魏美香

（泉州紡織服裝職業(yè)學(xué)院，福建 泉州 362700）

電子商務(wù)正迅速發(fā)展，據(jù)艾瑞咨詢報告，2012年中國網(wǎng)絡(luò)購物的交易總規(guī)模達1.3萬億，增長66%；預(yù)計2013年整個市場還有40%以上的增長。然而，網(wǎng)絡(luò)支付依托的是開放的Internet平臺，由于網(wǎng)絡(luò)協(xié)議本身的漏洞和電子商務(wù)網(wǎng)站設(shè)計上的缺陷等，不可避免地會出現(xiàn)各種安全問題。近期網(wǎng)上商城用戶賬號被盜事件頻發(fā)，造成用戶資金流失，隱私失去保障，電商的安全運行環(huán)境有待提高。用戶賬戶被盜，可能是用戶計算機中木馬病毒或密碼設(shè)置過于簡單等原因造成，但從根本上說，網(wǎng)上銀行和第三方支付平臺作為主導(dǎo)網(wǎng)絡(luò)支付的一方應(yīng)承擔(dān)大部分的責(zé)任——應(yīng)在技術(shù)上提供安全支付所需的相應(yīng)軟硬件：安全套接層協(xié)議SSL、數(shù)字證書、靜態(tài)密碼、動態(tài)口令等，在執(zhí)行方案上應(yīng)提供多重資金保護，確保交易安全。目前SSL和PKI結(jié)合使用是目前國內(nèi)網(wǎng)上銀行、第三方支付平臺所廣泛使用的安全機制之一。論文將闡述國內(nèi)各大網(wǎng)上銀行和主流第三方支付平臺普遍使用的網(wǎng)絡(luò)安全支付的技術(shù)SSL協(xié)議、數(shù)字證書等原理。然而，再好的技術(shù)也會有漏洞，因此應(yīng)采用多種保障機制，從而更好地保障網(wǎng)上資金賬戶的安全。論文另一方面將分析各大網(wǎng)上銀行和主流第三方支付平臺保障用戶資金安全和用戶隱私所采取的實施方案，以期為廣大網(wǎng)絡(luò)支付用戶提供安全支付的一些建議。

一、SSL協(xié)議

20世紀(jì)90年代，以Internet為基礎(chǔ)的網(wǎng)上交易等電子商務(wù)行為產(chǎn)生，當(dāng)時的網(wǎng)絡(luò)協(xié)議并沒提供安全傳輸服務(wù)，這與電子商務(wù)交易的高安全性要求之間的矛盾日益突出，迫切需要網(wǎng)絡(luò)傳輸安全協(xié)議加密傳輸消息，以確保信息業(yè)務(wù)的安全,同時保證操作的便捷。SSL就是在這種背景下由Netscape公司開發(fā)的一個網(wǎng)絡(luò)安全協(xié)議，建立在傳輸層和應(yīng)用層之間，可為各種應(yīng)用層協(xié)議（HTTP、FTP、SMPT等）提供安全傳輸，已成為事實上的網(wǎng)絡(luò)支付安全標(biāo)準(zhǔn)協(xié)議。從網(wǎng)絡(luò)支付的服務(wù)器端看，目前國內(nèi)網(wǎng)上銀行和第三支付平臺普遍采用SSL協(xié)議；從網(wǎng)絡(luò)支付的普通用戶看，幾乎所有的桌面瀏覽器都支持SSL協(xié)議，SSL協(xié)議被廣泛應(yīng)用于Web瀏覽器與服務(wù)器之間的加密數(shù)據(jù)傳輸。SSL協(xié)議操作便利，相關(guān)的加密算法、通信密鑰的協(xié)商以及服務(wù)器的認(rèn)證都是由SSL自動完成的。在SSL的連接建立之后，應(yīng)用層不需要進行任何干預(yù)，通信中的所有數(shù)據(jù)都會被SSL自動加密。SSL協(xié)議的安全性來源如下：

