网络支付的安全技术.ppt

第六章 网络支付的安全技术,1,网络支付的安全问题与需求,2,网络支付的安全策略及解决方法,3,网络支付平台的安全及防火墙技术,4,病毒的防治和管理,5,数据机密性技术,6,数字证书,7,公钥基础PKI,目,录,CONTENTS,一、网络支付的安全问题与需求,1、网络支付面临的安全问题,（1）电子商务的主要安全隐患 1）系统的中断与瘫痪 2）信息被盗听 3）信息被篡改 4）信息被伪造 5）对交易行为抵赖,一、网络支付的安全问题与需求,1、网络支付面临的安全问题,（2）网络支付的主要安全隐患1）支付账号和密码等隐私支付信息被盗取或盗用2）支付金额被更改3）无法有效验证收款方的身份4）对支付行为进行抵赖、修改或否认5）网络支付系统瘫痪,一、网络支付的安全问题与需求,2.网络支付的安全需求,网络上资金流数据的保密性相关网络支付结算数据的完整性网络上资金结算双方身份的认定不可抵赖性保证网络支付系统的运行可靠、快捷，做好数据备份与灾难恢复功能建立共同的网络支付行为规范，进行相关立法，以强制力手段要求网络支付相关各方严格遵守,二、网络支付的安全策略及解决方法,1.网络支付安全策略制定的目的、涵义和原则,（1）制定网络支付安全策略的目的,保障相关支付结算信息的机密性、完整性、认证性、不可否认性、不可拒绝性和访问控制性不被破坏；能够有序地、经常地鉴别和测试安全状态；能够对可能的风险做基本评估；系统的安全被破坏后的恢复工作。应用相应法律法规来保护安全利益,二、网络支付的安全策略及解决方法,（2）网络支付安全策略的涵义,安全策略必须包含对安全问题的多方面考虑因素。安全策略一般要包含以下内容：认证；访问控制：保密；数据完整性；法律法规等审计。,1.网络支付安全策略制定的目的、涵义和原则,二、网络支付的安全策略及解决方法,（3）制定网络支付安全策略的基本原则,(1)预防为主(2)必须根据网络支付结算的安全需要和目标来制定安全策略(3)根据掌握的实际信息分析,1.网络支付安全策略制定的目的、涵义和原则,二、网络支付的安全策略及解决方法,2.网络支付安全策略的主要内容,（1）定义实现安全的网络支付结算的保护资源,金融机构,公正第三方,税务等政府机构,安全的通信通道,交易方A：机密支付信息,交易方B：机密支付信息,安全的网络支付系统组成示意图,安全策略具体内容中要定义保护的资源，要定义保护的风险，要吃透电子商务安全的法律法规，最后要建立安全策略和确定一套安全机制。,（2）定义保护的风险 每一新的网络支付方式推出与应用，均有一定的风险，因为绝对安全的支付手段是没有的，要进行相关风险分析。还要注意网络支付工具使用安全与使用便利、快捷之间的辩证关系。（3）完全理解、遵循和利用有关电子商务安全与网络支付安全的法律法规（4）建立相关安全策略和确定一套安全机制 安全策略中最后要根据定义的保护资源、定义的保护风险、电子商务安全的法律法规，建立安全策略和确定一套安全机制。安全策略是由个人或组织针对网络支付结算安全全面制定的，安全机制是实现安全策略的手段或技术、整套规则和决策,二、网络支付的安全策略及解决方法,3.保证网络支付安全的解决方法,(1)交易方身份认证(2)网络支付数据流内容保密(3)网络支付数据流内容完整性(4)保证对网络支付行为内容的不可否认性(5)处理多方贸易业务的多边支付问题(6)网络支付系统软件、支撑网络平台的正常运行(7)政府支持相关管理机构的建立和电子商务法律的制定,三、网络支付平台的安全及防火墙技术,1.网络平台系统的构成及其主要安全威胁,网络平台系统的构成,Intranet 电子商务服务器,银行专网,Internet,客户机,支付网关,支持网络支付的Internet网络平台系统组成示意图,三、网络支付平台的安全及防火墙技术,公共通信通道Internet的安全威胁,截断堵塞：如切断通讯线路、毁坏硬件、病毒瘫痪软件系统、垃圾信息堵塞网络通道等）伪造：伪造客户或商家信息，假冒身份以骗取财物。