1、第七章 安全电子交易协议SET,7.1SET协议总述 7.2SET协议信息结构 7.3SET协议的扩展 7.4SET购物B2C电子商务,7.1SET协议总述,7.1.1SET协议介绍 7.1.2基本概念 7.1.3证书发行 7.1.4购物类型,7.1.1SET协议介绍,安全电子交易协议SET(Secure Electronic Transaction)是由Visa和Master Card所开发的，是为了在Internet上进行在线交易时，保证信用卡支付的安全而设计开发的一个开放的规范。由于得到了IBM、HP、Microsoft、NetScape、GTE、Verisign等很多大公司的支持，它已
2、成了事实上的工业标准，目前它已获得IEEE标准的认可。 SET提供了消费者、商家和银行之间的认证，确保了网上交易数据的保密性、数据的完整性及交易的不可抵赖性。特别是能保证不将消费者银行卡号暴露给商家，不将消费者的购物内容暴露给银行等优点，SET在一些国家中得到很好的应用。 SET采用公钥密码体制，遵循X.509数字证书标准。,7.1.1SET协议介绍,SET协议使用加密技术提供信息的机密性，保证支付的完整性，验证商家和持卡者。 支付安全的目标是： 验证持卡者、商家和收单行，为支付数据提供机密性。 保护支付数据的完整性，为这些安全服务定义算法和协议。,7.1.1SET协议介绍,SET为了保证互操
3、作性，可采取以下措施： 清晰定义消息信息； 保证不同开发商的应用程序能够协同工作； 产生和支持一个开发支付卡标准； 定义一种便于出口的技术以便在全球使用； 利用现有的标准，保证与标准化团体的兼容，可以在任何软件和硬件平台使用，如Power-PC、Intel、Spare、UNIX、MS-DOS、OS2、Windows、Macintosh。,7.1.1SET协议介绍,SET为了保证市场能够接受，采取以下措施： 为商家和持卡者提供方便的应用，最低限度降低现有应用的改变； 为现有客户应用的支付协议提供插件应用； 降低对收单行、商家、持卡者之间关系的改变； 降低对现有商家、收单行、支付系统应用和结构的改
4、变； 为金融机构提供有效的协议。,7.1.1SET协议介绍,1SET的商业要求 2SET应用在购物过程的环节 3SET协议的主要内容 4SET技术规范 5SET扩展规范 6SET采用的外部标准,1对SET的商业要求,SET协议建立在以下7个商业要求的基础上。 (1)为支付信息提供机密性，保证与支付信息同时传输的订购信息的机密性。 (2)保证所有传输数据的完整性。 (3)为持卡者提供认证，保证一个持卡者是一个支付卡账户的合法用户。 (4)为商家提供认证，保证商家通过一个收单行金融机构，可以接收该品牌的支付卡的交易。 (5)保证使用最好的安全技术和系统设计，来保护所有电子商务交易的合法参与者。 (
5、6)创建一个不依赖于传输安全机制的协议。 (7)鼓励网络和软件提供商支持互操作性。,2SET应用在购物过程的环节,SET制定了电子商务的部分消息协议，这些协议对电子商务来说是必需的，主要支持支付卡的使用。 一个电子购物的典型过程如下。 (1)持卡者用各种方式浏览购物清单，如使用Internet浏览器、查看购物光盘、翻看邮购目录等。 (2)持卡者选择要订购的物品项目。 (3)持卡者填写订购单，包括所订购物品的列表、价格、合计等，订购单可以用电子方式传输给商家。 (4)持卡者选择支付方式，SET协议关心的是采用一种支付卡,2SET应用在购物过程的环节,(5)持卡者向商家发出一个包含支付指示的完全订
6、购单。在SET协议中、订购和支付由拥有证书的持卡者数字签名。 (6)商家从持卡者的金融机构请求得到支付授权。 (7)商家发出订购确认信息。 (8)商家发运商品或者执行订购的服务。 (9)商家从持卡者的金融机构请求付款。 当持卡者选择使用支付卡时，SET协议主要完成电子购物步骤中的（5）（9）步。,3SET协议的主要内容,在SET协议中主要定义了以下内容。 (1)加密算法的应用(如RSA和DES)。 (2)证书消息和对象格式。 (3)购买消息和对象格式。 (4)请款消息和对象格式。 (5)参与者之间的消息协议。,4SET技术规范,SET规范(SET Specification)分为三部分。 (1
