网络支付的安全技术课件

《网络支付的安全技术课件》由会员分享，可在线阅读，更多相关《网络支付的安全技术课件（94页珍藏版）》请在装配图网上搜索。

1、网络支付的安全技术网络支付的安全技术第六章第六章 网络支付的安全技术网络支付的安全技术网络支付的安全技术网络支付的安全技术1 1网络支付的安全问题与需求网络支付的安全问题与需求2 2网络支付的安全策略及解决方法网络支付的安全策略及解决方法3 3网络支付平台的安全及防火墙技术网络支付平台的安全及防火墙技术4 4病毒的防治和管理病毒的防治和管理5 5数据机密性技术数据机密性技术6 6数字证书数字证书7 7公钥基础公钥基础PKIPKI目目录录CONTENTSCONTENTS网络支付的安全技术网络支付的安全技术一、网络支付的安全问题与需求一、网络支付的安全问题与需求1 1、网络支付面临的安全问题、网络

2、支付面临的安全问题（1 1）电子商务的主要安全隐患）电子商务的主要安全隐患 1）系统的中断与瘫痪 2）信息被盗听 3）信息被篡改 4）信息被伪造 5）对交易行为抵赖 网络支付的安全技术网络支付的安全技术一、网络支付的安全问题与需求一、网络支付的安全问题与需求 1 1、网络支付面临的安全问题、网络支付面临的安全问题（2 2）网络支付的主要安全隐患）网络支付的主要安全隐患1）支付账号和密码等隐私支付信息被盗取或盗用2）支付金额被更改3）无法有效验证收款方的身份4）对支付行为进行抵赖、修改或否认5）网络支付系统瘫痪 网络支付的安全技术网络支付的安全技术一、网络支付的安全问题与需求一、网络支付的安全问

3、题与需求 2.2.网络支付的安全需求网络支付的安全需求网络上资金流数据的保密性相关网络支付结算数据的完整性网络上资金结算双方身份的认定不可抵赖性保证网络支付系统的运行可靠、快捷，做好数据备份与灾难恢复功能建立共同的网络支付行为规范，进行相关立法，以强制力手段要求网络支付相关各方严格遵守网络支付的安全技术网络支付的安全技术二、网络支付的安全策略及解决方法二、网络支付的安全策略及解决方法 1.1.网络支付安全策略制定的目的、涵义和原则网络支付安全策略制定的目的、涵义和原则（1）制定网络支付安全策略的目的目的保障相关支付结算信息的机密性、完整性、认证性、不可否认性、不可拒绝性和访问控制性不被破坏；能

4、够有序地、经常地鉴别和测试安全状态；能够对可能的风险做基本评估；系统的安全被破坏后的恢复工作。应用相应法律法规来保护安全利益 网络支付的安全技术网络支付的安全技术二、网络支付的安全策略及解决方法二、网络支付的安全策略及解决方法（2）网络支付安全策略的涵义涵义安全策略必须包含对安全问题的多方面考虑因素。安全策略一般要包含以下内容：认证；访问控制：保密；数据完整性；法律法规等 审计。1.1.网络支付安全策略制定的目的、涵义和原则网络支付安全策略制定的目的、涵义和原则网络支付的安全技术网络支付的安全技术二、网络支付的安全策略及解决方法二、网络支付的安全策略及解决方法（3）制定网络支付安全策略的基本原

5、则基本原则(1)预防为主 (2)必须根据网络支付结算的安全需要和目标来制定安全策略 (3)根据掌握的实际信息分析 1.1.网络支付安全策略制定的目的、涵义和原则网络支付安全策略制定的目的、涵义和原则网络支付的安全技术网络支付的安全技术二、网络支付的安全策略及解决方法二、网络支付的安全策略及解决方法 2.2.网络支付安全策略的主要内容网络支付安全策略的主要内容（1）定义实现安全的网络支付结算的保护资源金融机构金融机构公正第三方公正第三方税务等政府机构税务等政府机构安全的通信通道安全的通信通道交易方交易方A A：机：机密支付信息密支付信息交易方交易方B B：机：机密支付信息密支付信息安全的网络支付

6、系统组成示意图 安全策略安全策略具体内容中要定义保护的资源定义保护的资源，要定义保护的风险定义保护的风险，要吃透吃透电子商务安全的法律法规电子商务安全的法律法规，最后要建立安全策略和确定一套安全机制建立安全策略和确定一套安全机制。网络支付的安全技术网络支付的安全技术（2 2）定义保护的风险）定义保护的风险 每一新的网络支付方式推出与应用，均有一定的风险，因为绝对安全的支付手段是没有的，要进行相关风险分析。还要注意网络支付工具使用安全与使用便利、快捷之间的辩证关系。（3 3）完全理解、遵循和利用有关电子商务安全与网）完全理解、遵循和利用有关电子商务安全与网络支付安全的法律法规络支付安全的法律法规

7、 （4 4）建立相关安全策略和确定一套安全机制）建立相关安全策略和确定一套安全机制 安全策略中最后要根据定义的保护资源、定义的保护风险、电子商务安全的法律法规，建立安全策略和确定一套安全机制。安全策略是由个人或组织针对网络支付结算安全全面制定的，安全机制是实现安全策略的手段或技术、整套规则和决策 网络支付的安全技术网络支付的安全技术二、网络支付的安全策略及解决方法二、网络支付的安全策略及解决方法 3.3.保证网络支付安全的解决方法保证网络支付安全的解决方法 (1)交易方身份认证 (2)网络支付数据流内容保密 (3)网络支付数据流内容完整性 (4)保证对网络支付行为内容的不可否认性 (5)处理多

8、方贸易业务的多边支付问题 (6)网络支付系统软件、支撑网络平台的正常运行 (7)政府支持相关管理机构的建立和电子商务法律的制定网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术 1.1.网络平台系统的构成及其主要安全威胁网络平台系统的构成及其主要安全威胁 网络平台系统的构成IntranetIntranet 电子商务服务器电子商务服务器银行专网银行专网InternetInternet客户机客户机 支付网关支付网关支持网络支付的Internet网络平台系统组成示意图网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支

