電子商務(wù)安全導(dǎo)論9-10

2023/2/1第9章公鑰基礎(chǔ)設(shè)施（PKI）2023/2/19.1PKI概述19.1.1PKI在電子商務(wù)中的作用1,PKI基本概念PKI即“公鑰基礎(chǔ)設(shè)施”，是一種遵循既定標(biāo)準(zhǔn)的利用公鑰密碼技術(shù)為電子商務(wù)的開(kāi)展提供一套安全基礎(chǔ)平臺(tái)的技術(shù)和規(guī)范，它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字簽名等密碼服務(wù)及所必需的密鑰和證書(shū)管理體系。PKI是基于數(shù)字ID（數(shù)字證書(shū)）的，作用就像是一個(gè)電子護(hù)照，把用戶的數(shù)字簽名綁接到其公鑰上。PKI的基礎(chǔ)技術(shù)包括：加密、數(shù)字簽名、數(shù)據(jù)完整性機(jī)制、數(shù)字信封、雙重?cái)?shù)字簽名等。PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。PKI技術(shù)是一種適合電子商務(wù)、電子政務(wù)、電子事務(wù)的密碼技術(shù)，它能夠有效地解決電子商務(wù)應(yīng)用中的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等安全問(wèn)題。2，PKI的應(yīng)用現(xiàn)狀與發(fā)展趨勢(shì)9.1PKI概述29.1.2PKI的構(gòu)成（1）政策審批機(jī)構(gòu)（2）證書(shū)使用規(guī)定（3）證書(shū)政策是信息管理和信息技術(shù)基礎(chǔ)設(shè)施的一個(gè)組成部分，使得這個(gè)基礎(chǔ)設(shè)施從整體上能夠安全的實(shí)現(xiàn)公開(kāi)環(huán)境中的服務(wù)提供、管理和通信（4）證書(shū)中心CA負(fù)責(zé)具體的證書(shū)頒發(fā)和管理，它是可信任的第三方，其作用就像頒發(fā)護(hù)照的部門(mén)。（5）單位注冊(cè)機(jī)構(gòu)（6）密鑰備份及恢復(fù)系統(tǒng)。（7）證書(shū)作廢系統(tǒng)。（8）應(yīng)用接口。（9）端實(shí)體。2023/2/19.1PKI概述39.1.3PKI的性能1，支持多政策2，透明性和易用性3，互操作性4，簡(jiǎn)單的風(fēng)險(xiǎn)管理5，支持多平臺(tái)6，支持多應(yīng)用9.1.4PKI服務(wù)1，認(rèn)證2，數(shù)據(jù)完整性服務(wù)3，數(shù)據(jù)保密性服務(wù)4，不可否認(rèn)性服務(wù)5，公證服務(wù)2023/2/19.1PKI概述49.1.5PKI應(yīng)用1，虛擬專(zhuān)用網(wǎng)絡(luò)（VPN）:VPN是一種架構(gòu)在公用通信基礎(chǔ)設(shè)施上的專(zhuān)用數(shù)據(jù)通信網(wǎng)絡(luò)，利用網(wǎng)絡(luò)層安全協(xié)議（尤其是IPSec）和建立在PKI上的加密與簽名技術(shù)來(lái)獲得機(jī)密性保護(hù)?；赑KI技術(shù)的IPSec協(xié)議現(xiàn)在已經(jīng)成為架構(gòu)VPN的基礎(chǔ)，它可以為路由器之間、防火墻之間或者路由器和防火墻之間提供經(jīng)過(guò)加密和認(rèn)證的通信。2，安全電子郵件：安全電子郵件協(xié)議S/MIME是一個(gè)允許發(fā)送加密和有簽名郵件的協(xié)議，該協(xié)議的實(shí)現(xiàn)需要依賴于PKI技術(shù)。