7、)商业描述(The Business Description )，提供处理的总述。 (2)程序员指导(The Programmers Guide)，介绍数据区、消息以及处理流程。该指导分为三部分和附录： 系统设计考虑(System Design Considerations)。 证书管理(Certificate Management)。 支付系统(Payment System)。 (3)正式的协议定义(The Formal Protocol Definition)提供SET消息和数据区的最严格描述。协议定义采用ANS.1语法进行。,5SET扩展规范,在SET原来的规范中没有提供其他的商业功能，
8、这些商业功能是通过SET 扩展来提供，由SET Co负责根据情况进行发布。SET扩展是由SET Co的技术委员会审查并批准，到2000年3月为止，已经公布了以下批准的扩展。(1)CVV2CVC2扩展(TheCVV2CVC2extension)，允许购买请求消息携带附加的卡验证数据。 (2)通用密码产生器扩展(The Generic Cryptogram extensions)，允许信息从一个硬件标记(hardware token)得到，并包含在持卡者产生的支付指示中。 (3)日本支付选项扩展The Japanese Payment Option extensions)，允许持卡者和商家交换特殊
9、信息，这些信息与日本国内特定交易相关的支付选项有关，目前该扩展的最后更新时间为1999年8月6日。,5SET扩展规范,(4)商家开始非SET交易的授权扩展(The Merchant Initiated Authorization extension)，允许一个商家使用SET消息来为特定订购进行授权和请款，这些订购是由持卡者采用非SET的传输方式完成的。 (5)在线个人标识号扩展(The Online PIN extensions)，允许个人标识号PIN和相关信息包含在持卡者产生的支付指示中。 (6)通用IC卡扩展(The Common Chip Extension)，在购买请求消息中，为传输I
10、C卡中的数据提供一种方式。,6SET采用的外部标准,SET的设计是基于各种工业、Internet和国际组织的标准，这些标准定义在ISO、IEFT、PKCS、ANSI中，下面指出SET支持的这些标准、算法、证书支持。 (1)ASN.I。 ASN.I(Abstract Syntax Notation)是SET用于定义消息的符号，1995年版本的ASN10。 (2)DER。DER(Distinguished Encoding Rules)以明确清楚的形式，实现支付消息和证书(在x509中定义)中的协议数据的编码，1995年版本的DER定义在IS0IEC8825-1中。 (3)DES。DES(Data
11、 Encryption Standard)数据加密标准用于对称数据加密，在FIPSPUB462标准中定义，DES密钥采用一个加密形式来分发，该加密形式是一个采用公钥加密的数字信封。 (4)HMAC。HMAC指密钥hash机制(Keyed-hasing mechanism)，用于共享密钥和盲功能。 (5)HTTP。HTTP(Hyper-Text Transport Protocol)是World Wide Web的传输协议，在RFC 1945中定义。,6SET采用的外部标准,(6)MIME。MIME( Multipurpose Internet Message Extensions)，用于支付消
12、息的封装编码，使浏览器支持和识别支付消息，也能够支持电子邮件方式的商务。 (7)PKCS。PKCS(Public Key Cryptography Standards)用于定义密码消息语法(PKCS#7)和证书请求信息语法(PKCS#10)。 (8)SHA-1(单向杂凑函数)。SHA1(Secure Hashing Algorithm)是NIST和NSA共同提出的，SET所有数字签名都采用SHA-1。 (9)TCPIP。TCPIP是支持Internet通信的协议集。 (10)X509。lTVT推荐的X509(1997)ISOIEC 95948：1997是公开密钥证书的编码标准，SET支持的证书
