浅谈电子商务中的SET协议

　　

浅谈电子商务中的 SET协议

　　[摘要] 电子商务的实施，其关键是要保证整个商务过程中交易的安全性，其中，安全电子交易协议（SET）是实现安全交易的一项重要保障。本文展示了SET协议的工作流程，介绍了SET中采用的公开密钥加密、双重签名、数字签名、数字信封等主要技术，并解析了这些技术实现安全电子交易的原理。

　　[关键词] 电子商务 安全电子交易 数字信封 数字签名

　　

　　一、引言

　　随着互联网的普及，基于互联网的电子商务得到了长足的发展，成为一种全新的商务模式，被许多经济专家认为是新的经济增长点。但由于电子商务是以网络为基础的，而互联网络具有开放性和无时空性的特点，使得电子商务交易平台具有虚拟和匿名的特性，这就为网络犯罪和电子欺诈提供了温床，所以电子商务安全体系的构建就显得尤为重要。在电子商务安全体系中，电子商务安全协议是完成信息安全交换共同约定的逻辑操作规则，是保证网上交易的机密性、数据完整性、身份的合法性和抗否认性的重要技术，协议是否完备成为它能否提供安全保障的关键。

　　在这些电子商务安全协议中，SET(Secure Electronic Transaction)协议是Visa MasterCard联合其他一些大公司一起推出的基于开放网络的以信用卡为基础的电子商务协议，这个协议得到了CET、IBM、Microsoft、Netscape等大公司的支持，获得了长足的发展，进入了实用性阶段。

　　在开放的因特网上处理电子商务，保证买卖双方传输数据的安全成为电子商务的重要的问题。为了克服SSL安全协议的缺点，满足电子交易持续不断地增加的安全要求，为了达到交易安全及合乎成本效益的市场要求，VISA国际组织及其它公司如Master Card、Micro Soft、IBM等共同制定了安全电子交易（SET：Secure Electronic Transactions）公告。这是一个为在线交易而设立的一个开放的、以电子货币为基础的电子付款系统规范，它采用公钥密码体制和X.509数字证书标准，主要应用于B to C模式中保障支付信息的安全性。SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证，这对于需要支付货币的交易来讲是至关重要的。由于设计合理，SET协议得到了许多大公司和消费者的支持，己成为全球网络的工业标准，其交易形态将成为未来“电子商务”的规范。

　　二、SET协议浅析

　　1.SET协议的描述

　　安全电子交易规范，为在因特网上进行安全的电子商务提供了一个开放的标准。SET主要使用电子认证技术，其认证过程使用RSA和DES算法，因此，可以为电子商务提供很强的安全保护。可以说，SET规范是目

前电子商务中最重要的协议，它的推出必将大大促进电子商务的繁荣和发展。SET将建立一种能在因特网上安全使用银行卡进行购物的标准。安全电子交易规范是一种为基于信用卡而进行的电子交易提供安全措施的规则，是一种能广泛应用于因特网的安全电子付款协议，它能够将普遍应用的信用卡使用起始点从目前的商店扩展到消费者家里，扩展到消费者的个人计算机中。

　　SET安全电子交易协议是一种基于消息流的协议，该协议主要是为了解决用户、商家和银行之间通过信用卡在线支付而设计的，以保证支付信息的机密、支付过程的完整、持卡人的合法身份以及可操作性。SET中的核心技术主要有公开密钥加密、数字签名、数字信封、数字证书等。SET协议的工作原理和流程如下图所示:

?

2. ??? SET协议要达到的的目标主要有五个：???

???（1）保证电子商务参与者信息的相互隔离。客户的资料加密或打包后边过商家到达银行，但是商家不能看到客户的帐户和密码信息；??

??（2）保证信息在因特网上安全传输，防止数据彼黑客或被内部人员窃取；??

???（3）解决多方认证问题，不仅要对消费者的信角卡认证，而且要对在线商店的信誉程度认证，同时还有消费看、在线商店与银行间的认证；??

???（4）保证了网上交易的实时性，使所有的支付过程都是在线的；??