3，Web安全：結(jié)合SSL協(xié)議和數(shù)字證書(shū)，PKI技術(shù)可以保證Web交易多方面的安全需求，使Web上的交易和面對(duì)面的交易一樣安全。4，電子商務(wù)的應(yīng)用：PKI技術(shù)是解決電子商務(wù)安全問(wèn)題的關(guān)鍵，綜合PKI的各種應(yīng)用，我們可以建立一個(gè)可信任和足夠安全的網(wǎng)絡(luò)。5，應(yīng)用編程接口API：協(xié)議標(biāo)準(zhǔn)是系統(tǒng)具有可交互性的前提和基礎(chǔ)，它規(guī)范了PKI系統(tǒng)各部分之間相互通信的格式和步驟。而應(yīng)用編程接口API則案底了如何使用這些協(xié)議，并為上層應(yīng)用提供PKI服務(wù)。2023/2/19.2密鑰管理密鑰是加密算法中的可變部分，采用密碼技術(shù)保護(hù)的現(xiàn)代信息系統(tǒng)，其安全性取決于對(duì)密鑰的保護(hù)，而不是對(duì)算法或硬件本身的保護(hù)。密鑰管理的目的是維持系統(tǒng)中各實(shí)體之間的密鑰關(guān)系，以抗擊各種可能的威脅，如：（1）密鑰的泄露。（2）密鑰或公鑰的確證性的喪失，確證性包括共享或有關(guān)一個(gè)密鑰的實(shí)體身份的知識(shí)或可證實(shí)性。（3）密鑰或公鑰未經(jīng)授權(quán)使用，如使用失效的密鑰或違例使用密鑰。密鑰管理與特定的安全策略有關(guān)，而安全策略又根據(jù)系統(tǒng)環(huán)境中的安全威脅制訂。一般安全策略要對(duì)下述幾個(gè)方面做出決定。（1）密鑰管理的技術(shù)和行政方面要實(shí)現(xiàn)哪些要求和所采用的方法，包括自動(dòng)和人工方式；（2）每個(gè)參與者的責(zé)任和義務(wù)。（3）為支持審計(jì)、追蹤與安全有關(guān)事件需做的記錄類(lèi)型。密鑰管理要借助于加密、認(rèn)證、簽字、協(xié)議、公證等技術(shù)。密鑰管理系統(tǒng)中常?？靠尚刨嚨谌絽⑴c的公證系統(tǒng)。公證系統(tǒng)是通信網(wǎng)中實(shí)施安全保密的一個(gè)重要工具，它不僅可以協(xié)助實(shí)現(xiàn)密鑰的分配和證實(shí)，而且可以作為證書(shū)機(jī)構(gòu)、時(shí)戳代理、密鑰托管代理和公證代理等。2023/2/19.3不可否認(rèn)業(yè)務(wù)19.3.1不可否認(rèn)基本概念在競(jìng)爭(zhēng)環(huán)境下，由人參與的電子商務(wù)經(jīng)常會(huì)碰到否認(rèn)之事，若不能有效地對(duì)付否認(rèn)，就不可能有真正的安全電子商務(wù)。不可否認(rèn)性服務(wù)：是指從技術(shù)上保證實(shí)體對(duì)其行為的認(rèn)可。不可否認(rèn)性是信息時(shí)代轉(zhuǎn)賬中最重要的法律概念。不可否認(rèn)性的實(shí)際例子：1，經(jīng)過(guò)郵遞的傳統(tǒng)手簽文件由于有手書(shū)簽字和郵戳而支持身份認(rèn)證和一定程度的否認(rèn)性。2，未加密數(shù)字信息附上符號(hào)簽字（人的名字、手書(shū)簽字的數(shù)字圖像），這種方式可能不提供數(shù)據(jù)完整性，但可以提供一定的認(rèn)證性和不可否認(rèn)性。3，數(shù)字簽字消息可以提供很強(qiáng)的認(rèn)證性、數(shù)據(jù)完整性和不可否認(rèn)性。利用協(xié)議、時(shí)戳和認(rèn)可收據(jù)等技術(shù)可以加強(qiáng)不可否認(rèn)性。