发信人: rhine (有雨无风), 信区: E_Commerce
标 题: [转载] 剖析SET协议
发信站: 哈工大紫丁香 (Sun Aug 27 17:25:45 2000), 转信
发信人: kea (多多), 信区: E_commerce
发信站: BBS 水木清华站 (Thu Dec 16 00:07:16 1999)
剖析STE协议
陆首群
建立安全认证体系，加强电子证书和密钥的管理工作，对于增强网上交易各方的信任
，提高网上购物和网上交易的安全，控制交易风险，推动电子商务发展是必不可少的。
认证机构的功能
1996年2月1日，Master Card和Visa国际信用卡组织，与技术合作伙伴GTE、Netscape
、IBM、Terisa
Systems、Verisign、Microsoft、SAIC等信息产业的一批跨国公司共同开发了安全电子交
易规范（SET），SET是在开放网络环境中的卡支付安全协议，它采用公钥密码体制（PKI
）和X．509电子证书标准，通过相应软件、电子证书、数字签名和加密技术能在电子交易
环节上提供更大的信任
度、更完整的交易信息，更高的安全性和更少受欺诈的可能性，SET协议用以支持BtoC（
Business to Consumer）这种类型的电子商务模式，即消费者持卡在网上购物与交易的模
式。
B to C模式电子商务网络示意图
1997年2月19日，由Master Card和Visa发起成立SETCO公司，着手建设认证体系，因
为要推动电子商务的发展，首先要验证或识别上网各参与交易活动的主体（如持卡消费者
、商户、收单银行的支付网关）的身份，相应的电子证书（Digital
Certificate）代表他们的身份。电子证书是由具有权威性、公正性的认证机构管理的，
在每次交易活动时还需逐级往上来验证各认证机构电子证书的真伪。各级认证机构是按根
认证机构（Root CA），品牌认证机构（Brand
CA），以及持卡人、商户或收单机支付网关认证机构由上而下按层次结构建立的。
认证机构的最高层（顶层）即根认证机构（Root CA），由SETCO负责管理，其功能为
：
▲生成和安全保存符合SET协议要求的属于根认证机构的公、私密钥；
▲生成和自行签署符合SET协议要求的根证书及其数字签名；
▲处理品牌认证机构的申请，生成、验证品牌证书并在品牌证书上进行数字签名；
▲生成品牌证书撤销清单；
▲支持跨域交叉认证；
▲制定安全认证政策。
由符合SET协议的根认证机构（RCA）作为主要的安全授权，运用软硬件结合的加密技
术，生成惟一的数字签名，不但签在品牌证书上，还预装在客户的电子钱包（Wallet）、
商户的支付服务器（Payment Server）或收单银行的支付网关（Payment
Gateway）的软件中，因此，在证书验证过程中，对根认证机构的证书验证程序来说是离
线操作的。
认证中心的功能
电子证书的颁发是由发卡银行（Issuer）进行的。
根证书由SETCO管理的，而品牌证书或品牌以下证书的管理，在美国是由Visa与
Master Card分别委托Verisign与GTE建立的认证中心进行管理的。
认证中心（品牌及品牌以下证书管理机构，通称CA）的功能：
▲接受最终用户（持卡消费者、商户、收单行支付网关）电子证书的申请，确定是否
接受申请；
▲向申请者颁发（或拒颁）电子证书（通常由发卡行实行）；
▲手工或自动更新电子证书；
▲接受用户关于电子证书的查询；
▲电子证书撤销清单（CRL）管理；
▲电子证书储存归档、备份管理；
▲密钥自动更新；
▲密钥归档、备份和恢复管理；
▲作废过期的密钥管理；
▲历史数据归档；
▲电子签名管理；
▲认证中心（CA）内部管理（含处理认证中心CA与注册机构RA的关系）。
SET协议剖析
图2为SET购买程序，图3为SET交易程序，表1为SET交易过程统计表。
由表1统计可知，在完成一个SET协议交易过程中，需验证电子证书9次，验证数字签
名6次，传递证书7次，进行5次签名、4次对称加密和4次非对称加密。完成一个SET协议交
易过程需花费1．5～2分钟，甚至更长的时间（新式小型电子钱包将多数信息放在服务器
上，时间可缩短到10～20
秒）。
由此可知，SET协议过于复杂，使用麻烦，成本高，且只适用于客户具有电子钱包（
Wallet）的场合。
SET的证书格式比较特殊，虽然也遵循X．509标准，但它主要是由Visa和Master Card
开发并按信用卡支付方式定义的。实际上银行的支付业务不仅仅是卡支付业务，而SET支
付方式和认证结构只适合于卡支付，所以受支付方式的限制。
一般认为，SET协议保密性好，具有不可否认性，SET
CA是一套严密的认证体系，可保证BtoC类型的电子商务安全顺利地进行。事实上安全是相
对的，我们提出电子商务中信息的保密性，要保证支付和订单信息的保密性，即要求商户
只能看到订单信息，支付网关只能解读支付信息。但在SET协议中，虽然账号不会明文传
递，可是事实上大多数
商户都收到了持卡人的账号。另外，SET并未真正提供不可否认性，因此有人把SET交易划
入邮购或电话购物交易一类。SET比MOTO可以提供更多的回款保护。
表1(a) set证书处理操作统计表
传递
验证(次数)
持卡人
1(持卡人签名证书)
3(商户签名证书2，网关加密证书1)
商户
5(持卡人签名证书1，网关加密证书1，商户加密证书1)
3(持卡人签名证书1，网关加密证书1，网关签名证书1)
网关
1(网关签名证书1)
3(持卡人签名证书1，商户签名证书1，商户加密证书1)
表1(b) set签名处理操作统计表
签名(次数)
验证(次数)
持卡人
1
2(商户签名)
商户
3
2(持卡人签名，网关签名)
网关
1
2(持卡人签名，商户签名)
表1(c) set加密操作统计表
加密(次数)
解密(次数)
对称
非对称
对称
非对称
持卡人
1(商户、网关)
1(商户、网关)
商户
1(网关)
1(网关)
2(持卡人、网关)
2(持卡人，网关)
网关
2(商户)
2(商户)
2(持卡人，商户)
2(持卡人，商户)
图2 SET购买程序
图3 SET交易程序
--
使 生 如 夏 花 之 绚 烂，死 如 秋 叶 之 静 美。
--
☆ 来源:．哈工大紫丁香 bbs.hit.edu.cn．[FROM: rhine.bbs@smth.org]
Powered by KBS BBS 2.0 (http://dev.kcn.cn)
页面执行时间：3.762毫秒