持卡人及商戶注冊登陸

1、持卡人及商戶注冊(登陸),持卡人購物上網就首先要登錄。登錄要有證書, 使用 SET 傳送。持卡人想用SET進行網上支付, 就必須先從認證中心CA取得公開密鑰證書。證書中包括他的公鑰 , 用以驗證他簽名的信息。,,從CA取得經簽名的證書方法如下圖所示。,獲得簽名過的證書的過程是：,(1) 持卡人按格式提出申請送到 CA。(2) CA 按有關發(fā)卡行簽署注冊的格式返回給持卡人。(3) 持卡人自己產生公鑰與私鑰對, 并按格式填寫, 然后將公

2、鑰返回 CA 中心。(4) CA中心從有關發(fā)卡行驗證格式并產生證書, 然后返回給持卡人。持卡人得到CA中心簽字的證書。,注冊要求和CA回應信息CInit Req/CInit Res,,注冊要求和CA回應信息,要求類型指持卡人是要一個簽字證書還是要加密證書或兩者均要。品牌 ID(BIN) 是卡前六位數(shù) , 惟一標識發(fā)卡行。語言是指返回注冊時需要的語言。證書的指紋 (Thumbs) 也送給 CA。CInit Res: CA 對注

3、冊請求返回信息包括相對的注冊格式、對應類型及證書掛失情況(CRLS) 以上要由 CA 簽字。,驗證請求和驗證響應CertReq/CertRes,持卡人得到回應后,可以驗證此證書,以便證實確實得到CA的有效注冊。持卡人經上述注冊過程,可得到一個驗證證書的格式。按其格式填寫,填入銀行卡號和有效日期,為了傳送這些敏感數(shù)據(jù)到CA,需要CA的公鑰以RSA算法加密,且要強加密。當CA收到證書驗證請求后,通過現(xiàn)有的銀行卡授權,交換網絡得到發(fā)卡行的

4、證實,如信用卡有效,即產生一個簽署證書,以持卡人的公鑰加密送回持卡人。CA發(fā)回的驗證響應包括:新的證書、強加密的 Nonce-CCA 等 ,,驗證請求圖示,,驗證響應圖示,至此，持卡人有了CA簽名的證書,便可用銀行卡在互聯(lián)網上購物并按SET協(xié)議為商戶支付。,第三節(jié) SET協(xié)議的擴展,本章將介紹SET協(xié)議的擴展。這些擴展主要包括對借記卡的擴展、SET協(xié)議在線PIN擴展、支持IC卡擴展以及通用密文設備SET擴展等。這些擴展增強了SET

5、的功能,滿足了當前市場的商業(yè)需要,促進了SET的發(fā)展。SET擴展由SETCo技術委員會審查并批準。,1、銀行卡簡介,SET 協(xié)議主要用于信用卡的電子支付。 信用卡有廣義和狹義之分。從廣義上講 , 凡是能夠為持卡者提供信用證明 , 持卡者可憑卡購物或享受特殊服務的,均可稱為信用卡。廣義的信用卡包括除銷卡、借記卡、貸記卡、ATM卡、支票卡等各種類型的卡。從狹義上講,信用卡應是商業(yè)銀行發(fā)行的貸記卡, 即不需要先存款,可以先行透支消費的信用卡

6、。SET1.0協(xié)議本是針對狹義的貸記卡進行處理。,我國銀行卡大體分三類:貸記卡,即信用卡,有小額信貸功能,它要求持卡人有較高的信譽度。借記卡,需要建立持卡人檔案,不需要擔保,不可以透支。儲值卡,不需要建檔案,不需要擔保,不可以透支, 一般用于小額消費。,根據(jù)信用卡的制作材料不同, 可分為塑料卡、磁條卡和 IC 卡等。1. 塑料卡。應用于 20 世紀50－60 年代 , 國外信用卡公司率先采用塑料卡制成信用卡。顧客消費時, 出示塑

7、料卡顯示身份, 即可消費。2. 磁卡。誕生于1970年, 在塑料卡上粘貼磁條。磁卡可以直接插人終端機進行處理, 目前磁卡仍然是使用最廣泛的信用卡。3.IC 卡, 也稱智能卡, 產生于 20 世紀 70 年代初, 是在卡片表面鑲嵌 CPU 集成電路芯片的信用卡。IC卡與磁卡相比,具有存儲信息容量大、安全性能高、使用快捷方便等優(yōu)點。,2、SET協(xié)議對借記卡的擴展,目前借記卡市場主要有兩類 :(1)離線借記卡。在許多國家處于主導地位,具

