原创/尹亚伟 王旸 杨阳
纵向评估主流移动互联网支付产品的安全性
通过逐一对主流支付产品进行纵向安全评估，发现主流移动支付产品在面临安全威胁时都在信用度和保密度上做出了努力，针对交易过程中的安全威胁也提出了很多安全策略和保障。
支付宝。
在传统安全措施方面，支付宝正在使用的安全措施包括密码、SSL协议和安全加密技术、实名认证、信息绑定、安全通知、第三方证书、智能校验。
支付宝传统安全措施一览表
安全措施 | 技术简介 |
密码 | 登录密码（长度：6-20；密码不可单种符号）+支付密码（6位数字） 密码输入出错三次账户锁定，三个小时后才会自动解除锁定。还设有密码保护问题。长度：6-20；密码不可单种符号。手势密码（可选） |
SSL协议和加密技术 | 采用SSL安全传输协议，加密算法为256位的哈希算法+RSA公钥加密算法。 |
实名认证 | 支付宝账户提现时，系统将检查登记的银行账户姓名是否与认证姓名一致，否则不予提现。 |
信息绑定 | 在绑定银行卡时，需要输入姓名、手机号、身份证件号码 |
安全通知 | 在资金（账户余额或者快捷支付）变动时，有APP内通知，超过一定金额有短信通知 |
第三方证书 | 使用现有的第三方证书绑定账户，支持中国工商银行的U盾。也推出了支付盾。支付盾是进行数字认证和电子签名的硬件安全解决方案，主要用在PC端。 |
智能校验 | 自2015年6月8日起，数字证书、短信校验服务、手机宝令取消，升级为智能安全防护系统。 后方的大数据实时监测用户的支付宝账户情况，通过分析用户的行为习惯，登录网络的ID、登录的环境是否安全、登陆设备等多维度识别是否是账户本人操作。在发生异常之后，拦截交易，通过短信提醒和人工核实来提醒用户。 |
在创新安全措施方面，基于传统的安全措施，支付宝还给出了几项正在推出或小范围实现的安全创新措施。
支付宝创新安全措施一览表
安全措施 | 技术简介 |
指纹支付 | 指纹支付开通完成后，在支付宝钱包内进行购物和转账时，将不再需要输入数字密码，取而代之的是用手指在位于HOME键位置的指纹传感器上“刷指纹”，即可完成支付。 步骤：在手机的设置中录入指纹；打开支付宝钱包，在手机密码栏中开启支付密码，确认用户协议；进行短信校验，然后与手机设置中已录入的指纹进行比对；比对通过后，输入支付密码校验确认无误。 |
刷脸支付 | 使用场景：支付宝实名认证、重置密码、捆绑手机、风险支付校验、账户登录 使用的人脸识别技术为旷视科技，人脸识别技术的精确度理论上可以达到99.6% 声纹技术：下一步在支付宝、蚂蚁聚宝中推出使用 |
智能手表和智能手环 | 智能手表：使用场景为线下支付，双击手表侧面按钮生成支付条码或二维码，扫描进行支付。 智能手环：（与小米合作）免去输入支付密码的操作，直接完成付款。 |
目前，支付宝用于身份识别和认证的信息要素如下表所示。
用于身份识别和认证的信息要素 | |
必输项 | 支付宝账户、登陆密码和支付密码，在支付时必需 姓名、手机号、身份证件号码，在信息绑定时必需 |
可选项 | 手势密码、支付盾、指纹信息、人脸信息、眼纹信息等 |
财付通。
在传统安全措施方面，与支付宝相似， 财付通正在使用或曾经推出的安全策略和保障，包括密码、SSL协议和加密算法、实名认证、信息绑定、安全通知、证书、智能校验。
财付通传统安全措施一览表
安全措施 | 技术简介 |
密码 | 使用场景：账户付款 登陆密码（长度：6-18：密码可由单种符号组成，纯数字不可小于9）+ 支付密码（6位数字密码），手势密码（可选） |
SSL协议和加密算法 | 采用SSL协议，加密算法使用RSA公钥加密算法，哈希算法，AES加密算法 |
实名认证 | 使用场景：账户提现 系统自动检查认证姓名与银行账户姓名是否相符，提高信任级别 |
信息绑定 | 需要姓名、身份证、手机号等信息 使用场景：绑定银行卡，找回密码等 |
安全通知 | 通知方式包括短信通知、QQ通知、邮件通知 使用场景：资金变动 |
数字证书 | 对网络上传输的信息进行加密和解密、数字签名和签名验证，保护账户资金安全 也推出了财付盾等硬件设备，采用双因子认证方式，即 “key+PIN码”，用于PC端。 |
智能校验 | 大数据支撑与云计算能力，对用户异常支付行为及时判定，以保证财产安全 |
在创新安全措施方面，财付通的支付方式除了传统的二维码支付，还将城市一卡通作为NFC支付的突破口。NFC支付落地实现的城市有武汉、北京、苏州等，三星华为小米HTC等大部分机型支持NFC功能。以武汉通为例，将卡片贴于支持NFC功能的手机背面，调起并进入QQ钱包，就可以查询武汉通余额并进行充值支付。
