当前位置：文档之家 › SSL_SET协议及其安全技术

SSL_SET协议及其安全技术

  • 格式：pdf
  • 大小：84.03 KB
  • 文档页数：2

收稿日期:2003-11-22作者简介:王　伟(1972-),男,山东省曹县人,在读硕士,研究方向为计算机科学技术和应用。SSL、SET协议及其安全技术

王　伟

(北京交通大学,北京　100044)

摘　要:在计算机网络安全技术中,安全套接层SSL(SecureSocketsLayer)和安全电子交易SET(Secure

ElectronicTransaction)是电子商务与网上银行领域使用的知名协议。SSL协议的目标是提供两

个应用间通信的保密性和可靠性;SET协议是针对信用卡支付的网上交易而设计的支付规范,主

要是保证了通信信息的加密与安全。

关键词:协议;SSL;SET;安全技术

中图分类号:TP393.09 文献标识码:C 文章编号:1009-1750(2004)01-0122-02

一、引　言

伴随计算机技术和通讯技术的飞速发展,

特别是互联网和

电子商务的崛起,人们的消费习惯、储蓄方式、投资偏好和企业

的经营理念受到深刻影响,由此对传统银行业务造成了强烈的

冲击,也产生了一种新的银行经营方式:网上银行(Internetbank

orE2bank),是指金融机构利用Internet网络技术,在Internet上

开设的银行。这是一种全新的银行客户提交方式,使得用户可

以不受上网方式和时空的限制,只要能够上网,就能够安全便

捷地管理自己的资产和享受到银行的服务。但是网络的发展

也使得网络中的安全问题日趋严重。大量在网络中存储和传

输的数据需要保护,近年来,在网上银行安全较出名的有两个

协议,即已在许多因特网交易中使用的安全套接层SSL和安全

电子交易SET。

二、SSL协议

SSL协议是Netscape公司率先开发、采用的网络安全协议,是在TCP/IP上实现的一种安全协议。SSL协议采

用公开密钥技术,可在服务器和客户机同时实现支持。

SSL协议的低层是SSL记录层,用于封装不同的上层协议。其中一个被封装的协议即SSL握手协议,它可以让

服务器和客户机在传输应用数据之前,协商加密算法和加

密密钥。客户机提出自己能支持的全部算法清单,服务器

选择最适合它的算法。SSL独立于应用协议,因而上层应

用可以迭加在SSL协议上,SSL协议的体系结构如图1:

应　用　层(HTTPIMAP)安全套接层(SSL功能接口)传输控制层(TCP)

图1　SSL协议的体系结构Navigator在第一个版本中就包含了SSL协议,Internet

Exploret从3.0版开始采纳它。把SSL协议集成到浏览器内,能保证客户与所联系的服务器之间的安全会话。当浏览器首次连接至安全Web页时,在初始化阶段,浏览器和服务

器使用握手协议互通安全信息,该协议是SSL的第一部分。

客户端的消息中包含称为会话ID的数字,惟一标识浏览器

与服务器之间的会话。该消息还通知服务器和浏览器所支

持的加密算法、SSL版本以及压缩方法。最后,它还包含由

浏览器产生的随机数。服务器应答的消息中包含选中的压

缩方法和加密算法,它是从浏览器提供的选项中挑选出来

的,消息中还有适当的SSL版本、另一个随机数及可接受的

ID号。此时,客户机和服务器可以交换数字签名,以验证双方的身份。公开密钥仅使用很短一段时间,真正的交易(信

用卡信息)将依靠秘密密钥和加密算法进行加密。

为了实施这种算法,双方必须有统一的秘密密钥,它是

由浏览器产生的。然而,在传送给服务器时,浏览器不是简

单地使用公开密钥加密该主密钥,而是传送次(premaster)

