【正文】 T協(xié)議中安全特性和實(shí)現(xiàn) ? SET協(xié)議中安全考慮 ? 信息保密性－帳號(hào)和支付信息等的傳輸安全，加密技術(shù) ? 認(rèn)證－持卡人帳號(hào)和商家認(rèn)證，通過數(shù)字證書機(jī)制，確認(rèn)參與者的真實(shí)身份 ? 防止抵賴－ 數(shù)字簽名技術(shù) ? 數(shù)據(jù)完整性－防止客戶發(fā)送給商家的信息被篡改 ，數(shù)字簽名和 HASH、 MAC手段 ? 授權(quán) ? 安全實(shí)現(xiàn) ? 在消費(fèi)者端 實(shí)現(xiàn) 安全電子錢包 ? 在商家 實(shí)現(xiàn) 安全電子商家 ? 在銀行等金融機(jī)構(gòu) 實(shí)現(xiàn)安全支付網(wǎng)關(guān)，完成 SET協(xié)議和銀行金融系統(tǒng)相關(guān)標(biāo)準(zhǔn)（如 ISO8583）的轉(zhuǎn)換。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 52 SET 協(xié)議規(guī)范概述 ? 規(guī)范涉及的內(nèi)容： ? 加密算法的應(yīng)用 ? 證書消息和對(duì)象格式 ? 購買消息和對(duì)象格式 ? 請(qǐng)款消息和對(duì)象格式 ? 交易實(shí)體之間消息協(xié)議 ? SET 規(guī)范描述了系統(tǒng)設(shè)計(jì)考慮 、 證書管理 、 支付系統(tǒng)正式的協(xié)議定義 、 傳輸機(jī)制以及增加的擴(kuò)展（ 支持硬件設(shè)備 、 特殊消息等 ） 。 ? 大量采用已經(jīng)存在的 、 相關(guān)的 、 用于支持的國際標(biāo)準(zhǔn) 。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 53 SET組件 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 54 涉及的實(shí)體和概念 ? 持卡人（ Cardholder） ? 商家（ Merchant） ? 發(fā)卡行（ Issuer） ? 收單行（ Acquirer） ? 支付網(wǎng)關(guān)（ Payment Gateway） ? 支付卡品牌（ Brand） ? 認(rèn)證中心（ Certificate Authority， CA） 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 55 雙簽名 ? 目的在于（持卡人）將商家訂單信息（ Order Information， OI）和 收單行支付信息（ Payment Instructions， PI）連接起來一起發(fā)送（保證商家只能看到 OI，收單行只能看到 PI ），但是又要保證OI和 PI的一致性關(guān)聯(lián)性，而采用的一種組合簽名方法。 ? 首先分別計(jì)算 OI的 HASH值和 PI的 HASH值，二者連接后再次執(zhí)行 HASH，然后簽名。即： DS＝ EKRc［ H( H(PI) || H(OI) )］ 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 56 雙簽名 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 57 證書類型 ? 持卡者證書 ? 保證簽署支付者和正確的支付卡帳號(hào)一致，帳號(hào)信息通過 HASH方法作為持卡者證書中的一部分內(nèi)容。 ? 商家證書 ? 需要兩個(gè)密鑰對(duì)參與 SET交易，一個(gè)是簽名密鑰和證書，一個(gè)是密鑰交換密鑰和證書。 ? 支付網(wǎng)關(guān)證書 ? 需要兩個(gè)密鑰對(duì)參與 SET交易，一個(gè)是簽名密鑰和證書，一個(gè)是密鑰交換密鑰和證書。 ? 收單行證書 ? 發(fā)卡行證書 ? 證書鏈確認(rèn) ? 證書注銷列表檢查 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 58 發(fā)證機(jī)構(gòu) ? 涉及的發(fā)證機(jī)構(gòu) ? 根 CA（ RCA）、支付卡品牌 CA（ BCA）、區(qū)域CA（ GCA）、持卡者 CA（ CCA）、商家 CA（ MCA）、支付 CA（ PCA） ? 信任層次 RCA BCA GCA CCA MCA PCA Cardholder Merchant Payment Gateway 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 59 支付處理 ? 支付處理是 SET規(guī)范中最為關(guān)鍵的描述部分 ? 支付處理的基本步驟和流程 ? 持卡者注冊(cè) （ Cardholder Registration) 顧客開通帳號(hào) 獲取證書 ? 商家注冊(cè) (Merchant Registration) 獲取簽名證書和密鑰交換證書 ? 購買請(qǐng)求 (Perchase Request) 顧客商品訂購 ， 發(fā)送訂單信息和支付信息 ? 支付授權(quán) (Payment Authorization) 商家向支付網(wǎng)關(guān)獲取支付授權(quán)信息 ， 使得發(fā)卡行對(duì)交易擔(dān)保 。 ? 支付請(qǐng)款 (Payment Capture) 商家向支付網(wǎng)關(guān)申請(qǐng)?zhí)幚碇Ц?