13、格式定义在ISO标准X509 Version 3、ANSIX957中。,7.1.2基本概念,1.支付系统参与者 2.加密概念,1.支付系统参与者,SET改变了一个支付系统的交互方式，在一个面对面零售方式或邮购交易中，电子处理开始于商家或收单行，但是在SET交易中，电子处理开始于持卡者。 (1)持卡者(Cardholder)。在电子商务环境中，消费者和团体购买者通过计算机与商家进行交互，持卡者使用一个发卡行发行的支付卡。 (2)发卡行(Issuer)。一个发卡行是一个金融机构，为持卡者建立一个账户并发行支付卡，一个发卡行保证对经过授权的交易进行付款。 (3)商家(Merchant)。商家提供商品
14、和服务，在SET中，商家与持卡者可以进行安全电子交易，一个商家必须与相关的收单行达成协议，保证可以接收支付卡付款。,1.支付系统参与者,(4)收单行(Acquirer)。一个收单行是一个金融机构，为商家建立一个账户并处理支付卡授权和支付。 (5)支付网关(Payment Gateway)。一个支付网关是一个由收单行操作的设备，或者是指定的第三方，用于处理支付卡授权和支付。 (6)品牌(Brand)。根据市场需要，金融机构建立不同的支付卡品牌，每种支付卡品牌有不同的政策(包括消费方式等)，支付卡品牌将确定发卡行、收单行与持卡者和商家之间的关系。 (7)第三方(Third Parties)。发卡行
15、和收单行有时指定第三方来处理支付卡交易，在SET协议中没有区分金融机构和交易处理者，认为是一家。,2.加密概念,在SET中所涉及到的密码技术主要有。 (1)密钥密码技术。 (2)公开密钥密码技术。 (3)加密。 (4)数字签名。 (5)数字信封。 (6)双重数字签名。,7.1.3证书发行,SET证书通过一个信任层次来验证，每个证书连接一个实体的数字签名的签字证书，沿着信任树到一个众所周知的信任机构，用户可以保证证书是有效的。例如，一个持卡者证书连接一个发卡行的证书(或代表发卡行的品牌)，发卡行证书通过品牌证书连接一个根证书。所有SET软件知道根证书的公用签字密钥，可用于验证每个证书。 10-1
16、中的级别号是举例，一个支付卡品牌不一定有GCA。根密钥(Root key)由要CA字来发布，该根密钥证书由软件开发商插入他们的软件中。软件通过向CA发出一个请求(包括证书的Hash值)，可以确定一个根密钥的有效性。如果软件没有一个有效的根证书，CA将在响应中发出一个根密钥。,7.1.3证书发行,1. 持卡者证书(Cardholder Certificates) 2.商家证书(Merchant Certificates) 3.支付网关证书(Payment Gateway Certificates) 4收单行证书(Acquire Certificates) 5. 发卡行证书(Issuer Cert
17、ificates),1. 持卡者证书(Cardholder Certificates),持卡者证书代表持卡者合法拥有支付卡，是由金融机构数字签署的，不能由其他第三方产生，只能由金融机构产生。 持卡者证书不包括账号和过期日期。代替账户信息的是仅仅由持卡者软件知道和使用单向Hash算法产生的一个秘密值。 如果知道账号和过期日期以及该Hash值(数字指纹)，可以验证对应的证书。但是不能从证书中直接得到这些敏感信息。 在SET协议中，持卡者向支付网关提供用于验证的账户信息和该Hash值。,1. 持卡者证书(Cardholder Certificates),只有当持卡者的发卡金融机构验证用户后，才向持卡
18、者发布一个证书，持卡者需要提供各种商业证明信息。 交易过程中，持卡者证书和加密的支付指示发向商家，商家收到持卡者证书，能够最低限度保证该账户是由一个发卡金融机构发行的并且是有效的。 对于SET协议，支付卡品牌可以决定是否使用持卡者证书，这是可选的;,2商家证书(Merchant Certificates),商家证书表示商家能够接收该支付卡的消费。因为是由商家的金融机构数字签署，商家证书不能由其他第三方发行，只能由金融机构产生。 这些证书由收单行金融机构认证，说明商家与收单行达成协议。在SET协议中，一个商家至少拥有一对证书、也可以有多个证书。一个商家对每个支付卡品牌拥有一对证书。,3支付网关证
