CN101739624A - 一种可信支付网络系统 - Google Patents

Abstract

一种可信支付网络系统，涉及信息安全技术领域。本发明包括依次相互连接的终端计算机系统、支付接入前置服务器系统和结算系统以及分别与终端计算机系统、支付接入前置服务器系统相互连接的网上商户服务器系统、分别与终端计算机系统、网上商户服务器系统、支付接入前置服务器系统连接的CA(Certificate Authority)。同现有技术相比，本发明方便易用，能可靠保证整个可信支付网络系统的安全性。

Description

一种可信支付网络系统

技术领域

本发明涉及信息安全技术领域，特别是可信支付网络系统。

背景技术

目前，为了确保电子支付的安全性，很多的安全措施已被应用到各个支付环节中。账户加口令方式是最简单，也是安全性最低的方式。网络钓鱼、诈骗短信等方式很容易使用户的账户和口令被骗取。键盘嗅探器通过记录用户击键事件，可以盗取用户的帐户号和口令。为了防止上述攻击，诞生了浏览器安全控件和软键盘技术。该技术一定程度上增强了安全性，但不断发展的rootkit攻击技术可以击破这种防御措施。数字证书技术是目前安全性最高的一种身份认证技术，数字证书技术的安全性可满足绝大多数网上支付应用。但是数字证书系统中非对称公私钥的机密存储问题还没有得到很好的解决。

现有技术的可信计算技术采用“白名单”方式，只有被信任的软件才能在客户端计算机中运行，通过这种方式可以确保计算环境的可信性。但是，在电子支付过程中，通常需要输入用户的账号和密码。由于输入的账号和密码在支付终端计算机中是以明文出现，非常容易遭到安全攻击。而且，由于用户经常性地要输入很长的数字串，容易出错，这使得电子支付服务的易用性降低，不方便用户使用。

发明内容

为了解决上述现有技术中存在的问题，本发明的目的是提供一种可信支付网络系统。它方便易用，能可靠保证整个可信支付网络系统的安全性。

为了达到上述发明目的，本发明的技术方案以如下方式实现：

一种可信支付网络系统，其结构特点是，它包括依次相互连接的终端计算机系统、支付接入前置服务器系统和结算系统以及分别与终端计算机系统、支付接入前置服务器系统相互连接的网上商户服务器系统、分别与终端计算机系统、网上商户服务器系统、支付接入前置服务器系统连接的CA(Certificate Authority)。

CA：第三方的颁发数字证书的实体，负责为网上商户服务器系统、终端计算机系统、支付接入前置服务器系统颁发数字证书；

网上商户服务器系统：网上商户的展销平台，负责提供Web页面和技术服务，供消费者在线浏览商品信息、提交购物订单、查询历史交易信息；

终端计算机系统：由可信计算机主机、可信刷卡设备、输入设备和输出设备组成；

支付接入前置服务器系统：为网上商户、消费者提供第三方支付服务，负责处理网上商户和消费者电子支付交易的接入请求；

结算系统：第三方支付服务提供者的后端系统，提供跨银行转接和结算服务，实现网上商户和消费者银行账户之间的资金结算。

在上述可信支付网络系统中，所述可信计算机主机采用可信密码模块TCM作为可信计算机主机的可信度量根、可信报告根和可信存储根。所述输入设备为键盘和鼠标，输出设备为显示器。

在上述可信支付网络系统中，所述可信计算机主机逐级校验“TCM——BIOS(Basic Input and Output System)——MBR(Master BootRecord)——OS(Operating System)和可信监控程序——PE(Portable Executable)文件”的完整性，建立可信度量系统。可信计算机主机上安装的软件系统中包含TCM管理程序、可信刷卡设备管理程序和支付交易管理程序。

