امنیت وب

صفحه 1:
4 اذالاص‌دالاان منيت وب مبتنى بر فصل ۱۴ از کتاب ‎Network Security, Principles and‏ ‎-Practice,2nd Ed‏ ویرایش شده توسط: حمید رضا شهرباری ‎http://www. fata.ir‏ ‎http://mehrsharif edu/~shahriari 1‏ 

صفحه 2:


صفحه 3:


صفحه 4:
Countermeasures Cryptographic checksums Encryption, web proxies Difficult to prevent Cryptographic techniques Consequences +Loss of information Compromise of machine Vulnerabilty to all other threats Loss of information ‏ان ماه‎ privacy Disruptive ترس | ‘work done /*Misrepresentation of user /*Belief that false information is valid "Modification of user dat Trojan horse browser mm of message Eavesdropping on the Net “Theft of info from server Theft of data from client Info about network configuration. Killing of user threads *Floodinng machine with bogus requests Filing up disk or memory Isolating machine by DNS attacks Impersonation of legitimate users Data forgery Confidentiality Authentication 

صفحه 5:


صفحه 6:
(a) Network Level (b) Transport Level (©) Application Level 5 050000000002 

صفحه 7:
881 Prolacol Versions ) Enable Sat version 2 Tai Caer ©) Enable Sat version a مسق SSL Wamngs Netscape can alet you ta the securty slats ofthe seb page you are viewing Set Netscape fo shaw a warring and ask petissian hese © Looting 3 paze thst supports eneryion Losaing @ page mt uses low prane encnyston Leaving page het augpent enerygon G Senaing tom date nom a7 unenerypteo paye to an unencrypted page ‘viewing @ page wt an enexypressunencrypted mb haf Detuork Genwty Cooter ۳ Languages Helper Applica, Snat Browsing nica Search Tabbed Browsing Downloads > Composer a & Newgroupe > inctant Messenger pica lePiwacy & Secuity ‏دی‎ ‎Images ‎Popup Window Farms Passwords Master Passwords ‏و‎ ‏ماود‎ ‎ Aavancoa ‎mine & Dick Space 

صفحه 8:


صفحه 9:


صفحه 10:


صفحه 11:


صفحه 12:


صفحه 13:


صفحه 14:
= SSL? Ciphareutes| ‏را هارمه معا و‎ ‏ره موه نع و‎ 9 ۲۳۵۵ 055 ‏اوه موه‎ key DES encryption vt a Seta Hoy ACA enerypscn yh 940-0n key ACE enerypicn yh 940-tn key S5SL3/1.5 ciphersutes ‏اه راومه سر و‎ MAD MAC ‎ans SHAT Mac:‏ ره هه ما ای ۳50۱ و عقا او ها رو اوه مرا اوه 25 ۲۳۳0 و ‎enowypion ۵0 20۱ MAC‏ 25 تسس 14۵۱ و۳ ‎(OES snctypon ‏وید رماع ۵ فاد‎ a SHAT MAC ‎anda HAA MAAC‏ برا القع و اب وی ات ‎DES anciypion ۱ 636 ‏و اج موه‎ and 2 SHA-1 MAC {C4 enerypion wih ‏برعا الضف د‎ end an MS MAC ‎{C2 encryption wih 240i hey and an MDS MAC ‎Do encryption with an M05 MAC ‎ ‎ ‎ ‎ ‎ ‎ ‎ 

صفحه 15:
Revord Prowovl Operciiva Application Data Fragment Compress Add MAC Enerypt Append SSL. Record Header © © 

صفحه 16:


صفحه 17:
GGL Revord Porcat a 

صفحه 18:


صفحه 19:
I byte 1 byte 

صفحه 20:


صفحه 21:


صفحه 22:
Phase | Establish security capabilities, ineluding protovol version, session ID, cipher suite compression method, and initial random numbers. Phase 2 Server may send cettificate, key exchange and request certificate, Server of bello message phase gnals end 

