電子商務安全協議的兩難

SSL和SET都是電子商務中的核心安全技術，但是，由於技術和人為的因素，這兩種技術目前都存在著應用侷限性。

保證電子商務安全，其核心在於安全協議。目前應用得最廣泛的是安全套接層協議（SSL），它已成為事實上的工業標準。它基於強公鑰加密技術及RSA的專用金鑰技術，建立程序對程序安全傳輸服務和加密傳輸通道，把參與通訊的相應程序之間的資料通道按“私用”和“已認證”進行監管。SSL協議獨立於應用層，可載入任何高層應用協議，因此，SSL協議適合為各類客戶/伺服器產品提供安全傳輸服務。

SSL協議提供一種加密的握手會話，使客戶端和伺服器端實現身份驗證、協商加密演算法和壓縮演算法、交換金鑰資訊。這種握手會話通過數字簽名和數字證書來實現客戶和伺服器雙方的身份驗證，採用DES、MD5等加密技術實現資料的保密性和完整性。在用數字證書對雙方的身份驗證後，雙方就可以用金鑰進行安全會話。

改進後的SSL版本3分為SSL記錄層和SSL協商層，它們分別對應以下兩個協議：

（1）SSL記錄協議。它涉及應用程式提供的資訊分段、壓縮、資料認證和加密。

（2）SSL握手協議。用來交換版本號、加密演算法、(相互)身份認證並交換金鑰。

Internet號碼分配當局(IANA)已經為具備SSL功能的應用分配了固定埠號，例如，帶SSL的HTTP被分配的埠號為443，帶SSL的SMTP被分配的埠號為465，帶SSL的NNTP被分配的埠號為563。

但是，SSL目前並不完備，缺陷是隻能保證傳輸過程的安全，無法知道在傳輸過程中是否受到竊聽，黑客可破譯SSL的加密資料，破壞和盜竊Web資訊。此外，SSL在全球的大規模使用還有一定的難度。SSL產品的出口受到美國國家安全域性的限制，美國政府只允許加密金鑰為40位以下的演算法出口，而美國的商家一般都使用128位的SSL，致使美國以外的國家很難真正在電子商務中充分利用SSL。新的SSL協議被命名為TLS（Transport Layer Security），安全可靠性可有所提高，但仍不能消除原有技術的基本缺陷。又由於SSL協議將客戶的信用卡號傳送給商家，容易被心術不正的商家欺詐。

因此，SSL目前面臨著非常大的應用難題。為了實現更加完善的電子交易，Master Card和Visa以及其他一些廠商制訂併發布了SET協議。

SET協議是專為保護持卡人、髮卡人、商家和收單者之間，在因特網上進行信用卡支付的安全交易協議。該方法將銷售商伺服器中的信用卡號碼進行編碼，規定了信用卡持卡人用其信用卡通過Internet進行付費的方法，向基於信用卡進行電子化交易的應用提供了實現安全措施的規則。這套機制的後臺有一個證書頒發結構，提供對X.509證書的支援。只有銀行和信用卡公司才能知道該號碼。SET協議為電子交易提供的安全措施，保證了電子交易的機密性、資料完整性、身份的合法性和抗否認性，使人們在網上被欺詐的機會要比現實生活中少得多。但是，SET協議不能解決電子商務所遇到的全部問題，且它不同尋常地複雜，該協議的描述有好幾百頁之多，目前該協議幾乎面臨停頓，而國內僅有少數應用。