19、书(Payment gateway Certificates),支付网关证书由收单或收单行的处理系统(处理授权和请款消息)拥用，持卡者从支付网关证书得到公钥来加密保护持卡者的账户信息，保证只有收单行才能看到持卡者的账户信息。支付网关证书由支付卡品牌的收单行发行。,4收单行证书(Acquire Certificates),一个收单行必须拥有证书才能使一个CA接收和处理商家从公共和专用网络发出的证书请求。那些让支付卡品牌来代理处理证书请求的收单行不需要证书，因为它们不处理SET消息，收单行从支付卡品牌接收它们的证书。,5. 发卡行证书(Issuer Certificates),一个发卡行必须拥有证
20、书，CA才能接收和处理来自持卡者的证书请求(通过公共或专用网络)，那些选择支付卡品牌来代理处理证书请求的发卡行不需要证书。,7.1.4购物类型,持卡者可以使用包括在线目录和电子目录在内的多种购物方式，SET支持这些购物方式和定义的其他方式。 1.在线目录(Online catalogs) 随着Internet的普及，商家可以建立一个网上商店的Web站点，持卡者可以在主页上浏览和选择购物项目。一旦持卡者完成订购并指定一个支付卡，SET协议保证持卡者安全传输支付指示，并保证商家获得支付授权和最后的付款。 2电子目录(Electronic catalogs) 商家也可以发行电子购物目录，如采用光盘形
21、式，让持卡者采用非在线的方式进行购物。卡者可以在自己的计算机上浏览光盘上的商品目录，其优点是可以在光盘中对商品加入图、声音等多媒体信息，而不用考虑网络带宽问题：一旦持卡者选择了要订购的商品并指定了支付卡，使用SET协议以电子方式发给商家。该消息可以采用在线传输，如在商家的Web页，或者通过一个存储转发机制(如email)来传输。,7.2SET协议信息结构,参与SET协议支付系统的实体主要有持卡人、商家和支付网关，SET协议信息结构就是一个完整的电子交易过程中，信息流和资金流在这三者之间是如何流动的。 SET协议信息结构共六大部分：交易初始化请求、购置指令执行过程，授权检验过程、付款请求执行过程
22、、持卡人查询过程以及持卡人注册登录过程等。 安全电子交易协议格式由一系列要求回答(ReqRes)信息对组成。图10-2为ReqRes的对应信息。,7.2SET协议信息结构,持卡人,商户,支付网关,（收单银行）,PInit Req,PInit Res,PReq,PRes,Ing Req,Ing Res,PReq之后时间可选,Auth Req,Auth Res,Cap Req,Cap Res,SET交易步骤,7.2SET协议信息结构,对于一些信息的流动必须要做到端对端加密。但有些信息端对端加密还不够，如银行卡中与资金有关的数据，持卡人就不想让商户看到；而购物有关的数据，商户又不想让收单银行看到，但
23、端对端加密办法就做不到这一点。 一个完整的购买交易所需的信息包括。 交易开始(PInit Req/PInit Res)。 购买指令(PReqPRes)。 授权请求(AuthReqAuthRes)， 支付指令(Cap ReqCapRes)。 持卡人查询(InqReqlnq Res),7.2SET协议信息结构,7.2.1交易初始化(PInit ReqPlnit Res) 7.2.2购买指令（PReq/PRes） 7.2.3授权(Auth Req/Auth Res) 7.2.4付款信息(Cap Req/Cap Res) 7.2.5持卡人查询(Inq Reqlnq Res) 7.2.6持卡人及商户注册
24、(登录),7.2.1交易初始化(PInit ReqPlnitRes),网络商店为持卡购物人提供了一个完整的电子订货单，网络商场同意用银行卡支付购物即可开始。购物过程可参用SET格式，但商品的选择和提交订货单的办法并不属于SET格式的范围。 Plnit Req是交易开始请求的信息，请求交易开始，具体内容包括,7.2.1交易初始化(PInit ReqPlnitRes),7.2.1交易初始化(PInit ReqPlnitRes),BrandID：指持卡人所用银行卡品牌Visa或MasterCard等。 LIDC：交易所在地的识别码。 Thumbs：在持卡人软件中已存有的凭证及每张凭证的指纹(SHA)
25、是可选项。 ChallC：用持卡人的回答口令，以确保通信安全畅通。在接收了Plnit Req请求之后，商户通过LIDC组合形成一个唯一的交易识别码TransID，以识别所接收的特指购买的指令。 PInit Res：商户的回答Plait Res应包括上述交易识别TranslD、商户的数字签名、日期、证书、持卡人和商户口令ChallC、ChallM、证书及证书中包括的支付用的公钥，如商户的公钥及收单行的公钥。 结论：持卡人在收到回答信息时，即可判断商户是否是一个网上合法的售货商。,7.2.2购买指令（PReq/PRes）,购买指令使持卡人从商户那里实现真正的购货。按SET协议格式完整的信息对内容为
