Đề cương về mạng internet và thương mại điện tử

Chương I :
1.1. Mô hình kiến trúc mạng internet.
- Mạng internet được xây dựng trên cơ sở các đường trục (Backbone) là hệ thống cáp có
băng thông cao truyền dữ liệu dùng cho truyền dữ liệu qua mạng Internet
- Các đường trục này kết nối các NSP (Network Service Provider) các NSP là ngang
hàng trong việc trao đổi thông lượng gói tin
- Một số NSP: UUNet, CerfNet, IBM, BBN Planet, SprintNet, PSINet…
- Các nhà cung cấp dịch vụ internet (ISP-Internet Service Provider) mua lại băng thông
của các NSP và bán cho các khách hàng là các tổ chức, công ty, trường học, cá nhân vv
1.2. Phân biệt SCM, SRM, ERP.
1.2.1. SCM(Quản lý dây chuyền cung ứng):
- Là một thuật ngữ chuyên ngành cho việc quản lý nguyên vật liệu, thông tin và tài chính,
và các hoạt động song song với dây chuyền cung ứng từ nhà cung cấp đến những đại lý
và người tiêu dùng.
- Các dòng quản lý dây chuyền cung ứng được chia thành 3 loại chính:
+ Dòng sản phẩm: bao gồm sự dịch chuyển hàng hóa từ nhà cung cấp tới người tiêu
dung hay ngược lại.
+ Dòng thông tin: liên quan tới sự trao đổi yêu cầu và thông tin cập nhập về tình trạng
giao hàng.
+ Dòng tài chính: gồm các điều khoản tài chính, lịch thanh toán và sắp xếp danh mục sở
hữu, ký gửi.
- Có 2 loại phần mềm SCM chính:
+ phần mềm ứng dụng kế hoạch: sử dụng thuật toán tiên tiến để tìm ra cách tốt nhất thực
hiện đơn đặt hàng.
+ Phần mềm ứng dụng thực hiện: theo dõi tình trạng vật lý của hàng hóa, quản lý nguyên
liệu và các thông tin liên quan tới các bên.
- Một số úng dụng của SCM được dựa trên mô hình dữ liệu mở, hỗ trợ việc chia sẻ dữ
liệu cho các đối tượng cả bên trong lẫn bên ngoài doanh nghiệp, bằng việc chia sẻ dữ liệu
ngược và xuôi, ứng dụng SCM có tiềm năng để thúc đẩy thời gian tiếp cận thị trường của
sản phẩm, giảm chi phí và cho phép các bên tham gia trong dây chuyền cung ứng quản lý
tốt hơn nguồn lực và kế hoạch cho nhu cầu tương lai.

1.2.2. CRM(Quản lý mối quan hệ khách hàng):
- Là một thuật ngữ chuyên ngành thông tin để chỉ các phương pháp, phần mềm và các
khả năng internet mang lại để có thể giúp doanh nghiệp quản lý mối quan hệ khách hàng
một cách tổ chức.
- CRM bao gồm:
+ Việc giúp bộ phận marketing của 1 doanh nghiệp có thể xác định và hướng mục tiêu
tới khách hàng tốt nhất.
+ Việc giúp tổ chức nâng cao việc quản lý bán hàng qua điện thoại, quản lý khách hàng
và bán hàng bằng cách sử dụng thông tin được chia sẻ bởi nhiều nhân viên và nhiều tiến
trình thực hiện công việc hiện tại.
+ Cho phép hình thành mối quan hệ một cách đặc thù với khách hàng nhằm nâng câo sự
hài lòng của khách hàng và tối đa lợi nhuận.
+ Mang tới cho nhân viên thông tin và tiến trình cần thiết để nhận biết khách hàng của
họ, hiểu được nhu cầu của khách hàng và xây dựng mối quan hệ hiệu quả giữa doanh
nghiệp, khách hàng và đối tác phân phối.
1.2.3. ERP(phần mềm hoạch định nguồn lực doanh nghiệp):
- Là phần mềm tích hợp mọi phòng ban và chức năng của 1 công ty vào 1 hệ thống máy
tính duy nhất - hệ thống có thể phục vụ từng nhiệm vụ riêng lẻ của các phòng ban.
- phần mềm sử dụng 1 CSDL duy nhất để nhiều phòng ban có thể chia sẻ dễ dàng thông
tin và liên hệ với nhau.s
1.3. Phân biệt B2B, B2C, C2C.
* B2B: Là hình thức(loại hình) thương mại điện tử ở đó doanh nghiệp này bán hàng cho
doanh nghiệp khác
Ví dụ:
+ WalMart
+ Siemens
* B2C: Là hình thức thương mại điện tử ở đó doanh nghiệp bán hàng cho người tiêu dùng
Ví dụ:
+ Amazon.com
+ Pets.com

