電子商務(wù)支付與安全模塊8-在線瀏覽
2025-02-13 23:45本頁面
【正文】 tronic Transaction）等。 （ 5） ： HTML文件（網(wǎng)頁） ? （ 2） HTTP協(xié)議工作原理。服務(wù)器接到請(qǐng)求后，給予相應(yīng)的響應(yīng)信息，其格式為一個(gè)狀態(tài)行，包括信息的協(xié)議版本號(hào)、一個(gè)成功或錯(cuò)誤的代碼，后邊是 MIME信息包括服務(wù)器信息、實(shí)體信息和可能的內(nèi)容。最簡單的情況可能是在用戶代理和服務(wù)器之間通過一個(gè)單獨(dú)的連接來完成。缺省端口是 TCP80，但其它的端口也是可用的。 HTTP只預(yù)示著一個(gè)可靠的傳輸。 SHTTP協(xié)議為 HTTP客戶機(jī)和服務(wù)器提供了多種安全機(jī)制，這些安全服務(wù)選項(xiàng)是適用于 Web上各類用戶的。 ? SHTTP不需要客戶方的公用密鑰證明，但它支持對(duì)稱密鑰的操作模式。它支持端對(duì)端安全傳輸，客戶機(jī)可能首先啟動(dòng)安全傳輸（使用報(bào)頭的信息），用來支持加密技術(shù)。請(qǐng)求報(bào)文的格式由請(qǐng)求行、通用信息頭、請(qǐng)求頭、實(shí)體頭、信息主體組成。 ? 目前有兩種方法來建立連接： HTTPS URI方案（ RFC 2818[14]）和 HTTP （由 RFC2817[15]引入）。安全超文本連接協(xié)議使用 ? 討論與分析： HTTP協(xié)議存在哪些不足？需要做哪些改進(jìn)？ SHTTP協(xié)議有哪些優(yōu)勢？ ? 3．實(shí)務(wù)訓(xùn)練 ? 請(qǐng)上網(wǎng)查詢 HTTP/。 ? （ 2）討論 HTTP協(xié)議的優(yōu)缺點(diǎn)。 第 2單元 電子支付系統(tǒng)應(yīng)用 情景案例 上個(gè)單元的案例討論與分析中提出了一個(gè)問題： HTTP協(xié)議存在哪些不足？張艷麗同學(xué)課后學(xué)習(xí)發(fā)現(xiàn)， HTTP協(xié)議雖然使用極為廣泛，但是卻存在不小的安全缺陷，主要是其數(shù)據(jù)的明文傳送和消息的完整性檢測的缺乏，而這兩點(diǎn)恰好是網(wǎng)絡(luò)支付、網(wǎng)絡(luò)交易應(yīng)用中安全方面最需要關(guān)注的。 任務(wù)思考 什么是安全套接層協(xié)議 SSL？ 它的工作流程是什么 ？ SSL是如何保證通信安全的呢 ？ 任務(wù)分析 HTTP協(xié)議先天固有的安全缺陷可對(duì) web服務(wù)器的安全性造成重大的影響。 為了加強(qiáng) web服務(wù)的安全性，最初有 Netscape提出了HTTPS協(xié)議，用來提供安全可靠的數(shù)據(jù)傳輸。 HTTPS增強(qiáng)的安全性表現(xiàn)在其雙向的身份認(rèn)證確保身份都是真實(shí)可靠的，其數(shù)據(jù)傳輸?shù)臋C(jī)密性提高，數(shù)據(jù)完整性檢驗(yàn)更嚴(yán)格，數(shù)據(jù)報(bào)被重放攻擊的可能性降低。 SSL實(shí)際上是由共同工作的兩層協(xié)議組成，如圖 82所示。 ② SSL報(bào)警協(xié)議。 ④ SSL記錄協(xié)議。 SSL提供的服務(wù)可以歸納為如下三個(gè)方面： ①用戶和服務(wù)器的合法性認(rèn)證。 ③維護(hù)數(shù)據(jù)的完整性。 ? SSL采用了公開密鑰和專有密鑰兩種加密：在建立連接過程中采用公開密鑰；在會(huì)話過程中使用專有密鑰。它保證了客戶和服務(wù)器間事務(wù)的安全性。 ? ①客戶端的瀏覽器向服務(wù)器傳送客戶端 SSL協(xié)議的版本號(hào)，加密算法的種類，產(chǎn)生的隨機(jī)數(shù)，以及其他服務(wù)器和客戶端之間通訊所需要的各種信息。 ? ③客戶利用服務(wù)器傳過來的信息驗(yàn)證服務(wù)器的合法性，服務(wù)器的合法性包括：證書是否過期，發(fā)行服務(wù)器證書的 CA是否可靠，發(fā)行者證書的公鑰能否正確解開服務(wù)器證書的“發(fā)行者的數(shù)字簽名”，服務(wù)器證書上的域名是否和服務(wù)器的實(shí)際域名相匹配。 ? ④用戶端隨機(jī)產(chǎn)生一個(gè)用于后面通訊的“對(duì)稱密碼”，然后用服務(wù)器的公鑰（服務(wù)器的公鑰從步驟②中的服務(wù)器的證書中獲得）對(duì)其加密，然后將加密后的“預(yù)主密碼”傳給服務(wù)器。 ? ⑥如果服務(wù)器要求客戶的身份認(rèn)證，服務(wù)器必須檢驗(yàn)客戶證書和簽名隨機(jī)數(shù)的合法性，具體的合法性驗(yàn)證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的 CA是否可靠，發(fā)行 CA的公鑰能否正確解開客戶證書的發(fā)行 CA的數(shù)字簽名，檢查客戶的證書是否在證書廢止列表（ CRL）中。 ? ⑦服務(wù)器和客戶端用相同的主密碼即“通話密碼”，一個(gè)對(duì)稱密鑰用于SSL協(xié)議的安全數(shù)據(jù)通訊的加解密通訊。 ? ⑧客戶端向服務(wù)器端發(fā)出信息，指明后面的數(shù)據(jù)通訊將使用的步驟⑦中的主密碼為對(duì)稱密鑰，同時(shí)通知服務(wù)器客戶端的握手過程結(jié)束。 ? ⑩ SSL 的握手部分結(jié)束， SSL安全通道的數(shù)據(jù)通訊開始，客戶和服務(wù)器開始使用相同的對(duì)稱密鑰進(jìn)行數(shù)據(jù)通訊，同時(shí)進(jìn)行通訊完整性的檢驗(yàn)。 SSL安全協(xié)議是國際上最早應(yīng)用于電子商務(wù)的一種網(wǎng)絡(luò)安全協(xié)議，至今仍然有許多網(wǎng)絡(luò)商店在使用。 SSL位于 TCP層之上，應(yīng)用層之下，它相對(duì)于應(yīng)用層來說是獨(dú)立的，應(yīng)用層是直接建立在 SSL上的。為解決這一問題， Netscape公司在推出 Web瀏覽器 ，在瀏覽器中引入“表單簽名”功能，以彌補(bǔ)這一缺陷。 實(shí)踐訓(xùn)練 1．課堂討論 （ 1）什么是 SSL協(xié)議？由幾部分構(gòu)成？ （ 2） SSL協(xié)議的工作流程是什么？ （ 3） SSL協(xié)議有哪些優(yōu)缺點(diǎn)？ 2．案例分析 以往，電子商務(wù)的許多應(yīng)用是不進(jìn)行客戶機(jī)認(rèn)證的。對(duì)于基于 SSL的 VPN，以及那些需要對(duì)終端用戶進(jìn)行額外認(rèn)證的應(yīng)用而言，客戶機(jī)認(rèn)證正在成為一種趨勢。盡管兩者認(rèn)證的信息流極為不同，但是從概念上來看，其過程與服務(wù)器認(rèn)證是相同的。在這種情況下，客戶機(jī)必須向服務(wù)器提供有效的證書。 SSL所具有的靈活性和強(qiáng)勁的生命力使其無所不在。 討論與分析： 什么是客戶機(jī)認(rèn)證？它對(duì)提高電子商務(wù)支付的安全性有何作用？ 3．實(shí)務(wù)訓(xùn)練 目前我國開發(fā)的許多電子支付系統(tǒng)，比如中國銀行的長城卡電子支付系統(tǒng)，為什么沒有采用 SSL協(xié)議？ 實(shí)訓(xùn)說明： （ 1）本部分實(shí)訓(xùn)在授課后集中或者分散實(shí)訓(xùn) （ 2）上網(wǎng)查詢相關(guān)知識(shí)，進(jìn)行課堂討論。張麗艷同學(xué)在上個(gè)單元的學(xué)習(xí)中，對(duì) SSL協(xié)議有了較深的了解，但是中國銀行的長城卡電子支付系統(tǒng)為什么沒有采用 SSL協(xié)議呢？ 一定還會(huì)有其他的電子支付安全協(xié)議，通過課后學(xué)習(xí)，了解到中國銀行的長城卡電子支付系統(tǒng)采用的是 SET協(xié)議。 任務(wù)分析 為了克服 SSL安全協(xié)議的缺點(diǎn) ， VISA國際組織及其它公司如 MasterCard、 MicroSoft和 IBM等共同制定了安全電子交易 SET（ Secure Electronic Transactions） 協(xié)議 。 SET在保留對(duì)客戶信用卡認(rèn)證的前提下 ， 又增加了對(duì)商家身份的認(rèn)證 ， 這對(duì)于需要支付貨幣的交易來
物理相關(guān)推薦
鄂ICP備17016276號(hào)-1