互联网安全技术电子商务应用安全协议.ppt
Technology of Electronic Business Security 2004年12月1日,-1-,第四章,互联网安全技术电子商务应用安全协议,Technology of Electronic Business Security 2004年12月1日,-2-,本章学习内容：,互联网安全概述防火墙技术IP协议安全电子商务应用安全协议VPN技术网络入侵检测,Technology of Electronic Business Security 2004年12月1日,-3-,4.4电子商务应用安全协议,电子邮件安全协议电子邮件内容的安全问题保密性内容完整性发送者身份认证不可否认以上安全问题主要涉及：邮件服务器安全、网络安全、邮件接收系统安全等方面。解决方案：采用安全协议：PEM、S/MIME、PGP。其共同特点是采用公钥和私钥密码算法对邮件内容加密或签名；按各自规定的格式对解密或签名的结果进行编码和重排。,Technology of Electronic Business Security 2004年12月1日,-4-,4.4电子商务应用安全协议,增强的私密电子邮件（PEM）增强Internet电子邮件隐秘性的标准草案。美国RSA实验室基于RSA和DES算法开发的产品。IETF 1993提出。在Internet电子邮件标准格式(每个电子邮件报文头)上增加加密算法、数字身份认证算法、哈希算法等信息，实现对邮件的加密、身份认证和密钥管理等功能。支持认证与密钥管理方案：对称密钥、公开密钥。应用：为email用户提供验证、完整性、防抵赖等安全服务。详细内容参考IETF公布的RFC1421、RFC1422、RF1423、RF1424。,Technology of Electronic Business Security 2004年12月1日,-5-,4.4电子商务应用安全协议（Cont.）,安全多用途网际邮件扩充协议(Secure/MultiPur-pose Internet Mail Extensions,S/MIME)由PEM，MIME发展而来。1995，RSA等公司提出。IETF标准。在MIME基础上为邮件提供数字签名和加密功能。允许在不同电子邮件客户端程序之间收发安全电子邮件。MIME邮件：邮件头部：发送方、接收方的信息。邮件主体：复合数据-ASC字符/文本数据类型及非文本对象-图像、音频、格式化文本文件等等。用开始/结束标志表示每个不同类型数据的开始与结束。,Technology of Electronic Business Security 2004年12月1日,-6-,4.4电子商务应用安全协议（Cont.）,S/MIME邮件：扩展MIMEMIME主体与加密信息、数字签名封装成安全对象；增强安全服务：确认签收；增加新的数据类型：用于提供数据保密、完整性保护、认证和鉴定服务。邮件附件形式提供。Application/pkcs7-MIME；Multipart/sigined；Application/pkcs7-signatureS/MIME已成为产界业广泛认可的协议,如微软公司（Outlook Express4）、Netscape公司(Netscape Messenger4)等都支持该协议。,Technology of Electronic Business Security 2004年12月1日,-7-,4.4电子商务应用安全协议（Cont.）,图4.11 S/MIME邮件格式,Technology of Electronic Business Security 2004年12月1日,-8-,4.4电子商务应用安全协议（Cont.）,S/MIME采用的安全标准信息格式：继承MIME加密标准：RSA、DES、3DES、SHA-1、MD5、Diffie-Hellman；数字签名：PKCS；数字证书：X.509。,Technology of Electronic Business Security 2004年12月1日,-9-,4.4电子商务应用安全协议（Cont.）,安全超文本传输协议(Secure-HTTP，S-HTTP)CommerceNet提出，HTTP的安全扩展版本。保护单一的处理请求或响应的消息。即所有HTTP请求和响应都经过加密并作为S-HTTP请求和响应的实体主体。为HTTP事务提供机密性、身份认证、完整性和不可否认服务。Content-Privacy-Domain：消息格式说明。