電子商務(wù)安全協(xié)議分析與比較

[摘要] 電子商務(wù)安全問(wèn)題的核心是電子交易的安全性，為了保障電子商務(wù)交易安全，人們開(kāi)發(fā)了各種用于加強(qiáng)電子商務(wù)安全的協(xié)議。當(dāng)前應(yīng)用比較廣泛的電子商務(wù)安全協(xié)議主要有安全套接層協(xié)議SSL、安全電子交易協(xié)議SET和三方域安全協(xié)議3-D secure。文中對(duì)這三種主流協(xié)議進(jìn)行了深入的分析和比較。

[關(guān)鍵詞] 電子商務(wù) 安全協(xié)議 SSL SET 3-D secure

一、引言

隨著互聯(lián)網(wǎng)日益普及，基于Internet的電子商務(wù)已經(jīng)深入到人們生活的方方面面。安全是電子商務(wù)的基石，如何保證電子商務(wù)交易活動(dòng)中信息的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等是電子商務(wù)發(fā)展中迫切需要解決的問(wèn)題。為了保障電子商務(wù)交易安全，人們開(kāi)發(fā)了各種用于加強(qiáng)電子商務(wù)安全的協(xié)議。這些協(xié)議主要有：安全套接層協(xié)議SSL、安全電子交易協(xié)議SET、超文本傳輸協(xié)議SHTTP、3-D secure協(xié)議和安全電子郵件協(xié)議（PEM、S/MIME）等。這其中應(yīng)用最為廣泛的協(xié)議主要有SSL、SET和3-D secure協(xié)議。

二、電子商務(wù)安全協(xié)議

1.安全套接層協(xié)議（SSL）

安全套接層協(xié)議(Secure Socket Layer，簡(jiǎn)稱SSL)是美國(guó)網(wǎng)景公司（Netscape）推出的一種安全通信協(xié)議，其主要設(shè)計(jì)目標(biāo)是在Internet環(huán)境下提供端到端的安全連接。它能使客戶/服務(wù)器應(yīng)用之間的通信不被攻擊者竊聽(tīng)。SSL協(xié)議建立在可靠的傳輸層協(xié)議之上。高層的應(yīng)用層協(xié)議能透明的建立于SSL協(xié)議之上。SSL協(xié)議在應(yīng)用層協(xié)議通信之前就已經(jīng)完成加密算法、通信密鑰的協(xié)商以及服務(wù)器認(rèn)證工作。在此之后應(yīng)用層協(xié)議所傳送的數(shù)據(jù)都會(huì)被加密，從而保證通信的私密性。

2.安全電子交易協(xié)議(SET)

安全電子交易協(xié)議(Secure Electronic Transaction，簡(jiǎn)稱SET)是美國(guó)Visa和MasterCard兩大信用卡組織聯(lián)合于1997年5月31日推出的電子交易行業(yè)規(guī)范，其實(shí)質(zhì)是一種應(yīng)用在Internet上、以信用卡為基礎(chǔ)的電子付款系統(tǒng)規(guī)范，目的是為了保證網(wǎng)絡(luò)交易的安全。SET本身并不是一個(gè)支付系統(tǒng)，而是一個(gè)安全協(xié)議集，SET規(guī)范保證了用戶可以安全地在諸如Internet這樣的開(kāi)放網(wǎng)絡(luò)上應(yīng)用現(xiàn)有的信用卡支付設(shè)施來(lái)完成交易。SET較好地解決了信用卡在電子商務(wù)交易中的安全問(wèn)題。SET已獲得IETF(The Internet Engineering Task Force，簡(jiǎn)稱IETF)標(biāo)準(zhǔn)的認(rèn)可。

