【正文】 當(dāng)今市場上，已有許多SSL相關(guān)產(chǎn)品及工具，它們大多較為成熟，能提供相當(dāng)穩(wěn)定的服務(wù)。 SET協(xié)議提供了多層次安全保障，復(fù)雜程度顯著增加；這些安全環(huán)節(jié)在一定程度上增加了交易的復(fù)雜性。 ? 前三步與 SET 無關(guān)，從第四步開始 SET 起作用，一直到第八步，在處理過程中，通信協(xié)議、請求信息的格式、數(shù)據(jù)類型的定義等，SET 都有明確的規(guī)定。 SET為電子商務(wù)提供的功能 ?① 信息保密性 。 ?④ 會話階段：客戶機與服務(wù)器使用會話密鑰加密交換會話信息 。高層的應(yīng)用層協(xié)議能透明的建立于 SSL協(xié)議之上。 ?在電子交易中，時間和簽名同等重要。 數(shù)字摘要 類似于人類的 “ 指紋 ” ，因此我們把這一串摘要而成的密文稱之為 數(shù)字指紋 。 主要從事密碼安全 、計算機安全算法的研究 ， 他發(fā)明了 RSA KEY的算法 ， 這個算法在信息安全中獲得最大的突破 。 加密和解密必須依賴兩個要素： 算法 和 密鑰 。 這需要對交換的信息實施加密保護(hù) ， 使得第三者無法讀懂電文 。 加密技術(shù)與密碼學(xué)緊密相連 。 對稱密鑰加密 1〉 在首次通信前 ， 雙方必須通過除網(wǎng)絡(luò)以外的另外途徑傳遞統(tǒng)一的密鑰 。 密文 明文 Inter 密文 加密 解密 明文 (發(fā)送方 ) (接收方 ) 優(yōu)點 ： ? 密鑰較少 ， 在網(wǎng)絡(luò)中容易實現(xiàn)密鑰管理； ? 便于進(jìn)行數(shù)字簽名 ， 從而保證數(shù)據(jù)的不可抵賴性 。 數(shù)字簽名的含義和作用 驗證信息完整性 防止抵賴 作用 非對稱加密技術(shù)用于驗證的原理 * 42 明文 密文 明文 私鑰A 公鑰A 發(fā)送方 A 接收方 B Inter 密文 * 43 數(shù)字簽名和驗證的過程 買方：簽名過程 合 同 Hash函數(shù) 摘要 ♂ 買方私鑰 數(shù)字簽名 合 同 數(shù)字簽名 傳給賣方 賣方接收 Hash函數(shù) 摘要 賣方：接收、驗證過程 摘要 合 同 數(shù)字簽名 ♂ 買方公鑰 比較 兩個摘要 * 44 ① 報文的發(fā)送方從原文中生成一個數(shù)字摘要，再用 自己的私鑰 對這個數(shù)字摘要進(jìn)行加密來形成 發(fā)送方的數(shù)字簽名 。根據(jù)這項標(biāo)準(zhǔn)，證書包括申請證書 個人的信息 和發(fā)行證書機構(gòu)的信息 。 ? 信息完整性 。但隨著電子商務(wù)的發(fā)展，各中小型公司也參與進(jìn)來，這樣在電子支付過程中的單一認(rèn)證問題就越來越突出。 ?⑥ CA認(rèn)證中心 。 ? (3) 發(fā)送方把數(shù)字摘要 1和數(shù)字摘要 2鏈接在一起，產(chǎn)生數(shù)字摘要 3，并用私鑰對其進(jìn)行數(shù)字簽名。 SET協(xié)議由于采用了公鑰加密、信息摘要和數(shù)字簽名可以確保信息的保密性、可鑒別性、完整性和不可否認(rèn)性，且 SET協(xié)議采用了雙重簽名來保證各參與方信息的相互隔離，使商家只能看到持卡人的訂購數(shù)據(jù)，而銀行只能取得持卡人的信用卡信息。由于兩協(xié)議所處的網(wǎng)絡(luò)層次不同，為電子商務(wù)提供的服務(wù)也不相同，因此在實踐中應(yīng)根據(jù)具體情況來選擇獨立使用或兩者混合使用。相比之下， SET協(xié)議的認(rèn)證要求較高，所有參與 SET交易的成員都必須申請數(shù)字證書，并且解決了客戶與銀行、客戶與商家、商家與銀行之間的多方認(rèn)證問題。 