密钥。根据预先商定的协议以及在握手协议中交换的随机

数,服务器能够根据次密钥计算出真正的主密钥,这样可以

避免传输真正的主密钥。一旦该过程结束,浏览器和服务

器都掌握了主密钥,就能够安全通信了。

SSL可提供以下3种基本的安全服务功能:(1)信息加密。SSL所采用的加密技术既有对称密钥技术,如DES;也有公开密钥技术,如RSA。具体来讲,客户

机与服务器在进行数据交换之前,交换SSL初始握手信息,在SSL握手信息中采用了各种加密技术对其加密,以保证

其机密性和数据的完整性,并且用数字凭证进行鉴别。

(2)信息完整。SSL提供完整信息服务,以建立客户机与服务器之间的安全通道,使所有经过SSL协议处理的业

务能全部准确无误地到达目的地。

(3)相互认证。客户机和服务器都有各自的识别号,这些识别号由公开密钥进行编号。为了验证用户是否合法,

SSL协议要求在握手交换数据前进行数字认证,以此来确

保用户的合法性。

要说明的是,SSL协议是一个保证计算机通信安全的

协议,对通信对话过程进行安全保护。例如,一台客户机与

一台主机连接上后,首先是要建立初始化握手协议,然后就

建立了一个SSL对话时段,直到对话结束。SSL协议会对

・221・第23卷第1期2004年2月郑州航空工业管理学院学报(社会科学版)JournalofZhengzhouInstituteofAeronauticalIndustryManagement(SocialScienceEdition)Vol.23No.12004.2

© 1994-2009 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net整个通信过程加密,并且检查其完整性。这样一个对话时

段就作为一次握手,而HTTP协议中的每一次连接就是一

次握手。因此,与HTTP相比,SSL的通信效率会高一些。

三、SET协议

SET协议是由Visa和MasterCard公司在1996年底开发的,是针对信用卡支付的网上交易而设计的支付规范。

它得到了IBM、HP、Microsoft、NetScape等很多大公司的支

持,已成为事实上的工业标准。

SET协议中的角色及其工作流程:(1)持卡人(消费者)。在电子商务环境中,消费者通过计算机与商家交流,持卡人通过由发卡机构颁发的付款卡

(如信用卡、借记卡等)进行结算。在持卡人和商家的会话中,SET协议可以保证持卡人的个人账号信息不被泄露。

(2)发卡机构(持卡人开户银行)。它是一个金融机构,为每个开立了账户的顾客颁发付款卡,保证对每一笔认证

交易的付款。

(3)商家。提供商品或服务时,使用SET协议可以保证持卡人个人信息的安全,接受卡支付的商家必须和银行

有关系。

(4)银行。在线交易的商家在银行开立账号,并且处理支付的认证和支付。发卡机构和银行可为同一机构

。

(5)支付网关(PaymentGateway)。目前,银行的业务系统大都建立在封闭的安全数据网络之上,资金的清算都

是在这个专有网络上进行的。在电子商务中,如果资金从

开放的Internet进入这一封闭的银行业务系统,中间必须

有一套安全的软件把从互连网上传来的信息翻译成后端系

统所能接受的信息,以使两套互不兼容的信息模式在切换

时的安全性得到保证。这一套安全的软件就是支付网关。

支付网关是由银行操作的,将Internet上的传输数据转换

为金融机构的内部数据。

SET协议的工作流程:可从一个完整的购物处理流程来看,如图2所示:

图2　SET协议的工作流程

四、SSL与SET应用之比较

1.从应用的角度来看,SSL协议比SET协议更受欢迎,因为SSL协议已与浏览器集成,从而保证了浏览器与服务

器之间的安全通信。而SET协议只限于在专门的软件上实现。从电子商务应用的角度来看,SSL协议的使用也比SET协

议来得更为广泛。而SET协议本身的产生也只不过是近两年

的事情,虽然发展很快,但不如SSL协议的应用来得广泛。

2.从协议的角度来看,SET协议侧重于机密性和身份认证。SET协议不仅能保证小偷无法窃取信用卡账号,而

且能避免商家的偷窥,保证信用卡的有效性。应该说,SET协议是信用卡的安全支付协议。而SSL协议只是保证从

PC机上的Browser到Sever之间的信息安全性,属于一般的网络安全协议,目的是保证通信的安全性。

SET协议与SSL协议相比主要有以下4个优点:(1)SET协议对商家提供了保护自己的手段,使商家免受欺诈的困扰。

(2)对消费者而言,SET协议替消费者保守了更多的秘密,使其在线购物更加轻松。

(3)银行和发卡机构以及各种信用卡组织如Visa和

MasterCard非常喜爱SET协议,因为SET协议帮助它们

将业务扩展到Internet这个广阔的空间中,从而使得信用

卡网上支付具有更低的欺骗概率,这使得它比其他支付方

式具有更大的竞争力。

(4)SET协议对于参与交易的各方定义了互操作接口,一个系统可以由不同厂商的产品构筑。

提供这些功能的前提是:SET协议要求在银行网络、商

家服务器、顾客的PC上安装相应的软件,这些成为SET协

议被广泛接受的阻碍。另外,SET协议还要求必须向各方

发放证书,这也成为阻碍之一。所有这些使得使用SET协

议要比使用SSL协议复杂得多。SET协议的另外一个优

点在于:它可以用在系统的一部分或者全部。例如,一些商

家正在考虑与银行连接中使用SET协议,而与顾客连接时

仍然使用SSL协议。

五、结束语

总的来讲,SSL协议比较简单,因而其应用也相对较广

泛;SET协议比较复杂,因而在某种程度上也阻碍了其推广

的进程。从安全性角度看,SSL协议不如SET协议安全,对

于使用信用卡支付的系统来说,SET协议则是最好的选择。

毕竟,SET协议是专门针对信用卡支付而设计的协议。所

以从长远来看,SSL协议有局限,不如SET协议安全。而

且,SET协议的重大意义远远超出了其保护卡交易不被偷

窥的能力。将来,由于SET交易的低风险性以及各信用卡

组织的支持,SET协议将在基于Internet的卡支付交易中

占据主导地位。

参考文献:[1]本书编写组.网上银行业务实用手册[M].北京:清华大学出版社,2001.[2]谢希仁.计算机网络(第4版)[M].北京:电子工业出版社,2003.

SSL、SETAgreementandIt’sSecureTechnology

WANGWei

Abstract:Aboutthecomputernetworksecuretechnology,SSL(SecureSocketsLayer)andSET(SecureElec2

tronicTransaction)arefamousagreementusinginsideelectronicbusinessandE2Bank.Theaimof

SSLagreementprovidesecrecyandsecuritybetweentwoapplications’communication.;SETa2

greementwhichisdesignedisforInternettransactionwhichiscompletedbycreditcardpaying,

mostlyensurecommunicatinginformation’ssecrecyandsecurity.

Keywords:

agreement;SSL;SET;securetechnology

・321・王　伟:SSL、SET协议及其安全技术

© 1994-2009 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net

合集下载

浅析电子商务安全协议SSL与SET

浅析电子商务安全协议SSL与SET

浅析电子商务安全协议SSL与SET

一、引言

电子商务融计算机技术、通信技术、网络技术于一体，以Internet为基础平台，互动性、开放性、广泛性为其显著特点。由于其开放性与广泛性，必然面临各种安全风险，如信息泄露或被篡改、欺骗、抵赖等。所以，安全问题已成为发展可信赖电子商务环境的瓶颈。目前，众多的安全技术都是通过安全协议来实施的。因此，简洁、有效的安全协议对电子商务安全而言至关重要。现今，国际上主要通行的两种安全协议：安全套接层协议SSL和安全电子交易协议SET，二者均是成熟和实用的安全协议，但是由于它们的设计目的不同，所以在应用上有很大的差别。