篡改：为某目的对相关网络支付信息进行篡改 介入：利用特殊软件工具提取Internet上通信的数据，以期破解信息；或进行信息流量分析，对信息的流动情况进行分析；或非法进入系统或数据库，进行破坏、COPY等。,1.网络平台系统的构成及其主要安全威胁,三、网络支付平台的安全及防火墙技术,Intranet的最基本安全需求,网络边界的安全 内部网络的安全 身份验证 授权管理 数据的保密性和完整性 完整的审计、记录、备份机制，以便分析处理,1.网络平台系统的构成及其主要安全威胁,三、网络支付平台的安全及防火墙技术,2.Internet网络平台系统的安全措施 Internet网络平台上安全措施主要从保护网络安全、保护应用的安全和保护系统安全三个方面来叙述。,（1）保护网络安全,全面规划网络平台的安全策略制定网络安全管理措施 使用防火墙。尽量记录网络上的一切活动注意对设备的物理保护检查网络平台系统脆弱性可靠的识别和鉴别,（2）保护应用的安全,应用安全是针对特定应用(如Web服务器、网络支付专用软件系统)中所建立的安全防护措施，独立于任何网络的安全措施。网络支付协议就很复杂，它涉及购货人、零售商和银行之间的转账，不同参与者之间的通信需要不同水平的保护，需要在应用层上处理。由于现在电子商务中的应用层对安全的要求最严格、最复杂，因此更倾向于在应用层而不是在网络层采取各种安全措施。应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。,（3）保护系统安全,系统安全性是指从整体系统的角度来进行保护，它与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包含下述一些措施：(1)检查和确认安装软件中未知的安全漏洞(2)使系统具有最小穿透风险性(3)对入侵进行检测、审计、追踪,三、网络支付平台的安全及防火墙技术,3.防火墙技术与应用,（1）防火墙的定义,防火墙(Firewall)，是一种由计算机软件和硬件组成的隔离系统设备，用于在Intranet和Internet之间构筑一道防护屏障，能按设置的条件进行区分，实现内外有别。其主要目标是保护Intranet中的信息、资源等不受来自Internet中非法用户的侵犯，它控制Intranet与Internet之间的所有数据流量。,（2）防火墙的应用示意图为：,三、网络支付平台的安全及防火墙技术,（2）防火墙的功能,实现安全策略 创建一个阻塞点 记录网络活动 限制网络暴露 VPN网关,3.防火墙技术与应用,三、网络支付平台的安全及防火墙技术,（3）防火墙的种类,数据包过滤性防火墙 应用级网关型防火墙 代理服务器型防火墙 复合型防火墙,3.防火墙技术与应用,三、网络支付平台的安全及防火墙技术,5.防火墙的类型,按防火墙采用的技术分类，主要有包过滤式防火墙、应用级网关和状态检测防火墙,数据包过滤式防火墙,Internet,数据包过滤防火墙+路由器,Internet,优点：对用户来说是透明的，处理速度快，易于维护，进行网络及维护,缺点：不能鉴别不同的用户和防止IP地址盗用，配置繁琐,数据包过滤式的防火墙应用原理示意图,3.防火墙技术与应用,应用级防火墙通常是运行在防火墙上的运行代理服务器软件部分（又名称为应用网关）,应用级网关,Internet,优点：比包过滤式防火墙更为安全、可靠，详细记录所有访问状态信息,缺点：速度慢，不允许用户直接访问网络，透明性差,Intranet,内部服务器等,代理服务器,路由器,应用级网关的应用原理示意图,三、网络支付平台的安全及防火墙技术,（4）防火墙的优缺点,优点,遏制来自Internet各种路线的攻击借助网络服务选择，保护网络中脆弱的易受攻击的服务监视整个网络的安全性，具有实时报警提醒功能作为部署NAT的逻辑地址增强内部网中资源的保密性，强化私有权,3.