搜索
电子支付技术6.1网上支付概述6.2安全套接层协议SSL6.3支付卡支付6.4安全电子交易SET协议6.5电子支票6.6微支付6.7网上银行系统6.1网上支付概述6.1.1概述1．网上支付是电子商务的重要组成部分2．现行支付系统是实现网上支付的基础3．网上支付是传统支付系统的发展和创新4．保证网上支付安全的基本措施6.1.2网上支付分类目前，网上支付机制主要包括银行卡支付、电子支票、电子现金和微型支付系统。1．银行卡支付2．电子支票3．电子现金4．微型支付系统6.1网上支付概述6.2安全套接层协议SSL6.3支付卡支付6.4安全电子交易SET协议6.5电子支票6.6微支付6.7网上银行系统6.1.2网上支付分类目前，网上支付机制主要包括银行卡支付、电子支票、电子现金和微型支付系统。1．银行卡支付2．电子支票3．电子现金4．微型支付系统6.1.4在线交易主要模式1．支付系统无安全措施的模式（1）流程用户从商家订货，信用卡信息通过电话、传真等非网上传送手段进行传输；也可在网上传送信用卡信息，但无安全措施。商家与银行之间使用各自现有的授权来检查网络。（2）特点风险由商家承担；信用卡信息可以在线传送，但无安全措施。4．支付系统使用简单加密的模式（1）特点部分或全部信息加密；使用对称和非对称加密技术；可能使用身份验证证书；采用防伪造的数字签名。（2）使用情况6.1.3现有电子商务交易协议1．DigicashDigicash是一个匿名的数字现金协议。2．FirstVirtual3．SSL4．SET5．Netbill6.1.4在线交易主要模式1．支付系统无安全措施的模式（1）流程用户从商家订货，信用卡信息通过电话、传真等非网上传送手段进行传输；也可在网上传送信用卡信息，但无安全措施。商家与银行之间使用各自现有的授权来检查网络。（2）特点风险由商家承担；信用卡信息可以在线传送，但无安全措施。2．通过第三方经纪人支付的模式（1）流程用户在网上经纪人处开账号，网上经纪人持有用户账号和信用卡号，用户用账号从商家订货，商家将用户账号提供给经纪人，经纪人验证商家身份，给用户发送E-mail，要求用户确认购买和支付后，将信用卡信息传给银行，完成支付过程。（2）特点用户账号的开设不通过网络；信用卡信息不在开放的网络上传送；使用E-mail来确认用户身份，防止伪造；商家自由度大，无风险；支付是通过双方都信任的第三方（经纪人）完成的。3．电子现金支付模式（1）流程用户在E-Cash发布银行开E-Cash账号，购买E-Cash，然后使用PCE-Cash终端软件从E-Cash银行取出一定数量的E-Cash存在硬盘上，通常少于100美元。用户从同意接收E-Cash的商家订货，使用E-Cash支付所购商品的费用。接收E-Cash的商家与E-Cash发放银行之间进行清算，E-Cash银行将用户购买商品的钱支付给商家。（2）特点银行和商家之间应有协议和授权关系；用户、商家和E-Cash银行都需使用E-Cash软件；适用于小的交易量（MiniPayment）；身份验证是由E-Cash本身完成的——E-Cash银行在发放E-Cash时使用了数字签名，商家在每次交易中，将E-Cash传送给E-Cash银行，由E-Cash银行验证用户支持的E-Cash是否有效（伪造或使用过等）；E-Cash银行负责用户和商家之间资金的转移；有现金特点，可以存、取、转让。（3）使用情况4．支付系统使用简单加密的模式（1）特点部分或全部信息加密；使用对称和非对称加密技术；可能使用身份验证证书；采用防伪造的数字签名。（2）使用情况6.1网上支付概述6.2安全套接层协议SSL6.3支付卡支付6.4安全电子交易SET协议6.5电子支票6.6微支付6.7网上银行系统6.1.4在线交易主要模式1．支付系统无安全措施的模式（1）流程用户从商家订货，信用卡信息通过电话、传真等非网上传送手段进行传输；也可在网上传送信用卡信息，但无安全措施。商家与银行之间使用各自现有的授权来检查网络。（2）特点风险由商家承担；信用卡信息可以在线传送，但无安全措施。4．支付系统使用简单加密的模式（1）特点部分或全部信息加密；使用对称和非对称加密技术；可能使用身份验证证书；采用防伪造的数字签名。（2）使用情况5．SET模式SET是安全电子交易的简称，它是一个在开放网（Internet）上实现安全电子交易的协议标准。（1）使用技术（2）使用情况6.2安全套接层协议SSL6.2.1SSL概述在SSL中，采用了公开密钥和专有密钥两种加密：在建立连接过程中采用公开密钥，在会话过程中使用专有密钥。6.2.2SSL协议分析SSL协议设计的目的是为两个通讯实体之间（一个客户机，一个服务器）提供加密的安全通道，提供服务器的认证，可选提供客户端的认证。Internet基本传输协议客户∕服务器软件应用软件FTPHTTPTELNETSSL协议SSLref三层DESIDEARC2RC4RSADES应用软件TCP∕IP图6-1SSL协议与相关网络层关系1．SSL记录层协议记录头类型记录长度数据MAC2字节头记录记录头类型Escape位记录长度填充长度数据填充数据MAC3字节头记录图6-2SSL记录层结构2．SSL握手层协议握手过程包括两个阶段：①选择一个主密钥、加密算法、认证服务器；②如果需要，进行客户认证，完成握手协议。握手层的报文由两部分组成：①一个字节的报文类型代码；②数据，根据报文类型不同其结构不同。