手機支付安全研究

趙慶蘭

（西安郵電大學 通信與信息工程學院，陜西 西安 710121）

手機支付安全研究

趙慶蘭

（西安郵電大學 通信與信息工程學院，陜西 西安 710121）

針對手機支付安全問題，通過介紹手機的現場支付和遠場支付業(yè)務，分析了手機終端、無線網絡、支付平臺所面臨的安全威脅，提出了解決手機支付安全問題的安全框架。該安全框架通過綜合應用密碼技術、訪問控制、安全協議、安全審計等4種安全技術手段和手機終端安全管理策略、通信傳輸安全管理策略、支付平臺安全管理策略等3種安全管理策略為保障手機支付的安全提供了一種解決方案。

手機支付；第三方支付；安全威脅；安全策略

手機支付也稱移動支付，是一種允許用戶使用其移動終端對所消費的商品或服務支付的服務方式[1]。從2003年開始，國內的移動通信運營商看到了手機支付市場的巨大潛力，牽頭搭建了以移動運營商、銀行和第三方支付服務運營商為主體的手機支付產業(yè)鏈[2]。但由于手機功能、移動網絡帶寬等的限制，致使在前些年移動支付業(yè)務發(fā)展比較緩慢。 而在今年年初，市場研究和咨詢公司Gartner發(fā)布最新調查報告，中國手機用戶總數在2013年首次超過10億。Gartner分析師預測，2014年，中國市場上將銷售4.435億部手機，而使用中的手機將超過10.75億部。根據360發(fā)布的2014年第一期的中國手機支付的安全報告顯示，截至2013年12月底，手機支付用戶規(guī)模達到1.25億，同比增長了126.0%，占手機網民總量的25.0%。手機支付用戶的增長速度遠遠高于網民總規(guī)模的增長速度和手機網民規(guī)模的增長速度，這標志著移動支付的時代已經到來。

由于智能手機系統(tǒng)的某些先天性不足，移動支付安全一直受到手機安全漏洞和各類手機木馬的威脅。此外，手機還是傳統(tǒng)網上支付（PC端）的重要驗證途徑和消費通知途徑，也是各類詐騙短信攻擊的目標。與此同時，相對于有線網絡的連接方式，無線網絡沒有特定的界限，竊聽者無需進行搭線就可以輕易獲得無線網絡信號[3]。盡管目前所有的移動支付產品都非常重視支付的安全性，但移動支付的安全性問題仍然存在很多隱患，因此，我們有必要對移動支付的安全性進行分析研究，并通過應用各種技術手段來提供相應的解決方案。

1 手機支付業(yè)務分類

手機支付從支付場景來看可分為遠場支付和現場支付。

1.1 遠程支付

遠場支付的處理是在遠程服務器中進行的，支付的信息需通過移動網絡傳送到遠程服務器中才可完成支付過程。用戶可通過SMS、WAP、USSD等方式購買商品或服務。

其支付方式主要包括以下3種：

1）SMS（Short Message Service，短消息業(yè)務）。 終端用戶通過發(fā)送短信息的方式請求服務內容，從用戶的話費中扣除費用。它通常只適合于小額支付，如：利用短信支付服務進行彩玲下載等。

2）WAP（Wireless Application Protocol，無線應用通訊）。終端用戶通過訪問WAP站點，進行簡單的金融業(yè)務，用戶可通過手機上網進行遠程操作。如：在互聯網上進行購物、繳話費、水費、電費、燃氣費等。

3）USSD（Unstructured Supplementary ServiceData，非結構話補充數據業(yè)務）。是一種基于GSM網絡的新型交互式數據業(yè)務，如證券交易、移動銀行等。

1.2 現場支付

現場支付是指客戶在購買商品或服務時，實時通過手機終端來向商家進行支付，支付的處理是在現場進行的。

其支付方式主要包括以下3種：

1）短距離通訊（Near Field Communication，NFC），又稱近距離無線通信。是一種短距離的高頻無線通信技術。NFC技術提供了一種簡單、觸控式的解決方案，可以讓消費者簡單直觀地交換信息、訪問內容與服務。諸如坐地鐵、公交等可以直接刷手機通過NFC通信芯片綁定的賬戶直接支付。

2）雙界面SIM技術。雙界面SIM卡技術即SIMpass卡技術，是一種多功能的SIM卡，支持接觸與非接觸兩個工作接口，接觸界面實現SIM功能，非接觸界面實現支付功能。其優(yōu)勢是不需要對手機進行任何改造，只增加了一個天線組件。缺點是天線占用了SIM卡中用于OTA（Over the Air，空中下載）業(yè)務的接口，對運營商的網絡造成一定壓力。另外，發(fā)卡后，卡片內部加載新的應用不是很方便，卡片不支持第三方開發(fā)的應用加載等。

