电子商务支付系统设计

本章要点
❖电子支付的形式 ❖电子支付的协议 ❖电子支付的过程和规范 ❖电子支付系统的结构与设计问题
8.1 电子支付
❖电子支付的定义
➢ 1989年美国法律学会的《统一商业法》中定义：电子 支付是支付命令发送方把存放于商业银行的资金，通 过一条线路划入收益方开户银行，以支付给收益方的 一系列转移过程。
第二阶段的主要任务是对客户进行认证
➢ —Change Cipher Specification protocol:是握手 协议的子集。它的主要功能是表明中在加密部分中有 变化的其他部分
➢ —Alert protocol:处理错误。一个警告信息包括两个 部分，实际错误的描述和错误的安全级别。
➢ —Application protocol:负责从应用层将信息传送到 记录层
电子支付的特点
❖采用先进的技术通过数据流转来完成信息传输的。
➢ 其各种支付方式都是采用数字化的方式进行款项支付的 ➢ 传统的支付方式则是通过现金的流转、票据的转让及银行的汇兑
等物理实体的流转来完成款项支付的
❖基于一个开放的系统平台（即Internet）之中
➢ 传统支付是在较封闭的系统中运作
❖使用最先进的通信手段 ❖具有方便、快捷、高效、经济的优势
➢ 考虑到电子支付的实现目的，电子支付是指单位、个 人通过电子终端，直接或间接向银行业金融机构发出 支付指令，实现货币支付与资金转移。
❖电子支付的定义
➢ 较全面的定义是，电子支付是指单位、个人通过电子
终端，直接或间接向银行业金融机构或其他具有资金 转移能力的企业发出支付指令，实现货币支付与资金
转移。
电子现金使用时与纸质现金完全类似，多用于小额支付，是 一种储值型的支付工具。
பைடு நூலகம்子现金的支付过程
1 请求开设E-cash帐账户
客
2 账号
3 兑换电子现金请求
户
4 银行电子现金签名的随机数
银 7 核对 行
电子现金库
5 定单及加密 的电子现金
9 确认信息
商家
6 加密的 电子现金
8 信息确认
(1)购买电子现金 (2)存储电子现金 (3)用电子现金购 买商品或服务 (4)资金清算 (5)确认订单
SSL握手协议(Handshake Protocol)
SSL握手协议(Handshake Protocol)
❖(1)接通阶段 ❖(2)密钥交换阶段 ❖(3)会话密钥生成阶段 ❖(4)服务器证实阶段 ❖(5)客户机认证阶段 ❖(6)结束阶段
SSL协议的服务
❖认证用户和服务器，使得他们能够确信数据将 被发送到正确的客户和服务器上 ❖加密数据，以保证数据在传送过程中的安全， 即使数据被窃，盗窃者没有解密密钥也得不到可 读的资料 ❖维护数据的完整性，确保数据在传送过程中不 被改变。
➢ SSL记录协议：用来对其上层协议进行封装。 ➢ 握手协议(通讯协议)：允许客户端与服务器彼此认证对
方，并且在应用协议发出或收到第一个数据之前协商 加密算法和加密密钥。 ➢ 保证应用协议的独立性，使低级协议对高级协议透明。 ➢ 见下页图
SSL Protocol Stack
❖SSL位于TCP/IP协议和应用协议之间
➢ 考虑到其实现方式和支付手段，给出如下定义：电子
支付是将传统的支付业务，利用有线、无线通信技术， 延伸到个人、家庭、企业，或利用信息技术，用电子 信息流支付指令代替现金支付行为，使用户可以实现 远程支付或即时支付。
❖电子支付的定义
➢ 考虑到电子支付的基础和实现手段，电子支付是以金 融电子化网络为基础，以商用电子化机具和各类交易 卡为媒介，以计算机技术和通信技术为手段，以电子 数据(二进制数据)形式存储在银行的计算机系统中，并 通过计算机网络系统以电子信息传递形式实现流通和 支付。
HTTP LDAP
IMAP
SSL Handshake
Protocol
SSL Change Cipher Spec
Protocol
SSL Alert Protocol
SSL Record Protocol
TCP
Application 应用层
Protocol
会话层 传输层
IP
SSL体系结构
❖SSL 记录协议（ Record Protocol）
