支付网关的安全要求和安全技术

　　1、支付网关的安全要求

　　由于互联网本身是非常开放的，这给人们提供了方便的同时也带来了一定的安全隐患，使得网上支付存在较多的风险，这就对支付网关的安全性提出了较高的要求，具体如下所示：

　　（1）信息的保密性

　　保密性是信息安全的首要任务。保密性指保护信息防止不合法的使用造成信息泄露、更改或者破坏。由于支付交易中的双方信息都是异常敏感的数据，例如消费者个人基本资料和详细信息、银行账号信息等必须严格保密，既要做到这些数据和信息即使被他人截取了，也无法对这些信息的真实内容进行识别。

　　（2）信息的完整性

　　即信息的正确性、完整性、有效性和相容性。完整性验证的内容包括验证信息是否被人修改过，在数据和信息的传输和传递过程中是否出现数据和信息的重复和丢失的差错。在网络支付交易的过程中要求交易各方能够分别通过有效的途径对收到的信息进行验证，即主要是对其完整性进行验证。

　　（3）信息的有效性

　　信息是有时效的，在支付交易中信息的时效性指要对各种故障错误等产生的潜在威胁以及风险进行预防和控制，这样可以最大限度的保证信息在其有效的时间内的有效性。

　　（4）交易两方身份的可认证性

　　在商家和消费者双方实施交易之前，先要认证彼此的真实身份信息，以避免出现冒名顶替的不法行为。

　　（5）交易的不可否认性

　　指的就是进行传输交易数据时必须携带含有自身特质、别人无法复制的信息，防止交易发生后对行为的否认。不可抵赖性包括对自己行为的不可抵赖及对行为发生的时间的不可抵赖。

　　2、支付网关的安全技术

　　支付网关的安全技术主要有：

　　（1）数字摘要

　　从字面的意思上来理解数字摘要的意思就是将一个不定长度大小的短消息精简或者缩短至一个固定长度的短消息的过程。

　　数字摘要的基本原理是将需要被发送的文件用一种特殊的编码法进行相应的编码和加密，并产生一个一定比特率的数字摘要，同时发送数字摘要的一方需要用自己的私用密钥对数字摘要进行第二次加密，这样就形成了相应的数字签名，将两次加密的结果发送给对方，对方利用自己的私用密钥对数字摘要进行相应的解密操作，并校验解密的结果。

　　如果两者的验证结果是相同的，这就说明数字摘要在传送过程中并没有出现被篡改或者被破坏的迹象，也就是可以证明数字摘要的传输是安全可信的。

　　（2）数字签名技术

　　数字签名（Digital Signature）是一种类似写在纸上的普通的物理签名，但是数字签名是使用了公钥加密的技术来进行实现的，这种公钥加密的技术事用于鉴别数字信息的方法。数字签名主要包括两个方面的内容：一个是数字签名的生成，另外一个是验证数字签名的过程。

　　（3）数字证书

　　数字证书指的是获得授权数字签名之后，具备密钥审核功能的通行文件，这个数字证书在网络交易的过程中是必不可少的一个重要文件。

　　（4）安全协议

　　伴随着 IT 行业已近金融行业的快速发展，各种安全协议层出不穷，具体包括有：

　　SSL（Secure Socket Layer）协议：在网络传输层之上提供的一种用于浏览器和 Web 服务器之间的安全连接技术，该协议是一个两层协议，包括记录协议和握手协议。

　　SSL 协议是一种保护 WEB 通讯的工业标准，采用了公开密钥（RSA）和对称密钥（DES）两种加密体制以及数字证书技术。SSL 在交易浏览当中所应用的密钥属于公开类型，而在会话过程当中则会转换为专用密钥，从而能够确保为通信提供保密性、数据完整性和认证。

　　STT协议：即安全技术交易协议，是由微软公司研发的一种网络支付规范协议，能够在交易认证与交易解密完成之后，自动离开浏览器，使得交易安全大大提高。

　　S-HTTP 协议：该协议在 web 站点当中通过对于密钥的二次加密，能够为超文本传输提供安全防护支持。S-HTTP 协议在加密算法上比较灵活，同时还能够模拟状态参数信息，符合当前密钥管理的观念。

　　SET（Secure Electronic Transaction）协议：是应用在英特网上以信用卡为基础的电子付款系统规范，能够有效解决用户、商家以及银行之间的信用卡交易支付问题。SET 协议的核心技术就是电子安全证书，使得用户能够通过下载证书获得协议认可。目前在支付网关的应用中，经常使用的是 SSL 和 SET 协议。