《网络与信息安全课件201112129.Internet安全协议SET》由会员分享，可在线阅读，更多相关《网络与信息安全课件201112129.Internet安全协议SET（61页珍藏版）》请在金锄头文库上搜索。
1、第五章 Internet安全协议SET,SET 协议 Dual Signature SET协议应用,收单行,客户,商家,签发行,关于电子支付的思考,商家与用户之间如何认证？ 如何防止商家不使用用户个人信息进行有损用户利益的活动？ 网上欺诈行为 骚扰行为 给商家发订单信息，给银行发支付信息，即这两个信息如何关联？ 如何出现了有损用户利益的活动，如何补偿？,计算机网络安全概论,4,计算机网络安全概论,5,安全电子交换协议SET,SET （Secure Electronic Transaction）是由Visa和MasterCard两大信用卡组织联合开发的电子商务安全协议 它是一种基于消息流的协议，
2、用来保证公共网络上银行卡支付交易的安全性，因而成为Internet上进行在线交易的电子付款系统规范 它采用公钥密码体制和X.509数字证书标准，主要应用于B to C模式中保障支付信息的安全性。SET协议本身比较复杂，设计比较严格，安全性高，它能保证信息传输的机密性、真实性、完整性和不可否认性。SET协议是PKI框架下的一个典型实现，也是一个基于可信的第三方认证中心的方案,计算机网络安全概论,6,安全电子交换协议SET,SET 不是一个付款系统,而是一组安全协议和格式,使用户可以安全地在Internet上采用信用卡付款的基础结构，SET提供以下服务： 在参与电子商务事务的各方之间提供安全的通信
3、信道 用数字证书提供鉴别，建立了交易实体间的信任机制 保证保密性（隐私保护），只在参与事务的各方提供信息，只在需要时对其提供信息,计算机网络安全概论,7,SET协议的目标,信息在Internet上的安全传输，保证网上传输的数据不被黑客窃听 订单信息和个人账号信息的隔离，在将包括消费者账号信息的订单送到商家时，商家只能看到订货信息，而看不到消费者的账户信息 消费者和商家的相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保 要求软件遵循相同的协议和消息格式，使不同厂家开发的软件具有兼容和互操作功能，并且可以运行在不同的硬件和操作系统平台上,计算机网络安全概论,8,SET
4、关键特性,信息机密性。可以防止商家得到持卡人的信用卡号。使用常规的加密机制来保障机密性的要求。 数据完整性。持卡人发给商家的支付信息包括订单信息、个人数据和支付命令，SET保障了这些数据在传输过程中不会被更改，RSA数字签名（SHA1散列）保证数据完整性，某些数据的完整性也可以由使用SHA1的HMAC来得到保证。,计算机网络安全概论,9,SET关键特性,持卡人帐户认证：SET有能力让商家对持卡人是否为某帐号的合法用户进行认证，这通过使用X.509 v3数字证书来实现的。 商家认证：SET有能力让持卡人对商家的身份进行认证，验证商家和某金融机构具有某种关系使其可以接受信用卡支付，SET使用X.5
5、09 v3数字证书来实现的。,计算机网络安全概论,10,SET协议中的参与者,持卡人：消费者和团体购买者通过Internet与商家交流，购买商品和服务。 持卡人通过由发卡机构颁发的付款卡(例如信用卡、借记卡)进行结算，这些卡是通过签发人签发的。 在持卡人和商家的会话中，SET可以保证持卡人的个人帐号信息不被泄漏 商家：提供商品或服务，商家与收款人建立关系，从Internet上收款 签发人：是银行之类的财务机构，向持卡人提供付款卡 关键的是签发人最终负责为持卡人付款,计算机网络安全概论,11,SET协议中的参与者,收单行：又称为支付者，通常为银行，作用是为商家建立帐户，并且处理付款卡授权与付款业