26、。 PReq包括OI、PI。 PRes包括五项内容。,持卡人,商户,PReq,OI,PI,1PReq,1PReq 如上图所示，OI为订货信息，是让商户识别的订货数据。 OI结构如图下所示。它主要包括OI Data、Dual Sig。,1PReq,PI Data . ,OI DataTrans ID Brand ID Date Chall_C Chall_M ODsalt(nonce),H(OI Data),H(PI Data),Hash,OIOI Data Dual Sig,H2,Sign,H2Sigc,订货信息结构,OI,TransID：交易识别码。 BrandID：银行卡品牌。 Date：
27、日期。 Chall_C：客户口令。 Chall_M：商家口令。 ODsalt(nonce)：Hash函数的杂凑码，以防止黑客用词典进行穷举法的进攻。 Hash(OIData)：商户订货信息的hash函数。 Hash(PIData)：客户信息的hash函数。,PI,二者关联起来，形成hash函数的关联函数H2，形成数字签名，然后再形成双重数字签名支付指令(PI)PI结构如图所示。客户PI的卡内容商户是不能看的，但要传送给银行。 银行卡数据中个人口令及支付金额为杂凑码，以防篡改，并以强加密措施加以保护。所谓强密措施，是指1024位的RSA密钥算法和128位的DES加密算法。订货单信息，用杂凑法加密
28、，唯一识别订货人。 PI用双重签名，以收单行公钥加密，以防商户或他人窃取或篡改。,PI,银行卡数据,Card DataCC# Expiry PANNonce PINNonce,订单数据,Order Description Amounce ODsalt(nonce),强加密,Hash,PI DataTrans ID Amount,Card Data,H(order),OI Data见上图,PIPI Data Dual Sig,支付指令结构,双重数字签名-生成,双重数字签名-生成,B(OI),DS,MDC,PBA,EMB,SK1,DES,DEB,SK1,PBB,C(PI),DS,MDB,PBA,E
29、MC,SK2,DES,DEC,SK2,PBC,发送给B的信息,发送给C的信息,双重数字签名B验证,EMB,DMB,EMC,DMC,EMB,B(OI),DS,MDC,PBA,SK1,DES,MDB,MDBC,DS,MDBC,比较,PBA,RSA,DEB,PVB,RSA,SK1,双重数字签名C验证,EMB,DMB,EMC,DMC,EMC,C(PI),DS,MDB,PBA,SK2,DES,MDC,MDBC,DS,MDBC,比较,PBA,RSA,DEC,PVC,RSA,SK2,2PReq处理过程,商户接到一个持卡人的购物要求时，提取OI及PI，用持卡人证书中的公钥检验OI 。 PRes是购物回应信息。
30、在回应信息之前，商户可做授权或取款交易。即PRes可以在取款之前发出，也可在取款和授权之后发出。 当商户送购物回应信息到持卡人时，信息中包括了交易状态和一些有用的结果信息码。,2PReq处理过程,2PReq处理过程,TransID：交易识别码。 Completion Code：交易完成码，表示授权 Result：结果码，反映交易情况。 SignM：为商户的数字签名。,7.2.3授权(Auth Req/Auth Res),1授权请求：AuthReq 在授权过程中，商户送出有关购买、签字和加密信息到收单银行。同时，从持卡人那里送来的PI也转送给收单行。 授权信息中也包括订货细节的hash函数摘要，
31、如图所示。,7.2.3授权(Auth Req/Auth Res),(从持卡人处来),签字：SignM 加密：PKA,到收单行,授权要求信息结构,7.2.3授权(Auth Req/Auth Res),订单信息Order，经Hash函数做摘要，它与持卡人来的PI中提供的Hash(Order)相匹配，收单行就会知道商户与持卡人已就货物和购买量达成共识(一致)。 在商户方面，他要求的Hash(OIData)中的OI Data已经双重数字签名，并说明订货数据已经商户同意。Thumbs是保存在商户证书中的持卡人指纹，以免收单行在回应信息中再送。 授权和付款可在一个销售交易中单独完成。 Saleslnd是销