在上述可信支付网络系统中，所述TCM管理程序实现TCM初始化、Owner口令修改、可信计算机主机平台身份标识、密钥管理的功能。

在上述可信支付网络系统中，所述由CA颁发的数字证书为X.509格式，数字证书采用的签名算法为符合国家密码管理局标准的ECC(SCE)算法和SCH(SM3)算法。

在上述可信支付网络系统中，所述可信刷卡设备以单独的USB设备以USB-HID协议方式与可信计算机主机相连或者与PC键盘整合并行接入USB-HUB后以USB-HID协议方式与可信计算机主机相连。

在上述可信支付网络系统中，所述可信刷卡设备包括组件：

处理器，负责算术和逻辑运算，为可信刷卡设备中软件的运行提供运算支持；

存储单元，负责存储程序Firmware和数据，程序Firmware负责实现软件功能；

存储管理保护单元，实现对存储单元的空间分配和访问控制；

随机数发生器，生成符合国家密码管理局标准的真随机数；

ECC引擎，符合国家密码管理局的ECC标准，实现系统参数、密钥对生成、数字签名算法、密钥交换协议和加密算法；

银行卡读卡器，读取银行卡磁道信息；

小键盘，为用户向可信刷卡设备输入数字提供输入接口；

液晶屏，以字符输出方式向用户提供提示信息；

语音提示模块，以语音输出方式向用户提供提示信息；

USB控制器，组织内部数据以USB信号方式提供给外部设备，并将外部输入的USB信号转化为可信刷卡设备内部可以处理的信号；

可信刷卡设备的各组件之间通过总线相互通信。

在上述可信支付网络系统中，所述处理器采用标准8051核或兼容8051的指令集。

在上述可信支付网络系统中，所述存储单元中存储的数据是临时数据或者是永久存储的数据，存储单元中的程序和数据均以加密方式存储。

本发明由于采用了上述结构，通过使用可信刷卡设备，用户可以以刷卡操作来代替手工输入账号，增强易用性。同时，从可信刷卡设备中输入的银行卡账号和密码以密文的方式进入主机并被转发到电子支付系统中的支付接入前置服务器系统。主机中的恶意软件无法获得用户的银行卡账号和密码的明文信息。另外，通过可信刷卡设备和可信计算机主机的相互认证，可以防止恶意软件和用户伪造或篡改可信刷卡设备，进一步确保整个可信支付计算机系统的安全性。在整个支付网络系统中均使用数字证书技术，确保交易信息的机密性和完整性。

下面结合附图和具体实施方式对本发明作进一步说明。

附图说明

图1是本发明的结构示意图；

图2是本发明中可信刷卡设备直接与可信PC主机相连的终端计算机主机结构示意图；

图3是本发明中集成可信刷卡设备的PC键盘与可信PC主机相连的终端计算机主机结构示意图；

图4是本发明中可信刷卡设备的结构示意图；

图5是本发明中可信度量系统的工作原理图；

图6是可信刷卡设备与可信刷卡设备管理程序配合的工作流程图；

图7是本发明的工作流程图。

具体实施方式

参看图1至图5，本发明可信支付网络系统包括依次相互连接的终端计算机系统、支付接入前置服务器系统和结算系统以及分别与终端计算机系统、支付接入前置服务器系统相互连接的网上商户服务器系统、分别与终端计算机系统、网上商户服务器系统、支付接入前置服务器系统连接的CA(Certificate Authority)。

CA：第三的颁发证书的实体，负责为网上商户服务器系统、终端计算机系统、支付接入前置服务器系统颁发数字证书。CA所颁发的数字证书为X.509格式，数字证书中的签名算法采用符合国家密码管理局标准的ECC(SCE)算法和SCH(SM3)算法。

