移动互联网安全课件第9章

9.1.4 移动支付安全防护
针对移动支付多种不同的应用场景，目前主要有以下4种安全技术来对支付 过程实施安全防护。 1. 远程支付技术方案的安全防护技术 在远程支付过程中，终端App通过TLS/SSL协议完成用户和远程服务器之间 的网络安全连接，通过数字证书实现双端身份认证，并使用协商的对称会话 密钥对后续传输的交易信息进行加密和完整性保护。此类方案的核心安全问 题在于私钥的存储管理。
9.1.2 二维码技术
1. 二维码基本原理 二维码支付手段是在我国IT技术的快速发展以及电子商务快速推进的背景
下发展起来的。常见的二维码是QR(Quick Response) Code，是一种近 些年来在移动设备上流行的编码方式。二维码是用某种特定的几何图 形按一定规律在平面上分布黑白相间的图形来记录数据符号信息的， 在代码编制上利用了构成计算机内部逻辑的“0”和“1”比特流 的概念，使用若干个与二进制相对应的几何图形来 表示文字数值信息，通过图像输入设备或光电扫描 设备自动识读以实现信息自动处理。
9.1.3 移动支付安全风险分析
目前，移动支付已经广泛普及，而移动支付涉及的关系方较多以及数据管理 等问题，造成了移动支付各环节的复杂性，使得移动支付的安全性备受挑战。 移动支付面临的主要安全风险体现在以下几个方面。 1. 移动支付的技术风险：移动支付产业链较长，涉及银行、非银行机构、清 算机构、移动设备运营相关机构等多个行业。不同的场景和方案面临的安全 需求和安全问题各不相同，导致移动支付的安全体系十分复杂，安全测评的 难度也比较大。 2. 移动支付的应用风险：由于智能终端的操作系统及App存在安全漏洞、病 毒感染等安全风险，使得移动支付应用的安全性也备受挑战。 3. 移动支付的数据安全风险：商家和用户在公用网络上传送的敏感信息易被 他人窃取、滥用和非法篡改，所以必须实现信息传输的机密性和完整性，并 确保交易的不可否认性。 4. 移动支付的法律风险：虽然移动支付有着广阔的发展前景，但我国相应的 法律法规却还未得到相应的完善。
2. 基于单独支付硬件技术方案的安全防护技术 单独支付硬件（如IC卡）提供了一种基于芯片技术的支付安全解决方案，它 借助于IC卡所提供的安全计算和安全存储能力，可构建高安全性的支付体系。
9.1.4 移动支付安全防护
3. 标准NFC技术方案的安全防护技术 银联云闪付、Apple Pay和Samsung Pay都是典型的标准NFC技术方案（基于 智能卡和手机的支付方案），而这一方案的最大不同在于它充分利用了智能 手机的功能和交易特点来有效地提高用户支付的安全性和便捷性。这主要体 现在4个方面：支付标记化技术、可信执行环境技术、多因素身份认证、基 于纯软件的本地安全存储技术。
2. 二维码安全性分析 二维码产业促进了我国信息化建设和数字经济的发展，与此同时其发展中存 在的一些问题日益凸显，开始影响到整个行业乃至经济社会的稳定健康发展。 关于二维码的风险问题主要可以分为以下几个方面。 （1）二维码被恶意使用：由于二维码承载的内容不能直接可见，已逐渐成 为病毒木马、钓鱼网站传播的新途径。 （2）越权问题：用户扫描二维码过程中可能会出现违背用户意图或骗取系 统权限的越权操作行为，会对用户终端和账户安全构成威胁。 （3）缺乏安全检测：由于目前缺乏二维码的安全检测技术，使得二维码成 为金融诈骗的新手段。 （4）隐私泄露：由于目前市场上常用的QR码、DM码等多为开源、通用的 码制，直接对信息明文进行编码，增加了二维码承载的个人、企业、政府等 用户信息的泄露风险。用户的私有信息可能会随着二维码的传播而被泄露， 这会给用户带来困扰。
9.1.1 移动支付
移动支付将终端设备、互联网、应用提供商以及金融机构相互融合，为用户 提供货币支付、生活缴纳等金融业务。要实现移动支付，除了要有一部能联 网的移动终端以外，还需要具备以下条件。 （1）移动运营商提供网络服务 （2）银行提供线上支付服务 （3）拥有一个移动支付平台 （4）商户提供商品或服务
4. 条码支付方案的安全风险与防范 条码支付方案从安全技术的角度来看，依然存在较大的风险和隐患。基于条 码本身的技术局限性，目前条码支付的安全方案主要是结合一些系统级的安 全策略来降低风险，比如，每一个条码只允许一次支付并且仅在一定的时间 内有效，仅在一定的额度范围内允许无口令支付，以及与终端硬件进行一定 的支付绑定。
9.2 移动互联网金融安全
➢ 9.2.1 移动互联网金融概述 ➢ 9.2.2 移动互联网下的金融科技 ➢ 9.2.3 移动互联网下的金融安全
9.2.1 移动互联网金融概述
移动互联网金融是传统金融行业与移动互联网相结合的新兴领域。移动互联网 金融与传统金融服务业的区别在于两者所采用的媒介不同，移动互联网金融主 要通过智能手机、平板计算机和无线POS机等各类移动设备来开展第三方支付 、在线理财、信用评估审核、金融中介和金融电子商务等金融业务，因而使得 移动互联网金融业务具备透明度更高、参与度更 高 、协作性更好、中间成本更 低、操作更便捷等一系列特征。
9.1.1 移动支付
