电子商务安全教学课件（共9单元）08安全的网络支付.ppt

第8章 安全的网络支付本章学习目标： 掌握支付系统基本知识； 掌握中国金融认证中心的证书功能； 能够进行初步的支付编程实现网络支付还面临很多挑战：信用不足、知识缺乏、传统支付结算习惯的转变、技术能力问题等8.1 现代化安全支付系统概述 8.1.1 支付系统概述支付系统是由一系列支付工具、程序、有关交易主体、法律规则组成的用于实现货币金融所有权转移的完整体系广义上说，任何在经济中有关支付的工具、手段等均是支付系统的组成部分，如现金、支票、中央银行的票据处理中心及有关票据的法律等狭义上说，支付系统是以计算机网络系统为依托，由一系列交易主体参与的，由一系列相关支付工具、程序、有关法律组成的，用于实现电子资金转账的体系CA信用体系客户：支付工具商家：后台服务器支付网关客户开户行：提供支付工具商家开户行：处理账单银行网络Internet图8.1 网络支付体系的基本构成支付系统面临的主要安全威胁有： （1）系统人员的错误和失误问题2）系统内部员工或外部人员的欺诈行为3）系统内部人员的破坏行为4）系统面临的自然物理破坏5）黑客攻击6）系统员工造成的商业信息泄密7）病毒侵袭8）软件系统自身的缺陷8.1.2 支付信息安全体系架构及安全策略1. 支付信息安全保障体系构成支付信息安全保障的主要内容包括：（1）重大业务应用系统的连续可用性；（2）业务工作责任的不可否认性；（3）业务数据和信息的真实性、完整性；（4）涉及国家秘密和行业敏感信息的保密性；（5）什么人、可以访问什么资源、有什么权限，以及控制授权范围内的信息流向及行为方式等的可控性。

支付信息安全保障体系的建设包括六大体系：（1）安全法律体系它是规范金融机构、个人组织行为的基础，是有效对付犯罪的武器，主要包括法律、法规、条例、合同及社会道德等中华人民共和国电子商务法、中国人民银行法、商业银行法、票据法、票据管理实施办法、支付结算办法、人民币现金管理条例、金融违法处罚条例、人民币银行结算账户管理办法、电子支付指引、大额支付系统业务处理办法、大额支付系统业务处理手续等2）标准规范体系它是信息安全建设的根本依据，也是安全建设过程控制的准则，包括技术标准、建设规范、检测评估标准、知识产权保护及质量评估等标准内容，需要建设严格执行技术标准的系统3）安全组织体系它主要涉及金融信息系统安全的组织结构，是金融信息系统安全的组织保证它包括领导体系、组织管理队伍、人员管理制度等的内容4）安全管理体系它是金融信息系统安全管理工作的基础和制度保障体系它包括操作规程、分级控制、质量控制、安全监控等5）技术支持体系它是指充分运用高新技术，采用安全技术防范措施和技术安全机制建立的现代化技术防范体系，是银行信息系统安全的技术保障体系，主要包括网络控制、内部控制、加密控制、网络保障、设备维护及软件支持等系统。

6）应急服务体系它是应对特殊事件的基础设施，它包括特殊事件处理、快速恢复体系及灾难恢复体系2. 支付信息安全管理策略支付信息安全管理策略可以从七个方面来制定：（1）组织管理；（2）风险管理；（3）技术管理；（4）质量管理；（5）标准化策略；（6）技术策略；（7）应急响应与灾难备份策略8.1.3 中国金融认证中心（CFCA）为了解决网上银行的支付安全性问题，1999年8月30号，中国人民银行牵头，联合中国工商银行，中国农业银行、中国银行、中国建设银行、交通银行、中信实业银行、光大银行、招商银行、华夏银行、广东发展银行、深圳发展银行、民生银行、福建兴业银行、上海浦东发展银行等14家全国性商业银行共同建立了一个国家级权威金融认证机构中国金融认证中心（China Financial Certification Authority）2000年开始试运行，2001年3月投入了正式运行CFCA是国内唯一一家能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构CFCA采用基于PKI技术的双密钥机制，在保证核心加密模块国产化的前提下，通过国际招标建立了具有世界先进水平的认证系统，并通过了国家信息安全产品测评认证中心的安全评测。

