SET協(xié)議和SSL協(xié)議

1、第四章第四章SET協(xié)議和協(xié)議和SSL協(xié)議協(xié)議掌握SET協(xié)議的概念、參與方及目標(biāo)，能夠整體上掌握SET協(xié)議的基本原理； 掌握SET協(xié)議中的認(rèn)證技術(shù)、加密技術(shù)等； 理解SET協(xié)議的安全性、復(fù)雜性及性能； 掌握SSL協(xié)議的目標(biāo)，理解SSL協(xié)議的安全性問(wèn)題； 掌握記錄協(xié)議、握手協(xié)議的原理； 了解SET協(xié)議與SSL協(xié)議的區(qū)別和聯(lián)系。知識(shí)目標(biāo)知識(shí)目標(biāo)初步掌握SET協(xié)議和SSL協(xié)議的處理流程。技能目標(biāo)技能目標(biāo)第一節(jié)第一節(jié) SET協(xié)議協(xié)議第一節(jié)第一節(jié)SET協(xié)議協(xié)議（一）（一） SET協(xié)議的概念協(xié)議的概念SET（secure electronic transaction）協(xié)議即安全電子傳輸協(xié)議，是由Visa、M

2、asterCard以及其他一些業(yè)界的主流廠商經(jīng)過(guò)多年研究于1997年提出的，一種旨在保證在開放網(wǎng)絡(luò)環(huán)境下電子商務(wù)中的支付安全的網(wǎng)絡(luò)安全協(xié)議。SET協(xié)議基于應(yīng)用層，因此，它也是一種基于信息流的協(xié)議。第一節(jié)第一節(jié) SET協(xié)議協(xié)議實(shí)際上，SET協(xié)議是一個(gè)十分復(fù)雜的網(wǎng)絡(luò)協(xié)議，從宏觀上講，主要有以下幾個(gè)特點(diǎn)。SET協(xié)議保證網(wǎng)絡(luò)交易的安全、高效和準(zhǔn)確SET協(xié)議的設(shè)計(jì)基于多種外部標(biāo)準(zhǔn)SET協(xié)議受到眾多廠商、機(jī)構(gòu)的支持SET協(xié)議為實(shí)現(xiàn)其功能，整合了多種網(wǎng)絡(luò)安全技術(shù)第一節(jié)第一節(jié) SET協(xié)議協(xié)議SET協(xié)議的設(shè)計(jì)基于多種外部標(biāo)準(zhǔn)（1） ASN.1（7） PKCS（9） TCP/IPTCP/IP又名網(wǎng)絡(luò)通信協(xié)議（10

3、） X-509標(biāo)準(zhǔn)是一種數(shù)字證書標(biāo)準(zhǔn)，由國(guó)際電信聯(lián)盟（8） SHASHA又名單向雜湊函數(shù)（2）DER（6） MIME（4）HMAC（3）DEA（5）HTTP第一節(jié)第一節(jié) SET協(xié)議協(xié)議SET協(xié)議為實(shí)現(xiàn)其功能，整合了多種網(wǎng)絡(luò)安全技術(shù)第一節(jié)第一節(jié) SET協(xié)議協(xié)議（二）（二） SET協(xié)議的參與方協(xié)議的參與方網(wǎng)絡(luò)商家持卡人收單銀行認(rèn)證中心支付網(wǎng)關(guān)發(fā)卡銀行第一節(jié)第一節(jié) SET協(xié)議協(xié)議（三）（三） SET協(xié)議的目標(biāo)協(xié)議的目標(biāo)解決多方認(rèn)證問(wèn)題保證信息在網(wǎng)絡(luò)上的安全傳輸保證網(wǎng)上交易的實(shí)時(shí)性提供一個(gè)開放式的標(biāo)準(zhǔn)、規(guī)范協(xié)議和消息格式保證電子商務(wù)參與者信息的相互隔離12345第一節(jié)第一節(jié) SET協(xié)議協(xié)議二、二、 S

