第5章 支付技术与金融电子商务

第5章支付技术与金融电子商务内容提纲：电子支付概述安全套接层协议SSL安全电子交易SET协议电子支付工具网上银行电子支付概述安全套接层协议SSL安全电子交易SET协议电子支付工具网上银行第5章支付技术与金融电子商务1、电子支付的定义是指从事电子商务交易的当事人，包括消费者、厂商和金融机构，使用安全电子支付手段通过网络进行的货币支付或资金流转。简单的说，就是电子商务活动中参加交易的一方向另一方付款的过程。电子支付时一种业务过程，而不仅仅是一种技术。在普通的电子商务中就表现为消费者、商家、企业、中间机构和银行等通过Internet网络所进行的资金流转，主要通过信用卡、电子支票、电子现金等方式来实现的。2．电子支付的发展阶段第一阶段是银行利用计算机处理银行之间的业务，办理结算；第二阶段是银行计算机与其他机构计算机之间资金的结算，如代发工资等业务；第三阶段是利用网络终端向客户提供各项银行服务，如客户在自动柜员机（ATM）上进行取、存款操作等；第四阶段是利用银行销售终端（POS）向客户提供自动的扣款服务，这是现阶段电子支付的主要方式；第五阶段是网上支付。通过Internet进行直接转账结算，这是电子支付发展的最新阶段。法律和诚信体系网络基础设施交易主体安全协议金融机构认证体系电子商务平台3、电子支付系统的组成电子支付系统的基本构成客户的开户行：是指客户在其中拥有自己账户的银行，客户所拥有的支付工具一般就是由开户行提供的，客户开户行在提供支付工具的同时也提供了银行信用，保证支付工具的兑付。在信用卡支付体系中把客户开户行称为发卡行。商家开户行：是指商家在其中拥有自己账户的银行。商家将客户的支付指令提交给其开户行后，就由商家开户行进行支付授权的请求以及银行间的清算等工作。商家开户行是依据商家提供的合法账单(客户的支付指令)来操作，因此又称为收单行。支付网关：是银行金融系统和因特网之间的接口，是由银行操作的将因特网上传输的数据转换为金融机构内部数据的设备，或由指派的第三方处理商家支付信息和顾客的支付指令。4、客户电子支付流程1.浏览网站2.选择商品3.填写订单4.选择付款方式5.支付认证6.确认订单7.货物配送8.支付完成电子支付概述安全套接层协议SSL安全电子交易SET协议电子支付工具网上银行第5章支付技术与金融电子商务1安全套接层(SSL)协议安全套接层协议(SecureSocketsLayer)是由Netscape公司开发的为实现网上客户机和服务器之间文件的安全传输而推出的传输层安全协议。利用公开密钥（非对称密钥）技术的SSL协议被广泛用于WEB浏览器和服务器之间的身份认证和加密数据传输。Internet上的安全套接层SSL协议其主要目的就是要解决Web上信息传输的安全顾虑。SSL的工作原理：当一个使用者在Web上用浏览器漫游时，浏览器利用HTTP协议与Web服务器沟通。通过SSL，资料在传送出去之前就自动被加密了，它会在接收端被解密。SSL协议提供的服务可以归纳为如下三个方面：1．用户和服务器的合法性认证2．加密数据以隐藏被传送的数据3．维护数据的完整性2、SSL安全协议的运行过程接通阶段：客户机呼叫服务器，服务商回应客户密码交换阶段：客户与服务器交换密码会谈密码阶段：客户和服务器之间协议确立会话密码验证阶段：验证服务商和客户的可信度结束阶段：客户与服务商双方之间交换结束信息，通信结束SSL协议的工作流程SSL两种加密方式在建立连接过程中采用公开密钥；在会话过程中采用了专有密钥。3、SSL的应用1．单向认证：又称匿名SSL连接，这是SSL安全连接的最基本模式，它便于使用，主要的浏览器都支持这种方式，适合单向数据安全传输应用。在这种模式下客户端没有数字证书，只是服务器端具有证书，以确认用户访问的是自己要访问的站点。2．双方认证：是对等的安全认证，这种模式通信双方都可以发起和接收SSL连接请求。