第4章 第二部分 電子商務安全

重點4.2.2-防火墻技術(shù)防火墻是放置在兩個網(wǎng)絡之間的硬件和軟件系統(tǒng)，在用戶內(nèi)網(wǎng)和外網(wǎng)之間設(shè)置一道屏障，用于阻擋對內(nèi)、對外的非法訪問或不安全的數(shù)據(jù)傳遞。對金融企業(yè)的內(nèi)部網(wǎng)（Intranet）而言，防火墻技術(shù)是保護信息資源和系統(tǒng)安全的一種較好的措施，它將內(nèi)部私有網(wǎng)和外部公共網(wǎng)進行隔離，防止外部攻擊者通過因特網(wǎng)（Internet）對內(nèi)部金融網(wǎng)絡的攻擊。防火墻一般具有5大基本功能:過濾進出網(wǎng)絡的數(shù)據(jù)包；管理進出網(wǎng)絡的訪問行為；封堵某些禁止的訪問行為；記錄通過防火墻的信息內(nèi)容和活動；對網(wǎng)絡攻擊進行檢測和警告。3/20/20241網(wǎng)上支付與結(jié)算4.2.2-防火墻技術(shù)防火墻在在金融系統(tǒng)中的作用除了金融企業(yè)內(nèi)部電腦犯罪人員可直接篡改數(shù)據(jù)外,入侵者常采用的攻擊手段包括網(wǎng)絡流偵聽、利用網(wǎng)絡應用攻擊入侵、IP地址欺騙、數(shù)據(jù)包欺騙和植入病毒等。入侵者所以能頻頻入手，主要是由于網(wǎng)絡保護不嚴和數(shù)據(jù)包的加密程度較低造成的。防火墻在網(wǎng)絡金融的安全防衛(wèi)系統(tǒng)中起著重要的作用，是金融企業(yè)內(nèi)部網(wǎng)絡的第一道屏障。為了抵御入侵者的攻擊，金融內(nèi)部網(wǎng)的所有入口點都應設(shè)置防火墻；應根據(jù)協(xié)議類型、源IP地址及端口號、目標IP地址和端口號，來精心設(shè)計包過濾規(guī)則；對所有的諸如FTP、Telnet等的應用，要設(shè)置代理程序來抵御入侵。3/20/20242網(wǎng)上支付與結(jié)算網(wǎng)絡安全-防火墻技術(shù)防火墻的配置方案主要有：1.只包含單一防火墻的簡單配置2.采用單宿主堡壘主機配置的屏蔽主機式的防火墻系統(tǒng)Internet包過濾路由器或網(wǎng)關(guān)專用網(wǎng)Internet包過濾路由器或網(wǎng)關(guān)堡壘主機專用網(wǎng)主機專用網(wǎng)主機專用網(wǎng)主機WEB服務器3/20/20243網(wǎng)上支付與結(jié)算3.采用雙宿主堡壘主機配置的屏蔽主機式的防火墻系統(tǒng)4.屏蔽子網(wǎng)防火墻系統(tǒng)鑒于金融系統(tǒng)的重要性,重要節(jié)點應該按照屏蔽子網(wǎng)防火墻系統(tǒng)配置,將關(guān)鍵應用系統(tǒng)同外部網(wǎng)絡隔離開來.防火墻設(shè)置策略允許基本服務的暢通,拒絕所有不相關(guān)的服務以及非法訪問.Internet包過濾路由器或網(wǎng)關(guān)堡壘主機專用網(wǎng)主機專用網(wǎng)主機專用網(wǎng)主機WEB服務器Internet外部路由器堡壘主機WEB服務器專用網(wǎng)內(nèi)部路由器3/20/20244網(wǎng)上支付與結(jié)算重點密碼技術(shù)加密的概念加密的一般過程加密的主要方法加密算法密碼體制傳輸信息的加密3/20/20245網(wǎng)上支付與結(jié)算加密的概念明文(PlainText)：指信息原文。記作P。密文（CipherText）：又稱密碼，它是指明文經(jīng)過某種變換后的信息。記作C。加密（Encryption）：指依據(jù)加密算法把明文變換成密文的過程。記作E。解密（Decryption）：又稱脫密。指由解密算法把密文變換成明文的過程，是加密的逆過程。記作D。3/20/20246網(wǎng)上支付與結(jié)算加密的概念續(xù)密碼算法：是一些公式、法則或程序，有加密算法和解密算法兩種。加密算法是把信息從明文變換成密文的處理方法，從數(shù)學角度看，加密算法描述了一種從明文到密文之間的函數(shù)變換關(guān)系；解密算法是將密文變換成明文的處理方法，是加密算法的一個逆變換。密鑰（CipherKey）：指在加密和解密過程中使用的一個參數(shù)。在加密和解密過程中使用的密鑰分別稱為加密密鑰和解密密鑰，二者可以相同，也可以不同。密鑰通常記作K。密碼體制：指一個加密系統(tǒng)采用的基本工作方式。構(gòu)成一個密碼體制的兩個基本要素是密碼算法和密鑰。3/20/20247網(wǎng)上支付與結(jié)算加密的一般過程設(shè)明文P是一個二進制序列，加密算法和脫密算法都是一位模二加法，密鑰是一個與明文等長的二進制序列。一位模二加法的運算規(guī)則為：0+0=0，0+1=1+0=1，1+1=0設(shè)明文為：P=01101011密鑰為：K=11010110則密文為：C=10111101則有下圖所示的加密方案。ED01101011

