安全電子交易協議的一種改進支付模型研究

潘 山

（江西冶金職業技術學院 機電工程系，江西 新余 338015）

安全電子交易協議的一種改進支付模型研究

潘 山

（江西冶金職業技術學院 機電工程系，江西 新余 338015）

文章從分析原有SET協議支付流程的復雜性出發，將SET的支付流程按客戶的安全需要改進為低級SSL、中級SET和高級SET 3種支付級別，較好地解決了原交易過程中需要多方相互認證、復雜度高、維護成本高、交易速度慢等問題。進而在多級安全支付的處理流程上提出一種改進的SET支付模型，為進一步研究電子商務的安全支付問題給出了一個參考。

SET協議；SSL協議；多級安全支付；支付流程；支付模型

隨著PC和Internet的快速發展，利用電子手段進行的貿易支付正逐步取代原有的商務支付模式。在為電子支付而設計的諸多支付協議中，由全球兩大信用卡公司Visa和MasterCard共同開發的安全電子交易協議（Secure Electronic Transaction，SET）是目前可以實現的電子支付手段中發展比較完善、使用較為廣泛的一種電子交易模式。

1997年推出SET規范1.0版本后，大大滿足了電子商務交易中的安全需求。因此許多軟件開發商，如Microsoft，IBM，HP等相繼發布了符合SET標準的安全電子商務產品。而SET協議本身的設計是面向B2C支付模式的，主要針對信用卡（美國標準）來進行網絡支付而制定，涵蓋了信用卡在電子商務交易中的交易協定、信息保密、資料完整性等各個方面。

SET支付系統主要采用了目前成熟的數字證書、公鑰密碼技術和對稱密碼技術對參與交易的多方進行身份認證和信息加密，同時利用雙重簽名技術確保信息在傳輸過程中不被篡改，以保證信息的真偽。而SET支付模型主要由持卡人、商家、發卡行、收單行、支付網關和認證機構（Certificate Authority，CA）等部分組成，其中CA是SET支付模型中的關鍵部分，通過CA發放的數字證書相互驗證參與者的身份。

1 現有SET協議缺陷分析

SET協議因為使用的是對稱以及非對稱加密密碼技術，在一定程度上保證了在線交易中的信用卡交易安全，并使其與支付應用相結合，因此消費者的在線交易安全性完全能夠通過SET協議實現。SET協議在網上交易中的使用，不僅能夠確保金融數據信息的保密性和支付過程的完整性，還能夠進一步地確認交易過程中的商家、銀行以及持卡人身份，因此具有較高的安全性保障。

SET協議因其具有很高的安全性，在一定程度上得到了廣泛的應用。

但是，隨著電子商務的進一步發展和完善，SET協議的安全和交易流程方面的問題也日益突出。

首先，SET協議中的某些密碼體系已被破解，比如SHA-1，MD5等，致使目前的SET交易流程存在著潛在的安全隱患。

其次，SET協議在提供高度安全性的同時是以犧牲它的性能為前提的。比如，SET協議要求在銀行網絡、商家服務器、顧客的PC機上安裝相應的軟件，以及SET要求必須向各參與交易的實體發放數字證書，并在支付交易過程中進行參與方的多次相互認證。但是，對于小規模交易，這樣的開銷就顯得非常不值，而且CA為每一個潛在的用戶都分發一個證書也是不現實的。因為SET交易的復雜性，使其受到了商家和用戶的廣泛批評，從而阻礙了SET在電子商務中的進一步發展和應用[1]。

再者，現有的SET支付模型在實際的支付過程中并不完善，不能保證電子交易的原子性。因此某些支付環節需要進一步的完善。

本文主要依據上述的SET協議缺陷分析結果，改進了其中顧客、商家以及支付網關中的信息內容和信息傳遞流程，使其不僅滿足了基本的交易需求，還能夠滿足和確認商品的原子性和發送的原子性。

2 SET的改進支付模型

針對SET協議在實際支付流程中存在的諸多問題，我們從簡化現有復雜的SET支付流程角度出發，提出一種多級安全處理方案的改進支付流程，即將現有的SET的單級安全支付按客戶的不同安全需求劃分為低級安全套接層（Secure Sockets Layer，SSL）、中級SET和高級SET 3個交易級別[2]。并在此基礎上，建立起基于多級安全處理方案的SET改進支付模型。

因此客戶在訂購商品時，需要按照其安全需求，選擇相應的交易級別進行交易支付，從而較好的解決SET支付的復雜性問題。

2.1 改進的SET多級安全支付流程

持卡人和商家之間建立的交易關系是最初的SET消息流，目的是讓持卡人得到商家和支付網關的數字證書，確認交易的可行性[3]。因此，改進的SET多級安全支付流程可以是在原有的SET支付流程基礎上，將兩者的交易關系進行低級SSL、中級SET和高級SET 3級安全劃分，此后再針對不同的交易級別應用不同的支付處理手段。SET多級安全支付流程包括購買請求和支付認定兩部分，其中購買請求包括商家提供在線商品目錄、用戶網上選擇商品、持卡人填寫購物表單和選擇安全級別、商家服務器根據用戶的安全級別進行處理。支付認定分為低級SSL、中級SET和高級SET 3種支付級別，中級SET支付經過與客戶進行SSL驗證、高級SET支付經過與客戶進SET驗證后，3種支付級別再經過商家生成支付請求發送到銀行請求支付和支付網關處理商家信息并向支付銀行提交支付請求。