+ Merrill Lynch Online
* C2C: Là một hình thức thương mại điện tử, trên đó các khách hàng có thể mua bán sản
phẩm của nhau.
Ví dụ:
+ ebay.com
+ Chodientu.vn
+ Half.com
Chương II:
2.1. Các rủi ro khi tham gia mạng Internet.
- Đối với người dùng cuối
+ Virus, worm, trojan, keylog, spyware, lừa đảo trực tuyến, mất thông tin mật, mất định
danh, zombie, vv
- Đối với các công ty, tổ chức, nhà cung cấp dịch vụ vv…
+Mất cắp các thông tin mật, phá hoại đường truyền, tấn công từ chối dịch vụ, chiếm
dụng hệ thống mạng, sập hệ thống mạng và các dịch vụ, virus, vv
2.2. Các giải pháp đảm bảo an toàn khi tham gia Internet.
- Giải pháp đối với người dung cuối:
+ Sử dụng các chương trình diệt virus, spyware, keylog, troyjan vv
+ Sử dụng tường lửa cá nhân
+ Sử dụng IPS/IDS cá nhân
+ Nâng cao chính sách bảo mật của máy tính
+ Vào mạng với tài khoản người dùng hạn chế
- Giải pháp đảm bảo an toàn đối với các công ty, tổ chức, nhà cung cấp dịch vụ…:
+ Xây dựng chính sách an toàn
+ Giáo dục ý thức người dùng
+ Sử dụng các giao thức an toàn
+ Sử dụng hệ thống tường lửa
+ Sử dụng hệ thống IDS/IPS
+ Sử dụng hệ thống phòng chống virus
+ Sử dụng mạng riêng ảo

+ Sử dụng hệ thống chứng chỉ điện tử
2.3. Tổng quan về giao thức SSl, TLS, SSH (vai trò, vị trí, mô hình kiến trúc).
a. SSL (Secure Sockets Layer):
- Được phát triển bởi hãng Netscape
- SSL được chấp nhận rộng rãi và làm giao thức truyền tin giữa các máy chủ và máy
khách trên mạng World Wide Web
- SSL đươc tổ chức IETF (Internet Engineering Task Force) đưa vào chuẩn giao thức
TLS của họ
Giao thức SSL bao gồm 2 giao thức con:
+ Giao thức bản ghi SSL
+ Giao thức bắt tay SSL
- Giao thức bản ghi SSL xác định định dạng được dùng để truyền dữ liệu.
- Giao thức bắt tay SSL bao gồm sử dụng giao thức bản ghi SSL để trao đổi một loạt các
thông điệp giữa máy chủ áp dụng SSL và máy trạm áp dụng SSL khi các máy này lần đầu
tiên xác lập kết nối SSL
* Chức năng:
- Xác thực máy chủ cho máy trạm
- Cho phép máy trạm và máy chủ lựa chọn thuật toán mã hóa mà cả 2 đều hỗ trợ
- Có thể xác thực máy trạm cho máy chủ
- Sử dụng các kỹ thuật mã hóa công cộng để tạo ra các dữ liệu bí mật riêng được chia sẽ
giữa máy chủ và máy trạm
Giao thức SSL hỗ trợ sử dụng các giao thức mã hóa khác nhau dùng trong hoạt động của
giao thức như xác thực máy chủ và máy trạm, truyền chứng thực số và tạo ra các khóa
phiên.
b. TLS (Transport Layer Security):
- Được phát triển từ giao thức SSLcủa hãng Netscape
- Là một giao thức trên tầng vận tải
- Hoạt động dựa trên sự giao thức truyền tin cậy
- Hỗ trợ mọi giao thức ứng dụng trên tầng IP
- Nhằm giải quyết các vấn đề về bảo mật, toàn vẹn và xác thực