K=11010110

Ke=Kd1011110101101011發(fā)送端接收端明文明文密文3/20/20248網(wǎng)上支付與結(jié)算加密的主要方法換位法替代法混合方法3/20/20249網(wǎng)上支付與結(jié)算加密的主要方法-換位法換位法又稱置換法，它是一種將明文信息中的字符順序進行重排以達到加密的方法。如橫排的文章需要豎著看才能看懂，這樣的形式就是一種初級的換位式密碼。3/20/202410網(wǎng)上支付與結(jié)算加密的主要方法-替代法替代法是用替換字符或字符塊進行加密的一種方法。最簡單的替代法是“碼字”法，即用一本“密碼簿”作為密鑰。3/20/202411網(wǎng)上支付與結(jié)算加密的主要方法-混合法換位法和替代法是兩種基本的加密方法，但在實際使用中，往往將這兩種類型的加密方法混合起來使用，這樣所得到的加密方法稱為混合加密方法。3/20/202412網(wǎng)上支付與結(jié)算混合法舉例-ADFGVX密碼設(shè)P=PRODUCTCIPHERS替代：則C1=FGAGVDVFXADGXVDGXFFGVGGAAGXGADFGVXAKZWR1FD9B6CL5FQ7JPGXGEVY3ANV8O

DH02XU4ISTM3/20/202413網(wǎng)上支付與結(jié)算密鑰DEUTSCH次序2376514中間FGAGVDV密文FXADGXVDGXFFGVGGAAGXGC2=DXGXFFDGGXGGVVVG(1234VGFGGDFAAAXA567)構(gòu)造第二張表：一個密鑰、一個由密鑰所決定的次序，以及根據(jù)密鑰的長度，將替換后的密文排成每行長度與密鑰長度相等的行所組成的矩形,然后按自然數(shù)順序排列。設(shè)K=DEUTSCH，其先后次序為：2376514。則表為：混合方法舉例-ADFGVX密碼3/20/202414網(wǎng)上支付與結(jié)算加密算法加密算法是指將信息由明文變換到密文的處理方法。加密算法通常分為兩種：常規(guī)加密算法（對稱密鑰加密算法）公開密鑰加密算法（非對稱密鑰加密算法）3/20/202415網(wǎng)上支付與結(jié)算常規(guī)加密算法常規(guī)加密算法按信息是否分組分為序列加密算法和分組加密算法兩種。序列加密算法是把明文信息符號序列按順序一個一個符號地進行加密的方法。分組加密算法是把明文信息分成固定長度的分組，并以分組為單位進行加密。常規(guī)加密算法由于加密和解密使用同一個密鑰，所以也稱為對稱密鑰加密算法。即Kd=Ke。3/20/202416網(wǎng)上支付與結(jié)算公開密鑰加密算法公開密鑰加密算法是指把加密與解密分開，用一對密鑰實現(xiàn)。一個是公開的加密密鑰Ke，它是完全公開的（可以象電話號碼一樣公諸于世）。另一個是秘密的解密密鑰Kd，它必須是保密的（即只有持有者自己知道）。這對密鑰規(guī)定了一對變換，其中任一個密鑰都是另一個密鑰的逆變換，但難以從其中一個推導出另一個密鑰。3/20/202417網(wǎng)上支付與結(jié)算密碼體制典型的加密體制主要有兩種：