صفحه 23:
Phase 3 Client sends certificate if requested. Client sends key exchange. Client may send centificate verifies Time Phase 4 Change cipher suite and finish handshake protocol Note: Shaded transfers are on-dlependent optional or situal messages thit are not always sent 

صفحه 24:


صفحه 25:


صفحه 26:


صفحه 27:
ee Wrndshoke Puptood on Pppes I byte 3 bytes O bytes ‘Type Length Content ‎ameters‏ ری ‎Tiello_request null‏ ‎client_hello version, random, session id, cipher suite, compression method server_hello version, random, session id, cipher suite, compression method certificate chain of X.509v3 certificates ‎server_key_exchang parameters, signature ‎ ‎certificate_request ype. authorities ‎ ‎null ‎ ‎server_don ‎certificate_verify ‎client_key_exchange ‎finished ‎ ‎ ‎ ‎ ‎ 

صفحه 28:


صفحه 29:


صفحه 30:
4 ا الامن والالان SET: Secure Electronic Transactions 30 مرکز امنبت شبکه شریف 

صفحه 31:


صفحه 32:


صفحه 33:


صفحه 34:
| GET Cowpoueus © Merchant =i. Internet Cattifieate Authority Cardholder Issuer Payment = Network 

صفحه 35:


صفحه 36:


صفحه 37:


صفحه 38:


صفحه 39:


صفحه 40:


صفحه 41:
Corcstructiva oP Dut ‏م6‎ ۹ POMD I} ۸ ‏7ب‎ 6 PIMD = Pl message digest OIMD = OF message digest 1) POMD = Payment Order me E = Enciyption (RSA) KR, = Customer's private signature key digest haf Detuork Genwty Coster eq PIMD «1۱ ۳-022 0 | 2۵ c= } 4H 5- PL = Payment information 1 = Order Information H_ = Hash function (SHA. 

صفحه 42:


صفحه 43:


صفحه 44:


صفحه 45:
(Purckhuse Request — Oustower Payment Information Order Information PI message dizest Ol message digest Encryption (RSA for asymmetric DES for symmetric) Temporary symmetric key Bank's public key-exchange key 66 PI 0 ‏اجام‎ ‎OID. Request Message kof Dework Growty Cro PL Dita ۳ رح 

صفحه 46:
(Purckhuse Request — Merchant Order Information Ol message diz Payment Order message digest Decryption (RSA) Hash funetion (SIA-1) Customer's public signature key POMD Com POMD on amp D 0 KUe Request Message: ‎Ba vetope|‏ سواه ‎ ‏+ ‎rp‏ ‏م را ‎iia‏ ‏۳ ‎Lf |‏ 2 و« ی ا“ ‎ ‎ ‎la ‎KU, ‎eo ‎kof Dework Growty Cro ‎ ‎ ‎ ‎ ‎ ‎ ‎ 

صفحه 47:


صفحه 48:


صفحه 49:


صفحه 50:


صفحه 51:
4 اذالاص‌دالاان 51 مرکز امنبت شبکه شریف 

امنیت وب از کتاب14 مبتنی بر فصل Network Security, Principles and .Practice,2nd Ed حمید رضا شهریاری:ویرایش شده توسط http://www.fata.ir مركز امنبت شبكه شریف http://mehr.sharif.edu/~shahriari 1 فهرست مطالب ‏ ‏ ‏ ‏ ‏ خطرات تهدیدكننده وب روشهای مختلف تامین امنیت وب ‏SSL ‏TLS ‏SET مركز امنبت شبكه شريف 2 خطرات تهدیدكننده وب با توجه به سادگی و گستردگی استفاده از مرورگرها و خدمات وب و راه اندازی سرورها ،امنیت وب از پیچیدگی باالیی برخوردار است. نمونه ای از خطرات متداول: ‏ ‏ ‏ ‏ حمله به وب سرورها تهدید اعتبار برنامه های تجاری مهم وجود كاربران عام و ناآشنا به خطرات امنیتی دسترسی به حریم خصوصی افراد و آزار و اذیت آنها مركز امنبت شبكه شريف 3 Threats on the Web Sharif Network Security Center 4 روشهای مختلف تامین امنیت وب ‏ ‏ ‏ استفاده از . IPSecمزایا : همه منظوره شفاف از دید كاربران الیه باالتر سربار اضافی استفاده از IPSecبا استفاده از فیلترینگ قابل حل است استفاده از SSL/TLS شفاف از دید Applicationها پشتیبانی مرورگرهایی مانند Netscapeو IEو نیز بسیاری از وب سرورها سرویسهای امنیتی وابسته به كاربرد خاص ‏SET  مركز امنبت شبكه شريف 5 Web Security Approaches 6 Sharif Network Security Center Netscape Support for SSL Sharif Network Security Center 7  - SSLتFFارFیFخچه ‏July, 1994  ‏ ‏ شرکت Netscapeطراحی SSL 1.0را انجام داد. این نسخه هیچگاه منتشر نشد! ‏Dec, 1994  ‏ ‏ ‏ مرورگر Netscapeهمراه با SSL 2.0به بازار عرضه شد. آسیب پذیر بود .کمتر از 1ساعت می شد به آن نفوذ کرد. محدودیت استفاده از کلیدهای 40بیتی در خارج آمریکا مركز امنبت شبكه شريف 8  – SSLتاریFخچFه(...اداFمFه) ‏July, 1995  ‏ ‏ مایکروسافت نسخه جدیدی از IEرا به بازار عرضه کرد که از SSLپشتیبانی می کرد. پشتیبانی از مدهای کاری جدید و افزایش طول کلیدهای قابل استفاده ‏Nov, 1995  ‏ ‏ ‏ شرکت Netscapeتوصیف SSL 3.0را منتشر کرد با تغییرات و جهش عمده نسبت به نسخه های قبلی همراه بود ضمن اینکه نسبت به نسخه SSL v2.0، Backward Compatible بود مركز امنبت شبكه شريف 9  – SSLتاریFخچFه(...اداFمFه) ‏May, 1996  ‏ IETFگFFروFه FکارFی TLSرا تFFشکیلداد و مFسئولFیتپFFاسFخگویی FبFFFه مFشکالت ‏Fت قFFرارداد SSLرا بFFرعهFده FگFFرف . ‏Jan, 1999  ‏ ‏ TLS 1.0بFFFطور رFسFمیهمراFه FبFFا RFC 2246بFFFه بFFازار عFرضFه ش Fد. در واقع همان SSL v3.1بود که به دالیل تجاری تغییر نام داده بود. مركز امنبت شبكه شريف 10 SSL ‏ ‏ ‏ ‏ الیه امنیتی در باالی الیه انتقال ارائه شده توسط شرکت Netscapeو نسخه 3آن نسخه استاندارد اینترنت می باشد سرویس قابل اطمینان انتها به انتها( )end to endو مبتنی بر TCP پروتكل آن در دو الیه پیاده سازی می شود مركز امنبت شبكه شريف 11  - SSLمFعمارFی الیه اول باالی الیه انتقال و الیه دوم در الیه کاربرد الیه اول شامل پروتکل Recordو الیه دوم مربوط به سرویسهای مدیریتی بوده و شامل پروتکلهای زیر می