ssl协议在传输层与应用层之间对网络连接加密。
SSL及其继任者传输层安全是为网络通信提供安全及数据完整性的一种安全协议。用以保障在Internet上数据传输的安全，利用数据加密技术，可确保数据在网络上的传输过程中不会被截取及窃听。一般通用的规格为40bit的安全标准，美国则已推出128bit的更高安全标准。只要3.0版本的I.E或Netscape浏览器即可支持SSL。
SSL协议可分为两层。SSL记录协议它建立在可靠的传输协议之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。
（来源：文章屋网 ）
关键词：SSL；电子商务；数据安全
1 引言
随着计算机技术和Internet的飞速发展，商业活动实现了电子化，从而发展成为电子商务。电子商务借助互联网、企业内部网和增值网等计算机与网络和现代通信技术，按照一定的标准，利用电子化工具，将传统的商业活动的各个环节电子化、网络化，从而以数字化方式来进行交易活动和相关服务活动。
电子商务包括电子货币交换、供应链管理、电子交易市场、网络营销、在线事务处理、电子数据交换（EDI）、存货管理和自动数据收集系统。电子商务完全不同于传统的商务活动，它是一种以网络为载体的新的商务运作方式。
（1）SSL不能提供交易的不可否认性。SSL协议是基于Web应用的安全协议，它只能提供安全认证，保证SSL链路上的数据完整性和保密性。却不能对电子商务的交易应用层的信息进行数字签名，因此，SSL不能提供交易的不可否认性，这可以说是SSL在电子商务中最大的缺陷。
（2）SSL只能提供客户机到服务器之间的两方认证，无法适应电子商务中的多方交易业务。
（3）SSL易遭受Change Cipher Spec消息丢弃攻击。由于SSL握手协议中存在一个漏洞：在finished消息中没有对变换加密的说明消息进行认证处理，在接收到该消息前，所有的密码族都不做任何加密处理和MAC保护，只有在接收到Change Cipher Spec消息之后，记录层才开始对通信数据进行加密和完整性保护。这种处理机制使得SSL易遭受Change Cipher Spec消息丢弃攻击。
（4）SSL无法避免通信业务流分析攻击。由于SSL位于TCP/IP的协议层之上，因此，无法对TCP/IP协议头部进行保护，导致潜在的隐患。攻击者通过获取IP地址、URL请求的长度以及返回的Web页面的长度等信息，可以分析出用户访问的目标，再加上SSL协议只支持对 块密码的随机填充，没有提供对流式密码算法的支持，使得SSL无法阻止这类攻击。
4 总结
电子商务正飞速地发展。用于保障电子商务活动的安全协议主要有S-HTTP、STT、IKP、SET和SSL。其中SSL协议是目前电子商务采用的主要的网上交易协议。SSL协议采用了加密、认证等安全措施，结合了Hash算法，较好地保证了数据在传输过程中的保密性、可靠性和完整性，在一定程度上放置了欺骗、篡改、重放等攻击。本文在介绍SSL协议栈及其工作原理和机制的基础上，对基于SSL的电子商务的安全性进行了分析。
参考文献：
[1] 邢双慧.浅谈电子商务与SSL协议[J].硅谷,2010(01):37
关键词：SSL协议，中间人攻击，原理
SSL 是Security Socket Layer 的缩写，称为安全套接字，该协议是由Netscape 公司设计开发。使用SSL 可以对通讯内容进行加密，以防止监听通讯内容，主要用于提高应用程序之间的数据的传输安全。SSL协议分为三个子协议：
（1）握手协议，用于协商客户端和服务器之间会话的安全参数，完成客户端和服务器的认证。
（2）记录协议，用于交换应用数据，所有的传输数据都被封装在记录中，主要完成分组和组合，压缩和解压缩，以及消息认证和加密等功能。
（3）警告协议：用来为对等实体传递SSL的相关警告。
SSL协议的实现有Netscape开发的商用SSL包，还有在业界产生巨大影响的Open SSL软件包。目前在国内的金融系统中，广泛使用OPENSSL软件包进行应用开发。
网上银行因为考虑易用性，大部分采用单向SSL认证.单向认证 SSL 协议不需要客户拥有 CA 证书。X509数字证书是SSL的重要环节，CA证书的任务就是确保客户和服务器之间的会话，并且保证使用的密钥是正确的。缺少了这个重要的环节，SSL中间人攻击也就难免了。
现在的网上银行因为考虑易用性，大部分采用单向SSL认证，这正是SSL中间人攻击的理论依据。
对于SSL中间人攻击，以CAIN工具软件为例：
首先在SNIFFER窗口中进行一次本网段的扫描探测
很快找到所有当前跟在同一网段内的活动主机IP地址与其MAC地址的对应关系。今天我们要欺骗演示的实验对象是192.168.121.199，这是另一台的笔记本电脑IP地址。
获取到IP地址与MAC地址的对应关系后，继续到ARP的子窗口中，选择添加欺骗主机在窗口左边选中当前网络的网关IP地址就是192.168.121.129，窗口右边选中我们要欺骗的IP地址192.168.121.199，选中后直接确定生效。毕业论文，SSL协议。毕业论文，SSL协议。
