浅析电子商务安全协议

浅析电子商务安全协议

作者：刘彦戎

来源：《中小企业管理与科技·下旬刊》2012年第10期

摘要：电子商务在提供机遇和便利的同时，也面临着一个巨大的挑战，即交易的安全问题。基于对电子商务安全体系的了解IT业界和金融行业一起推出了不少有效的安全措施，本文将从TCP/IP体系结构的角度对电子商务的安全协议进行详细分析。 关键词：电子商务 协议 SSL TLS SET 1 传输层安全协议

1.1 安全套接字层协议（SSL）

安全套接层协议是由网景公司推出的一种安全通信协议，是对计算机之间整个会话进行加密的协议，提供了保密、认证服务和报文完整性。它可以有效的保护信用卡以及个人信息。Netscape Communicator和Microsoft IE浏览器中通常会用到SSL，这样能够更好的进行安全交易操作。SSL中的加密方法包括公开密钥和私有密钥。 1.2 传输层安全协议（TLS）

主要是在两个通信应用程序之间使用安全传输层协议（TLS），从而保证更高的保密性和数据完整性。该协议主要包括TLS 记录协议和TLS握手协议，前者处于较低层，它的位置是在某个可靠的传输协议上面。 ①协议结构

TLS协议包括两个协议组，即TLS记录协议和TLS 握手协议，每组都包括了不少各有差异的格式信息。我们可以将TLS记录协议定义为一种分层协议，每层都会有长度、描述和内容等字段。他可以对接收到的数据进行解密、校验，或者是解压缩、重组等，之后高层客户机会接受以上的信息。TLS连接状态即为TLS记录协议的操作环境，其中包括压缩算法、加密算法和MAC算法。不同大小无空块的连续数据可以通过高层输送到TLS记录层。关于密钥计算方面要注意的有：记录协议在各种算法的协助下，通过握手协议提供的安全参数获得密钥、IV和MAC密钥。 ②TLS握手协议过程

改变密码规格协议；警惕协议；握手协议。 ③TLS记录协议

龙源期刊网 http://www.qikan.com.cn

TLS 记录协议具有连接安全性，这种安全性的特性包括以下两点：

私有，即对称加密用以数据加密。密钥在经过对称加密后，每个连接有一个且仅有一个密钥，而且这个密钥基于另一个协议协商。我们再不加密的时候也能使用记录协议。

可靠，即信息传输包括使用密钥的MAC，能够对信息进行周密的检查。安全功能主要就是为了做好MAC 计算。如果没有MAC，记录协议还是会正常运行，但一般仅仅是在这种模式中是可以的，即有另一个协议正在使用记录协议传输协商安全参数。我们在对各种高层协议进行封装时，可以考虑TLS 记录协议。握手协议属于这种封装协议，在应用程序协议传输和接收其第一个数据字节前，它能让服务器与客户机实现相互认证，加密密钥和协商加密算法。 ④ TLS握手协议

TLS握手协议具有连接安全性，这种安全性的属性包括以下几点：

第一，可以使用非对称的，或公共密钥的密码术对对等方的身份进行认证。此认证体现了一种可选性，但是要强调的是，最少要有一个结点方；第二，共享加密密钥的协商具有安全性。协商加密后，偷窃者就非常不容易再进行偷窃了。要注意的是，连接已经被认证后是不可以再获得加密的，就算是进入连接中间的攻击者也无法做到；第三，协商是可靠的。在未经通信方成员检测的情况下，不管是谁都无法修改通信协商。

总之TLS是保证因特网应用程序通信隐私和数据完整的协议。TLS和SSL的扩展，经常将他们表述为SSL/TLS、SSL/TLS协议由两层组成，即TLS握手协议允许服务和客户端间的认证，以及在传输真实数据前加密算法和沟通密钥。TLS记录协议位于可靠传输协议之上，如TCP。它确认通过数据加密的连接是隐秘和可靠的。TLS记录协议也用来包装更高层协议，人员TLS握手协议。由于服务器客户端都需要进行认证，SSL/TLS可以防御中间人攻击。此外，由于加密数据，它可以防御并截获传输中的数据包。 2 应用层安全协议

2.1 安全电子交易协议（SET）

1996年，美国Visa和MasterCard两个非常知名的信用卡组织，与国际上一些知名的科技机构一起，经过协商提出了应用于Internet上的在线交易安全标准，这一标准主要针对的是以银行卡为基础的在线交易。 ① SET协议的好处

帮助商家制定了保护自己的一些方法，这样就能够保障商家在经营中的安全性，减少商家的运营成本。

龙源期刊网 http://www.qikan.com.cn

对于买方的好处是，SET协议能够保障商家的经营是合法的，而且能够保障用户的信用卡号的安全，SET协议能够帮助买方保护好他们的秘密，让他们能够更加安全的在线进行购物。 使信用卡网上支付的信誉度变得更高，提高竞争力。

SET协议给参与交易的各方设置了互操作接口，不同厂商的产品可以共同使用一个系统。 ② SET协议的不足之处

协议中并未明确的规定收单银行给在线商店付款前，是不是一定要收到买方的货物接受证书，不然如果在线商店的货物没有达到相关的质量标准，买方有疑义时，会出现纠纷。协议未对 “非拒绝行为”进行担保，这说明在线商店并不能证明订购是否是签署证书的买方发出的。SET技术规范并未清楚的规定在事物处理结束后，怎样能够安全地保存这些数据，或者是销毁这类数据。在每一次进行SET协议交易时，协议的使用都是很繁琐的，不是很方便，增加了使用的成本，且只有当客户有电子钱包时才能使用。

SET主要针对的就是用户、商家和银行之间通过信用卡进行的支付交易，目的是更好的保护支付信息的机密，保障支付过程的完整，保护商户及持卡人的合法身份，操作性较好。SET中的核心技术包括公开密钥加密、电子数字签名等。

SET是一种基于消息流的协议，一般都是通过Visa和MasterCard以及其他一些业界主流厂商设计发布，以此来实现公共网络上银行卡支付交易的安全性。在国际方面，SET已经受住了很多次的考验，获得了良好的效果，但很多在Internet上购物的消费者实际上并未真正使用SET。

SET是一种非常复杂的协议，它能够清楚地向我们展现卡支付交易各方之间的各种关系。SET还对加密信息的格式进行了规定，完善了每笔卡支付交易时各方传输信息的规则。实际上，将SET定义为技术方面的协议是很不够的，他还体现了每一方所持有的数字证书的合法性。

2.2 PGP协议

PGP加密技术是一个给予RSA公钥加密体系的邮件加密软件，提出了公共钥匙的加密技术。PGP加密技术创造性地把RSA公钥体系和传统加密体系结合起来，并且在数字签名和密钥认证管理机制上有巧妙的设计，因此PGP成为目前最流行的公钥加密软件包。 2.3 安全超文本传输协议（HTTPS）

SSL的一个普通用途就是浏览器和网页服务的HTTP通信安全。安全模式就是由SSL/TLS发送“无格式”的HTTP协议并依据SSL命名的超文本传输协议。有时将其指定为支持HTTP协

龙源期刊网 http://www.qikan.com.cn

议的扩展HTTPSS。SSL/TLS建立客户端和服务间的安全连接并传输大量数据，HTTPS是为安全传输个人信息而设计的。 参考文献：

[1]《电子商务概论》.贾玢主编.北京交通大学出版社，2009年. [2]《信息安全与通信保密》.2012年第7期.