2023/2/19.3不可否認(rèn)業(yè)務(wù)29.3.2不可否認(rèn)業(yè)務(wù)類(lèi)型1，源的不可否認(rèn)性用于防止或解決出現(xiàn)有關(guān)是否一個(gè)特定實(shí)體發(fā)了一個(gè)特定的數(shù)據(jù)、源在某個(gè)特定的時(shí)刻出現(xiàn)、或兩者都有的分歧。為了解釋方便，可認(rèn)為源就是發(fā)了一個(gè)消息。源的不可否認(rèn)性是為保護(hù)收信人，提供證據(jù)解決下述可能的糾紛：（1）接收者宣稱曾收到過(guò)一個(gè)消息，但是被認(rèn)定的發(fā)信者聲稱未發(fā)過(guò)任何消息。（2）接收者宣稱所收到的消息不同于發(fā)信者所說(shuō)的曾送的消息。（3）接收者宣稱在特定的日期和特定時(shí)間接收到某個(gè)特定發(fā)信者所送的消息，但被認(rèn)定的發(fā)信者宣稱在那個(gè)特定日期和時(shí)間未曾發(fā)過(guò)那個(gè)特定消息。上述各種情況實(shí)際上在下述事件中至少有一個(gè)出現(xiàn)：發(fā)信人抵賴；收信人抵賴；計(jì)算機(jī)或通信過(guò)程中出錯(cuò)；外部入侵者欺騙了參與者。2，遞送的不可否認(rèn)性用于防止或解決出現(xiàn)有關(guān)是否一個(gè)特定實(shí)體收到了一個(gè)特定的數(shù)據(jù)項(xiàng)、遞送在特定時(shí)刻出現(xiàn)、或兩者皆有的分歧。它是為了保護(hù)發(fā)信人，可提供足夠的證據(jù)以解決下述糾紛。（1）發(fā)信人宣稱曾發(fā)送了一個(gè)消息，但被認(rèn)定的收信人宣稱未曾收到過(guò)該消息。（2）發(fā)信人宣稱曾發(fā)送了一個(gè)消息，但和收信人宣稱所收到的消息不一樣。（3）發(fā)信人宣稱在某特定日期和特定時(shí)間曾發(fā)過(guò)一個(gè)特定消息，但被認(rèn)定的收信人宣稱在該特定日期和特定時(shí)間未曾收到過(guò)那個(gè)特定消息。同樣可能是由于某一方抵賴、計(jì)算機(jī)或通信過(guò)程出錯(cuò)或有外部入侵者搗亂。3，提交的不可否認(rèn)性它不同于前兩類(lèi)，用于防止或解決出現(xiàn)有關(guān)是否一定特定參與者傳送或提交了一個(gè)特定數(shù)據(jù)項(xiàng)、提交出現(xiàn)的時(shí)刻、或兩種情況的分歧。提交的不可否認(rèn)性用于保護(hù)發(fā)信人，提供足夠的證據(jù)解決下述可能的糾紛：（1）發(fā)信人宣稱曾發(fā)過(guò)一個(gè)消息，但被認(rèn)定的收信人宣稱不僅未曾收到過(guò)該消息，而且發(fā)信人就不曾發(fā)過(guò)該消息。（2）發(fā)信人宣稱在特定日期和時(shí)刻曾發(fā)過(guò)一個(gè)特定消息，但被認(rèn)定的收信人宣稱在該日期和該時(shí)刻發(fā)信人未曾送過(guò)該消息。若發(fā)信人和收信人所說(shuō)都是實(shí)話，則不是攻擊者行騙成功就是系統(tǒng)出錯(cuò)。當(dāng)所送為重要消息時(shí)，這類(lèi)非否認(rèn)性就特別有用，它類(lèi)似于遞送的不可否認(rèn)性，都著眼于保護(hù)發(fā)信人，實(shí)現(xiàn)方法也類(lèi)似，但可以提供更為有力的證據(jù)用于解決糾紛。可將其看做是遞送不可否認(rèn)的一個(gè)變形。2023/2/19.3不可否認(rèn)業(yè)務(wù)39.3.3實(shí)現(xiàn)不可否認(rèn)性的證據(jù)機(jī)制如何實(shí)現(xiàn)不可否認(rèn)性，從機(jī)制上看應(yīng)當(dāng)依次完成下述業(yè)務(wù)活動(dòng)：（1）業(yè)務(wù)需求。