在線支付安全解決方案

1、第 頁共11頁第 頁共11頁在線支付安全解決方案在線支付概述近年來,，隨著互聯(lián)網(wǎng)的快速發(fā)展，涌現(xiàn)了各種電子商務(wù)，極大地豐富和方便了人們的生活。在線支付的出現(xiàn)，使電子商務(wù)得到進(jìn)一步完善和發(fā)展。在住房和城鄉(xiāng)建設(shè)領(lǐng)域的在線支付泛指持卡人通過使用城市一卡通發(fā)行的IC卡在網(wǎng)絡(luò)和上完成充值業(yè)務(wù)或者消費(fèi)業(yè)務(wù)。通過在線支付平臺不僅可以解決充值網(wǎng)點(diǎn)的數(shù)量問題，還能夠擴(kuò)展出多種應(yīng)用業(yè)務(wù)，比如使用IC卡進(jìn)行水電熱繳費(fèi)、進(jìn)行網(wǎng)購等。系統(tǒng)架構(gòu)設(shè)計(jì)2.1.總體架構(gòu)圖圖1總體架構(gòu)圖一通系統(tǒng)提供一卡通業(yè)務(wù)支持，包括卡片應(yīng)用規(guī)劃，卡片物理介質(zhì)發(fā)行，密鑰管理，清分清算處理。在線支付系統(tǒng)需要一卡通系統(tǒng)的支撐。銀行系統(tǒng)泛指能提供銀行

2、支付的系統(tǒng)，比如網(wǎng)銀和第三方支付系統(tǒng)。客戶能夠借助銀行系統(tǒng)使用銀行卡為卡片的電子錢包進(jìn)行圈存。在線支付系統(tǒng)可以針對資金的流轉(zhuǎn)進(jìn)行清分清算。商戶系統(tǒng)泛指在線支付系統(tǒng)發(fā)展的商戶，客戶可以使用電子錢包賬戶在商戶系統(tǒng)進(jìn)行消費(fèi)。事后在線支付系統(tǒng)可以同商戶怎對發(fā)生的消費(fèi)交易進(jìn)行資金清分清算。客戶客戶指在線支付系統(tǒng)的消費(fèi)群體，持有一卡通發(fā)行卡片和從在線支付系統(tǒng)獲取POS機(jī)具。并借助銀行系統(tǒng)完成對卡片電子錢包的圈存和用電子錢包在商戶系統(tǒng)中進(jìn)行消費(fèi)。卡片卡片由一卡通發(fā)行的?？ㄆ捎稍诰€支付系統(tǒng)開設(shè)專用的電子錢包應(yīng)用區(qū)域?？蛻舫挚ㄆ赑OS機(jī)具上可以完成對電子錢包賬戶上的充値和用電子錢包消費(fèi)完成消費(fèi)?？ㄆ碾娮渝X

3、包應(yīng)用需耍在線支付系統(tǒng)開通。POS機(jī)具POS機(jī)具屈丁-某個(gè)客戶實(shí)體?？褪梢猿植煌目ㄆ赑OS機(jī)具上對卡片電子錢包充值和用電子錢包消費(fèi)完成消費(fèi)。POS機(jī)具需耍被在線支付系統(tǒng)管理起來。網(wǎng)點(diǎn)柜面可以受理客戶的業(yè)務(wù)辦理，完成卡片以及POS機(jī)具的發(fā)放和管理，以及其他相關(guān)業(yè)務(wù)。2.2.系統(tǒng)拓?fù)銹OS支務(wù)線業(yè)臺在付平圖2系統(tǒng)拓?fù)浣Y(jié)構(gòu)在線支付系統(tǒng)依托互聯(lián)網(wǎng)絡(luò)組建業(yè)務(wù)環(huán)境，應(yīng)采用TCP/IP而向連接的通訊方式實(shí)現(xiàn)在線支付系統(tǒng)與家用電腦的連接，應(yīng)采用Internet或?qū)＞W(wǎng)（DDN）方式實(shí)現(xiàn)在線支付系統(tǒng)與外部系統(tǒng)的連接家用電腦增加POS機(jī)具提供與IC卡交互的能力。POS機(jī)具應(yīng)能夠提供IC卡應(yīng)用的安全控制。家用電

4、腦通過瀏覽器，借助POS機(jī)具與在線支付系統(tǒng)的Web服務(wù)器進(jìn)行交互實(shí)現(xiàn)一卡通業(yè)務(wù)在線支付需解決的問題3.1.讀卡器解決在線支付問題的關(guān)鍵是在客戶端提供可安全讀寫非接觸式ic卡的讀寫終端，包括讀取非接觸邏輯加密卡和非接觸CPU卡。讀寫終端是客戶端電腦和非接觸式IC卡通信的專用設(shè)備；讀寫終端應(yīng)能唯一標(biāo)識己，并只能在被住房和城鄉(xiāng)建設(shè)部IC卡應(yīng)用服務(wù)中心和城市雙重授權(quán)的情況下使用，以保證系統(tǒng)的安全性和實(shí)現(xiàn)跨城市互通應(yīng)用。讀寫終端提供PKI認(rèn)證功能，存儲數(shù)字證書，提供密鑰交換、數(shù)據(jù)加解密、數(shù)據(jù)簽名功能；證書下的下發(fā)應(yīng)由住房和城鄉(xiāng)建設(shè)部IC卡應(yīng)用服務(wù)中心統(tǒng)一管理，并下發(fā)給城市進(jìn)行二次初始化。讀寫終端須通過住

