浅析电子商务安全协议SSL与SET（页）

《浅析电子商务安全协议SSL与SET（页）》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅析电子商务安全协议SSL与SET一.引言电子商务融计算机技术、通信技术、网络技术于一体，以Internet为基础平台，互动性、开放性、广泛性为其显著特点。由于其开放性与广泛性，必然面临各种安全风险，如信息泄露或被篡改、欺骗、抵赖等。所以，安全问题已成为发展可信赖电子商务环境的瓶颈。目前，众多的安全技术都是通过安全协议来实施的。因此，简洁、有效的安全协议对电子商务安全而言至关重要。现今，国际上主要通行的两种安全协议：安全套接层协议SSL和安全电子交易协议SET,二者均是成熟和实用的安全协议，但是由于它们的设计目的不同，所以

2、在应用上有很大的差别。二、两种电子商务安全协议介绍(一)安全套接层协议SSLSSL是网景(Netscape)公司提出的基于WEB应用的安全协议，其目的是在Internet基础上提供的一种保证机密性的安全协议。它能使客户端/服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，而且还可选择对客户端进行认证。SSL协议是国际上最早应用于电子商务的一种网络安全协议，主要用于提高应用程序之间的数据安全。它同时使用对称加密算法和公钥加密算法，前者在速度上比后者要快很多，但是后者可以实现更好的安全认证。一个SSL传输过程首先需

3、要握手：用公钥加密算法使服务器在客户端得到认证，以后就可以使用双方商议成功的对称密钥来更快速的加密、解密数据。SSL协议要求建立在可靠的传输层协议（例如：TCP）之上。SSL协议的优势在于它是与应用层协议独立无关的。高层的应用层协议（例如:HTTP,FTP）能透明地建立于SSL协议之上。SSL协议在应用层协议通信之前就已经完成加密算法、通信密钥的协商以及服务器认证工作。应用层协议所传送的数据都会被加密，从而保证通信的机密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。SSL协议由SSL记录协议和SS

4、L握手协议两部分组成。1、SSL记录协议在SSL协议中，所有的传输数据都被封装在记录中。所有的SSL通信，包括握手消息、安全空白记录和应用数据都使用SSL记录协议。记录协议允许服务器和客户端相互认证并协商加密算法和密钥，对所有发送和接收的数据进行分段、压缩、认证、加密和完整性服务。2、SSL握手协议SSL握手协议包括建立在记录协议之上的握手协议、警报协议、更改加密说明协议和应用数据协议等对会话和管理提供支持的子协议，其用于在通信双方之间建立安全传输通道。握手过程一般分为4个阶段：（1）初始化逻辑连接，客户端先发出Clien

5、tHello消息，服务器返回一个ServerHel1o消息，这两个消息用来协商双方的安全能力，包括协议版本、对称加密算法、压缩算法等。（2）服务器发送数字证书（包含了服务器的公钥等）和会话密钥。如果服务器要求认证客户端，则要发送CertificateRequest消息。最后服务器发送ServerHelloDone消息，表示hello阶段结束,服务器等待客户端的响应。(3)如果服务器要求认证客户端，则客户端先发送Certificate消息，然后产生会话密钥，并用服务器的公钥加密，封装在ClientKeyExchange消息中

6、，如果客户端发送了自己的数字证书，则再发送一个数字签名CertificateVerify来对数字证书进行校验。(4)客户端发送一个ChangeCipherspec消息，通知服务器以后发送的消息将采用先前协商好的安全参数加密，最后再发送一个加密后的Finished消息。服务器在收到上述两个消息后，也发送自己的ChangeCipherspec消息和Finished消息。至此，握手全部完成，双方就可以开始传输应用数据了。3、SSL提供的功能及局限性SSL使用加密的办法建立一个安全的传输通道，它可提供以下3种基本的安全服务功能：(

7、1)信息加密。客户端和服务器之间的所有的应用数据使用在SSL握手过程中建立的密钥和算法进行加密。这样就防止了某些用户通过使用IPpacketsniffer等工具进行非法窃听或者破译。(2)信息完整。SSL提供完整信息服务，以建立客户端与服务器之间的安全通道，使所有经过SSL协议处理的业务能全部准确无误地到达目的地。(3)相互认证。客户端和服务器都有各自的识别号，这些识别号由公开密钥进行编号。为了认证用户是否合法，SSL协议要求在握手交换数据前进行数字认证，来确保用户的合法性。SSL协议的局限性：首先，客户的信息先到商家，让

8、商家阅读，这样，客户资料的安全性就得不到保证；其次，SSL只能保证资料信息传递的安全，而传递过程是否有人截取就无法保证了。所以，SSL并没有实现电子支付所要求的保密性、完整性，而且多方互相认证也是很困难的。此外，该协议最大的弱点是不能做数字签名，因此不支持不可否认性。另外，它不能对商家进行认证，不能防止