电子商务中的移动支付安全技术

第２９卷第３期　２００８年６月　长春工业大学学报（自然科学版）　Ｖｏ［．２９，Ｎｏ．３　—Ｊｏｕｒｎａｌ　ｏｆ　Ｃｈａｎｇｃｈｕｎ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｔ　ｃｈｎｏｌｏｇｙ（Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅ　Ｅｄｉｔｉｏｎ）　Ｊｕｎ．２００８　

电子商务支付系统中的安全技术　

王凤芹　（吉林工商学院计算机系，吉林长春１３００６２）　摘　要：为确保支付结算手段的高度可靠性和安全性，建立与之相关的保密和安全措施，以电　子商务典型安全协议为基础，阐述了在信息流通中采用加密和解密技术的必要性及其规范。　关键词：电子支付；公开密钥；私用密钥　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７４—１３７４（２００８）０３—０３４４—０４　

Ｓｅｃｕｒｉｔｙ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｉｎ　ｅｌｅｃｔｒｏｎｉｃ　ｃｏｍｍｅｒｃｉａｌ　ｐａｙｍｅｎｔ　ｓｙｓｔｅｍ　

ＷＡＮＧ　Ｆｅｎｇ—ｑｉｎ　（Ｄｅｐａｒｌｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ，Ｊｉｌｉｎ　Ｇｏｎｇｓｈａｎｇ　Ｃｏｌｌｅｇｅ．Ｃｈａｎｇｃｈｕｎ　１３００６２，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｔｏ　ｅｎｓｕｒｅ　ｔｈｅ　ｈｉｇｈ　ｒｅｌｉａｂｉｌｉｔｙ　ａｎｄ　ｓｅｃｕｒｉｔｙ　ｉｎ　ｔｈｅ　ｃｏｍｍｅｒｃｉａｌ　ｐａｙｍｅｎｔ　ｓｙｓｔｅｍ　ａｎｄ　ｅｓｔａｂｌｉｓｈ　ｔｈｅ　ｃｏｒｒｅｓｐｏｎｄｉｎｇ　ｐｒｏｃｅｄｕｒｅｓ，ｈｅｒｅ　ｗｅ　ｅｘｐｏｕｎｄ　ｔｈｅ　ｅｎｃｏｄｉｎｇ　ａｎｄ　ｄｅｃｏｄｉｎｇ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｉｎ　ｔｈｅ　ｉｎｆｏｒｍａｔｉｏｎ　ｅｘｃｈａｎｇｅ　ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｔｙｐｉｃａｌ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ　ｏｆ　ｔｈｅ　ｅｌｅｃｔｒｏｎｉｃ　ｃｏｍｍｅｒｃｉａｌ　ｐａｙｍｅｎｔ　ｓｙｓｔｅｍ．　Ｋｅｙ　ｗｏｒｄｓ：ｅｌｅｃｔｒｏｎｉｃ　ｐａｙｍｅｎｔ；ｐｕｂｌｉｃ　ｋｅｙ；ｐｒｉｖａｔｅ　ｋｅｙ．　

网络安全技术在移动支付中的应用

随着移动支付的兴起，网络安全问题也成为了人们关注的热点之一。毕竟，其中涉及到的数额巨大，安全问题也随之倍增。所以，网络安全技术在移动支付中的应用显得尤为重要。

一、加密技术的应用

在移动支付中，加密技术可以说是最基础的安全措施。通过对用户信息和交易信息进行加密，可以有效地避免信息被恶意攻击者窃取和篡改。加密技术的核心在于密钥的管理。

在移动支付中，第一个需要加密的就是用户个人信息，包括账号、密码、身份证号等等。为了防止黑客通过拦截数据包及其他手段窃取信息，需要将这些信息进行加密后再通过网络传输。这样，黑客即使获得了这些信息，也无法解密获取其中的真实内容。