防火墙技术与应用,三、网络支付平台的安全及防火墙技术,缺点,限制了一些有用的网络服务的使用，降低了网络性能；只能限制内部用户对外的访问，无法防护来自内部网络用户的攻击；不能完全防止传送感染病毒的软件或文件，特别是一些数据 驱动型的攻击数据；被动防守，不能防备新的网络安全问题；,（4）防火墙的优缺点,3.防火墙技术与应用,四、病毒的防治和管理,死机、黑屏、蓝屏或者非法运行；应用软件不能运行；计算机速度明显下降；设备被禁用，数据不能保存；局域网环境下，能造成网络堵塞，服务器不能正常工作；,1.计算机病毒的发作现象,系统病毒蠕虫病毒木马病毒脚本病毒宏病毒后门病毒病毒种植程序病毒破坏性病毒玩笑病毒捆绑机病毒,2.计算机病毒的种类,四、病毒的防治和管理,防病毒软件查漏补缺Windows update 自动更新防止下载病毒,3.计算机病毒的防治方法,四、病毒的防治和管理,五、数据机密性技术,1.私有密钥加密法,（1）私用密钥加密法的定义与应用原理,信息发送方用一个密钥对要发送的数据进行加密，信息的接收方能用同样的密钥解密，而且只能用这一密钥解密。由于双方所用加密和解密的密钥相同，所以叫作对称密钥加密法。对称密钥密码体系的优点是加密、解密速度很快(高效)，但缺点也很明显：密钥难于共享，需太多密钥。目前比较著名的对称密码加密算法有：DES和IDEA,（2）私用密钥加密法的使用过程,乙银行：有一笔20 000元资金转帐至贵行12345账号上 甲银行,乙银行：有一笔20 000元资金转帐至贵行12345账号上 甲银行,密钥A,密钥A,加密,解密,信息明文,信息明文,信息密文,信息密文,网络传输,甲银行,乙银行,五、数据机密性技术,1.私有密钥加密法,五、数据机密性技术,2.公开密钥加密法,（1）公开密钥加密法的定义与应用原理,原理：共用2个密钥，在数学上相关，称作密钥对。用密钥对中任何一个密钥加密，可以用另一个密钥解密，而且只能用此密钥对中的另一个密钥解密。商家采用某种算法（秘钥生成程序）生成了这2个密钥后，将其中一个保存好，叫做私人密钥(Private Key)，将另一个密钥公开散发出去，叫做公开密钥(Public Key)。非对称密钥技术的优点是：易于实现，使用灵活，密钥较少。弱点在于:要取得较好的加密效果和强度，必须使用较长的密钥。,（2）公开密钥加密法的使用过程,乙银行：有一笔20 000元资金转帐至贵行12345账号上 客户甲,乙银行：有一笔20 000元资金转帐至贵行12345账号上 客户甲,加密,解密,支付通知明文,支付通知明文,支付通知密文,支付通知密文,网络传输,客户甲,乙银行,公钥,私钥,B,A,实现了定点保密通知,五、数据机密性技术,2.公开密钥加密法,客户甲：本行已将20 000元资金从你账号转移至12345账号上 乙银行,解密,加密,支付确认明文,支付确认明文,支付确认密文,支付确认密文,网络传输,客户甲,乙银行,公钥,私钥,B,A,网络银行不能否认或抵赖,客户甲：本行已将20 000元资金从你账号转移至12345账号上 乙银行,（2）公开密钥加密法的使用过程,五、数据机密性技术,2.公开密钥加密法,五、数据机密性技术,3.私有密钥加密法和公开密钥加密法的比较,五、数据机密性技术,4.数字信封,（1）数字信封的定义和应用原理,对需传送的信息（如电子合同、支付指令）的加密采用对称密钥加密法；但密钥不先由双方约定，而是在加密前由发送方随机产生；用此随机产生的对称密钥对信息进行加密，然后将此对称密钥用接收方的公开密钥加密，准备定点加密发送给接受方。这就好比用“信封”封装起来，所以称作数字信封（封装的是里面的对称密钥）。接收方收到信息后，用自己的私人密钥解密，打开数字信封，取出随机产生的对称密钥，用此对称密钥再对所收到的密文解密，得到原来的信息。