移动支付属于电子支付方式的一种，因而具有电子支付的特征，但因其与移 动通信技术、无线射频技术、互联网技术相互融合，又具有自己的特征。移 动支付的特点包含以下几点： （1）移动性：移动互联网时代下的支付手段打破了传统支付对于时空的限制， 使用户可以随时随地进行支付活动。 （2）及时性：不受时间地点的限制，信息获取更为及时，用户可以随时通过 手机对账户进行查询、转账或消费支付等操作。 （3）隐私性：移动支付是用户将银行卡与手机绑定，进行支付活动时，需要 输入支付密码或验证指纹，而且支付密码一般不同于银行卡密码。这使得移 动支付可以较好地保护用户的隐私。 （4）集成性：移动支付有较高的集成度，可以为用户提供多种不同类型的服 务。而且通过使用RFID、NFC、蓝牙等近距离通信技术，运营商可以将移动 通信卡、公交卡、地铁卡、银行卡等各类信息整合到以手机为载体的平台中 进行集成管理，为用户提供方便快捷的身份认证和支付渠道。
第9章 基于移动互联网的相关 应用安全
9.1 移动支付安全 9.2 移动互联网金融安全 9.3 移动数字版权保护
9.4 本章小结 9.5 习题
9.1 移动支付安全
➢ 9.1.1 移动支付 ➢ 9.1.2 二维码技术 ➢ 9.1.3 移动支付安全风险分析 ➢ 9.1.4 移动支付安全防护
9.1.1 移动支付
移动支付过程主要包括以下步骤： （1）消费者浏览商家的商品信息，选择商
品并提出购买请求。 （2）商家收到购买请求并返回消费者的订
单信息。 （3）商家向移动支付系统发出付款请求。 （4）消费者向移动支付系统发出付款指令。 （5）移动支付系统向金融机构请求付款的授权。 （6）移动支付系统得到授权响应后进行扣款。 （7）扣款完成后，移动支付系统向商家发出收款
9.1.2 二维码技术
3. 二维码安全风险应对策略 为了进一步应对二维码可能带来的安全风险，需要落实以下几项应对措施。 （1）加强政策引导，强化二维码安全发展的基础支撑 明确二维码安全监管责任部门，组织建立协调统一的服务支撑体系，研究制 定二维码安全发展政策和法律法规，加强我国二维码安全管理体系建设，统 筹二维码产业发展，建立“自主、安全、规范、可控”的二维码产业体系。 （2）建立健全标准规范体系，推动二维码产业规范发展 加快推进二维码统一编码、注册管理、安全识读、安全认证等关键环节的统 一标准规范的编制工作，建立健全规范统一的二维码标准体系。 （3）强化安全管理技术手段，增强安全支撑能力 引入敏感信息过滤、风险检测、签名认证、发布预审、加密等技术手段，提 高二维码防篡改、反逆向、可溯源、安全检测等安全支撑能力，实现二维码 生成及识读工具软件的统一规范管理以及二维码信息内容的有效追溯。 （4）加强安全使用宣传，提高用户防范意识
移动支付的使用方式包括：短信支付、扫码支付、指纹支付、人脸支付等。 一般来说，移动支付主要涉及消费者、商家、移动支付系统和金融机构。其 中，移动支付系统由移动运营商提供，它在整个移动支付环节中提供了前提 与可能性，维系着移动支付流程中的每一个环节，是一个具有核心纽带功能 的重要组成部分。
9.1.1 移动支付
相较于发达国家，我国的二维码产业虽然起步较晚，但随着移动互联网和 智能终端的普及，以及二维码作为目前唯一一款能够有效表达汉字的图码 字符，我国二维码产业呈现出爆发式增长的态势，已经广泛应用于物品身 份表示、广告宣传、仓储物流、产品追溯、移动支付等诸多领域，成为我 国信息化建设和数字经济的重要支撑。
9.1.2 二维码技术
命令。 （8）收款后，商家向移动支付系统确认收款。 （9）至此，交易结束。
9.1.1 移动支付
从上面可以看出，移动支付系统是整个支付过程中具有核心功能的部分，要完 成对消费者的鉴别和认证、将支付信息提供给金融机构、监督商家提供产品和 服务以及进行利益分配等功能。
从认证需要验证的条件来看，常用的身份认证方式主要有以下4种。 （1）用户名/密码方式：这是最简单也是常用的身份认证方法。 （2）IC卡认证：IC卡是一种内置集成电路的卡片，卡片中存有与用户身份相 关的数据。IC卡由专门的厂商通过专门设备生产，可以认为是不可复制的硬件。 （3）生物特征识别：这是基于生物特征（如指纹、虹膜、人脸等）的识别技 术。 （4）数字签名：又称为“公钥数字签名”，是利用公钥密码技术实现的类似 于写在纸上的物理签名技术，保证信息传输的完整性和发送者身份的真实性， 以防止交易中抵赖行为的发生。
手机二维码识读业务又可分为直接识读和间接识读两种业务类型。直接识 读业务是指手机根据译码得到的信息启动本地应用或直接链接网站的业务， 它对二维码容量有一定要求，常用码制有QR码和GM码等。
9.1.2 二维码技术
间接识读业务是指手机需要 将译码得到的信息提交给网 络侧的服务器，由网络服务 器控制完成相关应用，它对 二维码的容量要求较低，常 用码制有DM码和GM-U码等。
随着移动互联网的普及和快速发展，新技术不断涌现。其中，移动支付为 人们提供方便快捷的无现金支付手段而受到广泛的应用。实际中，移动支 付已被应用于购物端和移动电子商务的发展共同促进了移动支付的迅速发展。