第二个需要加密的是交易信息，包括双方之间的银行卡号、支付金额、交易时间等等。同样的，这些信息也需要进行加密后再传输。

二、身份验证技术的应用

在移动支付中，身份验证技术是保障支付安全的重要环节之一。通过有效的身份验证技术，可以确保用户的合法性和交易的真实性。常见的身份验证技术包括指纹识别、面部识别、验证码等等。 其中，指纹识别和面部识别是目前比较主流的验证方式。这些方式能够通过生物识别技术来判断用户身份的真实性，更加安全可靠。

而对于虚假的身份信息，验证码则可以有效地避免。通过向用户发送随机生成的验证码，用户需要输入验证才能完成支付。这样，在一定程度上提高了交易的安全性。

三、实名制管理技术的应用

实名制管理技术也是移动支付安全的一个方面。一方面，实名制可以有效地防止诈骗行为的发生，避免非法交易；另一方面，也可以让相关部门对移动支付进行更加全面的监管。

具体来说，实名制要求用户在进行支付操作时需要提供真实有效的身份信息，以便于相关机构进行监管和管理。这样一来，如果出现了违法乱纪的情况，相关责任可以追溯到相应的用户，从而减少非法交易的发生。

四、风险监测和处理技术的应用

风险监测和处理技术可以及时发现并处理各种安全风险，保障用户的资金安全。常见的风险监测和处理技术包括交易监测、异常行为监测、黑名单管理等等。 通过交易监测技术，可以对无法正常完成交易的用户进行风险筛查，及时处理异常情况。而异常行为监测技术则可以识别并控制恶意行为，减少风险。

移动电子商务中的WPKI技术

1. 什么是WPKI技术

WPKI（Wireless Public Key Infrastructure）技术是指在移动电子商务领域中使用的一种公钥基础设施技术。WPKI技术通过使用公钥和私钥来进行身份验证和数据加密，确保移动电子商务的安全性和可靠性。

移动电子商务是指通过移动设备进行购物、支付、预订服务等在线交易活动。由于移动设备的特殊性，如无线连接、小屏幕、有限的计算能力等，安全性成为移动电子商务的重要关注点。WPKI技术通过使用公钥和私钥，实现了身份验证和数据加密，保护了移动电子商务的隐私和安全。

2. WPKI技术的工作原理

WPKI技术的工作原理可以分为以下几个步骤：

2.1 公钥和私钥的生成

在WPKI技术中，首先需要生成一对公钥和私钥。公钥用于加密和身份验证，私钥用于解密和签名。公钥和私钥是一一对应的，只有持有私钥的用户才能解密通过公钥加密的数据和进行签名。

2.2 数字证书的颁发

生成公钥和私钥后，用户需要将公钥发送给权威的证书颁发机构（Certificate

Authority，简称CA）。证书颁发机构会对用户的身份进行验证，并将用户的公钥和相关信息打包成数字证书。数字证书中包含了用户的公钥和证书颁发机构的签名，用于验证公钥的合法性。

2.3 数字证书的分发和验证

用户在进行移动电子商务交易时，需要将自己的数字证书发送给服务提供商或其他交易参与方。接收方使用证书颁发机构的公钥来验证数字证书的合法性，确保证书中的公钥是经过权威机构验证的。 2.4 数据加密和解密

在移动电子商务交易中，数据的加密和解密是必不可少的。使用公钥对数据加密可以保证数据在传输过程中的安全性，只有持有私钥的用户才能解密数据。数据加密和解密使用的是非对称加密算法，如RSA算法。

2.5 数字签名

数字签名是WPKI技术中的一个重要概念。用户使用私钥对数据进行签名，接收方使用公钥对签名进行验证。数字签名可以确保数据的完整性和真实性，防止数据在传输过程中被篡改。