對稱加密體制

公鑰加密體制3/20/202418網(wǎng)上支付與結(jié)算對稱加密體制-DES對稱加密體制其典型代表有美國的數(shù)據(jù)加密標準(DES-DataEncryptionStandard)、先進加密標準(AES-AdvancedEncryptionStandard)等。DES(DataEncryptionStandard)體制是美國國家標準局1977年1月正式批準的作為非機密部門使用的數(shù)據(jù)加密標準。它是由IBM公司提出的一種分組加密體制，原定使用期限為10年，但由于新的數(shù)據(jù)加密標準遲遲未能出臺，一直使用到2000年10月才被新的加密標準AES替代，目前還有相當多的系統(tǒng)在使用DES算法。該標準頒布時被規(guī)定用于所有公開場合和私人的非保密通訊。后來，它被國際標準化組織采納，并作為國際標準。3/20/202419網(wǎng)上支付與結(jié)算對稱加密體制-DESDES是采用常規(guī)加密算法的加密體制。DES將發(fā)送的明文按64比特分組，并使用64比特的密鑰進行加密，變成64比特的密文。由于密鑰含8比特的奇偶校驗比特，所以，實際密鑰長度是56比特，其密鑰量大約為7乘10的16次方。

DES算法可以由一塊電路或一個程序?qū)崿F(xiàn)加密和解密功能，所以受到用戶的歡迎。當前世界上的絕大多數(shù)加密設(shè)備都配有DES算法，UNIX操作系統(tǒng)的口令保護系統(tǒng)采用的就是DES算法。金融電子化網(wǎng)絡系統(tǒng)目前也大量采用DES加密標準。3/20/202420網(wǎng)上支付與結(jié)算網(wǎng)絡金融安全-數(shù)字簽名機制數(shù)字簽名的概念數(shù)字簽名的種類數(shù)字簽名的實現(xiàn)3/20/202421網(wǎng)上支付與結(jié)算重點數(shù)字簽名的概念數(shù)字簽名是手寫簽名的電子替代物，它提供了與手寫簽名相同或更多的功能。數(shù)字簽名是通過使用單向散列函數(shù)，對要傳送的報文進行處理而產(chǎn)生的信息摘要，使用發(fā)報方的私鑰進行加密后產(chǎn)生的一個字母數(shù)字串。信息摘要本質(zhì)上是由原始信息報文通過某個加密算法產(chǎn)生的一個特殊的數(shù)字信息串，比較短，與原始信息報文之間有一一對應的關(guān)系。就是說，每個信息報文按照某種加密算法都會產(chǎn)生一個自己特定的數(shù)字摘要，像每個人有自己獨特的指紋一樣，所以，信息摘要又稱數(shù)字指紋或數(shù)字手印。目前使用的信息摘要的常用算法有RSA公司提出的MD2和SHA1等，基本上以HASH函數(shù)為基礎(chǔ)，所以也稱HASH編碼法。在信息系統(tǒng)中，一個安全有效的數(shù)字簽名方案必須實現(xiàn)：①收報方能證實發(fā)報方的身份；②發(fā)報方事后不能否認發(fā)送的報文；③收報方或非法者不能偽造、篡改報文，即必須保證信息的完整性。