然后在ARP-HTTPS的选择树中添加一个当前我们需要伪装的HTTPS站点，选择确定后CAIN会自动把这个站点的证书文件下载回来备用。毕业论文，SSL协议。
一切准备就绪后，就可以点击CAIN工具栏中的ARP模式开始工作了。毕业论文，SSL协议。CAIN软件在后台采用第一章的ARP欺骗攻击的方式将被欺骗主机与 HTTPS网站间的通讯切断，在中间插入我们伪造的证书给被欺骗主机，同时伪装成为中间人代替它与HTTPS站点通讯。CAIN在其中把所有的通讯数据包 进行加密解密再加密传递的过程，当然所有原始的访问行为在这一过程中都被我们获取到了。
对于被欺骗主机在实际打开IE访问中，感觉不到任何异常本地显示依然是安全的SSL128位加密，只是不知道所有的访问行为在CAIN中都可以VIEW的方式来查看到了。
在VIEW的窗口中我们可以查看到所有通讯的访问原始记录，包括此台笔记本的登陆帐号与口令信息。
网上银行存在的攻击风险归其原因是SSL协议使用不健全导致，安全的解决方案建立以PKI技术为基础的CA认证系统，加入已经在运行的可靠的CA。 CA体系建立或加入时，通过对网上交易系统的二次开发，将数字证书认证功能嵌入到整个网上交易过程中去，这将实现基于数字证书的身份认证、通信安全、数据安全和交易安全。
目前， USB Key存储证书的方式正逐步应用于国内的网银领域，也是公认的较为安全的身份认证技术。毕业论文，SSL协议。通过硬件USB Key进行证书的存储，加强对证书的安全保护，用户登录时必须将USB Key插入所操作的终端。毕业论文，SSL协议。利用USB KEY存储用户的私钥以及数字证书，实现对用户身份的安全认证。
关键词:SSL;Web网站;网络安全
中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)33-9195-01
SSL协议是NetScape公司于1994年提出的一个关注互联网信息安全的信息加密传输协议,其目的是为客户端(浏览器) 到服务器端之间的信息传输构建一个加密通道,此协议是与操作系统和Web服务器无关。同时, NetScape在SSL协议中采用了主流的加密算法(如:DES、AES等)和采用了通用的PKI加密技术。目前,SSL已经发展到V3.0版本,已经成为一个国际标准,并得到了大多数浏览器和服务器软件的支持。
1 原理与应用
1.1 SSL概述
SSL是提供Internet上的通信隐私性的安全协议。该协议允许客户端/服务器应用之间进行防窃听、防止消息篡改及防消息伪造的安全的通信。
TCP/IP是整个Internet数据传输和通信所使用的最基本的控制协议,在它之上还有HTTP(Hypertext Transfer Protocol)、LDAP(Lightweight Directory Access Protoco1)、IMAP(Internet Messaging Access Protocol)等应用层传输协议。而SSL是位于TCP/IP和各种应用层协议之间的一种数据安全协议(如图1所示)。SSL协议可以有效地避免网上信息的偷听、篡改及信息的伪造。
SSL标准的关键是要解决以下几个问题:
1) 客户对服务器的身份确认:SSL服务器允许客户的浏览器使用标准的公钥加密技术和一些可靠的认证中心(CA)的证书,来确认服务器的合法性(检验服务器的证书和ID的合法性)。对于用户服务器身份的确认与否是非常重要的,因为客户可能向服务器发送自己的信用卡密码。
2) 服务器对客户的身份确认:允许SSL服务器确认客户的身份,SSL协议允许客户服务器的软件通过公钥技术和可信赖的证书来确认客户的身份(客户的证书)。对于服务器客户身份的确认与否是非常重要的,因为网上银行可能要向客户发送机密的金融信息。
3) 建立起服务器和客户之间安全的数据通道:SSL要求客户和服务器之间所有的发送数据都被发送端加密,所有的接收数据都被接收端解密,这样才能提供一个高水平的安全保证。同时SSL协议会在传输过程中检查数据是否被中途修改。
1.2 SSL的应用
从SSL 协议所提供的服务及其工作流程可以看出,SSL协议运行的基础是商家对消费者信息保密的承诺,这就有利于商家而不利于消费者。在电子商务初级阶段,由于运作电子商务的企业大多是信誉较高的大公司,因此这问题还没有充分暴露出来。但随着电子商务的发展,各中小型公司也参与进来,这样在电子支付过程中的单一认证问题就越来越突出。虽然在SSL3.0中通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证,但是SSL协议仍存在一些问题,比如,只能提供交易中客户与服务器间的双方认证,在涉及多方的电子交易中,SSL协议并不能协调各方间的安全传输和信任关系。
1.3 一次简单的SSL的通信过程
如图2所示,使用SSL建立安全连接的过程可以分为以下6个步骤:
1) 客户端将它所支持的算法列表和一个用作产生密钥的随机数发送给服务器。
2) 服务器从算法列表中选择一种加密算法,并将它和一份包含服务器公用密钥的证书发送给客户端;该证书还包含了用于认证目的的服务器标识,服务器同时还提供了一个用作产生密钥的随机数。
