电子支付技术安全问题研究

电子支付技术安全问题研究

[摘要]网上购物、网上缴费、在线聊天、音乐下载等等各方面的交互业务，都与电子支付有着密切的联系。电子支付是电子商务重要的组成部分。如何安全可靠方便地实现电子支付，是电子商务发展中迫切需要解决的问题。

[关键词]电子支付电子商务安全认证协议

一、概述

Internet的迅猛发展，越来越多的人开始借助Internet 进行证券交易、购物等商务活动。金融业务的电脑化、支付系统的电子化大大的促进电子支付的发展。

电子支付是以金融网络电子化为基础，借助计算机和网络通讯技术，以各种银行卡等存储设备为介质，把电子商务信息存储在计算机系统中，并通过网络通讯系统一点指信息传递的方式实现流通和支付。

二、安全电子支付

（一）电子支付安全性要求

在Internet上完成交易和支付的过程中，安全问题十分重要。主要有：①完整性：指信息在存储或传输是不被修改、

破坏和丢失，以保证合法用户能接受和使用真实的信息。②身份的真实性：在交易信息的传输过程中，要为参与交易的各方提供可靠的标识，使他们能正确的识别对方并能互相证明自己的身份。③不可否认性：为了保证交易能合法有效地进行，必须防止交易各方日后不能否认发出过或接受过某信息。④网络信息机密性：许多数据如账户、密码是敏感信息，需要对这些敏感信息进行加密，使信息不被未授权的第三方所获。⑤授权合法性：安全管理人员能够控制用户的权限、分配或终止用户的访问、操作、接入等权利，被授权用户的访问不能被拒绝。

（二）主要安全支付协议

目前，国内外使用的保障电子支付系统安全的协议包括：SSL（Secure Socket Layer）、SET（Secure Electronic Transaction）等协议标准。

1．SSL（安全套阶层协议）

SSL客户机和服务器通过协商建立安全通道，在安全通

道中传输的所有信息经过密钥加密处理以确保机密性。SSL

利用密码算法和Hash函数，通过提取信息特征值保证服务

器和客户机之间信息的完整性。利用证书技术和可信的第三方，让客户机和服务器互相识别对方的身份。

2．SET协议

SET为解决客户、商家、银行间通过信用卡交易而设计，

它能保证支付信息的机密，支付过程的完整、商家及持卡人的合法身份[1]。它是用数字证书验证交易各方身份的真实性和合法性，使用数字签名技术确保数据的完整性和不可抵赖性，使用双重签名技术对支付信息和订单信息分别签名，使商家看不到支付信息只能对订单信息解密，而金融机构只能对支付和账户信息解密，保证了账户和订货信息的安全。

3．SSL与SET比较

SSL是基于传输层的协议，它只是电子商务体系的一部分，不具备电子商务的商务性、服务性、细条性和继承性。传输层属于较高层，通常软件实现很大程度上削弱了加密处理能力。由于地址信息由低层控制，容易被攻击者进行流量分析。SSL中采用公钥机制、信息摘要和MAC检测，提供客户和服务器间的身份认证，保证了消息的机密性和完整性，但不提供数字签名和多安全水平的信息系统服务，不提供完备的防抵赖功能。相比之下，SET位于应用层，SET规范了整个商务活动的流程，对信息流走向和必须采用的加密、认证都制订了严密的标准，最大限度的保证了商务性、服务性、协调性和集成性。SET采用公钥机制、信息摘要和认证体系，完全符合网上传输机密性、可鉴别性、完整性和不可抵赖性要求。

三、电子支付技术存在的问题及解决方案

（一）电子支付中存在的问题

1．网上支付的安全问题

造成网上支付发展的安全风险主要有三个方面：一是银行网站本身的安全性。二是交易信息在商家与银行之间传递的安全性。三是交易信息在消费者与银行之间传递的安全性[2]。

2．网上支付的信用问题

在网络支付中由于其虚拟性，超时空性等特点，使双方互不相见，也难以客观的判断对方的信用等级，致使网络支付双方对对方的信用产生怀疑，也因此阻碍了网络支付的发展。

3．网上支付的法律不健全

目前制约网上支付发展的立法问题主要包括：谁来发行电子货币；如何进行网络银行的资格认定；怎样监管网络银行的业务等。目前中国在电子商务方面，有关的政策不够明朗，相应的法律法规、标准还都没有建立，跨部门、跨地区的协调存在较大的问题。

4．网上安全认证机构（CA）建设混乱

在网络上，为了完成交易，交易双方的身份都必须通过第三方得到确认，电子商务认证机构由此产生[3]。电子认证机构的职责是核实使用者的身份，负责电子证书的发放管理，及时公布无效的证书。如果CA机构本身存在问题，或者发

放的证书不具备权威性、公正性和可信赖性，那么网上交易的可信性就无从谈起。

（二）完善电子支付方面的相关法律

在中国除已颁布的《电子签名法》外，立法基本上是空白。因此要更快地完善相关法律，为电子支付健康运行保驾护航。

1．加强法律法规建设，建立政府对信用交易的有效监管及失信惩罚机制，约束商业活动遵纪守法，提高社会整体信用等级。

2．从立法的方式填补电子支付法律体系中的空白，是解决中国传统支付法制度不适应的根本途径。虽然颁布实施的《电子签名法》，确认电子签名的法律效力，但规范电子支付的法规制度还应包括《支付结算管理办法》、《大额支付系统业务处理办法》等。

3．调整部能够适应电子商务发展的其他现行法规。现有的交易制度都是针对纸介质的对象，但是电子商务的出现是电子支付成为可能，针对纸介质的立法已经不能适应电子商务的发展，甚至成了电子支付的羁绊。

（三）建立社会信用体系

我们建议采用以下方式建立信用体系。

1．建立覆盖全社会的信用网络系统，完善信用认证的信用保险制度。

2．建立诚信主体的诚信档案，同时完善社会公共信用披露机制，利用公众的力量引导交易实体能够自觉诚信。

3．积极培育信用中介机构和行业自律组织，推动专业化市场化的信用管理增值服务，促进并规范信用管理服务也发展。

四、安全电子支付系统的研究方向

安全电子支付系统的研究热点主要集中在电子现金支

付系统、微支付系统和移动支付系统上。目前已开发出多种电子支付系统，然而多数都是在封闭的专用网络上运行的。存在着如下尚未解决的实际问题：

（一）没有一种电子支付安全的完整解决方案、支付模型与体系结构。尽管一些系统正逐渐成为标准，但仅有很少几个标准的API。大多数电子支付系统都是封闭式的，这些支付系统通常需要一个中央服务器作为所有参与者的可信

第三方，有的甚至要求使用特定的服务器或浏览器；

（二）尽管大多数方案都使用了公钥密码，但多方安全受到的关注远远不够，消费者的匿名性和隐私也还未得到充分的考虑。大多数系统都限制为两方，因此难于集成一个安全连接到第三方。大多数系统都将销售商服务器和消费者浏览器间的关系假设为主从关系，这种非对称关系限制了在这些系统中执行复杂的协议，而且不允许消费者之间进行直接

交易；

参考文献

[1]郭晶晶、李腊元，基于SET协议的电子商务支付系统的研究，计算机工程，2003（3）

[2]雷信生，电子商务安全技术[M]，北京，国防工业出版社，2005

[3]姜华、杨静，电子商务的网上支付与安全[J]，中国管理信息化，2006，（4）