馬琰

（無錫工藝職業(yè)技術(shù)學(xué)院，江蘇 宜興 214206）

1.前言

隨著Internet的迅速發(fā)展，電子商務(wù)已被越來越多的企業(yè)和消費(fèi)者所接受。我國(guó)每年因電子商務(wù)安全問題所造成的經(jīng)濟(jì)損失達(dá)上百億元。電子商務(wù)的安全問題已成為阻礙電子商務(wù)發(fā)展的一個(gè)主要因素。

電子支付是電子商務(wù)交易活動(dòng)中的一個(gè)重要環(huán)節(jié)，為了實(shí)現(xiàn)安全的電子支付，國(guó)際上已經(jīng)提出了多種安全協(xié)議，其中最有代表性的是SSL和SET協(xié)議。

2.SSL和SET協(xié)議

2.1 安全套接層協(xié)議SSL

安全套接層協(xié)議SSL(Secure Socket Layer)使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護(hù)信息傳輸?shù)臋C(jī)密性和完整性，主要適用于點(diǎn)對(duì)點(diǎn)之間的信息傳輸。SSL協(xié)議實(shí)際上是一個(gè)終端對(duì)終端的加密了的通訊會(huì)話，它嵌套在傳送層與應(yīng)用層之間。

在電子商務(wù)網(wǎng)站中，處理銀行卡支付之類的敏感數(shù)據(jù)時(shí)，必須在加密后通過安全的通道進(jìn)行傳遞。SSL采用公開密鑰技術(shù)，確保銀行卡的信息安全。SSL在傳遞數(shù)據(jù)時(shí)必須完成以下任務(wù)：

(1)數(shù)據(jù)被加密；

(2)在源服務(wù)器和目標(biāo)服務(wù)器之間建立一個(gè)安全連接；

(3)啟用服務(wù)器身份驗(yàn)證。

SSL協(xié)議的執(zhí)行過程如圖1所示。

圖1 SSL協(xié)議執(zhí)行過程圖

2.2 安全電子交易協(xié)議SET

SET協(xié)議是是一種基于消息流的協(xié)議，用來保證公共網(wǎng)絡(luò)上銀行卡支付交易的安全，是Internet上進(jìn)行在線交易的電子付款系統(tǒng)規(guī)范。在SET協(xié)議中使用了以下安全措施：

(1)加密技術(shù)。

(2)數(shù)字簽名技術(shù)。

(3)電子認(rèn)證。

(4)電子信封。

SET協(xié)議的流程大致如圖2所示。

圖2 SET協(xié)議的流程圖

3.SSL和SET協(xié)議的優(yōu)缺點(diǎn)

3.1 SSL協(xié)議優(yōu)缺點(diǎn)

簡(jiǎn)便易行是SSL協(xié)議的最大優(yōu)點(diǎn)，同時(shí)其缺點(diǎn)也是顯而易見的。首先，在交易過程中，客戶的信息先到達(dá)商家那里，導(dǎo)致客戶資料安全性無法保證；其次，SSL只能保證資料傳遞過程的機(jī)密性，而是否有人截取資料無法保證；再次，由于SSL協(xié)議的數(shù)據(jù)安全性是建立在RSA等算法上，因此其系統(tǒng)安全性較差。除此之外，由于SSL協(xié)議不對(duì)應(yīng)用層的消息進(jìn)行數(shù)字簽名，因此不能提供交易的不可否認(rèn)性，這就造成了SSL協(xié)議在電子銀行應(yīng)用中的最大不足。

3.2 SET協(xié)議優(yōu)缺點(diǎn)

采用SET標(biāo)準(zhǔn)實(shí)現(xiàn)的銀行卡支付方式在安全性、可靠性、不可抵賴性方面都是其它方式不可比擬的。每一步驟都通過數(shù)字證書驗(yàn)證對(duì)方身份；使用雙重?cái)?shù)字簽名，商家只能看到被允許看到的信息，而無法看到銀行卡信息。但在實(shí)際應(yīng)用中，SET協(xié)議依然存在以下不足：

(1)協(xié)議沒有說明收單銀行給商家付款前，是否必須收到客戶的貨物接受證書。

(2)協(xié)議沒有擔(dān)?！胺蔷芙^行為”，這意味著在線商店沒有辦法證明訂購(gòu)是不是由簽署證書的客戶發(fā)出的。

(3)SET技術(shù)規(guī)范沒有提及在事務(wù)處理完成后如何安全地保存或銷毀此類數(shù)據(jù)。

(4)交易過程復(fù)雜，使用成本高。

4.SSL&SET混合協(xié)議模型的設(shè)計(jì)