网上商户服务器系统：网上商户的展销平台，负责提供Web页面和技术服务，供消费者在线浏览商品信息、提交购物订单、查询历史交易信息。

终端计算机系统：由可信计算机主机、可信刷卡设备、键盘和鼠标等输入设备和显示器等输出设备组成。可信刷卡设备由处理器、存储单元、存储管理保护单元、随机数发生器、ECC引擎、银行卡读卡器、小键盘、液晶屏、语音提示模块和USB控制器组成。可信计算机主机采用可信密码模块TCM作为可信计算机主机的可信度量根、可信报告根和可信存储根。可信计算机主机逐级校验“TCM——BIOS(BasicInput and Output System)——MBR(Master Boot Record)——OS(Operating System)和可信监控程序——PE(Portable Executable)文件”的完整性，建立可信度量系统。可信计算机主机上安装的软件系统中包含TCM管理程序、可信刷卡设备管理程序和支付交易管理程序。可信刷卡设备以单独的USB设备以USB-HID协议方式与可信计算机主机相连或者与PC键盘整合并行接入USB-HUB后以USB-HID协议方式与可信计算机主机相连。

支付接入前置服务器系统：为网上商户、消费者提供第三方支付服务，负责处理网上商户和消费者电子支付交易的接入请求。

结算系统：第三方支付服务提供者的后端系统，提供跨银行转接和结算服务，实现网上商户和消费者银行账户之间的资金结算。

可信计算机主机中的TCM管理程序主要实现TCM初始化、Owner口令修改、可信计算机主机平台身份标识、密钥管理等功能。对于主机身份标识功能，主要由下述操作程序完成：

(1)TCM内部生成一对ECC(Elliptic curve cryptography，椭圆曲线密码算法)公私钥对(ECC(SCE)算法即为《可信计算密码支撑平台功能与接口规范》中所述及的SM2算法，以下同)，其中ECC私钥置于TCM芯片内部进行加密保护，ECC公钥交由CA签署平台身份数字证书，该平台身份证书对外表征此可信计算机主机平台的唯一性。

(2)上述平台身份数字证书导入TCM芯片内部进行加密保护，只有TCM Owner才有访问权限。

(3)TCM在使用过程中，可以输入外部实体(如可信刷卡设备、支付接入前置服务器系统)用来表征自身身份的数字证书，可以验证该数字证书的有效性，并能从该数字证书中提取出主体的公钥。

(4)在电子交易过程中，由主机向外传送的数据均由TCM进行数字签名，其它交易实体可通过验证此签名来信任所接收到数据包是否由该主机发出。

由于ECC私钥、平台身份数字证书、数字签名过程等全部在TCM芯片内部完成，且TCM规范提供完善的存储保护和访问控制机制，使得恶意软件和用户无法伪造出一个与本机相同的新的主机系统，从而解决了可信计算机主机系统在电子交易过程中的身份唯一性问题，为电子交易的顺利进行奠定了坚实的基础。

参看图5，整个可信度量系统的运行包含下述内容：

(1)计算机启动或复位时，TCM芯片自检。若自检不通过，系统终止运行。自检通过，则转入步骤(2)。

(2)TCM对可信BIOS的完整行进行度量，并将度量值与上一次系统正常运行时保存在PCR(Platform Configuration Register，平台配置寄存器)中的度量值进行比对，若比对结果为不一致，则提示用户，由用户决定是否继续运行。若比对结果为两者一致，则转入步骤(3)。若系统是第一次进行初始化，则将度量值写入PCR。

(3)可信BIOS对MBR(Master Boot Record，主引导记录)的完整性进行度量，并将度量值与上一次系统正常运行时保存在PCR中的度量值进行比对，若比对结果为不一致，则提示用户，由用户决定是否继续运行。若比对结果为两者一致，系统继续引导，并将控制权提交至Trusted GRUB。若系统是第一次进行初始化，则将度量值写入PCR。

(4)Trusted GRUB对OS Kernel(Operating System Kernel，操作系统内核)的完整性进行度量，并将度量值与上一次系统正常运行时保存在PCR中的度量值进行比对，若比对结果为不一致，则提示用户，由用户决定是否继续运行。同时，Trusted GRUB还对可信监控程序及其附属的文件摘要值数据库进行完整性度量，并将度量值与上一次系统正常运行时保存在PCR中的度量值进行比对，若比对结果为不一致，则提示用户，由用户决定是否继续运行。若上述两项度量均通过，系统控制权提交至OS Kernel。若系统是第一次进行初始化，则将两项度量值写入PCR。