6、务 商家接受多个品牌的信用卡，但不想和多个银行卡组织或签发人打交道 收款人为商家提供保险（在签发人的帮助下），保证特定持卡人账号有效和赎买量没有超出其信用额度 向商家账户提供电子转账 支付网关：由一个收单行操作的设备或者是指定的第三方，实现对支付信息从Internet到银行内部网络的转换，用来处理商家的支付信息和持卡人的支付指令，并对商家和持卡人进行身份认证。 CA：为参与电子交易的各方颁发证书，提供权威的身份认证。,计算机网络安全概论,12,SET Network,计算机网络安全概论,13,SET协议中的参与者,SET 定义了支持电子支付协议 SET 同时定义了证书的管理过程,计算机网络安全
7、概论,14,Using SET in E-commerce Transactions,计算机网络安全概论,15,Card Holder,How SET with Credit Card Works,Merchant Server,Acquiring Bank,Card Issuer Bank,8,7,6,5,4,3,2,1,9,CA,Certificate Authority,0,0,- cardholder registration,1,3,2,- purchase request,- merchant passes signed, encrypted authorization to th
8、e acquirer for check,- card validation with issuer,4,- issuer authorizes and signs transaction,5,- acquirer authorizes merchant and signs the transaction,6,- cardholder receives the goods and a receipt,7,- merchant deposit the transaction to his account,8,- merchant gets paid,9,- cardholder receives
9、 bill from card issuer,1.客户到银行开户，获得信用卡账号。 2.客户收到银行签名的数字证书。该证书验证了客户RSA公钥及其有效期限，同时还建立了客户密钥与其信用卡之间的关联关系 3.商家得到自己的证书，接受某品牌信用卡的商家必须具备两个公钥证书，一个用于对消息签名，一个用于密钥交换。此外，商家还需要拥有支付网关的公钥证书副本。,计算机网络安全概论,16,SET技术内幕,购物请求 购物请求开始之前，持卡人要浏览、选择和订购商品，这个阶段结束后，商家向客户发一个填好的定单表单。这些步骤不用SET。 SET在购物请求开始时才起作用，交换四个消息：启动请求、启动响应、购物请求、
10、购物响应 1.1启动请求 客户向商家发送SET消息，需要商家和支付网关的数字证书 签发信用卡的机构 证书机构（CA） 支付网关,客户,请发你的数字证书和支付网关 的数字证书，这是我们交互的 惟一标记号和我的信用卡签发 者名称,商家,计算机网络安全概论,17,SET技术内幕,购物请求 1.2启动响应 商家产生响应并用其私钥签名 事务ID 商家的数字证书 支付网关的数字证书,客户,这是我的事务ID，还有我和支 付网关的数字证书,商家,计算机网络安全概论,18,SET技术内幕,购物请求 1.3购物请求 客户用相应的CA签名验证商家和支付网关的数字证书 生成定单信息（OI） 不包括项目号和订单细节，使
11、用购物推车，找出订单号等信息 生成付款信息（PI） 信用卡信息 购买量 订单描述 生成一次性对称密钥,客户,这是我的OI和PI细节，我发的 数字证书和公钥，你和支付网 关可以用它解密订单和付款细 节,商家,计算机网络安全概论,19,SET技术内幕,1.3购物请求 购物相关消息为支付网关提供 PI、对PI和OI求出的数字签名、OIMD（OI的消息摘要） 用对称密钥K加密 用支付网关的公钥加密K，生成数字信封(没有OI的内容） 订单相关消息为商家提供 OI、对PI和OI求出的数字签名、PIMD（PI的消息摘要） 没有PI的内容 持卡人证书,客户,这是我的OI和PI细节，我发的 数字证书和公钥，你和