改進的SET多級安全支付流程可以歸納如下：

（1）持卡人通過個人PC瀏覽器查看商家提供的網上目錄，選擇商品，填寫購物表單，同時持卡人選擇其適用的安全級別，確定訂單簽發付款指令，進行初始化請求，此時SET協議開始介入。

（2）在線商家在接受訂單后，通過持卡人選擇的安全級別進行判斷，并進行相應的支付處理，產生響應消息發送給持卡人。如果是低級SSL，則直接利用SSL協議建立SSL連接，向客戶端發出驗證請求；如果是中級SET，則在商家與持卡人連接時使用SSL協議，而在與銀行連接時使用SET協議；如果是高級SET，則使用原先的SET協議進行參與方的相互認證。

（3）商家向持卡人所在的開戶行請求支付認可。通過支付網關將支付請求提交收單銀行，產生授權請求，請求支付行的支付授權。

（4）商家從持卡人的開戶行得到支付授權消息，由銀行內部網絡進行貨款的劃撥。

（5）商家發出訂購確認信息，同時發出商品或者執行所訂購的服務，結束一次網上支付過程。

SET多級支付流程實質上并未從根本改變原有SET的支付流程模式，只是按照客戶的不同安全需求對原支付流程進行分解。

2.2 基于多級安全處理方案的SET改進支付模型

SET的多級安全支付流程從一開始就按照持卡人的安全需求，對客戶進行了適當的分離，即對安全需求低或者消費金額不大的持卡人采用低級的SSL協議；對安全需求中等的持卡人采用SSL和SET相結合的策略；而對安全需求高的持卡人則依舊采用原有的SET協議[4]。

多級安全支付流程的分析與建立，減少了參與方之間的認證次數，從一定程度上解決了原有SET支付流程中參與方都需反復認證的問題，從而提高了SET支付速度，滿足了消費者的不同支付需要。

基于多級安全支付流程方案的SET改進支付模型，就是在原有的SET支付模型基礎上充分考慮到低級SSL和中級SET的支付流程，將SSL協議與SET協議創新性地相結合，可以建立商家和客戶之間的SSL連接，同時也保證商家和支付銀行之間的SET連接，從而進行網上支付處理。而對于高級SET的交易模式，還可以設計一個關于參與交易方的信用評價模塊，完善其交易模型，以保證交易的原子性（商品原子性、資金原子性和發送原子性）。

支付模型的主體由持卡人、商家、發卡行、收單行和支付網關組成，其支付流程按多級安全支付流程處理。

3 模型的分析

基于多級安全處理方案的SET改進支付模型，并未改變原有SET的核心支付模型。其主要是將SSL協議加入到SET支付模型中進行結合，按照客戶的不同安全需求，選擇不同的安全支付策略（低級SSL、中級SET和高級SET）。這種支付模型不僅使得交易的機密性得到了進一步的保證，還因為在一定程度上解決了加密算法的局限性，因此具有更加廣泛的應用。

SET中使用的報文交換是非實時的，因此它涉及了多方的交換，而SSL的交換僅僅只是在雙方間建立一個面向連接的安全通道，因此兩者的相同之處就在于都是使用的RSA公開密鑰算法，而從其他方面來說，兩者的相似度并不高。

SET協議和SSL協議在現實的支付交易過程中各有長短。對于小額資金交易或者安全需求低的交易，客戶和商家之間不必進行繁瑣的相互認證。對于中級SET用戶，商家和客戶之間建立SSL連接，而商家和支付銀行之間仍然是SET連接，其中客戶只對某個發卡銀行的合法用戶身份進行驗證。對于高級SET用戶，依舊選擇原有的SET支付模型，對參與方進行相互的身份認證，確保交易安全。

[1]張芳，王曉東，賀煒.一種SET支付模型的改進策略及其性能分析[J].長沙大學學報，2009（5）：28-29.

[2]張蕾.基于SET協議的電子支付平臺的分析與設計[J].機械管理開發，2014（6）：11-13.

[3]鐔欣，李曉峰.基于SET協議的電子支付系統的模型改進和分析[J].價值工程，2010（12）：169.

[4]任大勇.基于時延Petri網的移動電子支付協議模型[J].計算機與數字工程，2013（10）：1622-1624，1675.

Study on an improved payment model of secure electronic transaction protocol

Pan Shan
(Mechanical and Electrical Engineering Department, Jiangxi Metallurgical Vocational College, Xinyu 338015, China)

Based on the analysis of the complexity of the payment process of the original SET protocol, this article improves the payment flow of the SET according to the customer’s security needs to three levels of payment, namely low-level SSL, medium-level SET and highlevel SET, so as to better solve the problems that multiple parties Mutual authentication, high complexity, high maintenance costs, slow trading and other issues. Furthermore, an improved SET payment model is proposed in the process of multi-level secure payment, which gives a reference for further research on secure payment of e-commerce.

SET protocol；SSL protocol；multi-level secure payment；payment flow；payment model

潘山（1978— ），男，江西新余人，講師，碩士；研究方向：計算機網絡技術。