(5)OS Kernel启动完成后，系统准备就绪，此时各种应用程序可以开始运行。每项程序运行前，可信监控程序对该程序的PE文件进行完整性度量，并将度量值与文件摘要值数据库中的相应表项进行比对。若比对结果为一致，则该项应用程序启动运行。若比对结果为不一致，则提示用户，由用户决定是否继续运行该程序。若程序第一次运行，可行监控程序对该程序的PE文件进行完整性度量后写入文件摘要值数据库。

(6)TCM管理程序、可信刷卡设备管理程序和支付交易管理程序等均由可信监控程序实时监控。一旦这几个程序遭到非法篡改，可信监控程序会立即报警，提示用户进行相应操作，以确保整个支付交易过程的安全。

参看图6，可信刷卡设备与可信刷卡设备管理程序相配合，其应用方法步骤为：

(1)可信刷卡设备初始化时，内部生成ECC密钥对，该密钥对中的私钥保存于存储单元并受安全保护，公钥由支付交易管理程序输出至CA。

(2)CA根据步骤(1)中生成的公钥及该可信刷卡设备的其它相关信息(如可信刷卡设备的唯一硬件序列号等)制作数字证书，并将制作好的数字证书通过支付交易管理程序反馈给可信刷卡设备。

(3)可信刷卡设备导入CA颁发的数字证书，并存储于存储单元。此数字证书用于向外部表征自己的身份。

(4)可信刷卡设备在使用过程中，可以输入外部实体(如可信计算机主机、支付接入前置服务器系统)用来表征自身身份的数字证书，可以验证该数字证书的有效性，并能从该数字证书中提取出主体的公钥。

(5)用户进行刷卡操作时，银行卡的磁道信息被获取，该磁道信息使用表征第三方交易实体(如支付接入前置服务器系统)身份的数字证书中的公钥进行ECC加密，并用可信刷卡设备的私钥进行ECC签名，签名完成后的信息被输送到可信计算机主机。

(6)用户通过小键盘输入银行卡密码时，该密码使用表征第三方交易实体(如支付接入前置服务器系统)身份的数字证书中的公钥进行ECC加密，并用可信刷卡设备的私钥进行ECC签名，签名完成后的信息被输送到可信计算机主机。

(7)当从支付交易管理程序接收到请用户刷卡的指令时，可信刷卡设备通过语音提示模块发出语音提示，提示用户进行刷卡操作或输入密码。刷卡操作或输入密码完成后，语音提示模块提示用户刷卡或输入密码操作已完成。

(8)液晶屏负责显示“请刷卡”、“请输入密码”、密码星号“***”、“已刷卡金额”、  “账户余额”、“操作进行中”等提示信息。

(9)可信刷卡设备以USB接口方式与可信计算机主机进行通信，通信协议类型为USB-HID。

参看图7，使用时，可信支付网络系统的工作流程如下：

(1)网上商户服务器系统向CA申请标识自身身份的数字证书CERT_WebMerchant，并将该证书及其对应的ECC公私钥对(WebMerchant_PubKey，WebMerchant_PriKey)进行机密存储。

(2)支付接入前置服务器系统向CA申请标识自身身份的数字证书CERT_PrePaySys，并将该证书及其对应的ECC公私钥对(PrePaySys_PubKey，PrePaySys_PriKey)进行机密存储。

(3)可信计算机主机在TCM内部生成ECC公私钥对(Host_PubKey，Host_PriKey)，将其中的Host_PubKey提交给CA，申请数字证书。CA将签发好的数字证书CERT_Host反馈给可信计算机主机。可信计算机主机将其导入TCM内部进行加密存储，只有TCM Owner才具有访问权限。

(4)可信刷卡设备在内部生成ECC公私钥对(CardReader_PubKey，CardReader_PriKey)，将其中的CardReader_PubKey提交给CA，申请数字证书。CA将签发好的数字证书CERT_CardReader反馈给可信刷卡设备。可信刷卡设备将该数字证书导入内部存储单元。