1.數(shù)據(jù)傳輸?shù)臋C密性

傳統(tǒng)的萬維網(wǎng)協(xié)議HTTP不具備安全機制——采用明文的形式傳輸數(shù)據(jù)，在開放的Internet網(wǎng)上，傳輸?shù)臄?shù)據(jù)很容易被非法用戶竊取。SSL把數(shù)據(jù)加密后，再傳輸，這樣即使數(shù)據(jù)中途被竊取，也無法被破解。SSL協(xié)議結(jié)合使用私鑰加密算法（加密和解密使用相同的密鑰）和公鑰加密算法（加密和解密使用不同密鑰），充分利用了兩者的優(yōu)點。與公鑰加密算法相比，私鑰加密算法運算速度快，適用于長信息加密；而公鑰加密算法適用于短信息加密。SSL協(xié)議在加密傳輸數(shù)據(jù)時采用私鑰加密算法，此密鑰稱為會話密鑰。目前主要支持的算法有DES、3DES、AES等，這些算法都可以有效地防止交互數(shù)據(jù)被竊聽。同時SSL利用公鑰加密算法加密會話密鑰，保證會話密鑰的安全傳輸，第三方無法獲取該會話密鑰。SSL協(xié)議所用的會話密鑰是一次一密，公鑰則需要向數(shù)字證書權(quán)威機構(gòu)——CA申請數(shù)字證書，并由CA保證數(shù)字證書的真實性。數(shù)字證書是一個包含用戶的公鑰及其身份信息的文件，證明了用戶與公鑰的關(guān)聯(lián)。數(shù)字證書里還有CA的數(shù)字簽名，用戶可通過PKI（公鑰基礎(chǔ)設(shè)施）判斷該證書的真實性。

2.消息完整性驗證

為了避免網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)被非法篡改，SSL協(xié)議使用消息摘要算法（哈希函數(shù)）來保證消息的完整性。發(fā)送者利用Hash函數(shù)向接收者發(fā)送信息和信息摘要，接收者驗證信息的過程如下圖所示：

3.數(shù)字簽名身份驗證機制

SSL可保證消息的真實性、完整性和保密性，但SSL不對應(yīng)用層的消息進行數(shù)字簽名，不能提供交易的不可否認(rèn)性，這個是它的不足。因此，SSL協(xié)議中使用了數(shù)字簽名技術(shù)來保證交易身份的確定性?；跀?shù)字證書利用數(shù)字簽名方法對服務(wù)器和客戶端進行身份驗證，其中客戶端的身份驗證是可選的。首先，用戶在網(wǎng)絡(luò)支付中必須保證要登錄的Web服務(wù)器是真實的——避免登錄釣魚網(wǎng)站，以免重要信息被非法竊取。其次，SSL利用數(shù)字簽名來驗證通信對方的身份。數(shù)字簽名及其驗證過程步驟如下：

（1）SSL服務(wù)器端用私鑰加密一段信息，服務(wù)器端將明文和密文一起發(fā)給SSL客戶端；

（2）SSL客戶端使用SSL服務(wù)端的公鑰解密該密文；

（3）若解密后得到的消息與明文一致，則SSL客戶端確認(rèn)該SSL服務(wù)器端的身份。

二、網(wǎng)絡(luò)支付平臺常用安全工具

目前網(wǎng)絡(luò)支付平臺常用安全工具和方案：有數(shù)字證書、動態(tài)口令、靜態(tài)密碼、圖形驗證碼、交易情況短信通知等層層防護，以確保交易安全。