+ Bí mật – Sử dụng mật mã
+ Toàn vẹn – Sử dụng MAC
+ Xác thực – Sử dụng chứng chỉ X.509
* Bảo mật:
- Mã hoá các thông điệp truyền đi
- Sử dụng các mã hoá quy ước với các khoá chia sẻ
- Sử dụng các thuật toán: DES, 3DES, RC2, RC4, IDEA
- TLS cần phương pháp an toàn để trao đổi khoá bí mật và nó sử dụng hệ mật khoá công
khai (RSA, Differ-Hellman) để thực hiện điều này
* Toàn vẹn:
- TLS sử dụng các hàm băm MD5, SHA-1
- Bên nhận tạo ra một giá trị MAC mới và so sánh với giá trị MAC được truyền thì thông
điệp mới được coi là toàn vẹn
* Xác thực:
- Kiểm tra danh tính của thành phần tham gia truyền thông
- Chứng chỉ được sử dụng để đồng bộ định danh với khoá công khai và các thuộc tính
khác
Kiến trúc TLS:
- TLS định nghĩa các bản ghi (record protocol) để truyền thông tin của ứng dụng và của
TLS
- Phiên làm việc được thiết lập sử dụng giao thức bắt tay (HandShake Protocol)
c. SSH (Secure Shell):
- Thay thế Telnet, rlogin, …
- Cung cấp tính bí mật, toàn vẹn, xác thực
* Chức năng:
- Đảm bảo thực hiện các lệnh từ xa an toàn (Secure command shell, remote execution of
commands)
- Đảm bảo truyền file an toàn
- Tạo các tunnel truyền dữ liệu cho các ứng dụng dựa trên TCP/IP
* Kiến trúc:

- Phía Server: Giao thức SSH transport layer protocol (TLP)
+ Đảm bảo tính xác thực, bí mật và toàn vẹn
- Phía Client: Giao thức xác thực người dùng UAP- user authentication protocol
- Giao thức kết nối: CP (SSH connection protocol )
+ Thiết lập các phiên đăng nhập, thực hiện các lệnh từ xa, chuyển hướng các kết nối
TCP/IP
+ Chạy trên cả hai giao thức dành cho Server và Client
Giao thức tầng vận tải (TLP):
+ Client khởi tạo kết nối tới cổng 22 của Server
+ Khi kết nối được thiết lập cả Client và Server sẽ gửi cho nhau thông tin phiên bản
đó là chuỗi ID ở dạng SSH-protoversion-softwareversion comments”
+ Cả Client và Server đều có danh sách các thuật toán mã hoá sử dụng. Mỗi phía
thực hiện chọn một thuật toán sử dụng và gửi khoá khởi tạo tương ứng cho phía
bên kia
+ Nếu sự lựa chọn này trùng nhau thì thuật toán đó sẽ được sử dụng
+ Nếu thuật toán lựa chọn khác nhau thì thủ tục này sẽ được lặp lại ở phía Client
* Giao thức và phương pháp xác thực người dùng (UAP):
- Giao thức: Dịch vụ cho giao thức này là “ssh-userauth”. Khi bắt đầu thực hiện, nó nhận
định danh phiên làm việc, nó được sử dụng cho việc ký để chứng nhận người sở hữu
khoá bí mật
+ Client gửi yêu cầu xác thực SSH_MSG_USERAUTH_REQUEST mà không có
phương pháp xác thực cụ thể
+ Server sẽ trả lời với thông điệp và kèm theo danh sách các phương pháp xác thực
mà server hỗ trợ
+ Client có thể lựa chọn phương pháp xác thực từ danh sách trên
+ Thời gian chờ cho việc xác thực trong thời gian khoảng 10 phút. Nếu vượt quá
ngưỡng thì server sẽ ngắt kết nối
- Phương pháp:
Phương pháp sử dụng khoá công khai:
+ Xác thực được thực hiện bằng cách gửi chữ ký được tạo ra với khoá bí mật của

