可以将将其证书书提供给给其他人人、WEB站点及网网络资源源以证实实他的合合法身份份，并且且与对方方建立加加密的、、信任的的通信。。*551、数字证证书的作作用数字证书书提供了了一种在在网上验验证身份份的方式式，主要要采用了了非对称称加密，，以及对对称密钥钥加密、、数字签签名、数数字信封封等技术术，为每每一个用用户提供供了一个个唯一的的标识。。数字证书书对网络络上传输输的信息息进行加加密和解解密、数数字签名名和签名名验证，，确保网网上传递递信息的的机密性、完整性、交易主体体身份的的真实性性和签名名信息的的不可否否认性。*572、数字证证书的内内容数字证书书的内部部格式遵遵循X.509标准。X.509是由国际际电信联联盟(ITU—T)制定的数数字证书书标准。。根据这这项标准准，证书书包括申申请证书书个人的信信息和发行证书书机构的的信息。*58*59*603.数字证书书的类型型（1）个人数数字证书书

（2）单位证证书（（3）服务器器证书（（4）代码签签名证书书*61认证中心心（CertificateAuthority，CA）认证中心心：也称称之为电电子商务务认证中中心，是是承担网网上安全全电子交交易认证证服务，，能签发发数字证证书，确确认用户户身份的的、与具具体交易易行为无无关的第第三方权权威机构构。认证中心心主要任任务是受受理证书书的申请请、签发发和管理理数字证证书。其其核心是是公共密密钥基础础设施（（PKI）。*621、认证中中心的职职能⑴核发发证书⑵

证书书更新⑶证书书撤销⑷证书验证证*63在双方通通信时，，通过出出示由某某个CA签发的证证书来证证明自己己的身份份，如果果对签发发证书的的CA本身不信任，，则可验证CA的身份，依次次类推，一直直到公认的权权威CA处图证书的的树形验证结结构2、证书的树形形验证结构*64行业性CA区域性CA3、我国认证中中心现状中国金融认证证中心（CFCA）中国电信认证证中心（CTCA）中国邮政认证证中心外经贸部CA等广东CA中心（CNCA）上海CA中心(SHECA)深圳CA中心(SZCA)等大多以地方政政府为背景，，以公司机制制运作*65国内主要的电电子商务认证证中心3.4电子商务的安安全交易标准准安全套接层协协议(SSL)安全电子交易易协议(SET)安全套接层协协议SSL(securesocketslayer)是由NetscapeCommunication公司研究制定定的安全协议议，该协议向向基于TCP/IP的客户/服务器应用程程序提供了客客户端和服务务器的鉴别、、数据完整性性及信息机密密性等安全措措施。该协议议通过在应用用程序进行数数据交换前交交换SSL初始握手信息息来实现有关关安全特性的的审查。SSL协议的优势在在于它是与应应用层协议独独立无关的。。高层的应用用层协议能透透明的建立于于SSL协议之上。SSL协议在应用层层协议通信之之前就已经完完成加密算法法、通信密钥钥的协商以及及服务器认证证工作。在此此之后应用层层协议所传送送的数据都会会被加密，从从而保证通信信的私密性。。在SSL握手信息中采采用了DES、MDS等加密技术来来实现机密性性和数据完整整性，并采用用X.509数字证书实现现鉴别。该协协议已成为事实上的工业业标准，并被广泛应应用于Internet和Intranet的服务器产品品和客户端产产品中。如Netscape公司、微软公公司、IBM公司等领导Internet和Internet网络产品的公公司己在使用用该协议。1、SSL提供的基本服服务功能信息保密。使用公共密钥和对称密钥技术实现信息息保密。SSL客户机和SSL服务器之间的的所有业务都都使用在SSL握手过程中建建立的密钥和和算法进行加加密，这样就就防止了某些些用户进行非非法窃听。信息完整性。。SSL利用机密共享享和Hash函数组提供信信息完整性服服务。相互认证。