（2）證據(jù)生成。（3）證據(jù)遞送。（4）證據(jù)證實(shí)。（5）證據(jù)保存9.3.4源的不可否認(rèn)性機(jī)制實(shí)現(xiàn)源的不可否認(rèn)業(yè)務(wù)有下述幾種方法：（1）源的數(shù)字簽字。（2）可信賴第三方的數(shù)字簽字。（3）可信賴第三方對(duì)消息的雜湊值進(jìn)行簽字。（4）可信賴第三方的持證。（5）線內(nèi)可信賴第三方。（6）上述方法的適當(dāng)組合。9.3.5實(shí)現(xiàn)遞送的不可否認(rèn)性機(jī)制可有下述一些方式實(shí)現(xiàn)遞送的不可否認(rèn)性：（1）收信人簽字認(rèn)可。（2）收信人利用持證認(rèn)可。（3）可信賴遞送代理。（4）逐級(jí)遞送報(bào)告。2023/2/19.3不可否認(rèn)業(yè)務(wù)49.3.6可信賴第三方可信賴第三方在實(shí)現(xiàn)不可否認(rèn)業(yè)務(wù)中起重要作用，他的公正性、獨(dú)立性、可靠性和為所有成員所接受是實(shí)現(xiàn)安全電子商務(wù)的保證。下面介紹有關(guān)的幾個(gè)問(wèn)題：（1）公鑰證書(shū)。通過(guò)發(fā)放證書(shū)，可信賴第三方可以證實(shí)由特定實(shí)體所持的一個(gè)特定的公鑰與一個(gè)特定私鑰的對(duì)應(yīng)關(guān)系，以及此密鑰在特定時(shí)刻是合法的。（2）身份證實(shí)?？尚刨嚨谌叫枰C實(shí)消息源的身份，一般通過(guò)源對(duì)消息的簽字實(shí)現(xiàn)。（3）時(shí)戳?？尚刨嚨谌接锌煽康臅r(shí)戳器件，用它對(duì)消息加可信賴的時(shí)戳可以證實(shí)消息、簽字、證書(shū)等在特定日期和時(shí)刻的合法性，作為支持不可否認(rèn)業(yè)務(wù)的證據(jù)。時(shí)戳在電子商務(wù)、法律中都有重要作用。（4）證據(jù)保存。可信賴第三方的存檔數(shù)據(jù)在提供可靠證據(jù)支持不可否認(rèn)業(yè)務(wù)上有重要作用，第三方的正確和可靠保存證據(jù)至關(guān)重要，需要精心設(shè)計(jì)和管理。（5）中介遞送。有時(shí)需要可信賴第三方作為遞送消息的中介或代理，提供對(duì)不可否認(rèn)業(yè)務(wù)的支持。（6）解決糾紛?？尚刨嚨谌娇勺鳛橹薪槿藖?lái)解決糾紛。（7）仲裁。仲裁業(yè)務(wù)可作為可信賴第三方的擴(kuò)充業(yè)務(wù)，仲裁一般要參與以下一些仲裁活動(dòng)：@收取認(rèn)可證據(jù)，以建立某人對(duì)一個(gè)文件的認(rèn)可和對(duì)文件簽字的真實(shí)性。@進(jìn)行證實(shí)，確定文件的真實(shí)性@作證或公布簽字@證實(shí)或公布文件復(fù)本@做出聲明，裁定協(xié)議書(shū)或契約的合法性。9.3.7解決糾紛解決糾紛的步驟有：（1）檢索不可否認(rèn)業(yè)務(wù)。（2）向?qū)Ψ匠鍪咀C據(jù)。（3）向解決糾紛的仲裁人出示證據(jù)。（4）裁決。2023/2/1第10章電子商務(wù)的安全協(xié)議2023/2/110.1SSL-提供網(wǎng)上購(gòu)物安全的協(xié)議110.1.1安全套接層SSL協(xié)議概念SSL是由Netscape開(kāi)發(fā)的協(xié)議，1995年發(fā)表。SSL可為FTP會(huì)話提供安全保護(hù)，支持敏感的文檔、電子報(bào)表和其他數(shù)據(jù)的安全上傳和下載。SSL協(xié)議中使用了許多加密解密技術(shù)、信息摘要技術(shù)和數(shù)字簽名和認(rèn)證技術(shù)。