3) 客户端对服务器的证书进行验证(有关验证证书,可以参考数字签名),并抽取服务器的公用密钥;然后,再产生一个随机密码串,并使用服务器的公用密钥对其进行加密(参考非对称加/解密),并将加密后的信息发送给服务器。
4) 客户端与服务器端根据随机密码串以及客户端与服务器的随机数值独立计算出加密和MAC密钥。
5) 客户端将所有握手消息的MAC值发送给服务器。
6) 服务器将所有握手消息的MAC值发送给客户端。
2 总结
综上所述,对于B/S应用系统,SSL安全协议的使用可以保障保障在Internet上或者专有的局域网络中数据传输的安全,利用数据加密(Encryption)技术,可确保数据在网络上之传输过程中不会被截取及窃听。对于安全问题日趋严峻的网络环境来说,在用户数据比较敏感的Web网站中使用SSL安全协议,将极大的提高该网站的安全性,且减少不必要的经济损失。
参考文献:
[关键词] 电子商务 SSL协议 SET协议
一、引言
电子商务作为计算机应用技术与现代经济贸易活动结合的产物，已经成为人类跨入知识经济新纪元的重要标志之一。但美国的一个调查机构显示超过60%的人由于担心电子商务的安全问题而不愿进行网上购物。安全是电子商务发展的核心问题。
保证电子商务安全，其核心在于安全协议。迄今为止，国内外已经出现了多种电子支付协议，目前有两种安全在线支付协议被广泛采用，即安全套接层SSL协议和安全电子交易SET协议，二者均是成熟和实用的安全协议。
二、安全套接层协议（SSL）
SSL协议是由网景公司推出的一种安全通信协议，它能够对信用卡和个人信息提供较强的保护。SSL是对计算机之间整个会话进行加密的协议。在SSL中，采用了公开密钥和私有密钥两种加密方法。
它已成为事实上的工业标准，独立于应用层，可加载任何高层应用协议，适合为各类C/S模式产品提供安全传输服务。它提供一种加密的握手会话，使客户端和服务器端实现身份验证、协商加密算法和压缩算法、交换密钥信息。这种握手会话通过数字签名和数字证书来实现客户和服务器双方的身份验证，采用DES、MD5等加密技术实现数据的保密性和完整性。在用数字证书对双方的身份验证后，双方就可以用密钥进行安全会话。
1.SSL安全协议主要提供三方面的服务
(1)用户和服务器的合法性认证：认证用户和服务器的合法性，使得它们能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都是有各自的识别号，这些识别号由公开密钥进行编号，为了验证用户是否合法，SSL要求在握手交换数据进行数字认证，以此来确保用户的合法性。
(2)加密数据以隐藏被传送的数据：SSL采用的加密技术既有对称密钥技术，也有公开密钥技术。在客户机与服务器进行数据交换之前，交换SSL初始握手信息，在SSL握手情息中采用了各种加密技术对其加密，以保证其机密性和数据的完整性，并且用数字证书进行鉴别。这样就可以防止非法用户进行破译。
(3)护数据的完整性：SSL采用Hash函数和机密共享的方法来提供信息的完整性服务，建立客户机与服务器之间的安全通道，使所有经过安全套接层协议处理的业务在传输过程中能全部完整准确无误地到达目的地。
2.SSL协议的缺点
(1)客户的信息先到商家，让商家阅读，这样，客户资料的安全性就得不到保证。
(2)SSL只能保证资料信息传递的安全，而传递过程是否有人截取就无法保证了。所以，SSL并没有实现电子支付所要求的保密性、完整性，而且多方互相认证也是很困难的。
三、安全电子交易SET协议
SET协议是由VISA和MasterCard两大信用卡公司于1997年5月联合推出的规范。SET主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份、以及可操作性。SET中的核心技术主要有公开密钥加密、电子数字签名、电子信封、电子安全证书等。
1.SET支付系统的组成
SET支付系统主要由持卡人、商家、发卡行、收单行、支付网关、认证中心等六个部分组成。对应地，基于SET协议的网上购物系统至少包括电子钱包软件、商家软件、支付网关软件和签发证书软件。
2.SET安全协议主要提供三方面的服务
(1)保证客户交易信息的保密性和完整性：SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。
(2)确保商家和客户交易行为的不可否认性：SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性，采用的核心技术包括X.509电子证书标准，数字签名，报文摘要，双重签名等技术。
(3)确保商家和客户的合法性：SET协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。
3.SET协议的缺点
(1)只能建立两点之间的安全连线，所以顾客只能把付款信息先发送到商家，再由商家转发到银行，而且只能保证连接通道是安全的而没有其他保证。
(2)不能保证商家会私自保留或盗用他的付款信息。
