潘 山

（江西冶金职业技术学院 机电工程系，江西 新余 338015）

安全电子交易协议的一种改进支付模型研究

潘 山

（江西冶金职业技术学院 机电工程系，江西 新余 338015）

文章从分析原有SET协议支付流程的复杂性出发，将SET的支付流程按客户的安全需要改进为低级SSL、中级SET和高级SET 3种支付级别，较好地解决了原交易过程中需要多方相互认证、复杂度高、维护成本高、交易速度慢等问题。进而在多级安全支付的处理流程上提出一种改进的SET支付模型，为进一步研究电子商务的安全支付问题给出了一个参考。

SET协议；SSL协议；多级安全支付；支付流程；支付模型

随着PC和Internet的快速发展，利用电子手段进行的贸易支付正逐步取代原有的商务支付模式。在为电子支付而设计的诸多支付协议中，由全球两大信用卡公司Visa和MasterCard共同开发的安全电子交易协议（Secure Electronic Transaction，SET）是目前可以实现的电子支付手段中发展比较完善、使用较为广泛的一种电子交易模式。

1997年推出SET规范1.0版本后，大大满足了电子商务交易中的安全需求。因此许多软件开发商，如Microsoft，IBM，HP等相继发布了符合SET标准的安全电子商务产品。而SET协议本身的设计是面向B2C支付模式的，主要针对信用卡（美国标准）来进行网络支付而制定，涵盖了信用卡在电子商务交易中的交易协定、信息保密、资料完整性等各个方面。

SET支付系统主要采用了目前成熟的数字证书、公钥密码技术和对称密码技术对参与交易的多方进行身份认证和信息加密，同时利用双重签名技术确保信息在传输过程中不被篡改，以保证信息的真伪。而SET支付模型主要由持卡人、商家、发卡行、收单行、支付网关和认证机构（Certificate Authority，CA）等部分组成，其中CA是SET支付模型中的关键部分，通过CA发放的数字证书相互验证参与者的身份。

1 现有SET协议缺陷分析

SET协议因为使用的是对称以及非对称加密密码技术，在一定程度上保证了在线交易中的信用卡交易安全，并使其与支付应用相结合，因此消费者的在线交易安全性完全能够通过SET协议实现。SET协议在网上交易中的使用，不仅能够确保金融数据信息的保密性和支付过程的完整性，还能够进一步地确认交易过程中的商家、银行以及持卡人身份，因此具有较高的安全性保障。

SET协议因其具有很高的安全性，在一定程度上得到了广泛的应用。

但是，随着电子商务的进一步发展和完善，SET协议的安全和交易流程方面的问题也日益突出。

首先，SET协议中的某些密码体系已被破解，比如SHA-1，MD5等，致使目前的SET交易流程存在着潜在的安全隐患。

其次，SET协议在提供高度安全性的同时是以牺牲它的性能为前提的。比如，SET协议要求在银行网络、商家服务器、顾客的PC机上安装相应的软件，以及SET要求必须向各参与交易的实体发放数字证书，并在支付交易过程中进行参与方的多次相互认证。但是，对于小规模交易，这样的开销就显得非常不值，而且CA为每一个潜在的用户都分发一个证书也是不现实的。因为SET交易的复杂性，使其受到了商家和用户的广泛批评，从而阻碍了SET在电子商务中的进一步发展和应用[1]。

再者，现有的SET支付模型在实际的支付过程中并不完善，不能保证电子交易的原子性。因此某些支付环节需要进一步的完善。

本文主要依据上述的SET协议缺陷分析结果，改进了其中顾客、商家以及支付网关中的信息内容和信息传递流程，使其不仅满足了基本的交易需求，还能够满足和确认商品的原子性和发送的原子性。

2 SET的改进支付模型

针对SET协议在实际支付流程中存在的诸多问题，我们从简化现有复杂的SET支付流程角度出发，提出一种多级安全处理方案的改进支付流程，即将现有的SET的单级安全支付按客户的不同安全需求划分为低级安全套接层（Secure Sockets Layer，SSL）、中级SET和高级SET 3个交易级别[2]。并在此基础上，建立起基于多级安全处理方案的SET改进支付模型。

因此客户在订购商品时，需要按照其安全需求，选择相应的交易级别进行交易支付，从而较好的解决SET支付的复杂性问题。

2.1 改进的SET多级安全支付流程

持卡人和商家之间建立的交易关系是最初的SET消息流，目的是让持卡人得到商家和支付网关的数字证书，确认交易的可行性[3]。因此，改进的SET多级安全支付流程可以是在原有的SET支付流程基础上，将两者的交易关系进行低级SSL、中级SET和高级SET 3级安全划分，此后再针对不同的交易级别应用不同的支付处理手段。SET多级安全支付流程包括购买请求和支付认定两部分，其中购买请求包括商家提供在线商品目录、用户网上选择商品、持卡人填写购物表单和选择安全级别、商家服务器根据用户的安全级别进行处理。支付认定分为低级SSL、中级SET和高级SET 3种支付级别，中级SET支付经过与客户进行SSL验证、高级SET支付经过与客户进SET验证后，3种支付级别再经过商家生成支付请求发送到银行请求支付和支付网关处理商家信息并向支付银行提交支付请求。