???（5）规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上。

　　 3.SET协议中采用的安全技术

　　SET是在一些早期协议如MasterCard的SEPP以及VISA和Microsoft的STT的基础上合并而成的，它定义了交易数据在卡用户、商家、发卡行、收单行之间的流通过程，也定义了各种支持这些交易的安全功能(数字签名、Hash算法、加密等)。

　　为了进一步加强安全性，SET使用两组密钥对分别用于加密和签名。SET不希望商家得到顾客的账户信息，同时也不希望银行了解到交易内容，但又要求能对每一笔单独的交易进行授权。通过双签名(dual signature)机制将订购信息同账户信息链在一起签名，SET巧妙地解决了这一矛盾。

　　SET将对称密钥的快速、低成本和非对称密钥的有效性完美地结合在一起。考虑网上商店的情况,对于成千上万的消费者和商家在INTERNET交换信息,要对每一个消费者通过某个渠道发放一个密钥,在现实中是不可取的。而用公开密钥,商家生成一个公共密钥对,任何一个消费者都可用商家公开发布的公钥与商家进行保密通信，具体介绍如下。

　　(1)数字信封，SET依靠密码系统保证消息的可靠传输,在SET中,使用DES算法产生的对

称密钥来加密数据,然后,将此对称密钥用接收者的公钥加密,称为消息的“数字信封”,将其和数据一起送给接收者,接收者先用他的私钥解密数字信封,得到对称密钥,然后使用对称密钥解开数据。

　　(2)数字签名，由于公开密钥和私有密钥之间存在的数学关系,使用其中一个密钥加密的数据只能用另一个密钥解开。SET中使用RSA算法来实现。发送者用自己的私有密钥加密数据传给接收者,接收者用发送者的公钥解开数据后,就可确定消息来自于谁，这就保证了发送者对所发信息不能抵赖。

　　(3)双重签名，为了保证消费者的帐号等重要信息对商家隐蔽,SET中采用了双重签名技术。在交易中持卡人发往银行的支付指令是通过商家转发的,为了避免在交易的过程中商家窃取持卡人的信用卡信息,以及避免银行跟踪持卡人的行为,侵犯消费者隐私,但同时又不能

影响商家和银行对持卡人所发信息的合理的验证,只有当商家同意持卡人的购买请求后,才会让银行给商家负费,SET协议采用双重签名来解决这一问题。

　　4.SET协议主要特点

　　(1)信息的保密性。SET的一个重要特点是持卡人的信用卡号码只提供给银行,而商家无法知道信用卡号码。SET利用DES密码算法提供信息的保密性。

　　(2)数据完整性。从持卡人发往商家的支付信息包括订购信息、个人数据及支付指令。SET引入RSA数字签名及Sha-1杂凑函数确保这些消息的内容在传输过程中不被非法更改。

　　(3)持卡人身份的鉴别。SET可以让商家鉴别持卡人是有效信用卡账号的合法用户。SET采用X.509V3数字证书和RSA数字签名达到这一目的。

　　(4)商家的鉴别。SET是持卡人可以鉴别商家真实性,而且可以验证商家能否接受信用卡支付。SET同样采用X.509V3数字证书和RSA数字签名实现这一功能。

　　5.SET协议的安全性分析与总结

　　SET协议主要通过使用密码技术和数字证书方式来保证信息的机密性和安全性，它实现了电子交易的数据完整性、机密性、身份的合法性和不可否认性。

　　数据完整性(Data Integrity) SET协议通过使用Hash函数来保证数据完整性。报文发送后，Hash函数将为之产生一个惟一的报文摘要值，一旦报文中包含的数据被篡改，该值就会改变，从而被检测到，这样就保证了信息的完整性。

　　机密性(Confidentiality)在SET协议下，客户将支付信息PI和订单信息OI进行双重签名商家解密后得到OI，银行解密后得到PI，从而避免了商家访问客户的支付信息。

　　身份验证(Verification Of Identity)身份认证，是电子商务中非常重要的环节，SET协议使用数字证书来确认商家、持卡客户、受卡行和支付网关的身份，为

网上交易提供了一个完整的可信赖的环境。

　　不可否认性(Non-repudiation of Disputed charges) SET协议中数字证书的发布过程也包含了商家和客户在交易中存在的信息，因此，如果客户发出了一个商品的订单，在收到货物后它不能否认发出这个订单，同样，商家以后也不能否认收到过这个订单。

　　三、小结

　　SET协议位于网络的应用层中，安全性较好，是实现安全电子交易的重要保障，它规范了整个商务活动的流程，制定了严格的加密和认证标准，已经成为网上交易安全通信协定的产业标准。但也存在着一些缺陷，如SET涉及的交易参与主体较多，从而导致协议比较复杂，使用成本高，其安全性在某些方面还存在着一些缺陷，这些都是以后需要研究和改进的地方。