4.SSL与SET协议的比较
(1)在认证要求方面，早期的SSL并没有提供商家身份认证机制，不能实现多方认证；而SET的安全要求较高，所有参与SET交易的成员都必须申请数字证书进行身份识别。
(2)在安全性方面，SET协议规范了整个商务活动的流程，从而最大限度地保证了商务性、服务性、协调性和集成性。而SSL只对持卡人与商店端的信息交换进行加密保护，可以看作是用于传输的那部分的技术规范。从电子商务特性来看，它并不具备商务性、服务性、协调性和集成性。因此SET的安全性比SSL高。
(3)在网络层协议位置方面，SSL是基于传输层的通用安全协议，而SET位于应用层，对网络上其他各层也有涉及。
(4)在应用领域方面，SSL主要是和Web应用一起工作，而SET是为信用卡交易提供安全，但如果电子商务应用是一个涉及多方交易的过程，则使用SET更安全、更通用些。
四、结束语
由于两协议所处的网络层次不同，为电子商务提供的服务也不相同，因此在实践中应根据具体情况来选择独立使用或两者混合使用。
参考文献：
[1]陈兵主编:网络安全与电子商务[M]．北京：北京大学出版社，2002．1
[关键词] 电子商务 ssl协议 set协议
一、引言
电子商务作为计算机应用技术与现代经济贸易活动结合的产物，已经成为人类跨入知识经济新纪元的重要标志之一。但美国的一个调查机构显示超过60%的人由于担心电子商务的安全问题而不愿进行网上购物。安全是电子商务发展的核心问题。
保证电子商务安全，其核心在于安全协议。迄今为止，国内外已经出现了多种电子支付协议，目前有两种安全在线支付协议被广泛采用，即安全套接层ssl协议和安全电子交易set协议，二者均是成熟和实用的安全协议。
二、安全套接层协议（ssl）
ssl协议是由网景公司推出的一种安全通信协议，它能够对信用卡和个人信息提供较强的保护。ssl是对计算机之间整个会话进行加密的协议。在ssl中，采用了公开密钥和私有密钥两种加密方法。
它已成为事实上的工业标准，独立于应用层，可加载任何高层应用协议，适合为各类c/s模式产品提供安全传输服务。它提供一种加密的握手会话，使客户端和服务器端实现身份验证、协商加密算法和压缩算法、交换密钥信息。这种握手会话通过数字签名和数字证书来实现客户和服务器双方的身份验证，采用des、md5等加密技术实现数据的保密性和完整性。WWw.133229.CoM在用数字证书对双方的身份验证后，双方就可以用密钥进行安全会话。
1.ssl安全协议主要提供三方面的服务
(1)用户和服务器的合法性认证：认证用户和服务器的合法性，使得它们能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都是有各自的识别号，这些识别号由公开密钥进行编号，为了验证用户是否合法，ssl要求在握手交换数据进行数字认证，以此来确保用户的合法性。
(2)加密数据以隐藏被传送的数据：ssl采用的加密技术既有对称密钥技术，也有公开密钥技术。在客户机与服务器进行数据交换之前，交换ssl初始握手信息，在ssl握手情息中采用了各种加密技术对其加密，以保证其机密性和数据的完整性，并且用数字证书进行鉴别。这样就可以防止非法用户进行破译。
(3)护数据的完整性：ssl采用hash函数和机密共享的方法来提供信息的完整性服务，建立客户机与服务器之间的安全通道，使所有经过安全套接层协议处理的业务在传输过程中能全部完整准确无误地到达目的地。
2.ssl协议的缺点
(1)客户的信息先到商家，让商家阅读，这样，客户资料的安全性就得不到保证。
(2)ssl只能保证资料信息传递的安全，而传递过程是否有人截取就无法保证了。所以，ssl并没有实现电子支付所要求的保密性、完整性，而且多方互相认证也是很困难的。
三、安全电子交易set协议
set协议是由visa和mastercard两大信用卡公司于1997年5月联合推出的规范。set主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份、以及可操作性。set中的核心技术主要有公开密钥加密、电子数字签名、电子信封、电子安全证书等。
1.set支付系统的组成
set支付系统主要由持卡人、商家、发卡行、收单行、支付网关、认证中心等六个部分组成。对应地，基于set协议的网上购物系统至少包括电子钱包软件、商家软件、支付网关软件和签发证书软件。
2.set安全协议主要提供三方面的服务
(1)保证客户交易信息的保密性和完整性：set协议采用了双重签名技术对set交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能接收用户的订单信息；而金融机构看不到交易内容，只能接收到用户支付信息和帐户信息，从而充分保证了消费者帐户和定购信息的安全性。
(2)确保商家和客户交易行为的不可否认性：set协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性，采用的核心技术包括x.509电子证书标准，数字签名，报文摘要，双重签名等技术。
