【正文】 過商家到達(dá)銀行 ， 但是商家不能看到客戶的帳戶和密碼信息 。 (3) 解決 多方認(rèn)證 問題，不僅要對消費者的信用卡認(rèn)證，而且要對在線商店的信譽(yù)程度認(rèn)證，同時還有消費者、在線商店與銀行間的認(rèn)證。 81 (4) 保證了網(wǎng)上交易的 實時性 ， 使所有的支付過程都是在線的 。 (5) 仿效 EDI貿(mào)易的形式，規(guī)范協(xié)議和消息格式，促使不同廠家開發(fā)的軟件具有 兼容性和互操作 功能，并且可以運行在不同的硬件和操作系統(tǒng)平臺上。 82 2. SET安全協(xié)議涉及的范圍 SET協(xié)議規(guī)范所涉及的對象有： (1) 消費者 ， 包括個人消費者和團(tuán)體消費者 ， 按照在線商店的要求填寫定貨單 ， 通過由發(fā)卡銀行發(fā)行的信用卡進(jìn)行付款 。 (2) 在線商店 ， 提供商品或服務(wù) ， 具備相應(yīng)電子貨幣使用的條件 。 (3) 收單銀行 ，通過支付網(wǎng)關(guān)處理消費者和在線商店之間的交易付款問題。 83 (4) 電子貨幣 (如智能卡 、 電子現(xiàn)金 、 電子錢包 )發(fā)行公司 ，以及某些兼有電子貨幣發(fā)行的銀行 ， 負(fù)責(zé)處理智能卡的審核和支付工作 。 (5) 認(rèn)證中心 (CA)， 負(fù)責(zé)交易雙方的身份確認(rèn) ， 對廠商的信譽(yù)度和消費者的支付手段進(jìn)行認(rèn)證 。 SET協(xié)議規(guī)范的技術(shù)范圍包括加密算法的應(yīng)用 (例如 RSA和DES)、證書信息和對象格式、購買信息和對象格式、認(rèn)可信息和對象格式、劃賬信息和對象格式、對話實體之間消息的傳輸協(xié)議。 84 SET協(xié)議采用了對稱密鑰和非對稱密鑰體制 ， 把對稱密鑰的快速 、 低成本和非對稱密鑰的有效性結(jié)合在一起 ， 以保護(hù)在開放網(wǎng)絡(luò)上傳輸?shù)膫€人信息 ， 保證交易信息的隱蔽性 。 其重點是如何 確保商家和消費者的身份和行為的認(rèn)證和不可抵賴性 ，其理論基礎(chǔ)是著名的 非否認(rèn)協(xié)議 (Nonrepudiation)， 其采用的核心技術(shù)包括 (Digital Signature)、 報文摘要 、 數(shù)字信封 、 雙重簽名等技術(shù) 。 85 3. SET安全協(xié)議的工作原理 協(xié)商確認(rèn)轉(zhuǎn) 賬 請 求支 付 網(wǎng) 關(guān)收 款 人付 款 人認(rèn) 證 中 心發(fā) 卡 行收 單 行認(rèn)證認(rèn)證定單確認(rèn)審核86 SET協(xié)議的工作流程可分為下面 7個步驟： (1) 消費者利用自己的 PC機(jī)通過因特網(wǎng)選定所要購買的物品 ， 并在計算機(jī)上輸入定貨單 ， 定貨單上包括在線商店 、 購買物品名稱及數(shù)量 、 交貨時間及地點等相關(guān)信息 。 (2) 通過電子商務(wù)服務(wù)器與有關(guān)在線商店聯(lián)系 ， 在線商店作出應(yīng)答 ， 告訴消費者所填定貨單的貨物單價 、 應(yīng)付款數(shù) 、 交貨方式等信息是否準(zhǔn)確 ， 是否有變化 。 (3) 消費者選擇付款方式，確認(rèn)定單，簽發(fā)付款指令。此時 SET開始介入。 87 (4) 在 SET中 ， 消費者必須對定單和付款指令進(jìn)行數(shù)字簽名 。 同時利用雙重簽名技術(shù)保證商家看不到消費者的賬號信息 。 (5) 在線商店接受定單后 ， 向消費者所在銀行請求支付認(rèn)可 。 信息通過支付網(wǎng)關(guān)到收單銀行 ， 再到電子貨幣發(fā)行公司確認(rèn) 。 批準(zhǔn)交易后 ， 返回確認(rèn)信息給在線商店 。 (6) 在線商店發(fā)送定單確認(rèn)信息給消費者 。 消費者端軟件可記錄交易日志 ， 以備將來查詢 。 88 (7) 在線商店發(fā)送貨物 ， 或提供服務(wù)；并通知收單銀行將錢從消費者的賬號轉(zhuǎn)移到商店賬號 ， 或通知發(fā)卡銀行請求支付 。 在認(rèn)證操作和支付操作中間一般會有一個時間間隔，例如，在每天的下班前請求銀行結(jié)一天的賬。 