SSL协议工作原理
SSL协议处于互联网多层协议集的传输层上，运行在TCP/IP协议之上而在其他高层协议（如HTTP、Telnet、FTP和IMAP等）之下，如图5-1所示。在建立一次SSL连接之前，首先建立TCP/IP连接。SSL协议可以让应用层协议透明地加以应用。运行时，支持SSL协议的服务器可以同一个支持SSL协议的客户机彼此认证自己，还允许这两个机器之间建立安全的加密连接，同时保证信息在传输过程中的完整性。
SSL协议可以分为4个子协议：SSL握手协议、SSL更改密码规程协议、SSL报警协议和SSL记录协议，其中最重要的两个协议是握手协议和记录协议。SSL记录协议定义了数据传送的格式，它位于一些可靠的传输层协议之上（如TCP），用于各种更高层协议的封装。SSL握手协议位于SSL记录协议之上，并被SSL记录协议所封装。它描述建立安全连接的过程，在客户和服务器传送应用层数据之前，该协议允许服务器与客户机之间协商加密算法和会话密钥，完成通信双方的身份验证等功能。
图5-1 SSL协议的分层结构
SSL记录协议
SSL记录协议（Record Protocol）定义了传输的格式，包括记录头和记录数据格式的规定。发送方记录层的工作过程如图5-2所示：
图5-2 记录层的工作过程
1.记录层从上层接收到任意大小的应用层数据块，把数据快分成不超过214字节的分片。
2.记录层用当前的会话状态中给出的压缩算法静分片压缩成一个压缩快，压缩操作是可选的。
3.每个会话都有相应“加密规格”指定了对称加密算法和MAC算法。记录层用指定的MAC算法对压缩块计算MAC，用指定的对称加密算法加密压缩块和MAC，形成密文块。
4.对密文块添加SSL记录头，然后送到传输层，传输层受到这个SSL记录层数据单元后，记上TCP报头，得到TCP数据包。
图5-3 SSL记录协议中数据项的格式
SSL握手协议
图5-4 SSL建立新会话时的握手过程
1）建立新会话时的握手过程
握手协议用于数据传输之前。它可以进行服务器与客户之间的身份鉴别，同时通过服务器和客户协商，决定采用的协议版本、加密算法，并确定加密数据所需的对称密钥，随后采用公钥加密技术产生共享机密信息（例如对称密钥）。每次连接，握手协议都要建立一个会
电子商务安全协议 Xxx （华中科技大学电子与信息工程系，武汉430074） 摘要：随着人类进入以网络为主的信息时代，Internet 的高速发展带来了商业和经济模式的重大变革。基于 Internet 发展起来的电子商务慢慢成为人们进行商务活动的新模式，但是安全问题成为了制约其发展的重要因素。本文简单介绍了电子商务安全的相关问题以及电子商务中的主流安全协议：SSL协议与SET协议，并对两种协议的优缺点进行了一定的比较分析。 关键词：电子商务，安全协议，SSL，SET 1.电子商务安全概述 随着信息技术的迅速发展，人类正进入以网络为主的信息时代，基于Internet发展起来的电子商务慢慢成为人们进行商务活动的新模式。但是，电子商务的安全问题也是制约其发展的重要因素之一，如何建立一个安全、便捷的电子商务应用环境，保证整个电子商务活动中信息的安全性，使基于Internet的电子交易方式与传统交易方式一样可靠。 1.1.电子商务的定义 电子商务是把现有的计算机软件、硬件设备和网络设施，通过一定的协议连接起来的在电子网络环境下进行各种商品买卖的一种新方式。电子商务改变了传统的面对面交易模式，同时在一定程度上打破了时间和地点的限制。虽然电子商务具有快捷性、方便性、不受时间地点的限制、相对传统交易开销小等诸多优点，但是却存在安全性方面的许多隐患。 1.2.电子商务的安全要素 为了保证电子商务在整个商品交易活动中，可以安全顺利的进行，一般来说，需要电子商务的安全系统必须具备以下几个安全要素： 1)有效性：要求电子商务系统可以对信息，交易实体的有效性进行鉴别 2)机密性：保证信息在存取和传输过程中的安全性 3)数据的完整性：即保护数据的完整性，防止有人没有经过授权就对数 据内容进行修改，同时还要保证数据的一致性
5.1.1 SSL协议工作原理 SSL协议处于互联网多层协议集的传输层上，运行在TCP/IP协议之上而在其他高层协议（如HTTP、Telnet、FTP和IMAP等）之下，如图5-1所示。在建立一次SSL连接之前，首先建立TCP/IP连接。SSL协议可以让应用层协议透明地加以应用。运行时，支持SSL协议的服务器可以同一个支持SSL协议的客户机彼此认证自己，还允许这两个机器之间建立安全的加密连接，同时保证信息在传输过程中的完整性。 SSL协议可以分为4个子协议：SSL握手协议、SSL更改密码规程协议、SSL报警协议和SSL记录协议，其中最重要的两个协议是握手协议和记录协议。SSL记录协议定义了数据传送的格式，它位于一些可靠的传输层协议之上（如TCP），用于各种更高层协议的封装。SSL握手协议位于SSL记录协议之上，并被SSL记录协议所封装。它描述建立安全连接的过程，在客户和服务器传送应用层数据之前，该协议允许服务器与客户机之间协商加密算法和会话密钥，完成通信双方的身份验证等功能。 图5-1 SSL协议的分层结构 5.1.2 SSL记录协议 SSL记录协议（Record Protocol）定义了传输的格式，包括记录头和记录数据格式的规定。发送方记录层的工作过程如图5-2所示： 图5-2 记录层的工作过程 1.记录层从上层接收到任意大小的应用层数据块，把数据快分成不超过214字节的分片。 2.记录层用当前的会话状态中给出的压缩算法静分片压缩成一个压缩快，压缩操作是可选的。 3.每个会话都有相应“加密规格”指定了对称加密算法和MAC算法。记录层用指定的