CFCA认证系统具有完善的证书管理功能，提供证书申请、审核、生成、颁发、存储、查询、废止等全程自动审计服务目前CFCA具有覆盖全国的认证服务体系，提供多种用途的证书和信息安全服务，支持金融领域及其他各界用户的应用需求，包括网上购物、网上银行、网上证券、网上保险、网上申报缴税、网上购销和其他安全业务等，CFCA证书全面支持电子商务的各种业务运作模式CFCA提供给最终用户的证书有：企业高级证书、企业普通证书、个人高级证书、个人普通证书、Web Server证书和Direct Server证书CFCA证书的功能包括：实体的鉴别、保证保密性、真实性和完整性、支持不可否认性、密钥历史记录、密钥备份和恢复、密钥的自动更新、CRL查询、时间戳和交叉认证8.2 安全网络支付系统的实现8.2.1 3D安全协议1999年，VISA国际组织在电子商务领域引入了3D（3-Domain Secure）安全协议进行支付认证并在欧洲区推行，至2003年已在全球范围内采用了3D安全协议3D安全协议的目标是给发卡行提供一个持卡人身份许可的环节，减少使用VISA卡进行欺诈的可能性，使所有参与者从中受益，从而提升交易安全性能。

3D协议的出现主要是由于SET协议结构复杂、安全门槛设置高、处理速度慢、安装、使用和维护不方便、费用高，所以需要一款实用的新的网上银行交易安全规范3D-Secure协议与SET协议的最大区别在于，3D-Secure协议将电子支付环节的环境作了调整，将原有消费者需要进行的软件下载、安装、认证等繁琐的过程转由银行和商户来进行 1. 3D安全协议的组成3D安全协议涉及5个实体，分别是：持卡人、发卡行、商家、收单行和VISA组织3D安全协议将这5个实体逻辑地分到3个域中发卡行和持卡人属于发卡机构域；中间运行域是使发卡机构域和收单机构域在全球范围内协同运行的系统和功能设施；收单机构域指收单行和商家发卡行认证服务器（ACS）是3D协议中一个重要的组成部分，是发卡机构域的核心部分，安装服务器证书其主要功能是检验某个卡号是否注册了3D安全协议，验证购物者的身份，与商家插件和VISA的目录服务器进行交互该软件应与信用卡后台连接，能够取得持卡人信息 3D安全协议的中间运行域包括：（1）VISA路径服务器；（2）验证历史服务器；（3）VISANET；（4）VISA CA四个部分VISA路径服务器就是VISA目录服务器，是一个基于互联网系统，安装服务器证书，提供发卡行名单，并提供访问该发卡行ACS的URL地址。

VISA路径服务器由VISA运行，可以从商家接收查询某个卡号的请求信息，查询该卡号的发卡行是否在参与3D安全协议的范围内，并将查询认证结果直接反馈给商家，同时还将持卡人验证请求发送给相应的发卡行目录服务器，查询该卡号是否在参加3D安全协议的范围内，再将目录服务器的反馈信息返回给商户验证历史服务器也由VISA运行，安装服务器证书，从ACS接收每一次进行过验证的交易（无论是否已通过验证），保存收到的交易验证记录，验证历史服务器保存的数据有副本可以供收单行和发卡行在发生争议时审计使用VISANET在支付验证后执行传统授权职责从收单行接收授权请求，发给发卡行；提供从发卡行送给收单行的反馈信息；为发卡行和收单行提供清算数据VISA CA负责签发SSL/TLS和服务器证书及提供签名证书和VISA根证书2. 3D安全协议的运作过程（1）持卡人登录商家网站，浏览商品，输入口令及卡号，输入订购信息及支付信息2）商家软件插件通过VISA的目录服务器检查卡号所示的发卡机构是否参与了3D安全协议3）VISA目录服务器将卡号传送给发卡机构的访问控制服务器，通过发卡机构检查认证该卡是否已参与了3D安全协议4）发卡机构的ACS确认该卡是否已参与3D安全协议。

