◆张元金

电商平台中SET协议的安全模型研究

◆张元金

（广东肇庆广播电视大学 广东 526060）

SET协议是一种以信用卡为基础的安全电子支付协议，它充分发挥了认证中心CA的作用，确保了电子交易过程中的数据的保密性、信息的完整性、身份认证和不可抵赖性，维护了在任何开放网络上的电子商务参与者所提供信息的真实性。分析表明，以SET协议支持的支付流程是非常安全的，因此，它最有可能成为未来电子商务在线支付的主要方式。

SET协议；电子商务；安全；加密；认证

0 前言

随着计算机技术、通信技术、网络技术及智能技术的发展，电子商务业务迅速升温，网上交易数量激增，越来越多的人热心在淘宝网、京东商城、当当网等在线购物。当在线购物带给我们便捷的同时，随之面临的最大挑战是交易安全问题。在电子交易中，商家需要的是消费者订单的真实可靠，消费者需要防止被欺骗和被盗用，交易双方都需要验明对方真实身份。

SET妥善地解决了信用卡在电子商务交易中的交易协议、信息保密、密钥管理以及身份认证等问题。用于保证在公共网络，特别是Internet上进行银行卡支付交易的安全性，能够有效地防止电子商务中的各种诈骗，保障网上购物的安全性。由于SET提供商家和银行的认证，确保交易数据的安全、完整可靠和交易的不可抵赖性等优点，因此目前国内许多网上支付系统都采用SET协议标准。

1 SET协议系统模型

消费者、商家、银行、认证机构经由Internet网和一些网站服务器等构成一个完整的SET协议系统。SET协议系统模型结构如图1所示:

图1 SET协议系统模型

其中:消费者实现发送初始请求和购物请求；商家完成接收初始请求和购物请求等操作；银行实现接收扣款请求、核对持卡人身份等操作；认证机构（CA）实现各方认证等。

2 SET支付处理模型

SET支付处理流程与实物店购物类似，不同之处在于所有操作有赖于网络完成。消费者在银行开设信用卡账户，然后在商家的在线商店查看商品，选择商品后，在图2所示的授权和认证下，实现交易:

图2 SET支付处理模型

2.1 消费者

作为电子交易中的消费者，也就是持卡人，在交易之前，要完成以下的准备工作:

（1）消费者开立账户。首先消费者要在有支持电子支付及SET的银行建立信用卡账户。

（2）消费者收到证书。银行签署的X.509v3数位证书。这个证书用来核对消费者的RSA公开密钥及密钥的有效期限。同时，也建立了消费者的密钥组与信用卡之间的关系，并由银行来保证这个关系。

2.2 商家

电子交易中的商家，也需要办理特约商店证书，接受某家公司的信用卡的特约商店必须拥有两个证书，分别包含一把公开密钥:一个用来签署信息，一个是用在密钥交换。特约商店也要保留一份支付网关的公开密钥证书。

2.3 银行

电子商务中的银行，包括发卡银行和收单银行。

收单银行建立一个特约商店的账户，对信用卡做认证处理与账款的处理。特约商店通常会接受几个不同发卡公司，但不会同时和多个不同的银行卡协会或多个个体发卡银行合作。收单银行会协助特约商店做认证，核对信用卡账户是否有效，以及消费金额是否超出信用额度。

收单银行提供电子转账的服务，它会将消费者支付转到特约商店的账户去。接着，发卡银行会经过某种付费网络，对收单银行补偿其协助电子资金转换所需的费用。

2.4 SET交易流程（1）消费者订购。

（2）特约商店核对。除了订购单，特约商店会发送它们的证书副本，而消费者可以核对所消费的商店是否为合法有效的。

（3）发送订单及支付。消费者将其订单、支付命令与其证书传送给特约商店。这份订单对所支付的款项进行核对。支付中会包含了信用卡的细节。因此支付的信息要经过加密，才不会被特约商店获取其中的重要信息。而消费者的证书可以让特约商店核对消费者身份。

（4）特约商店请求支付认证。特约商店在这个时候会向支付网关传送支付命令，并且请求核对消费者的信用卡是否能支付这笔款项。

（5）特约商店核准订单。特约商店将核准的订单信息传送给消费者。

（6）特约商店提供其货物或服务。将消费者订购的商品装运，或提供给消费者其它服务。

（7）特约商店请求支付。商店将请求支付的消息送到支付网关，支付网关会处理支付工作。

3 SET安全认证技术

SET协议为电子交易提供了许多安全认证技术，它能保证电子交易的机密性，数据完整性，交易行为的不可抵赖性和身份的合法性等。

3.1 加密技术

3.1.1 对称密钥加密

SET协议缺省使用由IBM公司制定的DES（Data Encryption Standard）标准。DES将数据分割成64位的数据块，用56位的密钥对其进行一系列的数学变换后产生密文，然后接收者用同一密钥将密文解译成明文。对称密钥加密的优点时加密、解密效率高，适用于大数据量加密与解密。其缺点是密钥没有安全的传递方式，容易被截获，不能适应大范围应用。

