تراکنش الکترونیکی ایمن

تجارت الکترونیک، به عنوان یک محبوبیت نمونه در اینترنت است، که تأثیر بسیار زیادی در صنعت خدمات مالی دارد. مؤسسه غیر مالی تحت تأثیر انفجار تجارت الکترونیکی باقی‌مانده خواهد شد حتی اگر SSL بسیار مؤثر و به‌طور گسترده‌ای به عنوان استاندارد پرداخت آنلاین پذیرفته شود، که نیاز به اعتماد مشتری و بازرگان به یکدیگر هست: نیاز نامطلوب حتی در معاملات چهره به چهره، و در سراسر اینترنت به آن اذعان می‌شود که خطرات غیرقابل قبولی هستند. ویزا و مسترکارت و کنسرسیومی متشکل از ۱۱ شرکت‌های فناوری یک وعده به بانک‌ها داده‌اند، تجار و مصرف‌کنندگان آن‌ها را در امنیت در اینترنت برای انجام تراکنش‌های کارت اعتباری را ایجاد می‌کنند: با عنوان‌های پرهیاهو، آن‌ها دست به معرفی پروتکل امن تراکنش الکترونیکی برای پردازش خرید کارت اعتباری آنلاین زدند.

بررسی اجمالی از پروتکل SET

سیستم‌های پرداخت امن در موفقیت تجارت الکترونیک بسیار مهم هستند. چهار نیازمندی‌های امنیتی ضروری برای پرداخت‌های الکترونیکی امن وجود دارد (تصدیق، به رمز، تمامیت و عدم انکار). رمزگذاری یک طرح امنیتی پذیرفته شده برای کلید سیستم‌های پرداخت الکترونیکی است، که در پروتکل‌های مانند SSL و SET استفاده می‌شود.

مشکل با SSL

پروتکل SSL، امروزه بر روی اینترنت مستقر شده، به ایجاد یک سطح پایه از امنیت کافی کمک کرده‌است برای برخی علاقه برای شروع انجام کسب و کار در سراسر وب را به وجود آورده‌است. SSL در بسیاری از مرورگرهای بزرگ وب استفاده و توسط مصرف‌کنندگان اجرا می‌شود، و همچنین در نرم‌افزار سرور تجاری، است که پشتیبان نمای مجازی فروشنده در فضای مجازی است. صدها میلیون دلار در حال حاضر در دست تغییر هست زمانی که خریداران اینترنتی در صفحات وب ایمن با تکنولوژی SSL شماره کارت اعتباری خود را وارد می‌کنند. در این مفهوم، SSL یک کانال امن را بین مصرف‌کننده و تاجر برای تبادل اطلاعات پرداخت فراهم می‌کند. این به این معنی است که هر گونه اطلاعات از طریق این کانال فرستاده شده رمزگذاری شده‌است، به‌طوری‌که هیچ‌کس به غیر از این دو بخش قادر به خواندن آن نخواهند بود. به عبارت دیگر، SSL می‌تواند ارتباطات محرمانه را به ما بدهد، که آن نیز به معرفی خطرات بسیار بزرگ می‌پردازد:

• دارنده کارت از استراق سمع اما نه از بازرگان محافظت می‌شود. بعضی از بازرگانان متقلب: پورنوگراف‌ها را بیشتر از قیمت آگهی متهم کرده‌اند، انتظار مشتریان خود را از رو در وایستی به گله کردن سوق داده‌اند. برخی دیگر تنها هکرها که با قرار دادن یک وب سایت غیرقانونی بسیار جالب و حرفه‌ای به شرکت XYZ که خود را به جای آن شرکت معرفی می‌کنند یعنی به نوعی جعل هویت نام آن شرکت را می‌کنند یا با جمع‌آوری شماره کارت اعتباری استفاده شخصی.

  بازرگان از مشتریان متقلب محافظت نمی‌کنند که شماره کارت اعتباری نامعتبر عرضه می‌کنند یا ادعا ی بازپرداخت بدون علت از بانک خود را می‌کنند. بر خلاف باور عموم، آن دارنده کارت نیست، اما تاجر است که بیشتر دست به تقلب می‌زند. قوانین در بسیاری از کشورها از مصرف‌کننده محافظت می‌کند.