二、两种电子商务安全协议介绍

（一）安全套接层协议SSL

SSL是网景(Netscape)公司提出的基于WEB应用的安全协议，其目的是在Internet基础上提供的一种保证机密性的安全协议。它能使客户端／服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，而且还可选择对客户端进行认证。

SSL协议是国际上最早应用于电子商务的一种网络安全协议，主要用于提高应用程序之间的数据安全。它同时使用对称加密算法和公钥加密算法，前者在速度上比后者要快很多，但是后者可以实现更好的安全认证。一个SSL传输过程首先需要握手：用公钥加密算法使服务器在客户端得到认证，以后就可以使用双方商议成功的对称密钥来更快速的加密、解密数据。 SSL协议要求建立在可靠的传输层协议(例如：TCP)之上。SSL协议的优势在于它是与应用层协议独立无关的。高层的应用层协议(例如：HTTP，FTP)能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。应用层协议所传送的数据都会被加密，从而保证通信的机密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。SSL协议由SSL记录协议和SSL握手协议两部分组成。

ssl协议

ssl协议

SSL安全协议

SSL安全协议最初是由Netscape Communication公司设计开发的，又叫“安全套接层（Secure Sockets

Layer）协议”，主要用于提高应用程序之间的数据的传输安全。SSL协议的整个概念可以被总结为：一个保证安装了安全套接字的客户和服务器间事务安全的协议。

SSL安全协议主要提供三方面的服务：

用户和服务器的合法性认证

认证用户和服务器的合法性，使得它们能够确信数据将被发送到正确的客户机和服务器上。客户机和服务器都是有各自的识别号，这些识别号由公开密钥进行编号，为了验证用户是否合法，安全套接层协议要求在握手交换数据进行数字认证，以此来确保用户的合法性。

加密数据以隐藏被传送的数据

安全套接层协议所采用的加密技术既有对称密钥技术，也有公开密钥技术。在客户机与服务器进行数据交换之前，交换SSL初始握手信息，在SSL握手情息中采用了各种加密技术对其加密，以保证其机密性和数据的完整性，并且用数字证书进行鉴别。这样就可以防止非法用户进行破译。

护数据的完整性

安全套接层协议采用Hash函数和机密共享的方法来提供信息的完整性服务，建立客户机与服务器之间的安全通道，使所有经过安全套接层协议处理的业务在传输过程中能全部完整准确无误地到达目的地。

要说明的是，安全套接层协议是一个保证计算机通信安全的协议，对通信对话过程进行安全保护。例如，一台客户机与一台主机连接上了，首先是要初始化握手协议，然后就建立了一个SSL。对话进段。直到对话结束，安全套接层协议都会对整个通信过程加密，并且检查其完整性。这样一个对话时段算一次握手。而HTTP协议中的每一次连接就是一次握手，因此，与HTTP相比。安全套接层协议的通信效率会高一些。

（1）接通阶段：客户通过网络向服务商打招呼，服务商回应；

（2）密码交换阶段：客户与服务器之间交换双方认可的密码，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法；

SET协议与SSL协议的比较

SET协议与SSL协议的比较

SET协议与SSL协议的比较

一、引言

SET协议（Secure Electronic Transaction）和SSL协议（Secure Socket Layer）是两种常用的安全协议，用于保护网络通信的安全性。本文将对SET协议和SSL协议进行比较，分析它们的优势和劣势，以及适用场景和应用范围。

二、SET协议概述

SET协议是一种用于保护电子商务交易的安全协议。它通过数字证书和加密技术来确保交易的机密性、完整性和身份验证。SET协议的主要特点包括：

1. 双重认证：SET协议使用数字证书对商户和消费者进行身份验证，确保交易的安全性。

2. 加密技术：SET协议使用对称和非对称加密算法来保护交易数据的机密性。

3. 完整性保护：SET协议使用数字签名来验证交易数据的完整性，防止数据被篡改。

三、SSL协议概述

SSL协议是一种用于保护网络通信的安全协议。它通过使用加密技术和数字证书来确保通信的机密性和身份验证。SSL协议的主要特点包括：

1. 加密通信：SSL协议使用对称和非对称加密算法来加密通信数据，确保数据传输的机密性。

2. 数字证书：SSL协议使用数字证书来验证服务器和客户端的身份，防止中间人攻击。 3. 支持多种应用层协议：SSL协议可以应用于多种应用层协议，如HTTP、SMTP等。

