基于风险防护的支付安全技术发展研究

　　互联网面临严峻的安全形势

　　（一）互联网安全形势日益严峻，攻击手段复杂多样

　　2014年，连续曝出多个互联网严重漏洞，如OpenSSL的心脏出血(Heartbleed)漏洞、OpenSSL 3.0的贵宾犬漏洞、Linux Bash Shellshock破壳漏洞、Struts2漏洞等重大漏洞先后曝光，受影响的网站、操作系统、硬件设备的范围之广、程度之深，属历年来之最。由漏洞引发的APT（高级可持续性攻击）更加复杂，也更难发现，给互联网发展带来更多安全风险。

　　（二）移动互联网更加普及，移动设备安全风险受到广泛关注

　　腾讯公司年初发布《雷霆行动网络黑产年度报告》显示，过去一年每天就有54万人手机中毒，2014年移动端新增支付病毒是2013年的3倍，每天有4.27万个移动设备被支付类病毒感染。通过病毒感染用户移动设备，获取用户个人信息进而控制手机、盗取财产，给用户的财产安全、人身安全带来极大威胁。

　　（三）网络黑色产业链肆虐，倒买倒卖个人信息实施诈骗

　　2014年网络黑色产业链已经从过去的黑客攻击模式转化成为犯罪分子的敛财工具，呈现出明显的产业化趋势。犯罪分子通过盗取多个网站数据库，来获取网民个人信息和银行卡资料。同时，网络黑产人员对用户手机进行攻击，通过发送诈骗短信、诱导用户下载安装木马病毒，窃取个人信息，并利用掌握的个人信息实施欺诈。

　　支付安全所面临的风险分析

　　在移动互联网全球化发展趋势下，安全风险无处不在、无时不在，在银行卡支付领域，由于涉及持卡人账户资金，更容易受到外部环境的影响，引发支付安全风险。

　　（一）数据泄漏

　　由于互联网漏洞频发及其危害性，越来越多的网站受到数据泄漏的影响，仅2014年一年，国内外就发生多起信息泄漏事件，并波及支付领域。互联网支付、移动支付过程中，涉及银行卡卡号、支付密码、卡片校验码、卡片有效期等账户信息，各类电商网站、在线支付平台为了方便用户支付，一般均留存了这些账户信息，在安全防护措施不足的情况下，则存在信息泄漏的风险。在国外，PCI（VISA等组成的支付安全组织）早已发布了PCI DSS数据安全标准，要求收单机构、商户按照标准执行，为了降低数据泄漏的风险，境外商户均主动通过PCI安全检测，确保其存储的账户信息的安全。而国内，国家层面虽已制定发布《信息安全技术公共及商用服务信息系统个人信息保护指南》，但针对实施的具体要求、检测机制、法律法规还需要进一步完善。

　　除了网站平台泄漏用户信息外，钓鱼网站、欺诈电话、非法邮件也成为诱骗用户泄漏个人账户信息的主要渠道。

　　（二）身份仿冒

　　在犯罪分子获取用户的用户信息后，就能伪造用户身份进行网上支付，主要有以下方式：

　　利用撞库等非法渠道获取的用户身份信息、银行卡信息，登录电商网站伪造用户网上支付的身份；

　　利用伪基站或者手机端恶意控制程序，获取短信验证码信息，伪造用户身份；

　　利用手机端木马，窃取用户身份信息，仿冒用户身份。

　　（三）交易欺诈

　　犯罪分子窃取用户账户信息后，在电商网站、支付平台风险防控手段有限的情况下，容易伪造用户身份，实施交易欺诈。中国银联年初发布的《2014年移动互联网支付安全调查报告》显示，被调查者中约10%的持卡人在网购时曾遇过网上欺诈，欺诈份子以各类借口试图引诱其进行转账汇款。在遭受欺诈的调查者中，58%的受访者表示其受骗金额低于500元，低于500元的欺诈案件由于达不到公安立案金额，损失向欺诈分子追回的比例较低，致使用户财产安全受到影响。

　　基于风险防护的支付安全技术

　　在银行卡交易过程中，应该采用基于风险防护的支付安全技术保障交易安全，做到事前防护风险、事中监测风险、事后响应风险。

　　（一）事前风险防护技术

　　对于支付安全风险的防护，事前的防控技术尤为重要。采取加密、支付标记化等技术，就能有效地防止数据泄密。

　　1、支付标记化技术

　　支付标记化技术用一串数替换了现有卡号，并限定了这一串数泄露后被用于欺诈的交易场景、使用范围。EMVCo于2014年3月发布了标记化技术框架，提出了与现有业务模式兼容的标记化应用流程，将标记化应用在线上商户、数字钱包、NFC支付以及二维码支付等领域，有效地降低了无卡交易欺诈，成功用于苹果支付。采用标记化技术避免把卡号直接留存终端设备、商户系统，即使黑客获取了支付标记也没法使用，支付标记泄漏没有影响。金融机构可以通过为用户重新分配一个新的支付标记，避免重新发卡、大大降低成本，也使得移动支付更安全和便捷。