4、ET協(xié)議的相關(guān)技術(shù)協(xié)議的相關(guān)技術(shù)（一）（一） SET協(xié)議的認(rèn)證技術(shù)協(xié)議的認(rèn)證技術(shù)SET協(xié)議的認(rèn)證是通過(guò)第三方（認(rèn)證中心）來(lái)實(shí)現(xiàn)的。所謂認(rèn)證，就是對(duì)對(duì)方網(wǎng)絡(luò)身份的鑒別，保證對(duì)方身份可信的過(guò)程。第一節(jié)第一節(jié) SET協(xié)議協(xié)議1. 數(shù)字證書支付網(wǎng)關(guān)證書商家證書收單行證書和發(fā)卡行證書持卡人證書第一節(jié)第一節(jié) SET協(xié)議協(xié)議2. 證書的管理結(jié)構(gòu)（1） RCA（7） 持卡人（9） 支付網(wǎng)關(guān)（8） 商家（2） BCA（6） PCA（4） CCA（3） GCA（5） MCA第一節(jié)第一節(jié) SET協(xié)議協(xié)議2. 證書的管理結(jié)構(gòu)第一節(jié)第一節(jié) SET協(xié)議協(xié)議3. 證書的發(fā)行、更新和撤銷（1） 證書的發(fā)行（certifica

5、te issuance）。證書的發(fā)行有3種方式：Web方式（交互方式）Web方式（交互方式）離線方式（非交互方式）第一節(jié)第一節(jié) SET協(xié)議協(xié)議Web方式的證書申請(qǐng)和發(fā)行。一般來(lái)說(shuō)，該過(guò)程需要經(jīng)歷3個(gè)階段：1 12 23 3持卡人申請(qǐng)證書的請(qǐng)求和應(yīng)答過(guò)程持卡人申請(qǐng)登記表的請(qǐng)求和應(yīng)答過(guò)程證書請(qǐng)求和生成過(guò)程第一節(jié)第一節(jié) SET協(xié)議協(xié)議（2） 證書的更新。證書經(jīng)過(guò)一段時(shí)間的使用后便需要更新，這是由證書本身設(shè)定的失效期決定的。具體的更新周期由CA決定。第一節(jié)第一節(jié) SET協(xié)議協(xié)議（3） 證書的撤銷。SET協(xié)議針對(duì)參與交易的不同對(duì)象，制定了具體的證書撤銷程序。支付網(wǎng)關(guān)證書的撤銷CA證書的撤銷商家證書的撤銷

6、持卡人證書的撤銷第一節(jié)第一節(jié) SET協(xié)議協(xié)議（二）（二） SET協(xié)議的加密技術(shù)協(xié)議的加密技術(shù)數(shù)字信封和數(shù)字簽名雙重簽名消息摘要第一節(jié)第一節(jié) SET協(xié)議協(xié)議三、三、 SET協(xié)議分析協(xié)議分析（一）（一） SET協(xié)議的處理流程協(xié)議的處理流程購(gòu)買請(qǐng)求商家注冊(cè)支付授權(quán)支付請(qǐng)款持卡人注冊(cè)12345第一節(jié)第一節(jié) SET協(xié)議協(xié)議（二）（二） SET協(xié)議的復(fù)雜性分析協(xié)議的復(fù)雜性分析由以上的內(nèi)容可知，SET協(xié)議的交易是十分復(fù)雜的，需要驗(yàn)證證書9次、驗(yàn)證數(shù)字簽名6次、傳遞證書7次、進(jìn)行數(shù)字簽名5次、對(duì)稱加密4次、非對(duì)稱加密4次。完成一個(gè)以SET協(xié)議為基礎(chǔ)的交易過(guò)程需要一兩分鐘，有時(shí)需要更長(zhǎng)的時(shí)間。此外，SET協(xié)議的

7、證書格式也較為特殊，因?yàn)樗怯蒝isa和MasterCard開發(fā)，并且按照信用卡支付方式來(lái)定義的。第一節(jié)第一節(jié) SET協(xié)議協(xié)議（三）（三） SET協(xié)議的安全性分析協(xié)議的安全性分析數(shù)據(jù)完整性數(shù)據(jù)完整性不可否認(rèn)性機(jī)密性第一節(jié)第一節(jié) SET協(xié)議協(xié)議（四）（四） SET協(xié)議的性能分析協(xié)議的性能分析SET協(xié)議的優(yōu)點(diǎn)：（1） SET協(xié)議為商家提供了保護(hù)自己的手段，減少了其在正常的商業(yè)活動(dòng)中受到的欺詐和騷擾。（2） SET協(xié)議使網(wǎng)絡(luò)交易成為可能，大大降低了企業(yè)的運(yùn)行成本和管理成本。第一節(jié)第一節(jié) SET協(xié)議協(xié)議（3） SET協(xié)議保護(hù)了消費(fèi)者的權(quán)益，保證了消費(fèi)者的信息不被竊取，保證了交易者在整個(gè)交易過(guò)程中的安全

