移动支付安全问题 

　　2002年，国内第一个移动电子商务平台（话费和积分支付）和国内第一套移动电话自动售货机系统在重庆正式运营；2007年6月，国内第一个非接触式手机钱包业务——“长江掌中行”在重庆正式商用，他们揭开了移动支付的新篇章。 

　　尽管移动支付，特别是手机支付手段备受专家及商户、银行、运营商等青睐，但是在它带来方便快捷的同时，人们也在担心它的安全性究竟有多高。 

　　在一项调查中，国内40%的消费者对移动支付的安全性缺乏信任，只有低于15%的手机用户完全信任移动支付，而65%的手机用户拒绝通过移动网络发送自己信用卡资料。超过90%的手机用户都收到过诈骗短信。中国金融认证中心副总经理曹小青评价道，“安全问题将成为制约移动应用发展的主要因素之一”。除了担心支付安全问题，担心个人资料泄漏也是很多用户的共识。 

　　在整个移动支付的过程中涉及到的支付参与者包括：消费用户、商户用户、移动运营商、第三方服务提供商、银行。消费用户和商户用户是系统的服务对象，移动运营商提供网络支持，银行方提供银行相关服务，第三方服务提供商提供支付平台服务，通过各方的结合以实现业务。从目前来看，主要有三大因素对移动支付的安全问题造成影响： 

　　一、加密问题和即时性问题是手机支付普及的主要障碍，虽然WAP功能的手机支付时，能够采用移动网络的加密技术，相对而言，并不能很有效的保证安全。如果引入短信确认实现手机支付的双重确认方式，又会因为短信的中继问题，有可能造成短信不能及时到达，影响支付的流程。 

　　二、身份识别的缺乏是限制移动支付应用的第二大原因。当手机仅仅当作通话工具时，密码保护并不是很重要。但作为支付工具时，移动信息化提高了手机等手持终端的重要程度，设备丢失、密码被攻破、病毒发作等问题都会造成重大损失。 

　　三、信用体系的缺失是限制移动信息化应用的第三大原因。在手机支付中，一些小额支付可以捆绑在手机话费中，但手机话费透支、恶意拖欠十分常见，信用意识以及体系的不完善，也制约了移动信息化的普及、推广。 要解决这个问题，必须实施“手机实名制”制度。 

　　安全支付技术四大类 

　　目前用到的手机支付技术主要有四大类，第一类是RFSIM卡技术，它是将无线射频模块嵌入到手机SIM卡中，从而使SIM卡同时具有射频识别卡的功能，使手机可以与读卡器(POS)之间进行非接触式数据交换，如此以来，用户在原来的SIM卡通讯功能基础上还能实现各种支付操作。 

　　这种模式的作用主要表现在如下几方面： 

　　第一、可移动，在更换手机时可以方便转移移动电话服务，证书和相关增值服务；第二、多用途，每个服务供应商可以单独控制自己在SIM卡安装的软件以及SIM卡的区分不受运营商控制；第三、远程管理，通过OTA可以进行远程软件管理以及提供个性化的应用服务；第四、安全更胜一筹。 

　　第二大类就是NFC手机，例如诺基亚6131i、诺基亚6216c，它们在手机中嵌入NFC模块，这项技术在日韩的应用相当广泛和成熟，也深受用户喜爱。这种应用中，NFC芯片和应用安全芯片是独立于SIM卡之外的，比如我国厦门的试点。但这样会产生很多问题：手机断电怎么办？互操作性问题如何解决？成本如何控制？更换手机如何保持业务连续性？ 

　　如何解决这些问题，例如法国非接触芯片厂商Inside Contactless就有一个解决方案，即在手机中单独设立安全芯片用于管理NFC移动支付相关应用和用户数据，但该芯片没有SIM卡的允许便无法激活。因此对于移动运营商来说，SIM卡就是一个远程的开关。 

