信息安全技术安全协议

第13章

安全协议主要内容安全协议概述IPsec协议SSL协议安全电子交易协议SET13.1安全协议基本概念协议

协议是指两个或多个以上参与者为完成某项特定的任务而采取的一系列步骤。通信协议通信协议是指通信各方关于通信如何进行所达成的一致性规则，即由参与通信的各方按确定的步骤做出一系列通信动作，是定义通信实体之间交换信息的格式及意义的一组规则。包括语法、语义和同步三大要素。

安全协议基本概念安全协议安全协议是指通过信息的安全交换来实现某种安全目的所共同约定的逻辑操作规则。网络安全通信协议

属于安全协议，是指在计算机网络中使用的具有安全功能的通信协议。TCP/IP安全分析由于TCP/IP协议簇在早期设计时是以面向应用为根本目的的，因此未能充分考虑到安全性及协议自身的脆弱性、不完备性，导致网络中存在着许多可能遭受攻击的漏洞。

TCP/IP安全分析网络层协议的安全隐患IP协议在实现通信的过程中并不能为数据提供完整性和机密性保护，缺少基于IP地址的身份认证机制，容易遭到IP地址欺骗攻击。传输层协议的安全隐患

TCP协议的安全隐患：服务器端维持大量的半连接列表而耗费一定的资源。序列号可计算UDP协议的安全隐患

不确认报文是否到达不进行流量控制不作纠错和重传TCP/IP安全分析应用层协议的安全隐患大部分协议以超级管理员的权限运行，一旦这些程序存在安全漏洞且被攻击者利用，极有可能取得整个系统的控制权。许多协议采用简单的身份认证方式，并且在网络中以明文方式传输。

TCP/IP的安全体系结构SNMPPGPS/MIMEPEMSETIKETELNETHTTPSX.509RIPv2SNMPv3BGP-4SSLTLSTCPUDPIPsec（AH）IPsec（ESP）IPPPTPL2TPPPPL2F硬件设备驱动程序及介质介入协议应用层传输层网络层链路层13.2IPsec协议IPsec（IPSecurity）产生于IPv6的制定之中，用于提供IP层的安全性。IPsec（InternetProtocolSecurity,Internet协议安全）通过AH（AuthenticationHeader，验证报头）和ESP（EncapsulatingSecurityPayload，封装安全有效负载）两个安全协议分别为IP协议提供了基于无连接的数据完整性和数据保密性。基本概念和术语安全关联为了正确封装和提取IPsec的数据包，有必要采取一套专门的方案，将安全服务、密钥等与要保护的通信数据联系在一起，这样的构建方案称为安全关联（SecurityAssociation，SA）。SA是发送者和接收者两个IPsec系统之间的一个单向逻辑连接，若要在一个对等系统间进行源和目的的双向安全通信，则需要两个SA。

安全关联SA通过一个三元组（安全参数索引SPI、目的IP地址和安全协议AH或ESP）来唯一标识。实现IPsec必须维护这两个数据库：安全策略数据库：对所有出/入业务应采取的安全策略安全关联数据库：为进入和外出包处理维持一个活动的SA列表基本本概概念念和和术术语语隧道道把一一个个包包封封装装在在另另一一个个新新包包中中，，整整个个源源数数据据包包作作为为新新包包的的有有效效载载荷荷部部分分，，并并在在前前面面添添加加一一个个新新的的IP头头。。对IPsec而而言言，，IP隧隧道道的的直直接接目目标标就就是是对对整整个个IP数数据据包包提提供供完完整整的的保保护护。。Internet安安全全关关联联和和密密钥钥管管理理协协议议InternetSecurityAssociationandKeyManagementProtocol，，ISAKMP为Internet环环境境下下安安全全协协议议使使用用的的安安全全关关联联和和密密钥钥的的创创建建定定义义了了一一个个标标准准通通用用框框架架，，定定义义了了密密钥钥管管理理表表述述语语言言通通用用规规则则及及要要求求。。