4.1 模型設(shè)計(jì)

為發(fā)揮SSL和SET協(xié)議各自的優(yōu)勢(shì)和彌補(bǔ)各自的缺點(diǎn)，可將SSL和SET協(xié)議充分融合，應(yīng)用在一次網(wǎng)上交易過程中。在不降低安全性的前提下，盡可能帶來方便性、簡(jiǎn)單性。為此，提出了以下設(shè)計(jì)方案：

在商家與顧客、商家與銀行連接過程中使用SSL協(xié)議，在顧客與發(fā)卡行連接過程中使用SET協(xié)議，支付時(shí)可使用銀行發(fā)行的銀行卡。在交易模型中使用混合協(xié)議以及CA簽發(fā)的數(shù)字證書，建立一個(gè)安全的交易模型。

基于SSL&SET混合協(xié)議的模型圖如3所示。

圖3 基于SSL&SET混合協(xié)議的模型圖

4.2 模型分析

該模型中的商業(yè)銀行作為支付站點(diǎn)，成為支付系統(tǒng)的主體，所有支付的交易活動(dòng)都在商業(yè)銀行中進(jìn)行；顧客的支付信息不經(jīng)過商家，不存在顧客的信用卡資料泄露給商家的問題。數(shù)字證書的驗(yàn)證避免了商家的網(wǎng)站惡意欺詐；在銀行和商家之間，系統(tǒng)的設(shè)置成本較低；在持卡人與商家之間信息的傳輸過程中，由SET協(xié)議的相關(guān)軟件來實(shí)現(xiàn)，并且使用CA簽發(fā)的數(shù)字證書使安全性得到充分的保證。在持卡人支付請(qǐng)求和商家支付結(jié)果查詢過程中，使用SSL傳輸協(xié)議，也使用CA簽發(fā)的數(shù)字證書，較好地保障了安全。整個(gè)模型之間構(gòu)成了良好的安全性環(huán)境，顧客和商家的整個(gè)交易活動(dòng)都由商業(yè)銀行執(zhí)行，并且實(shí)施了相關(guān)的加密措施來保證信息在傳遞過程中的安全性，這樣既保證了顧客支付信息和交易信息的安全性，也保證了商家交易的順利進(jìn)行。

5.總結(jié)與展望

電子商務(wù)的發(fā)展并不是簡(jiǎn)單地將一個(gè)傳統(tǒng)企業(yè)的商品、服務(wù)搬上網(wǎng)站就結(jié)束了，很多新的問題需要解決，安全電子支付就是其中之一。本文對(duì)SSL和SET協(xié)議進(jìn)行了分析、評(píng)價(jià)，在總結(jié)各自優(yōu)缺點(diǎn)的前提下，考慮當(dāng)前的實(shí)際應(yīng)用情況，提出了將二者進(jìn)行融合的思想，并對(duì)此給出了改進(jìn)設(shè)計(jì)模型。

網(wǎng)絡(luò)支付是一個(gè)相當(dāng)復(fù)雜的系統(tǒng)，涉及消費(fèi)者、商家、支付網(wǎng)關(guān)、收單行、發(fā)卡行以及認(rèn)證中心等多邊實(shí)體，有許多問題還需要繼續(xù)研究。

[1]宋文官.電子商務(wù)實(shí)驗(yàn)[M].北京：清華大學(xué)出版社，2007.

[2]張寬海等.電子商務(wù)概論[M].北京：電子工業(yè)出版社，2003.

[3]Jonathart B.Knudsen.Java Cryptography[A].New York：ACM Press，2004.

[4]張寬海.金融與電子支付[M].北京：北京大學(xué)出版社，2008.

[5]張愛菊.電子商務(wù)安全技術(shù)[M].北京：清華大學(xué)出版社，2006.

[6]林松.電子支付安全體系結(jié)構(gòu)的研究與實(shí)現(xiàn)[D].四川：四川大學(xué)，2005.

[7]盧佳妙.電子商務(wù)安全體系架構(gòu)應(yīng)用集成[D].福州：福州大學(xué)，2005.