3/20/202422網(wǎng)上支付與結(jié)算數(shù)字簽名的種類數(shù)字簽名從接收者驗證簽名的方式看，可將數(shù)字簽名分為真數(shù)字簽名和仲裁數(shù)字簽名兩種。在真數(shù)字簽名中，簽名者直接把簽名消息發(fā)送給接收者，接收者無需求助于第三者就能驗證簽名。在仲裁數(shù)字簽名中，簽名者把簽名消息由稱作仲裁者的可信第三方發(fā)送給接收者，接收者不能直接驗證簽名，簽名的合法性是通過仲裁媒介來保證，即接收者要驗證簽名必須與仲裁者合作。3/20/202423網(wǎng)上支付與結(jié)算數(shù)字簽名的創(chuàng)建第一步，發(fā)報方運行一個單向散列函數(shù)（如SHA或MD5）從明文信息中產(chǎn)生一個固定長度的信息摘要（或散列值）H(P)。第二步，利用發(fā)報方的私鑰KDA加密所得到的信息摘要。經(jīng)過加密的信息摘要DKDA(H(P))就是數(shù)字簽名。第三步，發(fā)報方把此數(shù)字簽名作為明文信息的附件一起發(fā)送給收報方。發(fā)送時使用對稱密鑰加密算法進行加密,發(fā)報方A使用密鑰KA，對明文P和數(shù)字簽名DKDA(H(P)進行加密，形成報文DKA(DKDA(H(P)),P)。對稱密鑰KB的傳輸可以采用數(shù)字信封的方法進行。3/20/202424網(wǎng)上支付與結(jié)算數(shù)字簽名的實現(xiàn)機制-簽名的驗證首先利用與發(fā)報方相同的密鑰KB對報文進行解密，得到數(shù)字簽名DKDA(H(P))和明文P；然后，用發(fā)報方的公鑰KEA對收到的數(shù)字簽名進行解密。如果能夠解密數(shù)字簽名，即能得到信息摘要H(P)，收報方就知道信息來自所聲稱的發(fā)報方,即收報方驗證了信息來源的真實性。同時，收報方還要運行一個單向散列函數(shù)從收到的信息中產(chǎn)生另一信息摘要（或散列值），并將解密后的信息摘要與收報方生成的信息摘要進行比較。如果這兩份信息摘要相同，收報方就知道信息在傳輸過程中沒有被修改或篡改過，即收報方驗證了信息的完整性。3/20/202425網(wǎng)上支付與結(jié)算數(shù)字簽名的完整過程PHash簽名EDE核對HashKDAKAKBKEAPH(P)DKDA(H(P))DKA(DKDA(H(P),P)DKDA(H(P))H(P)PPH(P)P核對一致3/20/202426網(wǎng)上支付與結(jié)算網(wǎng)絡金融安全-數(shù)字認證技術(shù)數(shù)字證書的概念認證中心（CA）CA的功能3/20/202427網(wǎng)上支付與結(jié)算重點數(shù)字證書的概念數(shù)字證書也叫電子證書，簡稱證書。在很多場合下，數(shù)字證書、電子證書和證書都是X.509公鑰證書的同義詞。是一個經(jīng)證書授權(quán)認證中心數(shù)字簽名的包含公鑰及其擁有者信息的基于計算機的文件。數(shù)字證書通常包含簽名者的身份和公鑰、證書有效期、CA的數(shù)字簽名等信息。實際上，數(shù)字證書是由權(quán)威機構(gòu)—數(shù)字證書認證中心（簡稱認證中心）發(fā)行的，在Internet通信中標識通信各方身份信息的一系列數(shù)據(jù)，其作用類似于日常生活中的身份證，人們依靠它可以在網(wǎng)上識別對方的身份。