就现在世界通用的支付系统不下几十种,根据在线传输数据的种类(加密、分发类型),初略可以被分为三类。
& P0 n$ h( T# D4 l; \7 \ 第一类是使用“信任的三方”(trusted third party)。客户和商家的信息比如银行帐号、信用卡号都被信任的第三方托管和维护。当要实施一个交易的时候,网络上只传送定单信息和支付确认、清除信息,而没有任何敏感信息。实际上通过这样的支付系统没有任何实际的金融交易是在线(on-line)实施的。First Virtual典型的信任第三方系统。在这种系统中,网络上的传送信息甚至可以不加密,因为真正金融交易是离线实施的。但是不加密信息,同样可以看成一个系统的缺陷,而且客户和商家必须到第三方注册才可以交易。 % s8 P1 r$ w& z; h9 p5 H
第二类是传统银行转帐结算的扩充。在利用信用卡和支票交易中,敏感信息被交换。例如,如果客户要从商家购买产品,客户可以通过电话告知信用卡号以及接收确认信息;银行同时也接收同样的信息,并且响应地校对用户和商家的帐号。如果这样的信息在线传送,必须经过加密处理。著名的CyberCash和VISA/Mastercard的SET就是基于数字信用卡(Digital Credit Cards)的典型支付系统。这种支付系统,对于B to C(Business to Clients)在线交易是主流,因为现在大部分人,更习惯于传统的交易方式。通过合适的加密和认证处理,这种交易形式,应该比传统的电话交易更安全可靠,因为电话交易缺少必要的认证和信息加密处理。. e! B, J' X9 o6 S
第三类是包括各种数字现金(Digital Cash)、电子货币(Electronic Money and Electronic Coins)。和前面的系统不一样,这中支付形式传送的是真正的“价值”和“金钱”本身。前面两种交易中,信息的丢失往往是信用卡号码,被伪造的信息,也只是信用卡号等。而这种交易种偷窃信息,不仅仅是信息丢失,往往也是财产的真正丢失。
6 J! c: [; t Z3 J8 j1 w1 x 通过支付手段又可以分为电子信用卡支付、Smart Card支付、电子现金支付、电子支票支付等。 2 s; G3 ~$ D8 j4 }5 f
电子支付系统安全技术
) Y: O0 a$ {# ? 电子商务支付信息流动典型结构如图1所示。在图中,信任第三方是CA认证中心。商家和客户都必须到CA得到自己的证书,然后通过CA认证。很明显,各个部分信息传递,必须要经过加密处理;信息来源和目的,必须经过认在电子商务支付系统中,消费者和商家面临的威胁有:! c' U* C8 x% x! G% H1 F
◆虚假定单:假冒者以客户名义订购商品,而要求客户付款或返还商品;
/ t7 P) ~0 `4 }* S: U7 z ◆付款后收不到商品;
! E2 `! p- i5 ^4 k1 X! J ◆商家发货后,得不到付款;
$ r6 ]7 i, |! X+ s ◆机密性丧失:PIN或口令在传输过程中丢失;商家的定单确认信息被窜改; + p9 r: o+ |0 j2 |/ |6 ?" V6 G
◆电子钱和硬币丢失:可能是物理破坏,或者被偷窃。这个通常给用户带来不可挽回的损失。
) F [$ d) x6 i4 H" q) J) o- o' c 相应的安全技术有:
5 O U2 w+ U+ I: i2 J ◆网络安全检测设备(SAFTsuite) - x2 k8 G: J% Y5 E& w
◆访问设备(安全认证卡) ' v8 l$ v3 H7 j# m( f
◆浏览器/服务器软件(支持SSL)
8 S4 @% U [4 | ◆证书(VeriSign)(PKI-CA、公钥秘钥加密算法)
3 V9 q! a: g3 W, e) z ◆商业软件(支持电子支付) * E7 i+ W' Z1 O3 b+ ]
◆防火墙(RSA的BSAFE:支持RSA,DES,TripleDES,RC2,RC4等)保护传输线路安全(电磁辐射屏蔽等) * W6 S. r& ~- W
◆防入侵措施,IDS,DIDS(入侵检测系统、分布式入侵检测系统)
/ s1 M- g( I( Q% C ◆数据加密(最基本的安全技术,如链路、节点、端对端加密等) 9 f8 z$ u, _5 J7 c7 ~
◆访问控制(根据角色访问等控制)
+ j% X) h" i) z [: A( d' ] ◆鉴别机制(报文鉴别、数字签名、终端识别等) 2 D; O8 U. c" i) b0 m4 v W
◆路由选择机制(阻止不合适的IP访问、DoS攻击防范) 0 k7 D/ [, Y% w0 g* c
◆通信流控制(掩盖通信频度、报文长度、报文形式、报文地址等)
- @. V, F3 Z- x6 o; O ◆数据完整性控制(来自正确的发送方、数据传送到正确的接收方) % G7 S5 }1 }* v# {3 R' B
◆端口保护(反端口扫描等)
5 G& I0 T& y/ C c. J7 Z! d, { ◆病毒木马防范措施 |