網(wǎng)絡(luò)支付技術(shù)安全性分析

魏美香

（泉州紡織服裝職業(yè)學(xué)院，福建 泉州 362700）

電子商務(wù)正迅速發(fā)展，據(jù)艾瑞咨詢報(bào)告，2012年中國(guó)網(wǎng)絡(luò)購(gòu)物的交易總規(guī)模達(dá)1.3萬(wàn)億，增長(zhǎng)66%；預(yù)計(jì)2013年整個(gè)市場(chǎng)還有40%以上的增長(zhǎng)。然而，網(wǎng)絡(luò)支付依托的是開放的Internet平臺(tái)，由于網(wǎng)絡(luò)協(xié)議本身的漏洞和電子商務(wù)網(wǎng)站設(shè)計(jì)上的缺陷等，不可避免地會(huì)出現(xiàn)各種安全問題。近期網(wǎng)上商城用戶賬號(hào)被盜事件頻發(fā)，造成用戶資金流失，隱私失去保障，電商的安全運(yùn)行環(huán)境有待提高。用戶賬戶被盜，可能是用戶計(jì)算機(jī)中木馬病毒或密碼設(shè)置過于簡(jiǎn)單等原因造成，但從根本上說，網(wǎng)上銀行和第三方支付平臺(tái)作為主導(dǎo)網(wǎng)絡(luò)支付的一方應(yīng)承擔(dān)大部分的責(zé)任——應(yīng)在技術(shù)上提供安全支付所需的相應(yīng)軟硬件：安全套接層協(xié)議SSL、數(shù)字證書、靜態(tài)密碼、動(dòng)態(tài)口令等，在執(zhí)行方案上應(yīng)提供多重資金保護(hù)，確保交易安全。目前SSL和PKI結(jié)合使用是目前國(guó)內(nèi)網(wǎng)上銀行、第三方支付平臺(tái)所廣泛使用的安全機(jī)制之一。論文將闡述國(guó)內(nèi)各大網(wǎng)上銀行和主流第三方支付平臺(tái)普遍使用的網(wǎng)絡(luò)安全支付的技術(shù)SSL協(xié)議、數(shù)字證書等原理。然而，再好的技術(shù)也會(huì)有漏洞，因此應(yīng)采用多種保障機(jī)制，從而更好地保障網(wǎng)上資金賬戶的安全。論文另一方面將分析各大網(wǎng)上銀行和主流第三方支付平臺(tái)保障用戶資金安全和用戶隱私所采取的實(shí)施方案，以期為廣大網(wǎng)絡(luò)支付用戶提供安全支付的一些建議。

一、SSL協(xié)議

20世紀(jì)90年代，以Internet為基礎(chǔ)的網(wǎng)上交易等電子商務(wù)行為產(chǎn)生，當(dāng)時(shí)的網(wǎng)絡(luò)協(xié)議并沒提供安全傳輸服務(wù)，這與電子商務(wù)交易的高安全性要求之間的矛盾日益突出，迫切需要網(wǎng)絡(luò)傳輸安全協(xié)議加密傳輸消息，以確保信息業(yè)務(wù)的安全,同時(shí)保證操作的便捷。SSL就是在這種背景下由Netscape公司開發(fā)的一個(gè)網(wǎng)絡(luò)安全協(xié)議，建立在傳輸層和應(yīng)用層之間，可為各種應(yīng)用層協(xié)議（HTTP、FTP、SMPT等）提供安全傳輸，已成為事實(shí)上的網(wǎng)絡(luò)支付安全標(biāo)準(zhǔn)協(xié)議。從網(wǎng)絡(luò)支付的服務(wù)器端看，目前國(guó)內(nèi)網(wǎng)上銀行和第三支付平臺(tái)普遍采用SSL協(xié)議；從網(wǎng)絡(luò)支付的普通用戶看，幾乎所有的桌面瀏覽器都支持SSL協(xié)議，SSL協(xié)議被廣泛應(yīng)用于Web瀏覽器與服務(wù)器之間的加密數(shù)據(jù)傳輸。SSL協(xié)議操作便利，相關(guān)的加密算法、通信密鑰的協(xié)商以及服務(wù)器的認(rèn)證都是由SSL自動(dòng)完成的。在SSL的連接建立之后，應(yīng)用層不需要進(jìn)行任何干預(yù)，通信中的所有數(shù)據(jù)都會(huì)被SSL自動(dòng)加密。SSL協(xié)議的安全性來源如下：