9、付平台的安全及防火墙技术 公共通信通道Internet的安全威胁 截断堵塞：截断堵塞：如切断通讯线路、毁坏硬件、病毒瘫痪软件系统、垃圾信息堵塞网络通道等）伪造：伪造：伪造客户或商家信息，假冒身份以骗取财物。篡改：篡改：为某目的对相关网络支付信息进行篡改 介入介入：利用特殊软件工具提取Internet上通信的数据，以期破解信息；或进行信息流量分析，对信息的流动情况进行分析；或非法进入系统或数据库，进行破坏、COPY等。1.1.网络平台系统的构成及其主要安全威胁网络平台系统的构成及其主要安全威胁网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术

10、 Intranet的最基本安全需求 网络边界的安全网络边界的安全 内部网络的安全内部网络的安全 身份验证身份验证 授权管理授权管理 数据的保密性和完整性数据的保密性和完整性 完整的审计、记录、备份机制，以便分析处理完整的审计、记录、备份机制，以便分析处理 1.1.网络平台系统的构成及其主要安全威胁网络平台系统的构成及其主要安全威胁网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术 2.2.InternetInternet网络平台系统的安全措施网络平台系统的安全措施 Internet网络平台上安全措施主要从保护网络安全、保护应用的安保护网络安

11、全、保护应用的安全和保护系统安全全和保护系统安全三个方面来叙述。（1 1）保护网络安全）保护网络安全全面规划网络平台的安全策略制定网络安全管理措施 使用防火墙。尽量记录网络上的一切活动注意对设备的物理保护检查网络平台系统脆弱性可靠的识别和鉴别 网络支付的安全技术网络支付的安全技术（2 2）保护应用的安全）保护应用的安全 应用安全是针对特定应用(如Web服务器、网络支付专用软件系统)中所建立的安全防护措施，独立于任何网络的安全措施。网络支付协议就很复杂，它涉及购货人、零售商和银行之间的转账，不同参与者之间的通信需要不同水平的保护，需要在应用层应用层上处理。由于现在电子商务中的应用层对安全的要求最

12、严格、最复杂应用层对安全的要求最严格、最复杂，因此更倾向于在应用层而不是在网络层采取各种安全措施。应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。网络支付的安全技术网络支付的安全技术（3 3）保护系统安全）保护系统安全 系统安全性是指从整体系统的角度来进行保护，它与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包含下述一些措施：(1)检查和确认安装软件中未知的安全漏洞(2)使系统具有最小穿透风险性(3)对入侵进行检测、审计、追踪网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火

13、墙技术三、网络支付平台的安全及防火墙技术 3.3.防火墙技术与应用防火墙技术与应用 （1 1）防火墙的定义防火墙的定义 防火墙防火墙(Firewall)(Firewall)，是一种由计算机软件和硬件组成的隔计算机软件和硬件组成的隔离系统设备离系统设备，用于在IntranetIntranet和InternetInternet之间构筑一道防护屏障，能按设置的条件进行区分，实现内外有别。其主要目标主要目标是保护Intranet中的信息、资源等不受来自Internet中非法用户的侵犯，它控制Intranet与Internet之间的所有数据流量。网络支付的安全技术网络支付的安全技术（2 2）防火墙的应用

14、示意图为：）防火墙的应用示意图为：InternetInternet企业内部网络（如企业内部网络（如Intranet)Intranet)防火墙系统（堡垒主机防火墙系统（堡垒主机+路由器等路由器等）非安全网络非安全网络安全网络安全网络网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术（2 2）防火墙的功能）防火墙的功能 实现安全策略 创建一个阻塞点 记录网络活动 限制网络暴露 VPN网关 3.3.防火墙技术与应用防火墙技术与应用网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术（3 3）防火

15、墙的种类）防火墙的种类 数据包过滤性防火墙 应用级网关型防火墙 代理服务器型防火墙 复合型防火墙 3.3.防火墙技术与应用防火墙技术与应用网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术 5.5.防火墙的类型防火墙的类型 按防火墙采用的技术分类，主要有包过滤式防火墙包过滤式防火墙、应用级网关应用级网关和状态检测防火墙状态检测防火墙数据包过滤式防火墙数据包过滤式防火墙InternetInternet数据包过滤防火墙数据包过滤防火墙+路由器路由器InternetInternet优点：对用户来说优点：对用户来说是透明的，处理速是透明的，处理速度

16、快，易于维护，度快，易于维护，进行网络及维护进行网络及维护缺点：不能鉴别不缺点：不能鉴别不同的用户和防止同的用户和防止IPIP地址盗用，配置繁地址盗用，配置繁琐琐数据包过滤式的防火墙应用原理示意图 3.3.防火墙技术与应用防火墙技术与应用网络支付的安全技术网络支付的安全技术 应用级防火墙通常是运行在防火墙上的运行代理服务器软件部分（又名称为应用网关）应用级网关应用级网关InternetInternet优点：比包过滤式优点：比包过滤式防火墙更为安全、防火墙更为安全、可靠，详细记录所可靠，详细记录所有访问状态信息有访问状态信息缺点：速度慢，不缺点：速度慢，不允许用户直接访问允许用户直接访问网络，透

17、明性差网络，透明性差IntranetIntranet内部服务器等内部服务器等代代理理服服务务器器路路由由器器应用级网关的应用原理示意图网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付平台的安全及防火墙技术 （4 4）防火墙的优缺点防火墙的优缺点 优点优点遏制来自Internet各种路线的攻击借助网络服务选择，保护网络中脆弱的易受攻击的服务监视整个网络的安全性，具有实时报警提醒功能作为部署NAT的逻辑地址增强内部网中资源的保密性，强化私有权 3.3.防火墙技术与应用防火墙技术与应用网络支付的安全技术网络支付的安全技术三、网络支付平台的安全及防火墙技术三、网络支付