5、房和城鄉(xiāng)建設(shè)部IC卡應(yīng)用服務(wù)中心檢測。32業(yè)務(wù)網(wǎng)絡(luò)在線支付涉及到以下四個(gè)網(wǎng)絡(luò)：互聯(lián)網(wǎng)絡(luò)客戶端計(jì)算機(jī)必須接入互聯(lián)網(wǎng)。客戶端計(jì)算機(jī)通過互聯(lián)網(wǎng)，訪問充值專用網(wǎng)頁和支付網(wǎng)關(guān)網(wǎng)頁。支付網(wǎng)關(guān)網(wǎng)絡(luò)和支付網(wǎng)關(guān)系統(tǒng)連接可有兩種模式：a）利用支付網(wǎng)關(guān)提供的相關(guān)的網(wǎng)絡(luò)轉(zhuǎn)賬功能；b）開發(fā)支付網(wǎng)關(guān)接口，實(shí)現(xiàn)支付網(wǎng)關(guān)支付功能；在線支付網(wǎng)絡(luò)在線支付應(yīng)獨(dú)立架設(shè)WEB服務(wù)器和應(yīng)用服務(wù)器。并將WEB服務(wù)器架設(shè)于互聯(lián)網(wǎng)絡(luò)中。和各城市專線網(wǎng)絡(luò)在線支付應(yīng)用服務(wù)器與各一卡通中心間采用加密通信或?qū)Ｓ镁W(wǎng)絡(luò)連接。3.3.安全體系傳輸安全在線支付客戶端和在線支付WEB服務(wù)器間的通信采用HTTPS安全協(xié)議。在握手時(shí)，采用存儲在讀寫器內(nèi)部的客戶端證

6、書進(jìn)行身份認(rèn)證和數(shù)據(jù)加密。在線支付客戶端訪問支付網(wǎng)關(guān)頁面時(shí)的安全由支付網(wǎng)關(guān)負(fù)責(zé)驗(yàn)證支付客戶端的身份合法性，只有通過認(rèn)證的客戶端才允許進(jìn)行其他操作。在線支付服務(wù)端和各卡公司間的通信采用SSL安全協(xié)議。卡公司則安裝服務(wù)器證書，支付服務(wù)端安裝客戶端證書。交易安全在線支付客戶端在對用戶卡進(jìn)行充值時(shí)，需下發(fā)交易密鑰和交易數(shù)據(jù)。此數(shù)據(jù)應(yīng)保證在H卡通公司加密送出后，到讀寫器內(nèi)部解密前，不在任何環(huán)境中出現(xiàn)明文。為適應(yīng)各城市不同的交易流程，讀寫器支持交易腳本的運(yùn)行。在為不同的城市進(jìn)行充值時(shí)，采用不同的充值腳本。充值腳本分為命令腳本和數(shù)據(jù)腳本。命令腳本中還有對用戶卡進(jìn)行操作的流程控制。數(shù)據(jù)腳本中含有對卡進(jìn)行操作的

7、數(shù)據(jù)和密鑰。交易過程中，耍對數(shù)據(jù)腳本和命令腳本進(jìn)行下載。下載的數(shù)據(jù)在各卡公司用讀寫器加解密密鑰對的公鑰進(jìn)行加密，數(shù)據(jù)在讀寫器內(nèi)部由讀寫器加解密密鑰的私鑰進(jìn)行解密。交易完成后，讀寫器用私鑰對交易數(shù)據(jù)進(jìn)行簽名。并將數(shù)據(jù)返回給各城市卡公司。4.數(shù)字認(rèn)證認(rèn)證（CA）系統(tǒng)住房和城鄉(xiāng)建設(shè)部CA系統(tǒng)是繼“建設(shè)事業(yè)IC卡密鑰管理系統(tǒng)”之后針對在線支付業(yè)務(wù)應(yīng)用進(jìn)行設(shè)計(jì)開發(fā)，目的是為了確保在線支付的身份認(rèn)證和密鑰傳輸過程中的安全性，結(jié)合“建設(shè)事業(yè)IC卡密鑰管理系統(tǒng)”構(gòu)成住房和城鄉(xiāng)建設(shè)第 #頁共11頁第 頁共11頁領(lǐng)域IC卡的安全體系。住房和城鄉(xiāng)建設(shè)部CA系統(tǒng)部署分布如下圖:第 #頁共11頁第 #頁共11頁第 #頁