(3)确保商家和客户的合法性：set协议使用数字证书对交易各方的合法性进行验证。通过数字证书的验证，可以确保交易中的商家和客户都是合法的，可信赖的。
3.set协议的缺点
(1)只能建立两点之间的安全连线，所以顾客只能把付款信息先发送到商家，再由商家转发到银行，而且只能保证连接通道是安全的而没有其他保证。
(2)不能保证商家会私自保留或盗用他的付款信息。
4.ssl与set协议的比较
(1)在认证要求方面，早期的ssl并没有提供商家身份认证机制，不能实现多方认证；而set的安全要求较高，所有参与set交易的成员都必须申请数字证书进行身份识别。
(2)在安全性方面，set协议规范了整个商务活动的流程，从而最大限度地保证了商务性、服务性、协调性和集成性。而ssl只对持卡人与商店端的信息交换进行加密保护，可以看作是用于传输的那部分的技术规范。从电子商务特性来看，它并不具备商务性、服务性、协调性和集成性。因此set的安全性比ssl高。
(3)在网络层协议位置方面，ssl是基于传输层的通用安全协议，而set位于应用层，对网络上其他各层也有涉及。
(4)在应用领域方面，ssl主要是和web应用一起工作，而set是为信用卡交易提供安全，但如果电子商务应用是一个涉及多方交易的过程，则使用set更安全、更通用些。
四、结束语
由于两协议所处的网络层次不同，为电子商务提供的服务也不相同，因此在实践中应根据具体情况来选择独立使用或两者混合使用。
参考文献：
[1]陈兵主编:网络安全与电子商务[m]．北京：北京大学出版社，2002．1
[关键词] 电子支付 安全 SSL协议 SET协议
网络和信息技术的不断发展和渗透，使得电子商务得到了飞速的发展。然而，电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。其中，安全协议是保证电子商务安全的核心所在。
目前，国内外使用的保障电子商务支付系统安全的协议包括：安全套接层协议SSL（Secure Socket Layer）、安全电子交易协议SET（Secure Electronic Transaction）等协议标准。
一、SSL协议
SSL协议是Netscape Communication公司推出在网络传输层之上提供的一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术。是对计算机之间整个会话进行加密的协议，提供了加密、认证服务和报文完整性。它是国际上最早应用于电子商务的一种由消费者和商家双方参加的信用卡/借记卡支付协议。
1.SSL协议提供的服务主要有
(1)用户和服务器的合法性认证；
(2)加密数据以隐藏被传送的数据；
(3)维护数据的完整性，确保数据能完整准确地传输到目的地。
该协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用Web Server方式,它包括：服务器认证、客户认证、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。
2.SSL协议的工作流程
(1)接通阶段：客户通过网络向服务商发送连接信息，服务商回应；
(2)密码交换阶段：客户与服务器之间交换双方认可的密码，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法；
(3)会谈密码阶段：客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；
(4)检验阶段：服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。
(5)客户认证阶段：服务器通过数字签名验证客户的可信度；
(6)结束阶段，客户与服务商之间相互交换结束的信息。SSL协议运行的基点是商家对客户信息保密的承诺。从SSL 协议所提供的服务及其工作流程可以看出，该协议有利于商家而不利于消费者。客户的信息首先传到商家，商家阅读后再传给银行，这样，客户资料的安全性便受到威胁。商家认证客户是必要的，但整个过程中，缺少了客户对商家的认证。在电子商务的初级阶段，由于运作电子商务的企业大多是信誉较高的大公司，因此这问题还没有充分暴露出来。但随着电子商务的发展，各中小型公司也参与进来，这样在电子支付过程中的单一认证问题就越来越突出。虽然在SSL3.0中通过数字签名和数字证书可实现浏览器和Web服务器双方的身份验证，但是SSL协议仍存在一些问题，比如，只能提供交易中客户与服务器间的双方认证，在涉及多方的电子交易中，SSL协议并不能协调各方间的安全传输和信任关系。在这种情况下，Visa和 MasterCard两大信用卡公组织制定了SET协议，为网上信用卡支付提供了全球性的标准。
二、Set协议
Set协议是1997年5月31日由VISA和MasterCard两大信用卡公司联合推出的一个基于开放网络的安全的以信用卡支付为基础的电子商务协议。它运用了RSA安全的公钥加密技术，具有资料保密性、资料完整性、资料来源可辨识性及不可否认性，是用来保护消费者在Internet持卡付款交易安全中的标准。现在，SET已成为国际上所公认的在Internet电子商业交易中的安全标准。