子商务　商务　境　移渤变付的蜜坌性分桁　一万　隆北方民族大学计算机科学与工程学院　［摘要】移动支付是将移动网络作为实现移动支付的工具和手段，为用户提供贷币支付等金融服务，文章介绍了移动　支付在电子商务环境下的技术实现及各支付环节所要关注的安全要求，并介绍了目前应用较广泛的安全标准ＷＰＫＩ。　［关键词】电子商务移动支付安全认证ＷＰＫＩ　电子商务环境下的移动支付是指单位或个人通过移动设备．　直接或间接向银行业金融机构发出支付指令．实现货币支付与资　金转移的行为移动支付所使用的移动设备可以是手机、ＰＤＡ、移　动Ｐｃ等。从移动支付的实质上讲，移动支付就是将移动网络与金　融系统结合．把移动网络作为实现移动支付的工具和手段．为用　户提供货币支付　缴费等金融服务的业务。移动支付通常有以下　几种实现方式：（１）短信（ＳＭＳ）支付．终端用户通过发送短消息　的形式请求服务内容，从用户的话费中扣除费用　通常只适合于　小额支付。（２）ＷＡＰ（Ｗｉｒｅｌｅｓｓ　Ａｐｐｌｉｃａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ｝，终端用户通　过访问ＷＡＰ站点，进行简单的金融业务。（３）ＵＳＳＤ（Ｕｎｓｔｒｕｃｔｕｒｅｄ　Ｓｕｐｐｌｅｍｅｎｔａｒｙ　Ｓｅｒｖｉｃｅ　Ｄａｔａ，非结构化补充数据业务），是一种基　于ＧＳＭ网络的新型交互式数据业务，如证券交易、移动银行业务。　（４）ＮＦＣ（（Ｎｅａｒ　Ｆｉｅｌｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ）．是一种短距离的无线连接　技术，支付和票务业务是应用最早的ＮＦＣ业务。　一、移动支付中的安全问题　在整个移动支付的过程中涉及到的支付参与者包括：消费用　户、商户用户、移动运营商、第三方服务提供商、银行。消费用　户和商户用户是系统的服务对象，移动运营商提供网络支持　银　行方提供银行相关服务　第三方服务提供商提供支付平台服务，　通过各方的结合以实现业务。移动支付需要考虑以下安全问题：　（１）移动终端接入支付平台的安全，包括用户注册时．签约信息　的安全传递．以及用户通过移动终端登录系统．其间传递的数据　如签约用户名、签约密码等的安全性。（２）支付平台内部数据传输　的安全，即支付平台内部各模块之间数据传输的安全性。（３｝支付　平台数据存储的安全，涉及到签约用户的机密性的银行卡账户、　密码　签约用户名、签约密码等的安全性。　二．移动支付的安全认证技术　当前．移动设备的大量普及为移动支付的实现提供了必要的　条件，但也存在许多问题制约着移动支付的实施，如移动终端的　计算环境和通信环境都非常有限．这就需要对相应的安全认证做　一些特殊要求。　１．ＷＦ’ＫＩ安全标准概况　ＷＰＫＩ（Ｗｉｒｅｌｅｓｓ　ＰＫＩ）是有线ＰＫＩ的一种扩展．它将互联网电　子商务中ＰＫＩ的安全机制引入到移动电子商务中。ＷＰＫＩ采用公钥　基础设施、证书管理策略　软件和硬件等技术，有效地建立了安　全和值得信赖的无线网络通信环境。