MAC算法对压缩块计算MAC，用指定的对称加密算法加密压缩块和MAC，形成密文块。 4.对密文块添加SSL记录头，然后送到传输层，传输层受到这个SSL记录层数据单元后，记上TCP报头，得到TCP数据包。 图5-3 SSL记录协议中数据项的格式 5.1.3 SSL握手协议 图5-4 SSL建立新会话时的握手过程 1）建立新会话时的握手过程 握手协议用于数据传输之前。它可以进行服务器与客户之间的身份鉴别，同时通过服务器和客户协商，决定采用的协议版本、加密算法，并确定加密数据所需的对称密钥，随后采用公钥加密技术产生共享机密信息（例如对称密钥）。每次连接，握手协议都要建立一个会话。会话中包含了一套可在多次会话中使用的加密安全参数，从而减轻了每次建立会话的负担。然而，必须指出的是，SSL中的每次连接时，在握手协议中产生的对称密钥都是独特的，这种每次更换密钥的方法显然在更大程度上确保了系统的不易攻破性。 根据是否验证对方的证书，SSL的握手过程可以分为以下三种验证模式：客户和服务器都被验证；只验证客户机，不验证服务器，这是Internet上使用最广泛的形式；客户和服务器都不验证，也称为完全匿名模式。SSL握手协议建立一个新的会话的过程如图5-4所示，具体如下： 阶段1：确定一些相关参数，包括协议版本、会话ID、加密规格、压缩算法和初始随机数 （1）客户端发送client_hello消息给服务器，向服务器传送客户端支持的SSL协议的版
一电子支付安全问题分析 社会信用度欠缺,用户对电子支付的安全性信心不足 据《中国电子商务诚信状况调查》显示,有%的企业和26. 34%的个人认为电子商务最让人担心的是诚信问题,电子商务的诚信已经成为公众和企业最关注的问题之一。目前，在网上传得沸沸扬扬的“江西精彩生活”利用传销电子商务“外衣”拉人事件就给了人们不良印象，唐庆南创办开通的太平洋直购官方网站，以“收取保证金”“购物返利”等形式推出了涉及供应商、渠道商、消费者和电子商务平台四方的BMC模式。以“拉人头”“收取入门费”等方式发展渠道商，收取保证金，获取非法利益，造成了严重的社会危害，涉嫌传销违法犯罪。这一案例使得人们对于网上交易又开始望而却步。电子支付产业发展迅速,但市场秩序仍不规范 随着互联网的迅猛发展,网上金融服务在世界范围内部如火如荼地开展了起来。2010年，江西省农村信用社网上银行--“百福网上银行”正式开通，江西省农村信用社发放的百福借记卡数量增长明显，同时积极与第三方机构合作，成功开发多功能受理终端并快速实现投放和应用，有效满足了江西省农村信用社持卡用户和中小商户的支付需求。与以往相比,用户可选择的支付手段和方式丰富了许多。 然而,电子支付的巨大市场前景与目前整体产业环境形成较大落差,造成了这一产业方向不明的现状。目前国内有关法律法规对电子支付的权利和义务规定不清晰,缺乏网络消费和服务权益保护管理规则,没有专门的法律来规范网络银行的经营和使用。特别是在客户信息披露和隐私权保护方面,还缺乏比较成熟的经验。第三方支付企业的法律性质的定位问题;第三方支付企业是否具备向用户提供电子支付服务的资质与能力的问题;银行与第三方支付机构对电子支付过程中应当采取哪些风险防范的问题;在电子支付过程中发生纠纷时责任的划分与举证责任的认定问题等。另外,我国网络银行的信息跟踪、检测、信息报告交流制度的相关法律规则都未建立,在利用网络签订经济合同、提供金融服务和保护银行与客户双方权利的过程中存在诸多尚待改进之处。网络侵权行为和网络信息恶意被盗行为时有发生网络侵权行为主要有: (1)互联网服务提供商(ISP Internet ServiceProvider)的侵权行为。例如:ISP把其客户的邮件转移或关闭,造成客户邮件丢失、个人隐私、商业秘密泄露。 (2)互联网内容提供商( ICP
【实验报告】 实验小组小组成员姓名，组长写到第一位实验名称PC机的安全设置 实验目的1、强化计算机系统安全意识； 2、了解操作系统的安全保护措施； 3、学会使用Windows操作系统中常用的安全设置方法。 实验环境进行实验的PC机硬件配置及Windows操作系统版本 实验设计杨阳：1-4步骤王今喜：5-8步骤包威：9-12步骤 孟云：分析及记录实验结果 详细过程（重点操作环节） 序号操作内容操作流程 1 加密文件或文件夹选中自己要加密的文件夹，右键选择属性，然后在 常规窗口的属性里面选择隐藏。 2 将文件夹设为某账 户的专用文件夹， 禁止其他账户使用1）使用【管理员】账户登录系统。 2）选定某个希望加密的文件夹，比如图片中的ELOGO，单击右键，选择“属性”。 3）单击“属性”中的“安全”选项卡。 4）点击“高级”按钮，选择“更改”。 5）单击“高级”按钮，选择“立即查找”，将用户变更为自己当前的用户名（不记得的先锁定计算机，然后再登陆界面上就能看到自己的用户名了）。然后单击“确定”按钮。 6）点击“确定”按钮，然后在点击“确定”按钮。然后便可看到所有者变成了当前用户。 7）再次单击“确定”按钮，然后再次单击“确定”按钮。 8）重复第2~3步。 9）单击“审核”选项卡后，点击“继续”。 10）然后返回“权限”选项卡。 11）点击“禁用继承”。 12）根据图示操作。 13）单击“User\XXXXXX”，然后单击“编辑”（XXXXXX代表计算机名）。 14）取消勾选所有权限即可。 15）单击三个“确定”按钮即可保存。 3 关闭简单文件共享 功能1）首先点击打开菜单，在开始输入栏中输入“计算机管理”，按下回车键打开“计算机管理”窗口。2）打开窗口后在窗口左边依次找到“计算机管理（本地）”—“系统工具”—“共享文件夹”—“共享”，双击共享即可在右边看到“共享文件夹”。3）接着使用鼠标右键点击默认开启的文件夹，选择“停止共享”即可关闭系统默认共享文件夹。
课程标准 课程代码： 课程名称：电子支付安全编制人：周伟 制订时间：2016-3-01专业负责人： 所属系部：经济贸易系
