《安全电子交易SET及其相关技术.doc》由会员分享，可在线阅读，更多相关《安全电子交易SET及其相关技术.doc（11页珍藏版）》请在金锄头文库上搜索。
1、安全电子交易SET及其相关技术 摘要：本文重点阐述了SET支付系统中各成员的角色，SET支付系统中所涉及的相关技术及如何使用这些技术来满足网上支付系统所要求的保密性、数据的完整性、交易的不可否认性和交易各方的身份认证。关键词：SET、对称密钥加密、公钥加密、哈希算法、数字签名、数字信封、CA、支付网关、商家、持卡人、发卡行、收单行。Abstract:This article describes the roles of secure Electronic Transaction (SET) and the relative technologies. It also describes how
2、 to implement SET protocol to meet the needs of Privacy、Authentication、Integrity and Nonrepudiation in the processes of electronic transaction on the Internet.Keyword: SET、symmetric key Cryptography Public key Cryptography、Hash Algorithm、Digital Signature、Digital Envelope、Certificate Authority(CA)、P
3、ayment Gateway、Merchant、Card holder、Issuing Band、Acquiring Bank.1安全电子交易SET简介SET是Secure Electronic Transaction的简称，即安全电子交易。它是一种在因特网（Internet）上实现安全电子交易的协议标准。SET最初是由世界上最大的两家信用卡组织VISA和MASTER CARD合作发起的，它得到了包括GTE、IBM、Microsoft、Netscape、RSA、SAIC、Terisa和Verisign等著名公司的参与和支持。目前，SET是专为网上支付卡业务安全所制定的唯一的具有现实意义的国际标
4、准。SET协议确保了网上交易所要求的保密性、数据的完整性、交易的不可否认性和交易的身份认证。SET协议主要使用的技术包括：对称密钥加密（Symmetric Key Cryptography）、公钥加密（Public Key Cryptography or Asymmetric Cryptography）、哈希算法（Hash Algorithm）、数字签名（Digital Signature）、数字信封（Digital Envelope）以及数字证书（Digital Certificate）等技术。其中公钥根据其用途可分为公钥签名密钥和公钥密钥交换密钥，前者用于数字签名，后者用于交换随机生成的对
5、称密钥。如图一所示：公开密钥交换密钥私人签名密钥公开签名密钥密钥交换密钥签名密钥 SET公钥私人密钥交换密钥 图一SET通过使用公钥和对称密钥方式加密，以保证数据的保密性；通过使用数字签名（结合哈希算法）和数字证书实现交易各方的身份认证、数据的完整性和交易的不可否认性。2. SET支付系统中的成员角色SET支付系统主要由持卡人（Card holder）、商家（Merchant）、发卡行（Issuing Bank）、收单行（Acquiring Bank）、支付网关（Payment Gateway）及证书授权机构（Certificate Authority）六个部分组成，如图二所示。 图二2.1
6、持卡人（ Card holder ）持卡人是一个网上消费者或客户。SET支付系统中的网上消费者或客户首先必须是一个信用卡（Credit Card）或借记卡（Debit Card）的持卡人。持卡人要参与网上交易，首先要向所属发卡行申请，经发卡行认可，由发卡行委托第三方中立机构证书授权机构CA发给数字证书后,持卡人才具备上网交易资格。持卡人上网交易是由一个嵌入在浏览器中（Netscape Netvigator or Internet Explorer）、电子钱包（Ewallet）来实现。持卡人的电子钱包具有发送、接收信息，存储自身的公钥签名密钥和交易参与方的公开密钥交换密钥，申请、接受和保存认证等
7、功能。除了这些基本功能外，电子钱包还必须支持网上购物的其它功能。如：增删改信用卡、改变密码口令、检查认证状态、显示信用卡信息和交易历史记录等功能。2.2. 商家（ Merchant ）SET支付系统中的网上商店的经营者。商家首先必须在收单银行开设帐户，由收单银行负责交易中的清算工作。商家要取得网上交易资格，首先要由收单银行对其进行审定和信用评估，一旦通过审定，收单银行委托证书授权机构CA发给商家数字证书后，商家方可网上营业。商家上网必须有商户软件支持。商家软件需能完成服务器和客户机的功能。它必须能处理持卡人的申请和与支付网关进行通信，存储自身的公钥签名密钥和公钥交换密钥以及交易参与方的公开密钥
8、交换密钥，申请和接受认证，与后台数据库进行通信及保留交易记录。2.3支付网关（Payment Gateway）支付网关一边连接因特网，一边通过银行网络与收单银行相接。它完成SET协议和现存银行交易系统协议ISO8583之间的信息格式转换，实现传统银行网络上的支付功能在因特网上的延伸。SET支付系统中的支付网关首先必须由收单银行授权，再由CA发放数字证书，方可参与网上支付活动。支付网关具有以下功能：确认商家、解密从持卡人处得到的支付指令、验证持卡人的证书与在购物中所使用的帐号是否匹配、验证持卡人和商家申请信息的完整性、签署数字响应等功能。2.4证书授权机构（Certificate Authori