,（2）数字信封在网络支付中的应用示例,银行乙的公钥B,客户甲随即产生的私钥P,银行乙的私钥A,网络传送1,银行乙从数字信封中取出私钥P,乙银行：有一笔200元资金转帐至贵行12345账号上 客户甲,支付通知明文,网络传送2,加密,支付通知明文,乙银行：有一笔200元资金转帐至贵行12345账号上 客户甲,支付确认密文,支付确认密文,客户甲,乙银行,解密,（3）数字信封的优点,加密、解密速度快，可以满足即时处理需要 RSA和DES相结合，不用为交换DES密钥周折，减小了DES泄密的风险 具有数字签名和认证功能 密钥管理方便 保证通信的安全,五、数据完整性技术,1.数字摘要技术,（1）.数字摘要的定义和应用原理,通讯双方在互相传送消息时，不仅要对数据进行保密，不让第三者知道，还要能够知道数据在传输过程中没有被别人改变，也就是要保证数据的完整性。,用某种算法对被传送的数据生成一个完整性值，将此完整性值与原始数据一起传送给接收者，接收者用此完整性值来检验消息在传送过程中有没有发生改变。这个值由原始数据通过某一加密算法产生的一个特殊的数字信息串，比原始数据短小，能代表原始数据，所以称作数字摘要（Digital Digest）。,（2）数字摘要的产生示例,银行乙：请将200元资金从本帐号转移至12345账号上。客户甲,Hash算法：数字摘要生成器,Abcddabc347698jdf74.kxs,支付通知,支付通知的数字摘要,2.数字签名技术,（1）数字签名的定义和应用原理,在传统商务的合同或支付信件中平时人们用笔签名，这个签名通常有两个作用：可以证明信件是由签名者发送并认可的（不可抵赖）保证信件的真实性（非伪造、非篡改）数字签名及原理：Digita1 Signature,就是指利用数字加密技术实现在网络传送信息文件时，附加个人标记，完成传统上手书签名或印章的作用，以表示确认、负责、经手、真实等；或 数字签名就是在要发送的消息上附加一小段只有消息发送者才能产生而别人无法伪造的特殊数据（个人标记），而且这段数据是原消息数据加密转换生成的，用来证明消息是由发送者发来的。,（2）数字签名的特点(1)信息是由签名者发送的；(2)信息自签发后到收到为止未曾做过任何修改；(3)如果A否认对信息的签名，可以通过仲裁解决A和B之间的争议(4)数字签名又不同于手写签名：数字签名随文本的变化而变化，手写签字反映某个人个性特征，是不变的；数字签名与文本信息是不可分割的，而用手写签字是附加在文本之后的，与文本信息是分离的。（3）数字签名的形式化定义“数字签名”系指在数据电文中，以电子形式所含、所附或在逻辑上与数据电文有联系的数据，和与数据电文有关的任何方法，它可用于数据电文有关的签字持有人和表明此人认可数据电文所含信息。,（4）数字签名的功能(1)身份认证。收方通过发方的电子签名能够确认发方的确切身份，但无法伪造。(2)保密。双方的通信内容高度保密，第三方无从知晓。(3)完整性。通信的内容无法被篡改。(4)不可抵赖。发方一旦将电子签字的信息发出，就不能再否认。数字签名与数据加密完全独立。数据可以只签名或只加密，也可既签名又加密，当然，也可以既不签名也不加密。,2.数字签名技术,（5）数字签名与手写签名的区别 数字签名与手书签名的区别在于，手书签名是模拟的，且因人而异；数字签名是0和1的数字串，因消息而异；数字签名与消息认证的区别在于，消息认证使收方能验证消息发送者及所发消息内容是否被篡改过；当收者和发者之间有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此时须借助满足前述要求的数字签名技术。任何一种产生签名的算法或函数都应当提供这两种信息，而且从公开的信息很难推测出用于产生签名的机密信息；任何一种数字签名的实现都有赖于精心设计的通信协议；,客户甲,银行乙,发送的支付通知M,收到的的支付通知M,银行乙：将200元资金345北交帐号上。