防護移動支付巨大風險的研究

王歡

互聯網時代，移動支付給我們帶來便捷生活的同時，各種安全問題也一直困擾著數以億計的用戶，雖然手機安全軟件行業正在快速發展，但龐大的用戶數量以及用戶安全意識的相對薄弱，使得中國智能手機用戶面臨著嚴重的移動安全威脅，中國移動支付現狀不容樂觀。

移動支付的巨大風險

近年來，移動支付所導致的個人財產損失問題變得日益突出，引起社會各方的格外關注。有數據表明，2015年新增支付類病毒超過32.6萬，全年被支付類病毒感染的用戶高達2505萬，約占中國手機網民的四成，平均每天就有81000手機用戶面臨支付隱患，遭受支付類病毒侵害。日益突出的移動支付風險形式主要有以下幾類：

手機支付類病毒越來越高危化、智能化，黑客利用短信或其他方式植入盜號木馬后，可以通過后臺程序直接獲取機主的支付賬號和密碼。這類木馬病毒并不破壞手機系統，而是直接以竊取支付賬號和口令為目的。木馬運行時以看似正常的系統進程在后臺運行，耗用網絡流量也很小，不易被安全軟件查殺。其識別體系尤其針對支付寶、微信支付、百度錢包以及各大銀行的手機銀行、網銀等。國內各省地區，越來越多地涌出用戶賬號密碼泄露或綁定銀行卡后被盜刷和轉賬的案件。

“仿冒”的銀行APP、電商、支付類APP散布在各個中小型的應用市場，一旦點擊下載，就會觸發進入黑客操控的支付流程。制作一個app以及架設一個后臺服務器并不是很復雜的工作。對于別有用心的盜號黑客，模仿網上銀行App、電商支付類App的圖文樣式，制作一個“一模一樣”的偽App易如反掌。雖然這類偽App很難進入蘋果的App store和正規的審核嚴密的安卓應用市場，但上傳到一些中小型安卓應用市場還是比較容易的，甚至這類應用市場網站本身就可能是仿冒的。一旦用戶輕信，下載安裝了這類“偽支付App”，然后填入賬號和密碼，就立即會傳回黑客部署的服務器，賬戶中的資金很快會被轉移或提取。

黑客利用“撞庫”的方法，獲取用戶支付賬號和密碼。許多人為了方便，防止賬號密碼遺忘，對很多應用使用同樣的用戶名和口令，比如論壇、微博、qq、網銀、支付寶，都使用同樣的一對用戶名加口令。這樣，一旦某個應用的服務器被“暴庫”（用戶信息庫被內部網管或黑客直接取得），那么竊號者就可以用“撞庫”的方法，用獲得的用戶名和口令去試網銀和支付寶等移動支付應用。根據實際案件的調查統計，此類成功率非常之高。

由于調查難、取證難、破案率低，“網絡支付”安全案件已經成為各地公安部門棘手的案件類別。其中，“移動支付”比例也隨之逐年上升。移動支付面臨著巨大風險，如何保障支付安全成為手機用戶最為關心的話題。

單一身份認證的種類及缺陷

“身份認證”技術是信息安全理論技術的一個重要分支，是移動支付業務流程中最重要的環節之一。身份認證的目的是驗證通訊雙方的真實身份，防止非授權用戶進入移動支付系統。在網絡通信過程中，進行通信的各方都需要通過某種形式的身份認證機制來證明他們的身份。在移動支付領域，目前常用的身份認證包括：靜態口令認證、動態口令認證、短信密碼認證等。

其中，靜態口令認證是指用戶事先設置登陸的用戶名和密碼，電子商務系統或網銀系統通過驗證用戶名和密碼來確定用戶身份，完成相應的支付和轉賬操作；動態口令認證是用戶登陸密碼按照一定的時間周期隨機生成，通過動態令牌生成動態口令，每次不一樣；短信密碼認證是電子商務系統或網銀系統實時發送一個短信密碼到注冊用戶事先登記的手機號中，用戶輸入該短信密碼作為自己的身份認證信息。

