移動電子商務安全支付解決方案

[摘要] 移動電子商務是傳統電子商務的一種創新營利模式，移動電子商務除了存在傳統電子商務未能解決的障礙，如支付、配送、費用高等問題外，安全性問題尤其顯得突出。針對移動商務的支付現狀，提出了以移動支付中心為核心的移動電子商務安全支付方案。

[關鍵詞] 移動商務 現狀 支付 安全

移動商務就是在交易活動中用手機、掌上電腦、筆記本電腦作為支付手段，通過短信、WAP、IVR等方式，使用移動話費或使用信用卡做為支付資金，完成購物、繳費、銀行轉賬等商務活動。經過手機投注、網上購買游戲卡、移動夢網和手機支付水電費燃氣費等商務活動，移動商務逐漸走進了普通百姓的生活。由于手機用戶可以隨時隨地進行購物和支付，不再受時間和地域限制，被認為將成為今后消費方式的一大主流。

目前我國銀行系統的發卡量累計已超過7.6億，移動電話用戶數量已接近4億，而且大部分移動手機用戶擁有一張或多張銀行卡。根據CCNIC2006年調查報告，我國上網用戶總數為1.23億人，其中使用手機上網的網民大概有1500萬。而且，中國網民70%集中在收入1500元以下、年齡30歲以下的人群中，而手機用戶中基本包含了消費群體中高端用戶，如早期使用一萬多元大哥大的手機用戶；另一個原因，無線網絡覆蓋面廣，從城市到鄉村，都可以使用手機。因此，不論用戶數量還是用戶資金實力，移動電子商務都遠遠高于傳統電子商務。如此巨大的手機消費群體和銀行卡持有者數量，對于移動商務來說無疑是一個巨大的“金礦”。

但是，在移動電子商務發展過程中，由于中國網絡環境的特殊，移動電子商務除了存在傳統電子商務未能解決的障礙，如支付、配送、費用高等問題外，安全性問題尤其顯得突出，成為制約移動電子商務的瓶頸問題。

一、移動商務安全性支付問題

首先，手機加密能力低。由于手機的運算能力低內存小，加上帶寬小容易掉失數據，所以無法運行太復雜加密算法，造成數據保密低，也無法傳遞大量數據。

其次，手機信息在空中極容易被被攔截。網上經常有人叫賣”監聽王(GSM/CDMA多信道移動電話攔截系統)裝置”，喧稱:”監聽地點沒有限制，能在任何地點，包括車載移動手機空中攔截；監聽數量多，可以同時監聽20個手機號碼；監聽范圍廣，可以顯示手機的短信息內容和來電號碼；并且可以將監聽到的信息錄音并存于硬盤，以做證據之用。”這種宣傳有水分，但明白不誤地告訴我們，手機信息可被攔截；我們使用手機支付的信用卡數據同樣也可被攔截。

再加上不法分子千方百計企圖偷盜消費者的賬號密碼。例如冒充銀行發詐騙短信。“您好！你的信用卡于×××商城刷卡消費2000元，此筆消費將從您賬上扣除。如有疑問請撥3888×××銀聯聯合管理局。”不法分子用此類短信告知用戶無中生有的消費，要求用戶確認。用戶情急之中查詢，結果把自己的賬號密碼泄露，造成信用卡里的錢被不法分子盜取。

因此，當移動商務流行時，不法分子極有可能使用移動電話攔截器，監聽移動手機使用信用卡支付信息，想方設法加以破解。

二、移動電子商務安全支付方案

解決移動電子商務安全支付問題，我們可以采用國際上比較成熟的解決方案，如愛立信公司的移動電子商務解決方案（Mobile E-Pay）、HP為企業提供的全系開移動E-Services解決方案等；同時，我們更鼓勵自主推出一些安全支付的解決方案。下面，提出一種以移動安全中心為核心的一套移動電子商務解決方案：

1.初始化

顧客、商家、移動支付中心分別到權威認證機構申請證書，生成數字證書和公鑰私鑰。

顧客在商家電子商務網站注冊賬號，并確定支付方式為手機話費，以及支付手機號；商家通過短信，確認手機主人身份。

顧客在移動支付中心以實名手機信息注冊，并與移動支付中心交換證書和公鑰。實名手機信息內容有：手機號碼、姓名、身份證號碼、固定電話號碼、住址、郵政編碼。其次，在銀聯系統進行手機與信用卡帳號綁定，一旦手機話費余額不足時，可快速充值。

商家也在移動支付中心注冊賬號，并與中心交換證書和公鑰。

顧客和商家拿移動支付中心證書、移動支付中心拿顧客和商家的證書到權威注冊機構驗證，確保正確無誤。

2.手機交易安全支付流程

（1）顧客使用手機瀏覽商務網站選擇商品，將商品信息、用戶編號、交貨地址、使用移動話費支付方式等購買信息發給商家。商品信息包含內容：商品名稱、規格、數量、價格、購買時間。

（2）商家收到購買信息后，產生訂單合同，并同時產生惟一的交易合同號。然后商家將訂單合同信息、交易合同號發給顧客，訂單合同信息包含內容：商品名稱、規格、數量、價格、運送方式（平郵或快郵）、總金額、交貨地址。

（3）商家將訂單合同信息、交易合同號、顧客手機號碼，以及訂貨合同數字簽名，使用DES對稱加密形成請求支付信息，再把DES密碼使用移動支付中心公鑰加密，然后一起發送到移動支付中心。