1.數(shù)字證書

網(wǎng)銀客戶端數(shù)字證書分兩類：一類存放在類似優(yōu)盤的USBKey中，俗稱“硬證書”，是目前網(wǎng)上銀行客戶端級別最高的一種安全工具；USBKey作為最高級別的安全工具，是因為其控制芯片被設(shè)計為只能寫入證書，不能讀取證書并且所有利用證書進行的運算都在U盾中進行。所以只能從U盾讀出運算結(jié)果。另一類存在電腦里，叫做“軟證書”。軟證書使用方便，成本低，但是放在硬盤中可能會被黑客植入木馬程序竊取，因此使用軟證書最好跟其他安全支付手段配合使用，比如加上靜態(tài)或動態(tài)密碼。

（1）軟證書

支付寶具有大量只使用軟證書進行支付驗證的第三方支付平臺：數(shù)字證書安裝后，只能在安裝有數(shù)字證書的電腦上操作，如果換一臺電腦或重裝系統(tǒng)，要重裝數(shù)字證書，此時需要輸入手機驗證碼。筆者認(rèn)為，這個方法可以最大程度地避免軟件證書被盜取造成的損害，黑客即使竊取了數(shù)字證書也無法在他的電腦上安裝成功，更談不上進行交易。支付寶中數(shù)字證書用戶在進行交易時只需要輸入支付密碼就可以完成支付，使用方便。

（2）硬證書

各個網(wǎng)絡(luò)支付平臺都推出了各自的USBKey，在安全使用和用戶便利性上各有側(cè)重。USBKey內(nèi)置CPU或智能卡芯片，可以實現(xiàn)數(shù)據(jù)摘要、數(shù)字簽名等操作都在USBKey內(nèi)進行，保證用戶私鑰不會出現(xiàn)在計算機內(nèi)存中，確保網(wǎng)上交易的保密性、真實性、完整性和不可否認(rèn)性。第一次在個人電腦上使用U盾，要安裝驅(qū)動。目前銀行新推出的USBKey具有自動安裝驅(qū)動和下載數(shù)字證書功能，不需要客戶完成。

中國四大銀行和支付寶平臺USBKey的大致使用情況如下：中國銀行E盾，建設(shè)銀行網(wǎng)銀盾（無驅(qū)動無軟，即插即用），工商銀行U盾（第一次使用需要安裝U盾驅(qū)動，需要安裝證書），農(nóng)業(yè)銀行分為有驅(qū)型K寶（第一使用要安裝驅(qū)動，安裝驅(qū)動后要安裝數(shù)字證書）、二代K寶（可顯示交易內(nèi)容和提供按鍵功能）。支付寶第三方平臺同時支持支付盾、工商銀行第一代U盾。

2.一次一密

一次一密理論上是不可破解的，使用起來又方便。在網(wǎng)絡(luò)支付行業(yè)得到普遍使用，幾乎所有的網(wǎng)上銀行和第三方支付平臺等都有使用一次一密作為支付安全手段之一。一次一密在實際應(yīng)用中有銀行動態(tài)口令卡和手機驗證碼。

動態(tài)口令是一種動態(tài)密碼技術(shù)，就是客戶每次在網(wǎng)上銀行進行資金交易時使用不同的密碼進行交易確認(rèn)。

網(wǎng)絡(luò)支付平臺使用的動態(tài)密碼技術(shù)大致如下：工商銀行電子密碼器（在電子密碼器中輸入收款人賬號后6位和轉(zhuǎn)賬金額，按確認(rèn)鍵，得到一個動態(tài)口令，將該動態(tài)密碼輸入到網(wǎng)銀頁面動態(tài)密碼框中）。工商銀行電子銀行口令卡（當(dāng)您在使用工行電子銀行相關(guān)功能時，按系統(tǒng)指定的若干坐標(biāo)，將卡片上對應(yīng)的字符串作為密碼輸入，系統(tǒng)校驗密碼字符的正確性。一張卡可以使用1000次）。建設(shè)銀行推出的網(wǎng)上銀行動態(tài)口令卡是一種大小、形狀與銀行卡一樣的卡片，俗稱刮刮卡，每張卡片覆蓋有100個不同的密碼，客戶在使用網(wǎng)上銀行過程中，需要輸入交易密碼時，只需按順序輸入刮刮卡上的密碼即可，每個密碼只可以使用一次。中行使用E令，農(nóng)業(yè)銀行使用動態(tài)口令卡，支付寶使用寶令、手機動態(tài)口令等。

