【文章內(nèi)容簡(jiǎn)介】 ：商家是否可用另一個(gè) OI來代替？? 那么它就必須找到另一個(gè)散列數(shù)據(jù)與已經(jīng)存在的 OIMD相匹配的 OI， 這被認(rèn)為是不可行的。因此，商家不能將另一個(gè) OI與這個(gè) PI相連接。60基于 SET的 CA的分級(jí)結(jié)構(gòu) 根 CA品牌 CA地區(qū) CA持卡人 CA 商家 CA 支付網(wǎng)關(guān) CA持卡人 商家 支付網(wǎng)關(guān)61?書 P131– 購(gòu)買請(qǐng)求 ：用戶與商家確定所用支付方式的細(xì)節(jié)；– 支付授權(quán)：商家會(huì)與銀行核實(shí)，隨著交易的進(jìn)展，他們將得到付款– 支付獲取：商家向銀行出示所有交易的細(xì)節(jié)，然后銀行以適當(dāng)方式轉(zhuǎn)移貨款。 SET規(guī)范定義的交易類型 62??購(gòu)買請(qǐng)求由持卡人和商家之間交換的 4個(gè)消息組成：?⑴ 發(fā)起請(qǐng)求 ： 持卡人軟件請(qǐng)求網(wǎng)關(guān)證書的一個(gè)拷貝；表明該交易中將使用何種品牌的支付卡。?⑵ 發(fā)起響應(yīng)：– 唯一的 交易標(biāo)識(shí)符 。– 商家 證書 以及支付網(wǎng)關(guān)的證書– 商家的私鑰對(duì)該信息進(jìn)行數(shù)字簽名后發(fā)送給持卡人。?⑶ 購(gòu)買請(qǐng)求 ：– 收到發(fā)起響應(yīng)消息之后，持卡人軟件驗(yàn)證商家和支付網(wǎng)關(guān)的證書。– 持卡人軟件使用 OI和 PI來產(chǎn)生一個(gè)雙向簽名。– 最后，持卡人軟件生成一個(gè)購(gòu)買請(qǐng)求消息。– 持卡人生成了一次性的對(duì)稱加密密鑰Ｋ s。63SET消息PI雙向簽名OIMDDES加密RSA加密KsKUb請(qǐng)求報(bào)文數(shù)字信封SET密文PIMDOI持卡人證書雙向簽名PI＝ 支付信息OI＝ 訂購(gòu)信息PIMD＝ PI報(bào)文摘要OIMD＝ OI報(bào)文摘要Ks＝ 臨時(shí)的對(duì)稱密鑰KUb＝ 銀行的公開密鑰交換的密鑰① 與購(gòu)買相關(guān)的信息。這個(gè)信息將被商家轉(zhuǎn)發(fā)給支付網(wǎng)關(guān) ② 與訂購(gòu)有關(guān)的信息。商家需要這個(gè)信息 ③ 持卡人的證書。 64?(4)購(gòu)買響應(yīng) ：– ① 通過持卡人的ＣＡ簽名來驗(yàn)證持卡人的證書。– ② 使用消費(fèi)者的公開簽名密鑰來驗(yàn)證雙向簽名。這樣可以確保訂購(gòu)信息在傳輸過程中沒有被篡改，并且它使用了持卡人的私有簽名密鑰進(jìn)行了簽名。– ③ 處理訂購(gòu)信息，并將支付信息轉(zhuǎn)交給支付網(wǎng)關(guān)進(jìn)行認(rèn)可。– ④ 最后，商家生成一個(gè)購(gòu)買響應(yīng)消息，它表明商家已經(jīng)收到持卡人的請(qǐng)求。– 一旦收到了商家的購(gòu)買響應(yīng)，持卡人軟件就驗(yàn)證商家的證書以及消息內(nèi)容的數(shù)字簽名。在此時(shí)刻，持卡人軟件基于這些消息將采取一些行動(dòng)，諸發(fā)向持卡人顯示一個(gè)消息，或者用訂單的狀態(tài)來更新數(shù)據(jù)庫。65HOIMDRSA解密KUC請(qǐng)求報(bào)文SET密文數(shù)字信封PIMDOI持卡人證書雙向簽名POMDPOMDH||比較OI=訂購(gòu)信息OIMD＝ OI報(bào)文摘要POMD＝ 支付訂購(gòu)報(bào)文摘要H＝ 散列函數(shù)（ SHA－ 1）KUC＝ 顧客的公開簽名密鑰66??