3.三方域安全協(xié)議（3-D secure）

三方域安全協(xié)議（Three-Domain Secure，簡(jiǎn)稱3-D secure）是Visa等繼SET協(xié)議之后，推出的新一代的安全交易技術(shù)。與SET協(xié)議一樣，它也是PKI(Public Key Infrastructure)框架下基于可信第三方的開(kāi)放規(guī)范，設(shè)計(jì)目標(biāo)同樣是為在Internet上傳輸?shù)男庞每ㄖЦ缎畔⑻峁┌踩Ｗo(hù)機(jī)制。3D- Secure協(xié)議主要采用SSL 加密技術(shù)和商家服務(wù)器插件MPI( Merchant Server Plug- in) 技術(shù)來(lái)實(shí)現(xiàn)。在線交易中，它既能夠查詢并鑒別持卡人的身份，又能夠保護(hù)支付卡信息在網(wǎng)絡(luò)中傳遞的安全性。3D- Secure協(xié)議的這些功能是通過(guò)一個(gè)能夠在支付交易過(guò)程中明確各方責(zé)任的模型——三方域模型( Three Domain Model) 。三方域模型的主要組成包括：發(fā)卡域、收單域和互操作域。

三、SSL與SET協(xié)議比較分析

SSL和SET是當(dāng)前在電子商務(wù)中應(yīng)用最為廣泛的安全協(xié)議，兩者的差別主要體現(xiàn)在以下幾個(gè)方面。

1.工作層次

SSL協(xié)議工作于應(yīng)用層和傳輸層之間，高層的應(yīng)用層協(xié)議(例如：HTTP，F(xiàn)TP，TELNET等)能透明地建立于SSL協(xié)議之上。而SET工作于應(yīng)用層。

2.認(rèn)證機(jī)制

早期的SSL協(xié)議并沒(méi)有提供身份認(rèn)證機(jī)制，雖然在SSL3. 0中可以通過(guò)數(shù)字簽名和數(shù)字證書(shū)實(shí)現(xiàn)瀏覽器和WEB服務(wù)器之間的身份認(rèn)證，但仍不能實(shí)現(xiàn)多方認(rèn)證。SET協(xié)議要求所有參與交易活動(dòng)的各方都必須使用數(shù)字證書(shū)，較好的解決了客戶與銀行、客戶與商家、商家與銀行之間的多方認(rèn)證問(wèn)題。

3.安全程度

SET協(xié)議由于采用了非對(duì)稱加密、消息摘要和數(shù)字簽名可以確保信息的機(jī)密性、認(rèn)證性、完整性和不可否認(rèn)性，特別是SET協(xié)議采用了雙重簽名技術(shù)來(lái)保證各參與方信息的相互隔離，使商家只能看到持卡人的訂單信息，而銀行只能取得持卡人的信用卡信息。SSL協(xié)議雖也采用了公鑰加密和信息摘要等技術(shù)，也可以提供機(jī)密性、完整性和一定程度的身份驗(yàn)證功能，但缺乏一套完整的認(rèn)證體系，不能提供電子商務(wù)交易活動(dòng)中非常重要的不可否認(rèn)性證明。

4.運(yùn)行效率

SET協(xié)議非常復(fù)雜、龐大、運(yùn)行速度慢。一個(gè)典型的SET交易過(guò)程需驗(yàn)證電子證書(shū)9次、驗(yàn)證數(shù)字簽名6次、傳遞證書(shū)7次、進(jìn)行5次簽名、4次對(duì)稱加密和4次非對(duì)稱加密，整個(gè)交易過(guò)程非常耗時(shí)；而SSL協(xié)議則簡(jiǎn)單很多，運(yùn)行效率也比SET協(xié)議高。

5.部署成本

SSL協(xié)議已被大部分的瀏覽器和WEB服務(wù)器內(nèi)置，無(wú)須安裝專門(mén)軟件；而SET協(xié)議中客戶端要安裝專門(mén)的電子錢(qián)包軟件，在商家服務(wù)器和銀行網(wǎng)絡(luò)上也需安裝相應(yīng)的軟件，部署成本高。

