《支付安全策略》PPT课件.ppt

电子支付的安全保障,2,【教学目标与要求】,了解电子支付的安全风险，掌握电子支付的相关安全需求；了解保障支付安全的多种技术；掌握对称技术原理；掌握非对称加密技术原理；了解数字签名的概念及原理；掌握数字证书的主要内容及其实现技术；了解数字摘要、数字时间戳等安全技术；,第六讲 支付安全技术,3,第六讲 支付安全技术,【知识架构】,【重要术语】,密码技术；数字签名；数字证书；CFCA；PKI；CA；SSL；SET；,第六讲 支付安全技术,6.1 电子支付安全概述,来自银行合作单位的安全隐患,6.1.1 电子支付的安全隐患,6.1 电子支付安全概述,电子支付系统安全需求,保密性,可靠性,完整性,可用性,抗否认性,所谓防火墙就是指综合采用适当技术在被保护网络周边建立的用于隔离被保护网络与外部网络的系统。,6.2 电子支付安全相关技术,6.2.1 安全防范技术,1.防火墙技术,6.2 电子支付安全相关技术,2.虚拟专用网技术,虚拟专用网（Virtual Private Networking，VPN）指的是依靠ISP（Internet服务提供商）和其它NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。,VPN采用的主要技术有哪些？,隧道技术（Tunneling）,身份认证技术（Authentication）,加解密技术（Encryption&Decryption）,密钥管理技术（Keymanagement）,6.2 电子支付安全相关技术,3.存取访问控制技术,常见的存取访问控制方式,存取访问控制表,存取访问控制矩阵,口令方式,6.2 电子支付安全相关技术,6.2.2 数据加密技术,1.对称加密技术,又称秘密密钥、私有密钥，用且只用同一个密钥对信息进行加密和解密。对称密钥密码体系的优点是加密、解密速度很快(高效)，但缺点也很明显：密钥难于共享，需太多密钥。目前比较著名的对称密码加密算法有：DES和IDEA,6.2 电子支付安全相关技术,2.非对称加密技术,非对称密钥密码体系也称公开密钥技术。非对称密钥技术的优点是：易于实现，使用灵活，密钥较少。弱点在于:要取得较好的加密效果和强度，必须使用较长的密钥。,接收方公钥,明文,密文,接收方私钥,密文,明文,加密,解密,密钥对,传输,发送方,接收方,12.2 电子支付安全相关技术,6.2.3 身份认证技术,1,2,3,基于口令的身份认证,基于物理证件的身份认证,基于人体生物学特征的身份认证,12.2 电子支付安全相关技术,6.2.4 数字认证技术,又称数字指纹、Hash编码法，能保证信息传输的完整性。,发送方,原文,Hash算法,摘要,对比,接收方,原文,摘要,Hash算法,互联网,6.2 电子支付安全相关技术,6.2 电子支付安全相关技术,数字信封：是用加密技术来保证只有规定的特定收信人才能阅读信的内容。基本原理：发送者使用随机产生的对称密钥加密数据，然后将生成的密文和密钥本身一起用接收者的公开密钥加密，加密的对称密钥称为数字信封，将密文及加密后的密钥发送给接收者；接收者先用自己的私钥解密数字信封，得到对称密钥，然后使用对称密钥解密数据。,6.2 电子支付安全相关技术,数字证书是用电子手段来证实一个用户的身份和对网络资源访问的权限，是一个经证书授权中心CA（Certificate Authority）数字签名的、包含证书申请者个人消息及其公开密钥的文件。,1,2,3,个人证书（Personal Digital ID）,企业（服务器）证书（Server ID）,软件（开发者）证书（Developer ID）,6.2 电子支付安全相关技术,证书的版号证书的序列号证书拥有者的姓名证书拥有者的公共密钥公共密钥的有效期6.证书的有效期7.颁发证书的单位,CCTTT.509国际标准，X.509数字证书包含,6.3 PKI技术,6.3.1 什么是PKI,Public Key Infrastructure(PKI).是硬件、软件、人员、策略和操作规程的总和，它们要完成创建、管理、保存、发放和废止证书的功能PKI 基于公开密钥加密算法来保证网络通讯安全,PKI是一个用公钥技术来实施和提供安全服务具有普适性的安全基础设施.它的目标是为所有应用提供统一规范的安全服务.遵循一定规则建立的PKI,提供信息安全服务,能够节省费用,提高效率,简化管理,降低复杂性,提高可靠性.,6.3 PKI技术,什么是PKI,6.3 PKI技术,PKI的组成,一个典型的PKI系统中包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。