《安全电子交易SET及其相关技术》由会员分享，可在线阅读，更多相关《安全电子交易SET及其相关技术（11页珍藏版）》请在金锄头文库上搜索。
1、1安全电子交易 SET 及其相关技术摘要：本文重点阐述了 SET 支付系统中各成员的角色，SET 支付系统中所涉及的相关技术及如何使用这些技术来满足网上支付系统所要求的保密性、数据的完整性、交易的不可否认性和交易各方的身份认证。关键词：SET、对称密钥加密、公钥加密、哈希算法、数字签名、数字信封、CA、支付网关、商家、持卡人、发卡行、收单行。Abstract:This article describes the roles of secure Electronic Transaction (SET) and the relative technologies. It also describe
2、s how to implement SET protocol to meet the needs of Privacy、Authentication、Integrity and Nonrepudiation in the processes of electronic transaction on the Internet.Keyword: SET、symmetric key Cryptography Public key Cryptography、Hash Algorithm、Digital Signature、Digital Envelope、Certificate Authority(
3、CA)、Payment Gateway、Merchant、Card holder、Issuing Band、Acquiring Bank.1安全电子交易 SET 简介SET 是 Secure Electronic Transaction 的简称，即安全电子交易。它是一种在因特网（Internet）上实现安全电子交易的协议标准。SET 最初是由世界上最大的两家信用卡组织 VISA 和 MASTER CARD 合作发起的，它得到了包括 GTE、IBM、Microsoft、Netscape、RSA、SAIC、Terisa和 Verisign 等著名公司的参与和支持。目前，SET 是专为网上支付卡业务
4、安全所制定的唯一的具有现实意义的国际标准。SET 协议确保了网上交易所要求的保密性、数据的完整性、交易的不可否认性和交易的身份认证。SET 协议主要使用的技术包括：对称密2钥加密（Symmetric Key Cryptography）、公钥加密（Public Key Cryptography or Asymmetric Cryptography）、哈希算法（Hash Algorithm）、数字签名（Digital Signature）、数字信封（Digital Envelope）以及数字证书（Digital Certificate）等技术。其中公钥根据其用途可分为公钥签名密钥和公钥密钥交换密钥
5、，前者用于数字签名，后者用于交换随机生成的对称密钥。如图一所示：图一SET 通过使用公钥和对称密钥方式加密，以保证数据的保密性；通过使用数字签名（结合哈希算法）和数字证书实现交易各方的身份认证、数据的完整性和交易的不可否认性。2. SET 支付系统中的成员角色SET 支付系统主要由持卡人（Card holder）、商家（Merchant）、发卡行（Issuing Bank）、收单行（Acquiring Bank）、支付网关（Payment Gateway）及证书授权机构（Certificate Authority）六个部分组成，如图二所示。SET 公钥签名密钥密钥交换密钥私人签名密钥公开签名密
6、钥公开密钥交换密钥私人密钥交换密钥3图二2.1 持卡人（ Card holder ）持卡人是一个网上消费者或客户。SET 支付系统中的网上消费者或客户首先必须是一个信用卡（Credit Card）或借记卡（Debit Card）的持卡人。持卡人要参与网上交易，首先要向所属发卡行申请，经发卡行认可，由发卡行委托第三方中立机构证书授权机构 CA 发给数字证书后,持卡人才具备上网交易资格。持卡人上网交易是由一个嵌入在浏览器中（Netscape Netvigator or Internet Explorer）、电子钱包（Ewallet）来实现。持卡人的电子钱包具有发送、接收信息，存储自身的公钥签名密钥
7、和交易参与方的公开密钥交换密钥，申请、接受和保存认证等功能。除了这些基本功能外，电子钱包还必须支持网上购物的其它功能。如：增InternetCA 4删改信用卡、改变密码口令、检查认证状态、显示信用卡信息和交易历史记录等功能。2.2. 商家（ Merchant ）SET 支付系统中的网上商店的经营者。商家首先必须在收单银行开设帐户，由收单银行负责交易中的清算工作。商家要取得网上交易资格，首先要由收单银行对其进行审定和信用评估，一旦通过审定，收单银行委托证书授权机构 CA 发给商家数字证书后，商家方可网上营业。商家上网必须有商户软件支持。商家软件需能完成服务器和客户机的功能。它必须能处理持卡人的申
8、请和与支付网关进行通信，存储自身的公钥签名密钥和公钥交换密钥以及交易参与方的公开密钥交换密钥，申请和接受认证，与后台数据库进行通信及保留交易记录。2.3支付网关（Payment Gateway）支付网关一边连接因特网，一边通过银行网络与收单银行相接。它完成 SET 协议和现存银行交易系统协议 ISO8583 之间的信息格式转换，实现传统银行网络上的支付功能在因特网上的延伸。SET 支付系统中的支付网关首先必须由收单银行授权，再由 CA 发放数字证书，方可参与网上支付活动。支付网关具有以下功能：确认商家、解密从持卡人处得到的支付指令、验证持卡人的证书与在购物中所使用的帐号是否匹配、验证持卡人和商
9、家申请信息的完整性、签署数字响应等功能。2.4证书授权机构（Certificate Authority）证书授权机构简称 CA，有时也称认证授权机构。它是参与交易各方都信任的第三方中立组织。它接受发卡行和收单行的委托，对持卡人、商家和支付网关发放数字证书，供交易中的所有成员作为身份证明。SET 协议支持以下几种证书的发放，其中前三项对商家交易具有直5接意义, 后三项证书反映了 CA 层次之间的相互信任关系。1持卡人对每一种支付卡都要有唯一的证书。2商家对处理每一种的卡品牌都要有唯一的证书。3支付网关对每一种处理的卡品牌都要唯一的证书。4地区 CA按行政区划分的 CA5品牌 CA（Brand C
10、A）信用卡或借记卡的专有品牌。如国际上的 VISA 卡、MASTER 卡 和国内的工行牡丹卡、建行的龙卡等。6. 根 CA（Root CA）CA 体系结构中的最高层的全球性认证授权机构，所有的其它认证授权机构都在它之下。SET 设计的本意是建立全球单一的认证授权机构，为客户、商家和金融机构提供全球认证。不过这很难实现。但幸运的是 SET 协议支持多层认证，只要交易各方都能追踪回同样的根，SET 交易就能成功进行。CA 除发证功能外，必须能够处理认证请求，以确定证书的有效性并将认证信息传递给持卡人、商家、支付网关。CA 的其它功能还有证书的更新、撤消等功能。CA 的层次结构见附图三。6图三3.
