SET构筑安全电子商务

　　电子商务是指企业通过企业内部网、外部网以及internet与企业的职员、客户、供销商以及合作伙伴按照一定的标准开展的商务活动。电子商务是建立在计算机网络系统的基础上的，要保证其安全性，就必须保证信息流和资金流的安全传输，以及在网上交易时使用的安全的身份认证体系。

　　set是一个在internet上实现安全电子交易的国际协议和标准，是以信用卡支付为基础的网上电子支付系统规范，它使用加密算法来保证数据的保密性，使用hash算法来保证数据的完整性，使用数字签名来实现身份认证和防抵赖。set是安全电子商务发展的方向。

　　一、安全电子商务系统结构

　　set系统实际上是一个支付系统，它主要由持卡人、商家、发卡行、收单行、支付网关以及认证机构六个部分组成。其基本构成如图所示:

　　持卡人是指使用信用卡或借记卡进行网上消费的客户。他要成为网上交易的消费者的前提是:向发卡行申请到银行卡，并且需要认证机构ca发给数字证书。持卡人通过电子钱包来进行网上交易。电子钱包具有发送/接收信息、存储密钥、进行认证、更改密码等功能。

　　商家是网上交易的经营者。商家要进行网上经营活动，他必须由收单行进行审定和信用评估，开设帐户，然后由收单行所委托的ca发给数字证书。商家的网上经营活动需要具有与持卡人交易、与支付网关通讯、进行相关认证以及存储密钥的应用软件支持。

　　发卡行是持卡人申请银行卡的银行，它给持卡人提供支付工具以及银行信用。

　　收单行是商家开设帐户的银行，进行网上交易后，商家的经营收入应该划拔到收单行上商家的帐户上。收单行负责处理支付授权的请求以及银行之间的结算。

　　认证机构即ca是负责确认电子商务活动中各方的资信状况的第三方中立组织，它通过给合法用户发放数字证书来确认身份，保证电子商务的安全。

　　支付网关是为了保护电子商务中的银行数据安全而设的，是internet与银行专用网之间的接口，电子商务活动中所发生的支付信息通过支付网关进入到银行专用网系统，完成银行间的结算。支付网关的安全性至关重要。

　　二、set关键技术

　　set协议要保证网上交易的安全，需要对交易参与者进行身份认证，并且对交易信息进行加密保护。在整个交易过程中需要用到密码算法技术，其中主要的有对称密钥算法、公钥算法和hash算法。

　　1.对称算法:对称算法是用同一个密钥进行加、解密的算法。set缺省使用的是分组算法中的des算法。des算法加解密速度快，但是不好实现密钥的安全传递。

　　2.公钥算法:公钥算法使用两个不同的密钥对数据进行加、解密，在这两个密钥中，一个是对外公布的，称为公钥;另外一个是需要持有人安全保护的，称为私钥。用公钥加密的数据只能用私钥解密，而用私钥加密的数据只能用公钥进行解密。

　　公钥算法的优点是密钥的分发不用加密，但是其加解密速度慢，不适合大数据量加解密。set中使用rsa算法。

　　算法:hash算法的主要目的是生成文件、消息等数据的摘要，以进行消息的身份验证，保证数据的完整性。hash函数需具有实用、不可预见和不可逆等特点。set使用的hash函数是sha——1。

　　在以上三种关键技术的应用过程中，要用到数字签名、数字信封和数字证书三个术语:

　　(1)数字签名:把要发送的信息生成的摘要，用发送者的私钥进行加密后形成数字签名信息。发送者把数字签名附在信息后面发送给对方，接收方得到原始信息后，用同样的方法生成摘要，与使用发送者的公钥解密后的摘要进行比较，如果一致，则可以确定信息是对方发送的，而且并没有被篡改。

　　(2)数字信封:使用数字信封的主要目的是为了传递对称算法的密钥。当一方生成了随机的对称算法的密钥后，用对方的公钥进行加密，形成数字信封。接收方收到数字信封后，用自己的私钥解密后得到对称算法的密钥，就可以用它进行数据的加解密运算了。