بازنگری پروتکل SET

ما در اینجا می‌خواهم یک پروتکل بسیار شبیه به معاملات با کارت اعتباری در فروشگاه‌های محلی، چیزی است که SSL می‌کند در قابلیت تقلید نیست. SET یکی از آن‌ها است.

هدف‌ها و موجودیت‌ها

اهداف

هدف از پروتکل SET برای ایجاد معاملات پرداخت است که

• ارائه محرمانه بودن اطلاعات؛
• اطمینان از یکپارچگی دستورالعمل پرداخت برای کالاها و خدمات منظور داده ها؛
• تصدیق هر دو دارنده کارت و تجاری.

موجودیت‌های اصلی

• دارنده کارت (مشتری)
• بازرگان (وب سرور)
• بانک‌های تجاری در (دروازه پرداخت، فراگیرنده) دروازه پرداخت یک دستگاه اداره شده توسط فراگیرنده است. گاهی اوقات، این دو نهاد را جدا می‌کنند.
• فرستنده (بانک دارنده کارت)

چگونه کار می‌کند

هر دو دارندگان کارت و بازرگانان باید ابتدا باCA (تأیید هویت) ثبت نام کنند. قبل از خرید یا فروش بر روی اینترنت، که بعداً صحبت خواهیم کرد. پس از اینکه ثبت نام انجام شد، دارنده کارت و تاجر می‌تواند شروع به انجام معاملات بکند، که شامل ۹ گام‌های اساسی در این پروتکل، که ساده است.

1. مشتری وب سایت‌ها را مرور می‌کند و در مورد آنچه که باید بخرد تصمیم می‌گیرد
2. مشتری سفارش و اطلاعات پرداخت می‌فرستد، که شامل ۲ بخش در یک پیام است:
   1. سفارش خرید - این قسمت برای تاجر
   2. اطلاعات کارت - این پت فقط برای بانک خریداری‌کننده است.
3. جلو بازرگان اطلاعات کارت (قسمت ب) به بانک خود
4. بازرگانان بانک فرستنده را برای مجوز پرداخت بررسی می‌کنند.
5. صادرکننده مجوز را به بانک بازرگانان ارسال می‌کند.
6. بانک بازرگانان مجوز به بازرگان را ارسال می‌کند.
7. بازرگان به منظور کامل تأیید به مشتری را ارسال می‌کند
8. بازرگان تصویر از تراکنش بانک خود را نگه می‌دارد.
9. فرستنده صورتحساب کارت اعتباری (فاکتور) به مشتری را چاپ می‌کند.

بررسی اجمالی پروتکل

(معاملات امن الکترونیکی) یک پروتکل امنیتی بسیار جامع است، که با بهره‌گیری از رمزنگاری برای ارائه محرمانه بودن اطلاعات هست، اطمینان از درستی پرداخت، و فعال کردن احراز هویت وشناسایی هست. به منظور استفاده از احراز هویت، دارندگان کارت، تجار، و کارفرمایان گواهینامه‌های دیجیتال توسط سازمان حمایت خود را صادر خواهند کرد. آن در رمزنگاری و گواهی نامه‌های دیجیتال برای اطمینان از محرمانه بودن پیام و امنیت تکیه دارد. پاکت‌های دیجیتال به‌طور گسترده‌ای در این پروتکل استفاده می‌شود. پیام داده با استفاده از یک کلید به صورت تصادفی تولید می‌شود که بیشتر با استفاده از کلید عمومی‌گیرنده رمزگذاری رمزگذاری شده‌است. این اشاره‌ای است به عنوان «پوشش‌های دیجیتال» از پیام است و به دریافت‌کننده با پیام رمز شده ارسال می‌شود. گیرنده رمزگشایی پاکت دیجیتال را با استفاده از یک کلید خصوصی و پس از آن با استفاده از کلید متقارن برای بازکردن پیام اصلی استفاده می‌کند. گواهینامه‌های دیجیتال که همچنین اعتبار نامه‌های الکترونیکی یا شناسه دیجیتال نامیده می‌شود، اسناد دیجیتال گواهی اتصال یک کلید عمومی را به یک شخص یا نهادی می‌باشد. هر دو دارندگان کارت و بازرگانان باید با یک مرجع گواهی (CA) ثبت نام کنند. قبل از اینکه آن‌ها بتوانند در معاملات شرکت کنند. دارنده کارت در نتیجه به دست آوردن اعتبار الکترونیکی باید ثابت کند که قابل اعتماد است. بازرگان به همین ترتیب ثبت نام و اعتبار را به دست می‌آورند. این اعتبار حاوی اطلاعات حساس مانند شماره کارت اعتباری نیست. بعدها، زمانی که مشتری می‌خواهد خرید کند، او و تجار اعتبار خود را تبادل می‌کنند. اگر هر دو طرف راضی هستند و سپس آن‌ها می‌توانند معامله را ادامه دهند. مدارک باید هر چند سال تمدید شود، و احتمالاً در دسترس کلاهبرداران شناخته شده نیست.

