移动支付的应用安全性检测

国家应用软件产品质量监督检验中心 郑丽娜 王威

河南环宇智能卡科技有限公司产品领域广阔，广泛应用于电信，电力，金融，交通，邮政，税务，治安，医疗，教育，保险业，企业，商业，服务业，旅游业等各个领域。公司本着以“凝聚于公司、服务于社会、锲而不舍地实现用户梦想”的企业使命，以的技术、产品和全方位的服务满足每一位客户的愿望。

摘要 随着3G时代的到来，移动支付业务得到迅速发展，而安全问题一直用户关心的首要问题，本文从移动支付的概念、类型、技术出发，对移动支付存在的安全问题，以及当前采用的安全机制进行展开，并就移动支付应用安全性的检测方法和检测内容进行了初步探讨。  

1、移动支付的概念
移动支付是移动运营商和金融机构共同推出的能够实现远程在线支付的移动增值业务。移动支付狭义上是指使用手机作为终端的通信工具，广义上是指交易双方为了某种货物或者服务，使用移动终端设备为载体，通过移动通信网络实现的商业交易。移动支付所使用的移动终端可以是手机、PDA、移动PC 等，其手段包括手机短信，互动式语音应答、WAP等多种方式。
具体来说，移动支付就是将移动网络与金融系统相结合，将移动通信网络作为实现移动支付的工具和手段，为客户提供商品交易、缴费、银行账号管理等金融服务。它采用手机等作为支付工具，客户将消费的金额从手机费中扣除，服务提供方则通过与移动运营商的结算来获得收益。移动支付系统为每个手机客户建立一个与手机号码绑定的支付账户，客户通过手机即可进行现金的划转和支付。
在移动支付产业中，其整个系统由消费者、商业机构、支付平台运营商、银行、移动运营商等多个环节组成，主要原理是在移动运营支撑平台上构建一个移动数据增值业务，把移动客户的手机号码当作关联支付账户，使移动客户可以通过手机进行身份确认和交易活动。

2、移动支付的类型
按照不同的标准，移动支付可以分为不同的类型。
2.1按交易金额分
根据支付金额的大小，可以将移动支付分为小额支付和大额支付。小额支付指运营商与银行合作，建立预存费用的账户，用户通过移动通信的平台发出划账指令代缴费用；大额支付指把用户银行账户和手机号码进行绑定，用户通过多种方式对与手机捆绑的银行卡进行交易操作。
2.2 按照传输方式分
按照传输方式的不同，移动支付可以分为近场支付和远程支付。
近场支付不通过移动网络，使用近距离无线通信技术进行支付，包括接触式支付和非接触式支付。消费者在购买商品或服务时，即时通过移动设备向商家进行支付，支付的处理在现场进行，支付完毕，消费者即可得到商品或服务。
远程支付是指通过无线移动网络进行接入的服务。消费者在购买商品时，可以用短信、WAP或客户端将支付信息传递到支付平台的后台服务器，支付平台在银行账户中扣除相应的费用，并且向商家发出支付确认信息，商家再向使用者确认，完成交易支付。
2.3 按支付时间分
按支付时间分，可分为预付费（存储卡）、后付费（）和交易当时支付（借记卡）。
2.4 按接入方式分
移动支付接入方式主要有五种：种是利用短信（STK）方式；第二种是语音方式IVR（Interactive Voice Response 交互式语音应答）；第三种是利用USSD 方式；第四种是使用WAP协议实现；第五种是利用WEB 方式实现。目前主要采用的是语音、STK 和WEB方式实现。

3、移动支付的技术
近场支付和远程支付的实现采用了不同的技术方式，用以满足其不同支付地点差异的安全需求。
3.1近场支付
近场支付是利用射频、红外或者蓝牙等技术，实现手机与其他智能终端的通讯与信息交换，进而完成交易支付，具体实现技术如下：
（1）红外(IR)与蓝牙：都是通过无线通讯进行数据传输，两者的终端普及率均较高。前者的成本低，不易被干扰；后者的传输距离较远，且信号没有方向性。
（2）无线射频识别技术(RFID)：它通过射频信号自动识别目标对象并获取数据。RFID技术安全性高、速度快且存储量大，但其基础设施投入大、成本高、终端要求较高。
3.2远程支付
远程支付是利用无线网络，通过手机向提供某种商品（或服务）的商家发出交易申请，并完成交易支付，具体实现技术如下：
（1）交互语音应答技术（IVR）：用手机拨打电话实现支付过程。它的稳定性和实时性较好，但由于操作复杂导致耗时较长，通讯费用较高，安全性能不佳，仅适用于小额支付。
（2）短消息服务技术（SMS）：通过发送短信完成支付。这种方式的用户群基础广泛，费用低，易于操作，普通手机均可实现，但是安全性差，不能确定短信发送及接收的响应时间。
（3）非结构化补充数据业务技术（USSD）：通信网络在用户使用手机向网络发送事先预定的数字或符号后，为用户提供相应的服务。该技术操作简单，交易成本低、具有较高的安全性，但对终端要求较高，需要特定终端支持。
（4）无线应用协议技术（WAP）：利用手机连接Internet完成支付。该方法交互性强，但由于网络不稳定，造成指令的响应速度不能确定，使用费用较高，且需要终端支持。
（5）K.Java/Brew（J2ME/无线二进制运行环境）：通过下载K．Java/Brew连接Internet。它可移植性强、消耗网络资源低、服务器负载低，界面易被用户接受，但需要终端设备支持。

