基于WPKI的安全移动支付系统的设计与实现

2.2.2 数字证书的配置
模块MSS、CSS、TSS、BSS均为基于WPKI的安全应用软件，因此需配置相应的数字证书。具体配置情况如下：
(1)MSS：配置商家服务器证书，用于与客户CSS之间的身份识别、消息加密和生成数字签名；用于与交易中心TSS之间的身份识别、消息加密和生成数字签名；
(2)CSS：配置客户服务器证书，用于与MSS之间的身份识别、消息加密和生成数字签名；用于与TSS之间的身份识别、消息加密和生成数字签名；
(3)TSS：配置交易中心的服务器证书，用于与MSS、CSS、BSS之间的身份识别、消息加密和生成数字签名；
(4)BSS：配置商业银行的服务器证书，用于与TSS之间的身份识别、消息加密和生成数字签名。
3 系统的实现
3.1 系统原理和交易步骤
该系统包括5个实体：商家、客户、银行系统、认证中心CFCA（China Finance Certificate Authority，中国金融认证中心)和交易中心TTP(Trusted Third Party，第三方信任实体)。其中，商家和用户完成定单及账单的提交和生成；银行系统负责处理支付信息；CFCA和PKI Protal(RA)用作保证系统的安全性；TTP记录了交易过程中传输的各种重要信息、可供解决争议的证据。系统原理如图3所示。

图中虚线代表CA分别向商家、客户、TTP和商业银行颁发身份证书，实线代表系统的交易流程。根据网上交易过程的步骤分析，并参考了各种支付协议的数据流程，确定了该系统的信息流、数据流、资金流按下列步骤进行：
(1)客户向商家下定单
客户通过手机浏览器在商家的Web服务器定购商品。客户根据商家的要求向商家提交定单Order，商家根据定单形成相应的账单Invoice，并将Invoice及商家的说明及承诺Statement发到客户手机浏览器。
(2)客户通过手机支付货款
客户通过TTP的安全移动支付服务平台到银行支付货款。首先，客户将支付消息PM(Pay Message)提交到TTP的安全移动支付服务平台；之后，TTP安全移动支付服务平台将PM转发到银行；银行验证客户对PM的数字签名，取出支付指令PI(Pay Instruction)，根据PI进行转账；并将支付结果PR(Pay Result)（包括支付金额、是否成功等信息）告知TTP安全支付平台；最后TTP安全移动支付平台将支付结果PR实时告知商家。
3.2 安全移动支付系统工作流程及实现
以客户提交订单的过程为例说明安全移动支付系统的工作流程及系统实现。
(1)客户在商家的Web服务器上选择要订购的产品，并填写完其他必要信息(如送货时间、地点等)后，点击页面上的提交按钮，此时激活CSS软件。CSS软件发送一个初始请求(InitPM-Requ)给商家的MSS软件，InitCM-
Requ的数据结构如表1所示。

(2)MSS收到InitPM-Requ后，向CSS发送初始回答(InitPM-Resp)；InitCM-Resp的数据结构如表2所示。

(3)CSS收到MSS的初始回答(InitCM-Resp)后，做以下几步：
①Verify(CertM)，若核实，则往下进行，否则终止；
②判断DE-PKM(SIGN-SK(H(Resp-Msg)))是否等于H(Resp-Msg)，若相等，则往下进行，否则终止(DE-PKM为CSS用商家签名公钥验证其签名)；
③从Resp-Msg中获得交易标识Random-T，并根据页面上订购的产品，生成OI（Order-Instruction，订货指令），OI的数据结构如表3所示。

④CSS发送购买请求(Purchase-Requ)给MSS，Purchase-Requ的数据结构如表4所示。

该安全移动支付系统提供了通过WAP/WTLS无线环境与第三方支付机构建立联系的安全支付方式。各参与实体所使用的公钥由CFCA签发的证书来分配，可以充分保障移动电子商务支付的机密性、认证性、公平性和完整性。同时，完整性中的数字签名技术也提供了安全移动电子支付的不可否认性。实现了从传统网上购物及网上银行卡支付向手机WAP无线购物及在手机终端直接使用银行卡进行网上支付的延伸，扩充了网上购物和支付的渠道，为人们的日常生活提供更多的便利性。