1.SET支付系统的组成
SET支付系统主要由持卡人（CardHolder）、商家（Merchant）、发卡行（Issuing Bank）、收单行（Acquiring Bank）、支付网关（Payment Gateway）、认证中心（Certificate Authority）等六个部分组成。对应地，基于SET协议的网上购物系统至少包括电子钱包软件、商家软件、支付网关软件和签发证书软件。
2.SET协议的工作流程如下
在SET协议介入之前，消费者通过因特网进行选货、下订单并与商家联系最终确定订单的相关情况、付款方式和签发付款指令。此时SET协议开始介入，进入以下几个阶段
(1)支付初始化请求和响应阶段。当客户决定要购买商家的商品并使用电子钱包支付时，商家服务器上POS软件发报文给客户的浏览器电子钱包，电子钱包要求客户输入口令然后与商家服务器交换“握手”信息，使客户和商家相互确认，即客户确认商家被授权可以接受信用卡，同时商家也确认客户是一个合法的持卡人。
(2)支付请求阶段。客户发出一个报文，包括订单和支付命令。在订单和支付命令中必须有客户的数字签名，同时利用双重签名技术保证商家看不到客户的账号信息。而位于商家开户行的被称为支付网关的另外一个服务器可以处理支付命令中的信息。
(3)授权请求阶段。商家收到订单后，POS组织一个授权请求报文，其中包括客户的支付命令，发送给支付网关。支付网关是一个Internet服务器，是连接Internet和银行内部网络的接口。授权请求报文通过支付网关到达收单银行后，收单银行再到发卡银行确认。
(4)授权响应阶段。收单银行得到发卡银行的批准后，通过支付网关发给商家授权响应报文。
(5)支付响应阶段。商家发送购买响应报文给客户，记录客户交易日志，以备查询。之后进行发货或提供服务，并通知收单银行将钱从消费者的账号转移到商店账号，或通知发卡银行请求支付。
三、SSL协议和SET协议的对比
1.SSL协议的优缺点
SSL协议是两层协议，建立在TCP传输控制协议之上、应用层之下，并且与上层应用协议无关，可为应用层协议如HTTP、FTP、SMTP等提供安全传输，通过将HTTP与SSL相结合，Web服务器就可实现客户浏览器与服务器间的安全通信。因此简便易行是SSL协议的最大优点，但与此同时其缺点也是显而易见的。首先，在交易过程中，客户的信息先到达商家那里，这就导致客户资料安全性无法保证；其次，SSL只能保证资料传递过程的安全性，而传递过程是否有人截取则无法保证；再次，由于SSL协议的数据安全性是建立在RSA等算法上，因此其系统安全性较差；最后，虽然SSL协议中也使用了数字签名来保证信息的安全，但是由于其不对应用层的消息进行数字签名，因此不能提供交易的不可否认性，这就造成了SSL协议在电子银行应用中的最大不足。
2.SET协议的优缺点
由于SET提供了消费者、商家和银行之间的双重身份认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此它成为目前公认的信用卡/借记卡的网上交易的国际安全标准。但在实际应用中，SET协议依然存在以下不足：
(1)SET协议中仍存在一些漏洞。如：不可信的用户可能通过其它商家的帮助欺骗可信的商家在未支付的情况下得到商品；密钥存在被泄露的危险；存在冒充持卡人进行交易的隐患。
(2)SET协议的性能有待改进。如：单纯支持信用卡，需要进一步适应借计卡的使用；协议过于复杂，要求安装的软件包过多，处理速度慢，价格昂贵；由于该协议的每一个阶段都要进行多次数据加密解密、签名、证书验证等安全操作，因此协议的交易时间过长，不能满足实时交易要求。
关键词：网络支付； 安全套接层； 安全电子交易； 电子商务； 支付系统； 电子钱包
中图分类号：F724.6 文献标志码：A
Internet payment system based on SSL and SET protocol
JIANG Zhihua
(Info. Eng. College, Shanghai Maritime Univ., Shanghai 200135, China)
Abstract： Internet payment is the bottleneck that restricts the development of E-Business. So the general internet payment system framework for bank card is introduced, and an Internet payment system based on Secure Socket Layer (SSL) and Secure Electronic Transaction (SET) protocol is proposed. And its payment flow and security are detailed and discussed.