PEM：RFC1421定义的格式；PKCS-7：S-HTTP定义的一种消息格式；PGP：PretlyGoodPrivacy2.6定义的格式；,Technology of Electronic Business Security 2004年12月1日,-10-,4.4电子商务应用安全协议（Cont.）,Content-Trabsfer-Encoding：对象编码方式说明。包括7BIT、8BIT、BASE64。Content-TYPE：S-HTTP中返回值为Application/http。Prearranged-Key-Info：标识加密所用的密钥。MAC-Info：验证信息。为服务器提供一个验证用的校验和，保证该消息不是旧消息的副本以及消息中的数据在传递过程中不被篡改。此外，S-HTTP还定义了对象内容格式；为了在HTML文档中嵌入有关安全性的信息，还定义了新的HTML标签，最后还定义了一种新的URL机制，S-HTTP中的URL以SHTTP开头。,Technology of Electronic Business Security 2004年12月1日,-11-,4.4电子商务应用安全协议（Cont.）,S-HTTP使用HTTP的MIME网络数据包进行签名、验证和加密，数据加密可采用对称或非对称加密。通过S-HTTP，服务器以加密和签名信息回答请求。在向客户验证签名与身份时，验证是通过服务器私钥实现的，该私钥用来产生服务器的数字签名；当信息发送给客户时，服务器将其公钥证书和签名信息一起发往客户，客户便可以验证发送者身份，服务器也可以用同样的过程来验证发自客户的数字签名。S-HTTP加密算法及签名算法可以由通信的双方协商。S-HTTP支持多种Hash函数，如MD2、MD5、SHA；支持多种对称加密如DES、3DES、RC2、RC4;支持多种数字签名算法如RSA、DSA。,Technology of Electronic Business Security 2004年12月1日,-12-,4.4电子商务应用安全协议（Cont.）,安全套接层协议(Secure Socket Layer，SSL)Netscape公司1995年开发。IEFT标准。目前应用最广泛的电子商务交易安全协议之一。为许多主流Intranet/Internet网络产品所支持，包括Netscape、Microsoft、IBM、OpenMarket等公司提供的客户机、服务器产品，如IE、Netscape等浏览器、IIS、Domino Go Web Server、Netscape Server、Appache等Web服务器。SSL处于应用层与传输层之间。对应用层协议(如HTTP、FTP、Telnet等)透明。在应用层协议通信前，即完成加密算法、通信密钥的协商以及服务器认证。之后对应用层协议传输的全部数据都会被加密。,Technology of Electronic Business Security 2004年12月1日,-13-,4.4电子商务应用安全协议（Cont.）,SSL协议的功能用户和服务器认证。客户机与服务器使用公钥密码技术验证对方的数字证书的合法性。允许它们之间建立加密连接。数据传输的机密性。SSL协议采用对称或公开密钥技术加密，并且用数字证书进行鉴别。数据的完整性。SSL采用Hash函数和机密共享的方法提供信息的完整性服务。SSL协议的工作步骤接通阶段。客户机向服务器发送出请求，服务器响应。密钥交换阶段。客户机/服务器双方交换认可的密钥。一般采用RSA或Diffie-Hellman加密算法。,Technology of Electronic Business Security 2004年12月1日,-14-,4.4电子商务应用安全协议（Cont.）,协商密钥阶段。客户机与服务器之间产生会话密钥。检验阶段：检验服务器取得的密钥。客户认证阶段：验证客户的可信度。结束阶段：客户机与服务器交换结束信息。上述过程结束后，两者之间传输的信息就会被加密。发送信息时，用对称密钥加密，对称密钥用非对称密钥加密。在交易过程中，由于有银行的参与，按照SSL协议，客户的购买信息首先发送给商家，商家再发送给银行，银行验证客户信息的合法性后，通知商家付款成功，商家再通知客户购买成功。,Technology of Electronic Business Security 2004年12月1日,-15-,4.4电子商务应用安全协议（Cont.）,SSL协议的运行前提是商家对客户信息保密的承诺，同时商家是诚信。SSL协议的体系结构：由SSL记录协议、应用层SSL握手协议、SSL更改密文规范协议、SSL警告协议。