基本本概概念念和和术术语语解释释域域DomainofInterpretation，，DOI是Internet编编号号分分配配机机构构IANA给给出出的的一一个个命命名名空空间间。。为为使使用用ISAKMP进进行行安安全全关关联联协协商商的的协协议议统统一一分分配配标标识识符符。。共享享一一个个DOI的的协协议议从从一一个个共共同同的的命命名名空空间间中中选选择择安安全全协协议议和和密密码码变变换换、、共共享享密密钥钥以以及及交交换换协协议议标标识识符符等等，，从从而而能能使使用用相相同同DOI的的协协议议对对该该DOI下下的的载载荷荷数数据据内内容容做做出出统统一一的的解解释释。。IPsec组组成成AuthenticationHeader（（AH，，验验证证报报头头））协协议议定义义了了认认证证的的应应用用方方法法，，提提供供数数据据源源认认证证和和完完整整性性保保证证；；EncapsulatingSecurityPayload（（ESP，，封封装装安安全全有有效效负负载载））协协议议定义义了了加加密密和和可可选选认认证证的的应应用用方方法法，，提提供供可可靠靠性性保保证证。。InternetKeyExchange（（IKE，，密密钥钥的的交交换换标标准准））协协议议。。用于于密密钥钥交交换换。。AH协协议议AH的的工工作作原原理理：：在每每一一个个数数据据包包上上添添加加一一个个身身份份验验证证报报头头。。此此报报头头包包含含一一个个被被加加密密的的hash值值（（可可以以将将其其当当作作数数字字签签名名，，只只是是它它不不使使用用证证书书）），，此此hash值值在在整整个个数数据据包包中中计计算算，，因因此此对对数数据据的的任任何何更更改改将将导导致致hash值值无无效效，，这这样样就就提提供供了了完完整整性性保保护护。。AH报报头位位置在在IP报头头和传传输层层协议议头之之间。。AH由协协议号号“51””标识识AH报报头结结构081631下一个头保留安全参数索引序列号认证数据载荷长度（1））下一一个头头（NextHeader）：：8位位，标标识下下一个个使用用IP协议议号的的报头头类型型，其其取值值在RFC1700中定定义。。（2））载荷荷长度度（PayloadLength））：8位，，表示示以32位位为单单位的的AH头的的长度度减2。（3））保留留（Reserved））：16位位，供供将来来使用用。值值为0。（4））安全全参数数索引引（SecurityParametersIndex，SPI）：：这是是一个个为数数据报报识别别安全全关联联SA的32位位伪随随机值值。（5））序列列号（（SequenceNumber））：从从1开开始的的32位单单增序序列号号，不不允许许重复复，唯唯一地地标识识了每每一个个发送送数据据包，，为安安全关关联提提供反反重播播保护护。（6））认证证数据据（AuthenticationData，AD））：长长度可可变，，但必必须是是32位的的整数数倍，，默认认长度度为96位位。包包含了了数据据包的的完整整性校校验值值ICV。。ESP协议议ESP的作作用是是提供供机密密性保保护、、有限限的流流机密密性保保护、、无连连接的的完整整性保保护、、数据据源认认证和和抗重重放攻攻击等等安全全服务务。ESP提供供和AH类类似的的安全全服务务，但但增加加了数数据机机密性性保护护和有有限的的流机机密性性保护护等两两个额额外的的安全全服务务。ESP可以以单独独使用用，也也可以以和AH结结合使使用。。一般般ESP不不对整整个数数据包包加密密，而而是只只加密密IP包的的有效效载荷荷部分分，不不包括括IP头。。但在在端对对端的的隧道道通信信中，，ESP需需要对对整个个数据据包加加密。。ESP数据据包格格式认证覆覆盖范范围保密性性覆盖盖范围围08162431安全参参数索索引序列号号认证数数据载荷数数据（（变长长）下一个个头填充项项长度度填充项项（1））安全全参数数索引引（SPI）：：32位整整数。。