رمزنگاری SET

تراکنش‌های الکترونیکی امن (SET) متکی بر علم رمزنگاری - و پیام‌های رمزگشایی را پشتیبانی می‌کند. دو روش رمزگذاری اولیه وجود دارد که امروزه استفاده می‌شود: رمزنگاری کلید مخفی و رمزنگاری کلید عمومی. رمزنگاری مخفی کلید برای تبادل پیام با گروه بزرگی از خبرنگاران ناشناخته بر روی یک شبکه عمومی غیر عملی است. برای یک تاجر برای انجام معاملات ایمن با میلیون‌ها نفر از مشترکین، که هر مصرف‌کننده نیازمند به یک کلید مجزا اختصاص داده شده توسط تاجر و قابل انتقال از یک کانال جداگانه امن هست. با این حال، با استفاده از رمزنگاری کلید عمومی، که همان تاجر می‌تواند / جفت کلید عمومی و خصوصی را ایجاد و کلید عمومی را هم منتشر کند، اجازه می‌دهد هر مصرف‌کننده پیام امن برای تاجرا ارسال کند. به همین دلیلSET در هر دو روش در روند رمزگذاری استفاده می‌شود. رمزنگاری کلید مخفی مورد استفاده درSET استاندارد رمزگذاری شناخته شده داده‌ها (DES) است، که توسط موسسات مالی برای رمزگذاری پین‌ها مورد استفاده قرار می‌گیرد (personal identification numbers).. و رمزنگاری کلید عمومی مورد استفاده در SET ،RSA است. در بخش زیر، استفاده از (کلید مخفی) متقارن و (کلید عمومی) نامتقارن رمزنگاری کلید درSET انجام خواهد شد.

استفاده از کلید متقارن

در SET، داده پیام با استفاده از یک کلید متقارن به‌طور تصادفی تولید و رمزگذاری می‌شود. (DES کلید ۵۶ بیتی). این کلید، به نوبه خود، با استفاده از کلید عمومی پیام گیرنده رمزگذاری می‌شود ((RSA. نتیجه این به اصطلاح «پاکت‌های دیجیتال» از پیام است. این ترکیبی از سرعت رمزگذاری DES با مزایای مدیریت کلید هایRSA رمزنگاری کلید عمومی است. پس از رمزگذاری، پاکت نامه و پیام رمز شده خود را به دریافت‌کننده ارسال می‌کند. پس از دریافت اطلاعات رمزگذاری شده، دریافت‌کننده پاکت‌های دیجیتال رمزگشایی را برای اولین بار با استفاده از کلید خصوصی خود ش برای به دست آوردن کلید متقارن که به‌طور تصادفی تولید می‌شود و سپس با استفاده از کلید متقارن پیام اصلی را باز می‌کند. این سطح از رمزگذاری، از DES استفاده می‌کنند، به راحتی می‌توانند با استفاده از سخت‌افزارهای مدرن شکسته شود. در سال ۱۹۹۳، یک دستگاه کد شکن DES طراحی شده مایکل وینر که یک انبوه موازی بود. برای کمتر از یک میلیون دلار، یک کلید DES ۵۶ بیتی می‌تواند در زمانی به‌طور متوسط ۳٫۵ ساعت شکسته شود. برای یک میلیارد دلار، یک ماشین موازی را می‌توان ساخت که ۵۶ بیتی DES را در یک ثانیه بشکند (Schneier, 1996).. بدیهی است، این یکی از نگرانی‌های بزرگ رمزگذاری DES در اکثر معاملهSET است.