SSL依靠證書(shū)來(lái)驗(yàn)證通信雙方的身份。10.1.2SSL提供的安全內(nèi)容SSL對(duì)計(jì)算機(jī)之間的各種通信，如HTTP,FTP,Telnet等都提供安全保護(hù)。SSL保證了Internet上瀏覽器/服務(wù)器會(huì)話中三大安全中心內(nèi)容：機(jī)密性、完整性和認(rèn)證性。（1）SSL把客戶機(jī)和服務(wù)器之間的所有通信都進(jìn)行加密，保證了機(jī)密性。（2）SSL提供完整性檢驗(yàn)，可防止數(shù)據(jù)在通信過(guò)程中被改動(dòng)。（3）SSL提供認(rèn)證性——使用數(shù)字證書(shū)——用以正確識(shí)別對(duì)方。2023/2/110.1SSL-提供網(wǎng)上購(gòu)物安全的協(xié)議210.1.3SSL體系結(jié)構(gòu)SSL是由兩層協(xié)議組成的。1，SSL記錄協(xié)議：定義了信息交換中所有數(shù)據(jù)項(xiàng)的格式。2，SSL更改密碼規(guī)格協(xié)議：該協(xié)議由單個(gè)消息組成，只有一個(gè)值為1的單字節(jié)。其目的是使未決狀態(tài)拷貝為當(dāng)前狀態(tài)，更新用于當(dāng)前連接的密碼組。3，SSL警告協(xié)議：用于傳送SSL的有關(guān)警告。4，SSL握手協(xié)議：用于客戶-服務(wù)器之間相互認(rèn)證，協(xié)商加密和MAC算法，傳送所需的公鑰證書(shū)，建立SSL記錄協(xié)議處理完整性校驗(yàn)和加密所需的會(huì)話密鑰。它支持多種算法。10.1.4服務(wù)器和瀏覽器對(duì)SSL的支持下面的服務(wù)器和瀏覽器提供對(duì)SSL的支持：1）NetscapeCommunicator;2)MicrosoftInternetExplorer;3)MicrosoftIIS;4)LotusDominoServer;5)LotusNotesServer;6)Apache;7)OpenMarket等101.5傳輸層安全TLSTLS是對(duì)IETF的標(biāo)準(zhǔn)化，制定的目的是為了在因特網(wǎng)上有一種統(tǒng)一的SSL標(biāo)準(zhǔn)版本。目前的TLS標(biāo)準(zhǔn)協(xié)議是在RFC2246中定義的，與SSL的version3很接近。2023/2/110.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換110.2.1基于SET的網(wǎng)上信用卡安全交易1網(wǎng)上信用卡交易的安全需求是：1）商家希望有一套簡(jiǎn)單的、符合經(jīng)濟(jì)效益的方法來(lái)完成網(wǎng)上交易；2）客戶希望有一套安全的、方便的、能夠放心地到網(wǎng)上購(gòu)物的機(jī)制；3）銀行以及信用卡機(jī)構(gòu)需要以現(xiàn)有的信用卡機(jī)制為基礎(chǔ)的、變動(dòng)較少的修改就能夠在未來(lái)支持電子付款的方式。SET：是一種用來(lái)保護(hù)在Internet上付款交易的開(kāi)放式規(guī)范，它包含交易雙方身份的確認(rèn)、個(gè)人和金融信息隱密性及傳輸數(shù)據(jù)完整性的保護(hù)，其規(guī)格整合了由RSA數(shù)據(jù)的雙鑰密碼體制編成密碼文件的使用，以保護(hù)任何開(kāi)放互聯(lián)網(wǎng)絡(luò)上個(gè)人和金融信息的隱密性。SET提供了一套既安全又方便使用的交易模式，并采用開(kāi)放式的結(jié)構(gòu)以期支持各種信用卡的交易。1，SET的目標(biāo)：要達(dá)到的目標(biāo)主要有五個(gè)。