3）RF-SIM卡技術，RF-SIM卡 （Radio Frequency Subscriber Identity Module）實現移動通信的同時能夠通過附于其上的RFID模塊、讀卡器與天線進行近距離無線通信。通信距離范圍在10-500 cm內。優(yōu)點是用戶更換原有SIM卡即可，無需更換手機。缺點是RF-SIM技術采用2.4 GHz通信頻率，與銀行目前基于13.56 MHz的NFC標準相沖突。

2 手機支付存在的安全威脅

手機支付的兩種方式中，現場支付由于其現場通信的特性，使得交易中數據難以被盜取，安全性比遠程支付較好一點，而相比現場支付，遠程支付因涉及到數據的遠程傳輸，因此對支付平臺在數據傳輸、驗證、加密等方面有更高要求.手機支付安全威脅可分為3方面。

2.1 手機終端面臨的安全威脅

2 .1 .1 一般性安全威脅

手機支付終端面臨的一般性安全威脅包括4個方面[4]：

1）空中接口的安全威脅

當用戶數據經由通話、短信等方式傳輸時，用戶私密信息面臨被截獲和竊取的風險。

2）外圍接口的安全威脅

手機支持的外圍接口包括藍牙、紅外、USB、NFC等。這些外圍接口的存在為非法的數據訪問和傳輸提供了渠道，還可能導致手機病毒的傳播，直接威脅手機上的數據的安全。

3）信息存儲的安全威脅

手機及其附屬的存儲卡上存儲著通訊錄、短消息、日程安排、支付卡號等各種私密信息。

當手機或存儲卡發(fā)生借用、維修、更換等情況時，存儲信息的安全性就會受到威脅。即便可以刪除信息，但刪除可能不夠徹底。

4）系統(tǒng)漏洞和刷機的安全威脅

和PC類似，手機的操作系統(tǒng)也存在各種各樣的潛在漏洞，可能涉及硬件、軟件、協議等方面。在漏洞被發(fā)現后、被修復前，存在著被攻擊者惡意利用的可能。

刷機指通過更改或替換手機原版系統(tǒng)中固有的一些語言、軟件版本或操作系統(tǒng)等使手機功能更完善，但是這些修改在很大程度上破壞了手機操作系統(tǒng)本來就不是十分可靠的安全體系，使得病毒程序和惡意代碼有了可乘之機。

2 .1 .2 支付應用特定的安全威脅

1）修改支付應用進行攻擊

隨著反編譯技術的發(fā)展，攻擊者在獲取原版支付應用的可執(zhí)行程序后，通過反編譯、分析二進制代碼等技術手段對支付應用進行解析，然后對某些內容進行修改，加入竊取私密信息的惡意代碼，重新生成一個可執(zhí)行程序，用戶看起來沒有什么差異。

2）植入惡意程序進行攻擊

惡意程序被植入手機后，往往在后臺運行，用戶不會有感覺。惡意程序通過讀取支付應用的相關數據、捕捉輸入鍵盤的輸入內容等手段，竊取用戶輸入的敏感數據，如銀行卡號、PIN碼等。

2.2 無線網絡的安全威脅

由于自身的限制，無線通信網絡在給用戶帶來通信自由和靈活性的同時也帶來了諸多不安全因素。無線通信網絡無法像有線網絡那樣依靠信道的安全加以保護。攻擊者正是利用此點假冒某合法用戶的身份，或通過對傳輸媒介的監(jiān)聽，非法獲取傳輸信息，打到破壞的目的。

此外，手機支付涉及到很多無線網絡標準，其中使用較廣泛的是實現手機無線訪問因特網的WAP標準和構建WLAN（無線局域網）的802.11標準。WAP中WTLS（無線傳輸層安全）協議僅僅加密有WAP設備到WAP網關的數據，數據通過SSL傳送至網關上有短暫的時間處于明文狀態(tài)；802.11標準使用的WEP（無線等效協議）安全機制存在密鑰容易泄露且難以管理等缺陷；這些缺陷容易造成數據被攔截和竊取，給手機支付的應用帶來了很大的安全隱患。