Key words： Internet payment; secure socket layer; secure electronic transaction; E-Business; payment system; E-Wallet
0 引 言
网络支付方式是电子商务发展的关键要素.电子商务交易支付涉及支付安全和实现平台的统一，信息安全技术已经为网络支付研究出一系列安全加密及信息传输的技术规范，如以安全套接层(Secure Socket Layer, SSL)协议和安全电子交易协议(Secure Electronic Transaction, SET)为代表的网络支付协议及应用于网上的数字签名、用户论证等技术.本文结合SSL和SET网络支付协议及应用技术，讨论基于第三方运营的网络支付方式，发挥SET的严密性和SSL的简单直观性等特点，使网络支付系统构建体现资源整合、方便交易特色的统一支付平台.
1 网络支付模式
网络支付是指电子商务交易的当事人，包括消费者、厂商和金融机构，使用安全电子支付手段通过网络进行的货币支付或资金流转，对支付的要求是能够实现跨地跨行的交易支付快捷且安全，并保证银行之间、银行商户之间的资金结算准确无误.电子支付的方式主要有3类：一类是电子货币类，如电子现金和电子钱包等；另一类是电子信用卡类，包括银行磁卡、智能卡和电话卡等；还有一类是电子支票类，如电子支票、电子汇款和电子划款等.
在电子支付的3种基本支付方式中信用卡（银行卡）支付得到世界范围内的普及［1］，能很好地解决小额在线支付结算中的安全问题，因此越来越多的人愿意接受并且喜欢利用信用卡进行网络支付.信用卡网络支付模式总体有下面4种.
1.1 无安全措施的信用卡支付模式
这种支付模式是指持卡人利用信用卡进行支付结算时，几乎没有采取任何技术上的安全措施而把信用卡号码和密码直接传送给商家，然后由商家负责后续处理的模式(见图1).这是在电子商务发展初期各方面都不太成熟，特别是银行对电子商务的支持还不完善的情况下出现的，风险由商家负责，安全性差，持卡人的信用卡隐私信息完全被商家掌握，支付效率较低.［2］
1.2 借助第三方机构的信用卡支付模式
为了降低在无安全措施支付模式中的风险，在买方和卖方之间启用1个具有诚信的第三方机构，这个机构持有持卡客户的信用卡账号信息用于与银行的支付结算，并负责将交易信息在商家和客户之间传递(见图2).这种方式对第三方机构的公正、信誉和操作规范有很高的要求［3］，主要风险由第三方机构承担，安全性得到一定的保证；但由于并未发挥银行网络在支付中的作用，在提高安全性的同时支付效率没有得到提高，成本也较高，且不太适合小额的网上支付.
1.3 基于SSL协议机制的信用卡支付模式
这种方式为Internet环境下信用卡支付的典型方式(见图3)：使用SSL作为安全会话，保护和防止Internet其他用户获取信用卡帐号等机密信息.交易多方身份验证机构认证中心(Certification Authority,CA)的作用是间接的，主要是为支付各方颁发证书.用户以明文方式输入其信用卡号，该卡号将被加过密的SSL会话发送给商家的服务器并转发给发卡银行.这种通过商家中转支付信息的SSL支付模式不能保证支付账户信息不被商家看到，所以改进的SSL支付模式就是客户浏览器与银行服务器之间直接建立SSL加密联接.SSL支付模式是应用最为广泛的网络支付模式，其特点是应用方便、成本较低、安全性高、市场产品成熟，国内大多数商业银行的信用卡网络支付系统都采用这种技术模式，绝大多数的网上商家均支持这种模式的信用卡应用.