32、售交易的标志，可由商户选用。,7.2.3授权(Auth Req/Auth Res),2Auth Res(授权响应) 收单行在收到授权请求以后，收单行解释上述Auth Req信息，并验证签名和检查由商户送来的购物细节和PI中是否一致。如果商户要求Auth ReqAmt与持卡人购买量不同，则要看是否在可允许的范围内。 接着收单行就通过现有的银行卡交换和授权网络取得授权。如图所示。,7.2.3授权(Auth Req/Auth Res),7.2.3授权(Auth Req/Auth Res),7.2.3授权(Auth Req/Auth Res),一旦从发卡行得到明确授权，授权回应Auth Res就要回送
33、给商户。 Auth Res信息如上图所示。 图中CaptureToken为付款通知，它被收单行签名并加密，为客户收款用。授权回应信息中，除付款通知外，还有交易标识，日期、授权码等，以及若授权和付款一同做时的信息：付款额及付款码，也一起送回商户。授权信息被收单行签名并加密（用商户的公钥PKM)一个明确的授权，商户即可配送商品了，说明发卡行已验证了卡的有效性和信用额度，给这项购买发出OK。,7.2.4付款信息(CapReq/CapRes),在处理完客户订货之后，商户需要将此笔已发生的购物款要到自己的账上。这些付款交易可批量处理，即多个授权汇总后，由一个批量命令进行付款处理。 多个付款请求送到发卡行
34、进行请示，返回收单行，然后分别加以汇总并签字，形成CapRessignA，用公钥加密后，一次性送给商户。,7.2.4付款信息(CapReq/CapRes),1CapReq付款请求,1CapReq付款请求,付款请求CapReq包括： Cap ID：付款标识。 Date：付款日期。 除此之外还包括：由授权回应信息Auth Res中传过来的授权量Auth Amt、交易标识Trans ID及付款通知。由商户签字SignM并加密传送给收单行。(用收单行的公钥PKa)。,2CapRes(付款影响),收单行在验证了付款请求后，收单行贷记商户账户的数据，此时扣除回扣。将支付标识、交易标识、支付代码等签字、加密
35、后(用商户公钥)回应给商户，其中还应包括从发卡行那里即银行卡授权交换网络取得的成功标识、付款码以及结算数量。 在付款取得成功之后，商户接到了从持卡人那里得到实际购物的货币支付。,7.2.5持卡人查询(InqReqlnqRes),查询信息允许持卡人核对交易状态，查询可以在购物之后的任何时间进行。 持卡人只能查询有关自己的购物交易情况；对一笔交易，可查询多次。信息内容如图。 查询要求包括：交易识别和客户新的口令变量，它对每个查询是唯一的，查询要求要持卡人签名SignC，此证书的查询要求是从正确的持卡人处发来。 查询回应信息包括：由商户送回，包括交易状态和结果码、是否已付款等。收到查询回应后，持卡人
36、就知道了某交易是否已由商户认可，以及处理情况。,7.2.5持卡人查询(InqReqlnqRes),7.2.6持卡人及商户注册(登录),持卡人购物上网就首先要登录。登录要有证书，使用SET传送。持卡人想用SET进行网上支付，就必须先从认证中心CA取得公开密钥证书。 每个持卡人都需要有一个经过CA签字的证书，证书中包括他的公钥，用以验证他签名的信息。从CA取得经签名的证书方法如图所示。,7.2.6持卡人及商户注册(登录),过程,(1)持卡人按格式提出申请送到CA。 (2)CA按有关发卡行签署注册的格式返回给持卡人。 (3)持卡人自己产生公钥与私钥对，并按格式填写，然后将公钥返回CA中心。 (4)C
37、A中心从有关发卡行验证格式并产生证书，然后返回给持卡人。持卡人得到CA中心签字的证书。 上述过程与商户和收单行的证书获得过程类似。商户注册不再赘述。,ClnitReq,注册过程开始，持卡人需送一个请求到CA；这一要求要加密，用户可先要CA证书的公钥副本。注册格式可从持卡人的发卡行取得。 要求类型指持卡人是要一个签字证书还是要加密证书或两者均要。 品牌ID(BIN)是卡前六位数，唯一标识发卡行： 语言是指返回注册时需要的语言。 证书的指纹(Thumbs)也送给CA。,ClnitReq,CInit ReqRequest Type BIN Language Thumbs,CInit ResReque