1.數(shù)據(jù)傳輸?shù)臋C(jī)密性

傳統(tǒng)的萬(wàn)維網(wǎng)協(xié)議HTTP不具備安全機(jī)制——采用明文的形式傳輸數(shù)據(jù)，在開放的Internet網(wǎng)上，傳輸?shù)臄?shù)據(jù)很容易被非法用戶竊取。SSL把數(shù)據(jù)加密后，再傳輸，這樣即使數(shù)據(jù)中途被竊取，也無(wú)法被破解。SSL協(xié)議結(jié)合使用私鑰加密算法（加密和解密使用相同的密鑰）和公鑰加密算法（加密和解密使用不同密鑰），充分利用了兩者的優(yōu)點(diǎn)。與公鑰加密算法相比，私鑰加密算法運(yùn)算速度快，適用于長(zhǎng)信息加密；而公鑰加密算法適用于短信息加密。SSL協(xié)議在加密傳輸數(shù)據(jù)時(shí)采用私鑰加密算法，此密鑰稱為會(huì)話密鑰。目前主要支持的算法有DES、3DES、AES等，這些算法都可以有效地防止交互數(shù)據(jù)被竊聽。同時(shí)SSL利用公鑰加密算法加密會(huì)話密鑰，保證會(huì)話密鑰的安全傳輸，第三方無(wú)法獲取該會(huì)話密鑰。SSL協(xié)議所用的會(huì)話密鑰是一次一密，公鑰則需要向數(shù)字證書權(quán)威機(jī)構(gòu)——CA申請(qǐng)數(shù)字證書，并由CA保證數(shù)字證書的真實(shí)性。數(shù)字證書是一個(gè)包含用戶的公鑰及其身份信息的文件，證明了用戶與公鑰的關(guān)聯(lián)。數(shù)字證書里還有CA的數(shù)字簽名，用戶可通過PKI（公鑰基礎(chǔ)設(shè)施）判斷該證書的真實(shí)性。

2.消息完整性驗(yàn)證

為了避免網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)被非法篡改，SSL協(xié)議使用消息摘要算法（哈希函數(shù)）來保證消息的完整性。發(fā)送者利用Hash函數(shù)向接收者發(fā)送信息和信息摘要，接收者驗(yàn)證信息的過程如下圖所示：

3.數(shù)字簽名身份驗(yàn)證機(jī)制

SSL可保證消息的真實(shí)性、完整性和保密性，但SSL不對(duì)應(yīng)用層的消息進(jìn)行數(shù)字簽名，不能提供交易的不可否認(rèn)性，這個(gè)是它的不足。因此，SSL協(xié)議中使用了數(shù)字簽名技術(shù)來保證交易身份的確定性?；跀?shù)字證書利用數(shù)字簽名方法對(duì)服務(wù)器和客戶端進(jìn)行身份驗(yàn)證，其中客戶端的身份驗(yàn)證是可選的。首先，用戶在網(wǎng)絡(luò)支付中必須保證要登錄的Web服務(wù)器是真實(shí)的——避免登錄釣魚網(wǎng)站，以免重要信息被非法竊取。其次，SSL利用數(shù)字簽名來驗(yàn)證通信對(duì)方的身份。數(shù)字簽名及其驗(yàn)證過程步驟如下：

（1）SSL服務(wù)器端用私鑰加密一段信息，服務(wù)器端將明文和密文一起發(fā)給SSL客戶端；

（2）SSL客戶端使用SSL服務(wù)端的公鑰解密該密文；

（3）若解密后得到的消息與明文一致，則SSL客戶端確認(rèn)該SSL服務(wù)器端的身份。

二、網(wǎng)絡(luò)支付平臺(tái)常用安全工具

目前網(wǎng)絡(luò)支付平臺(tái)常用安全工具和方案：有數(shù)字證書、動(dòng)態(tài)口令、靜態(tài)密碼、圖形驗(yàn)證碼、交易情況短信通知等層層防護(hù)，以確保交易安全。

1.數(shù)字證書

網(wǎng)銀客戶端數(shù)字證書分兩類：一類存放在類似優(yōu)盤的USBKey中，俗稱“硬證書”，是目前網(wǎng)上銀行客戶端級(jí)別最高的一種安全工具；USBKey作為最高級(jí)別的安全工具，是因?yàn)槠淇刂菩酒辉O(shè)計(jì)為只能寫入證書，不能讀取證書并且所有利用證書進(jìn)行的運(yùn)算都在U盾中進(jìn)行。所以只能從U盾讀出運(yùn)算結(jié)果。另一類存在電腦里，叫做“軟證書”。軟證書使用方便，成本低，但是放在硬盤中可能會(huì)被黑客植入木馬程序竊取，因此使用軟證書最好跟其他安全支付手段配合使用，比如加上靜態(tài)或動(dòng)態(tài)密碼。