8、有很高的增長率。 (2)在線借記卡?；谑褂脗€人密碼PIN, 具有很高的增長率。,信用卡與借記卡在支付上的主要區(qū)別是借記卡為先存款后消費,透支要有上限額度限制,借記卡要有PIN個人密碼進行身份鑒別。SET協(xié)議原本是針對信用卡(貸記卡)開發(fā)的,以信用卡為支付工具。SET為支持借記卡作為支付工具,必須進行功能擴充。SET協(xié)議對借記卡的擴展主要涉及以下內容。,1 .識別要求SET 協(xié)議對借記卡的識別要求包括 : 持卡者驗證方式、軟件和

9、硬件加密、 IC 卡和硬件標記、算法、借記撤消和分期付款。2. 建議結構。如下圖。,3. 持卡者環(huán)境 該環(huán)境由發(fā)卡行選擇, 持卡SET借記卡環(huán)境定義在持卡者證書中, 發(fā)卡行可以進行以下選擇。(1) SET 1.0 協(xié)議 ( 沒有額外安全要求 )。(2) EMV IC卡、非EMV IC卡、其他安全標記。(3) 安全設備(用于輸人PIN、簽字)。(4) 軟件 (用于PIN加密)。4. 通用環(huán)境。品牌證書標識借記交易, 在商

10、家系統(tǒng)和支付網關需要加入SET1.0 協(xié)議的借記功能。 (1) 個人識別號碼。,(2) 集成電路卡。(3) 安全標記。(4)橢圓曲線密碼技術。5. SET 借記卡安全性(1) 發(fā)卡行進行在線PIN驗證。(2) IC卡或安全標記進行離線PIN驗證。(3) 發(fā)卡行驗證 IC卡或安全標記。(4) SET 使用 IC卡、安全標記、安全設備(如 PIN 輸入設備)進行簽字。,6. 在線 PIN 驗證。見下圖示。,7. 離線PIN

11、 驗證 8. 借記卡和發(fā)卡行驗證,9.SET 持卡者簽字 10. 對SET1.0協(xié)議的影響 (1) 持卡者計算機由發(fā)卡行定義。(2) 商家系統(tǒng)需要增加對IC卡的支持 , 僅用于上傳數(shù)據(jù)。另外, 如果可能, 應采用 ECC密碼技木。(3) 支付網關系統(tǒng)增加對IC卡的支持, 能夠翻譯 IC卡數(shù)據(jù)。需要增加對PIN的支持, 能夠翻譯PIN數(shù)據(jù)。另外,如果可能,應采用ECC密碼技術。,11. 提議的功能(1) 區(qū)域

12、非對稱 PIN 加密。(2) 對 PIN 采用 DES 區(qū)域加密。(3) IC 卡擴展基于 EMV EC 支持 EMV ICCs 、非 EMV ICCs 、安全標記。(4) 支持橢圓曲線密碼技術 , 用于 SET Debit Security 和 Certification Authority。,11. 提議的功能(5) 持卡者證書擴展 , 向發(fā)卡行提供第 2 軌道數(shù)據(jù)或密碼 ( cryptogram) 的支持 , 向商家和支付

13、網關通知持卡者環(huán)境。(6) 可選的 PIN 用于持卡者注冊。(7) 批借記撤消。(8) 分期支付。(9) 三重 DES。,以上介紹的結構的好處,(1) 發(fā)卡行可以按照市場和安全需要選擇一個持卡者環(huán)境。(2) 可以選擇使用IC卡、安全標記、安全設備、軟件進行PIN加密。(3) 可接收的較低安全風險, 根據(jù)情況進行選擇。(4) 根據(jù)借記卡產品政策、借記卡組織可以定義或限制持卡者環(huán)境。,以上介紹的結構的好處,(5) 支持磁卡的借

14、記卡。(6) 當前開發(fā)的IC卡或安全標記可以用于SET借記安全中。(7) SET 借記IC卡擴展基于 EM V' 97 Chip Electronic Commerce Standard ( EMV EC)。(8) 發(fā)卡行可以應用任何持卡者環(huán)境, 并可遷移到 EMV IC 卡, 不會影響通用SET借記環(huán)境。,3 SET協(xié)議在線PIN擴展,個人密碼識別號PIN是用戶為支付卡設定的個人密碼。SET協(xié)議在線PIN擴展定義了兩種

15、使用個人識別號 PIN 的擴展方式, 一是持卡者通過任何方式 (包括通過鍵盤)來輸入PIN;另一個是通過安全設備來輸人PIN。在實際應用中, 根據(jù)支付卡的政策來決定使用方式。,PIN 非對稱加密方法,在線PIN要進行加密,其加密機制為非對稱加密方法,PIN信息采用鍵盤或其他設備輸人持卡者的計算機中,采用支付網關公鑰加密保護。在SET協(xié)議中,加密的PIN數(shù)據(jù)通過商家傳輸?shù)街Ц毒W關,支付網關使用私鑰解密。,SET在線PIN處理模型,,(1