微信支付。
它是由微信及财付通联合推出的移动支付创新产品。但是，微信支付是微信产品基础之上衍生出来的一个服务，是一个内置在微信里的移动支付手段，有财付通提供底层技术支持，其不同于财付通的安全措施。
微信支付安全措施一览表
安全措施 | 简介 |
密码 | 6位数字密码（必输项）、手势密码和指纹密码（可选项） 找回密码：验证已绑定卡信息+个人身份信息+手机号+短信验证码。 手势密码是在进入微信钱包时验证，指纹密码是作为转账和消费时利用touch ID进行付款（数字密码的补充） |
SSL协议和加密算法 | 使用SSL网络加密协议，加密算法使用MD5（兼容SHA1、SHA256、HMAC）加密信息，128位随机AES密钥和1024位的RSA公钥加密方式。 |
实名认证 | 使用场景：绑卡 从2016年7月1日起根据央行新规，用户必须提交了真实姓名、身份证、银行卡等实名信息，再不进行实名认证将无法转账、收红包和收款。 存在多重绑定问题。 |
账号锁定和冻结 | 密码输错五次，10分钟后重试 密码被盗或者手机丢失时冻结：通过登录官网或拨打腾讯客服务热线冻结 重新启用该账号，需要重置密码并通过身份验证。 |
智能校验 | 微信支付后台会对当前交易与微信的社交信用数据、常用设备以及行为数据的比对、对支付信息和商户当前状态的判定，并对可疑交易进行立即拦截。 |
百度钱包。
在传统安全措施方面，主要有百度手机卫士提供安全支付解决方案。
百度钱包传统安全措施一览表
安全措施 | 简介 |
密码 | 登录密码(6-14位，大小写字母，不支持九位以下纯数字)+支付密码(6位数字) 手势密码、指纹支付（可选） |
SSL协议和加密算法 | 使用SSL网络加密协议，加密算法使用SHA1/MD5 +百度钱包合作密钥key。 |
实名认证 | 用户和商户账户分开管理； 用户注册账户信息，通过政府部门数据库、商业银行账户信息系统有效验证用户身份基本信息，防止开立假名支付账户； 商户注册时需审核商户经营资质文件，通过官方渠道对商户资质信息进行验证，确保有效核实商户身份。 |
信息绑定 | 绑定手机和邮箱，实时收取账户资金变动和资料修改的信息，便于找回密码 2-20位方便记忆的字符串作为安全问题答案 |
安全提醒 | 转账时，需确认收款人身份和信息；如果出现异常，为核实交易信息，钱包客服人员会与电话确认。 |
开通“手机锁” | 使用场景：余额支付、申请退款、确认收货、退款 当交易金额超过您设置的单笔提醒额度时，则需要输入“短信验证码”和“支付密码”，加强了账户资金的安全性。 |
智能校验 | 百度钱包建立了风控系统进行欺诈、洗钱等风险交易的全方位识别，实现7*24小时人工事中监控。 百度钱包根据用户交易风险判断，在异常发生时进行手机动态验证码校验。 |
在创新安全措施方面，百度钱包在2015年度百度世界大会提出了一些创新的支付技术，但是，尚未在百度钱包中大范围应用。
百度钱包创新安全措施一览表
创新安全措施 | 简介 |
HCE-NFC云支付 | 用户将可以通过绑定使用NFC手机绑定银行卡，在所有线下带NFC功能的POS机上进行刷手机消费。从而使得NFC手机的应用场景变得更加广泛，真正实现“刷手机”体验。 |
AutoAuth静默验证 | 使用静默验证，杜绝验证短信泄露风险，大幅提升到达率，支付验证提速更精准 |
生物识别 | 声纹支付：使用声纹进行支付，将声音转为信号支付密码，提升支付安全性； 指纹支付：使用指纹密码代替数字密码 |
PayPal。
PayPal是一个跨境支付工具，使用邮箱作为收付款账号，实名绑定信用卡，具有担保功能，利用成熟的信用卡机制和完善的信用体系实现移动支付。
PayPal安全措施一览表
安全措施 | 技术简介 |
密码 | 长度：8-20，不可用姓名或邮箱；密码不可单种符号。5次错误，2小时之后解除。两个密保问题 指纹识别，使用场景：账户登陆（可选） |
SSL协议和加密算法 | 2016年6月17日停用SSLv3协议，采用TLS 1.2协议，采用SHA256算法和VeriSign 2048位的G5根证书签名。 |
邮件账户注册 | PayPal采用电子邮件地址作为账号，使用简单的执行密码作为支付的命令和指示。 注册时需要输入联系地址、手机号码 |