người sử dụng
+ Người dùng gửi yêu cầu lấy thuật toán khoá công khai sử dụng
+ Server sẽ từ chối yêu cầu nếu như nó không hỗ trợ thuật toán đó
Phương pháp xác thực dựa trên định danh máy (host)
+ Được thực hiện qua việc client gửi chữ ký được tạo ra với khóa bí mật của máy
client, và Server kiểm tra bằng cách sử dụng khóa công khai của host đó
+ Một khi định danh máy client được thiết lập, sự xác thực sẽ được dựa trên tên
người dùng
* Giao thức kết nối:
+ Cung cấp các phiên đăng nhập, thực hiện các lệnh từ xa, chuyển hướng các kết
nối TCP/IP
+ Tất cả các kênh được ghép vào một tunnel được mã hóa
+ Được thiết kế để chạy trên tầng vận tải SSH và giao thức xác thực người dùng
2.4. Web hosting, Proxy, Gateway, Cache : Các cơ chế an toàn của chúng.
a. Web Hosting:
- Dedicated Hosting: Thuê riêng máy chủ để đặt ứng dụng web
- Virtual Hosting (Shared Hosting)
+ Đặt nhiều ứng dụng web trên cùng một máy chủ
+ Các loại Virtual Hosting
• Virtual hosting by URL path
• Virtual hosting by port number
• Virtual hosting by IP address
• Virtual hosting by Host header
* Đảm bảo an toàn Web Hosting:
- Các vấn đề thường gặp ảnh hưởng đến sự hoạt động của ứng dụng web:
+ Server hỏng
+ Quá tải bằng thông
+ Đường truyền bị lỗi
+ Vv
- Các giải pháp đảm bảo an toàn

+ Sử dụng Mirrored Server Farms
- Sử dụng mạng phân bổ nội dung (Content Distribution Networks)
+ Mục đích làm giảm tải server, tăng hiệu suất mạng
+ Nội dung được lưu trên các node mạng, các node có thể là web server, proxy,
surrogates
b. Web Proxy:
* Mục đích:
– Tiết kiệm, nâng cao hiệu xuất, tăng cường an ninh
+ Proxy quản lý và can thiệp được vào các kết nối.
+ Web Proxy Server có vai trò trung gian chuyển tiếp các giao dịch giữa Client và
Web Server, nếu không có web proxy thì client và Server thì sẽ giao dịch trực tiếp
với nhau.
c. Gateway:
- Gateway là điểm gắn kết giữa ứng dụng và tài nguyên, một ứng dụng có thể yêu cầu
(qua giao thức HTTP hoặc qua giao thức khác) gateway phục vụ yêu cầu nào đó, và
gateway có thể trả lại response cho Client
- Gateway có thể thực hiện truy vấn cơ sở dữ liệu hoặc tạo ra các nội dụng động, tức là
đóng vai trò như một portal nhận request và trả lời
* An toàn Gateway:
- Gateway có thể được sử dụng để cung cấp tính bảo mật và an tòan cho một tổ chức,
bằng cách mã hóa toàn bộ các request đến. Client có thể duyệt web sử dụng giao thức
HTTP bình thường, nhưng gateway sẽ tự động mã hóa phiên làm việc của người dùng
- Gateway có thể đứng trước webserver để nhận các request đã được mã hóa từ client, sau
đó giải mã và gửi đến cho webserver xử lý:
d. Cache, Hits và Miss:
- Những request đến cache mà được response ngay từ bản copy đã có trên cache thì được
gọi là Cache hit
- Những request đến cache sau đó được chuyển tiếp đến Server do chưa có bản copy về
nội dung đó trên cache thì gọi là cache miss.
Các bước Cache:

1. Nhận: Cache đọc các request đến từ các client
2. Phân tách-Cache phân tách thông điệp, trích ra URL và các header
3. Lookup-Cache kiểm tra nếu như bản copy đã có sẵn hay chưa, nếu chưa có thì lấy
thông tin về Server về và lưu lại
4. Kiểm tra xem nội dung bản copy có thay đổi gì không (fresh check)- nếu có sẽ lấy
bản mới về
5. Tạo Response- Cache tạo một response với các header mới và nội dung cache
6. Gửi-Cache response lại cho client
7. Ghi lại nhật ký- Đây là tùy chọn, cache có thể ghi lại nhật ký truy cập mô tả giao
dịch vừa thực hiện
Chương III:
3.1. Các hình thức thanh toán điện tử.
- Tiền điện tử (E-cash)
- Ví điện tử (Electronic wallets)
- Thẻ thông minh (Smart card)
- Thẻ tín dụng (Credit card)
3.1.1. Tiền điện tử.
* Khái niệm tiền điện tử.
1.Khách hàng mua tiền điện tử từ ngân hàng
2. Ngân hàng gửi các đơn vị tiền điện tử tới
khách hàng
3. Khách hàng gửi tiền điện tử tới công ty bán hàng
4. Công ty bán hàng sẽ kiểm tra với ngân hàng về tính hợp lệ của tiền điện tử đó
5. Ngân hàng gửi kết quả kiểm tra tính hợp lệ của tiền điện tử đó cho công ty
6. Các bên thực hiện giao dịch, bên công ty bán hàng sẽ trích một số lượng đơn vị tiền
điện tử tương ứng với hàng hoá hoặc dịch vụ mà họ cung cấp cho khách hàng
* Các vấn đề đối với tiền điện tử.
- Tiền điện tử chỉ được tiêu một lần
- Phải được tiêu giống như các loại tiền tệ bình thường
+ Phải được bảo vệ chống lại sự giả mạo