5）VISA目录服务期将发卡机构的ACS的地址告知商家插件6）商家插件将持卡人浏览器定位到ACS，同时附上交易信息等待持卡人进一步确认7）发卡机构的ACS要求持卡人输入用户名和密码8）持卡人向发卡机构中输入用户名和密码9）发卡方的ACS验证密码，产生回应信息，然后将客户重新定位向商家插件；与此同时将有关信息发送给VISA的历史验证服务器10）商家将交易信息提交给收单机构11）收单机构向发卡机构要求授权12）发卡机构通过VISANET向收单机构发送授权13）收单机构将交易回应信息返回到商家14）商家确认交易并向持卡人提供收据3. 3D安全协议的优点和缺点3D安全协议的优点有：（1）对于持卡人来说，简便易行并且可防止信用卡被盗用；（2）对于发卡机构来说，减少了交易争议，提高了商家效率，减少了交易成本，减少了欺诈风险，增强了持卡人和发卡机构间的联系；（3）对于商家来说，能够减少欺诈交易，增加交易量，降低交易争议 3D安全协议的缺点有：（1）由于3D安全协议增加了VISA中间认证的环节，这增加了操作过程的复杂性2）用户ID+口令的简单认证使得交易信息的完整性和不可否认性都不容易得到保证3）3D安全协议的认证过程需要在三个域之间交互认证，时间开销较大。

例如，对商家服务器的操作达到14次，计算量和工作量很大8.2.2 SPA安全认证技术MasterCard组织提出了SPA安全支付应用SPA允许发卡行选择自己的身份验证方式，关注网上银行卡用户身份的验证，并实时检验用户支付指令的有效性，以避免信用卡欺诈SPA的工作流程： 客户端SPA程序检查商户的SPA网页； 客户端从商户的站点读取信息； 客户端SPA程序提示用户输入身份认证信息； 客户端SPA程序将用户的身份认证及交易信息送往发卡行的SPA服务器； 发卡行SPA服务器产生一个Token返回给客户端； 客户端SPA程序填充商户的SPA表单，并带上刚拿到的Token； 商户将支付授权请求和客户Token交给收单行； 收单行将支付授权请求和客户Token通过银行网络交给发卡行； 发卡行检验客户Token的有效性，并将支付授权结果返回给收单行； 收单行将支付交易结果返回给商户；11商户将支付结果及发卡行的支付单据返回给客户8.2.3 FIRST VIRTUAL协议First Virtual产生于1994年，它是唯一的没有使用加密技术的安全的付款系统First Virtual（http:/）系统的安全性是通过向顾客要求一个确认电子邮件来得以保证的。

如果顾客不能在给定的时间范围内用某种代码应答，则订单不会被执行为了防止对信用卡信息的探测，被交换的不是信用卡信息，而是特殊的标识符信用卡需要在First Virtual服务器上存储一次，并且给信用卡号码分配一个虚拟的个人识别号（Virtual PIN），它可用于交易处理用户需要呼叫First Virtual并将信用卡号码告诉它们，但必须经由安全的通道First Virtual采用金融网启动该付款交易First Virtual支付过程：客户先在First Virtual建立一个ID号，并把自己的信用卡号注册，再进行支付1）客户把ID号发给商家；（2）商家连网First Virtual服务器验证ID，合法则发给客户所需的信息；（3）First Virtual服务器用Emai询问客户是否愿意为该交易付款，如果客户回复“同意”，则First Virtual通过用户信用卡的代理获得相应的款项；（4）在90天的延时后，First Virtual服务器将款项转给商家FV系统优点是简单，面向的是有限营业额的商家；缺点是安全保障完全依赖电子邮件体系，3个月的到款时间过长8.2.4 网络支付的安全编程实现当客户在商家网页上选好商品后，商家网站的后台程序就会根据订单号来确定应付金额，商家网在用户请求支付时转到第三方支付网关。