电子商务支付系统及其网络安全概述

《电子商务支付系统及其网络安全概述》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、电子商务支付系统及其网络安全概述

2、第1内容加载中...电子商务一个基本的问题就是如何通过现有的网络技术如Inter上取款、存款等操作；◆利用银行销售点终端（POS）向客户提供自动的扣款服务，此为现阶段电子支付的主要方式；◆网上支付，即电子支付可随时随地地通过互联网进行直接转帐结算，形成电子商务环境。2．电子商务支付系统分类就现在世界通用的支付系统不下几十种，根据在线传输数据的种类（加密、分发类型），初略可以被分为三类。第一类是使用“信任的三方”（trustedthirdparty）。客户和商家的信息比如银行帐号、信用卡号都被信任的第三方托管和维护。当要实施一个交易的时候，网络上只传送定单信

3、息和支付确认、清除信息，而没有任何敏感信息。实际上通过这样的支付系统没有任何实际的金融交易是在线（on-line）实施的。FirstVirtual典型的信任第三方系统。在这种系统中，网络上的传送信息甚至可以不加密，因为真正金融交易是离线实施的。但是不加密信息，同样可以看成一个系统的缺陷，而且客户和商家必须到第三方注册才可以交易。第二类是传统银行转帐结算的扩充。在利用信用卡和支票交易中，敏感信息被交换。例如，如果客户要从商家购买产品，客户可以通过告知信用卡号以及接收确认信息；银行同时也接收同样的信息，并且响应地校对用户和商家的帐号。如果这样的信息在线传送，必须经过加密处理。著名的CyberC

4、ash和VISA/Mastercard的SET就是基于数字信用卡（DigitalCreditCards）的典型支付系统。这种支付系统，对于BtoC（BusinesstoClients）在线交易是主流，因为现在大部分人，更习惯于传统的交易方式。通过合适的加密和认证处理，这种交易形式，应该比传统的交易更安全可靠，因为交易缺少必要的认证和信息加密处理。第三类是包括各种数字现金（DigitalCash）、电子货币（ElectronicMoneyandElectronicCoins）。和前面的系统不一样，这中支付形式传送的是真正的“价值”和“金钱”本身。前面两种交易中，信息的丢失往往是信用卡号码，被

5、伪造的信息，也只是信用卡号等。而这种交易种偷窃信息，不仅仅是信息丢失，往往也是财产的真正丢失。通过支付手段又可以分为电子信用卡支付、SmartCard支付、电子现金支付、电子支票支付等。3．电子支付系统安全技术电子商务支付信息流动典型结构如图1所示。在图中，信任第三方是CA认证中心。商家和客户都必须到CA得到自己的证书，然后通过CA认证。很明显，各个部分信息传递，必须要经过加密处理；信息和目的，必须经过认证。图1电子商务字符框架在电子商务支付系统中，消费者和商家面临的威胁有：◆虚假定单：假冒者以客户名义订购商品，而要求客户付款或返还商品；◆付款后收不到商品；◆商家发货后，得不到付款；◆机密

6、性丧失：PIN或口令在传输过程中丢失；商家的定单确认信息被窜改；◆电子钱和硬币丢失：可能是物理破坏，或者被偷窃。这个通常给用户带来不可挽回的损失。相应的安全技术有：◆网络安全检测设备（SAFTsuite）◆访问设备（安全认证卡）◆浏览器/服务器软件（支持SSL）◆证书（VeriSign）（PKI-CA、公钥秘钥加密算法）◆商业软件（支持电子支付）◆防火墙（RSA的BSAFE：支持RSA，DES，TripleDES，RC2，RC4等）保护传输线路安全（电磁辐射屏蔽等）◆防入侵措施，IDS，DIDS（入侵检测系统、分布式入侵检测系统）◆数据加密（最基本的安全技术，如链路、节点、端对端加密等）◆

7、访问控制（根据角色访问等控制）◆鉴别机制（报文鉴别、数字签名、终端识别等）◆路由选择机制（阻止不合适的IP访问、DoS攻击防范）◆通信流控制（掩盖通信频度、报文长度、报文形式、报文地址等）◆数据完整性控制（来自正确的发送方、数据传送到正确的接收方）◆端口保护（反端口扫描等）◆病毒木马防范措施4．典型支付系统应用和安全分析4．1中间介质服务和信任第三方支付系统4．1．1FirstVitual支付系统（无敏感信息在网上传送）FirstVitual系统的特点是，操作简单，不需要加密信息。适合小面额的交易。它的购物过程如图2所示：（数字标号，表示信息流动时间顺序。）图2买方，卖方和信任第三方之间的

8、数据流动关系如图3所示：图3FirstVirtual的缺点是，传送的信息都没有加密，身份认证也仅仅处于表面上的帐号验证。首先是必须客户和商家都在第三方上注册；用户容易被别人冒充，同样，第三方发送给用户的帐户确认信息，也可以被冒充者伪造；定单和用户帐号信息，完全暴露。适合的支付范围只是小面额的交易。4．1．2CyberCash（敏感信息信息加密，委托的三方代理）使用CyberCash支付系统，客户端必须先下载CyberCa