,HTTP,SSL握手协议,SSL更改密文规范协议,SSL警告协议,TCP,IP,图4.12 SSL协议的体系结构,SSL记录协议,Technology of Electronic Business Security 2004年12月1日,-16-,4.4电子商务应用安全协议（Cont.）,SSL记录协议。在SSL中，所有的传输数据都封装在SSL记录中。SSL记录由记录头和长度不为0的记录数据组成。SSL记录协议规定记录头和数据格式。SSL记录头格式：2或3字节，包括记录头长度、记录数据长度、记录数据中是否有粘贴数据（填充数据，使实际数据长度为快加密算法块的整数倍）。最高位为1时，记录头长为2字节，记录数据最大长度为32767，不含粘贴数据。最高位为0时，记录头长为3字节，记录数据最大长度为16383，含粘贴数据；同时，次高位为1时表示传输的记录是普通的数据记录，次高位为1时表示传输的记录是安全空白记录（保留用于扩展）。,Technology of Electronic Business Security 2004年12月1日,-17-,4.4电子商务应用安全协议（Cont.）,SSL记录数据格式：SSL记录数据包括MAC数据、实际数据和附加数据。MAC数据用于完整性检验。MAC数据=Hash密钥，实际数据，粘贴数据，序号序号是通信双方建立的一对32位计数器的计数值。,MAC数据,实际数据,附加数据,图4.13 SSL记录数据格式,Technology of Electronic Business Security 2004年12月1日,-18-,4.4电子商务应用安全协议（Cont.）,应用层SSL握手协议。允许客户机与服务器在应用程序传输或接收数据之前相互认证、协商加密算法和密钥。SSL更改密文规范协议。是连接由挂起状态变为当前状态，并改变连接所使用的密文族。SSL警告协议。将SSL协议的有关告警传给对方。根据告警级别（1告警/0致命）决定是否终止连接。,Technology of Electronic Business Security 2004年12月1日,-19-,4.4电子商务应用安全协议（Cont.）,安全电子交易协议(Secure Electronic Transaction，SET)MasterCard、Visa、IBM、HP、Microsoft、Netscape、VeriSign、VeriFone、GTE、Terisa等,1996年开发。IETF标准。以信用卡为基础的安全电子支付协议，实现电子商务交易中的加密、认证机制、密钥管理机制，保证在开放网络中使用信用卡在线购物的安全。SET协议采用的安全技术DES、RSA加密数字签名：算法RSA数字证书：X.509v3数字证书。,Technology of Electronic Business Security 2004年12月1日,-20-,4.4电子商务应用安全协议（Cont.）,SET协议的安全目标交易信息在Internet上安全传输，不被窃取。订单与个人账号信息隔离。持卡人与商家相互认证。要求系统中的软件遵循相同的协议于报文格式。SET协议的安全服务通过加密、双重数字签名，保证支付系统中的支付信息与订购信息的安全性；通过数字签名，保证数据传输过程中的完整性；对参与方身份认证；保证才参与方的合法性；不依赖于传输安全技术；,Technology of Electronic Business Security 2004年12月1日,-21-,4.4电子商务应用安全协议（Cont.）,SET交易参与方持卡人（Cardholder）银行卡：信用卡、借记卡。认证机构SET CA颁发的持卡人数字证书。持卡人软件（电子钱包软件）：嵌入浏览器。发送接收信息，存储自身密钥、其他参与方公开密钥，申请、接收和保存认证、交易历史信息。显示银行卡信息、增加删改银行卡，检查证书状态。,Technology of Electronic Business Security 2004年12月1日,-22-,4.4电子商务应用安全协议（Cont.）,商户（Merchant）银行帐户银行审定、信用评估、接收信用卡支付协议；认证机构SET CA颁发的商户数字证书。SET交易商家软件：处理持卡人购物请求，与支付网关通信，存储自身密钥、其他参与方公开密钥，申请、接收和保存认证、交易历史信息。与后台数据库通信。支付网关（Payment Gateway）银行或受银行委托的第三方的专用系统，处理支付授权与支付。认证机构SET CA颁发的支付网关数字证书。,Technology of Electronic Business Security 2004年12月1日,-23-,4.4电子商务应用安全协议（Cont.）,收单行（Acquirer）接收商户的SET支付请求将支付请求转交发卡行向商户回应持卡人信用及支付信息发卡行（Issuer）为持卡人建立银行帐户并发行支付卡、持卡软件，即申请数字证书许可。