استفاده از کلید نامتقارن- امضاء دیجیتال (خلاصه پیام)

در SET، رمزنگاری کلید عمومی تنها مورد استفاده برای رمزگذاری کلید DES و برای احراز هویت (امضای دیجیتال) است اما برای بدنه اصلی از معامله نیست. در SET، ماجول RSA ۱۰۲۴ بیت طول دارد. (با استفاده از آخرین نتایج فاکتورگیری: از شماره به نظر می‌رسد که فاکتورگیری مدول ۱۰۲۴ بیتی را بیش از ۱۰۰٫۰۰۰٫۰۰۰٫۰۰۰ از تلاش‌های محاسباتی مورد نیازم هست). برای تولید امضای دیجیتال، SET با استفاده از کلید عمومی / خصوصی مجزا می‌باشد. هر شرکت‌کننده SET دارای دو جفت کلید نامتقارن است: زوج «کلید تبادلی» است که در فرایند رمزنگاری کلید بخش و رمزگشایی استفاده می‌شود، و «امضا» زوج برای ایجاد و تأیید از امضاهای دیجیتال است. (خلاصه پیام ۱۶۰ بیتی) الگوریتم به‌طوری‌که تنها با تغییریک بیت در پیام تغییر ایجاد خواهد کرد، به‌طور متوسط، نیمی از بیت در خلاصه پیام. تقریباً، امکان دو پیام مختلف دارای یک پیام خلاصه یکسان در ۱٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰٬۰۰۰، که به معنی آن است که محاسباتی و غیرعملی برای تولید دو پیام مختلف که همان پیام خلاصه است.

RSA-OAEP

RSA-OAEP (RSA Encryption Scheme - Optimal Asymmetric Encryption Padding) (طرح رمزگذاری RSA - رمزگذاری نامتقارن بهینه و توسعه یافته) توسط Bel-lare و Rogaway در سال ۱۹۹۴ پیشنهاد شد که یکی از نوآوری‌های SET است. RSA-OAEP طرح رمزنگاری کلید عمومی ترکیبی از رمزگذاری روش OAEP با رمزگذاری RSA ابتدایی است. RSA-OAEP به عنوان ورودی یک متن ساده طول می‌کشد، تا آن را تبدیل به یک پیام رمزی از طریق OAEP و اعمال RSAEP (رمزگذاری اولیه RSA) به نتیجه (تفسیر به عنوان یک عدد صحیح) با استفاده از کلید عمومی RSA. RSA-OAEP هر دو کارآمد و امن در نظر گرفته می‌شود و برای به رمز درآوردن پیام‌های فقط کوتاه طراحی شده‌اند. کلیدهای مخفی به‌طور معمول برای رمزنگاری متقارن یا الگوریتم MAC به کار می‌روند. OAEP روابط امنیت رمزگذاری RSA نزدیک به آنچه در عملیات اساسی RSA. نسخه OAEP مورد استفاده در SET نسخه‌های پیشرفته تر از طرح اصلی است. در حالی که روش قالب بندی موجود برای رمزگذاری پیام RSA هیچ نقص شناخته شده‌ای ندارد، جنبه‌های امنیتی قابل اثبات از OAEP بسیار جذاب می‌باشد. OAEP بسیار جدید است اما در حال حاضر آن است که یک بخشی از تلاش‌های استاندارد IEEE P۱۳۶۳ است.

در طرح رمزگذاری RSA-OAEP ثابت شده‌است که از لحاظ معنایی در برابر تطبیقی حملات انتخاب، متن رمز در مدل اوراکل تصادفی با فرض RSA امن. حملات متن رمز شده در مدل اوراکل تصادفی با فرض RSA. با این حال، کاهش تنگ نیست، و به این ترتیب مشخص نیست که چه تضمین‌های امنیتی را به‌طور اثبات فراهم می‌کند. توصیه می‌شود که RSA-OAEP به RSA-OAEP + اصلاح شده‌است باعث کاهش امنیتی شدید تری می‌شود، و علاوه بر این می‌تواند به راحتی اصلاح شود و اجازه می‌دهد رمزگذاری پیام‌های خودسرانه طولانی شود. علاوه بر این، RSA-KEM طرح رمزنگاری است که کاهش محکمی است باید به عنوان یک جایگزین برای RSA-OAEP در نظر گرفته شود.