《电子商务支付与安全》课程标准 适用专业：电子商务专业 课程类别：必修修课方式：理论 +实践 教学时数： 64 学时总学分数： 3.5学分 一、课程定位与课程设计 （一）课程性质与作用 课程的性质：《电子商务支付与安全》是电子商务专业的专业必修课程。 课程的作用：本课程以电子商务企业经营、管理和服务第一线的岗位需求为着眼点讲述电子商务安全基础、电子商务面临的安全问题、电子商务安全技术以及电子商务安全实际应用。通过学习该课程，使学生掌握电子商务安全方面的基本知识，树立电子商务安全意识，具备电子商务安全基本操作技能，培养学生的思维创新能力和实践动手能力，为电子商务企业的电子商务活动提供较为安全的工作环境。 与其他课程的关系：《电子商务概论》是它的前导课程，为整个电子商务 专业打基础；《网站架设与维护》、《网络营销》和《客户关系管理》是它的后 续课程，是电子商务专业从事职业活动的具体行为；而《电子商务安全》起到纽 带和支撑作用。 （二）课程基本理念 课程开发打破传统的教学理念，遵循现代职业教育指导思想，以开发职业能力为课程的目标，课程教学内容的取舍和内容排序遵循职业性原则，课程实施行动导向的教学模式，以实际的电子商务安全交易为载体设计教学过程，逐步培养学生综合能力。 （三）课程设计思路 1、课程设计思路 （1）以培养电子商务师、网络管理员为设计依据确定工作任务； （2）以行动导向教学方法为指导，将课程内容具体化学习情境； （3）以实际的电子商务安全交易为载体设计教学过程； （4）工作任务从易到难，从单个到综合，从浅到深，逐步培养学生综合能力；
(听风阁论坛）电商平台服务协议、交易规则 【总则】 针对XXX科技有限公司所属电子商务平台“(听风阁论坛）”，以下简称平台。在业务开展过程中制定本服务协议、交易规则。为了保障(听风阁论坛）平台各方主体的合法权益，规范各方主体行为，维护商务市场秩序，遵守和维护国家法律法规，制定本方案。 (听风阁论坛）平台所有电子商务活动，适用本方案。本方案所称电子商务活动，是指通过互联网等信息网络销售商品或者提供服务的经营活动。《中华人民共和国电子商务法》对销售商品或者提供服务有规定的，适用其规定。金融类产品和服务，利用信息网络提供新闻信息、音视频节目、出版以及文化产品等内容方面的服务，根据《中华人民共和国电子商务法》相关规定，不适用本方案。 【服务协议】 1、平台将遵循公开、公平、公正的原则，制定平台服务协议和交易规则，明确进入和退出平台、商品和服务质量保障、消费者权益保护、个人信息保护等方面的权利和义务。 2、平台将记录、保存平台上发布的商品和服务信息、交易信息，并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年；法律、行政法规另有规定的，依照其规定。 3、平台将提供明示用户信息查询、更正、删除以及用户注销的方式、程序，不得对用户信息查询、更正、删除以及用户注销设置不合理条件。平台收到用户信息查询或者更正、删除的申请的，应当在核实身份后及时提供查询或者更正、删除用户信息。用户注销的，平台应当立即删除该用户的信息；依照法律、行政法规的规定或者双方约定保存的，依照其规定。 4、平台收集、使用其用户的个人信息，应当遵守法律、行政法规有关个人信息保护的规定。
《电子商务安全与支付》考纲、试题 、答案 一、考试说明 《电子商务安全与支付》是电子商务的分支学科，它主要针对翻新的网络破坏和犯罪形式，新的安全技术不断出现和被采用，有力地保障了电子商务的正常开展，本门课程重点探讨信息系统安全防范技术、虚拟专用网络技术、数据备份与灾难恢复技术、安全交易加密技术、安全交易认证技术、安全交易协议技术等问题，同时涉及交易系统安全管理，介绍电子商务安全的相关法律和电子商务安全解决方案。 本课程闭卷考试，满分100分，考试时间90 分钟。考试试题题型及答题技巧如下： 一、单项选择题（每题2分，共20 分） 二、多选选择题（每题3分，共15 分） 三、名词解释题（每题 5 分，共20 分） 四、简答题（每题9分，共27 分） 答题技巧：能够完整例举出所有答题点，不需要全部展开阐述，适当展开一些，但一定要条理清晰，字迹工整，结构明朗。 五、分析题（每题9 分，共18分） 答题技巧：对所考查的问题进行比较详尽的分析，把握大的方向的同时要尽可能的展开叙述，对问题进行分析，回答问题要全面，同时注意书写流畅、条理清晰。 二、复习重点内容 第1xx 电子商务安全概述 1. 网络攻击的分类（重点掌握）：WEB欺骗、网络协议攻击、IP欺骗、远程攻击
2. 电子商务的安全性需求（了解）：有效性、不可抵赖性、严密性 3?因特网的主要安全协议（了解）：SSL协议、S-HTTP协议、SET协议 4. 数字签名技术、防火墙技术（了解） 第2xx 信息系统安全防范技术、 1 .电子商务的安全性需求（重点掌握）：有效性、不可抵赖性、严密性 2. 计算机病毒按入侵方式分为操作系统型病毒、文件型病毒（了解） 3. 计算机病毒的传播途径（重点掌握）：（1）因特网传播：① 通过电子邮件传播，② 通过浏览网页和下载软件传播，③ 通过及时通讯软件传播；（2）局域网传播；（3）通过不可转移的计算机硬件设备传播；（4）通过移动存储设备传播;（5）无线设备传播。 4. 特洛伊木马种类（重点掌握）：破坏型特洛伊木马、破坏型特洛伊木马、 远程访问型特洛伊木马、常规的计算机病毒的防范措施（重点掌握）：（1）建立良好的安全习惯；（2）关闭或删除系统中不键盘记录型特洛伊木马 5. 需要的服务；（3）经常升级操作系统的安全补丁；（4）使用复杂的密码;（5）迅速隔离受感染的计算机；（6） 安徽专业的防病毒软件进行全面监控；（7）及时安装防火墙 6.防火墙的类型（重点掌握）：包过滤防火强、代理服务器防火墙 7?防火墙的安全业务（重点掌握）：用户认证、域名服务、邮件处理、IP安全保护第 3 章虚拟专用网络技术 1. VPN网络安全技术包括（了解）：隧道技术、数据加解密技术、秘钥管理技术、设备身份认证技术。 2?隧道协议的构成（了解）：PPTP协议、L2TP IPSec/SSTP 第4xx 数据备份与灾难恢复技术