SSL協(xié)議與SET協(xié)議比較匯總?cè)绫?所示。

四、SET與3-D Secure協(xié)議比較分析

為了提高交易效率，降低部署成本，3-D Secure協(xié)議對(duì)SET協(xié)議進(jìn)行了簡(jiǎn)化，兩者的差別主要體現(xiàn)在以下幾個(gè)方面。

1.機(jī)密性

SET協(xié)議和3-D Secure協(xié)議都使用對(duì)稱和非對(duì)稱兩種加密技術(shù)來(lái)保證數(shù)據(jù)的機(jī)密性。但是SET協(xié)議采用雙重簽名技術(shù)來(lái)保證消費(fèi)者機(jī)密信息對(duì)商家進(jìn)行保密，而在3-D Secure協(xié)議中消費(fèi)者的信息對(duì)商家來(lái)說(shuō)是可見(jiàn)的。

2.不可否認(rèn)性

SET協(xié)議使用數(shù)字簽名來(lái)保證交易行為的不可否認(rèn)性。3-D Secure協(xié)議規(guī)定發(fā)卡機(jī)構(gòu)在通過(guò)持卡者向商家服務(wù)器發(fā)送信息之前，先要對(duì)其進(jìn)行數(shù)字簽名，以提供不可否認(rèn)的證據(jù)。和SET相比，3-D Secure協(xié)議沒(méi)有大量使用數(shù)字簽名，但仍然可以提供不可否認(rèn)性證明。

3.身份認(rèn)證

SET協(xié)議使用證書(shū)和數(shù)字簽名對(duì)消息來(lái)源進(jìn)行身份認(rèn)證。每個(gè)參與者都使用兩個(gè)非對(duì)稱密鑰對(duì)，需要擁有兩個(gè)由證書(shū)頒發(fā)機(jī)構(gòu)同時(shí)產(chǎn)生和簽署的證書(shū)。3-D Secure協(xié)議主要使用證書(shū)和口令對(duì)消息來(lái)源進(jìn)行身份認(rèn)證。不要求持卡者配備證書(shū)，但要求其他參與方都要有證書(shū)。

4.復(fù)雜性

與SET協(xié)議相比，3-D Secure協(xié)議在保證滿足安全性要求的基礎(chǔ)上簡(jiǎn)化了證書(shū)交換與大量的數(shù)字簽名過(guò)程，從而使在線交易時(shí)間大大縮短，提高交易效率，降低部署成本。SSL協(xié)議與3-D Secure協(xié)議比較匯總?cè)绫?所示。

五、總結(jié)

SSL、SET和3-D secure協(xié)議是當(dāng)前應(yīng)用最為廣泛的電子商務(wù)安全協(xié)議。三者相比，SSL協(xié)議相對(duì)簡(jiǎn)單，效率高且容易部署，但是它不支持多方認(rèn)證，不支持不可否認(rèn)性等電子商務(wù)安全性需求；SET協(xié)議雖然能夠完全滿足電子商務(wù)的安全性需求，但存在著協(xié)議復(fù)雜，效率低下，難以部署等問(wèn)題。三者當(dāng)中3-D Secure協(xié)議在保證滿足安全性要求的基礎(chǔ)上，對(duì)兩者進(jìn)行了適當(dāng)?shù)恼壑?，從而使在線交易時(shí)間大大縮短，使得電子商務(wù)在線交易的實(shí)施更加簡(jiǎn)捷。

參考文獻(xiàn):

[1]陸垂偉:電子商務(wù)中安全支付協(xié)議的研究[J]．商場(chǎng)現(xiàn)代化，2006(06)

[2]戴小波:基于SET協(xié)議的安全電子商務(wù)研究[J]．微計(jì)算機(jī)信息，2006(21)

[3]SET Secure Electronic Transaction Specification. Book 1:Business Description[s].Version 1.0，1997