شود مركز امنبت شبكه شريف 12  – SSLپFFروFتFكلهFا : SSL Record Protocol دو سFFروFیFسبFFراFی SSLفFFراFهم مFیكFFند: محرمانگی : ‏ ‏ ‏ با استفاده از یك كلید متقارن مخفی كه در پروتكل Handshakeبه اشتراك گذاشته شده است. استفاده از یكی از الگوریتمهای IDEA، RC2-40، DES-40، DES، 3DES، Fortezza، RC4-40، RC4-128 تمامیت پیغام ‏ ‏ تولید MACبا استفاده از کلید متقارن مخفی استفاده از SHA-1یا MD5 وظیفه تولید و توزیع کلیدهای متقارن برای انجام رمزگذاری مرسوم و نیز محاسبه MACبرعهده پروتکل handshakeاست مركز امنبت شبكه شريف 13 Netscape’s Ciphersuites 14 Sharif Network Security Center Record Protocol Operation 15 Sharif Network Security Center  – SSLپFFروFتFكلهFا اعمال انجام شده در پروتكل Record ‏ ‏ ‏ قطعه بندی :تولید بالكهای به طول 214یا كمتر . فشرده سازی :اختیاری و بدون از دست رفتن داده. تولید : MACمشFابه HMACو روی ورودی زیر انجام می گیرد: ‏ ‏ ‏ ‏ (محتوای بالك ،طول بالك ،نوع فشرده سازی ،شماره سریال) الگوریتم تولید کد احراز هویت MD5یا SHA-1می باشد. رمزنگاری :استفاده از رمز بالكی یا نهری. اضافه كردن سرآیند :به ابتدای بالك رمزشده می چسFبد و شامل موارد زیر است: (نوع محتوا ،نسخه اصلی ،SSLنسخه فرعی ،SSLطول داده فشرده شده) نوع محتوا( )Content Typeبیان كننده پروتكل استفاده كننده از این سرویس در الیه باالتر می باشد مركز امنبت شبكه شريف 16 SSL Record Format 17 Sharif Network Security Center  – SSLپFFروFتFكلهFا پروتكل :Change Cipher Spec ‏ ‏ ‏ یكی از 3پروتكل الیه دوم SSLكه از پروتكل Recordاستفاده می كنند. شامل 1بایت می باشد منجر به نوشته شدن مشخصات رمزنگاری معلق( )pendingبجای مشخصات فعلی می شود تا در اتصال جاری مورد استفاده قرار گيرد. مركز امنبت شبكه شريف 18  – SSLپFFروFتFكلهFا پروتكل :SSL Alert ‏ ‏ ‏ ‏ هشدارها و خطاهای مربوط به SSLرا به طرف مقابل منتقل می كند شدت خطای پیش آمده Warning or Fatal : مانند بقیه داده های SSLفشرده سازی و رمزنگاری می شود. نمونه خطاها : ‏unexpected message, bad record mac, ‏decompression failure, handshake failure مركز امنبت شبكه شريف 19  – SSLپFFروFتFكلهFا پروتكل SSL Handshake ‏ پیش از انتقال هر نوع داده ای تحت SSLانجام می شود. ‏ با استفاده از آن کارفرما و کارگزار می توانند : همدیگر را شناسایی كنند الگوریتم های رمزنگاری ،توابع درهم ساز مورد استفاده و کلیدهای رمزنگاری متقارن و نامتقارن را رد و بدل كنند. مركز امنبت شبكه شريف 20 قرارداد توافق – فاز Hello پروتكل SSL Handshake شامل 4فاز اصلی زیر می باشد ‏ ‏ ‏ ‏ مشخص كردن قابلیتهای رمزنگاری دو طرف احراز هویت کارگزار به کارفرما و مبادله كلیدهای آن احراز هویت کارفرما به کارگزار و مبادله كلیدهای آن جایگزینی پارامترهای رمزنگاری جدید به جای قبلی و خاتمه توافق مركز امنبت شبكه شريف 21 SSL Handshake Protocol 22 مركز امنبت شبكه شريف Sharif Network مركز امنبت شبكه شريف ‏Sharif Network 23 قرارداد توافق – فاز Hello ارسال پیغام Helloتوسط کارفرما (آغازگر جلسه) پیشنهاد نسخه قرارداد :آخرین نسخه پشیبانی شده توسط کارفرما پیشنهاد الگوریتم های مناسب و روش تبادل کلید آنها پیشنهاد مکانیزم فشرده سازی مناسب انتخاب نسخه و الگوریتم های مورد قبول کارگزار کارگزار بررسی می کند که آیا این پیشنهاد قابل قبول است یا نه؟ مركز امنبت شبكه شريف 24 قرارداد توافق – فاز تبادل کلید ارسال گواهی کارگزار برای کارفرما ‏ همراه با کلید عمومی( )RSAیا پارامترهای DH تولید و ارسال کلید سری ‏ ‏ کارفرما کلید سری را تولید کرده و برای کارگزار می فرستد یا این که هر دو با استفاده از پارامترهای DHکلید سری را محاسبه می کنند. مركز امنبت شبكه شريف 25 قرارداد توافق – فاز خاتمه فعال کردن قرارداد تغییر مشخصات رمز ‏ ‏ کارفرما قرارداد تغییر مشخصات رمز را فعال کرده و برای کارگزار می فرستد. کارگزار نیز قرارداد تغییر مشخصات رمز را فعال کرده و ارسال می کند. پایان ‏ ‏ ارسال پیغام پایانی آغاز تبادل اطالعات به صورت محرمانه و با پارامترهای جدید مركز امنبت شبكه شريف 26 Handshake Payload and Types 27 Sharif Network Security Center  – SSLنFFتیجه گFFیری ‏FهایFمFنیتیزFیر را فFFراFهم مFیکند SSL نFFیاز ا ‏ ‏ ‏ محرمانگی رمزنگاری متقارن تمامیت داده کد احراز هویت داده احراز هویت استاندارد x.509 امروزه مهمترین کاربرد SSLدر قرارداد HTTPSمی باشد. مركز امنبت شبكه شريف 28 TLS(Transport Layer )Security ‏ ‏ ‏ یك استاندارد از IETF به دنبال ایجاد یك نسخه استاندارد اینترنتی از SSLمی باشد بسیار شبیه SSLنسخه 3بدون در نظرگرفتن تفاوتهای جزئی زیر: ‏ ‏ ‏ ‏ بهره گیری از HMACواقعی در محاسبه (MACاستفاده از عملگر )XOR تابع تولید اعداد تصادفی هFمان HMACاست در TLSکد خطای no-certificateقابل قبول نیست الگوریتم Fortezzaاز الگوریتمهای توزیع كلید و رمزگذاری پیغام حذف شده مركز امنبت شبكه شريف 29 SET: Secure Electronic Transactions مركز امنبت شبكه شریف 30 SET: Secure Electronic ‏Transactions عبارت است از مجموعه ای از پروتكلها و فرمتها كه امكان استفاده از كارتهای اعتباری عادی در شبكه های گسترده را فراهم می سازد(معرفی شده توسط )MasterCard&Visa سه سرویس زیر را فراهم می سازد: ‏ ‏ ‏ فراهم آوردن یك كانال ارتباطی امن بین افراد درگیر در یك انتقال مالی(.)transaction استفاده از گواهی های قابل اعتماد X.509v3 محافظت از حریم خصوصی افراد :اطالعات فقط برای اشخاصی كه به آن نیاز دارند ،قابل رویت است مركز امنبت شبكه شريف 31 SET نیازمندیهای تجاری و فنی SET ‏ ‏ ‏ ‏ ‏ ‏ حفظ محرمانگی اطالعات پرداخت و سفارش خرید احراز هویت صاحب كارت اعتباری حفظ تمامیت كلیه داده های منتقل شده استفاده از بهترین ابزارهای امنیتی(پروتكلها و الگوریتمها) و نیز بهترین تكنیكهای طراحی سیستم. عدم وابستگی به وجود یا عدم وجود مكانیسمهای امنیتی الیه انتقال (مانند IPSecیا )SSL به وجود آوردن امکان عملکرد متقابل بین نرم افزارها و سرویس دهندگان شبكه :مستقل بودن SETاز بستر نرم افزاری یا سخت افزاری مركز