電子商務(wù)安全技術(shù) 第10章 安全通信協(xié)議與交易協(xié)議

1、 9.1 9.1 IPIPV6 V6安全 安全 9.2 9.2 安全套接層協(xié)議（安全套接層協(xié)議（SSLSSL） 9.3 9.3 安全電子交易協(xié)議（安全電子交易協(xié)議（SETSET） 9.1 IPIPV6 V6安全 安全 IPIPV4 V4的局限性： 的局限性： IPIPv4 v4協(xié)議是我們目前正在使用的 協(xié)議是我們目前正在使用的IPIP協(xié)議協(xié)議 IPIPv4 v4地址空間危機(jī) 地址空間危機(jī) 位數(shù)位數(shù)3232位，可用地址僅位，可用地址僅2 232 32（約 （約4040多億）多億） 網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全 沒(méi)有考慮到網(wǎng)絡(luò)層的安全性沒(méi)有考慮到網(wǎng)絡(luò)層的安全性 IPIPV4 V4地址空間危機(jī) 地址空間危機(jī) I

2、PIPV6 V6的發(fā)展歷程 的發(fā)展歷程 19921992年，年，InternetInternet工程任務(wù)組（工程任務(wù)組（IETFIETF）成立成立IPngIPng工工 作組：作組：IP The Next Generation； 19941994年年，IPngIPng工作組工作組提出提出了了IPngIPng的草案；的草案； 19951995年，年，IPngIPng工作組工作組確定了確定了IPngIPng的協(xié)議規(guī)范，稱為的協(xié)議規(guī)范，稱為 “IPIP版本版本6”6”（IPv6IPv6）； 1995-19991995-1999年完成了年完成了IETFIETF要求的協(xié)議審定和測(cè)試，要求的協(xié)議審定和測(cè)試，

3、 IPIPv6 v6的協(xié)議文本成為標(biāo)準(zhǔn)草案。 的協(xié)議文本成為標(biāo)準(zhǔn)草案。 IPIPV6 V6的主要特點(diǎn) 的主要特點(diǎn) 擴(kuò)展的地址空間：地址長(zhǎng)度由擴(kuò)展的地址空間：地址長(zhǎng)度由3232位擴(kuò)展到位擴(kuò)展到128128位位； 簡(jiǎn)化了報(bào)頭格式簡(jiǎn)化了報(bào)頭格式； 安全特性的支持：安全特性的支持：IPSecIPSec（IPIP Security Security）； 自動(dòng)配置特性；自動(dòng)配置特性； 對(duì)移動(dòng)特性的支持。對(duì)移動(dòng)特性的支持。 IPIPV6 V6的地址 的地址 地址的寫法地址的寫法 u使用點(diǎn)分十進(jìn)制使用點(diǎn)分十進(jìn)制 0.3

4、7.128. 5555 u使用冒號(hào)使用冒號(hào)1616進(jìn)制的寫法進(jìn)制的寫法 6868E6:8c84:FFFF:FFFF:0:1180:96A:FFFFE6:8c84:FFFF:FFFF:0:1180:96A:FFFF IPIPV6 V6和 和IPIPV4 V4報(bào)文比較 報(bào)文比較 IPv4 PDU minimum 20 octets maximum 65535 octets IPv4 HeaderData Field Fixed 40 octets maximum 65535 octets

5、IPv6 PDU 0 or more Transport-level PDUIPv6 Header Extension Header Extension Header 20 Octets+Options:1320 Octets+Options:13字段字段, , 包括包括3 3個(gè)標(biāo)志位個(gè)標(biāo)志位flagsflags 0 bits31 Ver IHLTotal Length Identifier 32 bit Source Address 32 bit Destination Address 482416 Service Type Options and Padding Time to LiveH

6、eader Checksum FlagsFragment Offset 刪除字段刪除字段 Protocol 改動(dòng)字段改動(dòng)字段 IPIPV4 V4的報(bào)頭 的報(bào)頭 40 Octets, 8 fields40 Octets, 8 fields IPIPV6 V6的報(bào)頭 的報(bào)頭 031 Version Traffic Class Flow Label Payload LengthNext HeaderHop Limit 128 bit Source Address 128 bit Destination Address 4122416 Destination Address Source Addres