电子商务的支付安全问题S40dxx 电子商务是国际贸易发展的必然趋势，随着国际电子商务环境的规范和完善，中国电子商务企业必然迅猛发展，但电子支付的安全性直接影响电子商务的发展，解决不好，将成为制约电子商务发展最严重的瓶颈。 电子支付系统的各种安全需求依赖于系统的特征和定义在其操作上的信用假设。一般来说,电子支付系统必须具备授权、完整性、保密性、可用性和可靠性，电子支付系统的各种安全需求依赖于系统的特征和定义在其操作上的信用假设。 1．完整性与授权 一个具有完整性的支付系统不允许一个用户在没有另一个用户明确授权的情况下取走资金。为了防止行贿受贿,没有允许,系统也不能接收款项。授权构成支付系统中最重要的环节。支付授权有三种方式:外部授权、口令和签名。 （1）外部授权。在这种方式中,检验方（银行）通知交易的授权方（付款人）,授权方通过一个安全的外部通道（如邮件或电话）同意或否定支付，这是目前用信用卡进行邮汇和电汇的通用方法。任何知道用户信用卡数据的人都可以发起交易,所以合法用户必须检查有关记录并主动地控告非授权交易。如果用户没有在一定时间内（通常为三个月）提出控告,所做交易被默认为有效。 （2）口令授权。对于一个用口令保护的交易,每个从授权方发来的信息需要一个密码检查值,这个值由只有授权方和检验方知道的密码计算得出,而这个密码可以是一个个人标识号（PIN）、一个口令或一个任意形式的共享密码。然而,短的共享PIN ,如一个六位数字很容易遭受攻击,它们本身不能提供高级的安全性,应该只用于控制访问对象智能卡这样的物理标记,因为智能卡采用安全密码机制（如数字签名）执行实际授权。 （3）数字签名。在这种类型的交易中,检验方要求授权方的数字签名。数字签名提供一个原始的非拒绝支付证据,因为只有签名密码的拥有者才能签署有关信息,而知道相应公开密钥的任何人都可以验证签名的真实性。 我国现有的支付方式主要有以下几种： （1）网银支付： 开通了网上银行的卡片进行支付，该方式适用范围广，操作简便； （2）电子现金：是以数据形式存在的现金货币，这种支付方式可以存、取、转让，适用于小额支付，并且可以通过对数字签名的验证来确定此电子货币是否有效，进而实现匿名消费； （3）第三方支付：是具备一定实力和信誉保障的独立机构，采用与各大银行 签约的方式， 提供与银行支付结算系统接口的交易支持平台的网络支付模式，如支付宝平台。 2、我国网上支付的主要流程： 我国目前网上支付方式主要是通过第三方平台还有网上银行进行支付。第三方平台以支付宝为例，不管是通过哪种方式进行支付最终都是通过支付宝平台实现买卖双方的交易，支付宝平台结算支付模式的资金划拨是在平台内部进行，此时划拨的是虚拟的资金。真正的实体资金还需要通过收货后确认收货客户输入自己的支付宝支付密码支付之后的实际支付层来完成。 对于网上银行进行支付，点击立即购买后会出现选择网上银行支付的界面，买家只需要开通银行卡的网上银行即可，点击登录到网上银行付款，然后输入自己的银行卡号和密码就可以完成支付了。 3、网上支付存在的安全问题 （ 1）身份真实性
安全评估实验报告 时间：2011-6-15，14：00-17：30 地点：南一楼803室35号实验台 实验人员：张坤 u200814086 一、试验目的： 首先学习利用工具对本地主机运行状态进行安全评估，分析本地主机安全隐患，并生成相应的报告文件。对系统进行综合评估，发现主机应用服务状态，对外安全隐患。利用X-Scan 扫描系统漏洞并分析，对漏洞进行防御。 将评估结果形成一个完整的评估报告，并对被分析的网络系统提出改进建议，提升其整体安全性。 二、试验步骤： (1) SecAnalyst运行状态评估 通过Secanalyst可以扫描出系统基于进程和文件的安全隐患。 (2) MBSA综合评估 微软设计的基于Windows系统的综合扫描工具。 (3) X-scan攻击扫描评估 X-Scan是完全免费软件，无需注册，无需安装(解压缩即可运行，自动检查并安装WinPCap驱动程序)。采用多线程方式对指定IP地址段(或单机)进行安全漏洞检测，支持插件功能。扫描内容包括：远程服务类型、操作系统类型及版本，各种弱口令漏洞、后门、应用服务漏洞、网络设备漏洞、拒绝服务漏洞等二十几个大类。对于多数已知漏洞，我们给出了相应的漏洞描述、解决方案及详细描述链接，其它漏洞资料正在进一步整理完善中。 (4) MSAT安全评估 微软安全风险评估工具(MSAT)是一种免费工具，它的设计是为了帮助企业来评估当前的IT安全环境中所存在的弱点。它按优先等级列出问题，并提供如何将风险降到最低的具体指导。MSAT是一种用来巩固您计算机安全环境和企业安全的工具，它简便而实惠。它通过快速扫描当前的安全状况来启动程序，然后使用MSAT来持续监测您的基础设施应对安全威胁的能力。 三、实验记录： 1) SecAnalyst运行状态评估报告如下： #T0 SecAnalyst 分析报告版本:0, 4, 0, 47 #操作系统 : Microsoft Windows XP Professional Service Pack 3 (Build 2600) (CHS)