16、) 在線PIN安全要求。遵照ISO 9564在線PIN使用定義標準, 定義輸入、格式化、對稱加密, 以及在公開共享的PIN輸入設備環(huán)境下處理在線PIN的標準。(2)持卡者PIN輸入。上述標準要求安全的PIN輸入設備,PIN輸入設備必須包括CPU、內存及SET軟件。支付網關證書可以指出: 該支付網關是否允許通過鍵盤來輸入PIN或者使用安全設備。,(3) 在線PIN擴展。有兩種 SET 在線 PIN 擴展 , 一個與采用PC鍵盤輸入PIN

17、有關, 一個與采用PIN安全輸入設備有關。兩個擴展使用相同的內容語法, 只是對象標識不同。電子錢包提供特定的在線PIN擴展, 指出在線PIN如何輸入。這些擴展的主要目的是識別具有在線PIN的交易, 并要求支付網關處理這些交易。第二個目的是從磁條卡的第2磁道上載有某 些數(shù)據(jù), 并與SET消息的其他數(shù)據(jù)一起來驗證PIN。這些擴展消息放置在支付指令(PI)的DES加密部分, 所以商家無法得到這些信息, 只有支付網關才能得到。,(4) SET擴

18、展中的PIN對象標識(OIDs)。SET擴展位于支付網關加密證書的私用SET證書擴展中, SET證書和用擴展域列出了支付網關支持的有關支付指示的SET消息擴展。持卡者在支付指示中產生危急消息擴展之前檢查支付網關證書 , 消息擴展由對象刷、 (OIDs) 指出。(5)持卡者處理在線PIN。持卡者軟件不保存PIN,一旦PIN被加密, 必須清除內存中任何PIN明文信息。持卡者軟件必須知道哪些支付卡要求在線PIN, 一種方法是讓持卡者支付卡注

19、冊時指出要求在線PIN,當持卡者證書中具有可用服務碼(Service Code)時,可以決定是否需要輸入PIN,其他方式由發(fā)卡行和軟件提供。,(6)支付網關處理PIN。支持ATM網絡的銀行系統(tǒng), 當前是使用防篡改的密碼硬件安全設備, 從ATM接收在線PIN, 并將PIN發(fā)送給內部系統(tǒng)或其他ATM網絡。一般接收到的PIN用DES密鑰加密, 當PIN傳到另一個節(jié)點時, 該PIN采用另一個DES密鑰重新加密。DES密鑰保存在防篡改的密碼硬件安

20、全設備中, 該設備能夠解開第一個DES密鑰加密的PIN, 并用第二個DES密鑰重新加密PIN。SET支付網關要求硬件加密模塊保存私鑰, 對輸入數(shù)據(jù)進行解密, 對產生的結果進行數(shù)字簽名。,4 SET協(xié)議支持IC卡擴展,1999年9月, SETco批準并公布了Europay International、 MasterCard International、 Visa International提交的"CommonChip Exte

21、nsion SET 1.0" 。金融機構希望將它們的芯片卡, 采用SET協(xié)議進行安全電子商務交易, 并具有處理芯片卡數(shù)據(jù)的通用擴展。所以同意采用EMV格式來為通用芯片擴展提供一個好的基礎。,擴展內容,通用芯片擴展結構包括三個數(shù)據(jù)區(qū)：(1)可選的支付方案標識,用于標識傳輸數(shù)據(jù)的支付方案,當包含Private Data時必須使用該標識。(2)EMV數(shù)據(jù)區(qū),用于傳輸芯片卡相關的數(shù)據(jù)及按照EMV定義的編碼。(3)Private

22、 Data允許一個支付方案包含無法在EMV數(shù)據(jù)區(qū)中編碼的數(shù)據(jù),收單行支持Private Data數(shù)據(jù)是可選,Private Data中的數(shù)據(jù)對成功處理交易不能是危險的。,通用芯片卡擴展結構,EMV芯片卡電子商務規(guī)范,1999 年12月, 提出了在SET協(xié)議環(huán)境下, 采用EMV芯片實現(xiàn)信用卡和借記卡的電子商務支付方式。該規(guī)范在SET協(xié)議基礎上具有兩個關鍵特點: 一是通過一個密碼實現(xiàn)在線的持卡認證,二是通過使用可選的持卡者PIN來進行持卡