امضاهای دوگانه

نرم‌افزار جدید از امضاهای دیجیتال درSET را معرفی می‌کند، یعنی مفهوم امضا دوگانه است. امضاهای دوگانه هنگامی که دو پیام نیاز به ارتباطهای امن دارند مورد نیاز است در عکس زیر فرایند تولید دو امضا را نشان می‌دهد. در SET، امضا دوگانه برای پیوند یک پیام سفارش که به تاجر ارسال می‌شود تا دستورالعمل پرداخت که حاوی اطلاعات حساب‌های ارسال شده به فراگیرنده است مورد استفاده قرار می‌گیرد. (بانک‌های تجاری) هنگامی که تاجر درخواست مجوز به فراگیرنده می‌فرستد، آن شامل دستورالعمل پرداخت و خلاصه پیام از اطلاعات سفارش که توسط دارنده کارت به آن فرستاده می‌شود. فراگیرنده با استفاده از خلاصه پیام از بازرگان و محاسبه پیام خلاصه‌ای از دستورالعمل پرداخت برای بررسی امضا دوگانه است.

فرایند SET

پروتکل SET با بهره‌گیری از رمزنگاری به ارائه محرمانه بودن اطلاعات، اطمینان از درستی پرداخت، و فعال کردن احراز هویت می‌پردازد. به منظور استفاده از احراز هویت، دارندگان کارت، تجار، و کارفرمایان هست که گواهینامه‌های دیجیتال توسط سازمان مورد حمایت خود را صادر می‌کند. آن همچنین ازامضا دوگانه برای اینکه اطلاعات کارت اعتباری مشتری که از بازار خریداری کرده‌است را پنهان کند و همچنین اطلاعات سفارش به بانک‌ها، جهت محافظت از حریم خصوصی پنهان نگه می‌دارد.

مراحل فرایند

1. تاجر فاکتور و منحصربه‌فرد ID معامله می‌فرستد (XID)
2. تاجر گواهی نامه‌های تجاری و گواهی بانکی می‌فرستد (رمزگذاری با کلید خصوصی CA)
3. مشتری گواهینامه را رمزگشایی، کلیدهای عمومی را به دست می‌آورد.
4. مشتریان اطلاعات سفارش (OI) را تولید و اطلاعات پرداخت (PI) با کلید جلسه‌های مختلف و امضای دوگانه رمزگذاری می‌کند.
5. تاجر درخواست پرداخت به بانک‌های رمزگذاری شده با کلید نشست‌های بانک تجار، PI، خلاصه OI و گواهی تاجر می‌فرستد
6. بانک آن IDمعامله(XID) را مطابق با اطلاعات پرداخت (PI) تأیید می‌کند.
7. بانک درخواست مجوز برای صدور کارت شبکه ویزا را به بانک می‌فرستد.
8. بانک موافقت را به تاجر می‌فرستد.
9. تاجر قبول را به مشتری می‌فرستد.

هدف اولیه پرداخت

هدف اولیه پرداخت این است به مشتریان اجازه می‌دهد که مجوز از بازرگان دریافت کنند. در درخواست اولیه به عنوان PinitReq هشت رشته از اطلاعات انجامی را نشان می‌دهد.

بیمه گواهینامه

قبل از اینکه دو طرف از رمزنگاری کلید عمومی برای انجام کسب و کار استفاده کنند. هر کدام می‌خواهند تا مطمئن شوند که طرف دیگر تصدیق شده‌است. یک راه برای اطمینان اینکه که کلید عمومی متعلق به بخش راست است که آن را در طول یک کانال امن به‌طور مستقیم از همان محل دریافت خواهید کرد. با این حال، در بسیاری از شرایط این راه حل عملی نیست. یک جایگزین برای تأمین امنیت انتقال کلید است که جهت اعتماد شخص ثالث و صحت از اینکه کلید عمومی متعلق به آلیس یعنی شخص ثالث در ارتباطات امنیتی هست مورد استفاده قرار می‌گیرد. چنین بخش به عنوان یک مرجع گواهی شناخته می‌شوند (CA). از آنجا که شرکت کنندگان SET دو جفت کلید دارند، آن‌ها دو گواهی نیز دارند. هر دو گواهی امضا شده در همان زمان توسط سازمان گواهی ایجاد می‌شوند.