论电子商务安全交易协议(一) 摘要]由于因特网的开放性，在电子商务的发展中，网上交易安全问题成为制约电子商务发展的瓶颈。目前国际上通用的电子商务安全支付协议主要有两个，即SSL协议和SET协议。本文对两种电子支付安全协议进行了详细的介绍，对协议的特点、功能、安全性进行了对比，阐述了两种协议保障电子商务交易安全的过程。 关键词]电子商务安全安全套接层协议安全电子交易协议 在电子商务过程中，买卖双方是通过网络来联系的，因而建立交易双方的安全和信任关系是相当困难的。这样使得电子商务交易双方都面临不同的安全威胁。而电子商务的主要特征是在线支持，为了加强电子商务交易的安全性，需要采用数据加密和身份认证技术，以便营造一种可信赖的电子交易环境。目前有两种安全支付协议被采用，即安全套接层SSL协议和安全电子交易SET协议。 一、安全套接层协议 安全套接层协议SSL(SecureSocketsLayer)是Netscape公司1995年推出的一种安全通信协议。SSL提供了两台计算机之间的安全连接，对计算机整个会话进行了加密，从而保证了信息传输的安全，实现浏览器与Web服务器之间的安全通信，在Internet上广泛应用于处理与金融有关的敏感信息。 SSL协议是一种保护Web通信的工业标准，能够对信用卡和个人信息、电子商务提供较强的加密保护。 1.SSL协议提供安全连接的基本特点 （1）连接是保密的：对于每个连接都有一个惟一的会话密钥，采用对称密码体制（如DES、RC4等）来加密数据； （2)连接是可靠的：消息的传输采用MAC算法（如MD5、SHA等）进行完整性检验；（3)对端实体的鉴别采用非对称密码体制（如RSA、DSS等）进行认证。 2.SSL协议提供的服务 （1)数据和服务器的合法认证。使得用户和服务器能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都有各自的识别号，由公开密钥编排。为了验证用户，SSL协议要求在握手交换数据中做数字认证，以此来确保用户的合法性。 （2)加密数据以便隐藏被传送的数据。SSL协议采用的加密技术既有对称密钥也有公开密钥。具体来说，就是客户机与服务器交换数据之前，先交换SSL初始握手信息。在SSL握手信息中采用了各种加密技术，以保证数据的机密性，防止非法用户破译。 （3)维护数据的完整性。SSL协议采用Hash函数和机密共享的方法，提供完整信息性的服务，来建立客户机与服务器之间的安全通道，使经过处理的业务在传输过程中能够完整、准确地到达目的地。 3.SSL协议的构成 SSL协议分为两层：SSL握手协议和SSL记录协议。 （1)SSL握手协议。SSL握手协议用于在通信双方建立安全传输通道,是在客户机与服务器之间交换信息强化安全性的协议。具体实现以下功能: ①在客户端验证服务器,SSL协议采用公钥方式进行身份认证; ②在服务器端验证客户（可选的）； ③客户端和服务器之间协商双方都支持的加密算法和压缩算法。 ④产生对称加密算法的会话密钥； ⑤建立加密SSL连接。 SSL握手协议最终使双方建立起合适的会话状态信息要素，包括对话标识、对等证书、压缩方法、加密说明、会话密钥等信息。
网络支付安全协议的比较分析 ——SSL和SET的比较 姓名：沈凤芹 班级：09国贸（3）班 学号：2009220115
[摘要]安全协议是目前电子支付技术安全问题中的热点,安全套接层协议(SSL)和安全电子交易协议( SET)是电子商务中支持支付系统的关键技术。文章通过分析这两种协议的工作原理,对两者的特点进行了对比。 [关键词]电子支付安全SSL协议SET协议 网络和信息技术的不断发展和渗透，使得电子商务得到了飞速的发展。然而，电子商务在提供机遇和便利的同时，也面临着一个最大的挑战，即交易的安全问题。其中，安全协议是保证电子商务安全的核心所在。 目前，国内外使用的保障电子商务支付系统安全的协议包括：安全套接层协议SSL （Secure Socket Layer）、安全电子交易协议SET（Secure Electronic Transaction）等协议标准。 SET协议和SSL协议对于研究电子商务的人员来说并不陌生，当今电子商务发展的核心问题是交易的安全性问题，这也是企业应用电子商务最担心的问题，因此如何在开放的公用网上构筑安全的交易模式，一直是人们研究的热点和大家关注的话题，要构筑一个安全的电子交易模式，应满足以下五个方面，这也是OSI规定的五种标准的安全服务： （1）数据保密：防止信息被截获或非法存取而泄密。 （2）对象认证：通信双方对各自通信对象的合法性、真实性进行确认，以防第三者假冒。（3）数据完整性：阻止非法实体对交换数据的修改、插入、删除及防止数据丢失。 （4）防抗抵赖：用于证实已发生过的操作，防止交易双方对发生的行为抵赖。 （5）访问控制：防止非授权用户非法使用系统资源。 迄今为止，国内外已经出现了多种电子支付协议，目前有两种安全在线支付协议被广泛采用，即安全套接层SSL协议和安全电子交易SET协议，二者均是成熟和实用的安全协议。 一、SSL协议 SSL协议一种基于RSA和保密密钥的用于浏览器和Web服务器之间的安全连接技术，是国际上最早应用于电子商务的一种由消费者和商家双方参加的信用卡/借记卡支付协议。 1.SSL协议提供的服务主要有 (1)用户和服务器的合法性认证； (2)加密数据以隐藏被传送的数据； (3)维护数据的完整性，确保数据能完整准确地传输到目的地。 该协议它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用Web Server方式。它包括：服务器认证、客户认证、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。 2.SSL协议的工作流程 (1)接通阶段：客户通过网络向服务商发送连接信息，服务商回应； (2)密码交换阶段：客户与服务器之间交换双方认可的密码，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法； (3)会谈密码阶段：客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器； (4)检验阶段：服务器恢复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。 (5)客户认证阶段：服务器通过数字签名验证客户的可信度； (6)结束阶段：客户与服务商之间相互交换结束的信息。 SSL协议运行的基点是商家对客户信息保密的承诺。从SSL 协议所提供的服务及其工作流程可以看出，该协议有利于商家而不利于消费者。在这种情况下，Visa和MasterCard 两大信用卡公组织制定了SET协议，为网上信用卡支付提供了全球性的标准。