　　美国智能读卡器及软件开发商Vivotech公司的解决办法是，在NFC手机中放置一应用安全芯片，但是这个芯片不与SIM卡相连，运营商可以通过控制该芯片的密钥来控制NFC手机。这个方案最妙的就是在这个芯片内，银行和SP等组织可以有自己的密钥来控制自己的相关应用。就好比，运营商手里拿着大楼的钥匙，而房间的钥匙掌握在银行等手中。 

　　第三类就是依托网络的空中支付，这也是目前使用最广泛，被最多的网购用户所采有的支付方式。它使用WAP网络、短信确认、第三方支付平台等来实现“空中”的支付，这个方案与RFSIM和NFC手机最大的区别就在于通过网络和软件实现，手机不用改变任何硬件设备即可完成支付。 

　　中国金融认证中心副总经理曹小青认为，要想保证移动支付的安全性，作为移动支付的重要安全保证，数字证书的存储方式尤为重要，SIM卡贴片将是最安全的存储方式。确实，与计算机相比，手机内存小、可利用的资源少、功能简单，但这种“与生俱来的缺陷”，竟成为手机天然具备的抗病毒的强大免疫力，而且手机的私人性使得不法分子获取个人账户和密码资料的可能性大大降低，如此一来，网银大盗往往难以对手机支付用户下手。在很大程度上，手机支付的安全性大于网上支付。 

　　第四类是USSD(Unstructured Supplementary Service Data，非结构化补充数据业务)服务，它是一种基于GSM网络的新型交互式数据业务，如证券交易、移动银行业务，专业性强，提供服务的企业对安全问题上也相当的看重。 

　　移动支付的安全认证技术 

　　由于移动终端的计算环境和通信环境都非常有限，这就需要对相应的安全认证做一些特殊要求。 

　　1.WPKI 安全标准概况 

　　WPKI (Wireless PKI）是有线PKI的一种扩展，它将互联网电子商务中PKI的安全机制引入到移动电子商务中。WPKI采用公钥基础设施、证书管理策略、软件和硬件等技术，有效地建立了安全和值得信赖的无线网络通信环境。 

　　WPKI以WAP的安全机制为基础，通过管理实体间关系、密钥和证书来增强电子商务安全。WAP安全机制包括WIM（WAP Identity Module，无线应用协议识别模块）、WMLSCrypt（WML Script Crypto API，WML脚本加密接口）、WTLS（Wireless Transport Layer Security，无线传输安全层）和WPKI四个部分。 

　　以上各部分对实现无线网络应用的安全分别起着不同的作用。WPKI作为安全基础设施平台，一切基于身份验证的应用都需要WPKI技术的支持，它可与 WTLS、TCP/IP相结合，实现身份认证、私钥签名等功能。WPKI的主要组件包括：终端实体应用程序（EE）、PKI门户（PKI Portal)、认证中心（CA）、目录服务(PKI Directory)、WAP网关，在应用模型中还涉及数据提供服务器等设备。 

　　在WPKI中，代替RA（Registration Authority）的功能组件是PKI 门户（PKI Portal ），它是一个网络服务器，负责把WAP客户的需求转发给PKI中的RA和CA（Certification Authority）。CA主要负责生成证书、颁发证书和刷新证书等。WAP Gateway负责处理客户与源服务器之间的协议转换工作。WTLS 是经传统网络的TLS协议改进和优化而得来的，主要保证传输层的安全，WPKI也是对IETF PKIX标准的优化，使之更适合无线环境。 

　　2.WPKI的加密算法和密钥 

　　WPKI是通过管理实体间关系、密钥和证书来增强电子商务安全的，与WAP安全标准相比，WPKI所采用的ECC（Elliptic Curve Cryptography，椭圆曲线密码）密码系统更适合在无线设备中使用。同样强度的密钥，ECC的密钥长度（163bit）只是其他方案的六分之一 (1024bit），但163bit的密钥长度对穷举密钥攻击几乎是绝对安全的，因为穷举163bit的密钥个数有1.156×1049个，按每秒钟测试 1亿个密钥计算，也要3.6×1032年！