گواهی شرکت کنندگان

گواهینامه‌های دارنده کارت

دارنده کارت تابع صدور گواهینامه به عنوان یک نمایش الکترونیکی از کارت پرداخت هست. از آنجا که گواهینامه به صورت دیجیتال توسط یک مؤسسه مالی به امضا می‌رسد، که آن نمی‌تواند توسط شخص سومی تغییر داده شود و تنها توسط یک مؤسسه مالی ایجاد شده قابل تغییر هست. گواهینامه دارنده کارت شامل شماره حساب و تاریخ انقضا نیست. در عوض اطلاعات حساب و مقادیر محرمانه تنها با نرم‌افزار دارنده کارت با استفاده از یک الگوریتم هش کردن یک طرفه کدگذاری می‌شد قابل شناسایی بود. اگر شماره حساب، تاریخ انقضا، و ارزش‌های مخفی شناخته شده‌است، لینک به گواهی را می‌توان ثابت کرد، اما اطلاعات را نمی‌توان با نگاه کردن به گواهینامه مشتق شده باشد. در پروتکل SET، دارنده کارت اطلاعات حساب را تأمین می‌کند و مقادیر محرمانه دروازه پرداخت هم جایی که در آن لینک تأیید است هست. گواهینامه تنها به دارنده کارت صادر می‌شود در هنگام صدور مؤسسه مالی صاحب کارت صدور را تأیید کرد. با درخواست یک گواهینامه دارنده کارت نشان می‌دهد که قصد انجام تجارت الکترونیکی از طریق ابزارها را دارد. این گواهی به تجار با درخواست خرید و رمزگذاری دستورالعمل پرداخت منتقل می‌شود. پس از دریافت گواهی دارنده کارت، یک تاجر می‌تواند مطمئن باشد، حداقل، این شماره حساب، که توسط مؤسسه مالی صدور کارت یا نماینده صادر شده دارای اعتبار است. طبق این خصوصیات، گواهینامه‌های دارندگان کارت طبق مارک‌های کارت پرداخت به صورت اختیاری و انتخابی هستند.

گواهی نامه‌های تجاری

عملکرد گواهی نامه‌های تجاری به عنوان یک جایگزین الکترونیکی مننعکس‌کننده نام تجاری پرداخت هست؛ که به نظر می‌رسد در پنجره فروشگاه منعکس‌کننده خود نمایانگر این است که تاجر است یک رابط با مؤسسه مالی هست که اجازه پذیرفتن نام تجاری کارت پرداخت را می‌دهد. از آنجا که آن‌ها به صورت دیجیتال توسط تاجر مؤسسه مالی امضا می‌شود. پس گواهی‌های تجاری که توسط یک مؤسسه مالی ایجاد شده را نمی‌توان توسط یک شخص ثالث تغییر داد. این گواهی‌ها توسط مؤسسه مالی تأیید را بدست آوردند و تضمین و دادن اطمینان به تاجر قرارداد معتبر با فراگیرنده را نگه می‌دارد. تاجر باید حداقل یک جفت از گواهی نامه برای شرکت در محیط SET را داشته باشد، ممکن است برای هر تاجر دو گواهینامه‌های متعددی وجود داشته باشد. تاجر هر دو گواهینامه‌های پرداخت با هر نام تجاری را که پذیرفته را قبول می‌کند.

گواهینامهٔ دروازه پرداخت

گواهی دروازه پرداخت‌ها که توسط کارفرمایان به دست آمده پردازشگرو یا سیستم‌هایی برای فرایند مجوز و ضبط این پیام وجود دارد. دروازه کلید رمزنگاری، که از دارنده کارت به گواهینامه انجام می‌شود، برای محافظت از اطلاعات حساب دارنده کارت استفاده می‌شود. گواهینامه دروازه پرداخت توسط فراگیرنده به نام تجاری پرداخت صادر می‌شود.

گواهینامهٔ صادرکننده

صادرکننده باید گواهی را به منظور عمل به یک مرجع گواهی درخواست فرایند گواهینامه را به‌طور مستقیم از دارنده کارت روی شبکه عمومی و خصوصی دریافت نماید. صادرکننده‌ای که نام و نشان کارت پرداخت را انتخاب می‌کند درخواست فرایند گواهینامه از طرف آن‌ها را نخواهد پذیرفت چون آن‌ها پیام فرایند SET را ندارند؛ و صادرکننده این گواهینامه را از نشان یا برند کارت پرداخت دریافت می‌کند.