四、移动支付的安全问题
不论移动支付采用何种技术实现，其安全性都是影响支付业务能否发展的关键因素。移动支付的安全性涉及用户信息的保密、用户资金和支付信息的安全等问题，其面临的安全风险主要来自于无线链路、服务网络和终端。具体而言，主要包括：
4.1窃听
窃听是最简单的获取非加密网络信息的形式，这种方式可以同样应用于无线网络。由于无线网络本身的开放性，以及短消息等数据一般都是明文传输，这使得通过无线空中接口进行窃听成为可能。攻击者通过窃听有可能了解支付流程，获取用户的隐私信息，甚至破解支付协议中的秘密信息。
4.2 重传交易信息
攻击者截获传输中的交易信息，并把交易信息多次传送给服务网络。多次重复传送的信息有可能给支付方或接收方带来损失。
4.3 终端窃取与假冒
攻击者有可能通过窃取移动终端或SIM卡来假冒合法用户，从而非法参与支付活动，给系统和交易双方造成损失。通过本地和远程写卡方式，攻击者还有可能修改、插入或删除存储在终端上的应用软件和数据，从而破坏终端的物理或逻辑控制。
4.4 中间人攻击
如果攻击者设法使用户和服务提供商间的通信变成由攻击者转发，那么该中间人可完全控制移动支付的过程，并从中非法牟利。
4.5 交易抵赖
当移动支付成为普遍行为时，就可能存在支付欺诈问题。用户可能对发出的支付行为进行否认，也可能对花费的费用及业务资料来源进行否认。随着开放程度的加强，来自服务提供商的抵赖可能性也会有所增加。
4.6 拒绝服务
破坏移动支付服务网络，使得系统丧失服务功能，影响移动支付的正常运行，阻止用户发起或接受相关的支付行为。

5、移动支付的安全机制
为解决移动支付面临的安全问题，从管理上来说，一般采用限额控制和签约机制；从技术上来说，一般采用访问控制技术使支付中的交易信息不被非法用户获取和篡改，采用身份认证技术实现对交易各方的身份认证，采用数字签名技术实现信息的保密等等。
5.1 用户身份认证与支付确认机制
在支付过程中，移动支付系统扣款前向用户再次确认商品及支付金额，并索取支付密码，完成对支付内容的合法性确认和对用户身份的验证，用户从移动终端对交易内容和金额进行认可，并输入正确密码，支付才可生效。这样通过支付系统和用户之间的确认机制，可以防止可能存在的欺诈行为。支付系统在交易确认后向用户下发确认通知消息，进行交易通知和提示，增加交易透明性，即便出现欺诈，用户也可以及时发现并提起投诉。
5.2 WAP传输的安全机制
对于移动支付系统与用户之间的WAP交互，由于目前WAP网关都支持WAP2.0，因此采用端到端的安全模式。在移动用户终端与移动支付系统之间直接建立TLS的安全连接，交易事务链的两端进行数据加密处理，中间环节不解密，全部传输过程为密文传送。
5.3 短消息传输的安全机制
由于支付系统发出的短信确认消息是在封闭的移动网络上进行传输的，其携带的确认随机数其他人无法获取，因此依靠移动网络的安全即可保证支付信息的安全问题。
5.4 数字签名机制
通过数字签名，移动支付系统一方面实现身份验证，另一方面可以保证商业机构、支付平台运营商、支付用户、银行等对支付行为的不可否认性，避免各实体拒绝承认交易而使运营商面临被欺骗的风险。
数字签名技术需要CA证书权威向移动支付中心、商业机构、支付平台运营商、支付用户终端发放数字证书、CA证书权威作为验证数字证书的可信实体。此外对于终端实现数字签名技术，需要终端的WIM卡的支持。
5.5 网络安全机制
为了保证交易过程中数据在网络传输中的安全，移动支付系统须建立完善的网络安全机制，包括防火墙系统、病毒防范系统等；系统采用双网的组网结构，防止单点设备故障和链路故障，保证整个网络的畅通；系统硬件双备份，具有冗余性和负载分担机制，及数据传输安全机制；对接入到系统的各银行、移动通信网元等实体作网段隔离，保证不同网络因都与移动支付系统相连而互通。
5.6 交易安全机制
移动支付业务开户流程确保对用户身份的认证，建立用户身份与手机号码的绑定关系；移动运营商确保对用户手机的认证，及对订购关系的合法性鉴权，对于不完整的交易，要求商业机构（或支付平台运营商）发出冲正请求，取消不完整的交易操作。
5.7 应用系统、数据安全备份
采用应用系统双机热备、异地备份技术，保障系统对外服务的不间断性；数据库实时双备份的方式，保障交易记录的不可缺失性。
5.8 其他安全机制
为防止非授权者对主机的入侵，将移动支付中心部署在移动运营商网络的基于IP的防火墙后面；实现控制机制，设置支付限额；实现对账号的安全管理；实现对加密算法、密钥长度、密钥安全交换、密钥更新时间、签名算法等的安全模块进行管理；实现交易记录的安全审计跟踪，这样在发生纠纷的时候，可以提供完整、准确和可信的交易记录进行核查。