3/20/202428網(wǎng)上支付與結(jié)算重點認證中心（CA）認證中心（CA）是保障網(wǎng)上支付安全的關(guān)鍵環(huán)節(jié)。它是從事電子鑒別，用于確認發(fā)送和接收電子支付或其它通信各方身份的機構(gòu)。CA主要負責產(chǎn)生、分配并管理所有參與網(wǎng)上支付的實體所需要的數(shù)字證書。每一份數(shù)字證書都與上一級的數(shù)字簽名證書相關(guān)聯(lián)，最終通過安全鏈追溯到一個已知的并被廣泛認為是安全、權(quán)威、足以信賴的機構(gòu)—根認證中心（根CA）。3/20/202429網(wǎng)上支付與結(jié)算認證中心（CA）續(xù)CA具有層次結(jié)構(gòu)。在信任機構(gòu)的最高層是根認證中心（rootCA），一般只有一個，并且自己給自己簽發(fā)證書，它充當信任的根,即信任的起點或終點。根認證中心的下級是策略認證中心（policyCA），它可以有多個，其證書由根認證中心簽發(fā)。策略認證中心的下級是用戶認證中心（userCA），它負責為最終用戶簽發(fā)證書，而它本身的證書則由策略認證中心簽發(fā)。CA的末端為終端實體或終端用戶（enduser）。在CA的層次結(jié)構(gòu)中，每個實體（包括用戶CA、策略CA和終端用戶）都必須擁有根CA的公鑰。3/20/202430網(wǎng)上支付與結(jié)算認證中心（CA）續(xù)從證書的層次看，由下層到上層依次為最終用戶證書、用戶認證中心證書、策略認證中心證書和根認證中心，它們構(gòu)成了一條證書鏈。3/20/202431網(wǎng)上支付與結(jié)算CA的功能注冊管理簽發(fā)證書驗證簽名交叉認證撤消證書3/20/202432網(wǎng)上支付與結(jié)算CA的功能-注冊管理注冊管理主要完成收集用戶（組織或個人）信息、確認用戶身份的功能。注冊管理一般都是由一個獨立的注冊中心（即RA）來承擔。它接受用戶的注冊申請，審查用戶的申請資格，并決定是否同意CA給該用戶發(fā)放數(shù)字證書。但注冊機構(gòu)并不實際給用戶簽發(fā)證書，而只是對用戶資格進行審查。3/20/202433網(wǎng)上支付與結(jié)算CA的功能-簽發(fā)證書CA的核心功能是為合法的申請者簽發(fā)數(shù)字證書。一張數(shù)字證書的主要內(nèi)容包括：證書序列號、證書所有者的唯一識別名、證書所有者的公鑰、證書的有效期，以及CA對證書的數(shù)字簽名等。正是由于數(shù)字證書中存在CA對證書的數(shù)字簽名，因此，對證書中任何內(nèi)容的改動都可以發(fā)現(xiàn)。證書中CA的簽名保證了證書信息的完整性，它可以很容易被驗證。因此，證書的安全就有了堅實的保證，它可以公開發(fā)布。證書一般發(fā)布于一個或多個資源庫（Repository）—電子證書數(shù)據(jù)庫中，也可以采用其它方式進行公布，使所有期望的客戶都能獲得該證書。