ثبت نام

ثبت نام شرکت کنندگان

همان‌طور که در بخش۱ شرح داده شده‌است دارنده کارت و تاجر باید قبل از اینکه معامله‌ای انجام دهند در CA ثبت نام کنند؛ و پروسه ثبت نام باید به اندازه کافی امن باشد، این دو فرایند شامل اطلاعات حساس هستند.

• ثبت نام دارنده کارت

این فرایند بین دو طرف شامل ۶ پیام هست: دارنده کارت و صادرکننده (CA)

1. دارنده کارت یک درخواست به CA را شروع می‌کند.
2. بعد از اینکهCA ۱پیام از دارنده کارت دریافت می‌کند، CA پاسخ می‌دهد. این پیام شامل کلید عمومی مبادله‌ای CA گواهینامه توسط ریشه CA امضا شده‌است. امضای گواهیCA و درخواست اولیه رمز شده با استفاده از کلید خصوصی CA است.
3. دارنده کارت درخواست فرم ثبت نام در این پیام را می‌دهد. او به‌طور تصادفی کلید متقارن K۱ تولید می‌کند، که برای به رمز درآوردن درخواست استفاده شده‌است، و آن را همراه با پاکت‌های دیجیتال از جمله کلید K۱ و شماره کارت اعتباری خود را می‌فرستد.
4. CA تعیین بانکی صدور کارت به وسیله شماره کارت اعتباری را تعیین و به صورت مناسبی برمی‌گرداند؛ که توسط CA و به همراه گواهی امضای CA امضا می‌شود.
5. دارنده کارت یک امضای جفت کلید عمومی و شخصی، دو کلید متقارن K2,K۳ و یک عدد S۱ تصادفی تولید می‌کند. همچنین یک پیام پرشده فرم ثبت نام، کلید عمومی، و k۲ و امضای دیجیتال خودش را ایجاد می‌کند. این پیام با استفاده از K۳ رمزگذاری می‌شود و با پاکت‌های دیجیتال شامل K۳ و شماره کارت ارسال می‌شود.
6. CA صحت اطلاعات رو تأیید می‌کند، سپس یک ID دیجیتال رو به Ca صادر می‌کند. CA یک مقدار محرمانه را که با استفاده از عدد تصادفی S۲ تولید و به وسیله CA و S۱ را تولید می‌کند. این مقادیر مخفی، شماره حساب و تاریخ انقضا بیشتر از راه هش کردن و تولید اعداد محرمانه تغذیه می‌کنند. ‍‍CA گواهینامه را که شامل اعداد محرمانه و دارنده کارت کلید عمومی را امضا می‌کند. سپس CA این گواهینامه کدگزاری شده را با استفاده از K۲ همراه و آن گواهینامه را امضا می‌کند.

این روند ثبت نام شامل سه مرحله است. دو پیام برای اولین بار دربارهٔ رسین کلید عمومی CA بود. هنگامی که دارنده کارت کلید مبادله‌ای CA را دارد، او می‌تواند فرم ثبت نام را در ۳ و ۴ پیام درخواست کند. این گواهینامه در ۲ پیام گذشته هست.

• ثبت نام تاجر

ثبت نام تاجر از دارنده کارت آسان تر هست، که شامل ۴ پیغام هست. دو پیام اول تقریباً با دارنده کارت همسان هستند، به جز در پیام دوم فرم ثبت نام ارسال شده‌است. تاجر دو جفت کلید عمومی و خصوصی را برای یکی از امضاها تولید می‌کند. از طرفی برای تبادل کلید یک جفت را با دارنده کارت مقایسه می‌کنند.

دو مشکل با پروتکل ثبت نام

پروتکل ثبت نام پروتکل امن ثابت شده‌است. اما دو خطر علت نا امنی وجود دارد. اول این که دارنده کارت نیاز نداره که یک امضای جفت کلید تازه ایجاد کند، اما ممکن هست یکی گذشته ثبت نام کرده باشد. خطری که وجود دارد این هست که کلید قدیمی می‌تواند به خطر بیفتد؛ و مشکل دیگر این هست که مقدار محرمانه تولید شده که در بالا به آن اشاره شد به صورت منحصربه‌فرد و از شماره‌های (S۲ و S1) که توسط هر دو انتخاب می‌شود. از آنجا که منحصربه‌فرد و وارون هست، یک کار جنایی برای CA می‌تواند مقادیر محرمانه یکسان به دارندگان کارت تحویل دهد. این ترکیب موجب به خطر افتادن مجرم می‌شود و می‌تواند دارنده جعل هویت دارنده کارت را بکند. این دو مشکل ثبات پذیر هستند. نا امنی برای اولین بار می‌تواند در تطبیق دارنده کارت ترمیم پیدا کند دومی را می‌توان با جایگزین کردن انحصاری یا با روش هش کردن اثبت کرد.