客户甲,银行乙：将元资金北交帐号上。客户甲,0F812DDF64DBABFF45ADIAA,0F812DDF64DBABFF45ADIAA,ABFF45DBAD,数字摘要D,数字摘要D,数字摘要D,数字签名,加密,客户甲的私钥B,网络传送,客户甲的公钥,SHAR1,SHAR1,比较,如果D与D一样，说明信息是真实的，若不一样，说明信息是伪造或篡改过的,2.数字签名技术,数字签名可以解决下述网络支付中的安全鉴别问题：接收方伪造：接收方伪造一份文件，并声称这是发送方发送的：付款单据等。发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或接收过支付单据。第三方冒充：网上的第三方用户冒充发送或接收消息如信用卡密码；接收方篡改：接收方对收到的文件如支付金额进行改动。,2.数字签名技术作用与常见类型,3.身份认证技术,（1）身份认证的概念 身份认证又叫身份识别，它是通信和数据系统正确识别通信用户或终端的个人身份的重要途径。,身份认证的几个相关概念（1）认证(Authentication)在做任何动作之前必须要有方法来识别动作执行者的真实身份。认证又称为鉴别、确认。身份认证主要是通过标识和鉴别用户的身份，防止攻击者假冒合法用户获取访问权限。（2）授权(Authorization)授权是指当用户身份被确认合法后，赋予该用户进行文件和数据等操作的权限。这种权限包括读、写、执行及从属权等。（3）审计(Auditing)每一个人都应该为自己所做的操作负责，所以在做完事情之后都要审计。身份认证分为单向认证和双向认证。如果通信的双方只需要一方被另一方鉴别身份，这样的认证过程就是一种单向认证。在双向认证过程中，通信双方需要互相认证对方的身份。,3.身份认证技术,身份认证的主要方法口令识别法(1)根据用户知道什么来判断。如果用户能说出正确的口令，则说明他是真的，如经典的UNIX口令系统；(2)根据用户拥有什么来判断。如果用户能提供正确的物理钥匙，则说明他是真的，如普通的门钥匙和磁卡钥匙；(3)根据用户是什么来判断。如果用户生理特征与记录相符，则说明他是真的，如指纹、声音。视网膜等。1.不安全口令的分析（1）使用用户名(账号)作为口令（2）使用用户名(账名)的变换形式作为口令（3）使用自己或者亲友的生日作为口令（4）使用学号、身份证号、单位内的员工号码等作为口令（5）使用常用的英文单词作为口令,3.身份认证技术,静态密码智能卡短信密码动态口令个人特征识别法 签名识别法指纹识别技术,3.身份认证技术,身份认证的主要方法,六、数据证书与认证中心CA,1.数字证书,（1）数字证书的定义和应用原理,数字证书：指用数字技术手段确认、鉴定、认证Internet上信息交流参与者身份或服务器身份，是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档。工作原理：接收方在网上收到发送方业务信息的同时，还收到发送方的数字证书，通过对其数字证书的验证，可以确认发送方的身份。在交换数字证书的同时，双方都得到了对方的公开密钥，由于公开密钥是包含在数字证书中的，可以确信收到的公开密钥肯定是对方的。从而完成数据传送中的加解密工作。,数字证书,数字证书是用电子手段来证实一个用户的身份和对网络资源访问的权限，是一个经证书授权中心CA（Certificate Authority）数字签名的、包含证书申请者个人消息及其公开密钥的文件。,1,2,3,个人证书（Personal Digital ID）,企业（服务器）证书（Server ID）,软件（开发者）证书（Developer ID）,2.数字证书的内容,证书的版号证书的序列号证书拥有者的姓名证书拥有者的公共密钥公共密钥的有效期6.