18、平台的安全及防火墙技术 缺点缺点限制了一些有用的网络服务的使用，降低了网络性能；只能限制内部用户对外的访问，无法防护来自内部网络用户的攻击；不能完全防止传送感染病毒的软件或文件，特别是一些数据 驱动型的攻击数据；被动防守，不能防备新的网络安全问题；（4 4）防火墙的优缺点防火墙的优缺点 3.3.防火墙技术与应用防火墙技术与应用网络支付的安全技术网络支付的安全技术四、病毒的防治和管理四、病毒的防治和管理死机、黑屏、蓝屏或者非法运行；应用软件不能运行；计算机速度明显下降；设备被禁用，数据不能保存；局域网环境下，能造成网络堵塞，服务器不能正常工作；1.1.计算机病毒的发作现象计算机病毒的发作现象网络

19、支付的安全技术网络支付的安全技术系统病毒蠕虫病毒木马病毒脚本病毒宏病毒后门病毒病毒种植程序病毒破坏性病毒玩笑病毒捆绑机病毒 2.2.计算机病毒的种类计算机病毒的种类四、病毒的防治和管理四、病毒的防治和管理网络支付的安全技术网络支付的安全技术防病毒软件查漏补缺Windows update 自动更新防止下载病毒 3.3.计算机病毒的防治方法计算机病毒的防治方法四、病毒的防治和管理四、病毒的防治和管理网络支付的安全技术网络支付的安全技术五、数据机密性技术五、数据机密性技术 1.1.私有密钥加密法私有密钥加密法 （1 1）私用密钥加密法的定义与应用原理）私用密钥加密法的定义与应用原理l 信息发送方用一

20、个密钥对要发送的数据进行加密，信息的接收方能用同样的密钥同样的密钥解密，而且只能用这一密钥解密。由于双方所用加密和解密的密钥相同，所以叫作对称密钥由于双方所用加密和解密的密钥相同，所以叫作对称密钥加密法。加密法。l 对称密钥密码体系的优点是加密、解密速度很快对称密钥密码体系的优点是加密、解密速度很快(高效高效)，但，但缺点也很明显：密钥难于共享，需太多密钥。缺点也很明显：密钥难于共享，需太多密钥。l 目前比较著名的对称密码加密算法有：目前比较著名的对称密码加密算法有：DESDES和和IDEAIDEA网络支付的安全技术网络支付的安全技术 （2 2）私用密钥加密法的使用过程）私用密钥加密法的使用过

21、程乙银行：乙银行：有一笔有一笔20 00020 000元元资金转帐资金转帐至贵行至贵行1234512345账号上账号上 甲银行甲银行乙银行：乙银行：有一笔有一笔20 00020 000元元资金转帐资金转帐至贵行至贵行1234512345账号上账号上 甲银行甲银行密钥密钥A A密钥密钥A A加密解密信息明文信息明文信息密文信息密文网络传输甲银行乙银行五、数据机密性技术五、数据机密性技术 1.1.私有密钥加密法私有密钥加密法网络支付的安全技术网络支付的安全技术五、五、数据机密性技术数据机密性技术 2.2.公开密钥加密法公开密钥加密法（1 1）公开密钥加密法的定义与应用原理）公开密钥加密法的定义与应

22、用原理l 原理：原理：共用2个密钥，在数学上相关数学上相关，称作密钥对密钥对。用密钥对中任何一个密钥加密，可以用另一个密钥解密，而且只能用此密钥对中的另一个密钥解密。l 商家采用某种算法（秘钥生成程序）商家采用某种算法（秘钥生成程序）生成了这2个密钥后，将其中一个保存好，叫做私人密钥私人密钥(Private Key)Private Key)，将另一个密钥公开散发出去，叫做公开密钥公开密钥(Public Key)Public Key)。l 非对称密钥技术的优点是：易于实现，使用灵活，密钥较少。弱非对称密钥技术的优点是：易于实现，使用灵活，密钥较少。弱点在于点在于:要取得较好的加密效果和强度，必须

23、使用较长的密钥。要取得较好的加密效果和强度，必须使用较长的密钥。网络支付的安全技术网络支付的安全技术 （2 2）公开密钥加密法的使用过程）公开密钥加密法的使用过程乙银行：乙银行：有一笔有一笔20 00020 000元元资金转帐资金转帐至贵行至贵行1234512345账号上账号上 客户甲客户甲乙银行：乙银行：有一笔有一笔20 00020 000元元资金转帐资金转帐至贵行至贵行1234512345账号上账号上 客户甲客户甲加密解密支付通知明文支付通知明文支付通知密文支付通知密文网络传输客户甲乙银行公钥公钥私钥私钥 B BA A实现了定点实现了定点保密通知保密通知五、五、数据机密性技术数据机密性技术

24、 2.2.公开密钥加密法公开密钥加密法网络支付的安全技术网络支付的安全技术客户甲：客户甲：本行已将本行已将20 000元元资金从你账资金从你账号转移至号转移至12345账号上账号上 乙银行乙银行解密加密支付确认明文支付确认明文支付确认密文支付确认密文网络传输客户甲乙银行公钥公钥私钥私钥 BA网络银行不网络银行不能否认或抵能否认或抵赖赖客户甲：客户甲：本行已将本行已将20 000元元资金从你账资金从你账号转移至号转移至12345账号上账号上 乙银行乙银行 （2 2）公开密钥加密法的使用过程）公开密钥加密法的使用过程五、五、数据机密性技术数据机密性技术 2.2.公开密钥加密法公开密钥加密法网络支付

25、的安全技术网络支付的安全技术五、数据机密性技术五、数据机密性技术 3.3.私有密钥加密法和公开密钥加密法的比较私有密钥加密法和公开密钥加密法的比较DES算法RSA算法加密、解密的处理效率加密、解密的处理效率快慢密钥的分发与管理密钥的分发与管理密钥变更困难，需产生和保管巨量的不同密钥更新加密密钥容易，对不同的通信对象，只需保存自己的私钥安全性安全性好好数字签名和认证数字签名和认证不能实现能实现网络支付的安全技术网络支付的安全技术五、数据机密性技术五、数据机密性技术 4.4.数字信封数字信封 （1 1）数字信封的定义和应用原理）数字信封的定义和应用原理 对需传送的信息（如电子合同、支付指令）的加密