(5)可信计算机主机和可信刷卡设备相互交换数字证书，导入各自内部存储区，以建立相互信任关系。在接下来每次通信过程的初始阶段，两者均以数字证书方式相互校验对方的身份，以确保对方是被信任的。

(6)可信计算机主机以SSL方式向支付接入前置服务器系统发起网络通信请求，双方经过相互认证后，建立安全的SSL通信信道。若双方对对方的数字证书认证没有通过，则通信中止。在SSL通信过程中的对称密钥算法采用符合国家密码管理局标准的SMS4、SSF33或SCB2算法。

(7)终端计算机系统中的支付交易管理程序将支付接入前置服务器系统的数字证书CERT_PrePaySys发送给可信刷卡设备，可信刷卡设备将该证书导入内部存储单元。

(8)可信计算机主机向支付接入前置服务器系统发起绑定银行卡请求。获得支付接入前置服务器系统应答后，支付交易管理程序提示用户刷卡并输入密码。用户在可信刷卡设备上刷卡并输入与该卡对应的密码。可信刷卡设备获得银行卡磁道信息Data_Card和密码Password后，使用支付接入前置服务器系统的公钥对这两者进行加密，并将加密结果Enc(PrePaySys_PubKey){Data_Card||Password}发送给TCM管理程序。

(9)TCM在内部对Enc(PrePaySys_PubKey){Data_Card||Password}进行数字签名。支付交易管理程序将签名结果Sig(Host_PriKey){Enc(PrePaySys_PubKey){Data_Card||Password}}通过SSL通信信道发给支付接入前置服务器系统。支付接入前置服务器系统校验Data_Card和Password的有效性。若校验通过，支付接入前置服务器系统将该卡与可信计算机主机进行一一绑定。用户可以相同的方式将多张银行卡与用户所使用的可信计算机主机进行绑定。绑定操作结束后，在接下来的电子支付交易过程中，只有经过绑定的银行卡才能被用于支付操作。用户也可以向支付接入前置服务器系统提交取消银行卡绑定请求，以取消特定银行卡与可信计算机主机的绑定关系。

(10)用户在网上商户服务器系统上以网页方式浏览和选择商品，进入结算中心，生成订单号，并选择使用本支付系统进行支付。

(11)网上商户服务器系统生成交易报文Message_WebMerchant，其中包含订单号、订单生成日期、商户名称、商户的银行账号等信息，使用支付接入前置服务器系统的公钥进行加密，并使用自身的私钥进行数字签名。签名结果Sig(WebMerchant_PriKey){Enc(PrePaySys_PubKey){Message_WebMerchant}}发送给终端计算机系统。

(12)可信计算机主机中的支付交易管理程序向支付接入前置服务器系统提交支付请求，请求通过后提示用户刷银行卡并输入密码。用户刷卡和输入密码操作完成后，支付交易管理程序从可信刷卡设备获得信息Enc(PrePaySys_PubKey){Data_Card||Password}。支付交易管理程序组织交易报文Message_Host，其中包含订单号、订单金额、订单生成日期、商户名称、客户号等信息。支付交易管理程序经上述信息拼接后，进行数字签名，获得签名数据Sig(Host_PriKey){Sig(WebMerchant_PriKey){Enc(PrePaySys_PubKey){Message_WebMerchant}}||Message_Host||Enc(PrePaySys_PubKey){Data_Card||Password}}，并将该数据发送给支付接入前置服务器系统。

(13)支付接入前置服务器系统获得上述数据后，验证数字签名，解密报文，获得商户名称、商户的银行账号、订单号、订单金额、订单日期、用户银行卡信息和密码。支付接入前置服务器系统校验这些信息的有效性，同时核对用户银行卡是否与用户的可信计算机已进行绑定。若上述校验通过，支付接入前置服务器系统将用户银行卡卡号和密码、商户的银行账号等信息提交给后端的结算系统进行处理，按订单金额执行资金转移操作。结算系统将转移操作的结果(成功或不成功)反馈给支付接入前置服务器系统。