+ Phải có tính chất độc lập và chuyển tự do không phân biệt quốc gia hay cơ chế lưu trữ
- Phải chia nhỏ được và thuận tiện trong sử dụng
- Giao dịch phức tạp
* Ưu điểm và nhược điểm.
- Ưu điểm
+ Hiệu quả, thuận tiện
+ Chi phí giao dịch thấp
+ Bất cứ ai cũng có thể sử dụng, không giống như thẻ tín dụng, không đòi hỏi các yêu
cầu đặc biệt
- Nhược điểm
+ Bị lợi dụng để rửa tiền
+ Khó khăn khi triển khai
* Vấn đề an toàn cho tiền điện tử.
- Phải sử dụng các thuật toán mã hoá phức tạp để chống lại sự tiêu hai lần
+ Việc ẩn danh được duy trì, trừ khi có sự cố tình tiêu tiền hai lần
3.1.2. Ví điện tử.
- Lưu các thông tin về thẻ tín dụng, tiền điện tử, định danh người dùng và địa chỉ
+ Làm cho việc mua bán dễ dàng và hiệu quả hơn
> Không phải nhập thông tin nhiều lần vào các mẫu biểu khai báo thông tin khi mua
hàng
+ Amazon.com là một trong những công ty đầu tiên bỏ việc nhập thông tin nhiều lần khi
mua hàng
3.1.3. Thẻ thông minh.
- Là thẻ nhựa có chứa một microchip
- Được sử dụng cách đây hơn 10 năm
- Được sử dụng phổ biến tại Châu âu, Australia, và Nhật bản
- Đầu tiên thì không được phổ dụng ở mỹ, nhưng sau đó thì dần được sử dụng nhiều do:
+ Thẻ thông minh hỗ trợ nhiều ứng dụng
+ Khả năng tương thích giữa thẻ thông minh, thiết bị đọc thẻ và các ứng dụng ngày càng
tăng

- Các loại thẻ thông minh:
+ Thẻ từ: Bộ nhớ 140 bytes
+ Thẻ nhớ: Bộ nhớ 1-4 KB memory, không có bộ chip xử lý
+ Thẻ nhớ quang: 4 megabytes read-only (CD-like)
+ Thẻ có nhúng bộ vi xử lý: Tích hợp bộ vi xử lý trên thẻ
> 8-bit processor, 16 KB ROM, 512 bytes RAM
> Có cả các thẻ có bộ vi xử lý 32-bit
- Các ứng dụng:
+ Làm vé điện tử: được sử dụng đầu tiên ở hệ thống xe bus ở Seoul Hàn quốc
+ Làm thẻ đăng nhập, ra vào cửa vv (Authentication, ID)
+ Lưu trữ thông tin y tế
+ Tiền điện tử (Ecash)
+ Lưu trữ các chương trình bản quyền
+ Lưu trữ hồ sơ cá nhân…
- Ưu điểm:
+ Nhỏ gọn, thuận tiện trong giao dịch
+ Có thể thanh toán cả các giao dịch với giá trị thanh toán nhỏ
+ Ẩn danh (Potentially)
+ Lưu trữ an toàn
- Nhược điểm:
+ Mức giao dịch bị hạn chế (không dùng được cho B2B)
+ Chi phí xây dựng cơ sở hạ tầng cao
+ Chỉ có một điểm đọc (dễ bị hỏng)
+ Sử dụng chưa được phổ biến
3.1.4. Thẻ tín dụng.
- Thẻ tín dụng
+ Sử dụng cho việc thanh toán qua mạng internet
+ Có hạn chế số lượng tiền khi thanh toán
+ Hiện tại được sử dụng phổ biến nhất
+ Là cách thức thanh toán điện tử đắt nhất

