隨著電子商務網站迅速發展，交易方式逐漸由實體交易轉為線上交易。由於傳統交易環境中的晶片卡付款方式已被消費者普遍接受，因此若能在網路環境中提供安全的晶片卡付款方式，必能提升消費者對使用線上晶片卡付款機制的接受度，所以VISA、MasterCard、Netscape與Microsoft等公司於1996年2月，制定了一套專為線上線用卡付款機制設計的安全電子交易規格SET(Secure Electronic Transaction)。

	儘管SET本身流程設計相當安全嚴謹，但卻無法抵抗近年來重要的資安漏洞—鍵盤側錄程式的惡意威脅，駭客可藉由側錄下來的使用者資訊進行重送攻擊，偽裝冒用消費者的名義做非法交易；且由於SET的使用必須負擔額外費用，並且必須安裝相關軟體如電子錢包，是以推廣成效不彰。因此本研究在使用SAML技術，依照現行EMV晶片卡規格，讓消費者所持有之晶片卡與收單銀行在進行交易確認前，實施雙因素認證(Two-Factor Authentication)(通行碼、憑證)，以預防相關安全攻擊。讓線上交易不僅可以達到安全、便利的目地，更提供一個開放的新機制，以利推廣。

As the rapid development of e-commerce, online transaction has become more popular than entity transactions. With traditional transactions, paying with IC card has been the method accepted by most consumers. If there is a safer payment method over the Internet, it will greatly enhance the acceptance of using IC card payment on-line. That is the main reason that VISA, MasterCard, Netscape, Microsoft and other companies have developed a specification, SET (Secure Electronic Transaction), for secure electronic transaction in February 1996.

	While SET itself is quite secure, it could not escape the recently popular security loophole, "the Keylogger". Through the replay attack, hackers can camouflage as consumers to do illegal transactions. Since usage of SET must pay additional costs, and related software such as electronic purse must be installed, the product was not very well accepted. In this research, I present a Two-Factor authentication system in accordance with the EMV specifications, and use SAML technology to ensure security of transactions between user and acquirer bank. With those technologies, it is not only safe and convenient to perform transaction on-line, but it is also easier to promote the new technology by offering a new mechanism.

目錄
中文摘要	i
英文摘要	ii
目錄	iii
圖目錄	v
表目錄	vi

第一章	緒論	1
1.1	研究動機與背景	1
1.2	研究目的	2
第二章	文獻探討	4
2.1	EMV晶片卡規格	4
2.1.1	EMV歷史沿革	4
2.1.2	EMV晶片卡交易流程	4
2.1.3	離線認證	7
2.1.4	ARQC & ARPC	11
2.2	公開金鑰基礎建設(Public Key Infrastructure)	12
2.3	安全斷言標記語言(Security Assertion Markup Language)	14
2.3.1	SAML簡介與架構	14
2.3.2	SAML概要	16
2.3.3	認證授權實例	19
第三章	研究方法	21
3.1	研究流程	21
3.2	研究架構	22
3.3	認證流程設計	23
3.3.1	晶片卡斷言格式設計	24
3.3.2	晶片卡認證流程設計	26
3.3.3	應用斷言於信用狀設計	28
3.4	系統實作畫面	29
第四章	比較與分析	35
4.1	CA	35
4.2	與其他付款機制之比較	36
第五章	結論與建議	39
5.1	結論	39
5.2	建議	39
參考文獻	41
附錄A.	憑證格式比較	45
附錄B.	信用狀介紹	48
B.1	信用狀定義	48
B.2	信用狀之作業流程	48
B.3	全套信用狀實例	50

圖目錄
【圖2-1】 EMV晶片卡交易流程實例 	5
【圖2-2】 EMV2000 SDA簽署流程 	8
【圖2-3】 EMV2000 DDA簽署流程 	10
【圖2-4】 ARQC計算方式 	11
【圖2-5】 ARPC計算方式 	12
【圖2-6】 SAML元件間的關係 	15
【圖2-7】 SAML用於Single Sign-On機制的一個Use Case 	16
【圖2-8】 左為Browser/Artifact 規格，右為Browser/POST 規格 	17
【圖2-9】 Browser/Artifact Profile-來源網站優先之細節流程 	19
【圖3-1】 研究流程圖	21
【圖3-2】 晶片卡交易架構圖	22
【圖3-3】 晶片卡之斷言格式	24
【圖3-4】 EMV晶片卡線上交易認證機制	26
【圖3-5】 信用狀斷言格式	29
【圖3-6】 銀行代碼選擇頁面	30
【圖3-7】 使用者認證畫面首頁	31
【圖3-8】 使用者通過第一次認證頁面	31
【圖3-9】 虛擬之斷言生成頁面	32
【圖3-10】 斷言內容	32
【圖3-11】 確認交易頁面	33
【圖3-12】 交易成功頁面	34
【圖4-1】 一般PKI的CA體系架構圖	35
【圖4-2】 EMV CA架構圖	36
【圖B-1】 信用狀交易之作業流程圖 	49
【圖B-2】信用狀通知書 	51
【圖B-3】 簡電信用狀 	52
【圖B-4】 信用狀證實書 	53