① 授權(quán)請(qǐng)求：商家軟件生成并數(shù)字簽發(fā)一個(gè)授權(quán)請(qǐng)求，其中包括授權(quán)的數(shù)量、來自 OI的交易標(biāo)識(shí)符以及其他的關(guān)于交易的信息。然后，使用支付網(wǎng)關(guān)的公鑰對(duì)這一信息生成一個(gè)數(shù)字信封。授權(quán)請(qǐng)求和持卡人的 PI（ 它也以數(shù)字信封的形式傳給支付網(wǎng)關(guān)）被傳送給支付網(wǎng)關(guān)。?② 授權(quán)響應(yīng)：當(dāng)收到授權(quán)請(qǐng)求時(shí)，支付網(wǎng)關(guān)解密并驗(yàn)證消息（也就是證書和 PI） 的內(nèi)容。如果一切都是合法的，那么支付網(wǎng)關(guān)會(huì)生成一個(gè)授權(quán)響應(yīng)消息；然后用商家的公鑰對(duì)之生成一個(gè)數(shù)字信封并將它傳送加商家。?一旦收到了支付網(wǎng)關(guān)的授權(quán)響應(yīng)消息，商家就解密數(shù)字信封并驗(yàn)證里面的數(shù)據(jù)。如果本購(gòu)買是授權(quán)過的，則商家通過發(fā)送貨物或者完成在訂單內(nèi)指明的服務(wù)來完成對(duì)持卡人訂單的處理。Payment processing67? ?① 回復(fù)請(qǐng)求：商家軟件生成回復(fù)請(qǐng)求，它包括交易的最終數(shù)量、交易標(biāo)識(shí)符以及其他的關(guān)于交易的信息。然后使用支付網(wǎng)關(guān)的公鑰對(duì)這一消息生成數(shù)字信封并傳送給支付網(wǎng)關(guān)。?② 回復(fù)響應(yīng)：接收到回復(fù)請(qǐng)求并驗(yàn)證了它的內(nèi)容之后，支付網(wǎng)關(guān)將生成一個(gè)回復(fù)響應(yīng)。回復(fù)響應(yīng)包括與該請(qǐng)求交易的支付有關(guān)的信息。然后使用商家的公鑰對(duì)這一響應(yīng)生成數(shù)字信封并將之傳送回商家。?一旦收到了支付網(wǎng)關(guān)的回復(fù)響應(yīng)，商家軟件就解密數(shù)字信封，驗(yàn)證簽名和消息數(shù)據(jù)，用于同從收單行那里接收的支付相匹配。Payment processing68SET協(xié)議與 SSL協(xié)議的比較? 在認(rèn)證要求方面 ，– 早期的 SSL并沒有提供商家身份認(rèn)證機(jī)制，雖然在 可以通過數(shù)字簽名和數(shù)字證書可實(shí)現(xiàn)瀏覽器和 Web 服務(wù)器雙方的身份驗(yàn)證，但仍 不能實(shí)現(xiàn)多方認(rèn)證 ；– 相比之下， SET的安全要求較高，所有參與 SET交易的成員（持卡人、商家、發(fā)卡行、收單行和支付網(wǎng)關(guān)）都必須申請(qǐng)數(shù)字證書進(jìn)行身份識(shí)別。? 在安全性方面，– SET協(xié)議規(guī)范了 整個(gè)商務(wù)活動(dòng)的流程 ，從持卡人到商家，到支付網(wǎng)關(guān)，到認(rèn)證中心以及信用卡結(jié)算中心之間的信息流走向和必須采用的加密、認(rèn)證都制定了嚴(yán)密的標(biāo)準(zhǔn)，從而最大限度地保證了商務(wù)性、服務(wù)性、協(xié)調(diào)性和集成性。– 而 SSL只對(duì)持卡人與商店端的 信息交換進(jìn)行加密保護(hù)，可以看作是用于 傳輸?shù)哪遣糠值募夹g(shù)規(guī)范 。