它和和IP头的的目的的地址址、ESP协议议一起起用以以唯一一标识识对这这个包包进行行ESP保保护的的SA。（2））序列列号（（SequenceNumber））：从从1开开始的的32位单单增序序列号号，不不允许许重复复，唯唯一地地标识识了每每一个个发送送数据据包（3））载荷荷数据据：长长度不不固定定，所所包含含的是是由下下一个个头字字段所所指示示的数数据（（如整整个IP数数据包包、上上层协协议TCP或UDP报文文等））（4））填充充项（（Padding））：如如果加加密算算法要要求明明文是是某个个数字字的整整数倍倍，则则通过过填充充可将将明文文扩充充到所所需要要的长长度。。另外外，通通过填填充可可以隐隐藏载载荷数数据的的实际际长度度，从从而对对流量量提供供部分分的保保密性性。（5））填填充充项项长长度度（（PaddingLength））：：8位位，，表表明明填填充充项项字字段段中中填填充充以以字字节节为为单单位位的的长长度度。。（6））下下一一个个头头（（NextHeader））：：识识别别下下一一个个使使用用IP协协议议号号的的报报头头，，如如TCP或或UDP。。（7））认认证证数数据据（（AuthenticationData））：：长长度度不不固固定定，，存存放放的的是是完完整整性性校校验验值值ICV。。IKE协协议议IKE的的基基础础是是ISAKMP，，Oakley和和SKEME三三个个协协议议，，它它沿沿用用了了ISAKMP的的基基础础，，Oakley的的模模式式以以及及SKEME的的共共享享和和密密钥钥更更新新技技术术。。使用用了了两两个个交交换换阶阶段段，，阶阶段段一一用用于于建建立立IKESA，，阶阶段段二二利利用用已已建建立立的的IKESA为为IPsec协协商商具具体体的的一一个个或或多多个个安安全全关关联联，，即即建建立立IPsecSA。。IKE允允许许四四种种认认证证方方法法，，分分别别是是基基于于数数字字签签名名的的认认证证、、基基于于公公钥钥加加密密的的认认证证、、基基于于修修订订的的公公钥钥加加密密的的认认证证和和基基于于预预共共享享密密钥钥的的认认证证。。IPsec的的工工作作模模式式传输输模模式式采用用传传输输模模式式时时，，原原IP数数据据包包的的首首部部之之后后的的数数据据会会发发生生改改变变，，通通过过增增加加AH或或ESP字字段段来来提提供供安安全全性性，，但但原原IP首首部部不不变变。。AH传传输输模模式式ESP传传输输模模式式隧道道模模式式隧道道模模式式的的保保护护对对象象是是整整个个IP包包。。在在AH或或ESP字字段段加加入入到到IP分分组组后后，，还还要要加加上上一一个个新新的的首首部部，，原原数数据据包包加加上上安安全全字字段段成成为为新新数数据据包包的的载载荷荷，，因因此此得得到到了了完完全全的的安安全全性性保保护护。。AH隧隧道道模模式式ESP隧隧道道模模式式AH传传输输模模式式除变变长长字字段段外外都都要要认认证证AH传传输输模模式式下下IPv4封封包包：：原IPv4封封包包：：IP头头TCP/UDP头数据原IP头TCP/UDP头数据AH头头ESP传输输模式式加密ESP传输输模式式下IPv4封封包：：原IPv4封包包：IP头头TCP/UDP头数据原IP头TCP/UDP头数据ESP头ESP尾部部ESP认证证数据据认证AH隧隧道模模式除新IP头头变长长字段段外都都要认认证原IPv4封包包：IP头头TCP/UDP头数据AH传传输模模式下下IPv4封包包：新IP头AH头头原IP头TCP/UDP头数据ESP隧道道模式式加密ESP传输输模式式下IPv4封封包：：原IPv4封封包包：：IP头头TCP/UDP头头数据据新IP头头TCP/UDP头头数据据ESP头头ESP尾尾部部ESP认认证证数数据据认证证原IP头头IPsec的的应应用用目前前IPsec最最主主要要的的应应用用就就是是构构建建安安全全的的虚虚拟拟专专用用网网。。