,一个新用户申请证书,获取用户的身份信息 进行证书废止检查 检查证书的有效期 校验数字证书 解密数据,证书下载到用户本地,审核通过的注册请求发送给CA,证书同时要被发布出去,应用程序通过证书：,RA系统审核用户身份,发送注册信息给RA,CA为用户签发证书下载凭证.,RA将证书下载凭证发放给用户,PKI系统如何工作,使用数字证书的用户之间通过CA（一个可信的第三方）来建立信任关系,Applications and other users,Directory,提交证书申请请求,PKI提供的基本服务,认证采用数字签名技术，签名作用于相应的数据之上数据源认证服务身份认证服务完整性PKI采用了两种技术数字签名：既可以是实体认证，也可以是数据完整性MAC(消息认证码)：如DES-CBC-MAC或者HMAC-MD5,PKI提供的基本服务,保密性用公钥分发随机密钥，然后用随机密钥对数据加密不可否认发送方的不可否认 数字签名接受方的不可否认 收条+数字签名,6.4 安全协议,6.4 安全协议,SET协议客户、商家、支付网关认证中心和网上银行 必须在银行网络、商家服务器、客户机上安装相应的软件，而不是象SSL协议可直接使用，因此增加了许多附加软件费用。要求使用电子钱包进行付款，必须先下载电子钱包软件，操作复杂，耗费时间；每天交易无限额，利于购买大宗商品；由于存在着验证过程，因此支付缓慢，有时还不能完成交易。安全需求高，因此所有参与交易的成员都必须先申请数字证书来认识身份；保证了商家的合法性，并且客户的信用卡号不会被窃取，使其在结购物和支付更加放心。,参与方费用便捷性安全性,SSL协议客户、商家和网上银行 已被大部分Web浏览器和Web服务器所内置，因此可直接投入使用，无需额外的附加软件费用。使用过程中无需在客户端安装电子钱包，因此操作简单；每天交易有限额规定，因此不利于购买大宗商品；支付迅速，几秒钟便可完成。只有商家的服务器需要认证，客户端认证则是有选择的；缺少对商家的认证，因此客户的信用卡号等支付信息有可能被商家泄漏。,补充：3D协议,3D协议3D安全协议涉及5个实体，包括持卡人、发卡行、商户、收单行和VISA组织。3D安全协议将这5个实体逻辑地分到3个域中。其中，发卡机构域指发卡行和持卡人；中间运行域是使发卡机构域和收单机构域在全球范围内协同运行的系统和功能设施；收单机构域指收单行和商户。3D安全协议中一个重要的组成部分是发卡行认证服务器访问控制服务器ACS。,持卡人,发卡机构,访问控制,发卡机构域 中间操作域 收单机构域,商户,收单机构,收单机构,支付网关,VISA目录服务器,插件,历史验证,VISANET,（1）,（2）,（3）,（4）,（5）,（6）,（7）,（8）,（9）,（12）,（13）,（10）,（11）,（14）,（1）持卡人登陆商户网站，浏览商品，输入口令及卡号，输入订购信息及支付信息。（2）商户软件插件通过VISA的目录服务器检查卡号所示的发卡机构是否参与了3D安全协议。（3）VISA目录服务器将卡号传送给发卡机构的访问控制服务器，通过发卡机构检查认证该卡是否已参与3D安全协议。（4）发卡机构的ACS确认该卡是否已参与3D安全协议。（5）VISA目录服务器将发卡机构的ACS的地址告知商户插件。（6）商户插件将持卡人浏览器定位到ACS，同时附上交易信息待持卡人进一步确认。,（7）发卡机构的ACS要求持卡人输入用户名和密码。（8）持卡人向发卡机构中输入用户名和密码。（9）发卡方的ACS验证密码，产生回应信息，然后将客户重新定位向商户插件；与此同时将有关信息发送给VISA的历史验证服务器。（10）商户将交易信息提交给收单机构。（11）收单机构向发卡机构要求授权。（12）发卡机构通过VISANET向收单机构发送授权（这里的交易流与传统刷卡交易一样）。（13）收单机构将交易回应信息返回到商户。（14）商户确认交易并向持卡人提供收据。,6.5 中国金融认证中心,6.5.1 CFCA的组成部分,CA服务器,证书下载中心,目录服务器,密钥管理中心,证书注册机构,OCSP服务器,CFCA,6.5 中国金融认证中心,6.5.2 CA的组成结构,6.5 中国金融认证中心,6.5.3 CFCA的证书,个人证书,企业证书,安全电子邮件证书,VPN设备证书,手机证书,Web服务器证书,6.5 中国金融认证中心,6.5.4 CFCA的功能,1证书的申请2证书的审批3证书的发放4证书的归档5证书的撤销6证书的更新7证书撤销列表的管理功能9CA 自身密钥的管理8CA 的管理,37,第六讲 支付安全技术,【习题】,一、选择题1在采用RSA 公开密钥加密系统中，若A 想给B 发送一封邮件，并且想让B 知道邮件是A 发出的，则A 应该选用的加密密钥是()。AA 的公钥 BB 的公钥 CA 的私钥 DB 的私钥2非对称加密将密钥被分解为一对密钥，即()。A一把公开的加密密钥和一把公开的解密密钥B一把秘密的加密密钥和一把公开的解密密钥C一把公开的加密密钥和一把秘密的解密密钥D一把公开密钥或加密密钥和一把专用密钥或解密密钥3SET 协议通过()算法和()算法的结合使用，保证了数据的一致性和完整性，并可实现交易以预防抵赖。ADES BRSA CMD5 DRC2 ERC34CFCA 体系中证书的发放包括()和()。A离线方式 B在线方式 C人工发放 D银行发放 E个人申请5CA 认证体系的实体大致可分为以下几部分：接收用户证书申请的证书受理者()，证书发放的审核部门()，证书发放的操作部门()，记录撤销证书的证书撤销表()。ACA BCP CCRL DRA ERS,38,第六讲 支付安全技术,【习题】,二、简答题1简述网上支付可能存在的安全问题。2认证中心有哪些主要的职能？3简述数字签名的概念及其作用。4在CFCA 体系中，目前支持哪些类型的证书？5保障网上支付安全的技术有哪些？,END,