23、驗證。,IC卡電子商務系統(tǒng)結構圖,由8個部分組成: 發(fā)卡行、持卡者、EMVIC卡、持卡者系統(tǒng)、商家服務器、支付網關、收單 行、支付系統(tǒng)。EMVIC卡保存持卡者的支付數(shù)據(jù), 能夠產生一個密碼來認證該卡, 可以驗證一個持卡者的 PIN。下面介紹每個部分的處理功能 ：(1) EMV信用卡和借記卡IC卡。 EMV信用卡和借記卡 IC 卡能夠為每個交易產生一個應用密碼,該密碼可在線方式被拒絕或批準,或者請求為一個交易進行在線提名或授權。,(

24、2) 商家服務器。商家服務器是SET標準的商家系統(tǒng), EMV芯片卡電子商務規(guī)范沒有對商家服務器提出其他要求。(3) 支付網關。EMV芯片卡對電子商務規(guī)范和支付網關提出了以下附加要求 :·要求必要的消息擴展。 ·可選消息擴展。如支付網關應當能處 理SET on-line PIN。 ·支付網關證書改變。,(4) 持卡者系統(tǒng)。持卡者系統(tǒng)是由硬件和軟件組成, 實現(xiàn)一個持卡者、IC卡和一個

25、 SET商家服務器的相互操作。IC卡設備接口滿足定義要求, 具有規(guī)定的PIN輸入設備。持卡者系統(tǒng)包括如下功能: 卡選擇、應用選擇、讀應用數(shù)據(jù)、持卡者驗證、終端動作分析、發(fā)卡行腳本處理和完成、離線數(shù)據(jù)認證、終端風險管理等。,IC卡SET協(xié)議交易流程,交易需要處理的信息,(1) SET 支付開始消息 (SET payment. Initiation) 0 商家服務器調用持卡者系統(tǒng) , 通知持卡者系統(tǒng)商家接受的支付品牌。(2) 支付卡選擇(

26、Card Selection)。持卡者告訴持卡者系統(tǒng)用于該購買的支付卡品牌。(3) 選擇應用(Application Selection)。持卡者系統(tǒng)從支付卡選擇一個應用, 如果需要, 從持卡者輸入。(4) 應用開始(Application Initiation)。持卡者系統(tǒng)根據(jù)持卡者和支付卡是否同意該交易如何處理 , 開始一個支付卡應用。,(5) 讀應用(Read Application)。持卡者系統(tǒng)讀出應用數(shù)據(jù)。(6)購買初

27、始請求(Purchase Initialization Request)。持卡者系統(tǒng)通知商家服務器持卡者如何支付, 并開始購買。(7)購買初始響應(Purchase Initialization Response)。商家返回完成購買需要的信息。 (8) 持卡者驗證 (Cardholder Verification)。持卡者系統(tǒng)重新恢復來自持卡者的信息, 用于驗證信息的相同性, 向支付卡顯示信息或傳輸給發(fā)卡行來驗證。,(9) 終端活動

28、分析(Terminal Action Analysis)。 持卡者系統(tǒng)請求交易的在線授權, 支付卡決定是否離線拒絕該交易, 或請求一個在線授權或提名。(10)購買請求(Purchase Request)。持卡者系統(tǒng)請求一個購買, 向商家服務器提交數(shù)據(jù), 這些數(shù)據(jù)是支付網關和發(fā)卡行用于響應該請求所需要的。(11)授權請求 (Authorization Request)。商家服務器向支付網關發(fā)出數(shù)據(jù), 這些數(shù)據(jù)用于驗證持卡者的真實性,

29、并產生一個支付網關的授權請求。SET協(xié)議中, 在授權處理之前, 允 許一個商家返回一個PRes消息給持卡者系統(tǒng)。,(12) 授權響應 (Authorization Response)。支付網關向商家服務器發(fā)出一個消息, 表示該交易被發(fā)卡行授權批準或拒絕。(13)購買響應(Purchase Res.)。在接收到持卡者的購買請求之后,商家服務器通知持卡者系統(tǒng)交易的狀態(tài)。(14)發(fā)卡行腳本處理和完成(Issuer Script Proce

30、ssing and Completion)。持卡者系統(tǒng)結束持卡者和 IC 卡的聯(lián)系。(15)付款請求(Capture Req.)。商家服務器在接收到支付網關的授權響應后, 向支付網關請求得到付款。(16)付款響應(Capcure Res.)。支付網關通知商家服務器請款請求的處理狀態(tài)。,思考題,1. 什么是 SET 協(xié)議 ?2.SET 協(xié)議的特點是什么 ?3.SET 協(xié)議的信息結構是怎樣的 ?4.SET 協(xié)議對中國借記卡需求有什