以上幾種常用的“身份認證”都屬于“單一身份認證”體系，任何一種單一身份認證體系都存在一定的安全隱患。即“口令決定了安全性”，一旦口令泄漏，用戶即可被仿冒登陸：用戶名、口令容易被猜測或遭到“撞庫”；用戶名、口令在傳輸過程中容易被截取；只能單向認證，即支付系統對用戶進行認證，用戶無法對支付系統進行認證識別其合法性。

“多重身份認證”保障安全

在“單一身份認證”的基礎上，采用“多重身份認證”可以極大地提高移動網絡支付的安全認證等級。按照“多重身份認證”的要求，在進行用戶登錄認證的過程中，須同時提交兩個以上的身份認證信息，基本的有以下幾類：

你知道什么？（比如密碼）；

你持有什么？（比如密碼芯片卡）

你個人獨有什么？（比如指紋）

在多重身份認證體系中，在對用戶進行賬號口令識別的同時，還要進行其他至少一層以上的獨立認證，典型的應用如下：

帶動態PIN生成器的硬件令牌。這種硬件令牌效果明顯且容易擴展，且價格也便宜。移動支付機構在用戶申請移動支付賬戶時就配備給用戶，它可以被設定為一定頻率自動更新動態PIN碼。用戶在進行移動支付前必須輸入這個動態PIN碼。

帶智能芯片的加密TF卡。這種TF卡是在普通存儲卡的基礎上，集成了智能識別芯片，且局部存儲區域是只讀的，可保證TF卡的安全性。在用戶的智能手機中插入此TF卡，移動支付app就能對手機進行基于硬件的身份識別。

生物識別系統。目前，技術已經較為成熟的生物識別系統包括：指紋識別芯片、視網膜識別系統、聲音校驗、電子簽名識別、臉部識別系統。

基于智能手機上，攝像頭、麥克風、劃屏等功能都是現成集成的，所以從技術上和設備在手機等移動智能終端進行生物識別身份認證系統已經成熟。盡管各種生物識別系統還有一定的缺陷，但作為多重身份認證的輔助識別系統，還是較為有效的方式。

智能安全TF卡應用在身份認證中

大多數智能手機可以外接TF卡作為擴展應用使用。普通的TF卡僅作為存儲擴展之用，但智能TF卡由于集成了CPU處理器、只讀ROM存儲單元，所以可以作為一種有效的身份認證識別系統，作為移動支付系統中，多重身份認證的有效手段。

目前，典型的“安全智能TF卡”基本功能包括：采用符合國密算法的32位信息安全芯片進行設計，支持國家商用密碼管理局SM1、SM2、SM3、SM4、SM6以及國際通用的RSA、DES、AES加密算法。安全TF卡中集成了智能芯片，可以應對來自外部的惡意攻擊，包括密碼窮舉攻擊，光照、不穩定電壓/頻率、剝蝕芯片等物理攻擊。

在移動支付應用系統開發中，可以用此類安全TF卡實現身份鑒別功能，作為“賬戶+口令”之外的多重身份識別模塊。如：綁定支付賬號，實現一卡一賬號驗證；賬號、口令加密傳輸，密鑰存儲在安全TF卡內；移動支付中的數字簽名及認證。

移動支付系統如果采用了安全TF卡作為第二重身份認證，首選可以保證用戶身份驗證的有效性，其次可以實現移動支付的手機終端與應用服務器之間通訊的數據包加密傳輸，即使數據在傳輸過程中被竊取，黑客也極難破解數據包中的內容，獲得用戶賬號、口令、金額、賬戶等信息。

總而言之，在移動支付日益發展的今天，銀行和其他金融機構需要采取行動，實現安全的多重身份認證系統，這對保護用戶的賬戶安全是至關重要的。市面上有許多不同的方案可供選擇，如上面提到的“智能安全TF卡”。即使普通的移動支付應用提供者也能夠添加額外的認證因素，從而驗證使用網銀和其他移動支付應用的用戶是否合法。如果用戶的財產安全得不到保障，支付系統將面臨因不遵守相關規定而被懲罰的風險，并需承擔相應的賠償責任，同時這還會使得消費者對他們的支付系統缺乏信心，從而會大大地影響移動支付的應用前景。

（作者單位：浙江省杭州市保密技術檢查中心）