三、網(wǎng)絡(luò)支付平臺安全實施方案及優(yōu)缺點

幾乎所有網(wǎng)絡(luò)支付平臺都使用靜態(tài)密碼（分為登錄密碼和交易密碼）、圖形驗證碼、動態(tài)密碼（動態(tài)口令卡和手機驗證碼）及數(shù)字證書（軟證書和硬證書）作為客戶端驗證工具。通過上述幾種方式的組合使用達到交易安全的目的。下面將簡述四大網(wǎng)上銀行和支付寶平臺不同安全實施方案及其優(yōu)缺點。

1.中行網(wǎng)銀交易實施方案

登錄中行網(wǎng)銀時，要輸入用戶名、密碼和圖形驗證碼。在進行交易時，如果用中行E令，在確認(rèn)付款信息后，要在網(wǎng)銀頁面輸入手機交易碼才能完成交易，進一步保證交易安全。若用中行E盾，交易時要輸入靜態(tài)密碼，在確認(rèn)付款信息后，按E盾上的確認(rèn)鍵才能完成交易，進一步保證交易安全。

2.建設(shè)銀行網(wǎng)銀交易實施方案

網(wǎng)上銀行系統(tǒng)采取登錄密碼，在輸入密碼時采用軟鍵盤（可以防止鍵盤記錄攻擊）和交易密碼兩種控制。在系統(tǒng)登錄時，提供附加碼和密碼小鍵盤等服務(wù)。

（1）純動態(tài)口令用戶（2011年2月26號以后新簽約的動態(tài)口令卡客戶，首次登錄個人網(wǎng)上銀行無需下載數(shù)字證書，進行網(wǎng)上銀行交易時取消數(shù)字證書認(rèn)證。該項業(yè)務(wù)功能上線后，將有效解決目前動態(tài)口令卡客戶開通和使用復(fù)雜、證書保管、使用和到期更換流程復(fù)雜，客戶體驗欠佳的業(yè)務(wù)現(xiàn)狀，從而使動態(tài)口令卡客戶可以更便捷地使用網(wǎng)上銀行。）輸入轉(zhuǎn)賬信息（付款人和收款人賬號、金額）后，直接輸入動態(tài)口令就可以完成交易。

（2）網(wǎng)銀盾用戶：插入網(wǎng)銀盾和輸入網(wǎng)銀盾密碼可以完成交易。步驟：輸入個人信息（賬號和登錄密碼、附加碼）；輸入交易信息；輸入交易密碼；選擇證書類型；輸入網(wǎng)銀盾密碼。

（3）網(wǎng)銀盾+動態(tài)口令：插入網(wǎng)銀盾，輸入動態(tài)口令，再輸入網(wǎng)銀盾密碼。

3.工商銀行網(wǎng)銀交易實施方案

U盾用戶：操作與其他銀行大致相同。如果是二代U盾，在交易時認(rèn)真核對顯示屏中回顯的交易信息，確認(rèn)無誤后按下“確認(rèn)”按鈕。（之前也要輸入圖形驗證碼，使用時要插入U盾，輸入U盾密碼）

電子銀行口令卡：輸入口令卡密碼和網(wǎng)銀密碼及圖形驗證碼，會顯示“預(yù)留信息”來辨別真假網(wǎng)站。

[1]馬英杰，肖麗萍，何文才，等.SSL協(xié)議分析及其在Web服務(wù)應(yīng)用中的改進[J].微處理機，2005，（6）:31-37.

[2]馮登國.網(wǎng)絡(luò)安全原理與技術(shù)[M].北京：科學(xué)出版社，2003:320-325.