（1）軟證書

支付寶具有大量只使用軟證書進(jìn)行支付驗(yàn)證的第三方支付平臺(tái)：數(shù)字證書安裝后，只能在安裝有數(shù)字證書的電腦上操作，如果換一臺(tái)電腦或重裝系統(tǒng)，要重裝數(shù)字證書，此時(shí)需要輸入手機(jī)驗(yàn)證碼。筆者認(rèn)為，這個(gè)方法可以最大程度地避免軟件證書被盜取造成的損害，黑客即使竊取了數(shù)字證書也無(wú)法在他的電腦上安裝成功，更談不上進(jìn)行交易。支付寶中數(shù)字證書用戶在進(jìn)行交易時(shí)只需要輸入支付密碼就可以完成支付，使用方便。

（2）硬證書

各個(gè)網(wǎng)絡(luò)支付平臺(tái)都推出了各自的USBKey，在安全使用和用戶便利性上各有側(cè)重。USBKey內(nèi)置CPU或智能卡芯片，可以實(shí)現(xiàn)數(shù)據(jù)摘要、數(shù)字簽名等操作都在USBKey內(nèi)進(jìn)行，保證用戶私鑰不會(huì)出現(xiàn)在計(jì)算機(jī)內(nèi)存中，確保網(wǎng)上交易的保密性、真實(shí)性、完整性和不可否認(rèn)性。第一次在個(gè)人電腦上使用U盾，要安裝驅(qū)動(dòng)。目前銀行新推出的USBKey具有自動(dòng)安裝驅(qū)動(dòng)和下載數(shù)字證書功能，不需要客戶完成。

中國(guó)四大銀行和支付寶平臺(tái)USBKey的大致使用情況如下：中國(guó)銀行E盾，建設(shè)銀行網(wǎng)銀盾（無(wú)驅(qū)動(dòng)無(wú)軟，即插即用），工商銀行U盾（第一次使用需要安裝U盾驅(qū)動(dòng)，需要安裝證書），農(nóng)業(yè)銀行分為有驅(qū)型K寶（第一使用要安裝驅(qū)動(dòng)，安裝驅(qū)動(dòng)后要安裝數(shù)字證書）、二代K寶（可顯示交易內(nèi)容和提供按鍵功能）。支付寶第三方平臺(tái)同時(shí)支持支付盾、工商銀行第一代U盾。

2.一次一密

一次一密理論上是不可破解的，使用起來又方便。在網(wǎng)絡(luò)支付行業(yè)得到普遍使用，幾乎所有的網(wǎng)上銀行和第三方支付平臺(tái)等都有使用一次一密作為支付安全手段之一。一次一密在實(shí)際應(yīng)用中有銀行動(dòng)態(tài)口令卡和手機(jī)驗(yàn)證碼。

動(dòng)態(tài)口令是一種動(dòng)態(tài)密碼技術(shù)，就是客戶每次在網(wǎng)上銀行進(jìn)行資金交易時(shí)使用不同的密碼進(jìn)行交易確認(rèn)。

網(wǎng)絡(luò)支付平臺(tái)使用的動(dòng)態(tài)密碼技術(shù)大致如下：工商銀行電子密碼器（在電子密碼器中輸入收款人賬號(hào)后6位和轉(zhuǎn)賬金額，按確認(rèn)鍵，得到一個(gè)動(dòng)態(tài)口令，將該動(dòng)態(tài)密碼輸入到網(wǎng)銀頁(yè)面動(dòng)態(tài)密碼框中）。工商銀行電子銀行口令卡（當(dāng)您在使用工行電子銀行相關(guān)功能時(shí)，按系統(tǒng)指定的若干坐標(biāo)，將卡片上對(duì)應(yīng)的字符串作為密碼輸入，系統(tǒng)校驗(yàn)密碼字符的正確性。一張卡可以使用1000次）。建設(shè)銀行推出的網(wǎng)上銀行動(dòng)態(tài)口令卡是一種大小、形狀與銀行卡一樣的卡片，俗稱刮刮卡，每張卡片覆蓋有100個(gè)不同的密碼，客戶在使用網(wǎng)上銀行過程中，需要輸入交易密碼時(shí)，只需按順序輸入刮刮卡上的密碼即可，每個(gè)密碼只可以使用一次。中行使用E令，農(nóng)業(yè)銀行使用動(dòng)態(tài)口令卡，支付寶使用寶令、手機(jī)動(dòng)態(tài)口令等。