身份认证 | 用户可以选择注册个人账户、标准账户和商业账户。需要绑定银行账户或一张信用卡，然后对信用卡账户或银行账户的有效性进行验证，完成用户的身份验证。 |
取消限额设置 | 在中国本地银行无限制，到中国大陆以外的银行则有额度限制。 |
智能校验 | 实时欺诈防护，建立欺诈风险模型和分析工具，实时监测大多数欺诈交易 |
银联“云闪付”。
银联“云闪付”是银联于2015年12月12日推出的移动支付品牌，曾先后推出过两类产品，一是依托市场份额较高的安卓手机系统，特别是国产手机，推出的“HCE+Token”类移动支付产品；二是与国内外主流手机厂商开展的基于“SE+Token”类移动支付产品。Apple Pay、Samsung Pay、Huawei Pay、Mi Pay业已上线。目前，银联正在与各手机厂商和运营商合作，以满足国内不同手机群体的支付需求。具体针对银联“云闪付”产品，其安全措施详见《银联“云闪付”安全措施一览表》。
银联“云闪付”安全措施一览表
安全措施 | 技术简介 |
密码 | 用Touch ID或安卓指纹模块支付 根据苹果官方白皮书，touch id实现是一个基于硬件的指纹识别安全模块，植入在 A7 芯片中， A7 处理器也不能读取这个模块中的数据。而且每次认证过程都在“终端对终端”的加密中进行，同时，指纹信息不会被上传或同步。安卓指纹模块也是类似的实现。 |
SSL协议和加密算法 | 云端支付产品方案在通信通道方面采用双重加密技术，链路层使用TLS/SSL，消息层使用会话密钥加密技术，使所有传输数据均经过双重加密的安全保护 移动应用中的敏感数据也进行加密保护 |
身份认证 | 用户需要绑定银行账户或一张信用卡，然后添加自己的姓名，对信用卡账户或银行账户的有效性进行验证，完成用户的身份验证 使用摄像头扫描银行卡添加卡片 |
安全通知 | 使用手机验证码确认用户开通移动支付业务 |
Token技术 | 实体银行卡账户在手机设备上的映射，支持联机交易，实体银行卡信息不加载至移动设备，仅用于在线验证银行卡信息正确性，仅能在加载设备上使用 |
NFC支付方式 | 使用天线+NFC控制器，近距离非接通讯技术，安全与便捷兼顾 |
智能校验 | 后台风险监控和反制（云安全）。云端支付平台或发卡方可以对交易进行监控，对于异常的可能被攻击的交易可以直接拒绝，如异常情况超出发卡行或云端支付的接收范围，则可以对云端支付卡进行删除或暂停处理。 |
总之，目前中国市场的移动支付业务主要分为两大类，一类以支付宝和微信为代表的扫码支付；另一类以 Apple Pay 和 Samsung Pay 为代表的 NFC 支付。对于各主流移动支付产品，传统的安全策略大同小异，大体包括密码、数字证书、动态口令或手机验证码、实名认证、密保问题、手机邮箱绑定、SSL协议和加密算法以及其他类似支付盾类的安全硬件设备。针对创新安全策略，各类产品的发展趋势不尽相同。
但是，我们观察，创新的安全策略的发展出现两个趋势。一是从数字密码时代，进入生物识别和智能硬件时代，比如支付宝，目前已研发的识别技术包括掌纹、声纹、人脸、笔迹、击键等多项，正在使用的识别技术有指纹识别，同时开发多款智能硬件设备，取代传统密码验证是一个行业趋势，也提高了身份认证和识别的安全性。二是NFC移动支付解决方案正在兴起。NFC是一个近距离非接触的通讯技术，NFC与二维码支付、MST支付的对比情况如下表所示。
NFC与二维码支付、MST支付对比
技术对比 | 现状 | 安全性 | 优点 | 缺点 |
NFC | 苹果华为三星等主流手机支持，市场认知逐渐提升，场景不足 | 可双向通讯传输数据，同时点对点连接也限制了遭到拦截的可能性，安全性高 | 安全、便捷、网络要求低，银联银行主推 | 硬件要求高、产业链长，终端、场景不足 |
二维码 | 微信支付宝推动下，占据主流市场 | 可复制性强，作为单向被读凭证、身份识别标志，安全性较低 | 硬件要求低，所有手机都支持，安全性略低 | 网络要求高，交易速度慢 |
MST | 三星主推，少数厂商正在参与推动 | 磁力安全传输技术，利用可以读磁条卡的读写头，对其发射信号，经过磁头，发射一次性加密密码的信号，安全性较高 | 所有POS支持，无需改造终端 | 支持MST手机少，芯片迁移大背景影响未来发展 |
银联“云闪付”产品就是一个NFC移动支付解决方案，结合了智能手机、IC卡（Token化发卡）和NFC，是一个线上线下一体的随身支付工具。
作者供职于中国银联电子支付研究院、电子商务与电子支付国家工程实验室
版权信息
长按下图，识别图中二维码，关注我们