3/20/202434網(wǎng)上支付與結(jié)算CA的功能-驗證簽名為了對發(fā)證機構(gòu)的真實性提供保證，認證機構(gòu)以數(shù)字方式簽發(fā)每一個證書。通過利用認證機構(gòu)的公鑰驗證認證機構(gòu)的數(shù)字簽名，就可以驗證認證機構(gòu)所簽發(fā)證書的真實性和完整性。然而，在驗證證書的真實性時，人們對CA的公鑰會存在疑問。為了知道公鑰是否屬于該CA，必須由另一較高級別的CA來認證該CA的公鑰，即充當該CA的認證機構(gòu)。然后，較高級別的CA以數(shù)字方式簽發(fā)所發(fā)的證書，驗證較低級別CA與較低級別CA公鑰之間的關(guān)聯(lián)。較低級別CA將其公鑰證書提供給想要驗證CA數(shù)字簽名的那些人。較高級別的CA需要由另一更高級別的CA來認證它與公鑰之間的關(guān)聯(lián)，如此進行下去，直到獲取了由自己了解和信任的CA所發(fā)放的證書為止。

3/20/202435網(wǎng)上支付與結(jié)算CA的功能-交叉認證利用交叉認證技術(shù)可以擴展CA的信任范圍，它允許不同信任體系中的認證中心建立起可信任的相互依賴關(guān)系，從而使各自簽發(fā)的證書可以相互認證和驗證。交叉認證包括了兩方面的內(nèi)容：首先，兩CA建立起信任關(guān)系。這要求雙方安全地交換驗證簽名的公鑰，并利用自己的私鑰為對方簽發(fā)數(shù)字證書，從而雙方都擁有了交叉證書。其次，利用CA的交叉證書驗證最終用戶的證書。對用戶來說就是利用本方CA的公鑰來驗證對方CA的交叉證書，從而決定對方CA是否可信；再利用對方CA的公鑰驗證對方用戶的證書，從而決定對方用戶是否可信。3/20/202436網(wǎng)上支付與結(jié)算CA的功能-撤消證書在數(shù)字證書的有效期結(jié)束之前，由于某種原因需要提前停止使用時，就需要撤消數(shù)字證書。例如，由于粗心大意而將密鑰丟失、公司倒閉、證書所有者可能改變等，都需要對證書做撤消處理。經(jīng)過CA撤消的證書不再值得信賴。因此，用戶在接受通信對方的證書時，必須驗證對方證書的有效性，包括CA的簽名是否正確，證書是否被撤消處理等。PKI中檢查證書是否被撤消的常用方法是檢查證書撤消表（CRL）。CA在撤消處理證書時產(chǎn)生新的證書撤消表，它可以以一定的格式公布于眾。用戶可以方便地查詢到證書撤消的信息。3/20/202437網(wǎng)上支付與結(jié)算安全應用標準當前網(wǎng)絡金融活動中主要采用兩種安全標準，一種是安全套接層（簡稱SSL）協(xié)議，另一種是安全電子交易（簡稱SET）協(xié)議。3/20/202438網(wǎng)上支付與結(jié)算重點安全應用標準-SSL安全套接層協(xié)議(SecureSocketLayer，SSL)是由Netscape公司開發(fā)的安全協(xié)議，是在TCP層上實現(xiàn)WEB安全的最出名的安全解決方案。SSL采用公鑰技術(shù)，保證了服務器和客戶機之間通信的保密性和可靠性，它已經(jīng)成為因特網(wǎng)上保密通信的工業(yè)標準之一。SSL可有兩種實現(xiàn)選擇：一是將SSL作為低層協(xié)議的一部分，這樣對應用程序來說是透明的。二是將SSL嵌入到特定的軟件包中，例如，Netscape和MSExplorer瀏覽器中都裝有SSL。SSL協(xié)議主要通過六個環(huán)節(jié)對通信過程進行安全保護：建立連接階段交換密碼階段會談密碼階段檢驗階段客戶認證階段結(jié)束階段

3/20/202439網(wǎng)上支付與結(jié)算安全應用標準-SET:概述安全電子交易協(xié)議（SecureElectronicTransaction，SET）是由Visa和Mastercard組織共同制定的一個能保證通過開放網(wǎng)絡進行安全資金支付的技術(shù)標準。SET是在應用層上提供WEB安全服務的協(xié)議。SET在保留對客戶信用卡認證的前提下，又增加了對商家身份的認證。由于設(shè)計較為合理，得到了諸如微軟公司、IBM公司、Netscape公司等大公司的支持，已成為事實上的工業(yè)標準。