7、s Ver IHL Service Type IdentificationFlagsOffset TTL ProtocolHeader Checksum Source Address Destination Address Options + Padding Total LengthVerFlow Label Payload Length Next Header Hop Limit Traffic Class 32 bits IPv4 Packet HeaderIPv6 Packet Header IPIPV6 V6和 和IPIPV4 V4報(bào)頭比較 報(bào)頭比較 IPIP安全標(biāo)準(zhǔn)安全標(biāo)準(zhǔn)IPSec

8、IPSec IPSecIPSec(IP Security)(IP Security)是是IPIPv6 v6的一個(gè)組成部分 的一個(gè)組成部分 IPSecIPSec在網(wǎng)絡(luò)層上提供安全服務(wù)在網(wǎng)絡(luò)層上提供安全服務(wù) 彌補(bǔ)彌補(bǔ)IPv4IPv4在協(xié)議設(shè)計(jì)時(shí)缺乏安全性考慮的不足在協(xié)議設(shè)計(jì)時(shí)缺乏安全性考慮的不足 IPSecIPSec提供的兩種安全機(jī)制提供的兩種安全機(jī)制 認(rèn)證認(rèn)證使使IPIP通信的數(shù)據(jù)接收方能夠確認(rèn)數(shù)據(jù)發(fā)送方通信的數(shù)據(jù)接收方能夠確認(rèn)數(shù)據(jù)發(fā)送方 的真實(shí)身份以及數(shù)據(jù)在傳輸過(guò)程中是否被篡改的真實(shí)身份以及數(shù)據(jù)在傳輸過(guò)程中是否被篡改 加密加密對(duì)數(shù)據(jù)進(jìn)行加密來(lái)保證數(shù)據(jù)的機(jī)密性對(duì)數(shù)據(jù)進(jìn)行加密來(lái)保證數(shù)據(jù)的機(jī)密性 I

9、PSecIPSec在在IPIPV6 V6中是強(qiáng)制的，在 中是強(qiáng)制的，在IPIPV4 V4中是可選的 中是可選的 IP SecurityIP Security示意圖示意圖 IPIP安全標(biāo)準(zhǔn)安全標(biāo)準(zhǔn)IPSecIPSec IPIP網(wǎng)絡(luò)層的要求：網(wǎng)絡(luò)層的要求： 認(rèn)證性、完整性和機(jī)密性認(rèn)證性、完整性和機(jī)密性 IPSecIPSec的基本要素：的基本要素： 認(rèn)證協(xié)議頭（認(rèn)證協(xié)議頭（AHAH） 封裝安全載荷（封裝安全載荷（ESPESP） 互聯(lián)網(wǎng)密鑰管理協(xié)議：互聯(lián)網(wǎng)密鑰管理協(xié)議：SASA、IKEIKE 安全關(guān)聯(lián)（安全關(guān)聯(lián)（SASA） SASA(Security Association)(Security Ass

10、ociation) 是發(fā)送者和接收者兩個(gè)是發(fā)送者和接收者兩個(gè)IPSecIPSec系統(tǒng)之間的一個(gè)簡(jiǎn)單系統(tǒng)之間的一個(gè)簡(jiǎn)單 的單向邏輯連接，的單向邏輯連接，是一組與網(wǎng)絡(luò)連接相關(guān)聯(lián)的安全是一組與網(wǎng)絡(luò)連接相關(guān)聯(lián)的安全 信息參數(shù)集合，信息參數(shù)集合，用于實(shí)現(xiàn)安全策略；用于實(shí)現(xiàn)安全策略； 因?yàn)橐驗(yàn)镾ASA是單個(gè)方向的，所以，對(duì)于一個(gè)雙向通信，是單個(gè)方向的，所以，對(duì)于一個(gè)雙向通信， 則需要兩個(gè)則需要兩個(gè)SASA。 每個(gè)每個(gè)SASA通過(guò)三個(gè)參數(shù)來(lái)標(biāo)識(shí)通過(guò)三個(gè)參數(shù)來(lái)標(biāo)識(shí) 安全參數(shù)索引安全參數(shù)索引SPI(Security Parameters Index)SPI(Security Parameters Index)