8、。（4） SET協(xié)議將傳統(tǒng)的商業(yè)活動(dòng)帶入了互聯(lián)網(wǎng)，為商業(yè)活動(dòng)開辟了一種新的交易模式，使其相對(duì)于傳統(tǒng)的商貿(mào)活動(dòng)更具有活力。（5） SET協(xié)議定義了特定的互操作接口，是一個(gè)可以由不同廠商的產(chǎn)品構(gòu)筑的系統(tǒng)。第一節(jié)第一節(jié) SET協(xié)議協(xié)議SET協(xié)議的不足：（1） SET協(xié)議的報(bào)文消息太過(guò)復(fù)雜。（2） SET協(xié)議涉及的參與者相對(duì)較多，參與方的工作量較大。（3） SET協(xié)議僅解決了支付信息的認(rèn)證問(wèn)題，而沒(méi)有解決交易中證據(jù)的生成和保留問(wèn)題。（4） SET協(xié)議中沒(méi)有對(duì)交易過(guò)程和交易狀態(tài)作出描述。第二節(jié)第二節(jié) SSL協(xié)議協(xié)議一、一、 SSL協(xié)議概述協(xié)議概述第二節(jié)第二節(jié) SSL協(xié)議協(xié)議1.SSL協(xié)議的目標(biāo)SSL協(xié)議

9、的目標(biāo)按照實(shí)現(xiàn)的先后順序排列如下：建立安全的連接實(shí)現(xiàn)可操作性實(shí)現(xiàn)可擴(kuò)展性第二節(jié)第二節(jié) SSL協(xié)議協(xié)議2. SSL協(xié)議實(shí)現(xiàn)的功能用戶和服務(wù)器的合法性認(rèn)證加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)安全保護(hù)數(shù)據(jù)的完整性第二節(jié)第二節(jié) SSL協(xié)議協(xié)議3. SSL協(xié)議與電子商務(wù)安全的關(guān)系SSL協(xié)議的運(yùn)行前提是商家對(duì)客戶信息保密。保密的信息既包括交易的信息，也包括客戶個(gè)人信息或團(tuán)體信息。在交易過(guò)程中，商家對(duì)客戶的認(rèn)證是必要的，但是整個(gè)過(guò)程還是缺乏客戶對(duì)商家的認(rèn)證，協(xié)議本身主要依賴于商家的可靠性。但隨著電子商務(wù)參與廠商的不斷增加，商家的信譽(yù)度往往會(huì)出現(xiàn)問(wèn)題，這也暴露出了SSL協(xié)議的問(wèn)題。所以，近幾年開發(fā)的電子支付系統(tǒng)往往不以

10、SSL協(xié)議為基礎(chǔ)，而多數(shù)采用SET協(xié)議?？梢哉f(shuō)，SSL協(xié)議有被SET協(xié)議取代的趨勢(shì)。第二節(jié)第二節(jié) SSL協(xié)議協(xié)議二、二、 SSL中的記錄協(xié)議和握手協(xié)議中的記錄協(xié)議和握手協(xié)議（一）（一） SSL記錄協(xié)議記錄協(xié)議SSL記錄數(shù)據(jù)格式SSL記錄協(xié)議的作用第二節(jié)第二節(jié) SSL協(xié)議協(xié)議（二）（二） SSL握手協(xié)議握手協(xié)議1. SSL握手協(xié)議的各個(gè)階段接通階段密鑰交換階段會(huì)話密鑰生成階段客戶機(jī)認(rèn)證階段服務(wù)器證實(shí)階段結(jié)束階段第二節(jié)第二節(jié) SSL協(xié)議協(xié)議2. 握手報(bào)文CLIENT-HELLO報(bào)文CLIENT-FINISHED報(bào)文SERVER-HELLO報(bào)文CLIENT-MASTER-KEY報(bào)文第二節(jié)第二節(jié) SS