对授权支付的交易进行付款认证机构（认证中心，CA）向持卡人、商户、支付网关颁发数字证书。,Technology of Electronic Business Security 2004年12月1日,-24-,4.4电子商务应用安全协议（Cont.）,SET购物流程持卡人用浏览器浏览商户在线商品目录；持卡人选择要购买的商品；持卡人填写相应订单（商品名称、单价列表）。订单可由商户服务器发放，也可有电子购物软件在持卡人的客户机上创建。持卡人选择SET付款方式。持卡人向商家发送订单及付款指令。对订单及付款指令采用双重数字签名。商户向收单行发出支付请求。支付请求通过支付网关到收单行，收单行再转发至发卡行，发卡行发出支付授权，再通过收单行返回商户。,Technology of Electronic Business Security 2004年12月1日,-25-,4.4电子商务应用安全协议（Cont.）,SET购物流程商户向持卡人发送订单确认信息。并准备向持卡人发送货物。持卡人终端软件记录交易日志。SET支付消息支付发起请求/支付发起应答（PinitReq/PinitRes）；购买请求/购买应答（PReq/PRes）；授权请求/授权应答（AuthReq/AuthRes）；支付请求/支付应答（CapReq/CapRes）；,Technology of Electronic Business Security 2004年12月1日,-26-,4.4电子商务应用安全协议（Cont.）,图4.14 SET交易参与方,Technology of Electronic Business Security 2004年12月1日,-27-,4.4电子商务应用安全协议（Cont.）,支付发起请求持卡人选购的商品持卡人系统使用的标识持卡人软件存储的证书支付发起应答交易ID商家证书、支付网关证书，包括商家与支付网关公开密钥当前日期购买请求订单信息（Order Information）：商家密钥加密。,Technology of Electronic Business Security 2004年12月1日,-28-,4.4电子商务应用安全协议（Cont.）,支付指令（Payment Instruction）：卡银行信息、购买金额、订单和交易ID。用支付网关密钥加密。商家验证持卡人数字签名。购买应答在购买应答之前，商家向支付网关发出支付授权请求。在获得授权应答后向持卡人发出购买应答，包括支付完成情况或请求收到正在等待支付网关请求授权。授权请求商家将经签名加密的购买数据及持卡人支付指令通过支付网关向收单行发出授权请求,Technology of Electronic Business Security 2004年12月1日,-29-,4.4电子商务应用安全协议（Cont.）,授权响应收单行解密的购买数据及持卡人支付指令，验证签名，检验商家发送的购买数据与支付指令中的购买数据的一致性，如有差异，是否为政策允许。通过检验后，再从发卡行获取支付授权。并将授权返回给商户。支付请求收单行向发卡行发送，收到支付请求后才将货款冲持卡人帐户中扣除。然后向收单行发出支付应答。支付应答在验证支付请求后，收单行贷记商户帐户，并通过支付网关向商户发送支付应答。,Technology of Electronic Business Security 2004年12月1日,-30-,4.4电子商务应用安全协议（Cont.）,SET交易与传统交易流程的比较SET交易通过从数字证书确认交易方各自的身份；SET交易通过数字签名实现方否认和篡改。SET与SSL比较SET认证要求比较高，要求对所有参与方身份认证。SSL只要求对商户的服务器认证，对客户认证可选。对商家而言，可免受欺诈。降低运营成本。对消费者而言，SET保证商户的合法性，并且支付信息对商户保密。SET对参与各方定义了互操作接口，系统可由不同厂商的产品构筑。SET要求在各方配置相应的软件，配置成本较高。,Technology of Electronic Business Security 2004年12月1日,-31-,4.4电子商务应用安全协议（Cont.）,SET与SSL结合：商户与消费者之间采用SSL，在于银行之间采用SET。,Technology of Electronic Business Security 2004年12月1日,-32-,4.4电子商务应用安全协议（Cont.）,SSL与SET比较,