2.3 支付平臺運營管理漏洞造成的安全威脅

手機支付平臺中各核心服務器、網管服務器、安全服務器、業(yè)務前置機器以及相關管理工作站，都可能由于系統(tǒng)軟件故障、系統(tǒng)安全漏洞、拒絕服務、操作失誤、非授權訪問、病毒蠕蟲等原因導致系統(tǒng)破壞。

3 手機支付的安全框架

針對上述提出的安全威脅，提出一種解決手機支付安全問題的安全框架，以降低手機支付業(yè)務的風險，減少其危害和損失。該框架針對手機支付面臨的安全威脅，從手機終端，通信網絡和支付平臺3個層面實施不同的安全管理策略，并在不同層面應用多種安全技術全面保障手機支付的安全，常用的安全技術包括密碼技術、訪問控制、安全協議、安全審計以及入侵檢測和防病毒技術?？蚣芙Y構如圖1所示。

3.1 安全技術

3 .1 .1 密碼技術

圖1 手機支付安全框架Fig.1 Security framework of mobile payment

數據加密技術是指將一個信息——稱為明文，經過加密鑰匙及加密函數轉換，變成無意義的密文，而接收方則將此密文經過解密函數、解密鑰匙還原成明文。根據密鑰使用方式的不同，密碼體制可分為對稱密碼體制和非對稱密碼體制。針對手機終端具有硬件成本低、網絡健壯性、數量眾多、適用性廣泛的特點[6]，現有的密碼算法對于手機終端仍然負擔較大。非對稱算法在手機設備的支付應用中有重要的作用，其實現需要更多的計算資源。為滿足手機終端的安全需求，無論是軟件實現，還是硬件實現，都需要進一步設計出低能耗的，輕量級的密碼算法，比如PRESENT算法

3 .1 .2 訪問控制

為了保證授權用戶對資源的正常訪問，非授權用戶禁止訪問，需要系統(tǒng)各個模塊進行訪問控制。訪問控制技術的一個重要部分就是身份認證技術。使用的身份認證機制包括靜態(tài)口令認證、動態(tài)口令認證、智能認證、短信密碼認證、共享密鑰認證和基于PK（IPublic Key Infrastructure，公鑰基礎設施）的認證等。 在移動支付應用中可以通過WPKI來實現身份認證。

WPKI[7]是基于無線應用協議 WAP下的安全機制，它借用PKI的理論，發(fā)展成為無線網下的公鑰基礎設施。WPKI與PKI有著最為主要的共同點——執(zhí)行移動電子商務策略都是依賴于管理密鑰和證書。WPKI是為無線應用環(huán)境提供安全服務，WPKI以WAP的安全機制為基礎，通過管理實體間關系、密鑰和證書等來增強移動支付的安全。WPKI作為安全基礎設施平臺，一切基于身份驗證的應用都需要 WPKI技術的支持，它可與 WTLS、TCP/IP相結合，實現身份認證、私鑰簽名等功能。

3 .1 .3 安全協議

為了使得通信達到通信數據加密、通信數據完整性和不可否認性的目標，在通信協議的基礎上實現應用安全通信機制，常用的安全協議有 SSL/TLS、GSM03.48等。也可以在標準的通信協議基礎上使用安全工具，比如對于文件傳輸和遠程登錄等通信接口，要求采用標準的應用層安全通信協議，其中文件傳輸，建議采用SFTP協議，遠程登錄建議采用SSH協議。

3 .1 .4 安全審計

安全審計是針對各類安全相關的事件進行記錄、分析及跟蹤的過程。主要事件包括系統(tǒng)管理員、應用管理員的關鍵操作、各類應用異常事件、各業(yè)務流程中的關鍵操作等。

3 .1 .5 入侵檢測和防病毒

對手機網絡進行監(jiān)控和掃描，尤其是當網絡環(huán)境發(fā)生變化時，入侵檢測工具會自動感知到網絡的變化并自動進行檢測，檢測內容包括當前WiFi網絡是否未設置密碼、DNS是否被篡改及是否存在WiFi釣魚等情況。安裝病毒查殺工具，掃描以判斷當前手機是否存木馬和其他病毒，并引導用戶在支付之前完成處理操作，以避免由木馬病毒所造成的財產損失。

3.2 安全管理策略

3 .2 .1 手機終端安全管理策略

對于手機終端的各種不同接入方式將提供相應的安全手段，除基本的密碼方式外，對于短消息方式，不用STK時，采用封閉網絡保證安全，使用STK時，在應用層對短消息進行加密；對于WAP2.0，通過端到端的TLS保證安全；對于BREW方式由應用層與移動終端動態(tài)口令系統(tǒng)共同保證安全。