+ Không thanh toán với giá trị nhỏ
+ Không than toán với giá trị thanh toán lớn
3.2. Giao thức SET.
- Được phát triển bởi Visa và MasterCard.
- Được thiết kế để bảo vệ các giao dịch sử dụng thẻ tín dụng.
- Đảm bảo tính tin cậy: tất cả các đối tác phải có các chứng chỉ
- Đảm bảo tính bảo mật: các thông tin
3.2.1. Vai trò của giao thức SET:
- Cung cấp tính bí mật của các thông tin thanh toán và đặt hang.
- Đảm bảo tính toàn vẹn của toàn bộ dữ liệu trên đường truyền.
- Cung cấp sự xác thực đảm bảo người nắm giữ thẻ là người dung hợp lệ của tài khoản
thẻ.
- Cung cấp sự xác thực đảm bảo một công ty thương mại có thể chấp nhận các giao dịch
thư tín dụng qua mối quan hệ với các tổ chức tài chính.
- Đảm bảo các giải pháp đảm bảo an toàn và các kỹ thuật thiết kế hệ thống tốt nhất để sử
dụng để bảo vệ tất cả các đối tác hợp lệ trong giao dịch thương mại điện tử.
- Hỗ trợ và thúc đẩy sự tương tác giữa các phần mềm và nhà cung cấp dịch vụ mạng.
3.2.2. Giao dịch của giao thức SET:
Các bước thức hiện:
- Khách hàng mở một tải khoản tại ngân hàng hỗ trợ giao thức SET và nhận một thẻ tín
dụng: MasterCard, Visa, vv…
- Sau khi xác thực định danh, khách hàng sẽ nhận được chứng chỉ điện tử X.509v3 được
ký bởi ngân hàng.
- Công ty thương mại chấp nhận thẻ phải có hai chứng chỉ X.509v3, một dùng để ký và
một dùng cho việc trao đổi khóa.
- Khách hàng thực hiện đặt lệnh mua sản phẩm hoặc dịch vụ với công ty thương mại.
- Công ty thương mại sẽ gửi bản copy chứng chỉ của nó cho khác hàng để thực hiện việc
xác minh.
- Khách hàng gửi đơn đặt hàng và thông tin thanh toán tới công ty thương mại sử dụng
chứng chỉ của khách hàng:

+ Đơn đặt hàng gồm có các mặt hàng được đặt mua.
+ Thông tin thanh toán chứa thông tin chi tiết về thẻ tín dụng.
+ Thông tin thanh toán được được mã hóa sao cho nó không thể được đọc bởi công ty
thương mại.
+ Chứng chỉ của khách cho phép công ty thương mại xác minh được khách hàng.
- Công ty thương mại yêu cầu kiểm chứng thông tin thanh toán từ cổng thanh toán trước
khi thực hiện chuyển hàng.
- Công ty thương mại gửi xác nhận đơn đặt hàng tới khách hàng.
- Công ty thương mại chuyển hàng hoặc dịch vụ tới khách hàng.
- Công ty thương mại yêu cầu thanh toán từ cổng thanh toán.
3.2.3. Các kỹ thuật công nghệ sử dụng trong SET:
- Đảm bảo tính bí mật thông tin sử dụng thuật toán: DES.
- Tính toàn vẹn các dữ liệu: sủ dụng chữ ký RSA với hàm băm SHA-1.
- Xác thực người nắm giữ thẻ: sử dụng chứng chỉ điện tử X.509v3 với chữ ký RSA.
- Xác thực công ty thương mại: sử dụng chứng chỉ điện tử với chữ ký RSA.
- Bảo mật: tách riêng rẽ thông tin đặt hàng, thông tin thanh toán, sử dụng 2 chữ ký.
3.2.4. Kỹ thuật sử dung 2 chữ ký cho SET:
- Gắn hai thông điệp thành một nhưng chỉ cho phép mỗi một đối tác chỉ đọc một phần.
Mô hình sử dụng 2 chữ ký.
* Sử dụng kỹ thuật 2 chữ ký cho SET.
- Khái niệm: Gắn hai thông điệp cho hai người nhận khác nhau thành một thông điệp
gồm có:
+ Thông tin đặt hàng (OI-order information): Từ khách hàng đến công ty thương mại.
+ Thông tin thanh toán (PI-Payment Information): Từ khách hàng đến ngân hàng.
- Mục đích: Hạn chế thông tin nhạy cảm đến những thành phần không cần biết.
+ Công ty thương mại không cần phải biết đến số của thẻ tín dụng.
+ Ngân hàng không cần biết đến thông tin chi tiết của đơn đặt hàng của khách hàng.
+ Tạo ra khả năng bảo vệ bằng cách giữ thông tin các đối tượng này một cách riêng rẽ.
- Việc kết nối này cần thiết để chứng minh rằng việc thanh toán được thực hiện cho chính
hóa đơn đó chứ không phải thanh toán cho cái khác.