3.1.2 公钥加密技术

公钥加密技术缺点是加密与解密速度慢，比DES算法慢10倍以上。所以它只适用于少量数据的加密和用于对称密钥的传递。RSA的密钥长度可从512bit至2048bit。SET中使用1024bit、2048bit两种长度，以满足不同等级的加密要求。

3.1.3 混合加密技术

采用公钥加密和私钥加密相结合，保证数据的机密性。SET协议中，采用的公钥加密算法是RSA的公钥密码体制，私钥加密算法是采用DES数据加密标准。这两种不同加密技术相结合的办法保证了交易中数据信息的保密性。

3.1.4 Hash算法

Hash算法并不是加密算法，但却能产生信息的数字“指纹”，主要用途是为了确保数据没有被篡改或发生变化，以维护数据的完整性。

Hash算法有三个特征:

（1）能处理任意大小的信息，并生成固定长度（160bit）的信息摘要；

（2）具有不可预见性。信息摘要的大小与原信息的大小没有任何联系。原信息的一个微小变化都会对信息摘要产生很大的影响；

（3）具有不可逆性。没有办法通过信息摘要直接恢复原信息。SET使用SHA1安全Hash算法。关于Hash算法的加密流程如图3所示:

图3 加密流程图

3.2 安全认证技术

3.2.1 数字签名

数字签名是密码学中的重要技术之一，SET协议是通过数字签名方案来保证消息的完整性和进行消息源的认证的。数字签名通过RSA加密算法生成信息摘要，信息摘要是消息通过HASH函数处理后得到的唯一对应于该消息的数值。信息摘要能够提供认证技术，保证消息的来源和完整性。其基本方法是消息的产生者添加一个起签名作用的码字（通过计算消息的散列值，并用其私钥加密散列值来生成签名）。

数字签名应满足以下的要求:

（1）收方能确认或证实发方的签字，但不能伪造；

（2）发方发出签名后的消息，就不能否认所签消息；

（3）收方对已收到的消息不能否认；

（4）第三方可以确认收发双方之间的消息传送，但不能伪造这一过程。

3.2.2 数字信封技术

数字信封技术是用密码技术的手段保证只有规定的信息接受者才能获取信息的安全技术。它克服了秘密密钥中密钥分发的困难和公开密钥加密时间长的问题，它在外层使用公开密钥加密技术，因而获得了公开密钥的灵活性，同时在内层使用对称密钥技术，可以提高加密效率。而且便于在每次传送中使用不同的对称密钥，提供给系统额外的安全保证。

3.2.3 双重签名

SET协议的双重签名技术，是指在一项安全电子商务交易中，持卡人的订购信息和支付指令是相互对应的，商家只有确认了对应于持卡人的支付指令对应的订购信息才能够按照订购信息发货，另外银行也只有确认了与该持卡人支付指令对应的订购信息是真实可靠的才能按照商家的要求进行支付。SET协议采用了双重签名技术来保证消费者的隐私不被侵犯。

总之，SET协议使用数字证书对交易各方的合法性进行验证，使用数字签名技术确保数据完整性和不可否认性。SET协议还使用双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名，使得商家看不到支付信息，只能对用户的订单信息解密，而银行看不到交易内容，只能对支付和帐户信息解密，从而充分保证了消费者的信息安全。

4 结语

电子支付最突出的问题是安全问题。SET通过各种技术手段，解决了一直困扰电子商务发展的安全问题。SET协议能很好地防止数据被非法用户窃取，SET中使用了一种双签名技术保证电子商务消费者信息相互隔离，消费者资料加密后通过商家到达银行，商家看不到消费者的帐户和密码信息；同时能解决多方认证问题，不仅对消费者的信用卡认证，还要对在线商家认证，实现消费者、商家和银行间的相互认证。所以说，以SET协议为基础的电子支付流程每一步都有严格与严谨的规范，并大量利用公开密钥加密法、私有密钥加密法、数字证书、数字摘要、数字签名、双重数字签名等安全技术，确保了包括购物与支付信息的保密性、交易支付的完整性、身份认证和不可抵赖性等，在电子交易环节上提供了更大的信任度、更完整的交易信息、更高的安全性和题名少受欺骗的可能性。因此，SET协议充分发挥了认证中心的作用，维护了在任何开放网络上的电子商务参与者所提供信息，可以说，以SET协议支持的支付流程是安全可靠的，在未来电子商务在线支付中它必将起主要作用。

[1]任大勇.基于时延Petri网的移动电子支付协议模型[J].计算机与数字工程，2013.

[2]谈剑峰.基于动态口令的SET改进及移动支付应用[J].信息安全与通信保密，2013.

[3]黄佳.SET协议形式化分析与模型检测[J].软件，2012.

[4]李小燕，林宏刚.SET协议认证机制的形式化分析[J.计算机与数字工程，2012.

[5]甘早斌，肖仕成，李开.基于四方的安全电子商务支付协议研究[J].计算机科学，2011.

[6]杨风召.电子商务概论［M］.电子工业出版社，2011.

[7]杨林，陈炜.电子商务基础（第五版）［M］，首都经济贸易大学出版社，2012.