通信双方可以利用安全应用程序（控键）或安全代理软件，前者一般适合于B/S结构，而后者适用于C/S结构，安全代理相当于一个加密/解密的网关，这种模式双方皆需安装证书，进行双向认证。这就是网上银行的B2B的专业版等应用。3．电子商务中的应用。电子商务与网上银行交易不同，因为有商户参加，形成客户――商家――银行，两次点对点的SSL连接。客户，商家，银行，都必须具证书，两次点对点的双向认证。SSL协议SSL安全套接层协议适用于点对点之间的信息传输通过在浏览器软件和．安全电子交易协议(SET)安全电子交易(SecureElectronicTransaction)协议是1997年5月由VISA、MasterCard两大信用卡公司以及IBM等公司共同推出的用于开放网络进行安全资金支付的技术标准初衷是将传统的信用卡交易模式移植到互联网上，同时又保证这种新的交易方式有足够的安全性SET协议要解决（用户）持卡人、商家和银行三角关系的单向或双向的安全数据传输、对方身份认证等一系列安全问题。SET交易分三个阶段进行：第一阶段，在购买请求阶段，用户与商家确定所用支付方式的细节；第二阶段，在支付的认定阶段，商家会与银行核实，随着交易的进展，他们将得到付款；第三阶段，在收款阶段，商家向银行出示所有交易的细节，然后银行以适当方式转移货款。2、SET处理的业务流程客户商家收单银行发卡银行1.选择购买2.支付请求（双重签名）CA认证5.支付响应3.授权请求4.授权响应支付网关审核批准情景设置：王先生要买李小姐的一处房产，他发给李小姐一个购买报价单及对他对银行的授权书的消息，要求银行如果李小姐同意按此价格出卖，则将钱划到李小姐的帐上。但是王先生不想让银行看到报价，也不想让李小姐看到他的银行帐号信息。此外，报价和支付是相连的、不可分割的，仅当李小姐同意他的报价，钱才会转移。思考：1.怎样将购买报价单和银行授权书绑在一起？2.如何限制卖方只能看到购买报价单？3.如何限制银行只能看到银行授权书？双重签名：假设持卡人C从商家M购买商品，他不希望商家看到他的信用卡信息，也不希望银行B看到他有关商品的信息，于是他采用双重签名，流程说明如下：首先C产生发往M的订购信息OI和发往B的支付指令PI，并分别产生OI，PI的摘要H(OI)，H(PI)，用摘要可以检查消息在中途是否被篡改。连接H(OI)和H(PI)得到OP，再生成OP的摘要H(OP)，用C的RSA私钥签名H(OP)，得sign[H(OP)]，称为双重签名。C将消息{OI，H(PI)，sign[H(OP)]}发给M，将{PI，H(OI)，sign[H(OP)]}发给B。在验证双重签名时，接受者分别创建消息摘要，M生成H(OI)，B生成H(PI)，再分别将H(OI)/H(PI)与另一接收到的摘要H(PI)/H(OI)连接，生成OP及其摘要H(OP)’，接受者M/B用C的RSA公钥解开sign[H(OP)]，得到H(OP)，比较H(OP)’与H(OP)是否相同，如果相同，则表示数据完整且未被篡改，如果不同，则丢弃数据。PIHH(PI)OIHH(OI)HH(OP)EDualsignatureKRcPI：支付命令H(PI)：PI消息摘要OI：订单信息H(OI)：OI消息摘要H：哈希函数（SHA-1）H(OP)：支付/订单消息摘要‖：连结E：加密函数（RSA）KRc：用户私钥双重签名的生成过程OP首先生成两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（称为双重签名），然后用签发者的私有密钥加密，为了让接收者验证双重签名，还必须将另外一条消息的摘要一块传过去。这样，任何一个消息的接收者都可以通过以下方法验证消息的真实性：生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘要，如果它与解密后的双重签名相等，就可以确定消息是真实的。