امنبت شبكه شريف 32 SET قابلیت های كلیدی SET ‏ ‏ ‏ ‏ محرمانگی اطالعات :شماره كارت اعتباری خریدار از دید فروشنده مخفی می ماند(استفاده از )DES حفظ جامعیت داده ها :با استفاده از امضاء رقمی ،RSAكد درهم SHA-1و HMAC احراز هویت دارنده كارت :امضاء رقمی با گواهی X.509v3 احراز هویت فروشنده :امضاء رقمی با گواهی X.509v3 مركز امنبت شبكه شريف 33 SET Components 34 Sharif Network Security Center SET افراد و نهادهای درگیر عبارتند از : ‏ صاحب كارت( :)Card Holderكاربر صاحب كارت اعتباری ‏ فروشنده( :)Merchantفرد یا سازمانی كه قصد فروختن كاالی خود را از طریق اینترنت دارد. ‏ صادركننده كارت( : )Issuerموسسه مالی مانند بانك كه برای كاربران كارت صادر می كند و مسئول پرداخت كاربر در مقابل خرید او می باشد مركز امنبت شبكه شريف 35 SET افراد و نهادهای درگیر در سیستم (ادامه) ‏ موسسه حسابرسی مالی( :)Acquirerیک موسسه مالFی موظف با وظایف زیر: ‏ ‏ ‏ باز کردن حساب برای فروشنده تعیین سقف اعتبار کارتها و فعال بودن آنها واریز مبلغ دریافت شده از طریق کارت به حساب فروشنده ‏ دروازه پرداخت ( :)Payment Gatewayجهت پردازش پیامهای پرداختی و فروشنده توسط Acquirerیا فرد سوم ‏ مرجع صFدور گواهی( : )CAصادركننده گواهی X509برای صاحبان کارتها ،فروشنده ها و دروازه های پرداخت مركز امنبت شبكه شريف 36 SET مراحل انتقال مالی افتتاح حساب توسط مشتری :حساب كارت اعتباری در بانكی كه SETرا پشتیبانی می كند ‏ دریافت گواهی توسط مشتری :گواهی X509كه به امضای بانك رسیده باشد. ‏ دریافت گواهی توسط فروشنده :یكی برای امضاء پیام و دیگری برای توزیع كلید ‏ ارسال سفارش خرید :از طرف مشتری برای فروشنده ‏ تایید هویت فروشنده از جانب مشتری :از روی گواهی ارسال شده مركز امنبت شبكه شريف 37 SET مراحل انتقال مالی ‏ تایید سفارش و ارسال مشخصات پرداخت :مشتری اطالعات سفارش و پرداخت خود كه شامل گواهی او نیز می شود را برای فروشنده می فرستد .اطالعات پرداخت به صورت رمزشده فرستاده می شوند و برای فروشنده قابل فهم نیستند. ‏ تقاضای اجازه پرداخت از جانب فروشنده :فروشنده اطالعات پرداخت را برای دروازه پرداخت می فرستد“ .آیا كارت اعتباری خریدار به اندازه خرید جاری موجودی دارد؟” مركز امنبت شبكه شريف 38 SET مراحل انتقال مالی ‏ تایید سفارش از جانب فروشنده :در صورتی كه پاسخ سوال فوق مثبت باشد! ‏ ارسال اجناس یا فراهم آوردن خدمات برای مشتری ‏ تقاضای پرداخت از جانب فروشنده :تقاضای انتقال مبلغ مورد نظر از حساب مشتری به حساب فروشنده از جانب دروازه پرداخت مركز امنبت شبكه شريف 39 SET امضاء دوبل()Dual Signature مكانیسمی برای اتصال پیغامهایی كه برای گیرنده های مختلف فرستاده می شوند .