* Lý do sử dụng 2 chữ ký.
- Khách hàng gửi cho công ty thương mại hai thông điệp.
+ Thông tin đặt hàng đã được ký.
+ Thông tin thanh toán đã được ký.
- Công ty thương mại chuyển các thông tin thanh toán đó đến ngân hàng.
- Nếu như công ty thương mại có thể can thiệp vào được các thông tin liên quan đến việc
thanh toán, công ty thương mại có thể thay đổi nội dung và gửi đến cho ngân hàng.
=> Như vậy là phải giải quyết vấn đề này
* Các bước thực hiện 2 chữ ký.
Các bước thực hiện hai chữ ký như sau:
+ Lấy giá trị hàm băm của đơn đặt hàng và thông tin thanh toán
+ Hai giá trị băm này được gắn kết với nhau [H(PI) || H(OI)] và được băm tiếp
+ Khách hàng mã hóa giá trị băm cuối cùng với khóa bí mật
DS = EKRC [ H(H(PI) || H(OI)) ]
* Chữ ký được xác minh bởi công ty thương mại.
- Công ty thương mại có khóa công khai của khách hàng nhận được từ chứng chỉ của
khách hàng.
- Công ty thương mại có thể tính hai giá trị này, và hai giá trị này phải bằng nhau:
H(PIMD || H(OI))
DKUC[DS]
* Chữ ký được xác minh bởi ngân hàng.
- Ngân hàng được có các thông tin gồm giá trị DS, PI, giá trị băm OI (OIMD) và khóa
công khai của khách hàng, ngân hàng dựa trên đó có thể tính được các giá trị sau:
H(H(PI) || OIMD)
DKUC [ DS ]
* Xác minh.
- Công ty thương mại nhận được OI và xác minh chữ ký.
- Ngân hàng nhận PI và xác minh chữ ký.
- Khách hàng gắn kết OI và PI và có thể chứng minh sự đúng đúng đắn của liên kết đó.
* Các dạng mà giao dịch SET hỗ trợ.

- card holder registration
- merchant registration
- purchase request
- payment authorization
- payment capture
- certificate query
- purchase inquiry
- purchase notification
- sale transaction
- authorization reversal
- capture reversal
- credit reversal
3.2.5. Quy trình một giao dịch sử dụng SET:
3.2.5.1. Yêu cầu mua.
- Bao gồm: Duyệt, lựa chọn, và đặt hàng
- Quá trình thực hiện gồm 4 thông điệp: Khởi tạo yêu cầu, khởi tạo trả lời, yêu cầu mua,
trả lời yêu cầu mua.
* Khởi tạo yêu cầu mua.
- Các yêu cầu cơ bản:
+ Người nắm giữ thẻ phải có chứng chỉ của công ty thương mại và cổng thanh toán
- Khách hàng gửi trong thông điệp khởi tạo ban đầu tới công ty thương mại với các thông
tin:
+ Loại thẻ tín dụng.
+ Định danh (ID) gắn với cặp request/response của khách hàng.
+ Thời gian gửi.
* Khởi tạo yêu cầu trả lời.
- Công ty thương mại tạo ra trả lời gồm có:
+ Chữ ký được ký với khóa bí mật.
+ Thời gian khách hàng yêu cầu.
+ Thời gian công ty thương mại trả lời.