表目錄
【表4-1】 本研究系統與實體ATM、網路ATM、網路銀行、SET之比較	37
【表A-1】 X.509(V3)憑證格式	45
【表A-2】 EMV2000發卡銀行憑證格式	45
【表A-3】 EMV2000 IC-Card憑證格式	46

中文文獻
[1].	CPRO資傳網，(http://cpro.com.tw/channel/news/content/index.php?news_id=53011)
[2].	吳宗成，「資訊安全與PKI簡介」， (www.pki-pma.org.tw/activity/doc/2005112425/2005112425-07.pdf)，2005年11月
[3].	宋振華，「資訊安全技術發展現況」，工研院電通所網 際網路安全技術部，2005年7月
[4].	周政宏，「Java與XML整合應用」，文魁資訊股份有限公司，2003年4月
[5].	麻少華，「信用卡網路安全機制探討」，國立台灣大學商學研究所碩士論文，2003年7月
[6].	資安人科技網，(http://www.isecutech.com.tw/news/view.asp?nid=2379)
[7].	資策會資訊市場情報中心，(http://mic.iii.org.tw/intelligence)
[8].	蔡緣，「國際商業信用狀實務」，華泰文化事業股份有限公司，2001年8月
[9].	賴怡名，楊惠國編譯，「JSP網站開發實務」，旗標出版股份有限公司，2003年4月
[10].	關振勝，「PKI在EMV遷移中的應用」，(http://www.eschina.info/Article_Show.asp?ArticleID=762)，2005年8月
[11].	蘇偉慶，「EMV晶片卡安控機制剖析」， (http://www.fisc.com.tw/FISCWeb/KnowledgeShare/KSArticle.aspx?TNo=7&FC=F0140) 
(http://www.fisc.com.tw/FISCWeb/KnowledgeShare/KSArticle.aspx?TNo=9&FC=F0140)

英文文獻
[12].	Silva, F.O., Pacheco, J.A.A. and Rosa, P.F., “A Web service authentication control system based on SRP and SAML,” Proceedings of the IEEE International Conference on Web Services (ICWS’05), 2005, pp. 11-15.
[13].	Taekyoung Kwon., “Impersonation attacks on software-only two-factor authentication schemes,” IEEE Communications Letters, Vol. 6, No. 8, 2004, pp.358-360.
[14].	Ruschlikon and Switzerland, IBM Zurich Res. Lab., “Security analysis of the SAML single sign-on browser/artifact profile,” Proceedings of the 19th Annual Computer Security Applications Conference (ACSAC 2003), 2003, pp.298-307.
[15].	Jun Wang, Del Vecchio, D., and Humphrey, M., “Extending the security assertion markup language to support delegation for Web services and grid services,” Proceedings of the IEEE International Conference on Web Services (ICWS’05), Vol. 6, 2005, pp. 67-74.

規格書及套件
[16].	OpenSAML - an Open Source Security Assertion Markup Language implementation, (http://www.opensaml.org)
[17].	Specifications, EMVco, EMV v4.1 Book1 ICC to Terminal Interface, May 2004
[18].	Specifications, EMVco, EMV v4.1 Book2 Security and Key Management, May 2004
[19].	Specifications, EMVco, EMV v4.1 Book3 Application Specification, May 2004
[20].	Specifications, EMVco, EMV v4.1 Book4 Other Interfaces, May 2004
[21].	Specifications, OASIS, Technical Overview of the OASIS Security Assertion Markup Language (SAML) V1.1, May 2004
[22].	Specifications, OASIS, Security Assertion Markup Language (SAML) V2.0 Technical Overview, October 2005
[23].	Specifications, OASIS, Authentication Context for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[24].	Specifications, OASIS, Bindings for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[25].	Specifications, OASIS, Conformance Requirements for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[26].	Specifications, OASIS, Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[27].	Specifications, OASIS, Glossary for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[28].	Specifications, OASIS, Metadata for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[29].	Specifications, OASIS, Profiles for the OASIS Security Assertion Markup Language (SAML) V2.0, March 2005
[30].	Specifications, OASIS, SAML V2.0 Executive Overview, April 2005
[31].	Specifications, SET Secure Electronic Transaction LLC, May 1997. (http://www.setco.org/set_specifications.html).