移動(dòng)支付安全需解決四類(lèi)技術(shù)問(wèn)題

侯沁

隨著移動(dòng)互聯(lián)深入百姓的日常生活，金融服務(wù)的移動(dòng)化趨勢(shì)不斷顯現(xiàn)。去年年底，CFCA發(fā)布《2014電子銀行調(diào)查報(bào)告》顯示：2014年個(gè)人手機(jī)銀行用戶(hù)比例為17.8%，同比增長(zhǎng)50%，連續(xù)4年呈現(xiàn)指數(shù)增長(zhǎng)趨勢(shì)。手機(jī)銀行發(fā)展已經(jīng)達(dá)到創(chuàng)新“起飛期”，預(yù)計(jì)2015年手機(jī)銀行用戶(hù)比例將達(dá)到24.1%，移動(dòng)支付將成為后續(xù)手機(jī)銀行發(fā)展的重點(diǎn)。

金融界《2014手機(jī)銀行調(diào)查》顯示，安全性問(wèn)題仍然是困擾用戶(hù)使用的首要因素，占比超過(guò)50%。同時(shí)，用戶(hù)希望移動(dòng)金融服務(wù)手機(jī)兼容性提高的比例超過(guò)20%，實(shí)現(xiàn)無(wú)需更換硬件即可獲得移動(dòng)金融服務(wù)。

國(guó)外廠商圍繞移動(dòng)支付安全提供不同形式的解決方案，其中包含多種移動(dòng)支付安全技術(shù)。不管是Apple Pay、Android Pay、LoopPay還是CurrentC，都需要解決以下四類(lèi)技術(shù)問(wèn)題：認(rèn)證授權(quán)、令牌化、HCE和風(fēng)險(xiǎn)控制。

■認(rèn)證授權(quán)（Authorization）

如何在移動(dòng)終端用戶(hù)身份認(rèn)證的問(wèn)題？如何保證關(guān)鍵操作在用戶(hù)授權(quán)后執(zhí)行？常用的方式是通過(guò)輸入四位Pass Code完成身份認(rèn)證與支付授權(quán)，這種方式簡(jiǎn)便但安全性不足。隨著生物認(rèn)證在移動(dòng)端被廣泛認(rèn)可，尤其是指紋認(rèn)證的認(rèn)可，加之指紋模塊成本的降低，新型手機(jī)都開(kāi)始支持指紋識(shí)別。但指紋識(shí)別也存在多種問(wèn)題，如沒(méi)有統(tǒng)一的標(biāo)準(zhǔn)、移動(dòng)支付應(yīng)用提供指紋認(rèn)證功能需適配多種機(jī)型等。在此過(guò)程中，需要解決接口不統(tǒng)一、訪問(wèn)標(biāo)準(zhǔn)不統(tǒng)一的問(wèn)題。

針對(duì)身份認(rèn)證的難題，國(guó)際上于2012年7月由微軟、谷歌、 VISA、 PayPal等企業(yè)牽頭發(fā)起成立了FIDO Alliance （線上快速身份驗(yàn)證聯(lián)盟）。國(guó)際金融機(jī)構(gòu)、手機(jī)廠商、安全廠商都積極參加這個(gè)聯(lián)盟。它解決的是強(qiáng)身份驗(yàn)證設(shè)備之間缺乏協(xié)作的問(wèn)題，通過(guò)定義一個(gè)可擴(kuò)展、可協(xié)作的機(jī)制，代替密碼用于在線服務(wù)的身份驗(yàn)證。聯(lián)盟提出一系列身份認(rèn)證協(xié)議，可實(shí)現(xiàn)適用于移動(dòng)設(shè)備的無(wú)密碼身份認(rèn)證。

■令牌化（Tokenization）

不管是Apple Pay 還是Android Pay都利用了Tokenization技術(shù)，簡(jiǎn)單的說(shuō)，就是在支付方案中將敏感數(shù)據(jù)用唯一標(biāo)識(shí)替代。以支付場(chǎng)景為例，將PAN（敏感信息）用一串令牌數(shù)字替代，從而減少卡號(hào)泄漏幾率。令牌化服務(wù)在支付流程中用于傳遞信息，后臺(tái)會(huì)還原成原始信息。令牌化服務(wù)對(duì)轉(zhuǎn)換安全性以及業(yè)務(wù)需求有較高的要求，好的Token需要滿(mǎn)足業(yè)務(wù)需求。

令牌化的優(yōu)勢(shì)在于： 一、可以保護(hù)敏感數(shù)據(jù)，防范數(shù)據(jù)泄漏。減少支付數(shù)據(jù)系統(tǒng)數(shù)目。二、減少PCI-DSS合規(guī)審核范圍，減少合規(guī)費(fèi)用。它與加密的區(qū)別在于，加密是把敏感信息通過(guò)密鑰完成，獲得密鑰的人都可以保留敏感數(shù)據(jù)，通過(guò)密文可以還原敏感數(shù)據(jù)。令牌化是使用唯一的隨機(jī)數(shù)代替敏感信息。美國(guó)國(guó)家標(biāo)準(zhǔn)學(xué)會(huì)、EMVCo、PCI安全標(biāo)準(zhǔn)委員會(huì)、清算所協(xié)會(huì)等組織正在制定令牌化標(biāo)準(zhǔn)。2014年3月，EMVCo令牌化標(biāo)準(zhǔn)V1.0版本發(fā)布。

■HCE（Host Card Emulation）

這是一種NFC功能設(shè)備上執(zhí)行卡片模擬功能的技術(shù)，無(wú)需依賴(lài)安全單元，也被稱(chēng)為Cloud-Based SE，在Android V4.4以上及BlackBerry OS10系統(tǒng)實(shí)現(xiàn)此功能。

基于HCE技術(shù)，移動(dòng)支付方案提供商無(wú)需依賴(lài)運(yùn)營(yíng)商或者手機(jī)制造商，具有更多的靈活性和適用范圍。另一方面，由于沒(méi)有SE保護(hù)，基于HCE的移動(dòng)支付方案也將面臨更大的安全威脅，涉及身份驗(yàn)證和數(shù)據(jù)安全的問(wèn)題，需要實(shí)施全方位的安全體系保護(hù)交易數(shù)據(jù)的完整性和保密性。

■風(fēng)險(xiǎn)控制（Risk Management）

在移動(dòng)支付方案中，后臺(tái)的風(fēng)險(xiǎn)控制也是必不可少的一環(huán)。我們應(yīng)該如何判斷風(fēng)險(xiǎn)？

第一、是否是真實(shí)的用戶(hù)？有些黑客采用程序模型用戶(hù)操作，重復(fù)執(zhí)行操作，有的通過(guò)爬蟲(chóng)獲取系統(tǒng)數(shù)據(jù)，嘗試系統(tǒng)漏洞進(jìn)而攻擊。這些欺詐手段給企業(yè)帶來(lái)很多不確定的安全隱患。第二、是否是真實(shí)的帳號(hào)？刷信用，養(yǎng)小號(hào)，僵尸粉產(chǎn)業(yè)鏈已非常成熟。還有病毒、木馬盜取帳號(hào)、密碼、威脅帳號(hào)安全。第三、是否存在真實(shí)的風(fēng)險(xiǎn)？有些通過(guò)模擬器繞過(guò)移動(dòng)應(yīng)用的安全限制。有些采用VPN、代理等方式隱藏真實(shí)地理信息。