虚拟拟专专用用网网(VirtualPrivateNetwork，，VPN)是是一一条条穿穿过过公公用用网网络络的的安安全全、、稳稳定定的的隧隧道道。。通通过过对对网网络络数数据据的的封封包包和和加加密密传传输输，，在在一一个个公公用用网网络络（（通通常常是是因因特特网网））建建立立一一个个临临时时的的、、安安全全的的连连接接，，从从而而实实现现在在公公网网上上传传输输私私有有数数据据，，达达到到私私有有网网络络的的安安全全级级别别。。基于于IPsec的的VPNIPSecVPN的的不不足足最早早出出现现的的具具有有加加密密功功能能的的VPN是是IPSecVPN。。虽虽然然IPSecVPN简简单单高高效效，，但但在在实实现现远远程程接接入入时时存存在在以以下下一一些些弱弱点点：：网络络的的互互联联性性不不好好客户户端端使使用用和和维维护护困困难难访问问权权限限管管理理粒粒度度较较粗粗InternetNATFirewallVPN网关部门1部门2部门3WindowsXPWindowsVistaLinuxMacPDAiPhoneSSLVPN产产生生的的背背景景对于于IPSecVPN在在实实现现远远程程接接入入方方面面存存在在的的问问题题，，SSLVPN可可以以很很好好地地给给予予解解决决：：网络络互互联联性性：：SSL工工作作在在TCP层层，，不不会会受受NAT和和防防火火墙墙的的影影响响。。客户户端端的的维维护护：：借借助助浏浏览览器器，，实实现现客客户户端端的的自自动动安安装装和和配配置置。。访问问权权限限管管理理：：解解析析应应用用层层协协议议，，进进行行高高细细粒粒度度地地访访问问控控制制。。InternetNATFirewallVPN网关部门1部门2部门3WindowsXPWindowsVistaLinuxMacPDAiPhone13.3SSL协协议议SSL协协议议是是一一个个传传输输层层安安全全协协议议。。SSL协协议由Netscape公司司于1994年年11月月提出并并率先实实现，即即SSLV2.0Internet-Draft版版本1996年3月月推出了了SSLV3.0Internet-Draft版版本,最最终被IETF所采纳纳，并制制定为传传输层安安全标准准。工作在传传输层之之上，应应用层之之下，其其底层是是基于传传输层可可靠的流流传输协协议（如如TCP）HTTPTelnetSMTPTCPSSLIPFTPSSL协协议简介介SSL：：英文“SecureSocketLayer”，中中文“安安全套接接字”协协议。SSL协协议是一一种工作作在TCP层之之上的，，用于安安全传输输数据的的加密协协议。SSL协协议可以以提供以以下功能能：加密的数数据传输输支持用数数字签名名验证通通讯双方方的身份份抗攻击，，如重播播(replay)、、中间人人(man-in-middle)等。面向应用用程序的的API接口，，便于SSL协协议在客客户端和和服务器器端部署署。SSL协协议简介介—工作作模型SSL协协议在使使用方面面的特点点：SSL协协议对上上层应用用提供端端到端的的，有连连接的加加密传输输服务。。SSL协协议采用用了C/S架构构的通讯讯模式。。SSL服服务器端端作为一一种TCP服务务，监听听443号端口口，接收收建立SSL连连接的请请求报文文。TCPUDPIPSSLClientApplicationTCPUDPIPSSLServerApplicationSSL协议TCP协议应用层协议SSL协协议简介介—协议议架构SSL协协议包含含两层：：握手层：：负责建建立SSL连接接记录层：：负责对对报文进进行加解解密记录层协议握手层记录层ApplicationTCPSSL层SSLAPI密钥改变协议握手协议告警协议SSL协协议简介介—记录录层SSL记记录层提提供下列列功能：：保证数据据传输的的私密性性。对传传输数据据进行加加密和解解密。保证数据据传输的的完整性性。计算算和验证证报文的的消息验验证码。。