2003.4计算机工程及应用简介电子商务是21世纪各国的经济热点。 当前，电子商务面临的诸多问题中，安全问题已成为可信电子商务环境发展的瓶颈。 电子商务安全问题的核心和关键是电子交易。 电子交易的安全性以及如何在开放的公共网络上构建安全的交易模型一直是研究的热点和关注的话题。 构建安全的电子交易模式，必须满足以下条件： （1）商业信息内容的保密性：商业秘密和客户相关信息不得泄露。 （2）身份认证：识别交易伙伴或交易主体身份的真实性，防止第三方仿冒。 (3)信息内容的完整性：防止任何未经授权的篡改。 (4)有效的不可否认性：使双方事后无法否认其网上交易活动。 迄今为止，国内外已经出现了多种电子交易协议。 目前，广泛使用的安全在线支付协议有两种，即安全套接层SSL协议和安全电子交易SET协议。 两者都是成熟实用的安全协议。 安全套接字层协议 SSL2.1 SSL 概述 SSL 协议 () 安全套接字层是一种安全通信协议，可以为信用卡和个人信息提供强有力的保护。 SSL 是一种对计算机之间的整个会话进行加密的协议。 在 SSL 中，使用公钥和私钥两种加密方法来提供两台计算机之间的安全连接。 网络信息在传输端进行加密。 通过 SSL 连接传输信用卡号，接收端被解密并构建支付系统。

网上银行和其他金融系统也可以建立在SSL之上。 SSL 之所以被广泛使用，是因为它内置于大多数 Web 浏览器和 Web 服务器中，并且相对易于使用。 SSL的安全服务位于TCP和应用层之间。 可以为HTTP、FTP、SMTP等应用层提供安全服务。 服务对象主要是Web应用程序，即客户浏览器和服务器。 SSL协议提供的服务可以概括为以下三个方面：用户和服务器的合法性认证、数据加密、数据完整性保护。 2.2 SSL协议体系结构 SSL是一个两层协议，如图所示。 SSL记录协议：建立在可靠传输协议（如TCP）之上，提供高层协议。 电子商务（微信）中两种安全支付协议的研究与比较（湖北工程学院计算机系，微信） 电子商务：电子商务安全问题的核心和关键是电子交易的安全。 目前，电子交易中经常使用以下两种安全在线支付协议：安全​​套接字层SSL协议和安全电子交易SET协议，文章详细分析了这两种安全支付协议的架构、它们能够提供的安全服务以及实现机制，然后从安全功能、加密机制、系统负载等方面进行比较。文章最后认为SET协议是目前高度安全的电子交易协议。 但由于系统庞大且复杂，银行和商户需要对系统进行修改以实现互操作性。 因此，SET协议的普遍应用还需要一段时间。

关键词 电子商务安全 文章编号 1002-8331-(2003) 04-0102-03 文档识别码 CLC 分类号 ls:, (,) (,):.,:,m,.,,,,'ars。 ：E-,,,SSL,SET 作者简介：陈卓，博士研究生，主要研究方向：信息安全与保密。

范红，教授，博士生导师，主要研究领域为：密码学、信息安全与保密等。 102 计算机工程与应用 2003.4 支持数据、封装、压缩、加密等基本功能。 其操作包括：记录协议发送传输请求消息、将数据分段成可操作的数据块、可选地压缩数据、添加MAC信息、加密、添加文件头、以TCP分段传输结果单元、以及接收到的数据需要解密、认证、解压缩，重新组织后才能支付给高级用户。 SSL 体系结构更改密码规范协议：由一条消息组成，该消息仅包含值为 的单个字节。 此消息的目的是将挂起状态复制到当前状态并更新用于当前连接的密码套件。 警告协议：用于向对等实体传递与 SSL 相关的警告。 握手协议：该协议允许服务器和客户端相互验证、协商加密和 MAC 算法以及机密性协议，以保护 SSL 记录中发送的数据。 握手协议在任何应用程序传输数据之前使用。 图中显示了客户端和服务器之间建立的逻辑连接，这种交换可以分为握手协议行为阶段1：建立安全能力。 该阶段用于初始化逻辑连接并建立与其相关的安全能力。 交换在客户端发起，客户端发送包含以下数据（版本、随机参数、会话 ID、密码套件参数、压缩方法）的消息。 发送消息后，客户端会等待包含与消息相同参数的消息。