6、移动支付的应用安全性检测
为了确保移动支付系统的安全运行，有必要对其进行全面的安全检测，其中包括对移动支付系统进行应用安全性检测，即检测系统对非法访问和操作的控制能力。下面就应用安全性检测方面进行详细讨论。
6.1 检测方式
移动支付的应用安全性检测主要采取人工访谈、文档审查、现场测试、工具检查和渗透测试等方式进行。
（1）人工访谈。分别与移动支付系统技术负责人和系统相关用户，针对系统功能和运行情况进行访谈，初步了解应用系统架构、功能模块、最终用户，以及重要数据、系统运行维护记录的存放等。
（2）文档审查。审查系统开发文档、用户文档和管理文档，以便对移动支付系统有更深入的了解。
（3）现场测试。以管理员的身份登录系统，查看用户登录账户、认证功能、系统管理、安全审计等方面是存在安全方面的问题。
（4）工具检查。通过漏洞扫描工具、安全检查工具对系统进行远程检测和本地检测，以发现系统中存在的漏洞和安全隐患，如存在SQL注入、跨站脚本攻击等漏洞。
（5）渗透测试。模拟互联网和局域网用户通过漏洞扫描、权限提升等攻击手段，对网站和业务系统实施远程、非破坏性安全检测，以发现系统可能被恶意利用的薄弱环节。
6.2 检测内容
依据GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》，针对常见的信息系统，应用安全从身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等方面来检测。
而针对新兴的移动支付而言，除了要严格检测上述方面以外，还需要进一步对如下几个方面进行检测，如：
（1）WEB和WAP页面安全：检测系统是否采用登录防穷举措施，是否提供安全控件、数字证书和独立的支付密码，页面是否采取SQL注入、跨站脚本攻击、源代码暴露和黑客挂马的防范，以及防篡改和防钓鱼措施；
（2）编码安全：对系统源代码和插件是否进行了安全性审查，检查其审查报告，是否具有编码规范约束制度，是否对源代码和版本进行有效管理，检查其管理制度；
（3）电子认证应用：对内对外业务和关键业务是否使用第三方电子认证机构证书，是否使用有效的电子签名，是否对服务器证书私钥进行有效保护；
（4）脱机数据认证：检查是否使用符合业务要求的密钥和证书、静态数据认证和动态数据认证等；
（5）应用密文和发卡机构认证：检查应用密文产生、发卡机构认证和密钥管理等；
（6）安全报文：检测报文格式是否符合要求，验证报文完整性、报文私密性，如何管理密钥；
（7）卡片安全：检测卡片的安全性、密钥是否具有独立性、卡片内部安全体系、卡片中密钥的种类、 钥和个人识别码的存放等；
（8）终端安全：审查终端数据和设备的安全性要求，以及密钥管理要求，并检查应用终端是否严格按要求执行；
（9）密钥管理体系：检测如何对认证中心公钥、发卡机构公钥和发卡机构对称密钥进行管理；
（10）认可的算法：系统采用了哪种对称加密算法、非对称加密算法或哈希算法等，以及这些算法应用在系统的哪些功能，并检测对应系统功能；
（11）客户端程序安全：如何保护客户端应用程序和配置文件，查看其版本是否，保证登录密码和支付密码的安全。
7、结束语
信息时代是个快节奏的时代，移动支付较传统业务具有随身、实时、快捷等强大优势，在支付行业将会有很好的发展前景。随着安全技术的迅速发展和移动通信网向3G的全面迈进，人们对移动支付将变得越来越有信心，我们有理由相信，移动支付业务终将全面普及，成为与传统支付并驾齐驱的支付方式。

河南环宇智能卡科技有限公司主营：河南制卡公司，专业制做智能卡，专业生产电信卡，银行卡生产厂家，专业生产会员卡，定做磁条卡，条码卡定做批发，厂家定做射频卡，专业定做贵宾卡，专业制作IC卡，专业生产ID卡，厂家批发IC读写设备，厂家批发磁卡读写设备
固定电话
移动电话
传真号码  
联 系 人 张经理