　　(3)数字证书:数字证书是证书使用者的“电子身份证”，它是由可信赖的第三方机构——ca颁发的，可以提供足够的信息证明公钥持有者身份的合法性的电子文件。数字证书内包含持有者的公钥、详细个人信息的摘要，以及颁发机构的数字签名。

　　set交易过程综合运用了以上所述的技术，以保证交易过程中所有信息的保密性、完整性和可靠性。

　　此外，在set交易流程的每一步，都需要用到证书对交易信息的来源进行验证，所以证书管理对set安全性是非常重要的。

　　三、set交易流程

　　set交易的流程主要包括持卡人注册申请证书、商家注册申请证书、购买请求、支付认证和获取付款五个步骤。

　　1.持卡人注册申请证书:持卡人在参加安全电子交易前，必须向ca申请数字证书来证明持卡人合法可信赖的身份。申请过程如下:

　　(1)持卡人启动拥有的电子钱包，向ca发送请求，ca收到请求后，把自己的证书发给持卡人。

　　(2)持卡人收到ca的响应后，检验ca的有效性，然后保存有效的ca的证书。电子钱包产生注册表请求信息，用随机产生的对称加密密钥加密后，连同包含对称密钥以及持卡人账号信息的数字信封发送给ca。

　　(3)ca获得对称密钥以及账号信息后，解密注册表请求信息，把请求的发卡行注册表信息以及ca证书发送给持卡人。

　　(4)持卡人验证ca的有效性，然后进行以下工作：生成一对签名密钥，填写注册表;生成一个ca产生证书用的随机数;对注册表进行签名;产生ca加密响应信息用的以及加密注册信息用的对称密钥，并制作数字信封。把以上信息发送给ca。

　　(5)ca接收到信息后，获得持卡人的注册信息，与发卡行进行校验，如果校验正确，ca给持卡人发放证书。

　　(6)持卡人接收信息后，验证ca的签名信息，如果正确，则获取证书并保存以用于进行网上电子交易。

　　2.商家注册申请证书：商家要进行电子商务活动，同样需要申请证书。商家申请证书的过程与持卡人的申请过程类似。

　　3.购买请求。

　　(1)持卡人给商家发送请求，商家为请求分配唯一交易标识号，并进行数字签名，然后把响应信息以及商家和支付网关的证书发送给持卡人。

　　(2)持卡人验证商家和网关的证书以及响应信息的签名，产生订单信息和支付命令，并进行双重签名，用随机对称密钥进行加密，然后用支付网关的公钥对持卡人账号及对称密钥进行加密，把加密后的订单信息和支付命令发给商家。

　　(3)商家验证持卡人的证书，获得订单信息，并把支付命令传给支付网关。商家给持卡人响应信息，并处理订单服务。

　　(4)持卡人确认响应信息并保存。

　　4.支付认证：商家获取订单信息后，向支付网关确认持卡人具有支付能力后，向持卡人发货。确认过程如下:

　　(1)商家产生授权请求，加密后连同持卡人的支付命令发送给支付网关。

　　(2)网关确认商家授权请求以及持卡人支付命令的有效性，再检验授权请求的交易号是否与支付命令中的一致，然后向发卡行发授权请求。网关给商家返回响应信息。

　　(3)商家确认网关身份，获取响应信息，保存付款标志和授权响应。处理订单。

　　5.获取付款。

　　(1)商家给持卡人送货，处理完订单后，向支付网关发出支付请求，把来自网关授权响应信息中的付款标志加密后发送给支付网关。

　　(2)网关确认商家身份，确认付款请求和付款标志，并通过金融网络向发卡行发出支付请求。金融网络把货款转入收单行的商家帐户。网关给商家返回付款响应。

　　(3)商家确认响应来源，保存响应信息以备对账用。

　　从set交易流程可以看到，set在交易的每一个步骤都对信息的来源进行验证，并进行加密保护，所以set能够很好地保证电子交易的真实性、保密性、防抵赖性和不可更改性。

　　四、结束语

　　set的高度安全性是建立在对交易各方的认证，以及对所有信息的加解密的基础上的，因此它的实现需要庞大的软硬件系统的支持，银行、商家和客户都需要投入资金、改造系统，所以set的推广应用还需要一个过程。

　　参考文献:

　　[1]set secure electronic transaction specification，mastercard & visa

　　[2]《应用密码学》，bruce schneier，机械工业出版社

　　[3]william stallings:《网络安全要素—应用与标准》，人民邮电出版社

　　[4]andrew nash等著:《公钥基础设施(pki)实现和管理电子安全》，清华大学出版社