8、共11頁第 #頁共11頁圖5系統(tǒng)總體分布圖根CA離線部署在住房和城鄉(xiāng)建設(shè)部IC卡應(yīng)用服務(wù)中心，同時(shí)在建設(shè)部部署一套工作CA及RA；在各省市（通卡公司）均部署工作CA及相應(yīng)的RAo住房和城鄉(xiāng)建設(shè)部1C卡應(yīng)用服務(wù)中心CA系統(tǒng)網(wǎng)絡(luò)拓?fù)淙缦聢D所示:根簽發(fā)系統(tǒng)i|iiI數(shù)摳耐服務(wù)舀交換機(jī)KMCKA21LDAP取務(wù)希9,數(shù)m:服務(wù)羽j、庇書發(fā)布系統(tǒng)證書裳發(fā)系統(tǒng)邊弓二能注冊審核系統(tǒng)RA1注質(zhì)管iw業(yè)芻終端mu終蘇脫的豈窒碼機(jī)簽發(fā)服務(wù)器I錄入,申核闊哲理/審計(jì)終収務(wù)器證終端端應(yīng)碼機(jī)圖6CA系統(tǒng)網(wǎng)絡(luò)拓?fù)涫疽鈭D從LDAP第 #頁共11頁第 #頁共11頁第 #頁共11頁第 #頁共11頁密鑰管理中心的構(gòu)成如下圖所示：

9、第 頁共11頁第 頁共11頁密鈿管理中心客戶端密鑰管理中心服務(wù)器圖7密鑰管理中心拓?fù)涫疽鈭D各省市（通卡公司）的工作CA構(gòu)成與住房和城鄉(xiāng)建設(shè)部IC卡應(yīng)用服務(wù)中心相同，只是沒有根CAo部屈的工作CA負(fù)責(zé)頒發(fā)讀寫器和服務(wù)器證書；各省市（通卡公司）的工作CA負(fù)責(zé)頒發(fā)卡公司、充值終端和讀寫器（雙證書）的證書。各工作CA的LDAP服務(wù)器需要進(jìn)行同步，證書狀態(tài)一有變化，就能及時(shí)反映到所有的證書發(fā)布系統(tǒng)。5.CA系統(tǒng)在交易過程中的應(yīng)用本方案以Ml卡在線充值為例介紹CA此系統(tǒng)在交易過程中的應(yīng)用。CA系統(tǒng)證書下發(fā)流程如下圖所示：圖8證書下發(fā)流程圖證書下發(fā)流程說明：n建設(shè)部統(tǒng)一簽發(fā)各個(gè)城市一卡通公司的證書、讀卡器證

10、書（用于接入充値系統(tǒng)時(shí)進(jìn)行身份認(rèn)證）和用于在線支付平臺的WEB服務(wù)器證書、客戶端證書和服務(wù)器證書。n讀寫器安裝建設(shè)部和城市通卡鬥己發(fā)行的雙證書。n城市一卡通公司的簽發(fā)證書由建設(shè)部統(tǒng)一簽發(fā)。應(yīng)用流程如圖9所示：圖9在線充值應(yīng)用流程圖整個(gè)交易過程有如下兒個(gè)步驟：n讀寫器在接入充值系統(tǒng)時(shí)需耍進(jìn)行身份驗(yàn)證，只有安裝有部頒證書的讀寫器才能通過認(rèn)證；n充值客戶端接入城市一卡通系統(tǒng)時(shí)需耍進(jìn)行證書（省市頒）驗(yàn)證；n交易發(fā)生時(shí)，讀寫器并用H己的私鑰對交易數(shù)據(jù)進(jìn)行簽名，充值系統(tǒng)傳送交易數(shù)據(jù)并記錄交易日志；圖10CA體系對比圖第10頁共II頁第 #頁共11頁n城市一卡通系統(tǒng)通過使用H己頒發(fā)的讀卡器證書驗(yàn)證簽名信息來驗(yàn)證交易數(shù)據(jù)及卡信息是否被篡改，并檢査卡信息；n驗(yàn)證通過后返回充值允許信息（充值密鑰和數(shù)據(jù)腳本），并用IH己的私鑰進(jìn)行簽名；n充值系統(tǒng)通過驗(yàn)證簽名信息來驗(yàn)證返回信息合法性；n讀寫器進(jìn)行充值，并且簽名充值結(jié)果數(shù)據(jù)；n充值系統(tǒng)記錄并傳遞充值結(jié)果數(shù)據(jù)給城市一卡通系統(tǒng)；n城市一卡通系統(tǒng)驗(yàn)證充值結(jié)果數(shù)據(jù)的合法性；n交易結(jié)束。6.建設(shè)部CA體系與第三方CA體系比較建設(shè)部CA體系第三方CA體系第三方CAI通卡公司證書7讀卡器證書通過圖10的