表6-1无会话标识和无客户认证的握手过程报文类型方向传输的数据Client-hello客户机→服务器Challenge-data，cipher-specsServer-hello客户机←服务器Connection-id，server-certificate，cipher-specsClient-master-key客户机→服务器Cipher-kind，clear-master-key，[secret-master-key]server-public-keyClient-finish客户机→服务器[connection-id]client-write-keyServer-verify客户机←服务器[challenge-data]server-write-keyServer-finish客户机←服务器[session-id]server-write-kry6.3支付卡支付6.3.1支付卡的发展6.3.2支付卡分类我国银行卡大体分三类：①贷记卡。即信用卡，有小额信贷功能，它要求持卡人有较高的信誉度；②借记卡。需要建立持卡人档案，不需要担保，但不可以透支；③储值卡。不需要建档案，不需要担保，不可以透支，一般用于小额消费。6.4安全电子交易SET协议6.4.1SET协议介绍在SET协议中主要定义了以下内容：·加密算法的应用（如RSA和DES）。·证书消息和对象格式。·购买消息和对象格式。·请款消息和对象格式。·参与者之间的消息协议。6.4.2SET技术标准规范组成（1）商业描述（TheBusinessDescription），提供处理的总述。（2）程序员指导（TheProgrammer'sGuide），介绍数据区、消息，以及处理流程。·系统设计考虑（SystemDesignConsiderations）；·证书管理（CertificateManagement）；·支付系统（PaymentSystem）。·正式的协议定义（TheFormalProtocolDefinition），提供SET消息和数据区的最严格描述。协议定义采用ANS.1语法描述。6.4.3SET扩展规范6.4.4支付系统参与者商家Merchant持卡者Cardholder收单行Acquirer电子支付（ElectronicPayment）CA（CertificateAuthority）证书权威机构必要的证书必要的证书图6-3支付系统参与者1．持卡者2．商家3．支付网关4．CAInternet支付网关发卡银行收单银行商家系统商家系统持卡者系统持卡者系统持卡者系统持卡者系统银行内部网络各级CA图6-4SET系统网络示意图6.4.5SET支付流程和协议一个典型的支付流程如下：①持卡者向商家发出购买初始化请求PinitReq，该消息中包含持卡者的信息和证书。②商家接收到PinitReq后验证持卡者的身份，将商家和支付网关的有关信息和证书生成PinitRes消息，发给持卡者。③持卡者接收到PInitRes消息后，验证商家和支付网关的身份。然后，持卡者利用自己的支付信息（包括账户信息）生成购买请求消息PReq，并发送给商家。④商家接收到PReq后，连同自己的信息，生成授权请求消息AuthReq，发给支付网关，请求支付网关授权该交易。⑤支付网关接收到AuthReq后，取出支付信息，通过银行内部网络连接收单行和发卡行，对该交易进行授权。授权完成后，支付网关产生授权响应消息AuthRes，发给商家。⑥商家接收到AuthRes，定期向支付网关发出转账请求消息CapReq消息，请求进行转账。⑦支付网关接收到CapReq后，通过银行内部网络连接收单行和发卡行，将资金从持卡者账户转到商家账户中，然后向商家发出CapRes消息。⑧商家接收到CapRes消息后，知道已经完成转账，然后产生PRes消息，发送给持卡者。⑨持卡者接收到PRes消息，知道该交易已经完成。以下是SET协议中定义的支付消息：（1）PInitReq∕PInitRes（2）PReq∕PRes（3）InqReq∕InqRes（4）AuthReq∕AuthRes（5）CapReq∕CapRes（6）AuthRevReq∕AuthRevRes（7）CapRevReq∕CapRevRes（8）CredReq∕CredRes（9）CredRevReq∕CredRevRes（10）PCertReq∕PCertRes（11）BatchAdminReq∕BatchAdminRes6.4.6SET证书管理结构和消息1．根CA2．品牌CA3．地理政策CA4．持卡者CA5．商家CA6．支付网关CA7．持卡者8．商家9．支付网关Cardholder(Card)Merchant(Mer)Payment(PGWY)RootCertificateAuthority(RCA)BrandCertificateAuthority(BCA)OptionalGeo-PoliticalCertificateAuthority(GCA)CardholderCertificateAuthority(CCA)MerchantCertificateAuthority(MCA)PaymentGatewayCertificateAuthority(PCA)图6-6证书管理结构6.4.7SET协议存在的问题1．协议过于复杂2．信任的建立存在困难3．SET协议主要针对美国等发达国家的支付情况4．对IC卡等新的技术手段支持不足6.5电子支票纸基支票的使用仍然十分普遍。然而在欧洲，对纸基支票的使用正在逐步减少。其原因主要有如下两点：①纸基支票的处理成本比较高。因为所签发的支票必须传递到付款行之后，才能完成该笔交易。这其中包括了对支票的清分。②借记卡的使用包含了以电子方式确认交易资金的可用性，这为纸基支票的电子化处理带来了启示。6.5.1FSTC电子支票系统1．电子支票流程付款者收款者付款者银行收款者银行写支票,签字E-mail,．电子支票系统的设施6.5.2Netbill系统Netbill是由美国CarnegieMellon大学开发的一种支付系统。在启动Netbill协议之前，用户从服务器（例如Web服务器）上找出所需信息。Netbill交易协议至少包括如下8个步骤。6.5电子支票纸基支票的使用仍然十分普遍。然而在欧洲，对纸基支票的使用正在逐步减少。其原因主要有如下两点：①纸基支票的处理