26、采用对称密钥加密法；但密钥不先由双方约定，而是在加密前由发送方随机产生；用此随机产生的对称密钥对信息进行加密随机产生的对称密钥对信息进行加密，然后将此对称密钥用接收方的公开密钥加密对称密钥用接收方的公开密钥加密，准备定点加密发送给接受方。这就好比用“信封”封装起来，所以称作数字信封数字信封（封装的是里面的对称密钥）。接收方收到信息后，用自己的私人密私人密钥解密，打开数字信封钥解密，打开数字信封，取出随机产生的对称密钥，用此对称密钥再对所收到的密文解密，得到原来的信息。网络支付的安全技术网络支付的安全技术 （2 2）数字信封在网络支付中的应用示例）数字信封在网络支付中的应用示例银行乙的公钥银行乙

27、的公钥B B客户甲随即客户甲随即产生的私钥产生的私钥P P银行乙的私钥银行乙的私钥A A网络传送网络传送1 1银行乙银行乙从数字从数字信封中信封中取出私取出私钥钥P P乙银行：乙银行：有一笔有一笔200200元资元资金转帐至贵行金转帐至贵行1234512345账号上账号上 客户甲客户甲支付通知明文网络网络传送传送2 2加密加密支付通知明文乙银行：乙银行：有一笔有一笔200200元资元资金转帐至贵行金转帐至贵行1234512345账号上账号上 客户甲客户甲支付确认密文支付确认密文客户甲乙银行解密解密网络支付的安全技术网络支付的安全技术 （3 3）数字信封的优点）数字信封的优点 加密、解密速度快，

28、可以满足即时处理需要加密、解密速度快，可以满足即时处理需要 RSARSA和和DESDES相结合，不用为交换相结合，不用为交换DESDES密钥周折，减小了密钥周折，减小了DESDES泄密的风险泄密的风险 具有数字签名和认证功能具有数字签名和认证功能 密钥管理方便密钥管理方便 保证通信的安全保证通信的安全网络支付的安全技术网络支付的安全技术五、数据完整性技术五、数据完整性技术 1.1.数字摘要技术数字摘要技术 （1 1）.数字摘要的定义和应用原理数字摘要的定义和应用原理 通讯双方在互相传送消息时，不仅要对数据进行保密，不让第三者知道，还要能够知道数据在传输过程中没有被别人改变，也就是要保证数据的完

29、整性。用某种算法对被传送的数据生成一个完整性值，将此完整性值与原始数据一起传送给接收者，接收者用此完整性值来检验消息在传送过程中有没有发生改变。这个值由原始数据通过某一加密算法产生的一个特殊的数字信息串数字信息串，比原始数据短小，能代表原始数据，所以称作数字摘要（数字摘要（Digital DigestDigital Digest）。网络支付的安全技术网络支付的安全技术 （2 2）数字摘要的产生示例）数字摘要的产生示例银行乙：银行乙：请将请将200200元资元资金从本帐号金从本帐号转移至转移至1234512345账号上。账号上。客户甲客户甲HashHash算法：算法：数字摘要生成器数字摘要生成器

30、Abcddabc34Abcddabc347698jdf747698jdf74.kxs.kxs支付通知支付通知的数字摘要网络支付的安全技术网络支付的安全技术 2.2.数字签名技术数字签名技术 （1 1）数字签名的定义和应用原理）数字签名的定义和应用原理 在传统商务的合同或支付信件中平时人们用笔签名，这个签名通常有两个作用：可以证明信件是由签名者发送并认可的 （不可抵赖）保证信件的真实性 （非伪造、非篡改）数字签名及原理：数字签名及原理：Digita1 Signature,Digita1 Signature,就是指利用数字加密技术实现在网络传送信息文件时，附加个人标记，完成传统上手书签名或印章的作

31、用，以表示确认、负责、经手、真实等；或或 数字签名数字签名就是在要发送的消息上在要发送的消息上附加一小段只有消息发送者才能产生而别人无法伪造的特殊数据附加一小段只有消息发送者才能产生而别人无法伪造的特殊数据（个人标记），而且这段数据是原消息数据加密转换原消息数据加密转换生成的，用来证明消息是由发送者发来的。网络支付的安全技术网络支付的安全技术（2 2）数字签名的特点）数字签名的特点 (1)信息是由签名者发送的；(2)信息自签发后到收到为止未曾做过任何修改；(3)如果A否认对信息的签名，可以通过仲裁解决A和B之间的争议 (4)数字签名又不同于手写签名：数字签名随文本的变化而变化，手写签字反映某个

32、人个性特征，是不变的；数字签名与文本信息是不可分割的，而用手写签字是附加在文本之后的，与文本信息是分离的。（3 3）数字签名的形式化定义）数字签名的形式化定义 “数字签名”系指在数据电文中，以电子形式所含、所附或在逻辑上与数据电文有联系的数据，和与数据电文有关的任何方法，它可用于数据电文有关的签字持有人和表明此人认可数据电文所含信息。网络支付的安全技术网络支付的安全技术（4 4）数字签名的功能）数字签名的功能(1)身份认证。收方通过发方的电子签名能够确认发方的确切身份，但无法伪造。(2)保密。双方的通信内容高度保密，第三方无从知晓。(3)完整性。通信的内容无法被篡改。(4)不可抵赖。发方一旦将

33、电子签字的信息发出，就不能再否认。数字签名与数据加密完全独立。数据可以只签名或只加密，也可既签名又加密，当然，也可以既不签名也不加密。2.2.数字签名技术数字签名技术网络支付的安全技术网络支付的安全技术（5 5）数字签名与手写签名的区别）数字签名与手写签名的区别 数字签名与手书签名的区别在于，手书签名是模拟的，且因人而异；数字签名是0和1的数字串，因消息而异；数字签名与消息认证的区别在于，消息认证使收方能验证消息发送者及所发消息内容是否被篡改过；当收者和发者之间有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此时须借助满足前述要求的数字签名技术。任何一种产生签名的算法或函数都应当提供