对传输数数据的压压缩。目目前压缩缩算法为为空。对上层提提供可靠靠保序的的有连接接服务。。加密数据据报文类型型版本长度长度（字字节）1字节2字节2字节MAC报文类型型：密钥钥改变协协议(20)，告警警协议(21)，握手手协议(22)，应应用层数数据(23)版本：TLS1.0(3,1)，SSL3.0(3,0)长度：记记录层报报文的长长度，包包括加密密数据和和MAC值的字字节数。。MAC：：整个记记录报文文的消息息验证码码，包括括从报文文类型开开始的所所有字段段。SSL记记录层的的报文格格式：SSL协协议简介介—握手手层SSL握握手层提提供下列列功能：：协商加密密能力协议版本本、加密密套件、、压缩算算法。协商密钥钥参数：：块加密：：初始化化向量(IV)、加密密密钥、、HMAC密钥钥。流加密：：流初始始状态、、HMAC密钥钥。验证对方方身份(可选)建立并维维护SSL会话话SSL协协议简介介—握手手过程SSL握握手协议议提供了了三种握握手过程程：无客户端端身份认认证的全全握手过过程全握手过过程是指指一个完完整的SSL连连接建立立过程，，在其中中需要协协商出新新的会话话参数。。“无客客户端认认证”是是指在该该过程中中服务器器端并不不验证客客户端的的身份。。有客户端端身份认认证的全全握手过过程服务器端端可以通通过此过过程利用用数字签签名来验验证用户户的真实实身份。。会话恢复复过程由于SSL全握握手过程程涉及到到较多的的复杂计计算，耗耗时较多多。为提提高建立立SSL连接的的效率，，SSL协议提提供了会会话恢复复机制，，使得后后面建立立的SSL连接接可以利利用以前前连接的的会话参参数，避避免了重重新协商商的过程程。SSL协协议简介介—无客客户端认认证的全全握手过过程clientserverClientHelloServerHelloServerCertificate*ServerKeyExchange*ServerHelloDone*[ChangeCipherSpec]FinishedApplicationData客户端支支持的最最高版本本，加密密套件列列表，压压缩算法法列表，，客户端端随机数数，会话话ID=0服务器同同意的版版本，加加密套件件，压缩缩算法、、会话ID、服务务器端随随机数服务器的的证书服务器端端密钥交交换的附附加信息息通知对方方服务器器端握手手消息发发完客户端产产生的PreMasterKey密密钥参数数通知对方方本端开开始启用用加密参参数通知对方方本端开开始启用用加密参参数发送客户户端计算算握手过过程的验验证报文文发送自己己计算握握手过程程验证报报文传送送应应用用层层数数据据ClientKeyExchangeFinishedApplicationData[ChangeCipherSpec]SSL协协议议简简介介——有有客客户户端端认认证证的的全全握握手手过过程程clientserverClientHelloServerHelloServerCertificate*ServerKeyExchange*ServerHelloDone*[ChangeCipherSpec]FinishedApplicationData前面所有握手消息的数字签名传送应用层数据ClientKeyExchangeFinishedApplicationDataCertificateRequest*Certificate*CertificateVerify*[ChangeCipherSpec]向客户端索要证书客户端的证书SSL协协议议简简介介——会会话话恢恢复复过过程程clientserverClientHelloServerHello[ChangeCipherSpec]FinishedApplicationData客户端支持的最高版本，加密套件列表，压缩算法列表，客户端随机数，上次SSL连接使用的会话ID服务器同意的版本，加密套件，压缩算法、会话ID、服务器端随机数通知对方本端开始启用加密参数通知对方本端开始启用加