， 獲得支付款項(xiàng) 。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 60 SET交易類型（ 1） 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 61 SET交易類型（ 2） 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 62 持卡者注冊(cè) ? 持卡者初始注冊(cè) ? CA發(fā)出響應(yīng) ? 持卡者接收到響應(yīng)并請(qǐng)求注冊(cè)表 ? CA處理請(qǐng)求和發(fā)送適當(dāng)?shù)淖?cè)表 ? 持卡者接收注冊(cè)表，并請(qǐng)求證書 ? CA處理請(qǐng)求和產(chǎn)生證書（有關(guān)帳號(hào)信息的HASH值將成為證書中的一部分內(nèi)容） ? 持卡者接收證書 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 63 商家注冊(cè) ? 商家請(qǐng)求注冊(cè)表 ? CA發(fā)出響應(yīng) ? 商家接收注冊(cè)表和請(qǐng)求證書 ? CA處理請(qǐng)求和產(chǎn)生證書 ? 商家接收證書 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 64 購買請(qǐng)求 ? 持卡者初始化購買請(qǐng)求 ? 持卡者完成瀏覽 、 挑選 、 定購后 ， SET協(xié)議啟動(dòng) 。 提供訂購表完全的內(nèi)容 、 選擇支付卡品牌 、 請(qǐng)求支付網(wǎng)關(guān)證書 。 ? 商家發(fā)出證書 ? 商家為請(qǐng)求消息制定一個(gè)唯一的交易識(shí)別號(hào) ， 將商家和相應(yīng)的支付網(wǎng)關(guān)證書一起發(fā)給持卡者 。 ? 持卡者接收響應(yīng)和發(fā)出請(qǐng)求 ? 持卡者檢驗(yàn)響應(yīng)的證書并保存候用 ， 產(chǎn)生有效的 OI和 PI，并進(jìn)行雙簽名 ， 將 PI和 OI封裝數(shù)字信封 ， 發(fā)送給商家 。 ? 商家處理請(qǐng)求消息 ? 驗(yàn)證持卡者證書 ， 驗(yàn)證數(shù)字信封的數(shù)字簽名 。 ? 持卡者接收購買響應(yīng) ? 驗(yàn)證 ， 并更新本地定購狀態(tài)數(shù)據(jù)庫 。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 65 持卡者購買請(qǐng)求構(gòu)造 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 66 商家購買請(qǐng)求驗(yàn)證 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 67 支付授權(quán) ? 商家請(qǐng)求授權(quán)：商家產(chǎn)生一個(gè)安全的授權(quán)請(qǐng)求，發(fā)送給支付網(wǎng)關(guān)。 ? 購買相關(guān)信息： PI／雙簽名／ OI摘要／持卡者數(shù)字信封 ? 認(rèn)可相關(guān)信息：認(rèn)證分組（商家簽名交易標(biāo)識(shí)）和商家數(shù)字信封 ? 證書：持卡人簽名證書、商家簽名證書、商家密鑰交換證書 ? 支付網(wǎng)關(guān)處理授權(quán)請(qǐng)求 ? 安全驗(yàn)證，解密 PI，驗(yàn)證與 OI的一致性和關(guān)聯(lián)性，通過后支付網(wǎng)關(guān)將通過一個(gè)支付系統(tǒng)向發(fā)卡行發(fā)出一個(gè)授權(quán)請(qǐng)求。一旦從發(fā)卡行接收到一個(gè)授權(quán)響應(yīng)，支付網(wǎng)關(guān)將簽署一個(gè)授權(quán)認(rèn)可消息，安全處理后發(fā)送給商家。 ? 商家處理響應(yīng) ? 驗(yàn)證有效性，保存授權(quán)認(rèn)可消息和請(qǐng)款標(biāo)識(shí)（ Capture Token）。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 68 支付請(qǐng)款 ? 商家請(qǐng)求支付 ? 商家產(chǎn)生一個(gè)請(qǐng)款請(qǐng)求（包含交易金額、交易標(biāo)識(shí)等），和請(qǐng)款標(biāo)識(shí)一起發(fā)給支付網(wǎng)關(guān)。 ? 支付網(wǎng)關(guān)處理請(qǐng)款請(qǐng)求 ? 驗(yàn)證請(qǐng)款請(qǐng)求的有效性，得到請(qǐng)款標(biāo)識(shí)，形成清算請(qǐng)求，并創(chuàng)建清算請(qǐng)求，通過一個(gè)支付卡系統(tǒng)發(fā)給發(fā)卡行。并給商家發(fā)送請(qǐng)款響應(yīng)消息。 ? 商家接收響應(yīng) ? 商家驗(yàn)證有效性，并保存請(qǐng)款響應(yīng)消息，以備與收單行得到的付款進(jìn)行對(duì)帳。 2022/2/5 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 69 第 17章作業(yè) ? 思考題 ? 習(xí)題