امنیت در SET

الگوریتم رمزنگاری در SET

• رمزگذاری متقارن
• DES (Data Encryption Standard): کلید ۵۶ بیتی، محافظت از اطلاعا ت مالی
• CDMF (Commericial Data Masking Facility): کلید ۴۰ بیتی، حفاظت از به دست آوردن پیام دارنده کارت
• (Asymmetric encryption and digital signature) RSA
• SHA-۱: تابع هش کردن
• HMAC(بر پایه SHA-1): پیغام تأیید کد

آینده SET

SET می‌تواند در زمان وافعی کار کند یا ذخیره و به جلو انتقال پیدا کند، و صنعت حمایت شده توسط شرکت‌های کارت اعتباری و بانک‌ها هست. معامله آن می‌تواند روی وب یا از طریق ایمیل انجام شود. آن محرمانه بودن، صداقت، اعتبار یا غیر انکار بودن را فراهم می‌کند.

الگوریتم	اکنون	آینده نزدیک	آینده
متقارن (رمزگذاری جهت دستورالعمل)	DES	Triple DES	AES
هش (خلاصه پیام)	SHA-1	؟	؟
نامتقارن (تمامیت داده‌ها را برای احراز هویت، مدیریت کلید)	RSA	ECC (ElGamal+Diffie Hellman+DSA)	؟

• محرمانه
  • اطلاعات پرداخت امن هست
  • اما سفارش اطلاعات امن نیست
• تمامیت داده‌ها
  • استفاده از تکنیک‌های ریاضی برای به حداقل رساندن فساد و به‌کارگیری روادید تشخیص مخرب
• احراز هویت مشتری
  • ID دیجیتال (گواهی) مورد استفاده برای شناسایی مشتری
  • ID دیجیتال (گواهی) از طریق فرستنده کارت بررسی می‌شود
• تأیید هویت تاجر
  • گواهی دیجیتال دوباره به عنوان یک چک برای تأیید تاجر معتبر است.
  • چک عموماً در برابر دسی بل برگزار شده توسط صادرکننده کارت
• قابلیت همکاری
  • به دست نیامده است.
  • IBM and VeriFone (Hewlett-Packard) با هم کار می‌کنند و محصولات فردی سازگار با خود را می‌سازند.
  • نتیجه در بسیاری از نسخه‌های متفاوت" سازگار با SET، به جای یک پروتکل واحد

SET امن است از آنجا که آدرس تمام بخش‌های آن شامل تراکنش کارت‌های اعتباری معمولی هست: مصرف‌کنندگان، بازرگانان، و بانک‌ها. علاوه بر این مشکل ایجاد قابلیت همکاری، گسترش آن مشکل است از انجائیکه نیازمند تمام شرکت کنندگان بخش‌هایی از نرم‌افزار حتی سخت‌افزار خیلی گران را داشته باشند. ممکن هست در منافع شرکت‌های کارت اعتباری و بانک‌ها به وضوح دیده شود، اما از دیدگاه تجار و مصرف‌کنندگان کاملاً متفاوت هست. به منظور روند معاملات Set، تاجران مجبور به صرف چندین میلیون دلار در تجهیزات و خدمات زمانی که آن‌ها در حال قبل داشتن مقررات امنیتی بتوان گفت کافی در SSL چیست. برای مصرف‌کنندگان، آن‌ها را به نصب نرم‌افزار «هر چیزی که نیاز مصرف کنندگان را مانع به اتخاذ یک گام اضافی می‌کند» Vernon Keenan یک تحلیلگر ارشد درتحقیقات استدلال Zona می‌گوید. SET پروتکل امنیتی بسیار جامع و بسیار پیچیده است. آن بسیار ساده بوده و طرف‌های درگیر این را پذیرفتن در غیر اینصورت ممکن هست پذیرفته نشود.

منابع

• س. شهروز مجیدی، مرکز آموزش عالی علمی کاربردی جهاد دانشگاهی ارومیه
• CS Department of Computer Science • University of California, Santa Barbara// li-wang.pdf