改进的SET多级安全支付流程可以归纳如下：

（1）持卡人通过个人PC浏览器查看商家提供的网上目录，选择商品，填写购物表单，同时持卡人选择其适用的安全级别，确定订单签发付款指令，进行初始化请求，此时SET协议开始介入。

（2）在线商家在接受订单后，通过持卡人选择的安全级别进行判断，并进行相应的支付处理，产生响应消息发送给持卡人。如果是低级SSL，则直接利用SSL协议建立SSL连接，向客户端发出验证请求；如果是中级SET，则在商家与持卡人连接时使用SSL协议，而在与银行连接时使用SET协议；如果是高级SET，则使用原先的SET协议进行参与方的相互认证。

（3）商家向持卡人所在的开户行请求支付认可。通过支付网关将支付请求提交收单银行，产生授权请求，请求支付行的支付授权。

（4）商家从持卡人的开户行得到支付授权消息，由银行内部网络进行货款的划拨。

（5）商家发出订购确认信息，同时发出商品或者执行所订购的服务，结束一次网上支付过程。

SET多级支付流程实质上并未从根本改变原有SET的支付流程模式，只是按照客户的不同安全需求对原支付流程进行分解。

2.2 基于多级安全处理方案的SET改进支付模型

SET的多级安全支付流程从一开始就按照持卡人的安全需求，对客户进行了适当的分离，即对安全需求低或者消费金额不大的持卡人采用低级的SSL协议；对安全需求中等的持卡人采用SSL和SET相结合的策略；而对安全需求高的持卡人则依旧采用原有的SET协议[4]。

多级安全支付流程的分析与建立，减少了参与方之间的认证次数，从一定程度上解决了原有SET支付流程中参与方都需反复认证的问题，从而提高了SET支付速度，满足了消费者的不同支付需要。

基于多级安全支付流程方案的SET改进支付模型，就是在原有的SET支付模型基础上充分考虑到低级SSL和中级SET的支付流程，将SSL协议与SET协议创新性地相结合，可以建立商家和客户之间的SSL连接，同时也保证商家和支付银行之间的SET连接，从而进行网上支付处理。而对于高级SET的交易模式，还可以设计一个关于参与交易方的信用评价模块，完善其交易模型，以保证交易的原子性（商品原子性、资金原子性和发送原子性）。

支付模型的主体由持卡人、商家、发卡行、收单行和支付网关组成，其支付流程按多级安全支付流程处理。

3 模型的分析

基于多级安全处理方案的SET改进支付模型，并未改变原有SET的核心支付模型。其主要是将SSL协议加入到SET支付模型中进行结合，按照客户的不同安全需求，选择不同的安全支付策略（低级SSL、中级SET和高级SET）。这种支付模型不仅使得交易的机密性得到了进一步的保证，还因为在一定程度上解决了加密算法的局限性，因此具有更加广泛的应用。

SET中使用的报文交换是非实时的，因此它涉及了多方的交换，而SSL的交换仅仅只是在双方间建立一个面向连接的安全通道，因此两者的相同之处就在于都是使用的RSA公开密钥算法，而从其他方面来说，两者的相似度并不高。

SET协议和SSL协议在现实的支付交易过程中各有长短。对于小额资金交易或者安全需求低的交易，客户和商家之间不必进行繁琐的相互认证。对于中级SET用户，商家和客户之间建立SSL连接，而商家和支付银行之间仍然是SET连接，其中客户只对某个发卡银行的合法用户身份进行验证。对于高级SET用户，依旧选择原有的SET支付模型，对参与方进行相互的身份认证，确保交易安全。

[1]张芳，王晓东，贺炜.一种SET支付模型的改进策略及其性能分析[J].长沙大学学报，2009（5）：28-29.

[2]张蕾.基于SET协议的电子支付平台的分析与设计[J].机械管理开发，2014（6）：11-13.

[3]镡欣，李晓峰.基于SET协议的电子支付系统的模型改进和分析[J].价值工程，2010（12）：169.

[4]任大勇.基于时延Petri网的移动电子支付协议模型[J].计算机与数字工程，2013（10）：1622-1624，1675.

Study on an improved payment model of secure electronic transaction protocol

Pan Shan
(Mechanical and Electrical Engineering Department, Jiangxi Metallurgical Vocational College, Xinyu 338015, China)

Based on the analysis of the complexity of the payment process of the original SET protocol, this article improves the payment flow of the SET according to the customer’s security needs to three levels of payment, namely low-level SSL, medium-level SET and highlevel SET, so as to better solve the problems that multiple parties Mutual authentication, high complexity, high maintenance costs, slow trading and other issues. Furthermore, an improved SET payment model is proposed in the process of multi-level secure payment, which gives a reference for further research on secure payment of e-commerce.

SET protocol；SSL protocol；multi-level secure payment；payment flow；payment model

潘山（1978— ），男，江西新余人，讲师，硕士；研究方向：计算机网络技术。