11、L協(xié)議協(xié)議3. SSL握手協(xié)議的作用SSL中的握手協(xié)議，將公鑰加密技術(shù)與對(duì)稱密鑰加密技術(shù)的應(yīng)用結(jié)合在一起，有機(jī)地組成了互聯(lián)網(wǎng)（或其他網(wǎng)絡(luò)）上信息安全傳輸?shù)耐ǖ?。通過(guò)SSL，客戶端與服務(wù)器端可以互相傳送自己的數(shù)字證書、互相驗(yàn)證合法性，這樣既可以減少用戶因虛假網(wǎng)站所造成的損失，又可以保護(hù)網(wǎng)站免受不良信息的影響。第二節(jié)第二節(jié) SSL協(xié)議協(xié)議三、三、 SSL協(xié)議的安全性分析協(xié)議的安全性分析SSL協(xié)議的安全性分析包括安全機(jī)制分析和脆弱性分析兩種。安全機(jī)制分析脆弱性分析第二節(jié)第二節(jié) SSL協(xié)議協(xié)議（一）（一） 安全機(jī)制分析安全機(jī)制分析完整性機(jī)制抗重放攻擊加密機(jī)制鑒別機(jī)制第二節(jié)第二節(jié) SSL協(xié)議協(xié)議（二）（

12、二） 脆弱性分析脆弱性分析SSL協(xié)議自身的缺陷SSL協(xié)議不規(guī)范引起的問(wèn)題第二節(jié)第二節(jié) SSL協(xié)議協(xié)議1. SSL協(xié)議自身的缺陷引起的問(wèn)題（1） 客戶端假冒（2） SSL協(xié)議無(wú)法提供基于UDP應(yīng)用的安全保護(hù)（3） SSL協(xié)議不能對(duì)抗通信流量分析（4） 容易遭受基于公鑰加密標(biāo)準(zhǔn)（PKCS）協(xié)議的自適應(yīng)選擇密文攻擊（5） 進(jìn)程中的主密鑰泄露（6） 磁盤上的臨時(shí)文件可能遭受攻擊第二節(jié)第二節(jié) SSL協(xié)議協(xié)議2. SSL協(xié)議不規(guī)范引起的問(wèn)題對(duì)證書的攻擊和竊取安全盲點(diǎn)中間人攻擊IE瀏覽器的SSL身份鑒別缺陷第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較一、一、 SET協(xié)議和協(xié)議和SSL協(xié)議的內(nèi)容

13、對(duì)比協(xié)議的內(nèi)容對(duì)比兩個(gè)協(xié)議之間的區(qū)別有以下幾點(diǎn)：（1） SET協(xié)議是一個(gè)多方的報(bào)文協(xié)議，定義了發(fā)卡銀行、持卡人、收單銀行和網(wǎng)絡(luò)商家之間必須遵守的報(bào)文規(guī)范；SSL協(xié)議只是簡(jiǎn)單地在交易雙方之間建立安全的連接。（2） SET協(xié)議允許各方之間的報(bào)文交換不是實(shí)時(shí)的；而SSL協(xié)議則是面向連接的，體現(xiàn)的是消息的實(shí)時(shí)交換。（3） SET報(bào)文能夠在銀行內(nèi)部網(wǎng)或者其他網(wǎng)絡(luò)上傳播，而基于SSL協(xié)議的卡支付系統(tǒng)只能與Web瀏覽器捆綁在一起。第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較二、二

14、、 SSL協(xié)議和協(xié)議和SET協(xié)議的性能對(duì)比協(xié)議的性能對(duì)比為了更好地體現(xiàn)兩個(gè)協(xié)議在性能上的差異，下面從影響協(xié)議性能的兩方面客戶計(jì)算機(jī)和電子商務(wù)服務(wù)器來(lái)進(jìn)行對(duì)比?？蛻粲?jì)算機(jī)電子商務(wù)服務(wù)器第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較三、三、 SET協(xié)議與協(xié)議與SSL協(xié)議的費(fèi)用對(duì)比協(xié)議的費(fèi)用對(duì)比（1） 對(duì)于小型和中型電子商務(wù)應(yīng)用，沒(méi)有附加服務(wù)器費(fèi)用來(lái)支持SET協(xié)議和SSL協(xié)議，在可預(yù)期的負(fù)載下，這些價(jià)格范圍的服務(wù)器性能是足夠的。（2） 對(duì)于大型電子商務(wù)服務(wù)器應(yīng)用，SET協(xié)議要求額外的硬件加速，其中中型的硬件加速設(shè)備占服務(wù)器費(fèi)用的5