SET协议是由Visa和MasterCard联合开发的1种开放性标准.SET协议可以让持卡人在开放网络上发送安全的支付指令和获取认证信息.SET主要用于兼容当前的信用卡网络，目前涉及的是B2C的电子商务交易.在交易之前，客户必须到相应的发卡银行柜台办理应用SET协议机制的信用卡，并下载安装持卡客户端软件（电子钱包软件），将信用卡相关信息添加进客户端软件，最后为其中的信用卡申请数字证书；同样，商户需到银行办理这类信用卡结算事宜，得到服务器端SET支持软件，并且从CA得到数字证书.作为银行网络与外部网的接口支付网关，也须得到数字证书的认证.在交易过程中，SET介入信用卡支付的全过程，由于加密、认证较多，支付处理速度相对SSL机制的信用卡支付稍慢，各方开销也大一些，但该协议设计得很安全，已经成为事实上的工业标准.［4］
2 基于SSL和SET的网络支付
2.1 网络支付原理
目前应用较多的SSL和SET机制各有优劣.SSL强调的重点在于实现网络支付的便捷性，即可以在任何1网的PC上进行网上支付（需要安全认证和数字证书的下载），但是用户必须遵循不同银行卡相对独立的支付规则，且针对银行的是特约商户，一般商户不能支持所有银行卡.而SET流程设计安全，一般利用安装在物理设备（用户PC硬盘）之上的电子钱包模拟实际购物，对于用户而言很直观也比较易用，但是移动性却因为需要安装电子钱包软件而丧失，每次网络支付都要安装电子钱包软件很不现实.
结合SSL和SET网上支付的优势，将安装在本地硬盘的电子钱包置于网络上，由独立的第三方（网络服务商）管理用户电子钱包，并使网上钱包与银行的前端接口――支付网关有机结合，这样用户在网上购物与支付时，以浏览器加密专用通道（即SSL）的方式使用SET机制的电子钱包功能.
2.2 网络支付流程
网络支付流程见图4.
从图4可知，利用网上钱包进行在线支付的大致流程如下：（1）申请电子钱包.客户要在网上钱包服务商处开通网上钱包功能，申请电子钱包并进行设置.一般情况下客户可以到柜台申请，也可以在线申请，成功后用户得到网上钱包的账号和密码.用户还需对自己的电子钱包进行设置，将信用卡及支付卡账号、密码等信息存入网上钱包的个人账户中，除此之外还应对电子钱包的保密性做设置.（2）使用钱包中的信用卡支付.网上钱包实际上是个统一的支付平台，用户在SSL会话界面输入自己的网上钱包账号和密码进入钱包系统，选择信用卡进行支付.此时SET介入其中，对于银行支付网关，可以是与网上钱包平台集成的统一支付网关，也可以是银行自身的支付网关.收单行扣款成功返还给网上钱包平台，再通过SSL通知客户支付成功信息.
3 网络支付的安全性讨论
网络支付给用户带来使用上的方便，而且SSL和SET的结合能够使支付交易的速度得到提高.SSL和SET协议在网络安全上根据不同的安全要求和级别采取相应的安全防范措施.同样，网络支付在应用中也采用诸如数字签名、数字信封和数字摘要等技术，使其安全性问题就在于第三方钱包运营商的公正性（如钱包用户基本信息的保密问题等）以及钱包用户身份合法性上.
前者应当强化第三方机构（服务商）的审核，可以在应用中由业界普遍认同的绝对公正的金融机构担任网上钱包的服务商，同时CA应适时地加以身份鉴证；技术上加强用户对钱包账户信息的自我控制，对钱包运营商的数据监控.对于后者［5］，应加强密码系统的安全性，用户应注意账户信息的保密和密码的及时更新，必要时可以采用动态密码机制.另外将账户信息集成在存储设备（如智能卡）上，采用双重身份登陆方法，也是实现网上钱包个人安全登陆的好办法.目前，国内金融网络建设的“银联”模式就是这样的实际应用，“银联”是依托于银行卡跨行跨地的资金流转业务而产生的，除了提供银行卡方便的现金支取和消费刷卡之外，其技术优势可完全应用于网络支付，作为第三方的支付网关，代表众多商业银行的支付工具，已经实现在线支付的即时到账，各类具有银联标志的银行卡都能方便地完成网络支付，并且正得到越来越多的应用.
4 结 论
本文阐述的是基于SSL和SET相结合的网络支付系统，是权衡两者利弊的较佳方案.可以看到，网络支付依托的是传统的网络支付模型和工具，在系统构成上主要要素不变，这就说明已经成熟的网络支付协议及安全技术是支付系统的基础，而在支付方式的形式上有比较大的拓展空间，这要根据实际的支付环境来决定.在设计网络支付系统时，应充分考虑支付环境和交易的情况，做到安全和便捷的统一.
参考文献：
［1］ 梁春晓, 安徽. 电子商务从理念到行动［M］. 北京: 清华大学出版社, 2001.
［2］ 柯新生. 网络支付与结算［M］. 北京: 电子工业出版社, 2004.
［3］ 张卓其. 电子银行安全技术［M］. 北京: 电子工业出版社, 2003.
购物车(0)