是客户机和服服务器相互识识别的过程。。2.SSL协议通信过程程①接通阶段段：客户机呼呼叫服务器，，服务器回应应客户。②认认证阶阶段：：服务器器向客客户机机发送送服务务器证证书和和公钥钥；如果服服务器器需要要双方方认证证，还还要向向对方方提出出认证证请求求；客户机机用服服务器器公钥钥加密密向服服务器器发送送自己己的公公钥，，并根根据服服务器器是否否需要要认证证客户户身份份，向向服务务器发发送客客户端端证书书。③确立立会话话密钥钥阶段段：客客户和和服务务器之之间协协议确确立会会话密密钥。。④会话话阶段段：客客户机机与服服务器器使用用会话话密钥钥加密密交换换会话话信息息。⑤结束束阶段段：客客户机机与服服务器器交换换结束束信息息，通通信结结束。。凡是支支持送送SSL协议的的网页页，都都会以以https://作为URL的开头头。客客户在在与服服务器器进行行SSL会话中中，如如果使使用的的是微微软的的IE浏览器器，可可以在在右下下方状状态栏栏中看看到一一只金金黄色色的锁锁形安安全标标志，，用鼠鼠标双双击该该标志志，就就会弹弹出服服务器器证书书信息息。4、SSL协议的的电子子交易易过程程交易易过过程程的的步步骤骤①客客户户（（消消费费者者））的的购购买买信信息息与与支支付付信信息息首首先先发发往往商商家家；；②商商家家再再将将客客户户支支付付信信息息转转发发给给银银行行；；③④④银银行行验验证证客客户户信信息息的的合合法法性性后后，，再再通通知知客客户户和和商商家家付付款款成成功功；；⑤商商家家再再通通知知客客户户购购买买成成功功。。基于于SSL协议议的的购购物物流流程程比比较较简简单单，，只只需需先先通通过过一一次次““握握手手””过过程程建建立立连连接接就就可可以以在在客客户户与与服服务务器器间间建建立立一一条条安安全全通通信信的的通通道道，，保保证证相相互互间间能能在在以以后后安安全全地地交交换换数数据据。。由由于于有有银银行行参参与与，，按按照照SSL协议议，，客客户户购购买买的的信信息息首首先先发发往往商商家家，，商商家家再再将将信信息息转转发发银银行行，，银银行行验验证证客客户户信信息息的的合合法法性性后后，，通通知知商商家家付付款款成成功功，，商商家家再再通通知知客客户户购购买买成成功功，，将将商商品品寄寄送送客客户户。。当用用于于银银行行卡卡网网上上支支付付流流程程时时的的缺缺点点从SSL协议议所所提提供供的的服服务务及及其其工工作作流流程程可可以以看看出出，，SSL协议议运运行行的的基基础础是是商商家家对对消消费费者者信信息息保保密密的的承承诺诺，，这这就就有有利利于于商商家家而而不不利利于于消消费费者者。。在在电电子子商商务务初初级级阶阶段段，，由由于于运运作作电电子子商商务务的的企企业业大大多多是是信信誉誉较较高高的的大大公公司司，，因因此此这这问问题题还还没没有有充充分分暴暴露露出出来来。。但但随随着着电电子子商商务务的的发发展展，，各各中中小小型型公公司司也也参参与与进进来来，，这这样样在在电电子子支支付付过过程程中中的的单单一一认认证证问问题题就就越越来来越越突突出出。。虽虽然然在在SSL3.0中通通过过数数字字签签名名和和数数字字证证书书可可实实现现浏浏览览器器和和Web服务务器器双双方方的的身身份份验验证证，，但但是是SSL协议仍存存在一些些问题，，比如，，只能提提供交易易中客户户与服务务器间的的双方认认证，在在涉及多多方的电电子交易易中，SSL协议并不不能协调调各方间间的安全全传输和和信任关关系。在在这种情情况下，，Visa和MasterCard两大信用用卡公组组织制定定了SET协议，为为网上信信用卡支支付提供供了全球球性的标标准。