(14)支付接入前置服务器系统将支付成功或不成功的信息分别反馈给终端计算机和网上商户服务器系统。支付交易过程结束。

Claims (9)

1.一种可信支付网络系统，其特征在于，它包括依次相互连接的终端计算机系统、支付接入前置服务器系统和结算系统以及分别与终端计算机系统、支付接入前置服务器系统相互连接的网上商户服务器系统、分别与终端计算机系统、网上商户服务器系统、支付接入前置服务器系统连接的CA(Certificate Authority)；

CA：第三方的颁发数字证书的实体，负责为网上商户服务器系统、终端计算机系统、支付接入前置服务器系统颁发数字证书；

网上商户服务器系统：网上商户的展销平台，负责提供Web页面和技术服务，供消费者在线浏览商品信息、提交购物订单、查询历史交易信息；

终端计算机系统：由依次相连的输入设备、可信计算机主机、输出设备和与可信计算机主机相互连接的可信刷卡设备组成；

支付接入前置服务器系统：为网上商户、消费者提供第三方支付服务，负责处理网上商户和消费者电子支付交易的接入请求；

结算系统：第三方支付服务提供者的后端系统，提供跨银行转接和结算服务，实现网上商户和消费者银行账户之间的资金结算。

2.根据权利要求1所述的可信支付网络系统，其特征在于，所述可信计算机主机采用可信密码模块TCM作为可信计算机主机的可信度量根、可信报告根和可信存储根，所述输入设备为键盘和鼠标，输出设备为显示器。

3.根据权利要求1或2所述的可信支付网络系统，其特征在于，所述可信计算机主机逐级校验“TCM——BIOS(Basic Input andOutput System)——MBR(Master Boot Record)——OS(OperatingSystem)和可信监控程序——PE(Portable Executable)文件”的完整性，建立可信度量系统，可信计算机主机上安装的软件系统中包含TCM管理程序、可信刷卡设备管理程序和支付交易管理程序。

4.根据权利要求3所述的可信支付网络系统，其特征在于，所述TCM管理程序实现TCM初始化、Owner口令修改、可信计算机主机平台身份标识、密钥管理的功能。

5.根据权利要求4所述的可信支付网络系统，其特征在于，所述由CA颁发的数字证书为X.509格式，数字证书采用的签名算法为符合国家密码管理局标准的ECC(SCE)算法和SCH(SM3)算法。

6.根据权利要求5所述的可信支付网络系统，其特征在于，所述可信刷卡设备以单独的USB设备以USB-HID协议方式与可信计算机主机相连或者与PC键盘整合并行接入USB-HUB后以USB-HID协议方式与可信计算机主机相连。

7.根据权利要求6所述的可信支付网络系统，其特征在于，所述可信刷卡设备包括组件：

处理器，负责算术和逻辑运算，为可信刷卡设备中软件的运行提供运算支持；

存储单元，负责存储程序Firmware和数据，程序Firmware负责实现软件功能；

存储管理保护单元，实现对存储单元的空间分配和访问控制；

随机数发生器，生成符合国家密码管理局标准的真随机数；

ECC引擎，符合国家密码管理局的ECC标准，实现系统参数、密钥对生成、数字签名算法、密钥交换协议和加密算法；

银行卡读卡器，读取银行卡磁道信息；

小键盘，为用户向可信刷卡设备输入数字提供输入接口；

液晶屏，以字符输出方式向用户提供提示信息；

语音提示模块，以语音输出方式向用户提供提示信息；

USB控制器，组织内部数据以USB信号方式提供给外部设备，并将外部输入的USB信号转化为可信刷卡设备内部可以处理的信号；

可信刷卡设备的各组件之间通过总线相互通信。

8.根据权利要求7所述的可信支付网络系统，其特征在于，所述处理器采用标准8051核或兼容8051的指令集。

9.根据权利要求8所述的可信支付网络系统，其特征在于，所述存储单元中存储的数据是临时数据或者是永久存储的数据，存储单元中的程序和数据均以加密方式存储。

Images