secure electronic transaction

secure electronic transaction

<siki̯ùë ilektrònik tränʃä'kšn> locuz. sost. ingl., usata in it. al femm. – Nell’ambito della sicurezza informatica, insieme di procedure software che costituiscono un protocollo aperto per assicurare la segretezza e garantire l’autenticità delle transazioni elettroniche nelle vendite online; in sigla, SET. Il protocollo si basa su due meccanismi di crittografia differenti e su un meccanismo di autenticazione. SET utilizza la crittografia a chiave pubblica per trasmettere le chiavi di sessione per la codifica delle transazioni e per il resto della transazione la crittografia simmetrica del tipo DES (Data encryption standard), basata su un algoritmo con chiave simmetrica a 56 bit. Il costo computazionale delle crittografia asimmetrica viene ufficialmente citato come ragione per la scelta di protezione debole tipo DES. Tuttavia altre ragioni possono giocare un ruolo per tale preferenza, come le restrizioni di sicurezza sull’export e la necessità per gli organismi di controllo e per le agenzie governative di poter accedere in chiaro almeno alla parte testuale della transazione. Un’ulteriore caratteristica fondamentale di SET è la peculiarità del triangolo costituito da istituto finanziario (per es. una banca), venditore e acquirente, che mantiene la riservatezza dei dati: la banca non conosce i dettagli dell’oggetto della transazione e il venditore non è al corrente degli estremi della carta di credito con la quale sarà effettuato il pagamento per il tramite della banca. È pertanto possibile implementare quella che si chiama una transazione a doppia firma, che comprende due messaggi: informazione sull’ordine (OI, Order information) e informazione di pagamento (PI, Payment information), indipendenti e con una stessa firma. Viene generato un message digest (MD) di OI e, indipendentemente, uno di PI; i due MD vengono entrambi, separatamente, crittografati in maniera forte e la loro concatenazione trasmessa a tutti gli attori della transazione. L’autenticità della firma può essere verificata utilizzando sia l’MD di OI sia quello di PI; non servono pertanto gli originali di OI o PI, che verranno inoltrati (crittogafati debolmente) soltanto a chi di dovere (OI al venditore e PI alla banca).