34、这两种信息，而且从公开的信息很难推测出用于产生签名的机密信息；任何一种数字签名的实现都有赖于精心设计的通信协议；网络支付的安全技术网络支付的安全技术客户甲银行乙发送的支付通知M收到的的支付通知M银行乙：将200元资金345北交帐号上。客户甲银行乙：将元资金北交帐号上。客户甲0F812DDF640F812DDF64DBABFFDBABFF45ADIAA45ADIAA0F812DDF640F812DDF64DBABFFDBABFF45ADIAA45ADIAAABFF45ABFF45DBADDBAD数字摘要D数字摘要D数字摘要D数字签名加密客户甲的私钥B网络传送客户甲的公钥SHAR1SHAR1比较比

35、较如果如果DD与与DD一样，说明一样，说明信息是真实的，若不一样，信息是真实的，若不一样，说明信息是伪造或篡改过说明信息是伪造或篡改过的的 2.2.数字签名技术数字签名技术网络支付的安全技术网络支付的安全技术 数字签名可以解决下述网络支付中的安全鉴别问题：数字签名可以解决下述网络支付中的安全鉴别问题：接收方伪造：接收方伪造一份文件，并声称这是发送方发送的：付付款单据款单据等。发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或接收过支付单据支付单据。第三方冒充：网上的第三方用户冒充发送或接收消息如信用卡密码信用卡密码；接收方篡改：接收方对收到的文件如支付金额支付金额进行改动。2.2.数字

36、签名技术作用与常见类型数字签名技术作用与常见类型网络支付的安全技术网络支付的安全技术 3.3.身份认证技术身份认证技术（1 1）身份认证的概念）身份认证的概念 身份认证又叫身份识别，它是通信和数据系统正确识别通信用户或终端的个人身份的重要途径。网络支付的安全技术网络支付的安全技术身份认证的几个相关概念身份认证的几个相关概念（1 1）认证）认证(Authentication)(Authentication)在做任何动作之前必须要有方法来识别动作执行者的真实身份。认证又称为鉴别、确认。身份认证主要是通过标识和鉴别用户的身份，防止攻击者假冒合法用户获取访问权限。（2 2）授权）授权(Authoriz

37、ation)(Authorization)授权是指当用户身份被确认合法后，赋予该用户进行文件和数据等操作的权限。这种权限包括读、写、执行及从属权等。（3 3）审计）审计(Auditing)(Auditing)每一个人都应该为自己所做的操作负责，所以在做完事情之后都要审计。身份认证分为单向认证和双向认证。如果通信的双方只需要一方被另身份认证分为单向认证和双向认证。如果通信的双方只需要一方被另一方鉴别身份，这样的认证过程就是一种单向认证。在双向认证过程中，通一方鉴别身份，这样的认证过程就是一种单向认证。在双向认证过程中，通信双方需要互相认证对方的身份。信双方需要互相认证对方的身份。3.3.身份认证

38、技术身份认证技术网络支付的安全技术网络支付的安全技术 身份认证的主要方法身份认证的主要方法 口令识别法口令识别法 (1)根据用户知道什么来判断。如果用户能说出正确的口令，则说明他是真的，如经典的UNIX口令系统；(2)根据用户拥有什么来判断。如果用户能提供正确的物理钥匙，则说明他是真的，如普通的门钥匙和磁卡钥匙；(3)根据用户是什么来判断。如果用户生理特征与记录相符，则说明他是真的，如指纹、声音。视网膜等。1.1.不安全口令的分析不安全口令的分析 （1）使用用户名(账号)作为口令 （2）使用用户名(账名)的变换形式作为口令 （3）使用自己或者亲友的生日作为口令 （4）使用学号、身份证号、单位内

39、的员工号码等作为口令 （5）使用常用的英文单词作为口令 3.3.身份认证技术身份认证技术网络支付的安全技术网络支付的安全技术 静态密码静态密码 智能卡智能卡 短信密码短信密码 动态口令动态口令 个人特征识别法个人特征识别法 签名识别法签名识别法 指纹识别技术指纹识别技术 3.3.身份认证技术身份认证技术 身份认证的主要方法身份认证的主要方法网络支付的安全技术网络支付的安全技术六、数据证书与认证中心六、数据证书与认证中心CACA 1.1.数字证书数字证书（1 1）数字证书的定义和应用原理）数字证书的定义和应用原理数字证书：数字证书：指用数字技术手段确认、鉴定、认证Internet上信息交流参与者

40、身份或服务器身份，是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档。工作原理：工作原理：接收方在网上收到发送方业务信息的同时，还收到发送方的数字证书，通过对其数字证书的验证，可以确认发送方的身份。在交换数字证书的同时，双方都得到了对方的公开密钥，由于公开密钥是包含在数字证书中的，可以确信收到的公开密钥肯定是对方的。从而完成数据传送中的加解密工作。数字证书网络支付的安全技术网络支付的安全技术数字证书数字证书是用电子手段来证实一个用户的身份和对网络资源访是用电子手段来证实一个用户的身份和对网络资源访问的权限，是一个经证书授权中心问的权限，是一个经证书授权中心CACA（Certific

41、ate AuthorityCertificate Authority）数字签名的、包含证书申请者个人消息及其公开密钥的文件。数字签名的、包含证书申请者个人消息及其公开密钥的文件。1 12 23 3个人证书（个人证书（Personal Digital IDPersonal Digital ID）企业（服务器）证书（企业（服务器）证书（Server IDServer ID）软件（开发者）证书（软件（开发者）证书（Developer IDDeveloper ID）网络支付的安全技术网络支付的安全技术 2.2.数字证书的内容数字证书的内容证书的版号证书的版号证书的序列号证书的序列号证书拥有者的姓名证书

42、拥有者的姓名证书拥有者的公共密钥证书拥有者的公共密钥公共密钥的有效期公共密钥的有效期6.6.证书的有效期证书的有效期7.7.颁发证书的单位颁发证书的单位CCTTTCCTTT.509.509国际标准，国际标准，X.509 X.509数字证书包含数字证书包含 网络支付的安全技术网络支付的安全技术 2.2.数字证书的内容数字证书的内容网络支付的安全技术网络支付的安全技术 3.3.与网络支付有关的数字证书的类型与网络支付有关的数字证书的类型（1 1）个人证书）个人证书(客户证书客户证书)：证实客户(例如一个使用IE的个人)身份和密钥所有权（2 2）服务器证书）服务器证书：证实银行或商家业务服务器的身份