现在广泛用于Internet上的身份认证以及Web服务器 和用户端浏览器之间的数据安全通信。 ➢ SSL使用了证书、数字签名、以及加密技术（基于RSA） 等多种技术。 ➢ 采用SSL协议，可确保信息在传输过程中不被修改，实 现数据的保密与完整性。
1. SSL协议概述
❖制定SSL协议的宗旨是为通信双方提供安全可靠 的通信协议服务，协议包括两个层次：
Using SET in E-commerce Transactions
2. SET协议加密和解密流程
❖加密流程
➢P219 图8-4
❖解密流程
➢P220 图8-5
支付协议中采用的加密技术
❖1．数字信封：
➢ SET依靠密码系统保证消息的可靠传输，在SET中，使用DES算法 产生的对称密钥来加密数据，然后，将此对称密钥用接收者的公 钥加密，称为消息的“数字信封”，将其和数据一起送给接收者， 接收者先用他的私钥解密数字信封，得到对称密钥，然后使用对 称密钥解开数据。
❖8.2.1 电子支付协议的概念
➢ 电子支付协议是指约束电子商务交易双方支付过程及 行为的标准、规范的集合。
➢ 是参与支付的各个实体（例如买卖方、网络银行等） 的行为准则。
➢ 三方支付协议（如SET） ➢ 两方支付协议（如SSL和电子现金）
8.2.2 SSL协议
❖1. SSL协议概述
➢ SSL -Secure Socket Layer安全套接字层协议 ➢ 最先由Netscape Communication公司设计开发，
➢ —Handshake protocol:定义在两个实体间建立一个 SSL会话的一系列事件
SSL握手协议包含两个阶段，第一个阶段用于建立私密性通信 信道，第二个阶段用于客户认证。
第一阶段是通信的初始化阶段，首先SSL要求服务器向浏览器 出示证书 ；浏览器中的SSL软件发给服务器一个随机产生的 传输密钥
电子支付的发展
❖电子支付方式的出现要早于互联网，电子支付的5种形式 分别代表着电子支付的不同发展阶段：
银行与其它机构之间的结 算：代发工资、代交费等
在银行销售点终端 提供自动扣款业务
银行之间 银行与机构 自动柜员机 销售终端 网上支付
银行之间业 务
办理结算
用户在自动 柜员机上存
取款
通过互联网随 时随地进行直 接转帐结算
➢ 不能使交易一方确信此时公司所接收的信用卡支付是 得到授权的。
8.2.3 SET协议
❖1.SET协议基本概念
➢ SET--Secure Electronic Transaction,安全电子交易 协议
➢ 是由Visa和MasterCard两大信用卡组织联合开发的 电子商务安全协议。它是一种基于消息流的协议，用 来保证公共网络上银行卡支付交易的安全性，因而成 为Internet上进行在线交易的电子付款系统规范。
电子支付的发展阶段
❖第一阶段是银行利用计算机处理银行之间的业务，办理结算 ❖第二阶段是银行计算机与其他机构计算机之间资金的结算， 如代发工资等业务 ❖第三阶段是利用网络终端向客户提供各项银行服务,如为客 户在自动柜员机(ATM)上提供的取存款服务等 ❖第四阶段是利用银行销售点终端(POS)向客户提供自动的扣 款服务 ❖第五阶段是最新发展阶段，电子支付可随时随地通过互联网 络进行直接转账结算，形成电子商务环境。这是正在发展的 形式，又称这一阶段的电子支付叫网上支付。
8.1.2 电子支付的分类
❖按照采用的通信手段
➢ 在线支付
电话支付、Internet支付、移动支付
➢ 离线支付
接触式、非接触式
❖按照支付模式 ❖按照支付金额的大小
8.1.2 电子支付的分类
❖按照采用的通信手段 ❖按照支付模式
➢ 充值卡支付 ➢ 银行与邮政汇款支付 ➢ 网上银行 ➢ 第三方支付 ➢ 电话支付：适合小额支付
1.SET协议基本概念
❖SET协议的目标
➢ 信息在Internet上的安全传输，保证网上传输的数据不 被黑客窃听；
➢ 订单信息和个人账号信息的隔离，在将包括消费者账号 信息的订单送到商家时，商家只能看到订货信息，而看 不到消费者的账户信息；