3 .2 .2 通信傳輸安全管理策略

通信安全是通過安全協議實現的。為保證應用之間通過網絡進行通信過程中的數據安全、數據完整性，根據業(yè)務場景的不同以及業(yè)務需求的不同，采用合適的安全協議。對于手機支付系統(tǒng)與第三方系統(tǒng)或移動其它系統(tǒng)間的通信，優(yōu)先采用業(yè)內標準安全協議進行通信或與第三方協商定制專用安全協議。

3 .2 .3 支付平臺安全管理策略

手機用戶在第三方機構建立手機號碼與銀行賬號的對應關系；支付平臺不保留用戶賬號關鍵信息，在交易過程中只將手機號碼、交易金額等內容發(fā)送到第三方機構，并不涉及用戶賬號及密碼，以避免支付安全問題。

4 結束語

文中根據手機支付的業(yè)務分類、手機支付面臨安全威脅，對手機支付安全[8]的解決方案進行了探討，提出了一種保障手機支付安全的框架體系。隨著智能手機爆發(fā)性的增長以及4G網絡的逐步普及，移動支付必將成為支付體系的發(fā)展方向，而手機支付的安全問題也將會越來越突出。因此對于手機支付的安全性問題的研究就顯得尤為重要，只有解決了安全性問題，移動支付才能取得長遠的發(fā)展。

[1]孟佳偉.手機支付客戶端安全登錄及防盜用的研究與實現[J].福建電腦，2012（4）：106-108.

MENG Jia-wei.The research and implementation for security log and anti-theft of mobile payment client[J].FuJian Computer，2012（4）:106-108.

[2]石增玖.移動支付業(yè)務發(fā)展現狀調查報告[J].運營調查，2008（5）：22-25.

SHI Zeng-jiu.Status survey report of mobile payment development[J].Operation&Survey，2008（5）:22-25.

[3]馮韻.移動支付中身份認證分析與研究[J].信息通信，2012（3）：107-109.

FENG Yun.Analysis and research of mobile payment authentication[J].Information&Communications，2012（3）:107-109.

[4]華錦芝，冀乃庚，呂旭峰，等.手機支付的終端安全威脅及應對措施綜述[J].軟件產業(yè)與工程，2012（6）：28-31.

HUA Jin-zhi，JI Nai-geng，LV Xu-feng，et al.Overview of security threatsand countermeasuresofmobile phone payment applications[J].Software Industry and Engineering，2012（6）:28-31.

[5]周建華.淺談手機移動支付中的安全問題[J].吉林工商學院學報，2012， 28（5）：102-105.

ZHOU Jian-hua.Brief discussion on mobile payment security[J].Journal of Business and Technology College，2012，28 （5）:102-105.

[6]Daniel Engels，Xinxin Fan，Guang Gong，et al.Hummingbird:Ultra-LightweightCryptography forResource-Constrained Devices[C]//Financial Cryptography and Data Security 2010，LNCS 6504，2010：3-18.

[7]趙文，戴宗坤.WPKI應用體系架構研究[J].四川大學學報：自然科學版，2005， 42（4）:725-730.

ZHAO Wen，DAI Zong-kun.Research on WPKI applications architecture[J].Journal of Sichuan University：Natural Science Edition，2005，42（4）:725-730.

[8]劉亞軍.網上支付系統(tǒng)的安全性研究[J].現代電子技術，2013（8）:74-75，78.

LIU Ya-jun.Security of online payment systems[J].Modern Electronics Technique，2013（8）:74-75，78.

A study on mobile payment security

ZHAO Qing-lan
（School of Telecommunication and Information Engineering， Xi’an University of Posts and Telecommunications， Xi’an 710121， China）

For the mobile payment security， the mobile field payment and far-field payment service is introduced， the security threat which mobile terminals， wireless network， payment platform faced is analyzed， the security framework which can solve the problem of mobile payment is proposed.The security framework provides a solution for protecting the security of mobile payment by comprehensive application of four security technology methods， such as cryptographic technique， access control，security protocol， security audit， and three security management policy， such as mobile terminals security management policy， communication networks security management policy， payment platform security management policy.

mobile payment； third-party payment； security threat； security policy

TN918

A

1674-6236（2014）15-0059-04

2014-04-22 稿件編號：201404209

陜西省自然科學基礎研究計劃重點項目（2013JZ020）；西安郵電大學校青年基金項目（ZL2013-12）

趙慶蘭（1981—），女，山東曹縣人，碩士，講師。研究方向：信息安全與密碼學。