雙重簽名的實現(xiàn)步驟 ? (1) 發(fā)送方對發(fā)給甲的信息 1生成數(shù)字摘要 1。 ?④ 收單銀行 。 當(dāng)用于銀行卡網(wǎng)上支付流程時的缺點 從 SSL 協(xié)議所提供的服務(wù)及其工作流程可以看出， SSL協(xié)議運行的基礎(chǔ)是商家對消費者信息保密的承諾，這就有利于商家而不利于消費者。 使用 公共密鑰 和 對稱密鑰 技術(shù)實現(xiàn)信息保密 。 * 57 數(shù)字證書的內(nèi)容 數(shù)字證書的內(nèi)部格式遵循 。 * 40 ? 在電子商務(wù)活動中，交易雙方不見面，傳統(tǒng)簽字方式很難應(yīng)用于這種網(wǎng)上交易，那么在網(wǎng)絡(luò)傳遞的文件上如何簽名蓋章呢，如何使彼此的要約、承諾具有可信賴性？ 數(shù)字簽名 可解決這一難題 * 41 數(shù)字簽名 建立在非對稱 （ 公鑰 ） 加密體制基礎(chǔ)上 ，是非對稱加密技術(shù)的另一類應(yīng)用 。 較著名的算法是 RSA算法 一對鑰匙 一個 公鑰 :是公開的，可以公布在網(wǎng)上，也可以公開傳遞給需要的人 。 對稱密鑰密碼技術(shù)的代表是數(shù)據(jù)加密標(biāo)準(zhǔn) DES。 電子商務(wù)安全性要求的實現(xiàn)涉及到多種安全技術(shù)的應(yīng)用 。 ?信息的不可否認(rèn)性 ： 這是指信息的發(fā)送方不可否認(rèn)已經(jīng)發(fā)送的信息 ， 接收方也不可否認(rèn)已經(jīng)收到的信息 。 ?在加密算法公開的情況下 ， 非法解密者就要設(shè)法破獲密鑰 ， 為了使黑客難以破獲密鑰 ， 就要增加密鑰的長度 ， 使黑客無法用窮舉法測試破解密鑰 。 Adi Shamir Shamir是以色列 Weizmann科學(xué)學(xué)院應(yīng)用數(shù)學(xué)系的教授 。 數(shù)字摘要 驗證 信息完整性的原理 u 可以通過數(shù)字摘要鑒別其明文的真?zhèn)巍? * 51 文 件 Hash函數(shù) 摘要 1 Inter 摘要 1 摘要 1 時間 ♂ 私鑰 數(shù)字時間戳 數(shù)字時間戳 第三方DTS 發(fā)送方 數(shù)字時間戳產(chǎn)生的過程 * 52 ①用戶首先將需要時間戳的文件用 Hash算法加密得到數(shù)字摘要； ②然后將數(shù)字摘要發(fā)送到專門提供數(shù)字時間戳服務(wù)的DTS機構(gòu)； ③ DTS機構(gòu)在原數(shù)字摘要上加上收到文件摘要的時間信息，用自己的私鑰對其進(jìn)行加密，產(chǎn)生數(shù)字時間戳發(fā)還給用戶； ④ 用戶可以將收到的數(shù)字時間戳發(fā)送給自己的商業(yè)伙伴以證明文件上的時間的真實性。在此之后應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都會被加密，從而保證通信的私密性。 ?凡是支持送 SSL協(xié)議的網(wǎng)頁 ， 都會以 URL的開頭 。 ?③ 提供交易者的身份認(rèn)證和擔(dān)保 。 SET協(xié)議的核心技術(shù) 雙重數(shù)字簽名 ? 在我們用信用卡購物時，我們作為持卡人向商戶提出訂購信息的同時，也給銀行付款信息，以便授權(quán)銀行付款，但我們不希望商戶知道自己的賬號的有關(guān)信息，也不希望開戶行知道具體的消費內(nèi)容，只需按金額貸記或借記賬即可。 ? (3)SET協(xié)議只支持 B2C模式的電子商務(wù)，而不支持目前最具有前途和影響的