pki与支付宝.docVIP

公钥基础设施课程总结报告 网络购物作为一种新兴的商业模式，近年来得到了快速发展。据iResearch艾瑞咨询公布的《2007-2008年中国网络购物发展报告》数据显示，2007年中国网络购物市场规模已达到561亿元，比2006年同比增长了117.4%，其中C2C电子商务增长了125.2%，B2C电子商务增长了92.3%。同时，其预计随着2008年奥运会的召开及百度等新进入者对市场发展的拉动，网络购物市场将继续保持95%的高速率增长，预计至2011年中国网络购物市场规模将达到4060亿元。随着中国网络购物行业的发展，越来越多的非银行类企业开始介入支付领域。这就是所谓的第三方支付。目前中国的第三方支付包括三个类型，一个是在银行基础支付层提供的统一平台和接口的基础上，提供网上支付通道，如北京首信、上海环讯、网银在线和云网支付等。第二类是自身拥有庞大用户的网上购物、拍卖公司如eBay易趣、淘宝、慧聪等，他们都建立了自己的支付平台。第三类即独立的第三方支付公司，这些公司的模式是第三方垫付，即支付公司为买家垫付资金，或如快钱、Yeepay等公司设立虚拟账户的模式。 第三方支付大大推动了中国电子商务网上购物的进展，但这些支付平台相当一部分没有得到中国有关金融安全部门的技术认证，技术安全手段上存在一定的不安全因素。支付宝交易服务是阿里巴巴网络有限公司旗下的致力于为中国电子商务提供在线支付解决方案，其用户覆盖了整个C2C，B2C，以及B2B领域。据艾瑞咨询研究数据显示，2007支付宝的交易额规模高达476亿元，占整个电子支付市场47.6%。支付宝交易的成功应用有效地缓解了网络支付安全问题，为网络购物的发展提供了有益的借鉴。 1．实名认证。实名认证是身份认证的基本环节，其包含了物理身份认证和银行帐户信息认证。在注册使用支付宝过程中，阿里巴巴公司会要求用户在填写真实注册信息后，上传居民身份证、营业执照等相关证书的图像文件，然后将注册信息、身份证件与相应的行政管理部门的数据库信息，如居民身份证信息与公安部的全国公民身份信息进行比对，如身份审核一致则予以通过。在认证过程中，阿里巴巴公司同时要求注册用户提交相应的网上银行的帐号信息，通过向该帐号打入一定余额的货币，要求用户提交该帐户余额变化的数额来验证注册用户提交的帐号是否是有效帐户，如果金额正确则通过验证。通过以上两点可以有效的识别注册用户的真实身份和真实的帐户信息，且在支付宝的个人信息认证中，只允许一个身份证号通过一次审核验证，避免网络用户的重复注册行为，有效的净化了用户数据信息。 2．数字证书。数字证书是网民的网络身份证，它是以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密，数字签名和签名验证，确保网上传递信息的机密性、完整性。支付宝数字证书的使用，可以有效地避免因用户个人帐户信息、密码等丢失或被盗而引起的帐户资金被盗等问题。支付宝目前使用的是双证书解决方案：支付宝会员在申请数字证书时，将同时获得两张证书，一张用于验证支付宝帐户，即会员数字证书，另一张用于验证会员先前所使用的计算机，即计算机终端证书，会员必须为每一台计算机重新申请一张证书。这样即使会员数字证书被他人非法窃取，也可保证其中帐户不会受到损失。在申请使用数字证书后，如果在其他电脑登陆支付宝帐户，没有导入备份的数字证书情况下，只能对帐户查询操作帐户，从而增加了帐户使用安全。 　密钥托管技术又称为密钥恢复（Key Recovery），是一种能够在紧急情况下获取解密信息的技术。它用于保存用户的私钥备份，既可在必要时帮助国家司法或安全等部门获取原始明文信息，也可在用户丢失、损坏自己的密钥的情况下恢复明文。因此它不同于一般的加密和解密操作。现在美国和一些国家规定：必须在加密系统中加入能够保证法律执行部门可方便获得明文的密钥恢复机制，否则将不允许该加密系统推广使用。1）首先用户向CA 申请到公钥签名证书(此证书无需委托签名) ； （2CA 申请公钥加密证书； （3）CA 发现没有收到用户的密钥托管证书，向用户发送索要信息并附带CA 推荐的m≥n 位可信赖的委托人的公钥签名证书； （4）用户选择n 位委托人， 再次通过CA认证委托人身份的正确性； （5） 用户给每一位委托人发一对( X [ i ] ，Y [ i ]) 。委托人向CA 验证用户的身份之后，继续通过公式Y [ i ] = mod p 验证( Y[ i ] ， X [ i ]) 的正确性。若正确， 则产生相应的托管证书。托管证书包含该用户的特定标示符UID、与被托管的部分私钥X [ i ]相对应的那部分公钥Y [ i ] 、委托人的标示符和托管证书号。用委托人对此信息签名后，发给用户。 （6）用户收到信息后，验证信息的正确性。然后把托管证书以及完整公钥Y 交给CA 继续