　　目前，中国银联已经建立了支付标记化服务系统（TSP），可面向金融机构、商户提供支付标记化服务，帮助机构在发展创新业务的同时，保障银行卡信息安全。

　　2、端到端加密技术

　　端到端加密技术要求在交易发起时，敏感账户信息能在安全的终端中实现加密，在交易的必经环节（商户、收单机构、卡组织、发卡机构等）能在安全的环境中进行加密转换、解密或者密文验证，用于加解密的密钥需要实现安全存储和时效性要求。加密技术并不是新的技术，但真正要做到安全加密，既要有可靠密码算法的支撑，也要达到足够的加密强度，还要能保障密钥的存储安全。在此基础上，端到端加密还需要支付环节与环节之间有效衔接，做到所有环节信息存储、信息传输的加密保护。

　　（二）事中风险监测技术

　　1、多元化、基于风险评估的身份认证技术

　　真实、有效的身份认证是交易授权的保障。在交易过程中，选择与业务匹配的的身份认证模式判断用户身份的真实性，监测伪造身份的风险，为交易授权提供依据。

　　对于线下有卡支付，其安全性主要取决于能否有效实现对用户身份真实性、卡片真实性以及交易真实性的鉴别。其中，对于用户身份真实性的鉴别，需要通过两个要素来确定：第一，用户拥有属于自己的银行卡；第二，用户拥有银行卡口令。对于卡片的真实性，其本身的安全性决定了其防复制的可能性。磁条卡的卡片特性决定了容易被伪造，而新一代的金融IC卡，采用安全芯片以及非对称密码算法实现动态认证，可以有效防止信息被复制、制造伪卡。对于交易的真实性，通过交易过程中对关键数据的加密（PIN加密、报文完整性校验等）来保证交易中的数据未被篡改且真实发生过。

　　对于线上无卡支付，用户、银行、商户均隐藏在网络背后，如何验证用户的身份、防止交易抵赖与欺诈，已经成为了用户能够信赖接受银行卡创新支付手段的关键。在未来的支付领域，基于密码的身份认证方式将逐步被取代，取而代之的是多样化、智能化的身份认证模式。

　　尤其是进入移动互联网时代，参与认证的信息逐渐拓宽至持卡人随身使用的移动终端、智能设备。用户在支付过程中所使用终端的参数信息可以被应用程序所采集，后台系统智能学习后，基于特定的算法产生唯一的“设备指纹”，具备了对用户设备进行认证的能力。此外，持卡人的行为特征也可被采集作为重要的认证信息，系统通过记录、识别用户的日常支付场景和消费习惯，形成了用户独有的行为模型，也可以辅助进行用户身份认证。上述模式下，由移动终端上的应用程序自动采集信息，后台系统进行评估分析，简化了用户的身份认证。当后台系统评估发现设备指纹或者用户行为特征发生变化时，才会要求用户提供其它认证信息对用户身份确认，这就是“基于风险评估的身份认证”（Risk-Based Authentication）。

　　2、实时交易风险监测技术

　　实时的交易风险监测是发现、控制欺诈交易风险的重要手段，主要包括以下核心技术：

　　用户数据采集：在用户网上购物、支付过程中，将产生海量数据，主要包括用户设备数据、用户行为数据、用户交易数据、用户商品信息等，这些数据存储下来，作为风险监测与分析的基础数据。

　　智能化风险分析：在大数据收集、存储的基础上，需要建立智能化的大数据分析引擎，智能地学习、分析数据，建立相应的风险分析模型，形成欺诈交易的特征库及黑名单。

　　实时欺诈交易拦截：对于线下有卡支付，采用IC卡芯片安全技术后，伪卡交易得到有效控制。对于线上的无卡交易，由于移动终端、联网PC终端所面临的安全风险，容易引发欺诈交易，应针对每笔上送的互联网支付、移动支付交易，对照已经建立的风险模型、设立的风险规则以及黑名单，鉴别是否为欺诈交易，在判别为欺诈交易时，应进行实时交易拦截。

　　实时交易风险监测需要在交易过程中给予快速评估分析，给出结论是否进行交易授权。因此一方面，对风险分析引擎的智能化程度要求较高，要求具备其强大的自学习能力和高效的风险分析规则；另一方面，实时交易风险监测对系统性能的要求极高，在处理性能上必须能达到毫秒级。从目前的技术发展趋势来看，采用大数据的存储架构以及云计算的处理机制是高效进行风险分析的最优方案。

　　（三）事后风险响应技术

　　事前的风险防护和事中的风险监测能控制大多数的交易风险，但仍然不能完全避免交易风险的发生。在交易风险事件发生后，可以通过风险响应技术进行及时处置，尽量减少用户损失。

　　实时通知：在确认欺诈交易后，风险系统实时通知商户进行货物拦截，减少用户损失；实时通知银行、公安机关，协同对犯罪进行侦查。

　　特征库更新：在确认欺诈交易后，系统实时更新交易黑名单，并更新相应的风险特征库。

　　伴随移动互联网的发展，线上和线下逐渐融合，移动终端将成为未来网上购物、支付的主要载体。在支付创新的同时，支付安全已经得到普遍关注，正在逐步摒弃以等待风险发生、事后风险处置为主的被动做法，向基于风险防范的整体安全保障方向发展。支付标记化、端到端加密、身份认证、实时风险监测等技术将成为未来保障支付安全的核心技术。只有支付产业的参与各方共同关注、积极实践、形成合力，才能真正保障持卡人安全用卡、放心支付。

　　除了网站平台泄露用户信息外，钓鱼网站、欺诈电话、非法邮件也成为诈骗用户泄漏个人账户信息的主要渠道。

　　文/赵海 陈芳 周皓