3/20/202440網(wǎng)上支付與結(jié)算安全應用標準-SET:支持B2CSET協(xié)議支持B2C類型的電子商務模式，即消費者持卡在網(wǎng)上購物與交易的模式。該協(xié)議主要是為了解決用戶、商家和銀行之間通過信用卡支付的交易而設(shè)計的，以保證支付信息的機密、支付過程的完整、商戶及持卡人的合法身份和可操作性。SET的核心技術(shù)主要有公鑰加密、數(shù)字簽名、電子信封、數(shù)字證書等。SET既對客戶認證，也對商家認證，涉及的對象有客戶、銀行、商家、電子貨幣、CA等，它是一個基于可信第三方的認證方案。

3/20/202441網(wǎng)上支付與結(jié)算安全應用標準-SET:解決的安全問題保證信息在因特網(wǎng)上安全傳輸，防止數(shù)據(jù)被非法竊取。保證電子商務參與者信息的相互隔離，客戶的資料加密或打包后通過商家到達銀行，但是商家不能看到客戶的賬戶和密碼信息。解決多方認證問題，不僅要對消費者的信用卡認證，而且要對在線商店的信譽程度認證，同時還有消費者、在線商店與銀行間的認證。保證了不可否認性；客戶不能否認發(fā)出過某個訂單，商家也不能否認收到過這個訂單。

3/20/202442網(wǎng)上支付與結(jié)算安全應用標準-SET:優(yōu)點與問題優(yōu)點：SET協(xié)議保證了電子交易活動的機密性、數(shù)據(jù)完整性、身份合法性和不可否認性，在電子金融活動中得到廣泛應用。缺點：只適用于客戶端安裝了相應

軟件的場合；處理效率較低，在一個典型的SET交易過程中，需驗證數(shù)字證書9次，驗證數(shù)字簽名6次，傳遞證書7次，進行5次簽名、4次對稱加密和4次非對稱加密，整個交易過程可能需花費1.5分鐘至2分鐘；協(xié)議比較復雜。

3/20/202443網(wǎng)上支付與結(jié)算網(wǎng)絡安全-CFCA的基本情況中國金融認證中心(chinafinancecertificationauthority，CFCA)是由中國人民銀行牽頭，由國內(nèi)25家銀行參加聯(lián)合共建的認證機構(gòu)，是一個公正、權(quán)威的第三方信任機構(gòu)，專門為金融業(yè)的各種需求提供證書服務，包括網(wǎng)絡銀行、支付系統(tǒng)、電子商務等，為參與網(wǎng)上交易的各方提供安全基礎(chǔ)，建立彼此信任的機制。3/20/202444網(wǎng)上支付與結(jié)算網(wǎng)絡安全-CFCA的基本情況目前已有25家銀行、16家券商、3家地區(qū)卡中心順利建成證書注冊審批機構(gòu)(registrationauthority，RA)，并對外發(fā)放證書，6家基金公司在其OA系統(tǒng)中使用CFCA證書，證書應用遍及銀行、證券、稅務、企業(yè)集團等金融和非金融領(lǐng)域。為了滿足金融業(yè)電子商務的多種需求，CFCA建立了SET和Non-SET兩套系統(tǒng)，提供多種證書來支持各成員及各應用單位對電子商務的開發(fā)和應用，支持電子商務中的BtoB和BtoC模式。3/20/202445網(wǎng)上支付與結(jié)算網(wǎng)絡安全-CFCA的結(jié)構(gòu)CFCA認證系統(tǒng)總體為三層CA結(jié)構(gòu)：第一層為根CA；第二層為政策CA，可向不同行業(yè)、領(lǐng)域擴展信用范圍；第三層為運營CA，根據(jù)證書運作規(guī)范發(fā)放證書。運營CA由CA系統(tǒng)和證書注冊審批機構(gòu)（RA）兩大部分組成：①CA系統(tǒng)：承擔證書簽發(fā)