12、支付网 关可以用它解密订单和付款细 节,商家,计算机网络安全概论,20,Dual Signature,计算机网络安全概论,21,商家验证,计算机网络安全概论,22,支付网关验证,计算机网络安全概论,23,SET技术内幕,购物请求 1.4购物响应,客户,订单处理结果,商家,计算机网络安全概论,24,SET技术内幕,付款授权 保证信用卡签发人批准事务。发生在商家将付款细节发给支付网关，支付网关验证这些细节并批准付款。 2.1授权请求 购物相关信息（持卡人生成） PI、OIMD 、数字信封 授权相关信息（商家生成） 事务ID等 证书 持卡人数字证书和商家数字证书,商家,购物信息 授权信息 持卡人和商
13、家证书,支付网关,验证所有证书 解密数字信封 验证商家在授权信息上的签名 处理收到的持卡人付款信息（PI） 匹配商家事务ID和PI中的事务ID 请求和接收信用卡签发人的授权,计算机网络安全概论,25,SET技术内幕,付款授权 2.2授权响应 取得签发人的授权后，支付网关向商家返回授权响应信息。 授权相关信息 支付网关私钥签名的授权块 捕获令牌信息 直接返给持卡者 证书 支付网关的数字证书,商家,鉴别信息 令牌信息 数字签名,支付网关,计算机网络安全概论,26,SET技术内幕,付款捕获 为取得付款,商家要与支付网关进行付款捕获事务。 3.1捕获请求 付款金额 事务ID 加密捕获令牌 商家数字签名
14、和数字证书,商家,需要购物付款信息,支付网关,解密和验证捕获请求块 解密和验证捕获令牌 检查捕获令牌和捕获请求之间的一致性 生成清算请求发给签发人,计算机网络安全概论,27,SET技术内幕,付款捕获 3.1捕获响应 支付网关签名和加密的捕获响应块 支付网关的数字证书,商家,用数字证书加密的支付内容,支付网关,计算机网络安全概论,28,支付协议中采用的加密技术（总结）,数字信封 SET依靠密码系统保证消息的可靠传输 发送端，使用DES算法产生的对称密钥来加密数据，然后，将此对称密钥用接收者的公钥加密，称为消息的“数字信封” 接收端，接收者先用他的私钥解密数字信封，得到对称密钥，然后使用对称密钥解
15、开数据 数字签名 公开密钥和私有密钥之间存在的数学关系，使用其中一个密钥加密的数据只能用另一个密钥解开，SET中使用RSA算法来实现 发送者用自己的私有密钥加密数据传给接收者，接收者用发送者的公钥解开数据后，就可确定消息来自于谁 保证了发送者对所发信息不能抵赖。,计算机网络安全概论,29,支付协议中采用的加密技术（总结）,消息摘要 在SET协议中，原文通过SHA-1算法生成消息的文摘 双重签名 为了保证消费者的账号等重要信息对商家隐蔽，SET中采用了双重签名技术，它是SET推出的数字签名的新应用 首先生成两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称为双重签名），然后用签发者的私有密
16、钥加密，为了让接收者验证双重签名，还必须将另外一条消息的摘要一块传过去 任何一个消息的接收者都可以通过以下方法验证消息的真实性：生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘要，如果它与解密后的双重签名相等，就可以确定消息是真实的,计算机网络安全概论,30,电子支付工具,信用卡 数字现金(E-cash) 电子钱包(Electronic Wallet) 电子支票支付方式 电子资金转帐,计算机网络安全概论,31,信用卡就是一种常见的银行卡 1915年起源于美国 一种信用凭证 一种将支付与信贷融为一体的业务 信用卡的特点 两种功能：同时具备信贷与支付 三角关系：信用卡除银行与客户之外，还与受理信用卡商户发生关系,信用卡,计算机网络安全概论,32,按信用卡性质与功能区分 借记卡（Debit Card）：先存款，后支用 贷记卡（Credit Card）：先消费，后还款 综合卡：结合两种功能的卡，偏重“借记” 按发卡机构区分 金融卡：万事达卡（Master Card）、威萨卡（Visa Card）、中国银行长城