+ Định danh của giao dịch.
- Và các thông tin.
+ Chứng chỉ có chữ ký của công ty thương mại.
+ Chứng chỉ dùng cho việc trao đổi khóa của cổng thanh toán.
* Yêu cầu mua.
- Người nắm giữ thẻ xác minh hai chứng chỉ sử dụng máy chủ CA và tạo ra các thông
điệp OI và PI.
- Sau đó người mua sẽ gửi tiếp thông điệp gồm các thông tin:
+ Thông tin mua
+ Thông tin hóa đơn
+ Chứng chỉ của người nắm giữ thẻ
- Người nắm giữ thẻ tạo ra khóa mã hóa đối xứng sử dụng một lần KS
- Khi công ty thương mại nhận được thông điệp yêu cầu mua, sẽ thực hiện những việc
sau:
+ Xác minh chứng chỉ của người nắm giữ thẻ qua hệ thống CA
+ Xác minh chữ ký đôi sử dụng khóa công khai của khách hàng
+ Xử lý đơn đặt hàng và chuyển thông tin thanh toán đến cổng thanh toán để kiểm tra sự
hợp pháp
+ Gửi trả lời yêu cầu mua của khách hàng đến người nắm giữ thẻ
* Trả lời yêu cầu mua.
- Thông điệp trả lời về đơn đặt hàng và các vấn đề liên quan tương ứng với số của giao
dịch.
- Khối thông tin trả lời được ký bởi công ty thương mại sử dụng khóa bí mật, khối và chữ
ký được gửi tới khách hàng cùng với chứng chỉ có chữ ký của công ty thương mại.
- Khi thực hiện tiếp nhận thông tin trên khách hàng thực hiện
+ Xác minh chứng chỉ của công ty thương mại
+ Xác minh chữ ký trên khối thông tin trả lời
+ Thực hiện các công việc tiếp theo
3.2.5.2. Xử lý thanh toán.
- Qúa trình xử lý thanh toán được chia thành hai bước: Kiểm tra, xác minh quyền hạn

thanh toán, lưu lại thông tin thanh toán.
* Kiểm tra, xác minh quyền hạn thanh toán.
- Công ty thương mại gửi một thông điệp yêu cầu kiểm tra quyền hạn thanh toán đến
cổng thanh toán bao gồm các nội dung sau:
+ Thông tin về yêu cầu mua liên quan gồm:
> PI
> Hai chữ ký được tính thông qua giá trị PI và OI và ký với khóa bí mật của khách
hàng
> Giá trị băm của OI (OIMD)
+ Thông tin xác minh quyền hạn liên quan
+ Chứng chỉ
+ Thông tin xác minh quyền hạn liên quan
> Một khối thông tin để thực hiện xác minh bao gồm:
< Định danh (ID) của giao dịch
< Được ký với khóa bí mật của công ty thương mại
< Mã hóa sử dụng khóa phiên sử dụng một lần
+ Các chứng chỉ
> Chứng chỉ của người nắm giữ thẻ
> Chứng chỉ của công ty thương mại
> Chứng chỉ để dùng cho việc trao đổi khóa của công ty thương mại
* Cổng thanh toán.
- Xác minh tất cả các chứng chỉ
- Giải mã khối thông tin yêu cầu xác minh quyền hạn để lấy khóa bí mật đẻ giải mã trong
khối thông tin trả lời
- Xác minh chữ ký của công ty thương mại trên khối thông tin yêu cầu xác minh quyền
hạn
- Giải mã khối thông tin thanh toán được kèm theo để nhận được khóa bí mật nhằm giải
mã khối
- Xác minh hai chữ ký trên khối thanh toán
- Xác minh định danh (ID) của giao dịch nhận được từ công ty thương mại xem có phù

hợp với PI nhận được từ khách hàng hay không
- Yêu cầu và tiếp nhận sự kiểm tra từ nhà phát hành thẻ
* Trả lời sự kiểm tra và xác minh.
- Thông điệp trả lời gồm
+ Thông tin kiểm tra và xác minh liên quan
> Chữ ký dùng khóa bí mật của Gateway
> Mã hóa với khóa đối xứng sử dụng một lần được tạo bởi Gateway
> Các thông tin kèm theo gồm khóa bí mật sử dụng một lần với khóa công khai của
công ty thương mại
+ Thông tin được sử dụng để cho việc thanh toán gồm
> Khối thông tin liên quan
> Chữ ký, được mã hóa
+ Chứng chỉ của gateway
3.2.5.3. Tổng kết 1 giao dịch sử dụng SET.
Một giao dịch sử dụng SET đơn giản gồm:
- Bốn thông điệp được trao đổi giữa công ty thương mại và khách hàng
- Hai thông điệp giữa công ty thương mại và cổng thanh toán
- 6 chữ ký điện tử
- 9 lần thực hiện mã hóa/giải mã sử dụng RSA
- 4 lần sử dụng DES
- 4 lần thực hiện xác minh chứng chỉ
- 4 certificate verifications