9.2国际上通行的电子支付安全协议（课件）《电子商务基础与应用》（西安电子科技大学出版社）

电子商务基础与应用（第十一版） 第九章 电子支付 主讲人：杨坚争 教授 9.3 国际上通行的电子支付安全协议 9.3.1 SSL安全协议 9.3.2 SET安全协议 1.SSL安全协议的基本概念 SSL安全协议是一种保护Web通信的工业标准，是基于强公钥加密技术以及RSA的专用密钥序列密码，能够对信用卡和个人信息、电子商务提供较强的加密保护。 SSL安全协议最初由Netscape Communication公司设计开发，又叫“安全套接层”(Secure Sockets Layer)协议，其主要目的是提供互联网上的安全通信服务，提高应用程序之间数据的安全系数。 SSL协议的整个概念可以被总结为：一个保证任何安装了安全套接层的客户和服务器间事务安全的协议，它涉及所有TCP/IP应用程序。 9.3.1 SSL安全协议 SSL安全协议主要提供三个方面的服务： 9.3.1 SSL安全协议 认证用户和服务器 加密数据以隐藏被传送的数据 维护数据的完整性 2.  SSL安全协议的运行步骤 9.3.1 SSL安全协议 1 接通阶段 2 密码交换阶段 3 会谈密码阶段 4 检验阶段 5 客户认证阶段 6 结束阶段 9.3.1 SSL安全协议 图9-15 在线支付SSL模式工作流程 9.3.1 SSL安全协议 在线支付 SSL模式 工作流程步骤 身份认证:SSL模式的身份认证机制比较简单，只需付款人与收款人在建立“握手”关系时交换数字证书。 收款人通过支付网关将转账授权传递给其收单行。 付款人建立和收款人之间的加密传输通道之后，将商品订单和信用卡转账授权传递给收款人。 收单行通过信用卡清算网络向发卡行验证授权信息，发卡行验证信用卡相关信息无误后，通知收单行。 .收单行通知收款人电子支付成功，收款人向收单行请款。 3.  SSL安全协议的应用 1999年VISA组织在电子商务领域引入了一种叫3D(3 Domain)的安全协议模型。该模型采用SSL安全机制，其目标是给发卡行提供一个持卡人身份许可的环节，减少使用信用卡进行欺诈的可能性，使所有参与者从中受益，从而提升交易的安全性，最初也称之为3D-SSL，进入21世纪后形成了3D-Secure体系。 9.3.1 SSL安全协议 9.3.1 SSL安全协议 图9-16 3D-Secure的运作流程 1.  SET安全协议运行的目标 9.3.2 SET安全协议 (1) 保证信息在互联网上安全传输，防止数据被黑客或被内部人员窃取 (2) 保证电子商务参与者信息的相互隔离 (3) 解决多方认证问题，不仅要对消费者的信用卡认证，而且要对在线商店的信誉程度认证，同时还有消费者、在线商店与银行间的认证 (4) 保证了网上交易的实时性，使所有的支付过程都是在线的 (5) 仿效EDI贸易的形式，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上 2.SET安全协议涉及的范围 9.3.2 SET安全协议 SET安全协议涉及的对象 消费者 在线商店 收单银行 电子货币 认证中心 9.3.2 SET安全协议 图9-17 SET安全协议的工作原理 3.SET安全协议的工作原理 4.SET协议的缺陷 9.3.2 SET安全协议 (1)协议没有说明收单行给在线商店付款前，是否必须收到消费者的货物接收证书。 (2)商家收到客户发来的经数字签名的订购信息后，就直接向支付网关发送了支付请求，而没有给客户回复一个不可否认的订购应答。 (3)客户的支付指令要由商家转发到支付网关，商家可以将该支付指令保存下来。 (4)由于该协议采用的是先付款后交货的方式进行，也没有对交易过程有时间的限制，如果客户对商家所提供的商品质量不满意或者商家延迟了商品发送的时间甚至不发货给客户，都会对客户造成不利影响。 