证书的有效期7.颁发证书的单位,CCTTT.509国际标准，X.509数字证书包含,2.数字证书的内容,3.与网络支付有关的数字证书的类型,（1）个人证书(客户证书)：证实客户(例如一个使用IE的个人)身份和密钥所有权（2）服务器证书：证实银行或商家业务服务器的身份和公钥（3）支付网关证书：如果在网络支付时利用第三方支付网关，那么第三方要为支付网关申请一个数字证书（4）认证中心CA证书：证实CA身份和CA的签名密钥(签名密钥被用来签署它所发行的证书),4.数字证书的有效性与使用,数字证书必须同时满足以下三个条件，才是有效的：（1）证书没有过期（2）密钥没有被修改（3）有可信任的相应的颁发机构CA及时管理与回收无效证书，并且发行无效证书清单,如果数字证书记载的网址，与你正在浏览的网址不一致，就说明这张证书可能被冒用，浏览器会发出警告。,如果这张数字证书不是由受信任的机构颁发的，浏览器会发出另一种警告。,七、公钥基础设施PKI,1.什么是公钥PKI,公钥PKI,公钥基础设施（public key infrastructure，PKI）是一种遵循既定标准的密钥管理平台，它可以为各种网络应用透明地提供采用加密和数字签名等密码服务及所必需的密钥和证书管理体系。密钥管理，是一门综合性的技术，涉及密钥的产生、检验、分配、传递、保管、使用、销毁的全过程，还与密钥的行政管理制度以及人员的素质密切相关。,七、公钥基础设施PKI,1.公钥PKI的组成,公钥PKI,（1）认证中心CA（2）X.500目录服务器（3）具有高强度密码算法的安全（4）Web安全通信平台（5）自身开发安全应用系统,七、公钥基础设施PKI,2、PKI的基本概念和所要处理的问题,公钥PKI,PKI是一套利用非对称密码（公钥密码）技术为安全通信提供服务的基础平台的技术和规范，它规定了该安全基础平台应遵循的标准。,PKI的主要任务是在开放环境中为开放性业务提供基于非对称密钥密码技术的一系列安全服务，包括身份证书和密钥管理、机密性、完整性、身份认证和数字签名等。因此，用户可利用PKI平台提供的服务进行电子商务和电子政务应用。,七、公钥基础设施PKI,2、PKI的基本概念和所要处理的问题,公钥PKI,PKI是一套利用非对称密码（公钥密码）技术为安全通信提供服务的基础平台的技术和规范，它规定了该安全基础平台应遵循的标准。,PKI的主要任务是在开放环境中为开放性业务提供基于非对称密钥密码技术的一系列安全服务，包括身份证书和密钥管理、机密性、完整性、身份认证和数字签名等。因此，用户可利用PKI平台提供的服务进行电子商务和电子政务应用。,密钥的安全生成,密钥的安全归档和恢复,信任关系的建立和管理,签名和时间戳的产生,证书及相关信息的发布,证书的颁发、更新和终止,初始身份的确认,证书的有效性检查,七、公钥基础设施PKI,2、PKI必须处理的问题,七、公钥基础设施PKI,3、PKI的功能,七、公钥基础设施PKI,4、PKI的主要流程,七、公钥基础设施PKI,5.公钥PKI的优势,公钥PKI,（1）采用公开密码密钥技术。（2）保护机密性。（3）由于数字证书的作用，有巨量的用户基础。（4）PKI提供了证书撤销机制，使其应用领域不受限制。（5）PKI具有极强的互联功能。,第7章 认证中心CA,认证中心CA简介,1,认证中心CA的技术基础,2,认证中心CA的功能,3,认证中心CA的组成框架,4,目 录,CONTENTS,认证中心CA简介,1,认证中心CA的技术基础,2,认证中心CA的功能,3,认证中心CA的组成框架,4,目 录,CONTENTS,如何确认彼此的身份？,网上应用系统服务器,用户,数据库,?,假冒的站点,?,假冒的用户,互联网应用存在信息安全隐患,在传统的商务中，用来认证商家或客户真实身份的认证证书大多是被认为公正的第三方机构（如政府部门）颁发的。