密码组参数的第一个元素是密钥交换模式。 支持的密钥交换模式为 RSA 和 -man。 第 2 阶段：服务器身份验证和密码交换。 服务器可以发送证书、密钥交换和请求证书，以消息段结束。 第 3 阶段：客户端身份验证和密钥交换。 在此阶段，客户端可以发送证书、发送交换密钥、发送证书验证。 第四阶段：完成。 此阶段完成安全连接的建立。 该消息不被视为握手协议的一部分，而是由更改密码规范协议发送。 至此，客户端和服务器端已经完成了握手协议，可以开始交换应用层数据了。 从前面的分析可以看出，SSL提供了两台机器之间的安全连接。 支付系统是通过在SSL连接上传输信用卡信息来建立的。 网上银行和其他金融系统也可以内置于安全电子交易协议3.1SET支付系统中。 SET相关成员与业内其他一些主流厂商联合推出的规范，旨在保障公共网络上银行卡支付交易的安全。 SET主要解决用户、商户、银行之间的信用卡支付交易。 是的，它可以保证支付信息的保密性、支付过程的完整性、商户和持卡人的合法身份和可操作性。 SET协议本身非常复杂。 它详细、准确地反映了卡交易双方之间存在的各种问题。 种关系。

使用SET协议进行网上电子交易支付时，主要涉及六方：持卡人、商户、支付网关、发卡机构、付款人以及CA认证：持卡人是发卡机构发行的支付卡的授权持有人； 发卡机构 指向持卡人发行信用卡的金融机构； 商户是指向持卡人销售商品或服务的个人或组织； 付款人是指商户开户的金融机构； 支付网关实现银行内部支付信息的传输网络转换用于处理商户支付报文和持卡人支付指令，并对商户和持卡人进行身份验证； 证书颁发机构CA是一个受信任的机构，为持卡人、商户和支付网关颁发X.509数字证书。 实体。 3.2 SET协议安全分析 SET提供以下安全服务：提供金融数据信息的机密性、SET消息的完整性、消息源认证。 SET支付环境中信息的保密性是通过使用公钥和私钥算法的组合来加密支付信息来实现的。 通常，公钥和私钥加密算法一起使用来加密包含短密钥的信息。 真实信息，这个短密钥是通过公钥私钥对秘密发布的。 SET中使用的公钥加密算法是RSA的公钥密码体制，私钥加密算法使用DES数据加密标准。 该消息首先使用 56 DES 密钥加密，然后放入使用 1024 RSA 公钥加密的数字信封中。 由通信双方传输。

56 DES 密钥使用消息接收者的公钥进行加密并附加到加密消息中。 消息接收者可以通过用自己的私钥解密来轻松提取加密的DES密钥，然后使用DES密钥完成消息块的解密过程。 这种不同加密技术的组合在SET()中被形象地称为数字信封，RSA加密相当于用信封将其密封。 SET协议使用数字签名方案来确保消息完整性并验证消息源。 数字签名方案使用与消息加密相同的加密原理。 数字签名与RSA加密算法结合生成消息摘要。 消息摘要是消息经过HASH函数处理后得到的消息对应的唯一值。 消息中一个数据位的每一次变化都会导致消息摘要中大约一半的数据位发生变化。 两个不同的消息有可能具有相同的消息摘要。 HASH 函数的单向性质也使得从消息摘要中导出原始消息文本在计算上是不可行的。 消息摘要的这些特性实际上可以消除对消息消息的修改。 抽象对而不被发现的可能性。 如上所述，消息摘要保证了消息的完整性。 将RSA编码系统结合到SET协议中后，消息摘要还可以用于对支付信息进行数字签名。 消息发送者生成的消息摘要对于发送者来说是唯一的。 103 2003.4 计算机工程与应用 密钥加密，因此消息接收方可以先计算收到的消息摘要，然后用发送方的公钥解密得到原始消息摘要，然后比较两者来验证签名。

如果两条消息（一条由发送者生成，一条由接收者计算）一致，则消息的接收者既验证了消息的发送者，也验证了消息本身的完整性。 数字签名技术在SET中的另一个重要特色应用是双重签名(DuaI)。 在安全的电子交易中，持卡人的订单信息（O）和支付指令（P）是一一对应的，商户只有在确认持卡人支付指令对应的订单信息真实有效时，才能发货。根据订单信息； 银行在确认持卡人支付指令对应的订单信息真实可靠后，才能按照商户的要求进行支付。 为了防止商户在验证持卡人的支付指令时窃取持卡人的信用卡账户信息以及银行在验证持卡人的订单信息时跟踪持卡人的交易活动（侵犯持卡人的隐私），但不影响合法验证的要求商户和银行，SET使用双重签名来达到这个目的。 双签名的生成过程如下（见图（2））：将两个消息摘要连接起来，得到消息OP。 (3)生成OP的消息摘要H(OP)。 (4) 用发送者的签名私钥加密H(OP)，得到数字签名，消息中必须包含另一条消息的摘要，以保证接收者可以验证，即持卡人的消息是(O ，H(P))，符号(H(OP)))； C发送给银行的消息是(P,H(O),Sign(H(OP)))。 SET中的双重签名 3.3 基于SET的电子交易流程 基于SET的电子交易流程如图SET的电子交易流程所示。 据统计，在完成一笔SET协议交易的过程中，需要验证数字签名、4次对称加密以及