SSL协议工作原理 SSL协议处于互联网多层协议集的传输层上，运行在TCP/IP协议之上而在其他高层协议（如HTTP、Telnet、FTP和IMAP等）之下，如图5-1所示。在建立一次SSL连接之前，首先建立TCP/IP连接。SSL协议可以让应用层协议透明地加以应用。运行时，支持SSL协议的服务器可以同一个支持SSL协议的客户机彼此认证自己，还允许这两个机器之间建立安全的加密连接，同时保证信息在传输过程中的完整性。 SSL协议可以分为4个子协议：SSL握手协议、SSL更改密码规程协议、SSL报警协议和SSL记录协议，其中最重要的两个协议是握手协议和记录协议。SSL记录协议定义了数据传送的格式，它位于一些可靠的传输层协议之上（如TCP），用于各种更高层协议的封装。SSL握手协议位于SSL记录协议之上，并被SSL记录协议所封装。它描述建立安全连接的过程，在客户和服务器传送应用层数据之前，该协议允许服务器与客户机之间协商加密算法和会话密钥，完成通信双方的身份验证等功能。
图5-1 SSL协议的分层结构 SSL记录协议 SSL记录协议（Record Protocol）定义了传输的格式，包括记录头和记录数据格式的规定。发送方记录层的工作过程如图5-2所示：
图5-2 记录层的工作过程 1.记录层从上层接收到任意大小的应用层数据块，把数据快分成不超过214字节的分片。 2.记录层用当前的会话状态中给出的压缩算法静分片压缩成一个压缩快，压缩操作是可选的。 3.每个会话都有相应“加密规格”指定了对称加密算法和MAC算法。记录层用指定的MAC算法对压缩块计算MAC，用指定的对称加密算法加密压缩块和MAC，形成密文块。 4.对密文块添加SSL记录头，然后送到传输层，传输层受到这个SSL记录层数据单元后，记上TCP报头，得到TCP数据包。
电子商务安全与支付 一、单项选择题 . 身份认证的主要目标包括：确保交易者是交易者本人、避免与超过权限的交易者进行交易和_______。 (A) 可信性 (B) 访问控制 (C) 完整性 (D) 保密性答案：B； . 目前最安全的身份认证机制是_______。 (A) 一次口令机制 (B) 双因素法 (C) 基于智能卡的用户身份认证 (D) 身份认证的单因素法答案：A； . 下列是利用身份认证的双因素法的是_______。(A) 电话卡 (B) 交通卡 (C) 校园饭卡 (D) 银行卡答案：D； . 下列环节中无法实现信息加密的是_______。 (A) 链路加密 (B) 上传加密 (C) 节点加密 (D) 端到端加密答案：B； . 基于私有密钥体制的信息认证方法采用的算法是_______。(A) 素数检测 (B) 非对称算法 (C) RSA算法 (D) 对称加密算法答案：D； . RSA算法建立的理论基础是_______。 (A) DES (B) 替代相组合 (C) 大数分解和素数检测 (D) 哈希函数答案：C； . 防止他人对传输的文件进行破坏需要 _______。 (A) 数字签字及验证 (B) 对文件进行加密 (C) 身份认证 (D) 时间戳 答案：A； . 下面的机构如果都是认证中心，你认为可以作为资信认证的是_______。 (A)
国家工商局 (B) 著名企业 (C) 商务部 (D) 人民银行答案：D； . 属于黑客入侵的常用手段_______。 (A) 口令设置 (B) 邮件群发 (C) 窃取情报 (D) IP欺骗答案：D； . 我国电子商务立法目前所处的阶段是_______。(A) 已有《电子商务示范法》(B) 已有多部独立的电子商务法 (C) 成熟的电子商务法体系 (D) 还没有独立的电子商务法答案：D；二、多项选择题 . 网络交易的信息风险主要来自_______。 (A) 冒名偷窃 (B) 篡改数据 (C) 信息丢失 (D) 虚假信息答案：A、B、C； . 典型的电子商务采用的支付方式是_______。(A) 汇款 (B) 交货付款 (C) 网上支付 (D) 虚拟银行的电子资金划拨答案：C、D； . 简易的电子商务采用的支付方式是_______。(A) 汇款 (B) 交货付款 (C) 网上支付 (D) 虚拟银行的电子资金划拨答案：A、B； . 安全认证主要包括_______。 (A) 时间认证 (B) 支付手段认证 (C) 身份认证 (D) 信息认证 答案：C、D； . 在企业电子商务的安全认证中，信息认证主要用于_______。 (A) 信息的可信性 (B) 信息的完整性 (C) 通信双方的不可抵赖性 (D) 访问控制答案：A、B、C； . 数字证书按照安全协议的不同，可分为_______。 (A) 单位数字证书 (B) 个人数字证书 (C) SET数字证书 (D) SSL数字证书答