1）信息的安全傳輸：防止數(shù)據(jù)被外部攻擊或被內(nèi)部竊取。2）信息的相互融離：SET電子商務(wù)的參與者有好幾個(gè)，一個(gè)信息可能要傳到各個(gè)參與者的地方，要保證各參與者只能看到自己需要的部分。3）多方認(rèn)證的解決：1，要對(duì)消費(fèi)者的信用卡認(rèn)證；2，要對(duì)網(wǎng)上商店進(jìn)行認(rèn)證；3，消費(fèi)者、商店與銀行之間的認(rèn)證。4）交易的實(shí)時(shí)性：所有的支持過(guò)程都是在線的。5）效仿EDI貿(mào)易形式，規(guī)范協(xié)議和消息格式，促使不同廠家開(kāi)發(fā)的軟件具有兼容性和互操作功能，并且可以運(yùn)行在不同的硬件和操作系統(tǒng)平臺(tái)上。2023/2/110.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換210.2.1基于SET的網(wǎng)上信用卡安全交易22，SET的交易成員參與SET交易的成員有以下六種1）持卡人-消費(fèi)者：持信用卡購(gòu)買(mǎi)商品的人；2）網(wǎng)上商店：在網(wǎng)上的符合SET規(guī)格的電子商店，提供商品或服務(wù)。3）收單銀行：通過(guò)支付網(wǎng)關(guān)處理持卡人和商店之間的交易付款問(wèn)題事務(wù)。4）發(fā)卡銀行——電子貨幣發(fā)行公司或兼有電子貨幣發(fā)行的銀行；發(fā)行信用卡給持卡人的銀行機(jī)構(gòu)。5）認(rèn)證中心CA——可信賴、公正的組織：接受持卡人、商店、銀行以及支付網(wǎng)關(guān)的數(shù)字認(rèn)證申請(qǐng)，并管理數(shù)字證書(shū)的相關(guān)事宜。6）支付網(wǎng)關(guān)——付款轉(zhuǎn)接站：接收由商店端送來(lái)的付款信息，并轉(zhuǎn)換到銀行網(wǎng)絡(luò)進(jìn)行處理的組織。3.SET的技術(shù)范圍：包括：1）加密算法的應(yīng)用；2）證書(shū)信息和對(duì)象格式；3）購(gòu)買(mǎi)信息和對(duì)象格式；4）認(rèn)可信息和對(duì)象格式；5）劃賬信息和對(duì)象格式；6）對(duì)話實(shí)體之間消息的傳輸協(xié)議。4，SET軟件的組件SET系統(tǒng)的運(yùn)作是通過(guò)四個(gè)軟件組合來(lái)完成的，包括電子錢(qián)包、商店服務(wù)器、支付網(wǎng)關(guān)和認(rèn)證中心軟件，這四個(gè)軟件分別存儲(chǔ)在持卡人、網(wǎng)上商店、銀行以及認(rèn)證中心的計(jì)算機(jī)中，相互運(yùn)作來(lái)完成整個(gè)SET交易服務(wù)。2023/2/110.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換310.2.2SET的認(rèn)證過(guò)程1基于SET協(xié)議電子商務(wù)系統(tǒng)的業(yè)務(wù)過(guò)程可分為注冊(cè)登記申請(qǐng)數(shù)字證書(shū)、動(dòng)態(tài)認(rèn)證和商業(yè)機(jī)構(gòu)的處理。1，SET認(rèn)證之一：注冊(cè)登記。一個(gè)機(jī)構(gòu)如要加入到基于SET協(xié)議的安全電子商務(wù)系統(tǒng)中，必須先上網(wǎng)申請(qǐng)登記注冊(cè)，申請(qǐng)數(shù)字證書(shū)。