9.3.2 SET安全协议 商家初始 授权扩展版本 文字内容 文字内容 5.SET协议的最新扩展 SET协议最新扩展 商家初始授权扩展版本 在线个人识别号扩展版本 芯片卡扩展版本 9.4 电子银行支付 9.4.1 我国电子银行的建设与发展 9.4.2 电子银行的特点与主要业务 9.4.3 支付网关 9.4.4 电子银行的监管 9.4.1 我国电子银行的建设与发展 1996年 中国第一家上网的银行是中国银行 1997年 招商银行在互联网上推出了自己的网上转账业务，在国内引起极大反响。 1998年 中国银行和世纪互联有限公司首次通过互联网进行了资金转移，开创了中国网上支付的先河。 9.4.2 电子银行的特点与主要业务 电子银行的定义 又称网络银行、虚拟银行，是指通过互联网或公共计算机通信网络提供金融服务的银行机构。 电子银行业务的定义 商业银行等银行业金融机构利用面向社会公众开放的通信通道或开放型公众网络，以及银行为特定自助服务设施或客户建立的专用网络，向客户提供的银行服务。 9.4.2 电子银行的特点与主要业务 功能丰富 电子银行综合客户的多种需求，提供多种类型的金融服务，如信用卡、储蓄、投融资、理财、信息服务等。 操作简单 网上银行可以以登录卡为主线，可为不同类型的账户申请不同功能，并可在线对各种账户的各项功能进行修改。 跨越时空 电子银行可以提供跨区域和全天候的服务，超越了传统银行受时间、地点、人员等多方面的限制。 信息共享 电子银行通过互联网可以更广泛地收集和分析最新的金融信息，并以快捷便利的方式传递给电子银行的各个客户，从而大大减少了信用风险和道德风险。 1.特点 18 9.4.2 电子银行的特点与主要业务 电子银行业务 利用计算机和互联网开展的银行业务 利用电话等声讯设备和电信网络开展的银行业务 利用移动电话和无线网络开展的银行业务 其他利用电子服务设备和网络，由客户通过自助服务方式完成金融交易的银行业务 9.4.2 电子银行的特点与主要业务 图9-18 电子银行运作的基本流程 银行使用支付网关可以实现以下功能： 配置和安装Internet网络，实现支付。 避免对现有主机系统的修改。 采用直观的用户图形接口进行系统管理。 适应电子支付手段。 通过采用RSA公共密匙加密和SET协议，确保网络交易的安全性。 提供完整的商户支付处理功能。 通过对网上交易的报告和跟踪，对网上活动进行监视。 使网络的支付处理过程与当前支付处理商的业务模式相符，确保商户信息管理上的一致性。 9.4.3 支付网关 9.4.3 支付网关 图9-19 支付网关在网上商城中的应用 9.4.3 支付网关 图9-20 支付网关在电子税务中的应用 9.4.4 电子银行支付业务的监管 随着电子银行业务品种的不断增加和业务量的快速上升，电子银行业务的经营风险也随之扩大。加强电子银行业务的监管，进一步增强商业银行对电子银行业务的风险控制能力，就成为银行监管机构的一项重要任务。 2006年1月，中国银行业监督管理委员会本着积极审慎的发展原则、前瞻性原则和技术风险管理原则，制定颁布了《电子银行业务管理办法》和《电子银行安全评估指引》，为中国电子银行业务的发展提供了基本的管理依据。   ＋ 银行 支付网关 商户网站 客户(消费者) 7. 商户网站更新状态，返回给客户交易结果页面 1. 用户在网站消费 5. 浏览器自动提交交易结果到商户网站 3. 支付网关把客户请求转发到银行支付页面 2. 商户网站向支付网关提交订单 8. 如银行需要后台通知(建设银行)，则交易后发送结果给支付网关更新状态 6. 商户网站自动向支付网关提交交易结果 7. 支付网关更新状态，返回给商户网站 4. 银行返回结果给客户(客户并不可见此页面) 支付网关 信息加密 银行 纳税人 税务系统 CA 身份认证 登录网上商城选择货品 确定货品的数量 下订单，确定订单号 　登录支付网关 进行网上支付 支付成功，等候商家发货 $$