【正文】 端點(diǎn)。75幀頭應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭TCP頭TCP頭IP頭IP頭應(yīng)用層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層沒(méi)有 IPSec的數(shù)據(jù)封裝 76應(yīng)用層傳輸層網(wǎng)絡(luò)層IPSec封裝數(shù)據(jù)鏈路層 幀頭IPSec頭應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)TCP頭TCP頭TCP頭IP頭IP頭應(yīng)用數(shù)據(jù)TCP頭IP頭IPSec頭 IPSec尾IPSec尾有 IPSec數(shù)據(jù)封裝77IPSec 協(xié)議 － 1 概述? 提供了一種 端到端 的安全解決方案。VPN74IPSec 協(xié)議 － 1 概述?基本思想：?為 IP層以及上層提供安全保護(hù)。雙向簽名? 470SET協(xié)議小結(jié)? 1由于兩協(xié)議所處的網(wǎng)絡(luò)層次不同，為電子商務(wù)提供的服務(wù)也不相同， 因此在實(shí)踐中應(yīng)根據(jù)具體情況來(lái)選擇獨(dú)立使用或兩者混合使用。但它是一個(gè)面向連接的協(xié)議，只能提供交易中客戶與服務(wù)器間的雙方認(rèn)證，不能實(shí)現(xiàn)多方的電子交易中。但如果電子商務(wù)應(yīng)用是一個(gè)涉及多方交易的過(guò)程，則使用 SET更安全、更通用些。 69? 在網(wǎng)絡(luò)層協(xié)議位置方面 ， SSL是基于傳輸層的通用安全協(xié)議，而 SET位于應(yīng)用層，對(duì)網(wǎng)絡(luò)上其他各層也有涉及。從電子商務(wù)特性來(lái)看，它并不具備商務(wù)性、服務(wù)性、協(xié)調(diào)性和集成性。? 在安全性方面，– SET協(xié)議規(guī)范了 整個(gè)商務(wù)活動(dòng)的流程 ，從持卡人到商家，到支付網(wǎng)關(guān)，到認(rèn)證中心以及信用卡結(jié)算中心之間的信息流走向和必須采用的加密、認(rèn)證都制定了嚴(yán)密的標(biāo)準(zhǔn)，從而最大限度地保證了商務(wù)性、服務(wù)性、協(xié)調(diào)性和集成性。?一旦收到了支付網(wǎng)關(guān)的回復(fù)響應(yīng)，商家軟件就解密數(shù)字信封，驗(yàn)證簽名和消息數(shù)據(jù)，用于同從收單行那里接收的支付相匹配?；貜?fù)響應(yīng)包括與該請(qǐng)求交易的支付有關(guān)的信息。然后使用支付網(wǎng)關(guān)的公鑰對(duì)這一消息生成數(shù)字信封并傳送給支付網(wǎng)關(guān)。如果本購(gòu)買(mǎi)是授權(quán)過(guò)的，則商家通過(guò)發(fā)送貨物或者完成在訂單內(nèi)指明的服務(wù)來(lái)完成對(duì)持卡人訂單的處理。如果一切都是合法的，那么支付網(wǎng)關(guān)會(huì)生成一個(gè)授權(quán)響應(yīng)消息；然后用商家的公鑰對(duì)之生成一個(gè)數(shù)字信封并將它傳送加商家。授權(quán)請(qǐng)求和持卡人的 PI（ 它也以數(shù)字信封的形式傳給支付網(wǎng)關(guān)）被傳送給支付網(wǎng)關(guān)。65HOIMDRSA解密KUC請(qǐng)求報(bào)文SET密文數(shù)字信封PIMDOI持卡人證書(shū)雙向簽名POMDPOMDH||比較OI=訂購(gòu)信息OIMD＝ OI報(bào)文摘要POMD＝ 支付訂購(gòu)報(bào)文摘要H＝ 散列函數(shù)（ SHA－ 1）KUC＝ 顧客的公開(kāi)簽名密鑰66??① 授權(quán)請(qǐng)求：商家軟件生成并數(shù)字簽發(fā)一個(gè)授權(quán)請(qǐng)求，其中包括授權(quán)的數(shù)量、來(lái)自 OI的交易標(biāo)識(shí)符以及其他的關(guān)于交易的信息。– 一旦收到了商家的購(gòu)買(mǎi)響應(yīng)，持卡人軟件就驗(yàn)證商家的證書(shū)以及消息內(nèi)容的數(shù)字簽名。– ③ 處理訂購(gòu)信息，并將支付信息轉(zhuǎn)交給支付網(wǎng)關(guān)進(jìn)行認(rèn)可。– ② 使用消費(fèi)者的公開(kāi)簽名密鑰來(lái)驗(yàn)證雙向簽名。 