38、st Type Req.Form Certs(CA etc) CRL.S,To CA,至持卡人,SigA,CA,持卡人,注册要求/回应信息,银行表示ID,Clnit Res,CA对注册请求返回信息包括相对的注册格式、对应类型及证书挂失情况(CRLS)以上要由CA签字。 持卡人得到回应后，可以验证此证书，以便证实确实得到CA的有效注册。 这个验证过程为CertReqCertRes：持卡人经上述注册过程，可得到一个验证证书的格式。按其格式填写，填入银行卡号和有效日期，为了传送这些敏感数据到CA，需要CA的公钥以RSA算法加密，且要强加密。,Clnit Res,验证请求信息,当CA收到证书验证请求后
39、，通过现有的银行卡授权，交换网络得到发卡行的证实，如信用卡有效，即产生一个签署证书，以持卡人的公钥加密送回持卡人。 CA发回的验证响应CertRes包括：新的证书、强加密的Nonce-CCA等。 持卡人验证证书是解开Nonce CCA，并与持卡人的Nonce-Card进行组合，形成Nonce，即：PANNONCE=Hash(Nonce-Card X Nonce-CCA) 然后，验证Hash(Card Data，PANNonce)。 持卡人有了CA签名的证书，便可用银行卡在互联网上购物并按SET协议为商户支付。,验证请求信息,7.4SET购物B2C电子商务,SET购物的网上应用是电子商务B2C应
40、用模式，是一种基于卡基支付业务，即基于银行卡(信用卡和借记卡)为支付工具的电子商务。SET电子商务系统主要由持卡人的客户端系统、商家和虚拟电子商城系统、银行方面的支付网关系统以及发卡行的传统银行信用卡业务系统组成。如图所示。 图中虚线部分是CA认证系统，CA系统向持卡人、商家及支付网关的注册发放数字证书，以便在交易时实现网上身份认证。,7.4SET购物B2C电子商务,7.4SET购物B2C电子商务,7.4.1支付信用卡 7.4.2电子钱包 7.4.3支付网关 7.4.4SET虚拟电子商城 7.4.5SET购物流程,7.4.1支付信用卡,SET电子商务的支付工具为信用卡，经扩展优化后也可以支持借
41、记卡。所以SET电子商务交易支付工具主要为信用卡和借记卡。 一、信用卡支付 SET协议由Visa和Master Card联合开发，其主要宗旨是使用美国的信用卡。信用卡消费基础是依靠发卡行对持卡人的信誉度的审查，只有那些经济状况、信誉度好的申请人才可批准其使用信用卡，同时还需要有担保人。,7.4.1支付信用卡,二、借记卡 借记卡即所谓的储值卡，即先存款后消费，消费不得透支。借记卡在中国有很大的发行量，原因是中国社会的信用体制不健全，与发达国家相比，个人几乎没有信用鉴别方式。因此，无法建立在信用基础的电子支付，在普通支付方式中多倾向于“有多少钱，办多少事”，“一手交钱，一手交货”，所以在中国信用卡
42、使用不普及，大多是借记卡。 我国银行卡大体分三类：即贷记卡、借记卡和储值卡。,7.4.2电子钱包,一、电子钱包的概念 二、用电子钱包网上购物 三、电子钱包的高级功能,一、电子钱包的概念,1.什么叫电子钱包 2.如何得到电子钱包 3.电子钱包的安装,1.什么叫电子钱包,电子钱包是SET购物中的支付工具，它装在客户端软件中，电子钱包中可装有多种用于电子商务支付的信用卡或借记卡的卡号。 电子钱包是SET协议客户端软件之一，它装有用户的信用卡(借记卡)账号。 电子钱包(E-Wallet)是一个可以由持卡人用来进行安全电子交易和存储交易记录的软件，就像生活中随身携带的钱包一样。电子钱包在具有中文环境的W
43、indows 9598或WindowsNT操作系统上运行。,电子钱包具有如下功能,数字证书的管理：包括数字证书的下载、存储、删除等。 安全电子交易：进行SET交易时，认证持卡人和商户的身份并发送交易信息。 交易记录的保存：保存每一笔交易记录，并可查询订单状态。,电子钱包具有如下功能,持卡人在使用银行卡进行网上购物时，卡户信息(如卡号和到期日期)及支付指令可以通过电子钱包软件进行加密传送和有效性验证。电子钱包能够与Microsoft、Netscape等公司的浏览器软件结合运行。 持卡人要在Internet上进行符合SET标准的安全电子交易，必须安装符合SET标准的电子钱包。为了推动国内用户使用银
