3.2.2．支付网关网络
和支付网关系统连接可有两种模式：
a)利用支付网关提供的相关的网络转账功能；
b)开发支付网关接口，实现支付网关支付功能；
3.2.3．在线支付网络
在线支付应独立架设WEB服务器和应用服务器。并将WEB服务器架设于互联网络中。
3.2.4．和各城市专线网络
在线支付应用服务器与各一卡通中心间采用加密通信或专用网络连接。
3.3．安全体系
3.3.1．传输安全
在线支付客户端和在线支付WEB服务器间的通信采用HTTPS安全协议。在握手时，采用存储在读写器内部的客户端证书进行身份认证和数据加密。
在线支付客户端访问支付网关页面时的安全由支付网关负责验证支付客户端的身份合法性，只有通过认证的客户端才允许进行其他操作。
在线支付服务端和各卡公司间的通信采用SSL安全协议。卡公司则安装服务器证书，支付服务端安装客户端证书。
3.3.2． 交易安全
在线支付客户端在对用户卡进行充值时，需下发交易密钥和交易数据。此数据应保证在自一卡通公司加密送出后，到读写器内部解密前，不在任何环境中出现明文。
为适应各城市不同的交易流程，读写器支持交易脚本的运行。在为不同的城市进行充值时，采用不同的充值脚本。充值脚本分为命令脚本和数据脚本。命令脚本中还有对用户卡进行操作的流程控制。数据脚本中含有对卡进行操作的数据和密钥。交易过程中，要对数据脚本和命令脚本进行下载。下载的数据在各卡公司用读写器加解密密钥对的公钥进行加密，数据在读写器内部由读写器加解密密钥的私钥进行解密。
交易完成后，读写器用私钥对交易数据进行签名。并将数据返回给各城市卡公司。
4．数字认证认证（CA）系统
城镇建设及公共服务领域CA系统是继“建设事业IC卡密钥管理系统”之后针对在线支付业务应用进行设计开发，目的是为了确保在线支付的身份认证和密钥传输过程中的安全性，结合“建设事业IC卡密钥管理系统”构成行业IC卡的安全体系。CA系统部署分布如下图：
.jpg)
图3系统总体分布图
根CA离线部署在住建部IC中心，同时在建设部部署一套工作CA及RA；在各省市（通卡公司）均部署工作CA及相应的RA。
住建部IC卡中心CA系统网络拓扑如下图所示：
.jpg)
图4 CA系统网络拓扑示意图
密钥管理中心的构成如下图所示：
.jpg)
图5 密钥管理中心拓扑示意图
各省市（通卡公司）的工作CA构成与住建部IC卡中心相同，只是没有根CA。
部属的工作CA负责颁发读写器和服务器证书；各省市（通卡公司）的工作CA负责颁发卡公司、充值终端和读写器（双证书）的证书。
各工作CA的LDAP服务器需要进行同步，证书状态一有变化，就能及时反映到所有的证书发布系统。