11、SET 相关技术SET 使用多种的密钥技术来达到安全交易的要求，其中对称密钥技术、公钥技术和哈希算法是其核心。综合应用以上三种技术产生了数字签名、数字信封、数字证书等新概念。3.1. 对称密钥加密（Symmetric Key Cryptography）对称密钥加密算法给一条信息加密，发送者和接入者都用同一密钥完成加密和解密过程。SET 协议缺省使用由 IBM 公司发明的 DES（Data Encryption Standard）标准。DES 将数据分隔成 64 比特的数据块，用 56比特的密钥对其进行一系列的数学变换产生密文，然后接收者用同一密钥将密文解成明文。对称密钥加密的优点是加密、解密效
12、率高，适用大数据量加解密。其缺点是密钥没有安全的方式传递，容易被截获，不能适应大范围应用。CACA()持卡人 CA商户 CA网关 CA持卡人商户CA73.2公钥加密（Public Key Cryptography）公钥加密算法用一对密钥对数据进行加密和解密。一个密钥称为公开密钥（Public Key）,另一密钥称为私人密钥（Private Key）。其特点是用任一密钥加密的信息，只能由与之成对的另一密钥才能解开。使用者可以任意散发公开密钥，这是由两个密钥间的关系所决定的。任何收到公开密钥的用户可以确保以公开密钥加密后的密文，只有通过私人密钥才能解密。但是这只有在私人密钥没有泄露的情况下才能实现
13、。一般密钥对应该由用户产生，才能确保安全。目前只有一种通用的公钥加密算法是 RSA。RSA 它以发明者的姓名的首字母命名（Rivest、Shamir、Adleman），它的优点是密钥分发不用加密，适合在大范围使用。其缺点是加解密速度慢，比 DES 算法慢十倍以上，所以它只适用于少量数据的加密和用于对称密钥的传递。RSA 的密钥长度可从512 比特至 2048 比特。SET 中使用两种长度，1024 比特、2048 比特，以满足不同等级的加密要求。3.3哈希算法（Hash Algorithm）哈希算法并不是加密算法，但却能产生信息的数字“指纹”，主要用途是为了确保数据没有被篡改或变化过，以确保数
14、据的完整性。Hash算法有三个特性：1能处理任意大小的信息，并生成固定长度（160 比特）的信息摘要(Message Digest)。2具有不可预见性。信息摘要的大小与原始信息的大小没有任何联系。源信息的一个微小变化都会对信息摘要产生很大的影响。3具有不可逆性。没有办法通过信息摘要直接恢复原信息。SET使用 SHA1 安全哈希算法（Secure Hash Algorithm）。83.4数字签名（Digital Signature）首先将要发送的信息通过 Hash 算法形成信息摘要，然再用发送者的私人密钥加密，生成的结果附加到原信息上去，就生成了原信息的数字签名。信息接收者收到发送的数字签名后，
15、首先用发送者的公开密钥将信息摘要解密，然后将收到的原信息通过 Hash 算法得新的信息摘要。比较解密后的信息摘要和新生成的信息摘要，如果是一致的，则说明：1接受的信息与发出来的信息是一致的，没有被篡改过。2信息的确是对方发出的，因为只有对方才拥有自己的私人密钥，具有不可抵赖性。当你需要发送一份无需加密的信息，但却想向接收者示意你的身份的真实性时，数字签名是十分有用的。3.5. 数字信封发送方将随机产生的对称密钥用接收方的公开密钥交换密钥加密就形成了数字信封。数字信封用于传递对称密钥给接收方，接收方用私人交换密钥解开数字信封后得到对称密钥，才可将发送方的密文解开。3.6. 数字证书公钥加密解决了
16、发送者和接收者之间的密钥分发问题。公开密钥可以被任何人看到，但对入侵者是毫无用处的，除非他的窃得私人密钥。但在安全环节中忽略一个问题：接收者怎样确认他接收的公开密钥的确来自所声称的发送方，而不是伪造的呢？由此就需要设立交易各方都信任的第三方机构 CA 对公开密钥的有效性进行认证，以确定公共密钥拥有者的真实身份。数字证书的概念由此产生。数字证书就是由交易各方都信任的第三方机构 CA 发放的，证明拥有者公开密钥有效性的凭证。数字证书包含拥有者的公开密钥、详细个人资料（包括持卡人的银行帐号）的信息摘要及证书签发机构的数字签名。但在 Internet 网上证书是9漫天飞的，仅有证书还不能确定发送者的真实身份的，因此 SET 协议规定，能够证明发送者真实身份的只有证书拥有者的数字签名。4. SET 的加、解密过程图四表示了甲方（发送方）运用 SET 协议发送一信息给乙方（