密参数发送客户端计算出的握手过程的验证报文发送服务器端计算出的握手过程验证报文传送应用层数据FinishedApplicationData[ChangeCipherSpec]SSL安安全全协协议议主主要要提提供供三三方方面面的的服服务务客户户和和服服务务器器的的合合法法性性认认证证加密密数数据据以以隐隐藏藏被被传传送送的的数数据据保护护数数据据的的完完整整性性SSL安安全全通通信信过过程程（1））接接通通阶阶段段：：客户户机机通通过过网网络络向向服服务务器器打打招招呼呼，，服服务务器器回回应应；；（2））密密码码交交换换阶阶段段：：客户户机机与与服服务务器器之之间间交交换换双双方方认认可可的的密密码码，，一一般般选选用用RSA密密码码算算法法，，也也有有的的选选用用Diffie-Hellmanf和和Fortezza-KEA密密码码算算法法；；（3））会会谈谈密密码码阶阶段段：：客户户机机与与服服务务器器间间产产生生彼彼此此交交谈谈的的会会谈谈密密码码；；（4））检检验验阶阶段段：：客户户机机检检验验服服务务器器取取得得的的密密码码；；（5））客客户户认认证证阶阶段段：：服务务器器验验证证客客户户机机的的可可信信度度；；（6））结结束束阶阶段段：：客户户机机与与服服务务器器之之间间相相互互交交换换结结束束的的信信息息。。SSL协协议议的的分分层层结结构构SSL协协议议具具有有两两层层结结构构，，其其底底层层是是SSL记记录录协协议议层层（（SSLRecordProtocolLayer）），，简简称称记记录录层层。。其其高高层层是是SSL握握手手协协议议层层（（SSLHandshakeProtocolLayer）），，简简称称握握手手层层。。应用层协议（HTTP、Telnet、FTP、SMTP等）SSL握手协议（HandshakeProtocol）SSL记录协议（RecordProtocol）TCP协议IP协议SSL协议会话话与与连连接接Connection(连连接接)：：一个个在在传传输输层层协协议议上上的的传传输输媒媒介介，，它它提提供供一一个个适适当当的的服服务务。。连连接接建建立立在在会会话话的的基基础础上上，，每每个个连连接接与与一一个个会会话话相相关关联联，，并并对对应应到到一一个个会会话话。。Session(会话话)：：SSL会话话建立立客户户与服服务器器之间间的一一个关关联（（Association））。每每一组组客户户端与与服务务器之之间就就是一一个SSLsession。这这些会会话定定义一一组以以密码码为基基础的的安全全性参参数，，这些些参数数能够够由多多个连连接来来共同同使用用。连接1连接1连接2连接2…………连接n连接n会话SSL握手手协议议Handshake协议议用来来让客客户端端及服服务器器确认认彼此此的身身份。。协助助双方方选择择连接接时所所使用用的加加密算算法、、MAC算算法、、及相相关密密钥。。Handshake由一一些客客户与与服务务器交交换的的消息息所构构成，，每一一个消消息都都含有有以下下三个个字段段：类型(Type)，，1个个字节节：表表示消消息的的类型型，总总共有有十种种。长度(Length)，，3个个字节节：消消息的的位组组长度度。内容(Content)，大大于或或等于于1个个字节节，与与此消消息有有关的的参数数。SSLHandshake协议议消息息类型型消息种类参数hello_requestclient_helloserver_hellocertificateserver_key_exchangecertificate_requestserver_donecertificate_verifyclient_key_exchangefinishedNullVersion,random,sessionid,ciphersuite,compressionmethodVersion,random,sessionid,ciphersuite,compressionmethod一连串的X.509v3的证书Parameters,signatureType,authoritiesNullSignatureParameters,signatureHashvalue客户端端与服服务器器产生生一条条新连连接所所要进进行的的初始始交换换过程程包括括四个个阶段段，即即建立立安全全能力力、服服务器器认证证与密密钥交交换、、客户户端认认证与与密钥钥交换换、完完成。。