(SecureElectronicTransaction，SET)SET（SecureElectronicTransaction即安全电电子交易易协议））是美国国Visa和MasterCard两大信用用卡组织织等联合合于1997年5月31日推出的的用于电电子商务务的行业业规范，，其实质质是一种种应用在在Internet上、以信信用卡为为基础的的电子付付款系统统规范，，目的是是为了保保证网络络交易的的安全。。SET妥善地解解决了信信用卡在在电子商商务交易易中的交交易协议议、信息息保密、、资料完完整以及及身份认认证等问问题。安全电子子交易协协议该标准采采用RSA公开密钥钥体制对对通信双双方进行行认证，，采用DES等对称加加密体制制加密要要传输的的信息，，并用数数字摘要要和数字字签名技技术来鉴鉴别信息息的真伪伪及其完完整性，，包括了了信用卡卡在电子子商务中中的交易易协定和和信息保保密、信信息完整整、身份份认证、、数字签签名等技技术，目目前已经经被广为为认可而而成了事事实上的的国际通通用的网网上支付付标准，，其交易易形态将将成为未未来电子子商务的的规范。。SET数据加密密1.SET协议的规规范及功功能①加密算算法的应应用（例例如RSA和DES）；②证书信信息和对对象格式式；③购买信信息和对对象格式式；④认可信信息和对对象格式式；⑤划账信信息和对对象格式式；⑥对话实实体之间间信息的的传输协协议。SET为电子商商务提供供的功能能①信息保保密性。。②数据的的完整性性。③提供交交易者的的身份认认证和担担保。④互操作作性。2.SET协议所涉涉及的角角色①持卡人人。②网上商商店。③发卡银银行。④收单银银行。⑤支付网网关。⑥CA认证中心心。使用SET的网上购购物流程程：①客户通通过网络络浏览器器浏览在在线商家家的商品品目录。。②选择要要购买的的商品；；③填写订订单，包包括欲购购商品名名称、规规格、数数量、交交货时间间及地点点等信息息。订单单通过因因特网发发送给商商家，商商家进行行应答，，并告知知以上订订单货物物单价、、应付款款数额和和交货方方式；④消费者者选择付付款方式式，此时SET开始介入入；3.应用SET的购物流流程⑤消费者者发送给给商家一一个完整整的订单单及其要要求付款款的指令令。在SET中，订单单和付款款指令由由消费者者进行数数字签名名；同时时利用双双重身份份签名技技术，保保证商家家看不到到消费者者的账号号信息。。⑥在线商商家接受受订单后后，向客客户开户户银行请请求支付付，此信信息通过过支付网网关送达达收单银银行，并并进一步步提交发发卡银行行确认。。确认批批准后，，发卡银银行返回回确认信信息，经经收单银银行通过过支付网网关发给给在线商商家；⑦在线商商家发送送订单确确认信息息给客户户，客户户端记录录交易日日志，以以备日后后查考；；⑧在线商商家发送送商品或或提供服服务，并并通知收收单银行行将货款款从客户户账号转转移到商商家账号号，或通通知发卡卡银行请请求支付付。前三步与与SET无关，从从第四步步开始SET起作用，，一直到到第八步步，在处处理过程程中，通通信协议议、请求求信息的的格式、、数据类类型的定定义等，，SET都有明确确的规定定。在操操作的每每一步，，消费者者、商家家、网关关都通过过CA来验证通通信主体体的身份份，以确确保通信信的对方方不是冒冒名顶替替。SET协议的核核心技术术双重数字字签名在我们用用信用卡卡购物时时，我们们作为持持卡人向向商户提提出订购购信息的的同时，，也给银银行付款款信息，，以便授授权银行行付款，，但我们们不希望望商户知知道自己己的账号号的有关关信息，，也不希希望开户户行知道道具体的的消费内内容，只只需按金金额贷记记或借记记账即可可。这其实就就是双重重数字签签名，它它把需要要寄出两两个相关关信息给给接收者者，接收收者只能能打开一一个，而而另一个个只需转转送，不不能打开开看其内内容。这这有效的的保护了了消费者者的隐私私和商家家的商业业机密。。