➢ 消费者和商家的相互认证，以确定通信双方的身份，一 般由第三方机构负责为在线通信双方提供信用担保；
客户开户银行
票据交易所
商家开户银行
6 下 帐 账 后 通 知
客户
5 传送支票
4 传送支票
7 定期
将电
2 支票验证 1 发送订单、电子支票
子支 票入 帐户
3 交易确认通知
商家
3.微支付
❖微 支 付 (Micropayment) 的 特 征 是 能 够 处 理 任 意 小 量 的 钱 ， 适 合 于 Internet 上 “ 不 可 触 摸 (Nontangible)商品”的销售。 ❖特点：交易额小、安全性低、效率高、应用范 围特殊
➢ 适用于收费的信息产品，如网上新闻、网上证券、信 息查询、资料检索和小额软件下载等
典型的微支付模型
购买货币和 获取证书等
顾客
代理
在线浏览 购买和支付
货币兑换 和清算等
商家
4.基于支付协议的卡基支付
❖最常见的电子支付方式 ❖主要采用两种支付协议
➢ SSL协议 ➢ SET协议
8.2 电子支付协议
SSL的应用
❖要实现浏览器（或其他客户端应用）和Web服务器（或 其他服务器）之间的安全SSL信息传输，必须在Web服务器 端安装支持SSL的Web服务器证书，在浏览器端安装支持 SSL的客户端证书（可选），然后把URL中的“http://”更 换为“https://”。
SSL的缺陷
❖ 对于电子商务应用来说，使用SSL可保证信息的 真实性、完整性和保密性。 ❖但由于SSL不对应用层的消息进行数字签名，因 此不能提供交易的不可否认性。
网上购物流程
货物清单 选择货物
付款授权
网上商店
?
付款方式
收据 送货通知
授权请求
送货结束 银行
消费者 签收
送货
送货公司
电子支付的安全要求
❖信息保密性：与传统支付方式相比，网上支付中的商务信息 具有更严格的保密要求。 ❖交易者身份的确定性：通过网络相连，不能谋面，很难直接 确定对方的真实身份，商家会担心客户端是不是骗子，客户会 担心网上的商店是不是玩弄欺诈的黑店。这就需要网络系统提 供能够方便而安全地确认对方身份的保障措施。 ❖不可否认性：无论在网上还是在传统市场中，商情都是瞬息 万变的。交易一旦达成则不可否认，否则必然导致市场的紊乱 与交易一方利益的受损。 ❖不可修改性：如果支付细节是可以被修改的，那结果一定比 可以否认还要坏，故支付细节应是不可被修改的。
➢ 所有从更高层协议来的数据都是通过记录层到达传输 层。记录层发送的数据块称为有固定长度的记录。一 个记录包括内容的类型、协议的版本号、长度和经过 压缩和加密的数据。每个信息都具有以下功能：
➢ —分段数据，对信息分割或结合到一个记录中 ➢ —在数据发送前进行压缩 ➢ —对记录的数据部分加密
❖通讯协议：有四个通讯协议
第8章 电子商务支付系统设计
第八章 电子商务支付系统设计
❖8.1 电子支付 ❖8.2 电子支付协议 ❖8.3 电子支付与认证 ❖8.4 电子支付系统 ❖8.5 电子商务支付系统设计
电子支付
❖电子支付是电子商务活动中不可或缺的手段。 ❖电子支付过程是一个涉及买卖双方、银行的复 杂过程，企业很难仅依靠自身的力量解决交易过 程中支付问题。 ❖电子商务支付系统与电子货币、支付手段等存 在密切的关系。
2. 电子支票
❖电子支票是一种借鉴纸质支票转移支付的优点，用数字 化手段将支票改变为带有数字签名的报文或利用数字电文 代替支票全部信息，利用数字传递将钱款从一个帐户转移 到另一个帐户的电子付款过程。 ❖使用要求：
➢ 客户在银行有帐户，帐户上有资金 ➢ 银行提供电子支票服务，客户注册后得到电子支票
电子支票的支付流程
❖按照支付金额的大小
8.1.2 电子支付的分类
❖按照采用的通信手段 ❖按照支付模式 ❖按照支付金额的大小
➢ 基于网络的小额电子支付 ➢ 基于信用卡的小额电子支付 ➢ 大额电子汇兑系统
8.1.3 电子支付的主要形式
❖1.电子现金
➢ 电子现金是一种以数据形式流通的货币
它把现金数值转换成为一系列的加密序列数，通过这些序列 数来表示现实中各种金额的币值，用户在开展电子现金业务的 银行开设帐户并在帐户内存钱后，就可以在接受电子现金的商 家使用。