SET數(shù)字證書(shū)申請(qǐng)工作具有步驟如下：1）持卡人選擇認(rèn)證功能（認(rèn)證中心CA）2）CA傳送初始信息給用戶3）持卡人開(kāi)始成為電子錢(qián)包的持有者4）電子錢(qián)包到CA中心申請(qǐng)注冊(cè)登記5）CA中心確認(rèn)電子錢(qián)包的申請(qǐng)6）電子錢(qián)包發(fā)送注冊(cè)表到CA中心7）CA中心確認(rèn)收到電子錢(qián)包的申請(qǐng)8）電子錢(qián)包正式要求注冊(cè)登記9）CA中心確認(rèn)注冊(cè)成功10）電子錢(qián)包將注冊(cè)成功信息安裝到用戶上10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換410.2.2SET的認(rèn)證過(guò)程22，SET認(rèn)證之二：動(dòng)態(tài)認(rèn)證SET系統(tǒng)的動(dòng)態(tài)認(rèn)證工作步驟如下：1）持卡人單擊“購(gòu)買(mǎi)”按鈕2）商業(yè)機(jī)構(gòu)從應(yīng)用程序接口收到購(gòu)買(mǎi)清單3）通過(guò)電子收銀把有關(guān)信息發(fā)送給商業(yè)機(jī)構(gòu)4）商業(yè)機(jī)構(gòu)給持卡人傳送相關(guān)信息5）購(gòu)買(mǎi)者打開(kāi)電子錢(qián)包6）電子錢(qián)包通過(guò)密碼與電子收銀聯(lián)系7）電子收銀通過(guò)密碼向電子錢(qián)包發(fā)送回執(zhí)8）電子錢(qián)包向電子收銀發(fā)送付款信息9）電子收銀發(fā)送認(rèn)證要求給支付網(wǎng)關(guān)10）支付網(wǎng)關(guān)發(fā)送認(rèn)證回執(zhí)給電子收銀11）電子收銀發(fā)送支付回執(zhí)給電子錢(qián)包12）電子錢(qián)包告訴持卡人支付和購(gòu)買(mǎi)成功3,SET認(rèn)證之三：商業(yè)機(jī)構(gòu)處理流程1）商業(yè)機(jī)構(gòu)通過(guò)應(yīng)用程序口處理購(gòu)買(mǎi)和支付信息2）電子收銀發(fā)送資金信息給支付網(wǎng)關(guān)3）支付網(wǎng)關(guān)發(fā)送動(dòng)態(tài)認(rèn)證回執(zhí)信息給電子收銀4）電子收銀通過(guò)電子錢(qián)包通知持卡人付款結(jié)果。10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換510.2.3SET協(xié)議的安全技術(shù)目前，SET的主要安全保障來(lái)自以下三個(gè)方面：1）將所有消息文本用雙鑰密碼體制加密；2）將上述密鑰的公鑰和私鑰的字長(zhǎng)增加到512B~2048B;3）采用聯(lián)機(jī)動(dòng)態(tài)的授權(quán)和認(rèn)證檢查，以確保交易過(guò)程的安全可靠。上述三個(gè)安全保障措施的技術(shù)基礎(chǔ)如下：1）通過(guò)加密方式確保信息機(jī)密性；2）通過(guò)數(shù)字化簽名確保數(shù)據(jù)的完整性；3）通過(guò)數(shù)字化簽名和商家認(rèn)證確保交易各方身份的真實(shí)性；4）通過(guò)特殊的協(xié)議和消息形式確保動(dòng)態(tài)交易系統(tǒng)的可操作性。10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換610.2.4SET交易中的電子錢(qián)包11，電子錢(qián)包的功能1）與商店端的SET軟件溝通，以激活SET交易；2）向商店端查詢有關(guān)付款和訂貨的相關(guān)信息；3）接收來(lái)自商店端的響應(yīng)信息，如交易完成或失?。?）