现在的网络支付中存在着很多毛病：(1) 网络数据流的：在用户和银行交易的过程中，被第三方通过各种方法截获数据流，剖析数据中的信息从而得到用户的信息。(2) 木马的窃听：用户电脑中了病毒或者木马之后，电脑被监听，用户和银行交易的信息被木马记录，用户的信息就这样被盗了。(3) 穷举攻击：攻击者利用故意义的数字作为密码来不断考试测验持卡人的密码。如果持卡人的密码是未经由改动的初始密码或一个分外、随意马虎被剖析的数字，则密码很随意马虎被攻击者穷举出来。(4) 网络钓鱼：第三方利用银行的身份给用户发信息，哀求用户供应账号和密码，如果用户供应了的话就透露了自己的信息了。或者是第三方假冒银行或者交易的网站， 对没有负责辨别的情形下，用户很随意马虎上当从而透露自己的信。
U盾的涌现便是办理上面所说的安全问题。
一、什么是U盾
U盾，即工行2003年推出的客户证书USBkey，是工商银行为客户供应的办理网上银行业务的高等别安全工具。它是一个带智能芯片、形状类似于闪存的实物硬件，时候保护着您的网上银行资金安全。从技能角度看，U盾是用于网上银行电子署名和数字认证的工具，它内 置微型智能卡处理器，基于PKI技能，采取1024位非对称密钥算法对网上数据进行加密、解密和数字署名，确保网上交易的保密性、真实性、完全性和不可否 认性。它设备虽然小巧，但技能含量极高。该产品采取了目前国际领先的信息安全技能，核心硬件模块采取智能卡CPU芯片，内部构造由CPU及加密逻辑、 RAM、ROM、EEPROM和I/O五部分组成，是一个具有安全体系的小型打算机。除了硬件，安全实现完备取决于技能含量极高的智能卡芯片操作系统 (COS)，该操作系统就象DOS、WINDOWS等操作系统一样，管理着与信息安全密切干系的各种数据、密钥和文件，并掌握各种安全做事。USBKey 具有硬件真随机数发生器，密钥完备在硬件内天生，并存储在硬件中，能够担保密钥不出硬件，硬件供应的加解密算法完备在加密硬件内运行。
二、事情事理
U盾又作移动数字证书，它存放着你个人的数字证书，并不可读取。同样，银行也记录着你的数字证书。
当你考试测验进行网上交易时，银行会向你发送由韶光字串，地址字串，交易信息字串，防重放攻击字串组合在一起进行加密后得到的字串A，你的U盾将跟据你的个人证书对字串A进行不可逆运算得到字串B，并将字串B发送给银行，银行端也同时进行该不可逆运算，如果银走运算结果和你的运算结果同等便认为你合法，交易便可以完成，如果不一致便认为你不合法，交易便会失落败。
( 理论上，不同的字串A不会得出相同的字串B，即一个字串A对应一个唯一的字串B; 但是字串B和字串A无法得出你的数字证书，而且U盾具有不可读取性，以是任何人都无法获行你的数字证书。并且银行每次都会发不同的防重放字串(随机字串)和韶光字串，以是当一次交易完成后，刚发出的B字串便不再有效。综上所述，理论上U盾是绝对安全的。把稳是理论上发生假造概率大约为2的80次方分之一。)
U盾的事理很类似于双向认证的TLS(SSL)或者其它用到RSA的双向证书验证手段，以下步骤可能和U盾实际实行的有所差异，但实质相同：
--银行先给你一个\"大众冲击\"大众，它包含了随机数，以及该随机数HASH，它们都由公钥加密，这样就可以担保只有你能解密这个\"大众冲击\"大众
--你打算该随机数的HASH，并和用私钥解出的HASH，两者相同后，便可确认银行的身份
--接下来，以一个只有你和银行知道的算法，利这个随机数和一些其它信息，天生\"大众相应\"大众和相应的HASH，再用私钥加密后发回银行。(此时银行也以相同的算法打算该\"大众相应\"大众)
--银行用公钥解密，并验证HASH精确，接下来银行比较两个\"大众相应\"大众是否相同，相同的话客户的身份也确认了，至于私钥的保密性由U盾来完成。U盾的掌握芯片被设计为只能写入证书，不能读取证书，并且所有利用证书进行的运算都在U盾中进行。以是，只能从U盾读出运算结果。
ps:
和平常登录HTTPS网站不一样的是，一样平常HTTPS在TLS握手时，只要验证做事器身份成功便可完成握手。
接下来以前面的\"大众随机数\"大众导出对称加密算法的密钥，开始加密链接
（一）U盾的安全方法
1.硬件PIN码保护