43、和公钥（3 3）支付网关证书：）支付网关证书：如果在网络支付时利用第三方支付网关，那么第三方要为支付网关申请一个数字证书 （4 4）认证中心）认证中心CACA证书：证书：证实CA身份和CA的签名密钥(签名密钥被用来签署它所发行的证书)网络支付的安全技术网络支付的安全技术 4.4.数字证书的有效性与使用数字证书的有效性与使用 数字证书必须同时满足以下三个条件，才是有效的：（1）证书没有过期（2）密钥没有被修改（3）有可信任的相应的颁发机构CA及时管理与回收无效证书，并且发行无效证书清单网络支付的安全技术网络支付的安全技术如果数字证书记载的网址，与你正在浏览的网址不一致，就说明如果数字证书记载的网

44、址，与你正在浏览的网址不一致，就说明这张证书可能被冒用，浏览器会发出警告。这张证书可能被冒用，浏览器会发出警告。网络支付的安全技术网络支付的安全技术如果这张数字证书不是由受信任的机构颁发的，浏览器会发出如果这张数字证书不是由受信任的机构颁发的，浏览器会发出另一种警告。另一种警告。网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI 1.1.什么是公钥什么是公钥PKIPKI公钥PKI 公钥基础设施（公钥基础设施（public key infrastructurepublic key infrastructure，PKIPKI）是一种遵循既定标准的密钥管理平台，它可以为

45、各种网络是一种遵循既定标准的密钥管理平台，它可以为各种网络应用透明地提供采用加密和数字签名等密码服务及所必需应用透明地提供采用加密和数字签名等密码服务及所必需的密钥和证书管理体系。的密钥和证书管理体系。密钥管理密钥管理，是一门综合性的技术，涉及密钥的产生、，是一门综合性的技术，涉及密钥的产生、检验、分配、传递、保管、使用、销毁的全过程，还与密检验、分配、传递、保管、使用、销毁的全过程，还与密钥的行政管理制度以及人员的素质密切相关。钥的行政管理制度以及人员的素质密切相关。网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI 1.1.公钥公钥PKIPKI的组成的组成公钥

46、PKI（1 1）认证中心）认证中心CACA（2 2）X.500X.500目录服务器目录服务器（3 3）具有高强度密码算法的安全）具有高强度密码算法的安全（4 4）WebWeb安全通信平台安全通信平台（5 5）自身开发安全应用系统）自身开发安全应用系统网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI2、PKIPKI的基本概念和所要处理的问题的基本概念和所要处理的问题公钥PKI PKIPKI是一套利用非对称密码（公钥密码）技术为安全通是一套利用非对称密码（公钥密码）技术为安全通信提供服务的基础平台的技术和规范，它规定了该安全信提供服务的基础平台的技术和规范，它规定了

47、该安全基础平台应遵循的标准。基础平台应遵循的标准。PKIPKI的主要任务的主要任务是在开放环境中为开放性业务提供基于是在开放环境中为开放性业务提供基于非对称密钥密码技术的一系列安全服务，包括身份证书非对称密钥密码技术的一系列安全服务，包括身份证书和密钥管理、机密性、完整性、身份认证和数字签名等。和密钥管理、机密性、完整性、身份认证和数字签名等。因此，用户可利用因此，用户可利用PKIPKI平台提供的服务进行电子商务和平台提供的服务进行电子商务和电子政务应用。电子政务应用。网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI2、PKIPKI的基本概念和所要处理的问题的基

48、本概念和所要处理的问题公钥PKI PKIPKI是一套利用非对称密码（公钥密码）技术为安全通是一套利用非对称密码（公钥密码）技术为安全通信提供服务的基础平台的技术和规范，它规定了该安全信提供服务的基础平台的技术和规范，它规定了该安全基础平台应遵循的标准。基础平台应遵循的标准。PKIPKI的主要任务的主要任务是在开放环境中为开放性业务提供基于是在开放环境中为开放性业务提供基于非对称密钥密码技术的一系列安全服务，包括身份证书非对称密钥密码技术的一系列安全服务，包括身份证书和密钥管理、机密性、完整性、身份认证和数字签名等。和密钥管理、机密性、完整性、身份认证和数字签名等。因此，用户可利用因此，用户可利

49、用PKIPKI平台提供的服务进行电子商务和平台提供的服务进行电子商务和电子政务应用。电子政务应用。网络支付的安全技术网络支付的安全技术密钥的安全生成密钥的安全生成密钥的安全归档和恢复密钥的安全归档和恢复信任关系的建立和管理信任关系的建立和管理签名和时间戳的产生签名和时间戳的产生证书及相关信息的发布证书及相关信息的发布证书的颁发、更新和终止证书的颁发、更新和终止初始身份的确认初始身份的确认证书的有效性检查证书的有效性检查七、公钥基础设施七、公钥基础设施PKIPKI2、PKIPKI必须处理的问题必须处理的问题网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI3、PKI

50、PKI的功能的功能为了达到处理以上问题的目的，可以确定为了达到处理以上问题的目的，可以确定PKIPKI系统具有以系统具有以下服务功能。下服务功能。存储、恢复证书和黑名单发布存储、恢复证书和黑名单发布签发证书签发证书注销证书注销证书密钥生命周期管理密钥生命周期管理基于政策的证书路径验证基于政策的证书路径验证用户登记用户登记网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI4、PKIPKI的主要流程的主要流程PKI模式的主要流程：模式的主要流程：网络支付的安全技术网络支付的安全技术七、公钥基础设施七、公钥基础设施PKIPKI 5.5.公钥公钥PKIPKI的优势的优势公