电子商务安全支付研究(一) 摘要]总结常用的安全电子商务技术，重点讨论各种网络支付方式的流程及支付交易安全准则。 关键词]电子商务网络支付支付交易安全 随着Internet的迅速发展和广泛应用，人们开始习惯于利用开放快捷的网络进行各种采购和交易，从而导致了电子商务的出现，并使其成为业界新热点。电子商务的显著特点就是增加贸易机会，降低贸易成本，简化贸易流程，提高贸易效率。在交易过程中，消费者、商家、企业、中间结构和银行等需要通过Internet网络进行资金的流转，这就需要通过网络支付或电子支付的手段来实现.因此，电子商务活动必然牵涉到支付，安全有效的支付是电子商务的重要环节.从技术上讲，电子商务最关键的问题是如何安全地实现支付功能，并保证交易各方的安全保密。因此，支付安全是整个电子商务安全的瓶颈。 一、电子商务对网上支付安全性的要求 网上支付涉及到大量资金流的转移以及个人隐私或商业机密，而这种支付是发生在开放性程度非常高的互联网，未经保护的支付数据极易被竞争对手获取，造成严重损失。一个安全的支付系统至少应具备以下基本功能： 1.数据保密：交易过程中产生的与支付有关的数据应该被严格保密，除交易双方以及被授权第三方外，均无法（或很难）看懂交易数据，保护交易的私密性。 2.数据完整：支付数据在网络上传输过程中的完整性和有效性，即发送方发出的数据与接收方收到数据应该是相同的、未经更改的。数据输入时的意外差错或欺诈行为，数据传输中信息的丢失、重复、错序、被篡改，都可能导致贸易各方信息的差异。因此，网上交易的信息要能做到确保其完整性，即要求接收者收到的数据与原始数据相同。 3.身份认证：网上支付是在交易双方不见面的情况下进行的，因而保证对方确实是即将要进行的交易的另一方是非常重要的，它将关系到电子商务交易的成败。 4.访问控制：在身份认证完成后，支付系统便可确定此用户有何种权限，这种权限能访问到哪些受保护的数据。 5.审计能力：网上支付数据是非常重要和敏感的，详细记录用户和系统的行为对事后审计的意义无疑是巨大的。 二、网上安全支付技术 1.数据加密技术。数据加密是保证网络通信机密性的常用手段，其基本原理是用基于数学算法的程序和保密的密匙对信息进行编码，生成难以理解的字符串，即把明文变成密文的过程，反之，把密文转变成明文的过程称之为解密。客户在网上支付时，支付数据首先被加密，加密后的数据经过互联网传输到交易的另一方，接受支付方用事先约定好的密匙对加密数据进行解密，就可以实现支付双方机密的信息通信。数据加密不同于信息的隐藏，它的目的并不是不让人看见文字，数据加密只是将信息转化为可见的但看不出意义的字符串。 根据数据加密和解密使用同样的密码与否，有两类加密体制，即对称加密体制（私有密钥加密体制）和非对称加密体制（公开密钥加密体制）。 2.PKI技术。网上支付首先是要确定网上参与交易的各方（如持卡消费户、商户、收单银行的支付网关等）的身份，目前广泛采用的PKI（PublicKeyInfrastructure，公钥基础设施）体系结构采用证书管理公钥，通过第三方可信机构CA(CertificateAuthority)管理公钥，把用户的公钥和用户的其他标识信息捆绑在数字证书中，相应的数字证书（DigitalCertificate）就是代表用户的身份的。通过检查数字证书就可方便的确认对方的身份。另外，PKI体系结构把对称加密体制和非对称加密体制结合起来，实现了密钥的自动管理。 3.数字证书与CA。数字证书是实现网上支付认证的基本技术，可以用来验证用户或网站的身份。利用数字证书提供的功能，可以方便的实现网络数字签名、数字信封，结合数字摘要
《电子商务安全与支付》课程教学大纲 课程名称：电子商务安全与支付 课程类别：专业核心课 每学期学分：2 学分 每学期学时：32 学时 适用对象：电子商务专业 先修课程：计算机应用基础 一、课程性质、教学目的 《电子商务安全与支付》课程为计算机信息管理专业电子商务技术方向的职业选修课，是一门理论性强、实践要求较高的课程，是电子商务技术方向学生的基础学习内容，是培养电子商务管理能力的必备课程。 通过本课程的学习，使学生熟悉网络安全技术、安全协议与认证的内容，了解电子商务支付的法律保障，深入系统地了解电子交易与支付的理论与技术，培养其电子商务实践操作和管理能力。 二、理论教学内容与要求 （一）电子商务支付与安全概述
教学内容: 1．电子商务的含义； 2．电子商务的模式和功能； 3．电子交易和支付的内涵； 4．电子商务安全技术。 教学要求: 1.了解电子商务的含义； 2.掌握电子商务模式和功能、电子交易和电子支付的内涵； 3.熟悉电子商务安全技术。 重点: 1. 电子商务模式和功能； 2. 电子交易和电子支付的内涵。 难点: 1．电子商务安全技术。 教学建议： 1. 注意电子商务支付发展成为导致电子商务发展只要要素之一的原因； 2. 特别注意： （1）电子商务发展的数据和教材上面数据的出入。 （二）电子交易与支付 教学内容: 电子交易的含义； 电子交易的模式； 电子支付； 电子支付系统的功能； 电子支付系统的应用。 教学要求: 了解电子交易的含义； 掌握电子交易模式、电子支付、电子支付系统功能、电子支付系统应用。重点: 电子交易与支付流程； 电子交易系统的功能与应用。 难点:
甲方： 乙方： 鉴于甲方作为零售商、乙方作为供应商，双方存在商品购销／代销关系；鉴于甲方初步开发建设了电子商务交易平台；鉴于双方同意通过电子商务交易平台进行包括订货、补货、退货、销售及库存等信息查询在内的业务活动。 经过友好协商，双方就下列事宜达成一致意见： 一、电子商务交易平台的使用 1．本协议生效后，在系统运行初期，原来的传真联系方式仍然有效，当系统运行一段时期后，经甲方发出通知，将停止原传真往来模式的使用，完全执行本协议的规定。2．甲方每天定时向乙方传送数据信息，乙方应在甲方传送数据信息后的2－3个小时内立即进行反馈：甲方于每天上午、下午分别两次在电子商务交易平台上发布订单等数据信息；乙方在每天下午的和以前进行两次反馈操作。 二、使用要求 1．甲方负责电子商务交易平台系统的维护、运行，提供每天24小时的不间断服务。2．甲方负责对乙方的系统维护人员进行培训，并对乙方在实际操作与运用中的技术问题提供技术咨询服务。 3．乙方应遵守《》，按照该手册的规定登录平台、维护机构信息、进行订单、退货单、对帐单的网上接收、查询和反馈。 4．甲方更新手册应及时通知乙方，乙方应遵守更新后的使用手册。 5．双方应确保数据信息的准确性与及时性。