,中国工商行政管理总局,保证,发行、管理营业证书,合法性,而作为电子商务平台的Internet是没有“政府”的，那由谁来验证商家的真实性呢？,一、什么是认证中心CA,CA(CertificateAuthority)是数字证书认证中心的简称，是指发放、管理、废除数字证书的机构。CA的作用是检查证书持有者身份的合法性，并签发证书（在证书上签字），以防证书被伪造或篡改，以及对证书和密钥进行管理。CA必须是各行业各部门及公众共同信任的、认可的、权威的、不参与交易的第三方网上身份认证机构。CA是PKI的核心组成部分。,认证中心CA简介,1,认证中心CA的作用,2,认证中心CA的功能,3,认证中心CA的组成框架,4,目 录,CONTENTS,二、CA的作用,CA提供的安全技术对网上的数据、信息发送方、接收方进行身份确认，以保证各方信息传递的安全性、完整性、可靠性和交易的不可抵赖性。交易信息的安全性交易信息的完整性交易者身份的可靠性交易信息的不可抵赖性,认证中心CA简介,1,认证中心CA的技术基础,2,认证中心CA的功能,3,认证中心CA的组成框架,4,目 录,CONTENTS,三、认证中心CA的功能,CA的核心功能就是发放和管理数字证书。CA认证中心的功能主要有：证书发放、证书更新、证书撤销和证书验证。具体描述如下：1.生成密钥对及CA证书2.验证申请人身份3.颁发数字证书4.证书以及持有者身份认证查询5.吊销证书6.证书管理与更新7.制定相关政策8.有能力保护数字证书服务器的安全,CA可以分为RS（证书业务受理中心）和CP(证书制作中心)两部分。RS负责接收用户的证书申请、发放等与用户打交道的外部工作，CP负责证书的制作、记录等内部工作。用户如果要获得数字证书，必须上网，进入CA网站，实际就是进入了RS网站，向RS申请证书；RS与用户对话后，可以获得用户的申请信息，然后传递给CP,CP与RA进行联系，并从RA处获得用户的身份认证信息后，由CP为用户制作证书，交给RS；当用户再上网要求获取证书时，RS将制作好的证书传给用户。,三、CA证书的功管理,CA简介,1,CA的技术基础,2,CA的功能,3,CA的组成框架,4,目 录,CONTENTS,四、CA的组成框架,CA可以分为RS（证书业务受理中心）和CP(证书制作中心)两部分。RS负责接收用户的证书申请、发放等与用户打交道的外部工作，CP负责证书的制作、记录等内部工作。用户如果要获得数字证书，必须上网，进入CA网站，实际就是进入了RS网站，向RS申请证书；RS与用户对话后，可以获得用户的申请信息，然后传递给CP,CP与RA进行联系，并从RA处获得用户的身份认证信息后，由CP为用户制作证书，交给RS；当用户再上网要求获取证书时，RS将制作好的证书传给用户。,RA的作用：在网上支付中，参与的每家银行都要建立自己的RA。面对众多的用户，光有一个RA是无法完成任务的。因此，RA下必须设立许多业务受理点，接待用户，进行申请登记工作。RA作为身份认证与审核部门，通过专线与各业务受理点连接。各业务受理点接收用户的申请，审查用户的身份证件，通过专线与RA交换信息，完成用户的身份认证工作。,证书服务中心,CP,CRL/黑名单库,RS,RA,RA,业务受理点,业务受理点,业务受理点,业务受理点,证书用户,证书用户,证书用户,证书的发放,证书的发放包括两部分：一、证书的申请、制作、发放。二、用户的身份认证。CA(证书服务中心)完成第一部分工作，RA（审核受理处）则完成第二部分工作。对于RA,持卡人RA由发卡银行，商家的RA由收单银行等能够认证用户身份的单位来担任。