商家需要這個(gè)信息 這個(gè)信息將被商家轉(zhuǎn)發(fā)給支付網(wǎng)關(guān) – 持卡人生成了一次性的對(duì)稱(chēng)加密密鑰Ｋ s。– 持卡人軟件使用 OI和 PI來(lái)產(chǎn)生一個(gè)雙向簽名。– 商家 證書(shū) 以及支付網(wǎng)關(guān)的證書(shū)– 商家的私鑰對(duì)該信息進(jìn)行數(shù)字簽名后發(fā)送給持卡人。SET規(guī)范定義的交易類(lèi)型 62??購(gòu)買(mǎi)請(qǐng)求由持卡人和商家之間交換的 4個(gè)消息組成：?⑴ 發(fā)起請(qǐng)求 ： 持卡人軟件請(qǐng)求網(wǎng)關(guān)證書(shū)的一個(gè)拷貝；表明該交易中將使用何種品牌的支付卡。60基于 SET的 CA的分級(jí)結(jié)構(gòu) 根 CA品牌 CA地區(qū) CA持卡人 CA 商家 CA 支付網(wǎng)關(guān) CA持卡人 商家 支付網(wǎng)關(guān)61?書(shū) P131– 購(gòu)買(mǎi)請(qǐng)求 ：用戶與商家確定所用支付方式的細(xì)節(jié)；– 支付授權(quán)：商家會(huì)與銀行核實(shí)，隨著交易的進(jìn)展，他們將得到付款– 支付獲取：商家向銀行出示所有交易的細(xì)節(jié)，然后銀行以適當(dāng)方式轉(zhuǎn)移貨款。59? 思考：商家是否可用另一個(gè) OI來(lái)代替？? 那么它就必須找到另一個(gè)散列數(shù)據(jù)與已經(jīng)存在的 OIMD相匹配的 OI， 這被認(rèn)為是不可行的。思考：如何驗(yàn)證思考：如何驗(yàn)證訂購(gòu)信息的完整？訂購(gòu)信息的完整？57? 2銀行收到 OIMD、 PI、 DS,知道 Kuc持卡人的公鑰– 計(jì)算 H(OIMD||H(PI))和 DKUc[DS]， 驗(yàn)證該簽名。電話 卡號(hào)＋￥ 5000? 第二次 電視機(jī) 連接可以防止這個(gè)問(wèn)題 。?思考思考 為為 什么要什么要 連連 接？接？54Dual Signature? 假設(shè)消費(fèi)者將兩個(gè)報(bào)文發(fā)送給商家 ─ 簽名的 OI和簽名的 PI? 接著商家將 PI繼續(xù)傳遞給銀行。?消費(fèi)者想要將 訂購(gòu)信息 (OI)發(fā)送給 商家?將 支付信息 (PI)發(fā)送給 銀行 。8. 商家把訂購(gòu)者的消息傳送到收單行，收單行可以解密信用卡號(hào)，并通過(guò)認(rèn)證驗(yàn)證簽名；9. 收單行向發(fā)卡行查問(wèn)，確認(rèn)用戶信用卡是否屬實(shí)；10. 發(fā)卡行認(rèn)可并簽證該筆交易；11. 收單行認(rèn)可商家并簽證此交易；12. 商家向持卡人傳送貨物和收據(jù)；13. 交易成功，商家向收單行索款；14. 收單行按合同將貨款劃給商家。6. 瀏覽器發(fā)送定購(gòu)信息，信息用商家的公鑰加密，支付信息用銀行的公鑰加密以保證支付只為特定的訂購(gòu)者使用。4. 持卡人定購(gòu)貨物。2. 持卡人收到一個(gè)作為在線購(gòu)買(mǎi)或其他交易的信用卡的電子證書(shū)，它包括一個(gè)公鑰和一個(gè)有效期限。MasterCard兩大信用卡公組織制定了 SET協(xié)議，為網(wǎng)上信用卡支付提供了全球性的標(biāo)準(zhǔn)。但隨著電子商務(wù)的發(fā)展，各中小型公司也參與進(jìn)來(lái)，這樣在電子支付過(guò)程中的單一認(rèn)證問(wèn)題就越來(lái)越突出。? SSL協(xié)議運(yùn)行的基礎(chǔ)是商家對(duì)消費(fèi)者信息保密的承諾，這就有利于商家而不利于消費(fèi)者。? B上網(wǎng)時(shí)用鼠標(biāo)點(diǎn)擊到這個(gè)安全網(wǎng)頁(yè)的鏈接().接著，服務(wù)器和瀏覽器進(jìn)行握手協(xié)議。 ? MAC寫(xiě)密鑰和寫(xiě)密鑰：對(duì)于一個(gè)連接， 從主密碼中生成的。Key39SSL協(xié)議 —6 密碼計(jì)算? 主密碼：從預(yù)主密碼衍生出來(lái)的 該過(guò)程稱(chēng)為 會(huì)話 ID重用 。data38SSL協(xié)議 —5 握手協(xié)議要注意的問(wèn)題：由于公鑰加密算法的速度非常慢。