三、使用环境 1．乙方必须配备一台可以顺利登录互联网的计算机、并配备一名系统维护人员（具体要求见手册）。 2．乙方使用电子商务交易平台时，甲方向乙方提供用户名、密码，乙方应及时更改初始密码，作好用户信息的保密工作。 四、相关费用的支付 乙方应向甲方支付下列费用： 1．系统开通费：签署本协议时，乙方一次性向甲方支付人民币元。 2．系统服务费与培训费：乙方按人民币元／季的标准，于每季度开始5日内向甲方交纳系统服务费与培训费（系统开通第一年，乙方支付系统开通费后免交第一年系统服务费与培训费）。 3．信息共享与使用费：库存、销售等信息的查询与共享功能开通使用后，乙方按当年交易额％的标准，于每年度终了接到甲方通知后5日内向甲方交纳信息共享与使用费。 五、保密一方对另一方的数据信息负有保密义务，不得泄露给第三方（包括各方内部未被授权的人员），并应采取相应的保密措施保证数据信息不被第三方（包括各方内部未被授权的人员）所知悉。否则，应负责赔偿对方因此受到的一切损失与支出的全部费用。各方承担的保密义务不随本合同的终止而终止。 六、违约责任
课程名称电子商务安全技术 实验序号 5 实验项目实验5 电子商务支付系统与安全协议 实验地点综合实验楼303 实验学时 4 实验类型操作（上机） 指导教师叶彩虹实验员邓兆熙 专业电子商务班级 2008级 学号 2008334158 姓名张水计 2011年 11 月 19 日 实验5 电子商务支付系统与安全协议 一、实验目的与要求 了解网上银行的使用；了解电子商务网上交易的流程与原理；了解电子商务网上支付所需注意的安全问题；以及电子钱包、
电子信用卡在网上支付中的功能及使用过程，并思考应如何做好网上支付的安全防范；并通过SET电子钱包进行网上购物的体验，加深对SET协议的理解。 二、实验内容 1、了解银行网上业务，分别登录招商银行http://biz.doczj.com/doc/736562146.html,、中国银行http://biz.doczj.com/doc/736562146.html,、中国工商银行http://biz.doczj.com/doc/736562146.html,、中国建设银行http://biz.doczj.com/doc/736562146.html,的网站，了解其开展的网上个人业务和企业业务，特别是招商的一网通。 2、了解网络银行如何解决网上支付的安全问题。 3、登录淘宝网，了解支付宝，并上网查询目前主要的第三方支付平台有哪些?大的网上商城采用的有哪些网上支付方式? 4、了解手机银行以及其支付方式。 5、了解SET与SSL协议产品的应用领域与解决方案。 三、实验软件 Windows XP ，IE 7 ，个人网上银行专业版等 四、实验步骤 （一）了解银行网上业务 1、登陆招商银行http://biz.doczj.com/doc/736562146.html,、中国银行http://biz.doczj.com/doc/736562146.html,、中国工商银行http://biz.doczj.com/doc/736562146.html,、中国建设银http://biz.doczj.com/doc/736562146.html,行等网址，了解其开展的网上个人业务和企业业务，并通过列表形式比较分析各银行网上业务的特点。 表一银行网上个人业务的比较 分别从：账务查询，网上支付，转账汇款，自助缴费，信用卡，投资理财，证券业务，外汇买卖去比较。 表二银行网上企业业务的比较 分别从存贷款，投资理财，票据，贸易融资，外汇理财，资金划转，资金管理进行比较。 2、试比较以上各家银行的网上业务，哪家最多？各自有什么特色？ （二）请仔细浏览各大网络银行的网上支付功能开通的演示，结合你手中所拥有的信用卡（借记卡），亲自体验，叙述个人网络银行支付模式的流程，将重要步骤的截图，贴在实验报告上。
( 协议范本 ) 甲方： 乙方： 日期：年月日 精品合同 / Word文档 / 文字可改 电子商务交易平台协议(协议范 本) What the parties to the agreement ultimately expect or achieve through the conclusion and performance of the agreement
电子商务交易平台协议(协议范本) 电子商务交易平台协议 甲方：_________ 乙方：_________ 鉴于甲方作为零售商、乙方作为供应商，双方存在商品购销／代销关系；鉴于甲方初步开发建设了_________电子商务交易平台；鉴于双方同意通过_________电子商务交易平台进行包括订货、补货、退货、销售及库存等信息查询在内的业务活动。 经过友好协商，双方就下列事宜达成一致意见： 一、电子商务交易平台的使用： 1．本协议生效后，在系统运行初期，原来的传真联系方式仍然有效，当系统运行一段时期后，经甲方发出通知，将停止原传真往来模式的使用，完全执行本协议的规定。 2．甲方每天定时向乙方传送数据信息，乙方应在甲方传送数据信息
后的2－3个小时内立即进行反馈：甲方于每天上午11：00、下午3：00分别两次在电子商务交易平台上发布订单等数据信息；乙方在每天下午的2：00和5：00以前进行两次反馈操作。 二、使用要求： 1．甲方负责电子商务交易平台系统的维护、运行，提供每天24小时的不间断服务。 2．甲方负责对乙方的系统维护人员进行培训，并对乙方在实际操作与运用中的技术问题提供技术咨询服务。 3．乙方应遵守《_________》，按照该手册的规定登录平台、维护机构信息、进行订单、退货单、对帐单的网上接收、查询和反馈。4．甲方更新手册应及时通知乙方，乙方应遵守更新后的使用手册。5．双方应确保数据信息的准确性与及时性。 三、使用环境： 1．乙方必须配备一台可以顺利登录互联网的计算机、并配备一名系统维护人员（具体要求见手册）。 2．乙方使用电子商务交易平台时，甲方向乙方提供用户名、密码，