四、SET协议与SSL协议的比较

1. 安全性比较：

SET协议在安全性方面更为严格，采用双重认证和数字签名来确保交易的安全性和完整性。SSL协议主要关注通信的安全性，采用加密技术和数字证书来保护通信数据的机密性和身份验证。

2. 适用范围比较：

SET协议主要应用于电子商务交易，对于保护交易数据的安全性有较高要求。SSL协议则可以应用于各种网络通信场景，如网页浏览、电子邮件传输等。

3. 部署复杂度比较：

SET协议的部署相对复杂，需要商户和消费者都安装和配置SET协议相关的软件和证书。SSL协议的部署相对简单，只需要服务器和客户端安装和配置SSL证书即可。

SSL与SET协议的比较

SSL与SET协议的比较

仪规范了整个商务活动的流程，从持卡人到商家，到支付网关，到认证中心以及信用卡结算中心之问的信息流走向都受到严密的保护，并且对采用的加密和认证过程都制定了严密的标准。从而最大限度地保证了商务性、服务性、协调性和集成性的功能。SSI．协议虽然也采用了公钥加密、信息摘要和MAC检测，可以提供保密性、完整性和一定程度的身份鉴别功能，但缺乏一套完整的认证体系，不能提供完备的不可否认功能。SSI。协议只对持卡人与商店端的信息交换进行加密保护，可以看做是用于传输的那部分的技术规范。从电子商务特性来看，它并不具备商务性、服务性、协调性和集成性的功能。因此SET协议的安全性比SSI。协议高。(4)应用领域：SSL协议主要是和Web应用一起：F作，而SET协议是为信用卡交易提供安全。凶此如果电子商务应用只是通过Web或是电子邮件，则可以不要SET协议。但如果电子商务应用是一个涉及多方交易的过程，则使用SET协议更安全、更通用些。但SSI。协议更易被广泛应用，原因在于它被大部分Web浏览器和Web服务器所内置。比较容易被应用。(5)用户接口：SSI，协议已被浏览器和Web服务器内置，无需安装专门软件；而SET协议中客户端需安装专门的电子钱包软件，在商家服务器和银行网络上也需安装相应的软件。(6)处理速度：SET协议非常复杂、庞大，处理速度慢。一个典型的SET交易过程需验证电子证书9次、验证数字签名6次、传递证书7次、进行5次签名、4次对称加密和4次非对称加密，整个交易过程可能需花费1．5～2分钟；而SSI。协议则简单得多，处理速度比SET协议快。(7)TCP／IP协议位置：SSI。协议是基于传输层的通用安全协议，而SET协议位于应用层，对网络上其他各层也有涉及。(8)SET协议和SSI．协议除了都采用RSA公钥算法以外，二者在其他技术方面没有任何相似之处。而RSA算法在二者中也被用来实现不同的安全目标。通过以上分析，我们可以看出，SET协议从技术上和流程上都相对优于SSI。协议，但这是否就意味着未来SET协议就会超过SSI，协议，最后完全取代SSI。协议呢?问题的结论是：不一定。因为虽然SET协议通过制定标准和采用各种技术手段．解决了一直困扰电子商务发展的安全问题，其中包括购物与支付信息的保密性、交易支付完整性、身份认证和不可否认性，在电子交易环节上提供了更大的信任度、更完整的交易信息、更高的安全性和更少受欺诈的可能性，但是由于SE'I、协议成本太高，互操作性差。且实现过程复杂，所以还有待完善。而SSI。协议的自主开发性强，我国很多单位均自主开发了应用128位对称加密·