三、網(wǎng)絡(luò)支付平臺(tái)安全實(shí)施方案及優(yōu)缺點(diǎn)

幾乎所有網(wǎng)絡(luò)支付平臺(tái)都使用靜態(tài)密碼（分為登錄密碼和交易密碼）、圖形驗(yàn)證碼、動(dòng)態(tài)密碼（動(dòng)態(tài)口令卡和手機(jī)驗(yàn)證碼）及數(shù)字證書（軟證書和硬證書）作為客戶端驗(yàn)證工具。通過上述幾種方式的組合使用達(dá)到交易安全的目的。下面將簡(jiǎn)述四大網(wǎng)上銀行和支付寶平臺(tái)不同安全實(shí)施方案及其優(yōu)缺點(diǎn)。

1.中行網(wǎng)銀交易實(shí)施方案

登錄中行網(wǎng)銀時(shí)，要輸入用戶名、密碼和圖形驗(yàn)證碼。在進(jìn)行交易時(shí)，如果用中行E令，在確認(rèn)付款信息后，要在網(wǎng)銀頁(yè)面輸入手機(jī)交易碼才能完成交易，進(jìn)一步保證交易安全。若用中行E盾，交易時(shí)要輸入靜態(tài)密碼，在確認(rèn)付款信息后，按E盾上的確認(rèn)鍵才能完成交易，進(jìn)一步保證交易安全。

2.建設(shè)銀行網(wǎng)銀交易實(shí)施方案

網(wǎng)上銀行系統(tǒng)采取登錄密碼，在輸入密碼時(shí)采用軟鍵盤（可以防止鍵盤記錄攻擊）和交易密碼兩種控制。在系統(tǒng)登錄時(shí)，提供附加碼和密碼小鍵盤等服務(wù)。

（1）純動(dòng)態(tài)口令用戶（2011年2月26號(hào)以后新簽約的動(dòng)態(tài)口令卡客戶，首次登錄個(gè)人網(wǎng)上銀行無(wú)需下載數(shù)字證書，進(jìn)行網(wǎng)上銀行交易時(shí)取消數(shù)字證書認(rèn)證。該項(xiàng)業(yè)務(wù)功能上線后，將有效解決目前動(dòng)態(tài)口令卡客戶開通和使用復(fù)雜、證書保管、使用和到期更換流程復(fù)雜，客戶體驗(yàn)欠佳的業(yè)務(wù)現(xiàn)狀，從而使動(dòng)態(tài)口令卡客戶可以更便捷地使用網(wǎng)上銀行。）輸入轉(zhuǎn)賬信息（付款人和收款人賬號(hào)、金額）后，直接輸入動(dòng)態(tài)口令就可以完成交易。

（2）網(wǎng)銀盾用戶：插入網(wǎng)銀盾和輸入網(wǎng)銀盾密碼可以完成交易。步驟：輸入個(gè)人信息（賬號(hào)和登錄密碼、附加碼）；輸入交易信息；輸入交易密碼；選擇證書類型；輸入網(wǎng)銀盾密碼。

（3）網(wǎng)銀盾+動(dòng)態(tài)口令：插入網(wǎng)銀盾，輸入動(dòng)態(tài)口令，再輸入網(wǎng)銀盾密碼。

3.工商銀行網(wǎng)銀交易實(shí)施方案

U盾用戶：操作與其他銀行大致相同。如果是二代U盾，在交易時(shí)認(rèn)真核對(duì)顯示屏中回顯的交易信息，確認(rèn)無(wú)誤后按下“確認(rèn)”按鈕。（之前也要輸入圖形驗(yàn)證碼，使用時(shí)要插入U(xiǎn)盾，輸入U(xiǎn)盾密碼）

電子銀行口令卡：輸入口令卡密碼和網(wǎng)銀密碼及圖形驗(yàn)證碼，會(huì)顯示“預(yù)留信息”來辨別真假網(wǎng)站。

[1]馬英杰，肖麗萍，何文才，等.SSL協(xié)議分析及其在Web服務(wù)應(yīng)用中的改進(jìn)[J].微處理機(jī)，2005，（6）:31-37.

[2]馮登國(guó).網(wǎng)絡(luò)安全原理與技術(shù)[M].北京：科學(xué)出版社，2003:320-325.