15、%6%。第三節(jié)第三節(jié) SET協(xié)議與協(xié)議與SSL協(xié)議的比較協(xié)議的比較（3） 對(duì)于小型支付網(wǎng)關(guān)的應(yīng)用，SET協(xié)議和SSL協(xié)議都要求硬件加速，但是隨著服務(wù)器性能的提高，以及其他處理能力的提高，如橢圓曲線密碼體制（ECC），也可能不使用額外加速硬件。預(yù)計(jì)將來(lái)加速硬件將成為服務(wù)器的標(biāo)準(zhǔn)硬件配置。（4） 大型支付網(wǎng)關(guān)的應(yīng)用多采用雙機(jī)Cluster系統(tǒng)，對(duì)于SET協(xié)議和SSL協(xié)議的費(fèi)用主要是在雙機(jī)Cluster系統(tǒng)上的投資，因?yàn)槊艽a加速硬件的費(fèi)用至少是單機(jī)的兩倍。本章小結(jié)本章小結(jié)本章主要介紹了網(wǎng)絡(luò)交易過(guò)程中的安全電子傳輸協(xié)議（SET）和安全套接層協(xié)議（SSL）的基本內(nèi)容。安全電子傳輸協(xié)議（SET）安全套接層

16、協(xié)議（SSL）綜合訓(xùn)練綜合訓(xùn)練1. 什么是SET協(xié)議？2. SET協(xié)議的參與方有哪些？這些參與方各自的職能有哪些？3. 簡(jiǎn)述消息摘要的原理。4. SET協(xié)議需要遵守的外部標(biāo)準(zhǔn)是什么？5. 簡(jiǎn)述數(shù)字簽名和數(shù)字信封的原理。6. 什么是SSL協(xié)議？7. 畫出SSL協(xié)議所處的網(wǎng)絡(luò)結(jié)構(gòu)。8. 簡(jiǎn)述記錄協(xié)議和握手協(xié)議的原理。9. 簡(jiǎn)述RSA技術(shù)發(fā)揮的功用在SET協(xié)議與SSL協(xié)議上的主要區(qū)別。實(shí)訓(xùn)設(shè)計(jì)實(shí)訓(xùn)設(shè)計(jì)模擬使用SET協(xié)議的交互實(shí)訓(xùn)一實(shí)訓(xùn)一實(shí)訓(xùn)二實(shí)訓(xùn)二查找SSL協(xié)議的最新動(dòng)態(tài)初步掌握SET協(xié)議和SSL協(xié)議的處理流程。技能目標(biāo)技能目標(biāo)第一節(jié)第一節(jié) SET協(xié)議協(xié)議實(shí)際上，SET協(xié)議是一個(gè)十分復(fù)雜的網(wǎng)絡(luò)協(xié)議，從宏觀上講，主要有以下幾個(gè)特點(diǎn)。SET協(xié)議保證網(wǎng)絡(luò)交易的安全、高效和準(zhǔn)確SET協(xié)議的設(shè)計(jì)基于多種外部標(biāo)準(zhǔn)SET協(xié)議受到眾多廠商、機(jī)構(gòu)的支持SET協(xié)議為實(shí)現(xiàn)其功能，整合了多種網(wǎng)絡(luò)安全技術(shù)第一節(jié)第一節(jié) SET協(xié)議協(xié)議3. 證書的發(fā)行、更新和撤銷（1） 證書的發(fā)行（certificate issuance）。證書的發(fā)行有3種方式：Web方式（交互方式）Web方式（交互方式）離線方式（非交互方式）第二節(jié)第二節(jié) SSL協(xié)議協(xié)議（二）（二） SSL握手協(xié)議握手協(xié)議1. SSL握手協(xié)議的各個(gè)階段接通階段密鑰交換階段會(huì)話密鑰生成階段客戶機(jī)認(rèn)證階段服務(wù)器證實(shí)階段結(jié)束階段第二節(jié)第二節(jié) SSL協(xié)議協(xié)議3. SS