因此，如果李小姐同意，它发一个消息给银行表示她同意，另外包括报价单的消息摘要，银行能验证王先生授权的真实性，用王先生的授权书生成的摘要和李小姐消息中的报价单的摘要验证双重签名。银行根据双重签名可以判定报价单的真实性，但却看不到报价单的内容。电子支付概述安全套接层协议SSL安全电子交易SET协议电子支付工具网上银行第5章支付技术与金融电子商务1、电子货币的概念所谓电子货币是指以金融电子化网络为基础，以商用电子化工具和各类交易卡为媒介，以计算机技术为手段，以电子数据（二进制数据）形式存储在银行的计算机系统中，并通过计算机网络系统以电子信息形式传递支付功能的货币。2、电子货币的特征⑴融储蓄，信贷和非现金结算等多种功能为一体。⑵传统货币以实物形式存在，而且形式比较单一，而电子货币则不同，它是一种电子符号，其存在形式随处理的媒体而不断变化⑶电子货币以计算机技术为依托，进行储存，支付和流通，新的技术和设备也引发了电子货币新的业务形式的出现。⑷电子货币的安全性，不是依靠普通的防伪技术，而是通过用户密码、软硬件加、解密系统以及防火墙等网络安全保护功能来实现的。3、电子货币主要具有以下功能：⑴转帐结算功能：直接消费结算，代替现金转帐；⑵储蓄功能：使用电子货币存款和取款；⑶兑现功能：异地使用货币时，进行货币汇兑；⑷消费贷款功能：先向银行贷款，提前使用货币。电子支付的主要方式在电子商务支付体系中，可以将支付方式分为三类：一类是电子货币类，如电子现金、电子钱包等；另一类是电子信用卡类，如信用卡、智能卡、借记卡、电话卡等；还有一类是电子支票、电子汇款等。电子货币常用于小额购物环境，具有安全、匿名、使用方便等特点。电子现金电子现金（E-cash）是一种以电子形式存在的现金货币，又称为数字现金。它把现金数值转换成为一系列的加密序列数，通过这些序列数来表示现实中各种金额的币值。电子现金使用时与纸质现金完全类似，多用于小额支付，是一种储值型的支付工具。客户在开展电子现金业务的电子银行设立账户并在账户内存钱，就可以用其进行购物。电子现金作为以电子形式存在的现金货币，同样具有传统货币的价值度量、流通手段、储蓄手段和支付手段四种基本功能。电子现金的分类电子现金系统根据其交易的载体可分为基于账户的电子现金系统和基于代金券的电子现金系统;根据电子现金在花费时商家是否需要与银行进行联机验证分为联机电子现金系统和脱机电子现金系统;根据一个电子现金是否可以合法的支付多次将电子现金分为可分电子现金和不可分电子现金。电子现金应具有的基本特性1.独立性:电子现金的安全性不能只靠物理上的安全来保证，必须通过电子现金自身使用的各项密码技术来保证电子现金的安全;2.不可重复花费:电子现金只能使用一次，重复花费能被容易地检查出来；3.匿名性：银行和商家相互勾结也不能跟踪电子现金的使用，就是无法将电子现金的用户的购买行为联系到一起，从而隐蔽电子现金用户的购买历史；4.不可伪造性：用户不能造假币，包括两种情况：一是用户不能凭空制造有效的电子现金；二是用户从银行提取N个有效的电子现金后，也不能根据提取和支付这N个电子现金的信息制造出有效的电子现金；5.可传递性：用户能将电子现金像普通现金一样，在用户之间任意转让，且不能被跟踪；6.可分性：电子现金不仅能作为整体使用，还应能被分为更小的部分多次使用，只要各部分的面额之和与原电子现金面额相等，就可以进行任意金额的支付；电子现金系统中使用的密码技术1.分割选择技术:用户在提取电子现金时，不能让银行知道电子现金中用户的身份信息，但银行需要知道提取的电子现金是正确构造的。分割选择技术是用户正确构造Ｎ个电子现金传给银行，银行随机抽取其中的Ｎ-1个让用户给出它们的构造，如果构造是正确的，银行就认为另一个的构造也是正确的，并对它进行签名。2.零知识证明：证明者向验证者证明并使其相信自己知道或拥有某一消息，但证明过程不能向验证者泄漏任何关于被证明消息的