مثال: اطالعات سفارش( )OIكه برای فروشنده و اطالعات پرداخت ( )PIكه برای بانك فرستاده می شوند. فروشنده نباید شماره كارت اعتباری را بداند بانك نباید جزییات سفارش خرید را بداند باید بتوان ثابت كرFد كه پرداخت فعلی متعلق به سفارش خرید فعلی و نه احیانا سفارشهای قبلی یا بعدی است. با استفاده از مكانیسم Dual Signatureمی توان جلوی سوءاستفاده های احتمالی فروشنده را گرفت مركز امنبت شبكه شريف 40 Construction of Dual Signature Sharif Network Security Center 41 SET قرارداد SETعموما از سه تراکنش اصلی تشکیل می شود ‏ سفارش خرید()Purchase Request ‏ اجازه پرداخت()Payment Authorization ‏ دریافت پرداخت()Payment Capture مركز امنبت شبكه شريف 42 SET درخواست خرید( :)Purchase Requestطی آن 4پیام رد و بدل می شود: ‏ درخواست اولیه از طرف خریدار به فروشنده( 1از )4 شامل نوع كارت اعتباری ،شناسه یكتا( )IDمربوط به این تقاضا و .nonce ‏ پاسخ اولیه از طرف فروشنده به خریدار( 2از )4 ‏ شامل nonceمشتری nonce ،جدید و IDمرحله قبل كه به امضای فروشنده رسیده اند ،به عالوه گواهی فروشنده و گواهی دروازه پرداخت مركز امنبت شبكه شريف 43 SET درخواست خرید(ادامه )... ‏ شامل : ِ درخواست خرید از طرف خریدار به فروشنده( 3از )4 ‏ ‏ ‏ ‏ اطالعات مربوط به سفارش كه باید به فروشنده برسد اطالعات پرداخت كه باید بدست بانك برسد(از طریق فروشنده) گواهی کلید عمومی خریدار برای امضا پاسخ خرید از طرف فروشنده به خریدار( 4از )4 ‏ ‏ ‏ گواهی خریدار اطالعات پرFداخت جهت اجازه و تایید كارت به بانك ارسال می شود پاسخ خرید جهت تایید خرید بصورت امضاشده به خریدار ارسال می شود مركز امنبت شبكه شريف 44 Purchase Request – Customer Sharif Network Security Center 45 Purchase Request – Merchant Sharif Network Security Center 46 SET اجازه دروازه پرداخت()Payment Gateway Authorization این مرحله جهت اطالع فروشنده از اعتبار خریدار و این كه پFرداخت حتما صورت خواهد پذیرفت ،بین فروشنده و دروازه پرداخت انجام می شود .شامل دو پیام می باشد: مركز امنبت شبكه شريف 47 SET .1 درخواست اجازه از طرف فروشنده به دروازه پرداخت: ‏ .2 شامل اطالعات خریدار( ،PIامضای دوگانه و ،)OIMDاطالعات مربوط به اجازه(شامل اطالعات IDو غیره) و گواهیهای خریدار و فروشنده پاسخ اجازه از طرف دروازه پرداخت به فروشنده ‏ ‏ شامل اطالعات مربوط به اجازه(رمزشده توسط دروازه پرداخت) اطالعات مربوط به دریافت پرداختی( )capture tokenتوسط فروشنده و گواهی امضای دروازه پرداخت. اطالعات capture tokenبرای مرحله بعد مورد نیاز است. مركز امنبت شبكه شريف 48 SET دریافت پرداخت()payment capture فروشنده پس از ارسال جنس و یا سرویس می تواند هزینه سرویس خود را از كارت اعتباری خریدار دریافت كند .این كار طی دو پیام انجام می شود: مركز امنبت شبكه شريف 49 SET .1 .2 درخواست دریافت ( )capture requestاز طرف فروشنده به دروازه پرداخت: شامل مبلغ ID ،و capture tokenكه رمز و امضاء شده اند و نیز گواهیهای امضاء و توزیع كلید فروشنده در صورت تایید ،از طریق شبكه خصوصی درخواست به بانك ارسال شده و مبلغ از حساب خریدار به فروشنده منتقل می شود پاسخ دریافت ( )capture responseاز طرف دروازه پرداخت به فروشنده در صورت انتقال مبلغ پاسخ مناسب به فروشنده داده می شود مركز امنبت شبكه شريف 50 پایان ؟ 51 مركز امنبت شبكه شریف