89 上述流程的前兩步與 SET無關(guān) ， 從第 (3)步開始 SET起作用 ， 一直到第 (7)步 。 在處理過程中 ， 對通信協(xié)議 、 請求信息的格式 、 數(shù)據(jù)類型的定義等 ， SET都有明確的規(guī)定 。 在操作的每一步 ， 消費者 、 在線商店 、 支付網(wǎng)關(guān)都通過 CA來驗證通信主體的身份 ， 以確保通信的對方不是冒名頂替的 。 因此 ，也可以簡單地認(rèn)為 ， SET協(xié)議充分發(fā)揮了認(rèn)證中心的作用 ，以維護(hù)在任何開放網(wǎng)絡(luò)上的電子商務(wù)參與者提供信息的真實性和保密性 。 90 4. SET協(xié)議的缺陷 從 1996年 4月 SET協(xié)議 ， 大量的現(xiàn)場實驗和實施效果獲得了業(yè)界的支持 ， 促進(jìn)了 SET的發(fā)展 。 但它的推廣應(yīng)用仍然比較緩慢 ， 主要原因是存在下面幾個問題： (1) 協(xié)議沒有說明收單行給在線商店付款前 ， 是否必須收到消費者的貨物接收證書 。 如果在線商店提供的貨物不符合質(zhì)量標(biāo)準(zhǔn) ， 消費者提出疑義 ， 責(zé)任由誰承擔(dān)不明確 。 (2) 協(xié)議沒有擔(dān)保“非拒絕行為”，這意味著在線商店沒有辦法證明訂購是由簽署證書的消費者發(fā)出的。 91 (3) 協(xié)議提供了多層次的安全保障 ， 但顯著增加了復(fù)雜程度 ， 因而變得昂貴 、 互操作性差 ， 實施起來有一定難度 。 (4) ?SET技術(shù)規(guī)范沒有提及在事務(wù)處理完成后，如何安全地保存或銷毀此類數(shù)據(jù)，是否應(yīng)當(dāng)將數(shù)據(jù)保存在消費者、在線商店或收單行的計算機(jī)里。這種漏洞可能使這些數(shù)據(jù)以后受到潛在的攻擊。 92 5. SET協(xié)議的最新擴(kuò)展 (1) 商家初始授權(quán)擴(kuò)展 (The Merchant Initiated Authorization Extension)版本 。 標(biāo)準(zhǔn)的 SET協(xié)議 ， 其授權(quán)是從持卡人采用 SET協(xié)議開始的 。 而商家初始授權(quán)擴(kuò)展允許一個商家為非 SET的訂購進(jìn)行授權(quán)和請款 (Capture Request)。 這些訂購是由持卡人采用非 SET的傳輸方式完成的 ， 如采用電話 、 傳真 、 SSL等方式通知商家支付信息 ， 由商家采用 SET協(xié)議向銀行發(fā)出授權(quán)請求 。該擴(kuò)展拓寬了 SET協(xié)議的應(yīng)用場合 ， 實現(xiàn)了現(xiàn)有電子商務(wù)的支付方式向 SET模式的平滑過渡 。 93 (2) 在線個人識別號擴(kuò)展 (Online PIN Extension to SET )版本 。 個人識別號 (Personal Identification Numbers, PIN)是用戶為支付卡設(shè)定的個人密碼 。 SET協(xié)議在線個人識別號擴(kuò)展版本定義了兩種使用 PIN的擴(kuò)展方式 。 一是持卡人通過任何方式(包括鍵盤 )來輸入 PIN；二是通過安全設(shè)備來輸入 PIN。 在實際應(yīng)用中 ， 根據(jù)支付卡的政策決定使用方式 。 該擴(kuò)展版本增強(qiáng)了信用卡的認(rèn)證信息 ， 為借記卡和 IC卡采用 SET協(xié)議提供了新的用戶信息識別方式 。 94 (3) 芯片卡擴(kuò)展 (Common Chip Extension)版本 。 芯片卡 (如IC卡 )與磁卡相比 ， 具有存儲信息容量大 、 安全性能高 、 使用快捷方便等優(yōu)點 。 SET 持 。 1999年 9月 ， SETC0批準(zhǔn)公布了 Europe International、MasterCard International、 VISA International提交的 “ Common Chip Extension SET ”， 支持芯片卡采用 SET協(xié)議進(jìn)行安全電子交易 ， 并使 SET具有處理芯片卡數(shù)據(jù)的通用擴(kuò)展性能 。 95 演講完畢，謝謝觀看！