U 盾采取了利用以物理介质为根本的个人客户证书，建立基于公钥PKI技能的个人证书认证体系(PIN码)。黑客须要同时取得用户的U盾硬件以及用户的 PIN码，才可以登录系统。即利用户的PIN码透露，U盾没有丢失，合法用户的身份就不会被仿冒，如果用户U盾丢失，其他人不知道用户的PIN码，这也是 无法假冒合法用户的身份。
2.安全的密钥存放
U盾的密钥存储于内部的智能芯片中，用户无法从外部直接读取，对密钥文件的读写和修正都必须由U盾内部的CPU调用相应的程序文件实行，从而U盾接口的表面，没有任何一条指令能对密钥区的内容进行读取、修正、更新和删除，这样可以担保黑客无法利用造孽程序修正密钥。
3.双密钥密码系统编制
为 了提高交易的安全，U盾采取了双钥密码系统编制担保安全性，在U盾初始化的时候，先将密码算法程序烧制在ROM中，然后通过产生公私密钥对的程序天生一对公私密钥，公私密钥产生后，密钥可以导出到U盾外，而私钥则存储于密钥区，不许可外部访问。进行数字署名时以及非对称解密运算时，凡是有私参与的密码运算只 在芯片内部即可完成，全程私钥可以不出U盾介质，从而来担保以U盾为存储介质的数字证书认证在安全上无懈可击。
4.硬件实现加密算法
U盾内置CPU或智能卡芯片，可以实现数据择要、数据加解密和署名的各种算法，加解密运算在U盾内进行，担保了用户密钥不会涌如今打算机内存中。
(二) U盾进行银行和客户身份的双向认证
1、基于冲击-相应认证模式
USB Key内置单向散列算法（RSA），预先在USB Key和做事器中存储一个证明用户身份的密钥，当须要在网络上验证用户身份时，先由客户端向做事器发出一个验证要求。做事器接到此要求后天生一个随机数回 传给客户端PC上插着的USB Key，此为“冲击”。USB Key利用该随机数与存储在USB Key中的密钥进行RSA运算得到一个运算结果作为认证证据传送给做事器，此为“相应”。与此同时，做事器利用该随机数与存储在做事器数据库中的该客户密 钥进行RSA运算，如果做事器的运算结果与客户端传回的相应结果相同，则认为客户端是一个合法用户。
2.基于PKI的数字证书的认证模式
PKI（Public Key Infrastructure）即公共密钥体系，即利用一对相互匹配的密钥进行加密、解密。一个公共密钥（公钥，public key）和一个私有密钥（私钥，private key）。其基本事理是：由一个密钥进行加密的信息内容，只能由与之配对的另一个密钥才能进行解密。公钥可以广泛地发给与自己有关的通信者，私钥则须要十 分安全地存放起来。
每个用户拥有一个仅为本人所节制的私钥，用它进行解密和署名；同时拥有一个公钥用于文件发送时加密。当发送一份保密文件时，发送方利用吸收方的公钥对数据 加密，而吸收方则利用自己的私钥解密，这样，信息就可以安全无误地到达目的地了，纵然被第三方截获，由于没有相应的私钥，也无法进行解密。
冲击相应模式可以担保用户身份不被仿冒，但无法担保认证过程中数据在网络传输过程中的安全。 而基于PKI的“数字证书认证办法”可以有效担保用户的身份安全和数据传输安全。数字证书是由可信任的第三方认证机构——数字证书认证中央 （Certficate Authority, CA）颁发的一组包含用户身份信息（密钥）的数据构造，PKI体系通过采取加密算法构建了一套完善的流程，担保数字证书持有人的身份 安全。而利用USB Key可以保障数字证书无法被复制，所有密钥运算在USB Key中实现，用户密钥不在打算机内存涌现也不在网络中传播，只有USB Key的持有人才能够对数字证书进行操作，安全性有了保障。由于USB Key具有安全可靠，便于携带、利用方便、本钱低廉的优点，加上PKI体系完善的数据保护机制，利用USB Key存储数字证书的认证办法已经成为目前紧张的认证模式。
(三) U盾的交易过程
利用U盾前，一样平常都要安装驱动，使U盾能正常事情。另 外安装数字证书认证身份。当用户须要交易向银行提交订单要支付的时候，这时要验证用户的身份，系统提 示用户插入U盾，并输入U盾的密码，系统会在后台验证，用户看不到过程，一履历证通过，用户就可以利用连续输入网上支付密码和验证码，验证都精确后交易就 完成 。有了U盾，交易便是很安全的，可以说是无懈可击。