ciphercipherhelloServerHello消息 服務(wù)器發(fā)送一個(gè)含有相同 sessionhello:會(huì)話 ID是要恢復(fù)的會(huì)話的 sessionciphercipherexchange(certificatedone(Client Certificate)Clientrequest)ServerhelloServer但是客戶端不需要將密鑰告訴服務(wù)器，因?yàn)榉?wù)器可使用前面的隨機(jī)數(shù)和算法計(jì)算出同樣的密鑰。specfinishedClient Certificate:客戶的 。verify)Changekeydone(clientrequest)ServerhelloServer33SSL協(xié)議 —5 握手協(xié)議? 建立一個(gè)新的握手過(guò)程Client hello 包括：客戶端支持的 SSL版本號(hào)產(chǎn)生的隨機(jī)數(shù)會(huì)話 ID密碼算法列表壓縮方法列表Clientserver34Client helloServer hello(server Certificate)(Server key exchange)(certificate request)Server hello doneClient serverServer hello：從客戶列表中選出的 SSL版本號(hào)產(chǎn)生的隨機(jī)數(shù)會(huì)話 ID從客戶列表中選出密碼算法選定的壓縮算法Server Certificate:由 CA簽發(fā)的 。Verify(證明檢查 )消息 Exchange(客戶端密鑰交換 )消息 Client? ⑼ Client32? ⑻ Done(服務(wù)器問(wèn)候結(jié)束 )消息 Server? ⑺ CertificateExchange(服務(wù)器密鑰交換 )消息? ⑹ ServerCertificate(服務(wù)器證明 )消息? ⑸ Hello(服務(wù)器問(wèn)候 )消息 Hello(客戶端問(wèn)候 )消息 Request(問(wèn)候請(qǐng)求 )? 握手協(xié)議由一系列在客戶端和服務(wù)器端之間交換的消息組成 每次握手都存在一個(gè)會(huì)話和一個(gè)連接，連接一定是新的，但會(huì)話可能是新的，也可能是已存在的會(huì)話。 ? 組成組成– 第一個(gè)字節(jié)的值為 warning(警告 )或 fatal(致命 )，表示消息的嚴(yán)重性等級(jí)。28SSL協(xié)議 —5 告警協(xié)議 ? 作用作用? 包括若干個(gè)告警消息– 當(dāng)握手過(guò)程或數(shù)據(jù)加密等操作出錯(cuò)誤或發(fā)生異常情況時(shí)，向?qū)Ψ桨l(fā)出警告或中止當(dāng)前連接。? 所有意外的更改密碼規(guī)范消息都將產(chǎn)生一個(gè) “意外消息 ” （ unexpected 加密 附另 SSL記錄報(bào)頭 壓縮 應(yīng)用數(shù)據(jù) SSL握手協(xié)議SSL記錄協(xié)議TCPIPSSL告警協(xié)議SSL修改密文協(xié)議應(yīng)用數(shù)據(jù)協(xié)議HTTP、 FTP、 Tel等25SSL協(xié)議 —3 記錄層協(xié)議? SSL記錄協(xié)議的發(fā)送過(guò)程記錄協(xié)議的發(fā)送過(guò)程 (接收過(guò)程反之 )secrets– IVs– 消息序列號(hào)? 對(duì)當(dāng)前的連接中要傳送的 高層數(shù)據(jù) 實(shí)施壓縮 /解壓縮、加 /解密、計(jì)算 /校驗(yàn) MAC等操作。握手協(xié)議商量一個(gè)會(huì)話密鑰，然后用對(duì)稱(chēng)的加密算法對(duì)數(shù)據(jù)加密– 連接的標(biāo)識(shí)符用非對(duì)稱(chēng)算法加密– 連接是可靠的。– 連接是短暫的，對(duì)應(yīng)一個(gè)會(huì)話，而一個(gè)會(huì)話可被多次連接使用。?TCP連接和 SSL會(huì)話的關(guān)系?安全連接的特性21? 連接和會(huì)話的關(guān)系– 連接是傳輸層中的概念–SSL會(huì)話聯(lián)系客戶端和服務(wù)器，由 SSL握手協(xié)議建立，制定一系列加密的安全參數(shù)。允許服務(wù)器證實(shí)客戶的身份?？蛻翳b別 (可選 )(3)SSL(2)(CertificateL功能的瀏覽器維持一個(gè)表，上面有一些可信賴(lài)的 認(rèn)證中心 具有 ?SSL連接上所傳送的應(yīng)用層協(xié)議數(shù)據(jù)都會(huì)被加密，從而保證通信的機(jī)密性。 15