51、钥PKI（1 1）采用公开密码密钥技术。）采用公开密码密钥技术。（2 2）保护机密性。）保护机密性。（3 3）由于数字证书的作用，有巨量的用户基础。）由于数字证书的作用，有巨量的用户基础。（4 4）PKIPKI提供了证书撤销机制，使其应用领域不受限制。提供了证书撤销机制，使其应用领域不受限制。（5 5）PKIPKI具有极强的互联功能。具有极强的互联功能。网络支付的安全技术网络支付的安全技术第第7章章 认证中心认证中心CA网络支付的安全技术网络支付的安全技术1234目 录CONTENTS网络支付的安全技术网络支付的安全技术1234目 录CONTENTS网络支付的安全技术网络支付的安全技术如何确认

52、彼此的身份？如何确认彼此的身份？网上应用系统服务器网上应用系统服务器用户用户数据库数据库假冒的站点假冒的站点假冒的用户假冒的用户互联网应用存在信息安全隐患互联网应用存在信息安全隐患网络支付的安全技术网络支付的安全技术 在传统的商务中，用来认证商家或客户真实身份的认证证书大多是被认在传统的商务中，用来认证商家或客户真实身份的认证证书大多是被认为公正的第三方机构（如政府部门）颁发的。为公正的第三方机构（如政府部门）颁发的。中国工商行政管理中国工商行政管理总局总局保证保证发行、发行、管理营业证书管理营业证书合法性合法性 而作为电子商务平台的而作为电子商务平台的InternetInternet是没有是

53、没有“政府政府”的，那的，那由谁来验证商家的真实性呢由谁来验证商家的真实性呢？网络支付的安全技术网络支付的安全技术一、什么是认证中心一、什么是认证中心CACACA(CertificateAuthority)CA(CertificateAuthority)是数字证书认证中心的简称，是指发放是数字证书认证中心的简称，是指发放、管理、废除数字证书的机构。、管理、废除数字证书的机构。CACA的作用的作用是检查证书持有者身份的合法性，并签发证书（在证书是检查证书持有者身份的合法性，并签发证书（在证书上签字），以防证书被伪造或篡改，以及对证书和密钥进行管理。上签字），以防证书被伪造或篡改，以及对证书和密钥

54、进行管理。CACA必须是各行业各部门及公众共同信任的、认可的、权威的、不必须是各行业各部门及公众共同信任的、认可的、权威的、不参与交易的第三方网上身份认证机构。参与交易的第三方网上身份认证机构。CACA是是PKIPKI的核心组成部分的核心组成部分。网络支付的安全技术网络支付的安全技术1234目 录CONTENTS网络支付的安全技术网络支付的安全技术二、二、CACA的作用的作用 CA CA提供的安全技术对网上的数据、信息发送方、接提供的安全技术对网上的数据、信息发送方、接收方进行身份确认，以保证各方信息传递的安全性、收方进行身份确认，以保证各方信息传递的安全性、完整性、可靠性和交易的不可抵赖性。

55、完整性、可靠性和交易的不可抵赖性。交易信息的交易信息的安全安全性性 交易信息的交易信息的完整完整性性交易者身份的交易者身份的可靠可靠性性 交易信息的交易信息的不可抵赖不可抵赖性性 网络支付的安全技术网络支付的安全技术1234目 录CONTENTS网络支付的安全技术网络支付的安全技术三、认证中心三、认证中心CACA的功能的功能CACA的核心功能就是发放和管理数字证书。的核心功能就是发放和管理数字证书。CACA认证中心的功能主要有：认证中心的功能主要有：证书发放、证书更新、证书撤销和证书验证。证书发放、证书更新、证书撤销和证书验证。具体描述如下：具体描述如下：1.1.生成密钥对及生成密钥对及CAC

56、A证书证书2.2.验证申请人身份验证申请人身份3.3.颁发数字证书颁发数字证书4.4.证书以及持有者身份认证查询证书以及持有者身份认证查询5.5.吊销证书吊销证书6.6.证书管理与更新证书管理与更新7.7.制定相关政策制定相关政策8.8.有能力保护数字证书服务器的安全有能力保护数字证书服务器的安全网络支付的安全技术网络支付的安全技术CA可以分为RS（证书业务受理中心）和CP(证书制作中心)两部分。RS负责接收用户的证书申请、发放等与用户打交道的外部工作，CP负责证书的制作、记录等内部工作。用户如果要获得数字证书，必须上网，进入CA网站，实际就是进入了RS网站，向RS申请证书；RS与用户对话后，

57、可以获得用户的申请信息，然后传递给CP,CP与RA进行联系，并从RA处获得用户的身份认证信息后，由CP为用户制作证书，交给RS；当用户再上网要求获取证书时，RS将制作好的证书传给用户。三、三、CACA证书的功管理证书的功管理网络支付的安全技术网络支付的安全技术1234目 录CONTENTS网络支付的安全技术网络支付的安全技术四、四、CACA的组成框架的组成框架CA可以分为RS（证书业务受理中心）和CP(证书制作中心)两部分。RS负责接收用户的证书申请、发放等与用户打交道的外部工作，CP负责证书的制作、记录等内部工作。用户如果要获得数字证书，必须上网，进入CA网站，实际就是进入了RS网站，向RS

58、申请证书；RS与用户对话后，可以获得用户的申请信息，然后传递给CP,CP与RA进行联系，并从RA处获得用户的身份认证信息后，由CP为用户制作证书，交给RS；当用户再上网要求获取证书时，RS将制作好的证书传给用户。网络支付的安全技术网络支付的安全技术 RA RA的作用：的作用：在网上支付中，参与的每家银行都要建立自己的RA。面对众多的用户，光有一个RA是无法完成任务的。因此，RA下必须设立许多业务受理点，接待用户，进行申请登记工作。RA作为身份认证与审核部门，通过专线与各业务受理点连接。各业务受理点接收用户的申请，审查用户的身份证件，通过专线与RA交换信息，完成用户的身份认证工作。网络支付的安全

59、技术网络支付的安全技术证书服务中心证书服务中心 CPCRL/黑名单库黑名单库RSRARA业务业务受理点受理点业务业务受理点受理点业务业务受理点受理点业务业务受理点受理点证书证书用户用户证书证书用户用户证书证书用户用户网络支付的安全技术网络支付的安全技术证书的发放证书的发放证书的发放包括两部分：证书的发放包括两部分：一、证书的申请、制作、发放。一、证书的申请、制作、发放。二、用户的身份认证。二、用户的身份认证。CA(CA(证书服务中心证书服务中心 )完成第一部分工作，完成第一部分工作，RARA（审核受理处）（审核受理处）则完成第二部分工作。对于则完成第二部分工作。对于RA,RA,持卡人持卡人RA