11、目標(biāo)地址目標(biāo)地址IPIP 安全協(xié)議標(biāo)識(shí)安全協(xié)議標(biāo)識(shí) 認(rèn)證協(xié)議頭（認(rèn)證協(xié)議頭（AHAH） AH(Authentication Header)AH(Authentication Header) 為為IPIP包提供的功能包提供的功能 數(shù)據(jù)完整性數(shù)據(jù)完整性 認(rèn)證功能認(rèn)證功能 認(rèn)證算法由認(rèn)證算法由SASA指定指定 認(rèn)證的范圍：整個(gè)包認(rèn)證的范圍：整個(gè)包 兩種認(rèn)證模式：兩種認(rèn)證模式： 傳輸模式：不改變傳輸模式：不改變IPIP頭，插入一個(gè)頭，插入一個(gè)AHAH 隧道模式：生成一個(gè)新的隧道模式：生成一個(gè)新的IPIP頭，把頭，把AHAH和原來(lái)的和原來(lái)的 整個(gè)整個(gè)IPIP包放到新包放到新IPIP包中包中 封裝安全載荷

12、（封裝安全載荷（ESPESP） ESP(Encapsulating Security Payload)ESP(Encapsulating Security Payload) 提供保密功能，也可以提供認(rèn)證服務(wù)提供保密功能，也可以提供認(rèn)證服務(wù) 將需要保密的用戶數(shù)據(jù)進(jìn)行加密后再封裝到將需要保密的用戶數(shù)據(jù)進(jìn)行加密后再封裝到IP 包中，包中，ESP只認(rèn)證只認(rèn)證ESP頭之后的信息頭之后的信息 認(rèn)證算法也由認(rèn)證算法也由SA指定指定 也有兩種模式：傳輸模式和隧道模式也有兩種模式：傳輸模式和隧道模式 IPSecIPSec的模式的模式 IPSec使用的模式：使用的模式： 傳輸模式傳輸模式 隧道模式隧道模式 9.2

13、 安全套接層協(xié)議（安全套接層協(xié)議（SSLSSL） SSLSSL(Secure Socket Layer)(Secure Socket Layer)協(xié)議的產(chǎn)生背景協(xié)議的產(chǎn)生背景 HTTPHTTP協(xié)議缺少安全保障協(xié)議缺少安全保障 SSLSSL提供數(shù)據(jù)加密、數(shù)據(jù)完整性和認(rèn)證機(jī)制提供數(shù)據(jù)加密、數(shù)據(jù)完整性和認(rèn)證機(jī)制 SSLSSL協(xié)議的發(fā)展歷程協(xié)議的發(fā)展歷程 19941994年，年，NetscapeNetscape開發(fā)了開發(fā)了SSLSSL協(xié)議，專門用于保護(hù)協(xié)議，專門用于保護(hù) WebWeb通訊，通訊，SSL1.0SSL1.0，不成熟不成熟 SSL2.0SSL2.0，基本上解決了，基本上解決了WebWeb通訊

14、的安全問(wèn)題通訊的安全問(wèn)題 SSL3.0SSL3.0，19961996年發(fā)布，增加了一些算法，修改了一年發(fā)布，增加了一些算法，修改了一 些缺陷些缺陷 安全套接層協(xié)議（安全套接層協(xié)議（SSLSSL） SSLSSL協(xié)議的設(shè)計(jì)目標(biāo)協(xié)議的設(shè)計(jì)目標(biāo) SSL協(xié)議被設(shè)計(jì)用來(lái)使用協(xié)議被設(shè)計(jì)用來(lái)使用TCP提供一個(gè)可靠的端到提供一個(gè)可靠的端到 端安全服務(wù)端安全服務(wù) 為兩個(gè)通訊個(gè)體之間提供保密性和完整性為兩個(gè)通訊個(gè)體之間提供保密性和完整性 SSLSSL協(xié)議的使用協(xié)議的使用 使用使用SSLSSL協(xié)議的瀏覽器：協(xié)議的瀏覽器： NetscapeNetscape的的NavigatorNavigator 微軟的微軟的Inter