向認(rèn)證中心要求申請(qǐng)數(shù)字證書(shū)，并下載數(shù)字證書(shū)的申請(qǐng)表；5）從認(rèn)證中心下載持卡人的數(shù)字證書(shū)；6）與認(rèn)證中心溝通，查詢數(shù)字證書(shū)目前的狀態(tài)。歸納電子錢(qián)包的功能有三類(lèi)：1）電子證書(shū)的管理（電子證書(shū)的申請(qǐng)、存儲(chǔ)及刪除等）；2）進(jìn)行交易（SET交易時(shí)辨認(rèn)商家身份并發(fā)送交易信息）；3）保存交易記錄（保存交易記錄以供查詢）。2，電子錢(qián)包的運(yùn)作方式1）選取商品店，單擊“付款鍵”，發(fā)出付款信息；2）B收到信息后即通知A瀏覽器讓電子錢(qián)包醒過(guò)來(lái)3）啟動(dòng)A的電子錢(qián)包完成，通知可以開(kāi)始SET交易4）交易SET信息10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換710.2.4SET交易中的電子錢(qián)包23，微軟電子錢(qián)包軟件MicrosoftWallet功能是：1）支持SET交易；2）Wallet3.0以上版本可支持SSL；3）支持其他付款方式，如電子現(xiàn)金、電子支票等；4）功能按需求可再擴(kuò)充4，GlobalSet電子錢(qián)包軟件功能是：1）可管理數(shù)個(gè)使用者賬號(hào)與多種信用卡；2）數(shù)字證書(shū)的管理：網(wǎng)上申請(qǐng)、狀態(tài)查詢等；3）保留并追蹤所有交易記錄。5，從中國(guó)銀行的網(wǎng)站安裝電子錢(qián)包10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換810.2.5商店服務(wù)器和支付網(wǎng)關(guān)商店服務(wù)器：是商店提供SET服務(wù)的軟件。包括與客戶端的電子錢(qián)包軟件溝通，取得客戶的信用卡相關(guān)數(shù)據(jù)，另外也必須與支付網(wǎng)關(guān)聯(lián)系取得銀行端傳來(lái)的付款信息。商店服務(wù)器（MerchantServer指SET的專(zhuān)用服務(wù)器，因此使用的是SET協(xié)議，負(fù)責(zé)處理商店端的交易信息。1，SET商店服務(wù)器的功能：在SET文件中規(guī)范了商店服務(wù)器的核心功能是：１）聯(lián)系客戶端的電子錢(qián)包；２）聯(lián)系支付網(wǎng)關(guān)；３）向商店的認(rèn)證中心查詢數(shù)字證書(shū)的狀態(tài)；４）處理SET的錯(cuò)誤信息。2，商店服務(wù)器的運(yùn)作方式3，支付網(wǎng)關(guān)是Internet電子商務(wù)網(wǎng)絡(luò)上的一個(gè)站點(diǎn)，負(fù)責(zé)接收來(lái)自商店服務(wù)器送來(lái)的SET付款數(shù)據(jù)，再轉(zhuǎn)換成銀行網(wǎng)絡(luò)的格式，傳送給收單銀行處理。它是一個(gè)SET付款信息與現(xiàn)有銀行網(wǎng)絡(luò)的轉(zhuǎn)接處，是必不可少的機(jī)構(gòu)。10.2SET-提供安全的電子商務(wù)數(shù)據(jù)交換910.2.6SET網(wǎng)上購(gòu)物實(shí)例1，SET購(gòu)物步驟1）安裝電子錢(qián)包E-Wallet；2）申請(qǐng)信用卡及電子證書(shū)SETID3）購(gòu)物2，SET購(gòu)物數(shù)據(jù)查詢3，把電子錢(qián)包復(fù)制到其它的計(jì)算機(jī)上。1