SSL记录录协议议SSL记录录协议议为每每一个个SSL连连接提提供以以下两两种服服务：：机密性性(Confidentiality)：：SSL记录录协议议会协协助双双方产产生一一把共共有的的密钥钥，利利用这这把密密钥来来对SSL所传传送的的数据据做传传统式式加密密。消息完完整性性(MessageIntegrity)：：SSL记录录协议议会协协助双双方产产生另另一把把共有有的密密钥，，利用用这把把密钥钥来计计算出出消息息认证证码。。SSL记录录协议议运作作模式式ApplicationdataFragmentCompressAddMACEncryptAppendSSLrecordheaderSSL协议议安全全性分分析SSL协议议自身身的缺缺陷客户端端假冒冒SSL协议议无法法提供供基于于UDP应应用的的安全全保护护SSL协议议不能能对抗抗通信信流量量分析析针对基基于公公钥加加密标标准(PKCS)协协议的的自适适应选选择密密文攻攻击进程中中的主主密钥钥泄漏漏磁盘上上的临临时文文件可可能遭遭受攻攻击SSL协议议安全全性分分析不规范范应用用引起起的问问题对证书书的攻攻击和和窃取取中间人人攻击击安全盲盲点IE浏浏览器器的SSL身份份鉴别别缺陷陷SSLVPN与IPSecVPN的比比较远程访问的安全需求IPSecVPNSSLVPN安全性传输加密各种常见算法各种常见算法身份认证种类少，强度不高。种类多，强度高。权限管理粒度粗粒度细防病毒入侵难以实施可以实施易于接入任何地点网络互联性不好网络互联性好任何设备客户端兼容性不好客户端兼容性好易于使用免安装预先安装免安装或自动安装免维护手工配置自动配置运行易于集成认证集成支持的种类少，与原有认证系统较难集成。支持的种类多，与原有认证系统易于集成。应用集成支持各种IP应用支持各种IP应用13.4安安全全电子子交易易协议议SETSET协议议（SecureElectronicTransaction，安安全电电子交交易））是由由VISA和MasterCard两大大信用用卡公公司联联合推推出的的规范范。SET主要要是为为了解解决用用户、、商家家和银银行之之间通通过信信用卡卡支付付的交交易而而设计计的，，以保保证支支付命命令的的机密密、支支付过过程的的完整整、商商户及及持卡卡人的的合法法身份份，以以及可可操作作性。。SET中的的核心心技术术主要要有公公钥加加密、、数字字签名名、数数字信信封、、数字字证书书等。。SET是是应用层层的安全全协议。。SET提提供的服服务给所有参参与交易易的每一一方提供供一个安安全的通通信管道道。使用X.509v3数数字证书书来提供供可信赖赖的服务务。确保交易易的隐密密性。唯唯有必要要的时候候，才会会在必要要的场所所提供给给交易双双方所需需的信息息。SET交交易分为为三个阶阶段第一阶段段为购买买请求阶阶段，持持卡人与与商家确确定所用用支付方方式的细细节第二阶段段是支付付的认定定阶段，，商家与与银行核核实，随随着交易易的进行行，他们们将得到到支付第三阶段段为收款款阶段，，商家向向银行出出示所有有交易的的细节，，然后银银行以适适当方式式转移货货款。在整个交交易过程程中，持卡人只只和第一一阶段有有关，银银行与第第二、第第三阶段段有关，，而商家家与三个个阶段都都要发生生联系。。每个阶段段都要使使用不同同的加密密方法对对数据加加密，并并进行数数字签名名。SET交交易的参参与者SET规规范的交交易模式式中，所所参与的的个体包包括持卡卡人、特特约商店