15、net ExplorerInternet Explorer Internet ExplorerInternet Explorer中的中的SSLSSL設(shè)置設(shè)置 SSLSSL的體系結(jié)構(gòu)的體系結(jié)構(gòu) 協(xié)議分為兩層協(xié)議分為兩層 底層：底層：SSLSSL記錄協(xié)議記錄協(xié)議 上層：上層：SSLSSL握手協(xié)議、握手協(xié)議、SSLSSL密碼變化協(xié)議、密碼變化協(xié)議、SSLSSL警告協(xié)議警告協(xié)議 SSLSSL提供的服務(wù)提供的服務(wù) 身份認(rèn)證身份認(rèn)證 用數(shù)字證書實(shí)現(xiàn)的服務(wù)器認(rèn)證（防止冒名頂替）用數(shù)字證書實(shí)現(xiàn)的服務(wù)器認(rèn)證（防止冒名頂替） 保密性保密性 加密傳輸信息（防止竊聽）加密傳輸信息（防止竊聽） 數(shù)據(jù)完整性數(shù)據(jù)完整性 保

16、證數(shù)據(jù)信息完整性（防止對(duì)數(shù)據(jù)的損壞）保證數(shù)據(jù)信息完整性（防止對(duì)數(shù)據(jù)的損壞） 9.3 安全電子交易協(xié)議安全電子交易協(xié)議（SETSET） SETSET( (Secure Electronic TransactionSecure Electronic Transaction) )協(xié)議的產(chǎn)生協(xié)議的產(chǎn)生 背景背景 電子商務(wù)交易的廣泛應(yīng)用電子商務(wù)交易的廣泛應(yīng)用 需要保護(hù)需要保護(hù)InternetInternet上信用卡交易的安全性上信用卡交易的安全性 SETSET協(xié)議的發(fā)展歷程協(xié)議的發(fā)展歷程 19951995年，年，VISA和和MasterCard兩大信用卡公司聯(lián)合兩大信用卡公司聯(lián)合 推出推出SET協(xié)議協(xié)議

17、 SET協(xié)議得到了協(xié)議得到了IBM、Netscape、Microsoft、 Oracle、VeriSign等公司的支持等公司的支持 安全電子交易協(xié)議安全電子交易協(xié)議（SETSET） SETSET協(xié)議的設(shè)計(jì)目標(biāo)協(xié)議的設(shè)計(jì)目標(biāo) SETSET主要為了解決用戶、商家和銀行之間通過(guò)信用主要為了解決用戶、商家和銀行之間通過(guò)信用 卡支付的交易而設(shè)計(jì)?？ㄖЦ兜慕灰锥O(shè)計(jì)。 SETSET協(xié)議的要求協(xié)議的要求 支付信息的機(jī)密支付信息的機(jī)密 訂單信息和個(gè)人帳號(hào)信息的隔離訂單信息和個(gè)人帳號(hào)信息的隔離 商戶及持卡人的合法身份商戶及持卡人的合法身份 互可操作性互可操作性 購(gòu)物者購(gòu)物者商商 家家 支付網(wǎng)關(guān)支付網(wǎng)關(guān) 銀銀 行