從電子商務(wù)特性來看，它并不具備商務(wù)性、服務(wù)性、協(xié)調(diào)性和集成性。因此 SET的安全性比 SSL高。 69? 在網(wǎng)絡(luò)層協(xié)議位置方面 ， SSL是基于傳輸層的通用安全協(xié)議，而 SET位于應(yīng)用層，對(duì)網(wǎng)絡(luò)上其他各層也有涉及。? 在應(yīng)用領(lǐng)域方面， SSL主要是和 Web 應(yīng)用一起工作，而 SET是為信用卡交易提供安全，因此如果電子商務(wù)應(yīng)用只是通過Web 或是電子郵件，則可以不要 SET。但如果電子商務(wù)應(yīng)用是一個(gè)涉及多方交易的過程，則使用 SET更安全、更通用些。? 總之：? SSL協(xié)議實(shí)現(xiàn)簡(jiǎn)單，獨(dú)立于應(yīng)用層協(xié)議，大部分內(nèi)置于瀏覽器和 Web 服務(wù)器中，在電子交易中應(yīng)用便利。但它是一個(gè)面向連接的協(xié)議，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，不能實(shí)現(xiàn)多方的電子交易中。? SET在保留對(duì)客戶信用卡認(rèn)證的前提下增加了對(duì)商家身份的認(rèn)證，安全性進(jìn)一步提高。由于兩協(xié)議所處的網(wǎng)絡(luò)層次不同，為電子商務(wù)提供的服務(wù)也不相同， 因此在實(shí)踐中應(yīng)根據(jù)具體情況來選擇獨(dú)立使用或兩者混合使用。? 70SET協(xié)議小結(jié)? 1作用? 2組成? 3雙向簽名? 4購(gòu)買請(qǐng)求報(bào)文及驗(yàn)證71?因特網(wǎng)與因特網(wǎng)與 TCP/IP安全安全?SSL協(xié)議協(xié)議?SET協(xié)議協(xié)議?IPSec協(xié)議協(xié)議72IPSec 協(xié)議 － 1 概述? 思考：是否 SSL協(xié)議和 SET協(xié)議足夠？? 思考：若某幾個(gè)節(jié)點(diǎn)采用一種協(xié)議 A進(jìn)行通信，但是又不想重建物理網(wǎng)絡(luò)和軟件配置，應(yīng)該怎么辦？73? VPN的主要隧道協(xié)議? 第二層隧道協(xié)議–PPTP、 L2F、 L2TP? 第三層隧道協(xié)議–GRE、 IPSec? 高層隧道協(xié)議–Socks、 SSLVPN74IPSec 協(xié)議 － 1 概述?基本思想：?為 IP層以及上層提供安全保護(hù)。?在發(fā)送 IP數(shù)據(jù)包 之前 ，對(duì) IP包的一些重要部分進(jìn)行 加密和驗(yàn)證計(jì)算 ，由接收端對(duì)這部分進(jìn)行解密和驗(yàn)證，從而實(shí)現(xiàn)安全傳輸?shù)哪康摹?5幀頭應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭TCP頭TCP頭IP頭IP頭應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層沒有 IPSec的數(shù)據(jù)封裝 76應(yīng)用層傳輸層網(wǎng)絡(luò)層IPSec封裝數(shù)據(jù)鏈路層 幀頭IPSec頭應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭TCP頭TCP頭IP頭IP頭應(yīng)用數(shù)據(jù)TCP頭IP頭IPSec頭 IPSec尾IPSec尾有 IPSec數(shù)據(jù)封裝77IPSec 協(xié)議 － 1 概述? 提供了一種 端到端 的安全解決方案。 ? IPSec協(xié)議數(shù)據(jù)包和普通的 IP數(shù)據(jù)包相似– 好處？– 這些數(shù)據(jù)包可以很容易的通過任何 IP網(wǎng)絡(luò)而不需要對(duì)中間的設(shè)備做任何的改變。? 需要知道加密的唯一設(shè)備就是端點(diǎn)。這個(gè)大大的降低了實(shí)現(xiàn)和管理的成本。78IPSec 協(xié)議 － 1 概述?提供三種不同的形式的保護(hù) ?(1)認(rèn)證?(2)數(shù)據(jù)完整性驗(yàn)證 ?(3)保密79IPSec 協(xié)議 － 2 IPSec的安全體系結(jié)構(gòu) ?IPSec由 三個(gè)基本要素 來提供以上三種保護(hù)形式– 驗(yàn)證頭 (AH)– 封裝安全載荷 (ESP)– 互聯(lián)網(wǎng)密鑰管理協(xié)議 (IKMP)一套協(xié)議中兩個(gè)不同的機(jī)制?？蓡为?dú)使用，可組合使用。80IPSec 協(xié)議 － 2 IPSec的安全體系結(jié)構(gòu) 體系結(jié)構(gòu)安全封裝載荷 (ESP) 認(rèn)證頭 (AH)認(rèn)證算法加密算法解釋域 DOI密鑰管理81IPSec 協(xié)議 － 3 IPSec服務(wù) 服務(wù)類型 AH ESP(只加密 )ESP(加密并認(rèn)證 )訪問控制 Y Y Y無連接完整性 Y N Y數(shù)據(jù)源的鑒別 Y N Y拒絕重放攻擊 Y Y Y保密性 N Y Y有限的通信流保密性N Y Y82IPSec 協(xié)議 － 4 IPSec的工作模式 1傳輸模式傳輸模式?主要對(duì) IP包的 部分信息 提供安全保護(hù)，即對(duì) IP數(shù)據(jù)包的上層協(xié)議數(shù)據(jù)提供安全保護(hù)。?當(dāng)采用 AH傳輸模式 時(shí)，主要為 IP數(shù)據(jù)包提供 認(rèn)證保護(hù)；?而采用 ESP傳輸模式 時(shí)，主要對(duì) IP數(shù)據(jù)包的上層信息提供 加密和認(rèn)證 雙重保護(hù)。?這是一種 端到端 的安全， IPSec在端點(diǎn)執(zhí)行加密認(rèn)證、處理，在安全通道上傳輸， 因此主機(jī)必須配置 IPSec。83首部 有效載荷IP 數(shù)據(jù)報(bào) 傳輸網(wǎng)絡(luò)首部 有效載荷IP 數(shù)據(jù)報(bào) 部分信息端到端84IPSec 協(xié)議 － 4 IPSec的工作模式隧道模式隧道模式 ?IPSec隧道模式對(duì) 整個(gè) IP數(shù)據(jù)包 提供保護(hù)?其基本原理是構(gòu)造新的 IP數(shù)據(jù)包?當(dāng)采用 AH遂道模式 時(shí)，主要提供 認(rèn)證 保護(hù) (可變字段除外 )；?當(dāng)采用 ESP遂道模式 時(shí)，主要提供 加密和認(rèn)證 雙重保護(hù)。?這時(shí)，對(duì) IPSec的處理是在 安全網(wǎng)關(guān) 執(zhí)行的，因此 兩端主機(jī)不必知道 IPSec協(xié)議的存在。85首部 有效載荷首部 有效載荷首部 有效載荷內(nèi)部 IP數(shù)據(jù)報(bào)外首部(新首部 )傳輸網(wǎng)絡(luò)首部 有效載荷內(nèi)部 IP數(shù)據(jù)報(bào)內(nèi)部 IP數(shù)據(jù)報(bào)內(nèi)部 IP數(shù)據(jù)報(bào) 安全網(wǎng)關(guān)安全網(wǎng)關(guān)外首部(新首部 )整個(gè) IP數(shù)據(jù)包 86IPSec 協(xié)議 － 5 認(rèn)證頭協(xié)議 (A