SET协议的核核心技术术双重数字字签名双重签名名的作用用：实现订单信息息和个人账号号信息的隔离。在将包包括持卡卡人账号号信息的的订单送送到卖方方时，商商家只能能看到订订货信息息，而看看不到持持卡人的的账户信信息。双重签名名的实现现步骤(1)发送方对对发给甲甲的信息息1生成数字字摘要1。(2)发送方对对发给乙乙的信息息2生成数字字摘要2。(3)发送方方把数数字摘摘要1和数字字摘要要2链接在在一起起，产产生数数字摘摘要3，并用用私钥钥对其其进行行数字字签名名。(4)发送方方把信信息1、数字字摘要要2和数字字摘要要3的签名名发给给甲。。(5)发送方方把信信息2、数字字摘要要1和数字字摘要要3的签名名发给给乙。。(6)甲收到到信息息后，，对信信息1生成数数字摘摘要，，将其其和收收到的的数字字摘要要2合在一一起，，链接接成新新的数数字摘摘要；；同时时使用用发送送方的的公钥钥对数数字摘摘要3的签名名进行行验证证，以以确定定信息息发送送方的的身份份和信信息是是否被被修改改过。。(7)乙收到到信息息后，，对信信息2生成数数字摘摘要，，将其其和收收到的的数字字摘要要1合在一一起，，链接接成新新的数数字摘摘要；；同时时使用用发送送方的的公钥钥对数数字摘摘要3的签名名进行行验证证，以以确定定信息息发送送方的的身份份和信信息是是否被被修改改过。。4.SET标准的的应用用与局局限性性SET1.0版自1997年推出出以来来推广广应用用较慢慢，没没有达达到预预期的的效果果。最大的的挑战战在于于定期期进行行网上上购物物的消消费者者极少少，原原因主主要是是SET协议为为了保保证安安全性性而牺牺牲了了简便便性、、操作作过于于复杂杂、成成本较较高、、具有有较大大竞争争力的的SSL协议的的广泛泛应用用以及部分经经济发发达国国家的的法律律规定定了持持卡人人承担担较低低的信信用卡卡风险险等。SET协议提提供了了多层层次安安全保保障，，复杂杂程度度显著著增加加；这这些安安全环环节在在一定定程度度上增增加了了交易易的复复杂性性。SET的不不足(l)实现过过程复复杂，，成本本太高高，互互操作作性差差；(2)SET协议目目前只只局限限于卡卡支付付方式式，对对其他他方式式的支支付没没有给给出很很好的的解决决方案案;(3)SET协议只只支持持B2C模式的的电子子商务务，而而不支支持目目前最最具有有前途途和影影响的的B2B电子商商务交交易；；(4)由于对对加密密算法法使用用的限限制，，导致致SET的安全全性还还不够够高，，适应应性较较差；；(5)协议没没有规规定收收单银银行在在给商商家付付款前前，是是否必必须收收到持持卡者者的货货物接接收证证书如如果商商家提提供的的货物物不符符合质质量标标准，，消费费者提提出异异议，，责任任由谁谁承担担；(6)SET技术规范没没有提及在在事务处理理完成后，，如何安全全地保存或或销毁有关关数据。SSL协议与SET协议的比较较1.用户接口：：SSL协议已被浏浏览器和WEB服务器内置置，无需安安装专门软软件；而SET协议中客户户端需安装装专门的电电子钱包软软件，在商商家服务器器和银行网网络上也需需安装相应应的软件。。2.处理速度：：SET协议非常复复杂、庞大大，处理速速度慢。一一个典型的的SET交易过程需需验证电子子证书9次、验证数数字签名6次、传递证证书7次、进行5次签名、4次对称加密密和4次非对称加加密，整个个交易过程程可能需花花费1.5至2分钟；而SSL协议则简单单得多，处处理速度比比SET协议快。3.认证要求：：早期的SSL协议并没有有提供身份份认证机制制，虽然在在SSL3.0中可以通过过数字签名名和数字证证书实现浏浏览器和Web服务器之间间的身份验验证，但仍仍不能实现现多方认证证，而且SSL中只有商家家服务器的的认证是必必须的，客客户端认证证则是可选选的。相比比之下，SET协议的认证证要求较高高，所有参参与SE