전자상거래 보안 - SET(Secure Electronic Transaction)

SET(Secure Electronic Transaction) 

• SET는 인터넷에서 신용카드 사용 촉진을 위해 VISA와 MASTER CARD사에서 공동으로 개발된 프로토콜이다.
• 전자 상거래 인증의 상호 작용을 보장, SSL에 비해 상대적으로 느리다.
• 전자 서명과 인증서를 통한 안전한 거래가 가능하다.
• 신용카드의 지급 결제 처리 절차에 한해서 정의, 시스템 구축 및 인증 절차가 복잡하다.
• 기밀성, 무결성, 인증, 부인봉쇄를 지원한다.

 

SET 거래 절차

Figure 1. Transaction flow in Secure Electronic Transaction (SET)

① 구매자가 판매자의 웹사이트에서 상품을 선택하고 구매 요청을 한다.

② 판매자가 판매자의 인증서와 지불정보를 고객에게 보낸다.

③ 구매자는 자신의 인증서와 더불어 주문 정보와 지불 정보를 판매자에게 전송한다.

④ 판매자는 주문 정보와 인증서와 함께 판매자 은행에 인증을 요청한다.

⑤ 판매자 은행은 고객 은행에 지불 승인에 대한 인증을 요청한다. 

⑥ 구매자의 은행은 판매자의 은행에 지불에 대한 인증 승인을 보낸다.

⑦ 판매자의 은행이 판매자에게 지불 확인 메시지를 보낸다.

⑧ 판매자가 주문을 고객에게 확인 메시지를 보낸다.

구성요소	세부 내용
구매자	웹 상에서 물품을 구매하는 사람
판매자	웹 상에서 물품을 판매하는 사람
PG	카드 지불 네트워크의 통로
Merchant Bank	판매자의 계좌가 있는 은행
Customer Bank	구매자의 계좌가 있는 은행
인증기관	SET에 참여하는 사용자, 상점, PG의 정당성을 보증하는 기관

 

SET 사용기술

• 대칭키, 공개키, 잔자서명, 해시함수, 전자봉투, 공개키 인증(X.509), 이중서명 기술
• DES, RSA, SHA-1

 

SET 이중서명(Dual Signature)

SET에서는 고객의 결제정보가 판매자를 통하여 해당 지급정보중계기관(PG)으로 전송됨에따라 고객의 결제정보가 판매자에게 노출될 가능성과 판매자에 의한 결제 정보의 위·변조의 가능성이 있으므로, 판매자에게 결제정보를 노출시키지 않으면서도 판매자가 해당 고객의 정당성 및 구매내용의 정당성을 확인 할 수 있고 PG는 판매자가 전송한 결제요청이 실제고객이 의뢰한 전문인지를 확인할 수 있도록 하는 이중서명 기술 도입이 필요하게 됨

장점	단점
사용자는 판매자에게  지불정보를 숨길 수 있다. 사용자는 PG로부터 주문정보를 숨길 수 있다. PG는 판매자가 전송한 결제 요청이 실제 고객이 의뢰한 정보인지 확인할 수 있다. 전자상거래의 사기 방지, 기존의 신용카드 기반을 그대로 활용한다.	암호 프로토콜이 너무 복잡하다. RSA 속도 저하, 카드 소지자에게 전자지갑 소프트웨어를 요구한다.

참고자료
이기적 정보보안기사 필기
https://itwiki.kr/w/%EC%9D%B4%EC%A4%91_%EC%84%9C%EB%AA%85
https://www.researchgate.net/figure/Transaction-flow-in-Secure-Electronic-Transaction-SET_fig1_51953690