ＷＰＫＩ以ＷＡＰ的安全机制为　基础，通过管理实体间关系、密钥和证书来增强电子商务安全。　ＷＡＰ安全机制包括ＷＩＭ（ＷＡＰ　Ｉｄｅｎｔｉｔｙ　Ｍｏｄｕｌｅ．无线应用协议　识别模块）、ＷＭＬＳＣｒｙｐｔ（ＷＭＬ　Ｓｃｒｉｐｔ　Ｃｒｙｐｔｏ　ＡＰＩ，ＷＭＬ脚本加　密接１：３）、ＷＴＬＳ（Ｗｉｒｅｌｅｓｓ　Ｔｒａｎｓｐｏｒｔ　Ｌａｙｅｒ　Ｓｅｃｕｒｉｔｙ，无线传输安　全层）和ＷＰＫＩ四个部分。以上各部分对实现无线网络应用的安　全分别起着不同的作用。ＷＰＫＩ作为安全基础设施平台．一切基于　身份验证的应用都需要ＷＰＫＩ技术的支持．它可与ＷＴＬＳ、ＴＣＰ／ＩＰ　相结合．实现身份认证、私钥签名等功能。ＷＰＫＩ的主要组件包括：　终端实体应用程序（匪）、ＰＫＩ　ｆ－１户（ＰＫＩ　Ｐｏｒｔａ１）、认证中心（ＣＡ）、　目录服务（ＰＫＩ　Ｄｉｒｅｃｔｏｒｙ）、ＷＡＰ网关，在应用模型中还涉及数据　提供服务器等设备，ＷＰＫＩ的基本结构和数据流向如图所示　七线　・　钳线　图ＷＰＫＩ的基本结构和数据流向　在ＷＰＫＩ中，代替ＲＡ（Ｒｅｇｉｓｔｒａｔｉｏｎ　Ａｕｔｈｏｒｉｔｙ）的功能组件是　ＰＫＩ　ｆ－ｊ户（ＰＫＩ　Ｐｏｒｔａｌ》．它是一个网络服务器．负责把ＷＡＰ客　户的需求转发给ＰＫＩ中的ＲＡ和ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ　Ａｕｔｈｏｒｉｔｙ）。ＣＡ主　要负责生成证书、颁发证书和刷新证书等。ＷＡＰ　Ｇａｔｅｗａｙ负责处　理客户与源服务器之间的协议转换工作。ＷＴＬＳ是经传统网络的　ＴＬＳ协议改进和优化而得来的，主要保证传输层的安全，ＷＰＫＩ也　是对ＩＥＴＦ　ＰＫＩＸ标准的优化，使之更适合无线环境。　２．ＷＰＫＩ的加密算法和密钥　ＷＰＫＩ是通过管理实体间关系、密钥和证书来增强电子商务安　全的．与ＷＡＰ安全标准相比，ＷＰＫＩ所采用的ＥＣＣ（ＥｌＩｉｐｔｉｃ　Ｃｕｒｖｅ　Ｃｒｙｐｔｏｇｒａｐｈｙ　椭圆曲线密码）密码系统更适合在无线设备中使　用。同样强度的密钥，ＥＣＣ的密钥长度（１６３ｂｉｔ）只是其他方案的　六分之一（１　０２４ｂｉｔ）．但１　６３ｂｉｔ的密钥长度对穷举密钥攻击几乎是　绝对安全的，因为穷举１６３ｂｉｔ的密钥个数有１．１　５６　Ｘ　１０　。个．按　每秒钟测试１亿个密钥计算，也要３．６　Ｘ　１０　年！　三，结论　支付手段的电子化和移动化已经成为了不可避免的发展趋势，　而移动支付系统的安全性问题又是移动电子商务安全的核心问　题。从技术角度上看，需要将无线通信的安全与其他的安全机制　相结合才能满足移动电子商务安全的需要。　参考文献：　【１１美振胜：公钥基础设施ＰＫＩ及其应用【Ｍ１．北京：电子工业出版社　［２］ＷＡＰ　Ｆｏｒｕｍ．Ｐｕｂｌｉｃ　Ｋｅｙ　Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ　Ｄｅｆｉｎｉｔｉｏｎ．ＷＡＰ　Ｆｏｒｕｍ，Ｈｔｔｐ：／　／ｗｗｗ．ｗａｐｆｏｒｕｍ．ｏｒｇ．２Ｏ０１