60、RA由发卡银行，商家由发卡银行，商家的的RARA由收单银行等能够认证用户身份的单位来担任。由收单银行等能够认证用户身份的单位来担任。网络支付的安全技术网络支付的安全技术证书的申请流程证书的申请流程一、用户带相关证明到正是业务受理中心RS申请证书；二、用户在线填写证书申请表格和证书申请协议书；三、RS业务人员取得用户申请数据后，与RA中心联系，要求用户身份认证；四、RA下属的业务受理点审核员通过离线方式（面对面）审核申请者的身份、能力和信誉等；五、审核通过后，RA中心向CA中心转发证书的申请要求；六、CA中心响应RA中心的证书请求，为该用户制作、签发证书，并且交给RS；七、当用户再次上网要求获取

61、证书时，RS将制作好的证书传给用户；如果证书介质是IC卡方式，则RS业务人员打印好相关密码信封传给用户，通知用户到相关业务受理点领取；八、用户根据收到的用户应用指南，使用相关的证书业务。网络支付的安全技术网络支付的安全技术网络支付的安全技术网络支付的安全技术网络支付的安全技术网络支付的安全技术国内外主要国内外主要CACA机构机构世界上较早的数字证书认证中心、处于领导地位和全球最大世界上较早的数字证书认证中心、处于领导地位和全球最大的的PKIPKICACA运营商是美国运营商是美国VeriSignVeriSign公司，该公司成立于公司，该公司成立于19951995年年4 4月，位于美国的加利福尼亚

62、州。它为全世界月，位于美国的加利福尼亚州。它为全世界5050个国家提供个国家提供数字证书服务，有超过数字证书服务，有超过4500045000个互联网服务器接受该公司的服个互联网服务器接受该公司的服务器数字证书，使用它提供的个人数字凭证的人数也已经超过务器数字证书，使用它提供的个人数字凭证的人数也已经超过200200万。万。另外一家著名的公司是加拿大的另外一家著名的公司是加拿大的ENTRUSTENTRUST。网络支付的安全技术网络支付的安全技术威瑞信威瑞信提供的服务包括提供的服务包括DNSDNS服务、数字证书、安全服务、支付服务、欺诈检测服服务、数字证书、安全服务、支付服务、欺诈检测服务。务。威

63、瑞信威瑞信的数字信任服务通过域名登记、数字认证和网上支付三大核心业务，在的数字信任服务通过域名登记、数字认证和网上支付三大核心业务，在全球范围内建立起了一个可信的虚拟环境，使任何人在任何地点都能放心地进行数全球范围内建立起了一个可信的虚拟环境，使任何人在任何地点都能放心地进行数字交易和沟通。字交易和沟通。威瑞信威瑞信的的DNSDNS服务的主要业务有管理世界服务的主要业务有管理世界1313台根服务器中的台根服务器中的2 2台（台（A A与与J J）、顶级）、顶级域名中的域名中的和和、北美最大的、北美最大的SS7SS7信号网络中的一个、信号网络中的一个、EPCglobalEPCglobal委托的射

64、委托的射频识别目录。频识别目录。网络支付的安全技术网络支付的安全技术我国安全认证体系我国安全认证体系(CA)可分为可分为金融金融CA与非金融与非金融CA两两种类型来处理。种类型来处理。在金融在金融CA方面，根证书由中国人民银行管理，根认证方面，根证书由中国人民银行管理，根认证管理一般是脱机管理；品牌认证中心采用管理一般是脱机管理；品牌认证中心采用“统一品牌、联统一品牌、联合建设合建设”的方针进行。的方针进行。在非金融在非金融CA方面，最初主要由中国电信负责建设。方面，最初主要由中国电信负责建设。五五.我国认证中心现状我国认证中心现状网络支付的安全技术网络支付的安全技术金融金融CA为为CFCA（

65、中国金融认证中心），系统分为：（中国金融认证中心），系统分为：（1）SET系统系统（2）Non-SET系统。系统。（3）RA系统系统五五.我国认证中心现状我国认证中心现状网络支付的安全技术网络支付的安全技术CFCA的功能：的功能：（1）实体鉴别与验证）实体鉴别与验证（2）确保电子交易的保密性）确保电子交易的保密性（3）支持不可否认性）支持不可否认性（4）密钥历史记录）密钥历史记录（5）密钥备份与恢复）密钥备份与恢复（6）密钥自动更新）密钥自动更新（7）交叉认证）交叉认证五五.我国认证中心现状我国认证中心现状网络支付的安全技术网络支付的安全技术 我国的我国的CACA又可分为又可分为行业性行业性C

66、ACA和区域性和区域性CACA两大类。两大类。行业性行业性CACA：中国金融认证中心（中国金融认证中心（CFCACFCA）和中国电信认证）和中国电信认证中心（中心（CTCACTCA）是行业性）是行业性CACA中影响最大的两家。中影响最大的两家。区域性区域性CACA：大多以地方政府为背景，以公司机制来运作，大多以地方政府为背景，以公司机制来运作，如广东如广东CACA中心（中心（CNCACNCA）、上海）、上海CACA中心中心(SHECA)(SHECA)、深圳、深圳CACA中心中心(SZCA)(SZCA)，其中影响最大的是广东，其中影响最大的是广东CACA中心（中心（CNCACNCA）和上海和上海CACA中心中心(SHECA)(SHECA)。网络支付的安全技术网络支付的安全技术 如果按照技术来源划分，如果按照技术来源划分，CACA中心还可分为中心还可分为引进国外技术引进国外技术与完全自主开发两类。与完全自主开发两类。CFCACFCA和天威诚信属于前者，广东和天威诚信属于前者，广东CACA和上海和上海CACA都属于后都属于后者。者。深圳深圳CACA与广东南海与广东南海CACA CFCACFC