,证书的申请流程,一、用户带相关证明到正是业务受理中心RS申请证书；二、用户在线填写证书申请表格和证书申请协议书；三、RS业务人员取得用户申请数据后，与RA中心联系，要求用户身份认证；四、RA下属的业务受理点审核员通过离线方式（面对面）审核申请者的身份、能力和信誉等；五、审核通过后，RA中心向CA中心转发证书的申请要求；六、CA中心响应RA中心的证书请求，为该用户制作、签发证书，并且交给RS；七、当用户再次上网要求获取证书时，RS将制作好的证书传给用户；如果证书介质是IC卡方式，则RS业务人员打印好相关密码信封传给用户，通知用户到相关业务受理点领取；八、用户根据收到的用户应用指南，使用相关的证书业务。,国内外主要CA机构,世界上较早的数字证书认证中心、处于领导地位和全球最大的PKICA运营商是美国VeriSign公司，该公司成立于1995年4月，位于美国的加利福尼亚州。它为全世界50个国家提供数字证书服务，有超过45000个互联网服务器接受该公司的服务器数字证书，使用它提供的个人数字凭证的人数也已经超过200万。另外一家著名的公司是加拿大的ENTRUST。,威瑞信提供的服务包括DNS服务、数字证书、安全服务、支付服务、欺诈检测服务。威瑞信的数字信任服务通过域名登记、数字认证和网上支付三大核心业务，在全球范围内建立起了一个可信的虚拟环境，使任何人在任何地点都能放心地进行数字交易和沟通。威瑞信的DNS服务的主要业务有管理世界13台根服务器中的2台（A与J）、顶级域名中的.com和.net、北美最大的SS7信号网络中的一个、EPCglobal委托的射频识别目录。,我国安全认证体系(CA)可分为金融CA与非金融CA两种类型来处理。在金融CA方面，根证书由中国人民银行管理，根认证管理一般是脱机管理；品牌认证中心采用“统一品牌、联合建设”的方针进行。在非金融CA方面，最初主要由中国电信负责建设。,五.我国认证中心现状,金融CA为CFCA（中国金融认证中心），系统分为：（1）SET系统（2）Non-SET系统。（3）RA系统,五.我国认证中心现状,CFCA的功能：（1）实体鉴别与验证（2）确保电子交易的保密性（3）支持不可否认性（4）密钥历史记录（5）密钥备份与恢复（6）密钥自动更新（7）交叉认证,五.我国认证中心现状,我国的CA又可分为行业性CA和区域性CA两大类。行业性CA：中国金融认证中心（CFCA）和中国电信认证中心（CTCA）是行业性CA中影响最大的两家。区域性CA：大多以地方政府为背景，以公司机制来运作，如广东CA中心（CNCA）、上海CA中心(SHECA)、深圳CA中心(SZCA)，其中影响最大的是广东CA中心（CNCA）和上海CA中心(SHECA)。,如果按照技术来源划分，CA中心还可分为引进国外技术与完全自主开发两类。CFCA和天威诚信属于前者，广东CA和上海CA都属于后者。深圳CA与广东南海CACFCA的SET系统由IBM公司承建，NON-SET系统由德达/SUN/Entrust集团承建。天威诚信的技术平台来自VeriSign。但它们的密码模块却都是由国内自主开发，经国家安全部门认可的。,中国金融认证中心（CFCA）CFCA 是全国唯一的金融根认证中心，由中国人民银行负责统一规划管理，中国工商银行、中国银行、中国农业银行、中国建设银行、交通银行、招商银行、中信实业银行、华夏银行、广东发展银行、深圳发展银行、光大银行、民生银行和福建兴业银行共十三家商业银行联合建设，由银行卡信息交换总中心承建，建立了SETCA和Non-SETCA两套系统，于2000年6月29日正式开始为全国的用户提供证书服务。,广东CA及“网证通”（NETCA）系统广东省电子商务认证中心是国家电子商务的试点工程，其前身是中国电信南方电子商务中心，创立于1998年。2001年1月，广东省电子商务认证中心的“网证通”电子认证系统通过国家公安部计算机信息系统安全产品质量监督检测，被认定为安全可信的产品。2001年8月，国家密码管理委员会办公室批准广东省电子商务认证中心使用密码和建立密钥管理中心，成为国内提供网络安全认证服务的重要力量。,