18、行 發(fā)卡行發(fā)卡行 認(rèn)證中心認(rèn)證中心 1 1 定單及定單及 信用卡號(hào)信用卡號(hào) 6 6 確認(rèn)確認(rèn) 認(rèn)證認(rèn)證認(rèn)證認(rèn)證認(rèn)證認(rèn)證 5 5 確認(rèn)確認(rèn) 2 2 審核審核 3 3 審核審核4 4 批準(zhǔn)批準(zhǔn) 使用使用SETSET進(jìn)行銀行卡支付交易的工作流程進(jìn)行銀行卡支付交易的工作流程 使用使用SETSET進(jìn)行銀行卡支付交易的工作流程進(jìn)行銀行卡支付交易的工作流程 客戶 商家服務(wù)器 $ 銀行 支付網(wǎng)關(guān) 發(fā)卡機(jī)構(gòu) Internet 信息瀏覽 訂單/ 支付 信息處理 訂單/ 支付 信息 結(jié)算和支付 信息 支付和授權(quán) 信息 確認(rèn)授權(quán) 商品和服務(wù)信息發(fā)布 /訂單處理/ 支付管理 /貨款結(jié)算 付款卡 管理和確 認(rèn) 信息瀏覽

19、訂單/ 支付 信息處理 協(xié)議轉(zhuǎn)換和數(shù) 據(jù)接口安全及 鑒別管理 SETSET的安全技術(shù)的安全技術(shù) 消息摘要消息摘要是一個(gè)唯一對(duì)應(yīng)一個(gè)消息或文本的值，它由哈是一個(gè)唯一對(duì)應(yīng)一個(gè)消息或文本的值，它由哈 希（希（HashHash）加密算法對(duì)一個(gè)消息摘要生成一串密文，由此驗(yàn)證消）加密算法對(duì)一個(gè)消息摘要生成一串密文，由此驗(yàn)證消 息在傳輸過(guò)程中沒(méi)有被修改。息在傳輸過(guò)程中沒(méi)有被修改。 數(shù)字簽名數(shù)字簽名SETSET中使用中使用RSARSA算法來(lái)實(shí)現(xiàn)數(shù)字簽名，保證發(fā)送算法來(lái)實(shí)現(xiàn)數(shù)字簽名，保證發(fā)送 者對(duì)所發(fā)信息不能抵賴。者對(duì)所發(fā)信息不能抵賴。 數(shù)字信封數(shù)字信封在在SETSET中使用對(duì)稱密鑰來(lái)加密數(shù)據(jù)，然后將此對(duì)中使用

20、對(duì)稱密鑰來(lái)加密數(shù)據(jù)，然后將此對(duì) 稱密鑰用接收者的公鑰加密，稱為消息的稱密鑰用接收者的公鑰加密，稱為消息的“數(shù)字信封數(shù)字信封”，將其和，將其和 數(shù)據(jù)一起送給接收者。數(shù)據(jù)一起送給接收者。 雙重簽名雙重簽名SETSET要求將訂單信息和個(gè)人信用卡賬號(hào)信息分別要求將訂單信息和個(gè)人信用卡賬號(hào)信息分別 用商家和銀行的公鑰進(jìn)行數(shù)字簽名，保證商家只能看到訂貨信息，用商家和銀行的公鑰進(jìn)行數(shù)字簽名，保證商家只能看到訂貨信息， 而銀行只能看到賬戶信息。而銀行只能看到賬戶信息。 SETSET和和SSLSSL協(xié)議的比較協(xié)議的比較 安全套接層（安全套接層（SSLSSL）協(xié)議提供了）協(xié)議提供了兩個(gè)端點(diǎn)之間的安兩個(gè)端點(diǎn)之間的安 全鏈接，全鏈接，能對(duì)信用卡和個(gè)人信息提供較強(qiáng)的保護(hù)；能對(duì)信用卡和個(gè)人信息提供較強(qiáng)的保護(hù)；SSLSSL 協(xié)議被大部分協(xié)議被大部分Web瀏覽器和瀏覽器和web服務(wù)器所內(nèi)置，比較容服務(wù)器所內(nèi)置，比較容 易被應(yīng)用易被應(yīng)用。 SET SET協(xié)議比協(xié)議比SSLSSL協(xié)議復(fù)雜，在理論上安全性也更高，協(xié)議復(fù)雜，在理論上安全性也更高， 因?yàn)橐驗(yàn)镾ETSET協(xié)議不僅加密兩個(gè)端點(diǎn)間的連接，還可以加密協(xié)議不僅加密兩個(gè)端點(diǎn)間的連接，還可以加密 和認(rèn)