9、ty）证书授权机构简称CA，有时也称认证授权机构。它是参与交易各方都信任的第三方中立组织。它接受发卡行和收单行的委托，对持卡人、商家和支付网关发放数字证书，供交易中的所有成员作为身份证明。SET协议支持以下几种证书的发放，其中前三项对商家交易具有直接意义, 后三项证书反映了CA层次之间的相互信任关系。 1持卡人 对每一种支付卡都要有唯一的证书。 2商家 对处理每一种的卡品牌都要有唯一的证书。 3支付网关 对每一种处理的卡品牌都要唯一的证书。 4地区CA 按行政区划分的CA 5品牌CA（Brand CA） 信用卡或借记卡的专有品牌。如国际上的VISA卡、MASTER卡 和国内的工行牡丹卡、建行的
10、龙卡等。 6. 根CA（Root CA） CA体系结构中的最高层的全球性认证授权机构，所有的其它认证授权机构都在它之下。SET设计的本意是建立全球单一的认证授权机构，为客户、商家和金融机构提供全球认证。不过这很难实现。但幸运的是SET协议支持多层认证，只要交易各方都能追踪回同样的根，SET交易就能成功进行。CA除发证功能外，必须能够处理认证请求，以确定证书的有效性并将认证信息传递给持卡人、商家、支付网关。CA的其它功能还有证书的更新、撤消等功能。CA的层次结构见附图三。 图三3. SET相关技术SET使用多种的密钥技术来达到安全交易的要求，其中对称密钥技术、公钥技术和哈希算法是其核心。综合应用
11、以上三种技术产生了数字签名、数字信封、数字证书等新概念。3.1. 对称密钥加密（Symmetric Key Cryptography）对称密钥加密算法给一条信息加密，发送者和接入者都用同一密钥完成加密和解密过程。SET协议缺省使用由IBM公司发明的DES（Data Encryption Standard）标准。DES将数据分隔成64比特的数据块，用56比特的密钥对其进行一系列的数学变换产生密文，然后接收者用同一密钥将密文解成明文。对称密钥加密的优点是加密、解密效率高，适用大数据量加解密。其缺点是密钥没有安全的方式传递，容易被截获，不能适应大范围应用。3.2公钥加密（Public Key Cry
12、ptography）公钥加密算法用一对密钥对数据进行加密和解密。一个密钥称为公开密钥（Public Key）,另一密钥称为私人密钥（Private Key）。其特点是用任一密钥加密的信息，只能由与之成对的另一密钥才能解开。使用者可以任意散发公开密钥，这是由两个密钥间的关系所决定的。任何收到公开密钥的用户可以确保以公开密钥加密后的密文，只有通过私人密钥才能解密。但是这只有在私人密钥没有泄露的情况下才能实现。一般密钥对应该由用户产生，才能确保安全。目前只有一种通用的公钥加密算法是RSA。RSA它以发明者的姓名的首字母命名（Rivest、Shamir、Adleman），它的优点是密钥分发不用加密，适
13、合在大范围使用。其缺点是加解密速度慢，比DES算法慢十倍以上，所以它只适用于少量数据的加密和用于对称密钥的传递。RSA的密钥长度可从512比特至2048比特。SET中使用两种长度，1024比特、2048比特，以满足不同等级的加密要求。3.3哈希算法（Hash Algorithm）哈希算法并不是加密算法，但却能产生信息的数字“指纹”，主要用途是为了确保数据没有被篡改或变化过，以确保数据的完整性。Hash算法有三个特性：1 能处理任意大小的信息，并生成固定长度（160比特）的信息摘要(Message Digest)。2 具有不可预见性。信息摘要的大小与原始信息的大小没有任何联系。源信息的一个微小变
14、化都会对信息摘要产生很大的影响。3 具有不可逆性。没有办法通过信息摘要直接恢复原信息。SET使用SHA1安全哈希算法（Secure Hash Algorithm）。3.4数字签名（Digital Signature）首先将要发送的信息通过Hash算法形成信息摘要，然再用发送者的私人密钥加密，生成的结果附加到原信息上去，就生成了原信息的数字签名。信息接收者收到发送的数字签名后，首先用发送者的公开密钥将信息摘要解密，然后将收到的原信息通过Hash算法得新的信息摘要。比较解密后的信息摘要和新生成的信息摘要，如果是一致的，则说明：1 接受的信息与发出来的信息是一致的，没有被篡改过。2 信息的确是对方发
15、出的，因为只有对方才拥有自己的私人密 钥，具有不可抵赖性。当你需要发送一份无需加密的信息，但却想向接收者示意你的身份的真实性时，数字签名是十分有用的。3.5. 数字信封发送方将随机产生的对称密钥用接收方的公开密钥交换密钥加密就形成了数字信封。数字信封用于传递对称密钥给接收方，接收方用私人交换密钥解开数字信封后得到对称密钥，才可将发送方的密文解开。3.6. 数字证书公钥加密解决了发送者和接收者之间的密钥分发问题。公开密钥可以被任何人看到，但对入侵者是毫无用处的，除非他的窃得私人密钥。但在安全环节中忽略一个问题：接收者怎样确认他接收的公开密钥的确来自所声称的发送方，而不是伪造的呢？由此就需要设立交易各方都信任的第三方机构CA对公开密钥的有效性进行认证，以确定公共密钥拥有者的真实身份。数字证书的概念由此产生。数字证书就是由交易各方都信任的第三方机构CA发放的，证明拥有者公开密钥有效性的凭证。数字证书包含拥有者的公开密钥、详细个人资料（包括持卡人的银行帐号）的信息摘要及证书签发机构的数字签名。但在Internet网上