（4）移動支付中心：

首先，使用私鑰解出DES密碼，使用DES解密算法解出訂貨合同。

其次，將訂貨合同、顧客現有話費（如果話費不足，加上提示），使用DES加密，再把DES密碼使用顧客公鑰加密，形成請求確認合同信息。把請求確認合同信息發到顧客手機上。

然后把交易合同寫入移動支付中心的記錄交易的網站中，以便顧客商家查詢和檢查交易進展。

如果沒有收到顧客確認合同信息，則拒絕交易，購買過程到此終止。

（5）顧客首先對請求確認合同信息解密，確認訂貨合同無誤。

如果顧客看到話費不夠，顧客把銀行信用卡號、密碼、轉賬命令以及個人證書使用私鑰簽名，再用銀行公鑰加密，發送轉賬短信到銀行。銀行根據轉賬短信，把錢轉到移動支付中心的顧客賬號中。

其次，對合同進行確認。把確認合同信息以及訂貨合同號使用顧客私鑰加密，通過手機發送到移動支付中心。

（6）移動支付中心使用顧客公鑰解密確認合同信息，從顧客賬號中預扣貨款；使用移動支付中心私鑰加密請求發貨通知，并把發貨通知發給商家。

（7）商家根據通知發貨，使用短信通知顧客收貨，同時把訂單合同號，貨已發等信息加密后發送到移動支付中心。

（8）顧客收到貨后進行驗收，驗收通過，把訂貨合同號、交易成功短信使用顧客私鑰加密，使用手機向移動支付中心發送交易成功短信。

如果驗收不合格，將貨寄回商家，同時向移動支付中心發送交易不成功短信，并同時向商家和移動支付中心闡明交易不成功理由。如果顧客在規定時間內沒有向移動支付中心發出交易成功或交易不成功信息，則移動支付中心自動按交易成功處理。

（9）移動支付中心收到交易成功短信后，將貨款匯到商家賬戶。

（10）商家被退貨到手后，向移動支付中心發出同意退款短信。移動支付中心將預扣款退回顧客賬戶里。

（11）商家和顧客在交易完后均須在移動支付中心記錄交易網站對對方作出評價，累積誠信積分。

移動支付中心根據顧客支付額度給予積分，從積分上給予顧客優惠話費，以降低交易成本。

至此完成交易過程。

三、移動電子商務安全支付方案可行性分析:

1.方案優點

（1）移動支付中心為紐帶的安全性高。在整個支付過程中，移動支付中心的支付管理系統是一個核心紐帶，它完成對顧客商家身份確認、監督商家發貨、代扣顧客貨款等業務。

當顧客發出確認合同和交易成功信息時，顧客的短信只傳到移動支付中心，而不是商家系統。移動支付中心只能知道顧客賬戶的話費可用金額，用于判斷顧客是否有足夠的余額進行購買。

顧客的開戶行賬號詳細信息只由金融機構進行管理。當移動話費不足時，顧客發送轉賬指令到銀行。根據顧客指令，由銀行進行銀行賬戶轉賬、支付和清算。移動支付中心不能處理顧客的銀行賬戶，商家更不可以進行顧客的銀行賬戶處理。這樣，避免了顧客信用卡賬號被欺騙的可能性。同時，由于顧客的個人重要資料不是存放在商家系統中，也保護了顧客的隱私。

另外，交易過程中，移動支付中心首先暫替商家扣下貨款，保障了商家的權益；所暫扣話費沒有直接交給商家，而是等顧客驗收完貨物后，才轉給商家，同樣也保障了顧客權益。

（2）重要數據的機密性。為防止重要數據被非法用戶所截獲，使用了加密的手段實現保密，從而確保在傳遞過程中，只有顧客、商家、移動支付中心知道交易的內容。使用加密技術，手機在傳送顧客證書，傳送顧客的銀行賬號和口令，以及傳送各種個人的機密敏感信息，不會被輕易破譯或盜用。

（3）完整性。使用加密技術和以移動支付中心為紐帶，可以防止其他方或非法入侵者對交易的內容進行修改，同時保障交易雙方權益。

（4）身份可確認性。通過數字證書驗證，確保交易雙方身份認證，防止欺詐行為的產生。顧客的身份還可以通過手機卡號確認。手機卡可以做到惟一和專屬又不受時空限制，除移動通信服務商之外的其他機構或個人無法復制有效的同號手機卡。退一步講，即便同號手機卡被人復制，通過移動網絡控制中心也是很容易被發現的。何況還有賬號和密碼的保護。因此，該方案是安全可靠的。

2.方案缺點

（1）步驟復雜。由于方案中采用商家發訂單合同到移動支付中心，移動支付中心把訂單合同再轉發給顧客手機，然后經過顧客使用手機確認訂單合同后，移動中心才能告訴商家:貨款己扣。還需要雙方對購物對方評價，這對想馬上支付的交易來說:步驟多，過程復雜。

（2）傳遞數據比較多。本來手機速度慢帶寬小，容易丟失數據，現在需要對傳遞指令和證書進行加密，并把它們傳送到移動支付中心，對手機的處理能力是一個考驗。

四、結論

與我國傳統電子商務整體發展水平偏低的狀況相比，中國移動電子商務的前景樂觀得多，在移動電子商務發展過程中，如果解決商務安全和費用高的問題，讓人們對既安全又快捷還實惠的移動商務有充分認識，就會喜歡使用移動商務，那么4億多中高端手機用戶是多么大的消費能力。

所以，對于移動商務，雖然前面有艱難險阻，但希望在前面不遠處。

本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文。