44、行卡进行网上购物，中国金融认证中心推出了CFCA联合电子钱包，用于基于SET标准的网上购物。,2如何得到电子钱包,电子钱包是个公众软件，它可从很多网站上查询和下载而得到。如中国金融CA的电子钱包，它可从中国金融认证中心的网站：WWW 或从WWW、WWW.S上下载得到。其格式为WINZIP，自解压EXE格式。 客户端浏览器为Microsoft IE或Netscape Navigator。,3电子钱包的安装,(1)启动电脑，进入Windows系统后，将电子钱包光盘放人光驱内；合上光驱，软件将自动运行，进入安装界面。 (2)单击安装按钮，或者直接运行光盘中E-Wallet目录下的setupexe文件
45、，就可以开始安装联合电子钱包了。 (3)在刚开始的画面中，单击安装钱包按钮。 (4)当看到一份电子钱包许可协议时，仔细阅读；只有同意遵守该协议的相关规定，才能安装联合电子钱包。如果确实同意，请单击是按钮，继续进行安装；否则，单击否按钮退出。,3电子钱包的安装,(5)选择要安装的目标文件夹，和Windows系统开始按钮中的程序文件夹，以及是否使用了代理服务器。 (6)单击下一步按钮，安装程序开始向硬盘复制文件。 (7)安装完成后，程序将自动搜索并更新Internet浏览器，只有这样以后浏览器才能自动激活电子钱包。 (8)确认程序查找结果后，单击下一步按钮继续。,3电子钱包的安装,(9)窗口中会有
46、一个选择框，可以选择是否现在启动电子钱包。默认状态是马上启动电子钱包。选择后单击完成按钮。 这时联合电子钱包已安装完成，计算机桌面上会出现一个电子钱包图标，以后就可以双击它来启动电子钱包。当第一次启动电子钱包时，会要求创建用户账号，只需输入用户名和密码并确认即可。密码为电子钱包密码而非付款的银行卡号码。,二、用电子钱包网上购物,1客户注册 2订购商品 3付款 4返回交易结果,1客户注册,在已成为银行卡客户拥有一张某商业银行的信用卡(或借记卡)后，可以持卡按有关规定，去商业银行证书申请受理点(LRA或RA)进行证书申请，经审批后，可获得SET证书。,2订购商品,(1)连接商家站点 首先，让您的电
47、脑接人因特网，并打开浏览器，键人商家网站地址，连接到商家站点。 特别注意：当您打算在这个商家购买商品之前，请您仔细阅读商家关于送货、退款以及保障您的权益的详细说明，如果您不满意此商家的服务，请不要在这个商家购买商品。 (2)浏览商品，并放人购物车或购物篮 当您在商家的站点上浏览商品并选定了要购买的商品后，单击购物车或购物篮按钮，把该商品放人购物车或购物篮，准备付款。一般网上商家都是以这种流程处理，详细购物说明请查看帮助信息。,3付款,(1)在确认购买信息后，单击有关付款的按钮，您的计算机会自动激活您的电子钱包。您按屏幕要求输入联合电子钱包的用户名和口令后，单击确定按钮，您就会打开您的“电子钱包
48、”。 (2)进入“电子钱包”后，会出现“购买申请”的细节。 在“购买细节”处，您会看到您选购商品的订单描述。如：购物金额、商城名称、订购单号等信息，这些都是您此次支付的信息。 要特别注意“订单说明”后面的号码。当您订购的商品出现质量或其他问题时，您要与商家联系，这时商家会要求您提供商品的订购单号。 (3)单击“付款”按钮后，系统会要求您输入您的银行卡号密码(PIN)，密码输入完成后，单击确定按钮。,4返回交易结果,单击确认按钮后，屏幕将返回交易结果。也可查询交易状态。,三、电子钱包的高级功能,1管理账户信息 2管理数字证书 3处理交易记录 4导出导入信息 5设置相关选项 6更改口令,1管理账户
49、信息,电子钱包管理账户信息功能包括：创建卡账户信息、编辑卡账号信息和删除卡账号信息。 (1)创建卡账户信息。单击操作菜单添加卡按钮后，持卡人要输入以下信息：卡别名D、卡品牌R、卡种类T、卡号C以及过期日期E等。 (2)编辑卡账号信息。是对持卡人创建卡账户时输入的信息的修改，包括上述输入的有关信息及卡上姓名、开票地址等。 (3)删除卡账号信息。删除上述有关数据，当从电子钱包中删除卡账号后，同时也删除了与此卡账户相关的数字证书。,2管理数字证书,电子钱包具有管理数字证书、查看数字证书和删除数字证书的功能。 (1)申请数字证书。添加卡信息账户，使证书申请有效，然下载证书。 (2)查看数字证书。点击查询功能，可以查询有关证书的细节。 (3)删除数字证书。对已下载的数字证书，在删除了卡帐户信息后，这张卡的证书状态即被删除。,
